discovery-media-player 0.1.52 → 0.1.53

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "discovery-media-player",
-  "version": "0.1.52",
+  "version": "0.1.53",
   "description": "Self-hosted document viewer: per-recipient tracked links, reading analytics, live presentation. The core knows nothing about the application hosting it — everything it borrows arrives through an injected context.",
   "keywords": [
     "pdf-viewer",

package/server/handler.js

@@ -2389,13 +2389,30 @@ ${LEGAL_CSS}
     //
     // Le drapeau posé sur la fenêtre permet au banc d'EXIGER le refus, au lieu de constater une
     // absence de rendu qui aurait dix causes.
+    // ⚠️ ON NE FERME QUE CE QUI DÉPEND DU WORKER. Le premier correctif gatait la mise en route du
+    // lecteur ENTIER — or elle sert aussi au chemin IMAGE, qui n appelle pdf.js à aucun moment. Un
+    // worker invérifiable empêchait donc d afficher un PNG : une porte fermée sur une pièce que le
+    // code refusé ne pouvait pas atteindre.
+    //
+    // ⚠️ PAS D ACCENT GRAVE ICI : ce commentaire vit dans le gabarit de la page, un accent grave y
+    // ferme la chaîne. Troisième fois aujourd hui.
+    //
+    // Trouvé par le harnais de l hôte, pas ici : son essai d assistant a cessé de démarrer, et j ai
+    // d abord diagnostiqué un artefact de jsdom. Corriger le harnais aurait masqué le défaut.
+    //
+    // Le refus reste ENTIER pour un PDF, là où le worker s exécute.
+    function refuserWorker(){
+      window.__workerRefuse=1;
+      if(IS_IMG){ start(); return; }
+      loadError("Document non affiche : une dependance n a pas pu etre verifiee.");
+    }
     var wsrc=CFG.pdfjs+'/pdf.worker.min.js';
     try{
       Player.viewer.workerBlobUrl(wsrc,'${TIERS.pdfWorker.sri}').then(function(u){
-        if(!u){ window.__workerRefuse=1; loadError("Document non affiche : une dependance n a pas pu etre verifiee."); return; }
+        if(!u){ refuserWorker(); return; }
         pdfjsLib.GlobalWorkerOptions.workerSrc=u; start();
-      }).catch(function(){ window.__workerRefuse=1; loadError("Document non affiche : une dependance n a pas pu etre verifiee."); });
-    }catch(e){ window.__workerRefuse=1; loadError("Document non affiche : une dependance n a pas pu etre verifiee."); }
+      }).catch(refuserWorker);
+    }catch(e){ refuserWorker(); }
     // Bord à bord en une-page mobile : chaque millimètre compte, surtout pour un PDF paysage.
     function baseWidth(){ var pad=(onePage&&window.innerWidth<=820)?0:30; return (scrollEl.clientWidth||900)-pad; }
     // Hauteur du document OCCULTÉE par la bottom sheet du bot (mobile, état compagnon) : la page une-page se

package/supabase/migrations/0004-limites-atomiques.sql

@@ -53,3 +53,20 @@ $$;
 
 -- Le player parle à la base avec la clé de service ; personne d'autre n'a à appeler ceci.
 revoke all on function public.player_rate_limit_bump(text, integer, integer) from public, anon, authenticated;
+
+-- ⚠️ LE `revoke` CI-DESSUS NE SUFFIT PAS À RENDRE CE FICHIER VRAI TOUT SEUL — signalé par le
+-- second hôte, qui a interrogé `has_function_privilege` au lieu de relire la migration. Chez
+-- Supabase, `service_role` conserve l'exécution parce que les privilèges par défaut la lui
+-- accordent explicitement : le fichier marche par une propriété de la plateforme, pas par ce qu'il
+-- dit. Porté sur un Postgres nu, le `revoke ... from public` emporterait aussi le compte de
+-- service — et le player perdrait sa limite EN SILENCE, puisqu'un appel qui échoue laisse passer.
+--
+-- On accorde donc explicitement, et seulement si le rôle existe : sur une base sans `service_role`,
+-- l'exploitant accorde l'exécution au rôle que son instance utilise réellement.
+do $$
+begin
+  if exists (select 1 from pg_roles where rolname = 'service_role') then
+    grant execute on function public.player_rate_limit_bump(text, integer, integer) to service_role;
+  end if;
+end
+$$;