@taskless-app/swarm 0.6.24 → 0.6.25

package/hooks/pre-merge-gate.sh

@@ -0,0 +1,355 @@
+#!/usr/bin/env bash
+# TASWM-355 — pre-merge gate: `gh pr merge` не проходит, пока по PR нет вердикта ревьюера.
+#
+# ЗАЧЕМ. Правило «при autoReview мержим только green+reviewed» жило текстом в уставе
+# оркестратора, и 10.08 PR #704 уехал в main, пока ревьюер ещё стоял в паузе. Демон узнал
+# о мерже постфактум. Ни одной машинной проверки на пути мержа не стояло.
+#
+# ПОЧЕМУ ХУК, А НЕ BRANCH PROTECTION (померено 13.08.2026 на самом репозитории):
+#   • репозиторий приватный на бесплатном плане — и branch protection, и rulesets отвечают
+#     403 «Upgrade to GitHub Pro or make this repository public»: защиту нельзя включить;
+#   • все PR роя открыты аккаунтом владельца, и ревьюер ходит ТЕМ ЖЕ токеном, а GitHub
+#     запрещает апрувить свой PR — «required approving review» не выполнилось бы никогда.
+# Мерж делает АГЕНТ (оркестратор/дрон) под Claude Code, которого поднимает сам рой, — значит
+# точка мержа роем контролируется: PreToolUse видит команду до запуска и отвечает deny.
+#
+# ЧТО ДЕЛАЕТ. Ловит Bash-команды с `gh pr merge` (и прямой вызов merge-эндпоинта через
+# `gh api`), достаёт ссылку/номер PR и спрашивает рой. Нельзя → deny с причиной. Решение
+# считает не хук: политика — `computeMergeGate` в `@taskless/swarm-core`, здесь перехват.
+#
+# У КОГО СПРАШИВАЕТ (TASWM-500). Раньше — только у ЛОКАЛЬНОЙ машины, и оба края вилки были
+# неверны: без живого демона гейт отказывал даже по PR с вынесенным approve, а без CLI роя
+# разрешал ВСЁ, включая PR вообще без ревью («машина не роевая, гейту нечего проверять» —
+# проверять есть что, спрашивать надо не здесь). Вердикты, прогоны всех машин и настройка
+# `autoReview` проекта живут на ПРОДЕ. Поэтому:
+#   • есть `swarm` → `swarm merge-gate <pr>`: CLI идёт к живому демону (его ответ полнее —
+#     в нём ещё и очередь мержа, TASWM-472), а если демона нет — к проду;
+#   • `swarm` не установлен → идём к проду прямо отсюда (curl + токен из TASKLESS_TOKEN /
+#     ~/.taskless-swarm/agent.json / ~/.taskless-swarm/token, а если роя на машине нет вовсе —
+#     OAuth-токеном ПОДКЛЮЧЁННОГО MCP, TASWM-504: см. блок про креды claude ниже);
+#   • НЕ ОТВЕТИЛ НИКТО → ЗАПРЕТ. Гейт, который при своей поломке разрешает мерж, — это ровно
+#     инцидент, ради которого он написан. Как снять его человеку — см. $ESCAPE ниже;
+#   • у проекта выключено авторевью или PR не роя → отвечающий говорит «можно», хук молчит.
+#
+# ГДЕ ЖИВЁТ (TASWM-481). Этот файл — ВНУТРИ пакета роя (`packages/swarm-daemon/hooks/`) и едет
+# с ним в npm (`files: ["hooks", …]`). Раньше он лежал в `.claude/hooks/` НАШЕГО репозитория и
+# никому больше не доставался: у пользователя, поставившего рой, гейта не существовало вовсе,
+# хотя канон оркестратора (инжектится через MCP каждому агенту) обещал перехват. Теперь его
+# ставят: `swarm install` / `swarm install-hook` кладут копию в `~/.taskless-swarm/hooks/` и
+# прописывают в `~/.claude/settings.json`, а дронам он приезжает флагом `--settings` спавна
+# (юзерские настройки дрон не читает намеренно — `--setting-sources project`).
+
+set -uo pipefail
+
+input="$(cat)"
+
+# JSON-строка причины отказа. Не экранируем спецсимволы, а ВЫЧИЩАЕМ их: причина — это
+# человеческая проза, и ей достаточно одной строки без кавычек и слэшей, зато результат
+# гарантированно валиден на любом sed.
