@nodefony/framework 10.0.0-beta.1 → 10.0.0-beta.3

package/dist/nodefony/controller/TotpController.js

@@ -1,5 +1,5 @@
-import Controller from "../src/Controller.js";
 import router_default from "../service/router.js";
+import SecurityApiController from "../src/SecurityApiController.js";
 //#region nodefony/controller/TotpController.ts
 let mounted = false;
 /**
@@ -17,9 +17,10 @@ let mounted = false;
 * plane `^/nodefony/[^/]+/api(/|$)` → **session BFF requise**. Le sujet est
 * TOUJOURS l'utilisateur courant (`authFlow.me`), jamais un paramètre — on n'active
 * /ne désactive jamais le 2FA d'autrui (anti-IDOR). Montés seulement si le service
-* `totp` existe (security chargé + 2FA activé) → 404, zéro surface, sinon.
+* `totp` existe (security chargé) — sans security, 404 et zéro surface ; 2FA
+* désactivé, les routes répondent 503.
 */
-var TotpController = class extends Controller {
+var TotpController = class extends SecurityApiController {
 	constructor(context) {
 		super("TotpController", context);
 	}
@@ -42,7 +43,7 @@ var TotpController = class extends Controller {
 		if (typeof code !== "string" || code.length === 0) return this.renderJson({ error: "Invalid code" }, 400);
 		let activation;
 		try {
-			activation = await svc.confirmEnrollment(subject, code);
+			activation = await svc.confirmEnrollment(subject, code, this.context);
 		} catch {
 			return this.renderJson({ error: "Invalid or expired code" }, 400);
 		}
@@ -54,7 +55,7 @@ var TotpController = class extends Controller {
 		if (!svc) return this.renderJson({ error: "2FA unavailable" }, 503);
 		const subject = await this.#currentSubject();
 		if (subject === null) return this.renderJson({ error: "Unauthorized" }, 401);
-		await svc.disable(subject);
+		await svc.disable(subject, this.context);
 		return this.renderJson({ ok: true });
 	}
 	/** État 2FA du porteur courant (alimente la console « ma sécurité »). */
@@ -77,7 +78,7 @@ var TotpController = class extends Controller {
 		const flow = this.#flow();
 		if (!flow) return null;
 		const me = await flow.me(this.context);
-		return me && typeof me.username === "string" ? me.username : null;
+		return me && typeof me.identifier === "string" ? me.identifier : null;
 	}
 };
 /**

