@runeya/runeya 2.0.130 → 2.0.132

package/{chunk-B7MABGQN.js → chunk-4RMM2OUU.js}

@@ -142,6 +142,31 @@ async function isCliAvailable(cli, timeoutMs = 5e3) {
   });
 }
 
+// ../../packages/shared/src/node/aes-gcm.ts
+import { randomBytes, createCipheriv, createDecipheriv } from "crypto";
+var ALGORITHM = "aes-256-gcm";
+function encryptValueWith(key, plaintext) {
+  const iv = randomBytes(16);
+  const cipher = createCipheriv(ALGORITHM, key, iv);
+  let enc = cipher.update(plaintext, "utf-8", "hex");
+  enc += cipher.final("hex");
+  const authTag = cipher.getAuthTag().toString("hex");
+  return `${iv.toString("hex")}:${authTag}:${enc}`;
+}
+function decryptValueWith(key, encrypted) {
+  const parts = encrypted.split(":");
+  if (parts.length !== 3) throw new Error("Invalid encrypted value format \u2014 expected iv:authTag:ciphertext");
+  const [ivHex, authTagHex, ciphertext] = parts;
+  if (!/^[0-9a-f]+$/i.test(ivHex) || !/^[0-9a-f]+$/i.test(authTagHex) || ciphertext !== "" && !/^[0-9a-f]+$/i.test(ciphertext)) {
+    throw new Error("Invalid hex in encrypted value \u2014 possible data corruption");
+  }
+  const decipher = createDecipheriv(ALGORITHM, key, Buffer.from(ivHex, "hex"), { authTagLength: 16 });
+  decipher.setAuthTag(Buffer.from(authTagHex, "hex"));
+  let dec = decipher.update(ciphertext, "hex", "utf-8");
+  dec += decipher.final("utf-8");
+  return dec;
+}
+
 export {
   ensureNodeBinOnPath,
   appendToPath,
@@ -150,6 +175,8 @@ export {
   stampConsole,
   resolveCliInvocation,
   whichCommand,
-  isCliAvailable
+  isCliAvailable,
+  encryptValueWith,
+  decryptValueWith
 };
-//# sourceMappingURL=chunk-B7MABGQN.js.map
+//# sourceMappingURL=chunk-4RMM2OUU.js.map

package/chunk-4RMM2OUU.js.map

@@ -0,0 +1 @@
+{"version":3,"sources":["../../../packages/shared/src/node/node-path.ts","../../../packages/shared/src/node/user-path.ts","../../../packages/shared/src/node/log-timestamps.ts","../../../packages/shared/src/node/cli-invocation.ts","../../../packages/shared/src/node/aes-gcm.ts"],"sourcesContent":["import { dirname, delimiter } from 'node:path';\n\n/**\n * Garantit que le répertoire du binaire Node est dans le `PATH` des services.\n *\n * Un raccourci de bureau n'hérite pas du `PATH` d'un shell de connexion : il\n * reçoit celui de la session graphique, où les gestionnaires de version (n, nvm,\n * fnm, volta, brew) ne figurent pas. Node, lui, est lancé par chemin absolu et\n * démarre très bien — mais `npm`, `npx`, `yarn` et `corepack`, qui vivent à côté\n * de lui, deviennent introuvables. Un service échoue alors sur un message qui ne\n * dit rien de sa cause : « cannot find package manager binary ».\n *\n * Le répertoire est ajouté en QUEUE : ce que la machine a déjà choisi de mettre\n * devant garde la main, et un `PATH` déjà complet ne change pas.\n */\nexport function ensureNodeBinOnPath(environment: NodeJS.ProcessEnv = process.env): void {\n  appendToPath(dirname(process.execPath), environment);\n}\n\n/**\n * Ajoute un répertoire en queue du `PATH`, sans doublon ni séparateur vide.\n */\nexport function appendToPath(dir: string, environment: NodeJS.ProcessEnv = process.env): void {\n  if (!dir) return;\n  const current = environment['PATH'] ?? '';\n  const entries = current.split(delimiter).filter(Boolean);\n  if (entries.includes(dir)) return;\n  environment['PATH'] = entries.length > 0 ? `${current}${delimiter}${dir}` : dir;\n}\n","import { execFile } from 'node:child_process';\nimport { promisify } from 'node:util';\nimport { homedir } from 'node:os';\nimport { existsSync, statSync } from 'node:fs';\nimport { join, delimiter } from 'node:path';\nimport { appendToPath } from './node-path.js';\n\nconst execFileAsync = promisify(execFile);\n\n/**\n * Marqueur : un `.zshrc` interactif écrit volontiers sur stdout (bannières,\n * gestionnaires de version, `motd`). Sans balise, on ne sait pas quelle ligne\n * est le `PATH`.