discovery-media-player 0.1.8 → 0.1.10

package/README.md

@@ -189,6 +189,11 @@ the player, not the people plugging into it.
 [`CONTRIBUTING.md`](CONTRIBUTING.md) — how to run the tests, what the review looks for, and the
 one rule that matters: a behaviour worth keeping is worth a test that fails without it.
 
+Your first pull request asks you to sign the [CLA](CLA.md) — one reply, once, for good. You keep
+the copyright in your work; you grant a licence that may be sublicensed, so that the core can stay
+AGPL while a commercial licence remains possible for organisations that cannot live with the
+network clause. Better said before you write the patch than after.
+
 The code comments are in French. The project was built in a French company and the reasoning
 behind each decision is written where the decision is; translating it would have meant either
 losing it or maintaining two versions. Everything an integrator needs is in English.

package/context/standalone.js

@@ -11,7 +11,7 @@
 //     déléguées à des routes de l'hôte, ou refusées si elles ne sont pas configurées.
 //
 // ⚠️ Il ne remplace pas un câblage : il ne sait rien de vos rôles. Ce qu'il ne sait pas, il le
-// REFUSE — jamais il n'accorde par défaut. Cf. CONTRAT.md, « Le câblage d'une instance ».
+// REFUSE — jamais il n'accorde par défaut. Cf. docs/CONFIGURATION.md, « Decisions that are yours ».
 
 const storage = require("./storage");
 
@@ -164,6 +164,39 @@ function createStandaloneContext(env = process.env) {
       }),
       // Écriture de fichier : hors périmètre d'une instance autonome (elle sert, elle ne range pas).
       async put() { throw new Error("storage.put n'est pas disponible sans câblage d'hôte"); },
+
+      /**
+       * URL d'envoi signée, pour une pièce jointe de chat. **Capacité de l'HÔTE**, pas du cœur.
+       *
+       * ⚠️ Le cœur lisait `SUPABASE_SERVICE_ROLE_KEY` directement dans l'environnement — la clé
+       * qui ouvre toute la base, lue en contournant le contexte injecté, c'est-à-dire en violant
+       * la règle que le projet affiche partout ailleurs. Un hôte qui branche SA base se faisait
+       * court-circuiter ici sans que rien ne le signale.
+       *
+       * ⚠️ Honnête sur ce qui reste : la page renvoyée appelle `uploadToSignedUrl` de supabase-js.
+       * Cette capacité retire le secret du cœur ; elle ne rend pas la fonction portable pour
+       * autant. Un hôte sur une autre pile devra aussi remplacer la moitié navigateur.
+       */
+      async signUpload(bucket, chemin) {
+        const base = sansBarreFinale(env.SUPABASE_URL);
+        const cle = String(env.SUPABASE_SERVICE_ROLE_KEY || "");
+        if (!base || !cle || !bucket || !chemin) return null;
+        try {
+          const r = await fetch(`${base}/storage/v1/object/upload/sign/${bucket}/${chemin}`, {
+            method: "POST",
+            headers: { apikey: cle, Authorization: `Bearer ${cle}`, "Content-Type": "application/json" },
+            body: "{}",
+          });
+          if (!r.ok) return null;
+          const d = await r.json().catch(() => null);
+          const url = d && d.url;
+          if (!url) return null;
+          return {
+            token: (String(url).split("token=")[1] || "").split("&")[0],
+            publicUrl: `${base}/storage/v1/object/public/${bucket}/${chemin}`,
+          };
+        } catch { return null; }
+      },
     },
 
     db: { request: db.request, selectAll: db.selectAll },
@@ -285,10 +318,17 @@ function createStandaloneContext(env = process.env) {
     },
 
