repowarden 4.7.1 → 4.7.2-next.6

package/bin/npm-publication

@@ -24,11 +24,13 @@ source "$ROOT/hooks/lib/common.sh"
 REPO=""
 WORKFLOW="release.yml"
 ENVIRONMENT=""
+DRY_RUN=false
 while [ $# -gt 0 ]; do
     case "$1" in
         --repo) shift; REPO="${1:?--repo attend propriétaire/nom}" ;;
         --workflow) shift; WORKFLOW="${1:?--workflow attend un fichier}" ;;
         --environnement | --environment) shift; ENVIRONMENT="${1:?--environnement attend un nom}" ;;
+        --dry-run) DRY_RUN=true ;;
         -h | --help) sed -n '2,17p' "$0" | sed 's/^# \{0,1\}//'; exit 0 ;;
         *) err_t install.unknown_arg "$1"; exit 1 ;;
     esac
@@ -50,6 +52,67 @@ name="$(node -p 'require("./package.json").name')"
 # les doublons, y compris celui d'une tentative interrompue) ; tous révoqués à la fin
 TOKEN_PREFIX="repowarden-ci-${REPO##*/}"
 
+# Vérifie si une relation de confiance correspond aux paramètres attendus.
+# Affiche l'écart si --dry-run ou pour confirmation.
+# Retourne : 0 = match, 1 = pas de relation, 2 = relation différente
+verifier_trust() {
+    local json attendu_repo="$REPO" attendu_file="$WORKFLOW" attendu_env="$ENVIRONMENT"
+    json="$(npm trust list "$name" --json 2>/dev/null || echo '[]')"
+    if [ "$json" = "[]" ] || [ -z "$json" ]; then
+        return 1
+    fi
+    local match=0 id repo file env allow_publish
+    while IFS=$'\t' read -r id repo file env allow_publish; do
+        [ -n "$id" ] || continue
+        if [ "$repo" = "$attendu_repo" ] && [ "$file" = "$attendu_file" ] && [ "$env" = "$attendu_env" ] && [ "$allow_publish" = "true" ]; then
+            match=1
+            break
+        fi
+    done < <(node -e "
+        const data = $json;
+        for (const t of data) {
+            const id = t.id || t.key;
+            const repo = t.repository || t.repo || '';
+            const file = t.file || t.workflow || '';
+            const env = t.environment || t.env || '';
+            const allowPublish = t.allowPublish === true || t['allow-publish'] === true;
+            console.log(id + '\t' + repo + '\t' + file + '\t' + env + '\t' + allowPublish);
+        }
+    ")
+    if [ "$match" = 1 ]; then
+        return 0
+    fi
+    return 2
+}
+
+# Affiche les détails d'une relation de confiance pour diagnostic
+afficher_trust() {
+    local json
+    json="$(npm trust list "$name" --json 2>/dev/null || echo '[]')"
+    if [ "$json" = "[]" ] || [ -z "$json" ]; then
+        echo "  (aucune relation de confiance)"
+        return
+    fi
+    node -e "
+        const data = $json;
+        for (const t of data) {
+            const id = t.id || t.key;
+            const repo = t.repository || t.repo || '(inconnu)';
+            const file = t.file || t.workflow || '(inconnu)';
+            const env = t.environment || t.env || '(aucun)';
+            const allowPublish = t.allowPublish === true || t['allow-publish'] === true;
+            const allowStagePublish = t.allowStagePublish === true || t['allow-stage-publish'] === true;
+            console.log('  ID: ' + id);
+            console.log('  Dépôt: ' + repo);
+            console.log('  Workflow: ' + file);
+            console.log('  Environnement: ' + env);
+            console.log('  npm publish: ' + (allowPublish ? 'oui' : 'non'));
+            console.log('  npm stage publish: ' + (allowStagePublish ? 'oui' : 'non'));
+            console.log('');
+        }
+    "
+}
+
 brand "npm · $name · $REPO"
 
