nio-cat 0.5.0 → 0.6.1

package/src/memory.js

@@ -0,0 +1,131 @@
+'use strict';
+// Memòria compartida: fitxers markdown a ~/.nio/memory, només en aquest ordinador.
+// Claude Code i Codex hi accedeixen pel servidor MCP de nio (`nio mcp`), i tu des de l'app.
+const fs = require('fs');
+const path = require('path');
+const { HOME } = require('./config');
+
+const DIR = process.env.NIO_MEMORY || path.join(HOME, 'memory');
+const MAX = 512 * 1024; // mida màxima d'un fitxer
+
+const SEED = {
+  'LLEGEIX-ME.md': `# Memòria de nio
+
+Aquesta carpeta és la memòria que comparteixen els teus agents (Claude Code i Codex) en aquest ordinador.
+Són fitxers markdown normals: els pots editar aquí, des de l'app (Memòria) o amb qualsevol editor.
+
+- \`preferencies.md\`: com t'agrada treballar (idioma, estil, eines…).
+- \`projectes/\`: un fitxer per projecte, amb context que val la pena recordar.
+- \`persones/\`: gent amb qui treballes i el que cal saber-ne.
+
+nio no envia mai aquests fitxers enlloc.
+`,
+  'preferencies.md': '# Preferències\n\n- Respon en català.\n',
+  'projectes/.keep': '',
+  'persones/.keep': '',
+};
+
+function httpErr(status, message) {
+  return Object.assign(new Error(message), { status });
+}
+
+function ensure() {
+  if (fs.existsSync(DIR)) return;
+  fs.mkdirSync(DIR, { recursive: true, mode: 0o700 });
+  for (const [rel, txt] of Object.entries(SEED)) {
+    const f = path.join(DIR, rel);
+    fs.mkdirSync(path.dirname(f), { recursive: true });
+    fs.writeFileSync(f, txt);
+  }
+}
+
+// Ruta relativa segura: només .md dins de la carpeta de memòria, sense «..» ni fitxers ocults.
+function safe(rel) {
+  const r = String(rel || '').replace(/\\/g, '/').trim();
+  if (!r || r.length > 200) throw httpErr(400, 'Falta el nom del fitxer');
+  if (r.startsWith('/')) throw httpErr(400, 'Fes servir una ruta relativa a la memòria');
+  const parts = r.split('/');
+  if (parts.some((p) => !p || p === '.' || p === '..' || p.startsWith('.'))) throw httpErr(400, 'Aquest nom de fitxer no és vàlid');
+  if (!/\.md$/i.test(r)) throw httpErr(400, 'Els fitxers de memòria han d’acabar en .md');
+  if (!/^[\p{L}\p{N} _.,()'’-]+$/u.test(parts.join(''))) throw httpErr(400, 'Fes servir lletres, xifres, espais, guions i punts');
+  const abs = path.resolve(DIR, r);
+  if (!abs.startsWith(path.resolve(DIR) + path.sep)) throw httpErr(400, 'Aquest nom de fitxer no és vàlid');
+  return { rel: parts.join('/'), abs };
+}
+
+function list() {
+  ensure();
+  const out = [];
+  const walk = (dir, pre) => {
+    for (const e of fs.readdirSync(dir, { withFileTypes: true })) {
+      if (e.name.startsWith('.')) continue;
+      const rel = pre ? `${pre}/${e.name}` : e.name;
+      const abs = path.join(dir, e.name);
+      if (e.isDirectory()) walk(abs, rel);
+      else if (e.isFile() && /\.md$/i.test(e.name)) {
