@nodefony/security 10.0.0-alpha.5 → 10.0.0-alpha.7

package/dist/_virtual/{_@oxc-project_runtime@0.149.0 → _@oxc-project_runtime@0.150.0}/helpers/esm/decorate.js

@@ -1,4 +1,4 @@
-//#region \0@oxc-project+runtime@0.149.0/helpers/esm/decorate.js
+//#region \0@oxc-project+runtime@0.150.0/helpers/esm/decorate.js
 function __decorate(decorators, target, key, desc) {
 	var c = arguments.length, r = c < 3 ? target : desc === null ? desc = Object.getOwnPropertyDescriptor(target, key) : desc, d;
 	if (typeof Reflect === "object" && typeof Reflect.decorate === "function") r = Reflect.decorate(decorators, target, key, desc);

package/dist/_virtual/{_@oxc-project_runtime@0.149.0 → _@oxc-project_runtime@0.150.0}/helpers/esm/decorateMetadata.js

@@ -1,4 +1,4 @@
-//#region \0@oxc-project+runtime@0.149.0/helpers/esm/decorateMetadata.js
+//#region \0@oxc-project+runtime@0.150.0/helpers/esm/decorateMetadata.js
 function __decorateMetadata(k, v) {
 	if (typeof Reflect === "object" && typeof Reflect.metadata === "function") return Reflect.metadata(k, v);
 }

package/dist/index.js

@@ -77,8 +77,8 @@ import SecurityUserPassword from "./nodefony/command/security-user-password.js";
 import SecurityToken from "./nodefony/command/security-token.js";
 import { createSecurityAdminApi, parseAuditQuery, registerSecurityAdminApi } from "./nodefony/src/admin/SecurityAdminApi.js";
 import { registerUserRevocationCascade } from "./nodefony/src/admin/userRevocationCascade.js";
-import __decorateMetadata from "./_virtual/_@oxc-project_runtime@0.149.0/helpers/esm/decorateMetadata.js";
-import __decorate from "./_virtual/_@oxc-project_runtime@0.149.0/helpers/esm/decorate.js";
+import __decorateMetadata from "./_virtual/_@oxc-project_runtime@0.150.0/helpers/esm/decorateMetadata.js";
+import __decorate from "./_virtual/_@oxc-project_runtime@0.150.0/helpers/esm/decorate.js";
 import { tokenStatusCriteria } from "./nodefony/src/token/tokenCriteria.js";
 import { AccessDeniedError } from "./nodefony/errors/AccessDeniedError.js";
 import "./nodefony/errors/index.js";

package/dist/nodefony/command/security-user-add.js

@@ -1,4 +1,5 @@
 import { CONSOLE_DATA_RUN_PROFILE, Command, askPasswordMasked } from "nodefony";
+import { WeakPasswordError } from "@nodefony/user";
 //#region nodefony/command/security-user-add.ts
 const options = {
 	runProfile: CONSOLE_DATA_RUN_PROFILE,
@@ -47,6 +48,13 @@ const AUTH_LOGIN_PATH = "/nodefony/security/api/auth/login";
 *
 * Le service `users` est posé par l'APPLICATION (cf `provisionUsers` du
 * template d'app) — absent = message actionnable, pas de stack.
+*
+* **Le mot de passe est soumis à la politique** (`PasswordPolicy`, posée d'office
+* sur `UserService`) : longueur minimale (10 par défaut), mot de passe qui
+* reprend l'identifiant du compte, motif répété de bout en bout, suite de
+* touches, liste de l'application, et les ~10 000 mots de passe les plus
+* courants. Un refus sort en **code non nul**, NOMME la règle enfreinte, et ne
+* crée aucun compte — `--password abc` échoue, là où il réussissait.
 */
 var SecurityUserAdd = class extends Command {
 	constructor(cli) {
@@ -135,11 +143,21 @@ var SecurityUserAdd = class extends Command {
 			});
 			roles = chosen.length > 0 ? chosen : [ROLE_BASE];
 		} else roles = [ROLE_BASE];
-		const user = await users.createUser({
-			identifier,
-			plainPassword: password,
-			roles
-		});
+		let user;
+		try {
+			user = await users.createUser({
+				identifier,
+				plainPassword: password,
+				roles
+			});
+		} catch (e) {
+			if (e instanceof WeakPasswordError) {
+				this.log(`${e.message}\n  la politique se règle à l'application : \`new PasswordPolicy({ minLength, blocklist })\` posée sur \`users.passwordBlocklist\`.`, "ERROR");
+				process.exitCode = 1;
+				return this;
+			}
+			throw e;
+		}
 		process.stdout.write(`\n${GREEN}✓ compte créé${RESET} — ${BOLD}${user.identifier}${RESET} ${DIM}(id ${user.id})${RESET}\n  rôles : ${roles.join(" · ")}\n` + (opts.admin ? `  ${DIM}accès console Studio : /nodefony${RESET}\n` : "") + `  ${DIM}pour t'authentifier : POST ${AUTH_LOGIN_PATH}${RESET}\n  ${DIM}  body JSON {"username","password"} → cookie de session ; l'identité courante se relit sur GET /nodefony/security/api/auth/me${RESET}\n` + (opts.password ? `  ${YELLOW}⚠ mot de passe passé en argument — pense à purger l'historique shell${RESET}\n` : ""));
 		return this;
 	}

