okooooooo/vibe-foreman
1
0 Fork 0
Code Issues Pull Requests Actions Packages Projects Releases Wiki Activity
68 Commits 1 Branch 0 Tags
main
Commit Graph
9 Commits
Author SHA1 Message Date
wuguanganandClaude Opus 5 e3b9153b66 feat: 拦住 AI 把密钥搬出去；README 补 AI 时代的隐私那一节 
## 密钥泄漏闸

把活交给 agent 之后，泄密的形态变了。以前是人手滑，现在是**每一步都很合理的
一串操作**：git add . 顺手把 .env 提了、把真实 token 内联进配置文件当"示例"、
为了确认配置 cat 一下密钥（值就进了 transcript，0644、永久、每轮重发给 API）。

**没有一条能靠「这条命令危不危险」判断出来。** 它们都不危险。唯一可靠的信号是
这次调用的内容里有没有出现真实的密钥值。

所以加了一道闸，默认开：参数里出现库里的真实值 → 拒；git add/commit 会把
.env 一类文件或含真实值的文件带进仓库 → 拒。拒绝理由里写明正确做法
（用 $KEY、先加 .gitignore），否则模型只会换个写法再试一次。

**它跑在 hubctl 本地，不依赖 app 在不在跑。** 仓库其它拦截都是「app 没开就放行」
（一个监控工具不该让你的命令跑不起来），这一条反过来 —— 密钥漏出去不可逆。

几条守住的边界，判宽了比判窄了危险：值短于 8 字符不参与匹配（abc/true/test
会命中一切）；.example/.template/.sample 结尾放行（模板文件本来就该提交，
误拦一次用户就把整个功能关掉了）；只认 EnvRenderer 写出来的格式，不做通用
dotenv 解析；不是 git add/commit 就一个子进程都不起。

拒了之后事件照发给 app（不等应答），进审批日志 —— 一道看不见的闸，
用户第一次被拦时只会觉得 Claude 抽风。开关在密钥页底部，
落成 ~/.vibe-foreman/guard.json，且**只在关掉时才写**：
默认开，「文件不存在 = 开着」，这样没打开过密钥页的人也受保护。

明确写了它挡不住什么：python -c 读、软链、base64 转一道、库外手写的值。
它是一道减少手滑的闸，不是沙箱。

## 截图

主窗口现在也能自动截了：HUB_WINDOW_SECTION 钉住打开哪一页，
配 DemoFixtures.seed 造的假密钥和假账号（刻意编得一眼假 —— 一个像真的
token 混进去，读者会去试）。

两个坑：find-window 按面积取第一个会截到岛（它比主窗口先出现一瞬），
改成按宽度 ≥900 筛；.accessory 的进程从后台 shell 起来抢不到焦点，
而非活跃窗口里的系统控件会被去饱和 —— 截出来开关全是灰的，
正好把要展示的东西说反了，所以截图模式下改用 .regular。

顺带：进密钥页自动选中第一组。有组却什么都不选，右边一大片空白，
那是"还没建组"的样子而不是"有四组等你挑"的样子。

646 个测试全过（原 625）。真 hubctl 二进制端到端验过四种情况：
写入真值被拒、约定的 source 用法放行、git add . 带 .env 被拒、普通命令放行。

Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>
 2026-08-18 10:46:46 +08:00
wuguanganandClaude Opus 5 a9363e43c9 feat: 共用密钥中心 + 项目账号密码库 
两个功能来自同一个痛点，但威胁模型正好相反，这是整个设计的支点。

**共用密钥**：平台密钥（飞书、领星、OpenAI）在十几个项目里要各配一遍，
而最省事的做法——直接粘进聊天框告诉 AI——是最糟的那个。现在按平台建组、
勾给项目，物化成 ~/.vibe-foreman/env/by-project/<项目>-<哈希>.env
（目录 0700、文件 0600），复制路径给 AI。这份数据**故意是明文、故意给 AI 用**。

**账号密码**：本地/测试/线上分开记，只给人看。AES-GCM 加密，
查看和复制过 Touch ID。这份数据**绝不能被任何自动化读到**。

两者不共用存储、不共用目录、不共用界面，并用一条哨兵测试钉死
「密码的值不会出现在给 AI 的那个目录里」。

三个决定了做法的发现：

1. 「让 AI Read 那个文件」会把密钥写进两个明文文件——
   ~/.claude/projects/*.jsonl（0644、永久、每轮重发给 API），
   以及 Hub 自己的验收清单（Evidence.ran 会存命令和输出尾巴，同样不过期）。
   所以「复制给 AI」给的不是裸路径，是带 `set -a; source` 用法和
   「不要用 Read/cat/grep」禁令的三句话。换成 source 之后，
   transcript 里只剩路径和变量名，值一次都不出现。

