@starterlib/cli 0.11.1 → 0.11.3

package/README.md

@@ -66,7 +66,7 @@ Codes de sortie : `0` conforme ; `1` une etape a echoue ; `2` la commande ne peu
 | `manifeste`      | les deux | `validerLeManifesteDeRemote` et le schema de `@starterlib/core` INSTALLE ; le nom partout le meme                                                                                                                                                                                           |
 | `federation`     | les deux | Partage en singleton strict a plage explicite, Angular et le socle partages, aucun import nu orphelin                                                                                                                                                                                       |
 | `entree`         | hote     | Aucun paquet partage importe statiquement avant `initFederation`                                                                                                                                                                                                                            |
-| `budget`         | les deux | En brotli. Remote : chaque page (60 Ko), le total (250 Ko), les catalogues. Hote : premier ecran                                                                                                                                                                                            |
+| `budget`         | les deux | En brotli. Remote : chaque page (60 Ko), le total (250 Ko), les catalogues. Hote : charge initiale et premier ecran (ses entrees, `starterWeb.premierEcran.entrees`, D171)                                                                                                                  |
 | `autonome`       | autonome | Aucune federation livree (`remoteEntry`, carte d'importation, `es-module-shims`) ; versions d'Angular et du socle egales a celles du jumeau (`starterWeb.jumeau`) ; poids de l'ecran (`starterWeb.ecran` : entree et seuil en Ko br), lu dans la carte de la construction (lot 240)         |
 | `amorcage`       | hote     | Aucun pair lourd (CDK, aria, formulaires, surfaces) dans le premier ecran                                                                                                                                                                                                                   |
 | `securite`       | tous     | Puits de l'ADR 0029 dans le code de la SPA, politiques Trusted Types exactes, cartes, SVG, meta CSP                                                                                                                                                                                         |
@@ -89,10 +89,16 @@ par un point d'entree vide dans la configuration `production`).
   qu'un `manifest.source.json` existe ;
 - pour une application autonome, dans `starterWeb` : `nom` (le projet d'`angular.json`),
   `i18n.perimetres` (ses catalogues), `jumeau` (le dossier du remote du meme service, dont elle
-  partage les versions) et `ecran` (`{ "entree": "src/app/pages/connexion.ts", "seuilKo": 155 }`) ;
+  partage les versions), `ecran` (`{ "entree": "src/app/pages/connexion.ts", "seuilKo": 155 }`) et, s'il en
+  cree, `trustedTypes` (les politiques Trusted Types qu'elle cree en plus de celles du BFF, que sa page doit porter
+  nommement : `["verification-humaine"]`) ;
   `starter-web construire` n'y ecrit pas de manifeste, et pose `--stats-json` ; `securite` y
   neutralise UNE lecture de cookie du cadre (`DomAdapter.getCookie`, dans `main` faute de morceau
   partage), toute autre restant un defaut ;
+- pour l'hote, dans `starterWeb` : `premierEcran.entrees` (les sources de ses gabarits et de sa page d'arrivee,
+  `["src/app/gabarits/coquille.ts", "src/app/pages/accueil.ts"]`), cherchees dans `browser-stats.json` que la
+  cible esbuild d'`angular.json` ecrit avec `statsJson: true` ; sans elles, le premier ecran compte toutes les pages
+  de route (D171) ;
 - le nom et `pleinePage` : `manifest.source.json` (un remote), `socle` pour l'hote ;
 - les formulations que l'application interdit dans ses textes : `starterWeb.formulationsInterdites`,
   chemin d'un fichier JSON relatif a sa racine, qui liste des `formulations` (un `id`, des `textes`

