@danhachuel/thunderbolt 0.5.0 → 0.5.2

package/hermes_ui/canva_auth.py

@@ -11,16 +11,36 @@ import requests
 
 AUTHORIZE_URL = "https://www.canva.com/api/oauth/authorize"
 TOKEN_URL = "https://api.canva.com/rest/v1/oauth/token"
+_PKCE_MIN_LENGTH = 43
+_PKCE_MAX_LENGTH = 128
 
 
 def _b64(value: bytes) -> str:
     return base64.urlsafe_b64encode(value).rstrip(b"=").decode("ascii")
 
 
-def create_pkce_pair() -> tuple[str, str]:
-    verifier = _b64(secrets.token_bytes(64))
+def generate_code_verifier() -> str:
+    """Create a RFC 7636 verifier using a cryptographically secure source."""
+    verifier = _b64(secrets.token_bytes(32))
+    if not _PKCE_MIN_LENGTH <= len(verifier) <= _PKCE_MAX_LENGTH:
+        raise RuntimeError("Falha ao gerar um code_verifier PKCE válido.")
+    return verifier
+
+
+def generate_code_challenge(code_verifier: str) -> str:
+    """Derive the S256 Base64URL-without-padding PKCE challenge."""
+    verifier = str(code_verifier or "")
+    if not _PKCE_MIN_LENGTH <= len(verifier) <= _PKCE_MAX_LENGTH:
+        raise ValueError("code_verifier PKCE inválido.")
     challenge = _b64(hashlib.sha256(verifier.encode("ascii")).digest())
-    return verifier, challenge
+    if challenge == "<CODE_CHALLENGE>":
+        raise RuntimeError("Foi detectado um placeholder de code_challenge.")
+    return challenge
+
+
+def create_pkce_pair() -> tuple[str, str]:
+    verifier = generate_code_verifier()
+    return verifier, generate_code_challenge(verifier)
 
 
 def create_state() -> str:
@@ -28,6 +48,8 @@ def create_state() -> str:
 
 
 def authorization_url(client_id: str, redirect_uri: str, scope: str, state: str, code_challenge: str) -> str:
+    if not code_challenge or code_challenge == "<CODE_CHALLENGE>":
+        raise ValueError("Não é permitido iniciar Canva com code_challenge placeholder.")
     params = {
         "code_challenge": code_challenge,
         "code_challenge_method": "S256",

package/hermes_ui/notifications.py

@@ -120,11 +120,7 @@ def _safe_metadata(value: Any, *, key: str = "") -> Any:
 
 
 def _history() -> list[dict[str, Any]]:
-    try:
-        saved = storage.read_json(NOTIFICATIONS_FILE, [])
-    except PermissionError:
-        # Um lock ou ficheiro sem permissões não deve interromper a interface.
-        return []
+    saved = storage.read_json(NOTIFICATIONS_FILE, [])
     if not isinstance(saved, list):
         return []
     return [item for item in saved if isinstance(item, dict)]

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@danhachuel/thunderbolt",
-  "version": "0.5.0",
+  "version": "0.5.2",
   "description": "Thunderbolt — interface local para operação de canais faceless e motor MoneyPrinterTurbo",
   "license": "MIT",
   "main": "scripts/cli.mjs",
@@ -16,6 +16,7 @@
     "integrations/*.py",
     "integrations/data/*.json",
     "scripts/*.mjs",
+    "scripts/*.py",
     "seed/prompt_masters/**/*.md",
     "seed/blueprints/**/*.json",
     "seed/blueprints/**/*.md",

package/scripts/cli.mjs

@@ -25,6 +25,7 @@ const venvDir = process.env.THUNDERBOLT_VENV || process.env.HERMES_VENV || join(
 const venvPython = platform() === "win32" ? join(venvDir, "Scripts", "python.exe") : join(venvDir, "bin", "python");
 const python = process.env.THUNDERBOLT_PYTHON || process.env.HERMES_PYTHON || (existsSync(venvPython) ? venvPython : (platform() === "win32" ? "python" : "python3"));
 const main = resolve(root, "app", "main.py");
+const streamlitBootstrap = resolve(root, "scripts", "streamlit_bootstrap.py");
 const settingsPath = join(thunderboltHome, "storage", "state", "settings.json");
 const pythonEnvironment = { ...process.env, PYTHONIOENCODING: "utf-8", PYTHONUTF8: "1", PYTHONLEGACYWINDOWSSTDIO: "1", CLICK_NO_WIN_CONSOLE: "1" };
 
