layero 0.9.5 → 0.10.1

package/dist/commands/projects.js

@@ -1,21 +1,188 @@
-import chalk from "chalk";
-import { ApiClient } from "../api.js";
+import readline from "node:readline/promises";
+import { ApiClient, ApiError } from "../api.js";
 import { loadConfig } from "../config.js";
-export async function projectsListCmd() {
+import { LayeroError, detectMode, emit } from "../agent.js";
+import { orgOf } from "./db.js";
+async function makeClient() {
     const cfg = await loadConfig();
     if (!cfg.token) {
-        console.error(chalk.yellow("not logged in. run `layero login` first."));
-        process.exitCode = 1;
-        return;
+        throw new LayeroError("auth_required", "вход не выполнен", "выполните `layero login` или задайте LAYERO_TOKEN");
     }
-    const api = new ApiClient(cfg);
+    return new ApiClient(cfg);
+}
+export async function projectsListCmd() {
+    const api = await makeClient();
     const list = await api.listProjects();
-    if (list.length === 0) {
-        console.log("no projects yet — `layero deploy` to create one.");
+    emit({
+        event: "projects",
+        projects: list.map((p) => ({
+            id: p.id,
+            slug: p.slug,
+            name: p.name,
+            organization: p.organization.slug,
+            url: `https://${p.apex_hostname}`,
+            source_type: p.source_type,
+            repo: p.repo_full_name ?? null,
+            status: p.status,
+        })),
+    });
+}
+/**
+ * `<provider>:<owner/repo>` → провайдер и путь. Путь у GitLab бывает
+ * вложенным (`group/sub/project`) — режем только по ПЕРВОМУ двоеточию.
+ */
+export function parseRepoRef(raw) {
+    const idx = raw.indexOf(":");
+    const provider = idx > 0 ? raw.slice(0, idx).trim().toLowerCase() : "";
+    const path = (idx > 0 ? raw.slice(idx + 1) : raw).trim().replace(/^\/+|\/+$/g, "");
+    if (!provider || !path.includes("/")) {
+        throw new LayeroError("repo_format", `не разобрать «${raw}»`, "формат: --repo <provider>:<owner/repo>, например --repo github:acme/site или --repo gitverse:acme/site; провайдеры — `layero sources list`");
+    }
+    return { provider, path };
+}
+/**
+ * `layero projects create --repo <provider>:<owner/repo>` — проект из
+ * репозитория без панели (этап 6 AX-аудита). Раньше путь (a) «есть
+ * репозиторий» начинался с кнопки «Импорт из репозитория», и агент, у
+ * которого панели нет, был вынужден выбирать путь (b) — заливать папку.
+ *
+ * GitHub — через ключ аккаунта установки App: сервер заводит проект и
+ * вебхук одним вызовом, иного режима у App нет. Остальные провайдеры — в два
+ * шага: проект, затем `connect-source`, потому что только он возвращает
+ * судьбу вебхука, а без вебхука push не собирается, и молчать об этом нельзя.
+ */
+export async function projectsCreateCmd(opts) {
+    if (!opts.repo) {
+        throw new LayeroError("repo_format", "не указан репозиторий", "`layero projects create --repo <provider>:<owner/repo>`; папку без репозитория выкладывает `layero deploy`");
+    }
+    const { provider, path } = parseRepoRef(opts.repo);
+    const api = await makeClient();
+    const org = await orgOf(api, opts);
+    const accounts = await api.listImportAccounts(org);
+    const candidates = accounts.filter((a) => a.provider === provider);
+    if (candidates.length === 0) {
+        const known = [...new Set(accounts.map((a) => a.provider))];
+        throw new LayeroError("account_not_found", `в организации «${org}» нет подключения к ${provider}`, known.length
+            ? `подключены: ${known.join(", ")}; добавить — \`layero sources connect ${provider} --token-stdin\``
+            : `добавьте подключение: \`layero sources connect ${provider} --token-stdin\` (GitHub — установкой App в панели)`);
+    }
+    const account = candidates.find((a) => a.status === "active" && a.can_import !== false) ?? candidates[0];
+    if (account.status !== "active" || account.can_import === false) {
+        throw new LayeroError("account_not_found", `подключение ${provider} (${account.login}) в состоянии ${account.status}${account.status_note ? `: ${account.status_note}` : ""}`, account.configure_url ?? "переподключите провайдер: `layero sources connect …`");
+    }
+    // Репозиторий сверяем по списку аккаунта: опечатка в пути даёт понятный
+    // отказ здесь, а не 502 от провайдера после создания проекта.
+    const repos = await api.listImportRepos(org, account.key);
+    const repo = repos.find((r) => r.path.toLowerCase() === path.toLowerCase());
+    if (!repo) {
+        const sample = repos.slice(0, 8).map((r) => r.path).join(", ");
+        throw new LayeroError("repo_not_found", `репозиторий «${path}» не виден подключению ${provider} (${account.login})`, sample ? `доступны: ${sample}${repos.length > 8 ? ", …" : ""}` : "у подключения нет ни одного репозитория");
+    }
+    if (repo.imported_project_ids.length > 0) {
+        throw new LayeroError("repo_already_imported", `репозиторий «${repo.path}» уже привязан к проекту ${repo.imported_project_ids.join(", ")}`, "`layero link <id>` — привязать папку к нему; второй проект из того же репозитория заводится в панели");
