@nodefony/framework 10.0.0-beta.1 → 10.0.0-beta.2

package/README.md

@@ -6,7 +6,7 @@ sert **HTTP et WebSocket dans le même contexte**, nativement.
 
 > Docs IA (dans le dépôt) : [`CLAUDE.md`](https://github.com/nodefony/nodefony-core/blob/main/src/packages/@nodefony/framework/CLAUDE.md) (instructions session) · [`MEMORY.md`](https://github.com/nodefony/nodefony-core/blob/main/src/packages/@nodefony/framework/MEMORY.md)
 > (internals concis) · [`docs/`](./docs) (concepts). `@nodefony/http` ne peut PAS importer
-> ce module (dépendance circulaire) — l'accès se fait via `(context as any)?.resolver`.
+> ce module (dépendance circulaire) — l'accès se fait via `context.resolver`, typé par le contrat `IRouteResolver` (défini par http, implémenté par framework).
 
 ## Rôle
 

package/dist/_virtual/{_@oxc-project_runtime@0.151.0 → _@oxc-project_runtime@0.152.0}/helpers/esm/decorate.js

@@ -1,4 +1,4 @@
-//#region \0@oxc-project+runtime@0.151.0/helpers/esm/decorate.js
+//#region \0@oxc-project+runtime@0.152.0/helpers/esm/decorate.js
 function __decorate(decorators, target, key, desc) {
 	var c = arguments.length, r = c < 3 ? target : desc === null ? desc = Object.getOwnPropertyDescriptor(target, key) : desc, d;
 	if (typeof Reflect === "object" && typeof Reflect.decorate === "function") r = Reflect.decorate(decorators, target, key, desc);

package/dist/_virtual/{_@oxc-project_runtime@0.151.0 → _@oxc-project_runtime@0.152.0}/helpers/esm/decorateMetadata.js

@@ -1,4 +1,4 @@
-//#region \0@oxc-project+runtime@0.151.0/helpers/esm/decorateMetadata.js
+//#region \0@oxc-project+runtime@0.152.0/helpers/esm/decorateMetadata.js
 function __decorateMetadata(k, v) {
 	if (typeof Reflect === "object" && typeof Reflect.metadata === "function") return Reflect.metadata(k, v);
 }

package/dist/index.js

@@ -7,8 +7,8 @@ import Route from "./nodefony/src/Route.js";
 import Controller from "./nodefony/src/Controller.js";
 import { All, Anonymous, Body, BypassFirewall, Cookie, Csp, CsrfExempt, CsrfProtect, CurrentUser, Delete, Domain, Get, Head, Header, Headers, HttpCode, Idempotent, IsGranted, Options, Param, Patch, Post, Put, Query, Redirect, Req, RequireScope, Res, Scope, Session, UploadedFile, UploadedFiles, UseSession, controller, controllers, route, routeExpectsBodyStream } from "./nodefony/decorators/routerDecorators.js";
 import Resolver from "./nodefony/src/Resolver.js";
-import __decorateMetadata from "./_virtual/_@oxc-project_runtime@0.151.0/helpers/esm/decorateMetadata.js";
-import __decorate from "./_virtual/_@oxc-project_runtime@0.151.0/helpers/esm/decorate.js";
+import __decorateMetadata from "./_virtual/_@oxc-project_runtime@0.152.0/helpers/esm/decorateMetadata.js";
+import __decorate from "./_virtual/_@oxc-project_runtime@0.152.0/helpers/esm/decorate.js";
 import router_default from "./nodefony/service/router.js";
 import ResourceController from "./nodefony/src/ResourceController.js";
 import AdminApiController from "./nodefony/controller/AdminApiController.js";

package/dist/nodefony/controller/ApiKeyController.js

@@ -18,7 +18,8 @@ let mounted = false;
 * zone data plane `^/nodefony/[^/]+/api(/|$)` → **session BFF requise**. Le porteur
 * est TOUJOURS l'utilisateur courant (`authFlow.me`), jamais un paramètre — on ne
 * crée/révoque jamais une clé pour autrui. Montés seulement si le service `apiKeys`
-* existe (security chargé + clés activées) → 404, zéro surface, sinon.
+* existe (security chargé) — sans security, 404 et zéro surface ; clés
+* désactivées, les routes répondent 503.
 *
 * Erreurs mappées par DUCK-TYPING sur `code` (400/409/503) — framework ne peut pas
 * importer les classes d'erreur de security.

