@saulwade/swl-ses 2.6.1 → 2.8.0

package/scripts/tui/pantallas/resumen.js

@@ -1,132 +1,132 @@
-'use strict';
-
-/**
- * Pantalla Resumen final — se muestra después de Install/Update/Uninstall.
- *
- * Recibe un objeto con totales y muestra:
- *   - Bloque hero (éxito/error con color)
- *   - Tabla resumen: actualizados, omitidos, errores, tiempo total
- *   - Próximos pasos sugeridos según la operación
- *
- * Espera Enter o Esc para cerrar.
- */
-
-const render = require('../lib/render');
-const teclas = require('../lib/teclas');
-const { colores, semantico, iconos } = require('../lib/colores');
-
-const PROXIMOS_PASOS = {
-  install: [
-    'Verifica la salud del sistema:  swl-ses doctor',
-    'Lista los skills instalados:    swl-ses skills list',
-    'Ejecuta el primer comando:      /swl:ayuda  (dentro de tu runtime)',
-  ],
-  update: [
-    'Verifica los cambios:           git diff (en proyectos donde aplicaste)',
-    'Revisa el CHANGELOG:            swl-ses release notes',
-    'Comprueba la salud:             swl-ses doctor',
-  ],
-  uninstall: [
-    'El directorio _userland/ se preservó por defecto.',
-    'Las memorias y APRENDIZAJES.md no fueron tocados.',
-    'Para reinstalar: swl-ses install',
-  ],
-  inspect: [
-    'Para actualizar: swl-ses update',
-    'Para reinstalar: swl-ses install --force',
-  ],
-};
-
-/**
- * @param {object} datos
- * @param {string} datos.operacion - 'install' | 'update' | 'uninstall' | 'inspect'
- * @param {boolean} datos.ok
- * @param {string} datos.tituloPrincipal
- * @param {string} [datos.mensajeFinal]
- * @param {Array<[string, string]>} [datos.tabla] - filas [clave, valor]
- * @param {string[]} [datos.proximosPasos] - sobrescribe los defaults
- * @returns {Promise<void>}
- */
-function mostrarResumen(datos) {
-  const proximos = datos.proximosPasos || PROXIMOS_PASOS[datos.operacion] || [];
-  const tabla = datos.tabla || [];
-
-  return new Promise((resolve) => {
-    if (!render.ES_TTY || !process.stdin.isTTY) {
-      console.log('');
-      console.log(`  ${datos.ok ? '[OK]' : '[ERROR]'} ${datos.tituloPrincipal}`);
-      if (datos.mensajeFinal) console.log(`  ${datos.mensajeFinal}`);
-      console.log('');
-      for (const [k, v] of tabla) {
-        console.log(`    ${k}: ${v}`);
-      }
-      if (proximos.length > 0) {
-        console.log('');
-        console.log('  Próximos pasos:');
-        for (const p of proximos) console.log(`    - ${p}`);
-      }
-      console.log('');
-      resolve();
-      return;
-    }
-
-    function _renderizar() {
-      render.limpiarPantalla();
-      const { cols, rows } = render.obtenerDimensiones();
-
-      // Hero
-      const colorHero = datos.ok ? semantico.exito : semantico.error;
-      const ico = datos.ok ? iconos.check : iconos.cross;
-      const titulo = `${ico} ${datos.tituloPrincipal}`;
-      const colTit = Math.max(1, Math.floor((cols - render.anchoVisual(titulo)) / 2));
-      render.escribirEn(3, colTit, colores.negrita(colorHero(titulo)));
-
-      if (datos.mensajeFinal) {
-        const mensaje = colores.dim(datos.mensajeFinal);
-        const colMsg = Math.max(1, Math.floor((cols - render.anchoVisual(mensaje)) / 2));
-        render.escribirEn(5, colMsg, mensaje);
-      }
-
-      // Tabla
-      const filaTabla = 7;
-      tabla.forEach(([k, v], i) => {
-        const linea = render.rellenarDer(colores.dim(k + ':'), 22) + semantico.enfasis(v);
