@nodefony/framework 10.0.0-alpha.9 → 10.0.0-beta.2

package/README.md

@@ -6,13 +6,16 @@ sert **HTTP et WebSocket dans le même contexte**, nativement.
 
 > Docs IA (dans le dépôt) : [`CLAUDE.md`](https://github.com/nodefony/nodefony-core/blob/main/src/packages/@nodefony/framework/CLAUDE.md) (instructions session) · [`MEMORY.md`](https://github.com/nodefony/nodefony-core/blob/main/src/packages/@nodefony/framework/MEMORY.md)
 > (internals concis) · [`docs/`](./docs) (concepts). `@nodefony/http` ne peut PAS importer
-> ce module (dépendance circulaire) — l'accès se fait via `(context as any)?.resolver`.
+> ce module (dépendance circulaire) — l'accès se fait via `context.resolver`, typé par le contrat `IRouteResolver` (défini par http, implémenté par framework).
 
 ## Rôle
 
 - **Router** : matching de routes (path + méthode + domaine), `Route.match()`.
 - **Resolver** : résout route → controller → action, injecte les paramètres décorés.
-- **Controller** : classe de base ; cycle `initialize()` → action ; HTTP + WS.
+- **Controller** : classe de base ; cycle `initialize()` → action ; HTTP + WS. Singleton par défaut :
+  une instance partagée par toutes les requêtes, sans état sur `this`, qui ne peut donc pas injecter
+  un service `@injectable({ scope: "request" })` — refusé au démarrage. `@Scope("request")` rend une
+  instance par requête (par connexion en WebSocket). `RealtimeController` est par connexion.
 - **Décorateurs** : `@controller`, `@route`, `@Get/@Post/...`, `@Param/@Body/@Query/@Headers`,
   `@Domain`, etc.
 - **Data plane admin** : `AdminApiController` + `IAdminBroker` (surface `/nodefony/<module>/api/*`).

package/dist/_virtual/{_@oxc-project_runtime@0.151.0 → _@oxc-project_runtime@0.152.0}/helpers/esm/decorate.js

@@ -1,4 +1,4 @@
-//#region \0@oxc-project+runtime@0.151.0/helpers/esm/decorate.js
+//#region \0@oxc-project+runtime@0.152.0/helpers/esm/decorate.js
 function __decorate(decorators, target, key, desc) {
 	var c = arguments.length, r = c < 3 ? target : desc === null ? desc = Object.getOwnPropertyDescriptor(target, key) : desc, d;
 	if (typeof Reflect === "object" && typeof Reflect.decorate === "function") r = Reflect.decorate(decorators, target, key, desc);

package/dist/_virtual/{_@oxc-project_runtime@0.151.0 → _@oxc-project_runtime@0.152.0}/helpers/esm/decorateMetadata.js

@@ -1,4 +1,4 @@
-//#region \0@oxc-project+runtime@0.151.0/helpers/esm/decorateMetadata.js
+//#region \0@oxc-project+runtime@0.152.0/helpers/esm/decorateMetadata.js
 function __decorateMetadata(k, v) {
 	if (typeof Reflect === "object" && typeof Reflect.metadata === "function") return Reflect.metadata(k, v);
 }

