repowarden 4.10.0 → 4.10.1-next.1

package/hooks/lib/i18n/en.sh

@@ -132,6 +132,14 @@ _msg_en() {
         hook.pre_commit.3) _M="  (disable for this repository: git config repowarden.skip protect-branch)" ;;
         hook.pre_commit.4) _M="Secret detection (gitleaks)" ;;
         hook.pre_commit.5) _M="Secret detected: commit refused." ;;
+        hook.secrets.where) _M="  %s:%s (%s)" ;;
+        hook.secrets.unreadable) _M="  (unreadable gitleaks report: run gitleaks git --pre-commit --staged --redact to see the leaks)" ;;
+        hook.secrets.todo) _M="What to do:" ;;
+        hook.secrets.todo_1) _M="  1. Remove the value from the file (environment variable, ignored file), then commit again." ;;
+        hook.secrets.todo_2) _M="  2. File that must never be versioned: add it to .gitignore, then git rm --cached <file>." ;;
+        hook.secrets.todo_3) _M="  3. Key that may have leaked elsewhere (already pushed, shared): revoke it at its provider." ;;
+        hook.secrets.todo_4) _M="  False positive: add its fingerprint to .gitleaksignore:" ;;
+        hook.secrets.failed) _M="gitleaks failed (code %s): commit refused, secret detection not done." ;;
         hook.pre_commit.6) _M="gitleaks not installed, secret detection skipped (install: %s)." ;;
         hook.pre_commit.7) _M="Pre-commit OK" ;;
         hook.commit_msg.1) _M="First line too long (%s > 72 characters)." ;;

package/hooks/lib/i18n/fr.sh

@@ -111,6 +111,14 @@ _msg_fr() {
         hook.pre_commit.3) _M="  (désactiver pour ce dépôt : git config repowarden.skip protect-branch)" ;;
         hook.pre_commit.4) _M="Détection de secrets (gitleaks)" ;;
         hook.pre_commit.5) _M="Secret détecté : commit refusé." ;;
+        hook.secrets.where) _M="  %s:%s (%s)" ;;
+        hook.secrets.unreadable) _M="  (rapport de gitleaks illisible : relancer gitleaks git --pre-commit --staged --redact pour voir les fuites)" ;;
+        hook.secrets.todo) _M="Que faire :" ;;
+        hook.secrets.todo_1) _M="  1. Retirer la valeur du fichier (variable d'environnement, fichier ignoré), puis recommencer le commit." ;;
+        hook.secrets.todo_2) _M="  2. Fichier qui ne doit jamais être versionné : l'ajouter à .gitignore, puis git rm --cached <fichier>." ;;
+        hook.secrets.todo_3) _M="  3. Clé qui a pu fuir ailleurs (déjà poussée, partagée) : la révoquer chez son fournisseur." ;;
+        hook.secrets.todo_4) _M="  Faux positif : ajouter son empreinte à .gitleaksignore :" ;;
+        hook.secrets.failed) _M="gitleaks en échec (code %s) : commit refusé, détection de secrets non faite." ;;
         hook.pre_commit.6) _M="gitleaks absent, détection de secrets ignorée (installation : %s)." ;;
         hook.pre_commit.7) _M="Pre-commit OK" ;;
         hook.commit_msg.1) _M="Première ligne trop longue (%s > 72 caractères)." ;;

