@zhushanwen/pi-permission 1.3.3 → 1.4.0

package/src/approval.ts

@@ -6,12 +6,12 @@
  *    G3：调 ctx.ui.custom 前先检查 signal.aborted 短路（AI 先于 UI factory 执行时
  *    controller.abort() 触发但 comp 尚未创建，cancel 落空）。
  *  - rpc：ctx.ui.select（GUI 对话框）。M2：接收 signal，abort 短路 + 透传给 ui.select。
- *  - headless（json/print）：无交互 UI。M1：返回永不主动 resolve 的 Promise（让 Racing 中的
- *    AI 有机会赢），仅在 signal abort 时 fail-closed deny（避免 headless 下 auto 退化为 strict）。
+ *  - headless（json/print）：无交互 UI，立即 fail-closed deny（requestHeadless）。auto 模式
+ *    Racing 不走此路径（pipeline runLayer3WithRacing 的 isHeadless 分支纯等 AI 判定）。
  *
  * ApprovalComponent 是简化版 TUI 组件（参考 ask-user AskUserComponent）：
  *  - 显示工具名 + 命令 + 触发原因 + 可选 AI 预分类。
- *  - y/approve、n/deny、Esc/cancel。
+ *  - Enter/approve、Esc/deny。
  *  - signal abort → comp.cancel()（复用 _resolved 守卫，避免二次 done）。
  *
  * W6 T9 G3 Reject-with-Reason：用户拒绝时，若 ctx.ui.input 存在则弹出文本输入框
@@ -123,7 +123,8 @@ async function requestRpc(
 ): Promise<UserDecision> {
 	const title = formatTitle(req);
 	// TODO: spec 未要求 session/always scope，当前仅支持 once。
-	// 未来如需扩展，options 加 "Approve (session)" / "Approve (always)"，UserDecision.scope 透传。
+	// 未来如需扩展，options 加 "Approve (session)" / "Approve (always)"，并在 UserDecision
+	// 上新增 scope 字段承载（当前 UserDecision 只有 approved/reason）。
 	const options = ["Approve (once)", "Deny"];
 	// M2：与 requestTui 一致——调 select 前检查 signal.aborted 短路（AI 先于对话框弹出赢 race 时，
 	// controller.abort() 已触发但 select 尚未发起，这里 fail-closed deny 避免弹出无意义对话框）。
@@ -137,7 +138,7 @@ async function requestRpc(
 		return { approved: false, reason: "user dismissed the prompt" };
 	}
 	if (choice.startsWith("Approve")) {
-		return { approved: true, reason: "approved via rpc", scope: "once" };
+		return { approved: true, reason: "approved via rpc" };
 	}
 	// W6 T9 G3：Reject-with-Reason。用户选 Deny 后，若 ctx.ui.input 存在则采集真实理由。
 	// 「受阻」可观测条件：typeof ctx.ui.input === 'function'。
@@ -226,7 +227,7 @@ interface TuiLike {
  * TUI 审批组件（简化版，参考 ask-user AskUserComponent）。
  *
  * 显示：标题 + 工具名 + 命令 + 原因 + 可选 AI 预分类 + 操作提示。
- * 键位：y/Enter → approve；n/Esc → deny/cancel。
+ * 键位：Enter → approve；Esc → deny/cancel（y/n 快捷键已移除，测试钉住 no-op）。
  *
  * G4：implements Component，补 invalidate()（调 tui.requestRender()）。
  * signal abort → cancel()（复用 _resolved 守卫）。
@@ -292,9 +293,10 @@ export class ApprovalComponent implements Component {
 	private approve(): void {
 		if (this._resolved) return;
 		this._resolved = true;
-		// TODO: spec 未要求 session/always scope，当前硬编码 "once"。未来如需扩展，
-		// 增加 handleInput 对应键位（如 's' → session、'a' → always）并透传 UserDecision.scope。
-		this.done({ approved: true, reason: "approved via tui", scope: "once" });
+	// TODO: spec 未要求 session/always scope，当前硬编码 "once"。未来如需扩展，
+	// 增加 handleInput 对应键位（如 's' → session、'a' → always），并在 UserDecision
+	// 上新增 scope 字段承载（当前 UserDecision 只有 approved/reason）。
+		this.done({ approved: true, reason: "approved via tui" });
 	}
 
