repowarden 4.8.1-next.1 → 4.8.2-next.1

package/bin/bots

@@ -204,7 +204,7 @@ permissions: {}
 jobs:
   release:
     uses: simdevWarden/repowarden/.github/workflows/release-auto.yml@v4
-    permissions: { contents: write, pull-requests: write, actions: write, checks: read, statuses: write }
+    permissions: { contents: write, pull-requests: write, actions: write, checks: read, statuses: write, issues: read }
     with:
       mode: tag
       integration-branch: $INTEGRATION
@@ -243,7 +243,7 @@ permissions: {}
 jobs:
   release:
     uses: simdevWarden/repowarden/.github/workflows/release-auto.yml@v4
-    permissions: { contents: write, pull-requests: write, actions: write, checks: read, statuses: write }
+    permissions: { contents: write, pull-requests: write, actions: write, checks: read, statuses: write, issues: read }
 YAML
         if [ -n "$AVEC_APP" ]; then
             cat <<'YAML'

package/bin/migrer

@@ -125,6 +125,15 @@ if [ -f .github/workflows/repogarde.yml ] && [ ! -e .github/workflows/repowarden
     fait mig.renamed .github/workflows/repogarde.yml .github/workflows/repowarden.yml
 fi
 
+# Releases : notes introduites par les tickets livrés, lisibles sur un dépôt
+# privé seulement avec issues: read (permissions en ligne du job)
+for wf in .github/workflows/*.yml .github/workflows/*.yaml; do
+    [ -f "$wf" ] || continue
+    grep -q 'repowarden/.github/workflows/release-auto.yml' "$wf" || continue
+    reecrire "$wf" -e '/^[[:space:]]*permissions:[[:space:]]*\{[^}]*pull-requests:[^}]*\}/{/issues:/!s/[[:space:]]*\}[[:space:]]*$/, issues: read }/;}' &&
+        fait mig.release_issues "$wf"
+done
+
 # Suivi des tickets d'une version antérieure : sans l'événement push, le
 # premier push d'une branche de ticket n'ouvre pas la PR brouillon préremplie
 # (ni revue, assignation, fermeture : statuts figés). Section on: remplacée

package/bin/proteger

@@ -434,7 +434,14 @@ if [ -n "$DRY_RUN" ]; then
     exit 0
 fi
 
-settings=(-F allow_squash_merge=true -F allow_merge_commit="$merge_commit" -F allow_rebase_merge=false
+# Sans rulesets, le mode de merge ne peut pas être imposé par branche : dans le
+# flux develop, merge commit seul (une livraison squashée casserait l'historique)
+squash=true
+if [ -z "$RULESETS_OK" ] && [ -n "$integration" ]; then
+    squash=false
+    attention_t ci.proteger.no_squash
+fi
+settings=(-F allow_squash_merge="$squash" -F allow_merge_commit="$merge_commit" -F allow_rebase_merge=false
     -F delete_branch_on_merge="$delete_on_merge" -F allow_auto_merge="$auto_merge"
     -f squash_merge_commit_title=PR_TITLE -f squash_merge_commit_message=PR_BODY)
 [ -z "$integration" ] || settings+=(-f default_branch="$integration")

package/ci/tickets/commun.sh

@@ -34,6 +34,13 @@ statut() {
     gh issue edit "$n" --add-label "$s" ${retirer[@]+"${retirer[@]}"} >/dev/null
 }
 
+# Ferme la PR $1 avec le commentaire $2 ; déjà fermée ou mergée entre-temps
+# (merge pendant le run) : rien à faire, pas un échec
+fermer_pr() {
+    gh pr close "$1" --comment "$2" >/dev/null 2>&1 && return 0
+    [ "$(gh pr view "$1" --json state -q .state 2>/dev/null)" != OPEN ]
+}
+
 etiquettes() { gh issue view "$1" --json labels -q '.labels[].name' 2>/dev/null || true; }
 
