@theoptimalpartner/npm-security-kit 2.0.0-beta.1 → 2.0.0-beta.2

package/CHANGELOG.md

@@ -8,7 +8,9 @@ Cambios del paquete `@theoptimalpartner/npm-security-kit`. Formato basado en
 Reescritura completa. La v2 es una CLI de Node sin dependencias que corre en el pipeline **antes de `npm ci`**.
 Sale primero como beta (`2.0.0-beta.N`), con el dist-tag `beta`. Desde la `2.0.0-beta.1`, el step del pipeline y
 `init` usan `npx --yes --min-release-age=0`: `npx` no aplica `min-release-age-exclude` y, sin el flag, una versión
-nueva del kit no se puede usar hasta cumplir 7 días.
+nueva del kit no se puede usar hasta cumplir 7 días. Desde la `2.0.0-beta.2`, `init` propone el Node que ya usa el
+repo si es una LTS con soporte (la imagen del step de ejemplo y, si falta, `engines.node`), en vez de la LTS más
+nueva: un `engines.node` más alto que el Node del repo rompe su `npm ci` con `engine-strict`.
 
 ### BREAKING
 

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@theoptimalpartner/npm-security-kit",
-  "version": "2.0.0-beta.1",
+  "version": "2.0.0-beta.2",
   "description": "Revisa el lockfile antes de npm ci: malware, vulnerabilidades, versión de Node, .npmrc, install scripts y Dockerfiles",
   "type": "module",
   "bin": {

package/src/init.js

@@ -77,6 +77,27 @@ export function mergePackageJson(text, policy, nodeMajor) {
   return { text: finalNewline ? `${out}${eol}` : out, changes };
 }
 
+// El Node que init propone (engines.node y la imagen del step de ejemplo): el que ya usa el repo si es
+// de una LTS con soporte, para que adoptar el kit no obligue a cambiar de Node. engines.node toma la
+// línea más baja en uso (con engine-strict, un ">=" más alto rompe el npm ci de esa línea), y la imagen,
+// la versión exacta del pipeline. Sin eso, la release LTS recomendada.
+export function repoNode(ctx, cal) {
+  const recommended = cal.recommended ?? null;
+  let major = null;
+  let image = null;
+  for (const pin of nodeVersionCheck.findPins(ctx)) {
+    const r = nodeVersionCheck.resolvePin(pin, cal);
+    if (r.major === undefined || r.major === null || r.latest) continue;
+    if (!['active', 'maintenance'].includes(cal.phaseOf(r.major))) continue;
+    if (major === null || r.major < major) major = r.major;
+    if (!image && pin.file === 'bitbucket-pipelines.yml' && pin.kind === 'docker' && r.exact) image = r.exact;
+  }
+  return {
+    major: major ?? (recommended ? parseVersion(recommended)[0] : null),
+    image: image ?? recommended,
+  };
+}
+
 export function pipelineStep(kitVersion, nodeVersion) {
   return `- step: &test
     name: Test (supply chain + build)
@@ -147,15 +168,14 @@ export async function runInit(ctx, { dryRun = false, stdout = process.stdout, co
   } catch (error) {
     cal = { error };
   }
-  const nodeVersion = cal.recommended;
-  const nodeMajor = nodeVersion ? parseVersion(nodeVersion)[0] : null;
+  const node = cal.error ? { major: null, image: null } : repoNode(ctx, cal);
 
   say(paint(2, `npm-security-kit ${ctx.kitVersion} · init${dryRun ? ' --dry-run' : ''} · ${ctx.dir}`));
 
   // 1. .npmrc y package.json
   const npmrcBefore = ctx.readFile('.npmrc');
   const npmrc = mergeNpmrc(npmrcBefore, ctx.policy);
-  const pkg = mergePackageJson(pkgText, ctx.policy, nodeMajor);
+  const pkg = mergePackageJson(pkgText, ctx.policy, node.major);
   if (npmrc.changes.length) files['.npmrc'] = npmrc.text;
   if (pkg.changes.length) files['package.json'] = pkg.text;
 
@@ -207,7 +227,7 @@ export async function runInit(ctx, { dryRun = false, stdout = process.stdout, co
   } else {
     say(`  ${pipeline === null ? 'No hay bitbucket-pipelines.yml. ' : ''}Agregar el kit en el step de test, ANTES de npm ci, y correrlo solo en los PR a ramas que despliegan:`);
     say();
-    for (const line of pipelineStep(ctx.kitVersion, nodeVersion ?? '<versión LTS>').split('\n')) say(`    ${line}`);
+    for (const line of pipelineStep(ctx.kitVersion, node.image ?? '<versión LTS>').split('\n')) say(`    ${line}`);
   }
 
   // 4. Dockerfiles (no se editan)