peertable 0.4.36 → 0.5.0

package/skill/scripts/doctor.sh

@@ -0,0 +1,185 @@
+#!/bin/bash
+# 卓の健全性を機械判定して表示し、--repair 指定時だけ死んでいるブリッジを立て直す。
+# usage: doctor.sh <project_dir> [--repair]
+#
+# 判定するのは5点だけ:
+#   1. room サーバー到達性（GET /api/<room>/summary）
+#   2. 台帳（room member 行）の素性・本人性の完全性
+#   3. 各席の tmux セッション（peer-<name>）の存在と、席file の pid+lstart による本人性
+#   4. 2ブリッジ（wakeup / seat-status）の record 生存と、record にある識別情報だけで
+#      判定できる範囲の本人性・鮮度（判定できないものは「判定不能」と正直に出す。偽の生存判定を作らない）
+#   5. Lattice 併用モード（mode=lattice）なら `lattice status --json` の state / active_runs
+#
+# 各行は OK / NG / REPAIRED / 判定不能 のいずれかで始まる。--repair は NG のブリッジだけ
+# ensure-bridge.sh で立て直す。**席の再起動はしない**——席は人の判断が要るので、NG 表示に
+# launch-seat.sh を促す一言を添えるだけに留める。
+#
+# 終了コード: 全 OK（判定不能を含む）= 0、NG が1件でもあれば 1（--repair で全部直れば 0）。
+set -euo pipefail
+
+proj="${1:-}"
+repair=false
+if [ "${2:-}" = "--repair" ]; then repair=true; fi
+if [ -z "$proj" ]; then
+  echo "usage: doctor.sh <project_dir> [--repair]" >&2
+  exit 1
+fi
+proj=$(cd "$proj" && pwd)
+script_dir=$(cd "$(dirname "$0")" && pwd)
+setup="$proj/.team/setup-state.json"
+if [ ! -f "$setup" ]; then
+  echo "NG .team/setup-state.json が無い（${proj} は peertable setup 済みか確認せよ）" >&2
+  exit 1
+fi
+
+DOCTOR_PROJ="$proj" DOCTOR_SCRIPT_DIR="$script_dir" DOCTOR_REPAIR="$repair" \
+  node --input-type=module <<'NODE'
+import { existsSync, readFileSync, readdirSync } from 'node:fs'
+import { execFileSync, spawnSync } from 'node:child_process'
+import { join } from 'node:path'
+import { pathToFileURL } from 'node:url'
+
+const proj = process.env.DOCTOR_PROJ
+const scriptDir = process.env.DOCTOR_SCRIPT_DIR
+const repair = process.env.DOCTOR_REPAIR === 'true'
+const team = join(proj, '.team')
+
+const { bridgeRecordLive } = await import(pathToFileURL(join(scriptDir, 'bridge-record-live.mjs')))
+const { observePidCommand } = await import(pathToFileURL(join(scriptDir, 'refresh-seat-identity.mjs')))
+const { resolveTmuxSocket, tmuxArgv } = await import(pathToFileURL(join(scriptDir, 'seat-usage.mjs')))
+
+let ng = 0
+function line(level, text) {
+  console.log(`${level} ${text}`)
+  if (level === 'NG') ng = 1
+}
+
+const setup = JSON.parse(readFileSync(join(team, 'setup-state.json'), 'utf8'))
+const { room, server_url: url, mode } = setup
+
+// 1. room サーバー到達性
+let summary = null
+try {
+  const res = await fetch(`${url}/api/${encodeURIComponent(room)}/summary`)
+  if (!res.ok) throw new Error(`HTTP ${res.status}`)
+  summary = await res.json()
+  line('OK', `room 到達: ${url} room=${room} seq=${summary.seq} member_count=${summary.member_count}`)
+} catch (error) {
+  line('NG', `room 到達不可: ${url} room=${room}（${error.message}）`)
+}
+
+// members は以降の突合・席チェックにも使う
+let members = []
+let membersOk = false
+try {
+  const res = await fetch(`${url}/api/${encodeURIComponent(room)}/members`)
+  if (!res.ok) throw new Error(`HTTP ${res.status}`)
+  const body = await res.json()
+  members = Array.isArray(body.members) ? body.members : []
+  membersOk = true
+} catch (error) {
+  line('NG', `room members を取得できない（${error.message}）`)
+}
+
+// 2. 台帳の完全性。tmux 席を持つ member（親以外）は本人性欄（pid 等）も台帳に載っている
+// はず（席file は 2026-08-22 廃止・正本は member 行だけ）
+function hasDescriptor(member) {
+  return Boolean(member?.observe && typeof member.observe === 'object'
+    && typeof member.observe.tmux_target === 'string' && member.observe.tmux_target.length > 0)
+}
+const seatRows = new Map()
+if (membersOk) {
+  const seated = members.filter(hasDescriptor)
+  const missingIdentity = seated.filter(m => !Number.isSafeInteger(m.pid) || !m.started_identity || !m.argv_digest)
+  for (const m of seated) seatRows.set(m.name, m)
+  if (missingIdentity.length === 0) {
+    line('OK', `台帳の member 行に素性・本人性が揃っている（${seated.length} 席）`)
+  } else {
+    line('NG', `台帳の本人性欄が欠けている member: ${missingIdentity.map(m => m.name).join(',')}`)
