discovery-media-player 0.1.60 → 0.1.61

package/docs/HOST-CONTRACT.md

@@ -65,6 +65,25 @@ it. `verdict` is then one of:
 | `partiel` | some expectations checked, none of them missing |
 | `complet` | all checked, all present |
 | `incomplet` | at least one is missing — `manquant` names the file and the sleeping feature |
+
+Each `manquant` entry has **exactly this shape** — pin your parser to it, not to what a schema
+probe "should" return:
+
+```json
+{ "migration": "supabase/migrations/0006-reactions-ordonnees.sql",
+  "fonction": "empêcher deux réactions simultanées de s'écraser" }
+```
+
+⚠️ This shape went **undocumented** for two releases, and the second host typed it from memory as
+`{table, colonne, migration}` — their monitoring filter then discarded every real entry and would
+have shown an empty table on a database that was actually missing something. **No mutation on
+their side could catch it: their test built the card the same wrong way, so the bench validated
+the assumption instead of the behaviour.** The only cure was reading data they had not fabricated.
+If you consume this card, test your parser against the JSON above, not against a fixture you wrote.
+
+⚠️ **A card without a `schema` field is an alert, not a success**: it signals an instance older
+than 0.1.58 — a version that cannot answer the question. (Rule contributed by the second host, for
+exactly the monitoring case where "no data" would otherwise read as "all clear".)
 | `indetermine` | the database did not answer; this measurement did not happen |
 
 ⚠️ **`incomplet` wins over `partiel`**: a missing column is a positive fact and settles the verdict

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "discovery-media-player",
-  "version": "0.1.60",
+  "version": "0.1.61",
   "description": "Self-hosted document viewer: per-recipient tracked links, reading analytics, live presentation. The core knows nothing about the application hosting it — everything it borrows arrives through an injected context.",
   "keywords": [
     "pdf-viewer",

package/server/handler.js

@@ -2102,6 +2102,8 @@ ${LEGAL_CSS}
   .pbar-link{border:1px solid #e4e0d9;border-radius:8px;padding:6px 9px;font:inherit;font-size:12px;color:#555;width:240px;max-width:32vw;background:#f8f6f2}
   .pbar-btn{border:1px solid #e4e0d9;background:#f6f4ef;color:#1c1c1c;border-radius:8px;padding:7px 11px;font:inherit;font-size:12.5px;font-weight:600;cursor:pointer;white-space:nowrap}
   .pbar-btn:hover{background:#eceae5}
+  .pbar-err{display:none;color:#b3261e;font-size:12px;font-weight:600;max-width:260px;line-height:1.25}
+  .pbar-err.on{display:inline-block}
   #pbarEnd{color:#c0392b}
   /* Barre d'outils responsive : sous 860px, zoom/plein écran/Présenter/Partager/Télécharger passent dans le
      menu « ⋯ » ; le titre se tronque puis disparaît. */
@@ -2149,6 +2151,7 @@ ${LEGAL_CSS}
     <button class=pbar-btn id=pbarInvite>Inviter l'équipe</button>
     <button class=pbar-btn id=pbarHandover>Passer la main</button>
     <button class=pbar-btn id=pbarEnd>Terminer</button>
+    <span class=pbar-err id=pbarErr role=alert></span>
   </div>` : ""}
   <div class=pop id=pop>
     <h4>Transmettre le document</h4>
@@ -2348,15 +2351,39 @@ ${LEGAL_CSS}
       if(!PRES) return Promise.resolve();
       var p=PRES, btn=document.getElementById('pbarEnd'), libelle=btn?btn.textContent:'';
       if(btn){ btn.disabled=true; btn.textContent='…'; }
+      var errAvant=document.getElementById('pbarErr'); if(errAvant){ errAvant.classList.remove('on'); }
       return Player.live.fetchBorne('/api/doc',{method:'POST',headers:{'Content-Type':'application/json'},keepalive:true,
           body:JSON.stringify({action:'present-end',slug:p.slug,control:p.control})})
         .then(function(r){ if(!r||!r.ok) throw new Error('present-end'); })
         .then(function(){
+          // RELIRE, PAS REUTILISER : un second aller-retour, indépendant de l'écriture. Réserve
+          // posée par le second hôte, et elle est juste — relire la réponse du PATCH ferait ce que
+          // faisait le cache négatif : la mesure confirmerait ce que l'écriture CROIT avoir fait.
+          // C'est le seul moyen de rendre observable la classe entière des succès silencieux, y
+          // compris contre un futur serveur qui répondrait ok sans avoir écrit.
+          return Player.live.fetchBorne('/api/doc?present='+encodeURIComponent(p.slug)+'&state=1')
+            .then(function(r){ return r&&r.ok?r.json():null; })
+            .catch(function(){ return null; });   // relecture INDISPONIBLE n'est pas « encore active »
+        })
+        .then(function(d){
+          if(d&&d.state&&d.state.active){
+            // Le serveur a dit oui, la base dit encore active : fin non prise, ou reprise ailleurs.
+            // Dans les deux cas, fermer l'interface mentirait au présentateur.
+            if(btn){ btn.disabled=false; btn.textContent=libelle||'Terminer'; }
+            var err2=document.getElementById('pbarErr');
+            if(err2){ err2.textContent='La présentation est ENCORE ACTIVE après la fin — reprise ailleurs, ou fin non prise. Réessayez.'; err2.classList.add('on'); }
+            return;
+          }
           PRES=null; clearInterval(_hbIv); clearCtl(p.slug);
           var pb=document.getElementById('pbar'); if(pb)pb.style.display='none';
           try{ if(window.Live){ Live.sendState(); Live.disconnect(); } }catch(e){}
         }, function(){
-          if(btn){ btn.disabled=false; btn.textContent=libelle||'Terminer'; btn.title='La fin n’a pas été enregistrée — réessayez.'; }
+          // L'échec d'une clôture ne prive de rien qu'on regarde : son succès ne produit rien,
+          // donc son échec non plus. La première version le disait dans un TITLE — un tooltip que
+          // personne ne survole. Le second hôte a eu des présentations « actives » trois jours.
+          if(btn){ btn.disabled=false; btn.textContent=libelle||'Terminer'; }
+          var err=document.getElementById('pbarErr');
+          if(err){ err.textContent='La présentation est TOUJOURS ACTIVE — la fin n’a pas été enregistrée. Réessayez.'; err.classList.add('on'); }
         });
     }
     // ⚠️ LE SEUL ENDROIT OÙ « sendBeacon » A UN SENS : la page s'en va, aucune réponse ne pourra être
@@ -3107,7 +3134,14 @@ async function handler(req, res) {
             ? await touchPresentation(String(body.slug || ""), String(body.control || ""))
             : await endPresentation(String(body.slug || ""), String(body.control || ""));
           return jp(r.ok ? 200 : (r.status || 400), r);
-        } catch { return jp(500, { ok: false }); }
+        } catch (erreur) {
+          // ⚠️ CE CATCH A AVALÉ TROIS JOURS DE CLÔTURES IMPOSSIBLES SANS UNE TRACE. Chez le second
+          // hôte, chaque « Terminer » échouait en 23502 (marqueur d'archive NOT NULL) — et ce 500
+          // muet ne laissait RIEN, même pas une ligne dans le journal d'erreurs. Un journal que
+          // personne ne lit vaut peu ; aucun journal ne vaut rien du tout.
+          try { PLAYER.errors.capture(erreur instanceof Error ? erreur : new Error(String(erreur)), { route: "present-" + String(body.action || "").replace(/^present-/, "") }); } catch { /* jamais bloquant */ }
+          return jp(500, { ok: false });
+        }
       }
       // Assistant IA « présentateur » (bot) sur un lien tracé bot_enabled. PUBLIC (prospect anonyme) → rate-limit IP.
       // Synthèse vocale (ElevenLabs) : Léa lit ses messages. PUBLIC (audience anonyme), mais gated : la clé

