@futdevpro/nts-dynamo 1.15.156 → 1.15.157

package/build/_collections/npm-token-check.util.js

@@ -1,302 +1,302 @@
-"use strict";
-Object.defineProperty(exports, "__esModule", { value: true });
-exports.PUBLISH_RIGHT_ERROR_CODES = exports.DyNTS_NpmTokenShape = exports.DyNTS_NpmTokenState = void 0;
-exports.classifyNpmTokenShape = classifyNpmTokenShape;
-exports.classifyNpmTokenProbe = classifyNpmTokenProbe;
-exports.describeNpmTokenState = describeNpmTokenState;
-exports.extractTokenFromNpmrc = extractTokenFromNpmrc;
-exports.resolveNpmToken = resolveNpmToken;
-exports.checkNpmToken = checkNpmToken;
-const tslib_1 = require("tslib");
-const fs = tslib_1.__importStar(require("fs"));
-const os = tslib_1.__importStar(require("os"));
-const path = tslib_1.__importStar(require("path"));
-const fsm_dynamo_1 = require("@futdevpro/fsm-dynamo");
-/**
- * FR-320 — NPM-TOKEN ALLAPOT-OSZTALYOZO (bedrock).
- *
- * MIERT KELLETT (2026-08-20..22, valos incidens): a flotta npm-tokenje lejart, majd egy olyan
- * pot-token kerult be, aminek NEM volt 2FA-bypass joga. A kovetkezmeny NAPOKIG tartott es
- * MINDENHOL `E404`-kent jelentkezett — privat csomagnal ugyanis az npm a jogosulatlan kerest
- * 404-gyel utasitja el, NEM 401-gyel. Emiatt a "nincs ilyen csomag", a "lejart kulcs" es a
- * "rossz jogu kulcs" MEGKULONBOZTETHETETLEN volt, es a diagnozis tobb kort vitt el.
- *
- * A KULCS-DISZKRIMINATOR: a `/-/whoami` vegpont NEM csomag-fuggo, ezert nem esik bele a privat-404
- * elrejtesbe:
- *   - token NELKUL / ROSSZ tokennel -> **401**
- *   - ERVENYES tokennel             -> **200** + a felhasznalonev
- * Innen a csomag-szintu proba mar ertelmezheto: ha a whoami OK, de a scope-olt csomag 404, akkor a
- * token EL, csak nincs joga hozza.
- *
- * ⚠️ AMIT EZ NEM TUD MEGALLAPITANI (szandekosan kimondva, hogy ne igerjunk tobbet a valosagnal):
- *   - a **2FA-bypass** hianya CSAK publikalaskor derul ki (`EOTP` hibakod) — read-only probaval nem;
- *   - a **lejart** es a **visszavont** token kivulrol egyforman 401;
- *   - a token **elettartama** nem kerdezheto le.
- * Ezert a `publishErrorCode` opcionalis bemenet: ha egy publish mar elbukott, az `EOTP` alapjan
- * ERRE is tudunk hatarozott allapotot mondani.
- *
- * A TOKEN ERTEKE SOSEM KERUL A KIMENETBE — sem logba, sem eredmenybe.
- */
-/** Az npm-token megallapithato allapotai. */
-var DyNTS_NpmTokenState;
-(function (DyNTS_NpmTokenState) {
-    /** Nincs beallitva token (se env, se .npmrc). */
-    DyNTS_NpmTokenState["missing"] = "missing";
-    /** Van ertek, de nem npm-token alaku — jellemzoen elgepeles / rossz valtozo. */
-    DyNTS_NpmTokenState["malformed"] = "malformed";
-    /** A registry elutasitja (401): lejart, visszavont vagy egyszeruen rossz. */
-    DyNTS_NpmTokenState["invalid"] = "invalid";
-    /** A token EL (whoami OK), de a vizsgalt scope-hoz/csomaghoz NINCS joga. */
-    DyNTS_NpmTokenState["noScopeAccess"] = "no-scope-access";
-    /** A token el es olvas, de publikalasra nincs joga (2FA-bypass hianya — `EOTP`). */
-    DyNTS_NpmTokenState["missingPublishRight"] = "missing-publish-right";
-    /** Minden vizsgalt kepesseg rendben. */
-    DyNTS_NpmTokenState["ok"] = "ok";
-    /** A proba maga nem futott le (halozat/timeout) — NEM azonos azzal, hogy a token rossz. */
-    DyNTS_NpmTokenState["unknown"] = "unknown";
-})(DyNTS_NpmTokenState || (exports.DyNTS_NpmTokenState = DyNTS_NpmTokenState = {}));
-/** A helyi (halozat NELKULI) alak-ellenorzes eredmenye. */
-var DyNTS_NpmTokenShape;
-(function (DyNTS_NpmTokenShape) {
-    DyNTS_NpmTokenShape["missing"] = "missing";
-    DyNTS_NpmTokenShape["malformed"] = "malformed";
-    DyNTS_NpmTokenShape["plausible"] = "plausible";
-})(DyNTS_NpmTokenShape || (exports.DyNTS_NpmTokenShape = DyNTS_NpmTokenShape = {}));
-/**
- * PURE — a token ALAKJANAK ellenorzese, halozat nelkul.
