felishub-gateway 1.2.0 → 1.2.1

package/README.md

@@ -10,9 +10,9 @@
 
 ### Новый агент
 
-1. В каталоге `gateway/` агента: `npm i felishub-gateway @anthropic-ai/claude-agent-sdk zod`. Нужен Node.js 22.4 или новее.
+1. В каталоге `gateway/` агента: `npm i felishub-gateway@1.2.1 @anthropic-ai/claude-agent-sdk@<версия> --save-exact`. Нужен Node.js 22.4 или новее.
 2. `config.json` с `agentName` (остальное — по умолчанию, см. ниже).
-3. Логин Claude: `claude` в терминале этого пользователя или `ANTHROPIC_API_KEY` / `CLAUDE_CODE_OAUTH_TOKEN` в окружении службы.
+3. Вход в Claude: `ANTHROPIC_API_KEY` (ключ Claude Console) или `CLAUDE_CODE_OAUTH_TOKEN` (токен подписки) в окружении службы.
 4. В FelisHub: «Команда» → «Подключить агента», скопировать команду. Человек выполняет её сам в терминале сервера, в каталоге `gateway/`:
 
    ```sh
@@ -25,6 +25,7 @@
 ### Файл ключа
 
 - Путь — `FELISHUB_KEY_FILE`, иначе `~/.config/felishub/<agentName>.json`. Ключ — вне каталога агента: внутри него агент прочитал бы ключ своим `Read` или приложил бы его файлом, поэтому команда и шлюз такой путь не принимают.
+- Каталог ключа — отдельный, только для ключей шлюзов: любое упоминание этого каталога шлюз считает необратимым (см. ниже). Каталог, внутри которого лежит каталог агента, например домашняя папка, команда и шлюз не принимают.
 - В файле — адрес FelisHub, пространство, имя агента и закрытый ключ. Файл пишется с правами `0600`, папка создаётся с `0700`. FelisHub хранит только открытый ключ.
 - Ключ привязан к одному FelisHub и одному пространству. Повторный `connect` с новым кодом того же FelisHub перезаписывает ключ: это замена ключа или переезд в другое пространство. Ключ другого FelisHub команда без `--replace` не перезапишет, а запущенный шлюз на другой FelisHub не переходит до перезапуска.
 - Шлюз перечитывает файл при каждом подключении и проверяет его при каждом пинге FelisHub. Новый ключ того же пространства вступает в силу, когда в FelisHub нажмут «Заменить ключ». Ключ другого пространства — сразу: шлюз переподключается туда, а разговоры и расписания прежнего пространства откладывает (см. «Безопасность»).
@@ -41,7 +42,7 @@
 
 Если ключ лежит в другой папке (`FELISHUB_KEY_FILE`), запретите её так же.
 
-`connect` не запускается из хода агента: внутри хода в окружении есть `OPS_AGENT_CONVERSATION`, и команда отказывает. Любой вызов инструмента, где упомянуты `felishub-gateway`, `felishub-key`, `.config/felishub` или `cli.js … connect`, шлюз всегда отдаёт людям как необратимое решение, что бы ни было в `irreversiblePatterns`.
+`connect` не запускается из хода агента: внутри хода в окружении есть `OPS_AGENT_CONVERSATION`, и команда отказывает. Любой вызов Bash, Read, правки файла, Glob, Grep, WebFetch или MCP-инструмента агента, где упомянуты `felishub-gateway`, `felishub-key`, `cli.js … connect`, `.config` и `felishub` в одной команде, маска после `.config` или сразу под домашней папкой (`~/.c*`, `$HOME/.*`, `/home/<пользователь>/.c*`), «папка/файл» ключа, каталог ключа — полным путём или через `~`, `$HOME`, `${HOME}`, — или маска, под которую попадает файл ключа или его каталог (`/srv/k*/key.json`, `/srv/*`), шлюз всегда отдаёт людям как необратимое решение, что бы ни было в `irreversiblePatterns` и в правилах `allow`. `//` и `/./` в пути эту проверку не обходят.
 
 ### Связь с FelisHub
 
@@ -64,29 +65,28 @@
 
 ```ini
 [Unit]
-Description=SEO agent gateway for FelisHub (Agent SDK, outbound tunnel)
+Description=FelisHub agent gateway (Agent SDK, outbound tunnel)
 After=network-online.target
 Wants=network-online.target
 
 [Service]
-User=seoagent
-WorkingDirectory=/opt/seo-agent/gateway
-EnvironmentFile=/home/seoagent/.config/seo-agent/gateway.env
-ExecStart=/usr/bin/node /opt/seo-agent/gateway/node_modules/felishub-gateway/src/cli.js
+User=agent
+WorkingDirectory=/opt/my-agent/gateway
+EnvironmentFile=/home/agent/.config/felishub/my-agent.env
+ExecStart=/usr/bin/node /opt/my-agent/gateway/node_modules/felishub-gateway/src/cli.js
 Restart=on-failure
 
 [Install]
 WantedBy=multi-user.target
 ```
 