 	private deny(): void {

package/src/ast/analyzer.ts

@@ -29,6 +29,9 @@ const logger = getLogger("pi-permission/ast");
 /** 超过此长度的输入直接拒（防止 wasm 解析巨型 payload DoS）。 */
 const MAX_COMMAND_LENGTH = 65536;
 
+/** 带引号 token 的最小长度（首尾引号各占 1 字符）；满足才能安全剥引号。 */
+const MIN_QUOTED_TOKEN_LENGTH = 2;
+
 /**
  * Codex ALLOWED_KINDS（11 个 named node）。
  * 遇到不在此集合的 named node 即判定为危险结构。
@@ -76,7 +79,7 @@ function parseDoubleQuotedString(node: Node): string | null {
 	}
 	const raw = node.text;
 	// 去掉首尾的 `"`（raw 形如 `"hello world"`）
-	if (raw.startsWith('"') && raw.endsWith('"') && raw.length >= 2) {
+	if (raw.startsWith('"') && raw.endsWith('"') && raw.length >= MIN_QUOTED_TOKEN_LENGTH) {
 		return raw.slice(1, -1);
 	}
 	// 异常 grammar（理论上不会到这）—— 原样返回
@@ -92,7 +95,7 @@ function parseRawString(node: Node): string | null {
 		return null;
 	}
 	const raw = node.text;
-	if (raw.startsWith("'") && raw.endsWith("'") && raw.length >= 2) {
+	if (raw.startsWith("'") && raw.endsWith("'") && raw.length >= MIN_QUOTED_TOKEN_LENGTH) {
 		return raw.slice(1, -1);
 	}
 	return raw;

package/src/classifier/__tests__/classifier.test.ts

@@ -60,7 +60,7 @@ function okResult(content: string): CallLLMResult {
 }
 
 function failResult(error: string, stopReason?: "error" | "aborted"): CallLLMResult {
-	return { ok: false, error, recoverable: true, ...(stopReason !== undefined ? { stopReason } : {}) };
+	return { ok: false, error, ...(stopReason !== undefined ? { stopReason } : {}) };
 }
 
 /** 构造「永不 resolve」的 mock callLLM（用于 timeout/abort 测试） */

package/src/classifier/classifier.ts

@@ -8,7 +8,7 @@
  * 关键设计：
  *   - 依赖注入 ClassifierDeps（callLLM 注入，便于测试 mock，不直接 import）
  *   - C1a 收口：LLM 调用走 llm-shared callLLM（内部完成凭证 getApiKeyAndHeaders +
- *     completeSimple + stopReason 归一化：error/aborted → {ok:false, recoverable:true,
+ *     completeSimple + stopReason 归一化：error/aborted → {ok:false,
  *     stopReason 透传}），不再走 production.ts 的 streamSimple
  *   - G3 修正（由 callLLM 承接）：completeSimple 的 EventStream.result() 只 resolve 不 reject，
  *     error/aborted 也 resolve（带 stopReason）。callLLM 已把 error/aborted 归一为 ok:false +
@@ -90,7 +90,7 @@ function raceResultWithDeadline(
 			(result) => ({ kind: "ok" as const, result }),
 			(error) => ({
 				kind: "ok" as const,
-				result: { ok: false as const, error: error instanceof Error ? error.message : String(error), recoverable: true },
+				result: { ok: false as const, error: error instanceof Error ? error.message : String(error) },
 			}),
 		),
 	];

