@imenam/mcp-messenger 1.0.5 → 1.0.7

package/dist/src/server/console-session.d.ts

@@ -0,0 +1,30 @@
+import type { Request } from "express";
+/**
+ * Sessions de la console web.
+ *
+ * Le navigateur ne peut pas poser d'en-tête sur une navigation, et faire transiter le
+ * jeton dans l'URL le dépose dans l'historique et les journaux d'accès du proxy. La
+ * console s'ouvre donc sans jeton, le demande une fois dans un formulaire, et reçoit en
+ * retour un identifiant de session opaque dans un cookie `HttpOnly`.
+ *
+ * Le cookie ne porte jamais le jeton lui-même : sa fuite ne donne qu'une session, à durée
+ * limitée, que le serveur oublie au redémarrage. Il n'est honoré que sur `/admin` et
+ * `/ui` : l'API des agents reste sur le Bearer, un site tiers ne peut donc pas faire
+ * agir un agent à travers le navigateur de l'administrateur.
+ */
+export declare const CONSOLE_COOKIE = "messenger_console";
+export declare class ConsoleSessions {
+    readonly ttlMs: number;
+    private readonly now;
+    private readonly sessions;
+    constructor(ttlMs?: number, now?: () => number);
+    /** Ouvre une session et rend son identifiant, seul contenu du cookie. */
+    create(): string;
+    /** Vrai si l'identifiant désigne une session encore valide. */
+    has(id: string | null): boolean;
+    revoke(id: string | null): void;
+    get size(): number;
+    private prune;
+}
+/** Identifiant de session porté par la requête, s'il y en a un. */
+export declare function consoleSessionId(req: Request): string | null;

package/dist/src/server/console-session.js

@@ -0,0 +1,85 @@
+import { randomBytes, timingSafeEqual } from "node:crypto";
+/**
+ * Sessions de la console web.
+ *
+ * Le navigateur ne peut pas poser d'en-tête sur une navigation, et faire transiter le
+ * jeton dans l'URL le dépose dans l'historique et les journaux d'accès du proxy. La
+ * console s'ouvre donc sans jeton, le demande une fois dans un formulaire, et reçoit en
+ * retour un identifiant de session opaque dans un cookie `HttpOnly`.
+ *
+ * Le cookie ne porte jamais le jeton lui-même : sa fuite ne donne qu'une session, à durée
+ * limitée, que le serveur oublie au redémarrage. Il n'est honoré que sur `/admin` et
+ * `/ui` : l'API des agents reste sur le Bearer, un site tiers ne peut donc pas faire
+ * agir un agent à travers le navigateur de l'administrateur.
+ */
+export const CONSOLE_COOKIE = "messenger_console";
+/** Durée de vie d'une session : assez pour une journée de supervision, pas plus. */
+const SESSION_TTL_MS = 12 * 60 * 60 * 1000;
+export class ConsoleSessions {
+    ttlMs;
+    now;
+    sessions = new Map();
+    constructor(ttlMs = SESSION_TTL_MS, now = Date.now) {
+        this.ttlMs = ttlMs;
+        this.now = now;
+    }
+    /** Ouvre une session et rend son identifiant, seul contenu du cookie. */
+    create() {
+        this.prune();
+        const id = randomBytes(32).toString("base64url");
+        this.sessions.set(id, { expiresAt: this.now() + this.ttlMs });
+        return id;
+    }
+    /** Vrai si l'identifiant désigne une session encore valide. */
+    has(id) {
+        if (!id)
+            return false;
+        // Parcours à temps constant : la Map compare ses clés en temps variable, ce qui
+        // laisserait deviner un identifiant octet par octet.
+        let match = null;
+        const presented = Buffer.from(id);
+        for (const [key, session] of this.sessions) {
+            const candidate = Buffer.from(key);
+            if (candidate.length === presented.length && timingSafeEqual(candidate, presented))
+                match = session;
+        }
+        if (!match)
+            return false;
+        if (match.expiresAt <= this.now()) {
+            this.sessions.delete(id);
+            return false;
+        }
+        return true;
+    }
+    revoke(id) {
+        if (id)
+            this.sessions.delete(id);
+    }
+    get size() {
+        this.prune();
+        return this.sessions.size;
+    }
+    prune() {
+        const now = this.now();
+        for (const [id, session] of this.sessions) {
+            if (session.expiresAt <= now)
+                this.sessions.delete(id);
+        }
+    }
+}
+/** Identifiant de session porté par la requête, s'il y en a un. */
+export function consoleSessionId(req) {
+    const header = req.headers.cookie;
+    if (!header)
+        return null;
+    for (const part of header.split(";")) {
+        const separator = part.indexOf("=");
+        if (separator < 0)
+            continue;
+        if (part.slice(0, separator).trim() !== CONSOLE_COOKIE)
+            continue;
+        const value = part.slice(separator + 1).trim();
+        return value ? decodeURIComponent(value) : null;
+    }
+    return null;
+}

