@nodefony/http 10.0.0-alpha.3 → 10.0.0-alpha.5

package/README.md

@@ -74,4 +74,4 @@ npm run test:memory      # GATE mémoire (memory.test.ts) — AVANT tout commit
 
 ## Licence
 
-CeCILL-B — Christophe CAMENSULI.
+Apache 2.0 — Christophe CAMENSULI.

package/dist/_virtual/{_@oxc-project_runtime@0.148.0 → _@oxc-project_runtime@0.149.0}/helpers/esm/decorate.js

@@ -1,4 +1,4 @@
-//#region \0@oxc-project+runtime@0.148.0/helpers/esm/decorate.js
+//#region \0@oxc-project+runtime@0.149.0/helpers/esm/decorate.js
 function __decorate(decorators, target, key, desc) {
 	var c = arguments.length, r = c < 3 ? target : desc === null ? desc = Object.getOwnPropertyDescriptor(target, key) : desc, d;
 	if (typeof Reflect === "object" && typeof Reflect.decorate === "function") r = Reflect.decorate(decorators, target, key, desc);

package/dist/_virtual/{_@oxc-project_runtime@0.148.0 → _@oxc-project_runtime@0.149.0}/helpers/esm/decorateMetadata.js

@@ -1,4 +1,4 @@
-//#region \0@oxc-project+runtime@0.148.0/helpers/esm/decorateMetadata.js
+//#region \0@oxc-project+runtime@0.149.0/helpers/esm/decorateMetadata.js
 function __decorateMetadata(k, v) {
 	if (typeof Reflect === "object" && typeof Reflect.metadata === "function") return Reflect.metadata(k, v);
 }

package/dist/_virtual/{_@oxc-project_runtime@0.148.0 → _@oxc-project_runtime@0.149.0}/helpers/esm/decorateParam.js

@@ -1,4 +1,4 @@
-//#region \0@oxc-project+runtime@0.148.0/helpers/esm/decorateParam.js
+//#region \0@oxc-project+runtime@0.149.0/helpers/esm/decorateParam.js
 function __decorateParam(paramIndex, decorator) {
 	return function(target, key) {
 		decorator(target, key, paramIndex);

package/dist/index.js

@@ -21,8 +21,8 @@ import DefaultErrorRenderer, { schemaMismatchOf } from "./nodefony/service/error
 import DefaultRequestLogger from "./nodefony/service/request-logger.js";
 import JsonAuditLogger from "./nodefony/service/audit-logger.js";
 import PrettyRequestLogger from "./nodefony/service/pretty-request-logger.js";
-import __decorateMetadata from "./_virtual/_@oxc-project_runtime@0.148.0/helpers/esm/decorateMetadata.js";
-import __decorate from "./_virtual/_@oxc-project_runtime@0.148.0/helpers/esm/decorate.js";
+import __decorateMetadata from "./_virtual/_@oxc-project_runtime@0.149.0/helpers/esm/decorateMetadata.js";
+import __decorate from "./_virtual/_@oxc-project_runtime@0.149.0/helpers/esm/decorate.js";
 import http_kernel_default from "./nodefony/service/http-kernel.js";
 import server_http_default from "./nodefony/service/servers/server-http.js";
 import server_https_default from "./nodefony/service/servers/server-https.js";

package/dist/nodefony/command/assetsPublishCommand.js

@@ -43,14 +43,12 @@ var AssetsPublish = class extends Command {
 	async generate(opts) {
 		const outDir = opts.out ? isAbsolute(opts.out) ? opts.out : resolve(process.cwd(), opts.out) : join(process.cwd(), "dist-assets");
 		const sources = this.collectSources();
-		if (sources.length === 0) {
-			this.log("Aucune source d'assets (0 mount natif, 0 bundle frontend) — rien à publier.", "WARNING");
-			return this;
-		}
+		if (sources.length === 0) process.stdout.write(`Aucune source d'assets (0 mount natif, 0 bundle frontend) — arbre vide → ${outDir}\n`);
 		if (opts.clean && existsSync(outDir)) await fsp.rm(outDir, {
 			recursive: true,
 			force: true
 		});
+		await fsp.mkdir(outDir, { recursive: true });
 		const plan = planAssetPublish(sources, outDir);
 		const manifest = {
 			generatedAt: (/* @__PURE__ */ new Date()).toISOString(),

