@theoptimalpartner/npm-security-kit 2.0.0-beta.5 → 2.0.0-beta.6

package/CHANGELOG.md

@@ -49,6 +49,8 @@ Sale primero como beta (`2.0.0-beta.N`), con el dist-tag `beta`.
     (`npmSecurityKit.nodeUpgradeDeferredUntil` y `nodeUpgradeReason` en el `package.json`, hasta 183 días): mientras
     está vigente, los errores de la línea de Node y de npm 10 son avisos e `init` no toca `engines`. El kit la sugiere
     cuando el salto es grande.
+- **2.0.0-beta.6:** `init` señala un solo step para el kit: el primero de los PR (si hay varios con `npm ci`, los
+  otros no lo necesitan), o el primero del pipeline si no hay `pull-requests`, con la sugerencia de correrlo en los PR.
 
 ### BREAKING
 

package/README.md

@@ -3,7 +3,7 @@
 Reglas de seguridad de dependencias npm en un solo comando que corre en el pipeline **antes de `npm ci`**. No tiene
 dependencias: `npx` descarga un solo tarball y revisa el lockfile antes de que se ejecute un solo install script.
 
-Los ejemplos usan la versión de este paquete (`2.0.0-beta.5`). Las publicadas, con sus dist-tags:
+Los ejemplos usan la versión de este paquete (`2.0.0-beta.6`). Las publicadas, con sus dist-tags:
 `npm view @theoptimalpartner/npm-security-kit dist-tags`.
 
 ## Qué revisa
@@ -69,7 +69,7 @@ definitions:
           - npm
         script:
           # Antes de instalar: malware, vulnerabilidades, Node, .npmrc, install scripts, Dockerfiles
-          - npx --yes --min-release-age=0 @theoptimalpartner/npm-security-kit@2.0.0-beta.5 check
+          - npx --yes --min-release-age=0 @theoptimalpartner/npm-security-kit@2.0.0-beta.6 check
           - npm ci            # con strict-allow-scripts, los scripts no aprobados cortan acá
           - npm audit signatures
           # … y lo que ya corría el step: build, lint, tests
@@ -89,13 +89,13 @@ pipelines:
 
 - **Antes de `npm ci`:** `npm audit` funciona solo con el lockfile, así que el malware se detecta antes de que
   corra su `postinstall`.
-- **Versión fija** (`@2.0.0-beta.5`): subir la política en un repo es un cambio visible en su PR.
+- **Versión fija** (`@2.0.0-beta.6`): subir la política en un repo es un cambio visible en su PR.
 - **`--min-release-age=0` solo para `npx`:** `npx` no aplica `min-release-age-exclude` (npm 11.19.1 lo aplica al
   instalar, no al resolver el paquete de `npx`). Sin el flag, dentro de un repo con `min-release-age=7` una versión
   nueva del kit no se puede usar hasta cumplir 7 días (`ETARGET … with a date before`). Afecta solo al kit: la
   versión va fija y no tiene dependencias. El `npm ci` que sigue aplica los 7 días como siempre.
 - **`npm audit signatures`** va después de `npm ci` porque necesita `node_modules`.
-- Para guardar el resultado como artefacto: `npx --yes --min-release-age=0 @theoptimalpartner/npm-security-kit@2.0.0-beta.5 check --json > npm-security-kit.json`.
+- Para guardar el resultado como artefacto: `npx --yes --min-release-age=0 @theoptimalpartner/npm-security-kit@2.0.0-beta.6 check --json > npm-security-kit.json`.
 
 ### Dockerfile
 
@@ -119,11 +119,11 @@ marca como error.
 Una vez por repo, en una rama:
 
 ```bash
-npx --yes --min-release-age=0 @theoptimalpartner/npm-security-kit@2.0.0-beta.5 init --dry-run
+npx --yes --min-release-age=0 @theoptimalpartner/npm-security-kit@2.0.0-beta.6 init --dry-run
 ```
 
 ```bash
-npx --yes --min-release-age=0 @theoptimalpartner/npm-security-kit@2.0.0-beta.5 init
+npx --yes --min-release-age=0 @theoptimalpartner/npm-security-kit@2.0.0-beta.6 init
 ```
 
 `init`:
@@ -142,7 +142,7 @@ Después: revisar el diff, aprobar o negar los install scripts, aplicar el step
 ### En local
 
 ```bash
-npx --yes --min-release-age=0 @theoptimalpartner/npm-security-kit@2.0.0-beta.5 check
+npx --yes --min-release-age=0 @theoptimalpartner/npm-security-kit@2.0.0-beta.6 check
 ```
 
 No se instala como devDependency ni usa husky: el `.npmrc` protege el `npm install` local y el pipeline es el

