@starterlib/cli 0.10.2

package/README.md

@@ -0,0 +1,115 @@
+# @starterlib/cli
+
+La chaine de verification et de construction d'une SPA du socle frontal : la coquille (l'hote) et
+chaque remote. Elle remplace les huit outils que chaque SPA recopiait sous `tools/` (versions,
+securite, budget, manifeste, sprite, empreinte, precompression, et ceux propres a la coquille) :
+une correction du socle atteint desormais toutes les SPA a la montee de version, sans copie a
+repercuter a la main.
+
+Outil de Node (>= 24.15) : jamais en dependance de production. Aucune dependance a l'execution.
+
+## Installation
+
+A la version exacte des autres paquets du socle — ils forment un train et se montent ensemble :
+
+```bash
+pnpm add -D -E @starterlib/cli@<version du socle>
+```
+
+Scripts d'une SPA :
+
+```json
+{
+  "start": "starter-web sprite && ng serve",
+  "build": "starter-web construire",
+  "build:dev": "starter-web construire --configuration development",
+  "test": "starter-web sprite && ng test",
+  "lint": "starter-web sprite && eslint .",
+  "verify": "starter-web verify"
+}
+```
+
+## Commandes
+
+| Commande                    | Ce qu'elle fait                                                                                  |
+| --------------------------- | ------------------------------------------------------------------------------------------------ |
+| `starter-web verify`        | Les etapes ci-dessous, dans l'ordre, arretees a la premiere qui echoue, dont le nom est ecrit    |
+| `starter-web construire`    | Sprite, `ng build`, prechargement de la police (hote), manifeste, precompression                 |
+| `starter-web sprite`        | Pose le sprite hache (`public/`) et sa constante engendree (`sprite-genere.ts`)                  |
+| `starter-web manifeste`     | Engendre `manifest.json` dans le dossier livre ; idempotent                                      |
+| `starter-web precompresser` | Ecrit les variantes `.br` et `.gz` ; `starter-web precompresser <dossier>` pour un autre dossier |
+| `starter-web i18n:types`    | Engendre `src/app/i18n/cles.ts`, le type des cles de chaque perimetre (`injecterTraduction<C>`)  |
+| `starter-web etapes`        | Liste les etapes et les roles qu'elles concernent                                                |
+
+Codes de sortie : `0` conforme ; `1` une etape a echoue ; `2` la commande ne peut pas s'executer
+(argument inconnu, projet illisible).
+
+## Les etapes de `verify`
+
+| Etape         | Role     | Ce qu'elle garde                                                                                      |
+| ------------- | -------- | ----------------------------------------------------------------------------------------------------- |
+| `versions`    | les deux | Versions exactes de la matrice, greffon de federation lie a Angular, pnpm, Node, train du socle       |
+| `dependances` | les deux | Dependances de production revues, paquets interdits, aucun outil du socle recopie sous `tools/`       |
+| `jetons`      | les deux | Chaque `var(--st-*)` sans repli existe dans `@starterlib/tokens` (feuilles et styles en ligne)        |
+| `format`      | les deux | `prettier --check .`                                                                                  |
+| `lint`        | les deux | Prefixe des selecteurs (jamais `st-`), `eslint .`, puis stylelint (configuration du socle exigee)     |
+| `i18n`        | les deux | Memes cles et arguments en fr et en, messages lisibles, cles appelees presentes, types a jour         |
+| `test`        | les deux | `ng test --no-watch`                                                                                  |
+| `contrat`     | les deux | `pnpm run contrat:check` s'il existe (client d'API engendre, lot 175), sinon sautee en le disant      |
+| `build`       | les deux | `starter-web construire`                                                                              |
+| `manifeste`   | les deux | `validerLeManifesteDeRemote` et le schema de `@starterlib/core` INSTALLE ; le nom partout le meme     |
+| `federation`  | les deux | Partage en singleton strict a plage explicite, Angular et le socle partages, aucun import nu orphelin |
+| `entree`      | hote     | Aucun paquet partage importe statiquement avant `initFederation`                                      |
+| `budget`      | les deux | En brotli. Remote : chaque page (60 Ko), le total (250 Ko), les catalogues. Hote : premier ecran      |
+| `amorcage`    | hote     | Aucun pair lourd (CDK, aria, formulaires, surfaces) dans le premier ecran                             |
+| `securite`    | les deux | Puits de l'ADR 0029 dans le code de la SPA, politiques Trusted Types exactes, cartes, SVG, meta CSP   |
+
+`--etapes a,b` n'en joue que certaines ; `--sauter a,b` en retire.
