@nodefony/framework 10.0.0-beta.5 → 10.0.0-beta.7

package/docs/idempotence.md

@@ -263,7 +263,7 @@ Deux mécanismes rendent ça possible côté socket :
   `resolveIdempotencyKey()` (`idempotency.ts#resolveIdempotencyKey`) donne la **priorité à l'ALS** sur l'en-tête HTTP.
 - **La méthode logique voyage par `methodOverride`** — sur une socket, `context.method` vaut
   `WEBSOCKET`, qui n'est **pas** une mutation. Sans override, la porte serait sautée et un rejeu de
-  frame `socket.mutate` créerait un doublon. Le Resolver teste donc
+  frame `socket.post` créerait un doublon. Le Resolver teste donc
   `isMutationMethod(this.methodOverride ?? context.method)` (`Resolver.ts#Resolver.action`).
 
 Le pont utilise `executeActionGuarded()` (`Resolver.ts#Resolver.executeActionGuarded`) : porte d'idempotence **sans** rendu HTTP
@@ -304,16 +304,21 @@ sequenceDiagram
    comparaison, flux normal, **zéro** lookup de store et zéro allocation.
 2. **No-op sur méthode sûre.** Une action `GET` sous une classe `@Idempotent` repart directement en
    exécution (`Resolver.ts#Resolver._callWithIdempotency`).
-3. **Empreinte du payload.** `computeFingerprint()` (`idempotency.ts#computeFingerprint`) hache
-   `[nom de route, params de route, corps]` (`Resolver.ts#Resolver._enforceActionSecurity`). Le corps vient de l'ALS (pont WS) ou
+3. **La garde d'abord.** `@IsGranted`, `@RequireScope` et le rôle de la zone sont jugés AVANT
+   la porte (`Resolver.ts#Resolver._enforceActionSecurity`), comme avant la validation d'un schéma :
+   un appelant sans le droit reçoit 401/403, jamais un 400 « clé requise » ni un 422 qui lui
+   apprendrait le contrat de la route ; aucune clé n'est réservée pour lui ; et un **rejeu est
+   rejugé** — un droit retiré entre-temps rend 403, pas la réponse mémorisée.
+4. **Empreinte du payload.** `computeFingerprint()` (`idempotency.ts#computeFingerprint`) hache
+   `[nom de route, params de route, corps]` (`Resolver.ts#Resolver._callWithIdempotency`). Le corps vient de l'ALS (pont WS) ou
    du body HTTP parsé.
-4. **Identité.** `resolveIdentity()` (`idempotency.ts#resolveIdentity`) rend l'`identifier` de l'utilisateur
+5. **Identité.** `resolveIdentity()` (`idempotency.ts#resolveIdentity`) rend l'`identifier` de l'utilisateur
    AUTHENTIFIÉ de la requête (`RequestContext.getAuthenticatedUser()`, la règle unique du cœur).
    L'anonyme d'une zone `anonymous` n'a pas d'identité : tous les visiteurs anonymes partagent le
    même `identifier`, ils partageraient donc le même cache. **`null` = pas de cache** : le verdict
    devient `execute` — jamais de partage cross-identité.
-5. **Réservation.** `store.begin()` compose la clé scopée et tranche.
-6. **Mémorisation.** En succès, `complete(clé, {status, body})` où `status` est le code de réponse
+6. **Réservation.** `store.begin()` compose la clé scopée et tranche.
+7. **Mémorisation.** En succès, `complete(clé, {status, body})` où `status` est le code de réponse
    courant et `body` la **valeur retournée** par l'action (`Resolver.ts#Resolver._callWithIdempotency`). En erreur,
    `abort(clé)` libère la clé : **un échec ne se mémorise pas**, il doit rester réessayable.
 
@@ -323,7 +328,7 @@ sequenceDiagram
 > double-effet reste évité, mais le corps rejoué est vide. Pire, si le corps retourné n'est pas
 > sérialisable (retour d'un objet Response circulaire), un store SQL/Redis lève au `stringify`. Le
 > Resolver attrape ce cas : il **journalise un WARNING explicite** puis mémorise le statut avec un
-> corps `null` (`Resolver.ts#Resolver._acquireAndInvoke`) — la dédup est préservée plutôt que perdue en silence.
+> corps `null` (`Resolver.ts#Resolver._callWithIdempotency`) — la dédup est préservée plutôt que perdue en silence.
 
