@runeya/runeya 2.0.107 → 2.0.109

package/{src-MILB2SQA.js → src-SH5RPUNH.js}

@@ -12,6 +12,8 @@ import {
   OPENAI_COMPAT_BASE_URLS,
   OptionalProviderIdSchema,
   accountForOrg,
+  accountForOrgOrThrow,
+  accountForOrgScope,
   apiKeyStore,
   appVersion,
   applyPersistedLanMode,
@@ -58,9 +60,10 @@ import {
   serviceRouter,
   setLanMode,
   shutdownCodexAppServer,
+  soleAccountScope,
   startCliSession,
   vaultOfProject
-} from "./chunk-JNI4CXJ7.js";
+} from "./chunk-HJZPLRNL.js";
 import {
   resolveCliInvocation,
   whichCommand
@@ -83,7 +86,7 @@ import {
   stopClaudeTranscriptWatcher,
   stopCodexTranscriptWatcher,
   verifyJwt
-} from "./chunk-TE57T5GO.js";
+} from "./chunk-OSKZYKSN.js";
 import "./chunk-MD3VW4HQ.js";
 import {
   agentManager,
@@ -122,10 +125,10 @@ import {
   stableEncryptValue,
   traefikManager,
   unregisterInstance
-} from "./chunk-ELI2TELD.js";
+} from "./chunk-OGCEFBSS.js";
 import {
   settingsManager
-} from "./chunk-ZDHLWTHW.js";
+} from "./chunk-77UQ2UKW.js";
 import {
   AGENT_LONG_FETCH_TIMEOUT,
   AGENT_STOP_FETCH_TIMEOUT,
@@ -149,15 +152,17 @@ import {
   UpdateEnvironmentSchema,
   VariableOverrideSchema,
   VariableSchema,
+  ambiguousServiceSlugs,
+  crossServiceSlugsIn,
   deriveLauncherIdentity,
   getCollection,
   nativeParsers,
   primaryServiceLink,
   readEntity,
+  serviceSlug,
   writeEntity
-} from "./chunk-QRMG6GMX.js";
+} from "./chunk-6T7R2JZR.js";
 import {
-  adoptUnstampedOrgs,
   env,
   forgetOrgLogo,
   keyRoot,
@@ -174,10 +179,11 @@ import {
   readOrgLogo,
   readOrgLogos,
   readOrgNames,
+  rememberOrgAccount,
   rememberOrgLogo,
   rememberOrgName,
   stampOrgCloud
-} from "./chunk-J3NAI636.js";
+} from "./chunk-ZFELQG4B.js";
 
 // ../server/src/create-server.ts
 import express from "express";
@@ -764,6 +770,54 @@ async function sealUnopenedOrgVaults() {
   return sealed;
 }
 
+// ../server/src/services/service-graph.ts
+function addKey(buckets, from, target, key) {
+  const id = `${from}\0${target}`;
+  const bucket = buckets.get(id) ?? { from, target, keys: /* @__PURE__ */ new Set() };
+  bucket.keys.add(key);
+  buckets.set(id, bucket);
+}
+function buildServiceGraph(input) {
+  const ambiguous = ambiguousServiceSlugs(input.services.map((s) => s.name));
+  const nodes = input.services.map((service) => {
+    const slug = serviceSlug(service.name);
+    return {
+      id: service.id,
+      name: service.name,
+      slug,
+      ambiguousSlug: ambiguous.has(slug)
+    };
+  });
+  const bySlug = /* @__PURE__ */ new Map();
+  for (const node of nodes) {
+    if (node.slug && !node.ambiguousSlug) bySlug.set(node.slug, node.id);
+  }
+  const edgeBuckets = /* @__PURE__ */ new Map();
+  const danglingBuckets = /* @__PURE__ */ new Map();
+  for (const service of input.services) {
+    const env2 = input.envByServiceId[service.id] ?? {};
+    for (const [key, value] of Object.entries(env2)) {
+      for (const slug of crossServiceSlugsIn(value)) {
+        const target = bySlug.get(slug);
+        if (target === service.id) continue;
+        if (target) addKey(edgeBuckets, service.id, target, key);
+        else addKey(danglingBuckets, service.id, slug, key);
+      }
+    }
+  }
+  const edges = [...edgeBuckets.values()].map((b) => ({
+    from: b.from,
+    to: b.target,
+    keys: [...b.keys].sort()
+  }));
+  const dangling = [...danglingBuckets.values()].map((b) => ({
+    from: b.from,
+    slug: b.target,
+    keys: [...b.keys].sort()
+  }));
+  return { nodes, edges, dangling };
+}
+
 // ../server/src/trpc/routers/project.ts
 async function assertReadable(orgId) {
   if (!orgId) return;
@@ -1018,6 +1072,55 @@ var projectRouter = router({
     setCurrentProject(input ? { id: input.id, orgId: input.orgId } : null);
     return { ok: true };
   }),
+  /**
+   * Le graphe des dépendances du projet : qui a besoin de qui.