+  }
+}
+
+// 3. 各席の tmux セッション（peer-<name>）の存在と、台帳の pid+lstart による本人性
+for (const [name, seat] of seatRows) {
+  const member = seat
+  const socket = member?.observe?.tmux_socket || resolveTmuxSocket(process.env).socket
+  const target = member?.observe?.tmux_target || `peer-${name}`
+  let sessionExists = false
+  try {
+    execFileSync('tmux', tmuxArgv(['has-session', '-t', target], { socket }), { stdio: 'ignore' })
+    sessionExists = true
+  } catch { /* has-session は非ゼロ終了で無しを表す */ }
+  if (!sessionExists) {
+    line('NG', `席 ${name}: tmux セッション ${target} が無い（launch-seat.sh で立て直す）`)
+    continue
+  }
+  let identity = null
+  let identityError = null
+  try { identity = observePidCommand(seat.pid) } catch (error) { identityError = error }
+  if (identityError) {
+    line('NG', `席 ${name}: pid ${seat.pid} を観測できない（${identityError.message}）（launch-seat.sh で立て直す）`)
+    continue
+  }
+  if (identity.started_identity !== seat.started_identity) {
+    line('NG', `席 ${name}: pid ${seat.pid} は再利用されている（lstart不一致・本人ではない）（launch-seat.sh で立て直す）`)
+    continue
+  }
+  line('OK', `席 ${name}: tmux ${target} 生存・pid ${seat.pid} 本人性確認`)
+}
+
+// 4. 2ブリッジ（run-bridge は 2026-08-22 退役）。record の形式が違うので判定できる範囲だけ判定する
+function judgeWakeup() {
+  const path = join(team, 'wakeup-bridge.json')
+  if (!existsSync(path)) return { level: 'NG', text: 'wakeup-bridge: record が無い（起動していない）' }
+  const record = JSON.parse(readFileSync(path, 'utf8'))
+  if (bridgeRecordLive(record)) {
+    const age = Math.round((Date.now() - Date.parse(record.last_progress_at)) / 1000)
+    return { level: 'OK', text: `wakeup-bridge: 生存 pid=${record.pid} last_progress ${age}秒前` }
+  }
+  return { level: 'NG', text: `wakeup-bridge: pid=${record.pid} が死んでいるか last_progress_at が古い` }
+}
+
+function judgeSeatStatusBridge() {
+  const path = join(team, 'seat-status-bridge.json')
+  if (!existsSync(path)) return { level: 'NG', text: 'seat-status-bridge: record が無い（起動していない）' }
+  const record = JSON.parse(readFileSync(path, 'utf8'))
+  let alive = false
+  try { process.kill(record.pid, 0); alive = true } catch { /* 死んでいる */ }
+  if (!alive) return { level: 'NG', text: `seat-status-bridge: pid=${record.pid} が死んでいる` }
+  return { level: '判定不能', text: `seat-status-bridge: pid=${record.pid} は生存しているが record に lstart が無く本人性を確認できない` }
+}
+
+for (const [name, judge] of [['wakeup', judgeWakeup], ['seat-status', judgeSeatStatusBridge]]) {
+  let result = judge()
+  if (result.level === 'NG' && repair) {
+    const res = spawnSync(join(scriptDir, 'ensure-bridge.sh'), [proj, name], { encoding: 'utf8' })
+    if (res.status === 0) {
+      const after = judge()
+      if (after.level !== 'NG') { line('REPAIRED', `${name}-bridge: 立て直した（${after.text}）`); continue }
+      line('NG', `${name}-bridge: 立て直したが依然として不健全（${after.text}）`)
+      continue
+    }
+    const detail = (res.stderr || res.stdout || '').trim().split('\n').slice(-3).join(' / ')
+    line('NG', `${name}-bridge: 立て直しに失敗（${detail || `exit ${res.status}`}）`)
+    continue
+  }
+  line(result.level, result.text)
+}
+
+// 5. Lattice 併用モードの工程正本
+if (mode === 'lattice') {
+  const latticeCli = process.env.LATTICE_CLI || (typeof setup.lattice_cli === 'string' && setup.lattice_cli) || 'lattice'
+  try {
+    const command = process.platform === 'win32' && !/\.(cmd|bat|exe)$/i.test(latticeCli) && existsSync(`${latticeCli}.cmd`)
+      ? `${latticeCli}.cmd`
+      : latticeCli
+    const out = execFileSync(command, ['status', '--json'], { cwd: proj, encoding: 'utf8', maxBuffer: 8 * 1024 * 1024 })
+    const status = JSON.parse(out)
+    line('OK', `Lattice: state=${status.state} active_runs=${(status.active_runs ?? []).length}`)
+  } catch (error) {
+    line('NG', `Lattice status を取得できない（${String(error.message ?? error).split('\n')[0]}）`)
+  }
+}
+
+process.exit(ng)
+NODE

