tmuxclihook 0.5.8 → 0.5.10

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "tmuxclihook",
-  "version": "0.5.8",
+  "version": "0.5.10",
   "description": "交互式 TUI 安装器：环境侦测、AI CLI 侦测、tmux-ai-status hooks 装/卸/修、TPM 软链校验",
   "type": "module",
   "bin": {

package/scripts/adapters/claude.sh

@@ -255,6 +255,51 @@ adapter_check_integrity() {
     return 0
 }
 
+# 已收敛判定（仅供 wrapper 的 auto 分支使用——⚠️ 不得被事件路径复用）。
+# 四条件全过 = auto 可安全跳过重装：integrity 过 + 全部条目指向当前源（无漂移/
+# 死条目）+ 每事件本插件条目 ≤1（无重复）。
+# 参照系：wrapper 的 _LIB_DIR 是 pwd -P 物理路径；写入（install/auto/修复全部经
+# wrapper）与比较同参照系自洽。事件路径的 _LIB_DIR 是 pwd 逻辑路径（软链场景
+# 两者不等），事件路径复用会误判漂移。
+# 取源逻辑与 adapter_check_integrity 的三模式 case 保持同步（不抽共享以控制
+# integrity 的回归面）。
+adapter_check_converged() {
+    adapter_check_integrity || return 1
+    local mode src="" tmp="" stats
+    mode=$(_ccswitch_mode)
+    case "$mode" in
+        live)
+            src=$(_ccswitch_live_file)
+            [ -f "$src" ] || return 1
+            ;;
+        legacy)
+            _ccswitch_dump_common tmp || return 1
+            src="$tmp"
+            ;;
+        *)
+            [ -f "$ADAPTER_HOOKS_FILE" ] || return 1
+            src="$ADAPTER_HOOKS_FILE"
+            ;;
+    esac
+    # 一次 jq 同时产出漂移计数（≠ 当前源，含死路径）与重复计数（每事件条目 >1）
+    stats=$(jq -r --arg cur "${_LIB_DIR}/tmux-ai-status" '
+        .hooks as $h |
+        ["SessionStart","SessionEnd","UserPromptSubmit","PreToolUse","PostToolUse",
+         "PostToolUseFailure","PermissionRequest","Notification","Stop","StopFailure"] as $events |
+        [$events[] as $e |
+            [$h[$e][]?.hooks[]?.command // empty
+             | select(contains("tmux-ai-status")) | split(" ")[0]] as $scripts |
+            select(($scripts | length) > 0) |
+            {bad: ([$scripts[] | select(. != $cur)] | length),
+             n: ($scripts | length)}]
+        | "bad=\([.[].bad] | add // 0) dup=\([.[].n | select(. > 1)] | length)"' "$src" 2>/dev/null)
+    [ -z "$tmp" ] || rm -f "$tmp"
+    case "$stats" in
+        "bad=0 dup=0") return 0 ;;
+        *) return 1 ;;
+    esac
+}
+
 # 明细检查（仅 install wrapper 的 check --json 调用；事件热路径不触达）。
 # stdout 输出单行紧凑 JSON 片段 {"mode":...,"events":{...},"plugin":null,"registeredPaths":[...]}，
 # 由 lib-install-hooks.sh 的 _wrapper_check_json 拼装 tool/status/suppress/drift。
@@ -342,6 +387,16 @@ adapter_install_hooks() {
             _ccswitch_warn_gui
             _ccswitch_dump_common tmp || return 1
             merged=$(_claude_apply_merge "$tmp")
+            # 语义不变跳写：merge 只动 .hooks，顶层其他字段天然继承 tmp——
+            # 两边 jq -S 规范化对比，相同则跳过 upsert（GUI 冲掉 hooks 时
+            # 库内现值 ≠ merged，恒不跳，对抗不弱化；行缺失时 tmp={}，
+            # merged 恒含 10 事件，同样恒不跳）
+            if [ "$(jq -S . "$tmp" 2>/dev/null)" = "$(jq -S . <<<"$merged" 2>/dev/null)" ]; then
+                rm -f "$tmp"
+                echo "Claude hooks already up to date in cc-switch common config (skip write)"
+                echo "Events: $_CLAUDE_EVENTS"
+                return 0
+            fi
             rm -f "$tmp"
             hooks_patch=$(jq -c '{hooks: (.hooks // {})}' <<<"$merged")
             full_doc=$(jq -c . <<<"$merged")
@@ -360,6 +415,14 @@ adapter_install_hooks() {
     esac
     [ -f "$target" ] || _install_atomic_write '{}' "$target"
     updated=$(_claude_apply_merge "$target")
+    # 语义不变跳写：jq 输出格式与手写文件不同，字节 cmp 不可用——两边 jq -S
+    # 规范化后比较（命令替换对称剥尾换行）。跳写不触碰 mtime，避免触发 Claude
+    # Code file watcher 的无谓 hooks 重载。
+    if [ "$(jq -S . "$target" 2>/dev/null)" = "$(jq -S . <<<"$updated" 2>/dev/null)" ]; then
+        echo "Claude hooks already up to date at $target (skip write)"
+        echo "Events: $_CLAUDE_EVENTS"
+        return 0
+    fi
     _install_atomic_write "$updated" "$target"
     echo "Claude hooks installed to $target"
     echo "Events: $_CLAUDE_EVENTS"
@@ -412,6 +475,11 @@ adapter_uninstall_hooks() {
     esac
     [ -f "$target" ] || { echo "Claude hooks: nothing to uninstall"; return 0; }
     updated=$(_claude_apply_strip "$target")
+    # 无本插件条目时 strip 无变化 → 跳写（不触碰 mtime）
+    if [ "$(jq -S . "$target" 2>/dev/null)" = "$(jq -S . <<<"$updated" 2>/dev/null)" ]; then
+        echo "Claude hooks: nothing to uninstall from $target (skip write)"
+        return 0
+    fi
     _install_atomic_write "$updated" "$target"
     echo "Claude hooks uninstalled from $target"
 }

