@starterlib/cli 0.11.0 → 0.11.2

package/README.md

@@ -54,7 +54,7 @@ Codes de sortie : `0` conforme ; `1` une etape a echoue ; `2` la commande ne peu
 | `versions`       | tous     | Versions exactes de la matrice, greffon de federation lie a Angular, pnpm, Node, train du socle                                                                                                                                                                                             |
 | `navigateurs`    | tous     | La liste browserslist de la SPA (`.browserslistrc`, ou `browserslist` de `package.json`) est celle du plancher de la matrice : ni absente, ni plus basse, ni plus large (lot 276)                                                                                                           |
 | `dependances`    | tous     | Dependances de production revues, paquets interdits, aucun outil du socle recopie sous `tools/`                                                                                                                                                                                             |
-| `jetons`         | tous     | Chaque `var(--st-*)` sans repli existe dans `@starterlib/tokens` (feuilles et styles en ligne)                                                                                                                                                                                              |
+| `jetons`         | tous     | Chaque `var(--st-*)` sans repli existe dans `@starterlib/tokens` (feuilles et styles en ligne) ; la marque de la SPA (`marque.json`, `.ts` ou `.mjs`), rejouee par le moteur installe ; sa feuille versionnee (`starterWeb.feuilleDeMarque`), identique a celle qu'il engendre              |
 | `format`         | tous     | `prettier --check .`                                                                                                                                                                                                                                                                        |
 | `lint`           | tous     | Prefixe des selecteurs (jamais `st-`), `eslint .`, puis stylelint (configuration du socle exigee)                                                                                                                                                                                           |
 | `i18n`           | tous     | Memes cles et arguments en fr et en, messages lisibles, cles appelees presentes, aide de chaque page (`<perimetre>.aide.<page>`), types a jour, formulations interdites par l'application (`starterWeb.formulationsInterdites`)                                                             |
@@ -66,7 +66,7 @@ Codes de sortie : `0` conforme ; `1` une etape a echoue ; `2` la commande ne peu
 | `manifeste`      | les deux | `validerLeManifesteDeRemote` et le schema de `@starterlib/core` INSTALLE ; le nom partout le meme                                                                                                                                                                                           |
 | `federation`     | les deux | Partage en singleton strict a plage explicite, Angular et le socle partages, aucun import nu orphelin                                                                                                                                                                                       |
 | `entree`         | hote     | Aucun paquet partage importe statiquement avant `initFederation`                                                                                                                                                                                                                            |
-| `budget`         | les deux | En brotli. Remote : chaque page (60 Ko), le total (250 Ko), les catalogues. Hote : premier ecran                                                                                                                                                                                            |
