auroq-os 2.8.7 → 2.8.9

package/.auroq-core/core-config.yaml

@@ -1,7 +1,7 @@
 project:
   name: "Auroq OS"
   type: greenfield
-  version: 2.8.7
+  version: 2.8.9
   installedAt: '2026-03-16'
 
 ide:

package/.claude/settings.json

@@ -8,7 +8,8 @@
         "hooks": [
           {
             "type": "command",
-            "command": "node .claude/hooks/auroq-sync.cjs --session-start",
+            "command": "node",
+            "args": ["${CLAUDE_PROJECT_DIR}/.claude/hooks/auroq-sync.cjs", "--session-start"],
             "timeout": 25000
           }
         ]
@@ -20,7 +21,8 @@
         "hooks": [
           {
             "type": "command",
-            "command": "node .claude/hooks/auroq-sync.cjs --remind",
+            "command": "node",
+            "args": ["${CLAUDE_PROJECT_DIR}/.claude/hooks/auroq-sync.cjs", "--remind"],
             "timeout": 5000
           }
         ]
@@ -31,7 +33,8 @@
         "hooks": [
           {
             "type": "command",
-            "command": "node .claude/hooks/auroq-ate-o-fim.cjs",
+            "command": "node",
+            "args": ["${CLAUDE_PROJECT_DIR}/.claude/hooks/auroq-ate-o-fim.cjs"],
             "timeout": 10
           }
         ]

package/CHANGELOG.md

@@ -1,5 +1,8 @@
 ## Unreleased
 
+- 2.8.9 — 1Password no Mac sem Homebrew (teste real num usuário novo do macOS, 06/11/2026): o Mac de aluno não tem Homebrew, e o `conectar-1password` parava em `app-nao-instalou` e `sem-op`. Agora, sem Homebrew (ou se ele falhar), o comando baixa o app oficial do 1Password (`1Password-latest`, assinatura da AgileBits conferida com `codesign --deep` e Team ID 2BUA8C4S2C) e copia para a pasta Aplicativos, e instala o 1Password CLI 2.41.1 oficial (SHA-256 fixo, o mesmo do app Auroq OS, mais a assinatura) em `~/.auroq/op/bin`, sem senha de administrador. `segredo` acha o `op` nessa pasta mesmo num terminal que não a tem no PATH.
+- 1Password no Windows: o CLI do 1Password passa pelo PowerShell, como no teste real do Marcos; isso evita a falha de sessão que ocorria quando o Node o iniciava diretamente. `--estado` usa o mesmo caminho para detectar o CLI, e a lista de contas deixa de depender do shell em que o aluno abriu o comando. Os três ganchos do Claude Code usam o caminho do projeto mesmo depois de entrar numa subpasta. A skill do cofre orienta o diagnóstico quando a aprovação se repete. Catálogo `auroq-core` 2.3.55.
+
 - Conteúdo ao vivo (catálogo `auroq-core` 2.3.54, 04/11): a peça do 1Password da skill do cofre avisa o Companion de que, no Windows, o app pode estar instalado só como pacote MSIX (é o que o `winget` instala hoje) e não aparece nas pastas de sempre: antes de dizer "o app não está instalado" (resultado `instalar-app`, ou o aluno dizendo que não acha) ele confere a lista de pacotes do Windows, e, se o app estiver lá, vai direto para entrar na conta e ligar a chave. Também descreve o instalador de reserva com limite de 3 minutos; o mesmo aviso entra no pré-gate da skill `configurar-computador`. Precisa do auroq-os 2.8.6 no npm (a detecção e o limite vivem no comando).
 - Conteúdo ao vivo (catálogo `auroq-core` 2.3.53, 29/10): **a skill do cofre de senhas foi dividida em seis peças** (entrada, 1Password, Infisical grátis com os resultados à parte, passar do grátis para o 1Password, e uso do dia a dia). Antes era um texto só de 62 mil caracteres, grande demais para o Claude Code ler de uma vez (o Marcos viu isso no teste de 27/10). O Companion continua entrando pelo mesmo gatilho (`conectar-cofre`) e a entrada diz qual peça abrir. O Companion agora pede o OK do aluno em uma frase antes de criar a chave do agente, de instalar o app e de passar as chaves (a proteção do Claude Code barrava esses passos sem aviso), explica a Chave Secreta e o Kit de Emergência do 1Password (guardar o PDF fora do computador e fora do GitHub), ensina a ligar o Windows Hello ou o Touch ID quando a digital não aparece, e não manda mais ligar a chave do app de novo quando ela já está ligada. Precisa do auroq-os 2.8.5 no npm (comando `--instalar-app` e códigos novos).
 - Conteúdo ao vivo (catálogo `auroq-core` 2.3.52, 27/10): **documentação revisada para o jeito de hoje.** O guia do sistema que o Companion usa com o aluno, a fundação do Companion e as fichas do Consultor não apresentam mais o Ops como técnico nem o nome personalizado do Companion; ensinam a abrir uma conversa nova dentro do projeto e chamar o Companion (quantas quiser, uma por assunto, nunca um chat por squad) e dizem que, com o app aberto, o salvamento na internet é automático a cada 15 minutos e ao abrir e fechar. A skill `configurar-computador` e o guia longo do Ops dizem que as contas são conectadas pelo Companion na primeira conversa, não na instalação.

