autowonder 0.3.18 → 0.3.20

package/README.md

@@ -6,10 +6,10 @@ AutoWonder 本地 agent runtime。安装后启动 daemon，持续轮询本地 as
 
 ```bash
 # Qoder CLI（模型使用 provider model ID；Context Window 使用固定档位）
-npx -y autowonder@0.3.18 connect --ws-url <wss-endpoint> --token <executor-token> --executor-id <executor-id> --provider qoder --model qmodel_latest --reasoning-effort medium --context-window 260000
+npx -y autowonder@0.3.20 connect --ws-url <wss-endpoint> --token <executor-token> --executor-id <executor-id> --provider qoder --model qmodel_latest --reasoning-effort medium --context-window 260000
 
 # Qoder CLI CN
-npx -y autowonder@0.3.18 connect --ws-url <wss-endpoint> --token <executor-token> --executor-id <executor-id> --provider qodercn
+npx -y autowonder@0.3.20 connect --ws-url <wss-endpoint> --token <executor-token> --executor-id <executor-id> --provider qodercn
 ```
 
 `connect` 会安装当前 npm 包内置的 daemon，并使用页面生成的 WebSocket endpoint、Token 和执行器 ID 建立连接。客户端只支持通过 Qoder 系列 CLI 启动（`qoder` 对应 `qodercli`，`qodercn` 对应 `qodercn`），其他 `--provider` 取值会在启动 daemon 前直接报错拦截并提示 `Unsupported provider`。选择 Qoder CLI 或 Qoder CLI CN 时需要 Node.js 20+；runtime 会在缺少对应 CLI 时自动通过 npm 安装，并在尚未登录时打开浏览器登录。runtime 会继承当前用户的 HOME、环境变量和 CLI 登录状态。
@@ -27,7 +27,7 @@ runtime 启动时始终只拉取一次 Platform 环境变量快照，即使已
 
 出于安全考虑，命令行 token 可能出现在 shell 历史和操作系统进程列表中，建议优先使用环境变量或 Platform 绑定。
 
-`connect` 和 `start` 都要求 Qoder CLI / Qoder CLI CN 版本至少为 `1.1.65`。版本探测保留退出码、信号与有界输出作为证据；单次探测没有拿到版本（超时、启动失败或输出无法解析）时先按有界节奏重试，确认确实不满足后才对当前优先选中的用户 CLI 执行内置 `update`，原位升级到最新版并再次强校验；升级失败或升级后仍不满足最低版本时拒绝启动 daemon，并在日志中打印探测证据。所有 Qoder 系列子进程（普通任务、conversation、warm 会话、恢复回退、命令与模型探测）都会强制注入固定的 `QODER_INTEGRATION_ID`，调用方环境不能覆盖该流量归因标识。
+`connect` 和 `start` 都要求 Qoder CLI / Qoder CLI CN 版本至少为 `1.1.65`。检测到旧版或无法解析的版本时，runtime 会对当前优先选中的用户 CLI 执行内置 `update`，原位升级到最新版并再次强校验；升级失败或升级后仍不满足最低版本时拒绝启动 daemon。所有 Qoder 系列子进程（普通任务、conversation、warm 会话、恢复回退、命令与模型探测）都会强制注入固定的 `QODER_INTEGRATION_ID`，调用方环境不能覆盖该流量归因标识。
 
 `qodercn` 是国内版 Qoder CLI。runtime 会在缺少 `qodercn` 时自动把 `@qodercn-ai/qoderclicn` 安装到 `~/.autowonder/qoder-cn-cli`，并在尚未登录时打开浏览器登录。它使用自己的配置根（`QODERCN_CONFIG_DIR`，默认 `~/.qoder-cn`），与国际版 `qoder` 不共享可执行文件、凭证和会话。可用 `AUTOWONDER_QODERCN_CLI` 指定自定义可执行文件路径。
 