+| `budget`         | les deux | En brotli. Remote : chaque page (60 Ko), le total (250 Ko), les catalogues. Hote : charge initiale et premier ecran (ses entrees, `starterWeb.premierEcran.entrees`, D171)                                                                                                                  |
 | `autonome`       | autonome | Aucune federation livree (`remoteEntry`, carte d'importation, `es-module-shims`) ; versions d'Angular et du socle egales a celles du jumeau (`starterWeb.jumeau`) ; poids de l'ecran (`starterWeb.ecran` : entree et seuil en Ko br), lu dans la carte de la construction (lot 240)         |
 | `amorcage`       | hote     | Aucun pair lourd (CDK, aria, formulaires, surfaces) dans le premier ecran                                                                                                                                                                                                                   |
 | `securite`       | tous     | Puits de l'ADR 0029 dans le code de la SPA, politiques Trusted Types exactes, cartes, SVG, meta CSP                                                                                                                                                                                         |
@@ -89,10 +89,16 @@ par un point d'entree vide dans la configuration `production`).
   qu'un `manifest.source.json` existe ;
 - pour une application autonome, dans `starterWeb` : `nom` (le projet d'`angular.json`),
   `i18n.perimetres` (ses catalogues), `jumeau` (le dossier du remote du meme service, dont elle
-  partage les versions) et `ecran` (`{ "entree": "src/app/pages/connexion.ts", "seuilKo": 155 }`) ;
+  partage les versions), `ecran` (`{ "entree": "src/app/pages/connexion.ts", "seuilKo": 155 }`) et, s'il en
+  cree, `trustedTypes` (les politiques Trusted Types qu'elle cree en plus de celles du BFF, que sa page doit porter
+  nommement : `["verification-humaine"]`) ;
   `starter-web construire` n'y ecrit pas de manifeste, et pose `--stats-json` ; `securite` y
   neutralise UNE lecture de cookie du cadre (`DomAdapter.getCookie`, dans `main` faute de morceau
   partage), toute autre restant un defaut ;
+- pour l'hote, dans `starterWeb` : `premierEcran.entrees` (les sources de ses gabarits et de sa page d'arrivee,
+  `["src/app/gabarits/coquille.ts", "src/app/pages/accueil.ts"]`), cherchees dans `browser-stats.json` que la
+  cible esbuild d'`angular.json` ecrit avec `statsJson: true` ; sans elles, le premier ecran compte toutes les pages
+  de route (D171) ;
 - le nom et `pleinePage` : `manifest.source.json` (un remote), `socle` pour l'hote ;
 - les formulations que l'application interdit dans ses textes : `starterWeb.formulationsInterdites`,
   chemin d'un fichier JSON relatif a sa racine, qui liste des `formulations` (un `id`, des `textes`
@@ -100,6 +106,10 @@ par un point d'entree vide dans la configuration `production`).
   `raison`, une `date`) ; l'etape `i18n` y cherche chaque texte sans casse ni accents et en mots
   entiers, chaque motif tel quel (format detaille : `src/etapes/formulations.mjs`). Sans reglage,
   rien n'est cherche : le socle ne connait aucune formulation ;
+- la feuille de marque que la SPA versionne : `starterWeb.feuilleDeMarque`, chemin relatif a sa racine
+  (`marque/starter-tokens-<nom>.css`, ecrite par `starter-web jetons --sortie marque`) ; l'etape
+  `jetons` la veut identique a celle que le moteur installe engendre de sa marque, fins de ligne mises
+  a part. Sans reglage, seule la marque est jugee ;
 - le prefixe des selecteurs : `prefix` du projet d'`angular.json` (ou `starterWeb.prefixe`) ;
 - le dossier livre : `outputPath` de la cible `@angular/build:application`, plus `browser` ;
 - le train requis et le socle construit : `remoteEntry.json`, ce que la federation a reellement

