discovery-media-player 0.1.7 → 0.1.8

package/context/standalone.js

@@ -15,9 +15,31 @@
 
 const storage = require("./storage");
 
+/**
+ * Retire les barres finales d'une base d'URL.
+ *
+ * Sans expression régulière. L'analyse statique a signalé `.replace(/\/+$/, "")` dès son premier
+ * passage, sur les deux lignes que je venais d'écrire.
+ *
+ * Mesuré avant de corriger : V8 traite ce motif en temps linéaire (200 000 barres, moins d'une
+ * milliseconde), et l'entrée vient de toute façon d'une variable d'environnement — donc de
+ * l'exploitant, pas d'un visiteur. Ce n'était donc PAS une lenteur réelle ici.
+ *
+ * ⚠️ On change quand même, pour une raison qui n'est pas celle de l'alerte : cette forme se
+ * recopie. Elle est déjà à cinq endroits du dépôt, et la prochaine copie tombera peut-être sur
+ * une entrée venue du dehors, dans un moteur moins clément. Une boucle qui ne peut pas revenir en
+ * arrière retire la classe, pas l'occurrence — et évite d'apprendre à ignorer l'alerte.
+ */
+function sansBarreFinale(valeur) {
+  const s = String(valeur || "");
+  let fin = s.length;
+  while (fin > 0 && s.charCodeAt(fin - 1) === 47) fin--;
+  return s.slice(0, fin);
+}
+
 /** Client REST minimal (PostgREST). Absent de configuration ⇒ chaque appel échoue franchement. */
 function creerDb(env) {
-  const url = String(env.SUPABASE_URL || "").replace(/\/+$/, "");
+  const url = sansBarreFinale(env.SUPABASE_URL);
   const cle = String(env.SUPABASE_SERVICE_ROLE_KEY || "");
 
   async function request(chemin, options = {}) {
@@ -151,11 +173,44 @@ function createStandaloneContext(env = process.env) {
     mail: { async send() { return null; } },
 
     identity: {
-      /** Vérifie un jeton auprès de Supabase Auth. Sans base : personne n'est authentifié. */
+      /**
+       * Vérifie un jeton auprès de Supabase Auth. Sans émetteur : personne n'est authentifié.
+       *
+       * ⚠️ LA BASE DU PLAYER ET L'ÉMETTEUR DES JETONS SONT DEUX CHOSES DIFFÉRENTES.
+       *
+       * `SUPABASE_URL` servait les deux rôles. Vrai tant que le player et son application
+       * partagent un déploiement — et faux par construction dès qu'une instance est séparée : la
+       * base appartient au player, l'identité appartient à l'hôte. Les membres de l'hôte
+       * recevaient donc des jetons émis par un projet, vérifiés contre un autre : toute la moitié
+       * « membre » de la surface (diffusion, statistiques, présentations authentifiées) était
+       * hors d'atteinte. Signalé par le second hôte, c'est la troisième hypothèse de cette forme
+       * en deux jours — elles ne se voient qu'en exerçant la séparation.
+       *
+       * `PLAYER_AUTH_URL` désigne donc l'émetteur, et `SUPABASE_URL` reste la base. Absente, on
+       * retombe sur `SUPABASE_URL` : une instance où les deux coïncident ne change pas d'un
+       * caractère.
+       *
+       * ⚠️ ET LA CLÉ NE RETOMBE PAS, ELLE. Le repli historique allait jusqu'à
+       * `SUPABASE_SERVICE_ROLE_KEY` — la clé maîtresse de NOTRE base. Tant que l'émetteur était
+       * notre propre projet, c'était sans conséquence ; vers un émetteur tiers, ce serait
+       * l'envoyer à un serveur qui n'a rien à en faire. Un émetteur distinct exige donc sa propre
+       * clé publiable, et son absence se dit au lieu de se replier.
+       */
       async verifyToken(authorization) {
         const jeton = String(authorization || "").replace(/^Bearer\s+/i, "").trim();
-        const url = String(env.SUPABASE_URL || "").replace(/\/+$/, "");
-        const cle = String(env.SUPABASE_PUBLISHABLE_KEY || env.SUPABASE_SERVICE_ROLE_KEY || "");
+        const emetteur = sansBarreFinale(env.PLAYER_AUTH_URL);
+        const base = sansBarreFinale(env.SUPABASE_URL);
+
+        const url = emetteur || base;
+        const cle = emetteur
+          ? String(env.PLAYER_AUTH_KEY || "")
+          : String(env.SUPABASE_PUBLISHABLE_KEY || env.SUPABASE_SERVICE_ROLE_KEY || "");
+
+        if (emetteur && !cle) {
+          // Le refus silencieux est le piège de cette configuration : sans clé, chaque membre est
+          // simplement « non authentifié », ce qui ressemble à un droit manquant. On le dit.
+          try { journal.capture(new Error("PLAYER_AUTH_URL est configurée sans PLAYER_AUTH_KEY : aucun jeton ne peut être vérifié"), {}); } catch { /* ignore */ }
+        }
         if (!jeton || !url || !cle) return null;
         try {
           const r = await fetch(`${url}/auth/v1/user`, {

