cuonztech-privacy-chaos-gate 0.2.1 → 0.2.2

package/README.md

@@ -210,7 +210,7 @@ Erwartet: Gate **BLOCKED**, Szenarien «auffällig» — exakt dieselben Zahlen
 ## GitHub Action
 
 ```yaml
-- uses: cuonztech/privacy-chaos-gate@v1
+- uses: cuonztech/privacy-chaos-gate-action@v1
   id: cpcg
   with:
     staging-url: ${{ vars.STAGING_URL }}
@@ -221,8 +221,7 @@ Erwartet: Gate **BLOCKED**, Szenarien «auffällig» — exakt dieselben Zahlen
 
 Die Action installiert das veröffentlichte Paket `cuonztech-privacy-chaos-gate` in der Version, die in `action.yml`
 fest eingetragen ist (`npm install --ignore-scripts`, ohne Secrets in der Umgebung dieses Schritts), samt dem passenden
-Chromium (`playwright install --with-deps chromium`). Nur wenn im Action-Pfad ein eigener Build (`dist/cli.js`) liegt,
-etwa im CI dieses Repos, wird dieser verwendet. Kennt die installierte CLI eine angeforderte Option nicht, gibt die Action
+Chromium (`playwright install --with-deps chromium`). Kennt die installierte CLI eine angeforderte Option nicht, gibt die Action
 eine Warnung aus, statt sie still wegzulassen.
 
 Scan und Konsolen-Gate laufen ohne Lizenz. `report-pdf`, `client-name`, `git-commit` und `create-pr` brauchen eine gültige Lizenz;
@@ -238,6 +237,8 @@ ohne sie werden sie mit Hinweis übersprungen.
 | `ignore` | leer | Befunde ausnehmen (Tracker-Name oder Host-Muster, eine Angabe je Zeile oder kommagetrennt) |
 | `accept-selector`, `reject-selector`, `settings-selector` | leer | Eigene CSS-Selektoren der Banner-Buttons (eine Angabe je Zeile) |
 | `banner-frame` | leer | Teil der URL des iframes mit dem Banner |
+| `max-subpages` | leer (CLI: 12) | Höchstzahl verlinkter Unterseiten, die auf Tracker geprüft werden (max. 40; mehr dauert länger) |
+| `banner-wait` | leer (CLI-Standard) | Sekunden, die auf ein spät erscheinendes Banner gewartet wird (1–60) |
 | `auto-fix` | `false` | Patches auf dem Runner erzeugen und anwenden; ein Gate ändert Dateien nicht stillschweigend |
 | `create-pr` | `false` | Fix als Pull Request öffnen (braucht `auto-fix: true`, `github-token` und eine Lizenz) |
 | `github-token` | leer | Token für `create-pr` (`contents: write`, `pull-requests: write`) |
@@ -248,8 +249,6 @@ ohne sie werden sie mit Hinweis übersprungen.
 | `jurisdiction` | `CH` | Rechtsraum |
 | `llm-remediation`, `api-key`, `llm-provider`, `llm-model` | `false`, leer, `openai`, `gpt-4o` | Optional: LLM-gestützte Patches. Nur OpenAI ist umgesetzt; der Quellcode wird dann an den Anbieter gesendet; ohne `llm-remediation: true` wirkt der Key nicht |
 
-`--max-subpages` und `--banner-wait` sind noch keine Inputs der Action. Bis dahin lassen sie sich im Job über `env:` setzen (`CPCG_MAX_SUBPAGES`, `CPCG_BANNER_WAIT`); als Inputs wären die Namen `max-subpages` und `banner-wait` (Werte wie beim CLI) vorgesehen.
-
 Beispiel mit Pull Request als Ergebnis:
 
 ```yaml
@@ -258,7 +257,7 @@ permissions:
   pull-requests: write
 steps:
   - uses: actions/checkout@v4
-  - uses: cuonztech/privacy-chaos-gate@v1
+  - uses: cuonztech/privacy-chaos-gate-action@v1
     with:
       staging-url: ${{ vars.STAGING_URL }}
       license: ${{ secrets.CPCG_LICENSE }}
@@ -273,7 +272,13 @@ Beispiel: `if: steps.cpcg.outputs.gate_state == 'blocked'`.
 
 ## Jurisdiktion
 
-`--jurisdiction CH|EU|UK|US-CA|BR|ROW` — gleicher Befund, unterschiedliche Einordnung:
+`--jurisdiction CH|EU|UK|US-CA|BR|ROW` — gleicher Befund, unterschiedliche Einordnung.
+
+> **Wichtig:** Das Gate selbst prüft in jedem Rechtsraum nach der strengen **Opt-in-Linie (EU)**: Jeder nicht-essenzielle
+> Tracker vor einer Einwilligung blockiert (Exit 1). Das Profil ändert nur Schweregrad und Begleittext im Bericht, nicht das
+> Ergebnis. Für eine reine Schweizer Seite mit Opt-out-Modell ist das Gate damit strenger als das Recht; ein «BLOCKED» ist
+> dort nicht automatisch ein Rechtsverstoss. Eine Bewertung nach Rechtsraum (CH und US-CA als Opt-out) ist für 0.3 geplant.
+
 
 - **EU:** Opt-In-Pflicht für nicht-essenzielle Tracker. Ein beobachteter Request ist ein
   schwerwiegender Hinweis — die Einstufung als Verstoß erfordert die Prüfung von Zweck,

package/action.yml

@@ -139,7 +139,7 @@ runs:
   using: "composite"
   steps:
     - name: Setup Node.js
-      uses: actions/setup-node@v4
+      uses: actions/setup-node@49933ea5288caeca8642d1e84afbd3f7d6820020 # v4
       with:
         node-version: "20"
 