+        const st = fs.statSync(abs);
+        out.push({ path: rel, size: st.size, updated: st.mtimeMs });
+      }
+    }
+  };
+  walk(DIR, '');
+  return out.sort((a, b) => a.path.localeCompare(b.path, 'ca'));
+}
+
+function read(rel) {
+  ensure();
+  const { rel: r, abs } = safe(rel);
+  if (!fs.existsSync(abs)) throw httpErr(404, `No hi ha cap fitxer «${r}» a la memòria`);
+  return { path: r, content: fs.readFileSync(abs, 'utf8'), updated: fs.statSync(abs).mtimeMs };
+}
+
+function write(rel, content, { append = false } = {}) {
+  ensure();
+  const { rel: r, abs } = safe(rel);
+  const text = String(content ?? '');
+  const prev = append && fs.existsSync(abs) ? fs.readFileSync(abs, 'utf8') : '';
+  const next = append ? `${prev}${prev && !prev.endsWith('\n') ? '\n' : ''}${text}` : text;
+  if (Buffer.byteLength(next) > MAX) throw httpErr(413, 'El fitxer seria massa gran (màxim 512 kB)');
+  fs.mkdirSync(path.dirname(abs), { recursive: true, mode: 0o700 });
+  fs.writeFileSync(abs, next.endsWith('\n') ? next : `${next}\n`, { mode: 0o600 });
+  return { path: r, size: Buffer.byteLength(next) };
+}
+
+function remove(rel) {
+  ensure();
+  const { rel: r, abs } = safe(rel);
+  if (!fs.existsSync(abs)) throw httpErr(404, `No hi ha cap fitxer «${r}» a la memòria`);
+  fs.rmSync(abs);
+  return { path: r };
+}
+
+// Cerca de text (sense majúscules ni accents) amb la línia on surt.
+function search(q, limit = 40) {
+  const norm = (s) => String(s).toLowerCase().normalize('NFD').replace(/[̀-ͯ]/g, '');
+  const terms = norm(q).split(/\s+/).filter(Boolean);
+  if (!terms.length) throw httpErr(400, 'Escriu què vols buscar');
+  const hits = [];
+  for (const f of list()) {
+    const lines = fs.readFileSync(path.join(DIR, f.path), 'utf8').split('\n');
+    const nameHit = terms.every((t) => norm(f.path).includes(t));
+    lines.forEach((line, i) => {
+      if (hits.length >= limit) return;
+      const n = norm(line);
+      if (terms.every((t) => n.includes(t)) || (nameHit && i === 0)) hits.push({ path: f.path, line: i + 1, text: line.slice(0, 300) });
+    });
+  }
+  return hits;
+}
+
+function routes() {
+  const wrap = (fn) => fn;
+  return [
+    { method: 'GET', path: '/api/memory', handler: wrap(() => ({ dir: DIR, files: list() })) },
+    { method: 'GET', path: '/api/memory/search', handler: wrap(({ url }) => search(url.searchParams.get('q') || '')) },
+    { method: 'GET', path: /^\/api\/memory\/f\/(.+)$/, handler: wrap(({ params }) => read(params[0])) },
+    { method: 'PUT', path: /^\/api\/memory\/f\/(.+)$/, limit: MAX + 4096, handler: wrap(({ params, body }) => write(params[0], body.content)) },
+    { method: 'DELETE', path: /^\/api\/memory\/f\/(.+)$/, handler: wrap(({ params }) => remove(params[0])) },
+  ];
+}
+
+module.exports = { DIR, ensure, safe, list, read, write, remove, search, routes };

