aiterm-mcp 0.61.17 → 0.61.18

package/CHANGELOG.md

@@ -7,6 +7,13 @@ and this project adheres to [Semantic Versioning](https://semver.org/spec/v2.0.0
 
 ## [Unreleased]
 
+## [0.61.18] - 2026-10-25
+
+- Fix CURRENT-MENU-1: parse the current Claude auth phase, choices, cursor and occupied code field together; navigation consumes that same parse and rejects stale menus before keys.
+
+- Add typed native auth stages and generation-bound `agent_auth respond`; keep existing receipt fields. Authorization codes bypass lastcmd, normal turns and pane logs. Legacy launch UUIDs remain missing rather than synthesized.
+- Distinguish explicit Claude code/choice prompts, official device/browser stages, and unavailable input. Windows secret input remains unavailable until foreground ownership is accepted.
+
 ## [0.61.17] - 2026-10-24
 
 ### Changed
@@ -2861,7 +2868,8 @@ prototype (preserved under `prototype/python/` as the porting source and referen
   `ubuntu-latest` for Node 18/20/22, publishing to npm on `v*` tags with
   provenance.
 
-[Unreleased]: https://github.com/kitepon/aiterm-mcp/compare/v0.61.17...HEAD
+[Unreleased]: https://github.com/kitepon/aiterm-mcp/compare/v0.61.18...HEAD
+[0.61.18]: https://github.com/kitepon/aiterm-mcp/compare/v0.61.17...v0.61.18
 [0.61.17]: https://github.com/kitepon/aiterm-mcp/compare/v0.61.16...v0.61.17
 [0.61.16]: https://github.com/kitepon/aiterm-mcp/compare/v0.61.15...v0.61.16
 [0.61.15]: https://github.com/kitepon/aiterm-mcp/compare/v0.61.14...v0.61.15
@@ -3065,3 +3073,6 @@ prototype (preserved under `prototype/python/` as the porting source and referen
 [0.3.0]: https://github.com/kitepon/aiterm-mcp/compare/v0.2.0...v0.3.0
 [0.2.0]: https://github.com/kitepon/aiterm-mcp/compare/v0.1.0...v0.2.0
 [0.1.0]: https://github.com/kitepon/aiterm-mcp/releases/tag/v0.1.0
+
+
+Claude authentication URL receipts recognize the official claude.com/cai/oauth/authorize PKCE authorization request and its nonsecret code=true display flag. Callback authorization codes and tokens remain excluded; the common URL credential filter is unchanged. This auth-only patch contains no native goal feature.

package/README.ja.md

@@ -209,7 +209,7 @@ runtime-error store は canonical dotagents config の `collection.enabled: true
 場合だけ収集し、既定OFF、network送信は行いません。tag起点CIのnpm provenance（OIDC Trusted
 Publishing）で公開し、GitHub Release が Official MCP Registry を再登録します。
 
-**状態:** 開発継続中 · 現行公開版 **v0.61.17** · 動作対象は Linux · WSL2 · macOS · Windows ネイティブ · MIT · [変更履歴](CHANGELOG.md)。
+**状態:** 開発継続中 · 現行公開版 **v0.61.18** · 動作対象は Linux · WSL2 · macOS · Windows ネイティブ · MIT · [変更履歴](CHANGELOG.md)。
 
 ### 更新と巻き戻し
 
@@ -592,7 +592,7 @@ Claudeの相関済み承認は既存の`claude_approval`を使う。
 | `pty_list` | textと構造化したsession一覧、明示した非秘密環境変数の照会 | `env_keys?` |
 | `pty_observe` | pane／harnessの生存、native process identity、状態と活動 | `session_id`, `cursor?` |
 | `agent_launch` | harnessとmodelを別軸で選ぶ正規agent起動入口 | `harness`, `prompt?`, `model?`, `reasoning_effort?`, `fast?`, `cwd?`, `write_scope?`, `trust_project?`, `env_vars?`, `throughline_source_session?`, `throughline_supplement_file?` |
-| `agent_auth` | 公式CLIの認証を開始・確認・取消し、公式URL・device code・入力待ちを返す | `harness`, `action`, `session_id?`, `cwd?`, `env_vars?`, `relogin?` |
+| `agent_auth` | 公式CLIの認証を開始・確認・取消し、公式URL・device code・入力待ちを返す | `harness`, `action`, `session_id?`, `cwd?`, `env_vars?`, `relogin?`, `expected_binding?`, `response?` |
 | `agent_models` | harnessが今選べるmodelとreasoning effortを、そのharness自身の一覧からpromptを送らずに取得 | `harness`, `cwd?`, `include_hidden?` |
 | `agent_approval` | Codexの現在の承認を検査し、単発許可・拒否を送る | `action`, `session_id`, `approval_choice?`, `observed_prompt_digest?` |
 | `claude_agent` / `codex_agent` / `grok_agent` | deprecated互換alias（`composer_agent`は0.41.0で削除。Composerは`agent_launch`の`cursor-cli`で使う） | 旧launcher引数 |
@@ -636,7 +636,10 @@ Aitermは、既定では実行時エラーをどこへも送らない。送る
 - 返りの`fast`は、切り替えた後の実際の状態。`agent_models`のmodelごとの`fast`が、そのmodelで切り替えられるかを示す（GrokとCursorのfast版は別のmodelとして並ばず、元のmodelの`fast: true`になる）。最上位の`fast_unavailable`は、アカウントの都合でどのmodelでも使えない時の訳。
 - 断りは文の先頭の符号で分かる: `FAST_MODE_NOT_SUPPORTED`（そのmodelは対応していない）、`FAST_MODE_UNAVAILABLE`（アカウントや契約で使えない）、`FAST_MODE_MODEL_CONFLICT`（modelへfast版のIDを書いて`fast: false`を渡した）、`FAST_MODE_UNCONFIRMED`（切り替えた後の状態を確かめられない）。起動で`FAST_MODE_UNAVAILABLE`・`FAST_MODE_UNCONFIRMED`になった時は、起動を断らずに通常の速度で起こし、返りを`fast: false`、`fast_error: { code, message }`にする。
 
