designwithai-mcp 0.14.0 → 0.14.1

package/CHANGELOG.md

@@ -0,0 +1,23 @@
+# Changelog — designwithai-mcp
+
+Les versions antérieures à 0.14.1 sont décrites dans l'historique git du dépôt
+(`git log -- mcp/`). À partir d'ici, chaque version publiée a son entrée, tirée
+des titres de PR (voir `CONTRIBUTING.md`).
+
+## 0.14.1
+
+### Sécurité
+
+- **Le template d'Action `templates/designwithai-status.yml` ne prête plus son
+  shell aux noms de branche** (#2). Il interpolait `${{ github.head_ref }}` dans
+  `run:` avec `contents: write` sur tout le workflow : une PR ouverte depuis une
+  branche au nom piégé pouvait exécuter une commande avec le droit d'écrire dans
+  ton dépôt. Les refs passent désormais par `env:`, chaque job n'a que le droit
+  dont il a besoin, et la version de l'outil est figée.
+
+**Si tu as copié ce fichier dans `.github/workflows/`, remplace-le** par celui de
+cette version. Le copier depuis le paquet ne suffit pas : la copie dans ton dépôt
+ne se met pas à jour toute seule.
+
+Aucun changement de comportement des outils MCP ni de la CLI : le template
+installe toujours `designwithai-mcp@0.14.0`, qui fait exactement le même travail.

package/dist/status-page.js

@@ -72,7 +72,11 @@ const MARQUE = {
  */
 const STYLE = `
 :root{
-  --encre:#17151d; --encre-2:#5b5766; --encre-3:#8b8794;
+  /* L'encre 3 était #8b8794 : 3.17 à 3.51:1 selon la surface, sous le 4.5:1
+     d'AA — et c'est elle qui porte les dates, les numéros et les noms de
+     preuve, c'est-à-dire ce qu'on vient lire. Elle passe au pas 11 de l'échelle
+     mauve, le premier pas que le kit garantit lisible. */
+  --encre:#17151d; --encre-2:#5b5766; --encre-3:#6f6d78;
   --fond:#faf9fb; --carte:#ffffff; --trait:#e7e5ec;
   --coherent:${COULEUR_PILIER["Cohérent"]}; --soigne:${COULEUR_PILIER["Soigné"]}; --solide:${COULEUR_PILIER["Solide"]};
   --l:clamp(320px,92vw,880px);

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "designwithai-mcp",
-  "version": "0.14.0",
+  "version": "0.14.1",
   "type": "module",
   "license": "UNLICENSED",
   "description": "Le serveur designwithai pour ton éditeur : audite ton produit — interface, navigation, performance, sécurité des données, hygiène Figma — trace les corrections, et fait remonter les résultats dans ton tableau de bord.",
@@ -23,7 +23,8 @@
     "templates",
     "skills",
     "handbook-embeddings.json",
-    "README.md"
+    "README.md",
+    "CHANGELOG.md"
   ],
   "scripts": {
     "build": "tsc",

package/templates/designwithai-status.yml

@@ -13,6 +13,12 @@
 # de la base à celui de la branche ; s'il est dans le .gitignore, il n'y a rien
 # à comparer et l'outil le dit au lieu d'inventer un résultat.
 
+# SÉCURITÉ : les noms de branche viennent de l'auteur de la PR. Ils passent
+# par `env:` et sont cités dans le shell, jamais interpolés dans `run:` — une
+# branche nommée `x";curl …|sh;"` resterait une chaîne, pas une commande. Chaque
+# job n'a que le droit dont il a besoin, et la version de l'outil est figée :
+# la mettre à jour est un changement de ce fichier, relu comme les autres.
+
 name: État du produit
 
 on:
@@ -20,31 +26,29 @@ on:
     branches: [main]
   pull_request:
 
-permissions:
-  contents: write
-  pull-requests: write
+permissions: {}
 
 jobs:
-  etat:
+  page:
+    if: github.event_name == 'push'
     runs-on: ubuntu-latest
+    permissions:
+      contents: write
     steps:
       - uses: actions/checkout@v4
-        with:
-          # Le delta a besoin de la base : sans historique, `git show base:` échoue.
-          fetch-depth: 0
 
       - uses: actions/setup-node@v4
         with:
           node-version: 20
 
-      - run: npm install -g designwithai-mcp@^0.13.0
+      - run: npm install -g designwithai-mcp@0.14.0
 
       - name: La page d'état
-        if: github.event_name == 'push'
-        run: designwithai-mcp status-page --product "${{ github.event.repository.name }}"
+        env:
+          PRODUCT: ${{ github.event.repository.name }}
+        run: designwithai-mcp status-page --product "$PRODUCT"
 
       - name: La commiter si elle a bougé
-        if: github.event_name == 'push'
         run: |
           if [ -n "$(git status --porcelain docs/etat-produit)" ]; then
             git config user.name "github-actions[bot]"
@@ -56,16 +60,37 @@ jobs:
             echo "La page n'a pas changé."
           fi
 
+  delta:
+    if: github.event_name == 'pull_request'
+    runs-on: ubuntu-latest
+    permissions:
+      contents: read
+      pull-requests: write
+    steps:
+      - uses: actions/checkout@v4
+        with:
+          # Le delta a besoin de la base : sans historique, `git show base:` échoue.
+          fetch-depth: 0
+          persist-credentials: false
+
+      - uses: actions/setup-node@v4
+        with:
+          node-version: 20
+
+      - run: npm install -g designwithai-mcp@0.14.0
+
       - name: Le delta de la branche
-        if: github.event_name == 'pull_request'
+        env:
+          BASE_REF: ${{ github.base_ref }}
+          HEAD_REF: ${{ github.head_ref }}
         run: |
           designwithai-mcp pr-delta \
-            --base "origin/${{ github.base_ref }}" \
-            --branch "${{ github.head_ref }}" > delta.md
+            --base "origin/$BASE_REF" \
+            --branch "$HEAD_REF" > delta.md
           cat delta.md
 
       - name: Le poster sur la PR
-        if: github.event_name == 'pull_request'
         env:
           GH_TOKEN: ${{ secrets.GITHUB_TOKEN }}
-        run: gh pr comment "${{ github.event.number }}" --body-file delta.md
+          PR_NUMBER: ${{ github.event.number }}
+        run: gh pr comment "$PR_NUMBER" --body-file delta.md