discovery-media-player 0.1.55 → 0.1.56

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "discovery-media-player",
-  "version": "0.1.55",
+  "version": "0.1.56",
   "description": "Self-hosted document viewer: per-recipient tracked links, reading analytics, live presentation. The core knows nothing about the application hosting it — everything it borrows arrives through an injected context.",
   "keywords": [
     "pdf-viewer",

package/server/handler.js

@@ -309,6 +309,12 @@ var Live=(function(){
   // participants, d'URL — donc du dehors. typers est le cas vif : il est alimenté par 'typing',
   // le SEUL événement qui croie encore son émetteur (cf. 0.1.30). Un objet nu retire la question
   // entière au lieu de la traiter cas par cas. (audit P1-2)
+  // ⚠️ _ordEtat, _ordChat et _filet VIVAIENT DANS connect() : disconnect(), défini ici, ne pouvait
+  // pas les atteindre. Après connect → disconnect → connect, les relectures de l'ancienne session
+  // continuaient — un spectateur qui rouvre la page doublait le trafic, et le filet de sécurité
+  // battait deux fois. On les déclare au niveau du CYCLE DE VIE : ce qui doit être arrêté doit
+  // être visible depuis l'endroit qui arrête.
+  var _ordEtat=null,_ordChat=null,_filet=null;
   var sb=null,ch=null,ME=null,SLUG=null,CONTROL=null,LOCKED=false,AUTHTOK=null,PRESENT=[],PRESNAME='',seen=Object.create(null),msgEls=Object.create(null),msgData=Object.create(null),replyCtx=null,typers=Object.create(null),pdfCache=Object.create(null),_tyT=0,_tyIv=0,_atIv=0,unread=0,autoOpened=false,_histDone=false,_phWired=false,_onMap=null,_onState=null,_peekT=0,MUTED=false;
   try{ MUTED=localStorage.getItem('3dd-present-mute')==='1'; }catch(e){}
   // Couper/rétablir les notifications du chat (cloche) : coupé = plus de ticker ni de pulse (badge silencieux gardé).
@@ -419,7 +425,14 @@ var Live=(function(){
     if(y)y.onclick=function(){close();if(onOk)onOk();};if(n)n.onclick=close;m.onclick=function(e){if(e.target===m)close();};
     document.addEventListener('keydown',key);m.classList.add('open');if(y)try{y.focus();}catch(e){}}
   function history(){fetch('/api/doc?present='+encodeURIComponent(SLUG)+'&chat=1').then(function(r){return r.json();}).then(function(d){var box=document.getElementById('chatMsgs');if(d&&d.messages&&d.messages.length){d.messages.forEach(function(m){addMsg(m);});}else if(box&&!box.children.length){box.innerHTML='<div class=chat-empty>Aucun message. Lancez la discussion.</div>';}if(d&&typeof d.locked!=='undefined')applyLock(d.locked);_histDone=true;}).catch(function(){_histDone=true;});}
-  function react(id,e){if(!ME||!id||!e)return;fetch('/api/doc',{method:'POST',headers:{'Content-Type':'application/json'},body:JSON.stringify({action:'present-react',slug:SLUG,msgId:+id,emoji:e,reactor:MOIREF})}).then(majDiffusee).catch(function(){});}
+  function react(id,e){if(!ME||!id||!e)return;
+    // ⚠️ ON ENVOIE L'ÉTAT VOULU, PAS « INVERSE ». Basculer n'a de sens qu'une fois : un renvoi
+    // réseau, un double-clic, une reprise de requête, et la réaction que le participant vient
+    // d'ajouter disparaît — sans aucune erreur affichée. Il voit son émoji s'allumer puis
+    // s'éteindre, recommence, et rebascule encore. Rejouer la même intention deux fois donne le
+    // même résultat qu'une fois ; c'est ce que le réseau exige.
+    var _m=msgData[id]||{},_rs=(_m.reactions&&_m.reactions[e])||[],veut=_rs.indexOf(MOIREF)<0;
+    fetch('/api/doc',{method:'POST',headers:{'Content-Type':'application/json'},body:JSON.stringify({action:'present-react',slug:SLUG,msgId:+id,emoji:e,reactor:MOIREF,etat:veut})}).then(majDiffusee).catch(function(){});}
   function setReply(id){var m=msgData[id];if(!m||m.deleted)return;var nm=m.author_name||'Invité';replyCtx={id:+id,name:nm,text:(m.body||'').slice(0,120)};var el=document.getElementById('chatReply');if(el){el.style.display='flex';el.innerHTML='<span class=cq><b>'+esc(nm)+'</b> '+esc((m.body||'').slice(0,80))+'</span><button id=chatReplyX title=Annuler>×</button>';var x=document.getElementById('chatReplyX');if(x)x.addEventListener('click',clearReply);}var t=document.getElementById('chatText');if(t)t.focus();}
   function clearReply(){replyCtx=null;var el=document.getElementById('chatReply');if(el){el.style.display='none';el.innerHTML='';}}
   function send(){var i=document.getElementById('chatText');var t=(i.value||'').trim();if(!t||!ME)return;if(LOCKED&&!canMod())return;i.value='';toggleSend();
@@ -605,14 +618,14 @@ var Live=(function(){
           arreter:function(){ ord.arreter(); },
         };
       }
-      var _ordEtat=relireAvec('&state=1',function(d){if(d.state)etatDuServeur(d.state);});
+      _ordEtat=relireAvec('&state=1',function(d){if(d.state)etatDuServeur(d.state);});
       // ⚠️ Exposé hors de cette fermeture : la carte vit dans un AUTRE bloc de script et doit
       // pouvoir déclencher la relecture. Même raison que window.__presAppliquerEtat — un nom
       // référencé depuis la mauvaise portée part dans un catch muet, et l'audience se fige.
       window.__presRelireEtat=function(){_ordEtat.signaler();};
       function relireEtat(){_ordEtat.signaler();}
       function relireChat(){_ordChat.signaler();}
-      var _ordChat=relireAvec('&chat=1',function(d){
+      _ordChat=relireAvec('&chat=1',function(d){
           // ⚠️ NOTIFIER CE QUI VIENT D'ARRIVER, ET SEULEMENT ÇA. 'addMsg' rend faux pour un
           // message déjà connu — la relecture ramène tout l'historique, donc sans cette condition
           // la pastille de non-lus compterait chaque message à chaque relecture. Et sans l'appel,
@@ -627,7 +640,7 @@ var Live=(function(){
       // rattrape ce cas : elle ne coûte presque rien et évite qu'une audience reste figée sur un
       // état périmé en croyant être à jour. C'est l'inverse d'une optimisation : c'est le prix de
       // la borne.
-      var _filet=setInterval(function(){_ordEtat.maintenant();_ordChat.maintenant();},25000);
+      _filet=setInterval(function(){_ordEtat.maintenant();_ordChat.maintenant();},25000);
 