-`agent_auth({ harness, action:"start"|"status"|"cancel", session_id?, cwd?, env_vars?, relogin? })`は、各harnessの公式CLIで認証を進める。Claudeは`claude auth login`、CodexとGrokは`login --device-auth`、Cursorは`NO_OPEN_BROWSER=1 cursor-agent login`を使い、資格情報は各CLIだけが保存する。Aitermは資格情報を読取り・copy・編集せず、独自OAuthも実装しない。`remote`は他toolと同じ標準対応。
+`agent_auth({ harness, action:"start"|"status"|"cancel"|"respond", session_id?, cwd?, env_vars?, relogin?, expected_binding?, response? })`は、各harnessの公式CLIで認証を進める。Claudeは`claude auth login`、CodexとGrokは`login --device-auth`、Cursorは`NO_OPEN_BROWSER=1 cursor-agent login`を使い、資格情報は各CLIだけが保存する。Aitermは資格情報を読取り・copy・編集せず、独自OAuthも実装しない。`remote`は他toolと同じ標準対応。
+
+認証UIは追加の`auth_ui`を使う。`stage`は`open_url` / `device_code` / `paste_code` / `select` / `waiting` / `complete` / `failed` / `unavailable`。公式URL・表示code・具体的な選択ラベル・入力種別をNativeが返し、`input_required`だけから入力内容や端末キーを推測しない。`respond`は直近の`auth_ui.binding`を`expected_binding`へ渡し、`expected_prompt_digest`には同じ`auth_ui.prompt_digest`を渡す。`response:{kind:"authorization_code",value}`または`{kind:"choice",id}`を同じ認証flowへ送る。認証コードを`pty_send`へ渡さない。専用入力はlastcmd・通常turn・paneログ・argv・一時fileへコードを保存せず、CLIの画面echoもpaneログへ保存しない。未発行と入力後不明は構造化errorの`effect:not_issued|unknown`で区別し、自動再送しない。legacy flowの`launch_id:null`は実native識別情報で照合し、UUIDを補わない。Windowsの専用入力は前面所有確認が未受入のため`not_issued`で拒否する。
+
 
 `start`は、公式の状態が認証済みなら何も起こさず`authenticated`（`session_id:null`）を返す。`relogin:true`を付けると、認証済みに見えても公式ログインを開始し、`session_id`付きの結果を返す。別のアカウントへ入り直す時と、ログインの期限切れを状態から見抜けない時に使う。Aitermは資格情報を消さず、置き換えは公式CLIが行う。ただし、公式CLIがログインを始めた時点で元のログインを消す事がある（Codex 0.160.0の`codex login --device-auth`は、始めた時点で`auth.json`を消す。途中で`cancel`しても戻らない）。Claude CodeとCursorは、途中で`cancel`すれば元の資格情報が残る（無効な資格情報で確認）。
 
@@ -649,9 +652,9 @@ Aitermは、既定では実行時エラーをどこへも送らない。送る
 | Grok | `grok models`（状態の命令は無い） | `blocked`（`You are not authenticated.`）。Grokは使えない資格情報を自分で消す |
 | Cursor | `cursor-agent status` | `failed`（`Logged in (unable to fetch user details)`。期限切れか通信できないかは区別できない）。`relogin:true`で入り直す |
 
-結果は`aiterm.agent-auth-result.v1`。`status`は`waiting`／`authenticated`／`blocked`／`failed`、`session_id`・`url`・`user_code`・`input_required`・`message`を返す。`start`のsession IDを保存して`status`へ渡す。公式HTTPS URLと明示device codeだけを返し、CLIの生出力・token・OAuth callback codeを結果へ載せない。`input_required:true`なら同じsessionの`pty_read(screen:true)`で公式画面を表示し、`pty_send`／`pty_key`で人の入力を中継する。
+結果は`aiterm.agent-auth-result.v1`。`status`は`waiting`／`authenticated`／`blocked`／`failed`、`session_id`・`url`・`user_code`・`input_required`・`message`を返す。`start`のsession IDを保存して`status`へ渡す。公式HTTPS URLと明示device codeだけを返し、CLIの生出力・token・OAuth callback codeを結果へ載せない。`auth_ui`の安全な案内だけを表示し、入力は同じbindingとprompt_digestを持つ専用respondへ渡す。生画面や通常PTY入力へ認証コードを中継しない。
 
-Grokには公式認証status commandが無いため、session付きの確認は公式loginのexit 0を正本にし、session無しの確認は`blocked`を返す。他harnessは公式statusも照合する。Claudeは認証後の公式初回案内を同じsessionで進め、選択待ちは`blocked`／`input_required:true`で返す。`authenticated`は認証結果であり、`agent_launch`の起動準備完了は別途確認する。`cancel`は指定した認証sessionだけを閉じ、資格情報を削除しない。
+Grokには公式認証status commandが無いため、session付きの確認は公式loginのexit 0を正本にし、session無しの確認は公式`models`の認証要求を照合し、不明なら成功扱いしない。他harnessは公式statusも照合する。Claudeは認証後の公式初回案内を同じsessionで進め、選択待ちは`blocked`／`input_required:true`で返す。`authenticated`は認証結果であり、`agent_launch`の起動準備完了は別途確認する。`cancel`は指定した認証sessionだけを閉じ、資格情報を削除しない。
 
 PTYが消失した場合は、相関記録の有無にかかわらず`status`が`failed`、`cancel`が既に終了・取消済みを示す`blocked`を返し、どちらも`session_id:null`となる。保存したsession IDを解除して`start`で再開始できる。生存中の通常PTYやharness不一致、記録の破損・読取り失敗はエラーを返す。
 
@@ -804,3 +807,6 @@ aiterm が、あなたの AI に別のエージェントへ仕事を渡させた
 ## ライセンス
 
 MIT
+
+
+Claude認証は公式claude.com/cai/oauth/authorizeのPKCE要求と非秘密のcode=true表示flagを認証URLとして返す。callback認可codeやtokenは除外し、共通URL credential filterは変更しない。この認証専用差分にnative goal機能は含まない。

package/README.md

@@ -227,7 +227,7 @@ collection is off by default and performs no network I/O. It ships via
 tag-triggered CI with npm provenance (OIDC Trusted Publishing); the GitHub
 Release re-registers the Official MCP Registry entry.
 
