repowarden 4.13.2-next.1 → 4.14.0-next.5

package/bin/garde

@@ -152,6 +152,142 @@ fichier_ignore() {
     git -C "./$cdup" check-ignore -q -- "$prefixe$reste" 2>/dev/null
 }
 
+# Vrai si le nom $1 (relatif à la racine du dépôt) est la configuration d'un
+# outil de vérification : la régler est une décision du mainteneur (#518)
+config_outil() {
+    case "$1" in
+        .github/actionlint.yaml | .github/actionlint.yml | .shellcheckrc | \
+            .markdownlint* | .yamllint* | .gitleaks.toml | .gitleaksignore | \
+            .pre-commit-config.yaml | .repowarden.conf) return 0 ;;
+    esac
+    return 1
+}
+
+# Vrai si le chemin $1 peut être une telle configuration : son nom seul le dit,
+# avant de consulter le dépôt — un fichier ordinaire ne coûte aucune commande
+config_outil_possible() {
+    local n="${1##*/}"
+    config_outil "$n" && return 0
+    config_outil ".github/$n"
+}
+
+# REPLY = chemin $1 relatif à la racine du dépôt : dans un sous-shell on se
+# place dans son dossier existant, et on ajoute le reste au préfixe git ; hors
+# dépôt, chaîne vide (les formes Windows C:/… et D:\… restent lues)
+chemin_racine_r() {
+    local p="${1//\\//}" e prefixe reste
+    dossier_r "$p"
+    e="$REPLY"
+    REPLY="$(
+        cd "$e" 2>/dev/null || exit 0
+        prefixe="$(git rev-parse --show-prefix 2>/dev/null)" || exit 0
+        reste="${p#"$e"}"
+        reste="${reste#/}"
+        printf '%s%s' "$prefixe" "$reste"
+    )"
+}
+
+# Refus si le fichier $1 (depuis le dossier $2) est la configuration d'un outil
+# de vérification : réglage du mainteneur, en tout lieu d'un dépôt repowarden
+verifier_config_cible() {
+    local p="${1%$'\r'}" d
+    case "$p" in /* | [A-Za-z]:[/\\]*) ;; *) p="$2/$p" ;; esac
+    config_outil_possible "$p" || return 0
+    dossier_r "$2"
+    d="$REPLY"
+    (
+        cd "$d" 2>/dev/null || exit 0
+        depot_repowarden || exit 0
+        cfg_r agentsConfig false
+        [ "$REPLY" != true ] || exit 0
+        chemin_racine_r "$p"
+        config_outil "$REPLY" || exit 0
+        refuser garde.config_verification "$REPLY"
+    ) || exit $?
+}
+
+# Cibles de redirection des mots $@ (commande de $dir) : écrire la configuration
+# d'un outil de vérification s'y refuse, comme par un outil d'édition
+verifier_redirections() {
+    local mot cible attendu=""
+    for mot in "$@"; do
+        if [ -n "$attendu" ]; then
+            attendu=""
+            cible="$mot"
+        else
+            # Après le chevron (> et >> y compris) : vide = cible mot suivant
+            cible="${mot#*>}"
+            [ "$cible" != "$mot" ] || continue
+            while [ "${cible#>}" != "$cible" ]; do cible="${cible#>}"; done
+            if [ -z "$cible" ]; then
+                attendu=1
+                continue
+            fi
+        fi
+        verifier_config_cible "$cible" "$dir"
+    done
+}
+
+# Cibles écrites par une commande shell (cp, mv, install, ln, tee, touch,
+# truncate, rm, sed -i, perl -i) : la configuration d'un outil s'y refuse aussi
+verifier_ecriture_fichiers() {
+    local m mot cible="" inplace="" vu="" n d i
+    m="${1//[\"\']/}"
+    m="${m##*/}"
+    m="${m##*\\}"
+    case "$m" in
+        *.exe | *.EXE | *.cmd | *.CMD | *.bat | *.BAT) m="${m%.*}" ;;
+    esac
+    case "$m" in
+        tee | touch | truncate | rm)
+            # Tous les arguments non option sont des fichiers écrits
+            for mot in "${@:2}"; do
+                case "$mot" in -*) continue ;; esac
+                verifier_config_cible "$mot" "$dir"
+            done
+            ;;
+        cp | mv | install | ln)
+            # Le dernier argument non option est la cible ; si c'est un
+            # dossier existant (vu depuis $dir) ou finit par /, chaque source
+            # y est écrite : vérifier alors <cible>/<nom de la source>
+            n=0
+            for mot in "${@:2}"; do
+                case "$mot" in -*) continue ;; esac
+                n=$((n + 1))
+                cible="$mot"
+            done
+            [ "$n" -ne 0 ] || return 0
+            verifier_config_cible "$cible" "$dir"
+            d="$cible"
+            while [ "${d%/}" != "$d" ]; do d="${d%/}"; done
+            [ -n "$d" ] || d=/
+            case "$d" in /* | [A-Za-z]:[/\\]*) ;; *) d="$dir/$d" ;; esac
+            case "$cible" in */) ;; *) [ -d "$d" ] || return 0 ;; esac
+            i=0
+            for mot in "${@:2}"; do
+                case "$mot" in -*) continue ;; esac
+                i=$((i + 1))
+                [ "$i" -lt "$n" ] || break
+                verifier_config_cible "$d/${mot##*/}" "$dir"
+            done
+            ;;
+        sed | perl)
+            # Avec -i (--in-place), les arguments après le script sont modifiés
+            for mot in "${@:2}"; do
+                case "$mot" in
+                    --in-place | --in-place=* | -i* | -[!-]*i*) inplace=1 ;;
+                esac
+            done
+            [ -n "$inplace" ] || return 0
+            for mot in "${@:2}"; do
+                case "$mot" in -*) continue ;; esac
+                if [ -z "$vu" ]; then vu=1; continue; fi
+                verifier_config_cible "$mot" "$dir"
+            done
+            ;;
+    esac
+}
+
 # Modification du fichier $1 : seulement sur une branche de travail (de ticket,
 # si le dépôt suit ses tickets) ; un fichier ignoré par git l'est partout
 verifier_fichier() {
@@ -160,6 +296,8 @@ verifier_fichier() {
     # être en forme Windows (D:/…), absolu lui aussi
     local d="$REPLY" f="${1%$'\r'}"
     case "$f" in /* | [A-Za-z]:[/\\]*) ;; *) f="$cwd/$f" ;; esac
+    # Configuration d'outil de vérification : refusée avant toute autre règle
+    verifier_config_cible "$f" "$d"
     (
         cd "$d" 2>/dev/null || exit 0
         depot_repowarden || exit 0
@@ -587,6 +725,10 @@ verifier_shell() {
             esac
         done
         [ $# -gt 0 ] || continue
+        # Redirection vers la configuration d'un outil de vérification : refusée
+        # comme la modification du fichier, avant même la commande
+        verifier_redirections "$@"
+        verifier_ecriture_fichiers "$@"
         # Commande : dernier élément du chemin (/ ou \), sans .exe/.cmd/.bat
         m="${1//[\"\']/}"
         m="${m##*/}"