package/README.md

@@ -290,13 +290,13 @@ a parte tecnica e com o Companion.
 
 ## Observabilidade e integridade do motor
 
-Apos publicacao, `npx -y auroq-os@2.8.6 doctor` mostra a fila local segura e os comandos pinados de
-manutencao/diagnostico. `npx -y auroq-os@2.8.6 manutencao` preserva o caminho existente
+Apos publicacao, `npx -y auroq-os@2.8.9 doctor` mostra a fila local segura e os comandos pinados de
+manutencao/diagnostico. `npx -y auroq-os@2.8.9 manutencao` preserva o caminho existente
 de consentimento legado, studentFiles, customizacoes e dados do negocio. Nao ha
 migracao forcada. O registro MCP aponta para `arcane-mcp@0.7.1` — o pin mora no campo
 `arcaneMcpPin` do package.json (fonte unica; o servidor le o mesmo campo no npm).
 `npm run release:verify` recusa publicar com um pin que o npm nao resolva.
-Os instaladores do repositorio ficam preparados para 2.8.6; as copias publicas so recebem
+Os instaladores do repositorio ficam preparados para 2.8.9; as copias publicas so recebem
 a versao apos os gates nativos e a verificacao do tarball publicado.
 O pacote inclui `lib/runtime-integrity.json`: inventario SHA-256 gerado depois da montagem da casca, verificavel com `npm run integrity:verify` dentro do pacote extraido. Ele comprova consistencia do conteudo; nao e uma assinatura de autoria.
 

package/bin/auroq-os.js

@@ -240,7 +240,8 @@ const HOOK_DO_FRAMEWORK = /(?:^|[\s"'\\/])(?:auroq-sync|auroq-ate-o-fim|synapse-
 // Gancho de IA do sistema (type "prompt", sem `command`): o texto comeca com uma marca `[auroq-...]`.
 // Sem ela, a manutencao o tomava por gancho do aluno e o duplicava a cada versao.
 const MARCA_DO_FRAMEWORK = /^\s*\[auroq-[a-z-]+\]/;
-const ehHookDoFramework = h => HOOK_DO_FRAMEWORK.test(String(h?.command || '')) || MARCA_DO_FRAMEWORK.test(String(h?.prompt || ''));
+const textoDoHook = h => [h?.command, ...(Array.isArray(h?.args) ? h.args : [])].join(' ');
+const ehHookDoFramework = h => HOOK_DO_FRAMEWORK.test(textoDoHook(h)) || MARCA_DO_FRAMEWORK.test(String(h?.prompt || ''));
 const CHAVES_DO_ALUNO = ['permissions', 'statusLine', 'env'];
 const temChave = (obj, chave) => Object.prototype.hasOwnProperty.call(obj, chave);
 

package/installer/install.ps1

@@ -589,7 +589,7 @@ function Invoke-AuroqLogin {
   # sucesso. Usado como pergunta de sim/nao, ele dizia "voce ja estava logado"
   # pra quem nunca logou, pulava o portao e deixava a conta sem acesso chegar ate
   # a criacao da pasta.
-  & (Get-AuroqNpx) -y auroq-os@2.8.7 check-access
+  & (Get-AuroqNpx) -y auroq-os@2.8.9 check-access
   if ($LASTEXITCODE -ne 0) {
     Write-AuroqLog 'login' 'recusado'
     Write-Host ''
@@ -677,7 +677,7 @@ function Invoke-AuroqInit {
   if ($env:AUROQ_INSTALL_DRY_RUN) { Write-AuroqOk 'Sistema - seria montado aqui'; return }
 
