okooooooo/vibe-foreman
1
0 Fork 0
Code Issues Pull Requests Actions Packages Projects Releases Wiki Activity
68 Commits 1 Branch 0 Tags
main
Commit Graph
7 Commits
Author SHA1 Message Date
wuguanganandClaude Opus 5 e3b9153b66 feat: 拦住 AI 把密钥搬出去；README 补 AI 时代的隐私那一节 
## 密钥泄漏闸

把活交给 agent 之后，泄密的形态变了。以前是人手滑，现在是**每一步都很合理的
一串操作**：git add . 顺手把 .env 提了、把真实 token 内联进配置文件当"示例"、
为了确认配置 cat 一下密钥（值就进了 transcript，0644、永久、每轮重发给 API）。

**没有一条能靠「这条命令危不危险」判断出来。** 它们都不危险。唯一可靠的信号是
这次调用的内容里有没有出现真实的密钥值。

所以加了一道闸，默认开：参数里出现库里的真实值 → 拒；git add/commit 会把
.env 一类文件或含真实值的文件带进仓库 → 拒。拒绝理由里写明正确做法
（用 $KEY、先加 .gitignore），否则模型只会换个写法再试一次。

**它跑在 hubctl 本地，不依赖 app 在不在跑。** 仓库其它拦截都是「app 没开就放行」
（一个监控工具不该让你的命令跑不起来），这一条反过来 —— 密钥漏出去不可逆。

几条守住的边界，判宽了比判窄了危险：值短于 8 字符不参与匹配（abc/true/test
会命中一切）；.example/.template/.sample 结尾放行（模板文件本来就该提交，
误拦一次用户就把整个功能关掉了）；只认 EnvRenderer 写出来的格式，不做通用
dotenv 解析；不是 git add/commit 就一个子进程都不起。

拒了之后事件照发给 app（不等应答），进审批日志 —— 一道看不见的闸，
用户第一次被拦时只会觉得 Claude 抽风。开关在密钥页底部，
落成 ~/.vibe-foreman/guard.json，且**只在关掉时才写**：
默认开，「文件不存在 = 开着」，这样没打开过密钥页的人也受保护。

明确写了它挡不住什么：python -c 读、软链、base64 转一道、库外手写的值。
它是一道减少手滑的闸，不是沙箱。

## 截图

主窗口现在也能自动截了：HUB_WINDOW_SECTION 钉住打开哪一页，
配 DemoFixtures.seed 造的假密钥和假账号（刻意编得一眼假 —— 一个像真的
token 混进去，读者会去试）。

两个坑：find-window 按面积取第一个会截到岛（它比主窗口先出现一瞬），
改成按宽度 ≥900 筛；.accessory 的进程从后台 shell 起来抢不到焦点，
而非活跃窗口里的系统控件会被去饱和 —— 截出来开关全是灰的，
正好把要展示的东西说反了，所以截图模式下改用 .regular。

顺带：进密钥页自动选中第一组。有组却什么都不选，右边一大片空白，
那是"还没建组"的样子而不是"有四组等你挑"的样子。

646 个测试全过（原 625）。真 hubctl 二进制端到端验过四种情况：
写入真值被拒、约定的 source 用法放行、git add . 带 .env 被拒、普通命令放行。

Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>
 2026-08-18 10:46:46 +08:00
wuguanganandClaude Opus 5 8510e1de28 feat: 读密钥文件的 Read/Grep/Glob 拦一下 
`RiskClassifier` 里 readOnlyTools 是无条件早退的（注释写明理由：Read 一个讲
`rm -rf` 的 README 不该触发审批）。但「读密钥文件」恰恰是要拦的那件事——
共用密钥交给 AI 的契约是 `set -a; source`，值只进子进程环境；改用 Read
之后文件内容就进了 ~/.claude/projects/*.jsonl（0644、永久、每轮重发给 API）。

判断**只放在 readOnlyTools 那个分支里，不放在 classify 开头**。放开头的话，
约定用法里那条 source 命令每次都会弹审批，正常流程当场堵死。Bash 走下面的
模式匹配，`\.env\b` 已经把它定成 dangerous（记录不拦截），不动。

写清楚它挡不住什么：python -c 读、软链、base64 转一道都绕得过，
而且 hubctl 超时是 fail-open——app 没开着的时候这道闸是关的。
它是一次提醒，不是安全边界，README 和注释都按这个写。