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@starterlib/cli",
-  "version": "0.11.0",
+  "version": "0.11.2",
   "description": "Chaine de verification et de construction des SPA du socle frontal starter : starter-web verify, construire, sprite, manifeste, precompresser. Jamais en dependance de production.",
   "license": "UNLICENSED",
   "type": "module",

package/src/etapes/budget.mjs

@@ -15,18 +15,19 @@
  * partages resolus par la carte d'importation.
  */
 import { readFileSync, readdirSync, existsSync, statSync } from 'node:fs';
-import { join } from 'node:path';
+import { dirname, join } from 'node:path';
 import { brotliCompressSync, constants } from 'node:zlib';
 import { cloture, departDeLaPage, totaux } from '../cloture.mjs';
 import { fichiers, ko, lireJson, relatif } from '../commun.mjs';
 import { natureDesFichiers } from '../livraison.mjs';
+import { morceauDeLEntree } from './autonome.mjs';
 
 /** Les budgets d'un remote, en Ko brotli (plan SPA §2.8). */
 export const BUDGETS_DU_REMOTE = { pageKo: 60, totalKo: 250, catalogueKo: 30 };
 
 /**
- * Les seuils de l'hote, en Ko brotli (ADR 0031) : 309 pour le premier ecran reel, 288 pour la
- * charge initiale (ADR web 0005, D167). Leur histoire : ramenes au socle 0.10.0 (releves dans
+ * Les seuils de l'hote, en Ko brotli (ADR 0031) : 312 pour le premier ecran reel, mesure sur les
+ * entrees que l'hote declare, 289 pour la charge initiale (ADR web 0005, D168 et D171). Leur histoire : ramenes au socle 0.10.0 (releves dans
  * l'ADR 0031) ; la charge initiale passee de 280 a 281 le 2026-09-29, decision du proprietaire :
  * 280,4 Ko mesures avec le socle 0.10.9, dont les controles d'empreinte S05 du lot 272 tournent au
  * demarrage. Puis, le meme jour, 282 et 301 (decision de l'orchestrateur sur autorisation du
@@ -35,13 +36,23 @@ export const BUDGETS_DU_REMOTE = { pageKo: 60, totalKo: 250, catalogueKo: 30 };
  * marque, demarrage determine, amorce). Puis 288 et 309 le 2026-10-07 : la coquille d'Aplomb
  * mesuree contre la 0.11.0 construite, avant publication, 286,96 et 307,86 Ko (+5,1 et +6,2 Ko sur
  * la 0.10.14 : barre inferieure, action critique et raccourci, ressource rafraichie, tronc), puis
- * 287,4 et 308,3 Ko avec sa feuille de marque et la feuille de sa police de titre (+0,44 Ko).
+ * 287,4 et 308,3 Ko avec sa feuille de marque et la feuille de sa police de titre (+0,44 Ko). Puis
+ * 289 et 313 le 2026-10-07 : la coquille d'Aplomb refaite sur ses maquettes (menu en haut, barre
+ * inferieure, bandeau du compte simule, pied, accueil de simulation), mesuree contre la 0.11.1
+ * construite, avant publication, 288,2 et 312,2 Ko (tronc a 47 410 octets, D168). Puis 314 pour le
+ * premier ecran le 2026-10-07 (D169) : la meme coquille avec la garde du parcours d'ouverture (lecture
+ * du parcours avant l'accueil, client engendre compris), le gabarit pleine page refait et la page de
+ * repli du parcours, mesuree contre la 0.11.1 publiee et le tronc de la 0.11.2, 288,8 et 313,7 Ko.
+ * Puis 312 le 2026-10-08 (D171, avant la publication de la 0.11.2) : le premier ecran se mesure sur les
+ * ENTREES que l'hote declare (ses gabarits, sa page d'arrivee) et non plus sur toutes ses pages de route ;
+ * la coquille d'Aplomb avec le cablage du parcours, le contexte de compte, l'etat du bot (en `@defer`) et
+ * le bouton d'arret permanent, 311,3 Ko.
  *
  * ⚠️ Ce ne sont pas la cible du plan SPA §2.8 (170 Ko). L'ecart restant est STRUCTUREL : un paquet
  * partage en singleton part ENTIER, parce que n'importe quel remote peut en avoir besoin. Un seuil
  * se baisse ; il ne se leve jamais sans mesure ecrite et sans date.
  */
-export const BUDGETS_DE_L_HOTE = { premierEcranKo: 309, chargeInitialeKo: 288, cibleDuPlanKo: 170 };
+export const BUDGETS_DE_L_HOTE = { premierEcranKo: 312, chargeInitialeKo: 289, cibleDuPlanKo: 170 };
 
 /** Les imports DYNAMIQUES d'un module : les pages qu'il charge a la demande. */
 const IMPORT_DYNAMIQUE = /\bimport\s*\(\s*["']([^"']+)["']\s*\)/g;
@@ -158,25 +169,76 @@ function budgetDuRemote(projet) {
   };
 }
 