\n */\nconst MARKER = '__RUNEYA_PATH__';\n\n/** Le profil de l'utilisateur peut être long à charger — mais pas éternel. */\nconst SHELL_TIMEOUT_MS = 3000;\n\n/**\n * Emplacements où un CLI utilisateur s'installe sans passer par le système.\n * Filet de sécurité quand le shell de connexion n'a rien donné : on ne devine\n * pas les gestionnaires de version (chemins versionnés), seulement le banal.\n */\nfunction commonUserBins(home: string): string[] {\n  return [\n    join(home, '.local', 'bin'),\n    join(home, 'bin'),\n    join(home, '.npm-global', 'bin'),\n    join(home, '.bun', 'bin'),\n    join(home, '.cargo', 'bin'),\n    '/opt/homebrew/bin',\n    '/usr/local/bin',\n  ];\n}\n\n/**\n * Demande son `PATH` au shell de connexion de l'utilisateur.\n *\n * Un raccourci de bureau reçoit le `PATH` de la session graphique, pas celui du\n * shell : `~/.local/bin`, nvm, fnm, volta, mise, asdf… n'y figurent pas. Le CLI\n * installé par l'utilisateur devient alors introuvable, et l'agent le déclare\n * simplement « non disponible ».\n *\n * Renvoie `null` en cas d'échec (Windows, pas de `SHELL`, timeout, profil qui\n * plante) : l'absence de réponse ne doit jamais empêcher l'agent de démarrer.\n */\nexport async function readLoginShellPath(): Promise<string | null> {\n  if (process.platform === 'win32') return null;\n\n  const shell = process.env['SHELL'];\n  if (!shell || !existsSync(shell)) return null;\n\n  try {\n    // `-l -i` : le `PATH` d'un utilisateur vit aussi bien dans le profil de\n    // connexion que dans le fichier interactif (`.zshrc`, `.bashrc`).\n    // `shell: false` : le shell EST le programme lancé, pas l'interpréteur.\n    const { stdout } = await execFileAsync(shell, ['-l', '-i', '-c', `echo \"${MARKER}$PATH\"`], {\n      timeout: SHELL_TIMEOUT_MS,\n      shell: false,\n      encoding: 'utf8',\n      maxBuffer: 1024 * 1024,\n      env: { ...process.env, TERM: 'dumb' },\n    });\n\n    const line = stdout.split('\\n').find(l => l.includes(MARKER));\n    if (!line) return null;\n\n    const value = line.slice(line.indexOf(MARKER) + MARKER.length).trim();\n    return value.length > 0 ? value : null;\n  } catch {\n    return null;\n  }\n}\n\n/**\n * Complète le `PATH` de l'agent avec ce que le shell de connexion connaît, puis\n * avec les emplacements utilisateur usuels qui existent réellement sur disque.\n *\n * Tout est ajouté EN QUEUE, comme pour Node : ce que la machine a déjà mis\n * devant garde la main, et un `PATH` déjà complet ne change pas.\n */\nexport async function ensureUserBinsOnPath(\n  environment: NodeJS.ProcessEnv = process.env,\n  home: string = homedir(),\n): Promise<void> {\n  const shellPath = await readLoginShellPath();\n  if (shellPath) {\n    for (const entry of shellPath.split(delimiter).filter(Boolean)) {\n      appendToPath(entry, environment);\n    }\n  }\n\n  for (const dir of commonUserBins(home)) {\n    if (isDirectory(dir)) appendToPath(dir, environment);\n  }\n}\n\nfunction isDirectory(path: string): boolean {\n  try {\n    return statSync(path).isDirectory();\n  } catch {\n    return false;\n  }\n}\n","/**\n * Horodate ce que le process écrit sur la console, en temps écoulé depuis son\n * démarrage.\n *\n * Les 300 et quelques appels à `console.log` du serveur, de l'agent et du CLI\n * n'ont pas à être réécrits : on enveloppe `console` une fois, au démarrage, et\n * tout ce qui passe par lui est daté — jusqu'aux bibliothèques tierces.\n *\n * Le delta plutôt que l'heure : ces journaux servent surtout à comprendre ce qui\n * prend du temps au sein d'un même lancement, et « +1.204s » se lit sans\n * soustraction mentale. L'heure absolue reste disponible dans le journal\n * d'audit, qui, lui, sert à recouper avec le cloud.\n */\n\n/**\n * Une ligne qui ne dit rien à dater : une ligne vide, ou un morceau d'encadré.