package/dist/nodefony/controller/TokenAuthController.js

@@ -16,8 +16,8 @@ function parseScope(scope) {
 *  - `POST /nodefony/security/api/token/refresh` — body `{refresh_token}` → rotation
 *
 * Montés par le module framework UNIQUEMENT si le service `tokenService` existe
-* (module security chargé + JWT activé) — sans lui, les routes n'existent pas
-* (404, zéro surface).
+* (module security chargé) — sans lui, les routes n'existent pas (404, zéro
+* surface). JWT désactivé ou store indisponible : les routes répondent 503.
 *
 * Le JWT part en **réponse JSON** (Bearer), JAMAIS en cookie ni en URL (anti
 * fuite / non-révocable). Erreurs mappées par DUCK-TYPING sur `code` (401/429) —

package/dist/nodefony/controller/TotpController.js

@@ -17,7 +17,8 @@ let mounted = false;
 * plane `^/nodefony/[^/]+/api(/|$)` → **session BFF requise**. Le sujet est
 * TOUJOURS l'utilisateur courant (`authFlow.me`), jamais un paramètre — on n'active
 * /ne désactive jamais le 2FA d'autrui (anti-IDOR). Montés seulement si le service
-* `totp` existe (security chargé + 2FA activé) → 404, zéro surface, sinon.
+* `totp` existe (security chargé) — sans security, 404 et zéro surface ; 2FA
+* désactivé, les routes répondent 503.
 */
 var TotpController = class extends Controller {
 	constructor(context) {

package/dist/nodefony/service/AdminBroker.js

@@ -1,5 +1,5 @@
-import __decorateMetadata from "../../_virtual/_@oxc-project_runtime@0.151.0/helpers/esm/decorateMetadata.js";
-import __decorate from "../../_virtual/_@oxc-project_runtime@0.151.0/helpers/esm/decorate.js";
+import __decorateMetadata from "../../_virtual/_@oxc-project_runtime@0.152.0/helpers/esm/decorateMetadata.js";
+import __decorate from "../../_virtual/_@oxc-project_runtime@0.152.0/helpers/esm/decorate.js";
 import router_default from "./router.js";
 import AdminApiController from "../controller/AdminApiController.js";
 import { ADMIN_DEFAULT_ROLE, Module, Service, injectable, resolveAdminRole } from "nodefony";

package/dist/nodefony/service/IdempotencyStore.js

@@ -1,5 +1,5 @@
-import __decorateMetadata from "../../_virtual/_@oxc-project_runtime@0.151.0/helpers/esm/decorateMetadata.js";
-import __decorate from "../../_virtual/_@oxc-project_runtime@0.151.0/helpers/esm/decorate.js";
+import __decorateMetadata from "../../_virtual/_@oxc-project_runtime@0.152.0/helpers/esm/decorateMetadata.js";
+import __decorate from "../../_virtual/_@oxc-project_runtime@0.152.0/helpers/esm/decorate.js";
 import { Module, Service, assertPageQuery, injectable } from "nodefony";
 //#region nodefony/service/IdempotencyStore.ts
 const serviceName = "idempotencyStore";

