@theoptimalpartner/npm-security-kit 2.0.0-beta.0 → 2.0.0-beta.2

package/CHANGELOG.md

@@ -6,7 +6,11 @@ Cambios del paquete `@theoptimalpartner/npm-security-kit`. Formato basado en
 ## [2.0.0] - sin publicar
 
 Reescritura completa. La v2 es una CLI de Node sin dependencias que corre en el pipeline **antes de `npm ci`**.
-Sale primero como `2.0.0-beta.0`, con el dist-tag `beta`.
+Sale primero como beta (`2.0.0-beta.N`), con el dist-tag `beta`. Desde la `2.0.0-beta.1`, el step del pipeline y
+`init` usan `npx --yes --min-release-age=0`: `npx` no aplica `min-release-age-exclude` y, sin el flag, una versión
+nueva del kit no se puede usar hasta cumplir 7 días. Desde la `2.0.0-beta.2`, `init` propone el Node que ya usa el
+repo si es una LTS con soporte (la imagen del step de ejemplo y, si falta, `engines.node`), en vez de la LTS más
+nueva: un `engines.node` más alto que el Node del repo rompe su `npm ci` con `engine-strict`.
 
 ### BREAKING
 
@@ -37,7 +41,7 @@ Sale primero como `2.0.0-beta.0`, con el dist-tag `beta`.
    `scripts/security-check.sh`, `.husky/` (y el `"prepare": "husky install"`), los scripts `security:*` del
    `package.json` y el `SECURITY.md` generado.
 2. Si la v1 reemplazó el `bitbucket-pipelines.yml`, recuperar el del repo desde git.
-3. Correr `npx --yes @theoptimalpartner/npm-security-kit@2.0.0 init` y seguir los pasos que imprime (README).
+3. Correr `npx --yes --min-release-age=0 @theoptimalpartner/npm-security-kit@2.0.0 init` y seguir los pasos que imprime (README).
 
 ## [1.0.2] y anteriores
 

package/README.md

@@ -57,7 +57,7 @@ definitions:
           - npm
         script:
           # Antes de instalar: malware, vulnerabilidades, Node, .npmrc, install scripts, Dockerfiles
-          - npx --yes @theoptimalpartner/npm-security-kit@2.0.0 check
+          - npx --yes --min-release-age=0 @theoptimalpartner/npm-security-kit@2.0.0 check
           - npm ci            # con strict-allow-scripts, los scripts no aprobados cortan acá
           - npm audit signatures
           - npm run build
@@ -73,10 +73,13 @@ pipelines:
 
 - **Antes de `npm ci`:** `npm audit` funciona solo con el lockfile, así que el malware se detecta antes de que
   corra su `postinstall`.
-- **Versión fija** (`@2.0.0`): subir la política en un repo es un cambio visible en su PR. El scope
-  `@theoptimalpartner/*` está excluido de `min-release-age`, así que un parche del kit se puede usar el mismo día.
+- **Versión fija** (`@2.0.0`): subir la política en un repo es un cambio visible en su PR.
+- **`--min-release-age=0` solo para `npx`:** `npx` no aplica `min-release-age-exclude` (npm 11.19.1 lo aplica al
+  instalar, no al resolver el paquete de `npx`). Sin el flag, dentro de un repo con `min-release-age=7` una versión
+  nueva del kit no se puede usar hasta cumplir 7 días (`ETARGET … with a date before`). Afecta solo al kit: la
+  versión va fija y no tiene dependencias. El `npm ci` que sigue aplica los 7 días como siempre.
 - **`npm audit signatures`** va después de `npm ci` porque necesita `node_modules`.
-- Para guardar el resultado como artefacto: `npx --yes @theoptimalpartner/npm-security-kit@2.0.0 check --json > npm-security-kit.json`.
+- Para guardar el resultado como artefacto: `npx --yes --min-release-age=0 @theoptimalpartner/npm-security-kit@2.0.0 check --json > npm-security-kit.json`.
 
 ### Dockerfile
 
@@ -95,11 +98,11 @@ Si el `.dockerignore` excluye el `.npmrc` (por ejemplo con `.*`), agregar `!.npm
 Una vez por repo, en una rama:
 
 ```bash
-npx --yes @theoptimalpartner/npm-security-kit@2.0.0 init --dry-run
+npx --yes --min-release-age=0 @theoptimalpartner/npm-security-kit@2.0.0 init --dry-run
 ```
 
 ```bash
-npx --yes @theoptimalpartner/npm-security-kit@2.0.0 init
+npx --yes --min-release-age=0 @theoptimalpartner/npm-security-kit@2.0.0 init
 ```
 
 `init`:
@@ -116,7 +119,7 @@ Después: revisar el diff, aprobar o negar los install scripts, aplicar el step
 ### En local
 
 ```bash
-npx --yes @theoptimalpartner/npm-security-kit@2.0.0 check
+npx --yes --min-release-age=0 @theoptimalpartner/npm-security-kit@2.0.0 check
 ```
 