package/src/proc.js

@@ -141,4 +141,4 @@ function tryJson(line) {
   }
 }
 
-module.exports = { which, version, run, childEnv, tryJson, stripAnsi };
+module.exports = { which, version, run, childEnv, tryJson, stripAnsi, searchPath, shQuote };

package/src/push.js

@@ -1,12 +1,14 @@
 'use strict';
-// Web Push sense dependències ni servidors de tercers: només VAPID.
-// Enviem pushes buits (sense payload xifrat); el service worker del mòbil
-// demana els detalls directament a aquest daemon.
+// Web Push sense dependències ni servidors de tercers: VAPID (RFC 8292) i, si el navegador
+// ens ha donat les claus de la subscripció, contingut xifrat de punta a punta (RFC 8291,
+// aes128gcm). El servei de push d'Apple o Google només veu bytes xifrats.
+// Sense claus (subscripcions antigues), s'envia un avís buit i el service worker
+// demana el detall directament a aquest ordinador.
 const crypto = require('crypto');
 
-function b64(buf) {
-  return Buffer.from(buf).toString('base64url');
-}
+const b64 = (buf) => Buffer.from(buf).toString('base64url');
+const unb64 = (s) => Buffer.from(String(s || ''), 'base64url');
+const hmac = (key, data) => crypto.createHmac('sha256', key).update(data).digest();
 
 function vapidHeader(vapid, endpoint) {
   const aud = new URL(endpoint).origin;
@@ -20,21 +22,53 @@ function vapidHeader(vapid, endpoint) {
   return `vapid t=${data}.${b64(sig)}, k=${vapid.publicKey}`;
 }
 
-// Envia un push a totes les subscripcions. Retorna les que ja no són vàlides.
-async function notifyAll(cfg) {
+// RFC 8291. `test` permet fixar la clau efímera i la sal per comprovar-ho amb els vectors de l'RFC.
+function encrypt(payload, { p256dh, auth }, test = {}) {
+  const uaPublic = unb64(p256dh);
+  const authSecret = unb64(auth);
+  if (uaPublic.length !== 65 || authSecret.length !== 16) throw new Error('Claus de subscripció no vàlides');
+  const ecdh = crypto.createECDH('prime256v1');
+  if (test.privateKey) ecdh.setPrivateKey(unb64(test.privateKey));
+  else ecdh.generateKeys();
+  const asPublic = ecdh.getPublicKey();
+  const shared = ecdh.computeSecret(uaPublic);
+  const salt = test.salt ? unb64(test.salt) : crypto.randomBytes(16);
+
+  const prkKey = hmac(authSecret, shared);
+  const keyInfo = Buffer.concat([Buffer.from('WebPush: info\0'), uaPublic, asPublic, Buffer.from([1])]);
+  const ikm = hmac(prkKey, keyInfo);
+  const prk = hmac(salt, ikm);
+  const cek = hmac(prk, Buffer.from('Content-Encoding: aes128gcm\0\x01')).subarray(0, 16);
+  const nonce = hmac(prk, Buffer.from('Content-Encoding: nonce\0\x01')).subarray(0, 12);
+
+  const plain = Buffer.concat([Buffer.from(payload), Buffer.from([2])]); // un sol registre, sense farciment
+  const cipher = crypto.createCipheriv('aes-128-gcm', cek, nonce);
+  const body = Buffer.concat([cipher.update(plain), cipher.final(), cipher.getAuthTag()]);
+  const rs = Buffer.alloc(4);
+  rs.writeUInt32BE(4096);
+  return Buffer.concat([salt, rs, Buffer.from([asPublic.length]), asPublic, body]);
+}
+
+// Envia l'avís a totes les subscripcions. Retorna els endpoints que ja no són vàlids.
+async function notifyAll(cfg, message) {
   const dead = [];
+  const json = message ? JSON.stringify(message).slice(0, 3000) : null;
   await Promise.all(
     (cfg.pushSubs || []).map(async (sub) => {
       try {
-        const res = await fetch(sub.endpoint, {
-          method: 'POST',
-          headers: {
-            Authorization: vapidHeader(cfg.vapid, sub.endpoint),
-            TTL: '3600',
-            Urgency: 'high',
-            'Content-Length': '0',
-          },
-        });
+        const headers = {
+          Authorization: vapidHeader(cfg.vapid, sub.endpoint),
+          TTL: '3600',
+          Urgency: 'high',
+        };
+        let body = null;
+        if (json && sub.keys?.p256dh && sub.keys?.auth) {
+          body = encrypt(json, sub.keys);
+          headers['Content-Encoding'] = 'aes128gcm';
+          headers['Content-Type'] = 'application/octet-stream';
+        }
+        headers['Content-Length'] = String(body ? body.length : 0);
+        const res = await fetch(sub.endpoint, { method: 'POST', headers, body });
         if (res.status === 404 || res.status === 410) dead.push(sub.endpoint);
       } catch {
         /* sense xarxa: ho tornarem a provar al següent avís */
@@ -44,4 +78,4 @@ async function notifyAll(cfg) {
   return dead;
 }
 