@@ -65,16 +65,18 @@ Qoder 系列执行器的跨派单记忆由平台托管。服务端在派单里
 
 ## 工作区保留与 Git 对象复用
 
-daemon 默认启用本地工作区 GC：启动 30 秒后开始检查，之后每小时执行有限量的后台清理。非会话任务仅在终态且最后活动时间超过所配置的任务 TTL（默认 72 小时）后才符合清理条件；会话目录仅在最后活动时间超过所配置的会话 TTL（默认 720 小时）后才符合条件。清理的单位是整个 attempt capsule 或整个 conversation capsule，不会只删除其中部分文件。未知或格式异常、非终态（包括 uploading）、仍在运行、由恢复流程持有、结果仍待确认，或结果状态查询失败的 capsule 都会保留。
+daemon 默认启用本地工作区 GC：启动 30 秒后开始检查，之后每 15 分钟开始一次检查。尚有健康的分片工作时每 250 毫秒继续，错误仍按退避重试；每次操作保持有限的节点和时间预算。非会话任务在终态且最后活动时间超过所配置的任务 TTL（默认 48 小时）后符合清理条件；会话目录的 TTL 仍为 720 小时。清理单位是整个 attempt capsule 或 conversation capsule。未知或格式异常、非终态（包括 uploading）、仍在运行、由恢复流程持有、结果仍待确认，或结果状态查询失败的 capsule 都会保留。只有 package 缓存、没有可信终态证据的历史目录不会按目录年龄删除，恢复扫描也不会为它们凭空创建 assigned 状态。
 
-磁盘使用率达到 85% 或可用空间低于 10 GiB 时进入压力模式，恢复目标是使用率不高于 75% 且可用空间至少 15 GiB。压力只会调整有限量清理工作的调度和顺序；它不会放宽所配置的任务/会话 TTL（默认 72/720 小时），也不会让较新的 capsule 提前被删除。
+磁盘使用率达到 85% 或可用空间低于 10 GiB 时进入压力模式，恢复目标是使用率不高于 75% 且可用空间至少 15 GiB。压力模式还允许清理未满 TTL 的 completed attempt；符合条件的 attempt 按最后活动时间从旧到新清理。近期 failed/cancelled 和会话目录的 TTL 不变。每次实际删除后检查恢复目标，隔离重命名不算释放空间。删除前不为统计额外遍历目录；文件数和逻辑字节估算直接从删除操作取得。
+
+工作区 GC 另写独立审计日志 `~/.autowonder/gc/gc_exector_<executorId>.log`（文件名单词拼写如此），每文件上限 50 MiB、共保留 5 个文件，不改变下面托管日志的保留设置。
 
 相关环境变量及默认值如下：
 
 - `AUTOWONDER_WORKSPACE_GC_ENABLED=true`
 - `AUTOWONDER_WORKSPACE_GC_INITIAL_DELAY=30s`
-- `AUTOWONDER_WORKSPACE_GC_INTERVAL=1h`
-- `AUTOWONDER_WORKSPACE_GC_TASK_TTL=72h`
+- `AUTOWONDER_WORKSPACE_GC_INTERVAL=15m`
+- `AUTOWONDER_WORKSPACE_GC_TASK_TTL=48h`
 - `AUTOWONDER_WORKSPACE_GC_CONVERSATION_TTL=720h`
 - `AUTOWONDER_WORKSPACE_GC_HIGH_WATERMARK_PERCENT=85`
 - `AUTOWONDER_WORKSPACE_GC_LOW_WATERMARK_PERCENT=75`
@@ -173,7 +175,7 @@ mv "$queue/.assignment.tmp" "$queue/assignment.json"
 也可以直接提交到本地 API：
 
 ```bash
-npx -y autowonder@0.3.18 dispatch ./assignment.json
+npx -y autowonder@0.3.20 dispatch ./assignment.json
 ```
 
 ## 上传工单附件
@@ -181,7 +183,7 @@ npx -y autowonder@0.3.18 dispatch ./assignment.json
 把本地需求/设计文档直接上传到工单，避免在会话里传递大文件：
 
 ```bash
-npx -y autowonder@0.3.18 workitem upload --server-url <autowonder-server-url> --workitem-id <id> --file <filepath-1> --file <filepath-2> --json
+npx -y autowonder@0.3.20 workitem upload --server-url <autowonder-server-url> --workitem-id <id> --file <filepath-1> --file <filepath-2> --json
 ```
 
