@nodefony/framework 10.0.0-beta.3 → 10.0.0-beta.4

package/dist/types/nodefony/src/Resolver.d.ts

@@ -42,7 +42,7 @@ declare class Resolver implements IResolver {
     /**
      * Query d'une invocation **par message** (pont WS-RPC `api.request`) — pendant
      * de `cleanPathOverride` pour le `?…` du path invoqué. Le contexte WS étant
-     * PARTAGÉ par la connexion (sa `queryGet` = celle du handshake), la query
+     * PARTAGÉ par la connexion (sa `query` = celle du handshake), la query
      * per-invocation vit ici (le Resolver est per-invocation → zéro bleed entre
      * requêtes concurrentes d'une même socket). `null` (hot path HTTP) = ignoré.
      * Consommé par `@Query` (`_buildParamArgs`) et copié sur le controller
@@ -70,6 +70,11 @@ declare class Resolver implements IResolver {
      * administrateurs.
      */
     messageInvocation: boolean;
+    /**
+     * Les gardes de l'action ont été jugées favorables par {@link authorizeAction}
+     * et ne se rejugent pas à la prochaine exécution — consommé par elle.
+     */
+    private preAuthorized;
     constructor(context: ContextType);
     match(route: Route, context: ContextType, cleanPath?: string, literal?: boolean): ((string | null)[] & Record<string, unknown>) | null | undefined;
     /**
@@ -169,6 +174,25 @@ declare class Resolver implements IResolver {
      *   d'action) ; un refus d'autorisation rompt la promesse rendue.
      */
     executeAction(data?: unknown[], reload?: boolean, metaArg?: RouteActionMeta): MaybePromise<ActionOutcome>;
+    /**
+     * Valide l'entrée d'une action à schéma, puis l'exécute avec cette entrée
+     * pour argument unique. Synchrone tant que le validateur l'est.
+     *
+     * @throws SchemaValidationError (422) quand l'entrée viole le schéma.
+     */
+    private _validateAndInvoke;
+    /**
+     * Juge les gardes de l'action résolue SANS l'exécuter — appelé par le
+     * pipeline WebSocket AVANT d'accepter le handshake (#596), pour qu'un
+     * connecté sans le rôle reçoive son 403 en statut HTTP au lieu d'une
+     * ouverture suivie d'une fermeture. Un verdict favorable vaut pour la
+     * PROCHAINE exécution (l'action de handshake), qui ne le rejuge pas ; les
+     * messages suivants, eux, sont jugés chacun.
+     *
+     * @returns `undefined` quand l'action n'est pas gardée ; sinon la promesse du
+     *   verdict, rompue par un refus
+     */
+    authorizeAction(): Promise<void> | undefined;
     /**
      * Les gardes d'autorisation d'une action : `@IsGranted`/`@RequireScope`, puis
      * le filet de la ZONE quand aucune garde n'a décidé du RÔLE.

package/dist/types/nodefony/src/ResourceController.d.ts

@@ -86,7 +86,7 @@ export interface IResourceService<T = unknown> {
  *   sur `this` doit rétrograder : `static scope = "request"`.
  *
  * Sécurité : aucun critère de requête n'est passé AUTOMATIQUEMENT au service
- * (pas de `find(this.queryGet)` implicite) — exposer un filtrage est une
+ * (pas de `find(this.query)` implicite) — exposer un filtrage est une
  * décision EXPLICITE de la sous-classe (deny-by-default ; le scope de
  * sécurité des données se branche au niveau service/criteria, P6).
  *

package/dist/types/nodefony/src/Route.d.ts

@@ -2,10 +2,13 @@ import { HTTPMethod, SchemeType, ContextType } from "@nodefony/http";
 import type { IRoute } from "../interfaces/index.js";
 import type { RouteActionMeta } from "../decorators/routerDecorators.js";
 import Controller from "./Controller.js";
+import type { ControllerScope } from "./Controller.js";
 export interface ControllerConstructor {
     new (...args: any[]): Controller;
     /** Prototype de la classe — porte les métadonnées des actions (`@Param`…). */
     readonly prototype: Controller;
+    /** Portée de l'instance (`Controller.scope`, statique hérité). */
+    readonly scope?: ControllerScope;
 }
 /**
  * Options pour la configuration d'une route.

