@zenifra/cli 0.3.0 → 0.3.2

package/README.md

@@ -148,6 +148,10 @@ Fluxos:
 - `zenifra deploy`: dispara o build/deploy GitHub e retorna o `build_id`
 - `zenifra deploy watch`: usa esse `build_id` para acompanhar o build em tempo real e imprimir os logs incrementais ate o fim
 
+Antes de uma mutacao, confirme o perfil, a API e a organizacao ativa. Para criacoes, confirme tambem o catalogo, plano, pagamento, exposicao, dominio, origem do deploy, porta, instancias e ambientes. Depois, leia o projeto de volta e acompanhe o build/deployment ate um estado terminal.
+
+O dominio principal e um dominio personalizado sao campos diferentes. Nao repita o dominio principal em `config.custom_domains`; depois de adicionar um dominio personalizado, valide DNS/TLS e leia a URL final antes de considerar a operacao concluida.
+
 Se voce rodar apenas `zenifra deploy`, a CLI mostra a ajuda especifica do comando com uso, flags, exemplos e exemplo de retorno.
 
 ## Login pelo navegador (OAuth)
@@ -317,9 +321,17 @@ Observacoes do wizard:
 - em projetos de banco, o wizard nao pergunta `username`, `password` nem `database name`
 - em projetos de banco, a CLI preenche apenas campos tecnicos minimos exigidos pela validacao atual da API
 - em projetos Valkey, a capacidade é definida pelo plano e a CLI não pergunta instâncias, imagem, variáveis de ambiente ou exposição HTTP
-- a conexão mascarada pode ser consultada a qualquer momento; a credencial completa aparece apenas na criação ou em uma rotação concluída
+- a conexão mascarada pode ser consultada a qualquer momento; uma rotação concluída pode salvar a conexão utilizável em arquivo privado com `--connection-file <path>`
 - `valkey credentials rotate` retorna uma operação assíncrona; use `--wait` ou `valkey credentials status` para acompanhar
 
+Exemplo de entrega segura para automação local:
+
+```bash
+zenifra valkey credentials rotate --project <project-id> --wait --connection-file /caminho/privado/redis-url.txt --json
+```
+
+O arquivo é criado com permissão privada; a conexão não aparece na saída do comando quando essa opção é usada.
+
 ## Regressao manual de auto-scaling em staging
 
 O teste de staging cria projetos, gera trafego, consulta consumo e remove somente os projetos criados pela propria execucao. Ele exige uma API de teste explicita, rejeita a API de producao e exige habilitacao explicita das mutacoes. O exemplo abaixo usa uma API local de teste.

package/bin/lib/public-ux.mjs

@@ -0,0 +1,40 @@
+import { atomicPrivateWrite } from './profile-store.mjs';
+
+const MASKED_SECRET_PATTERN = /\*{4,}|\[redacted\]|<redacted>/i;
+
+function normalizeDomain(value) {
+  return String(value || '').trim().replace(/\.+$/, '').toLowerCase();
+}
+
+export function normalizeCustomDomains(domains, { primaryDomain } = {}) {
+  if (!Array.isArray(domains)) return [];
+  const normalized = domains.map(normalizeDomain).filter(Boolean);
+  const seen = new Set();
+  for (const domain of normalized) {
+    if (seen.has(domain)) throw new Error(`Duplicate custom domain: ${domain}`);
+    seen.add(domain);
+  }
+  const primary = normalizeDomain(primaryDomain);
+  if (primary && seen.has(primary)) {
+    throw new Error(`Custom domain conflicts with the primary domain: ${primary}`);
+  }
+  return normalized;
+}
+
+export function validateValkeyConnection(value) {
+  const connection = String(value ?? '');
+  if (!connection || connection.trim() === '' || MASKED_SECRET_PATTERN.test(connection)) {
+    throw new Error('The Valkey connection is masked. Rotate credentials and save the one-time connection securely.');
+  }
+  return connection;
+}
+
+export async function writeValkeyConnectionFile(path, value) {
+  const connection = validateValkeyConnection(value);
+  await atomicPrivateWrite(path, connection);
+  return connection;
+}
+
+export function isMaskedSecret(value) {
+  return MASKED_SECRET_PATTERN.test(String(value || ''));
+}

