outlet-orm 4.2.0 → 4.2.1

package/README.md

@@ -32,56 +32,69 @@ Si aucun driver n'est installé, un message d'erreur explicite vous indiquera le
 
 Organisez votre projet utilisant Outlet ORM comme suit :
 
+> 🔐 **Sécurité** : Voir le [Guide de Sécurité](./docs/SECURITY.md) pour les bonnes pratiques.
+
 ```
 mon-projet/
-├── .env                        # Configuration de la base de données
+├── .env                        # ⚠️ JAMAIS commité (dans .gitignore)
+├── .env.example                # Template sans secrets
+├── .gitignore                  # Exclure .env, node_modules, logs
 ├── package.json
+├── config/                     # 🔒 Configuration centralisée
+│   ├── app.js                  # Config générale
+│   ├── database.js             # Config DB (lit .env)
+│   └── security.js             # Rate limit, helmet, CORS...
 ├── database/
 │   ├── config.js               # Config migrations (généré par outlet-init)
 │   └── migrations/             # Vos fichiers de migration
-│       ├── 20240101_create_users_table.js
-│       └── 20240102_create_posts_table.js
 ├── models/                     # Vos classes Model
 │   ├── User.js
 │   ├── Post.js
 │   └── Comment.js
 ├── controllers/                # Vos contrôleurs (logique métier)
 │   ├── UserController.js
-│   ├── PostController.js
-│   └── CommentController.js
+│   └── PostController.js
 ├── routes/                     # Vos fichiers de routes
 │   ├── index.js
-│   ├── userRoutes.js
-│   └── postRoutes.js
-├── middlewares/                # Vos middlewares
-│   ├── auth.js
-│   └── validation.js
+│   └── userRoutes.js
+├── middlewares/                # 🔒 Middlewares de sécurité
+│   ├── auth.js                 # Authentification JWT
+│   ├── authorization.js        # Contrôle des permissions (RBAC)
+│   ├── rateLimiter.js          # Protection anti-DDoS
+│   ├── validator.js            # Validation des entrées
+│   └── errorHandler.js         # Gestion centralisée des erreurs
 ├── services/                   # Vos services (logique réutilisable)
 │   ├── AuthService.js
 │   └── EmailService.js
-├── assets/                     # Ressources statiques
-│   ├── images/                 # Images (png, jpg, svg...)
-│   ├── videos/                 # Fichiers vidéo
-│   ├── icons/                  # Icônes
-│   ├── fonts/                  # Polices personnalisées
-│   ├── css/                    # Feuilles de style
-│   └── js/                     # Scripts front-end
+├── utils/                      # 🔒 Utilitaires sécurité
+│   ├── hash.js                 # Hachage mots de passe (bcrypt)
+│   └── token.js                # Génération tokens sécurisés
+├── validators/                 # 🔒 Schémas de validation
+│   └── userValidator.js
+├── public/                     # ✅ Seul dossier accessible publiquement
+│   ├── images/
+│   ├── css/
+│   └── js/
+├── uploads/                    # ⚠️ Fichiers uploadés (validés)
+├── logs/                       # 📋 Journaux (non versionnés)
 ├── src/                        # Votre code applicatif
 │   └── index.js
 └── tests/                      # Vos tests
     └── models.test.js
 ```
 
-| Dossier | Rôle | Créé par |
+| Dossier | Rôle | Sécurité |
 |---------|------|----------|
-| `database/config.js` | Configuration des migrations | `outlet-init` |
-| `database/migrations/` | Fichiers de migration | `outlet-migrate make` |
-| `models/` | Vos classes Model | Vous (recommandé) |
-| `controllers/` | Vos contrôleurs (logique métier) | Vous (recommandé) |
-| `routes/` | Définition des routes API/Web | Vous (recommandé) |
-| `middlewares/` | Middlewares d'authentification, validation, etc. | Vous (recommandé) |
-| `services/` | Services réutilisables (email, auth, etc.) | Vous (recommandé) |
-| `assets/` | Ressources statiques (images, vidéos, icônes, fonts, css, js) | Vous (recommandé) |
+| `config/` | Configuration centralisée | 🔒 Lit les secrets depuis .env |
+| `database/` | Migrations et config DB | `outlet-init` |
+| `models/` | Classes Model avec `hidden` et `fillable` | 🔒 Mass assignment protection |
+| `controllers/` | Logique métier | Valider les entrées |
+| `routes/` | Définition des routes API/Web | 🔒 Appliquer middlewares auth |
+| `middlewares/` | Auth, validation, rate limiting | 🔒 **Critique pour la sécurité** |
+| `services/` | Services réutilisables | Isoler la logique sensible |
+| `utils/` | Hash, tokens, encryption | 🔒 Ne jamais exposer |
+| `public/` | Seul dossier accessible | ✅ Fichiers statiques sûrs |
+| `logs/` | Journaux d'accès/erreurs | 📋 Dans .gitignore |
 
 ## ✨ Fonctionnalités clés
 

package/bin/init.js

@@ -95,6 +95,7 @@ module.exports = db;
 
     // Create project structure directories
     const directories = [
+      'config',
       'database',
       'database/migrations',
       'models',
@@ -102,13 +103,14 @@ module.exports = db;
       'routes',
       'middlewares',
       'services',
-      'assets',
-      'assets/images',
-      'assets/videos',
-      'assets/icons',
-      'assets/fonts',
-      'assets/css',
-      'assets/js',
+      'utils',
+      'validators',
+      'public',
+      'public/images',
+      'public/css',
+      'public/js',
+      'uploads',
+      'logs',
       'src',
       'tests'
     ];
@@ -124,6 +126,157 @@ module.exports = db;
       }
     }
 