@@ -265,7 +266,7 @@ let shuttingDown = false;
 let child;
 
 function startStreamlit() {
-  child = spawn(python, ["-m", "streamlit", "run", main, "--server.port", String(backendPort), "--server.address", "127.0.0.1"], {
+  child = spawn(python, [streamlitBootstrap, "run", main, "--server.port", String(backendPort), "--server.address", "127.0.0.1"], {
     cwd: root,
     stdio: "inherit",
     env: { ...runtimeEnv, PYTHONIOENCODING: "utf-8", PYTHONUTF8: "1", PYTHONLEGACYWINDOWSSTDIO: "1", CLICK_NO_WIN_CONSOLE: "1", THUNDERBOLT_LAUNCHER_RESTART: "1" },

package/scripts/streamlit_bootstrap.py

@@ -0,0 +1,34 @@
+from __future__ import annotations
+
+import io
+import os
+import sys
+
+# Este ficheiro é o primeiro módulo Python executado pelo launcher. As
+# variáveis e os streams precisam de ser corrigidos antes de qualquer import
+# de streamlit/click, pois o erro utf-16-le acontece durante essa inicialização.
+os.environ["PYTHONIOENCODING"] = "utf-8"
+os.environ["PYTHONUTF8"] = "1"
+os.environ["PYTHONLEGACYWINDOWSSTDIO"] = "1"
+os.environ["CLICK_NO_WIN_CONSOLE"] = "1"
+
+
+def _utf8_stream(stream: object) -> object:
+    if os.name != "nt":
+        return stream
+    buffer = getattr(stream, "buffer", None)
+    if buffer is None:
+        return stream
+    try:
+        return io.TextIOWrapper(buffer, encoding="utf-8", errors="replace", line_buffering=True)
+    except (AttributeError, OSError, ValueError):
+        return stream
+
+
+sys.stdout = _utf8_stream(sys.stdout)
+sys.stderr = _utf8_stream(sys.stderr)
+
+from streamlit.web.cli import main  # noqa: E402
+
+if __name__ == "__main__":
+    main()