 # 1. Connexion npm : entre toi et npm (navigateur ou mot de passe)
@@ -127,16 +190,82 @@ fi
 
 # 3. Publication de confiance, puis plus aucun jeton
 step_t npm.step_trust
-if grep -q '"id"' <<<"$(npm trust list "$name" --json 2>/dev/null || true)"; then
+verifier_trust
+cas=$?
+if [ "$cas" = 0 ]; then
     ok_t npm.trust_exists
+elif [ "$cas" = 1 ]; then
+    # Aucune relation : créer
+    if [ "$DRY_RUN" = true ]; then
+        info_t npm.trust_would_create "$REPO" "$WORKFLOW" "${ENVIRONMENT:-(aucun)}"
+    else
+        npm trust github "$name" --file "$WORKFLOW" --repo "$REPO" ${ENVIRONMENT:+--env "$ENVIRONMENT"} --allow-publish --yes
+        ok_t npm.trust_set "$REPO" "$WORKFLOW"
+    fi
 else
-    npm trust github "$name" --file "$WORKFLOW" --repo "$REPO" ${ENVIRONMENT:+--env "$ENVIRONMENT"} --allow-publish --yes
-    ok_t npm.trust_set "$REPO" "$WORKFLOW"
+    # Relation différente : afficher l'écart, demander confirmation, corriger sans perte
+    attention_t npm.trust_mismatch
+    afficher_trust
+    echo "  Attendu :"
+    echo "  Dépôt: $REPO"
+    echo "  Workflow: $WORKFLOW"
+    echo "  Environnement: ${ENVIRONMENT:-(aucun)}"
+    echo "  npm publish: oui"
+    echo ""
+    if [ "$DRY_RUN" = true ]; then
+        info_t npm.trust_would_fix
+    else
+        # Confirmation avant changement
+        if [ -t 0 ]; then
+            t npm.trust_confirm
+            read -r -p "  $REPLY" rep
+            echo
+            [[ "$rep" =~ ^[OoYy]$ ]] || { err_t npm.trust_cancelled; exit 1; }
+        fi
+        # Créer la nouvelle relation AVANT de révoquer l'ancienne (pas de perte)
+        npm trust github "$name" --file "$WORKFLOW" --repo "$REPO" ${ENVIRONMENT:+--env "$ENVIRONMENT"} --allow-publish --yes
+        ok_t npm.trust_set "$REPO" "$WORKFLOW"
+        # Révoquer l'ancienne relation
+        json="$(npm trust list "$name" --json 2>/dev/null || echo '[]')"
+        old_id="$(node -e "
+            const data = $json;
+            for (const t of data) {
+                const id = t.id || t.key;
+                const repo = t.repository || t.repo || '';
+                const file = t.file || t.workflow || '';
+                const env = t.environment || t.env || '';
+                const allowPublish = t.allowPublish === true || t['allow-publish'] === true;
+                if (repo !== '$REPO' || file !== '$WORKFLOW' || env !== '$ENVIRONMENT' || allowPublish !== true) {
+                    console.log(id);
+                }
+            }
+        ")"
+        for id in $old_id; do
+            [ -n "$id" ] && npm trust revoke "$name" --id "$id" --yes && ok_t npm.trust_revoked "$id"
+        done
+    fi
 fi
 gh variable set REPOWARDEN_NPM --repo "$REPO" --body true
 if grep -q '^NPM_TOKEN' <<<"$(gh secret list --repo "$REPO")"; then
-    gh secret delete NPM_TOKEN --repo "$REPO"
-    ok_t npm.token_removed
+    if [ "$cas" = 0 ] || [ "$cas" = 2 ]; then
+        # Relation de confiance OK (ou corrigée) : signaler le token et proposer suppression
+        attention_t npm.token_present
+        if [ "$DRY_RUN" = true ]; then
+            info_t npm.token_would_remove
+        elif [ -t 0 ]; then
+            t npm.token_remove_confirm
+            read -r -p "  $REPLY" rep
+            echo
+            [[ "$rep" =~ ^[OoYy]$ ]] && gh secret delete NPM_TOKEN --repo "$REPO" && ok_t npm.token_removed
+        else
+            gh secret delete NPM_TOKEN --repo "$REPO"
+            ok_t npm.token_removed
+        fi
+    else
+        # Pas de relation de confiance : supprimer silencieusement (comportement existant)
+        gh secret delete NPM_TOKEN --repo "$REPO"
+        ok_t npm.token_removed
+    fi
 fi
 # Jetons temporaires révoqués sur npm (retrouvés par leur préfixe). npm peut
 # demander un code 2FA : la commande garde le terminal (questions visibles)

