repowarden 4.11.1-next.2 → 4.12.0-next.2

package/bin/garde

@@ -246,10 +246,89 @@ verifier_git() {
     ) || exit $?
 }
 
+# Vrai si le ticket $1 (dépôt -R $2, sinon le dépôt courant) est ouvert et
+# validé : preuve qu'une écriture GitHub hors du circuit des PR a été décidée
+ticket_valide() {
+    local lu r=()
+    [ -z "$2" ] || r=(-R "$2")
+    lu="$(gh issue view "$1" ${r[@]+"${r[@]}"} --json state,labels -q '.state, .labels[].name' 2>/dev/null)" || return 2
+    [ -n "$lu" ] || return 2
+    [ "$(head -n 1 <<<"$lu")" = OPEN ] && grep -qxF "$VALIDE" <<<"$lu"
+}
+
+# Commande gh (mots $@, sans « gh ») lancée depuis $dir, préfixe
+# REPOWARDEN_TICKET=$ticket_gh : lectures connues permises, écritures du circuit
+# par repowarden, décisions au mainteneur, tout le reste avec un ticket validé
+verifier_gh() {
+    local ligne="gh $*" pos=() depot="" methode="" champs="" approuve="" mutation="" ecriture="" hors="" rc
+    while [ $# -gt 0 ]; do
+        case "$1" in
+            -R | --repo) shift; depot="${1:-}" ;;
+            --repo=*) depot="${1#--repo=}" ;;
+            -X | --method) shift; methode="${1:-}" ;;
+            -X?*) methode="${1#-X}" ;;
+            --method=*) methode="${1#--method=}" ;;
+            -f | -F | --field | --raw-field | --input | -f?* | -F?* | --field=* | --raw-field=* | --input=*) champs=1 ;;
+            -a | --approve) approuve=1 ;;
+            -h | --help) return 0 ;;
+            -*) ;;
+            *)
+                pos+=("$1")
+                [[ "$1" != *mutation* ]] || mutation=1
+                ;;
+        esac
+        shift
+    done
+    [ -n "${pos[0]:-}" ] || return 0
+    (
+        cd "$dir" 2>/dev/null || exit 0
+        depot_repowarden || exit 0
+        # gh api : écriture si méthode autre que GET, ou champs sans -X GET
+        # (POST par défaut) ; graphql : seulement une mutation
+        methode="$(tr '[:lower:]' '[:upper:]' <<<"$methode")"
+        if [ "${pos[1]:-}" = graphql ]; then
+            ecriture="$mutation"
+        elif [ -n "$methode" ]; then
+            [ "$methode" = GET ] || ecriture=1
+        else
+            ecriture="$champs"
+        fi
+        case "${pos[0]} ${pos[1]:-}" in
+            "issue create") refuser garde.gh_ticket_nouveau "$ligne" ;;
+            "issue comment" | "issue edit") refuser garde.gh_ticket_comment "$ligne" ;;
+            "pr create") refuser garde.gh_pr_create "$ligne" ;;
+            "run rerun") refuser garde.gh_rerun "$ligne" ;;
+            "pr ready" | "pr merge") refuser garde.gh_mainteneur "$ligne" ;;
+            "pr review") [ -z "$approuve" ] || refuser garde.gh_mainteneur "$ligne"; hors=1 ;;
+            "api "*)
+                [ -n "$ecriture" ] || exit 0
+                [[ "${pos[1]:-}" != *pending_deployments* ]] || refuser garde.gh_mainteneur "$ligne"
+                hors=1
+                ;;
+            # Lectures connues et description de la PR : permises ; tout le
+            # reste (sous-commande oubliée ou future comprise) demande un ticket
+            "auth status" | "pr edit" | "search "* | "browse "* | "status "* | "version "* | "help "*) exit 0 ;;
+            *)
+                case "${pos[1]:-}" in view | list | status | checks | diff | watch) exit 0 ;; esac
+                hors=1
+                ;;
+        esac
+        [ -n "$hors" ] || exit 0
+        [ -n "$ticket_gh" ] || refuser garde.gh_sans_ticket "$ligne" "$ligne"
+        [[ "$ticket_gh" =~ ^[0-9]+$ ]] || refuser garde.gh_ticket_illisible "$ligne" "$ticket_gh"
+        rc=0
+        ticket_valide "$ticket_gh" "$depot" || rc=$?
+        [ "$rc" -ne 2 ] || refuser garde.gh_ticket_illisible "$ligne" "$ticket_gh"
+        [ "$rc" -eq 0 ] || refuser garde.gh_ticket_non_valide "$ligne" "$ticket_gh" "$VALIDE"
+        exit 0
+    ) || exit $?
+}
+
 # Ligne de commande shell : chaque commande (&&, ||, ;, |, retour à la ligne),
-# « cd » suivi, variables d'environnement en tête ignorées
+# « cd » suivi, variables d'environnement en tête ignorées (sauf
+# REPOWARDEN_TICKET, le ticket d'une écriture gh hors du circuit des PR)
 verifier_shell() {
-    local commande="$1" segment mots m cmd_cc nl=$'\n' lignes
+    local commande="$1" segment mots m cmd_cc nl=$'\n' lignes ticket_gh
     dir="$cwd"
     # Une commande par ligne. Découpage hors de <( … ) : bash 3.2 (macOS) y
     # lit mal ces motifs (« bad substitution ») et ne vérifierait plus rien
@@ -264,8 +343,10 @@ verifier_shell() {
         # shellcheck disable=SC2162 # les antislashs restent tels quels, comme dans la commande
         read -a mots <<<"$segment" || true
         set -- ${mots[@]+"${mots[@]}"}
+        ticket_gh=""
         while [ $# -gt 0 ]; do
             case "$1" in
+                REPOWARDEN_TICKET=*) m="${1#REPOWARDEN_TICKET=}"; ticket_gh="${m//[\"\']/}"; shift ;;
                 [A-Za-z_]*=* | '(' | '{' | '!' | command | exec | env | sudo | time | nohup) shift ;;
                 *) break ;;
             esac
@@ -285,6 +366,10 @@ verifier_shell() {
                 shift
                 verifier_git "${@//[\"\']/}"
                 ;;
+            gh | */gh)
+                shift
+                verifier_gh "${@//[\"\']/}"
+                ;;
             repowarden | */repowarden)
                 case "${2//[\"\']/}" in
                     cc | commit)

