@starterlib/eslint-config 0.10.2

package/README.md

@@ -0,0 +1,59 @@
+# @starterlib/eslint-config
+
+La configuration ESLint d'une SPA du socle frontal, parametree par son prefixe, et la configuration
+stylelint de ses feuilles. Elle remplace les `eslint.config.mjs` que chaque SPA recopiait, et qui
+divergeaient deja : une regle du socle atteint desormais toutes les SPA a la montee de version.
+
+Outil de developpement : jamais en dependance de production.
+
+## Installation
+
+A la version exacte des autres paquets du socle, avec ses pairs (versions de la matrice) :
+
+```bash
+pnpm add -D -E @starterlib/eslint-config@<socle> @starterlib/eslint-plugin@<socle>
+```
+
+`eslint.config.mjs` :
+
+```js
+import { configurationDuSocle } from '@starterlib/eslint-config';
+
+export default configurationDuSocle({ prefixe: 'ct', racine: import.meta.dirname });
+```
+
+`role: 'hote'` pour la coquille : un remote n'a pas le droit de FOURNIR le noyau, le routeur ou le
+client HTTP (seul l'hote les fournit), l'hote si. `ignores` ajoute des chemins a ne pas lire.
+
+`.stylelintrc.json` :
+
+```json
+{ "extends": ["@starterlib/eslint-config/stylelint"] }
+```
+
+## Ce qu'elle tient
+
+Chaque regle repond a une ligne du plan SPA §4 ou de l'ADR 0029.
+
+- Angular : signaux, `inject`, composants autonomes, OnPush (le defaut d'Angular 22 : en sortir est
+  refuse), aucune API experimentale ni en apercu, gabarits et feuilles dans leurs fichiers (un gabarit
+  en ligne echappait au lint de gabarit et a stylelint), selecteurs au prefixe de la SPA.
+- Navigateur : ni stockage, ni `window`, ni `document` global (DOCUMENT injecte), ni
+  `window.location` (le routeur), ni lecture de cookie.
+- Securite : ni `fetch` ni `XMLHttpRequest` (le HttpClient de l'hote), ni `innerHTML`, ni ecriture
+  HTML directe, ni `bypassSecurityTrust*`, ni style pose par `setAttribute`, ni `Function`.
+- Architecture : un seul `ErrorHandler`, ni zone.js, ni TanStack, ni Angular Material, ni
+  bibliotheque de traduction ou d'icones ; un remote ne fournit ni `provideStarterCore`, ni
+  `provideRouter`, ni `provideHttpClient`.
+- Gabarits (`@starterlib/eslint-plugin`) : aucun element interactif nu, aucun texte litteral, aucun
+  pipe de locale d'Angular ; code : un titre par route, aucun toast d'erreur, aucun texte libre dans
+  l'adresse.
+- Feuilles (stylelint) : aucune couleur ecrite (un derive de jeton est admis), aucun `px` non nul sur
+  un espacement, une police ou un rayon, aucun `z-index` en nombre, ni `order` ni sens inverse.
+
+Les essais (`*.spec.ts`) pilotent le DOM et montent des routes et des composants hotes : `window`,
+`document`, les routes sans titre et les gabarits en ligne y sont admis. L'hote de developpement d'un
+remote (`src/hote-dev`, jamais livre) ne parle qu'aux developpeurs : textes litteraux admis.
+
+Une exception s'ecrit sur place, avec sa raison : `// eslint-disable-next-line <regle> -- <raison>`,
+`// stylelint-disable-next-line <regle> -- <raison>`.

package/index.mjs

@@ -0,0 +1,277 @@
+/**
+ * `@starterlib/eslint-config` (lot 178) : la configuration ESLint d'une SPA du socle, parametree
+ * par son prefixe. Elle remplace les `eslint.config.mjs` recopies dans chaque SPA, qui disaient
+ * tous « en attendant @starterlib/eslint-config » et divergeaient deja (la coquille avait window et
+ * document, les remotes non).
+ *
+ * ```js
+ * // eslint.config.mjs d'une SPA
+ * import { configurationDuSocle } from '@starterlib/eslint-config';
+ * export default configurationDuSocle({ prefixe: 'ct', racine: import.meta.dirname });
+ * ```
+ *
+ * Chaque regle repond a une ligne du plan SPA §4 ou de l'ADR 0029 : une regle non outillee est une
+ * opinion. Les regles que le socle ecrit lui-meme sont dans `@starterlib/eslint-plugin`.
