@nodefony/framework 10.0.0-beta.2 → 10.0.0-beta.4

package/dist/nodefony/src/loginPage.js

@@ -0,0 +1,430 @@
+import { LOGIN_PAGE_ASSETS_BASE, LOGIN_PAGE_LAYOUTS, LOGIN_PAGE_SKINS, LOGIN_PAGE_SKIN_SPECS, LOGIN_PAGE_THEME_KEY, OAUTH2_CANCELLED_REASON, isLoginPageSkin, loginPageSkinFile, oauth2AuthorizePath, safeRedirectPath } from "nodefony";
+// nodefony/src/loginPage.ts
+/**
+* Mémoïse une ressource chargée de façon asynchrone : le SUCCÈS est gardé, un
+* ÉCHEC est oublié. Garder la promesse rejetée figerait la panne — la page
+* répondrait 500 jusqu'au redémarrage, même une fois le fichier corrigé.
+*
+* @param load - charge la ressource
+* @returns la fonction qui la rend, chargée une seule fois tant qu'elle réussit
+*/
+function keepSuccess(load) {
+	let pending = null;
+	return () => pending ??= load().catch((error) => {
+		pending = null;
+		throw error;
+	});
+}
+/** Feuille, script et logo de la page, servis sous {@link LOGIN_PAGE_ASSETS_BASE}. */
+const LOGIN_PAGE_ASSET_FILES = {
+	style: "login.css",
+	script: "login.js",
+	logo: "nodefony-logo.svg"
+};
+const DEFAULT_TITLE = "Se connecter";
+/**
+* Fournisseurs dont la MARQUE est le mot que l'utilisateur connaît : il a un
+* compte GitHub, pas un « fournisseur OpenID Connect ». Tout autre fournisseur
+* est un serveur d'identité d'organisation (Keycloak, Okta, un OIDC
+* d'entreprise) dont le nom ne dit rien à qui se connecte.
+*/
+const PUBLIC_ACCOUNT_PROVIDERS = /* @__PURE__ */ new Set([
+	"apple",
+	"bitbucket",
+	"discord",
+	"facebook",
+	"github",
+	"gitlab",
+	"google",
+	"linkedin",
+	"microsoft",
+	"slack"
+]);
+/** Libellé d'un fournisseur d'organisation : ce qu'il ouvre, pas son logiciel. */
+const ORGANIZATION_ACCOUNT_LABEL = "Compte de l'organisation";
+/** Annonce d'une page sans aucun moyen de connexion. */
+const LOGIN_PAGE_EMPTY_NOTICE = "Aucun moyen de connexion n'est disponible pour le moment. Prévenez l'administrateur du site.";
+/**
+* Ligne sous le titre, déduite des moyens proposés quand la configuration n'en
+* donne pas : elle annonce ce que la carte contient, jamais autre chose.
+*/
+function leadFor(password, passkey, sso) {
+	if (password && sso) return "Compte de l'organisation ou identifiant local";
+	if (password && passkey) return "Identifiant et mot de passe, ou passkey";
+	if (password) return "Identifiant et mot de passe";
+	if (sso) return "Avec le compte de votre organisation";
+	if (passkey) return "Avec votre passkey";
+	return "Aucun moyen de connexion disponible";
+}
+/** Annonce d'un retour du fournisseur sans connexion, hors annulation. */
+const PROVIDER_FAILED_NOTICE = "La connexion par le fournisseur n'a pas abouti. Réessayez, ou choisissez une autre méthode.";
+/** Dit si une valeur de requête nomme une mise en page connue. */
+function isLayout(value) {
+	return LOGIN_PAGE_LAYOUTS.includes(value);
+}
+/**
+* Habillage et mise en page servis : la configuration, sauf aperçu demandé en
+* développement. Un `?skin=` seul prend la mise en page de son habillage ; une
+* valeur inconnue est ignorée.
+*/
+function resolveSkin(page, request) {
+	if (request.preview !== true) return {
+		skin: page.skin,
+		layout: page.layout
+	};
+	const skin = isLoginPageSkin(request.skin) ? request.skin : page.skin;
+	return {
+		skin,
+		layout: isLayout(request.layout) ? request.layout : skin === page.skin ? page.layout : LOGIN_PAGE_SKIN_SPECS[skin].layout
+	};
+}
+/**
+* Prépare les données du gabarit à partir de la description de la page
+* (security) et de la requête.
+*
+* Fonction pure : `from` repasse par `safeRedirectPath` (un chemin hors de
+* l'origine retombe sur `/`), `theme` n'accepte que `light` ou `dark`,
+* `skin` et `layout` ne sont lus qu'en aperçu et contre leur liste fermée.