-        const colTab = Math.max(1, Math.floor((cols - render.anchoVisual(linea)) / 2));
-        render.escribirEn(filaTabla + i, colTab, linea);
-      });
-
-      // Próximos pasos
-      if (proximos.length > 0) {
-        const filaPasos = filaTabla + tabla.length + 2;
-        render.escribirEn(filaPasos, 4, semantico.titulo('Próximos pasos:'));
-        proximos.forEach((p, i) => {
-          if (filaPasos + 1 + i >= rows - 3) return;
-          render.escribirEn(filaPasos + 1 + i, 6,
-            `${colores.cyan(iconos.arrow)} ${p}`);
-        });
-      }
-
-      render.dibujarPiePagina([
-        ['Enter|Esc', 'cerrar'],
-      ]);
-    }
-
-    render.iniciarModoTui();
-    _renderizar();
-    const onResize = () => _renderizar();
-    process.stdout.on('resize', onResize);
-
-    const teclado = teclas.crearTeclado();
-    function _finalizar() {
-      teclado.desactivar();
-      process.stdout.removeListener('resize', onResize);
-      render.salirModoTui();
-      resolve();
-    }
-    teclado.on('return', _finalizar);
-    teclado.on('escape', _finalizar);
-    teclado.activar();
-  });
-}
-
-module.exports = { mostrarResumen, PROXIMOS_PASOS };
+'use strict';
+
+/**
+ * Pantalla Resumen final — se muestra después de Install/Update/Uninstall.
+ *
+ * Recibe un objeto con totales y muestra:
+ *   - Bloque hero (éxito/error con color)
+ *   - Tabla resumen: actualizados, omitidos, errores, tiempo total
+ *   - Próximos pasos sugeridos según la operación
+ *
+ * Espera Enter o Esc para cerrar.
+ */
+
+const render = require('../lib/render');
+const teclas = require('../lib/teclas');
+const { colores, semantico, iconos } = require('../lib/colores');
+
+const PROXIMOS_PASOS = {
+  install: [
+    'Verifica la salud del sistema:  swl-ses doctor',
+    'Lista los skills instalados:    swl-ses skills list',
+    'Ejecuta el primer comando:      /swl:ayuda  (dentro de tu runtime)',
+  ],
+  update: [
+    'Verifica los cambios:           git diff (en proyectos donde aplicaste)',
+    'Revisa el CHANGELOG:            swl-ses release notes',
+    'Comprueba la salud:             swl-ses doctor',
+  ],
+  uninstall: [
+    'El directorio _userland/ se preservó por defecto.',
+    'Las memorias y APRENDIZAJES.md no fueron tocados.',
+    'Para reinstalar: swl-ses install',
+  ],
+  inspect: [
+    'Para actualizar: swl-ses update',
+    'Para reinstalar: swl-ses install --force',
+  ],
+};
+
+/**
+ * @param {object} datos
+ * @param {string} datos.operacion - 'install' | 'update' | 'uninstall' | 'inspect'
+ * @param {boolean} datos.ok
+ * @param {string} datos.tituloPrincipal
+ * @param {string} [datos.mensajeFinal]
+ * @param {Array<[string, string]>} [datos.tabla] - filas [clave, valor]
+ * @param {string[]} [datos.proximosPasos] - sobrescribe los defaults
+ * @returns {Promise<void>}
+ */
+function mostrarResumen(datos) {
+  const proximos = datos.proximosPasos || PROXIMOS_PASOS[datos.operacion] || [];
+  const tabla = datos.tabla || [];
+
+  return new Promise((resolve) => {
+    if (!render.ES_TTY || !process.stdin.isTTY) {
+      console.log('');
+      console.log(`  ${datos.ok ? '[OK]' : '[ERROR]'} ${datos.tituloPrincipal}`);
+      if (datos.mensajeFinal) console.log(`  ${datos.mensajeFinal}`);
+      console.log('');
+      for (const [k, v] of tabla) {
+        console.log(`    ${k}: ${v}`);
+      }
+      if (proximos.length > 0) {
+        console.log('');
+        console.log('  Próximos pasos:');