package/skill/scripts/ensure-bridge.sh

@@ -3,7 +3,7 @@
 set -euo pipefail
 
 proj="$1"; name="$2"; shift 2
-case "$name" in seat-status) script="seat-status-bridge.mjs" ;; wakeup) script="wakeup-bridge.mjs" ;; run) script="run-bridge.mjs" ;; *) echo "usage: ensure-bridge.sh <project> <seat-status|wakeup|run> [args...]" >&2; exit 1 ;; esac
+case "$name" in seat-status) script="seat-status-bridge.mjs" ;; wakeup) script="wakeup-bridge.mjs" ;; run) echo "ENSURE_BRIDGE_RETIRED: run-bridge は退役した（2026-08-22）。介入は席が自分の Lattice コマンド応答で受け取る" >&2; exit 1 ;; *) echo "usage: ensure-bridge.sh <project> <seat-status|wakeup> [args...]" >&2; exit 1 ;; esac
 team="$proj/.team"; record="$team/$name-bridge.json"; log="$team/$name-bridge.log"
 force=false
 if [ "${1:-}" = "--force" ]; then force=true; shift; fi

package/skill/scripts/ensure-codex-room-mcp.mjs

@@ -6,6 +6,7 @@ import {
 } from 'node:fs'
 import { dirname, join, resolve } from 'node:path'
 import { execFileSync } from 'node:child_process'
+import { repairSplicedBegin } from './codex-seat-toml.mjs'
 
 const fail = (code, message) => {
   process.stderr.write(`${code}: ${message}\n`)
@@ -71,6 +72,8 @@ function expectedBlock(addedNewline) {
   if (process.env.PATH) explicitEnv.unshift(`PATH = ${JSON.stringify(process.env.PATH)}`)
   return [
     `# BEGIN PEERTABLE ROOM MCP added_newline=${addedNewline ? '1' : '0'}`,
+    'approval_policy = "never"',
+    'sandbox_mode = "danger-full-access"',
     '[mcp_servers.room]',
     'command = "node"',
     `args = [${JSON.stringify(client)}]`,
@@ -120,7 +123,7 @@ try {
     const missing = requiredSeatEnv.filter((name) => !process.env[name])
     if (missing.length > 0)
       fail('SEAT_CODEX_ROOM_MCP_ENV_MISSING', `seat環境が無い: ${missing.join(',')}`)
-    const current = existsSync(configFile) ? readFileSync(configFile, 'utf8') : ''
+    const current = repairSplicedBegin(existsSync(configFile) ? readFileSync(configFile, 'utf8') : '')
     const range = markerRange(current)
     let next
     if (range) {

package/skill/scripts/launch-seat.sh

@@ -107,7 +107,7 @@ sock=""
 sess=""
 url=""
 room=""
-seat_file="$proj/.team/seats/$name.json"
+# 席の本人性は room 台帳の member 行が持つ（席file廃止 2026-08-22）。rollback は member DELETE が兼ねる
 cleanup_brief() {
   if [ -n "$brief_file" ]; then rm -f "$brief_file"; fi
   return 0
@@ -144,13 +144,6 @@ rollback_brief() {
     return 1
   fi
 
