@timekast/factory 1.10.0 → 1.11.0

package/dist/commands/bootstrap-version.js

@@ -0,0 +1,43 @@
+/**
+ * `factory bootstrap-version` — report / compare the bootstrap version (BOOT-002,
+ * consumed by BOOT-003). The macOS launcher bootstrap is a tiny stable `.app`;
+ * when its logic changes we publish a new `launcher-v*` bootstrap. This command
+ * lets an installed bootstrap ask the CLI "am I outdated?" without baking the
+ * latest version number into the `.app`.
+ *
+ * Contract BOOT-003 consumes:
+ *   factory bootstrap-version --have <version>  → prints `outdated` (have < expected)
+ *                                                 or `ok` (have >= expected)
+ *   factory bootstrap-version                   → prints EXPECTED_BOOTSTRAP_VERSION
+ *                                                 (debug aid)
+ *
+ * The comparison goes through `compare()` from `lib/semver.ts` — the existing
+ * total comparator — NOT a naive string compare (so `1.10.0` > `1.9.0`).
+ */
+import { compare } from '../lib/semver.js';
+/**
+ * SSOT for the latest published bootstrap version. Bump this when a new
+ * `launcher-v*` bootstrap ships so installed launchers learn they are outdated.
+ */
+export const EXPECTED_BOOTSTRAP_VERSION = '1.0.0';
+/** Read the value of a `--have <version>` flag from the arg list, if present. */
+function parseHave(args) {
+    const idx = args.indexOf('--have');
+    if (idx === -1)
+        return undefined;
+    return args[idx + 1];
+}
+/**
+ * Run `factory bootstrap-version`. With `--have <version>`, compares it against
+ * EXPECTED_BOOTSTRAP_VERSION and prints `outdated` / `ok`; without it, prints
+ * the expected version.
+ */
+export function runBootstrapVersion(args) {
+    const have = parseHave(args);
+    if (have === undefined) {
+        console.log(EXPECTED_BOOTSTRAP_VERSION);
+        return;
+    }
+    // have < expected → outdated; equal or newer → ok.
+    console.log(compare(have, EXPECTED_BOOTSTRAP_VERSION) < 0 ? 'outdated' : 'ok');
+}

package/dist/commands/launcher-path.js

@@ -0,0 +1,31 @@
+/**
+ * `factory launcher-path` — print the absolute path to the packaged launcher
+ * AppleScript (BOOT-002). This is the CLI side of the launcher auto-update: the
+ * macOS bootstrap (BOOT-001) resolves `@timekast/factory@latest`, runs this
+ * command to discover where the GUI logic lives inside the installed package,
+ * and `run script`s it. So shipping a new `cli-v*` updates the launcher logic
+ * without recompiling or redistributing the `.app`.
+ *
+ * Path resolution is MODULE-RELATIVE, never `process.cwd()`: npx runs from a
+ * temporary cache directory, so `cwd` would point at the user's project, not at
+ * the installed package. At runtime this module lives at `dist/commands/`, so
+ * `..` lands on `dist/`, where the build copy-step places `launcher.applescript`
+ * (see the `build` script in `cli/package.json` + `files: ["dist"]`).
+ *
+ * We ship the SOURCE `.applescript` (not a compiled `.scpt`): it is legible and
+ * diffeable in git, and `run script` accepts a source script just fine. The few
+ * milliseconds a compiled script would save do not justify shipping an opaque
+ * binary blob in the package.
+ */
+import { dirname, join } from 'node:path';
+import { fileURLToPath } from 'node:url';
+/** Resolve the absolute path to the packaged `launcher.applescript`, relative to this module. */
+export function launcherPath() {
+    const here = dirname(fileURLToPath(import.meta.url));
+    // dist/commands/launcher-path.js → dist/launcher.applescript
+    return join(here, '..', 'launcher.applescript');
+}
+/** Print the absolute path of the packaged launcher script to stdout. */
+export function runLauncherPath() {
+    console.log(launcherPath());
+}