package/bin/zenifra.mjs

@@ -9,6 +9,7 @@ import process from 'node:process';
 import readline from 'node:readline/promises';
 import { oauthLogin, openBrowser, validateOAuthProfile, refreshOAuth, revokeOAuth } from './lib/oauth.mjs';
 import { withProfileLock, atomicPrivateWrite } from './lib/profile-store.mjs';
+import { normalizeCustomDomains, writeValkeyConnectionFile } from './lib/public-ux.mjs';
 
 const DEFAULT_API_BASE_URL = 'https://api.zenifra.com/v1';
 const DOCS_BASE_URL = 'https://docs.zenifra.com/pt';
@@ -35,6 +36,7 @@ const KNOWN_FLAG_NAMES = new Set([
   'build',
   'challengeToken',
   'code',
+  'connectionFile',
   'commitSha',
   'config',
   'count',
@@ -394,18 +396,18 @@ const HELP_SPECS = [
   },
   {
     command: 'valkey credentials rotate',
-    usage: 'zenifra valkey credentials rotate --project <id> [--idempotency-key <key>] [--wait] [--interval <seconds>] [--timeout <seconds>] [--json]',
+    usage: 'zenifra valkey credentials rotate --project <id> [--idempotency-key <key>] [--wait] [--interval <seconds>] [--timeout <seconds>] [--connection-file <path>] [--json]',
     description: 'Solicita a renovacao da credencial e retorna uma operacao acompanhavel.',
-    flags: ['--project <id>          ID do projeto.', '--idempotency-key <key> Chave para repetir a mesma solicitacao.', '--wait                  Aguarda a conclusao.', '--interval <seconds>    Intervalo do polling. Padrao: 2.', '--timeout <seconds>     Timeout total. Padrao: 900.', '--json                  Imprime a resposta em JSON.'],
+    flags: ['--project <id>          ID do projeto.', '--idempotency-key <key> Chave para repetir a mesma solicitacao.', '--wait                  Aguarda a conclusao.', '--interval <seconds>    Intervalo do polling. Padrao: 2.', '--timeout <seconds>     Timeout total. Padrao: 900.', '--connection-file <path> Salva a conexao concluida em arquivo privado.', '--json                  Imprime a resposta em JSON.'],
     examples: ['zenifra valkey credentials rotate --project proj_1', 'zenifra valkey credentials rotate --project proj_1 --wait --timeout 120'],
     output: 'Operacao aceita: rotation_123\nEstado: accepted',
     notes: ['Salve a nova string de conexao quando a operacao atingir completed.'],
   },
   {
     command: 'valkey credentials status',
-    usage: 'zenifra valkey credentials status --project <id> --operation <id> [--json]',
+    usage: 'zenifra valkey credentials status --project <id> --operation <id> [--connection-file <path>] [--json]',
     description: 'Consulta o estado de uma renovacao de credencial Valkey.',
-    flags: ['--project <id>     ID do projeto.', '--operation <id>   ID da operacao.', '--json             Imprime a resposta em JSON.'],
+    flags: ['--project <id>     ID do projeto.', '--operation <id>   ID da operacao.', '--connection-file <path> Salva a conexao concluida em arquivo privado.', '--json             Imprime a resposta em JSON.'],
     examples: ['zenifra valkey credentials status --project proj_1 --operation rotation_123'],
     output: 'Operacao: rotation_123\nEstado: completed',
   },
@@ -1811,6 +1813,18 @@ function envsForOutput(envs, { showValues = false } = {}) {
   }));
 }
 
