@nodefony/devkit 10.0.0-alpha.9 → 10.0.0-beta.1

package/dist/index.js

@@ -33,7 +33,8 @@ let DevkitModule = class DevkitModule extends Module {
 	* fautif nommé, plutôt qu'en `undefined.x` au premier appel en production.
 	*/
 	async onKernelRegister() {
-		this.options = defineDevkitConfig(this.options ?? {});
+		const input = this.options;
+		this.options = defineDevkitConfig(input ?? {});
 		return this;
 	}
 };

package/dist/nodefony/service/DevkitService.js

@@ -57,7 +57,8 @@ let DevkitService = class DevkitService extends Service {
 	module;
 	cfg;
 	constructor(module) {
-		const merged = extend(true, {}, defaults, module.options ?? {});
+		const options = module.options;
+		const merged = extend(true, {}, defaults, options ?? {});
 		super("devkit", module.container, module.notificationsCenter, merged);
 		this.module = module;
 		this.cfg = merged;

package/docs/index.md

@@ -4,7 +4,7 @@ navTitle: devkit
 lang: fr
 module: "@nodefony/devkit"
 topic: overview
-audience: [human, ai]
+audience: [developer]
 tags: [module, developpement, agent]
 status: stable
 updated: 2026-09-01

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@nodefony/devkit",
-  "version": "10.0.0-alpha.9",
+  "version": "10.0.0-beta.1",
   "type": "module",
   "description": "Outillage de développement d'une application Nodefony : carte de visite du projet et portes de découverte pour un agent de développement",
   "author": "Christophe CAMENSULI <ccamensuli@gmail.com>",
@@ -25,17 +25,17 @@
     "coverage": "vitest run --coverage"
   },
   "peerDependencies": {
-    "@nodefony/framework": "^10.0.0-alpha.9",
-    "@nodefony/http": "^10.0.0-alpha.9",
-    "nodefony": "^10.0.0-alpha.9",
+    "@nodefony/framework": "^10.0.0-beta.1",
+    "@nodefony/http": "^10.0.0-beta.1",
+    "nodefony": "^10.0.0-beta.1",
     "zod": "^4.6.5",
     "playwright": "^1.50.0",
     "lighthouse": "^13.0.0"
   },
   "devDependencies": {
-    "@nodefony/framework": "^10.0.0-alpha.9",
-    "@nodefony/http": "^10.0.0-alpha.9",
-    "nodefony": "^10.0.0-alpha.9"
+    "@nodefony/framework": "^10.0.0-beta.1",
+    "@nodefony/http": "^10.0.0-beta.1",
+    "nodefony": "^10.0.0-beta.1"
   },
   "dependencies": {
     "axe-core": "4.13.0",

package/skills/nodefony-add-service/SKILL.md

@@ -4,12 +4,14 @@ description: >
   Crée un service injectable dans une application Nodefony par `nodefony create service`, et le
   fait entrer dans le conteneur — la moitié qu'on oublie. Porte la distinction entre le nom de la
   CLASSE et le nom de l'INSTANCE, les deux façons d'obtenir un service depuis un autre
-  (`@inject` au constructeur ou `container.get` à l'usage), et le défaut mesuré qu'un service
+  (`@inject` au constructeur ou `container.get` à l'usage), le choix de sa durée de vie
+  (un exemplaire pour l'application, ou un par requête), et le défaut mesuré qu'un service
   écrit à la main produit : une classe qui compile, dont les tests passent, et que le conteneur
   ignore. À charger AVANT d'écrire une classe de service ou d'appeler un service depuis un autre.
   Déclencheurs : "crée un service", "un service métier", "logique métier partagée", "injecter une
   dépendance", "container.get", "@injectable", "@services", "appeler un service depuis un autre",
-  "mon service est undefined", "le conteneur ne trouve pas mon service".
+  "mon service est undefined", "le conteneur ne trouve pas mon service", "un service par
+  requête", "un état propre à chaque requête", "scope request".
 ---
 
 # add-service — un service que le conteneur connaît
@@ -58,7 +60,7 @@ et à l'introspection, et n'est construit qu'à la première requête qui le ré
 
 ## Deux noms, et ils ne servent pas à la même chose
 
-C'est le piège n°1, et il ne produit aucune erreur — juste un `undefined` :
+C'est le piège n°1, et il ne produit aucune erreur — juste un `null` :
 
 ```ts
 @injectable()                            // ← nomme la CLASSE : @inject("BillingService")
@@ -69,6 +71,23 @@ export class BillingService extends Service {
 }
 ```
 
