auroq-os 2.8.9 → 2.8.10

package/.auroq-core/core-config.yaml

@@ -1,7 +1,7 @@
 project:
   name: "Auroq OS"
   type: greenfield
-  version: 2.8.9
+  version: 2.8.10
   installedAt: '2026-03-16'
 
 ide:

package/CHANGELOG.md

@@ -1,5 +1,6 @@
 ## Unreleased
 
+- 2.8.10 — Cofre no Mac, segunda rodada do teste real num usuário novo do macOS (07/11/2026). **Guardar senha no 1Password voltou a funcionar:** no 1Password CLI 2.41, o molde do item por pipe parou de funcionar (`item create -` recusa com "provide the item category" e `item edit` por pipe sai 0 sem mudar nada); `segredo gravar` e a cópia da chave no cofre pessoal passam a usar o molde num arquivo temporário só do usuário (`--template`, apagado em seguida), como o Windows já fazia. **Mac, "acessar dados de outros apps":** o `op` lê a pasta do 1Password e o Mac pergunta se o Auroq OS (ou o Terminal) pode acessar dados de outros apps; negada ou cancelada, a conta some e o aluno ouvia "ligue a integração" em laço. Agora, sem conta à vista no Mac, o comando zera só essa decisão do programa que o abriu (`tccutil reset SystemPolicyAppData <app>`) para a pergunta voltar e diz para clicar em Permitir. O atalho para Configurações > Desenvolvedor abre o 1Password atual, não o "1Password 7" antigo. **Infisical no Safari:** a página do Infisical não consegue entregar o login ao computador no Safari e mostra "Unable to reach CLI" com "Copy to clipboard"; sem terminal o programa do Infisical não aceitava colar. Agora, enquanto o login espera (Mac e Windows), o comando reconhece esse código na área de transferência (só esse formato), entrega ao programa pelo endereço local e limpa a área de transferência: o aluno só clica em "Copy to clipboard". Textos do Mac: "Desbloquear usando Touch ID" e, sem Touch ID, a janela pede só "Autorizar". Catálogo `auroq-core` 2.3.56 (peça do 1Password da skill do cofre).
 - 2.8.9 — 1Password no Mac sem Homebrew (teste real num usuário novo do macOS, 06/11/2026): o Mac de aluno não tem Homebrew, e o `conectar-1password` parava em `app-nao-instalou` e `sem-op`. Agora, sem Homebrew (ou se ele falhar), o comando baixa o app oficial do 1Password (`1Password-latest`, assinatura da AgileBits conferida com `codesign --deep` e Team ID 2BUA8C4S2C) e copia para a pasta Aplicativos, e instala o 1Password CLI 2.41.1 oficial (SHA-256 fixo, o mesmo do app Auroq OS, mais a assinatura) em `~/.auroq/op/bin`, sem senha de administrador. `segredo` acha o `op` nessa pasta mesmo num terminal que não a tem no PATH.
 - 1Password no Windows: o CLI do 1Password passa pelo PowerShell, como no teste real do Marcos; isso evita a falha de sessão que ocorria quando o Node o iniciava diretamente. `--estado` usa o mesmo caminho para detectar o CLI, e a lista de contas deixa de depender do shell em que o aluno abriu o comando. Os três ganchos do Claude Code usam o caminho do projeto mesmo depois de entrar numa subpasta. A skill do cofre orienta o diagnóstico quando a aprovação se repete. Catálogo `auroq-core` 2.3.55.
 

package/README.md

@@ -290,13 +290,13 @@ a parte tecnica e com o Companion.
 
 ## Observabilidade e integridade do motor
 
-Apos publicacao, `npx -y auroq-os@2.8.9 doctor` mostra a fila local segura e os comandos pinados de
-manutencao/diagnostico. `npx -y auroq-os@2.8.9 manutencao` preserva o caminho existente
+Apos publicacao, `npx -y auroq-os@2.8.10 doctor` mostra a fila local segura e os comandos pinados de
+manutencao/diagnostico. `npx -y auroq-os@2.8.10 manutencao` preserva o caminho existente
 de consentimento legado, studentFiles, customizacoes e dados do negocio. Nao ha
 migracao forcada. O registro MCP aponta para `arcane-mcp@0.7.1` — o pin mora no campo
 `arcaneMcpPin` do package.json (fonte unica; o servidor le o mesmo campo no npm).
 `npm run release:verify` recusa publicar com um pin que o npm nao resolva.
-Os instaladores do repositorio ficam preparados para 2.8.9; as copias publicas so recebem
+Os instaladores do repositorio ficam preparados para 2.8.10; as copias publicas so recebem
 a versao apos os gates nativos e a verificacao do tarball publicado.
 O pacote inclui `lib/runtime-integrity.json`: inventario SHA-256 gerado depois da montagem da casca, verificavel com `npm run integrity:verify` dentro do pacote extraido. Ele comprova consistencia do conteudo; nao e uma assinatura de autoria.
 