+#
+# Почему так строго. Живой прогон 13.08 показал: сырой перевод строки внутри причины делает
+# ответ хука невалидным JSON, харнесс его не разбирает — и отказ теряется МОЛЧА, то есть
+# мерж проходит. `bash -n` этого не видит. Экранирование через `sed ':a;N;$!ba'` починило бы
+# перевод строки, но это GNU-конструкция: на macOS (а дроны работают и там — см. droneHome)
+# она молча даёт мусор, и гейт снова беззвучно превращается в «разрешаю».
+json_str() {
+  printf '%s' "$1" | tr '\n\r\t' '   ' | sed "s/\\\\/ /g; s/\"/'/g; s/^/\"/; s/\$/\"/"
+}
+allow() { exit 0; }
+deny() {
+  printf '{"hookSpecificOutput":{"hookEventName":"PreToolUse","permissionDecision":"deny","permissionDecisionReason":%s}}\n' "$(json_str "$1")"
+  exit 0
+}
+
+# КАК СНЯТЬ ГЕЙТ — текст, который печатается в КАЖДОМ отказе. Раньше в нём советовали
+# `SWARM_MERGE_GATE=off gh pr merge …`, и это было ВРАНЬЁ (TASWM-500): переменную хук читает
+# из СВОЕГО окружения, а не из команды, которую перехватил, — префикс не делал ничего.
+# Учить хук видеть префикс мы сознательно не стали: это однотокенный обход гейта прямо из-под
+# агента, а гейт написан ровно против «агент смержил непроверенное» (PR #704) — текст отказа
+# сам подсказывал бы дорогу в обход. Названы способы, которые ДЕЙСТВИТЕЛЬНО работают, и оба
+# требуют человека за машиной, а не решения агента.
+ESCAPE="Снять гейт может человек за машиной: смержить из СВОЕГО терминала (хук перехватывает только команды агента) либо перезапустить агента с SWARM_MERGE_GATE=off в окружении (SWARM_MERGE_GATE=off claude …)."
+
+# Явное снятие гейта человеком (осознанный ручной мерж, лежащий демон) — переменная в
+# окружении САМОГО процесса агента, ровно как обещает $ESCAPE.
+[ "${SWARM_MERGE_GATE:-on}" = "off" ] && allow
+
+# Только Bash; остальные тулы проходят мимо.
+tool="$(printf '%s' "$input" | sed -n 's/.*"tool_name"[[:space:]]*:[[:space:]]*"\([^"]*\)".*/\1/p' | head -n1)"
+[ "$tool" = "Bash" ] || allow
+
+# Команда как есть. Значение поля берём РОВНО одно (ERE с учётом экранирования), а не
+# «от первой кавычки до последней»: жадный sed утаскивал весь payload, и в текст отказа
+# уезжал JSON целиком. Дальше \" и \\ разэкранируем — иначе не найдём ссылку.
+cmd="$(printf '%s' "$input" | grep -oE '"command"[[:space:]]*:[[:space:]]*"([^"\\]|\\.)*"' | head -n1 |
+  sed 's/^"command"[[:space:]]*:[[:space:]]*"//; s/"$//')"
+# Перевод строки схлопываем в `;`, а НЕ в пробел: в многострочной команде
+# («cd repo» \n «gh pr merge …») перевод строки — такой же разделитель команд, и заменив
+# его пробелом, мы бы перестали видеть `gh` в позиции команды. Это был бы обход гейта
+# самой обычной формой записи, а не хитростью.
+cmd="$(printf '%s' "$cmd" | sed 's/\\n/;/g; s/\\"/"/g; s/\\\\/\\/g')"
+[ -n "$cmd" ] || allow
+
+# Мержем считаем ВЫЗОВ `gh pr merge …` (и прямой PUT на …/pulls/N/merge через `gh api`), а
+# не УПОМИНАНИЕ этих слов. Разница не теоретическая: первая же версия хука отказала в
+# `git commit -m "…хук на gh pr merge…"` — гейт, ловящий подстроку, ловит и текст про себя.
+# Поэтому требуем, чтобы `gh` стоял в позиции команды: начало строки или после
+# разделителя (`;` `&&` `||` `|` `(` `{` перевод строки), опционально через env/sudo.
