tensorgrid-ui 1.6.1 → 1.10.0

package/lib/review-settings.js

@@ -12,7 +12,8 @@
  * Импортируются только встроенные модули Node.
  */
 import { KNOWN } from './reviewers.js'
-import { readFile, rename, writeFile } from 'node:fs/promises'
+import { randomBytes } from 'node:crypto'
+import { readFile, rename, rm, writeFile } from 'node:fs/promises'
 import { existsSync } from 'node:fs'
 import { dirname, join } from 'node:path'
 import { fileURLToPath } from 'node:url'
@@ -24,6 +25,7 @@ const FILE_NAME = 'tensorgrid-review.json'
  * Свой литерал здесь был третьим по счёту и расходился бы молча.
  */
 export { KNOWN } from './reviewers.js'
+import { REVIEWERS } from './reviewers.js'
 
 /**
  * Что допустимо в модели и усилии.
@@ -51,27 +53,36 @@ export const MODES = {
   fast: {
     label: 'Быстрый',
     hint: 'Один ревизор, обычное усилие. Минуты. Для рядовой работы.',
-    enabled: ['claude-code'],
+    enabled: ['internal'],
     effort: null,
   },
   normal: {
     label: 'Обычный',
-    hint: 'Два разных продукта. Они находят разное — один упускает половину.',
-    enabled: ['claude-code', 'codex'],
+    hint: 'Две разные модели. Они находят разное — одна упускает половину.',
+    // Два НАШИХ ревизора на разных семействах моделей.
+    //
+    // Раньше здесь стояли два чужих продукта. Чистый опыт показал, что
+    // обвязка почти ничего не решает — совпадение 13 находок из 14, — а
+    // разное находят разные модели. Обе подписки работают и у нас, так что
+    // тот же результат достаётся без двух лишних установок сотруднику.
+    enabled: ['internal', 'internal-alt'],
     effort: null,
   },
   deep: {
     label: 'Глубокий',
-    hint: 'Все ревизоры на полном усилии, включая нашего на выбранной модели. Долго и дорого — для того, что увидят люди.',
+    hint: 'Все доступные ревизоры на полном усилии. Долго и дорого — для того, что увидят люди.',
     // «Глубокий» означает ВСЕ, а не перечисленных поимённо: иначе добавление
     // четвёртого ревизора молча оставило бы самый тщательный режим без него.
     // Остальные режимы называют состав явно — в этом и есть их смысл.
+    //
+    // Сюда попадают и внешние продукты. Если они не установлены, обзор
+    // прямо скажет «не найден» — это лучше, чем молча пропустить.
     enabled: [...KNOWN],
     effort: 'high',
   },
 }
 
-/** Режим по умолчанию: два ревизора — проверенная середина. */
+/** Режим по умолчанию: две модели — проверенная середина. */
 const DEFAULT_MODE = 'normal'
 
 /**
@@ -89,7 +100,16 @@ export function defaults() {
     // Записи строятся ПО СПИСКУ, а не перечисляются вручную: перечисление
     // и было тем третьим источником правды, из-за которого добавление
     // продукта оставило бы выбор неопределённым, а раздел настроек — упавшим.
-    choices: Object.fromEntries(KNOWN.map((kind) => [kind, { provider: null, model: null, effort: null }])),
+    //
+    // Нашим ревизорам модель проставляется СРАЗУ, и это важно: пустая
+    // означала бы умолчание маршрута, то есть одну и ту же модель у обоих —
+    // и второй ревизор стал бы дорогой копией первого. Внешним продуктам
+    // остаётся пусто: у них своя настроена, навязывать поверх нечего.
+    choices: Object.fromEntries(KNOWN.map((kind) => [kind, {
+      provider: REVIEWERS[kind]?.defaultProvider ?? null,
+      model: REVIEWERS[kind]?.defaultModel ?? null,
+      effort: null,
+    }])),
   }
 }
 