package/installer/install.ps1

@@ -589,7 +589,7 @@ function Invoke-AuroqLogin {
   # sucesso. Usado como pergunta de sim/nao, ele dizia "voce ja estava logado"
   # pra quem nunca logou, pulava o portao e deixava a conta sem acesso chegar ate
   # a criacao da pasta.
-  & (Get-AuroqNpx) -y auroq-os@2.8.9 check-access
+  & (Get-AuroqNpx) -y auroq-os@2.8.10 check-access
   if ($LASTEXITCODE -ne 0) {
     Write-AuroqLog 'login' 'recusado'
     Write-Host ''
@@ -677,7 +677,7 @@ function Invoke-AuroqInit {
   if ($env:AUROQ_INSTALL_DRY_RUN) { Write-AuroqOk 'Sistema - seria montado aqui'; return }
 
   Set-Location $script:AuroqPastaAlvo
-  & (Get-AuroqNpx) -y auroq-os@2.8.9 instalar
+  & (Get-AuroqNpx) -y auroq-os@2.8.10 instalar
   if ($LASTEXITCODE -ne 0) {
     Write-AuroqLog 'init' 'falhou'
     Write-AuroqErro 'A montagem do sistema parou no meio.' 'Rode o mesmo comando de novo. Se repetir, mande pro suporte o arquivo install.log da pasta .auroq.'

package/installer/install.sh

@@ -219,9 +219,9 @@ auroq_tem_terminal() {
 # recebem pedaco do script no lugar da resposta dele.
 auroq_npx_aluno() {
   if [ -t 0 ]; then
-    npx -y auroq-os@2.8.9 "$@"
+    npx -y auroq-os@2.8.10 "$@"
   else
-    npx -y auroq-os@2.8.9 "$@" < /dev/tty
+    npx -y auroq-os@2.8.10 "$@" < /dev/tty
   fi
 }
 

package/lib/cofre.js

@@ -521,7 +521,7 @@ function makeOpBackend(d) {
     return recomposicao;
   }
 
-  async function call(tk, args, input = '') {
+  async function call(tk, args, input = '', extra = {}) {
     const o = mod(d, 'onepassword');
     const run = d.op || o.runOp;
     // o ambiente e montado a cada tentativa: o PATH recomposto vale so para quem copia process.env DEPOIS
@@ -532,7 +532,7 @@ function makeOpBackend(d) {
       for (const k of Object.keys(env)) {
         if (/^AUROQ_INFISICAL_/i.test(k)) delete env[k];
       }
-      return run(args, { env, input, timeoutMs: OP_TIMEOUT_MS });
+      return run(args, { env, input, timeoutMs: OP_TIMEOUT_MS, ...extra });
     };
     let r = await tentar();
     if (r && r.missing && (ehWindows(d) || ehMac(d)) && (await recomporPathUmaVez())) r = await tentar();
@@ -541,16 +541,37 @@ function makeOpBackend(d) {
 
   const semChave = () => failure('cofre-nao-configurado', tipo);
 
+  /**
+   * Criar e editar item vao com o molde num arquivo temporario (`--template`), nunca por pipe: no 1Password CLI 2.41
+   * (teste real num Mac, 07/11/2026) o `item create -` por pipe recusa ("provide the item category with '--category'
+   * flag") e o `item edit` por pipe sai 0 SEM mudar nada. O arquivo (so deste usuario, 0600) e apagado em seguida,
+   * aconteca o que acontecer; o `op` roda com o stdin desligado (com `--template` ele nao aceita pipe nenhum).
+   */
+  async function runComMolde(args, body, secrets) {
+    const o = mod(d, 'onepassword');
+    let tmp = null;
+    try {
+      tmp = o.writeTemplateFile(body);
+    } catch (e) {
+      return { erro: failure('falha', tipo, `Nao consegui preparar o arquivo temporario do molde (${oneLine(e && e.message, 120)}).`) };
+    }
+    try {
+      return await run([...args, '--template', tmp.file], undefined, secrets, { noStdin: true });
+    } finally {
+      try { fs.rmSync(tmp.dir, { recursive: true, force: true }); } catch { /* fica na pasta temporaria do usuario */ }
+    }
+  }
+
   /** Gravar e apagar leem o item, mudam e gravam de volta: dois comandos juntos criariam item repetido ou perderiam um campo. Um por vez. */
   const comTrava = (fn) => withFileLock(path.join(dirOf(d), 'cofre-op.lock'), fn, {
     waitMs: d.lockWaitMs === undefined ? LOCK_WAIT_MS : d.lockWaitMs,
     onTimeout: () => fail('falha', 'Outro comando esta gravando no 1Password agora. Tente de novo em alguns instantes.'),
   });
 