+if ! printf '%s' "$cmd" | grep -qE '(^|[;&|(){]|[[:space:]]&&|[[:space:]]\|\|)[[:space:]]*(sudo[[:space:]]+)?([A-Za-z_][A-Za-z0-9_]*=[^[:space:]]*[[:space:]]+)*gh[[:space:]]+(pr[[:space:]]+merge\b|api\b.*/merge\b)'; then
+  allow
+fi
+
+# Ссылка или номер PR из команды: полный URL, «#778» или голое число после `merge`.
+ref="$(printf '%s' "$cmd" | sed -n 's#.*\(https://github.com/[^ "'"'"']*/pull/[0-9]\{1,\}\).*#\1#p' | head -n1)"
+[ -n "$ref" ] || ref="$(printf '%s' "$cmd" | sed -n 's#.*pulls/\([0-9]\{1,\}\)/merge.*#\1#p' | head -n1)"
+[ -n "$ref" ] || ref="$(printf '%s' "$cmd" | sed -n 's/.*gh pr merge[[:space:]]\{1,\}#\{0,1\}\([0-9]\{1,\}\).*/\1/p' | head -n1)"
+if [ -z "$ref" ]; then
+  # `gh pr merge` без аргумента мержит PR ТЕКУЩЕЙ ветки — спрашиваем gh, какой это PR.
+  ref="$(gh pr view --json url --jq .url 2>/dev/null)"
+fi
+[ -n "$ref" ] || deny "не смог определить, какой PR мержится ($cmd) — а без этого рой не может проверить, есть ли по нему вердикт ревьюера. Укажи PR явно: gh pr merge <url|номер>. $ESCAPE"
+
+# ── КОГО СПРАШИВАТЬ ────────────────────────────────────────────────────────────────────
+# Вопрос один, отвечающих двое (TASWM-500):
+#   • есть `swarm` → CLI: он сам сходит к живому демону, а если демона нет — к проду;
+#   • CLI нет вовсе → идём к проду ОТСЮДА. Раньше здесь стояло `command -v swarm || allow`
+#     («машина не роевая, гейту нечего проверять») — и на конфигурации «MCP здесь, рой на
+#     другом компе» гейт молча пропускал ЛЮБОЙ мерж, включая PR вообще без ревью. Проверять
+#     есть что: прогоны, вердикты и autoReview проекта лежат на проде.
+# Никто не ответил → deny, как и было: гейт, разрешающий мерж при своей поломке, — это и есть
+# инцидент, ради которого он написан.
+
+API="${TASKLESS_API:-https://taskless.ru}"
+# `${HOME:-…}`, а не `$HOME`: под `set -u` незаданный HOME (cron, systemd, чужой шелл)
+# уронил бы весь хук ДО единого решения — то есть гейт бы просто не сработал.
+HOME_DIR="${HOME:-/nonexistent}"
+SWARM_STORE="${SWARM_HOME:-$HOME_DIR/.taskless-swarm}"
+
+# ── ЧЕМ СПРАШИВАТЬ ПРОД, КОГДА РОЯ НА МАШИНЕ НЕТ ВОВСЕ (TASWM-504) ─────────────────────
+# Третий случай, не разобранный в TASWM-481: хук на машине ЕСТЬ (он приехал проводкой из
+# самого репозитория — `.claude/settings.json` закоммичен), а рой не установлен: ни CLI,
+# ни демона, ни токена в `~/.taskless-swarm`. Спросить хук обязан, а спросить нечем — и
+# fail-closed превращался в «мержить нельзя никогда» (24.08, PR #949: вердикт есть, CI
+# зелёный, отказ). Обиднее всего, что вердикт лежал в двух шагах: агент в этот момент
+# подключён к тому же проду по MCP и читает вердикты `swarm_list_runs`.
