@dotrino/vault 0.46.0 → 0.47.1

package/bin/dotrino-env.js

@@ -2,14 +2,14 @@
 /**
  * dotrino-env — CLI del "dotenv contra el vault".
  *
- *   dotrino-env enroll --profile <p> --ns <ns> [--qr <inv>]   enrola ESTA máquina (una vez)
+ *   dotrino-env enroll --vault <b> --ns <ns> [--qr <inv>]   enrola ESTA máquina (una vez)
  *   dotrino-env status                                  qué hay enrolado aquí
  *   dotrino-env check [--ns <ns>]                       pide los secretos y lista sus NOMBRES (nunca valores)
  *   dotrino-env run [--ns <ns>] -- <cmd> [args…]        corre un comando con los secretos en su entorno
  *
  * El enrolamiento es el registro del cliente contra el vault del dueño:
  *   1. en el vault:   dotrino-vault pair --service <ns>      (invitación con scope SOLO vault:secrets:<ns>)
- *   2. aquí:          dotrino-env enroll --profile <p> --ns <ns>  (pegas la invitación; se MUESTRA un código)
+ *   2. aquí:          dotrino-env enroll --vault <b> --ns <ns>  (pegas la invitación; se MUESTRA un código)
  *   3. en el vault:   dotrino-vault approve <código>         (lo tipeas leyéndolo de esta pantalla)
  */
 import fs from 'node:fs'
@@ -17,7 +17,7 @@ import path from 'node:path'
 import readline from 'node:readline/promises'
 import { spawn } from 'node:child_process'
 import { enrollService, readServiceIdentity, fetchSecrets } from '../src/service.js'
-import { loadEnv, serviceDir, serviceRoot, listEnrolled, resolveNs, resolveEnvProfile, isValidEnvProfile } from '../src/env.js'
+import { loadEnv, serviceDir, serviceRoot, listEnrolled, resolveNs, resolveVaultLabel, isValidVaultLabel } from '../src/env.js'
 // Se usaba sin importarlo: `enroll` —el comando principal— moría con
 // «sharedParseInvite is not defined» en cuanto tocaba una invitación. Nunca
 // llegó a funcionar, y por eso el único servicio enrolado del ecosistema (el
@@ -30,14 +30,14 @@ const flag = (name) => { const i = argv.indexOf('--' + name); return i >= 0 ? ar
 function help () {
   console.log(`dotrino-env — credenciales del vault en vez del .env
 
-  enroll --profile <perfil> --ns <ns> [--code <invitación>] [--dir <dir>]
+  enroll --vault <bóveda> --ns <ns> [--code <invitación>] [--dir <dir>]
         Registra ESTE servicio contra el vault (una sola vez).
         Antes, en el vault:  dotrino-vault pair --service <ns>
         Si no pasas --code (alias --qr), se pide por consola (también acepta stdin).
 
   status                 servicios enrolados en esta máquina
   check [--ns <ns>]      pide los secretos al vault y lista sus NOMBRES (nunca los valores)
-  run --profile <perfil> [--ns <ns>] -- <cmd> [args…]
+  run --vault <bóveda> [--ns <ns>] -- <cmd> [args…]
   ssh-agent [--ns <ns>] [--socket <ruta>]
                          agente SSH con las llaves (SSH_KEY_* del cajón) solo en memoria;
                          pide el cajón al arrancar. Pon SSH_AUTH_SOCK en la ruta que imprime.
@@ -50,7 +50,7 @@ En tu código:
 El vault MANDA: sus valores pisan los del .env y los del entorno. Para una
 corrida suelta sin que pise nada:  DOTRINO_ENV_OVERRIDE=0
 
-Entorno: DOTRINO_NS · DOTRINO_ENV_PROFILE · DOTRINO_ENV_DIR · DOTRINO_ENV_HOME · DOTRINO_ENV_QUIET
+Entorno: DOTRINO_NS · DOTRINO_ENV_VAULT · DOTRINO_ENV_DIR · DOTRINO_ENV_HOME · DOTRINO_ENV_QUIET
          DOTRINO_ENV_OVERRIDE`)
 }
 