- *
- * MIERT KULON LEPES: a "nincs beallitva" es a "rosszul beallitva" eseteket halozat nelkul, azonnal
- * es egyertelmuen el lehet donteni — ezek a leggyakoribb operatori hibak (ures env-var, idezojelek
- * bennragadtak, a `//registry…/:_authToken=` PREFIX is bemasolodott).
- *
- * Az npm mai token-alakjai `npm_`-mel kezdodnek (classic automation + granular). A regi, prefix
- * nelkuli UUID-alaku tokenek MEG ervenyesek lehetnek, ezert azokat is `plausible`-nek vesszuk —
- * inkabb engedunk at egy kesobb 401-et kapo tokent, mint hogy egy jot elutasitsunk.
- */
-function classifyNpmTokenShape(rawToken) {
-    const token = (rawToken ?? '').trim();
-    if (!token) {
-        return DyNTS_NpmTokenShape.missing;
-    }
-    // Gyakori elgepeles: a teljes .npmrc-sor kerult be a token helyere.
-    if (token.includes('_authToken') || token.includes('registry.npmjs.org')) {
-        return DyNTS_NpmTokenShape.malformed;
-    }
-    // Bennragadt idezojelek / whitespace a valtozo erteken belul.
-    if (/["'\s]/.test(token)) {
-        return DyNTS_NpmTokenShape.malformed;
-    }
-    // Nyilvanvaloan tul rovid ertek (pl. "x", "changeme").
-    if (token.length < 24) {
-        return DyNTS_NpmTokenShape.malformed;
-    }
-    return DyNTS_NpmTokenShape.plausible;
-}
-/**
- * Publish-oldali npm-hibakodok, amik ELO token mellett JOGOSULTSAG-hianyt jelentenek.
- *
- * A lista SZANDEKOSAN tartalmazza az `E404`-et: az npm a `PUT` (publish) kerest is 404-gyel
- * utasitja el, ha a tokennek nincs irasi joga a csomagra. Elo token mellett ez SOSEM jelentheti,
- * hogy a csomag hianyzik — hiszen olvasni tudtuk.
- */
-exports.PUBLISH_RIGHT_ERROR_CODES = ['EOTP', 'E403', 'E404'];
-/**
- * PURE — a halozati valaszokbol allapot.
- *
- * A sorrend SZANDEKOS: a `whoami` az egyetlen csomag-fuggetlen jel, ezert az dont eloszor. Csak
- * utana ertelmezheto a csomag-szintu 404 — kulonben ugyanaz a 404 jelentene "nincs ilyen csomag"-ot
- * es "rossz kulcs"-ot is, ami epp a 2026-08-i incidens diagnozisat huzta el.
- */
-function classifyNpmTokenProbe(input) {
-    // A proba el sem jutott a registryig -> NEM allitunk semmit a tokenrol.
-    if (input.whoamiStatus === null) {
-        return DyNTS_NpmTokenState.unknown;
-    }
-    // 401 = a registry elutasitja a hitelesitest (hianyzo/lejart/visszavont/rossz token).
-    if (input.whoamiStatus === 401) {
-        return DyNTS_NpmTokenState.invalid;
-    }
-    // Barmi mas, ami nem 200: nem tudunk hatarozott allapotot mondani (5xx, rate-limit, proxy).
-    if (input.whoamiStatus !== 200) {
-        return DyNTS_NpmTokenState.unknown;
-    }
-    // Innentol a token IGAZOLTAN el (whoami 200). Ezert BARMILYEN publish-oldali elutasitas
-    // JOGOSULTSAG-hiany, NEM hianyzo csomag:
-    //   EOTP  -> 2FA-bypass hianya,
-    //   E403  -> explicit tiltas,
-    //   E404  -> az npm a PUT-ra is 404-gyel valaszol, ha a tokennek NINCS IRASI joga a csomagra
-    //            (ugyanaz a letezes-elrejtes, mint olvasasnal).
-    // MERVE (2026-08-22): `npm error 404 Not Found - PUT .../@futdevpro%2fnts-dynamo` — mikozben
-    // UGYANAZ a token olvasni tudta a csomagot. Enelkul a megkulonboztetes nelkul ez "nincs ilyen
-    // csomag"-nak latszik, es epp ez vitte felre a diagnozist napokig.
-    if (exports.PUBLISH_RIGHT_ERROR_CODES.includes((input.publishErrorCode ?? '').toUpperCase())) {
-        return DyNTS_NpmTokenState.missingPublishRight;
-    }
-    // Elo token + a scope-olt csomag 404/403 -> a token nem lat ra a csomagra (jogosultsag).
