@imagina-build/ias-cli 0.1.1 → 0.1.3

package/README.md

@@ -31,13 +31,13 @@ npm install --global @imagina-build/ias-cli
 
 El workflow entra en npm con *trusted publishing* (OIDC, sin token guardado). npmjs.com solo deja que un paquete confíe en un workflow cuando ya existe, así que cada uno se crea antes, a mano y una vez, como un 0.0.0 vacío (`npm login` y `node packages/cli/scripts/publish.mjs --placeholder`); después, en npmjs.com, cada paquete › Settings › Trusted publisher › GitHub Actions: este repositorio y `packages.yml`.
 
-`npm pack` a secas no sirve: no se lleva `packages/shared`, que `src/shared.mjs` importa por su ruta (decisión D5). [`scripts/pack.mjs`](scripts/pack.mjs) prepara una copia con `shared/` dentro (y el SDK compilado), la que publica `scripts/publish.mjs` (con `--dry-run`, sin publicar) y la que deja en `.tgz`:
+`npm pack` a secas no sirve: no se lleva `packages/shared`, que `src/shared.mjs` importa por su ruta (decisión D5). [`scripts/pack.mjs`](scripts/pack.mjs) prepara una copia con `shared/` dentro (y lo mismo con el runner, que lleva además el validador de `ias.json`; y el SDK compilado), la que publica `scripts/publish.mjs` (con `--dry-run`, sin publicar) y la que deja en `.tgz`:
 
 ```bash
 npm run pack:release --prefix packages/cli -- ./release
 ```
 
-Fuera de un clon, `ias build --local` necesita `IAS_RUNNER_MODULE`.
+`ias build --local` toma el runner de `packages/runner` en un clon, o el de `node_modules/@imagina-build/ias-runner` junto al CLI (`npm install --global @imagina-build/ias-runner`), o el de `IAS_RUNNER_MODULE`.
 
 ## 2. Comandos
 
@@ -280,7 +280,7 @@ Con el contrato de [docs/technical/runner-api.md](../../docs/technical/runner-ap
 5. Sigue el estado cada 5 s y el registro según llega, hasta que acaba (Ctrl-C deja de seguirla, no la cancela; `--detach` no la sigue). Sale con 1 si no acaba bien.
 6. Con `--wait`, baja sus artefactos a `~/ias-builds/<app>/<plataforma>-<versión>-<número>` (o `--out`) y comprueba el tamaño y el SHA-256 de cada uno.
 
-**`ias build --local`** hace lo mismo en este Mac, importando `@imagina-build/ias-runner` (`packages/runner`, o `IAS_RUNNER_MODULE`): una plataforma detrás de otra, a baja prioridad, con el cerrojo de la máquina (`--wait` espera a otra build que lo tenga). El material de firma es `--credentials op://<bóveda>/<elemento>` o una carpeta 700, o `IAS_IOS_CREDENTIALS` e `IAS_ANDROID_CREDENTIALS`. No habla con el servidor.
+**`ias build --local`** hace lo mismo en este Mac, importando `@imagina-build/ias-runner` (`packages/runner`, el instalado junto al CLI, o `IAS_RUNNER_MODULE`): una plataforma detrás de otra, a baja prioridad, con el cerrojo de la máquina (`--wait` espera a otra build que lo tenga). El material de firma es `--credentials op://<bóveda>/<elemento>` o una carpeta 700, o `IAS_IOS_CREDENTIALS` e `IAS_ANDROID_CREDENTIALS`. No habla con el servidor.
 
 **`ias builds`**: `list [--status <estado>] [--platform]`, `view <id>`, `logs <id> [--follow]`, `cancel <id>` (quien la lanzó o un `owner`) y `download <id> [--kind ipa,dsyms] [--out <carpeta>]`. El registro es el que mandó el runner, ya limpio de secretos.
 