+ */
+import eslint from '@eslint/js';
+import angular from 'angular-eslint';
+import tseslint from 'typescript-eslint';
+import socle from '@starterlib/eslint-plugin';
+
+const PREFIXE = /^[a-z][a-z0-9]{1,7}$/;
+
+/** Aucun stockage navigateur : la session vit dans un cookie pose par le BFF (ADR 0014). */
+const STOCKAGE = [
+  { name: 'localStorage', message: 'Aucun stockage navigateur (ADR 0014).' },
+  { name: 'sessionStorage', message: 'Aucun stockage navigateur (ADR 0014).' },
+  { name: 'indexedDB', message: 'Aucun stockage navigateur (ADR 0014).' },
+];
+
+/** La fenetre et le document par DOCUMENT injecte : testable, et sans global (constat A0904). */
+const GLOBAUX_DU_NAVIGATEUR = [
+  { name: 'window', message: 'Passer par DOCUMENT (defaultView) : testable, et sans global.' },
+  { name: 'document', message: "Injecter DOCUMENT plutot que l'acceder globalement." },
+];
+
+/** Tout passe par le HttpClient de l'hote : jeton anti-falsification, erreurs du socle (ADR 0029, 13). */
+const RESEAU = [
+  {
+    name: 'fetch',
+    message: "Le HttpClient de l'hote (httpResource, clients engendres), jamais fetch.",
+  },
+  { name: 'XMLHttpRequest', message: "Le HttpClient de l'hote, jamais XMLHttpRequest." },
+];
+
+const SYNTAXE_INTERDITE = [
+  {
+    selector: "CallExpression[callee.property.name='toLocaleString']",
+    message: 'Formats par st-money, st-date, st-count (locale du socle).',
+  },
+  {
+    selector: 'MemberExpression[property.name=/^(innerHTML|outerHTML)$/]',
+    message: 'Puits DOM interdit (Trusted Types).',
+  },
+  {
+    selector: 'CallExpression[callee.property.name=/^(insertAdjacentHTML|write|writeln)$/]',
+    message: 'Ecriture HTML directe interdite (Trusted Types).',
+  },
+  {
+    selector: 'CallExpression[callee.property.name=/^bypassSecurityTrust/]',
+    message:
+      "bypassSecurityTrust* : la politique angular#unsafe-bypass n'est pas admise par le BFF (ADR 0029).",
+  },
+  {
+    selector: "CallExpression[callee.property.name='setAttribute'][arguments.0.value='style']",
+    message: "Style pose par setAttribute : refuse sans 'unsafe-inline'.",
+  },
+  {
+    selector: "NewExpression[callee.name='Function'], CallExpression[callee.name='Function']",
+    message: "Execution de chaine interdite par script-src (pas d'unsafe-eval).",
+  },
+];
+
+/** Un remote ne fournit pas de gestionnaire d'erreurs : un seul, celui de l'hote. */
+const SECOND_ERROR_HANDLER = {
+  selector: "Property[key.name='provide'][value.name='ErrorHandler']",
+  message: "Un seul ErrorHandler : celui de l'hote. Un remote n'en fournit jamais.",
+};
+
+const IMPORTS_INTERDITS = {
+  paths: [
+    { name: 'zone.js', message: 'Le socle est zoneless.' },
+    {
+      name: '@angular/common/http',
+      importNames: ['provideHttpClient'],
+      message: 'provideStarterCore fournit le client HTTP (intercepteurs du socle).',
+    },
+    { name: '@angular/material', message: 'Les composants sont ceux du socle (st-*).' },
+  ],
+  patterns: [
+    {
+      group: ['@tanstack/*'],
+      message: 'La lecture de donnees passe par httpResource() (decision 2026-09-12).',
+    },
+    {
+      group: ['@ngx-translate/*', '@jsverse/transloco', '@ngneat/transloco'],
+      message: 'La langue et les catalogues sont ceux du socle (injecterTraduction).',
+    },
+    {