package/ci/tickets/verification.sh

@@ -63,6 +63,7 @@ verifier() {
 # déclencherait aucun workflow (préversion, livraison, tickets).
 merge_auto() {
     local pr="$1" base="$2" brouillon="$3"
+    local expected online online_ok missing _rest _one
     [ "${AUTO_MERGE:-true}" = true ] && [ "$base" = "${INTEGRATION:-develop}" ] || return 0
     if [ "$brouillon" = true ]; then
         gh pr merge "$pr" --disable-auto >/dev/null 2>&1 || true
@@ -72,6 +73,49 @@ merge_auto() {
         notice_t tk.automerge_no_app "$pr"
         return 0
     fi
+    # Vérifications attendues (requiredChecks) vs règles en ligne : si une
+    # vérification attendue manque en ligne, l'auto-merge n'est pas armé, on
+    # signale et on commente la PR une seule fois (repère regles-perimees).
+    # Absence de requiredChecks : rien à comparer, comportement historique.
+    # Échec de lecture des règles (droits, réseau) : on arme comme avant.
+    cfg_r requiredChecks ""
+    expected="$REPLY"
+    if [ -n "$expected" ]; then
+        online_ok=0
+        online="$(gh api "repos/$GH_REPO/rules/branches/$base" \
+            --jq '.[] | select(.type=="required_status_checks") | .parameters.required_status_checks[].context' \
+            2>/dev/null)" && online_ok=1 || online_ok=0
+        if [ "$online_ok" = 1 ]; then
+            missing=""
+            # Parcours des vérifications attendues (virgule), espaces possibles
+            _rest="$expected"
+            while [ -n "$_rest" ]; do
+                case "$_rest" in
+                    *,*) _one="${_rest%%,*}"; _rest="${_rest#*,}" ;;
+                    *) _one="$_rest"; _rest="" ;;
+                esac
+                # suppression des espaces de bord
+                _one="${_one#"${_one%%[![:space:]]*}"}"
+                _one="${_one%"${_one##*[![:space:]]}"}"
+                [ -z "$_one" ] && continue
+                if ! grep -Fxq "$_one" <<<"$online"; then
+                    if [ -z "$missing" ]; then missing="$_one"; else missing="$missing, $_one"; fi
+                fi
+            done
+            if [ -n "$missing" ]; then
+                notice_t tk.automerge_rules_stale "$pr" "$missing" "$expected"
+                if ! gh pr view "$pr" --json comments -q '.comments[].body' 2>/dev/null \
+                        | grep -qF '<!-- repowarden:regles-perimees -->'; then
+                    _tr tk.automerge_rules_stale "$pr" "$missing" "$expected"
+                    gh pr comment "$pr" --body "$_T"$'\n\n''<!-- repowarden:regles-perimees -->' \
+                        >/dev/null 2>&1 || true
+                fi
+                return 0
+            fi
+        else
+            notice_t tk.automerge_rules_unread "$pr"
+        fi
+    fi
     if gh pr merge "$pr" --auto --squash >/dev/null 2>&1; then
         notice_t tk.automerge_armed "$pr"
     else