-В `gateway.env` — `FELISHUB_KEY_FILE=/home/seoagent/.config/seo-agent/felishub-key.json` и логин Claude. Агент с профилем запускается своим `src/index.js` вместо `cli.js`.
+В `my-agent.env` — вход в Claude (`ANTHROPIC_API_KEY` или `CLAUDE_CODE_OAUTH_TOKEN`) и `FELISHUB_KEY_FILE`, если ключ шлюза лежит не в `~/.config/felishub/<agentName>.json`. Файл должен быть доступен только пользователю службы (`chmod 600`). Агент с профилем запускается своим `src/index.js` вместо `cli.js`.
 
 ### Профиль агента
 
 В каталоге `gateway/` агента:
 
-- `vendor/felishub-gateway-<версия>.tgz` — выпущенная версия этого пакета, её ставит `npm ci`. Серверам не нужен доступ к репозиторию шлюза.
-- `package.json` — зависимости `felishub-gateway` (tgz из `vendor/`) и `@anthropic-ai/claude-agent-sdk`. Версию SDK агент закрепляет сам: вместе с SDK приезжает CLI Claude Code, и агенты обновляют его независимо.
+- `package.json` и `package-lock.json` — зависимости `felishub-gateway` и `@anthropic-ai/claude-agent-sdk` из npm с точными версиями (`--save-exact`), их ставит `npm ci`. Версию SDK агент закрепляет сам: вместе с SDK приезжает CLI Claude Code, и агенты обновляют его независимо.
 - `src/index.js` — профиль агента, вызов `startGateway(...)`.
 - `config.json`, `state.json`, `schedules.json`. Шлюз ищет `config.json` в текущем каталоге или по пути из `OPS_GATEWAY_CONFIG`. Запуск: `node src/index.js` из `gateway/` агента.
 
@@ -108,7 +108,7 @@ startGateway({
 
 - `defaults` — умолчания конфигурации этого агента поверх общих из `src/config.js`. Всё, что задано в `config.json`, их перекрывает.
 - `instructions` — строки системного промпта после общих правил шлюза.
-- `turnOptions` — вызывается перед каждым ходом. Получает `conversation` (`id`, `kind`, `title`, `model`, `budgetUsd`, `maxTurns`, у разговора коллеги ещё `peer`), `actor` (`id`, `name`, `role`), текст хода и модель. Возвращает переменные окружения сессии (`env`) и хуки Agent SDK (`hooks`).
+- `turnOptions` — вызывается перед каждым ходом. Получает `conversation` (`id`, `kind`, `title`, `model`, `budgetUsd`, `maxTurns`, у разговора коллеги ещё `peer`), `actor` (`id`, `name`, `role`), текст хода и модель. Возвращает переменные окружения сессии (`env`) и хуки Agent SDK (`hooks`). Хуки `PreToolUse` профиля идут после хука шлюза, см. «Разрешения».
 
 В окружении сессии агента есть `OPS_AGENT_CONVERSATION` (id разговора), `OPS_AGENT_USER` (имя человека или агента, начавшего ход) и `OPS_AGENT_ROLE` (его роль). `FELISHUB_KEY_FILE` в окружение сессии не попадает: агент не узнаёт, где лежит ключ.
 
@@ -140,7 +140,7 @@ startGateway({
 | `agentName` | — | Обязателен. Имя агента для коллег и FelisHub: `a-z`, `0-9`, `_`, `-`, до 32 символов |
 | `agentDir` | `..` | Каталог агента относительно `config.json`, там же `logs/events.jsonl` |
 | `timezone` | `Europe/Moscow` | Часовой пояс расписаний, дневных бюджетов и времени в заголовке хода |
-| `model` | `null` | Модель по умолчанию; `null` — как у `claude` на этой машине |
+| `model` | `null` | Модель по умолчанию; `null` — модель Claude Code по умолчанию |
 | `maxConcurrentTurns` | 1 | Сколько разговоров агент ведёт одновременно |
 | `maxTurns` | 80 | Лимит шагов одного хода |
 | `turnTimeoutSec` | 1800 | Ход дольше этого останавливается, исход `timeout` |
@@ -148,7 +148,7 @@ startGateway({
 | `questionTimeoutSec` | 1800 | Сколько вопрос ждёт ответа |
 | `sessionIdleResetMin` | 180 | Разговор без ходов дольше этого начинает новую сессию; 0 выключает |
 | `dailyBudgetUsd` | `null` | Дневной бюджет разговора по умолчанию; `null` или 0 — без лимита |
-| `irreversiblePatterns` | `[]` | Регулярные выражения. Для Bash проверяется команда, для остальных инструментов — `<инструмент> <JSON ввода>`. Совпало — решение уровня `irreversible`. Ключ шлюза и `connect` — `irreversible` всегда |
+| `irreversiblePatterns` | `[]` | Регулярные выражения. Для Bash проверяется команда, для правок файлов (`Write`, `Edit`, `MultiEdit`, `NotebookEdit`) — только путь, `<инструмент> {"file_path":…}`, для остальных инструментов — `<инструмент> <JSON ввода>`. Проверка идёт перед каждым вызовом Bash, Read, правки файла, Glob, Grep, WebFetch и MCP-инструментов, в том числе разрешённым правилом `allow` или хуком, см. «Разрешения». Совпало — решение уровня `irreversible`. Ключ шлюза и `connect` — `irreversible` всегда |
 | `mailMaxHops` | 4 | Сколько раз подряд агенты пересылают друг другу запросы одной цепочки |
 | `mailDailyLimit` | 30 | Запросов одному коллеге в сутки и столько же входящих от него |
 