package/dist/nodefony/command/proxyGenerateCommand.js

@@ -1,6 +1,9 @@
+import { resolveTrustedHostNames } from "../src/context/domainMatcher.js";
 import { defaultIntrospection, generateHaproxyConfig, generateNginxConfig } from "../src/proxy/generateProxyConfig.js";
+import { planAssetPublish } from "../src/assets/collectAssets.js";
 import { Command } from "nodefony";
 import fsp from "node:fs/promises";
+import { isAbsolute, resolve } from "node:path";
 //#region nodefony/command/proxyGenerateCommand.ts
 const options = {
 	helpGroup: "FRONT ET RÉSEAU",
@@ -21,17 +24,20 @@ var ProxyGenerate = class extends Command {
 		this.addOption("-b, --backend <host>", "backend host the proxy connects to (default 127.0.0.1)");
 		this.addOption("-l, --listen <port>", "proxy listen port (default 80)");
 		this.addOption("--reencrypt", "re-encrypt to the HTTPS backend (TLS proxy↔backend) instead of clear");
+		this.addOption("--assets-root <dir>", "serve every static asset from this single tree (see `assets:publish`)");
+		this.addOption("--tls-cert <file>", "TLS certificate chain (nginx only)");
+		this.addOption("--tls-key <file>", "TLS private key (nginx only)");
+		this.addOption("--tls-listen <port>", "TLS listen port (default 443)");
 	}
 	async generate(target, opts) {
-		if (target !== "nginx" && target !== "haproxy") {
-			this.log(`Cible inconnue '${target}' — attendu: nginx | haproxy.`, "ERROR");
-			return this;
-		}
+		if (target !== "nginx" && target !== "haproxy") throw new Error(`Cible inconnue '${target}' — attendu: nginx | haproxy.`);
+		if (Boolean(opts.tlsCert) !== Boolean(opts.tlsKey)) throw new Error("--tls-cert et --tls-key vont ensemble — l'un sans l'autre ne produit aucune écoute TLS.");
+		if (opts.tlsCert && target === "haproxy") throw new Error("--tls-cert/--tls-key ne valent que pour nginx : haproxy exige un PEM combiné (cf docker/certs/build-haproxy-pem.sh).");
 		const intro = this.buildIntrospection(opts);
 		const conf = target === "nginx" ? generateNginxConfig(intro) : generateHaproxyConfig(intro);
 		if (opts.out) {
 			await fsp.writeFile(opts.out, conf, "utf8");
-			this.log(`Configuration ${target} écrite → ${opts.out}`, "INFO");
+			process.stdout.write(`Configuration ${target} écrite → ${opts.out}\n`);
 		} else process.stdout.write(conf);
 		return this;
 	}
@@ -42,14 +48,22 @@ var ProxyGenerate = class extends Command {
 		const servers = (this.kernel?.options)?.servers;
 		const staticSvc = module?.get("server-static");
 		staticSvc?.mountModulePublics?.();
-		const staticRoots = staticSvc?.servers ? Object.keys(staticSvc.servers) : [];
-		const mounts = (staticSvc?.mounts ?? []).map((m) => ({
+		let staticRoots = staticSvc?.servers ? Object.keys(staticSvc.servers) : [];
+		let mounts = (staticSvc?.mounts ?? []).map((m) => ({
 			prefix: m.prefix,
 			dir: m.dir
 		}));
+		if (opts.assetsRoot) {
+			const root = isAbsolute(opts.assetsRoot) ? opts.assetsRoot : resolve(process.cwd(), opts.assetsRoot);
+			mounts = planAssetPublish(mounts, root).map((p) => ({
+				prefix: p.prefix,
+				dir: p.target
+			}));
+			staticRoots = [root];
+		}
 		return {
 			...defaultIntrospection,
-			domains: httpOpts.trustedHosts ?? [],
+			domains: resolveTrustedHostNames(this.kernel?.domain ?? "", httpOpts.trustedHosts),
 			backendHost: opts.backend ?? "127.0.0.1",
 			httpPort: Number(servers?.http?.port) || defaultIntrospection.httpPort,
 			httpsPort: Number(servers?.https?.port) || defaultIntrospection.httpsPort,
@@ -58,7 +72,12 @@ var ProxyGenerate = class extends Command {
 			listen: opts.listen ? Number(opts.listen) : defaultIntrospection.listen,
 			reencrypt: Boolean(opts.reencrypt),
 			maxBodyBytes: Number(httpOpts.maxBodySize) || 0,
-			keepaliveIntervalMs: Number(httpOpts.websocket?.keepaliveInterval) || 0
+			keepaliveIntervalMs: Number(httpOpts.websocket?.keepaliveInterval) || 0,
+			tls: opts.tlsCert && opts.tlsKey ? {
+				certPath: opts.tlsCert,
+				keyPath: opts.tlsKey,
+				listen: Number(opts.tlsListen) || 443
+			} : null
 		};
 	}
 };