+    }
+    const branch = opts.branch ?? repo.default_branch ?? "main";
+    const name = opts.name ?? repo.name;
+    let project;
+    if (account.key.startsWith("github:")) {
+        project = await api.createProjectFromAccount({
+            name,
+            organization_slug: org,
+            source_account_key: account.key,
+            repo_path: repo.path,
+            default_branch: branch,
+        });
+        emitCreated(project, repo.path, branch);
+        emit({ event: "source_connected", org, connection_id: account.key, provider, account: account.login });
+        // У GitHub App вебхук — часть установки: без него App не существует.
+        emit({ event: "webhook_installed", project: project.slug, url: "" });
         return;
     }
-    for (const p of list) {
-        const tag = p.source_type === "cli" ? chalk.magenta("[cli]") : chalk.blue("[gh] ");
-        console.log(`${tag} ${chalk.bold(p.slug)}  ${chalk.dim(p.id)}  https://${p.apex_hostname}`);
+    const connectionId = account.key.replace(/^connection:/, "");
+    project = await api.createCliProject({ name, organization_slug: org });
+    let connected;
+    try {
+        connected = await api.connectSource(project.id, {
+            connection_id: connectionId,
+            repo_path: repo.path,
+            branch,
+        });
+    }
+    catch (err) {
+        // Проект без источника бесполезен и занимает адрес — убираем. Удаление
+        // требует scope admin; без него проект останется, и мы это скажем.
+        let cleaned = false;
+        try {
+            await api.deleteProject(project.id);
+            cleaned = true;
+        }
+        catch {
+            /* нет прав или сеть — скажем словами ниже */
+        }
+        const reason = err instanceof ApiError ? err.body.slice(0, 300) : String(err);
+        throw new LayeroError("source_connect_failed", `репозиторий не привязался: ${reason}`, cleaned
+            ? "проект удалён; проверьте токен подключения (`layero sources list`) и повторите"
+            : `проект ${project.slug} создан без репозитория — привяжите в панели или удалите: \`layero projects delete ${project.slug} --yes\``);
+    }
+    emitCreated(connected.project, repo.path, branch);
+    emit({ event: "source_connected", org, connection_id: connectionId, provider, account: account.login });
+    if (connected.webhook_registered) {
+        emit({ event: "webhook_installed", project: connected.project.slug, url: connected.webhook_url });
+    }
+    else {
+        emit({
+            event: "webhook_unavailable",
+            project: connected.project.slug,
+            url: connected.webhook_url,
+            hint: connected.webhook_hint ??
+                "провайдер не дал создать вебхук этим токеном — заведите его в настройках репозитория вручную",
+        });
+    }
+}
+function emitCreated(project, repo, branch) {
+    emit({
+        event: "project_created",
+        project_id: project.id,
+        slug: project.slug,
+        organization: project.organization.slug,
+        url: `https://${project.apex_hostname}`,
+        repo,
+        branch,
+    });
+}
+/**
+ * `layero projects delete <slug> --yes` — необратимо. Маршрут требует у
+ * токена scope `admin`: токен по умолчанию (`read`+`deploy`) получит
+ * `forbidden`, и это правильно — агент с деплой-токеном не должен уметь
+ * снести проект.
+ */
+export async function projectsDeleteCmd(ref, opts) {
+    const api = await makeClient();
+    const project = await api.resolveProject(ref);
+    const mode = detectMode();
+    if (!opts.yes) {
+        if (!mode.interactive) {
+            throw new LayeroError("confirmation_required", `удаление проекта ${project.slug} (${project.apex_hostname}) необратимо, а подтвердить его здесь некому`, `покажите это человеку и повторите с --yes: \`layero projects delete ${project.slug} --yes\``);
+        }
+        const rl = readline.createInterface({ input: process.stdin, output: process.stdout });
+        try {
+            const answer = (await rl.question(`Удалить проект ${project.slug} и сайт https://${project.apex_hostname}? Необратимо. Введите слаг для подтверждения: `)).trim();
+            if (answer !== project.slug) {
+                throw new LayeroError("confirmation_required", "удаление отменено", "введите слаг проекта точно, как показан");
+            }
+        }
+        finally {
+            rl.close();
+        }
+    }
+    try {
+        await api.deleteProject(project.id);
+    }
+    catch (err) {
+        if (err instanceof ApiError && err.status === 403) {
+            throw new LayeroError("forbidden", "удаление проекта требует токена со scope admin", "выпустите токен: `layero token create <имя> --scope admin` — или удалите проект в панели");
+        }
+        throw err;
     }
+    emit({ event: "project_deleted", project_id: project.id, slug: project.slug });
 }