+
+Ce que `securite` juge, et ou (lot 177). Le code du CADRE — ce que `remoteEntry.json` declare
+partage : Angular, le socle, leurs morceaux internes — ecrit `innerHTML`, appelle `fetch` et pose
+`:root` ; il n'est juge que sur les regles communes (eval, `new Function`, stockage, cookie, politiques
+Trusted Types, cartes, SVG). Le code de la SPA l'est aussi sur `bypassSecurityTrust*`, les ecritures
+HTML, `setAttribute('style')`, `Function(`, les minuteries sur une chaine et les ressources d'un autre
+domaine ; un remote, en plus, sur `fetch` et `XMLHttpRequest`, `:root`, `!important` et les marqueurs
+de l'hote de developpement (un remote ne demarre jamais seul en production : `src/main.ts` se remplace
+par un point d'entree vide dans la configuration `production`).
+
+## Ce que le CLI lit, et d'ou
+
+- le role : `package.json#starterWeb.role` (`"hote"` pour la coquille), sinon `remote` des qu'un
+  `manifest.source.json` existe ;
+- le nom et `pleinePage` : `manifest.source.json` (un remote), `socle` pour l'hote ;
+- le prefixe des selecteurs : `prefix` du projet d'`angular.json` (ou `starterWeb.prefixe`) ;
+- le dossier livre : `outputPath` de la cible `@angular/build:application`, plus `browser` ;
+- le train requis et le socle construit : `remoteEntry.json`, ce que la federation a reellement
+  embarque.
+
+`--nom`, `--prefixe` et `--pleine-page` / `--pas-pleine-page` donnent les valeurs ATTENDUES : les
+etapes signalent tout fichier qui s'en ecarte.
+
+## La matrice et la regle de retard
+
+Les versions viennent de `docs/matrice-compatibilite.md` du socle, publie avec le paquet et lu tel
+quel : la matrice n'est ecrite qu'a un seul endroit.
+
+Un remote peut avoir UN train de retard sur la coquille, pas davantage (ADR web 0006) : meme train,
+vert ; un train de retard, `verify` avertit ; deux trains ou plus, `verify` echoue. Le dernier train
+se lit au registre (`@starterlib/core`), ou se donne par `--train-de-reference <train>` (ou la
+variable `STARTER_WEB_TRAIN_DE_REFERENCE`). Registre injoignable : le retard n'est pas mesure, et
+`verify` le dit.
+
+## Dependances admises
+
+Une dependance de production hors de la liste revue (Angular, les paquets du socle servis a la page,
+rxjs, tslib, es-module-shims) s'admet dans `package.json`, avec sa raison ecrite :
+
+```json
+{
+  "starterWeb": {
+    "dependancesAdmises": {
+      "date-fns": "Calcul d'echeances metier que le socle ne fournit pas ; revu le 2026-10-01."
+    }
+  }
+}
+```

package/bin/starter-web.mjs

@@ -0,0 +1,8 @@
+#!/usr/bin/env node
+/**
+ * `starter-web` : la chaine de verification et de construction d'une SPA du socle frontal
+ * (@starterlib/cli, lot 174). Voir `src/lancer.mjs` et le README du paquet.
