repowarden 4.10.2 → 4.11.0-next.21

package/bin/bot

@@ -115,7 +115,24 @@ TRAVAIL="$(mktemp -d)"
 trap 'rm -rf "$TRAVAIL"' EXIT
 # Identité des commits du bot (workflow : <slug>[bot]), crédits de gh
 NOM_BOT="${REPOWARDEN_BOT_NAME:-repowarden-bot}"
-COURRIEL_BOT="${REPOWARDEN_BOT_EMAIL:-repowarden-bot@users.noreply.github.com}"
+
+# Adresse <id>+<slug>[bot]@users.noreply.github.com, comme bot.yml : seule
+# forme que GitHub rattache à l'App. Slug tiré du nom, car un jeton
+# d'installation ne peut pas lire /app ; repli signalé si l'id est introuvable.
+courriel_bot_r() {
+    REPLY="${REPOWARDEN_BOT_EMAIL:-}"
+    [ -z "$REPLY" ] || return 0
+    local slug="${NOM_BOT%\[bot\]}" id
+    id="$(gh api "users/${slug}[bot]" --jq .id 2>/dev/null || true)"
+    case "$id" in
+        "" | *[!0-9]*)
+            REPLY="repowarden-bot@users.noreply.github.com"
+            attention_t bot.email_fallback "${slug}[bot]" "$REPLY" ;;
+        *) REPLY="${id}+${slug}[bot]@users.noreply.github.com" ;;
+    esac
+}
+courriel_bot_r
+COURRIEL_BOT="$REPLY"
 
 # Dernière ligne d'erreur d'une sortie (✖ …), pour le rapport
 derniere_erreur_r() {

package/bin/bots

@@ -431,18 +431,19 @@ YAML
 YAML
         fi
     fi
-    # Tickets livrés : statut done et fermeture à la release, préprod à la
-    # préversion ; seulement avec le suivi des tickets (sinon le job échoue)
+    # Tickets livrés : statut done et fermeture à la release (ou à une
+    # livraison sans nouvelle version), préprod à la préversion ; seulement avec le suivi des tickets (sinon le job échoue)
     if choisi tickets || [ -e .github/workflows/tickets.yml ]; then
         cat <<'YAML'
 
   tickets:
     needs: release
-    if: needs.release.outputs.release_created == 'true' || needs.release.outputs.prerelease_created == 'true'
+    if: needs.release.outputs.release_created == 'true' || needs.release.outputs.prerelease_created == 'true' || needs.release.outputs.delivered_without_version != ''
     uses: simdevWarden/repowarden/.github/workflows/tickets.yml@v4
     permissions: { contents: write, issues: write, pull-requests: write, statuses: write }
     with:
       tag: ${{ needs.release.outputs.tag_name || needs.release.outputs.prerelease_tag }}
+      delivered-sha: ${{ needs.release.outputs.delivered_without_version }}
 YAML
         if [ -n "$AVEC_APP" ]; then
             cat <<'YAML'

package/bin/garde

@@ -100,6 +100,16 @@ verifier_commit() {
     fi
 }
 
+# Vrai si les mots $@ demandent une lecture seule (aide, aperçu) : rien n'est
+# commité, rien à refuser
+lecture_seule() {
+    local mot
+    for mot in "$@"; do
+        case "$mot" in -h | --help | --dry-run) return 0 ;; esac
+    done
+    return 1
+}
+
 # repowarden cc / commit (ou git cc), lancé depuis le dossier $dir
 verifier_cc() {
     dossier_r "$dir"
@@ -169,6 +179,7 @@ verifier_git() {
         done
         case "$sous" in
             commit)
+                lecture_seule ${args_git[@]+"${args_git[@]}"} && exit 0
                 amend="" noedit=""
                 for mot in ${args_git[@]+"${args_git[@]}"}; do
                     case "$mot" in
@@ -183,7 +194,7 @@ verifier_git() {
                 refuser garde.commit "$ligne"
                 ;;
             cc)
-                verifier_commit "$ligne"
+                lecture_seule ${args_git[@]+"${args_git[@]}"} || verifier_commit "$ligne"
                 ;;
             add)
                 for mot in ${args_git[@]+"${args_git[@]}"}; do
@@ -227,7 +238,7 @@ verifier_git() {
 # Ligne de commande shell : chaque commande (&&, ||, ;, |, retour à la ligne),
 # « cd » suivi, variables d'environnement en tête ignorées
 verifier_shell() {
-    local commande="$1" segment mots m nl=$'\n' lignes
+    local commande="$1" segment mots m cmd_cc nl=$'\n' lignes
     dir="$cwd"
     # Une commande par ligne. Découpage hors de <( … ) : bash 3.2 (macOS) y
     # lit mal ces motifs (« bad substitution ») et ne vérifierait plus rien
@@ -264,7 +275,13 @@ verifier_shell() {
                 verifier_git "${@//[\"\']/}"
                 ;;
             repowarden | */repowarden)
-                case "${2//[\"\']/}" in cc | commit) verifier_cc "repowarden ${2//[\"\']/}" ;; esac
+                case "${2//[\"\']/}" in
+                    cc | commit)
+                        cmd_cc="repowarden ${2//[\"\']/}"
+                        shift 2
+                        lecture_seule "${@//[\"\']/}" || verifier_cc "$cmd_cc"
+                        ;;
+                esac
                 ;;
         esac
     done <<<"$lignes"