@@ -101,7 +121,14 @@ export function defaults() {
  * оттого, что разок проверил быстрым режимом.
  */
 export function applyMode(settings, mode) {
-  const spec = MODES[mode]
+  // Принадлежность проверяется по СОБСТВЕННЫМ ключам.
+  //
+  // `MODES[mode] !== undefined` пропускало унаследованные имена: у обычного
+  // объекта есть `constructor`, `toString` и прочие. Строка `"mode":
+  // "constructor"` в правленом файле принималась как допустимый режим, а
+  // нажатие любой кнопки уходило сюда и роняло маршрут: `spec.enabled` у
+  // функции-конструктора не перебирается.
+  const spec = Object.hasOwn(MODES, mode) ? MODES[mode] : undefined
   if (spec === undefined) return settings
 
   const choices = {}
@@ -140,10 +167,17 @@ function findProfileRoot(startDir) {
  *
  * @param cwd - рабочая папка сессии, запасной ориентир.
  */
-export function settingsPath(cwd) {
-  const here = dirname(fileURLToPath(import.meta.url))
-  const root = findProfileRoot(here) ?? (typeof cwd === 'string' && cwd !== '' ? findProfileRoot(cwd) : null)
-  return root === null ? null : join(root, FILE_NAME)
+export function settingsPath(cwd, root = null) {
+  if (root !== null) return join(root, FILE_NAME)
+  // Каталог ищется ТОЛЬКО от собственного расположения модуля.
+  //
+  // Запасной подъём от рабочей папки убран намеренно: журнал рядом прямо
+  // объявляет его опасным, и справедливо — подложенная в папку чата отметка
+  // об установке увела бы настройки в чужое дерево, то есть в тот самый
+  // непроверенный код, который отдан на обзор. Две половины одного продукта
+  // не могут искать свой файл по разным правилам.
+  const found = findProfileRoot(dirname(fileURLToPath(import.meta.url)))
+  return found === null ? null : join(found, FILE_NAME)
 }
 
 /** Привести прочитанное к ожидаемой форме: файл правит человек, и правит с ошибками. */
@@ -180,14 +214,15 @@ export function normalise(raw) {
     }
   }
 
-  // Режим — подсказка для интерфейса, а не источник состава: состав уже
-  // записан в `enabled`. Неизвестное имя превращается в «свой набор»,
-  // потому что именно им оно и является.
-  const mode = typeof raw.mode === 'string' && MODES[raw.mode] !== undefined ? raw.mode : null
-
-  // Пустой список допустим только как осознанный выбор «никого не звать»;
-  // отличить его от испорченного файла нельзя, поэтому возвращаем как есть.
-  return { mode: mode ?? matchMode(enabled), enabled, choices }
+  // Режим ВСЕГДА выводится из состава, а не берётся из файла.
+  //
+  // Прежде сохранённое имя принималось на веру и никогда не сверялось с
+  // `enabled`, хотя соседний комментарий обещал ровно эту сверку. После
+  // ручной правки состава человек видел подсвеченным «Быстрый — один
+  // ревизор, минуты», а запускались трое на полном усилии: счёт и время
+  // втрое против показанного. Состав — факт, режим — его имя; имя не может
+  // противоречить факту.
+  return { mode: matchMode(enabled), enabled, choices }
 }
 
