nodefony 10.0.0-alpha.1 → 10.0.0-alpha.3

package/.ai/symbols.json

@@ -1,16 +1,15 @@
 {
-  "generated": "2026-09-06T17:10:47.486Z",
   "version": "2.0.0",
   "repoRoot": ".",
   "stats": {
-    "files": 812,
-    "symbols": 3899,
-    "classes": 385,
-    "interfaces": 1059,
-    "types": 445,
+    "files": 818,
+    "symbols": 3939,
+    "classes": 388,
+    "interfaces": 1069,
+    "types": 446,
     "enums": 4,
-    "functions": 1617,
-    "constants": 389
+    "functions": 1641,
+    "constants": 391
   },
   "symbols": {
     "Cli": {
@@ -3552,6 +3551,14 @@
       "module": "@nodefony/core",
       "description": "Durée de vie effective d'un runtime en dérogation — fonction PURE."
     },
+    "runNeedsExternalServices": {
+      "name": "runNeedsExternalServices",
+      "kind": "function",
+      "file": "src/nodefony/src/kernel/Kernel.ts",
+      "exported": true,
+      "module": "@nodefony/core",
+      "description": "Ce run a-t-il DÉCLARÉ avoir besoin de l'infrastructure de l'application ? Point d'appel UNIQUE de la question : les services qui ouvrent une connexion au boot (ORM SQL, ORM document) la posent tous…"
+    },
     "FORCE_DEV_MODULES_ENV": {
       "name": "FORCE_DEV_MODULES_ENV",
       "kind": "const",
@@ -3599,6 +3606,14 @@
       "module": "@nodefony/core",
       "description": "Profil par défaut — équivaut à l'ancien `type = \"CONSOLE\"` (one-shot, sans serveur)."
     },
+    "CONSOLE_DATA_RUN_PROFILE": {
+      "name": "CONSOLE_DATA_RUN_PROFILE",
+      "kind": "const",
+      "file": "src/nodefony/src/kernel/Kernel.ts",
+      "exported": true,
+      "module": "@nodefony/core",
+      "description": "Profil d'une commande console qui a besoin de l'infrastructure — `orm:migrate`, `security:user:add`, tout ce qui LIT ou ÉCRIT des données. Existe pour que le besoin s'écrive en un mot au lieu d'un …"
+    },
     "IListenerTags": {
       "name": "IListenerTags",
       "kind": "interface",
@@ -8572,6 +8587,14 @@
       "module": "@nodefony/core",
       "description": "La version majeure exigée par `engines.node`, ou `null` si non déclarée."
     },
+    "checkFrontendBuild": {
+      "name": "checkFrontendBuild",
+      "kind": "function",
+      "file": "src/nodefony/src/kernel/checks/freshness.ts",
+      "exported": true,
+      "module": "@nodefony/core",
+      "description": "Le frontend DÉCLARÉ est-il construit, et l'est-il APRÈS ses sources ? 🔴 Le contrôle de fraîcheur ne regardait que le `dist/` du backend. Une application dont le build frontend avait échoué — `publ…"
+    },
     "checkFreshness": {
       "name": "checkFreshness",
       "kind": "function",
@@ -9395,6 +9418,14 @@
       "module": "@nodefony/core",
       "description": "Rend le rapport de `doctor` alors que l'application vient d'échouer à démarrer. 🔴 C'est le cas POUR lequel la commande existe. `--live` sort du fast-path et demande un boot : sans ce chemin, une a…"
     },
+    "withoutComments": {
+      "name": "withoutComments",
+      "kind": "function",
+      "file": "src/nodefony/src/kernel/checks/sourceText.ts",
+      "exported": true,
+      "module": "@nodefony/core",
+      "description": "Le texte d'une source, tel que les contrôles de `doctor` doivent le lire. 🔴 Cette règle était écrite TROIS fois — `surface`, `readiness`, `wiring` — et elle avait déjà divergé : deux copies coupai…"
+    },
     "IOpening": {
       "name": "IOpening",
       "kind": "interface",
@@ -14486,7 +14517,7 @@
       "exported": true,
       "module": "@nodefony/framework",
       "extends": null,
-      "description": "Vue MINIMALE du service `oauth2` (`@nodefony/security`) — couplage par NOM (framework ne dépend ni de security ni d'arctic). Contrat structurel imposé par cast (`this.get<…>`), aucune liaison de bu…"
+      "description": "Vue MINIMALE du service `oauth2` (`@nodefony/security`) — couplage par NOM (framework ne dépend pas de security). Contrat structurel imposé par cast (`this.get<…>`), aucune liaison de build."
