tmuxclihook 0.5.9 → 0.5.11

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "tmuxclihook",
-  "version": "0.5.9",
+  "version": "0.5.11",
   "description": "交互式 TUI 安装器：环境侦测、AI CLI 侦测、tmux-ai-status hooks 装/卸/修、TPM 软链校验",
   "type": "module",
   "bin": {

package/scripts/adapters/claude.sh

@@ -175,6 +175,24 @@ _ccswitch_warn_gui() {
     fi
 }
 
+# live 模式的真源是 $HOME/.claude/settings.json（cc-switch 硬编码，不随
+# CLAUDE_CONFIG_DIR 变）。若当前环境的 CLAUDE_CONFIG_DIR 指向非 cc-switch
+# 实例目录（用户自定义目录裸跑 claude），该进程读的是自定义目录，本插件写入
+# 的真源可能不生效——纯诊断告警，不改写入行为（不做双写，理由同 2026-10-13
+# 决策：外部覆盖拉锯风险大于收益）。
+_ccswitch_warn_config_dir_mismatch() {
+    [ -n "${CLAUDE_CONFIG_DIR:-}" ] || return 0
+    local inst="${HOME}/.cc-switch/instances/claude" resolved
+    resolved=$(cd "$CLAUDE_CONFIG_DIR" 2>/dev/null && pwd -P) || resolved="$CLAUDE_CONFIG_DIR"
+    case "$resolved" in
+        "$inst"|"$inst"/*) ;;
+        *)
+            echo "WARN: CLAUDE_CONFIG_DIR=$CLAUDE_CONFIG_DIR 不是 cc-switch 实例目录；" \
+                 "live 模式写入 $(_ccswitch_live_file) 可能不被该进程读取" >&2
+            ;;
+    esac
+}
+
 # 读通用配置 value → mktemp 文件，路径写入 $1 命名的变量。
 # 行缺失/空白 → "{}"；非空但非法 JSON → 明确报错 return 1（绝不覆盖用户数据）。
 # 注意：内部临时变量名不得与调用方常用名（tmp 等）同名——bash 动态作用域下
@@ -255,6 +273,51 @@ adapter_check_integrity() {
     return 0
 }
 