       // ⚠️ LE TITRE VIENT D'ICI, PAS DE LA PRÉSENCE. La liste des participants tirait
       // « présentateur » de la charge de présence, que chacun compose lui-même : un
@@ -662,7 +675,7 @@ var Live=(function(){
       // → évite les fantômes (« je me vois deux fois » au retour). Une seule fois.
       if(!_phWired){_phWired=true;window.addEventListener('pagehide',function(){try{clearInterval(_filet);_ordEtat.arreter();_ordChat.arreter();}catch(e){}try{if(ch){ch.untrack();ch.unsubscribe();ch=null;}}catch(e){}});}
     }catch(e){}}
-  function disconnect(){try{clearInterval(_tyIv);}catch(e){}try{clearInterval(_atIv);}catch(e){}try{sendAttend();}catch(e){}try{if(ch){ch.untrack();ch.unsubscribe();ch=null;}}catch(e){}var pb=document.getElementById('presBtn');if(pb)pb.style.display='none';var cb=document.getElementById('chatBtn');if(cb)cb.style.display='none';var _fb=document.getElementById('chatFab');if(_fb)_fb.classList.remove('on');var pn=document.getElementById('chatPanel');if(pn)pn.classList.add('hidden');}
+  function disconnect(){try{clearInterval(_tyIv);}catch(e){}try{clearInterval(_atIv);}catch(e){}try{clearInterval(_filet);_filet=null;}catch(e){}try{if(_ordEtat)_ordEtat.arreter();_ordEtat=null;}catch(e){}try{if(_ordChat)_ordChat.arreter();_ordChat=null;}catch(e){}try{delete window.__presRelireEtat;}catch(e){window.__presRelireEtat=null;}try{sendAttend();}catch(e){}try{if(ch){ch.untrack();ch.unsubscribe();ch=null;}}catch(e){}var pb=document.getElementById('presBtn');if(pb)pb.style.display='none';var cb=document.getElementById('chatBtn');if(cb)cb.style.display='none';var _fb=document.getElementById('chatFab');if(_fb)_fb.classList.remove('on');var pn=document.getElementById('chatPanel');if(pn)pn.classList.add('hidden');}
   // Membre de l'équipe reconnu via la session app (MÊME ORIGINE, localStorage) → avatar + nom auto.
   // Le jeton d'acces de la session locale, quand il y en a une. C'est la SEULE chose qui prouve au
   // serveur qu'on est un membre ; 'member:true' dans la page ne prouve rien, il ne sert qu'a l'affichage.
@@ -1532,6 +1545,12 @@ async function profilDuJeton(req) {
   } catch { return null; }
 }
 