-  if [ -n "$seat_file" ] && [ -e "$seat_file" ]; then
-    if ! rm -f "$seat_file"; then
-      rollback_failed=1
-      echo "LAUNCH_BRIEF_ROLLBACK_FAILED: seat identity を撤去できない: ${seat_file}" >&2
-    fi
-  fi
-
   if [ -n "$url" ] && [ -n "$room" ]; then
     if ! encoded_name=$(python3 -c 'import sys,urllib.parse; print(urllib.parse.quote(sys.argv[1], safe=""))' "$name"); then
       rollback_failed=1
@@ -305,11 +298,6 @@ if ! node "$room_mcp_helper" "$proj" "$peertable_repo" "$mcp_ownership"; then
   echo "SEAT_ROOM_MCP_INVALID: Aiterm席のroom clientをcurrent treeへ束縛できない（席は立てない）" >&2
   exit 1
 fi
-if ! credential_file=$(env -u PEERTABLE_POST_TOKEN node "$credential_helper" prepare "$proj" "$room" "$name"); then
-  echo "SEAT_CREDENTIAL_PREPARE_FAILED: 席別credentialを用意できない（席は立てない）" >&2
-  exit 1
-fi
-
 # 同名の古いroom memberが残っていると、Codexの新しいroom clientが一度も登録していなくても
 # 下のready確認を通ってしまう。古いmemberを別席のまま黙って消すのは危険なので、起動前に同名を
 # conflictとして拒否し、明示的な退席後に再実行させる。一覧を読めない時も着席前に止める。
@@ -339,6 +327,15 @@ case "$stale_member_rc" in
     ;;
 esac
 
+# credential は同名掃除の**後**に用意する。leave-seat は member ごと credential file
+# （path は project/room/member から決定的）を撤去するので、先に作ると同名再着席の
+# 初回だけ「消えた credential を席へ渡して client が initialize 前に死ぬ」レースになる
+# （実被弾 2026-08-22: さくら再着席の初回必敗・再走で成功、の正体）。
+if ! credential_file=$(env -u PEERTABLE_POST_TOKEN node "$credential_helper" prepare "$proj" "$room" "$name"); then
+  echo "SEAT_CREDENTIAL_PREPARE_FAILED: 席別credentialを用意できない（席は立てない）" >&2
+  exit 1
+fi
+
 # leave-seat が席専用 GROK_HOME を消す。同名再着席では preflight 後に空になるので、
 # live 起動の直前に auth と ui だけを書き直す（user booth MCP は載せない）。
 if [ "$vendor" = grok ]; then
@@ -356,7 +353,6 @@ fi
 # direct CLI launch へ戻るfallbackは置かない。Aiterm が作る同名PTYと launch receipt が、
 # 以後の `pty_read` / `agent_configure` / room metadata を同じsessionへ束縛する。
 tmux_at kill-session -t "$sess" 2>/dev/null || true
-rm -f "$proj/.team/seats/$name.json"
 
 launch_env=(
   "PEERTABLE_URL=$url"
@@ -420,7 +416,34 @@ then
   exit 1
 fi
 aiterm_session_id="$sess"
-brief_dispatched=true
+# **launch が返った事実は brief 配達の証拠にならない。** aiterm は TUI が入力受付前
+# （update/trust ダイアログ表示中など）だと prompt を送らず、receipt の event_cursor=null で
+# それを申告する。読まずに配達済み扱いにすると席が白紙のまま「briefed」と報告される
+# （実被弾 2026-08-22: さくら再着席。席は起動したが着任指示ゼロで放置）。
+# event_cursor が数値 → turn 開始をaitermが確認済み。submit_residue=true → 本文は
+# composer に残ったが Enter が落ちた＝後段で Enter だけ打ち直す。null → 未送信＝後段で貼る。
+brief_in_composer=false
+if [ -n "$brief" ]; then
+  brief_receipt_state=$(python3 - "$launch_receipt" <<'PY'
+import json, sys
+r = json.loads(sys.argv[1])
+cursor = r.get('event_cursor')
+residue = r.get('submit_residue')
+print('dispatched' if cursor is not None and residue is not True
+      else 'residue' if residue is True else 'not_sent')
+PY
+)
+  case "$brief_receipt_state" in
+    dispatched) brief_dispatched=true ;;
+    residue)
+      brief_in_composer=true
+      echo "SEAT_BRIEF_SUBMIT_RESIDUE: brief は入力欄に残り submit が落ちた。着席確認後に submit し直す" >&2
+      ;;
+    *)
+      echo "SEAT_BRIEF_LAUNCH_PROMPT_NOT_SENT: aiterm は TUI 入力受付前で brief を送っていない。着席確認後に貼り直す" >&2
+      ;;
+  esac
+fi
 seat_tmux=$(tmux_at display-message -p -t "$sess" '#{socket_path}')
 