 ### Où la porte est câblée
 
@@ -656,7 +661,7 @@ pour l'affichage Studio, `idempotencyStoreRegistry.ts#listIdempotencyBackends`).
 <!-- prettier-ignore -->
 | Sujet | Norme | Ancrage |
 | --- | --- | --- |
-| En-tête `Idempotency-Key`, statuts, rejeu | `draft-ietf-httpapi-idempotency-key-header-06` | `evaluateIdempotency()` (`idempotency.ts#evaluateIdempotency`) |
+| En-tête `Idempotency-Key`, statuts, rejeu | `draft-ietf-httpapi-idempotency-key-header-08` | `evaluateIdempotency()` (`idempotency.ts#evaluateIdempotency`) |
 | Clé réutilisée avec un autre payload → 422 | draft §2.2 / §2.7 | `idempotency.ts#evaluateIdempotency` |
 | Exécution concurrente identique → 409 | draft §2.6 | `idempotency.ts#evaluateIdempotency` |
 | Clé requise absente → 400 | draft §2.7 | `idempotency.ts#evaluateIdempotency` |

package/docs/index.md

@@ -53,14 +53,15 @@ Trois parcours selon ce que tu viens faire. L'ordre compte : chaque étape suppo
 
 Le tableau pour choisir vite ; les cards en dessous pour savoir ce qu'on y trouve.
 
