xonecode 0.2.0 → 0.5.0

package/README.md

@@ -7,11 +7,15 @@ XOne es una plataforma propietaria de apps móviles nativas: se programa con XML
 `.xne`), JavaScript ES5 y un CSS propio. **No es desarrollo web** — no existe el DOM, ni
 `async/await` en el runtime, ni ningún framework tipo React.
 
+`xonecode` a secas abre la **consola web** en el navegador: se eligen entorno y proyecto, se
+baja la copia local y se trabaja desde ahí. `xonecode --cli` da la consola de terminal de
+siempre, que es la que se ve aquí abajo.
+
 ```
-$ cd MiApp && xonecode
+$ cd MiApp && xonecode --cli
 
 xonecode · MiApp (7 colls) · ollama/glm-5.3-flash:cloud · 0 tokens
-13 comandos: /ayuda /config /describe /doctor /verify /modelo … /salir
+17 comandos: /ayuda /config /describe /doctor /verify /modelo /modelos /sync … /salir
 
 ─ MiApp (7 colls) · ollama/glm-5.3-flash:cloud · 0 tokens · /ayuda
 ❯ ¿qué colecciones tiene este proyecto?
@@ -27,31 +31,50 @@ El proyecto tiene 9 colecciones repartidas en 7 ficheros .xne: …
 
 | | |
 |---|---|
-| Consola interactiva | prompt, barra de estado, 13 comandos de barra, autocompletado con Tab |
+| Consola web | la de omisión: servidor http en loopback con token, transcript por SSE, aprobación con diff, alta de entorno y proyecto |
+| Consola interactiva | con `--cli`: stdio o TUI (Ink) con paneles, barra de estado, 17 comandos de barra, autocompletado con Tab |
 | Un disparo | `xonecode run "…"` — pipeable, para tuberías y CI |
 | Aprobación humana | el agente **para y pregunta** antes de escribir; sin un sí explícito, rechaza |
 | Verificador real | `xone-simulator` sobre el proyecto, con `/verify` y `xonecode verify` |
 | Multi-proveedor | Gemini, OpenAI, Anthropic y **Ollama local**, con modelo por papel |
 | Diagnóstico sin coste | `describe`, `doctor` y `config` no gastan una llamada al modelo |
+| CloudStudio | copia local del proyecto, registrada en git (`refs/remotes/cloudstudio/<rama>`); `/sync` baja y sube |
 
 Lo que **todavía no hay**, y conviene saber antes de fiarse:
 
 - **Nadie verifica lo que el agente escribe.** El verificador existe y funciona, pero no
   corre dentro del turno: la consola te lo avisa en cada uno. Hay que lanzar `/verify`.
 - **No hay lazo** de plan → ejecuta → verifica → juzga → repara, con presupuestos.
-- **No usa los servidores MCP de XOne Studio**: el proyecto tiene que estar en disco.
-- **No hay TUI con paneles**; la consola es stdio.
+- **La subida a CloudStudio es siempre interactiva.** El hueco de política para que el
+  juez la autorice solo cuando el trabajo está terminado (verificador en verde, árbol
+  limpio, nada pendiente de aprobar) está declarado, pero el juez todavía no existe.
 
 ## Instalación
 
 Requiere **Node ≥ 20** y, para verificar, [`xone-linter`](https://www.npmjs.com/package/xone-linter)
 (que instala el binario `xone-simulator`).
 
+Para descargar y ejecutar la consola sin instalación global:
+
+```sh
+npx xonecode
+```
+
+`npx` instala el paquete en su caché y lo ejecuta. Para tener el comando disponible
+directamente en la terminal:
+
+```sh
+npm install -g xonecode
+xonecode
+```
+
+Para desarrollar desde el código fuente:
+
 ```sh
 git clone https://github.com/sleiva/xonecode && cd xonecode
 npm install
 npm run build
-npm link          # o: ln -sf "$PWD/dist/bin.js" ~/.local/bin/xonecode
+npm link
 ```
 
 Comprueba que el entorno está listo, sin gastar nada:
@@ -68,6 +91,8 @@ Dos ficheros con dos ciclos de vida distintos, y **las claves nunca van en el pr
 | Fichero | Qué lleva |
 |---|---|
 | `<proyecto>/.xonecode/config.json` | modelos y proveedores. **Rechaza claves de API.** |
+| `<proyecto>/.xonecode/memoria.md` | decisiones, convenciones y pendientes confirmados. El agente solo la ve como `/MEMORIA_PROYECTO.md`; escribirla pide aprobación. |
+| `<proyecto>/.xonecode/conversation_history/` | historial técnico descargado al resumir contexto. Es interno: no se expone al agente ni se mezcla con la app. |
 | `~/.xonecode/config.json` | lo mismo, para todos los proyectos |
 | `~/.xonecode/auth.json` | las credenciales, con modo **0600**. Se escribe con `/provider <nombre>` |
 
@@ -84,6 +109,10 @@ Precedencia, y cada valor recuerda de dónde vino (`xonecode config` lo dice):
 --modelo-<papel>  >  --modelo  >  XONECODE_MODELO  >  proyecto  >  global  >  omisión
 ```
 
