discovery-media-player 0.1.7 → 0.1.9

package/README.md

@@ -189,6 +189,11 @@ the player, not the people plugging into it.
 [`CONTRIBUTING.md`](CONTRIBUTING.md) — how to run the tests, what the review looks for, and the
 one rule that matters: a behaviour worth keeping is worth a test that fails without it.
 
+Your first pull request asks you to sign the [CLA](CLA.md) — one reply, once, for good. You keep
+the copyright in your work; you grant a licence that may be sublicensed, so that the core can stay
+AGPL while a commercial licence remains possible for organisations that cannot live with the
+network clause. Better said before you write the patch than after.
+
 The code comments are in French. The project was built in a French company and the reasoning
 behind each decision is written where the decision is; translating it would have meant either
 losing it or maintaining two versions. Everything an integrator needs is in English.

package/context/standalone.js

@@ -11,13 +11,35 @@
 //     déléguées à des routes de l'hôte, ou refusées si elles ne sont pas configurées.
 //
 // ⚠️ Il ne remplace pas un câblage : il ne sait rien de vos rôles. Ce qu'il ne sait pas, il le
-// REFUSE — jamais il n'accorde par défaut. Cf. CONTRAT.md, « Le câblage d'une instance ».
+// REFUSE — jamais il n'accorde par défaut. Cf. docs/CONFIGURATION.md, « Decisions that are yours ».
 
 const storage = require("./storage");
 
+/**
+ * Retire les barres finales d'une base d'URL.
+ *
+ * Sans expression régulière. L'analyse statique a signalé `.replace(/\/+$/, "")` dès son premier
+ * passage, sur les deux lignes que je venais d'écrire.
+ *
+ * Mesuré avant de corriger : V8 traite ce motif en temps linéaire (200 000 barres, moins d'une
+ * milliseconde), et l'entrée vient de toute façon d'une variable d'environnement — donc de
+ * l'exploitant, pas d'un visiteur. Ce n'était donc PAS une lenteur réelle ici.
+ *
+ * ⚠️ On change quand même, pour une raison qui n'est pas celle de l'alerte : cette forme se
+ * recopie. Elle est déjà à cinq endroits du dépôt, et la prochaine copie tombera peut-être sur
+ * une entrée venue du dehors, dans un moteur moins clément. Une boucle qui ne peut pas revenir en
+ * arrière retire la classe, pas l'occurrence — et évite d'apprendre à ignorer l'alerte.
+ */
+function sansBarreFinale(valeur) {
+  const s = String(valeur || "");
+  let fin = s.length;
+  while (fin > 0 && s.charCodeAt(fin - 1) === 47) fin--;
+  return s.slice(0, fin);
+}
+
 /** Client REST minimal (PostgREST). Absent de configuration ⇒ chaque appel échoue franchement. */
 function creerDb(env) {
-  const url = String(env.SUPABASE_URL || "").replace(/\/+$/, "");
+  const url = sansBarreFinale(env.SUPABASE_URL);
   const cle = String(env.SUPABASE_SERVICE_ROLE_KEY || "");
 
   async function request(chemin, options = {}) {
@@ -151,11 +173,44 @@ function createStandaloneContext(env = process.env) {
     mail: { async send() { return null; } },
 
