pleumrouter 0.5.5 → 0.5.7

package/README.md

@@ -33,7 +33,7 @@ cat error.log | npx pleumrouter run gpt-5.4-mini "원인은?"   # 파이프
 | `pleum login [--device]` | 브라우저로 로그인 → CLI가 API 키를 자동 발급·저장(`~/.pleum/config.json`). `--device`는 SSH·CI |
 | `pleum logout` | 저장된 API 키만 삭제(언어·기본 모델 등 나머지 설정은 유지) |
 | `pleum launch [tool] [--model id] [-- args]` | 에이전트 실행. `--` 뒤 인자는 도구로 그대로 전달. 도구 생략 시 지원 목록·설치 여부 표시 |
-| `pleum run [model] ["프롬프트"]` | 채팅 — 대화형 REPL, 1회 실행, stdin 파이프. 모델 생략 시 화살표로 선택. `--skip-cache`(이번 요청 응답 캐시 스킵), `--tag a,b`(리포팅 태그, ≤10) |
+| `pleum run [model] ["프롬프트"] [--attach image]` | 채팅 — 대화형 REPL, 1회 실행, stdin 파이프. 모델 생략 시 화살표로 선택. 이미지 업로드는 명시적으로 `--attach ./shot.png`(1회 실행) 또는 REPL의 `@./shot.png`를 사용한다. `--skip-cache`(이번 요청 응답 캐시 스킵), `--tag a,b`(리포팅 태그, ≤10) |
 | `pleum models [query] [--json]` | 모델 목록(공개) — provider·컨텍스트·가격(₩/1M) 컬럼, `--json`은 스크립트용 |
 | `pleum models <id> --info` | 모델 상세 — 가격·컨텍스트·provider별 지연/처리량/업타임·주간 사용량·형제 모델 |
 | `pleum top [--period daily\|weekly\|monthly]` | 라우터 전체 모델 리더보드 + 제공자 점유율(공개 통계) |
@@ -64,7 +64,7 @@ cat error.log | npx pleumrouter run gpt-5.4-mini "원인은?"   # 파이프
 - 응답 후 비용이 현지 통화(한국 ₩)로 표시(스트리밍 마지막 청크 기준)
 - **Ctrl+C**: 생성 중엔 1회로 중단(대화 유지), 대기 중엔 2초 내 2회로 종료
 - 여러 줄 입력: `"""` 한 줄 → 본문 → `"""` 한 줄
-- 이미지: 메시지에 이미지 파일 경로를 그대로 포함 (예: `이 그림 설명해줘 ./shot.png`)
+- 이미지: 명시적으로 첨부 — REPL에서는 `이 그림 설명해줘 @./shot.png`, 1회 실행에서는 `--attach ./shot.png`. 일반 프롬프트의 `./shot.png` 텍스트는 업로드되지 않는다. 첨부는 일반 파일·이미지 magic bytes·5 MiB/장(총 10 MiB)을 확인하고 심볼릭 링크는 거부한다.
 - `↑` 로 지난 입력 재호출(히스토리는 `~/.pleum/history`에 영속)
 - 색상 끄기: `NO_COLOR=1` (비TTY·파이프에선 자동 무색)
 

package/bin/pleum.mjs

@@ -10,23 +10,24 @@ import { top } from "../src/top.mjs";
 import { health } from "../src/health.mjs";
 import { completion } from "../src/completion.mjs";
 import { upgrade } from "../src/upgrade.mjs";
-import { readConfig, writeConfig, clearCredentials } from "../src/config.mjs";
+import { readConfig, writeConfig, clearCredentials, V1 } from "../src/config.mjs";
 import { mainMenu } from "../src/menu.mjs";
 import { lang } from "../src/lang.mjs";
 import { RECIPES } from "../src/recipes.mjs";
 import { t } from "../src/i18n.mjs";
+import { sanitizeTerminalText } from "../src/ansi.mjs";
 
 // 명령 구문(왼쪽)은 로케일과 무관 — 설명(오른쪽)만 번역, 폭은 가장 긴 구문 기준으로 계산.
 function buildHelp() {
   const rows = [
     ["pleum", t("(no args) interactive launcher menu — keyboard only (TTY only)")],
-    ["pleum login [--device]", t("Log in via browser + auto-save the key")],
+    ["pleum login [--device]", t("Log in via browser (OAuth session, no API key)")],
     ["", t("--device: browser-less environments (SSH/CI)")],
-    ["pleum logout", t("Delete the saved key")],
+    ["pleum logout", t("Revoke session and clear local tokens")],
     ["pleum launch [tool] [--model id]", t("Run a coding agent against PleumRouter")],
     ["", `(${Object.keys(RECIPES).join(" · ")})`],
     ["", t("omit the tool to see the supported list and install status")],
-    ['pleum run [model] ["prompt"]', t("Terminal chat (REPL) / one-shot / pipe")],
+    ['pleum run [model] ["prompt"] [--attach image]', t("Terminal chat (REPL) / one-shot / pipe")],
     ["", t("omit the model for an arrow-key picker; /help lists commands")],
     ["pleum models [query] [--json]", t("Model list (price, context included)")],
     ["pleum models <id> --info", t("Model detail (price, perf, per-provider uptime)")],
@@ -86,7 +87,14 @@ try {
       break;
     case "logout": {
       const cfg = readConfig();
-      if (cfg) writeConfig(clearCredentials(cfg)); // 로그인 이력 없으면(cfg=null) 빈 파일을 새로 만들지 않는다
+      if (cfg?.access_token) {
+        // best-effort server revoke — 실패해도 로컬 자격증명은 지운다.
+        await fetch(`${V1}/auth/logout`, {
+          method: "POST",
+          headers: { Authorization: `Bearer ${cfg.access_token}` },
+        }).catch(() => {});
+      }
+      if (cfg) writeConfig(clearCredentials(cfg));
       console.log(`✓ ${t("Logged out")}`);
       break;
     }
@@ -146,6 +154,6 @@ try {
       process.exit(1);
   }
 } catch (e) {
-  console.error(`✗ ${e.message}`);
+  console.error(`✗ ${sanitizeTerminalText(e.message)}`);
   process.exit(1);
 }