     },
     "IOAuth2Session": {
       "name": "IOAuth2Session",
@@ -18315,6 +18346,64 @@
       "module": "@nodefony/orm-core",
       "description": "**Santé ORM lean per-instance** — somme process-wide de tous les connecteurs enregistrés, destinée à voyager dans le report de sonde cluster (« ORM par worker »). C'est la fonction branchée par le …"
     },
+    "withConnectDeadline": {
+      "name": "withConnectDeadline",
+      "kind": "function",
+      "file": "src/packages/@nodefony/orm-core/nodefony/src/connectDeadline.ts",
+      "exported": true,
+      "module": "@nodefony/orm-core",
+      "description": "Borne l'attente d'une promesse, et rejette avec une cause NOMMÉE au-delà. Le message importe autant que la borne : « délai dépassé » sans sujet envoie chercher partout. Celui-ci dit ce qu'on attend…"
+    },
+    "CONNECT_TIMEOUT_MS": {
+      "name": "CONNECT_TIMEOUT_MS",
+      "kind": "const",
+      "file": "src/packages/@nodefony/orm-core/nodefony/src/connectDeadline.ts",
+      "exported": true,
+      "module": "@nodefony/orm-core",
+      "description": "Le DÉLAI DE GARDE d'une connexion à une base — une commande n'attend jamais sans fin. 🔴 Le cas est vécu, et il ne ressemble pas à une panne : `nodefony inspect config` restait suspendu, sans un mo…"
+    },
+    "IConnectionDiagnosis": {
+      "name": "IConnectionDiagnosis",
+      "kind": "interface",
+      "file": "src/packages/@nodefony/orm-core/nodefony/src/connectionDiagnosis.ts",
+      "exported": true,
+      "module": "@nodefony/orm-core",
+      "extends": null,
+      "description": "Diagnostic rendu à l'appelant, qui compose le message final."
+    },
+    "IConnectionTarget": {
+      "name": "IConnectionTarget",
+      "kind": "interface",
+      "file": "src/packages/@nodefony/orm-core/nodefony/src/connectionDiagnosis.ts",
+      "exported": true,
+      "module": "@nodefony/orm-core",
+      "extends": null,
+      "description": "Adresse visée, telle qu'on peut la dire sans divulguer de secret."
+    },
+    "ConnectionVerdict": {
+      "name": "ConnectionVerdict",
+      "kind": "type",
+      "file": "src/packages/@nodefony/orm-core/nodefony/src/connectionDiagnosis.ts",
+      "exported": true,
+      "module": "@nodefony/orm-core",
+      "description": "Diagnostic d'un échec de connexion à une base — **ce qui a été CONSTATÉ**, jamais seulement ce qu'on en déduit. Le message d'échec énumérait trois causes (infrastructure déclarée, base démarrée, en…"
+    },
+    "parseConnectionTarget": {
+      "name": "parseConnectionTarget",
+      "kind": "function",
+      "file": "src/packages/@nodefony/orm-core/nodefony/src/connectionDiagnosis.ts",
+      "exported": true,
+      "module": "@nodefony/orm-core",
+      "description": "Extrait l'hôte et le port d'une URL de connexion, sans son secret."
+    },
+    "diagnoseConnectionFailure": {
+      "name": "diagnoseConnectionFailure",
+      "kind": "function",
+      "file": "src/packages/@nodefony/orm-core/nodefony/src/connectionDiagnosis.ts",
+      "exported": true,
+      "module": "@nodefony/orm-core",
+      "description": "Explique un échec de connexion en distinguant « personne n'écoute » de « quelqu'un a répondu et refuse »."
+    },
     "IConnectionMonitorCore": {
       "name": "IConnectionMonitorCore",
       "kind": "interface",
@@ -19650,6 +19739,15 @@
       "extends": null,
       "description": "Source du matériel cryptographique de signature des JWT. Découple la SIGNATURE de toute persistance concrète : la clé peut venir de l'environnement (prod cloud), d'un fichier (dev/VPS) ou être éphé…"
     },
+    "IIssuerPolicy": {
+      "name": "IIssuerPolicy",
+      "kind": "interface",
+      "file": "src/packages/@nodefony/security/nodefony/contracts/IOAuthProvider.ts",
+      "exported": true,
+      "module": "@nodefony/security",
+      "extends": null,
+      "description": "Ce qu'on exige du paramètre `iss` renvoyé par le serveur d'autorisation (RFC 9207)."
