repowarden 4.13.0-next.7 → 4.13.1

package/bin/agents

@@ -2,15 +2,15 @@
 # Branche le garde-fou repowarden (repowarden garde) dans les agents IA :
 #   repowarden agents init    [--claude] [--opencode] [--projet | --global]
 #   repowarden agents retirer [--claude] [--opencode] [--projet | --global]
-#     Claude Code  hook PreToolUse dans .claude/settings.json
+#     Claude Code  hook PreToolUse dans .claude/settings.json + skill repowarden
 #     opencode     plugins .opencode/plugins/repowarden-garde.js (opencode 1.x)
-#                  et repowarden-garde-v2.js (opencode 2.x)
+#                  et repowarden-garde-v2.js (opencode 2.x) + skill repowarden
 # Sans --claude ni --opencode : les deux. --projet (défaut) : fichiers du dépôt,
 # à versionner ; --global : configuration de l'utilisateur, là où chaque outil
 # la lit (CLAUDE_CONFIG_DIR ; OPENCODE_CONFIG_DIR, sinon XDG_CONFIG_HOME).
-# Relançable : fichiers existants complétés ; un garde-fou posé par une version
-# antérieure de repowarden est mis à jour, un fichier personnel jamais écrasé ;
-# retirer n'enlève que ce qu'init a écrit.
+# Relançable : fichiers existants complétés ; un garde-fou ou une skill posés
+# par une version antérieure de repowarden sont mis à jour, un fichier
+# personnel jamais écrasé ; retirer n'enlève que ce qu'init a écrit.
 set -euo pipefail
 
 ROOT="$(cd "$(dirname "${BASH_SOURCE[0]}")/.." && pwd -P)"
@@ -23,6 +23,7 @@ aide() { _tr help.agents; printf '%b\n' "$_T"; }
 
 COMMANDE_CLAUDE="$AGENTS_COMMANDE_CLAUDE"
 MATCHER_CLAUDE="$AGENTS_MATCHER_CLAUDE"
+MODELE_SKILL="$(agents_modele_skill)"
 
 action=""
 case "${1:-}" in
@@ -51,12 +52,16 @@ if [ "$portee" = projet ]; then
     base="$GIT_TOPLEVEL"
     fichier_claude="$base/.claude/settings.json"
     dossier_opencode="$base/.opencode/plugins"
+    fichier_skill_claude="$base/.claude/skills/repowarden/SKILL.md"
+    fichier_skill_opencode="$base/.opencode/skills/repowarden/SKILL.md"
 else
     # Réglages utilisateur de Claude Code : $CLAUDE_CONFIG_DIR s'il est défini
     # (code.claude.com/docs/en/settings) ; plugins globaux d'opencode :
     # $OPENCODE_CONFIG_DIR, sinon $XDG_CONFIG_HOME/opencode (opencode.ai/docs/config)
     fichier_claude="${CLAUDE_CONFIG_DIR:-$HOME/.claude}/settings.json"
     dossier_opencode="${OPENCODE_CONFIG_DIR:-${XDG_CONFIG_HOME:-$HOME/.config}/opencode}/plugins"
+    fichier_skill_claude="${CLAUDE_CONFIG_DIR:-$HOME/.claude}/skills/repowarden/SKILL.md"
+    fichier_skill_opencode="${OPENCODE_CONFIG_DIR:-${XDG_CONFIG_HOME:-$HOME/.config}/opencode}/skills/repowarden/SKILL.md"
 fi
 
 ecrits=()
@@ -122,6 +127,28 @@ init_opencode() {
     done
 }
 
+# Skill repowarden de l'agent $2 au fichier $1, posée selon la langue :
+# remplacée si posée par repowarden et périmée, gardée si personnalisée
+poser_skill() {
+    local f="$1" nom="$2"
+    if [ -f "$f" ]; then
+        if cmp -s "$f" "$MODELE_SKILL"; then
+            ok_t agents.skill_present "$nom" "$f"
+        elif agents_skill_repowarden "$f"; then
+            cp "$MODELE_SKILL" "$f"
+            ecrits+=("$f")
+            ok_t agents.skill_updated "$nom" "$f"
+        else
+            attention_t agents.skill_kept "$nom" "$f" "$MODELE_SKILL"
+        fi
+        return 0
+    fi
+    mkdir -p "$(dirname "$f")"
+    cp "$MODELE_SKILL" "$f"
+    ecrits+=("$f")
+    ok_t agents.skill_added "$nom" "$f"
+}
+
 # Hook PreToolUse : seules les commandes « repowarden garde » retirées ; une
 # entrée vidée disparaît, et le fichier s'il ne reste plus rien
 retirer_claude() {
@@ -164,14 +191,47 @@ retirer_opencode() {
     done
 }
 
+# Skill repowarden : retirée si identique au modèle de la langue ; sinon
+# gardée et signalée (peut être modifiée ou dans une autre langue)
+retirer_skill_claude() {
+    local f="$fichier_skill_claude" nom="Claude Code"
+    if [ ! -f "$f" ]; then
+        ok_t agents.skill_absent "$nom" "$f"
+    elif cmp -s "$f" "$MODELE_SKILL"; then
+        rm -f "$f"
+        rmdir "$(dirname "$f")" 2>/dev/null || true
+        ok_t agents.skill_removed "$nom" "$f"
+    else
+        attention_t agents.skill_kept_remove "$nom" "$f"
+    fi
+}
+
+# Skill repowarden pour opencode : même règle
+retirer_skill_opencode() {
+    local f="$fichier_skill_opencode" nom="opencode"
+    if [ ! -f "$f" ]; then
+        ok_t agents.skill_absent "$nom" "$f"
+    elif cmp -s "$f" "$MODELE_SKILL"; then
+        rm -f "$f"
+        rmdir "$(dirname "$f")" 2>/dev/null || true
+        ok_t agents.skill_removed "$nom" "$f"
+    else
+        attention_t agents.skill_kept_remove "$nom" "$f"
+    fi
+}
+
 statut=0
 if [ "$action" = retirer ]; then
     [ -z "$claude" ] || retirer_claude || statut=1
     [ -z "$opencode" ] || retirer_opencode || statut=1
+    [ -z "$claude" ] || retirer_skill_claude || statut=1
+    [ -z "$opencode" ] || retirer_skill_opencode || statut=1
     exit "$statut"
 fi
 [ -z "$claude" ] || init_claude || statut=1
 [ -z "$opencode" ] || init_opencode || statut=1
+[ -z "$claude" ] || poser_skill "$fichier_skill_claude" "Claude Code" || statut=1
+[ -z "$opencode" ] || poser_skill "$fichier_skill_opencode" "opencode" || statut=1
 
 has repowarden || attention_t agents.no_repowarden
 # Hooks repowarden inactifs : le garde-fou refusera les commits, autant le

