@nodefony/framework 10.0.0-beta.5 → 10.0.0-beta.6

package/dist/_virtual/{_@oxc-project_runtime@0.155.0 → _@oxc-project_runtime@0.157.0}/helpers/esm/decorate.js

@@ -1,4 +1,4 @@
-// \0@oxc-project+runtime@0.155.0/helpers/esm/decorate.js
+// \0@oxc-project+runtime@0.157.0/helpers/esm/decorate.js
 function __decorate(decorators, target, key, desc) {
 	var c = arguments.length, r = c < 3 ? target : desc === null ? desc = Object.getOwnPropertyDescriptor(target, key) : desc, d;
 	if (typeof Reflect === "object" && typeof Reflect.decorate === "function") r = Reflect.decorate(decorators, target, key, desc);

package/dist/_virtual/_@oxc-project_runtime@0.157.0/helpers/esm/decorateParam.js

@@ -0,0 +1,7 @@
+// \0@oxc-project+runtime@0.157.0/helpers/esm/decorateParam.js
+function __decorateParam(paramIndex, decorator) {
+	return function(target, key) {
+		decorator(target, key, paramIndex);
+	};
+}
+export { __decorateParam as default };

package/dist/index.js

@@ -3,17 +3,14 @@ import { defineFrameworkConfig, frameworkConfigJsonSchema } from "./nodefony/con
 import { getIdempotencyStoreFactory, listIdempotencyBackends, listIdempotencyStores, registerIdempotencyStore } from "./nodefony/src/idempotencyStoreRegistry.js";
 import { RedisIdempotencyStore } from "./nodefony/src/RedisIdempotencyStore.js";
 import { scheduleIdempotencyGc } from "./nodefony/src/idempotencyGc.js";
-import Route from "./nodefony/src/Route.js";
-import { validateRouteInput } from "./nodefony/src/routeSchema.js";
-import Controller from "./nodefony/src/Controller.js";
-import { All, Anonymous, Body, BypassFirewall, Cookie, Csp, CsrfExempt, CsrfProtect, CurrentUser, Delete, Domain, Get, Head, Header, Headers, HttpCode, Idempotent, IsGranted, Options, Param, Patch, Post, Put, Query, Redirect, Req, RequireAuthentication, RequireScope, Res, Scope, Session, UploadedFile, UploadedFiles, UseSession, buildContextParamArgs, controller, controllers, getParamArgsMeta, route, routeExpectsBodyStream } from "./nodefony/decorators/routerDecorators.js";
-import Resolver from "./nodefony/src/Resolver.js";
-import __decorate from "./_virtual/_@oxc-project_runtime@0.155.0/helpers/esm/decorate.js";
 import router_default, { FRAMEWORK_ROUTER, isFrameworkRouter } from "./nodefony/service/router.js";
+import Route from "./nodefony/src/Route.js";
+import Controller, { configureFileServing } from "./nodefony/src/Controller.js";
 import ResourceController from "./nodefony/src/ResourceController.js";
-import AdminApiController from "./nodefony/controller/AdminApiController.js";
+import Resolver from "./nodefony/src/Resolver.js";
 import AdminBroker_default from "./nodefony/service/AdminBroker.js";
 import IdempotencyStore_default from "./nodefony/service/IdempotencyStore.js";
+import AdminApiController from "./nodefony/controller/AdminApiController.js";
 import SessionAuthController, { mountSessionAuthRoutes } from "./nodefony/controller/SessionAuthController.js";
 import LoginPageController, { mountLoginPage } from "./nodefony/controller/LoginPageController.js";
 import TokenAuthController, { mountTokenAuthRoutes } from "./nodefony/controller/TokenAuthController.js";
@@ -21,14 +18,18 @@ import IssuerMetadataController, { mountIssuerMetadataRoutes } from "./nodefony/
 import ProtectedResourceMetadataController, { collectProtectedResources, mountProtectedResourceRoutes, protectedResourceRoutePaths } from "./nodefony/controller/ProtectedResourceMetadataController.js";
 import WebAuthnController, { mountWebAuthnRoutes } from "./nodefony/controller/WebAuthnController.js";
 import OAuth2Controller, { mountOAuth2Routes } from "./nodefony/controller/OAuth2Controller.js";
+import CspReportController, { mountCspReportRoute } from "./nodefony/controller/CspReportController.js";
 import BenchController, { mountBenchRoutes } from "./nodefony/controller/BenchController.js";
 import ApiKeyController, { mountApiKeyRoutes } from "./nodefony/controller/ApiKeyController.js";
 import TotpController, { mountTotpRoutes } from "./nodefony/controller/TotpController.js";
 import { createKernelAdminApi } from "./nodefony/src/KernelAdminApi.js";
-import { buildPlaygroundSnapshot } from "./nodefony/src/PlaygroundAdminApi.js";
 import { createFrameworkAdminApi } from "./nodefony/src/FrameworkAdminApi.js";
+import { buildPlaygroundSnapshot } from "./nodefony/src/PlaygroundAdminApi.js";
 import { createSyslogAdminApi } from "./nodefony/src/SyslogAdminApi.js";
 import Eta from "./nodefony/service/Eta.js";
