@starterlib/cli 0.10.2 → 0.10.4

package/matrice-compatibilite.md

@@ -90,5 +90,6 @@ partout d'un coup.
 `transloco` entrera ici quand le premier depot de SPA l'emploiera ; il declare
 une plage de pairs tres large (`>=16`), qui ne vaut pas compatibilite testee
 avec la 22. `orval` y est depuis l'ADR web 0008, a la version relevee le
-2026-09-25 : la compatibilite avec la 22 se prouvera au premier client engendre
-(lot 175).
+2026-09-25 : sa compatibilite avec la 22 est prouvee depuis le lot 175 (2026-09-28), par les
+clients engendres de la coquille, du temoin, de catalog et d'identity, construits et essayes
+contre Angular 22.2.

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@starterlib/cli",
-  "version": "0.10.2",
+  "version": "0.10.4",
   "description": "Chaine de verification et de construction des SPA du socle frontal starter : starter-web verify, construire, sprite, manifeste, precompresser. Jamais en dependance de production.",
   "license": "UNLICENSED",
   "type": "module",

package/src/construction/manifeste.mjs

@@ -128,13 +128,18 @@ export function ecrireLeManifeste(projet) {
       `${prefixe}/i18n/${hacherLeCatalogue(join(projet.sortie, 'i18n'), nom, langue)}`;
   }
 
-  const icones = join(projet.sortie, 'icones');
-  const sprite = existsSync(icones)
-    ? readdirSync(icones).find((fichier) => /^sprite-[A-Z0-9]{8}\.svg$/.test(fichier))
-    : undefined;
-  if (sprite === undefined) {
+  // Le sprite annonce est celui de la SOURCE, nomme par son empreinte (lot 194) : jamais le premier
+  // fichier venu d'un dossier ou deux sprites haches pouvaient coexister (le temoin y avait porte
+  // son sprite metier et une copie de celui du socle, et le manifeste pouvait annoncer l'autre).
+  const spriteSource = join(projet.racine, 'src', 'icones', 'sprite.svg');
+  if (!existsSync(spriteSource)) {
+    throw new Error('sprite metier absent : src/icones/sprite.svg.');
+  }
+  const sprite = `sprite-${empreinteCourte(readFileSync(spriteSource))}.svg`;
+  if (!existsSync(join(projet.sortie, 'icones', sprite))) {
     throw new Error(
-      `sprite metier absent de ${projet.sortieRelative}/icones : starter-web sprite d'abord.`,
+      `${projet.sortieRelative}/icones/${sprite} absent (le sprite de src/icones/sprite.svg) : ` +
+        "starter-web sprite, puis construire, d'abord.",
     );
   }
 
@@ -152,6 +157,9 @@ export function ecrireLeManifeste(projet) {
     routes: source.routes,
     i18n: { perimetres: source.i18n?.perimetres, catalogues },
     sprite: `${prefixe}/icones/${sprite}`,
+    // Les politiques Trusted Types que le remote cree lui-meme (lot 270), comparees par le BFF a sa
+    // CSP : recopiees telles que declarees, absentes si le remote n'en cree aucune.
+    ...(source.trustedTypes === undefined ? {} : { trustedTypes: source.trustedTypes }),
     apiExigee: source.apiExigee,
   };
   writeFileSync(join(projet.sortie, 'manifest.json'), `${JSON.stringify(manifeste, null, 2)}\n`);

package/src/construction/sprite.mjs

@@ -13,6 +13,7 @@
  * Une ancienne empreinte est retiree : deux sprites livres, et le manifeste pourrait annoncer le
  * mauvais.
  */
+import { createHash } from 'node:crypto';
 import { existsSync, mkdirSync, readFileSync, readdirSync, rmSync, writeFileSync } from 'node:fs';
 import { join } from 'node:path';
 import { empreinteCourte } from '../commun.mjs';
@@ -47,6 +48,27 @@ function reglages(projet) {
   };
 }
 