package/bin/migrer

@@ -29,24 +29,10 @@ done
 [ -n "$GIT_TOPLEVEL" ] || { err_t install.not_repo; exit 1; }
 cd "$GIT_TOPLEVEL"
 
-# Version majeure dont le tag flottant (vN) est publié : celle de repowarden ;
-# préversion d'une nouvelle majeure (X.0.0-next) : X-1, vX n'existant pas encore
-majeure_r() {
-    local v
-    repowarden_version_r "$ROOT"
-    v="$REPLY"
-    # 0.0.0-dev : version inconnue (clone sans tags), rien à déduire
-    if [ "$v" = 0.0.0-dev ]; then REPLY=""; return; fi
-    REPLY="${v%%.*}"
-    REPLY="${REPLY%%-*}"
-    [[ "$v" != *.0.0-* ]] || REPLY=$((REPLY - 1))
-}
-if [ -n "${REPOWARDEN_MAJEURE:-}" ]; then
-    MAJEURE="$REPOWARDEN_MAJEURE"
-else
-    majeure_r
-    MAJEURE="$REPLY"
-fi
+# Version majeure dont le tag flottant (vN) est publié
+repowarden_version_r "$ROOT"
+repowarden_majeure_r "$REPLY"
+MAJEURE="$REPLY"
 [ -n "$MAJEURE" ] || { err_t mig.unknown_version "$ROOT"; exit 1; }
 [[ "$MAJEURE" =~ ^[1-9][0-9]*$ ]] || { err_t mig.no_major "$MAJEURE"; exit 1; }
 BRANCHE="chore/migration-repowarden-v$MAJEURE"

package/bin/pr-checks

@@ -21,9 +21,41 @@ if [[ "$1" == "--help" || "$1" == "-h" ]]; then
 fi
 command -v gh >/dev/null || { err_t bot.no_gh; exit 1; }
 
-n="${1}"
+n="${1#\#}"
 
 step_t pr.checks.checking "$n"
-gh api "repos/{{owner}}/{{repo}}/pulls/$n/check-runs" --jq '.check_runs[] | {name: .name, conclusion: .conclusion, status: .status, url: .html_url}' 2>/dev/null | while IFS= read -r line; do
-    echo "$line"
-done
+# gh pr checks résout le commit de tête de la PR : les check-runs y sont
+# rattachés, pas à la PR. Le verdict se calcule sur les lignes, pas sur son
+# code ; sans ligne, un code non nul est une vraie erreur (PR introuvable,
+# aucun check), déjà expliquée par gh
+rc=0
+lignes="$(gh pr checks "$n" --json name,bucket,link \
+    -q '.[] | [.bucket, .name, .link] | @tsv')" || rc=$?
+if [ -z "$lignes" ]; then
+    [ "$rc" -ne 0 ] || info_t pr.checks.none "$n"
+    exit "$rc"
+fi
+
+reussis=0 echecs=0 attentes=0
+while IFS=$'\t' read -r etat nom lien; do
+    case "$etat" in
+        pass | skipping) reussis=$((reussis + 1)) ;;
+        fail | cancel)
+            echecs=$((echecs + 1))
+            err_t pr.checks.failed "$nom" "$lien"
+            ;;
+        pending)
+            attentes=$((attentes + 1))
+            info_t pr.checks.pending "$nom"
+            ;;
+    esac
+done <<<"$lignes"
+
+if [ "$echecs" -gt 0 ]; then
+    err_t pr.checks.verdict "$n" "$reussis" "$echecs" "$attentes"
+    exit 1
+elif [ "$attentes" -gt 0 ]; then
+    info_t pr.checks.verdict "$n" "$reussis" "$echecs" "$attentes"
+else
+    ok_t pr.checks.green "$n"
+fi