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "pleumrouter",
-  "version": "0.5.5",
+  "version": "0.5.7",
   "description": "Official PleumRouter terminal CLI — launch any coding agent against PleumRouter.",
   "type": "module",
   "bin": {

package/src/ansi.mjs

@@ -55,6 +55,18 @@ export function stripAnsi(s) {
     .replace(/\x1b\[[0-9;<]*[A-Za-z]/g, "");
 }
 
+// 원격 응답/메타데이터는 신뢰하지 않는다. 터미널 상태를 바꾸는 ESC·C0/C1 제어문자는
+// 제거하되, 텍스트 스트리밍에 필요한 LF와 TAB은 그대로 둔다. CSI/OSC 등의 본문까지
+// 먼저 제거해 ESC만 떼었을 때 남는 `[2J` 같은 노이즈도 남기지 않는다.
+export function sanitizeTerminalText(value) {
+  return String(value ?? "")
+    .replace(/\x1b\][\s\S]*?(?:\x07|\x1b\\)/g, "") // OSC (title, hyperlink, clipboard…)
+    .replace(/\x1b[PX^_][\s\S]*?\x1b\\/g, "") // DCS, SOS, PM, APC
+    .replace(/(?:\x1b\[|\x9b)[0-?]*[ -/]*[@-~]/g, "") // CSI + C1 CSI
+    .replace(/\x1b(?:[()][0-2A-Z0-9]|[=>][0-?]*|.)/g, "") // remaining ESC sequences
+    .replace(/[\u0000-\u0008\u000b-\u001f\u007f-\u009f]/g, "");
+}
+
 // OSC 8 클릭 가능한 하이퍼링크. 무색(파이프·NO_COLOR·dumb)이면 텍스트만.
 export function hyperlink(url, text = url, level = style.level) {
   return level ? `\x1b]8;;${url}\x1b\\${text}\x1b]8;;\x1b\\` : text;

package/src/balance.mjs

@@ -1,11 +1,7 @@
-import { V1 } from "./config.mjs";
-import { requireKey } from "./config.mjs";
+import { authFetch } from "./config.mjs";
 
 export async function balance() {
-  const key = requireKey();
-  const res = await fetch(`${V1}/credits`, {
-    headers: { Authorization: `Bearer ${key}` },
-  });
+  const res = await authFetch("/credits");
   if (!res.ok) {
     const body = await res.text().catch(() => "");
     console.error(`잔액 조회 실패 (HTTP ${res.status})${body ? `: ${body}` : ""}`);

package/src/config.mjs

@@ -30,23 +30,137 @@ export function writeConfig(cfg) {
 }
 
 // 로그인 저장 — 기존 설정(lang·launch_models·last_selection)을 보존한 채 자격증명만 병합.
-// login/loginDevice가 매번 writeConfig({key, base_url})로 전체를 덮어쓰던 버그의 수정.
 export function mergeLoginConfig(existing, patch) {
-  return { ...(existing ?? {}), ...patch };
+  const merged = { ...(existing ?? {}), ...patch };
+  // undefined patch values strip the key (e.g. remove legacy `key` after OAuth login).
+  for (const [k, v] of Object.entries(patch)) {
+    if (v === undefined) delete merged[k];
+  }
+  return merged;
 }
 
-// 로그아웃 — key·base_url(자격증명)만 제거. lang·launch_models 등 나머지 설정은 보존.
+// 로그아웃 — OAuth 토큰·레거시 key·base_url 제거. lang·launch_models 등 나머지 설정은 보존.
 export function clearCredentials(existing) {
-  const { key, base_url, ...rest } = existing ?? {};
+  const {
+    key,
+    base_url,
+    access_token,
+    refresh_token,
+    token_expires_at,
+    ...rest
+  } = existing ?? {};
   return rest;
 }
 