+    // Generate .gitignore
+    const gitignoreContent = `# Secrets
+.env
+.env.local
+.env.production
+
+# Logs
+logs/
+*.log
+
+# Uploads
+uploads/
+
+# Dependencies
+node_modules/
+
+# Build
+dist/
+build/
+
+# IDE
+.vscode/
+.idea/
+`;
+
+    const gitignorePath = path.join(process.cwd(), '.gitignore');
+    if (!fs.existsSync(gitignorePath)) {
+      fs.writeFileSync(gitignorePath, gitignoreContent);
+      console.log(`\n✅ .gitignore créé`);
+    }
+
+    // Generate .env.example
+    const envExampleContent = `# Base de données
+DB_DRIVER=mysql
+DB_HOST=localhost
+DB_PORT=3306
+DB_DATABASE=myapp
+DB_USER=your_user
+DB_PASSWORD=your_password
+
+# Sécurité
+JWT_SECRET=your_jwt_secret_here
+JWT_EXPIRES_IN=15m
+
+# Application
+NODE_ENV=development
+PORT=3000
+
+# CORS
+CORS_ORIGIN=http://localhost:3000
+`;
+
+    const envExamplePath = path.join(process.cwd(), '.env.example');
+    if (!fs.existsSync(envExamplePath)) {
+      fs.writeFileSync(envExamplePath, envExampleContent);
+      console.log(`✅ .env.example créé`);
+    }
+
+    // Generate config/security.js
+    const securityConfigContent = `/**
+ * Configuration de sécurité
+ * npm install helmet express-rate-limit xss-clean hpp
+ */
+
+module.exports = {
+  // Rate limiting (100 requêtes/15min par IP)
+  rateLimit: {
+    windowMs: 15 * 60 * 1000,
+    max: 100,
+    message: { error: 'Trop de requêtes, réessayez plus tard' }
+  },
+
+  // Rate limiting strict pour auth (5 tentatives/15min)
+  authRateLimit: {
+    windowMs: 15 * 60 * 1000,
+    max: 5,
+    message: { error: 'Trop de tentatives de connexion' }
+  },
+
+  // CORS
+  cors: {
+    origin: process.env.CORS_ORIGIN || 'http://localhost:3000',
+    credentials: true,
+    methods: ['GET', 'POST', 'PUT', 'DELETE', 'PATCH'],
+    allowedHeaders: ['Content-Type', 'Authorization']
+  },
+
+  // JWT
+  jwt: {
+    secret: process.env.JWT_SECRET,
+    expiresIn: process.env.JWT_EXPIRES_IN || '15m'
+  }
+};
+`;
+
+    const securityConfigPath = path.join(process.cwd(), 'config', 'security.js');
+    if (!fs.existsSync(securityConfigPath)) {
+      fs.writeFileSync(securityConfigPath, securityConfigContent);
+      console.log(`✅ config/security.js créé`);
+    }
+
+    // Generate middlewares/errorHandler.js
+    const errorHandlerContent = `/**
+ * Gestionnaire d'erreurs centralisé
+ */
+const errorHandler = (err, req, res, next) => {
+  console.error(\`[\${new Date().toISOString()}] Error:\`, err);
+
+  const isDev = process.env.NODE_ENV === 'development';
+
+  res.status(err.status || 500).json({
+    error: isDev ? err.message : 'Erreur serveur',
+    stack: isDev ? err.stack : undefined
+  });
+};
+
+module.exports = errorHandler;
+`;
+
+    const errorHandlerPath = path.join(process.cwd(), 'middlewares', 'errorHandler.js');
+    if (!fs.existsSync(errorHandlerPath)) {
+      fs.writeFileSync(errorHandlerPath, errorHandlerContent);
+      console.log(`✅ middlewares/errorHandler.js créé`);
+    }
+
+    // Generate utils/hash.js
+    const hashUtilContent = `/**
+ * Utilitaires de hachage
+ * npm install bcrypt
+ */
+const bcrypt = require('bcrypt');
+
+const SALT_ROUNDS = 12;
+
+const hashPassword = async (password) => {
+  return bcrypt.hash(password, SALT_ROUNDS);
+};
+
+const verifyPassword = async (password, hash) => {
+  return bcrypt.compare(password, hash);
+};
+
+module.exports = { hashPassword, verifyPassword };
+`;
+
+    const hashUtilPath = path.join(process.cwd(), 'utils', 'hash.js');
+    if (!fs.existsSync(hashUtilPath)) {
+      fs.writeFileSync(hashUtilPath, hashUtilContent);
+      console.log(`✅ utils/hash.js créé`);
+    }
+
     // Generate example model
     const modelContent = `const { Model } = require('outlet-orm');
 const db = require('./database');
@@ -131,11 +284,16 @@ const db = require('./database');
 class User extends Model {
   static table = 'users';
   static fillable = ['name', 'email', 'password'];
-  static hidden = ['password'];
+  static hidden = ['password', 'refresh_token']; // 🔒 Ne jamais exposer
   static casts = {
     id: 'int',
     email_verified: 'boolean'
   };
+  static rules = {
+    name: 'required|string|min:2|max:100',
+    email: 'required|email',
+    password: 'required|min:8'
+  };
   static connection = db;
 
   // Définissez vos relations ici

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "outlet-orm",
-  "version": "4.2.0",
+  "version": "4.2.1",
   "description": "A Laravel Eloquent-inspired ORM for Node.js with support for MySQL, PostgreSQL, and SQLite",
   "main": "src/index.js",
   "types": "types/index.d.ts",