+# 已收敛判定（仅供 wrapper 的 auto 分支使用——⚠️ 不得被事件路径复用）。
+# 四条件全过 = auto 可安全跳过重装：integrity 过 + 全部条目指向当前源（无漂移/
+# 死条目）+ 每事件本插件条目 ≤1（无重复）。
+# 参照系：wrapper 的 _LIB_DIR 是 pwd -P 物理路径；写入（install/auto/修复全部经
+# wrapper）与比较同参照系自洽。事件路径的 _LIB_DIR 是 pwd 逻辑路径（软链场景
+# 两者不等），事件路径复用会误判漂移。
+# 取源逻辑与 adapter_check_integrity 的三模式 case 保持同步（不抽共享以控制
+# integrity 的回归面）。
+adapter_check_converged() {
+    adapter_check_integrity || return 1
+    local mode src="" tmp="" stats
+    mode=$(_ccswitch_mode)
+    case "$mode" in
+        live)
+            src=$(_ccswitch_live_file)
+            [ -f "$src" ] || return 1
+            ;;
+        legacy)
+            _ccswitch_dump_common tmp || return 1
+            src="$tmp"
+            ;;
+        *)
+            [ -f "$ADAPTER_HOOKS_FILE" ] || return 1
+            src="$ADAPTER_HOOKS_FILE"
+            ;;
+    esac
+    # 一次 jq 同时产出漂移计数（≠ 当前源，含死路径）与重复计数（每事件条目 >1）
+    stats=$(jq -r --arg cur "${_LIB_DIR}/tmux-ai-status" '
+        .hooks as $h |
+        ["SessionStart","SessionEnd","UserPromptSubmit","PreToolUse","PostToolUse",
+         "PostToolUseFailure","PermissionRequest","Notification","Stop","StopFailure"] as $events |
+        [$events[] as $e |
+            [$h[$e][]?.hooks[]?.command // empty
+             | select(contains("tmux-ai-status")) | split(" ")[0]] as $scripts |
+            select(($scripts | length) > 0) |
+            {bad: ([$scripts[] | select(. != $cur)] | length),
+             n: ($scripts | length)}]
+        | "bad=\([.[].bad] | add // 0) dup=\([.[].n | select(. > 1)] | length)"' "$src" 2>/dev/null)
+    [ -z "$tmp" ] || rm -f "$tmp"
+    case "$stats" in
+        "bad=0 dup=0") return 0 ;;
+        *) return 1 ;;
+    esac
+}
+
 # 明细检查（仅 install wrapper 的 check --json 调用；事件热路径不触达）。
 # stdout 输出单行紧凑 JSON 片段 {"mode":...,"events":{...},"plugin":null,"registeredPaths":[...]}，
 # 由 lib-install-hooks.sh 的 _wrapper_check_json 拼装 tool/status/suppress/drift。
@@ -342,6 +405,16 @@ adapter_install_hooks() {
             _ccswitch_warn_gui
             _ccswitch_dump_common tmp || return 1
             merged=$(_claude_apply_merge "$tmp")
+            # 语义不变跳写：merge 只动 .hooks，顶层其他字段天然继承 tmp——
+            # 两边 jq -S 规范化对比，相同则跳过 upsert（GUI 冲掉 hooks 时
+            # 库内现值 ≠ merged，恒不跳，对抗不弱化；行缺失时 tmp={}，
+            # merged 恒含 10 事件，同样恒不跳）
+            if [ "$(jq -S . "$tmp" 2>/dev/null)" = "$(jq -S . <<<"$merged" 2>/dev/null)" ]; then
+                rm -f "$tmp"
+                echo "Claude hooks already up to date in cc-switch common config (skip write)"
+                echo "Events: $_CLAUDE_EVENTS"
+                return 0
+            fi
             rm -f "$tmp"
             hooks_patch=$(jq -c '{hooks: (.hooks // {})}' <<<"$merged")
             full_doc=$(jq -c . <<<"$merged")
@@ -352,6 +425,7 @@ adapter_install_hooks() {
             ;;
         live)
             _ccswitch_warn_gui
+            _ccswitch_warn_config_dir_mismatch
             target=$(_ccswitch_live_file)
             ;;
         *)
@@ -360,6 +434,14 @@ adapter_install_hooks() {
     esac
     [ -f "$target" ] || _install_atomic_write '{}' "$target"
     updated=$(_claude_apply_merge "$target")
+    # 语义不变跳写：jq 输出格式与手写文件不同，字节 cmp 不可用——两边 jq -S
+    # 规范化后比较（命令替换对称剥尾换行）。跳写不触碰 mtime，避免触发 Claude
+    # Code file watcher 的无谓 hooks 重载。
+    if [ "$(jq -S . "$target" 2>/dev/null)" = "$(jq -S . <<<"$updated" 2>/dev/null)" ]; then
+        echo "Claude hooks already up to date at $target (skip write)"
+        echo "Events: $_CLAUDE_EVENTS"
+        return 0
+    fi
     _install_atomic_write "$updated" "$target"
     echo "Claude hooks installed to $target"
     echo "Events: $_CLAUDE_EVENTS"
@@ -412,6 +494,11 @@ adapter_uninstall_hooks() {
     esac
     [ -f "$target" ] || { echo "Claude hooks: nothing to uninstall"; return 0; }
     updated=$(_claude_apply_strip "$target")
+    # 无本插件条目时 strip 无变化 → 跳写（不触碰 mtime）
+    if [ "$(jq -S . "$target" 2>/dev/null)" = "$(jq -S . <<<"$updated" 2>/dev/null)" ]; then
+        echo "Claude hooks: nothing to uninstall from $target (skip write)"
+        return 0
+    fi
     _install_atomic_write "$updated" "$target"
     echo "Claude hooks uninstalled from $target"
 }

package/scripts/install-claude-hooks.sh

@@ -18,6 +18,21 @@ _LIB_DIR="$(cd "$(dirname "${BASH_SOURCE[0]}")" && pwd -P)"
 source "${_LIB_DIR}/lib-install-hooks.sh"
 source "${_LIB_DIR}/adapters/claude.sh"
 
+# 写路径互斥（check 只读不锁）：临界区覆盖 adapter 调用 + suppress 标记读-改-写，
+# 串行化 auto 与显式 uninstall 的标记 TOCTOU。失败语义见 _install_acquire_lock：
+# 降级无锁（rc=2）继续；等待超时（rc=1）退出。
+case "${1:-install}" in
+    check) ;;
+    *)
+        _lock_rc=0
+        _install_acquire_lock claude || _lock_rc=$?
+        if [ "$_lock_rc" = 1 ]; then exit 1; fi
+        if [ "$_lock_rc" = 0 ]; then
+            trap '_install_release_lock claude' EXIT
+        fi
+        ;;
+esac
+
 case "${1:-install}" in
     uninstall)
         adapter_uninstall_hooks
@@ -37,11 +52,23 @@ case "${1:-install}" in
         if [ -f "$(_hooks_suppress_file claude)" ]; then
             exit 0
         fi
+        # 已收敛（integrity + 无漂移/死条目/重复）→ 跳过重装：tmux 每次 reload
+        # 不再全量重写真源。强收敛保留——漂移/死条目/缺失/重复任一存在都走
+        # install 收敛。结构漂移（async/matcher 被外部改）不在判定内，auto 跳过
+        # 不修复，显式 install 仍强收敛。
+        if adapter_check_converged; then
+            echo "claude hooks already converged (skip install)"
+            exit 0
+        fi
         adapter_install_hooks
-        _hooks_suppress_clear claude
+        _hooks_suppress_clear claude || true
         ;;
-    *)
+    install)
         adapter_install_hooks
-        _hooks_suppress_clear claude
+        _hooks_suppress_clear claude || true
+        ;;
+    *)
+        echo "Usage: $0 [install|uninstall|check [--json]|auto]" >&2
+        exit 2
         ;;
 esac

package/scripts/install-codex-hooks.sh

@@ -15,6 +15,19 @@ _LIB_DIR="$(cd "$(dirname "${BASH_SOURCE[0]}")" && pwd -P)"
 source "${_LIB_DIR}/lib-install-hooks.sh"
 source "${_LIB_DIR}/adapters/codex.sh"
 