+/**
+ * L'hote livre le sprite du socle tel que `@starterlib/ui` l'a publie (lot 194) : le
+ * `catalogue.json` publie a cote en porte l'empreinte SHA-256. Un sprite recopie a la main, tronque
+ * ou d'une autre version que son catalogue arrete la construction, au lieu de livrer des icones que
+ * le catalogue ne decrit pas.
+ */
+function verifierLeSpriteDuSocle(source, contenu) {
+  const chemin = join(source, '..', 'catalogue.json');
+  if (!existsSync(chemin)) {
+    throw new Error(`catalogue du sprite du socle absent : ${chemin}.`);
+  }
+  const annonce = JSON.parse(readFileSync(chemin, 'utf8')).sprite ?? {};
+  const lue = createHash('sha256').update(contenu).digest('hex');
+  if (annonce.sha256 !== lue) {
+    throw new Error(
+      `sprite du socle altere : empreinte ${empreinteCourte(contenu)}, le catalogue de ` +
+        `@starterlib/ui annonce ${String(annonce.empreinte)} (${chemin}).`,
+    );
+  }
+}
+
 /** Pose le sprite hache et sa constante ; rend l'adresse servie. */
 export function poserLeSprite(projet) {
   const { source, dossier, adresse, genere, constante } = reglages(projet);
@@ -56,6 +78,7 @@ export function poserLeSprite(projet) {
     );
   }
   const contenu = readFileSync(source);
+  if (projet.role === 'hote') verifierLeSpriteDuSocle(source, contenu);
   const fichier = `sprite-${empreinteCourte(contenu)}.svg`;
   mkdirSync(dossier, { recursive: true });
   for (const existant of readdirSync(dossier)) {

package/src/construction/types-i18n.mjs

@@ -34,16 +34,22 @@ export function typesDeCles(perimetres, catalogues) {
   for (const perimetre of perimetres) {
     const cles = Object.keys(catalogues[perimetre]?.fr ?? {}).sort();
     lignes.push('', `/** Les cles du perimetre ${perimetre}. */`);
-    const enLigne = `export type ${nomDuType(perimetre)} = ${
-      cles.length === 0 ? 'never' : cles.map((cle) => `'${cle}'`).join(' | ')
-    };`;
-    // La forme que Prettier (largeur 100) donnerait : une ligne si elle tient, une cle par ligne
-    // sinon. Le fichier engendre passe ainsi `prettier --check` sans etre ecarte.
+    const union = cles.length === 0 ? 'never' : cles.map((cle) => `'${cle}'`).join(' | ');
+    const enLigne = `export type ${nomDuType(perimetre)} = ${union};`;
+    // La forme que Prettier (largeur 100) donne, dans ses trois cas : une ligne si elle tient ;
+    // sinon l'union sur sa propre ligne indentee, si elle y tient (0.10.3 : la 0.10.2 sautait ce
+    // cas, et un petit catalogue, le squelette de new-spa.sh pour un nom de cinq lettres, sortait
+    // en echec de `prettier --check`) ; sinon une cle par ligne. Le fichier engendre passe ainsi
+    // `prettier --check` sans etre ecarte (test/i18n.test.mjs le compare a Prettier).
     if (enLigne.length <= 100) {
       lignes.push(enLigne);
       continue;
     }
     lignes.push(`export type ${nomDuType(perimetre)} =`);
+    if (`  ${union};`.length <= 100 || cles.length === 1) {
+      lignes.push(`  ${union};`);
+      continue;
+    }
     cles.forEach((cle, indice) => {
       lignes.push(`  | '${cle}'${indice === cles.length - 1 ? ';' : ''}`);
     });

package/src/etapes/outillage.mjs

@@ -100,17 +100,52 @@ export const test = {
   executer: (projet) => deleguer(projet, ['exec', 'ng', 'test', '--no-watch'], 'ng test conforme.'),
 };
 
