@nodefony/framework 10.0.0-beta.5 → 10.0.0-beta.7

package/dist/nodefony/src/Resolver.js

@@ -3,9 +3,13 @@ import { validateRouteInput } from "./routeSchema.js";
 import { buildParamArgs, computeActionMeta, readInvocationBody, readRouteInput, resolveActionMeta, resolveSessionIntent } from "../decorators/routerDecorators.js";
 import { computeFingerprint, evaluateIdempotency, isMutationMethod, resolveIdempotencyKey, resolveIdentity } from "./idempotency.js";
 import { authenticationShortfall, stepUpChallenge } from "./requireAuthentication.js";
-import { RequestContext, finallyMaybe, identityHint, isArray, isPlainObject, isPromise, nodefonyError, thenMaybe, typeOf } from "nodefony";
-import { Http2Response, HttpResponse, WebsocketResponse } from "@nodefony/http";
+import { RequestContext, finallyMaybe, identityHint, isArray, isPlainObject, isPromise, nodefonyError, thenMaybe } from "nodefony";
+import { Http2Response, HttpResponse, WebsocketResponse, isContentlessStatus } from "@nodefony/http";
+import { Buffer } from "node:buffer";
+import { Readable } from "node:stream";
 // nodefony/src/Resolver.ts
+/** Une annulation qui échoue (flux déjà fermé) n'a plus personne à prévenir. */
+const IGNORE_CANCEL_ERROR = () => void 0;
 /**
 * Résout une route vers son couple controller/action et exécute l'action —
 * UN Resolver est alloué par requête HTTP (et par connexion WS, réutilisé
@@ -56,12 +60,12 @@ var Resolver = class {
 	*/
 	queryOverride = null;
 	/**
-	* Méthode HTTP **logique** d'une invocation par le pont WS-RPC `api.request`
-	* quand c'est une MUTATION (POST/PUT/PATCH/DELETE). Posée par
-	* `Router.resolve(ctx, cleanPath, methodOverride)` → consommée par `match()`
-	* pour désambiguïser, sur le transport WEBSOCKET unique, la route logique
-	* visée (cf `Route.matchRequirements`). `null` (GET/HTTP) = match historique
-	* sur `context.method`.
+	* Méthode HTTP **logique** d'une invocation par le pont WS-RPC `api.request`,
+	* GET compris. Posée par `Router.resolve(ctx, cleanPath, methodOverride)` →
+	* consommée par `match()` pour désambiguïser, sur le transport WEBSOCKET
+	* unique, la route logique visée (règle `bridgeServesVerb` du cœur, cf
+	* `Route.matchRequirements`). `null` (requête HTTP, ouverture de socket) =
+	* match sur `context.method`.
 	*/
 	methodOverride = null;
 	/**
@@ -396,7 +400,7 @@ var Resolver = class {
 	* (`returnController`) — le chemin du **pont `api.request`** (WS) : la valeur
 	* nue est enveloppée `{id, result}` par le peer, jamais rendue sur le
 	* transport. La méthode HTTP logique d'une mutation du pont voyage dans
-	* {@link methodOverride} ; sans porte ici, un rejeu `socket.mutate` (socket
+	* {@link methodOverride} ; sans porte ici, un rejeu `socket.post` (socket
 	* qui reconnecte) ré-exécuterait la mutation (doublon — vécu au banc duplex).
 	*
 	* @returns `{ result }` — la valeur retournée par l'action (ou la réponse
@@ -431,6 +435,8 @@ var Resolver = class {
 	async _callWithIdempotency(meta, data, reload = false) {
 		const context = this.context;
 		if (!isMutationMethod(this.methodOverride ?? context.method)) return this.executeAction(data, reload, meta);
+		if (this.preAuthorized) this.preAuthorized = false;
+		else await this._enforceActionSecurity(meta);
 		const als = RequestContext.get();
 		const httpReq = context.request;
 		const params = this._zipRouteParams();
@@ -463,6 +469,7 @@ var Resolver = class {
 				redirectMeta: void 0
 			};
 		}
+		this.preAuthorized = true;
 		if (verdict.kind === "execute") return this.executeAction(data, reload, meta);
 		try {
 			const { result, redirectMeta } = await this.executeAction(data, reload, meta);
@@ -631,7 +638,15 @@ var Resolver = class {
 	/**
 	* Rend la valeur d'une action sur le transport, selon sa nature : promesse
 	* (démêlée puis re-rendue), texte, Buffer, réponse déjà construite, scalaire
-	* ou objet (auto-JSON), rien (l'action envoie elle-même).
+	* ou objet (auto-JSON), rien (l'action envoie elle-même) — et, en HTTP, une
+	* `Response` Web standard (`fetch()`, `new Response(…)`, `Response.json(…)`)
+	* ou un flux d'octets nu (`Readable` Node, `ReadableStream` Web), envoyés EN
+	* FLUX par `HttpContext.openWebResponse` / `HttpContext.openStream`.
+	*
+	* Ces deux-là sont reconnus APRÈS l'objet simple et le tableau : l'auto-JSON,
+	* le cas courant, ne paie aucun test de plus. Une réponse déjà partie
+	* (`sended`) n'est jamais réécrite ; une `Response` renvoyée en plus voit
+	* alors son corps annulé, pour ne pas retenir l'amont.
 	*
 	* Pas `async` : l'envelopper dans une promesse de plus ne changeait rien au
 	* rendu, et coûtait une suspension à chaque requête (#505). La valeur n'est
@@ -643,45 +658,70 @@ var Resolver = class {
