@nodefony/security 10.0.0-alpha.2 → 10.0.0-alpha.4

package/dist/_virtual/{_@oxc-project_runtime@0.148.0 → _@oxc-project_runtime@0.149.0}/helpers/esm/decorate.js

@@ -1,4 +1,4 @@
-//#region \0@oxc-project+runtime@0.148.0/helpers/esm/decorate.js
+//#region \0@oxc-project+runtime@0.149.0/helpers/esm/decorate.js
 function __decorate(decorators, target, key, desc) {
 	var c = arguments.length, r = c < 3 ? target : desc === null ? desc = Object.getOwnPropertyDescriptor(target, key) : desc, d;
 	if (typeof Reflect === "object" && typeof Reflect.decorate === "function") r = Reflect.decorate(decorators, target, key, desc);

package/dist/_virtual/{_@oxc-project_runtime@0.148.0 → _@oxc-project_runtime@0.149.0}/helpers/esm/decorateMetadata.js

@@ -1,4 +1,4 @@
-//#region \0@oxc-project+runtime@0.148.0/helpers/esm/decorateMetadata.js
+//#region \0@oxc-project+runtime@0.149.0/helpers/esm/decorateMetadata.js
 function __decorateMetadata(k, v) {
 	if (typeof Reflect === "object" && typeof Reflect.metadata === "function") return Reflect.metadata(k, v);
 }

package/dist/index.js

@@ -44,6 +44,10 @@ import { Authorization } from "./nodefony/service/authorization.js";
 import { MemoryWebAuthnCredentialStore } from "./nodefony/src/webauthn/MemoryWebAuthnCredentialStore.js";
 import { getWebAuthnStoreFactory, listWebAuthnStores, registerWebAuthnStore } from "./nodefony/src/webauthn/webAuthnCredentialStoreRegistry.js";
 import { WebAuthnService } from "./nodefony/service/webAuthn.js";
+import { OAuth2Client, OAuth2RequestError, OAuth2Tokens, createCodeChallenge, generateCodeVerifier, generateState } from "./nodefony/src/oauth/oauth2Client.js";
+import { discoverAuthorizationServer } from "./nodefony/src/oauth/metadata.js";
+import { createDiscoveredOidcProvider, createOidcProvider } from "./nodefony/src/oauth/providers/oidc.js";
+import { createGithubProvider } from "./nodefony/src/oauth/providers/github.js";
 import { getOAuthProviderFactory, listOAuthProviders, registerOAuthProvider } from "./nodefony/src/oauth/oauthProviderRegistry.js";
 import { OAuth2Service } from "./nodefony/service/oauth2.js";
 import { TOKEN_FACETS } from "./nodefony/src/token/tokenFilters.js";
@@ -72,8 +76,8 @@ import SecurityUserDelete from "./nodefony/command/security-user-delete.js";
 import SecurityToken from "./nodefony/command/security-token.js";
 import { createSecurityAdminApi, parseAuditQuery, registerSecurityAdminApi } from "./nodefony/src/admin/SecurityAdminApi.js";
 import { registerUserRevocationCascade } from "./nodefony/src/admin/userRevocationCascade.js";
-import __decorateMetadata from "./_virtual/_@oxc-project_runtime@0.148.0/helpers/esm/decorateMetadata.js";
-import __decorate from "./_virtual/_@oxc-project_runtime@0.148.0/helpers/esm/decorate.js";
+import __decorateMetadata from "./_virtual/_@oxc-project_runtime@0.149.0/helpers/esm/decorateMetadata.js";
+import __decorate from "./_virtual/_@oxc-project_runtime@0.149.0/helpers/esm/decorate.js";
 import { tokenStatusCriteria } from "./nodefony/src/token/tokenCriteria.js";
 import { AccessDeniedError } from "./nodefony/errors/AccessDeniedError.js";
 import "./nodefony/errors/index.js";
@@ -148,4 +152,4 @@ Security = __decorate([services([
 ]), __decorateMetadata("design:paramtypes", [typeof Kernel === "undefined" ? Object : Kernel])], Security);
 var security_default = Security;
 //#endregion
-export { AccessDeniedError, AccessTokenVerifierService, AnonymousAuthenticator, AnonymousToken, ApiKeyAuthenticator, ApiKeyError, ApiKeyService, AuditService, AuthFlow, AuthenticationError, Authorization, Cors, Csrf, CsrfError, CsrfTokenManager, ExternalJwtAuthenticator, Firewall, InvalidTargetError, JwtAuthenticator, JwtKeystore, LoginThrottler, MemoryAuditStore, MemoryTokenStore, MemoryTotpSecretStore, MemoryWebAuthnCredentialStore, MemoryWebhookStore, OAuth2Service, RemoteJwtVerifier, RoleHierarchyWalker, RoleVoter, ScopeVoter, SecuredArea, SecurityHeaders, SessionAuthenticator, SsrfError, TOKEN_DEFAULT_ORDER, TOKEN_FACETS, TOKEN_SORTABLE_FIELDS, ThrottledError, TokenService, TotpService, UnverifiableTokenError, UserPasswordAuthenticator, UserToken, VoterVote, WEBHOOK_DEFAULT_ORDER, WEBHOOK_SORTABLE_FIELDS, WebAuthnService, WebhookService, assertPublicUrl, base32Decode, beginTotpEnrollment, confirmTotpEnrollment, createSecurityAdminApi, decryptSecret, security_default as default, defineSecurityConfig, deriveKey, deriveTotpKey, disableTotp, encryptSecret, generateApiKey, generateEphemeralKey, getAuditStoreFactory, getAuthenticatorFactory, getOAuthProviderFactory, getTokenStoreFactory, getTotpStoreFactory, getWebAuthnStoreFactory, getWebhookStoreFactory, hashApiKey, isBlockedAddress, listAuditStores, listAuthenticatorFactories, listOAuthProviders, listTokenStores, listTotpStores, listVoterFactories, listWebAuthnStores, listWebhookStores, looksLikeApiKey, matchesTokenStatus, parseApiKey, parseAuditQuery, peekIssuer, readAuditContext, recordAudit, registerAuditStore, registerAuthenticatorFactory, registerOAuthProvider, registerSecurityAdminApi, registerTokenStore, registerTotpStore, registerVoterFactory, registerWebAuthnStore, registerWebhookStore, resolveJwtRuntime, securityConfigJsonSchema, tokenStatusCriteria, tokenStatusOf, totpCode, totpStatus, verifyTotpLogin };
+export { AccessDeniedError, AccessTokenVerifierService, AnonymousAuthenticator, AnonymousToken, ApiKeyAuthenticator, ApiKeyError, ApiKeyService, AuditService, AuthFlow, AuthenticationError, Authorization, Cors, Csrf, CsrfError, CsrfTokenManager, ExternalJwtAuthenticator, Firewall, InvalidTargetError, JwtAuthenticator, JwtKeystore, LoginThrottler, MemoryAuditStore, MemoryTokenStore, MemoryTotpSecretStore, MemoryWebAuthnCredentialStore, MemoryWebhookStore, OAuth2Client, OAuth2RequestError, OAuth2Service, OAuth2Tokens, RemoteJwtVerifier, RoleHierarchyWalker, RoleVoter, ScopeVoter, SecuredArea, SecurityHeaders, SessionAuthenticator, SsrfError, TOKEN_DEFAULT_ORDER, TOKEN_FACETS, TOKEN_SORTABLE_FIELDS, ThrottledError, TokenService, TotpService, UnverifiableTokenError, UserPasswordAuthenticator, UserToken, VoterVote, WEBHOOK_DEFAULT_ORDER, WEBHOOK_SORTABLE_FIELDS, WebAuthnService, WebhookService, assertPublicUrl, base32Decode, beginTotpEnrollment, confirmTotpEnrollment, createCodeChallenge, createDiscoveredOidcProvider, createGithubProvider, createOidcProvider, createSecurityAdminApi, decryptSecret, security_default as default, defineSecurityConfig, deriveKey, deriveTotpKey, disableTotp, discoverAuthorizationServer, encryptSecret, generateApiKey, generateCodeVerifier, generateEphemeralKey, generateState, getAuditStoreFactory, getAuthenticatorFactory, getOAuthProviderFactory, getTokenStoreFactory, getTotpStoreFactory, getWebAuthnStoreFactory, getWebhookStoreFactory, hashApiKey, isBlockedAddress, listAuditStores, listAuthenticatorFactories, listOAuthProviders, listTokenStores, listTotpStores, listVoterFactories, listWebAuthnStores, listWebhookStores, looksLikeApiKey, matchesTokenStatus, parseApiKey, parseAuditQuery, peekIssuer, readAuditContext, recordAudit, registerAuditStore, registerAuthenticatorFactory, registerOAuthProvider, registerSecurityAdminApi, registerTokenStore, registerTotpStore, registerVoterFactory, registerWebAuthnStore, registerWebhookStore, resolveJwtRuntime, securityConfigJsonSchema, tokenStatusCriteria, tokenStatusOf, totpCode, totpStatus, verifyTotpLogin };