package/dist/index.js

@@ -7,8 +7,8 @@ import Route from "./nodefony/src/Route.js";
 import Controller from "./nodefony/src/Controller.js";
 import { All, Anonymous, Body, BypassFirewall, Cookie, Csp, CsrfExempt, CsrfProtect, CurrentUser, Delete, Domain, Get, Head, Header, Headers, HttpCode, Idempotent, IsGranted, Options, Param, Patch, Post, Put, Query, Redirect, Req, RequireScope, Res, Scope, Session, UploadedFile, UploadedFiles, UseSession, controller, controllers, route, routeExpectsBodyStream } from "./nodefony/decorators/routerDecorators.js";
 import Resolver from "./nodefony/src/Resolver.js";
-import __decorateMetadata from "./_virtual/_@oxc-project_runtime@0.151.0/helpers/esm/decorateMetadata.js";
-import __decorate from "./_virtual/_@oxc-project_runtime@0.151.0/helpers/esm/decorate.js";
+import __decorateMetadata from "./_virtual/_@oxc-project_runtime@0.152.0/helpers/esm/decorateMetadata.js";
+import __decorate from "./_virtual/_@oxc-project_runtime@0.152.0/helpers/esm/decorate.js";
 import router_default from "./nodefony/service/router.js";
 import ResourceController from "./nodefony/src/ResourceController.js";
 import AdminApiController from "./nodefony/controller/AdminApiController.js";
@@ -87,7 +87,7 @@ let Framework = class Framework extends Module {
 	*    silencieux (le WARNING annonce la dégradation).
 	*/
 	async onKernelBoot() {
-		const configured = this.options?.idempotency?.store ?? AUTO_STORE;
+		const configured = this.options.idempotency.store;
 		let name = configured;
 		let reason = `store explicitement configuré ("${configured}")`;
 		if (name === AUTO_STORE) {
@@ -167,7 +167,7 @@ let Framework = class Framework extends Module {
 			if (!broker.has("kernel")) broker.register(createKernelAdminApi(this.kernel));
 			if (!broker.has("framework")) broker.register(createFrameworkAdminApi(broker, { playground: this.kernel.environment === "development" || Boolean(this.kernel.debug) }));
 			if (this.kernel.syslog && !broker.has("syslog")) {
-				const logDir = path.resolve(process.cwd(), this.kernel.options?.log?.dir ?? "logs");
+				const logDir = path.resolve(process.cwd(), this.kernel.options.log?.dir ?? "logs");
 				broker.register(createSyslogAdminApi(this.kernel.syslog, {
 					logDir,
 					enableFiles: this.kernel.environment !== "production",

package/dist/nodefony/controller/AdminApiController.js

@@ -43,7 +43,7 @@ var AdminApiController = class AdminApiController extends Controller {
 	*/
 	async dispatch(...args) {
 		const { status, headers, body } = await this.runAdmin(args);
-		if (this.context?.type?.startsWith("websocket")) {
+		if (this.context?.type.startsWith("websocket")) {
 			if (status >= 400) {
 				const message = body?.error ?? "admin error";
 				throw new RpcError(message, -32e3, {
@@ -140,14 +140,15 @@ var AdminApiController = class AdminApiController extends Controller {
 		}
 		const als = RequestContext.get();
 		const user = als?.user ?? null;
+		const post = this.queryPost;
 		return {
 			params,
 			query: this.query ?? {},
-			body: als?.body !== void 0 ? als.body : this.queryPost ?? null,
+			body: als?.body !== void 0 ? als.body : post ?? null,
 			user,
 			roles: this.extractRoles(user),
 			requestId: als?.requestId,
-			idempotencyKey: resolveIdempotencyKey(als?.idempotencyKey, this.context?.request?.headers?.["idempotency-key"])
+			idempotencyKey: resolveIdempotencyKey(als?.idempotencyKey, this.context?.request?.headers["idempotency-key"])
 		};
 	}
 	/**

package/dist/nodefony/controller/ApiKeyController.js

@@ -18,7 +18,8 @@ let mounted = false;
 * zone data plane `^/nodefony/[^/]+/api(/|$)` → **session BFF requise**. Le porteur
 * est TOUJOURS l'utilisateur courant (`authFlow.me`), jamais un paramètre — on ne
 * crée/révoque jamais une clé pour autrui. Montés seulement si le service `apiKeys`
-* existe (security chargé + clés activées) → 404, zéro surface, sinon.
+* existe (security chargé) — sans security, 404 et zéro surface ; clés
+* désactivées, les routes répondent 503.
 *
 * Erreurs mappées par DUCK-TYPING sur `code` (400/409/503) — framework ne peut pas
 * importer les classes d'erreur de security.
@@ -40,7 +41,7 @@ var ApiKeyController = class extends Controller {
 				scopes: body.scopes,
 				expiresInDays: body.expiresInDays
 			});
-			return this.renderJson(created, 201);
+			return await this.renderJson(created, 201);
 		} catch (e) {
 			return this.#renderApiKeyError(e);
 		}

