auroq-os 2.8.5 → 2.8.6

package/.auroq-core/core-config.yaml

@@ -1,7 +1,7 @@
 project:
   name: "Auroq OS"
   type: greenfield
-  version: 2.8.5
+  version: 2.8.6
   installedAt: '2026-03-16'
 
 ide:

package/AGENTS.md

@@ -76,6 +76,10 @@ nunca como fonte do método.
 - Pedido de explicar, revisar ou diagnosticar: olhe e responda, sem mudar nada.
 - Pedido de fazer, mudar, corrigir ou publicar: faça até o resultado conferido. A ordem vale para
   todos os passos de rotina daquele pedido.
+- **Vai e faz até o final, sempre que der.** Só pare para perguntar diante de um impeditivo real: uma
+  das travas abaixo, senha pessoal, código do celular, CAPTCHA ou decisão de negócio que só o aluno toma.
+  Com a resposta, continue até o fim sem pedir outro OK. Passo de rotina do pedido não pede licença:
+  quanto mais a IA faz sem o aluno precisar fazer, melhor.
 - Antes de perguntar, procure no arquivo, na memória, no histórico ou na ferramenta. Decidiu sozinho:
   diga a suposição em uma linha.
 - Resolva antes de devolver: ferramentas, CLIs, MCPs e logins já configurados primeiro. Credencial vem