package/bin/statut

@@ -11,6 +11,8 @@ ROOT="$(cd "$(dirname "${BASH_SOURCE[0]}")/.." && pwd -P)"
 source "$ROOT/hooks/lib/common.sh"
 # shellcheck source=../hooks/lib/secrets.sh
 source "$ROOT/hooks/lib/secrets.sh"
+# shellcheck source=../hooks/lib/agents.sh
+source "$ROOT/hooks/lib/agents.sh"
 exec 2>&1 # une seule sortie, dans l'ordre (avertissements compris)
 # shellcheck disable=SC2034 # lu par check_version (common.sh)
 HOOKS_DIR="$ROOT/hooks"
@@ -140,6 +142,15 @@ if [ -n "$GIT_TOPLEVEL" ]; then
     [ "$FORGE" != github ] || dim_t st.repo_rules
 fi
 
+# Agent IA sans garde-fou : ses actions ne seraient vérifiées qu'au commit.
+# Branché dans le dépôt (à versionner), ou pour l'utilisateur hors dépôt
+if agents_sans_garde "$GIT_TOPLEVEL"; then
+    cmd_agents="repowarden agents init"
+    [ -n "$GIT_TOPLEVEL" ] || cmd_agents="repowarden agents init --global"
+    attention_t st.agents_sans_garde "$cmd_agents"
+    suivant="${suivant:-$cmd_agents}"
+fi
+
 # Outils : secrets, code mort (selon les langages)
 presents="" absents=""
 for outil in gitleaks ruff vulture staticcheck pmd; do

package/ci/tickets/commun.sh

@@ -62,13 +62,14 @@ statut() {
 # texte déjà signé (repris, mis à jour) n'en reçoit pas un second.
 PIED="<!-- repowarden:pied -->"
 
