easyvibegate 0.4.4 → 0.6.2

package/README.en.md

@@ -1,6 +1,6 @@
 # 🛡 EasyVibeGate
 
-![license: MIT](https://img.shields.io/badge/license-MIT-brightgreen) ![node](https://img.shields.io/badge/node-%3E%3D18-blue) ![lang](https://img.shields.io/badge/lang-ru%20%7C%20en-informational)
+![npm](https://img.shields.io/npm/v/easyvibegate) ![license: MIT](https://img.shields.io/badge/license-MIT-brightgreen) ![node](https://img.shields.io/badge/node-%3E%3D18-blue) ![lang](https://img.shields.io/badge/lang-ru%20%7C%20en-informational)
 
 🇷🇺 Русская версия: [README.md](README.md)
 
@@ -8,11 +8,7 @@
 
 Most scanners grep your code and say *"you might have leaked a key."* EasyVibeGate also goes to the running backend: for **Supabase/Firebase** it walks in with the public key and shows which tables are readable by anyone, with the exact `curl` — plus SQL to close it. It is honest about coverage: every check reports whether it actually ran, so a failed or skipped check is never shown as a green "all clear".
 
-> ⚠️ **Not published to npm yet** — `npx easyvibegate` will work after publishing.
-> Today, install straight from GitHub: `npx github:valedol190387/easyvibegate`
-> (it fetches the repo and builds itself).
->
-> Status: **v0.4, early.** Best-supported stack: **Next.js + Supabase**. Code review runs on any stack; the live backend probe is read-only and Supabase/Firebase-focused. Not a penetration test.
+> Status: **v0.5, early.** Best-supported stack: **Next.js + Supabase**. Code review runs on any stack; the live backend probe is read-only and Supabase/Firebase-focused. Not a penetration test.
 
 ## How to run
 
@@ -25,7 +21,7 @@ If you use **Cursor, Claude Code, or Codex**, you don't need to type anything in
 ```
 Check this project's security with EasyVibeGate and explain the result in plain language.
 
-1. Run at the project root:  npx github:valedol190387/easyvibegate . --no-wizard --deps
+1. Run at the project root:  npx easyvibegate . --no-wizard --deps
    (After the npm release the short form is: npx easyvibegate . --no-wizard --deps)
    (Add  --url <my-app-url> --i-own-this  only if this is my project
     and I allow the live backend probe.)
@@ -39,7 +35,7 @@ The agent runs it, reads the report, and explains the findings. You can also jus
 ### Option 2. One command in the terminal
 
 ```bash
-npx github:valedol190387/easyvibegate
+npx easyvibegate
 ```
 
 Run it inside your project. (After the npm release: `npx easyvibegate`.) A friendly wizard asks a few plain yes/no questions, tells you what's wrong in plain language, and writes a ready-to-use fix plan. No install, no config, no runtime deps.
@@ -58,7 +54,7 @@ jobs:
       - uses: actions/checkout@v4
       - uses: actions/setup-node@v4
         with: { node-version: 20 }
-      - run: npx github:valedol190387/easyvibegate . --ci
+      - run: npx easyvibegate . --ci
 ```
 
 Exit codes: `2` = critical, `1` = warnings, `3` = a check failed to run, `0` = clean.

package/README.md

@@ -1,6 +1,6 @@
 # 🛡 EasyVibeGate
 
-![license: MIT](https://img.shields.io/badge/license-MIT-brightgreen) ![node](https://img.shields.io/badge/node-%3E%3D18-blue) ![lang](https://img.shields.io/badge/lang-ru%20%7C%20en-informational)
+![npm](https://img.shields.io/npm/v/easyvibegate) ![license: MIT](https://img.shields.io/badge/license-MIT-brightgreen) ![node](https://img.shields.io/badge/node-%3E%3D18-blue) ![lang](https://img.shields.io/badge/lang-ru%20%7C%20en-informational)
 
 🇬🇧 English version: [README.en.md](README.en.md)
 
@@ -8,11 +8,7 @@
 
 Большинство сканеров просто грепают код и говорят «возможно, ты слил ключ». EasyVibeGate идёт дальше: для **Supabase/Firebase** заходит публичным ключом и показывает, какие таблицы читаются кем угодно, с готовым `curl` и SQL для починки. И он честен про покрытие: каждая проверка сообщает, реально ли она выполнилась, поэтому упавшая или пропущенная проверка **никогда не выдаётся за зелёное «всё чисто»**.
 