+    },
     "IOAuthProvider": {
       "name": "IOAuthProvider",
       "kind": "interface",
@@ -19657,7 +19755,7 @@
       "exported": true,
       "module": "@nodefony/security",
       "extends": null,
-      "description": "Adaptateur d'**un fournisseur OAuth/OIDC**, façade UNIFORME au-dessus d'une classe `arctic` — masque les divergences entre fournisseurs derrière un contrat stable consommé par `OAuth2Service` : - *…"
+      "description": "Adaptateur d'**un fournisseur OAuth/OIDC**, façade UNIFORME au-dessus d'un client OAuth 2.0 — masque les divergences entre fournisseurs derrière un contrat stable consommé par `OAuth2Service` : - *…"
     },
     "ISecuredArea": {
       "name": "ISecuredArea",
@@ -20134,7 +20232,7 @@
       "extends": "Service",
       "implements": [],
       "decorators": [],
-      "description": "**Social login OAuth 2.0** (P6 J9) — orchestrateur du flux *Authorization Code* au-dessus d'`arctic`. Posture OAuth 2.1 (RFC 9700) : Authorization Code uniquement (jamais implicit / ROPC), **PKCE S…"
+      "description": "**Social login OAuth 2.0** (P6 J9) — orchestrateur du flux *Authorization Code*. Posture OAuth 2.1 (RFC 9700) : Authorization Code uniquement (jamais implicit / ROPC), **PKCE S256** quand le fourni…"
     },
     "IOAuthAuthorization": {
       "name": "IOAuthAuthorization",
@@ -22486,8 +22584,7 @@
       "module": "@nodefony/drizzle",
       "extends": "Orm",
       "implements": [],
-      "decorators": [],
-      "description": "Adapter Drizzle (driver `better-sqlite3`) **branché sur `@nodefony/orm-core`** — 3ᵉ adapter du banc multi-ORM (P7.4), choix SQL #1 moderne. Particularité vs les autres ORM : Drizzle est **schema-as…"
+      "decorators": []
     },
     "DrizzleOrmOptions": {
       "name": "DrizzleOrmOptions",
@@ -24103,6 +24200,14 @@
       "module": "@nodefony/realtime",
       "description": "Fabrique le provider PARTAGÉ d'un canal (listener/ticker qui pousse via `publish`). Appelée UNE fois, au 1ᵉʳ abonné. Renvoie son `dispose` (appelé au dernier désabonné) ou `null` si le canal est in…"
     },
+    "channelFamily": {
+      "name": "channelFamily",
+      "kind": "function",
+      "file": "src/packages/@nodefony/realtime/nodefony/src/server/RealtimeHub.ts",
+      "exported": true,
+      "module": "@nodefony/realtime",
+      "description": "Le MOTIF de famille d'un canal — son dernier segment remplacé par `*`. `\"studio:metrics:1s\"` → `\"studio:metrics:*\"`, `\"alerts\"` → `\"*\"`. Sert à SUGGÉRER une politique qui garde toute une famille, q…"
+    },
     "getRealtimeHub": {
       "name": "getRealtimeHub",
       "kind": "function",
@@ -24798,6 +24903,140 @@
       "module": "@nodefony/security",
       "description": "Valide qu'une URL sortante est sûre (anti-SSRF) : protocole autorisé, pas d'identifiants embarqués, hôte résolvable, et **toutes** les IP résolues publiques. Lève {@link SsrfError} (422) sinon."
     },
+    "readJsonBounded": {
+      "name": "readJsonBounded",
+      "kind": "function",
+      "file": "src/packages/@nodefony/security/nodefony/src/oauth/httpJson.ts",
+      "exported": true,
+      "module": "@nodefony/security",
+      "description": "Lecture BORNÉE d'un corps JSON — la brique de transport commune aux trois appels sortants du social login (découverte, point de jeton, API d'un fournisseur non-OIDC). Elle existe parce qu'une borne…"
+    },
+    "readJsonObjectBounded": {
+      "name": "readJsonObjectBounded",
+      "kind": "function",
+      "file": "src/packages/@nodefony/security/nodefony/src/oauth/httpJson.ts",
+      "exported": true,
+      "module": "@nodefony/security",
+      "description": "Comme {@link readJsonBounded}, mais exige un OBJET — la forme de toute réponse normalisée par une RFC (document de métadonnées, réponse d'un point de jeton)."
+    },
+    "IDiscoveredAuthorizationServer": {
+      "name": "IDiscoveredAuthorizationServer",
+      "kind": "interface",
+      "file": "src/packages/@nodefony/security/nodefony/src/oauth/metadata.ts",
+      "exported": true,
+      "module": "@nodefony/security",
+      "extends": null,
+      "description": "Points d'entrée retenus d'un serveur d'autorisation — le sous-ensemble dont le flux *Authorization Code* a besoin (RFC 8414 §2)."