 # Aiterm管理席の process 起動は公開launch receiptで確定している。旧direct CLI launch向けの
@@ -441,42 +464,46 @@ codex_hooks_accepted=false
 codex_update_accepted=false
 codex_trust_accepted=false
 claude_trust_accepted=false
+codex_dialog_helper="$peertable_script_dir/codex-dialog.mjs"
+pass_codex_pane() {
+  local json key
+  json=$(printf '%s' "$1" | node "$codex_dialog_helper" || true)
+  [ -n "$json" ] && [ "$json" != "null" ] || return 1
+  while IFS= read -r key; do
+    [ -n "$key" ] || continue
+    tmux_at send-keys -t "$sess" "$key" || return 1
+  done < <(python3 -c 'import json,sys
+a=json.loads(sys.stdin.read() or "null")
+print("\n".join(a.get("keys") or []) if isinstance(a, dict) else "")' <<<"$json")
+  return 0
+}
+codex_pane_blocks_ready() {
+  printf '%s' "$1" | node "$codex_dialog_helper" --ready-ok
+}
 while [ $SECONDS -lt "$room_ready_deadline" ]; do
   # Grok Build は初めて開く作業treeで、room MCPを初期化する前にworkspace trustを尋ねる。
   # Peertableが正式に着席させるtreeなので、この既知文言だけを一度通す。未知の確認画面を
   # 汎用的に承認するfallbackにはしない。承認後のMCP初期化時間は改めて30秒確保する。
   if [ "$vendor" = codex ]; then
     codex_screen=$(tmux_at capture-pane -t "$sess" -p 2>/dev/null || true)
-    if [ "$codex_update_accepted" != true ]; then
-      case "$codex_screen" in
-        *"Update now"*)
-          if tmux_at send-keys -t "$sess" Down && tmux_at send-keys -t "$sess" Enter; then
-            codex_update_accepted=true
-            room_ready_deadline=$((SECONDS + 90))
-            echo "codex update prompt: skipped"
-          fi
-          ;;
-      esac
-    fi
-    if [ "$codex_hooks_accepted" != true ]; then
+    if pass_codex_pane "$codex_screen"; then
+      room_ready_deadline=$((SECONDS + 90))
       case "$codex_screen" in
+        *"Allow the room MCP server to run tool"*) echo "codex mcp allow: always allow" ;;
         *"Hooks need review"*)
-          if tmux_at send-keys -t "$sess" Down && tmux_at send-keys -t "$sess" Enter; then
-            codex_hooks_accepted=true
-            room_ready_deadline=$((SECONDS + 90))
-            echo "codex hooks prompt: trust all"
-          fi
+          codex_hooks_accepted=true
+          echo "codex hooks prompt: trust all"
+          ;;
+        *"Update now"*)
+          codex_update_accepted=true
+          echo "codex update prompt: skipped"
           ;;
-      esac
-    fi
-    if [ "$codex_trust_accepted" != true ]; then
-      case "$codex_screen" in
         *"Yes, continue"*)
-          if tmux_at send-keys -t "$sess" Enter; then
-            codex_trust_accepted=true
-            room_ready_deadline=$((SECONDS + 90))
-            echo "codex directory trust: accepted"
-          fi
+          codex_trust_accepted=true
+          echo "codex directory trust: accepted"
+          ;;
+        *"Would you like to run the following command?"*)
+          echo "codex command approval: don't ask again"
           ;;
       esac
     fi
@@ -529,6 +556,13 @@ while [ $SECONDS -lt "$room_ready_deadline" ]; do
   fi
   room_members=$(curl -sf "$url/api/$room/members" 2>/dev/null || true)
   if printf '%s' "$room_members" | python3 -c 'import json,sys; name=sys.argv[1]; members=json.load(sys.stdin).get("members",[]); raise SystemExit(0 if any(m.get("name") == name for m in members) else 1)' "$name"; then
+    if [ "$vendor" = codex ]; then
+      codex_screen=$(tmux_at capture-pane -t "$sess" -p 2>/dev/null || true)
+      if ! codex_pane_blocks_ready "$codex_screen"; then
+        sleep 1
+        continue
+      fi
+    fi
     room_ready=true
     break
   fi
@@ -541,6 +575,24 @@ if [ "$room_ready" != true ]; then
   exit 1
 fi
 echo "room ready: ${room}/${name}"
+if [ "$vendor" = codex ]; then
+  # member 登録後の最初の tool 呼び出しで MCP Allow が出る。出ている間だけ通し、沈黙5秒で抜ける。
+  codex_post_ready_deadline=$((SECONDS + 90))
+  codex_post_ready_idle=0
+  while [ $SECONDS -lt "$codex_post_ready_deadline" ]; do
+    codex_screen=$(tmux_at capture-pane -t "$sess" -p 2>/dev/null || true)
+    if pass_codex_pane "$codex_screen"; then
+      case "$codex_screen" in
+        *"Allow the room MCP server to run tool"*) echo "codex mcp allow: always allow" ;;
+      esac
+      codex_post_ready_idle=0
+    else
+      codex_post_ready_idle=$((codex_post_ready_idle + 1))
+      [ "$codex_post_ready_idle" -ge 5 ] && break
+    fi
+    sleep 1
+  done
+fi
 if [ "$brief_dispatched" = true ]; then
   brief_completed=true
   echo "briefed: ${sess}（Aiterm launch prompt）"
@@ -575,17 +627,20 @@ if [ -n "$brief" ] && [ "$brief_dispatched" != true ]; then
     sleep 1
 