+import { All, Anonymous, Body, BypassFirewall, Cookie, Csp, CsrfExempt, CsrfProtect, CurrentUser, Delete, Domain, Get, Head, Header, Headers, HttpCode, Idempotent, IsGranted, Options, Param, Patch, Post, Put, Query, Redirect, Req, RequireAuthentication, RequireScope, Res, Scope, Session, UploadedFile, UploadedFiles, UseSession, buildContextParamArgs, controller, controllers, getParamArgsMeta, getRouteSchema, route, routeExpectsBodyStream } from "./nodefony/decorators/routerDecorators.js";
+import __decorate from "./_virtual/_@oxc-project_runtime@0.157.0/helpers/esm/decorate.js";
+import { validateRouteInput } from "./nodefony/src/routeSchema.js";
 import path from "node:path";
 import { AUTO_STORE, EMPTY_INFRA, Module, durableStoreRemedy, readStoreConnector, readStoreLocation, resolveAutoStore, services, storeConnectivity } from "nodefony";
 // index.ts
@@ -63,7 +64,9 @@ let Framework = class Framework extends Module {
 	* `this.options` (matérialise les défauts, préserve `router`/`adminBroker`).
 	*/
 	async onKernelRegister() {
-		this.options = defineFrameworkConfig(this.options ?? {});
+		const validated = defineFrameworkConfig(this.options ?? {});
+		this.options = validated;
+		configureFileServing(validated.fileServing);
 		return this;
 	}
 	/**
@@ -191,6 +194,7 @@ let Framework = class Framework extends Module {
 		}
 		if (this.kernel?.container?.get("webauthn")) mountWebAuthnRoutes(this);
 		if (this.kernel?.container?.get("oauth2")) mountOAuth2Routes(this);
+		if (this.kernel?.container?.get("cspReports")) mountCspReportRoute(this);
 		if (process.env.NF_BENCH_ROUTE === "1") mountBenchRoutes(this);
 		if (this.kernel?.container?.get("apiKeys")) mountApiKeyRoutes(this);
 		if (this.kernel?.container?.get("totp")) mountTotpRoutes(this);
@@ -204,4 +208,4 @@ Framework = __decorate([services([
 	IdempotencyStore_default
 ])], Framework);
 var framework_default = Framework;
-export { AdminApiController, AdminBroker_default as AdminBroker, All, Anonymous, ApiKeyController, BenchController, Body, BypassFirewall, Controller, Cookie, Csp, CsrfExempt, CsrfProtect, CurrentUser, Delete, Domain, Eta, FRAMEWORK_ROUTER, Get, Head, Header, Headers, HttpCode, Idempotent, IsGranted, IssuerMetadataController, LoginPageController, IdempotencyStore_default as MemoryIdempotencyStore, OAuth2Controller, Options, Param, Patch, Post, ProtectedResourceMetadataController, Put, Query, Redirect, Req, RequireAuthentication, RequireScope, Res, Resolver, ResourceController, Route, router_default as Router, Scope, Session, SessionAuthController, TokenAuthController, TotpController, UploadedFile, UploadedFiles, UseSession, WebAuthnController, buildContextParamArgs, buildPlaygroundSnapshot, collectProtectedResources, controller, controllers, createFrameworkAdminApi, createKernelAdminApi, createSyslogAdminApi, framework_default as default, defineFrameworkConfig, frameworkConfigJsonSchema, frameworkConfigSchema, getIdempotencyStoreFactory, getParamArgsMeta, isFrameworkRouter, listIdempotencyStores, mountApiKeyRoutes, mountBenchRoutes, mountIssuerMetadataRoutes, mountLoginPage, mountOAuth2Routes, mountProtectedResourceRoutes, mountSessionAuthRoutes, mountTokenAuthRoutes, mountTotpRoutes, mountWebAuthnRoutes, protectedResourceRoutePaths, registerIdempotencyStore, route, routeExpectsBodyStream, validateRouteInput };
+export { AdminApiController, AdminBroker_default as AdminBroker, All, Anonymous, ApiKeyController, BenchController, Body, BypassFirewall, Controller, Cookie, Csp, CspReportController, CsrfExempt, CsrfProtect, CurrentUser, Delete, Domain, Eta, FRAMEWORK_ROUTER, Get, Head, Header, Headers, HttpCode, Idempotent, IsGranted, IssuerMetadataController, LoginPageController, IdempotencyStore_default as MemoryIdempotencyStore, OAuth2Controller, Options, Param, Patch, Post, ProtectedResourceMetadataController, Put, Query, Redirect, Req, RequireAuthentication, RequireScope, Res, Resolver, ResourceController, Route, router_default as Router, Scope, Session, SessionAuthController, TokenAuthController, TotpController, UploadedFile, UploadedFiles, UseSession, WebAuthnController, buildContextParamArgs, buildPlaygroundSnapshot, collectProtectedResources, controller, controllers, createFrameworkAdminApi, createKernelAdminApi, createSyslogAdminApi, framework_default as default, defineFrameworkConfig, frameworkConfigJsonSchema, frameworkConfigSchema, getIdempotencyStoreFactory, getParamArgsMeta, getRouteSchema, isFrameworkRouter, listIdempotencyStores, mountApiKeyRoutes, mountBenchRoutes, mountCspReportRoute, mountIssuerMetadataRoutes, mountLoginPage, mountOAuth2Routes, mountProtectedResourceRoutes, mountSessionAuthRoutes, mountTokenAuthRoutes, mountTotpRoutes, mountWebAuthnRoutes, protectedResourceRoutePaths, registerIdempotencyStore, route, routeExpectsBodyStream, validateRouteInput };