 上传令牌通过 MCP 工具 `autowonder.workitem_cli_upload_token` 签发，经 `--token` 或 `AUTOWONDER_UPLOAD_TOKEN` 环境变量传入。`--file` 可重复指定多个文件；`--json` 输出机器可读结果。失败时按错误类型返回不同退出码（401→3、403→4、404→5、409→6、413→7、其他 4xx→8、网络/重定向→9）。
@@ -191,7 +193,7 @@ npx -y autowonder@0.3.18 workitem upload --server-url <autowonder-server-url> --
 把工单上已有的需求/设计文档下载到本地目录，再用本地文件工具阅读，避免把大文件或二进制附件搬进会话上下文：
 
 ```bash
-npx -y autowonder@0.3.18 workitem download --server-url <autowonder-server-url> --workitem-id <id> --file <name-or-id> --output-dir <dir> --json
+npx -y autowonder@0.3.20 workitem download --server-url <autowonder-server-url> --workitem-id <id> --file <name-or-id> --output-dir <dir> --json
 ```
 
 下载令牌通过 MCP 工具 `autowonder.workitem_cli_download_token` 签发（与上传令牌相互独立），经 `--token` 或 `AUTOWONDER_DOWNLOAD_TOKEN` 环境变量传入。`--file` 可重复指定文档名或 artifact id，省略则下载该工单的全部附件；`--output-dir` 默认为当前目录；`--json` 输出机器可读结果，含每个文件的 `id`、`name`、`path`、`size`。退出码约定与 `workitem upload` 相同（401→3、403→4、404→5、409→6、413→7、其他 4xx→8、网络/重定向→9）。
@@ -201,7 +203,7 @@ npx -y autowonder@0.3.18 workitem download --server-url <autowonder-server-url>
 把需求/设计文档上传到 7x24 定时任务，用法与工单附件一致（同一套上传令牌与预检规则）：
 
 ```bash
-npx -y autowonder@0.3.18 scheduled-task upload --server-url <autowonder-server-url> --scheduled-task-id <id> --file <filepath-1> --file <filepath-2> --json
+npx -y autowonder@0.3.20 scheduled-task upload --server-url <autowonder-server-url> --scheduled-task-id <id> --file <filepath-1> --file <filepath-2> --json
 ```
 
 上传令牌同样通过 `autowonder.workitem_cli_upload_token` 签发（令牌为用户级，对当前可修改的任意定时任务生效），经 `--token` 或 `AUTOWONDER_UPLOAD_TOKEN` 传入；退出码约定与 `workitem upload` 相同。
@@ -209,16 +211,31 @@ npx -y autowonder@0.3.18 scheduled-task upload --server-url <autowonder-server-u
 ## 管理 daemon
 
 ```bash
-npx -y autowonder@0.3.18 status
-npx -y autowonder@0.3.18 stop
+npx -y autowonder@0.3.20 status
+npx -y autowonder@0.3.20 stop
 ```
 
 默认 API 是 `http://127.0.0.1:34989`，日志位于 `~/.autowonder/daemon.log`。npm 包不包含任何 agent、MCP 或服务端凭证。
 
+## 日志轮转与保留
+
+daemon 会话日志、`cli start` 重定向的 `~/.autowonder/daemon.log`、service 的 stdout/stderr 日志以及 token-proxy 诊断日志都会按大小与日期轮转，且每类日志只有一个轮转写入方。轮转采用改名后重开同一路径的方式，不会原地截断，也不会删除仍被其他进程打开的文件；改名失败时继续写当前文件，单次失败不会关闭日志。
+
+daemon 内置独立于工作区 GC 的保留清扫：默认每小时运行一次，删除修改时间超过 TTL（默认 72h）的已关闭日志。运行中写入方的活动文件始终排除，单个文件处理失败只记录并继续，符号链接与目录不会被跟随。任务 capsule 内的日志、token 计量数据、CA 证书与 `config.json` 不属于托管日志，不会被自动删除。
+
+可用环境变量调整：
+
+- `AUTOWONDER_LOG_MAX_BYTES=104857600`（100 MiB）：托管日志的轮转阈值
+- `AUTOWONDER_LOG_RETENTION=72h`：保留 TTL，显式设为 `0` 关闭清扫
+- `AUTOWONDER_LOG_SWEEP_INTERVAL=1h`：清扫周期
+- `AUTOWONDER_RAW_LOG_MAX_BYTES=104857600`（100 MiB）：`AUTOWONDER_DEBUG=1` 时 token-tap 原始响应抓包的单文件上限，达到上限后停止写入，但不影响隧道继续转发
+
+取值格式非法时回落到默认值。
+
 ## 调试
 
 ```bash
-npx -y autowonder@0.3.18 connect ... --debug
+npx -y autowonder@0.3.20 connect ... --debug
 ```
 
