dsh-desktop-kit 1.0.0 → 2.0.0

package/plugins/dsh-token-lab/lib/index.js

@@ -0,0 +1,275 @@
+/**
+ * dsh-token-lab — Host half.
+ *
+ * Reads the exact token measurement of the live session from `ctx.tokenMeter`
+ * (the same estimator the request path uses), groups the surface nodes by
+ * message kind and returns a compact report for the sidebar panel. Also prices
+ * the skill library: what the whole `~/.dsh/skills` tree costs if loaded, and
+ * what the compact cores cost.
+ */
+import fs from "node:fs";
+import os from "node:os";
+import path from "node:path";
+
+export const inject = ["connection"];
+
+const ROUTE_BASE = "/api/dsh-token-lab";
+const NAMESPACE = "dsh-token-lab";
+const DEFAULT_CONTEXT_WINDOW = 128_000;
+
+const GROUPS = {
+  "system/message": { id: "system", label: "Системный промпт", color: "#2F4858" },
+  "developer/message": { id: "developer", label: "Память и правила", color: "#5B4B8A" },
+  "user/message": { id: "user", label: "Ваши сообщения", color: "#0E6E5E" },
+  "assistant/message": { id: "assistant", label: "Ответы модели", color: "#2C5F8A" },
+  "tool/result": { id: "tool", label: "Результаты инструментов", color: "#B36A43" },
+  other: { id: "other", label: "Прочее", color: "#7A7F87" },
+};
+
+function dshHome() {
+  return process.env.DSH_HOME ?? path.join(os.homedir(), ".dsh");
+}
+
+function approxTokens(bytes) {
+  return Math.max(40, Math.round(bytes / 3.2));
+}
+
+function humanName(skill) {
+  return skill.replaceAll("-", " ");
+}
+
+function scanSkills() {
+  const directory = path.join(dshHome(), "skills");
+  const skills = [];
+  let entries = [];
+  try {
+    entries = fs.readdirSync(directory, { withFileTypes: true });
+  } catch {
+    return { skills, totalBytes: 0, totalTokens: 0 };
+  }
+  for (const entry of entries) {
+    if (!entry.isDirectory()) continue;
+    const file = path.join(directory, entry.name, "SKILL.md");
+    try {
+      const stat = fs.statSync(file);
+      const tokens = approxTokens(stat.size);
+      skills.push({ name: entry.name, title: humanName(entry.name), bytes: stat.size, tokens });
+    } catch {
+      /* not a skill folder */
+    }
+  }
+  skills.sort((left, right) => right.tokens - left.tokens);
+  return {
+    skills,
+    totalBytes: skills.reduce((sum, skill) => sum + skill.bytes, 0),
+    totalTokens: skills.reduce((sum, skill) => sum + skill.tokens, 0),
+  };
+}
+
+function readAutopilot() {
+  try {
+    const parsed = JSON.parse(fs.readFileSync(path.join(dshHome(), "dsh-autopilot.json"), "utf8"));
+    return { mode: parsed?.mode === "off" ? "off" : "on", maxSkills: Number(parsed?.maxSkills) || 3 };
+  } catch {
+    return { mode: "on", maxSkills: 3 };
+  }
+}
+
+function messageText(message) {
+  if (!message) return "";
+  const content = message.content;
+  if (typeof content === "string") return content;
+  if (!Array.isArray(content)) return "";
+  const parts = [];
+  for (const block of content) {
+    if (block && block.type === "text" && typeof block.text === "string" && block.text.trim().length > 0) {
+      parts.push(block.text.trim());
+    }
+  }
+  return parts.join(" ").replace(/\s+/gu, " ").trim();
+}
+
+function pickSession(sessions, sessionId) {
+  if (!sessions) return undefined;
+  if (typeof sessionId === "string" && sessionId.length > 0) {
+    const direct = sessions.get(sessionId);
+    if (direct) return direct;
+  }
+  const list = sessions.list();
+  return list[list.length - 1];
+}
+
+function toolNameMap(session) {
+  const names = new Map();
+  try {
+    for (const event of session.snapshotEvents()) {
+      if (event.type === "tool/call" && event.data?.callId && event.data?.name) {
+        names.set(String(event.data.callId), { name: String(event.data.name), hint: argumentHint(event.data.arguments) });
+      }
+    }
+  } catch {
+    /* cold or truncated log: labels stay generic */
+  }
+  return names;
+}
+
+function argumentHint(raw) {
+  let args = raw;
+  if (typeof raw === "string") {
+    try {
+      args = JSON.parse(raw);
+    } catch {
+      return "";
+    }
+  }
+  if (!args || typeof args !== "object") return "";
+  for (const key of ["service", "method", "path", "url", "query", "action", "name", "command", "file_path", "pattern"]) {
+    const value = args[key];
+    if (typeof value === "string" && value.trim().length > 0) return value.trim().slice(0, 32);
+  }
+  return "";
+}
+
+function toolLabel(names, message) {
+  const callId = message?.source?.callId ?? message?.toolCallId;
+  const entry = callId ? names.get(String(callId)) : undefined;
+  if (!entry) return "Результат инструмента";
+  return entry.hint ? `Результат · ${entry.name} · ${entry.hint}` : `Результат · ${entry.name}`;
+}
+
+function buildReport(ctx, sessionId) {
+  const sessions = ctx.get("sessions");
+  const meter = ctx.get("tokenMeter");
+  const session = pickSession(sessions, sessionId);
+  if (!session) {
