@starterlib/cli 0.10.11 → 0.10.13

package/README.md

@@ -48,24 +48,25 @@ Codes de sortie : `0` conforme ; `1` une etape a echoue ; `2` la commande ne peu
 
 ## Les etapes de `verify`
 
-| Etape         | Role     | Ce qu'elle garde                                                                                                                                                |
-| ------------- | -------- | --------------------------------------------------------------------------------------------------------------------------------------------------------------- |
-| `versions`    | les deux | Versions exactes de la matrice, greffon de federation lie a Angular, pnpm, Node, train du socle                                                                 |
-| `dependances` | les deux | Dependances de production revues, paquets interdits, aucun outil du socle recopie sous `tools/`                                                                 |
-| `jetons`      | les deux | Chaque `var(--st-*)` sans repli existe dans `@starterlib/tokens` (feuilles et styles en ligne)                                                                  |
-| `format`      | les deux | `prettier --check .`                                                                                                                                            |
-| `lint`        | les deux | Prefixe des selecteurs (jamais `st-`), `eslint .`, puis stylelint (configuration du socle exigee)                                                               |
-| `i18n`        | les deux | Memes cles et arguments en fr et en, messages lisibles, cles appelees presentes, aide de chaque page (`<perimetre>.aide.<page>`), types a jour                  |
-| `test`        | les deux | `ng test --no-watch`                                                                                                                                            |
-| `contrat`     | les deux | `pnpm run contrat:check` s'il existe (client d'API engendre, lot 175), sinon sautee en le disant                                                                |
-| `simulations` | remote   | Les stubs WireMock du service, tels que l'hote de developpement les rejoue, a jour (lot 269) ; sautee sans simulateur ; un stub hors du sous-ensemble est nomme |
-| `build`       | les deux | `starter-web construire`                                                                                                                                        |
-| `manifeste`   | les deux | `validerLeManifesteDeRemote` et le schema de `@starterlib/core` INSTALLE ; le nom partout le meme                                                               |
-| `federation`  | les deux | Partage en singleton strict a plage explicite, Angular et le socle partages, aucun import nu orphelin                                                           |
-| `entree`      | hote     | Aucun paquet partage importe statiquement avant `initFederation`                                                                                                |
-| `budget`      | les deux | En brotli. Remote : chaque page (60 Ko), le total (250 Ko), les catalogues. Hote : premier ecran                                                                |
-| `amorcage`    | hote     | Aucun pair lourd (CDK, aria, formulaires, surfaces) dans le premier ecran                                                                                       |
-| `securite`    | les deux | Puits de l'ADR 0029 dans le code de la SPA, politiques Trusted Types exactes, cartes, SVG, meta CSP                                                             |
+| Etape            | Role     | Ce qu'elle garde                                                                                                                                                                                                                                                              |
+| ---------------- | -------- | ----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- |
+| `versions`       | les deux | Versions exactes de la matrice, greffon de federation lie a Angular, pnpm, Node, train du socle                                                                                                                                                                               |
+| `dependances`    | les deux | Dependances de production revues, paquets interdits, aucun outil du socle recopie sous `tools/`                                                                                                                                                                               |
+| `jetons`         | les deux | Chaque `var(--st-*)` sans repli existe dans `@starterlib/tokens` (feuilles et styles en ligne)                                                                                                                                                                                |
+| `format`         | les deux | `prettier --check .`                                                                                                                                                                                                                                                          |
+| `lint`           | les deux | Prefixe des selecteurs (jamais `st-`), `eslint .`, puis stylelint (configuration du socle exigee)                                                                                                                                                                             |
+| `i18n`           | les deux | Memes cles et arguments en fr et en, messages lisibles, cles appelees presentes, aide de chaque page (`<perimetre>.aide.<page>`), types a jour                                                                                                                                |
+| `test`           | les deux | `ng test --no-watch`                                                                                                                                                                                                                                                          |
+| `contrat`        | les deux | `pnpm run contrat:check` s'il existe (client d'API engendre, lot 175), sinon sautee en le disant                                                                                                                                                                              |
+| `simulations`    | remote   | Les stubs WireMock du service, tels que l'hote de developpement les rejoue, a jour (lot 269) ; sautee sans simulateur ; un stub hors du sous-ensemble est nomme                                                                                                               |
+| `build`          | les deux | `starter-web construire`                                                                                                                                                                                                                                                      |
+| `vulnerabilites` | les deux | `pnpm audit --prod` : HIGH et CRITICAL bloquent sauf exception DATEE de `securite/exceptions-npm.json` (un trimestre au plus) ; SBOM CycloneDX dans `dist/sbom-front.cdx.json`, a cote du dossier livre (jamais servie) ; licences AGPL, SSPL et inconnues refusees (lot 139) |
+| `manifeste`      | les deux | `validerLeManifesteDeRemote` et le schema de `@starterlib/core` INSTALLE ; le nom partout le meme                                                                                                                                                                             |
+| `federation`     | les deux | Partage en singleton strict a plage explicite, Angular et le socle partages, aucun import nu orphelin                                                                                                                                                                         |
+| `entree`         | hote     | Aucun paquet partage importe statiquement avant `initFederation`                                                                                                                                                                                                              |
+| `budget`         | les deux | En brotli. Remote : chaque page (60 Ko), le total (250 Ko), les catalogues. Hote : premier ecran                                                                                                                                                                              |
+| `amorcage`       | hote     | Aucun pair lourd (CDK, aria, formulaires, surfaces) dans le premier ecran                                                                                                                                                                                                     |
+| `securite`       | les deux | Puits de l'ADR 0029 dans le code de la SPA, politiques Trusted Types exactes, cartes, SVG, meta CSP                                                                                                                                                                           |
 