+      group: [
+        'lucide*',
+        '@ng-icons/*',
+        '@fortawesome/*',
+        '@material-design-icons/*',
+        '@material-symbols/*',
+        'material-symbols',
+        '@tabler/*',
+        '@heroicons/*',
+        '@phosphor-icons/*',
+      ],
+      message: "Aucune bibliotheque d'icones : st-icon, le sprite du socle et le sprite metier.",
+    },
+  ],
+};
+
+/** Ce qu'un remote n'a pas le droit de FOURNIR : l'hote le fait (ADR 0029 §2, plan SPA §4). */
+const FOURNI_PAR_L_HOTE = [
+  {
+    name: '@starterlib/core',
+    importNames: ['provideStarterCore', 'withLangue', 'withNavigation'],
+    message: "Fourni par l'hote (coquille ou src/hote-dev), jamais par un remote.",
+  },
+  {
+    name: '@starterlib/ui',
+    importNames: ['provideStarterUi'],
+    message: "Fourni par l'hote (coquille ou src/hote-dev), jamais par un remote.",
+  },
+  {
+    name: '@angular/router',
+    importNames: ['provideRouter'],
+    message: 'Un seul routeur : celui de la coquille. Un remote expose des Routes.',
+  },
+];
+
+/**
+ * La configuration d'une SPA. `prefixe` : celui de ses selecteurs (`ct`, jamais `st`) ; `racine` :
+ * `import.meta.dirname` de son `eslint.config.mjs` (le projet TypeScript) ; `role` : `remote` (par
+ * defaut) ou `hote` ; `ignores` : des chemins de plus a ne pas lire.
+ */
+export function configurationDuSocle({ prefixe, racine, role = 'remote', ignores = [] } = {}) {
+  if (typeof prefixe !== 'string' || !PREFIXE.test(prefixe) || prefixe === 'st') {
+    throw new Error(
+      `@starterlib/eslint-config : prefixe "${String(prefixe)}", deux a huit minuscules attendues (jamais st).`,
+    );
+  }
+  if (typeof racine !== 'string' || racine === '') {
+    throw new Error(
+      "@starterlib/eslint-config : racine attendue (import.meta.dirname de l'appelant).",
+    );
+  }
+  if (role !== 'remote' && role !== 'hote') {
+    throw new Error(`@starterlib/eslint-config : role "${String(role)}", remote ou hote attendu.`);
+  }
+
+  return tseslint.config(
+    {
+      ignores: ['dist/**', 'node_modules/**', 'coverage/**', '.angular/**', ...ignores],
+    },
+    {
+      files: ['**/*.ts'],
+      extends: [
+        eslint.configs.recommended,
+        ...tseslint.configs.strictTypeChecked,
+        ...tseslint.configs.stylisticTypeChecked,
+        ...angular.configs.tsRecommended,
+      ],
+      languageOptions: {
+        parserOptions: { projectService: true, tsconfigRootDir: racine },
+      },
+      processor: angular.processInlineTemplates,
+      plugins: { socle },
+      rules: {
+        '@angular-eslint/prefer-signals': 'error',
+        '@angular-eslint/prefer-signal-model': 'error',
+        '@angular-eslint/prefer-output-emitter-ref': 'error',
+        '@angular-eslint/prefer-output-readonly': 'error',
+        '@angular-eslint/no-uncalled-signals': 'error',
+        '@angular-eslint/prefer-inject': 'error',
+        '@angular-eslint/prefer-standalone': 'error',
+        '@angular-eslint/prefer-on-push-component-change-detection': 'error',
+        '@angular-eslint/no-developer-preview': 'error',
+        '@angular-eslint/no-experimental': 'error',
+        // Gabarits et feuilles dans leurs fichiers : le lint de gabarit, la revue et stylelint les
+        // lisent ; un gabarit en ligne echappait aux trois.