package/dist/nodefony/config/config.js

@@ -25,6 +25,9 @@ import { z } from "zod";
 *     tels quels aux Services `Router` / `AdminBroker` (4ᵉ arg du `super(...)`).
 *     Aucune forme métier figée → `looseObject` + `optional` (ne RIEN stripper,
 *     absent par défaut = `undefined`, comme avant validation).
+*   - `idempotency` — store du cache d'idempotence.
+*   - `fileServing` — défaut des fichiers servis par une action (validateurs,
+*     `Cache-Control`), posé au boot dans `Controller.ts#configureFileServing`.
 *
 * ## Pureté
 *
@@ -38,10 +41,21 @@ const idempotencySchema = z.strictObject({
 	gcIntervalS: z.number().int().min(0).default(600).describe("Intervalle de purge des clés d'idempotence expirées (s), HORS hot-path. N'a d'effet QUE pour un store SANS expiration native (`drizzle` → `DELETE WHERE expiresAt<=now`) ; `redis` (TTL `PX`) et `memory` (purge passive) l'ignorent. 0 = timer désarmé (cron/k8s)."),
 	gcJitter: z.boolean().default(true).describe("Étale le départ du gc d'idempotence par process — anti thundering-herd sur le store SQL partagé en cluster.")
 });
+/**
+* Requêtes conditionnelles des fichiers servis par une action (`streamFile`,
+* `renderFileDownload`, `renderMediaStream`). Le défaut de TOUTE
+* l'application ; un appel le remplace par ses options (`validators`) ou ses
+* en-têtes (`Cache-Control`, `ETag`).
+*/
+const fileServingSchema = z.strictObject({
+	validators: z.boolean().default(true).describe("ETag forte + Last-Modified tirés de la taille et de la date du fichier, et réponses 304/412 (RFC 9110 §13). `false` les coupe pour toute l'application — dates non fiables (archive décompressée, build reproductible : même taille et même date pour deux contenus). Un appel peut rétablir ou couper par `{ validators }`."),
+	cacheControl: z.string().trim().regex(/^[\t\x20-\x7e\x80-\xff]+$/, "valeur d'en-tête invalide (CR, LF ou caractère de contrôle)").nullable().default("private, no-cache").describe("`Cache-Control` posé quand l'action n'en fixe aucun. Défaut `private, no-cache` : `Last-Modified` rendrait sinon la réponse réutilisable par un cache PARTAGÉ sans revalidation (RFC 9111 §4.2.2), or un fichier servi par une action est souvent protégé. `null` = n'en poser aucun. Sans effet quand `validators` est coupé.")
+});
 const frameworkConfigSchema = z.strictObject({
 	router: serviceOptionsSchema.optional().describe("Options transmises au Service `Router` (bag d'options de Service de base : logger, timers…). Loose : non strippées. Absent (défaut) = aucune."),
 	adminBroker: serviceOptionsSchema.optional().describe("Options transmises au Service `AdminBroker` (data plane admin `/nodefony/<ns>/api/*`). Loose : non strippées. Absent (défaut) = aucune."),
-	idempotency: idempotencySchema.default(() => idempotencySchema.parse({})).describe("Idempotence des mutations (anti double-effet). Cf draft-ietf-httpapi-idempotency-key-header.")
+	idempotency: idempotencySchema.default(() => idempotencySchema.parse({})).describe("Idempotence des mutations (anti double-effet). Cf draft-ietf-httpapi-idempotency-key-header."),
+	fileServing: fileServingSchema.default(() => fileServingSchema.parse({})).describe("Fichiers servis par une action : validateurs (ETag, Last-Modified, 304/412) et Cache-Control par défaut.")
 }).describe("Configuration de @nodefony/framework.");
 var config_default = {
 	...frameworkConfigSchema.parse({}),
@@ -58,4 +72,4 @@ var config_default = {
 		}
 	} }
 };
-export { config_default as default, frameworkConfigSchema };
+export { config_default as default, fileServingSchema, frameworkConfigSchema };

