npm - repowarden - Versions diffs - 4.8.3 → 4.9.0-next.10 - Mend

repowarden 4.8.3 → 4.9.0-next.10

This diff represents the content of publicly available package versions that have been released to one of the supported registries. The information contained in this diff is provided for informational purposes only and reflects changes between package versions as they appear in their respective public registries.

Files changed (13) hide show

package/README.md CHANGED Viewed

@@ -6,7 +6,7 @@
 [![npm](https://img.shields.io/npm/v/repowarden)](https://www.npmjs.com/package/repowarden)
 [![Documentation](https://img.shields.io/badge/docs-site-indigo)](https://simdevwarden.github.io/repowarden/)
 [![OpenSSF Scorecard](https://api.scorecard.dev/projects/github.com/simdevWarden/repowarden/badge)](https://scorecard.dev/viewer/?uri=github.com/simdevWarden/repowarden)
-[![Licence MIT](https://img.shields.io/badge/licence-MIT-blue)](LICENSE)
+[![Licence GPL-3.0-or-later](https://img.shields.io/badge/licence-GPL--3.0--or--later-blue)](LICENSE)
 **repowarden** garde l'entrée de vos dépôts Git : messages de commit, nommage des branches, secrets, formatage et tests, **quel que soit le langage** — sur les postes (hooks), en CI (GitHub, GitLab) et côté serveur.
@@ -166,4 +166,4 @@ Les PR visent `develop` ; `main` ne reçoit que les livraisons, qui déclenchent
 [Démarrage rapide](https://simdevwarden.github.io/repowarden/demarrage/) · [Hooks et règles](https://simdevwarden.github.io/repowarden/hooks/) · [Technologies](https://simdevwarden.github.io/repowarden/technologies/) · [Configuration](https://simdevwarden.github.io/repowarden/configuration/) · [CI](https://simdevwarden.github.io/repowarden/ci/) · [Versions et releases](https://simdevwarden.github.io/repowarden/releases/) · [Validation humaine](https://simdevwarden.github.io/repowarden/validation/) · [Code mort](https://simdevwarden.github.io/repowarden/code-mort/) · [En organisation](https://simdevwarden.github.io/repowarden/industrialisation/) · [Sources internes (Nexus, Artifactory)](https://simdevwarden.github.io/repowarden/industrialisation/#8-sources-internes-reseau-ferme-nexus-artifactory) · [Désinstallation](https://simdevwarden.github.io/repowarden/desinstallation/) · [Sécurité](SECURITY.md) · [Contribuer](CONTRIBUTING.md) · [Changelog](CHANGELOG.md)
-Licence [MIT](LICENSE).
+Licence [GPL-3.0-or-later](LICENSE) : GNU General Public License version 3, ou (au choix) toute version ultérieure.