@@ -156,9 +156,9 @@ startGateway({
 
 Окружение:
 
-- `FELISHUB_KEY_FILE` — путь к файлу ключа вне каталога агента; по умолчанию `~/.config/felishub/<agentName>.json`.
+- `FELISHUB_KEY_FILE` — путь к файлу ключа вне каталога агента, в отдельном каталоге только для ключей; по умолчанию `~/.config/felishub/<agentName>.json`.
 - `OPS_GATEWAY_CONFIG` — путь к `config.json`, если он не в текущем каталоге.
-- Логин Claude, как обычно: `ANTHROPIC_API_KEY` или `CLAUDE_CODE_OAUTH_TOKEN`, либо вход через `claude`.
+- Вход в Claude: `ANTHROPIC_API_KEY` (ключ Claude Console) или `CLAUDE_CODE_OAUTH_TOKEN` (токен подписки). Шлюз передаёт сессиям своё окружение, поэтому после смены ключа шлюз перезапускают.
 
 ## Переход с 0.4
 
@@ -207,6 +207,19 @@ startGateway({
 
 FelisHub не подключает шлюз ниже 1.2.0. Журнал событий, разговоры и расписания переходят как есть; события до подключения FelisHub не загружает.
 
+## Переход с 1.2
+
+Шлюз 1.2.1 ставится вместо 1.2.0 без изменений в `config.json` и окружении, если ключ шлюза лежит в отдельном каталоге (см. «Файл ключа»). Что меняется для агентов:
+
+- Правила `allow` из `.claude/settings.json` агента начинают работать, см. «Разрешения». В 1.2.0 Claude Code молча их отбрасывал. Перед выкаткой перечитайте список: всё, что в нём есть, пойдёт без карточки.
+- Если правило `allow` держится на хуке агента, который сам решает «разрешить», «спросить» или «запретить», проверьте, что хук не падает: при сбое с кодом, отличным от 2, и при выходе по таймауту вызов пройдёт без карточки. Раньше в этом случае приходила карточка.
+- «Необратимое» проверяется перед каждым вызовом Bash, Read, Write, Edit, MultiEdit, NotebookEdit, Glob, Grep, WebFetch и MCP-инструментов. Разрешение из хука и чтение в папке агента, которое Claude Code разрешает сам, больше его не обходят. Новые карточки — у команд и чтений, которые совпали с `irreversiblePatterns` или упоминают `felishub-gateway`, например путь в `gateway/node_modules`. Agent, Task*, Skill, AskUserQuestion и другие внутренние инструменты Claude Code хук не проверяет, как и в 1.2.0: каждый вызов, который делает субагент, проходит ту же проверку.
+- Для правок файлов `irreversiblePatterns` сравнивается только с путём: запись в журнал, где упомянуто что-то из списка, больше не становится карточкой «Необратимое».
+- Правила `deny` и `ask` шлюз передаёт Claude Code вместе с `allow`: если Claude Code не примет `settings.json` целиком, запреты всё равно действуют, а вот хуки из файла — нет, см. «Разрешения».
+- Защита ключа шлюза шире: маски, `//` и `/./` в пути, `.config` и `felishub` в одной команде, путь и каталог из `FELISHUB_KEY_FILE`. Держите ключ в отдельном каталоге: всё, что упоминает этот каталог, теперь приходит карточкой `irreversible`. Если каталог ключа содержит каталог агента, шлюз не запускается и просит перенести ключ.
+- Подсказка «шлюз не подключён» называет папку, где выполнить `connect`, а без `config.json` команда и шлюз объясняют, где их запускать, вместо ошибки `ENOENT`.
+- Если шлюз не смог войти в Claude, подсказка в разговоре просит проверить ключ в окружении шлюза и перезапустить шлюз.
+
 ## Разговоры и акторы
 
