discovery-media-player 0.1.0 → 0.1.2

package/CONTRAT.md

@@ -271,6 +271,47 @@ d'environnement), et ce qui reste est du branchement. Un câblage qu'on ne pourr
 un câblage qui contient quelque chose qui n'a rien à y faire. *(Ce n'est pas un avis juridique :
 c'est la posture retenue, et elle est sûre dans les deux cas.)*
 
+### Les deux routes que le player appelle chez l'hôte
+
+⚠️ **Ces formats sont le contrat, pas une suggestion.** Ils manquaient à ce document : un hôte a
+écrit ses deux routes sur la *description* de `canManageShares`, ce qui donnait une intention juste
+et une forme fausse. Et le pire : **deux des trois écarts étaient silencieux** — une réponse d'une
+autre forme est lue comme un refus. Personne n'aurait pu diffuser un document, sans erreur nulle
+part, indiscernable d'un droit correctement refusé. On aurait cherché dans les rôles.
+
+Les deux routes sont appelées en **POST JSON, serveur à serveur**, avec le secret partagé dans
+l'en-tête `x-player-fetch-secret` (jamais en query). Délai : **4 secondes** — une décision qui tarde
+est une décision absente.
+
+**`PLAYER_HOST_AUTHZ_URL` — qui a le droit de diffuser**
+
+```
+→  { "email": "…", "role": "…", "action": "create|list|list.all|revoke|setauth|overview|sessions|test" }
+←  { "allowed": true }            // booléen STRICT ; tout le reste vaut refus
+```
+
+- **`email` est l'identité qui fait foi.** `role` est celui lu dans le jeton de session
+  (`app_metadata.role`) : un hôte dont les rôles vivent en base l'ignore et interroge la sienne à
+  partir de l'email. C'est un cas prévu, pas une entorse.
+- **Le jeton est déjà vérifié** par le player avant l'appel. La route n'a pas à le revalider — elle
+  ne le reçoit d'ailleurs pas.
+- **Seul `allowed` est lu**, et il doit être un booléen. `{ "canManageShares": true }` ou
+  `{ "allowed": "yes" }` valent refus. Le player le signale désormais dans son journal.
+
+**`PLAYER_HOST_BRAND_URL` — la marque d'un client**
+
+```
+→  { "key": "…" }                                  // la référence portée par le lien
+←  { "logo": "https://…", "name": "…", "dark": false }   ou   {} / null si inconnue
+```
+
+Une clé inconnue n'est pas une erreur : le lien retombe sur la marque de l'instance.
+
+**Une panne n'est plus muette.** Hôte injoignable, délai dépassé, réponse non-JSON, `allowed`
+d'un autre type : le player reste **fail-closed** (personne ne diffuse) mais l'écrit dans son
+journal, avec la cause. Sans ça, « ma route répond mal » et « le droit est refusé » se
+ressemblaient exactement.
+
 ### Le câblage d'une instance — à qui il appartient
 
