@ogygie/cli 0.7.0 → 0.8.0

package/dist/cli.js

@@ -14649,9 +14649,14 @@ var HttpRouteSchema = external_exports.object({
     "Cache roots this mutation stales BEYOND its own path root (cross-feature dependency, read by the manifest-derived client \u2014 never guessed in a screen). Each value must be an existing feature name or route root"
   )
 });
+var SharedTableKindSchema = external_exports.enum(["reference", "ownerless"]);
 var DbTableDeclarationSchema = external_exports.union([
   external_exports.string(),
-  external_exports.object({ name: external_exports.string(), shared: external_exports.literal(true) })
+  external_exports.object({
+    name: external_exports.string(),
+    shared: external_exports.literal(true),
+    sharedKind: SharedTableKindSchema.optional()
+  })
 ]);
 var FeatureManifestSchema = external_exports.object({
   name: FeatureNameSchema,
@@ -15569,6 +15574,18 @@ var governedChecksumsByVersion = {
     "scripts/verify-manifest.ts": "1adca9edee11e54ccaf0511012411516c52c68a32f686ca320c7e437afb22c7c",
     "scripts/verify-specs.ts": "ccf09c04155e5e88fa9acd4a5db33c2c79e85923b2d92e8e866fe9cbc4cdf342",
     "tsconfig.base.json": "0f8919e9ed8bbc88e0308fa2fa91471dabb18d1df721bd78c04076597eba89a2"
+  },
+  "0.8.0": {
+    ".github/workflows/ogygie-gates.yml": "48c40efe9fe66dd0f9c3b94287026d80eae9afd6782b5833fdf8846d8662babf",
+    "AGENTS.md": "e44f635c0b203a0040098425f217c5a29c47e57280a3545b60d640aea0d59a70",
+    "CLAUDE.md": "785ee8d90e368806d8cf0b4d84a15f29d1dc961168bda86cf1a6c60a923c8c9b",
+    "scripts/lint-interdits.ts": "d859e132b7020942a5211f5419b10045170dee6afba3f50ca5642570a5c4a683",
+    "scripts/ogygie-design-brief.ts": "aba1585717b30808dd0bc8930a37a1ad2d83ee6869f969dbd06ca595e37a4a89",
+    "scripts/ogygie-impact.ts": "0dd3ff8cdd57e6cff0dfec1c669fce53fde9ae43f0784ed114771c83d1f8b357",
+    "scripts/verify-contracts.ts": "725cae269e78ecdaa1923553c3097d8d96277824b5bd79a9a40284c6246036b7",
+    "scripts/verify-manifest.ts": "1adca9edee11e54ccaf0511012411516c52c68a32f686ca320c7e437afb22c7c",
+    "scripts/verify-specs.ts": "ccf09c04155e5e88fa9acd4a5db33c2c79e85923b2d92e8e866fe9cbc4cdf342",
+    "tsconfig.base.json": "0f8919e9ed8bbc88e0308fa2fa91471dabb18d1df721bd78c04076597eba89a2"
   }
 };
 

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@ogygie/cli",
-  "version": "0.7.0",
+  "version": "0.8.0",
   "description": "Ogygie framework CLI: deterministic scaffolding (init), governed-file upgrades (upgrade) and lockstep verification (check) for Ogygie products.",
   "license": "MIT",
   "type": "module",
@@ -22,7 +22,7 @@
     "tsx": "^4.20.0",
     "typescript": "^5.8.0",
     "zod": "^4.0.0",
-    "@ogygie/core": "0.7.0"
+    "@ogygie/core": "0.8.0"
   },
   "scripts": {
     "typecheck": "tsc -p tsconfig.json",

package/templates/project/AGENTS.md

@@ -381,22 +381,37 @@ par vigilance.
    tenant** (second rempart : même une requête buggée ne peut pas lire un
    autre tenant). Toute migration créant une table tenant inclut sa policy RLS —
    le template de migration l'impose.
-4. Les tables de référentiel PARTAGÉ — connaissance universelle qu'aucun tenant
-   ne possède, chargée par un script d'extraction depuis une source externe
-   versionnée — sont déclarées explicitement au manifeste sous la forme objet
-   `{ "name": "<table>", "shared": true }` (clé anglaise : le manifeste est
-   machine-lisible). Elles échappent alors à la règle 3 (pas de colonne
-   tenant, pas de policy RLS tenant) ET à la règle 2 : n'ayant aucune colonne
-   sur laquelle filtrer, elles se lisent hors de `tenantDb`. Ce droit se paie
-   comptant, et les gates le vérifient au lieu de faire confiance :
+4. Les tables SANS PROPRIÉTAIRE TENANT sont déclarées explicitement au manifeste
+   sous la forme objet `{ "name": "<table>", "shared": true, "sharedKind": "..." }`
+   (clés anglaises : le manifeste est machine-lisible). Elles échappent alors à
+   la règle 3 (pas de colonne tenant, pas de policy RLS tenant) ET à la règle 2 :
+   n'ayant aucune colonne sur laquelle filtrer, elles se lisent hors de
+   `tenantDb`.
+
+   **Deux natures, et une seule est écrivable par l'API** (D8). La nature se
+   déclare au manifeste, parce qu'une information de sécurité vit sur la carte :
+   - **`reference`** — connaissance universelle qu'aucun tenant ne possède,
+     chargée par un script d'extraction depuis une source externe versionnée.
+     **Côté API elle est en LECTURE SEULE** : seul le script d'extraction
+     l'alimente. C'est le défaut quand `sharedKind` est absent, et le sens
+     historique de `shared: true`.
+   - **`ownerless`** — donnée produite par l'API elle-même, sans propriétaire
+     parce qu'elle naît avant tout compte. **Sa feature l'écrit.** N'ayant pas
+     de tenant pour rempart, elle en porte un autre : ses lignes ne se lisent
+     que par un **secret non devinable** (jeton), jamais par un identifiant
+     énumérable ni séquentiel. Une table `ownerless` sans ce secret est une
+     violation — et comme aucun gate ne sait le vérifier, la spec de la feature
+     doit dire OÙ vit ce secret et comment il est produit.
+
+   Ce droit se paie comptant, et les gates vérifient ce qu'ils peuvent au lieu
+   de faire confiance :
    - une feature ne gagne l'accès brut à la base que si TOUTES ses tables sont
      partagées (lint-interdits, dérivé du manifeste) — une seule table tenant
      dans la même feature le lui retire ;
    - une table déclarée partagée qui porte encore la colonne tenant casse
-     verify-manifest (`SHARED_TABLE_WITH_TENANT_COLUMN`) ;
-   - côté API ces tables sont en LECTURE SEULE : seul le script d'extraction
-     les alimente.
-   La liste des tables partagées du produit est dans `AGENTS.product.md`.
+     verify-manifest (`SHARED_TABLE_WITH_TENANT_COLUMN`).
+   La liste des tables partagées du produit, avec leur nature, est dans
+   `AGENTS.product.md`.
 
 ### Template repository (le SEUL accès DB autorisé)
 ```ts