feat(hook): AskUserQuestion→Hub-brug — vraag naar iOS, antwoord native terug #179

Merged

janpeter merged 17 commits from claude/askuserquestion-ios-approval-c76040 into main 2026-08-19 17:42:33 +02:00

Conversation 1 Commits 17 Files changed 8 +2592 -2

janpeter commented 2026-08-19 17:36:52 +02:00

Owner

Copy link

Brengt Claude Code's ingebouwde AskUserQuestion naar de iOS-hub: een PreToolUse-hook duwt een enkelvoudige, niet-multiSelect vraag door de bestaande CUSTOM-intake (M34) en geeft het antwoord van de telefoon native terug via permissionDecision: "allow" + updatedInput.answers. JP's vrije toelichting uit het detailscherm komt mee als additionalContext. Elk ander pad — timeout, expiry, ongeldige handtekening, gefilterde vorm, payload-gate — is fail-open: geen stdout, exit 0, de terminal-UI verschijnt gewoon.

Wijzigingsoppervlak

Nieuw	scripts/hooks/hub-askuserquestion-hook.mjs (zero-dep), twee testbestanden, docs/runbooks/hub-askuserquestion-hook.md
Gewijzigd aan bestaande code	één trefwoord: export op numberedBody (lib/hub/notification-deliverer-server.ts:23) zodat de drift-test de echte bouwer kan aanroepen

scripts/hooks/hub-permission-hook.mjs blijft byte-voor-byte onaangeraakt (lopende refactor).

Waarom de payload-gate een spiegel is

fitPayload stript knoppen stil boven 3800 bytes: de melding komt dan aan zonder de opties die de gebruiker moet kiezen. Een raw-byte- of UTF-16-budget sneuvelde twee reviewronden op JSON-escaping en op eenheden (Zod telt UTF-16-eenheden, truncateCodePoints telt code points). De hook meet daarom exact wat APNs meet — Buffer.byteLength(JSON.stringify(candidate)) <= 3800 — op een nagebouwde payload die beide deliverer-takken volgt (≤4 labels → HUB_CHOICE_n met options; 5–8 → APPROVAL_INFO). Een node-environment drift-test vergelijkt die spiegel byte-voor-byte met de echte apns-server-bouwer over een 7-gevallenmatrix; loopt de server weg, dan faalt de test.

Reviewsporen

• Spec docs/superpowers/specs/2026-08-19-askuserquestion-hub-brug-design.md — dubbel-GO in ronde 4 (mac:claude + mac:codex).
• Plan docs/superpowers/plans/2026-08-19-askuserquestion-hub-brug.md — dubbel-GO in ronde 2. 5 TDD-taken, per taak npm run verify.
• Ronde 1 dwong de architectuur om: de aanname "hooks kunnen AskUserQuestion niet beantwoorden" was fout — de hooks-reference documenteert answers-injectie via updatedInput. De hele deny-met-reden-opzet is weggegooid.
• Securityreview apart (IDEA-150-conventie), ná de bouw. mac:codex weigerde op zijn security-hardstop (NO-GO, geen inhoudelijk oordeel). mac:claude: GO — 0 BLOCKER / 0 MAJOR / 4 MINOR, alle vier nagetrokken tegen de boom en verwerkt in f7c8a7c: de note kan het citaat niet meer sluiten (» → >>), projectOptions begrenst de description mét zichtbare afkapmarkering, en het runbook documenteert nu de volledige datastroom (Apple krijgt de titel inclusief hostnaam; de hub-DB daarbovenop cwd, session_id, de volledige vraag en de descriptions) plus dat knop-antwoorden label-only is.

Verificatie

• npm run verify groen — 2092 tests.
• npm run docs groen (INDEX geregenereerd, alle links geldig).
• Draaiend bewijs, als proces: het script via stdin/stdout tegen een loopback-neptaub met echte HMAC-ondertekening → allow + answers + additionalContext, preview gestript uit de intake-context; alle fail-open-paden exit 0 zonder stdout. Beide security-fixes opnieuw als proces bewezen na f7c8a7c.