\n *\n * La bannière de démarrage est dessinée ligne à ligne ; un horodatage devant\n * chacune casse l'alignement des colonnes et n'apprend rien — elles sont toutes\n * écrites dans la même milliseconde.\n */\nfunction isDecorative(args: unknown[]): boolean {\n  if (args.length === 0) return true;\n  const first = args[0];\n  if (typeof first !== 'string') return false;\n  const trimmed = first.trim();\n  return trimmed === '' || /^[┌│└├┬┴┼─┐┘┤]/.test(trimmed);\n}\n\nconst LEVELS = ['log', 'info', 'warn', 'error', 'debug'] as const;\n\n/** Le temps écoulé, cadré pour que les lignes s'alignent en colonne. */\nfunction formatElapsed(startedAt: number, now: number): string {\n  const seconds = (now - startedAt) / 1000;\n  return `+${seconds.toFixed(3)}s`.padStart(10);\n}\n\n/**\n * Enveloppe `console`. Rend une fonction qui remet l'original en place — les\n * tests en ont besoin, et un mode dont la sortie est lue par un script aussi.\n *\n * Appelé deux fois, le second appel ne fait rien : sans cette garde, deux\n * horodatages se cumuleraient sur chaque ligne.\n */\nexport function stampConsole(startedAt: number = Date.now()): () => void {\n  const target = console as unknown as Record<string, unknown> & { __runeyaStamped?: boolean };\n  if (target.__runeyaStamped) return () => {};\n  target.__runeyaStamped = true;\n\n  const originals = LEVELS.map((level) => {\n    const original = console[level].bind(console);\n    console[level] = (...args: unknown[]) => (\n      isDecorative(args)\n        ? original(...args)\n        : original(formatElapsed(startedAt, Date.now()), ...args)\n    );\n    return [level, original] as const;\n  });\n\n  return () => {\n    for (const [level, original] of originals) console[level] = original;\n    target.__runeyaStamped = false;\n  };\n}\n","import { execFile, execFileSync } from 'node:child_process';\nimport { existsSync, readFileSync } from 'node:fs';\nimport { dirname, resolve as resolvePath } from 'node:path';\n\nexport interface CliInvocation {\n  command: string;\n  args: string[];\n}\n\n/**\n * Comment lancer un CLI global (`claude`, `codex`) sur la plateforme courante.\n *\n * Windows : un CLI installé globalement par npm n'est pas un `.exe` mais un\n * shim `claude.cmd`. Ni `child_process.spawn(..., { shell: false })` ni\n * `pty.spawn()` ne savent le lancer — node-pty échoue sur « File not found:\n * claude ». Passer par `cmd.exe /c` fonctionnerait mais abîme les arguments\n * (le prompt système contient guillemets, retours à la ligne et `%`), donc on\n * résout le point d'entrée JS visé par le shim et on le lance avec le `node`\n * courant.\n *\n * Sur POSIX la commande est rendue telle quelle : rien ne change pour Linux\n * ni macOS.\n */\nexport function resolveCliInvocation(cli: string, args: string[] = []): CliInvocation {\n  if (process.platform !== 'win32') return { command: cli, args };\n  if (/\\.exe$/i.test(cli)) return { command: cli, args };\n\n  // 1. Localiser le shim sur le PATH (sauf si un chemin explicite est donné).\n  let shim = cli;\n  if (!cli.includes('\\\\') && !cli.includes('/')) {\n    let found: string[] = [];\n    try {\n      // Borné : un `where` qui ne rend pas la main figerait le process appelant,\n      // puisque la résolution est synchrone.\n      found = execFileSync('where', [cli], { encoding: 'utf-8', timeout: 5_000, windowsHide: true })\n        .split(/\\r?\\n/).map((l) => l.trim()).filter(Boolean);\n    } catch { /* absent du PATH — laisser le spawn échouer avec son propre message */ }\n    const exe = found.find((f) => /\\.exe$/i.test(f));\n    if (exe) return { command: exe, args };\n    shim = found.find((f) => /\\.cmd$/i.test(f)) ?? found[0] ?? cli;\n  }\n  if (/\\.exe$/i.test(shim)) return { command: shim, args };\n\n  // 2. Extraire le point d'entrée `.js` du shim npm et le lancer avec node.