package/dist/nodefony/controller/OAuth2Controller.js

@@ -66,7 +66,7 @@ var OAuth2Controller = class extends Controller {
 		session.set(VERIFIER_KEY, auth.codeVerifier);
 		session.set(PROVIDER_KEY, provider);
 		await session.save();
-		return this.redirect(auth.url, 302);
+		this.redirect(auth.url, 302);
 	}
 	/** Valide `state`, échange le `code`, ouvre la session BFF (302). */
 	async callback(provider) {
@@ -85,26 +85,31 @@ var OAuth2Controller = class extends Controller {
 		const code = this.#queryString("code");
 		const returnedState = this.#queryString("state");
 		const returnedIss = this.#queryString("iss");
-		if (code === null || returnedState === null || typeof expectedState !== "string" || returnedState !== expectedState || expectedProvider !== provider) return this.redirect(failure, 302);
+		if (code === null || returnedState === null || typeof expectedState !== "string" || returnedState !== expectedState || expectedProvider !== provider) {
+			this.redirect(failure, 302);
+			return;
+		}
 		try {
 			const { identifier } = await svc.exchangeAndProvision(provider, code, typeof storedVerifier === "string" ? storedVerifier : null, returnedIss);
 			await flow.establishSessionFor(this.context, identifier, "oauth");
-			return this.redirect(success, 302);
+			this.redirect(success, 302);
+			return;
 		} catch (error) {
 			this.log(`oauth2 callback "${provider}" : ${error.message.slice(0, 200)}`, "WARNING");
-			return this.redirect(failure, 302);
+			this.redirect(failure, 302);
+			return;
 		}
 	}
 	#service() {
 		const svc = this.get("oauth2");
-		return svc && svc.isEnabled() ? svc : null;
+		return svc?.isEnabled() ? svc : null;
 	}
 	#flow() {
 		return this.get("authFlow") ?? null;
 	}
 	/** Lit un paramètre de query string (GET), ou `null`. */
 	#queryString(key) {
-		const v = (this.queryGet ?? {})[key];
+		const v = this.queryGet?.[key];
 		return typeof v === "string" && v.length > 0 ? v : null;
 	}
 };

package/dist/nodefony/controller/SessionAuthController.js

@@ -37,11 +37,11 @@ var SessionAuthController = class extends Controller {
 		const body = this.queryPost ?? {};
 		try {
 			const outcome = await flow.login(this.context, body.username, body.password);
-			if (outcome.status === "mfa_required") return this.renderJson({
+			if (outcome.status === "mfa_required") return await this.renderJson({
 				mfaRequired: true,
 				methods: outcome.methods
 			}, 202);
-			return this.renderJson({ user: outcome.user });
+			return await this.renderJson({ user: outcome.user });
 		} catch (e) {
 			return this.#renderAuthError(e);
 		}
@@ -57,7 +57,7 @@ var SessionAuthController = class extends Controller {
 		const body = this.queryPost ?? {};
 		try {
 			const user = await flow.completeMfaLogin(this.context, body.code);
-			return this.renderJson({ user });
+			return await this.renderJson({ user });
 		} catch (e) {
 			return this.#renderAuthError(e);
 		}

package/dist/nodefony/controller/TokenAuthController.js

@@ -16,8 +16,8 @@ function parseScope(scope) {
 *  - `POST /nodefony/security/api/token/refresh` — body `{refresh_token}` → rotation
 *
 * Montés par le module framework UNIQUEMENT si le service `tokenService` existe
-* (module security chargé + JWT activé) — sans lui, les routes n'existent pas
-* (404, zéro surface).
+* (module security chargé) — sans lui, les routes n'existent pas (404, zéro
+* surface). JWT désactivé ou store indisponible : les routes répondent 503.
 *
 * Le JWT part en **réponse JSON** (Bearer), JAMAIS en cookie ni en URL (anti
 * fuite / non-révocable). Erreurs mappées par DUCK-TYPING sur `code` (401/429) —
@@ -39,7 +39,7 @@ var TokenAuthController = class extends Controller {
 		const body = this.queryPost ?? {};
 		try {
 			const tokens = await svc.issueForCredentials(body.username, body.password, parseScope(body.scope), body.resource);
-			return this.renderJson(tokens);
+			return await this.renderJson(tokens);
 		} catch (e) {
 			return this.#renderAuthError(e);
 		}
@@ -51,7 +51,7 @@ var TokenAuthController = class extends Controller {
 		const body = this.queryPost ?? {};
 		try {
 			const tokens = await svc.refresh(body.refresh_token, body.resource);
-			return this.renderJson(tokens);
+			return await this.renderJson(tokens);
 		} catch (e) {
 			return this.#renderAuthError(e);
 		}

