c0de-agent 1.8.0 → 1.10.0

package/dist/llm/transport.js

@@ -33,7 +33,11 @@ const sseFraming = async function* (stream) {
         }
     }
     finally {
-        reader.releaseLock();
+        // Cancel the underlying transport and release the exclusive lock on every
+        // exit path (normal completion, thrown error, or early consumer break).
+        // cancel() rejects on an already-closed/errored stream — swallow that so it
+        // never masks the original error propagating through the generator.
+        await reader.cancel().catch(() => { });
     }
 };
 /** Join all `data:` lines of an SSE block into one string. */

package/dist/project/resolve.js

@@ -59,14 +59,14 @@ export function getGitStatus(cwd) {
     let i = 0;
     while (i < tokens.length) {
         const token = tokens[i];
-        if (token === '')
+        if (!token)
             break; // 末尾空 token
         const xy = token.slice(0, 2);
         const code = classifyStatus(xy);
         const isRename = xy[0] === 'R' || xy[0] === 'C';
         // 重命名/复制："XY oldpath\0newpath"，状态挂在 newpath
         if (isRename && i + 1 < tokens.length) {
-            const newPath = tokens[i + 1];
+            const newPath = tokens[i + 1] ?? '';
             map[normalizePath(newPath)] = code;
             i += 2;
         }

package/dist/server/agent-manager.d.ts

@@ -14,9 +14,24 @@ type ActiveRun = {
 };
 /** Agent run 跟踪器 + 控制操作。 */
 type AgentManager = {
+    /**
+     * 同步原子占位（P0-4 POST /api/chat 并发守卫）：sessionId 无条目时立即占位并返回
+     * true；已有条目（占位或活跃 run）时返回 false。has+set 一气呵成、全程无 await，
+     * 杜绝 check-then-act 竞态——此前守卫用 get 检查、真正注册在 SSE 回调内，中间隔
+     * 多个 await，双发 POST 均通过守卫后后注册覆盖前者（runs.set），且先结束者在
+     * finally unregister 时误删仍在跑的 run，abort/steer/pause 全部失效。
+     * 占位由 register 填充、unregister 释放，二者均幂等。
+     */
+    tryAcquire(sessionId: string): boolean;
+    /** 注册活跃 run；若该 sessionId 已被 tryAcquire 占位则填充该占位。 */
     register(run: ActiveRun): void;
+    /** 取活跃 run；占位期间（register 前）返回 undefined，视为无活跃 run。 */
     get(sessionId: string): ActiveRun | undefined;
+    /** 该 sessionId 是否处于占位状态（tryAcquire 后、register 前）。 */
+    isStarting(sessionId: string): boolean;
+    /** 释放条目（占位或活跃 run）；幂等。 */
     unregister(sessionId: string): void;
+    /** 活跃 run 数（不含占位）。 */
     size(): number;
     abort(sessionId: string): boolean;
     pause(sessionId: string): boolean;

package/dist/server/agent-manager.js

@@ -1,59 +1,83 @@
 // src/server/agent-manager.ts
 import { abortAgent, injectSteering, pauseAgent, resumeAgent } from '../core/index.js';
+/** 取 slot 内的活跃 run；占位（'starting'）或不存在返回 undefined。 */
+function slotRun(slot) {
+    return slot?.kind === 'run' ? slot.run : undefined;
+}
 function createAgentManager() {
     const runs = new Map();
     return {
+        tryAcquire(sessionId) {
+            if (runs.has(sessionId))
+                return false;
+            runs.set(sessionId, { kind: 'starting' });
+            return true;
+        },
         register(run) {
-            runs.set(run.sessionId, run);
+            runs.set(run.sessionId, { kind: 'run', run });
         },
         get(sessionId) {
-            return runs.get(sessionId);
+            return slotRun(runs.get(sessionId));
+        },
+        isStarting(sessionId) {
+            return runs.get(sessionId)?.kind === 'starting';
         },
         unregister(sessionId) {
             runs.delete(sessionId);
         },
         size() {
-            return runs.size;
+            let n = 0;
+            for (const slot of runs.values()) {
+                if (slot.kind === 'run')
+                    n += 1;
+            }
+            return n;
         },
         abort(sessionId) {
-            const run = runs.get(sessionId);
+            const run = slotRun(runs.get(sessionId));
             if (!run)
                 return false;
             abortAgent(run.state);
             return true;
         },
         pause(sessionId) {
-            const run = runs.get(sessionId);
+            const run = slotRun(runs.get(sessionId));
             if (!run)
                 return false;
             pauseAgent(run.state);
             return true;
         },
         resume(sessionId) {
-            const run = runs.get(sessionId);
+            const run = slotRun(runs.get(sessionId));
             if (!run)
                 return false;
             resumeAgent(run.state);
             return true;
         },
         steer(sessionId, message) {
-            const run = runs.get(sessionId);
+            const run = slotRun(runs.get(sessionId));
             if (!run)
                 return false;
             injectSteering(run.state, message);
             return true;
         },
         children(parentSessionId) {
-            return Array.from(runs.values()).filter((r) => r.parentSessionId === parentSessionId);
+            return Array.from(runs.values())
+                .map((slot) => slotRun(slot))
+                .filter((r) => r?.parentSessionId === parentSessionId);
         },
         backgroundJobs() {
-            return Array.from(runs.values()).filter((r) => r.jobId !== undefined);
+            return Array.from(runs.values())
+                .map((slot) => slotRun(slot))
+                .filter((r) => r?.jobId !== undefined);
         },
         dispose() {
             // dev 热重载重建前调用：中止所有活跃 run（loop 在 turn/流边界检测 signal
             // → unwind → 调用方 finally 持久化 + unregister），然后清空 Map。
-            for (const run of runs.values()) {
-                abortAgent(run.state);
+            for (const slot of runs.values()) {
+                const run = slotRun(slot);
+                if (run)
+                    abortAgent(run.state);
             }
             runs.clear();
         },