-  async function run(args, input, secrets) {
+  async function run(args, input, secrets, extra = {}) {
     let tk = await token();
     if (!tk) return { erro: semChave() };
-    let r = await call(tk, args, input);
+    let r = await call(tk, args, input, extra);
     let c = r.ok ? null : classifyOp(d, r, secrets);
     // A variavel do programa pode estar velha: janela aberta com uma chave que depois foi revogada e trocada (a
     // nova esta gravada no computador). Chave RECUSADA vinda da variavel => tenta a gravada, se for outra. So esta
@@ -558,7 +579,7 @@ function makeOpBackend(d) {
     if (c && c.codigo === 'credencial-invalida' && tk === fromEnv()) {
       const gravada = await fromDisk();
       if (gravada && gravada !== tk) {
-        const r2 = await call(gravada, args, input);
+        const r2 = await call(gravada, args, input, extra);
         tk = gravada;
         r = r2;
         c = r.ok ? null : classifyOp(d, r, secrets);
@@ -602,13 +623,13 @@ function makeOpBackend(d) {
         }
         let w;
         if (!item) {
-          w = await run(['item', 'create', '-', '--vault', VAULT_NAME, '--tags', ITEM_TAG], JSON.stringify(itemTemplate(ref, valor)), secrets);
+          w = await runComMolde(['item', 'create', '--vault', VAULT_NAME, '--tags', ITEM_TAG], JSON.stringify(itemTemplate(ref, valor)), secrets);
         } else {
           // item que ja existe (pode ser do aluno, com varios campos): muda ou insere SO o campo pedido
           const campo = findField(item.fields, ref.campo);
           if (campo) campo.value = valor;
           else item.fields.push(ref.campo === CREDENTIAL ? { id: CREDENTIAL, type: 'CONCEALED', label: CREDENTIAL, value: valor } : { type: 'CONCEALED', label: ref.campo, value: valor });
-          w = await run(['item', 'edit', ref.item, '--vault', VAULT_NAME], JSON.stringify(item), secrets);
+          w = await runComMolde(['item', 'edit', ref.item, '--vault', VAULT_NAME], JSON.stringify(item), secrets);
         }
         if (w.erro) return w.erro;
         return { ok: true, criado: !item };

package/lib/infisical-cli.js

@@ -31,7 +31,7 @@ const os = require('os');
 const path = require('path');
 const crypto = require('crypto');
 const fs = require('fs');
-const { spawn, spawnSync } = require('child_process');
+const { spawn, spawnSync, execFileSync } = require('child_process');
 
 // Versao minima aceita: login por navegador SEM terminal + perfis (--profile/--save-as) so existem a partir daqui
 // (resultado-cli.md, secao 7: "Login por navegador seguro sem TTY: v0.43.139"). O projeto e criado pela API,
@@ -51,6 +51,7 @@ const LOGOUT_TIMEOUT_MS = 60000;
 const EXTRACT_TIMEOUT_MS = 300000;
 const INSTALL_TIMEOUT_MS = 15 * 60 * 1000;
 const DEFAULT_LOGIN_TIMEOUT_MS = 540000;
+const CLIPBOARD_POLL_MS = 2000;
 const DOWNLOAD_TIMEOUT_MS = 15 * 60 * 1000;
 const DOWNLOAD_MAX_BYTES = 400 * 1024 * 1024;
 const OUTPUT_CAP = 16 * 1024 * 1024;
@@ -351,10 +352,74 @@ function makeDefaultCliDeps(overrides = {}) {
     tmpdir: os.tmpdir(),
     run: runProcess,
     download: (url) => defaultDownload(url, process.platform),
+    readClipboard: () => readClipboardText(process.platform),
+    clearClipboard: () => clearClipboardText(process.platform),
+    postLocal: postToLoopback,
+    sleep: (ms) => new Promise((r) => setTimeout(r, ms)),
     ...overrides,
   };
 }
 