+        for (const p of proximos) console.log(`    - ${p}`);
+      }
+      console.log('');
+      resolve();
+      return;
+    }
+
+    function _renderizar() {
+      render.limpiarPantalla();
+      const { cols, rows } = render.obtenerDimensiones();
+
+      // Hero
+      const colorHero = datos.ok ? semantico.exito : semantico.error;
+      const ico = datos.ok ? iconos.check : iconos.cross;
+      const titulo = `${ico} ${datos.tituloPrincipal}`;
+      const colTit = Math.max(1, Math.floor((cols - render.anchoVisual(titulo)) / 2));
+      render.escribirEn(3, colTit, colores.negrita(colorHero(titulo)));
+
+      if (datos.mensajeFinal) {
+        const mensaje = colores.dim(datos.mensajeFinal);
+        const colMsg = Math.max(1, Math.floor((cols - render.anchoVisual(mensaje)) / 2));
+        render.escribirEn(5, colMsg, mensaje);
+      }
+
+      // Tabla
+      const filaTabla = 7;
+      tabla.forEach(([k, v], i) => {
+        const linea = render.rellenarDer(colores.dim(k + ':'), 22) + semantico.enfasis(v);
+        const colTab = Math.max(1, Math.floor((cols - render.anchoVisual(linea)) / 2));
+        render.escribirEn(filaTabla + i, colTab, linea);
+      });
+
+      // Próximos pasos
+      if (proximos.length > 0) {
+        const filaPasos = filaTabla + tabla.length + 2;
+        render.escribirEn(filaPasos, 4, semantico.titulo('Próximos pasos:'));
+        proximos.forEach((p, i) => {
+          if (filaPasos + 1 + i >= rows - 3) return;
+          render.escribirEn(filaPasos + 1 + i, 6,
+            `${colores.cyan(iconos.arrow)} ${p}`);
+        });
+      }
+
+      render.dibujarPiePagina([
+        ['Enter|Esc', 'cerrar'],
+      ]);
+    }
+
+    render.iniciarModoTui();
+    _renderizar();
+    const onResize = () => _renderizar();
+    process.stdout.on('resize', onResize);
+
+    const teclado = teclas.crearTeclado();
+    function _finalizar() {
+      teclado.desactivar();
+      process.stdout.removeListener('resize', onResize);
+      render.salirModoTui();
+      resolve();
+    }
+    teclado.on('return', _finalizar);
+    teclado.on('escape', _finalizar);
+    teclado.activar();
+  });
+}
+
+module.exports = { mostrarResumen, PROXIMOS_PASOS };

package/scripts/validar-userland-vacio.js

@@ -1,110 +1,110 @@
-#!/usr/bin/env node
-'use strict';
-
-/**
- * validar-userland-vacio.js — guard pre-publish.
- *
- * Verifica que `_userland/` solo contenga archivos `.gitkeep` antes de
- * empaquetar el tarball. Si algún contributor accidentalmente commiteó
- * agentes, skills o credenciales experimentales en `_userland/`, este
- * gate aborta el publish con exit 1 y lista los archivos extraños.
- *
- * Por qué existe (defensa en profundidad):
- *   `_userland/` es el directorio donde el USUARIO instala su contenido
- *   custom. En el repo del sistema debe permanecer vacío (solo
- *   `.gitkeep` para preservar la estructura). El campo `files` de
- *   package.json incluye `_userland/`, así que cualquier archivo real
- *   que se cuele entrará al tarball publicado a npm — exposición
- *   potencial de IP o secretos. Aunque `.gitignore` y `.npmignore` ya
- *   cubren los vectores típicos (.env, credenciales), este guard
- *   garantiza que la regla "_userland/ vacío en distribución" se cumpla
- *   determinísticamente.
- *
- * Variables de entorno:
- *   SWL_USERLAND_GUARD_ALLOW=archivo1,archivo2 — permite archivos extra
- *     (uso excepcional documentado en commit que active la variable).
