@nodefony/framework 10.0.0-beta.5 → 10.0.0-beta.7

package/dist/_virtual/{_@oxc-project_runtime@0.155.0 → _@oxc-project_runtime@0.158.0}/helpers/esm/decorate.js

@@ -1,4 +1,4 @@
-// \0@oxc-project+runtime@0.155.0/helpers/esm/decorate.js
+// \0@oxc-project+runtime@0.158.0/helpers/esm/decorate.js
 function __decorate(decorators, target, key, desc) {
 	var c = arguments.length, r = c < 3 ? target : desc === null ? desc = Object.getOwnPropertyDescriptor(target, key) : desc, d;
 	if (typeof Reflect === "object" && typeof Reflect.decorate === "function") r = Reflect.decorate(decorators, target, key, desc);

package/dist/_virtual/_@oxc-project_runtime@0.158.0/helpers/esm/decorateParam.js

@@ -0,0 +1,7 @@
+// \0@oxc-project+runtime@0.158.0/helpers/esm/decorateParam.js
+function __decorateParam(paramIndex, decorator) {
+	return function(target, key) {
+		decorator(target, key, paramIndex);
+	};
+}
+export { __decorateParam as default };

package/dist/index.js

@@ -3,17 +3,14 @@ import { defineFrameworkConfig, frameworkConfigJsonSchema } from "./nodefony/con
 import { getIdempotencyStoreFactory, listIdempotencyBackends, listIdempotencyStores, registerIdempotencyStore } from "./nodefony/src/idempotencyStoreRegistry.js";
 import { RedisIdempotencyStore } from "./nodefony/src/RedisIdempotencyStore.js";
 import { scheduleIdempotencyGc } from "./nodefony/src/idempotencyGc.js";
-import Route from "./nodefony/src/Route.js";
-import { validateRouteInput } from "./nodefony/src/routeSchema.js";
-import Controller from "./nodefony/src/Controller.js";
-import { All, Anonymous, Body, BypassFirewall, Cookie, Csp, CsrfExempt, CsrfProtect, CurrentUser, Delete, Domain, Get, Head, Header, Headers, HttpCode, Idempotent, IsGranted, Options, Param, Patch, Post, Put, Query, Redirect, Req, RequireAuthentication, RequireScope, Res, Scope, Session, UploadedFile, UploadedFiles, UseSession, buildContextParamArgs, controller, controllers, getParamArgsMeta, route, routeExpectsBodyStream } from "./nodefony/decorators/routerDecorators.js";
-import Resolver from "./nodefony/src/Resolver.js";
-import __decorate from "./_virtual/_@oxc-project_runtime@0.155.0/helpers/esm/decorate.js";
 import router_default, { FRAMEWORK_ROUTER, isFrameworkRouter } from "./nodefony/service/router.js";
+import Route from "./nodefony/src/Route.js";
+import Controller, { configureFileServing, contentDisposition } from "./nodefony/src/Controller.js";
 import ResourceController from "./nodefony/src/ResourceController.js";
-import AdminApiController from "./nodefony/controller/AdminApiController.js";
+import Resolver from "./nodefony/src/Resolver.js";
 import AdminBroker_default from "./nodefony/service/AdminBroker.js";
 import IdempotencyStore_default from "./nodefony/service/IdempotencyStore.js";
+import AdminApiController from "./nodefony/controller/AdminApiController.js";
 import SessionAuthController, { mountSessionAuthRoutes } from "./nodefony/controller/SessionAuthController.js";
 import LoginPageController, { mountLoginPage } from "./nodefony/controller/LoginPageController.js";
 import TokenAuthController, { mountTokenAuthRoutes } from "./nodefony/controller/TokenAuthController.js";
@@ -21,14 +18,18 @@ import IssuerMetadataController, { mountIssuerMetadataRoutes } from "./nodefony/
 import ProtectedResourceMetadataController, { collectProtectedResources, mountProtectedResourceRoutes, protectedResourceRoutePaths } from "./nodefony/controller/ProtectedResourceMetadataController.js";
 import WebAuthnController, { mountWebAuthnRoutes } from "./nodefony/controller/WebAuthnController.js";
 import OAuth2Controller, { mountOAuth2Routes } from "./nodefony/controller/OAuth2Controller.js";
+import CspReportController, { mountCspReportRoute } from "./nodefony/controller/CspReportController.js";
 import BenchController, { mountBenchRoutes } from "./nodefony/controller/BenchController.js";
 import ApiKeyController, { mountApiKeyRoutes } from "./nodefony/controller/ApiKeyController.js";
 import TotpController, { mountTotpRoutes } from "./nodefony/controller/TotpController.js";
 import { createKernelAdminApi } from "./nodefony/src/KernelAdminApi.js";
-import { buildPlaygroundSnapshot } from "./nodefony/src/PlaygroundAdminApi.js";
 import { createFrameworkAdminApi } from "./nodefony/src/FrameworkAdminApi.js";
+import { buildPlaygroundSnapshot } from "./nodefony/src/PlaygroundAdminApi.js";
 import { createSyslogAdminApi } from "./nodefony/src/SyslogAdminApi.js";
 import Eta from "./nodefony/service/Eta.js";