+// ─── Reserva do login: o codigo copiado da tela "Unable to reach CLI" ─────────
+
+/**
+ * Teste real num Mac (07/11/2026): o Safari nao deixa a pagina do Infisical (https) entregar o login ao CLI em
+ * http://127.0.0.1:<porta> e mostra "Unable to reach CLI" com o botao "Copy to clipboard". Sem terminal, o CLI nao
+ * aceita colar (so le o codigo quando tem TTY). Entao, enquanto o login espera, o Auroq olha a area de transferencia:
+ * quando o aluno clica "Copy to clipboard", o codigo (base64 de {JTWToken,email,privateKey}) vai do proprio Auroq para
+ * o CLI pelo mesmo endereco local que a pagina usaria, e a area de transferencia e limpa. Nunca mostra nem guarda o
+ * codigo; so aceita exatamente esse formato.
+ */
+function readClipboardText(platform) {
+  try {
+    if (platform === 'darwin') return execFileSync('/usr/bin/pbpaste', [], { encoding: 'utf8', timeout: 5000, stdio: ['ignore', 'pipe', 'ignore'], maxBuffer: 1024 * 1024 });
+    if (platform === 'win32') return execFileSync('powershell.exe', ['-NoProfile', '-NonInteractive', '-Command', 'Get-Clipboard -Raw'], { encoding: 'utf8', timeout: 8000, stdio: ['ignore', 'pipe', 'ignore'], windowsHide: true, maxBuffer: 1024 * 1024 });
+  } catch { /* sem area de transferencia: segue esperando o navegador */ }
+  return '';
+}
+
+function clearClipboardText(platform) {
+  try {
+    if (platform === 'darwin') execFileSync('/usr/bin/pbcopy', [], { input: '', timeout: 5000, stdio: ['pipe', 'ignore', 'ignore'] });
+    else if (platform === 'win32') execFileSync('powershell.exe', ['-NoProfile', '-NonInteractive', '-Command', 'Set-Clipboard -Value $null'], { timeout: 8000, stdio: 'ignore', windowsHide: true });
+  } catch { /* melhor esforco */ }
+}
+
+/** POST JSON para http://127.0.0.1:<porta>/ (o servidor que o proprio CLI abriu para o login). Nunca lanca. */
+function postToLoopback(port, body) {
+  return new Promise((resolve) => {
+    let req;
+    try {
+      req = require('http').request({ host: '127.0.0.1', port, path: '/', method: 'POST', timeout: 15000,
+        headers: { 'Content-Type': 'application/json', 'Content-Length': Buffer.byteLength(body) } }, (res) => {
+        res.resume();
+        res.on('end', () => resolve({ ok: res.statusCode >= 200 && res.statusCode < 300, status: res.statusCode }));
+      });
+    } catch { resolve({ ok: false }); return; }
+    req.on('timeout', () => req.destroy());
+    req.on('error', () => resolve({ ok: false }));
+    req.end(body);
+  });
+}
+
+/** O texto e o codigo da tela "Unable to reach CLI"? Devolve o JSON a entregar ao CLI, ou null. */
+function parseCopiedLoginToken(text) {
+  const t = String(text || '').trim();
+  if (t.length < 40 || t.length > 20000 || !/^[A-Za-z0-9+/=]+$/.test(t)) return null;
+  let obj;
+  try { obj = JSON.parse(Buffer.from(t, 'base64').toString('utf8')); } catch { return null; }
+  if (!obj || typeof obj !== 'object' || Array.isArray(obj)) return null;
+  if (typeof obj.JTWToken !== 'string' || !/^eyJ[A-Za-z0-9_-]*\.[A-Za-z0-9_-]+\.[A-Za-z0-9_-]+$/.test(obj.JTWToken)) return null;
+  if (typeof obj.email !== 'string' || !obj.email.includes('@')) return null;
+  return JSON.stringify({ JTWToken: obj.JTWToken, email: obj.email, privateKey: typeof obj.privateKey === 'string' ? obj.privateKey : '' });
+}
+
+function callbackPortOf(url) {
+  const m = /[?&]callback_port=(\d{2,5})(?:&|$)/.exec(String(url || ''));
+  const n = m ? Number(m[1]) : NaN;
+  return n > 0 && n < 65536 ? n : null;
+}
+
 /** Completa o `d` recebido com os padroes reais (os testes passam so o que querem trocar). */
 function withDefaults(d) {
   const base = makeDefaultCliDeps();
@@ -784,14 +849,44 @@ async function browserLogin(dIn, cli, { domain, profile = PROFILE, timeoutMs = D
     found(extractLoginUrl(buffer));
   };
 