package/dist/src/server/start.js

@@ -43,8 +43,7 @@ export async function runServerMode() {
     logger.info(`mcp-messenger v${APP_VERSION} listening on ${running.url} (loopback only)`);
     logger.info(`database: ${config.dbPath}`);
     logger.info(`auth: ${authMode} — required on every request`);
-    // Le jeton n'est pas écrit dans les logs : seule sa provenance est rappelée.
-    logger.info(`web console: ${running.url}/ui/?token=<MESSENGER_ADMIN_TOKEN>`);
+    logger.info(`web console: ${running.url}/ui/ (asks for MESSENGER_ADMIN_TOKEN once)`);
     let shuttingDown = false;
     const shutdown = (signal) => {
         if (shuttingDown)

package/dist/src/server/ui/app.js

@@ -1,15 +1,12 @@
 // Console de supervision : lecture seule sur les routes /admin du serveur.
 // Tout le contenu affiché provient d'agents : il est inséré via textContent uniquement.
 
-const TOKEN_KEY = "messenger.admin.token";
 const REFRESH_MS = 5000;
 
-// Le serveur exige un jeton sur toute requête, y compris celle qui a servi cette page :
-// il est propagé sur l'URL de ce script. On le reprend tel quel comme jeton de session.
-const TOKEN_FROM_URL = new URL(import.meta.url).searchParams.get("token");
+// L'authentification tient dans un cookie de session HttpOnly posé par `/ui/login` :
+// ce script ne voit jamais le jeton, et ne stocke rien dans le navigateur.
 
 const state = {
-  token: TOKEN_FROM_URL || localStorage.getItem(TOKEN_KEY) || "",
   agent: null,
   search: "",
   selectedMessageId: null,
@@ -28,10 +25,10 @@ const el = {
   clearFilters: document.getElementById("clear-filters"),
   refresh: document.getElementById("refresh"),
   autoRefresh: document.getElementById("auto-refresh"),
-  tokenBar: document.getElementById("token-bar"),
+  logout: document.getElementById("logout"),
+  loginForm: document.getElementById("login-form"),
   tokenInput: document.getElementById("token"),
   tokenError: document.getElementById("token-error"),
-  saveToken: document.getElementById("save-token"),
 };
 
 async function api(path, params) {
@@ -39,12 +36,10 @@ async function api(path, params) {
   for (const [key, value] of Object.entries(params || {})) {
     if (value !== undefined && value !== null && value !== "") url.searchParams.set(key, value);
   }
-  const headers = { accept: "application/json" };
-  if (state.token) headers.authorization = "Bearer " + state.token;
 