路径常量抄在 HubIPC 里（那个模块刻意不依赖 HubProjects，hubctl 要小而快）。
抄就会漂，漂了的症状是静默的——改个文件名，闸就再也命不中而界面毫无变化。
所以加了 SensitivePathsAgreementTests，在同时看得见两个模块的测试目录里
把两边的真实路径对一遍。

625 个测试全过。

Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>
 2026-08-17 12:48:30 +08:00
wuguanganandClaude Opus 5 172ae46515 chore: 界面和提示语里的产品名也改过来 
上一版只改了 app 显示名，Swift 里的字面量还写着旧名 —— 而那批是
**用户直接看得到的**：验收守望的提示头、审批被拦时的理由、
岛上作答回给 Claude 的那句、验收页的空状态。

正文用短名 Vibe Foreman，app 显示名保持 Vibe Foreman Free：
全名带 Free 夹在句子中间很别扭，而且以后真出付费版时正文不用再改一遍。

Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>
 2026-08-14 22:51:42 +08:00
wuguanganandClaude Opus 5 fe3febbfd2 feat: Stop 拦截注入 —— 收工时拿清单逼它逐条报证据 
Stop 从「非阻塞、输出被忽略」改成阻塞式，有待验收项时输出
{"decision":"block","reason":<清单>} 让 Claude 不停下来，先逐条核对。
下一轮的 lastAssistantMessage 里的自查 JSON 被收回来，把 open 推到 claimed。

Stop 的超时阶梯和审批那条**完全分开**，方向也相反：

  3s HookCoordinator / 5s hubctl / 10s settings.json，超时一律 = 不拦。

审批超时 = 拒绝（安全刹车）；这里超时 = 放行。写反的话 Hub 一出问题
所有会话就再也收不了工，比"少提醒一次验收"严重得多。实测 hook 本身
6-11ms，Hub 在不在都一样。

查出来三个真问题，都不是靠读代码发现的：

1. 服务端从不给 stop 回写应答。我改了 hubctl 让它等，却没动
   HubSocketServer 里写死的 guard kind == .preToolUse —— 拦截一次都没生效
   过，而且不报错、不超时、10ms 就返回，表现得和"清单里没有待办"
   一模一样。端到端测了三轮才找到。修法不是补一个 if，是加
   Kind.expectsDecision 让两边共用同一个判断。

   这和上次「grep activeScreen() 漏了一个调用点」是同一类错误：
   改了协议的一端，假设另一端会跟上。

2. SIGPIPE 会杀掉 Hub。服务端开始给 stop 回写之后，遇到不等应答就关连接
   的客户端（旧版 hubctl、被 Ctrl-C 的 hook），那次 write 直接终止进程 ——
   不是报错，是进程没了。测试崩在 signal 13 上才暴露。
   先加了 per-socket 的 SO_NOSIGPIPE（看起来更讲究），结果没生效，
   照样崩；改成进程级 signal(SIGPIPE, SIG_IGN) 才好。
   更讲究的写法如果不生效，就只是更讲究的 bug。

3. stop 事件不能去重。缓存决策只有在决策是事件的纯函数时才成立，
   而 stop 的结论取决于会变的上膛状态：同样内容的两条 stop，
   一条在用户说话前、一条在之后，结论截然相反。实测被这个坑到过。

4. {"done":1} 被判成做完了。JSONSerialization 把数字 1 桥接成 NSNumber，
   as? Bool 对它成立 —— 模型只要把 done 写成数字就能绕过"含糊按没做算"。
   改用 CFBooleanGetTypeID 严格判定。

端到端实测（真实 hubctl 二进制）：未上膛不拦、上膛后拦下 13 条要点、
连着两次收工都放行、Hub 存活、自查回答（带散文和围栏）正确回收成
claimed 且 hasProof 仍为 false。

346 个测试。

Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>
 2026-08-07 18:10:35 +08:00
wuguanganandClaude Opus 5 f0f6cd7454 feat: 验收守望 —— 独立于 Claude 自述的需求清单 
Claude 会把用户需求翻译成自己的 TodoWrite，翻译那一步就已经丢东西了：
「修复 apple-header sticky」是施工步骤，不是原始需求里的功能要点。
再拿它自己的 todo 去验收，等于让它自己判自己的卷子。

清单挂在项目上跨会话累积，基线取自用户原话和用户批准过的计划。

几个刻意的设计：

- Evidence 在类型层面就分开 claimed / diff / ran。全塞进 [String] 等于在
  数据结构上承认「它说改了」和「它真改了」是一回事，而这正是要解决的问题。
  汇报条的「已证」只数 isProof 的，想把自述渲染成已验证得先改类型。