@@ -149,7 +149,7 @@ runs:
       shell: bash
       env:
         ACTION_PATH: ${{ github.action_path }}
-        CPCG_PINNED_VERSION: "0.2.1" # = package.json version; bei jedem Release mit anheben (tests/action-pin.test.ts prüft das)
+        CPCG_PINNED_VERSION: "0.2.2" # = package.json version; bei jedem Release mit anheben (tests/action-pin.test.ts prüft das)
       run: |
         set -euo pipefail
 

package/dist/{chunk-WOGRBCGS.js → chunk-42D7PLVP.js}

@@ -4257,6 +4257,16 @@ var ChaosScanner = class {
       });
     }
   }
+  /** Seite, auf der ein Request ausgelöst wurde (für Befunde auf Unterseiten); leer, wenn nicht ermittelbar. */
+  pageHint(req) {
+    try {
+      const u = new URL(req.frame()?.url() ?? "");
+      if (u.protocol !== "http:" && u.protocol !== "https:") return "";
+      return ` (Seite: ${u.pathname}${u.search ? "?\u2026" : ""})`;
+    } catch {
+      return "";
+    }
+  }
   /**
    * Unterseiten & SPA: echte, auf der Startseite verlinkte Same-Origin-Pfade (HTTP-Status geprüft)
    * als Direkteinstieg, danach clientseitige Navigation (Link-Klick ohne Dokument-Reload,
@@ -4285,7 +4295,7 @@ var ChaosScanner = class {
           requestUrl: req.url(),
           method: req.method(),
           timestamp: (/* @__PURE__ */ new Date()).toISOString(),
-          description: `${hit.name} feuert auf Unterseite/SPA-Navigation ohne Consent.`
+          description: `${hit.name} feuert auf Unterseite/SPA-Navigation ohne Consent${this.pageHint(req)}.`
         });
       }
     });
@@ -7054,7 +7064,7 @@ function buildEvidenceMarkdown(report, title = "Evidence Report", options = {})
     if (!e.screenshots?.length && !e.screenshotPath) continue;
     lines.push(`### ${escapeMarkdownText(e.scenario)}`, "");
     for (const s of e.screenshots ?? []) {
-      lines.push(`- **${escapeMarkdownText(s.label)}** (${escapeMarkdownText(s.at)}): \`evidence/${escapeCell(path5.basename(s.path))}\``);
+      lines.push(`- **${escapeMarkdownText(s.label)}** (${escapeMarkdownText(s.at)}): \`evidence/${escapeCell(path5.win32.basename(s.path))}\``);
     }
     if (e.storageAfter?.cookies?.length) {
       lines.push(`- Cookies nachher: ${escapeMarkdownText(e.storageAfter.cookies.slice(0, 8).join(", "))}`);
@@ -7226,7 +7236,7 @@ function buildEvidenceHtml(report, title = "Evidence Report", options = {}) {
     const shots = e.screenshots ?? (e.screenshotPath ? [{ label: "Screenshot", path: e.screenshotPath, at: e.checkedAt }] : []);
     const gallery = shots.length ? `<div class="shots">${shots.map((s) => {
       const src = shotSrc(s.path, options.shotSources);
-      const media = src ? `<img class="shot" src="${src}" alt="${esc2(s.label)}" loading="lazy">` : `<code class="shot-path">evidence/${esc2(path5.basename(s.path))}</code>`;
+      const media = src ? `<img class="shot" src="${src}" alt="${esc2(s.label)}" loading="lazy">` : `<code class="shot-path">evidence/${esc2(path5.win32.basename(s.path))}</code>`;
       return `<figure>
                 <figcaption><span class="shot-label">${esc2(s.label)}</span>
                 <span class="ts">${esc2(fmtTime(s.at))}</span></figcaption>

package/dist/cli.js

@@ -11,12 +11,12 @@ import {
   resolveEntitlement,
   resolveGateConfig,
   resolveJurisdiction
-} from "./chunk-WOGRBCGS.js";
+} from "./chunk-42D7PLVP.js";
 
 // src/cli.ts
 import { Command, CommanderError } from "commander";
 import pc from "picocolors";
-var VERSION = true ? "0.2.1" : "dev";
+var VERSION = true ? "0.2.2" : "dev";
 loadProjectEnv();
 function finish(code) {
   process.exitCode = code;

package/dist/index.d.ts

@@ -1829,6 +1829,8 @@ declare class ChaosScanner implements ChaosScannerInterface {
      * dann «not-checkable» statt «passed».
      */
     private runCmpFailureScenario;
+    /** Seite, auf der ein Request ausgelöst wurde (für Befunde auf Unterseiten); leer, wenn nicht ermittelbar. */
+    private pageHint;
     /**
      * Unterseiten & SPA: echte, auf der Startseite verlinkte Same-Origin-Pfade (HTTP-Status geprüft)
      * als Direkteinstieg, danach clientseitige Navigation (Link-Klick ohne Dokument-Reload,

package/dist/index.js

@@ -46,7 +46,7 @@ import {
   resolveReportGate,
   statusLabelOf,
   uncheckableReasons
-} from "./chunk-WOGRBCGS.js";
+} from "./chunk-42D7PLVP.js";
 
 // src/index.ts
 async function runGate(optionsOrConfig) {

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "cuonztech-privacy-chaos-gate",
-  "version": "0.2.1",
+  "version": "0.2.2",
   "description": "CuonzTech Privacy Chaos Gate — CI/CD Consent-Scanner, Chaos-Szenarien und Auto-Fix-PR",
   "main": "dist/index.js",
   "types": "dist/index.d.ts",