+    const error = new Error("нет активной сессии");
+    error.code = "tokenlab/no-session";
+    throw error;
+  }
+  if (!meter) {
+    const error = new Error("сервис tokenMeter недоступен в этой сборке DSH");
+    error.code = "tokenlab/no-meter";
+    throw error;
+  }
+  const measurement = meter.measure(session);
+  const toolNames = toolNameMap(session);
+  const groups = new Map();
+  const nodes = [];
+  for (const node of measurement.nodes) {
+    let event;
+    try {
+      event = session.eventAt(node.seq);
+    } catch {
+      event = undefined;
+    }
+    const type = event?.type ?? "other";
+    const group = GROUPS[type] ?? GROUPS.other;
+    const bucket = groups.get(group.id) ?? { ...group, tokens: 0, count: 0, items: [] };
+    bucket.tokens += node.tokens;
+    bucket.count += 1;
+    const message = event ? safeDerive(session, event) : undefined;
+    const text = type === "tool/result" ? toolLabel(toolNames, message) : messageText(message);
+    if (bucket.items.length < 3 && text.length > 0) {
+      bucket.items.push({ seq: Number(node.seq), tokens: node.tokens, text: text.slice(0, 120) });
+    }
+    groups.set(group.id, bucket);
+    nodes.push({
+      seq: Number(node.seq),
+      tokens: node.tokens,
+      type,
+      group: group.id,
+      label: text.slice(0, 80),
+    });
+  }
+  const groupList = [...groups.values()]
+    .map((group) => ({ ...group, items: group.items.sort((a, b) => b.tokens - a.tokens) }))
+    .sort((left, right) => right.tokens - left.tokens);
+  const top = [...nodes].sort((left, right) => right.tokens - left.tokens).slice(0, 6);
+  let contextWindow = Number(session.requestContext()?.contextWindow) || DEFAULT_CONTEXT_WINDOW;
+  const total = measurement.totalTokens;
+  const series = [];
+  let running = 0;
+  const stride = Math.max(1, Math.ceil(nodes.length / 48));
+  for (let index = 0; index < nodes.length; index += stride) {
+    running += nodes.slice(index, index + stride).reduce((sum, node) => sum + node.tokens, 0);
+    series.push(running);
+  }
+  series.push(total);
+  const library = scanSkills();
+  const autopilot = readAutopilot();
+  const average = library.skills.length > 0 ? Math.round(library.totalTokens / library.skills.length) : 0;
+  const typical = average * 3;
+  const heaviest = library.skills.slice(0, 6);
+  return {
+    sessionId: String(session.id),
+    title: session.header?.cwd ? path.basename(session.header.cwd) : "",
+    totalTokens: total,
+    surfaceTokens: measurement.surfaceTokens,
+    surfaceDeltaTokens: measurement.surfaceDeltaTokens,
+    baseline: {
+      kind: measurement.baseline?.kind ?? "none",
+      tokens: measurement.baseline?.tokens ?? 0,
+      usage: measurement.baseline?.usage ?? null,
+    },
+    contextWindow,
+    pressure: contextWindow > 0 ? Math.min(1, total / contextWindow) : 0,
+    groups: groupList,
+    top,
+    series,
+    nodes: nodes.length,
+    library: {
+      count: library.skills.length,
+      totalTokens: library.totalTokens,
+      typicalTokens: typical,
+      heaviest,
+    },
+    autopilot,
+    generatedAt: new Date().toISOString(),
+  };
+}
+
+function safeDerive(session, event) {
+  try {
+    return session.deriveEventMessage(event);
+  } catch {
+    return event?.data?.message;
+  }
+}
+
+function okEnvelope(rpcId, value) {
+  return Response.json({ type: "server-response", rpcId, result: { ok: true, value } });
+}
+
+function errorEnvelope(rpcId, code, message) {
+  return Response.json({ type: "server-response", rpcId, result: { ok: false, error: { code, message } } });
+}
+
+export function apply(ctx) {
+  const register = (operation, handler) => {
+    const route = {
+      path: `${ROUTE_BASE}/${operation}`,
+      methods: ["POST"],
+      requestBody: "buffered",
+      fetch: async (request) => {
+        let rpcId = "invalid-request";
+        try {
+          const body = await request.json();
+          rpcId = typeof body?.rpcId === "string" ? body.rpcId : rpcId;
+          if (body?.type !== "client-request" || body?.method !== `${NAMESPACE}/${operation}`) {
+            return errorEnvelope(rpcId, "tokenlab/bad-request", "некорректный конверт Connection");
+          }
+          const value = await handler(body?.payload ?? {});
+          return okEnvelope(rpcId, value);
+        } catch (error) {
+          const code = typeof error?.code === "string" ? error.code : "tokenlab/internal";
+          if (code === "tokenlab/internal") ctx.logger?.warn?.(`[token-lab] ${operation} failed: ${String(error)}`);
+          return errorEnvelope(rpcId, code, error instanceof Error ? error.message : String(error));
+        }
+      },
+    };
+    ctx.effect(() => ctx.connection.fetch.register(route), `token-lab: ${operation}`);
+  };
+
+  register("report", async (payload) => buildReport(ctx, payload?.sessionId));
+  register("ping", async () => ({ ok: true, home: dshHome() }));
+}