   Set-Location $script:AuroqPastaAlvo
-  & (Get-AuroqNpx) -y auroq-os@2.8.7 instalar
+  & (Get-AuroqNpx) -y auroq-os@2.8.9 instalar
   if ($LASTEXITCODE -ne 0) {
     Write-AuroqLog 'init' 'falhou'
     Write-AuroqErro 'A montagem do sistema parou no meio.' 'Rode o mesmo comando de novo. Se repetir, mande pro suporte o arquivo install.log da pasta .auroq.'

package/installer/install.sh

@@ -219,9 +219,9 @@ auroq_tem_terminal() {
 # recebem pedaco do script no lugar da resposta dele.
 auroq_npx_aluno() {
   if [ -t 0 ]; then
-    npx -y auroq-os@2.8.7 "$@"
+    npx -y auroq-os@2.8.9 "$@"
   else
-    npx -y auroq-os@2.8.7 "$@" < /dev/tty
+    npx -y auroq-os@2.8.9 "$@" < /dev/tty
   fi
 }
 

package/lib/cofre.js

@@ -88,6 +88,10 @@ function ehWindows(d) {
   return ((d && d.platform) || process.platform) === 'win32';
 }
 
+function ehMac(d) {
+  return ((d && d.platform) || process.platform) === 'darwin';
+}
+
 function nowOf(d) {
   return d && typeof d.now === 'function' ? d.now() : Date.now();
 }
@@ -501,14 +505,14 @@ function makeOpBackend(d) {
   }
 
   // Windows: o `op` instalado DEPOIS de o programa-pai abrir (winget so muda o PATH no registro) nao esta no PATH deste
-  // processo: o spawn da ENOENT. Recompoe o PATH UMA vez por backend (cada recomposicao abre o PowerShell) e tenta o
+  // processo: o spawn da ENOENT. Mac sem Homebrew: o `op` mora em ~/.auroq/op/bin, que um terminal comum nao tem no PATH. Recompoe o PATH UMA vez por backend (cada recomposicao abre o PowerShell) e tenta o
   // comando de novo; chamadas em paralelo esperam a mesma recomposicao. Devolve false se nao ha como recompor.
   let recomposicao = null;
   function recomporPathUmaVez() {
     if (!recomposicao) {
       recomposicao = (async () => {
         const o = mod(d, 'onepassword');
-        const recompor = typeof d.refreshPath === 'function' ? d.refreshPath : o.refreshWindowsPath;
+        const recompor = typeof d.refreshPath === 'function' ? d.refreshPath : (ehWindows(d) ? o.refreshWindowsPath : o.refreshPath);
         if (typeof recompor !== 'function') return false;
         try { await recompor(); } catch { /* melhor esforco: o comando decide se achou */ }
         return true;
@@ -531,7 +535,7 @@ function makeOpBackend(d) {
       return run(args, { env, input, timeoutMs: OP_TIMEOUT_MS });
     };
     let r = await tentar();
-    if (r && r.missing && ehWindows(d) && (await recomporPathUmaVez())) r = await tentar();
+    if (r && r.missing && (ehWindows(d) || ehMac(d)) && (await recomporPathUmaVez())) r = await tentar();
     return r;
   }
 

