@nac3/forge-cli 1.9.1 → 1.9.3

package/dist/core/public_origin.js

@@ -0,0 +1,142 @@
+/**
+ * public_origin -- el origen PUBLICO autorizado de un panel servido detras de
+ * un reverse proxy (Pablo 2026-10-10, desplegando el embed de ADIP-Kikan).
+ *
+ * El panel liga 127.0.0.1 y su guard de requests mutantes exige que el `Host`
+ * y el `Origin` sean loopback: es la defensa contra DNS-rebinding y CSRF, y
+ * para el modo normal (tunel SSH a 127.0.0.1) es exactamente lo que queremos.
+ *
+ * Pero el embed residente se publica por un vhost con `auth_request`
+ * (forge.<host-de-la-app>): nginx reenvia `Host: forge...` y el navegador
+ * manda ese `Origin`, asi que TODO POST/PUT/PATCH/DELETE caia con 403 --
+ * validar la API key, mandar un mensaje, aprobar un modal. El panel cargaba
+ * (los GET pasan) y parecia vivo a medias.
+ *
+ * La solucion NO es relajar el guard: es declarar, por despliegue, el origen
+ * publico legitimo. Va por env var (no por el perfil commiteado) porque es
+ * propio de la VM -- el mismo repo se despliega detras de un sslip.io, de un
+ * dominio real o de ningun proxy:
+ *
+ *   Environment=YF_PUBLIC_ORIGIN=https://forge.35-199-81-8.sslip.io
+ *
+ * Acepta varios separados por coma. Todo lo que no sea loopback ni uno de
+ * estos sigue rechazado.
+ *
+ * ASCII-only.
+ */
+export const LOOPBACK_HOSTNAMES = new Set([
+    'localhost', '127.0.0.1', '::1', '[::1]', '0.0.0.0',
+]);
+/**
+ * Parsea YF_PUBLIC_ORIGIN. Acepta "https://forge.ejemplo.com",
+ * "forge.ejemplo.com" y varias entradas separadas por coma o espacio.
+ * Defensivo: una entrada malformada se ignora en vez de tirar el arranque.
+ */
+export function parsePublicOrigins(raw) {
+    const out = [];
+    const seen = new Set();
+    for (const piece of String(raw || '').split(/[,\s]+/)) {
+        const s = piece.trim();
+        if (!s)
+            continue;
+        let hostname = '', origin = '';
+        if (s.indexOf('://') > 0) {
+            try {
+                const u = new URL(s);
+                hostname = u.hostname.toLowerCase();
+                origin = u.origin.toLowerCase();
+            }
+            catch {
+                continue;
+            }
+        }
+        else {
+            /* solo el host: se acepta cualquier scheme contra ese host. Se exige al
+             * menos un punto para no tragarse palabras sueltas de un valor mal
+             * escrito ("no una url" no son tres hosts). */
+            hostname = s.toLowerCase().replace(/\/+$/, '');
+            if (!/^[a-z0-9-]+(\.[a-z0-9-]+)+(:\d+)?$/.test(hostname))
+                continue;
+            hostname = hostname.split(':')[0];
+        }
+        if (!hostname)
+            continue;
+        const key = hostname + '|' + origin;
+        if (seen.has(key))
+            continue;
+        seen.add(key);
+        out.push({ hostname, origin });
+    }
+    return out;
+}