package/seed/references/tutorial-api-canvas.md

@@ -1,112 +0,0 @@
-# Guia de Configuração: API Keys da Canva para o Thunderbolt
-
-Este guia explica como criar e configurar uma integração no **Canva Developer Portal** para obter as credenciais (`Client ID` e `Client Secret`) usadas pelo módulo de geração de thumbnails do Thunderbolt.
-
-## Pré-requisitos
-
-É necessária uma conta Canva activa, gratuita ou paga, com **autenticação de dois factores (MFA)** activada. Sem MFA, o Developer Portal não permite criar a integração.
-
-## 1. Aceder ao Developer Portal
-
-1. Abra o [Canva Developer Portal](https://www.canva.com/developers/) e inicie sessão.
-2. No menu superior, abra **Your integrations** ou aceda directamente a [https://www.canva.com/developers/integrations](https://www.canva.com/developers/integrations).
-
-## 2. Criar uma integração
-
-1. Clique em **Create an integration**.
-2. Escolha **Public** ou **Private**. A opção Public requer revisão da Canva; a opção Private está disponível apenas para equipas Canva Enterprise. Para testes, use Private quando tiver acesso ao Canva Enterprise; caso contrário, use uma integração Public em modo de desenvolvimento.
-3. Aceite os **Canva Developer Terms** e clique em **Create integration**.
-
-## 3. Obter o Client ID e o Client Secret
-
-Na configuração da integração, defina um nome como `Thunderbolt Thumbnail Generator`, copie o **Client ID** e clique em **Generate secret** para criar o **Client Secret**. Guarde o secret imediatamente num local seguro, pois a Canva não o volta a apresentar.
-
-> Nunca publique estas credenciais, nem as inclua em commits, screenshots ou mensagens. Se forem expostas, revogue-as e gere um novo secret.
-
-## 4. Configurar os scopes
-
-No menu **Scopes**, active apenas as permissões necessárias:
-
-| Scope | Acesso | Finalidade |
-| --- | --- | --- |
-| `design:content` | Read and Write | Criar, editar e exportar designs |
-| `design:meta` | Read | Ler metadados dos designs |
-| `asset:content` | Read and Write | Gerir imagens, fontes e outros assets |
-| `profile` | Read | Ler informações básicas do perfil |
-
-Para Brand Templates com Autofill, pode activar opcionalmente `brandtemplate:meta` (Read) e `brandtemplate:content` (Read). Integrações públicas devem justificar cada scope durante a revisão.
-
-## 5. Configurar as URLs de redireccionamento
-
-A Canva Connect API usa OAuth 2.0 com PKCE. Em **Authentication > Authorized redirects**, adicione exactamente:
-
-```text
-http://127.0.0.1:3001/oauth/redirect
-```
-
-Para activar o retorno de navegação, habilite **Enable return navigation** e use:
-
-```text
-http://127.0.0.1:3001/return-nav
-```
-
-É possível adicionar até dez URLs. O protocolo, host, porta e caminho devem coincidir exactamente com os valores usados pelo Thunderbolt.
-
-## 6. Configurar as credenciais no Thunderbolt
-
-Na raiz do projecto, localize ou crie o ficheiro `.env` e adicione:
-
-```dotenv
-CANVA_CLIENT_ID=seu_client_id_aqui
-CANVA_CLIENT_SECRET=seu_client_secret_aqui
-```
-
-O `.env` já deve estar protegido pelo `.gitignore`. Não faça commit deste ficheiro.
-
-## 7. Configurar um template de thumbnails (opcional)
-
-Se utilizar a skill `bulk-create` com templates predefinidos, adicione também:
-
-```dotenv
-CANVA_THUMBNAIL_TEMPLATE_ID=id_do_template_canva
-```
-
-O ID pode ser obtido na URL do design no Canva ou através de `GET /v1/brand-templates`.
-
-## 8. Testar a integração
-
-1. Inicie o Thunderbolt.
-2. Abra **Canva Skills** no Streamlit.
-3. Seleccione uma skill, como **Resize for Social Media**.
-4. Introduza um `design_id` válido e execute a operação.
-5. Autorize o Thunderbolt quando o fluxo OAuth 2.0 com PKCE o redireccionar para a Canva.
-
-Após a autorização, o Thunderbolt recebe e armazena o token necessário para executar as operações.
-
-## Dados necessários
-
-| Variável | Onde encontrar | Exemplo |
-| --- | --- | --- |
-| `CANVA_CLIENT_ID` | Developer Portal → integração → Credentials | `1234567890abcdef` |
-| `CANVA_CLIENT_SECRET` | Gerado no Developer Portal; guardar imediatamente | `ghi_jklmnopqrstuvwxyz123456` |
-| `CANVA_THUMBNAIL_TEMPLATE_ID` | URL do template ou `GET /v1/brand-templates` | `DAF1234567890` |
-
-## Diagnóstico rápido
-
-| Problema | Solução |
-| --- | --- |
-| **MFA required** | Active a autenticação de dois factores nas definições da conta Canva. |
-| Erro 401 ou token expirado | Verifique o armazenamento do `refresh_token`; o Thunderbolt implementa refresh automático. |
-| Erro 429 | Aguarde e tente novamente; a API aplica limites de frequência. |
-| Design não encontrado | Confirme o `design_id`; designs criados via API e não editados durante sete dias podem ser eliminados permanentemente. |
-| URL de redireccionamento inválida | Compare a URL do Developer Portal com a usada pelo Thunderbolt, incluindo protocolo e porta. |
-
-## Referências
-
-- [Canva Developer Portal](https://www.canva.com/developers/)
-- [Criar integrações](https://www.canva.dev/docs/connect/creating-integrations/)
-- [Autenticação OAuth 2.0 com PKCE](https://www.canva.dev/docs/connect/authentication/)
-- [Scopes disponíveis](https://www.canva.dev/docs/connect/appendix/scopes/)
-- [Canva Connect API Starter Kit](https://github.com/canva-sdks/canva-connect-api-starter-kit)
-
-Depois de configurar as credenciais, é possível testar a geração de thumbnails na interface Streamlit, integrar a operação ao callback `on_video_completed` e ajustar as dimensões das plataformas em `app/modules/canva_skills/resize.py`.