\n  if (/\\.cmd$/i.test(shim) && existsSync(shim)) {\n    try {\n      const content = readFileSync(shim, 'utf-8');\n      // Les shims npm écrivent « %~dp0\\...\\cli.js » ; certains outils écrivent\n      // « %~dp0%\\...\\cli.js ». Les deux formes mènent au même point d'entrée.\n      const m = content.match(/%~?dp0%?\\\\?([^\"\\s]+\\.js)/i);\n      if (m?.[1]) {\n        const entry = resolvePath(dirname(shim), m[1].replace(/^\\\\+/, ''));\n        if (existsSync(entry)) return { command: process.execPath, args: [entry, ...args] };\n      }\n    } catch { /* on retombe sur l'interpréteur de commandes */ }\n  }\n\n  // 3. Dernier recours : confier à l'interpréteur de commandes.\n  const comspec = process.env['ComSpec'] || process.env['COMSPEC'] || 'cmd.exe';\n  return { command: comspec, args: ['/d', '/s', '/c', shim, ...args] };\n}\n\n/**\n * La commande qui dit où vit un exécutable, selon la plateforme.\n *\n * `which` n'existe pas sur Windows ; une détection qui l'appelle y répond\n * toujours « absent », quel que soit l'outil installé.\n */\nexport function whichCommand(): string {\n  return process.platform === 'win32' ? 'where' : 'which';\n}\n\n/**\n * `<cli> --version` répond-il ?\n *\n * Le même contrôle vivait côté serveur et côté agent, et les deux lançaient\n * `execFile('claude', …, { shell: false })` : sur Windows, un shim `.cmd` n'est\n * pas lançable ainsi, et la détection répondait « absent » pour un CLI\n * parfaitement installé — l'interface désactivait alors le runner.\n */\nexport async function isCliAvailable(cli: string, timeoutMs = 5_000): Promise<boolean> {\n  const { command, args } = resolveCliInvocation(cli, ['--version']);\n  return new Promise((resolve) => {\n    execFile(command, args, { timeout: timeoutMs, windowsHide: true }, (err) => resolve(!err));\n  });\n}\n","import { randomBytes, createCipheriv, createDecipheriv } from 'node:crypto';\n\nconst ALGORITHM = 'aes-256-gcm';\n\n/**\n * Encrypt under a caller-supplied key.\n *\n * The no-key forms in the server read the process keyring, which is the right default\n * everywhere except migration: converting a vault means holding two keys at\n * once, and neither of them is \"the\" current one.\n */\nexport function encryptValueWith(key: Buffer, plaintext: string): string {\n  const iv = randomBytes(16);\n  const cipher = createCipheriv(ALGORITHM, key, iv);\n  let enc = cipher.update(plaintext, 'utf-8', 'hex');\n  enc += cipher.final('hex');\n  const authTag = cipher.getAuthTag().toString('hex');\n  return `${iv.toString('hex')}:${authTag}:${enc}`;\n}\n\n/** Decrypt under a caller-supplied key. Throws when the key does not open it. */\nexport function decryptValueWith(key: Buffer, encrypted: string): string {\n  const parts = encrypted.split(':');\n  if (parts.length !== 3) throw new Error('Invalid encrypted value format — expected iv:authTag:ciphertext');\n  const [ivHex, authTagHex, ciphertext] = parts;\n  if (!/^[0-9a-f]+$/i.test(ivHex) || !/^[0-9a-f]+$/i.test(authTagHex) || (ciphertext !== '' && !/^[0-9a-f]+$/i.test(ciphertext))) {\n    throw new Error('Invalid hex in encrypted value — possible data corruption');\n  }\n  const decipher = createDecipheriv(ALGORITHM, key, Buffer.from(ivHex, 'hex'), { authTagLength: 16 });\n  decipher.setAuthTag(Buffer.from(authTagHex, 'hex'));\n  let dec = decipher.update(ciphertext, 'hex', 'utf-8');\n  dec += decipher.final('utf-8');\n  return