-  const response = await fetch(url, { headers });
+  const response = await fetch(url, { headers: { accept: "application/json" }, credentials: "same-origin" });
   if (response.status === 401) {
-    el.tokenBar.hidden = false;
+    setLoggedIn(false);
     throw new Error("unauthorized");
   }
   if (!response.ok) {
@@ -54,6 +49,12 @@ async function api(path, params) {
   return response.json();
 }
 
+function setLoggedIn(loggedIn) {
+  el.loginForm.hidden = loggedIn;
+  el.logout.hidden = !loggedIn;
+  if (!loggedIn) el.tokenInput.focus();
+}
+
 /** Remplace le contenu du panneau de détail (et retire l'état « vide » hérité du HTML). */
 function setDetail(child, empty) {
   el.detail.className = empty ? "empty" : "detail-content";
@@ -86,8 +87,11 @@ function renderAgents(overview) {
 
   for (const agent of overview.agents) {
     const item = node("li", state.agent === agent.id ? "selected" : "");
-    // Le nom d'abord : l'adresse ne dit rien à l'utilisateur, elle reste là pour être copiée.
-    item.appendChild(node("div", "name", agent.display_name || "sans nom"));
+    // Deux noms, deux questions : l'agent dit d'où l'on écrit (le projet), la boîte de quoi
+    // cette session s'occupe. L'un sans l'autre ne suffit pas à s'y retrouver.
+    // L'adresse ne dit rien à l'utilisateur, elle reste là pour être copiée.
+    item.appendChild(node("div", "name", agent.agent_name || "agent sans nom"));
+    item.appendChild(node("div", "mailbox-name", agent.display_name || "boîte sans nom"));
     item.appendChild(node("div", "id", agent.id));
     item.appendChild(
       node("div", "muted", "envoyés " + agent.sent + " · reçus " + agent.received + " · non lus " + agent.unread)
@@ -131,7 +135,7 @@ function renderMessages(messages) {
     // Le nom du fil dit de quelle conversation relève le message ; sans nom, rien à afficher.
     if (message.thread_title) item.appendChild(node("div", "thread-name", message.thread_title));
     item.appendChild(
-      node("div", "route", message.from + " → " + (message.to.join(", ") || "—") + " · " + formatDate(message.created_at))
+      node("div", "route", message.from + " → " + (message.to || "—") + " · " + formatDate(message.created_at))
     );
     item.appendChild(node("div", "preview", message.preview));
     item.addEventListener("click", () => openMessage(message.message_id));
@@ -160,8 +164,7 @@ function renderDetail(message) {
       "De " +
         message.from +
         " · À " +
-        (message.to.join(", ") || "—") +
-        (message.cc.length ? " · Cc " + message.cc.join(", ") : "") +
+        (message.to || "—") +
         "\n" +
         formatDate(message.created_at) +
         " · priorité " +
@@ -225,7 +228,7 @@ async function showThread(threadId) {
       const block = node("div", "thread-message");
       block.appendChild(node("div", "subject", message.subject));
       block.appendChild(
-        node("div", "meta", message.from + " → " + (message.to.join(", ") || "—") + " · " + formatDate(message.created_at))
+        node("div", "meta", message.from + " → " + (message.to || "—") + " · " + formatDate(message.created_at))
       );
       block.appendChild(node("div", "preview", message.preview));
       const openButton = node("button", "link", "ouvrir");
@@ -245,7 +248,7 @@ async function refresh(options) {
       api("/admin/overview"),
       api("/admin/messages", { agent: state.agent, search: state.search, thread_id: state.threadId, limit: 100 }),
     ]);
-    el.tokenBar.hidden = true;
+    setLoggedIn(true);
     renderAgents(overview);
     renderMessages(list.messages);
     if (!options || !options.keepDetail) {
@@ -279,17 +282,39 @@ el.search.addEventListener("input", (event) => {
   searchTimer = setTimeout(() => refresh({ keepDetail: true }), 250);
 });
 