package/plugins/dsh-token-lab/package.json

@@ -0,0 +1,26 @@
+{
+  "name": "dsh-token-lab",
+  "version": "1.0.0",
+  "description": "Live token laboratory for DSH: context composition, top token consumers, skill-library cost and context-window pressure in one sidebar tile.",
+  "type": "module",
+  "main": "lib/index.js",
+  "exports": {
+    ".": {
+      "default": "./lib/index.js"
+    },
+    "./client": {
+      "default": "./lib/client.js"
+    },
+    "./package.json": "./package.json"
+  },
+  "dsh": {
+    "manifestVersion": 1,
+    "bundle": {
+      "patch": "./cordis.patch.yml"
+    },
+    "client": {
+      "platform": "web",
+      "inject": []
+    }
+  }
+}

package/skills/code-review-checklist/SKILL.md

@@ -1,37 +1,55 @@
 ---
 name: code-review-checklist
-description: "Чек-лист ревью кода перед сдачей/релизом — безопасность, данные, права, тесты, стиль, деплой."
-whenToUse: "Перед тем как считать задачу выполненной, перед коммитом/релизом или при ревью чужого кода."
+description: "Ревью перед сдачей/релизом: блокеры, важное, мелочи, Definition of Done — данные, права, тесты, стиль, деплой."
+whenToUse: "Перед коммитом/релизом, когда считаешь задачу готовой или ревьюишь чужой код; после конфликтов и хотфиксов."
 user-invocable: true
 ---
 
