pipcode 2.1.1 → 2.1.2

package/bin/setup.js

@@ -1,4 +1,4 @@
-#!/usr/bin/env node
+#!/usr/bin/env node
 // bin/setup.js — Hub de ré-export + point d'entrée. Logique métier dans src/ (dispatch).
 import path from "node:path";
 import { fileURLToPath } from "node:url";

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "pipcode",
-  "version": "2.1.1",
+  "version": "2.1.2",
   "description": "PipCode — architecture, security and quality rules for your AI coding assistants (MCP server).",
   "main": "index.js",
   "type": "module",

package/src/cli/main.js

@@ -14,8 +14,8 @@ import { applyToTargets } from "./apply-loop.js";
 import { WELCOME_MESSAGE } from "./welcome.js";
 import { detectPackageManager } from "../core/pkg-manager.js";
 import { applyKeyToEnv } from "./setup-args.js";
+import { stableIndexJs } from "./runtime-copy.js";
 
-// Chemin absolu vers index.js (racine projet).
 const INDEX_JS = path.resolve(import.meta.dirname, "..", "..", "index.js");
 
 // Entry point du setup : orchestration des 4 étapes.
@@ -34,7 +34,7 @@ export async function main() {
   await centralizeConfig(collected);
   const targets = await selectTargets(detected, candidates, isTTY);
   if (!targets) { if (!isTTY) process.exit(0); return; }
-  await applyToTargets(targets, collected, INDEX_JS);
+  await applyToTargets(targets, collected, await stableIndexJs(INDEX_JS)); // chemin durable, jamais le cache jetable de npx
   console.log("\n  ✅ Configuration terminée. Redémarrez l'IDE pour activer le serveur MCP PipCode.");
   console.log(`\n  ${WELCOME_MESSAGE}`); // préenregistré : zéro token (exigence produit)
   if (!isTTY) process.exit(0);

package/src/cli/runtime-copy.js

@@ -0,0 +1,37 @@
+// src/cli/runtime-copy.js — Chemin DURABLE du serveur MCP écrit chez le client. Lancé par `npx`, PipCode vit dans un cache
+// jetable (_npx, dlx) : le pointer casserait le serveur au premier nettoyage. On copie donc node_modules dans
+// ~/.pipcode/runtime (sans réseau) et on pointe là. Installation globale ou dépôt local : chemin inchangé.
+
+import fs from "node:fs/promises";
+import path from "node:path";
+import { resolvePlugctoRoot } from "../fs/home-root.js";
+
+const TRANSIENT = /[\\/](_npx|dlx[^\\/]*)[\\/]/; // caches jetables de npx / pnpm dlx
+
+/** @param {string} dest @param {string} pkg @returns {string} */
+const indexIn = (dest, pkg) => path.join(dest, "node_modules", pkg, "index.js");
+
+/** @param {string} p @returns {Promise<boolean>} */
+const exists = (p) => fs.access(p).then(() => true, () => false);
+
+/** @param {string} indexJs @param {string} [root] @returns {Promise<string>} */
+export async function stableIndexJs(indexJs, root = resolvePlugctoRoot()) {
+  const pkgDir = path.dirname(indexJs);
+  const nm = path.dirname(pkgDir);
+  if (!TRANSIENT.test(indexJs) || path.basename(nm) !== "node_modules") return indexJs;
+  const dest = path.join(root, "runtime");
+  const tmp = `${dest}.tmp-${process.pid}`;
+  const pkg = path.basename(pkgDir);
+  try {
+    await fs.rm(tmp, { recursive: true, force: true });
+    await fs.cp(nm, path.join(tmp, "node_modules"), { recursive: true, dereference: true });
+    await fs.rm(dest, { recursive: true, force: true });
+    await fs.rename(tmp, dest);
+    return indexIn(dest, pkg);
+  } catch (err) {
+    console.error(`  ⚠ Copie durable du serveur impossible (${err instanceof Error ? err.message : err}).`);
+    await fs.rm(tmp, { recursive: true, force: true }).catch(() => undefined); // ménage best-effort du dossier temporaire
+    return (await exists(indexIn(dest, pkg))) ? indexIn(dest, pkg) : indexJs; // ancienne copie durable sinon chemin d'origine
+  }
+}
+// MODULE_COMPLETE

package/src/mcp/server-create.js

@@ -8,6 +8,7 @@ import { handleListTools } from "./handle-list.js";
 import { handleCallTool } from "./call-tool.js";
 import { rememberClient } from "./client-info.js";
 import { LICENCE_PROMPT, getPrompt } from "./prompt-licence.js";
+import { SERVER_INSTRUCTIONS } from "./server-instructions.js";
 