package/hooks/lib/i18n/en.sh

@@ -410,7 +410,7 @@ _msg_en() {
         ci.livraison.maintenance) _M="Maintenance only: no version to publish" ;;
         ci.livraison.non_exigee) _M="%s: prerelease not required" ;;
         ci.livraison.ok) _M="%s: prerelease tested, deliverable" ;;
-        ci.livraison.preversion) _M="%s: no prerelease %s; wait for the evening one, or Actions → release → Run workflow on %s" ;;
+        ci.livraison.preversion) _M="%s: waiting for a prerelease: no %s contains this commit; wait for the evening one, or Actions → release → Run workflow on %s" ;;
         ci.install_tool.os) _M="Unsupported system: %s" ;;
         ci.install_tool.arch) _M="Unsupported architecture: %s" ;;
         ci.install_tool.unknown) _M="Unknown tool: %s" ;;
@@ -435,6 +435,9 @@ _msg_en() {
         dc.knip_file) _M="file never imported" ;;
         dc.knip_export) _M="export never imported:" ;;
         dc.knip_dep) _M="dependency never imported:" ;;
+        # Tests removed by a PR (tests check)
+        ci.check.tests_down) _M="%s: %s → %s tests (before → after); a PR does not remove tests." ;;
+        ci.check.tests_fix) _M="  Fix: restore the removed tests, or write it in the PR description (line \"Tests removed: <reason>\", \"Tests retirés : …\" also accepted)." ;;
         # Functions added without a comment
         cm.section) _M="Functions without a comment (new code only)" ;;
         cm.no_base) _M="No base: comment check skipped." ;;
@@ -552,6 +555,8 @@ _msg_en() {
         tk.automerge_armed) _M="PR #%s: auto-merge armed (squash), as soon as the checks are green." ;;
         tk.automerge_no_app) _M="PR #%s: auto-merge not armed, no GitHub App (repowarden app init): with the Actions token, the merge would trigger no workflow." ;;
         tk.automerge_failed) _M="PR #%s: auto-merge not armed (auto-merge not allowed on the repository: repowarden proteger)." ;;
+        tk.automerge_rules_stale) _M="PR #%s: auto-merge not armed (online rules stale: %s). Run: repowarden proteger --checks \"%s\"." ;;
+        tk.automerge_rules_unread) _M="PR #%s: online rules unreadable (permissions or network): auto-merge armed without comparing requiredChecks." ;;
         app.no_node) _M="node is required (local page creating the App): https://nodejs.org" ;;
         app.step_create) _M="Creating the GitHub App" ;;
         app.exists) _M="App already set up for this repository (client %s): nothing to recreate." ;;
@@ -749,6 +754,7 @@ _msg_en() {
         garde.detache) _M="change refused: detached HEAD in %s.\n  → Switch to a ticket's branch: repowarden ticket <n>" ;;
         garde.protegee) _M="change refused: \"%s\" is a protected branch.\n  → Work on a ticket's branch: repowarden ticket <n>" ;;
         garde.protegee_libre) _M="change refused: \"%s\" is a protected branch.\n  → Create a work branch: git switch -c <type>/<topic>" ;;
+        garde.config_verification) _M="tool verification setting: the maintainer's decision; fix the code rather than the rule (\"%s\").\n  → Fix the code, never the rule; only the maintainer sets the tool (setting repowarden.agentsConfig = true)." ;;
         garde.carte) _M="  → Before changing %s, once on the right branch: repowarden carte %s (functions, tests, tickets)" ;;
         garde.hors_ticket) _M="change refused: branch \"%s\" is not a ticket's branch (<type>/<n>-<topic>).\n  → Take the ticket: repowarden ticket <n>" ;;
         garde.branche) _M="command refused: \"%s\" creates a branch; here, branches come from tickets.\n  → repowarden ticket <n>" ;;