package/dist/nodefony/config/config.js

@@ -58,7 +58,7 @@ import { z } from "zod";
 * Ce schéma reste PUR (pas de `Nodefony.getKernel()` ni `process.env`) → sa
 * sortie est déterministe et sérialisable en JSON Schema (`httpConfigJsonSchema`
 * dans `defineModuleConfig.ts`). Les défauts dérivés du kernel
-* (`upload.uploadDir` ← `kernel.tmpDir`, `certificates.openssl.attrs` ←
+* (`upload.uploadDir` ← `kernel.tmpDir`, `certificates.selfSigned.attrs` ←
 * `kernel.domain`/`projectName`) sont injectés APRÈS le parse, dans le builder
 * (kernel disponible à `onKernelRegister`).
 *
@@ -155,12 +155,12 @@ const http2Schema = z.looseObject({
 	maxSessionMemory: z.number().int().positive().default(10).describe("Mémoire max (Mo) par session HTTP/2 — borne l'amplification mémoire.")
 }).describe("Serveur HTTP/2 (sur le port HTTPS, allowHTTP1). Loose : options `http2.SecureServerOptions` transmises.");
 const http3Schema = z.looseObject({});
-const opensslAttrSchema = z.looseObject({
+const selfSignedAttrSchema = z.looseObject({
 	name: z.string().optional(),
 	value: z.string().optional(),
 	shortName: z.string().optional()
 }).describe("Champ de sujet/issuer node-forge (CertificateField).");
-const opensslSchema = z.strictObject({
+const selfSignedSchema = z.strictObject({
 	size: z.number().int().positive().default(2048).describe("Taille de la clé RSA (bits). 2048 minimum, 4096 recommandé en prod."),
 	hash: z.enum([
 		"sha256",
@@ -169,11 +169,11 @@ const opensslSchema = z.strictObject({
 	]).default("sha256").describe("Algorithme de hachage de la signature. SHA-1 INTERDIT (collision SHAttered 2017 ; CA/Browser Forum depuis 2016)."),
 	validityDays: z.number().int().positive().default(365).describe("Durée de validité du certificat (jours). ≤ 398 recommandé (CA/B Forum)."),
 	backdateMinutes: z.number().int().min(0).default(5).describe("Recul de notBefore (minutes) — tolère le décalage d'horloge du client (évite « certificate not yet valid »)."),
-	attrs: z.array(opensslAttrSchema).default([]).meta({
+	attrs: z.array(selfSignedAttrSchema).default([]).meta({
 		kernelDerived: true,
 		description: "Attributs du certificat (commonName, organizationName…). Vide (défaut) = dérivés du kernel par le builder (commonName ← domain)."
 	})
-}).describe("Options de génération du certificat auto-signé (node-forge).");
+}).describe("Génération du certificat AUTO-SIGNÉ (node-forge, JavaScript pur — aucun binaire externe n'est invoqué). Ces réglages ne valent QUE pour la stratégie `selfsigned` : sous `mkcert` (défaut en développement) ils sont ignorés — mkcert ne reçoit que les noms d'hôtes — et sous `strategy: \"explicit\"` le certificat est fourni, donc rien n'est généré.");
 const sanSchema = z.strictObject({
 	dns: z.array(z.string()).default([]).meta({
 		kernelDerived: true,
@@ -195,7 +195,7 @@ const certificatesSchema = z.strictObject({
 	privateKeyMode: z.number().int().default(384).meta({ description: "Permissions POSIX de la clé privée écrite sur disque (0600 = lecture/écriture owner uniquement). Une clé TLS ne doit JAMAIS être world-readable." }),
 	san: sanSchema.default(() => sanSchema.parse({})),
 	dev: certDevSchema.default(() => certDevSchema.parse({})),
-	openssl: opensslSchema.default(() => opensslSchema.parse({}))
+	selfSigned: selfSignedSchema.default(() => selfSignedSchema.parse({}))
 }).describe("Certificats TLS du serveur HTTPS et WSS.");
 const websocketSchema = z.looseObject({
 	keepaliveInterval: z.number().int().positive().default(2e4).describe("Intervalle (ms) des pings keep-alive — détecte les connexions zombies."),

package/dist/nodefony/config/defineModuleConfig.js

@@ -6,7 +6,7 @@ import { z } from "zod";
 * Injecte les défauts dérivés du kernel APRÈS le parse (le schéma reste pur).
 *
 * - `upload.uploadDir` vide → répertoire temporaire du kernel (`kernel.tmpDir`).
-* - `certificates.openssl.attrs` vide → sujet du certificat dérivé du kernel
+* - `certificates.selfSigned.attrs` vide → sujet du certificat dérivé du kernel
 *   (`commonName` ← `kernel.domain`, `organizationName` ← `kernel.projectName`).
 *   Sans ce remplissage, le certificat auto-signé n'aurait pas de commonName.
 * - `certificates.san` vide → Subject Alternative Name dérivé du kernel
@@ -28,7 +28,7 @@ function applyKernelDefaults(config, kernel) {
 		const p = kernel?.tmpDir?.path;
 		config.upload.uploadDir = typeof p === "string" ? p : "/tmp";
 	}
-	if (config.certificates.openssl.attrs.length === 0) config.certificates.openssl.attrs = [
+	if (config.certificates.selfSigned.attrs.length === 0) config.certificates.selfSigned.attrs = [
 		{
 			name: "commonName",
 			value: kernel?.domain ?? "nodefony.com"

