altis-claude-harness 1.5.1 → 1.5.2

package/README.md

@@ -10,8 +10,8 @@ Pre-requisitos: Node.js 18+, Python 3 no PATH, Git para Windows (git-bash), esta
 
     npx altis-claude-harness install
 
-Se a estacao nao estiver liberada, o comando mostra os MACs da maquina - envie ao gestor
-e rode de novo depois da liberacao.
+Se a estacao nao estiver liberada, o comando mostra a(s) identidade(s) da maquina - envie
+ao gestor e rode de novo depois da liberacao.
 
 Pronto. A cada abertura do Claude Code, uma checagem em background (no maximo 1 a cada 4h)
 compara a versao instalada com o registry npm e aplica atualizacoes sozinha. O conteudo
@@ -24,7 +24,7 @@ backup unico em `.claude.json.altis-bak`. As interacoes com o Claude Code (promp
 
 Comandos uteis:
 
-    npx altis-claude-harness status     # o que esta instalado + MACs da estacao
+    npx altis-claude-harness status     # o que esta instalado + identidades da estacao
     npx altis-claude-harness check      # ha atualizacao?
     npx altis-claude-harness update     # forca sync agora
     npx altis-claude-harness uninstall  # remove tudo que e gerenciado
@@ -35,10 +35,21 @@ Log do auto-update: `~/.claude/hooks/altis/update.log`.
 
 ## Liberacao de estacoes (gestor)
 
-1. Dev roda `npx altis-claude-harness status` e envia os MACs exibidos.
-2. Adicione a entrada em `payload/hooks/liberacoes.json`:
+1. Dev roda `npx altis-claude-harness status` e envia as identidades exibidas em
+   `identidades da estacao: ...` (MAC no Windows/Linux; no macOS tambem aparecem
+   `IOPlatformUUID`/`IOPlatformSerialNumber`, ja que o MAC e randomizado por rede e nao
+   identifica a maquina). Alternativa manual no macOS, sem instalar nada:
 
-       { "liberadas": [ { "mac": "AA:BB:CC:DD:EE:FF", "id": "dev01" } ] }
+       ioreg -rd1 -c IOPlatformExpertDevice | grep -E "IOPlatformUUID|IOPlatformSerialNumber"
+
+2. Adicione a entrada em `payload/hooks/liberacoes.json`. Aceita `mac`, `maquina_id`
+   (o `IOPlatformUUID`) e `serial` (o `IOPlatformSerialNumber`) - pelo menos um dos tres e
+   obrigatorio, pode combinar mais de um na mesma entrada:
+
+       { "liberadas": [
+         { "mac": "AA:BB:CC:DD:EE:FF", "id": "dev01" },
+         { "maquina_id": "A1B2C3D4-1111-2222-3333-444455556666", "serial": "C02XL0THJGH5", "id": "dev02-macbook" }
+       ] }
 
    (use um apelido curto em `id` - o pacote e publico, nao exponha nome completo)
 3. `npm version patch` + `git push`. A Action publica e as estacoes recebem pelo

package/bin/cli.js

@@ -45,12 +45,12 @@ function checkPython() {
 }
 
 function estaLiberada() {
-  return license.isLiberated(license.readLiberacoes(), license.getStationMacs());
+  return license.resolveIdentidade(license.readLiberacoes()).ok;
 }
 
 function msgNaoLiberada() {
-  const macs = license.getStationMacs();
-  return `estacao nao liberada para o ${PKG_NAME}. Informe ao gestor o(s) MAC(s): ${macs.join(', ') || 'nenhum detectado'}`;
+  const ids = license.getStationIds();
+  return `estacao nao liberada para o ${PKG_NAME}. Informe ao gestor a(s) identidade(s): ${ids.join(', ') || 'nenhuma detectada'}`;
 }
 
 function runSync(target) {
@@ -121,7 +121,7 @@ function cmdCheck(target) {
 }
 
 function cmdStatus(target) {
-  console.log(`macs da estacao: ${license.getStationMacs().join(', ') || 'nenhum detectado'}`);
+  console.log(`identidades da estacao: ${license.getStationIds().join(', ') || 'nenhuma detectada'}`);
   const m = readManifest(target);
   if (!m) {
     console.log(`nao instalado em ${target}`);