-    if (input.scopedPackageStatus === 404 || input.scopedPackageStatus === 403) {
-        return DyNTS_NpmTokenState.noScopeAccess;
-    }
-    // A csomag-probat nem mertuk, vagy sikeres volt.
-    if (input.scopedPackageStatus === undefined || input.scopedPackageStatus === 200) {
-        return DyNTS_NpmTokenState.ok;
-    }
-    return DyNTS_NpmTokenState.unknown;
-}
-/**
- * PURE — ember-olvashato magyarazat + a KOVETKEZO LEPES. A puszta allapot-cimke keves: az operator
- * azt akarja tudni, mit tegyen.
- */
-function describeNpmTokenState(state) {
-    switch (state) {
-        case DyNTS_NpmTokenState.missing:
-            return 'Nincs beallitva npm-token. Teendo: allitsd be a Keystore/CI kornyezetben (NEM .npmrc-fajlban).';
-        case DyNTS_NpmTokenState.malformed:
-            return 'A token erteke nem npm-token alaku (idezojel, whitespace, vagy a teljes .npmrc-sor kerult be). '
-                + 'Teendo: csak a NYERS token-erteket add meg.';
-        case DyNTS_NpmTokenState.invalid:
-            return 'A registry ELUTASITJA a tokent (401): lejart, visszavont vagy rossz. Teendo: uj token. '
-                + 'FIGYELEM: privat csomagnal ez a hiba a HIVOKNAL 404-kent jelenik meg, nem 401-kent.';
-        case DyNTS_NpmTokenState.noScopeAccess:
-            return 'A token EL, de a vizsgalt scope-hoz/csomaghoz nincs joga (a whoami rendben, a csomag 404/403). '
-                + 'Teendo: a token jogosultsagi koret bovitsd a scope-ra.';
-        case DyNTS_NpmTokenState.missingPublishRight:
-            return 'A token EL es OLVAS, de PUBLIKALNI nem tud (`EOTP` / `E403` / publish-oldali `E404`): '
-                + 'hianyzik az iras/2FA-bypass jog. FIGYELEM: a PUT-ra kapott 404 NEM hianyzo csomagot jelent, '
-                + 'hanem jogosultsag-hianyt. Teendo: automation/granular token IRASI joggal a scope-ra.';
-        case DyNTS_NpmTokenState.ok:
-            return 'A token ervenyes, es a vizsgalt csomagot is eleri.';
-        default:
-            return 'A proba nem jutott el a registryig (halozat/timeout/proxy) — ez NEM bizonyitja, hogy a token rossz.';
-    }
-}
-/**
- * PURE — token kinyerese egy `.npmrc` TARTALMABOL.
- *
- * MIERT KELL: az elso valtozat CSAK a `process.env.NPM_TOKEN`-t nezte, es ezert a sajat
- * workstationomon `missing`-et adott — HOLOTT az npm ott tokeletesen mukodott, mert a token a
- * `~/.npmrc`-ben all. Ez HAMIS NEGATIV, es epp a legfontosabb helyeken (runner-kontener, hosztok)
- * sulna el, ahol a token szinten FAJLBAN van.
- *
- * A `.npmrc`-t csak OLVASSUK — letrehozni tilos (flotta-szintu hard rule).
- */
-function extractTokenFromNpmrc(content, registry = DEFAULT_REGISTRY) {
-    const host = registry.replace(/^https?:/, '').replace(/\/+$/, '');
-    for (const rawLine of content.split(/\r?\n/)) {
-        const line = rawLine.trim();
-        if (!line || line.startsWith('#') || line.startsWith(';')) {
-            continue;
-        }
-        // Alak: `//registry.npmjs.org/:_authToken=<ertek>` (a host elotti `//` a kulcs resze).
-        const match = line.match(/^(\/\/[^:]+):_authToken=(.+)$/);
-        if (!match) {
-            continue;
-        }
-        // A `.npmrc` a hostot ZARO PERJELLEL irja (`//registry.npmjs.org/`), a normalizalt
-        // `host` viszont nelkule all — ezert MINDKET oldalt normalizalni kell. Az elso
-        // valtozatom csak az egyiket tette, es ezert SOSEM illeszkedett (a specek fogtak meg).
-        const lineHost = match[1].replace(/\/+$/, '');
-        if (lineHost !== host) {
-            continue;
-        }
-        const value = match[2].trim().replace(/^["']|["']$/g, '');
-        if (value) {
-            return value;
-        }
-    }
-    return null;
-}
-/**
- * A token feloldasa a szokasos helyekrol, PRIORITAS szerint:
- *   1. explicit parameter, 2. `NPM_TOKEN` env, 3. a felhasznaloi `~/.npmrc`.
- * Sose dob; ha egyik sincs, ures stringet ad.