-module.exports = { notifyAll, vapidHeader };
+module.exports = { notifyAll, vapidHeader, encrypt };

package/src/server.js

@@ -13,6 +13,7 @@ const github = require('./github');
 const { addServer, knownHosts } = require('./ssh');
 const { agentCommands } = require('./commands');
 const { pairLink, qrSvg, makeCode, codeLink } = require('./pair');
+const directory = require('./directory');
 
 // L'app web: copiada dins del paquet en publicar-lo, o l'arrel del repositori en desenvolupament.
 const WEB_DIRS = [path.join(__dirname, '..', 'web'), path.join(__dirname, '..', '..')];
@@ -42,14 +43,6 @@ function originAllowed(cfg, origin) {
   });
 }
 
-function tokenOk(cfg, req) {
-  const h = req.headers.authorization || '';
-  const t = h.startsWith('Bearer ') ? h.slice(7) : '';
-  const a = Buffer.from(t);
-  const b = Buffer.from(cfg.token);
-  return a.length === b.length && crypto.timingSafeEqual(a, b);
-}
-
 function isLoopbackDirect(req) {
   const ip = req.socket.remoteAddress || '';
   const local = ip === '127.0.0.1' || ip === '::1' || ip === '::ffff:127.0.0.1';
@@ -141,26 +134,53 @@ function listDir(cfg, raw) {
 // Noms de model d'Ollama: «qwen3:4b», «hf.co/usuari/model:Q4_K_M»…
 const MODEL_NAME = /^[\w][\w.\-/]{0,100}(:[\w.\-]{1,60})?$/;
 
-function createServer({ cfg, hub, getPublicUrl, getApp }) {
-  const streams = new Set();
+// Rutes que afegeixen altres mòduls (memòria, feines, Telegram, veu, navegador…).
+// Cada ruta: { method, path: RegExp|string, handler: async ({ req, res, url, params, body, device }), raw?, limit? }.
+function matchRoute(routes, method, p) {
+  for (const r of routes) {
+    if (r.method !== method) continue;
+    if (typeof r.path === 'string') {
+      if (r.path === p) return { r, params: [] };
+    } else {
+      const m = p.match(r.path);
+      if (m) return { r, params: m.slice(1).map((x) => decodeURIComponent(x)) };
+    }
+  }
+  return null;
+}
+
+function createServer({ cfg, hub, auth, audit, getPublicUrl, getApp, routes = [], info = () => ({}) }) {
+  const streams = new Map(); // res -> id del dispositiu
+  auth.onRevoke((d) => {
+    for (const [res, dev] of streams) if (dev === d.id) { res.end(); streams.delete(res); }
+    const before = (cfg.pushSubs || []).length;
+    cfg.pushSubs = (cfg.pushSubs || []).filter((x) => x.device !== d.id);
+    if (cfg.pushSubs.length !== before) save(cfg);
+  });
   const seenDevices = new Map(); // mòbils que s'han connectat (per avisar l'ordinador que mostra el QR)
   const pulls = new Map(); // descàrregues de models d'Ollama en curs
 
   hub.on('out', (msg) => {
     const data = `data: ${JSON.stringify(msg)}\n\n`;
-    for (const res of streams) res.write(data);
+    for (const res of streams.keys()) res.write(data);
   });
   setInterval(() => {
-    for (const res of streams) res.write(': ping\n\n');
+    for (const res of streams.keys()) res.write(': ping\n\n');
   }, 15000).unref();
 
   const hookUrl = () => `http://127.0.0.1:${cfg.port}/internal/approval`;
 