package/CHANGELOG.md

@@ -1,5 +1,6 @@
 ## Unreleased
 
+- Conteúdo ao vivo (catálogo `auroq-core` 2.3.54, 04/11): a peça do 1Password da skill do cofre avisa o Companion de que, no Windows, o app pode estar instalado só como pacote MSIX (é o que o `winget` instala hoje) e não aparece nas pastas de sempre: antes de dizer "o app não está instalado" (resultado `instalar-app`, ou o aluno dizendo que não acha) ele confere a lista de pacotes do Windows, e, se o app estiver lá, vai direto para entrar na conta e ligar a chave. Também descreve o instalador de reserva com limite de 3 minutos; o mesmo aviso entra no pré-gate da skill `configurar-computador`. Precisa do auroq-os 2.8.6 no npm (a detecção e o limite vivem no comando).
 - Conteúdo ao vivo (catálogo `auroq-core` 2.3.53, 29/10): **a skill do cofre de senhas foi dividida em seis peças** (entrada, 1Password, Infisical grátis com os resultados à parte, passar do grátis para o 1Password, e uso do dia a dia). Antes era um texto só de 62 mil caracteres, grande demais para o Claude Code ler de uma vez (o Marcos viu isso no teste de 27/10). O Companion continua entrando pelo mesmo gatilho (`conectar-cofre`) e a entrada diz qual peça abrir. O Companion agora pede o OK do aluno em uma frase antes de criar a chave do agente, de instalar o app e de passar as chaves (a proteção do Claude Code barrava esses passos sem aviso), explica a Chave Secreta e o Kit de Emergência do 1Password (guardar o PDF fora do computador e fora do GitHub), ensina a ligar o Windows Hello ou o Touch ID quando a digital não aparece, e não manda mais ligar a chave do app de novo quando ela já está ligada. Precisa do auroq-os 2.8.5 no npm (comando `--instalar-app` e códigos novos).
 - Conteúdo ao vivo (catálogo `auroq-core` 2.3.52, 27/10): **documentação revisada para o jeito de hoje.** O guia do sistema que o Companion usa com o aluno, a fundação do Companion e as fichas do Consultor não apresentam mais o Ops como técnico nem o nome personalizado do Companion; ensinam a abrir uma conversa nova dentro do projeto e chamar o Companion (quantas quiser, uma por assunto, nunca um chat por squad) e dizem que, com o app aberto, o salvamento na internet é automático a cada 15 minutos e ao abrir e fechar. A skill `configurar-computador` e o guia longo do Ops dizem que as contas são conectadas pelo Companion na primeira conversa, não na instalação.
 - Motor: README com o app Auroq OS como caminho novo e o terminal como o caminho que a plataforma ensina hoje; segunda máquina pelo app ("Trazer projeto que já existe"); atualizar, primeiro uso e agentes core sem o Ops; endereço da plataforma `arcane.arka.education`. `AGENTS.md` e `.auroq-core/como-funciona.md` dizem que, com o app aberto, salvar e entregar são automáticos a cada 15 minutos.
@@ -17,6 +18,17 @@
 - Conteúdo ao vivo (catálogo `auroq-core` 2.3.40, 26/10): **as contas do nível 1 (GitHub, Vercel e Supabase) passam a ser conectadas pelo Companion na primeira conversa.** Decisão do Euriler: conectar na instalação do app não funciona bem para o aluno iniciante. Skill nova `conexoes-essenciais`: o Companion explica cada conta em uma linha, abre as páginas (GitHub primeiro, com a conta criada junto se o aluno não tiver; a Vercel e o Supabase entram com o GitHub), confere e segue; o aluno só cria a conta, entra e autoriza, sem senha nem código na conversa, sempre no plano grátis. Usa o comando `auroq conexoes` do app quando existir; antes disso, a tela Configurações → Conexões. O `*primeiro-uso` ficou: conferência e instalação do que faltar (o aluno nunca baixa nem instala programa), material, perguntas, Mapa, conexões (P6), organizar (P7) e fecho (P8).
 - Conteúdo ao vivo (catálogo `auroq-core` 2.3.39, 26/10): **o cofre de senhas saiu da primeira conversa.** Decisão do Euriler: é técnico demais para o aluno iniciante e é conexão do nível 2 (com domínio próprio e Google, que o app chama de "conecte quando precisar"). No `*primeiro-uso` o Companion confere só o sistema e as contas do nível 1 (GitHub, Vercel e Supabase, que o app conecta na tela "Conectar suas contas") e vai para a entrevista; o cofre entra quando a primeira tarefa precisar de uma senha, chave ou token (skill `conectar-cofre`).
 - **Regra de projetos do aluno sem o nome do Euriler.** `project-tracker.md` mandava "avisar o Euriler" quando faltava o acompanhamento de um projeto e dizia que só "o Euriler/Jarvis" mudam objetivo e fases (cópia da regra pessoal dele). Agora o Companion cria o acompanhamento pelo modelo e avisa o aluno em uma linha; quem decide objetivo e fases é o aluno (o Companion propõe). Chega pelo npm.
+## 2.8.6 — 2026-11-04
+
+Correção do re-teste real do Marcos (03/11, Windows 11, auroq-os 2.8.5). O resto da rota A (aprovação, cofre `Claude`, chave do agente, teste e migração) passou liso e não foi mexido. Nenhuma máquina de aluno foi tocada; o que dá para provar sem Windows foi provado com PowerShell, winget e instalador simulados (veja a story `AUROQ-1password-automatico`, seção "Re-teste do Marcos 03/11").
+
+- **O app do 1Password instalado pelo `winget` agora é reconhecido.** O `winget` instala o 1Password como pacote MSIX (`C:\Program Files\WindowsApps\Agilebits.1Password_...`), pasta que o comando não olhava e que um usuário comum nem consegue listar. Agora, além das pastas de sempre, ele pergunta ao Windows pela lista de pacotes do próprio usuário (`Get-AppxPackage`, sem admin, em texto claro). Se o Windows não responder, o comando diz "não sei" e nunca "ausente".
+- **Saída 0 do `winget` = confia.** Antes, como o app não aparecia nas pastas, o comando achava que o `winget` tinha falhado, avisava isso (não era verdade) e rodava o instalador oficial por cima, que travou escondido por 6 minutos no teste. Agora saída 0 encerra a instalação; o instalador de reserva só roda se o `winget` falhou **e** o app de fato não está no computador.
+- **Instalador de reserva mais seguro.** Limite de 3 minutos (era 15): passou disso, o comando interrompe o instalador e os processos filhos, diz a verdade ("passou de 3 minutos sem terminar e eu o interrompi; não sei dizer por que") e devolve `app-nao-instalou`. Roda sem janela escondida (a hipótese, não provada, é que o travamento vinha de uma janela invisível esperando resposta; rodado à vista ele terminou em 13 segundos). A pasta temporária é apagada ao terminar, no prazo estourado e também com Ctrl+C ou terminal fechado; pasta velha de uma execução morta à força é varrida na próxima vez.
+- **O comando principal não manda mais reinstalar o app que já está instalado.** Com o app só como MSIX e a conta ainda não listada, devolvia `instalar-app` de novo (risco de laço). Agora devolve `ligar-integracao`.
+- Skill do Companion: aviso do pacote MSIX antes de dizer "não instalado" (veja a nota do catálogo `auroq-core` 2.3.54 acima).
+- Instaladores fixam `auroq-os@2.8.6`.
+
 ## 2.8.5 — 2026-10-29
 