@@ -391,7 +391,7 @@ No usan red real, claves reales ni 1Password: el certificado lo crea `openssl` e
 - `ias init` con la configuración de jscheduler-app y jero-invoices-app;
 - `ias doctor` con programas simulados;
 - `ias sdk install` y el SDK en `ias doctor` (`test/sdk.test.mjs`): el gestor de cada lockfile, de dónde sale el paquete, el plugin en `app.json` sin perder lo que había, lo que falta y cada estado del SDK, con un gestor de paquetes simulado;
-- el `.tgz` del CLI y la copia que se publica (`test/pack.test.mjs`): lleva `shared/`, funciona sin el repositorio al lado y sale como `@imagina-build/ias-cli`, pública y sin `private`;
+- los `.tgz` del CLI y del runner y la copia que se publica (`test/pack.test.mjs`): llevan `shared/` (el runner, también el validador de `ias.json`), funcionan sin el repositorio al lado, `ias build --local` encuentra el runner instalado junto al CLI, y la copia sale pública y sin `private`;
 - el enrutador, `--json` y los códigos de salida;
 - los envoltorios de `tools/`;
 - **el contrato de la API de gestión** (`test/manage.test.mjs`): un servidor falso responde con las conversaciones de `tests/Fixtures/manage-v1` (escritas a mano o grabadas: el cuerpo vale como valor JSON o como texto), con un `op` y un `security` falsos en el `PATH` (`test/fakes.mjs`), material desechable hecho con `openssl` y `keytool`, y las claves públicas de prueba de `packages/shared/vault/test-vectors/ias-vault-2`. Comprueba lo que pide cada comando, cómo lee cada respuesta y que **ningún secreto** (contraseñas, claves privadas, tokens, el código de dispositivo) sale en stdout, en stderr ni en los argumentos de `op` o `security`;

package/package.json

@@ -1,6 +1,6 @@
 {
     "name": "@imagina-build/ias-cli",
-    "version": "0.1.1",
+    "version": "0.1.3",
     "description": "The command line of Imagina Application Services (IAS): ias.json, OTA updates, internal distribution and the checks of a project.",
     "type": "module",
     "bin": {

package/src/commands/build/local.mjs

@@ -1,20 +1,32 @@
 // ias build --local: the build on this Mac, by @imagina-build/ias-runner imported here (it is the same pipeline the runners
 // use), one platform after the other, never two at a time. The signing material is the runner's CredentialSource
 // (op://vault/item or a 700 folder); nothing goes to the server. IAS_RUNNER_MODULE points at another copy of the runner.
+import { existsSync } from 'node:fs';
 import { resolve } from 'node:path';
 import process from 'node:process';
-import { pathToFileURL } from 'node:url';
+import { fileURLToPath, pathToFileURL } from 'node:url';
 import { IasError } from '../../errors.mjs';
 
-const RUNNER = new URL('../../../../runner/src/index.mjs', import.meta.url);
+/**
+ * Where the runner may be, in order: packages/runner beside packages/cli in this repository, and
+ * node_modules/@imagina-build/ias-runner beside node_modules/@imagina-build/ias-cli (npm install --global, or both in a
+ * project).
+ */
+export const RUNNER_CANDIDATES = [new URL('../../../../runner/src/index.mjs', import.meta.url), new URL('../../../../ias-runner/src/index.mjs', import.meta.url)];
 
-/** The runner module: IAS_RUNNER_MODULE, or the one of this repository (packages/runner). */
+/** The URL of the runner module: IAS_RUNNER_MODULE, or the first of `candidates` that exists (the first if none does). */
+export function runnerLocation({ env, cwd }, candidates = RUNNER_CANDIDATES) {
+  if (env.IAS_RUNNER_MODULE) return pathToFileURL(resolve(cwd, env.IAS_RUNNER_MODULE));
+  return candidates.find((candidate) => existsSync(fileURLToPath(candidate))) ?? candidates[0];
+}
+
+/** The runner module, from runnerLocation. */
 async function runnerModule(context) {
-  const where = context.env.IAS_RUNNER_MODULE ? pathToFileURL(resolve(context.cwd, context.env.IAS_RUNNER_MODULE)) : RUNNER;
+  const where = runnerLocation(context);
   try {
     return await import(where.href);
   } catch (error) {
-    throw new IasError(`@imagina-build/ias-runner is not at ${where.pathname} (${error.code ?? error.message})`, { fix: 'ias build --local needs the runner of packages/runner beside the CLI, or IAS_RUNNER_MODULE pointing at its src/index.mjs', code: 'runner_missing' });
+    throw new IasError(`@imagina-build/ias-runner is not at ${where.pathname} (${error.code ?? error.message})`, { fix: 'ias build --local needs the runner: npm install --global @imagina-build/ias-runner (beside ias), packages/runner beside the CLI in the repository, or IAS_RUNNER_MODULE pointing at its src/index.mjs', code: 'runner_missing' });
   }
 }
 

package/src/commands/init/index.mjs

@@ -13,15 +13,18 @@ const PROFILE = /^[A-Za-z0-9][A-Za-z0-9._-]{0,49}$/;
 
