deskbuddy 0.0.1 → 0.2.0-beta.0

package/dist/gate.cjs

@@ -0,0 +1,249 @@
+#!/usr/bin/env node
+'use strict'
+// 远程执行的「授权关卡」。daemon 起智能体时把它挂成 PreToolUse hook：
+//   node gate.cjs --run <runId>
+// 智能体每次要调工具都会先跑一次它。它只做一件事：把 hook 输入转给 daemon，
+// 把 daemon 的决定翻译成 hook 输出。分类、等待、和设备打交道全在 daemon 里。
+//
+// 🔴 铁律：**任何失败都 exit 2**。
+//    实测（2026-09-23，Qoder CN 1.1.61）：hook 崩溃、HTTP hook 连不上，智能体【照常执行】。
+//    Qoder 必须开 bypass_permissions 才能用，这时本脚本就是唯一的关卡 ——
+//    一个没接住的异常、一次 exit 0 的兜底，就等于把设备授权整个绕过去。
+//    exit 2 是四家公认的「阻止这次工具调用」，实测能拦住。
+//
+// 🔴 与 hook.cjs 相反，这里【不设超时】：用户可能过很久才在设备上按下允许，
+//    等待就是它的本职。超时由智能体那边的 hook timeout 兜（daemon 配 7 天）。
+//
+// 🔴 `--window` 模式（S10）的兜底方向**相反**：任何失败都 exit 0 且不输出。
+//    那是用户自己窗口里的 PermissionRequest hook，设备只是多一个答复的地方；不表态 = 授权框照常由人处理。
+//    PermissionRequest 下 exit 2 = 拒绝 —— 沿用上面的铁律，daemon 一挂，用户窗口里每个授权都会被自动拒掉。
+//
+// 只 require Node 内置模块，理由同 hook.cjs 顶部 ①。
+const fs = require('node:fs')
+const os = require('node:os')
+const path = require('node:path')
+const http = require('node:http')
+const { execFileSync } = require('node:child_process')
+
+const DECISIONS = new Set(['allow', 'deny', 'defer'])
+const WINDOW = process.argv.includes('--window')
+
+function fail(why) {
+  // 窗口模式：不表态，见顶部
+  if (WINDOW) process.exit(0)
+  try {
+    process.stderr.write(`DeskBuddy 授权关卡：${why}，已阻止这次操作\n`)
+  } catch (_) {
+    /* stderr 都写不了也必须继续走到 exit 2 */
+  }
+  process.exit(2)
+}
+
+function deskbuddyHome() {
+  return process.env.DESKBUDDY_HOME || path.join(os.homedir(), '.deskbuddy')
+}
+
+function argRun(argv) {
+  const i = argv.indexOf('--run')
+  const v = i >= 0 ? argv[i + 1] : ''
+  return typeof v === 'string' && /^[0-9a-zA-Z_-]{1,64}$/.test(v) ? v : ''
+}
+
+function readStdin() {
+  return new Promise((resolve, reject) => {
+    let buf = ''
+    process.stdin.setEncoding('utf8')
+    process.stdin.on('data', (c) => (buf += c))
+    process.stdin.on('end', () => resolve(buf))
+    process.stdin.on('error', reject)
+  })
+}
+
+function post(port, token, body) {
+  return new Promise((resolve, reject) => {
+    const req = http.request(
+      {
+        host: '127.0.0.1',
+        port,
+        method: 'POST',
+        path: '/gate',
+        headers: {
+          'content-type': 'application/json',
+          'content-length': Buffer.byteLength(body),
+          'x-gate-token': token,
+        },
+      },
+      (res) => {
+        let data = ''
+        res.setEncoding('utf8')
+        res.on('data', (c) => (data += c))
+        res.on('end', () => resolve({ status: res.statusCode, data }))
+        res.on('error', reject)
+      }
+    )
+    req.on('error', reject)
+    req.end(body)
+  })
+}
+
+/**
+ * 这个 hook 是不是由【交互窗口】里的 Claude Code 触发的。
+ * 🔴 实测（2026-09-24，2.1.259）：`claude -p` 碰到要授权的工具**也会**触发 PermissionRequest，
+ * 而 hook 输入里没有区分字段。不拦的话，用户脚本 / IDE 插件 / SDK 里的 claude 会被推到设备上一直挂着。
