@zaip-ai/cli 1.0.4 → 1.0.7

package/templates/.zaip-aios/templates/skills/zaip-skill-context/SKILL.md

@@ -1,16 +0,0 @@
----
-name: zaip-skill-context
-description: Build and validate token-budgeted, secret-safe ZAIP context for active work.
----
-
-# Construir contexto
-
-1. Faça inventário por nomes, tamanho, status e imports antes de abrir conteúdo; aplique filtros de data/relação em coleções grandes.
-2. Carregue `.agents/config/project.yaml`, Rules ZAIP críticas e um artefato ativo. Prefira `context build --task|--change|--execution|--spec|--prd <ID>` quando o ID for conhecido.
-3. Resolva Requirements/AC referenciados e depois somente Rules de projeto, skills, módulos, símbolos e testes diretamente relacionados.
-4. Reserve budget por camada e pare quando a pergunta já estiver respondida; explique seleção e omissões.
-5. Exclua Runs JSONL, dist, snapshots gerados e árvores de exemplos do conjunto comum; abra apenas evento/anexo exato quando necessário.
-6. Bloqueie segredos, instruções não confiáveis, symlinks/paths quebrados e conteúdo fora do workspace.
-7. Valide invariantes críticos, motivo de cada arquivo e origem da estimativa de tokens antes de entregar o pack.
-
-Não mantenha índice de conteúdo persistente apenas por performance. As projeções lifecycle locais são permitidas; conteúdo de source continua selecionado por inventário reproduzível.

package/templates/.zaip-aios/templates/skills/zaip-skill-context/agents/openai.yaml

@@ -1,4 +0,0 @@
-interface:
-  display_name: "ZAIP Context"
-  short_description: "Build minimal secret-safe token-budgeted context."
-  default_prompt: "Use $zaip-skill-context to inventory and build the smallest valid context pack for this work."

package/templates/.zaip-aios/templates/skills/zaip-skill-cqrs/SKILL.md

@@ -1,11 +0,0 @@
----
-name: zaip-skill-cqrs
-description: Design ZAIP CQRS commands, queries, ports, read models, and storage boundaries.
----
-
-# Apply CQRS
-
-1. Commands express intent, authorize, enforce invariants, mutate through write ports, and define idempotency when critical.
-2. Queries use read ports/models, never mutate, and require AccountContext for tenant data.
-3. Keep database rows and concrete clients behind outbound adapters.
-4. Run `zaip cqrs validate`; justify genuine `not_applicable` cases explicitly.

package/templates/.zaip-aios/templates/skills/zaip-skill-cqrs/agents/openai.yaml

@@ -1,4 +0,0 @@
-interface:
-  display_name: "ZAIP CQRS"
-  short_description: "Design and validate commands, queries, ports, and tenancy."
-  default_prompt: "Use $zaip-skill-cqrs to design or validate CQRS boundaries, idempotency, read models, and tenancy."

package/templates/.zaip-aios/templates/skills/zaip-skill-decisions/SKILL.md

@@ -1,14 +0,0 @@
----
-name: zaip-skill-decisions
-description: Record consequential human or AI decisions under a Change or Execution.
----
-
-# Registrar decisões
-
-1. Use origem `human` somente para escolha explícita do usuário; use `ai` para escolha autônoma necessária à entrega.
-2. Não registre execução mecânica do plano como decisão. Registre quando houve alternativa real com impacto relevante.
-3. Mantenha decisões curtas na seção de `change.md`/`execution.md`; crie arquivo em `decisions/` no mesmo diretório quando precisar de contexto, alternativas, consequências e rollback duráveis.
-4. Inclua categoria, contexto, decisão, razão, alternativas, consequência, confiança, reversibilidade e vínculo com Requirements/Tasks.
-5. Preserve origem e timestamp: confirmação posterior não reescreve decisão da IA.
-6. Registre `Nenhuma` por origem quando não houver decisão; isso permite analisar completude do planejamento sem inventar eventos.
-7. Use `zaip decision record` quando a decisão merecer arquivo próprio e valide que o scope Change/Execution existe.

package/templates/.zaip-aios/templates/skills/zaip-skill-decisions/agents/openai.yaml

@@ -1,4 +0,0 @@
-interface:
-  display_name: "ZAIP Decisions"
-  short_description: "Record and inspect consequential human and AI decisions."
-  default_prompt: "Use $zaip-skill-decisions to record or inspect a consequential decision beside its Change or Execution."

package/templates/.zaip-aios/templates/skills/zaip-skill-enforce-architecture/SKILL.md