package/dist/index.js

@@ -11,7 +11,9 @@ import { dirname, join } from 'node:path';
 import { fileURLToPath } from 'node:url';
 import { CLIError } from './lib/cli-error.js';
 import { parseAddFlags, runAdd } from './commands/add.js';
+import { runBootstrapVersion } from './commands/bootstrap-version.js';
 import { runDoctor } from './commands/doctor.js';
+import { runLauncherPath } from './commands/launcher-path.js';
 import { parseNewFlags, runNew } from './commands/new.js';
 import { parsePublishArgs, runPublish } from './commands/publish.js';
 import { secretsCommand } from './commands/secrets.js';
@@ -34,6 +36,8 @@ Comandos:
   publish <qué>    Publica el entregable (proposal|mockup|both) a proposals.timekast.mx
   unpublish [qué]  Baja del hub un entregable publicado (proposal|mockup|both; default both)
   secrets <file>   Mergea un archivo KEY=value de secretos de metodología a ~/.claude/.env (chmod 600)
+  launcher-path    (interno) Imprime el path del launcher.applescript empacado (lo usa el bootstrap)
+  bootstrap-version (interno) Imprime/compara la versión del bootstrap (\`--have <ver>\` → ok|outdated)
 
 Sobre \`new\`:
   Pregunta el perfil de forma interactiva. Los flags \`--full\` / \`--core\` lo
@@ -147,6 +151,14 @@ async function main(argv) {
             await secretsCommand(file);
             return;
         }
+        case 'launcher-path': {
+            runLauncherPath();
+            return;
+        }
+        case 'bootstrap-version': {
+            runBootstrapVersion(rest);
+            return;
+        }
         default:
             throw new CLIError(`Comando desconocido: \`${command}\`.\nEjecuta \`factory --help\` para ver los comandos disponibles.`);
     }