package/dist/types/nodefony/src/loginPage.d.ts

@@ -141,4 +141,4 @@ export declare function buildLoginPageView(page: ILoginPageDescription, request:
  * d'empreinte (`i-finger`) reprend `IconFingerprint` de Tabler Icons (MIT),
  * celle du bouton de Studio : les deux écrans montrent le même geste.
  */
-export declare const LOGIN_PAGE_TEMPLATE = "<!doctype html>\n<html lang=\"fr\"<% if (it.theme) { %> data-theme=\"<%= it.theme %>\"<% } %>>\n  <head>\n    <meta charset=\"utf-8\" />\n    <meta name=\"viewport\" content=\"width=device-width, initial-scale=1\" />\n    <meta name=\"color-scheme\" content=\"dark light\" />\n    <meta name=\"robots\" content=\"noindex\" />\n    <title><%= it.title %> \u2014 <%= it.brand %></title>\n    <link rel=\"icon\" href=\"<%= it.logoHref %>\" type=\"image/svg+xml\" />\n<% if (!it.theme) { %>\n    <script nonce=\"<%= it.nonce %>\">try{var t=localStorage.getItem(\"nf-login-theme\");if(t===\"light\"||t===\"dark\")document.documentElement.dataset.theme=t}catch(e){}</script>\n<% } %>\n    <link rel=\"stylesheet\" href=\"<%= it.styleHref %>\" />\n<% if (it.skinHref) { %>\n    <link rel=\"stylesheet\" href=\"<%= it.skinHref %>\" />\n<% } %>\n<% if (it.stylesheetHref) { %>\n    <link rel=\"stylesheet\" href=\"<%= it.stylesheetHref %>\" />\n<% } %>\n    <script type=\"module\" src=\"<%= it.scriptHref %>\" nonce=\"<%= it.nonce %>\"></script>\n  </head>\n  <body data-skin=\"<%= it.skin %>\" data-layout=\"<%= it.layout %>\"<% if (it.backdrop) { %> data-backdrop<% } %><% if (it.ssoFirst) { %> data-sso-first<% } %>>\n    <svg width=\"0\" height=\"0\" style=\"position: absolute\" aria-hidden=\"true\">\n      <symbol id=\"i-user\" viewBox=\"0 0 24 24\"><circle cx=\"12\" cy=\"8\" r=\"3.5\" /><path d=\"M5.5 20a6.5 6.5 0 0 1 13 0\" /></symbol>\n      <symbol id=\"i-lock\" viewBox=\"0 0 24 24\"><rect x=\"5\" y=\"10.5\" width=\"14\" height=\"10\" rx=\"2\" /><path d=\"M8.5 10.5V7.5a3.5 3.5 0 0 1 7 0v3\" /></symbol>\n      <symbol id=\"i-eye\" viewBox=\"0 0 24 24\"><path d=\"M2.5 12S6 5.5 12 5.5 21.5 12 21.5 12 18 18.5 12 18.5 2.5 12 2.5 12Z\" /><circle cx=\"12\" cy=\"12\" r=\"2.8\" /></symbol>\n      <symbol id=\"i-arrow\" viewBox=\"0 0 24 24\"><path d=\"M5 12h14M13 6l6 6-6 6\" /></symbol>\n      <symbol id=\"i-key\" viewBox=\"0 0 24 24\"><circle cx=\"8\" cy=\"15\" r=\"3.8\" /><path d=\"M10.8 12.2 19.5 3.5M16.5 6.5l2.5 2.5M14 9l2 2\" /></symbol>\n      <symbol id=\"i-check\" viewBox=\"0 0 24 24\"><path d=\"M5 12.5l4.5 4.5L19 7.5\" /></symbol>\n      <symbol id=\"i-finger\" viewBox=\"0 0 24 24\"><path d=\"M18.9 7a8 8 0 0 1 1.1 5v1a6 6 0 0 0 .8 3\" /><path d=\"M8 11a4 4 0 0 1 8 0v1a10 10 0 0 0 2 6\" /><path d=\"M12 11v2a14 14 0 0 0 2.5 8\" /><path d=\"M8 15a18 18 0 0 0 1.8 6\" /><path d=\"M4.9 19a22 22 0 0 1-.9-7v-1a8 8 0 0 1 12-6.95\" /></symbol>\n      <symbol id=\"i-sun\" viewBox=\"0 0 24 24\"><circle cx=\"12\" cy=\"12\" r=\"4\" /><path d=\"M12 2.5v2M12 19.5v2M4.6 4.6l1.4 1.4M18 18l1.4 1.4M2.5 12h2M19.5 12h2M4.6 19.4 6 18M18 6l1.4-1.4\" /></symbol>\n      <symbol id=\"i-moon\" viewBox=\"0 0 24 24\"><path d=\"M20 14.5A8 8 0 0 1 9.5 4a8 8 0 1 0 10.5 10.5Z\" /></symbol>\n      <symbol id=\"i-shield\" viewBox=\"0 0 24 24\"><path d=\"M12 3l7.5 3v5.5c0 4.6-3.2 8-7.5 9.5-4.3-1.5-7.5-4.9-7.5-9.5V6z\" /></symbol>\n      <symbol id=\"m-github\" viewBox=\"0 0 16 16\"><path d=\"M8 0C3.58 0 0 3.58 0 8c0 3.54 2.29 6.53 5.47 7.59.4.07.55-.17.55-.38 0-.19-.01-.82-.01-1.49-2.01.37-2.53-.49-2.69-.94-.09-.23-.48-.94-.82-1.13-.28-.15-.68-.52-.01-.53.63-.01 1.08.58 1.23.82.72 1.21 1.87.87 2.33.66.07-.52.28-.87.51-1.07-1.78-.2-3.64-.89-3.64-3.95 0-.87.31-1.59.82-2.15-.08-.2-.36-1.02.08-2.12 0 0 .67-.21 2.2.82.64-.18 1.32-.27 2-.27s1.36.09 2 .27c1.53-1.04 2.2-.82 2.2-.82.44 1.1.16 1.92.08 2.12.51.56.82 1.27.82 2.15 0 3.07-1.87 3.75-3.65 3.95.29.25.54.73.54 1.48 0 1.07-.01 1.93-.01 2.2 0 .21.15.46.55.38A8.01 8.01 0 0 0 16 8c0-4.42-3.58-8-8-8Z\" /></symbol>\n    </svg>\n    <header class=\"nf-strip\">\n      <div class=\"nf-strip-brand\"><img class=\"nf-logo\" src=\"<%= it.logo %>\" alt=\"\" /><%= it.brand %></div>\n    </header>\n    <div class=\"nf-layout\">\n      <aside class=\"nf-hero\" aria-hidden=\"true\">\n        <div class=\"nf-hero-brand\"><img class=\"nf-logo\" src=\"<%= it.logo %>\" alt=\"\" /><%= it.brand %></div>\n<% if (it.hero === null) { %>\n        <div class=\"nf-home\">\n          <img\n            class=\"nf-home-logo\"\n            src=\"<%= it.logoHref %>\"\n            alt=\"\"\n          />\n          <h2>Le framework Node.js fullstack</h2>\n          <p class=\"sub\">\n            Temps r\u00E9el natif \u00B7 d\u00E9veloppement agentic-ready \u00B7 socle TypeScript\n            isomorphe\n          </p>\n          <p class=\"sig\">\n            Une action de contr\u00F4leur. Deux transports. La m\u00EAme session, la m\u00EAme\n            s\u00E9curit\u00E9, le m\u00EAme code.\n          </p>\n          <ul class=\"badges\">\n            <li class=\"agentic\">Agentic ready</li>\n            <li>Node.js \u2265 24</li>\n            <li>TypeScript strict</li>\n            <li>ESM only</li>\n            <li>Licence Apache 2.0</li>\n          </ul>\n          <div\n            class=\"install\"\n            role=\"img\"\n            aria-label=\"Commande d'installation : npx nodefony create app\"\n          >\n            <span class=\"p\">$</span><span>npx nodefony create app</span>\n          </div>\n          <div class=\"features\">\n            <div class=\"feature\">\n              <span class=\"ic\"\n                ><svg\n                  viewBox=\"0 0 24 24\"\n                  fill=\"none\"\n                  stroke=\"currentColor\"\n                  stroke-width=\"2\"\n                  stroke-linecap=\"round\"\n                  stroke-linejoin=\"round\"\n                  aria-hidden=\"true\"\n                >\n                  <polygon\n                    points=\"13 2 3 14 12 14 11 22 21 10 12 10 13 2\"\n                  /></svg\n              ></span>\n              <h3>Temps r\u00E9el natif</h3>\n              <p>\n                Le WebSocket n'est pas un ajout : m\u00EAme pipeline, m\u00EAme table de\n                routes, m\u00EAme s\u00E9curit\u00E9 que le HTTP.\n              </p>\n            </div>\n            <div class=\"feature\">\n              <span class=\"ic\"\n                ><svg\n                  viewBox=\"0 0 24 24\"\n                  fill=\"none\"\n                  stroke=\"currentColor\"\n                  stroke-width=\"2\"\n                  stroke-linecap=\"round\"\n                  stroke-linejoin=\"round\"\n                  aria-hidden=\"true\"\n                >\n                  <path d=\"M12 22s8-4 8-10V5l-8-3-8 3v7c0 6 8 10 8 10z\" />\n                  <path d=\"m9 12 2 2 4-4\" /></svg\n              ></span>\n              <h3>S\u00E9curit\u00E9 par conception</h3>\n              <p>\n                Pare-feu applicatif par zones, Zero Trust, CSRF Fetch Metadata,\n                sessions hybrides, WebAuthn.\n              </p>\n            </div>\n            <div class=\"feature\">\n              <span class=\"ic\"\n                ><svg\n                  viewBox=\"0 0 24 24\"\n                  fill=\"none\"\n                  stroke=\"currentColor\"\n                  stroke-width=\"2\"\n                  stroke-linecap=\"round\"\n                  stroke-linejoin=\"round\"\n                  aria-hidden=\"true\"\n                >\n                  <rect x=\"3\" y=\"3\" width=\"7\" height=\"7\" rx=\"1\" />\n                  <rect x=\"14\" y=\"3\" width=\"7\" height=\"7\" rx=\"1\" />\n                  <rect x=\"3\" y=\"14\" width=\"7\" height=\"7\" rx=\"1\" />\n                  <rect x=\"14\" y=\"14\" width=\"7\" height=\"7\" rx=\"1\" /></svg\n              ></span>\n              <h3>DI & modules</h3>\n              <p>\n                Injection de d\u00E9pendances par d\u00E9corateurs, modules autonomes,\n                configuration valid\u00E9e au boot.\n              </p>\n            </div>\n            <div class=\"feature\">\n              <span class=\"ic\"\n                ><svg\n                  viewBox=\"0 0 24 24\"\n                  fill=\"none\"\n                  stroke=\"currentColor\"\n                  stroke-width=\"2\"\n                  stroke-linecap=\"round\"\n                  stroke-linejoin=\"round\"\n                  aria-hidden=\"true\"\n                >\n                  <circle cx=\"12\" cy=\"12\" r=\"9\" />\n                  <path\n                    d=\"M3 12h18M12 3c2.5 2.6 4 5.7 4 9s-1.5 6.4-4 9c-2.5-2.6-4-5.7-4-9s1.5-6.4 4-9z\"\n                  /></svg\n              ></span>\n              <h3>Socle isomorphe</h3>\n              <p>\n                Le m\u00EAme paquet c\u00F4t\u00E9 serveur et c\u00F4t\u00E9 navigateur : client temps\n                r\u00E9el, r\u00E8gles et types \u00E9crits une fois.\n              </p>\n            </div>\n          </div>\n        </div>\n        <small>Propuls\u00E9 par Nodefony</small>\n<% } else if (it.hero) { %>\n        <div class=\"nf-home\">\n          <h2><%= it.hero.heading %></h2>\n<% if (it.hero.text) { %>\n          <p class=\"sub\"><%= it.hero.text %></p>\n<% } %>\n        </div>\n<% } %>\n      </aside>\n      <main class=\"nf-stage\" data-nf-login data-from=\"<%= it.from %>\">\n        <button type=\"button\" class=\"nf-theme\" data-theme-toggle aria-label=\"Basculer entre th\u00E8me clair et th\u00E8me sombre\"><svg class=\"nf-icon t-sun\" aria-hidden=\"true\"><use href=\"#i-sun\" /></svg><svg class=\"nf-icon t-moon\" aria-hidden=\"true\"><use href=\"#i-moon\" /></svg></button>\n        <section class=\"nf-card\" aria-labelledby=\"nf-title\">\n          <div class=\"nf-head\">\n            <div class=\"nf-brand\"><img class=\"nf-logo\" src=\"<%= it.logo %>\" alt=\"\" /><%= it.brand %></div>\n            <h1 id=\"nf-title\"><%= it.title %></h1>\n            <p class=\"nf-sub\" id=\"nf-sub\"><%= it.lead %></p>\n          </div>\n          <div class=\"nf-body\">\n<% if (it.password) { %>\n            <ol class=\"nf-steps\" aria-label=\"\u00C9tapes\">\n              <li data-tab=\"identifier\" aria-current=\"step\">Identifiant</li>\n              <li data-tab=\"password\">Mot de passe</li>\n              <li data-tab=\"mfa\" hidden>V\u00E9rification</li>\n            </ol>\n            <form data-step=\"identifier\">\n              <div class=\"nf-field\">\n                <label for=\"nf-username\">Identifiant ou adresse e-mail</label>\n                <div class=\"nf-input\">\n                  <svg class=\"nf-icon\" aria-hidden=\"true\"><use href=\"#i-user\" /></svg>\n                  <input id=\"nf-username\" name=\"username\" autocomplete=\"username\" autocapitalize=\"none\" spellcheck=\"false\" required />\n                </div>\n              </div>\n              <button class=\"nf-btn primary\" type=\"submit\">Continuer<svg class=\"nf-icon\" aria-hidden=\"true\"><use href=\"#i-arrow\" /></svg></button>\n            </form>\n            <form data-step=\"password\" hidden>\n              <!