discovery-media-player 0.1.9 → 0.1.10

package/context/standalone.js

@@ -164,6 +164,39 @@ function createStandaloneContext(env = process.env) {
       }),
       // Écriture de fichier : hors périmètre d'une instance autonome (elle sert, elle ne range pas).
       async put() { throw new Error("storage.put n'est pas disponible sans câblage d'hôte"); },
+
+      /**
+       * URL d'envoi signée, pour une pièce jointe de chat. **Capacité de l'HÔTE**, pas du cœur.
+       *
+       * ⚠️ Le cœur lisait `SUPABASE_SERVICE_ROLE_KEY` directement dans l'environnement — la clé
+       * qui ouvre toute la base, lue en contournant le contexte injecté, c'est-à-dire en violant
+       * la règle que le projet affiche partout ailleurs. Un hôte qui branche SA base se faisait
+       * court-circuiter ici sans que rien ne le signale.
+       *
+       * ⚠️ Honnête sur ce qui reste : la page renvoyée appelle `uploadToSignedUrl` de supabase-js.
+       * Cette capacité retire le secret du cœur ; elle ne rend pas la fonction portable pour
+       * autant. Un hôte sur une autre pile devra aussi remplacer la moitié navigateur.
+       */
+      async signUpload(bucket, chemin) {
+        const base = sansBarreFinale(env.SUPABASE_URL);
+        const cle = String(env.SUPABASE_SERVICE_ROLE_KEY || "");
+        if (!base || !cle || !bucket || !chemin) return null;
+        try {
+          const r = await fetch(`${base}/storage/v1/object/upload/sign/${bucket}/${chemin}`, {
+            method: "POST",
+            headers: { apikey: cle, Authorization: `Bearer ${cle}`, "Content-Type": "application/json" },
+            body: "{}",
+          });
+          if (!r.ok) return null;
+          const d = await r.json().catch(() => null);
+          const url = d && d.url;
+          if (!url) return null;
+          return {
+            token: (String(url).split("token=")[1] || "").split("&")[0],
+            publicUrl: `${base}/storage/v1/object/public/${bucket}/${chemin}`,
+          };
+        } catch { return null; }
+      },
     },
 
     db: { request: db.request, selectAll: db.selectAll },
@@ -285,7 +318,8 @@ function createStandaloneContext(env = process.env) {
     },
 
     config: {
-      supabaseUrl: env.SUPABASE_URL || "",
+      // Sans barre finale : le cœur consomme cette valeur telle quelle. Un seul endroit décide.
+      supabaseUrl: sansBarreFinale(env.SUPABASE_URL),
       supabasePublishableKey: env.SUPABASE_PUBLISHABLE_KEY || "",
       mapsKey: env.GOOGLE_MAPS_API_KEY || "",
       extraFrameAncestors: String(env.DOC_FRAME_ANCESTORS || "").split(/\s+/).filter(Boolean),

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "discovery-media-player",
-  "version": "0.1.9",
+  "version": "0.1.10",
   "description": "Self-hosted document viewer: per-recipient tracked links, reading analytics, live presentation. The core knows nothing about the application hosting it — everything it borrows arrives through an injected context.",
   "keywords": [
     "pdf-viewer",
@@ -69,7 +69,7 @@
     "@eslint/js": "^10.0.1",
     "esbuild": "^0.28.2",
     "eslint": "^10.8.1",
-    "jsdom": "^25.0.1",
+    "jsdom": "^30.0.1",
     "typescript": "^5.5.4",
     "typescript-eslint": "^8.46.4",
     "vitest": "^4.1.10"

package/server/handler.js

@@ -1172,7 +1172,7 @@ const LEGAL_CSS = `
 function sendHtml(res, status, html, scriptSrc, imgExtra, frameAncestors) {
   res.statusCode = status;
   // Origine Supabase Storage (voix ElevenLabs mise en cache dans le bucket public tts-cache) → autorisée en media-src.
-  let supaOrigin; try { supaOrigin = new URL(process.env.SUPABASE_URL || "").origin; } catch { supaOrigin = ""; }
+  let supaOrigin; try { supaOrigin = new URL((PLAYER.config && PLAYER.config.supabaseUrl) || "").origin; } catch { supaOrigin = ""; }
   res.setHeader("Content-Type", "text/html; charset=utf-8");
   res.setHeader("Cache-Control", "no-store, max-age=0");
   res.setHeader("X-Content-Type-Options", "nosniff");
@@ -1217,9 +1217,16 @@ function sendSoftWallHtml(res, html, nonce, imgExtra, frameAncestors) {
  * doit pouvoir être encadrée exactement comme la visionneuse qu'elle remplace — sinon le
  * navigateur bloque le rendu et le message de refus ci-dessous n'est jamais émis.
  */
+// ⚠️ LA MÊME SOURCE QUE LA CARTE D'IDENTITÉ, ET C'EST TOUT LE SUJET. Cette fonction lisait
+// `process.env.DOC_FRAME_ANCESTORS` pendant que `?contract=1` annonçait
+// `PLAYER.config.extraFrameAncestors`. Les deux coïncident tant qu'un hôte remplit sa
+// configuration depuis cette variable — c'est le cas des deux hôtes actuels, donc rien n'était
+// cassé. Mais un hôte qui la calcule autrement (base, fichier, autre nom de variable) verrait la
+// carte annoncer une liste et l'en-tête CSP en servir une autre : « configuré » et « servi »
+// divergents à l'intérieur même du mécanisme construit pour détecter cette divergence.
 function embedFrameAncestors() {
   return ["'self'", "https://*.vercel.app"]
-    .concat(String(process.env.DOC_FRAME_ANCESTORS || "").split(/\s+/).filter(Boolean))
+    .concat((PLAYER.config && PLAYER.config.extraFrameAncestors) || [])
     .join(" ");
 }
 