 Une instance autonome, c'est **un petit dépôt qui appartient à l'hôte**, pas un dépôt généré par le
@@ -467,6 +508,10 @@ Toute évolution de la frontière se note ici, datée, avec sa nature.
 | 2026-08-13 | additif | **« L'hôte sert le fichier »** : la garde de streaming accepte une route de l'hôte comme origine, appelée serveur à serveur via `PLAYER_HOST_FETCH_SECRET`. Rendu nécessaire par ADV, dont les documents vivent sur un serveur de fichiers tiers derrière une clé d'API. Le studio n'est pas concerné (Storage direct) — **additif, aucune rupture**. |
 | 2026-08-13 | additif | **`embed-denied`** ajouté au pont : un refus d'afficher se dit, au lieu de se confondre avec une panne. Les pages de refus deviennent encadrables en mode intégré (sinon le message ne partirait pas). **Additif** — un hôte qui l'ignore garde le comportement d'avant. |
 | 2026-08-13 | correctif | **Taille annoncée** : les trois routes de streaming passent par `relayerFichier()`, qui envoie la taille des octets servis et jamais celle reçue de l'amont, demande `Accept-Encoding: identity` et refuse un `206` compressé. Corrige un PDF tronqué silencieux. |
+| 2026-08-13 | précision | **Le format d'appel des deux routes de l'hôte** (`PLAYER_HOST_AUTHZ_URL`, `PLAYER_HOST_BRAND_URL`) est enfin écrit. Il manquait : un hôte a écrit ses routes sur la description de `canManageShares` — intention juste, forme fausse, et **deux écarts sur trois étaient silencieux** (réponse lue comme un refus). |
+| 2026-08-13 | additif | **Une panne de route d'hôte se distingue d'un refus** : injoignable, délai dépassé, réponse non-JSON ou `allowed` d'un autre type sont journalisés avec leur cause. Le player reste fail-closed. |
+| 2026-08-13 | correctif | **Objet littéral utilisé comme table de correspondance** : `ATT_KINDS["constructor"]` rendait une fonction, donc une valeur vraie — la liste blanche des types de pièce jointe était contournable depuis une action publique. Même forme cinq fois dans le greffon de langue. Tout passe par `Object.hasOwn`, un test statique interdit le retour en arrière. Trouvé chez nous après signalement d'un hôte qui l'avait chez lui. |
+| 2026-08-13 | correctif | **Le chat passe en diffusion** : ses messages arrivaient par lecture de table en temps réel, ce qui exposait les conversations de TOUTES les présentations à qui détient la clé publiable. Dernier usage qui l'exigeait — `v12420` devient applicable. Les mutations renvoient la ligne écrite, **projetée sur une liste blanche** : `author_hash` (le jeton qui autorise à éditer et supprimer) ne sort jamais. |
 | 2026-08-13 | correctif | **Tous les chemins de refus** émettent `embed-denied`, pas seulement celui du lien tracé : l'aperçu interne (`url-not-allowed`) et la page d'audience (`ended`) se taisaient — or l'aperçu intégré est le premier mode qu'un nouvel hôte exerce. Deux motifs ajoutés, une garde de test empêche le prochain refus muet. |
 | 2026-08-13 | précision | **`branding.forKey` renvoie `{ logo, name, dark }`** — la forme de retour manquait au contrat, et `name` (le repli quand le logo ne charge pas) a été omis par le premier hôte qui l'a lu. Le registre `brand.*`, retiré, disparaît aussi de la section Marque. |
 | 2026-08-13 | précision | **« On ne replie pas » vaut pour ce qu'un hôte PROPOSE**, pas seulement pour ce qu'il fait tout seul : un bouton « Ouvrir ↗ » laissé après un refus revient à replier une seconde plus tard. Généralisation proposée par ADV. |
@@ -494,7 +539,7 @@ Un hôte qui a besoin d'une évolution de la frontière l'écrit ici. Il ne la c
 | 2026-08-13 | ADV | **Gestion des liens tracés accessible hors studio** : `docshare.create/list/revoke` vit dans la route de synchro derrière le modèle de droits du studio (`clients_registry`) — inappelable par un autre hôte. **Point d'intégration le plus sous-estimé.** | à faire |
 | 2026-08-13 | ADV | **Marque de l'hôte** : retirer les mentions « 3D Discovery » en dur | ✅ **livré** — `PLAYER_BRAND_NAME` / `PLAYER_BRAND_POWERED_BY`, neutre par défaut |
 | 2026-08-13 | ADV | **Mur d'accès Microsoft** en plus d'email+code et Google One-Tap (ADV est en SSO M365) | à faire |
-| 2026-08-13 | ADV | **Confidentialité Realtime** : la lecture anon large interdit d'y mettre des documents sensibles | 🟡 **code prêt, migration en attente de vérification en production** (`v12420`) |
+| 2026-08-13 | ADV | **Confidentialité Realtime** : la lecture anon large interdit d'y mettre des documents sensibles | 🟡 **code complet** — l'état ET le chat passent en diffusion ; migration `v12420` en attente d'une vérification en production |
 | 2026-08-13 | ADV | **Streaming via une route de l'hôte** (Range relayé + secret serveur à serveur) — cf. section dédiée | ✅ **livré côté player** — reste à ADV d'exposer sa route |
 | 2026-08-13 | ADV | **Le piège de la compression** : `fetch()` décompresse et garde les en-têtes → un `Content-Length` relayé sert un PDF tronqué, sans erreur | ✅ **livré** — 3e exigence de la section, et corrigé dans le player lui-même (le piège nous concernait) |
 | 2026-08-13 | ADV | **Distinguer « player absent » de « player refuse »** : le silence pousse l'hôte à replier sur son lecteur, ce qui ouvrirait un document refusé | ✅ **livré** — `embed-denied {reason}` + pages de refus encadrables |
@@ -513,3 +558,5 @@ Un hôte qui a besoin d'une évolution de la frontière l'écrit ici. Il ne la c
 | 2026-08-13 | ADV | **Comment on installe** : npm public, npm privé ou git ? | ✅ **tranché** — dépôt public + npm public, rien à configurer chez l'hôte |
 | 2026-08-13 | ADV | **Cible de `PLAYER_SOURCE_URL`** avant le premier lecteur | ✅ **tranché** — le dépôt public lui-même |
 | 2026-08-13 | ADV | **`?contract=1` n'existait pas** alors que la règle 4 repose dessus | ✅ **livré** — forme documentée, 3 tests |
+| 2026-08-13 | ADV | **Format des routes de l'hôte absent du contrat** — route d'autorisation réécrite après lecture du paquet publié | ✅ **livré** — les deux formats sont au contrat et dans `docs/CONFIGURATION.md` |
+| 2026-08-13 | ADV | **Un objet littéral comme table de correspondance répond à `constructor`** (trois occurrences chez eux) | ✅ **vérifié chez nous : deux sites, dont un atteignable depuis une action publique** — corrigés, plus un test statique |

package/bin/__tests__/serve.test.js

@@ -82,3 +82,49 @@ describe("le player répond sans plateforme", () => {
     expect(await ctx.identity.canManageShares(null, "create")).toBe(false);
   });
 });
+
+// LA PREMIÈRE MINUTE DE QUELQU'UN QUI DÉCOUVRE LE PROJET.
+//
+// Écrit après avoir regardé un premier utilisateur suivre le README : dossier vide, nom d'exemple
+// tapé tel quel, et un « Impossible d'afficher ce document » rouge — le même message qu'un fichier
+// absent, qu'un dossier vide et qu'un format non géré. Trois causes, une phrase, aucune piste.
+// La racine du serveur montre désormais ce qu'il y a à lire.
+describe("page d'accueil du mode dossier", () => {
+  const fs = require("node:fs");
+  const os = require("node:os");
+  const p = require("node:path");
+
+  it("liste ce qui est affichable, et rien d'autre", async () => {
+    const dir = fs.realpathSync(fs.mkdtempSync(p.join(os.tmpdir(), "player-home-")));
+    fs.writeFileSync(p.join(dir, "rapport.pdf"), "%PDF-1.4");
+    fs.writeFileSync(p.join(dir, "plan.png"), "x");
+    fs.writeFileSync(p.join(dir, "notes.docx"), "x");   // format non géré : ne pas le proposer
+    fs.writeFileSync(p.join(dir, ".cache"), "x");        // fichier caché
+    fs.mkdirSync(p.join(dir, "archives"));               // dossier
+
+    const { pageAccueil } = require("../serve.js");
+    const html = await pageAccueil(dir);
+    expect(html).toContain('href="/preview/rapport.pdf"');
+    expect(html).toContain('href="/preview/plan.png"');
+    expect(html).not.toContain("notes.docx");
+    expect(html).not.toContain(".cache");
+    expect(html).not.toContain("archives");
+  });
+
+  it("dit qu'il est vide plutôt que de laisser deviner", async () => {
+    const dir = fs.realpathSync(fs.mkdtempSync(p.join(os.tmpdir(), "player-vide-")));
+    const { pageAccueil } = require("../serve.js");
+    expect(await pageAccueil(dir)).toContain("Aucun document affichable");
+  });
+
+  // Un nom de fichier est écrit par quelqu'un d'autre — ici l'exploitant, mais la règle ne se
+  // relâche pas selon la confiance qu'on a dans la source.
+  it("échappe les noms de fichiers", async () => {
+    const dir = fs.realpathSync(fs.mkdtempSync(p.join(os.tmpdir(), "player-xss-")));
+    fs.writeFileSync(p.join(dir, '<img src=x onerror=alert(1)>.pdf'), "%PDF");
+    const { pageAccueil } = require("../serve.js");
+    const html = await pageAccueil(dir);
+    expect(html).not.toContain("<img src=x");
+    expect(html).toContain("&lt;img");
+  });
+});

