discovery-media-player 0.1.170 → 0.1.172

package/docs/HOST-CONTRACT.md

@@ -512,6 +512,30 @@ said the player holds no server secret at all — too absolute: the standalone c
 The player's counters bound the *rate*; your plugin bounds the *code*. Both are needed, and neither
 replaces the other.
 
+## Who may open a restricted document (`plugins.documentAccess`, 0.1.172)
+
+The visitor wall answers one question: *has this person proven an address?* A host that restricts a document to
+**its own team**, or to one partner organisation, could not express it — any proven address opened it. Provide
+`plugins.documentAccess` with:
+
+```js
+decide({ share, visitor }) → Promise<{ ok: true } | { ok: false, reason?: "denied" | "unavailable" }>
+```
+
+It is called for a document whose link carries `require_auth`, once the visitor is signed in (`visitor` is what
+`plugins.visitors.currentVisitor(req)` returned). It is **not** called for an open document, nor before the visitor
+signs in — the wall handles that.
+
+| your answer | what the reader gets |
+|---|---|
+| `{ ok: true }` | the document |
+| `{ ok: false }` | the wall again, saying *this address* has no access, so they can sign in with the one the document was sent to; `?file=1` answers `403 { error: "denied" }` without streaming; embedded, the bridge reports `denied` |
+| an exception, anything unreadable, or `{ ok: false, reason: "unavailable" }` | a **refusal** (`auth-unavailable`; `?file=1` → `503`) — never an opening. The exception goes to `errors.capture` |
+
+Without the plugin, nothing changes: a proven address opens the document, as before. ⚠️ **That is also why its
+absence is silent** — a host that upgrades the player without wiring the plugin keeps the old behaviour and sees no
+error. Test that your host actually provides it.
+
 ## ⚠️ What `limits.allow` promises changed
 
 It used to promise *best effort, per process*. The standalone context now counts in a **shared
@@ -919,7 +943,8 @@ closed.
 |---|---|---|
 | `revoked` | unknown or revoked link | do not open |
 | `auth-required` | restricted document, visitor not signed in | do not open — the wall stays up |
-| `auth-unavailable` | restricted document, access wall missing from this instance | do not open |
+| `auth-unavailable` | restricted document, access wall missing from this instance — or the host's `documentAccess` plugin failed | do not open |
+| `denied` | restricted document, visitor signed in but the host's `documentAccess` plugin says this address has no access (0.1.172) | do not open — the wall stays up and offers another address |
 | `expired` | the link's expiry date has passed (migration `0028`) | do not open — the page tells the reader to ask for a new link |
 | `password-required` | the link is password-protected and this browser has not entered it (migration `0028`) | do not open — the password page stays up in the frame |
 | `ended` | presentation over or unknown | do not open |

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "discovery-media-player",
-  "version": "0.1.170",
+  "version": "0.1.172",
   "description": "Self-hosted document viewer: per-recipient tracked links, reading analytics, live presentation. The core knows nothing about the application hosting it — everything it borrows arrives through an injected context.",
   "keywords": [
     "pdf-viewer",

package/server/handler.js

@@ -9,7 +9,7 @@ const crypto = require("crypto");
 const { capturerSansBloquer } = require("./capture");
 const { Readable } = require("node:stream");
 const { pipeline } = require("node:stream/promises");
-const { getShareBySlug, resoudreLien } = require("./shares");
+const { resoudreLien } = require("./shares");
 const { PRESENT_QUOTA_PER_HOUR, PRESENT_CACHE_MS, estSlug } = require("./shared.generated.js");
 const { creerCache, CODE_SATURATION } = require("./cache.js");
 const mesures = require("./mesures.js");
@@ -1145,13 +1145,17 @@ async function handlerMesure(req, res) {
         embed ? embedFrameAncestors() : "'self'");
     }
 