package/bin/garde

@@ -133,8 +133,22 @@ protegee() {
     [ -n "$REPLY" ] && [ "$REPLY" = "$1" ]
 }
 
+# Vrai si le chemin $1 (absolu), dans le dépôt du dossier courant $2 (son
+# dossier existant le plus proche), est ignoré par git : jamais versionné.
+# Un fichier suivi n'est jamais ignoré (git check-ignore sans --no-index)
+fichier_ignore() {
+    local reste="${1#"$2"}" prefixe cdup
+    reste="${reste#/}"
+    [ -n "$reste" ] || return 1
+    # Relatif à la racine par --show-prefix/--show-cdup : ni lien symbolique
+    # (/tmp → /private/tmp) ni forme Windows (C:/… contre /c/…) à comparer
+    prefixe="$(git rev-parse --show-prefix 2>/dev/null)" || return 1
+    cdup="$(git rev-parse --show-cdup 2>/dev/null)" || return 1
+    git -C "./$cdup" check-ignore -q -- "$prefixe$reste" 2>/dev/null
+}
+
 # Modification du fichier $1 : seulement sur une branche de travail (de ticket,
-# si le dépôt suit ses tickets)
+# si le dépôt suit ses tickets) ; un fichier ignoré par git l'est partout
 verifier_fichier() {
     dossier_r "$1"
     # Sous Windows, jq finit le chemin lu par un CR (retiré) et le chemin peut
@@ -146,6 +160,8 @@ verifier_fichier() {
         depot_repowarden || exit 0
         # Fichiers internes de git (.git/…) : hors du travail de l'agent
         case "$(pwd -P)/" in "$(cd "$(git rev-parse --git-dir)" && pwd -P)"/*) exit 0 ;; esac
+        # Fichier ignoré par git : jamais versionné, règle de branche non applicable
+        ! fichier_ignore "$f" "$d" || exit 0
         if [ -f "$f" ]; then
             FICHIER_CARTE="$(cd "$(dirname "$f")" && pwd -P)/${f##*/}"
             FICHIER_CARTE="${FICHIER_CARTE#"$(cd "$(git rev-parse --show-toplevel)" && pwd -P)"/}"
@@ -267,11 +283,38 @@ ticket_valide() {
     [ "$(head -n 1 <<<"$lu")" = OPEN ] && grep -qxF "$VALIDE" <<<"$lu"
 }
 
+# Vrai si le texte $1 vise une étiquette de décision du mainteneur (validé,
+# statut: …, à décider), même encodée dans une URL (valid%C3%A9)
+etiquette_decision() {
+    local t
+    t="$(printf '%b' "${1//%/\\x}")"
+    [[ "$t" == *"$VALIDE"* || "$t" == *"statut:"* || "$t" == *"$A_DECIDER"* ]]
+}
+
+# Vrai si l'écriture gh api (méthode $1, chemin $2, mots $3, corps lu d'un
+# fichier si $4) pose, retire ou remplace les étiquettes de décision d'un
+# ticket : refusée même avec un ticket validé (#496). Dans le doute, refuser
+api_etiquettes_decision() {
+    local m="${1:-POST}" re_etiq='/issues/[0-9]+/labels(/|\?|$)' re_ticket='/issues/[0-9]+/?(\?|$)'
+    if [[ "/$2" =~ $re_etiq ]]; then
+        # PUT remplace l'ensemble, DELETE sans nom le vide : validé compris
+        [ "$m" != PUT ] || return 0
+        [ "$m" != DELETE ] || [[ "$2" == */labels/?* ]] || return 0
+        [ -z "$4" ] || return 0
+        etiquette_decision "$2 $3"
+    elif [[ "/$2" =~ $re_ticket ]]; then
+        # PATCH du ticket : un champ labels remplace l'ensemble
+        [ -n "$4" ] || [[ "$3" == *labels* ]]
+    else
+        return 1
+    fi
+}
+
 # Commande gh (mots $@, sans « gh ») lancée depuis $dir, préfixe
 # REPOWARDEN_TICKET=$ticket_gh : lectures connues permises, écritures du circuit
 # par repowarden, décisions au mainteneur, tout le reste avec un ticket validé
 verifier_gh() {
-    local ligne="gh $*" pos=() depot="" methode="" champs="" approuve="" mutation="" ecriture="" hors="" rc
+    local ligne="gh $*" mots="$*" pos=() depot="" methode="" champs="" corps="" approuve="" mutation="" ecriture="" hors="" rc
     while [ $# -gt 0 ]; do
         case "$1" in
             -R | --repo) shift; depot="${1:-}" ;;
@@ -279,7 +322,8 @@ verifier_gh() {
             -X | --method) shift; methode="${1:-}" ;;
             -X?*) methode="${1#-X}" ;;
             --method=*) methode="${1#--method=}" ;;
-            -f | -F | --field | --raw-field | --input | -f?* | -F?* | --field=* | --raw-field=* | --input=*) champs=1 ;;
+            --input | --input=*) champs=1 corps=1 ;;
+            -f | -F | --field | --raw-field | -f?* | -F?* | --field=* | --raw-field=*) champs=1 ;;
             -a | --approve) approuve=1 ;;
             -h | --help) return 0 ;;
             -*) ;;
@@ -314,6 +358,7 @@ verifier_gh() {
             "api "*)
                 [ -n "$ecriture" ] || exit 0
                 [[ "${pos[1]:-}" != *pending_deployments* ]] || refuser garde.gh_mainteneur "$ligne"
+                ! api_etiquettes_decision "$methode" "${pos[1]:-}" "$mots" "$corps" || refuser garde.etiquette_mainteneur "$ligne"
                 hors=1
                 ;;
             # Lectures connues et description de la PR : permises ; tout le
@@ -335,14 +380,93 @@ verifier_gh() {
     ) || exit $?
 }
 
-# Découpe $1 en une commande par ligne (REPLY) : seul le « & » d'une vraie
-# redirection (N>&M, >&2, >&-, &>, &>>, non échappée) reste dans la commande,
-# citée entière ; partout ailleurs il sépare. Dans le doute couper : au pire une
-# commande de trop, jamais une masquée (true \>&git push -f lance git).
+# repowarden ticket label <n> <label> [--remove] (mots $@ après « repowarden »),
+# lancé depuis $dir : poser ou retirer « validé » ou un statut valide le ticket,
+# décision du mainteneur refusée même avec REPOWARDEN_TICKET (incident #477)
+verifier_ticket_label() {
+    local ligne="repowarden $*" mot decision=""
+    case "$1" in
+        ticket) [ "${2:-}" = label ] || return 0; shift 2 ;;
+        *) shift ;;
+    esac
+    [ $# -ge 2 ] || return 0
+    lecture_seule "$@" && return 0
+    # Mots après le numéro : une étiquette entre guillemets y est découpée
+    # (« statut: en cours » → statut:), dans le doute refuser
+    shift
+    for mot in "$@"; do
+        etiquette_decision "$mot" && decision=1
+    done
+    # Étiquette de décision en plusieurs mots (« à décider »), découpée par read -a
+    etiquette_decision "$*" && decision=1
+    [ -n "$decision" ] || return 0
+    dossier_r "$dir"
+    (
+        cd "$REPLY" 2>/dev/null || exit 0
+        depot_repowarden || exit 0
+        refuser garde.ticket_mainteneur "$ligne"
+    ) || exit $?
+}
+
+# repowarden ticket nouveau/new (mots $@), depuis $dir : créer un ticket est
+# une décision du mainteneur, sauf agentsTickets ; --help reste permis (#496)
+verifier_ticket_nouveau() {
+    local ligne="repowarden $*"
+    [ "${1:-}" = ticket ] || return 0
+    case "${2:-}" in nouveau | new) ;; *) return 0 ;; esac
+    lecture_seule "$@" && return 0
+    dossier_r "$dir"
+    (
+        cd "$REPLY" 2>/dev/null || exit 0
+        depot_repowarden || exit 0
+        cfg_r agentsTickets false
+        [ "$REPLY" != true ] || exit 0
+        refuser garde.ticket_nouveau "$ligne"
+    ) || exit $?
+}
+
+# Découpe $1 en une commande par ligne (REPLY) : « ; », « | », « && », « || » et
+# le « & » séparateur coupent hors guillemets simples et doubles (antislash
+# compris) ; seul le « & » d'une vraie redirection (N>&M, >&2, >&-, &>, &>>, non
+# échappée) reste dans la commande, citée entière. Dans le doute couper : au pire
+# une commande de trop, jamais une masquée (true \>&git push -f lance git).
+# Entre guillemets le retour à la ligne devient une espace : le contenu exact
+# d'une chaîne n'importe pas pour juger la commande.
 decouper_lignes() {
-    local s="$1" out="" c i j prec avant nl=$'\n'
+    local s="$1" out="" c q="" i j prec avant nl=$'\n'
     for ((i = 0; i < ${#s}; i++)); do
         c="${s:i:1}"
+        if [ -n "$q" ]; then
+            if [ "$c" = "$nl" ]; then
+                out="$out "
+                continue
+            fi
+            out="$out$c"
+            if [ "$c" = "$q" ]; then
+                q=""
+            elif [ "$c" = "\\" ] && [ "$q" = '"' ]; then
+                i=$((i + 1))
+                out="$out${s:i:1}"
+            fi
+            continue
+        fi
+        case "$c" in
+            "'" | '"')
+                q="$c"
+                out="$out$c"
+                continue
+                ;;
+            "\\")
+                out="$out$c"
+                i=$((i + 1))
+                out="$out${s:i:1}"
+                continue
+                ;;
+            ";" | "|")
+                out="$out$nl"
+                continue
+                ;;
+        esac
         if [ "$c" != "&" ]; then
             out="$out$c"
             continue
@@ -378,28 +502,72 @@ decouper_lignes() {
     REPLY="$out"
 }
 