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "altis-claude-harness",
-  "version": "1.5.1",
+  "version": "1.5.2",
   "description": "Padroes Claude Code da Altis Sistemas - instalador, auto-update e liberacao por estacao",
   "bin": {
     "altis-claude-harness": "bin/cli.js"

package/payload/hooks/liberacoes.json

@@ -17,9 +17,7 @@
     { "mac": "50:BB:B5:7A:41:28", "id": "matheus", "funcionario_id": 35 },
     
     { "mac": "28:11:A8:83:BA:0D", "id": "nicolas", "funcionario_id": 28 },
-    
-    { "mac": "E8:B0:C5:37:CC:6A", "id": "luiz", "funcionario_id": 6 },
-    
+
     { "mac": "5C:9B:A6:63:3C:74", "id": "vinicius-macbook", "funcionario_id": 7 },
     { "mac": "2A:10:61:A5:18:F0", "id": "vinicius-macbook", "funcionario_id": 7 },
     { "mac": "DE:50:D9:92:D5:8F", "id": "vinicius", "funcionario_id": 7 },
@@ -29,6 +27,8 @@
 
     { "mac": "A2:51:13:A5:DD:BF", "id": "kamusx2", "funcionario_id": 2 },
     { "mac": "12:57:E7:8E:6A:E3", "id": "kamusx2", "funcionario_id": 2 },
+    { "maquina_id": "F5E1932E-0A25-5226-9DE6-FD78A775B330", "id": "kamusx2-macbook", "funcionario_id": 2 },
+    { "serial": "J6C7P4J575", "id": "kamusx2-macbook", "funcionario_id": 2 },
 
     { "mac": "08:00:27:C6:34:7D", "id": "GeradorExe", "funcionario_id": 1 }
   ]

package/payload/hooks/license_guard.cjs

@@ -3,13 +3,18 @@
 const fs = require('fs');
 const os = require('os');
 const path = require('path');
-const { execSync } = require('child_process');
+const { execSync, execFileSync } = require('child_process');
 
 const TARGET_DIR = process.env.ALTIS_CLAUDE_TARGET || path.resolve(__dirname, '..', '..');
 const MANIFEST = path.join(TARGET_DIR, 'altis-claude.manifest.json');
 const LIBERACOES = process.env.ALTIS_CLAUDE_LIBERACOES || path.join(__dirname, 'liberacoes.json');
 const PKG_NAME = 'altis-claude-harness';
 const FRESH_MS = 24 * 60 * 60 * 1000;
+const PREFIXO_MAC = 'MAC:';
+const PREFIXO_UUID = 'UUID:';
+const PREFIXO_SERIAL = 'SERIAL:';
+const RE_UUID = /^[0-9A-F]{8}-[0-9A-F]{4}-[0-9A-F]{4}-[0-9A-F]{4}-[0-9A-F]{12}$/;
+const RE_SERIAL = /^[0-9A-Z]{8,16}$/;
 
 function normalizeMac(mac) {
   const hex = String(mac).replace(/[^0-9a-fA-F]/g, '').toUpperCase();
@@ -17,6 +22,20 @@ function normalizeMac(mac) {
   return hex.match(/.{2}/g).join(':');
 }
 
+function texto(valor) {
+  return valor == null ? '' : String(valor).trim().toUpperCase();
+}
+
+function normalizeUuid(valor) {
+  const v = texto(valor);
+  return RE_UUID.test(v) ? v : null;
+}
+
+function normalizeSerial(valor) {
+  const v = texto(valor);
+  return RE_SERIAL.test(v) ? v : null;
+}
+
 function getStationMacs() {
   const macs = new Set();
   for (const list of Object.values(os.networkInterfaces())) {
@@ -29,10 +48,60 @@ function getStationMacs() {
   return [...macs];
 }
 