 Correções do teste real do Marcos (27/10, Windows 11 zerado). O cofre grátis (Infisical) rodou liso; o 1Password travou em quatro pontos, e o Companion girava em círculo. Nenhuma máquina de aluno foi tocada; o que dá para provar sem Windows foi provado com um 1Password de mentira que agora se comporta como o de verdade (veja a story `AUROQ-1password-automatico`, seção "Teste real do Marcos 27/10").

package/README.md

@@ -57,7 +57,7 @@ nem atualizar Pack.
 | `auroq-os doctor` | Diagnostico do suporte: arquivos, motor do sistema (e se o programa aberto pelo icone enxerga ele), registro do conteudo ao vivo, login e servidor |
 | `auroq-os register-mcp` | Reescreve o registro do conteudo ao vivo no projeto (use se o `doctor` apontar que ele falta) |
 | `auroq-os sync-codex` | Regenera e verifica as skills locais do Codex |
-| `auroq-os conectar-1password` | Liga o 1Password ao Auroq sozinho (Mac/Windows): instala o `op` se faltar, cria o cofre `Claude` e uma conta de servico que so enxerga esse cofre (sem data de validade), guarda a chave no computador e testa. Voce so aprova no app do 1Password. O Companion roda isto por voce (`--agente`). Opcoes: `--conta "<e-mail>"` (escolhe a conta quando o app tem mais de uma), `--rotacionar` (cria uma chave nova), `--instalar-app` (instala o app do 1Password: Windows pelo winget e, se ele falhar, pelo instalador oficial depois de conferir a assinatura; Mac pelo Homebrew), `--estado` (mostra em que etapa voce parou, sem falar com o 1Password; com `--agente` imprime a linha `AUROQ_ESTADO ...`). Pode ser retomado a qualquer hora: ele reconfere cada etapa e continua de onde parou. O Companion roda isto sozinho quando falta o cofre (skill `conectar-cofre`, que pergunta qual cofre) |
+| `auroq-os conectar-1password` | Liga o 1Password ao Auroq sozinho (Mac/Windows): instala o `op` se faltar, cria o cofre `Claude` e uma conta de servico que so enxerga esse cofre (sem data de validade), guarda a chave no computador e testa. Voce so aprova no app do 1Password. O Companion roda isto por voce (`--agente`). Opcoes: `--conta "<e-mail>"` (escolhe a conta quando o app tem mais de uma), `--rotacionar` (cria uma chave nova), `--instalar-app` (instala o app do 1Password: Windows pelo winget, que se terminar bem encerra o assunto, e, so se ele falhar e o app nao estiver la, pelo instalador oficial depois de conferir a assinatura, com limite de 3 minutos; Mac pelo Homebrew), `--estado` (mostra em que etapa voce parou, sem falar com o 1Password; com `--agente` imprime a linha `AUROQ_ESTADO ...`). Pode ser retomado a qualquer hora: ele reconfere cada etapa e continua de onde parou. O Companion roda isto sozinho quando falta o cofre (skill `conectar-cofre`, que pergunta qual cofre) |
 | `auroq-os conectar-cofre` | Escolhe e liga o cofre de senhas: **1Password** (pago, uns US$ 3 por mes, confira o preco na tela, recomendado; preenche senha no navegador) ou **Infisical** (gratis, so guarda as chaves que o agente usa). Opcoes: `--cofre 1password\|infisical` (sem ela, pergunta qual), `--regiao us\|eu` (Infisical), `--estado` (em que etapa voce parou, sem falar com o cofre; com `--agente` imprime a linha `AUROQ_ESTADO ...`), `--rotacionar` (chave nova) e `--migrar` (passa as chaves do Infisical para o 1Password, sem apagar nada; so depois que todas passaram o 1Password vira o cofre ativo, e `--ignorar-fora-do-formato` deixa no Infisical as chaves com nome que o Auroq nao usa). Ligar o 1Password sozinho nao troca o cofre de quem ja usa o Infisical; ligar o Infisical com o 1Password ativo troca, e as chaves do 1Password nao sao levadas (continuam la, `segredo ler NOME --cofre 1password`). O Companion roda isto por voce (`--agente`) |
 | `auroq-os segredo` | Le e guarda credenciais no cofre que voce escolheu, igual nos dois: `segredo ler\|gravar\|listar\|apagar\|qual <referencia>`. O valor de `gravar` entra por stdin, nunca como argumento; `ler` imprime o valor, entao use sempre dentro do comando que o usa (`X="$(auroq-os segredo ler Item/campo)" && comando "$X"`), nunca sozinho; a referencia e `op://Claude/<Item>/<campo>` ou `cofre://<Item>/<campo>`. Com 1Password, `op read` direto continua valendo. Squads, skills e agentes usam este comando |
 