 `--etapes a,b` n'en joue que certaines ; `--sauter a,b` en retire.
 

package/matrice-compatibilite.md

@@ -31,6 +31,18 @@ proprietaire du 2026-09-26).
 | `stylelint`, `postcss-scss`                                                                  | `17.15.0`, `4.0.9` | Les feuilles du socle et des SPA (lot 178, `@starterlib/eslint-config/stylelint`) ; `postcss-scss` lit le SCSS                                                                                      |
 | `jsdom`, `axe-core`                                                                          | `30.0.1`, `4.13.0` | Le DOM des essais unitaires et le controle d'accessibilite : un correctif change ce qu'un essai voit                                                                                                |
 
+## Prochain train : `2026.2` (prevu, non applique)
+
+Lot 297 : le train suivant se monte a la promotion LTS de Node 26 (calendrier de Node : fin octobre
+2026), et pas avant. Ce que la montee changera, dans un commit par depot (socle puis les quatre
+interfaces), avec `pnpm verify` et `banc-d-assemblage.sh --construire` verts :
+
+- `engines.node` exact sur Node 26, `setup-node` des workflows, `build-spa.yml` et
+  `frontend.node.version` de `platform-parent` ;
+- pnpm 12 une fois publie et age de trois jours (`packageManager`, `frontend.pnpm.version`) ;
+- reevaluation des API de la section 3 de `regles-front.md` (`withViewTransitions`, `debounced`,
+  `@boundary`, ancrage CSS avec le banc sur trois moteurs).
+
 ## A destination des depots de SPA (pas de ce depot)
 
 | Element                                 | Version  | Avertissement                                                                                                                                                                                                                                                                                                                                                                                                                                                                         |
@@ -53,8 +65,25 @@ maximum, fonction par fonction, de ce que les feuilles et le noyau emploient san
 | `transition-behavior: allow-discrete` | 117    | 17.4   | 129     | admis pour une sortie qui anime `display`                  |
 