 	* @throws de façon SYNCHRONE ce que lève un envoi synchrone.
 	*/
 	returnController(result) {
-		const type = typeOf(result);
-		switch (true) {
-			case result instanceof Promise:
-			case isPromise(result): return result.then((myresult) => this.returnController(myresult));
-			case type === "string":
-			case result instanceof String: return this.context.send(result);
-			case result instanceof Http2Response:
-			case result instanceof HttpResponse:
-			case result instanceof WebsocketResponse: return result;
-			case type === "buffer":
-				if (this.context.sended) return;
-				return this.context.send(result);
-			case type === "number":
-			case type === "boolean":
+		if (isPromise(result)) return result.then((myresult) => this.returnController(myresult));
+		switch (typeof result) {
+			case "object":
+				if (result === null) break;
+				return this.returnObject(result);
+			case "string": return this.context.send(result);
+			case "number":
+			case "boolean":
 				if (this.context.sended) return;
 				this.context.setContextJson();
 				return this.context.render(result);
-			case type === "array":
-			case type === "object":
-				if (this.context.sended) return;
-				if (isPlainObject(result) || isArray(result)) {
-					this.context.setContextJson();
-					return this.context.render(result);
-				}
-				switch (this.context.type) {
-					case "http":
-						this.context.waitAsync = true;
-						this.unrendered = `une instance de ${(typeof result === "object" && result !== null ? result.constructor.name : void 0) ?? "classe"}`;
-				}
-				return;
-			default: switch (this.context.type) {
-				case "http":
-					if (this.context.sended) return;
-					if (this.context.isRedirect) return this.context.send();
-					if (NO_BODY_STATUS.has(this.getResponseStatus())) return this.context.send();
-					this.context.waitAsync = true;
-					this.unrendered = result === null ? "null" : typeof result;
-			}
 		}
+		return this.returnNothing(result);
+	}
+	/**
+	* Aiguille une valeur OBJET rendue par l'action — dans l'ordre de fréquence :
+	* le tableau et l'objet simple (auto-JSON) d'abord, les instances rares
+	* ensuite. Partie de {@link Resolver.returnController}.
+	*
+	* @param result - un objet non nul.
+	* @returns ce que rend l'envoi, ou `undefined` quand il n'y a rien à envoyer.
+	*/
+	returnObject(result) {
+		const context = this.context;
+		if (isArray(result) || isPlainObject(result)) {
+			if (context.sended) return;
+			context.setContextJson();
+			return context.render(result);
+		}
+		if (Buffer.isBuffer(result)) {
+			if (context.sended) return;
+			return context.send(result);
+		}
+		if (result instanceof String) return context.send(result.valueOf());
+		if (result instanceof HttpResponse || result instanceof Http2Response || result instanceof WebsocketResponse) return result;
+		if (context.sended) {
+			if (result instanceof Response) result.body?.cancel().catch(IGNORE_CANCEL_ERROR);
+			return;
+		}
+		if (result instanceof Date || result instanceof RegExp || result instanceof Error) return this.returnNothing(result);
+		if (context.type === "http") {
+			if (result instanceof Response) return context.openWebResponse(result);
+			if (result instanceof Readable || result instanceof ReadableStream) return context.openStream(result);
+			context.waitAsync = true;
+			this.unrendered = `une instance de ${result.constructor.name || "classe"}`;
+		}
+	}
+	/**
+	* Ce qui arrive quand l'action ne rend RIEN d'envoyable (`undefined`,
+	* `null`, une fonction…) : en HTTP, la redirection posée ou le statut sans
+	* corps part ; sinon la requête est marquée non rendue (`waitAsync`). Partie
+	* de {@link Resolver.returnController}.
+	*
+	* @param result - la valeur rendue par l'action.
+	* @returns l'envoi d'une redirection ou d'un statut sans corps, sinon `undefined`.
+	*/
+	returnNothing(result) {
+		if (this.context.type !== "http") return;
+		const context = this.context;
+		if (context.sended) return;
+		if (context.isRedirect) return context.send();
+		if (isContentlessStatus(this.getResponseStatus())) return context.send();
+		context.waitAsync = true;
+		this.unrendered = result === null ? "null" : typeof result;
 	}
 	/** Statut courant de la réponse (0 si le transport n'en porte pas). */
 	getResponseStatus() {
@@ -713,10 +753,4 @@ var Resolver = class {
 		throw new nodefonyError(identityHint(this.context.kernel) === null ? "Authentication required" : `Authentication required — ${cause}. Reconnectez-vous (\`@RequireAuthentication\` de la route).`, 401);
 	}
 };
-/** Statuts dont la réponse n'a, par définition, pas de corps (RFC 9110). */
-const NO_BODY_STATUS = /* @__PURE__ */ new Set([
-	204,
-	205,
-	304
-]);
 export { Resolver as default };