package/hooks/lib/i18n/fr.sh

@@ -411,7 +411,7 @@ _msg_fr() {
         ci.livraison.maintenance) _M="Maintenance seule : aucune version à publier" ;;
         ci.livraison.non_exigee) _M="%s : préversion non exigée" ;;
         ci.livraison.ok) _M="%s : préversion testée, livrable" ;;
-        ci.livraison.preversion) _M="%s : aucune préversion %s ; attendre celle du soir, ou Actions → release → Run workflow sur %s" ;;
+        ci.livraison.preversion) _M="%s : en attente de préversion : aucune %s ne contient ce commit ; attendre celle du soir, ou Actions → release → Run workflow sur %s" ;;
         ci.install_tool.os) _M="Système non supporté : %s" ;;
         ci.install_tool.arch) _M="Architecture non supportée : %s" ;;
         ci.install_tool.unknown) _M="Outil inconnu : %s" ;;
@@ -436,6 +436,9 @@ _msg_fr() {
         dc.knip_file) _M="fichier jamais importé" ;;
         dc.knip_export) _M="export jamais importé :" ;;
         dc.knip_dep) _M="dépendance jamais importée :" ;;
+        # Tests retirés par une PR (vérification tests)
+        ci.check.tests_down) _M="%s : %s → %s tests (avant → après) ; une PR ne retire pas de tests." ;;
+        ci.check.tests_fix) _M="  Corriger : remettre les tests retirés, ou l'écrire dans la description de la PR (ligne « Tests retirés : <raison> », « Tests removed: … » en anglais)." ;;
         # Fonctions ajoutées sans commentaire
         cm.section) _M="Fonctions sans commentaire (nouveau code uniquement)" ;;
         cm.no_base) _M="Pas de base : contrôle des commentaires ignoré." ;;
@@ -553,6 +556,8 @@ _msg_fr() {
         tk.automerge_armed) _M="PR #%s : merge automatique armé (squash), dès que les vérifications sont vertes." ;;
         tk.automerge_no_app) _M="PR #%s : merge automatique non armé, pas de GitHub App (repowarden app init) : avec le jeton des Actions, le merge ne déclencherait aucun workflow." ;;
         tk.automerge_failed) _M="PR #%s : merge automatique non armé (dépôt sans merge automatique autorisé : repowarden proteger)." ;;
+        tk.automerge_rules_stale) _M="PR #%s : merge automatique non armé (règles en ligne périmées : %s). Lancer : repowarden proteger --checks \"%s\"." ;;
+        tk.automerge_rules_unread) _M="PR #%s : règles en ligne illisibles (droits ou réseau) : merge automatique armé sans comparer requiredChecks." ;;
         app.no_node) _M="node est nécessaire (page locale de création de l'App) : https://nodejs.org" ;;
         app.step_create) _M="Création de la GitHub App" ;;
         app.exists) _M="App déjà configurée pour ce dépôt (client %s) : rien à recréer." ;;
@@ -750,6 +755,7 @@ _msg_fr() {
         garde.detache) _M="modification refusée : HEAD détaché dans %s.\n  → Se placer sur la branche d'un ticket : repowarden ticket <n>" ;;
         garde.protegee) _M="modification refusée : « %s » est une branche protégée.\n  → Travailler sur la branche d'un ticket : repowarden ticket <n>" ;;
         garde.protegee_libre) _M="modification refusée : « %s » est une branche protégée.\n  → Créer une branche de travail : git switch -c <type>/<sujet>" ;;
+        garde.config_verification) _M="réglage d'un outil de vérification : décision du mainteneur ; corriger le code plutôt que la règle (« %s »).\n  → Corriger le code, jamais la règle ; seul le mainteneur règle l'outil (réglage repowarden.agentsConfig = true)." ;;
         garde.carte) _M="  → Avant de modifier %s, une fois sur la bonne branche : repowarden carte %s (fonctions, tests, tickets)" ;;
         garde.hors_ticket) _M="modification refusée : la branche « %s » n'est pas celle d'un ticket (<type>/<n>-<sujet>).\n  → Prendre le ticket : repowarden ticket <n>" ;;
         garde.branche) _M="commande refusée : « %s » crée une branche ; ici, la branche naît du ticket.\n  → repowarden ticket <n>" ;;

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "repowarden",
-  "version": "4.13.2-next.1",
+  "version": "4.14.0-next.5",
   "description": "Hooks git et CI multi-langages : messages de commit, nommage des branches, secrets, formatage, tests ciblés, code mort, releases.",
   "keywords": [
     "git-hooks",