oh-my-agent-web 1.0.5 → 1.0.6

package/README.en.md

@@ -43,6 +43,8 @@ npm -g uninstall oh-my-agent-web      # uninstall; data in ~/.oh-my-agent-web is
 
 On Linux, `node-pty` (the embedded terminal) ships prebuilds only for macOS / Windows, so Linux compiles it in place: you need `make`, `g++` and `python3`. When those are missing, both the page and the install script say exactly what's missing — the terminal won't open until then.
 
+> **`allow-scripts` notices from npm 11.16+**: newer npm lists every dependency install script you haven't approved yet (`npm warn allow-scripts ...`). This package **ships no install scripts of its own** (the old one only pruned `node-pty` prebuilds for other platforms; that now happens lazily on startup), so anything listed is a transitive dependency such as `node-pty` (native build), `protobufjs`, or `@google/genai`. It is only a notice — the install still completes. To silence it after a review: `npm approve-scripts node-pty protobufjs @google/genai` (or `npm approve-scripts --all`).
+
 ### One-line install (never touches global npm)
 
 macOS / Linux:

package/README.md

@@ -42,6 +42,8 @@ npm -g uninstall oh-my-agent-web      # 卸载；~/.oh-my-agent-web 里的数据
 
 Linux 上 `node-pty`（内嵌终端）只给 macOS / Windows 带预编译产物，Linux 要就地编译：需要 `make` / `g++` / `python3`。缺工具时页面和安装脚本都会直说缺什么，装完终端才开得起来。
 
+> **npm 11.16+ 的 `allow-scripts` 提示**：新版 npm 会把「未经你批准的 install 脚本」逐条列出来（`npm warn allow-scripts ...`）。本包**自己没有 install 脚本**（以前那个只用来裁 node-pty 无关平台的预编译产物，现在改到启动时顺手做），所以列表里出现的只会是传递依赖，例如 `node-pty`（要编原生模块）、`protobufjs`、`@google/genai`。这只是一条**提示**，安装照常完成；想让它闭嘴就审一下并批准：`npm approve-scripts node-pty protobufjs @google/genai`（或 `npm approve-scripts --all`）。
+
 ### 一行脚本（不想碰系统全局 npm）
 
 macOS / Linux：

package/dist/server/cli.js

@@ -35,6 +35,7 @@ import { fileURLToPath } from "node:url";
 import { applyStoredOptions } from "./cli-config.js";
 import { migrateLegacyDataDir } from "./util/data-dir.js";
 import { DEFAULT_DATA_DIR_NAME } from "./util/env.js";
+import { prunePtyPrebuilds } from "./util/prune-pty.js";
 import { fetchHealth, showStatus, showVersion, upgrade } from "./cli-info.js";
 import { checkForUpdate, describeUpdate } from "./update-check.js";
 import { defaultIsAlive, describeHolder, readLock } from "./session/lock.js";
@@ -460,6 +461,13 @@ async function main() {
         // 等端口真正释放再起，否则会撞 EADDRINUSE
         await sleep(400);
     }
+    // start / restart：顺手裁掉 node-pty 里别的平台的预编译产物（幂等，裁干净之后就是空转）。
+    // 这事以前放在 postinstall，但 npm 11.16+ 会把它当成「未批准的 install 脚本」逐个警告，
+    // 用户得先 approve 才轮到我们省体积 —— 挪到运行时顺便做，装包时就没有任何脚本要审了。
+    const pruned = prunePtyPrebuilds();
+    if (pruned?.removed) {
+        console.log(`[oh-my-agent-web] node-pty 已裁掉 ${pruned.removed} 个无关平台的预编译产物（保留 ${pruned.keep}）`);
+    }
     // start / restart：先确认不是「已经在跑了」（三个命令名共用这一处检测）
     if (await detectRunning(parsed.open))
         return;