package/bin/run-list

@@ -14,7 +14,7 @@ aide() {
     printf '%b\n' "$_T"
 }
 
-if [[ "$1" == "--help" || "$1" == "-h" ]]; then
+if [[ "${1:-}" == "--help" || "${1:-}" == "-h" ]]; then
     aide
     exit 0
 fi
@@ -34,14 +34,15 @@ done
 
 repo="${GH_REPO:-$(gh repo view --json nameWithOwner -q .nameWithOwner)}"
 
+# --jq plutôt que --template : le gabarit Go écrit les identifiants en
+# notation scientifique (3.96e+10), inutilisables par run rerun
+filtre=()
 if [ -n "$workflow" ]; then
     step_t run.listing.workflow "$workflow"
-    gh run list --repo "$repo" --workflow "$workflow" --limit "$limit" \
-        --json databaseId,name,conclusion,createdAt,headBranch \
-        --template '{{range .}}{{.databaseId}}	{{.name}}	{{.conclusion}}	{{.createdAt}}	{{.headBranch}}{{"\n"}}{{end}}'
+    filtre=(--workflow "$workflow")
 else
     step_t run.listing.all
-    gh run list --repo "$repo" --limit "$limit" \
-        --json databaseId,name,conclusion,createdAt,headBranch \
-        --template '{{range .}}{{.databaseId}}	{{.name}}	{{.conclusion}}	{{.createdAt}}	{{.headBranch}}{{"\n"}}{{end}}'
-fi
+fi
+gh run list --repo "$repo" ${filtre[@]+"${filtre[@]}"} --limit "$limit" \
+    --json databaseId,name,conclusion,createdAt,headBranch \
+    --jq '.[] | [.databaseId, .name, .conclusion, .createdAt, .headBranch] | @tsv'

package/bin/statut

@@ -9,6 +9,8 @@ set -euo pipefail
 ROOT="$(cd "$(dirname "${BASH_SOURCE[0]}")/.." && pwd -P)"
 # shellcheck source=../hooks/lib/common.sh
 source "$ROOT/hooks/lib/common.sh"
+# shellcheck source=../hooks/lib/secrets.sh
+source "$ROOT/hooks/lib/secrets.sh"
 exec 2>&1 # une seule sortie, dans l'ordre (avertissements compris)
 # shellcheck disable=SC2034 # lu par check_version (common.sh)
 HOOKS_DIR="$ROOT/hooks"
@@ -78,6 +80,42 @@ if [ -n "$GIT_TOPLEVEL" ]; then
         attention_t st.repo_migrate
         suivant="${suivant:-repowarden migrer}"
     fi
+    # Workflows qui appellent repowarden : dépôt officiel et tag vN de la
+    # majeure installée. Autre dépôt (ancien propriétaire, fork), branche
+    # (cassé quand elle disparaît) ou majeure dépassée : la ligne à corriger
+    repowarden_majeure_r "$version"
+    majeure="$REPLY"
+    re_uses='^[[:space:]]*(-[[:space:]]+)?uses:[[:space:]]*["'"'"']?([A-Za-z0-9_.-]+)/repowarden(/[^@[:space:]"'"'"']*)?@([^[:space:]"'"'"'#]+)'
+    re_tag='^v([0-9]+)(\.[0-9]+)*(-[0-9A-Za-z.]+)?$'
+    re_sha='^[0-9a-f]{40}$'
+    for wf in "$GIT_TOPLEVEL"/.github/workflows/*.yml "$GIT_TOPLEVEL"/.github/workflows/*.yaml; do
+        [ -f "$wf" ] || continue
+        n=0
+        while IFS= read -r ligne || [ -n "$ligne" ]; do
+            n=$((n + 1))
+            [[ "$ligne" =~ $re_uses ]] || continue
+            proprio="${BASH_REMATCH[2]}" chemin="${BASH_REMATCH[3]}" ref="${BASH_REMATCH[4]}"
+            attendu="simdevWarden/repowarden$chemin@v${majeure:-N}"
+            shopt -s nocasematch
+            officiel=""
+            [[ "$proprio" != simdevwarden ]] || officiel=1
+            shopt -u nocasematch
+            cle=""
+            if [ -z "$officiel" ]; then
+                cle=st.wf_owner arg="$proprio/repowarden"
+            elif [[ "$ref" =~ $re_tag ]]; then
+                if [ -n "$majeure" ] && [ "${BASH_REMATCH[1]}" -lt "$majeure" ]; then
+                    cle=st.wf_old arg="$ref"
+                fi
+            elif ! [[ "$ref" =~ $re_sha ]]; then
+                cle=st.wf_branch arg="$ref"
+            fi
+            [ -n "$cle" ] || continue
+            attention_t "$cle" "${wf#"$GIT_TOPLEVEL"/}" "$n" "$arg" "$attendu"
+            t st.wf_fix
+            suivant="${suivant:-$REPLY}"
+        done <"$wf"
+    done
     # Branche develop présente, flux non déclaré : traité comme « main seule »
     cfg_r integrationBranch ""
     if [ -z "$REPLY" ] && git rev-parse -q --verify refs/remotes/origin/develop >/dev/null; then
@@ -93,6 +131,11 @@ if [ -n "$GIT_TOPLEVEL" ]; then
             ok_t st.repo_version_ok "$attendue"
         fi
     fi
+    # Fichier sensible ni suivi ni ignoré (même avertissement qu'au pre-commit)
+    if ! skipped secrets && ! skipped sensitive-files; then
+        sensitive_files_r
+        [ -z "$REPLY" ] || sensitive_files_warn "$REPLY"
+    fi
     info_t st.repo_forge "$FORGE"
     [ "$FORGE" != github ] || dim_t st.repo_rules
 fi
@@ -103,6 +146,11 @@ for outil in gitleaks ruff vulture staticcheck pmd; do
     if has "$outil"; then presents="$presents $outil"; else absents="$absents $outil"; fi
 done
 info_t st.tools "${presents# }" "${absents# }"
+# Sans gitleaks, les secrets ne sont vérifiés que par la CI
+if ! has gitleaks && ! skipped secrets; then
+    gitleaks_install_r
+    suivant="${suivant:-$REPLY}"
+fi
 