 /**
@@ -205,9 +240,64 @@ function matchMode(enabled) {
   return null
 }
 
+/** Есть ли такой режим. Только собственные ключи — см. `applyMode`. */
+export function isMode(name) {
+  return typeof name === 'string' && Object.hasOwn(MODES, name)
+}
+
+/**
+ * Очередь записи на каждый файл.
+ *
+ * Запись идёт по схеме «прочитать целиком → изменить → записать целиком»,
+ * и без очереди одновременные вызовы читают ОДНО состояние, а пишут каждый
+ * своё: побеждает последний, остальные исчезают бесследно. Проверено —
+ * двенадцать одновременных записей давали одну.
+ *
+ * Случай не выдуманный: журнал пишут две стороны — Host в конце обзора и
+ * браузер по нажатию в панели. Человек подтверждает находку ровно в тот
+ * момент, когда завершается второй обзор.
+ *
+ * Очередь внутрипроцессная, и этого достаточно: оба пути проходят через
+ * один Host. От двух ОДНОВРЕМЕННО ЗАПУЩЕННЫХ приложений она не спасает —
+ * такой случай потребовал бы файловой блокировки, а он у нас невозможен:
+ * второй экземпляр не поднимется на занятом порту.
+ */
+const queues = new Map()
+
+function serialise(path, work) {
+  const previous = queues.get(path) ?? Promise.resolve()
+  const next = previous.then(work, work)
+  // В очереди держим ТОЛЬКО факт завершения, без результата и без отказа:
+  // иначе одна неудачная запись уронила бы все следующие.
+  queues.set(path, next.then(() => undefined, () => undefined))
+  return next
+}
+/**
+ * Переименовать с повтором.
+ *
+ * На Windows одновременное переименование двух временных файлов в одну цель
+ * изредка отказывает с EPERM или EBUSY: файл в этот момент держит чужая
+ * операция. Это не ошибка вызывающего и не повод терять запись — достаточно
+ * повторить через несколько миллисекунд.
+ *
+ * Повторяются только эти два кода. Всё прочее — настоящая ошибка (нет прав
+ * на каталог, кончилось место), и глотать её нельзя.
+ */
+async function renameWithRetry(from, to, attempts = 5) {
+  for (let attempt = 1; ; attempt += 1) {
+    try {
+      await rename(from, to)
+      return
+    } catch (error) {
+      const retriable = error?.code === 'EPERM' || error?.code === 'EBUSY' || error?.code === 'EACCES'
+      if (!retriable || attempt >= attempts) throw error
+      await new Promise((resolve) => setTimeout(resolve, attempt * 15))
+    }
+  }
+}
 /** Прочитать настройки. Отсутствие файла — не ошибка, а «ничего не выбрано». */
-export async function readSettings(cwd) {
-  const path = settingsPath(cwd)
+export async function readSettings(cwd, root = null) {
+  const path = settingsPath(cwd, root)
   if (path === null) return defaults()
   try {
     const text = await readFile(path, 'utf8')
@@ -225,12 +315,51 @@ export async function readSettings(cwd) {
  * или обрывок — а пустота у нас означает «включить обоих ревизоров», то есть
  * запустить продукт, который человек только что выключил.
  */
-export async function writeSettings(cwd, value) {
-  const path = settingsPath(cwd)
+export async function writeSettings(cwd, value, root = null) {
+  return serialise(settingsPath(cwd, root) ?? 'нет-пути', () => writeSettingsNow(cwd, value, root))
+}
+
+async function writeSettingsNow(cwd, value, root) {
+  const path = settingsPath(cwd, root)
   if (path === null) throw new Error('не найден каталог профиля — некуда сохранить настройки обзора')
-  const normalised = normalise(value)
-  const temporary = `${path}.${process.pid}.tmp`
-  await writeFile(temporary, `${JSON.stringify(normalised, null, 2)}\n`, 'utf8')
-  await rename(temporary, path)
+
+  // Присланное СЛИВАЕТСЯ с тем, что на диске, а не кладётся поверх.
+  //
+  // Прежде маршрут писал объект целиком. Две открытые вкладки настроек — и
+  // та, что открыта дольше, одним нажатием галочки возвращала старые модели
+  // и усилия: она шлёт свой устаревший снимок целиком. Любой отправитель,
+  // приславший только `enabled`, стирал ВЕСЬ выбор моделей без единого слова.
+  //
+  // Сливаем поштучно: пришло поле — берём пришедшее, не пришло — оставляем
+  // сохранённое.
+  const current = await readSettings(cwd, root)
+  const merged = {
+    enabled: Array.isArray(value?.enabled) ? value.enabled : current.enabled,
+    choices: Object.fromEntries(
+      KNOWN.map((kind) => {
+        const was = current.choices[kind] ?? { provider: null, model: null, effort: null }
+        const came = value?.choices?.[kind]
+        if (came === undefined || came === null || typeof came !== 'object') return [kind, was]
+        return [kind, {
+          provider: 'provider' in came ? came.provider : was.provider,
+          model: 'model' in came ? came.model : was.model,
+          effort: 'effort' in came ? came.effort : was.effort,
+        }]
+      }),
+    ),
+  }
+
+  const normalised = normalise(merged)
+  // Уникальное имя временного файла: у двух одновременных записей прежнее
+  // совпадало, и вторая получала отказ на переименовании — первая уже
+  // унесла общий файл.
+  const temporary = `${path}.${process.pid}.${randomBytes(6).toString('hex')}.tmp`
+  try {
+    await writeFile(temporary, `${JSON.stringify(normalised, null, 2)}\n`, 'utf8')
+    await renameWithRetry(temporary, path)
+  } catch (error) {
+    await rm(temporary, { force: true }).catch(() => {})
+    throw error
+  }
   return normalised
 }