@@ -290,13 +290,13 @@ a parte tecnica e com o Companion.
 
 ## Observabilidade e integridade do motor
 
-Apos publicacao, `npx -y auroq-os@2.8.5 doctor` mostra a fila local segura e os comandos pinados de
-manutencao/diagnostico. `npx -y auroq-os@2.8.5 manutencao` preserva o caminho existente
+Apos publicacao, `npx -y auroq-os@2.8.6 doctor` mostra a fila local segura e os comandos pinados de
+manutencao/diagnostico. `npx -y auroq-os@2.8.6 manutencao` preserva o caminho existente
 de consentimento legado, studentFiles, customizacoes e dados do negocio. Nao ha
 migracao forcada. O registro MCP aponta para `arcane-mcp@0.7.1` — o pin mora no campo
 `arcaneMcpPin` do package.json (fonte unica; o servidor le o mesmo campo no npm).
 `npm run release:verify` recusa publicar com um pin que o npm nao resolva.
-Os instaladores do repositorio ficam preparados para 2.8.5; as copias publicas so recebem
+Os instaladores do repositorio ficam preparados para 2.8.6; as copias publicas so recebem
 a versao apos os gates nativos e a verificacao do tarball publicado.
 O pacote inclui `lib/runtime-integrity.json`: inventario SHA-256 gerado depois da montagem da casca, verificavel com `npm run integrity:verify` dentro do pacote extraido. Ele comprova consistencia do conteudo; nao e uma assinatura de autoria.
 

package/installer/install.ps1

@@ -589,7 +589,7 @@ function Invoke-AuroqLogin {
   # sucesso. Usado como pergunta de sim/nao, ele dizia "voce ja estava logado"
   # pra quem nunca logou, pulava o portao e deixava a conta sem acesso chegar ate
   # a criacao da pasta.
-  & (Get-AuroqNpx) -y auroq-os@2.8.5 check-access
+  & (Get-AuroqNpx) -y auroq-os@2.8.6 check-access
   if ($LASTEXITCODE -ne 0) {
     Write-AuroqLog 'login' 'recusado'
     Write-Host ''
@@ -677,7 +677,7 @@ function Invoke-AuroqInit {
   if ($env:AUROQ_INSTALL_DRY_RUN) { Write-AuroqOk 'Sistema - seria montado aqui'; return }
 
   Set-Location $script:AuroqPastaAlvo
-  & (Get-AuroqNpx) -y auroq-os@2.8.5 instalar
+  & (Get-AuroqNpx) -y auroq-os@2.8.6 instalar
   if ($LASTEXITCODE -ne 0) {
     Write-AuroqLog 'init' 'falhou'
     Write-AuroqErro 'A montagem do sistema parou no meio.' 'Rode o mesmo comando de novo. Se repetir, mande pro suporte o arquivo install.log da pasta .auroq.'

package/installer/install.sh

@@ -219,9 +219,9 @@ auroq_tem_terminal() {
 # recebem pedaco do script no lugar da resposta dele.
 auroq_npx_aluno() {
   if [ -t 0 ]; then
-    npx -y auroq-os@2.8.5 "$@"
+    npx -y auroq-os@2.8.6 "$@"
   else
-    npx -y auroq-os@2.8.5 "$@" < /dev/tty
+    npx -y auroq-os@2.8.6 "$@" < /dev/tty
   fi
 }
 

package/lib/onepassword.js

@@ -798,9 +798,41 @@ const WINGET_APP_ID = 'AgileBits.1Password';
 const APP_INSTALLER_URL = 'https://downloads.1password.com/win/1PasswordSetup-latest.exe';
 // Assinante do instalador oficial: "Valid | CN=Agilebits, O=Agilebits, L=Toronto, S=Ontario, C=CA".
 const APP_SIGNER_RE = /(?:^|,\s*)CN=Agilebits(?:,|$)/i;
+// Limite do instalador oficial (reserva): o winget leva ~1 min; o limite antigo de 15 min deixava o aluno esperando sem aviso.
+const APP_SETUP_TIMEOUT_MS = 3 * 60 * 1000;
 