-- Compte de l'\u00E9tape pr\u00E9c\u00E9dente, masqu\u00E9 : le gestionnaire de mots de passe\n                   associe le mot de passe \u00E0 CE compte (HTML, jeton \u00AB username \u00BB). -->\n              <input name=\"username\" autocomplete=\"username\" hidden readonly tabindex=\"-1\" />\n              <div class=\"nf-account\">\n                <span class=\"nf-avatar\" aria-hidden=\"true\"></span><span class=\"who\"></span>\n                <button type=\"button\" class=\"nf-link\" data-go=\"identifier\">Changer</button>\n              </div>\n              <div class=\"nf-field\">\n                <div class=\"nf-label-row\"><label for=\"nf-password\">Mot de passe</label></div>\n                <div class=\"nf-input\">\n                  <svg class=\"nf-icon\" aria-hidden=\"true\"><use href=\"#i-lock\" /></svg>\n                  <input id=\"nf-password\" name=\"password\" type=\"password\" autocomplete=\"current-password\" required />\n                  <button type=\"button\" class=\"nf-reveal\" data-reveal aria-label=\"Afficher le mot de passe\" aria-pressed=\"false\"><svg class=\"nf-icon\" aria-hidden=\"true\"><use href=\"#i-eye\" /></svg></button>\n                </div>\n              </div>\n              <button class=\"nf-btn primary\" type=\"submit\">Se connecter<svg class=\"nf-icon\" aria-hidden=\"true\"><use href=\"#i-arrow\" /></svg></button>\n            </form>\n            <form data-step=\"mfa\" hidden>\n              <div class=\"nf-field\">\n                <label id=\"nf-otp-label\">Code \u00E0 6 chiffres</label>\n                <div class=\"nf-otp\" role=\"group\" aria-labelledby=\"nf-otp-label\">\n                  <input inputmode=\"numeric\" maxlength=\"1\" autocomplete=\"one-time-code\" aria-label=\"Chiffre 1\" /><input inputmode=\"numeric\" maxlength=\"1\" aria-label=\"Chiffre 2\" /><input inputmode=\"numeric\" maxlength=\"1\" aria-label=\"Chiffre 3\" /><input inputmode=\"numeric\" maxlength=\"1\" aria-label=\"Chiffre 4\" /><input inputmode=\"numeric\" maxlength=\"1\" aria-label=\"Chiffre 5\" /><input inputmode=\"numeric\" maxlength=\"1\" aria-label=\"Chiffre 6\" />\n                </div>\n              </div>\n              <p class=\"nf-hint\">Le code affich\u00E9 par votre application d'authentification.</p>\n              <button class=\"nf-btn primary\" type=\"submit\">V\u00E9rifier</button>\n            </form>\n<% } %>\n<% if (it.password || it.passkey) { %>\n            <div data-step=\"authenticated\" hidden>\n              <div class=\"nf-done\" role=\"status\">\n                <span class=\"ring\" aria-hidden=\"true\"><svg class=\"nf-icon\"><use href=\"#i-check\" /></svg></span>\n                <strong>Session ouverte</strong><span class=\"dest\"></span>\n                <span class=\"nf-progress\" aria-hidden=\"true\"><span></span></span>\n              </div>\n            </div>\n<% } %>\n<% if (it.providers.length > 0 || it.passkey) { %>\n            <div data-alt>\n<% if (it.password) { %>\n              <div class=\"nf-or\">ou</div>\n<% } %>\n              <div class=\"nf-alt\">\n<% if (it.passkey) { %>\n                <button type=\"button\" class=\"nf-btn span\" data-passkey hidden><svg class=\"nf-icon\" aria-hidden=\"true\"><use href=\"#i-finger\" /></svg>Passkey / empreinte digitale</button>\n<% } %>\n<% it.providers.forEach(function (provider) { %>\n                <a class=\"nf-btn\" href=\"<%= provider.href %>\"><% if (provider.image) { %><img class=\"nf-icon\" src=\"<%= provider.image %>\" alt=\"\" /><% } else { %><svg class=\"<%= provider.icon === 'm-github' ? 'nf-mark' : 'nf-icon' %>\" aria-hidden=\"true\"><use href=\"#<%= provider.icon %>\" /></svg><% } %><% if (provider.caption) { %><span class=\"nf-label\"><%= provider.label %><small><%= provider.caption %></small></span><% } else { %><%= provider.label %><% } %></a>\n<% }) %>\n              </div>\n            </div>\n<% } %>\n            <div class=\"nf-message\" aria-live=\"polite\" data-message><% if (it.empty) { %><p class=\"nf-alert\" role=\"alert\"><span class=\"code\">\u2014</span><span>Aucun moyen de connexion n'est disponible pour le moment. Pr\u00E9venez l'administrateur du site.</span></p><% } else if (it.notice) { %><p class=\"nf-alert\" role=\"alert\"><span class=\"code\">SSO</span><span><%= it.notice %></span></p><% } %></div>\n<% if (it.password || it.passkey) { %>\n            <noscript><p class=\"nf-hint\">Cette page a besoin de JavaScript pour vous connecter.</p></noscript>\n<% } %>\n          </div>\n        </section>\n<% if (it.picker) { %>\n        <form class=\"nf-picker\" method=\"get\" data-preview-picker<% if (it.picker.hook) { %> data-preview-hook=\"<%= it.picker.hook %>\"<% } %> aria-label=\"Aper\u00E7u de la page (d\u00E9veloppement)\">\n          <input type=\"hidden\" name=\"from\" value=\"<%= it.from %>\" />\n          <label>Habillage <select name=\"skin\"><% it.picker.skins.forEach(function (skin) { %><option value=\"<%= skin %>\"<% if (skin === it.skin) { %> selected<% } %>><%= skin %></option><% }) %></select></label>\n          <label>Mise en page <select name=\"layout\"><% it.picker.layouts.forEach(function (layout) { %><option value=\"<%= layout %>\"<% if (layout === it.layout) { %> selected<% } %>><%= layout %></option><% }) %></select></label>\n          <noscript><button type=\"submit\">Appliquer</button></noscript>\n        </form>\n<% } %>\n<% if (it.footer) { %>\n        <div class=\"nf-foot\">\n          <ul class=\"nf-facts\" aria-label=\"Protection de la session\">\n            <li><svg class=\"nf-icon\" aria-hidden=\"true\"><use href=\"#i-shield\" /></svg>cookie HttpOnly</li>\n            <li><svg class=\"nf-icon\" aria-hidden=\"true\"><use href=\"#i-shield\" /></svg>anti-CSRF</li>\n            <li><svg class=\"nf-icon\" aria-hidden=\"true\"><use href=\"#i-shield\" /></svg>CSP stricte</li>\n          </ul>\n          <a class=\"nf-powered\" href=\"https://github.com/nodefony/nodefony-core\" rel=\"noopener noreferrer\"><img class=\"nf-logo nf-logo-mono\" src=\"<%= it.logoHref %>\" alt=\"\" />Propuls\u00E9 par Nodefony</a>\n        </div>\n<% } %>\n      </main>\n    </div>\n  </body>\n</html>\n";
+export declare const LOGIN_PAGE_TEMPLATE = "<!doctype html>\n<html lang=\"fr\"<% if (it.theme) { %> data-theme=\"<%= it.theme %>\"<% } %>>\n  <head>\n    <meta charset=\"utf-8\" />\n    <meta name=\"viewport\" content=\"width=device-width, initial-scale=1\" />\n    <meta name=\"color-scheme\" content=\"dark light\" />\n    <meta name=\"robots\" content=\"noindex\" />\n    <title><%= it.title %> \u2014 <%= it.brand %></title>\n    <link rel=\"icon\" href=\"<%= it.logoHref %>\" type=\"image/svg+xml\" />\n<% if (!it.theme) { %>\n    <script nonce=\"<%= it.nonce %>\">try{var t=localStorage.getItem(\"nf-login-theme\");if(t===\"light\"||t===\"dark\")document.documentElement.dataset.theme=t}catch(e){}</script>\n<% } %>\n    <link rel=\"stylesheet\" href=\"<%= it.styleHref %>\" />\n<% if (it.skinHref) { %>\n    <link rel=\"stylesheet\" href=\"<%= it.skinHref %>\" />\n<% } %>\n<% if (it.stylesheetHref) { %>\n    <link rel=\"stylesheet\" href=\"<%= it.stylesheetHref %>\" />\n<% } %>\n    <script type=\"module\" src=\"<%= it.scriptHref %>\" nonce=\"<%= it.nonce %>\"></script>\n  </head>\n  <body data-skin=\"<%= it.skin %>\" data-layout=\"<%= it.layout %>\"<% if (it.backdrop) { %> data-backdrop<% } %><% if (it.ssoFirst) { %> data-sso-first<% } %>>\n    <svg width=\"0\" height=\"0\" style=\"position: absolute\" aria-hidden=\"true\">\n      <symbol id=\"i-user\" viewBox=\"0 0 24 24\"><circle cx=\"12\" cy=\"8\" r=\"3.5\" /><path d=\"M5.5 20a6.5 6.5 0 0 1 13 0\" /></symbol>\n      <symbol id=\"i-lock\" viewBox=\"0 0 24 24\"><rect x=\"5\" y=\"10.5\" width=\"14\" height=\"10\" rx=\"2\" /><path d=\"M8.5 10.5V7.5a3.5 3.5 0 0 1 7 0v3\" /></symbol>\n      <symbol id=\"i-eye\" viewBox=\"0 0 24 24\"><path d=\"M2.5 12S6 5.5 12 5.5 21.5 12 21.5 12 18 18.5 12 18.5 2.5 12 2.5 12Z\" /><circle cx=\"12\" cy=\"12\" r=\"2.8\" /></symbol>\n      <symbol id=\"i-arrow\" viewBox=\"0 0 24 24\"><path d=\"M5 12h14M13 6l6 6-6 6\" /></symbol>\n      <symbol id=\"i-key\" viewBox=\"0 0 24 24\"><circle cx=\"8\" cy=\"15\" r=\"3.8\" /><path d=\"M10.8 12.2 19.5 3.5M16.5 6.5l2.5 2.5M14 9l2 2\" /></symbol>\n      <symbol id=\"i-check\" viewBox=\"0 0 24 24\"><path d=\"M5 12.5l4.5 4.5L19 7.5\" /></symbol>\n      <symbol id=\"i-finger\" viewBox=\"0 0 24 24\"><path d=\"M18.9 7a8 8 0 0 1 1.1 5v1a6 6 0 0 0 .8 3\" /><path d=\"M8 11a4 4 0 0 1 8 0v1a10 10 0 0 0 2 6\" /><path d=\"M12 11v2a14 14 0 0 0 2.5 8\" /><path d=\"M8 15a18 18 0 0 0 1.8 6\" /><path d=\"M4.9 19a22 22 0 0 1-.9-7v-1a8 8 0 0 1 12-6.95\" /></symbol>\n      <symbol id=\"i-sun\" viewBox=\"0 0 24 24\"><circle cx=\"12\" cy=\"12\" r=\"4\" /><path d=\"M12 2.5v2M12 19.5v2M4.6 4.6l1.4 1.4M18 18l1.4 1.4M2.5 12h2M19.5 12h2M4.6 19.4 6 18M18 6l1.4-1.4\" /></symbol>\n      <symbol id=\"i-moon\" viewBox=\"0 0 24 24\"><path d=\"M20 14.5A8 8 0 0 1 9.5 4a8 8 0 1 0 10.5 10.5Z\" /></symbol>\n      <symbol id=\"i-shield\" viewBox=\"0 0 24 24\"><path d=\"M12 3l7.5 3v5.5c0 4.6-3.2 8-7.5 9.5-4.3-1.5-7.5-4.9-7.5-9.5V6z\" /></symbol>\n      <symbol id=\"m-github\" viewBox=\"0 0 16 16\"><path d=\"M8 0C3.58 0 0 3.58 0 8c0 3.54 2.29 6.53 5.47 7.59.4.07.55-.17.55-.38 0-.19-.01-.82-.01-1.49-2.01.37-2.53-.49-2.69-.94-.09-.23-.48-.94-.82-1.13-.28-.15-.68-.52-.01-.53.63-.01 1.08.58 1.23.82.72 1.21 1.87.87 2.33.66.07-.52.28-.87.51-1.07-1.78-.2-3.64-.89-3.64-3.95 0-.87.31-1.59.82-2.15-.08-.2-.36-1.02.08-2.12 0 0 .67-.21 2.2.82.64-.18 1.32-.27 2-.27s1.36.09 2 .27c1.53-1.04 2.2-.82 2.2-.82.44 1.1.16 1.92.08 2.12.51.56.82 1.27.82 2.15 0 3.07-1.87 3.75-3.65 3.95.29.25.54.73.54 1.48 0 1.07-.01 1.93-.01 2.2 0 .21.15.46.55.38A8.01 8.01 0 0 0 16 8c0-4.42-3.58-8-8-8Z\" /></symbol>\n    </svg>\n    <header class=\"nf-strip\">\n      <div class=\"nf-strip-brand\"><img class=\"nf-logo\" src=\"<%= it.logo %>\" alt=\"\" /><%= it.brand %></div>\n    </header>\n    <div class=\"nf-layout\">\n      <aside class=\"nf-hero\" aria-hidden=\"true\">\n        <div class=\"nf-hero-brand\"><img class=\"nf-logo\" src=\"<%= it.logo %>\" alt=\"\" /><%= it.brand %></div>\n<% if (it.hero === null) { %>\n        <div class=\"nf-home\">\n          <img\n            class=\"nf-home-logo\"\n            src=\"<%= it.logoHref %>\"\n            alt=\"\"\n          />\n          <h2>Le framework Node.js fullstack</h2>\n          <p class=\"sub\">\n            Temps r\u00E9el natif \u00B7 d\u00E9veloppement agentic-ready \u00B7 socle TypeScript\n            isomorphe\n          </p>\n          <p class=\"sig\">\n            Une action de contr\u00F4leur. Deux transports. La m\u00EAme session, la m\u00EAme\n            s\u00E9curit\u00E9, le m\u00EAme code.\n          </p>\n          <ul class=\"badges\">\n            <li class=\"agentic\">Agentic ready</li>\n            <li>Node.js \u2265 24.14</li>\n            <li>TypeScript strict</li>\n            <li>ESM only</li>\n            <li>Licence Apache 2.0</li>\n          </ul>\n          <div\n            class=\"install\"\n            role=\"img\"\n            aria-label=\"Commande d'installation : npx nodefony create app\"\n          >\n            <span class=\"p\">$</span><span>npx nodefony create app</span>\n          </div>\n          <div class=\"features\">\n            <div class=\"feature\">\n              <span class=\"ic\"\n                ><svg\n                  viewBox=\"0 0 24 24\"\n                  fill=\"none\"\n                  stroke=\"currentColor\"\n                  stroke-width=\"2\"\n                  stroke-linecap=\"round\"\n                  stroke-linejoin=\"round\"\n                  aria-hidden=\"true\"\n                >\n                  <polygon\n                    points=\"13 2 3 14 12 14 11 22 21 10 12 10 13 2\"\n                  /></svg\n              ></span>\n              <h3>Temps r\u00E9el natif</h3>\n              <p>\n                Le WebSocket n'est pas un ajout : m\u00EAme pipeline, m\u00EAme table de\n                routes, m\u00EAme s\u00E9curit\u00E9 que le HTTP.