package/dist/server/util/prune-pty.js

@@ -0,0 +1,72 @@
+/**
+ * 瘦身：只保留**当前平台**的 node-pty 预编译产物。
+ *
+ * 为什么值得做：node-pty 包里为四个平台各带了一份预编译二进制，其中 Windows 那两份
+ * 就要 58MB —— 在 macOS / Linux 上它们永远用不到，却会躺在每一次生产安装里
+ * （生产依赖 216MB 里它一个人占 62MB）。
+ *
+ * 为什么**不**再放在 `postinstall`（ADR 变更点）：npm 11.16 起把「没被 `allowScripts`
+ * 批准过的 install 脚本」逐条打出来，并提示用户 `npm approve-scripts <pkg>`：
+ * 一条本来只是省体积的可选优化，变成了每个用户都要面对的一次安全审查 —— 大多数人
+ * 不会去 approve，于是体积没省下来、还多一段红色告警。改成**第一次运行时顺手做**：
+ * 幂等（裁完就只剩一个目录，再跑是空转）、几十微秒、失败也不影响启动。
+ *
+ * 安全性：node-pty 运行时只按 `<platform>-<arch>` 目录找自己的预编译产物
+ * （见 node-pty/lib/prebuild-loader），删掉别人的不影响本机；`npm ci` 会原样装回来。
+ * 没有预编译产物的平台（例如 Linux）本来就要现场编译，这里删光也不会影响编译。
+ */
+import { chmodSync, existsSync, readdirSync, rmSync, statSync } from "node:fs";
+import { createRequire } from "node:module";
+import { dirname, join } from "node:path";
+/** node-pty 的 prebuilds 目录；没装（optionalDependencies，装不上很常见）时返回 null */
+function defaultPrebuildsDir() {
+    try {
+        const pkg = createRequire(import.meta.url).resolve("node-pty/package.json");
+        return join(dirname(pkg), "prebuilds");
+    }
+    catch {
+        return null;
+    }
+}
+/**
+ * 删掉非本平台的预编译产物，并给本平台的 `spawn-helper` 补可执行位
+ * （npm 打 tarball 时可能丢掉可执行位）。
+ *
+ * @param prebuildsDir 仅供单测注入；默认从 node-pty 包位置推出来
+ * @returns 没东西可做（node-pty 没装 / 已经裁干净）时返回 null
+ */
+export function prunePtyPrebuilds(prebuildsDir) {
+    const dir = prebuildsDir ?? defaultPrebuildsDir();
+    if (!dir || !existsSync(dir))
+        return null;
+    const keep = `${process.platform}-${process.arch}`;
+    let removed = 0;
+    for (const entry of readdirSync(dir)) {
+        if (entry === keep)
+            continue;
+        try {
+            rmSync(join(dir, entry), { recursive: true, force: true });
+            removed += 1;
+        }
+        catch {
+            // 只读文件系统 / 权限不足（例如全局装到 /usr/lib 下）：留着就是，不该影响启动
+        }
+    }
+    // spawn-helper 必须有可执行位，否则 posix_spawn 起来就是 EACCES
+    let fixedMode = false;
+    const helper = join(dir, keep, "spawn-helper");
+    try {
+        const stats = statSync(helper);
+        // 只在真的缺可执行位时才动手：否则每次启动都会「修」一遍，白白多一条日志
+        if (stats.isFile() && (stats.mode & 0o777) !== 0o755) {
+            chmodSync(helper, 0o755);
+            fixedMode = true;
+        }
+    }
+    catch {
+        // 没有 spawn-helper（Windows）/ 没有权限：都不该影响启动
+    }
+    if (removed === 0 && !fixedMode)
+        return null;
+    return { keep, removed, fixedMode };
+}