@@ -1,14 +0,0 @@
----
-name: zaip-skill-enforce-architecture
-description: Enforce ZAIP module boundaries, dependency direction, composition roots, and private storage.
----
-
-# Enforce architecture
-
-1. Load `RULE-ARCHITECTURE` and `REQUIREMENTS-SOFTWARE-ARCHITECTURE`, then run `zaip architecture validate` and `zaip modules validate`. Validate a non-default profile with `zaip profile validate --path <profile.json>`; in the framework source repository, also run `node scripts/validate-source-size.mjs`.
-2. Classify product surfaces before moving code: `apps/frontend` is product UI, `apps/backend` is APIs/workers, and `apps/site` is the public site. Never use the ZAIP dashboard as one of those apps.
-3. Enforce `apps -> modules -> packages`, inward Clean Architecture dependencies, one explicit composition root per module and private module storage.
-4. For `.agents/dashboard`, require local read-only V2 projections and the `apps/frontend`, `modules/{operations,cost-monitor,traceability}`, `packages`, `tests/e2e` boundaries. The loopback projection server belongs to `packages/local-runtime`; reject dashboard `apps/backend`.
-5. Keep unit tests co-located and cross-app journeys in the relevant `tests/e2e` root.
-6. Treat 401–800 source lines as warning and 801+ as error. Accept a baseline exception only for preexisting non-dashboard code while it is unexpired and has not exceeded `max_lines`.
-7. Report severity, rule, file, line, impact and the smallest compliant remediation; do not suppress findings by moving code to an unrelated folder.

package/templates/.zaip-aios/templates/skills/zaip-skill-enforce-architecture/agents/openai.yaml

@@ -1,4 +0,0 @@
-interface:
-  display_name: "ZAIP Architecture"
-  short_description: "Enforce modular architecture and dependency boundaries."
-  default_prompt: "Use $zaip-skill-enforce-architecture to validate app, module, package, dashboard, and source-size boundaries."

package/templates/.zaip-aios/templates/skills/zaip-skill-eval/SKILL.md

@@ -1,14 +0,0 @@
----
-name: zaip-skill-eval
-description: Run deterministic offline ZAIP evals and map findings to governing artifacts.
----
-
-# Executar evals offline
-
-1. Selecione suites a partir dos Requirements/AC, risco e Rules do escopo; não rode tudo sem necessidade.
-2. Exija que fixtures negativas falhem pela regra esperada e que fixtures positivas passem.
-3. Registre comando, versão, duração, resultado, origem e AC comprovado em evidência sanitizada junto da Change/Execution.
-4. Um resultado só cobre AC quando o teste observa o comportamento exigido; existência de texto/arquivo não substitui teste comportamental.
-5. Diferencie `pass`, `fail`, `blocked` e `not_applicable` com justificativa verificável.
-6. Evals determinísticas offline não chamam modelo nem rede e devem produzir o mesmo resultado para o mesmo snapshot.
-7. Finding terminal bloqueia conclusão; após correção, preserve a tentativa anterior e registre a nova evidência.

package/templates/.zaip-aios/templates/skills/zaip-skill-eval/agents/openai.yaml

@@ -1,4 +0,0 @@
-interface:
-  display_name: "ZAIP Evals"
-  short_description: "Run deterministic offline evals with AC evidence."
-  default_prompt: "Use $zaip-skill-eval to run scoped offline evals and attach deterministic evidence to Acceptance Criteria."