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@theoptimalpartner/npm-security-kit",
-  "version": "2.0.0-beta.5",
+  "version": "2.0.0-beta.6",
   "description": "Revisa el lockfile antes de npm ci: malware, vulnerabilidades, versión de Node, .npmrc, install scripts y Dockerfiles",
   "type": "module",
   "bin": {

package/src/init.js

@@ -129,7 +129,8 @@ function lineProblem(cal, major, policy) {
 }
 
 // Las líneas `- npm ci` del pipeline: las del step que corre en los PR (inline o por ancla) y el resto
-// (deploys, publicación). El kit va en el de los PR. Sin sección pull-requests, todas cuentan como PR.
+// (deploys, publicación). El kit va en el de los PR. Sin sección pull-requests (o sin npm ci en ella),
+// `noPr`: el kit va en el primer step que corre npm ci, y con uno alcanza.
 export function npmCiLines(text) {
   const lines = (text ?? '').split(/\r?\n/);
   const indent = (l) => l.match(/^ */)[0].length;
@@ -145,14 +146,15 @@ export function npmCiLines(text) {
     return out;
   };
   const prStart = lines.findIndex((l) => /^\s+pull-requests:\s*(#.*)?$/.test(l));
-  if (prStart < 0) return { pr: all, others: [] };
+  const first = { pr: all.slice(0, 1), others: all.slice(1), noPr: true };
+  if (prStart < 0) return first;
   const prBlock = blockAfter(prStart);
   const pr = new Set(prBlock.filter((i) => isCi(lines[i])).map((i) => i + 1));
   for (const anchor of new Set(prBlock.flatMap((i) => [...lines[i].matchAll(/\*([\w-]+)/g)].map((m) => m[1])))) {
     const def = lines.findIndex((l) => new RegExp(`&${anchor}(\\s|$)`).test(l));
     if (def >= 0) for (const i of blockAfter(def)) if (isCi(lines[i])) pr.add(i + 1);
   }
-  if (!pr.size) return { pr: all, others: [] };
+  if (!pr.size) return first;
   return { pr: [...pr].sort((a, b) => a - b), others: all.filter((n) => !pr.has(n)) };
 }
 
@@ -345,13 +347,25 @@ export async function runInit(ctx, { dryRun = false, stdout = process.stdout, co
   if (used) {
     say(`  Ya corre el kit (${used[0]}).${used[1] !== ctx.kitVersion ? ` Para esta versión: ${PACKAGE}@${ctx.kitVersion}.` : ''}`);
   } else if (ci.pr.length) {
-    say(`  Agregar al step que corre en los PR (bitbucket-pipelines.yml:${ci.pr.join(', ')}), antes de su npm ci, sin reemplazar el resto del step:`);
+    say(
+      ci.noPr
+        ? `  El pipeline no corre nada en los PR (no hay \`pull-requests\`): agregar el kit en el primer step que corre npm ci (bitbucket-pipelines.yml:${ci.pr[0]}), antes de su npm ci, sin reemplazar el resto del step:`
+        : `  Agregar al step que corre en los PR (bitbucket-pipelines.yml:${ci.pr[0]}), antes de su npm ci, sin reemplazar el resto del step:`,
+    );
     say();
     say(`    - npx --yes --min-release-age=0 ${PACKAGE}@${ctx.kitVersion} check   # antes de npm ci`);
     say('    - npm audit signatures   # después de npm ci');
     say();
+    const lines = (list) => `${list.length === 1 ? 'línea' : 'líneas'} ${list.join(', ')}`;
+    if (!ci.noPr && ci.pr.length > 1) {
+      say(`  Los otros steps de los PR que corren npm ci (${lines(ci.pr.slice(1))}) no lo necesitan: con uno por pipeline alcanza.`);
+    }
     if (ci.others.length) {
-      say(`  Los otros npm ci (líneas ${ci.others.join(', ')}: deploys, publicación) no necesitan el kit: ya pasó en el PR.`);
+      say(
+        ci.noPr
+          ? `  Los otros npm ci (${lines(ci.others)}) no necesitan el kit: con uno por pipeline alcanza.`
+          : `  Los otros npm ci (${lines(ci.others)}: deploys, publicación) no necesitan el kit: ya pasó en el PR.`,
+      );
     }
     if (!deferral && !new RegExp(`node:${image.replace(/\./g, '\\.')}(\\s|$|-)`).test(pipeline)) {
       say(`  Con una imagen que traiga npm >= ${ctx.policy.minNpmVersion} (image: node:${image}).`);
@@ -359,7 +373,12 @@ export async function runInit(ctx, { dryRun = false, stdout = process.stdout, co
     if (!/^\s+ci:\s*(#.*)?$/m.test(pipeline)) {
       say('  Para correrlo a mano ("Run pipeline"), un `custom: ci` con el mismo step (ver el README).');
     }
-    if (!/condition:[\s\S]*BITBUCKET_PR_DESTINATION_BRANCH/.test(pipeline)) {
+    if (ci.noPr) {
+      say(
+        `  Conviene que ese step corra en los PR a las ramas que despliegan${branches.length ? ` (${branches.join(', ')})` : ''}: ` +
+          'una sección `pull-requests` con el step y su condition, como en el ejemplo del README.',
+      );
+    } else if (!/condition:[\s\S]*BITBUCKET_PR_DESTINATION_BRANCH/.test(pipeline)) {
       say(`  Y correrlo solo en los PR a las ramas que despliegan${branches.length ? ` (${branches.join(', ')})` : ''}, con la condition del step:`);
       say();
       say('    condition:');