package/dist/nodefony/src/Route.js

@@ -1,4 +1,4 @@
-import { escapeRegExp, stripTrailingSlashes, typeOf } from "nodefony";
+import { bridgeServesVerb, escapeRegExp, stripTrailingSlashes, typeOf } from "nodefony";
 import { HttpError, compileDomainPatterns, isDomainAllowed } from "@nodefony/http";
 import { createHash } from "node:crypto";
 // nodefony/src/Route.ts
@@ -125,6 +125,24 @@ function withDeclaredMethod(requirements, method) {
 function isSecureScheme(scheme) {
 	return scheme === "https" || scheme === "wss";
 }
+/**
+* Un refus de route (méthode, domaine, schéma, protocole) SANS pile : c'est un
+* verdict que le routeur RATTRAPE pour essayer la route suivante — deux routes
+* sur un même chemin (`GET` et `POST /x`) le lèvent à chaque requête qui
+* croise la voisine. La pile, toujours la même, coûterait ~3,6 µs par refus
+* (`micro-error-path.mjs`) pour ne rien dire de la requête.
+*
+* @param message - le motif lisible.
+* @param code - statut HTTP (ou code de fermeture WebSocket).
+* @param type - la famille du refus (`method`, `domain`, `scheme`, `protocol`).
+* @param allow - les méthodes servies, pour l'en-tête `Allow` d'un 405.
+*/
+function routeRefusal(message, code, type, allow) {
+	const error = HttpError.withoutStack(message, code);
+	error.type = type;
+	if (allow !== void 0) error.allow = allow;
+	return error;
+}
 var Route = class Route {
 	name;
 	path;
@@ -172,6 +190,13 @@ var Route = class Route {
 	/** Route de repli, résolue après toutes les autres. Cf {@link RouteOptions.fallback}. */
 	fallback = false;
 	/**
+	* Délai de réponse PROPRE à la route (ms), `null` = celui du serveur.
+	* Cf {@link RouteOptions.responseTimeout}.
+	*/
+	responseTimeout = null;
+	/** Bornes d'envoi propres à la route. Cf {@link RouteOptions.upload}. */
+	upload = null;
+	/**
 	* P2.9 — Cache mémoïsé : l'action attend-elle le **flux brut** du body
 	* (`@Body({ stream:true })`) ? `undefined` = pas encore calculé (résolu au 1er
 	* `routeExpectsBodyStream(route)` via lecture `Reflect` des `ParamMeta`, O(1)
@@ -179,6 +204,13 @@ var Route = class Route {
 	*/
 	bodyStream;
 	/**
+	* Route servie par un point d'entrée gRPC — posé au démarrage par
+	* `markGrpcRoute` (`@nodefony/http/grpc`), jamais à la main.
+	*
+	* @experimental Surface gRPC, ADR-0026 D11.
+	*/
+	grpc;
+	/**
 	* P5 — Metadata d'action figées (`@HttpCode`/`@Header`/`@Redirect`/params/
 	* session), memo au 1er hit comme {@link bodyStream} : `undefined` = pas
 	* encore résolu (via `resolveActionMeta`, 1 lecture Reflect par route, O(1)
@@ -208,6 +240,8 @@ var Route = class Route {
 			this.bypassFirewall = obj.bypassFirewall ?? false;
 			this.areaRoleExempt = obj.areaRoleExempt ?? false;
 			this.fallback = obj.fallback ?? false;
+			this.responseTimeout = obj.responseTimeout ?? null;
+			this.upload = obj.upload ?? null;
 			this.compile();
 		}
 		this.generateId();
@@ -409,7 +443,9 @@ var Route = class Route {
 			variables: this.variables,
 			bypassFirewall: this.bypassFirewall,
 			areaRoleExempt: this.areaRoleExempt,
-			fallback: this.fallback
+			fallback: this.fallback,
+			responseTimeout: this.responseTimeout,
+			upload: this.upload
 		};
 	}
 	setDefaults(arg) {
@@ -449,10 +485,7 @@ var Route = class Route {
 	matchHostname(context) {
 		if (this.hostRegexp) {
 			if (isDomainAllowed(this.hostRegexp, context.domain)) return true;
-			const error = new HttpError(`Domain ${context.domain} Forbidden for this route`);
-			error.code = 403;
-			error.type = "domain";
-			throw error;
+			throw routeRefusal(`Domain ${context.domain} Forbidden for this route`, 403, "domain");
 		}
 		return true;
 	}
@@ -489,42 +522,19 @@ var Route = class Route {
 		return Object.keys(this.requirements).length;
 	}
 	matchRequirements(context, methodOverride) {
-		if (this.requirements.methods === void 0 && (methodOverride !== void 0 || context.method === "WEBSOCKET")) {
-			const error = new HttpError(`Method ${methodOverride ?? "WEBSOCKET"} Not Allowed`);
-			error.code = 405;
-			error.type = "method";
-			error.allow = "";
-			throw error;
-		}
+		if (this.requirements.methods === void 0 && (methodOverride !== void 0 || context.method === "WEBSOCKET")) throw routeRefusal(`Method ${methodOverride ?? "WEBSOCKET"} Not Allowed`, 405, "method", "");
 		if (this.hasRequirements()) for (const i in this.requirements) switch (i) {
 			case "methods":
 				if (!this.methodsSet) throw new Error(`Bad config route method : ${String(this.requirements.methods)}`);
 				if (methodOverride !== void 0) {
-					if (!this.methodsSet.has("WEBSOCKET") || !this.methodsSet.has(methodOverride)) {
-						const error = new HttpError(`Method ${methodOverride} Not Allowed`);
-						error.code = 405;
-						error.type = "method";
-						error.allow = this.methodsAllow ?? "";
-						throw error;
-					}
+					if (!bridgeServesVerb(this.methodsSet, methodOverride)) throw routeRefusal(`Method ${methodOverride} Not Allowed`, 405, "method", this.methodsAllow ?? "");
 					break;
 				}
-				if (!this.methodsSet.has(context.method)) {
-					const error = new HttpError(`Method ${context.method} Not Allowed`);
-					error.code = 405;
-					error.type = "method";
-					error.allow = this.methodsAllow ?? "";
-					throw error;
-				}
+				if (!this.methodsSet.has(context.method)) throw routeRefusal(`Method ${context.method} Not Allowed`, 405, "method", this.methodsAllow ?? "");
 				break;
 			case "scheme": {
 				const required = this.requirements.scheme;
-				if (required !== void 0 && isSecureScheme(required) !== isSecureScheme(context.scheme)) {
-					const error = new HttpError(`Scheme ${context.scheme} Forbidden for this route : ${required} required`);
-					error.code = 403;
-					error.type = "scheme";
-					throw error;
-				}
+				if (required !== void 0 && isSecureScheme(required) !== isSecureScheme(context.scheme)) throw routeRefusal(`Scheme ${context.scheme} Forbidden for this route : ${required} required`, 403, "scheme");
 				break;
 			}
 			case "domain": break;
@@ -532,18 +542,8 @@ var Route = class Route {
 				const requirement = this.requirements[i];
 				if (!requirement) return true;
 				if (typeof requirement === "string") {
-					if (context.acceptedProtocol !== requirement) {
-						const error = new HttpError(`Protocol ${context.acceptedProtocol} Not Supported`);
-						error.code = 1002;
-						error.type = "protocol";
-						throw error;
-					}
-				} else {
-					const error = new HttpError(`Protocol ${context.acceptedProtocol} Not Supported`);
-					error.code = 1002;
-					error.type = "protocol";
-					throw error;
-				}
+					if (context.acceptedProtocol !== requirement) throw routeRefusal(`Protocol ${context.acceptedProtocol} Not Supported`, 1002, "protocol");
+				} else throw routeRefusal(`Protocol ${context.acceptedProtocol} Not Supported`, 1002, "protocol");
 			}
 		}
 		return true;