@@ -74,30 +74,33 @@ async function readInvite () {
 }
 
 /**
- * El PERFIL LOCAL, obligatorio. Es una etiqueta de ESTA máquina para agrupar lo que
- * pertenece a una bóveda: `~/.dotrino/service/<perfil>/<ns>`. No viaja, no entra en el
- * acta y no se compara con el perfil de la bóveda — solo evita que dos bóvedas con un
- * cajón del mismo nombre se pisen el directorio, que antes dejaba al primero inservible.
+ * DE QUÉ BÓVEDA VINO, obligatorio. Etiqueta de ESTA máquina para agrupar sus cajones:
+ * `~/.dotrino/service/<bóveda>/<ns>`. No viaja y no se compara con nada — solo evita que
+ * dos bóvedas con un cajón del mismo nombre se pisen el directorio, que antes dejaba al
+ * primero inservible.
+ *
+ * `--vault` y no `--profile`: `dotrino-vault --profile` ya significa otra cosa y los dos
+ * comandos se usan seguidos.
  */
-function perfilLocal () {
-  const p = resolveEnvProfile(flag('profile'))
-  if (!p) {
-    console.error('falta --profile <nombre>  (o DOTRINO_ENV_PROFILE)')
+function etiquetaBoveda () {
+  const v = resolveVaultLabel(flag('vault'))
+  if (!v) {
+    console.error('falta --vault <nombre>  (o DOTRINO_ENV_VAULT)')
     console.error('')
-    console.error('  Es una ETIQUETA TUYA para agrupar lo de una bóveda, no el perfil del vault:')
-    console.error('    ~/.dotrino/service/<perfil>/<ns>')
+    console.error('  Dice DE QUÉ BÓVEDA es este cajón. Es una etiqueta tuya, de esta máquina:')
+    console.error('    ~/.dotrino/service/<bóveda>/<ns>')
     console.error('  Sirve para que dos bóvedas puedan tener un cajón llamado igual.')
     process.exit(2)
   }
-  if (!isValidEnvProfile(p)) { console.error('perfil inválido: usa [a-z0-9-]{1,32}'); process.exit(2) }
-  return p
+  if (!isValidVaultLabel(v)) { console.error('etiqueta inválida: usa [a-z0-9-]{1,32}'); process.exit(2) }
+  return v
 }
 
 async function cmdEnroll () {
   const ns = flag('ns')
   if (!ns) { console.error('falta --ns <ns>  (el mismo del `dotrino-vault pair --service <ns>`)'); process.exit(2) }
-  const perfil = perfilLocal()
-  const dir = flag('dir') || serviceDir(perfil, ns)
+  const perfil = etiquetaBoveda()
+  const dir = flag('dir') || serviceDir(bov, ns)
   const qr = parseInvite((flag('qr') || flag('code')) || await readInvite())
 