Wat hierna nog moet (niet in deze PR)

1. Per-host registratie volgens het runbook. De rooktest is een harde activeringsvoorwaarde — de allow+updatedInput-vorm is versie-afhankelijk gedrag van Claude Code; faalt hij, dan blijft HUB_ASK_WAIT_SECONDS=0 staan.
2. E2E-gate mét JP (toestel/Watch-attestatie).

Drie securitypunten bewust NIET in deze PR (ter beslissing)

• userNoteReason in hub-permission-hook.mjs heeft dezelfde citaat-eigenschap — dat bestand moest onaangeraakt blijven.
• Een harde cap op context in het intake-Zod-schema (app/api/hub/approvals/intake/route.ts:14) zou óók toekomstige intake-bronnen dekken, maar raakt bestaande server-code.
• isSecureHubUrl staat plain http op loopback toe — bestaande vlootafspraak, wordt pas scherp op een host met meerdere gebruikers.

Brengt Claude Code's ingebouwde `AskUserQuestion` naar de iOS-hub: een PreToolUse-hook duwt een enkelvoudige, niet-multiSelect vraag door de bestaande `CUSTOM`-intake (M34) en geeft het antwoord van de telefoon **native** terug via `permissionDecision: "allow"` + `updatedInput.answers`. JP's vrije toelichting uit het detailscherm komt mee als `additionalContext`. Elk ander pad — timeout, expiry, ongeldige handtekening, gefilterde vorm, payload-gate — is fail-open: geen stdout, exit 0, de terminal-UI verschijnt gewoon. ## Wijzigingsoppervlak | | | |---|---| | Nieuw | `scripts/hooks/hub-askuserquestion-hook.mjs` (zero-dep), twee testbestanden, `docs/runbooks/hub-askuserquestion-hook.md` | | Gewijzigd aan bestaande code | **één trefwoord**: `export` op `numberedBody` (`lib/hub/notification-deliverer-server.ts:23`) zodat de drift-test de echte bouwer kan aanroepen | `scripts/hooks/hub-permission-hook.mjs` blijft byte-voor-byte onaangeraakt (lopende refactor). ## Waarom de payload-gate een spiegel is `fitPayload` **stript knoppen stil** boven 3800 bytes: de melding komt dan aan zonder de opties die de gebruiker moet kiezen. Een raw-byte- of UTF-16-budget sneuvelde twee reviewronden op JSON-escaping en op eenheden (Zod telt UTF-16-eenheden, `truncateCodePoints` telt code points). De hook meet daarom exact wat APNs meet — `Buffer.byteLength(JSON.stringify(candidate)) <= 3800` — op een nagebouwde payload die beide deliverer-takken volgt (≤4 labels → `HUB_CHOICE_n` met `options`; 5–8 → `APPROVAL_INFO`). Een node-environment drift-test vergelijkt die spiegel byte-voor-byte met de **echte** `apns-server`-bouwer over een 7-gevallenmatrix; loopt de server weg, dan faalt de test. ## Reviewsporen - Spec `docs/superpowers/specs/2026-08-19-askuserquestion-hub-brug-design.md` — **dubbel-GO in ronde 4** (mac:claude + mac:codex). - Plan `docs/superpowers/plans/2026-08-19-askuserquestion-hub-brug.md` — **dubbel-GO in ronde 2**. 5 TDD-taken, per taak `npm run verify`. - Ronde 1 dwong de architectuur om: de aanname "hooks kunnen `AskUserQuestion` niet beantwoorden" was fout — de hooks-reference documenteert `answers`-injectie via `updatedInput`. De hele deny-met-reden-opzet is weggegooid. - **Securityreview apart (IDEA-150-conventie), ná de bouw.** `mac:codex` weigerde op zijn security-hardstop (NO-GO, geen inhoudelijk oordeel). `mac:claude`: **GO — 0 BLOCKER / 0 MAJOR / 4 MINOR**, alle vier nagetrokken tegen de boom en verwerkt in `f7c8a7c`: de note kan het citaat niet meer sluiten (`»` → `>>`), `projectOptions` begrenst de `description` mét zichtbare afkapmarkering, en het runbook documenteert nu de volledige datastroom (Apple krijgt de titel **inclusief hostnaam**; de hub-DB daarbovenop `cwd`, `session_id`, de volledige vraag en de descriptions) plus dat knop-antwoorden label-only is. ## Verificatie - `npm run verify` groen — 2092 tests. - `npm run docs` groen (INDEX geregenereerd, alle links geldig). - **Draaiend bewijs, als proces**: het script via stdin/stdout tegen een loopback-neptaub met echte HMAC-ondertekening → `allow` + `answers` + `additionalContext`, `preview` gestript uit de intake-context; alle fail-open-paden exit 0 zonder stdout. Beide security-fixes opnieuw als proces bewezen na `f7c8a7c`. ## Wat hierna nog moet (niet in deze PR) 1. Per-host registratie volgens het runbook. **De rooktest is een harde activeringsvoorwaarde** — de `allow`+`updatedInput`-vorm is versie-afhankelijk gedrag van Claude Code; faalt hij, dan blijft `HUB_ASK_WAIT_SECONDS=0` staan. 2. E2E-gate mét JP (toestel/Watch-attestatie). ## Drie securitypunten bewust NIET in deze PR (ter beslissing) - `userNoteReason` in `hub-permission-hook.mjs` heeft dezelfde citaat-eigenschap — dat bestand moest onaangeraakt blijven. - Een harde cap op `context` in het intake-Zod-schema (`app/api/hub/approvals/intake/route.ts:14`) zou óók toekomstige intake-bronnen dekken, maar raakt bestaande server-code. - `isSecureHubUrl` staat plain `http` op loopback toe — bestaande vlootafspraak, wordt pas scherp op een host met meerdere gebruikers.