package/dist/nodefony/src/SecurityApiController.js

@@ -1,23 +1,46 @@
 import Controller from "./Controller.js";
+import { SESSION_AUTH_CHALLENGE } from "nodefony";
 // nodefony/src/SecurityApiController.ts
 const NO_STORE = { "cache-control": "no-store" };
 /**
+* En-têtes d'un 401 : ceux reçus, plus le défi par défaut
+* ({@link SESSION_AUTH_CHALLENGE}) s'ils n'en portent aucun — RFC 9110 §15.5.2
+* exige un `WWW-Authenticate` sur TOUT 401. Un défi posé par l'appelant (un
+* `Bearer` de ressource protégée, par exemple) garde la main.
+*
+* Chemin froid : n'est appelé que pour un 401.
+*
+* @param headers - les en-têtes déjà prévus pour la réponse.
+* @returns les mêmes en-têtes, défi compris.
+*/
+function withAuthChallenge(headers) {
+	if (headers !== void 0) {
+		for (const name in headers) if (name.toLowerCase() === "www-authenticate") return { ...headers };
+	}
+	return {
+		...headers,
+		"www-authenticate": SESSION_AUTH_CHALLENGE
+	};
+}
+/**
 * Base des contrôleurs d'authentification (`/nodefony/security/api/*`) : toute
-* réponse JSON part en `Cache-Control: no-store`.
+* réponse JSON part en `Cache-Control: no-store`, et tout 401 porte un défi.
 *
 * Ces réponses portent une identité, un jeton, un secret affiché une seule
 * fois (clé API, secret TOTP, codes de récupération) ou leur refus. Un cookie
 * ou un en-tête dans la requête n'empêche pas un cache partagé de STOCKER la
-* réponse (RFC 9111 §3) ; RFC 6749 §5.1 exige `no-store` sur un jeton. La règle
-* vit ici, une fois : une action ajoutée à un contrôleur héritier ne peut pas
-* l'oublier. Un en-tête passé par l'action garde la priorité.
+* réponse (RFC 9111 §3) ; RFC 6749 §5.1 exige `no-store` sur un jeton. Un 401
+* reçoit le défi par défaut ({@link withAuthChallenge}, RFC 9110 §15.5.2). Ces
+* règles vivent ici, une fois : une action ajoutée à un contrôleur héritier ne
+* peut pas les oublier. Un en-tête passé par l'action garde la priorité.
 */
 var SecurityApiController = class extends Controller {
 	renderJson(obj, status, headers) {
-		return super.renderJson(obj, status, {
+		const merged = {
 			...NO_STORE,
 			...headers
-		});
+		};
+		return super.renderJson(obj, status, Number(status) === 401 ? withAuthChallenge(merged) : merged);
 	}
 };
-export { SecurityApiController as default };
+export { SecurityApiController as default, withAuthChallenge };