-# REPLY = texte $1 terminé par le pied (page de l'App APP_SLUG, doc) ; sans
-# slug (jeton des Actions, github-actions[bot]) ou déjà signé, texte inchangé
+# REPLY = texte $1 terminé par le pied (---, puis une phrase en Markdown
+# normal : <sub> affiche les liens en brut) ; sans slug (jeton des Actions,
+# github-actions[bot]) ou déjà signé, texte inchangé
 pied_r() {
     REPLY="$1"
     [ -n "${APP_SLUG:-}" ] && [[ "$REPLY" != *"$PIED"* ]] || return 0
-    _tr tk.footer "$APP_SLUG" "$APP_SLUG"
-    REPLY="$REPLY"$'\n\n'"$PIED<sub>$_T</sub>"
+    _tr tk.footer "$APP_SLUG"
+    REPLY="$REPLY"$'\n\n---\n\n'"$PIED$_T"
 }
 
 # Commentaire $2 du bot sur le ticket $1, avec son pied

package/hooks/lib/agents.sh

@@ -0,0 +1,20 @@
+#!/usr/bin/env bash
+# Agents IA du poste et garde-fou repowarden (repowarden statut, install.sh).
+# Compatible bash 3.2.
+
+# Vrai si Claude Code ou opencode est sur ce poste (commande, ou dossier de
+# configuration) sans garde-fou branché, ni dans le dépôt $1 (racine, vide hors
+# dépôt) ni pour l'utilisateur : ses actions ne seraient vues qu'au commit
+agents_sans_garde() {
+    local claude_dir opencode_dir f fichiers=()
+    claude_dir="${CLAUDE_CONFIG_DIR:-$HOME/.claude}"
+    opencode_dir="${OPENCODE_CONFIG_DIR:-${XDG_CONFIG_HOME:-$HOME/.config}/opencode}"
+    command -v claude >/dev/null 2>&1 || command -v opencode >/dev/null 2>&1 ||
+        [ -d "$claude_dir" ] || [ -d "$opencode_dir" ] || return 1
+    [ -z "${1:-}" ] || fichiers=("$1/.claude/settings.json" "$1/.opencode/plugins/repowarden-garde.js")
+    fichiers+=("$claude_dir/settings.json" "$opencode_dir/plugins/repowarden-garde.js")
+    for f in "${fichiers[@]}"; do
+        ! grep -qs "repowarden garde" "$f" || return 1
+    done
+    return 0
+}