package/dist/nodefony/service/certificates.js

@@ -22,7 +22,7 @@ const defaultOptions = {
 		dns: [],
 		ip: []
 	},
-	openssl: {
+	selfSigned: {
 		size: 2048,
 		hash: "sha256",
 		validityDays: 365,
@@ -98,7 +98,32 @@ var Certificate = class Certificate extends Service {
 		if (!this.forge) throw new Error("node-forge non chargé — appeler loadForge() avant toute génération.");
 		return this.forge;
 	}
+	/**
+	* Fabrique-t-on un certificat au démarrage ?
+	*
+	* 🔴 Seulement si un serveur TLS est ACTIF. Sans cette question, le hook
+	* ci-dessous écrit dans `nodefony/config/certificates` à CHAQUE boot — y
+	* compris celui d'une application qui a coupé son écoute TLS, et y compris un
+	* run de console qui n'ouvre aucun port.
+	*
+	* Ce qu'il en coûtait, mesuré sur une image générée : le code d'une image
+	* appartient à `root` et le processus tourne en `1000` (c'est voulu — une
+	* application qui peut réécrire son propre `dist/` offre à une faille un moyen
+	* de PERSISTER). Le `mkdir` mourait donc en `EACCES`, le hook de boot était
+	* « critique », et l'application ne démarrait PAS — quel que soit son préset.
+	* L'erreur nommait un dossier de certificats sur une application qui n'en veut
+	* aucun : elle envoyait chercher du côté du TLS un défaut de permission.
+	*
+	* C'est aussi ce que le gabarit d'application promet en toutes lettres : en
+	* production, l'écoute TLS est coupée tant qu'aucun port HTTPS n'est demandé,
+	* précisément pour ne PAS fabriquer une clé RSA à chaque démarrage de chaque
+	* exemplaire. La promesse était écrite ; rien ne la tenait.
+	*/
+	get tlsWanted() {
+		return !!this.module.kernel?.options?.servers?.https;
+	}
 	async init() {
+		if (!this.tlsWanted) return this;
 		this.kernel?.once("onBoot", async () => {
 			this.options = extend(true, this.options, this.module.options.certificates || {});
 			await this.generateServerCertificates();
@@ -418,7 +443,7 @@ var Certificate = class Certificate extends Service {
 		}
 	}
 	generateKeys() {
-		return this.forgeLib.pki.rsa.generateKeyPair(this.certOptions.openssl.size);
+		return this.forgeLib.pki.rsa.generateKeyPair(this.certOptions.selfSigned.size);
 	}
 	generatePrivateKeyPem() {
 		if (this.keysPair) return Buffer.from(this.forgeLib.pki.privateKeyToPem(this.keysPair.privateKey));
@@ -434,7 +459,7 @@ var Certificate = class Certificate extends Service {
 	}
 	createCertificate() {
 		if (!this.keysPair) throw new Error(`KeyPair  not found`);
-		const o = this.certOptions.openssl;
+		const o = this.certOptions.selfSigned;
 		const cert = this.forgeLib.pki.createCertificate();
 		cert.publicKey = this.keysPair.publicKey;
 		cert.serialNumber = Certificate.generateSerialHex();
@@ -491,7 +516,7 @@ var Certificate = class Certificate extends Service {
 	*/
 	sign() {
 		if (!this.certForge || !this.keysPair) throw new Error(`pki.rsa.KeyPair or pki.Certificate  not found`);
-		this.certForge.sign(this.keysPair.privateKey, this.digestFor(this.certOptions.openssl.hash));
+		this.certForge.sign(this.keysPair.privateKey, this.digestFor(this.certOptions.selfSigned.hash));
 	}
 	/**
 	* Résumé introspectable du certificat serveur courant — réutilisé par la

package/dist/nodefony/service/http-kernel.js

@@ -12,8 +12,8 @@ import DefaultRequestLogger from "./request-logger.js";
 import JsonAuditLogger from "./audit-logger.js";
 import PrettyRequestLogger from "./pretty-request-logger.js";
 import { resolveTraceparent } from "./trace.js";
-import __decorateMetadata from "../../_virtual/_@oxc-project_runtime@0.148.0/helpers/esm/decorateMetadata.js";
-import __decorate from "../../_virtual/_@oxc-project_runtime@0.148.0/helpers/esm/decorate.js";
+import __decorateMetadata from "../../_virtual/_@oxc-project_runtime@0.149.0/helpers/esm/decorateMetadata.js";
+import __decorate from "../../_virtual/_@oxc-project_runtime@0.149.0/helpers/esm/decorate.js";
 import { GcScheduler, Module, RequestContext, Service, injectable, logColor, nodefonyError, writeRuntimeState } from "nodefony";
 import cluster from "node:cluster";
 import Ws from "ws";

package/dist/nodefony/service/servers/server-http.js

@@ -1,10 +1,10 @@
-import __decorateMetadata from "../../../_virtual/_@oxc-project_runtime@0.148.0/helpers/esm/decorateMetadata.js";
-import __decorate from "../../../_virtual/_@oxc-project_runtime@0.148.0/helpers/esm/decorate.js";
+import __decorateMetadata from "../../../_virtual/_@oxc-project_runtime@0.149.0/helpers/esm/decorateMetadata.js";
+import __decorate from "../../../_virtual/_@oxc-project_runtime@0.149.0/helpers/esm/decorate.js";
 import http_kernel_default from "../http-kernel.js";
 import { handleClientError } from "./clientError.js";
 import { createDrainTerminator } from "./serverShutdown.js";
 import { bindWithFallback, buildBindPlan } from "../../src/servers/portBinder.js";
-import __decorateParam from "../../../_virtual/_@oxc-project_runtime@0.148.0/helpers/esm/decorateParam.js";
+import __decorateParam from "../../../_virtual/_@oxc-project_runtime@0.149.0/helpers/esm/decorateParam.js";
 import { Module, Service, extend, inject, nodefonyError } from "nodefony";
 import http from "node:http";
 //#region nodefony/service/servers/server-http.ts

package/dist/nodefony/service/servers/server-https.js

@@ -1,10 +1,10 @@
-import __decorateMetadata from "../../../_virtual/_@oxc-project_runtime@0.148.0/helpers/esm/decorateMetadata.js";
-import __decorate from "../../../_virtual/_@oxc-project_runtime@0.148.0/helpers/esm/decorate.js";
+import __decorateMetadata from "../../../_virtual/_@oxc-project_runtime@0.149.0/helpers/esm/decorateMetadata.js";
+import __decorate from "../../../_virtual/_@oxc-project_runtime@0.149.0/helpers/esm/decorate.js";
 import http_kernel_default from "../http-kernel.js";
 import { handleClientError } from "./clientError.js";
 import { createDrainTerminator } from "./serverShutdown.js";
 import { bindWithFallback, buildBindPlan } from "../../src/servers/portBinder.js";
-import __decorateParam from "../../../_virtual/_@oxc-project_runtime@0.148.0/helpers/esm/decorateParam.js";
+import __decorateParam from "../../../_virtual/_@oxc-project_runtime@0.149.0/helpers/esm/decorateParam.js";
 import { Module, Service, extend, inject, nodefonyError } from "nodefony";
 import http2 from "node:http2";
 import https from "node:https";