-| Brique                          | Ce qu'elle résout                                  | Tu en as besoin quand…                                    |
-| ------------------------------- | -------------------------------------------------- | --------------------------------------------------------- |
-| [Décorateurs](decorateurs.md)   | déclarer routes, paramètres, réponses, gardes      | toujours — c'est la surface d'écriture                    |
-| [Contrôleurs](controller.md)    | recevoir la requête, répondre, gérer l'erreur      | toujours                                                  |
-| [Routage](routing.md)           | apparier une URL à une action, arbitrer, expliquer | deux routes se disputent, ou un 404/405 surprend          |
-| [Idempotence](idempotence.md)   | empêcher le double effet d'une mutation rejouée    | paiement, commande, tout effet non rejouable              |
-| [Admin (data plane)](admin.md)  | monter les API d'admin `/nodefony/<ns>/api/*`      | ton module expose des stats ou actions à Studio et au CLI |
-| [Templates (Eta)](templates.md) | rendre des vues HTML côté serveur                  | tu renvoies des pages HTML plutôt que du JSON             |
+| Brique                          | Ce qu'elle résout                                  | Tu en as besoin quand…                                                                  |
+| ------------------------------- | -------------------------------------------------- | --------------------------------------------------------------------------------------- |
+| [Décorateurs](decorateurs.md)   | déclarer routes, paramètres, réponses, gardes      | toujours — c'est la surface d'écriture                                                  |
+| [Contrôleurs](controller.md)    | recevoir la requête, répondre, gérer l'erreur      | toujours                                                                                |
+| [Routage](routing.md)           | apparier une URL à une action, arbitrer, expliquer | deux routes se disputent, ou un 404/405 surprend                                        |
+| [Idempotence](idempotence.md)   | empêcher le double effet d'une mutation rejouée    | paiement, commande, tout effet non rejouable                                            |
+| [gRPC](grpc.md)                 | servir un service gRPC, gRPC-Web et Connect        | des programmes d'autres langages, des sondes ou un navigateur appellent un contrat typé |
+| [Admin (data plane)](admin.md)  | monter les API d'admin `/nodefony/<ns>/api/*`      | ton module expose des stats ou actions à Studio et au CLI                               |
+| [Templates (Eta)](templates.md) | rendre des vues HTML côté serveur                  | tu renvoies des pages HTML plutôt que du JSON                                           |
 
 ```nodefony-cards
 [
@@ -76,6 +77,9 @@ Le tableau pour choisir vite ; les cards en dessous pour savoir ce qu'on y trouv
   { "icon": "🔁", "title": "idempotence", "href": "idempotence.md",
     "desc": "@Idempotent, la clé d'idempotence, les quatre stores (mémoire, Redis, SQL, MongoDB) et leurs capacités réelles, le GC des entrées expirées, et ce que le client observe quand il rejoue la même clé.",
     "meta": "paiement, commande, tout effet non rejouable" },
+  { "icon": "📡", "title": "grpc", "href": "grpc.md",
+    "desc": "Déclarer un service gRPC par un contrôleur : le contrat et sa génération, les trois protocoles et leurs ports, les limites, les refus 16/7, les erreurs, l'arrêt, CORS et le journal — avec le pourquoi de chaque choix. Surface expérimentale.",
+    "meta": "un contrat typé appelé par d'autres langages, des sondes ou un navigateur" },
   { "icon": "🛡️", "title": "admin", "href": "admin.md",
     "desc": "Le data plane d'administration : comment un module déclare son API d'admin via AdminBroker, la convention de route /nodefony/<ns>/api/*, le RBAC fail-closed (ROLE_NODEFONY_ADMIN), le duplex HTTP/WebSocket, le catalogue et le Playground.",
     "meta": "exposer une API d'admin cohérente CLI ↔ Web" },
@@ -108,8 +112,10 @@ dans `.ai/symbols.json` et les types générés — jamais recopiées ici, où e
 ## ⚙️ Configuration
 
 Bloc Zod (`nodefony/config/config.ts`), déclaré depuis l'application via
-`use("@nodefony/framework", { … })` : `router`, `adminBroker`, et `idempotency` (choix du store et
-réglages du GC — détaillé dans la page [Idempotence](idempotence.md)).
+`use("@nodefony/framework", { … })` : `router`, `adminBroker`, `idempotency` (choix du store et
+réglages du GC — détaillé dans la page [Idempotence](idempotence.md)), et `fileServing` (validateurs
+et `Cache-Control` des fichiers servis par une action — détaillé dans la page
+[Contrôleur](controller.md#requêtes-conditionnelles--304-412-reprise)).
 
 ## 📜 Normes appliquées
 

package/docs/routing.md

@@ -457,11 +457,14 @@ que fait le data plane d'administration pour toutes ses lectures (`AdminBroker.m
   (RFC 9110 §10.2.1), elle est retirée de l'agrégat. Un chemin qui n'existe qu'en WebSocket, appelé
   en HTTP, répond `426 Upgrade Required` avec `Upgrade: websocket` plutôt qu'un 405
   (`routing-nonregression.test.ts`).
-- **Une invocation WS d'une mutation doit dire quelle méthode logique elle vise.** Sur une socket,
+- **Une invocation WS dit toujours quelle méthode logique elle vise, GET compris.** Sur une socket,
   `context.method` vaut toujours `WEBSOCKET` : insuffisant pour distinguer un GET d'un POST sur le même
   chemin. Le pont transporte donc une **méthode logique** (`methodOverride`, `Resolver.ts#Resolver.methodOverride`) que la
   route doit déclarer **en plus** du transport — une route `POST` qui n'annonce pas `WEBSOCKET` reste
-  **injoignable** par socket (zéro contournement, `Route.ts#Route.matchRequirements`).
+  **injoignable** par socket, et un GET n'atteint jamais l'action POST voisine (qui contournerait sa
+  porte `@Idempotent`). Seule tolérance : une route qui ne déclare QUE `WEBSOCKET` sert un GET. La