 # REPLY = « <n° de PR> <branche cible> » de la PR dont le merge a fermé le

package/ci/tickets/issue.sh

@@ -98,7 +98,7 @@ cmd_issue() {
             while IFS= read -r pr; do
                 [ -n "$pr" ] || continue
                 _tr tk.abandoned "$ISSUE"
-                gh pr close "$pr" --comment "$_T" >/dev/null
+                fermer_pr "$pr" "$_T"
             done < <(gh pr list --state open --head "$branche" --json number -q '.[].number')
             gh api -X DELETE "repos/$GH_REPO/git/refs/heads/$branche" >/dev/null
             notice_t tk.branch_deleted "$branche" "$ISSUE"

package/ci/tickets/pr.sh

@@ -15,19 +15,19 @@ cmd_pr() {
         if [[ "$HEAD" == "${INTEGRATION:-develop}" && "${BASE:-}" != "${MAIN:-main}" ]] ||
             [[ "$HEAD" == "${MAIN:-main}" && "${BASE:-}" != "${INTEGRATION:-develop}" ]]; then
             _tr tk.pr_inverted "$HEAD" "${BASE:-}" "${INTEGRATION:-develop}"
-            gh pr close "$PR" --comment "$_T" >/dev/null
+            fermer_pr "$PR" "$_T"
             notice "$_T"
         elif [ "$HEAD" = "${MAIN:-main}" ] &&
             [ "$(gh api "repos/$GH_REPO/compare/$BASE...$HEAD" -q '.files | length')" = 0 ]; then
             _tr tk.pr_backmerge_empty "$HEAD" "$BASE"
-            gh pr close "$PR" --comment "$_T" >/dev/null
+            fermer_pr "$PR" "$_T"
             notice "$_T"
         # Livraison ouverte par le workflow de release : celle d'une personne
         # n'aurait jamais d'approbation de déploiement, elle resterait bloquée
         elif [ "$HEAD" = "${INTEGRATION:-develop}" ] && [ "${DELIVERY_WORKFLOW:-false}" = true ] &&
             [[ "${AUTHOR:-}" != *"[bot]" ]]; then
             _tr tk.pr_delivery_manual "$HEAD" "$BASE" "$HEAD" "$HEAD"
-            gh pr close "$PR" --comment "$_T" >/dev/null
+            fermer_pr "$PR" "$_T"
             notice "$_T"
             return 0
         fi

package/hooks/lib/i18n/en.sh

@@ -312,6 +312,7 @@ _msg_en() {
         mig.dir) _M=".repogarde/ → .repowarden/" ;;
         mig.workflow) _M="%s: uses: to simdevWarden/repowarden, old names replaced" ;;
         mig.renamed) _M="%s → %s" ;;
+        mig.release_issues) _M="%s: issues: read added (release notes: delivered tickets readable on a private repository)" ;;
         mig.tickets_events) _M="%s: ticket tracking events completed (push, review, assignment, closing): prefilled draft PR on the first push" ;;
         mig.tickets_labels) _M="Tracking labels (type: feat, statuses…): repowarden tickets init (can be rerun, rewrites no file)" ;;
         mig.hooks_moved) _M="Leftover lefthook hooks (%s) moved to %s" ;;
@@ -334,6 +335,7 @@ _msg_en() {
         ci.proteger.api_error) _M="Ruleset \"%s\" rejected by GitHub: %s" ;;
         ci.proteger.incomplete) _M="Incomplete protection: see the errors above." ;;
         ci.proteger.rulesets_unavailable) _M="Rulesets unavailable for %s: GitHub refuses them on a private repository of a free account. Make the repository public, or move to GitHub Pro / Team; the other settings are applied." ;;
+        ci.proteger.no_squash) _M="Without rulesets, the merge method cannot be enforced per branch: squash disabled (merge commit only), otherwise a squashed delivery would break the main branch history." ;;
         ci.proteger.tags_fallback) _M="Tags ruleset: \"GitHub Actions\" bypass refused in this organization; tags protected as on a personal account (not moved or deleted, creation allowed)." ;;
         ci.version.usage) _M="Usage: ci/version.sh next|notes|notes-livraison [ref]" ;;
         ci.version.breaking) _M="Breaking changes" ;;
@@ -344,6 +346,7 @@ _msg_en() {
         ci.version.todo) _M="To do" ;;
         ci.version.update) _M="Update" ;;
         ci.version.tickets) _M="Delivered tickets" ;;
+        ci.version.unreadable) _M="Unreadable tickets (%s): add issues: read to the permissions of the release job in release.yml (private repository)." ;;
         ci.livraison.protection) _M="Protection of the %s flow missing (merge commit, no deletion): run repowarden proteger" ;;
         ci.livraison.maintenance) _M="Maintenance only: no version to publish" ;;
         ci.livraison.non_exigee) _M="%s: prerelease not required" ;;