-# Ligne de commande shell : chaque commande (&&, ||, ;, |, retour à la ligne),
-# « cd » suivi, variables d'environnement en tête ignorées (sauf
-# REPOWARDEN_TICKET, le ticket d'une écriture gh hors du circuit des PR)
+# Découpe $1 en mots (MOTS) en respectant guillemets simples et doubles et
+# antislash, sans sous-processus ; guillemet non fermé : MOTS vide, code 1.
+decouper_mots() {
+    local s="$1" mot="" q="" c i n
+    MOTS=()
+    n=${#s}
+    for ((i = 0; i < n; i++)); do
+        c="${s:i:1}"
+        if [ -n "$q" ]; then
+            if [ "$c" = "$q" ]; then
+                q=""
+            elif [ "$c" = "\\" ] && [ "$q" = '"' ]; then
+                case "${s:i+1:1}" in
+                    '"' | "\\" | '$' | '`') i=$((i + 1)); mot="$mot${s:i:1}" ;;
+                    *) mot="$mot\\" ;;
+                esac
+            else
+                mot="$mot$c"
+            fi
+            continue
+        fi
+        case "$c" in
+            "'" | '"') q="$c" ;;
+            "\\")
+                i=$((i + 1))
+                mot="$mot${s:i:1}"
+                ;;
+            " " | $'\t')
+                [ -z "$mot" ] || { MOTS+=("$mot"); mot=""; }
+                ;;
+            *) mot="$mot$c" ;;
+        esac
+    done
+    if [ -n "$q" ]; then
+        MOTS=()
+        return 1
+    fi
+    [ -z "$mot" ] || MOTS+=("$mot")
+}
+
+# Ligne de commande shell : chaque commande (« ; », « | », « && », « || » et le
+# « & » séparateur, hors guillemets), « cd » suivi, variables d'environnement en
+# tête ignorées (sauf REPOWARDEN_TICKET, le ticket d'une écriture gh hors du
+# circuit des PR)
 verifier_shell() {
-    local commande="$1" segment mots m cmd_cc nl=$'\n' lignes ticket_gh
+    local commande="$1" segment m cmd_cc lignes ticket_gh
     dir="$cwd"
-    # Une commande par ligne. Découpage hors de <( … ) : bash 3.2 (macOS) y
-    # lit mal ces motifs (« bad substitution ») et ne vérifierait plus rien
-    lignes="${commande//&&/$nl}"
-    lignes="${lignes//||/$nl}"
-    lignes="${lignes//;/$nl}"
-    lignes="${lignes//|/$nl}"
-    # Un « & » de redirection (2>&1, >&2, &>log…) n'est pas un séparateur : la
-    # commande citée dans le refus et celle proposée restent entières
-    decouper_lignes "$lignes"
+    # Une commande par ligne, en un seul parcours caractère par caractère qui
+    # respecte les guillemets (pas de <( … ) : bash 3.2 le lit mal).
+    decouper_lignes "$commande"
     lignes="$REPLY"
     # Plusieurs commandes : un refus vaut pour toute la ligne (dit à l'agent)
     [ "$(grep -c '[^[:space:]]' <<<"$lignes")" -le 1 ] || LIGNE_MULTIPLE=1
     while IFS= read -r segment; do
-        # shellcheck disable=SC2162 # les antislashs restent tels quels, comme dans la commande
-        read -a mots <<<"$segment" || true
-        set -- ${mots[@]+"${mots[@]}"}
+        # Guillemet non fermé : commande illisible, refusée dans un dépôt
+        # repowarden (dans le doute, refuser) ; ailleurs, tout est permis
+        if ! decouper_mots "$segment"; then
+            dossier_r "$dir"
+            (
+                cd "$REPLY" 2>/dev/null || exit 0
+                depot_repowarden || exit 0
+                refuser garde.commande_illisible "$segment"
+            ) || exit $?
+            continue
+        fi
+        set -- ${MOTS[@]+"${MOTS[@]}"}
         ticket_gh=""
         while [ $# -gt 0 ]; do
             case "$1" in
@@ -409,7 +577,13 @@ verifier_shell() {
             esac
         done
         [ $# -gt 0 ] || continue
+        # Commande : dernier élément du chemin (/ ou \), sans .exe/.cmd/.bat
         m="${1//[\"\']/}"
+        m="${m##*/}"
+        m="${m##*\\}"
+        case "$m" in
+            *.exe | *.EXE | *.cmd | *.CMD | *.bat | *.BAT) m="${m%.*}" ;;
+        esac
         case "$m" in
             cd)
                 case "${2:-}" in
@@ -419,21 +593,28 @@ verifier_shell() {
                     *) dir="$dir/${2//[\"\']/}" ;;
                 esac
                 ;;
-            git | */git)
+            git)
                 shift
                 verifier_git "${@//[\"\']/}"
                 ;;
-            gh | */gh)
+            gh)
                 shift
                 verifier_gh "${@//[\"\']/}"
                 ;;
-            repowarden | */repowarden)
+            repowarden)
+                shift
+                verifier_ticket_nouveau "${@//[\"\']/}"
+                set -- repowarden "$@"
                 case "${2//[\"\']/}" in
                     cc | commit)
                         cmd_cc="repowarden ${2//[\"\']/}"
                         shift 2
                         lecture_seule "${@//[\"\']/}" || verifier_cc "$cmd_cc"
                         ;;
+                    ticket | ticket-label)
+                        shift
+                        verifier_ticket_label "${@//[\"\']/}"
+                        ;;
                 esac
                 ;;
         esac

package/bin/statut

@@ -177,11 +177,15 @@ if agents_sans_garde "$GIT_TOPLEVEL"; then
     attention_t st.agents_sans_garde "$cmd_agents"
     suivant="${suivant:-$cmd_agents}"
 fi
-# Garde-fou posé par une version antérieure de repowarden : init le met à jour
-while read -r portee _agent fichier; do
+# Garde-fou ou skill posés par une version antérieure de repowarden : init le met à jour
+while read -r portee agent fichier; do
     cmd_agents="repowarden agents init"
     [ "$portee" = projet ] || cmd_agents="$cmd_agents --global"
-    attention_t st.agents_stale "$fichier" "$cmd_agents"
+    if [ "$agent" = skill-claude ] || [ "$agent" = skill-opencode ]; then
+        attention_t st.agents_skill_stale "$fichier" "$cmd_agents"
+    else
+        attention_t st.agents_stale "$fichier" "$cmd_agents"
+    fi
     suivant="${suivant:-$cmd_agents}"
 done < <(agents_perimes "$GIT_TOPLEVEL")
 

package/ci/tickets/push.sh

@@ -267,6 +267,10 @@ description_pr_brouillon_r() {
     REPLY="$corps${corps:+$'\n\n'}Ticket : #$n"
 }
 