+    },
+    "IDiscoveryOptions": {
+      "name": "IDiscoveryOptions",
+      "kind": "interface",
+      "file": "src/packages/@nodefony/security/nodefony/src/oauth/metadata.ts",
+      "exported": true,
+      "module": "@nodefony/security",
+      "extends": null,
+      "description": "Réglages de la découverte — l'injection de `fetch` est la voie pour éprouver sans TLS."
+    },
+    "discoverAuthorizationServer": {
+      "name": "discoverAuthorizationServer",
+      "kind": "function",
+      "file": "src/packages/@nodefony/security/nodefony/src/oauth/metadata.ts",
+      "exported": true,
+      "module": "@nodefony/security",
+      "description": "Interroge un serveur d'autorisation et rend ses points d'entrée. Les URL candidates sont celles du cœur (`issuerMetadataUrls`, ordre normatif RFC 8414 §3.1 : insertion oauth → insertion oidc → ajou…"
+    },
+    "OAuth2RequestError": {
+      "name": "OAuth2RequestError",
+      "kind": "class",
+      "file": "src/packages/@nodefony/security/nodefony/src/oauth/oauth2Client.ts",
+      "exported": true,
+      "module": "@nodefony/security",
+      "extends": "Error",
+      "implements": [],
+      "decorators": [],
+      "description": "Refus du serveur d'autorisation au point de jeton (RFC 6749 §5.2). Porte le code `error` normalisé — la seule partie de la réponse sûre à journaliser."
+    },
+    "OAuth2Tokens": {
+      "name": "OAuth2Tokens",
+      "kind": "class",
+      "file": "src/packages/@nodefony/security/nodefony/src/oauth/oauth2Client.ts",
+      "exported": true,
+      "module": "@nodefony/security",
+      "extends": null,
+      "implements": [],
+      "decorators": [],
+      "description": "Jetons rendus par le point de jeton (RFC 6749 §5.1), enveloppés pour qu'un champ attendu mais absent lève une erreur NOMMÉE au lieu de propager un `undefined` jusqu'au décodage du profil."
+    },
+    "OAuth2Client": {
+      "name": "OAuth2Client",
+      "kind": "class",
+      "file": "src/packages/@nodefony/security/nodefony/src/oauth/oauth2Client.ts",
+      "exported": true,
+      "module": "@nodefony/security",
+      "extends": null,
+      "implements": [],
+      "decorators": [],
+      "description": "Client d'un serveur d'autorisation donné : construit l'URL d'autorisation puis échange le code contre des jetons. Un exemplaire porte les endpoints DÉJÀ résolus — par découverte de métadonnées ({@l…"
+    },
+    "IAuthorizationRequest": {
+      "name": "IAuthorizationRequest",
+      "kind": "interface",
+      "file": "src/packages/@nodefony/security/nodefony/src/oauth/oauth2Client.ts",
+      "exported": true,
+      "module": "@nodefony/security",
+      "extends": null,
+      "description": "Étape 1 — ce qu'on demande au point d'autorisation. La forme est un OBJET, et c'est tout l'enjeu : les paramètres normalisés qui manquent encore — `resource` (RFC 8707, exigé par le Model Context P…"
+    },
+    "ITokenRequest": {
+      "name": "ITokenRequest",
+      "kind": "interface",
+      "file": "src/packages/@nodefony/security/nodefony/src/oauth/oauth2Client.ts",
+      "exported": true,
+      "module": "@nodefony/security",
+      "extends": null,
+      "description": "Étape 2 — ce qu'on présente au point de jeton. Même raison d'être qu'{@link IAuthorizationRequest} : `resource` doit être répété ici (RFC 8707 §2.2), et rien ne pouvait s'ajouter à une signature po…"
+    },
+    "IOAuth2ClientOptions": {
+      "name": "IOAuth2ClientOptions",
+      "kind": "interface",
+      "file": "src/packages/@nodefony/security/nodefony/src/oauth/oauth2Client.ts",
+      "exported": true,
+      "module": "@nodefony/security",
+      "extends": null,
+      "description": "Points d'entrée d'un serveur d'autorisation et identité du client."