package/src/classifier/model-resolver.ts

@@ -64,14 +64,11 @@ export interface ResolvedModelEntry {
  * 「无可选模型」提示）。
  *
  * @param ctx 含 modelRegistry 的上下文（model 列表 + auth 判定）
- * @param onWarning 保留参数位（契约兼容；E2 后无文件读取，无警告源）
  * @returns Map<providerName, ResolvedModelEntry[]>
  */
 export function listAvailableModels(
 	ctx: ListAvailableModelsCtx,
-	onWarning?: (msg: string) => void,
 ): Map<string, ResolvedModelEntry[]> {
-	void onWarning; // 无警告源（不再读文件），保留参数位兼容调用方
 	const entries: ResolvedModelEntry[] = [];
 	for (const m of ctx.modelRegistry.getAll()) {
 		if (!ctx.modelRegistry.hasConfiguredAuth(m)) continue;

package/src/commands.ts

@@ -55,6 +55,9 @@ export function handlePermissionCommand(
 
 // ──────────────────────── 消息格式化 ────────────────────────
 
+/** 模式列表 mode 列的 padEnd 宽度（最长 'approve' 7 字符 + 1 间隔，保证描述列对齐）。 */
+const MODE_COLUMN_WIDTH = 8;
+
 function formatStatusMessage(config: PermissionConfig): string {
 	const lines: string[] = [];
 	lines.push("[pi-permission] Current mode: " + modeHighlight(config.mode));
@@ -62,7 +65,7 @@ function formatStatusMessage(config: PermissionConfig): string {
 	lines.push("Available modes (by strictness, low → high):");
 	for (const mode of PERMISSION_MODES) {
 		const marker = mode === config.mode ? "►" : " ";
-		lines.push(`  ${marker} ${mode.padEnd(8)} — ${MODE_DESCRIPTIONS[mode]}`);
+		lines.push(`  ${marker} ${mode.padEnd(MODE_COLUMN_WIDTH)} — ${MODE_DESCRIPTIONS[mode]}`);
 	}
 	lines.push("");
 	lines.push("Switch with: /permission <mode>");

package/src/config.ts

@@ -116,8 +116,11 @@ function normalizeConfig(raw: unknown): PermissionConfig {
 
 // ──────────────────────── 默认配置文件创建 ────────────────────────
 
+/** 默认配置文件 JSON 序列化的缩进空格数。 */
+const CONFIG_JSON_INDENT_SPACES = 2;
+
 function createDefaultConfigContent(): string {
-	return `${JSON.stringify(DEFAULT_CONFIG, null, 2)}\n`;
+	return `${JSON.stringify(DEFAULT_CONFIG, null, CONFIG_JSON_INDENT_SPACES)}\n`;
 }
 
 function ensureConfigFile(configPath: string, onWarning?: (msg: string) => void): void {

package/src/index.ts

@@ -18,6 +18,7 @@ import {
 	type ExtensionContext,
 	getAgentDir,
 } from "@earendil-works/pi-coding-agent";
+import { oncePerProcess } from "@zhushanwen/pi-ext-guards";
 import { getLogger } from "@zhushanwen/pi-extension-logger";
 import { migrateLegacyConfig } from "@zhushanwen/pi-llm-shared";
 
@@ -44,8 +45,9 @@ import { paletteFromTheme, type PermissionPalette } from "./statusline-palette.j
 // Added in v1.0.0. Remove after v2.0.0 (one major past).
 // session_start 首次触发时把旧路径 permission-config.json 迁到 config/permission-ext-config.json。
 // 幂等、best-effort（migrateLegacyConfig 见 @zhushanwen/pi-llm-shared）。
-// 模块级 once flag 防同进程重复触发；agentDir 由 getAgentDir() 推导（尊重 PI_CODING_AGENT_DIR）。
-let configMigrationChecked = false;
+// 写 agentDir 全局配置文件属跨 session 副作用——oncePerProcess 守卫防 factory 二调/handler
+// 累积双跑（u-audit-fix 收编原内联 once flag；key 带包名前缀避撞，见 pi-ext-guards JSDoc）。
+// agentDir 由 getAgentDir() 推导（尊重 PI_CODING_AGENT_DIR）。
 