 `--debug` 会让 CLI 以 `AUTOWONDER_DEBUG=1` 启动 daemon，把完整的 daemon 与 agent 活动（runtime 事件流、provider 事件解码、重试退避与会话门等待、空闲时的阻塞点）同时输出到控制台和会话调试日志。调试日志不做脱敏，仅用于本机排障；不传 `--debug` 时该环境变量不会注入。

package/bin/cli.js

@@ -512,15 +512,14 @@ async function cmdConnect(args) {
       const proxyPort = parseInt(process.env.TOKEN_PROXY_PORT || "19876", 10);
       const caCertPath = path.join(AUTOWONDER_HOME, "token-tap", "ca-cert.pem");
       try {
-        const proxyLogPath = path.join(AUTOWONDER_HOME, "token-tap", "proxy-diag.log");
-        const proxyStdio = flags.debug
-          ? ["ignore", fs.openSync(proxyLogPath, "a"), fs.openSync(proxyLogPath, "a")]
-          : ["ignore", "ignore", "ignore"];
+        // The proxy owns its own rotating diagnostic log, so the launcher keeps
+        // all three streams on /dev/null and never holds a second unbounded
+        // handle on proxy-diag.log.
         const proxyEnv = { ...process.env };
         if (flags.debug) proxyEnv.AUTOWONDER_DEBUG = "1";
         tokenProxyChild = spawn(process.execPath, [tokenProxyScript, "start", "--port", String(proxyPort)], {
           detached: true,
-          stdio: proxyStdio,
+          stdio: ["ignore", "ignore", "ignore"],
           env: proxyEnv,
         });
         tokenProxyChild.unref();
@@ -537,6 +536,7 @@ async function cmdConnect(args) {
           // so the proxy can tag token records with the exact dispatch ID.
           env.AUTOWONDER_TOKEN_PROXY_PORT = String(proxyPort);
           env.AUTOWONDER_TOKEN_PROXY_CA = caCertPath;
+          env.AUTOWONDER_TOKEN_PROXY_DIAG_LOG = path.join(AUTOWONDER_HOME, "token-tap", "proxy-diag.log");
           env.NODE_EXTRA_CA_CERTS = caCertPath;
           log(`Token tracking enabled (proxy pid=${tokenProxyChild.pid}, port=${proxyPort})`);
         } else {
@@ -604,6 +604,9 @@ async function cmdStart(args) {
       AUTOWONDER_LOCAL_API_ADDR: addr,
       AUTOWONDER_MAX_CONCURRENT_DISPATCHES: maxTasks,
       AUTOWONDER_DAEMON_INSTANCE_ID: instanceId,
+      // The descriptor keeps the file open before the daemon can log anything;
+      // naming the path lets the daemon reopen it and own rotation from here on.
+      AUTOWONDER_DAEMON_LOG: LOG_PATH,
     },
   });
   fs.closeSync(logFd);

package/bin/token-proxy.js

@@ -31,14 +31,23 @@ const os = require('os');
 
 const DEFAULT_PORT = 19876;
 const MAX_LOG_SIZE = 10 * 1024 * 1024; // 10MB, then rotate
+const DEFAULT_LOG_MAX_BYTES = 100 * 1024 * 1024; // 100MiB, then rotate
+const LOG_MAX_BYTES = intEnv('AUTOWONDER_LOG_MAX_BYTES', DEFAULT_LOG_MAX_BYTES);
+const RAW_LOG_MAX_BYTES = intEnv('AUTOWONDER_RAW_LOG_MAX_BYTES', DEFAULT_LOG_MAX_BYTES);
 const DATA_DIR = path.join(os.homedir(), '.autowonder', 'token-tap');
 const CA_KEY_PATH = path.join(DATA_DIR, 'ca-key.pem');
 const CA_CERT_PATH = path.join(DATA_DIR, 'ca-cert.pem');
 const USAGE_LOG_PATH = path.join(DATA_DIR, 'token-usage.jsonl');
 const USAGE_LOG_OLD = path.join(DATA_DIR, 'token-usage.old.jsonl');
 const RAW_LOG_DIR = path.join(DATA_DIR, 'raw');
+const DIAG_LOG_PATH = path.join(DATA_DIR, 'proxy-diag.log');
 const DEBUG = process.env.AUTOWONDER_DEBUG === '1';
 