+const PROJECT_INFO_SECRET_FIELD = /(?:^|_)(?:api_?key|access_?token|refresh_?token|secret|password|credential|connection_string|private_?jwk)(?:$|_)/i;
+
+function projectInfoForOutput(value, key = '') {
+  if (key === 'envs' && Array.isArray(value)) return envsForOutput(value);
+  if (Array.isArray(value)) return value.map((item) => projectInfoForOutput(item, key));
+  if (!value || typeof value !== 'object') return PROJECT_INFO_SECRET_FIELD.test(key) ? maskEnvValue(value) : value;
+  return Object.fromEntries(Object.entries(value).map(([entryKey, entryValue]) => [
+    entryKey,
+    PROJECT_INFO_SECRET_FIELD.test(entryKey) ? maskEnvValue(entryValue) : projectInfoForOutput(entryValue, entryKey),
+  ]));
+}
+
 function formatPublicUrl(value) {
   const raw = String(value || '').trim();
   if (!raw) return '';
@@ -3491,6 +3505,9 @@ async function handleProjectCreate(session, flags) {
   const plan = wizardPayload?.plan || flags.plan || await prompt('Plano');
   const paymentMode = wizardPayload?.payment_mode || flags.paymentMode || await prompt('Modo de pagamento');
   const config = wizardPayload?.config || await parseConfig(flags.config || await prompt('Config JSON ou @arquivo'));
+  if (Array.isArray(config?.custom_domains)) {
+    config.custom_domains = normalizeCustomDomains(config.custom_domains, { primaryDomain: config.domain });
+  }
   const typeProject = normalizeTypeProject(config?.type_project);
   const valkeyCatalog = typeProject === 'valkey'
     ? requireValkeyCatalog(unwrapData(await request(session, flags, 'GET', '/managed-services/catalog')))
@@ -3554,7 +3571,7 @@ async function handleProjectInfo(session, flags) {
   const orgId = await resolveOrgId(session, flags);
   const project = await getProject(session, flags, projectId, orgId);
 
-  if (flags.json) return printJson(project);
+  if (flags.json) return printJson(projectInfoForOutput(project));
   printProject({ ...project, id: projectId });
 }
 
@@ -4227,6 +4244,17 @@ async function handleValkeyCredentialStatus(session, flags) {
     `/managed-services/${projectId}/credential-rotations/${flags.operation}`,
     { orgId },
   ));
+  if (flags.connectionFile) {
+    await writeValkeyConnectionFile(String(flags.connectionFile), data.connection_string);
+    if (flags.json) return printJson({
+      operation_id: data.operation_id,
+      state: data.state,
+      connection_saved: true,
+      connection_file: String(flags.connectionFile),
+    });
+    process.stdout.write(`Credencial concluida e salva em ${flags.connectionFile}.\n`);
+    return;
+  }
   if (flags.json) return printJson(data);
   printValkeyRotation(data);
 }
@@ -4249,6 +4277,17 @@ async function handleValkeyCredentialRotate(session, flags) {
 
   if (flags.wait) {
     const completed = await waitForValkeyRotation(session, flags, projectId, accepted.operation_id, orgId);
+    if (flags.connectionFile) {
+      await writeValkeyConnectionFile(String(flags.connectionFile), completed.connection_string);
+      if (flags.json) return printJson({
+        operation_id: completed.operation_id,
+        state: completed.state,
+        connection_saved: true,
+        connection_file: String(flags.connectionFile),
+      });
+      process.stdout.write(`Credencial concluida e salva em ${flags.connectionFile}.\n`);
+      return;
+    }
     if (flags.json) return printJson(completed);
     printValkeyRotation(completed);
     return;

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@zenifra/cli",
-  "version": "0.3.0",
+  "version": "0.3.2",
   "description": "Official Zenifra command line interface.",
   "type": "module",
   "license": "MIT",