captive-stack-detector 0.8.3 → 0.8.4

checksums.yaml

@@ -1,7 +1,7 @@
 ---
 SHA256:
-  metadata.gz: 272eb63b46430d6bf1d609c667e0e6c33a8a103120b0e7d12942989d196c34a8
-  data.tar.gz: fdcbd149dd558c16d126f7378a88f7318224a6f19e0561c9949765b8266f3ff6
+  metadata.gz: 9b3af49e63482068e44d5c1b1064695ac49eadd05c1a63447e29cfe57423492b
+  data.tar.gz: ef69968ebaec94b711a248afe56dad7bfcbc0b8fca3f349683810375d3929ff9
 SHA512:
-  metadata.gz: 55c86da390fd33c90773cdb0a920cfa867f2182dc8c992fc971f76b7fdcee68c4f33f686eff186130d500db2af48a61c954975067775c436e6711df45c464f32
-  data.tar.gz: 5ef3670152f0c1807d8eb479ff931b5992657728cb09f73d85f464164fe491b489fc4f504c180d384b2d7dc48b6889c03fdedab1cc1f85672edaf78edd9196c0
+  metadata.gz: 88acfedc7245af2d7526bc4416159d137f4b0fdd3649f883a7cc8d8f41af9bef4ef32f8c26c67921314d86b8d7b47437cd1bb01b1459a0cfa52e341b47e4840c
+  data.tar.gz: f9d7277815801c5e0e0b769dc68d0b884d911d88044318700b4af975957f31bbd4e43eda31c7089f55ebdbf4f3ef948e877a96bf4e5b8cbc0a48c75550abba10

data/docs/stacks.md

@@ -69,6 +69,30 @@ Pour Astro, utilisez l'adaptateur `@astrojs/node` en mode `standalone`, avec `ou
 - Une ligne `worker: <commande>` dans un `Procfile` lance un worker.
 
 
+### Variables à renseigner
+
+La détection Node recherche les lectures à clé littérale `process.env.MA_CLE`,
+`process.env["MA_CLE"]`, `import.meta.env.MA_CLE` et `import.meta.env["MA_CLE"]`
+dans les sources JavaScript, TypeScript, JSX, TSX, Astro, Vue et Svelte, y compris les
+fichiers de configuration à la racine. Les imports nommés de `astro:env/client` et
+`astro:env/server` sont également reconnus.
+
+Les modèles `.env.example`, `.env.sample` et `.env.template` à la racine déclarent aussi
+des noms de variables à renseigner. **Leurs valeurs ne sont jamais reprises** : chaque nom
+est signalé avec la valeur `placeholder`. Les fichiers `.env`, `.env.local` et les autres
+fichiers d'environnement réels ne sont pas lus.
+
+Les commentaires, chaînes d'exemple, dépendances, sorties de build, scripts d'outillage
+(`scripts/`, `bin/`), documentation, exemples, tests, stories et
+déclarations TypeScript sont ignorés. Les constantes intégrées de Vite et les variables
+`NODE_ENV`, `NODE_OPTIONS`, `HOST` et `PORT` ne sont pas demandées. Une lecture avec une
+valeur de repli littérale (`?? "local"`, `|| "local"`, nombre ou booléen) est facultative ;
+une lecture sans repli ailleurs, ou sa déclaration dans un modèle, demande toujours la clé.
+
+L'analyse est statique : les clés calculées, la déstructuration et les appels indirects
+(comme `getSecret(nom)`) ne sont pas déduits. Déclarez ces clés dans un modèle si nécessaire.
+La même analyse est utilisée sur les dépôts locaux et GitHub.
+
 ### Variables exposées au navigateur
 
 Une variable n'arrive dans le code du navigateur que si elle porte le préfixe de votre bundler. Captive le déduit de vos dépendances :
@@ -77,6 +101,7 @@ Une variable n'arrive dans le code du navigateur que si elle porte le préfixe d
 | --- | --- |
 | `expo` | `EXPO_PUBLIC_` |
 | `next` | `NEXT_PUBLIC_` |
+| `astro` | `PUBLIC_` |
 | `vite` | `VITE_` |
 
 Si plusieurs sont présentes, c'est le premier de la liste qui l'emporte (`vite` est souvent là pour les tests seulement).

data/lib/captive_stack_detector/env_template_scanner.rb

@@ -0,0 +1,10 @@
+# frozen_string_literal: true
+
+module CaptiveStackDetector
+  # Les modèles déclarent des noms ; leurs valeurs d'exemple ne sont jamais importées.
+  module EnvTemplateScanner
+    def self.scan(content)
+      content.scan(/^\s*(?:export\s+)?([A-Z_][A-Z0-9_]*)\s*=/).flatten.to_h { |key| [ key, "placeholder" ] }
+    end
+  end
+end

data/lib/captive_stack_detector/file_reader.rb

@@ -30,7 +30,7 @@ module CaptiveStackDetector
     end
 
     def list(dir)
-      Dir.glob("#{dir}/**/*", base: @path).select { |entry| File.file?(File.join(@path, entry)) }.sort
+      Dir.glob("#{dir}/**/*", File::FNM_DOTMATCH, base: @path).select { |entry| File.file?(File.join(@path, entry)) }.sort
     end
   end
 