+/** Ou vit le client engendre (ADR web 0008). */
+export const DOSSIER_DU_CLIENT_ENGENDRE = join('src', 'app', 'donnees', 'genere');
+
+/** Un motif du contrat, tel qu'orval le recopie en commentaire du client engendre. */
+const MOTIF_ENGENDRE = /@pattern\s+(\S.*?)\s*$/gm;
+
+/**
+ * Les motifs du client engendre qui ne compilent pas en ECMA-262 (lot 175, report du lot 81) : un
+ * motif Java (`\p{Cntrl}`, quantificateur possessif, groupe atomique) recopie par le contrat. Il
+ * refuserait chaque saisie legitime, ou ne compilerait pas, le jour ou un formulaire ou un schema
+ * de validation le reprendrait. Lu avec le drapeau `u`, celui d'un motif HTML.
+ */
+export function motifsNonPortables(racine) {
+  const defauts = [];
+  for (const chemin of fichiers(join(racine, DOSSIER_DU_CLIENT_ENGENDRE))) {
+    if (!chemin.endsWith('.ts')) continue;
+    for (const [, motif] of readFileSync(chemin, 'utf8').matchAll(MOTIF_ENGENDRE)) {
+      try {
+        new RegExp(motif, 'u');
+      } catch (erreur) {
+        defauts.push(
+          `${relatif(racine, chemin)} : motif ${motif} hors ECMA-262 (${erreur instanceof Error ? erreur.message : String(erreur)}) ; le corriger dans le contrat du service.`,
+        );
+      }
+    }
+  }
+  return defauts;
+}
+
 /**
- * `contrat` : le client d'API engendre depuis le contrat du service, sans difference (lot 175).
- * Tant que la SPA n'a pas de script `contrat:check`, l'etape est sautee, et le dit.
+ * `contrat` : le client d'API engendre depuis le contrat du service, sans difference (lot 175), et
+ * sans motif qu'un navigateur ne sait pas lire. Tant que la SPA n'a pas de script `contrat:check`,
+ * l'etape est sautee, et le dit.
  */
 export const contrat = {
   nom: 'contrat',
   roles: ['remote', 'hote'],
   executer(projet) {
     if (projet.paquet.scripts?.['contrat:check'] === undefined) {
-      return { sautee: 'aucun script contrat:check (client engendre : lot 175).' };
+      return { sautee: 'aucun script contrat:check : pas de client engendre (ADR web 0008).' };
     }
-    return deleguer(projet, ['run', 'contrat:check'], 'client engendre sans difference.');
+    const resultat = deleguer(projet, ['run', 'contrat:check'], 'client engendre sans difference.');
+    if (resultat.defauts.length > 0) return resultat;
+    const motifs = motifsNonPortables(projet.racine);
+    return motifs.length === 0
+      ? { defauts: [], resume: 'client engendre sans difference, motifs ECMA-262.' }
+      : { defauts: motifs };
   },
 };

package/src/etapes/securite.mjs

@@ -6,7 +6,8 @@
  * Pour tout fichier livre, cadre compris :
  * - eval, new Function, stockage du navigateur, lecture de cookie ;
  * - politiques Trusted Types comparees a la liste EXACTE du BFF
- *   (`platform.web.headers.csp.trusted-types-policies`) ;
+ *   (`platform.web.headers.csp.trusted-types-policies`), augmentee de celles que le remote
+ *   declare (`trustedTypes` de `manifest.source.json`, lot 270) ;
  * - cartes de source (et leurs variantes compressees), script dans un SVG ;
  * - dans une page HTML : balise meta de politique de securite, script ou feuille EN LIGNE.
  *
@@ -28,7 +29,7 @@ import { join } from 'node:path';
 import { fichiers, lireJson, relatif } from '../commun.mjs';
 import { natureDesFichiers } from '../livraison.mjs';
 
-/** Les politiques que la CSP du BFF laisse creer (application.yml du BFF). */
+/** Les politiques que la CSP du BFF laisse creer par defaut (application.yml du BFF). */
 export const POLITIQUES_ADMISES = ['angular', 'angular#components', 'es-module-shims', 'nfo'];
 