+# 写路径互斥（check 只读不锁）：见 _install_acquire_lock 头注释。
+case "${1:-install}" in
+    check) ;;
+    *)
+        _lock_rc=0
+        _install_acquire_lock codex || _lock_rc=$?
+        if [ "$_lock_rc" = 1 ]; then exit 1; fi
+        if [ "$_lock_rc" = 0 ]; then
+            trap '_install_release_lock codex' EXIT
+        fi
+        ;;
+esac
+
 case "${1:-install}" in
     uninstall)
         adapter_uninstall_hooks
@@ -30,8 +43,12 @@ case "${1:-install}" in
             exit 1
         fi
         ;;
-    *)
+    install)
         adapter_install_hooks
-        _hooks_suppress_clear codex
+        _hooks_suppress_clear codex || true
+        ;;
+    *)
+        echo "Usage: $0 [install|uninstall|check [--json]]" >&2
+        exit 2
         ;;
 esac

package/scripts/install-opencode-hooks.sh

@@ -15,6 +15,19 @@ _LIB_DIR="$(cd "$(dirname "${BASH_SOURCE[0]}")" && pwd -P)"
 source "${_LIB_DIR}/lib-install-hooks.sh"
 source "${_LIB_DIR}/adapters/opencode.sh"
 
+# 写路径互斥（check 只读不锁）：见 _install_acquire_lock 头注释。
+case "${1:-install}" in
+    check) ;;
+    *)
+        _lock_rc=0
+        _install_acquire_lock opencode || _lock_rc=$?
+        if [ "$_lock_rc" = 1 ]; then exit 1; fi
+        if [ "$_lock_rc" = 0 ]; then
+            trap '_install_release_lock opencode' EXIT
+        fi
+        ;;
+esac
+
 case "${1:-install}" in
     uninstall)
         adapter_uninstall_hooks
@@ -30,8 +43,12 @@ case "${1:-install}" in
             exit 1
         fi
         ;;
-    *)
+    install)
         adapter_install_hooks
-        _hooks_suppress_clear opencode
+        _hooks_suppress_clear opencode || true
+        ;;
+    *)
+        echo "Usage: $0 [install|uninstall|check [--json]]" >&2
+        exit 2
         ;;
 esac

package/scripts/lib-install-hooks.sh

@@ -29,14 +29,85 @@ _install_atomic_write() {
 # 显式 uninstall 成功 → 写 suppressed-<tool>；显式 install 成功 → 清。
 # 自动修复路径（_maybe_repair_hooks / 入口 auto / SessionStart 重装）见标记一律不装。
 # ⚠️ _SUPPRESS_DIR 与 lib-tmux-ai-status.sh 中的定义保持一致（两处同步改）。
+#
+# 失败语义（两个方向都告警，不对称）：
+# - write 失败：hooks 已剥离但标记没落 → auto 会静默装回（用户显式卸载被反转）
+#   → return 1，wrapper uninstall 分支 errexit 使其以非 0 退出，用户可见。
+# - clear 失败：install 已成功但残留标记会把 auto 永久挡住（比 write 失败更隐蔽）
+#   → 告警但 return 0（主操作已成功，调用方 wrapper 的 clear 调用需 || true 容忍）。
 _SUPPRESS_DIR="${TMUX_AI_SUPPRESS_DIR:-${XDG_CONFIG_HOME:-${HOME}/.config}/tmuxclihook}"
 