package/dist/nodefony/command/security-secrets.js

@@ -1,5 +1,5 @@
 import { readIfPresentSync } from "../src/token/secretFile.js";
-import { Command } from "nodefony";
+import { Command, diskManifestReader, manifestFileWith, readManifestCode } from "nodefony";
 import { randomBytes } from "node:crypto";
 import path from "node:path";
 import { appendFileSync } from "node:fs";
@@ -114,7 +114,10 @@ var SecuritySecrets = class extends Command {
 		const dotenvLocal = this.#read(".env.local");
 		const dotenv = this.#read(".env") + "\n" + dotenvLocal;
 		const envTs = this.#read("env.ts");
-		const cfgTs = this.#read("nodefony.config.ts");
+		const cfgTs = readManifestCode(this.#root(), diskManifestReader);
+		const cfgFile = manifestFileWith(this.#root(), diskManifestReader, /satisfies\s+ISecurityConfigInput/);
+		const cfgRel = path.relative(this.#root(), cfgFile).split(path.sep).join("/");
+		const cfgIsFragment = cfgRel !== "nodefony.config.ts";
 		const missingInDotenv = KEYS.filter((k) => !new RegExp(`^\\s*${k}\\s*=`, "m").test(dotenv));
 		const missingInEnvTs = KEYS.filter((k) => !envTs.includes(k));
 		const WIRING = {
@@ -143,8 +146,9 @@ var SecuritySecrets = class extends Command {
 		w(`${BOLD}2. Fichier ${CYAN}env.ts${RESET}${BOLD} — la déclaration typée${RESET} ${DIM}(env.ts est le seul lecteur de process.env)${RESET}\n`);
 		if (missingInEnvTs.length === 0) w(`   ${GREEN}✓ déjà déclarées${RESET}\n\n`);
 		else w(`   ajoute dans le defineEnv({ … }) :\n\n` + missingInEnvTs.map((k) => `   ${k}: envString({ optional: true }),`).join("\n") + `\n\n`);
-		w(`${BOLD}3. Fichier ${CYAN}nodefony.config.ts${RESET}${BOLD} — le câblage vers le module security${RESET}\n`);
+		w(`${BOLD}3. Fichier ${CYAN}${cfgRel}${RESET}${BOLD} — le câblage vers le module security${RESET}\n`);
 		if (missingInCfg.length === 0) w(`   ${GREEN}✓ déjà câblées${RESET}\n\n`);
+		else if (cfgIsFragment) w(`   complète le descripteur ${CYAN}securityConfig${RESET} :\n\n` + missingInCfg.map((k) => WIRING[k]).join("\n") + `\n\n`);
 		else w("   complète l'entrée security du manifeste modules :\n\n   use(\"@nodefony/security\", {\n" + missingInCfg.map((k) => WIRING[k]).join("\n") + `\n   }),\n\n`);
 		const jwtCable = /keystore\s*:/u.test(cfgTs);
 		w(`${BOLD}4. Fichier ${CYAN}nodefony.config.ts${RESET}${BOLD} — les clés de SIGNATURE des jetons${RESET} ${DIM}(jwt.keystore)${RESET}\n`);