+## Choisir sa durée de vie — un seul exemplaire, ou un par requête
+
+Chaque requête a son propre conteneur (un scope, calque posé sur celui de l'application et jeté à
+la fin ; en WebSocket, à la fin de la connexion). La portée décide où vit l'exemplaire :
+
+| `@injectable(…)`                         | Exemplaires                             | Pour                                                      |
+| ---------------------------------------- | --------------------------------------- | --------------------------------------------------------- |
+| `()` ou `("nom")` — défaut `singleton`   | un pour toute l'application             | cache, pool, client : ce qui doit être unique             |
+| `({ scope: "transient" })`               | un par résolution                       | un objet jetable sans état partagé                        |
+| `({ name: "tenant", scope: "request" })` | un par requête, créé si elle le demande | ce qui naît et meurt avec la requête (`clean()` à la fin) |
+
+Un service `request` reçoit le scope au constructeur (`super("tenant", scope, false)`, même nom
+qu'au décorateur) ; `create service` n'en génère pas, il s'écrit à la main. Un singleton qui en
+dépend est refusé au démarrage. Pour **lire** une donnée de la requête depuis un singleton, pas
+besoin de portée : `RequestContext.getScope()` ou `RequestContext.get()` au moment de l'appel.
+Détail : `node_modules/nodefony/docs/service.md`.
+
 ## Obtenir un service depuis un autre — deux voies, un choix
 
 | Voie                           | Quand                                                                         |

package/skills/nodefony-browser/scripts/inspect.mjs

@@ -167,8 +167,8 @@ await page.addInitScript(() => {
     if (window.__nfCsp.length < 20)
       window.__nfCsp.push({
         directive: e.violatedDirective,
-        blocked: String(e.blockedURI ?? "").slice(0, 140),
-        source: String(e.sourceFile ?? "").slice(0, 140),
+        blocked: (e.blockedURI ?? "").slice(0, 140),
+        source: (e.sourceFile ?? "").slice(0, 140),
         line: e.lineNumber,
       });
   });
@@ -355,7 +355,7 @@ function effectiveBackground(el) {
   let opaqueLayer = null;
   for (let n = el; n; n = n.parentElement) {
     const bg = getComputedStyle(n).backgroundColor;
-    if (!bg || /transparent/.test(bg)) continue;
+    if (!bg || bg.includes("transparent")) continue;
     const { a } = parseColor(bg);
     if (a === 0) continue;
     if (a >= 1) {
@@ -397,7 +397,7 @@ function probeA11y() {
   // simplifié suffit à attraper un bouton-icône muet — le cas réel.
   const accessibleName = (el) => {
     const aria = el.getAttribute("aria-label");
-    if (aria && aria.trim()) return aria.trim();
+    if (aria?.trim()) return aria.trim();
     const refs = el.getAttribute("aria-labelledby");
     if (refs) {
       const t = refs
@@ -682,14 +682,14 @@ async function measurePage(args) {
 // CSP de l'application refuserait à bon droit) : c'est le pilote qui évalue.
 const expression = `((args) => {
 ${sourceWcag()}
-${describeElement}
-${isVisible}
-${effectiveBackground}
-${probeA11y}
-${probeRendering}
-${probeWebStorage}
-${readPerf}
-return (${measurePage})(args);
+${describeElement.toString()}
+${isVisible.toString()}
+${effectiveBackground.toString()}
+${probeA11y.toString()}
+${probeRendering.toString()}
+${probeWebStorage.toString()}
+${readPerf.toString()}
+return (${measurePage.toString()})(args);
 })(${JSON.stringify({ probes: PROBES, families: [...active] })})`;
 
 const measured = await page.evaluate(expression);
@@ -711,7 +711,9 @@ if (active.has("axe")) {
   try {
     const axeCode = await axeSource();
     const report = await page.evaluate(async (source) => {
-      // eslint-disable-next-line no-new-func -- évalué par le pilote, hors CSP
+      // Le code d'axe-core est une CHAÎNE à exécuter dans la page : c'est le seul
+      // moyen de l'y charger sans `<script>` injecté, que la CSP refuserait.
+      // oxlint-disable-next-line no-new-func, typescript/no-implied-eval -- évalué par le pilote, hors CSP
       new Function(source)();
       return await window.axe.run(document, {
         resultTypes: ["violations", "incomplete"],