 _hooks_suppress_file() { printf '%s/suppressed-%s' "$_SUPPRESS_DIR" "$1"; }
 _hooks_suppress_write() {
-    mkdir -p "$_SUPPRESS_DIR" 2>/dev/null || true
-    date +%s > "$(_hooks_suppress_file "$1")" 2>/dev/null || true
+    if ! mkdir -p "$_SUPPRESS_DIR" 2>/dev/null \
+       || ! date +%s > "$(_hooks_suppress_file "$1")" 2>/dev/null; then
+        echo "WARN: 抑制标记写入失败——hooks 已卸载，但 tmux 重载/新会话可能自动装回；" \
+             "请检查 $_SUPPRESS_DIR 可写性" >&2
+        return 1
+    fi
+}
+_hooks_suppress_clear() {
+    if [ -e "$(_hooks_suppress_file "$1")" ] \
+       && ! rm -f "$(_hooks_suppress_file "$1")" 2>/dev/null; then
+        echo "WARN: 卸载意图标记清除失败——tmux 自动安装将持续跳过；" \
+             "请检查 $_SUPPRESS_DIR 可写性" >&2
+        return 1
+    fi
+}
+
+# --- 安装/卸载读-改-写互斥锁 ---
+# 写路径的并发方：TUI 显式装 / tmux 入口 auto / SessionStart 自修复 / _maybe_repair_hooks /
+# drift 收敛——五方都经 wrapper dispatch，锁在此层一处覆盖三 adapter。
+# mkdir mutex（项目风格同 .lock/.event-lock；macOS 无 flock(1)）。两种失败语义区分：
+# - 锁目录建不出来（权限/ENOTDIR）→ 降级无锁继续 + 告警（历史行为是无锁写；install
+#   真正写目标与锁目录不同权限域，锁失败不代表写不了）
+# - 他人持锁 → 等待（0.2s × 50 ≈ 10s）→ stale（10s）强夺 → 超时报错 return 1（显式操作可见）。
+#   ⚠️ codex SessionStart 是同步 hook（timeout:5s）：极端并发下锁等待可能超过 5s 使该次
+#   hook 超时——后果轻（该次 hook 不执行、codex 继续、无阻塞），概率极低（repair 60s 一次）。
+# 边界：锁只收敛「我们自己的多方」；Claude Code 自身写 settings.json 不遵守本锁（外部
+# 写者无法防）——这正是 60s 自修复存在的原因。写路径互斥由 wrapper 层负责，adapter
+# 函数不含锁——直接 source adapter 调 install 会绕过锁。
+_install_lock_dir() { printf '%s/.install-lock-%s' "$_SUPPRESS_DIR" "$1"; }
+_install_acquire_lock() {  # $1=tool id → 0=持锁 1=超时（2=降级无锁，调用方继续）
+    local lock; lock=$(_install_lock_dir "$1")
+    if ! mkdir -p "$_SUPPRESS_DIR" 2>/dev/null; then
+        echo "WARN: 锁目录不可创建（$_SUPPRESS_DIR），降级无锁继续安装" >&2
+        return 2
+    fi
+    local _start=$SECONDS i
+    for i in {1..50}; do
+        if mkdir "$lock" 2>/dev/null; then
+            echo "$$" > "$lock/owner"
+            return 0
+        fi
+        # stale 强夺：持锁者进程已死 → 立即夺；锁 mtime 超 10s → 强夺。
+        # 外部命令（stat/sleep/rmdir）逐一防御退出码——ccswitch 用例 8 的 stubbin
+        # 是最小 PATH 沙箱（无 stat/rmdir/sleep），127 会在 errexit 下炸掉 install。
+        local owner mtime
+        owner=$(cat "$lock/owner" 2>/dev/null)
+        if [ -n "$owner" ] && ! kill -0 "$owner" 2>/dev/null; then
+            rm -f "$lock/owner" 2>/dev/null || true
+            rmdir "$lock" 2>/dev/null || true
+            continue
+        fi
+        mtime=""
+        mtime=$(stat -c %Y "$lock" 2>/dev/null || stat -f %m "$lock" 2>/dev/null || true)
+        if [ -n "$mtime" ] && [ $(( _start + SECONDS - mtime )) -ge 10 ]; then
+            echo "WARN: 强夺超时的安装锁（owner=${owner:-?}）" >&2
+            rm -f "$lock/owner" 2>/dev/null || true
+            rmdir "$lock" 2>/dev/null || true
+            continue
+        fi
+        sleep 0.2 2>/dev/null || :
+    done
+    echo "ERROR: 安装锁获取超时（$lock）——另一安装操作可能仍在进行，稍后重试" >&2
+    return 1
+}
+_install_release_lock() {  # $1=tool id
+    local lock; lock=$(_install_lock_dir "$1")
+    rm -f "$lock/owner" 2>/dev/null || true
+    rmdir "$lock" 2>/dev/null || true
 }
-_hooks_suppress_clear() { rm -f "$(_hooks_suppress_file "$1")" 2>/dev/null || true; }
 