 Разговор — отдельная сессия Agent SDK со своей очередью, бюджетом и журналом. Id: `^[a-z0-9][a-z0-9_-]{0,63}$`.
@@ -229,7 +242,7 @@ FelisHub шлёт команды по соединению шлюза кадра
 
 ```json
 {
-  "agent": "devops", "version": "1.2.0", "startedAt": "…", "timezone": "Europe/Moscow", "model": null, "observedModel": "claude-opus-4-1",
+  "agent": "devops", "version": "1.2.1", "startedAt": "…", "timezone": "Europe/Moscow", "model": null, "observedModel": "claude-opus-4-1",
   "paused": false, "pausedBy": null,
   "maxConcurrentTurns": 1, "dailyBudgetUsd": 5, "spendTodayUsd": 0.42,
   "permissionTimeoutSec": 900, "questionTimeoutSec": 1800,
@@ -380,6 +393,28 @@ FelisHub шлёт команды по соединению шлюза кадра
 3. Итоговый текст хода B (или отказ, или описание сбоя), не длиннее 20000 символов, уходит A тем же путём как `{ type: "answer", re, replyConversation, hops }`.
 4. Шлюз A принимает один ответ на свой запрос `re` и только от того агента, которому его отправил, остальные отбрасывает. Ответ запускает ход в разговоре, откуда ушёл запрос.
 
+## Разрешения
+
+Шлюз запускает Claude Code в папке агента с `settingSources: ["project"]` и `permissionMode: "default"`. Из `.claude/settings.json` агента работают правила `deny` и `ask`, хуки и MCP-серверы из `.mcp.json` (при `enableAllProjectMcpServers`). `settings.local.json` и настройки из `~/.claude` шлюз не подключает.
+
+Правила `allow` из настроек проекта Claude Code применяет только в папке, которой доверяют, а шлюз доверие не ставит. Поэтому перед каждым ходом шлюз сам читает `permissions.allow`, `permissions.deny` и `permissions.ask` из `<agentDir>/.claude/settings.json` и передаёт строки из них в Agent SDK одним набором, как настройки запуска (`settings`). Правила совпадают так же, как в Claude Code: `./`, `/`, `~`, имена MCP-инструментов; неправильное правило ничего не разрешает и не задевает соседние. Правка файла действует со следующего хода, без перезапуска. Если файл не читается как JSON, ход заканчивается ошибкой «.claude/settings.json агента не читается: …» с подсказкой исправить файл; сессия разговора при этом не сбрасывается.
+
+Если файл читается как JSON, но Claude Code его не принимает — например, `permissions.defaultMode` с неизвестным режимом или `model` не строкой, — Claude Code пропускает весь файл: хуки, `enableAllProjectMcpServers` и остальные настройки из него не действуют. Правила `allow`, `deny` и `ask` шлюз при этом всё равно применяет, а хуки агента молча выключены. После правки `settings.json` проверьте, что хуки агента срабатывают: попросите агента о действии, которое хук должен запретить, и убедитесь, что пришёл отказ хука.
+
+Как решается вызов:
+
+1. `deny` из правила или хука — отказ без карточки.
+2. Первым в `PreToolUse` идёт хук шлюза. Он проверяет Bash, Read, Write, Edit, MultiEdit, NotebookEdit, Glob, Grep, WebFetch и MCP-инструменты, кроме `mcp__felishub__*` и `mcp__agents__ask`. Если вызов совпал с `irreversiblePatterns` или с защитой ключа шлюза, хук отвечает «спросить», и приходит карточка `irreversible` — даже когда вызов разрешает правило `allow`, хук профиля или агента или сам Claude Code (чтение внутри папки агента). Agent, Task*, Skill, AskUserQuestion и другие внутренние инструменты Claude Code хук пропускает: каждый вызов, который делает субагент, проходит этот же хук.
+3. «Спросить» из хука агента или правила `ask` важнее `allow` — карточка `normal`.
+4. `allow` из правила или хука и чтение внутри папки агента, которое Claude Code разрешает сам, — вызов идёт без карточки.
+5. Всё остальное — карточка `normal`.
+
+Правило `allow` не добавляет агенту инструментов, которые Claude Code по умолчанию прячет: `Glob(./**)` и `Grep(./**)` не включают Glob и Grep, агент ищет через `find` и `grep` в Bash.
+
+Запись инструментом Write Claude Code сверяет с правилами `Edit(…)`. Поэтому запрет записи пишите как `Edit(путь)`, `Write(путь)` — по желанию рядом. Один `deny Write(…)` не перекрывает `allow Edit(…)`: Write пройдёт по разрешению без карточки.
+