+import { All, Anonymous, Body, BypassFirewall, Cookie, Csp, CsrfExempt, CsrfProtect, CurrentUser, Delete, Domain, Get, Head, Header, Headers, HttpCode, Idempotent, IsGranted, Options, Param, Patch, Post, Put, Query, Redirect, Req, RequireAuthentication, RequireScope, Res, Scope, Session, UploadedFile, UploadedFiles, UseSession, buildContextParamArgs, controller, controllers, getParamArgsMeta, getRouteSchema, route, routeExpectsBodyStream } from "./nodefony/decorators/routerDecorators.js";
+import __decorate from "./_virtual/_@oxc-project_runtime@0.158.0/helpers/esm/decorate.js";
+import { validateRouteInput } from "./nodefony/src/routeSchema.js";
 import path from "node:path";
 import { AUTO_STORE, EMPTY_INFRA, Module, durableStoreRemedy, readStoreConnector, readStoreLocation, resolveAutoStore, services, storeConnectivity } from "nodefony";
 // index.ts
@@ -63,7 +64,9 @@ let Framework = class Framework extends Module {
 	* `this.options` (matérialise les défauts, préserve `router`/`adminBroker`).
 	*/
 	async onKernelRegister() {
-		this.options = defineFrameworkConfig(this.options ?? {});
+		const validated = defineFrameworkConfig(this.options ?? {});
+		this.options = validated;
+		configureFileServing(validated.fileServing);
 		return this;
 	}
 	/**
@@ -191,6 +194,7 @@ let Framework = class Framework extends Module {
 		}
 		if (this.kernel?.container?.get("webauthn")) mountWebAuthnRoutes(this);
 		if (this.kernel?.container?.get("oauth2")) mountOAuth2Routes(this);
+		if (this.kernel?.container?.get("cspReports")) mountCspReportRoute(this);
 		if (process.env.NF_BENCH_ROUTE === "1") mountBenchRoutes(this);
 		if (this.kernel?.container?.get("apiKeys")) mountApiKeyRoutes(this);
 		if (this.kernel?.container?.get("totp")) mountTotpRoutes(this);
@@ -204,4 +208,4 @@ Framework = __decorate([services([
 	IdempotencyStore_default
 ])], Framework);
 var framework_default = Framework;
-export { AdminApiController, AdminBroker_default as AdminBroker, All, Anonymous, ApiKeyController, BenchController, Body, BypassFirewall, Controller, Cookie, Csp, CsrfExempt, CsrfProtect, CurrentUser, Delete, Domain, Eta, FRAMEWORK_ROUTER, Get, Head, Header, Headers, HttpCode, Idempotent, IsGranted, IssuerMetadataController, LoginPageController, IdempotencyStore_default as MemoryIdempotencyStore, OAuth2Controller, Options, Param, Patch, Post, ProtectedResourceMetadataController, Put, Query, Redirect, Req, RequireAuthentication, RequireScope, Res, Resolver, ResourceController, Route, router_default as Router, Scope, Session, SessionAuthController, TokenAuthController, TotpController, UploadedFile, UploadedFiles, UseSession, WebAuthnController, buildContextParamArgs, buildPlaygroundSnapshot, collectProtectedResources, controller, controllers, createFrameworkAdminApi, createKernelAdminApi, createSyslogAdminApi, framework_default as default, defineFrameworkConfig, frameworkConfigJsonSchema, frameworkConfigSchema, getIdempotencyStoreFactory, getParamArgsMeta, isFrameworkRouter, listIdempotencyStores, mountApiKeyRoutes, mountBenchRoutes, mountIssuerMetadataRoutes, mountLoginPage, mountOAuth2Routes, mountProtectedResourceRoutes, mountSessionAuthRoutes, mountTokenAuthRoutes, mountTotpRoutes, mountWebAuthnRoutes, protectedResourceRoutePaths, registerIdempotencyStore, route, routeExpectsBodyStream, validateRouteInput };
+export { AdminApiController, AdminBroker_default as AdminBroker, All, Anonymous, ApiKeyController, BenchController, Body, BypassFirewall, Controller, Cookie, Csp, CspReportController, CsrfExempt, CsrfProtect, CurrentUser, Delete, Domain, Eta, FRAMEWORK_ROUTER, Get, Head, Header, Headers, HttpCode, Idempotent, IsGranted, IssuerMetadataController, LoginPageController, IdempotencyStore_default as MemoryIdempotencyStore, OAuth2Controller, Options, Param, Patch, Post, ProtectedResourceMetadataController, Put, Query, Redirect, Req, RequireAuthentication, RequireScope, Res, Resolver, ResourceController, Route, router_default as Router, Scope, Session, SessionAuthController, TokenAuthController, TotpController, UploadedFile, UploadedFiles, UseSession, WebAuthnController, buildContextParamArgs, buildPlaygroundSnapshot, collectProtectedResources, contentDisposition, controller, controllers, createFrameworkAdminApi, createKernelAdminApi, createSyslogAdminApi, framework_default as default, defineFrameworkConfig, frameworkConfigJsonSchema, frameworkConfigSchema, getIdempotencyStoreFactory, getParamArgsMeta, getRouteSchema, isFrameworkRouter, listIdempotencyStores, mountApiKeyRoutes, mountBenchRoutes, mountCspReportRoute, mountIssuerMetadataRoutes, mountLoginPage, mountOAuth2Routes, mountProtectedResourceRoutes, mountSessionAuthRoutes, mountTokenAuthRoutes, mountTotpRoutes, mountWebAuthnRoutes, protectedResourceRoutePaths, registerIdempotencyStore, route, routeExpectsBodyStream, validateRouteInput };