+#
+# Отсюда решение: дать хуку РОВНО ТОТ ЖЕ путь к проду, что у MCP. Ручка
+# `GET /api/swarm/merge-gate` принимает Bearer двух видов (packages/api/src/auth/middleware.ts):
+# токен аккаунта-агента роя И обычный OAuth access token — тот самый, которым ходит
+# MCP-клиент. Claude Code хранит его на машине сам:
+#   • `${CLAUDE_CONFIG_DIR:-~/.claude}/.credentials.json` — компактный JSON, ветка
+#     `mcpOAuth."<имя>|<хэш>"` с полями `serverUrl` / `accessToken` / (иногда) `expiresAt`;
+#   • macOS — та же строка в связке ключей (`security find-generic-password -s
+#     "Claude Code-credentials" -w`), файла может не быть вовсе. Инцидент как раз на маке.
+#
+# ГРАНИЦА, которую нельзя переступать: берём токен ТОЛЬКО у записи, чей `serverUrl`
+# совпадает с `$API` по origin (scheme+host+port). Иначе первая же машина с двумя MCP
+# отправила бы чужой токен нашему проду (или наш — чужому, если кто-то подменит
+# TASKLESS_API). Совпадение origin и есть здесь предохранитель.
+#
+# Чего НЕ делаем: не обновляем протухший токен по refresh_token. Это стор Claude Code, и
+# ротация из-под хука рассинхронизировала бы его с самим агентом. Протух — говорим человеку
+# «переподключи MCP», это одна команда, а не тихая стена.
+
+# Сырые креды claude: файл → связка ключей macOS. Пусто/не прочитали → код 1.
+claude_creds() {
+  cf="${CLAUDE_CONFIG_DIR:-$HOME_DIR/.claude}/.credentials.json"
+  if [ -r "$cf" ]; then cat "$cf"; return 0; fi
+  [ "$(uname -s 2>/dev/null)" = "Darwin" ] || return 1
+  command -v security >/dev/null 2>&1 || return 1
+  # Связку читаем ПОД СТОРОЖЕМ. `security` на элементе, чей ACL нас не знает, показывает
+  # модальное окно и ждёт человека — а мы внутри PreToolUse: агент завис бы молча. Пять
+  # секунд и продолжаем без токена (дальше честный отказ с причиной).
+  # Шаблон обязателен: у BSD-mktemp (это и есть macOS-путь) голый `mktemp` — ошибка usage.
+  kc="$(mktemp "${TMPDIR:-/tmp}/swarm-merge-gate.XXXXXX")" || return 1
+  security find-generic-password -s "Claude Code-credentials" -w >"$kc" 2>/dev/null &
+  kcpid=$!
+  ( sleep 5; kill -9 "$kcpid" 2>/dev/null ) >/dev/null 2>&1 &
+  kcguard=$!
+  wait "$kcpid" 2>/dev/null; kcrc=$?
+  kill "$kcguard" 2>/dev/null
+  [ "$kcrc" -eq 0 ] && [ -s "$kc" ] && cat "$kc"
+  rm -f "$kc"
+  [ "$kcrc" -eq 0 ]
+}
+
+# Токен MCP для origin `$1`. Печатает токен и выходит 0; 1 — записи нет; 3 — запись есть,
+# но токен протух (это ДРУГОЙ диагноз: гейт не сломан, его надо переподключить).
+#
+# Разбор — на awk, а не «grep по всему файлу»: у записи есть вложенный `discoveryState`,
+# а у файла — вторая ветка `claudeAiOauth` со СВОИМ `accessToken` (это токен подписки
+# claude.ai, ему в наш прод ехать незачем). Поэтому идём по структуре: находим `mcpOAuth`,
+# режем его на записи по скобкам с учётом строк и экранирования и смотрим поля записи.
+mcp_token() {
+  claude_creds 2>/dev/null | awk -v want="$1" -v now="$(date +%s 2>/dev/null || echo 0)" '
+    function origin(u) {
+      # https://host:port/api/mcp → https://host:port
+      if (match(u, /^[A-Za-z][A-Za-z0-9+.-]*:\/\/[^\/]+/)) return tolower(substr(u, RSTART, RLENGTH))
+      return ""
+    }
+    function strfield(e, key,   v) {
+      # Ведущая кавычка обязательна: без неё `"authorizationServerUrl"` совпал бы с serverUrl.