package/hooks/lib/i18n/en.sh

@@ -104,6 +104,8 @@ _msg_en() {
         install.purge_needs_uninstall) _M="--purge and --scan go with --uninstall." ;;
         install.replaced) _M="core.hooksPath (%s) was '%s', replaced." ;;
         install.enabled) _M="Hooks enabled (%s) → %s" ;;
+        install.agents_ask) _M="AI agent without the guard (Claude Code, opencode). Wire the guard (%s)?" ;;
+        install.agents_later) _M="AI agent without the guard (Claude Code, opencode): wire it with %s" ;;
         install.local_wins) _M="A local core.hooksPath (e.g. husky) still takes precedence in that repository." ;;
         install.bots_never) _M="Repository bots will no longer be offered (repowarden.bots = off); on demand: repowarden bots" ;;
         install.lang_set) _M="Message language: English (change: %s --global --lang fr)" ;;
@@ -509,6 +511,7 @@ _msg_en() {
         st.wf_old) _M="%s:%s: repowarden called in an outdated major version (@%s); expected: %s" ;;
         st.wf_fix) _M="fix the uses: lines reported above" ;;
         st.tools) _M="Tools present: %s · missing: %s (depending on the projects' languages)" ;;
+        st.agents_sans_garde) _M="AI agent without the guard (Claude Code, opencode): its actions are only checked at commit time. → %s" ;;
         st.next) _M="Next step:" ;;
         st.ready) _M="All set: git cc to commit, repowarden code-mort on a branch." ;;
         st.help) _M="Every command: repowarden --help" ;;
@@ -680,7 +683,7 @@ _msg_en() {
         tk.init_next_wired) _M="Next: commit these files; require the \"ticket\" check (repowarden proteger --checks \"…,ticket\"). The tickets job of release.yml is already wired." ;;
         tk.prerelease) _M="Available in pre-release **%s**: to be tested before production." ;;
         tk.released) _M="Released in **%s**." ;;
-        tk.footer) _M="Posted by this repository's GitHub App ([repowarden docs](https://simdevwarden.github.io/repowarden/en/industrialisation/#github-app-for-workflows)): [%s](https://github.com/apps/%s)" ;;
+        tk.footer) _M="Automated comment from [repowarden](https://github.com/apps/%s), this repository's ticket tracking. [Learn more](https://simdevwarden.github.io/repowarden/en/tickets/)" ;;
         tk.delivered) _M="Delivered to **%s**, without a new version (commit %s)." ;;
         # Ticket comment
         tk.comment.adding) _M="Adding comment to ticket #%s..." ;;
@@ -729,6 +732,14 @@ _msg_en() {
         garde.commit_protegee) _M="command refused: \"%s\"; \"%s\" is a protected branch, the commit would be refused there.\n  → Work on a ticket's branch: repowarden ticket <n>, then run it again." ;;
         garde.commit_protegee_libre) _M="command refused: \"%s\"; \"%s\" is a protected branch, the commit would be refused there.\n  → Create a work branch (your changes follow): git switch -c <type>/<topic>, then run it again." ;;
         garde.ligne_entiere) _M="  Nothing on this line was run, not even the other commands: run them separately." ;;
+        garde.gh_ticket_nouveau) _M="command refused: \"%s\"; tickets are created through repowarden (status, type, validation).\n  → repowarden ticket nouveau \"<title>\" [--type fix] [--description \"…\"]" ;;
+        garde.gh_ticket_comment) _M="command refused: \"%s\"; tickets are commented on and labelled through repowarden.\n  → repowarden ticket comment <n> \"<text>\"; repowarden ticket label <n> <label> [--remove]" ;;
+        garde.gh_pr_create) _M="command refused: \"%s\"; the draft PR is opened by the bot on the first push of the ticket's branch.\n  → git push -u origin HEAD" ;;
+        garde.gh_rerun) _M="command refused: \"%s\"; workflows are re-run through repowarden.\n  → repowarden run rerun <run-id|--failed>" ;;
+        garde.gh_mainteneur) _M="command refused: \"%s\"; this is the maintainer's decision (leaving draft, merge, approval, deployment).\n  → Say the PR is ready (CI green) and let the maintainer decide." ;;
+        garde.gh_sans_ticket) _M="command refused: \"%s\" changes GitHub outside the PR flow, without a ticket.\n  → Create the ticket (repowarden ticket nouveau), get it validated, then run again: REPOWARDEN_TICKET=<n> %s" ;;
+        garde.gh_ticket_illisible) _M="command refused: \"%s\"; ticket #%s unreadable (gh issue view): a write without proof of a ticket.\n  → Check the number and gh auth status, then run again: REPOWARDEN_TICKET=<n> gh …" ;;
+        garde.gh_ticket_non_valide) _M="command refused: \"%s\"; ticket #%s is not open and validated (label \"%s\").\n  → Get the ticket validated by the maintainer, then run again." ;;
         agents.added) _M="%s: guard added (%s)." ;;
         agents.present) _M="%s: guard already in place (%s)." ;;
         agents.kept) _M="%s: %s exists and differs from the template; kept as is (template: %s)." ;;