+/** El hostname que declara un header Host (sin puerto, en minuscula). */
+export function hostnameFromHostHeader(hostHeader) {
+    const h = String(hostHeader || '').trim().toLowerCase();
+    if (!h)
+        return '';
+    if (h.charAt(0) === '[') { /* [::1]:4847 */
+        const close = h.indexOf(']');
+        return close > 0 ? h.slice(0, close + 1) : h;
+    }
+    return h.split(':')[0];
+}
+/**
+ * Decide si un request mutante puede pasar, dado su Host, su Origin y los
+ * origenes publicos declarados. Pura: la testea `public-origin` y la usa el
+ * guard del chat server.
+ */
+export function checkMutatingRequest(hostHeader, originHeader, allowed) {
+    const host = hostnameFromHostHeader(hostHeader);
+    const hostOk = !host
+        || LOOPBACK_HOSTNAMES.has(host)
+        || allowed.some((a) => a.hostname === host);
+    if (!hostOk) {
+        return {
+            ok: false,
+            reason: 'Host no-loopback rechazado (posible DNS-rebinding): ' + host.slice(0, 60)
+                + (allowed.length
+                    ? ''
+                    : '. Si este panel se sirve detras de un reverse proxy, declara su origen publico'
+                        + ' en la env var YF_PUBLIC_ORIGIN del servicio.'),
+        };
+    }
+    const origin = String(originHeader || '').trim();
+    if (origin && origin.toLowerCase() !== 'null') {
+        let oh = '', oorigin = '';
+        try {
+            const u = new URL(origin);
+            oh = u.hostname.toLowerCase();
+            oorigin = u.origin.toLowerCase();
+        }
+        catch {
+            return { ok: false, reason: 'Origin malformado' };
+        }
+        const originOk = LOOPBACK_HOSTNAMES.has(oh)
+            || LOOPBACK_HOSTNAMES.has('[' + oh + ']')
+            /* con origen declarado se exige el origen COMPLETO (scheme + puerto)
+             * cuando se declaro con scheme; si solo se declaro el host, basta el host */
+            || allowed.some((a) => (a.origin ? a.origin === oorigin : a.hostname === oh));
+        if (!originOk) {
+            return {
+                ok: false,
+                reason: 'Origin cross-site rechazado (CSRF): ' + origin.slice(0, 80)
+                    + (allowed.length
+                        ? ''
+                        : '. Si este panel se sirve detras de un reverse proxy, declara su origen publico'
+                            + ' en la env var YF_PUBLIC_ORIGIN del servicio.'),
+            };
+        }
+    }
+    return { ok: true };
+}
+let CACHE = null;
+/** Los origenes publicos declarados para este proceso (cacheado por valor). */
+export function publicOrigins() {
+    const raw = String(process.env.YF_PUBLIC_ORIGIN || '');
+    if (!CACHE || CACHE.raw !== raw)
+        CACHE = { raw, parsed: parsePublicOrigins(raw) };
+    return CACHE.parsed;
+}
+/** Para tests. */
+export function _resetPublicOriginsCache() { CACHE = null; }
+//# sourceMappingURL=public_origin.js.map