+`/modelos <proveedor>` consulta el catálogo vivo del proveedor, filtra modelos de
+conversación y permite guardar una selección global para `rapido`, `trabajo` o `afilado`.
+Las claves siguen exclusivamente en `~/.xonecode/auth.json`; `/provider` solo las configura.
+
 Hay **tres papeles** porque el reparto es la palanca de coste: `rapido` corre en todos los
 turnos, `trabajo` desarrolla y `afilado` está reservado al juez. Por omisión, Ollama local.
 
@@ -93,7 +122,7 @@ Las decisiones que explican la forma del código. Ninguna es preferencia estéti
 salen de un fallo medido.
 
 **El motor de turno no sabe pintar.** `core/turno.ts` consume eventos de dominio y decide
-qué se cuenta; la consola de stdio y (en su día) la TUI son pieles. Así el turno se prueba
+qué se cuenta; la consola de stdio y la TUI son pieles. Así el turno se prueba
 entero sin montar un renderizador.
 
 **Frontera de imports, y está probada.** `core/` es TypeScript puro: no importa langchain,
@@ -101,6 +130,13 @@ langgraph, deepagents, MCP, Ink ni React. Toda la suciedad del grafo vive en `ag
 un test que recorre los ficheros de `core/` y falla si aparece un import prohibido — una
 convención que nadie verifica dura dos semanas.
 
+**La TUI es una piel, y su frontera también está probada.** Ink y React viven SOLO en
+`src/cli/tui/`: otro test recorre `src/` y falla si un import de ink o react se cuela fuera
+— el mismo truco. Y el lazo de comandos es UNO: la TUI no lo duplica, se lo inyectan, así
+que `/config` llama a la misma función con stdio y con la TUI. La TUI monta por omisión solo
+con un terminal de verdad en ambos lados; cualquier tubería cae al stdio de siempre, y por
+eso los pipes y CI siguen viendo la salida byte-idéntica de siempre.
+
 **Todo lo caro entra por un puerto, con su doble al lado.** Consecuencia buscada: la suite
 entera corre **sin API, sin red y sin el simulador**.
 
@@ -150,9 +186,13 @@ El 2 es deliberado: un turno que se quedó esperando un permiso que nadie dio **
 ```sh
 npm run typecheck     # tsc --noEmit
 npm test              # la suite entera, sin red ni claves
+npm run build:web     # solo el cliente web (vite) — `npm run build` ya lo incluye
 ./bin/xonecode …      # corre el TypeScript con tsx: siempre el código actual
 ```
 
+La consola web necesita el build del cliente en `apps/web/dist`. Sin él, `xonecode` dice
+«falta el build del cliente» y sale con **70** (fallo del entorno, no del proyecto).
+
 `npm test` no puede necesitar una clave ni una conexión. Si un cambio lo rompe, está mal el
 cambio, no el test.
 
@@ -161,6 +201,8 @@ copiaron en vez de publicarse aparte porque son 290 líneas y no merecen un paqu
 
 ## Más
 
+- [`docs/DECISIONES.md`](docs/DECISIONES.md) — el porqué medido de cada decisión, párrafo
+  por párrafo: lo que vivía en `CLAUDE.md` hasta que ese fichero volvió a ser solo el mapa
 - [`docs/COMO-PROBARLO.md`](docs/COMO-PROBARLO.md) — la guía de pruebas, paso a paso
 - [`docs/PROBLEMA.md`](docs/PROBLEMA.md) — el enunciado del que salió el diseño
 - [`docs/SEGUNDA-OPINION-K3.md`](docs/SEGUNDA-OPINION-K3.md) — una segunda opinión