package/dist/nodefony/config/config.js

@@ -25,6 +25,9 @@ import { z } from "zod";
 *     tels quels aux Services `Router` / `AdminBroker` (4ᵉ arg du `super(...)`).
 *     Aucune forme métier figée → `looseObject` + `optional` (ne RIEN stripper,
 *     absent par défaut = `undefined`, comme avant validation).
+*   - `idempotency` — store du cache d'idempotence.
+*   - `fileServing` — défaut des fichiers servis par une action (validateurs,
+*     `Cache-Control`), posé au boot dans `Controller.ts#configureFileServing`.
 *
 * ## Pureté
 *
@@ -38,10 +41,21 @@ const idempotencySchema = z.strictObject({
 	gcIntervalS: z.number().int().min(0).default(600).describe("Intervalle de purge des clés d'idempotence expirées (s), HORS hot-path. N'a d'effet QUE pour un store SANS expiration native (`drizzle` → `DELETE WHERE expiresAt<=now`) ; `redis` (TTL `PX`) et `memory` (purge passive) l'ignorent. 0 = timer désarmé (cron/k8s)."),
 	gcJitter: z.boolean().default(true).describe("Étale le départ du gc d'idempotence par process — anti thundering-herd sur le store SQL partagé en cluster.")
 });
+/**
+* Requêtes conditionnelles des fichiers servis par une action (`streamFile`,
+* `renderFileDownload`, `renderMediaStream`). Le défaut de TOUTE
+* l'application ; un appel le remplace par ses options (`validators`) ou ses
+* en-têtes (`Cache-Control`, `ETag`).
+*/
+const fileServingSchema = z.strictObject({
+	validators: z.boolean().default(true).describe("ETag forte + Last-Modified tirés de la taille et de la date du fichier, et réponses 304/412 (RFC 9110 §13). `false` les coupe pour toute l'application — dates non fiables (archive décompressée, build reproductible : même taille et même date pour deux contenus). Un appel peut rétablir ou couper par `{ validators }`."),
+	cacheControl: z.string().trim().regex(/^[\t\x20-\x7e\x80-\xff]+$/, "valeur d'en-tête invalide (CR, LF ou caractère de contrôle)").nullable().default("private, no-cache").describe("`Cache-Control` posé quand l'action n'en fixe aucun. Défaut `private, no-cache` : `Last-Modified` rendrait sinon la réponse réutilisable par un cache PARTAGÉ sans revalidation (RFC 9111 §4.2.2), or un fichier servi par une action est souvent protégé. `null` = n'en poser aucun. Sans effet quand `validators` est coupé.")
+});
 const frameworkConfigSchema = z.strictObject({
 	router: serviceOptionsSchema.optional().describe("Options transmises au Service `Router` (bag d'options de Service de base : logger, timers…). Loose : non strippées. Absent (défaut) = aucune."),
 	adminBroker: serviceOptionsSchema.optional().describe("Options transmises au Service `AdminBroker` (data plane admin `/nodefony/<ns>/api/*`). Loose : non strippées. Absent (défaut) = aucune."),
-	idempotency: idempotencySchema.default(() => idempotencySchema.parse({})).describe("Idempotence des mutations (anti double-effet). Cf draft-ietf-httpapi-idempotency-key-header.")
+	idempotency: idempotencySchema.default(() => idempotencySchema.parse({})).describe("Idempotence des mutations (anti double-effet). Cf draft-ietf-httpapi-idempotency-key-header."),
+	fileServing: fileServingSchema.default(() => fileServingSchema.parse({})).describe("Fichiers servis par une action : validateurs (ETag, Last-Modified, 304/412) et Cache-Control par défaut.")
 }).describe("Configuration de @nodefony/framework.");
 var config_default = {
 	...frameworkConfigSchema.parse({}),
@@ -58,4 +72,4 @@ var config_default = {
 		}
 	} }
 };
-export { config_default as default, frameworkConfigSchema };
+export { config_default as default, fileServingSchema, frameworkConfigSchema };

package/dist/nodefony/controller/AdminApiController.js

@@ -1,6 +1,7 @@
 import Controller from "../src/Controller.js";
+import { withAuthChallenge } from "../src/SecurityApiController.js";
 import { computeFingerprint, evaluateIdempotency, resolveIdempotencyKey, resolveIdentity } from "../src/idempotency.js";
-import { JsonRpcServerError, RequestContext, RpcError, executeAdminEndpoint } from "nodefony";
+import { BYTES_MARKER_HEADER, JsonRpcServerError, RequestContext, RpcError, executeAdminEndpoint } from "nodefony";
 // nodefony/controller/AdminApiController.ts
 /** Vrai pour une chaîne ou un tableau de chaînes — ce que porte {@link IAdminRequest.query}. */
 function isAdminQueryValue(value) {
@@ -62,8 +63,10 @@ var AdminApiController = class AdminApiController extends Controller {
 	* (une action, deux transports) : même exécution sur les deux transports, seul
 	* l'emballage diffère.
 	*
-	*  - **HTTP** : rendu historique inchangé (`renderJson` + status + header
-	*    `x-nodefony-instance`).
+	*  - **HTTP** : `renderJson` + status + header `x-nodefony-instance`. Quand
+	*    l'application active un codec binaire, le corps passe par le codec texte
+	*    de la socket (convention `$bytes`, annoncée par `x-nodefony-bytes`) : des
+	*    octets se relisent alors à l'identique sur les deux transports.
 	*  - **Pont WS-RPC `api.request`** : valeur **nue** (le pont l'enveloppe
 	*    `{id, result}` — snapshot ≡ GET par construction) ; statut ≥ 400 →
 	*    {@link RpcError} (`data.status` + `data.body`), symétrie d'un `fetch`
@@ -85,9 +88,19 @@ var AdminApiController = class AdminApiController extends Controller {
 			}
 			return body;
 		}
-		return this.renderJson(body, status, {
-			...headers,
+		const stamped = {
+			...status === 401 ? withAuthChallenge(headers) : headers,
 			"x-nodefony-instance": AdminApiController.instanceId
+		};
+		const codec = this.get("realtimeService")?.textFrameCodec;
+		const marker = codec?.bytesMarker;
+		if (codec === void 0 || marker === void 0) return this.renderJson(body, status, stamped);
+		const text = codec.encode(body);
+		if (typeof text !== "string") return this.renderJson(body, status, stamped);
+		this.setContextJson();
+		return this.renderResponse(text, "utf8", status, {
+			...stamped,
+			[BYTES_MARKER_HEADER]: marker
 		});
 	}
 	/**