+*
+* @param page - description rendue par `authFlow.describeLoginPage()`
+* @param request - valeurs de la requête, non filtrées
+* @returns les données du gabarit
+*/
+function buildLoginPageView(page, request) {
+	const from = safeRedirectPath(request.from);
+	const asset = (file) => `${LOGIN_PAGE_ASSETS_BASE}/${file}?v=${encodeURIComponent(request.assetsVersion)}`;
+	const logoHref = asset(LOGIN_PAGE_ASSET_FILES.logo);
+	const providerFrom = from === "/" ? void 0 : from;
+	const { skin, layout } = resolveSkin(page, request);
+	const skinFile = loginPageSkinFile(skin);
+	const sso = page.providers.length > 0;
+	return {
+		brand: page.title ?? request.projectName,
+		title: page.heading ?? DEFAULT_TITLE,
+		subtitle: page.subtitle,
+		hero: page.hero,
+		footer: page.footer,
+		logo: page.logo ?? logoHref,
+		skin,
+		layout,
+		backdrop: LOGIN_PAGE_SKIN_SPECS[skin].backdrop,
+		theme: request.theme === "light" || request.theme === "dark" ? request.theme : null,
+		ssoFirst: page.providersFirst && (sso || page.passkey),
+		password: page.password,
+		passkey: page.passkey,
+		empty: !page.password && !page.passkey && !sso,
+		lead: page.subtitle ?? leadFor(page.password, page.passkey, sso),
+		providers: page.providers.map(({ name, label, icon }) => ({
+			...PUBLIC_ACCOUNT_PROVIDERS.has(name.toLowerCase()) ? {
+				label,
+				caption: null
+			} : {
+				label: ORGANIZATION_ACCOUNT_LABEL,
+				caption: `SSO · ${label}`
+			},
+			href: oauth2AuthorizePath(name, providerFrom, page.path),
+			icon: name === "github" ? "m-github" : "i-key",
+			image: icon
+		})),
+		from,
+		picker: request.preview === true && page.previewPicker ? {
+			skins: LOGIN_PAGE_SKINS,
+			layouts: LOGIN_PAGE_LAYOUTS,
+			hook: page.previewHook ?? null
+		} : null,
+		notice: typeof request.reason === "string" && request.reason.length > 0 && request.reason !== OAUTH2_CANCELLED_REASON ? PROVIDER_FAILED_NOTICE : null,
+		styleHref: asset(LOGIN_PAGE_ASSET_FILES.style),
+		skinHref: skinFile === null ? null : asset(skinFile),
+		stylesheetHref: page.stylesheet,
+		scriptHref: asset(LOGIN_PAGE_ASSET_FILES.script),
+		logoHref,
+		nonce: request.nonce
+	};
+}
+/**
+* Gabarit Eta de la page de connexion par défaut (balisage F03, feuille
+* `nodefony/login.css`, script `nodefony/login.js`).
+*
+* En chaîne dans le code : un `.eta` posé à côté ne serait pas publié
+* (`files` du paquet = `dist`, `docs`). Compilé une fois par processus.
+* Tout passe par `<%= %>` (échappé) ; aucune sortie brute. L'icône
+* d'empreinte (`i-finger`) reprend `IconFingerprint` de Tabler Icons (MIT),
+* celle du bouton de Studio : les deux écrans montrent le même geste.
+*/
+const LOGIN_PAGE_TEMPLATE = `<!doctype html>
+<html lang="fr"<% if (it.theme) { %> data-theme="<%= it.theme %>"<% } %>>
+  <head>
+    <meta charset="utf-8" />
+    <meta name="viewport" content="width=device-width, initial-scale=1" />
+    <meta name="color-scheme" content="dark light" />
+    <meta name="robots" content="noindex" />
+    <title><%= it.title %> — <%= it.brand %></title>
+    <link rel="icon" href="<%= it.logoHref %>" type="image/svg+xml" />
+<% if (!it.theme) { %>
+    <script nonce="<%= it.nonce %>">try{var t=localStorage.getItem("${LOGIN_PAGE_THEME_KEY}");if(t==="light"||t==="dark")document.documentElement.dataset.theme=t}catch(e){}<\/script>
+<% } %>
+    <link rel="stylesheet" href="<%= it.styleHref %>" />
+<% if (it.skinHref) { %>
+    <link rel="stylesheet" href="<%= it.skinHref %>" />
+<% } %>
+<% if (it.stylesheetHref) { %>
+    <link rel="stylesheet" href="<%= it.stylesheetHref %>" />
+<% } %>
+    <script type="module" src="<%= it.scriptHref %>" nonce="<%= it.nonce %>"><\/script>
+  </head>
+  <body data-skin="<%= it.skin %>" data-layout="<%= it.layout %>"<% if (it.backdrop) { %> data-backdrop<% } %><% if (it.ssoFirst) { %> data-sso-first<% } %>>
+    <svg width="0" height="0" style="position: absolute" aria-hidden="true">
+      <symbol id="i-user" viewBox="0 0 24 24"><circle cx="12" cy="8" r="3.5" /><path d="M5.5 20a6.5 6.5 0 0 1 13 0" /></symbol>
+      <symbol id="i-lock" viewBox="0 0 24 24"><rect x="5" y="10.5" width="14" height="10" rx="2" /><path d="M8.5 10.5V7.5a3.5 3.5 0 0 1 7 0v3" /></symbol>
+      <symbol id="i-eye" viewBox="0 0 24 24"><path d="M2.5 12S6 5.5 12 5.5 21.5 12 21.5 12 18 18.5 12 18.5 2.5 12 2.5 12Z" /><circle cx="12" cy="12" r="2.8" /></symbol>
+      <symbol id="i-arrow" viewBox="0 0 24 24"><path d="M5 12h14M13 6l6 6-6 6" /></symbol>