+/**
+ * Le premier ecran de l'hote (D171) : la charge initiale (cloture de profondeur 1 depuis la page) et les
+ * ENTREES que l'hote declare (ses gabarits, sa page d'arrivee), chacune avec ses imports STATIQUES ; ni
+ * leurs imports dynamiques (un `@defer`, une page chargee a la demande), ni les autres pages de route.
+ *
+ * @param morceaux les fichiers des entrees, lus dans la carte de la construction ; `null` sans entrees
+ *   declarees : la mesure reste alors la cloture de profondeur 2 (toutes les pages de route)
+ */
+export function premierEcranDeLHote(sortie, depart, carte, morceaux) {
+  if (morceaux === null) return cloture(sortie, depart, carte, 2);
+  const ecran = cloture(sortie, depart, carte, 1);
+  for (const [chemin, taille] of cloture(sortie, morceaux, carte, 0)) {
+    if (!ecran.has(chemin)) ecran.set(chemin, taille);
+  }
+  return ecran;
+}
+
+/**
+ * Les fichiers des entrees du premier ecran (`starterWeb.premierEcran.entrees` : les sources, comme
+ * `starterWeb.ecran` d'une application autonome), lus dans la carte de la construction
+ * (`browser-stats.json`, que la cible esbuild d'`angular.json` ecrit avec `statsJson: true` : le
+ * builder de Native Federation refuse `--stats-json`). `null` sans entrees declarees. Une carte absente
+ * ou une entree introuvable est un defaut, jamais un repli silencieux sur l'ancienne mesure.
+ */
+function entreesDuPremierEcran(projet, defauts) {
+  const entrees = projet.paquet.starterWeb?.premierEcran?.entrees;
+  if (!Array.isArray(entrees) || entrees.length === 0) return null;
+  const stats = lireJson(join(dirname(projet.sortie), 'browser-stats.json'));
+  if (stats === null) {
+    defauts.push(
+      'starterWeb.premierEcran : browser-stats.json absent (poser statsJson: true sur la cible ' +
+        "esbuild d'angular.json, puis construire).",
+    );
+    return [];
+  }
+  const morceaux = [];
+  for (const entree of entrees) {
+    const morceau = morceauDeLEntree(stats, entree);
+    if (morceau === null) {
+      defauts.push(
+        `starterWeb.premierEcran : l'entree ${String(entree)} est introuvable dans browser-stats.json.`,
+      );
+    } else {
+      morceaux.push(morceau);
+    }
+  }
+  return morceaux;
+}
+
 function budgetDeLHote(projet) {
   const index = join(projet.sortie, 'index.html');
   if (!existsSync(index)) {
     return { defauts: [`${projet.sortieRelative}/index.html absent : construire d'abord.`] };
   }
+  const defauts = [];
   const carte = lireJson(join(projet.sortie, 'importmap.json'))?.imports ?? {};
   const depart = departDeLaPage(readFileSync(index, 'utf8'));
   const initiale = totaux(cloture(projet.sortie, depart, carte, 1));
-  const premierEcran = cloture(projet.sortie, depart, carte, 2);
+  const morceaux = entreesDuPremierEcran(projet, defauts);
+  const premierEcran = premierEcranDeLHote(projet.sortie, depart, carte, morceaux);
   const ecran = totaux(premierEcran);
   const details = [
     `charge initiale ${String(ko(initiale.brotli))} Ko br (${String(initiale.fichiers)} fichiers)`,
-    `premier ecran reel ${String(ko(ecran.brotli))} Ko br (${String(ecran.fichiers)} fichiers)`,
+    `premier ecran reel ${String(ko(ecran.brotli))} Ko br (${String(ecran.fichiers)} fichiers, ` +
+      `${morceaux === null ? 'toutes les pages de route' : 'entrees declarees'})`,
     ...[...premierEcran.entries()]
       .sort((a, b) => b[1].brotli - a[1].brotli)
       .slice(0, 5)
       .map(([chemin, taille]) => `  ${String(ko(taille.brotli))} Ko br ${chemin}`),
   ];
-  const defauts = [];
   if (ko(initiale.brotli) > BUDGETS_DE_L_HOTE.chargeInitialeKo) {
     defauts.push(
       `charge initiale : ${String(ko(initiale.brotli))} Ko br > ${String(BUDGETS_DE_L_HOTE.chargeInitialeKo)} Ko.`,

package/src/etapes/jetons.mjs

@@ -14,12 +14,19 @@
  *
  * La MARQUE de la SPA (niveau 2 bis : `marque.json`, `marque.ts` ou `marque.mjs` a la racine) est
  * rejouee ici a chaque verification, par le moteur des jetons installe : une valeur reprise qui fait
- * tomber une paire sous son seuil rougit `verify`, paire nommee, avant la construction.
+ * tomber une paire sous son seuil rougit `verify`, paire nommee, avant la construction. Sa feuille
+ * versionnee, si la SPA la declare (`starterWeb.feuilleDeMarque`), doit etre celle que ce moteur
+ * engendre : une feuille perimee rougit aussi.
  */
 import { readFileSync } from 'node:fs';
 import { join } from 'node:path';
 import { fichiers, relatif } from '../commun.mjs';
-import { fichierDeMarque, jugerLaMarque } from '../marque.mjs';
+import {
+  FICHIERS_DE_MARQUE,
+  deriveDeLaFeuille,
+  fichierDeMarque,
+  jugerLaMarque,
+} from '../marque.mjs';
 