-**Status:** actively maintained · current public release **v0.61.17** · runs on Linux · WSL2 · macOS · native Windows (tmux on POSIX, the tmux-CLI-compatible [psmux](https://github.com/psmux/psmux) on native Windows — no WSL required) · MIT · see the [CHANGELOG](CHANGELOG.md).
+**Status:** actively maintained · current public release **v0.61.18** · runs on Linux · WSL2 · macOS · native Windows (tmux on POSIX, the tmux-CLI-compatible [psmux](https://github.com/psmux/psmux) on native Windows — no WSL required) · MIT · see the [CHANGELOG](CHANGELOG.md).
 
 ### Update and rollback
 
@@ -631,7 +631,7 @@ continue to use `claude_approval`.
 | `pty_list` | Text and structured session list (each agent session carries its harness conversation ID as `vendor_session_id`), with explicitly requested non-secret environment values | `env_keys?` |
 | `pty_observe` | Pane/harness liveness, native process identity, state, and activity | `session_id`, `cursor?` |
 | `agent_launch` | Canonical agent launch; harness and model are independent | `harness`, `prompt?`, `model?`, `reasoning_effort?`, `fast?`, `cwd?`, `write_scope?`, `trust_project?`, `env_vars?`, `throughline_source_session?`, `throughline_supplement_file?` |
-| `agent_auth` | 公式CLIの認証を開始・確認・取消し、公式URL・device code・入力待ちを返す | `harness`, `action`, `session_id?`, `cwd?`, `env_vars?`, `relogin?` |
+| `agent_auth` | 公式CLIの認証を開始・確認・取消し、公式URL・device code・入力待ちを返す | `harness`, `action`, `session_id?`, `cwd?`, `env_vars?`, `relogin?`, `expected_binding?`, `response?` |
 | `agent_models` | List the models and reasoning efforts a harness offers now, read from that harness's own catalog without sending a prompt | `harness`, `cwd?`, `include_hidden?` |
 | `agent_approval` | Inspect a Codex approval and submit a one-time approval or denial | `action`, `session_id`, `approval_choice?`, `observed_prompt_digest?` |
 | `claude_agent` / `codex_agent` / `grok_agent` | Deprecated compatibility aliases (`composer_agent` was removed in 0.41.0; run Composer with `agent_launch` on `cursor-cli`) | legacy launcher arguments |
@@ -680,7 +680,10 @@ enables collection on that host.
 
 Claude Codeの席では、`/model`の選ぶ画面の`s`（use this session only）で替える。`/model <名前>`・`/effort <値>`は選んだ値を端末の`~/.claude/settings.json`へ新しい会話の既定として保存するので、打たない（ADR 0111）。その選び方が無い版、選ぶ画面に無いmodel、そのmodelで選べないeffortは、何も変えずに断る（`CLAUDE_MODEL_SESSION_ONLY_UNAVAILABLE`・`CLAUDE_MODEL_NOT_IN_PICKER`・`CLAUDE_EFFORT_NOT_SELECTABLE`）。席を閉じて立て直すと端末の既定へ戻るので、立て直す時は`agent_launch`へ同じ`model`・`reasoning_effort`を渡す。
 
-`agent_auth({ harness, action:"start"|"status"|"cancel", session_id?, cwd?, env_vars?, relogin? })`は、各harnessの公式CLIで認証を進める。Claudeは`claude auth login`、CodexとGrokは`login --device-auth`、Cursorは`NO_OPEN_BROWSER=1 cursor-agent login`を使い、資格情報は各CLIだけが保存する。Aitermは資格情報を読取り・copy・編集せず、独自OAuthも実装しない。`remote`は他toolと同じ標準対応。
+`agent_auth({ harness, action:"start"|"status"|"cancel"|"respond", session_id?, cwd?, env_vars?, relogin?, expected_binding?, response? })`は、各harnessの公式CLIで認証を進める。Claudeは`claude auth login`、CodexとGrokは`login --device-auth`、Cursorは`NO_OPEN_BROWSER=1 cursor-agent login`を使い、資格情報は各CLIだけが保存する。Aitermは資格情報を読取り・copy・編集せず、独自OAuthも実装しない。`remote`は他toolと同じ標準対応。
+
+認証UIは追加の`auth_ui`を使う。`stage`は`open_url` / `device_code` / `paste_code` / `select` / `waiting` / `complete` / `failed` / `unavailable`。公式URL・表示code・具体的な選択ラベル・入力種別をNativeが返し、`input_required`だけから入力内容や端末キーを推測しない。`respond`は直近の`auth_ui.binding`を`expected_binding`へ渡し、`expected_prompt_digest`には同じ`auth_ui.prompt_digest`を渡す。`response:{kind:"authorization_code",value}`または`{kind:"choice",id}`を同じ認証flowへ送る。認証コードを`pty_send`へ渡さない。専用入力はlastcmd・通常turn・paneログ・argv・一時fileへコードを保存せず、CLIの画面echoもpaneログへ保存しない。未発行と入力後不明は構造化errorの`effect:not_issued|unknown`で区別し、自動再送しない。legacy flowの`launch_id:null`は実native識別情報で照合し、UUIDを補わない。Windowsの専用入力は前面所有確認が未受入のため`not_issued`で拒否する。
+
 
 `start`は、公式の状態が認証済みなら何も起こさず`authenticated`（`session_id:null`）を返す。`relogin:true`を付けると、認証済みに見えても公式ログインを開始し、`session_id`付きの結果を返す。別のアカウントへ入り直す時と、ログインの期限切れを状態から見抜けない時に使う。Aitermは資格情報を消さず、置き換えは公式CLIが行う。ただし、公式CLIがログインを始めた時点で元のログインを消す事がある（Codex 0.160.0の`codex login --device-auth`は、始めた時点で`auth.json`を消す。途中で`cancel`しても戻らない）。Claude CodeとCursorは、途中で`cancel`すれば元の資格情報が残る（無効な資格情報で確認）。
 
@@ -693,9 +696,9 @@ Claude Codeの席では、`/model`の選ぶ画面の`s`（use this session only
 | Grok | `grok models`（状態の命令は無い） | `blocked`（`You are not authenticated.`）。Grokは使えない資格情報を自分で消す |
 | Cursor | `cursor-agent status` | `failed`（`Logged in (unable to fetch user details)`。期限切れか通信できないかは区別できない）。`relogin:true`で入り直す |
 