+  // Reserva (Mac e Windows): o aluno clica "Copy to clipboard" na tela "Unable to reach CLI" e o Auroq entrega.
+  let rodando = true;
+  let entregue = false;
+  const vigiarAreaDeTransferencia = async () => {
+    if (d.platform !== 'darwin' && d.platform !== 'win32') return;
+    if (typeof d.readClipboard !== 'function' || typeof d.postLocal !== 'function') return;
+    while (rodando && !entregue) {
+      await d.sleep(CLIPBOARD_POLL_MS);
+      if (!rodando) return;
+      const port = callbackPortOf(url);
+      if (!port) continue;
+      let copiado = '';
+      let corpo = null;
+      try { copiado = String(await d.readClipboard()); corpo = parseCopiedLoginToken(copiado); } catch { corpo = null; }
+      if (!corpo) continue;
+      const enviado = await d.postLocal(port, corpo);
+      if (!(enviado && enviado.ok)) continue; // o CLI nao aceitou: deixa a area de transferencia como estava
+      entregue = true;
+      // limpa so se ainda for o mesmo codigo (o aluno pode ter copiado outra coisa nesse meio tempo)
+      try {
+        if (typeof d.clearClipboard === 'function' && String(await d.readClipboard()).trim() === copiado.trim()) await d.clearClipboard();
+      } catch { /* melhor esforco */ }
+    }
+  };
+  const vigia = vigiarAreaDeTransferencia().catch(() => {});
+
   let r;
   try {
     r = await d.run(cli, ['login', '--domain', domain, '--save-as', profile, '--silent'], {
       env: cliEnv(d.env), timeoutMs, stdinIgnore: true, onStderr,
     });
   } catch {
+    rodando = false;
     return { ok: false, motivo: 'falhou', url, detalhe: 'nao consegui rodar o CLI' };
+  } finally {
+    rodando = false;
   }
+  void vigia; // para sozinho na proxima volta (nao segura o resultado do login)
   r = r || {};
   // `run` sem tempo real (ou saida que chegou toda no fim): olha o texto final
   if (!url) found(extractLoginUrl(`${buffer}\n${r.stderr || ''}\n`, { complete: true }));
@@ -863,6 +958,8 @@ module.exports = {
   runProcess,
   curlDownload,
   extractLoginUrl,
+  parseCopiedLoginToken,
+  callbackPortOf,
   releaseTarget,
   parseChecksums,
   scrub,

package/lib/onepassword.js

@@ -552,6 +552,8 @@ const SERVICE_ACCOUNT_NAME = 'Auroq';
 // `op service-account create` so existe desde a 2.26.0 e `op whoami` so diz QUEM esta falando (conta de
 // servico ou pessoa) desde a 2.30.0; o teste final precisa dessa resposta, entao o minimo e a 2.30.0.
 const MIN_OP_VERSION = '2.30.0';
+const MAC_DADOS_DE_OUTROS_APPS = 'No Mac: se aparecer a pergunta se o Auroq OS (ou o Terminal) pode acessar dados de outros apps, clique em Permitir. Sem isso o 1Password fica invisivel para o Auroq.';
+const MAC_APP_BUNDLE = 'com.1password.1password'; // o 1Password 8 (o "1Password 7" antigo e com.agilebits.onepassword7)
 const INTEGRATION_URL = 'onepassword://settings/developers'; // abre o app direto em Configuracoes > Desenvolvedor
 const BACKUP_TITLE = 'Auroq OS - token da conta de servico';
 const BACKUP_TAG = 'auroq-os';
@@ -746,7 +748,7 @@ function enableIntegrationSteps(platform) {
     ? 'Abra as Configuracoes: no menu de cima do Mac, 1Password > Configuracoes (ou Cmd + virgula). Se eu ja abri a tela de Desenvolvedor pra voce, pule pro passo 3.'
     : 'Abra as Configuracoes: clique no nome da sua conta (canto de cima, a esquerda) > Configuracoes. Se eu ja abri a tela de Desenvolvedor pra voce, pule pro passo 3.';
   const digital = platform === 'darwin'
-    ? 'Para aprovar com a digital: Configuracoes > Seguranca > "Desbloquear com Touch ID". Sem isso o Mac pede a senha do seu usuario do Mac.'
+    ? 'Para aprovar com a digital (opcional): Configuracoes > Seguranca > "Desbloquear usando Touch ID" (Desbloquear com Touch ID). Sem Touch ID, a janela do 1Password pede so um clique em "Autorizar". Se o Mac perguntar se o Auroq OS (ou o Terminal) pode acessar dados de outros apps, clique em Permitir.'
     : 'Para aprovar com o Windows Hello: Configuracoes > Seguranca > "Desbloquear com Windows Hello". Sem o Windows Hello ligado a janela de aprovacao pode nem aparecer.';
   return [
     'Abra o app do 1Password, entre na sua conta e deixe o app aberto.',
@@ -758,15 +760,15 @@ function enableIntegrationSteps(platform) {
 