+      <symbol id="i-key" viewBox="0 0 24 24"><circle cx="8" cy="15" r="3.8" /><path d="M10.8 12.2 19.5 3.5M16.5 6.5l2.5 2.5M14 9l2 2" /></symbol>
+      <symbol id="i-check" viewBox="0 0 24 24"><path d="M5 12.5l4.5 4.5L19 7.5" /></symbol>
+      <symbol id="i-finger" viewBox="0 0 24 24"><path d="M18.9 7a8 8 0 0 1 1.1 5v1a6 6 0 0 0 .8 3" /><path d="M8 11a4 4 0 0 1 8 0v1a10 10 0 0 0 2 6" /><path d="M12 11v2a14 14 0 0 0 2.5 8" /><path d="M8 15a18 18 0 0 0 1.8 6" /><path d="M4.9 19a22 22 0 0 1-.9-7v-1a8 8 0 0 1 12-6.95" /></symbol>
+      <symbol id="i-sun" viewBox="0 0 24 24"><circle cx="12" cy="12" r="4" /><path d="M12 2.5v2M12 19.5v2M4.6 4.6l1.4 1.4M18 18l1.4 1.4M2.5 12h2M19.5 12h2M4.6 19.4 6 18M18 6l1.4-1.4" /></symbol>
+      <symbol id="i-moon" viewBox="0 0 24 24"><path d="M20 14.5A8 8 0 0 1 9.5 4a8 8 0 1 0 10.5 10.5Z" /></symbol>
+      <symbol id="i-shield" viewBox="0 0 24 24"><path d="M12 3l7.5 3v5.5c0 4.6-3.2 8-7.5 9.5-4.3-1.5-7.5-4.9-7.5-9.5V6z" /></symbol>
+      <symbol id="m-github" viewBox="0 0 16 16"><path d="M8 0C3.58 0 0 3.58 0 8c0 3.54 2.29 6.53 5.47 7.59.4.07.55-.17.55-.38 0-.19-.01-.82-.01-1.49-2.01.37-2.53-.49-2.69-.94-.09-.23-.48-.94-.82-1.13-.28-.15-.68-.52-.01-.53.63-.01 1.08.58 1.23.82.72 1.21 1.87.87 2.33.66.07-.52.28-.87.51-1.07-1.78-.2-3.64-.89-3.64-3.95 0-.87.31-1.59.82-2.15-.08-.2-.36-1.02.08-2.12 0 0 .67-.21 2.2.82.64-.18 1.32-.27 2-.27s1.36.09 2 .27c1.53-1.04 2.2-.82 2.2-.82.44 1.1.16 1.92.08 2.12.51.56.82 1.27.82 2.15 0 3.07-1.87 3.75-3.65 3.95.29.25.54.73.54 1.48 0 1.07-.01 1.93-.01 2.2 0 .21.15.46.55.38A8.01 8.01 0 0 0 16 8c0-4.42-3.58-8-8-8Z" /></symbol>
+    </svg>
+    <header class="nf-strip">
+      <div class="nf-strip-brand"><img class="nf-logo" src="<%= it.logo %>" alt="" /><%= it.brand %></div>
+    </header>
+    <div class="nf-layout">
+      <aside class="nf-hero" aria-hidden="true">
+        <div class="nf-hero-brand"><img class="nf-logo" src="<%= it.logo %>" alt="" /><%= it.brand %></div>
+<% if (it.hero === null) { %>
+        <div class="nf-home">
+          <img
+            class="nf-home-logo"
+            src="<%= it.logoHref %>"
+            alt=""
+          />
+          <h2>Le framework Node.js fullstack</h2>
+          <p class="sub">
+            Temps réel natif · développement agentic-ready · socle TypeScript
+            isomorphe
+          </p>
+          <p class="sig">
+            Une action de contrôleur. Deux transports. La même session, la même
+            sécurité, le même code.
+          </p>
+          <ul class="badges">
+            <li class="agentic">Agentic ready</li>
+            <li>Node.js ≥ 24.14</li>
+            <li>TypeScript strict</li>
+            <li>ESM only</li>
+            <li>Licence Apache 2.0</li>
+          </ul>
+          <div
+            class="install"
+            role="img"
+            aria-label="Commande d'installation : npx nodefony create app"
+          >
+            <span class="p">$</span><span>npx nodefony create app</span>
+          </div>
+          <div class="features">
+            <div class="feature">
+              <span class="ic"
+                ><svg
+                  viewBox="0 0 24 24"
+                  fill="none"
+                  stroke="currentColor"
+                  stroke-width="2"
+                  stroke-linecap="round"
+                  stroke-linejoin="round"
+                  aria-hidden="true"
+                >
+                  <polygon
+                    points="13 2 3 14 12 14 11 22 21 10 12 10 13 2"
+                  /></svg
+              ></span>
+              <h3>Temps réel natif</h3>
+              <p>
+                Le WebSocket n'est pas un ajout : même pipeline, même table de
+                routes, même sécurité que le HTTP.
+              </p>
+            </div>
+            <div class="feature">
+              <span class="ic"
+                ><svg
+                  viewBox="0 0 24 24"
+                  fill="none"
+                  stroke="currentColor"
+                  stroke-width="2"
+                  stroke-linecap="round"
+                  stroke-linejoin="round"
+                  aria-hidden="true"
+                >
+                  <path d="M12 22s8-4 8-10V5l-8-3-8 3v7c0 6 8 10 8 10z" />
+                  <path d="m9 12 2 2 4-4" /></svg
+              ></span>
+              <h3>Sécurité par conception</h3>
+              <p>
+                Pare-feu applicatif par zones, Zero Trust, CSRF Fetch Metadata,
+                sessions hybrides, WebAuthn.