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@starterlib/cli",
-  "version": "0.11.1",
+  "version": "0.11.3",
   "description": "Chaine de verification et de construction des SPA du socle frontal starter : starter-web verify, construire, sprite, manifeste, precompresser. Jamais en dependance de production.",
   "license": "UNLICENSED",
   "type": "module",

package/src/etapes/budget.mjs

@@ -15,18 +15,19 @@
  * partages resolus par la carte d'importation.
  */
 import { readFileSync, readdirSync, existsSync, statSync } from 'node:fs';
-import { join } from 'node:path';
+import { dirname, join } from 'node:path';
 import { brotliCompressSync, constants } from 'node:zlib';
 import { cloture, departDeLaPage, totaux } from '../cloture.mjs';
 import { fichiers, ko, lireJson, relatif } from '../commun.mjs';
 import { natureDesFichiers } from '../livraison.mjs';
+import { morceauDeLEntree } from './autonome.mjs';
 
 /** Les budgets d'un remote, en Ko brotli (plan SPA §2.8). */
 export const BUDGETS_DU_REMOTE = { pageKo: 60, totalKo: 250, catalogueKo: 30 };
 
 /**
- * Les seuils de l'hote, en Ko brotli (ADR 0031) : 313 pour le premier ecran reel, 289 pour la
- * charge initiale (ADR web 0005, D168). Leur histoire : ramenes au socle 0.10.0 (releves dans
+ * Les seuils de l'hote, en Ko brotli (ADR 0031) : 312 pour le premier ecran reel, mesure sur les
+ * entrees que l'hote declare, 289 pour la charge initiale (ADR web 0005, D168 et D171). Leur histoire : ramenes au socle 0.10.0 (releves dans
  * l'ADR 0031) ; la charge initiale passee de 280 a 281 le 2026-09-29, decision du proprietaire :
  * 280,4 Ko mesures avec le socle 0.10.9, dont les controles d'empreinte S05 du lot 272 tournent au
  * demarrage. Puis, le meme jour, 282 et 301 (decision de l'orchestrateur sur autorisation du
@@ -38,13 +39,20 @@ export const BUDGETS_DU_REMOTE = { pageKo: 60, totalKo: 250, catalogueKo: 30 };
  * 287,4 et 308,3 Ko avec sa feuille de marque et la feuille de sa police de titre (+0,44 Ko). Puis
  * 289 et 313 le 2026-10-07 : la coquille d'Aplomb refaite sur ses maquettes (menu en haut, barre
  * inferieure, bandeau du compte simule, pied, accueil de simulation), mesuree contre la 0.11.1
- * construite, avant publication, 288,2 et 312,2 Ko (tronc a 47 410 octets, D168).
+ * construite, avant publication, 288,2 et 312,2 Ko (tronc a 47 410 octets, D168). Puis 314 pour le
+ * premier ecran le 2026-10-07 (D169) : la meme coquille avec la garde du parcours d'ouverture (lecture
+ * du parcours avant l'accueil, client engendre compris), le gabarit pleine page refait et la page de
+ * repli du parcours, mesuree contre la 0.11.1 publiee et le tronc de la 0.11.2, 288,8 et 313,7 Ko.
+ * Puis 312 le 2026-10-08 (D171, avant la publication de la 0.11.2) : le premier ecran se mesure sur les
+ * ENTREES que l'hote declare (ses gabarits, sa page d'arrivee) et non plus sur toutes ses pages de route ;
+ * la coquille d'Aplomb avec le cablage du parcours, le contexte de compte, l'etat du bot (en `@defer`) et
+ * le bouton d'arret permanent, 311,3 Ko.
  *
  * ⚠️ Ce ne sont pas la cible du plan SPA §2.8 (170 Ko). L'ecart restant est STRUCTUREL : un paquet
  * partage en singleton part ENTIER, parce que n'importe quel remote peut en avoir besoin. Un seuil
  * se baisse ; il ne se leve jamais sans mesure ecrite et sans date.
  */
-export const BUDGETS_DE_L_HOTE = { premierEcranKo: 313, chargeInitialeKo: 289, cibleDuPlanKo: 170 };
+export const BUDGETS_DE_L_HOTE = { premierEcranKo: 312, chargeInitialeKo: 289, cibleDuPlanKo: 170 };
 