package/dist/nodefony/controller/AdminApiController.js

@@ -1,6 +1,7 @@
 import Controller from "../src/Controller.js";
+import { withAuthChallenge } from "../src/SecurityApiController.js";
 import { computeFingerprint, evaluateIdempotency, resolveIdempotencyKey, resolveIdentity } from "../src/idempotency.js";
-import { JsonRpcServerError, RequestContext, RpcError, executeAdminEndpoint } from "nodefony";
+import { BYTES_MARKER_HEADER, JsonRpcServerError, RequestContext, RpcError, executeAdminEndpoint } from "nodefony";
 // nodefony/controller/AdminApiController.ts
 /** Vrai pour une chaîne ou un tableau de chaînes — ce que porte {@link IAdminRequest.query}. */
 function isAdminQueryValue(value) {
@@ -62,8 +63,10 @@ var AdminApiController = class AdminApiController extends Controller {
 	* (une action, deux transports) : même exécution sur les deux transports, seul
 	* l'emballage diffère.
 	*
-	*  - **HTTP** : rendu historique inchangé (`renderJson` + status + header
-	*    `x-nodefony-instance`).
+	*  - **HTTP** : `renderJson` + status + header `x-nodefony-instance`. Quand
+	*    l'application active un codec binaire, le corps passe par le codec texte
+	*    de la socket (convention `$bytes`, annoncée par `x-nodefony-bytes`) : des
+	*    octets se relisent alors à l'identique sur les deux transports.
 	*  - **Pont WS-RPC `api.request`** : valeur **nue** (le pont l'enveloppe
 	*    `{id, result}` — snapshot ≡ GET par construction) ; statut ≥ 400 →
 	*    {@link RpcError} (`data.status` + `data.body`), symétrie d'un `fetch`
@@ -85,9 +88,19 @@ var AdminApiController = class AdminApiController extends Controller {
 			}
 			return body;
 		}
-		return this.renderJson(body, status, {
-			...headers,
+		const stamped = {
+			...status === 401 ? withAuthChallenge(headers) : headers,
 			"x-nodefony-instance": AdminApiController.instanceId
+		};
+		const codec = this.get("realtimeService")?.textFrameCodec;
+		const marker = codec?.bytesMarker;
+		if (codec === void 0 || marker === void 0) return this.renderJson(body, status, stamped);
+		const text = codec.encode(body);
+		if (typeof text !== "string") return this.renderJson(body, status, stamped);
+		this.setContextJson();
+		return this.renderResponse(text, "utf8", status, {
+			...stamped,
+			[BYTES_MARKER_HEADER]: marker
 		});
 	}
 	/**