package/lib/reviewers.js

@@ -44,9 +44,56 @@ const STDERR_CAP = 64 * 1024
  * список устарел бы при первом же выпуске нового имени модели.
  */
 export const REVIEWERS = {
+  // ── Наши ревизоры ────────────────────────────────────────────────────
+  //
+  // Работают не отдельными продуктами, а нашими подагентами на нашем же
+  // маршруте моделей. Их ДВА, и это не прихоть: два разных СЕМЕЙСТВА
+  // моделей и есть то разнообразие, ради которого раньше звали чужое.
+  //
+  // Чистый опыт показал, что обвязка почти ничего не решает: одна модель в
+  // Claude Code и у нас дала совпадение 13 находок из 14. Разное находят
+  // разные МОДЕЛИ, а не разные обвязки. А обе подписки — Anthropic и
+  // OpenAI — доступны прямо здесь, со своими списками моделей и без
+  // поштучной оплаты.
+  //
+  // Список моделей пуст намеренно: он приходит живым из маршрута. Внешние
+  // продукты понимают только свои имена, а здесь доступно всё подключённое,
+  // включая сотни моделей через OpenRouter.
+  internal: {
+    label: 'Наш ревизор',
+    kind: 'internal',
+    models: [],
+    efforts: ['low', 'medium', 'high', 'max'],
+    defaultProvider: 'anthropic',
+    defaultModel: 'claude-opus-5',
+  },
+  'internal-alt': {
+    label: 'Наш ревизор, вторая модель',
+    kind: 'internal',
+    models: [],
+    efforts: ['low', 'medium', 'high', 'max'],
+    // Намеренно ДРУГОЕ семейство: два прогона одной модели дадут почти
+    // одинаковые находки, и второй ревизор не окупит своего времени.
+    defaultProvider: 'openai-codex',
+    defaultModel: 'gpt-6-astra',
+  },
+
+  // ── Внешние продукты ─────────────────────────────────────────────────
+  //
+  // Оставлены, но НЕ требуются: в умолчания не входят, в установку не
+  // включены, и без них всё работает.
+  //
+  // Причина не в том, что они плохи, а в том, что не добавляют. По деньгам
+  // — подписка работает и у нас. По находкам — совпадение 13 из 14. А
+  // стоят они двух лишних установок сотруднику и почти всех дефектов,
+  // которые пришлось чинить: аргументы, поток ввода, забор ответа,
+  // обёртки Windows, ключи авторизации, отмена, тайм-аут.
+  //
+  // Кому они уже установлены — пусть включает и пользуется.
   'claude-code': {
     label: 'Claude Code',
     kind: 'external',
+    optional: true,
     command: 'claude',
     // Список — подсказка, а НЕ ограничение: интерфейс даёт ввести и своё имя.
     // Жёсткий перечень устарел бы при первом же выпуске новой модели, а
@@ -59,27 +106,12 @@ export const REVIEWERS = {
   codex: {
     label: 'Codex',
     kind: 'external',
+    optional: true,
     command: 'codex',
     models: ['gpt-6-astra', 'gpt-5.6-sol'],
     efforts: ['low', 'medium', 'high', 'xhigh'],
     authEnv: ['OPENAI_API_KEY', 'CODEX_HOME'],
   },
-  internal: {
-    label: 'Наш ревизор',
-    // Единственный, кто работает НЕ отдельным продуктом, а нашим подагентом
-    // на нашем же маршруте моделей.
-    //
-    // Он появился из опыта: та же модель в другой обвязке нашла почти
-    // непересекающийся набор находок. Значит третий угол зрения даёт не
-    // только другая модель, но и другое окружение.
-    //
-    // И он единственный, чей список моделей берётся ЖИВЫМ из маршрута:
-    // Claude Code и Codex понимают только свои имена, а здесь доступно всё,
-    // что подключено — включая сотни моделей через OpenRouter.
-    kind: 'internal',
-    models: [],
-    efforts: ['low', 'medium', 'high', 'max'],
-  },
 }
 