- *
- * Exit codes:
- *   0 — OK, _userland/ solo contiene .gitkeep
- *   1 — hay archivos extraños; lista impresa a stderr
- *   2 — error de invariante (cwd incorrecto, _userland/ no existe)
- */
-
-const fs   = require('fs');
-const path = require('path');
-
-const USERLAND_DIR = '_userland';
-const PERMITIDOS_BASE = new Set(['.gitkeep', '.gitignore']);
-
-function log(msg) { process.stdout.write(`[userland-guard] ${msg}\n`); }
-function err(msg) { process.stderr.write(`[userland-guard] ERROR: ${msg}\n`); }
-
-/**
- * Normaliza una ruta relativa al separador POSIX (`/`) para que la
- * comparación contra la allowlist funcione idéntica en Windows y POSIX.
- */
-function normalizar(rel) {
-  return rel.replace(/\\/g, '/');
-}
-
-function obtenerExtras() {
-  const extras = process.env.SWL_USERLAND_GUARD_ALLOW;
-  if (!extras) return new Set();
-  return new Set(extras.split(',').map(s => normalizar(s.trim())).filter(Boolean));
-}
-
-function listarRecursivo(dir, baseDir = dir, acumulador = []) {
-  const entries = fs.readdirSync(dir, { withFileTypes: true });
-  for (const entry of entries) {
-    const full = path.join(dir, entry.name);
-    const rel  = normalizar(path.relative(baseDir, full));
-    if (entry.isDirectory()) {
-      listarRecursivo(full, baseDir, acumulador);
-    } else if (entry.isFile()) {
-      acumulador.push(rel);
-    } else if (entry.isSymbolicLink()) {
-      // Symlinks dentro del paquete distribuido son anti-patrón.
-      acumulador.push(`${rel} (symlink)`);
-    }
-  }
-  return acumulador;
-}
-
-function main() {
-  const cwd = process.cwd();
-  const userland = path.join(cwd, USERLAND_DIR);
-
-  if (!fs.existsSync(userland)) {
-    err(`${USERLAND_DIR}/ no existe en ${cwd}. ¿cwd incorrecto?`);
-    process.exit(2);
-  }
-
-  const extrasPermitidos = obtenerExtras();
-  const archivos = listarRecursivo(userland);
-
-  const noPermitidos = archivos.filter(rel => {
-    const nombre = path.basename(rel);
-    if (PERMITIDOS_BASE.has(nombre)) return false;
-    if (extrasPermitidos.has(rel)) return false;
-    return true;
-  });
-
-  if (noPermitidos.length > 0) {
-    err(`${USERLAND_DIR}/ contiene ${noPermitidos.length} archivo(s) que no deberían distribuirse en el tarball npm:`);
-    for (const rel of noPermitidos) {
-      err(`  - ${USERLAND_DIR}/${rel}`);
-    }
-    err('');
-    err('Acciones posibles:');
-    err(`  1. Mover el contenido fuera de ${USERLAND_DIR}/ si es del sistema base`);
-    err(`  2. Borrarlo si era código experimental local`);
-    err(`  3. Permitir explícitamente con SWL_USERLAND_GUARD_ALLOW="ruta1,ruta2"`);
-    err('     (documentar la excepción en el mensaje de commit)');
-    process.exit(1);
-  }
-
-  log(`OK: ${USERLAND_DIR}/ solo contiene ${archivos.length} archivo(s) permitido(s).`);
-  process.exit(0);
-}
-
-main();
+#!/usr/bin/env node
+'use strict';
+
+/**
+ * validar-userland-vacio.js — guard pre-publish.
+ *
+ * Verifica que `_userland/` solo contenga archivos `.gitkeep` antes de
+ * empaquetar el tarball. Si algún contributor accidentalmente commiteó
+ * agentes, skills o credenciales experimentales en `_userland/`, este
+ * gate aborta el publish con exit 1 y lista los archivos extraños.
+ *
+ * Por qué existe (defensa en profundidad):
+ *   `_userland/` es el directorio donde el USUARIO instala su contenido
+ *   custom. En el repo del sistema debe permanecer vacío (solo
+ *   `.gitkeep` para preservar la estructura). El campo `files` de
+ *   package.json incluye `_userland/`, así que cualquier archivo real
+ *   que se cuele entrará al tarball publicado a npm — exposición
+ *   potencial de IP o secretos. Aunque `.gitignore` y `.npmignore` ya
+ *   cubren los vectores típicos (.env, credenciales), este guard
+ *   garantiza que la regla "_userland/ vacío en distribución" se cumpla
+ *   determinísticamente.