+   *
+   * Les arêtes ne sont pas déclarées, elles se lisent — une variable de A qui
+   * cite `{{services.<slug-de-B>.PORT}}` EST la dépendance, celle-là même que
+   * l'interpolation résout au déploiement. Rien à tenir à jour à côté, donc
+   * rien qui puisse mentir.
+   *
+   * Seules les CLÉS des variables sortent d'ici. Les valeurs résolues portent
+   * des secrets déchiffrés : elles servent à détecter la référence, et
+   * s'arrêtent là.
+   */
+  graph: protectedProcedure.input(z4.object({
+    id: z4.string().min(1).max(128),
+    orgId: z4.string().max(128).nullable().optional()
+  })).query(async ({ ctx, input }) => {
+    const project = await projectStore.get(input);
+    if (!project) {
+      throw new TRPCError2({ code: "NOT_FOUND", message: `Project ${input.id} not found` });
+    }
+    await assertReadable(project.orgId);
+    const allowed = getAllowedServiceIds(ctx);
+    const services = (await Promise.all(project.serviceIds.map((sid) => serviceStore.get(sid)))).filter((s) => s !== null);
+    const envByServiceId = {};
+    if (project.activeEnvironmentId) {
+      const activeEnvironmentId = project.activeEnvironmentId;
+      await Promise.all(services.map(async (service) => {
+        try {
+          const resolved = await environmentResolver.resolveForService({
+            serviceId: service.id,
+            activeEnvironmentId
+          });
+          envByServiceId[service.id] = resolved.env;
+        } catch (err) {
+          console.error("[project-router] Failed to resolve variables for graph, service", service.id + ":", err.message);
+        }
+      }));
+    }
+    const graph = buildServiceGraph({
+      services: services.map((s) => ({ id: s.id, name: s.name })),
+      envByServiceId
+    });
+    if (allowed === null) return graph;
+    return {
+      nodes: graph.nodes.filter((n) => allowed.has(n.id)),
+      edges: graph.edges.filter((e) => allowed.has(e.from) && allowed.has(e.to)),
+      dangling: graph.dangling.filter((d) => allowed.has(d.from))
+    };
+  }),
   localPaths: protectedProcedure.query(async () => {
     return projectPathStore.all();
   }),
@@ -5812,8 +5915,9 @@ var kanbanRouter = router({
   downloadAttachment: protectedProcedure.input(z19.object({
     attachmentId: z19.string().max(128),
     // La pièce jointe appartient à une organisation : la nommer dit sous quel
-    // compte la demander. Omise, c'est le compte unique du poste — la
-    // situation d'avant le multicompte.
+    // compte la demander. C'est le SEUL appel qui tolère de ne pas l'avoir —
+    // un agent n'a qu'un identifiant de fichier — et il échoue alors en le
+    // disant dès que ce poste a plusieurs comptes.
     orgId: z19.string().max(128).optional()
   })).mutation(async ({ input }) => {
     const id = input.attachmentId;
@@ -5822,7 +5926,7 @@ var kanbanRouter = router({
     }
     const res = await cloudFetch2(`/api/kanban/file/${id}`, {
       timeoutMs: 12e4,
-      ...input.orgId ? { orgId: input.orgId } : {}
+      accountId: input.orgId ? await accountForOrgScope(input.orgId) : await soleAccountScope()
     });
     if (res.status === 404) {
       throw new TRPCError16({ code: "NOT_FOUND", message: `Attachment ${id} not found` });
@@ -6320,7 +6424,7 @@ async function reconcileOrgCanary(orgId) {
   const res = await cloudFetch("/api/auth/organization/canary", {
     method: "POST",
     body: { organizationId: orgId, canary: local },
-    orgId
+    accountId: await accountForOrgOrThrow(orgId)
   });
   if (!res.ok) {
     throw new CanaryUnavailableError("Could not reach the organization on the cloud.");
@@ -7456,6 +7560,8 @@ var cloudSyncRouter = router({
         cloudUrl: input.cloudUrl,
         ...await accountScope(input.orgId)
       });
+    } else if (input.accountId) {
+      await stampOrgCloud(input.orgId, input.cloudUrl, void 0, input.accountId);
     }
     try {
       const pulled = await cloudSyncBridge.followProject(input.orgId, input.projectId);
@@ -7508,6 +7614,8 @@ var cloudSyncRouter = router({
         cloudUrl: input.cloudUrl,
         ...await accountScope(input.orgId)
       });
+    } else if (input.accountId) {