 /**
@@ -108,6 +140,19 @@ export const KNOWN = Object.keys(REVIEWERS)
 const SAFE_VALUE = /^[A-Za-z0-9][A-Za-z0-9._-]{0,63}$/
 const SAFE_ROUTE_VALUE = /^[A-Za-z0-9][A-Za-z0-9._\-/]{0,95}$/
 
+/**
+ * Что разрешено НАШЕМУ ревизору.
+ *
+ * Список РАЗРЕШЕНИЙ, а не запретов, и это принципиально. Запрет пришлось бы
+ * дополнять при каждом новом инструменте харнесса: забыли один раз — и
+ * ревизор снова умеет писать. Разрешение ошибается в безопасную сторону:
+ * незнакомый инструмент по умолчанию недоступен.
+ *
+ * Те же три возможности, что у Claude Code: читать файл, искать по именам,
+ * искать по содержимому. Больше обзору не нужно ничего.
+ */
+const REVIEW_TOOLS = { allow: ['Read', 'Glob', 'Grep'] }
+
 /**
  * Вернуть ревизору его собственные ключи авторизации.
  *
@@ -217,6 +262,18 @@ async function runInternal(ctx, kind, { prompt, provider, model, effort, signal
       prompt: [{ type: 'text', text: prompt }],
       parent: ctx.reviewParent,
       signal,
+      // ТОЛЬКО ЧТЕНИЕ — так же, как у внешних ревизоров.
+      //
+      // Без этого ревизор наследовал бы весь набор инструментов родителя,
+      // включая запись файлов и запуск команд. Ровно та дыра, которую оба
+      // внешних ревизора назвали критичной у Claude Code: я убрал её там и
+      // немедленно завёл здесь, просто не передав ограничения.
+      //
+      // Асимметрия недопустима: обзор, который «ничего не меняет», не должен
+      // иметь права изменить всё — тем более что ревизор по заданию читает
+      // чужой непроверенный код и указание внутри этого кода исполнилось бы
+      // без подтверждения.
+      toolFilter: REVIEW_TOOLS,
       ...(Object.keys(agentOptions).length > 0 ? { agentOptions } : {}),
     })
     const result = await run.result

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "tensorgrid-ui",
-  "version": "1.6.1",
+  "version": "1.10.0",
   "description": "TENSOR GRID — фирменный интерфейс поверх DeepSeek Harness: палитра, живой ambient-слой, айдентика и русский язык-пакет",
   "type": "module",
   "main": "lib/index.js",
@@ -16,8 +16,18 @@
     },
     "./package.json": "./package.json"
   },
+  "bin": {
+    "tensorgrid-ui": "lib/cli.mjs"
+  },
   "files": [
-    "lib"
+    "lib",
+    "install.ps1",
+    "preset",
+    "profile",
+    "brand/tensorgrid.ico",
+    "tools/round-ico-corners.mjs",
+    "env/snapshot.json",
+    "LICENSE"
   ],
   "peerDependencies": {
     "@deepseek-ai/dsh-tools": "*"