package/hooks/lib/i18n/fr.sh

@@ -312,6 +312,7 @@ _msg_fr() {
         mig.dir) _M=".repogarde/ → .repowarden/" ;;
         mig.workflow) _M="%s : uses: vers simdevWarden/repowarden, anciens noms remplacés" ;;
         mig.renamed) _M="%s → %s" ;;
+        mig.release_issues) _M="%s : issues: read ajouté (notes de version : tickets livrés lisibles sur un dépôt privé)" ;;
         mig.tickets_events) _M="%s : événements du suivi des tickets complétés (push, revue, assignation, fermeture) : PR brouillon préremplie au premier push" ;;
         mig.tickets_labels) _M="Étiquettes du suivi (type: feat, statuts…) : repowarden tickets init (relançable, ne réécrit aucun fichier)" ;;
         mig.hooks_moved) _M="Hooks lefthook résiduels (%s) déplacés dans %s" ;;
@@ -334,6 +335,7 @@ _msg_fr() {
         ci.proteger.api_error) _M="Ruleset « %s » refusé par GitHub : %s" ;;
         ci.proteger.incomplete) _M="Protection incomplète : voir les erreurs ci-dessus." ;;
         ci.proteger.rulesets_unavailable) _M="Rulesets indisponibles pour %s : GitHub les refuse sur un dépôt privé d'un compte gratuit. Rendre le dépôt public, ou passer à GitHub Pro / Team ; les autres réglages sont appliqués." ;;
+        ci.proteger.no_squash) _M="Sans rulesets, le mode de merge ne peut pas être imposé par branche : squash désactivé (merge commit seul), sinon une livraison squashée casserait l'historique de la branche principale." ;;
         ci.proteger.tags_fallback) _M="Ruleset des tags : exception « GitHub Actions » refusée dans cette organisation ; tags protégés comme sur un compte personnel (ni déplacés ni supprimés, création libre)." ;;
         ci.version.usage) _M="Usage : ci/version.sh next|notes|notes-livraison [ref]" ;;
         ci.version.breaking) _M="Changements incompatibles" ;;
@@ -344,6 +346,7 @@ _msg_fr() {
         ci.version.todo) _M="À faire" ;;
         ci.version.update) _M="Mettre à jour" ;;
         ci.version.tickets) _M="Tickets livrés" ;;
+        ci.version.unreadable) _M="Tickets illisibles (%s) : ajouter issues: read aux permissions du job release de release.yml (dépôt privé)." ;;
         ci.livraison.protection) _M="Protection du flux %s absente (merge commit, pas de suppression) : lancer repowarden proteger" ;;
         ci.livraison.maintenance) _M="Maintenance seule : aucune version à publier" ;;
         ci.livraison.non_exigee) _M="%s : préversion non exigée" ;;

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "repowarden",
-  "version": "4.8.1-next.1",
+  "version": "4.8.2-next.1",
   "description": "Hooks git et CI multi-langages : messages de commit, nommage des branches, secrets, formatage, tests ciblés, code mort, releases.",
   "keywords": [
     "git-hooks",