package/dist/nodefony/controller/BenchController.js

@@ -1,5 +1,5 @@
-import Controller from "../src/Controller.js";
 import router_default from "../service/router.js";
+import Controller from "../src/Controller.js";
 // nodefony/controller/BenchController.ts
 /**
 * Corps servi par la cible de banc — **gelé et partagé** : ce qu'on chronomètre

package/dist/nodefony/controller/CspReportController.js

@@ -0,0 +1,70 @@
+import router_default from "../service/router.js";
+import Controller from "../src/Controller.js";
+import { Body, CsrfExempt } from "../decorators/routerDecorators.js";
+import __decorateParam from "../../_virtual/_@oxc-project_runtime@0.157.0/helpers/esm/decorateParam.js";
+import __decorate from "../../_virtual/_@oxc-project_runtime@0.157.0/helpers/esm/decorate.js";
+import { CSP_REPORT_MAX_BYTES, CSP_REPORT_PATH } from "nodefony";
+import { HttpError } from "@nodefony/http";
+// nodefony/controller/CspReportController.ts
+const NO_STORE = { "cache-control": "no-store" };
+let mounted = false;
+/**
+* Réception PUBLIQUE des rapports de violation CSP (ADR-0024 §C7) —
+* `POST /nodefony/security/api/csp-report`, adaptateur MINCE au-dessus du
+* service `cspReports`.
+*
+* Le navigateur poste sans identifiant : la route contourne le pare-feu, et la
+* défense CSRF (`@CsrfExempt`) — elle ne change l'état de personne, et un
+* rapport n'a aucune session à détourner. Le corps arrive en FLUX
+* (`@Body({ stream: true })`) pour être borné PENDANT la lecture : au-delà de
+* {@link CSP_REPORT_MAX_BYTES}, 413 sans rien garder. Tout le reste — quota,
+* type de contenu, forme, expurgation — appartient au collecteur, et la
+* réponse est 204 quoi qu'il en pense : l'émetteur n'apprend rien.
+*/
+var CspReportController = class extends Controller {
+	constructor(context) {
+		super("CspReportController", context);
+	}
+	/**
+	* Reçoit un rapport, ou un lot de rapports.
+	*
+	* @param stream - le corps brut, jamais lu par le pipeline.
+	* @throws HttpError 413 quand le corps dépasse le plafond.
+	*/
+	async report(stream) {
+		const headers = this.context?.request?.headers;
+		const declared = Number(headers?.["content-length"]);
+		if (Number.isFinite(declared) && declared > CSP_REPORT_MAX_BYTES) throw new HttpError("CSP report too large", 413, this.context);
+		const chunks = [];
+		let seen = 0;
+		for await (const chunk of stream) {
+			seen += chunk.byteLength;
+			if (seen > CSP_REPORT_MAX_BYTES) throw new HttpError("CSP report too large", 413, this.context);
+			chunks.push(chunk);
+		}
+		const sink = this.get("cspReports");
+		if (sink) sink.receive(headers?.["content-type"], Buffer.concat(chunks, seen), this.context?.remoteAddress ?? null, headers?.["user-agent"] ?? null);
+		return this.renderResponse("", "utf8", 204, NO_STORE);
+	}
+};
+__decorate([CsrfExempt(), __decorateParam(0, Body({ stream: true }))], CspReportController.prototype, "report", null);
+/**
+* Monte la route de réception — appelé par le module framework à
+* `onKernelReady`, seulement si le service `cspReports` est présent (rapports
+* demandés vers la route du framework).
+*
+* @param frameworkModule - module qui porte le contrôleur.
+*/
+function mountCspReportRoute(frameworkModule) {
+	if (mounted) return;
+	router_default.createRoute("security.cspReport", {
+		path: CSP_REPORT_PATH,
+		constructor: CspReportController,
+		classMethod: "report",
+		requirements: { methods: ["POST"] },
+		bypassFirewall: true
+	});
+	if (!Object.prototype.hasOwnProperty.call(CspReportController.prototype, "module")) router_default.setController(CspReportController, frameworkModule);
+	mounted = true;
+}
+export { CspReportController as default, mountCspReportRoute };

package/dist/nodefony/controller/IssuerMetadataController.js

@@ -1,5 +1,5 @@
-import Controller from "../src/Controller.js";
 import router_default from "../service/router.js";
+import Controller from "../src/Controller.js";
 import { askedAuthority, onDeclaredAuthority } from "./oauthAuthority.js";
 import { JWKS_PATH, authorizationServerMetadataPath, buildAuthorizationServerMetadata } from "nodefony";
 // nodefony/controller/IssuerMetadataController.ts