package/dist/nodefony/service/router.js

@@ -1,8 +1,8 @@
 import Route from "../src/Route.js";
 import { routeExpectsBodyStream } from "../decorators/routerDecorators.js";
 import Resolver from "../src/Resolver.js";
-import __decorateMetadata from "../../_virtual/_@oxc-project_runtime@0.151.0/helpers/esm/decorateMetadata.js";
-import __decorate from "../../_virtual/_@oxc-project_runtime@0.151.0/helpers/esm/decorate.js";
+import __decorateMetadata from "../../_virtual/_@oxc-project_runtime@0.152.0/helpers/esm/decorateMetadata.js";
+import __decorate from "../../_virtual/_@oxc-project_runtime@0.152.0/helpers/esm/decorate.js";
 import { Injector, Module, Service, injectable, isPromise } from "nodefony";
 import { HttpError, isDomainAllowed } from "@nodefony/http";
 //#region nodefony/service/router.ts
@@ -156,11 +156,13 @@ let Router = class Router extends Service {
 		let di = 0;
 		while (li < litCount || di < dynCount) {
 			let route;
+			let fromLiterals = false;
 			const literal = literals[li];
 			const candidate = dynamics[di];
 			if (literal !== void 0 && (candidate === void 0 || literal.pos < candidate.pos)) {
 				li++;
 				route = literal.route;
+				fromLiterals = true;
 			} else if (candidate === void 0) break;
 			else {
 				di++;
@@ -168,7 +170,7 @@ let Router = class Router extends Service {
 				route = candidate.route;
 			}
 			try {
-				if (resolver.match(route, context, cleanPath)) {
+				if (resolver.match(route, context, cleanPath, fromLiterals)) {
 					routeNoticePromoted ??= this.kernel?.environment !== "production";
 					if (routeNoticePromoted) this.log(`Match route : ${route.name}`, "NOTICE");
 					resolver.exception = void 0;

package/dist/nodefony/src/Resolver.js

@@ -78,8 +78,8 @@ var Resolver = class {
 		this.context = context;
 		this.injector = context.container?.get("injector") ?? null;
 	}
-	match(route, context, cleanPath) {
-		const match = route.match(context, cleanPath, this.methodOverride ?? void 0);
+	match(route, context, cleanPath, literal) {
+		const match = route.match(context, cleanPath, this.methodOverride ?? void 0, literal);
 		if (match) {
 			this.variables = match;
 			this.route = route;

package/dist/nodefony/src/Route.js

@@ -203,10 +203,29 @@ var Route = class Route {
 		if (!reqUrl) return;
 		return stripTrailingSlashes(reqUrl.pathname);
 	}
-	match(context, cleanPath, methodOverride) {
+	/**
+	* Confronte la requête à cette route : chemin, hôte, puis exigences.
+	*
+	* @param context - contexte HTTP/WS courant.
+	* @param cleanPath - pathname déjà normalisé par l'appelant (sinon recalculé).
+	* @param methodOverride - méthode logique du pont WS-RPC (cf `Resolver`).
+	* @param literal - l'appelant GARANTIT que le chemin de la route ne porte
+	*   aucune syntaxe de motif (`{}`, `*`…) — c'est le cas d'une route trouvée
+	*   par l'index des littérales du `Router`. Le motif n'est alors pas exécuté
+	*   quand le chemin est identique à la lettre.
+	* @returns les valeurs capturées (tableau + accès par nom), ou `null`/`undefined`
+	*   quand le chemin ne correspond pas.
+	* @throws 403/405/1002 quand le chemin correspond mais pas l'hôte ou les exigences.
+	*/
+	match(context, cleanPath, methodOverride, literal) {
 		let res;
 		if (context.request && this.pattern) {
 			const url = cleanPath ?? Route.cleanPathname(context);
+			if (literal === true && url === this.path && !this.#hasPositionalDefaults()) {
+				this.matchHostname(context);
+				this.matchRequirements(context, methodOverride);
+				return [];
+			}
 			if (url !== void 0) res = url.match(this.pattern);
 		}
 		if (!res) return res;
@@ -307,6 +326,10 @@ var Route = class Route {
 			if (compiled) (this.varRegexp ??= Object.create(null))[k] = compiled;
 		}
 	}
+	#hasPositionalDefaults() {
+		for (const def in this.defaults) if (def !== "controller") return true;
+		return false;
+	}
 	hydrateDefaultParameters(res) {
 		if (this.variables.length) for (let i = 0; i < this.variables.length; i++) {
 			const name = this.variables[i];