 /** 默认配置 warning 回调（loadAndWatchConfig 共用，透传 logger.warn）。 */
 const defaultConfigWarn = (msg: string): void => logger.warn(msg);
@@ -70,6 +72,14 @@ interface ToolCallResult {
 	reason?: string;
 }
 
+/**
+ * ctx.ui.select / ctx.ui.input 的 opts 参数索引（第 3 个参数，0-based）。
+ * 类型位置提取 opts 时用 `Parameters<typeof ...>[typeof _UI_OPTIONS_PARAM_INDEX]`
+ * （字面量索引会触发 no-magic-numbers，typeof 常量索引语义等价）。
+ * 仅类型位置使用、运行时无值引用，按项目约定加 `_` 前缀豁免 no-unused-vars。
+ */
+const _UI_OPTIONS_PARAM_INDEX = 2;
+
 // ──────────────────────── 扩展工厂 ────────────────────────
 
 /**
@@ -78,10 +88,8 @@ interface ToolCallResult {
  */
 export default function permissionExtension(pi: ExtensionAPI): void {
 	// W7：注入 listAvailableModels 真实实现（model-picker.ts 默认返回空 Map）。
-	// E2 签名：(ctx, onWarning?) → ctx.modelRegistry.getAll() + hasConfiguredAuth 过滤；warning 透传到 console.warn。
-	setDefaultListAvailableModels((ctx, onWarning) =>
-		listAvailableModels(ctx, onWarning ?? defaultConfigWarn),
-	);
+	// E2 签名：(ctx) → ctx.modelRegistry.getAll() + hasConfiguredAuth 过滤。
+	setDefaultListAvailableModels((ctx) => listAvailableModels(ctx));
 