 /** Les imports DYNAMIQUES d'un module : les pages qu'il charge a la demande. */
 const IMPORT_DYNAMIQUE = /\bimport\s*\(\s*["']([^"']+)["']\s*\)/g;
@@ -161,25 +169,76 @@ function budgetDuRemote(projet) {
   };
 }
 
+/**
+ * Le premier ecran de l'hote (D171) : la charge initiale (cloture de profondeur 1 depuis la page) et les
+ * ENTREES que l'hote declare (ses gabarits, sa page d'arrivee), chacune avec ses imports STATIQUES ; ni
+ * leurs imports dynamiques (un `@defer`, une page chargee a la demande), ni les autres pages de route.
+ *
+ * @param morceaux les fichiers des entrees, lus dans la carte de la construction ; `null` sans entrees
+ *   declarees : la mesure reste alors la cloture de profondeur 2 (toutes les pages de route)
+ */
+export function premierEcranDeLHote(sortie, depart, carte, morceaux) {
+  if (morceaux === null) return cloture(sortie, depart, carte, 2);
+  const ecran = cloture(sortie, depart, carte, 1);
+  for (const [chemin, taille] of cloture(sortie, morceaux, carte, 0)) {
+    if (!ecran.has(chemin)) ecran.set(chemin, taille);
+  }
+  return ecran;
+}
+
+/**
+ * Les fichiers des entrees du premier ecran (`starterWeb.premierEcran.entrees` : les sources, comme
+ * `starterWeb.ecran` d'une application autonome), lus dans la carte de la construction
+ * (`browser-stats.json`, que la cible esbuild d'`angular.json` ecrit avec `statsJson: true` : le
+ * builder de Native Federation refuse `--stats-json`). `null` sans entrees declarees. Une carte absente
+ * ou une entree introuvable est un defaut, jamais un repli silencieux sur l'ancienne mesure.
+ */
+function entreesDuPremierEcran(projet, defauts) {
+  const entrees = projet.paquet.starterWeb?.premierEcran?.entrees;
+  if (!Array.isArray(entrees) || entrees.length === 0) return null;
+  const stats = lireJson(join(dirname(projet.sortie), 'browser-stats.json'));
+  if (stats === null) {
+    defauts.push(
+      'starterWeb.premierEcran : browser-stats.json absent (poser statsJson: true sur la cible ' +
+        "esbuild d'angular.json, puis construire).",
+    );
+    return [];
+  }
+  const morceaux = [];
+  for (const entree of entrees) {
+    const morceau = morceauDeLEntree(stats, entree);
+    if (morceau === null) {
+      defauts.push(
+        `starterWeb.premierEcran : l'entree ${String(entree)} est introuvable dans browser-stats.json.`,
+      );
+    } else {
+      morceaux.push(morceau);
+    }
+  }
+  return morceaux;
+}
+
 function budgetDeLHote(projet) {
   const index = join(projet.sortie, 'index.html');
   if (!existsSync(index)) {
     return { defauts: [`${projet.sortieRelative}/index.html absent : construire d'abord.`] };
   }
+  const defauts = [];
   const carte = lireJson(join(projet.sortie, 'importmap.json'))?.imports ?? {};
   const depart = departDeLaPage(readFileSync(index, 'utf8'));
   const initiale = totaux(cloture(projet.sortie, depart, carte, 1));
-  const premierEcran = cloture(projet.sortie, depart, carte, 2);
+  const morceaux = entreesDuPremierEcran(projet, defauts);
+  const premierEcran = premierEcranDeLHote(projet.sortie, depart, carte, morceaux);
   const ecran = totaux(premierEcran);
   const details = [
     `charge initiale ${String(ko(initiale.brotli))} Ko br (${String(initiale.fichiers)} fichiers)`,
-    `premier ecran reel ${String(ko(ecran.brotli))} Ko br (${String(ecran.fichiers)} fichiers)`,
+    `premier ecran reel ${String(ko(ecran.brotli))} Ko br (${String(ecran.fichiers)} fichiers, ` +
+      `${morceaux === null ? 'toutes les pages de route' : 'entrees declarees'})`,
     ...[...premierEcran.entries()]
       .sort((a, b) => b[1].brotli - a[1].brotli)
       .slice(0, 5)
       .map(([chemin, taille]) => `  ${String(ko(taille.brotli))} Ko br ${chemin}`),
   ];
-  const defauts = [];
   if (ko(initiale.brotli) > BUDGETS_DE_L_HOTE.chargeInitialeKo) {
     defauts.push(
       `charge initiale : ${String(ko(initiale.brotli))} Ko br > ${String(BUDGETS_DE_L_HOTE.chargeInitialeKo)} Ko.`,

