layero 0.11.5 → 0.11.7

package/README.md

@@ -122,8 +122,10 @@ Run `layero <cmd> --help` for full options.
   separate `cli` environment). A project without a repository is always
   published live.
 - `--branch <name>` — **refused** (`branch_unsupported`, exit 4), see above.
-- `--claim` — deploy without an account: a temporary project for 72 hours
-  plus a `claim_url` for a human to take it over. Turns on by itself when
+- `--claim` — deploy without an account: a temporary site for 1 hour
+  plus a `claim_url` for a human to take it over. Static sites and SPAs only:
+  a server app (SSR, fullstack, container) is refused before anything is
+  uploaded (`claim_static_only`, exit 4). Turns on by itself when
   there is no token, the run is non-interactive (an agent, not CI), `--yes`
   is passed and the project is new: no `--project`, and the folder is not
   linked to an account project. An existing project without a token means
@@ -143,11 +145,16 @@ The platform creates a temporary project and a token for it; the CLI deploys
 with that token and prints, before `ready`:
 
 ```
-{"event":"claimable","url":"https://swift-fox.layero.app","claim_url":"https://app.layero.ru/claim?code=…","expires_at":"…"}
+{"event":"claimable","url":"https://k3v9q2m8x7w1c4r6t0y5u2ze.layero.app","claim_url":"https://app.layero.ru/claim?code=…","expires_at":"…"}
 ```
 
-The site lives for 72 hours. A human opens `claim_url`, signs in and takes
-the project into their account — the CLI cannot accept a claim by itself.
+The site lives for 1 hour, then stops answering and is deleted. Only static
+sites and SPAs are accepted: a server app needs an account. The address is
+random (the folder name and `--name` do not go into it), and the site is
+closed to search engines: `robots.txt` with `Disallow: /` and
+`X-Robots-Tag: noindex, nofollow`. A human opens `claim_url`, signs in and
+takes the project into their account — the CLI cannot accept a claim by
+itself.
 The claim code is saved in `.layero/project.json`; the temporary token stays
 in `~/.layero/config.json`, so `layero deploy` in the same directory keeps
 updating the same site until the claim expires or is accepted.

package/dist/agent.js

@@ -343,7 +343,7 @@ function renderHuman(event) {
             break;
         case "claimable":
             process.stdout.write(`→ Временный проект ${event.slug}: ${event.url}\n`);
-            process.stdout.write(`  Сайт живёт до ${event.expires_at} (72 часа). Забрать в аккаунт: ${event.claim_url}\n`);
+            process.stdout.write(`  Сайт живёт до ${event.expires_at} (час). Забрать в аккаунт: ${event.claim_url}\n`);
             break;
         case "claim_status":
             process.stdout.write(`Код ${event.code}: ${event.status}${event.claimed ? " (забран)" : ""}` +

package/dist/bin/layero.js

@@ -453,7 +453,9 @@ async function main() {
         .option("--branch <name>", "REFUSED (branch_unsupported, exit 4): archive uploads always land in the " +
         "reserved `cli` environment, so this flag cannot give you a preview. " +
         "Branch previews come from pushing to a connected repository.")
-        .option("--claim", "deploy without an account: a temporary project for 72 hours plus a claim_url for a human to take it over. " +
+        .option("--claim", "deploy without an account: a temporary site for 1 hour plus a claim_url for a human to take it over. " +
+        "Static sites and SPAs only — a server app (SSR, fullstack, container) is refused (claim_static_only, exit 4). " +
+        "The address is random and closed to search engines. " +
         "Turns on by itself when there is no token, the run is non-interactive (agent, not CI), --yes is passed " +
         "and the project is new (no --project, folder not linked to an account project). " +
         "Refused together with --project (claim_with_project, exit 4).")

package/dist/commands/claim.js

@@ -9,7 +9,7 @@ import { dashboardOrigin } from "../urls.js";
  *
  * Сценарий: агент работает без аккаунта Layero — токена нет, браузера нет,
  * человек не рядом. Платформа заводит временный проект и выдаёт токен на
- * него; сайт живёт 72 часа; человек забирает его в свой аккаунт по ссылке
+ * него; сайт живёт час; человек забирает его в свой аккаунт по ссылке
  * `claim_url`. Принять заявку можно ТОЛЬКО в панели: CLI и агент не
  * подтверждают её ни при каких флагах.
  */

