repowarden 4.1.2 → 4.2.0-next.2

package/bin/app

@@ -0,0 +1,146 @@
+#!/usr/bin/env bash
+# GitHub App du dépôt : identité d'automatisation des workflows repowarden.
+# Ce que fait le jeton des Actions ne déclenche aucun workflow (PR brouillon
+# sans CI, merge automatique sans préversion…) ; un jeton de l'App, si.
+#
+#   repowarden app init [--repo propriétaire/nom] [--nom NOM] [--administration]
+#
+# 1. création (flux « manifest » de GitHub) : une page locale envoie la
+#    description de l'App à GitHub, tu cliques sur « Create » ; permissions
+#    minimales (contenu, PR, tickets, statuts ; administration seulement avec
+#    --administration, pour appliquer la configuration depuis la CI) ;
+# 2. identifiants rangés sans être affichés : variable REPOWARDEN_APP_CLIENT_ID,
+#    secret REPOWARDEN_APP_KEY (clé privée) ;
+# 3. installation sur le dépôt : tu cliques sur « Install ».
+# Relançable : une App déjà configurée n'est pas recréée. Demande gh et node.
+set -euo pipefail
+
+ROOT="$(cd "$(dirname "${BASH_SOURCE[0]}")/.." && pwd -P)"
+# shellcheck source=../hooks/lib/common.sh
+source "$ROOT/hooks/lib/common.sh"
+
+aide() { sed -n '2,15p' "$0" | sed 's/^# \{0,1\}//'; }
+
+commande="${1:-}"
+[ $# -eq 0 ] || shift
+REPO="" NOM="" ADMIN=""
+while [ $# -gt 0 ]; do
+    case "$1" in
+        --repo) shift; REPO="${1:?--repo attend propriétaire/nom}" ;;
+        --nom) shift; NOM="${1:?--nom attend un nom}" ;;
+        --administration) ADMIN=1 ;;
+        -h | --help) aide; exit 0 ;;
+        *) err_t install.unknown_arg "$1"; exit 1 ;;
+    esac
+    shift
+done
+if [ "$commande" != init ]; then
+    aide
+    [ -z "$commande" ] || [ "$commande" = -h ] || [ "$commande" = --help ]
+    exit
+fi
+
+command -v gh >/dev/null || { err_t bot.no_gh; exit 1; }
+command -v node >/dev/null || { err_t app.no_node; exit 1; }
+[ -n "$REPO" ] || REPO="$(gh repo view --json nameWithOwner -q .nameWithOwner)"
+owner="${REPO%%/*}"
+NOM="${NOM:-repowarden-$owner}"
+brand "app · $REPO"
+
+# Ouvre une adresse dans le navigateur (REPOWARDEN_OPEN : commande à utiliser)
+ouvrir() {
+    if [ -n "${REPOWARDEN_OPEN:-}" ]; then "$REPOWARDEN_OPEN" "$1"
+    elif command -v open >/dev/null; then open "$1"
+    elif command -v xdg-open >/dev/null; then xdg-open "$1" >/dev/null 2>&1
+    elif command -v cmd.exe >/dev/null; then cmd.exe /c start "" "$1"
+    fi
+}
+
+# 1. Création, si l'App n'est pas déjà configurée pour ce dépôt
+step_t app.step_create
+client_id="$(gh variable get REPOWARDEN_APP_CLIENT_ID --repo "$REPO" 2>/dev/null || true)"
+if [ -n "$client_id" ] && grep -q '^REPOWARDEN_APP_KEY' <<<"$(gh secret list --repo "$REPO")"; then
+    ok_t app.exists "$client_id"
+    slug="$(gh variable get REPOWARDEN_APP_SLUG --repo "$REPO" 2>/dev/null || true)"
+else
+    if [ "$(gh api "users/$owner" -q .type)" = Organization ]; then
+        cible="https://github.com/organizations/$owner/settings/apps/new"
+    else
+        cible="https://github.com/settings/apps/new"
+    fi
+    sortie="$(mktemp)"
+    trap 'rm -f "$sortie"' EXIT
+    # Page locale : envoie la description à GitHub (formulaire POST), puis
+    # reçoit le code de retour ; le code est écrit sur la sortie standard
+    NOM="$NOM" REPO="$REPO" ADMIN="$ADMIN" CIBLE="$cible" node -e '
+        const http = require("http"), crypto = require("crypto");
+        const etat = crypto.randomBytes(16).toString("hex");
+        const srv = http.createServer((req, res) => {
+            const u = new URL(req.url, "http://127.0.0.1");
+            if (u.pathname === "/fin") {
+                if (u.searchParams.get("state") !== etat) { res.writeHead(400); res.end("état invalide"); return; }
+                res.writeHead(200, { "Content-Type": "text/html; charset=utf-8" });
+                res.end("<p>App créée : retourne au terminal.</p>");
+                console.log("CODE " + u.searchParams.get("code"));
+                res.on("finish", () => process.exit(0));
+                return;
+            }
+            const port = srv.address().port;
+            const perms = { contents: "write", pull_requests: "write", issues: "write", statuses: "write", metadata: "read" };
+            if (process.env.ADMIN) perms.administration = "write";
+            const manifeste = JSON.stringify({
+                name: process.env.NOM, url: "https://github.com/" + process.env.REPO,
+                hook_attributes: { active: false }, public: false,
+                redirect_url: "http://127.0.0.1:" + port + "/fin", default_permissions: perms,
+            }).replace(/&/g, "&amp;").replace(/"/g, "&quot;");
+            res.writeHead(200, { "Content-Type": "text/html; charset=utf-8" });
+            res.end("<form id=f method=post action=\"" + process.env.CIBLE + "?state=" + etat + "\">" +
+                "<input type=hidden name=manifest value=\"" + manifeste + "\"></form>" +
+                "<script>document.getElementById(\"f\").submit()</script>");
+        });
+        srv.listen(0, "127.0.0.1", () => console.log("PORT " + srv.address().port));
+        setTimeout(() => { console.log("DELAI"); process.exit(1); }, 15 * 60 * 1000);
+    ' >"$sortie" &
+    serveur=$!
+    for _ in $(seq 1 50); do grep -q '^PORT ' "$sortie" && break; sleep 0.1; done
+    port="$(sed -n 's/^PORT //p' "$sortie")"
+    [ -n "$port" ] || { err_t app.server_failed; exit 1; }
+    info_t app.open "http://127.0.0.1:$port/"
+    ouvrir "http://127.0.0.1:$port/"
+    wait "$serveur" || true
+    code="$(sed -n 's/^CODE //p' "$sortie")"
+    [ -n "$code" ] || { err_t app.no_code; exit 1; }
+    # Conversion du code : identifiants de l'App, rangés sans être affichés
+    reponse="$(gh api -X POST "app-manifests/$code/conversions")"
+    client_id="$(node -p 'JSON.parse(require("fs").readFileSync(0, "utf8")).client_id' <<<"$reponse")"
+    slug="$(node -p 'JSON.parse(require("fs").readFileSync(0, "utf8")).slug' <<<"$reponse")"
+    node -e 'process.stdout.write(JSON.parse(require("fs").readFileSync(0, "utf8")).pem)' <<<"$reponse" |
+        gh secret set REPOWARDEN_APP_KEY --repo "$REPO"
+    reponse=""
+    gh variable set REPOWARDEN_APP_CLIENT_ID --repo "$REPO" --body "$client_id"
+    gh variable set REPOWARDEN_APP_SLUG --repo "$REPO" --body "$slug"
+    ok_t app.created "$slug"
+fi
+
+# 2. Installation sur le dépôt (vérifiée depuis tes installations)
+step_t app.step_install
+installee() {
+    local id
+    id="$(gh api user/installations --paginate -q ".installations[] | select(.app_slug == \"$slug\") | .id" 2>/dev/null | sed -n 1p)"
+    [ -n "$id" ] || return 1
+    grep -qxF "$REPO" <<<"$(gh api "user/installations/$id/repositories" --paginate -q '.repositories[].full_name' 2>/dev/null)"
+}
+if [ -n "$slug" ] && ! installee; then
+    info_t app.open "https://github.com/apps/$slug/installations/new"
+    ouvrir "https://github.com/apps/$slug/installations/new"
+    for _ in $(seq 1 120); do installee && break; sleep 5; done
+fi
+if [ -n "$slug" ] && installee; then
+    ok_t app.installed "$slug" "$REPO"
+else
+    attention_t app.not_installed "$slug" "$REPO"
+    exit 1
+fi
+echo
+ok_t app.done
+dim_t app.next