package/dist/nodefony/service/servers/server-websocket-secure.js

@@ -1,7 +1,7 @@
-import __decorateMetadata from "../../../_virtual/_@oxc-project_runtime@0.148.0/helpers/esm/decorateMetadata.js";
-import __decorate from "../../../_virtual/_@oxc-project_runtime@0.148.0/helpers/esm/decorate.js";
+import __decorateMetadata from "../../../_virtual/_@oxc-project_runtime@0.149.0/helpers/esm/decorateMetadata.js";
+import __decorate from "../../../_virtual/_@oxc-project_runtime@0.149.0/helpers/esm/decorate.js";
 import http_kernel_default from "../http-kernel.js";
-import __decorateParam from "../../../_virtual/_@oxc-project_runtime@0.148.0/helpers/esm/decorateParam.js";
+import __decorateParam from "../../../_virtual/_@oxc-project_runtime@0.149.0/helpers/esm/decorateParam.js";
 import { startHeartbeat, trackPong } from "./wsHeartbeat.js";
 import { Module, Service, inject } from "nodefony";
 import Ws, { WebSocketServer } from "ws";

package/dist/nodefony/service/servers/server-websocket.js

@@ -1,7 +1,7 @@
-import __decorateMetadata from "../../../_virtual/_@oxc-project_runtime@0.148.0/helpers/esm/decorateMetadata.js";
-import __decorate from "../../../_virtual/_@oxc-project_runtime@0.148.0/helpers/esm/decorate.js";
+import __decorateMetadata from "../../../_virtual/_@oxc-project_runtime@0.149.0/helpers/esm/decorateMetadata.js";
+import __decorate from "../../../_virtual/_@oxc-project_runtime@0.149.0/helpers/esm/decorate.js";
 import http_kernel_default from "../http-kernel.js";
-import __decorateParam from "../../../_virtual/_@oxc-project_runtime@0.148.0/helpers/esm/decorateParam.js";
+import __decorateParam from "../../../_virtual/_@oxc-project_runtime@0.149.0/helpers/esm/decorateParam.js";
 import { startHeartbeat, trackPong } from "./wsHeartbeat.js";
 import { Module, Service, inject } from "nodefony";
 import Ws, { WebSocketServer } from "ws";

package/dist/nodefony/service/sessions/sessions-service.js

@@ -1,12 +1,12 @@
 import { SESSION_FACETS } from "../../src/session/storage/sessionFilters.js";
-import __decorateMetadata from "../../../_virtual/_@oxc-project_runtime@0.148.0/helpers/esm/decorateMetadata.js";
-import __decorate from "../../../_virtual/_@oxc-project_runtime@0.148.0/helpers/esm/decorate.js";
+import __decorateMetadata from "../../../_virtual/_@oxc-project_runtime@0.149.0/helpers/esm/decorateMetadata.js";
+import __decorate from "../../../_virtual/_@oxc-project_runtime@0.149.0/helpers/esm/decorate.js";
 import http_kernel_default from "../http-kernel.js";
-import __decorateParam from "../../../_virtual/_@oxc-project_runtime@0.148.0/helpers/esm/decorateParam.js";
+import __decorateParam from "../../../_virtual/_@oxc-project_runtime@0.149.0/helpers/esm/decorateParam.js";
 import Session from "../../src/session/session.js";
 import MemorySessionStorage from "../../src/session/storage/MemorySessionStorage.js";
 import RevocationGuardStorage from "../../src/session/storage/RevocationGuardStorage.js";
-import { AUTO_STORE, EMPTY_INFRA, GcScheduler, Module, Nodefony, RequestContext, Service, countFacets, extend, inject, injectable, readStoreLocation, resolveAutoStore } from "nodefony";
+import { AUTO_STORE, EMPTY_INFRA, GcScheduler, Module, Nodefony, RequestContext, Service, countFacets, extend, inject, injectable, readStoreLocation, resolveAutoStore, runNeedsExternalServices } from "nodefony";
 import { createHash, createHmac } from "node:crypto";
 //#region nodefony/service/sessions/sessions-service.ts
 var _SessionsService;
@@ -142,7 +142,7 @@ let SessionsService = class SessionsService extends Service {
 		const configured = storeName;
 		let reason = `store explicitement configuré ("${configured}")`;
 		if (storeName === AUTO_STORE) {
-			const auto = resolveAutoStore("session", this.kernel?.infra ?? EMPTY_INFRA, _SessionsService.storageHandlers(), "memory");
+			const auto = resolveAutoStore("session", this.kernel?.infra ?? EMPTY_INFRA, _SessionsService.storageHandlers(), "memory", runNeedsExternalServices(this.kernel));
 			storeName = auto.store;
 			reason = auto.reason;
 			this.log(`session.store "auto" → "${storeName}" (${auto.reason})`, "INFO");