+Хук агента, который упал с кодом, отличным от 2, или не уложился в свой `timeout`, Claude Code считает промолчавшим: если вызов разрешён правилом `allow`, он пройдёт без карточки. Не разрешайте через `allow` то, что держится только на хуке, и не разрешайте команды, которые читают произвольные файлы (`cat`, `git diff --no-index`): защита ключа ловит путь по тексту команды, а не любой способ до него добраться.
+
 ## Безопасность
 
 - Шлюз только подключается к FelisHub и ничего не слушает. `wss://` обязателен; `ws://` — только для `localhost`, `127.0.0.1` и `[::1]`.
@@ -390,16 +425,16 @@ FelisHub шлёт команды по соединению шлюза кадра
 - Сервер агента — граница доверия: кто вошёл на него пользователем шлюза, может всё, что может шлюз. Держите ключ вне каталога агента и запретите агенту читать его (строки выше), а `connect` выполняйте только сами.
 - Файлы: человек кладёт файл только в `inbox/<разговор>/` каталога агента, агент отдаёт только файлы из каталога агента вне каталога шлюза. Ссылки раскрываются до проверки, временный файл загрузки создаётся без перехода по ссылкам.
 - Всё, что пришло из инструментов `felishub`, — слова агента: приложение помечает их так и никогда не показывает вместо команды.
+- Команды агента видят окружение шлюза, в том числе `ANTHROPIC_API_KEY` и `CLAUDE_CODE_OAUTH_TOKEN`, а их вывод уходит в FelisHub. Шлюз такие команды сам не ловит: запретите их в `.claude/settings.json` агента (`deny`: `Bash(env:*)`, `Bash(printenv:*)`), а остальные способы (`set`, `export -p`, `ps e`, `/proc/*/environ`) добавьте в `irreversiblePatterns` или хуки агента.
 
 ## Выпуск версии
 
-1. Правишь код здесь, поднимаешь `version` в `package.json`.
-2. `bin/release.sh ../devops/agent/gateway ../seo/gateway` прогоняет тесты, собирает tgz, убирает из каждого агента старый `agent-gateway` (зависимость, `node_modules/agent-gateway`, `vendor/agent-gateway-*.tgz`) и прежние `vendor/felishub-gateway-*.tgz`, сохраняет заменяемые файлы в `_dev/backups/2026-10-05-v9-GW/removed/release-…/`, кладёт новый tgz в `vendor/` и ставит его — `package.json` и `package-lock.json` агента меняются только в этой зависимости.
-3. В репозиториях агентов коммитишь `gateway/vendor/`, `gateway/package.json` и `gateway/package-lock.json`, на сервере агента — `npm ci` в `gateway/` и перезапуск шлюза.
-
-Агент, которого не указали в `release.sh`, остаётся на своей версии, пока его не обновят.
+1. Правишь код здесь, поднимаешь `version` в `package.json`, прогоняешь `npm test`.
+2. Агент со шлюзом из npm: после публикации версии впиши её в `gateway/package.json` агента и выполни `npm install` в `gateway/`.
+3. Агент со шлюзом из архива в `vendor/`: `bin/release.sh <каталог gateway агента>…` прогоняет тесты, собирает tgz, убирает из каждого агента старый `agent-gateway` (зависимость, `node_modules/agent-gateway`, `vendor/agent-gateway-*.tgz`) и прежние `vendor/felishub-gateway-*.tgz`, сохраняет заменяемые файлы в резервную копию в `_dev/backups/` рядом с каталогом шлюза, кладёт новый tgz в `vendor/` и ставит его — `package.json` и `package-lock.json` агента меняются только в этой зависимости.
+4. В репозитории агента коммитишь `gateway/package.json`, `gateway/package-lock.json` и `gateway/vendor/`, если он есть, на сервере агента — `npm ci` в `gateway/` и перезапуск шлюза.
 
-Пакет готов к публикации в npm как `felishub-gateway`, но помечен `"private": true`: публикует его только владелец, когда решит, — тогда `npx felishub-gateway connect …` заработает у агентов без tgz.
+Агент, которого не обновили, остаётся на своей версии.
 
 ## Тесты
 

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "felishub-gateway",
-  "version": "1.2.0",
+  "version": "1.2.1",
   "type": "module",
   "description": "Шлюз агента FelisHub: сессии Agent SDK по разговорам, решения и вопросы, расписания, бюджеты — сам подключается к FelisHub исходящим соединением",
   "license": "MIT",

package/src/agent.js

@@ -1,9 +1,14 @@
+import fs from "node:fs";
+import path from "node:path";
 import { createAgentsServer } from "./mail.js";
 import { createFelishubServer, FELISHUB_TOOLS } from "./felishub.js";
 import { truncate, tail, cleanTitle } from "./format.js";
+import { isIrreversible } from "./config.js";
 
 const GATEWAY_ONLY_ENV = /^FELISHUB_KEY_FILE$/;
 const TOOL_OUTPUT_LIMIT = 2000;
+const SYSTEM_TOOLS = ["Bash", "Read", "Write", "Edit", "MultiEdit", "NotebookEdit", "Glob", "Grep", "WebFetch"];