+# Numéro de la PR ouverte depuis la branche $1, vide sinon ; relu juste avant
+# la création pour ne jamais ouvrir deux PR pour une même branche
+pr_ouverte() { gh pr list --state open --head "$1" --json number -q '.[0].number // empty'; }
+
 # REPLY = compte à assigner à la PR brouillon du ticket $1 : l'auteur du push
 # s'il est une personne (GitHub refuse d'assigner un bot avec un jeton d'App),
 # sinon le premier assigné du ticket, sinon vide
@@ -296,7 +300,7 @@ cmd_push() {
     [ -n "$n" ] || return 0
     # Branche faite hors du ticket (à la main) : inscrite sur le ticket
     inscrire_branche "$n" "$PUSH_BRANCH"
-    pr="$(gh pr list --state open --head "$PUSH_BRANCH" --json number -q '.[0].number // empty')"
+    pr="$(pr_ouverte "$PUSH_BRANCH")"
     # PR existante : rien à faire si elle n'est plus en brouillon
     [ -z "$pr" ] || [ "$(gh pr view "$pr" --json isDraft -q .isDraft)" = true ] || return 0
     [ "$(gh api "repos/$GH_REPO/compare/$INTEGRATION...$PUSH_BRANCH" -q .ahead_by)" != 0 ] || return 0
@@ -309,6 +313,12 @@ cmd_push() {
         notice_t tk.draft_updated "$pr" "$n"
         return 0
     fi
+    # Deux push rapprochés : un autre run a pu ouvrir la PR entre-temps
+    pr="$(pr_ouverte "$PUSH_BRANCH")"
+    if [ -n "$pr" ]; then
+        notice_t tk.draft_exists "$pr" "$n"
+        return 0
+    fi
     url="$(gh pr create --draft --base "$INTEGRATION" --head "$PUSH_BRANCH" --title "$titre" \
         --body "$corps")"
     # assignation à part : un refus de GitHub ne doit pas faire échouer le suivi

package/hooks/agents/repowarden-garde-v2.js

@@ -4,7 +4,10 @@
 // absent ou en panne : rien n'est bloqué. opencode 1.x : repowarden-garde.js,
 // à côté (un module à export par défaut y passerait pour un plugin 2.x).
 // Plugins opencode 2.x : export par défaut { id, setup }, crochet
-// ctx.tool.hook("execute.before") (outils edit, write, shell…)
+// ctx.tool.hook("execute.before") (outils edit, write, shell…). opencode 1.19
+// lit tout export par défaut qui a un id comme un plugin à server() : sans
+// lui, « failed to load plugin » à chaque démarrage ; server() ne rend aucun
+// crochet, le garde-fou 1.x reste celui de repowarden-garde.js
 import { spawnSync } from "node:child_process"
 
 // Soumet l'appel d'outil à repowarden garde ; l'erreur levée par le crochet
@@ -25,4 +28,5 @@ export default {
     const dossier = ctx.location?.directory || process.cwd()
     return ctx.tool.hook("execute.before", (appel) => garde(appel.tool, appel.input, dossier))
   },
+  server: async () => ({}),
 }

package/hooks/agents/skill-repowarden.en.md

@@ -0,0 +1,41 @@
+---
+name: repowarden
+description: Repowarden skill for AI agents. Triggers on ticket, commit, branch, push, PR, CI, gh, forbidden action or guard refusal.
+---
+<!-- repowarden:skill installed by repowarden agents init; remove this line to customize it -->
+
+# Repowarden
+
+## Goal
+Follow the repowarden workflow in the repo: no change without a ticket, written design, `repowarden cc`, draft PR opened by the bot, release by the maintainer.
+
+## Workflow
+1. **Ticket before any change** (including GitHub settings). Without a ticket, stop and ask for one: an agent only creates a ticket (`repowarden ticket nouveau "<title>"`) when asked to, and never validates one.
+2. **Design**: write a "Conception retenue" on the ticket (what, files touched, out of scope). Any change of plan must be noted on the ticket before or when it happens.
+3. **Take the ticket**: `repowarden ticket <n>`. Branch `type/<n>-sujet` is created from `develop`.
+4. **Sandbox tests**: use `./.essai/` for disposable repos without a remote. Delete them at the end.
+5. **Code and commit**: `git add <files>` (never `git add .`, `-A` or `--all`). Commit via `repowarden cc -m "<description only>" --type <type> --scope <scope> --body "<why>" --refs "Ticket : #<n>"` (French messages, header ≤ 72 chars, no signature/agent). No `--no-verify`.
+6. **Push**: `git push -u origin HEAD` without force. The bot opens a draft PR to `develop` with `Ticket : #<n>` (never `Closes #<n>`).
+7. **PR**: the maintainer marks it ready and releases; the agent follows `repowarden pr checks <n>` and reports when everything is green. An agent does not merge, does not mark a PR ready, does not close tickets. Only `develop` enters `main`, via the release PR.
+
+## Useful commands
+- `repowarden ticket <n>` / `repowarden ticket comment <n> "<text>"`
+- `repowarden cc --dry-run -m "<description>" --type <type> --scope <scope> --body "<why>" --refs "Ticket : #<n>"`
+- `repowarden pr checks <n>`, `repowarden run rerun <id|--failed|--workflow>`
+- `REPOWARDEN_TICKET=<n> gh …`: GitHub write outside the workflow, tied to ticket <n>
+- `opencode run --auto "<instruction>" < /dev/null`: non-interactive opencode (without `--auto` every permission is denied, without `< /dev/null` it waits silently)
+
+## Guard
+It refuses in particular:
+- direct or forced push to `main`/`develop`;
+- `git commit` outside `repowarden cc`;
+- modifying a file on a protected branch or outside a ticket branch;
+- `gh` write outside the workflow without a ticket;
+- validating a ticket or changing its status.
+
+If `repowarden garde` refuses an action: read the message, run exactly the command indicated, never bypass (`--no-verify`, `--admin`, exception). A quoted string containing a forbidden command must go in a file. If the refusal seems impossible given the ticket design, stop and explain on the ticket instead of guessing.
+
+## Rules
+- French commit messages, no signature or co-author from an agent.
+- Bash 3.2 compatible if touching shell scripts.
+- A bug becomes a ticket; if linked to an open ticket, note it as "Ajout" there.