package/scripts/install-claude-hooks.sh

@@ -18,6 +18,21 @@ _LIB_DIR="$(cd "$(dirname "${BASH_SOURCE[0]}")" && pwd -P)"
 source "${_LIB_DIR}/lib-install-hooks.sh"
 source "${_LIB_DIR}/adapters/claude.sh"
 
+# 写路径互斥（check 只读不锁）：临界区覆盖 adapter 调用 + suppress 标记读-改-写，
+# 串行化 auto 与显式 uninstall 的标记 TOCTOU。失败语义见 _install_acquire_lock：
+# 降级无锁（rc=2）继续；等待超时（rc=1）退出。
+case "${1:-install}" in
+    check) ;;
+    *)
+        _lock_rc=0
+        _install_acquire_lock claude || _lock_rc=$?
+        if [ "$_lock_rc" = 1 ]; then exit 1; fi
+        if [ "$_lock_rc" = 0 ]; then
+            trap '_install_release_lock claude' EXIT
+        fi
+        ;;
+esac
+
 case "${1:-install}" in
     uninstall)
         adapter_uninstall_hooks
@@ -37,11 +52,19 @@ case "${1:-install}" in
         if [ -f "$(_hooks_suppress_file claude)" ]; then
             exit 0
         fi
+        # 已收敛（integrity + 无漂移/死条目/重复）→ 跳过重装：tmux 每次 reload
+        # 不再全量重写真源。强收敛保留——漂移/死条目/缺失/重复任一存在都走
+        # install 收敛。结构漂移（async/matcher 被外部改）不在判定内，auto 跳过
+        # 不修复，显式 install 仍强收敛。
+        if adapter_check_converged; then
+            echo "claude hooks already converged (skip install)"
+            exit 0
+        fi
         adapter_install_hooks
-        _hooks_suppress_clear claude
+        _hooks_suppress_clear claude || true
         ;;
     *)
         adapter_install_hooks
-        _hooks_suppress_clear claude
+        _hooks_suppress_clear claude || true
         ;;
 esac

package/scripts/install-codex-hooks.sh

@@ -15,6 +15,19 @@ _LIB_DIR="$(cd "$(dirname "${BASH_SOURCE[0]}")" && pwd -P)"
 source "${_LIB_DIR}/lib-install-hooks.sh"
 source "${_LIB_DIR}/adapters/codex.sh"
 
+# 写路径互斥（check 只读不锁）：见 _install_acquire_lock 头注释。
+case "${1:-install}" in
+    check) ;;
+    *)
+        _lock_rc=0
+        _install_acquire_lock codex || _lock_rc=$?
+        if [ "$_lock_rc" = 1 ]; then exit 1; fi
+        if [ "$_lock_rc" = 0 ]; then
+            trap '_install_release_lock codex' EXIT
+        fi
+        ;;
+esac
+
 case "${1:-install}" in
     uninstall)
         adapter_uninstall_hooks
@@ -32,6 +45,6 @@ case "${1:-install}" in
         ;;
     *)
         adapter_install_hooks
-        _hooks_suppress_clear codex
+        _hooks_suppress_clear codex || true
         ;;
 esac

package/scripts/install-opencode-hooks.sh

@@ -15,6 +15,19 @@ _LIB_DIR="$(cd "$(dirname "${BASH_SOURCE[0]}")" && pwd -P)"
 source "${_LIB_DIR}/lib-install-hooks.sh"
 source "${_LIB_DIR}/adapters/opencode.sh"
 
+# 写路径互斥（check 只读不锁）：见 _install_acquire_lock 头注释。
+case "${1:-install}" in
+    check) ;;
+    *)
+        _lock_rc=0
+        _install_acquire_lock opencode || _lock_rc=$?
+        if [ "$_lock_rc" = 1 ]; then exit 1; fi
+        if [ "$_lock_rc" = 0 ]; then
+            trap '_install_release_lock opencode' EXIT
+        fi
+        ;;
+esac
+
 case "${1:-install}" in
     uninstall)
         adapter_uninstall_hooks
@@ -32,6 +45,6 @@ case "${1:-install}" in
         ;;
     *)
         adapter_install_hooks
-        _hooks_suppress_clear opencode
+        _hooks_suppress_clear opencode || true
         ;;
 esac