-> ⚠️ **Пакет ещё не опубликован в npm.** Команда `npx easyvibegate` заработает после публикации.
-> Сейчас рабочий способ — установка прямо из GitHub: `npx github:valedol190387/easyvibegate`
-> (скачает репозиторий и соберёт его сам).
->
-> Статус: **v0.4, ранняя версия.** Лучше всего поддержан стек **Next.js + Supabase**. Осмотр кода работает на любом стеке; живой пробинг бэкенда — только чтение и заточен под Supabase/Firebase. Это не пентест.
+> Статус: **v0.5, ранняя версия.** Лучше всего поддержан стек **Next.js + Supabase**. Осмотр кода работает на любом стеке; живой пробинг бэкенда — только чтение и заточен под Supabase/Firebase. Это не пентест.
 
 ## 🇷🇺 Простыми словами
 
@@ -38,8 +34,7 @@
 ```
 Проверь безопасность этого проекта с помощью EasyVibeGate и объясни результат простыми словами.
 
-1. Запусти в корне проекта:  npx github:valedol190387/easyvibegate . --no-wizard --deps
-   (После публикации в npm короткая форма: npx easyvibegate . --no-wizard --deps)
+1. Запусти в корне проекта:  npx easyvibegate . --no-wizard --deps
    (Добавь  --url <адрес-моего-приложения> --i-own-this  только если это мой проект
     и я разрешаю живую проверку бэкенда.)
 2. Открой и изучи файл:  easyvibegate-report/ai-fix-prompt.md
@@ -52,10 +47,10 @@
 ### Способ 2. Одной командой в терминале
 
 ```bash
-npx github:valedol190387/easyvibegate
+npx easyvibegate
 ```
 
-Запусти внутри своего проекта. (После публикации в npm будет короче: `npx easyvibegate`.) Дружелюбный мастер задаст пару вопросов «да/нет», понятным языком расскажет, что не так, и создаст готовый план починки. Ни установки, ни настройки, ни зависимостей.
+Запусти внутри своего проекта. Дружелюбный мастер задаст пару вопросов «да/нет», понятным языком расскажет, что не так, и создаст готовый план починки. Ни установки, ни настройки, ни зависимостей.
 
 ### Способ 3. В CI (GitHub Actions)
 
@@ -71,7 +66,7 @@ jobs:
       - uses: actions/checkout@v4
       - uses: actions/setup-node@v4
         with: { node-version: 20 }
-      - run: npx github:valedol190387/easyvibegate . --ci
+      - run: npx easyvibegate . --ci
 ```
 
 Коды выхода: `2` — есть критичное, `1` — предупреждения, `3` — проверка не завершилась, `0` — чисто.
@@ -97,6 +92,26 @@ jobs:
 - **Supabase / Firebase** — заходим публичным ключом и показываем, какие таблицы/бакеты читаются кем угодно, с воспроизводящим `curl`. Таблицы с «чувствительными» именами (users, payments…) — критично; публичный контент — «подтверди намеренность».
 - **Любой бэкенд, best-effort** — дёргаем найденные эндпоинты без входа; с двумя тест-аккаунтами (`--idor-tokens a,b`) сравниваем ответы на предмет доступа к чужому (IDOR). Это подсказки для проверки, а не доказательство; инструмент никогда не пишет.
 
+## Серьёзность секретов: по тому, куда он утекает
+
+Секрет в `.env`, который лежит в `.gitignore`, — не проблема, а правильное место. Секрет в закоммиченном файле — утечка. Раньше оба показывались одинаково, и люди переставали читать предупреждения — вместе с настоящими. Теперь серьёзность считается так:
+
+| Где лежит | Уровень | Почему |
+|---|---|---|
+| в git (закоммичен) | как у находки: крит/предупреждение | уже в истории, есть у всех, у кого репозиторий |
+| в репо, но не закоммичен и не в `.gitignore` | не выше предупреждения | «один `git add -A` до утечки» |
+| в `.gitignore` | к сведению | через git утечь не может — так и должно быть |
+| папка не под git | не выше предупреждения | через git не утекает; риск — скопировать/заархивировать |
+| **`.env.example` с тем же значением, что в `.env`** | **критично** | это не пример, это опубликованный ключ |
+
+Плюс: `postgres://app:app@localhost` в docker-compose / CI — дефолтный логин локального контейнера, не секрет; `tracking_token` и `pagination_token` из кэша API — не секреты; папки `cache/`, `tmp/` не сканируются.
+
+Секрет в gitignored-файле, который **не** `.env` (например, пароль от прода в `.claude/settings.local.json`), — предупреждение: через git не утечёт, но лежит не там. Папка `easyvibegate-report/` сама пишет себе `.gitignore` — отчёт содержит префиксы секретов и карту эндпоинтов, коммитить его нельзя.
+
+Статическая проверка RLS видит только `CREATE TABLE` из миграций в репозитории. Таблицы, созданные из дашборда или из другого репо, перечисляет только живая проверка — если отказаться от неё, в отчёте будет часть картины, и он об этом скажет.
+
+Оценка — это отметка, а не счётчик: после пяти предупреждений балл перестаёт падать (число всё равно показано), критичные могут обнулить его по-прежнему.
+
 ## Оценка и статусы
 