package/lib/onepassword.js

@@ -80,27 +80,106 @@ function hasCommand(cmd) {
 }
 
 function opVersion() {
+  const r = runOp(['--version'], { noStdin: true, timeoutMs: 10000 });
+  return r.ok ? r.stdout.trim() : null;
+}
+
+// 1Password CLI oficial para Mac SEM Homebrew (teste real num Mac novo, 06/11/2026: aluno nao tem `brew`, e instalar o
+// Homebrew pede a senha de admin e as ferramentas da Apple). Mesma versao, mesmo endereco e mesmo SHA-256 que o app
+// Auroq OS usa (auroq-os-app, auroq/primeira-execucao/instalador-do-op.ts), na mesma pasta: ~/.auroq/op/bin.
+const OP_DIRETO = {
+  versao: '2.41.1',
+  pacotes: {
+    arm64: '2289771b68b521ee3dc1d63a013a6a1c5691e0c53e4c4fe79af8042b6ad3c7f5',
+    x64: 'e77fc9a8ebb23c176fed7c56ea6e4a7184d2b89957e9a5d9a2feb724e7e0574b',
+  },
+};
+// Team ID da AgileBits (dona do 1Password) na assinatura da Apple: o `op` e o app so entram se vierem assinados por ela.
+const AGILEBITS_TEAM_ID = '2BUA8C4S2C';
+
+/** Pasta do `op` instalado sem Homebrew (a mesma do app Auroq OS, que ja a poe no PATH dos terminais dele). */
+function auroqOpBin(home = os.homedir()) {
+  return path.join(home, '.auroq', 'op', 'bin');
+}
+
+function opDiretoUrl(arch) {
+  const pacote = arch === 'arm64' ? 'arm64' : 'amd64';
+  return `https://cache.agilebits.com/dist/1P/op2/pkg/v${OP_DIRETO.versao}/op_darwin_${pacote}_v${OP_DIRETO.versao}.zip`;
+}
+
+// Requisito de assinatura conferido pelo proprio macOS: certificado emitido pela Apple (Developer ID) para a equipe
+// da AgileBits. So o texto "TeamIdentifier=" nao basta: uma assinatura propria poderia imitar o identificador.
+const AGILEBITS_REQUISITO = `anchor apple generic and certificate leaf[subject.OU] = "${AGILEBITS_TEAM_ID}"`;
+
+/** O programa tem assinatura valida, emitida pela Apple para a AgileBits (`codesign -R`)? Nunca lanca. */
+function assinadoPelaAgilebits(alvo, run, { deep = false } = {}) {
+  const v = run('/usr/bin/codesign', ['--verify', '--strict', ...(deep ? ['--deep'] : []), `-R=${AGILEBITS_REQUISITO}`, alvo]);
+  if (!v || !v.ok) return false;
+  const info = run('/usr/bin/codesign', ['-dv', '--verbose=2', alvo]);
+  const texto = `${(info && info.stdout) || ''}\n${(info && info.stderr) || ''}`;
+  return new RegExp(`^TeamIdentifier=${AGILEBITS_TEAM_ID}$`, 'm').test(texto);
+}
+
+/**
+ * Mac sem Homebrew: baixa o `op` oficial (versao fixa), confere o SHA-256 e a assinatura da AgileBits ANTES de por no
+ * lugar e instala em ~/.auroq/op/bin, sem senha. Poe a pasta no PATH deste processo. Nunca lanca; devolve true/false.
+ * `deps` so existe para os testes.
+ */
+function installOpDirect(deps = {}) {
+  const d = {
+    arch: process.arch,
+    home: os.homedir(),
+    run: (cmd, args, o) => runProgram(cmd, args, o),
+    pacotes: OP_DIRETO.pacotes,
+    tmpdir: os.tmpdir(),
+    out: { log, err },
+    ...deps,
+  };
+  const esperado = d.pacotes[d.arch === 'arm64' ? 'arm64' : 'x64'];
+  const destino = auroqOpBin(d.home);
+  let tmp = null;
   try {
-    return execSync('op --version', { stdio: 'pipe', encoding: 'utf8' }).trim();
-  } catch {
-    return null;
+    tmp = fs.mkdtempSync(path.join(d.tmpdir, 'auroq-op-'));
+    const zip = path.join(tmp, 'op.zip');
+    const aberto = path.join(tmp, 'aberto');
+    d.out.log(`${DIM}Baixando o 1Password CLI oficial ${OP_DIRETO.versao} (sem Homebrew)...${RESET}`);
+    const baixou = d.run('/usr/bin/curl', ['-fL', '--proto', '=https', '--proto-redir', '=https', '--silent', '--show-error', '--connect-timeout', '30', '--max-time', '900', '-o', zip, opDiretoUrl(d.arch)]);
+    if (!baixou.ok || !fs.existsSync(zip)) { d.out.err('Nao consegui baixar o 1Password CLI oficial (internet?).'); return false; }
+    const obtido = crypto.createHash('sha256').update(fs.readFileSync(zip)).digest('hex');
+    if (obtido !== esperado) { d.out.err('O arquivo baixado do 1Password CLI nao confere (SHA-256 diferente); nao instalei nada.'); return false; }
+    fs.mkdirSync(aberto, { recursive: true });
+    const abriu = d.run('/usr/bin/ditto', ['-x', '-k', zip, aberto]);
+    const novo = path.join(aberto, 'op');
+    if (!abriu.ok || !fs.existsSync(novo)) { d.out.err('Nao consegui abrir o pacote do 1Password CLI.'); return false; }
+    if (!assinadoPelaAgilebits(novo, d.run)) { d.out.err('O 1Password CLI baixado nao tem a assinatura da AgileBits; nao instalei.'); return false; }
+    fs.mkdirSync(destino, { recursive: true });
+    const final = path.join(destino, 'op');
+    const provisorio = path.join(destino, `.op.auroq-${process.pid}.tmp`);
+    fs.copyFileSync(novo, provisorio);
+    fs.chmodSync(provisorio, 0o755);
+    fs.renameSync(provisorio, final);
+    d.run('/usr/bin/xattr', ['-d', 'com.apple.quarantine', final]); // melhor esforco: curl nao marca quarentena
+    refreshPath({ platform: 'darwin', home: d.home });
+    return true;
+  } catch (e) {
+    d.out.err(`Nao consegui instalar o 1Password CLI em ${destino} (${oneLine(e && e.message, 120)}).`);
+    return false;
+  } finally {
+    if (tmp) { try { fs.rmSync(tmp, { recursive: true, force: true }); } catch { /* fica no temp do sistema */ } }
   }
 }
 