package/dist/commands/sources.js

@@ -0,0 +1,127 @@
+import { ApiClient, ApiError } from "../api.js";
+import { loadConfig } from "../config.js";
+import { LayeroError, emit } from "../agent.js";
+import { orgOf } from "./db.js";
+async function makeClient() {
+    const cfg = await loadConfig();
+    if (!cfg.token) {
+        throw new LayeroError("auth_required", "вход не выполнен", "выполните `layero login` или задайте LAYERO_TOKEN");
+    }
+    return new ApiClient(cfg);
+}
+/** `layero sources list` — провайдеры, которые платформа умеет, и подключения организации. */
+export async function sourcesListCmd(opts) {
+    const api = await makeClient();
+    const org = await orgOf(api, opts);
+    const [providers, connections] = await Promise.all([
+        api.listSourceProviders(org),
+        api.listSourceConnections(org),
+    ]);
+    emit({
+        event: "sources",
+        org,
+        providers: providers.map((p) => ({
+            id: p.id,
+            title: p.title,
+            self_hosted: p.self_hosted,
+            webhook_supported: p.webhook_supported,
+            token_hint: p.token_hint ?? null,
+        })),
+        connections: connections.map((c) => ({
+            id: c.id,
+            provider: c.provider_id,
+            account: c.external_account,
+            status: c.status,
+            projects_count: c.projects_count,
+            token_expiry_state: c.token_expiry_state,
+            last_error: c.last_error,
+        })),
+    });
+}
+/** Читает stdin целиком — для `--token-stdin`. */
+async function readStdin() {
+    const chunks = [];
+    for await (const chunk of process.stdin) {
+        chunks.push(Buffer.isBuffer(chunk) ? chunk : Buffer.from(chunk));
+    }
+    return Buffer.concat(chunks).toString("utf-8");
+}
+/**
+ * `layero sources connect <provider> --token-stdin` — подключить провайдера
+ * по PAT. Токен принимается флагом `--token` (для скриптов, где история не
+ * пишется) и через stdin (`--token-stdin`): в истории shell и в транскрипте
+ * агента `--token ghp_…` остаётся навсегда, а `echo $PAT | … --token-stdin`
+ * — нет. Сервер проверяет токен до записи и наружу его не возвращает.
+ *
+ * Список провайдеров — `/organizations/{slug}/source-providers`: сверяем до
+ * запроса, чтобы опечатка дала список, а не 400.
+ */
+export async function sourcesConnectCmd(provider, opts) {
+    const api = await makeClient();
+    const org = await orgOf(api, opts);
+    const providers = await api.listSourceProviders(org);
+    const spec = providers.find((p) => p.id === provider.trim().toLowerCase());
+    if (!spec) {
+        throw new LayeroError("provider_unknown", `провайдера «${provider}» нет`, `доступны: ${providers.map((p) => p.id).join(", ")}; GitHub подключается установкой App в панели`);
+    }
+    if (opts.baseUrl && !spec.self_hosted) {
+        throw new LayeroError("bad_format", `${spec.title} не поддерживает собственный инстанс`, "уберите --base-url");
+    }
+    let token = (opts.token ?? "").trim();
+    if (opts.tokenStdin) {