package/dist/nodefony/command/security-token.js

@@ -1,10 +1,11 @@
 import { messageNonRestreint, modeNonRestreint, readIfPresentSync, writeSecretSync } from "../src/token/secretFile.js";
-import { ADMIN_SCOPE_READ, ADMIN_SCOPE_WRITE, AGENT_TARGETS, Command, MCP_ENDPOINT_PATH, MCP_TOKEN_ENV, agentRoot, agentsPresents, alreadyHasKey, chargePrompts, poseVariable, requestedAgents } from "nodefony";
+import { ADMIN_SCOPE_READ, ADMIN_SCOPE_WRITE, AGENT_TARGETS, CONSOLE_DATA_RUN_PROFILE, Command, MCP_ENDPOINT_PATH, MCP_TOKEN_ENV, agentRoot, agentsPresents, alreadyHasKey, chargePrompts, poseVariable, requestedAgents } from "nodefony";
 import path from "node:path";
 import { existsSync } from "node:fs";
 import { spawnSync } from "node:child_process";
 //#region nodefony/command/security-token.ts
 const options = {
+	runProfile: CONSOLE_DATA_RUN_PROFILE,
 	helpGroup: "COMPTES ET SECRETS",
 	showBanner: false,
 	kernelEvent: "onReady",
@@ -305,10 +306,10 @@ var SecurityToken = class extends Command {
 			let targets = requested ?? [];
 			if (requested === void 0) {
 				const presents = this.#agentsPresents();
-				const porteurs = presents.filter((c) => alreadyHasKey(c.forme, this.#contentOf(c), MCP_TOKEN_ENV));
-				const added = presents.filter((c) => !porteurs.includes(c));
-				targets = porteurs;
-				if (porteurs.length === 0 && added.length > 0 && process.stdin.isTTY) {
+				const carriers = presents.filter((c) => alreadyHasKey(c.forme, this.#contentOf(c), MCP_TOKEN_ENV));
+				const added = presents.filter((c) => !carriers.includes(c));
+				targets = carriers;
+				if (carriers.length === 0 && added.length > 0 && process.stdin.isTTY) {
 					const { checkbox } = await chargePrompts();
 					const chosen = await checkbox({
 						message: "Poser le jeton chez quels agents ?",
@@ -319,7 +320,7 @@ var SecurityToken = class extends Command {
 						}))
 					});
 					targets = added.filter((c) => chosen.includes(c.key));
-				} else if (porteurs.length === 0) targets = added;
+				} else if (carriers.length === 0) targets = added;
 				else if (added.length > 0) w(`${DIM}  ${added.map((c) => c.name).join(", ")} ${added.length > 1 ? "sont présents" : "est présent"} mais ne porte${added.length > 1 ? "nt" : ""} pas encore le jeton — ajoute --agent ${added.map((c) => c.key).join(",")}.${RESET}\n\n`);
 			}
 			if (this.#writeForAgents(token, w, targets) === 0) w(`${YELLOW}⚠ aucun agent reconnu dans ce projet — rien n'est écrit.${RESET}\n${DIM}  Les agents connus rangent leur configuration ici :${RESET}\n` + AGENT_TARGETS.map((c) => `${DIM}    ${c.name} : ${c.scope === "projet" ? c.file : `$${c.home ?? "HOME"}/${c.file}`}${RESET}\n`).join("") + `\n  Le geste qui vaut pour TOUS — dans le shell d'où tu lances l'agent :\n\n  ${BOLD}export ${MCP_TOKEN_ENV}=${token}${RESET}\n\n`);

package/dist/nodefony/command/security-user-add.js

@@ -1,6 +1,7 @@
-import { Command, askPasswordMasked } from "nodefony";
+import { CONSOLE_DATA_RUN_PROFILE, Command, askPasswordMasked } from "nodefony";
 //#region nodefony/command/security-user-add.ts
 const options = {
+	runProfile: CONSOLE_DATA_RUN_PROFILE,
 	helpGroup: "COMPTES ET SECRETS",
 	showBanner: false,
 	kernelEvent: "onPostReady"
@@ -54,9 +55,9 @@ var SecurityUserAdd = class extends Command {
 	#knownRoles() {
 		const hierarchy = ((this.kernel?.modules)?.security?.options)?.roleHierarchy;
 		const all = /* @__PURE__ */ new Set([ROLE_BASE]);
-		for (const [porteur, couverts] of Object.entries(hierarchy ?? {})) {
-			all.add(porteur);
-			for (const c of couverts) all.add(c);
+		for (const [role, covered] of Object.entries(hierarchy ?? {})) {
+			all.add(role);
+			for (const c of covered) all.add(c);
 		}
 		return [ROLE_BASE, ...[...all].filter((r) => r !== ROLE_BASE).sort()];
 	}

package/dist/nodefony/command/security-user-delete.js

@@ -1,6 +1,7 @@
-import { Command } from "nodefony";
+import { CONSOLE_DATA_RUN_PROFILE, Command } from "nodefony";
 //#region nodefony/command/security-user-delete.ts
 const options = {
+	runProfile: CONSOLE_DATA_RUN_PROFILE,
 	helpGroup: "COMPTES ET SECRETS",
 	showBanner: false,
 	kernelEvent: "onPostReady",

package/dist/nodefony/command/security-user-list.js

@@ -1,6 +1,7 @@
-import { Command } from "nodefony";
+import { CONSOLE_DATA_RUN_PROFILE, Command } from "nodefony";
 //#region nodefony/command/security-user-list.ts
 const options = {
+	runProfile: CONSOLE_DATA_RUN_PROFILE,
 	helpGroup: "COMPTES ET SECRETS",
 	showBanner: false,
 	kernelEvent: "onReady",