     config: {
-      supabaseUrl: env.SUPABASE_URL || "",
+      // Sans barre finale : le cœur consomme cette valeur telle quelle. Un seul endroit décide.
+      supabaseUrl: sansBarreFinale(env.SUPABASE_URL),
       supabasePublishableKey: env.SUPABASE_PUBLISHABLE_KEY || "",
       mapsKey: env.GOOGLE_MAPS_API_KEY || "",
       extraFrameAncestors: String(env.DOC_FRAME_ANCESTORS || "").split(/\s+/).filter(Boolean),
+      // ⚠️ Un BOOLÉEN, jamais l'URL. La carte d'identité doit pouvoir dire « un émetteur distinct
+      // est configuré » sans dire lequel : c'est le dernier endroit où un hôte devait deviner.
+      // `host-auth` dit que le code SAIT faire la séparation ; ceci dit qu'elle est POSÉE. Sans
+      // les deux, une variable oubliée redonne exactement le symptôme que 0.1.8 a retiré — des
+      // membres « non authentifiés », ce qui ressemble à un droit manquant.
+      separateIssuer: !!sansBarreFinale(env.PLAYER_AUTH_URL),
     },
   };
 }

package/docs/HOST-CONTRACT.md

@@ -25,9 +25,10 @@ need.
 {
   "product": "discovery-media-player",
   "contract": 1,
-  "version": "0.1.8",
+  "version": "0.1.9",
   "capabilities": ["docshare", "presentations", "embed-denied", "host-fetch", "brand-reference", "host-auth"],
   "frameAncestors": ["'self'", "https://*.vercel.app", "https://app.example.com"],
+  "separateIssuer": true,
   "plugins": { "bot": false, "visitors": false, "brandIntro": false, "botBrowser": false, "providerQuotas": false }
 }
 ```
@@ -67,8 +68,14 @@ things. They are the same project while the player and your application share a
 different by construction once the instance is separate. Point `PLAYER_AUTH_URL` at the project
 that issues your members' tokens (with its own publishable key in `PLAYER_AUTH_KEY`), or every
 member action is refused in a way that reads like a missing permission. Unset, it falls back to
-the player's own project, so a shared deployment changes by not one character. The `host-auth`
-capability tells you an instance supports the split.
+the player's own project, so a shared deployment changes by not one character.
+
+Two signals, and you need both: **`host-auth` in `capabilities`** says this instance *can* target
+a separate issuer; **`separateIssuer: true`** says one *is configured*. A version that supports
+the split with the variable left unset fails exactly like the version before it — members come
+back unauthenticated, which reads like a missing permission — and you would conclude the upgrade
+changed nothing. The card answers with a boolean and never the issuer itself: you already know
+which one is yours.
 
 ### 2. What a client's brand is
 

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "discovery-media-player",
-  "version": "0.1.8",
+  "version": "0.1.10",
   "description": "Self-hosted document viewer: per-recipient tracked links, reading analytics, live presentation. The core knows nothing about the application hosting it — everything it borrows arrives through an injected context.",
   "keywords": [
     "pdf-viewer",
@@ -66,12 +66,12 @@
     "node": ">=22"
   },
   "devDependencies": {
-    "@eslint/js": "^9.39.4",
-    "esbuild": "^0.25.12",
-    "eslint": "^9.39.4",
-    "jsdom": "^25.0.1",
+    "@eslint/js": "^10.0.1",
+    "esbuild": "^0.28.2",
+    "eslint": "^10.8.1",
+    "jsdom": "^30.0.1",
     "typescript": "^5.5.4",
     "typescript-eslint": "^8.46.4",
-    "vitest": "^3.2.7"
+    "vitest": "^4.1.10"
   }
 }

package/server/handler.js

@@ -1172,7 +1172,7 @@ const LEGAL_CSS = `
 function sendHtml(res, status, html, scriptSrc, imgExtra, frameAncestors) {