+  règle est UNIQUE, au cœur (`routePath.ts#bridgeServesVerb`) : le routeur
+  (`Route.ts#Route.matchRequirements`) et la vérification des contrats au démarrage l'appellent tous deux.
 
 Le routage par **message** (invoquer un chemin porté par une frame, sans toucher l'URL de la connexion)
 passe par le même `resolve()`, avec un chemin fourni en argument — l'état partagé de la socket n'est
@@ -538,6 +541,31 @@ chemin ; pour un appel interne, utilise `forward()`.
 dans le **même** contexte de requête, sans repasser par le réseau (`Resolver.parsePathernController()`,
 `Resolver.ts#Resolver.parsePathernController`). Une vraie redirection HTTP passe par `this.redirect(url, 302)` ou `@Redirect`.
 
+## ⏱️ Délai de réponse — par route
+
+Une action muette au-delà du délai de réponse reçoit **503**, en HTTP/1.1 comme en HTTP/2, et son
+`ctx.signal` est annulé AVANT le rendu de l'erreur : une requête SQL ou un `fetch` qui l'honore
+s'arrête. Le délai est celui du serveur (`responseTimeout`, 30 s par défaut), sauf si la route
+déclare le sien (`Route.ts#RouteOptions.responseTimeout`) — dans les deux sens :
+
+```ts ignore
+@Get("/export", { responseTimeout: 120_000 }) // un export lent, sans relever les autres routes
+exportAll(): unknown {
+  return this.reports.buildAll();
+}
+```
+
+Les bornes d'envoi suivent le même modèle : `upload: { maxFileSize, maxFiles, hashAlgorithm, … }`
+(`Route.ts#RouteOptions.upload`) remplace, pour la seule route, celles de la configuration http —
+le fichier trop gros reçoit 413 pendant son flux. Détail : [Upload](../../http/docs/upload.md#par-route--loption-upload).
+
+C'est un délai d'**inactivité** : une action qui envoie au fil de l'eau (flux, SSE) n'est pas
+coupée. Entier de `0` à 2³¹−1 ms, vérifié à la déclaration ; `0` désactive le délai pour la route.
+Le 408 reste réservé à une requête que le serveur n'a pas **reçue** à temps (`requestTimeout`,
+RFC 9110 §15.5.9) ; le 503 dit « traitement impossible dans le délai » (§15.6.4), sans inviter le
+client à rejouer un `POST`. Une route gRPC termine l'appel au format du protocole (4
+`DEADLINE_EXCEEDED`), jamais par ce 503.
+
 ## 🧰 API publique
 
 Le routage s'utilise **par décorateurs** ; l'API impérative sert l'outillage (introspection, tests,

package/docs/templates.md

@@ -249,6 +249,21 @@ inerte `<script>alert(1)</script>`.
 > par un utilisateur (pseudo, commentaire, champ de formulaire, paramètre d'URL). Réserve-le à des
 > fragments HTML que ton propre code a construits.
 
+**La politique de sécurité du contenu (CSP) est signée pour toi.** La politique par défaut n'exécute
+un `<script>` et n'applique un `<style>` que s'ils portent le nonce de la requête. `renderView` le
+pose seul sur chaque balise ÉCRITE dans le gabarit (`viewNonce.ts#signTemplateTags`) — rien à
+ajouter. Il ne signe jamais :
+
+- une balise que les données apportent (`<%~ %>`) : c'est ce qui laisse au nonce sa valeur contre
+  l'injection ;
+- un `<script>` dont un attribut vient des données (`src="<%= it.url %>"`) : le signer exécuterait
+  l'URL qu'elles apportent. Si tu la tiens pour sûre, écris le nonce toi-même :
+  `<script nonce="<%= it.cspNonce %>" src="<%= it.url %>">` ;
+- un gestionnaire en attribut (`onclick="…"`, `onload="…"`) : aucun nonce ne s'y pose, la politique
+  le refuse. Attache l'écouteur depuis un `<script>` du gabarit (`addEventListener`).
+
+Le détail de la politique et ses réglages : [En-têtes de sécurité](../../security/docs/headers.md).
+
 ## 🧰 API publique
 
 Deux niveaux : ce que le **service Eta** expose, et ce que le **contrôleur** t'offre au-dessus.

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@nodefony/framework",
-  "version": "10.0.0-beta.5",
+  "version": "10.0.0-beta.7",
   "description": "Le modèle de programmation Nodefony : routeur, contrôleurs, décorateurs et vues — HTTP et WebSocket dans le même contexte",
   "author": "Christophe CAMENSULI <ccamensuli@gmail.com>",
   "main": "./dist/index.js",
@@ -12,6 +12,12 @@
       "types": "./dist/types/index.d.ts",
       "import": "./dist/index.js",
       "default": "./dist/index.js"
+    },
+    "./grpc": {
+      "nodefony-source": "./nodefony/grpc/index.ts",
+      "types": "./dist/types/nodefony/grpc/index.d.ts",
+      "import": "./dist/nodefony/grpc/index.js",
+      "default": "./dist/nodefony/grpc/index.js"
     }
   },
   "scripts": {
@@ -25,7 +31,7 @@
   },
   "private": false,
   "engines": {
-    "node": ">=24.14.0"
+    "node": "^24.16.0 || >=26.0.0"
   },
   "keywords": [
     "nodefony",
@@ -46,25 +52,36 @@
   "dependencies": {
     "eta": "4.6.0",
     "reflect-metadata": "0.2.2",
-    "tslib": "2.8.1"
+    "tslib": "2.9.1"
   },
   "devDependencies": {
-    "@nodefony/http": "^10.0.0-beta.5",
+    "@nodefony/http": "^10.0.0-beta.7",
     "@types/chai": "5.2.3",
-    "@types/node": "26.6.5",
-    "@vitest/coverage-v8": "5.0.5",
-    "nodefony": "^10.0.0-beta.5",
+    "@types/node": "26.6.6",
+    "@vitest/coverage-v8": "5.1.0",
+    "nodefony": "^10.0.0-beta.7",
     "tsx": "4.23.15",
-    "vitest": "5.0.5"
+    "vitest": "5.1.0",
+    "ws": "8.23.0"
   },
   "license": "Apache-2.0",
   "readmeFilename": "README.md",
   "contributors": [],
   "peerDependencies": {
-    "@nodefony/http": "^10.0.0-beta.5",
-    "nodefony": "^10.0.0-beta.5",
+    "@bufbuild/protobuf": "^2.7.0",
+    "@connectrpc/connect": "^2.3.0",
+    "@nodefony/http": "^10.0.0-beta.7",
+    "nodefony": "^10.0.0-beta.7",
     "zod": "^4.6.7"
   },
+  "peerDependenciesMeta": {
+    "@bufbuild/protobuf": {
+      "optional": true
+    },
+    "@connectrpc/connect": {
+      "optional": true
+    }
+  },
   "files": [
     "dist",
     "docs"
@@ -72,7 +89,7 @@
   "publishConfig": {
     "access": "public"
   },
-  "homepage": "https://nodefony.github.io/nodefony-core/",
+  "homepage": "https://nodefony.net/",
   "bugs": {
     "url": "https://github.com/nodefony/nodefony-core/issues"
   }