+function intEnv(name, fallback) {
+  const parsed = parseInt(process.env[name], 10);
+  return Number.isInteger(parsed) && parsed > 0 ? parsed : fallback;
+}
+
 // Qoder/QoderCN LLM API hosts to sniff (others are tunneled without inspection).
 // Only LLM endpoints are listed — non-LLM APIs (openapi.*) are excluded to avoid
 // unnecessary MITM overhead on high-frequency config/auth calls.
@@ -50,6 +59,93 @@ const SNIFF_HOSTS = new Set([
   'api3.qodercn.com', 'api2.qodercn.com', 'api.qodercn.com',
 ]);
 
+// ─── Managed log rotation (proxy-diag.log) ───────────────────────────────────
+
+// Rename-then-reopen: the size trigger closes the live file, archives it under
+// a name carrying the timestamp and pid, and reopens a fresh file at the same
+// path. A live descriptor is never truncated or unlinked, so no diagnostic
+// line is lost mid-write.
+function createRotatingWriter(filePath, { maxBytes = DEFAULT_LOG_MAX_BYTES } = {}) {
+  fs.mkdirSync(path.dirname(filePath), { recursive: true });
+  let fd = fs.openSync(filePath, 'a', 0o600);
+  let size = fs.fstatSync(fd).size;
+
+  const pad = (n) => String(n).padStart(2, '0');
+  const archivePath = () => {
+    const now = new Date();
+    const stamp = `${now.getFullYear()}${pad(now.getMonth() + 1)}${pad(now.getDate())}`
+      + `_${pad(now.getHours())}${pad(now.getMinutes())}${pad(now.getSeconds())}`;
+    const ext = path.extname(filePath);
+    const base = `${filePath.slice(0, filePath.length - ext.length)}.${stamp}_${process.pid}`;
+    for (let n = 0; n < 10000; n++) {
+      const candidate = n === 0 ? `${base}${ext}` : `${base}_${n}${ext}`;
+      if (!fs.existsSync(candidate)) return candidate;
+    }
+    return `${base}_${Date.now()}${ext}`;
+  };
+
+  return {
+    filePath,
+    get size() { return size; },
+    write(chunk) {
+      const data = Buffer.from(String(chunk), 'utf8');
+      try {
+        if (size > 0 && size + data.length > maxBytes) {
+          fs.closeSync(fd);
+          try {
+            fs.renameSync(filePath, archivePath());
+          } catch (_) {
+            // Archive failure keeps the live file in place; the incoming line
+            // still has to land somewhere.
+          }
+          fd = fs.openSync(filePath, 'a', 0o600);
+          size = fs.fstatSync(fd).size;
+        }
+        fs.writeSync(fd, data);
+        size += data.length;
+        return true;
+      } catch (_) {
+        return false;
+      }
+    },
+  };
+}
+
+// rawLogFileName keeps the pid in the name so two proxies writing into one raw
+// directory can never collide on the same file.
+function rawLogFileName(seq, hostname, now = new Date(), pid = process.pid) {
+  return `${now.toISOString().slice(0, 10)}_${pid}_${seq}_${hostname}.raw`;
+}
+
+// rawSliceFor returns the fragment of chunk still allowed under the per-file
+// cap, or null once the cap is reached. Overflow is dropped here only; the
+// tunnel itself keeps forwarding either way.
+function rawSliceFor(chunk, written, cap = RAW_LOG_MAX_BYTES) {
+  if (written >= cap) return null;
+  const room = cap - written;
+  return chunk.length <= room ? chunk : chunk.subarray(0, room);
+}
+
+// installDiagLog routes the proxy's own console output into a rotating
+// proxy-diag.log when AUTOWONDER_DEBUG is set. A TTY still echoes, so an
+// interactive `token-proxy.js start` stays readable.
+function installDiagLog(logPath = DIAG_LOG_PATH) {
+  if (!DEBUG) return null;
+  const { format } = require('util');
+  const writer = createRotatingWriter(logPath, { maxBytes: LOG_MAX_BYTES });
+  const originalStdout = console.log.bind(console);
+  const originalStderr = console.error.bind(console);
+  console.log = (...args) => {
+    writer.write(format(...args) + '\n');
+    if (process.stdout.isTTY) originalStdout(...args);
+  };
+  console.error = (...args) => {
+    writer.write(format(...args) + '\n');
+    if (process.stderr.isTTY) originalStderr(...args);
+  };
+  return writer;
+}
+
 // ─── CA Certificate (auto-generated, only for this proxy) ────────────────────
 