+              </p>
+            </div>
+            <div class="feature">
+              <span class="ic"
+                ><svg
+                  viewBox="0 0 24 24"
+                  fill="none"
+                  stroke="currentColor"
+                  stroke-width="2"
+                  stroke-linecap="round"
+                  stroke-linejoin="round"
+                  aria-hidden="true"
+                >
+                  <rect x="3" y="3" width="7" height="7" rx="1" />
+                  <rect x="14" y="3" width="7" height="7" rx="1" />
+                  <rect x="3" y="14" width="7" height="7" rx="1" />
+                  <rect x="14" y="14" width="7" height="7" rx="1" /></svg
+              ></span>
+              <h3>DI & modules</h3>
+              <p>
+                Injection de dépendances par décorateurs, modules autonomes,
+                configuration validée au boot.
+              </p>
+            </div>
+            <div class="feature">
+              <span class="ic"
+                ><svg
+                  viewBox="0 0 24 24"
+                  fill="none"
+                  stroke="currentColor"
+                  stroke-width="2"
+                  stroke-linecap="round"
+                  stroke-linejoin="round"
+                  aria-hidden="true"
+                >
+                  <circle cx="12" cy="12" r="9" />
+                  <path
+                    d="M3 12h18M12 3c2.5 2.6 4 5.7 4 9s-1.5 6.4-4 9c-2.5-2.6-4-5.7-4-9s1.5-6.4 4-9z"
+                  /></svg
+              ></span>
+              <h3>Socle isomorphe</h3>
+              <p>
+                Le même paquet côté serveur et côté navigateur : client temps
+                réel, règles et types écrits une fois.
+              </p>
+            </div>
+          </div>
+        </div>
+        <small>Propulsé par Nodefony</small>
+<% } else if (it.hero) { %>
+        <div class="nf-home">
+          <h2><%= it.hero.heading %></h2>
+<% if (it.hero.text) { %>
+          <p class="sub"><%= it.hero.text %></p>
+<% } %>
+        </div>
+<% } %>
+      </aside>
+      <main class="nf-stage" data-nf-login data-from="<%= it.from %>">
+        <button type="button" class="nf-theme" data-theme-toggle aria-label="Basculer entre thème clair et thème sombre"><svg class="nf-icon t-sun" aria-hidden="true"><use href="#i-sun" /></svg><svg class="nf-icon t-moon" aria-hidden="true"><use href="#i-moon" /></svg></button>
+        <section class="nf-card" aria-labelledby="nf-title">
+          <div class="nf-head">
+            <div class="nf-brand"><img class="nf-logo" src="<%= it.logo %>" alt="" /><%= it.brand %></div>
+            <h1 id="nf-title"><%= it.title %></h1>
+            <p class="nf-sub" id="nf-sub"><%= it.lead %></p>
+          </div>
+          <div class="nf-body">
+<% if (it.password) { %>
+            <ol class="nf-steps" aria-label="Étapes">
+              <li data-tab="identifier" aria-current="step">Identifiant</li>
+              <li data-tab="password">Mot de passe</li>
+              <li data-tab="mfa" hidden>Vérification</li>
+            </ol>
+            <form data-step="identifier">
+              <div class="nf-field">
+                <label for="nf-username">Identifiant ou adresse e-mail</label>
+                <div class="nf-input">
+                  <svg class="nf-icon" aria-hidden="true"><use href="#i-user" /></svg>
+                  <input id="nf-username" name="username" autocomplete="username" autocapitalize="none" spellcheck="false" required />
+                </div>
+              </div>
+              <button class="nf-btn primary" type="submit">Continuer<svg class="nf-icon" aria-hidden="true"><use href="#i-arrow" /></svg></button>
+            </form>
+            <form data-step="password" hidden>
+              <!-- Compte de l'étape précédente, masqué : le gestionnaire de mots de passe
+                   associe le mot de passe à CE compte (HTML, jeton « username »). -->
+              <input name="username" autocomplete="username" hidden readonly tabindex="-1" />
+              <div class="nf-account">
+                <span class="nf-avatar" aria-hidden="true"></span><span class="who"></span>
+                <button type="button" class="nf-link" data-go="identifier">Changer</button>
+              </div>
+              <div class="nf-field">
+                <div class="nf-label-row"><label for="nf-password">Mot de passe</label></div>
+                <div class="nf-input">
+                  <svg class="nf-icon" aria-hidden="true"><use href="#i-lock" /></svg>
+                  <input id="nf-password" name="password" type="password" autocomplete="current-password" required />
+                  <button type="button" class="nf-reveal" data-reveal aria-label="Afficher le mot de passe" aria-pressed="false"><svg class="nf-icon" aria-hidden="true"><use href="#i-eye" /></svg></button>
+                </div>
+              </div>
+              <button class="nf-btn primary" type="submit">Se connecter<svg class="nf-icon" aria-hidden="true"><use href="#i-arrow" /></svg></button>
+            </form>