package/dist/nodefony/controller/WebAuthnController.js

@@ -1,5 +1,6 @@
-import Controller from "../src/Controller.js";
 import router_default from "../service/router.js";
+import SecurityApiController from "../src/SecurityApiController.js";
+import { WEBAUTHN_API_BASE, WEBAUTHN_STATUS_PATH } from "nodefony";
 //#region nodefony/controller/WebAuthnController.ts
 const REG_CHALLENGE = "webauthn:reg:challenge";
 const AUTH_CHALLENGE = "webauthn:auth:challenge";
@@ -31,10 +32,18 @@ let mounted = false;
 * firewall (qui, sur l'aire data plane, déclencherait un deadlock identique au
 * login BFF).
 */
-var WebAuthnController = class extends Controller {
+var WebAuthnController = class extends SecurityApiController {
 	constructor(context) {
 		super("WebAuthnController", context);
 	}
+	/**
+	* Dit si la connexion par passkey répondra : `{ enabled }`, toujours `200`.
+	* Un écran de connexion le lit pour ne pas proposer un bouton dont la
+	* cérémonie répondrait `503` (passkeys coupées).
+	*/
+	status() {
+		return this.renderJson({ enabled: this.#service() !== null });
+	}
 	/** Défi d'enregistrement — l'utilisateur connecté ajoute un passkey. */
 	async registerOptions() {
 		const svc = this.#service();
@@ -43,8 +52,9 @@ var WebAuthnController = class extends Controller {
 		const me = await flow.me(this.context);
 		if (!me) return this.renderJson({ error: "Unauthorized" }, 401);
 		const options = await svc.generateRegistrationOptions({
-			id: me.username,
-			name: me.username
+			id: me.identifier,
+			name: me.identifier,
+			handle: me.id
 		});
 		const session = await flow.ensureSession(this.context);
 		session?.set(REG_CHALLENGE, options.challenge);
@@ -60,7 +70,7 @@ var WebAuthnController = class extends Controller {
 		const challenge = await this.#takeChallenge(REG_CHALLENGE);
 		if (!challenge) return this.renderJson({ error: "No challenge" }, 400);
 		try {
-			const credential = await svc.verifyRegistration(this.#body().response, challenge, me.username, this.#origin());
+			const credential = await svc.verifyRegistration(this.#body().response, challenge, me.identifier, this.#origin());
 			return await this.renderJson({
 				verified: true,
 				credentialId: credential.id
@@ -90,7 +100,7 @@ var WebAuthnController = class extends Controller {
 		const flow = this.#flow();
 		if (!svc || !flow) return this.renderJson({ error: "WebAuthn unavailable" }, 503);
 		const me = await flow.me(this.context);
-		const options = await svc.generateAuthenticationOptions(me?.username);
+		const options = await svc.generateAuthenticationOptions(me?.identifier);
 		const session = await flow.ensureSession(this.context);
 		session?.set(AUTH_CHALLENGE, options.challenge);
 		await session?.save();
@@ -121,7 +131,7 @@ var WebAuthnController = class extends Controller {
 		if (!svc || !flow) return this.renderJson({ error: "WebAuthn unavailable" }, 503);
 		const me = await flow.me(this.context);
 		if (!me) return this.renderJson({ error: "Unauthorized" }, 401);
-		const creds = await svc.listUserCredentials(me.username);
+		const creds = await svc.listUserCredentials(me.identifier);
 		return this.renderJson({ credentials: creds.map((c) => ({
 			id: c.id,
 			transports: c.transports,
@@ -138,7 +148,7 @@ var WebAuthnController = class extends Controller {
 		const me = await flow.me(this.context);
 		if (!me) return this.renderJson({ error: "Unauthorized" }, 401);
 		if (typeof id !== "string" || id.length === 0) return this.renderJson({ error: "Not found" }, 404);
-		if (!await svc.removeUserCredential(me.username, id)) return this.renderJson({ error: "Not found" }, 404);
+		if (!await svc.removeUserCredential(me.identifier, id)) return this.renderJson({ error: "Not found" }, 404);
 		return this.renderJson({ ok: true });
 	}
 	#service() {
@@ -183,7 +193,7 @@ var WebAuthnController = class extends Controller {
 */
 function mountWebAuthnRoutes(frameworkModule) {
 	if (mounted) return;
-	const base = "/nodefony/security/api/webauthn";
+	const base = WEBAUTHN_API_BASE;
 	const routes = [
 		[
 			"security.webauthn.register.options",
@@ -199,6 +209,13 @@ function mountWebAuthnRoutes(frameworkModule) {
 			"registerVerify",
 			true
 		],
+		[
+			"security.webauthn.status",
+			WEBAUTHN_STATUS_PATH,
+			"GET",
+			"status",
+			true
+		],
 		[
 			"security.webauthn.login.options",
 			`${base}/login/options`,