package/hooks/agents/skill-repowarden.fr.md

@@ -0,0 +1,41 @@
+---
+name: repowarden
+description: Skill repowarden pour agents IA. Déclenche sur ticket, commit, branche, push, PR, CI, gh, action interdite ou refus du garde-fou.
+---
+<!-- repowarden:skill posée par repowarden agents init ; retirer cette ligne pour la personnaliser -->
+
+# Repowarden
+
+## But
+Appliquer le circuit repowarden dans le dépôt : pas de changement sans ticket, conception écrite, `repowarden cc`, PR brouillon par le bot, livraison par le mainteneur.
+
+## Circuit
+1. **Ticket créé avant tout changement** (même pour un réglage GitHub). Sans ticket, s'arrêter et en demander un : un agent ne crée un ticket (`repowarden ticket nouveau "<titre>"`) que si on le lui demande, et n'en valide jamais.
+2. **Conception** : noter la « Conception retenue » sur le ticket (quoi, fichiers touchés, hors périmètre). Tout écart est noté sur le ticket avant ou au moment.
+3. **Prendre le ticket** : `repowarden ticket <n>`. La branche `type/<n>-sujet` est créée depuis `develop`.
+4. **Cadrer les essais** : utiliser `./.essai/` pour des dépôts jetables sans remote. Les supprimer à la fin.
+5. **Coder et commiter** : `git add <fichiers>` (jamais `git add .`, `-A` ou `--all`). Message via `repowarden cc -m "<description seule>" --type <type> --scope <portée> --body "<pourquoi>" --refs "Ticket : #<n>"` (français, en-tête ≤ 72 caractères, sans signature/agent). Sans `--no-verify`.
+6. **Pousser** : `git push -u origin HEAD` sans forcer. Le bot ouvre une PR brouillon vers `develop` avec `Ticket : #<n>` (jamais `Closes #<n>`).
+7. **PR** : le mainteneur la passe en ready et livre ; l'agent suit `repowarden pr checks <n>` et signale quand tout est vert. Un agent ne merge pas, ne passe pas une PR en ready, ne ferme pas de ticket. Seul `develop` entre dans `main`, par la PR de livraison.
+
+## Commandes utiles
+- `repowarden ticket <n>` / `repowarden ticket comment <n> "<texte>"`
+- `repowarden cc --dry-run -m "<description>" --type <type> --scope <portée> --body "<pourquoi>" --refs "Ticket : #<n>"`
+- `repowarden pr checks <n>`, `repowarden run rerun <id|--failed|--workflow>`
+- `REPOWARDEN_TICKET=<n> gh …` : écriture GitHub hors circuit, rattachée au ticket <n>
+- `opencode run --auto "<consigne>" < /dev/null` : opencode non interactif (sans `--auto` chaque permission est refusée, sans `< /dev/null` il attend en silence)
+
+## Garde-fou
+Il refuse notamment :
+- push direct ou forcé sur `main`/`develop` ;
+- `git commit` hors `repowarden cc` ;
+- modifier un fichier sur une branche protégée ou hors branche de ticket ;
+- écriture `gh` hors circuit sans ticket ;
+- valider un ticket ou changer son statut.
+
+Si `repowarden garde` refuse une action : lire le message, appliquer exactement la commande indiquée, ne jamais contourner (`--no-verify`, `--admin`, exception). Un texte entre guillemets citant une commande interdite doit aller dans un fichier. Si le refus semble impossible au regard de la conception du ticket, s'arrêter et l'expliquer sur le ticket, pas d'invention.
+
+## Règles
+- Messages français, sans signature ni co-auteur d'agent.
+- Bash 3.2 compatible si on touche des scripts shell.
+- Un défaut devient un ticket ; s'il est lié à un ticket ouvert, le noter en « Ajout » dessus.

package/hooks/lib/agents.sh

@@ -11,6 +11,15 @@ AGENTS_PLUGINS_OPENCODE="repowarden-garde.js repowarden-garde-v2.js"
 AGENTS_COMMANDE_CLAUDE="repowarden garde --format claude"
 AGENTS_MATCHER_CLAUDE="Edit|Write|MultiEdit|NotebookEdit|Bash"
 
+# Modèles de la skill repowarden selon la langue (fr/en)
+agents_modele_skill() {
+    local lang="${REPOWARDEN_LANG:-fr}"
+    case "$lang" in
+        en) echo "$(cd "$(dirname "${BASH_SOURCE[0]}")/../agents" && pwd -P)/skill-repowarden.en.md" ;;
+        *)  echo "$(cd "$(dirname "${BASH_SOURCE[0]}")/../agents" && pwd -P)/skill-repowarden.fr.md" ;;
+    esac
+}
+
 # Dossiers de configuration de l'utilisateur, là où chaque outil les lit
 # (CLAUDE_CONFIG_DIR ; OPENCODE_CONFIG_DIR, sinon XDG_CONFIG_HOME)
 agents_dossiers_globaux() {
@@ -47,13 +56,27 @@ agents_claude_perime() {
 # Garde-fous périmés du dépôt $1 (vide hors dépôt) puis de l'utilisateur, une
 # ligne « portée agent fichier » chacun : statut les signale, install les met à jour
 agents_perimes() {
+    local modele
+    modele="$(agents_modele_skill)"
     agents_dossiers_globaux
     if [ -n "${1:-}" ]; then
         ! agents_claude_perime "$1/.claude/settings.json" || echo "projet claude $1/.claude/settings.json"
         agents_opencode_perimes projet "$1/.opencode/plugins"
+        if agents_skill_perime "$1/.claude/skills/repowarden/SKILL.md" "$modele"; then
+            echo "projet skill-claude $1/.claude/skills/repowarden/SKILL.md"
+        fi
+        if agents_skill_perime "$1/.opencode/skills/repowarden/SKILL.md" "$modele"; then
+            echo "projet skill-opencode $1/.opencode/skills/repowarden/SKILL.md"
+        fi
     fi
     ! agents_claude_perime "$AGENTS_CLAUDE_DIR/settings.json" || echo "global claude $AGENTS_CLAUDE_DIR/settings.json"
     agents_opencode_perimes global "$AGENTS_OPENCODE_DIR/plugins"
+    if agents_skill_perime "$AGENTS_CLAUDE_DIR/skills/repowarden/SKILL.md" "$modele"; then
+        echo "global skill-claude $AGENTS_CLAUDE_DIR/skills/repowarden/SKILL.md"
+    fi
+    if agents_skill_perime "$AGENTS_OPENCODE_DIR/skills/repowarden/SKILL.md" "$modele"; then
+        echo "global skill-opencode $AGENTS_OPENCODE_DIR/skills/repowarden/SKILL.md"
+    fi
     return 0
 }
 