package/dist/nodefony/controller/TotpController.js

@@ -17,7 +17,8 @@ let mounted = false;
 * plane `^/nodefony/[^/]+/api(/|$)` → **session BFF requise**. Le sujet est
 * TOUJOURS l'utilisateur courant (`authFlow.me`), jamais un paramètre — on n'active
 * /ne désactive jamais le 2FA d'autrui (anti-IDOR). Montés seulement si le service
-* `totp` existe (security chargé + 2FA activé) → 404, zéro surface, sinon.
+* `totp` existe (security chargé) — sans security, 404 et zéro surface ; 2FA
+* désactivé, les routes répondent 503.
 */
 var TotpController = class extends Controller {
 	constructor(context) {
@@ -38,14 +39,15 @@ var TotpController = class extends Controller {
 		if (!svc) return this.renderJson({ error: "2FA unavailable" }, 503);
 		const subject = await this.#currentSubject();
 		if (subject === null) return this.renderJson({ error: "Unauthorized" }, 401);
-		const code = (this.queryPost ?? {}).code;
+		const code = this.queryPost?.code;
 		if (typeof code !== "string" || code.length === 0) return this.renderJson({ error: "Invalid code" }, 400);
+		let activation;
 		try {
-			const activation = await svc.confirmEnrollment(subject, code);
-			return this.renderJson(activation);
+			activation = await svc.confirmEnrollment(subject, code);
 		} catch {
 			return this.renderJson({ error: "Invalid or expired code" }, 400);
 		}
+		return this.renderJson(activation);
 	}
 	/** Désactive le 2FA du porteur courant (retire secret + codes). */
 	async disable() {
@@ -66,7 +68,7 @@ var TotpController = class extends Controller {
 	}
 	#service() {
 		const svc = this.get("totp");
-		return svc && svc.isEnabled() ? svc : null;
+		return svc?.isEnabled() ? svc : null;
 	}
 	#flow() {
 		return this.get("authFlow") ?? null;

package/dist/nodefony/controller/WebAuthnController.js

@@ -61,7 +61,7 @@ var WebAuthnController = class extends Controller {
 		if (!challenge) return this.renderJson({ error: "No challenge" }, 400);
 		try {
 			const credential = await svc.verifyRegistration(this.#body().response, challenge, me.username, this.#origin());
-			return this.renderJson({
+			return await this.renderJson({
 				verified: true,
 				credentialId: credential.id
 			});
@@ -106,7 +106,7 @@ var WebAuthnController = class extends Controller {
 		try {
 			const { userId } = await svc.verifyAuthentication(this.#body().response, challenge, this.#origin());
 			const user = await flow.establishSessionFor(this.context, userId, "webauthn");
-			return this.renderJson({
+			return await this.renderJson({
 				verified: true,
 				user
 			});
@@ -143,7 +143,7 @@ var WebAuthnController = class extends Controller {
 	}
 	#service() {
 		const svc = this.get("webauthn");
-		return svc && svc.isEnabled() ? svc : null;
+		return svc?.isEnabled() ? svc : null;
 	}
 	#flow() {
 		return this.get("authFlow") ?? null;
@@ -158,7 +158,7 @@ var WebAuthnController = class extends Controller {
 	}
 	/** Origine HTTP de la requête (validée par le service contre le rpID). */
 	#origin() {
-		const origin = this.context.request?.headers?.origin;
+		const origin = this.context.request?.headers.origin;
 		return typeof origin === "string" ? origin : void 0;
 	}
 	/** Lit le challenge en session puis l'INVALIDE (usage unique, anti-replay). */