package/dist/nodefony/src/docsReader.js

@@ -1,5 +1,5 @@
 import { basename, dirname, extname, join } from "node:path";
-import { findProjectRoot, resolveSymbolsFile } from "nodefony";
+import { findProjectRoot, packageManagerCommandLines, packageManagerExecArgs, portableSpawn, resolvePackageManager, resolveSymbolsFile } from "nodefony";
 import { existsSync } from "node:fs";
 import { promisify } from "node:util";
 import { readFile, readdir, stat } from "node:fs/promises";
@@ -653,50 +653,54 @@ async function listTestGroups(modulePath) {
 *   config du module (la liste `reporter` dupliquée par module divergeait).
 * - sinon (cœur : monocart, pas de `vitest.config.ts`) → `npm run coverage`.
 *
+* Le binaire et le script passent par le gestionnaire de paquets du PROJET :
+* `npx` n'existe pas chez bun, et sous pnpm il chercherait hors de l'arbre que
+* le verrou décrit.
+*
 * @param modulePath - racine du module (où vit `vitest.config.ts`)
 * @param file - chemin relatif d'UN fichier de test, déjà validé par l'appelant
+* @param manager - gestionnaire du projet ; défaut : résolu depuis la racine
+*   de l'application qui contient le module
 * @returns commande, arguments en tableau (spawn sans shell) et libellé du mode
 */
-function testRunCommand(modulePath, file) {
+function testRunCommand(modulePath, file, manager = resolvePackageManager({ dir: findProjectRoot(modulePath) ?? modulePath }).name) {
 	const hasVitest = existsSync(join(modulePath, "vitest.config.ts"));
 	if (file && hasVitest) return {
-		cmd: "npx",
-		args: [
-			"vitest",
-			"run",
-			file
-		],
+		cmd: manager,
+		args: packageManagerExecArgs(manager, "vitest", ["run", file]),
 		mode: `vitest run ${file}`
 	};
 	if (hasVitest) return {
-		cmd: "npx",
-		args: [
-			"vitest",
+		cmd: manager,
+		args: packageManagerExecArgs(manager, "vitest", [
 			"run",
 			"--coverage",
 			"--coverage.reporter=text-summary",
 			"--coverage.reporter=json-summary",
 			"--coverage.reporter=lcov",
 			"--coverage.reportsDirectory=.coverage"
-		],
+		]),
 		mode: "vitest run --coverage (reporters forcés)"
 	};
 	return {
-		cmd: "npm",
+		cmd: manager,
 		args: ["run", "coverage"],
-		mode: "npm run coverage (suite complète)"
+		mode: `${packageManagerCommandLines(manager).run("coverage")} (suite complète)`
 	};
 }
 /**
 * Lance les tests d'un module et renvoie un résumé (pass/fail/durée + tail).
 *
-* - 1 fichier (module vitest) → `npx vitest run <file>` (rapide, pass/fail).
-* - sinon → `npm run coverage` (suite complète + refresh coverage ; marche
-*   pour vitest comme pour monocart/core).
+* - 1 fichier (module vitest) → `vitest run <file>` (rapide, pass/fail).
+* - sinon → le script `coverage` (suite complète + refresh coverage ; marche
+*   pour vitest comme pour le cœur).
+* Les deux par le gestionnaire du projet (cf {@link testRunCommand}).
 *
 * ⚠️ EXÉCUTE un process — appelé UNIQUEMENT derrière le garde dev-only de
-* l'endpoint (cf KernelAdminApi). spawn sans shell + args en tableau (pas
-* d'injection shell). `file` validé en amont (suffixe .test.ts, pas de `..`).
+* l'endpoint (cf KernelAdminApi). `portableSpawn` : jamais de `shell`, args
+* en tableau (pas d'injection), et le `.cmd` du gestionnaire se lance sous
+* Windows — un `spawn("npx")` nu y rendait `ENOENT`. `file` validé en amont
+* (suffixe .test.ts, pas de `..`).
 */
 function runModuleTests(modulePath, file) {
 	const { cmd, args, mode } = testRunCommand(modulePath, file);
@@ -709,9 +713,11 @@ function runModuleTests(modulePath, file) {
 		};
 		let child;
 		try {
-			child = spawn(cmd, args, {
+			const run = portableSpawn(cmd, args);
+			child = spawn(run.file, run.args, {
 				cwd: modulePath,
-				env: process.env
+				env: process.env,
+				windowsVerbatimArguments: run.windowsVerbatimArguments
 			});
 		} catch (e) {
 			return resolve({