-結果は`aiterm.agent-auth-result.v1`。`status`は`waiting`／`authenticated`／`blocked`／`failed`、`session_id`・`url`・`user_code`・`input_required`・`message`を返す。`start`のsession IDを保存して`status`へ渡す。公式HTTPS URLと明示device codeだけを返し、CLIの生出力・token・OAuth callback codeを結果へ載せない。`input_required:true`なら同じsessionの`pty_read(screen:true)`で公式画面を表示し、`pty_send`／`pty_key`で人の入力を中継する。
+結果は`aiterm.agent-auth-result.v1`。`status`は`waiting`／`authenticated`／`blocked`／`failed`、`session_id`・`url`・`user_code`・`input_required`・`message`を返す。`start`のsession IDを保存して`status`へ渡す。公式HTTPS URLと明示device codeだけを返し、CLIの生出力・token・OAuth callback codeを結果へ載せない。`auth_ui`の安全な案内だけを表示し、入力は同じbindingとprompt_digestを持つ専用respondへ渡す。生画面や通常PTY入力へ認証コードを中継しない。
 
-Grokには公式認証status commandが無いため、session付きの確認は公式loginのexit 0を正本にし、session無しの確認は`blocked`を返す。他harnessは公式statusも照合する。Claudeは認証後の公式初回案内を同じsessionで進め、選択待ちは`blocked`／`input_required:true`で返す。`authenticated`は認証結果であり、`agent_launch`の起動準備完了は別途確認する。`cancel`は指定した認証sessionだけを閉じ、資格情報を削除しない。
+Grokには公式認証status commandが無いため、session付きの確認は公式loginのexit 0を正本にし、session無しの確認は公式`models`の認証要求を照合し、不明なら成功扱いしない。他harnessは公式statusも照合する。Claudeは認証後の公式初回案内を同じsessionで進め、選択待ちは`blocked`／`input_required:true`で返す。`authenticated`は認証結果であり、`agent_launch`の起動準備完了は別途確認する。`cancel`は指定した認証sessionだけを閉じ、資格情報を削除しない。
 
 PTYが消失した場合は、相関記録の有無にかかわらず`status`が`failed`、`cancel`が既に終了・取消済みを示す`blocked`を返し、どちらも`session_id:null`となる。保存したsession IDを解除して`start`で再開始できる。生存中の通常PTYやharness不一致、記録の破損・読取り失敗はエラーを返す。
 
@@ -875,3 +878,6 @@ started the persistent multiplexer server (since 0.50.0). Every harness still ac
 ## License
 
 MIT
+
+
+Claude authentication URL receipts recognize the official claude.com/cai/oauth/authorize PKCE authorization request and its nonsecret code=true display flag. Callback authorization codes and tokens remain excluded; the common URL credential filter is unchanged. This auth-only patch contains no native goal feature.

package/dist/agent-auth-ui.js

@@ -0,0 +1,52 @@
+import { createHash } from "node:crypto";
+import { AitermError } from "./errors.js";
+import { z } from "zod";
+// Existing native identities, not an application flow ID. Legacy launch_id stays null.
+export const authBindingSchema = z.object({
+    session_id: z.string(), launch_id: z.string().nullable(),
+    metadata_identity: z.string(), native_id: z.string(), pane_id: z.string(),
+    server_pid: z.number().int().positive(), server_started: z.string(),
+    pane_pid: z.number().int().positive(), pane_started: z.string(),
+}).strict();
+export const authResponseSchema = z.discriminatedUnion("kind", [
+    z.object({ kind: z.literal("authorization_code"), value: z.string().min(1).max(8192).regex(/^[!-~]+$/) }).strict(),
+    z.object({ kind: z.literal("choice"), id: z.string().regex(/^option-[1-9]$/) }).strict(),
+]);
+export const authUiSchema = z.object({
+    schema: z.literal("aiterm.auth-ui.v1"),
+    stage: z.enum(["open_url", "device_code", "paste_code", "select", "waiting", "complete", "failed", "unavailable"]),
+    title: z.string(), message: z.string(), binding: authBindingSchema.nullable(),
+    url: z.string().nullable(), user_code: z.string().nullable(),
+    input: z.enum(["authorization_code", "choice"]).nullable(),
+    prompt_digest: z.string().nullable(),
+    choices: z.array(z.object({ id: z.string(), label: z.string() }).strict()),
+}).strict();
+export function authPromptDigest(pane) {
+    return pane.ui ? createHash("sha256").update(JSON.stringify({ ui: pane.ui, url: pane.url })).digest("hex") : null;
+}
+export function authUi(result, pane, binding) {
+    const base = { schema: "aiterm.auth-ui.v1", binding, url: result.url, user_code: result.user_code,
+        choices: [], input: null, prompt_digest: pane ? authPromptDigest(pane) : null };
+    if (result.status === "authenticated")
+        return { ...base, stage: "complete", title: "認証完了", message: "公式CLIで認証完了を確認しました。" };
+    if (result.status === "failed")
+        return { ...base, stage: "failed", title: "認証を完了できません", message: result.message ?? "公式CLIの状態を確認してください。" };
+    if (pane?.ui && binding)
+        return { ...base, ...pane.ui };
+    if (binding && result.url)
+        return { ...base, stage: result.user_code ? "device_code" : "open_url", title: "公式認証ページを開く",
+            message: result.user_code ? "公式ページで表示のデバイスコードを入力してください。" : "公式ページで認証し、この画面で完了をお待ちください。" };
+    return { ...base, stage: result.input_required ? "unavailable" : "waiting", title: "認証状態を確認中",
+        message: result.input_required ? "公式画面の入力段階を安全に識別できません。入力は送信できません。" : "公式CLIの認証結果を待っています。" };
+}
+export class AuthResponseError extends AitermError {
+    reason_code;
+    effect;
+    constructor(reason_code, effect, message) {
+        super(`${reason_code}: ${message}`, 2);
+        this.reason_code = reason_code;
+        this.effect = effect;
+    }
+}
+export const authResponseFailureSchema = z.object({ schema: z.literal("aiterm.auth-response-error.v1"),
+    harness: z.string(), session_id: z.string().nullable(), code: z.string(), effect: z.enum(["not_issued", "unknown"]), message: z.string() }).strict();