 echo
 if [ -n "$suivant" ]; then

package/bin/ticket

@@ -18,7 +18,9 @@ source "$ROOT/hooks/lib/common.sh"
 # shellcheck source=../hooks/lib/tickets.sh
 source "$ROOT/hooks/lib/tickets.sh"
 
-aide() { _tr help.ticket; printf '%b\n' "$_T" >&2; }
+# Aide sur la sortie standard quand elle est demandée (code 0) ; les cas
+# d'erreur la redirigent eux-mêmes vers stderr
+aide() { _tr help.ticket; printf '%b\n' "$_T"; }
 
 [ -n "$GIT_TOPLEVEL" ] || { err_t install.not_repo; exit 1; }
 cd "$GIT_TOPLEVEL"
@@ -62,9 +64,14 @@ cmd_ticket() {
     git fetch -q origin --prune
     ticket_remote_branch_r "$n"
     if [ -n "$REPLY" ]; then
-        switch_to "$REPLY"
+        local existante="$REPLY"
+        switch_to "$existante"
         prendre "$n"
-        ok_t tk.cli.switched "$REPLY" "$n"
+        ok_t tk.cli.switched "$existante" "$n"
+        # Faite avant la validation : jamais recréée, son lien va sur le ticket
+        if ticket_note_unlinked_branch "$n" "$existante"; then
+            attention_t tk.cli.unlinked "$existante" "$n"
+        fi
         return 0
     fi
     json="$(gh issue view "$n" --json state,title,labels \
@@ -97,12 +104,18 @@ cmd_nouveau() {
             --type) shift; type="${1:?--type attend un type}" ;;
             --description) shift; description="${1:?--description attend un texte}" ;;
             --porcelain) porcelain=1 ;;
+            -h | --help) aide; exit 0 ;;
             -*) err_t install.unknown_arg "$1"; exit 1 ;;
             *) titre="$1" ;;
         esac
         shift
     done
     [ -n "$titre" ] || { err_t tk.cli.title_required; exit 1; }
+    # Étiquette « type: … » inexistante : gh refuserait de créer le ticket
+    if [ -n "$type" ] && tickets_managed && [[ " $TYPES_TICKET " != *" $type "* ]]; then
+        err_t tk.cli.bad_type "$type" "${TYPES_TICKET// /, }"
+        exit 1
+    fi
     gh_ready || exit 1
     if tickets_managed; then
         etiquettes+=(--label "$S_AVALIDER")
@@ -146,6 +159,8 @@ case "${1:-}" in
         ;;
     *)
         if [[ "$1" =~ ^#?[0-9]+$ ]]; then
+            # ticket <n> --help : l'aide, sans prendre le ticket
+            case "${2:-}" in -h | --help) aide; exit 0 ;; esac
             cmd_ticket "${1#\#}"
         else
             err_t install.unknown_arg "$1"