package/bin/serve.js

@@ -14,6 +14,7 @@
 
 const http = require("node:http");
 const path = require("node:path");
+const fs = require("node:fs/promises");
 const { pathToFileURL } = require("node:url");
 const player = require("../server/handler");
 const { createStandaloneContext } = require("../context/standalone");
@@ -49,6 +50,58 @@ function versParametres(url) {
   return q;
 }
 
+const AFFICHABLES = new Set([".pdf", ".png", ".jpg", ".jpeg", ".gif", ".webp", ".avif", ".svg"]);
+
+/**
+ * Page d'accueil du mode dossier : ce qu'il y a à lire, et où le prendre.
+ *
+ * ⚠️ Écrite après avoir regardé quelqu'un essayer le projet pour la première fois. Il a suivi le
+ * README, ouvert `/preview/<nom>` avec le nom d'exemple, et reçu « Impossible d'afficher ce
+ * document » — le même message qu'un dossier vide, qu'un fichier absent et qu'un format non géré.
+ * Trois causes, une phrase, aucune piste. Le premier contact avec un projet ne se rejoue pas.
+ *
+ * N'existe qu'en mode dossier : c'est la racine que l'exploitant a lui-même désignée, il n'y a
+ * rien à divulguer qu'il ne connaisse déjà.
+ */
+async function pageAccueil(racine) {
+  let fichiers = [];
+  try {
+    fichiers = (await fs.readdir(racine, { withFileTypes: true }))
+      .filter((e) => e.isFile() && !e.name.startsWith(".") && AFFICHABLES.has(path.extname(e.name).toLowerCase()))
+      .map((e) => e.name).sort();
+  } catch { /* racine illisible : traitée comme vide, le message le dira */ }
+
+  const echapper = (t) => String(t).replace(/[&<>"]/g, (c) => ({ "&": "&amp;", "<": "&lt;", ">": "&gt;", '"': "&quot;" }[c]));
+  const liste = fichiers.length
+    ? `<ul>${fichiers.map((n) => `<li><a href="/preview/${encodeURIComponent(n)}">${echapper(n)}</a></li>`).join("")}</ul>`
+    : `<p class=vide>Aucun document affichable dans <code>${echapper(racine)}</code>.<br>
+       Déposez-y un PDF ou une image, puis rechargez cette page.</p>`;
+
+  return `<!doctype html><html lang=fr><head><meta charset=utf-8>
+<meta name=viewport content="width=device-width,initial-scale=1"><title>Discovery Media Player</title>
+<style>
+  body{font:15px/1.6 -apple-system,system-ui,Segoe UI,Roboto,sans-serif;color:#1c1a17;background:#f5f3ef;
+    margin:0;display:flex;min-height:100vh;align-items:center;justify-content:center;padding:24px}
+  .c{width:100%;max-width:560px;background:#fff;border-radius:16px;padding:32px;box-shadow:0 18px 50px rgba(30,22,12,.10)}
+  h1{font-size:19px;margin:0 0 4px;letter-spacing:-.01em}
+  .s{color:#7c7266;font-size:13.5px;margin:0 0 22px}
+  ul{list-style:none;margin:0;padding:0}
+  li+li{border-top:1px solid #eee9e0}
+  a{display:block;padding:11px 12px;color:#1c1a17;text-decoration:none;border-radius:9px}
+  a:hover{background:#f5f2ec}
+  .vide{color:#7c7266;font-size:14px;background:#faf8f4;border:1px dashed #ddd4c6;border-radius:12px;padding:18px;margin:0}
+  code{font:12.5px ui-monospace,SFMono-Regular,Menlo,monospace;background:#f0ece4;padding:1px 5px;border-radius:5px}
+  .f{margin:22px 0 0;padding-top:16px;border-top:1px solid #eee9e0;color:#9a9184;font-size:12.5px}
+  .f a{display:inline;padding:0;color:#9a9184;text-decoration:underline}
+</style></head><body><div class=c>
+  <h1>Discovery Media Player</h1>
+  <p class=s>Mode dossier — les documents servis viennent de <code>${echapper(racine)}</code>.</p>
+  ${liste}
+  <p class=f>Liens tracés, statistiques et présentation en direct demandent une base :
+    voir <a href="https://github.com/Juli1artha/discovery-media-player#going-further">la documentation</a>.</p>
+</div></body></html>`;
+}
+
 const serveur = http.createServer(async (req, res) => {
   const url = new URL(req.url, `http://${req.headers.host || "localhost"}`);
 
@@ -60,6 +113,13 @@ const serveur = http.createServer(async (req, res) => {
     return;
   }
 
+  // Mode dossier : la racine du serveur montre ce qu'il y a à lire.
+  if ((url.pathname === "/" || url.pathname === "/preview" || url.pathname === "/preview/") && process.env.PLAYER_LOCAL_ROOT) {
+    res.writeHead(200, { "Content-Type": "text/html; charset=utf-8", "Cache-Control": "no-store" });
+    res.end(await pageAccueil(path.resolve(process.env.PLAYER_LOCAL_ROOT)));
+    return;
+  }
+
   const q = versParametres(url);
   const routeConnue =
     url.pathname === "/api/doc" || url.pathname === "/doc" || url.pathname === "/present" ||
@@ -112,4 +172,4 @@ if (require.main === module) serveur.listen(PORT, HOST, () => {
   console.log(`  état      : http://localhost:${PORT}/api/doc?contract=1`);
 });
 