+        '@angular-eslint/component-max-inline-declarations': [
+          'error',
+          { template: 0, styles: 0, animations: 0 },
+        ],
+        '@angular-eslint/component-selector': [
+          'error',
+          { type: 'element', prefix: prefixe, style: 'kebab-case' },
+        ],
+        '@angular-eslint/directive-selector': [
+          'error',
+          { type: 'attribute', prefix: prefixe, style: 'camelCase' },
+        ],
+        'no-new-func': 'error',
+        'no-restricted-globals': ['error', ...STOCKAGE, ...GLOBAUX_DU_NAVIGATEUR, ...RESEAU],
+        'no-restricted-properties': [
+          'error',
+          { object: 'window', property: 'localStorage', message: 'Aucun stockage navigateur.' },
+          { object: 'window', property: 'sessionStorage', message: 'Aucun stockage navigateur.' },
+          {
+            object: 'window',
+            property: 'location',
+            message: 'Le Router (et StNavigation), jamais window.location.',
+          },
+          {
+            object: 'document',
+            property: 'cookie',
+            message: 'Le cookie est HttpOnly : illisible.',
+          },
+        ],
+        'no-restricted-syntax': ['error', ...SYNTAXE_INTERDITE],
+        'no-restricted-imports': ['error', IMPORTS_INTERDITS],
+        'socle/route-has-title': 'error',
+        'socle/no-toast-danger': 'error',
+        'socle/no-free-text-query-param': 'error',
+      },
+    },
+    {
+      // Le point d'entree s'execute AVANT Angular (aucun DOCUMENT injectable), et charge la
+      // federation ; les scenarios d'assemblage evaluent leurs fonctions DANS la page.
+      files: ['src/main.ts', 'e2e/**/*.ts'],
+      rules: { 'no-restricted-globals': ['error', ...STOCKAGE] },
+    },
+    {
+      // Un essai monte des routes pour les eprouver, sans page a annoncer ; ses composants hotes
+      // tiennent en une ligne de gabarit ; il pilote le DOM de jsdom (document, window). Rien de
+      // cela ne part en production ; le stockage reste interdit.
+      files: ['**/*.spec.ts'],
+      rules: {
+        'socle/route-has-title': 'off',
+        '@angular-eslint/component-max-inline-declarations': 'off',
+        'no-restricted-globals': ['error', ...STOCKAGE],
+      },
+    },
+    {
+      files: ['**/*.html'],
+      // `src/index.html` n'est pas un gabarit : la page que le serveur sert, dont le titre est
+      // remplace a l'execution par celui de la route.
+      ignores: ['src/index.html'],
+      extends: [...angular.configs.templateRecommended, ...angular.configs.templateAccessibility],
+      plugins: { socle },
+      rules: {
+        'socle/no-raw-interactive': 'error',
+        'socle/no-literal-text': 'error',
+        'socle/no-angular-locale-pipes': 'error',
+      },
+    },
+    {
+      // L'hote de developpement d'un remote (`src/hote-dev`, jamais livre : A0840, lot 269) : il
+      // ne parle qu'aux developpeurs. APRES le bloc des gabarits, qui sinon le reprendrait.
+      files: ['src/hote-dev/**/*.ts', 'src/hote-dev/**/*.html'],
+      rules: {
+        'socle/route-has-title': 'off',
+        'socle/no-literal-text': 'off',
+        '@angular-eslint/component-max-inline-declarations': 'off',
+      },
+    },
+    role === 'remote'
+      ? {
+          // Un remote INJECTE, seul l'hote FOURNIT : ces fournisseurs n'ont leur place que dans
+          // l'hote de developpement (src/hote-dev), jamais dans ce qui est expose.