+ * 做法：沿父进程找到 claude，启动参数里有 -p / --print / stream-json 的一律当非交互。找不到也当非交互
+ */
+/** `--tool <name>`（二期 P8：窗口模式不只 Claude Code）。缺省 claude_code，兼容已装出去的 hook 命令 */
+function argTool(argv) {
+  const i = argv.indexOf('--tool')
+  const v = i >= 0 ? argv[i + 1] : ''
+  return typeof v === 'string' && /^[a-z_]{1,32}$/.test(v) ? v : 'claude_code'
+}
+
+/**
+ * 按智能体判断是不是交互窗口。
+ * - Qoder CN（2026-09-27 实测）：桌面端弹授权框时 hook 的父进程就是 `Qoder CN.app` 主进程；
+ *   daemon 起的远程任务走 worker（node），父进程链上没有它
+ * - Claude Code：见 isInteractiveClaude
+ */
+function isInteractiveAgent(tool) {
+  if (tool === 'qoder') return hasAncestor((comm) => comm.includes('/Qoder CN.app/'))
+  if (tool === 'claude_code') return isInteractiveClaude()
+  // opencode 的窗口确认由插件发起，插件已排除 `opencode run`（hook/opencode.mjs isHeadless）
+  if (tool === 'opencode') return true
+  return false
+}
+
+function hasAncestor(match) {
+  let pid = process.ppid
+  for (let i = 0; i < 8 && pid > 1; i++) {
+    let line
+    try {
+      line = execFileSync('ps', ['-o', 'ppid=,comm=', '-p', String(pid)], { encoding: 'utf8', stdio: ['ignore', 'pipe', 'ignore'] }).trim()
+    } catch (_) {
+      return false
+    }
+    const m = line.match(/^(\d+)\s+(.*)$/)
+    if (!m) return false
+    if (match(m[2])) return true
+    pid = Number(m[1])
+  }
+  return false
+}
+
+function isInteractiveClaude() {
+  let pid = process.ppid
+  for (let i = 0; i < 8 && pid > 1; i++) {
+    let line
+    try {
+      line = execFileSync('ps', ['-o', 'ppid=,comm=', '-p', String(pid)], { encoding: 'utf8', stdio: ['ignore', 'pipe', 'ignore'] }).trim()
+    } catch (_) {
+      return false
+    }
+    const m = line.match(/^(\d+)\s+(.*)$/)
+    if (!m) return false
+    if (path.basename(m[2]) === 'claude') {
+      let args = ''
+      try {
+        args = execFileSync('ps', ['-ww', '-o', 'args=', '-p', String(pid)], { encoding: 'utf8', stdio: ['ignore', 'pipe', 'ignore'] })
+      } catch (_) {
+        return false
+      }
+      const tokens = args.trim().split(/\s+/)
+      // 短参数可能合写（`-cp`）；args 里 argv[0] 之后才算参数
+      return !tokens.slice(1).some(
+        (t) => t === '--print' || /^-[a-zA-Z]*p[a-zA-Z]*$/.test(t) || t === 'stream-json' || t.startsWith('--output-format=stream')
+      )
+    }
+    pid = Number(m[1])
+  }
+  return false
+}
+
+/** 窗口模式：daemon 回 allow / deny 才表态，其余一律不输出、exit 0 */
+async function windowMain() {
+  // DESKBUDDY_GATE_ASSUME_INTERACTIVE 只给测试用：1 当交互、0 当非交互，其余真去查进程
+  const tool = argTool(process.argv)
+  const forced = process.env.DESKBUDDY_GATE_ASSUME_INTERACTIVE
+  if (forced === '0' || (forced !== '1' && !isInteractiveAgent(tool))) return fail()
+  const conf = JSON.parse(fs.readFileSync(path.join(deskbuddyHome(), 'gate.json'), 'utf8'))
+  if (!conf || !Number.isInteger(conf.port) || typeof conf.token !== 'string' || !conf.token) return fail()
+  const hook = JSON.parse(await readStdin())