+/**
+ * Plafond du relais, en octets. Réglable par l'exploitant : un hôte qui sert des plans
+ * d'architecte n'a pas les mêmes documents qu'un hôte qui sert des notices.
+ */
+const PLAFOND_RELAIS = Number(process.env.PLAYER_MAX_RELAY_BYTES || 0) || 60 * 1024 * 1024;
+
 async function relayerFichier(res, r, disposition) {
   if (!r) { res.statusCode = 404; res.end("Fichier indisponible"); return; }
   if (!r.ok && r.status !== 206) { res.statusCode = 502; res.end("Fichier indisponible"); return; }
@@ -1539,6 +1558,23 @@ async function relayerFichier(res, r, disposition) {
   const compresse = !!r.headers.get("content-encoding");
   if (compresse && r.status === 206) { res.statusCode = 502; res.end("Fichier indisponible"); return; }
 
+  // ⚠️ UN PLAFOND, ET IL REFUSE AVANT D'ALLOUER. Ce relais chargeait le fichier ENTIER en mémoire
+  // sans borne : un PDF de 80 Mo, trois requêtes Range simultanées, et une fonction serverless
+  // tombe — pas pour un document en particulier, pour la somme. Le défaut n'est pas la taille d'un
+  // fichier, c'est l'absence de toute limite haute.
+  //
+  // ⚠️ ON REGARDE `Content-Length` AVANT DE LIRE LE CORPS : refuser après l'allocation ne protège
+  // de rien, c'est l'allocation qui coûte. Un amont qui n'annonce pas sa taille passe quand même —
+  // on ne peut pas refuser ce qu'on ne sait pas mesurer, et fermer par défaut couperait des
+  // stockages parfaitement légitimes. La borne est donc une garde contre le GROS, pas contre
+  // l'inconnu ; c'est ce que le streaming, lui, fermera vraiment.
+  const annoncee = Number(r.headers.get("content-length") || 0);
+  if (annoncee > PLAFOND_RELAIS) {
+    try { PLAYER.errors.capture(new Error(`relais refusé : ${annoncee} octets au-dessus du plafond de ${PLAFOND_RELAIS}`), { route: "relais" }); } catch { /* jamais bloquant */ }
+    res.statusCode = 413;
+    res.end("Fichier trop volumineux");
+    return;
+  }
   const buf = Buffer.from(await r.arrayBuffer());
   res.statusCode = r.status;
   const typeAmont = r.headers.get("content-type") || "application/pdf";
@@ -4028,6 +4064,8 @@ async function handler(req, res) {
 // ⚠️ `TIERS` est exporté pour être CONFRONTÉ, pas pour être utilisé. Le banc navigateur et la
 // forge doivent pouvoir demander « quelles dépendances tierces, à quelles empreintes » sans en
 // tenir une seconde liste — c'est la seule façon qu'une empreinte périmée finisse par se voir.
-module.exports = { handler, init, TIERS };
+// ⚠️ Exporté pour être ÉPROUVÉ, pas pour être appelé : le plafond du relais ne se vérifie qu en
+// regardant si le corps a été lu, ce qu aucune route ne peut montrer de l extérieur.
+module.exports = { handler, init, TIERS, __relayerFichier: relayerFichier };
 
 // redeploy: forcer le build production (Vercel a sauté la prod du merge #463 — wording re-partage).