package/dist/nodefony/controller/LoginPageController.js

@@ -1,8 +1,6 @@
-import { isDevelopment } from "../src/singletonGuard.js";
-import Controller from "../src/Controller.js";
-import { Csp } from "../decorators/routerDecorators.js";
-import __decorate from "../../_virtual/_@oxc-project_runtime@0.155.0/helpers/esm/decorate.js";
 import router_default from "../service/router.js";
+import Controller from "../src/Controller.js";
+import { isDevelopment } from "../src/singletonGuard.js";
 import { LOGIN_PAGE_ASSET_FILES, LOGIN_PAGE_TEMPLATE, buildLoginPageView, keepSuccess } from "../src/loginPage.js";
 import path from "node:path";
 import { LOGIN_PAGE_ASSETS_BASE, LOGIN_PAGE_SKINS, loginPageSkinFile } from "nodefony";
@@ -53,8 +51,9 @@ const version = keepSuccess(async () => {
 * feuille `nodefony/login.css`, script `nodefony/login.js`. Aucun front, aucun
 * build côté application.
 *
-* Joignable sans session ; jamais mise en cache (`no-store`) ni affichable
-* dans un cadre (`frame-ancestors 'none'`).
+* Joignable sans session ; jamais mise en cache (`no-store`). L’encadrement
+* suit `http.securityHeaders.frameOptions`, qui pose `X-Frame-Options` ET
+* `frame-ancestors` sur toute la politique (ADR-0024 §C5).
 */
 var LoginPageController = class extends Controller {
 	constructor(context) {
@@ -87,7 +86,6 @@ var LoginPageController = class extends Controller {
 		});
 	}
 };
-__decorate([Csp({ "frame-ancestors": ["'none'"] })], LoginPageController.prototype, "page", null);
 /**
 * Monte la page de connexion par défaut quand security la décrit : la route
 * sur `loginPage.path`, et ses fichiers sous `LOGIN_PAGE_ASSETS_BASE`.

package/dist/nodefony/controller/ProtectedResourceMetadataController.js

@@ -1,5 +1,5 @@
-import Controller from "../src/Controller.js";
 import router_default from "../service/router.js";
+import Controller from "../src/Controller.js";
 import { askedAuthority, onDeclaredAuthority } from "./oauthAuthority.js";
 import { buildProtectedResourceMetadata, canonicalResourceUri, protectedResourceMetadataPath } from "nodefony";
 // nodefony/controller/ProtectedResourceMetadataController.ts

package/dist/nodefony/controller/SessionAuthController.js

@@ -1,7 +1,7 @@
 import { CsrfProtect } from "../decorators/routerDecorators.js";
-import __decorate from "../../_virtual/_@oxc-project_runtime@0.155.0/helpers/esm/decorate.js";
 import router_default from "../service/router.js";
 import SecurityApiController from "../src/SecurityApiController.js";
+import __decorate from "../../_virtual/_@oxc-project_runtime@0.157.0/helpers/esm/decorate.js";
 import { AUTH_API_BASE } from "nodefony";
 // nodefony/controller/SessionAuthController.ts
 let mounted = false;
@@ -29,12 +29,11 @@ let mounted = false;
 * (Auth.js, better-auth). Le `401` y écrivait une erreur réseau dans la console
 * de chaque visiteur anonyme, sans rien protéger : la réponse ne révèle rien.
 *
-* @remarks Dérogation RFC 9110 §15.5.2 DÉLIBÉRÉE : les 401 de `login` ne
-* portent PAS de `WWW-Authenticate` — aucun scheme HTTP ne décrit un cookie de
-* session, et un challenge `Basic` mensonger déclencherait le popup natif du
-* navigateur (l'anti-pattern que le BFF élimine). Les zones du firewall, elles,
-* restent strictement conformes (challenge du premier authenticator qui en
-* déclare un).
+* @remarks Les 401 de `login` portent le défi `Session realm="nodefony"`
+* (RFC 9110 §15.5.2, posé par `SecurityApiController`), celui du pare-feu :
+* aucun schéma HTTP ne décrit un cookie de session, et un `Basic` ouvrirait la
+* fenêtre de connexion native du navigateur — l'anti-pattern que le BFF
+* élimine. Un schéma inconnu des navigateurs n'en ouvre aucune.
 */
 var SessionAuthController = class extends SecurityApiController {
 	constructor(context) {