package/dist/nodefony/src/conditionalRequest.js

@@ -0,0 +1,103 @@
+// nodefony/src/conditionalRequest.ts
+/** Une `entity-tag` (RFC 9110 §8.8.3) : `W/` facultatif, puis une chaîne entre guillemets. */
+const ENTITY_TAG = /(?:W\/)?"[^"]*"/g;
+/**
+* Validateurs d'un fichier, tirés de ses métadonnées sans le lire.
+*
+* L'`ETag` est FORTE : taille et date de modification à la microseconde, deux
+* grandeurs qu'une écriture change. C'est la forme que posent les serveurs de
+* fichiers courants, et la seule qui autorise une reprise (§13.1.5).
+*
+* @param stats - taille et date de modification du fichier
+* @param now - instant de la réponse (ms)
+* @returns les validateurs du fichier
+*/
+function fileValidators(stats, now) {
+	const micros = Math.floor(stats.mtimeMs * 1e3);
+	const seconds = Math.floor(Math.min(stats.mtimeMs, now) / 1e3) * 1e3;
+	return {
+		etag: `"${stats.size.toString(16)}-${micros.toString(16)}"`,
+		lastModified: seconds,
+		lastModifiedStrong: stats.mtimeMs + 1e3 <= now
+	};
+}
+/**
+* Date HTTP (RFC 9110 §5.6.7) lue en ms, ou `null` si la valeur n'en est pas
+* une — une condition sur une date invalide DOIT être ignorée (§13.1.3, §13.1.4).
+*
+* @param value - valeur brute de l'en-tête
+*/
+function parseHttpDate(value) {
+	if (value === void 0) return null;
+	const ms = Date.parse(value);
+	return Number.isNaN(ms) ? null : ms;
+}
+/** Les `entity-tag` d'une liste, ou `"*"`. */
+function entityTags(value) {
+	if (value.trim() === "*") return "*";
+	return value.match(ENTITY_TAG) ?? [];
+}
+/** Partie opaque d'une `entity-tag` (sans `W/`). */
+function opaque(tag) {
+	return tag.startsWith("W/") ? tag.slice(2) : tag;
+}
+/** Comparaison FORTE (§8.8.3.2) : aucune des deux n'est faible, et elles sont identiques. */
+function strongMatch(a, b) {
+	return !a.startsWith("W/") && !b.startsWith("W/") && a === b;
+}
+/** Comparaison FAIBLE (§8.8.3.2) : parties opaques identiques. */
+function weakMatch(a, b) {
+	return opaque(a) === opaque(b);
+}
+/**
+* Évalue les préconditions d'une requête sur une représentation qui EXISTE,
+* dans l'ordre de RFC 9110 §13.2.2 — `If-Match`, sinon `If-Unmodified-Since` ;
+* puis `If-None-Match`, sinon `If-Modified-Since`. `Range` et `If-Range`
+* viennent après, s'il faut servir (voir {@link ifRangeHolds}).
+*
+* @param method - méthode de la requête
+* @param headers - en-têtes de la requête
+* @param validators - validateurs de la représentation
+* @returns 200 pour servir, 304 si rien n'a changé (GET et HEAD seulement),
+*   412 si une condition est fausse
+*/
+function evaluatePreconditions(method, headers, validators) {
+	const read = method === "GET" || method === "HEAD";
+	const ifMatch = headers["if-match"];
+	if (ifMatch !== void 0) {
+		const tags = entityTags(ifMatch);
+		const { etag } = validators;
+		if (!(tags === "*" || etag !== null && tags.some((tag) => strongMatch(tag, etag)))) return 412;
+	} else {
+		const since = parseHttpDate(headers["if-unmodified-since"]);
+		if (since !== null && validators.lastModified !== null && validators.lastModified > since) return 412;
+	}
+	const ifNoneMatch = headers["if-none-match"];
+	if (ifNoneMatch !== void 0) {
+		const tags = entityTags(ifNoneMatch);
+		const { etag } = validators;
+		if (tags === "*" || etag !== null && tags.some((tag) => weakMatch(tag, etag))) return read ? 304 : 412;
+	} else if (read) {
+		const since = parseHttpDate(headers["if-modified-since"]);
+		if (since !== null && validators.lastModified !== null && validators.lastModified <= since) return 304;
+	}
+	return 200;
+}
+/**
+* Une condition `If-Range` tient-elle (RFC 9110 §13.1.5) ? Vraie, la plage
+* demandée est servie (206) ; fausse, `Range` est ignoré et la représentation
+* part entière (200) — un client ne recolle jamais deux versions.
+*
+* Une étiquette tient si elle est FORTEMENT égale ; une date, si elle égale
+* exactement `Last-Modified` ET que celle-ci est un validateur fort.
+*
+* @param value - valeur brute de `If-Range`
+* @param validators - validateurs de la représentation
+*/
+function ifRangeHolds(value, validators) {
+	const trimmed = value.trim();
+	if (trimmed.startsWith("\"") || trimmed.startsWith("W/")) return validators.etag !== null && strongMatch(trimmed, validators.etag);
+	const date = parseHttpDate(trimmed);
+	return date !== null && validators.lastModifiedStrong && validators.lastModified === date;
+}
+export { evaluatePreconditions, fileValidators, ifRangeHolds, parseHttpDate };