package/scripts/lib-install-hooks.sh

@@ -29,14 +29,85 @@ _install_atomic_write() {
 # 显式 uninstall 成功 → 写 suppressed-<tool>；显式 install 成功 → 清。
 # 自动修复路径（_maybe_repair_hooks / 入口 auto / SessionStart 重装）见标记一律不装。
 # ⚠️ _SUPPRESS_DIR 与 lib-tmux-ai-status.sh 中的定义保持一致（两处同步改）。
+#
+# 失败语义（两个方向都告警，不对称）：
+# - write 失败：hooks 已剥离但标记没落 → auto 会静默装回（用户显式卸载被反转）
+#   → return 1，wrapper uninstall 分支 errexit 使其以非 0 退出，用户可见。
+# - clear 失败：install 已成功但残留标记会把 auto 永久挡住（比 write 失败更隐蔽）
+#   → 告警但 return 0（主操作已成功，调用方 wrapper 的 clear 调用需 || true 容忍）。
 _SUPPRESS_DIR="${TMUX_AI_SUPPRESS_DIR:-${XDG_CONFIG_HOME:-${HOME}/.config}/tmuxclihook}"
 
 _hooks_suppress_file() { printf '%s/suppressed-%s' "$_SUPPRESS_DIR" "$1"; }
 _hooks_suppress_write() {
-    mkdir -p "$_SUPPRESS_DIR" 2>/dev/null || true
-    date +%s > "$(_hooks_suppress_file "$1")" 2>/dev/null || true
+    if ! mkdir -p "$_SUPPRESS_DIR" 2>/dev/null \
+       || ! date +%s > "$(_hooks_suppress_file "$1")" 2>/dev/null; then
+        echo "WARN: 抑制标记写入失败——hooks 已卸载，但 tmux 重载/新会话可能自动装回；" \
+             "请检查 $_SUPPRESS_DIR 可写性" >&2
+        return 1
+    fi
+}
+_hooks_suppress_clear() {
+    if [ -e "$(_hooks_suppress_file "$1")" ] \
+       && ! rm -f "$(_hooks_suppress_file "$1")" 2>/dev/null; then
+        echo "WARN: 卸载意图标记清除失败——tmux 自动安装将持续跳过；" \
+             "请检查 $_SUPPRESS_DIR 可写性" >&2
+        return 1
+    fi
+}
+
+# --- 安装/卸载读-改-写互斥锁 ---
+# 写路径的并发方：TUI 显式装 / tmux 入口 auto / SessionStart 自修复 / _maybe_repair_hooks /
+# drift 收敛——五方都经 wrapper dispatch，锁在此层一处覆盖三 adapter。
+# mkdir mutex（项目风格同 .lock/.event-lock；macOS 无 flock(1)）。两种失败语义区分：
+# - 锁目录建不出来（权限/ENOTDIR）→ 降级无锁继续 + 告警（历史行为是无锁写；install
+#   真正写目标与锁目录不同权限域，锁失败不代表写不了）
+# - 他人持锁 → 等待（0.2s × 50 ≈ 10s）→ stale（10s）强夺 → 超时报错 return 1（显式操作可见）。
+#   ⚠️ codex SessionStart 是同步 hook（timeout:5s）：极端并发下锁等待可能超过 5s 使该次
+#   hook 超时——后果轻（该次 hook 不执行、codex 继续、无阻塞），概率极低（repair 60s 一次）。
+# 边界：锁只收敛「我们自己的多方」；Claude Code 自身写 settings.json 不遵守本锁（外部
+# 写者无法防）——这正是 60s 自修复存在的原因。写路径互斥由 wrapper 层负责，adapter
+# 函数不含锁——直接 source adapter 调 install 会绕过锁。
+_install_lock_dir() { printf '%s/.install-lock-%s' "$_SUPPRESS_DIR" "$1"; }
+_install_acquire_lock() {  # $1=tool id → 0=持锁 1=超时（2=降级无锁，调用方继续）
+    local lock; lock=$(_install_lock_dir "$1")
+    if ! mkdir -p "$_SUPPRESS_DIR" 2>/dev/null; then
+        echo "WARN: 锁目录不可创建（$_SUPPRESS_DIR），降级无锁继续安装" >&2
+        return 2
+    fi
+    local _start=$SECONDS i
+    for i in {1..50}; do
+        if mkdir "$lock" 2>/dev/null; then
+            echo "$$" > "$lock/owner"
+            return 0
+        fi
+        # stale 强夺：持锁者进程已死 → 立即夺；锁 mtime 超 10s → 强夺。
+        # 外部命令（stat/sleep/rmdir）逐一防御退出码——ccswitch 用例 8 的 stubbin
+        # 是最小 PATH 沙箱（无 stat/rmdir/sleep），127 会在 errexit 下炸掉 install。
+        local owner mtime
+        owner=$(cat "$lock/owner" 2>/dev/null)
+        if [ -n "$owner" ] && ! kill -0 "$owner" 2>/dev/null; then
+            rm -f "$lock/owner" 2>/dev/null || true
+            rmdir "$lock" 2>/dev/null || true
+            continue
+        fi
+        mtime=""
+        mtime=$(stat -c %Y "$lock" 2>/dev/null || stat -f %m "$lock" 2>/dev/null || true)
+        if [ -n "$mtime" ] && [ $(( _start + SECONDS - mtime )) -ge 10 ]; then
+            echo "WARN: 强夺超时的安装锁（owner=${owner:-?}）" >&2
+            rm -f "$lock/owner" 2>/dev/null || true
+            rmdir "$lock" 2>/dev/null || true
+            continue
+        fi
+        sleep 0.2 2>/dev/null || :
+    done
+    echo "ERROR: 安装锁获取超时（$lock）——另一安装操作可能仍在进行，稍后重试" >&2
+    return 1
+}
+_install_release_lock() {  # $1=tool id
+    local lock; lock=$(_install_lock_dir "$1")
+    rm -f "$lock/owner" 2>/dev/null || true
+    rmdir "$lock" 2>/dev/null || true
 }
-_hooks_suppress_clear() { rm -f "$(_hooks_suppress_file "$1")" 2>/dev/null || true; }
 