package/docs/HOST-CONTRACT.md

@@ -25,8 +25,8 @@ need.
 {
   "product": "discovery-media-player",
   "contract": 1,
-  "version": "0.1.7",
-  "capabilities": ["docshare", "presentations", "embed-denied", "host-fetch", "brand-reference"],
+  "version": "0.1.8",
+  "capabilities": ["docshare", "presentations", "embed-denied", "host-fetch", "brand-reference", "host-auth"],
   "frameAncestors": ["'self'", "https://*.vercel.app", "https://app.example.com"],
   "plugins": { "bot": false, "visitors": false, "brandIntro": false, "botBrowser": false, "providerQuotas": false }
 }
@@ -62,6 +62,14 @@ POST  →  { "email": "…", "role": "…", "action": "create|list|list.all|revo
 - The token is already verified before the call: your route does not receive it and must not
   re-verify it.
 
+⚠️ **Verified against whom?** The player's database and your identity provider are two different
+things. They are the same project while the player and your application share a deployment — and
+different by construction once the instance is separate. Point `PLAYER_AUTH_URL` at the project
+that issues your members' tokens (with its own publishable key in `PLAYER_AUTH_KEY`), or every
+member action is refused in a way that reads like a missing permission. Unset, it falls back to
+the player's own project, so a shared deployment changes by not one character. The `host-auth`
+capability tells you an instance supports the split.
+
 ### 2. What a client's brand is
 
 ```

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "discovery-media-player",
-  "version": "0.1.7",
+  "version": "0.1.8",
   "description": "Self-hosted document viewer: per-recipient tracked links, reading analytics, live presentation. The core knows nothing about the application hosting it — everything it borrows arrives through an injected context.",
   "keywords": [
     "pdf-viewer",

package/server/handler.js

@@ -2581,8 +2581,13 @@ async function handler(req, res) {
         contract: 1,
         version: PLAYER_VERSION,
         // Ce que cette instance sait faire. Un hôte teste la présence, jamais l'ordre.
+        // `host-auth` : cette instance sait vérifier les jetons auprès d'un émetteur DISTINCT de
+        // sa base (PLAYER_AUTH_URL). Un hôte tiers en a besoin pour savoir si ses membres
+        // peuvent seulement s'authentifier — sans ça, sa seule voie était d'essayer et de lire
+        // un refus qui ressemble à un droit manquant. Le nom, jamais l'émetteur : la carte reste
+        // muette sur les URL.
         capabilities: [
-          "docshare", "presentations", "embed-denied", "host-fetch", "brand-reference",
+          "docshare", "presentations", "embed-denied", "host-fetch", "brand-reference", "host-auth",
         ],
         // ⚠️ POUR QUELLES ORIGINES cette instance accepte d'être encadrée. Un booléen ne
         // suffisait pas : un hôte a besoin de voir que SON domaine manque, pas seulement que