package/bin/repowarden

@@ -11,6 +11,7 @@
 #   repowarden tickets init                        suivi des tickets (GitHub)
 #   repowarden proteger [options]                  protection des branches (GitHub)
 #   repowarden npm-publication                     publication npm automatique
+#   repowarden app init                            GitHub App des workflows (une fois)
 #   repowarden --version
 set -euo pipefail
 
@@ -28,7 +29,7 @@ source "$ROOT/hooks/lib/ui.sh"
 # shellcheck source=../hooks/lib/i18n.sh
 source "$ROOT/hooks/lib/i18n.sh"
 
-aide() { sed -n '2,14p' "$ROOT/bin/repowarden" | sed 's/^# \{0,1\}//'; }
+aide() { sed -n '2,15p' "$ROOT/bin/repowarden" | sed 's/^# \{0,1\}//'; }
 
 commande="${1:-}"
 [ $# -eq 0 ] || shift
@@ -49,6 +50,7 @@ case "$commande" in
     ticket) exec bash "$ROOT/bin/ticket" "$@" ;;
     proteger | protect) exec bash "$ROOT/bin/proteger" "$@" ;;
     npm-publication | npm-publish) exec bash "$ROOT/bin/npm-publication" "$@" ;;
+    app) exec bash "$ROOT/bin/app" "$@" ;;
     -v | --version | version)
         repowarden_version_r "$ROOT"
         echo "$REPLY"

package/bin/tickets

@@ -124,6 +124,11 @@ jobs:
   tickets:
     uses: SimBienvenueHoulBoumi/repowarden/.github/workflows/tickets.yml@v4
     permissions: { contents: write, issues: write, pull-requests: write, statuses: write }
+    # GitHub App (repowarden app init) : ses actions déclenchent les autres workflows
+    with:
+      app-client-id: ${{ vars.REPOWARDEN_APP_CLIENT_ID }}
+    secrets:
+      app-key: ${{ secrets.REPOWARDEN_APP_KEY }}
 YAML
 
