discovery-media-player 0.1.114 → 0.1.116

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "discovery-media-player",
-  "version": "0.1.114",
+  "version": "0.1.116",
   "description": "Self-hosted document viewer: per-recipient tracked links, reading analytics, live presentation. The core knows nothing about the application hosting it — everything it borrows arrives through an injected context.",
   "keywords": [
     "pdf-viewer",
@@ -66,7 +66,8 @@
     "typecheck": "node -e \"require('fs').existsSync('tsconfig.json')||(console.error('Ce script ne vit pas dans le paquet publié - le champ scripts annonce plus que le tarball ne contient. Clonez le depot puis npm ci : https://github.com/Juli1artha/discovery-media-player'),process.exit(1))\" && tsc --noEmit",
     "prepublishOnly": "npm run build && npm test",
     "test:e2e": "node -e \"require('fs').existsSync('vitest.e2e.config.mjs')||(console.error('Ce banc ne vit pas dans le paquet publié - le champ scripts annonce plus que le tarball ne contient. Clonez le depot puis npm ci : https://github.com/Juli1artha/discovery-media-player'),process.exit(1))\" && vitest run --config vitest.e2e.config.mjs",
-    "test:base": "node -e \"require('fs').existsSync('vitest.base.config.mjs')||(console.error('Ce banc ne vit pas dans le paquet publié - le champ scripts annonce plus que le tarball ne contient. Clonez le depot puis npm ci : https://github.com/Juli1artha/discovery-media-player'),process.exit(1))\" && vitest run --config vitest.base.config.mjs"
+    "test:base": "node -e \"require('fs').existsSync('vitest.base.config.mjs')||(console.error('Ce banc ne vit pas dans le paquet publié - le champ scripts annonce plus que le tarball ne contient. Clonez le depot puis npm ci : https://github.com/Juli1artha/discovery-media-player'),process.exit(1))\" && vitest run --config vitest.base.config.mjs",
+    "test:charge": "node -e \"require('fs').existsSync('vitest.charge.config.mjs')||(console.error('Ce banc ne vit pas dans le paquet publié - le champ scripts annonce plus que le tarball ne contient. Clonez le depot puis npm ci : https://github.com/Juli1artha/discovery-media-player'),process.exit(1))\" && vitest run --config vitest.charge.config.mjs"
   },
   "engines": {
     "node": ">=22"

package/server/handler.js

@@ -610,6 +610,20 @@ async function handler(req, res) {
             return typeof signer === "function" && !!signer("carte-sonde", "carte-sonde", 60);
           } catch { return false; }
         })(),
+        // ⚠️ LA PORTE REFUSE-T-ELLE, OU EST-ELLE SEULEMENT CONFIGURÉE POUR REFUSER ? `presenceStrict`
+        // au-dessus dit que la porte refuse les battements sans preuve — vrai, et mesuré (il exige de
+        // pouvoir émettre). Mais le contrôle anti-usurpation des BOOTSTRAPS, lui, peut être désarmé
+        // sans que rien ne le dise : 0018 absente, ou — avant 0.1.111 — un simple hoquet réseau. On
+        // avait fermé cet écart sur `presenceJetons` en mesurant plutôt qu'en déclarant, et laissé le
+        // champ voisin ouvert. (Nommé par le second hôte.)
+        //
+        // ⚠️ TROIS ÉTATS. « inconnu » n'est pas « actif » : un processus qui n'a pas encore servi de
+        // bootstrap n'a rien constaté, et annoncer une garde active sur une absence d'observation est
+        // exactement ce qu'on refuse ailleurs. On ne peut pas sonder la fonction sans l'appeler — elle
+        // écrit — donc on rend ce qui a été CONSTATÉ à l'usage, jamais une déduction.
+        presenceDurcissement: (() => {
+          try { return require("./presentations").etatDurcissementBootstrap(); } catch { return "inconnu"; }
+        })(),
         // ⚠️ LES JETONS DE PRÉSENCE SONT-ILS RÉELLEMENT ÉMIS ? Sans ce booléen, un exploitant qui vient
         // de poser `PLAYER_PRESENCE_SECRET` n'a AUCUN moyen de vérifier que son réglage a pris : la
         // carte affiche `presence: {0,0}` aussi bien quand le secret est actif que quand la variable est