package/dist/core.js

@@ -27,8 +27,10 @@ import { unfinishedDeliveriesOwnedBy } from "./parent-delivery-owners.js";
 import { readRuntimeProcesses, readProcessIdentities, processSubtree, parentProcess, processIdentity, backgroundProcesses, lazyRelayProcess, aitermProcessProbe, windowsConsoleHost, processElapsedSeconds } from "./process-runtime.js";
 import { liveNodeExecutable } from "./live-node.js";
 import { AitermError, telemetryOwnedFailure, ownTelemetryFailure } from "./errors.js";
-import { isWin, SOCKDIR, SOCK, tmuxCommand, sendPsmuxPayload, loadPtyBufferChunk, pasteBufferBaseArgs, tmuxNewSession, openPsmuxServerToDesktop, registeredSessionEnvironment, attachCommand, normalizePaneCommand, atomicShellMultiline, appendMarkSentinel, paneShellForSubmission, adaptShellSubmission, settlePaneLog, paneCwdArgument, sessionEnvironmentLaunch, } from "./tmux-runtime.js";
+import { isWin, SOCKDIR, SOCK, tmuxCommand, tmuxCommandWithInput, sendPsmuxPayload, loadPtyBufferChunk, pasteBufferBaseArgs, tmuxNewSession, openPsmuxServerToDesktop, registeredSessionEnvironment, attachCommand, normalizePaneCommand, atomicShellMultiline, appendMarkSentinel, paneShellForSubmission, adaptShellSubmission, settlePaneLog, paneCwdArgument, sessionEnvironmentLaunch, } from "./tmux-runtime.js";
 import { AGENT_DEFAULT_PREFACE, sleep, currentUid, runtimeStateBase, safeStatSize, readFileRange, writeJson0600, createEmpty0600, shq, LAUNCH_ID_RE, AGENT_DONE_POLL_MS, AGENT_RATE_LIMIT_POLL_MS, pollGate, AGENT_EVENT_MAX_BYTES, assertSessionName, agentsDir, agentEventPath, agentMetadataPath, writeAgentMetadata, AGENT_EVENT_TAIL_BYTES, agentLabel, agentHarness, subagentInstruction, agentLineageFields, } from "./agent-shared.js";
+import { AuthResponseError, authUi, authPromptDigest, authBindingSchema, authResponseSchema } from "./agent-auth-ui.js";
+import { processStartIdentity } from "./runtime-error-os.js";
 import { catalogUnavailable } from "./model-catalog.js";
 import { FastModeError, fastModeFailure } from "./fast-mode.js";
 import { readFileOrNull, restoreJsonSetting, withUserConfigLock } from "./user-config.js";
@@ -4357,6 +4359,131 @@ function authSessionEnvironment(name, keys) {
     }
     return env;
 }
+/** Dedicated authentication panes never persist terminal output, including a CLI echo. */
+function disableAuthLogging(name) {
+    if (tmux("pipe-pane", "-t", name).code !== 0)
+        throw new AitermError("AGENT_AUTH_LOGGING_UNCONFIRMED: 認証入力を送信していません。", 2);
+}
+function readAuthBinding(name, kind) {
+    const meta = loadAuthMetadata(name, kind);
+    if (!meta)
+        return null;
+    const stat = fs.statSync(authMetadataPath(name));
+    const native = tmux("display-message", "-p", "-t", `=${name}:`, "#{pid}\t#{session_id}\t#{pane_id}\t#{pane_pid}\t#{pane_dead}");
+    if (native.code !== 0)
+        return null;
+    const [server, session, pane, pid, dead] = native.stdout.trim().split("\t");
+    if (dead !== "0" || !/^\$\d+$/.test(session ?? "") || !/^%\d+$/.test(pane ?? ""))
+        return null;
+    const serverStarted = processStartIdentity(Number(server), process.platform);
+    const paneStarted = processStartIdentity(Number(pid), process.platform);
+    if (!serverStarted || !paneStarted)
+        return null;
+    return authBindingSchema.parse({ session_id: name, launch_id: meta.launch_id ?? null,
+        metadata_identity: `${stat.dev}:${stat.ino}:${stat.birthtimeMs}:${stat.mtimeMs}`, native_id: session, pane_id: pane,
+        server_pid: Number(server), server_started: serverStarted, pane_pid: Number(pid), pane_started: paneStarted });
+}
+async function respondAgentAuth(kind, options) {
+    const name = options.session_id;
+    const expected = authBindingSchema.safeParse(options.expected_binding);
+    const response = authResponseSchema.safeParse(options.response);
+    if (!name || !expected.success || !response.success || expected.data.session_id !== name || !/^[a-f0-9]{64}$/.test(options.expected_prompt_digest ?? ""))
+        throw new AuthResponseError("AGENT_AUTH_RESPONSE_INVALID", "not_issued", "入力と対象の指定が不正です。入力は未送信です。");
+    const release = acquireSessionSendFileLock(name);
+    let issued = false;
+    try {
+        const check = () => {
+            const binding = readAuthBinding(name, kind);
+            if (!binding || JSON.stringify(binding) !== JSON.stringify(expected.data))
+                throw new AitermError("AGENT_AUTH_STALE_BINDING: 認証の世代が一致しません。", 2);
+            // The current native process, not a shell/background job, must own the foreground tty.
+            if (!isWin) {
+                const checkedProcess = spawnSync("/bin/ps", ["-p", String(binding.pane_pid), "-o", "stat="], { encoding: "utf8", timeout: 1000 });
+                if (checkedProcess.status !== 0 || !checkedProcess.stdout.includes("+") || /^T/.test(checkedProcess.stdout.trim()))
+                    throw new AitermError("AGENT_AUTH_INPUT_UNAVAILABLE: 公式認証processが端末の前面にありません。", 2);
+            }
+            else {
+                // Native psmux transport exists, but foreground ownership has not yet been accepted on Windows.
+                throw new AitermError("AGENT_AUTH_INPUT_UNAVAILABLE: Windows認証入力の所有確認が未対応です。", 2);
+            }
+            return binding;
+        };
+        const binding = check();
+        const meta = loadAuthMetadata(name, kind);
+        let pane = authPane(meta, stripControl(captureScreen(name, 0)));
+        const answer = response.data;
+        if (authPromptDigest(pane) !== options.expected_prompt_digest)
+            throw new AitermError("AGENT_AUTH_STAGE_MISMATCH: 入力画面が変わりました。", 2);
+        if (answer.kind === "authorization_code" && pane.ui?.input !== "authorization_code")
+            throw new AitermError("AGENT_AUTH_STAGE_MISMATCH: 認証コードの入力待ちではありません。", 2);
+        if (answer.kind === "choice" && !pane.ui?.choices.some(choice => choice.id === answer.id))
+            throw new AitermError("AGENT_AUTH_STAGE_MISMATCH: 表示された選択肢と一致しません。", 2);
+        disableAuthLogging(binding.pane_id);
+        check();
+        if (answer.kind === "authorization_code") {
+            const buffer = `auth-${process.pid}-${randomBytes(8).toString("hex")}`;
+            try {