package/hooks/lib/i18n/fr.sh

@@ -104,6 +104,8 @@ _msg_fr() {
         install.purge_needs_uninstall) _M="--purge et --scan s'utilisent avec --uninstall." ;;
         install.replaced) _M="core.hooksPath (%s) valait '%s', remplacé." ;;
         install.enabled) _M="Hooks activés (%s) → %s" ;;
+        install.agents_ask) _M="Agent IA sans garde-fou (Claude Code, opencode). Brancher le garde-fou (%s) ?" ;;
+        install.agents_later) _M="Agent IA sans garde-fou (Claude Code, opencode) : le brancher avec %s" ;;
         install.local_wins) _M="Un core.hooksPath local (ex. husky) reste prioritaire dans le dépôt concerné." ;;
         install.bots_never) _M="Les bots du dépôt ne seront plus proposés (repowarden.bots = off) ; à la demande : repowarden bots" ;;
         install.lang_set) _M="Langue des messages : français (changer : %s --global --lang en)" ;;
@@ -510,6 +512,7 @@ _msg_fr() {
         st.wf_old) _M="%s:%s : repowarden appelé dans une majeure dépassée (@%s) ; attendu : %s" ;;
         st.wf_fix) _M="corriger les lignes uses: signalées ci-dessus" ;;
         st.tools) _M="Outils présents : %s · absents : %s (selon les langages des projets)" ;;
+        st.agents_sans_garde) _M="Agent IA sans garde-fou (Claude Code, opencode) : ses actions ne sont vérifiées qu'au commit. → %s" ;;
         st.next) _M="Étape suivante :" ;;
         st.ready) _M="Tout est prêt : git cc pour commiter, repowarden code-mort sur une branche." ;;
         st.help) _M="Toutes les commandes : repowarden --help" ;;
@@ -681,7 +684,7 @@ _msg_fr() {
         tk.init_next_wired) _M="Ensuite : committer ces fichiers ; exiger la vérification « ticket » (repowarden proteger --checks \"…,ticket\"). Le job tickets de release.yml est déjà branché." ;;
         tk.prerelease) _M="Disponible en préversion **%s** : à tester avant la production." ;;
         tk.released) _M="Publié dans **%s**." ;;
-        tk.footer) _M="Message de l'App GitHub de ce dépôt ([doc repowarden](https://simdevwarden.github.io/repowarden/industrialisation/#github-app-des-workflows)) : [%s](https://github.com/apps/%s)" ;;
+        tk.footer) _M="Commentaire automatique de [repowarden](https://github.com/apps/%s), le suivi des tickets de ce dépôt. [En savoir plus](https://simdevwarden.github.io/repowarden/tickets/)" ;;
         tk.delivered) _M="Livré sur **%s**, sans nouvelle version (commit %s)." ;;
         # Ticket comment
         tk.comment.adding) _M="Ajout d'un commentaire sur le ticket #%s..." ;;
@@ -730,6 +733,14 @@ _msg_fr() {
         garde.commit_protegee) _M="commande refusée : « %s » ; « %s » est une branche protégée, le commit y serait refusé.\n  → Travailler sur la branche d'un ticket : repowarden ticket <n>, puis relancer." ;;
         garde.commit_protegee_libre) _M="commande refusée : « %s » ; « %s » est une branche protégée, le commit y serait refusé.\n  → Créer une branche de travail (les modifications suivent) : git switch -c <type>/<sujet>, puis relancer." ;;
         garde.ligne_entiere) _M="  Rien de cette ligne n'a été lancé, pas même les autres commandes : les relancer à part." ;;
+        garde.gh_ticket_nouveau) _M="commande refusée : « %s » ; un ticket se crée par repowarden (statut, type, validation).\n  → repowarden ticket nouveau \"<titre>\" [--type fix] [--description \"…\"]" ;;
+        garde.gh_ticket_comment) _M="commande refusée : « %s » ; un ticket se commente et s'étiquette par repowarden.\n  → repowarden ticket comment <n> \"<texte>\" ; repowarden ticket label <n> <label> [--remove]" ;;
+        garde.gh_pr_create) _M="commande refusée : « %s » ; la PR brouillon est ouverte par le bot au premier push de la branche du ticket.\n  → git push -u origin HEAD" ;;
+        garde.gh_rerun) _M="commande refusée : « %s » ; un workflow se relance par repowarden.\n  → repowarden run rerun <run-id|--failed>" ;;
+        garde.gh_mainteneur) _M="commande refusée : « %s » ; c'est une décision du mainteneur (sortie du brouillon, merge, approbation, déploiement).\n  → Annoncer que la PR est prête (CI verte) et laisser le mainteneur décider." ;;
+        garde.gh_sans_ticket) _M="commande refusée : « %s » modifie GitHub hors du circuit des PR, sans ticket.\n  → Créer le ticket (repowarden ticket nouveau), le faire valider, puis relancer : REPOWARDEN_TICKET=<n> %s" ;;
+        garde.gh_ticket_illisible) _M="commande refusée : « %s » ; ticket #%s illisible (gh issue view) : écriture sans preuve de ticket.\n  → Vérifier le numéro et gh auth status, puis relancer : REPOWARDEN_TICKET=<n> gh …" ;;
+        garde.gh_ticket_non_valide) _M="commande refusée : « %s » ; le ticket #%s n'est pas ouvert et validé (étiquette « %s »).\n  → Faire valider le ticket par le mainteneur, puis relancer." ;;
         agents.added) _M="%s : garde-fou ajouté (%s)." ;;
         agents.present) _M="%s : garde-fou déjà en place (%s)." ;;
         agents.kept) _M="%s : %s existe et diffère du modèle ; gardé tel quel (modèle : %s)." ;;