\n              </p>\n            </div>\n            <div class=\"feature\">\n              <span class=\"ic\"\n                ><svg\n                  viewBox=\"0 0 24 24\"\n                  fill=\"none\"\n                  stroke=\"currentColor\"\n                  stroke-width=\"2\"\n                  stroke-linecap=\"round\"\n                  stroke-linejoin=\"round\"\n                  aria-hidden=\"true\"\n                >\n                  <path d=\"M12 22s8-4 8-10V5l-8-3-8 3v7c0 6 8 10 8 10z\" />\n                  <path d=\"m9 12 2 2 4-4\" /></svg\n              ></span>\n              <h3>S\u00E9curit\u00E9 par conception</h3>\n              <p>\n                Pare-feu applicatif par zones, Zero Trust, CSRF Fetch Metadata,\n                sessions hybrides, WebAuthn.\n              </p>\n            </div>\n            <div class=\"feature\">\n              <span class=\"ic\"\n                ><svg\n                  viewBox=\"0 0 24 24\"\n                  fill=\"none\"\n                  stroke=\"currentColor\"\n                  stroke-width=\"2\"\n                  stroke-linecap=\"round\"\n                  stroke-linejoin=\"round\"\n                  aria-hidden=\"true\"\n                >\n                  <rect x=\"3\" y=\"3\" width=\"7\" height=\"7\" rx=\"1\" />\n                  <rect x=\"14\" y=\"3\" width=\"7\" height=\"7\" rx=\"1\" />\n                  <rect x=\"3\" y=\"14\" width=\"7\" height=\"7\" rx=\"1\" />\n                  <rect x=\"14\" y=\"14\" width=\"7\" height=\"7\" rx=\"1\" /></svg\n              ></span>\n              <h3>DI & modules</h3>\n              <p>\n                Injection de d\u00E9pendances par d\u00E9corateurs, modules autonomes,\n                configuration valid\u00E9e au boot.\n              </p>\n            </div>\n            <div class=\"feature\">\n              <span class=\"ic\"\n                ><svg\n                  viewBox=\"0 0 24 24\"\n                  fill=\"none\"\n                  stroke=\"currentColor\"\n                  stroke-width=\"2\"\n                  stroke-linecap=\"round\"\n                  stroke-linejoin=\"round\"\n                  aria-hidden=\"true\"\n                >\n                  <circle cx=\"12\" cy=\"12\" r=\"9\" />\n                  <path\n                    d=\"M3 12h18M12 3c2.5 2.6 4 5.7 4 9s-1.5 6.4-4 9c-2.5-2.6-4-5.7-4-9s1.5-6.4 4-9z\"\n                  /></svg\n              ></span>\n              <h3>Socle isomorphe</h3>\n              <p>\n                Le m\u00EAme paquet c\u00F4t\u00E9 serveur et c\u00F4t\u00E9 navigateur : client temps\n                r\u00E9el, r\u00E8gles et types \u00E9crits une fois.\n              </p>\n            </div>\n          </div>\n        </div>\n        <small>Propuls\u00E9 par Nodefony</small>\n<% } else if (it.hero) { %>\n        <div class=\"nf-home\">\n          <h2><%= it.hero.heading %></h2>\n<% if (it.hero.text) { %>\n          <p class=\"sub\"><%= it.hero.text %></p>\n<% } %>\n        </div>\n<% } %>\n      </aside>\n      <main class=\"nf-stage\" data-nf-login data-from=\"<%= it.from %>\">\n        <button type=\"button\" class=\"nf-theme\" data-theme-toggle aria-label=\"Basculer entre th\u00E8me clair et th\u00E8me sombre\"><svg class=\"nf-icon t-sun\" aria-hidden=\"true\"><use href=\"#i-sun\" /></svg><svg class=\"nf-icon t-moon\" aria-hidden=\"true\"><use href=\"#i-moon\" /></svg></button>\n        <section class=\"nf-card\" aria-labelledby=\"nf-title\">\n          <div class=\"nf-head\">\n            <div class=\"nf-brand\"><img class=\"nf-logo\" src=\"<%= it.logo %>\" alt=\"\" /><%= it.brand %></div>\n            <h1 id=\"nf-title\"><%= it.title %></h1>\n            <p class=\"nf-sub\" id=\"nf-sub\"><%= it.lead %></p>\n          </div>\n          <div class=\"nf-body\">\n<% if (it.password) { %>\n            <ol class=\"nf-steps\" aria-label=\"\u00C9tapes\">\n              <li data-tab=\"identifier\" aria-current=\"step\">Identifiant</li>\n              <li data-tab=\"password\">Mot de passe</li>\n              <li data-tab=\"mfa\" hidden>V\u00E9rification</li>\n            </ol>\n            <form data-step=\"identifier\">\n              <div class=\"nf-field\">\n                <label for=\"nf-username\">Identifiant ou adresse e-mail</label>\n                <div class=\"nf-input\">\n                  <svg class=\"nf-icon\" aria-hidden=\"true\"><use href=\"#i-user\" /></svg>\n                  <input id=\"nf-username\" name=\"username\" autocomplete=\"username\" autocapitalize=\"none\" spellcheck=\"false\" required />\n                </div>\n              </div>\n              <button class=\"nf-btn primary\" type=\"submit\">Continuer<svg class=\"nf-icon\" aria-hidden=\"true\"><use href=\"#i-arrow\" /></svg></button>\n            </form>\n            <form data-step=\"password\" hidden>\n              <!-- Compte de l'\u00E9tape pr\u00E9c\u00E9dente, masqu\u00E9 : le gestionnaire de mots de passe\n                   associe le mot de passe \u00E0 CE compte (HTML, jeton \u00AB username \u00BB). -->\n              <input name=\"username\" autocomplete=\"username\" hidden readonly tabindex=\"-1\" />\n              <div class=\"nf-account\">\n                <span class=\"nf-avatar\" aria-hidden=\"true\"></span><span class=\"who\"></span>\n                <button type=\"button\" class=\"nf-link\" data-go=\"identifier\">Changer</button>\n              </div>\n              <div class=\"nf-field\">\n                <div class=\"nf-label-row\"><label for=\"nf-password\">Mot de passe</label></div>\n                <div class=\"nf-input\">\n                  <svg class=\"nf-icon\" aria-hidden=\"true\"><use href=\"#i-lock\" /></svg>\n                  <input id=\"nf-password\" name=\"password\" type=\"password\" autocomplete=\"current-password\" required />\n                  <button type=\"button\" class=\"nf-reveal\" data-reveal aria-label=\"Afficher le mot de passe\" aria-pressed=\"false\"><svg class=\"nf-icon\" aria-hidden=\"true\"><use href=\"#i-eye\" /></svg></button>\n                </div>\n              </div>\n              <button class=\"nf-btn primary\" type=\"submit\">Se connecter<svg class=\"nf-icon\" aria-hidden=\"true\"><use href=\"#i-arrow\" /></svg></button>\n            </form>\n            <form data-step=\"mfa\" hidden>\n              <div class=\"nf-field\">\n                <label id=\"nf-otp-label\">Code \u00E0 6 chiffres</label>\n                <div class=\"nf-otp\" role=\"group\" aria-labelledby=\"nf-otp-label\">\n                  <input inputmode=\"numeric\" maxlength=\"1\" autocomplete=\"one-time-code\" aria-label=\"Chiffre 1\" /><input inputmode=\"numeric\" maxlength=\"1\" aria-label=\"Chiffre 2\" /><input inputmode=\"numeric\" maxlength=\"1\" aria-label=\"Chiffre 3\" /><input inputmode=\"numeric\" maxlength=\"1\" aria-label=\"Chiffre 4\" /><input inputmode=\"numeric\" maxlength=\"1\" aria-label=\"Chiffre 5\" /><input inputmode=\"numeric\" maxlength=\"1\" aria-label=\"Chiffre 6\" />\n                </div>\n              </div>\n              <p class=\"nf-hint\">Le code affich\u00E9 par votre application d'authentification.</p>\n              <button class=\"nf-btn primary\" type=\"submit\">V\u00E9rifier</button>\n            </form>\n<% } %>\n<% if (it.password || it.passkey) { %>\n            <div data-step=\"authenticated\" hidden>\n              <div class=\"nf-done\" role=\"status\">\n                <span class=\"ring\" aria-hidden=\"true\"><svg class=\"nf-icon\"><use href=\"#i-check\" /></svg></span>\n                <strong>Session ouverte</strong><span class=\"dest\"></span>\n                <span class=\"nf-progress\" aria-hidden=\"true\"><span></span></span>\n              </div>\n            </div>\n<% } %>\n<% if (it.providers.length > 0 || it.passkey) { %>\n            <div data-alt>\n<% if (it.password) { %>\n              <div class=\"nf-or\">ou</div>\n<% } %>\n              <div class=\"nf-alt\">\n<% if (it.passkey) { %>\n                <button type=\"button\" class=\"nf-btn span\" data-passkey hidden><svg class=\"nf-icon\" aria-hidden=\"true\"><use href=\"#i-finger\" /></svg>Passkey / empreinte digitale</button>\n<% } %>\n<% it.providers.forEach(function (provider) { %>\n                <a class=\"nf-btn\" href=\"<%= provider.href %>\"><% if (provider.image) { %><img class=\"nf-icon\" src=\"<%= provider.image %>\" alt=\"\" /><% } else { %><svg class=\"<%= provider.icon === 'm-github' ? 'nf-mark' : 'nf-icon' %>\" aria-hidden=\"true\"><use href=\"#<%= provider.icon %>\" /></svg><% } %><% if (provider.caption) { %><span class=\"nf-label\"><%= provider.label %><small><%= provider.caption %></small></span><% } else { %><%= provider.label %><% } %></a>\n<% }) %>\n              </div>\n            </div>\n<% } %>\n            <div class=\"nf-message\" aria-live=\"polite\" data-message><% if (it.empty) { %><p class=\"nf-alert\" role=\"alert\"><span class=\"code\">\u2014</span><span>Aucun moyen de connexion n'est disponible pour le moment. Pr\u00E9venez l'administrateur du site.</span></p><% } else if (it.notice) { %><p class=\"nf-alert\" role=\"alert\"><span class=\"code\">SSO</span><span><%= it.notice %></span></p><% } %></div>\n<% if (it.password || it.passkey) { %>\n            <noscript><p class=\"nf-hint\">Cette page a besoin de JavaScript pour vous connecter.</p></noscript>\n<% } %>\n          </div>\n        </section>\n<% if (it.picker) { %>\n        <form class=\"nf-picker\" method=\"get\" data-preview-picker<% if (it.picker.hook) { %> data-preview-hook=\"<%= it.picker.hook %>\"<% } %> aria-label=\"Aper\u00E7u de la page (d\u00E9veloppement)\">\n          <input type=\"hidden\" name=\"from\" value=\"<%= it.from %>\" />\n          <label>Habillage <select name=\"skin\"><% it.picker.skins.forEach(function (skin) { %><option value=\"<%= skin %>\"<% if (skin === it.skin) { %> selected<% } %>><%= skin %></option><% }) %></select></label>\n          <label>Mise en page <select name=\"layout\"><% it.picker.layouts.forEach(function (layout) { %><option value=\"<%= layout %>\"<% if (layout === it.layout) { %> selected<% } %>><%= layout %></option><% }) %></select></label>\n          <noscript><button type=\"submit\">Appliquer</button></noscript>\n        </form>\n<% } %>\n<% if (it.footer) { %>\n        <div class=\"nf-foot\">\n          <ul class=\"nf-facts\" aria-label=\"Protection de la session\">\n            <li><svg class=\"nf-icon\" aria-hidden=\"true\"><use href=\"#i-shield\" /></svg>cookie HttpOnly</li>\n            <li><svg class=\"nf-icon\" aria-hidden=\"true\"><use href=\"#i-shield\" /></svg>anti-CSRF</li>\n            <li><svg class=\"nf-icon\" aria-hidden=\"true\"><use href=\"#i-shield\" /></svg>CSP stricte</li>\n          </ul>\n          <a class=\"nf-powered\" href=\"https://github.com/nodefony/nodefony-core\" rel=\"noopener noreferrer\"><img class=\"nf-logo nf-logo-mono\" src=\"<%= it.logoHref %>\" alt=\"\" />Propuls\u00E9 par Nodefony</a>\n        </div>\n<% } %>\n      </main>\n    </div>\n  </body>\n</html>\n";