 /** Poses a l'execution par un composant du socle, donc absents des feuilles engendrees. */
 const POSES_A_L_EXECUTION = new Set([
@@ -110,11 +117,24 @@ export default {
     const { defauts, lues } = jugerLesJetons(feuilles, definis);
     let marque = '';
     const chemin = fichierDeMarque(projet.racine);
+    const versionnee = projet.paquet?.starterWeb?.feuilleDeMarque;
     if (chemin !== null) {
       const nom = relatif(projet.racine, chemin);
       const juge = await jugerLaMarque(projet.racine, chemin);
       for (const defaut of juge.defauts) defauts.push(`${nom} : ${defaut}`);
-      if (juge.defauts.length === 0) marque = ` ; marque ${String(juge.valeurs.nom)} conforme`;
+      if (juge.defauts.length === 0) {
+        marque = ` ; marque ${String(juge.valeurs.nom)} conforme`;
+        if (versionnee !== undefined) {
+          const attendue = juge.moteur.feuilleDeMarque(juge.valeurs);
+          const derive = deriveDeLaFeuille(projet.racine, versionnee, juge.valeurs.nom, attendue);
+          if (derive === null) marque += `, ${String(versionnee)} a jour`;
+          else defauts.push(derive);
+        }
+      }
+    } else if (versionnee !== undefined) {
+      defauts.push(
+        `package.json : starterWeb.feuilleDeMarque sans fichier de marque (${FICHIERS_DE_MARQUE.join(', ')}).`,
+      );
     }
     return {
       defauts,

package/src/etapes/securite.mjs

@@ -5,7 +5,9 @@
  *
  * Pour tout fichier livre, cadre compris :
  * - eval, new Function, stockage du navigateur, lecture de cookie ;
- * - politiques Trusted Types comparees a la liste EXACTE du BFF
+ * - politiques Trusted Types comparees a la liste EXACTE du BFF, plus celles qu'une application declare
+ *   (un remote dans `manifest.source.json#trustedTypes`, lot 270 ; une application autonome dans
+ *   `package.json#starterWeb.trustedTypes`, 0.11.2)
  *   (`platform.web.headers.csp.trusted-types-policies`), augmentee de celles que le remote
  *   declare (`trustedTypes` de `manifest.source.json`, lot 270) ;
  * - cartes de source (et leurs variantes compressees), script dans un SVG ;
@@ -241,7 +243,8 @@ export function jugerUnFichierLivre(
         defauts.push(
           `${nom} : politique Trusted Types hors liste ("${politique}" ; admises : ` +
             `${[...POLITIQUES_ADMISES, ...declarees].join(', ')}). La declarer dans ` +
-            'manifest.source.json (trustedTypes) et a la CSP du BFF avant livraison.',
+            `${role === 'autonome' ? 'package.json (starterWeb.trustedTypes)' : 'manifest.source.json (trustedTypes)'} ` +
+            'et a la CSP du BFF avant livraison.',
         );
       }
     }
@@ -271,15 +274,23 @@ export default {
       };
     }
     const { partages } = natureDesFichiers(lireJson(join(projet.sortie, 'remoteEntry.json')));
-    // Les politiques que le remote declare (lot 270) ; le BFF retire celui qui en exige une que sa
-    // CSP n'admet pas : l'etape le dit des la construction.
-    const declarees = projet.role === 'remote' ? (projet.source?.trustedTypes ?? []) : [];
+    // Les politiques que l'application declare : un remote (lot 270), que le BFF retire s'il en exige une
+    // que sa CSP n'admet pas ; une application autonome (0.11.2), dont la page doit les porter nommement
+    // (la page d'ui-auth d'Aplomb et le widget de verification humaine). L'etape le dit des la construction.
+    const declarees =
+      projet.role === 'remote'
+        ? (projet.source?.trustedTypes ?? [])
+        : projet.role === 'autonome'
+          ? (projet.paquet.starterWeb?.trustedTypes ?? [])
+          : [];
     const avertissements = declarees
       .filter((politique) => !POLITIQUES_ADMISES.includes(politique))
-      .map(
-        (politique) =>
-          `trustedTypes : "${politique}" absente de la liste par defaut du BFF ` +
-          '(PLATFORM_WEB_CSP_TRUSTED_TYPES) : le BFF retire le remote tant qu elle n y est pas.',
+      .map((politique) =>
+        projet.role === 'autonome'
+          ? `trustedTypes : "${politique}" absente de la liste par defaut du BFF ` +
+            '(PLATFORM_WEB_CSP_TRUSTED_TYPES) : la page de l application doit la porter nommement.'
+          : `trustedTypes : "${politique}" absente de la liste par defaut du BFF ` +
+            '(PLATFORM_WEB_CSP_TRUSTED_TYPES) : le BFF retire le remote tant qu elle n y est pas.',
       );
     const defauts = [];
     // Application autonome : la lecture de cookie du cadre, une seule fois dans tout le livrable.