@@ -1580,7 +1587,7 @@ ${LEGAL_CSS}
   <script nonce="${nonce}">${PLAYER_BROWSER_JS}</script>
   <script nonce="${nonce}" src="${PDFJS}/pdf.min.js"></script>
   ${preview ? `<script nonce="${nonce}" src="${SUPAJS}"></script>
-  <script nonce="${nonce}">var LIVECFG={supaUrl:${JSON.stringify(share.supa_url || "")},supaKey:${JSON.stringify(share.supa_key || "")}};var GMAPS_KEY=${JSON.stringify(process.env.GOOGLE_MAPS_API_KEY || "")};${LIVE_JS}
+  <script nonce="${nonce}">var LIVECFG={supaUrl:${JSON.stringify(share.supa_url || "")},supaKey:${JSON.stringify(share.supa_key || "")}};var GMAPS_KEY=${JSON.stringify((PLAYER.config && PLAYER.config.mapsKey) || "" || "")};${LIVE_JS}
   ${MAP_JS}</script>` : ""}
   <script nonce="${nonce}">
   (function(){
@@ -2087,7 +2094,7 @@ function presentHtml(pres, nonce, logoUrl, supaUrl, supaKey) {
   })();
   </script>
   <script nonce="${nonce}">
-  var LIVECFG={supaUrl:${JSON.stringify(supaUrl || "")},supaKey:${JSON.stringify(supaKey || "")}};var GMAPS_KEY=${JSON.stringify(process.env.GOOGLE_MAPS_API_KEY || "")};
+  var LIVECFG={supaUrl:${JSON.stringify(supaUrl || "")},supaKey:${JSON.stringify(supaKey || "")}};var GMAPS_KEY=${JSON.stringify((PLAYER.config && PLAYER.config.mapsKey) || "" || "")};
   ${LIVE_JS}
   ${MAP_JS}
   (function(){
@@ -2252,7 +2259,7 @@ async function handler(req, res) {
           // `spoken` est renvoyé quand il diffère → le viewer aligne le karaoké dessus (mapping mot à mot).
           const spoken = (() => { if (!pron) return text; try { const s = pron(text).replace(/\s+/g, " ").trim().slice(0, 700); return s || text; } catch { return text; } })();
           const modelId = process.env.ELEVENLABS_MODEL || "eleven_multilingual_v2";
-          const base = process.env.SUPABASE_URL || "";
+          const base = (PLAYER.config && PLAYER.config.supabaseUrl) || "";
           // « v2 » = version du format de cache : les extraits v1 (sans alignement timestamps) sont ignorés
           // d'office et tout se régénère AVEC l'horodatage par caractère (karaoké exact). Anciens fichiers = poids mort minime.
           const keyFor = (vid) => crypto.createHash("sha256").update(vid + "|" + modelId + "|v2|" + spoken).digest("hex");
@@ -2651,8 +2658,8 @@ async function handler(req, res) {
         await relayerFichier(res, r, null);
         return;
       }
-      const supaUrl = process.env.SUPABASE_URL || "";
-      const supaKey = process.env.SUPABASE_PUBLISHABLE_KEY || "";
+      const supaUrl = (PLAYER.config && PLAYER.config.supabaseUrl) || "";
+      const supaKey = (PLAYER.config && PLAYER.config.supabasePublishableKey) || "";
       let alogo = ""; try { alogo = await PLAYER.branding.logo(); } catch { /* sans logo */ }
       const anonce = crypto.randomBytes(16).toString("base64");
       // Même sujet, trouvé en vérifiant le précédent : cette page ne passait AUCUN paramètre,
@@ -2674,8 +2681,8 @@ async function handler(req, res) {
         await relayerFichier(res, r, dispositionInline(q.name));
         return;
       }
-      const supaUrl = process.env.SUPABASE_URL || "";
-      const supaKey = process.env.SUPABASE_PUBLISHABLE_KEY || "";
+      const supaUrl = (PLAYER.config && PLAYER.config.supabaseUrl) || "";
+      const supaKey = (PLAYER.config && PLAYER.config.supabasePublishableKey) || "";
       const pseudo = { preview: true, slug: "", file_name: String(q.name || "document.pdf"), doc_title: String(q.title || q.name || "Document"), raw_url: url, doc_id: String(q.docId || ""), presenter_name: String(q.by || ""), presenter_avatar: String(q.av || ""), internal_email: String(q.uemail || ""), supa_url: supaUrl, supa_key: supaKey, auto_present: String(q.autopresent || "") === "1", resume_slug: String(q.resume || ""), stream_url: `/api/doc?preview=1&stream=1&url=${encodeURIComponent(url)}&name=${encodeURIComponent(String(q.name || ""))}` };
       let plogo = ""; try { plogo = await PLAYER.branding.logo(); } catch { /* sans logo */ }
       const pnonce = crypto.randomBytes(16).toString("base64");