package/install.sh

@@ -20,6 +20,8 @@ HOOKS="$ROOT/hooks"
 source "$HOOKS/lib/ui.sh"
 # shellcheck source=hooks/lib/i18n.sh
 source "$HOOKS/lib/i18n.sh"
+# shellcheck source=hooks/lib/agents.sh
+source "$HOOKS/lib/agents.sh"
 SCOPE="--local"
 ACTION="install"
 PURGE=""
@@ -251,6 +253,29 @@ if [ "$SCOPE" = --global ]; then
     info "$REPLY"
 fi
 
+# Agent IA sans garde-fou (Claude Code, opencode) : branchement proposé dans un
+# terminal, jamais fait sans accord ; sinon, la commande sur une ligne
+RACINE="$(git rev-parse --show-toplevel 2>/dev/null || true)"
+if agents_sans_garde "$RACINE"; then
+    AGENTS_PORTEE=--projet
+    [ "$SCOPE" = --local ] || AGENTS_PORTEE=--global
+    CMD_AGENTS="repowarden agents init"
+    [ "$AGENTS_PORTEE" = --projet ] || CMD_AGENTS="$CMD_AGENTS --global"
+    REPONSE=n
+    if [ -t 0 ] || [ -n "${REPOWARDEN_INTERACTIF:-}" ]; then
+        t install.agents_ask "$CMD_AGENTS"
+        printf '%s [O/n] ' "$REPLY" >&2
+        IFS= read -r REPONSE || REPONSE=n
+        case "$REPONSE" in "" | [oOyY]*) REPONSE=o ;; esac
+    fi
+    if [ "$REPONSE" = o ]; then
+        bash "$ROOT/bin/agents" init "$AGENTS_PORTEE" || true
+    else
+        t install.agents_later "$CMD_AGENTS"
+        info "$REPLY"
+    fi
+fi
+
 # Bots du dépôt GitHub courant (CI, releases, tickets, protection…) : proposés,
 # jamais configurés sans accord ; --sans-bots : plus jamais proposés
 case "$BOTS" in

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "repowarden",
-  "version": "4.11.1-next.2",
+  "version": "4.12.0-next.2",
   "description": "Hooks git et CI multi-langages : messages de commit, nommage des branches, secrets, formatage, tests ciblés, code mort, releases.",
   "keywords": [
     "git-hooks",