 # --- check --json：完整性明细 JSON（wrapper 专用，事件热路径不触达）---
 # stdout = 单行紧凑 JSON；exit code 与默认 check 一致（ok→0 / missing→1）。

package/scripts/lib-tmux-ai-status.sh

@@ -94,7 +94,7 @@ _load_pane_snapshot() {
     _CURRENT_SERVER_PID=""
     command -v tmux >/dev/null 2>&1 || return 1
     _PANE_SNAPSHOT=$(tmux list-panes -a -F \
-        '#{pane_id}|#{pane_current_path}|#{pane_current_command}|#{pane_pid}|#{pid}|#{session_attached}|#{pane_title}' \
+        '#{pane_id}|#{s/[|]/_/:pane_current_path}|#{s/[|]/_/:pane_current_command}|#{pane_pid}|#{pid}|#{session_attached}|#{pane_title}' \
         2>/dev/null)
     [ -n "$_PANE_SNAPSHOT" ] || return 1
     _PANE_SNAPSHOT_OK=1
@@ -184,7 +184,8 @@ _narrow_panes_by_adapter() {
 _narrow_panes_by_cwd() {
     local base="$1" want="" matches="" id path cmd pid server attached title
     [ -n "${HOOK_CWD:-}" ] || { printf '%s\n' "$base"; return; }
-    want=$(_normalize_path "$HOOK_CWD") || want="${HOOK_CWD%/}"
+    # _normalize_path 对非空输入恒返回 0（cd 失败时返回去尾斜杠原串），无需兜底分支
+    want=$(_normalize_path "$HOOK_CWD")
     while IFS='|' read -r id path cmd pid server attached title; do
         [ -n "$id" ] || continue
         [ "$(_normalize_path "$path")" = "$want" ] && matches="$matches $id"
@@ -410,7 +411,10 @@ build_all_status() {
     _ai_names=$(_collect_ai_process_names)
     # 动态追加上 monitor 的 seen 标记（无 SessionEnd 工具的进程树探测结果）。
     # switch/volta-shim 启动的 pane 前台命令不是 codex，必须靠该标记补 idle `-`。
-    _fmt="#{pane_id}|#{session_name}|#{window_index}|#{pane_index}|#{@ai_pane_status}|#{session_attached}|#{session_created}|#{@ai_entered_time}|#{pane_current_command}|#{@ai_provider}|#{@ai_provider_id}"
+    # 自由文本字段就地消毒：tmux format 的 s/[|]/_/ 替换（`|` 是 ERE 交替符，
+    # 必须写成 [|] 或 \|；裸 s/|/…/ 不生效）。session 名/provider 名含 `|` 时
+    # 会劈裂字段——attached 位变状态字符使 $6>0 误判、该 session 整行消失。
+    _fmt="#{pane_id}|#{s/[|]/_/:session_name}|#{window_index}|#{pane_index}|#{@ai_pane_status}|#{session_attached}|#{session_created}|#{@ai_entered_time}|#{s/[|]/_/:pane_current_command}|#{s/[|]/_/:@ai_provider}|#{s/[|]/_/:@ai_provider_id}"
     for _n in $_ai_names; do
         _fmt="$_fmt|#{@ai_monitor_seen_$_n}"
     done
@@ -874,7 +878,7 @@ _is_pane_session_dead() {
 # 有对应文件但文件过期且进程已死（Stop 未触发的崩溃场景），也清除。
 _cleanup_stale_panes() {
     local active_panes=""
-    local f pane_id
+    local f pane_id pane_status pane_dir pid pid_file
     for f in "${_STATUS_DIR}"/*/pane-*; do
         [ -f "$f" ] || continue
         pane_id=$(cat "$f" 2>/dev/null)
@@ -925,7 +929,6 @@ _cleanup_stale_panes() {
             # 清理孤儿 poll 进程
             for pid_file in "${pane_dir}"*-poll-pid; do
                 [ -f "$pid_file" ] || continue
-                local pid
                 pid=$(cat "$pid_file" 2>/dev/null)
                 [ -n "$pid" ] && kill "$pid" 2>/dev/null
             done
@@ -935,6 +938,25 @@ _cleanup_stale_panes() {
     done
 }
 
+# 清理已断开 client 的 @ai_prev_sess_* 残留。key 是写入端有损 sanitize
+# （tr -c 'A-Za-z0-9._-' '_'），无法从 key 反推 client → 反向枚举存活集比对。
+# 实测关注：长期运行的 server 会累积已 detach 的 client 键（8 option / 4 存活）。
+_prune_prev_sess_options() {
+    local alive=" " name key opt
+    while IFS= read -r name; do
+        [ -n "$name" ] || continue
+        key=$(printf '%s' "$name" | tr -c 'A-Za-z0-9._-' '_')
+        alive="$alive$key "
+    done < <(tmux list-clients -F '#{client_name}' 2>/dev/null)
+    for opt in $(tmux show-options -g 2>/dev/null | awk '/^@ai_prev_sess_/{print $1}'); do
+        key="${opt#@ai_prev_sess_}"
+        case "$alive" in
+            *" $key "*) ;;
+            *) tmux set-option -gu "$opt" 2>/dev/null || true ;;
+        esac
+    done
+}
+
 # 频率限制的孤儿清理（每次 hook 调用，最多每 60s 执行一次）
 _maybe_cleanup_stale() {
     local marker="${_STATUS_DIR}/.stale-cleanup-ts"
@@ -947,6 +969,7 @@ _maybe_cleanup_stale() {
         [ $((now - ${last:-0})) -lt 60 ] && return
     fi
     _cleanup_stale_panes
+    _prune_prev_sess_options
     echo "$now" > "$marker"
 }
 