- 拦截的「上膛」只有 UserPromptSubmit 能做，Stop 拦过立即卸膛。Claude
  没有任何路径能给自己上膛，所以「拦一次 → 它回一轮 → 又拦」这个死循环
  是构造不出来的，不是被 if 挡住的。

- applyAudit 跳过用户终裁过的项。勾了「接受」一转身被机器打回 disputed，
  那个勾就白点了。

- extract 区分「失败」(nil) 和「没有新要点」([])。混在一起的话模型抽风
  一次就会清掉原话缓冲，而那是这个功能唯一的基线来源。

hook 从 5 类补到 9 类。PostToolUse 是最大的收获：Write/Edit 之后 Hub
第一手知道哪个文件被改了，不用回头问 Claude——问这个问题本身就给了
转述失真的机会。

实测确认（都不是推断）：
- hubctl hook userprompt 的 stdout 是 0 字节。这条必须验，因为
  UserPromptSubmit 的 stdout 会被当成附加 context 注入进对话。
- 项目级和全局 hook：命令字符串相同时 Claude Code 自己去重，不同才叠加。
  第一次实验用了两条不同命令，据此普遍化成「一定会重复」是错的。
  HookDedup 保留为深度防御（路径不一致时才真用得上），不是必需品。
- 真实拆解链路 20 秒出结果，正确忽略了缓冲里的闲聊、正确去重了已有条目。

ensure-project-config.sh 接了三个调用点。其中 TerminalDispatch.open() 是
关键：app 从岛/主窗口启动项目完全不经过 project-menu.sh，漏了那里等于
最常用的入口一个都没检查。

326 个测试。上膛、自述不算证明、外部编辑不被覆盖三条做过变异验证。

Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>
 2026-08-07 17:50:25 +08:00
Eric.wuwuguanganClaude Fable 5
 		078f6f5e46 feat: 岛上作答交互卡 + 项目置顶/排序 + 建仓与克隆 (#6) 
## 岛上能直接作答 Claude 的交互请求

AskUserQuestion / ExitPlanMode 的 tool_input 里没有 command/path，
RiskClassifier 提不出 summary，风险判定为 normal 直接放行 ——
岛上从来不弹任何东西。这是这次要修的核心 bug。

现在按 toolName 在风险判定**之前**分流，岛上弹可作答的卡：

- 选择题：单题单选点选即答；多题表单逐题作答，多选勾完提交，
  最后合成一条回传。答案借 deny 的 reason 送回模型（PreToolUse
  没有「替用户作答」的通道，这是唯一的口子）。
- 计划审批：显式 allow 压不掉 plan 状态机自己的确认框（实测
  2.1.220），所以「批准」= 放行后替用户在终端框里按 1/2，带重试
  等对话框渲染出来；驳回走 hook deny 有效。
- 进入计划模式（EnterPlanMode）同样接管。
- 终端权限框（"Do you want to..."）走 Notification hook 弹卡，
  允许=注入 1、拒绝=Esc，复用 TerminalReply 的全套护栏。

超时方向和审批卡**相反**：审批超时必须 deny（唯一的安全刹车），
交互卡超时 allow（不输出决策 = 交还终端原生对话框，用户零损失）。
这条镜像关系有专门的测试钉住。

## 项目列表

- 置顶：岛和主窗口菜单里都能置顶，落盘 pinned.json。
- 排序统一成 置顶 > 正在开发 > 最近提交 > 名字。GitInfo 加
  lastCommitAt（38 个仓库合计约 300ms，后台队列）—— 三十多个项目
  按 yaml 顺序排，找一个要翻半屏。
- 岛上无会话的行点击弹启动菜单，不再直接起 claude（误触成本太高）。
  用原生 NSMenu：SwiftUI Menu 的两种整行方案都翻过车（label 被
  压扁 / 透明盖层收不到点击）。

## 建仓与克隆

- scripts/new-project.sh：目录 + git + GitHub 远程 + 防污染
  settings.json + 注册 projects.yaml，一条命令。app、/new-project
  skill、命令行三个入口共用同一份逻辑。
- scripts/clone-project.sh + 克隆表单：列出账号可见的全部仓库
  （含组织仓，之前 gh repo list 只列个人仓），按 owner 分组筛选，
  多账号可切换（gh 只用活跃账号的凭据，不切就拉不了另一个账号的
  私有仓）。列表按账号分开缓存 + 后台静默刷新。
- 防污染 deny 刻意**不禁** ~/.claude/plans/：plan mode 的计划文件
  写在那里，禁了所有 plan 会话都会报 Error writing file（真踩过）。