 # --- check --json：完整性明细 JSON（wrapper 专用，事件热路径不触达）---
 # stdout = 单行紧凑 JSON；exit code 与默认 check 一致（ok→0 / missing→1）。

package/scripts/lib-tmux-ai-log.sh

@@ -69,9 +69,12 @@ _ai_log_event() {
     [ "${fsize:-0}" -gt "$AI_LOG_MAX_SIZE" ] && _ai_log_rotate
 }
 
-# input 超长截断：>2000B 保留前 2000B 加 "…+Nbytes"
+# input 超长截断：默认 >2000B 保留前 2000B 加 "…+Nbytes"；$2 可传自定义上限。
+# PermissionRequest 的 full 日志路径传 16384（保留调试价值同时限制体积）。
+# 注意：即便 16384 也远超 PIPE_BUF（macOS 512 / Linux 4096），并发 hook 的
+# 大 input 日志行可能交错撕裂——接受（日志观测用途，非结构化数据）。
 _ai_log_truncate_input() {
-    local s="$1" max=2000
+    local s="$1" max="${2:-2000}"
     local n=${#s}
     if [ "$n" -gt "$max" ]; then
         printf '%s…+%dbytes' "${s:0:$max}" "$((n - max))"

package/scripts/lib-tmux-ai-status.sh

@@ -113,26 +113,51 @@ _snapshot_has_pane() {  # $1=pane_id
 }
 
 # 从当前进程沿父链向上匹配 pane_pid；命中即返回该 pane（权威信号）。
+# $1 可选进程快照（_ps_process_snapshot 输出）：调用方（resolve_tmux_pane）
+# 传入以复用同一份快照（ancestry 与进程树候选共用，每事件一次 ps）；空参自取。
+# 一次 awk 同时建 ppid 映射与 pane_pid→pane_id 表，从 $$ 内存爬链——
+# depth<24 / pid>1 语义与旧逐层 `ps -o ppid=` 版一致；快照是瞬时一致视图，
+# 还消除了逐层实时 ps 的爬链中途进程死亡问题。
 _pane_from_ancestry() {
-    local pid=$$ depth=0 found
-    while [ "${pid:-0}" -gt 1 ] && [ "$depth" -lt 24 ]; do
-        found=$(printf '%s\n' "$_PANE_SNAPSHOT" | awk -F'|' -v p="$pid" '$4==p{print $1; exit}')
-        if [ -n "$found" ]; then printf '%s' "$found"; return 0; fi
-        pid=$(ps -o ppid= -p "$pid" 2>/dev/null | tr -d '[:space:]')
-        depth=$((depth + 1))
-    done
-    return 1
+    local snapshot="${1:-}"
+    [ -n "$snapshot" ] || snapshot=$(_ps_process_snapshot)
+    [ -n "$snapshot" ] || return 1
+    # ps 快照与 pane 快照均为变量内容（非文件），各经 process substitution 进 awk：
+    # 第一个文件（NR==FNR）建 ppid 映射，第二个建 pane_pid→pane_id 表，END 爬链。
+    # ⚠️ split 必须用单空格 " "（awk 特殊语义：忽略前导/尾部空白、折叠连续分隔），
+    # 不能用 /[ \t]+/——macOS ps 的 pid 列宽随快照最大 pid 位数浮动，4 位 pid 行
+    # 带前导空格，正则 split 的首字段会是空串（pid 全部错位/丢弃），爬链在低位
+    # pid 处断链——表现为偶发 PANE: unresolved（实测踩坑，2026-10-20）。
+    awk -F'|' -v self="$$" '
+        NR==FNR {
+            split($0, a, " ")
+            if (a[1] != "") ppid[a[1]] = a[2]
+            next
+        }
+        $4 != "" { pane_by_pid[$4] = $1 }
+        END {
+            pid = self
+            depth = 0
+            while (pid + 0 > 1 && depth < 24) {
+                if (pid in pane_by_pid) { print pane_by_pid[pid]; exit 0 }
+                if (!(pid in ppid)) exit 1
+                pid = ppid[pid] + 0
+                depth++
+            }
+            exit 1
+        }' <(printf '%s\n' "$snapshot") <(printf '%s\n' "${_PANE_SNAPSHOT:-}")
 }
 