@@ -962,12 +985,14 @@ _check_hooks_integrity() {
     fi
 }
 
-# 兜底自修复：tmux 端事件路径调用，配置被外部覆盖时自动重装。
-# 不依赖 SESSION_ID/EVENT，可被 _refresh 触发。60s 节流。
+# 兜底自修复：tmux 端事件路径与 SessionStart hook 共用，配置被外部覆盖时自动重装。
+# 不依赖 SESSION_ID/EVENT，可被 _refresh 与 SessionStart 触发。60s 节流退避
+# （窗口内不重复 integrity 检查；修复失败 60s 后才重试）。
 # 安装器由 adapter 声明（ADAPTER_INSTALLER）。
 _maybe_repair_hooks() {
     # 用户显式卸载意图（suppressed-<tool>）→ 不自动修复，尊重到显式安装为止。
     if [ -f "${_SUPPRESS_DIR}/suppressed-${TOOL_ID:-claude}" ]; then
+        _ai_log "REPAIR: suppressed by uninstall marker, skip (${TOOL_ID:-claude})"
         return 0
     fi
     local marker="${_STATUS_DIR}/.hooks-repair-${TOOL_ID:-claude}-ts"
@@ -983,9 +1008,9 @@ _maybe_repair_hooks() {
     local installer="${ADAPTER_INSTALLER}"
     if ! _check_hooks_integrity; then
         _ai_log "REPAIR: hooks integrity check failed, reinstalling (${TOOL_ID:-claude})"
-        # 浮出提示与 SessionStart 修复路径（tmux-ai-status）对齐：修复不再完全静默。
-        # 本函数仅经 _run_refresh 被 tmux hook 事件触发（run-shell 上下文，不在 AI CLI
-        # 同步 hook 路径）；display-message 无 -p 写 client tty 而非调用方 stdout。
+        # 浮出提示（成败区分）：SessionStart（Claude Code hook 进程内）与
+        # _run_refresh（tmux run-shell）两个上下文都会到这里；hook 进程继承
+        # TMUX env，display-message 无 -p 写 client tty 而非调用方 stdout。
         if [ -x "$installer" ] && "$installer" >/dev/null 2>&1; then
             tmux display-message "✓ ${TOOL_ID:-claude} hooks 已自动修复（检测到缺失）" 2>/dev/null || true
         else

package/scripts/tmux-ai-reload

@@ -0,0 +1,29 @@
+#!/bin/bash
+# tmux-ai-reload — prefix+r 重载：source 实际存在的配置文件后重跑插件入口
+#
+# 背景：入口曾用 mktemp conf 绑定 `source-file ~/.tmux.conf \; run-shell 入口`：
+#   1) 硬编码 ~/.tmux.conf（XDG / tmux -f 用户 reload 读错文件）
+#   2) 一次性哨兵：source-file 内用户自己的 `bind r` 会把绑定重置回原命令，
+#      哨兵已置位 → 纯 TPM 模式（配置无 run-shell 行）从第二次重载起插件初始化
+#      静默停止
+# 本 helper 每次由绑定直接调用（入口每次加载都重绑，自愈）：
+#   - 按 tmux 的 #{config_files} 候选列表逐个过滤存在性后 source（顺序同启动）
+#   - 再显式跑一次入口（纯 TPM 模式也能重新初始化；配置里的 run-shell 行会让
+#     入口再跑一次——幂等，仅一次多余启动）
+set -u
+
+_SELF_DIR="$(cd "$(dirname "${BASH_SOURCE[0]}")" && pwd)"
+_ENTRY="$(cd "${_SELF_DIR}/.." && pwd)/tmux-ai-hooks-status.tmux"
+
+_cfg=$(tmux display-message -p '#{config_files}' 2>/dev/null || true)
+# config_files 实测是「候选列表」而非已加载列表（含不存在路径）→ 逐个 [ -f ] 过滤；
+# 老版本 tmux 无该 format 时回落 ~/.tmux.conf。
+[ -n "$_cfg" ] || _cfg="$HOME/.tmux.conf"
+# 注意用 printf '%s\n'：末项无换行符时 read 返回非零，循环体会漏掉最后一项
+printf '%s\n' "$_cfg" | tr ',' '\n' | while IFS= read -r _f; do
+    [ -n "$_f" ] && [ -f "$_f" ] || continue
+    tmux source-file "$_f" 2>/dev/null || true
+done
+
+[ -f "$_ENTRY" ] && tmux run-shell "$_ENTRY" 2>/dev/null || true
+tmux display-message "配置已重载" 2>/dev/null || true

package/scripts/tmux-ai-status

@@ -78,6 +78,25 @@ _current_pane_status() {
     tmux display-message -pt "$TMUX_PANE" -p "#{@ai_pane_status}" 2>/dev/null
 }
 