package/dist/nodefony/decorators/routerDecorators.js

@@ -118,20 +118,19 @@ function controllers(targets) {
 function controller(prefix) {
 	return function(mycontroller) {
 		mycontroller.prefix = prefix;
-		const metadata = Reflect.getMetadata(metadataKey, mycontroller) || {};
-		if (metadata && Object.keys(metadata).length !== 0) {
+		const metadata = Reflect.getMetadata(metadataKey, mycontroller) ?? {};
+		if (Object.keys(metadata).length !== 0) {
 			let hasMagic = false;
-			for (const name in metadata) {
-				const options = metadata[name];
+			for (const [name, options] of Object.entries(metadata)) {
 				options.prefix = prefix;
 				if (options.host === void 0) {
-					const methodDomain = Reflect.getMetadata(DOMAIN_METHOD_METADATA, mycontroller, options.classMethod);
+					const methodDomain = options.classMethod === void 0 ? void 0 : Reflect.getMetadata(DOMAIN_METHOD_METADATA, mycontroller, options.classMethod);
 					const classDomain = Reflect.getMetadata(DOMAIN_CLASS_METADATA, mycontroller);
 					const domain = methodDomain ?? classDomain;
 					if (domain) options.host = domain;
 				}
 				if (options.bypassFirewall !== true) {
-					const methodBypass = Reflect.getMetadata(BYPASS_FIREWALL_METHOD_METADATA, mycontroller, options.classMethod);
+					const methodBypass = options.classMethod === void 0 ? void 0 : Reflect.getMetadata(BYPASS_FIREWALL_METHOD_METADATA, mycontroller, options.classMethod);
 					const classBypass = Reflect.getMetadata(BYPASS_FIREWALL_CLASS_METADATA, mycontroller);
 					if (methodBypass === true || classBypass === true) options.bypassFirewall = true;
 				}
@@ -184,7 +183,7 @@ function route(name, options) {
 		} catch (error) {
 			filePath = error;
 		}
-		const metadata = Reflect.getMetadata(metadataKey, target.constructor) || {};
+		const metadata = Reflect.getMetadata(metadataKey, target.constructor) ?? {};
 		metadata[name] = {
 			path,
 			filePath,
@@ -205,7 +204,7 @@ function route(name, options) {
 function extractControllerFilePath(stackTrace) {
 	for (const line of stackTrace) {
 		const match = line.match(/\s+at file:\/\/(.*\/controllers?\/.*\.js)/);
-		if (match && match[1]) return match[1];
+		if (match?.[1]) return match[1];
 	}
 }
 const HTTP_CODE_METADATA = "route:httpCode";
@@ -313,7 +312,7 @@ function HttpCode(statusCode) {
 */
 function Header(key, value) {
 	return function(target, propertyKey, descriptor) {
-		const existing = Reflect.getMetadata("route:responseHeaders", target, propertyKey) || {};
+		const existing = Reflect.getMetadata("route:responseHeaders", target, propertyKey) ?? {};
 		existing[key] = value;
 		Reflect.defineMetadata(HEADERS_METADATA, existing, target, propertyKey);
 		return descriptor;
@@ -420,25 +419,31 @@ function BypassFirewall(target, propertyKey, descriptor) {
 	return descriptor;
 }
 /**
-* Déclare le scope d'instanciation d'un controller (V4.3) — pose le statique
-* `scope` de la classe (hérité de `Controller`, défaut `"request"`). Lu par le
-* constructor de `Controller` (`new.target`) et par le `Resolver` : 0 Reflect.
+* Déclare la portée d'instanciation d'un contrôleur — pose le statique `scope`
+* de la classe (hérité de `Controller`, défaut `"singleton"`). Lu par le
+* constructeur de `Controller` (`new.target`) et par le `Resolver` : 0 Reflect.
 *
-* `@Scope("singleton")` : UNE instance partagée par toutes les requêtes
-* (cache kernel-scoped sur le Router, `initialize()` appelé 1× à la création).
-* **Contrat stateless strict** : l'action ne lit/n'écrit AUCUN état par requête
-* sur `this` — tout passe par les arguments décorés (`@Param`/`@Body`…) et les
-* helpers, qui retrouvent la requête courante via l'ALS (V4.1). Un champ muté
-* par requête sur un singleton = data race silencieuse entre deux requêtes