package/bin/tickets

@@ -3,7 +3,7 @@
 #   repowarden tickets init [--repo propriétaire/nom] [--sans-validation-auto]
 #   repowarden tickets sync   branches locales des tickets qui me sont assignés
 #                             (automatique si réglage ticketSync = auto ; défaut manual)
-#   - étiquettes : « validé », les statuts (à valider, backlog, en cours,
+#   - étiquettes : « validé », « à décider » (suspend la validation d'office), les statuts (à valider, backlog, en cours,
 #     en relecture, préprod, done) et les types (type: feat, type: fix…), qui
 #     donnent le préfixe de la branche du ticket ;
 #   - modèle de ticket .github/ISSUE_TEMPLATE/ticket.yml (créé « à valider ») ;
@@ -60,6 +60,7 @@ while IFS='|' read -r nom couleur description; do
 done <<'ETIQUETTES'
 validé|0e8a16|Ticket accepté par un mainteneur (débloque ses PR)
 statut: à valider|fbca04|Ticket créé, en attente de validation
+à décider|d4c5f9|Proposé : pas de validation d'office, un mainteneur décide
 statut: backlog|c5def5|Validé, pas encore commencé
 statut: en cours|1d76db|Travail commencé (PR en brouillon)
 statut: en relecture|5319e7|PR prête, en relecture

package/ci/tickets/adopter.sh

@@ -6,7 +6,7 @@
 
 # Mise en route sur un dépôt existant (tickets init, relançable) : tickets
 # ouverts sans statut rangés (validé ou ouvert par un mainteneur → backlog,
-# sinon à valider) ; branches des PR ouvertes et mergées inscrites sur les
+# sinon, ou « à décider », à valider) ; branches des PR ouvertes et mergées inscrites sur les
 # tickets qu'elles citent. Aucune branche créée en masse : elle naît quand le
 # ticket est pris (repowarden ticket N).
 cmd_adopter() {
@@ -17,7 +17,8 @@ cmd_adopter() {
         ! grep -q '^statut: ' <<<"$labels" || continue
         if grep -qxF "$VALIDE" <<<"$labels"; then
             statut "$n" "$S_BACKLOG"
-        elif [ "${AUTO_VALIDATE:-maintainers}" = maintainers ] && est_mainteneur "$assoc"; then
+        elif [ "${AUTO_VALIDATE:-maintainers}" = maintainers ] && est_mainteneur "$assoc" \
+            && ! grep -qxF "$A_DECIDER" <<<"$labels"; then
             gh issue edit "$n" --add-label "$VALIDE" >/dev/null
             statut "$n" "$S_BACKLOG"
         else

package/ci/tickets/commun.sh

@@ -5,12 +5,16 @@
 # Chargé par ci/tickets.sh (après hooks/lib/common.sh et hooks/lib/tickets.sh).
 # shellcheck disable=SC2154 # statuts, réglages et compteurs définis dans les autres modules
 
+# Ligne de description lue comme référence de ticket (« Ticket : #12 », mot-clé
+# de fermeture) : partagée avec la PR brouillon, qui cite ces lignes reprises
+REF_TICKET_RE='^[[:space:]]*(Tickets?|Refs?|Closes|Fixes|Resolves)[[:space:]]*:?[[:space:]]*(.*)$'
+
 # REPLY = numéros de tickets (uniques) cités par la description $1 (« Ticket : #12 »,
 # « Tickets : #3, #4 », ou un mot-clé de fermeture) et la branche $2 (type/12-sujet)
 pr_tickets_r() {
     local body="$1" branch="$2" found="" n line
     while IFS= read -r line; do
-        if [[ "$line" =~ ^[[:space:]]*(Tickets?|Refs?|Closes|Fixes|Resolves)[[:space:]]*:?[[:space:]]*(.*)$ ]]; then
+        if [[ "$line" =~ $REF_TICKET_RE ]]; then
             for n in $(grep -oE '#[0-9]+' <<<"${BASH_REMATCH[2]}" | tr -d '#'); do
                 [[ " $found " == *" $n "* ]] || found="$found $n"
             done
@@ -53,10 +57,31 @@ statut() {
     gh issue edit "$n" --add-label "$s" ${retirer[@]+"${retirer[@]}"} >/dev/null
 }
 