 # 当前工具在 attached pane 中的候选集合（进程树含 ADAPTER_PROCESS_NAMES）。
+# $1 可选进程快照：透传给 _pid_tree_has_names，避免每个候选 pane 各起一次 ps。
 _pane_process_candidates() {
-    local names="${ADAPTER_PROCESS_NAMES:-}" id path cmd pid server attached title
+    local names="${ADAPTER_PROCESS_NAMES:-}" snapshot="${1:-}" id path cmd pid server attached title
     [ -n "$names" ] || return 1
     [ "$_PANE_SNAPSHOT_OK" = "1" ] || return 1
     while IFS='|' read -r id path cmd pid server attached title; do
         [ -n "$id" ] || continue
         [ "${attached:-0}" -gt 0 ] || continue
-        if _pid_tree_has_names "$pid" "$names"; then printf '%s\n' "$id"; fi
+        if _pid_tree_has_names "$pid" "$names" "$snapshot"; then printf '%s\n' "$id"; fi
     done <<EOF
 $_PANE_SNAPSHOT
 EOF
@@ -214,7 +239,10 @@ resolve_tmux_pane() {
 
     # 1) 祖先链是权威信号（普通启动 / 旧 cc-switch / Claude 的 pane 内 hook）
     _load_pane_snapshot || return 1
-    pane=$(_pane_from_ancestry)
+    # 进程快照取一次，ancestry 爬链与进程树候选共用（每事件 1 次 ps 而非 4-6 次）
+    local ps_snap
+    ps_snap=$(_ps_process_snapshot)
+    pane=$(_pane_from_ancestry "$ps_snap")
     if [ -n "$pane" ]; then
         TMUX_PANE="$pane"
         _TMUX_PANE_SOURCE="ancestry"
@@ -238,7 +266,7 @@ resolve_tmux_pane() {
     fi
 
     # 3) 同工具进程树候选 → adapter 提示 → hook cwd
-    candidates=$(_pane_process_candidates)
+    candidates=$(_pane_process_candidates "$ps_snap")
     if [ -n "$candidates" ]; then
         n=$(printf '%s\n' "$candidates" | grep -c .)
         if [ "$n" -gt 1 ]; then
@@ -456,8 +484,13 @@ _acquire_event_lock() {
     [ -n "$TMUX_PANE" ] || return 1
     _ensure_pane_dir
     local lock; lock=$(_event_lock_dir)
+    # 重试预算 ~2s。sleep 0.01 不被支持时退化为无 sleep 自旋（mkdir+stat 系统调用，
+    # ~几百 ms 耗尽预算）——绝不能回落 sleep 1：200×1s 病态忙等，而 sync hook 的
+    # 上游 timeout 是 600s，不会打断它（实测 macOS/Linux sleep 均支持小数，此为
+    # 其他平台兜底）。时间基准用 $SECONDS（builtin，零 fork；date +%s 每迭代一次 fork）。
+    local _start=$SECONDS
     local i
-    for i in $(seq 1 200); do
+    for i in {1..200}; do
         if mkdir "$lock" 2>/dev/null; then
             echo "$$" > "$lock/owner"
             return 0
@@ -470,11 +503,11 @@ _acquire_event_lock() {
             continue
         fi
         mtime=$(stat -c %Y "$lock" 2>/dev/null || stat -f %m "$lock" 2>/dev/null)
-        if [ -n "$mtime" ] && [ $(( $(date +%s) - mtime )) -ge 10 ]; then
+        if [ -n "$mtime" ] && [ $(( _start + SECONDS - mtime )) -ge 10 ]; then
             rm -f "$lock/owner" 2>/dev/null
             rmdir "$lock" 2>/dev/null
         fi
-        sleep 0.01 2>/dev/null || sleep 1
+        sleep 0.01 2>/dev/null || :
     done
     _ai_log "EVENT_LOCK: acquire timeout on $lock"
     return 1
@@ -486,13 +519,34 @@ _release_event_lock() {
     rmdir "$(_event_lock_dir)" 2>/dev/null
 }
 