 Sous ce plancher, rien ne casse sans le dire : une surface sans `@starting-style` apparait d'un coup ; une
-couleur sans `light-dark()` n'existe pas, d'ou le plancher. Le banc tourne sur Chromium ; Firefox et WebKit
-entrent au banc d'assemblage (lot 276).
+couleur sans `light-dark()` n'existe pas, d'ou le plancher.
+
+Ce plancher est plus haut que celui d'Angular 22.2 (« baseline widely available » au 2026-05-07 : Chrome et
+Edge 119, Firefox 119, Safari et iOS 17) : la construction ne vise pas plus bas que le socle n'en a besoin.
+
+**Mesure (banc d'assemblage du BFF, lot 276, 2026-10-01).** Playwright 1.63 : Chromium 153, Firefox 155,
+WebKit 26.6, Pixel 7 et iPhone 15 emules. Chromium et le telephone Android jouent tout le banc a chaque
+poussee ; Firefox, WebKit et l'iPhone jouent les scenarios `@moteurs` et `@mobile` chaque semaine
+(`BANC_MOTEURS=tous`).
+
+| Moteur        | Version mesuree | Plancher | Ce qui se degrade entre le plancher et la mesure                                   |
+| ------------- | --------------- | -------- | ---------------------------------------------------------------------------------- |
+| Chromium/Edge | 153             | 123      | rien de connu : les types de confiance y sont appliques depuis bien avant 123      |
+| Firefox       | 155             | 129      | la protection des puits DOM par les types de confiance, si la version ne les a pas |
+| Safari/iOS    | 26.6            | 17.5     | idem ; la politique bloque toujours les scripts sans nonce                         |
+
+**WebView.** Android System WebView suit Chromium, WKWebView suit le Safari du systeme : memes planchers
+(decisions mobiles, ADR 0043 du socle `api/starter`). **Revision** : a chaque montee de Playwright (nouveaux moteurs) et au plus
+tard a chaque majeure d'Angular.
 
 ## Regle de retard
 

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@starterlib/cli",
-  "version": "0.10.11",
+  "version": "0.10.13",
   "description": "Chaine de verification et de construction des SPA du socle frontal starter : starter-web verify, construire, sprite, manifeste, precompresser. Jamais en dependance de production.",
   "license": "UNLICENSED",
   "type": "module",

package/src/etapes/vulnerabilites.mjs

@@ -0,0 +1,24 @@
+/**
+ * Etape `vulnerabilites` (lot 139) : `pnpm audit --prod` bloquant sur HIGH et CRITICAL, sauf
+ * exception datee de `securite/exceptions-npm.json` ; SBOM CycloneDX des dependances de production
+ * dans `dist/sbom-front.cdx.json` (a cote du dossier livre, jamais servie) ; licences AGPL, SSPL et
+ * inconnues refusees. Le registre npm doit repondre : sans lui, on refuse plutot que supposer.
+ */
+import { auditerLesDependances } from '../vulnerabilites.mjs';
+
+export default {
+  nom: 'vulnerabilites',
+  roles: ['remote', 'hote'],
+  executer(projet) {
+    try {
+      const { defauts, exceptes, composants } = auditerLesDependances(projet.racine);
+      const sous = exceptes.length > 0 ? `, ${String(exceptes.length)} avis excepte(s)` : '';
+      return {
+        defauts,
+        resume: `${String(composants)} composant(s) de production audites et sous licence admise${sous} (dist/sbom-front.cdx.json).`,
+      };
+    } catch (erreur) {
+      return { defauts: [erreur instanceof Error ? erreur.message : String(erreur)] };
+    }
+  },
+};

package/src/verifier.mjs

@@ -21,6 +21,7 @@ import { contrat, format, lint, test } from './etapes/outillage.mjs';
 import securite from './etapes/securite.mjs';
 import simulations from './etapes/simulations.mjs';
 import versions from './etapes/versions.mjs';
+import vulnerabilites from './etapes/vulnerabilites.mjs';
 
 const build = {
   nom: 'build',
@@ -46,6 +47,7 @@ export const ETAPES = [
   contrat,
   simulations,
   build,
+  vulnerabilites,
   manifeste,
   federation,
   entree,