+# Pied des commentaires du bot : l'avatar d'une App mène à une page 404 sur
+# GitHub (pas de profil), le pied dit d'où vient le bot. Repère invisible : un
+# texte déjà signé (repris, mis à jour) n'en reçoit pas un second.
+PIED="<!-- repowarden:pied -->"
+
+# REPLY = texte $1 terminé par le pied (page de l'App APP_SLUG, doc) ; sans
+# slug (jeton des Actions, github-actions[bot]) ou déjà signé, texte inchangé
+pied_r() {
+    REPLY="$1"
+    [ -n "${APP_SLUG:-}" ] && [[ "$REPLY" != *"$PIED"* ]] || return 0
+    _tr tk.footer "$APP_SLUG" "$APP_SLUG"
+    REPLY="$REPLY"$'\n\n'"$PIED<sub>$_T</sub>"
+}
+
+# Commentaire $2 du bot sur le ticket $1, avec son pied
+commenter() {
+    pied_r "$2"
+    gh issue comment "$1" --body "$REPLY" >/dev/null
+}
+
 # Ferme la PR $1 avec le commentaire $2 ; déjà fermée ou mergée entre-temps
 # (merge pendant le run) : rien à faire, pas un échec
 fermer_pr() {
-    gh pr close "$1" --comment "$2" >/dev/null 2>&1 && return 0
+    pied_r "$2"
+    gh pr close "$1" --comment "$REPLY" >/dev/null 2>&1 && return 0
     [ "$(gh pr view "$1" --json state -q .state 2>/dev/null)" != OPEN ]
 }
 

package/ci/tickets/issue.sh

@@ -7,17 +7,24 @@
 # Ticket $1 validé : backlog s'il attendait la validation, sa branche, et
 # vérification relancée sur les PR ouvertes qui l'attendaient
 accepter() {
-    local n="$1" pr head sha body base brouillon
-    if grep -qxF "$S_AVALIDER" <<<"$(etiquettes "$n")"; then
+    local n="$1" pr head sha body base brouillon labels
+    labels="$(etiquettes "$n")"
+    if grep -qxF "$S_AVALIDER" <<<"$labels"; then
         statut "$n" "$S_BACKLOG"
     fi
+    # Décision prise : « à décider » n'a plus lieu d'être
+    if grep -qxF "$A_DECIDER" <<<"$labels"; then
+        gh issue edit "$n" --remove-label "$A_DECIDER" >/dev/null
+    fi
     # La branche naît quand le ticket est pris (assigné) : un ticket validé
-    # pour plus tard n'a pas de branche qui vieillit en attendant
-    if [ -n "$(assignes "$n")" ]; then
+    # pour plus tard n'a pas de branche qui vieillit en attendant. Une branche
+    # déjà faite à son nom (avant la validation) est reprise, jamais recréée.
+    branche_du_ticket_r "$n"
+    if [ -n "$REPLY" ] || [ -n "$(assignes "$n")" ]; then
         creer_branche "$n"
     else
         _tr tk.validated_waiting "$n"
-        gh issue comment "$n" --body "$_T" >/dev/null
+        commenter "$n" "$_T"
     fi
     while IFS=$'\t' read -r pr head sha base brouillon; do
         [ -n "$pr" ] || continue
@@ -36,7 +43,8 @@ accepter() {
 # GitHub ne garde qu'un run en attente par groupe de concurrence, le run
 # « opened » peut être annulé par ceux des étiquettes posées à la création.
 # Non si déjà validé, ou (hors ouverture) rangé au-delà de « à valider »
-# (« validé » retiré à la main : décision respectée). Test seul : appelé dans un « if », où set -e
+# (« validé » retiré à la main : décision respectée), ou proposé à décider
+# (étiquette « à décider » : le mainteneur pose « validé »). Test seul : appelé dans un « if », où set -e
 # ne s'applique pas.
 a_valider_d_office() {
     local labels l
@@ -45,6 +53,7 @@ a_valider_d_office() {
     [ "${ISSUE_STATE:-open}" = open ] || return 1
     labels="$(etiquettes "$ISSUE")"
     ! grep -qxF "$VALIDE" <<<"$labels" || return 1
+    ! grep -qxF "$A_DECIDER" <<<"$labels" || return 1
     [ "$ACTION" != opened ] || return 0
     while IFS= read -r l; do
         [[ "$l" == "statut: "* && "$l" != "$S_AVALIDER" ]] && return 1
@@ -110,7 +119,7 @@ cmd_issue() {
                     gh issue reopen "$ISSUE" >/dev/null
                     statut "$ISSUE" "$S_PREPROD"
                     _tr tk.reopened "$fpr" "$fbase"
-                    gh issue comment "$ISSUE" --body "$_T" >/dev/null
+                    commenter "$ISSUE" "$_T"
                     notice "$_T"
                     return 0
                 fi