 	// ──────────────────────── 配置读取（读时刷新，回归 llm-shared 框架） ────────────────────────
 	// 不持有跨调用缓存：每次需要配置直接 loadAndWatchConfig()，llm-shared 内部 mtime+size 去重，
@@ -92,10 +100,9 @@ export default function permissionExtension(pi: ExtensionAPI): void {
 	// ──────────────────────── session_start：迁移旧路径配置 ────────────────────────
 	pi.on("session_start", (_event: unknown, ctx: ExtensionContext) => {
 		// [MIGRATION] Added in v1.0.0. Remove after v2.0.0.
-		if (!configMigrationChecked) {
-			configMigrationChecked = true;
+		oncePerProcess("permission:migrate-legacy-config", () => {
 			migrateLegacyConfig(getAgentDir(), "permission-config.json", "config/permission-ext-config.json");
-		}
+		});
 		// 无需手动刷新：去闭包后每次 loadAndWatchConfig 读时刷新；迁移改写文件后下次读取自动生效。
 		// 注册 footer line renderer（consumer 端握手，pi-statusline 是 canonical owner）。
 		// renderer 无状态：render 时用 statusline 传入的 theme + loadAndWatchConfig 读最新 config。
@@ -135,7 +142,7 @@ export default function permissionExtension(pi: ExtensionAPI): void {
 						mode: ctx.mode,
 						ui: {
 							notify: (msg: string, type?: "info" | "warning" | "error") => ctx.ui.notify(msg, type),
-							select: (title: string, options: string[], opts?: Parameters<typeof ctx.ui.select>[2]) =>
+							select: (title: string, options: string[], opts?: Parameters<typeof ctx.ui.select>[typeof _UI_OPTIONS_PARAM_INDEX]) =>
 								ctx.ui.select(title, options, opts),
 							custom: <T,>(
 								factory: (tui: unknown, theme: unknown, kb: unknown, done: (result: T) => void) => unknown,
@@ -145,7 +152,7 @@ export default function permissionExtension(pi: ExtensionAPI): void {
 							// 连接 ctx.ui.input（rule-editor custom 模板文本输入用）。
 							// approval.ts 已声明可选 input（SDK 提供，mock 可能缺失）。
 							...(typeof ctx.ui.input === "function"
-								? { input: (title: string, placeholder?: string, opts?: Parameters<typeof ctx.ui.input>[2]) => ctx.ui.input(title, placeholder, opts) }
+								? { input: (title: string, placeholder?: string, opts?: Parameters<typeof ctx.ui.input>[typeof _UI_OPTIONS_PARAM_INDEX]) => ctx.ui.input(title, placeholder, opts) }
 								: {}),
 						},
 					},
@@ -172,7 +179,7 @@ export default function permissionExtension(pi: ExtensionAPI): void {
 						modelRegistry: ctx.modelRegistry,
 						ui: {
 							notify: (msg: string, type?: "info" | "warning" | "error") => ctx.ui.notify(msg, type),
-							select: (title: string, options: string[], opts?: Parameters<typeof ctx.ui.select>[2]) =>
+							select: (title: string, options: string[], opts?: Parameters<typeof ctx.ui.select>[typeof _UI_OPTIONS_PARAM_INDEX]) =>
 								ctx.ui.select(title, options, opts),
 							custom: <T,>(
 								factory: (tui: unknown, theme: unknown, kb: unknown, done: (result: T) => void) => unknown,
@@ -181,13 +188,13 @@ export default function permissionExtension(pi: ExtensionAPI): void {
 								ctx.ui.custom<T>(factory as Parameters<typeof ctx.ui.custom<T>>[0], options),
 							// 连接 ctx.ui.input（与 rule handler 一致；model picker 当前不用，但保持 ctx 对称）。
 							...(typeof ctx.ui.input === "function"
-								? { input: (title: string, placeholder?: string, opts?: Parameters<typeof ctx.ui.input>[2]) => ctx.ui.input(title, placeholder, opts) }
+								? { input: (title: string, placeholder?: string, opts?: Parameters<typeof ctx.ui.input>[typeof _UI_OPTIONS_PARAM_INDEX]) => ctx.ui.input(title, placeholder, opts) }
 								: {}),
 						},
 					},
 					config,
 					{
-						listModels: (pickerCtx) => listAvailableModels(pickerCtx, (m) => logger.warn(m)),
+						listModels: (pickerCtx) => listAvailableModels(pickerCtx),
 						save: (newConfig) => {
 							const r = saveConfig(newConfig);
 							if (r.success) requestFooterRender();
@@ -315,7 +322,7 @@ async function processToolCall(
 		mode: ctx.mode,
 		ui: {
 			notify: (msg: string, type?: "info" | "warning" | "error") => ctx.ui.notify(msg, type),
-			select: (title: string, options: string[], opts?: Parameters<typeof ctx.ui.select>[2]) => ctx.ui.select(title, options, opts),
+			select: (title: string, options: string[], opts?: Parameters<typeof ctx.ui.select>[typeof _UI_OPTIONS_PARAM_INDEX]) => ctx.ui.select(title, options, opts),
 			custom: <T,>(
 				factory: (tui: unknown, theme: unknown, kb: unknown, done: (result: T) => void) => unknown,
 				options?: { overlay?: boolean },
@@ -324,7 +331,7 @@ async function processToolCall(
 			// W6 T9 G3：Reject-with-Reason。ctx.ui.input 存在则透传（采集真实拒绝理由）。
 			// approval.ts 的 collectRejectReason 会用 typeof 判断是否可用，不可用则 fallback。
 			...(typeof ctx.ui.input === "function"
-				? { input: (title: string, placeholder?: string, opts?: Parameters<typeof ctx.ui.input>[2]) => ctx.ui.input(title, placeholder, opts) }
+				? { input: (title: string, placeholder?: string, opts?: Parameters<typeof ctx.ui.input>[typeof _UI_OPTIONS_PARAM_INDEX]) => ctx.ui.input(title, placeholder, opts) }
 				: {}),
 		},
 	};