janpeter added 16 commits 2026-08-19 17:36:52 +02:00

docs(spec): AskUserQuestion→Hub-brug ontwerp (PreToolUse deny-als-antwoordkanaal op CUSTOM-intake) ... 399c46aa55

Co-Authored-By: Claude Fable 5 <noreply@anthropic.com>

docs(spec): review-record-skelet voor de AskUserQuestion-hub-brug-loop ... 5df7736ea1

Co-Authored-By: Claude Fable 5 <noreply@anthropic.com>

docs(spec): r2 na ronde 1 — native allow+updatedInput.answers i.p.v. deny-kanaal, payload-budget, alle ronde-1-findings verwerkt ... ea69582572

Co-Authored-By: Claude Fable 5 <noreply@anthropic.com>

docs(spec): r3 na ronde 2 — exacte payload-gate (JSON-bytemeting + spiegeltest) i.p.v. raw-byte-budget, Zod-eenheden voor titel/label-caps, answers-sleutel vastgepind ... 43e6b9f493

Co-Authored-By: Claude Fable 5 <noreply@anthropic.com>

docs(spec): r4 na ronde 3 — numberedBody-export voor de drift-test, lijst-bewust body-budget, echte-bouwer-asserts, vormfilter-completering ... 892fb3259c

Co-Authored-By: Claude Fable 5 <noreply@anthropic.com>

docs(spec): r5 — spec-fase DUBBEL GO in ronde 4; vier GO-verenigbare MINORs verwerkt (vraaglengte-bovengrens, §6.5-restzinnen, expliciete mockset, body-budget in §4/§9) ... d58acf6247

Co-Authored-By: Claude Fable 5 <noreply@anthropic.com>

docs(plan): implementatieplan AskUserQuestion-hub-brug — 5 TDD-taken (vormfilter, payload-spiegel+drift-test, antwoordcontract, run()-orchestrator, runbook) ... 723bfd7b44

Co-Authored-By: Claude Fable 5 <noreply@anthropic.com>

docs(plan): r2 na ronde 1 — context-projectie zonder preview, spiegel volgt beide deliverer-takken, verify per task, docs-index-stap, testfixes ... b8c9860167

Co-Authored-By: Claude Fable 5 <noreply@anthropic.com>

docs(plan): r3 — plan-fase DUBBEL GO in ronde 2; drie GO-verenigbare test-MINORs verwerkt (afkap-tak-proef, binaire ongelijkheids-assert, wait-tak-fail-open) ... da5d184b2f