package/templates/.zaip-aios/templates/skills/zaip-skill-execution/SKILL.md

@@ -1,36 +0,0 @@
----
-name: zaip-skill-execution
-description: Execute prepared ZAIP work explicitly, materialize its DAG, and close Runs with evidence.
----
-
-# Executar trabalho preparado
-
-Use esta skill somente quando o usuário pedir execução. `prepare` não autoriza mutação nem promoção para `ready`; quando a execução foi pedida explicitamente, prepare o PRD/SPEC ainda em `draft`, se necessário, e então execute sem exigir outra confirmação intermediária.
-
-1. Carregue o PreparedPlan e valide hash, origem, Requirements/AC, DAG, write scopes e estado atual. Ao construir ou diagnosticar o plano externo, leia [o contrato compacto](references/prepared-plan.md).
-2. Materialize idempotentemente Change, Tasks e Execution antes da primeira alteração do produto.
-3. A partir da tentativa explícita de `execute`, classifique uso como `execution`; inicie Execution, Changes, Tasks elegíveis e Runs com atribuição ao nível de entrada (`task`, `spec` ou `prd`). Ausência de diff não retroage a fase: registre `changed_files` vazio e o resultado real.
-4. Execute a ordem topológica. Paralelize apenas Tasks independentes cujos arquivos, módulos, migrations, ambientes e recursos não conflitem.
-5. Antes de integrar agentes paralelos, compare diffs, testes e efeitos; reconcilie o resultado no workspace canônico.
-6. Registre decisões humanas/IA, uso por fase, evidências por AC, testes, evals e arquivos alterados.
-7. Respeite a política do plano: use `zaip verify --changed --risk <risk>` no modo `scoped`; reserve `pnpm verify` para `full`, risco critical ou gate final exigido.
-8. Em cada `run usage`, leia `budget.context_refresh_required` e `budget.checkpoint_required`. O runtime grava o checkpoint sanitizado em `.agents/projections/runtime/checkpoints/`; quando sinalizado, reconstrua contexto somente de IDs ativos, diff e findings, descarte outputs brutos antigos e continue apenas com autoridade.
-9. Em falha operacional, use retry limitado; em falha lógica, crie repair/rework explícito. Nunca esconda uma tentativa.
-10. Cada tentativa usa uma Run raiz do `zaip-agent-orchestrator`; subagentes e fases materialmente distintas usam Sub-Runs relacionadas por `parent_run_id`. Cada Run/Sub-Run fixa agente, modelo e effort; retry técnico preserva a configuração e qualquer mudança deliberada abre outra chamada de agente.
-11. Depois que todos os Sub-Runs de trabalho terminarem, invoque `zaip-agent-finalizer` como último filho de qualquer Execution com propósito `finalization`. Não inicie novos filhos depois dele. A CLI aplica seu resultado restrito; ausência, interrupção ou falha deixa a Execution inconclusiva como `blocked`.
-12. SPEC/PRD permanece `active` entre Runs filhas e só entra em verificação após todas as Tasks; a Run filha não entrega nem bloqueia automaticamente o pai.
-
-## Paralelismo
-
-- A unidade de isolamento é a Task; a Execution mantém a DAG global, inclusive entre SPECs de um PRD.
-- O agente pode escolher execução sequencial mesmo com paralelismo permitido.
-- Toda integração final é uma dependência explícita e precisa repetir os gates relevantes no resultado combinado.
-
-## Runtime autônomo opt-in
-
-1. Leia `execution.runtime`. Ausente ou `manual` preserva a execução materializada tradicional; somente `autonomous` autoriza invocar o provider configurado.
-2. Injete `model_orchestration` somente quando `mode` for `auto` e a origem da Execution estiver em `automatic_sources`. O contrato canônico permite apenas `spec` e `prd`; uma Execution de `task` preserva a seleção manual do host.
-3. Em autonomia, exija raiz Git limpa, worktree registrada por Task, commit final sem alterações pendentes, diff dentro dos write scopes e merge abortável em conflito.
-4. Use o menor limite de paralelismo entre projeto, plano, provider e squad. Tasks `lite` têm uma tentativa; `standard` e `critical` no máximo três tentativas de desenvolvimento/reparo.
-5. Checkpoints opacos ficam somente em `.zaip-aios/local-data`; não copie token de retomada para records rastreados. Critical recebe contexto fresco e verificador independente.
-6. A validação tipada acontece dentro da worktree no commit candidato antes da integração. Falha de assurance não pode ser convertida em sucesso pelo coordenador.

package/templates/.zaip-aios/templates/skills/zaip-skill-execution/agents/openai.yaml

@@ -1,6 +0,0 @@
-interface:
-  display_name: "ZAIP Execution"
-  short_description: "Orchestrate explicit ZAIP execution and Task DAGs."
-  default_prompt: "Use $zaip-skill-execution to execute prepared Task, SPEC, or PRD work and orchestrate its DAG safely."
-policy:
-  allow_implicit_invocation: false

package/templates/.zaip-aios/templates/skills/zaip-skill-execution/references/prepared-plan.md