-// 키가 필요한 명령의 공통 가드. 없으면 안내 후 종료.
+/** JWT payload `exp`(epoch sec) — 서명 검증 없이 refresh 트리거 힌트. */
+export function readJwtExp(token) {
+  if (typeof token !== "string") return null;
+  const parts = token.split(".");
+  const segment = parts[1];
+  if (!segment) return null;
+  try {
+    let b64 = segment.replace(/-/g, "+").replace(/_/g, "/");
+    const pad = b64.length % 4;
+    if (pad) b64 += "=".repeat(4 - pad);
+    const json = Buffer.from(b64, "base64").toString("utf8");
+    const payload = JSON.parse(json);
+    return typeof payload.exp === "number" ? payload.exp : null;
+  } catch {
+    return null;
+  }
+}
+
+/** access가 곧 만료(기본 60s 여유)면 true. */
+export function accessTokenIsStale(accessToken, skewSeconds = 60) {
+  const exp = readJwtExp(accessToken);
+  if (exp == null) return true;
+  return exp * 1000 <= Date.now() + skewSeconds * 1000;
+}
+
+/**
+ * 유효한 access_token을 반환. stale이면 refresh. 레거시 `key`(plm_)만 있으면 재로그인 안내.
+ */
+export async function requireAuth() {
+  const cfg = readConfig();
+  if (cfg?.key && !cfg?.access_token) {
+    console.error(
+      t("Legacy API key login is no longer supported. Run:\n  pleum login"),
+    );
+    process.exit(1);
+  }
+  if (!cfg?.access_token || !cfg?.refresh_token) {
+    console.error(t("Login required. Run this first:\n  pleum login"));
+    process.exit(1);
+  }
+  if (!accessTokenIsStale(cfg.access_token)) {
+    return cfg.access_token;
+  }
+  const refreshed = await refreshAccessToken(cfg);
+  if (!refreshed) {
+    console.error(t("Session expired. Run:\n  pleum login"));
+    process.exit(1);
+  }
+  return refreshed;
+}
+
+/** @deprecated use requireAuth — kept as alias for gradual call-site migration */
 export function requireKey() {
+  // sync callers still exist; they must switch to await requireAuth().
+  // For sync contexts we only check presence and return access_token (no refresh).
   const cfg = readConfig();
-  if (!cfg?.key) {
+  if (cfg?.key && !cfg?.access_token) {
+    console.error(
+      t("Legacy API key login is no longer supported. Run:\n  pleum login"),
+    );
+    process.exit(1);
+  }
+  if (!cfg?.access_token) {
     console.error(t("Login required. Run this first:\n  pleum login"));
     process.exit(1);
   }
-  return cfg.key;
+  return cfg.access_token;
+}
+
+export async function refreshAccessToken(cfg = readConfig()) {
+  if (!cfg?.refresh_token) return null;
+  const base = (cfg.base_url || ROOT).replace(/\/+$/, "").replace(/\/v1$/, "");
+  try {
+    const res = await fetch(`${base}/v1/auth/refresh`, {
+      method: "POST",
+      headers: { "Content-Type": "application/json" },
+      body: JSON.stringify({ refresh_token: cfg.refresh_token }),
+    });
+    if (!res.ok) return null;
+    const data = await res.json();
+    if (!data.access_token || !data.refresh_token) return null;
+    const exp = readJwtExp(data.access_token);
+    writeConfig(
+      mergeLoginConfig(cfg, {
+        access_token: data.access_token,
+        refresh_token: data.refresh_token,
+        token_expires_at: exp ? exp * 1000 : undefined,
+        key: undefined,
+      }),
+    );
+    return data.access_token;
+  } catch {
+    return null;
+  }
+}
+
+/** Bearer 요청 — 401이면 1회 refresh 후 재시도. */
+export async function authFetch(path, init = {}) {
+  const token = await requireAuth();
+  const url = path.startsWith("http") ? path : `${V1}${path.startsWith("/") ? path : `/${path}`}`;
+  const headers = { ...(init.headers || {}), Authorization: `Bearer ${token}` };
+  let res = await fetch(url, { ...init, headers });
+  if (res.status !== 401) return res;
+
+  const cfg = readConfig();
+  const refreshed = await refreshAccessToken(cfg);
+  if (!refreshed) return res;
+  return fetch(url, {
+    ...init,
+    headers: { ...(init.headers || {}), Authorization: `Bearer ${refreshed}` },
+  });
 }

package/src/health.mjs

@@ -31,7 +31,7 @@ export function renderHealth({ root, health, error, ms, keyPrefix }, styler = st
   }
   lines.push(
     keyPrefix
-      ? ok(`${t("Logged in")} ${styler.dim(`(${t("key")} ${keyPrefix}…)`)}`)
+      ? ok(`${t("Logged in")} ${styler.dim(`(${keyPrefix === "oauth" ? t("OAuth session") : `${t("key")} ${keyPrefix}…`})`)}`)
       : warn(`${t("Not logged in")} ${styler.dim("— pleum login")}`),
   );
   return lines.join("\n");
@@ -39,7 +39,11 @@ export function renderHealth({ root, health, error, ms, keyPrefix }, styler = st
 