+  const res = await post(conf.port, conf.token, JSON.stringify({ mode: 'window', tool, hook }))
+  if (res.status !== 200) return fail()
+  const out = JSON.parse(res.data)
+  if (!out || (out.decision !== 'allow' && out.decision !== 'deny')) return fail()
+  const decision =
+    out.decision === 'allow'
+      ? Array.isArray(out.updatedPermissions) && out.updatedPermissions.length > 0
+        ? { behavior: 'allow', updatedPermissions: out.updatedPermissions }
+        : { behavior: 'allow' }
+      : { behavior: 'deny', message: (typeof out.reason === 'string' && out.reason) || '用户在设备上拒绝了这一步' }
+  const body = { hookSpecificOutput: { hookEventName: 'PermissionRequest', decision } }
+  // 窗口里告诉人是在哪台设备上处理的
+  if (typeof out.notice === 'string' && out.notice) body.systemMessage = out.notice.slice(0, 300)
+  process.stdout.write(JSON.stringify(body), () => process.exit(0))
+}
+
+async function main() {
+  if (WINDOW) return windowMain()
+  const runId = argRun(process.argv)
+  if (!runId) return fail('缺少 --run')
+
+  let conf
+  try {
+    conf = JSON.parse(fs.readFileSync(path.join(deskbuddyHome(), 'gate.json'), 'utf8'))
+  } catch (_) {
+    return fail('找不到守护进程（gate.json 读不到）')
+  }
+  if (!conf || !Number.isInteger(conf.port) || typeof conf.token !== 'string' || !conf.token) {
+    return fail('gate.json 内容不对')
+  }
+
+  let hook
+  try {
+    hook = JSON.parse(await readStdin())
+  } catch (_) {
+    return fail('读不懂 hook 输入')
+  }
+
+  let res
+  try {
+    res = await post(conf.port, conf.token, JSON.stringify({ runId, hook }))
+  } catch (e) {
+    return fail(`连不上守护进程（${(e && e.code) || 'error'}）`)
+  }
+  if (res.status !== 200) return fail(`守护进程返回 ${res.status}`)
+
+  let out
+  try {
+    out = JSON.parse(res.data)
+  } catch (_) {
+    return fail('守护进程的回复读不懂')
+  }
+  if (!out || !DECISIONS.has(out.decision)) return fail('守护进程给了不认识的决定')
+
+  const reason = typeof out.reason === 'string' ? out.reason : ''
+
+  // 🔴 拒绝一律走 stderr + exit 2，不走 JSON（评审 S5）：exit 2 是四家公认的"拦下"，
+  //    而 JSON 那条路要是 stdout 没写完进程就退了，智能体拿到的是"exit 0 + 没有决定"，
+  //    Qoder 在 bypass 下会当成放行。拒绝的方向必须不依赖任何一次写入成功
+  if (out.decision === 'deny') {
+    process.stderr.write(`${reason || '用户在设备上拒绝了这一步'}\n`, () => process.exit(2))
+    return
+  }
+
+  const payload = JSON.stringify({
+    hookSpecificOutput: {
+      hookEventName: 'PreToolUse',
+      permissionDecision: out.decision,
+      permissionDecisionReason: reason,
+    },
+  })
+  // 等写完再退：管道写入是异步的，写一半就 exit 的话 allow / defer 会丢
+  process.stdout.write(payload, (err) => (err ? fail('写 hook 输出失败') : process.exit(0)))
+}
+
+// 兜住一切没想到的异常 —— 见顶部铁律
+process.on('uncaughtException', (e) => fail(`内部错误 ${(e && e.message) || e}`))
+process.on('unhandledRejection', (e) => fail(`内部错误 ${(e && e.message) || e}`))
+main().catch((e) => fail(`内部错误 ${(e && e.message) || e}`))