@@ -1,31 +0,0 @@
-# PreparedPlan V2 compacto
-
-Use este contrato quando o prepare exigir uma DAG externa. Para uma Task manual sem dependências, prefira `zaip task prepare <TASK-ID>`; com `depends_on`, forneça o plano completo em `--plan`.
-
-## Fluxo canônico
-
-1. Crie um JSON de draft sem `schema_version`, `hash` nem `dag.topological_order`.
-2. Rode `zaip plan build --draft <draft.json> --output <plan.json>` para calcular ordem e hash canônicos.
-3. Rode `zaip plan validate --plan <plan.json>`.
-4. Persista no pai com `zaip prd prepare <ID> --plan <plan.json>`, `zaip spec prepare <ID> --plan <plan.json>` ou `zaip task prepare <ID> --plan <plan.json>`.
-5. Remova o JSON intermediário quando ele não for evidência necessária; o PreparedPlan persistido no artefato pai é canônico.
-
-## Campos do draft
-
-- `revision`: inteiro positivo.
-- `source`: `{type: "task", task_id}`, `{type: "spec", spec_id}` ou `{type: "prd", prd_id}`.
-- `execution_id`: ID `EXEC-*` pré-alocado.
-- `prepared_at`: timestamp ISO 8601 com offset.
-- `policy`: `failure_policy` (`stop_on_terminal_failure` ou `continue_independent`), `max_parallelism` positivo, `max_operational_retries` e `max_repair_cycles_per_task` não negativos.
-- `blueprints.changes[]`: `key`, `id`, `title`, `short_name`, `risk`, `source`, Requirements/AC e `requirement_impact`.
-- `blueprints.tasks[]`: `key`, `id`, `change_id`, `title`, `short_name`, `objective`, `risk`, `priority`, `owner`, Requirements/AC e `write_scopes`.
-- `dag.nodes[]`: um nó por Task com `task_id` e `depends_on`.
-
-## Invariantes
-
-- Use IDs reais de Requirements/AC e IDs pré-alocados únicos; nunca invente referências durante o prepare.
-- Cada Task aponta para uma Change do mesmo plano e aparece exatamente uma vez na DAG.
-- Em plano de PRD, toda Change usa `source: {type: "prd", prd_id, spec_id}` com uma SPEC filha real; `spec_id` não pode ser nulo.
-- Em plano de SPEC ou Task, a origem da Change deve coincidir com a origem do plano.
-- Use paths workspace-relative em `write_scopes`. Tasks independentes não podem disputar scopes; modele dependência quando o compartilhamento for intencional.
-- Não calcule hash ou ordem manualmente e não edite o PreparedPlan depois de persistido. Gere nova revisão antes da execução; após materialização, trate correção como rework.

package/templates/.zaip-aios/templates/skills/zaip-skill-frontend-launcher/SKILL.md

@@ -1,29 +0,0 @@
----
-name: zaip-skill-frontend-launcher
-description: Create and validate hidden Windows launchers for reliable local frontend sessions.
----
-
-# Criar executável de frontend
-
-1. Identifique o frontend, seu build estático, a rota inicial e se o launcher pertence ao produto
-   ou a uma ferramenta local em `.agents`. Preserve `apps -> modules -> packages`.
-2. Leia [o contrato do launcher](references/launcher-contract.md) e inspecione launchers existentes
-   antes de criar outro padrão.
-3. Mantenha o executável no root da superfície e o código em `packages/local-runtime` e
-   `packages/windows-launcher`; não crie backend somente para servir arquivos estáticos.
-4. Sirva somente em loopback. Use porta preferencial configurável, busca limitada e health endpoint
-   com identidade do workspace.
-5. Persista sessão sanitizada no diretório temporário, isolada por hash do workspace. Sob lock
-   atômico, reutilize primeiro a sessão saudável e depois procure um runtime órfão reconhecível;
-   abra nova porta apenas quando nenhum deles existir.
-6. Use `.agents/config/src/icon_zaip.png` como fonte canônica padrão em workspaces ZAIP, salvo
-   identidade explicitamente definida pelo projeto. Valide formato e proporção, gere o `.ico`
-   temporário e compile com `/win32icon`; não mantenha cópias derivadas sem necessidade.
-7. Compile o wrapper C# como `winexe`. Inicie Node com `UseShellExecute=false`,
-   `CreateNoWindow=true` e `WindowStyle=Hidden`; resolva workspace e `node.exe` sem paths pessoais.
-8. Registre falhas apenas em log temporário e nunca inclua segredos, tokens ou dados do usuário.
-9. Teste ícone incorporado, path traversal, health, colisão de porta, lock obsoleto e dois cliques
-   consecutivos. O teste
-   real deve provar mesma porta, mesmo PID e um único runtime.
-10. Quando for fonte do framework, sincronize lock, template público, runtime e release; execute
-   validações de skill, arquitetura, build, pack e instalação limpa.

package/templates/.zaip-aios/templates/skills/zaip-skill-frontend-launcher/agents/openai.yaml

@@ -1,4 +0,0 @@
-interface:
-  display_name: "Frontend Launcher"
-  short_description: "Cria launchers Windows para frontends locais"
-  default_prompt: "Use $zaip-skill-frontend-launcher para criar um executável Windows seguro para este frontend local."

package/templates/.zaip-aios/templates/skills/zaip-skill-frontend-launcher/references/launcher-contract.md