package/skills/nodefony-browser/scripts/lib/probes.mjs

@@ -39,7 +39,7 @@ export const FAMILIES = Object.freeze({
  *   et celles qui n'existent pas — à refuser, jamais à ignorer.
  */
 export function parseFamilies(raw, fallback = []) {
-  const requested = String(raw ?? "").trim();
+  const requested = (raw ?? "").trim();
   if (!requested) return { kept: [...fallback], unknown: [] };
   if (requested === "toutes") {
     return { kept: Object.keys(FAMILIES), unknown: [] };
@@ -71,7 +71,7 @@ export function parseFamilies(raw, fallback = []) {
 export function parseProbes(raw) {
   const probes = [];
   const rejected = [];
-  for (const chunk of String(raw ?? "")
+  for (const chunk of (raw ?? "")
     .split(",")
     .map((p) => p.trim())
     .filter(Boolean)) {
@@ -171,9 +171,7 @@ export function parseActions(raw) {
  *   `schema` à null quand rien n'est demandé (on ne force rien).
  */
 export function parseColorScheme(raw) {
-  const v = String(raw ?? "")
-    .trim()
-    .toLowerCase();
+  const v = (raw ?? "").trim().toLowerCase();
   if (!v) return { schema: null, invalid: null };
   if (v === "light" || v === "dark" || v === "no-preference")
     return { schema: v, invalid: null };
@@ -200,7 +198,7 @@ export function parseColorScheme(raw) {
 export function parseStorage(raw) {
   const entries = [];
   const rejected = [];
-  for (const chunk of String(raw ?? "")
+  for (const chunk of (raw ?? "")
     .split(",")
     .map((p) => p.trim())
     .filter(Boolean)) {
@@ -261,7 +259,7 @@ export function environmentDefaults({ inContainer, base, out } = {}) {
  * @returns {string} le nom de fichier, sans dossier.
  */
 export function authStateName(login) {
-  const raw = String(login ?? "");
+  const raw = login ?? "";
   const readable =
     raw.replace(/[^A-Za-z0-9._-]/gu, "_").slice(0, 40) || "anonyme";
   const fingerprint = createHash("sha256")
@@ -284,7 +282,7 @@ export function authStateName(login) {
 export function parseWidths(raw) {
   const widths = [];
   const invalidWidths = [];
-  for (const chunk of String(raw ?? "")
+  for (const chunk of (raw ?? "")
     .split(",")
     .map((p) => p.trim())
     .filter(Boolean)) {
@@ -427,7 +425,7 @@ export function summarizeLighthouse(lhr, threshold = 0.9) {
   for (const c of categories) {
     for (const ref of c.auditRefs ?? []) {
       const a = audits[ref.id];
-      if (!a || a.score === null || a.score === undefined) continue;
+      if (a?.score == null) continue;
       if (a.score >= threshold) continue;
       failed.push({
         category: c.id,
@@ -495,7 +493,7 @@ export function summarizeLighthouse(lhr, threshold = 0.9) {
  * @returns {string[]} les navigateurs à essayer, dans l'ordre.
  */
 export function browserOrder(explicit) {
-  const v = String(explicit ?? "").trim();
+  const v = (explicit ?? "").trim();
   if (v) return [v];
   return ["chromium", "chrome", "msedge"];
 }

package/skills/nodefony-browser/scripts/lib/wcag.mjs

@@ -39,7 +39,7 @@
  * @throws {Error} si la notation n'est pas reconnue.
  */
 export function parseColor(color) {
-  const s = String(color).trim();
+  const s = color.trim();
   // `transparent` est le SEUL mot-clé que les navigateurs rendent parfois tel
   // quel, et il a une valeur définie : `rgba(0, 0, 0, 0)`. Le refuser serait
   // faux — un fond non peint est un cas courant, pas une erreur de mesure.
@@ -51,7 +51,7 @@ export function parseColor(color) {
   if (hex) {
     const d = hex[1];
     if (d.length === 3 || d.length === 4) {
-      const q = [...d].map((c) => parseInt(c + c, 16));
+      const q = Array.from(d, (c) => parseInt(c + c, 16));
       return {
         r: q[0],
         g: q[1],
@@ -73,7 +73,7 @@ export function parseColor(color) {
   const numbers = s.match(/-?\d*\.?\d+(?:e-?\d+)?%?/gi);
   if (!numbers || numbers.length < 3)
     throw new Error(
-      `notation de couleur non reconnue : ${JSON.stringify(String(color))} — ` +
+      `notation de couleur non reconnue : ${JSON.stringify(color)} — ` +
         "attendu rgb()/rgba(), color(srgb …) ou #rrggbb",
     );
   // `color(srgb …)` et `color(display-p3 …)` : canaux en 0–1. Le pourcentage
@@ -164,7 +164,7 @@ export function contrastRatio(a, b) {
  * @returns {boolean} vrai si les seuils « texte large » s'appliquent.
  */
 export function isLargeText(px, bold) {
-  return px >= 24 || (bold === true && px >= 18.66);
+  return px >= 24 || (bold && px >= 18.66);
 }
 