package/dist/nodefony/config/config.js

@@ -303,12 +303,15 @@ const studioSchema = z.strictObject({
 const oauthProviderSchema = z.strictObject({
 	clientId: z.string().min(1).describe("Identifiant client OAuth délivré par le fournisseur."),
 	clientSecret: z.string().min(1).describe("Secret client OAuth — SECRET, fourni par env, jamais loggé."),
+	clientAuthMethod: z.enum(["client_secret_basic", "client_secret_post"]).optional().describe("Comment le client s'authentifie au point de jeton (RFC 6749 §2.3). OMIS = `client_secret_basic`, ce que la RFC demande de préférer et ce que la plupart des serveurs annoncent par défaut. Poser `client_secret_post` quand le serveur l'EXIGE — il le publie dans ses métadonnées (`token_endpoint_auth_methods_supported`). La méthode `none` (client public) n'est pas offerte ici : ce schéma exige un secret non vide."),
 	redirectUri: z.string().min(1).describe("URL de callback EXACTE (RFC 9700 : exact string matching) enregistrée chez le fournisseur — doit pointer sur .../oauth2/<provider>/callback."),
 	issuer: z.string().optional().describe("Émetteur OIDC self-hosted (Keycloak : URL du realm, ex. https://kc.example/realms/app). REQUIS pour keycloak ; ignoré par les fournisseurs à endpoints fixes (Google/GitHub)."),
 	scopes: z.array(z.string()).default([]).describe("Scopes demandés. Vide = défauts du fournisseur (Google: openid/profile/email ; GitHub: read:user/user:email)."),
 	successRedirect: z.string().optional().describe("Redirection succès — surcharge le global pour CE fournisseur."),
 	failureRedirect: z.string().optional().describe("Redirection échec — surcharge le global pour CE fournisseur."),
-	defaultRoles: z.array(z.string()).optional().describe("Rôles du Shadow User à la création — surcharge le global pour CE fournisseur.")
+	defaultRoles: z.array(z.string()).optional().describe("Rôles du Shadow User à la création — surcharge le global pour CE fournisseur."),
+	label: z.string().min(1).optional().describe("Libellé du bouton sur l'écran de connexion. OMIS = dérivé du nom du fournisseur (`keycloak` → « Keycloak », `oidc` → « OIDC », `mon-idp` → « Mon Idp »). À poser quand la marque ne se devine pas du nom de la clé (« Connexion agent », « Annuaire interne »)."),
+	hidden: z.boolean().default(false).describe("Retire le bouton de l'écran de connexion SANS désactiver le fournisseur : le flux `/authorize` reste ouvert et fonctionnel. C'est la seule différence avec le fait de ne pas le configurer. Deux usages : une FIXTURE de développement qui pointe vers un serveur fictif (bouton mort), et un fournisseur réservé à un point d'entrée particulier (lien direct, sous-domaine) plutôt qu'offert à tout visiteur.")
 }).describe("Fournisseur OAuth/OIDC (secrets via env).");
 const oauth2Schema = z.strictObject({
 	enabled: z.boolean().default(true).describe("Active le social login (les routes ne montent que si ≥1 provider)."),
@@ -316,8 +319,8 @@ const oauth2Schema = z.strictObject({
 	allowSignup: z.boolean().default(true).describe("true = crée une ligne locale au 1er login (JIT, Shadow User). false = un compte préexistant lié est requis (fail-closed)."),
 	successRedirect: z.string().default("/").describe("Redirection après login réussi."),
 	failureRedirect: z.string().default("/login").describe("Redirection après échec (state invalide, refus utilisateur...)."),
-	providers: z.record(z.string(), oauthProviderSchema).default({}).describe("Fournisseurs activés par nom (doit correspondre au registre : builtins google/keycloak/github ; +50 via arctic en enregistrant une fabrique).")
-}).describe("Social login OAuth 2.0 (arctic) — Authorization Code + PKCE, session BFF.");
+	providers: z.record(z.string(), oauthProviderSchema).default({}).describe("Fournisseurs activés par nom (doit correspondre au registre : builtins google/keycloak/oidc/github ; tout autre serveur OpenID Connect en enregistrant une fabrique, décrit par son seul émetteur).")
+}).describe("Social login OAuth 2.0 — Authorization Code + PKCE, session BFF.");
 /**
 * Règle d'autorisation d'un **namespace de canaux WebSocket** (subscribe/inbound)
 * par préfixe. Contraintes cumulatives ; un champ absent = pas de contrainte sur

package/dist/nodefony/service/auditService.js

@@ -1,6 +1,6 @@
 import { defineSecurityConfig } from "../config/defineModuleConfig.js";
 import { getAuditStoreFactory, listAuditStores } from "../src/audit/auditStoreRegistry.js";
-import { AUTO_STORE, EMPTY_INFRA, GcScheduler, Service, readStoreLocation, resolveAutoStore } from "nodefony";
+import { AUTO_STORE, EMPTY_INFRA, GcScheduler, Service, durableStoreRemedy, readStoreLocation, resolveAutoStore, runNeedsExternalServices } from "nodefony";
 import { randomBytes } from "node:crypto";
 //#region nodefony/service/auditService.ts
 const serviceName = "auditService";
@@ -50,7 +50,7 @@ var AuditService = class extends Service {
 		let storeName = config.audit.store;
 		let reason = `store explicitement configuré ("${storeName}")`;
 		if (storeName === AUTO_STORE) {
-			const auto = resolveAutoStore("durable", this.kernel?.infra ?? EMPTY_INFRA, listAuditStores());
+			const auto = resolveAutoStore("durable", this.kernel?.infra ?? EMPTY_INFRA, listAuditStores(), "memory", runNeedsExternalServices(this.kernel));
 			storeName = auto.store;
 			reason = auto.reason;
 			this.log(`audit.store "auto" → "${storeName}" (${auto.reason})`, "INFO");
@@ -62,7 +62,7 @@ var AuditService = class extends Service {
 			this.log(`${msg} — audit désactivé (journal de sécurité non collecté)`, "CRITIC");
 			return;
 		}
-		if (storeName === "memory" && this.kernel?.environment === "production") this.log("audit.store \"memory\" en PRODUCTION — journal de sécurité volatil et per-pod : perdu au redémarrage, invisible des autres pods, rétention de conformité impossible. Déclarer une infra durable (NF_DATABASE_URL).", "WARNING");
+		if (storeName === "memory" && this.kernel?.environment === "production") this.log("audit.store \"memory\" en PRODUCTION — journal de sécurité volatil et per-pod : perdu au redémarrage, invisible des autres pods, rétention de conformité impossible. " + durableStoreRemedy(runNeedsExternalServices(this.kernel)), "WARNING");
 		this.#enabled = true;
 		this.#idPrefix = randomBytes(4).toString("hex");
 		this.#store = factory({