   brief_before=$(tmux_at capture-pane -S -1000 -t "$sess" -p 2>/dev/null || true)
-  brief_buffer="peertable-brief-${name}-$$"
-  if ! tmux_at load-buffer -b "$brief_buffer" "$brief_file"; then
-    echo "LAUNCH_BRIEF_SEND_FAILED: brief の tmux buffer 読み込みに失敗（席は着席済み）" >&2
-    exit 1
-  fi
-  if ! tmux_at paste-buffer -b "$brief_buffer" -d -t "$sess"; then
-    tmux_at delete-buffer -b "$brief_buffer" 2>/dev/null || true
-    echo "LAUNCH_BRIEF_SEND_FAILED: brief の tmux paste に失敗（席は着席済み）" >&2
-    exit 1
+  # submit_residue の席は本文が composer に残っている。貼り直すと二重になるので Enter だけ打つ。
+  if [ "$brief_in_composer" != true ]; then
+    brief_buffer="peertable-brief-${name}-$$"
+    if ! tmux_at load-buffer -b "$brief_buffer" "$brief_file"; then
+      echo "LAUNCH_BRIEF_SEND_FAILED: brief の tmux buffer 読み込みに失敗（席は着席済み）" >&2
+      exit 1
+    fi
+    if ! tmux_at paste-buffer -b "$brief_buffer" -d -t "$sess"; then
+      tmux_at delete-buffer -b "$brief_buffer" 2>/dev/null || true
+      echo "LAUNCH_BRIEF_SEND_FAILED: brief の tmux paste に失敗（席は着席済み）" >&2
+      exit 1
+    fi
+    sleep 1
   fi
-  sleep 1
   if ! tmux_at send-keys -t "$sess" Enter; then
     echo "LAUNCH_BRIEF_SEND_FAILED: brief の submit に失敗（席は着席済み）" >&2
     exit 1
@@ -614,15 +669,12 @@ if [ -n "$brief" ] && [ "$brief_dispatched" != true ]; then
 fi
 fi
 