package/dist/commands/deploy.js

@@ -193,7 +193,43 @@ function isLegacyInitGuess(cfg) {
         cfg.build_cmd === "true" &&
         cfg.output_dir === ".");
 }
-async function resolveSetupConfig(cwd, opts, existing, projectFramework) {
+/**
+ * 🚨 ПЕСОЧНИЦА — ТОЛЬКО СТАТИКА И SPA (T-20260919-10, решение владельца
+ * 19.09.2026). Серверное приложение (SSR, fullstack, контейнер) без аккаунта
+ * не выкладывается: это анонимный процесс с выходом в интернет на общем узле.
+ * Проверка ДО того, как заведена песочница и уехал архив; платформа и сборщик
+ * откажут и сами, но уже потратив чужую минуту.
+ */
+async function assertSandboxServesFiles(cwd, opts, existing, detectFolder) {
+    if (opts.prebuilt)
+        return; // готовая сборка — это файлы по определению
+    const h = hintsFor(cwd, opts, existing);
+    const kind = h.asRuntime ?? (await detectFolder(h.detectCwd, h.hint, h.hintSource)).runtime_kind ?? null;
+    if (!kind)
+        return;
+    throw new LayeroError("claim_static_only", `деплой без аккаунта (--claim) выкладывает только статику и SPA, а эта папка — серверное приложение (${kind})`, "sign in and deploy from the account: `npx layero@latest login`, then run the same deploy without --claim");
+}
+/**
+ * 🚨 ДЕТЕКТ — ОДИН НА ВЫКАТКУ. Гейт core «входов анализа не становится
+ * больше» считает запуски детекта в этом файле: каждый лишний — ещё один
+ * снимок папки со своей полнотой, и два снимка рано или поздно разойдутся.
+ * Проверка песочницы (до заявки) и план сборки (после входа) берут один
+ * результат по одинаковым входам.
+ */
+function oneDetectionPerRun() {
+    const memo = new Map();
+    return (detectCwd, hint, hintSource) => {
+        const key = `${detectCwd}\u0000${hint ?? ""}\u0000${hintSource}`;
+        let run = memo.get(key);
+        if (!run) {
+            run = detectProject(detectCwd, { frameworkHint: hint, hintSource });
+            memo.set(key, run);
+        }
+        return run;
+    };
+}
+/** Входы детекта: папка (с `--root`) и подсказка фреймворка с её источником. */
+function hintsFor(cwd, opts, existing, projectFramework) {
     // Honour --root when auto-detecting: the framework signals live in the
     // monorepo subdir, not the repo root.
     const detectCwd = opts.root ? path.join(cwd, opts.root) : cwd;
@@ -206,10 +242,12 @@ async function resolveSetupConfig(cwd, opts, existing, projectFramework) {
     const own = isLegacyInitGuess(existing) ? null : existing;
     const fileHint = own?.framework_hint ?? null;
     const hint = typeHint ?? fileHint ?? projectFramework ?? null;
-    const detected = await detectProject(detectCwd, {
-        frameworkHint: hint,
-        hintSource: typeHint ? "--type" : fileHint ? ".layero/project.json" : "project settings",
-    });
+    const hintSource = typeHint ? "--type" : fileHint ? ".layero/project.json" : "project settings";
+    return { detectCwd, asRuntime, typeHint, own, fileHint, hint, hintSource };
+}
+async function resolveSetupConfig(cwd, opts, existing, projectFramework, detectFolder) {
+    const { detectCwd, asRuntime, typeHint, own, fileHint, hint, hintSource } = hintsFor(cwd, opts, existing, projectFramework);
+    const detected = await detectFolder(detectCwd, hint, hintSource);
     emit(detectedEvent(detected));
     return {
         detected,
@@ -405,7 +443,7 @@ async function dryRun(cwd, opts, existing, cliCfg) {
         });
         return;
     }
-    const setup = await resolveSetupConfig(cwd, { ...opts, root: root ?? undefined }, existing, project?.framework_hint ?? null);
+    const setup = await resolveSetupConfig(cwd, { ...opts, root: root ?? undefined }, existing, project?.framework_hint ?? null, oneDetectionPerRun());
     const d = setup.detected;
     let buildCmd = d.build_cmd;
     let outputDir = d.output_dir;
@@ -485,6 +523,7 @@ export async function waitUntilServing(url, budgetMs = SERVE_WAIT_MS) {
 }
 export async function deployCmd(opts) {
     const mode = detectMode();
+    const detectFolder = oneDetectionPerRun();
     if (opts.type &&
         !VALID_TYPES.has(opts.type.toLowerCase()) &&
         !runtimeTypeOf(opts.type)) {
@@ -533,6 +572,7 @@ export async function deployCmd(opts) {
             ? claimTokenFor(cliCfg, existing?.project_id)
             : undefined;
         if (reuse) {
+            await assertSandboxServesFiles(cwd, opts, existing, detectFolder);
             cliCfg = { ...cliCfg, token: reuse };
             // Повторная выкатка песочницы: ссылка «забрать» нужна агенту и здесь —
             // без неё он искал её в `.layero/project.json` (симуляция 18.09.2026).
@@ -546,8 +586,9 @@ export async function deployCmd(opts) {
             (!boundToAccountProject && !mode.interactive && !isCiEnv() && opts.yes)) {
             // 🚨 CI СЮДА НЕ ПОПАДАЕТ НАМЕРЕННО. Раннер без LAYERO_TOKEN — это
             // забытый секрет, и правильный ответ ему — отказ, а не сайт на
-            // временном адресе, который через 72 часа исчезнет вместе с
-            // «зелёным» прогоном. Явный `--claim` в CI работает.
+            // временном адресе, который через час исчезнет вместе с «зелёным»
+            // прогоном. Явный `--claim` в CI работает.
+            await assertSandboxServesFiles(cwd, opts, existing, detectFolder);
             const r = await createClaimable(cliCfg, cwd, {
                 name: opts.name ?? path.basename(cwd),
             });
@@ -614,7 +655,7 @@ export async function deployCmd(opts) {
     // выкатку из исходников.
     const setup = prebuiltDir
         ? { framework_hint: null, build_cmd: null, output_dir: null }
-        : await resolveSetupConfig(cwd, opts, existing);
+        : await resolveSetupConfig(cwd, opts, existing, undefined, detectFolder);
     if (prebuiltDir) {
         emit({ event: "prebuilt", dir: prebuiltDir });
     }