 /**

package/skills/nodefony-browser/scripts/socket.mjs

@@ -320,7 +320,7 @@ async function scenarioSocket(conf) {
   } catch (e) {
     result.reconnection = {
       closedAt,
-      verdict: `ÉCHEC — ${String(e && e.message ? e.message : e).slice(0, 140)}`,
+      verdict: `ÉCHEC — ${String(e?.message ? e.message : e).slice(0, 140)}`,
     };
   }
   result.closes = closes;
@@ -337,7 +337,7 @@ try {
   // L'accueil qui ne vient jamais est LE symptôme à diagnostiquer en premier :
   // endpoint faux, page non authentifiée, ou Origin refusé par le serveur.
   console.error(
-    `Scénario interrompu : ${String(e && e.message ? e.message : e).slice(0, 300)}\n` +
+    `Scénario interrompu : ${String(e?.message ? e.message : e).slice(0, 300)}\n` +
       `→ vérifier le chemin du endpoint, l'authentification (NF_BROWSER_USER + NF_BROWSER_LOGIN), et que la page ${process.env.NF_BROWSER_PAGE ?? "/"} appartient bien à la même origine.`,
   );
   await browser.close();

package/skills/nodefony-dev/SKILL.md

@@ -306,6 +306,8 @@ Chacun a déjà coûté au moins une heure à quelqu'un. Les quatre premiers son
 - **Une clé de configuration mal orthographiée est retirée en silence.** `satisfies` sur le
   fragment n'est pas décoratif : sans lui, la faute compile, puis la validation écarte la clé et
   le module démarre sur son défaut. Personne ne le voit.
+- **La config d'un module est FIGÉE après le démarrage** : l'écrire lève `TypeError`. Une variante
+  par requête = `overlayConfig()` (clés de la liste blanche du module), lue par `useConfig()`.
 - **Tu lis une liste sans la BORNER.** Un `find` sans limite matérialise la table entière —
   indolore sur les quelques lignes du poste de développement, fatal sur les dizaines de milliers
   de la production. Le service d'une entité hérite `findPage({ limit: 25 })`.
@@ -370,12 +372,11 @@ Chacun a déjà coûté au moins une heure à quelqu'un. Les quatre premiers son
 
 ## 8. Données et fichiers — les façades qu'on ne recompose pas
 
-- **Un adaptateur de données ne remplace pas l'autre : ils se COMPLÈTENT.** Chacun déclare les
-  _stores_ qu'il sait tenir (`nodefony.stores` de son `package.json`) — `drizzle` les huit,
-  `mongoose` cinq (ni `totp`, ni `audit`, ni `idempotency`), `redis` quatre. Ce n'est pas un retard
-  de développement mais un CHOIX : un journal d'audit n'a rien à faire dans un moteur documentaire.
-  Ne promets jamais une parité qui n'existe pas — `npx nodefony inspect stores` dit où atterrit
-  chaque donnée.
+- **Un cache ne remplace pas une base : ils se COMPLÈTENT.** Chaque adaptateur déclare les
+  _stores_ qu'il sait tenir (`nodefony.stores` de son `package.json`) — `drizzle` et `mongoose` les
+  huit, `redis` quatre (`session`, `tokens`, `passkeys`, `idempotency`) : un cache ne garde ni
+  comptes ni journal d'audit. Ne promets jamais une parité qui n'existe pas — lis ce champ, et
+  `npx nodefony inspect stores` dit où atterrit chaque donnée.
 - **Les violations de contrainte sont DÉJÀ traduites en HTTP — ne les rattrape pas.** Un doublon
   sur une colonne unique ressort en **409**, une donnée qui viole le schéma Zod en **422**, chacun
   avec son corps JSON : le rendu d'erreur lit le code du pilote (`23505`, `ER_DUP_ENTRY`,

package/skills/nodefony-dev/scripts/docs.mjs

@@ -59,7 +59,7 @@ export function parseArgs(argv) {
   const opts = {
     terms: [],
     list: false,
-    open: null,
+    open: /** @type {string | null} */ (null),
     json: false,
     limit: DEFAULT_LIMIT,
     root: process.cwd(),