   res.statusCode = status;
   // Origine Supabase Storage (voix ElevenLabs mise en cache dans le bucket public tts-cache) → autorisée en media-src.
-  let supaOrigin = ""; try { supaOrigin = new URL(process.env.SUPABASE_URL || "").origin; } catch { supaOrigin = ""; }
+  let supaOrigin; try { supaOrigin = new URL((PLAYER.config && PLAYER.config.supabaseUrl) || "").origin; } catch { supaOrigin = ""; }
   res.setHeader("Content-Type", "text/html; charset=utf-8");
   res.setHeader("Cache-Control", "no-store, max-age=0");
   res.setHeader("X-Content-Type-Options", "nosniff");
@@ -1217,9 +1217,16 @@ function sendSoftWallHtml(res, html, nonce, imgExtra, frameAncestors) {
  * doit pouvoir être encadrée exactement comme la visionneuse qu'elle remplace — sinon le
  * navigateur bloque le rendu et le message de refus ci-dessous n'est jamais émis.
  */
+// ⚠️ LA MÊME SOURCE QUE LA CARTE D'IDENTITÉ, ET C'EST TOUT LE SUJET. Cette fonction lisait
+// `process.env.DOC_FRAME_ANCESTORS` pendant que `?contract=1` annonçait
+// `PLAYER.config.extraFrameAncestors`. Les deux coïncident tant qu'un hôte remplit sa
+// configuration depuis cette variable — c'est le cas des deux hôtes actuels, donc rien n'était
+// cassé. Mais un hôte qui la calcule autrement (base, fichier, autre nom de variable) verrait la
+// carte annoncer une liste et l'en-tête CSP en servir une autre : « configuré » et « servi »
+// divergents à l'intérieur même du mécanisme construit pour détecter cette divergence.
 function embedFrameAncestors() {
   return ["'self'", "https://*.vercel.app"]
-    .concat(String(process.env.DOC_FRAME_ANCESTORS || "").split(/\s+/).filter(Boolean))
+    .concat((PLAYER.config && PLAYER.config.extraFrameAncestors) || [])
     .join(" ");
 }
 
@@ -1580,7 +1587,7 @@ ${LEGAL_CSS}
   <script nonce="${nonce}">${PLAYER_BROWSER_JS}</script>
   <script nonce="${nonce}" src="${PDFJS}/pdf.min.js"></script>
   ${preview ? `<script nonce="${nonce}" src="${SUPAJS}"></script>
-  <script nonce="${nonce}">var LIVECFG={supaUrl:${JSON.stringify(share.supa_url || "")},supaKey:${JSON.stringify(share.supa_key || "")}};var GMAPS_KEY=${JSON.stringify(process.env.GOOGLE_MAPS_API_KEY || "")};${LIVE_JS}
+  <script nonce="${nonce}">var LIVECFG={supaUrl:${JSON.stringify(share.supa_url || "")},supaKey:${JSON.stringify(share.supa_key || "")}};var GMAPS_KEY=${JSON.stringify((PLAYER.config && PLAYER.config.mapsKey) || "" || "")};${LIVE_JS}
   ${MAP_JS}</script>` : ""}
   <script nonce="${nonce}">
   (function(){
@@ -2087,7 +2094,7 @@ function presentHtml(pres, nonce, logoUrl, supaUrl, supaKey) {
   })();
   </script>
   <script nonce="${nonce}">
-  var LIVECFG={supaUrl:${JSON.stringify(supaUrl || "")},supaKey:${JSON.stringify(supaKey || "")}};var GMAPS_KEY=${JSON.stringify(process.env.GOOGLE_MAPS_API_KEY || "")};
+  var LIVECFG={supaUrl:${JSON.stringify(supaUrl || "")},supaKey:${JSON.stringify(supaKey || "")}};var GMAPS_KEY=${JSON.stringify((PLAYER.config && PLAYER.config.mapsKey) || "" || "")};
   ${LIVE_JS}
   ${MAP_JS}
   (function(){
@@ -2252,7 +2259,7 @@ async function handler(req, res) {
           // `spoken` est renvoyé quand il diffère → le viewer aligne le karaoké dessus (mapping mot à mot).
           const spoken = (() => { if (!pron) return text; try { const s = pron(text).replace(/\s+/g, " ").trim().slice(0, 700); return s || text; } catch { return text; } })();
           const modelId = process.env.ELEVENLABS_MODEL || "eleven_multilingual_v2";
-          const base = process.env.SUPABASE_URL || "";
+          const base = (PLAYER.config && PLAYER.config.supabaseUrl) || "";