@@ -1,36 +0,0 @@
-# Contrato do launcher local
-
-## Estrutura
-
-- `<surface>/launcher.exe`: artefato de duplo clique.
-- `<surface>/packages/windows-launcher/`: fonte C# e build PowerShell.
-- `<surface>/packages/local-runtime/`: servidor loopback, sessão, lock e testes.
-- `<surface>/apps/frontend/dist/`: build estático servido; ajuste o path à superfície real.
-
-## Invariantes
-
-- Defina uma única fonte visual canônica; em workspaces ZAIP use por padrão
-  `.agents/config/src/icon_zaip.png`, salvo override explícito do projeto.
-- Aceite fonte PNG ou ICO. PNG deve ser quadrado, medir entre 16 e 256 px e ser convertido em ICO
-  temporário durante o build; recomende 256×256 para novos assets.
-- Compile `winexe` com `/win32icon` e remova o ICO temporário. Nunca dependa do ícone genérico do
-  sistema nem mantenha uma cópia derivada que possa divergir da fonte.
-- Bind somente em `127.0.0.1`; nunca exponha em `0.0.0.0`.
-- Use health endpoint exclusivo com `kind` e hash estável do workspace.
-- Grave `workspace`, `workspaceKey`, `rootPid`, `port` e `createdAt` no diretório temporário.
-- Crie lock por operação atômica de filesystem, com timeout e recuperação de lock obsoleto.
-- Dentro do lock, valide a sessão e procure health compatível na faixa limitada antes de iniciar.
-- Não considere uma porta ocupada como runtime próprio sem validar o marcador e o workspace.
-- Sirva somente arquivos dentro do build root, rejeitando URL malformada e path traversal.
-- Abra o navegador apenas após listen e sessão persistida; rotas hash podem ser abertas diretamente.
-- O wrapper `winexe` deve encerrar após disparar Node oculto; o runtime é dono do servidor.
-
-## Evidência mínima
-
-1. O ícone extraído do executável existe, corresponde visualmente à fonte canônica e não é o ícone
-   genérico.
-2. Testes do servidor e do boundary de arquivos passam.
-3. Uma porta preferencial ocupada por outro processo é ignorada sem encerrá-lo.
-4. Dois disparos do executável mantêm o mesmo `rootPid` e a mesma `port`.
-5. Existe somente um processo do runtime para o workspace.
-6. O artefato distribuído funciona em path com espaços e em instalação limpa.