-/** O app do 1Password esta neste computador? true | false | null (sistema sem instalacao automatica: nao sabe). */
-function appInstalled(platform = process.platform, env = process.env) {
+// O winget (e a loja da Microsoft) instalam o 1Password como pacote MSIX: a pasta fica em
+// C:\Program Files\WindowsApps\Agilebits.1Password_<versao>_x64__<id>, que um usuario comum nem consegue listar.
+const MSIX_PACKAGE_NAME = 'Agilebits.1Password';
+const MSIX_QUERY_TIMEOUT_MS = 60 * 1000;
+
+/**
+ * Windows: o 1Password esta instalado como pacote MSIX para ESTE usuario? A lista de pacotes do proprio usuario
+ * (`Get-AppxPackage`) responde sem admin. true | false | null (o PowerShell nao respondeu: nao da para saber).
+ * Comando em texto claro, nunca codificado (antivirus le comando escondido como dropper).
+ */
+function msixInstalled(run = spawnSync) {
+  const script = `$p = @(Get-AppxPackage -Name '${MSIX_PACKAGE_NAME}' -ErrorAction Stop); Write-Output ('AUROQ_MSIX=' + $p.Count)`;
+  let r;
+  try {
+    r = run('powershell', ['-NoProfile', '-NonInteractive', '-Command', script], {
+      encoding: 'utf8', windowsHide: true, timeout: MSIX_QUERY_TIMEOUT_MS, stdio: ['ignore', 'pipe', 'pipe'], env: opEnv(),
+    });
+  } catch {
+    return null;
+  }
+  if (!r || r.error || r.status !== 0) return null;
+  const m = /AUROQ_MSIX=(\d+)/.exec(String(r.stdout || ''));
+  return m ? Number(m[1]) > 0 : null;
+}
+
+/**
+ * O app do 1Password esta neste computador? true | false | null (nao sabe: sistema sem instalacao automatica, ou
+ * o Windows nao deixou conferir o pacote MSIX). O fluxo principal so manda instalar com `=== false`; o `installApp`
+ * trata `null` como "nao esta aqui" e segue (a reserva se protege com limite de tempo).
+ * `run` so existe para os testes simularem o PowerShell.
+ */
+function appInstalled(platform = process.platform, env = process.env, run = spawnSync) {
   // AUROQ_APP_1PASSWORD=instalado|ausente: so para os testes de processo real, que rodam em Mac/Windows de verdade
   // (onde o app nao esta) e nao podem depender de o app existir na maquina.
   const forcado = String(env.AUROQ_APP_1PASSWORD || '').toLowerCase();
@@ -812,7 +844,7 @@ function appInstalled(platform = process.platform, env = process.env) {
   if (platform === 'win32') {
     // Instalador do aluno: %LOCALAPPDATA%\1Password\app\8\1Password.exe; instalacao para a maquina: Arquivos de Programas.
     const roots = [env.LOCALAPPDATA, env.ProgramFiles, env['ProgramFiles(x86)']].filter(Boolean);
-    return roots.some((root) => {
+    const classico = roots.some((root) => {
       const appDir = path.join(root, '1Password', 'app');
       try {
         return fs.readdirSync(appDir).some((v) => fs.existsSync(path.join(appDir, v, '1Password.exe')));
@@ -820,6 +852,16 @@ function appInstalled(platform = process.platform, env = process.env) {
         return false;
       }
     });
+    if (classico) return true;
+    // Pacote MSIX (o que o winget instala hoje). A lista de pacotes do usuario manda; a pasta WindowsApps so entra
+    // se o PowerShell nao respondeu (so quem e admin consegue listar essa pasta).
+    const msix = msixInstalled(run);
+    if (msix !== null) return msix;
+    try {
+      const base = env.ProgramFiles || 'C:\\Program Files';
+      if (fs.readdirSync(path.join(base, 'WindowsApps')).some((n) => /^Agilebits\.1Password_/i.test(n))) return true;
+    } catch { /* sem permissao para listar: nao e prova de ausencia */ }
+    return null;
   }
   return null;
 }
@@ -877,6 +919,92 @@ function runProgram(cmd, args, { timeoutMs = 15 * 60 * 1000 } = {}) {
   };
 }
 