+const PATH_RULE_TOOLS = ["Read", "Write", "Edit", "MultiEdit", "NotebookEdit", "Glob", "Grep"];
 
 let sdkQuery = null;
 
@@ -39,6 +44,39 @@ export function buildAppend(conversation, instructions = [], peers = {}, answers
   ].filter(Boolean).join("\n");
 }
 
+function fromAgentRoot(rule) {
+  const match = rule.match(/^(\w+)\(\/([^/].*)\)$/);
+  if (!match || !PATH_RULE_TOOLS.includes(match[1])) return rule;
+  return `${match[1]}(./${match[2]})`;
+}
+
+function agentRules(list) {
+  if (!Array.isArray(list)) return [];
+  return list.filter((rule) => typeof rule === "string").map(fromAgentRoot);
+}
+
+function projectPermissions(agentDir) {
+  const file = path.join(agentDir, ".claude", "settings.json");
+  if (!fs.existsSync(file)) return null;
+  let settings;
+  try {
+    settings = JSON.parse(fs.readFileSync(file, "utf8"));
+  } catch (err) {
+    throw Object.assign(new Error(`.claude/settings.json агента не читается: ${err.message}`), { code: "AGENT_SETTINGS" });
+  }
+  const permissions = settings?.permissions;
+  return { allow: agentRules(permissions?.allow), deny: agentRules(permissions?.deny), ask: agentRules(permissions?.ask) };
+}
+
+function irreversibleHook(cfg, ownTools) {
+  return async (input) => {
+    if (ownTools.includes(input.tool_name)) return {};
+    if (!SYSTEM_TOOLS.includes(input.tool_name) && !input.tool_name.startsWith("mcp__")) return {};
+    if (!isIrreversible(cfg, input.tool_name, input.tool_input)) return {};
+    return { hookSpecificOutput: { hookEventName: "PreToolUse", permissionDecision: "ask" } };
+  };
+}
+
 function toolResultText(content) {
   if (typeof content === "string") return content;
   if (!Array.isArray(content)) return "";
@@ -93,21 +131,23 @@ export async function runTurn({ cfg, conversation, actor, peers = {}, sessionId,
       return decision;
     },
   };
-  if (agentOptions.hooks) options.hooks = agentOptions.hooks;
+  const permissions = projectPermissions(cfg.agentDirAbs);
   const mcpServers = {};
-  const allowedTools = [];
+  const ownTools = [];
   if (handlers.felishub) {
     mcpServers.felishub = await createFelishubServer(handlers.felishub);
-    allowedTools.push(...FELISHUB_TOOLS);
+    ownTools.push(...FELISHUB_TOOLS);
   }
   if (handlers.onAsk) {
     mcpServers.agents = await createAgentsServer(peers, handlers.onAsk);
-    allowedTools.push("mcp__agents__ask");
+    ownTools.push("mcp__agents__ask");
   }
-  if (allowedTools.length) {
+  if (ownTools.length) {
     options.mcpServers = mcpServers;
-    options.allowedTools = allowedTools;
+    options.allowedTools = ownTools;
   }
+  if (permissions) options.settings = { permissions };
+  options.hooks = { ...agentOptions.hooks, PreToolUse: [{ hooks: [irreversibleHook(cfg, ownTools)] }, ...(agentOptions.hooks?.PreToolUse || [])] };
   if (sessionId) options.resume = sessionId;
   if (model) options.model = model;
 

package/src/config.js

@@ -1,4 +1,5 @@
 import fs from "node:fs";
+import os from "node:os";
 import path from "node:path";
 
 export const DEFAULTS = {
@@ -21,7 +22,10 @@ export const DEFAULTS = {
 const REMOVED_KEYS = ["chatId", "ownerId", "topics", "approvals", "ownerCanApprove", "ownerCanWriteAnywhere", "showToolCalls", "modelShortcuts", "ownerOnlyPatterns"];
 const AGENT_NAME_RE = /^[a-z0-9_-]{1,32}$/;
 const OLD_MODE_ENV = /^(GATEWAY_API_TOKEN|PEER_TOKEN_.+)$/;
-const GATEWAY_GUARD = /felishub-gateway|felishub-key|\.config\/felishub|cli\.js\S*\s+connect/;
+const GATEWAY_GUARD = /felishub-gateway|felishub-key|cli\.js\S*\s+connect|\.config\b[\s\S]*felishub|\.config\/+(\.\/+)*[^\s\/]*[*?[]|(~|\$\{?HOME\b\}?|\/(home|Users)\/[^\s\/]+)\/+\.[^\s\/]*[*?[]/;
+const FILE_EDIT_TOOLS = ["Write", "Edit", "MultiEdit", "NotebookEdit"];
+const SHELL_SEPARATORS = /[\s;&|<>()=,:"'`]+/;
+const HOME_PREFIX = /^(~|\$HOME|\$\{HOME\})(?=\/)/;
 
 export const CONVERSATION_ID_RE = /^[a-z0-9][a-z0-9_-]{0,63}$/;
 export const SYSTEM_CONVERSATION = "system";
@@ -64,6 +68,9 @@ export function validateConfig(raw, defaults = {}) {
 }
 
 export function loadConfig(configPath, defaults = {}) {
+  if (!fs.existsSync(configPath)) {