-* concurrentes. Le défaut per-request reste inchangé (0 breaking legacy).
+* `@Scope("request")` : une instance par requête — par CONNEXION en
+* WebSocket. À déclarer quand le contrôleur injecte un service de portée
+* `request` à son constructeur (un singleton qui le tente est refusé au
+* démarrage), prépare chaque requête dans `initialize()`, ou garde un état
+* sur `this`.
+*
+* `@Scope("singleton")` redit le défaut : UNE instance partagée par toutes les
+* requêtes (cache du Router, `initialize()` appelé une fois, à la création).
+* **Contrat sans état** : l'action ne lit ni n'écrit aucun état de requête sur
+* `this` — tout passe par les arguments décorés (`@Param`/`@Body`…) et les
+* helpers, qui retrouvent la requête courante dans l'ALS. Les accesseurs
+* d'état refusent l'écriture, et le développement refuse toute écriture sur
+* un champ.
 *
 * ⚠️ Homonyme : le core `nodefony` exporte aussi `Scope` (le scope DI du
 * `Container`) — celui-ci s'importe depuis `@nodefony/framework`.
 *
 * @example
-* \@Scope("singleton")
-* \@controller("/api/books")
-* class BookController extends ResourceController { ... }
+* \@Scope("request")
+* \@controller("/me")
+* class MeController extends Controller { ... }
 */
 function Scope(scope) {
 	return function(target) {
@@ -517,12 +522,12 @@ function IsGranted(attribute, options) {
 	};
 	return function(target, propertyKey, descriptor) {
 		if (propertyKey === void 0) {
-			const existing = Reflect.getMetadata(SECURITY_CLAUSES_METADATA, target) || [];
+			const existing = Reflect.getMetadata(SECURITY_CLAUSES_METADATA, target) ?? [];
 			existing.push(clause);
 			Reflect.defineMetadata(SECURITY_CLAUSES_METADATA, existing, target);
 			return target;
 		}
-		const existing = Reflect.getMetadata(SECURITY_CLAUSES_METADATA, target, propertyKey) || [];
+		const existing = Reflect.getMetadata(SECURITY_CLAUSES_METADATA, target, propertyKey) ?? [];
 		existing.push(clause);
 		Reflect.defineMetadata(SECURITY_CLAUSES_METADATA, existing, target, propertyKey);
 		return descriptor;
@@ -573,12 +578,12 @@ function RequireScope(scope) {
 	const clause = { anyOf: Array.isArray(scope) ? [...scope] : [scope] };
 	return function(target, propertyKey, descriptor) {
 		if (propertyKey === void 0) {
-			const existing = Reflect.getMetadata(SECURITY_SCOPES_METADATA, target) || [];
+			const existing = Reflect.getMetadata(SECURITY_SCOPES_METADATA, target) ?? [];
 			existing.push(clause);
 			Reflect.defineMetadata(SECURITY_SCOPES_METADATA, existing, target);
 			return target;
 		}
-		const existing = Reflect.getMetadata(SECURITY_SCOPES_METADATA, target, propertyKey) || [];
+		const existing = Reflect.getMetadata(SECURITY_SCOPES_METADATA, target, propertyKey) ?? [];
 		existing.push(clause);
 		Reflect.defineMetadata(SECURITY_SCOPES_METADATA, existing, target, propertyKey);
 		return descriptor;
@@ -593,9 +598,9 @@ function mergeCspDirectives(a, b) {
 	const out = {};
 	for (const src of [a, b]) {
 		if (!src) continue;
-		for (const name in src) {
+		for (const [name, values] of Object.entries(src)) {
 			const list = out[name] ??= [];
-			for (const v of src[name]) if (!list.includes(v)) list.push(v);
+			for (const v of values) if (!list.includes(v)) list.push(v);
 		}
 	}
 	return out;
@@ -695,7 +700,7 @@ function Idempotent(options) {
 function paramDecoratorFactory(source) {
 	return function(key) {
 		return function(target, propertyKey, parameterIndex) {
-			const existing = Reflect.getMetadata("route:paramArgs", target, propertyKey) || [];
+			const existing = Reflect.getMetadata("route:paramArgs", target, propertyKey) ?? [];
 			existing.push({
 				source,
 				key,
@@ -746,11 +751,12 @@ const Query = paramDecoratorFactory("query");
 * ```
 */
 function Body(keyOrOptions) {