package/dist/nodefony/controller/BenchController.js

@@ -1,5 +1,5 @@
-import Controller from "../src/Controller.js";
 import router_default from "../service/router.js";
+import Controller from "../src/Controller.js";
 // nodefony/controller/BenchController.ts
 /**
 * Corps servi par la cible de banc — **gelé et partagé** : ce qu'on chronomètre

package/dist/nodefony/controller/CspReportController.js

@@ -0,0 +1,70 @@
+import router_default from "../service/router.js";
+import Controller from "../src/Controller.js";
+import { Body, CsrfExempt } from "../decorators/routerDecorators.js";
+import __decorateParam from "../../_virtual/_@oxc-project_runtime@0.158.0/helpers/esm/decorateParam.js";
+import __decorate from "../../_virtual/_@oxc-project_runtime@0.158.0/helpers/esm/decorate.js";
+import { CSP_REPORT_MAX_BYTES, CSP_REPORT_PATH } from "nodefony";
+import { HttpError } from "@nodefony/http";
+// nodefony/controller/CspReportController.ts
+const NO_STORE = { "cache-control": "no-store" };
+let mounted = false;
+/**
+* Réception PUBLIQUE des rapports de violation CSP (ADR-0024 §C7) —
+* `POST /nodefony/security/api/csp-report`, adaptateur MINCE au-dessus du
+* service `cspReports`.
+*
+* Le navigateur poste sans identifiant : la route contourne le pare-feu, et la
+* défense CSRF (`@CsrfExempt`) — elle ne change l'état de personne, et un
+* rapport n'a aucune session à détourner. Le corps arrive en FLUX
+* (`@Body({ stream: true })`) pour être borné PENDANT la lecture : au-delà de
+* {@link CSP_REPORT_MAX_BYTES}, 413 sans rien garder. Tout le reste — quota,
+* type de contenu, forme, expurgation — appartient au collecteur, et la
+* réponse est 204 quoi qu'il en pense : l'émetteur n'apprend rien.
+*/
+var CspReportController = class extends Controller {
+	constructor(context) {
+		super("CspReportController", context);
+	}
+	/**
+	* Reçoit un rapport, ou un lot de rapports.
+	*
+	* @param stream - le corps brut, jamais lu par le pipeline.
+	* @throws HttpError 413 quand le corps dépasse le plafond.
+	*/
+	async report(stream) {
+		const headers = this.context?.request?.headers;
+		const declared = Number(headers?.["content-length"]);
+		if (Number.isFinite(declared) && declared > CSP_REPORT_MAX_BYTES) throw new HttpError("CSP report too large", 413, this.context);
+		const chunks = [];
+		let seen = 0;
+		for await (const chunk of stream) {
+			seen += chunk.byteLength;
+			if (seen > CSP_REPORT_MAX_BYTES) throw new HttpError("CSP report too large", 413, this.context);
+			chunks.push(chunk);
+		}
+		const sink = this.get("cspReports");
+		if (sink) sink.receive(headers?.["content-type"], Buffer.concat(chunks, seen), this.context?.remoteAddress ?? null, headers?.["user-agent"] ?? null);
+		return this.renderResponse("", "utf8", 204, NO_STORE);
+	}
+};
+__decorate([CsrfExempt(), __decorateParam(0, Body({ stream: true }))], CspReportController.prototype, "report", null);
+/**
+* Monte la route de réception — appelé par le module framework à
+* `onKernelReady`, seulement si le service `cspReports` est présent (rapports
+* demandés vers la route du framework).
+*
+* @param frameworkModule - module qui porte le contrôleur.
+*/
+function mountCspReportRoute(frameworkModule) {
+	if (mounted) return;
+	router_default.createRoute("security.cspReport", {
+		path: CSP_REPORT_PATH,
+		constructor: CspReportController,
+		classMethod: "report",
+		requirements: { methods: ["POST"] },
+		bypassFirewall: true
+	});
+	if (!Object.prototype.hasOwnProperty.call(CspReportController.prototype, "module")) router_default.setController(CspReportController, frameworkModule);
+	mounted = true;
+}
+export { CspReportController as default, mountCspReportRoute };

package/dist/nodefony/controller/IssuerMetadataController.js

@@ -1,5 +1,5 @@
-import Controller from "../src/Controller.js";
 import router_default from "../service/router.js";
+import Controller from "../src/Controller.js";
 import { askedAuthority, onDeclaredAuthority } from "./oauthAuthority.js";
 import { JWKS_PATH, authorizationServerMetadataPath, buildAuthorizationServerMetadata } from "nodefony";
 // nodefony/controller/IssuerMetadataController.ts
@@ -92,7 +92,7 @@ var IssuerMetadataController = class extends Controller {
 		try {
 			document = buildAuthorizationServerMetadata({ issuer });
 		} catch (error) {
-			this.log(`métadonnées d'émetteur impubliables : ${error.message}`, "CRITIC");
+			this.log(`métadonnées d'émetteur impubliables : ${error instanceof Error ? error.message : String(error)}`, "CRITIC");
 			return this.renderJson({ error: "server_error" }, 500);
 		}
 		return this.renderJson(document, 200, { "Cache-Control": "public, max-age=3600" });
@@ -110,7 +110,7 @@ var IssuerMetadataController = class extends Controller {
 		try {
 			keys = await publisher.getPublicJWKS();
 		} catch (error) {
-			this.log(`JWKS illisible : ${error.message}`, "CRITIC");
+			this.log(`JWKS illisible : ${error instanceof Error ? error.message : String(error)}`, "CRITIC");
 			return this.renderJson({ error: "server_error" }, 500);
 		}
 		return this.renderJson(keys, 200, { "Cache-Control": "public, max-age=300" });