package/bin/proteger

@@ -308,6 +308,60 @@ sig_attendue() {
         "$(sed -n 's/.*"require_last_push_approval": \([a-z]*\).*/\1/p' <<<"$r")" \
         "$(sed -n 's/.*"require_code_owner_review": \([a-z]*\).*/\1/p' <<<"$r")" "$deps" "$checks"
 }
+# Anciens rulesets : rulesets de branche du dépôt, sous un autre nom que ceux
+# de repowarden, qui exigent encore la vérification « repogarde » (retirée en
+# v4) ; posés à la main ou par une ancienne version. Laissés à côté, ils
+# bloqueraient les branches pour toujours. Une ligne par ruleset dans ANCIENS :
+# id, nom, branches couvertes (~DEFAULT_BRANCH résolu : la branche par défaut
+# change ensuite dans le flux develop), séparés par des tabulations.
+# shellcheck disable=SC2016 # expressions jq (gh --jq), pas du shell
+anciens_rulesets() {
+    local ids id ligne defaut=""
+    ANCIENS=""
+    ids="$(gh api "repos/$REPO/rulesets" --jq '.[] | select(.target == "branch"
+        and (.source_type // "Repository") == "Repository"
+        and (.name | test("^(repowarden|repogarde)( \\(.*\\))?$") | not)) | .id')" || return 0
+    for id in $ids; do
+        ligne="$(gh api "repos/$REPO/rulesets/$id" --jq 'select([.rules[]? | select(.type == "required_status_checks")
+            | .parameters.required_status_checks[].context] | index("repogarde"))
+            | "\(.id)\t\(.name)\t\(.conditions.ref_name.include | join(" "))"')" || continue
+        [ -n "$ligne" ] || continue
+        if [[ "$ligne" == *"~DEFAULT_BRANCH"* ]]; then
+            [ -n "$defaut" ] || defaut="$(gh api "repos/$REPO" --jq .default_branch)"
+            ligne="${ligne//\~DEFAULT_BRANCH/refs/heads/$defaut}"
+        fi
+        ANCIENS="$ANCIENS$ligne"$'\n'
+    done
+}
+
+# Ancien ruleset (ligne de ANCIENS) couvrant une des branches du ruleset $2 (JSON)
+couvre() {
+    local motifs m b
+    read -ra motifs <<<"$(cut -f3 <<<"$1")"
+    for m in ${motifs[@]+"${motifs[@]}"}; do
+        [ "$m" != "~ALL" ] || return 0
+        for b in $(grep -o '"refs/heads/[^"]*"' <<<"$2" | tr -d '"'); do
+            # shellcheck disable=SC2053 # motif de GitHub (refs/heads/release/*)
+            [[ "$b" != $m ]] || return 0
+        done
+    done
+    return 1
+}
+
+# Réponse d'erreur de GitHub (JSON) → « message : erreurs », lisible
+erreur_github() {
+    local message="" erreurs="" re_message='"message": *"([^"]*)"' re_erreurs='"errors": *\[([^]]*)\]'
+    [[ ! "$1" =~ $re_message ]] || message="${BASH_REMATCH[1]}"
+    [[ ! "$1" =~ $re_erreurs ]] || erreurs="${BASH_REMATCH[1]//\"/}"
+    if [ -n "$message" ]; then
+        REPLY="$message${erreurs:+ : $erreurs}"
+    else
+        REPLY="$(tr '\n' ' ' <<<"$1")"
+    fi
+}
+
+anciens_rulesets
+
 # shellcheck disable=SC2016 # expression jq (gh --jq), pas du shell
 SIG_EN_LIGNE='(.rules | map(select(.type == "pull_request"))[0].parameters) as $p
     | "approbations=\($p.required_approving_review_count) dernier_push=\($p.require_last_push_approval) codeowners=\($p.require_code_owner_review) deploiement=\([.rules[] | select(.type == "required_deployments") | .parameters.required_deployment_environments[]] | join(",")) verifications=\([.rules[] | select(.type == "required_status_checks") | .parameters.required_status_checks[].context] | sort | join(","))"'
@@ -335,6 +389,11 @@ if [ -n "$VERIFY" ]; then
             ecarts=$((ecarts + 1))
         fi
     done
+    while IFS=$'\t' read -r id name _; do
+        [ -n "$id" ] || continue
+        err_t ci.proteger.verify_legacy "$name" "$id"
+        ecarts=$((ecarts + 1))
+    done <<<"$ANCIENS"
     [ "$ecarts" = 0 ] || { err_t ci.proteger.verify_fix; exit 1; }
     ok_t ci.proteger.verify_ok
     exit 0
@@ -361,6 +420,7 @@ gh api -X PATCH "repos/$REPO" --silent "${settings[@]}"
 gh api -X PUT "repos/$REPO/actions/permissions/workflow" --silent \
     -f default_workflow_permissions=read -F can_approve_pull_request_reviews=true
 