 /**
  * Receita curta para ligar a digital (Windows Hello / Touch ID) quando nao esta ligada. A documentacao da integracao
- * manda ligar o Windows Hello no Windows; no Mac o Touch ID e opcional (sem ele vale a senha do usuario do Mac). A
+ * manda ligar o Windows Hello no Windows; no Mac o Touch ID e opcional (sem ele a janela pede um clique em Autorizar). A
  * senha da conta 1Password NAO faz esse papel. O codigo nao liga nada disso por ele.
  */
 function biometricSteps(platform) {
   if (platform === 'darwin') {
     return [
       'No Mac, cadastre a digital: Ajustes do Sistema > Touch ID e Senha > Adicionar digital.',
-      'No 1Password: Configuracoes > Seguranca > marque "Desbloquear com Touch ID".',
-      'O Touch ID e opcional: se o seu Mac nao tem, o Mac pede a senha do seu usuario do Mac na janela de aprovacao.',
+      'No 1Password: Configuracoes > Seguranca > marque "Desbloquear usando Touch ID" (Desbloquear com Touch ID).',
+      'O Touch ID e opcional: sem ele, a janela de aprovacao do 1Password pede so um clique em "Autorizar" (ou a senha do seu usuario do Mac, se voce ligou "Desbloqueie o aplicativo com a senha do Mac").',
     ];
   }
   return [
@@ -854,11 +856,19 @@ function runOpInFreshShell(args) {
 function openUrl(url) {
   if (process.env.AUROQ_NAO_ABRIR_APP) return;
   try {
+    // Mac: o link onepassword:// pode abrir o "1Password 7" antigo, se ele ainda estiver instalado (teste real num Mac,
+    // 07/11/2026). Pede o app atual pelo identificador; se ele nao estiver la, abre do jeito de sempre.
     const [cmd, args] = process.platform === 'darwin'
-      ? ['open', [url]]
+      ? ['open', ['-b', MAC_APP_BUNDLE, url]]
       : (process.platform === 'win32' ? ['cmd', ['/c', 'start', '', url]] : ['xdg-open', [url]]);
     const child = spawn(cmd, args, { stdio: 'ignore', detached: true, windowsHide: true, env: opEnv() });
     child.on('error', () => {});
+    if (process.platform === 'darwin') {
+      child.on('exit', (code) => {
+        if (code === 0) return;
+        try { const outro = spawn('open', [url], { stdio: 'ignore', detached: true, env: opEnv() }); outro.on('error', () => {}); outro.unref(); } catch { /* receita escrita vale */ }
+      });
+    }
     child.unref();
   } catch {
     /* sem problema: a receita escrita continua valendo */
@@ -1091,12 +1101,12 @@ const APP_TEMP_PREFIX = 'auroq-1p-app-';
  * `finally` nao roda se o processo e morto). So mexe em pasta com esse prefixo e mais velha que `maxAgeMs`. Nunca lanca.
  * Devolve quantas apagou.
  */
-function sweepStaleAppDirs(root = os.tmpdir(), { maxAgeMs = 60 * 60 * 1000, now = Date.now() } = {}) {
+function sweepStaleAppDirs(root = os.tmpdir(), { maxAgeMs = 60 * 60 * 1000, now = Date.now(), prefix = APP_TEMP_PREFIX } = {}) {
   let apagadas = 0;
   let nomes = [];
   try { nomes = fs.readdirSync(root); } catch { return 0; }
   for (const nome of nomes) {
-    if (!nome.startsWith(APP_TEMP_PREFIX)) continue;
+    if (!nome.startsWith(prefix)) continue;
     const full = path.join(root, nome);
     try {
       const st = fs.lstatSync(full);
@@ -1424,11 +1434,30 @@ function makeProgress(d) {
   };
 }
 