package/package.json

@@ -1,6 +1,6 @@
 {
 	"name": "oh-my-agent-web",
-	"version": "1.0.5",
+	"version": "1.0.6",
 	"bin": {
 		"oh-my-agent-web": "dist/server/cli.js",
 		"aw": "dist/server/cli.js",
@@ -8,8 +8,7 @@
 	},
 	"files": [
 		"dist",
-		"web/dist",
-		"scripts/prune-prebuilds.mjs"
+		"web/dist"
 	],
 	"description": "oh-my-agent-web — 它是一个多 Agent 统一 Web 工作台，对 Pi Agent 做深度适配，同时也支持 Codex、Claude 等其他 Agent。",
 	"author": "duzhenxun",
@@ -53,7 +52,6 @@
 		"lint:fix": "oxlint --fix server web/src scripts",
 		"format": "prettier --write .",
 		"format:check": "prettier --check .",
-		"postinstall": "node scripts/prune-prebuilds.mjs",
 		"icons": "node scripts/make-icons.mjs"
 	},
 	"devDependencies": {

package/dist/server/files/pick-dir-routes.js

@@ -1,93 +0,0 @@
-/**
- * 「浏览电脑里的文件夹」：在**服务端所在的这台电脑**上弹出操作系统的原生选择框。
- *
- * 为什么要在服务端弹：浏览器拿不到本机绝对路径。`showDirectoryPicker()` 只回一个沙箱句柄
- * （`.name` 是目录名，不是路径），拿它当工作区是跑不起来的；用户在网页里手打路径又太折磨。
- * 这个工作台本来就是「单用户 + 跑在自己机器上」，所以最直接的做法就是在宿主机上开一个
- * 原生对话框，把用户选中的绝对路径回传。
- *
- * 只认三种平台的原生方式，拿不到就**如实告诉前端 unsupported**（前端会退回内置目录浏览），
- * 绝不假装成功：
- *   - macOS：`osascript` 的 `choose folder`
- *   - Windows：PowerShell 的 `FolderBrowserDialog`
- *   - Linux：`zenity`（GNOME）或 `kdialog`（KDE）
- *
- * 注意：服务端如果跑在没有图形会话的地方（ssh / launchd 守护进程 / 容器），这里会失败 ——
- * 那时前端会自动降级，功能不会因此不可用。
- */
-import { execFile } from "node:child_process";
-import { promisify } from "node:util";
-import { normalizeWorkspacePath } from "../util/paths.js";
-const exec = promisify(execFile);
-/** 用户可能翻很久，给足时间；超时按「取消」处理（不把请求挂死） */
-const PICK_TIMEOUT_MS = 180_000;
-/** 同一条命令可能是「用户取消」，也可能是真的出错 —— 分开，别把失败说成取消 */
-function isCancel(stderr, code) {
-    const text = stderr.toLowerCase();
-    if (text.includes("user cancel") || text.includes("-128"))
-        return true;
-    // zenity / kdialog 取消时就是退出码 1（且没有别的输出）
-    return code === 1 && text.trim() === "";
-}
-const APPLE_SCRIPT = [
-    'tell application "System Events" to activate',
-    'set chosen to choose folder with prompt "选择项目文件夹"',
-    "return POSIX path of chosen",
-].join("\n");
-const POWERSHELL_SCRIPT = [
-    "Add-Type -AssemblyName System.Windows.Forms",
-    "$dialog = New-Object System.Windows.Forms.FolderBrowserDialog",
-    '$dialog.Description = "选择项目文件夹"',
-    "if ($dialog.ShowDialog() -eq [System.Windows.Forms.DialogResult]::OK) { Write-Output $dialog.SelectedPath } else { exit 1 }",
-].join("; ");
-/** 按平台挑一条能用的命令；一条都没有就返回 null（→ unsupported） */
-function pickerCommand() {
-    if (process.platform === "darwin")
-        return { file: "osascript", args: ["-e", APPLE_SCRIPT] };
-    if (process.platform === "win32") {
-        return { file: "powershell.exe", args: ["-NoProfile", "-STA", "-Command", POWERSHELL_SCRIPT] };
-    }
-    // Linux / 其它：两个都试（没装 exiftool 也一样，command 不存在会直接失败）
-    return { file: "zenity", args: ["--file-selection", "--directory", "--title=选择项目文件夹"] };
-}
-let picking = false;
-async function pickDirectory() {
-    const command = pickerCommand();
-    if (!command)
-        return { unsupported: true, message: `这个平台（${process.platform}）没有可用的原生目录选择框` };
-    if (picking)
-        return { error: "已经有一个目录选择框开着了" };
-    picking = true;
-    try {
-        const { stdout } = await exec(command.file, command.args, { timeout: PICK_TIMEOUT_MS });
-        // macOS 的 `POSIX path of chosen` 回的是 `/a/b/`（带尾斜杠）。原样传下去会让会话的
-        // workspace 与 pi 写进会话 header 的 cwd（`resolve()` 过）对不上，侧栏里同一个项目
-        // 就变成两个组（用户报的「新建项目出来是两个」）。在出口就归一化。
-        const path = normalizeWorkspacePath(stdout.trim());
-        if (path === "")
-            return { canceled: true };
-        return { path };
-    }
-    catch (error) {
-        const record = error;
-        if (isCancel(record.stderr ?? "", typeof record.code === "number" ? record.code : undefined)) {
-            return { canceled: true };
-        }
-        // 命令不存在 / 没有图形会话：如实说「这里开不出来」，前端会退回内置浏览
-        const reason = record.stderr?.trim() || record.message || "未知原因";
-        return { unsupported: true, message: `这台机器上开不出目录选择框：${reason}` };
-    }
-    finally {
-        picking = false;
-    }
-}
-export function registerPickDirRoutes(app) {
-    app.post("/api/fs/pick-dir", async (_request, response) => {
-        const result = await pickDirectory();
-        if ("error" in result) {
-            response.status(409).json({ error: { code: "fs.pick_busy", message: result.error } });
-            return;
-        }
-        response.json(result);
-    });
-}