 - **Итог — одна политика для всего** (CI, JSON, бейдж, консоль): `fail` — есть критичное; `incomplete` — критичного нет, но какая-то проверка упала / выполнилась частично / не поддержана; `pass` — всё проверено и чисто.
@@ -126,9 +141,12 @@ jobs:
 
 EasyVibeGate — **линтер частых дыр вайб-кодинга, а не пентест.** Ноль находок не значит «безопасно». Статический слой не знает, проверяет ли эндпоинт доступ — это может подтвердить только живая проверка на запущенном приложении, которым ты владеешь. Никогда не направляй живую проверку на чужие системы.
 
-Что именно анализатор SQL знает про себя:
+SQL не «ищется регулярками», а разбирается лексером: строки, комментарии и имена в кавычках — это отдельные токены, поэтому ключевое слово внутри строки или имени столбца не может быть принято за команду. Что анализатор знает про себя:
 
+- **Движок определяется по файлу.** SQLite и Cloudflare D1 (`AUTOINCREMENT`, `INTEGER PRIMARY KEY`, `wrangler.*` с `d1_databases`) и MySQL не получают находок про RLS — у них его не существует. Пропуск виден в отчёте как info-строка «RLS-проверка пропущена», а не молчание.
+- **«Нет RLS» критично только там, где до базы дотягивается клиент** — Supabase/PostgREST с anon-ключом, Hasura. Если в базу ходит только твой сервер (`pg`, Prisma, Drizzle без клиентского API), это предупреждение с пояснением, а не крит. Без сигналов в обе стороны считается, что база открыта наружу — неизвестное не читается как безопасное.
 - **Порядок миграций внутри одной папки — настоящий**, и `DISABLE ROW LEVEL SECURITY` в более поздней миграции даёт критичную находку. **Порядок между разными папками — догадка**: если противоречащие друг другу команды лежат в разных каталогах, находка выдаётся как предупреждение «порядок неясен» — независимо от того, какая папка оказалась последней при сортировке.
+- **Неизвестное ≠ чистое.** Если команда может менять таблицу или RLS, а анализатор её не понял — например, динамический `EXECUTE 'ALTER TABLE …'` — проверка помечается как **неполная**, вердикт `incomplete`, код выхода `3`. Такие места перечисляются в отчёте по файлу и строке.
 - **DDL внутри `DO $$ … $$` считается выполненным**, если он безусловный. Любая команда под `IF … THEN` (`ENABLE`, `DISABLE`, `CREATE`, `DROP`) даёт предупреждение «состояние RLS не подтверждено»: выполнится ли ветка, статически не узнать, и утверждать обратное — в любую сторону — значит врать. Вложенные `IF` учитываются, `-- end if` в комментарии условие не закрывает. Если у тебя идемпотентная обёртка `IF NOT EXISTS`, проверь состояние в базе и при желании подави находку через `easyvibegate.config.json`.
 