+/**
+ * Mac: zera a decisao "acessar dados de outros apps" (TCC, servico SystemPolicyAppData) do programa que abriu este
+ * comando (o app Auroq OS ou o Terminal), para a pergunta do Mac voltar. Teste real (07/11/2026): o `op` le a pasta do
+ * 1Password, o Mac pergunta se o Auroq OS pode acessar dados de outros apps e, se a resposta foi "nao" (ou a pergunta
+ * foi cancelada), fica "nao" para sempre e calado: o `op` so ve "nenhuma conta" e o aluno ouvia "ligue a integracao" em
+ * laco. Zerar so faz o Mac perguntar de novo (nao libera nada sozinho). Nunca lanca; true se zerou.
+ */
+function resetMacAppData(env = process.env, run = spawnSync) {
+  const bundle = String(env.__CFBundleIdentifier || '');
+  if (!/^[A-Za-z0-9][A-Za-z0-9.-]{2,200}$/.test(bundle)) return false;
+  try {
+    const r = run('/usr/bin/tccutil', ['reset', 'SystemPolicyAppData', bundle], { stdio: 'ignore', timeout: 15000 });
+    return Boolean(r && !r.error && r.status === 0);
+  } catch {
+    return false;
+  }
+}
+
 function makeDefaultDeps() {
   return {
     platform: process.platform,
     openUrl,
     refreshPath,
+    resetAppData: () => (process.platform === 'darwin' ? resetMacAppData() : false),
     appInstalled: () => appInstalled(),
     lock: makeLock(),
     state: { read: readState, write: writeState },
@@ -1544,12 +1573,9 @@ function saveBackup(d, account, token) {
   // conforme o plano (e pode vir traduzido), por isso nunca se usa o nome.
   const body = JSON.stringify(backupItemTemplate(token));
   const common = ['--tags', BACKUP_TAG, '--account', accountKey(account), '--format', 'json'];
-  if (d.platform !== 'win32') {
-    const r = d.op(['item', 'create', '-', ...common], { env: opEnv(), input: body });
-    return r.ok ? { ok: true } : { ok: false, detalhe: oneLine(r.stderr) };
-  }
-  // Windows: o `op item create -` por pipe falha no PowerShell 5.1 ("invalid JSON in piped input", teste real de 27/10),
-  // entao o molde vai num arquivo temporario (UTF-8 sem BOM) so deste usuario, que o `op` le com --template. O token
+  // Todos os sistemas: o molde vai num arquivo temporario. Por pipe, o `op item create -` falha no PowerShell 5.1
+  // ("invalid JSON in piped input", teste real de 27/10) e, no 1Password CLI 2.41, tambem no Mac ("provide the item
+  // category with '--category' flag", teste real de 07/11/2026). O molde vai num arquivo temporario (UTF-8 sem BOM) so deste usuario, que o `op` le com --template. O token
   // continua fora de argumento e de log; o arquivo e apagado em seguida, aconteca o que acontecer. O `op` roda com o
   // stdin desligado (`noStdin`): com `--template` ele nao aceita nenhum pipe, nem vazio.
   let tmp = null;
@@ -1571,8 +1597,15 @@ function saveBackup(d, account, token) {
  * (%TEMP% do perfil, que so ele, o SYSTEM e os administradores leem; o modo 0600 vale no Mac e no Linux e e ignorado no
  * Windows). UTF-8 SEM BOM: o BOM faria o `op` recusar o JSON. Devolve { dir, file }; quem chama apaga a pasta.
  */
+const MOLDE_PREFIX = 'auroq-molde-';
+
+/**
+ * Molde do item (com o valor) num arquivo temporario so do usuario. Antes, apaga moldes de execucoes anteriores que
+ * morreram no meio (Ctrl+C ou janela fechada nao deixam o `finally` rodar) e que tenham mais de 10 minutos.
+ */
 function writeTemplateFile(content) {
-  const dir = fs.mkdtempSync(path.join(os.tmpdir(), 'auroq-op-'));
+  try { sweepStaleAppDirs(os.tmpdir(), { prefix: MOLDE_PREFIX, maxAgeMs: 10 * 60 * 1000 }); } catch { /* faxina e extra */ }
+  const dir = fs.mkdtempSync(path.join(os.tmpdir(), MOLDE_PREFIX));
   const file = path.join(dir, 'molde.json');
   try {
     fs.writeFileSync(file, Buffer.from(content, 'utf8'), { flag: 'wx', mode: 0o600 });
@@ -1812,6 +1845,11 @@ async function runConnect(opts, d, prog) {
     prog.reset('app');
     return fim('aguardando', 'instalar-app', 'Nao achei o app do 1Password neste computador. Instale com: npx -y auroq-os@latest conectar-1password --instalar-app --agente (ou baixe em https://1password.com/downloads). Se ele ja esta instalado num lugar fora do comum, abra o app, entre na sua conta e ligue "Integrar com a CLI do 1Password" em Configuracoes > Desenvolvedor; depois rode de novo.');
   }
+  if (!accounts.length && d.platform === 'darwin' && typeof d.resetAppData === 'function' && d.resetAppData()) {
+    // a conta pode estar escondida pela protecao "dados de outros apps" do Mac: a pergunta volta e o aluno permite
+    out.log(`${BOLD}${MAC_DADOS_DE_OUTROS_APPS}${RESET}`);
+    accounts = listAccounts(d);
+  }
   if (!accounts.length) {
     showIntegrationHelp(d, out);
     if (waitSeconds > 0) {
@@ -1826,7 +1864,7 @@ async function runConnect(opts, d, prog) {
     }
     if (!accounts.length) {
       prog.reset('app');
-      return fim('aguardando', 'ligar-integracao', 'Falta ligar "Integrate with 1Password CLI" nas configuracoes do app do 1Password (Configuracoes > Desenvolvedor). Depois e so rodar de novo.');
+      return fim('aguardando', 'ligar-integracao', `Falta ligar "Integrate with 1Password CLI" nas configuracoes do app do 1Password (Configuracoes > Desenvolvedor). Depois e so rodar de novo.${d.platform === 'darwin' ? ` ${MAC_DADOS_DE_OUTROS_APPS}` : ''}`);
     }
   }
   prog.mark('conta', 'app');
@@ -2198,6 +2236,7 @@ module.exports = {
   refreshPath,
   installOpDirect,
   installMacAppDirect,
+  resetMacAppData,
   auroqOpBin,
   OP_DIRETO,
   runOp,