-  async function api(req, res, url) {
+  async function api(req, res, url, device) {
     const p = url.pathname;
     const m = (re) => p.match(re);
     const method = req.method;
 
+    const hit = matchRoute(routes, method, p);
+    if (hit) {
+      const body = method === 'GET' || method === 'DELETE' || hit.r.raw ? undefined : await readBody(req, hit.r.limit);
+      return hit.r.handler({ req, res, url, params: hit.params, body, device });
+    }
+
     if (p === '/api/info' && method === 'GET') {
       return {
         name: 'nio',
@@ -173,8 +193,32 @@ function createServer({ cfg, hub, getPublicUrl, getApp }) {
         roots: cfg.roots,
         vapidKey: cfg.vapid.publicKey,
         id: cfg.id,
+        device: { id: device.id, name: device.name, primary: !!device.primary },
+        identity: directory.identity(cfg),
+        ...(await info()),
       };
     }
+    if (p === '/api/devices' && method === 'GET') return auth.list(device.id);
+    let dv;
+    if ((dv = m(/^\/api\/devices\/([\w-]+)$/))) {
+      if (method === 'PATCH') {
+        const b = await readBody(req);
+        const r = auth.rename(dv[1], b.name);
+        if (!r) throw httpErr(404, 'Aquest dispositiu no existeix');
+        return r;
+      }
+      if (method === 'DELETE') {
+        const r = auth.revoke(dv[1]);
+        if (!r) throw httpErr(404, 'Aquest dispositiu no existeix');
+        audit.add({ type: 'device', what: `Accés revocat: ${r.name}`, by: device.name });
+        return r;
+      }
+    }
+    if (p === '/api/audit' && method === 'GET') {
+      const limit = Math.min(1000, Number(url.searchParams.get('limit')) || 200);
+      const type = url.searchParams.get('type');
+      return audit.recent(limit, type ? (e) => e.type === type : null);
+    }
     if (p === '/api/ssh/hosts' && method === 'GET') return knownHosts();
     if (p === '/api/projects' && method === 'GET') return listProjects(cfg);
     if (p === '/api/fs' && method === 'GET') return listDir(cfg, url.searchParams.get('path'));
@@ -236,9 +280,11 @@ function createServer({ cfg, hub, getPublicUrl, getApp }) {
       // Enllaç i QR per connectar un altre dispositiu (el mòbil) amb aquest ordinador.
       const pub = getPublicUrl();
       if (!pub || /^https?:\/\/(127\.0\.0\.1|localhost|\[::1\])(:|\/|$)/i.test(pub)) return { link: null };
-      const link = pairLink(getApp ? getApp() : cfg.app, pub, cfg.token);
-      const code = makeCode(pub, cfg.token);
-      return { link, code, svg: qrSvg(codeLink(getApp ? getApp() : cfg.app, code)), url: pub, lan: /^http:\/\//.test(pub) };
+      // Un secret d'un sol ús (no la clau principal): el mòbil el canvia per una clau pròpia i revocable.
+      const { code: secret, expires } = auth.createCode({ secret: true });
+      const link = pairLink(getApp ? getApp() : cfg.app, pub, secret);
+      const code = makeCode(pub, secret);
+      return { link, code, svg: qrSvg(codeLink(getApp ? getApp() : cfg.app, code)), url: pub, lan: /^http:\/\//.test(pub), expires };
     }
     if (p === '/api/github' && method === 'GET') return github.status();
     if (p === '/api/github/repos' && method === 'GET') return github.repos(url.searchParams.get('owner') || '');
@@ -293,7 +339,7 @@ function createServer({ cfg, hub, getPublicUrl, getApp }) {
     if (p === '/api/approvals' && method === 'GET') return hub.pendingApprovals();
     if ((r = m(/^\/api\/approvals\/([\w-]+)$/)) && method === 'POST') {
       const b = await readBody(req);
-      const a = hub.decide(r[1], b.decision === 'allow' ? 'allow' : 'deny', b.reason);
+      const a = hub.decide(r[1], b.decision === 'allow' ? 'allow' : 'deny', b.reason, device.name);
       if (!a) throw httpErr(404, 'Aquesta petició ja s’ha resolt');
       return a;
     }
@@ -301,9 +347,10 @@ function createServer({ cfg, hub, getPublicUrl, getApp }) {
     if (p === '/api/push' && method === 'POST') {
       const b = await readBody(req);
       if (!b.endpoint || !/^https:\/\//.test(b.endpoint)) throw httpErr(400, 'La subscripció als avisos no és vàlida');
+      const keys = b.keys && typeof b.keys.p256dh === 'string' && typeof b.keys.auth === 'string' ? { p256dh: b.keys.p256dh.slice(0, 200), auth: b.keys.auth.slice(0, 100) } : null;
       cfg.pushSubs = (cfg.pushSubs || []).filter((x) => x.endpoint !== b.endpoint);
-      cfg.pushSubs.push({ endpoint: b.endpoint, added: Date.now() });
-      cfg.pushSubs = cfg.pushSubs.slice(-10);
+      cfg.pushSubs.push({ endpoint: String(b.endpoint).slice(0, 1000), keys, device: device.id, added: Date.now() });
+      cfg.pushSubs = cfg.pushSubs.slice(-20);
       save(cfg);
       return { ok: true };
     }
@@ -376,11 +423,26 @@ function createServer({ cfg, hub, getPublicUrl, getApp }) {
       return res.end(JSON.stringify({ nio: true, id: cfg.id, name: os.hostname() }));
     }
 