+# Notification「隐式」路径（idle_prompt / waiting for your input）的状态解析：
+# 通知可能乱序晚到（async hook 无顺序保证），不能无条件降级为 idle '-'。
+# 优先级：pending 派生（工具确实在跑 → '>'）> live 审批态（!/?；claude 不写
+# pending-perm，纯派生看不见审批态）> idle '-'。
+# 显式重置消息（denied/cancelled/rejected）不走本函数——denial 携带「等待已结束」
+# 语义，应无条件置 '-'。
+_notification_implicit_status() {
+    if _derive_status_from_pending; then
+        printf '%s' "$DERIVED"
+        return
+    fi
+    local live
+    live=$(_current_pane_status)
+    case "$live" in
+        "!"|"?") printf '%s' "$live"; return ;;
+    esac
+    printf '%s' "-"
+}
+
 # 重建聚合状态（_refresh / _entered 共用）
 _run_refresh() {
     _maybe_repair_hooks
@@ -94,6 +113,7 @@ PREV_STATUS=$(_current_pane_status)
 TOOL=""
 TOOL_USE_ID=""
 INPUT_DIGEST=""
+_log_flags=""
 
 case "$EVENT" in
   Notification)
@@ -102,14 +122,15 @@ case "$EVENT" in
     INPUT_DIGEST=$(echo "$INPUT" | jq -c '{notification_type, message}' 2>/dev/null)
     case "$NOTIF_TYPE" in
       idle_prompt)
-        STATUS="-"
+        STATUS=$(_notification_implicit_status)
         ;;
       *)
         case "$MSG" in
           *"waiting for your input"*)
-            STATUS="-"
+            STATUS=$(_notification_implicit_status)
             ;;
           *"denied"*|*"cancelled"*|*"canceled"*|*"rejected"*)
+            # 显式重置：denial 表示等待已结束，无条件 idle（即便有 pending 残项）
             STATUS="-"
             ;;
           *)
@@ -118,6 +139,8 @@ case "$EVENT" in
         esac
         ;;
     esac
+    # 写入循环内不再对 Notification 重复 re-derive：事件锁（tmux-ai-status 头部）
+    # 已串行化同 pane 事件，分支内判定即最终判定。
     ;;
   PermissionRequest)
     # 一次 @tsv 提取 tool_name/tool_use_id（digest 单独一次；stdin 只能读一次，
@@ -209,8 +232,12 @@ case "$EVENT" in
     else
         STATUS="✓"
     fi
-    # fallback: TMUX_PANE 未解析时，精准清理孤儿状态（不碰其他活跃 pane）
+    # fallback: TMUX_PANE 未解析时，精准清理孤儿状态（不碰其他活跃 pane）。
+    # 此时事件无处写入——不要伪造 ✓ 写入日志（真实 pane 可能仍是 !）：
+    # STATUS 置空 + flags 标注，日志显示「无状态转移」。
     if [ -n "$TMUX" ] && [ -z "$TMUX_PANE" ]; then
+        STATUS=""
+        _log_flags="PANE=unresolved"
         _cleanup_stale_panes
         build_all_status
         tmux set-option -g @ai_all_status "$ALL" 2>/dev/null || true
@@ -221,14 +248,12 @@ case "$EVENT" in
     INPUT_DIGEST=$(echo "$INPUT" | jq -c '{source, model}' 2>/dev/null)
     STATUS="-"
     _clear_pending
-    if ! _check_hooks_integrity; then
-        if [ -f "${_SUPPRESS_DIR}/suppressed-${TOOL_ID}" ]; then
-            _ai_log "REPAIR: suppressed by uninstall marker, skip (${TOOL_ID})"
-        else
-            "${ADAPTER_INSTALLER}" >/dev/null 2>&1
-            tmux display-message "⚠ ${TOOL_ID} hooks 已自动修复（检测到缺失）" 2>/dev/null || true
-        fi
-    fi
+    # 自修复归并到 _maybe_repair_hooks：60s 节流退避（旧实现每次 SessionStart——
+    # 含 resume/clear/fork——都全量 integrity + 失败即重装且无 exit code 检查），
+    # 并统一 suppress 检查与成功/失败区分的 display-message。节流语义：窗口内
+    # 新会话不重复检查 integrity（外部改 settings 后最多延迟 60s 才被发现）；
+    # 修复失败 60s 后由 _run_refresh 或下一次 SessionStart 重试。
+    _maybe_repair_hooks
     ;;
   SessionEnd)
     INPUT_DIGEST=$(echo "$INPUT" | jq -c '{reason}' 2>/dev/null)
@@ -296,7 +321,7 @@ if [ -n "$INPUT_DIGEST" ] && [ "$INPUT_DIGEST" != "null" ]; then
         _log_input_line="input: $(_ai_log_truncate_input "$INPUT_DIGEST")"
     fi
 fi
-_ai_log_event "$PREV_STATUS" "$STATUS" "" "$_log_tool_line" "$_log_input_line"
+_ai_log_event "$PREV_STATUS" "$STATUS" "$_log_flags" "$_log_tool_line" "$_log_input_line"
 
 if [ -n "$TMUX_PANE" ] && { [ -n "$TMUX" ] || command -v tmux &>/dev/null; }; then
     # 写入前重新读取 pending，避免并发事件用过期结果覆盖仍有效的审批态。

package/tmux-ai-hooks-status.tmux

@@ -43,19 +43,25 @@ tmux set-option -g "status-format[${CLAUDE_ROW}]" "#[align=centre]#{?#{@ai_all_s
 # 不动 status-right，让用户自行管理第 1 行内容
 # Claude 状态通过多行 status-format 的独立行显示，不修改 status-right
 