dec;\n}\n"],"mappings":";AAAA,SAAS,SAAS,iBAAiB;AAe5B,SAAS,oBAAoB,cAAiC,QAAQ,KAAW;AACtF,eAAa,QAAQ,QAAQ,QAAQ,GAAG,WAAW;AACrD;AAKO,SAAS,aAAa,KAAa,cAAiC,QAAQ,KAAW;AAC5F,MAAI,CAAC,IAAK;AACV,QAAM,UAAU,YAAY,MAAM,KAAK;AACvC,QAAM,UAAU,QAAQ,MAAM,SAAS,EAAE,OAAO,OAAO;AACvD,MAAI,QAAQ,SAAS,GAAG,EAAG;AAC3B,cAAY,MAAM,IAAI,QAAQ,SAAS,IAAI,GAAG,OAAO,GAAG,SAAS,GAAG,GAAG,KAAK;AAC9E;;;AC5BA,SAAS,gBAAgB;AACzB,SAAS,iBAAiB;AAC1B,SAAS,eAAe;AACxB,SAAS,YAAY,gBAAgB;AACrC,SAAS,MAAM,aAAAA,kBAAiB;AAGhC,IAAM,gBAAgB,UAAU,QAAQ;AAOxC,IAAM,SAAS;AAGf,IAAM,mBAAmB;AAOzB,SAAS,eAAe,MAAwB;AAC9C,SAAO;AAAA,IACL,KAAK,MAAM,UAAU,KAAK;AAAA,IAC1B,KAAK,MAAM,KAAK;AAAA,IAChB,KAAK,MAAM,eAAe,KAAK;AAAA,IAC/B,KAAK,MAAM,QAAQ,KAAK;AAAA,IACxB,KAAK,MAAM,UAAU,KAAK;AAAA,IAC1B;AAAA,IACA;AAAA,EACF;AACF;AAaA,eAAsB,qBAA6C;AACjE,MAAI,QAAQ,aAAa,QAAS,QAAO;AAEzC,QAAM,QAAQ,QAAQ,IAAI,OAAO;AACjC,MAAI,CAAC,SAAS,CAAC,WAAW,KAAK,EAAG,QAAO;AAEzC,MAAI;AAIF,UAAM,EAAE,OAAO,IAAI,MAAM,cAAc,OAAO,CAAC,MAAM,MAAM,MAAM,SAAS,MAAM,QAAQ,GAAG;AAAA,MACzF,SAAS;AAAA,MACT,OAAO;AAAA,MACP,UAAU;AAAA,MACV,WAAW,OAAO;AAAA,MAClB,KAAK,EAAE,GAAG,QAAQ,KAAK,MAAM,OAAO;AAAA,IACtC,CAAC;AAED,UAAM,OAAO,OAAO,MAAM,IAAI,EAAE,KAAK,OAAK,EAAE,SAAS,MAAM,CAAC;AAC5D,QAAI,CAAC,KAAM,QAAO;AAElB,UAAM,QAAQ,KAAK,MAAM,KAAK,QAAQ,MAAM,IAAI,OAAO,MAAM,EAAE,KAAK;AACpE,WAAO,MAAM,SAAS,IAAI,QAAQ;AAAA,EACpC,QAAQ;AACN,WAAO;AAAA,EACT;AACF;AASA,eAAsB,qBACpB,cAAiC,QAAQ,KACzC,OAAe,QAAQ,GACR;AACf,QAAM,YAAY,MAAM,mBAAmB;AAC3C,MAAI,WAAW;AACb,eAAW,SAAS,UAAU,MAAMC,UAAS,EAAE,OAAO,OAAO,GAAG;AAC9D,mBAAa,OAAO,WAAW;AAAA,IACjC;AAAA,EACF;AAEA,aAAW,OAAO,eAAe,IAAI,GAAG;AACtC,QAAI,YAAY,GAAG,EAAG,cAAa,KAAK,WAAW;AAAA,EACrD;AACF;AAEA,SAAS,YAAY,MAAuB;AAC1C,MAAI;AACF,WAAO,SAAS,IAAI,EAAE,YAAY;AAAA,EACpC,QAAQ;AACN,WAAO;AAAA,EACT;AACF;;;ACnFA,SAAS,aAAa,MAA0B;AAC9C,MAAI,KAAK,WAAW,EAAG,QAAO;AAC9B,QAAM,QAAQ,KAAK,CAAC;AACpB,MAAI,OAAO,UAAU,SAAU,QAAO;AACtC,QAAM,UAAU,MAAM,KAAK;AAC3B,SAAO,YAAY,MAAM,iBAAiB,KAAK,OAAO;AACxD;AAEA,IAAM,SAAS,CAAC,OAAO,QAAQ,QAAQ,SAAS,OAAO;AAGvD,SAAS,cAAc,WAAmB,KAAqB;AAC7D,QAAM,WAAW,MAAM,aAAa;AACpC,SAAO,IAAI,QAAQ,QAAQ,CAAC,CAAC,IAAI,SAAS,EAAE;AAC9C;AASO,SAAS,aAAa,YAAoB,KAAK,IAAI,GAAe;AACvE,QAAM,SAAS;AACf,MAAI,OAAO,gBAAiB,QAAO,MAAM;AAAA,EAAC;AAC1C,SAAO,kBAAkB;AAEzB,QAAM,YAAY,OAAO,IAAI,CAAC,UAAU;AACtC,UAAM,WAAW,QAAQ,KAAK,EAAE,KAAK,OAAO;AAC5C,YAAQ,KAAK,IAAI,IAAI,SACnB,aAAa,IAAI,IACb,SAAS,GAAG,IAAI,IAChB,SAAS,cAAc,WAAW,KAAK,IAAI,CAAC,GAAG,GAAG,IAAI;AAE5D,WAAO,CAAC,OAAO,QAAQ;AAAA,EACzB,CAAC;AAED,SAAO,MAAM;AACX,eAAW,CAAC,OAAO,QAAQ,KAAK,UAAW,SAAQ,KAAK,IAAI;AAC5D,WAAO,kBAAkB;AAAA,EAC3B;AACF;;;AC/DA,SAAS,YAAAC,WAAU,oBAAoB;AACvC,SAAS,cAAAC,aAAY,oBAAoB;AACzC,SAAS,WAAAC,UAAS,WAAW,mBAAmB;AAqBzC,SAAS,qBAAqB,KAAa,OAAiB,CAAC,GAAkB;AACpF,MAAI,QAAQ,aAAa,QAAS,QAAO,EAAE,SAAS,KAAK,KAAK;AAC9D,MAAI,UAAU,KAAK,GAAG,EAAG,QAAO,EAAE,SAAS,KAAK,KAAK;AAGrD,MAAI,OAAO;AACX,MAAI,CAAC,IAAI,SAAS,IAAI,KAAK,CAAC,IAAI,SAAS,GAAG,GAAG;AAC7C,QAAI,QAAkB,CAAC;AACvB,QAAI;AAGF,cAAQ,aAAa,SAAS,CAAC,GAAG,GAAG,EAAE,UAAU,SAAS,SAAS,KAAO,aAAa,KAAK,CAAC,EAC1F,MAAM,OAAO,EAAE,IAAI,CAAC,MAAM,EAAE,KAAK,CAAC,EAAE,OAAO,OAAO;AAAA,IACvD,QAAQ;AAAA,IAA0E;AAClF,UAAM,MAAM,MAAM,KAAK,CAAC,MAAM,UAAU,KAAK,CAAC,CAAC;AAC/C,QAAI,IAAK,QAAO,EAAE,SAAS,KAAK,KAAK;AACrC,WAAO,MAAM,KAAK,CAAC,MAAM,UAAU,KAAK,CAAC,CAAC,KAAK,MAAM,CAAC,KAAK;AAAA,EAC7D;AACA,MAAI,UAAU,KAAK,IAAI,EAAG,QAAO,EAAE,SAAS,MAAM,KAAK;AAGvD,MAAI,UAAU,KAAK,IAAI,KAAKD,YAAW,IAAI,GAAG;AAC5C,QAAI;AACF,YAAM,UAAU,aAAa,MAAM,OAAO;AAG1C,YAAM,IAAI,QAAQ,MAAM,2BAA2B;AACnD,UAAI,IAAI,CAAC,GAAG;AACV,cAAM,QAAQ,YAAYC,SAAQ,IAAI,GAAG,EAAE,CAAC,EAAE,QAAQ,QAAQ,EAAE,CAAC;AACjE,YAAID,YAAW,KAAK,EAAG,QAAO,EAAE,SAAS,QAAQ,UAAU,MAAM,CAAC,OAAO,GAAG,IAAI,EAAE;AAAA,MACpF;AAAA,IACF,QAAQ;AAAA,IAAmD;AAAA,EAC7D;AAGA,QAAM,UAAU,QAAQ,IAAI,SAAS,KAAK,QAAQ,IAAI,SAAS,KAAK;AACpE,SAAO,EAAE,SAAS,SAAS,MAAM,CAAC,MAAM,MAAM,MAAM,MAAM,GAAG,IAAI,EAAE;AACrE;AAQO,SAAS,eAAuB;AACrC,SAAO,QAAQ,aAAa,UAAU,UAAU;AAClD;AAUA,eAAsB,eAAe,KAAa,YAAY,KAAyB;AACrF,QAAM,EAAE,SAAS,KAAK,IAAI,qBAAqB,KAAK,CAAC,WAAW,CAAC;AACjE,SAAO,IAAI,QAAQ,CAAC,YAAY;AAC9B,IAAAD,UAAS,SAAS,MAAM,EAAE,SAAS,WAAW,aAAa,KAAK,GAAG,CAAC,QAAQ,QAAQ,CAAC,GAAG,CAAC;AAAA,EAC3F,CAAC;AACH;;;ACrFA,SAAS,aAAa,gBAAgB,wBAAwB;AAE9D,IAAM,YAAY;AASX,SAAS,iBAAiB,KAAa,WAA2B;AACvE,QAAM,KAAK,YAAY,EAAE;AACzB,QAAM,SAAS,eAAe,WAAW,KAAK,EAAE;AAChD,MAAI,MAAM,OAAO,OAAO,WAAW,SAAS,KAAK;AACjD,SAAO,OAAO,MAAM,KAAK;AACzB,QAAM,UAAU,OAAO,WAAW,EAAE,SAAS,KAAK;AAClD,SAAO,GAAG,GAAG,SAAS,KAAK,CAAC,IAAI,OAAO,IAAI,GAAG;AAChD;AAGO,SAAS,iBAAiB,KAAa,WAA2B;AACvE,QAAM,QAAQ,UAAU,MAAM,GAAG;AACjC,MAAI,MAAM,WAAW,EAAG,OAAM,IAAI,MAAM,sEAAiE;AACzG,QAAM,CAAC,OAAO,YAAY,UAAU,IAAI;AACxC,MAAI,CAAC,eAAe,KAAK,KAAK,KAAK,CAAC,eAAe,KAAK,UAAU,KAAM,eAAe,MAAM,CAAC,eAAe,KAAK,UAAU,GAAI;AAC9H,UAAM,IAAI,MAAM,gEAA2D;AAAA,EAC7E;AACA,QAAM,WAAW,iBAAiB,WAAW,KAAK,OAAO,KAAK,OAAO,KAAK,GAAG,EAAE,eAAe,GAAG,CAAC;AAClG,WAAS,WAAW,OAAO,KAAK,YAAY,KAAK,CAAC;AAClD,MAAI,MAAM,SAAS,OAAO,YAAY,OAAO,OAAO;AACpD,SAAO,SAAS,MAAM,OAAO;AAC7B,SAAO;AACT;","names":["delimiter","delimiter","execFile","existsSync","dirname"]}