+    },
+    "OAuth2ClientAuthMethod": {
+      "name": "OAuth2ClientAuthMethod",
+      "kind": "type",
+      "file": "src/packages/@nodefony/security/nodefony/src/oauth/oauth2Client.ts",
+      "exported": true,
+      "module": "@nodefony/security",
+      "description": "Comment le client s'authentifie au point de jeton (RFC 6749 §2.3, et le registre `token_endpoint_auth_method` d'OpenID Connect Discovery). 🔴 Elle se DÉCLARE, elle ne se déduit plus de la vacuité d…"
+    },
+    "generateState": {
+      "name": "generateState",
+      "kind": "function",
+      "file": "src/packages/@nodefony/security/nodefony/src/oauth/oauth2Client.ts",
+      "exported": true,
+      "module": "@nodefony/security",
+      "description": "Tire un `state` anti-CSRF (RFC 6749 §10.12, RFC 9700 §4.7) — 256 bits issus du générateur cryptographique du système."
+    },
+    "generateCodeVerifier": {
+      "name": "generateCodeVerifier",
+      "kind": "function",
+      "file": "src/packages/@nodefony/security/nodefony/src/oauth/oauth2Client.ts",
+      "exported": true,
+      "module": "@nodefony/security",
+      "description": "Tire un `code_verifier` PKCE (RFC 7636 §4.1) — 43 caractères de l'alphabet `unreserved`, porteurs de 256 bits d'entropie."
+    },
+    "createCodeChallenge": {
+      "name": "createCodeChallenge",
+      "kind": "function",
+      "file": "src/packages/@nodefony/security/nodefony/src/oauth/oauth2Client.ts",
+      "exported": true,
+      "module": "@nodefony/security",
+      "description": "Calcule le `code_challenge` de la méthode **S256** (RFC 7636 §4.2) : `BASE64URL(SHA256(ASCII(code_verifier)))`."
+    },
     "IOAuthProviderContext": {
       "name": "IOAuthProviderContext",
       "kind": "interface",
@@ -26595,7 +26834,7 @@
       "exported": true,
       "module": "@nodefony/security",
       "extends": null,
-      "description": "Client `arctic` minimal d'un fournisseur **OIDC avec PKCE** — surface structurelle commune à `Google`, `MicrosoftEntraId`, `Auth0`, `Okta`, `KeyCloak`... (une instance arctic de ces classes est ass…"
+      "description": "Client d'un fournisseur **OIDC avec PKCE** — surface structurelle que {@link OAuth2Client} remplit, et qu'un test peut remplacer par un double sans réseau."
     },
     "IOidcProviderOptions": {
       "name": "IOidcProviderOptions",
@@ -26606,6 +26845,15 @@
       "extends": null,
       "description": "Paramètres d'un fournisseur OIDC générique."
     },
+    "IDiscoveredOidcOptions": {
+      "name": "IDiscoveredOidcOptions",
+      "kind": "interface",
+      "file": "src/packages/@nodefony/security/nodefony/src/oauth/providers/oidc.ts",
+      "exported": true,
+      "module": "@nodefony/security",
+      "extends": "IDiscoveryOptions",
+      "description": "Réglages d'un fournisseur OIDC découvert."
+    },
     "createOidcProvider": {
       "name": "createOidcProvider",
       "kind": "function",
@@ -26613,6 +26861,14 @@
       "exported": true,
       "module": "@nodefony/security",
       "description": "Fabrique un {@link IOAuthProvider} **générique OIDC** — couvre TOUT fournisseur OpenID Connect sans code spécifique : le profil se lit toujours pareil (claims standard `sub`/`email`/`email_verified…"
+    },
+    "createDiscoveredOidcProvider": {
+      "name": "createDiscoveredOidcProvider",
+      "kind": "function",
+      "file": "src/packages/@nodefony/security/nodefony/src/oauth/providers/oidc.ts",
+      "exported": true,
+      "module": "@nodefony/security",
+      "description": "Construit un fournisseur OIDC **en demandant ses points d'entrée à l'émetteur** (RFC 8414 / OpenID Connect Discovery) — aucune URL n'est écrite en dur. C'est ce qui permet d'enregistrer n'importe q…"
     }
   },
   "relations": {
@@ -26691,7 +26947,8 @@
         "MigrationToolError",
         "MigrationLockTimeoutError",
         "MigrationVerdictError",