+/** Mata o processo e os filhos dele (o instalador oficial lanca outros processos; matar so o pai nao basta). Nunca lanca. */
+function killProcessTree(pid) {
+  if (!pid) return;
+  try {
+    if (process.platform === 'win32') spawnSync('taskkill', ['/PID', String(pid), '/T', '/F'], { stdio: 'ignore', windowsHide: true, timeout: 15000 });
+    else process.kill(pid, 'SIGKILL');
+  } catch { /* ja tinha saido */ }
+}
+
+/**
+ * Roda o instalador oficial do app: ASSINCRONO (o Node continua vendo Ctrl+C e o fechar do terminal; com `spawnSync`
+ * parado ele morre sem rodar limpeza nenhuma), com limite de tempo que mata o instalador e os filhos dele, e SEM
+ * janela escondida: no teste real de 03/11 o mesmo instalador travou escondido e terminou em 13 s rodado a vista. Se
+ * ele abrir uma janela, o aluno a ve (e pode responder). Nunca lanca. `signal` (AbortController) cancela de fora.
+ */
+function runInstallerProgram(cmd, args, { timeoutMs = APP_SETUP_TIMEOUT_MS, signal, spawnFn = spawn } = {}) {
+  return new Promise((resolve) => {
+    let settled = false;
+    let timedOut = false;
+    let timer = null;
+    let child = null;
+    const finish = (extra) => {
+      if (settled) return;
+      settled = true;
+      if (timer) clearTimeout(timer);
+      if (signal) signal.removeEventListener('abort', onAbort);
+      resolve({ ok: false, status: null, stdout: '', stderr: '', timedOut, missing: false, interrupted: false, ...extra });
+    };
+    const onAbort = () => { killProcessTree(child && child.pid); finish({ interrupted: true }); };
+    try {
+      child = spawnFn(cmd, args, { stdio: 'ignore', windowsHide: false, env: opEnv() });
+    } catch (e) {
+      finish({ missing: !!(e && e.code === 'ENOENT') });
+      return;
+    }
+    child.on('error', (e) => finish({ missing: !!(e && e.code === 'ENOENT') }));
+    child.on('close', (code) => finish({ ok: code === 0, status: code }));
+    timer = setTimeout(() => { timedOut = true; killProcessTree(child.pid); finish({}); }, timeoutMs);
+    if (signal) {
+      if (signal.aborted) onAbort();
+      else signal.addEventListener('abort', onAbort, { once: true });
+    }
+  });
+}
+
+/**
+ * Ctrl+C, terminal fechado ou encerramento: roda `fn` (limpeza) e sai. Devolve a funcao que desliga o gancho.
+ * So vale com o Node livre para ver o sinal, por isso a parte demorada da instalacao e assincrona.
+ */
+function onInterruptCleanup(fn) {
+  const sinais = ['SIGINT', 'SIGTERM', 'SIGHUP', 'SIGBREAK']; // SIGBREAK so existe no Windows (o Node ignora o nome nos outros)
+  const handler = (sinal) => {
+    try { fn(); } catch { /* sai do mesmo jeito */ }
+    process.exit(sinal === 'SIGINT' ? 130 : 143);
+  };
+  const ligados = [];
+  for (const sinal of sinais) {
+    try { process.on(sinal, handler); ligados.push(sinal); } catch { /* sinal que este sistema nao tem */ }
+  }
+  return () => { for (const sinal of ligados) process.removeListener(sinal, handler); };
+}
+
+const APP_TEMP_PREFIX = 'auroq-1p-app-';
+
+/**
+ * Apaga pastas temporarias do instalador (`auroq-1p-app-*`) que ficaram de uma execucao anterior morta a forca (o
+ * `finally` nao roda se o processo e morto). So mexe em pasta com esse prefixo e mais velha que `maxAgeMs`. Nunca lanca.
+ * Devolve quantas apagou.
+ */
+function sweepStaleAppDirs(root = os.tmpdir(), { maxAgeMs = 60 * 60 * 1000, now = Date.now() } = {}) {
+  let apagadas = 0;
+  let nomes = [];
+  try { nomes = fs.readdirSync(root); } catch { return 0; }
+  for (const nome of nomes) {
+    if (!nome.startsWith(APP_TEMP_PREFIX)) continue;
+    const full = path.join(root, nome);
+    try {
+      const st = fs.lstatSync(full);
+      if (!st.isDirectory() || now - st.mtimeMs < maxAgeMs) continue;
+      fs.rmSync(full, { recursive: true, force: true, maxRetries: 3, retryDelay: 200 });
+      apagadas += 1;
+    } catch { /* em uso ou sem permissao: fica para a proxima */ }
+  }
+  return apagadas;
+}
+
 function makeAppDeps() {
   return {
     platform: process.platform,
@@ -885,9 +1013,12 @@ function makeAppDeps() {
     appInstalled: () => appInstalled(),
     refreshPath: refreshWindowsPath,
     run: runProgram,
+    runInstaller: runInstallerProgram,
+    onInterrupt: onInterruptCleanup,
+    sweepStale: () => sweepStaleAppDirs(),
     download: downloadToFile,
     checkSignature: checkInstallerSignature,
-    mkdtemp: () => fs.mkdtempSync(path.join(os.tmpdir(), 'auroq-1p-app-')),
+    mkdtemp: () => fs.mkdtempSync(path.join(os.tmpdir(), APP_TEMP_PREFIX)),
     out: { log, step, ok, warn, err },
   };
 }
@@ -930,19 +1061,36 @@ async function installApp(deps = {}) {
     }
 