+# 事件锁超时时 PermissionRequest 的无锁降级写入（仅 !/? 这类最强状态可无锁写，
+# 调用点见 tmux-ai-status 锁段落的原则注释）。
+# 最小动作集：一次 jq 取 tool_name → AskUserQuestion ? / 其他 ! → set-option →
+# 日志标记 DOWNGRADE。刻意不碰 pending 文件（不加剧持锁者正在进行的文件竞争）、
+# 不跑 _save_pane_id（锁外写 pane 映射有复活已清映射的风险）、不做 build_all_status
+# （monitor 每秒重建聚合，降级值 ≤1s 内可见）。
+_downgrade_permission_request() {  # $1=原始 stdin JSON
+    local input="$1" tool status
+    tool=$(printf '%s' "$input" | jq -r '.tool_name // ""' 2>/dev/null)
+    if [ "$tool" = "AskUserQuestion" ]; then
+        status="?"
+    else
+        status="!"
+    fi
+    tmux set-option -pt "$TMUX_PANE" @ai_pane_status "$status" 2>/dev/null || true
+    _pane_loc=""
+    _ai_log "PermReq DOWNGRADE: event lock timeout, unlocked write '$status' (tool=${tool:-?})"
+}
+
 # Per-pane mkdir mutex。5s stale 强夺。retry 20 × 10ms ≈ 200ms 上限。
+# sleep 回落策略同 _acquire_event_lock（不支持小数 sleep 时无 sleep 自旋，不回落 sleep 1）。
 _acquire_lock() {
     [ -n "$TMUX_PANE" ] || return 1
     _ensure_pane_dir
     local lock; lock=$(_lock_dir)
+    local _start=$SECONDS
     local i
-    for i in $(seq 1 20); do
+    for i in {1..20}; do
         if mkdir "$lock" 2>/dev/null; then
             return 0
         fi
@@ -500,13 +554,13 @@ _acquire_lock() {
         local mtime
         mtime=$(stat -c %Y "$lock" 2>/dev/null || stat -f %m "$lock" 2>/dev/null)
         if [ -n "$mtime" ]; then
-            local age=$(( $(date +%s) - mtime ))
+            local age=$(( _start + SECONDS - mtime ))
             if [ "$age" -ge 5 ]; then
                 rmdir "$lock" 2>/dev/null
                 mkdir "$lock" 2>/dev/null && return 0
             fi
         fi
-        sleep 0.01 2>/dev/null || sleep 1
+        sleep 0.01 2>/dev/null || :
     done
     _ai_log "LOCK: acquire timeout on $lock"
     return 1
@@ -790,13 +844,15 @@ _pane_has_tool_process() {  # $1=pane_id $2=工具名 [$3=进程快照]
 }
 
 # 所有 adapter 汇总的 AI 进程名
-_pane_has_ai_process() {  # $1=pane_id
-    _pane_has_process_names "$1" "$(_collect_ai_process_names)"
+# $2 可选进程快照：调用方批量场景（_cleanup_stale_panes）传入以共用一次 ps
+_pane_has_ai_process() {  # $1=pane_id [$2=进程快照]
+    _pane_has_process_names "$1" "$(_collect_ai_process_names)" "${2:-}"
 }
 
 # 检查 pane 的所有 pane-id 文件是否过期（> 5 min），再验证进程树
+# $2 可选进程快照（批量调用方传入，避免逐 pane 一次 ps）
 _is_pane_session_dead() {
-    local pane_id="$1"
+    local pane_id="$1" snapshot="${2:-}"
     local sanitized="${pane_id//[^a-zA-Z0-9]/_}"
     local pane_dir="${_STATUS_DIR}/${sanitized}"
     [ -d "$pane_dir" ] || return 0
@@ -809,7 +865,7 @@ _is_pane_session_dead() {
         local age=$(( $(date +%s) - mtime ))
         [ "$age" -lt 300 ] && return 1
     done
-    ! _pane_has_ai_process "$pane_id"
+    ! _pane_has_ai_process "$pane_id" "$snapshot"
 }
 
 # --- 孤儿状态清理（_refresh 用）---
@@ -825,6 +881,11 @@ _cleanup_stale_panes() {
         [ -n "$pane_id" ] && active_panes="$active_panes $pane_id"
     done
 
+    # 进程快照取一次循环共用：✓/- 分支与死会话判定逐 pane 调 _pane_has_ai_process
+    # 时，旧实现每个 pane 各起一次 ps（pane 多时放大明显）
+    local ps_snap
+    ps_snap=$(_ps_process_snapshot)
+
     while IFS='|' read -r pane_id pane_status; do
         case "$pane_status" in
             "!"|"?"|">")
@@ -834,14 +895,14 @@ _cleanup_stale_panes() {
                     _ai_log "STALE: clearing orphaned '$pane_status' on $pane_id"
                     tmux set-option -pt "$pane_id" @ai_pane_status "" 2>/dev/null || true
                     rm -rf "$pane_dir" 2>/dev/null
-                elif _is_pane_session_dead "$pane_id"; then
+                elif _is_pane_session_dead "$pane_id" "$ps_snap"; then
                     _ai_log "STALE: clearing dead session '$pane_status' on $pane_id"
                     tmux set-option -pt "$pane_id" @ai_pane_status "" 2>/dev/null || true
                     rm -rf "$pane_dir" 2>/dev/null
                 fi
                 ;;
             "✓"|"-")
-                if ! _pane_has_ai_process "$pane_id"; then
+                if ! _pane_has_ai_process "$pane_id" "$ps_snap"; then
                     _ai_log "STALE: clearing terminal state '$pane_status' on $pane_id (no ai process)"
                     tmux set-option -pt "$pane_id" @ai_pane_status "" 2>/dev/null || true
                 fi
@@ -901,12 +962,14 @@ _check_hooks_integrity() {
     fi
 }
 