package/dist/nodefony/controller/LoginPageController.js

@@ -1,8 +1,6 @@
-import { isDevelopment } from "../src/singletonGuard.js";
-import Controller from "../src/Controller.js";
-import { Csp } from "../decorators/routerDecorators.js";
-import __decorate from "../../_virtual/_@oxc-project_runtime@0.155.0/helpers/esm/decorate.js";
 import router_default from "../service/router.js";
+import Controller from "../src/Controller.js";
+import { isDevelopment } from "../src/singletonGuard.js";
 import { LOGIN_PAGE_ASSET_FILES, LOGIN_PAGE_TEMPLATE, buildLoginPageView, keepSuccess } from "../src/loginPage.js";
 import path from "node:path";
 import { LOGIN_PAGE_ASSETS_BASE, LOGIN_PAGE_SKINS, loginPageSkinFile } from "nodefony";
@@ -53,8 +51,9 @@ const version = keepSuccess(async () => {
 * feuille `nodefony/login.css`, script `nodefony/login.js`. Aucun front, aucun
 * build côté application.
 *
-* Joignable sans session ; jamais mise en cache (`no-store`) ni affichable
-* dans un cadre (`frame-ancestors 'none'`).
+* Joignable sans session ; jamais mise en cache (`no-store`). L’encadrement
+* suit `http.securityHeaders.frameOptions`, qui pose `X-Frame-Options` ET
+* `frame-ancestors` sur toute la politique (ADR-0024 §C5).
 */
 var LoginPageController = class extends Controller {
 	constructor(context) {
@@ -87,7 +86,6 @@ var LoginPageController = class extends Controller {
 		});
 	}
 };
-__decorate([Csp({ "frame-ancestors": ["'none'"] })], LoginPageController.prototype, "page", null);
 /**
 * Monte la page de connexion par défaut quand security la décrit : la route
 * sur `loginPage.path`, et ses fichiers sous `LOGIN_PAGE_ASSETS_BASE`.

package/dist/nodefony/controller/ProtectedResourceMetadataController.js

@@ -1,5 +1,5 @@
-import Controller from "../src/Controller.js";
 import router_default from "../service/router.js";
+import Controller from "../src/Controller.js";
 import { askedAuthority, onDeclaredAuthority } from "./oauthAuthority.js";
 import { buildProtectedResourceMetadata, canonicalResourceUri, protectedResourceMetadataPath } from "nodefony";
 // nodefony/controller/ProtectedResourceMetadataController.ts
@@ -66,9 +66,10 @@ var ProtectedResourceMetadataController = class extends Controller {
 	/** Chemin bien connu demandé, tel que le Router l'a matché. */
 	#askedPath() {
 		const req = this.request;
-		const p = req?.pathname;
+		if (typeof req !== "object" || req === null) return null;
+		const p = "pathname" in req ? req.pathname : void 0;
 		if (typeof p === "string") return p;
-		const url = req?.url;
+		const url = "url" in req ? req.url : void 0;
 		if (url instanceof URL) return url.pathname;
 		if (typeof url === "string") try {
 			return new URL(url, "http://localhost").pathname;
@@ -112,7 +113,7 @@ var ProtectedResourceMetadataController = class extends Controller {
 		try {
 			document = buildProtectedResourceMetadata(match);
 		} catch (error) {
-			this.log(`métadonnées de ressource protégée impubliables : ${error.message}`, "CRITIC");
+			this.log(`métadonnées de ressource protégée impubliables : ${error instanceof Error ? error.message : String(error)}`, "CRITIC");
 			return this.renderJson({ error: "server_error" }, 500);
 		}
 		return this.renderJson(document, 200, { "Cache-Control": "public, max-age=3600" });
@@ -140,23 +141,87 @@ var ProtectedResourceMetadataController = class extends Controller {
 * interface à implémenter formellement — le même couplage que `tokenService` ou
 * `adminBroker`.
 *
+* Deux sources peuvent déclarer la MÊME ressource — une zone du pare-feu et la
+* porte MCP qu'elle couvre, typiquement — : elles sont fusionnées
+* ({@link mergeProtectedResources}), jamais départagées par leur ordre.
+*
 * @param container - conteneur de services de l'application
-* @returns les ressources déclarées, dans l'ordre des services
+* @returns les ressources déclarées, une entrée par ressource, dans l'ordre des
+*          services
 */
 function collectProtectedResources(container) {
 	const collected = [];
 	for (const name of container.keys()) {
 		const service = container.get(name);
-		if (typeof service?.publishedProtectedResources !== "function") continue;
+		if (typeof service !== "object" || service === null || !("publishedProtectedResources" in service) || typeof service.publishedProtectedResources !== "function") continue;
 		let declared;
 		try {
-			declared = service.publishedProtectedResources();
+			declared = Reflect.apply(service.publishedProtectedResources, service, []);
+		} catch {
+			continue;
+		}
+		if (!Array.isArray(declared)) continue;
+		for (const entry of declared) if (isProtectedResourceInput(entry)) collected.push(entry);
+	}
+	return mergeProtectedResources(collected);
+}
+/** Une liste de chaînes, ou rien. */
+function isStringList(value) {
+	return Array.isArray(value) && value.every((item) => typeof item === "string");
+}
+/**
+* Une déclaration a-t-elle la forme d'une ressource publiable ? Le contrat est
+* structurel ({@link IProtectedResourcePublisher}) : ce qu'un service rend se
+* VÉRIFIE, il ne se suppose pas.
+*/
+function isProtectedResourceInput(value) {
+	if (typeof value !== "object" || value === null) return false;
+	if (!("resource" in value) || typeof value.resource !== "string") return false;
+	if (!("authorizationServers" in value) || !isStringList(value.authorizationServers)) return false;
+	return !("scopesSupported" in value) || value.scopesSupported === void 0 || isStringList(value.scopesSupported);
+}
+/** L'union de deux listes, dans l'ordre d'apparition. */
+function union(first, second) {
+	return [.../* @__PURE__ */ new Set([...first, ...second])];
+}
+/**
+* Une ressource, UN document : fusionne les déclarations d'une même ressource
+* (même URI canonique) — l'union de leurs serveurs d'autorisation et de leurs
+* scopes ; le premier nom et la première documentation déclarés.
+*
+* Pourquoi fusionner plutôt que garder la première : une zone du pare-feu
+* publie sa ressource avec les émetteurs de confiance, et la porte MCP qu'elle
+* couvre publie la MÊME ressource avec les scopes de ses outils. Garder la
+* première jetait les scopes sans un mot — et un agent qui suit le document
+* demandait alors un jeton sans eux, qui n'ouvrait pas l'outil.
+*
+* @param entries - déclarations, dans l'ordre des services
+* @returns une entrée par ressource, à la place de la première déclaration
+*/
+function mergeProtectedResources(entries) {
+	const merged = [];
+	const byResource = /* @__PURE__ */ new Map();
+	for (const entry of entries) {
+		let key;
+		try {
+			key = canonicalResourceUri(entry.resource);
 		} catch {
+			merged.push(entry);
+			continue;
+		}
+		const seen = byResource.get(key);
+		if (seen === void 0) {
+			const first = { ...entry };
+			byResource.set(key, first);
+			merged.push(first);
 			continue;
 		}
-		for (const entry of declared) collected.push(entry);
+		seen.authorizationServers = union(seen.authorizationServers, entry.authorizationServers);
+		if (entry.scopesSupported !== void 0) seen.scopesSupported = union(seen.scopesSupported ?? [], entry.scopesSupported);
+		if (seen.resourceName === void 0 && entry.resourceName !== void 0) seen.resourceName = entry.resourceName;
+		if (seen.resourceDocumentation === void 0 && entry.resourceDocumentation !== void 0) seen.resourceDocumentation = entry.resourceDocumentation;
 	}
-	return collected;
+	return merged;
 }
 /**
 * Chemins bien connus à monter pour un jeu de ressources déclarées.
@@ -217,4 +282,4 @@ function mountProtectedResourceRoutes(frameworkModule, resources) {
 	mounted = true;
 	return paths.length;
 }
-export { collectProtectedResources, ProtectedResourceMetadataController as default, mountProtectedResourceRoutes, protectedResourceRoutePaths };
+export { collectProtectedResources, ProtectedResourceMetadataController as default, mergeProtectedResources, mountProtectedResourceRoutes, protectedResourceRoutePaths };