     // Windows 1: winget (rapido, mas falhou no teste real com 0x80070002 mesmo depois de conferir o hash)
+    const saidaDe = (r) => (r.timedOut ? 'demorou demais' : `codigo de saida ${r.status === null || r.status === undefined ? 'desconhecido' : r.status}`);
     if (d.hasCommand('winget')) {
       out.log(`${DIM}Instalando via winget (pode levar um minuto)...${RESET}`);
       const w = d.run('winget', ['install', '--id', WINGET_APP_ID, '-e', '--source', 'winget', '--accept-source-agreements', '--accept-package-agreements', '--silent']);
       d.refreshPath();
-      if (w.ok && d.appInstalled()) return pronto('winget');
-      out.warn(`O winget nao conseguiu instalar o app (${w.timedOut ? 'demorou demais' : `codigo de saida ${w.status === null || w.status === undefined ? 'desconhecido' : w.status}`}). Vou usar o instalador oficial do 1Password.`);
-      if (d.appInstalled()) return pronto('winget');
+      // Saida 0 = o winget instalou: confia. Ele instala o 1Password como pacote MSIX, que nenhuma checagem de pasta
+      // enxerga (teste real de 03/11); desconfiar dele mandava rodar o instalador de reserva por cima, e ele travava.
+      if (w.ok) return pronto('winget');
+      // O winget falhou. So vale a reserva se o app de fato nao esta aqui (o erro pode ter vindo depois de instalar).
+      if (d.appInstalled()) {
+        out.ok(`O winget saiu com erro (${saidaDe(w)}), mas o app do 1Password ja esta instalado.`);
+        return pronto('winget');
+      }
+      out.warn(`O winget nao conseguiu instalar o app (${saidaDe(w)}). Vou usar o instalador oficial do 1Password.`);
     } else {
       out.warn('O winget nao esta disponivel. Vou usar o instalador oficial do 1Password.');
     }
 