-    if (url.pathname.startsWith('/api/')) {
-      if (!tokenOk(cfg, req)) {
-        res.writeHead(401, { 'content-type': 'application/json' });
-        return res.end(JSON.stringify({ error: 'La clau no és vàlida. Torna a connectar el mòbil amb el codi QR.' }));
+    const json = (status, obj) => {
+      res.writeHead(status, { 'content-type': 'application/json; charset=utf-8', 'cache-control': 'no-store' });
+      res.end(JSON.stringify(obj));
+    };
+
+    // Aparellament: canvia un codi d'un sol ús per una clau pròpia d'aquest dispositiu. No demana clau.
+    if (url.pathname === '/api/pair' && req.method === 'POST') {
+      try {
+        const b = await readBody(req, 4096);
+        const r = auth.redeem(b.code, b.name);
+        audit.add({ type: 'device', what: `Dispositiu aparellat: ${r.device.name}`, by: r.device.name });
+        return json(200, { ...r, id: cfg.id, host: os.hostname(), identity: directory.identity(cfg) });
+      } catch (e) {
+        return json(e.status || 500, { error: e.message });
       }
+    }
+
+    if (url.pathname.startsWith('/api/')) {
+      const device = auth.fromRequest(req);
+      if (!device) return json(401, { error: 'Aquest dispositiu no té accés (o l’has revocat). Torna a aparellar-lo amb un codi nou.' });
       if (url.pathname === '/api/stream') {
         res.writeHead(200, {
           'content-type': 'text/event-stream; charset=utf-8',
@@ -392,10 +454,10 @@ function createServer({ cfg, hub, getPublicUrl, getApp }) {
         const dev = String(url.searchParams.get('d') || '').slice(0, 40), kind = url.searchParams.get('k') === 'phone' ? 'phone' : 'desktop';
         if (dev && kind === 'phone' && Date.now() - (seenDevices.get(dev) || 0) > 10 * 60 * 1000) {
           const data = `data: ${JSON.stringify({ type: 'device', device: dev, kind })}\n\n`;
-          for (const o of streams) o.write(data);
+          for (const o of streams.keys()) o.write(data);
         }
         if (dev) seenDevices.set(dev, Date.now());
-        streams.add(res);
+        streams.set(res, device.id);
         req.on('close', () => streams.delete(res));
         return;
       }
@@ -414,12 +476,12 @@ function createServer({ cfg, hub, getPublicUrl, getApp }) {
         return res.end();
       }
       try {
-        const out = await api(req, res, url);
-        res.writeHead(200, { 'content-type': 'application/json; charset=utf-8', 'cache-control': 'no-store' });
-        res.end(JSON.stringify(out));
+        const out = await api(req, res, url, device);
+        if (res.headersSent) return; // la ruta ja ha respost (p. ex. àudio o imatges)
+        json(200, out);
       } catch (e) {
-        res.writeHead(e.status || 500, { 'content-type': 'application/json; charset=utf-8' });
-        res.end(JSON.stringify({ error: e.message }));
+        if (res.headersSent) return res.end();
+        json(e.status || 500, { error: e.message });
       }
       return;
     }
@@ -433,4 +495,4 @@ function createServer({ cfg, hub, getPublicUrl, getApp }) {
   return server;
 }
 