+            <form data-step="mfa" hidden>
+              <div class="nf-field">
+                <label id="nf-otp-label">Code à 6 chiffres</label>
+                <div class="nf-otp" role="group" aria-labelledby="nf-otp-label">
+                  <input inputmode="numeric" maxlength="1" autocomplete="one-time-code" aria-label="Chiffre 1" /><input inputmode="numeric" maxlength="1" aria-label="Chiffre 2" /><input inputmode="numeric" maxlength="1" aria-label="Chiffre 3" /><input inputmode="numeric" maxlength="1" aria-label="Chiffre 4" /><input inputmode="numeric" maxlength="1" aria-label="Chiffre 5" /><input inputmode="numeric" maxlength="1" aria-label="Chiffre 6" />
+                </div>
+              </div>
+              <p class="nf-hint">Le code affiché par votre application d'authentification.</p>
+              <button class="nf-btn primary" type="submit">Vérifier</button>
+            </form>
+<% } %>
+<% if (it.password || it.passkey) { %>
+            <div data-step="authenticated" hidden>
+              <div class="nf-done" role="status">
+                <span class="ring" aria-hidden="true"><svg class="nf-icon"><use href="#i-check" /></svg></span>
+                <strong>Session ouverte</strong><span class="dest"></span>
+                <span class="nf-progress" aria-hidden="true"><span></span></span>
+              </div>
+            </div>
+<% } %>
+<% if (it.providers.length > 0 || it.passkey) { %>
+            <div data-alt>
+<% if (it.password) { %>
+              <div class="nf-or">ou</div>
+<% } %>
+              <div class="nf-alt">
+<% if (it.passkey) { %>
+                <button type="button" class="nf-btn span" data-passkey hidden><svg class="nf-icon" aria-hidden="true"><use href="#i-finger" /></svg>Passkey / empreinte digitale</button>
+<% } %>
+<% it.providers.forEach(function (provider) { %>
+                <a class="nf-btn" href="<%= provider.href %>"><% if (provider.image) { %><img class="nf-icon" src="<%= provider.image %>" alt="" /><% } else { %><svg class="<%= provider.icon === 'm-github' ? 'nf-mark' : 'nf-icon' %>" aria-hidden="true"><use href="#<%= provider.icon %>" /></svg><% } %><% if (provider.caption) { %><span class="nf-label"><%= provider.label %><small><%= provider.caption %></small></span><% } else { %><%= provider.label %><% } %></a>
+<% }) %>
+              </div>
+            </div>
+<% } %>
+            <div class="nf-message" aria-live="polite" data-message><% if (it.empty) { %><p class="nf-alert" role="alert"><span class="code">—</span><span>${LOGIN_PAGE_EMPTY_NOTICE}</span></p><% } else if (it.notice) { %><p class="nf-alert" role="alert"><span class="code">SSO</span><span><%= it.notice %></span></p><% } %></div>
+<% if (it.password || it.passkey) { %>
+            <noscript><p class="nf-hint">Cette page a besoin de JavaScript pour vous connecter.</p></noscript>
+<% } %>
+          </div>
+        </section>
+<% if (it.picker) { %>
+        <form class="nf-picker" method="get" data-preview-picker<% if (it.picker.hook) { %> data-preview-hook="<%= it.picker.hook %>"<% } %> aria-label="Aperçu de la page (développement)">
+          <input type="hidden" name="from" value="<%= it.from %>" />
+          <label>Habillage <select name="skin"><% it.picker.skins.forEach(function (skin) { %><option value="<%= skin %>"<% if (skin === it.skin) { %> selected<% } %>><%= skin %></option><% }) %></select></label>
+          <label>Mise en page <select name="layout"><% it.picker.layouts.forEach(function (layout) { %><option value="<%= layout %>"<% if (layout === it.layout) { %> selected<% } %>><%= layout %></option><% }) %></select></label>
+          <noscript><button type="submit">Appliquer</button></noscript>
+        </form>
+<% } %>
+<% if (it.footer) { %>
+        <div class="nf-foot">
+          <ul class="nf-facts" aria-label="Protection de la session">
+            <li><svg class="nf-icon" aria-hidden="true"><use href="#i-shield" /></svg>cookie HttpOnly</li>
+            <li><svg class="nf-icon" aria-hidden="true"><use href="#i-shield" /></svg>anti-CSRF</li>
+            <li><svg class="nf-icon" aria-hidden="true"><use href="#i-shield" /></svg>CSP stricte</li>
+          </ul>
+          <a class="nf-powered" href="https://github.com/nodefony/nodefony-core" rel="noopener noreferrer"><img class="nf-logo nf-logo-mono" src="<%= it.logoHref %>" alt="" />Propulsé par Nodefony</a>
+        </div>
+<% } %>
+      </main>
+    </div>
+  </body>
+</html>
+`;
+export { LOGIN_PAGE_ASSET_FILES, LOGIN_PAGE_EMPTY_NOTICE, LOGIN_PAGE_TEMPLATE, ORGANIZATION_ACCOUNT_LABEL, buildLoginPageView, keepSuccess };

package/dist/nodefony/src/requireAuthentication.js

@@ -0,0 +1,35 @@
+import { readSessionAuthentication } from "nodefony";
+// nodefony/src/requireAuthentication.ts
+/**
+* Ce qui manque à une session pour satisfaire un `@RequireAuthentication` —
+* fonction PURE : la session, l'exigence et l'heure lui sont données.
+*
+* Lit `authAt`/`amr` par `readSessionAuthentication` (contrat du cœur), jamais
+* le sac de métadonnées à la main. Une session absente, ou qui ne porte pas ces
+* métadonnées, est REFUSÉE : ne pas savoir n'est pas une preuve.
