repowarden 4.3.0-next.4 → 4.3.0-next.6

package/bin/proteger

@@ -14,7 +14,7 @@
 #                [--sans-tags] [--dry-run]
 # --sans-tags : dépôt qui déplace lui-même un tag (tag majeur flottant v2…).
 # Réglages équivalents dans .repowarden.conf (requiredReviews, codeOwnerReview,
-# unattributedApproval, environment, environmentReviewers). Demande un gh connecté, admin du dépôt.
+# unattributedApproval, deliveryApproval, environment, environmentReviewers). Demande un gh connecté, admin du dépôt.
 set -euo pipefail
 
 ROOT="$(cd "$(dirname "${BASH_SOURCE[0]}")/.." && pwd -P)"
@@ -94,7 +94,8 @@ refs_json() { # branches → "refs/heads/a", "refs/heads/b"
 
 # Ruleset de branches : $1 nom, $2 branches (liste), $3 méthodes de merge (JSON),
 # $4 PR à jour exigée (défaut true), $5 approbations (défaut REVIEWS),
-# $6 dernier push approuvé par un autre (défaut selon REVIEWS)
+# $6 dernier push approuvé par un autre (défaut selon REVIEWS),
+# $7 règle supplémentaire (JSON), ex. déploiement réussi exigé
 branch_ruleset() {
     # shellcheck disable=SC2086 # liste de branches volontairement découpée
     cat <<JSON
@@ -118,7 +119,8 @@ branch_ruleset() {
     {"type": "required_status_checks", "parameters": {
       "strict_required_status_checks_policy": ${4:-true},
       "do_not_enforce_on_create": false,
-      "required_status_checks": [$contexts]}}
+      "required_status_checks": [$contexts]}}${7:+,
+    $7}
   ]
 }
 JSON
@@ -161,12 +163,25 @@ if [ -n "$integration" ]; then
     # le mainteneur peut donc l'approuver), sans exiger un autre approbateur
     # que l'auteur du dernier push sauf si des relectures sont configurées
     livraison=$((REVIEWS > 0 ? REVIEWS : 1))
+    # deliveryApproval = deployment (défaut) : la validation humaine est
+    # l'approbation de l'environnement de livraison (« Approve and deploy »),
+    # exigée par une règle de main (déploiement réussi) ; la revue de PR n'est
+    # plus nécessaire (relectures configurées : gardées). review : revue de PR.
+    cfg_r deliveryApproval deployment
+    DELIVERY="$REPLY"
+    [[ "$DELIVERY" =~ ^(deployment|review)$ ]] || { err_t ci.proteger.delivery_invalid; exit 1; }
+    deploiement=""
+    if [ "$DELIVERY" = deployment ]; then
+        ENVIRONMENT="${ENVIRONMENT:-production}"
+        livraison="$REVIEWS"
+        deploiement="{\"type\": \"required_deployments\", \"parameters\": {\"required_deployment_environments\": [\"$ENVIRONMENT\"]}}"
+    fi
     # PR à jour non exigée non plus : le merge commit d'une livraison n'existe
     # que sur main ; strict, la livraison suivante serait bloquée tant que
     # develop ne l'a pas reçu (retour main → develop vide après chaque
     # release). Une livraison n'apporte que develop, vérifiée par la CI ; le
     # retour reste fait quand main a un contenu propre (correctif direct).
-    [ -z "$others" ] || rulesets+=("$(branch_ruleset repowarden "$others" '"merge"' false "$livraison" "$last_push")")
+    [ -z "$others" ] || rulesets+=("$(branch_ruleset repowarden "$others" '"merge"' false "$livraison" "$last_push" "$deploiement")")
     # Branche d'intégration : PR à jour non exigée. Le retour de main (après
     # une release) serait sinon presque toujours en retard, et « mettre à jour »
     # fusionnerait develop dans main en contournant la livraison ; la CI
@@ -215,7 +230,11 @@ echo_t ci.proteger.1 "$REPO"
 echo_t ci.proteger.2 "$existing"
 echo_t ci.proteger.3 "$CHECKS"
 echo_t ci.proteger.4 "$methods" "$delete_on_merge"
-[ -z "$integration" ] || echo_t ci.proteger.delivery "$livraison" "$auto_merge"
+if [ -n "$integration" ] && [ "$DELIVERY" = deployment ]; then
+    echo_t ci.proteger.delivery_deploy "$ENVIRONMENT" "$auto_merge"
+elif [ -n "$integration" ]; then
+    echo_t ci.proteger.delivery "$livraison" "$auto_merge"
+fi
 echo_t ci.proteger.5 "$tags_msg"
 [ -z "$integration" ] || echo_t ci.proteger.6 "$integration"
 echo_t ci.proteger.7 "$REVIEWS" "$CODEOWNERS" "$UNATTRIBUTED"

package/hooks/commit-msg

@@ -8,6 +8,29 @@ exit_if_skipped
 run_local_hook "$@"
 