 No se instala como devDependency ni usa husky: el `.npmrc` protege el `npm install` local y el pipeline es el

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@theoptimalpartner/npm-security-kit",
-  "version": "2.0.0-beta.0",
+  "version": "2.0.0-beta.2",
   "description": "Revisa el lockfile antes de npm ci: malware, vulnerabilidades, versión de Node, .npmrc, install scripts y Dockerfiles",
   "type": "module",
   "bin": {

package/src/init.js

@@ -77,6 +77,27 @@ export function mergePackageJson(text, policy, nodeMajor) {
   return { text: finalNewline ? `${out}${eol}` : out, changes };
 }
 
+// El Node que init propone (engines.node y la imagen del step de ejemplo): el que ya usa el repo si es
+// de una LTS con soporte, para que adoptar el kit no obligue a cambiar de Node. engines.node toma la
+// línea más baja en uso (con engine-strict, un ">=" más alto rompe el npm ci de esa línea), y la imagen,
+// la versión exacta del pipeline. Sin eso, la release LTS recomendada.
+export function repoNode(ctx, cal) {
+  const recommended = cal.recommended ?? null;
+  let major = null;
+  let image = null;
+  for (const pin of nodeVersionCheck.findPins(ctx)) {
+    const r = nodeVersionCheck.resolvePin(pin, cal);
+    if (r.major === undefined || r.major === null || r.latest) continue;
+    if (!['active', 'maintenance'].includes(cal.phaseOf(r.major))) continue;
+    if (major === null || r.major < major) major = r.major;
+    if (!image && pin.file === 'bitbucket-pipelines.yml' && pin.kind === 'docker' && r.exact) image = r.exact;
+  }
+  return {
+    major: major ?? (recommended ? parseVersion(recommended)[0] : null),
+    image: image ?? recommended,
+  };
+}
+
 export function pipelineStep(kitVersion, nodeVersion) {
   return `- step: &test
     name: Test (supply chain + build)
@@ -85,7 +106,7 @@ export function pipelineStep(kitVersion, nodeVersion) {
       - npm
     script:
       # Antes de instalar: malware, vulnerabilidades, Node, .npmrc, install scripts, Dockerfiles
-      - npx --yes ${PACKAGE}@${kitVersion} check
+      - npx --yes --min-release-age=0 ${PACKAGE}@${kitVersion} check
       - npm ci
       - npm audit signatures
       - npm run build
@@ -147,15 +168,14 @@ export async function runInit(ctx, { dryRun = false, stdout = process.stdout, co
   } catch (error) {
     cal = { error };
   }
-  const nodeVersion = cal.recommended;
-  const nodeMajor = nodeVersion ? parseVersion(nodeVersion)[0] : null;
+  const node = cal.error ? { major: null, image: null } : repoNode(ctx, cal);
 
   say(paint(2, `npm-security-kit ${ctx.kitVersion} · init${dryRun ? ' --dry-run' : ''} · ${ctx.dir}`));
 
   // 1. .npmrc y package.json
   const npmrcBefore = ctx.readFile('.npmrc');
   const npmrc = mergeNpmrc(npmrcBefore, ctx.policy);
-  const pkg = mergePackageJson(pkgText, ctx.policy, nodeMajor);
+  const pkg = mergePackageJson(pkgText, ctx.policy, node.major);
   if (npmrc.changes.length) files['.npmrc'] = npmrc.text;
   if (pkg.changes.length) files['package.json'] = pkg.text;
 
@@ -207,7 +227,7 @@ export async function runInit(ctx, { dryRun = false, stdout = process.stdout, co
   } else {
     say(`  ${pipeline === null ? 'No hay bitbucket-pipelines.yml. ' : ''}Agregar el kit en el step de test, ANTES de npm ci, y correrlo solo en los PR a ramas que despliegan:`);
     say();
-    for (const line of pipelineStep(ctx.kitVersion, nodeVersion ?? '<versión LTS>').split('\n')) say(`    ${line}`);
+    for (const line of pipelineStep(ctx.kitVersion, node.image ?? '<versión LTS>').split('\n')) say(`    ${line}`);
   }
 
   // 4. Dockerfiles (no se editan)
@@ -227,7 +247,7 @@ export async function runInit(ctx, { dryRun = false, stdout = process.stdout, co
     dryRun ? 'Correr init sin --dry-run.' : 'Revisar el diff: git diff .npmrc package.json',
     'Aprobar o negar los install scripts pendientes.',
     'Agregar el step al pipeline y corregir los Dockerfiles.',
-    `Correr el chequeo completo: npx --yes ${PACKAGE}@${ctx.kitVersion} check`,
+    `Correr el chequeo completo: npx --yes --min-release-age=0 ${PACKAGE}@${ctx.kitVersion} check`,
   ];
   steps.forEach((s, i) => say(`  ${i + 1}. ${s}`));