+        token = (await readStdin()).trim();
+    }
+    if (!token) {
+        throw new LayeroError("token_missing", "не передан токен провайдера", `${spec.token_hint ? spec.token_hint + ". " : ""}Передайте его через stdin: \`echo "$PAT" | layero sources connect ${spec.id} --token-stdin\``);
+    }
+    let created;
+    try {
+        created = await api.createSourceConnection(org, {
+            provider_id: spec.id,
+            token,
+            display_name: opts.name ?? null,
+            base_url: opts.baseUrl ?? null,
+        });
+    }
+    catch (err) {
+        if (err instanceof ApiError && err.status === 502) {
+            throw new LayeroError("source_rejected", `${spec.title} не принял токен: ${err.body.slice(0, 300)}`, spec.token_hint ?? "проверьте токен и его права");
+        }
+        throw err;
+    }
+    emit({
+        event: "source_connected",
+        org,
+        connection_id: created.id,
+        provider: created.provider_id,
+        account: created.external_account,
+    });
+}
+/** `layero sources repos <connection_id>` — репозитории, видимые токену подключения. */
+export async function sourcesReposCmd(connectionId, opts) {
+    const api = await makeClient();
+    const org = await orgOf(api, opts);
+    let repos;
+    try {
+        repos = await api.listSourceRepos(org, connectionId);
+    }
+    catch (err) {
+        if (err instanceof ApiError && err.status === 404) {
+            throw new LayeroError("connection_not_found", `в организации «${org}» нет подключения ${connectionId}`, "`layero sources list`");
+        }
+        throw err;
+    }
+    emit({
+        event: "source_repos",
+        org,
+        connection_id: connectionId,
+        repos: repos.map((r) => ({
+            path: r.path,
+            name: r.name,
+            default_branch: r.default_branch,
+            private: r.private,
+            can_admin: r.can_admin,
+            updated_at: r.updated_at,
+        })),
+    });
+}

package/dist/commands/whoami.js

@@ -1,19 +1,18 @@
-import chalk from "chalk";
 import { ApiClient } from "../api.js";
 import { loadConfig } from "../config.js";
+import { LayeroError, emit } from "../agent.js";
 export async function whoamiCmd() {
     const cfg = await loadConfig();
     if (!cfg.token) {
-        console.error(chalk.yellow("not logged in. run `layero login` first."));
-        process.exitCode = 1;
-        return;
+        throw new LayeroError("auth_required", "вход не выполнен", "выполните `layero login` или задайте LAYERO_TOKEN");
     }
     const api = new ApiClient(cfg);
     const me = await api.me();
-    console.log(`id:     ${me.id}`);
-    console.log(`username: ${me.username ?? chalk.yellow("(not set)")}`);
-    console.log(`email:  ${me.email ?? "(none)"}`);
-    if (me.github_login) {
-        console.log(`github: ${me.github_login}`);
-    }
+    emit({
+        event: "me",
+        id: me.id,
+        username: me.username ?? null,
+        email: me.email ?? null,
+        github_login: me.github_login ?? null,
+    });
 }