           // « v2 » = version du format de cache : les extraits v1 (sans alignement timestamps) sont ignorés
           // d'office et tout se régénère AVEC l'horodatage par caractère (karaoké exact). Anciens fichiers = poids mort minime.
           const keyFor = (vid) => crypto.createHash("sha256").update(vid + "|" + modelId + "|v2|" + spoken).digest("hex");
@@ -2595,6 +2602,11 @@ async function handler(req, res) {
         // autrement — le navigateur bloque avant tout script, et rien ne peut lui être émis.
         // Ce n'est pas un secret : ces mêmes valeurs partent dans chaque en-tête CSP servi.
         frameAncestors: ["'self'", "https://*.vercel.app"].concat(PLAYER.config.extraFrameAncestors || []),
+        // Même besoin que `frameAncestors`, l'inverse de la réponse : là on nomme les origines
+        // parce qu'un hôte doit voir que LA SIENNE manque ; ici un booléen suffit, parce que
+        // l'hôte connaît déjà son émetteur — il veut seulement savoir si l'instance le regarde.
+        // Dire lequel n'aiderait personne et renseignerait qui sonde.
+        separateIssuer: !!(PLAYER.config && PLAYER.config.separateIssuer),
         // Greffons de l'hôte : présents ou coupés (PLAYER_PLUGINS_OFF). Booléens uniquement.
         plugins: {
           bot: !!p.bot, visitors: !!p.visitors, brandIntro: !!p.brandIntro,
@@ -2646,8 +2658,8 @@ async function handler(req, res) {
         await relayerFichier(res, r, null);
         return;
       }
-      const supaUrl = process.env.SUPABASE_URL || "";
-      const supaKey = process.env.SUPABASE_PUBLISHABLE_KEY || "";
+      const supaUrl = (PLAYER.config && PLAYER.config.supabaseUrl) || "";
+      const supaKey = (PLAYER.config && PLAYER.config.supabasePublishableKey) || "";
       let alogo = ""; try { alogo = await PLAYER.branding.logo(); } catch { /* sans logo */ }
       const anonce = crypto.randomBytes(16).toString("base64");
       // Même sujet, trouvé en vérifiant le précédent : cette page ne passait AUCUN paramètre,
@@ -2669,8 +2681,8 @@ async function handler(req, res) {
         await relayerFichier(res, r, dispositionInline(q.name));
         return;
       }
-      const supaUrl = process.env.SUPABASE_URL || "";
-      const supaKey = process.env.SUPABASE_PUBLISHABLE_KEY || "";
+      const supaUrl = (PLAYER.config && PLAYER.config.supabaseUrl) || "";
+      const supaKey = (PLAYER.config && PLAYER.config.supabasePublishableKey) || "";
       const pseudo = { preview: true, slug: "", file_name: String(q.name || "document.pdf"), doc_title: String(q.title || q.name || "Document"), raw_url: url, doc_id: String(q.docId || ""), presenter_name: String(q.by || ""), presenter_avatar: String(q.av || ""), internal_email: String(q.uemail || ""), supa_url: supaUrl, supa_key: supaKey, auto_present: String(q.autopresent || "") === "1", resume_slug: String(q.resume || ""), stream_url: `/api/doc?preview=1&stream=1&url=${encodeURIComponent(url)}&name=${encodeURIComponent(String(q.name || ""))}` };
       let plogo = ""; try { plogo = await PLAYER.branding.logo(); } catch { /* sans logo */ }
       const pnonce = crypto.randomBytes(16).toString("base64");

package/server/presentations.js

@@ -130,7 +130,7 @@ async function endPresentation(slug, control) {
 // validés par le bucket (image/*+pdf, ≤10 Mo). L'URL publique finale est renvoyée pour attacher au message.
 const ATT_KINDS = { "image/png": "image", "image/jpeg": "image", "image/webp": "image", "image/gif": "image", "application/pdf": "pdf" };
 async function createUploadUrl(slug, name, type) {