package/dist/nodefony/command/security-user-password.js

@@ -26,8 +26,11 @@ const RESET = "\x1B[0m";
 * Mot de passe : `--password` (visible dans l'historique shell — accepté pour
 * les scripts) ou PROMPT MASQUÉ en TTY, demandé deux fois. Le hachage est celui
 * du service (`UserService.changePassword` → Argon2id) : jamais de clair
-* persisté, et la liste de mots de passe interdits s'applique comme à la
-* création.
+* persisté, et la POLITIQUE de mot de passe s'applique comme à la création —
+* longueur minimale (10 par défaut), mot de passe qui reprend l'identifiant du
+* compte, motif répété, suite de touches, liste de l'application, et les ~10 000
+* mots de passe les plus courants. Un refus sort en code non nul et NOMME la
+* règle enfreinte ; il ne crée ni ne modifie rien.
 *
 * 🔒 **Les sessions et les jetons du compte sont RÉVOQUÉS**, et ce n'est pas une
 * option : on change un mot de passe parce qu'il est compromis ou perdu, et

package/dist/types/nodefony/command/security-user-add.d.ts

@@ -31,6 +31,13 @@ export declare const AUTH_LOGIN_PATH = "/nodefony/security/api/auth/login";
  *
  * Le service `users` est posé par l'APPLICATION (cf `provisionUsers` du
  * template d'app) — absent = message actionnable, pas de stack.
+ *
+ * **Le mot de passe est soumis à la politique** (`PasswordPolicy`, posée d'office
+ * sur `UserService`) : longueur minimale (10 par défaut), mot de passe qui
+ * reprend l'identifiant du compte, motif répété de bout en bout, suite de
+ * touches, liste de l'application, et les ~10 000 mots de passe les plus
+ * courants. Un refus sort en **code non nul**, NOMME la règle enfreinte, et ne
+ * crée aucun compte — `--password abc` échoue, là où il réussissait.
  */
 declare class SecurityUserAdd extends Command {
     #private;

package/dist/types/nodefony/command/security-user-password.d.ts

@@ -12,8 +12,11 @@ import { CliKernel, Command } from "nodefony";
  * Mot de passe : `--password` (visible dans l'historique shell — accepté pour
  * les scripts) ou PROMPT MASQUÉ en TTY, demandé deux fois. Le hachage est celui
  * du service (`UserService.changePassword` → Argon2id) : jamais de clair
- * persisté, et la liste de mots de passe interdits s'applique comme à la
- * création.
+ * persisté, et la POLITIQUE de mot de passe s'applique comme à la création —
+ * longueur minimale (10 par défaut), mot de passe qui reprend l'identifiant du
+ * compte, motif répété, suite de touches, liste de l'application, et les ~10 000
+ * mots de passe les plus courants. Un refus sort en code non nul et NOMME la
+ * règle enfreinte ; il ne crée ni ne modifie rien.
  *
  * 🔒 **Les sessions et les jetons du compte sont RÉVOQUÉS**, et ce n'est pas une
  * option : on change un mot de passe parce qu'il est compromis ou perdu, et