@@ -77,8 +100,8 @@ agents_sans_garde() {
     agents_dossiers_globaux
     command -v claude >/dev/null 2>&1 || command -v opencode >/dev/null 2>&1 ||
         [ -d "$AGENTS_CLAUDE_DIR" ] || [ -d "$AGENTS_OPENCODE_DIR" ] || return 1
-    [ -z "${1:-}" ] || fichiers=("$1/.claude/settings.json" "$1/.opencode/plugins/repowarden-garde.js")
-    fichiers+=("$AGENTS_CLAUDE_DIR/settings.json" "$AGENTS_OPENCODE_DIR/plugins/repowarden-garde.js")
+    [ -z "${1:-}" ] || fichiers=("$1/.claude/settings.json" "$1/.opencode/plugins/repowarden-garde.js" "$1/.opencode/plugins/repowarden-garde-v2.js")
+    fichiers+=("$AGENTS_CLAUDE_DIR/settings.json" "$AGENTS_OPENCODE_DIR/plugins/repowarden-garde.js" "$AGENTS_OPENCODE_DIR/plugins/repowarden-garde-v2.js")
     # Plugin repowarden d'une version antérieure : branché (périmé, pas absent)
     for f in "${fichiers[@]}"; do
         ! grep -qs "repowarden garde" "$f" || return 1
@@ -86,3 +109,16 @@ agents_sans_garde() {
     done
     return 0
 }
+
+# Vrai si le fichier skill $1 a été posé par repowarden (repère)
+agents_skill_repowarden() {
+    grep -q '<!-- repowarden:skill' "$1" 2>/dev/null
+}
+
+# Vrai si la skill $1 vient de repowarden mais diffère du modèle de la langue
+agents_skill_perime() {
+    local modele="$2"
+    [ -f "$1" ] || return 1
+    agents_skill_repowarden "$1" || return 1
+    ! cmp -s "$1" "$modele"
+}

package/hooks/lib/i18n/en.sh

@@ -131,7 +131,7 @@ _msg_en() {
         help.migrer) _M="Usage: repowarden migrer [--pr] [--hooks]\n\nMigrates from repogarde to repowarden (docs/migration-v4.md): configs,\nworkflows, renames, lists manual steps left. Safe to rerun.\n  --pr     on chore/migration-repowarden-vN: commit, push and PR\n  --hooks  also move leftover lefthook hooks to .git/hooks-lefthook/" ;;
         help.npm-publication) _M="Usage: repowarden npm-publication [--repo owner/name] [--workflow release.yml]\n       [--environnement NAME] [--dry-run]\n\nSets up automatic npm publishing per release via OIDC (trusted publishing,\nprovenance). Needs npm logged in, package exists; if interrupted resumes.\nWorkflow: release.yml publishes via npm-publish.yml." ;;
         help.garde) _M="Usage: repowarden garde [--format claude|opencode]   (reads the action on standard input)\n\nAI agent guard, called by the agent's hook before each action (repowarden\nagents init wires it): exit code 0 allowed, 2 refused with the command to\nrun. In a repowarden repository: no change on a detached HEAD, on a\nprotected branch, or outside a ticket branch when the repository tracks its\ntickets; branches created by repowarden ticket <n>, commits by repowarden\ncc (repowarden hooks active, off protected branches); no --no-verify, no\ngit add . / -A / --all. Requires jq." ;;
-        help.agents) _M="Usage: repowarden agents init    [--claude] [--opencode] [--projet | --global]\n       repowarden agents retirer [--claude] [--opencode] [--projet | --global]\n\nWires the guard (repowarden garde) into AI agents: Claude Code PreToolUse\nhook (.claude/settings.json), opencode plugins\n(.opencode/plugins/repowarden-garde.js for opencode 1.x,\nrepowarden-garde-v2.js for 2.x). Without --claude or --opencode:\nboth. --projet (default): repository files, to commit; --global: user\nconfiguration (\$CLAUDE_CONFIG_DIR, ~/.claude by default;\n\$OPENCODE_CONFIG_DIR, else \$XDG_CONFIG_HOME/opencode, ~/.config/opencode by\ndefault). Re-runnable: existing files are completed, never overwritten.\nretirer (or remove): removes only what init wrote." ;;
+        help.agents) _M="Usage: repowarden agents init    [--claude] [--opencode] [--projet | --global]\n       repowarden agents retirer [--claude] [--opencode] [--projet | --global]\n\nWires the guard (repowarden garde) into AI agents: Claude Code PreToolUse\nhook (.claude/settings.json), opencode plugins\n(.opencode/plugins/repowarden-garde.js for opencode 1.x,\nrepowarden-garde-v2.js for 2.x). Also places the repowarden skill\n(.claude/skills/repowarden/SKILL.md, .opencode/skills/repowarden/SKILL.md)\nin the repowarden language. Without --claude or --opencode:\nboth. --projet (default): repository files, to commit; --global: user\nconfiguration (\$CLAUDE_CONFIG_DIR, ~/.claude by default;\n\$OPENCODE_CONFIG_DIR, else \$XDG_CONFIG_HOME/opencode, ~/.config/opencode by\ndefault). Re-runnable: existing files are completed, never overwritten.\nretirer (or remove): removes only what init wrote." ;;
         help.app) _M="Usage: repowarden app init [--repo owner/name] [--nom NAME] [--administration]\n       repowarden app init --bot\n\nCreates/sets up a GitHub App for repowarden workflows (Actions token doesn't\ntrigger other workflows; App token does). Browser-based manifest, minimal\npermissions, credentials stored securely, installed on repo. --bot for org\nbot (pilot repo). Needs gh and node. Rerunnable." ;;
         # Hooks and language plugins
         hook.pre_commit.1) _M="Commit refused: branch name does not follow the convention." ;;
@@ -530,6 +530,7 @@ _msg_en() {
         st.tools) _M="Tools present: %s · missing: %s (depending on the projects' languages)" ;;
         st.agents_sans_garde) _M="AI agent without the guard (Claude Code, opencode): its actions are only checked at commit time. → %s" ;;
         st.agents_stale) _M="Outdated repowarden guard (%s): wired by an earlier version of repowarden. → %s" ;;
+        st.agents_skill_stale) _M="Outdated repowarden skill (%s): placed by an earlier version of repowarden. → %s" ;;
         st.next) _M="Next step:" ;;
         st.carte_absente) _M="No project map (optional, read by agents before changing a file): repowarden carte" ;;
         st.carte_ok) _M="Project map up to date (repowarden carte <file>)" ;;
@@ -689,6 +690,7 @@ _msg_en() {
         tk.branch_kept) _M="Branch \`%s\` kept: %s commit(s) missing from the integration branch, open PR(s): %s. Delete it by hand if the work lives elsewhere." ;;
         tk.draft_opened) _M="Draft PR #%s opened for ticket #%s" ;;
         tk.draft_updated) _M="PR #%s (ticket #%s): title and description taken from the ticket" ;;
+        tk.draft_exists) _M="PR #%s already open for ticket #%s (close pushes): no other PR created" ;;
         tk.assign_failed) _M="PR #%s: GitHub refused to assign %s, PR left unassigned" ;;
         tk.pr_additions) _M="Ticket additions" ;;
         tk.pr_design) _M="Design (summary)" ;;
@@ -743,6 +745,7 @@ _msg_en() {
         garde.format) _M="Unknown format \"%s\": claude or opencode." ;;
         garde.no_jq) _M="repowarden garde: jq missing, action not checked (install jq: https://jqlang.org)." ;;
         garde.json) _M="repowarden garde: unreadable JSON input, action not checked." ;;
+        garde.commande_illisible) _M="command refused: \"%s\"; unclosed quote, unreadable command.\n  → Fix the quotes (open and close them), then run it again." ;;
         garde.detache) _M="change refused: detached HEAD in %s.\n  → Switch to a ticket's branch: repowarden ticket <n>" ;;
         garde.protegee) _M="change refused: \"%s\" is a protected branch.\n  → Work on a ticket's branch: repowarden ticket <n>" ;;
         garde.protegee_libre) _M="change refused: \"%s\" is a protected branch.\n  → Create a work branch: git switch -c <type>/<topic>" ;;
@@ -762,6 +765,9 @@ _msg_en() {
         garde.gh_pr_create) _M="command refused: \"%s\"; the draft PR is opened by the bot on the first push of the ticket's branch.\n  → git push -u origin HEAD" ;;
         garde.gh_rerun) _M="command refused: \"%s\"; workflows are re-run through repowarden.\n  → repowarden run rerun <run-id|--failed>" ;;
         garde.gh_mainteneur) _M="command refused: \"%s\"; this is the maintainer's decision (leaving draft, merge, approval, deployment).\n  → Say the PR is ready (CI green) and let the maintainer decide." ;;
+        garde.ticket_mainteneur) _M="command refused: \"%s\"; validating a ticket is the maintainer's decision (\"validé\" or status label, added or removed).\n  → Ask the maintainer to validate the ticket, then take it: repowarden ticket <n>" ;;
+        garde.etiquette_mainteneur) _M="command refused: \"%s\"; changing a decision label of a ticket (\"validé\", status, \"à décider\"), even through the API, is the maintainer's decision.\n  → Tell the maintainer about the request and leave the ticket or PR unchanged." ;;
+        garde.ticket_nouveau) _M="command refused: \"%s\"; creating a ticket is the maintainer's decision.\n  → Report the defect to the maintainer, who creates the ticket; or note it on the current ticket. Setting repowarden.agentsTickets = true allows it." ;;
         garde.gh_sans_ticket) _M="command refused: \"%s\" changes GitHub outside the PR flow, without a ticket.\n  → Create the ticket (repowarden ticket nouveau), get it validated, then run again: REPOWARDEN_TICKET=<n> %s" ;;
         garde.gh_ticket_illisible) _M="command refused: \"%s\"; ticket #%s unreadable (gh issue view): a write without proof of a ticket.\n  → Check the number and gh auth status, then run again: REPOWARDEN_TICKET=<n> gh …" ;;
         garde.gh_ticket_non_valide) _M="command refused: \"%s\"; ticket #%s is not open and validated (label \"%s\").\n  → Get the ticket validated by the maintainer, then run again." ;;
@@ -777,6 +783,13 @@ _msg_en() {
         agents.removed) _M="%s: guard removed (%s)." ;;
         agents.absent) _M="%s: no guard to remove (%s)." ;;
         agents.kept_remove) _M="%s: %s differs from the template; kept (remove it by hand if no longer wanted)." ;;
+        agents.skill_added) _M="%s: repowarden skill added (%s)." ;;
+        agents.skill_present) _M="%s: repowarden skill already in place (%s)." ;;
+        agents.skill_updated) _M="%s: repowarden skill updated (%s); to customize it, remove its marker line (<!-- repowarden:skill …)." ;;
+        agents.skill_kept) _M="%s: repowarden skill (%s) differs from the template; kept as is (template: %s)." ;;
+        agents.skill_removed) _M="%s: repowarden skill removed (%s)." ;;
+        agents.skill_absent) _M="%s: no repowarden skill to remove (%s)." ;;
+        agents.skill_kept_remove) _M="%s: repowarden skill %s differs from the template; kept (remove it by hand if no longer wanted)." ;;
         *) _M="" ;;
     esac
 }