package/dist/detect.js

@@ -460,6 +460,38 @@ async function findServerEntry(cwd, pkg) {
     }
     return null;
 }
+/**
+ * Сервер, привязанный к localhost: снаружи контейнера до него не достучаться,
+ * и запуск оборвётся по таймауту — а текст отказа причину не называет
+ * (чистая комната 19.09.2026, T-20260919-9). Сборщик судит по команде запуска;
+ * здесь — по коду точки входа, до первого деплоя.
+ */
+const LOOPBACK_LISTEN_RE = /\.listen\s*\([^;\n]*?["'`](127\.0\.0\.1|localhost|::1)["'`]|host\s*[:=]\s*["'](127\.0\.0\.1|localhost)["']|--host[= ]+(127\.0\.0\.1|localhost)\b/;
+/** Файл, который запускает команда `node|tsx|ts-node <file>`. */
+function entryFromStart(start) {
+    const m = start?.match(/^(?:node|tsx|ts-node|bun)\s+(?:--[\w-]+\s+)*([^\s&|;]+\.(?:m?js|cjs|ts|mts))/);
+    return m?.[1] ?? null;
+}
+function loopbackNote(entry) {
+    return `${entry} binds the server to localhost (127.0.0.1): unreachable from outside the container, so the launch times out and the failure text does not say why. Listen on 0.0.0.0 and $PORT.`;
+}
+/** Точка входа, которая слушает только localhost, — или null. */
+async function loopbackEntry(cwd, pkg, start) {
+    const names = [
+        ...(entryFromStart(start) ? [entryFromStart(start)] : []),
+        ...(typeof pkg?.main === "string" ? [pkg.main] : []),
+        ...SERVER_ENTRY_CANDIDATES,
+        "server/index.ts", "src/index.ts", "src/server.ts", "src/main.ts", "main.py", "app.py",
+    ];
+    for (const n of names) {
+        const text = await readText(path.join(cwd, n));
+        if (text !== null && LOOPBACK_LISTEN_RE.test(text.slice(0, 64 * 1024)))
+            return n;
+    }
+    if (start && /--host[= ]+(127\.0\.0\.1|localhost)\b/.test(start))
+        return "start script";
+    return null;
+}
 /** Первая папка с index.html, если в корне его нет, — по правилу сборщика
  * (`discover_served_root`): мельчайшая, затем по алфавиту. */
 async function servedSubdir(cwd, maxDepth = 3) {
@@ -587,6 +619,19 @@ async function detectFromSnapshot(cwd, snap, opts) {
         }
         // node_web / python_web / streamlit / gradio / fullstack: the container
         // serves the app, nothing is uploaded as static files from this plan.
+        const runtimeNotes = [];
+        if (plan.projectKind === "fullstack") {
+            runtimeNotes.push("Full-stack layout from layero.json: the frontend is served as files, the backend runs in a container.");
+        }
+        {
+            // Узнанный сервер тоже падает на запуске, если слушает localhost, — а
+            // текст отказа причину не называет (T-20260919-9).
+            const pkg = snap.packageJson;
+            const start = str(layero?.start) ?? str(layero?.startCommand) ?? scriptOf(pkg, "start");
+            const loop = await loopbackEntry(cwd, pkg, start);
+            if (loop)
+                runtimeNotes.push(loopbackNote(loop));
+        }
         return {
             framework_hint: plan.framework,
             build_cmd: null,
@@ -594,9 +639,7 @@ async function detectFromSnapshot(cwd, snap, opts) {
             confident: true,
             runtime_kind: plan.projectType,
             sources,
-            ...(plan.projectKind === "fullstack"
-                ? { hint: "Full-stack layout from layero.json: the frontend is served as files, the backend runs in a container." }
-                : {}),
+            ...(runtimeNotes.length ? { hint: runtimeNotes.join(" ") } : {}),
         };
     }
     const framework = plan.framework;
@@ -681,6 +724,20 @@ async function detectFromSnapshot(cwd, snap, opts) {
         outputDir = fileOutput;
         outputSource = "layero.json";
     }
+    {
+        const pkg = snap.packageJson;
+        const buildScript = scriptOf(pkg, "build");
+        // Проверка типов внутри сборки: на платформе она упадёт так же, как
+        // локально, а деплой ради этого — потраченная сборка (чистая комната 19.09).
+        if (buildScript && /(^|[\s&;])tsc\b/.test(buildScript) && !/\bnoEmit\b.*\|\|/.test(buildScript)) {
+            notes.push(`The build script runs the TypeScript checker (\`${buildScript}\`): a type error fails the build on the platform exactly as it does locally — run it locally before deploying.`);
+        }
+        const loop = await loopbackEntry(cwd, pkg, scriptOf(pkg, "start"));
+        // Форма узнана верно, поэтому `confident` не трогаем: это дефект кода,
+        // а не догадка детекта — и агенту нужен именно этот текст.
+        if (loop)
+            notes.push(loopbackNote(loop));
+    }
     const warning = ssrWarning(snap, framework);
     const hint = [shape?.hint, ...notes].filter(Boolean).join(" ");
     return {