   console.log('\nEnrolando el servicio "%s" contra el vault…', ns)
@@ -136,7 +139,7 @@ async function cmdEnroll () {
 function cmdStatus () {
   const found = listEnrolled()
   if (!found.length) {
-    console.log('Ningún servicio enrolado en %s\n  Enrola uno:  dotrino-env enroll --profile <perfil> --ns <ns>', serviceRoot())
+    console.log('Ningún servicio enrolado en %s\n  Enrola uno:  dotrino-env enroll --vault <bóveda> --ns <ns>', serviceRoot())
     return
   }
   for (const e of found) {
@@ -144,11 +147,11 @@ function cmdStatus () {
     // fingir que la migración no hace falta; callarlo dejaría un servicio «desaparecido».
     if (e.legacy) {
       const viejo = path.join(serviceRoot(), e.ns)
-      console.log('%s  ⚠ del formato anterior, sin perfil — no se usa', e.ns)
-      console.log('  muévelo:  mkdir -p %s/<perfil> && mv %s %s/<perfil>/', serviceRoot(), viejo, serviceRoot())
+      console.log('%s  ⚠ del formato anterior, sin la bóveda — no se usa', e.ns)
+      console.log('  muévelo:  mkdir -p %s/<bóveda> && mv %s %s/<bóveda>/', serviceRoot(), viejo, serviceRoot())
       continue
     }
-    const dir = serviceDir(e.profile, e.ns)
+    const dir = serviceDir(e.vault, e.ns)
     const id = readServiceIdentity(dir)
     const c = id?.cert
     // El papel se describe por el ACTA a la que se ató. Uno del modelo viejo se dice tal
@@ -158,7 +161,7 @@ function cmdStatus () {
       ? `acta #${c.seq}`
       : (typeof c?.exp === 'number' ? `modelo viejo · vence ${new Date(c.exp).toISOString().slice(0, 10)}` : '?')
     console.log('%s/%s\n  dir:   %s\n  vault: %s…\n  scope: %s\n  cert:  %s',
-      e.profile, e.ns, dir, String(id.iss).slice(0, 24), (c?.scope || []).join(', '), papel)
+      e.vault, e.ns, dir, String(id.iss).slice(0, 24), (c?.scope || []).join(', '), papel)
   }
 }
 
@@ -167,7 +170,7 @@ async function cmdCheck () {
   // `fetchSecrets` y no `loadEnv`: listar NO debe tener efectos secundarios. Con
   // `loadEnv` esto inyectaría el bundle en el entorno del propio `check`, que es
   // justo lo que un comando de diagnóstico no tiene por qué hacer.
-  const secrets = await fetchSecrets({ dir: serviceDir(perfilLocal(), ns), ns })
+  const secrets = await fetchSecrets({ dir: serviceDir(etiquetaBoveda(), ns), ns })
   const keys = Object.keys(secrets)
   console.log('ns "%s": %d secreto(s)%s', ns, keys.length, keys.length ? ':' : '')
   for (const k of keys) console.log('  ' + k)   // NUNCA los valores
@@ -181,9 +184,15 @@ async function cmdCheck () {
 async function cmdRun () {
   const sep = argv.indexOf('--')
   const cmd = sep >= 0 ? argv.slice(sep + 1) : []
-  if (!cmd.length) { console.error('uso: dotrino-env run --profile <perfil> [--ns <ns>] -- <cmd> [args…]'); process.exit(2) }
+  if (!cmd.length) { console.error('uso: dotrino-env run --vault <bóveda> [--ns <ns>] -- <cmd> [args…]'); process.exit(2) }
   const onPending = () => console.error('[dotrino-env] waiting for approval on your phone…')
-  const { injected, overridden } = await loadEnv({ ns: flag('ns'), profile: perfilLocal(), onPending })
+  // POR QUÉ SE REINTENTA, SIEMPRE. Sin esto la espera es muda: la bóveda contestaba, la
+  // respuesta se caía por un motivo concreto —un aparato sin sobre en su cajón, por
+  // ejemplo— y por fuera solo se veía «waiting for approval» una y otra vez, aunque el
+  // dueño hubiera aprobado cada una. Un reintento que no dice su causa es un fallback: le
+  // pone cara de espera a un error. (Ver CLAUDE.md, «nada de repliegues».)
+  const onRetry = (e, ms) => console.error('[dotrino-env] failed: %s — retrying in %ds', e.message, Math.round(ms / 1000))
+  const { injected, overridden } = await loadEnv({ ns: flag('ns'), vault: etiquetaBoveda(), onPending, onRetry })
   console.error('[dotrino-env] %d valor(es) en el entorno de %s%s', injected.length, cmd[0],
     overridden.length ? ` (pisados: ${overridden.join(', ')})` : '')
   const child = spawn(cmd[0], cmd.slice(1), { stdio: 'inherit', env: process.env })
@@ -205,7 +214,7 @@ async function cmdSshAgent () {
   const { serviceDir, resolveNs } = await import('../src/env.js')
   const { waitForSecrets } = await import('../src/service.js')
   const ns = resolveNs(flag('ns') || undefined)
-  const dir = flag('dir') || serviceDir(perfilLocal(), ns)
+  const dir = flag('dir') || serviceDir(etiquetaBoveda(), ns)
   const socketPath = flag('socket') || defaultSocketPath(dir)
   console.error('[dotrino-env] asking the vault for the keys of «%s»…', ns)
   const secrets = await waitForSecrets({ dir, ns, onPending: () => console.error('[dotrino-env] waiting for approval on your phone…') })