package/dist/nodefony/service/oauth2.js

@@ -1,12 +1,64 @@
 import { AuthenticationError } from "../errors/AuthenticationError.js";
 import { defineSecurityConfig } from "../config/defineModuleConfig.js";
+import { generateCodeVerifier, generateState } from "../src/oauth/oauth2Client.js";
 import { getOAuthProviderFactory, listOAuthProviders } from "../src/oauth/oauthProviderRegistry.js";
 import { Service } from "nodefony";
 //#region nodefony/service/oauth2.ts
 const serviceName = "oauth2";
 /**
-* **Social login OAuth 2.0** (P6 J9) — orchestrateur du flux *Authorization Code*
-* au-dessus d'`arctic`.
+* Sigles qui se lisent en capitales — les capitaliser mot à mot rendrait
+* « Oidc », « Sso », qu'aucun utilisateur ne reconnaît comme la technologie.
+*/
+const ACRONYMS = /* @__PURE__ */ new Set([
+	"oidc",
+	"sso",
+	"saml",
+	"ldap",
+	"cas",
+	"adfs",
+	"iam"
+]);
+/**
+* Marques dont la casse INTERNE ne se devine pas d'un nom en minuscules.
+*
+* Capitaliser la première lettre rendrait « Github », que la marque n'écrit
+* jamais ainsi — et c'est précisément le nom que l'utilisateur cherche des yeux
+* sur un bouton. Vu à l'écran, pas déduit : la première version de cette
+* fonction affichait « Github » là où la console montrait « GitHub » avant.
+*/
+const CANONICAL_LABELS = {
+	github: "GitHub",
+	gitlab: "GitLab",
+	google: "Google",
+	keycloak: "Keycloak",
+	microsoft: "Microsoft",
+	auth0: "Auth0",
+	okta: "Okta",
+	linkedin: "LinkedIn",
+	paypal: "PayPal",
+	youtube: "YouTube"
+};
+/**
+* Libellé affichable d'un fournisseur, quand sa configuration n'en donne pas.
+*
+* Un écran de connexion ne doit JAMAIS montrer un identifiant technique brut :
+* `mon-idp-interne` sur un bouton ne dit rien à qui doit cliquer. À défaut de
+* marque connue, le nom de la clé de configuration est ce qui s'en rapproche le
+* plus — mais rendu lisible : séparateurs en espaces, initiales en capitales,
+* sigles préservés.
+*
+* Fonction PURE, donc éprouvable sans boot ni réseau.
+*
+* @param name - nom du fournisseur, tel qu'il est écrit dans la configuration
+* @returns le libellé à afficher sur le bouton
+*/
+function oauthDisplayLabel(name) {
+	const canonical = CANONICAL_LABELS[name.toLowerCase()];
+	if (canonical !== void 0) return canonical;
+	return name.split(/[-_.\s]+/).filter((word) => word.length > 0).map((word) => ACRONYMS.has(word.toLowerCase()) ? word.toUpperCase() : word.charAt(0).toUpperCase() + word.slice(1)).join(" ");
+}
+/**
+* **Social login OAuth 2.0** (P6 J9) — orchestrateur du flux *Authorization Code*.
 *
 * Posture OAuth 2.1 (RFC 9700) : Authorization Code uniquement (jamais implicit /
 * ROPC), **PKCE S256** quand le fournisseur le supporte (RFC 7636), **state**
@@ -14,10 +66,11 @@ const serviceName = "oauth2";
 * (le login produit une **session BFF**, gérée hors de ce service par le
 * controller + `AuthFlow`).
 *
-* `arctic` est **importé paresseusement** au premier login (cold path — jamais au
-* boot ni par requête), comme `@simplewebauthn`/`jose`. Au boot (si
-* `oauth2.enabled`) : seule la config est validée et les fournisseurs configurés
-* sont confrontés au registre (un nom inconnu = WARNING, pas fatal).
+* Les fournisseurs sont construits **au premier login** (cold path — jamais au boot
+* ni par requête) puis mémoïsés : c'est là que les points d'entrée d'un émetteur
+* OIDC sont découverts, une seule fois par processus. Au boot (si `oauth2.enabled`)
+* : seule la config est validée et les fournisseurs configurés sont confrontés au
+* registre (un nom inconnu = WARNING, pas fatal).
 *
 * Le service ne touche **ni HTTP ni session** : il rend à l'appelant les éléments
 * (URL, state, verifier) que le controller persiste en session — testable sans
@@ -26,7 +79,6 @@ const serviceName = "oauth2";
 var OAuth2Service = class extends Service {
 	module;
 	#config = null;
-	#lib = null;
 	#providers = null;
 	#ready = false;
 	constructor(module) {
@@ -57,13 +109,38 @@ var OAuth2Service = class extends Service {
 	isEnabled() {
 		return this.#ready;
 	}
-	/** Noms des fournisseurs configurés ET connus du registre (UI : boutons à afficher). */
+	/**
+	* Noms des fournisseurs OPÉRATIONNELS — configurés ET connus du registre.
+	*
+	* 🔴 C'est la **garde d'autorisation** : `/authorize` refuse en 404 tout nom
+	* absent de cette liste. Elle répond donc à « ce flux peut-il s'ouvrir ? »,
+	* jamais à « ce bouton doit-il s'afficher ? » — pour l'écran, voir
+	* {@link listDisplayProviders}. Confondre les deux ferait d'un masquage une
+	* désactivation, et couperait les bancs qui exercent une fixture masquée.
+	*/
 	listProviders() {
 		if (!this.#ready || this.#config === null) return [];