     identity: {
-      /** Vérifie un jeton auprès de Supabase Auth. Sans base : personne n'est authentifié. */
+      /**
+       * Vérifie un jeton auprès de Supabase Auth. Sans émetteur : personne n'est authentifié.
+       *
+       * ⚠️ LA BASE DU PLAYER ET L'ÉMETTEUR DES JETONS SONT DEUX CHOSES DIFFÉRENTES.
+       *
+       * `SUPABASE_URL` servait les deux rôles. Vrai tant que le player et son application
+       * partagent un déploiement — et faux par construction dès qu'une instance est séparée : la
+       * base appartient au player, l'identité appartient à l'hôte. Les membres de l'hôte
+       * recevaient donc des jetons émis par un projet, vérifiés contre un autre : toute la moitié
+       * « membre » de la surface (diffusion, statistiques, présentations authentifiées) était
+       * hors d'atteinte. Signalé par le second hôte, c'est la troisième hypothèse de cette forme
+       * en deux jours — elles ne se voient qu'en exerçant la séparation.
+       *
+       * `PLAYER_AUTH_URL` désigne donc l'émetteur, et `SUPABASE_URL` reste la base. Absente, on
+       * retombe sur `SUPABASE_URL` : une instance où les deux coïncident ne change pas d'un
+       * caractère.
+       *
+       * ⚠️ ET LA CLÉ NE RETOMBE PAS, ELLE. Le repli historique allait jusqu'à
+       * `SUPABASE_SERVICE_ROLE_KEY` — la clé maîtresse de NOTRE base. Tant que l'émetteur était
+       * notre propre projet, c'était sans conséquence ; vers un émetteur tiers, ce serait
+       * l'envoyer à un serveur qui n'a rien à en faire. Un émetteur distinct exige donc sa propre
+       * clé publiable, et son absence se dit au lieu de se replier.
+       */
       async verifyToken(authorization) {
         const jeton = String(authorization || "").replace(/^Bearer\s+/i, "").trim();
-        const url = String(env.SUPABASE_URL || "").replace(/\/+$/, "");
-        const cle = String(env.SUPABASE_PUBLISHABLE_KEY || env.SUPABASE_SERVICE_ROLE_KEY || "");
+        const emetteur = sansBarreFinale(env.PLAYER_AUTH_URL);
+        const base = sansBarreFinale(env.SUPABASE_URL);
+
+        const url = emetteur || base;
+        const cle = emetteur
+          ? String(env.PLAYER_AUTH_KEY || "")
+          : String(env.SUPABASE_PUBLISHABLE_KEY || env.SUPABASE_SERVICE_ROLE_KEY || "");
+
+        if (emetteur && !cle) {
+          // Le refus silencieux est le piège de cette configuration : sans clé, chaque membre est
+          // simplement « non authentifié », ce qui ressemble à un droit manquant. On le dit.
+          try { journal.capture(new Error("PLAYER_AUTH_URL est configurée sans PLAYER_AUTH_KEY : aucun jeton ne peut être vérifié"), {}); } catch { /* ignore */ }
+        }
         if (!jeton || !url || !cle) return null;
         try {
           const r = await fetch(`${url}/auth/v1/user`, {
@@ -234,6 +289,12 @@ function createStandaloneContext(env = process.env) {
       supabasePublishableKey: env.SUPABASE_PUBLISHABLE_KEY || "",
       mapsKey: env.GOOGLE_MAPS_API_KEY || "",
       extraFrameAncestors: String(env.DOC_FRAME_ANCESTORS || "").split(/\s+/).filter(Boolean),
+      // ⚠️ Un BOOLÉEN, jamais l'URL. La carte d'identité doit pouvoir dire « un émetteur distinct
+      // est configuré » sans dire lequel : c'est le dernier endroit où un hôte devait deviner.
+      // `host-auth` dit que le code SAIT faire la séparation ; ceci dit qu'elle est POSÉE. Sans
+      // les deux, une variable oubliée redonne exactement le symptôme que 0.1.8 a retiré — des
+      // membres « non authentifiés », ce qui ressemble à un droit manquant.
+      separateIssuer: !!sansBarreFinale(env.PLAYER_AUTH_URL),
     },
   };
 }

package/docs/HOST-CONTRACT.md

@@ -25,9 +25,10 @@ need.
 {
   "product": "discovery-media-player",
   "contract": 1,
-  "version": "0.1.7",
-  "capabilities": ["docshare", "presentations", "embed-denied", "host-fetch", "brand-reference"],
+  "version": "0.1.9",
+  "capabilities": ["docshare", "presentations", "embed-denied", "host-fetch", "brand-reference", "host-auth"],
   "frameAncestors": ["'self'", "https://*.vercel.app", "https://app.example.com"],
+  "separateIssuer": true,
   "plugins": { "bot": false, "visitors": false, "brandIntro": false, "botBrowser": false, "providerQuotas": false }
 }
 ```
@@ -62,6 +63,20 @@ POST  →  { "email": "…", "role": "…", "action": "create|list|list.all|revo
 - The token is already verified before the call: your route does not receive it and must not
   re-verify it.
 
+⚠️ **Verified against whom?** The player's database and your identity provider are two different
+things. They are the same project while the player and your application share a deployment — and
+different by construction once the instance is separate. Point `PLAYER_AUTH_URL` at the project
+that issues your members' tokens (with its own publishable key in `PLAYER_AUTH_KEY`), or every
+member action is refused in a way that reads like a missing permission. Unset, it falls back to
+the player's own project, so a shared deployment changes by not one character.
+
+Two signals, and you need both: **`host-auth` in `capabilities`** says this instance *can* target
+a separate issuer; **`separateIssuer: true`** says one *is configured*. A version that supports
+the split with the variable left unset fails exactly like the version before it — members come
+back unauthenticated, which reads like a missing permission — and you would conclude the upgrade
+changed nothing. The card answers with a boolean and never the issuer itself: you already know
+which one is yours.
+
 ### 2. What a client's brand is
 