+      if (!match(e, "\"" key "\"[ \t]*:[ \t]*\"[^\"]*\"")) return ""
+      v = substr(e, RSTART, RLENGTH)
+      sub(/^"[^"]*"[ \t]*:[ \t]*"/, "", v)
+      sub(/"$/, "", v)
+      return v
+    }
+    function numfield(e, key,   v) {
+      if (!match(e, "\"" key "\"[ \t]*:[ \t]*[0-9]+")) return ""
+      v = substr(e, RSTART, RLENGTH)
+      sub(/^.*:[ \t]*/, "", v)
+      return v
+    }
+    # `ttl`, а не `exp`: у mawk `exp` — встроенная функция, и параметр с таким именем
+    # роняет ВЕСЬ разбор синтаксической ошибкой (поймано на первом же прогоне).
+    function consider(e,   url, tok, ttl) {
+      url = strfield(e, "serverUrl"); tok = strfield(e, "accessToken")
+      if (tok == "" || origin(url) != want) return
+      ttl = numfield(e, "expiresAt")
+      # expiresAt у claude в МИЛЛИСЕКУНДАХ. Запас в минуту: токен, живущий последние
+      # секунды, до ответа прода не доедет.
+      if (ttl != "" && now > 0 && (ttl + 0) / 1000 <= now + 60) { expired = 1; return }
+      print tok; found = 1
+    }
+    { s = s $0 }
+    END {
+      i = index(s, "\"mcpOAuth\"")
+      if (i == 0) exit 1
+      n = length(s)
+      while (i <= n && substr(s, i, 1) != "{") i++
+      for (; i <= n && !found; i++) {
+        c = substr(s, i, 1)
+        if (esc) { esc = 0; continue }
+        if (instr) {
+          if (c == "\\") esc = 1; else if (c == "\"") instr = 0
+          continue
+        }
+        if (c == "\"") { instr = 1; continue }
+        if (c == "{") { depth++; if (depth == 2) estart = i; continue }
+        if (c == "}") {
+          depth--
+          if (depth == 1 && estart) { consider(substr(s, estart, i - estart + 1)); estart = 0 }
+          if (depth == 0) break
+        }
+      }
+      if (found) exit 0
+      exit expired ? 3 : 1
+    }
+  '
+}
+
+# Чем ходить в прод. Порядок — тот же, что у CLI (см. taskless.ts resolveApiToken), плюс
+# токен MCP последним: он не «токен роя», а личный токен человека, и берётся только когда
+# роевого на машине нет вовсе. Печатает токен (код 0) либо возвращает 1 / 3 (см. mcp_token).
+pick_token() {
+  t="${TASKLESS_TOKEN:-}"
+  [ -n "$t" ] || t="$(sed -n 's/.*"token"[[:space:]]*:[[:space:]]*"\([^"]*\)".*/\1/p' "$SWARM_STORE/agent.json" 2>/dev/null | head -n1)"
+  [ -n "$t" ] || t="$( { tr -d ' \t\r\n' < "$SWARM_STORE/token"; } 2>/dev/null)"
+  if [ -n "$t" ]; then printf '%s' "$t"; return 0; fi
+  mcp_token "$(printf '%s' "$API" | sed -n 's#^\([A-Za-z][A-Za-z0-9+.-]*://[^/]*\).*#\1#p' | tr 'A-Z' 'a-z')"
+}
+
+# Чем НЕ смогли спросить — человеческим текстом, для отказа по коду 2. Считается отдельно,
+# а не внутри prod_gate: та зовётся в `$( … )`, то есть в субоболочке, и её переменные сюда
+# не долетают. Путь редкий (отказ), лишний разбор кредов на нём не жалко.
+token_hint() {
+  # Отдельная причина, и путать её с «нет токена» нельзя: без curl хук не сходил бы к проду
+  # и с самым живым токеном.
+  command -v curl >/dev/null 2>&1 || { printf '%s' "на машине нет curl — ходить к ${API} нечем"; return; }
+  pick_token >/dev/null 2>&1
+  case $? in
+    0) printf '%s' "токен на машине есть, но прод не ответил (${API} — сеть, прокси или доступ)" ;;
+    3) printf '%s' "OAuth-токен MCP для ${API} на этой машине ПРОТУХ. Переподключи MCP (в агенте — /mcp), и гейт снова сможет спросить прод сам" ;;
+    *) printf '%s' "спрашивать нечем: нет ни токена роя (TASKLESS_TOKEN, ~/.taskless-swarm), ни OAuth-токена MCP для ${API} в кредах claude (${CLAUDE_CONFIG_DIR:-~/.claude}/.credentials.json, на macOS — связка ключей). Подключи MCP: claude mcp add --transport http -s user taskless ${API%/}/api/mcp — или поставь рой: swarm login" ;;
+  esac
+}
+
+# Ответ прода: печатает строку решения, код 0 (можно) / 1 (нельзя) / 2 (прод не ответил).