package/dist/nodefony/service/upload/upload-service.js

@@ -1,7 +1,7 @@
-import __decorateMetadata from "../../../_virtual/_@oxc-project_runtime@0.148.0/helpers/esm/decorateMetadata.js";
-import __decorate from "../../../_virtual/_@oxc-project_runtime@0.148.0/helpers/esm/decorate.js";
+import __decorateMetadata from "../../../_virtual/_@oxc-project_runtime@0.149.0/helpers/esm/decorateMetadata.js";
+import __decorate from "../../../_virtual/_@oxc-project_runtime@0.149.0/helpers/esm/decorate.js";
 import http_kernel_default from "../http-kernel.js";
-import __decorateParam from "../../../_virtual/_@oxc-project_runtime@0.148.0/helpers/esm/decorateParam.js";
+import __decorateParam from "../../../_virtual/_@oxc-project_runtime@0.149.0/helpers/esm/decorateParam.js";
 import { Cli, FileClass, Module, Service, inject } from "nodefony";
 import fs from "node:fs";
 import fsp from "node:fs/promises";

package/dist/nodefony/src/context/domainMatcher.js

@@ -74,6 +74,39 @@ function compileTrustedHosts(domain, trusted, isDev) {
 	return compileDomainPatterns(patterns);
 }
 /**
+* Rend les NOMS d'hôtes que la barrière `trustedHosts` accepte — la même
+* politique que {@link compileTrustedHosts}, mais lisible par un humain ou par
+* un générateur de configuration (`server_name` nginx, `hdr(host)` haproxy).
+*
+* Pourquoi une seconde lecture de la même règle : une `RegExp` ne se réécrit pas
+* en nom d'hôte. La commande `proxy:generate` lisait donc `trustedHosts` à sa
+* façon, en le supposant TOUJOURS `string[]` — alors que sa valeur par DÉFAUT
+* est `false`, celle de toute application générée. Une politique lue à deux
+* endroits finit par diverger : ici les deux fonctions partent de la même
+* valeur, et la règle « le domaine canonique est toujours accepté » n'est
+* écrite qu'une fois.
+*
+* Le loopback de développement n'en fait volontairement pas partie : une
+* configuration de proxy décrit un déploiement, pas la machine de l'auteur.
+*
+* @param domain - domaine canonique du serveur (`kernel.domain`).
+* @param trusted - config `http.trustedHosts` (optionnelle).
+* @returns les noms acceptés, sans doublon. **Vide** si `trusted === true`
+*   (bypass : le proxy filtre déjà le `Host`, aucun nom n'est à imposer) ; les
+*   motifs `RegExp` sont écartés, faute d'être exprimables en nom d'hôte.
+*/
+function resolveTrustedHostNames(domain, trusted) {
+	if (trusted === true) return [];
+	const patterns = [domain];
+	if (trusted) {
+		if (Array.isArray(trusted)) patterns.push(...trusted);
+		else patterns.push(trusted);
+	}
+	const names = [];
+	for (const p of patterns) if (typeof p === "string" && p && !names.includes(p)) names.push(p);
+	return names;
+}
+/**
 * Teste un `Host` entrant contre une liste de `RegExp` pré-compilée.
 *
 * @param regAlias - sortie de {@link compileTrustedHosts} ou {@link compileDomainPatterns}.
@@ -85,4 +118,4 @@ function isDomainAllowed(regAlias, domain) {
 	return false;
 }
 //#endregion
-export { compileDomainPattern, compileDomainPatterns, compileTrustedHosts, isDomainAllowed };
+export { compileDomainPattern, compileDomainPatterns, compileTrustedHosts, isDomainAllowed, resolveTrustedHostNames };