 export async function health() {
   const cfg = readConfig();
-  const keyPrefix = cfg?.key ? cfg.key.slice(0, 8) : null;
+  const keyPrefix = cfg?.access_token
+    ? "oauth"
+    : cfg?.key
+      ? cfg.key.slice(0, 8)
+      : null;
   const t0 = Date.now();
   let data = null;
   let error = null;

package/src/launch.mjs

@@ -1,19 +1,69 @@
 import { spawn } from "node:child_process";
-import { mkdirSync, writeFileSync, existsSync } from "node:fs";
+import { mkdirSync, writeFileSync, existsSync, readFileSync } from "node:fs";
 import { homedir } from "node:os";
-import { join, delimiter } from "node:path";
-import { requireKey } from "./config.mjs";
+import { join, delimiter, dirname, resolve } from "node:path";
+import { requireAuth } from "./config.mjs";
 import { RECIPES, MANUAL, codexToml } from "./recipes.mjs";
 import { t } from "./i18n.mjs";
+import { sanitizeTerminalText } from "./ansi.mjs";
 
 // PATH에서 실행 파일을 찾는다(설치 여부 표시용). menu.mjs도 사용.
 export function onPath(bin) {
-  const exts = process.platform === "win32" ? [".cmd", ".exe", ".bat", ""] : [""];
+  const exts = process.platform === "win32" ? [".exe", ".cmd", ".bat", ""] : [""];
   return (process.env.PATH || "")
     .split(delimiter)
     .some((d) => d && exts.some((e) => existsSync(join(d, bin + e))));
 }
 
+// Windows는 .cmd/.bat 파일을 셸 없이 직접 실행할 수 없다. npm이 만드는 표준 .cmd
+// shim은 실제 Node 엔트리포인트를 가리키므로 그 JS 파일을 현재 Node로 직접 실행한다.
+// 임의의 batch script는 cmd.exe로 넘기지 않고 명시적으로 거부한다. 그래야 --model과
+// `--` 패스스루 인자가 shell 문법으로 재해석될 수 없다.
+function windowsCommandCandidates(bin, path, pathDelimiter) {
+  const hasPath = /[\\/]/.test(bin);
+  const hasExtension = /\.[^\\/]+$/.test(bin);
+  const names = hasExtension ? [bin] : [`${bin}.exe`, `${bin}.cmd`, `${bin}.bat`, bin];
+  const dirs = hasPath ? [""] : path.split(pathDelimiter).filter(Boolean);
+  return dirs.flatMap((dir) => names.map((name) => (dir ? join(dir, name) : name)));
+}
+
+function nodeEntryFromWindowsShim(script, { read = readFileSync, exists = existsSync } = {}) {
+  let source;
+  try {
+    source = String(read(script, "utf8"));
+  } catch {
+    return null;
+  }
+  // npm cmd-shim uses either %dp0% or %~dp0 followed by the package's JS entry.
+  const match = /"(?:%~dp0|%dp0%)[\\/]+([^"\r\n]+?\.(?:[cm]?js))"/i.exec(source);
+  if (!match) return null;
+  const entry = resolve(dirname(script), match[1].replace(/[\\/]+/g, "/"));
+  return exists(entry) ? entry : null;
+}
+
+// 플랫폼·filesystem 주입으로 Windows 경로 정책을 Linux/macOS에서도 회귀 테스트한다.
+export function resolveLaunchCommand(bin, args, {
+  platform = process.platform,
+  path = process.env.PATH || "",
+  delimiter: pathDelimiter = delimiter,
+  exists = existsSync,
+  read = readFileSync,
+  node = process.execPath,
+} = {}) {
+  if (platform !== "win32") return { command: bin, args };
+  const found = windowsCommandCandidates(bin, path, pathDelimiter).find((candidate) => exists(candidate));
+  if (!found) return { command: bin, args };
+  if (!/\.(?:cmd|bat)$/i.test(found)) return { command: found, args };
+
+  const entry = nodeEntryFromWindowsShim(found, { read, exists });
+  if (!entry) {
+    throw new Error(
+      `Windows command script '${bin}' cannot be launched safely. Install an .exe or a standard npm Node shim.`,
+    );
+  }
+  return { command: node, args: [entry, ...args] };
+}
+
 // `pleum launch`(도구 미지정) — 지원 도구 + 설치 여부를 안내.
 export function launchHelp() {
   console.log(t("Usage: pleum launch <tool> [--model id] [-- tool args]\n"));
@@ -32,7 +82,7 @@ export function launchHelp() {
 