-# 兜底自修复：tmux 端事件路径调用，配置被外部覆盖时自动重装。
-# 不依赖 SESSION_ID/EVENT，可被 _refresh 触发。60s 节流。
+# 兜底自修复：tmux 端事件路径与 SessionStart hook 共用，配置被外部覆盖时自动重装。
+# 不依赖 SESSION_ID/EVENT，可被 _refresh 与 SessionStart 触发。60s 节流退避
+# （窗口内不重复 integrity 检查；修复失败 60s 后才重试）。
 # 安装器由 adapter 声明（ADAPTER_INSTALLER）。
 _maybe_repair_hooks() {
     # 用户显式卸载意图（suppressed-<tool>）→ 不自动修复，尊重到显式安装为止。
     if [ -f "${_SUPPRESS_DIR}/suppressed-${TOOL_ID:-claude}" ]; then
+        _ai_log "REPAIR: suppressed by uninstall marker, skip (${TOOL_ID:-claude})"
         return 0
     fi
     local marker="${_STATUS_DIR}/.hooks-repair-${TOOL_ID:-claude}-ts"
@@ -922,9 +985,9 @@ _maybe_repair_hooks() {
     local installer="${ADAPTER_INSTALLER}"
     if ! _check_hooks_integrity; then
         _ai_log "REPAIR: hooks integrity check failed, reinstalling (${TOOL_ID:-claude})"
-        # 浮出提示与 SessionStart 修复路径（tmux-ai-status）对齐：修复不再完全静默。
-        # 本函数仅经 _run_refresh 被 tmux hook 事件触发（run-shell 上下文，不在 AI CLI
-        # 同步 hook 路径）；display-message 无 -p 写 client tty 而非调用方 stdout。
+        # 浮出提示（成败区分）：SessionStart（Claude Code hook 进程内）与
+        # _run_refresh（tmux run-shell）两个上下文都会到这里；hook 进程继承
+        # TMUX env，display-message 无 -p 写 client tty 而非调用方 stdout。
         if [ -x "$installer" ] && "$installer" >/dev/null 2>&1; then
             tmux display-message "✓ ${TOOL_ID:-claude} hooks 已自动修复（检测到缺失）" 2>/dev/null || true
         else

package/scripts/tmux-ai-status

@@ -28,8 +28,22 @@ case "$EVENT" in
 esac
 # 同 pane 的并发 hooks 必须完整串行化，否则一个事件可能用过期派生结果覆盖另一个
 # PermissionRequest 已写入的审批态。
+#
+# 锁超时（~2s 重试预算耗尽）时的降级原则——只有最强状态可无锁写：
+#   PermissionRequest 是 sync hook 且携带最高优先级审批态（!/?），丢失 = 状态栏
+#   在用户审批前失明，因此降级为无锁最小写入（_downgrade_permission_request）。
+#   其他事件（Pre/Post/Stop…）超时一律 exit 0 丢弃——无锁写弱状态（如 >）会
+#   覆盖并发 PermReq 已早写的 !，正是 7448847 修掉的竞态，绝不能对它们降级。
+#   降级最有价值的场景是「持锁者已死但未到 10s stale 强夺线」（此时无并发写入者，
+#   降级写存活）；反方向竞态（持锁者稍后的最终写入覆盖降级的 !）可接受——该
+#   场景现状（超时丢弃）同样不显示 !，降级只多一瞬正确闪烁，终态不劣化。
+#   恢复时间线：stale 强夺线(10s) > 重试预算(~2s)，跨过 10s 线后的第一个事件
+#   会强夺锁恢复正常路径。
 if [ -n "$TMUX_PANE" ]; then
-    _acquire_event_lock || exit 0
+    if ! _acquire_event_lock; then
+        [ "$EVENT" = "PermissionRequest" ] && _downgrade_permission_request "$INPUT"
+        exit 0
+    fi
     trap '_release_event_lock' EXIT
 fi
 