package/src/etapes/i18n.mjs

@@ -298,12 +298,15 @@ export function rechercherLesFormulations(projet, catalogues) {
 
 /**
  * Les perimetres de catalogues d'un projet : ceux du manifeste (remote), ceux de
- * `starterWeb.i18n.perimetres` (application autonome, lot 240), `socle` pour l'hote.
+ * `starterWeb.i18n.perimetres` (application autonome, lot 240), `socle` pour l'hote, plus ceux qu'il
+ * declare dans `starterWeb.i18n.perimetres` (un catalogue charge apres le premier ecran : `aplomb`,
+ * remarque d'Aplomb, P09-04) ; `socle` reste juge le premier, sans doublon.
  */
 export function perimetresDuProjet(projet) {
   if (projet.role === 'remote') return projet.source?.i18n?.perimetres ?? [];
   if (projet.role === 'autonome') return projet.paquet.starterWeb?.i18n?.perimetres ?? ['socle'];
-  return ['socle'];
+  const declares = projet.paquet?.starterWeb?.i18n?.perimetres ?? [];
+  return ['socle', ...declares.filter((perimetre) => perimetre !== 'socle')];
 }
 
 export default {

package/src/etapes/securite.mjs

@@ -5,7 +5,9 @@
  *
  * Pour tout fichier livre, cadre compris :
  * - eval, new Function, stockage du navigateur, lecture de cookie ;
- * - politiques Trusted Types comparees a la liste EXACTE du BFF
+ * - politiques Trusted Types comparees a la liste EXACTE du BFF, plus celles qu'une application declare
+ *   (un remote dans `manifest.source.json#trustedTypes`, lot 270 ; une application autonome dans
+ *   `package.json#starterWeb.trustedTypes`, 0.11.2)
  *   (`platform.web.headers.csp.trusted-types-policies`), augmentee de celles que le remote
  *   declare (`trustedTypes` de `manifest.source.json`, lot 270) ;
  * - cartes de source (et leurs variantes compressees), script dans un SVG ;
@@ -143,9 +145,15 @@ export const LECTURE_DE_COOKIE_DU_CADRE =
  * navigateur. De cette forme exacte, chacune est neutralisee UNE fois dans tout le livrable ; tout
  * autre acces au stockage, n'importe ou, reste un defaut (ADR 0014). Constat de la montee d'Aplomb
  * a la 0.11.0, 2026-10-07.
+ *
+ * Le motif ne part que du DEBUT d'un identifiant (`(?<![\w$])`) : sans cet ancrage, chaque position
+ * d'une longue suite de lettres et de chiffres (une donnee en base 64 du livrable) relancait la
+ * recherche, en temps carre ; l'etape tenait plus de sept minutes sur l'ecran anonyme d'Aplomb
+ * (2026-10-08). Les correspondances sont les memes : la premiere qui reussit part toujours du debut
+ * de l'identifiant.
  */
 export const STOCKAGES_DE_L_ORCHESTRATEUR =
-  /([\w$]+)=([\w$]+)=>\(([\w$]+),([\w$]+)\)=>\{let ([\w$]+)=\{get\(\)\{let ([\w$]+)=(localStorage|sessionStorage)\.getItem\(`\$\{\2\}\.\$\{String\(\3\)\}`\);return \6\?JSON\.parse\(\6\):[\w$]+\(\3,\4\)\},set\(([\w$]+)\)\{return \7\.setItem\(`\$\{\2\}\.\$\{String\(\3\)\}`,JSON\.stringify\(\8\)\),\5\},clear\(\)\{return \7\.setItem\(`\$\{\2\}\.\$\{String\(\3\)\}`,JSON\.stringify\(\4\)\),this\}\};return \5\};\1\.type="\7";Object\.freeze\(\1\);/g;
+  /(?<![\w$])([\w$]+)=([\w$]+)=>\(([\w$]+),([\w$]+)\)=>\{let ([\w$]+)=\{get\(\)\{let ([\w$]+)=(localStorage|sessionStorage)\.getItem\(`\$\{\2\}\.\$\{String\(\3\)\}`\);return \6\?JSON\.parse\(\6\):[\w$]+\(\3,\4\)\},set\(([\w$]+)\)\{return \7\.setItem\(`\$\{\2\}\.\$\{String\(\3\)\}`,JSON\.stringify\(\8\)\),\5\},clear\(\)\{return \7\.setItem\(`\$\{\2\}\.\$\{String\(\3\)\}`,JSON\.stringify\(\4\)\),this\}\};return \5\};\1\.type="\7";Object\.freeze\(\1\);/g;
 