+echecs=0
 for ruleset in "${rulesets[@]}"; do
     name="$(sed -n 's/^  "name": "\(.*\)",$/\1/p' <<<"$ruleset")"
     # Ruleset posé sous l'ancien nom (repogarde, v3) : repris et renommé, sinon
@@ -368,14 +428,45 @@ for ruleset in "${rulesets[@]}"; do
     old="${name/repowarden/repogarde}"
     id="$(gh api "repos/$REPO/rulesets" \
         --jq "([.[] | select(.name == \"$name\")] + [.[] | select(.name == \"$old\")]) | .[0].id // empty")"
+    # Sinon, un ancien ruleset sous un autre nom couvrant ses branches : repris
+    # (mis à jour en place, jamais un instant sans protection)
+    repris=""
+    if [ -z "$id" ] && grep -q '"target": "branch"' <<<"$ruleset"; then
+        while IFS= read -r ligne; do
+            { [ -n "$ligne" ] && couvre "$ligne" "$ruleset"; } || continue
+            id="${ligne%%$'\t'*}"
+            repris="$(cut -f2 <<<"$ligne")"
+            ANCIENS="$(grep -v "^$id"$'\t' <<<"$ANCIENS" || true)"
+            break
+        done <<<"$ANCIENS"
+    fi
     if [ -n "$id" ]; then
-        gh api -X PUT "repos/$REPO/rulesets/$id" --input - <<<"$ruleset" >/dev/null
-        ok_t ci.proteger.10 "$name"
+        methode=PUT chemin="repos/$REPO/rulesets/$id"
+    else
+        methode=POST chemin="repos/$REPO/rulesets"
+    fi
+    # Réponse gardée : en cas de refus, le détail de GitHub est affiché
+    if reponse="$(gh api -X "$methode" "$chemin" --input - <<<"$ruleset" 2>&1)"; then
+        if [ -n "$repris" ]; then
+            ok_t ci.proteger.legacy_taken "$name" "$repris"
+        elif [ -n "$id" ]; then
+            ok_t ci.proteger.10 "$name"
+        else
+            ok_t ci.proteger.11 "$name"
+        fi
     else
-        gh api -X POST "repos/$REPO/rulesets" --input - <<<"$ruleset" >/dev/null
-        ok_t ci.proteger.11 "$name"
+        erreur_github "$reponse"
+        err_t ci.proteger.api_error "$name" "$REPLY"
+        echecs=$((echecs + 1))
     fi
 done
+# Anciens rulesets non repris (plusieurs sur les mêmes branches) : jamais
+# supprimés ici, la marche à suivre est donnée
+while IFS=$'\t' read -r id name _; do
+    [ -n "$id" ] || continue
+    err_t ci.proteger.legacy_left "$name" "$id" "$REPO" "$id"
+    echecs=$((echecs + 1))
+done <<<"$ANCIENS"
 if [ -n "$env_json" ]; then
     gh api -X PUT "repos/$REPO/environments/$ENVIRONMENT" --input - --silent <<<"$env_json"
     policies="$(gh api "repos/$REPO/environments/$ENVIRONMENT/deployment-branch-policies" \
@@ -389,4 +480,5 @@ if [ -n "$env_json" ]; then
 fi
 [ -z "$urgent" ] || gh label create urgent -R "$REPO" --color B60205 \
     --description "Livraison immédiate après merge" >/dev/null
+[ "$echecs" = 0 ] || { err_t ci.proteger.incomplete; exit 1; }
 ok_t ci.proteger.13