-# 席の素性を `.team/seats/<name>.json` へ置く。**席が自分の pid を知るための唯一の経路**である
-# （Lattice の `run intake attach` は expected identity を要求し、pid を推定しない）。
+# 席の本人性（pid / 起動時刻 / argv digest）を room 台帳の member 行へ登録する。
+# member に帰属する情報の正本は台帳だけ（オーナー裁定 2026-08-22・席fileは廃止）。
 # 着席の**後**に取る——起動途中の process を掴むと、ダイアログ通過で子が入れ替わりうる。
-#
-# 持たせるのは6欄だけで、**`lattice.pull_worker_attach_input.v1` の exact 集合から `schema` を
-# 除いたもの**と一致する。席は読んで `schema` を被せるだけで attach input になる（変換不要）。
-# **raw argv を持たせない**——秘密値はargvから除いたが、将来の引数も含めて複製しない。digest だけを持つ。
-# この file が主張するのは「この pid はこの席だった」という**識別**であって、生死ではない。
-# 生きているかは attach する側（Lattice）が lstart+argv の再観測で確かめる。
+# **raw argv を持たせない**——digest だけを持つ。この記録が主張するのは「この pid は
+# この席だった」という**識別**であって、生死ではない。生きているかは attach する側
+# （Lattice）が lstart+argv の再観測で確かめる。
 seat_pid=""
 pane_pid=$(tmux_at list-panes -t "$sess" -F '#{pane_pid}' 2>/dev/null | head -1 || true)
 seat_ident=""
@@ -639,80 +691,45 @@ if [ -z "$seat_pid" ]; then
   # 記録が無ければ席は attach できず、装置の介入は協調 hold のままになる。**黙らない。**
   echo "seat identity を記録できなかった: ${sess} の process group leader を1つに確定できない（席は着席済み）" >&2
 else
-  mkdir -p "$proj/.team/seats"
-  # **`session` に tmux 名（`peer-<name>`）を入れてはいけない。** Lattice の attach は
-  # `input.session === actor.session` を要求し（`runtime-pull-intake.mjs:674`）、actor session は
-  # 上の env_line が入れる `LATTICE_TODO_ACTOR_SESSION=$name` である。tmux 識別子を混ぜると
-  # attach が必ず `WORKER_ACTOR_MISMATCH` で拒否される（mio の監査で発覚・room [937]）。
-  if ! python3 - "$proj/.team/seats/$name.json" "$name" "$name" "$seat_ident" <<'PY'
-import hashlib, json, os, subprocess, sys, tempfile
-out, name, session, ident_raw = sys.argv[1:5]
+  ident_body=$(python3 - "$name" "$seat_ident" <<'PY'
+import json, subprocess, sys
+name, ident_raw = sys.argv[1:3]
 ident = json.loads(ident_raw)
-pid = int(ident['pid'])
-started = ident['started_identity']
-argv = ident['argv']
-if not started or not argv:
+if not ident.get('started_identity') or not ident.get('argv') or not ident.get('argv_digest'):
     sys.exit('pid の lstart/args を観測できない')
-record = {
-    'argv_digest': hashlib.sha256(argv.encode()).hexdigest(),
+print(json.dumps({
     'name': name,
-    'pid': pid,
-    'recorded_at': subprocess.run(['date', '-u', '+%Y-%m-%dT%H:%M:%S.000Z'],
-                                  capture_output=True, text=True, check=True).stdout.strip(),
-    'session': session,
-    'started_identity': started,
-}
-# canonical JSON（key 昇順・空白なし）＋ 0600 ＋ 一時file→fsync→rename で原子的に置く。
-# 着席直後に席が読むので、部分読取が起きない形にする。
-body = json.dumps(record, ensure_ascii=False, sort_keys=True, separators=(',', ':')) + '\n'
-fd, tmp = tempfile.mkstemp(dir=os.path.dirname(out), prefix='.seat-', suffix='.tmp')
-try:
-    with os.fdopen(fd, 'w') as handle:
-        handle.write(body)
-        handle.flush()
-        os.fsync(handle.fileno())
-    os.chmod(tmp, 0o600)
-    os.replace(tmp, out)
-except BaseException:
-    os.unlink(tmp)
-    raise
+    'pid': int(ident['pid']),
+    'started_identity': ident['started_identity'],
+    'argv_digest': ident['argv_digest'],
+    'identity_recorded_at': subprocess.run(['date', '-u', '+%Y-%m-%dT%H:%M:%S.000Z'],
+                                           capture_output=True, text=True, check=True).stdout.strip(),
+}, ensure_ascii=False))
 PY
-  then
-    echo "seat identity を記録できなかった: ${sess}（席は着席済み・attach は協調 hold のままになる）" >&2
+) || ident_body=""
+  if [ -z "$ident_body" ] || ! env -u PEERTABLE_POST_TOKEN node "$credential_helper" request "$credential_file" POST \
+      "$url/api/$room/members" "$ident_body" >/dev/null; then
+    echo "seat identity を台帳へ登録できなかった: ${sess}（席は着席済み・attach は協調 hold のままになる）" >&2
   fi
 fi
 