package/scripts/prune-prebuilds.mjs

@@ -1,42 +0,0 @@
-/**
- * 安装后瘦身：只保留**当前平台**的 node-pty 预编译产物。
- *
- * 为什么值得做：node-pty 包里为四个平台各带了一份预编译二进制，其中 Windows 那两份
- * 就要 58MB —— 在 macOS / Linux 上它们永远用不到，却会躺在每一次生产安装里
- * （生产依赖 216MB 里它一个人占 62MB）。
- *
- * 安全性：node-pty 运行时只按 `<platform>-<arch>` 目录找自己的预编译产物
- * （见 node-pty/lib/...），删掉别人的不影响本机；`npm ci` 会原样装回来。
- * 没有预编译产物的平台（例如 Linux）本来就要现场编译，这里删光也不会影响编译。
- */
-import { existsSync, readdirSync, rmSync, statSync } from "node:fs";
-import { chmodSync } from "node:fs";
-import { join } from "node:path";
-
-const PREBUILDS = join("node_modules", "node-pty", "prebuilds");
-const keep = `${process.platform}-${process.arch}`;
-
-if (existsSync(PREBUILDS)) {
-	let removed = 0;
-	for (const entry of readdirSync(PREBUILDS)) {
-		if (entry === keep) continue;
-		try {
-			rmSync(join(PREBUILDS, entry), { recursive: true, force: true });
-			removed += 1;
-		} catch {
-			// 只读文件系统 / 权限不足：留着就是，不该让 npm install 失败
-		}
-	}
-
-	// spawn-helper 必须有可执行位（npm 打 tarball 时可能丢掉）
-	const current = join(PREBUILDS, keep, "spawn-helper");
-	if (existsSync(current) && statSync(current).isFile()) {
-		try {
-			chmodSync(current, 0o755);
-		} catch {
-			// Windows 上没有可执行位的概念，忽略
-		}
-	}
-
-	if (removed > 0) console.log(`[oh-my-agent-web] node-pty 已裁掉 ${removed} 个无关平台的预编译产物（保留 ${keep}）`);
-}