data/lib/captive_stack_detector/github_tree.rb

@@ -9,7 +9,7 @@ module CaptiveStackDetector
     end
 
     def files_in(dir)
-      prefix = "#{dir}/"
+      prefix = dir == "." ? "" : "#{dir}/"
       @entries.filter_map { |entry| entry["path"] if entry["type"] == "blob" && entry["path"].start_with?(prefix) }
     end
   end

data/lib/captive_stack_detector/js_env_detector.rb

@@ -0,0 +1,21 @@
+# frozen_string_literal: true
+
+require_relative "js_env_files"
+
+module CaptiveStackDetector
+  # Ne lit que les sources et les modèles d'environnement, jamais les secrets .env.
+  class JsEnvDetector
+    def initialize(reader)
+      @reader = reader
+    end
+
+    def detect
+      vars = @reader.list(".").sort.each_with_object({}) do |entry, found|
+        path = entry.delete_prefix("./")
+        parser = JsEnvFiles.parser(path)
+        found.merge!(parser.scan(@reader.read(path).to_s)) if parser
+      end
+      vars.reject { |key, _| JsEnvScanner::RUNTIME_VARS.include?(key) }
+    end
+  end
+end

data/lib/captive_stack_detector/js_env_files.rb

@@ -0,0 +1,23 @@
+# frozen_string_literal: true
+
+require_relative "js_env_scanner"
+require_relative "env_template_scanner"
+
+module CaptiveStackDetector
+  # Choisit les fichiers lisibles avant tout téléchargement de contenu.
+  module JsEnvFiles
+    TEMPLATES = %w[.env.example .env.sample .env.template].freeze
+    EXCLUDED = %r{
+      (?:\A|/)(?:node_modules|vendor|\.git|dist|build|\.output|\.next|\.nuxt|\.astro|coverage|
+      test|tests|spec|__tests__|__mocks__|\.storybook|\.github|scripts|bin|docs|examples|fixtures|e2e)(?:/|\z)
+    }x
+    SOURCE = /(?<!\.test)(?<!\.spec)(?<!\.stories)(?<!\.d)\.(?:[cm]?[jt]sx?|astro|vue|svelte)\z/
+
+    def self.parser(path)
+      return nil if EXCLUDED.match?(path)
+      return EnvTemplateScanner if TEMPLATES.include?(path)
+
+      JsEnvScanner if SOURCE.match?(path)
+    end
+  end
+end

data/lib/captive_stack_detector/js_env_lexer.rb

@@ -0,0 +1,63 @@
+# frozen_string_literal: true
+
+require "strscan"
+require_relative "js_env_syntax"
+
+module CaptiveStackDetector
+  # Énumère les accès littéraux en ignorant commentaires et texte non exécuté.
+  class JsEnvLexer
+    include JsEnvSyntax
+
+    def initialize(content)
+      @scanner = StringScanner.new(content, fixed_anchor: true)
+      @references = []
+    end
+
+    def references
+      code
+      @references
+    end
+
+    private
+
+    def code(terminator = nil)
+      until @scanner.eos?
+        next if @scanner.skip(IGNORED)
+
+        break if consume == terminator
+      end
+    end
+
+    def consume
+      if @scanner.scan(ASTRO_IMPORT)
+        astro_import(@scanner[1])
+      elsif @scanner.scan(REFERENCE)
+        reference
+      else
+        punctuation(@scanner.getch)
+      end
+    end
+
+    def punctuation(char)
+      code("}") if char == "{"
+      template if char == "`"
+      char
+    end
+
+    def astro_import(names)
+      JsEnvSyntax.astro_keys(names).each { |key| @references << [ key, "astro", "" ] }
+    end
+
+    def reference
+      scope = @scanner[1].start_with?("import") ? "vite" : "node"
+      @references << [ @scanner[2] || @scanner[3], scope, @scanner.rest ]
+    end
+
+    def template
+      until @scanner.eos? || @scanner.skip(/`/)
+        code("}") if @scanner.skip(/\$\{/)
+        @scanner.skip(/(?:\\.|[^`$]|\$(?!\{))+/m)
+      end
+    end
+  end
+end

data/lib/captive_stack_detector/js_env_scanner.rb

@@ -0,0 +1,22 @@
+# frozen_string_literal: true
+
+require_relative "js_env_lexer"
+
+module CaptiveStackDetector
+  # Ne demande que les lectures sans valeur de repli et hors variables intégrées.
+  module JsEnvScanner
+    DEFAULT = /\A\s*(?:\?\?|\|\|)\s*(?:"(?:\\.|[^"\\])*"|'(?:\\.|[^'\\])*'|true\b|false\b|\d+(?:\.\d+)?\b)/
+    ASSIGNMENT = /\A\s*(?:=(?!=|>)|\?\?=|\|\|=|&&=)/
+    RUNTIME_VARS = %w[NODE_ENV NODE_OPTIONS PORT HOST].freeze
+    VITE_VARS = %w[BASE_URL MODE DEV PROD SSR].freeze
+
+    def self.scan(content)
+      JsEnvLexer.new(content).references.each_with_object({}) do |(key, scope, rest), found|
+        next if RUNTIME_VARS.include?(key) || (scope == "vite" && VITE_VARS.include?(key))
+        next if DEFAULT.match?(rest) || ASSIGNMENT.match?(rest)
+
+        found[key] = "placeholder"
+      end
+    end
+  end
+end