package/THIRD_PARTY_NOTICES.md

@@ -0,0 +1,128 @@
+# Avisos de terceros
+
+## deepseek-harness (estilos de `apps/web/estilos/`)
+
+Los seis ficheros CSS de `apps/web/estilos/` (`base.css`, `corner-shape.css`,
+`design-platform.css`, `gradient-shadow-text.css`, `scrollbar.css`, `shiki.css`) están
+tomados, sin cambios en su contenido, de:
+
+    deepseek-harness — packages/client/ui-theme/src/styles/
+
+Cada fichero lleva su propia cabecera de atribución. No se ha copiado ningún logo,
+wordmark ni otro activo de marca de DeepSeek — solo tokens de diseño (variables CSS
+`--dsw-*`, sin renombrar todavía: ver comentario en `apps/web/estilos/`) y reglas CSS.
+
+Licencia del proyecto de origen (MIT):
+
+```
+MIT License
+
+Copyright (c) 2026 DeepSeek
+
+Permission is hereby granted, free of charge, to any person obtaining a copy
+of this software and associated documentation files (the "Software"), to deal
+in the Software without restriction, including without limitation the rights
+to use, copy, modify, merge, publish, distribute, sublicense, and/or sell
+copies of the Software, and to permit persons to whom the Software is
+furnished to do so, subject to the following conditions:
+
+The above copyright notice and this permission notice shall be included in all
+copies or substantial portions of the Software.
+
+THE SOFTWARE IS PROVIDED "AS IS", WITHOUT WARRANTY OF ANY KIND, EXPRESS OR
+IMPLIED, INCLUDING BUT NOT LIMITED TO THE WARRANTIES OF MERCHANTABILITY,
+FITNESS FOR A PARTICULAR PURPOSE AND NONINFRINGEMENT. IN NO EVENT SHALL THE
+AUTHORS OR COPYRIGHT HOLDERS BE LIABLE FOR ANY CLAIM, DAMAGES OR OTHER
+LIABILITY, WHETHER IN AN ACTION OF CONTRACT, TORT OR OTHERWISE, ARISING FROM,
+OUT OF OR IN CONNECTION WITH THE SOFTWARE OR THE USE OR OTHER DEALINGS IN THE
+SOFTWARE.
+```
+
+## deepseek-harness (CSS de componentes de `apps/web/estilos/`)
+
+Además de las hojas de tokens de la sección anterior, `apps/web/estilos/` lleva el CSS de
+COMPONENTES de deepseek, para que la consola web use el mismo CSS y recolorearla sea
+cambiar valores de token en un sitio en vez de editar componentes. Cada fichero lleva su
+propia cabecera de atribución, que dice si es copia entera o RECORTE y —cuando es
+recorte— qué se dejó fuera y por qué.
+
+| fichero en `apps/web/estilos/` | origen (`packages/client/…`) | paquete | licencia | líneas copiadas |
+|---|---|---|---|---|
+| `AppFrame.module.css` | `ui-layout/src/client/AppFrame.module.css` | `@deepseek-ai/dsh-client-ui-layout` | MIT | 119 (entero) |
+| `SidebarRoot.module.css` | `ui-sidebar/src/client/SidebarRoot.module.css` | `@deepseek-ai/dsh-client-ui-sidebar` | MIT | 359 (entero) |
+| `ConversationRoot.module.css` | `ui-conversation/src/client/skeleton/ConversationRoot.module.css` | `@deepseek-ai/dsh-client-ui-conversation` | MIT | 238 de 452 (recorte) |
+| `ChatView.module.css` | `ui-chat/src/client/chat/ChatView.module.css` | `@deepseek-ai/dsh-client-ui-chat` | MIT | 58 de 223 (recorte) |
+| `WorkspaceBrowser.module.css` | `ui-workspace/src/client/rows/WorkspaceBrowser.module.css` | `@deepseek-ai/dsh-client-ui-workspace` | MIT | 138 de 505 (recorte) |
+| `Rows.module.css` | `ui-workspace/src/client/rows/Rows.module.css` | `@deepseek-ai/dsh-client-ui-workspace` | MIT | 179 de 368 (recorte) |
+| `SettingsRoot.module.css` | `ui-settings-general/src/client/SettingsRoot.module.css` | `@deepseek-ai/dsh-client-ui-settings-general` | MIT | 57 de 236 (recorte) |
+| `AgentPresetLabel.module.css` | `ui-agent-preset/src/client/AgentPresetLabel.module.css` | `@deepseek-ai/dsh-client-ui-agent-preset` | MIT | 22 de 23 (recorte) |
+
+La licencia es MIT en los OCHO casos, declarada por el `package.json` de cada paquete en
+el árbol de fuentes (`"license": "MIT"`, versión `0.1.2-rc.1`). Es la misma MIT que ya