+*
+* @param session - la session de la requête, ou `null`.
+* @param requirement - l'exigence figée de la route.
+* @param now - l'heure de la décision, en millisecondes epoch.
+* @returns la cause du refus en clair, ou `null` quand la session suffit.
+*/
+function authenticationShortfall(session, requirement, now) {
+	const auth = readSessionAuthentication(session);
+	if (auth === null) return "la session de cette requête ne dit ni quand ni comment elle a été ouverte (aucune connexion, ou route hors d'une zone à session)";
+	if (requirement.maxAge !== null && now - auth.at > requirement.maxAge * 1e3) return `la connexion date de plus de ${requirement.maxAge} s`;
+	const missing = requirement.amr.filter((m) => !auth.amr.includes(m));
+	if (missing.length > 0) return `la connexion n'a pas employé ${missing.join(", ")} (employés : ${auth.amr.join(", ") || "aucun moyen déclaré"})`;
+	return null;
+}
+/**
+* Le défi d'un refus « step-up » (RFC 9470 §3) : le schéma de session du
+* pare-feu, l'erreur normée et l'âge maximal quand la route en fixe un.
+* `error_description` reste en ASCII, sans guillemet (RFC 6750 §3).
+*
+* @param requirement - l'exigence de la route.
+* @returns la valeur de `WWW-Authenticate`.
+*/
+function stepUpChallenge(requirement) {
+	return "Session realm=\"nodefony\", error=\"insufficient_user_authentication\", error_description=\"A more recent or stronger authentication is required\"" + (requirement.maxAge === null ? "" : `, max_age="${requirement.maxAge}"`);
+}
+export { authenticationShortfall, stepUpChallenge };

package/dist/nodefony/src/routeSchema.js

@@ -0,0 +1,81 @@
+import { BootConfigurationError, SchemaValidationError, isStandardSchema, toSchemaValidationIssues } from "nodefony";
+// nodefony/src/routeSchema.ts
+const ROUTE_PARTS = [
+	"params",
+	"query",
+	"body",
+	"headers"
+];
+/** Les noms des parties, pour reconnaître une clé lue sur un objet inconnu. */
+const ROUTE_PART_NAMES = new Set(ROUTE_PARTS);
+/**
+* Valide l'entrée d'une action contre son schéma — synchrone tant que chaque
+* validateur l'est, asynchrone seulement si l'un d'eux rend une promesse.
+*
+* Les quatre parties sont toutes validées avant de conclure : un échec rend
+* en une fois TOUTES les anomalies, chacune rattachée à sa partie. La valeur
+* d'une partie validée est remplacée par la SORTIE de son schéma (valeurs par
+* défaut, coercitions) ; la valeur reçue n'est ni copiée ni sérialisée — des
+* octets décodés par le transport arrivent tels quels au validateur.
+*
+* @param schema - le schéma de la route.
+* @param raw - l'entrée brute, mutée en place (objet propre à la requête).
+* @returns l'entrée validée, ou sa promesse.
+* @throws SchemaValidationError (statut 422) quand une partie est invalide —
+*   de façon synchrone, ou par la promesse rendue.
+*/
+function validateRouteInput(schema, raw) {
+	let failures = null;
+	let pending = null;
+	for (let i = 0; i < ROUTE_PARTS.length; i++) {
+		const part = ROUTE_PARTS[i];
+		const partSchema = part === void 0 ? void 0 : schema[part];
+		if (part === void 0 || partSchema === void 0) continue;
+		const result = partSchema["~standard"].validate(raw[part]);
+		if (result instanceof Promise) {
+			pending ??= [];
+			pending.push(result.then((settled) => failures = applyPartResult(raw, part, i, settled, failures)));
+		} else failures = applyPartResult(raw, part, i, result, failures);
+	}
+	if (pending === null) return concludeRouteInput(raw, failures);
+	return Promise.all(pending).then(() => concludeRouteInput(raw, failures));
+}
+/**
+* Applique le résultat d'une partie : sa sortie remplace la valeur brute, ou
+* ses anomalies sont rangées à SON rang — l'erreur les rend dans l'ordre des
+* parties, que leurs validateurs aient attendu ou non.
+*/
+function applyPartResult(raw, part, rank, result, failures) {
+	if (result.issues === void 0) {
+		raw[part] = result.value;
+		return failures;
+	}
+	const ranked = failures ?? [];
+	ranked[rank] = toSchemaValidationIssues(result.issues, part);
+	return ranked;
+}
+/** Rend l'entrée validée, ou lève l'erreur unique qui porte toutes les anomalies. */
+function concludeRouteInput(raw, failures) {
+	if (failures === null) return raw;
+	const issues = [];
+	for (const partIssues of failures) if (partIssues !== void 0) issues.push(...partIssues);
+	throw new SchemaValidationError(issues);
+}
+/**
+* Refuse, au démarrage, un schéma de route mal formé : partie inconnue (une
+* faute de frappe — `bodies` — serait sinon ignorée sans un mot), ou valeur
+* qui n'implémente pas Standard Schema (un appelant JavaScript peut passer
+* n'importe quoi).
+*
+* @param schema - le schéma déclaré.
+* @param routeName - la route, nommée dans l'erreur.
+* @throws BootConfigurationError sur la première faute trouvée.
