fix: bound long-session memory, recover from stuck states, cap language servers

[filipeforattini]

Três problemas relatados em uso real, com a mesma raiz: nada tinha teto. Memória que só cresce, esperas sem prazo, e processos que ninguém conta.

Parte 1 — sessão longa consome vários GB e morre por OOM

Sessão de ~2h num monorepo Rust+TS, contexto do modelo em 53k tokens (4%), processo morto pelo OOM killer (exit 137).

• Diff de turno com contexto infinito. Snapshot.diffFull gerava o patch com context: MAX_SAFE_INTEGER, então uma linha alterada num arquivo de 1 MB virava patch de 1 MB. Medido: 2,2 MB de patch para uma linha. Esse patch é gravado na mensagem, no SQLite e enviado a todos os clientes, a cada turno. Acima do guard de 2 MB que já existia, agora usa contexto de hunk normal.
• summarize rodando a cada passo do modelo, não por turno. Cada execução reidratava a sessão inteira e refazia o diff, sem serialização, então várias cópias completas ficavam residentes juntas. Agora colapsa em uma execução em voo mais uma de acompanhamento.
• Diagnósticos do LSP inteiros no metadata de cada edição. Era todo arquivo que qualquer language server já abriu, clonado, persistido e enviado a cada cliente. Agora vai só o que a ferramenta tocou, que é o que todo leitor consulta.
• A TUI espelhava toda mensagem de toda sessão que gerasse evento, subagentes incluídos, pela vida do processo, e nada lia isso. Agora só espelha depois que alguém pede as mensagens da sessão.

Parte 2 — travar sem mensagem, sem cura automática

redcode e até redcode -v travando sem saída e sem erro.

• RPC do worker engolia falhas. Um handler que lança não respondia nada e o chamador esperava para sempre, e o worker tinha handlers vazios para exceção não tratada. Agora erro vira quadro de erro, o cliente rejeita, e um worker que morre ou não carrega rejeita tudo que está pendente. É a correção de maior alavancagem: transforma quase todo congelamento em erro visível.
• Lock de processo morto. Só era considerado obsoleto após 60 s de heartbeat. Agora, se o dono registrado é um pid desta máquina que não existe mais, o lock é tomado na hora.
• mkdir de topo em global.ts roda antes do argv ser lido, então um home num mount parado travava até o --version. Agora diz qual caminho está preso e segue.
• bin/redcode chamava ldd sem timeout no Linux, enquanto as sondas de macOS e Windows ao lado já eram limitadas. É a causa mais provável do -v travado no WSL.
• stdin não-TTY lido até EOF bloqueava o primeiro frame quando o pai entrega um pipe que ninguém fecha.
• git no boot da instância sem prazo. Um helper de credencial parado segurava o startup inteiro.
• npm reify segurava um lock entre processos durante uma instalação de rede sem prazo, e o heartbeat continuava ativo, então o breaker de obsolescência nunca disparava: um processo travado ali parecia vivo e fazia todos os outros esperarem o timeout inteiro. Agora falha por prazo.

Parte 3 — processos e estado sem teto

• Nada limitava a quantidade de language servers. Roots são resolvidos por arquivo, e eslint, oxlint e biome tratam config local de pacote como root, então um monorepo subia um servidor por pacote, cada um com centenas de MB, e rust-analyzer muito mais. Agora, acima do teto, o menos usado é desligado e volta sob demanda. REDCODE_LSP_MAX_CLIENTS ajusta, padrão 8.
• O LSP guardava o texto de todo arquivo aberto para sempre. Agora fecha documentos acima do teto por cliente. REDCODE_LSP_OPEN_FILE_LIMIT ajusta, padrão 200.

Parte 4 — trim da mensagem digitada

O editor mantinha o espaço em branco ao redor da mensagem, e ele ia junto: uma quebra de linha do shift+enter, indentação de uma edição abandonada. Entrada só de espaço era enviada como mensagem vazia. Agora o guard e o texto enviado passam pelo mesmo helper, então não podem divergir.

Verificação

Todo teste novo foi verificado em vermelho antes do verde:

• patch de arquivo grande: 2,2 MB sem o fix, abaixo de 4 KB com;
• coalescência do summarize: pegou um bug real na primeira versão, uma chave presa após interrupção;
• lock de dono morto: 20 s e falha sem o fix, imediato com;
• RPC: handler que lança, método desconhecido e morte do worker, todos rejeitando;
• despejo de documentos e teto de clientes do LSP: 3 clientes sem o fix, 2 com;
• trim da mensagem.

bun typecheck (turbo, 31 pacotes) verde. Suítes de core (1143), lsp, util, project, session, tool, snapshot e prompt verdes.

Falhas locais que reproduzem igual no main limpo, não relacionadas: teste de permissão do write nesta máquina com umask 0002, acp lifecycle stdin EOF, e timeouts de prompt/compaction sob carga (load average 7 aqui; passam isolados).

Não incluído

Levantado com evidência, mas fora deste PR: o keyspace por sessão em sync.tsx nunca libera sessões antigas, e cada card de subagente renderizado puxa 100 mensagens; e a fila SSE em handlers/event.ts é ilimitada, enquanto a outra implementação do repo usa allBounded(256).

https://claude.ai/code/session_011zK7bzkqqTFRHCLD8xk4xY