discovery-media-player 0.1.80 → 0.1.82

package/docs/RETENTION.md

@@ -115,6 +115,13 @@ Parcours guidé par l'agent : **purge 13 mois** après `last_at`.
   contexte hôte fournit `storage.remove` (capacité optionnelle). Sans elle, l'URL devient
   introuvable depuis le produit mais l'objet survit dans le bucket — c'est dit ici plutôt que
   simulé.
+- **Le plafond des présentations est GLOBAL** : messages et présences partagent chacun un budget
+  `plafond` réparti sur toutes les présentations d'une exécution — pas un plafond par présentation
+  (sinon 500 × 5000 = 2,5 M de lignes possibles). La boucle s'arrête quand les budgets sont
+  épuisés, sans supprimer les présentations restantes.
+- **Le rapport dryRun est complet pour les présentations** : `messagesExaminees`,
+  `presencesExaminees` et `fichiersCandidats` disent ce que la VRAIE purge ferait — même parcours
+  de sélection, suppression no-op, `efface.* = 0`.
 - **La purge avance par LOTS bornés** (200 lignes, plafond 5000 par table et 500 présentations
   par exécution) : elle sélectionne un lot d'identifiants, les supprime par `id=in.(…)`, et
   recommence. Le rapport (`r.rapport`) porte, par table : `examinees`, `supprimees`, `tronque`

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "discovery-media-player",
-  "version": "0.1.80",
+  "version": "0.1.82",
   "description": "Self-hosted document viewer: per-recipient tracked links, reading analytics, live presentation. The core knows nothing about the application hosting it — everything it borrows arrives through an injected context.",
   "keywords": [
     "pdf-viewer",

package/server/retention.js

@@ -88,7 +88,11 @@ function optionsValidees(opts) {
 // Une valeur pour `id=in.(…)` : double-guillemets, guillemet et antislash internes échappés —
 // PostgREST exige le guillemetage dès qu'une valeur porte un caractère réservé (`:` d'une clé de
 // débit, par exemple). Guillemeter TOUJOURS est correct et évite d'avoir à deviner.
-const guill = (v) => '"' + String(v).replace(/\\/g, "\\\\").replace(/"/g, '\\"') + '"';
+// ⚠️ DOUBLE encodage nécessaire (trouvé par le banc volumétrique, audit 10) : le guillemetage
+// gère les délimiteurs de PostgREST (virgule, parenthèse) ; l'encodage d'URL gère ceux de l'URL
+// (`&`, `#`, `+`, espace…) — un `&` non encodé dans une valeur coupe le filtre `in.(…)` en deux.
+// PostgREST décode le percent-encoding avant de parser, donc `%22…%26…%22` redevient `"…&…"`.
+const guill = (v) => encodeURIComponent('"' + String(v).replace(/\\/g, "\\\\").replace(/"/g, '\\"') + '"');
 
 // ⚠️ LES DEUX SEULES PORTES DE DESTRUCTION DU MODULE — dryRun court-circuité en PREMIÈRE ligne.
 // « Honoré » ne se prouve pas en lisant chaque DELETE (une fenêtre de lecture décide de la réponse
@@ -120,7 +124,8 @@ async function retirerFichier(chemin, opts) {
 // au RESTE du plafond (`min(taille, plafond - examinees)`) pour ne jamais le dépasser. Et on
 // compte les lignes RENDUES par le DELETE (`return=representation&select=id`), pas les ids
 // présélectionnés : deux exécutions concurrentes n'annoncent pas deux fois la même suppression.
-async function purgerParLots(table, filtre, colId, { dryRun = false, taille = LOT, plafond = PLAFOND } = {}) {
+async function purgerParLots(table, filtre, colId, { dryRun = false, taille = LOT, plafond = PLAFOND } = {}, plafondForce) {
+  if (plafondForce !== undefined) plafond = plafondForce;
   let examinees = 0, supprimees = 0, tronque = false, curseur = null;
   for (;;) {
     const reste = plafond - examinees;
@@ -154,9 +159,9 @@ const { cheminPieceJointe: cheminSurSlug } = require("./presentations");
 // Purge des messages d'une présentation morte, par lots bornés qui lisent id+attachment ENSEMBLE :
 // on retire les fichiers du bucket du lot (si l'hôte sait), puis on supprime le lot. Rend `tronque`
 // pour que l'appelant décide de garder ou non la présentation. Compte les lignes RENDUES.
-async function purgerMessagesPresentation(slug, opts, base) {
-  const { dryRun, taille, plafond } = opts;
-  let supprimees = 0, fichiers = 0, fichiersErreur = 0, examinees = 0, tronque = false, curseur = null;
+async function purgerMessagesPresentation(slug, opts, base, plafond) {
+  const { dryRun, taille } = opts;
+  let supprimees = 0, fichiers = 0, fichiersErreur = 0, fichiersCandidats = 0, examinees = 0, tronque = false, curseur = null;
   for (;;) {
     const reste = plafond - examinees;
     if (reste <= 0) { tronque = await resteEncore("doc_presentation_messages", `slug=eq.${enc(slug)}`, "id", curseur, dryRun); break; }
@@ -169,13 +174,14 @@ async function purgerMessagesPresentation(slug, opts, base) {
     for (const j of lot) {
       const url = j.attachment && (typeof j.attachment === "object" ? j.attachment.url : j.attachment);
       const chemin = cheminSurSlug(url, slug, base);   // hors du dossier du slug → null → jamais retiré (barrière 2)
+      if (chemin) fichiersCandidats += 1;              // compté même en dry-run (ce que la vraie purge tenterait)
       const issue = await retirerFichier(chemin, { dryRun });
       if (issue === true) fichiers += 1; else if (issue === false) fichiersErreur += 1;   // false = échec compté
     }
     supprimees += await effacerParIds("doc_presentation_messages", "id", lot.map((r) => r.id).filter((v) => v != null), { dryRun });
     if (lot.length < limite) break;
   }
-  return { supprimees, fichiers, fichiersErreur, examinees, tronque };
+  return { supprimees, fichiers, fichiersErreur, fichiersCandidats, examinees, tronque };
 }
 