 // exit:false면 process.exit 대신 자식 종료 코드를 반환 — 런처 메뉴의 실행 후 복귀용.
 export async function launch(tool, model, passthrough, { exit = true } = {}) {
-  const key = requireKey();
+  const key = await requireAuth();
   const r = RECIPES[tool];
 
   if (!r) {
@@ -60,13 +110,22 @@ export async function launch(tool, model, passthrough, { exit = true } = {}) {
 
   const args = [...r.args(model), ...passthrough];
   if (r.note) console.log(`ℹ ${t(r.note)}`);
-  console.log(`▶ ${t("Running {label}: {cmd}", { label: r.label, cmd: `${r.bin} ${args.join(" ")}` })}\n`);
+  console.log(`▶ ${t("Running {label}: {cmd}", { label: r.label, cmd: sanitizeTerminalText(`${r.bin} ${args.join(" ")}`) })}\n`);
+
+  let command;
+  try {
+    command = resolveLaunchCommand(r.bin, args);
+  } catch (e) {
+    console.error(`✗ ${sanitizeTerminalText(e.message)}`);
+    if (exit) process.exit(1);
+    return 1;
+  }
 
   return await new Promise((resolve) => {
-    const child = spawn(r.bin, args, {
+    const child = spawn(command.command, command.args, {
       env,
       stdio: "inherit",
-      shell: process.platform === "win32",
+      shell: false,
     });
     child.on("error", (e) => {
       if (e.code === "ENOENT") {
@@ -74,7 +133,7 @@ export async function launch(tool, model, passthrough, { exit = true } = {}) {
         if (exit) process.exit(127);
         return resolve(127);
       }
-      console.error(`✗ ${e.message}`);
+      console.error(`✗ ${sanitizeTerminalText(e.message)}`);
       if (exit) process.exit(1);
       resolve(1);
     });

package/src/locales/es.mjs

@@ -12,7 +12,7 @@ export const ES = {
   "Account": "Cuenta",
   "All models — price and context included": "Todos los modelos — precio y contexto incluidos",
   "Anthropic's coding agent — supports subagents": "Agente de codificación de Anthropic — admite subagentes",
-  "Attaching and uploading {n} local image(s) from the prompt.": "Adjuntando y subiendo {n} imagen(es) local(es) del prompt.",
+  "Attaching and uploading {n} explicit local image(s).": "Adjuntando y subiendo {n} imagen(es) local(es) seleccionada(s) explícitamente.",
   "Auto-run:": "Ejecución automática:",
   "Autonomous dev agent": "Agente de desarrollo autónomo",
   "Multi-provider terminal coding agent": "Agente de codificación de terminal multi-proveedor",
@@ -32,7 +32,7 @@ export const ES = {
   "Choose a number, or search (Enter to cancel): ": "Elige un número, o busca (Enter para cancelar): ",
   "Choose a shell": "Elegir una shell",
   "Code": "Código",
-  "Commands:\n  /help, /?           this help\n  /clear              reset the conversation context (keeps the system prompt)\n  /system [text]      set the system prompt (no arg shows the current value)\n  /model [id]         switch models mid-session (no arg = arrow-key picker)\n  /models [query]     browse the model list\n  /save [name]        save the current session (default: last)\n  /load [name]        load a saved session\n  /verbose            toggle token/speed stats\n  /exit, /quit        quit\n  Multi-line input: a line with \"\"\" → body → a line with \"\"\"\n  Images: include an image file path right in the message (e.g. describe this ./shot.png)": "Comandos:\n  /help, /?           esta ayuda\n  /clear              reinicia el contexto de la conversación (conserva el system prompt)\n  /system [text]      define el system prompt (sin argumento muestra el valor actual)\n  /model [id]         cambia de modelo durante la sesión (sin argumento = selector con flechas)\n  /models [query]     explora la lista de modelos\n  /save [name]        guarda la sesión actual (por defecto: last)\n  /load [name]        carga una sesión guardada\n  /verbose            activa/desactiva estadísticas de tokens/velocidad\n  /exit, /quit        salir\n  Entrada multilínea: una línea con \"\"\" → cuerpo → una línea con \"\"\"\n  Imágenes: incluye la ruta de un archivo de imagen directamente en el mensaje (p. ej. describe esto ./shot.png)",
+  "Commands:\n  /help, /?           this help\n  /clear              reset the conversation context (keeps the system prompt)\n  /system [text]      set the system prompt (no arg shows the current value)\n  /model [id]         switch models mid-session (no arg = arrow-key picker)\n  /models [query]     browse the model list\n  /save [name]        save the current session (default: last)\n  /load [name]        load a saved session\n  /verbose            toggle token/speed stats\n  /exit, /quit        quit\n  Multi-line input: a line with \"\"\" → body → a line with \"\"\"\n  Images: attach explicitly with @./shot.png (or --attach ./shot.png for one-shot commands)": "Comandos:\n  /help, /?           esta ayuda\n  /clear              reinicia el contexto de la conversación (conserva el system prompt)\n  /system [text]      define el system prompt (sin argumento muestra el valor actual)\n  /model [id]         cambia de modelo durante la sesión (sin argumento = selector con flechas)\n  /models [query]     explora la lista de modelos\n  /save [name]        guarda la sesión actual (por defecto: last)\n  /load [name]        carga una sesión guardada\n  /verbose            activa/desactiva estadísticas de tokens/velocidad\n  /exit, /quit        salir\n  Entrada multilínea: una línea con \"\"\" → cuerpo → una línea con \"\"\"\n  Imágenes: adjunta explícitamente con @./shot.png (o --attach ./shot.png para comandos de una sola ejecución)",
   "Context cleared": "Contexto borrado",
   "Ctrl+C again to quit (or /exit)": "Ctrl+C de nuevo para salir (o /exit)",
   "Current language: {name}": "Idioma actual: {name}",
@@ -80,6 +80,12 @@ export const ES = {
   "Log out? [Y/n] ": "¿Cerrar sesión? [Y/n] ",
   "Logged in": "Sesión iniciada",
   "Logged in. Saved the key to ~/.pleum/config.json.": "Sesión iniciada. Clave guardada en ~/.pleum/config.json.",
+  "Logged in. Saved the session to ~/.pleum/config.json.": "Sesión iniciada. Sesión guardada en ~/.pleum/config.json.",
+  "Legacy API key login is no longer supported. Run:\n  pleum login": "El inicio de sesión con clave API heredada ya no es compatible. Ejecuta:\n  pleum login",
+  "Session expired. Run:\n  pleum login": "La sesión ha caducado. Ejecuta:\n  pleum login",
+  "OAuth session": "Sesión OAuth",
+  "Log in via browser (OAuth session, no API key)": "Iniciar sesión en el navegador (sesión OAuth, sin clave API)",
+  "Revoke session and clear local tokens": "Revocar sesión y borrar tokens locales",
   "Logged out": "Sesión cerrada",
   "Login required. Run this first:\n  pleum login": "Se requiere iniciar sesión. Ejecuta esto primero:\n  pleum login",
   "Login timed out (2 minutes)": "Tiempo de espera agotado para iniciar sesión (2 minutos)",