+      await stampOrgCloud(input.orgId, input.cloudUrl, void 0, input.accountId);
     }
     await projectStore.moveToOrg(input.projectId, input.orgId);
     await projectPathStore.relocate(
@@ -7539,7 +7647,7 @@ var cloudSyncRouter = router({
   })).query(async ({ input }) => {
     const res = await cloudFetch2(
       `/api/auth/organization/canary?organizationId=${encodeURIComponent(input.orgId)}`,
-      { method: "GET", orgId: input.orgId }
+      { method: "GET", accountId: await accountForOrgScope(input.orgId) }
     );
     if (!res.ok) {
       throw new TRPCError19({ code: "BAD_GATEWAY", message: await cloudMessage(res) || `CANARY_READ_FAILED (${res.status})` });
@@ -7562,7 +7670,7 @@ var cloudSyncRouter = router({
     if (!key) return { status: "unknown" };
     const res = await cloudFetch2(
       `/api/auth/organization/canary?organizationId=${encodeURIComponent(input.orgId)}`,
-      { method: "GET", orgId: input.orgId }
+      { method: "GET", accountId: await accountForOrgScope(input.orgId) }
     );
     if (!res.ok) return { status: "unknown" };
     const { canary } = await res.json();
@@ -7617,7 +7725,7 @@ var cloudSyncRouter = router({
     const res = await cloudFetch2("/api/auth/organization/canary/reset", {
       method: "POST",
       body: { organizationId: input.orgId, canary },
-      orgId: input.orgId
+      accountId: await accountForOrgScope(input.orgId)
     });
     if (!res.ok) {
       const detail = await cloudMessage(res);
@@ -7665,7 +7773,9 @@ var cloudSyncRouter = router({
       res = await cloudFetch2("/api/auth/project/delete", {
         method: "POST",
         body: { organizationId: input.orgId, projectId: input.projectId },
-        orgId: input.orgId
+        // Dans le `try` : ne rien avoir à quoi rattacher l'organisation doit
+        // ressortir comme CLOUD_NOT_LINKED, pas comme une erreur interne.
+        accountId: await accountForOrgScope(input.orgId)
       });
     } catch (err) {
       if (err instanceof TRPCError19 && err.code === "PRECONDITION_FAILED") {
@@ -7702,6 +7812,35 @@ var cloudSyncRouter = router({
    * afficher. Le nom est donc recopié dans le tampon du coffre au passage, là
    * où il est déjà lu au démarrage suivant.
    */
+  /**
+   * Retenir à quel compte appartient chaque organisation.
+   *
+   * Poussé par l'interface avec ce que le cloud vient de répondre : une
+   * organisation appartient au compte qui la LISTE. Le poste ne peut pas le
+   * déduire — il l'a tenté, et il a rangé sous un compte les organisations
+   * d'un autre. Même forme que `rememberOrgNames`, et pour la même raison :
+   * ce que seul le cloud sait, on le recopie quand il le dit.
+   */
+  rememberOrgAccounts: protectedProcedure.input(z23.object({
+    orgs: z23.array(z23.object({
+      orgId: z23.string().min(1).max(128),
+      accountId: z23.string().min(1).max(64)
+    })).max(200)
+  })).mutation(async ({ input }) => {
+    const candidates = /* @__PURE__ */ new Map();
+    for (const { orgId, accountId } of input.orgs) {
+      candidates.set(orgId, [...candidates.get(orgId) ?? [], accountId]);
+    }
+    const current2 = await readOrgAccounts();
+    let remembered = 0;
+    for (const [orgId, accountIds] of candidates) {
+      const kept = current2[orgId];
+      if (kept && accountIds.includes(kept)) continue;
+      await rememberOrgAccount(orgId, accountIds[0]);
+      remembered++;
+    }
+    return { remembered };
+  }),
   rememberOrgNames: protectedProcedure.input(z23.object({
     orgs: z23.array(z23.object({
       orgId: z23.string().min(1).max(128),
@@ -9626,13 +9765,6 @@ async function createLocalServer() {
         res.status(502).send("The cloud did not say who this session belongs to.");
         return;
       }
-      const before = await cloudSessionStore.list();
-      if (before.length === 1 && before[0].userId !== identity.userId) {
-        const adopted = await adoptUnstampedOrgs(before[0].id);
-        if (adopted.length > 0) {
-          console.log(`[cloud] ${adopted.length} organisation(s) rattach\xE9e(s) au compte ${before[0].email || before[0].id}`);
-        }
-      }
       await cloudSessionStore.add(getCloudApiUrl(), sessionToken, identity);
       void cloudSyncBridge.resumeAll();