+const RE_IOREG_UUID = /"IOPlatformUUID"\s*=\s*"([^"]*)"/;
+const RE_IOREG_SERIAL = /"IOPlatformSerialNumber"\s*=\s*"([^"]*)"/;
+
+function execIoreg() {
+  return execFileSync('ioreg', ['-rd1', '-c', 'IOPlatformExpertDevice'], {
+    encoding: 'utf8',
+    timeout: 3000,
+    stdio: ['ignore', 'pipe', 'ignore'],
+    windowsHide: true,
+  });
+}
+
+// macOS randomiza o MAC por SSID (Private Wi-Fi Address), entao o MAC nao identifica a
+// estacao. IOPlatformUUID e IOPlatformSerialNumber sao estaveis, legiveis sem sudo e
+// independem de rede. Fail-open: qualquer falha vira lista vazia e a decisao cai nos MACs.
+function getMacIds(opts) {
+  const o = opts || {};
+  const platform = o.platform || process.platform;
+  if (platform !== 'darwin') return [];
+  let saida;
+  try {
+    saida = String((o.exec || execIoreg)());
+  } catch {
+    return [];
+  }
+  const ids = [];
+  const mUuid = RE_IOREG_UUID.exec(saida);
+  const uuid = mUuid && normalizeUuid(mUuid[1]);
+  if (uuid) ids.push(PREFIXO_UUID + uuid);
+  const mSerial = RE_IOREG_SERIAL.exec(saida);
+  const serial = mSerial && normalizeSerial(mSerial[1]);
+  if (serial) ids.push(PREFIXO_SERIAL + serial);
+  return ids;
+}
+
+const CAMPOS_IDENTIDADE = [
+  ['mac', normalizeMac, PREFIXO_MAC],
+  ['maquina_id', normalizeUuid, PREFIXO_UUID],
+  ['serial', normalizeSerial, PREFIXO_SERIAL],
+];
+
 function readLiberacoes(filePath = LIBERACOES) {
   try {
     const data = JSON.parse(fs.readFileSync(filePath, 'utf8'));
-    return (data.liberadas || []).map(e => normalizeMac(e.mac)).filter(Boolean);
+    const ids = [];
+    for (const e of data.liberadas || []) {
+      if (!e || typeof e !== 'object') continue;
+      for (const [campo, normaliza, prefixo] of CAMPOS_IDENTIDADE) {
+        if (e[campo] === undefined) continue;
+        const v = normaliza(e[campo]);
+        if (v) ids.push(prefixo + v);
+      }
+    }
+    return ids;
   } catch {
     return [];
   }
@@ -43,6 +112,23 @@ function isLiberated(liberadas, stationMacs) {
   return stationMacs.some(m => set.has(m));
 }
 
+function getStationIds(opts) {
+  return [
+    ...getStationMacs().map(m => PREFIXO_MAC + m),
+    ...getMacIds(opts),
+  ];
+}
+
+// Curto-circuito de performance: o guard roda a cada prompt /altis* e a cada Task/Skill
+// gerenciada. Quando o MAC ja libera — o caso de toda estacao Windows e Linux — a chamada
+// externa nem acontece.
+function resolveIdentidade(liberadas, opts) {
+  const macs = getStationMacs().map(m => PREFIXO_MAC + m);
+  if (isLiberated(liberadas, macs)) return { ok: true, ids: macs };
+  const ids = [...macs, ...getMacIds(opts)];
+  return { ok: isLiberated(liberadas, ids), ids };
+}
+
 function isFresh(manifest, nowMs) {
   if (!manifest || !manifest.lastSuccessAt) return false;
   const t = Date.parse(manifest.lastSuccessAt);
@@ -81,11 +167,11 @@ function tryRevalidate() {
 }
 