package/dist/nodefony/decorators/routerDecorators.js

@@ -183,7 +183,7 @@ function route(name, options) {
 		} catch (error) {
 			filePath = error;
 		}
-		const metadata = Reflect.getMetadata(metadataKey, target.constructor) ?? {};
+		const metadata = { ...Reflect.getMetadata(metadataKey, target.constructor) };
 		metadata[name] = {
 			path,
 			filePath,
@@ -195,7 +195,8 @@ function route(name, options) {
 			host: options.host,
 			defaults: options.defaults,
 			requirements: options.requirements,
-			bypassFirewall: options.bypassFirewall
+			bypassFirewall: options.bypassFirewall,
+			fallback: options.fallback
 		};
 		Reflect.defineMetadata(metadataKey, metadata, target.constructor);
 		return descriptor;
@@ -312,7 +313,7 @@ function HttpCode(statusCode) {
 */
 function Header(key, value) {
 	return function(target, propertyKey, descriptor) {
-		const existing = Reflect.getMetadata("route:responseHeaders", target, propertyKey) ?? {};
+		const existing = { ...Reflect.getMetadata(HEADERS_METADATA, target, propertyKey) };
 		existing[key] = value;
 		Reflect.defineMetadata(HEADERS_METADATA, existing, target, propertyKey);
 		return descriptor;
@@ -522,12 +523,12 @@ function IsGranted(attribute, options) {
 	};
 	return function(target, propertyKey, descriptor) {
 		if (propertyKey === void 0) {
-			const existing = Reflect.getMetadata(SECURITY_CLAUSES_METADATA, target) ?? [];
+			const existing = [...Reflect.getMetadata(SECURITY_CLAUSES_METADATA, target) ?? []];
 			existing.push(clause);
 			Reflect.defineMetadata(SECURITY_CLAUSES_METADATA, existing, target);
 			return target;
 		}
-		const existing = Reflect.getMetadata(SECURITY_CLAUSES_METADATA, target, propertyKey) ?? [];
+		const existing = [...Reflect.getMetadata(SECURITY_CLAUSES_METADATA, target, propertyKey) ?? []];
 		existing.push(clause);
 		Reflect.defineMetadata(SECURITY_CLAUSES_METADATA, existing, target, propertyKey);
 		return descriptor;
@@ -578,12 +579,12 @@ function RequireScope(scope) {
 	const clause = { anyOf: Array.isArray(scope) ? [...scope] : [scope] };
 	return function(target, propertyKey, descriptor) {
 		if (propertyKey === void 0) {
-			const existing = Reflect.getMetadata(SECURITY_SCOPES_METADATA, target) ?? [];
+			const existing = [...Reflect.getMetadata(SECURITY_SCOPES_METADATA, target) ?? []];
 			existing.push(clause);
 			Reflect.defineMetadata(SECURITY_SCOPES_METADATA, existing, target);
 			return target;
 		}
-		const existing = Reflect.getMetadata(SECURITY_SCOPES_METADATA, target, propertyKey) ?? [];
+		const existing = [...Reflect.getMetadata(SECURITY_SCOPES_METADATA, target, propertyKey) ?? []];
 		existing.push(clause);
 		Reflect.defineMetadata(SECURITY_SCOPES_METADATA, existing, target, propertyKey);
 		return descriptor;
@@ -700,7 +701,7 @@ function Idempotent(options) {
 function paramDecoratorFactory(source) {
 	return function(key) {
 		return function(target, propertyKey, parameterIndex) {
-			const existing = Reflect.getMetadata("route:paramArgs", target, propertyKey) ?? [];
+			const existing = Reflect.getOwnMetadata("route:paramArgs", target, propertyKey) ?? [];
 			existing.push({
 				source,
 				key,
@@ -756,7 +757,7 @@ function Body(keyOrOptions) {
 	const key = isOptions ? void 0 : raw ?? void 0;
 	const stream = isOptions ? raw.stream === true : false;
 	return function(target, propertyKey, parameterIndex) {
-		const existing = Reflect.getMetadata("route:paramArgs", target, propertyKey) ?? [];
+		const existing = Reflect.getOwnMetadata("route:paramArgs", target, propertyKey) ?? [];
 		const meta = {
 			source: "body",
 			key,
@@ -807,7 +808,7 @@ function resolveParamArg(meta, ctx) {
 		case "res": return ctx.response;
 		case "file": return ctx.request?.queryFile?.[0];
 		case "files": return ctx.request?.queryFile;
-		case "user": return RequestContext.getUser();
+		case "user": return RequestContext.isAnonymous() ? void 0 : RequestContext.getUser();
 		default: return;
 	}
 }
@@ -826,6 +827,45 @@ function buildParamArgs(metas, ctx) {
 	return result;
 }
 /**
+* Résout les paramètres décorés d'une action depuis un `Context` — la mise en