package/{chunk-K2KSZRSI.js → chunk-PVLDFBL6.js}

@@ -23,7 +23,7 @@ import {
   serviceStore,
   setProjectServices,
   setProjectVault
-} from "./chunk-J2L6VONF.js";
+} from "./chunk-3HGTIUGB.js";
 import {
   atomicWriteSecure,
   fingerprintFiles,
@@ -36,7 +36,7 @@ import {
   COMPANION_RELAY_OPEN,
   ProjectSchema,
   extractCompanionRelay
-} from "./chunk-7GBSCYXU.js";
+} from "./chunk-WN36W5OW.js";
 import {
   allVaultRoots,
   ensureLocalVault,
@@ -2037,7 +2037,7 @@ async function runCompanionForTurn(conversationId) {
   if (!hasNew) {
     return skip(conversationId, "nothingNew", `rien de neuf \xE0 relire (${messageCount} messages)`);
   }
-  const { startCliSession } = await import("./chat-6ETYBINN.js");
+  const { startCliSession } = await import("./chat-ICUWJZEX.js");
   const companionConv = await ensureCompanionConversation(conv);
   const isFirstTurn = (companionConv.messages?.length ?? 0) === 0;
   const exchange = formatExchange(conv.messages, from);
@@ -2152,7 +2152,7 @@ async function deliverToMainConversation(conv, message) {
 async function attemptDelivery(conv, message) {
   if (await writeToLivePty(conv.id, message)) return "pty";
   try {
-    const { startCliSession } = await import("./chat-6ETYBINN.js");
+    const { startCliSession } = await import("./chat-ICUWJZEX.js");
     await startCliSession(conv.runner, conv.id, message, { jwt: await signJwt() });
     return "headless";
   } catch (err) {
@@ -2175,7 +2175,7 @@ async function writeToLivePty(conversationId, message) {
 }
 async function companionSettings() {
   try {
-    const { settingsManager } = await import("./settings-manager-XD6U4QN3.js");
+    const { settingsManager } = await import("./settings-manager-3G5RHW3X.js");
     const settings = await settingsManager.getSettings();
     return settings.companion ?? { enabledByDefault: false };
   } catch {
@@ -2317,4 +2317,4 @@ export {
   runCompanionNow,
   initCompanion
 };
-//# sourceMappingURL=chunk-K2KSZRSI.js.map
+//# sourceMappingURL=chunk-PVLDFBL6.js.map

package/{chunk-RDE3X3J4.js → chunk-RLLUJCPQ.js}

@@ -1,7 +1,6 @@
 import {
-  isCliAvailable,
-  resolveCliInvocation
-} from "./chunk-B7MABGQN.js";
+  settingsManager
+} from "./chunk-24UJRQRM.js";
 import {
   COMPANION_SIGNATURE,
   activeSessionRegistry,
@@ -31,7 +30,7 @@ import {
   runCompanionNow,
   syncConversationFromClaudeTranscript,
   verifyJwt
-} from "./chunk-K2KSZRSI.js";
+} from "./chunk-PVLDFBL6.js";
 import {
   StoreDiskCoordinator,
   agentManager,
@@ -50,10 +49,7 @@ import {
   recordLocalRemoval,
   refsOfProjectId,
   serviceStore
-} from "./chunk-J2L6VONF.js";
-import {
-  settingsManager
-} from "./chunk-TTJNHZ6U.js";
+} from "./chunk-3HGTIUGB.js";
 import {
   atomicWriteJsonSecure,
   atomicWriteSecure,
@@ -94,7 +90,7 @@ import {
   serviceUrlValues,
   urlHostFor,
   withDeprecatedAliases
-} from "./chunk-7GBSCYXU.js";
+} from "./chunk-WN36W5OW.js";
 import {
   allVaultRoots,
   env,
@@ -107,6 +103,10 @@ import {
   orgVaultRoot,
   vaultIdOfRoot
 } from "./chunk-ZFELQG4B.js";
+import {
+  isCliAvailable,
+  resolveCliInvocation
+} from "./chunk-4RMM2OUU.js";
 
 // ../server/src/trpc/routers/chat.ts
 import { z as z9 } from "zod";
@@ -1686,6 +1686,47 @@ var RUNEYA_CAPABILITIES = [
     ],
     buildInput: (p) => ({ boardId: p.boardId, cardId: p.cardId, comment: p.comment })
   },
+  {
+    name: "kanban_get_card_conversations",