package/ci/tickets/pr.sh

@@ -50,7 +50,7 @@ cmd_pr() {
         for n in $tickets; do
             statut "$n" "$S_PREPROD"
             _tr tk.merged "$PR" "$BASE"
-            gh issue comment "$n" --body "$_T" >/dev/null
+            commenter "$n" "$_T"
         done
         return 0
     fi

package/ci/tickets/push.sh

@@ -90,15 +90,128 @@ criteres_coches_r() {
     REPLY="${sortie%$'\n'}"
 }
 
-# REPLY = description de la PR brouillon du ticket $1 (branche $2) : le ticket
-# (critères en cases à cocher), puis la liste des commits, puis « Ticket : #N »
+# Fin de chaque commentaire lu d'un bloc (séparateur ASCII) : un texte écrit à
+# la main ne le contient pas, les commentaires se découpent sans ambiguïté
+SEP_COMMENTAIRE=$'\x1e'
+
+# REPLY = commentaires de mainteneur du ticket $1, chacun suivi d'une ligne
+# SEP_COMMENTAIRE : comme la conception, seul un mainteneur alimente la PR
+commentaires_mainteneur_r() {
+    REPLY="$(gh issue view "$1" --json comments -q '.comments[]
+        | select(.authorAssociation == "OWNER" or .authorAssociation == "MEMBER" or .authorAssociation == "COLLABORATOR")
+        | .body + "\n\u001e"' 2>/dev/null || true)"
+}
+
+# $1 = ligne d'un commentaire → REPLY : titre décalé d'un niveau (rangé sous la
+# section du bot), ligne citée si pr_tickets_r la lirait : seul le pied compte
+ligne_reprise_r() {
+    REPLY="$1"
+    [[ ! "$REPLY" =~ ^#{1,5}[[:space:]] ]] || REPLY="#$REPLY"
+    [[ ! "$REPLY" =~ $REF_TICKET_RE ]] || REPLY="> $REPLY"
+}
+
+# $1 = texte → REPLY : sans ses lignes vides finales
+sans_fin_vide_r() {
+    REPLY="$1"
+    while [[ "$REPLY" == *$'\n' ]]; do REPLY="${REPLY%$'\n'}"; done
+}
+
+# Première ligne d'un commentaire d'ajout : titre ou gras « Ajout… », « Constat lié… »
+AJOUT_RE='^(#{1,6}[[:space:]]+|\*\*)?([Aa]jouts?|[Cc]onstats?[[:space:]]+li(é|e)s?)([[:space:]:*(.,-]|$)'
+
+# $1 = commentaires (commentaires_mainteneur_r) → REPLY : ceux dont la première
+# ligne est un titre ou un gras « Ajout » / « Constat lié », dans l'ordre :
+# les ajouts faits au ticket après coup, que le corps du ticket n'a pas
+ajouts_ticket_r() {
+    local ligne bloc="" premiere="" sortie=""
+    while IFS= read -r ligne; do
+        ligne="${ligne%$'\r'}"
+        if [ "$ligne" = "$SEP_COMMENTAIRE" ]; then
+            if [[ "$premiere" =~ $AJOUT_RE ]]; then
+                sans_fin_vide_r "$bloc"
+                sortie="$sortie${sortie:+$'\n\n'}$REPLY"
+            fi
+            bloc="" premiere=""
+            continue
+        fi
+        if [ -z "$premiere" ]; then
+            [ -n "${ligne//[[:space:]]/}" ] || continue
+            premiere="$ligne"
+        fi
+        ligne_reprise_r "$ligne"
+        bloc="$bloc$REPLY"$'\n'
+    done <<<"$1"$'\n'"$SEP_COMMENTAIRE"
+    REPLY="$sortie"
+}
+
+# $1 = commentaires → REPLY : du dernier « Conception retenue », les blocs « Ce
+# qui change » et « Hors périmètre » (titre ou gras, jusqu'au libellé suivant) :
+# le périmètre sans les détails (fichiers, tests) que montre déjà le diff
+resume_conception_r() {
+    local ligne bloc="" dernier="" garder=0 conception=0
+    while IFS= read -r ligne; do