-    const share = slug ? await getShareBySlug(slug, req) : null;
+    // ⚠️ UNE LECTURE, PAS DEUX. 0.1.170 demandait le lien à `getShareBySlug`, puis, quand il ne s'ouvrait pas,
+    // le RELISAIT par `resoudreLien` pour dire pourquoi — la même ligne, deux allers-retours, et sur le chemin le plus
+    // fréquent des refus (un lien révoqué qui circule encore). `resoudreLien` rend les deux à la fois.
+    const lu = slug ? await resoudreLien(slug, req) : { share: null, refus: "revoked", ligne: null };
+    const share = lu.share;
     if (!share) {
       // ⚠️ UN LIEN PROTÉGÉ (0028) NE SE CONFOND PAS AVEC UN LIEN RÉVOQUÉ. Expiré, il le DIT — la
       // personne peut en demander un autre ; fermé par un mot de passe, il le DEMANDE. Et dans les
       // deux cas le FICHIER reste derrière : servir la page du mot de passe en laissant `?file=1`
       // streamer le PDF serait une porte de décor (la leçon de `murDocument.test.js`).
-      const { refus, ligne } = slug ? await resoudreLien(slug, req) : { refus: "revoked", ligne: null };
+      const { refus, ligne } = lu;
       if (refus === "expired") {
         if (String(q.file || "") === "1") { repondreJson(res, 410, { ok: false, error: "expired" }); return; }
         if (!embed) return sendHtml(res, 410, lienExpireHtml(ligne));
@@ -1175,8 +1179,31 @@ async function handlerMesure(req, res) {
     if (share.require_auth === true && !visitors) return sendRefusal(res, "auth-unavailable", embed);
     const gated = share.require_auth === true && !visitor;
 
+    // L'ACCÈS PAR DOCUMENT (0.1.172) — greffon facultatif `documentAccess`. Le mur ne savait dire qu'une chose :
+    // « cette personne a prouvé son adresse ». Un hôte qui réserve un document à SON équipe, ou à une organisation,
+    // ne pouvait pas l'exprimer : toute adresse prouvée l'ouvrait. Le greffon répond, pour un document réservé et un
+    // visiteur identifié, « oui » ou « non » — c'est l'HÔTE qui sait qui a droit à quoi.
+    //   · absent : l'ancien comportement (une adresse prouvée suffit) — rien ne change pour un hôte qui ne l'a pas ;
+    //   · « non » : le mur revient, en disant que CETTE adresse n'a pas accès, et propose d'en utiliser une autre ;
+    //   · une panne (exception, réponse illisible, `reason: "unavailable"`) : REFUS — jamais d'ouverture par défaut.
+    let refusAcces = null;
+    if (share.require_auth === true && visitor && PLAYER.plugins.documentAccess) {
+      let d = null;
+      try { d = await PLAYER.plugins.documentAccess.decide({ share, visitor }); } catch (e) {
+        try { await PLAYER.errors.capture(e, { route: "doc", etape: "documentAccess" }); } catch { /* la capture ne décide rien */ }
+      }
+      if (!d || d.ok !== true) refusAcces = d && d.ok === false && d.reason !== "unavailable" ? "denied" : "auth-unavailable";
+    }
+    if (refusAcces === "auth-unavailable") {
+      if (String(q.file || "") === "1") { repondreJson(res, 503, { ok: false, error: "auth-unavailable" }); return; }
+      return sendRefusal(res, "auth-unavailable", embed);
+    }
+
     if (String(q.file || "") === "1") {
       if (gated) { repondreJson(res, 401, { ok: false, error: "auth" }); return; }
+      // Le FICHIER reste derrière un refus d'accès, comme derrière le mur : une page qui dit non en laissant ?file=1
+      // streamer le PDF serait une porte de décor.
+      if (refusAcces === "denied") { repondreJson(res, 403, { ok: false, error: "denied" }); return; }
       // Stream depuis le Storage en RELAYANT les requêtes Range → pdf.js charge progressivement (les 1res
       // pages s'affichent sans télécharger tout le PDF) → affichage bien plus rapide.
       const range = req.headers["range"];
@@ -1189,15 +1216,16 @@ async function handlerMesure(req, res) {
 