package/src/marque.mjs

@@ -7,9 +7,13 @@
  *
  * Fichier de marque : `marque.json`, ou un module `marque.ts` / `marque.mjs` qui exporte la table
  * (`export default`, ou `export const marque`). Forme : `ValeursDeMarque` du moteur (README des jetons).
+ *
+ * Une SPA qui VERSIONNE sa feuille (chargee par `angular.json`, relue a la revue) la declare dans
+ * `starterWeb.feuilleDeMarque` : l'etape `jetons` la confronte alors a celle que le moteur installe
+ * engendre, et la refuse si elle a derive (P09-01 d'Aplomb, qui la gardait par un script a lui).
  */
 import { existsSync, mkdirSync, readFileSync, writeFileSync } from 'node:fs';
-import { join, resolve } from 'node:path';
+import { basename, dirname, join, resolve } from 'node:path';
 import { pathToFileURL } from 'node:url';
 import { dossierInstalle } from './socle-installe.mjs';
 
@@ -76,3 +80,27 @@ export async function ecrireLaFeuilleDeMarque(racine, chemin, sortie) {
   writeFileSync(feuille, moteur.feuilleDeMarque(valeurs));
   return { valeurs, defauts, feuille };
 }
+
+/**
+ * La feuille VERSIONNEE d'une SPA (`versionnee` : `starterWeb.feuilleDeMarque`, relatif a sa racine),
+ * confrontee a la feuille `attendue` que le moteur installe engendre de sa marque `nom` : `null` si elle
+ * est a jour, le defaut sinon. Les fins de ligne ne comptent pas (une copie de travail sous Windows les
+ * convertit).
+ */
+export function deriveDeLaFeuille(racine, versionnee, nom, attendue) {
+  if (typeof versionnee !== 'string' || versionnee === '') {
+    return 'package.json : starterWeb.feuilleDeMarque, le chemin de la feuille versionnee, est attendu.';
+  }
+  const fichier = `starter-tokens-${nom}.css`;
+  if (basename(versionnee) !== fichier) {
+    return `starterWeb.feuilleDeMarque : ${versionnee}, la feuille de la marque ${nom} se nomme ${fichier}.`;
+  }
+  const regenerer = `starter-web jetons --sortie ${dirname(versionnee)}`;
+  const chemin = resolve(racine, versionnee);
+  if (!existsSync(chemin)) return `${versionnee} absente : ${regenerer}.`;
+  const lf = (texte) => texte.replace(/\r\n/g, '\n');
+  if (lf(readFileSync(chemin, 'utf8')) !== lf(attendue)) {
+    return `${versionnee} perimee : ${regenerer}, puis la relire et la commiter.`;
+  }
+  return null;
+}