+* forme UNIQUE, appelée par le Resolver (routes HTTP et WS) comme par les
+* actions `@RealtimeAction`, pour qu'un décorateur ne puisse pas prendre deux
+* sens selon le transport.
+*
+* Le corps d'un appel WebSocket voyage dans l'ALS (`RequestContext` clé
+* `body`) et `@CurrentUser` y lit l'utilisateur : l'appelant pose la bulle,
+* cette fonction n'en crée aucune.
+*
+* @param metas - paramètres décorés de l'action ({@link getParamArgsMeta})
+* @param context - le contexte de la requête ou de la connexion
+* @param paramsMap - variables de route nommées (vide hors route)
+* @param queryOverride - query de l'invocation quand elle ne vient pas de l'URL
+* @returns arguments positionnels à passer à l'action
+*/
+function buildContextParamArgs(metas, context, paramsMap, queryOverride) {
+	return buildParamArgs(metas, {
+		paramsMap,
+		request: context.request,
+		response: context.response,
+		session: context.session,
+		queryOverride,
+		getRequestCookies: (name) => context.getRequestCookies(name)
+	});
+}
+/**
+* Les paramètres décorés d'une méthode (`@Body`, `@CurrentUser`…), ou `null`
+* si elle n'en porte aucun. Lecture `Reflect` : à faire une fois, hors du
+* chemin de chaque requête.
+*
+* @param proto - le prototype de la classe
+* @param method - le nom de la méthode
+* @returns les métadonnées, ou `null` — une action sans décorateur ne paie rien
+*/
+function getParamArgsMeta(proto, method) {
+	const metas = Reflect.getMetadata(PARAM_ARGS_METADATA, proto, method);
+	return metas !== void 0 && metas.length > 0 ? metas : null;
+}
+/**
 * P2.9 — Indique si l'action d'une route attend le **flux brut** du body
 * (un paramètre `@Body({ stream:true })`). Le résultat est **mémoïsé** sur
 * `route.bodyStream` : lecture `Reflect` au 1er appel, O(1) ensuite → 0 coût
@@ -852,6 +892,7 @@ const EMPTY_ACTION_META = {
 	headerEntries: null,
 	sessionIntent: null,
 	security: null,
+	authentication: null,
 	cspDirectives: null,
 	csrfProtect: false,
 	csrfExempt: false,
@@ -942,17 +983,17 @@ function computeIdempotent(ctor, method) {
 function computeActionMeta(ctor, method) {
 	if (!ctor || !method) return EMPTY_ACTION_META;
 	const proto = ctor.prototype;
-	const params = Reflect.getMetadata(PARAM_ARGS_METADATA, proto, method);
 	const redirect = Reflect.getMetadata(REDIRECT_METADATA, proto, method);
 	const httpCode = Reflect.getMetadata(HTTP_CODE_METADATA, proto, method);
 	const headers = Reflect.getMetadata(HEADERS_METADATA, proto, method);
 	return {
-		paramsMeta: params && params.length > 0 ? params : null,
+		paramsMeta: getParamArgsMeta(proto, method),
 		redirectMeta: redirect ?? null,
 		httpCode: httpCode ?? null,
 		headerEntries: headers ? Object.entries(headers) : null,
 		sessionIntent: resolveSessionIntent(ctor, method),
 		security: computeSecurityRequirement(ctor, method),
+		authentication: computeAuthenticationRequirement(ctor, method),
 		cspDirectives: computeCspDirectives(ctor, method),
 		csrfProtect: Reflect.getMetadata(CSRF_PROTECT_METADATA, proto, method) === true || Reflect.getMetadata(CSRF_PROTECT_METADATA, ctor) === true,
 		csrfExempt: Reflect.getMetadata(CSRF_EXEMPT_METADATA, proto, method) === true || Reflect.getMetadata(CSRF_EXEMPT_METADATA, ctor) === true,
@@ -972,5 +1013,65 @@ function resolveActionMeta(routeDef) {
 	routeDef.actionMeta ??= computeActionMeta(routeDef.controller, routeDef.classMethod);
 	return routeDef.actionMeta;
 }
+const AUTHENTICATION_REQUIREMENT_METADATA = "nodefony:security:authentication";
+/**
+* Exige une connexion RÉCENTE et/ou faite avec certains moyens pour l'action
+* (décorateur de méthode) ou tout le contrôleur (décorateur de classe).
+*
+* - `@RequireAuthentication({ maxAge: 300 })` — connexion de moins de 5 minutes.
+* - `@RequireAuthentication({ amr: ["otp"] })` — second facteur exigé.
+* - les deux se combinent ; classe + méthode fusionnent au plus strict.
+*
+* Lit ce que la session a retenu à son ouverture (`readSessionAuthentication`,
+* ADR-0015) et s'évalue dans le `Resolver` APRÈS `@IsGranted` : un rôle absent
+* reste un 403 définitif, une connexion trop ancienne ou trop faible devient un
+* **401** dont le `WWW-Authenticate` porte