package/dist/exit-codes.js

@@ -49,6 +49,7 @@ const INVALID_INPUT = new Set([
     "sql_missing",
     "branch_unsupported",
     "claim_with_project",
+    "claim_static_only",
     "provider_unknown",
     "repo_format",
     "token_missing",

package/dist/logs.js

@@ -10,6 +10,7 @@ const POLL_INTERVAL_MS = 1500;
 // Теперь: таймаут на запрос (api.ts), до MAX_POLL_FAILURES сбоев ПОДРЯД с
 // растущей паузой, и свой код ошибки с подсказкой, где смотреть итог.
 const MAX_POLL_FAILURES = 8;
+const QUEUED_EVERY_MS = 15_000;
 const RETRY_BASE_MS = 1500;
 const RETRY_CAP_MS = 10_000;
 /** Сбой, который повторять бессмысленно: сервер ответил отказом по существу. */
@@ -53,10 +54,17 @@ export async function streamDeployLogs(api, deployId) {
     let lastStage = null;
     let hiddenNoted = false;
     let failures = 0;
+    // Этап объявляется один раз: строки прошлого этапа приходят вперемешку с
+    // началом нового, и `announce` по строке дублировал `clone`/`probe`
+    // (чистая комната 19.09.2026).
+    const announced = new Set();
+    const startedAt = Date.now();
+    let lastQueuedAt = startedAt;
     const sleep = (ms) => new Promise((res) => setTimeout(res, retryDelayScale() * ms));
     const announce = (name) => {
-        if (name === lastStage)
+        if (name === lastStage || announced.has(name))
             return;
+        announced.add(name);
         lastStage = name;
         if (json) {
             emit({ event: "stage", name });
@@ -112,6 +120,13 @@ export async function streamDeployLogs(api, deployId) {
         }
         if (poll.current_stage)
             announce(poll.current_stage);
+        if (json &&
+            poll.status === "queued" &&
+            announced.size === 0 &&
+            Date.now() - lastQueuedAt >= QUEUED_EVERY_MS) {
+            lastQueuedAt = Date.now();
+            emit({ event: "queued", waited_s: Math.round((Date.now() - startedAt) / 1000) });
+        }
         if (poll.terminal) {
             return poll;
         }

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "layero",
-  "version": "0.11.5",
+  "version": "0.11.7",
   "description": "Layero CLI — deploy a directory or a repo to hosting with build servers in Russia. JSON events and exit codes for AI agents and CI.",
   "license": "MIT",
   "type": "module",