package/dist/nodefony/src/proxy/generateProxyConfig.js

@@ -10,7 +10,8 @@ const defaultIntrospection = {
 	listen: 80,
 	reencrypt: false,
 	maxBodyBytes: 0,
-	keepaliveIntervalMs: 0
+	keepaliveIntervalMs: 0,
+	tls: null
 };
 /**
 * Délai d'inactivité, en secondes, qu'un proxy doit accorder à une connexion
@@ -68,23 +69,49 @@ function generateNginxConfig(intro) {
 	const backendPort = intro.reencrypt ? intro.httpsPort : intro.httpPort;
 	const idleSeconds = idleTimeoutSeconds(intro);
 	const lines = [];
-	lines.push("# Généré par `nodefony proxy:generate nginx` — NE PAS éditer à la main.", "# Reverse-proxy dérivé de l'introspection Nodefony (domaines, statiques, ports).", "worker_processes auto;", "events { worker_connections 1024; }", "", "http {", "  # Upgrade WebSocket — HTTP et WS co-habitent sur le même port Nodefony.", "  map $http_upgrade $connection_upgrade { default upgrade; '' close; }", "", `  upstream nodefony { server ${intro.backendHost}:${backendPort}; keepalive 32; }`, "");
+	lines.push("# Généré par `nodefony proxy:generate nginx` — NE PAS éditer à la main.", "# Reverse-proxy dérivé de l'introspection Nodefony (domaines, statiques, ports).", "worker_processes auto;", "events { worker_connections 1024; }", "", "http {", "  include /etc/nginx/mime.types;", "  default_type application/octet-stream;", "", "  server_tokens off;", "", "  sendfile on;", "  tcp_nopush on;", "  tcp_nodelay on;", "", "  gzip on;", "  gzip_vary on;", "  gzip_min_length 1024;", "  gzip_proxied any;", "  gzip_types text/plain text/css text/xml application/javascript application/json application/xml image/svg+xml application/manifest+json;", "", "  # Upgrade WebSocket — HTTP et WS co-habitent sur le même port Nodefony.", "  map $http_upgrade $connection_upgrade { default upgrade; '' close; }", "", `  upstream nodefony { server ${intro.backendHost}:${backendPort}; keepalive 32; }`, "");
 	if (intro.maxBodyBytes > 0) lines.push(`  # Aligné sur \`http.maxBodySize\` (${intro.maxBodyBytes} octets) — sans quoi`, "  # nginx rendrait 413 à 1 Mo, son défaut, sans que le serveur le sache.", `  client_max_body_size ${intro.maxBodyBytes};`, "");
-	lines.push("  server {", `    listen ${intro.listen};`, `    server_name ${serverNames(intro.domains)};`);
+	lines.push(...nginxServerBlock(intro, scheme, idleSeconds, null));
+	if (intro.tls) lines.push("", ...nginxServerBlock(intro, scheme, idleSeconds, intro.tls));
+	lines.push("}", "");
+	return lines.join("\n");
+}
+/**
+* Un bloc `server {}` nginx — corps IDENTIQUE en clair et en TLS.
+*
+* Le scheme annoncé au backend reste `$scheme`, que nginx CONSTATE sur la
+* connexion entrante : le même corps sert donc les deux écoutes sans qu'aucune
+* n'ait à savoir laquelle elle est. C'est ce qui fait qu'un cookie `Secure`
+* tient derrière le frontal alors que le lien interne est en clair.
+*
+* @param intro - modèle d'introspection Nodefony.
+* @param scheme - `http` ou `https` vers le BACKEND (re-chiffrement).
+* @param idleSeconds - inactivité tolérée, dérivée du heartbeat WebSocket.
+* @param tls - terminaison TLS de CE bloc, ou `null` pour une écoute en clair.
+* @returns les lignes du bloc `server`.
+*/
+function nginxServerBlock(intro, scheme, idleSeconds, tls) {
+	const lines = ["  server {"];
+	if (tls) lines.push(`    listen ${tls.listen} ssl;`, "    http2 on;", `    server_name ${serverNames(intro.domains)};`, "", "    # Terminaison TLS au frontal. Ces chemins sont ceux d'un MONTAGE, à", "    # pourvoir au déploiement (volume compose, secret k8s) : une clé privée", "    # n'entre pas dans une image, où la couche reste lisible même effacée.", `    ssl_certificate     ${tls.certPath};`, `    ssl_certificate_key ${tls.keyPath};`, "    ssl_protocols TLSv1.2 TLSv1.3;", "    ssl_session_cache shared:SSL:10m;", "    ssl_session_timeout 1h;", "", "    error_page 497 =301 https://$http_host$request_uri;");
+	else lines.push(`    listen ${intro.listen};`, `    server_name ${serverNames(intro.domains)};`);
 	if (intro.reencrypt) lines.push("    # Re-encrypt : valider le cert backend (cf docker/certs).", "    # proxy_ssl_trusted_certificate /etc/nginx/certs/ca.pem;", "    # proxy_ssl_verify on; proxy_ssl_name nodefony.com;");
-	for (const m of intro.mounts) lines.push("", `    location ${m.prefix} {`, `      alias ${ensureTrailingSlash(m.dir)};`, "      access_log off;", "      expires 1h;", "    }");
+	for (const m of intro.mounts) {
+		const prefix = ensureTrailingSlash(m.prefix);
+		const dir = ensureTrailingSlash(m.dir);
+		lines.push("", `    location ${prefix}assets/ {`, `      alias ${dir}assets/;`, "      access_log off;", "      expires 1y;", "      add_header Cache-Control \"public, immutable\";", "    }", "", `    location ${prefix} {`, `      alias ${dir};`, "      access_log off;", "      expires 1h;", "    }");
+	}
 	lines.push("", `    location @nodefony {`, `      proxy_pass ${scheme}://nodefony;`, "      proxy_http_version 1.1;", nginxForwardHeaders(idleSeconds), "    }");
 	if (intro.staticRoots.length === 0) lines.push("", "    location / {", `      proxy_pass ${scheme}://nodefony;`, "      proxy_http_version 1.1;", nginxForwardHeaders(idleSeconds), "    }");
 	else {
 		const roots = intro.staticRoots;
-		lines.push("", "    # Statiques multi-dossiers (racine app + modules) : chaîne try_files,", "    # fallback vers le backend Nodefony si aucun fichier ne matche.", "    location / {", `      root ${roots[0]};`, `      try_files $uri ${roots.length > 1 ? "@r1" : "@nodefony"};`, "    }");
+		lines.push("", roots.length > 1 ? "    # Statiques multi-dossiers (racine app + modules) : chaîne try_files,\n    # fallback vers le backend Nodefony si aucun fichier ne matche." : "    # Statiques servis par le frontal ; fallback vers le backend\n    # Nodefony si aucun fichier ne correspond.", "    location / {", `      root ${roots[0]};`, `      try_files $uri ${roots.length > 1 ? "@r1" : "@nodefony"};`, "    }");
 		for (let i = 1; i < roots.length; i++) {
 			const next = i + 1 < roots.length ? `@r${i + 1}` : "@nodefony";
 			lines.push(`    location @r${i} {`, `      root ${roots[i]};`, `      try_files $uri ${next};`, "    }");
 		}
 	}
-	lines.push("  }", "}", "");
-	return lines.join("\n");
+	lines.push("  }");
+	return lines;
 }
 /**
 * Génère une configuration haproxy (reverse-proxy + Forwarded RFC 7239).