-	const isOptions = typeof keyOrOptions === "object" && keyOrOptions !== null;
-	const key = isOptions ? void 0 : keyOrOptions;
-	const stream = isOptions ? keyOrOptions.stream === true : false;
+	const raw = keyOrOptions;
+	const isOptions = typeof raw === "object" && raw !== null;
+	const key = isOptions ? void 0 : raw ?? void 0;
+	const stream = isOptions ? raw.stream === true : false;
 	return function(target, propertyKey, parameterIndex) {
-		const existing = Reflect.getMetadata("route:paramArgs", target, propertyKey) || [];
+		const existing = Reflect.getMetadata("route:paramArgs", target, propertyKey) ?? [];
 		const meta = {
 			source: "body",
 			key,
@@ -834,7 +840,7 @@ function routeExpectsBodyStream(routeDef) {
 		let flag = false;
 		const ctor = routeDef.controller;
 		const method = routeDef.classMethod;
-		if (ctor && method) flag = (Reflect.getMetadata("route:paramArgs", ctor.prototype, method) || []).some((m) => m.source === "body" && m.stream === true);
+		if (ctor && method) flag = (Reflect.getMetadata("route:paramArgs", ctor.prototype, method) ?? []).some((m) => m.source === "body" && m.stream === true);
 		routeDef.bodyStream = flag;
 	}
 	return routeDef.bodyStream;
@@ -963,7 +969,7 @@ function computeActionMeta(ctor, method) {
 * (pas d'import `Route` → 0 cycle).
 */
 function resolveActionMeta(routeDef) {
-	if (routeDef.actionMeta === void 0) routeDef.actionMeta = computeActionMeta(routeDef.controller, routeDef.classMethod);
+	routeDef.actionMeta ??= computeActionMeta(routeDef.controller, routeDef.classMethod);
 	return routeDef.actionMeta;
 }
 //#endregion

package/dist/nodefony/service/AdminBroker.js

@@ -1,5 +1,5 @@
-import __decorateMetadata from "../../_virtual/_@oxc-project_runtime@0.151.0/helpers/esm/decorateMetadata.js";
-import __decorate from "../../_virtual/_@oxc-project_runtime@0.151.0/helpers/esm/decorate.js";
+import __decorateMetadata from "../../_virtual/_@oxc-project_runtime@0.152.0/helpers/esm/decorateMetadata.js";
+import __decorate from "../../_virtual/_@oxc-project_runtime@0.152.0/helpers/esm/decorate.js";
 import router_default from "./router.js";
 import AdminApiController from "../controller/AdminApiController.js";
 import { ADMIN_DEFAULT_ROLE, Module, Service, injectable, resolveAdminRole } from "nodefony";

package/dist/nodefony/service/IdempotencyStore.js

@@ -1,5 +1,5 @@
-import __decorateMetadata from "../../_virtual/_@oxc-project_runtime@0.151.0/helpers/esm/decorateMetadata.js";
-import __decorate from "../../_virtual/_@oxc-project_runtime@0.151.0/helpers/esm/decorate.js";
+import __decorateMetadata from "../../_virtual/_@oxc-project_runtime@0.152.0/helpers/esm/decorateMetadata.js";
+import __decorate from "../../_virtual/_@oxc-project_runtime@0.152.0/helpers/esm/decorate.js";
 import { Module, Service, assertPageQuery, injectable } from "nodefony";
 //#region nodefony/service/IdempotencyStore.ts
 const serviceName = "idempotencyStore";
@@ -96,7 +96,7 @@ let MemoryIdempotencyStore = class MemoryIdempotencyStore extends Service {
 		const entries = this.entries;
 		if (entries === null) return;
 		const existing = entries.get(key);
-		if (existing === void 0 || existing.kind !== "in-flight") return;
+		if (existing?.kind !== "in-flight") return;
 		entries.set(key, {
 			kind: "done",
 			fingerprint: existing.fingerprint,
@@ -108,8 +108,7 @@ let MemoryIdempotencyStore = class MemoryIdempotencyStore extends Service {
 	abort(key) {
 		const entries = this.entries;
 		if (entries === null) return;
-		const existing = entries.get(key);
-		if (existing !== void 0 && existing.kind === "in-flight") entries.delete(key);
+		if (entries.get(key)?.kind === "in-flight") entries.delete(key);
 	}
 	/**
 	* Borne la taille : purge passive des expirées rencontrées, puis éviction FIFO