 function installOp({ upgrade = false } = {}) {
   if (process.platform === 'darwin') {
-    if (!hasCommand('brew')) {
-      err('Homebrew nao encontrado. Instale em https://brew.sh e rode este comando de novo.');
-      return false;
-    }
+    if (!hasCommand('brew')) return installOpDirect();
     log(`${DIM}${upgrade ? 'Atualizando' : 'Instalando'} via Homebrew (pode levar um minuto)...${RESET}`);
     const brewCmd = upgrade ? 'brew upgrade --cask 1password-cli' : 'brew install --cask 1password-cli';
     try {
       execSync(brewCmd, { stdio: 'pipe', maxBuffer: 64 * 1024 * 1024, env: opEnv() });
       return true;
     } catch {
-      err(`${upgrade ? 'Atualizacao' : 'Instalacao'} via Homebrew falhou. Tente manualmente: ${brewCmd}`);
-      return false;
+      warn(`${upgrade ? 'Atualizacao' : 'Instalacao'} via Homebrew falhou; vou usar o pacote oficial do 1Password.`);
+      return installOpDirect();
     }
   }
 
@@ -395,6 +474,7 @@ async function connectManual() {
 
   // 1. Garantir que o op existe
   step('Verificando 1Password CLI...');
+  refreshPath();
   let version = opVersion();
   if (!version) {
     warn('1Password CLI (op) nao encontrado — instalando...');
@@ -708,9 +788,21 @@ function runOp(args, { env, input, timeoutMs = 120000, noStdin = false } = {}) {
   // `noStdin`: o `op` recusa `--template` se o stdin for um pipe, ate vazio ("You can't use both piping and the
   // --template flag"; o `input: ''` do Node vira pipe), entao esse comando roda com o stdin desligado (NUL/dev/null).
   const useTerminal = input === undefined && !noStdin && Boolean(process.stdin.isTTY);
-  const r = spawnSync('op', args, {
+  const viaPowerShell = process.platform === 'win32';
+  // No Windows, o op 2.41.1 lancado diretamente pelo Node falha antes de pedir sessao ao app.
+  // Node -> PowerShell -> op foi conferido no computador do aluno; JSON evita quoting de shell.
+  const psScript = '$OutputEncoding=New-Object System.Text.UTF8Encoding $false; [Console]::OutputEncoding=$OutputEncoding; '
+    + '$a=@($env:AUROQ_OP_ARGS | ConvertFrom-Json); '
+    + "if ($env:AUROQ_OP_STDIN -eq '1') { $s=[Console]::In.ReadToEnd(); $s | & op @a } else { & op @a }; exit $LASTEXITCODE";
+  const childEnv = env || opEnv();
+  const r = spawnSync(viaPowerShell ? 'powershell.exe' : 'op',
+    viaPowerShell ? ['-NoProfile', '-NonInteractive', '-Command', psScript] : args, {
     encoding: 'utf8',
-    env: env || opEnv(),
+    env: viaPowerShell ? {
+      ...childEnv,
+      AUROQ_OP_ARGS: JSON.stringify(args),
+      AUROQ_OP_STDIN: input !== undefined && input !== '' ? '1' : '0',
+    } : childEnv,
     ...(noStdin ? { stdio: ['ignore', 'pipe', 'pipe'] } : useTerminal ? { stdio: ['inherit', 'pipe', 'pipe'] } : { input: input === undefined ? '' : input }),
     timeout: timeoutMs,
     maxBuffer: 16 * 1024 * 1024,
@@ -777,6 +869,17 @@ function openUrl(url) {
  * Windows: o winget so muda o PATH no registro, nao no processo que ja esta rodando. Recompoe o
  * PATH deste processo (maquina + usuario + pasta de links do winget) para achar o `op` recem-instalado.
  */
+/**
+ * Recompõe o PATH deste processo para achar um `op` instalado depois que ele abriu. Mac/Linux: a pasta do `op`
+ * instalado sem Homebrew (~/.auroq/op/bin), se existir. Windows: o PATH do registro (o winget so muda o registro).
+ */
+function refreshPath({ platform = process.platform, home = os.homedir() } = {}) {
+  if (platform === 'win32') return refreshWindowsPath();
+  const bin = auroqOpBin(home);
+  const atual = String(process.env.PATH || '').split(':');
+  if (!atual.includes(bin) && fs.existsSync(path.join(bin, 'op'))) process.env.PATH = [bin, ...atual.filter(Boolean)].join(':');
+}
+
 function refreshWindowsPath() {
   if (process.platform !== 'win32') return;
   const parts = [];
@@ -1011,23 +1114,82 @@ function makeAppDeps() {
     lock: makeLock(),
     hasCommand,
     appInstalled: () => appInstalled(),
-    refreshPath: refreshWindowsPath,
+    refreshPath,
     run: runProgram,
     runInstaller: runInstallerProgram,
     onInterrupt: onInterruptCleanup,
     sweepStale: () => sweepStaleAppDirs(),
     download: downloadToFile,
     checkSignature: checkInstallerSignature,
+    macAppDirect: () => installMacAppDirect(),
     mkdtemp: () => fs.mkdtempSync(path.join(os.tmpdir(), APP_TEMP_PREFIX)),
     out: { log, step, ok, warn, err },
   };
 }
 