 ```

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "discovery-media-player",
-  "version": "0.1.7",
+  "version": "0.1.9",
   "description": "Self-hosted document viewer: per-recipient tracked links, reading analytics, live presentation. The core knows nothing about the application hosting it — everything it borrows arrives through an injected context.",
   "keywords": [
     "pdf-viewer",
@@ -66,12 +66,12 @@
     "node": ">=22"
   },
   "devDependencies": {
-    "@eslint/js": "^9.39.4",
-    "esbuild": "^0.25.12",
-    "eslint": "^9.39.4",
+    "@eslint/js": "^10.0.1",
+    "esbuild": "^0.28.2",
+    "eslint": "^10.8.1",
     "jsdom": "^25.0.1",
     "typescript": "^5.5.4",
     "typescript-eslint": "^8.46.4",
-    "vitest": "^3.2.7"
+    "vitest": "^4.1.10"
   }
 }

package/server/handler.js

@@ -1172,7 +1172,7 @@ const LEGAL_CSS = `
 function sendHtml(res, status, html, scriptSrc, imgExtra, frameAncestors) {
   res.statusCode = status;
   // Origine Supabase Storage (voix ElevenLabs mise en cache dans le bucket public tts-cache) → autorisée en media-src.
-  let supaOrigin = ""; try { supaOrigin = new URL(process.env.SUPABASE_URL || "").origin; } catch { supaOrigin = ""; }
+  let supaOrigin; try { supaOrigin = new URL(process.env.SUPABASE_URL || "").origin; } catch { supaOrigin = ""; }
   res.setHeader("Content-Type", "text/html; charset=utf-8");
   res.setHeader("Cache-Control", "no-store, max-age=0");
   res.setHeader("X-Content-Type-Options", "nosniff");
@@ -2581,8 +2581,13 @@ async function handler(req, res) {
         contract: 1,
         version: PLAYER_VERSION,
         // Ce que cette instance sait faire. Un hôte teste la présence, jamais l'ordre.
+        // `host-auth` : cette instance sait vérifier les jetons auprès d'un émetteur DISTINCT de
+        // sa base (PLAYER_AUTH_URL). Un hôte tiers en a besoin pour savoir si ses membres
+        // peuvent seulement s'authentifier — sans ça, sa seule voie était d'essayer et de lire
+        // un refus qui ressemble à un droit manquant. Le nom, jamais l'émetteur : la carte reste
+        // muette sur les URL.
         capabilities: [
-          "docshare", "presentations", "embed-denied", "host-fetch", "brand-reference",
+          "docshare", "presentations", "embed-denied", "host-fetch", "brand-reference", "host-auth",
         ],
         // ⚠️ POUR QUELLES ORIGINES cette instance accepte d'être encadrée. Un booléen ne
         // suffisait pas : un hôte a besoin de voir que SON domaine manque, pas seulement que
@@ -2590,6 +2595,11 @@ async function handler(req, res) {
         // autrement — le navigateur bloque avant tout script, et rien ne peut lui être émis.
         // Ce n'est pas un secret : ces mêmes valeurs partent dans chaque en-tête CSP servi.
         frameAncestors: ["'self'", "https://*.vercel.app"].concat(PLAYER.config.extraFrameAncestors || []),
+        // Même besoin que `frameAncestors`, l'inverse de la réponse : là on nomme les origines
+        // parce qu'un hôte doit voir que LA SIENNE manque ; ici un booléen suffit, parce que
+        // l'hôte connaît déjà son émetteur — il veut seulement savoir si l'instance le regarde.
+        // Dire lequel n'aiderait personne et renseignerait qui sonde.
+        separateIssuer: !!(PLAYER.config && PLAYER.config.separateIssuer),
         // Greffons de l'hôte : présents ou coupés (PLAYER_PLUGINS_OFF). Booléens uniquement.
         plugins: {
           bot: !!p.bot, visitors: !!p.visitors, brandIntro: !!p.brandIntro,