 ## Язык

package/dist/cli/index.js

@@ -1,8 +1,10 @@
 #!/usr/bin/env node
-import { existsSync, mkdirSync, readFileSync, rmSync, statSync, writeFileSync } from 'node:fs';
+import { existsSync, mkdirSync, rmSync, statSync, writeFileSync } from 'node:fs';
 import { join, resolve } from 'node:path';
 import { createInterface } from 'node:readline';
-import { runFlow } from '../orchestrator/flow.js';
+import { planTargets, runFlow } from '../orchestrator/flow.js';
+import { scanStatic } from '../engine/scan.js';
+import { loadConfig, validateConfigFile } from '../engine/config.js';
 import { badgeMarkdown, exitCodeFor, renderConsole, renderJson, renderMarkdown, renderNextSteps, renderVerdict, summarize, } from '../engine/report.js';
 import { buildAiFixPrompt } from '../engine/aifix.js';
 import { runWizard } from './wizard.js';
@@ -166,10 +168,14 @@ function parseArgs(argv) {
                 if (v === undefined)
                     break;
                 const parts = v.split(',').map((s) => s.trim()).filter(Boolean);
-                if (parts.length === 2)
-                    a.idorTokens = [parts[0], parts[1]];
-                else
+                if (parts.length !== 2)
                     a.badIdorTokens = true;
+                // Two identical tokens are one identity: the differential could never
+                // observe cross-user access, so the check would silently prove nothing.
+                else if (parts[0] === parts[1])
+                    a.argErrors.push('--idor-tokens needs two DIFFERENT tokens (two accounts) — identical tokens cannot test cross-user access');
+                else
+                    a.idorTokens = [parts[0], parts[1]];
                 break;
             }
             default:
@@ -256,6 +262,17 @@ async function main() {
     // Reports land next to the scanned project by default, so scanning several
     // projects from one shell never overwrites another project's report.
     const outDir = args.output !== undefined ? resolve(args.output) : join(root, 'easyvibegate-report');
+    // The report directory gets its OWN `.gitignore` (see prepareOutputDir) and
+    // has its stale report files deleted on every run. Both are safe for a
+    // directory that exists only to hold reports — neither is safe for the
+    // scanned project itself: `--output .` from the project root would replace
+    // the project's real .gitignore with a bare `*`, silently un-tracking the
+    // whole repo.
+    if (args.output !== undefined && outDir === root) {
+        process.stderr.write(`easyvibegate: --output must not be the scanned project itself (${root}) — pick a subdirectory, e.g. --output ${join(root, 'easyvibegate-report')}
+`);
+        process.exit(2);
+    }
     // Use the friendly wizard when a human runs it in a terminal without
     // automation flags; --wizard forces it. Either way the pipeline below is shared.
     // --ci is a non-interactive contract: never ask questions there.
@@ -275,6 +292,7 @@ async function main() {
     let result;
     if (useWizard) {
         result = await runWizard({
+            excludeAbs: [outDir],
             path: args.path,
             config: args.config,
             lang,
@@ -300,14 +318,21 @@ async function main() {
             const ans = await ask(color.yellow(`  Probe ${req.kind} → ${req.target}?\n    (${req.detail}) [y/N] `));
             return /^y(es)?$/i.test(ans.trim());
         };
-        result = await runFlow({
-            root,
-            configPath: args.config,
+        // Same contract as the wizard: plan the concrete targets once, ask about
+        // exactly those, execute exactly those.
+        const staticResult = await scanStatic(root, { configPath: args.config, excludeAbs: [outDir] });
+        const plan = planTargets(staticResult.files, loadConfig(root, args.config), {
             appUrl: args.appUrl,
             supabaseUrl: args.supabaseUrl,
             supabaseKey: args.supabaseKey,
-            runDeps: args.deps,
             idorTokens: args.idorTokens,
+        });
+        result = await runFlow({
+            root,
+            configPath: args.config,
+            runDeps: args.deps,
+            precomputedStatic: staticResult,
+            plan,
             consent,
             log,
         });
@@ -354,6 +379,12 @@ function prepareOutputDir(dir) {
         if (existsSync(dir) && !statSync(dir).isDirectory())
             return 'exists and is not a directory';
         mkdirSync(dir, { recursive: true });
+        // The report names secret prefixes, database hosts and every endpoint —
+        // exactly what must not be committed. A `.gitignore` containing `*` inside
+        // the directory makes git ignore it wherever the project's own .gitignore
+        // stands (the trick node_modules-style caches use); the user's files are
+        // never edited. Rewritten every run so a stray edit cannot un-ignore it.
+        writeFileSync(join(dir, '.gitignore'), '# Written by EasyVibeGate: this report can contain secret prefixes and hosts. Never commit it.\n*\n', 'utf8');
         // Old report.md next to a fresh report.json told two different stories.
         for (const name of ['report.md', 'report.json', 'ai-fix-prompt.md']) {
             const p = join(dir, name);
@@ -366,36 +397,6 @@ function prepareOutputDir(dir) {
         return e instanceof Error ? e.message : String(e);
     }
 }
-/** Returns a human message when an explicitly given config is unusable. */
-function validateConfigFile(path) {
-    if (!existsSync(path))
-        return 'file not found';
-    if (!statSync(path).isFile())
-        return 'not a file';
-    let parsed;
-    try {
-        parsed = JSON.parse(readFileSync(path, 'utf8'));
-    }
-    catch (e) {
-        return `invalid JSON (${e instanceof Error ? e.message : String(e)})`;
-    }
-    if (typeof parsed !== 'object' || parsed === null || Array.isArray(parsed))
-        return 'must be a JSON object';
-    const cfg = parsed;
-    const known = ['ignore', 'ignorePaths'];
-    for (const key of known) {
-        const v = cfg[key];
-        if (v === undefined)
-            continue;
-        if (!Array.isArray(v) || v.some((x) => typeof x !== 'string'))
-            return `"${key}" must be an array of strings`;
-    }
-    // A typo like "ignorePath" would silently do nothing — say so instead.
-    const unknown = Object.keys(cfg).filter((k) => !known.includes(k));
-    if (unknown.length)
-        return `unknown key(s): ${unknown.join(', ')} (expected ${known.join(', ')})`;
-    return null;
-}
 main().catch((err) => {
     process.stderr.write(`easyvibegate: ${err instanceof Error ? err.stack ?? err.message : String(err)}\n`);
     process.exit(1);