2. 按项目分文件**是分装不是隔离**——同 uid 下 cat ../别的.env 照样拿得到。
   README 和代码注释都按分装写，不吹成边界。

3. Keychain 的授权弹窗**就是那道防线**。SecItemAdd 不传 kSecAttrAccess 时，
   默认 ACL 只允许创建它的 app 无提示读取，而在「攻击者 = 同 uid 的自动化」
   这个模型下，能区分「Hub 在读」和「security 命令在读」的只有它——
   文件权限做不到（同 uid），Touch ID 也做不到（LAContext 不参与取密钥）。
   为了消弹窗放宽 ACL，等于一条 Bash 就能取走主密钥。

几个不写下来一定会再踩的坑（已进 NOTES.md）：
- .atomic 写换 inode，chmod 必须每次都做，只在创建时设一次从第二次写起就是 0644
- GCM 的 AAD 必须用文件里存下来的那段字节，重新序列化会让历史文件永久打不开
- 「钥匙不对」和「文件坏了」处置完全相反，靠 header 里的 keyID 分辨；
  EncryptedFile.save() 的 guard state.canWrite 是这套区分唯一的落地点
- LAContext 复用才有 reuse duration，每次新建等于每条密码按一次指纹
- 剪贴板定时清空必须比对 changeCount，否则用户复制的别的东西会被莫名清掉
- .env 的引号：shell / node dotenv / python-dotenv 三家的交集只有单引号；
  多行值用字面换行不能用 \n；含单引号的值没有共同解，改写成 _B64 显式降级

617 个测试全过（原 530）。真 bash `set -a; source` 验过含空格、$、反引号、
#、多行 PEM 和含单引号的值。

Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>
 2026-08-17 12:45:20 +08:00
wuguanganandClaude Opus 5 3af92f27cf chore: 仓库改名 vibe-foreman，代码认新旧两个目录名 
仓库 gulugulu-cn/claude-hub → gulugulu-cn/vibe-foreman。
GitHub 自动重定向旧地址，6 个 Release 全部保留。

代码里按 ~/Documents/code/claude-hub 找脚本和 projects.yaml 的地方，
改成新旧两个目录名都试 —— 老用户的工作区还叫旧名，新 clone 的是新名，
少认一个的表现是"从界面开项目时项目配置没被补齐"，而那是静默的。

**Application Support 下的 claude-hub 目录不改名。** 那是用户数据落盘的
地方（验收清单、盯梢配置、已结束会话名册、置顶、审批日志），
改了等于把现有配置全孤立掉。

530 个测试全过。

Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>
 2026-08-14 23:05:03 +08:00
wuguanganandClaude Opus 5 bae4f9af86 feat: 零配置装 hook；改名 Vibe Foreman Free 
## 零配置

装法从三步变两步：拖进应用程序 → 打开。中间那步「双击安装 hook.command」
没有任何用户能做的决定，漏点它的后果却是**静默的** —— app 开着、
界面正常、一条事件都收不到，看起来像"装了但没用"。

HookInstaller 在启动时自己装。四条边界，都有测试钉着：

- 只碰自己的条目：只删命令里含 `hubctl hook` / `hub-hook-` 的（我们的旧版），
  用户手写的 hook 和 permissions / env 等其它键一律原样保留
- 幂等：内容没变一个字节都不写。`.sortedKeys` 是这条的前提 ——
  不排序时 JSON 键序跟着哈希走，"没变就不写"的判断会随机失效
- 坏 JSON 不覆盖：用户可能只是手改时漏了个逗号，覆盖等于删了他的配置
- 失败不阻断启动：hook 没装好的 app 仍能显示会话，起不来的 app 什么都不是

hubctl 每次比内容再决定要不要拷 —— 升级 app 后 hook 还指着旧二进制的话，
协议一变整条链路静默失效。设置页显示状态 + 一键修复。

dmg 里那个 command 文件改名成「手工修复 hook（通常用不到）」，留作兜底。

实测：本机 settings.json 装前装后逐键对比，顶层键无增无减、
permissions 等非 hooks 值全部原样、9 类 hook 各 1 条无重复；
第二次启动 sha256 未变。