package/server/presentations.js

@@ -381,6 +381,19 @@ function messagePublic(row) {
   if ("reactions" in out) out.reactions = reactionsPubliques(out.reactions);
   // Dérivé, jamais recopié : `author_hash` est lu pour ça et ne sort jamais tel quel.
   if ("author_hash" in row) out.author_ref = refAuteur(row.author_hash);
+  // ⚠️ LA GARDE CATÉGORIELLE N'EST PAS ICI, ET LA RAISON EST STRUCTURELLE.
+  //
+  // La liste blanche s'exécute AVANT : elle a déjà retiré tout champ inconnu. `publier()` n'y
+  // verrait donc qu'un jeu de champs connus, et aucune mutation ne peut la faire tomber à cet
+  // endroit — la redondance n'est pas une ceinture, c'est une garde qu'on ne peut pas éprouver.
+  //
+  // ⚠️ Et le cas qu'on écrirait pour forcer le rouge serait faux : `author_name` est CHOISI par le
+  // participant. Quelqu'un qui se nomme « lea@exemple.fr » verrait le chat tomber — le piège de
+  // `body`, rencontré une seconde fois au même endroit.
+  //
+  // Sa place est aux sorties SANS liste blanche : charge de présence, statistiques, aperçu d'un
+  // partage — là où un champ ajouté demain sort sans que personne ne l'ait décidé. C'est là qu'une
+  // mutation pourra rougir, et donc là qu'elle sera branchée.
   return out;
 }
 
@@ -470,7 +483,21 @@ async function setChatLock(slug, control, locked) {
 }
 
 // Réaction emoji (toggle) : le participant (identifié par email ou nom) ajoute/retire un emoji sur un message.
-async function toggleReaction(slug, msgId, emoji, reactor) {
+/**
+ * ⚠️ ON POSE UN ÉTAT, ON NE BASCULE PLUS — et la différence est ce qui rend l'opération IDEMPOTENTE.
+ *
+ * « Basculer » n'a de sens qu'une fois : un renvoi réseau, un double-clic, une reprise de requête,
+ * et la réaction que le participant vient d'ajouter disparaît. Il ne voit aucune erreur — il voit
+ * son émoji s'allumer puis s'éteindre, et il recommence, ce qui rebascule encore.
+ *
+ * L'appelant sait ce qu'il VEUT (`etat`), pas ce qu'il faut inverser. Rejouer la même intention
+ * deux fois donne le même résultat qu'une fois, ce qui est exactement la propriété qu'un réseau
+ * peu fiable exige. Constat P10 de l'audit.
+ *
+ * ⚠️ Compatibilité : `etat` absent = ancien client, on bascule comme avant. Un client à jour ne
+ * repasse jamais par là ; un ancien garde son comportement plutôt que de perdre la fonction.
+ */
+async function toggleReaction(slug, msgId, emoji, reactor, etat) {
   if (await estArchive(slug)) return REFUS_ARCHIVE;
   const id = Math.trunc(+msgId); const e = String(emoji || "").slice(0, 8); const who = String(reactor || "").slice(0, 160).toLowerCase();
   if (!id || !e || !who) return { ok: false, status: 400 };
@@ -498,7 +525,9 @@ async function toggleReaction(slug, msgId, emoji, reactor) {
   const cur = Object.assign(Object.create(null), brut);
   const arr = Array.isArray(cur[e]) ? cur[e] : [];
   const i = arr.indexOf(who);
-  if (i >= 0) arr.splice(i, 1); else arr.push(who);
+  const veut = etat === undefined || etat === null ? (i < 0) : !!etat;
+  if (veut && i < 0) arr.push(who);
+  if (!veut && i >= 0) arr.splice(i, 1);
   if (arr.length) cur[e] = arr; else delete cur[e];
   const maj = await PLAYER.db.request(`doc_presentation_messages?id=eq.${id}&select=*`, { method: "PATCH", headers: { Prefer: "return=representation" }, body: { reactions: cur } });
   return { ok: true, message: premierPublic(maj) };