+    throw new Error(`нет ${configPath}: запускайте felishub-gateway в папке шлюза агента, рядом с config.json, или задайте путь к нему в OPS_GATEWAY_CONFIG`);
+  }
   const raw = JSON.parse(fs.readFileSync(configPath, "utf8"));
   const outdated = removedKeys(raw);
   if (outdated.length) {
@@ -152,13 +159,70 @@ export function normalizeShell(command) {
 function commandTexts(toolName, input) {
   const command = typeof input?.command === "string" ? input.command : null;
   if (toolName === "Bash") return [String(command ?? ""), normalizeShell(command)];
+  if (FILE_EDIT_TOOLS.includes(toolName)) return [toolName + " " + JSON.stringify({ file_path: input?.file_path ?? input?.notebook_path })];
   const raw = toolName + " " + JSON.stringify(input ?? {});
   if (command === null) return [raw];
   return [raw, toolName + " " + JSON.stringify({ ...input, command: normalizeShell(command) })];
 }
 
+function keyDirForms(keyDir) {
+  const home = os.homedir();
+  if (!keyDir.startsWith(home + path.sep)) return [keyDir];
+  const inHome = keyDir.slice(home.length);
+  return [keyDir, "~" + inHome, "$HOME" + inHome, "${HOME}" + inHome];
+}
+
+function nameMatches(glob, name) {
+  let g = 0;
+  let n = 0;
+  let star = -1;
+  let starName = 0;
+  while (n < name.length) {
+    if (glob[g] === "?" || (glob[g] !== "*" && glob[g] === name[n])) {
+      g += 1;
+      n += 1;
+    } else if (glob[g] === "*") {
+      star = g;
+      starName = n;
+      g += 1;
+    } else if (star !== -1) {
+      g = star + 1;
+      starName += 1;
+      n = starName;
+    } else {
+      return false;
+    }
+  }
+  while (glob[g] === "*") g += 1;
+  return g === glob.length;
+}
+
+function globMatches(glob, target) {
+  const globParts = glob.replace(/\[[^\]]*\]/g, "?").split("/");
+  const targetParts = target.split("/");
+  if (globParts.length !== targetParts.length) return false;
+  return globParts.every((part, i) => nameMatches(part, targetParts[i]));
+}
+
+function mentionsKeyFile(cfg, texts) {
+  if (!cfg.keyFile) return false;
+  const keyDir = path.dirname(cfg.keyFile);
+  const keyName = path.join(path.basename(keyDir), path.basename(cfg.keyFile));
+  const dirForms = keyDirForms(keyDir);
+  for (const text of texts) {
+    const flat = text.replace(/\/(?:\.?\/)+/g, "/");
+    if (flat.includes(keyName)) return true;
+    const tokens = flat.split(SHELL_SEPARATORS);
+    if (dirForms.some((form) => flat.includes(form + "/") || tokens.includes(form))) return true;
+    const globs = tokens.filter((token) => /[*?[]/.test(token)).map((token) => token.replace(HOME_PREFIX, os.homedir()));
+    if (globs.some((glob) => globMatches(glob, cfg.keyFile) || globMatches(glob, keyDir))) return true;
+  }
+  return false;
+}
+
 export function isIrreversible(cfg, toolName, input) {
   const texts = commandTexts(toolName, input);
+  if (mentionsKeyFile(cfg, texts)) return true;
   const patterns = [GATEWAY_GUARD, ...cfg.irreversiblePatterns.map((pattern) => new RegExp(pattern))];
   return patterns.some((pattern) => texts.some((text) => pattern.test(text)));
 }

package/src/identity.js

@@ -22,6 +22,10 @@ export function keyFilePath(agentName, agentDir) {
   if (real === dir || real.startsWith(dir + path.sep)) {
     throw new Error(`ключ шлюза не может лежать в каталоге агента (${file}): задайте FELISHUB_KEY_FILE вне его`);
   }
+  const fromKeyDir = path.relative(path.dirname(real), dir);
+  if (!fromKeyDir.startsWith("..") && !path.isAbsolute(fromKeyDir)) {
+    throw new Error(`ключу шлюза нужен свой каталог, а ${path.dirname(file)} содержит каталог агента: задайте FELISHUB_KEY_FILE в отдельном каталоге, например ~/.config/felishub/`);
+  }
   return file;
 }
 

package/src/index.js

@@ -55,6 +55,7 @@ export function startGateway({ defaults = {}, instructions = [], turnOptions } =
     console.error(err.message);
     process.exit(1);
   }
+  cfg.keyFile = keyFile;
   const state = loadState(statePath);
   const queues = new ConversationQueues(cfg.maxConcurrentTurns);
   const approvals = new Approvals();
@@ -289,7 +290,7 @@ export function startGateway({ defaults = {}, instructions = [], turnOptions } =
       return await attempt(session.sessionId);
     } catch (err) {