+        ligne="${ligne%$'\r'}"
+        if [ "$ligne" = "$SEP_COMMENTAIRE" ]; then
+            [ "$conception" = 0 ] || dernier="$bloc"
+            bloc="" garder=0 conception=0
+            continue
+        fi
+        if [[ "$ligne" =~ ^(#{1,6}[[:space:]]|\*\*) ]]; then
+            garder=0
+            case "$ligne" in
+                *[Cc]onception\ retenue*) conception=1; continue ;;
+                *[Cc]e\ qui\ change* | *[Hh]ors\ p*) garder=1 ;;
+            esac
+        fi
+        [ "$garder" = 1 ] || continue
+        ligne_reprise_r "$ligne"
+        bloc="$bloc$REPLY"$'\n'
+    done <<<"$1"$'\n'"$SEP_COMMENTAIRE"
+    sans_fin_vide_r "$dernier"
+}
+
+# $1 = description actuelle de la PR → REPLY : sa dernière section « ## Réalisé »
+# (jusqu'au titre suivant ou au pied), écrite par l'auteur : reprise telle quelle
+section_realise_r() {
+    local ligne dedans=0 section=""
+    while IFS= read -r ligne; do
+        ligne="${ligne%$'\r'}"
+        if [[ "$ligne" =~ ^##[[:space:]]+R(é|e)alis(é|e) ]]; then
+            dedans=1 section="$ligne"$'\n'
+        elif [ "$dedans" = 1 ]; then
+            if [[ "$ligne" =~ ^#{1,2}[[:space:]] || "$ligne" == "Ticket : #"* ]]; then
+                dedans=0
+            else
+                section="$section$ligne"$'\n'
+            fi
+        fi
+    done <<<"$1"
+    sans_fin_vide_r "$section"
+}
+
+# REPLY = description de la PR brouillon du ticket $1 (branche $2, PR $3 si
+# elle existe) : le ticket (critères en cases à cocher), ses ajouts en
+# commentaire, le résumé de sa conception, les commits, la section « Réalisé »
+# de l'auteur gardée, puis « Ticket : #N ». Le bot ne régénère que ses sections.
 description_pr_brouillon_r() {
-    local n="$1" branche="$2" corps commits
+    local n="$1" branche="$2" pr="${3:-}" corps commits commentaires
     criteres_coches_r "$(gh issue view "$n" --json body -q .body)"
     corps="$REPLY"
+    commentaires_mainteneur_r "$n"
+    commentaires="$REPLY"
+    ajouts_ticket_r "$commentaires"
+    _tr tk.pr_additions
+    [ -z "$REPLY" ] || corps="$corps"$'\n\n## '"$_T"$'\n'"$REPLY"
+    resume_conception_r "$commentaires"
+    _tr tk.pr_design
+    [ -z "$REPLY" ] || corps="$corps"$'\n\n## '"$_T"$'\n'"$REPLY"
     commits="$(gh api "repos/$GH_REPO/compare/$INTEGRATION...$branche" \
         -q '.commits[] | "- \(.sha[0:7]) \(.commit.message | split("\n")[0])"' 2>/dev/null || true)"
     [ -z "$commits" ] || corps="$corps"$'\n\n## Commits\n'"$commits"
+    if [ -n "$pr" ]; then
+        section_realise_r "$(gh pr view "$pr" --json body -q .body 2>/dev/null || true)"
+        [ -z "$REPLY" ] || corps="$corps"$'\n\n'"$REPLY"
+    fi
     REPLY="$corps"$'\n\nTicket : #'"$n"
 }
 
@@ -124,7 +237,7 @@ cmd_push() {
     [ "$(gh api "repos/$GH_REPO/compare/$INTEGRATION...$PUSH_BRANCH" -q .ahead_by)" != 0 ] || return 0
     titre_pr_brouillon_r "$n" "$PUSH_BRANCH"
     titre="$REPLY"
-    description_pr_brouillon_r "$n" "$PUSH_BRANCH"
+    description_pr_brouillon_r "$n" "$PUSH_BRANCH" "$pr"
     corps="$REPLY"
     if [ -n "$pr" ]; then
         gh pr edit "$pr" --title "$titre" --body "$corps" >/dev/null