+// App do 1Password para Mac: o zip oficial do app inteiro (o mesmo arquivo que o Homebrew baixa, sem fixar versao).
+const MAC_APP_URL = (arch) => `https://downloads.1password.com/mac/1Password-latest-${arch === 'arm64' ? 'aarch64' : 'x86_64'}.zip`;
+
+/**
+ * Mac sem Homebrew: baixa o app oficial, confere a assinatura da AgileBits (Team ID e `codesign --deep`) e copia para
+ * /Applications (o aluno administrador do Mac grava ali sem senha) ou, sem permissao, para ~/Applications.
+ * Nunca lanca. { ok, motivo, destino }. `deps` so existe para os testes.
+ */
+async function installMacAppDirect(deps = {}) {
+  const d = {
+    arch: process.arch,
+    home: os.homedir(),
+    run: (cmd, args, o) => runProgram(cmd, args, o),
+    download: downloadToFile,
+    mkdtemp: () => fs.mkdtempSync(path.join(os.tmpdir(), APP_TEMP_PREFIX)),
+    gravavel: (dir) => { try { fs.accessSync(dir, fs.constants.W_OK); return true; } catch { return false; } },
+    aplicativos: '/Applications',
+    out: { log },
+    ...deps,
+  };
+  let dir = null;
+  let provisorio = null;
+  try {
+    dir = d.mkdtemp();
+    const zip = path.join(dir, '1Password.zip');
+    const aberto = path.join(dir, 'aberto');
+    d.out.log(`${DIM}Baixando o app oficial do 1Password (uns 220 MB, pode levar alguns minutos)...${RESET}`);
+    try {
+      await d.download(MAC_APP_URL(d.arch), zip);
+    } catch (e) {
+      return { ok: false, motivo: `Nao consegui baixar o app oficial (${oneLine(e && e.message, 120)}).` };
+    }
+    fs.mkdirSync(aberto, { recursive: true });
+    const abriu = d.run('/usr/bin/ditto', ['-x', '-k', zip, aberto]);
+    const app = path.join(aberto, '1Password.app');
+    if (!abriu.ok || !fs.existsSync(app)) return { ok: false, motivo: 'Nao consegui abrir o pacote do app.' };
+    if (!assinadoPelaAgilebits(app, d.run, { deep: true })) return { ok: false, motivo: 'O app baixado nao tem a assinatura da AgileBits; nao instalei.' };
+    const pasta = d.gravavel(d.aplicativos) ? d.aplicativos : path.join(d.home, 'Applications');
+    fs.mkdirSync(pasta, { recursive: true });
+    const destino = path.join(pasta, '1Password.app');
+    // copia para um nome provisorio na mesma pasta, confere a COPIA e so entao poe o nome final: uma copia pela metade
+    // nunca fica com cara de app instalado (o appInstalled olha so se a pasta existe)
+    provisorio = path.join(pasta, `.1Password.app.auroq-${process.pid}.tmp`);
+    const copiou = d.run('/usr/bin/ditto', [app, provisorio]);
+    if (!copiou.ok) return { ok: false, motivo: `Nao consegui copiar o app para ${pasta}.` };
+    if (!assinadoPelaAgilebits(provisorio, d.run, { deep: true })) return { ok: false, motivo: `A copia do app em ${pasta} nao passou na conferencia da assinatura; nao instalei.` };
+    fs.renameSync(provisorio, destino);
+    provisorio = null;
+    return { ok: true, destino };
+  } catch (e) {
+    return { ok: false, motivo: `Nao consegui instalar o app (${oneLine(e && e.message, 120)}).` };
+  } finally {
+    if (provisorio) { try { fs.rmSync(provisorio, { recursive: true, force: true }); } catch { /* sobra so uma pasta oculta */ } }
+    if (dir) { try { fs.rmSync(dir, { recursive: true, force: true }); } catch { /* fica no temp; a proxima execucao varre */ } }
+  }
+}
+
 const APP_NEXT_STEPS = 'Agora abra o app do 1Password, entre na sua conta (ou crie uma: guarde a Secret Key e o Kit de Emergencia que ele oferece) e ligue "Integrar com a CLI do 1Password" em Configuracoes > Desenvolvedor. Depois rode o conectar-1password de novo.';
 