+                if (tmuxCommandWithInput(true, answer.value, "load-buffer", "-b", buffer, "-").code !== 0)
+                    throw new AitermError("AGENT_AUTH_INPUT_UNAVAILABLE: 入力を準備できません。", 2);
+                check();
+                // Fresh phase and empty field immediately before the first native input effect.
+                pane = authPane(meta, stripControl(captureScreen(name, 0)));
+                if (pane.ui?.input !== "authorization_code" || authPromptDigest(pane) !== options.expected_prompt_digest)
+                    throw new AitermError("AGENT_AUTH_STAGE_MISMATCH: 入力段階が変わりました。", 2);
+                issued = true;
+                if (tmux("paste-buffer", "-d", "-r", "-b", buffer, "-t", binding.pane_id).code !== 0)
+                    throw new Error("native input unconfirmed");
+                check();
+                if (tmux("send-keys", "-t", binding.pane_id, "Enter").code !== 0)
+                    throw new Error("native submit unconfirmed");
+            }
+            finally {
+                tmux("delete-buffer", "-b", buffer);
+            }
+        }
+        else {
+            // Move only over freshly observed choices. Never expose raw keys to the host UI.
+            for (let step = 0; step < 8; step++) {
+                check();
+                const screen = stripControl(captureScreen(name, 0));
+                pane = authPane(meta, screen);
+                if (authPromptDigest(pane) !== options.expected_prompt_digest || !pane.ui?.choices.some(choice => choice.id === answer.id))
+                    throw new Error("native choice changed");
+                const current = pane.native_input?.kind === "choice" ? pane.native_input.selected_id : null;
+                if (!current)
+                    throw new Error("native selection unknown");
+                issued = true;
+                if (tmux("send-keys", "-t", binding.pane_id, current === answer.id ? "Enter" : "Down").code !== 0)
+                    throw new Error("native choice unconfirmed");
+                if (current === answer.id)
+                    break;
+                if (step === 7)
+                    throw new Error("native choice unconfirmed");
+                await sleep(80);
+            }
+        }
+    }
+    catch (error) {
+        if (issued)
+            throw new AuthResponseError("AGENT_AUTH_RESPONSE_UNKNOWN", "unknown", "入力後の結果を確認できません。自動再送しないでください。");
+        if (error instanceof AitermError)
+            throw new AuthResponseError(/^AGENT_AUTH_[A-Z_]+/.exec(error.message)?.[0] ?? "AGENT_AUTH_RESPONSE_NOT_ISSUED", "not_issued", error.message);
+        throw new AuthResponseError("AGENT_AUTH_RESPONSE_NOT_ISSUED", "not_issued", "入力を送信できません。");
+    }
+    finally {
+        release();
+    }
+    await sleep(100);
+    try {
+        const result = await authenticateAgent(kind, { action: "status", session_id: name });
+        if (result.auth_ui?.input === "authorization_code" && response.data.kind === "authorization_code")
+            throw new Error("native input consumption unconfirmed");
+        return result;
+    }
+    catch {
+        throw new AuthResponseError("AGENT_AUTH_RESPONSE_UNKNOWN", "unknown", "入力後の状態を確認できません。自動再送しないでください。");
+    }
+}
 function launchAuthProcess(name, meta) {
     const plan = authPlan(meta.kind, meta.phase);
     const env = plan.env.map(([key, value]) => shq(`${key}=${value}`));
@@ -4371,9 +4498,18 @@ function launchAuthProcess(name, meta) {
 export async function authenticateAgent(kind, options) {
     if (options.action !== "status" || options.session_id !== undefined)
         assertExecutionContext(options.session_id);
-    const result = (status, session, message, pane) => ({ schema: "aiterm.agent-auth-result.v1", harness: agentHarness(kind),
-        status, session_id: session, url: pane?.url ?? null, user_code: pane?.user_code ?? null,
-        input_required: pane?.input_required ?? false, message: message ?? pane?.message ?? null });
+    const result = (status, session, message, pane) => {
+        const receipt = { schema: "aiterm.agent-auth-result.v1", harness: agentHarness(kind), status,
+            session_id: session, url: pane?.url ?? null, user_code: pane?.user_code ?? null,
+            input_required: pane?.input_required ?? false, message: message ?? pane?.message ?? null };
+        receipt.auth_ui = authUi(receipt, pane, session ? readAuthBinding(session, kind) : null);
+        if (isWin && receipt.auth_ui.input !== null)
+            receipt.auth_ui = { ...receipt.auth_ui, stage: "unavailable", input: null, choices: [],
+                message: "Windowsの認証入力は端末の前面所有の受入が未完了です。入力は送信できません。" };
+        return receipt;
+    };
+    if (options.action === "respond")
+        return respondAgentAuth(kind, options);
     if (options.action === "cancel") {
         if (!options.session_id)
             throw new AitermError("AGENT_AUTH_SESSION_REQUIRED: cancelにはsession_idが必要です。", 2);
@@ -4411,8 +4547,9 @@ export async function authenticateAgent(kind, options) {
             const kept = tmux("set-option", "-t", name, "remain-on-exit", "on");
             if (kept.code !== 0)
                 throw new AitermError("AGENT_AUTH_PANE_CONFIG_FAILED: 認証processの終了観測を設定できません。", 2);
+            disableAuthLogging(name);
+            meta.launch_id = randomBytes(16).toString("hex");
             if (hasExecutionCreationScope()) {
-                meta.launch_id = randomBytes(16).toString("hex");
                 meta.execution_native = executionCreatedNativeBinding(name);
             }
             withExecutionPreparation(name, () => writeJson0600(authMetadataPath(name), meta));
@@ -4452,7 +4589,7 @@ export async function authenticateAgent(kind, options) {
         if (observed.code !== 0)
             return result("failed", session, "認証processの終了状態を取得できません。");
         const [dead, exit] = observed.stdout.trim().split("\t");
-        const pane = authPane(meta, stripControl(captureScreen(session, 120)));
+        const pane = authPane(meta, stripControl(captureScreen(session, 0)));
         if (dead === "1") {
             if (exit !== "0")
                 return result("failed", session, `公式認証processが失敗しました（exit=${/^\d+$/.test(exit ?? "") ? exit : "unknown"}）。`);