package/dist/types/nodefony/controller/ApiKeyController.d.ts

@@ -16,7 +16,8 @@ import Controller from "../src/Controller.js";
  * zone data plane `^/nodefony/[^/]+/api(/|$)` → **session BFF requise**. Le porteur
  * est TOUJOURS l'utilisateur courant (`authFlow.me`), jamais un paramètre — on ne
  * crée/révoque jamais une clé pour autrui. Montés seulement si le service `apiKeys`
- * existe (security chargé + clés activées) → 404, zéro surface, sinon.
+ * existe (security chargé) — sans security, 404 et zéro surface ; clés
+ * désactivées, les routes répondent 503.
  *
  * Erreurs mappées par DUCK-TYPING sur `code` (400/409/503) — framework ne peut pas
  * importer les classes d'erreur de security.

package/dist/types/nodefony/controller/TokenAuthController.d.ts

@@ -23,8 +23,8 @@ export interface ITokenIssuer {
  *  - `POST /nodefony/security/api/token/refresh` — body `{refresh_token}` → rotation
  *
  * Montés par le module framework UNIQUEMENT si le service `tokenService` existe
- * (module security chargé + JWT activé) — sans lui, les routes n'existent pas
- * (404, zéro surface).
+ * (module security chargé) — sans lui, les routes n'existent pas (404, zéro
+ * surface). JWT désactivé ou store indisponible : les routes répondent 503.
  *
  * Le JWT part en **réponse JSON** (Bearer), JAMAIS en cookie ni en URL (anti
  * fuite / non-révocable). Erreurs mappées par DUCK-TYPING sur `code` (401/429) —

package/dist/types/nodefony/controller/TotpController.d.ts

@@ -16,7 +16,8 @@ import Controller from "../src/Controller.js";
  * plane `^/nodefony/[^/]+/api(/|$)` → **session BFF requise**. Le sujet est
  * TOUJOURS l'utilisateur courant (`authFlow.me`), jamais un paramètre — on n'active
  * /ne désactive jamais le 2FA d'autrui (anti-IDOR). Montés seulement si le service
- * `totp` existe (security chargé + 2FA activé) → 404, zéro surface, sinon.
+ * `totp` existe (security chargé) — sans security, 404 et zéro surface ; 2FA
+ * désactivé, les routes répondent 503.
  */
 declare class TotpController extends Controller {
     #private;

package/dist/types/nodefony/src/Resolver.d.ts

@@ -71,7 +71,7 @@ declare class Resolver implements IResolver {
      */
     messageInvocation: boolean;
     constructor(context: ContextType);
-    match(route: Route, context: ContextType, cleanPath?: string): ((string | null)[] & Record<string, unknown>) | null | undefined;
+    match(route: Route, context: ContextType, cleanPath?: string, literal?: boolean): ((string | null)[] & Record<string, unknown>) | null | undefined;
     /**
      * Snapshot per-requête des variables de route matchées (`{name}` → valeur,
      * + wildcard `*` éventuel). Construit depuis les valeurs de CETTE requête