package/src/locales/ja.mjs

@@ -12,7 +12,7 @@ export const JA = {
   "Account": "アカウント",
   "All models — price and context included": "全モデル — 価格・コンテキスト込み",
   "Anthropic's coding agent — supports subagents": "Anthropic のコーディングエージェント — サブエージェント対応",
-  "Attaching and uploading {n} local image(s) from the prompt.": "プロンプトからローカル画像 {n} 件を添付・アップロード中。",
+  "Attaching and uploading {n} explicit local image(s).": "明示的に選択したローカル画像 {n} 件を添付・アップロード中。",
   "Auto-run:": "自動実行:",
   "Autonomous dev agent": "自律開発エージェント",
   "Multi-provider terminal coding agent": "マルチプロバイダー対応のターミナルコーディングエージェント",
@@ -32,7 +32,7 @@ export const JA = {
   "Choose a number, or search (Enter to cancel): ": "番号を選択、または検索してください (Enter でキャンセル): ",
   "Choose a shell": "シェルを選択",
   "Code": "コード",
-  "Commands:\n  /help, /?           this help\n  /clear              reset the conversation context (keeps the system prompt)\n  /system [text]      set the system prompt (no arg shows the current value)\n  /model [id]         switch models mid-session (no arg = arrow-key picker)\n  /models [query]     browse the model list\n  /save [name]        save the current session (default: last)\n  /load [name]        load a saved session\n  /verbose            toggle token/speed stats\n  /exit, /quit        quit\n  Multi-line input: a line with \"\"\" → body → a line with \"\"\"\n  Images: include an image file path right in the message (e.g. describe this ./shot.png)": "コマンド:\n  /help, /?           このヘルプ\n  /clear              会話コンテキストをリセット (システムプロンプトは保持)\n  /system [text]      システムプロンプトを設定 (引数なしで現在値を表示)\n  /model [id]         セッション中にモデルを切り替え (引数なし = 矢印キーで選択)\n  /models [query]     モデル一覧を閲覧\n  /save [name]        現在のセッションを保存 (デフォルト: last)\n  /load [name]        保存したセッションを読み込み\n  /verbose            トークン/速度統計の表示切替\n  /exit, /quit        終了\n  複数行入力: \"\"\" の行 → 本文 → \"\"\" の行\n  画像: メッセージ内に画像ファイルパスを直接含める (例: describe this ./shot.png)",
+  "Commands:\n  /help, /?           this help\n  /clear              reset the conversation context (keeps the system prompt)\n  /system [text]      set the system prompt (no arg shows the current value)\n  /model [id]         switch models mid-session (no arg = arrow-key picker)\n  /models [query]     browse the model list\n  /save [name]        save the current session (default: last)\n  /load [name]        load a saved session\n  /verbose            toggle token/speed stats\n  /exit, /quit        quit\n  Multi-line input: a line with \"\"\" → body → a line with \"\"\"\n  Images: attach explicitly with @./shot.png (or --attach ./shot.png for one-shot commands)": "コマンド:\n  /help, /?           このヘルプ\n  /clear              会話コンテキストをリセット (システムプロンプトは保持)\n  /system [text]      システムプロンプトを設定 (引数なしで現在値を表示)\n  /model [id]         セッション中にモデルを切り替え (引数なし = 矢印キーで選択)\n  /models [query]     モデル一覧を閲覧\n  /save [name]        現在のセッションを保存 (デフォルト: last)\n  /load [name]        保存したセッションを読み込み\n  /verbose            トークン/速度統計の表示切替\n  /exit, /quit        終了\n  複数行入力: \"\"\" の行 → 本文 → \"\"\" の行\n  画像: @./shot.png で明示的に添付 (1回実行では --attach ./shot.png)",
   "Context cleared": "コンテキストをクリアしました",
   "Ctrl+C again to quit (or /exit)": "もう一度 Ctrl+C で終了 (または /exit)",
   "Current language: {name}": "現在の言語: {name}",
@@ -80,6 +80,12 @@ export const JA = {
   "Log out? [Y/n] ": "ログアウトしますか? [Y/n] ",
   "Logged in": "ログイン済み",
   "Logged in. Saved the key to ~/.pleum/config.json.": "ログインしました。キーを ~/.pleum/config.json に保存しました。",
+  "Logged in. Saved the session to ~/.pleum/config.json.": "ログインしました。セッションを ~/.pleum/config.json に保存しました。",
+  "Legacy API key login is no longer supported. Run:\n  pleum login": "レガシー API キーログインはサポートされなくなりました。実行してください:\n  pleum login",
+  "Session expired. Run:\n  pleum login": "セッションの有効期限が切れました。実行してください:\n  pleum login",
+  "OAuth session": "OAuth セッション",
+  "Log in via browser (OAuth session, no API key)": "ブラウザでログイン（OAuth セッション、API キーなし）",
+  "Revoke session and clear local tokens": "セッションを取り消し、ローカル トークンを削除",
   "Logged out": "ログアウトしました",
   "Login required. Run this first:\n  pleum login": "ログインが必要です。まず以下を実行してください:\n  pleum login",
   "Login timed out (2 minutes)": "ログインがタイムアウトしました (2分)",