 		const known = new Set(listOAuthProviders());
 		return Object.keys(this.#config.oauth2.providers).filter((n) => known.has(n));
 	}
 	/**
+	* Fournisseurs à MONTRER sur l'écran de connexion, libellés compris.
+	*
+	* Rend TOUT fournisseur opérationnel — y compris ceux dont le framework ne
+	* connaît pas la marque, qui sont précisément ceux qu'une application
+	* enregistre elle-même. Le seul retrait possible est explicite et se lit dans
+	* la configuration du fournisseur (`hidden: true`), à côté de la raison qui
+	* l'a motivé ; il ne désactive rien.
+	*/
+	listDisplayProviders() {
+		if (this.#config === null) return [];
+		const configured = this.#config.oauth2.providers;
+		return this.listProviders().filter((name) => configured[name]?.hidden !== true).map((name) => ({
+			name,
+			label: configured[name]?.label ?? oauthDisplayLabel(name)
+		}));
+	}
+	/**
 	* Redirections post-login (succès / échec) — lues par le controller.
 	* Surcharge PAR FOURNISSEUR si fournie, sinon valeur globale, sinon défaut.
 	*/
@@ -83,11 +160,14 @@ var OAuth2Service = class extends Service {
 	*/
 	async createAuthorization(provider) {
 		const resolved = await this.#resolveProvider(provider);
-		const lib = await this.#ensureLib();
-		const state = lib.generateState();
-		const codeVerifier = resolved.provider.usesPkce ? lib.generateCodeVerifier() : null;
+		const state = generateState();
+		const codeVerifier = resolved.provider.usesPkce ? generateCodeVerifier() : null;
 		return {
-			url: resolved.provider.createAuthorizationURL(state, codeVerifier, resolved.scopes).toString(),
+			url: resolved.provider.createAuthorizationURL({
+				state,
+				codeVerifier,
+				scopes: resolved.scopes
+			}).toString(),
 			state,
 			codeVerifier
 		};
@@ -102,10 +182,15 @@ var OAuth2Service = class extends Service {
 	*/
 	async exchangeAndProvision(provider, code, codeVerifier, returnedIss) {
 		const { provider: p } = await this.#resolveProvider(provider);
-		if (p.expectedIssuer !== null) {
-			if (returnedIss === null || returnedIss !== p.expectedIssuer) throw new AuthenticationError("OAuth issuer mismatch");
+		const policy = p.issuerPolicy;
+		if (policy !== null) {
+			if (returnedIss !== null && returnedIss !== policy.issuer) throw new AuthenticationError("OAuth issuer mismatch");
+			if (returnedIss === null && policy.requireIssParameter) throw new AuthenticationError("OAuth issuer missing");
 		}
-		const tokens = await p.validateAuthorizationCode(code, codeVerifier);
+		const tokens = await p.validateAuthorizationCode({
+			code,
+			codeVerifier
+		});
 		const profile = await p.fetchProfile(tokens);
 		const cfg = this.#config.oauth2;
 		const defaultRoles = cfg.providers[provider]?.defaultRoles ?? cfg.defaultRoles;
@@ -114,40 +199,41 @@ var OAuth2Service = class extends Service {
 			allowSignup: cfg.allowSignup
 		})).identifier };
 	}
-	async #resolveProvider(name) {
+	#resolveProvider(name) {
 		this.#ensureReady();
 		this.#providers ??= /* @__PURE__ */ new Map();
 		const cached = this.#providers.get(name);
 		if (cached) return cached;
+		const pending = this.#buildProvider(name);
+		this.#providers.set(name, pending);
+		pending.catch(() => this.#providers?.delete(name));
+		return pending;
+	}
+	async #buildProvider(name) {
 		const cfg = this.#config.oauth2.providers[name];
 		if (!cfg) throw new AuthenticationError(`OAuth provider "${name}" non configuré`);
 		const factory = getOAuthProviderFactory(name);
 		if (!factory) throw new AuthenticationError(`OAuth provider "${name}" inconnu du registre`);
-		const provider = factory({
-			arctic: await this.#ensureLib(),
+		const provider = await factory({
 			clientId: cfg.clientId,
 			clientSecret: cfg.clientSecret,
+			clientAuthMethod: cfg.clientAuthMethod,
 			redirectUri: cfg.redirectUri,
 			issuer: cfg.issuer
 		});
-		const resolved = {
+		return {
 			provider,
 			scopes: cfg.scopes.length > 0 ? cfg.scopes : provider.defaultScopes
 		};
-		this.#providers.set(name, resolved);
-		return resolved;
 	}
 	#resolveProvisioner() {
 		const users = this.get("users");
 		if (!users || typeof users.provisionOAuthUser !== "function") throw new AuthenticationError("OAuth provisioning indisponible (le service users n'implémente pas IOAuthUserProvisioner)");
 		return users;
 	}
-	async #ensureLib() {
-		return this.#lib ??= await import("arctic");
-	}
 	#ensureReady() {
 		if (!this.#ready || this.#config === null) throw new Error("OAuth2Service: non initialisé (social login désactivé ou boot échoué)");
 	}
 };
 //#endregion
-export { OAuth2Service, OAuth2Service as default };
+export { OAuth2Service, OAuth2Service as default, oauthDisplayLabel };