+          files: ['src/app/**/*.ts'],
+          rules: {
+            'no-restricted-imports': [
+              'error',
+              { ...IMPORTS_INTERDITS, paths: [...IMPORTS_INTERDITS.paths, ...FOURNI_PAR_L_HOTE] },
+            ],
+            'no-restricted-syntax': ['error', ...SYNTAXE_INTERDITE, SECOND_ERROR_HANDLER],
+          },
+        }
+      : {},
+  );
+}
+
+export default configurationDuSocle;

package/package.json

@@ -0,0 +1,42 @@
+{
+  "name": "@starterlib/eslint-config",
+  "version": "0.10.2",
+  "description": "Configuration ESLint d'une SPA du socle frontal starter, parametree par son prefixe, et configuration stylelint de ses feuilles. Remplace les eslint.config.mjs recopies.",
+  "license": "UNLICENSED",
+  "type": "module",
+  "exports": {
+    ".": "./index.mjs",
+    "./stylelint": "./stylelint.mjs",
+    "./package.json": "./package.json"
+  },
+  "files": [
+    "index.mjs",
+    "stylelint.mjs"
+  ],
+  "engines": {
+    "node": ">=24.15.0"
+  },
+  "peerDependencies": {
+    "@eslint/js": "^10.0.1",
+    "@starterlib/eslint-plugin": "^0.10.0",
+    "angular-eslint": "^22.5.0",
+    "eslint": "^10.10.0",
+    "typescript-eslint": "^8.70.0"
+  },
+  "publishConfig": {
+    "access": "public"
+  },
+  "repository": {
+    "type": "git",
+    "url": "git+https://github.com/Arnoldkom/starter-web-platform.git",
+    "directory": "packages/eslint-config"
+  },
+  "homepage": "https://github.com/Arnoldkom/starter-web-platform/tree/main/packages/eslint-config#readme",
+  "keywords": [
+    "starter",
+    "socle-frontal",
+    "eslint",
+    "eslintconfig",
+    "stylelint"
+  ]
+}

package/stylelint.mjs

@@ -0,0 +1,50 @@
+/**
+ * La configuration stylelint du socle (lot 178, plan SPA §4, « Jetons ») : les feuilles lisent les
+ * jetons, elles n'en inventent pas. L'audit de design avait trouve a la main des `z-index` et des
+ * `px` qu'elle aurait attrapes.
+ *
+ * ```json
+ * // .stylelintrc.json d'une SPA
+ * { "extends": ["@starterlib/eslint-config/stylelint"] }
+ * ```
+ *
+ * - aucune couleur ecrite (hexadecimal, nom, `rgb()`, `hsl()`...) : un jeton `--st-*`, qui suit le
+ *   theme. Une couleur DERIVEE d'un jeton (`rgb(from var(--st-couleur-primaire) r g b / 10%)`) en est
+ *   un usage, pas une invention : elle est admise ;
+ * - aucun `px` NON NUL sur un espacement, une police ou un rayon : les jetons de rythme, de
+ *   typographie et de forme, qui suivent la densite et le zoom du texte. Un `0px` de repli
+ *   (`var(--st-hauteur-entete, 0px)`, `env(safe-area-inset-bottom, 0px)` dans un `calc()`, ou un `0`
+ *   sans unite serait invalide) n'est pas une mesure ;
+ * - aucun `z-index` en nombre : les plans du socle (`--st-plan-*`) ;
+ * - ni `order` ni sens inverse (`row-reverse`, `column-reverse`) : l'ordre du DOM est l'ordre visuel,
+ *   celui de la lecture et de la tabulation.
+ *
+ * Une exception s'ecrit sur place, avec sa raison :
+ * `// stylelint-disable-next-line <regle> -- <raison>`.
+ */
+
+/** Une fonction de couleur qui n'est pas derivee d'un jeton du socle. */
+const COULEUR_ECRITE = '/(^|[^-\\w])(rgba?|hsla?|hwb)\\((?!\\s*from\\s+var\\(--st-)/';
+
+/** Une mesure en pixels non nulle, negative comprise. */
+const PIXELS_NON_NULS = '/(^|[^\\w.])-?(?!0px\\b)(\\d*\\.)?\\d+px\\b/';
+
+export default {
+  rules: {
+    'color-no-hex': true,
+    'color-named': 'never',
+    'declaration-property-value-disallowed-list': {
+      '/.*/': [COULEUR_ECRITE],
+      '/^(margin|padding|gap|row-gap|column-gap|inset)/': [PIXELS_NON_NULS],
+      '/^(font-size|line-height|letter-spacing|word-spacing)$/': [PIXELS_NON_NULS],
+      '/^border(-(start|end)-(start|end)|-(top|bottom)-(left|right))?-radius$/': [PIXELS_NON_NULS],
+      'flex-direction': ['/reverse/'],
+      'flex-flow': ['/reverse/'],
+    },
+    'declaration-property-value-allowed-list': {
+      'z-index': ['/^var\\(--st-/', '/^calc\\(var\\(--st-/', 'auto', '0'],
+    },
+    'property-disallowed-list': ['order'],
+  },
+  overrides: [{ files: ['**/*.scss'], customSyntax: 'postcss-scss' }],
+};