package/dist/types/nodefony/src/routeSchema.d.ts

@@ -0,0 +1,112 @@
+import type { Readable } from "node:stream";
+import type { IStandardSchemaV1, InferSchemaOutput, MaybePromise } from "nodefony";
+/**
+ * Le schéma d'une route : un Standard Schema par partie de l'entrée (Zod,
+ * Valibot, ArkType…). Chaque partie est facultative ; une partie déclarée est
+ * validée AVANT l'action, une partie omise est servie brute.
+ *
+ * @example
+ * ```ts
+ * \@Post("/posts", { schema: { body: z.object({ title: z.string() }) } })
+ * create(input: RouteInput<{ body: typeof createPost }>) {
+ *   return this.createResource(input.body);
+ * }
+ * ```
+ */
+export interface IRouteSchema {
+    /** Variables de route (`/posts/{id}`). */
+    readonly params?: IStandardSchemaV1 | undefined;
+    /** Query (`?page=2`) — celle du chemin INVOQUÉ sur le pont WebSocket. */
+    readonly query?: IStandardSchemaV1 | undefined;
+    /**
+     * Corps DÉCODÉ par le transport : JSON, formulaire, ou octets (`Uint8Array`
+     * — un `Buffer` HTTP en est un). Jamais re-sérialisé pour être validé.
+     */
+    readonly body?: IStandardSchemaV1 | undefined;
+    /** En-têtes (clés en minuscules) ; sur WebSocket, ceux du handshake. */
+    readonly headers?: IStandardSchemaV1 | undefined;
+}
+/**
+ * Options de route propres aux DÉCORATEURS (`@route`, `@Get`, `@Post`…) : elles
+ * décrivent l'entrée de l'action et se rangent sur sa méthode. Une route créée
+ * par programme (`Router.createRoute`) ne les accepte pas — elle n'a pas de
+ * décorateur pour les ranger, et les ignorer en silence mentirait.
+ */
+export interface IRouteSchemaOptions {
+    /**
+     * Schéma de l'entrée de l'action. Les parties déclarées sont validées AVANT
+     * l'action (422 sinon), et l'action reçoit un argument unique, `RouteInput`.
+     * Exclusif des décorateurs de paramètre (`@Body`…) sur la même action : le
+     * mélange est refusé au démarrage.
+     */
+    schema?: IRouteSchema | undefined;
+    /**
+     * L'action lit le corps en FLUX (`input.body` est le flux brut de la
+     * requête) : le pipeline ne le lit pas en mémoire — gros envoi sans pic de
+     * mémoire. Remplace `@Body({ stream: true })` pour une action à schéma : il
+     * EXIGE un `schema` (sans lui, le flux ne serait livré à personne) et exclut
+     * `schema.body`. Défaut `false`.
+     */
+    bodyStream?: boolean | undefined;
+}
+/** Parties de l'entrée d'une route, dans l'ordre où elles sont validées. */
+export type RoutePart = keyof IRouteSchema;
+/** Variables de route brutes (une valeur par défaut n'est pas forcément une chaîne). */
+export type RawRouteParams = Readonly<Record<string, unknown>>;
+/** Query brute. */
+export type RawRouteQuery = Readonly<Record<string, unknown>>;
+/** En-têtes bruts, clés en minuscules. */
+export type RawRouteHeaders = Readonly<Record<string, string | string[] | undefined>>;
+/** Type d'une partie : la sortie de son schéma s'il est déclaré, la forme brute sinon. */
+type RoutePartOf<S extends IRouteSchema, K extends RoutePart, Raw> = S[K] extends IStandardSchemaV1 ? InferSchemaOutput<S[K]> : Raw;
+/**
+ * L'argument UNIQUE d'une action à schéma : les quatre apports de la
+ * requête, toujours présents — validés et typés par le schéma quand il les
+ * déclare, servis bruts et typés large sinon.
+ *
+ * @typeParam S - le schéma de la route.
+ * @typeParam Stream - `true` quand la route déclare `bodyStream: true` :
+ *   `body` est alors le flux brut de la requête, jamais lu en mémoire.
+ */
+export type RouteInput<S extends IRouteSchema = IRouteSchema, Stream extends boolean = false> = {
+    params: RoutePartOf<S, "params", RawRouteParams>;
+    query: RoutePartOf<S, "query", RawRouteQuery>;
+    body: Stream extends true ? Readable | undefined : RoutePartOf<S, "body", unknown>;
+    headers: RoutePartOf<S, "headers", RawRouteHeaders>;
+};
+/** L'entrée brute d'une action, avant validation. */
+export type RawRouteInput = {
+    params: unknown;
+    query: unknown;
+    body: unknown;
+    headers: unknown;
+};
+/**
+ * Valide l'entrée d'une action contre son schéma — synchrone tant que chaque
+ * validateur l'est, asynchrone seulement si l'un d'eux rend une promesse.
+ *
+ * Les quatre parties sont toutes validées avant de conclure : un échec rend
+ * en une fois TOUTES les anomalies, chacune rattachée à sa partie. La valeur
+ * d'une partie validée est remplacée par la SORTIE de son schéma (valeurs par
+ * défaut, coercitions) ; la valeur reçue n'est ni copiée ni sérialisée — des
+ * octets décodés par le transport arrivent tels quels au validateur.
+ *
+ * @param schema - le schéma de la route.
+ * @param raw - l'entrée brute, mutée en place (objet propre à la requête).
+ * @returns l'entrée validée, ou sa promesse.
+ * @throws SchemaValidationError (statut 422) quand une partie est invalide —
+ *   de façon synchrone, ou par la promesse rendue.
+ */
+export declare function validateRouteInput(schema: IRouteSchema, raw: RawRouteInput): MaybePromise<RawRouteInput>;
+/**
+ * Refuse, au démarrage, un schéma de route mal formé : partie inconnue (une
+ * faute de frappe — `bodies` — serait sinon ignorée sans un mot), ou valeur
+ * qui n'implémente pas Standard Schema (un appelant JavaScript peut passer
+ * n'importe quoi).
+ *
+ * @param schema - le schéma déclaré.
+ * @param routeName - la route, nommée dans l'erreur.
+ * @throws BootConfigurationError sur la première faute trouvée.
+ */
+export declare function assertRouteSchemaShape(schema: unknown, routeName: string): asserts schema is IRouteSchema;
+export {};