     // Soft wall : contenu réservé → on sert la page de connexion visiteur (email + code)
     // AVANT de charger le lecteur. À la vérification, le cookie est posé → un reload lève le mur.
-    if (gated) {
+    if (gated || refusAcces === "denied") {
       let wlogo = ""; try { wlogo = await PLAYER.branding.logo(); } catch { /* sans logo */ }
       const wnonce = crypto.randomBytes(16).toString("base64");
       const gcid = visitors.googleClientId();
       // Intégré : le mur reste affiché (le visiteur peut s'y connecter sur place) mais il DIT à
       // l'hôte que le document est retenu — sinon l'hôte croit à une panne et replie sur son
-      // lecteur, qui lui ouvrirait le document que ce mur protège.
-      const wall = softWallHtml(share, wnonce, wlogo, gcid)
-        + (embed ? `<script nonce="${wnonce}">try{parent.postMessage({type:"3dd-doc-embed-denied",reason:"auth-required"},"*")}catch(e){}</script>` : "");
+      // lecteur, qui lui ouvrirait le document que ce mur protège. Refusé à CETTE adresse : `denied`.
+      const raison = refusAcces === "denied" ? "denied" : "auth-required";
+      const wall = softWallHtml(share, wnonce, wlogo, gcid, refusAcces === "denied" ? { refuse: String(visitor.email || "") } : null)
+        + (embed ? `<script nonce="${wnonce}">try{parent.postMessage({type:"3dd-doc-embed-denied",reason:${jsonPourScript(raison)}},"*")}catch(e){}</script>` : "");
       return sendSoftWallHtml(res, wall, wnonce, [originOf(wlogo), originOf(share.brand_logo)].filter(Boolean).join(" "), embed ? embedFrameAncestors() : null);
     }
 

package/server/page-mur.js

@@ -14,7 +14,10 @@ function notFoundHtml() {
 // Page « soft wall » : accès à un document réservé (require_auth). On ne demande PAS un compte,
 // on propose de RECEVOIR le document — l'email est l'action pour débloquer, pas un péage.
 // Email → code à 6 chiffres → cookie posé → reload → le lecteur s'ouvre. (Google = Lot B.)
-function softWallHtml(share, nonce, logoUrl, googleClientId) {
+function softWallHtml(share, nonce, logoUrl, googleClientId, opts) {
+  // Refusé à CETTE adresse (greffon `documentAccess`, 0.1.172) : on le dit, et on garde le formulaire — l'issue est
+  // de s'identifier avec l'adresse à laquelle le document a été envoyé.
+  const refuse = opts && typeof opts.refuse === "string" ? opts.refuse : null;
   const title = esc(share.doc_title || share.file_name || "ce document");
   const brandLogo = esc(share.brand_logo || "");
   const dark = !!share.brand_dark;
@@ -56,8 +59,11 @@ function softWallHtml(share, nonce, logoUrl, googleClientId) {
 <body>
   <div class=card>
     ${logo ? `<img class=logo src="${logo}" alt="${logoAlt}">` : ""}
-    <h1>Accédez à votre document</h1>
-    <p class=sub><span class=doc>${title}</span><br>Débloquez-le en un instant.</p>
+    ${refuse !== null
+      ? `<h1>Ce document vous est réservé</h1>
+    <p class=sub><span class=doc>${title}</span><br>${refuse ? `L'adresse ${esc(refuse)} n'y a pas accès.` : "Cette adresse n'y a pas accès."} Identifiez-vous avec l'adresse à laquelle il vous a été envoyé.</p>`
+      : `<h1>Accédez à votre document</h1>
+    <p class=sub><span class=doc>${title}</span><br>Débloquez-le en un instant.</p>`}
 
     ${gcid ? `<div id=gbtn class=gbtn></div><div class=orsep><span>ou par email</span></div>` : ""}
     <div id=s1>