package/hooks/lib/secrets.sh

@@ -0,0 +1,49 @@
+#!/usr/bin/env bash
+# Secrets détectés par gitleaks (pre-commit) : où ils sont et que faire, sans
+# jamais afficher la valeur. Chargé après common.sh. Compatible bash 3.2.
+
+# Lit le rapport JSON de gitleaks $1 (un objet par fuite, un champ par ligne,
+# format de --report-format json) : seuls File, StartLine, RuleID et
+# Fingerprint sont lus, jamais Secret ni Match. Affiche « fichier:ligne
+# (règle) » par fuite, puis la marche à suivre et les empreintes à mettre dans
+# .gitleaksignore en cas de faux positif.
+secrets_report() {
+    local fuites empreintes f l r e
+    # awk : déséchappe ce que le JSON de Go échappe dans un chemin (\" \\ et
+    # les codes \u0026, \u003c, \u003e de & < >) ; sortie « fichier<TAB>ligne<TAB>règle<TAB>empreinte »
+    fuites="$(awk '
+        function valeur(s) {
+            sub(/^[^:]*: */, "", s); sub(/,$/, "", s)
+            if (s ~ /^".*"$/) s = substr(s, 2, length(s) - 2)
+            gsub(/\\u0026/, "\\&", s); gsub(/\\u003c/, "<", s); gsub(/\\u003e/, ">", s)
+            gsub(/\\"/, "\"", s); gsub(/\\\\/, "\\", s)
+            return s
+        }
+        /^ *\{/ { f = ""; l = ""; r = ""; e = "" }
+        /^ *"File": / { f = valeur($0) }
+        /^ *"StartLine": / { l = valeur($0) }
+        /^ *"RuleID": / { r = valeur($0) }
+        /^ *"Fingerprint": / { e = valeur($0) }
+        /^ *\}/ { printf "%s\t%s\t%s\t%s\n", f, l, r, e }
+    ' "$1" 2>/dev/null || true)"
+    if [ -z "$fuites" ]; then
+        # Rapport illisible (format changé) : le dire, sans rien deviner
+        echo_t hook.secrets.unreadable
+    else
+        empreintes=""
+        while IFS="$(printf '\t')" read -r f l r e; do
+            _tr hook.secrets.where "$f" "$l" "$r"
+            echo "$_T"
+            [ -z "$e" ] || empreintes="$empreintes    $e"$'\n'
+        done <<<"$fuites"
+    fi
+    echo
+    echo_t hook.secrets.todo
+    echo_t hook.secrets.todo_1
+    echo_t hook.secrets.todo_2
+    echo_t hook.secrets.todo_3
+    if [ -n "${empreintes:-}" ]; then
+        echo_t hook.secrets.todo_4
+        printf '%s' "$empreintes"
+    fi
+}

package/hooks/pre-commit

@@ -6,6 +6,7 @@ set -euo pipefail
 source "$(dirname "$0")/lib/common.sh"
 source "$(dirname "$0")/lib/lang.sh"
 source "$(dirname "$0")/lib/safety.sh"
+source "$(dirname "$0")/lib/secrets.sh"
 exit_if_skipped
 check_version
 cd "$GIT_TOPLEVEL"
@@ -33,10 +34,26 @@ fi
 if ! skipped secrets; then
     if has gitleaks; then
         step_t hook.pre_commit.4
-        if ! gitleaks git --pre-commit --staged --redact --no-banner; then
-            err_t hook.pre_commit.5 >&2
+        # Journal de gitleaks tu (horodatage, couleurs à chaque commit) ; ses
+        # trouvailles lues dans un rapport JSON. Code 42 : fuite ; tout autre
+        # code non nul : gitleaks en échec (jamais présenté comme une fuite)
+        rapport="$(mktemp)"
+        journal="$(mktemp)"
+        code=0
+        gitleaks git --pre-commit --staged --redact --no-banner --log-level error \
+            --report-format json --report-path "$rapport" --exit-code 42 >/dev/null 2>"$journal" || code=$?
+        if [ "$code" -ne 0 ]; then
+            if [ "$code" -eq 42 ]; then
+                err_t hook.pre_commit.5 >&2
+                secrets_report "$rapport" >&2
+            else
+                err_t hook.secrets.failed "$code" >&2
+                cat "$journal" >&2
+            fi
+            rm -f "$rapport" "$journal"
             exit 1
         fi
+        rm -f "$rapport" "$journal"
     else
         # Installation adaptée au système (bash le connaît sans sous-processus)
         case "${OSTYPE:-}" in

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "repowarden",
-  "version": "4.10.0",
+  "version": "4.10.1-next.1",
   "description": "Hooks git et CI multi-langages : messages de commit, nommage des branches, secrets, formatage, tests ciblés, code mort, releases.",
   "keywords": [
     "git-hooks",