-# --- Reload 保护：覆盖 prefix+r reload 绑定，source-file 后追加本插件初始化 ---
-# 用哨兵变量防止重复覆盖（tmux server 生命周期内只覆盖一次）
-# 注意：不能在 shell CLI 中用 \; 分隔多条 tmux 命令传给 bind-key，
-# 因为 tmux CLI 会将 \; 作为命令分隔符立即执行后续命令（而不是绑定到按键）。
-# 解决方案：写入临时 tmux config 文件再 source，确保 \; 被 tmux config parser 正确处理。
-if [ -z "$(tmux show-option -gv @claude_hooks_reload_registered 2>/dev/null)" ]; then
-    _bind_tmpfile=$(mktemp /tmp/tmux-ai-bind-XXXXXX.conf)
-    printf "bind-key r source-file ~/.tmux.conf \\; run-shell '%s' \\; display-message '配置已重载'\n" \
-        "${CURRENT_DIR}/tmux-ai-hooks-status.tmux" > "$_bind_tmpfile"
-    tmux source-file "$_bind_tmpfile" 2>/dev/null || true
-    rm -f "$_bind_tmpfile"
-    tmux set-option -g @claude_hooks_reload_registered "1"
-fi
+# --- Reload 保护：prefix+r = source 实际配置文件 + 重跑本插件初始化 ---
+# 绑定单命令指向 scripts/tmux-ai-reload（不再需要 mktemp conf 规避 \;）。
+# ⚠️ 每次加载都重绑（bind-key 是 upsert，幂等）：旧实现用一次性哨兵
+# @claude_hooks_reload_registered，但 source-file 配置内用户自己的 `bind r`
+# 会把绑定重置回原命令，哨兵已置位 → 纯 TPM 模式从第二次重载起插件初始化
+# 静默停止。每次重绑使其自愈。
+# 原绑定保存：覆盖前捕获（排除本插件新旧两种命令形态），供手动恢复：
+#   tmux show-option -gv @claude_hooks_saved_bind_r   # 查看
+#   eval "$(tmux show-option -gv @claude_hooks_saved_bind_r)"  # 回放
+_prev_r=$(tmux list-keys -T prefix r 2>/dev/null || true)
+case "$_prev_r" in
+    ""|*tmux-ai-reload*|*tmux-ai-hooks-status.tmux*) ;;
+    *)
+        if [ -z "$(tmux show-option -gv @claude_hooks_saved_bind_r 2>/dev/null)" ]; then
+            tmux set-option -g @claude_hooks_saved_bind_r "$_prev_r" 2>/dev/null || true
+        fi
+        ;;
+esac
+tmux bind-key r run-shell "'${CURRENT_DIR}/scripts/tmux-ai-reload'" 2>/dev/null || true
 
 # --- 自动注册 Claude hooks（幂等，每次插件加载时确保 hooks 存在）---
 # auto 模式：用户显式卸载过（suppressed-claude 标记在）时静默跳过，尊重卸载意图；
@@ -119,4 +125,20 @@ else
 fi
 
 # Esc 拒绝检测：! / ? 状态下 Esc → -
+# 全局 root 表绑定会覆盖用户既有 Escape 绑定——覆盖前保存 + 一次性告警
+# （无法安全链式调用任意已有绑定，恢复需手动）：
+#   tmux show-option -gv @claude_hooks_saved_bind_escape
+_prev_esc=$(tmux list-keys -n Escape 2>/dev/null || true)
+case "$_prev_esc" in
+    ""|*tmux-ai-esc*) ;;
+    *)
+        if [ -z "$(tmux show-option -gv @claude_hooks_saved_bind_escape 2>/dev/null)" ]; then
+            tmux set-option -g @claude_hooks_saved_bind_escape "$_prev_esc" 2>/dev/null || true
+        fi
+        if [ -z "$(tmux show-option -gv @claude_hooks_esc_warned 2>/dev/null)" ]; then
+            tmux display-message "⚠ tmux-ai-hooks-status 覆盖了全局 Esc 绑定；原绑定已存 @claude_hooks_saved_bind_escape" 2>/dev/null || true
+            tmux set-option -g @claude_hooks_esc_warned "1" 2>/dev/null || true
+        fi
+        ;;
+esac
 tmux bind-key -n Escape run-shell "${CURRENT_DIR}/scripts/tmux-ai-esc"