package/dist/launcher.applescript

@@ -0,0 +1,239 @@
+-- TimeKast Factory — launcher (macOS)
+-- Crea proyectos nuevos y actualiza proyectos existentes SIN abrir la terminal.
+-- Envuelve `npx @timekast/factory`. Se ejecuta dentro de un login shell
+-- (`${SHELL:-/bin/zsh} -lc`) para heredar el PATH real del usuario (node / npx /
+-- gh por nvm o homebrew no están en el PATH mínimo de `do shell script`). Usa
+-- `$SHELL` (que `do shell script` sí exporta) con fallback a /bin/zsh; soporte
+-- solo para shells POSIX compatibles con `-lc` (zsh/bash).
+--
+-- Requisitos (una sola vez por máquina): Node 22+, `gh auth login` hecho,
+-- miembro de la org TimeKast en GitHub.
+
+property kCLIPkg : "@timekast/factory"
+property kCLI : "@timekast/factory@latest" -- default (fallback); `on run` lo resuelve vía resolvedCLI (pin opcional)
+property kTitle : "TimeKast Factory"
+property kOrg : "TimeKast"
+
+on run
+	-- Resuelve la versión del CLI a usar (pin opcional sin recompilar; ver `resolvedCLI`).
+	-- Se reasigna la property global kCLI para que los 3 call-sites la usen sin cambios.
+	set kCLI to resolvedCLI()
+
+	set homeRoot to (POSIX path of (path to home folder)) & "timekast"
+	do shell script "mkdir -p " & quoted form of homeRoot
+
+	if not checkPrereqs() then return
+
+	set theAction to choose from list {"Nuevo proyecto", "Actualizar proyecto", "Poner secrets"} with prompt "TimeKast Factory — ¿qué quieres hacer?" default items {"Nuevo proyecto"} OK button name "Continuar" cancel button name "Salir"
+	if theAction is false then return
+	set theAction to item 1 of theAction
+
+	if theAction is "Nuevo proyecto" then
+		newProject(homeRoot)
+	else if theAction is "Actualizar proyecto" then
+		updateProject(homeRoot)
+	else
+		installSecrets()
+	end if
+end run
+
+-- ───────────────────── Versión del CLI (pin opcional) ─────────────────────
+-- Por defecto usa `@timekast/factory@latest`. Para fijar una versión SIN recompilar
+-- la .app, crea `~/.timekast-launcher.conf` con una línea:  CLI_VERSION=@1.9.0
+-- (también acepta `CLI_VERSION=1.9.0`). Útil para validar una versión específica antes
+-- de mover al equipo a @latest. Sin archivo o sin la línea → fallback a kCLI (@latest).
+on resolvedCLI()
+	try
+		set confPath to (POSIX path of (path to home folder)) & ".timekast-launcher.conf"
+		set pinned to do shell script "grep -E '^CLI_VERSION=' " & quoted form of confPath & " 2>/dev/null | tail -1 | cut -d= -f2- | tr -d '[:space:]'"
+		if pinned is not "" then
+			if pinned starts with "@" then
+				return kCLIPkg & pinned
+			else
+				return kCLIPkg & "@" & pinned
+			end if
+		end if
+	end try
+	return kCLI
+end resolvedCLI
+
+-- ───────────────────── Preflight de requisitos ─────────────────────
+-- true si node + gh + gh-auth están listos; si no, avisa cómo arreglarlo y
+-- devuelve false. Corre en login shell (`${SHELL:-/bin/zsh} -lc`) para ver el PATH real.
+on checkPrereqs()
+	try
+		do shell script "${SHELL:-/bin/zsh} -lc 'command -v node'"
+	on error
+		display dialog "Falta Node.js." & return & return & "Instálalo y vuelve a abrir la app:" & return & "    https://nodejs.org    (o:  brew install node)" with title kTitle buttons {"Entendido"} default button "Entendido" with icon stop
+		return false
+	end try
+	-- Versión de Node: el CLI requiere Node 22+. El `22` va hardcodeado: boundary
+	-- AppleScript — no puede importar la constante de `engines.node` del CLI TypeScript.
+	-- Si sube el mínimo, actualizar aquí y en cli/launchers/README.md (Requisitos).
+	try
+		set nodeMajor to (do shell script "${SHELL:-/bin/zsh} -lc 'node -v' | sed 's/^v//' | cut -d. -f1") as integer
+		if nodeMajor < 22 then
+			display dialog "Necesitas Node 22 o superior." & return & return & "Tienes la versión " & nodeMajor & "." & return & return & "Instala una versión nueva desde:" & return & "    https://nodejs.org" with title kTitle buttons {"Entendido"} default button "Entendido" with icon stop
+			return false
+		end if
+	on error
+		display dialog "No pude verificar la versión de Node.js." & return & return & "Asegúrate de tener Node 22 o superior:" & return & "    https://nodejs.org" with title kTitle buttons {"Entendido"} default button "Entendido" with icon stop
+		return false
+	end try
+	try
+		do shell script "${SHELL:-/bin/zsh} -lc 'command -v gh'"
+	on error
+		display dialog "Falta GitHub CLI (gh)." & return & return & "Instálalo y vuelve a abrir la app:" & return & "    brew install gh" with title kTitle buttons {"Entendido"} default button "Entendido" with icon stop
+		return false
+	end try
+	try
+		do shell script "${SHELL:-/bin/zsh} -lc 'gh auth status'"
+	on error
+		display dialog "GitHub CLI no está autenticado." & return & return & "Inicia sesión una sola vez en la terminal:" & return & "    gh auth login" with title kTitle buttons {"Entendido"} default button "Entendido" with icon stop
+		return false
+	end try
+	-- Usuario de GitHub: gh api /user --jq .login — necesario para armar el check de membresía que sigue
+	try
+		set ghUser to do shell script "${SHELL:-/bin/zsh} -lc 'gh api /user --jq .login'"
+	on error
+		display dialog "No pude leer tu usuario de GitHub." & return & return & "Revisa tu sesión con:" & return & "    gh auth status" with title kTitle buttons {"Entendido"} default button "Entendido" with icon stop
+		return false
+	end try
+	-- Membresía de la org: mismo check que el CLI (gh api /orgs/<org>/members/<login> → 204 si es miembro)
+	try
+		do shell script "${SHELL:-/bin/zsh} -lc " & quoted form of ("gh api /orgs/" & kOrg & "/members/" & ghUser)
+	on error
+		display dialog "Tu cuenta de GitHub (" & ghUser & ") no aparece como miembro de la org " & kOrg & "." & return & return & "Si YA eres miembro y aun así ves esto, a tu sesión le falta un permiso para ver la membresía. Ejecútalo una vez en la terminal:" & return & "    gh auth refresh -s read:org" & return & return & "Si NO eres miembro, pide acceso a la org o entra con la cuenta correcta:" & return & "    gh auth login" with title kTitle buttons {"Entendido"} default button "Entendido" with icon stop
+		return false
+	end try
+	return true
+end checkPrereqs
+
+-- ───────────────────────── Nuevo proyecto ─────────────────────────
+on newProject(homeRoot)
+	-- Nombre
+	set nameAns to display dialog "¿Cómo se va a llamar el proyecto?" default answer "" with title kTitle buttons {"Cancelar", "Siguiente"} default button "Siguiente"
+	if button returned of nameAns is "Cancelar" then return
+	set projName to text returned of nameAns
+	if projName is "" then
+		display alert "Falta el nombre" message "Vuelve a abrir y escribe un nombre para el proyecto." as warning