package/dist/nodefony/controller/SessionAuthController.js

@@ -1,7 +1,7 @@
 import { CsrfProtect } from "../decorators/routerDecorators.js";
-import __decorate from "../../_virtual/_@oxc-project_runtime@0.155.0/helpers/esm/decorate.js";
 import router_default from "../service/router.js";
 import SecurityApiController from "../src/SecurityApiController.js";
+import __decorate from "../../_virtual/_@oxc-project_runtime@0.158.0/helpers/esm/decorate.js";
 import { AUTH_API_BASE } from "nodefony";
 // nodefony/controller/SessionAuthController.ts
 let mounted = false;
@@ -29,12 +29,11 @@ let mounted = false;
 * (Auth.js, better-auth). Le `401` y écrivait une erreur réseau dans la console
 * de chaque visiteur anonyme, sans rien protéger : la réponse ne révèle rien.
 *
-* @remarks Dérogation RFC 9110 §15.5.2 DÉLIBÉRÉE : les 401 de `login` ne
-* portent PAS de `WWW-Authenticate` — aucun scheme HTTP ne décrit un cookie de
-* session, et un challenge `Basic` mensonger déclencherait le popup natif du
-* navigateur (l'anti-pattern que le BFF élimine). Les zones du firewall, elles,
-* restent strictement conformes (challenge du premier authenticator qui en
-* déclare un).
+* @remarks Les 401 de `login` portent le défi `Session realm="nodefony"`
+* (RFC 9110 §15.5.2, posé par `SecurityApiController`), celui du pare-feu :
+* aucun schéma HTTP ne décrit un cookie de session, et un `Basic` ouvrirait la
+* fenêtre de connexion native du navigateur — l'anti-pattern que le BFF
+* élimine. Un schéma inconnu des navigateurs n'en ouvre aucune.
 */
 var SessionAuthController = class extends SecurityApiController {
 	constructor(context) {

package/dist/nodefony/controller/TokenAuthController.js

@@ -24,9 +24,9 @@ function parseScope(scope) {
 * framework ne peut pas importer les classes d'erreur de security ; un 429
 * reporte le `Retry-After` (RFC 6585) du throttler NIST.
 *
-* @remarks Dérogation RFC 9110 §15.5.2 (comme `SessionAuthController`) : ces 401 ne
-* portent pas de `WWW-Authenticate` — l'endpoint d'émission n'est pas une
-* ressource protégée par Bearer, il DÉLIVRE le Bearer.
+* @remarks Ces 401 portent le défi `Session realm="nodefony"` (RFC 9110
+* §15.5.2, posé par `SecurityApiController`) et non un `Bearer` : l'endpoint
+* d'émission n'est pas une ressource protégée par Bearer, il DÉLIVRE le Bearer.
 */
 var TokenAuthController = class extends SecurityApiController {
 	constructor(context) {