package/docs/admin.md

@@ -61,9 +61,9 @@ flowchart TD
 Trois idées à retenir :
 
 1. **Le producteur ne connaît pas le transport** — un handler lit un `IAdminRequest`
-   (`IAdminApi.ts:33`) et rend du JSON. Il ne touche jamais au socket ni à la `Response`.
+   (`IAdminApi.ts#IAdminRequest`) et rend du JSON. Il ne touche jamais au socket ni à la `Response`.
 2. **Un seul controller pont** — toutes les routes admin pointent vers
-   `AdminApiController.dispatch()` (`AdminApiController.ts:65`). Pas de génération dynamique de
+   `AdminApiController.dispatch()` (`AdminApiController.ts#AdminApiController.dispatch`). Pas de génération dynamique de
    classes ; chaque route reste une vraie `Route` (404/405 du Router intacts).
 3. **Le broker possède le Router, pas le kernel** — c'est pourquoi il vit dans `@nodefony/framework`,
    niveau qui monte les routes, alors que le contrat producteur vit dans le core.
@@ -110,19 +110,19 @@ le broker la monte.
 
 Nodefony sépare **deux rôles** par inversion de dépendance :
 
-- **Producteur** (`IAdminApi`, dans le core `IAdminApi.ts:212`) : un module dit _quoi_ il expose —
+- **Producteur** (`IAdminApi`, dans le core `IAdminApi.ts#IAdminApi`) : un module dit _quoi_ il expose —
   son `adminNamespace` et ses `adminEndpoints()` — **sans importer `@nodefony/framework`**. Le
   contrat vit au plus bas niveau commun pour qu'un adapter ORM, un service IA ou le kernel lui-même
   puissent l'implémenter.
-- **Transporteur** (`AdminBroker`, dans le framework `AdminBroker.ts:21`) : lui seul possède le
+- **Transporteur** (`AdminBroker`, dans le framework `AdminBroker.ts#AdminBroker`) : lui seul possède le
   Router. Il collecte les producteurs et monte `/nodefony/<ns>/api/*`.
 
 Pour s'enregistrer sans dépendre du framework, un producteur récupère le broker via sa **vue
-minimale** `IAdminRegistry` (`IAdminApi.ts:243`) — juste `register()` — depuis le container. Le
+minimale** `IAdminRegistry` (`IAdminApi.ts#IAdminRegistry`) — juste `register()` — depuis le container. Le
 kernel n'étant **pas** un `Module`, c'est le framework qui construit et enregistre l'`IAdminApi` du
 kernel à sa place (`createKernelAdminApi()`, cité plus bas).
 
-Le compromis assumé : **un seul controller pont** (`AdminApiController.ts:36`) sert les N endpoints.
+Le compromis assumé : **un seul controller pont** (`AdminApiController.ts#AdminApiController`) sert les N endpoints.
 On y gagne zéro génération de classe, un dispatch O(1), et une garde RBAC + idempotence appliquée au
 même endroit pour tout le monde.
 
@@ -237,7 +237,7 @@ curl -s -b /tmp/jar http://localhost:5151/nodefony/framework/api/admin | head -c
 ```
 
 > [!NOTE]
-> Chaque réponse HTTP porte un en-tête `x-nodefony-instance` (`AdminApiController.ts:84`) : en
+> Chaque réponse HTTP porte un en-tête `x-nodefony-instance` (`AdminApiController.ts#AdminApiController.dispatch`) : en
 > multi-pod, il dit **quel process** a répondu (le data plane est per-instance).
 
 ## 🏗️ Architecture interne — register → mountAll → dispatch
@@ -262,63 +262,63 @@ sequenceDiagram
   AC-->>RT: handler(IAdminRequest) → JSON / RpcError
 ```
 
-| #   | Étape                                     | Où                                                         |
-| --- | ----------------------------------------- | ---------------------------------------------------------- |
-| 1   | Le producteur s'enregistre                | `AdminBroker.register()` (`AdminBroker.ts:53`)             |
-| 2   | Le framework monte tout                   | `AdminBroker.mountAll()` (`AdminBroker.ts:112`)            |
-| 3   | Une route par endpoint (nom déterministe) | `Router.createRoute()` (`AdminBroker.ts:124`)              |
-| 4   | Le controller pont estampillé une fois    | `Router.setController()` idempotent (`AdminBroker.ts:146`) |
-| 5   | Dispatch : lookup de la route             | `AdminBroker.resolve()` (`AdminApiController.ts:102`)      |
-| 6   | Projection du contexte en requête admin   | `buildRequest()` (`AdminApiController.ts:199`)             |
-| 7   | Normalisation du retour                   | `normalizeAdminResult()` (`executeAdmin.ts:90`)            |
+| #   | Étape                                     | Où                                                                            |
+| --- | ----------------------------------------- | ----------------------------------------------------------------------------- |
+| 1   | Le producteur s'enregistre                | `AdminBroker.register()` (`AdminBroker.ts#AdminBroker.register`)              |
+| 2   | Le framework monte tout                   | `AdminBroker.mountAll()` (`AdminBroker.ts#AdminBroker.mountAll`)              |
+| 3   | Une route par endpoint (nom déterministe) | `Router.createRoute()` (`AdminBroker.ts#AdminBroker.mountAll`)                |
+| 4   | Le controller pont estampillé une fois    | `Router.setController()` idempotent (`AdminBroker.ts#AdminBroker.mountAll`)   |
+| 5   | Dispatch : lookup de la route             | `AdminBroker.resolve()` (`AdminApiController.ts#AdminApiController.runAdmin`) |
+| 6   | Projection du contexte en requête admin   | `buildRequest()` (`AdminApiController.ts#AdminApiController.buildRequest`)    |
+| 7   | Normalisation du retour                   | `normalizeAdminResult()` (`executeAdmin.ts#normalizeAdminResult`)             |
 
 Points de conception saillants :
 
 - **Le montage FIGE les routes.** Après `mountAll()`, tout `register()` lève
-  (`AdminBroker.ts:53`) : on ne monte pas une route à chaud (Zero surprise en prod). Le broker garde
+  (`AdminBroker.ts#AdminBroker.register`) : on ne monte pas une route à chaud (Zero surprise en prod). Le broker garde
   la trace via son drapeau `mounted`.
-- **Le nom de route est déterministe** : `admin.<ns>.<method>.<path>` (`AdminBroker.ts:123`) — c'est
+- **Le nom de route est déterministe** : `admin.<ns>.<method>.<path>` (`AdminBroker.ts#AdminBroker.mountAll`) — c'est
   la clé du lookup O(1) que le pont refait à chaque requête.
-- **`Router.setController` n'est appelé qu'une fois** par process (`AdminBroker.ts:146`) : il pose
+- **`Router.setController` n'est appelé qu'une fois** par process (`AdminBroker.ts#AdminBroker.mountAll`) : il pose
   une propriété non réinscriptible sur le prototype ; une garde `hasOwnProperty` rend l'appel
   idempotent (multi-broker en test, re-boot).
 - **Le catalogue se construit à la volée** depuis `AdminBroker.list()` + `AdminBroker.routes()`
-  (`AdminBroker.ts:108`) — jamais un état retenu.
+  (`AdminBroker.ts#AdminBroker.routes`) — jamais un état retenu.
 
 > [!IMPORTANT]
 > Convention de route **figée** : le data plane est toujours en **≥ 3 segments**
-> `/nodefony/<module>/api/*` (`IAdminBroker.ts:42`). Jamais une route admin mono-segment
+> `/nodefony/<module>/api/*` (`IAdminBroker.ts#IAdminBroker`). Jamais une route admin mono-segment
 > `/nodefony/<module>` — elle entrerait en collision avec le fallback SPA de Studio. Le chemin
-> relatif d'un endpoint a **≥ 1 segment** (`types/IAdminApi.ts:155`) : la racine `/nodefony/<ns>/api` est
+> relatif d'un endpoint a **≥ 1 segment** (`types/IAdminApi.ts#IAdminEndpoint.path`) : la racine `/nodefony/<ns>/api` est
 > réservée.
 