+    description: "Read the customer support conversations (Intercom\u2026) linked to one kanban card: for each, its title, provider, state (open/resolved), link, the opening message and the thread of messages (author name, customer or team, internal note or not, date, text, attached files \u2014 fetch their bytes with kanban_download_attachment), plus the other cards following the same conversation. These messages are NOT comments of the card \u2014 read them here.",
+    route: "kanban.getCardConversations",
+    method: "GET",
+    params: [
+      { name: "boardId", description: "The kanban board ID", required: true },
+      { name: "cardId", description: "The card ID whose conversations to read", required: true },
+      { name: "limit", description: "How many of the most recent messages to return per conversation (1-500). Default: 100.", required: false }
+    ],
+    buildInput: (p) => ({
+      boardId: p.boardId,
+      cardId: p.cardId,
+      ...p.limit ? { limit: Number(p.limit) } : {}
+    }),
+    usageHint: `"regarde la conversation Intercom de la carte" / "qu'a dit le client" \u2192 kanban_get_card_conversations(boardId, cardId).`
+  },
+  {
+    name: "kanban_search_conversations",
+    description: "Search customer support conversations (Intercom\u2026) at the providers connected to the board's organization, by words of the conversation title, or by conversation number or URL. Read-only at the provider. Each result gives connectionId and externalId (needed to link it), title, state, a preview and the cards already following it.",
+    route: "kanban.searchConversations",
+    method: "GET",
+    params: [
+      { name: "boardId", description: "Any kanban board ID of the organization to search in", required: true },
+      { name: "query", description: "Words of the conversation title, a conversation number, or a conversation URL", required: true }
+    ],
+    buildInput: (p) => ({ boardId: p.boardId, query: p.query })
+  },
+  {
+    name: "kanban_link_conversation",
+    description: "Link a customer support conversation found with kanban_search_conversations to a kanban card. Its whole thread is imported and new messages keep arriving on the card. A conversation can be linked to several cards. Nothing is written at the provider.",
+    route: "kanban.linkConversation",
+    method: "POST",
+    params: [
+      { name: "boardId", description: "The kanban board ID of the card", required: true },
+      { name: "cardId", description: "The card to link the conversation to", required: true },
+      { name: "connectionId", description: "The connectionId of the search result", required: true },
+      { name: "externalId", description: "The externalId of the search result", required: true }
+    ],
+    buildInput: (p) => ({ boardId: p.boardId, cardId: p.cardId, connectionId: p.connectionId, externalId: p.externalId })
+  },
   {
     name: "kanban_get_card_links",
     description: "Read the filiation of a board: which card depends on which. Returns one entry per link (child card \u2194 parent card), plus the title, board, column, assignees and comment count of any linked card living on another board. Use it when a card context says it has a parent or sub-cards and you need their ids to read them.",
@@ -4682,7 +4723,19 @@ async function soleAccountScope() {
     throw new TRPCError3({ code: "PRECONDITION_FAILED", message: err.message });
   }
 }
-var PROXY_PREFIXES = ["/organization/", "/project/", "/chat/", "/kanban/", "/user/prefs"];
+var PROXY_PREFIXES = [
+  "/organization/",
+  "/project/",
+  "/chat/",
+  "/kanban/",
+  "/user/prefs",
+  // Les conversations de support vues depuis une carte (lire, chercher, lier,
+  // synchroniser, délier). Pas la gestion des intégrations (`/integration/create`,
+  // `/integration/list`… — secrets et URL de webhook) : elle reste sur le cloud.