package/src/vulnerabilites.mjs

@@ -0,0 +1,139 @@
+/**
+ * Vulnerabilites et licences des dependances npm (lot 139), partagees par le socle frontal
+ * (`tools/verifier-dependances.mjs`) et chaque SPA (etape `vulnerabilites` de `starter-web verify`).
+ *
+ *  - `pnpm audit --prod` : tout avis HIGH ou CRITICAL bloque, sauf exception DATEE du registre
+ *    `securite/exceptions-npm.json` ; une exception sans date, perimee ou a plus d'un trimestre
+ *    bloque aussi (politique commune : api/starter docs/security/gestion-des-vulnerabilites.md) ;
+ *  - `pnpm sbom` : la SBOM CycloneDX des dependances de production, ecrite dans
+ *    `dist/sbom-front.cdx.json`, A COTE du dossier livre (jamais servie : elle dirait a un attaquant
+ *    chaque version installee) ;
+ *  - licences : AGPL, SSPL ou inconnue interdites dans les dependances de production.
+ */
+import { spawnSync } from 'node:child_process';
+import { existsSync, mkdirSync, readFileSync, writeFileSync } from 'node:fs';
+import { join } from 'node:path';
+
+/** Une exception ne vaut qu'un trimestre : au-dela, elle se renouvelle, justification relue. */
+export const HORIZON_JOURS = 92;
+const GRAVES = new Set(['high', 'critical']);
+const IDENTIFIANT = /^(GHSA(-[23456789cfghjmpqrvwx]{4}){3}|CVE-\d{4}-\d{4,})$/;
+const LICENCE_INTERDITE = /\b(AGPL|SSPL)/i;
+
+const jour = (date) => date.toISOString().slice(0, 10);
+
+/** Lit le registre : les exceptions valables, et les defauts de celles qui ne le sont pas. */
+export function lireExceptions(registre, aujourdHui = new Date()) {
+  const defauts = [];
+  const valables = [];
+  const limite = new Date(aujourdHui.getTime() + HORIZON_JOURS * 86_400_000);
+  for (const [indice, exception] of (registre.exceptions ?? []).entries()) {
+    const nom = `exception ${String(indice + 1)} (${String(exception.avis)})`;
+    if (typeof exception.avis !== 'string' || !IDENTIFIANT.test(exception.avis)) {
+      defauts.push(`${nom} : avis absent ou illisible (GHSA-xxxx-xxxx-xxxx ou CVE-AAAA-NNNN)`);
+    } else if (
+      typeof exception.justification !== 'string' ||
+      exception.justification.trim().length < 20
+    ) {
+      defauts.push(`${nom} : justification absente ou trop courte`);
+    } else if (
+      typeof exception.echeance !== 'string' ||
+      !/^\d{4}-\d{2}-\d{2}$/.test(exception.echeance) ||
+      Number.isNaN(Date.parse(exception.echeance))
+    ) {
+      defauts.push(`${nom} : sans echeance datee (AAAA-MM-JJ)`);
+    } else if (exception.echeance < jour(aujourdHui)) {
+      defauts.push(`${nom} : perimee depuis le ${exception.echeance}`);
+    } else if (exception.echeance > jour(limite)) {
+      defauts.push(
+        `${nom} : echeance a plus de ${String(HORIZON_JOURS)} jours (${exception.echeance})`,
+      );
+    } else {
+      valables.push(exception);
+    }
+  }
+  return { valables, defauts };
+}
+
+/** Les avis graves de `pnpm audit --json` : bloquants, ou couverts par une exception valable. */
+export function trierLesAvis(audit, exceptions) {
+  const bloquants = [];
+  const exceptes = [];
+  for (const avis of Object.values(audit.advisories ?? {})) {
+    if (!GRAVES.has(String(avis.severity).toLowerCase())) continue;
+    const identifiants = [avis.github_advisory_id, ...(avis.cves ?? [])].filter(Boolean);