- */
-function resolveNpmToken(explicit, registry) {
-    const fromExplicit = (explicit ?? '').trim();
-    if (fromExplicit) {
-        return fromExplicit;
-    }
-    const fromEnv = (process.env.NPM_TOKEN ?? '').trim();
-    if (fromEnv) {
-        return fromEnv;
-    }
-    try {
-        const npmrcPath = path.join(os.homedir(), '.npmrc');
-        if (fs.existsSync(npmrcPath)) {
-            return extractTokenFromNpmrc(fs.readFileSync(npmrcPath, 'utf-8'), registry) ?? '';
-        }
-    }
-    catch {
-        // A fajl-olvasas hibaja NEM buktathatja az ellenorzest.
-    }
-    return '';
-}
-const DEFAULT_REGISTRY = 'https://registry.npmjs.org';
-const DEFAULT_TIMEOUT_MS = 10000;
-/** Egy statusz-lekeres, timeout-tal. `null`, ha el sem jutottunk a szerverig. */
-async function fetchStatus(url, token, timeoutMs) {
-    const controller = new AbortController();
-    const timer = setTimeout(() => { controller.abort(); }, timeoutMs);
-    try {
-        const response = await fetch(url, {
-            headers: token ? { authorization: `Bearer ${token}` } : {},
-            signal: controller.signal,
-        });
-        return response.status;
-    }
-    catch {
-        return null;
-    }
-    finally {
-        clearTimeout(timer);
-    }
-}
-/**
- * A tenyleges ellenorzes. SOSE dob — a hibat allapotkent adja vissza (a token-ellenorzes nem
- * buktathat meg semmit, amibe beepitjuk).
- */
-async function checkNpmToken(options = {}) {
-    const registry = (options.registry ?? DEFAULT_REGISTRY).replace(/\/+$/, '');
-    const token = resolveNpmToken(options.token, registry);
-    const timeoutMs = options.timeoutMs ?? DEFAULT_TIMEOUT_MS;
-    const shape = classifyNpmTokenShape(token);
-    if (shape !== DyNTS_NpmTokenShape.plausible) {
-        const localState = shape === DyNTS_NpmTokenShape.missing
-            ? DyNTS_NpmTokenState.missing
-            : DyNTS_NpmTokenState.malformed;
-        return {
-            state: localState,
-            username: null,
-            detail: describeNpmTokenState(localState),
-            probe: { whoamiStatus: null },
-        };
-    }
-    const whoamiStatus = await fetchStatus(`${registry}/-/whoami`, token, timeoutMs);
-    let username = null;
-    if (whoamiStatus === 200) {
-        try {
-            const response = await fetch(`${registry}/-/whoami`, {
-                headers: { authorization: `Bearer ${token}` },
-            });
-            const body = await response.json();
-            username = typeof body.username === 'string' ? body.username : null;
-        }
-        catch {
-            username = null;
-        }
-    }
-    let scopedPackageStatus;
-    if (options.scopedPackage && whoamiStatus === 200) {
-        const encoded = options.scopedPackage.replace('/', '%2f');
-        const status = await fetchStatus(`${registry}/${encoded}`, token, timeoutMs);
-        scopedPackageStatus = status === null ? undefined : status;
-    }
-    const probe = {
-        whoamiStatus: whoamiStatus,
-        scopedPackageStatus: scopedPackageStatus,
-        publishErrorCode: options.publishErrorCode,
-    };
-    const state = classifyNpmTokenProbe(probe);
-    fsm_dynamo_1.DyFM_Log.info(`[npm-token-check] allapot=${state}${username ? ` user=${username}` : ''} (a token erteke NEM naplozodik)`);
-    return { state: state, username: username, detail: describeNpmTokenState(state), probe: probe };
-}
+"use strict";
+Object.defineProperty(exports, "__esModule", { value: true });
+exports.PUBLISH_RIGHT_ERROR_CODES = exports.DyNTS_NpmTokenShape = exports.DyNTS_NpmTokenState = void 0;
+exports.classifyNpmTokenShape = classifyNpmTokenShape;
+exports.classifyNpmTokenProbe = classifyNpmTokenProbe;
+exports.describeNpmTokenState = describeNpmTokenState;
+exports.extractTokenFromNpmrc = extractTokenFromNpmrc;
+exports.resolveNpmToken = resolveNpmToken;
+exports.checkNpmToken = checkNpmToken;
+const tslib_1 = require("tslib");
+const fs = tslib_1.__importStar(require("fs"));
+const os = tslib_1.__importStar(require("os"));
+const path = tslib_1.__importStar(require("path"));
+const fsm_dynamo_1 = require("@futdevpro/fsm-dynamo");
+/**
+ * FR-320 — NPM-TOKEN ALLAPOT-OSZTALYOZO (bedrock).
+ *
+ * MIERT KELLETT (2026-08-20..22, valos incidens): a flotta npm-tokenje lejart, majd egy olyan
+ * pot-token kerult be, aminek NEM volt 2FA-bypass joga. A kovetkezmeny NAPOKIG tartott es
+ * MINDENHOL `E404`-kent jelentkezett — privat csomagnal ugyanis az npm a jogosulatlan kerest
+ * 404-gyel utasitja el, NEM 401-gyel. Emiatt a "nincs ilyen csomag", a "lejart kulcs" es a
+ * "rossz jogu kulcs" MEGKULONBOZTETHETETLEN volt, es a diagnozis tobb kort vitt el.