+  "/integration/available",
+  "/integration/card/",
+  "/integration/conversations/search"
+];
 function isAllowedProxyPath(path) {
   if (!path.startsWith("/") || path.includes("..")) return false;
   const [pathname] = path.split("?");
@@ -5002,6 +5055,34 @@ var KanbanStore = class {
     );
     return res.data?.history ?? [];
   }
+  /**
+   * Les conversations de support (Intercom…) suivies par une carte, avec leur
+   * fil. Lecture obligatoire : un refus ne doit pas passer pour « aucune ».
+   */
+  async cardConversations(boardId, cardId) {
+    const res = must(await callCloud(
+      `/integration/card/conversations?boardId=${encodeURIComponent(boardId)}&cardId=${encodeURIComponent(cardId)}`,
+      await scopeOfBoard(boardId)
+    ));
+    return res.conversations;
+  }
+  /** Chercher une conversation chez les fournisseurs de l'organisation du tableau (lecture seule). */
+  async searchConversations(boardId, query) {
+    const res = must(await callCloud(
+      `/integration/conversations/search?boardId=${encodeURIComponent(boardId)}&query=${encodeURIComponent(query)}`,
+      await scopeOfBoard(boardId)
+    ));
+    return res.results;
+  }
+  /** Lier une conversation à une carte ; rend les conversations désormais suivies. */
+  async linkConversation(input) {
+    const res = must(await callCloud("/integration/card/link", {
+      method: "POST",
+      body: input,
+      ...await scopeOfBoard(input.boardId)
+    }));
+    return res.conversations;
+  }
   /**
    * Commenter une carte, sans réécrire le tableau.
    *
@@ -5361,6 +5442,8 @@ function generateKanbanSystemPrompt(board, cardId, history, links) {
   lines.push("- `kanban_download_attachment(attachmentId)` \u2014 T\xE9l\xE9charger une pi\xE8ce jointe et obtenir son chemin local");
   lines.push("- `kanban_get_card_links(boardId)` \u2014 Lire la filiation des cartes du tableau (parent \u2194 sous-cartes)");
   lines.push("- `kanban_set_card_parent(boardId, cardId, parentCardId?)` \u2014 Rattacher une carte \xE0 une carte parente, ou l'en d\xE9tacher");
+  lines.push("- `kanban_get_card_conversations(boardId, cardId)` \u2014 Lire les conversations de support (Intercom\u2026) li\xE9es \xE0 la carte \u2014 elles ne sont pas dans les commentaires");
+  lines.push("- `kanban_search_conversations(boardId, query)` puis `kanban_link_conversation(boardId, cardId, connectionId, externalId)` \u2014 Trouver une conversation de support et la lier \xE0 la carte (lecture seule chez le fournisseur)");
   lines.push("");
   lines.push("### OBLIGATOIRE \u2014 D\xE9cision Kanban");
   lines.push("");
@@ -5605,7 +5688,7 @@ function tailTranscript(opts) {
 
 // ../server/src/services/ai-runners/claude-pty-runner.ts
 async function getAgentManager() {
-  const { agentManager: agentManager2 } = await import("./agent-manager-GFRVUJSI.js");
+  const { agentManager: agentManager2 } = await import("./agent-manager-J75NZ6MN.js");
   return agentManager2;
 }
 function buildPtyArgs(params, sessionId, opts) {
@@ -6297,7 +6380,7 @@ async function shutdownCodexAppServer() {
   }
 }
 async function getAgentManager2() {
-  const { agentManager: agentManager2 } = await import("./agent-manager-GFRVUJSI.js");
+  const { agentManager: agentManager2 } = await import("./agent-manager-J75NZ6MN.js");
   return agentManager2;
 }
 function parseRuneyaCurlCommand(command) {
@@ -8343,4 +8426,4 @@ export {
   startCliSession,
   chatRouter
 };
-//# sourceMappingURL=chunk-RDE3X3J4.js.map
+//# sourceMappingURL=chunk-RLLUJCPQ.js.map