package/hooks/lib/i18n/en.sh

@@ -301,6 +301,11 @@ _msg_en() {
         ci.proteger.tags_none) _M="not protected (--sans-tags)" ;;
         ci.proteger.unknown_team) _M="Unknown or inaccessible team: %s (format @organisation/team)" ;;
         ci.proteger.unknown_user) _M="Unknown user: %s" ;;
+        ci.proteger.legacy_taken) _M="Ruleset \"%s\": old ruleset \"%s\" taken over (repogarde check removed)." ;;
+        ci.proteger.legacy_left) _M="Old ruleset \"%s\" (id %s): still requires the repogarde check, removed in v4, and blocks its branches. Delete it: Settings → Rules → Rulesets, or gh api -X DELETE repos/%s/rulesets/%s." ;;
+        ci.proteger.verify_legacy) _M="%s (id %s): old ruleset, still requires the repogarde check (removed in v4)" ;;
+        ci.proteger.api_error) _M="Ruleset \"%s\" rejected by GitHub: %s" ;;
+        ci.proteger.incomplete) _M="Incomplete protection: see the errors above." ;;
         ci.version.usage) _M="Usage: ci/version.sh next|notes [ref]" ;;
         ci.version.breaking) _M="Breaking changes" ;;
         ci.version.features) _M="Features" ;;
@@ -360,7 +365,16 @@ _msg_en() {
         npm.first_published) _M="%s@%s published by the pipeline." ;;
         npm.step_trust) _M="3/3 Tokenless publishing (trusted publishing)" ;;
         npm.trust_exists) _M="Trusted publishing already configured." ;;
+        npm.trust_mismatch) _M="Existing trust relationship does not match expected parameters:" ;;
+        npm.trust_confirm) _M="Confirm fix (new relationship created before revoking old)? [y/N] " ;;
+        npm.trust_cancelled) _M="Fix cancelled." ;;
+        npm.trust_would_create) _M="[dry-run] Trust relationship would be created: %s, workflow %s, env %s" ;;
+        npm.trust_would_fix) _M="[dry-run] Trust relationship would be fixed (new created, old revoked)" ;;
+        npm.trust_revoked) _M="Old trust relationship revoked: %s" ;;
         npm.trust_set) _M="Trusted publishing: %s, workflow %s." ;;
+        npm.token_present) _M="NPM_TOKEN secret still present while trusted publishing works." ;;
+        npm.token_remove_confirm) _M="Remove NPM_TOKEN secret? [y/N] " ;;
+        npm.token_would_remove) _M="[dry-run] NPM_TOKEN secret would be removed" ;;
         npm.token_removed) _M="NPM_TOKEN secret removed from the repository." ;;
         npm.token_revoked) _M="Temporary token revoked on npm." ;;
         npm.done) _M="Done: every release publishes %s to npm, without a token." ;;