+ *
+ * A KULCS-DISZKRIMINATOR: a `/-/whoami` vegpont NEM csomag-fuggo, ezert nem esik bele a privat-404
+ * elrejtesbe:
+ *   - token NELKUL / ROSSZ tokennel -> **401**
+ *   - ERVENYES tokennel             -> **200** + a felhasznalonev
+ * Innen a csomag-szintu proba mar ertelmezheto: ha a whoami OK, de a scope-olt csomag 404, akkor a
+ * token EL, csak nincs joga hozza.
+ *
+ * ⚠️ AMIT EZ NEM TUD MEGALLAPITANI (szandekosan kimondva, hogy ne igerjunk tobbet a valosagnal):
+ *   - a **2FA-bypass** hianya CSAK publikalaskor derul ki (`EOTP` hibakod) — read-only probaval nem;
+ *   - a **lejart** es a **visszavont** token kivulrol egyforman 401;
+ *   - a token **elettartama** nem kerdezheto le.
+ * Ezert a `publishErrorCode` opcionalis bemenet: ha egy publish mar elbukott, az `EOTP` alapjan
+ * ERRE is tudunk hatarozott allapotot mondani.
+ *
+ * A TOKEN ERTEKE SOSEM KERUL A KIMENETBE — sem logba, sem eredmenybe.
+ */
+/** Az npm-token megallapithato allapotai. */
+var DyNTS_NpmTokenState;
+(function (DyNTS_NpmTokenState) {
+    /** Nincs beallitva token (se env, se .npmrc). */
+    DyNTS_NpmTokenState["missing"] = "missing";
+    /** Van ertek, de nem npm-token alaku — jellemzoen elgepeles / rossz valtozo. */
+    DyNTS_NpmTokenState["malformed"] = "malformed";
+    /** A registry elutasitja (401): lejart, visszavont vagy egyszeruen rossz. */
+    DyNTS_NpmTokenState["invalid"] = "invalid";
+    /** A token EL (whoami OK), de a vizsgalt scope-hoz/csomaghoz NINCS joga. */
+    DyNTS_NpmTokenState["noScopeAccess"] = "no-scope-access";
+    /** A token el es olvas, de publikalasra nincs joga (2FA-bypass hianya — `EOTP`). */
+    DyNTS_NpmTokenState["missingPublishRight"] = "missing-publish-right";
+    /** Minden vizsgalt kepesseg rendben. */
+    DyNTS_NpmTokenState["ok"] = "ok";
+    /** A proba maga nem futott le (halozat/timeout) — NEM azonos azzal, hogy a token rossz. */
+    DyNTS_NpmTokenState["unknown"] = "unknown";
+})(DyNTS_NpmTokenState || (exports.DyNTS_NpmTokenState = DyNTS_NpmTokenState = {}));
+/** A helyi (halozat NELKULI) alak-ellenorzes eredmenye. */
+var DyNTS_NpmTokenShape;
+(function (DyNTS_NpmTokenShape) {
+    DyNTS_NpmTokenShape["missing"] = "missing";
+    DyNTS_NpmTokenShape["malformed"] = "malformed";
+    DyNTS_NpmTokenShape["plausible"] = "plausible";
+})(DyNTS_NpmTokenShape || (exports.DyNTS_NpmTokenShape = DyNTS_NpmTokenShape = {}));
+/**
+ * PURE — a token ALAKJANAK ellenorzese, halozat nelkul.
+ *
+ * MIERT KULON LEPES: a "nincs beallitva" es a "rosszul beallitva" eseteket halozat nelkul, azonnal
+ * es egyertelmuen el lehet donteni — ezek a leggyakoribb operatori hibak (ures env-var, idezojelek
+ * bennragadtak, a `//registry…/:_authToken=` PREFIX is bemasolodott).
+ *
+ * Az npm mai token-alakjai `npm_`-mel kezdodnek (classic automation + granular). A regi, prefix
+ * nelkuli UUID-alaku tokenek MEG ervenyesek lehetnek, ezert azokat is `plausible`-nek vesszuk —
+ * inkabb engedunk at egy kesobb 401-et kapo tokent, mint hogy egy jot elutasitsunk.
+ */
+function classifyNpmTokenShape(rawToken) {
+    const token = (rawToken ?? '').trim();
+    if (!token) {
+        return DyNTS_NpmTokenShape.missing;
+    }
+    // Gyakori elgepeles: a teljes .npmrc-sor kerult be a token helyere.
+    if (token.includes('_authToken') || token.includes('registry.npmjs.org')) {
+        return DyNTS_NpmTokenShape.malformed;
+    }
+    // Bennragadt idezojelek / whitespace a valtozo erteken belul.