-module.exports = { serveur, versParametres };
+module.exports = { serveur, versParametres, pageAccueil };

package/context/standalone.js

@@ -63,8 +63,14 @@ function creerDb(env) {
  * Appel d'une route de l'HÔTE (autorisation, marque). Authentifié par le même secret partagé que
  * la route de fichiers, et **jamais en query** : les journaux gardent les URL.
  */
-async function appelHote(url, secret, corps) {
+async function appelHote(url, secret, corps, errors) {
   if (!url) return null;
+  // ⚠️ UN REFUS ET UNE PANNE NE DOIVENT PAS SE RESSEMBLER. Le player reste fail-closed — hôte
+  // injoignable ⇒ personne ne diffuse — mais sans trace, « ma route répond mal » est
+  // indiscernable de « le droit est refusé », et on cherche pendant une demi-journée du côté des
+  // rôles. Un hôte qui a écrit sa route sur la description du contrat plutôt que sur le code a
+  // perdu exactement ce temps-là.
+  const signaler = (quoi) => { try { errors && errors.capture(new Error(`route hôte : ${quoi}`), { url }); } catch { /* jamais bloquant */ } };
   try {
     const r = await fetch(url, {
       method: "POST",
@@ -75,8 +81,12 @@ async function appelHote(url, secret, corps) {
       body: JSON.stringify(corps),
       signal: AbortSignal.timeout(4000), // une décision qui tarde est une décision absente
     });
-    return r.ok ? await r.json() : null;
-  } catch {
+    if (!r.ok) { signaler(`réponse ${r.status}`); return null; }
+    const d = await r.json().catch(() => null);
+    if (!d || typeof d !== "object") { signaler("réponse illisible (JSON attendu)"); return null; }
+    return d;
+  } catch (e) {
+    signaler(e && e.name === "TimeoutError" ? "délai dépassé" : "injoignable");
     return null;
   }
 }
@@ -107,6 +117,11 @@ function creerLimites() {
 /** Construit le contexte d'une instance autonome à partir de l'environnement. */
 function createStandaloneContext(env = process.env) {
   const db = creerDb(env);
+  const journal = {
+    async capture(error, meta) {
+      console.error("[player]", (meta && meta.route) || "", (error && error.message) || error, meta && meta.url ? `→ ${meta.url}` : "");
+    },
+  };
   const secret = String(env.PLAYER_HOST_FETCH_SECRET || "");
   const origins = () => storage.storageOrigins(env);
   const hostBase = () => storage.hostFetchBase(env);
@@ -163,8 +178,14 @@ function createStandaloneContext(env = process.env) {
         if (!user || !user.email) return false;
         const reponse = await appelHote(env.PLAYER_HOST_AUTHZ_URL, secret, {
           email: user.email, role: ((user.app_metadata || {}).role) || "", action: String(action || ""),
-        });
-        return !!(reponse && reponse.allowed);
+        }, journal);
+        // ⚠️ `allowed` doit être présent ET booléen. Une réponse d'une autre forme — même
+        // parfaitement intentionnée — vaut refus, et le dit. C'est le cas le plus courant au
+        // branchement d'un nouvel hôte.
+        if (reponse && typeof reponse.allowed !== "boolean") {
+          try { journal.capture(new Error("route d'autorisation : champ `allowed` booléen attendu"), { recu: Object.keys(reponse).join(",") }); } catch { /* ignore */ }
+        }
+        return reponse ? reponse.allowed === true : false;
       },
     },
 
@@ -185,7 +206,7 @@ function createStandaloneContext(env = process.env) {
        */
       async forKey(key) {
         if (!key) return null;
-        const b = await appelHote(env.PLAYER_HOST_BRAND_URL, secret, { key: String(key) });
+        const b = await appelHote(env.PLAYER_HOST_BRAND_URL, secret, { key: String(key) }, journal);
         return b && b.logo ? { logo: String(b.logo), name: String(b.name || ""), dark: !!b.dark } : null;
       },
 
@@ -196,11 +217,7 @@ function createStandaloneContext(env = process.env) {
       },
     },
 
-    errors: {
-      async capture(error, meta) {
-        console.error("[player]", (meta && meta.route) || "", (error && error.stack) || error);
-      },
-    },
+    errors: journal,
 
     legal: {
       get sourceUrl() { return String(env.PLAYER_SOURCE_URL || "https://github.com/Juli1artha/discovery-media-player").trim(); },

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "discovery-media-player",
-  "version": "0.1.0",
+  "version": "0.1.2",
   "description": "Self-hosted document viewer: per-recipient tracked links, reading analytics, live presentation. The core knows nothing about the application hosting it — everything it borrows arrives through an injected context.",
   "keywords": [
     "pdf-viewer",
@@ -62,11 +62,11 @@
   },
   "devDependencies": {
     "@eslint/js": "^9.39.4",
-    "esbuild": "0.21.5",
+    "esbuild": "^0.25.12",
     "eslint": "^9.39.4",
     "jsdom": "^25.0.1",
     "typescript": "^5.5.4",
     "typescript-eslint": "^8.46.4",
-    "vitest": "^2.1.9"
+    "vitest": "^3.2.7"
   }
 }