package/dist/cli/wizard.js

@@ -1,9 +1,8 @@
 import { resolve } from 'node:path';
 import { createInterface } from 'node:readline';
 import { scanStatic } from '../engine/scan.js';
-import { runFlow } from '../orchestrator/flow.js';
-import { discoverSupabase } from '../engine/checkers/backend/supabase.js';
-import { discoverFirebase } from '../engine/checkers/backend/firebase.js';
+import { consentKey, liveTargets, planTargets, runFlow } from '../orchestrator/flow.js';
+import { loadConfig } from '../engine/config.js';
 import { summarize } from '../engine/report.js';
 import { t } from '../engine/i18n.js';
 import { color } from '../engine/util/color.js';
@@ -114,7 +113,7 @@ export async function runWizard(args) {
     w();
     // Step 1 — static code review (always, safe).
     w(`  ${color.bold(t(lang, 'wiz.step1'))}${color.gray(t(lang, 'wiz.step1hint'))}`);
-    const staticResult = await scanStatic(root, { configPath: args.config });
+    const staticResult = await scanStatic(root, { configPath: args.config, excludeAbs: args.excludeAbs });
     const s0 = summarize(staticResult.findings, staticResult.runs);
     w(color.gray(`  ${t(lang, 'wiz.step1result', { files: staticResult.fileCount, crit: s0.counts.critical, warn: s0.counts.warning })}`));
     w();
@@ -125,36 +124,53 @@ export async function runWizard(args) {
         w(color.gray(`  --deps → ${t(lang, 'wiz.fromFlag')}`));
     w();
     // Step 3 — live checks (opt-in, own project only).
+    // The targets are planned ONCE here, over the same ignorePaths-filtered file
+    // set the flow uses, and the very same plan is handed to runFlow. Consent is
+    // bound to a concrete normalized target, so the host shown in a question is
+    // exactly the host that gets probed — never a second discovery's pick.
     w(`  ${color.bold(t(lang, 'wiz.step3'))}${color.gray(t(lang, 'wiz.step3hint'))}`);
-    const sb = args.supabaseUrl && args.supabaseKey
-        ? { url: args.supabaseUrl, anonKey: args.supabaseKey, keyKind: 'jwt-anon' }
-        : discoverSupabase(staticResult.files);
-    const fb = discoverFirebase(staticResult.files);
-    let approveSupabase = false;
-    let approveFirebase = false;
+    const config = loadConfig(root, args.config);
+    const base = planTargets(staticResult.files, config, {
+        appUrl: args.appUrl,
+        supabaseUrl: args.supabaseUrl,
+        supabaseKey: args.supabaseKey,
+        idorTokens: args.idorTokens,
+    });
+    const approved = new Set();
+    const sb = base.targets.find((x) => x.kind === 'supabase');
+    const fb = base.targets.find((x) => x.kind === 'firebase');
     if (sb) {
-        w(color.gray(t(lang, 'wiz.sbFound', { url: sb.url })));
+        w(color.gray(t(lang, sb.explicit ? 'wiz.sbFromFlag' : 'wiz.sbFound', { url: sb.target })));
         w(color.gray(t(lang, 'wiz.sbDesc1')));
         w(color.gray(t(lang, 'wiz.sbDesc2')));
-        approveSupabase = args.autoYes ? true : await askYesNo(t(lang, 'wiz.qSb'), false);
+        const yes = args.autoYes ? true : await askYesNo(t(lang, 'wiz.qSb'), false);
+        if (yes)
+            approved.add(consentKey('supabase', sb.target));
+        else if (sb.explicit)
+            w(color.yellow(t(lang, 'wiz.notRun', { target: sb.target })));
         w();
     }
     if (fb) {
-        w(color.gray(t(lang, 'wiz.fbFound', { id: fb.projectId })));