 # 3. Tickets et branches existants (relançable : rien n'est fait deux fois)

package/hooks/lib/i18n/en.sh

@@ -364,6 +364,18 @@ _msg_en() {
         tk.merged) _M="Merged by PR #%s into %s: in pre-production, available in the next pre-release." ;;
         tk.branch_created) _M="Ticket validated: its branch \`%s\` is created from \`%s\`.\n\nTo work on it:\n\n\`\`\`bash\nrepowarden ticket %s\n\`\`\`\n\n(or \`git fetch && git switch %s\`). The first push opens the draft PR." ;;
         tk.branch_notice) _M="Branch %s created for ticket #%s" ;;
+        app.no_node) _M="node is required (local page creating the App): https://nodejs.org" ;;
+        app.step_create) _M="Creating the GitHub App" ;;
+        app.exists) _M="App already set up for this repository (client %s): nothing to recreate." ;;
+        app.server_failed) _M="Local page did not start." ;;
+        app.open) _M="Open %s then click GitHub's green button." ;;
+        app.no_code) _M="No answer from GitHub (creation cancelled, or 15 min timeout)." ;;
+        app.created) _M="App %s created; credentials stored (variable REPOWARDEN_APP_CLIENT_ID, secret REPOWARDEN_APP_KEY)." ;;
+        app.step_install) _M="Installing on the repository" ;;
+        app.installed) _M="App %s installed on %s." ;;
+        app.not_installed) _M="App %s not installed on %s yet: run repowarden app init again once installed." ;;
+        app.done) _M="repowarden workflows now use the App: what they do triggers the other workflows." ;;
+        app.next) _M="Without the App (variable and secret missing), they fall back to the Actions token." ;;
         tk.reopened) _M="Reopened: closed by GitHub when #%s was merged into \`%s\`, which is not production yet. In pre-production; it will be closed at the release." ;;
         tk.sync.ready) _M="Ticket #%s assigned: local branch %s ready (repowarden ticket %s)." ;;
         tk.sync.not_validated) _M="Ticket #%s assigned but not validated yet: no branch for now." ;;

package/hooks/lib/i18n/fr.sh

@@ -364,6 +364,18 @@ _msg_fr() {
         tk.merged) _M="Mergé par la PR #%s dans %s : en préprod, disponible dans la prochaine préversion." ;;
         tk.branch_created) _M="Ticket validé : sa branche \`%s\` est créée depuis \`%s\`.\n\nPour y travailler :\n\n\`\`\`bash\nrepowarden ticket %s\n\`\`\`\n\n(ou \`git fetch && git switch %s\`). Le premier push ouvre la PR en brouillon." ;;
         tk.branch_notice) _M="Branche %s créée pour le ticket #%s" ;;
+        app.no_node) _M="node est nécessaire (page locale de création de l'App) : https://nodejs.org" ;;
+        app.step_create) _M="Création de la GitHub App" ;;
+        app.exists) _M="App déjà configurée pour ce dépôt (client %s) : rien à recréer." ;;
+        app.server_failed) _M="Page locale non démarrée." ;;
+        app.open) _M="Ouvre %s puis clique sur le bouton vert de GitHub." ;;
+        app.no_code) _M="Aucune réponse de GitHub (création annulée, ou délai de 15 min dépassé)." ;;
+        app.created) _M="App %s créée ; identifiants rangés (variable REPOWARDEN_APP_CLIENT_ID, secret REPOWARDEN_APP_KEY)." ;;
+        app.step_install) _M="Installation sur le dépôt" ;;
+        app.installed) _M="App %s installée sur %s." ;;
+        app.not_installed) _M="App %s pas encore installée sur %s : relance repowarden app init une fois installée." ;;
+        app.done) _M="Les workflows repowarden utilisent désormais l'App : ce qu'ils font déclenche les autres workflows." ;;
+        app.next) _M="Sans l'App (variable et secret absents), ils reprennent le jeton des Actions." ;;
         tk.reopened) _M="Rouvert : fermé par GitHub au merge de #%s dans \`%s\`, ce n'est pas encore la production. En préprod ; il sera fermé à la release." ;;
         tk.sync.ready) _M="Ticket #%s assigné : branche locale %s prête (repowarden ticket %s)." ;;
         tk.sync.not_validated) _M="Ticket #%s assigné mais pas encore validé : pas de branche pour l'instant." ;;

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "repowarden",
-  "version": "4.1.2",
+  "version": "4.2.0-next.2",
   "description": "Hooks git et CI multi-langages : messages de commit, nommage des branches, secrets, formatage, tests ciblés, code mort, releases.",
   "keywords": [
     "git-hooks",