@@ -67,7 +81,10 @@ _current_pane_status() {
 # 重建聚合状态（_refresh / _entered 共用）
 _run_refresh() {
     _maybe_repair_hooks
-    _cleanup_stale_panes
+    # 节流版清理（60s）：tmux 生命周期 hook（pane-focus-in 等）高频触发，
+    # 全价 _cleanup_stale_panes 实测 ~455ms；卡死状态清理有 :37 的事件路径
+    # 节流兜底，此处无需每次全价。Stop/SessionEnd fallback 仍走全价精准清理。
+    _maybe_cleanup_stale
     build_all_status
     tmux set-option -g @ai_all_status "$ALL" 2>/dev/null || true
 }
@@ -103,10 +120,12 @@ case "$EVENT" in
     esac
     ;;
   PermissionRequest)
-    TOOL=$(echo "$INPUT" | jq -r '.tool_name // ""' 2>/dev/null)
-    TOOL_USE_ID=$(echo "$INPUT" | jq -r '.tool_use_id // ""' 2>/dev/null)
-    INPUT_DIGEST=$(echo "$INPUT" | jq -c '.' 2>/dev/null)
-    _log_full_input=1
+    # 一次 @tsv 提取 tool_name/tool_use_id（digest 单独一次；stdin 只能读一次，
+    # 故从已缓存的 $INPUT 提取）。digest 只取 tool_name/tool_input——全量重序列化
+    # 会把 transcript_path 等无关字段落日志，且大 tool_input 全量展开拖慢 sync 路径。
+    _tool_fields=$(printf '%s' "$INPUT" | jq -r '[(.tool_name // ""), (.tool_use_id // "")] | @tsv' 2>/dev/null)
+    IFS=$'\t' read -r TOOL TOOL_USE_ID <<< "$_tool_fields"
+    INPUT_DIGEST=$(printf '%s' "$INPUT" | jq -c '{tool_name, tool_input}' 2>/dev/null)
     if [ "$TOOL" = "AskUserQuestion" ]; then
         STATUS="?"
     else
@@ -135,9 +154,9 @@ case "$EVENT" in
     fi
     ;;
   PreToolUse)
-    TOOL=$(echo "$INPUT" | jq -r '.tool_name // ""' 2>/dev/null)
-    TOOL_USE_ID=$(echo "$INPUT" | jq -r '.tool_use_id // ""' 2>/dev/null)
-    INPUT_DIGEST=$(echo "$INPUT" | jq -c '.tool_input // null' 2>/dev/null)
+    _tool_fields=$(printf '%s' "$INPUT" | jq -r '[(.tool_name // ""), (.tool_use_id // "")] | @tsv' 2>/dev/null)
+    IFS=$'\t' read -r TOOL TOOL_USE_ID <<< "$_tool_fields"
+    INPUT_DIGEST=$(printf '%s' "$INPUT" | jq -c '{tool_name, tool_input}' 2>/dev/null)
     _add_pending_pre "$TOOL_USE_ID" "$TOOL"
     _permission_pre_tool=0
     for _permission_tool in ${ADAPTER_PERMISSION_PRE_TOOL_NAMES:-}; do
@@ -163,8 +182,8 @@ case "$EVENT" in
     fi
     ;;
   PostToolUse|PostToolUseFailure)
-    TOOL=$(echo "$INPUT" | jq -r '.tool_name // ""' 2>/dev/null)
-    TOOL_USE_ID=$(echo "$INPUT" | jq -r '.tool_use_id // ""' 2>/dev/null)
+    _tool_fields=$(printf '%s' "$INPUT" | jq -r '[(.tool_name // ""), (.tool_use_id // "")] | @tsv' 2>/dev/null)
+    IFS=$'\t' read -r TOOL TOOL_USE_ID <<< "$_tool_fields"
     _remove_pending_id "$TOOL_USE_ID"
     # 只解除当前工具对应项；其他权限请求仍 pending 时必须保持 !/?。
     if _derive_status_from_pending; then
@@ -202,14 +221,12 @@ case "$EVENT" in
     INPUT_DIGEST=$(echo "$INPUT" | jq -c '{source, model}' 2>/dev/null)
     STATUS="-"
     _clear_pending
-    if ! _check_hooks_integrity; then
-        if [ -f "${_SUPPRESS_DIR}/suppressed-${TOOL_ID}" ]; then
-            _ai_log "REPAIR: suppressed by uninstall marker, skip (${TOOL_ID})"
-        else
-            "${ADAPTER_INSTALLER}" >/dev/null 2>&1
-            tmux display-message "⚠ ${TOOL_ID} hooks 已自动修复（检测到缺失）" 2>/dev/null || true
-        fi
-    fi
+    # 自修复归并到 _maybe_repair_hooks：60s 节流退避（旧实现每次 SessionStart——
+    # 含 resume/clear/fork——都全量 integrity + 失败即重装且无 exit code 检查），
+    # 并统一 suppress 检查与成功/失败区分的 display-message。节流语义：窗口内
+    # 新会话不重复检查 integrity（外部改 settings 后最多延迟 60s 才被发现）；
+    # 修复失败 60s 后由 _run_refresh 或下一次 SessionStart 重试。
+    _maybe_repair_hooks
     ;;
   SessionEnd)
     INPUT_DIGEST=$(echo "$INPUT" | jq -c '{reason}' 2>/dev/null)
@@ -260,11 +277,6 @@ case "$EVENT" in
     ;;
 esac
 
-# pane 解析失败时不写全局状态（避免把无归属事件当成有效状态）
-if [ -n "$TMUX_PANE" ]; then
-    tmux set-option -g @ai_status "$STATUS" 2>/dev/null || true
-fi
-
 # 构造事件块详情行：
 #   tool:  <tool_name>  id=<short tool_use_id>
 #   input: <精简 JSON，超 2000B 截断>
@@ -274,8 +286,10 @@ if [ -n "$TOOL" ] || [ -n "$TOOL_USE_ID" ]; then
 fi
 _log_input_line=""
 if [ -n "$INPUT_DIGEST" ] && [ "$INPUT_DIGEST" != "null" ]; then
-    if [ "${_log_full_input:-0}" = "1" ]; then
-        _log_input_line="input: $INPUT_DIGEST"
+    # PermissionRequest 曾走完全不截断的 full 路径（9248967），实测大 tool_input
+    # （ExitPlanMode 的 plan、AUQ 的 questions）可达数 KB～数十 KB，改为 16KB 宽松上限。
+    if [ "$EVENT" = "PermissionRequest" ]; then
+        _log_input_line="input: $(_ai_log_truncate_input "$INPUT_DIGEST" 16384)"
     else
         _log_input_line="input: $(_ai_log_truncate_input "$INPUT_DIGEST")"
     fi