 /** Les stockages qu'une fabrique de l'orchestrateur nomme, dans l'ordre ou le livrable les porte. */
 export function stockagesDeLOrchestrateur(contenu) {
@@ -241,7 +249,8 @@ export function jugerUnFichierLivre(
         defauts.push(
           `${nom} : politique Trusted Types hors liste ("${politique}" ; admises : ` +
             `${[...POLITIQUES_ADMISES, ...declarees].join(', ')}). La declarer dans ` +
-            'manifest.source.json (trustedTypes) et a la CSP du BFF avant livraison.',
+            `${role === 'autonome' ? 'package.json (starterWeb.trustedTypes)' : 'manifest.source.json (trustedTypes)'} ` +
+            'et a la CSP du BFF avant livraison.',
         );
       }
     }
@@ -271,15 +280,23 @@ export default {
       };
     }
     const { partages } = natureDesFichiers(lireJson(join(projet.sortie, 'remoteEntry.json')));
-    // Les politiques que le remote declare (lot 270) ; le BFF retire celui qui en exige une que sa
-    // CSP n'admet pas : l'etape le dit des la construction.
-    const declarees = projet.role === 'remote' ? (projet.source?.trustedTypes ?? []) : [];
+    // Les politiques que l'application declare : un remote (lot 270), que le BFF retire s'il en exige une
+    // que sa CSP n'admet pas ; une application autonome (0.11.2), dont la page doit les porter nommement
+    // (la page d'ui-auth d'Aplomb et le widget de verification humaine). L'etape le dit des la construction.
+    const declarees =
+      projet.role === 'remote'
+        ? (projet.source?.trustedTypes ?? [])
+        : projet.role === 'autonome'
+          ? (projet.paquet.starterWeb?.trustedTypes ?? [])
+          : [];
     const avertissements = declarees
       .filter((politique) => !POLITIQUES_ADMISES.includes(politique))
-      .map(
-        (politique) =>
-          `trustedTypes : "${politique}" absente de la liste par defaut du BFF ` +
-          '(PLATFORM_WEB_CSP_TRUSTED_TYPES) : le BFF retire le remote tant qu elle n y est pas.',
+      .map((politique) =>
+        projet.role === 'autonome'
+          ? `trustedTypes : "${politique}" absente de la liste par defaut du BFF ` +
+            '(PLATFORM_WEB_CSP_TRUSTED_TYPES) : la page de l application doit la porter nommement.'
+          : `trustedTypes : "${politique}" absente de la liste par defaut du BFF ` +
+            '(PLATFORM_WEB_CSP_TRUSTED_TYPES) : le BFF retire le remote tant qu elle n y est pas.',
       );
     const defauts = [];
     // Application autonome : la lecture de cookie du cadre, une seule fois dans tout le livrable.