-el.saveToken.addEventListener("click", () => {
-  state.token = el.tokenInput.value.trim();
-  localStorage.setItem(TOKEN_KEY, state.token);
+el.loginForm.addEventListener("submit", async (event) => {
+  event.preventDefault();
   el.tokenError.textContent = "";
-  refresh({ keepDetail: true }).then(() => {
-    if (!el.tokenBar.hidden) el.tokenError.textContent = "jeton refusé";
-  });
+  const token = el.tokenInput.value.trim();
+  if (!token) return;
+  const response = await fetch("/ui/login", {
+    method: "POST",
+    headers: { "content-type": "application/json" },
+    credentials: "same-origin",
+    body: JSON.stringify({ token }),
+  }).catch(() => null);
+  // Le champ est vidé dans tous les cas : le jeton ne reste pas affiché dans la page.
+  el.tokenInput.value = "";
+  if (!response || !response.ok) {
+    el.tokenError.textContent = response && response.status === 429 ? "trop de tentatives, réessayez plus tard" : "jeton refusé";
+    return;
+  }
+  refresh();
+});
+
+el.logout.addEventListener("click", async () => {
+  await fetch("/ui/logout", { method: "POST", credentials: "same-origin" }).catch(() => null);
+  setLoggedIn(false);
+  el.statusDot.className = "dot";
+  el.serverStats.textContent = "déconnecté";
+  el.agents.replaceChildren();
+  el.messages.replaceChildren();
+  state.selectedMessageId = null;
+  setDetail(node("div", null, "Sélectionnez un message pour voir son contenu."), true);
 });
 
 setInterval(() => {
-  if (el.autoRefresh.checked) refresh({ keepDetail: true });
+  if (el.autoRefresh.checked && el.loginForm.hidden) refresh({ keepDetail: true });
 }, REFRESH_MS);
 
 refresh();

package/dist/src/server/ui/index.html

@@ -19,15 +19,16 @@
           rafraîchissement auto
         </label>
         <button id="refresh">Rafraîchir</button>
+        <button id="logout" hidden>Se déconnecter</button>
       </div>
     </header>
 
-    <div id="token-bar" class="token-bar" hidden>
+    <form id="login-form" class="token-bar" hidden>
       <label for="token">Jeton d'accès requis</label>
-      <input type="password" id="token" placeholder="MESSENGER_ADMIN_TOKEN ou MESSENGER_TOKEN" />
-      <button id="save-token">Se connecter</button>
+      <input type="password" id="token" autocomplete="current-password" placeholder="MESSENGER_ADMIN_TOKEN" />
+      <button type="submit">Se connecter</button>
       <span class="error" id="token-error"></span>
-    </div>
+    </form>
 
     <main>
       <aside class="panel agents">

package/dist/src/server/ui/styles.css

@@ -121,6 +121,7 @@ input[type="password"] {
 }
 
 .token-bar {
+  margin: 0;
   display: flex;
   align-items: center;
   gap: 10px;
@@ -184,6 +185,11 @@ ul {
   font-weight: 600;
 }
 
+/* Le nom de la boîte, sous celui de l'agent : le sujet de la session, sans lui voler la vedette. */
+.agents .mailbox-name {
+  font-size: 12px;
+}
+
 /* L'adresse reste lisible pour être recopiée, mais ne prend plus le pas sur le nom. */
 .agents .id {
   color: var(--muted);

package/dist/src/version.d.ts

@@ -1 +1 @@
-export declare const APP_VERSION = "1.0.5";
+export declare const APP_VERSION = "1.0.7";

package/dist/src/version.js

@@ -1,2 +1,2 @@
 // Généré par scripts/generate-version.js — ne pas modifier à la main.
-export const APP_VERSION = "1.0.5";
+export const APP_VERSION = "1.0.7";

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@imenam/mcp-messenger",
-  "version": "1.0.5",
+  "version": "1.0.7",
   "main": "dist/src/index.js",
   "scripts": {
     "test": "npm run build && vitest run",