+ */
+import { lancer } from '../src/lancer.mjs';
+
+process.exitCode = await lancer(process.argv.slice(2), { racine: process.cwd() });

package/matrice-compatibilite.md

@@ -0,0 +1,94 @@
+# Matrice de compatibilite du socle frontal
+
+Verifiee le 2026-09-26 contre le registre npm (lot 154). Toute montee de version se fait
+**ligne par ligne, dans le meme commit**, et `pnpm versions:check` echoue si le
+`package.json` s'en ecarte (version non exacte, autre que celle de la matrice, paquet Angular absent
+de la matrice, greffon de federation d'une autre majeure.mineure qu'Angular, autre pnpm, Node sous le
+plancher). Les depots de SPA portent la meme garde : `starter-web verify` (`@starterlib/cli`, lot 174)
+lit CE document, publie avec lui, et ses essais le comparent a la matrice de `versions:check`.
+
+⚠️ **Trois jours d'anciennete au moins** : `minimumReleaseAge: 4320` (`pnpm-workspace.yaml`) tient hors
+du verrou toute version publiee depuis moins de trois jours (constat A1405). Une version plus recente,
+meme corrective, attend : `@angular-architects/native-federation` 22.2.1 (publie le 2026-09-25) n'entre
+pas au 2026-09-27 ; la 22.2.0 (2026-09-24) y entre. Angular monte en 22.2.0 le 2026-09-27 (demande du
+proprietaire du 2026-09-26).
+
+## Train `2026.1`
+
+| Element                                                                                      | Version            | Pourquoi cette version exactement                                                                                                                                                                   |
+| -------------------------------------------------------------------------------------------- | ------------------ | --------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- |
+| `@angular/core`, `common`, `compiler`, `compiler-cli`, `forms`, `platform-browser`, `router` | `22.2.0`           | Premiere de la ligne 22.2, publiee le 2026-09-23 (plus de trois jours au 2026-09-27)                                                                                                                |
+| `@angular/cdk`, `aria`                                                                       | `22.2.0`           | Le paquet `aria` est stable depuis la 22 ; il porte les primitives sans style. `@angular/material` est retire : aucun composant du socle ne l'importe                                               |
+| `@angular/build`, `@angular/cli`                                                             | `22.2.0`           | ⚠️ **Cadence differente de `core`.** L'outillage recoit des correctifs que le coeur ne recoit pas. Une matrice qui ne porterait qu'un seul numero mentirait des le premier correctif                |
+| `ng-packagr`                                                                                 | `22.2.1`           | Derniere stable de la ligne 22.2 (2026-09-23)                                                                                                                                                       |
+| `typescript`                                                                                 | `6.0.3`            | ⚠️ **Piege.** La 7.0.2 est publiee, mais `@angular/compiler-cli@22.2.0` exige `>=6.0 <6.1`. Installer la derniere casse la compilation                                                              |
+| `node`                                                                                       | `>=24.15.0`        | 24.x LTS, declare dans `engines` ; le meme plancher que la construction Maven des SPA (`frontend.node.version`)                                                                                     |
+| `pnpm`                                                                                       | `11.27.1`          | Declare dans `packageManager` ; reglages dans `pnpm-workspace.yaml` (`allowBuilds`, `minimumReleaseAge`). Le meme pour la construction Maven des SPA (`frontend.pnpm.version` de `platform-parent`) |
+| `vitest`, `@vitest/browser`, `@vitest/browser-playwright`, `@vitest/coverage-v8`             | `5.0.1`            | Lanceur officiel du constructeur `@angular/build:unit-test` ; un meme numero pour toute la famille (des numeros meles chargent deux copies du lanceur)                                              |
+| `playwright`, `@playwright/test`                                                             | `1.63.0`           | Le navigateur des essais : un correctif change un rendu mesure au pixel                                                                                                                             |
+| `eslint`                                                                                     | `10.10.0`          | `angular-eslint@22.5.0` accepte les majeurs 9 et 10                                                                                                                                                 |
+| `angular-eslint`                                                                             | `22.5.0`           | Suit le majeur d'Angular                                                                                                                                                                            |