+prod_gate() {
+  command -v curl >/dev/null 2>&1 || return 2
+  api="$API"
+  # Ничего нет — прод для этой машины недоступен (код 2), и это ЗАПРЕТ, а не «можно».
+  token="$(pick_token)" || return 2
+  [ -n "$token" ] || return 2
+  # Репозиторий КОНТЕКСТА (TASWM-492): у короткой формы `#778` его нет, а номера PR у разных
+  # репозиториев независимы. Берём origin текущего каталога, как это делает CLI.
+  ctx="$(git remote get-url origin 2>/dev/null)"
+  # --get + --data-urlencode: ссылка на PR содержит `:`/`/`, а короткая форма — `#`, который
+  # в сыром query оборвал бы адрес на решётке. Аргументы собираем массивом, а не строкой:
+  # подстановка с кавычками внутри развалилась бы по пробелам.
+  args=(--get --data-urlencode "pr=$ref")
+  [ -n "$ctx" ] && args+=(--data-urlencode "repo=$ctx")
+  # Токен отдаём curl'у КОНФИГОМ ЧЕРЕЗ STDIN (-K -), а не флагом `-H`: аргументы процесса
+  # видны в `ps` любому пользователю машины, а это полноценный токен доступа к трекеру.
+  body="$(printf 'header = "Authorization: Bearer %s"\n' "$token" |
+    curl -fsS --max-time 15 -K - "${args[@]}" "${api%/}/api/swarm/merge-gate" 2>/dev/null)" || return 2
+  # Разбираем РОВНО два поля. Нет `allowed` (прокси, страница логина, чужой JSON) — считаем,
+  # что прод не ответил: 200 с чужим телом не должно превращаться в «мерж разрешён».
+  case "$body" in
+    *'"allowed":true'*) printf '%s' "$body" | prod_line; return 0 ;;
+    *'"allowed":false'*) printf '%s' "$body" | prod_line; return 1 ;;
+  esac
+  return 2
+}
+# Человеко-строка из ответа прода (поле `line`), либо запасная фраза, если его нет.
+prod_line() {
+  line="$(sed -n 's/.*"line"[[:space:]]*:[[:space:]]*"\([^"]*\)".*/\1/p' | head -n1)"
+  printf '%s' "${line:-ответ прода без человеко-причины}"
+}
+
+if ! command -v swarm >/dev/null 2>&1; then
+  prod_out="$(prod_gate)"
+  case $? in
+    0) allow ;;
+    1) deny "$prod_out"$'\n\n'"Мерж отменён гейтом роя (TASWM-355): PR проекта с включённым авторевью не мержится, пока дрон-ревьюер не вынес вердикт. Ответ дал прод — рой на этой машине не установлен. Дождись вердикта (в дашборде — фаза ревью прогона). $ESCAPE" ;;
+    *) deny "Гейт мержа роя (TASWM-500) не смог получить ответ: демона на этой машине нет (нет и CLI swarm), прод не ответил — $(token_hint). Мерж отменён: без ответа рой не может подтвердить, что по PR есть вердикт ревьюера. $ESCAPE" ;;
+  esac
+fi
+
+out="$(swarm merge-gate "$ref" 2>&1)"
+code=$?
+
+# Четыре исхода, и различать их обязательно (иначе гейт беззвучно превращается в свою
+# противоположность):
+#  • «мерж разрешён» — пропускаем;
+#  • «мерж запрещён» — deny (CLI сам выходит с 1 и говорит, почему);
+#  • СПРОСИТЬ НЕ УДАЛОСЬ («демон не ответил» / «ответа нет ни у кого») — не решение политики:
+#    идём к проду сами (TASWM-500), и только его молчание превращается в запрет;
+#  • рой ЕЩЁ НЕ УМЕЕТ отвечать (старый CLI/демон без команды merge-gate: печатает справку
+#    и выходит с 0!) — пропускаем, но говорим об этом в stderr. Запрещать здесь значило бы
+#    застопорить мержи на машине, чей рой просто не обновлён, — причина, к дисциплине
+#    ревью отношения не имеющая. Гейт включится сам, как только машина обновится.