package/dist/nodefony/src/docsReader.js

@@ -1,10 +1,10 @@
 import { basename, dirname, extname, join } from "node:path";
 import { findProjectRoot, isDocVisible, packageManagerCommandLines, packageManagerExecArgs, portableSpawn, readDocScope, readSymbolsGraph, resolvePackageManager } from "nodefony";
 import { existsSync } from "node:fs";
-import { promisify } from "node:util";
 import { readFile, readdir, stat } from "node:fs/promises";
 import { fileURLToPath } from "node:url";
 import { execFile, spawn } from "node:child_process";
+import { promisify } from "node:util";
 // nodefony/src/docsReader.ts
 const execFileAsync = promisify(execFile);
 /**

package/dist/nodefony/src/idempotency.js

@@ -3,7 +3,7 @@ import { createHash } from "node:crypto";
 // nodefony/src/idempotency.ts
 /**
 * Logique **pure et partagée** de la porte d'idempotence des mutations, conforme à
-* `draft-ietf-httpapi-idempotency-key-header-06`. Source unique de la sémantique
+* `draft-ietf-httpapi-idempotency-key-header-08`. Source unique de la sémantique
 * (statuts normatifs, scope de clé, fingerprint, bornage) consommée par les DEUX
 * call-sites qui mutent :
 *  - le **data plane admin** (`AdminApiController` — réponse `{status,headers,body}`) ;

package/dist/nodefony/src/loginPage.js

@@ -1,4 +1,4 @@
-import { LOGIN_PAGE_ASSETS_BASE, LOGIN_PAGE_LAYOUTS, LOGIN_PAGE_SKINS, LOGIN_PAGE_SKIN_SPECS, LOGIN_PAGE_THEME_KEY, OAUTH2_CANCELLED_REASON, isLoginPageSkin, loginPageSkinFile, oauth2AuthorizePath, safeRedirectPath } from "nodefony";
+import { CSP_NONCE_META_PROPERTY, LOGIN_PAGE_ASSETS_BASE, LOGIN_PAGE_LAYOUTS, LOGIN_PAGE_SKINS, LOGIN_PAGE_SKIN_SPECS, LOGIN_PAGE_THEME_KEY, OAUTH2_CANCELLED_REASON, isLoginPageSkin, loginPageSkinFile, oauth2AuthorizePath, safeRedirectPath } from "nodefony";
 // nodefony/src/loginPage.ts
 /**
 * Mémoïse une ressource chargée de façon asynchrone : le SUCCÈS est gardé, un
@@ -158,6 +158,7 @@ const LOGIN_PAGE_TEMPLATE = `<!doctype html>
     <meta name="viewport" content="width=device-width, initial-scale=1" />
     <meta name="color-scheme" content="dark light" />
     <meta name="robots" content="noindex" />
+    <% if (it.nonce) { %><meta property="${CSP_NONCE_META_PROPERTY}" nonce="<%= it.nonce %>"><% } %>
     <title><%= it.title %> — <%= it.brand %></title>
     <link rel="icon" href="<%= it.logoHref %>" type="image/svg+xml" />
 <% if (!it.theme) { %>
@@ -210,7 +211,7 @@ const LOGIN_PAGE_TEMPLATE = `<!doctype html>
           </p>
           <ul class="badges">
             <li class="agentic">Agentic ready</li>
-            <li>Node.js ≥ 24.14</li>
+            <li>Node.js 24.16+ ou 26+</li>
             <li>TypeScript strict</li>
             <li>ESM only</li>
             <li>Licence Apache 2.0</li>

package/dist/nodefony/src/scopeCatalog.js

@@ -1,5 +1,5 @@
-import { extractActionScopes } from "../decorators/routerDecorators.js";
 import router_default from "../service/router.js";
+import { extractActionScopes } from "../decorators/routerDecorators.js";
 // nodefony/src/scopeCatalog.ts
 /**
 * P6.8 — **Découverte au boot** : scanne TOUTES les routes montées (`Router.routes`)

