@ksmv/ui-checks 0.3.0 → 0.3.2

package/CHANGELOG.md

@@ -1,5 +1,15 @@
 # Changelog
 
+## 0.3.2 - 2026-10-01
+
+- **O hash das fontes do tema deixa de depender do fim de linha do checkout.** Num repositório sem regra de fim de linha, o mesmo commit sai com CRLF no Windows e com LF no Linux. Na 0.3.1 e anteriores o hash cobria os bytes do arquivo, então a evidência capturada num sistema era recusada no outro, com código 2: verde na máquina de quem capturou e vermelho no CI. `CRLF` passa a contar como `LF`; qualquer outra diferença continua mudando o hash.
+- **Quem tem fontes de tema em CRLF precisa capturar a evidência de novo uma vez**, porque o hash delas mudou. Evidência de fontes em LF continua válida.
+
+## 0.3.1 - 2026-09-30
+
+- **O CLI volta a rodar quando é chamado por um link simbólico.** Na 0.3.0 e anteriores, pelo `npx`, por um script npm ou pelo `node_modules/.bin` no Linux e no macOS, e em qualquer sistema quando `node_modules` é um link ou uma junção, o comando não executava nada e saía com código `0`: uma verificação verde que não tinha acontecido. A detecção do ponto de entrada passa a comparar os caminhos reais. **Quem roda o verificador num CI Linux deve atualizar e conferir que o passo de fato imprime o relatório.**
+- **Um `#` que não inicia um nome deixa de travar a análise.** Um arquivo TypeScript ou TSX com `#` dentro de uma expressão regular literal, como `/^#\/rota/`, fazia a varredura nunca terminar, até o processo esgotar a memória. A varredura agora sempre avança. Um `#` solto que não compila continua sendo erro operacional de parse (saída 2).
+
 ## 0.3.0 - 2026-09-30
 
 - **Regra `components/override`**, opt-in pelo bloco `components` da configuração. Num componente da biblioteca, ajuste de encaixe por `className` ou `style` (margem, largura, item de flex/grid, posição, visibilidade, alinhamento do texto) é livre; ajuste de aparência ou de arranjo interno exige `data-ui-override="motivo"` no mesmo elemento. Classes fora do catálogo contam como aparência. `className` ou `style` que o checker não consegue ler e props repassadas depois de `className`/`style` também exigem a marca.

package/README.md

@@ -82,7 +82,7 @@ A evidência não é uma exceção manual. O arquivo é recusado, com código `2
 
 - `capturedAt` está no futuro;
 - os seletores diferem dos configurados;
-- o hash das fontes diverge, ou seja, o tema mudou depois da captura;
+- o hash das fontes diverge, ou seja, o tema mudou depois da captura (o fim de linha não conta: o mesmo arquivo em CRLF e em LF tem o mesmo hash);
 - a identidade de um dos contratos diverge da instalada, ou seja, o pacote React mudou depois da captura;
 - falta algum token exigido, ou algum valor ainda contém `var(...)`.
 

package/dist/cli.d.ts

@@ -1,2 +1,9 @@
 #!/usr/bin/env node
 export declare function main(argv?: string[]): Promise<import("./result.js").ExitCode>;
+/**
+ * Whether this module is the script Node was started with. Compared by real
+ * path: through a symbolic link (npm's `.bin` on POSIX, a linked node_modules)
+ * `process.argv[1]` names the link while `import.meta.url` names the file, and
+ * comparing them as written made the CLI do nothing and exit 0.
+ */
+export declare function isEntryPoint(scriptPath: string | undefined, moduleUrl: string): boolean;

package/dist/cli.js

@@ -1,7 +1,8 @@
 #!/usr/bin/env node
+import { realpathSync } from "node:fs";
 import { readFile } from "node:fs/promises";
 import { resolve } from "node:path";
-import { pathToFileURL } from "node:url";
+import { fileURLToPath, pathToFileURL } from "node:url";
 import { approveBaselineGrowth, baselineFor, validateBaseline, writeBaselineFile, } from "./baseline.js";
 import { applyConfiguredSuppressions } from "./governance.js";
 import { formatHumanReport, formatJsonReport, } from "./result.js";
@@ -169,9 +170,23 @@ export async function main(argv = process.argv.slice(2)) {
         return 2;
     }
 }
-const entryPoint = process.argv[1]
-    ? pathToFileURL(resolve(process.argv[1])).href
-    : undefined;
-if (entryPoint === import.meta.url) {
+/**
+ * Whether this module is the script Node was started with. Compared by real
+ * path: through a symbolic link (npm's `.bin` on POSIX, a linked node_modules)
+ * `process.argv[1]` names the link while `import.meta.url` names the file, and
+ * comparing them as written made the CLI do nothing and exit 0.
+ */
+export function isEntryPoint(scriptPath, moduleUrl) {
+    if (!scriptPath)
+        return false;
+    try {
+        return (realpathSync.native(resolve(scriptPath)) ===
+            realpathSync.native(fileURLToPath(moduleUrl)));
+    }
+    catch {
+        return false;
+    }
+}
+if (isEntryPoint(process.argv[1], import.meta.url)) {
     process.exitCode = await main();
 }

package/dist/evidence.js

@@ -16,12 +16,23 @@ function normalizedFiles(root, files) {
         return { absolute, path: fromRoot };
     });
 }
+/**
+ * The same commit is checked out with CRLF on one machine and LF on another
+ * when the repository has no end-of-line rule. The hash says whether the theme
+ * changed since the capture, and a line ending is not a change: CRLF counts as
+ * LF. A lone CR is left alone, and so is everything else.
+ */
+function withLineFeeds(content) {
+    return content.includes("\r\n")
+        ? Buffer.from(content.toString("latin1").replaceAll("\r\n", "\n"), "latin1")
+        : content;
+}
 export async function computeThemeSourceHash(root, files) {
     const hash = createHash("sha256");
     for (const file of normalizedFiles(root, files)) {
         hash.update(file.path);
         hash.update("\0");
-        hash.update(await readFile(file.absolute));
+        hash.update(withLineFeeds(await readFile(file.absolute)));
         hash.update("\0");
     }
     return `sha256:${hash.digest("hex")}`;

package/dist/scan.js

@@ -24,6 +24,19 @@ function scanTypeScript(content, path) {
     const uncovered = [];
     let kind = scanner.scan();
     while (kind !== SyntaxKind.EndOfFile) {
+        // This scan has no parser behind it, so a "#" that starts no name (the one
+        // in /#/, read here as a division) comes back as a zero-width token and
+        // the scanner stays where it was. Read it as the hash it is; if a token
+        // still has no width, step over one character so the scan always ends.
+        if (scanner.getTokenEnd() <= scanner.getTokenStart()) {
+            if (kind === SyntaxKind.PrivateIdentifier)
+                kind = scanner.reScanHashToken();
+            if (scanner.getTokenEnd() <= scanner.getTokenStart()) {
+                scanner.resetTokenState(scanner.getTokenStart() + 1);
+                kind = scanner.scan();
+                continue;
+            }
+        }
         tokens.push({
             end: scanner.getTokenEnd(),
             kind,

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@ksmv/ui-checks",
-  "version": "0.3.0",
+  "version": "0.3.2",
   "description": "Static and computed quality checks for semantic UI token contracts.",
   "keywords": ["accessibility", "design-tokens", "quality", "static-analysis"],
   "license": "Apache-2.0",