Co-Authored-By: Claude Fable 5 <noreply@anthropic.com>

feat(hook): AskUserQuestion-brug — vormfilter, lijst-bewust body-budget en titelbouw (spec §6.2/§6.3) 70f40c874e

feat(hook): exacte payload-gate met drift-bewaakte spiegel van buildApprovalPayload+numberedBody (spec §6.2) 6ec573ed88

feat(hook): native antwoordcontract — allow+updatedInput.answers, note via additionalContext (spec §6.4/§6.5) a8d0bd9b75

feat(hook): run()-orchestrator — gates, CUSTOM-intake, ondertekende wait en fail-open main (spec §6.1/§6.4) 62a1bed3b0

docs(runbook): uitrol + rooktest voor de AskUserQuestion-hub-brug 6c8f8dc342

docs(plan): r4 — voorbeeldlink in het runbook-fragment als code-span (docs:check-links scant fenced blokken) 9fb2230487

fix(hook): vier MINORs uit de securityreview — note kan het citaat niet meer sluiten, description begrensd, datastroom volledig gedocumenteerd f7c8a7c8dc

janpeter added 1 commit 2026-08-19 17:40:35 +02:00

Merge branch 'main' into claude/askuserquestion-ios-approval-c76040 ... a4c9c1cd46

Enige conflict was docs/INDEX.md — gegenereerd bestand, opgelost door
`npm run docs` opnieuw te draaien (223 docs, alle links geldig).
Shared-submodule volgt main (c63f0bd, issue-tracker-bump).

npm run verify groen op het samengevoegde geheel: 272 bestanden / 2197 tests.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

s4m-codex-reviewer approved these changes 2026-08-19 17:41:23 +02:00

s4m-codex-reviewer left a comment

Copy link

Verdict: APPROVED

Geen gekoppeld plan gevonden — beoordeeld op codekwaliteit + product-standaarden.

Findings

Geen blokkerende of niet-blokkerende findings.

Beoordeling

De nieuwe scripts/hooks/hub-askuserquestion-hook.mjs volgt de bestaande hub-hook patronen: ontbrekende/onveilige configuratie faalt stil naar terminal-fallback, het hub-besluit wordt pas gebruikt na HMAC-verificatie, en de APNs-payload wordt vooraf byte-begroot met drift-tests tegen de serverbouwer. De kleine export van numberedBody is beperkt en testgericht. Tests dekken vormfiltering, truncatie/budgettering, answer-output, signed/unsigned hub-responses, context-projectie en payload-spiegeling. De nieuwe runbook documenteert registratie, env, rooktest, dataflow en scopegrenzen.

# Verdict: APPROVED Geen gekoppeld plan gevonden — beoordeeld op codekwaliteit + product-standaarden. ## Findings Geen blokkerende of niet-blokkerende findings. ## Beoordeling De nieuwe `scripts/hooks/hub-askuserquestion-hook.mjs` volgt de bestaande hub-hook patronen: ontbrekende/onveilige configuratie faalt stil naar terminal-fallback, het hub-besluit wordt pas gebruikt na HMAC-verificatie, en de APNs-payload wordt vooraf byte-begroot met drift-tests tegen de serverbouwer. De kleine export van `numberedBody` is beperkt en testgericht. Tests dekken vormfiltering, truncatie/budgettering, answer-output, signed/unsigned hub-responses, context-projectie en payload-spiegeling. De nieuwe runbook documenteert registratie, env, rooktest, dataflow en scopegrenzen.

janpeter merged commit 5b24ae6672 into main 2026-08-19 17:42:33 +02:00

janpeter referenced this pull request from a commit 2026-08-19 17:42:34 +02:00

Merge pull request 'feat(hook): AskUserQuestion→Hub-brug — vraag naar iOS, antwoord native terug' (#179) from claude/askuserquestion-ios-approval-c76040 into main

Sign in to join this conversation.

Reviewers

No reviewers

s4m-codex-reviewer

Labels

Clear labels

No items

No labels

Milestone

Clear milestone

No items

No milestone

Projects

Clear projects

No items

No project

Assignees

Clear assignees

No assignees

2 participants

Notifications

Subscribe

Due date

The due date is invalid or out of range. Please use the format "yyyy-mm-dd".

No due date set.

Dependencies

No dependencies set.

Reference

janpeter/Scrum4Me!179

No description provided.