+    if (/["'\s]/.test(token)) {
+        return DyNTS_NpmTokenShape.malformed;
+    }
+    // Nyilvanvaloan tul rovid ertek (pl. "x", "changeme").
+    if (token.length < 24) {
+        return DyNTS_NpmTokenShape.malformed;
+    }
+    return DyNTS_NpmTokenShape.plausible;
+}
+/**
+ * Publish-oldali npm-hibakodok, amik ELO token mellett JOGOSULTSAG-hianyt jelentenek.
+ *
+ * A lista SZANDEKOSAN tartalmazza az `E404`-et: az npm a `PUT` (publish) kerest is 404-gyel
+ * utasitja el, ha a tokennek nincs irasi joga a csomagra. Elo token mellett ez SOSEM jelentheti,
+ * hogy a csomag hianyzik — hiszen olvasni tudtuk.
+ */
+exports.PUBLISH_RIGHT_ERROR_CODES = ['EOTP', 'E403', 'E404'];
+/**
+ * PURE — a halozati valaszokbol allapot.
+ *
+ * A sorrend SZANDEKOS: a `whoami` az egyetlen csomag-fuggetlen jel, ezert az dont eloszor. Csak
+ * utana ertelmezheto a csomag-szintu 404 — kulonben ugyanaz a 404 jelentene "nincs ilyen csomag"-ot
+ * es "rossz kulcs"-ot is, ami epp a 2026-08-i incidens diagnozisat huzta el.
+ */
+function classifyNpmTokenProbe(input) {
+    // A proba el sem jutott a registryig -> NEM allitunk semmit a tokenrol.
+    if (input.whoamiStatus === null) {
+        return DyNTS_NpmTokenState.unknown;
+    }
+    // 401 = a registry elutasitja a hitelesitest (hianyzo/lejart/visszavont/rossz token).
+    if (input.whoamiStatus === 401) {
+        return DyNTS_NpmTokenState.invalid;
+    }
+    // Barmi mas, ami nem 200: nem tudunk hatarozott allapotot mondani (5xx, rate-limit, proxy).
+    if (input.whoamiStatus !== 200) {
+        return DyNTS_NpmTokenState.unknown;
+    }
+    // Innentol a token IGAZOLTAN el (whoami 200). Ezert BARMILYEN publish-oldali elutasitas
+    // JOGOSULTSAG-hiany, NEM hianyzo csomag:
+    //   EOTP  -> 2FA-bypass hianya,
+    //   E403  -> explicit tiltas,
+    //   E404  -> az npm a PUT-ra is 404-gyel valaszol, ha a tokennek NINCS IRASI joga a csomagra
+    //            (ugyanaz a letezes-elrejtes, mint olvasasnal).
+    // MERVE (2026-08-22): `npm error 404 Not Found - PUT .../@futdevpro%2fnts-dynamo` — mikozben
+    // UGYANAZ a token olvasni tudta a csomagot. Enelkul a megkulonboztetes nelkul ez "nincs ilyen
+    // csomag"-nak latszik, es epp ez vitte felre a diagnozist napokig.
+    if (exports.PUBLISH_RIGHT_ERROR_CODES.includes((input.publishErrorCode ?? '').toUpperCase())) {
+        return DyNTS_NpmTokenState.missingPublishRight;
+    }
+    // Elo token + a scope-olt csomag 404/403 -> a token nem lat ra a csomagra (jogosultsag).
+    if (input.scopedPackageStatus === 404 || input.scopedPackageStatus === 403) {
+        return DyNTS_NpmTokenState.noScopeAccess;
+    }
+    // A csomag-probat nem mertuk, vagy sikeres volt.
+    if (input.scopedPackageStatus === undefined || input.scopedPackageStatus === 200) {
+        return DyNTS_NpmTokenState.ok;
+    }
+    return DyNTS_NpmTokenState.unknown;
+}
+/**
+ * PURE — ember-olvashato magyarazat + a KOVETKEZO LEPES. A puszta allapot-cimke keves: az operator
+ * azt akarja tudni, mit tegyen.
