puxadinho 0.1.3 → 0.1.5

package/README.md

@@ -9,22 +9,22 @@ puxadinho login
 puxadinho create render-ep12
 ```
 
-Este pacote é só um lançador: no primeiro uso baixa o binário Go da sua plataforma
-(`puxadinho_<os>_<arch>`, macOS e Linux, arm64 e amd64) da release `v<versão>`, confere o
-sha256 contra o `checksums.txt` que vem dentro deste pacote, guarda em
-`~/.cache/puxadinho/<versão>/` e executa com os mesmos argumentos e código de saída.
+Este pacote é só um lançador. O binário Go da sua plataforma (macOS e Linux, arm64 e x64) vem
+no pacote `@puxadinho/cli-<os>-<cpu>`, que o npm instala sozinho como dependência opcional
+(o mesmo esquema do esbuild e do Biome). Se ele não vier (`--omit=optional`, lockfile de outra
+plataforma), o lançador baixa uma vez esse mesmo pacote do registro do npm, confere o sha256
+contra o `checksums.txt` que vem dentro deste pacote, guarda em `~/.cache/puxadinho/<versão>/`
+e executa com os mesmos argumentos e código de saída.
 Sinais: Ctrl-C (SIGINT) chega direto ao binário pelo terminal e o lançador não o repete
 (um segundo SIGINT faria a CLI sair sem limpar); SIGTERM e SIGHUP são repassados.
 Requer Node 24 ou mais novo.
 
 ## Variáveis
 
-- `PUXADINHO_DOWNLOAD_BASE`: base das releases (padrão
-  `https://github.com/hightech-company/puxadinho/releases/download`; aceita `file://`).
-  O binário é buscado em `<base>/v<versão>/`.
-
-> TODO(release): o repositório acima é o `origin` atual do git; confirme o destino das
-> releases antes de publicar (constante `DEFAULT_BASE` em `bin/puxadinho.js`).
+- `npm_config_registry`: registro de onde a reserva baixa o pacote da plataforma (padrão
+  `https://registry.npmjs.org`). O sha256 é sempre o do `checksums.txt` deste pacote.
+- `PUXADINHO_DOWNLOAD_BASE`: espelho próprio com o layout `<base>/v<versão>/puxadinho_<os>_<arch>`
+  (aceita `file://`), no lugar do registro.
 
 ## Códigos de saída
 
@@ -52,18 +52,17 @@ aparecem no campo `code` como os demais.
 - `puxadinho setup claude` usa `claude mcp add --header "Authorization: Bearer <chave>"`, que expõe
   a chave por instantes na lista de processos da máquina. O Codex guarda a chave em
   `~/.codex/config.toml` (modo 0600).
-- O `checksums.txt` vem no pacote npm, não da origem do download: um binário trocado na release
-  (ou no meio do caminho) não confere e é descartado.
+- O `checksums.txt` vem no pacote npm, não da origem do download: um binário trocado no registro,
+  no espelho ou no meio do caminho não confere e é descartado.
 - A API padrão é `https://www.usepuxadinho.com.br` (troque com `PUXADINHO_API_URL` ou `--api-url`).
 
 ## Publicar uma versão
 
-1. Ajuste `version` em `package.json`.
-2. `pnpm --filter puxadinho build:binaries` gera `dist/v<versão>/puxadinho_*` e o `checksums.txt`
-   (na raiz do pacote, que vai para o npm, e uma cópia em `dist/v<versão>/`)
-   (`go build` com `-ldflags "-X puxadinho.app/go/internal/cli/api.Version=<versão>"`).
-3. Crie a release `v<versão>` com os binários de `dist/v<versão>/`.
-4. `pnpm --filter puxadinho publish` (o pacote leva o `checksums.txt` desses mesmos binários:
-   publique sempre logo depois do build da release).
+Suba `version` em `package.json` num commit e faça push na `main`. O workflow
+`.github/workflows/npm-publish.yml` roda `pnpm release all --if-new` com Trusted Publishing (OIDC,
+sem token guardado): compila os 4 binários, publica os 4 pacotes de plataforma antes deste e cria
+a tag `cli-v<versão>`. Versão que já está no npm é pulada.
 
-`dist/` e o `checksums.txt` gerado não vão para o git; o `checksums.txt` vai para o npm.
+Localmente, `pnpm release cli --dry-run` testa tudo sem publicar. `--local` publica daqui com o
+seu token (só em emergência). `npm publish` direto é bloqueado no `prepack`. `dist/` e o
+`checksums.txt` gerado não vão para o git; o `checksums.txt` vai para o npm.

package/bin/puxadinho.js

@@ -28,7 +28,8 @@ async function fetchBuffer(url) {
   if (url.startsWith("file://")) {
     return fs.readFileSync(new URL(url));
   }
-  const res = await fetch(url, { redirect: "follow" });
+  // Sem resposta em 2 min, desiste (a reserva não pode travar o terminal para sempre).
+  const res = await fetch(url, { redirect: "follow", signal: AbortSignal.timeout(120_000) });
   if (!res.ok) throw new Error(`${url} respondeu ${res.status}`);
   return Buffer.from(await res.arrayBuffer());
 }

package/checksums.txt

@@ -1,4 +1,4 @@
-d4ac53727667b3020bfffe8553ec53a81b80a885eac3faf7a3825620b02de5e4  puxadinho_darwin_arm64
-f4c5ae7d4aacc2faf445537701e896e432d13f0864498daaad219e8007dad01b  puxadinho_darwin_amd64
-370ccc17ed11871a0990b2ea5ea4c74d52c1659bb5359c8a2cf3a6c4f934ef25  puxadinho_linux_amd64
-3c4b04546c26f2e7ddeade16e97b60bad189fd895dd32eb3f9b0e87347a7f3e6  puxadinho_linux_arm64
+25bbca65dc8b10e658e84527b0fefda2ced2898218a98215d2ae20a7143b8a56  puxadinho_darwin_arm64
+1c1b6dff868d7af93125203a9fe502782d56a563a012a4734e058ab74fb98bcb  puxadinho_darwin_amd64
+a4c46039abdb7811fc7f21c6832004a6bf638ac35d6370211a6a22ef4c812e8e  puxadinho_linux_amd64
+7ff4253d4da662f6d4a7e396ac68a2dcd834dc00f2c846fd04d0ff55c707319f  puxadinho_linux_arm64

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "puxadinho",
-  "version": "0.1.3",
+  "version": "0.1.5",
   "description": "CLI do puxadinho: boxes Linux na nuvem para você e seus agentes.",
   "license": "SEE LICENSE IN README.md",
   "type": "commonjs",
@@ -19,12 +19,13 @@
     "node": ">=24"
   },
   "scripts": {
-    "build:binaries": "node scripts/build-binaries.js"
+    "build:binaries": "node scripts/build-binaries.js",
+    "prepack": "node -e \"process.env.PUXADINHO_RELEASE||(console.error('publique com: pnpm release sdk|cli (na raiz)'),process.exit(1))\""
   },
   "optionalDependencies": {
-    "@puxadinho/cli-darwin-arm64": "0.1.3",
-    "@puxadinho/cli-darwin-x64": "0.1.3",
-    "@puxadinho/cli-linux-arm64": "0.1.3",
-    "@puxadinho/cli-linux-x64": "0.1.3"
+    "@puxadinho/cli-darwin-arm64": "0.1.5",
+    "@puxadinho/cli-darwin-x64": "0.1.5",
+    "@puxadinho/cli-linux-arm64": "0.1.5",
+    "@puxadinho/cli-linux-x64": "0.1.5"
   }
 }