package/dist/nodefony/src/viewNonce.js

@@ -0,0 +1,58 @@
+// nodefony/src/viewNonce.ts
+/**
+* Signature CSP des vues : chaque `<script>` et `<style>` ÉCRIT dans un
+* gabarit reçoit le nonce de la requête, sans geste de l'auteur.
+*
+* La politique par défaut exige un nonce sur les scripts (`'strict-dynamic'`)
+* et sur les styles (ADR-0024 §C1, §C2). Une page écrite vite, par quelqu'un
+* qui ignore tout de la CSP, ne doit pas être bloquée (§C0) : la signature se
+* pose donc au rendu, par le framework.
+*
+* Elle porte sur le TEXTE DU GABARIT, avant que les données y soient insérées :
+* une balise que les données apporteraient (une valeur insérée brute par
+* `<%~ %>`) n'est jamais signée — c'est ce qui garde au nonce sa valeur contre
+* l'injection. Même principe que l'`index.html` d'un front bâti
+* (`prebuiltUi.ts#splitAroundNonce`).
+*/
+/** Variable de vue qui porte le nonce CSP de la requête (`<%= cspNonce %>`). */
+const VIEW_NONCE_LOCAL = "cspNonce";
+/** Ouverture d'une balise `<script` ou `<style` qui ne porte pas de `nonce`. */
+const UNSIGNED_TAG_OPEN = /<(script|style)\b(?![^>]*\bnonce\s*=)/giu;
+/** Une balise Eta (`<% %>`, `<%= %>`, `<%~ %>`) : du code, jamais du balisage. */
+const ETA_TAG = /<%[\s\S]*?%>/gu;
+/** Attribut inséré : le nonce, lu dans les variables de la vue à chaque rendu. */
+const NONCE_ATTRIBUTE = ` nonce="<%= it.${VIEW_NONCE_LOCAL} %>"`;
+/**
+* Ajoute le nonce de la requête à chaque `<script>` et `<style>` littéral du
+* gabarit qui n'en porte pas.
+*
+* Une balise déjà signée par l'auteur est laissée telle quelle ; un `<script`
+* écrit À L'INTÉRIEUR d'une balise Eta (une chaîne de code) n'est jamais
+* touché. Un `<script>` dont un attribut vient des données
+* (`src="<%= it.url %>"`) n'est pas signé non plus : le signer exécuterait
+* l'URL qu'elles apportent. L'auteur qui la tient pour sûre signe lui-même
+* (`nonce="<%= it.cspNonce %>"`). Le rendu doit fournir la variable
+* {@link VIEW_NONCE_LOCAL}.
+*
+* @param source - texte du gabarit Eta, tel que lu sur le disque.
+* @returns le gabarit signé — la MÊME chaîne quand il n'y a rien à signer.
+*/
+function signTemplateTags(source) {
+	UNSIGNED_TAG_OPEN.lastIndex = 0;
+	if (!UNSIGNED_TAG_OPEN.test(source)) return source;
+	let etaRanges = null;
+	ETA_TAG.lastIndex = 0;
+	for (let m = ETA_TAG.exec(source); m !== null; m = ETA_TAG.exec(source)) (etaRanges ??= []).push(m.index, m.index + m[0].length);
+	return source.replace(UNSIGNED_TAG_OPEN, (tag, name, offset) => {
+		if (etaRanges !== null) for (let i = 0; i < etaRanges.length; i += 2) {
+			const start = etaRanges[i] ?? 0;
+			if (start > offset) {
+				if (name.toLowerCase() === "script" && start < source.indexOf(">", offset)) return tag;
+				break;
+			}
+			if (offset < (etaRanges[i + 1] ?? 0)) return tag;
+		}
+		return tag + NONCE_ATTRIBUTE;
+	});
+}
+export { VIEW_NONCE_LOCAL, signTemplateTags };