-        "FrontendError"
+        "FrontendError",
+        "OAuth2RequestError"
       ],
       "EventEmitter": [
         "Event"
@@ -27032,6 +27289,9 @@
       ],
       "Ws": [
         "IBackpressureSocket"
+      ],
+      "IDiscoveryOptions": [
+        "IDiscoveredOidcOptions"
       ]
     },
     "implementedBy": {
@@ -29745,6 +30005,15 @@
         "src/nodefony/src/cli/create.ts",
         "src/nodefony/src/cli/gitHooks.ts"
       ],
+      "collectDoctorReport": [
+        "src/nodefony/src/cli/create.ts",
+        "src/nodefony/src/mcp/tools.ts",
+        "src/nodefony/src/kernel/commands/DoctorCommand.ts"
+      ],
+      "renderDoctorReport": [
+        "src/nodefony/src/cli/create.ts",
+        "src/nodefony/src/kernel/commands/DoctorCommand.ts"
+      ],
       "envFileOrder": [
         "src/nodefony/src/cli/env.ts",
         "src/nodefony/src/cli/scaffold/engine.ts"
@@ -30629,10 +30898,6 @@
       "lookupSymbol": [
         "src/nodefony/src/mcp/tools.ts"
       ],
-      "collectDoctorReport": [
-        "src/nodefony/src/mcp/tools.ts",
-        "src/nodefony/src/kernel/commands/DoctorCommand.ts"
-      ],
       "countCheckFindings": [
         "src/nodefony/src/mcp/tools.ts"
       ],
@@ -31597,6 +31862,12 @@
       "isTestFile": [
         "src/nodefony/src/kernel/checks/freshness.ts"
       ],
+      "withoutComments": [
+        "src/nodefony/src/kernel/checks/freshness.ts",
+        "src/nodefony/src/kernel/checks/readiness.ts",
+        "src/nodefony/src/kernel/checks/surface.ts",
+        "src/nodefony/src/kernel/checks/wiring.ts"
+      ],
       "IModuleGated": [
         "src/nodefony/src/kernel/checks/gating.ts",
         "src/nodefony/src/kernel/checks/live.ts"
@@ -31848,9 +32119,6 @@
       "parseDoctorArgv": [
         "src/nodefony/src/kernel/commands/DoctorCommand.ts"
       ],
-      "renderDoctorReport": [
-        "src/nodefony/src/kernel/commands/DoctorCommand.ts"
-      ],
       "reporterProgression": [
         "src/nodefony/src/kernel/commands/DoctorCommand.ts"
       ],
@@ -32511,6 +32779,12 @@
       "registerOAuthProvider": [
         "src/modules/test/nodefony/secure/oauthTestProvider.ts"
       ],
+      "OAuth2Tokens": [
+        "src/modules/test/nodefony/secure/oauthTestProvider.ts",
+        "src/packages/@nodefony/security/nodefony/contracts/IOAuthProvider.ts",
+        "src/packages/@nodefony/security/nodefony/src/oauth/providers/github.ts",
+        "src/packages/@nodefony/security/nodefony/src/oauth/providers/oidc.ts"
+      ],
       "IOAuthProvider": [
         "src/modules/test/nodefony/secure/oauthTestProvider.ts",
         "src/packages/@nodefony/security/nodefony/service/oauth2.ts",
@@ -32733,6 +33007,13 @@
       "IDocSearchHit": [
         "src/packages/@nodefony/documentation/nodefony/src/search.ts"
       ],
+      "CONSOLE_DATA_RUN_PROFILE": [
+        "src/packages/@nodefony/drizzle/nodefony/command/migrateShared.ts",
+        "src/packages/@nodefony/security/nodefony/command/security-token.ts",
+        "src/packages/@nodefony/security/nodefony/command/security-user-add.ts",
+        "src/packages/@nodefony/security/nodefony/command/security-user-delete.ts",
+        "src/packages/@nodefony/security/nodefony/command/security-user-list.ts"
+      ],
       "DrizzleMigrator": [
         "src/packages/@nodefony/drizzle/nodefony/command/migrateShared.ts",
         "src/packages/@nodefony/drizzle/nodefony/service/DrizzleService.ts",
@@ -33152,6 +33433,10 @@
         "src/packages/@nodefony/drizzle/nodefony/migrations-schema/postgres.ts",
         "src/packages/@nodefony/drizzle/nodefony/migrations-schema/sqlite.ts"
       ],
+      "runNeedsExternalServices": [
+        "src/packages/@nodefony/drizzle/nodefony/service/DrizzleService.ts",
+        "src/packages/@nodefony/mongoose/nodefony/service/MongooseService.ts"
+      ],
       "queryFlowMonitor": [