+| `stylelint`, `postcss-scss`                                                                  | `17.15.0`, `4.0.9` | Les feuilles du socle et des SPA (lot 178, `@starterlib/eslint-config/stylelint`) ; `postcss-scss` lit le SCSS                                                                                      |
+| `jsdom`, `axe-core`                                                                          | `30.0.1`, `4.13.0` | Le DOM des essais unitaires et le controle d'accessibilite : un correctif change ce qu'un essai voit                                                                                                |
+
+## A destination des depots de SPA (pas de ce depot)
+
+| Element                                 | Version  | Avertissement                                                                                                                                                                                                                                                                                                                                                                                                                                                                         |
+| --------------------------------------- | -------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- |
+| `@angular-architects/native-federation` | `22.2.0` | ⚠️ **A epingler a l'exact, jamais par etiquette.** Le 2026-09-12, l'etiquette `latest` du paquet pointait sur la **21.2.6**, publiee apres la 22.1.2. Un `pnpm add` sans version ramene donc un majeur de retard, en silence, et l'echec se manifeste au chargement d'un remote, loin de la cause. Version mesuree au spike du 2026-09-16. Sa majeure.mineure est celle d'Angular (22.2) : `versions:check` refuse un couple disjoint, et les deux montent dans le meme commit (235a) |
+| `orval`                                 | `8.37.0` | Client d'API engendre depuis le contrat du service (ADR web 0008) : services `HttpClient` pour les ecritures, `httpResource` pour les lectures, aucun schema zod, donc aucune dependance a l'execution. Derniere stable au 2026-09-25 ; a epingler a l'exact, en dependance de developpement                                                                                                                                                                                          |
+| `es-module-shims`                       | `2.8.4`  | Dependance du greffon, et pas un detail : c'est ELLE qui cree la politique de types de confiance `es-module-shims`. Toute montee doit verifier que le nom de la politique n'a pas change, sinon la page devient blanche sans erreur serveur                                                                                                                                                                                                                                           |
+| `@axe-core/playwright`                  | `4.13.0` | Les essais d'accessibilite de bout en bout de la coquille (Playwright) ; le meme numero qu'`axe-core`, qui fait le controle : deux moteurs d'une version differente ne signaleraient pas les memes violations                                                                                                                                                                                                                                                                         |
+
+## Navigateurs
+
+Plancher du socle (ADR web 0005) : **Chrome 123, Safari 17.5, Firefox 129** (Edge suit Chrome). C'est le
+maximum, fonction par fonction, de ce que les feuilles et le noyau emploient sans repli :
+
+| Fonction                              | Chrome | Safari | Firefox | Ou                                                         |
+| ------------------------------------- | ------ | ------ | ------- | ---------------------------------------------------------- |
+| `light-dark()`                        | 123    | 17.5   | 120     | feuille de jetons : une declaration par couleur (ADR 0009) |
+| `:dir()`                              | 120    | 16.4   | 49      | feuilles des composants miroites en droite a gauche        |
+| `@starting-style`                     | 117    | 17.5   | 129     | apparition des surfaces et des blocs inseres               |
+| `transition-behavior: allow-discrete` | 117    | 17.4   | 129     | admis pour une sortie qui anime `display`                  |
+
+Sous ce plancher, rien ne casse sans le dire : une surface sans `@starting-style` apparait d'un coup ; une
+couleur sans `light-dark()` n'existe pas, d'ou le plancher. Le banc tourne sur Chromium ; Firefox et WebKit
+entrent au banc d'assemblage (lot 276).
+
+## Regle de retard
+
+Un remote peut avoir **un train de retard** sur la coquille, pas davantage
+(ADR web 0006, decision du proprietaire du 2026-09-25) : meme train, vert ; un
+train de retard, la CI d'une SPA avertit (la coquille du nouveau train la retire
+du menu tant qu'elle n'a pas monte) ; deux trains, elle echoue. Avant la 1.0, un
+train est une mineure (`0.9.x`, puis `0.10.x`). Plus stricte que les deux trains
+du socle backend : un remote retarde n'est plus servi, un service Java l'est
+encore.