package/src/model-picker.ts

@@ -23,6 +23,10 @@ import { type Component, Container, type SelectItem, SelectList, type SelectList
 import type { Api, Model } from "@earendil-works/pi-ai";
 
 import type { ResolvedModelEntry } from "./classifier/model-resolver.js";
+import { DEFAULT_SELECT_THEME } from "./select-theme.js";
+
+// 保持既有 public 名（model-picker.test.ts MPT7 直接消费此路径）。
+export { DEFAULT_SELECT_THEME };
 
 // ──────────────────────── 类型 ────────────────────────
 
@@ -31,28 +35,15 @@ export type SelectionResult =
 	| { kind: "auto" }
 	| { kind: "specific"; provider: string; modelId: string };
 
-// ──────────────────────── DEFAULT_SELECT_THEME（G2 修正） ────────────────────────
-
-/**
- * SelectList 默认主题。
- *
- * G2/WR2 修正：selectedPrefix 实现为 `(t) => '▶ ' + t`（非 identity），
- * 选中行有视觉区分（▶ 前缀）。
- */
-export const DEFAULT_SELECT_THEME: SelectListTheme = {
-	selectedPrefix: (t: string): string => "\u25B6 " + t,
-	selectedText: (t: string): string => t,
-	description: (t: string): string => t,
-	scrollInfo: (t: string): string => t,
-	noMatch: (t: string): string => t,
-};
-
 /** provider stage 的 'auto' 项 value（用特殊标记区分真实 provider 名）。 */
 const AUTO_VALUE = "__auto__";
 
 /** SelectList 最大可见行数（picker overlay 不超过终端高度）。 */
 const MAX_VISIBLE_ITEMS = 10;
 
+/** box 边框左右各占用 1 列（│ × 2）。 */
+const BORDER_OVERHEAD = 2;
+
 // ──────────────────────── 辅助组件（inline Component stub，避免依赖 Box 的 padding/bg） ────────────────────────
 
 /**
@@ -127,14 +118,11 @@ export class ProviderModelSelectorComponent extends Container {
 		this.currentList?.handleInput(data);
 	}
 
-	/** box 边框左右各占用 1 列（│ × 2） */
-	private static readonly BORDER_OVERHEAD = 2;
-
 	/**
 	 * 重写 render：用 box 边框包裹 Container 子组件的输出。
 	 */
 	override render(width: number): string[] {
-		const innerWidth = Math.max(0, width - ProviderModelSelectorComponent.BORDER_OVERHEAD);
+		const innerWidth = Math.max(0, width - BORDER_OVERHEAD);
 		const inner = super.render(innerWidth);
 		const lines: string[] = [];
 		lines.push(`\u250C${"\u2500".repeat(innerWidth)}\u2510`);
@@ -189,7 +177,7 @@ export class ProviderModelSelectorComponent extends Container {
 	/** provider stage items：'Auto' + 各 provider（含 model 数量）。 */
 	private buildProviderItems(): SelectItem[] {
 		const items: SelectItem[] = [
-			{ value: AUTO_VALUE, label: "Auto", description: "auto-select cheapest available model" },
+			{ value: AUTO_VALUE, label: "Auto", description: "select first available model" },
 		];
 		for (const provider of this.providers) {
 			const models = this.modelsByProvider.get(provider) ?? [];
@@ -297,7 +285,6 @@ export interface ModelPickerContext {
 /** listAvailableModels 注入签名（E2 改走 ctx.modelRegistry，签名带 ctx；便于测试 mock）。 */
 export type ListAvailableModelsFn = (
 	ctx: ModelPickerContext,
-	onWarning?: (msg: string) => void,
 ) => Map<string, ResolvedModelEntry[]>;
 
 /**