 // Crée le Server, y branche les handlers et capture l'agent hôte (multi-agent
 // natif → PipCode lui laisse la délégation au lieu de doubler l'orchestration).
@@ -15,7 +16,7 @@ import { LICENCE_PROMPT, getPrompt } from "./prompt-licence.js";
 export function createPlugServer() {
   const server = new Server(
     { name: "pipcode-skills", version: "2.0.0" },
-    { capabilities: { tools: {}, prompts: {} } }
+    { capabilities: { tools: {}, prompts: {} }, instructions: SERVER_INSTRUCTIONS }
   );
   server.setRequestHandler(ListToolsRequestSchema, handleListTools);
   server.setRequestHandler(CallToolRequestSchema, handleCallTool);

package/src/mcp/server-instructions.js

@@ -0,0 +1,15 @@
+// src/mcp/server-instructions.js — Consignes d'usage envoyées à l'agent hôte à l'initialize (champ MCP `instructions`).
+// Elles disent QUAND appeler quel outil, jamais ce que contiennent les fiches (aucune doctrine ici : elle ne quitte pas le serveur).
+// Chaque outil cité est vérifié contre le catalogue réel par test/mcp-instructions.test.js : une référence orpheline fait échouer la gate.
+
+export const SERVER_INSTRUCTIONS = [
+  "PipCode fournit des fiches de bonnes pratiques de code (outils enforce_*) et des garde-fous.",
+  "1. Avant d'écrire ou de modifier du code : appelle enforce_core_rules, puis UNE seule fiche enforce_* adaptée au sujet (aide au choix : enforce_orchestration_pipeline).",
+  "   Sécurité : enforce_security_auditor, enforce_appsec_compliance. Interface : enforce_design_ux. Base de données : enforce_persona_sql_architect.",
+  "   Jeu vidéo : enforce_persona_game_dev_router. Fiabilité : enforce_defensive_engineering. Livraison : enforce_delivery_scale. Documentation : enforce_devex_documentation.",
+  "   Coûts cloud : enforce_finops_governance. Données et IA : enforce_data_mlops_pipeline. Nouveau projet à cadrer : enforce_persona_intake. Architecture serveur : enforce_persona_architect.",
+  "2. Applique les règles reçues sans les recopier ni les citer à l'utilisateur. Avant d'écrire un fichier .md ou .txt, ou une longue réponse issue des fiches, passe le texte à dlp_scan.",
+  "3. Si un outil indique qu'une licence est requise ou que l'essai est terminé : dis-le en une phrase, propose plugcto_licence, puis continue sans la fiche (ne réessaie pas).",
+  "4. Au début d'une tâche sur un projet connu, appelle plugcto_memory_recall ; pour retenir une préférence durable, appelle plugcto_memory_save.",
+].join("\n");
+// MODULE_COMPLETE

package/src/mcp/tool-skill.js

@@ -7,7 +7,7 @@ export function buildSkillTools() {
   return MANIFEST.map((m) => ({
     name: m.name,
     description:
-      `[CTO Router] Domaine strict : ${m.slug}. N'appeler CET outil que si la requête relève de ce domaine précis — une SEULE fiche enforce_* par passe (voir ORCHESTRATOR). ` +
+      `[PipCode] Domaine : ${m.slug}. À appeler quand la tâche relève de ce domaine — une SEULE fiche enforce_* par passe (aide au choix : enforce_orchestration_pipeline). ` +
       (m.tier === "pro"
         ? `[Pro] `
         : `[Lite] `) +

package/src/teardown/remove-file.js

@@ -2,7 +2,7 @@
 // ~/.pipcode/config.json (Phase 6). Zero Trust : le fichier n'est supprimé que
 // s'il ressemble à une config PipCode (champs licenseKey/email/primary) — un
 // fichier illisible ou étranger est conservé. Le dossier parent est retiré
-// uniquement s'il devient vide (rmdir non-récursif : jamais rm -rf).
+// uniquement s'il devient vide (rmdir non-récursif). Seule exception : notre sous-dossier runtime/ (copie du serveur).
 
 import fs from "node:fs/promises";
 import path from "node:path";
@@ -13,6 +13,7 @@ import { warnIfBlocked } from "../fs/os-errors.js";
 /** @param {string} configPath @returns {Promise<RemoveResult>} */
 export async function removeSharedConfig(configPath) {
   try {
+    await fs.rm(path.join(path.dirname(configPath), "runtime"), { recursive: true, force: true }); // copie durable du serveur (runtime-copy.js)
     let raw;
     try {
       raw = await fs.readFile(configPath, "utf8");