 /**
  * Instala o app do 1Password (`conectar-1password --instalar-app`). Windows: winget e, se ele falhar, o instalador
- * oficial, so rodado depois de conferir a assinatura (valida e do publicador Agilebits). Mac: Homebrew (cask).
+ * oficial, so rodado depois de conferir a assinatura (valida e do publicador Agilebits). Mac: Homebrew (cask), se o aluno
+ * tiver; senao (ou se ele falhar), o pacote oficial com a assinatura da AgileBits conferida (installMacAppDirect).
  * O app e um programa novo no computador do aluno: quem chama pede o OK dele antes.
  */
 async function installApp(deps = {}) {
@@ -1053,11 +1215,16 @@ async function installApp(deps = {}) {
     };
 
     if (d.platform === 'darwin') {
-      if (!d.hasCommand('brew')) return falhou('Homebrew nao encontrado, entao nao consigo instalar o app daqui.');
-      out.log(`${DIM}Instalando via Homebrew (pode levar um minuto)...${RESET}`);
-      const r = d.run('brew', ['install', '--cask', '1password']);
-      if (r.ok || d.appInstalled()) return pronto('Homebrew');
-      return falhou(`A instalacao via Homebrew falhou (${r.timedOut ? 'demorou demais' : `codigo de saida ${r.status}`}).`);
+      if (d.hasCommand('brew')) {
+        out.log(`${DIM}Instalando via Homebrew (pode levar um minuto)...${RESET}`);
+        const r = d.run('brew', ['install', '--cask', '1password']);
+        if (r.ok || d.appInstalled()) return pronto('Homebrew');
+        out.warn(`A instalacao via Homebrew falhou (${r.timedOut ? 'demorou demais' : `codigo de saida ${r.status}`}). Vou usar o pacote oficial do 1Password.`);
+      }
+      // Mac de aluno nao tem Homebrew (e instalar o Homebrew pede senha de admin): pacote oficial, assinatura conferida.
+      const m = await d.macAppDirect();
+      if (m.ok) return pronto('pacote oficial do 1Password');
+      return falhou(m.motivo || 'Nao consegui instalar o app pelo pacote oficial.');
     }
 
     // Windows 1: winget (rapido, mas falhou no teste real com 0x80070002 mesmo depois de conferir o hash)
@@ -1261,7 +1428,7 @@ function makeDefaultDeps() {
   return {
     platform: process.platform,
     openUrl,
-    refreshPath: refreshWindowsPath,
+    refreshPath,
     appInstalled: () => appInstalled(),
     lock: makeLock(),
     state: { read: readState, write: writeState },
@@ -1875,6 +2042,7 @@ async function finishWithToken(d, out, account, token, prog, { reaproveitada, ol
 function describeState(d) {
   const saved = d.state.read();
   const etapas = saved ? { ...saved.etapas } : emptyEtapas();
+  if (typeof d.refreshPath === 'function') d.refreshPath(); // Mac sem Homebrew: o op mora em ~/.auroq/op/bin
   const version = d.opVersion();
   const opOk = Boolean(version && isVersionAtLeast(version));
   etapas.op = opOk ? 'feito' : 'pendente';
@@ -2013,6 +2181,7 @@ module.exports = {
   sweepStaleAppDirs,
   checkInstallerSignature,
   writeTemplateFile,
+  runOp,
   APP_INSTALLER_URL,
   ETAPAS,
   makeLock,
@@ -2026,6 +2195,11 @@ module.exports = {
   auroqDir,
   openUrl,
   refreshWindowsPath,
+  refreshPath,
+  installOpDirect,
+  installMacAppDirect,
+  auroqOpBin,
+  OP_DIRETO,
   runOp,
   TOKEN_VAR,
   MIN_OP_VERSION,

