layero 0.11.6 → 0.11.7

package/README.md

@@ -122,8 +122,10 @@ Run `layero <cmd> --help` for full options.
   separate `cli` environment). A project without a repository is always
   published live.
 - `--branch <name>` — **refused** (`branch_unsupported`, exit 4), see above.
-- `--claim` — deploy without an account: a temporary project for 72 hours
-  plus a `claim_url` for a human to take it over. Turns on by itself when
+- `--claim` — deploy without an account: a temporary site for 1 hour
+  plus a `claim_url` for a human to take it over. Static sites and SPAs only:
+  a server app (SSR, fullstack, container) is refused before anything is
+  uploaded (`claim_static_only`, exit 4). Turns on by itself when
   there is no token, the run is non-interactive (an agent, not CI), `--yes`
   is passed and the project is new: no `--project`, and the folder is not
   linked to an account project. An existing project without a token means
@@ -143,11 +145,16 @@ The platform creates a temporary project and a token for it; the CLI deploys
 with that token and prints, before `ready`:
 
 ```
-{"event":"claimable","url":"https://swift-fox.layero.app","claim_url":"https://app.layero.ru/claim?code=…","expires_at":"…"}
+{"event":"claimable","url":"https://k3v9q2m8x7w1c4r6t0y5u2ze.layero.app","claim_url":"https://app.layero.ru/claim?code=…","expires_at":"…"}
 ```
 
-The site lives for 72 hours. A human opens `claim_url`, signs in and takes
-the project into their account — the CLI cannot accept a claim by itself.
+The site lives for 1 hour, then stops answering and is deleted. Only static
+sites and SPAs are accepted: a server app needs an account. The address is
+random (the folder name and `--name` do not go into it), and the site is
+closed to search engines: `robots.txt` with `Disallow: /` and
+`X-Robots-Tag: noindex, nofollow`. A human opens `claim_url`, signs in and
+takes the project into their account — the CLI cannot accept a claim by
+itself.
 The claim code is saved in `.layero/project.json`; the temporary token stays
 in `~/.layero/config.json`, so `layero deploy` in the same directory keeps
 updating the same site until the claim expires or is accepted.

package/dist/agent.js

@@ -343,7 +343,7 @@ function renderHuman(event) {
             break;
         case "claimable":
             process.stdout.write(`→ Временный проект ${event.slug}: ${event.url}\n`);
-            process.stdout.write(`  Сайт живёт до ${event.expires_at} (72 часа). Забрать в аккаунт: ${event.claim_url}\n`);
+            process.stdout.write(`  Сайт живёт до ${event.expires_at} (час). Забрать в аккаунт: ${event.claim_url}\n`);
             break;
         case "claim_status":
             process.stdout.write(`Код ${event.code}: ${event.status}${event.claimed ? " (забран)" : ""}` +

package/dist/bin/layero.js

@@ -453,7 +453,9 @@ async function main() {
         .option("--branch <name>", "REFUSED (branch_unsupported, exit 4): archive uploads always land in the " +
         "reserved `cli` environment, so this flag cannot give you a preview. " +
         "Branch previews come from pushing to a connected repository.")
-        .option("--claim", "deploy without an account: a temporary project for 72 hours plus a claim_url for a human to take it over. " +
+        .option("--claim", "deploy without an account: a temporary site for 1 hour plus a claim_url for a human to take it over. " +
+        "Static sites and SPAs only — a server app (SSR, fullstack, container) is refused (claim_static_only, exit 4). " +
+        "The address is random and closed to search engines. " +
         "Turns on by itself when there is no token, the run is non-interactive (agent, not CI), --yes is passed " +
         "and the project is new (no --project, folder not linked to an account project). " +
         "Refused together with --project (claim_with_project, exit 4).")

package/dist/commands/claim.js

@@ -9,7 +9,7 @@ import { dashboardOrigin } from "../urls.js";
  *
  * Сценарий: агент работает без аккаунта Layero — токена нет, браузера нет,
  * человек не рядом. Платформа заводит временный проект и выдаёт токен на
- * него; сайт живёт 72 часа; человек забирает его в свой аккаунт по ссылке
+ * него; сайт живёт час; человек забирает его в свой аккаунт по ссылке
  * `claim_url`. Принять заявку можно ТОЛЬКО в панели: CLI и агент не
  * подтверждают её ни при каких флагах.
  */