 MSG_FILE="$1"
+
+# Agents IA : signatures retirées du message, identité d'agent refusée
+if agents_refused; then
+    agent_lines_r "$(cat "$MSG_FILE")"
+    if [ -n "$REPLY" ]; then
+        while IFS= read -r ligne; do attention_t hook.agent_stripped "$ligne"; done <<<"$REPLY"
+        # grep -a : texte même avec un emoji (Windows le croirait binaire) ;
+        # contenu réécrit dans le même fichier (git le garde ouvert sous Windows)
+        filtre="$(LC_ALL=C grep -aviE "$AGENT_LINE_ERE" "$MSG_FILE" || true)"
+        printf '%s\n' "$filtre" >"$MSG_FILE"
+    fi
+    for ident in GIT_AUTHOR_IDENT GIT_COMMITTER_IDENT; do
+        id="$(git var "$ident" 2>/dev/null || true)"
+        nom="${id%% <*}"
+        mail="${id#*<}"
+        mail="${mail%%>*}"
+        if agent_identity "$nom" "$mail"; then
+            err_t hook.agent_identity "$nom <$mail>"
+            echo_t hook.agent_identity_fix
+            exit 1
+        fi
+    done
+fi
 # Première ligne non commentée
 SUBJECT="$(grep -v '^#' "$MSG_FILE" | sed -n 1p)"
 

package/hooks/lib/common.sh

@@ -169,6 +169,28 @@ persistent_pr_r() {
     esac
 }
 
+# Agents IA (code écrit pour quelqu'un) : ni auteur ni committer d'un commit,
+# ni signature dans un message (Co-Authored-By, « Generated with »). Les bots
+# d'automatisation (github-actions, App repowarden, Dependabot) ne sont pas
+# concernés. Réglage allowAgentSignatures = true pour les autoriser.
+AGENT_EMAIL_RE='^(noreply@anthropic\.com|[0-9]+\+[Cc]opilot@users\.noreply\.github\.com|cursoragent@cursor\.com|devin-ai-integration\[bot\]@users\.noreply\.github\.com)$'
+AGENT_NAME_RE='^(Claude|Claude Code|Copilot|Cursor Agent|Devin AI)$'
+# Lignes de signature (grep -iE, insensible à la casse)
+# (locale C : un emoji en tête de ligne, comme « 🤖 Generated with », reste
+# des octets quelconques, y compris sous Windows ; motifs en ASCII)
+AGENT_LINE_ERE='(^[[:space:]]*co-authored-by:.*(anthropic\.com|copilot@users\.noreply\.github\.com|cursor\.com|devin-ai-integration))|(generated (with|by) \[?(claude|github copilot|copilot|cursor|devin))'
+
+# Vrai si les signatures d'agents sont refusées (défaut)
+agents_refused() { cfg_r allowAgentSignatures false; [ "$REPLY" != true ]; }
+
+# Vrai si l'identité $1 (nom) / $2 (e-mail) est celle d'un agent IA
+agent_identity() { [[ "$2" =~ $AGENT_EMAIL_RE || "$1" =~ $AGENT_NAME_RE ]]; }
+
+# REPLY = premières lignes de signature d'agent du texte $1 (vide si aucune)
+agent_lines_r() {
+    REPLY="$(LC_ALL=C grep -aiE "$AGENT_LINE_ERE" <<<"$1" || true)"
+}
+
 # Vrai si $1 est un en-tête conforme (format et 72 caractères)
 header_valid() {
     [[ "$1" =~ $CC_PATTERN ]] || return 1