       res.redirect(`${returnTo}?cloud=linked`);
@@ -9660,7 +9792,7 @@ async function createLocalServer() {
         res.status(401).end();
         return;
       }
-      const streamBase = await cloudSessionStore.getCloudUrl(accountId) ?? getCloudApiUrl();
+      const streamBase = await orgCloudUrl(organizationId);
       const upstreamAbort = new AbortController();
       req.on("close", () => upstreamAbort.abort());
       try {
@@ -9720,7 +9852,7 @@ async function createLocalServer() {
         res.status(401).end();
         return;
       }
-      const streamBase = await cloudSessionStore.getCloudUrl(accountId) ?? getCloudApiUrl();
+      const streamBase = await orgCloudUrl(organizationId);
       const upstreamQuery = new URLSearchParams({ organizationId });
       if (typeof req.query["name"] === "string") upstreamQuery.set("name", req.query["name"]);
       try {
@@ -9761,7 +9893,7 @@ async function createLocalServer() {
     }
     try {
       const upstream = await fetch(
-        `${(await cloudSessionStore.getCloudUrl(fileAccountId ?? void 0) ?? getCloudApiUrl()).replace(/\/+$/, "")}/api/kanban/file/${encodeURIComponent(req.params.id)}`,
+        `${fileOrgId ? await orgCloudUrl(fileOrgId) : await cloudSessionStore.getCloudUrl(fileAccountId ?? void 0) ?? getCloudApiUrl()}/api/kanban/file/${encodeURIComponent(req.params.id)}`,
         {
           method: "DELETE",
           headers: { Authorization: `Bearer ${token}`, [APP_VERSION_HEADER]: appVersion },
@@ -9790,7 +9922,7 @@ async function createLocalServer() {
     }
     try {
       const upstream = await fetch(
-        `${(await cloudSessionStore.getCloudUrl(fileAccountId ?? void 0) ?? getCloudApiUrl()).replace(/\/+$/, "")}/api/kanban/file/${encodeURIComponent(req.params.id)}`,
+        `${fileOrgId ? await orgCloudUrl(fileOrgId) : await cloudSessionStore.getCloudUrl(fileAccountId ?? void 0) ?? getCloudApiUrl()}/api/kanban/file/${encodeURIComponent(req.params.id)}`,
         {
           headers: { Authorization: `Bearer ${token}`, [APP_VERSION_HEADER]: appVersion },
           signal: AbortSignal.timeout(3e5)
@@ -9810,6 +9942,33 @@ async function createLocalServer() {
       res.status(502).end();
     }
   });
+  app.get("/api/cloud/avatar/:userId", async (req, res) => {
+    const userId = req.params.userId;
+    if (!/^[A-Za-z0-9._-]{1,128}$/.test(userId)) {
+      res.status(400).end();
+      return;
+    }
+    const orgId = typeof req.query["organizationId"] === "string" ? req.query["organizationId"] : "";
+    const accountId = typeof req.query["accountId"] === "string" ? req.query["accountId"] : "";
+    try {
+      const base = orgId ? await orgCloudUrl(orgId) : await cloudSessionStore.getCloudUrl(accountId || void 0) ?? getCloudApiUrl();
+      const upstream = await fetch(`${base}/api/avatar/${encodeURIComponent(userId)}`, {
+        headers: { [APP_VERSION_HEADER]: appVersion },
+        signal: AbortSignal.timeout(15e3)
+      });
+      if (!upstream.ok) {
+        res.status(upstream.status).end();
+        return;
+      }
+      res.set("Content-Type", upstream.headers.get("content-type") ?? "application/octet-stream");
+      res.set("X-Content-Type-Options", "nosniff");
+      res.set("Content-Security-Policy", "default-src 'none'; sandbox");
+      res.set("Cache-Control", "public, max-age=300");
+      res.send(Buffer.from(await upstream.arrayBuffer()));
+    } catch {
+      res.status(502).end();
+    }
+  });
   proxyCloudStream("/api/cloud/chat/stream", "/api/chat/stream");
   proxyCloudStream("/api/cloud/kanban/stream", "/api/kanban/stream");
   app.post("/api/unlock", authLimiter, csrfMiddleware, express.json({ limit: "10kb" }), async (req, res) => {
@@ -10190,7 +10349,7 @@ async function createLocalServer() {
     ]);
     console.log("[server] Shutdown complete");
   };
-  const { initCompanion } = await import("./companion-NZU7FNID.js");
+  const { initCompanion } = await import("./companion-7EFYZNCO.js");
   initCompanion();
   return { app, server, wss, shutdown };
 }
@@ -10637,4 +10796,4 @@ export {
   startProcess,
   stopProcess
 };
-//# sourceMappingURL=src-MILB2SQA.js.map
+//# sourceMappingURL=src-SH5RPUNH.js.map