package/dist/commands/deploy.js

@@ -193,7 +193,43 @@ function isLegacyInitGuess(cfg) {
         cfg.build_cmd === "true" &&
         cfg.output_dir === ".");
 }
-async function resolveSetupConfig(cwd, opts, existing, projectFramework) {
+/**
+ * 🚨 ПЕСОЧНИЦА — ТОЛЬКО СТАТИКА И SPA (T-20260919-10, решение владельца
+ * 19.09.2026). Серверное приложение (SSR, fullstack, контейнер) без аккаунта
+ * не выкладывается: это анонимный процесс с выходом в интернет на общем узле.
+ * Проверка ДО того, как заведена песочница и уехал архив; платформа и сборщик
+ * откажут и сами, но уже потратив чужую минуту.
+ */
+async function assertSandboxServesFiles(cwd, opts, existing, detectFolder) {
+    if (opts.prebuilt)
+        return; // готовая сборка — это файлы по определению
+    const h = hintsFor(cwd, opts, existing);
+    const kind = h.asRuntime ?? (await detectFolder(h.detectCwd, h.hint, h.hintSource)).runtime_kind ?? null;
+    if (!kind)
+        return;
+    throw new LayeroError("claim_static_only", `деплой без аккаунта (--claim) выкладывает только статику и SPA, а эта папка — серверное приложение (${kind})`, "sign in and deploy from the account: `npx layero@latest login`, then run the same deploy without --claim");
+}
+/**
+ * 🚨 ДЕТЕКТ — ОДИН НА ВЫКАТКУ. Гейт core «входов анализа не становится
+ * больше» считает запуски детекта в этом файле: каждый лишний — ещё один
+ * снимок папки со своей полнотой, и два снимка рано или поздно разойдутся.
+ * Проверка песочницы (до заявки) и план сборки (после входа) берут один
+ * результат по одинаковым входам.
+ */
+function oneDetectionPerRun() {
+    const memo = new Map();
+    return (detectCwd, hint, hintSource) => {
+        const key = `${detectCwd}\u0000${hint ?? ""}\u0000${hintSource}`;
+        let run = memo.get(key);
+        if (!run) {
+            run = detectProject(detectCwd, { frameworkHint: hint, hintSource });
+            memo.set(key, run);
+        }
+        return run;
+    };
+}
+/** Входы детекта: папка (с `--root`) и подсказка фреймворка с её источником. */
+function hintsFor(cwd, opts, existing, projectFramework) {
     // Honour --root when auto-detecting: the framework signals live in the
     // monorepo subdir, not the repo root.
     const detectCwd = opts.root ? path.join(cwd, opts.root) : cwd;
@@ -206,10 +242,12 @@ async function resolveSetupConfig(cwd, opts, existing, projectFramework) {
     const own = isLegacyInitGuess(existing) ? null : existing;
     const fileHint = own?.framework_hint ?? null;
     const hint = typeHint ?? fileHint ?? projectFramework ?? null;
-    const detected = await detectProject(detectCwd, {
-        frameworkHint: hint,
-        hintSource: typeHint ? "--type" : fileHint ? ".layero/project.json" : "project settings",
-    });
+    const hintSource = typeHint ? "--type" : fileHint ? ".layero/project.json" : "project settings";
+    return { detectCwd, asRuntime, typeHint, own, fileHint, hint, hintSource };
+}
+async function resolveSetupConfig(cwd, opts, existing, projectFramework, detectFolder) {
+    const { detectCwd, asRuntime, typeHint, own, fileHint, hint, hintSource } = hintsFor(cwd, opts, existing, projectFramework);
+    const detected = await detectFolder(detectCwd, hint, hintSource);
     emit(detectedEvent(detected));
     return {
         detected,
@@ -405,7 +443,7 @@ async function dryRun(cwd, opts, existing, cliCfg) {
         });
         return;
     }
-    const setup = await resolveSetupConfig(cwd, { ...opts, root: root ?? undefined }, existing, project?.framework_hint ?? null);
+    const setup = await resolveSetupConfig(cwd, { ...opts, root: root ?? undefined }, existing, project?.framework_hint ?? null, oneDetectionPerRun());
     const d = setup.detected;
     let buildCmd = d.build_cmd;
     let outputDir = d.output_dir;
@@ -485,6 +523,7 @@ export async function waitUntilServing(url, budgetMs = SERVE_WAIT_MS) {
 }
 export async function deployCmd(opts) {
     const mode = detectMode();
+    const detectFolder = oneDetectionPerRun();
     if (opts.type &&
         !VALID_TYPES.has(opts.type.toLowerCase()) &&
         !runtimeTypeOf(opts.type)) {
@@ -533,6 +572,7 @@ export async function deployCmd(opts) {
             ? claimTokenFor(cliCfg, existing?.project_id)
             : undefined;
         if (reuse) {
+            await assertSandboxServesFiles(cwd, opts, existing, detectFolder);
             cliCfg = { ...cliCfg, token: reuse };
             // Повторная выкатка песочницы: ссылка «забрать» нужна агенту и здесь —
             // без неё он искал её в `.layero/project.json` (симуляция 18.09.2026).
@@ -546,8 +586,9 @@ export async function deployCmd(opts) {
             (!boundToAccountProject && !mode.interactive && !isCiEnv() && opts.yes)) {
             // 🚨 CI СЮДА НЕ ПОПАДАЕТ НАМЕРЕННО. Раннер без LAYERO_TOKEN — это
             // забытый секрет, и правильный ответ ему — отказ, а не сайт на
-            // временном адресе, который через 72 часа исчезнет вместе с
-            // «зелёным» прогоном. Явный `--claim` в CI работает.
+            // временном адресе, который через час исчезнет вместе с «зелёным»
+            // прогоном. Явный `--claim` в CI работает.
+            await assertSandboxServesFiles(cwd, opts, existing, detectFolder);
             const r = await createClaimable(cliCfg, cwd, {
                 name: opts.name ?? path.basename(cwd),
             });
@@ -614,7 +655,7 @@ export async function deployCmd(opts) {
     // выкатку из исходников.
     const setup = prebuiltDir
         ? { framework_hint: null, build_cmd: null, output_dir: null }
-        : await resolveSetupConfig(cwd, opts, existing);
+        : await resolveSetupConfig(cwd, opts, existing, undefined, detectFolder);
     if (prebuiltDir) {
         emit({ event: "prebuilt", dir: prebuiltDir });
     }

package/dist/exit-codes.js

@@ -49,6 +49,7 @@ const INVALID_INPUT = new Set([
     "sql_missing",
     "branch_unsupported",
     "claim_with_project",
+    "claim_static_only",
     "provider_unknown",
     "repo_format",
     "token_missing",

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "layero",
-  "version": "0.11.6",
+  "version": "0.11.7",
   "description": "Layero CLI — deploy a directory or a repo to hosting with build servers in Russia. JSON events and exit codes for AI agents and CI.",
   "license": "MIT",
   "type": "module",