feat(terminal-browser): zenbu-labs/terminal-browser を宣言に入れる (#510)

端末の中で動く実ブラウザ。狙いは閲覧より agent 側で、`terminal-browser action`
が開いているブラウザに対する agent 向け CLI になっている。Claude in Chrome の
拡張を使わず、実ウィンドウも出さずに web を触らせられる。agent の隣にペインで
開き、ssh 越しにも使える — 拡張の経路では両方できない。

上流は `curl -fsSL https://terminal-browser.sh/install | bash` で入れる形で、
$HOME に書き込み `terminal-browser upgrade` で自己更新する。宣言に置く理由は
そこで、版は flake.lock が決める。

同梱 Electron ごと運ぶので展開 307MB。ソースからはビルドせず、配布物の
バイナリをそのまま置くので署名も保たれる。

罠を2つ踏んだ:
- stdenv の unpackPhase が tar の唯一の最上位ディレクトリに自動で降りるので、
  `cp -R terminal-browser` は空振りする。cwd が既にその中
- AppleDouble のサイドカー (._default_app.asar など) が実ファイルとして
  書き出され、署名が封印していないファイルが増えて codesign が落ちる
  (pkgs/keebmouse.nix と同じ)。ここでは実害が明確で、署名の壊れた Electron は
  起動せず --help すら返さない

検証: `codesign -v` が無言 (Developer ID: Robert Pruzan)、`--help` が返る、
system の sw/bin に出る。

Author: gapul

nix/hosts/darwin.nix

@@ -57,6 +57,11 @@ in
     # 経緯)。systemPackages なのは omniwmctl の置き場所のため — /run/current-system/sw/bin という
     # 版にもユーザー名にも依存しない固定パスに出るので、configs 側のスクリプトが直に書ける。
     (pkgs.callPackage ../pkgs/omniwm.nix { })
+    # terminal-browser: 端末の中で動く実ブラウザ。狙いは閲覧より agent 側で、
+    # `terminal-browser action` が開いているブラウザに対する agent 向け CLI になっている。
+    # Claude in Chrome の拡張を使わず、実ウィンドウも出さずに web を触らせられる。
+    # 上流は curl | bash のインストーラで自己更新するので、版を握るために宣言側に置く。
+    (pkgs.callPackage ../pkgs/terminal-browser.nix { })
     # codex: 自前インストーラで ~/.local/bin に入っていたものを宣言に移す。home.packages
     # ではなく systemPackages なのは PATH の順で、/run/current-system/sw/bin が
     # ~/.local/bin より前に来る。profile 側だと手動インストール版が勝ってしまう。

nix/pkgs/terminal-browser.nix

@@ -0,0 +1,59 @@
+# terminal-browser (zenbu-labs): a real browser that runs inside the terminal.
+#
+# The point of it here is the agent side rather than the browsing: `terminal-browser action` is an
+# agent-facing CLI over whatever browsers are open, so an agent gets the web without the Claude in
+# Chrome extension and without a visible Chrome window. It also opens in a split pane beside the
+# agent and works over ssh, which the extension path cannot do.
+#
+# Upstream ships `curl -fsSL https://terminal-browser.sh/install | bash`. That is the thing this
+# package exists to avoid: the installer writes into $HOME and self-updates (`terminal-browser
+# upgrade`), so the version would be whatever the last run left behind. Here it is whatever
+# flake.lock says.
+#
+# The tarball bundles its own Electron, so it is 307MB unpacked and nothing is built from source —
+# the shipped binaries are copied as-is, which also leaves their signatures untouched.
+{
+  lib,
+  stdenvNoCC,
+  fetchurl,
+}:
+stdenvNoCC.mkDerivation (finalAttrs: {
+  pname = "terminal-browser";
+  version = "0.7.5";
+
+  src = fetchurl {
+    url = "https://github.com/zenbu-labs/terminal-browser/releases/download/v${finalAttrs.version}/terminal-browser-darwin-arm64.tar.gz";
+    hash = "sha256-Wnnrf3sl1BhpdfdYR0BAIw0ZnbqsNEXW8exTftrlWuc=";
+  };
+
+  # An Electron bundle: patching anything in it would only break code signatures, and the
+  # shebangs it does have already point at /bin/sh.
+  dontPatchShebangs = true;
+  dontStrip = true;
+
+  installPhase = ''
+    runHook preInstall
+    # stdenv の unpackPhase が tar の唯一の最上位ディレクトリ (terminal-browser/) に自動で
+    # 降りるので、ここでの cwd は既にその中。`cp -R terminal-browser` は空振りする。
+    # 同梱 Electron の署名を守るため、AppleDouble のサイドカーを落としてから運ぶ。
+    # tar が ._default_app.asar のような実ファイルを書き出し、署名が封印していない
+    # ファイルが増えるので `codesign -v` が落ちる (pkgs/keebmouse.nix と同じ罠)。
+    # ここでは実害が分かりやすく、署名が壊れた Electron は起動せず --help すら返さない。
+    find . -name '._*' -delete
+    find . -name '.DS_Store' -delete
+    mkdir -p $out/libexec/terminal-browser $out/bin
+    cp -R . $out/libexec/terminal-browser/
+    # bin/terminal-browser is a /bin/sh wrapper that resolves its own symlink to find the bundle,
+    # so a plain symlink onto PATH is all that is needed — it follows the link back to $out.
+    ln -s $out/libexec/terminal-browser/bin/terminal-browser $out/bin/terminal-browser
+    runHook postInstall
+  '';
+
+  meta = {
+    description = "A real browser that runs inside your terminal";
+    homepage = "https://github.com/zenbu-labs/terminal-browser";
+    license = lib.licenses.mit;
+    platforms = [ "aarch64-darwin" ];
+    mainProgram = "terminal-browser";
+  };
+})