-  const base = (process.env.SUPABASE_URL || "").replace(/\/+$/, ""); const KEY = process.env.SUPABASE_SERVICE_ROLE_KEY || "";
+
   // ⚠️ `Object.hasOwn` et pas une simple lecture : un objet littéral hérite de `constructor`,
   // `toString`, `valueOf`, `__proto__`… `ATT_KINDS["constructor"]` rend une FONCTION, donc une
   // valeur vraie — la garde juste en dessous laissait alors passer un type qui n'a jamais été
@@ -138,14 +138,21 @@ async function createUploadUrl(slug, name, type) {
   // action publique. Signalé par un hôte tiers qui venait de trouver la même forme chez lui.
   const demande = String(type || "").toLowerCase();
   const kind = Object.hasOwn(ATT_KINDS, demande) ? ATT_KINDS[demande] : null;
-  if (!kind || !slug || !base || !KEY) return { ok: false, status: 400 };
+  if (!kind || !slug) return { ok: false, status: 400 };
   const safe = (String(name || "fichier").replace(/[^a-zA-Z0-9._-]/g, "_").slice(-60)) || "fichier";
   const path = `${String(slug).replace(/[^a-zA-Z0-9._-]/g, "")}/${Date.now()}-${crypto.randomBytes(4).toString("hex")}-${safe}`;
-  const r = await fetch(`${base}/storage/v1/object/upload/sign/present-attachments/${path}`, { method: "POST", headers: { apikey: KEY, Authorization: `Bearer ${KEY}`, "Content-Type": "application/json" }, body: "{}" });
-  if (!r.ok) return { ok: false, status: 502 };
-  const d = await r.json().catch(() => null); const url = d && d.url; if (!url) return { ok: false, status: 502 };
-  const token = (String(url).split("token=")[1] || "").split("&")[0];
-  return { ok: true, path, token, kind, publicUrl: `${base}/storage/v1/object/public/present-attachments/${path}` };
+
+  // ⚠️ La signature appartient à l'HÔTE : c'est lui qui détient la clé, pas le cœur. Un hôte qui
+  // ne fournit pas cette capacité voit la pièce jointe refusée — et prévenue. Le refus silencieux
+  // serait pire : une pièce jointe qui ne part jamais, sans que personne sache que la capacité
+  // manque.
+  if (!PLAYER.storage || typeof PLAYER.storage.signUpload !== "function") {
+    try { PLAYER.errors.capture(new Error("storage.signUpload absent du contexte : les pièces jointes de chat sont indisponibles"), {}); } catch { /* jamais bloquant */ }
+    return { ok: false, status: 501 };
+  }
+  const signe = await PLAYER.storage.signUpload("present-attachments", path);
+  if (!signe || !signe.token) return { ok: false, status: 502 };
+  return { ok: true, path, token: signe.token, kind, publicUrl: signe.publicUrl };
 }
 
 /**
@@ -177,7 +184,10 @@ function premierPublic(reponse) {
 
 async function addMessage(slug, { name, email, avatar, isPresenter, isMember, body, replyTo, replyName, replyText, authorToken, attachment }) {
   const b = String(body || "").trim().slice(0, 2000);
-  const base = (process.env.SUPABASE_URL || "").replace(/\/+$/, "");
+  // ⚠️ Pas de normalisation ici : `config.supabaseUrl` arrive SANS barre finale, c'est le
+  // contrat de l'adaptateur. En rajouter une deuxième couche, c'est deux endroits qui décident —
+  // et c'est comme ça que `.replace(/\/+$/, "")` s'est retrouvé à cinq exemplaires dans ce dépôt.
+  const base = String((PLAYER.config && PLAYER.config.supabaseUrl) || "");
   let att = null;
   if (attachment && typeof attachment === "object" && attachment.url && String(attachment.url).startsWith(base + "/storage/v1/object/public/present-attachments/")) {
     att = { url: String(attachment.url).slice(0, 600), name: String(attachment.name || "").slice(0, 120), type: String(attachment.type || "").slice(0, 60), kind: attachment.kind === "pdf" ? "pdf" : "image" };