 ## 🔐 RBAC — autorisation du data plane
 
 Deux gardes se succèdent, dans cet ordre :
 
-1. **Le firewall AUTHENTIFIE en amont.** La zone `nodefony-admin` (`config.ts:137`) couvre
-   `^/nodefony/[^/]+/api(/|$)` (`config.ts:141`) avec l'authenticator `session` (cookie BFF) : sans
+1. **Le firewall AUTHENTIFIE en amont.** La zone `nodefony-admin` (`config.ts`) couvre
+   `^/nodefony/[^/]+/api(/|$)` (`config.ts`) avec l'authenticator `session` (cookie BFF) : sans
    session, c'est **401** avant même le controller.
 2. **Le broker tranche le RÔLE.** À l'exécution, le pont compare le rôle exigé aux rôles de
-   l'appelant via la fonction pure `isAdminGranted()` (`adminRbac.ts:24`). Rôle absent → **403**.
+   l'appelant via la fonction pure `isAdminGranted()` (`adminRbac.ts#isAdminGranted`). Rôle absent → **403**.
    Le refus est prononcé au CŒUR (`executeAdmin.ts`), pas dans le controller HTTP : c'est ce
    qui fait que les deux chemins d'appel — la route et le pont MCP — refusent à l'identique.
 
 La décision est **fail-closed** : un authentifié **sans** le rôle requis — y compris `roles=[]`
-(compte non doté) — est **rejeté** (`adminRbac.ts:27`). C'était l'ex-fail-open historique (un
+(compte non doté) — est **rejeté** (`adminRbac.ts#isAdminGranted`). C'était l'ex-fail-open historique (un
 `roles.length > 0 &&` héritait du « mode mock » d'avant l'auth) : l'absence de rôle ne vaut pas
 laissez-passer.
 
 - **Rôle par défaut** : sans `role` explicite, un endpoint exige `ROLE_NODEFONY_ADMIN`
-  (`AdminBroker.ts:112` ; défaut du champ `IAdminEndpoint.role`, `IAdminApi.ts:166`).
-- **Endpoint public** : `public: true` (`IAdminApi.ts:175`) → le RBAC du broker est court-circuité
-  (`role === ""`, `adminRbac.ts:26`). À réserver aux sondes cloud-native (liveness/readiness) et à
+  (`AdminBroker.ts#AdminBroker.mountAll` ; défaut du champ `IAdminEndpoint.role`, `IAdminApi.ts#IAdminEndpoint.role`).
+- **Endpoint public** : `public: true` (`IAdminApi.ts#IAdminEndpoint.public`) → le RBAC du broker est court-circuité
+  (`role === ""`, `adminRbac.ts#isAdminGranted`). À réserver aux sondes cloud-native (liveness/readiness) et à
   placer hors d'une zone fermée — sinon le firewall verrouille en amont. Exemple réel :
-  `GET /nodefony/kernel/api/livez` (`KernelAdminApi.ts:513`), sorti de `nodefony-admin` par la zone
-  publique `nodefony-liveness` (`config.ts:132`).
-- **Endpoint qui reçoit un mot de passe** : `credentials: true` (`IAdminApi.ts:189`). En
+  `GET /nodefony/kernel/api/livez` (`KernelAdminApi.ts#auditLogLevelChange`), sorti de `nodefony-admin` par la zone
+  publique `nodefony-liveness` (`config.ts`).
+- **Endpoint qui reçoit un mot de passe** : `credentials: true` (`IAdminApi.ts#IAdminEndpoint.credentials`). En
   production, une requête arrivée en clair est refusée en **403 avant le rôle et le handler**
-  (`executeAdmin.ts:144`) — la décision est celle de security (`credentialTransport`), le
+  (`executeAdmin.ts#executeAdminEndpoint`) — la décision est celle de security (`credentialTransport`), le
   contrôleur la fournit pour HTTP et pour le pont WS. La CLI n'a pas de transport : rien n'est
   jugé. Exemples : `POST me/password`, `POST users/{id}/password`, `POST users` (module `user`).
 
@@ -329,19 +329,19 @@ laissez-passer.
 
 ## 🔌 HTTP et WebSocket — la même action (API souveraine)
 
-Toute action admin déclare **aussi** le transport `WEBSOCKET` (`AdminBroker.ts:123`) : la route est
+Toute action admin déclare **aussi** le transport `WEBSOCKET` (`AdminBroker.ts#AdminBroker.mountAll`) : la route est
 montée avec `[method, "WEBSOCKET"]`. Elle devient donc invocable par le pont WS-RPC `api.request`
-(`WebsocketContext.ts:354`) — même action, même handler, même réponse. Seul l'emballage diffère :
+(`WebsocketContext.ts#WebsocketContext.request`) — même action, même handler, même réponse. Seul l'emballage diffère :
 
-- **HTTP** : `renderJson` + statut + en-tête `x-nodefony-instance` (`AdminApiController.ts:82`).
+- **HTTP** : `renderJson` + statut + en-tête `x-nodefony-instance` (`AdminApiController.ts#AdminApiController.dispatch`).
 - **WS-RPC** : la valeur **nue** (le pont l'enveloppe `{id, result}`) ; un statut ≥ 400 devient un
-  `RpcError` avec `data.status`/`data.body` (`AdminApiController.ts:66`), symétrie d'un `fetch` qui
+  `RpcError` avec `data.status`/`data.body` (`AdminApiController.ts#AdminApiController.dispatch`), symétrie d'un `fetch` qui
   expose son statut.
 
 Les **mutations** sont pontables par socket. La sécurité d'écriture repose alors sur l'**idempotence**
-(`idempotencyGate()`, `AdminApiController.ts:155`) : la clé `Idempotency-Key` est **obligatoire en
+(`idempotencyGate()`, `AdminApiController.ts#AdminApiController.idempotencyGate`) : la clé `Idempotency-Key` est **obligatoire en
 WS** (une socket reconnecte et rejoue), **optionnelle en HTTP** (`required: false`,
-`AdminApiController.ts:157`). Un `GET` n'est jamais idempotenté (`AdminApiController.ts:143`) ; la
+`AdminApiController.ts#AdminApiController.idempotencyGate`). Un `GET` n'est jamais idempotenté (`AdminApiController.ts#AdminApiController.idempotencyGate`) ; la
 porte est évaluée **après** le RBAC (un 403 ne consomme aucune entrée). Le helper est le **même** que
 le seam `@Idempotent` des controllers userland — voir [Idempotence](idempotence.md).
 
@@ -350,37 +350,37 @@ le seam `@Idempotent` des controllers userland — voir [Idempotence](idempotenc
 Trois pas, du point de vue d'un module :
 
 1. **Écrire un `IAdminApi`** : `adminNamespace` (url-safe, stable), `adminDescriptor()` (sidebar
-   Studio, `IAdminApi.ts:227`) et `adminEndpoints()` (`IAdminApi.ts:229`). Un endpoint peut renvoyer
+   Studio, `IAdminApi.ts#IAdminApi.adminDescriptor`) et `adminEndpoints()` (`IAdminApi.ts#IAdminApi.adminEndpoints`). Un endpoint peut renvoyer
    la donnée brute (assumée `{status:200, body}`) ou une `IAdminResponse` pour piloter statut/en-têtes
-   (`IAdminApi.ts:67`).
-2. **S'enregistrer au `onKernelBoot`** via `IAdminRegistry.register()` (`IAdminApi.ts:256`), récupéré
+   (`IAdminApi.ts#IAdminResponse`).
+2. **S'enregistrer au `onKernelBoot`** via `IAdminRegistry.register()` (`IAdminApi.ts#IAdminRegistry.register`), récupéré
    par `container.get("adminBroker")`. Rendre l'appel **idempotent** (`registry.has(ns)` avant
    `register`) — modèle de tous les producteurs.
 3. **Laisser le framework monter** : à `onKernelReady`, `Framework.onKernelReady()` enregistre les
-   producteurs internes puis appelle `broker.mountAll()` (`index.ts:369`).
+   producteurs internes puis appelle `broker.mountAll()` (`index.ts#Framework.onKernelReady`).
 
 **Handlers lazy** : résous tes services **dans** le handler (à la requête), jamais au montage — un
 service désactivable renvoie alors `503` proprement au lieu de casser le boot.
 