## 改名

显示名 Claude Hub → Vibe Foreman Free。

**bundle id、签名证书名、可执行文件名 ClaudeHub 全部不动** ——
换任何一个都会让已授予的 TCC 权限（控制 iTerm 的 Automation、通知）失效，
而 `pgrep -x ClaudeHub` 那条判活约束也依赖可执行名（见 NOTES.md）。
安装时清掉旧名字那份，避免 /Applications 里同时躺着两个共用 bundle id 的 app。

530 个测试全过。

Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>
 2026-08-14 22:27:28 +08:00
wuguanganandClaude Opus 5 bfc4ebaecb fix: 失效项目静默开到家目录；补上删除和"添加任意目录" 
## 根因

tmux 对不存在的 `-c` 目录**返回 0 并悄悄用家目录**，`open /不存在` 则
静默什么都不做。实测：

    tmux new-session -d -s t -c /不存在 ; echo $?   → 0
    pane_current_path                              → /Users/dev

projects.yaml 里 40 条有 6 条指向已删除的目录（agentx-agent 那一批），
于是表现成「Finder / VS Code 全没反应」+「Claude 开到 /Users/dev」——
看起来像刚加的右键菜单坏了，实际是数据坏了。

两个静默回落把数据问题伪装成了功能问题。我连猜三轮代码都没猜中，
最后靠"派发参数落盘 + tmux 实测"定位。

## 改动

- TerminalDispatch.open 派发前查 fileExists(isDirectory:)，不通过就拒绝
- 派发日志写 launch.log（log show 对这个 app 是瞎的，ad-hoc 签名）
- hubprobe launch <项目名> [mode]：走完全相同那条路，把"界面传了哪个项目"
  和"派发本身对不对"分开，这次就是没有它才只能猜
- ProjectStore.missingPaths：失效项目在两个界面上都标出来（岛上尤其必要，
  那里根本不显示路径），菜单只留「从列表移除」——目录没了时每一个"打开"
  类选项都是静默失败，给假的可点项等于把刚修好的问题再造一遍
- ProjectStore.remove / 工具栏「清理失效 N」：只动清单，不碰磁盘
- ProjectStore.addExisting + 「添加目录」：扫描只认 .git，monorepo 子目录和
  没 git init 的目录永远进不来（实机 7 条），这是缺的那个入口

删除是文本手术，不是解析完重写 —— 保住手写的注释/别名/描述。
边界是删到下一个同级列表项或顶层键；只删 name 那行会让剩下的字段被挂到
前一条项目上，删一条弄坏两条且完全静默。11 个测试钉着。

518 个测试全过。

Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>
 2026-08-14 15:58:14 +08:00
wuguanganandClaude Opus 5 5ce8c9893e fix: 重启后开项目弹系统终端；终端关了会话还显示在线 
两个都是「看起来对、其实一直错」的判断。

## 1. iTerm 检测

iTerm2 的包叫 iTerm.app，只有可执行文件叫 iTerm2。旧的 isInstalled 拿
AppleScript 名拼 /Applications/iTerm2.app，永远不存在，detectTerminal()
一路降级到 macOS 终端。

平时看不出来：hub session 通常已存在且有客户端连着，走 addWindow 根本
不碰终端检测。只有开机后第一次建 session 才暴露 —— 所以现象是"重启后"，
其实和重启无关。

改成 bundle id 走 LaunchServices，路径只做兜底且两个候选包名都试。

顺带修 pgrep：macOS 的 pgrep 默认排除自己的祖先进程（要 -a），所以
从 iTerm 里跑的 hubctl/hubprobe 问"iTerm 在跑吗"恒为否。改用
NSRunningApplication（也不会像 AppleScript 那样触发冷启动）。

## 2. detached 会话

关掉终端不结束会话 —— claude 的父进程是 tmux server，关窗口只是 detach。
kill(pid, 0) 依然为真，项目行一直亮着蓝点写"1 个会话"。

不是把它报成已退出（那会掩盖一个还在烧 token 的进程），而是把两半都说：
还在跑，但终端已经关了。空心点 + "1 个会话 · 终端已关"，
会话详情卡的位置标注也加上"（终端已关，仍在后台跑）"。

边界：按 tmux 会话名判而不是"有没有任何客户端"；绑不到 pane 的不算
detached —— 那是根本不在 tmux 里，判断不了的事不能当结论下。

14 个新测试，482 个全过。

Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>
 2026-08-14 13:47:06 +08:00
wuguanganandClaude Opus 5 f0f6cd7454 feat: 验收守望 —— 独立于 Claude 自述的需求清单 
Claude 会把用户需求翻译成自己的 TodoWrite，翻译那一步就已经丢东西了：
「修复 apple-header sticky」是施工步骤，不是原始需求里的功能要点。
再拿它自己的 todo 去验收，等于让它自己判自己的卷子。