+		return
+	end if
+
+	-- Perfil
+	set profChoice to choose from list {"App completa (starter kit + cerebro)", "Solo el cerebro"} with prompt "¿Qué quieres crear para «" & projName & "»?" default items {"App completa (starter kit + cerebro)"} OK button name "Siguiente" cancel button name "Cancelar"
+	if profChoice is false then return
+	if (item 1 of profChoice) starts with "App completa" then
+		set profileFlag to "--full"
+	else
+		set profileFlag to "--core"
+	end if
+
+	-- Ubicación (default ~/timekast, con opción de elegir otra)
+	set locAns to display dialog "¿Dónde guardar el proyecto?" with title kTitle buttons {"Cancelar", "Elegir otra…", "Usar ~/timekast"} default button "Usar ~/timekast"
+	set locBtn to button returned of locAns
+	if locBtn is "Cancelar" then return
+	if locBtn is "Usar ~/timekast" then
+		set destFolder to homeRoot
+	else
+		set destFolder to POSIX path of (choose folder with prompt "Elige dónde crear el proyecto" default location (POSIX file homeRoot))
+		-- choose folder devuelve con "/" final; lo normalizamos sin "/" para el join
+		if destFolder ends with "/" then set destFolder to text 1 thru -2 of destFolder
+	end if
+
+	-- Crear (oculto, con aviso no-bloqueante)
+	display notification "Creando «" & projName & "»… puede tardar ~30 s." with title kTitle
+	set innerCmd to "cd " & quoted form of destFolder & " && npx -y " & kCLI & " new " & quoted form of projName & " " & profileFlag
+	try
+		do shell script "${SHELL:-/bin/zsh} -lc " & quoted form of innerCmd
+	on error errMsg number errNum
+		display alert "No se pudo crear el proyecto" message errMsg as critical
+		return
+	end try
+
+	set projPath to destFolder & "/" & projName
+	set doneAns to display dialog "✔ Listo. Tu proyecto está en:" & return & projPath & return & return & "Ábrelo en Claude Code para empezar a trabajar." with title kTitle buttons {"OK", "Abrir carpeta"} default button "Abrir carpeta"
+	if button returned of doneAns is "Abrir carpeta" then
+		do shell script "open " & quoted form of projPath
+	end if
+end newProject
+
+-- ──────────────────────── Actualizar proyecto ────────────────────────
+on updateProject(homeRoot)
+	set repoFolder to POSIX path of (choose folder with prompt "Elige la carpeta del proyecto a actualizar" default location (POSIX file homeRoot))
+	if not (repoFolder ends with "/") then set repoFolder to repoFolder & "/"
+
+	-- ¿Ya está registrado con el CLI? (tiene lockfile)
+	set lockPath to repoFolder & ".timekast/lockfile.json"
+	set hasLock to (do shell script "test -f " & quoted form of lockPath & " && echo yes || echo no")
+	-- ¿Tiene cerebro instalado a mano? (carpeta .claude sin lockfile = legacy hand-managed).
+	-- Solo importa cuando NO hay lockfile. Si no podemos leer el directorio (permisos),
+	-- el try cae al caso conservador (hasClaude = "yes" → advertencia + update --yes).
+	set hasClaude to "yes"
+	try
+		set hasClaude to (do shell script "test -d " & quoted form of (repoFolder & ".claude") & " && echo yes || echo no")
+	end try
+
+	-- Tres casos:
+	--   · con lockfile               → `update` normal (la lógica de 4 cubetas del CLI resuelve conflictos)
+	--   · sin lockfile + con .claude → legacy hand-managed: advertencia + `update --yes` (auto-confirma el prompt)
+	--   · sin lockfile + sin .claude → repo fresco: `factory add` limpio, sin advertencia
+	set cliCmd to "update"
+	set updateFlag to ""
+	if hasLock is "no" then
+		if hasClaude is "yes" then
+			set warnAns to display dialog "Este proyecto tiene un cerebro (.claude) instalado a mano y todavía no está registrado con el CLI." & return & return & "Voy a ponerlo al día. Eso SOBRESCRIBE los archivos del cerebro que coincidan con la última versión; tu CLAUDE.md se conserva. Si editaste archivos del cerebro a mano, se reemplazarían." & return & return & "¿Continúo con el registro?" with title kTitle buttons {"Cancelar", "Registrar y actualizar"} default button "Registrar y actualizar" with icon caution
+			if button returned of warnAns is "Cancelar" then return
+			set updateFlag to " --yes"
+		else
+			-- Repo fresco: instalación limpia con `add`, sin advertencia de sobrescritura.
+			set cliCmd to "add"
+		end if
+	end if
+
+	-- Actualizar (oculto)
+	display notification "Actualizando el proyecto…" with title kTitle
+	set innerCmd to "cd " & quoted form of repoFolder & " && npx -y " & kCLI & " " & cliCmd & updateFlag
+	try
+		do shell script "${SHELL:-/bin/zsh} -lc " & quoted form of innerCmd
+	on error errMsg number errNum
+		if errNum is 130 then
+			display dialog "Este update tiene cambios que chocan con ediciones tuyas en el cerebro." & return & return & "No se modificó nada. Resuélvelo viendo los diffs en Claude Code, o en terminal con:" & return & "    pnpm factory:update" with title kTitle buttons {"Entendido"} default button "Entendido" with icon caution
+		else
+			display alert "No se pudo actualizar" message errMsg as critical
+		end if
+		return
+	end try
+
+	display dialog "✔ Proyecto actualizado al día." with title kTitle buttons {"OK"} default button "OK"
+end updateProject
+
+-- ──────────────────────────── Poner secrets ────────────────────────────
+-- Instala los secretos de metodología del equipo en ~/.claude/.env llamando
+-- a `npx @timekast/factory secrets <archivo>`. El gate de org (checkPrereqs en
+-- `on run`) ES la autorización: sin membresía no se llega aquí. El comando solo
+-- imprime NOMBRES de clave (nunca valores) y eso es lo que mostramos tal cual.
+on installSecrets()
+	-- Elige el archivo master de secrets. Sin filtro de tipo: los .env suelen no
+	-- tener extensión. Si el usuario cancela, volvemos al menú sin error.
+	try
+		set chosenFile to choose file with prompt "Elige tu archivo master de secrets"
+	on error number -128
+		-- El usuario presionó Cancelar — no es un fallo, simplemente regresamos.
+		return
+	end try
+
+	-- `quoted form of POSIX path` maneja rutas con espacios; obligatorio aquí.
+	display notification "Instalando secrets…" with title kTitle
+	set innerCmd to "npx -y " & kCLI & " secrets " & quoted form of (POSIX path of chosenFile)
+	try
+		set secretsResult to do shell script "${SHELL:-/bin/zsh} -lc " & quoted form of innerCmd
+	on error errMsg number errNum
+		display alert "No se pudieron poner los secrets" message errMsg as critical
+		return
+	end try
+
+	-- El stdout del CLI ya lista solo NOMBRES de clave (agregadas / actualizadas /
+	-- sin cambios), nunca valores — lo mostramos verbatim.
+	display dialog secretsResult with title kTitle buttons {"OK"} default button "OK"
+end installSecrets