+    const exception = exceptions.find((candidate) => identifiants.includes(candidate.avis));
+    const ligne =
+      `${String(avis.severity).toUpperCase()} ${String(avis.module_name)} ` +
+      `${identifiants.join(' ')} (corrige : ${String(avis.patched_versions)})`;
+    if (exception === undefined) bloquants.push(ligne);
+    else exceptes.push(`${ligne}, excepte jusqu'au ${String(exception.echeance)}`);
+  }
+  return { bloquants, exceptes };
+}
+
+/** Les composants de la SBOM dont la licence est interdite ou inconnue. */
+export function licencesRefusees(sbom) {
+  const refus = [];
+  for (const composant of sbom.components ?? []) {
+    const licences = (composant.licenses ?? [])
+      .map((entree) => entree.expression ?? entree.license?.id ?? entree.license?.name)
+      .filter((licence) => typeof licence === 'string' && licence.trim() !== '');
+    const nom =
+      `${composant.group ? `${String(composant.group)}/` : ''}` +
+      `${String(composant.name)}@${String(composant.version)}`;
+    if (licences.length === 0) refus.push(`${nom} : licence inconnue`);
+    else if (licences.some((licence) => LICENCE_INTERDITE.test(licence))) {
+      refus.push(`${nom} : licence interdite (${licences.join(', ')})`);
+    }
+  }
+  return refus;
+}
+
+/** `pnpm` en sortie capturee ; sous Windows, un script `.cmd`, d'ou l'interpreteur. */
+function pnpm(arguments_, racine) {
+  const resultat = spawnSync('pnpm', arguments_, {
+    cwd: racine,
+    encoding: 'utf8',
+    maxBuffer: 64 * 1024 * 1024,
+    stdio: ['ignore', 'pipe', 'pipe'],
+    shell: process.platform === 'win32',
+  });
+  return {
+    code: resultat.status ?? 2,
+    stdout: resultat.stdout ?? '',
+    stderr: resultat.stderr ?? '',
+  };
+}
+
+/**
+ * Audit, SBOM et licences d'un projet pnpm. Rend `{ defauts, exceptes, composants, sbom }` ;
+ * `sbom` est le chemin ecrit. Leve une erreur quand le registre ne repond pas (on refuse plutot
+ * que supposer).
+ */
+export function auditerLesDependances(racine, { lancer = pnpm, aujourdHui = new Date() } = {}) {
+  const chemin = join(racine, 'securite/exceptions-npm.json');
+  const registre = existsSync(chemin) ? JSON.parse(readFileSync(chemin, 'utf8')) : {};
+  const { valables, defauts } = lireExceptions(registre, aujourdHui);
+
+  // `pnpm audit` rend 1 quand il trouve des avis : seule une sortie illisible empeche de juger.
+  const audit = lancer(['audit', '--prod', '--json'], racine);
+  let rapport;
+  try {
+    rapport = JSON.parse(audit.stdout);
+  } catch {
+    throw new Error(`pnpm audit illisible (registre injoignable ?) : ${audit.stderr.trim()}`);
+  }
+  const { bloquants, exceptes } = trierLesAvis(rapport, valables);
+  defauts.push(...bloquants.map((ligne) => `avis non excepte : ${ligne}`));
+
+  const sbom = lancer(['sbom', '--sbom-format', 'cyclonedx', '--prod'], racine);
+  if (sbom.code !== 0) throw new Error(`pnpm sbom a echoue : ${sbom.stderr.trim()}`);
+  const document = JSON.parse(sbom.stdout);
+  mkdirSync(join(racine, 'dist'), { recursive: true });
+  const sortie = join(racine, 'dist/sbom-front.cdx.json');
+  writeFileSync(sortie, `${JSON.stringify(document, null, 2)}\n`);
+  defauts.push(...licencesRefusees(document));
+
+  return { defauts, exceptes, composants: document.components?.length ?? 0, sbom: sortie };
+}