package/server/handler.js

@@ -230,6 +230,17 @@ var Live=(function(){
   // État de la présentation diffusé par le présentateur — même canal que la carte. Sert à se
   // passer de la lecture anonyme des tables : l'audience n'a plus besoin de lire la ligne.
   function sendState(p){try{if(ch)ch.send({type:'broadcast',event:'state',payload:p});}catch(e){}}
+  // CHAT EN DIFFUSION. Les messages arrivaient jusqu'ici par la lecture de TABLE en temps réel,
+  // qui exige que cette table soit lisible publiquement — donc, avec la clé publiable, les
+  // conversations de TOUTES les présentations, pas seulement la sienne. C'était le dernier
+  // obstacle avant de pouvoir fermer cette lecture.
+  // L'émetteur diffuse la ligne que le serveur vient d'écrire ; les autres l'ajoutent chez eux.
+  // ⚠️ La diffusion ne revient pas à son émetteur : il ajoute donc SA copie lui-même.
+  function sendMsg(m){if(!m)return;try{if(ch)ch.send({type:'broadcast',event:'msg',payload:m});}catch(e){}}
+  function sendMsgUpd(m){if(!m)return;try{if(ch)ch.send({type:'broadcast',event:'msg-upd',payload:m});}catch(e){}}
+  // Édition, suppression, réaction : le serveur renvoie la ligne à jour, on l'applique chez soi
+  // puis on la diffuse. Même chemin pour les trois — une seule façon de se tromper.
+  function majDiffusee(r){return r.json().then(function(d){if(d&&d.ok&&d.message){updateMsg(d.message);sendMsgUpd(d.message);}}).catch(function(){});}
   function onState(fn){_onState=fn;}
   // Badge « non lus » sur le bouton chat/FAB (panneau fermé) + pulse du FAB. Aperçu (ticker) au nouveau message.
   function chatHidden(){var pn=document.getElementById('chatPanel');return !pn||pn.classList.contains('hidden');}
@@ -276,17 +287,23 @@ var Live=(function(){
   function cmClass(m){return Player.chat.messageClassName(m,ME,isMentioned(m));}
   function hydratePdf(d,m){if(m&&m.attachment&&m.attachment.kind==='pdf'&&!m.deleted){var ph=d.querySelector('.cm-att-ph');if(ph)pdfThumb(m.attachment.url,ph);}}
   function pdfThumb(url,ph){if(!ph)return;if(pdfCache[url]){ph.innerHTML='<img src="'+pdfCache[url]+'" alt="">';return;}if(!window.pdfjsLib)return;try{pdfjsLib.getDocument(url).promise.then(function(pdf){return pdf.getPage(1);}).then(function(pg){var v0=pg.getViewport({scale:1}),sc=Math.min(1.6,208/v0.width),vp=pg.getViewport({scale:sc}),cv=document.createElement('canvas');cv.width=Math.ceil(vp.width);cv.height=Math.ceil(vp.height);return pg.render({canvasContext:cv.getContext('2d'),viewport:vp}).promise.then(function(){var u=cv.toDataURL('image/jpeg',0.8);pdfCache[url]=u;ph.innerHTML='<img src="'+u+'" alt="">';});}).catch(function(){});}catch(e){}}
-  function addMsg(m){if(m.id&&seen[m.id])return;if(m.id)seen[m.id]=1;var box=document.getElementById('chatMsgs');if(!box)return;var em=box.querySelector('.chat-empty');if(em)em.remove();
+  // Renvoie true seulement si le message a réellement été AJOUTÉ. Pendant la transition, il
+  // arrive par deux voies (diffusion et lecture de table) : sans cette réponse, l'affichage était
+  // bien dédoublonné mais le compteur de non-lus comptait deux fois — une pastille à 2 pour un
+  // seul message. Le dédoublonnage doit valoir pour tout ce qui suit l'arrivée, pas seulement
+  // pour le rendu.
+  function addMsg(m){if(m.id&&seen[m.id])return false;if(m.id)seen[m.id]=1;var box=document.getElementById('chatMsgs');if(!box)return;var em=box.querySelector('.chat-empty');if(em)em.remove();
     if(m.id)msgData[m.id]=m;
     var d=document.createElement('div');d.className=cmClass(m);if(m.id)d.setAttribute('data-id',m.id);
     d.innerHTML=renderMsgInner(m);
-    if(m.id)msgEls[m.id]=d;box.appendChild(d);box.scrollTop=box.scrollHeight;hydratePdf(d,m);}
+    if(m.id)msgEls[m.id]=d;box.appendChild(d);box.scrollTop=box.scrollHeight;hydratePdf(d,m);
+    return true;}
   function updateMsg(m){if(!m.id)return;msgData[m.id]=m;var d=msgEls[m.id];if(!d)return;d.className=cmClass(m);d.innerHTML=renderMsgInner(m);hydratePdf(d,m);}
   function startEdit(id){var d=msgEls[id],m=msgData[id];if(!d||!m||m.deleted)return;var txt=d.querySelector('.txt');if(!txt)return;var inp=document.createElement('input');inp.className='cm-edit-in';inp.value=m.body||'';txt.replaceWith(inp);inp.focus();
-    function fin(save){var v=(inp.value||'').trim();if(save&&v&&v!==m.body){fetch('/api/doc',{method:'POST',headers:{'Content-Type':'application/json'},body:JSON.stringify({action:'present-msg-edit',slug:SLUG,msgId:+id,authorToken:authToken(),body:v})}).catch(function(){});}d.innerHTML=renderMsgInner(m);}
+    function fin(save){var v=(inp.value||'').trim();if(save&&v&&v!==m.body){fetch('/api/doc',{method:'POST',headers:{'Content-Type':'application/json'},body:JSON.stringify({action:'present-msg-edit',slug:SLUG,msgId:+id,authorToken:authToken(),body:v})}).then(majDiffusee).catch(function(){});}d.innerHTML=renderMsgInner(m);}
     inp.addEventListener('keydown',function(e){if(e.key==='Enter'){e.preventDefault();fin(true);}else if(e.key==='Escape'){fin(false);}});
     inp.addEventListener('blur',function(){fin(false);});}
-  function delMsg(id){fetch('/api/doc',{method:'POST',headers:{'Content-Type':'application/json'},body:JSON.stringify({action:'present-msg-delete',slug:SLUG,msgId:+id,authorToken:authToken(),control:CONTROL})}).catch(function(){});}
+  function delMsg(id){fetch('/api/doc',{method:'POST',headers:{'Content-Type':'application/json'},body:JSON.stringify({action:'present-msg-delete',slug:SLUG,msgId:+id,authorToken:authToken(),control:CONTROL})}).then(majDiffusee).catch(function(){});}
   // Modale de confirmation maison (l'iframe de présentation ne peut pas utiliser le useConfirm React). Repli window.confirm si absente.
   function confirmDialog(opts,onOk){opts=opts||{};var m=document.getElementById('lModal');if(!m){if(!onOk)return;if(window.confirm(opts.title||'Confirmer ?'))onOk();return;}