-        approveFirebase = args.autoYes ? true : await askYesNo(t(lang, 'wiz.qFb'), false);
+        w(color.gray(t(lang, 'wiz.fbFound', { id: fb.target })));
+        const yes = args.autoYes ? true : await askYesNo(t(lang, 'wiz.qFb'), false);
+        if (yes)
+            approved.add(consentKey('firebase', fb.target));
         w();
     }
     // A URL from the command line wins; otherwise ask — and never silently discard
-    // a non-empty answer that merely lacks a scheme.
-    let appUrl = args.appUrl;
-    if (!appUrl) {
-        for (let attempt = 0; attempt < 2 && !appUrl; attempt++) {
+    // a non-empty answer that merely lacks a scheme. A typed URL extends the plan
+    // the same way a flag would; it is still a request the person made.
+    let live = base.targets.find((x) => x.kind === 'live');
+    const extra = [];
+    if (!live) {
+        for (let attempt = 0; attempt < 2 && !live; attempt++) {
             const raw = await ask(t(lang, 'wiz.qUrl'));
             if (raw === null || raw === '')
                 break; // EOF or empty = deliberately skip
             const normalized = normalizeUrl(raw);
             if (normalized) {
-                appUrl = normalized;
+                extra.push(...liveTargets(normalized, args.idorTokens, 'wizard'));
+                live = extra.find((x) => x.kind === 'live');
                 if (normalized !== raw)
                     w(color.gray(`  → ${t(lang, 'wiz.urlNormalized', { url: normalized })}`));
             }
@@ -164,32 +180,32 @@ export async function runWizard(args) {
         }
     }
     // Probing a live host always needs ownership confirmation, even from --url.
-    let approveLive = !!appUrl;
-    if (appUrl && !args.autoYes) {
-        approveLive = await askYesNo(t(lang, 'wiz.qOwn', { url: appUrl }), false);
+    // A declined request is NOT dropped: it stays in the plan so the flow records
+    // it as a requested check that did not run (visible in coverage, gate incomplete).
+    if (live) {
+        const yes = args.autoYes ? true : await askYesNo(t(lang, 'wiz.qOwn', { url: live.target }), false);
+        if (yes) {
+            approved.add(consentKey('live', live.target));
+            if (args.idorTokens)
+                approved.add(consentKey('idor', live.target));
+        }
+        else {
+            w(color.yellow(t(lang, 'wiz.notRun', { target: live.target })));
+        }
     }
     rl?.close();
     w();
-    const consent = async (req) => {
-        switch (req.kind) {
-            case 'supabase': return approveSupabase;
-            case 'firebase': return approveFirebase;
-            case 'live': return approveLive;
-            case 'idor': return approveLive && !!args.idorTokens;
-            default: return false;
-        }
-    };
+    const plan = { targets: [...base.targets, ...extra] };
+    const consent = async (req) => approved.has(consentKey(req.kind, req.target));
     const log = (m) => process.stdout.write(color.gray(`  … ${m}\n`));
     w(`  ${color.bold(t(lang, 'wiz.running'))}`);
     return runFlow({
+        excludeAbs: args.excludeAbs,
         root,
         configPath: args.config,
-        appUrl: approveLive ? appUrl : undefined,
-        supabaseUrl: args.supabaseUrl,
-        supabaseKey: args.supabaseKey,
         runDeps,
-        idorTokens: args.idorTokens,
         precomputedStatic: staticResult,
+        plan,
         consent,
         log,
     });