package/server/publier.js

@@ -0,0 +1,72 @@
+// AUCUNE ADRESSE NE SORT — LA CATÉGORIE, PAS LES QUATRE CHEMINS CONNUS.
+//
+// Nous avions corrigé quatre chemins qui portaient l'adresse d'un membre : les champs publics du
+// chat, la carte des réactions, la charge de présence, la clé du canal. Le second hôte a dit ce
+// qui manquait, et il avait raison : « mon fermé vaut pour les chemins que j'ai su nommer, pas
+// pour la catégorie ». Rien ne garantissait qu'il n'y en avait pas un cinquième.
+//
+// ⚠️ CE N'EST PAS UNE SONDE QUI PRODUIT UNE LISTE. Une garde qui signale « ces vingt endroits
+// ressemblent à des adresses » transfère le travail : quelqu'un doit juger vingt cas, et le
+// jugement est précisément ce qui ne passe pas à l'échelle. Celle-ci REFUSE — le champ ne sort
+// pas, et il faut écrire une décision pour qu'il sorte.
+//
+// ⚠️ ET ELLE NE NETTOIE PAS EN SILENCE. Effacer l'adresse au passage serait pire que la laisser :
+// on croirait la donnée partie alors qu'elle n'a jamais été prévue. Une valeur inattendue à la
+// sortie est un défaut de conception, pas une impureté à filtrer — donc on lève.
+
+// Reconnaît une adresse par sa FORME, pas par le nom du champ. `author_email` était nommé ; les
+// réactions ne l'étaient pas, et c'est là que l'adresse se cachait.
+const ADRESSE = /[A-Za-z0-9._%+-]+@[A-Za-z0-9.-]+\.[A-Za-z]{2,}/;
+
+/**
+ * Rend l'objet tel quel s'il ne porte aucune adresse ; lève sinon, en NOMMANT le chemin.
+ *
+ * Le chemin compte plus que la valeur : « reactions.👍[0] » dit où regarder, « une adresse a été
+ * trouvée » envoie chercher.
+ */
+/**
+ * ⚠️ LES CHAMPS QUE LES GENS RÉDIGENT, ET CEUX QUI DÉSIGNENT QUELQU'UN — la distinction que le
+ * premier branchement n'avait pas.
+ *
+ * Branchée sur tout, la garde levait sur `body` : un participant qui écrit « écris-moi à
+ * lea@exemple.fr » dans le chat voyait son message provoquer une exception. Elle transformait un
+ * usage normal en panne, et je l'ai mesuré plutôt que supposé.
+ *
+ * Une adresse DANS UN MESSAGE est du contenu : son auteur l'a écrite exprès, pour un destinataire
+ * qu'il a choisi. Une adresse dans un champ d'IDENTITÉ n'a été choisie par personne : elle vient
+ * de la base, et elle sort vers toute l'audience. Ce n'est pas la même donnée, et la garde ne doit
+ * pas les traiter pareil.
+ *
+ * ⚠️ LISTE DES CHAMPS DE CONTENU, PAS DES CHAMPS D'IDENTITÉ — et le sens de l'inversion est la
+ * garde elle-même. Énumérer ce qu'on protège laisse passer la colonne ajoutée demain ; énumérer
+ * ce qu'on EXEMPTE oblige à écrire une décision pour chaque exemption. Un champ inconnu est
+ * protégé par défaut.
+ */
+const CONTENU = new Set(["body", "reply_text", "text", "message", "content", "caption"]);
+
+function publier(valeur, ou = "") {
+  if (typeof valeur === "string") {
+    if (ADRESSE.test(valeur)) {
+      throw Object.assign(
+        new Error(`adresse refusée à la sortie publique : ${ou || "(racine)"}`),
+        { statusCode: 500, champ: ou },
+      );
+    }
+    return valeur;
+  }
+  if (Array.isArray(valeur)) { valeur.forEach((v, i) => publier(v, `${ou}[${i}]`)); return valeur; }
+  if (valeur && typeof valeur === "object") {
+    // ⚠️ Les CLÉS aussi : la carte des réactions portait les identités en clé chez d'autres hôtes,
+    // et une garde qui ne regarde que les valeurs laisserait passer exactement ce cas.
+    for (const [k, v] of Object.entries(valeur)) {
+      publier(k, ou ? `${ou}.<clé>` : "<clé>");
+      // Le champ que quelqu'un a rédigé traverse ; tout le reste est inspecté.
+      if (CONTENU.has(k)) continue;
+      publier(v, ou ? `${ou}.${k}` : k);
+    }
+    return valeur;
+  }
+  return valeur;
+}
+
+module.exports = { publier, ADRESSE, CONTENU };