package/lib/runtime-integrity.json

@@ -2,7 +2,7 @@
   "schema": 1,
   "algorithm": "sha256",
   "scope": "packaged-runtime-and-cascas",
-  "version": "2.8.7",
+  "version": "2.8.9",
   "files": [
     {
       "path": ".auroq-core/constitution.md",
@@ -10,7 +10,7 @@
     },
     {
       "path": ".auroq-core/core-config.yaml",
-      "sha256": "8d5ea5b7b5a209d72389052767fe51cb2e44d31ce53e4572210cb17198b62537"
+      "sha256": "7eeba357e5203bb8d0d9ade5d4a53ecfa99d7edd05212a5625b59d6425f641f4"
     },
     {
       "path": ".auroq-core/core/synapse/context/context-builder.js",
@@ -206,7 +206,7 @@
     },
     {
       "path": ".claude/settings.json",
-      "sha256": "a059b6e15cfe6822f00d1a39c563d6335839c8ac63a5763f6a4cf1af204df284"
+      "sha256": "57c338e326586805e605229f7bcec699a52b99a113b153d06a209084e0c0fa4c"
     },
     {
       "path": ".claude/settings.local.json",
@@ -214,7 +214,7 @@
     },
     {
       "path": "bin/auroq-os.js",
-      "sha256": "5d5686b2e0cdc7bd514066b049a426727228699b1346e3aaea0bd374575bef74"
+      "sha256": "4d3bd746dc2eb4c0e0a3cce30f2bed16d41af4230645fb0f7ef4f3ae6f5b485a"
     },
     {
       "path": "lib/ahi/client.mjs",
@@ -254,7 +254,7 @@
     },
     {
       "path": "lib/cofre.js",
-      "sha256": "8dff20e576fda737f5039ceaca64e8e18fe79e19460c3ce0bac1262f7fa490df"
+      "sha256": "a7142a3a49e7cb71f4927d567fa834b838c19987f12bd1d7fe02e1cb744378c1"
     },
     {
       "path": "lib/credentials.js",
@@ -282,7 +282,7 @@
     },
     {
       "path": "lib/onepassword.js",
-      "sha256": "64d449d0d8f7fdc30d912dd7163d44ab235e83d495e0ad9573addf574f010ec4"
+      "sha256": "34ce88cb11b2fc9bd52905acc19903430df88db5c94b3ed9bc1000bfb1f4a666"
     },
     {
       "path": "lib/supabase.js",
@@ -298,7 +298,7 @@
     },
     {
       "path": "package.json",
-      "sha256": "363c8ce6405a77e56889d5111dca87c8fb78d3f1800565287bdc8cefd6fabc98"
+      "sha256": "0f06b1ac3cb3201dd3f21c3ea980b47ba637fd40a300534d07610de091f54e6b"
     },
     {
       "path": "scripts/build-pack.mjs",
@@ -318,7 +318,7 @@
     },
     {
       "path": "scripts/runtime-integrity.mjs",
-      "sha256": "e185ab4937628ac1be733f087638a4121b3c16e0c2a3ea76fd5c68cae571f802"
+      "sha256": "7d7ed4a01df802f5421efff0444b4c399f1408c380c7084114987d4c75e313a5"
     },
     {
       "path": "scripts/sync-codex-skills.mjs",

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "auroq-os",
-  "version": "2.8.7",
+  "version": "2.8.9",
   "arcaneMcpPin": "0.7.1",
   "description": "Auroq OS — Sistema Operacional de IA para o negócio do aluno da Arcane",
   "bin": {

package/scripts/runtime-integrity.mjs

@@ -109,8 +109,10 @@ function verifyReferences(root, paths) {
     const settings = JSON.parse(fs.readFileSync(checkedFile(root, source), 'utf8'));
     for (const groups of Object.values(settings.hooks || {})) {
       for (const group of groups) for (const hook of group.hooks || []) {
-        const match = typeof hook.command === 'string' && hook.command.match(/^node\s+(\.claude\/hooks\/[^\s]+)(?:\s|$)/);
-        if (match) checkedFile(root, match[1]);
+        const shellPath = typeof hook.command === 'string' && hook.command.match(/^node\s+(\.claude\/hooks\/[^\s]+)(?:\s|$)/)?.[1];
+        const execPath = hook.command === 'node' && Array.isArray(hook.args)
+          && hook.args[0]?.match(/^\$\{CLAUDE_PROJECT_DIR\}\/(\.claude\/hooks\/[^\s]+)$/)?.[1];
+        if (shellPath || execPath) checkedFile(root, shellPath || execPath);
       }
     }
   }