package/dist/core/public_origin.js.map

@@ -0,0 +1 @@
+{"version":3,"file":"public_origin.js","sourceRoot":"","sources":["../../src/core/public_origin.ts"],"names":[],"mappings":"AAAA;;;;;;;;;;;;;;;;;;;;;;;;;GAyBG;AAEH,MAAM,CAAC,MAAM,kBAAkB,GAAwB,IAAI,GAAG,CAAC;IAC7D,WAAW,EAAE,WAAW,EAAE,KAAK,EAAE,OAAO,EAAE,SAAS;CACpD,CAAC,CAAC;AASH;;;;GAIG;AACH,MAAM,UAAU,kBAAkB,CAAC,GAA8B;IAC/D,MAAM,GAAG,GAAmB,EAAE,CAAC;IAC/B,MAAM,IAAI,GAAG,IAAI,GAAG,EAAU,CAAC;IAC/B,KAAK,MAAM,KAAK,IAAI,MAAM,CAAC,GAAG,IAAI,EAAE,CAAC,CAAC,KAAK,CAAC,QAAQ,CAAC,EAAE,CAAC;QACtD,MAAM,CAAC,GAAG,KAAK,CAAC,IAAI,EAAE,CAAC;QACvB,IAAI,CAAC,CAAC;YAAE,SAAS;QACjB,IAAI,QAAQ,GAAG,EAAE,EAAE,MAAM,GAAG,EAAE,CAAC;QAC/B,IAAI,CAAC,CAAC,OAAO,CAAC,KAAK,CAAC,GAAG,CAAC,EAAE,CAAC;YACzB,IAAI,CAAC;gBACH,MAAM,CAAC,GAAG,IAAI,GAAG,CAAC,CAAC,CAAC,CAAC;gBACrB,QAAQ,GAAG,CAAC,CAAC,QAAQ,CAAC,WAAW,EAAE,CAAC;gBACpC,MAAM,GAAG,CAAC,CAAC,MAAM,CAAC,WAAW,EAAE,CAAC;YAClC,CAAC;YAAC,MAAM,CAAC;gBAAC,SAAS;YAAC,CAAC;QACvB,CAAC;aAAM,CAAC;YACN;;2DAE+C;YAC/C,QAAQ,GAAG,CAAC,CAAC,WAAW,EAAE,CAAC,OAAO,CAAC,MAAM,EAAE,EAAE,CAAC,CAAC;YAC/C,IAAI,CAAC,oCAAoC,CAAC,IAAI,CAAC,QAAQ,CAAC;gBAAE,SAAS;YACnE,QAAQ,GAAG,QAAQ,CAAC,KAAK,CAAC,GAAG,CAAC,CAAC,CAAC,CAAW,CAAC;QAC9C,CAAC;QACD,IAAI,CAAC,QAAQ;YAAE,SAAS;QACxB,MAAM,GAAG,GAAG,QAAQ,GAAG,GAAG,GAAG,MAAM,CAAC;QACpC,IAAI,IAAI,CAAC,GAAG,CAAC,GAAG,CAAC;YAAE,SAAS;QAC5B,IAAI,CAAC,GAAG,CAAC,GAAG,CAAC,CAAC;QACd,GAAG,CAAC,IAAI,CAAC,EAAE,QAAQ,EAAE,MAAM,EAAE,CAAC,CAAC;IACjC,CAAC;IACD,OAAO,GAAG,CAAC;AACb,CAAC;AAED,yEAAyE;AACzE,MAAM,UAAU,sBAAsB,CAAC,UAAkB;IACvD,MAAM,CAAC,GAAG,MAAM,CAAC,UAAU,IAAI,EAAE,CAAC,CAAC,IAAI,EAAE,CAAC,WAAW,EAAE,CAAC;IACxD,IAAI,CAAC,CAAC;QAAE,OAAO,EAAE,CAAC;IAClB,IAAI,CAAC,CAAC,MAAM,CAAC,CAAC,CAAC,KAAK,GAAG,EAAE,CAAC,CAAuB,gBAAgB;QAC/D,MAAM,KAAK,GAAG,CAAC,CAAC,OAAO,CAAC,GAAG,CAAC,CAAC;QAC7B,OAAO,KAAK,GAAG,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,KAAK,CAAC,CAAC,EAAE,KAAK,GAAG,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC;IAC/C,CAAC;IACD,OAAO,CAAC,CAAC,KAAK,CAAC,GAAG,CAAC,CAAC,CAAC,CAAW,CAAC;AACnC,CAAC;AAOD;;;;GAIG;AACH,MAAM,UAAU,oBAAoB,CAClC,UAAkB,EAClB,YAAuC,EACvC,OAAuB;IAEvB,MAAM,IAAI,GAAG,sBAAsB,CAAC,UAAU,CAAC,CAAC;IAChD,MAAM,MAAM,GAAG,CAAC,IAAI;WACf,kBAAkB,CAAC,GAAG,CAAC,IAAI,CAAC;WAC5B,OAAO,CAAC,IAAI,CAAC,CAAC,CAAC,EAAE,EAAE,CAAC,CAAC,CAAC,QAAQ,KAAK,IAAI,CAAC,CAAC;IAC9C,IAAI,CAAC,MAAM,EAAE,CAAC;QACZ,OAAO;YACL,EAAE,EAAE,KAAK;YACT,MAAM,EAAE,sDAAsD,GAAG,IAAI,CAAC,KAAK,CAAC,CAAC,EAAE,EAAE,CAAC;kBAC9E,CAAC,OAAO,CAAC,MAAM;oBACf,CAAC,CAAC,EAAE;oBACJ,CAAC,CAAC,gFAAgF;0BAC9E,+CAA+C,CAAC;SACzD,CAAC;IACJ,CAAC;IACD,MAAM,MAAM,GAAG,MAAM,CAAC,YAAY,IAAI,EAAE,CAAC,CAAC,IAAI,EAAE,CAAC;IACjD,IAAI,MAAM,IAAI,MAAM,CAAC,WAAW,EAAE,KAAK,MAAM,EAAE,CAAC;QAC9C,IAAI,EAAE,GAAG,EAAE,EAAE,OAAO,GAAG,EAAE,CAAC;QAC1B,IAAI,CAAC;YACH,MAAM,CAAC,GAAG,IAAI,GAAG,CAAC,MAAM,CAAC,CAAC;YAC1B,EAAE,GAAG,CAAC,CAAC,QAAQ,CAAC,WAAW,EAAE,CAAC;YAC9B,OAAO,GAAG,CAAC,CAAC,MAAM,CAAC,WAAW,EAAE,CAAC;QACnC,CAAC;QAAC,MAAM,CAAC;YACP,OAAO,EAAE,EAAE,EAAE,KAAK,EAAE,MAAM,EAAE,mBAAmB,EAAE,CAAC;QACpD,CAAC;QACD,MAAM,QAAQ,GAAG,kBAAkB,CAAC,GAAG,CAAC,EAAE,CAAC;eACtC,kBAAkB,CAAC,GAAG,CAAC,GAAG,GAAG,EAAE,GAAG,GAAG,CAAC;YACzC;yFAC6E;eAC1E,OAAO,CAAC,IAAI,CAAC,CAAC,CAAC,EAAE,EAAE,CAAC,CAAC,CAAC,CAAC,MAAM,CAAC,CAAC,CAAC,CAAC,CAAC,MAAM,KAAK,OAAO,CAAC,CAAC,CAAC,CAAC,CAAC,QAAQ,KAAK,EAAE,CAAC,CAAC,CAAC;QAChF,IAAI,CAAC,QAAQ,EAAE,CAAC;YACd,OAAO;gBACL,EAAE,EAAE,KAAK;gBACT,MAAM,EAAE,sCAAsC,GAAG,MAAM,CAAC,KAAK,CAAC,CAAC,EAAE,EAAE,CAAC;sBAChE,CAAC,OAAO,CAAC,MAAM;wBACf,CAAC,CAAC,EAAE;wBACJ,CAAC,CAAC,gFAAgF;8BAC9E,+CAA+C,CAAC;aACzD,CAAC;QACJ,CAAC;IACH,CAAC;IACD,OAAO,EAAE,EAAE,EAAE,IAAI,EAAE,CAAC;AACtB,CAAC;AAED,IAAI,KAAK,GAAmD,IAAI,CAAC;AAEjE,+EAA+E;AAC/E,MAAM,UAAU,aAAa;IAC3B,MAAM,GAAG,GAAG,MAAM,CAAC,OAAO,CAAC,GAAG,CAAC,gBAAgB,IAAI,EAAE,CAAC,CAAC;IACvD,IAAI,CAAC,KAAK,IAAI,KAAK,CAAC,GAAG,KAAK,GAAG;QAAE,KAAK,GAAG,EAAE,GAAG,EAAE,MAAM,EAAE,kBAAkB,CAAC,GAAG,CAAC,EAAE,CAAC;IAClF,OAAO,KAAK,CAAC,MAAM,CAAC;AACtB,CAAC;AAED,kBAAkB;AAClB,MAAM,UAAU,wBAAwB,KAAW,KAAK,GAAG,IAAI,CAAC,CAAC,CAAC"}

package/dist/version.d.ts

@@ -2,5 +2,5 @@
  * Yujin Forge CLI version. Kept in sync with package.json by the npm
  * "version" lifecycle (scripts/sync_version.mjs) so the two never drift.
  */
-export declare const VERSION = "1.9.1";
+export declare const VERSION = "1.9.3";
 //# sourceMappingURL=version.d.ts.map

package/dist/version.js

@@ -2,5 +2,5 @@
  * Yujin Forge CLI version. Kept in sync with package.json by the npm
  * "version" lifecycle (scripts/sync_version.mjs) so the two never drift.
  */
-export const VERSION = '1.9.1';
+export const VERSION = '1.9.3';
 //# sourceMappingURL=version.js.map

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@nac3/forge-cli",
-  "version": "1.9.1",
+  "version": "1.9.3",
   "description": "Yujin Forge -- voice-first NAC-3 React development framework. CLI + chat panel + spec ingest + 10-format document reader + voice loop.",
   "license": "SEE LICENSE IN LICENSE",
   "author": "Pablo Kuschnirof <pablo@rpaforce.com>",