package/src/locales/ko.mjs

@@ -26,6 +26,12 @@ export const KO = {
     "브라우저에서 로그인하세요. 자동으로 안 열리면 아래 URL을 여세요:",
   "Login timed out (2 minutes)": "로그인 시간 초과(2분)",
   "Logged in. Saved the key to ~/.pleum/config.json.": "로그인 완료. 키를 ~/.pleum/config.json 에 저장했습니다.",
+  "Logged in. Saved the session to ~/.pleum/config.json.": "로그인 완료. 세션을 ~/.pleum/config.json 에 저장했습니다.",
+  "Legacy API key login is no longer supported. Run:\n  pleum login": "레거시 API 키 로그인은 더 이상 지원되지 않습니다. 실행하세요:\n  pleum login",
+  "Session expired. Run:\n  pleum login": "세션이 만료되었습니다. 실행하세요:\n  pleum login",
+  "OAuth session": "OAuth 세션",
+  "Log in via browser (OAuth session, no API key)": "브라우저로 로그인 (OAuth 세션, API 키 없음)",
+  "Revoke session and clear local tokens": "세션 폐기 및 로컬 토큰 삭제",
   "Failed to issue a device code (server responded {status})": "device code 발급 실패 (서버 응답 {status})",
   "Code": "코드",
   "Log in at the URL above, then enter the code (within {min} min).": "위 URL에서 로그인 후 코드를 입력하세요 ({min}분 내).",
@@ -176,7 +182,7 @@ export const KO = {
   [`Specify a model: pleum run <model> ["prompt"]  (model selection isn't available on non-interactive stdin)`]:
     `모델을 지정하세요: pleum run <model> ["프롬프트"]  (비대화형 stdin에선 모델 선택 불가)`,
   'Usage: pleum run <model> ["prompt"]\nModel list: pleum models': '사용법: pleum run <model> ["프롬프트"]\n모델 목록: pleum models',
-  "Attaching and uploading {n} local image(s) from the prompt.": "프롬프트의 로컬 이미지 {n}개를 첨부해 업로드합니다.",
+  "Attaching and uploading {n} explicit local image(s).": "명시적으로 선택한 로컬 이미지 {n}개를 첨부해 업로드합니다.",
   "Goodbye.": "안녕히 가세요.",
   "Ctrl+C again to quit (or /exit)": "한 번 더 Ctrl+C 하면 종료 (/exit 도 가능)",
   '/help for commands · /exit to quit · wrap multi-line input in """ · Ctrl+C to stop generation':
@@ -192,7 +198,7 @@ export const KO = {
   /verbose            toggle token/speed stats
   /exit, /quit        quit
   Multi-line input: a line with """ → body → a line with """
-  Images: include an image file path right in the message (e.g. describe this ./shot.png)`]: `명령:
+  Images: attach explicitly with @./shot.png (or --attach ./shot.png for one-shot commands)`]: `명령:
   /help, /?           이 도움말
   /clear              대화 컨텍스트 초기화(시스템 프롬프트는 유지)
   /system [텍스트]    시스템 프롬프트 설정(인자 없으면 현재값 표시)
@@ -203,7 +209,7 @@ export const KO = {
   /verbose            토큰·속도 통계 표시 토글
   /exit, /quit        종료
   여러 줄 입력: """ 한 줄 → 본문 → """ 한 줄
-  이미지: 메시지에 이미지 파일 경로를 그대로 포함(예: 이 그림 설명해줘 ./shot.png)`,
+  이미지: @./shot.png로 명시 첨부(1회 실행은 --attach ./shot.png)`,
   "Context cleared": "컨텍스트 초기화",
   "System prompt set": "시스템 프롬프트 설정",
   "Current system prompt:": "현재 시스템 프롬프트:",