package/dist/config.js

@@ -26,6 +26,7 @@ export async function loadConfig() {
             // окружения: файл мог остаться от другого аккаунта, и подпись в
             // выводе врала бы. Кто мы — узнаем у API.
             user: ENV_TOKEN ? undefined : parsed.user,
+            claim_tokens: parsed.claim_tokens,
         };
     }
     catch (err) {

package/dist/exit-codes.js

@@ -0,0 +1,102 @@
+/**
+ * Коды выхода CLI по классам ошибок (AX-аудит 17.09.2026, этап 6).
+ *
+ * До этого любой отказ заканчивался `exit 1`, и скрипт, вызвавший `layero`,
+ * не мог отличить «нет токена» от «сборка упала»: приходилось разбирать
+ * JSON-событие `error`, а в человеческом режиме — текст. Классы взяты
+ * из аудита и совпадают с тем, как их делят Vercel и `gh`:
+ *
+ *   0 — успех;
+ *   1 — прочий отказ (лимит тарифа, нет прав, нужно подтверждение,
+ *       повторяющаяся ошибка сборки — всё, что не попало в классы ниже);
+ *   2 — нужен вход: нет токена, токен протух, вход не подтверждён;
+ *   3 — не найдено: проект, организация, база, домен, хук, окружение;
+ *   4 — неверный ввод: флаг, аргумент, формат, неподдерживаемая операция;
+ *   5 — удалённая ошибка: сборка упала или отменена, 5xx платформы,
+ *       непредвиденное исключение CLI.
+ *
+ * Отнесение ПО КОДУ ОШИБКИ, а не по месту выброса: код — контракт (см.
+ * `check-error-codes.py`), и класс выхода становится его частью. Новый код,
+ * не попавший ни в один список, даёт 1 — честно «прочее», а не наугад.
+ */
+const AUTH = new Set(["auth_required", "auth_expired", "auth_timeout"]);
+const NOT_FOUND = new Set([
+    "project_unknown",
+    "project_not_found",
+    "org_unknown",
+    "database_unknown",
+    "env_not_found",
+    "domain_not_found",
+    "hook_not_found",
+    "connection_not_found",
+    "account_not_found",
+    "repo_not_found",
+    "claim_unknown",
+    "branch_without_env",
+    "no_deploy",
+    "no_deploys",
+    "no_runs",
+    "data_key_unknown",
+]);
+const INVALID_INPUT = new Set([
+    "invalid_type",
+    "invalid_choice",
+    "prebuilt_no_dir",
+    "prebuilt_no_index",
+    "bad_format",
+    "nothing_to_set",
+    "sql_missing",
+    "branch_unsupported",
+    "provider_unknown",
+    "repo_format",
+    "token_missing",
+    "username_rejected",
+    "gb_not_supported",
+    "dedicated_needs_panel",
+    "data_key_kind",
+    "data_key_expiry",
+    "data_key_ambiguous",
+    "data_levels_missing",
+    "data_level_unknown",
+    "data_probe_method",
+    "data_probe_path",
+    "data_probe_query",
+    "data_probe_body",
+    "data_probe_as",
+    "data_probe_user_required",
+    "data_probe_user_invalid",
+    "data_probe_schema",
+    "data_probe_expect",
+]);
+const REMOTE = new Set([
+    "deploy_failed",
+    "deploy_cancelled",
+    "deploy_not_started",
+    "internal",
+    "oauth_unavailable",
+    "claimable_unavailable",
+    "data_probe_gateway_failed",
+]);
+export const EXIT_OK = 0;
+export const EXIT_OTHER = 1;
+export const EXIT_AUTH = 2;
+export const EXIT_NOT_FOUND = 3;
+export const EXIT_INVALID_INPUT = 4;
+export const EXIT_REMOTE = 5;
+export function exitCodeFor(code) {
+    if (AUTH.has(code))
+        return EXIT_AUTH;
+    if (NOT_FOUND.has(code))
+        return EXIT_NOT_FOUND;
+    if (INVALID_INPUT.has(code))
+        return EXIT_INVALID_INPUT;
+    if (REMOTE.has(code))
+        return EXIT_REMOTE;
+    // `deploy_<status>` собирается динамически; `http_5xx` — отказ платформы,
+    // который не разобрали в понятный код.
+    if (code.startsWith("deploy_"))
+        return EXIT_REMOTE;
+    if (/^http_5\d\d$/.test(code))
+        return EXIT_REMOTE;
+    return EXIT_OTHER;
+}