package/dist/nodefony/decorators/routerDecorators.js

@@ -1,6 +1,6 @@
-import { assertRouteSchemaShape } from "../src/routeSchema.js";
-import Controller from "../src/Controller.js";
 import router_default from "../service/router.js";
+import Controller from "../src/Controller.js";
+import { assertRouteSchemaShape } from "../src/routeSchema.js";
 import { BootConfigurationError, RequestContext } from "nodefony";
 import "reflect-metadata";
 // nodefony/decorators/routerDecorators.ts
@@ -97,6 +97,36 @@ function controllers(targets) {
 	};
 }
 /**
+* Applique à une route en cours de montage ce que la classe et la méthode
+* déclarent par décorateur : `@Domain` (hôte) et `@BypassFirewall`. Seule
+* implémentation de ces précédences — `@controller` et `@GrpcService` montent
+* leurs routes par elle.
+*
+* Précédences : `@route({ host })` > `@Domain` méthode > `@Domain` classe ;
+* option `bypassFirewall: true` > `@BypassFirewall` méthode > classe. Lecture
+* au montage, fail-closed : un oubli laisse la route gardée.
+*
+* @param ctor - la classe contrôleur.
+* @param options - les options de la route, complétées EN PLACE.
+* @param method - la méthode dont les décorateurs s'appliquent (celle du
+*   contrat pour une route gRPC, pas l'action de base).
+*
+* @internal
+*/
+function applyDeclaredRouteOptions(ctor, options, method) {
+	if (options.host === void 0) {
+		const methodDomain = method === void 0 ? void 0 : Reflect.getMetadata(DOMAIN_METHOD_METADATA, ctor, method);
+		const classDomain = Reflect.getMetadata(DOMAIN_CLASS_METADATA, ctor);
+		const domain = methodDomain ?? classDomain;
+		if (domain) options.host = domain;
+	}
+	if (options.bypassFirewall !== true) {
+		const methodBypass = method === void 0 ? void 0 : Reflect.getMetadata(BYPASS_FIREWALL_METHOD_METADATA, ctor, method);
+		const classBypass = Reflect.getMetadata(BYPASS_FIREWALL_CLASS_METADATA, ctor);
+		if (methodBypass === true || classBypass === true) options.bypassFirewall = true;
+	}
+}
+/**
 * Declaration Controller
 *
 * @param prefix - prefixage du router du controller.
@@ -124,17 +154,7 @@ function controller(prefix) {
 			let hasMagic = false;
 			for (const [name, options] of Object.entries(metadata)) {
 				options.prefix = prefix;
-				if (options.host === void 0) {
-					const methodDomain = options.classMethod === void 0 ? void 0 : Reflect.getMetadata(DOMAIN_METHOD_METADATA, mycontroller, options.classMethod);
-					const classDomain = Reflect.getMetadata(DOMAIN_CLASS_METADATA, mycontroller);
-					const domain = methodDomain ?? classDomain;
-					if (domain) options.host = domain;
-				}
-				if (options.bypassFirewall !== true) {
-					const methodBypass = options.classMethod === void 0 ? void 0 : Reflect.getMetadata(BYPASS_FIREWALL_METHOD_METADATA, mycontroller, options.classMethod);
-					const classBypass = Reflect.getMetadata(BYPASS_FIREWALL_CLASS_METADATA, mycontroller);
-					if (methodBypass === true || classBypass === true) options.bypassFirewall = true;
-				}
+				applyDeclaredRouteOptions(mycontroller, options, options.classMethod);
 				if (options.path === "*") {
 					hasMagic = {
 						options,
@@ -153,6 +173,72 @@ function controller(prefix) {
 function route(name, options) {
 	return defineRoute(name, options);
 }
+/** Plus long délai qu'un minuteur Node honore : au-delà, il tombe à 1 ms. */
+const MAX_TIMER_MS = 2147483647;
+/**
+* Valide l'option de route `responseTimeout` À LA DÉCLARATION : un entier de
+* 0 à 2³¹−1. Hors bornes, Node ramènerait le minuteur à 1 ms — chaque requête
+* de la route expirerait aussitôt, sans que rien ne dise pourquoi.
+*
+* @param value - l'option telle que déclarée (absente = celle du serveur).
+* @param className - classe du contrôleur, nommée dans l'erreur.
+* @param method - action, nommée dans l'erreur.
+* @returns la valeur validée, ou `undefined` si l'option est absente.
+* @throws BootConfigurationError qui nomme l'action et la borne.
+*/
+function checkedResponseTimeout(value, className, method) {
+	if (value === void 0) return void 0;
+	if (!Number.isInteger(value) || value < 0 || value > MAX_TIMER_MS) throw new BootConfigurationError(`${className}.${method} : « responseTimeout » entier entre 0 et ${MAX_TIMER_MS} ms attendu (reçu ${String(value)}).`);
+	return value;
+}
+/** Les bornes d'envoi chiffrées qu'une route peut régler pour elle-même. */
+const UPLOAD_LIMIT_KEYS = /* @__PURE__ */ new Set([
+	"maxFileSize",
+	"maxTotalFileSize",
+	"maxFiles",
+	"maxFields",
+	"maxFieldsSize"
+]);
+function isUploadLimitKey(key) {
+	return UPLOAD_LIMIT_KEYS.has(key);
+}
+/** Les empreintes que le flux d'envoi sait calculer. */
+function isUploadHash(value) {
+	return value === false || value === "sha1" || value === "md5" || value === "sha256";