-module.exports = { createServer, originAllowed };
+module.exports = { createServer, originAllowed, readBody };

package/src/service.js

@@ -0,0 +1,123 @@
+'use strict';
+// Servei del sistema perquè nio arrenqui sol amb l'ordinador (systemd a Linux, launchd a macOS).
+const fs = require('fs');
+const os = require('os');
+const path = require('path');
+const { spawnSync } = require('child_process');
+const { HOME } = require('./config');
+const { searchPath } = require('./proc');
+
+const LABEL = 'cat.nio.daemon';
+
+function entry() {
+  return fs.realpathSync(path.join(__dirname, '..', 'bin', 'nio.js'));
+}
+
+function q(s) {
+  // Cometes per a ExecStart de systemd.
+  return /[\s"\\]/.test(s) ? `"${String(s).replace(/(["\\])/g, '\\$1')}"` : s;
+}
+
+function systemdUnit({ roots, system }) {
+  const env = [`PATH=${searchPath().join(':')}`, process.env.NIO_HOME ? `NIO_HOME=${process.env.NIO_HOME}` : null].filter(Boolean);
+  return `[Unit]
+Description=nio · els teus agents, des del mòbil
+After=network-online.target
+Wants=network-online.target
+
+[Service]
+Type=simple
+ExecStart=${[process.execPath, entry(), '--no-open', ...roots].map(q).join(' ')}
+WorkingDirectory=${roots[0] || os.homedir()}
+${env.map((e) => `Environment=${q(e)}`).join('\n')}
+Environment=NO_COLOR=1
+Restart=always
+RestartSec=3
+${system ? `User=${os.userInfo().username}\n` : ''}
+[Install]
+WantedBy=${system ? 'multi-user.target' : 'default.target'}
+`;
+}
+
+function launchdPlist({ roots }) {
+  const x = (s) => String(s).replace(/&/g, '&amp;').replace(/</g, '&lt;');
+  const args = [process.execPath, entry(), '--no-open', ...roots].map((a) => `    <string>${x(a)}</string>`).join('\n');
+  return `<?xml version="1.0" encoding="UTF-8"?>
+<!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
+<plist version="1.0">
+<dict>
+  <key>Label</key><string>${LABEL}</string>
+  <key>ProgramArguments</key>
+  <array>
+${args}
+  </array>
+  <key>WorkingDirectory</key><string>${x(roots[0] || os.homedir())}</string>
+  <key>EnvironmentVariables</key>
+  <dict>
+    <key>PATH</key><string>${x(searchPath().join(':'))}</string>
+    <key>NO_COLOR</key><string>1</string>${process.env.NIO_HOME ? `\n    <key>NIO_HOME</key><string>${x(process.env.NIO_HOME)}</string>` : ''}
+  </dict>
+  <key>RunAtLoad</key><true/>
+  <key>KeepAlive</key><true/>
+  <key>StandardOutPath</key><string>${x(path.join(HOME, 'nio.log'))}</string>
+  <key>StandardErrorPath</key><string>${x(path.join(HOME, 'nio.log'))}</string>
+</dict>
+</plist>
+`;
+}
+
+function sh(cmd, args) {
+  const r = spawnSync(cmd, args, { encoding: 'utf8' });
+  return { ok: r.status === 0, out: `${r.stdout || ''}${r.stderr || ''}`.trim() };
+}
+
