@starterlib/cli 0.10.3 → 0.10.4

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@starterlib/cli",
-  "version": "0.10.3",
+  "version": "0.10.4",
   "description": "Chaine de verification et de construction des SPA du socle frontal starter : starter-web verify, construire, sprite, manifeste, precompresser. Jamais en dependance de production.",
   "license": "UNLICENSED",
   "type": "module",

package/src/construction/manifeste.mjs

@@ -157,6 +157,9 @@ export function ecrireLeManifeste(projet) {
     routes: source.routes,
     i18n: { perimetres: source.i18n?.perimetres, catalogues },
     sprite: `${prefixe}/icones/${sprite}`,
+    // Les politiques Trusted Types que le remote cree lui-meme (lot 270), comparees par le BFF a sa
+    // CSP : recopiees telles que declarees, absentes si le remote n'en cree aucune.
+    ...(source.trustedTypes === undefined ? {} : { trustedTypes: source.trustedTypes }),
     apiExigee: source.apiExigee,
   };
   writeFileSync(join(projet.sortie, 'manifest.json'), `${JSON.stringify(manifeste, null, 2)}\n`);

package/src/etapes/securite.mjs

@@ -6,7 +6,8 @@
  * Pour tout fichier livre, cadre compris :
  * - eval, new Function, stockage du navigateur, lecture de cookie ;
  * - politiques Trusted Types comparees a la liste EXACTE du BFF
- *   (`platform.web.headers.csp.trusted-types-policies`) ;
+ *   (`platform.web.headers.csp.trusted-types-policies`), augmentee de celles que le remote
+ *   declare (`trustedTypes` de `manifest.source.json`, lot 270) ;
  * - cartes de source (et leurs variantes compressees), script dans un SVG ;
  * - dans une page HTML : balise meta de politique de securite, script ou feuille EN LIGNE.
  *
@@ -28,7 +29,7 @@ import { join } from 'node:path';
 import { fichiers, lireJson, relatif } from '../commun.mjs';
 import { natureDesFichiers } from '../livraison.mjs';
 
-/** Les politiques que la CSP du BFF laisse creer (application.yml du BFF). */
+/** Les politiques que la CSP du BFF laisse creer par defaut (application.yml du BFF). */
 export const POLITIQUES_ADMISES = ['angular', 'angular#components', 'es-module-shims', 'nfo'];
 
 const CREATION_DE_POLITIQUE = /trustedTypes\s*\.\s*createPolicy\(\s*['"]([^'"]*)['"]/g;
@@ -165,7 +166,11 @@ function jugerUnePage(nom, contenu) {
  * Les defauts d'un fichier livre `nom` (relatif au dossier livre) de contenu `contenu`. `role` :
  * `remote` ou `hote` ; `partage` : le fichier est du code du cadre, partage par la federation.
  */
-export function jugerUnFichierLivre(nom, contenu, { role = 'remote', partage = false } = {}) {
+export function jugerUnFichierLivre(
+  nom,
+  contenu,
+  { role = 'remote', partage = false, declarees = [] } = {},
+) {
   // Une carte, ou sa variante compressee : `/x.js.map.br` se servirait aussi bien que l'original.
   if (/\.map(?:\.br|\.gz)?$/.test(nom)) {
     return [`${nom} : carte de source livree (sourceMap doit rester false en production).`];
@@ -190,10 +195,11 @@ export function jugerUnFichierLivre(nom, contenu, { role = 'remote', partage = f
       const duCadre = POLITIQUES_DU_CADRE.some(
         (exception) => exception.fichier.test(nom) && exception.politique === politique,
       );
-      if (!POLITIQUES_ADMISES.includes(politique) && !duCadre) {
+      if (!POLITIQUES_ADMISES.includes(politique) && !declarees.includes(politique) && !duCadre) {
         defauts.push(
           `${nom} : politique Trusted Types hors liste ("${politique}" ; admises : ` +
-            `${POLITIQUES_ADMISES.join(', ')}). La declarer au BFF avant livraison.`,
+            `${[...POLITIQUES_ADMISES, ...declarees].join(', ')}). La declarer dans ` +
+            'manifest.source.json (trustedTypes) et a la CSP du BFF avant livraison.',
         );
       }
     }
@@ -223,16 +229,31 @@ export default {
       };
     }
     const { partages } = natureDesFichiers(lireJson(join(projet.sortie, 'remoteEntry.json')));
+    // Les politiques que le remote declare (lot 270) ; le BFF retire celui qui en exige une que sa
+    // CSP n'admet pas : l'etape le dit des la construction.
+    const declarees = projet.role === 'remote' ? (projet.source?.trustedTypes ?? []) : [];
+    const avertissements = declarees
+      .filter((politique) => !POLITIQUES_ADMISES.includes(politique))
+      .map(
+        (politique) =>
+          `trustedTypes : "${politique}" absente de la liste par defaut du BFF ` +
+          '(PLATFORM_WEB_CSP_TRUSTED_TYPES) : le BFF retire le remote tant qu elle n y est pas.',
+      );
     const defauts = [];
     for (const chemin of livres) {
       const nom = relatif(projet.sortie, chemin);
       const contenu = /\.(?:m?js|html|svg|css)$/.test(nom) ? readFileSync(chemin, 'utf8') : '';
       defauts.push(
-        ...jugerUnFichierLivre(nom, contenu, { role: projet.role, partage: partages.has(nom) }),
+        ...jugerUnFichierLivre(nom, contenu, {
+          role: projet.role,
+          partage: partages.has(nom),
+          declarees,
+        }),
       );
     }
     return {
       defauts,
+      avertissements,
       resume: `${String(livres.length)} fichier(s) livre(s) dont ${String(partages.size)} du cadre partage, rien a signaler.`,
     };
   },