package/dist/types/index.d.ts

@@ -16,6 +16,7 @@ import IssuerMetadataController, { mountIssuerMetadataRoutes } from "./nodefony/
 import ProtectedResourceMetadataController, { mountProtectedResourceRoutes, protectedResourceRoutePaths, collectProtectedResources } from "./nodefony/controller/ProtectedResourceMetadataController.js";
 import WebAuthnController, { mountWebAuthnRoutes } from "./nodefony/controller/WebAuthnController.js";
 import OAuth2Controller, { mountOAuth2Routes } from "./nodefony/controller/OAuth2Controller.js";
+import CspReportController, { mountCspReportRoute } from "./nodefony/controller/CspReportController.js";
 import BenchController, { mountBenchRoutes } from "./nodefony/controller/BenchController.js";
 import ApiKeyController, { mountApiKeyRoutes } from "./nodefony/controller/ApiKeyController.js";
 import TotpController, { mountTotpRoutes } from "./nodefony/controller/TotpController.js";
@@ -24,9 +25,10 @@ import { createFrameworkAdminApi } from "./nodefony/src/FrameworkAdminApi.js";
 import { buildPlaygroundSnapshot } from "./nodefony/src/PlaygroundAdminApi.js";
 import { createSyslogAdminApi } from "./nodefony/src/SyslogAdminApi.js";
 import Eta from "./nodefony/service/Eta.js";
-import { controllers, route, controller, Get, Post, Put, Delete, Patch, Options, Head, All, Domain, BypassFirewall, IsGranted, RequireScope, RequireAuthentication, Anonymous, Csp, CsrfProtect, CsrfExempt, Idempotent, CurrentUser, Scope, UseSession, HttpCode, Header, Redirect, Param, Body, Query, Headers, Cookie, Session, Req, Res, UploadedFile, UploadedFiles, routeExpectsBodyStream, buildContextParamArgs, getParamArgsMeta } from "./nodefony/decorators/routerDecorators.js";
+import { controllers, route, controller, Get, Post, Put, Delete, Patch, Options, Head, All, Domain, BypassFirewall, IsGranted, RequireScope, RequireAuthentication, Anonymous, Csp, CsrfProtect, CsrfExempt, Idempotent, CurrentUser, Scope, UseSession, HttpCode, Header, Redirect, Param, Body, Query, Headers, Cookie, Session, Req, Res, UploadedFile, UploadedFiles, routeExpectsBodyStream, buildContextParamArgs, getParamArgsMeta, getRouteSchema } from "./nodefony/decorators/routerDecorators.js";
 export type { IHttpMethodDecorator } from "./nodefony/decorators/routerDecorators.js";
 export { validateRouteInput } from "./nodefony/src/routeSchema.js";
+export { contentDisposition } from "./nodefony/src/Controller.js";
 export type { IRouteSchema, RouteInput, RoutePart, RawRouteInput, RawRouteParams, RawRouteQuery, RawRouteHeaders, } from "./nodefony/src/routeSchema.js";
 declare module "nodefony" {
     interface NodefonyModuleConfig {
@@ -79,7 +81,7 @@ declare class Framework extends Module<IFrameworkConfig> {
     onKernelReady(): Promise<this>;
 }
 export default Framework;
-export { Controller, ResourceController, Route, Router, FRAMEWORK_ROUTER, isFrameworkRouter, Resolver, AdminBroker, MemoryIdempotencyStore, AdminApiController, SessionAuthController, mountSessionAuthRoutes, LoginPageController, mountLoginPage, TokenAuthController, mountTokenAuthRoutes, IssuerMetadataController, mountIssuerMetadataRoutes, ProtectedResourceMetadataController, mountProtectedResourceRoutes, protectedResourceRoutePaths, collectProtectedResources, WebAuthnController, mountWebAuthnRoutes, OAuth2Controller, mountOAuth2Routes, BenchController, mountBenchRoutes, ApiKeyController, mountApiKeyRoutes, TotpController, mountTotpRoutes, createKernelAdminApi, createFrameworkAdminApi, createSyslogAdminApi, buildPlaygroundSnapshot, Eta, route, controller, controllers, Get, Post, Put, Delete, Patch, Options, Head, All, Domain, BypassFirewall, IsGranted, RequireScope, RequireAuthentication, Anonymous, Csp, CsrfProtect, CsrfExempt, Idempotent, CurrentUser, Scope, UseSession, HttpCode, Header, Redirect, Param, Body, Query, Headers, Cookie, Session, Req, Res, UploadedFile, UploadedFiles, routeExpectsBodyStream, buildContextParamArgs, getParamArgsMeta, registerIdempotencyStore, getIdempotencyStoreFactory, listIdempotencyStores, };
+export { Controller, ResourceController, Route, Router, FRAMEWORK_ROUTER, isFrameworkRouter, Resolver, AdminBroker, MemoryIdempotencyStore, AdminApiController, SessionAuthController, mountSessionAuthRoutes, LoginPageController, mountLoginPage, TokenAuthController, mountTokenAuthRoutes, IssuerMetadataController, mountIssuerMetadataRoutes, ProtectedResourceMetadataController, mountProtectedResourceRoutes, protectedResourceRoutePaths, collectProtectedResources, WebAuthnController, mountWebAuthnRoutes, OAuth2Controller, mountOAuth2Routes, CspReportController, mountCspReportRoute, BenchController, mountBenchRoutes, ApiKeyController, mountApiKeyRoutes, TotpController, mountTotpRoutes, createKernelAdminApi, createFrameworkAdminApi, createSyslogAdminApi, buildPlaygroundSnapshot, Eta, route, controller, controllers, Get, Post, Put, Delete, Patch, Options, Head, All, Domain, BypassFirewall, IsGranted, RequireScope, RequireAuthentication, Anonymous, Csp, CsrfProtect, CsrfExempt, Idempotent, CurrentUser, Scope, UseSession, HttpCode, Header, Redirect, Param, Body, Query, Headers, Cookie, Session, Req, Res, UploadedFile, UploadedFiles, routeExpectsBodyStream, buildContextParamArgs, getParamArgsMeta, getRouteSchema, registerIdempotencyStore, getIdempotencyStoreFactory, listIdempotencyStores, };
 export { frameworkConfigSchema } from "./nodefony/config/config.js";
 export type { IdempotencyStoreFactory, IIdempotencyStoreFactoryContext, } from "./nodefony/src/idempotencyStoreRegistry.js";
 export type { SecurityClause, SecurityRequirement, IAuthenticationRequirement, IRequireAuthenticationOptions, CspDirectives, IParamArgSource, ParamMeta, } from "./nodefony/decorators/routerDecorators.js";