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@dotrino/vault",
-  "version": "0.46.0",
+  "version": "0.47.1",
   "description": "Usa ESTE dispositivo (navegador) como bóveda/CA del ecosistema Dotrino: atiende enrolamientos por el proxy y firma certificados de delegación a tus máquinas. Incluye el cliente de SERVICIO (Node): un proyecto se enrola una vez y jala sus credenciales del vault en vez del .env (`import '@dotrino/vault/config'`).",
   "type": "module",
   "main": "src/index.js",

package/src/env.js

@@ -30,11 +30,15 @@ export function serviceRoot () {
 }
 
 /**
- * EL PERFIL LOCAL: `~/.dotrino/service/<perfil>/<ns>`.
+ * DE QUÉ BÓVEDA VINO ESTO: `~/.dotrino/service/<bóveda>/<ns>`.
  *
- * Es una ETIQUETA TUYA, de esta máquina, y NO tiene nada que ver con el perfil de la
- * bóveda: nadie la manda por la red, no entra en el acta y no se compara con nada. Sirve
- * solo para que dos bóvedas puedan tener un cajón que se llame igual.
+ * Es una ETIQUETA TUYA, de esta máquina: nadie la manda por la red, no entra en el acta y
+ * no se compara con nada — puedes llamarla como quieras. Sirve solo para que dos bóvedas
+ * puedan tener un cajón que se llame igual.
+ *
+ * Se llama `--vault` y no `--profile` a propósito (dueño): `dotrino-vault --profile` ya
+ * significa OTRA cosa —el perfil de la bóveda— y los dos comandos se usan seguidos. Dos
+ * banderas con el mismo nombre y distinto significado se confunden el día que hay prisa.
  *
  * Antes la ruta era `<raíz>/<ns>` y el nombre del cajón era una CLAVE GLOBAL del usuario:
  * si dos bóvedas usaban `aws`, el segundo enrolamiento pisaba al primero y lo dejaba
@@ -44,23 +48,23 @@ export function serviceRoot () {
  *
  * Mismo alfabeto que el `ns` porque es lo mismo: un segmento de ruta.
  */
-export const isValidEnvProfile = (p) => typeof p === 'string' && /^[a-z0-9-]{1,32}$/.test(p)
+export const isValidVaultLabel = (p) => typeof p === 'string' && /^[a-z0-9-]{1,32}$/.test(p)
 
-/** Directorio de la identidad del servicio `ns` en el perfil local `profile`. */
-export function serviceDir (profile, ns) {
+/** Directorio de la identidad del servicio `ns` bajo la etiqueta de bóveda `vault`. */
+export function serviceDir (vault, ns) {
   if (process.env.DOTRINO_ENV_DIR) return process.env.DOTRINO_ENV_DIR
-  if (!isValidEnvProfile(profile)) {
-    throw new Error('missing local profile: pass --profile <nombre> (use [a-z0-9-]{1,32}). It is a label of YOUR machine, not the vault profile')
+  if (!isValidVaultLabel(vault)) {
+    throw new Error('missing vault label: pass --vault <nombre> (use [a-z0-9-]{1,32}). It is a label of YOUR machine: it says which vault this drawer came from')
   }
   if (!isValidSecretsNs(ns)) throw new Error('invalid ns (use [a-z0-9-]{1,32}, e.g. "myapp")')
-  return path.join(serviceRoot(), profile, ns)
+  return path.join(serviceRoot(), vault, ns)
 }
 