package/hooks/lib/i18n/fr.sh

@@ -301,6 +301,11 @@ _msg_fr() {
         ci.proteger.tags_none) _M="non protégés (--sans-tags)" ;;
         ci.proteger.unknown_team) _M="Équipe inconnue ou inaccessible : %s (format @organisation/equipe)" ;;
         ci.proteger.unknown_user) _M="Utilisateur inconnu : %s" ;;
+        ci.proteger.legacy_taken) _M="Ruleset « %s » : ancien ruleset « %s » repris (vérification repogarde retirée)." ;;
+        ci.proteger.legacy_left) _M="Ancien ruleset « %s » (id %s) : exige encore la vérification repogarde, retirée en v4, et bloque ses branches. Le supprimer : Settings → Rules → Rulesets, ou gh api -X DELETE repos/%s/rulesets/%s." ;;
+        ci.proteger.verify_legacy) _M="%s (id %s) : ancien ruleset, exige encore la vérification repogarde (retirée en v4)" ;;
+        ci.proteger.api_error) _M="Ruleset « %s » refusé par GitHub : %s" ;;
+        ci.proteger.incomplete) _M="Protection incomplète : voir les erreurs ci-dessus." ;;
         ci.version.usage) _M="Usage : ci/version.sh next|notes [ref]" ;;
         ci.version.breaking) _M="Changements incompatibles" ;;
         ci.version.features) _M="Fonctionnalités" ;;
@@ -360,7 +365,16 @@ _msg_fr() {
         npm.first_published) _M="%s@%s publié par la pipeline." ;;
         npm.step_trust) _M="3/3 Publication sans jeton (publication de confiance)" ;;
         npm.trust_exists) _M="Publication de confiance déjà configurée." ;;
+        npm.trust_mismatch) _M="Relation de confiance existante mais ne correspond pas aux paramètres attendus :" ;;
+        npm.trust_confirm) _M="Confirmer la correction (nouvelle relation créée avant révocation de l'ancienne) ? [o/N] " ;;
+        npm.trust_cancelled) _M="Correction annulée." ;;
+        npm.trust_would_create) _M="[dry-run] Relation de confiance serait créée : %s, workflow %s, env %s" ;;
+        npm.trust_would_fix) _M="[dry-run] Relation de confiance serait corrigée (nouvelle créée, ancienne révoquée)" ;;
+        npm.trust_revoked) _M="Ancienne relation de confiance révoquée : %s" ;;
         npm.trust_set) _M="Publication de confiance : %s, workflow %s." ;;
+        npm.token_present) _M="Secret NPM_TOKEN encore présent alors que la publication de confiance fonctionne." ;;
+        npm.token_remove_confirm) _M="Supprimer le secret NPM_TOKEN ? [o/N] " ;;
+        npm.token_would_remove) _M="[dry-run] Secret NPM_TOKEN serait supprimé" ;;
         npm.token_removed) _M="Secret NPM_TOKEN supprimé du dépôt." ;;
         npm.token_revoked) _M="Jeton temporaire révoqué sur npm." ;;
         npm.done) _M="Terminé : chaque release publie %s sur npm, sans jeton." ;;

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "repowarden",
-  "version": "4.7.1",
+  "version": "4.7.2-next.6",
   "description": "Hooks git et CI multi-langages : messages de commit, nommage des branches, secrets, formatage, tests ciblés, code mort, releases.",
   "keywords": [
     "git-hooks",