package/hooks/lib/i18n/fr.sh

@@ -254,7 +254,7 @@ _msg_fr() {
         help.migrer) _M="Usage : repowarden migrer [--pr] [--hooks]\n\nPassage de repogarde à repowarden dans le projet courant\n(docs/migration-v4.md) : configuration (.repowarden.conf, .repowarden/),\nworkflows (uses: vers le dépôt repowarden et sa version majeure, anciens\nnoms), puis la liste de ce qui reste à faire à la main. Relançable : rien\nn'est fait deux fois.\n  --pr     sur la branche chore/migration-repowarden-vN : commit, push et PR\n  --hooks  déplace aussi les hooks lefthook résiduels dans .git/hooks-lefthook/" ;;
         help.npm-publication) _M="Usage : repowarden npm-publication [--repo propriétaire/nom] [--workflow release.yml]\n        [--environnement NOM] [--dry-run]\n\nPublication npm automatique mise en place en une commande : chaque release\npublie le paquet (workflow npm-publish.yml), sans jeton (publication de\nconfiance OIDC, provenance jointe) : connexion npm, paquet existant, puis\nrelation de confiance. Interrompue, la commande reprend où elle en était." ;;
         help.garde) _M="Usage : repowarden garde [--format claude|opencode]   (lit l'action sur l'entrée standard)\n\nGarde-fou des agents IA, appelé par leur hook avant chaque action\n(repowarden agents init le branche) : code 0 permis, code 2 refusé avec la\ncommande à lancer. Dans un dépôt repowarden : pas de modification en HEAD\ndétaché, sur une branche protégée, ni hors branche de ticket si le dépôt\nsuit ses tickets ; branche créée par repowarden ticket <n>, commit par\nrepowarden cc (hooks repowarden actifs, hors branche protégée) ; ni\n--no-verify ni git add . / -A / --all. Demande jq." ;;
-        help.agents) _M="Usage : repowarden agents init    [--claude] [--opencode] [--projet | --global]\n        repowarden agents retirer [--claude] [--opencode] [--projet | --global]\n\nBranche le garde-fou (repowarden garde) dans les agents IA : hook PreToolUse\nde Claude Code (.claude/settings.json), plugins opencode\n(.opencode/plugins/repowarden-garde.js pour opencode 1.x,\nrepowarden-garde-v2.js pour 2.x). Sans --claude ni --opencode : les\ndeux. --projet (défaut) : fichiers du dépôt, à versionner ; --global :\nconfiguration de l'utilisateur (\$CLAUDE_CONFIG_DIR, ~/.claude par défaut ;\n\$OPENCODE_CONFIG_DIR, sinon \$XDG_CONFIG_HOME/opencode, ~/.config/opencode par\ndéfaut). Relançable : fichiers existants complétés, jamais écrasés.\nretirer : enlève seulement ce qu'init a écrit." ;;
+        help.agents) _M="Usage : repowarden agents init    [--claude] [--opencode] [--projet | --global]\n        repowarden agents retirer [--claude] [--opencode] [--projet | --global]\n\nBranche le garde-fou (repowarden garde) dans les agents IA : hook PreToolUse\nde Claude Code (.claude/settings.json), plugins opencode\n(.opencode/plugins/repowarden-garde.js pour opencode 1.x,\nrepowarden-garde-v2.js pour 2.x). Pose aussi la skill repowarden\n(.claude/skills/repowarden/SKILL.md, .opencode/skills/repowarden/SKILL.md)\ndans la langue de repowarden. Sans --claude ni --opencode : les deux.\n--projet (défaut) : fichiers du dépôt, à versionner ; --global :\nconfiguration de l'utilisateur (\$CLAUDE_CONFIG_DIR, ~/.claude par défaut ;\n\$OPENCODE_CONFIG_DIR, sinon \$XDG_CONFIG_HOME/opencode, ~/.config/opencode par\ndéfaut). Relançable : fichiers existants complétés, jamais écrasés.\nretirer : enlève seulement ce qu'init a écrit." ;;
         help.app) _M="Usage : repowarden app init [--repo propriétaire/nom] [--nom NOM] [--administration]\n        repowarden app init --bot\n\nGitHub App du dépôt : identité d'automatisation des workflows repowarden (le\njeton des Actions ne déclenche aucun workflow, un jeton de l'App, si).\nCréation dans le navigateur (flux « manifest »), permissions minimales,\nidentifiants rangés sans être affichés, installation sur le dépôt. --bot :\nApp du bot d'organisation, dans le dépôt de pilotage. Relançable ; demande\ngh et node." ;;
         # CI et protection
         ci.check.2) _M="Pas de base : vérification ignorée." ;;
@@ -531,6 +531,7 @@ _msg_fr() {
         st.tools) _M="Outils présents : %s · absents : %s (selon les langages des projets)" ;;
         st.agents_sans_garde) _M="Agent IA sans garde-fou (Claude Code, opencode) : ses actions ne sont vérifiées qu'au commit. → %s" ;;
         st.agents_stale) _M="Garde-fou repowarden périmé (%s) : posé par une version antérieure de repowarden. → %s" ;;
+        st.agents_skill_stale) _M="Skill repowarden périmée (%s) : posée par une version antérieure de repowarden. → %s" ;;
         st.next) _M="Étape suivante :" ;;
         st.carte_absente) _M="Carte du projet absente (facultative, lue par les agents avant de modifier un fichier) : repowarden carte" ;;
         st.carte_ok) _M="Carte du projet à jour (repowarden carte <fichier>)" ;;
@@ -690,6 +691,7 @@ _msg_fr() {
         tk.branch_kept) _M="Branche \`%s\` gardée : %s commit(s) absent(s) de la branche d'intégration, PR ouverte(s) : %s. À supprimer à la main si le travail est ailleurs." ;;
         tk.draft_opened) _M="PR #%s ouverte en brouillon pour le ticket #%s" ;;
         tk.draft_updated) _M="PR #%s (ticket #%s) : titre et description repris du ticket" ;;
+        tk.draft_exists) _M="PR #%s déjà ouverte pour le ticket #%s (push rapproché) : aucune autre PR créée" ;;