package/dist/nodefony/controller/TokenAuthController.js

@@ -24,9 +24,9 @@ function parseScope(scope) {
 * framework ne peut pas importer les classes d'erreur de security ; un 429
 * reporte le `Retry-After` (RFC 6585) du throttler NIST.
 *
-* @remarks Dérogation RFC 9110 §15.5.2 (comme `SessionAuthController`) : ces 401 ne
-* portent pas de `WWW-Authenticate` — l'endpoint d'émission n'est pas une
-* ressource protégée par Bearer, il DÉLIVRE le Bearer.
+* @remarks Ces 401 portent le défi `Session realm="nodefony"` (RFC 9110
+* §15.5.2, posé par `SecurityApiController`) et non un `Bearer` : l'endpoint
+* d'émission n'est pas une ressource protégée par Bearer, il DÉLIVRE le Bearer.
 */
 var TokenAuthController = class extends SecurityApiController {
 	constructor(context) {

package/dist/nodefony/decorators/routerDecorators.js

@@ -1,6 +1,6 @@
-import { assertRouteSchemaShape } from "../src/routeSchema.js";
-import Controller from "../src/Controller.js";
 import router_default from "../service/router.js";
+import Controller from "../src/Controller.js";
+import { assertRouteSchemaShape } from "../src/routeSchema.js";
 import { BootConfigurationError, RequestContext } from "nodefony";
 import "reflect-metadata";
 // nodefony/decorators/routerDecorators.ts

package/dist/nodefony/service/AdminBroker.js

@@ -1,6 +1,6 @@
-import __decorate from "../../_virtual/_@oxc-project_runtime@0.155.0/helpers/esm/decorate.js";
 import router_default from "./router.js";
 import AdminApiController from "../controller/AdminApiController.js";
+import __decorate from "../../_virtual/_@oxc-project_runtime@0.157.0/helpers/esm/decorate.js";
 import { ADMIN_DEFAULT_ROLE, Service, injectable, resolveAdminRole } from "nodefony";
 // nodefony/service/AdminBroker.ts
 const serviceName = "adminBroker";

package/dist/nodefony/service/IdempotencyStore.js

@@ -1,4 +1,4 @@
-import __decorate from "../../_virtual/_@oxc-project_runtime@0.155.0/helpers/esm/decorate.js";
+import __decorate from "../../_virtual/_@oxc-project_runtime@0.157.0/helpers/esm/decorate.js";
 import { Service, assertPageQuery, injectable } from "nodefony";
 // nodefony/service/IdempotencyStore.ts
 const serviceName = "idempotencyStore";

package/dist/nodefony/service/router.js

@@ -1,7 +1,7 @@
 import Route from "../src/Route.js";
-import { assertRouteSchemaDeclaration, routeExpectsBodyStream } from "../decorators/routerDecorators.js";
 import Resolver from "../src/Resolver.js";
-import __decorate from "../../_virtual/_@oxc-project_runtime@0.155.0/helpers/esm/decorate.js";
+import { assertRouteSchemaDeclaration, routeExpectsBodyStream } from "../decorators/routerDecorators.js";
+import __decorate from "../../_virtual/_@oxc-project_runtime@0.157.0/helpers/esm/decorate.js";
 import { BootConfigurationError, Injector, Module, Service, injectable, isPromise, stripTrailingSlashes } from "nodefony";
 import { HttpError, isDomainAllowed } from "@nodefony/http";
 // nodefony/service/router.ts
@@ -349,11 +349,12 @@ Router = _Router = __decorate([injectable()], Router);
 * installées du framework feraient échouer `instanceof` en silence. Une
 * lecture de propriété.
 *
-* @param router - le routeur lu sur le contexte (`context.router`).
+* @param router - le routeur lu sur le contexte (`context.router`) ou le
+*   service `router` du conteneur.
 * @returns `true` si c'est le Router du framework.
 */
 function isFrameworkRouter(router) {
-	return router != null && FRAMEWORK_ROUTER in router;
+	return typeof router === "object" && router !== null && FRAMEWORK_ROUTER in router;
 }
 var router_default = Router;
 export { FRAMEWORK_ROUTER, router_default as default, isFrameworkRouter };