@sberpay-cli/cli-diagnostic 0.0.0-stage → 0.4.0-dev.11

package/package/bin/sberpay-cli.mjs

@@ -0,0 +1,17 @@
+#!/usr/bin/env node
+// @sberpay-cli/cli-diagnostic: проверка версии Node, затем бандл. Собирает scripts/release/build.ts.
+const MIN_MINOR = {"22":19,"24":5};
+const [major = 0, minor = 0] = process.versions.node.split(".").map(Number);
+const refuse = (code, message, hint) => {
+  if (process.argv.includes("--json")) process.stdout.write(`${JSON.stringify({ error: { code, message, hint } })}\n`);
+  else process.stderr.write(`✗ ${message}\n  → ${hint}\n`);
+  process.exit(4);
+};
+if (!(major > 24 || (MIN_MINOR[major] !== undefined && minor >= MIN_MINOR[major]))) {
+  refuse("NODE_TOO_OLD", `Node ${process.versions.node} — нужен Node 22.19+ или 24.5+`, "Обновите Node до 22.19+ или 24.5+ (лучше 24 LTS) и повторите");
+}
+// Без проверки сертификатов Шлюз ЭК может подменить кто угодно в сети: вшитый корень Минцифры тогда ничего не даёт.
+if (process.env.NODE_TLS_REJECT_UNAUTHORIZED === "0") {
+  refuse("INSECURE_TLS", "NODE_TLS_REJECT_UNAUTHORIZED=0 выключает проверку сертификатов", "Уберите NODE_TLS_REJECT_UNAUTHORIZED из окружения");
+}
+await import("../dist/cli.mjs");

package/package/config/logging.yaml

@@ -0,0 +1,53 @@
+# Маскирование логов CLI и заглушек (конвенция ~/.claude/rules/common/logging.md).
+# agentToken ходит шифротекстом, но тоже redact; sessionId знает только КГС и утилита (OQ-133, п. 5) — partial;
+# deviceId — отпечаток открытого ключа, секрета в нём нет, но это идентификатор устройства — partial
+# (в заголовке X-Hardware-Id — redact).
+logging:
+  level: INFO            # DEBUG включает тела и заголовки (замаскированные)
+  format: logfmt
+  masking:
+    defaultStrategy: redact
+    headers:
+      - { name: authorization, strategy: redact }
+      - { name: cookie, strategy: redact }
+      - { name: set-cookie, strategy: redact }
+      - { name: x-agent-token, strategy: redact }
+      - { name: x-hardware-id, strategy: redact }
+      - { name: location, strategy: redact }
+      - { name: x-device-signature, strategy: redact }
+      - { name: x-device-challenge, strategy: redact }
+    body:
+      - { path: "$..request", strategy: redact }
+      - { path: "$..response", strategy: redact }
+      - { path: "$..deviceInfo", strategy: redact }
+      - { path: "$..deliveryAddress", strategy: redact }
+      - { path: "$..deliveryAddresses", strategy: redact }
+      - { path: "$..purchaseContext", strategy: redact }
+      - { path: "$..intercomCode", strategy: redact }
+      - { path: "$..comment", strategy: redact }
+      - { path: "$..latitude", strategy: redact }
+      - { path: "$..longitude", strategy: redact }
+      - { path: "$..address", strategy: redact }
+      - { path: "$..tag", strategy: redact }
+      - { path: "$..message", strategy: redact }
+      - { path: "$..details", strategy: redact }
+      - { path: "$..errorMessage", strategy: redact }
+      - { path: "$..subId", strategy: redact }   # по модели угроз subId — учётные данные (OQ-112)
+      - { path: "$..agentToken", strategy: redact }
+      - { path: "$..code", strategy: redact }
+      - { path: "$..client_secret", strategy: redact }
+      - { path: "$..access_token", strategy: redact }
+      - { path: "$..refresh_token", strategy: redact }
+      - { path: "$..id_token", strategy: redact }
+      - { path: "$..nonce", strategy: redact }
+      - { path: "$..password", strategy: redact }
+      - { path: "$..sessionId", strategy: partial, keepStart: 4, keepEnd: 0 }
+      - { path: "$..cabinetUrl", strategy: redact }   # внутри sessionId
+      - { path: "$..sessionSecret", strategy: redact }
+      - { path: "$..secretHash", strategy: redact }
+      - { path: "$..secret", strategy: redact }
+      - { path: "$..challenge", strategy: redact }
+      - { path: "$..code_verifier", strategy: redact }
+      - { path: "$..deviceId", strategy: partial, keepStart: 6, keepEnd: 0 }
+  quietPaths:
+    - { path: "/favicon.ico", policy: drop }