package/templates/.zaip-aios/templates/skills/zaip-skill-github-deploy/SKILL.md

@@ -1,75 +0,0 @@
----
-name: zaip-skill-github-deploy
-description: Use only when the user explicitly asks to publish to GitHub with folder-scoped SSH or repair a failed publication in bounded cycles; the policy-authorized demo branch may activate it automatically.
----
-
-# Deploy and repair GitHub publication
-
-Treat deploy as Git-only publication. Provider deployment is separate and requires explicit authorization.
-
-## Authorization
-
-- Require an explicit deploy, push, publication, or failed-deploy repair request in the current conversation, unless the current branch is `demo` and the project configuration explicitly grants standing automatic deployment for that branch.
-- The request authorizes the initial publication and up to five repair cycles needed to make required local and remote GitHub checks pass.
-- Limit repairs to the intended repository state and the evidenced failure. Do not add unrelated features or broaden product scope.
-- Never force push, rewrite history, replace remotes, change credentials or Git/SSH configuration, bypass checks, or deploy to another service.
-- Do not create lifecycle artifacts for an explicit Git-only publication request. A pure deploy/push only performs the deploy preflight, stages/commits the requested pending files, pushes, and verifies the remote hash. If the request also asks to repair code or CI, that repair is separate work and may use the normal ZAIP lifecycle.
-
-## Repair-loop integrity
-
-- A pure publication cycle is: run deploy preflight, stage, synchronize, commit, push, and verify the remote hash. Do not run project tests, builds, lint, or GitHub checks as part of deploy unless the user explicitly requests validation or a separate repair is in scope.
-- Run each diagnostic, gate, fetch, stage, commit, push, and hash verification at most once per cycle.
-- Start a new cycle only after a repository change or new remote evidence. Never repeat an unchanged failing command hoping for a different result.
-- Continue until all required checks pass or a terminal blocker occurs. Stop after five repair cycles, or when the same root cause remains after two repairs.
-- Treat authentication, unavailable credentials, branch divergence, secret exposure, destructive changes, GitHub outages, and ambiguous scope expansion as terminal blockers.
-
-## Prove folder-scoped SSH first
-
-From the repository root, select the explicit remote or `origin`, then run once:
-
-```powershell
-node .agents/skills/zaip-skill-github-deploy/scripts/preflight.mjs --repository . --remote origin --branch demo
-```
-
-The preflight must prove that the push URL uses SSH, no process override is active, the effective `core.sshCommand` comes from repository-local or matching folder configuration, its private key exists, Git identity exists, and `git ls-remote` succeeds.
-
-Run preflight once at the start of the authorized deployment. On failure, stop. Do not edit Git/SSH configuration, use `git -c core.sshCommand=...`, set an environment override, or invoke `ssh -i` directly. Retain the sanitized result as evidence.
-
-## Review and validate
-
-1. Snapshot `git status --short --branch`, file names, and the diff summary.
-2. Inspect suspicious environment, key, certificate, state, or credential files without printing secret values. Block secrets and files at or above GitHub's 100 MB limit.
-3. Reuse valid evidence for unchanged work. Run only gates required by repository Rules, the active Change, or the failed GitHub job.
-   - Turbo cache hits are valid only when the active work did not originate from a failed remote CI gate.
-   - When repairing failed CI, reproduce the exact failed gate once per repair cycle with Turbo cache bypassed when applicable.
-4. If a local gate fails, capture the exact failing command and error, make the smallest authorized repair, update lifecycle evidence, and start the next cycle without asking for another deploy authorization.
-5. After all local gates pass, run `git add -A` once for that publication cycle. Inspect `git diff --cached --name-status`, `git diff --cached --stat`, and `git diff --cached --check`. Never force-add ignored files.
-
-## Synchronize and publish each cycle
-
-Fetch the selected remote and current branch once per publication cycle, without SSH overrides. Compute ahead/behind against the fetched ref. Stop when local is behind or diverged; do not merge, rebase, reset, or force.
-
-Use the executing-agent commit prefix:
-
-- Codex: `[AUTO][CODEX]`
-- Claude: `[AUTO][CLAUDE]`
-- Gemini: `[AUTO][GEMINI]`
-- Roo: `[AUTO][ROO][15 AGENTS]`
-
-Commit once and push once per publication cycle. With an upstream, use `git push`; for first publication, use `git push -u <remote> <branch>`. If the index is empty and there is no unpushed commit, report a no-op.
-
-- If push fails, treat it as terminal unless repository content caused a documented server-side rejection that can be repaired locally.
-- Never switch keys, accounts, remotes, or transport, and never pass SSH/config overrides or force options.
-
-## Verify and monitor GitHub checks
-
-1. After every push, compare `git rev-parse HEAD` with one `git ls-remote <remote> refs/heads/<branch>` result.
-2. Inspect required GitHub checks for that exact commit using an available authenticated GitHub CLI, API, connector, or browser session. Wait up to 20 minutes for terminal status and provide a concise progress update at least once per minute.
-3. If all required checks pass, confirm the remote hash, commit title, SSH identity source, key path, and worktree status.
-4. If a check fails, read the exact job and step logs before editing. Do not weaken or remove the check merely to obtain green status.
-5. Repair the evidenced cause, complete lifecycle records, and start the next cycle under the same user authorization.
-6. If checks cannot be observed, report the push as successful but CI as unconfirmed; never claim the deployment is fully validated.
-
-## Success condition
-
-Finish only when the local and remote hashes match, every required observable check is successful, and the intended worktree is clean. Otherwise report the exact terminal blocker and the repair cycles consumed.

package/templates/.zaip-aios/templates/skills/zaip-skill-github-deploy/agents/openai.yaml

@@ -1,6 +0,0 @@
-interface:
-  display_name: "ZAIP GitHub Deploy"
-  short_description: "Deploy GitHub com reparos controlados"
-  default_prompt: "Use $zaip-skill-github-deploy para publicar este repositório via SSH da pasta, corrigindo falhas locais ou do CI em ciclos controlados até os checks passarem."
-policy:
-  allow_implicit_invocation: true

package/templates/.zaip-aios/templates/skills/zaip-skill-github-deploy/scripts/preflight.mjs