+ *
+ * Variables de entorno:
+ *   SWL_USERLAND_GUARD_ALLOW=archivo1,archivo2 — permite archivos extra
+ *     (uso excepcional documentado en commit que active la variable).
+ *
+ * Exit codes:
+ *   0 — OK, _userland/ solo contiene .gitkeep
+ *   1 — hay archivos extraños; lista impresa a stderr
+ *   2 — error de invariante (cwd incorrecto, _userland/ no existe)
+ */
+
+const fs   = require('fs');
+const path = require('path');
+
+const USERLAND_DIR = '_userland';
+const PERMITIDOS_BASE = new Set(['.gitkeep', '.gitignore']);
+
+function log(msg) { process.stdout.write(`[userland-guard] ${msg}\n`); }
+function err(msg) { process.stderr.write(`[userland-guard] ERROR: ${msg}\n`); }
+
+/**
+ * Normaliza una ruta relativa al separador POSIX (`/`) para que la
+ * comparación contra la allowlist funcione idéntica en Windows y POSIX.
+ */
+function normalizar(rel) {
+  return rel.replace(/\\/g, '/');
+}
+
+function obtenerExtras() {
+  const extras = process.env.SWL_USERLAND_GUARD_ALLOW;
+  if (!extras) return new Set();
+  return new Set(extras.split(',').map(s => normalizar(s.trim())).filter(Boolean));
+}
+
+function listarRecursivo(dir, baseDir = dir, acumulador = []) {
+  const entries = fs.readdirSync(dir, { withFileTypes: true });
+  for (const entry of entries) {
+    const full = path.join(dir, entry.name);
+    const rel  = normalizar(path.relative(baseDir, full));
+    if (entry.isDirectory()) {
+      listarRecursivo(full, baseDir, acumulador);
+    } else if (entry.isFile()) {
+      acumulador.push(rel);
+    } else if (entry.isSymbolicLink()) {
+      // Symlinks dentro del paquete distribuido son anti-patrón.
+      acumulador.push(`${rel} (symlink)`);
+    }
+  }
+  return acumulador;
+}
+
+function main() {
+  const cwd = process.cwd();
+  const userland = path.join(cwd, USERLAND_DIR);
+
+  if (!fs.existsSync(userland)) {
+    err(`${USERLAND_DIR}/ no existe en ${cwd}. ¿cwd incorrecto?`);
+    process.exit(2);
+  }
+
+  const extrasPermitidos = obtenerExtras();
+  const archivos = listarRecursivo(userland);
+
+  const noPermitidos = archivos.filter(rel => {
+    const nombre = path.basename(rel);
+    if (PERMITIDOS_BASE.has(nombre)) return false;
+    if (extrasPermitidos.has(rel)) return false;
+    return true;
+  });
+
+  if (noPermitidos.length > 0) {
+    err(`${USERLAND_DIR}/ contiene ${noPermitidos.length} archivo(s) que no deberían distribuirse en el tarball npm:`);
+    for (const rel of noPermitidos) {
+      err(`  - ${USERLAND_DIR}/${rel}`);
+    }
+    err('');
+    err('Acciones posibles:');
+    err(`  1. Mover el contenido fuera de ${USERLAND_DIR}/ si es del sistema base`);
+    err(`  2. Borrarlo si era código experimental local`);
+    err(`  3. Permitir explícitamente con SWL_USERLAND_GUARD_ALLOW="ruta1,ruta2"`);
+    err('     (documentar la excepción en el mensaje de commit)');
+    process.exit(1);
+  }
+
+  log(`OK: ${USERLAND_DIR}/ solo contiene ${archivos.length} archivo(s) permitido(s).`);
+  process.exit(0);
+}
+
+main();

package/scripts/verificar-aislamiento-swl-eval.js

@@ -0,0 +1,87 @@
+'use strict';
+
+/**
+ * CLI (wrapper de EFECTO) que PRE-CHEQUEA el gate C5 de aislamiento contra la
+ * config viva de swl-eval vía `gh api` (solo lectura) y evalúa con la lógica
+ * pura `scripts/lib/w4-gate-c5.js`. T-09, ADR-0053 pieza 3, ADR-0056.