-# 席の素性（roles / settings / mission）を room へ渡す。一覧チップと席の名簿が同じ欄を見る。
-tmux_ns=$(node "$(dirname "$0")/tmux-socket.mjs" --namespace)
-# python stdout は Windows で cp932 になり 実装 が壊れる。Node が UTF-8 JSON を出す。
-meta=$(node "$(dirname "$0")/seat-metadata.mjs" "$name" "$vendor" "$model" "$effort" "$sock" "$sess" "$role" "$mission" "$aiterm_session_id" "$tmux_ns")
-if env -u PEERTABLE_POST_TOKEN node "$credential_helper" request "$credential_file" POST \
-    "$url/api/$room/members" "$meta" >/dev/null; then
-  # **200 は保存の証拠にならない**。素性欄を知らない server も 200 {"ok":true} を返して黙って捨てる
-  # （登録が `if (!members.has(name))` の no-op になる経路もある）。読み返して実際に載ったかを見る。
-  # **パイプと heredoc を同じ stdin へ重ねない**。`curl | python3 - <<'PY'` は
-  # 「プログラムを stdin から読む」と「データを stdin から読む」が衝突して、必ず失敗する
-  # （そして try/except で包むと、失敗が「保存されていない」という**もっともらしい答え**に化ける。実測）
-  listing=$(curl -sf "$url/api/$room/members" || true)
-  stored=$(python3 - "$name" "$listing" <<'PY'
+# 素性（vendor/model/roles/mission/observe/aiterm ID）の書き手は**席の room client だけ**。
+# ランチャーはここで台帳を読み返し、実際に載ったかを確認するだけにする（重複書込の禁止）。
+member_row=$(curl -sf "$url/api/$room/members/$(python3 -c 'import sys,urllib.parse;print(urllib.parse.quote(sys.argv[1],safe=""))' "$name")" || true)
+stored=$(python3 - "$member_row" <<'PY'
 import json, sys
-# 読み返しに失敗しても生の traceback を出さない。ここは「保存されたか」を見るだけの確認段で、
-# 判定不能は「保存されていない」と同じ扱いでよい（席は既に着席している）
 try:
-    members = json.loads(sys.argv[2])['members']
+    m = json.loads(sys.argv[1])['member']
 except Exception:
-    members = []
-m = next((x for x in members if x.get('name') == sys.argv[1]), {})
-print('yes' if m.get('model') and (m.get('roles') or m.get('role')) and m.get('aiterm_session_id') and m.get('observe', {}).get('tmux_target') else 'no')
+    m = {}
+print('yes' if m.get('model') and m.get('roles') and m.get('aiterm_session_id')
+      and (m.get('observe') or {}).get('tmux_target') and m.get('pid') else 'no')
 PY
 )
-  if [ "$stored" = yes ]; then
-    echo "metadata: ${vendor} / ${model}${effort:+ / $effort}${role:+ / $role}"
-  else
-    echo "metadata は保存されなかった: この room サーバーは素性欄を持たない版（席は着席済み・一覧に素性が出ないだけ）" >&2
-  fi
+if [ "$stored" = yes ]; then
+  echo "台帳確認: ${vendor} / ${model}${effort:+ / $effort}${role:+ / $role}（素性・本人性とも登録済み）"
 else
-  echo "metadata の登録に失敗した: 席は着席済みで、参加者一覧に素性が出ないだけ（room の到達性とトークンを確認）" >&2
+  echo "SEAT_LEDGER_INCOMPLETE: 台帳の member 行に素性または本人性が欠けている（席は着席済み。doctor で確認）" >&2
 fi
 
 if PEERTABLE_CREDENTIAL_FILE="$credential_file" "$(dirname "$0")/ensure-bridge.sh" "$proj" seat-status; then

package/skill/scripts/leave-seat.sh

@@ -76,10 +76,7 @@ if ! env -u PEERTABLE_POST_TOKEN node "$credential_helper" request "$credential_
   failed=1
 fi
 
-if ! rm -f "$proj/.team/seats/$name.json"; then
-  echo "SEAT_LEAVE_IDENTITY_FAILED: $name" >&2
-  failed=1
-fi
+# 席の本人性は台帳の member 行が持つ（席file廃止 2026-08-22）。上の member DELETE が identity も撤去する
 rm -rf "$proj/.team/seats/${name}.grok-home"
 rm -rf "$proj/.team/seats/${name}.codex"
 if ! env -u PEERTABLE_POST_TOKEN node "$credential_helper" remove "$proj" "$credential_file"; then