+* `error="insufficient_user_authentication"` (RFC 9470) — le client sait qu'il
+* doit redemander une connexion, pas que l'accès lui est fermé. Une session qui
+* ne porte pas ces métadonnées est refusée, jamais acceptée.
+*
+* @param options - âge maximal et moyens exigés.
+* @throws TypeError si `maxAge` n'est pas un entier positif ou si un moyen est vide.
+*/
+function RequireAuthentication(options = {}) {
+	const { maxAge, amr = [] } = options;
+	if (maxAge !== void 0 && (!Number.isInteger(maxAge) || maxAge <= 0)) throw new TypeError(`@RequireAuthentication : maxAge doit être un entier de secondes > 0, reçu ${String(maxAge)}`);
+	if (amr.some((m) => typeof m !== "string" || m.length === 0)) throw new TypeError("@RequireAuthentication : chaque moyen de `amr` est une chaîne non vide (RFC 8176 : pwd, otp, pop)");
+	const requirement = Object.freeze({
+		maxAge: maxAge ?? null,
+		amr: Object.freeze([...amr])
+	});
+	return function(target, propertyKey, descriptor) {
+		if (propertyKey === void 0) {
+			Reflect.defineMetadata(AUTHENTICATION_REQUIREMENT_METADATA, requirement, target);
+			return target;
+		}
+		Reflect.defineMetadata(AUTHENTICATION_REQUIREMENT_METADATA, requirement, target, propertyKey);
+		return descriptor;
+	};
+}
+/** Une métadonnée lue par `Reflect` qui a bien la forme d'une exigence, sinon `undefined`. */
+function asAuthenticationRequirement(value) {
+	return typeof value === "object" && value !== null && "maxAge" in value && "amr" in value && (value.maxAge === null || typeof value.maxAge === "number") && Array.isArray(value.amr) ? {
+		maxAge: value.maxAge,
+		amr: value.amr.filter((m) => typeof m === "string")
+	} : void 0;
+}
+/**
+* Fusionne les `@RequireAuthentication` de classe et de méthode au plus strict,
+* ou `null` si aucune — `@Anonymous` (méthode) rend l'action publique.
+*/
+function computeAuthenticationRequirement(ctor, method) {
+	if (Reflect.getMetadata(SECURITY_ANONYMOUS_METADATA, ctor, method) === true) return null;
+	const onMethod = asAuthenticationRequirement(Reflect.getMetadata(AUTHENTICATION_REQUIREMENT_METADATA, ctor.prototype, method));
+	const onClass = Reflect.getMetadata(SECURITY_ANONYMOUS_METADATA, ctor) === true ? void 0 : asAuthenticationRequirement(Reflect.getMetadata(AUTHENTICATION_REQUIREMENT_METADATA, ctor));
+	if (onMethod === void 0) return onClass ?? null;
+	if (onClass === void 0) return onMethod;
+	const ages = [onClass.maxAge, onMethod.maxAge].filter((age) => age !== null);
+	return Object.freeze({
+		maxAge: ages.length > 0 ? Math.min(...ages) : null,
+		amr: Object.freeze([.../* @__PURE__ */ new Set([...onClass.amr, ...onMethod.amr])])
+	});
+}
 //#endregion
-export { All, Anonymous, BYPASS_FIREWALL_CLASS_METADATA, BYPASS_FIREWALL_METHOD_METADATA, Body, BypassFirewall, Cookie, Csp, CsrfExempt, CsrfProtect, CurrentUser, DOMAIN_CLASS_METADATA, DOMAIN_METHOD_METADATA, Delete, Domain, Get, HEADERS_METADATA, HTTP_CODE_METADATA, Head, Header, Headers, HttpCode, Idempotent, IsGranted, Options, PARAM_ARGS_METADATA, Param, Patch, Post, Put, Query, REDIRECT_METADATA, Redirect, Req, RequireScope, Res, Scope, Session, USE_SESSION_CLASS_METADATA, USE_SESSION_METHOD_METADATA, UploadedFile, UploadedFiles, UseSession, buildParamArgs, computeActionMeta, controller, controllers, extractActionScopes, resolveActionMeta, resolveParamArg, resolveSessionIntent, route, routeExpectsBodyStream };
+export { All, Anonymous, BYPASS_FIREWALL_CLASS_METADATA, BYPASS_FIREWALL_METHOD_METADATA, Body, BypassFirewall, Cookie, Csp, CsrfExempt, CsrfProtect, CurrentUser, DOMAIN_CLASS_METADATA, DOMAIN_METHOD_METADATA, Delete, Domain, Get, HEADERS_METADATA, HTTP_CODE_METADATA, Head, Header, Headers, HttpCode, Idempotent, IsGranted, Options, PARAM_ARGS_METADATA, Param, Patch, Post, Put, Query, REDIRECT_METADATA, Redirect, Req, RequireAuthentication, RequireScope, Res, Scope, Session, USE_SESSION_CLASS_METADATA, USE_SESSION_METHOD_METADATA, UploadedFile, UploadedFiles, UseSession, buildContextParamArgs, buildParamArgs, computeActionMeta, controller, controllers, extractActionScopes, getParamArgsMeta, resolveActionMeta, resolveParamArg, resolveSessionIntent, route, routeExpectsBodyStream };