+*/
+function assertRouteSchemaShape(schema, routeName) {
+	if (typeof schema !== "object" || schema === null) throw new BootConfigurationError(`Route "${routeName}" : l'option « schema » doit être un objet { params, query, body, headers }.`);
+	for (const [part, value] of Object.entries(schema)) {
+		if (!ROUTE_PART_NAMES.has(part)) throw new BootConfigurationError(`Route "${routeName}" : partie de schéma inconnue « ${part} » (attendu : ${ROUTE_PARTS.join(", ")}).`);
+		if (value !== void 0 && !isStandardSchema(value)) throw new BootConfigurationError(`Route "${routeName}" : « schema.${part} » n'implémente pas Standard Schema (Zod, Valibot, ArkType…).`);
+	}
+}
+export { assertRouteSchemaShape, validateRouteInput };

package/dist/nodefony/src/scopeCatalog.js

@@ -1,6 +1,6 @@
 import { extractActionScopes } from "../decorators/routerDecorators.js";
 import router_default from "../service/router.js";
-//#region nodefony/src/scopeCatalog.ts
+// nodefony/src/scopeCatalog.ts
 /**
 * P6.8 — **Découverte au boot** : scanne TOUTES les routes montées (`Router.routes`)
 * et agrège les scopes déclarés par `@RequireScope`, **regroupés par API** (préfixe
@@ -36,5 +36,4 @@ function collectDeclaredApiScopes() {
 		scopes: [...byApi.get(api) ?? []].sort()
 	}));
 }
-//#endregion
 export { collectDeclaredApiScopes, collectDeclaredApiScopes as default };

package/dist/nodefony/src/singletonGuard.js

@@ -1,4 +1,4 @@
-//#region nodefony/src/singletonGuard.ts
+// nodefony/src/singletonGuard.ts
 /**
 * Filets d'un contrôleur **singleton** — le défaut : UNE instance par classe,
 * partagée par toutes les requêtes, concurrentes comprises.
@@ -72,5 +72,4 @@ function guardSingletonState(controller, name) {
 	}
 	Object.preventExtensions(controller);
 }
-//#endregion
 export { guardSingletonState, isDevelopment, singletonWriteMessage };

package/dist/nodefony/src/syslogFilters.js

@@ -1,5 +1,5 @@
 import { FLOW_STEPS, SEVERITY_NAMES } from "nodefony";
-//#region nodefony/src/syslogFilters.ts
+// nodefony/src/syslogFilters.ts
 /**
 * Ce que le journal sait TRIER — un seul axe, le temps.
 *
@@ -47,5 +47,4 @@ const SYSLOG_FILTERS = {
 	/** Borne haute d'horodatage (epoch ms, incluse). */
 	to: "int"
 };
-//#endregion
 export { SYSLOG_FILTERS, SYSLOG_SORTABLE };

package/dist/types/index.d.ts

@@ -1,7 +1,7 @@
 import { Kernel, Module } from "nodefony";
 import type { IFrameworkConfigInput, IFrameworkConfig } from "./nodefony/config/config.js";
 import { getIdempotencyStoreFactory, registerIdempotencyStore, listIdempotencyStores } from "./nodefony/src/idempotencyStoreRegistry.js";
-import Router from "./nodefony/service/router.js";
+import Router, { FRAMEWORK_ROUTER, isFrameworkRouter } from "./nodefony/service/router.js";
 import Route from "./nodefony/src/Route.js";
 import Controller from "./nodefony/src/Controller.js";
 import ResourceController from "./nodefony/src/ResourceController.js";
@@ -10,6 +10,7 @@ import AdminBroker from "./nodefony/service/AdminBroker.js";
 import MemoryIdempotencyStore from "./nodefony/service/IdempotencyStore.js";
 import AdminApiController from "./nodefony/controller/AdminApiController.js";
 import SessionAuthController, { mountSessionAuthRoutes } from "./nodefony/controller/SessionAuthController.js";
+import LoginPageController, { mountLoginPage } from "./nodefony/controller/LoginPageController.js";
 import TokenAuthController, { mountTokenAuthRoutes } from "./nodefony/controller/TokenAuthController.js";
 import IssuerMetadataController, { mountIssuerMetadataRoutes } from "./nodefony/controller/IssuerMetadataController.js";
 import ProtectedResourceMetadataController, { mountProtectedResourceRoutes, protectedResourceRoutePaths, collectProtectedResources } from "./nodefony/controller/ProtectedResourceMetadataController.js";
@@ -23,9 +24,10 @@ import { createFrameworkAdminApi } from "./nodefony/src/FrameworkAdminApi.js";
 import { buildPlaygroundSnapshot } from "./nodefony/src/PlaygroundAdminApi.js";
 import { createSyslogAdminApi } from "./nodefony/src/SyslogAdminApi.js";
 import Eta from "./nodefony/service/Eta.js";
-import { mergeResolvers, mergeTypeDefs } from "@graphql-tools/merge";
-import { mergeSchemas, makeExecutableSchema } from "@graphql-tools/schema";
-import { controllers, route, controller, Get, Post, Put, Delete, Patch, Options, Head, All, Domain, BypassFirewall, IsGranted, RequireScope, Anonymous, Csp, CsrfProtect, CsrfExempt, Idempotent, CurrentUser, Scope, UseSession, HttpCode, Header, Redirect, Param, Body, Query, Headers, Cookie, Session, Req, Res, UploadedFile, UploadedFiles, routeExpectsBodyStream } from "./nodefony/decorators/routerDecorators.js";