+ *
+ * ES UN HINT LOCAL, NO EVIDENCIA CERTIFICANTE — lo corre la máquina del maker
+ * (el evaluado no produce la evidencia que lo aprueba). Fail-closed: un 403 al
+ * listar org secrets se reporta RED, nunca GREEN. Sin efectos al require;
+ * `deps.ejecutor` es inyectable.
+ */
+
+const { execFileSync } = require('node:child_process');
+
+const { evaluarGateC5 } = require('./lib/w4-gate-c5');
+const { OWNER, REPO } = require('./lib/w4-pin-origen');
+
+function ghJson(ejecutor, args) {
+  return JSON.parse(ejecutor('gh', args));
+}
+
+/** Intenta una lectura; devuelve `{ok, valor}` sin lanzar (fail-closed arriba). */
+function intentar(fn) {
+  try {
+    return { ok: true, valor: fn() };
+  } catch {
+    return { ok: false, valor: null };
+  }
+}
+
+function normalizarBranchPolicy(env) {
+  const politica = env && env.deployment_branch_policy;
+  if (!politica) return 'none';
+  if (politica.protected_branches) return 'protected';
+  if (politica.custom_branch_policies) return 'custom';
+  return 'none';
+}
+
+function extraerReviewers(env) {
+  const reglas = (env && env.protection_rules) || [];
+  return reglas
+    .filter((r) => r && r.type === 'required_reviewers')
+    .flatMap((r) => (r.reviewers || []).map((x) => x.reviewer && x.reviewer.login).filter(Boolean));
+}
+
+function recolectarObservaciones(ejecutor) {
+  const env = intentar(() => ghJson(ejecutor, ['api', `repos/${REPO}/environments/certificacion`]));
+  const repoSecrets = intentar(() => ghJson(ejecutor, ['api', `repos/${REPO}/actions/secrets`]).total_count);
+  const orgSecrets = intentar(() => ghJson(ejecutor, ['api', `orgs/${OWNER}/actions/secrets`]).total_count);
+  const envSecrets = intentar(() => ghJson(ejecutor, ['api', `repos/${REPO}/environments/certificacion/secrets`])
+    .secrets.map((s) => s.name));
+  const perms = intentar(() => ghJson(ejecutor, ['api', `repos/${REPO}`]).permissions);
+
+  return {
+    deploymentBranchPolicy: env.ok ? normalizarBranchPolicy(env.valor) : null,
+    canAdminsBypass: env.ok ? (env.valor.can_admins_bypass ?? null) : null,
+    repoSecretsCount: repoSecrets.ok ? repoSecrets.valor : null,
+    orgSecretsListable: orgSecrets.ok,
+    orgSecretsCount: orgSecrets.ok ? orgSecrets.valor : null,
+    envSecrets: envSecrets.ok ? envSecrets.valor : [],
+    requiredReviewers: env.ok ? extraerReviewers(env.valor) : null,
+    ejecutorPermissions: perms.ok
+      ? { admin: !!perms.valor.admin, push: !!perms.valor.push, maintain: !!perms.valor.maintain }
+      : null,
+  };
+}
+
+function main(opciones = {}) {
+  const ejecutor = (opciones.deps && opciones.deps.ejecutor)
+    || ((cmd, args) => execFileSync(cmd, args, { encoding: 'utf8' }));
+  const observaciones = opciones.observaciones || recolectarObservaciones(ejecutor);
+  const resultado = evaluarGateC5(observaciones);
+  return { observaciones, resultado };
+}
+
+module.exports = { main, recolectarObservaciones, normalizarBranchPolicy, extraerReviewers };
+
+if (require.main === module) {
+  const { resultado } = main();
+  process.stdout.write(`Gate C5 (HINT local, no certificante) — resumen: ${resultado.resumen}\n`);
+  for (const c of resultado.clausulas) {
+    process.stdout.write(`  [${c.estado}] ${c.id} ${c.titulo}\n         ${c.detalle}\n`);
+  }
+  process.stdout.write(`\n${resultado.nota}\n`);
+  process.exit(resultado.resumen === 'GREEN' ? 0 : 1);
+}