+
+Une API depreciee en `0.N` ne disparait qu'a partir de `0.N+1`, et son
+`@deprecated` dit son train de retrait (ADR web 0006). Avant la 1.0 : retrait
+dans le train qui remplace, sans depreciation (avenant de l'ADR web 0006,
+lot 176) ; la 0.9.0 ne garde donc rien de deprecie.
+
+## Actions GitHub (verifie le 2026-09-16)
+
+Epinglees au majeur, pas au commit : sans Renovate, un commit epingle ne
+bougerait plus jamais, ce qui est pire qu'un majeur suivi. Le jour ou Renovate
+arrive dans les depots de SPA, l'epinglage au commit devient tenable et se pose
+partout d'un coup.
+
+| Action                    | Version | Execution | Pourquoi                                                                     |
+| ------------------------- | ------- | --------- | ---------------------------------------------------------------------------- |
+| `actions/checkout`        | `v7`    | Node 24   | Deux trains de retard atteints avec la v5                                    |
+| `pnpm/action-setup`       | `v6`    | Node 24   | ⚠️ La v4 s'executait sur **Node 20**, deprecie par GitHub                    |
+| `actions/setup-node`      | `v7`    | Node 24   | `cache: pnpm` reste explicite : la v6 n'a restreint que le cache automatique |
+| `actions/upload-artifact` | `v7`    | Node 24   | ⚠️ La v4 s'executait sur **Node 20**. La v6 exige un runner >= 2.327.1       |
+
+## Ce que la matrice ne couvre pas encore
+
+`transloco` entrera ici quand le premier depot de SPA l'emploiera ; il declare
+une plage de pairs tres large (`>=16`), qui ne vaut pas compatibilite testee
+avec la 22. `orval` y est depuis l'ADR web 0008, a la version relevee le
+2026-09-25 : la compatibilite avec la 22 se prouvera au premier client engendre
+(lot 175).

package/package.json

@@ -0,0 +1,36 @@
+{
+  "name": "@starterlib/cli",
+  "version": "0.10.2",
+  "description": "Chaine de verification et de construction des SPA du socle frontal starter : starter-web verify, construire, sprite, manifeste, precompresser. Jamais en dependance de production.",
+  "license": "UNLICENSED",
+  "type": "module",
+  "bin": {
+    "starter-web": "./bin/starter-web.mjs"
+  },
+  "exports": {
+    ".": "./src/index.mjs",
+    "./package.json": "./package.json"
+  },
+  "files": [
+    "bin",
+    "src",
+    "matrice-compatibilite.md"
+  ],
+  "engines": {
+    "node": ">=24.15.0"
+  },
+  "publishConfig": {
+    "access": "public"
+  },
+  "repository": {
+    "type": "git",
+    "url": "git+https://github.com/Arnoldkom/starter-web-platform.git",
+    "directory": "packages/cli"
+  },
+  "homepage": "https://github.com/Arnoldkom/starter-web-platform/tree/main/packages/cli#readme",
+  "keywords": [
+    "starter",
+    "socle-frontal",
+    "cli"
+  ]
+}

package/src/cloture.mjs

@@ -0,0 +1,112 @@
+/**
+ * Ce que le navigateur charge avant le premier ecran de l'hote, calcule une seule fois pour deux
+ * etapes : celle qui pese (`budget`) et celle qui interdit les aretes statiques vers un pair lourd
+ * (`amorcage`). Deux copies divergeraient au premier ajustement, et la garde finirait par surveiller
+ * autre chose que ce que la mesure mesure. (Venu de `tools/cloture.mjs` de la coquille, lot 174.)
+ *
+ * LA REGLE DE COUPE, qui est tout l'interet du module
+ *
+ * La frontiere entre « premier ecran » et « plus tard » ne suit PAS la frontiere
+ * statique/dynamique. Le point d'entree charge son amorcage par un import dynamique — il doit
+ * s'executer avant que la carte d'importation existe — et l'amorcage charge le gabarit et la page
+ * d'accueil de la meme facon. Ces deux niveaux sont attendus par la personne qui ouvre
+ * l'application. Les suivants sont des routes paresseuses et des remotes, qui ne le sont pas.