       const text = String(err?.message || err);
-      if (abortController.signal.aborted || /authenticat|oauth|api key|401/i.test(text) || !/session|resume|conversation/i.test(text)) throw err;
+      if (abortController.signal.aborted || err?.code === "AGENT_SETTINGS" || /authenticat|oauth|api key|401/i.test(text) || !/session|resume|conversation/i.test(text)) throw err;
       log(`session ${sessionKey}: cannot resume ${session.sessionId}, starting a new one`);
       clearSession(state, sessionKey);
       persist();
@@ -315,9 +316,14 @@ export function startGateway({ defaults = {}, instructions = [], turnOptions } =
     if (entry.abortController.signal.aborted) return "задача остановлена";
     log(`conversation ${conversationId}: turn ${turnId} failed`, err);
     const text = String(err?.message || err);
+    if (err?.code === "AGENT_SETTINGS") {
+      const reply = "ошибка шлюза: " + truncate(text, 500);
+      events.append(conversationId, "error", { turnId, text: reply + "\n\nТому, кто ведёт сервер агента: исправьте JSON в .claude/settings.json в папке агента и повторите сообщение. Шлюз читает файл перед каждым ходом, перезапуск не нужен." });
+      return reply;
+    }
     if (/authenticat|oauth|api key|not logged in|401/i.test(text)) {
-      events.append(conversationId, "error", { turnId, text: "Агент не залогинен в Claude на своём сервере. Владелец: выполни в терминале `claude` и пройди логин (или положи ANTHROPIC_API_KEY либо CLAUDE_CODE_OAUTH_TOKEN в gateway.env), затем повтори сообщение — перезапуск шлюза не нужен.\n\n" + truncate(text, 300) });
-      return "агент не залогинен в Claude, нужен владелец";
+      events.append(conversationId, "error", { turnId, text: "Шлюз не смог войти в Claude. Тому, кто ведёт сервер агента: проверьте ANTHROPIC_API_KEY (ключ Claude Console) или CLAUDE_CODE_OAUTH_TOKEN (токен подписки) в окружении шлюза, перезапустите шлюз и повторите сообщение.\n\n" + truncate(text, 300) });
+      return "шлюз не вошёл в Claude: нужен ключ в окружении шлюза";
     }
     if (/usage limit|rate limit|429|overloaded|529|too many requests|quota/i.test(text)) {
       events.append(conversationId, "error", { turnId, text: "Упёрлись в лимит: " + truncate(text, 300) + "\n\nЭто лимит подписки или скорости API, а не ошибка задачи. Подожди, пока окно лимита обновится, или переведи разговор на более дешёвую модель, потом повтори сообщение." });
@@ -789,6 +795,7 @@ export function startGateway({ defaults = {}, instructions = [], turnOptions } =
 
   const tunnel = startTunnel({
     keyFile,
+    configDir: path.dirname(path.resolve(configPath)),
     agentName: cfg.agentName,
     version: VERSION,
     events,

package/src/tunnel.js

@@ -23,7 +23,6 @@ const WAITING_RETRY_MS = 5000;
 const REFUSED_RETRY_MS = 30000;
 const LIMITED_RETRY_MS = 60000;
 const STATUS_KINDS = new Set(["user", "job", "turn-start", "turn-end", "permission", "permission-result", "question", "question-result", "agent-paused", "agent-resumed", "schedule-changed", "session-reset"]);
-const MISSING_KEY_HINT = "шлюз не подключён к FelisHub: выполните в этой папке команду из окна «Подключить агента» (felishub-gateway connect …)";
 
 function binaryFrame(id, payload) {
   const head = Buffer.alloc(4);
@@ -70,7 +69,7 @@ export function enrol({ hub, code, privateKey, details }) {
   });
 }
 
-export function startTunnel({ keyFile, agentName, version, events, status, handleCommand, onWorkspace, log }) {
+export function startTunnel({ keyFile, configDir, agentName, version, events, status, handleCommand, onWorkspace, log }) {
   let key = null;
   let keyStat = null;
   let rejectedKeyId = null;
@@ -99,7 +98,7 @@ export function startTunnel({ keyFile, agentName, version, events, status, handl
       const stat = fs.statSync(keyFile);
       return { stat, data: loadKey(keyFile) };
     } catch (err) {
-      if (err.code === "ENOENT") hint(MISSING_KEY_HINT);
+      if (err.code === "ENOENT") hint(`шлюз не подключён к FelisHub: выполните в папке ${configDir} команду из окна «Подключить агента» (felishub-gateway connect …)`);
       else notice(`tunnel: cannot read key file ${keyFile}: ${err.message}`);
       return null;
     }