+}
+/**
+* Valide l'option de route `upload` À LA DÉCLARATION : des entiers ≥ 1 pour
+* les bornes, une empreinte connue, aucune clé inconnue. Une faute de frappe
+* (`maxFilesize`) laisserait sinon la route sur la borne de l'application —
+* 500 Mo par défaut — sans que rien ne le dise.
+*
+* @param value - l'option telle que déclarée (absente = celles de la config).
+* @param bodyStream - la route laisse son corps en flux : ses bornes ne
+*   s'appliqueraient jamais, la déclaration est contradictoire.
+* @param className - classe du contrôleur, nommée dans l'erreur.
+* @param method - action, nommée dans l'erreur.
+* @returns les bornes validées, figées, sans clé `undefined` (la fusion sur
+*   la configuration ne doit rien écraser par du vide), ou `undefined`.
+* @throws BootConfigurationError qui nomme l'action et la clé fautive.
+*/
+function checkedUpload(value, bodyStream, className, method) {
+	if (value === void 0) return void 0;
+	const where = `${className}.${method} : « upload »`;
+	if (bodyStream) throw new BootConfigurationError(`${where} et « bodyStream: true » s'excluent — un corps laissé en flux n'est jamais lu par le pipeline, ses bornes ne s'appliqueraient pas.`);
+	const checked = {};
+	for (const [key, entry] of Object.entries(value)) {
+		if (entry === void 0) continue;
+		if (key === "hashAlgorithm") {
+			if (!isUploadHash(entry)) throw new BootConfigurationError(`${where} : « hashAlgorithm » vaut false, "sha1", "md5" ou "sha256" (reçu ${String(entry)}).`);
+			checked.hashAlgorithm = entry;
+			continue;
+		}
+		if (!isUploadLimitKey(key)) throw new BootConfigurationError(`${where} : clé inconnue « ${key} » — une route règle ${[...UPLOAD_LIMIT_KEYS].join(", ")} et hashAlgorithm ; le dossier et l'encodage restent ceux de la configuration.`);
+		if (typeof entry !== "number" || !Number.isSafeInteger(entry) || entry < 1) throw new BootConfigurationError(`${where} : « ${key} » entier ≥ 1 attendu (reçu ${String(entry)}).`);
+		checked[key] = entry;
+	}
+	return Object.freeze(checked);
+}
 /** L'implémentation de {@link route}, sans les surcharges de typage. */
 function defineRoute(name, options) {
 	return function(target, propertyKey, descriptor) {
@@ -190,7 +276,9 @@ function defineRoute(name, options) {
 			defaults: options.defaults,
 			requirements: options.requirements,
 			bypassFirewall: options.bypassFirewall,
-			fallback: options.fallback
+			fallback: options.fallback,
+			responseTimeout: checkedResponseTimeout(options.responseTimeout, className, propertyKey),
+			upload: checkedUpload(options.upload, options.bodyStream === true, className, propertyKey)
 		};
 		Reflect.defineMetadata(metadataKey, metadata, target.constructor);
 		return descriptor;
@@ -1176,4 +1264,4 @@ function computeAuthenticationRequirement(ctor, method) {
 		amr: Object.freeze([.../* @__PURE__ */ new Set([...onClass.amr, ...onMethod.amr])])
 	});
 }
-export { All, Anonymous, BYPASS_FIREWALL_CLASS_METADATA, BYPASS_FIREWALL_METHOD_METADATA, Body, BypassFirewall, Cookie, Csp, CsrfExempt, CsrfProtect, CurrentUser, DOMAIN_CLASS_METADATA, DOMAIN_METHOD_METADATA, Delete, Domain, Get, HEADERS_METADATA, HTTP_CODE_METADATA, Head, Header, Headers, HttpCode, Idempotent, IsGranted, Options, PARAM_ARGS_METADATA, Param, Patch, Post, Put, Query, REDIRECT_METADATA, Redirect, Req, RequireAuthentication, RequireScope, Res, Scope, Session, USE_SESSION_CLASS_METADATA, USE_SESSION_METHOD_METADATA, UploadedFile, UploadedFiles, UseSession, assertRouteSchemaDeclaration, buildContextParamArgs, buildParamArgs, computeActionMeta, controller, controllers, extractActionScopes, getParamArgsMeta, getRouteSchema, readInvocationBody, readRouteInput, resolveActionMeta, resolveParamArg, resolveSessionIntent, route, routeExpectsBodyStream };
+export { All, Anonymous, BYPASS_FIREWALL_CLASS_METADATA, BYPASS_FIREWALL_METHOD_METADATA, Body, BypassFirewall, Cookie, Csp, CsrfExempt, CsrfProtect, CurrentUser, DOMAIN_CLASS_METADATA, DOMAIN_METHOD_METADATA, Delete, Domain, Get, HEADERS_METADATA, HTTP_CODE_METADATA, Head, Header, Headers, HttpCode, Idempotent, IsGranted, Options, PARAM_ARGS_METADATA, Param, Patch, Post, Put, Query, REDIRECT_METADATA, Redirect, Req, RequireAuthentication, RequireScope, Res, Scope, Session, USE_SESSION_CLASS_METADATA, USE_SESSION_METHOD_METADATA, UploadedFile, UploadedFiles, UseSession, applyDeclaredRouteOptions, assertRouteSchemaDeclaration, buildContextParamArgs, buildParamArgs, computeActionMeta, controller, controllers, extractActionScopes, getParamArgsMeta, getReservedActionNames, getRouteSchema, readInvocationBody, readRouteInput, resolveActionMeta, resolveParamArg, resolveSessionIntent, route, routeExpectsBodyStream };