package/server/presentations.js

@@ -6,7 +6,32 @@ const crypto = require("crypto");
 // ⚠️ Le contexte est REÇU, pas construit. Ce module ne doit pas savoir d'où il vient : c'est ce
 // qui lui permettra de partir dans le dépôt du player sans emporter le studio avec lui.
 let PLAYER = null;
-function init(ctx) { PLAYER = ctx; _bumpSansDurcissementJusqua = 0; _avertRpcPresence = false; }
+function init(ctx) { PLAYER = ctx; _bumpSansDurcissementJusqua = 0; _avertRpcPresence = false; _dernierSuccesDurcissement = 0; _dernierEchecDurcissement = 0; }
+
+/**
+ * L'état OBSERVÉ du durcissement des bootstraps — pas sa configuration.
+ *
+ * ⚠️ LA CARTE RAPPORTAIT UNE CONFIGURATION, PAS UN COMPORTEMENT, et c'est le second hôte qui l'a
+ * nommé : `presenceStrict` pouvait dire « la porte refuse » alors que le contrôle anti-usurpation
+ * était désarmé — 0018 absente, ou (avant 0.1.111) un simple hoquet réseau. On a fermé cet écart sur
+ * `presenceJetons` en MESURANT plutôt qu'en déclarant, et on l'avait laissé ouvert sur le champ voisin.
+ *
+ * On ne peut pas sonder la fonction sans l'appeler — elle écrit. Ce qu'on peut rendre, c'est ce que le
+ * processus a CONSTATÉ en s'en servant : « degrade » = la dernière tentative a trouvé la signature
+ * absente ; « actif » = une tentative a abouti ; « inconnu » = on n'a pas encore essayé, et c'est un
+ * état à part entière, pas un feu vert.
+ */
+function etatDurcissementBootstrap() {
+  if (Date.now() < _bumpSansDurcissementJusqua) return "degrade";
+  // ⚠️ « actif » EXIGE UN SUCCÈS PLUS RÉCENT QUE LE DERNIER ÉCHEC — pas un simple drapeau. Deux
+  // défauts tenaient dans la version précédente (relevés par le second hôte) : (1) le drapeau était
+  // posé AVANT l'appel, donc il enregistrait une TENTATIVE et non un succès ; (2) l'expiration du
+  // mémo ne rétrogradait pas l'état, elle le PROMOUVAIT — un hôte sans 0018 rendait « degrade »
+  // 60 s, puis « actif », sur la foi d'une tentative dont la seule chose prouvée était l'échec.
+  // Comparer les deux instants traite les deux d'un coup : le repli d'une preuve périmée est
+  // l'IGNORANCE, jamais la confiance.
+  return _dernierSuccesDurcissement > _dernierEchecDurcissement ? "actif" : "inconnu";
+}
 