@@ -1,256 +0,0 @@
-#!/usr/bin/env node
-
-import { spawnSync } from "node:child_process";
-import { existsSync } from "node:fs";
-import { homedir } from "node:os";
-import { dirname, isAbsolute, relative, resolve } from "node:path";
-
-const options = parseArguments(process.argv.slice(2));
-
-try {
-  const requestedRepository = resolve(options.repository);
-  const repository = git(requestedRepository, ["rev-parse", "--show-toplevel"]).trim();
-  const gitDirectory = git(repository, ["rev-parse", "--absolute-git-dir"]).trim();
-  const branch = git(repository, ["branch", "--show-current"]).trim();
-  if (branch === "") fail("detached HEAD is not deployable");
-  if (options.branch !== null && branch !== options.branch) {
-    fail(`current branch ${branch} does not match required branch ${options.branch}`);
-  }
-
-  for (const variable of ["GIT_SSH", "GIT_SSH_COMMAND"]) {
-    if (process.env[variable]?.trim()) fail(`${variable} overrides folder-scoped Git SSH config`);
-  }
-
-  const pushUrl = git(repository, ["remote", "get-url", "--push", options.remote]).trim();
-  if (!isSshUrl(pushUrl)) fail(`remote ${options.remote} push URL is not SSH: ${pushUrl}`);
-
-  const name = requiredConfig(repository, "user.name");
-  const email = requiredConfig(repository, "user.email");
-  const sshCommand = requiredConfig(repository, "core.sshCommand");
-  const sshSource = configPath(sshCommand.origin, repository);
-  if (!isFolderScoped(repository, gitDirectory, sshSource)) {
-    fail(
-      `core.sshCommand is not repository-local or loaded by a matching includeIf gitdir: ${sshCommand.origin}`,
-    );
-  }
-
-  const identityArgument = /(?:^|\s)-i(?:\s+|=)(?:"([^"]+)"|'([^']+)'|(\S+))/.exec(
-    sshCommand.value,
-  );
-  if (!identityArgument) fail("folder-scoped core.sshCommand does not declare an -i identity file");
-  const identityFile = resolveConfigPath(
-    identityArgument[1] ?? identityArgument[2] ?? identityArgument[3],
-    repository,
-  );
-  if (!existsSync(identityFile))
-    fail(`folder-scoped SSH identity file does not exist: ${identityFile}`);
-
-  const remoteOutput = git(repository, ["ls-remote", "--symref", options.remote, "HEAD"], {
-    timeout: options.timeout,
-    env: {
-      ...process.env,
-      GIT_TERMINAL_PROMPT: "0",
-      GCM_INTERACTIVE: "Never",
-    },
-  });
-  const remoteReference = /^ref:\s+(\S+)\s+HEAD$/m.exec(remoteOutput)?.[1] ?? null;
-  const remoteHead = /^([a-f0-9]{40,64})\s+HEAD$/m.exec(remoteOutput)?.[1] ?? null;
-  if (!remoteReference || !remoteHead) fail("remote HEAD could not be resolved deterministically");
-
-  const upstream = git(repository, ["rev-parse", "--abbrev-ref", "--symbolic-full-name", "@{u}"], {
-    allowFailure: true,
-  }).trim();
-
-  process.stdout.write(
-    `${JSON.stringify(
-      {
-        status: "ready",
-        repository,
-        branch,
-        required_branch: options.branch,
-        upstream: upstream || null,
-        remote: {
-          name: options.remote,
-          push_url: pushUrl,
-          head_reference: remoteReference,
-          head: remoteHead,
-        },
-        git_identity: {
-          name: name.value,
-          email: email.value,
-        },
-        ssh: {
-          folder_scoped: true,
-          config_source: sshCommand.origin,
-          identity_file: identityFile,
-          process_override: false,
-        },
-      },
-      null,
-      2,
-    )}\n`,
-  );
-} catch (error) {
-  process.stderr.write(
-    `deploy preflight failed: ${error instanceof Error ? error.message : String(error)}\n`,
-  );
-  process.exitCode = 1;
-}
-
-function parseArguments(arguments_) {
-  const parsed = { repository: ".", remote: "origin", branch: null, timeout: 15_000 };
-  for (let index = 0; index < arguments_.length; index += 1) {
-    const argument = arguments_[index];
-    if (argument === "--repository")
-      parsed.repository = requiredValue(arguments_, ++index, argument);
-    else if (argument === "--remote") parsed.remote = requiredValue(arguments_, ++index, argument);
-    else if (argument === "--branch") parsed.branch = requiredValue(arguments_, ++index, argument);
-    else if (argument === "--timeout-ms") {
-      parsed.timeout = Number(requiredValue(arguments_, ++index, argument));
-    } else if (argument === "--help") {
-      process.stdout.write(
-        "Usage: preflight.mjs [--repository PATH] [--remote NAME] [--branch NAME] [--timeout-ms 1000..60000]\n",
-      );
-      process.exit(0);
-    } else fail(`unknown argument: ${argument}`);
-  }
-  if (!Number.isInteger(parsed.timeout) || parsed.timeout < 1_000 || parsed.timeout > 60_000) {