package/dist/nodefony/service/tokenService.js

@@ -6,7 +6,7 @@ import { recordAudit } from "../src/audit/recordAudit.js";
 import { InvalidTargetError } from "../errors/InvalidTargetError.js";
 import { getTokenStoreFactory, listTokenStores } from "../src/token/tokenStoreRegistry.js";
 import { JwtKeystore } from "../src/token/JwtKeystore.js";
-import { AUTO_STORE, EMPTY_INFRA, GcScheduler, Service, canonicalIssuer, readStoreLocation, refusedAdminScopes, resolveAutoStore } from "nodefony";
+import { AUTO_STORE, EMPTY_INFRA, GcScheduler, Service, canonicalIssuer, durableStoreRemedy, readStoreLocation, refusedAdminScopes, resolveAutoStore, runNeedsExternalServices } from "nodefony";
 import { createHash, randomBytes, randomUUID } from "node:crypto";
 //#region nodefony/service/tokenService.ts
 const serviceName = "tokenService";
@@ -59,7 +59,7 @@ var TokenService = class extends Service {
 		let storeName = config.tokenStore.store;
 		let reason = `store explicitement configuré ("${storeName}")`;
 		if (storeName === AUTO_STORE) {
-			const auto = resolveAutoStore("durable", this.kernel?.infra ?? EMPTY_INFRA, listTokenStores());
+			const auto = resolveAutoStore("durable", this.kernel?.infra ?? EMPTY_INFRA, listTokenStores(), "memory", runNeedsExternalServices(this.kernel));
 			storeName = auto.store;
 			reason = auto.reason;
 			this.log(`tokenStore "auto" → "${storeName}" (${auto.reason})`, "INFO");
@@ -71,7 +71,7 @@ var TokenService = class extends Service {
 			this.log(`${msg} — JWT/clés API indisponibles`, "CRITIC");
 			return;
 		}
-		if (storeName === "memory" && this.kernel?.environment === "production") this.log("tokenStore \"memory\" en PRODUCTION — denylist JWT, refresh tokens et clés API per-pod et volatils : révocation non partagée entre pods, tout est perdu au redémarrage. Déclarer une infra durable (NF_DATABASE_URL) ou un store persistant.", "WARNING");
+		if (storeName === "memory" && this.kernel?.environment === "production") this.log("tokenStore \"memory\" en PRODUCTION — denylist JWT, refresh tokens et clés API per-pod et volatils : révocation non partagée entre pods, tout est perdu au redémarrage. " + durableStoreRemedy(runNeedsExternalServices(this.kernel)), "WARNING");
 		this.#store = factory({
 			container: this.container,
 			config

package/dist/nodefony/service/totp.js

@@ -3,7 +3,7 @@ import { getTotpStoreFactory, listTotpStores } from "../src/totp/totpSecretStore
 import { generateEphemeralKey } from "../src/crypto/secretCipher.js";
 import { deriveTotpKey } from "../src/totp/totpCipher.js";
 import { beginTotpEnrollment, confirmTotpEnrollment, disableTotp, totpStatus, verifyTotpLogin } from "../src/totp/totpOperations.js";
-import { AUTO_STORE, EMPTY_INFRA, Service, deriveStoreBackend, readStoreLocation, resolveAutoStore } from "nodefony";
+import { AUTO_STORE, EMPTY_INFRA, Service, deriveStoreBackend, durableStoreRemedy, readStoreLocation, resolveAutoStore, runNeedsExternalServices } from "nodefony";
 //#region nodefony/service/totp.ts
 const serviceName = "totp";
 function isFlushable(s) {
@@ -90,7 +90,7 @@ var TotpService = class extends Service {
 		let driver = config.totp.store;
 		let reason = `store explicitement configuré ("${driver}")`;
 		if (driver === AUTO_STORE) {
-			const auto = resolveAutoStore("durable", this.kernel?.infra ?? EMPTY_INFRA, listTotpStores());
+			const auto = resolveAutoStore("durable", this.kernel?.infra ?? EMPTY_INFRA, listTotpStores(), "memory", runNeedsExternalServices(this.kernel));
 			driver = auto.store;
 			reason = auto.reason;
 			this.log(`totp.store "auto" → "${driver}" (${auto.reason})`, "INFO");
@@ -102,7 +102,7 @@ var TotpService = class extends Service {
 			this.log(`${msg} — 2FA indisponible`, "CRITIC");
 			return null;
 		}
-		if (driver === "memory" && this.kernel?.environment === "production") this.log("totp.store \"memory\" en PRODUCTION — secrets 2FA volatils : perdus au redémarrage (utilisateurs verrouillés). Déclarer une infra durable (NF_DATABASE_URL) ou charger @nodefony/drizzle.", "WARNING");
+		if (driver === "memory" && this.kernel?.environment === "production") this.log("totp.store \"memory\" en PRODUCTION — secrets 2FA volatils : perdus au redémarrage (utilisateurs verrouillés). " + durableStoreRemedy(runNeedsExternalServices(this.kernel)), "WARNING");
 		const store = factory({
 			container: this.container,
 			config

package/dist/nodefony/service/webAuthn.js

@@ -2,7 +2,7 @@ import { AuthenticationError } from "../errors/AuthenticationError.js";
 import { defineSecurityConfig } from "../config/defineModuleConfig.js";
 import { WebAuthnError } from "../errors/WebAuthnError.js";
 import { getWebAuthnStoreFactory, listWebAuthnStores } from "../src/webauthn/webAuthnCredentialStoreRegistry.js";
-import { AUTO_STORE, EMPTY_INFRA, Service, deriveStoreBackend, readStoreLocation, resolveAutoStore } from "nodefony";
+import { AUTO_STORE, EMPTY_INFRA, Service, deriveStoreBackend, durableStoreRemedy, readStoreLocation, resolveAutoStore, runNeedsExternalServices } from "nodefony";
 import { Buffer } from "node:buffer";
 //#region nodefony/service/webAuthn.ts
 const serviceName = "webauthn";
@@ -74,7 +74,7 @@ var WebAuthnService = class extends Service {
 			let driver = config.passkeys.store;
 			reason = `store explicitement configuré ("${driver}")`;
 			if (driver === AUTO_STORE) {
-				const auto = resolveAutoStore("durable", this.kernel?.infra ?? EMPTY_INFRA, listWebAuthnStores());
+				const auto = resolveAutoStore("durable", this.kernel?.infra ?? EMPTY_INFRA, listWebAuthnStores(), "memory", runNeedsExternalServices(this.kernel));
 				driver = auto.store;
 				reason = auto.reason;
 				this.log(`passkeys.store "auto" → "${driver}" (${auto.reason})`, "INFO");
@@ -86,7 +86,7 @@ var WebAuthnService = class extends Service {
 				this.log(`${msg} — passkeys indisponibles`, "CRITIC");
 				return;
 			}
-			if (driver === "memory" && this.kernel?.environment === "production") this.log("passkeys.store \"memory\" en PRODUCTION — credentials WebAuthn volatils : tous les passkeys enregistrés sont perdus au redémarrage (utilisateurs verrouillés hors de leur compte). Déclarer une infra durable (NF_DATABASE_URL).", "WARNING");
+			if (driver === "memory" && this.kernel?.environment === "production") this.log("passkeys.store \"memory\" en PRODUCTION — credentials WebAuthn volatils : tous les passkeys enregistrés sont perdus au redémarrage (utilisateurs verrouillés hors de leur compte). " + durableStoreRemedy(runNeedsExternalServices(this.kernel)), "WARNING");
 			this.#store = factory({
 				container: this.container,
 				config