     var t=document.getElementById('lModalT'),d=document.getElementById('lModalD'),y=document.getElementById('lModalYes'),n=document.getElementById('lModalNo');
@@ -297,14 +314,17 @@ var Live=(function(){
     if(y)y.onclick=function(){close();if(onOk)onOk();};if(n)n.onclick=close;m.onclick=function(e){if(e.target===m)close();};
     document.addEventListener('keydown',key);m.classList.add('open');if(y)try{y.focus();}catch(e){}}
   function history(){fetch('/api/doc?present='+encodeURIComponent(SLUG)+'&chat=1').then(function(r){return r.json();}).then(function(d){var box=document.getElementById('chatMsgs');if(d&&d.messages&&d.messages.length){d.messages.forEach(function(m){addMsg(m);});}else if(box&&!box.children.length){box.innerHTML='<div class=chat-empty>Aucun message. Lancez la discussion.</div>';}if(d&&typeof d.locked!=='undefined')applyLock(d.locked);_histDone=true;}).catch(function(){_histDone=true;});}
-  function react(id,e){if(!ME||!id||!e)return;fetch('/api/doc',{method:'POST',headers:{'Content-Type':'application/json'},body:JSON.stringify({action:'present-react',slug:SLUG,msgId:+id,emoji:e,reactor:reactorId()})}).catch(function(){});}
+  function react(id,e){if(!ME||!id||!e)return;fetch('/api/doc',{method:'POST',headers:{'Content-Type':'application/json'},body:JSON.stringify({action:'present-react',slug:SLUG,msgId:+id,emoji:e,reactor:reactorId()})}).then(majDiffusee).catch(function(){});}
   function setReply(id){var m=msgData[id];if(!m||m.deleted)return;var nm=m.author_name||'Invité';replyCtx={id:+id,name:nm,text:(m.body||'').slice(0,120)};var el=document.getElementById('chatReply');if(el){el.style.display='flex';el.innerHTML='<span class=cq><b>'+esc(nm)+'</b> '+esc((m.body||'').slice(0,80))+'</span><button id=chatReplyX title=Annuler>×</button>';var x=document.getElementById('chatReplyX');if(x)x.addEventListener('click',clearReply);}var t=document.getElementById('chatText');if(t)t.focus();}
   function clearReply(){replyCtx=null;var el=document.getElementById('chatReply');if(el){el.style.display='none';el.innerHTML='';}}
   function send(){var i=document.getElementById('chatText');var t=(i.value||'').trim();if(!t||!ME)return;if(LOCKED&&!canMod())return;i.value='';toggleSend();
     var o={action:'present-chat',slug:SLUG,name:ME.name,email:ME.email,avatar:ME.avatar,isPresenter:ME.role==='presenter',isMember:!!ME.member,body:t,authorToken:authToken()};
     if(CONTROL)o.control=CONTROL;
     if(replyCtx){o.replyTo=replyCtx.id;o.replyName=replyCtx.name;o.replyText=replyCtx.text;clearReply();}
-    fetch('/api/doc',{method:'POST',headers:{'Content-Type':'application/json'},body:JSON.stringify(o)}).catch(function(){});}
+    fetch('/api/doc',{method:'POST',headers:{'Content-Type':'application/json'},body:JSON.stringify(o)})
+      .then(function(r){return r.json();})
+      .then(function(d){if(d&&d.ok&&d.message){addMsg(d.message);sendMsg(d.message);}})
+      .catch(function(){});}
   function uploadFile(file){if(!file||!ME||!sb)return;if(LOCKED&&!canMod())return;
     if(file.size>10*1024*1024){alert('Fichier trop volumineux (max 10 Mo).');return;}
     var s=document.getElementById('chatSend');if(s){s.disabled=true;s.textContent='…';}
@@ -377,8 +397,10 @@ var Live=(function(){
     try{sb=window.supabase.createClient(LIVECFG.supaUrl,LIVECFG.supaKey,{realtime:{params:{eventsPerSecond:10}}});
       ch=sb.channel('plive-'+slug,{config:{presence:{key:(me.email||me.name||'x')+':'+MYID}}});
       ch.on('presence',{event:'sync'},function(){renderPres(ch.presenceState());});
-      ch.on('postgres_changes',{event:'INSERT',schema:'public',table:'doc_presentation_messages',filter:'slug=eq.'+slug},function(p){if(p&&p.new){addMsg(p.new);notifyMsg(p.new);}});
+      ch.on('postgres_changes',{event:'INSERT',schema:'public',table:'doc_presentation_messages',filter:'slug=eq.'+slug},function(p){if(p&&p.new&&addMsg(p.new))notifyMsg(p.new);});
       ch.on('postgres_changes',{event:'UPDATE',schema:'public',table:'doc_presentation_messages',filter:'slug=eq.'+slug},function(p){if(p&&p.new)updateMsg(p.new);});
+      ch.on('broadcast',{event:'msg'},function(p){if(p&&p.payload&&addMsg(p.payload))notifyMsg(p.payload);});
+      ch.on('broadcast',{event:'msg-upd'},function(p){if(p&&p.payload)updateMsg(p.payload);});
       ch.on('broadcast',{event:'typing'},function(p){onTyping(p&&p.payload);});
       ch.on('broadcast',{event:'lock'},function(p){if(p&&p.payload)applyLock(p.payload.locked);});
       ch.on('broadcast',{event:'map'},function(p){if(_onMap&&p&&p.payload)_onMap(p.payload);});
@@ -2243,7 +2265,11 @@ async function handler(req, res) {
             return jp(200, { ok: true });
           }
           if (body.action === "bot-history") return jp(200, { ok: true, messages: await docbot.listMessages(String(body.sessionId || "")) });
-          const blang = docbot.I18N_LANGS[String(body.lang || "").toLowerCase()] ? String(body.lang).toLowerCase() : null; // fr/inconnu → null (langue source)
+          // ⚠️ Même piège : un objet littéral répond à `constructor`. Sans `Object.hasOwn`, une
+          // langue « constructor » passait la garde et finissait interpolée dans le prompt du
+          // modèle sous la forme « function Object() { [native code] } ».
+          const langueDemandee = String(body.lang || "").toLowerCase();
+          const blang = Object.hasOwn(docbot.I18N_LANGS, langueDemandee) ? langueDemandee : null; // fr/inconnu → null (langue source)
           if (body.action === "bot-start") return jp(200, { ok: true, ...(await docbot.botStart(share, pages, mobile, String(body.intent || ""), blang)) });
           // Bascule de langue EN COURS de présentation : renvoie le script (traduit ou FR) — le client
           // remplace sa liste d'étapes et rejoue le message courant dans la nouvelle langue.