 function ensureCA() {
@@ -425,13 +521,15 @@ function createProxyServer({ ca = ensureCA(), hostCertificate = getHostCert,
     let usageCount = 0;
     let totalBytes = 0;
     let rawFd = null;
+    let rawWritten = 0;
 
-    // Raw response logging: only in debug mode to avoid disk bloat
+    // Raw response logging: only in debug mode to avoid disk bloat, and capped
+    // per file so one long-lived tunnel cannot fill the disk.
     if (DEBUG) {
       try {
         fs.mkdirSync(RAW_LOG_DIR, { recursive: true });
-        const rawFile = path.join(RAW_LOG_DIR, `${new Date().toISOString().slice(0,10)}_${seq}_${hostname}.raw`);
-        rawFd = fs.openSync(rawFile, 'w');
+        const rawFile = path.join(RAW_LOG_DIR, rawLogFileName(seq, hostname));
+        rawFd = fs.openSync(rawFile, 'w', 0o600);
       } catch (_) {}
     }
 
@@ -465,7 +563,15 @@ function createProxyServer({ ca = ensureCA(), hostCertificate = getHostCert,
 
     tlsUpstream.on('data', (chunk) => {
       totalBytes += chunk.length;
-      if (rawFd !== null) { try { fs.writeSync(rawFd, chunk); } catch (_) {} }
+      if (rawFd !== null) {
+        const slice = rawSliceFor(chunk, rawWritten);
+        if (slice !== null) {
+          try {
+            fs.writeSync(rawFd, slice);
+            rawWritten += slice.length;
+          } catch (_) {}
+        }
+      }
       try {
         const text = lineRemainder + chunk.toString('utf8');
         const lastNL = text.lastIndexOf('\n');
@@ -508,6 +614,7 @@ function createProxyServer({ ca = ensureCA(), hostCertificate = getHostCert,
 }
 
 function startProxy(port) {
+  const diagWriter = installDiagLog();
   const server = createProxyServer();
   server.on('error', (err) => {
     console.error(`[token-proxy] server error: ${err.message}`);
@@ -519,6 +626,7 @@ function startProxy(port) {
     console.log(`[token-proxy] CA cert: ${CA_CERT_PATH}`);
     console.log(`[token-proxy] Usage log: ${USAGE_LOG_PATH}`);
     console.log(`[token-proxy] Sniffing hosts: ${[...SNIFF_HOSTS].join(', ')}`);
+    if (diagWriter) console.log(`[token-proxy] Diag log: ${diagWriter.filePath}`);
   });
 
   // Graceful shutdown
@@ -616,9 +724,10 @@ if (require.main === module) {
 
   Files:
     CA cert:    ${CA_CERT_PATH}
-    Usage log:  ${USAGE_LOG_PATH}`);
+    Usage log:  ${USAGE_LOG_PATH}
+    Diag log:   ${DIAG_LOG_PATH} (written when AUTOWONDER_DEBUG=1)`);
   }
 }
 
 module.exports = { extractUsageFromResponse, extractDispatchInfo, buildUsageRecord,
-  guardConnection, createProxyServer };
+  guardConnection, createProxyServer, createRotatingWriter, rawLogFileName, rawSliceFor, installDiagLog };

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "autowonder",
-  "version": "0.3.18",
+  "version": "0.3.20",
   "description": "AutoWonder local runtime — execute AI agent dispatch packages on your machine",
   "bin": {
     "autowonder": "bin/cli.js"