package/dist/server/app.js

@@ -32,7 +32,8 @@ function createApp(ctx) {
     // spec §24.2：仅允许本地/可信 origin 跨域读，拒绝外部网页。
     app.use('*', createCORSMiddleware({ allowedOrigins: ctx.config.security.allowedOrigins }));
     // spec §24.2：Bearer token 认证（配置了 token 时生效；/api/health 探活放行）。
-    app.use('/api/*', createAuthMiddleware(ctx.config.security.authEnabled ? ctx.config.security.token : undefined));
+    // token 来源：用户配置 security.token，或启动时自动生成（ctx.authToken）。
+    app.use('/api/*', createAuthMiddleware(ctx.authToken));
     // 路由
     app.route('/api/health', createHealthRoute());
     app.route('/api/agents', createAgentRoute(ctx));

package/dist/server/context.js

@@ -35,6 +35,8 @@ function createServerContext(opts) {
         agentManager: createAgentManager(),
         permissionStore: createPermissionStore(),
         permissionMode: config.permission.defaultMode,
+        // 测试工厂不解析/生成 token（不触碰用户全局数据目录）。
+        authToken: undefined,
         agentRegistry,
         // 工作流注册表：惰性初始化，只含内置（测试工厂；生产路径走 buildServerContext）。
         get workflowRegistry() {

package/dist/server/middleware/cors.d.ts

@@ -1,10 +1,19 @@
 import type { MiddlewareHandler } from 'hono';
 /**
  * 判断 origin 是否为本地/可信来源（spec §24.2「CORS 限制本地 origin」）。
- * 允许：本机回环任意端口、file://（PWA 安装后）、浏览器扩展、'null'
- * （file 协议/隐私沙箱发出的 Origin 头）。
+ *
+ * 仅允许本机回环任意端口 + 显式配置的 allowedOrigins。
+ * 显式不放行 'null'（sandboxed iframe）、file:// 与浏览器扩展前缀——
+ * 任意网页/扩展均可伪造这些来源，等价于完全关闭 CORS 防护。
+ * 认证未启用时（authEnabled=false 的显式选择），本函数仍是唯一的跨域读取防线。
  */
 export declare function isLocalOrigin(origin: string): boolean;
+/**
+ * Origin 是否被允许（本地回环 + 配置的额外 origin）。
+ * 供 CORS 中间件与 WebSocket 升级路径共用——浏览器对 WS 不实施 CORS，
+ * 但会携带 Origin 头，必须在服务端显式校验。
+ */
+export declare function isAllowedOrigin(origin: string, allowedOrigins?: string[]): boolean;
 export type CORSOptions = {
     /** 额外允许的 origin（如远程访问场景配置的域名）。 */
     allowedOrigins?: string[];

package/dist/server/middleware/cors.js

@@ -2,23 +2,26 @@
 const LOCAL_ORIGIN = /^https?:\/\/(localhost|127\.0\.0\.1|\[::1\])(:\d+)?$/;
 /**
  * 判断 origin 是否为本地/可信来源（spec §24.2「CORS 限制本地 origin」）。
- * 允许：本机回环任意端口、file://（PWA 安装后）、浏览器扩展、'null'
- * （file 协议/隐私沙箱发出的 Origin 头）。
+ *
+ * 仅允许本机回环任意端口 + 显式配置的 allowedOrigins。
+ * 显式不放行 'null'（sandboxed iframe）、file:// 与浏览器扩展前缀——
+ * 任意网页/扩展均可伪造这些来源，等价于完全关闭 CORS 防护。
+ * 认证未启用时（authEnabled=false 的显式选择），本函数仍是唯一的跨域读取防线。
  */
 export function isLocalOrigin(origin) {
     if (!origin)
         return false;
-    if (LOCAL_ORIGIN.test(origin))
-        return true;
-    if (origin === 'null')
-        return true;
-    if (origin.startsWith('file://'))
-        return true;
-    if (origin.startsWith('chrome-extension://'))
-        return true;
-    if (origin.startsWith('moz-extension://'))
+    return LOCAL_ORIGIN.test(origin);
+}
+/**
+ * Origin 是否被允许（本地回环 + 配置的额外 origin）。
+ * 供 CORS 中间件与 WebSocket 升级路径共用——浏览器对 WS 不实施 CORS，
+ * 但会携带 Origin 头，必须在服务端显式校验。
+ */
+export function isAllowedOrigin(origin, allowedOrigins) {
+    if (isLocalOrigin(origin))
         return true;
-    return false;
+    return allowedOrigins?.includes(origin) ?? false;
 }
 /**
  * CORS 中间件：仅对本地/可信 origin 回显 Access-Control-Allow-Origin，