+está transcrita en la primera sección de este fichero; no se repite.
+
+**Ojo con la sección siguiente**: el paquete de npm `@deepseek-ai/dsh-client-ui-primitives`
+que este repo INSTALA declara BSD-3-Clause, no MIT. Los CSS de arriba vienen del árbol de
+FUENTES; el paquete instalado es otra cosa y va bajo otra licencia. Se dejan las dos
+constancias por separado a propósito, y no una que cubra las dos.
+
+**Nada de marca.** Ninguna de estas hojas trae un activo de marca: son reglas de
+geometría y color por token. `SidebarRoot.module.css` da la geometría de las ranuras
+`.brand`/`.brandName`, y quien las ocupa aquí es el nombre de xonecode; `.brandMark`
+—donde el original monta su `FishLogo`— se queda vacía.
+
+**Una línea que NO se copió, y es un hallazgo.** `AgentPresetLabel.module.css` declara
+`background: var(--dsw-alias-fill-tsp-secondary)`, y ese alias no está definido en NINGÚN
+CSS de deepseek-harness (comprobado con `grep -rn -- "--dsw-alias-fill-tsp-secondary:"
+--include='*.css'` sobre el árbol entero: cero resultados). Un alias que no existe
+resuelve a transparente sin dar error. Se copia la hoja sin esa declaración, en vez de
+inventarle un relleno que el original nunca pinta.
+
+## deepseek-harness (paquete `@deepseek-ai/dsh-client-ui-primitives`)
+
+`apps/web` instala `@deepseek-ai/dsh-client-ui-primitives@0.0.1-rc.1` (npm) para
+`MarkdownText` (Chat) y `ConnectionBanner`, en vez de la combinación `marked` +
+`dompurify` de la Task 13 (Task 13b).
+
+Corrección sobre el encargo de la tarea: pedía documentarlo como MIT «igual que el CSS»
+de más arriba, pero el propio `package.json` del paquete instalado declara
+`"license": "BSD-3-Clause"`, y el fichero `LICENSE` que trae el tarball es, en efecto,
+BSD de 3 cláusulas — no MIT. Los seis CSS de la sección de arriba y este paquete de npm
+vienen del mismo repositorio (`deepseek-harness`) pero bajo licencias DISTINTAS; se deja
+constancia aquí en vez de copiar el aviso equivocado.
+
+Licencia real del paquete (BSD 3-Clause), tomada de su `LICENSE`:
+
+```
+BSD 3-Clause License
+
+Copyright (c) 2026, DeepSeek
+
+Redistribution and use in source and binary forms, with or without
+modification, are permitted provided that the following conditions are met:
+
+1. Redistributions of source code must retain the above copyright notice, this
+   list of conditions and the following disclaimer.
+
+2. Redistributions in binary form must reproduce the above copyright notice,
+   this list of conditions and the following disclaimer in the documentation
+   and/or other materials provided with the distribution.
+
+3. Neither the name of the copyright holder nor the names of its
+   contributors may be used to endorse or promote products derived from
+   this software without specific prior written permission.
+
+THIS SOFTWARE IS PROVIDED BY THE COPYRIGHT HOLDERS AND CONTRIBUTORS "AS IS"
+AND ANY EXPRESS OR IMPLIED WARRANTIES, INCLUDING, BUT NOT LIMITED TO, THE
+IMPLIED WARRANTIES OF MERCHANTABILITY AND FITNESS FOR A PARTICULAR PURPOSE ARE
+DISCLAIMED. IN NO EVENT SHALL THE COPYRIGHT HOLDER OR CONTRIBUTORS BE LIABLE
+FOR ANY DIRECT, INDIRECT, INCIDENTAL, SPECIAL, EXEMPLARY, OR CONSEQUENTIAL
+DAMAGES (INCLUDING, BUT NOT LIMITED TO, PROCUREMENT OF SUBSTITUTE GOODS OR
+SERVICES; LOSS OF USE, DATA, OR PROFITS; OR BUSINESS INTERRUPTION) HOWEVER
+CAUSED AND ON ANY THEORY OF LIABILITY, WHETHER IN CONTRACT, STRICT LIABILITY,
+OR TORT (INCLUDING NEGLIGENCE OR OTHERWISE) ARISING IN ANY WAY OUT OF THE USE
+OF THIS SOFTWARE, EVEN IF ADVISED OF THE POSSIBILITY OF SUCH DAMAGE.
+```
+
+Ningún logo ni wordmark de DeepSeek se usa: `FishLogo` y `BrandWordmark`, que el paquete
+exporta, no se importan en ningún fichero de este repositorio (XOne no es DeepSeek).