清单挂在项目上跨会话累积，基线取自用户原话和用户批准过的计划。

几个刻意的设计：

- Evidence 在类型层面就分开 claimed / diff / ran。全塞进 [String] 等于在
  数据结构上承认「它说改了」和「它真改了」是一回事，而这正是要解决的问题。
  汇报条的「已证」只数 isProof 的，想把自述渲染成已验证得先改类型。

- 拦截的「上膛」只有 UserPromptSubmit 能做，Stop 拦过立即卸膛。Claude
  没有任何路径能给自己上膛，所以「拦一次 → 它回一轮 → 又拦」这个死循环
  是构造不出来的，不是被 if 挡住的。

- applyAudit 跳过用户终裁过的项。勾了「接受」一转身被机器打回 disputed，
  那个勾就白点了。

- extract 区分「失败」(nil) 和「没有新要点」([])。混在一起的话模型抽风
  一次就会清掉原话缓冲，而那是这个功能唯一的基线来源。

hook 从 5 类补到 9 类。PostToolUse 是最大的收获：Write/Edit 之后 Hub
第一手知道哪个文件被改了，不用回头问 Claude——问这个问题本身就给了
转述失真的机会。

实测确认（都不是推断）：
- hubctl hook userprompt 的 stdout 是 0 字节。这条必须验，因为
  UserPromptSubmit 的 stdout 会被当成附加 context 注入进对话。
- 项目级和全局 hook：命令字符串相同时 Claude Code 自己去重，不同才叠加。
  第一次实验用了两条不同命令，据此普遍化成「一定会重复」是错的。
  HookDedup 保留为深度防御（路径不一致时才真用得上），不是必需品。
- 真实拆解链路 20 秒出结果，正确忽略了缓冲里的闲聊、正确去重了已有条目。

ensure-project-config.sh 接了三个调用点。其中 TerminalDispatch.open() 是
关键：app 从岛/主窗口启动项目完全不经过 project-menu.sh，漏了那里等于
最常用的入口一个都没检查。

326 个测试。上膛、自述不算证明、外部编辑不被覆盖三条做过变异验证。

Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>
 2026-08-07 17:50:25 +08:00
Eric.wuwuguanganClaude Fable 5
 		078f6f5e46 feat: 岛上作答交互卡 + 项目置顶/排序 + 建仓与克隆 (#6) 
## 岛上能直接作答 Claude 的交互请求

AskUserQuestion / ExitPlanMode 的 tool_input 里没有 command/path，
RiskClassifier 提不出 summary，风险判定为 normal 直接放行 ——
岛上从来不弹任何东西。这是这次要修的核心 bug。

现在按 toolName 在风险判定**之前**分流，岛上弹可作答的卡：

- 选择题：单题单选点选即答；多题表单逐题作答，多选勾完提交，
  最后合成一条回传。答案借 deny 的 reason 送回模型（PreToolUse
  没有「替用户作答」的通道，这是唯一的口子）。
- 计划审批：显式 allow 压不掉 plan 状态机自己的确认框（实测
  2.1.220），所以「批准」= 放行后替用户在终端框里按 1/2，带重试
  等对话框渲染出来；驳回走 hook deny 有效。
- 进入计划模式（EnterPlanMode）同样接管。
- 终端权限框（"Do you want to..."）走 Notification hook 弹卡，
  允许=注入 1、拒绝=Esc，复用 TerminalReply 的全套护栏。

超时方向和审批卡**相反**：审批超时必须 deny（唯一的安全刹车），
交互卡超时 allow（不输出决策 = 交还终端原生对话框，用户零损失）。
这条镜像关系有专门的测试钉住。

## 项目列表

- 置顶：岛和主窗口菜单里都能置顶，落盘 pinned.json。
- 排序统一成 置顶 > 正在开发 > 最近提交 > 名字。GitInfo 加
  lastCommitAt（38 个仓库合计约 300ms，后台队列）—— 三十多个项目
  按 yaml 顺序排，找一个要翻半屏。
- 岛上无会话的行点击弹启动菜单，不再直接起 claude（误触成本太高）。
  用原生 NSMenu：SwiftUI Menu 的两种整行方案都翻过车（label 被
  压扁 / 透明盖层收不到点击）。

