repowarden 4.2.0 → 4.2.1

package/bin/app

@@ -90,7 +90,8 @@ else
             if (process.env.ADMIN) perms.administration = "write";
             const manifeste = JSON.stringify({
                 name: process.env.NOM, url: "https://github.com/" + process.env.REPO,
-                hook_attributes: { active: false }, public: false,
+                // Webhook inactif : GitHub exige tout de même son adresse
+                hook_attributes: { url: "https://github.com/" + process.env.REPO, active: false }, public: false,
                 redirect_url: "http://127.0.0.1:" + port + "/fin", default_permissions: perms,
             }).replace(/&/g, "&").replace(/"/g, """);
             res.writeHead(200, { "Content-Type": "text/html; charset=utf-8" });
@@ -114,8 +115,9 @@ else
     reponse="$(gh api -X POST "app-manifests/$code/conversions")"
     client_id="$(node -p 'JSON.parse(require("fs").readFileSync(0, "utf8")).client_id' <<<"$reponse")"
     slug="$(node -p 'JSON.parse(require("fs").readFileSync(0, "utf8")).slug' <<<"$reponse")"
-    node -e 'process.stdout.write(JSON.parse(require("fs").readFileSync(0, "utf8")).pem)' <<<"$reponse" |
-        gh secret set REPOWARDEN_APP_KEY --repo "$REPO"
+    # Clé gardée en mémoire le temps de vérifier l'installation, jamais affichée
+    cle="$(node -e 'process.stdout.write(JSON.parse(require("fs").readFileSync(0, "utf8")).pem)' <<<"$reponse")"
+    printf '%s' "$cle" | gh secret set REPOWARDEN_APP_KEY --repo "$REPO"
     reponse=""
     gh variable set REPOWARDEN_APP_CLIENT_ID --repo "$REPO" --body "$client_id"
     gh variable set REPOWARDEN_APP_SLUG --repo "$REPO" --body "$slug"
@@ -124,18 +126,33 @@ fi
 
 # 2. Installation sur le dépôt (vérifiée depuis tes installations)
 step_t app.step_install
+# Vérifiée au nom de l'App (jeton signé avec sa clé, valable 10 min) : le jeton
+# de gh ne peut pas lister les installations d'une App
 installee() {
-    local id
-    id="$(gh api user/installations --paginate -q ".installations[] | select(.app_slug == \"$slug\") | .id" 2>/dev/null | sed -n 1p)"
-    [ -n "$id" ] || return 1
-    grep -qxF "$REPO" <<<"$(gh api "user/installations/$id/repositories" --paginate -q '.repositories[].full_name' 2>/dev/null)"
+    local jwt
+    jwt="$(CLE="$cle" CID="$client_id" node -e '
+        const c = require("crypto"), now = Math.floor(Date.now() / 1000);
+        const b = (o) => Buffer.from(JSON.stringify(o)).toString("base64url");
+        const t = b({ alg: "RS256", typ: "JWT" }) + "." + b({ iat: now - 60, exp: now + 540, iss: process.env.CID });
+        process.stdout.write(t + "." + c.sign("RSA-SHA256", Buffer.from(t), process.env.CLE).toString("base64url"));
+    ' 2>/dev/null)" || return 1
+    gh api "repos/$REPO/installation" -H "Authorization: Bearer $jwt" >/dev/null 2>&1
 }
+cle="${cle:-}"
+if [ -z "$cle" ]; then
+    # Relance (clé non disponible ici) : vérifiée au premier run du suivi des tickets
+    info_t app.check_in_ci "https://github.com/apps/$slug/installations/new"
+    echo
+    ok_t app.done
+    exit 0
+fi
 if [ -n "$slug" ] && ! installee; then
     info_t app.open "https://github.com/apps/$slug/installations/new"
     ouvrir "https://github.com/apps/$slug/installations/new"
     for _ in $(seq 1 120); do installee && break; sleep 5; done
 fi
 if [ -n "$slug" ] && installee; then
+    cle=""
     ok_t app.installed "$slug" "$REPO"
 else
     attention_t app.not_installed "$slug" "$REPO"

package/hooks/lib/i18n/en.sh

@@ -374,6 +374,7 @@ _msg_en() {
         app.step_install) _M="Installing on the repository" ;;
         app.installed) _M="App %s installed on %s." ;;
         app.not_installed) _M="App %s not installed on %s yet: run repowarden app init again once installed." ;;
+        app.check_in_ci) _M="Installation checked by the first ticket tracking run (\"Jeton de l'App\" step); to install it: %s" ;;
         app.done) _M="repowarden workflows now use the App: what they do triggers the other workflows." ;;
         app.next) _M="Without the App (variable and secret missing), they fall back to the Actions token." ;;
         tk.reopened) _M="Reopened: closed by GitHub when #%s was merged into \`%s\`, which is not production yet. In pre-production; it will be closed at the release." ;;

package/hooks/lib/i18n/fr.sh

@@ -374,6 +374,7 @@ _msg_fr() {
         app.step_install) _M="Installation sur le dépôt" ;;
         app.installed) _M="App %s installée sur %s." ;;
         app.not_installed) _M="App %s pas encore installée sur %s : relance repowarden app init une fois installée." ;;
+        app.check_in_ci) _M="Installation vérifiée au premier run du suivi des tickets (étape « Jeton de l'App ») ; pour l'installer : %s" ;;
         app.done) _M="Les workflows repowarden utilisent désormais l'App : ce qu'ils font déclenche les autres workflows." ;;
         app.next) _M="Sans l'App (variable et secret absents), ils reprennent le jeton des Actions." ;;
         tk.reopened) _M="Rouvert : fermé par GitHub au merge de #%s dans \`%s\`, ce n'est pas encore la production. En préprod ; il sera fermé à la release." ;;

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "repowarden",
-  "version": "4.2.0",
+  "version": "4.2.1",
   "description": "Hooks git et CI multi-langages : messages de commit, nommage des branches, secrets, formatage, tests ciblés, code mort, releases.",
   "keywords": [
     "git-hooks",