package/lib/runtime-integrity.json

@@ -2,7 +2,7 @@
   "schema": 1,
   "algorithm": "sha256",
   "scope": "packaged-runtime-and-cascas",
-  "version": "2.8.9",
+  "version": "2.8.10",
   "files": [
     {
       "path": ".auroq-core/constitution.md",
@@ -10,7 +10,7 @@
     },
     {
       "path": ".auroq-core/core-config.yaml",
-      "sha256": "7eeba357e5203bb8d0d9ade5d4a53ecfa99d7edd05212a5625b59d6425f641f4"
+      "sha256": "11f011d4d20d781521606c4d0f2625ebf6bee36861ca2056697c9d73cd30fd2f"
     },
     {
       "path": ".auroq-core/core/synapse/context/context-builder.js",
@@ -254,7 +254,7 @@
     },
     {
       "path": "lib/cofre.js",
-      "sha256": "a7142a3a49e7cb71f4927d567fa834b838c19987f12bd1d7fe02e1cb744378c1"
+      "sha256": "c3648b80ad72df055726571aa107608489808287d557386625fd8157f9f6279f"
     },
     {
       "path": "lib/credentials.js",
@@ -270,7 +270,7 @@
     },
     {
       "path": "lib/infisical-cli.js",
-      "sha256": "33c826f731a8f8f930f1797821d9faee7b6f2558c30da5c211319bf4f3e83982"
+      "sha256": "6ebd63594fedb7a3b0bee58b70a2ce1b070d91c9dc20fd6495abaab35c8b84af"
     },
     {
       "path": "lib/infisical.js",
@@ -282,7 +282,7 @@
     },
     {
       "path": "lib/onepassword.js",
-      "sha256": "34ce88cb11b2fc9bd52905acc19903430df88db5c94b3ed9bc1000bfb1f4a666"
+      "sha256": "eb54a524ad488c79577be06ea7496e421660f9e4dbc8fce3b843124b893f0780"
     },
     {
       "path": "lib/supabase.js",
@@ -298,7 +298,7 @@
     },
     {
       "path": "package.json",
-      "sha256": "0f06b1ac3cb3201dd3f21c3ea980b47ba637fd40a300534d07610de091f54e6b"
+      "sha256": "f78cae244b3efba3bd354a6efbd0805bb761f2d6acece93426dfd0b02bbc7b0f"
     },
     {
       "path": "scripts/build-pack.mjs",

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "auroq-os",
-  "version": "2.8.9",
+  "version": "2.8.10",
   "arcaneMcpPin": "0.7.1",
   "description": "Auroq OS — Sistema Operacional de IA para o negócio do aluno da Arcane",
   "bin": {