## 建仓与克隆

- scripts/new-project.sh：目录 + git + GitHub 远程 + 防污染
  settings.json + 注册 projects.yaml，一条命令。app、/new-project
  skill、命令行三个入口共用同一份逻辑。
- scripts/clone-project.sh + 克隆表单：列出账号可见的全部仓库
  （含组织仓，之前 gh repo list 只列个人仓），按 owner 分组筛选，
  多账号可切换（gh 只用活跃账号的凭据，不切就拉不了另一个账号的
  私有仓）。列表按账号分开缓存 + 后台静默刷新。
- 防污染 deny 刻意**不禁** ~/.claude/plans/：plan mode 的计划文件
  写在那里，禁了所有 plan 会话都会报 Error writing file（真踩过）。

## 顺带修掉

add-project.sh 最后一行是 `[ ${#ALIASES[@]} -gt 0 ] && echo ...`，
没有别名时测试为假，整个脚本退出码变成 1 —— 明明写进去了，调用方
却报「注册 projects.yaml 失败」。改成显式 exit 0。

Co-authored-by: wuguangan <anjaihd0206@gmail.com>
Co-authored-by: Claude Fable 5 <noreply@anthropic.com>
 2026-08-04 17:19:39 +08:00
Eric.wuwuguanganClaude Opus 5
 		b6d90cac2b feat: 重写为原生 Swift 灵动岛，修掉通知跳转与主窗口数据链路 (#4) 
删掉 Tauri 版（app/），全部重写为 SwiftUI + SwiftPM（HubKit/，8.2k 行源码 +
2k 行测试，131 个测试）。核心动机是旧版"点通知跳不到对应终端"——
根因是身份链路全程用会漂移的字符串：项目名 → tmux 窗口名 → pane_title →
AppleScript 子串匹配。实测 9 个 tmux 窗口只有 2 个能和 projects.yaml 对上，
其中一个窗口名是 `2.1.173`（tmux automatic-rename 把它改成了 claude 的版本号）。

主要变化
- 会话状态直接读 ~/.claude/sessions/<PID>.json（Claude Code 自己维护的权威源），
  不再用 spinner 字符猜 busy；死进程的残留 json 用 kill(pid,0) 过滤
- 跳转改用 iTerm jobPid + 进程祖先链求交，全程只有整数 PID 和 UUID；
  bg 会话不在任何终端里，单独用稳定 job 名兜底。实测 9/9 绑定成功
- hook 从 bash 换成 Swift 的 hubctl，走 Unix socket；Hook 没运行时立即放行
- 高风险操作在岛上审批，六重防误点；拒绝是超时和异常的默认值
- 主窗口：会话 / 项目 / 用量 / 审批日志 / 设置

修掉的真实缺陷（详见 HubKit/NOTES.md）
- 超时阶梯是反的：ApprovalCoordinator 和 hubctl 读超时都是 60s，同时到期时
  hubctl 按 fail-open 放行了一条已被服务端判定拒绝的 git push --force origin main。
  改成 60/65/75/90 严格递增，并区分「连不上」（放行）与「连上但没应答」（拒绝）
- 点击全部被吞：app 是 .accessory + panel 是 .nonactivatingPanel，
  NSHostingView.acceptsFirstMouse 默认 false，每次点击都算 first mouse 被丢弃
- hitTest 假设 NSHostingView 恒为 flipped，而 isFlipped 是 final 的可读写属性
- 形态切换靠替换 rootView，导致动画不可能发生且 @State 每次归零
- 全局 leftMouseDown 监听会收到点在自己身上的点击，展开态一点就收起
- hook 进程死后审批卡不消失，且会挡住后面的请求（按 clientPid 扫描清理）
- app 读的 projects.yaml 不是脚本维护的那份，且那份被写坏成
  `projects: []` + 117 条内容，解析器静默返回 0 —— 三个页面因此全空
- 用量对 945MB/341 个 jsonl 整份读进内存，跑不完；改流式 + 增量缓存后
  7 天首扫 3.6s、命中缓存 0.22s、全量 4s
- 辅助二进制放 Contents/MacOS/ 且共用 bundle id 会被 exec 瞬间 SIGKILL
- 同一 bundle id 对应多个 .app 让存活判断和 TCC 授权互相打架

刻意的取舍
- 放弃 Liquid Glass 做岛的基底：它会跟着背景亮度双向补偿，而刘海恒为纯黑，
  两者物理上互斥。改用固定 86% 暗色基底 + 背景模糊 + 边缘高光
- 用 SwiftPM + 打包脚本而不是 .xcodeproj：手写 xcodeproj 的 XML 无法 review，
  且 SwiftPM 保住了 swift test

Co-authored-by: wuguangan <anjaihd0206@gmail.com>
Co-authored-by: Claude Opus 5 (1M context) <noreply@anthropic.com>
 2026-07-29 19:20:12 +08:00