package/dist/nodefony/service/AdminBroker.js

@@ -1,5 +1,5 @@
-import __decorateMetadata from "../../_virtual/_@oxc-project_runtime@0.151.0/helpers/esm/decorateMetadata.js";
-import __decorate from "../../_virtual/_@oxc-project_runtime@0.151.0/helpers/esm/decorate.js";
+import __decorateMetadata from "../../_virtual/_@oxc-project_runtime@0.153.0/helpers/esm/decorateMetadata.js";
+import __decorate from "../../_virtual/_@oxc-project_runtime@0.153.0/helpers/esm/decorate.js";
 import router_default from "./router.js";
 import AdminApiController from "../controller/AdminApiController.js";
 import { ADMIN_DEFAULT_ROLE, Module, Service, injectable, resolveAdminRole } from "nodefony";

package/dist/nodefony/service/IdempotencyStore.js

@@ -1,5 +1,5 @@
-import __decorateMetadata from "../../_virtual/_@oxc-project_runtime@0.151.0/helpers/esm/decorateMetadata.js";
-import __decorate from "../../_virtual/_@oxc-project_runtime@0.151.0/helpers/esm/decorate.js";
+import __decorateMetadata from "../../_virtual/_@oxc-project_runtime@0.153.0/helpers/esm/decorateMetadata.js";
+import __decorate from "../../_virtual/_@oxc-project_runtime@0.153.0/helpers/esm/decorate.js";
 import { Module, Service, assertPageQuery, injectable } from "nodefony";
 //#region nodefony/service/IdempotencyStore.ts
 const serviceName = "idempotencyStore";