 /** Why a field of eas.json does not go to ias.json. */
 const LEFT_OUT = {
-  env: 'variables go to ias env (track 1D), sealed when they are secret',
-  credentialsSource: 'credentials go to the vault (ias credentials, track 1D)',
-  ascApiKeyPath: 'credentials go to the vault (ias credentials, track 1D)',
-  ascApiKeyId: 'credentials go to the vault (ias credentials, track 1D)',
-  ascApiKeyIssuerId: 'credentials go to the vault (ias credentials, track 1D)',
-  serviceAccountKeyPath: 'credentials go to the vault (ias credentials, track 1D)',
-  appleId: 'credentials go to the vault (ias credentials, track 1D)',
+  env: 'variables go to ias env, sealed when they are secret: ias migrate eas env brings those of EAS',
+  credentialsSource: 'credentials go to the vault: ias credentials import, or ias migrate eas',
+  ascApiKeyPath: 'credentials go to the vault: ias credentials import, or ias migrate eas',
+  ascApiKeyId: 'credentials go to the vault: ias credentials import, or ias migrate eas',
+  ascApiKeyIssuerId: 'credentials go to the vault: ias credentials import, or ias migrate eas',
+  serviceAccountKeyPath: 'credentials go to the vault: ias credentials import, or ias migrate eas',
+  appleId: 'credentials go to the vault: ias credentials import, or ias migrate eas',
 };
-const leftOutReason = (key) => LEFT_OUT[key] ?? 'ias.json has no field for it yet (phase 2 completes the build and submit profiles)';
+const leftOutReason = (key) => LEFT_OUT[key] ?? 'ias.json has no field for it (schema/ias.schema.json lists what its profiles take)';
+
+/** Why eas.json › cli stays out, and where the build numbers go: IAS keeps them on its server (ias version). */
+const cliReason = (cli) => `it configures eas-cli; IAS keeps the build numbers on its server, and autoIncrement takes the next: ${cli?.appVersionSource === 'remote' ? 'EAS keeps them now (appVersionSource remote), and ias migrate eas version brings them' : 'ias version set --from-app-json brings those of app.json'}`;
 
 /** The code of an application made from a slug: lowercase letters, digits and hyphens, up to 32. */
 const codeFromSlug = (slug) => (typeof slug === 'string' ? slug.toLowerCase().replace(/[^a-z0-9-]+/g, '-').replace(/^-+|-+$/g, '').slice(0, 32) : undefined);
@@ -114,7 +117,7 @@ export function initialConfig(dir, { app: appOption } = {}) {
     config.submit = submit;
     from.submit = 'eas.json';
   }
-  for (const key of Object.keys(eas ?? {}).filter((candidate) => !['build', 'submit'].includes(candidate))) leave(`eas.json › ${key}`, key === 'cli' ? 'it configures eas-cli (and with appVersionSource remote, EAS keeps the build numbers: phase 2 decides where IAS keeps them)' : leftOutReason(key));
+  for (const key of Object.keys(eas ?? {}).filter((candidate) => !['build', 'submit'].includes(candidate))) leave(`eas.json › ${key}`, key === 'cli' ? cliReason(eas.cli) : leftOutReason(key));
 
   const secrets = writtenSecrets(config);
   const errors = validate(config);

package/src/team-vault.mjs

@@ -32,7 +32,15 @@ export function vaultItem(context, project, server) {
   return { reference, vault: match[1], title: match[2] };
 }
 
-const op = (args, { env, input } = {}) => spawnSync('op', args, { encoding: 'utf8', env, input, maxBuffer: 1024 * 1024, stdio: ['pipe', 'pipe', 'pipe'] });
+/**
+ * Runs op. With `input`, through cat: Node gives a child a socket for stdin, not a pipe, and op only reads a template
+ * from a pipe ("provide the item category with '--category' flag" otherwise). The template never touches the disk nor
+ * the arguments.
+ */
+const op = (args, { env, input } = {}) => {
+  const [command, commandArgs] = input === undefined ? ['op', args] : ['/bin/sh', ['-c', 'cat | op "$@"', 'sh', ...args]];
+  return spawnSync(command, commandArgs, { encoding: 'utf8', env, input, maxBuffer: 1024 * 1024, stdio: ['pipe', 'pipe', 'pipe'] });
+};
 
 /** The first line of what op said, which names the reference and never a value. */
 const opReason = (result) => (result.error ? result.error.message : (result.stderr || '').trim().split('\n').at(-1) || `exit ${result.status}`);