+ */
+function describeNpmTokenState(state) {
+    switch (state) {
+        case DyNTS_NpmTokenState.missing:
+            return 'Nincs beallitva npm-token. Teendo: allitsd be a Keystore/CI kornyezetben (NEM .npmrc-fajlban).';
+        case DyNTS_NpmTokenState.malformed:
+            return 'A token erteke nem npm-token alaku (idezojel, whitespace, vagy a teljes .npmrc-sor kerult be). '
+                + 'Teendo: csak a NYERS token-erteket add meg.';
+        case DyNTS_NpmTokenState.invalid:
+            return 'A registry ELUTASITJA a tokent (401): lejart, visszavont vagy rossz. Teendo: uj token. '
+                + 'FIGYELEM: privat csomagnal ez a hiba a HIVOKNAL 404-kent jelenik meg, nem 401-kent.';
+        case DyNTS_NpmTokenState.noScopeAccess:
+            return 'A token EL, de a vizsgalt scope-hoz/csomaghoz nincs joga (a whoami rendben, a csomag 404/403). '
+                + 'Teendo: a token jogosultsagi koret bovitsd a scope-ra.';
+        case DyNTS_NpmTokenState.missingPublishRight:
+            return 'A token EL es OLVAS, de PUBLIKALNI nem tud (`EOTP` / `E403` / publish-oldali `E404`): '
+                + 'hianyzik az iras/2FA-bypass jog. FIGYELEM: a PUT-ra kapott 404 NEM hianyzo csomagot jelent, '
+                + 'hanem jogosultsag-hianyt. Teendo: automation/granular token IRASI joggal a scope-ra.';
+        case DyNTS_NpmTokenState.ok:
+            return 'A token ervenyes, es a vizsgalt csomagot is eleri.';
+        default:
+            return 'A proba nem jutott el a registryig (halozat/timeout/proxy) — ez NEM bizonyitja, hogy a token rossz.';
+    }
+}
+/**
+ * PURE — token kinyerese egy `.npmrc` TARTALMABOL.
+ *
+ * MIERT KELL: az elso valtozat CSAK a `process.env.NPM_TOKEN`-t nezte, es ezert a sajat
+ * workstationomon `missing`-et adott — HOLOTT az npm ott tokeletesen mukodott, mert a token a
+ * `~/.npmrc`-ben all. Ez HAMIS NEGATIV, es epp a legfontosabb helyeken (runner-kontener, hosztok)
+ * sulna el, ahol a token szinten FAJLBAN van.
+ *
+ * A `.npmrc`-t csak OLVASSUK — letrehozni tilos (flotta-szintu hard rule).
+ */
+function extractTokenFromNpmrc(content, registry = DEFAULT_REGISTRY) {
+    const host = registry.replace(/^https?:/, '').replace(/\/+$/, '');
+    for (const rawLine of content.split(/\r?\n/)) {
+        const line = rawLine.trim();
+        if (!line || line.startsWith('#') || line.startsWith(';')) {
+            continue;
+        }
+        // Alak: `//registry.npmjs.org/:_authToken=<ertek>` (a host elotti `//` a kulcs resze).
+        const match = line.match(/^(\/\/[^:]+):_authToken=(.+)$/);
+        if (!match) {
+            continue;
+        }
+        // A `.npmrc` a hostot ZARO PERJELLEL irja (`//registry.npmjs.org/`), a normalizalt
+        // `host` viszont nelkule all — ezert MINDKET oldalt normalizalni kell. Az elso
+        // valtozatom csak az egyiket tette, es ezert SOSEM illeszkedett (a specek fogtak meg).
+        const lineHost = match[1].replace(/\/+$/, '');
+        if (lineHost !== host) {
+            continue;
+        }
+        const value = match[2].trim().replace(/^["']|["']$/g, '');
+        if (value) {
+            return value;
+        }
+    }
+    return null;
+}
+/**
+ * A token feloldasa a szokasos helyekrol, PRIORITAS szerint:
+ *   1. explicit parameter, 2. `NPM_TOKEN` env, 3. a felhasznaloi `~/.npmrc`.
+ * Sose dob; ha egyik sincs, ures stringet ad.
+ */
+function resolveNpmToken(explicit, registry) {
+    const fromExplicit = (explicit ?? '').trim();
+    if (fromExplicit) {
+        return fromExplicit;
+    }
+    const fromEnv = (process.env.NPM_TOKEN ?? '').trim();
+    if (fromEnv) {
+        return fromEnv;
+    }
+    try {
+        const npmrcPath = path.join(os.homedir(), '.npmrc');
+        if (fs.existsSync(npmrcPath)) {
+            return extractTokenFromNpmrc(fs.readFileSync(npmrcPath, 'utf-8'), registry) ?? '';
+        }
+    }
+    catch {
+        // A fajl-olvasas hibaja NEM buktathatja az ellenorzest.
+    }
+    return '';
+}
+const DEFAULT_REGISTRY = 'https://registry.npmjs.org';
+const DEFAULT_TIMEOUT_MS = 10000;
+/** Egy statusz-lekeres, timeout-tal. `null`, ha el sem jutottunk a szerverig. */
+async function fetchStatus(url, token, timeoutMs) {
+    const controller = new AbortController();
+    const timer = setTimeout(() => { controller.abort(); }, timeoutMs);
+    try {
+        const response = await fetch(url, {
+            headers: token ? { authorization: `Bearer ${token}` } : {},
+            signal: controller.signal,
+        });
+        return response.status;
+    }
+    catch {
+        return null;
+    }
+    finally {
+        clearTimeout(timer);
+    }
+}
+/**
+ * A tenyleges ellenorzes. SOSE dob — a hibat allapotkent adja vissza (a token-ellenorzes nem
+ * buktathat meg semmit, amibe beepitjuk).