package/dist/nodefony/service/router.js

@@ -1,9 +1,9 @@
 import Route from "../src/Route.js";
 import { routeExpectsBodyStream } from "../decorators/routerDecorators.js";
 import Resolver from "../src/Resolver.js";
-import __decorateMetadata from "../../_virtual/_@oxc-project_runtime@0.151.0/helpers/esm/decorateMetadata.js";
-import __decorate from "../../_virtual/_@oxc-project_runtime@0.151.0/helpers/esm/decorate.js";
-import { Injector, Module, Service, injectable, isPromise } from "nodefony";
+import __decorateMetadata from "../../_virtual/_@oxc-project_runtime@0.153.0/helpers/esm/decorateMetadata.js";
+import __decorate from "../../_virtual/_@oxc-project_runtime@0.153.0/helpers/esm/decorate.js";
+import { Injector, Module, Service, injectable, isPromise, stripTrailingSlashes } from "nodefony";
 import { HttpError, isDomainAllowed } from "@nodefony/http";
 //#region nodefony/service/router.ts
 var _Router;
@@ -52,25 +52,13 @@ function invalidateRouteIndex() {
 function buildRouteIndex() {
 	const statics = /* @__PURE__ */ new Map();
 	const dynamics = [];
-	for (const [i, route] of routes.entries()) {
-		const path = route.path;
-		if (path !== void 0 && route.variables.length === 0 && !REG_NON_LITERAL.test(path)) {
-			const key = path.toLowerCase();
-			let list = statics.get(key);
-			if (list === void 0) {
-				list = [];
-				statics.set(key, list);
-			}
-			list.push({
-				route,
-				pos: i,
-				prefix: ""
-			});
-		} else dynamics.push({
-			route,
-			pos: i,
-			prefix: literalPrefix(path)
-		});
+	const total = routes.length;
+	for (let pass = 0; pass < 2; pass++) {
+		const fallbackPass = pass === 1;
+		for (const [rank, route] of routes.entries()) {
+			if (route.fallback !== fallbackPass) continue;
+			indexRoute(route, fallbackPass ? total + rank : rank, statics, dynamics);
+		}
 	}
 	return routeIndex = {
 		statics,
@@ -80,6 +68,30 @@ function buildRouteIndex() {
 		last: routes[routes.length - 1]
 	};
 }
+/**
+* Range une route dans l'index — littérale par son chemin exact, dynamique
+* sinon — à la position `i` qui décide de son rang dans la fusion de `resolve`.
+*/
+function indexRoute(route, i, statics, dynamics) {
+	const path = route.path;
+	if (path !== void 0 && route.variables.length === 0 && !REG_NON_LITERAL.test(path)) {
+		const key = path.toLowerCase();
+		let list = statics.get(key);
+		if (list === void 0) {
+			list = [];
+			statics.set(key, list);
+		}
+		list.push({
+			route,
+			pos: i,
+			prefix: ""
+		});
+	} else dynamics.push({
+		route,
+		pos: i,
+		prefix: literalPrefix(path)
+	});
+}
 let Router = class Router extends Service {
 	static {
 		_Router = this;
@@ -127,6 +139,23 @@ let Router = class Router extends Service {
 		return pending;
 	}
 	/**
+	* Dit si au moins une route déclare le transport `WEBSOCKET` pour ce chemin
+	* — contrôle d'avant `101` du pipeline WebSocket (cf `IRequestRouter`).
+	*
+	* Parcours de la table entière, sans l'index de `resolve` : il est lu une
+	* fois par CONNEXION (pas par message), et une route dont les méthodes
+	* changent après coup (`addRequirement`) ne laisse ainsi aucun index périmé.
+	* Même normalisation que `resolve` (`stripTrailingSlashes`), même motif.
+	*
+	* @param pathname - chemin de l'URL d'upgrade
+	* @returns `true` si une route WebSocket a un motif qui couvre ce chemin
+	*/
+	servesWebsocket(pathname) {
+		const path = stripTrailingSlashes(pathname);
+		for (const route of routes) if (route.methodsSet?.has("WEBSOCKET") === true && route.pattern?.test(path) === true) return true;
+		return false;
+	}
+	/**
 	* Résout une route pour un contexte donné.
 	*
 	* @param context - le contexte HTTP/WS courant (porte container, méthode, URL…).
@@ -156,11 +185,13 @@ let Router = class Router extends Service {
 		let di = 0;
 		while (li < litCount || di < dynCount) {
 			let route;
+			let fromLiterals = false;
 			const literal = literals[li];
 			const candidate = dynamics[di];
 			if (literal !== void 0 && (candidate === void 0 || literal.pos < candidate.pos)) {
 				li++;
 				route = literal.route;
+				fromLiterals = true;
 			} else if (candidate === void 0) break;
 			else {
 				di++;
@@ -168,7 +199,7 @@ let Router = class Router extends Service {
 				route = candidate.route;
 			}
 			try {
-				if (resolver.match(route, context, cleanPath)) {
+				if (resolver.match(route, context, cleanPath, fromLiterals)) {
 					routeNoticePromoted ??= this.kernel?.environment !== "production";
 					if (routeNoticePromoted) this.log(`Match route : ${route.name}`, "NOTICE");
 					resolver.exception = void 0;