 const CREATION_DE_POLITIQUE = /trustedTypes\s*\.\s*createPolicy\(\s*['"]([^'"]*)['"]/g;
@@ -165,7 +166,11 @@ function jugerUnePage(nom, contenu) {
  * Les defauts d'un fichier livre `nom` (relatif au dossier livre) de contenu `contenu`. `role` :
  * `remote` ou `hote` ; `partage` : le fichier est du code du cadre, partage par la federation.
  */
-export function jugerUnFichierLivre(nom, contenu, { role = 'remote', partage = false } = {}) {
+export function jugerUnFichierLivre(
+  nom,
+  contenu,
+  { role = 'remote', partage = false, declarees = [] } = {},
+) {
   // Une carte, ou sa variante compressee : `/x.js.map.br` se servirait aussi bien que l'original.
   if (/\.map(?:\.br|\.gz)?$/.test(nom)) {
     return [`${nom} : carte de source livree (sourceMap doit rester false en production).`];
@@ -190,10 +195,11 @@ export function jugerUnFichierLivre(nom, contenu, { role = 'remote', partage = f
       const duCadre = POLITIQUES_DU_CADRE.some(
         (exception) => exception.fichier.test(nom) && exception.politique === politique,
       );
-      if (!POLITIQUES_ADMISES.includes(politique) && !duCadre) {
+      if (!POLITIQUES_ADMISES.includes(politique) && !declarees.includes(politique) && !duCadre) {
         defauts.push(
           `${nom} : politique Trusted Types hors liste ("${politique}" ; admises : ` +
-            `${POLITIQUES_ADMISES.join(', ')}). La declarer au BFF avant livraison.`,
+            `${[...POLITIQUES_ADMISES, ...declarees].join(', ')}). La declarer dans ` +
+            'manifest.source.json (trustedTypes) et a la CSP du BFF avant livraison.',
         );
       }
     }
@@ -223,16 +229,31 @@ export default {
       };
     }
     const { partages } = natureDesFichiers(lireJson(join(projet.sortie, 'remoteEntry.json')));
+    // Les politiques que le remote declare (lot 270) ; le BFF retire celui qui en exige une que sa
+    // CSP n'admet pas : l'etape le dit des la construction.
+    const declarees = projet.role === 'remote' ? (projet.source?.trustedTypes ?? []) : [];
+    const avertissements = declarees
+      .filter((politique) => !POLITIQUES_ADMISES.includes(politique))
+      .map(
+        (politique) =>
+          `trustedTypes : "${politique}" absente de la liste par defaut du BFF ` +
+          '(PLATFORM_WEB_CSP_TRUSTED_TYPES) : le BFF retire le remote tant qu elle n y est pas.',
+      );
     const defauts = [];
     for (const chemin of livres) {
       const nom = relatif(projet.sortie, chemin);
       const contenu = /\.(?:m?js|html|svg|css)$/.test(nom) ? readFileSync(chemin, 'utf8') : '';
       defauts.push(
-        ...jugerUnFichierLivre(nom, contenu, { role: projet.role, partage: partages.has(nom) }),
+        ...jugerUnFichierLivre(nom, contenu, {
+          role: projet.role,
+          partage: partages.has(nom),
+          declarees,
+        }),
       );
     }
     return {
       defauts,
+      avertissements,
       resume: `${String(livres.length)} fichier(s) livre(s) dont ${String(partages.size)} du cadre partage, rien a signaler.`,
     };
   },

package/src/verifier.mjs

@@ -75,12 +75,14 @@ export async function verifier(
 
   for (const [indice, etape] of retenues.entries()) {
     journal.info(`[${String(indice + 1)}/${String(retenues.length)}] ${etape.nom}`);
-    if (etape.preparation === 'sprite' && !spritePose) {
-      journal.info(`  sprite : ${poserLeSprite(projet)}`);
-      spritePose = true;
-    }
     let resultat;
     try {
+      // Un sprite qui ne se pose pas (absent, altere) est un defaut de l'etape qui le lit, nomme
+      // comme les autres, et non une commande qui ne peut pas s'executer.
+      if (etape.preparation === 'sprite' && !spritePose) {
+        journal.info(`  sprite : ${poserLeSprite(projet)}`);
+        spritePose = true;
+      }
       resultat = await etape.executer(projet, contexte);
     } catch (erreur) {
       resultat = { defauts: [erreur instanceof Error ? erreur.message : String(erreur)] };