         "src/packages/@nodefony/drizzle/nodefony/service/DrizzleService.ts",
         "src/packages/@nodefony/mongoose/nodefony/service/MongooseService.ts",
@@ -33164,6 +33449,15 @@
         "src/packages/@nodefony/drizzle/nodefony/service/DrizzleService.ts",
         "src/packages/@nodefony/mongoose/nodefony/service/MongooseService.ts"
       ],
+      "diagnoseConnectionFailure": [
+        "src/packages/@nodefony/drizzle/nodefony/service/DrizzleService.ts",
+        "src/packages/@nodefony/mongoose/nodefony/service/MongooseService.ts"
+      ],
+      "parseConnectionTarget": [
+        "src/packages/@nodefony/drizzle/nodefony/service/DrizzleService.ts",
+        "src/packages/@nodefony/mongoose/nodefony/service/MongooseService.ts",
+        "src/packages/@nodefony/drizzle/nodefony/src/orm-core/DrizzleOrm.ts"
+      ],
       "defaultConnectorFilename": [
         "src/packages/@nodefony/drizzle/nodefony/service/DrizzleService.ts"
       ],
@@ -34758,6 +35052,14 @@
         "src/packages/@nodefony/security/nodefony/service/firewall.ts",
         "src/packages/@nodefony/security/nodefony/src/admin/SecurityAdminApi.ts"
       ],
+      "IAuthorizationRequest": [
+        "src/packages/@nodefony/security/nodefony/contracts/IOAuthProvider.ts",
+        "src/packages/@nodefony/security/nodefony/src/oauth/providers/oidc.ts"
+      ],
+      "ITokenRequest": [
+        "src/packages/@nodefony/security/nodefony/contracts/IOAuthProvider.ts",
+        "src/packages/@nodefony/security/nodefony/src/oauth/providers/oidc.ts"
+      ],
       "TotpAlgorithm": [
         "src/packages/@nodefony/security/nodefony/contracts/ITotpSecret.ts",
         "src/packages/@nodefony/security/nodefony/src/totp/totpOperations.ts"
@@ -34766,6 +35068,7 @@
         "src/packages/@nodefony/security/nodefony/service/accessTokenVerifier.ts",
         "src/packages/@nodefony/security/nodefony/service/tokenService.ts",
         "src/packages/@nodefony/security/nodefony/src/authenticator/ExternalJwtAuthenticator.ts",
+        "src/packages/@nodefony/security/nodefony/src/oauth/metadata.ts",
         "src/packages/@nodefony/security/nodefony/src/token/RemoteJwtVerifier.ts"
       ],
       "IAccessPrincipal": [
@@ -35015,6 +35318,12 @@
       "listOAuthProviders": [
         "src/packages/@nodefony/security/nodefony/service/oauth2.ts"
       ],
+      "generateCodeVerifier": [
+        "src/packages/@nodefony/security/nodefony/service/oauth2.ts"
+      ],
+      "generateState": [
+        "src/packages/@nodefony/security/nodefony/service/oauth2.ts"
+      ],
       "refusedAdminScopes": [
         "src/packages/@nodefony/security/nodefony/service/tokenService.ts"
       ],
@@ -35463,6 +35772,12 @@
         "src/packages/@nodefony/drizzle/nodefony/src/orm-core/DrizzleOrm.ts",
         "src/packages/@nodefony/mongoose/nodefony/src/orm-core/MongooseOrm.ts"
       ],
+      "CONNECT_TIMEOUT_MS": [
+        "src/packages/@nodefony/drizzle/nodefony/src/orm-core/DrizzleOrm.ts"
+      ],
+      "withConnectDeadline": [
+        "src/packages/@nodefony/drizzle/nodefony/src/orm-core/DrizzleOrm.ts"
+      ],
       "notConfigured": [
         "src/packages/@nodefony/drizzle/nodefony/src/orm-core/DrizzleOrm.ts"
       ],
@@ -35935,7 +36250,22 @@
       "SsrfError": [
         "src/packages/@nodefony/security/nodefony/src/net/ssrfGuard.ts"
       ],
-      "createOidcProvider": [
+      "issuerMetadataUrls": [
+        "src/packages/@nodefony/security/nodefony/src/oauth/metadata.ts",
+        "src/packages/@nodefony/security/nodefony/src/token/RemoteJwtVerifier.ts"
+      ],
+      "validateIssuerMetadata": [
+        "src/packages/@nodefony/security/nodefony/src/oauth/metadata.ts",
+        "src/packages/@nodefony/security/nodefony/src/token/RemoteJwtVerifier.ts"
+      ],
+      "readJsonObjectBounded": [
+        "src/packages/@nodefony/security/nodefony/src/oauth/metadata.ts",
