sbuilder-mcp 0.43.0 → 0.44.0

package/CHANGELOG.md

@@ -6,6 +6,14 @@ All notable changes to this project are documented in this file.
 The format is based on [Keep a Changelog](https://keepachangelog.com/en/1.1.0/),
 and this project adheres to [Semantic Versioning](https://semver.org/spec/v2.0.0.html).
 
+## [0.44.0] - 2026-09-14
+
+### Changed
+- The live-edit socket's auth frame now names the calling harness (client, clientVersion), so the editor's presence bar and cursors can tell Claude Code, Cursor, or another agent apart instead of drawing the same robot glyph for all of them; the fields are omitted entirely when nothing identifies itself, so a client that never identified sends the exact same frame as before.
+
+### Fixed
+- Codegen's config-value vocabulary now provably prefers a platform declaration over a renderer's own (necessarily partial) list wherever both exist for the same key, closing a precedence that was only correct by accident of loop order and could have silently flipped on the next reshuffle; pinned by a new test rather than a runtime check, since an under-report from a renderer-only key is undetectable by construction.
+
 ## [0.43.0] - 2026-09-14
 
 ### Added

package/CHANGELOG.vi.md

@@ -6,6 +6,14 @@ Mọi thay đổi đáng chú ý của dự án được ghi lại trong file n
 Định dạng dựa trên [Keep a Changelog](https://keepachangelog.com/en/1.1.0/),
 và dự án tuân theo [Semantic Versioning](https://semver.org/spec/v2.0.0.html).
 
+## [0.44.0] - 2026-09-14
+
+### Changed
+- Frame xác thực của socket live-edit giờ nêu rõ harness đang gọi (client, clientVersion), nhờ đó thanh presence và con trỏ của editor có thể phân biệt Claude Code, Cursor hay một agent khác thay vì vẽ chung một biểu tượng robot cho tất cả; các trường này bị bỏ qua hoàn toàn khi không có gì tự nhận diện, nên một client chưa từng tự nhận diện vẫn gửi đúng frame như trước.
+
+### Fixed
+- Bảng giá trị config của codegen giờ chứng minh được là ưu tiên một khai báo của nền tảng hơn danh sách tự thân (vốn luôn chỉ là một phần) của renderer bất cứ khi nào cả hai cùng tồn tại cho một key, khép lại một thứ tự ưu tiên trước đây chỉ đúng nhờ tình cờ của thứ tự vòng lặp và có thể âm thầm đảo ngược ở lần sắp xếp lại kế tiếp; được ghim bằng một test mới thay vì một kiểm tra lúc chạy, vì việc báo thiếu từ một key chỉ có nguồn renderer là không thể phát hiện được về mặt cấu trúc.
+
 ## [0.43.0] - 2026-09-14
 
 ### Added

package/dist/transport/socket.js

@@ -1,3 +1,12 @@
+/**
+ * One connection to the editor's live-edit room.
+ *
+ * The browser-shaped surface narrowed to a `SocketLike` so tests can drive a
+ * hand-written fake — fire `onopen`, deliver a message, fire `onclose` at a
+ * chosen moment — with no network and no server. This is the editor's own
+ * testing seam, and it is why every rule below has a test rather than a comment.
+ */
+import { agentIdentity } from './identity.js';
 /** WebSocket.OPEN per spec, as a literal so this module never reads a global. */
 const OPEN = 1;
 const RETRY_BASE_MS = 500;
@@ -39,7 +48,35 @@ export class RealtimeSocket {
             // Auth is the FIRST message, never a header (a browser cannot set one on a
             // WebSocket) and never a query parameter (a token in a URL lands in logs).
             // The server enforces a 5s deadline, so it goes out immediately.
-            ws.send(JSON.stringify({ t: 'auth', token: this.token() }));
+            //
+            // WHICH HARNESS, because the room draws one robot for all of them.
+            // `identityHeaders` rides on every HTTP call and CANNOT reach this socket
+            // — the header door is the very one the paragraph above closes — so the
+            // frame carries it instead. The editor paints 🤖 for `kind === 'agent'`
+            // (`PresenceBar.vue`, `PeerCursors.vue`) whether the peer is Claude Code,
+            // Cursor or a cron job, so a merchant watching their canvas move cannot
+            // tell which of their tools is doing it.
+            //
+            // ADDITIVE BY CONSTRUCTION, the same property `Peer.Kind` shipped on:
+            // `realtime.Decode` is a plain `json.Unmarshal` with no
+            // `DisallowUnknownFields`, so every deployed server IGNORES these two
+            // today and a later one reads them without this client changing again.
+            // Omitted rather than sent blank when the client named nothing — a client
+            // that identified itself and one that did not must not look alike, which
+            // is the same rule `identityHeaders` follows.
+            //
+            // A LABEL AND NEVER A CLAIM. `kind` is derived server-side from the
+            // credential (`auth.Authorize`), which is what makes it trustworthy;
+            // this is asserted by the caller and must never gate anything. It is the
+            // same string `X-Agent-Client` already puts on every HTTP request, so the
+            // socket is catching up with what the platform is told regardless.
+            const id = agentIdentity();
+            ws.send(JSON.stringify({
+                t: 'auth',
+                token: this.token(),
+                ...(id.client ? { client: id.client } : {}),
+                ...(id.clientVersion ? { clientVersion: id.clientVersion } : {}),
+            }));
         };
         ws.onmessage = (ev) => {
             // A frame ARRIVING is the only evidence this connection is usable. An open

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "sbuilder-mcp",
-  "version": "0.43.0",
+  "version": "0.44.0",
   "description": "MCP server that designs and operates a Store Builder site — pages, data, theme and publish — through the platform's own API and live-edit protocol.",
   "mcpName": "io.github.vuluu2k/sbuilder-mcp",
   "type": "module",