package/dist/types/index.d.ts

@@ -54,11 +54,11 @@ declare class Http extends Module<IHttpConfig> {
 }
 export default Http;
 export { defineHttpConfig, httpConfigJsonSchema, } from "./nodefony/config/defineModuleConfig.js";
-export { httpConfigSchema, type HttpConfig, type HttpConfigInput, } from "./nodefony/config/config.js";
+export { httpConfigSchema } from "./nodefony/config/config.js";
 export type { IHttpConfig, IHttpConfigInput, } from "./nodefony/interfaces/IHttpConfig.js";
 export { decideSend, readBackpressureOptions, type WsBackpressurePolicy, type WsSendDecision, type IWsBackpressureOptions, type IBackpressureSocket, type IBackpressureTarget, } from "./nodefony/src/context/websocket/wsBackpressure.js";
 export { compileDomainPattern, compileDomainPatterns, compileTrustedHosts, isDomainAllowed, } from "./nodefony/src/context/domainMatcher.js";
-export type { DomainPattern, TrustedHostsConfig, } from "./nodefony/src/context/domainMatcher.js";
+export type { DomainPattern, ITrustedHostsConfig, } from "./nodefony/src/context/domainMatcher.js";
 export { MemoryRateLimitStore } from "./nodefony/src/rateLimit/MemoryRateLimitStore.js";
 export type { IRateLimitStore, IRateLimitOptions, RateLimitVerdict, } from "./nodefony/src/rateLimit/IRateLimitStore.js";
 export { Context, Session, SessionsService, HttpError, HttpKernel, Response, Http2Response, Response as HttpResponse, wsResponse, wsResponse as WebsocketResponse, Cookie, HttpContext, WebsocketContext, HttpRequest, Http2Request, DefaultErrorRenderer, DefaultRequestLogger, JsonAuditLogger, PrettyRequestLogger, Profiler, };

package/dist/types/nodefony/command/proxyGenerateCommand.d.ts

@@ -12,6 +12,10 @@ declare class ProxyGenerate extends Command {
         backend?: string;
         listen?: string;
         reencrypt?: boolean;
+        assetsRoot?: string;
+        tlsCert?: string;
+        tlsKey?: string;
+        tlsListen?: string;
     }): Promise<this>;
     /** Construit le modèle d'introspection depuis le kernel + le service statique. */
     private buildIntrospection;

package/dist/types/nodefony/config/config.d.ts

@@ -74,7 +74,7 @@ export declare const httpConfigSchema: z.ZodObject<{
         dev: z.ZodDefault<z.ZodObject<{
             useMkcert: z.ZodDefault<z.ZodBoolean>;
         }, z.core.$strict>>;
-        openssl: z.ZodDefault<z.ZodObject<{
+        selfSigned: z.ZodDefault<z.ZodObject<{
             size: z.ZodDefault<z.ZodNumber>;
             hash: z.ZodDefault<z.ZodEnum<{
                 sha256: "sha256";
@@ -186,12 +186,12 @@ export declare const httpConfigSchema: z.ZodObject<{
     wsMaxConnectionsPerIp: z.ZodDefault<z.ZodNullable<z.ZodNumber>>;
 }, z.core.$strict>;
 /** Type de sortie (config normalisée + défauts appliqués). */
-export type HttpConfig = z.infer<typeof httpConfigSchema>;
+export type IHttpConfig = z.infer<typeof httpConfigSchema>;
 /** Type d'entrée (toutes sections omissibles — défauts du schéma). */
-export type HttpConfigInput = z.input<typeof httpConfigSchema>;
+export type IHttpConfigInput = z.input<typeof httpConfigSchema>;
 /**
  * Défauts du module, matérialisés depuis le schéma (source unique). Toujours
  * valides par construction ; passés au `super(..., config)` du Module class.
  */
-declare const config: HttpConfig;
+declare const config: IHttpConfig;
 export default config;

package/dist/types/nodefony/interfaces/IHttpConfig.d.ts

@@ -1,12 +1,16 @@
-import type { HttpConfig, HttpConfigInput } from "../config/config.js";
 /**
- * Configuration validée de `@nodefony/http` (sortie du parse Zod + défauts
- * kernel appliqués par le builder). Source de vérité = `../config/config.ts`.
+ * Barrel d'interfaces de la configuration de `@nodefony/http`.
+ *
+ * Ces types sont DÉRIVÉS du schéma Zod — leur source de vérité unique est
+ * `../config/config.ts`, et ce fichier ne fait que les republier sous le chemin
+ * d'interfaces attendu par la convention du dépôt (`nodefony/interfaces/I*.ts`).
+ *
+ * ⚠️ Un ré-export, jamais un alias (`export type IHttpConfig = HttpConfig`) :
+ * un alias publierait DEUX noms pour le même type, tous deux dans les `.d.ts`
+ * et l'autocomplétion du consommateur, sans que rien ne dise lequel est le bon.
  */
-export type IHttpConfig = HttpConfig;
-/**
- * Configuration brute fournie par l'application (toutes sections optionnelles —
- * les sections omises reçoivent leurs défauts). Entrée du builder
- * {@link import("../config/defineModuleConfig").defineHttpConfig}.
- */
-export type IHttpConfigInput = HttpConfigInput;
+export type { 
+/** Type de sortie (config normalisée + défauts appliqués). */
+IHttpConfig, 
+/** Type d'entrée (toutes sections omissibles — défauts du schéma). */
+IHttpConfigInput, } from "../config/config.js";