+        "src/packages/@nodefony/security/nodefony/src/oauth/oauth2Client.ts"
+      ],
+      "OAuth2ClientAuthMethod": [
+        "src/packages/@nodefony/security/nodefony/src/oauth/oauthProviderRegistry.ts"
+      ],
+      "createDiscoveredOidcProvider": [
         "src/packages/@nodefony/security/nodefony/src/oauth/oauthProviderRegistry.ts"
       ],
       "createGithubProvider": [
@@ -35962,12 +36292,6 @@
       "extractScopes": [
         "src/packages/@nodefony/security/nodefony/src/token/RemoteJwtVerifier.ts"
       ],
-      "issuerMetadataUrls": [
-        "src/packages/@nodefony/security/nodefony/src/token/RemoteJwtVerifier.ts"
-      ],
-      "validateIssuerMetadata": [
-        "src/packages/@nodefony/security/nodefony/src/token/RemoteJwtVerifier.ts"
-      ],
       "TokenStatus": [
         "src/packages/@nodefony/security/nodefony/src/token/tokenStatus.ts"
       ],
@@ -36120,8 +36444,22 @@
       "formatWsLogContent": [
         "src/packages/@nodefony/http/nodefony/src/context/websocket/WebsocketContext.ts"
       ],
-      "IOAuthProviderContext": [
+      "OAuth2Client": [
+        "src/packages/@nodefony/security/nodefony/src/oauth/providers/github.ts",
+        "src/packages/@nodefony/security/nodefony/src/oauth/providers/oidc.ts"
+      ],
+      "readJsonBounded": [
         "src/packages/@nodefony/security/nodefony/src/oauth/providers/github.ts"
+      ],
+      "IOAuthProviderContext": [
+        "src/packages/@nodefony/security/nodefony/src/oauth/providers/github.ts",
+        "src/packages/@nodefony/security/nodefony/src/oauth/providers/oidc.ts"
+      ],
+      "discoverAuthorizationServer": [
+        "src/packages/@nodefony/security/nodefony/src/oauth/providers/oidc.ts"
+      ],
+      "IDiscoveryOptions": [
+        "src/packages/@nodefony/security/nodefony/src/oauth/providers/oidc.ts"
       ]
     }
   }

package/README.md

@@ -1,6 +1,6 @@
 <div align="center">
 
-<img src="https://raw.githubusercontent.com/nodefony/nodefony-core/claude-ts/docs/assets/nodefony-logo.png" alt="Nodefony" height="96">
+<img src="https://raw.githubusercontent.com/nodefony/nodefony-core/main/docs/assets/nodefony-logo.png" alt="Nodefony" height="96">
 
 # Nodefony
 
@@ -8,7 +8,7 @@
 
 _Une action de contrôleur. Deux transports. La même session, la même sécurité, le même code._
 
-[![Licence CeCILL-B](https://img.shields.io/badge/licence-CeCILL--B-blue.svg?style=flat-square)](https://github.com/nodefony/nodefony-core/blob/claude-ts/LICENSE.txt)
+[![Licence CeCILL-B](https://img.shields.io/badge/licence-CeCILL--B-blue.svg?style=flat-square)](https://github.com/nodefony/nodefony-core/blob/main/LICENSE.txt)
 [![Node ≥ 24](https://img.shields.io/badge/Node.js-%E2%89%A5%2024-green?style=flat-square)](https://nodejs.org/)
 [![TypeScript strict](https://img.shields.io/badge/TypeScript-strict-blue?style=flat-square)](https://www.typescriptlang.org/)
 [![ESM](https://img.shields.io/badge/ESM-only-orange?style=flat-square)](https://nodejs.org/api/esm.html)
@@ -121,7 +121,7 @@ frontend optionnel (React, Vue, Angular, Svelte), `Dockerfile`, et un `AGENTS.md
 
 - **Documentation** — <https://nodefony.github.io/nodefony-core/>
 - **Dépôt et suivi** — <https://github.com/nodefony/nodefony-core>
-- **Journal des versions** — <https://github.com/nodefony/nodefony-core/blob/claude-ts/CHANGELOG.md>
+- **Journal des versions** — <https://github.com/nodefony/nodefony-core/blob/main/CHANGELOG.md>
 
 ---
 
@@ -397,4 +397,4 @@ sharedNC.emit("broadcast"); // les deux services reçoivent
 
 ## Syslog / Pdu
 
-Voir [`src/syslog/`](https://github.com/nodefony/nodefony-core/tree/claude-ts/src/nodefony/src/syslog) — logger structuré RFC 5424 avec ring buffer O(1).
+Voir [`src/syslog/`](https://github.com/nodefony/nodefony-core/tree/main/src/nodefony/src/syslog) — logger structuré RFC 5424 avec ring buffer O(1).