+ *
+ * ⚠️ Une seule exception, et elle se voit a l'oeil : un import DYNAMIQUE vers un PAQUET PARTAGE
+ * (specificateur nu, resolu par la carte d'importation) n'est jamais du premier ecran. C'est la
+ * forme qu'a prise le report du dialogue (ADR 0031) : l'hote ecrit
+ * `import('@starterlib/ui/surfaces')` pour que la CDK n'entre plus au demarrage. Le compter ici
+ * annulerait la mesure du gain. Seuls les morceaux LOCAUX sont donc suivis en dynamique.
+ */
+import { brotliCompressSync, constants, gzipSync } from 'node:zlib';
+import { existsSync, readFileSync, statSync } from 'node:fs';
+import { join } from 'node:path';
+
+/** Les specificateurs importes statiquement par un module. */
+function importsStatiques(source) {
+  const specificateurs = [];
+  for (const motif of [/\bfrom\s*["']([^"']+)["']/g, /\bimport\s*["']([^"']+)["']/g]) {
+    for (const [, specificateur] of source.matchAll(motif)) specificateurs.push(specificateur);
+  }
+  return specificateurs;
+}
+
+/** Les specificateurs importes dynamiquement. */
+function importsDynamiques(source) {
+  return [...source.matchAll(/\bimport\s*\(\s*["']([^"']+)["']\s*\)/g)].map(
+    ([, specificateur]) => specificateur,
+  );
+}
+
+/** Les fichiers nommes par la page elle-meme : scripts, feuilles, morceaux preordonnes. */
+export function departDeLaPage(index) {
+  return [...index.matchAll(/(?:src|href)="([^"]+)"/g)]
+    .map(([, chemin]) => chemin)
+    .filter((chemin) => /\.(?:js|css)$/.test(chemin) && !/^(?:https?:)?\/\//.test(chemin));
+}
+
+/** Ce que le reseau transporte : la variante precompressee si elle existe, sinon le fichier. */
+function transfere(sortie, chemin) {
+  const fichier = join(sortie, chemin);
+  const contenu = readFileSync(fichier);
+  const brotli = existsSync(`${fichier}.br`)
+    ? statSync(`${fichier}.br`).size
+    : brotliCompressSync(contenu, {
+        params: { [constants.BROTLI_PARAM_QUALITY]: constants.BROTLI_MAX_QUALITY },
+      }).length;
+  const gzip = existsSync(`${fichier}.gz`)
+    ? statSync(`${fichier}.gz`).size
+    : gzipSync(contenu, { level: 9 }).length;
+  return { brotli, gzip, source: contenu.toString('utf8') };
+}
+
+/**
+ * La cloture d'un ensemble de fichiers.
+ *
+ * @param sortie le dossier de la construction (`dist/<nom>/browser`)
+ * @param depart les fichiers de depart, relatifs a ce dossier
+ * @param carte la carte d'importation, pour resoudre les specificateurs nus
+ * @param profondeurDynamique 0 = aucun import dynamique suivi, 1 = ceux du depart, 2 = et ceux de
+ *   l'amorcage
+ * @returns une Map du chemin vers ses tailles transferees et le fichier qui l'a fait entrer
+ */
+export function cloture(sortie, depart, carte, profondeurDynamique) {
+  const vus = new Set();
+  const poids = new Map();
+  const restants = depart.map((chemin) => ({ chemin, niveau: 0, parent: 'index.html' }));
+  while (restants.length > 0) {
+    const { chemin: brut, niveau, parent } = restants.shift();
+    const chemin = brut.replace(/^\.\//, '');
+    if (vus.has(chemin) || !existsSync(join(sortie, chemin))) continue;
+    vus.add(chemin);
+    const { brotli, gzip, source } = transfere(sortie, chemin);
+    poids.set(chemin, { brotli, gzip, parent });
+    if (!chemin.endsWith('.js')) continue;
+    const resoudre = (specificateur) =>
+      specificateur.startsWith('.')