+function install({ roots, log = console.log }) {
+  if (entry().includes(`${path.sep}_npx${path.sep}`)) {
+    log('  Avís: nio s’executa des de la memòria cau de npx, que es pot esborrar.');
+    log('  Per a un servei estable, instal·la’l primer: npm install -g https://www.nio.cat/nio.tgz\n');
+  }
+  if (process.platform === 'darwin') {
+    const file = path.join(os.homedir(), 'Library', 'LaunchAgents', `${LABEL}.plist`);
+    fs.mkdirSync(path.dirname(file), { recursive: true });
+    sh('launchctl', ['unload', file]);
+    fs.writeFileSync(file, launchdPlist({ roots }));
+    const r = sh('launchctl', ['load', '-w', file]);
+    if (!r.ok) throw new Error(`launchctl no l’ha pogut carregar: ${r.out}`);
+    return { file, logs: `tail -f ${path.join(HOME, 'nio.log')}` };
+  }
+  if (process.platform !== 'linux') throw new Error('El servei automàtic només funciona a Linux (systemd) i macOS (launchd).');
+  if (!sh('systemctl', ['--version']).ok) throw new Error('Aquest sistema no té systemd.');
+  const system = process.getuid && process.getuid() === 0;
+  const file = system ? '/etc/systemd/system/nio.service' : path.join(os.homedir(), '.config', 'systemd', 'user', 'nio.service');
+  fs.mkdirSync(path.dirname(file), { recursive: true });
+  fs.writeFileSync(file, systemdUnit({ roots, system }));
+  const ctl = system ? ['systemctl'] : ['systemctl', '--user'];
+  sh(ctl[0], [...ctl.slice(1), 'daemon-reload']);
+  const r = sh(ctl[0], [...ctl.slice(1), 'enable', '--now', 'nio.service']);
+  if (!r.ok) throw new Error(`systemctl no l’ha pogut engegar: ${r.out}`);
+  sh(ctl[0], [...ctl.slice(1), 'restart', 'nio.service']);
+  let linger = null;
+  if (!system) {
+    // Sense «linger», el servei d'usuari s'atura quan tanques la sessió (i no arrenca en reiniciar).
+    linger = sh('loginctl', ['enable-linger', os.userInfo().username]).ok;
+  }
+  return { file, linger, logs: system ? 'journalctl -u nio -f' : 'journalctl --user -u nio -f' };
+}
+
+function uninstall() {
+  if (process.platform === 'darwin') {
+    const file = path.join(os.homedir(), 'Library', 'LaunchAgents', `${LABEL}.plist`);
+    sh('launchctl', ['unload', '-w', file]);
+    fs.rmSync(file, { force: true });
+    return file;
+  }
+  const system = process.getuid && process.getuid() === 0;
+  const ctl = system ? ['systemctl'] : ['systemctl', '--user'];
+  sh(ctl[0], [...ctl.slice(1), 'disable', '--now', 'nio.service']);
+  const file = system ? '/etc/systemd/system/nio.service' : path.join(os.homedir(), '.config', 'systemd', 'user', 'nio.service');
+  fs.rmSync(file, { force: true });
+  sh(ctl[0], [...ctl.slice(1), 'daemon-reload']);
+  return file;
+}
+
+module.exports = { install, uninstall, systemdUnit, launchdPlist };