 
 const enc = encodeURIComponent;
@@ -811,6 +836,16 @@ function signatureAbsente(erreur) {
 // silence. Un « oui » (la signature existe) n'a pas besoin d'expirer : une fonction ne disparaît pas.
 let _bumpSansDurcissementJusqua = 0;
 const MEMO_SANS_DURCISSEMENT_MS = 60 * 1000;
+// ⚠️ DEUX INSTANTS, PAS UN DRAPEAU — parce que l'ORDRE est ce qui distingue « réparé » de « cassé ».
+// Un booléen « on a essayé » ne peut pas dire si le dernier mot fut un succès ou un échec, et c'est
+// exactement le mot qui décide. Un succès plus récent que le dernier échec ⇒ la signature existe
+// (une fonction ne disparaît pas toute seule) ; un échec plus récent, mémo expiré ⇒ on ne sait plus.
+let _dernierSuccesDurcissement = 0;
+let _dernierEchecDurcissement = 0;
+// ⚠️ A-T-ON SEULEMENT ESSAYÉ ? « Pas dégradé » n'est pas « vérifié » : un processus qui vient de
+// démarrer n'a rien tenté, et rendre « actif » reviendrait à annoncer une garde active sur la foi
+// d'une absence d'observation. Trois états, donc — la même règle que le verdict du schéma, où « rien
+// de manquant » se lisait « tout va bien » tant qu'on ne distinguait pas « rien demandé ».
 async function appelerBump(corps, durcissementVoulu) {
   const appel = (b) => PLAYER.db.request("rpc/player_attendance_bump", { method: "POST", body: b });
   if (durcissementVoulu && Date.now() < _bumpSansDurcissementJusqua) {
@@ -818,7 +853,12 @@ async function appelerBump(corps, durcissementVoulu) {
     return appel(sansDurcissement);
   }
   try {
-    return await appel(corps);
+    const r = await appel(corps);
+    // ⚠️ ON NE MARQUE LE SUCCÈS QU'ICI — l'appel est REVENU, donc la signature à 12 arguments existe.
+    // Un rendu `{ok:false, usurpe:true}` compte : seule 0018 sait répondre ça. Ce qui se mesure est
+    // le RETOUR, jamais l'intention de partir.
+    if (durcissementVoulu) _dernierSuccesDurcissement = Date.now();
+    return r;
   } catch (erreur) {
     if (!durcissementVoulu) throw erreur;   // rien à retirer : l'échec est réel
     // ⚠️ ON NE SE REPLIE QUE SUR LA PREUVE. Toute autre erreur remonte telle quelle : l'appelant
@@ -826,7 +866,8 @@ async function appelerBump(corps, durcissementVoulu) {
     if (!signatureAbsente(erreur)) throw erreur;
     // La signature à 12 arguments n'existe pas (0018 non appliquée) : on retire l'argument et on
     // réessaie. Le durcissement n'est alors PAS appliqué — et ça se dit, une fois, plus bas.
-    _bumpSansDurcissementJusqua = Date.now() + MEMO_SANS_DURCISSEMENT_MS;
+    _dernierEchecDurcissement = Date.now();
+    _bumpSansDurcissementJusqua = _dernierEchecDurcissement + MEMO_SANS_DURCISSEMENT_MS;
     // ⚠️ CE QUI DISPARAÎT SE DIT. Le durcissement demandé n'est pas appliqué : sous
     // PLAYER_PRESENCE_STRICT, la porte se fermerait sur les battements legacy tout en laissant un
     // bootstrap auto-déclaré s'emparer d'une présence réclamée — c'est-à-dire une fermeture qui
@@ -1183,4 +1224,4 @@ async function listPresentationsForDoc(docId, email, isAdmin, autoriseLarge) {
 module.exports = {
   reacteurDepuisJeton,
   purgerPerimees,
-  messagePublic, CHAMPS_PUBLICS, cheminPieceJointe, init, createPresentation, getPresentation, setPage, endPresentation, addMessage, listMessages, toggleReaction, editMessage, deleteMessage, setChatLock, createUploadUrl, reclaimPresentation, touchPresentation, listActivePresentations, handoverPresentation, endPresentationByOwner, recordAttendance, presentationStats, listPresentationsForDoc, switchPresentationDoc, setPresentationContent , STALE_MS};
+  messagePublic, CHAMPS_PUBLICS, etatDurcissementBootstrap, cheminPieceJointe, init, createPresentation, getPresentation, setPage, endPresentation, addMessage, listMessages, toggleReaction, editMessage, deleteMessage, setChatLock, createUploadUrl, reclaimPresentation, touchPresentation, listActivePresentations, handoverPresentation, endPresentationByOwner, recordAttendance, presentationStats, listPresentationsForDoc, switchPresentationDoc, setPresentationContent , STALE_MS};