         tk.assign_failed) _M="PR #%s : assignation de %s refusée par GitHub, PR laissée sans assigné" ;;
         tk.pr_additions) _M="Ajouts du ticket" ;;
         tk.pr_design) _M="Conception (résumé)" ;;
@@ -744,6 +746,7 @@ _msg_fr() {
         garde.format) _M="Format inconnu « %s » : claude ou opencode." ;;
         garde.no_jq) _M="repowarden garde : jq absent, action non vérifiée (installer jq : https://jqlang.org)." ;;
         garde.json) _M="repowarden garde : entrée JSON illisible, action non vérifiée." ;;
+        garde.commande_illisible) _M="commande refusée : « %s » ; guillemet non fermé, commande illisible.\n  → Corriger les guillemets (ouvrir et fermer), puis relancer." ;;
         garde.detache) _M="modification refusée : HEAD détaché dans %s.\n  → Se placer sur la branche d'un ticket : repowarden ticket <n>" ;;
         garde.protegee) _M="modification refusée : « %s » est une branche protégée.\n  → Travailler sur la branche d'un ticket : repowarden ticket <n>" ;;
         garde.protegee_libre) _M="modification refusée : « %s » est une branche protégée.\n  → Créer une branche de travail : git switch -c <type>/<sujet>" ;;
@@ -763,6 +766,9 @@ _msg_fr() {
         garde.gh_pr_create) _M="commande refusée : « %s » ; la PR brouillon est ouverte par le bot au premier push de la branche du ticket.\n  → git push -u origin HEAD" ;;
         garde.gh_rerun) _M="commande refusée : « %s » ; un workflow se relance par repowarden.\n  → repowarden run rerun <run-id|--failed>" ;;
         garde.gh_mainteneur) _M="commande refusée : « %s » ; c'est une décision du mainteneur (sortie du brouillon, merge, approbation, déploiement).\n  → Annoncer que la PR est prête (CI verte) et laisser le mainteneur décider." ;;
+        garde.ticket_mainteneur) _M="commande refusée : « %s » ; valider un ticket est une décision du mainteneur (étiquette « validé » ou de statut, ajout comme retrait).\n  → Demander au mainteneur de valider le ticket, puis le prendre : repowarden ticket <n>" ;;
+        garde.etiquette_mainteneur) _M="commande refusée : « %s » ; toucher une étiquette de décision d'un ticket (« validé », statut, « à décider »), même par l'API, est une décision du mainteneur.\n  → Annoncer la demande au mainteneur et laisser le ticket ou la PR inchangés." ;;
+        garde.ticket_nouveau) _M="commande refusée : « %s » ; créer un ticket est une décision du mainteneur.\n  → Signaler le défaut au mainteneur, qui crée le ticket ; ou le noter sur le ticket en cours. Réglage repowarden.agentsTickets = true pour l'autoriser." ;;
         garde.gh_sans_ticket) _M="commande refusée : « %s » modifie GitHub hors du circuit des PR, sans ticket.\n  → Créer le ticket (repowarden ticket nouveau), le faire valider, puis relancer : REPOWARDEN_TICKET=<n> %s" ;;
         garde.gh_ticket_illisible) _M="commande refusée : « %s » ; ticket #%s illisible (gh issue view) : écriture sans preuve de ticket.\n  → Vérifier le numéro et gh auth status, puis relancer : REPOWARDEN_TICKET=<n> gh …" ;;
         garde.gh_ticket_non_valide) _M="commande refusée : « %s » ; le ticket #%s n'est pas ouvert et validé (étiquette « %s »).\n  → Faire valider le ticket par le mainteneur, puis relancer." ;;
@@ -778,6 +784,13 @@ _msg_fr() {
         agents.removed) _M="%s : garde-fou retiré (%s)." ;;
         agents.absent) _M="%s : pas de garde-fou à retirer (%s)." ;;
         agents.kept_remove) _M="%s : %s diffère du modèle ; gardé (à retirer à la main s'il n'est plus voulu)." ;;
+        agents.skill_added) _M="%s : skill repowarden ajoutée (%s)." ;;
+        agents.skill_present) _M="%s : skill repowarden déjà en place (%s)." ;;
+        agents.skill_updated) _M="%s : skill repowarden mise à jour (%s) ; pour la personnaliser, retirer la ligne repère." ;;
+        agents.skill_kept) _M="%s : skill repowarden (%s) diffère du modèle ; gardée telle quelle (modèle : %s)." ;;
+        agents.skill_removed) _M="%s : skill repowarden retirée (%s)." ;;
+        agents.skill_absent) _M="%s : pas de skill repowarden à retirer (%s)." ;;
+        agents.skill_kept_remove) _M="%s : skill repowarden %s diffère du modèle ; gardée (à retirer à la main s'il n'est plus voulu)." ;;
         *) _M="" ;;
     esac
 }

package/install.sh

@@ -257,6 +257,17 @@ fi
 # question (déjà branché par lui), une ligne par agent
 while read -r portee agent fichier; do
     [ "$portee" = global ] || continue
+    if [ "$agent" = skill-claude ]; then
+        bash "$ROOT/bin/agents" init --global --claude >/dev/null 2>&1 || continue
+        t agents.skill_updated "Claude Code" "$fichier"
+        ok "$REPLY"
+        continue
+    elif [ "$agent" = skill-opencode ]; then
+        bash "$ROOT/bin/agents" init --global --opencode >/dev/null 2>&1 || continue
+        t agents.skill_updated opencode "$fichier"
+        ok "$REPLY"
+        continue
+    fi
     bash "$ROOT/bin/agents" init --global "--$agent" >/dev/null 2>&1 || continue
     nom=opencode
     [ "$agent" != claude ] || nom="Claude Code"

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "repowarden",
-  "version": "4.13.0-next.7",
+  "version": "4.13.1",
   "description": "Hooks git et CI multi-langages : messages de commit, nommage des branches, secrets, formatage, tests ciblés, code mort, releases.",
   "keywords": [
     "git-hooks",