package/dist/lib/preflight.js

@@ -65,7 +65,8 @@ async function assertOrgMembership() {
     }
     catch {
         throw new PreflightError(`No se pudo verificar que \`${login}\` sea miembro del org \`${FACTORY_ORG}\`.\n` +
-            `Solicita acceso al org \`${FACTORY_ORG}\` o verifica tu sesión con \`gh auth status\`.`);
+            `Si ya eres miembro, tu token puede carecer del scope \`read:org\` (la membresía privada queda invisible): ejecuta \`gh auth refresh -s read:org\` y vuelve a intentar.\n` +
+            `Si no eres miembro, solicita acceso al org \`${FACTORY_ORG}\` o verifica tu sesión con \`gh auth status\`.`);
     }
 }
 /**

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@timekast/factory",
-  "version": "1.10.0",
+  "version": "1.11.0",
   "description": "Public, thin CLI to bootstrap and maintain TimeKast Factory derived projects.",
   "type": "module",
   "license": "UNLICENSED",
@@ -30,7 +30,7 @@
     "node": ">=22"
   },
   "scripts": {
-    "build": "tsc -p tsconfig.json",
+    "build": "tsc -p tsconfig.json && cp launchers/src/launcher.applescript dist/",
     "typecheck": "tsc -p tsconfig.json --noEmit",
     "prepublishOnly": "pnpm build",
     "test": "vitest run",