+import { controllers, route, controller, Get, Post, Put, Delete, Patch, Options, Head, All, Domain, BypassFirewall, IsGranted, RequireScope, RequireAuthentication, Anonymous, Csp, CsrfProtect, CsrfExempt, Idempotent, CurrentUser, Scope, UseSession, HttpCode, Header, Redirect, Param, Body, Query, Headers, Cookie, Session, Req, Res, UploadedFile, UploadedFiles, routeExpectsBodyStream, buildContextParamArgs, getParamArgsMeta } from "./nodefony/decorators/routerDecorators.js";
+export type { IHttpMethodDecorator } from "./nodefony/decorators/routerDecorators.js";
+export { validateRouteInput } from "./nodefony/src/routeSchema.js";
+export type { IRouteSchema, RouteInput, RoutePart, RawRouteInput, RawRouteParams, RawRouteQuery, RawRouteHeaders, } from "./nodefony/src/routeSchema.js";
 declare module "nodefony" {
     interface NodefonyModuleConfig {
         "@nodefony/framework": IFrameworkConfigInput;
@@ -76,17 +78,11 @@ declare class Framework extends Module<IFrameworkConfig> {
      */
     onKernelReady(): Promise<this>;
 }
-declare const graphql: {
-    mergeSchemas: typeof mergeSchemas;
-    makeExecutableSchema: typeof makeExecutableSchema;
-    mergeResolvers: typeof mergeResolvers;
-    mergeTypeDefs: typeof mergeTypeDefs;
-};
 export default Framework;
-export { Controller, ResourceController, Route, Router, Resolver, AdminBroker, MemoryIdempotencyStore, AdminApiController, SessionAuthController, mountSessionAuthRoutes, TokenAuthController, mountTokenAuthRoutes, IssuerMetadataController, mountIssuerMetadataRoutes, ProtectedResourceMetadataController, mountProtectedResourceRoutes, protectedResourceRoutePaths, collectProtectedResources, WebAuthnController, mountWebAuthnRoutes, OAuth2Controller, mountOAuth2Routes, BenchController, mountBenchRoutes, ApiKeyController, mountApiKeyRoutes, TotpController, mountTotpRoutes, createKernelAdminApi, createFrameworkAdminApi, createSyslogAdminApi, buildPlaygroundSnapshot, Eta, route, controller, controllers, Get, Post, Put, Delete, Patch, Options, Head, All, Domain, BypassFirewall, IsGranted, RequireScope, Anonymous, Csp, CsrfProtect, CsrfExempt, Idempotent, CurrentUser, Scope, UseSession, HttpCode, Header, Redirect, Param, Body, Query, Headers, Cookie, Session, Req, Res, UploadedFile, UploadedFiles, routeExpectsBodyStream, graphql, registerIdempotencyStore, getIdempotencyStoreFactory, listIdempotencyStores, };
+export { Controller, ResourceController, Route, Router, FRAMEWORK_ROUTER, isFrameworkRouter, Resolver, AdminBroker, MemoryIdempotencyStore, AdminApiController, SessionAuthController, mountSessionAuthRoutes, LoginPageController, mountLoginPage, TokenAuthController, mountTokenAuthRoutes, IssuerMetadataController, mountIssuerMetadataRoutes, ProtectedResourceMetadataController, mountProtectedResourceRoutes, protectedResourceRoutePaths, collectProtectedResources, WebAuthnController, mountWebAuthnRoutes, OAuth2Controller, mountOAuth2Routes, BenchController, mountBenchRoutes, ApiKeyController, mountApiKeyRoutes, TotpController, mountTotpRoutes, createKernelAdminApi, createFrameworkAdminApi, createSyslogAdminApi, buildPlaygroundSnapshot, Eta, route, controller, controllers, Get, Post, Put, Delete, Patch, Options, Head, All, Domain, BypassFirewall, IsGranted, RequireScope, RequireAuthentication, Anonymous, Csp, CsrfProtect, CsrfExempt, Idempotent, CurrentUser, Scope, UseSession, HttpCode, Header, Redirect, Param, Body, Query, Headers, Cookie, Session, Req, Res, UploadedFile, UploadedFiles, routeExpectsBodyStream, buildContextParamArgs, getParamArgsMeta, registerIdempotencyStore, getIdempotencyStoreFactory, listIdempotencyStores, };
 export { frameworkConfigSchema } from "./nodefony/config/config.js";
 export type { IdempotencyStoreFactory, IIdempotencyStoreFactoryContext, } from "./nodefony/src/idempotencyStoreRegistry.js";
-export type { SecurityClause, SecurityRequirement, CspDirectives, } from "./nodefony/decorators/routerDecorators.js";
+export type { SecurityClause, SecurityRequirement, IAuthenticationRequirement, IRequireAuthenticationOptions, CspDirectives, IParamArgSource, ParamMeta, } from "./nodefony/decorators/routerDecorators.js";
 export type { ControllerScope } from "./nodefony/src/Controller.js";
 export type { FrameworkAdminApiOptions } from "./nodefony/src/FrameworkAdminApi.js";
 export type { PlaygroundAction, PlaygroundController, PlaygroundGuards, PlaygroundParam, } from "./nodefony/src/PlaygroundAdminApi.js";