package/dist/nodefony/service/webhooks.js

@@ -6,7 +6,7 @@ import { deriveWebhookKey } from "../src/webhook/webhookCipher.js";
 import { assertPublicUrl } from "../src/net/ssrfGuard.js";
 import { WebhookDispatcher } from "../src/webhook/WebhookDispatcher.js";
 import { deliverWebhook } from "../src/webhook/webhookDelivery.js";
-import { AUTO_STORE, EMPTY_INFRA, Service, countFacets, deriveStoreBackend, readStoreLocation, resolveAutoStore } from "nodefony";
+import { AUTO_STORE, EMPTY_INFRA, Service, countFacets, deriveStoreBackend, durableStoreRemedy, readStoreLocation, resolveAutoStore, runNeedsExternalServices } from "nodefony";
 import { randomBytes } from "node:crypto";
 import { Buffer } from "node:buffer";
 import { schemaMismatchOf } from "@nodefony/http";
@@ -153,7 +153,7 @@ var WebhookService = class extends Service {
 		let driver = config.webhooks.store;
 		let reason = `store explicitement configuré ("${driver}")`;
 		if (driver === AUTO_STORE) {
-			const auto = resolveAutoStore("durable", this.kernel?.infra ?? EMPTY_INFRA, listWebhookStores());
+			const auto = resolveAutoStore("durable", this.kernel?.infra ?? EMPTY_INFRA, listWebhookStores(), "memory", runNeedsExternalServices(this.kernel));
 			driver = auto.store;
 			reason = auto.reason;
 			this.log(`webhooks.store "auto" → "${driver}" (${auto.reason})`, "INFO");
@@ -165,7 +165,7 @@ var WebhookService = class extends Service {
 			this.log(`${msg} — webhooks indisponibles`, "CRITIC");
 			return null;
 		}
-		if (driver === "memory" && this.kernel?.environment === "production") this.log("webhooks.store \"memory\" en PRODUCTION — abonnements volatils et per-pod : perdus au redémarrage, non partagés entre pods. Déclarer une infra durable (NF_DATABASE_URL).", "WARNING");
+		if (driver === "memory" && this.kernel?.environment === "production") this.log("webhooks.store \"memory\" en PRODUCTION — abonnements volatils et per-pod : perdus au redémarrage, non partagés entre pods. " + durableStoreRemedy(runNeedsExternalServices(this.kernel)), "WARNING");
 		const store = factory({
 			container: this.container,
 			config

package/dist/nodefony/src/oauth/httpJson.js

@@ -0,0 +1,64 @@
+//#region nodefony/src/oauth/httpJson.ts
+/**
+* Lecture BORNÉE d'un corps JSON — la brique de transport commune aux trois
+* appels sortants du social login (découverte, point de jeton, API d'un
+* fournisseur non-OIDC).
+*
+* Elle existe parce qu'une borne posée APRÈS `response.text()` ne protège plus
+* rien : le corps est déjà entièrement en mémoire quand on mesure sa longueur.
+*/
+/**
+* Lit un corps JSON en refusant de dépasser une taille — la borne est vérifiée
+* PENDANT la lecture, pas après : un corps déjà entièrement en mémoire ne se
+* refuse plus.
+*
+* @param response - réponse dont le corps reste à lire.
+* @param maxBytes - plafond, en octets réels du flux.
+* @param subject - ce qu'on lisait, pour que l'erreur soit exploitable.
+* @returns la valeur JSON telle quelle — un objet OU un tableau (l'API d'un
+*   fournisseur rend les deux ; c'est à l'appelant d'exiger la forme qu'il attend).
+* @throws Error - corps trop gros ou illisible.
+*/
+async function readJsonBounded(response, maxBytes, subject) {
+	const announced = response.headers.get("content-length");
+	if (announced !== null && Number(announced) > maxBytes) throw new Error(`${subject} → corps hors gabarit (${announced} octets)`);
+	const body = response.body;
+	let text;
+	if (body === null) {
+		text = await response.text();
+		if (text.length > maxBytes) throw new Error(`${subject} → corps hors gabarit`);
+	} else {
+		const reader = body.getReader();
+		const chunks = [];
+		let seen = 0;
+		for (;;) {
+			const { done, value } = await reader.read();
+			if (done) break;
+			seen += value.byteLength;
+			if (seen > maxBytes) {
+				await reader.cancel();
+				throw new Error(`${subject} → corps hors gabarit (> ${maxBytes} octets)`);
+			}
+			chunks.push(value);
+		}
+		text = Buffer.concat(chunks).toString("utf8");
+	}
+	try {
+		return JSON.parse(text);
+	} catch {
+		throw new Error(`${subject} → corps illisible (JSON attendu)`);
+	}
+}
+/**
+* Comme {@link readJsonBounded}, mais exige un OBJET — la forme de toute réponse
+* normalisée par une RFC (document de métadonnées, réponse d'un point de jeton).
+*
+* @throws Error - corps trop gros, illisible, ou qui n'est pas un objet JSON.
+*/
+async function readJsonObjectBounded(response, maxBytes, subject) {
+	const payload = await readJsonBounded(response, maxBytes, subject);
+	if (payload === null || typeof payload !== "object" || Array.isArray(payload)) throw new Error(`${subject} → corps inattendu (objet JSON attendu)`);
+	return payload;
+}
+//#endregion
+export { readJsonBounded, readJsonObjectBounded };