package/dist/harnesses/claude.js

@@ -704,13 +704,88 @@ export function claudeAuthStatus(bin, cwd, env = process.env) {
         return { status: "unauthenticated", message: null };
     return { status: "failed", message: "Claude Codeの公式認証状態の確認に失敗しました。" };
 }
+/** Current official Claude authorization request. `code=true` requests a
+ * displayed authorization code; a callback's `code=<credential>` remains
+ * private. Keep this exception at the vendor owner, not the shared filter. */
+export function claudeAuthorizationUrl(screen) {
+    const legacy = authUrl(screen, ["claude.ai", "console.anthropic.com", "platform.claude.com"]);
+    if (legacy)
+        return legacy;
+    for (const match of screen.matchAll(/https:\/\/[^\s<>"']+/gu)) {
+        const candidate = match[0].replace(/[).,;]+$/u, "");
+        let url;
+        try {
+            url = new URL(candidate);
+        }
+        catch {
+            continue;
+        }
+        if (url.hostname !== "claude.com" || url.pathname !== "/cai/oauth/authorize"
+            || url.searchParams.getAll("code").length !== 1 || url.searchParams.get("code") !== "true"
+            || url.searchParams.get("response_type") !== "code"
+            || url.searchParams.get("code_challenge_method") !== "S256"
+            || !/^[A-Za-z0-9_-]{43}$/u.test(url.searchParams.get("code_challenge") ?? ""))
+            continue;
+        url.searchParams.delete("code");
+        if (authUrl(url.href, ["claude.com"]) !== null)
+            return candidate;
+    }
+    return null;
+}
+/** One current-phase parse owns UI choices, selected item and composer occupancy. */
+export function claudeAuthInput(screen) {
+    const lines = screen.split("\n");
+    let phase = null;
+    for (const [at, line] of lines.entries()) {
+        if (line.includes("Choose the text style that looks best with your terminal"))
+            phase = { kind: "theme", at };
+        else if (line.includes("Select login method:"))
+            phase = { kind: "login", at };
+        else if (/^\s*(?:Paste (?:the )?code|Enter (?:the )?(?:authorization )?code)/i.test(line))
+            phase = { kind: "code", at };
+        else if (/Press (?:Enter|Return)|do you trust|trust this folder/i.test(line))
+            phase = { kind: "unknown", at };
+    }
+    if (!phase || phase.kind === "unknown")
+        return {};
+    if (phase.kind === "code") {
+        const empty = /^(?:Paste (?:the )?code(?: here)?(?: if prompted)?|Enter (?:the )?(?:authorization )?code)\s*[:>]?\s*$/i.test(lines[phase.at].trim())
+            && lines.slice(phase.at + 1).every(line => !line.trim());
+        return { native_input: { kind: "authorization_code", empty }, ...(empty ? { ui: {
+                    stage: "paste_code", title: "公式ページの認証コードを入力", message: "公式ページを開いて認証し、表示されたコードをこの画面の伏せ字欄へ貼り付けてください。",
+                    input: "authorization_code", choices: [],
+                } } : {}) };
+    }
+    const theme = phase.kind === "theme";
+    const rows = [];
+    for (const line of lines.slice(phase.at + 1)) {
+        const match = /^\s*(❯)?\s*([1-7])\.\s*(.+?)\s*$/.exec(line);
+        if (!match) {
+            // A later composer/cursor or unrecognised numbered row is not this menu.
+            if (/^\s*❯|^\s*\d+[.)]/.test(line))
+                return {};
+            continue;
+        }
+        const allowed = theme ? /^(?:Auto \(match terminal\)|(?:Dark|Light) mode(?: \([^\n]+\))?)$/ : /^(?:Claude account with subscription|Anthropic Console account|3rd-party platform)$/;
+        if (!allowed.test(match[3]))
+            return {};
+        rows.push({ id: `option-${match[2]}`, label: match[3], cursor: !!match[1] });
+    }
+    const selected = rows.filter(row => row.cursor);
+    if (!rows.length || selected.length !== 1 || new Set(rows.map(row => row.id)).size !== rows.length)
+        return {};
+    return { native_input: { kind: "choice", selected_id: selected[0].id }, ui: {
+            stage: "select", title: theme ? "表示テーマを選ぶ" : "Claudeのログイン方法を選ぶ", message: "公式CLIに表示された選択肢を選んでください。",
+            input: "choice", choices: rows.map(({ id, label }) => ({ id, label })),
+        } };
+}
 export function claudeAuthPane(screen, onboarding = false) {
-    const url = authUrl(screen, ["claude.ai", "console.anthropic.com", "platform.claude.com"]);
+    const url = claudeAuthorizationUrl(screen);
     const input = /Paste (?:the )?code|Enter (?:the )?(?:authorization )?code|Choose the text style|Select login method:|Press (?:Enter|Return)|do you trust|trust this folder/i.test(screen);
     const complete = onboarding && (claudeTuiReady(screen) || /Is this a project you created or one you trust/.test(screen));
     return { url, user_code: null, input_required: input && !complete,
         message: complete ? null : input ? "Claude Codeの公式画面で入力または初回案内の選択を完了してください。" : null,
-        onboarding_complete: complete };
+        onboarding_complete: complete, ...(complete ? {} : claudeAuthInput(screen)) };
 }
 /** `/fast on|off` を送る前の画面と後の画面から、増えた結果の行を読む。まだ出ていなければnull。 */
 export function claudeFastResult(before, after) {