-/** El perfil local por defecto: `--profile`, o `DOTRINO_ENV_PROFILE`. */
-export const resolveEnvProfile = (v) => v || process.env.DOTRINO_ENV_PROFILE || null
+/** La etiqueta de bóveda: `--vault`, o `DOTRINO_ENV_VAULT`. */
+export const resolveVaultLabel = (v) => v || process.env.DOTRINO_ENV_VAULT || null
 
 /**
- * Lo enrolado en esta máquina: `[{ profile, ns }]`. Recorre DOS niveles.
+ * Lo enrolado en esta máquina: `[{ vault, ns }]`. Recorre DOS niveles.
  *
  * Y avisa de lo que quedó en el nivel de antes (`<raíz>/<ns>`): no se lee ni se usa —
  * repescarlo en silencio sería fingir que la migración no hace falta— pero callarlo
@@ -71,14 +75,14 @@ export function listEnrolled () {
   let dirs = []
   try { dirs = fs.readdirSync(serviceRoot(), { withFileTypes: true }) } catch (_) { return out }
   for (const d of dirs) {
-    if (!d.isDirectory() || !isValidEnvProfile(d.name)) continue
+    if (!d.isDirectory() || !isValidVaultLabel(d.name)) continue
     // Un enrolamiento del formato viejo es un directorio con `service-identity.json`
     // DENTRO; uno del nuevo tiene subdirectorios. Así se distinguen sin adivinar.
     if (readServiceIdentity(path.join(serviceRoot(), d.name))) { out.push({ legacy: true, ns: d.name }); continue }
     let hijos = []
     try { hijos = fs.readdirSync(path.join(serviceRoot(), d.name)) } catch (_) { continue }
     for (const ns of hijos) {
-      if (isValidSecretsNs(ns) && readServiceIdentity(path.join(serviceRoot(), d.name, ns))) out.push({ profile: d.name, ns })
+      if (isValidSecretsNs(ns) && readServiceIdentity(path.join(serviceRoot(), d.name, ns))) out.push({ vault: d.name, ns })
     }
   }
   return out
@@ -139,12 +143,12 @@ let lastApplied = null
  *   `overridden` = las que YA tenían otro valor en el entorno y el vault pisó. Es
  *   el dato que delata un `.env` rancio, así que se reporta en vez de callarse.
  */
-export async function loadEnv ({ ns, profile, dir, override, wait = true, required = [], onRetry, onPending } = {}) {
+export async function loadEnv ({ ns, vault, dir, override, wait = true, required = [], onRetry, onPending } = {}) {
   if (override === undefined) override = overrideByDefault()
   ns = resolveNs(ns)
-  // El PERFIL LOCAL es obligatorio salvo que se diga el directorio a pelo: es lo que hace
-  // que dos bóvedas puedan tener un cajón con el mismo nombre sin pisarse.
-  dir = dir || serviceDir(resolveEnvProfile(profile), ns)
+  // La ETIQUETA DE BÓVEDA es obligatoria salvo que se diga el directorio a pelo: es lo que
+  // hace que dos bóvedas puedan tener un cajón con el mismo nombre sin pisarse.
+  dir = dir || serviceDir(resolveVaultLabel(vault), ns)
   const load = wait ? waitForSecrets : fetchSecrets
   const secrets = await load({ dir, ns, onRetry, onPending })
 
@@ -242,9 +246,9 @@ export function applyEnv (secrets, override = overrideByDefault()) {
  *   también. Se elige 0 porque salir a propósito no es un fallo.
  * @returns {Promise<{stop:()=>void}>}
  */
-export async function watchEnv ({ ns, profile, dir, applied = lastApplied ?? undefined, onUpdate, exitCode = 0, quiet = false, ...rest } = {}) {
+export async function watchEnv ({ ns, vault, dir, applied = lastApplied ?? undefined, onUpdate, exitCode = 0, quiet = false, ...rest } = {}) {
   ns = resolveNs(ns)
-  dir = dir || serviceDir(resolveEnvProfile(profile), ns)
+  dir = dir || serviceDir(resolveVaultLabel(vault), ns)
   const say = (m) => { if (!quiet) console.error(m) }
 
   const exitNow = (reason) => {