@mostajs/blob-store 0.2.0 → 0.3.0

package/dist/drivers/sigv4.js

@@ -2,19 +2,24 @@
 // Author: Dr Hamid MADANI <drmdh@msn.com>
 // License: AGPL-3.0-or-later
 //
-// ZÉRO DÉPENDANCE. S3 n'est que du HTTP signé : inutile de tirer `@aws-sdk/client-s3`
-// (des dizaines de Mo de dépendances) pour poser et relire des octets. On signe nous-mêmes,
-// avec `node:crypto` — et le pilote fonctionne alors avec TOUT service S3-compatible
-// (AWS, MinIO, Scaleway, Wasabi, Backblaze…), pas seulement AWS.
+// S3 n'est que du HTTP signé : inutile de tirer `@aws-sdk/client-s3` (des dizaines de Mo de
+// dépendances) pour poser et relire des octets. On signe nous-mêmes — et le pilote fonctionne
+// alors avec TOUT service S3-compatible (AWS, MinIO, Scaleway, Wasabi, Backblaze…), pas
+// seulement AWS.
 //
 // Référence : AWS Signature Version 4 — « Create a signed request ».
 // La correction de ce fichier est vérifiée contre les VECTEURS OFFICIELS d'AWS
 // (test-scripts/sigv4.test.mjs) : une signature fausse échouerait en silence côté serveur,
 // avec un « 403 SignatureDoesNotMatch » indéchiffrable.
-import { createHash, createHmac } from 'node:crypto';
+// Les primitives viennent de @mostajs/crypto-box — la MAISON UNIQUE des primitives de
+// l'écosystème. blob-store gagne ainsi UNE dépendance (kernel → kernel, autorisée §5.bis) et
+// perd son « zéro dépendance » LITTÉRAL. Le prix est assumé : c'est ce qui garantit qu'un
+// durcissement cryptographique profite à TOUS les modules, au lieu de rester bloqué dans
+// celui qui l'a écrit — la divergence exacte qu'on a trouvée entre url et storage.
+import { sha256, hmacSha256Bytes } from '@mostajs/crypto-box';
 const ALGO = 'AWS4-HMAC-SHA256';
-const sha256hex = (data) => createHash('sha256').update(data).digest('hex');
-const hmac = (key, data) => createHmac('sha256', key).update(data, 'utf8').digest();
+const sha256hex = (data) => sha256(data);
+const hmac = (key, data) => hmacSha256Bytes(key, data);
 /** sha256 hex d'une charge utile (à passer en `payloadHash`). */
 export function hashPayload(body) {
     return sha256hex(body ?? '');
@@ -96,7 +101,7 @@ export function signRequest(args) {
     const scope = `${dateStamp}/${args.region}/${service}/aws4_request`;
     const stringToSign = [ALGO, stamp, scope, sha256hex(canonical)].join('\n');
     const key = signingKey(args.credentials.secretAccessKey, dateStamp, args.region, service);
-    const signature = createHmac('sha256', key).update(stringToSign, 'utf8').digest('hex');
+    const signature = hmacSha256Bytes(key, stringToSign).toString('hex');
     const authorization = `${ALGO} Credential=${args.credentials.accessKeyId}/${scope}, ` +
         `SignedHeaders=${signedHeaders}, Signature=${signature}`;
     return { authorization, headers: { ...headers, authorization } };

package/package.json

@@ -1,7 +1,7 @@
 {
   "name": "@mostajs/blob-store",
-  "version": "0.2.0",
-  "description": "Ranger des octets — contrat StorageDriver (put/get/delete/exists/stat/list) + pilotes filesystem, caching et S3 (SigV4 intégré, tout service S3-compatible). Primitive N0, zéro dépendance.",
+  "version": "0.3.0",
+  "description": "Ranger des octets — contrat StorageDriver + pilotes filesystem, caching et S3 (SigV4 intégré, tout service S3-compatible). Primitive N0. Primitives crypto déléguées à @mostajs/crypto-box.",
   "license": "AGPL-3.0-or-later",
   "author": "Dr Hamid MADANI <drmdh@msn.com>",
   "type": "module",
@@ -67,5 +67,8 @@
     "@mostajs/mjs-unit": "^0.3.1",
     "@types/node": "^20.19.43",
     "typescript": "^5.6.0"
+  },
+  "dependencies": {
+    "@mostajs/crypto-box": "^0.2.0"
   }
 }