package/dist/index.js

@@ -1,4 +1,5 @@
 #!/usr/bin/env node
+import { AuthResponseError, authUiSchema, authBindingSchema, authResponseSchema } from "./agent-auth-ui.js";
 /**
  * aiterm-mcp — AI が握るローカル永続端末を stdio MCP サーバとして公開する（Node/TS 版）。
  *
@@ -882,14 +883,17 @@ export function createAitermServer(options = {}) {
     });
     registerRemoteAwareTool("agent_auth", {
         description: "各harnessの公式CLI認証を開始・確認・取消する。CLIごとのコマンドと認証URL/codeの抽出はAitermが所有し、資格情報は各CLIだけが保存する。" +
-            "waitingのURL/codeを人へ表示し、input_requiredなら同じsessionのpty_send／pty_keyで公式画面へ入力する。" +
+            "auth_uiの段階と公式URL・選択肢を表示する。入力はrespondで同じbindingへ送り、pty_send／pty_keyへ認証コードを渡さない。" +
             "authenticatedは認証の結果であり、agent_launchの起動準備完了とは別。remoteは他toolと同じ標準対応。" +
             "startは公式の状態が認証済みなら何も起こさずauthenticatedを返す。relogin:trueを付けると、認証済みに見えても公式ログインを開始する" +
             "（別のアカウントへ入り直す時、ログインの期限切れを状態から見抜けない時）。Aitermは資格情報を消さず、置き換えは公式CLIが行う。" +
             "Codexの公式ログインは、始めた時点で元のログインを消す（途中でcancelしても戻らない）。",
         inputSchema: {
             harness: z.enum(["claude-code", "codex-cli", "grok-cli", "cursor-cli"]),
-            action: z.enum(["start", "status", "cancel"]),
+            action: z.enum(["start", "status", "cancel", "respond"]),
+            expected_binding: authBindingSchema.optional(),
+            expected_prompt_digest: z.string().regex(/^[a-f0-9]{64}$/).optional(),
+            response: authResponseSchema.optional(),
             session_id: z.string().regex(/^[A-Za-z0-9_-]{1,64}$/).optional(),
             cwd: z.string().optional().describe("公式CLIを実行する作業ディレクトリの絶対パス"),
             env_vars: z.array(z.string().regex(/^[A-Za-z_][A-Za-z0-9_]*$/)).optional().describe("startで認証PTYへ引き継ぐ環境変数名。値はreceiptへ返さない"),
@@ -897,6 +901,7 @@ export function createAitermServer(options = {}) {
         },
         outputSchema: {
             schema: z.literal("aiterm.agent-auth-result.v1"),
+            auth_ui: authUiSchema.optional(),
             harness: z.enum(["claude-code", "codex-cli", "grok-cli", "cursor-cli"]),
             status: z.enum(["waiting", "authenticated", "blocked", "failed"]),
             session_id: z.string().nullable(),
@@ -911,6 +916,11 @@ export function createAitermServer(options = {}) {
             return { content: [{ type: "text", text: JSON.stringify(result) }], structuredContent: { ...result } };
         }
         catch (error) {
+            if (error instanceof AuthResponseError)
+                return { ...fail(error), structuredContent: {
+                        schema: "aiterm.auth-response-error.v1", harness, session_id: options.session_id ?? null,
+                        code: error.reason_code, effect: error.effect, message: error.message,
+                    } };
             return fail(error);
         }
     });

package/docs/DESIGN.md

@@ -494,3 +494,16 @@ transcript、path、credentialを保存・公開しない。
 公開schema、完了境界、state ownership、platform backendを変える時は、原因の最小再現、focused test、
 関連ADR、日英README、CHANGELOGを同じ変更で同期する。現行制御から外れた完了・棄却・中断・失効・置換済みの設計planはcurrentへ残さずarchiveへ移す。
 旧設計draftは[`archive/01_design-plan.md`](https://github.com/kitepon/aiterm-mcp/blob/main/docs/archive/01_design-plan.md)に保存する。
+
+
+Claude authentication URL receipts recognize the official claude.com/cai/oauth/authorize PKCE authorization request and its nonsecret code=true display flag. Callback authorization codes and tokens remain excluded; the common URL credential filter is unchanged. This auth-only patch contains no native goal feature.
+
+
+### 認証画面と専用応答
+
+`agent-auth-ui.ts`が既v1 receiptに追加する`auth_ui`とrespondの型を所有する。Native harnessが公式URL・device code・空code欄・現在のラベル付き選択肢を識別し、Rootはキー列を作らない。不明な入力段階はunavailable。coreが既auth metadataのdev/ino/作成・更新時刻、native session/pane/server/PID開始識別を照合する。legacyのlaunch UUID欠測はnullのまま扱い、無関係なflowをadoptしない。新startは既launch_id欄を必ず設定する。
+
+respondは既session send lock内で現在の空欄/段階と世代を再検証し、専用auth paneのpipe loggingを入力前に停止する。新auth paneは公式CLI起動前にloggingを停止する。通常send・lastcmd・mark・turn・journalを通さず、POSIX tmux load-bufferへstdinで送り、immutable pane IDへpaste/Enterを一回送る。secretはargv/fileへ渡さずbufferを消す。CLIの独自資格保存はCLI所有で、Aitermの非保存保証とは区別する。入力前の拒否はnot_issued、入力開始後の所有/結果欠測はunknown。元画面へ勝手に戻す・再送する回復はしない。Windowsは既psmux送信だけで前面所有を証明できないため専用respondを未対応として拒否する。macOSはPOSIX経路のsource実装であり実OS受入は別gate。
+
+
+Claude authのcurrent menuはharnessの単一parseがphase/rows/selected/入力占有を所有する。古いthemeと新loginが同viewportに残っても最後の現在phaseだけを採り、coreはそのselected_idでnavigateする。code欄が現在phaseならoccupied状態から古いmenu UIへ戻さない。cursor欠測/複数cursor/未知row/後続の未知promptは入力前拒否。Native内部の入力観測は公開auth_uiへ直接返さず、公開schemaを拡張しない。

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "aiterm-mcp",
-  "version": "0.61.17",
+  "version": "0.61.18",
   "mcpName": "io.github.kitepon/aiterm-mcp",
   "description": "Persistent terminal MCP with one harness-based launcher for Claude Code, Codex CLI, Grok CLI, and Cursor Agent CLI, plus durable PTYs for SSH, containers, and REPLs.",
   "keywords": [