package/server/presentations.js

@@ -131,7 +131,13 @@ async function endPresentation(slug, control) {
 const ATT_KINDS = { "image/png": "image", "image/jpeg": "image", "image/webp": "image", "image/gif": "image", "application/pdf": "pdf" };
 async function createUploadUrl(slug, name, type) {
   const base = (process.env.SUPABASE_URL || "").replace(/\/+$/, ""); const KEY = process.env.SUPABASE_SERVICE_ROLE_KEY || "";
-  const kind = ATT_KINDS[String(type || "").toLowerCase()];
+  // ⚠️ `Object.hasOwn` et pas une simple lecture : un objet littéral hérite de `constructor`,
+  // `toString`, `valueOf`, `__proto__`… `ATT_KINDS["constructor"]` rend une FONCTION, donc une
+  // valeur vraie — la garde juste en dessous laissait alors passer un type qui n'a jamais été
+  // autorisé, et signait une URL d'envoi pour lui. Le type est fourni par l'appelant, sur une
+  // action publique. Signalé par un hôte tiers qui venait de trouver la même forme chez lui.
+  const demande = String(type || "").toLowerCase();
+  const kind = Object.hasOwn(ATT_KINDS, demande) ? ATT_KINDS[demande] : null;
   if (!kind || !slug || !base || !KEY) return { ok: false, status: 400 };
   const safe = (String(name || "fichier").replace(/[^a-zA-Z0-9._-]/g, "_").slice(-60)) || "fichier";
   const path = `${String(slug).replace(/[^a-zA-Z0-9._-]/g, "")}/${Date.now()}-${crypto.randomBytes(4).toString("hex")}-${safe}`;
@@ -142,6 +148,33 @@ async function createUploadUrl(slug, name, type) {
   return { ok: true, path, token, kind, publicUrl: `${base}/storage/v1/object/public/present-attachments/${path}` };
 }
 
+/**
+ * Les champs d'un message qui ont le droit de sortir du serveur.
+ *
+ * ⚠️ LISTE BLANCHE, jamais une liste noire. `author_hash` est l'empreinte du jeton qui autorise
+ * à éditer et supprimer ce message : le diffuser à toute l'audience donnerait à chacun le droit
+ * de réécrire les messages des autres. Une ligne de table renvoyée telle quelle emporterait ce
+ * champ sans que personne ne le remarque — d'où la projection explicite, ici et nulle part
+ * ailleurs. C'est le même jeu de champs que celui servi à l'historique.
+ */
+const CHAMPS_PUBLICS = [
+  "id", "author_name", "author_email", "author_avatar", "is_presenter", "is_member",
+  "body", "attachment", "reactions", "reply_to", "reply_name", "reply_text",
+  "deleted", "edited", "created_at",
+];
+function messagePublic(row) {
+  if (!row || typeof row !== "object") return null;
+  const out = {};
+  for (const c of CHAMPS_PUBLICS) if (c in row) out[c] = row[c];
+  return out;
+}
+
+/** Renvoie la ligne telle qu'elle est après écriture — sans jamais renvoyer plus que le public. */
+function premierPublic(reponse) {
+  const row = Array.isArray(reponse) ? reponse[0] : reponse;
+  return messagePublic(row);
+}
+
 async function addMessage(slug, { name, email, avatar, isPresenter, isMember, body, replyTo, replyName, replyText, authorToken, attachment }) {
   const b = String(body || "").trim().slice(0, 2000);
   const base = (process.env.SUPABASE_URL || "").replace(/\/+$/, "");
@@ -159,8 +192,10 @@ async function addMessage(slug, { name, email, avatar, isPresenter, isMember, bo
     author_hash: authorToken ? sha(authorToken) : null,
     reply_to: rt, reply_name: rt ? ((replyName || "").slice(0, 80) || null) : null, reply_text: rt ? ((replyText || "").slice(0, 140) || null) : null,
   };
-  await PLAYER.db.request("doc_presentation_messages", { method: "POST", headers: { Prefer: "return=minimal" }, body: [row] });
-  return { ok: true };
+  // `return=representation` : c'est la ligne écrite qui part ensuite en diffusion vers l'audience.
+  // Sans elle, l'émetteur devrait deviner l'`id` et la date attribués par la base.
+  const cree = await PLAYER.db.request("doc_presentation_messages?select=*", { method: "POST", headers: { Prefer: "return=representation" }, body: [row] });
+  return { ok: true, message: premierPublic(cree) };
 }
 
 async function listMessages(slug) {
@@ -175,8 +210,8 @@ async function editMessage(slug, msgId, authorToken, body) {
   const rows = await PLAYER.db.request(`doc_presentation_messages?id=eq.${id}&slug=eq.${enc(String(slug || ""))}&select=author_hash,deleted&limit=1`);
   const m = Array.isArray(rows) && rows[0]; if (!m || m.deleted) return { ok: false, status: 404 };
   if (!m.author_hash || m.author_hash !== sha(authorToken)) return { ok: false, status: 403 };
-  await PLAYER.db.request(`doc_presentation_messages?id=eq.${id}`, { method: "PATCH", headers: { Prefer: "return=minimal" }, body: { body: b, edited: true } });
-  return { ok: true };
+  const maj = await PLAYER.db.request(`doc_presentation_messages?id=eq.${id}&select=*`, { method: "PATCH", headers: { Prefer: "return=representation" }, body: { body: b, edited: true } });
+  return { ok: true, message: premierPublic(maj) };
 }
 