 ### Les producteurs réels (à imiter, sans les redocumenter)
 
-Le broker lui-même est déclaré comme service du framework (`index.ts:144`). Les producteurs internes
+Le broker lui-même est déclaré comme service du framework (`index.ts`). Les producteurs internes
 sont enregistrés au `onKernelReady` du framework :
 
-| Namespace   | Producteur                                            | Rôle                                              |
-| ----------- | ----------------------------------------------------- | ------------------------------------------------- |
-| `kernel`    | `createKernelAdminApi` (`KernelAdminApi.ts:646`)      | modules, process, uptime, `livez`                 |
-| `framework` | `createFrameworkAdminApi` (`FrameworkAdminApi.ts:86`) | dump du Router + **catalogue** + Playground (dev) |
-| `syslog`    | `createSyslogAdminApi` (`SyslogAdminApi.ts:95`)       | viewer de logs (dev)                              |
+| Namespace   | Producteur                                                                 | Rôle                                              |
+| ----------- | -------------------------------------------------------------------------- | ------------------------------------------------- |
+| `kernel`    | `createKernelAdminApi` (`KernelAdminApi.ts#createKernelAdminApi`)          | modules, process, uptime, `livez`                 |
+| `framework` | `createFrameworkAdminApi` (`FrameworkAdminApi.ts#createFrameworkAdminApi`) | dump du Router + **catalogue** + Playground (dev) |
+| `syslog`    | `createSyslogAdminApi` (`SyslogAdminApi.ts#createSyslogAdminApi`)          | viewer de logs (dev)                              |
 
 Les modules externes s'enregistrent depuis leur propre `onKernelBoot` :
 
-| Namespace  | Module               | Enregistrement                                       |
-| ---------- | -------------------- | ---------------------------------------------------- |
-| `http`     | `@nodefony/http`     | `createHttpAdminApi` (`http/index.ts:121`)           |
-| `security` | `@nodefony/security` | `registerSecurityAdminApi` (`security/index.ts:114`) |
-| `user`     | `@nodefony/user`     | `adminNamespace` (`UserAdminApi.ts:900`)             |
-| `orm`      | `@nodefony/orm-core` | `adminNamespace` (`OrmAdminApi.ts:709`)              |
+| Namespace  | Module               | Enregistrement                                                         |
+| ---------- | -------------------- | ---------------------------------------------------------------------- |
+| `http`     | `@nodefony/http`     | `createHttpAdminApi` (`http/index.ts#Http.onKernelRegister`)           |
+| `security` | `@nodefony/security` | `registerSecurityAdminApi` (`security/index.ts#Security.onKernelBoot`) |
+| `user`     | `@nodefony/user`     | `adminNamespace` (`UserAdminApi.ts#createUserAdminApi`)                |
+| `orm`      | `@nodefony/orm-core` | `adminNamespace` (`OrmAdminApi.ts#createOrmAdminApi`)                  |
 
 Pour le détail de chacun, se reporter à la doc de son module — le broker reste agnostique de leur
 contenu.
@@ -392,42 +392,42 @@ Depuis une app : `AdminBroker` (le service) et les types `IAdminApi`, `IAdminEnd
 `@nodefony/framework` et `nodefony`. Les signatures exactes vivent dans `.ai/symbols.json` — jamais
 recopiées ici (elles s'y périmeraient).
 
-| Membre (`IAdminBroker`)  | Rôle                                                     | Ancre                |
-| ------------------------ | -------------------------------------------------------- | -------------------- |
-| `register(api)`          | Enregistre un producteur (throw si namespace pris/monté) | `AdminBroker.ts:53`  |
-| `unregister(ns)`         | Retire un producteur (et ses routes si montées)          | `AdminBroker.ts:69`  |
-| `has(ns)` / `getApi(ns)` | Interrogation du registre                                | `AdminBroker.ts:91`  |
-| `list()`                 | Producteurs enregistrés (immuable)                       | `AdminBroker.ts:95`  |
-| `resolvePath(ns, path)`  | Chemin absolu d'un endpoint sans le monter               | `AdminBroker.ts:99`  |
-| `mountAll()`             | Monte toutes les routes (idempotent)                     | `AdminBroker.ts:112` |
-| `resolve(routeName)`     | Lookup O(1) d'une route montée (utilisé par le pont)     | `AdminBroker.ts:104` |
-| `routes()`               | Introspection des routes montées (source du catalogue)   | `AdminBroker.ts:108` |
+| Membre (`IAdminBroker`)  | Rôle                                                     | Ancre                                    |
+| ------------------------ | -------------------------------------------------------- | ---------------------------------------- |
+| `register(api)`          | Enregistre un producteur (throw si namespace pris/monté) | `AdminBroker.ts#AdminBroker.register`    |
+| `unregister(ns)`         | Retire un producteur (et ses routes si montées)          | `AdminBroker.ts#AdminBroker.unregister`  |
+| `has(ns)` / `getApi(ns)` | Interrogation du registre                                | `AdminBroker.ts#AdminBroker.getApi`      |
+| `list()`                 | Producteurs enregistrés (immuable)                       | `AdminBroker.ts#AdminBroker.list`        |
+| `resolvePath(ns, path)`  | Chemin absolu d'un endpoint sans le monter               | `AdminBroker.ts#AdminBroker.resolvePath` |
+| `mountAll()`             | Monte toutes les routes (idempotent)                     | `AdminBroker.ts#AdminBroker.mountAll`    |
+| `resolve(routeName)`     | Lookup O(1) d'une route montée (utilisé par le pont)     | `AdminBroker.ts#AdminBroker.resolve`     |
+| `routes()`               | Introspection des routes montées (source du catalogue)   | `AdminBroker.ts#AdminBroker.routes`      |
 
 ## 📡 Observabilité — Studio
 
-- **Catalogue / discovery** : `GET /nodefony/framework/api/admin` (`FrameworkAdminApi.ts:203`) —
+- **Catalogue / discovery** : `GET /nodefony/framework/api/admin` (`FrameworkAdminApi.ts#createFrameworkAdminApi`) —
   producteurs + descriptors + endpoints. C'est ce que Studio lit pour générer sa navigation admin.
-- **Routes** : `GET /nodefony/framework/api/routes` (`FrameworkAdminApi.ts:122`) — l'équivalent web
-  de `nodefony router:dump` ; une variante paginée serveur `routes/page` (`FrameworkAdminApi.ts:129`).
+- **Routes** : `GET /nodefony/framework/api/routes` (`FrameworkAdminApi.ts#createFrameworkAdminApi`) — l'équivalent web
+  de `nodefony router:dump` ; une variante paginée serveur `routes/page` (`FrameworkAdminApi.ts#createFrameworkAdminApi`).
 - **Playground** (`/nodefony/playground`, **dev only**) : `buildPlaygroundSnapshot()`
-  (`PlaygroundAdminApi.ts:167`) sérialise controllers + actions + transports + params + gardes — la
+  (`PlaygroundAdminApi.ts#buildPlaygroundSnapshot`) sérialise controllers + actions + transports + params + gardes — la
   page Studio bâtit ses formulaires depuis ces métadonnées, **sans code généré**. Le montage est
-  conditionné à l'environnement (`index.ts:342`). Le pont admin lui-même est **exclu** du snapshot
-  (`PlaygroundAdminApi.ts:180`) pour ne pas noyer les controllers applicatifs.
+  conditionné à l'environnement (`index.ts#Framework.onKernelBoot`). Le pont admin lui-même est **exclu** du snapshot
+  (`PlaygroundAdminApi.ts#buildPlaygroundSnapshot`) pour ne pas noyer les controllers applicatifs.
 - Les écrans admin de Studio (Routes, Sessions, Firewall, Users…) sont des vues qui consomment ces
   data planes — voir le [module Studio](../../studio/docs/index.md).
 
 ## ⚠️ Pièges (symptôme → cause → correction)
 
-| Symptôme                                         | Cause (dans le code)                                                                | Correction                                                                           |
-| ------------------------------------------------ | ----------------------------------------------------------------------------------- | ------------------------------------------------------------------------------------ |
-| `register()` throw « routes figées »             | Appel **après** `mountAll()` (`AdminBroker.ts:112`)                                 | Enregistrer au `onKernelBoot`, pas plus tard                                         |
-| `register()` throw « namespace déjà enregistré » | Deux producteurs sur le même `adminNamespace` (`AdminBroker.ts:51`)                 | Namespace unique ; garder `register()` idempotent (`has(ns)` avant)                  |
-| 401 sur toute route `/nodefony/<ns>/api/*`       | Zone `nodefony-admin` : pas de session BFF (`config.ts:141`)                        | S'authentifier (login BFF) ; pour une sonde publique → `public: true` + zone anonyme |
-| 403 alors qu'on est connecté                     | Rôle manquant, `isAdminGranted` fail-closed (`adminRbac.ts:24`)                     | Doter le compte du rôle requis (défaut `ROLE_NODEFONY_ADMIN`)                        |
-| WS : mutation refusée `400` clé requise          | Idempotence : clé obligatoire par socket (`AdminApiController.ts:154`)              | Fournir `Idempotency-Key` sur la mutation WS                                         |
-| Route admin injoignable / collision Studio       | Endpoint mono-segment `/nodefony/<module>` (`IAdminBroker.ts:42`)                   | Toujours `≥ 3` segments `/nodefony/<ns>/api/<path>`                                  |
-| 500 « Admin endpoint not registered »            | `adminRoute` absent du registre — incohérence interne (`AdminApiController.ts:109`) | Vérifier que le producteur a bien été enregistré avant `mountAll()`                  |
+| Symptôme                                         | Cause (dans le code)                                                                                        | Correction                                                                           |
+| ------------------------------------------------ | ----------------------------------------------------------------------------------------------------------- | ------------------------------------------------------------------------------------ |
+| `register()` throw « routes figées »             | Appel **après** `mountAll()` (`AdminBroker.ts#AdminBroker.mountAll`)                                        | Enregistrer au `onKernelBoot`, pas plus tard                                         |
+| `register()` throw « namespace déjà enregistré » | Deux producteurs sur le même `adminNamespace` (`AdminBroker.ts#AdminBroker.register`)                       | Namespace unique ; garder `register()` idempotent (`has(ns)` avant)                  |
+| 401 sur toute route `/nodefony/<ns>/api/*`       | Zone `nodefony-admin` : pas de session BFF (`config.ts`)                                                    | S'authentifier (login BFF) ; pour une sonde publique → `public: true` + zone anonyme |
+| 403 alors qu'on est connecté                     | Rôle manquant, `isAdminGranted` fail-closed (`adminRbac.ts#isAdminGranted`)                                 | Doter le compte du rôle requis (défaut `ROLE_NODEFONY_ADMIN`)                        |
+| WS : mutation refusée `400` clé requise          | Idempotence : clé obligatoire par socket (`AdminApiController.ts#AdminApiController.idempotencyGate`)       | Fournir `Idempotency-Key` sur la mutation WS                                         |
+| Route admin injoignable / collision Studio       | Endpoint mono-segment `/nodefony/<module>` (`IAdminBroker.ts#IAdminBroker`)                                 | Toujours `≥ 3` segments `/nodefony/<ns>/api/<path>`                                  |
+| 500 « Admin endpoint not registered »            | `adminRoute` absent du registre — incohérence interne (`AdminApiController.ts#AdminApiController.runAdmin`) | Vérifier que le producteur a bien été enregistré avant `mountAll()`                  |
 
 ## 🧪 Tests & couverture