package/dist/project-config.js

@@ -67,6 +67,8 @@ export async function persistProjectLinking(cwd, linking, fallbackHint) {
     };
     if (linking.api_url !== undefined)
         merged.api_url = linking.api_url;
+    if (linking.claim !== undefined)
+        merged.claim = linking.claim;
     // Only seed framework_hint if the user hasn't set one yet — once it's in
     // the file (manually or from a prior --type), leave it alone.
     if (fallbackHint != null &&

package/dist/project-ref.js

@@ -0,0 +1,20 @@
+/**
+ * Ссылка на проект: идентификатор или слаг, и как одно отличить от другого.
+ *
+ * 🚨 ОТДЕЛЬНЫЙ МОДУЛЬ РАДИ ОДНОЙ СТРОКИ — намеренно. Форма UUID нужна и
+ * клиенту API, и команде деплоя; жила она копией в `commands/deploy.ts`, и
+ * второй копией разошлась бы молча. Положить её в `api.ts` не вышло: тесты
+ * подменяют этот модуль целиком (`vi.mock`), и константа исчезала бы вместе с
+ * ним — то есть общий модуль стал бы способом уронить чужой тест.
+ */
+export const UUID_RE = /^[0-9a-f]{8}-[0-9a-f]{4}-[0-9a-f]{4}-[0-9a-f]{4}-[0-9a-f]{12}$/i;
+/**
+ * Что нам дали — идентификатор или слаг.
+ *
+ * ⚠️ Отличаем по ФОРМЕ, а не по успеху запроса: UUID, ушедший в поиск по
+ * слагу, просто не найдётся, и человек получит «нет такого проекта» на
+ * совершенно правильный идентификатор.
+ */
+export function looksLikeId(ref) {
+    return UUID_RE.test(ref);
+}

package/package.json

@@ -1,12 +1,16 @@
 {
   "name": "layero",
-  "version": "0.9.5",
-  "description": "Layero CLI \u2014 publish a local site with one command. No git, no GitHub, agent-friendly (Cursor, Claude Code).",
+  "version": "0.10.1",
+  "description": "Layero CLI — deploy a directory or a repo to hosting with build servers in Russia. JSON events and exit codes for AI agents and CI.",
   "license": "MIT",
   "type": "module",
-  "homepage": "https://layero.ru",
+  "homepage": "https://docs.layero.ru/cli/",
+  "repository": {
+    "type": "git",
+    "url": "git+https://github.com/LayeroInfra/cli.git"
+  },
   "bugs": {
-    "url": "https://docs.layero.ru/contacts/"
+    "url": "https://github.com/LayeroInfra/cli/issues"
   },
   "keywords": [
     "layero",
@@ -39,7 +43,8 @@
   "files": [
     "dist",
     "scripts/postinstall.cjs",
-    "README.md"
+    "README.md",
+    "LICENSE"
   ],
   "scripts": {
     "build": "tsc -p tsconfig.json",