-    fail("--timeout-ms must be an integer from 1000 to 60000");
-  }
-  if (parsed.branch !== null && !/^[A-Za-z0-9][A-Za-z0-9._/-]*$/.test(parsed.branch)) {
-    fail("--branch must be a plain Git branch name");
-  }
-  return parsed;
-}
-
-function requiredValue(arguments_, index, option) {
-  const value = arguments_[index];
-  if (!value || value.startsWith("--")) fail(`${option} requires a value`);
-  return value;
-}
-
-function git(repository, arguments_, settings = {}) {
-  const result = spawnSync("git", ["-C", repository, ...arguments_], {
-    encoding: "utf8",
-    timeout: settings.timeout ?? 10_000,
-    env: settings.env ?? process.env,
-    windowsHide: true,
-  });
-  if (result.error) fail(`${formatGit(arguments_)}: ${result.error.message}`);
-  if (result.status !== 0) {
-    if (settings.allowFailure) return "";
-    const detail = (result.stderr || result.stdout || `exit ${result.status}`).trim();
-    fail(`${formatGit(arguments_)}: ${detail}`);
-  }
-  return result.stdout;
-}
-
-function requiredConfig(repository, key) {
-  const output = git(repository, ["config", "--show-origin", "--get", key]);
-  const tab = output.indexOf("\t");
-  if (tab < 1) fail(`effective ${key} has no origin`);
-  const value = output.slice(tab + 1).trim();
-  if (!value) fail(`effective ${key} is empty`);
-  return { origin: output.slice(0, tab).trim(), value };
-}
-
-function isFolderScoped(repository, gitDirectory, sshSource) {
-  if (isWithin(sshSource, gitDirectory)) return true;
-  const output = git(
-    repository,
-    ["config", "--show-origin", "--get-regexp", "^includeIf\\..*\\.path$"],
-    {
-      allowFailure: true,
-    },
-  );
-  return output
-    .split(/\r?\n/)
-    .filter(Boolean)
-    .some((line) => {
-      const tab = line.indexOf("\t");
-      const space = line.indexOf(" ", tab + 1);
-      if (tab < 1 || space < 0) return false;
-      const declaringConfig = configPath(line.slice(0, tab), repository);
-      const key = line.slice(tab + 1, space);
-      const includedConfig = resolveConfigPath(
-        line.slice(space + 1).trim(),
-        dirname(declaringConfig),
-      );
-      return (
-        samePath(includedConfig, sshSource) &&
-        includeConditionMatches(key, gitDirectory, declaringConfig)
-      );
-    });
-}
-
-function includeConditionMatches(key, gitDirectory, declaringConfig) {
-  const match = /^includeif\.(gitdir\/i|gitdir):(.+)\.path$/i.exec(key);
-  if (!match) return false;
-  let condition = match[2];
-  if (condition.startsWith("~/") || condition.startsWith("~\\")) {
-    condition = resolve(homedir(), condition.slice(2));
-  } else if (condition.startsWith("./") || condition.startsWith(".\\")) {
-    condition = resolve(dirname(declaringConfig), condition.slice(2));
-  }
-  const portableCondition = portable(condition);
-  const patternSource = portableCondition
-    .replace(/[.+^${}()|[\]\\]/g, "\\$&")
-    .replaceAll("**", "ZAIP_DOUBLE_STAR_SENTINEL")
-    .replace(/\*/g, "[^/]*")
-    .replaceAll("ZAIP_DOUBLE_STAR_SENTINEL", ".*")
-    .replace(/\?/g, "[^/]");
-  const prefixPattern = portableCondition.endsWith("/") ? `${patternSource}.*` : patternSource;
-  return new RegExp(`^${prefixPattern}$`, match[1].toLowerCase() === "gitdir/i" ? "i" : "").test(
-    portable(gitDirectory),
-  );
-}
-
-function resolveConfigPath(value, base) {
-  const unquoted = unquote(value);
-  if (unquoted === "~") return homedir();
-  if (unquoted.startsWith("~/") || unquoted.startsWith("~\\")) {
-    return resolve(homedir(), unquoted.slice(2));
-  }
-  return resolve(isAbsolute(unquoted) ? unquoted : resolve(base, unquoted));
-}
-
-function configPath(origin, base) {
-  const value = origin.trim().replace(/^file:/, "");
-  return resolveConfigPath(value, base);
-}
-
-function unquote(value) {
-  const trimmed = value.trim();
-  if (!trimmed.startsWith('"')) return trimmed;
-  try {
-    return JSON.parse(trimmed);
-  } catch {
-    return trimmed.slice(1, -1);
-  }
-}
-
-function isWithin(candidate, parent) {
-  const path = relative(resolve(parent), resolve(candidate));
-  return path === "" || (!path.startsWith("..") && !isAbsolute(path));
-}
-
-function samePath(left, right) {
-  const normalize = (value) => portable(resolve(value)).toLowerCase();
-  return normalize(left) === normalize(right);
-}
-
-function portable(value) {
-  return value.replace(/\\/g, "/");
-}
-
-function isSshUrl(value) {
-  return /^ssh:\/\//i.test(value) || /^[^/@\s]+@[^:/\s]+:.+/.test(value);
-}
-
-function formatGit(arguments_) {
-  return `git ${arguments_.join(" ")}`;
-}
-
-function fail(message) {
-  throw new Error(message);
-}