+ */
+async function checkNpmToken(options = {}) {
+    const registry = (options.registry ?? DEFAULT_REGISTRY).replace(/\/+$/, '');
+    const token = resolveNpmToken(options.token, registry);
+    const timeoutMs = options.timeoutMs ?? DEFAULT_TIMEOUT_MS;
+    const shape = classifyNpmTokenShape(token);
+    if (shape !== DyNTS_NpmTokenShape.plausible) {
+        const localState = shape === DyNTS_NpmTokenShape.missing
+            ? DyNTS_NpmTokenState.missing
+            : DyNTS_NpmTokenState.malformed;
+        return {
+            state: localState,
+            username: null,
+            detail: describeNpmTokenState(localState),
+            probe: { whoamiStatus: null },
+        };
+    }
+    const whoamiStatus = await fetchStatus(`${registry}/-/whoami`, token, timeoutMs);
+    let username = null;
+    if (whoamiStatus === 200) {
+        try {
+            const response = await fetch(`${registry}/-/whoami`, {
+                headers: { authorization: `Bearer ${token}` },
+            });
+            const body = await response.json();
+            username = typeof body.username === 'string' ? body.username : null;
+        }
+        catch {
+            username = null;
+        }
+    }
+    let scopedPackageStatus;
+    if (options.scopedPackage && whoamiStatus === 200) {
+        const encoded = options.scopedPackage.replace('/', '%2f');
+        const status = await fetchStatus(`${registry}/${encoded}`, token, timeoutMs);
+        scopedPackageStatus = status === null ? undefined : status;
+    }
+    const probe = {
+        whoamiStatus: whoamiStatus,
+        scopedPackageStatus: scopedPackageStatus,
+        publishErrorCode: options.publishErrorCode,
+    };
+    const state = classifyNpmTokenProbe(probe);
+    fsm_dynamo_1.DyFM_Log.info(`[npm-token-check] allapot=${state}${username ? ` user=${username}` : ''} (a token erteke NEM naplozodik)`);
+    return { state: state, username: username, detail: describeNpmTokenState(state), probe: probe };
+}
 //# sourceMappingURL=npm-token-check.util.js.map

package/build/_collections/security-headers.util.d.ts

@@ -1,17 +1,17 @@
-import * as Express from 'express';
-import { DyFM_EnvironmentFlag } from '@futdevpro/fsm-dynamo';
-import { DyNTS_SecurityHeaders_Settings } from '../_models/interfaces/security-headers-settings.interface';
-/**
- * A security response-headerek TISZTA (Express-mentes, unit-tesztelhető) resolvere
- * (BFR-MASTERPROMPTER-011 / SEC-R2-8). A `DyNTS_App.mountSecurityHeaders` ebből épít middleware-t.
- *
- * **HSTS AUTO-env-gate**: ha a `hsts` beállítás nem explicit, CSAK prod environment-en emittálunk
- * (a test-környezeti sticky-HSTS elkerülésére); explicit `hsts.enabled` felülbírálja mindkét irányba.
- */
-export declare function DyNTS_resolveSecurityHeaders(settings: DyNTS_SecurityHeaders_Settings, environment: DyFM_EnvironmentFlag): Record<string, string>;
-/**
- * Express-middleware factory a resolvelt headerekből. A headereket boot-kor EGYSZER resolvoljuk
- * (a settings boot után nem változik), a middleware kérésenként csak setHeader-öl.
- */
-export declare function DyNTS_createSecurityHeadersMiddleware(settings: DyNTS_SecurityHeaders_Settings, environment: DyFM_EnvironmentFlag): Express.Handler;
+import * as Express from 'express';
+import { DyFM_EnvironmentFlag } from '@futdevpro/fsm-dynamo';
+import { DyNTS_SecurityHeaders_Settings } from '../_models/interfaces/security-headers-settings.interface';
+/**
+ * A security response-headerek TISZTA (Express-mentes, unit-tesztelhető) resolvere
+ * (BFR-MASTERPROMPTER-011 / SEC-R2-8). A `DyNTS_App.mountSecurityHeaders` ebből épít middleware-t.
+ *
+ * **HSTS AUTO-env-gate**: ha a `hsts` beállítás nem explicit, CSAK prod environment-en emittálunk
+ * (a test-környezeti sticky-HSTS elkerülésére); explicit `hsts.enabled` felülbírálja mindkét irányba.
+ */
+export declare function DyNTS_resolveSecurityHeaders(settings: DyNTS_SecurityHeaders_Settings, environment: DyFM_EnvironmentFlag): Record<string, string>;
+/**
+ * Express-middleware factory a resolvelt headerekből. A headereket boot-kor EGYSZER resolvoljuk
+ * (a settings boot után nem változik), a middleware kérésenként csak setHeader-öl.
+ */
+export declare function DyNTS_createSecurityHeadersMiddleware(settings: DyNTS_SecurityHeaders_Settings, environment: DyFM_EnvironmentFlag): Express.Handler;
 //# sourceMappingURL=security-headers.util.d.ts.map