## 顺带修掉

add-project.sh 最后一行是 `[ ${#ALIASES[@]} -gt 0 ] && echo ...`，
没有别名时测试为假，整个脚本退出码变成 1 —— 明明写进去了，调用方
却报「注册 projects.yaml 失败」。改成显式 exit 0。

Co-authored-by: wuguangan <anjaihd0206@gmail.com>
Co-authored-by: Claude Fable 5 <noreply@anthropic.com>
 2026-08-04 17:19:39 +08:00
Eric.wuwuguanganClaude Opus 5
 		b6d90cac2b feat: 重写为原生 Swift 灵动岛，修掉通知跳转与主窗口数据链路 (#4) 
删掉 Tauri 版（app/），全部重写为 SwiftUI + SwiftPM（HubKit/，8.2k 行源码 +
2k 行测试，131 个测试）。核心动机是旧版"点通知跳不到对应终端"——
根因是身份链路全程用会漂移的字符串：项目名 → tmux 窗口名 → pane_title →
AppleScript 子串匹配。实测 9 个 tmux 窗口只有 2 个能和 projects.yaml 对上，
其中一个窗口名是 `2.1.173`（tmux automatic-rename 把它改成了 claude 的版本号）。

主要变化
- 会话状态直接读 ~/.claude/sessions/<PID>.json（Claude Code 自己维护的权威源），
  不再用 spinner 字符猜 busy；死进程的残留 json 用 kill(pid,0) 过滤
- 跳转改用 iTerm jobPid + 进程祖先链求交，全程只有整数 PID 和 UUID；
  bg 会话不在任何终端里，单独用稳定 job 名兜底。实测 9/9 绑定成功
- hook 从 bash 换成 Swift 的 hubctl，走 Unix socket；Hook 没运行时立即放行
- 高风险操作在岛上审批，六重防误点；拒绝是超时和异常的默认值
- 主窗口：会话 / 项目 / 用量 / 审批日志 / 设置

修掉的真实缺陷（详见 HubKit/NOTES.md）
- 超时阶梯是反的：ApprovalCoordinator 和 hubctl 读超时都是 60s，同时到期时
  hubctl 按 fail-open 放行了一条已被服务端判定拒绝的 git push --force origin main。
  改成 60/65/75/90 严格递增，并区分「连不上」（放行）与「连上但没应答」（拒绝）
- 点击全部被吞：app 是 .accessory + panel 是 .nonactivatingPanel，
  NSHostingView.acceptsFirstMouse 默认 false，每次点击都算 first mouse 被丢弃
- hitTest 假设 NSHostingView 恒为 flipped，而 isFlipped 是 final 的可读写属性
- 形态切换靠替换 rootView，导致动画不可能发生且 @State 每次归零
- 全局 leftMouseDown 监听会收到点在自己身上的点击，展开态一点就收起
- hook 进程死后审批卡不消失，且会挡住后面的请求（按 clientPid 扫描清理）
- app 读的 projects.yaml 不是脚本维护的那份，且那份被写坏成
  `projects: []` + 117 条内容，解析器静默返回 0 —— 三个页面因此全空
- 用量对 945MB/341 个 jsonl 整份读进内存，跑不完；改流式 + 增量缓存后
  7 天首扫 3.6s、命中缓存 0.22s、全量 4s
- 辅助二进制放 Contents/MacOS/ 且共用 bundle id 会被 exec 瞬间 SIGKILL
- 同一 bundle id 对应多个 .app 让存活判断和 TCC 授权互相打架

刻意的取舍
- 放弃 Liquid Glass 做岛的基底：它会跟着背景亮度双向补偿，而刘海恒为纯黑，
  两者物理上互斥。改用固定 86% 暗色基底 + 背景模糊 + 边缘高光
- 用 SwiftPM + 打包脚本而不是 .xcodeproj：手写 xcodeproj 的 XML 无法 review，
  且 SwiftPM 保住了 swift test

Co-authored-by: wuguangan <anjaihd0206@gmail.com>
Co-authored-by: Claude Opus 5 (1M context) <noreply@anthropic.com>
 2026-07-29 19:20:12 +08:00