package/server/presentations.js

@@ -130,7 +130,7 @@ async function endPresentation(slug, control) {
 // validés par le bucket (image/*+pdf, ≤10 Mo). L'URL publique finale est renvoyée pour attacher au message.
 const ATT_KINDS = { "image/png": "image", "image/jpeg": "image", "image/webp": "image", "image/gif": "image", "application/pdf": "pdf" };
 async function createUploadUrl(slug, name, type) {
-  const base = (process.env.SUPABASE_URL || "").replace(/\/+$/, ""); const KEY = process.env.SUPABASE_SERVICE_ROLE_KEY || "";
+
   // ⚠️ `Object.hasOwn` et pas une simple lecture : un objet littéral hérite de `constructor`,
   // `toString`, `valueOf`, `__proto__`… `ATT_KINDS["constructor"]` rend une FONCTION, donc une
   // valeur vraie — la garde juste en dessous laissait alors passer un type qui n'a jamais été
@@ -138,14 +138,21 @@ async function createUploadUrl(slug, name, type) {
   // action publique. Signalé par un hôte tiers qui venait de trouver la même forme chez lui.
   const demande = String(type || "").toLowerCase();
   const kind = Object.hasOwn(ATT_KINDS, demande) ? ATT_KINDS[demande] : null;
-  if (!kind || !slug || !base || !KEY) return { ok: false, status: 400 };
+  if (!kind || !slug) return { ok: false, status: 400 };
   const safe = (String(name || "fichier").replace(/[^a-zA-Z0-9._-]/g, "_").slice(-60)) || "fichier";
   const path = `${String(slug).replace(/[^a-zA-Z0-9._-]/g, "")}/${Date.now()}-${crypto.randomBytes(4).toString("hex")}-${safe}`;
-  const r = await fetch(`${base}/storage/v1/object/upload/sign/present-attachments/${path}`, { method: "POST", headers: { apikey: KEY, Authorization: `Bearer ${KEY}`, "Content-Type": "application/json" }, body: "{}" });
-  if (!r.ok) return { ok: false, status: 502 };
-  const d = await r.json().catch(() => null); const url = d && d.url; if (!url) return { ok: false, status: 502 };
-  const token = (String(url).split("token=")[1] || "").split("&")[0];
-  return { ok: true, path, token, kind, publicUrl: `${base}/storage/v1/object/public/present-attachments/${path}` };
+
+  // ⚠️ La signature appartient à l'HÔTE : c'est lui qui détient la clé, pas le cœur. Un hôte qui
+  // ne fournit pas cette capacité voit la pièce jointe refusée — et prévenue. Le refus silencieux
+  // serait pire : une pièce jointe qui ne part jamais, sans que personne sache que la capacité
+  // manque.
+  if (!PLAYER.storage || typeof PLAYER.storage.signUpload !== "function") {
+    try { PLAYER.errors.capture(new Error("storage.signUpload absent du contexte : les pièces jointes de chat sont indisponibles"), {}); } catch { /* jamais bloquant */ }
+    return { ok: false, status: 501 };
+  }
+  const signe = await PLAYER.storage.signUpload("present-attachments", path);
+  if (!signe || !signe.token) return { ok: false, status: 502 };
+  return { ok: true, path, token: signe.token, kind, publicUrl: signe.publicUrl };
 }
 
 /**
@@ -177,7 +184,10 @@ function premierPublic(reponse) {
 
 async function addMessage(slug, { name, email, avatar, isPresenter, isMember, body, replyTo, replyName, replyText, authorToken, attachment }) {
   const b = String(body || "").trim().slice(0, 2000);
-  const base = (process.env.SUPABASE_URL || "").replace(/\/+$/, "");
+  // ⚠️ Pas de normalisation ici : `config.supabaseUrl` arrive SANS barre finale, c'est le
+  // contrat de l'adaptateur. En rajouter une deuxième couche, c'est deux endroits qui décident —
+  // et c'est comme ça que `.replace(/\/+$/, "")` s'est retrouvé à cinq exemplaires dans ce dépôt.
+  const base = String((PLAYER.config && PLAYER.config.supabaseUrl) || "");
   let att = null;
   if (attachment && typeof attachment === "object" && attachment.url && String(attachment.url).startsWith(base + "/storage/v1/object/public/present-attachments/")) {
     att = { url: String(attachment.url).slice(0, 600), name: String(attachment.name || "").slice(0, 120), type: String(attachment.type || "").slice(0, 60), kind: attachment.kind === "pdf" ? "pdf" : "image" };