package/src/locales/zh.mjs

@@ -12,7 +12,7 @@ export const ZH = {
   "Account": "账户",
   "All models — price and context included": "所有模型 — 含价格与上下文",
   "Anthropic's coding agent — supports subagents": "Anthropic 的编程代理 — 支持子代理",
-  "Attaching and uploading {n} local image(s) from the prompt.": "正在附加并上传提示中的 {n} 张本地图片。",
+  "Attaching and uploading {n} explicit local image(s).": "正在附加并上传明确选择的 {n} 张本地图片。",
   "Auto-run:": "自动运行：",
   "Autonomous dev agent": "自主开发代理",
   "Multi-provider terminal coding agent": "多提供商终端编程代理",
@@ -32,7 +32,7 @@ export const ZH = {
   "Choose a number, or search (Enter to cancel): ": "选择编号，或搜索（Enter 取消）： ",
   "Choose a shell": "选择 shell",
   "Code": "代码",
-  "Commands:\n  /help, /?           this help\n  /clear              reset the conversation context (keeps the system prompt)\n  /system [text]      set the system prompt (no arg shows the current value)\n  /model [id]         switch models mid-session (no arg = arrow-key picker)\n  /models [query]     browse the model list\n  /save [name]        save the current session (default: last)\n  /load [name]        load a saved session\n  /verbose            toggle token/speed stats\n  /exit, /quit        quit\n  Multi-line input: a line with \"\"\" → body → a line with \"\"\"\n  Images: include an image file path right in the message (e.g. describe this ./shot.png)": "命令：\n  /help, /?           本帮助\n  /clear              重置对话上下文（保留系统提示词）\n  /system [text]      设置系统提示词（不带参数则显示当前值）\n  /model [id]         会话中途切换模型（不带参数 = 方向键选择器）\n  /models [query]     浏览模型列表\n  /save [name]        保存当前会话（默认：last）\n  /load [name]        加载已保存的会话\n  /verbose            切换 token/速度统计\n  /exit, /quit        退出\n  多行输入：一行 \"\"\" → 正文 → 一行 \"\"\"\n  图片：在消息中直接包含图片文件路径（例如 describe this ./shot.png）",
+  "Commands:\n  /help, /?           this help\n  /clear              reset the conversation context (keeps the system prompt)\n  /system [text]      set the system prompt (no arg shows the current value)\n  /model [id]         switch models mid-session (no arg = arrow-key picker)\n  /models [query]     browse the model list\n  /save [name]        save the current session (default: last)\n  /load [name]        load a saved session\n  /verbose            toggle token/speed stats\n  /exit, /quit        quit\n  Multi-line input: a line with \"\"\" → body → a line with \"\"\"\n  Images: attach explicitly with @./shot.png (or --attach ./shot.png for one-shot commands)": "命令：\n  /help, /?           本帮助\n  /clear              重置对话上下文（保留系统提示词）\n  /system [text]      设置系统提示词（不带参数则显示当前值）\n  /model [id]         会话中途切换模型（不带参数 = 方向键选择器）\n  /models [query]     浏览模型列表\n  /save [name]        保存当前会话（默认：last）\n  /load [name]        加载已保存的会话\n  /verbose            切换 token/速度统计\n  /exit, /quit        退出\n  多行输入：一行 \"\"\" → 正文 → 一行 \"\"\"\n  图片：使用 @./shot.png 显式附加（单次命令使用 --attach ./shot.png）",
   "Context cleared": "上下文已清除",
   "Ctrl+C again to quit (or /exit)": "再次按 Ctrl+C 退出（或 /exit）",
   "Current language: {name}": "当前语言：{name}",
@@ -80,6 +80,12 @@ export const ZH = {
   "Log out? [Y/n] ": "要登出吗？ [Y/n] ",
   "Logged in": "已登录",
   "Logged in. Saved the key to ~/.pleum/config.json.": "已登录。密钥已保存至 ~/.pleum/config.json。",
+  "Logged in. Saved the session to ~/.pleum/config.json.": "已登录。会话已保存至 ~/.pleum/config.json。",
+  "Legacy API key login is no longer supported. Run:\n  pleum login": "不再支持旧版 API 密钥登录。请运行：\n  pleum login",
+  "Session expired. Run:\n  pleum login": "会话已过期。请运行：\n  pleum login",
+  "OAuth session": "OAuth 会话",
+  "Log in via browser (OAuth session, no API key)": "通过浏览器登录（OAuth 会话，无 API 密钥）",
+  "Revoke session and clear local tokens": "撤销会话并清除本地令牌",
   "Logged out": "已登出",
   "Login required. Run this first:\n  pleum login": "需要登录。请先运行：\n  pleum login",
   "Login timed out (2 minutes)": "登录超时（2 分钟）",