 // Supprimer (soft) : l'auteur (jeton) OU le présentateur (control_token de la présentation).
@@ -189,8 +224,8 @@ async function deleteMessage(slug, msgId, { authorToken, control }) {
   let byPresenter = false;
   if (!byAuthor && control) { const pres = await getPresentation(slug); byPresenter = !!(pres && tokenMatches(control, pres.control_hash)); }
   if (!byAuthor && !byPresenter) return { ok: false, status: 403 };
-  await PLAYER.db.request(`doc_presentation_messages?id=eq.${id}`, { method: "PATCH", headers: { Prefer: "return=minimal" }, body: { deleted: true, body: "", reactions: {}, attachment: null } });
-  return { ok: true };
+  const maj = await PLAYER.db.request(`doc_presentation_messages?id=eq.${id}&select=*`, { method: "PATCH", headers: { Prefer: "return=representation" }, body: { deleted: true, body: "", reactions: {}, attachment: null } });
+  return { ok: true, message: premierPublic(maj) };
 }
 
 // Verrouiller / déverrouiller le chat (présentateur uniquement).
@@ -212,8 +247,8 @@ async function toggleReaction(slug, msgId, emoji, reactor) {
   const i = arr.indexOf(who);
   if (i >= 0) arr.splice(i, 1); else arr.push(who);
   if (arr.length) cur[e] = arr; else delete cur[e];
-  await PLAYER.db.request(`doc_presentation_messages?id=eq.${id}`, { method: "PATCH", headers: { Prefer: "return=minimal" }, body: { reactions: cur } });
-  return { ok: true };
+  const maj = await PLAYER.db.request(`doc_presentation_messages?id=eq.${id}&select=*`, { method: "PATCH", headers: { Prefer: "return=representation" }, body: { reactions: cur } });
+  return { ok: true, message: premierPublic(maj) };
 }
 
 // ── Statistiques de présentation (assistance) ────────────────────────────────────────────────────────────
@@ -316,4 +351,5 @@ async function listPresentationsForDoc(docId) {
   return list.map((p) => ({ slug: p.slug, presenterName: p.presenter_name, ownerName: p.owner_name, currentPage: p.current_page || 1, active: !!p.active, createdAt: p.created_at, endedAt: p.active ? null : p.updated_at, attendees: counts[p.slug] || 0 }));
 }
 
-module.exports = { init, createPresentation, getPresentation, setPage, endPresentation, addMessage, listMessages, toggleReaction, editMessage, deleteMessage, setChatLock, createUploadUrl, reclaimPresentation, touchPresentation, listActivePresentations, handoverPresentation, endPresentationByOwner, recordAttendance, presentationStats, listPresentationsForDoc, switchPresentationDoc, setPresentationContent };
+module.exports = {
+  messagePublic, CHAMPS_PUBLICS, init, createPresentation, getPresentation, setPage, endPresentation, addMessage, listMessages, toggleReaction, editMessage, deleteMessage, setChatLock, createUploadUrl, reclaimPresentation, touchPresentation, listActivePresentations, handoverPresentation, endPresentationByOwner, recordAttendance, presentationStats, listPresentationsForDoc, switchPresentationDoc, setPresentationContent };

package/supabase/init.sql

@@ -223,10 +223,22 @@ alter table public.doc_presentation_attendees        enable row level security;
 alter table public.doc_bot_sessions                  enable row level security;
 
 -- ── Temps réel ─────────────────────────────────────────────────────────────────────────────────
--- Le chat en direct reste en `postgres_changes` : ses messages sont écrits POUR être vus de
--- l'audience. L'état de la présentation, lui, voyage en broadcast — d'où l'absence de
--- `doc_presentations` ici, et l'absence de politique de lecture au-dessus.
--- ⚠️ Ne mettez jamais de donnée confidentielle dans un message de chat ni dans un nom d'auteur.
+-- L'état de la présentation (page courante, carte, verrou) voyage en BROADCAST : l'audience suit
+-- le présentateur sans qu'aucune table ne soit lisible publiquement. C'est ce qui permet de ne
+-- créer aucune politique de lecture au-dessus.
+--
+-- ⚠️ LE CHAT N'EST PAS ENCORE SUR CE CHEMIN. Ses messages sont livrés par `postgres_changes`, qui
+-- exige un SELECT au niveau de la TABLE — donc ouvert à quiconque détient la clé publiable, et
+-- pour TOUTES les présentations, pas seulement la sienne. Ce fichier refuse ce compromis : la
+-- table est publiée, mais AUCUNE politique de lecture n'est créée.
+--
+-- Conséquence assumée sur une installation neuve : un participant voit l'historique du chat en
+-- arrivant, et les messages suivants à l'actualisation — pas en direct. Le chat n'est pas cassé,
+-- il est différé. Le portage du chat en broadcast lèvera cette limite ; d'ici là, mieux vaut une
+-- fonctionnalité partiellement en retard qu'une base où chacun lit les conversations des autres.
+--
+-- ⚠️ Ne mettez de toute façon jamais de donnée confidentielle dans un message de chat ni dans un
+-- nom d'auteur.
 do $$
 begin
   if exists (select 1 from pg_publication where pubname = 'supabase_realtime') then