package/dist/engine/checkers/backend/firebase.js

@@ -1,5 +1,8 @@
-import { isErr, request, sleep, unreliable } from '../../net/http.js';
-import { looksLikePlaceholder } from '../../util/text.js';
+import { classifyBody, request, sleep } from '../../net/http.js';
+import { DNS_LABEL, looksLikePlaceholder } from '../../util/text.js';
+const FIREBASEIO_URL = new RegExp(`https://${DNS_LABEL}(?:-default-rtdb)?\\.firebaseio\\.com`);
+const FIREBASEAPP_DOMAIN = new RegExp(`(${DNS_LABEL})\\.firebaseapp\\.com`);
+const FIREBASEDATABASE_APP = new RegExp(`^${DNS_LABEL}\\.firebasedatabase\\.app$`);
 const COMMON_COLLECTIONS = [
     'users', 'user', 'profiles', 'accounts', 'messages', 'chats', 'posts',
     'orders', 'payments', 'products', 'items', 'settings', 'admin', 'config',
@@ -11,13 +14,16 @@ export function discoverFirebase(all) {
     let projectId;
     let databaseURL;
     let storageBucket;
+    // This loop runs against every project file's raw content, including large
+    // ones — see `DNS_LABEL` in util/text.ts for why the two host regexes below
+    // are bounded instead of `[a-z0-9-]+`.
     for (const f of files) {
         projectId ??= f.content.match(/projectId\s*:\s*["']([^"']+)["']/)?.[1];
         databaseURL ??= f.content.match(/databaseURL\s*:\s*["']([^"']+)["']/)?.[1]
-            ?? f.content.match(/https:\/\/[a-z0-9-]+(?:-default-rtdb)?\.firebaseio\.com/)?.[0];
+            ?? f.content.match(FIREBASEIO_URL)?.[0];
         storageBucket ??= f.content.match(/storageBucket\s*:\s*["']([^"']+)["']/)?.[1];
         if (!projectId) {
-            const dom = f.content.match(/([a-z0-9-]+)\.firebaseapp\.com/)?.[1];
+            const dom = f.content.match(FIREBASEAPP_DOMAIN)?.[1];
             if (dom)
                 projectId = dom;
         }
@@ -25,66 +31,81 @@ export function discoverFirebase(all) {
     if (!projectId || looksLikePlaceholder(projectId))
         return null;
     // Only keep hosts that belong to the project we will name in the consent prompt.
-    if (databaseURL && !databaseURL.includes(projectId))
-        databaseURL = undefined;
-    if (storageBucket && !storageBucket.includes(projectId))
-        storageBucket = undefined;
-    return { projectId, databaseURL, storageBucket };
+    return {
+        projectId,
+        databaseURL: databaseURL ? ownDatabaseURL(databaseURL, projectId) : undefined,
+        storageBucket: storageBucket ? ownStorageBucket(storageBucket, projectId) : undefined,
+    };
 }
-/** Only a parsable, non-empty JSON payload proves anonymous read access. */
-function hasJsonData(body) {
-    try {
-        const v = JSON.parse(body);
-        if (v === null || v === undefined)
-            return false;
-        if (Array.isArray(v))
-            return v.length > 0;
-        if (typeof v === 'object') {
-            const o = v;
-            if ('error' in o)
-                return false;
-            return Object.keys(o).length > 0;
-        }
-        return true;
-    }
-    catch {
-        return false;
-    }
+/** The RTDB hostnames Firebase itself issues for a project — nothing else can be "its" database. */
+function isOwnRtdbHost(host, projectId) {
+    const p = projectId.toLowerCase();
+    const regional = `${p}-default-rtdb.`; // <project>-default-rtdb.<region>.firebasedatabase.app
+    return host === `${p}.firebaseio.com`
+        || host === `${p}-default-rtdb.firebaseio.com`
+        // `host` here is already `new URL(...).hostname` (bounded by the caller,
+        // ownDatabaseURL below), not raw file content — but it's bounded via the
+        // shared constant anyway rather than `+`, so this stays safe even if that
+        // ever changes and nothing here looks unlike its two siblings above.
+        || (host.startsWith(regional) && FIREBASEDATABASE_APP.test(host.slice(regional.length)))
+        || host === `${p}.firebaseapp.com`;
 }
-function hasFirestoreDocs(body) {
+/**
+ * A `databaseURL` is the project's own only when its HOSTNAME is one Firebase
+ * issues for that project. A substring match would accept
+ * `https://unrelated.invalid/?project=<id>` and send probes to a stranger.
+ * Only the origin is kept: a path or query string is never part of a database URL.
+ */
+function ownDatabaseURL(raw, projectId) {
+    let u;
     try {
-        const v = JSON.parse(body);
-        return !v.error && Array.isArray(v.documents) && v.documents.length > 0;
+        u = new URL(raw.trim());
     }
     catch {
-        return false;
+        return undefined;
     }
+    if (u.protocol !== 'https:' || !isOwnRtdbHost(u.hostname.toLowerCase(), projectId))
+        return undefined;
+    return u.origin;
 }
-function hasStorageObjects(body) {
-    try {
-        const v = JSON.parse(body);
-        return !v.error && ((Array.isArray(v.items) && v.items.length > 0) || (Array.isArray(v.prefixes) && v.prefixes.length > 0));