package/docs/authenticators.md

@@ -183,7 +183,7 @@ curl -si http://localhost:5151/api/v1/whoami | grep -E "^(HTTP|WWW)"
 # HTTP/1.1 401 Unauthorized
 # WWW-Authenticate: Bearer
 
-# 2) Web — login BFF (compte dev seedé admin/admin) → cookie de session
+# 2) Web — login BFF (compte dev seedé admin/nodefony-dev-42) → cookie de session
 curl -si -c /tmp/jar -H 'Content-Type: application/json' \
   -d '{"username":"admin","password":"admin"}' \
   http://localhost:5151/nodefony/security/api/auth/login | head -1

package/docs/firewall.md

@@ -149,7 +149,7 @@ le fait pour toi.)
 curl -si http://localhost:5151/api/secure/account/me | head -1
 # HTTP/1.1 401 Unauthorized
 
-# 2) Login BFF (compte dev seedé admin/admin) → cookie de session
+# 2) Login BFF (compte dev seedé admin/nodefony-dev-42) → cookie de session
 curl -si -c /tmp/jar -H 'Content-Type: application/json' \
   -d '{"username":"admin","password":"admin"}' \
   http://localhost:5151/nodefony/security/api/auth/login | head -1

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@nodefony/security",
-  "version": "10.0.0-alpha.5",
+  "version": "10.0.0-alpha.7",
   "description": "Pare-feu applicatif par zones pour Nodefony : authentification, autorisation par rôles, protection CSRF, journal d'audit",
   "author": "Christophe CAMENSULI <ccamensuli@gmail.com>",
   "main": "./dist/index.js",
@@ -44,29 +44,29 @@
     "directory": "src/packages/@nodefony/security"
   },
   "dependencies": {
-    "@simplewebauthn/server": "14.0.1",
+    "@simplewebauthn/server": "14.0.2",
     "jose": "6.2.12",
     "tslib": "2.8.1",
-    "zod": "^4.6.1"
+    "zod": "^4.6.5"
   },
   "devDependencies": {
-    "@nodefony/framework": "^10.0.0-alpha.5",
-    "@nodefony/http": "^10.0.0-alpha.5",
-    "@nodefony/user": "^10.0.0-alpha.5",
-    "@types/node": "26.5.1",
-    "@vitest/coverage-v8": "5.0.0",
-    "nodefony": "^10.0.0-alpha.5",
+    "@nodefony/framework": "^10.0.0-alpha.7",
+    "@nodefony/http": "^10.0.0-alpha.7",
+    "@nodefony/user": "^10.0.0-alpha.7",
+    "@types/node": "26.6.1",
+    "@vitest/coverage-v8": "5.0.1",
+    "nodefony": "^10.0.0-alpha.7",
     "rimraf": "6.1.3",
-    "vitest": "5.0.0"
+    "vitest": "5.0.1"
   },
   "license": "Apache-2.0",
   "readmeFilename": "README.md",
   "contributors": [],
   "peerDependencies": {
-    "@nodefony/framework": "^10.0.0-alpha.5",
-    "@nodefony/http": "^10.0.0-alpha.5",
-    "@nodefony/user": "^10.0.0-alpha.5",
-    "nodefony": "^10.0.0-alpha.5"
+    "@nodefony/framework": "^10.0.0-alpha.7",
+    "@nodefony/http": "^10.0.0-alpha.7",
+    "@nodefony/user": "^10.0.0-alpha.7",
+    "nodefony": "^10.0.0-alpha.7"
   },
   "files": [
     "dist",