+case "$out" in
+  *"мерж разрешён"*) allow ;;
+  # «Спросить не удалось» — НЕ решение политики, хотя CLI и печатает его как отказ. Старый
+  # CLI (без прод-фолбэка) говорит так о лежащем демоне, новый — когда молчат оба. Отличать
+  # обязательно и проверять раньше «мерж запрещён»: иначе на машине со СТАРЫМ CLI хук
+  # отказывал бы по PR, вердикт которого лежит на проде, — ровно случай 24.08 (TASWM-500).
+  # Ничего не решаем здесь, проваливаемся к вопросу проду ниже.
+  *"демон не ответил"*|*"ответа нет ни у кого"*) ;;
+  *"мерж запрещён"*) deny "$out"$'\n\n'"Мерж отменён гейтом роя (TASWM-355): PR проекта с включённым авторевью не мержится, пока дрон-ревьюер не вынес вердикт. Дождись вердикта (в дашборде — фаза ревью прогона). $ESCAPE" ;;
+esac
+if [ "$code" -eq 0 ]; then
+  # Старый CLI (TASWM-481). Раньше здесь СРАЗУ пропускали: спросить было не у кого, а стопорить
+  # мержи на машине, чей рой просто не обновлён, — причина, к дисциплине ревью отношения не
+  # имеющая. Теперь спрашивать ЕСТЬ у кого: вердикты лежат на проде, и путь к нему не зависит
+  # ни от версии CLI, ни от живости демона. Поэтому пропускаем только тогда, когда и прод
+  # промолчал, — и по-прежнему говорим об этом вслух.
+  prod_out="$(prod_gate)"
+  case $? in
+    0) allow ;;
+    1) deny "$prod_out"$'\n\n'"Мерж отменён гейтом роя (TASWM-355): вердикта ревьюера по этому PR нет. Ответ дал прод — рой на этой машине старой версии (команды merge-gate он не знает). Обнови: swarm update. $ESCAPE" ;;
+  esac
+  printf '%s\n' "pre-merge-gate: рой на этой машине не знает команды merge-gate (старая версия), прод тоже не ответил — мерж пропущен БЕЗ проверки вердикта. Обнови: swarm update" >&2
+  allow
+fi
+# CLI есть, но ответа не дал (старый CLI без прод-фолбэка при лежащем демоне, сломанная
+# установка). Прежде чем запрещать, спрашиваем прод сами — ответ у него есть и тогда, когда
+# CLI до него не дошёл; молчит и он — запрет, как и было.
+prod_out="$(prod_gate)"
+case $? in
+  0) allow ;;
+  1) deny "$prod_out"$'\n\n'"Мерж отменён гейтом роя (TASWM-355): вердикта ревьюера по этому PR нет. Ответ дал прод — локальный демон молчит. $ESCAPE" ;;
+esac
+deny "$out"$'\n\n'"Гейт мержа роя (TASWM-500) не смог получить ответ — ни локальный демон, ни прод: $(token_hint). Мерж отменён: без ответа рой не может подтвердить, что по PR есть вердикт ревьюера. $ESCAPE"

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@taskless-app/swarm",
-  "version": "0.6.24",
+  "version": "0.6.25",
   "type": "module",
   "description": "Local control plane for a fleet of AI coding agents (drones), coordinating through Taskless. The overmind runs the swarm.",
   "keywords": [
@@ -30,6 +30,7 @@
   "files": [
     "dist",
     "docs/HERO.md",
+    "hooks",
     "roles"
   ],
   "dependencies": {
@@ -38,7 +39,7 @@
     "execa": "^10.0.0",
     "zod": "3.25.76"
   },
-  "gitHead": "af6c4af0f523891b5db805d9b4583021688ed1f5",
+  "gitHead": "36aaed0414a46ea272ad762b81e051fecec40eaa",
   "scripts": {
     "overmind": "NODE_OPTIONS=\"${NODE_OPTIONS:-} --conditions=development\" tsx src/overmind.ts",
     "swarm": "NODE_OPTIONS=\"${NODE_OPTIONS:-} --conditions=development\" tsx src/cli.ts",