     // Windows 2: instalador oficial, com a assinatura conferida ANTES de rodar
+    const minutos = Math.round(APP_SETUP_TIMEOUT_MS / 60000);
+    try { d.sweepStale(); } catch { /* faxina e so um extra */ }
     let dir = null;
+    const limpar = () => {
+      if (!dir) return;
+      try { fs.rmSync(dir, { recursive: true, force: true, maxRetries: 5, retryDelay: 200 }); } catch { /* fica na pasta temporaria do usuario; a proxima execucao varre */ }
+      dir = null;
+    };
+    const cancelar = new AbortController();
+    // Ctrl+C ou terminal fechado no meio: mata o instalador, apaga a pasta temporaria e solta a trava
+    const desligar = d.onInterrupt(() => { cancelar.abort(); limpar(); d.lock.release(); });
     try {
       dir = d.mkdtemp();
       const file = path.join(dir, '1PasswordSetup.exe');
@@ -955,11 +1103,21 @@ async function installApp(deps = {}) {
       const sig = d.checkSignature(file);
       if (!sig.ok) return falhou(`Nao executei o instalador baixado: ${sig.motivo}.`);
       out.ok(`Assinatura conferida: ${sig.assunto || 'Agilebits'}`);
-      const r = d.run(file, ['--silent']);
-      if (!r.ok) return falhou(`O instalador oficial nao terminou bem (${r.timedOut ? 'demorou demais' : `codigo de saida ${r.status}`}).`);
+      out.log(`${DIM}Rodando o instalador oficial (ele tem ate ${minutos} minutos). Se uma janela do 1Password abrir, deixe terminar.${RESET}`);
+      const r = await d.runInstaller(file, ['--silent'], { timeoutMs: APP_SETUP_TIMEOUT_MS, signal: cancelar.signal });
+      if (r.timedOut) {
+        // Nao terminou no prazo: foi interrompido (ele e os filhos). Pode ter instalado antes de travar; confere.
+        if (d.appInstalled()) {
+          out.ok('O instalador oficial passou do prazo e foi interrompido, mas o app do 1Password ja esta instalado.');
+          return pronto('instalador oficial');
+        }
+        return falhou(`O instalador oficial passou de ${minutos} minutos sem terminar e eu o interrompi (nao sei dizer por que: pode ter ficado esperando uma resposta numa janela, ou a internet estar lenta).`);
+      }
+      if (!r.ok) return falhou(`O instalador oficial nao terminou bem (${saidaDe(r)}).`);
       return pronto('instalador oficial');
     } finally {
-      if (dir) { try { fs.rmSync(dir, { recursive: true, force: true }); } catch { /* fica na pasta temporaria do usuario */ } }
+      desligar();
+      limpar();
     }
   } finally {
     d.lock.release();
@@ -1847,7 +2005,12 @@ module.exports = {
   requestApproval,
   biometricSteps,
   appInstalled,
+  msixInstalled,
   installApp,
+  runInstallerProgram,
+  onInterruptCleanup,
+  makeAppDeps,
+  sweepStaleAppDirs,
   checkInstallerSignature,
   writeTemplateFile,
   APP_INSTALLER_URL,

package/lib/runtime-integrity.json

@@ -2,7 +2,7 @@
   "schema": 1,
   "algorithm": "sha256",
   "scope": "packaged-runtime-and-cascas",
-  "version": "2.8.5",
+  "version": "2.8.6",
   "files": [
     {
       "path": ".auroq-core/constitution.md",
@@ -10,7 +10,7 @@
     },
     {
       "path": ".auroq-core/core-config.yaml",
-      "sha256": "dd74b039850ad9a109e644f60489b65745c85a86295c694c478e341026e00ad8"
+      "sha256": "51edca56ab55af77a40dc2fa1290022ee3d608916994a518da779f2e138284da"
     },
     {
       "path": ".auroq-core/core/synapse/context/context-builder.js",
@@ -282,7 +282,7 @@
     },
     {
       "path": "lib/onepassword.js",
-      "sha256": "0f5ec74682668925ea078334dcceeb2bbe32e2aad7211b57ad47a41230d64146"
+      "sha256": "64d449d0d8f7fdc30d912dd7163d44ab235e83d495e0ad9573addf574f010ec4"
     },
     {
       "path": "lib/supabase.js",
@@ -298,7 +298,7 @@
     },
     {
       "path": "package.json",
-      "sha256": "43885cac0063a63f1d1bb1ad5281daaec8a0c2de8c240c23708073f356dd0c2a"
+      "sha256": "5d4c499b938bf1426747f0f7f5b3c7f760a5b1cbbf926f0523d00bdb34fbca91"
     },
     {
       "path": "scripts/build-pack.mjs",

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "auroq-os",
-  "version": "2.8.5",
+  "version": "2.8.6",
   "arcaneMcpPin": "0.7.1",
   "description": "Auroq OS — Sistema Operacional de IA para o negócio do aluno da Arcane",
   "bin": {