package/dist/types/nodefony/src/Route.d.ts

@@ -151,7 +151,21 @@ declare class Route implements IRoute {
      * @returns le pathname sans slash final, ou `undefined` si la requête n'a pas d'URL.
      */
     static cleanPathname(context: ContextType): string | undefined;
-    match(context: ContextType, cleanPath?: string, methodOverride?: string): ((string | null)[] & Record<string, unknown>) | null | undefined;
+    /**
+     * Confronte la requête à cette route : chemin, hôte, puis exigences.
+     *
+     * @param context - contexte HTTP/WS courant.
+     * @param cleanPath - pathname déjà normalisé par l'appelant (sinon recalculé).
+     * @param methodOverride - méthode logique du pont WS-RPC (cf `Resolver`).
+     * @param literal - l'appelant GARANTIT que le chemin de la route ne porte
+     *   aucune syntaxe de motif (`{}`, `*`…) — c'est le cas d'une route trouvée
+     *   par l'index des littérales du `Router`. Le motif n'est alors pas exécuté
+     *   quand le chemin est identique à la lettre.
+     * @returns les valeurs capturées (tableau + accès par nom), ou `null`/`undefined`
+     *   quand le chemin ne correspond pas.
+     * @throws 403/405/1002 quand le chemin correspond mais pas l'hôte ou les exigences.
+     */
+    match(context: ContextType, cleanPath?: string, methodOverride?: string, literal?: boolean): ((string | null)[] & Record<string, unknown>) | null | undefined;
     /**
      * Compile the route into a regular expression pattern.
      * @returns The compiled regular expression pattern.

package/dist/types/nodefony/src/docsReader.d.ts

@@ -1,3 +1,4 @@
+import type { IPackageManagerResolution } from "nodefony";
 /**
  * Frontmatter d'un fichier de doc module. Tous les champs sont optionnels —
  * un `.md` sans frontmatter reste lisible (titre dérivé du premier `# H1`).
@@ -297,21 +298,30 @@ export interface TestRunCommand {
  *   config du module (la liste `reporter` dupliquée par module divergeait).
  * - sinon (cœur : monocart, pas de `vitest.config.ts`) → `npm run coverage`.
  *
+ * Le binaire et le script passent par le gestionnaire de paquets du PROJET :
+ * `npx` n'existe pas chez bun, et sous pnpm il chercherait hors de l'arbre que
+ * le verrou décrit.
+ *
  * @param modulePath - racine du module (où vit `vitest.config.ts`)
  * @param file - chemin relatif d'UN fichier de test, déjà validé par l'appelant
+ * @param manager - gestionnaire du projet ; défaut : résolu depuis la racine
+ *   de l'application qui contient le module
  * @returns commande, arguments en tableau (spawn sans shell) et libellé du mode
  */
-export declare function testRunCommand(modulePath: string, file?: string): TestRunCommand;
+export declare function testRunCommand(modulePath: string, file?: string, manager?: IPackageManagerResolution["name"]): TestRunCommand;
 /**
  * Lance les tests d'un module et renvoie un résumé (pass/fail/durée + tail).
  *
- * - 1 fichier (module vitest) → `npx vitest run <file>` (rapide, pass/fail).
- * - sinon → `npm run coverage` (suite complète + refresh coverage ; marche
- *   pour vitest comme pour monocart/core).
+ * - 1 fichier (module vitest) → `vitest run <file>` (rapide, pass/fail).
+ * - sinon → le script `coverage` (suite complète + refresh coverage ; marche
+ *   pour vitest comme pour le cœur).
+ * Les deux par le gestionnaire du projet (cf {@link testRunCommand}).
  *
  * ⚠️ EXÉCUTE un process — appelé UNIQUEMENT derrière le garde dev-only de
- * l'endpoint (cf KernelAdminApi). spawn sans shell + args en tableau (pas
- * d'injection shell). `file` validé en amont (suffixe .test.ts, pas de `..`).
+ * l'endpoint (cf KernelAdminApi). `portableSpawn` : jamais de `shell`, args
+ * en tableau (pas d'injection), et le `.cmd` du gestionnaire se lance sous
+ * Windows — un `spawn("npx")` nu y rendait `ENOENT`. `file` validé en amont
+ * (suffixe .test.ts, pas de `..`).
  */
 export declare function runModuleTests(modulePath: string, file?: string): Promise<TestRunResult>;
 /**