package/dist/nodefony/src/Controller.js

@@ -1,6 +1,6 @@
 import { isDevelopment, singletonWriteMessage } from "./singletonGuard.js";
 import { FileClass, RequestContext, Service } from "nodefony";
-import { HttpError } from "@nodefony/http";
+import { HttpContext, HttpError, acceptsEventStream } from "@nodefony/http";
 import fs, { createReadStream } from "node:fs";
 import { promisify } from "node:util";
 //#region nodefony/src/Controller.ts
@@ -167,6 +167,15 @@ var Controller = class extends Service {
 		this.#assertPerRequest("response");
 		this.#response = response;
 	}
+	/**
+	* L'utilisateur CONNECTÉ, ou `null` — anonyme, ou route hors de toute zone
+	* du pare-feu. C'est l'identité que le pare-feu a établie pour cette
+	* requête : aucun appel de plus. Une page publique qui veut savoir qui la
+	* visite se place sous une zone `authenticators: ["session", "anonymous"]`.
+	*/
+	get user() {
+		return RequestContext.getAuthenticatedUser();
+	}
 	get method() {
 		return this.#method ?? this.context?.method ?? void 0;
 	}
@@ -345,14 +354,13 @@ var Controller = class extends Service {
 		const fe = this.get("frontend");
 		if (!fe?.renderTags) return param;
 		const nonce = this.context?.cspNonce;
-		const host = this.context?.domain;
 		const renderTags = fe.renderTags;
 		const renderDocument = fe.renderDocument;
 		return {
-			frontendTags: (entry) => renderTags(entry, nonce, host),
+			frontendTags: (entry) => renderTags(entry, nonce),
 			frontendDocument: (entry) => {
 				if (!renderDocument) throw new Error("frontend service does not expose renderDocument");
-				return renderDocument(entry, nonce, host);
+				return renderDocument(entry, nonce);
 			},
 			asset: (p) => fe.assetUrl ? fe.assetUrl(p) : p,
 			...param
@@ -370,6 +378,43 @@ var Controller = class extends Service {
 		this.setContextJson();
 		return this.renderResponse(data, "utf8", status, headers);
 	}
+	/**
+	* Le client demande-t-il un flux d'événements (`Accept: text/event-stream`) ?
+	*
+	* La route ne change pas de méthode pour autant : un même `POST` répond en
+	* JSON ou en flux selon cette réponse. Toujours `false` sur WebSocket.
+	*
+	* @returns `true` quand `text/event-stream` est accepté avec un poids non nul.
+	*/
+	acceptsSse() {
+		if (!(this.context instanceof HttpContext)) return false;
+		return acceptsEventStream(this.context.request.headers.accept);
+	}
+	/**
+	* Répond par un flux d'événements serveur, en HTTP/1.1 comme en HTTP/2.
+	*
+	* L'action garde la main : elle `send()` à son rythme et `close()` quand elle
+	* a fini ; le départ du client ferme le flux (`sse.closed`, `sse.onClose`).
+	* Rendre le flux depuis l'action est sans effet — la réponse est déjà prise.
+	*
+	* @example
+	* ```ts
+	* @Get("/progress")
+	* async progress() {
+	*   const sse = await this.renderSse();
+	*   for (const step of steps) await sse.send(step, { event: "step" });
+	*   return sse.close();
+	* }
+	* ```
+	*
+	* @param options - battement de cœur, délai `retry:` initial.
+	* @returns le flux, ou sa promesse quand une session est à sauver d'abord.
+	* @throws HttpError 500 hors HTTP (WebSocket) ou quand la réponse est partie.
+	*/
+	renderSse(options) {
+		if (!(this.context instanceof HttpContext)) throw new HttpError("SSE : un flux d'événements exige une requête HTTP", 500, this.context);
+		return this.context.openSse(options);
+	}
 	setRoute(route) {
 		this.#assertPerRequest("route");
 		this.#route = route;

package/dist/nodefony/src/FrameworkAdminApi.js

@@ -68,7 +68,8 @@ function createFrameworkAdminApi(broker, opts) {
 		scope: route.controller?.scope ?? null,
 		module: route.module?.name ?? null,
 		host: route.host ?? null,
-		bypassFirewall: route.bypassFirewall
+		bypassFirewall: route.bypassFirewall,
+		fallback: route.fallback
 	});
 	const descriptor = {
 		label: "Routes",