 async function purgerRetention(now, optsBrutes = {}) {
@@ -206,22 +212,35 @@ async function purgerRetention(now, optsBrutes = {}) {
   // ses présences — et les fichiers du bucket si storage.remove est fourni (OPTIONNELLE).
   const bPres = borne(now, f.presentationsMois);
   const mortes = await PLAYER.db.request(`doc_presentations?active=eq.false&updated_at=lt.${enc(bPres)}&select=slug&order=slug.asc&limit=${PLAFOND_PRESENTATIONS}`);
-  const presRapport = { examinees: 0, supprimees: 0, messages: 0, presences: 0, fichiers: 0, fichiersErreur: 0, tronque: Array.isArray(mortes) && mortes.length >= PLAFOND_PRESENTATIONS };
+  // ⚠️ BUDGET GLOBAL AUX PRÉSENTATIONS (P2 dixième audit). Le plafond n'était appliqué qu'À CHAQUE
+  // présentation : 500 présentations × 5 000 = 2,5 M de messages en une exécution, timeout et
+  // contention avec le chat. Deux budgets partagés — messages et présences — décrémentés au fil
+  // des présentations ; la boucle s'arrête quand ils sont épuisés (tronque), sans supprimer les
+  // parents restants. En dry-run, on parcourt quand même pour REMONTER ce que la vraie purge
+  // ferait (examinés), sans jamais détruire.
+  const presRapport = { examinees: 0, supprimees: 0, messages: 0, presences: 0, messagesExaminees: 0, presencesExaminees: 0, fichiers: 0, fichiersErreur: 0, fichiersCandidats: 0, tronque: Array.isArray(mortes) && mortes.length >= PLAFOND_PRESENTATIONS };
+  let budgetMessages = opts.plafond, budgetPresences = opts.plafond;
   for (const p of (Array.isArray(mortes) ? mortes : [])) {
     const slug = p && p.slug; if (!slug) continue;
+    if (budgetMessages <= 0 && budgetPresences <= 0) { presRapport.tronque = true; break; }   // budgets épuisés
     presRapport.examinees += 1;
-    // Messages : lot borné qui lit id ET attachment ENSEMBLE (la lecture des pièces jointes n'est
-    // plus une requête globale non bornée — P2), retire les fichiers du lot, puis supprime le lot.
-    const msgs = await purgerMessagesPresentation(slug, opts, base);
+    const msgs = await purgerMessagesPresentation(slug, opts, base, budgetMessages);
     presRapport.messages += msgs.supprimees;
+    presRapport.messagesExaminees += msgs.examinees;
     presRapport.fichiers += msgs.fichiers;
     presRapport.fichiersErreur += msgs.fichiersErreur;
-    const pres = opts.dryRun ? { supprimees: 0, tronque: false } : await purgerParLots("doc_presentation_attendees", `slug=eq.${enc(slug)}`, "attendee_key", opts);
+    presRapport.fichiersCandidats += msgs.fichiersCandidats;
+    budgetMessages -= opts.dryRun ? msgs.examinees : msgs.supprimees;
+    // Présences : interrogées AUSSI en dry-run (pour remonter presencesExaminees), suppression
+    // no-op via effacerParIds. Budget global partagé.
+    const pres = await purgerParLots("doc_presentation_attendees", `slug=eq.${enc(slug)}`, "attendee_key", opts, Math.max(0, budgetPresences));
     presRapport.presences += pres.supprimees;
-    // ⚠️ LA PRÉSENTATION N'EST SUPPRIMÉE QUE SI TOUS SES ENFANTS SONT PARTIS (P2 neuvième audit) :
-    // sinon 5 000 messages partent, le parent aussi, et 1 000 orphelins restent que le balayage
-    // suivant ne peut plus rattacher à leur présentation. Tronqués → on garde le parent inactif
-    // pour le passage suivant.
+    presRapport.presencesExaminees += pres.examinees;
+    budgetPresences -= opts.dryRun ? pres.examinees : pres.supprimees;
+    // ⚠️ LE RAPPORT DIT LA VÉRITÉ : si un enfant est tronqué, le rapport parent l'est aussi
+    // (P2 onzième audit — sinon la supervision croit la purge complète alors qu'un reste subsiste).
+    presRapport.tronque = presRapport.tronque || msgs.tronque || pres.tronque;
+    // La présentation n'est supprimée que si TOUS ses enfants sont partis (9e audit).
     if (!opts.dryRun && !msgs.tronque && !pres.tronque) {
       presRapport.supprimees += (await purgerParLots("doc_presentations", `slug=eq.${enc(slug)}`, "slug", opts)).supprimees;
     }