+        ? specificateur.replace(/^\.\//, '')
+        : (carte[specificateur] ?? null);
+    for (const specificateur of importsStatiques(source)) {
+      const resolu = resoudre(specificateur);
+      if (resolu !== null) restants.push({ chemin: resolu, niveau, parent: chemin });
+    }
+    if (niveau < profondeurDynamique) {
+      for (const specificateur of importsDynamiques(source)) {
+        // Voir la note de module : un import dynamique de paquet partage est du travail REPORTE.
+        if (!specificateur.startsWith('.')) continue;
+        const resolu = resoudre(specificateur);
+        if (resolu !== null) restants.push({ chemin: resolu, niveau: niveau + 1, parent: chemin });
+      }
+    }
+  }
+  return poids;
+}
+
+/** Les totaux transferes d'une cloture. */
+export function totaux(poids) {
+  return {
+    brotli: [...poids.values()].reduce((somme, taille) => somme + taille.brotli, 0),
+    gzip: [...poids.values()].reduce((somme, taille) => somme + taille.gzip, 0),
+    fichiers: poids.size,
+  };
+}

package/src/commun.mjs

@@ -0,0 +1,61 @@
+/**
+ * Les petits outils partages par les etapes : lecture de fichiers, tailles, empreintes, commandes.
+ */
+import { spawnSync } from 'node:child_process';
+import { createHash } from 'node:crypto';
+import { existsSync, readFileSync, readdirSync, statSync } from 'node:fs';
+import { join, relative, sep } from 'node:path';
+
+/** Les fichiers d'un dossier, recursivement, dans un ordre stable ; `[]` s'il n'existe pas. */
+export function fichiers(dossier) {
+  if (!existsSync(dossier)) return [];
+  const trouves = [];
+  for (const entree of readdirSync(dossier).sort()) {
+    const chemin = join(dossier, entree);
+    if (statSync(chemin).isDirectory()) trouves.push(...fichiers(chemin));
+    else trouves.push(chemin);
+  }
+  return trouves;
+}
+
+/** Le chemin de `chemin` depuis `base`, en barres obliques (le meme sous Windows et Linux). */
+export function relatif(base, chemin) {
+  return relative(base, chemin).split(sep).join('/');
+}
+
+/** Un JSON lu, ou `null` s'il n'existe pas ou ne se lit pas. */
+export function lireJson(chemin) {
+  try {
+    return JSON.parse(readFileSync(chemin, 'utf8'));
+  } catch {
+    return null;
+  }
+}
+
+/** Des octets en kilo-octets, au dixieme. */
+export const ko = (octets) => Math.round((octets / 1024) * 10) / 10;
+
+/**
+ * Empreinte courte d'un contenu, dans la forme que le socle Java reconnait comme « hachee » (huit
+ * caracteres alphanumeriques apres un tiret) : un actif ainsi nomme est servi immuable un an.
+ */
+export function empreinteCourte(contenu) {
+  return createHash('sha256').update(contenu).digest('hex').slice(0, 8).toUpperCase();
+}
+
+/**
+ * Lance une commande de l'outillage du projet (`pnpm exec eslint .`), sortie heritee, et rend son
+ * code. Sous Windows, `pnpm` est un script `.cmd` : il passe par l'interpreteur de commandes.
+ */
+export function executer(commande, arguments_, racine) {
+  const resultat = spawnSync(commande, arguments_, {
+    cwd: racine,
+    stdio: 'inherit',
+    shell: process.platform === 'win32',
+  });
+  if (resultat.error !== undefined) {
+    console.error(`  ${commande} ${arguments_.join(' ')} : ${resultat.error.message}`);
+    return 1;
+  }
+  return resultat.status ?? 1;
+}

package/src/construction/construire.mjs

@@ -0,0 +1,72 @@
+/**
+ * `starter-web construire` : la construction d'une SPA, dans l'ordre qui a chacune sa raison.