data/lib/captive_stack_detector/js_env_syntax.rb

@@ -0,0 +1,18 @@
+# frozen_string_literal: true
+
+module CaptiveStackDetector
+  # Tokens reconnus sans interpréter le programme JavaScript.
+  module JsEnvSyntax
+    KEY = /[A-Z_][A-Z0-9_]*/
+    REFERENCE = /
+      (?<![\w$.])(process\s*\.\s*env|import\s*\.\s*meta\s*\.\s*env)
+      (?:\s*\.\s*(#{KEY})(?![\w$])|\s*\[\s*['"](#{KEY})['"]\s*\])
+    /x
+    ASTRO_IMPORT = /import\s*\{([^}]+)\}\s*from\s*['"]astro:env\/(?:client|server)['"]/m
+    COMMENT = %r{//[^\n]*|/\*.*?\*/|<!--.*?-->}m
+    IGNORED = Regexp.union(COMMENT, /"(?:\\.|[^"\\])*"|'(?:\\.|[^'\\])*'/m)
+    def self.astro_keys(names)
+      names.gsub(COMMENT, "").split(",").filter_map { |name| name.strip[/\A#{KEY}\b/] }
+    end
+  end
+end

data/lib/captive_stack_detector/js_stack_detector.rb

@@ -2,6 +2,7 @@
 
 require_relative "../captive_stack_detector"
 require_relative "package_json_analyzer"
+require_relative "js_env_detector"
 
 module CaptiveStackDetector
   class JsStackDetector
@@ -20,7 +21,7 @@ module CaptiveStackDetector
         services:        Services.new(database: @analyzer.database, queue: @analyzer.queue, backend: @analyzer.backend),
         worker:          build_worker,
         runtime:         Runtime.new(ruby: nil, node: @reader.node_version),
-        env_vars:        {},
+        env_vars:        JsEnvDetector.new(@reader).detect,
         system_packages: [],
         public_env_prefix: @analyzer.public_env_prefix,
       )

data/lib/captive_stack_detector/package_json_analyzer.rb

@@ -5,7 +5,7 @@ require_relative "ssr_framework_detector"
 
 module CaptiveStackDetector
   class PackageJsonAnalyzer
-    PUBLIC_ENV_PREFIXES = { "expo" => "EXPO_PUBLIC_", "next" => "NEXT_PUBLIC_", "vite" => "VITE_" }.freeze
+    PUBLIC_ENV_PREFIXES = { "expo" => "EXPO_PUBLIC_", "next" => "NEXT_PUBLIC_", "astro" => "PUBLIC_", "vite" => "VITE_" }.freeze
     # Des clients, pas des ORM : Prisma ou Drizzle parlent aussi MySQL et SQLite, leur
     # présence ne dit pas que l'app attend une base Postgres.
     POSTGRES_CLIENTS = %w[pg postgres].freeze

data/lib/captive_stack_detector/version.rb

@@ -1,5 +1,5 @@
 # frozen_string_literal: true
 
 module CaptiveStackDetector
-  VERSION = "0.8.3"
+  VERSION = "0.8.4"
 end

metadata

@@ -1,7 +1,7 @@
 --- !ruby/object:Gem::Specification
 name: captive-stack-detector
 version: !ruby/object:Gem::Version
-  version: 0.8.3
+  version: 0.8.4
 platform: ruby
 authors:
 - Captive Studio
@@ -21,6 +21,7 @@ files:
 - lib/captive/stack/detector.rb
 - lib/captive_stack_detector.rb
 - lib/captive_stack_detector/aptfile_parser.rb
+- lib/captive_stack_detector/env_template_scanner.rb
 - lib/captive_stack_detector/env_vars_scanner.rb
 - lib/captive_stack_detector/file_content_parser.rb
 - lib/captive_stack_detector/file_reader.rb
@@ -28,6 +29,11 @@ files:
 - lib/captive_stack_detector/gemfile_analyzer.rb
 - lib/captive_stack_detector/github_api_client.rb
 - lib/captive_stack_detector/github_tree.rb
+- lib/captive_stack_detector/js_env_detector.rb
+- lib/captive_stack_detector/js_env_files.rb
+- lib/captive_stack_detector/js_env_lexer.rb
+- lib/captive_stack_detector/js_env_scanner.rb
+- lib/captive_stack_detector/js_env_syntax.rb
 - lib/captive_stack_detector/js_stack_detector.rb
 - lib/captive_stack_detector/node_version_detector.rb
 - lib/captive_stack_detector/package_json_analyzer.rb