 # Чек-лист ревью кода
 
-## Данные и БД
-- [ ] Нет деструктивных операций (`migrate:fresh`, `db:wipe`, `TRUNCATE`, `dropdb`) без явного разрешения.
-- [ ] Миграции аддитивные, с `down()`, не редактируют старые миграции.
-- [ ] Многозаписные операции — в транзакции; при гонках — `lockForUpdate()`.
-- [ ] Массовые обновления/удаления ограничены условиями; проверены на копии данных.
-- [ ] Если менялись данные — есть план бэкапа/отката.
-
-## Безопасность
-- [ ] Все входные данные валидируются; нет конкатенации пользовательских данных в SQL.
-- [ ] Вывод HTML — через экранирование/`@html` (санитайзер); нет `{!! !!}` для пользовательского контента.
-- [ ] RBAC: новые маршруты закрыты `auth` + `permission:*`; проверены админ и обычный пользователь.
-- [ ] Загрузки: whitelist типов, лимит размера, безопасная отдача (attachment для не-изображений).
-- [ ] Нет секретов/паролей/ключей в коде, логах, коммитах, памяти ассистента.
-- [ ] Нет IDOR: проверка владельца записи (например, заявки).
-
-## Код и тесты
-- [ ] Понятные имена, нет мёртвого кода и дублирования, нет N+1.
-- [ ] Обработаны ошибки/пустые состояния; тексты для пользователя — по-русски и понятны.
-- [ ] Есть тесты: feature на сценарий/права + unit на логику; новые тесты падают без правки — проходят с ней.
-- [ ] Полный PHPUnit-набор зелёный (baseline не ухудшен).
-- [ ] Для UI — скриншоты/Playwright «до/после», светлая+тёмная тема, mobile.
-- [ ] Pint/линтер по изменённым файлам проходит; статический анализ не добавил ошибок.
-
-## Релиз
-- [ ] Версия поднята по правилам (feature=minor, fix=patch).
-- [ ] Сборка и миграции проверены на копии (см. `pg-upgrade-verify`).
-- [ ] План выкатки/отката записан; бэкап предусмотрен.
-- [ ] Обновлены документация/память (`SESSIONS.md`, досье проекта).
+## 0. Когда применять
+- Перед коммитом/релизом и перед ответом «готово».
+- Ревью чужого кода, после конфликта или хотфикса.
+- Нужен приоритет: что блокирует, что потом.
+
+## 1. Главное
+**Порядок:** `git status --short` → `git diff --stat` → `git diff` → находки по приоритетам → блокеры → гейт.
+
+**Блокеры (не сдавать):**
+- Деструктив с БД (`migrate:fresh`, `db:wipe`, `TRUNCATE`, `dropdb`) без явного разрешения и бэкапа.
+- Секреты/пароли/ключи в коде, логах, коммите, памяти.
+- Маршрут без `auth`/права (`permission:*`) или без проверки admin/user/guest; IDOR; эскалация прав.
+- SQL-конкатенация; пользовательский HTML без экранирования/санитайзера (`{!! !!}`, `innerHTML`, `v-html`).
+- Загрузка без whitelist/лимита/безопасной отдачи (attachment); исполняемые файлы в webroot.
+- Красные тесты/ухудшенный baseline; баг без регрессионного теста.
+- Рискованная миграция/массовая правка без плана отката.
+- `APP_DEBUG=true`, дебаг-код или временные логи в проде.
+
+**Важное:**
+- Миграции аддитивные, с `down()`, не редактируют применённые; многозаписные — в транзакции, гонки — `lockForUpdate()`.
+- Массовые `UPDATE/DELETE` с условием; проверены на копии.
+- Валидация всех входных данных на сервере (тип/длина/диапазон/формат); клиентская — только UX.
+- Ошибки/пустые состояния; тексты пользователю по-русски и понятны.
+- Нет N+1, мёртвого кода, дублирования; имена понятные.
+- Тесты: feature на сценарий/права/валидацию + unit на логику; новые падают без правки.
+- Полный PHPUnit-набор зелёный; линтер (`php -l`, Pint) и статанализ без новых ошибок.
+- UI: скриншоты/Playwright «до/после», светлая/тёмная, mobile.
+- Версия поднята (feature=minor, fix=patch); сборка и миграции проверены на копии (`pg-upgrade-verify`).
+- План выкатки/отката, бэкап; документация/память обновлены.
+
+**Мелочи:**
+- Форматирование, комментарии, мёртвые импорты, `TODO` без тикета, размер диффа, сообщение коммита.
+
+**Команды:** `git diff --check`, `git status --short`, тесты/линтер проекта.
+
+## 2. Куда грузить дальше
+Смежные: `security-review`, `database-safety`, `testing-strategy`, `release-and-deploy`.
+
+## 3. Гейт перед сдачей — Definition of Done
+- [ ] Блокеров нет; важное закрыто или вынесено с причиной.
+- [ ] Дифф минимален и по задаче; нет случайных файлов, секретов, дебага.
+- [ ] Тесты/линтер/статанализ зелёные; baseline не хуже.
+- [ ] Данные: бэкап/аддитивные миграции/план отката.
+- [ ] UI: скриншоты 1440/768/390, light/dark (если интерфейс).
+- [ ] Версия/CHANGELOG/память обновлены.
+- [ ] Отчёт: сделано, как проверено, риски.