 function licenseDecision() {
-  const macs = getStationMacs();
-  if (!isLiberated(readLiberacoes(), macs)) {
+  const { ok, ids } = resolveIdentidade(readLiberacoes());
+  if (!ok) {
     return {
       ok: false,
-      reason: `Estacao nao liberada para os comandos Altis. Informe ao gestor o(s) MAC(s): ${macs.join(', ') || 'nenhum detectado'}`,
+      reason: `Estacao nao liberada para os comandos Altis. Informe ao gestor a(s) identidade(s): ${ids.join(', ') || 'nenhuma detectada'}`,
     };
   }
   if (!isFresh(readManifest(), Date.now()) && !tryRevalidate()) {
@@ -149,5 +235,10 @@ if (require.main === module) {
   } catch {}
   process.exit(0);
 } else {
-  module.exports = { normalizeMac, getStationMacs, readLiberacoes, isLiberated, isFresh, FRESH_MS };
+  module.exports = {
+    normalizeMac, normalizeUuid, normalizeSerial,
+    getStationMacs, getMacIds, getStationIds, resolveIdentidade,
+    readLiberacoes, isLiberated, isFresh, FRESH_MS,
+    PREFIXO_MAC, PREFIXO_UUID, PREFIXO_SERIAL,
+  };
 }

package/payload/hooks/rag_telemetria.cjs

@@ -65,6 +65,26 @@ function macsDaEstacao() {
   return [...macs];
 }
 
+// license_guard.cjs vive ao lado deste hook (~/.claude/hooks/altis/ em runtime, payload/hooks/
+// no repositorio) e so executa seu main quando require.main === module, entao importa-lo aqui
+// e seguro. Fail-open: qualquer falha no require deixa licenseGuard null e a identificacao cai
+// de volta no comportamento historico (casar so por MAC).
+let licenseGuard = null;
+try {
+  licenseGuard = require('./license_guard.cjs');
+} catch {
+  licenseGuard = null;
+}
+
+function idsExtrasDaEstacao(opts) {
+  if (!licenseGuard || typeof licenseGuard.getMacIds !== 'function') return [];
+  try {
+    return licenseGuard.getMacIds(opts);
+  } catch {
+    return [];
+  }
+}
+
 function lerLiberacoes() {
   try {
     const arquivo = path.join(__dirname, 'liberacoes.json');
@@ -75,12 +95,33 @@ function lerLiberacoes() {
   }
 }
 
-function identificarUsuario(macsEstacao, liberadas) {
+// Casa a estacao com uma entrada de liberacoes.json por mac (historico) ou, se nao bater, por
+// maquina_id/serial (macOS) — necessario porque o macOS randomiza o MAC por rede e a estacao
+// pode estar cadastrada so por identidade de hardware. O campo "mac" do retorno e contrato de
+// telemetria e sempre reflete o MAC da estacao (o primeiro, quando o match e por UUID/serial);
+// quem identifica o usuario e a entrada casada, nao o campo mac.
+function identificarUsuario(macsEstacao, liberadas, opts) {
+  const idsExtras = new Set(idsExtrasDaEstacao(opts));
   for (const entrada of liberadas) {
-    const macEntrada = normalizarMac(entrada && entrada.mac);
-    if (macEntrada && macsEstacao.includes(macEntrada)) {
+    if (!entrada || typeof entrada !== 'object') continue;
+    const macEntrada = normalizarMac(entrada.mac);
+    let macBate = macEntrada && macsEstacao.includes(macEntrada);
+
+    let idBate = false;
+    if (!macBate && licenseGuard && idsExtras.size > 0) {
+      if (entrada.maquina_id !== undefined) {
+        const uuid = licenseGuard.normalizeUuid(entrada.maquina_id);
+        if (uuid && idsExtras.has(licenseGuard.PREFIXO_UUID + uuid)) idBate = true;
+      }
+      if (!idBate && entrada.serial !== undefined) {
+        const serial = licenseGuard.normalizeSerial(entrada.serial);
+        if (serial && idsExtras.has(licenseGuard.PREFIXO_SERIAL + serial)) idBate = true;
+      }
+    }
+
+    if (macBate || idBate) {
       return {
-        mac: macEntrada,
+        mac: macBate ? macEntrada : (macsEstacao[0] || null),
         nome_usuario: entrada.id ? String(entrada.id).slice(0, 60) : null,
         funcionario_id: Number.isInteger(entrada.funcionario_id) ? entrada.funcionario_id : null,
       };