package/hooks/lib/i18n/en.sh

@@ -231,6 +231,13 @@ _msg_en() {
         ci.check.25) _M="Disabled by .repowarden.conf (skip %s)." ;;
         ci.check.26) _M="Failed:%s" ;;
         ci.check.27) _M="All repowarden checks passed." ;;
+        hook.agent_stripped) _M="AI agent signature removed from the message: %s" ;;
+        hook.agent_identity) _M="Commit refused: the author or committer is an AI agent (%s). Commits carry a person's identity." ;;
+        hook.agent_identity_fix) _M="  Fix: git config user.name \"Your Name\" && git config user.email you@mail, then commit again. To allow agents: git config repowarden.allowAgentSignatures true" ;;
+        ci.check.agent_identity) _M="Commit %s: AI agent author or committer (%s); commits carry a person's identity." ;;
+        ci.check.agent_line) _M="Commit %s: AI agent signature in the message (%s)." ;;
+        ci.check.agent_pr_body) _M="PR description: AI agent signature (%s); it would become the commit message when squashing, remove it." ;;
+        ci.check.agent_fix) _M="Rewrite the affected commits with a person's identity, without agent signature (setting repowarden.allowAgentSignatures = true to allow them)." ;;
         ci.check.inverted) _M="PR from \"%s\" to \"%s\": a persistent branch only goes out for a delivery (develop → main) or a back-merge (main → develop). Pointless PR: nothing to check, it is closed automatically." ;;
         ci.check.inverted_fix) _M="To update a work branch: on that branch, git merge origin/%s, then git push." ;;
         ci.check.back_merge) _M="Back-merge of %s into %s (merge commit): the PR title is not checked." ;;
@@ -263,6 +270,8 @@ _msg_en() {
         ci.proteger.13) _M="Settings applied." ;;
         ci.proteger.reviews_invalid) _M="--relecteurs: a number from 0 to 9 is expected." ;;
         ci.proteger.codeowners_invalid) _M="codeOwnerReview: true or false." ;;
+        ci.proteger.delivery_deploy) _M="  delivery into main: approval of the \"%s\" deployment (Approve and deploy), then merged by the GitHub App; auto-merge of work PRs into develop: %s" ;;
+        ci.proteger.delivery_invalid) _M="deliveryApproval: deployment or review." ;;
         ci.proteger.automerge_invalid) _M="autoMergeWork: true or false." ;;
         ci.proteger.unattributed_invalid) _M="unattributedApproval: true or false." ;;
         ci.proteger.no_branch) _M="None of the branches \"%s\" exists on %s." ;;

package/hooks/lib/i18n/fr.sh

@@ -231,6 +231,13 @@ _msg_fr() {
         ci.check.25) _M="Désactivé par .repowarden.conf (skip %s)." ;;
         ci.check.26) _M="Échec :%s" ;;
         ci.check.27) _M="Toutes les vérifications repowarden sont passées." ;;
+        hook.agent_stripped) _M="Signature d'agent IA retirée du message : %s" ;;
+        hook.agent_identity) _M="Commit refusé : l'auteur ou le committer est un agent IA (%s). Les commits portent l'identité d'une personne." ;;
+        hook.agent_identity_fix) _M="  Corriger : git config user.name \"Ton Nom\" && git config user.email ton@mail, puis recommencer le commit. Pour autoriser les agents : git config repowarden.allowAgentSignatures true" ;;
+        ci.check.agent_identity) _M="Commit %s : auteur ou committer agent IA (%s) ; les commits portent l'identité d'une personne." ;;
+        ci.check.agent_line) _M="Commit %s : signature d'agent IA dans le message (%s)." ;;
+        ci.check.agent_pr_body) _M="Description de la PR : signature d'agent IA (%s) ; elle deviendrait le message du commit en squash, à retirer." ;;
+        ci.check.agent_fix) _M="Réécrire les commits concernés avec l'identité d'une personne, sans signature d'agent (réglage repowarden.allowAgentSignatures = true pour les autoriser)." ;;
         ci.check.inverted) _M="PR de « %s » vers « %s » : une branche persistante ne part que pour une livraison (develop → main) ou un retour (main → develop). PR sans objet : rien à vérifier, elle est fermée automatiquement." ;;
         ci.check.inverted_fix) _M="Pour mettre une branche de travail à jour : sur cette branche, git merge origin/%s, puis git push." ;;
         ci.check.back_merge) _M="Retour de %s dans %s (merge commit) : le titre de la PR n'est pas vérifié." ;;
@@ -263,6 +270,8 @@ _msg_fr() {
         ci.proteger.13) _M="Réglages appliqués." ;;
         ci.proteger.reviews_invalid) _M="--relecteurs : nombre de 0 à 9 attendu." ;;
         ci.proteger.codeowners_invalid) _M="codeOwnerReview : true ou false." ;;
+        ci.proteger.delivery_deploy) _M="  livraison vers main : approbation du déploiement « %s » (Approve and deploy), puis merge par la GitHub App ; merge automatique des PR de travail vers develop : %s" ;;
+        ci.proteger.delivery_invalid) _M="deliveryApproval : deployment ou review." ;;
         ci.proteger.automerge_invalid) _M="autoMergeWork : true ou false." ;;
         ci.proteger.unattributed_invalid) _M="unattributedApproval : true ou false." ;;
         ci.proteger.no_branch) _M="Aucune des branches « %s » n'existe sur %s." ;;

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "repowarden",
-  "version": "4.3.0-next.4",
+  "version": "4.3.0-next.6",
   "description": "Hooks git et CI multi-langages : messages de commit, nommage des branches, secrets, formatage, tests ciblés, code mort, releases.",
   "keywords": [
     "git-hooks",