-    }
-    catch {
-        return false;
-    }
+/** A bucket is the project's own only under the two names Firebase assigns it. */
+function ownStorageBucket(raw, projectId) {
+    const name = raw.trim().replace(/^gs:\/\//i, '').replace(/\/.*$/, '').toLowerCase();
+    const p = projectId.toLowerCase();
+    return name === `${p}.appspot.com` || name === `${p}.firebasestorage.app` ? name : undefined;
+}
+// The payload shapes that prove an anonymous read got real objects back. The
+// body itself has already passed classifyBody (parsed JSON, not an error
+// envelope, not truncated), so these only look at the shape.
+function hasFirestoreDocs(v) {
+    const o = v;
+    return Array.isArray(o?.documents) && o.documents.length > 0;
+}
+function hasStorageObjects(v) {
+    const o = v;
+    return (Array.isArray(o?.items) && o.items.length > 0) || (Array.isArray(o?.prefixes) && o.prefixes.length > 0);
 }
-/** Probe Firebase RTDB, Firestore and Storage for anonymous read access. */
+/**
+ * Probe Firebase RTDB, Firestore and Storage for anonymous read access.
+ * Every response goes through classifyBody: a redirect, a truncated body, an
+ * HTML page or an error envelope in place of JSON is an unverified sub-check
+ * (run `partial`, named in the note), never "nothing readable".
+ */
 export async function probeFirebase(opts) {
     const { creds } = opts;
     const rl = opts.rateLimitMs ?? 120;
     const log = opts.log ?? (() => { });
     const findings = [];
     let attempts = 0;
-    let errors = 0;
+    const lost = []; // "what (reason)"
     // 1. Realtime Database: the root .json endpoint.
     const rtdbBase = creds.databaseURL?.replace(/\/$/, '') ?? `https://${creds.projectId}-default-rtdb.firebaseio.com`;
     await sleep(rl);
-    const rtdb = await request(`${rtdbBase}/.json?shallow=true`);
+    const rtdb = classifyBody(await request(`${rtdbBase}/.json?shallow=true`), 'json');
     attempts++;
-    if (unreliable(rtdb) || (!isErr(rtdb) && rtdb.status >= 300 && rtdb.status < 400))
-        errors++;
-    if (!isErr(rtdb) && rtdb.status === 200 && hasJsonData(rtdb.body)) {
+    if (rtdb.kind === 'unknown')
+        lost.push(`RTDB (${rtdb.reason})`);
+    if (rtdb.kind === 'data') {
         findings.push({
             id: 'firebase_rtdb_open',
             severity: 'critical',
@@ -100,11 +121,11 @@ export async function probeFirebase(opts) {
     const readable = [];
     for (const col of COMMON_COLLECTIONS) {
         await sleep(rl);
-        const res = await request(`https://firestore.googleapis.com/v1/projects/${creds.projectId}/databases/(default)/documents/${col}?pageSize=1`);
+        const res = classifyBody(await request(`https://firestore.googleapis.com/v1/projects/${creds.projectId}/databases/(default)/documents/${col}?pageSize=1`), 'json');
         attempts++;
-        if (unreliable(res) || (!isErr(res) && res.status >= 300 && res.status < 400))
-            errors++;
-        if (!isErr(res) && res.status === 200 && hasFirestoreDocs(res.body)) {
+        if (res.kind === 'unknown')
+            lost.push(`firestore/${col} (${res.reason})`);
+        if (res.kind === 'data' && hasFirestoreDocs(res.json)) {
             readable.push(col);
         }
     }
@@ -123,11 +144,11 @@ export async function probeFirebase(opts) {
     // 3. Storage bucket object listing.
     const bucket = creds.storageBucket ?? `${creds.projectId}.appspot.com`;
     await sleep(rl);
-    const storage = await request(`https://firebasestorage.googleapis.com/v0/b/${bucket}/o`);
+    const storage = classifyBody(await request(`https://firebasestorage.googleapis.com/v0/b/${bucket}/o`), 'json');
     attempts++;
-    if (unreliable(storage) || (!isErr(storage) && storage.status >= 300 && storage.status < 400))
-        errors++;
-    if (!isErr(storage) && storage.status === 200 && hasStorageObjects(storage.body)) {
+    if (storage.kind === 'unknown')
+        lost.push(`storage/${bucket} (${storage.reason})`);
+    if (storage.kind === 'data' && hasStorageObjects(storage.json)) {
         findings.push({
             id: 'firebase_storage_open',
             severity: 'critical',
@@ -140,7 +161,10 @@ export async function probeFirebase(opts) {
         });
     }
     log(`Firebase: probed RTDB, ${COMMON_COLLECTIONS.length} Firestore collections, storage bucket ${bucket}`);
+    const errors = lost.length;
     const status = errors === 0 ? 'completed' : errors < attempts ? 'partial' : 'failed';
-    const note = errors > 0 ? `${errors}/${attempts} requests errored` : undefined;
+    const note = errors > 0
+        ? `${errors}/${attempts} probe(s) not verified: ${lost.slice(0, 5).join(', ')}${errors > 5 ? ', …' : ''}`
+        : undefined;
     return { findings, run: { id: 'firebase-probe', level: 2, status, note } };
 }