+ *
+ *   1. le sprite hache et sa constante (le code l'importe) ;
+ *   2. `ng build` dans la configuration demandee ;
+ *   3. l'hote seul : le prechargement de la police du premier ecran ;
+ *   4. le manifeste (il renomme les catalogues i18n) ;
+ *   5. la precompression (apres le renommage, sans quoi des variantes resteraient orphelines).
+ */
+import { existsSync, readFileSync, readdirSync, writeFileSync } from 'node:fs';
+import { join } from 'node:path';
+import { executer } from '../commun.mjs';
+import { ecrireLeManifeste } from './manifeste.mjs';
+import { juger, precompresser } from './precompresser.mjs';
+import { poserLeSprite } from './sprite.mjs';
+
+/** Inter latin, graisse variable, style normal : le nom que `polices.css` du socle donne. */
+const POLICE = /^inter-latin-wght-normal-[A-Za-z0-9]+\.woff2$/;
+
+/**
+ * Pose dans `index.html` le prechargement de la SEULE police du premier ecran : Inter latin
+ * (recette `polices` du socle ; lot 239). La construction la recopie dans `media/` sous un nom a
+ * EMPREINTE : un lien ecrit a la main viserait un nom qui n'existe pas. L'etape lit le nom construit
+ * et pose le lien, avec `crossorigin` (une police se charge en mode CORS ; sans l'attribut, le
+ * prechargement est jete et la police demandee deux fois). Une construction sans le fichier echoue :
+ * le premier rendu partirait dans la police du systeme sans que rien ne le dise.
+ */
+export function prechargerLaPolice(sortie) {
+  const media = join(sortie, 'media');
+  const polices = existsSync(media) ? readdirSync(media).filter((nom) => POLICE.test(nom)) : [];
+  if (polices.length !== 1) {
+    throw new Error(
+      `prechargement de la police : ${String(polices.length)} fichier(s) Inter latin dans media/ ` +
+        '(un attendu). La feuille des polices du socle est-elle dans angular.json ?',
+    );
+  }
+  const chemin = join(sortie, 'index.html');
+  const page = readFileSync(chemin, 'utf8');
+  if (page.includes('rel="preload" href="media/inter-latin-wght-normal-')) return 'deja pose';
+  if (!page.includes('</head>'))
+    throw new Error('prechargement de la police : index.html sans </head>.');
+  const lien = `<link rel="preload" href="media/${polices[0]}" as="font" type="font/woff2" crossorigin>`;
+  writeFileSync(chemin, page.replace('</head>', `  ${lien}\n</head>`), 'utf8');
+  return polices[0];
+}
+
+/** Construit ; rend 0, ou le code de l'etape qui a echoue. `journal` : `{ info, erreur }`. */
+export function construire(
+  projet,
+  { configuration = 'production', journal = console, sprite = true } = {},
+) {
+  if (sprite) journal.info(`  sprite : ${poserLeSprite(projet)}`);
+  const code = executer(
+    'pnpm',
+    ['exec', 'ng', 'build', '--configuration', configuration],
+    projet.racine,
+  );
+  if (code !== 0) {
+    journal.erreur(`  ng build --configuration ${configuration} : code ${String(code)}.`);
+    return code;
+  }
+  if (projet.role === 'hote')
+    journal.info(`  police prechargee : ${prechargerLaPolice(projet.sortie)}`);
+  const manifeste = ecrireLeManifeste(projet);
+  journal.info(
+    `  manifest.json : ${manifeste.nom} ${manifeste.version}, socle ${manifeste.socle.construit}`,
+  );
+  const { resume, defauts } = juger(precompresser(projet.sortie));
+  journal.info(`  precompression : ${resume}`);
+  for (const defaut of defauts) journal.erreur(`  - ${defaut}`);
+  return defauts.length === 0 ? 0 : 1;
+}