package/server/presentations.js

@@ -24,8 +24,29 @@ const tokenMatches = (token, storedHash) => !!(token && storedHash && sameHash(s
 // owner = { id, email, name, avatar } (membre authentifié). La CLÉ de propriété est l'EMAIL (issu du JWT
 // vérifié) → permet reprise / liste / transfert, y compris vers un membre choisi par email.
 const lc = (s) => String(s || "").trim().toLowerCase();
+/**
+ * ⚠️ LA PURGE NE DOIT PAS DÉPENDRE DE L'OUVERTURE D'UN PANNEAU. Elle ne vivait que dans
+ * `listActivePresentations` — c'est-à-dire qu'elle ne tournait que si quelqu'un ouvrait la liste.
+ * Le second hôte a eu QUATRE présentations bloquées « actives » pendant TROIS JOURS : personne
+ * n'avait ouvert le panneau, donc personne n'avait déclenché le seul mécanisme qui les fermait.
+ * Un échec de clôture ne prive de rien qu'on regarde — la purge doit donc s'accrocher à un geste
+ * qui arrive de lui-même. Démarrer une présentation en est un : ce sont les présentateurs qui
+ * créent les orphelines, et le suivant nettoie celles d'avant.
+ *
+ * Conditionnée à `active=eq.true&last_seen=lte.seuil` : une session qui vient de battre n'est pas
+ * touchée (même garde que la purge du panneau, chantier des écritures conditionnées).
+ */
+async function purgerPerimees(now) {
+  const seuil = new Date(now - STALE_MS).toISOString();
+  await PLAYER.db.request(
+    `doc_presentations?active=eq.true&last_seen=lte.${enc(seuil)}`,
+    { method: "PATCH", headers: { Prefer: "return=minimal" }, body: { active: false, updated_at: new Date(now).toISOString() } },
+  ).catch(() => { /* la purge est un service, jamais un préalable */ });
+}
+
 async function createPresentation({ docId, fileUrl, fileName, docTitle, presenterName, owner }) {
   if (!fileUrl) throw Object.assign(new Error("doc invalide"), { statusCode: 400 });
+  await purgerPerimees(Date.now());
   const slug = newToken(9);     // ~12 chars URL-safe
   const control = newToken(18); // secret pilotage
   const o = owner && typeof owner === "object" ? owner : {};
@@ -846,4 +867,5 @@ async function listPresentationsForDoc(docId, email, isAdmin, autoriseLarge) {
 
 module.exports = {
   reacteurDepuisJeton,
+  purgerPerimees,
   messagePublic, CHAMPS_PUBLICS, init, createPresentation, getPresentation, setPage, endPresentation, addMessage, listMessages, toggleReaction, editMessage, deleteMessage, setChatLock, createUploadUrl, reclaimPresentation, touchPresentation, listActivePresentations, handoverPresentation, endPresentationByOwner, recordAttendance, presentationStats, listPresentationsForDoc, switchPresentationDoc, setPresentationContent };