package/bin/app CHANGED Viewed

@@ -15,7 +15,7 @@
 #    --administration, pour appliquer la configuration depuis la CI) ;
 # 2. identifiants rangés sans être affichés : variable REPOWARDEN_APP_CLIENT_ID,
 #    secret REPOWARDEN_APP_KEY (clé privée) ;
-# 3. installation sur le dépôt : tu cliques sur « Install ».
+# 3. installation sur le dépôt : « Install » (vérifiée avec la clé ; relance : « non vérifiée »).
 # Relançable : une App déjà configurée n'est pas recréée. Demande gh et node.
 set -euo pipefail
@@ -49,6 +49,7 @@ command -v gh >/dev/null || { err_t bot.no_gh; exit 1; }
 command -v node >/dev/null || { err_t app.no_node; exit 1; }
 [ -n "$REPO" ] || REPO="$(gh repo view --json nameWithOwner -q .nameWithOwner)"
 owner="${REPO%%/*}"
+NOM_DEMANDE="$NOM"
 # App du bot : identifiants à part (dépôt de pilotage), droits sur les workflows
 PREFIXE=REPOWARDEN_APP
 if [ -n "$BOT" ]; then
@@ -67,6 +68,25 @@ ouvrir() {
     fi
 }
+# Conteneur dont le navigateur (sur l'hôte) ne joint pas 127.0.0.1 : la page
+# locale et le retour de GitHub y seraient injoignables (App orpheline si
+# « Create » est cliqué). VS Code Dev Containers et Codespaces redirigent les
+# ports d'eux-mêmes. REPOWARDEN_CONTENEUR=0|1 force la réponse.
+conteneur_isole() {
+    case "${REPOWARDEN_CONTENEUR:-}" in 0) return 1 ;; 1) return 0 ;; esac
+    [ -z "${REMOTE_CONTAINERS:-}${CODESPACES:-}${VSCODE_IPC_HOOK_CLI:-}" ] || return 1
+    [ -e /.dockerenv ] || [ -e /run/.containerenv ] ||
+        grep -qE 'docker|kubepods|containerd|lxc|podman' /proc/1/cgroup 2>/dev/null
+}
+# Marche à suivre quand la page locale n'est pas joignable : lancer sur l'hôte
+marche_a_suivre() {
+    local cmd="npx repowarden app init --repo $REPO"
+    [ -z "$NOM_DEMANDE" ] || cmd="$cmd --nom $NOM_DEMANDE"
+    if [ -n "$BOT" ]; then cmd="$cmd --bot"; elif [ -n "$ADMIN" ]; then cmd="$cmd --administration"; fi
+    info_t app.howto "$cmd"
+}
 # 1. Création, si l'App n'est pas déjà configurée pour ce dépôt
 step_t app.step_create
 client_id="$(gh variable get "${PREFIXE}_CLIENT_ID" --repo "$REPO" 2>/dev/null || true)"
@@ -75,18 +95,38 @@ if [ -n "$client_id" ] && grep -q "^${PREFIXE}_KEY" <<<"$(gh secret list --repo
     slug="$(gh variable get "${PREFIXE}_SLUG" --repo "$REPO" 2>/dev/null || true)"
 else
     if [ "$(gh api "users/$owner" -q .type)" = Organization ]; then
-        cible="https://github.com/organizations/$owner/settings/apps/new"
+        apps="https://github.com/organizations/$owner/settings/apps"
     else
-        cible="https://github.com/settings/apps/new"
+        apps="https://github.com/settings/apps"
+    fi
+    cible="$apps/new"
+    # Nom déjà pris (souvent une App orpheline d'un essai interrompu) : GitHub
+    # refuserait la création ; arrêt avec la marche à suivre. Slug : nom en
+    # minuscules, autres caractères en tirets ; une App privée d'un autre
+    # compte reste invisible (rappel à l'ouverture de la page)
+    slug_voulu="$(printf '%s' "$NOM" | tr '[:upper:]' '[:lower:]' | sed 's/[^a-z0-9-]/-/g')"
+    if [ "$(gh api "apps/$slug_voulu" -q .slug 2>/dev/null || true)" = "$slug_voulu" ]; then
+        err_t app.name_taken "$NOM"
+        info_t app.name_taken_fix "$apps"
+        exit 1
+    fi
+    if conteneur_isole; then
+        err_t app.container
+        marche_a_suivre
+        exit 1
     fi
     sortie="$(mktemp)"
     trap 'rm -f "$sortie"' EXIT
     # Page locale : envoie la description à GitHub (formulaire POST), puis
     # reçoit le code de retour ; le code est écrit sur la sortie standard
-    NOM="$NOM" REPO="$REPO" ADMIN="$ADMIN" BOT="$BOT" CIBLE="$cible" node -e '
+    delai_page="${REPOWARDEN_APP_DELAI:-180}"
+    NOM="$NOM" REPO="$REPO" ADMIN="$ADMIN" BOT="$BOT" CIBLE="$cible" DELAI_PAGE="$delai_page" node -e '
         const http = require("http"), crypto = require("crypto");
         const etat = crypto.randomBytes(16).toString("hex");
+        // Page jamais consultée (navigateur qui ne joint pas 127.0.0.1) : arrêt
+        const attente = setTimeout(() => { console.log("DELAI_PAGE"); process.exit(1); }, Number(process.env.DELAI_PAGE) * 1000);
         const srv = http.createServer((req, res) => {
+            clearTimeout(attente);
             const u = new URL(req.url, "http://127.0.0.1");
             if (u.pathname === "/fin") {
                 if (u.searchParams.get("state") !== etat) { res.writeHead(400); res.end("état invalide"); return; }
@@ -120,10 +160,22 @@ else
     port="$(sed -n 's/^PORT //p' "$sortie")"
     [ -n "$port" ] || { err_t app.server_failed; exit 1; }
     info_t app.open "http://127.0.0.1:$port/"
+    dim_t app.name_hint "$NOM" "$apps"
     ouvrir "http://127.0.0.1:$port/"
     wait "$serveur" || true
     code="$(sed -n 's/^CODE //p' "$sortie")"
-    [ -n "$code" ] || { err_t app.no_code; exit 1; }
+    if grep -q '^DELAI_PAGE' "$sortie"; then
+        err_t app.page_timeout "$delai_page"
+        marche_a_suivre
+        exit 1
+    fi
+    if [ -z "$code" ]; then
+        err_t app.no_code
+        attention_t app.orphan
+        info_t app.name_taken_fix "$apps"
+        marche_a_suivre
+        exit 1
+    fi
     # Conversion du code : identifiants de l'App, rangés sans être affichés
     reponse="$(gh api -X POST "app-manifests/$code/conversions")"
     client_id="$(node -p 'JSON.parse(require("fs").readFileSync(0, "utf8")).client_id' <<<"$reponse")"
@@ -153,10 +205,10 @@ installee() {
 }
 cle="${cle:-}"
 if [ -z "$cle" ]; then
-    # Relance (clé non disponible ici) : vérifiée au premier run du suivi des tickets
-    info_t app.check_in_ci "https://github.com/apps/$slug/installations/new"
-    echo
-    ok_t app.done
+    # Relance : la clé privée n'est pas ici, et le jeton de gh ne peut pas
+    # lister les installations d'une App (user/installations : 403) ; état
+    # « non vérifié » plutôt qu'un succès non constaté
+    attention_t app.not_verified "${slug:-?}" "$REPO" "https://github.com/apps/${slug:-<slug>}/installations/new"
     exit 0
 fi
 if [ -n "$slug" ] && ! installee; then

package/bin/bots CHANGED Viewed

@@ -6,17 +6,21 @@
 #                                ne plus jamais le proposer (repowarden.bots = off)
 # Rien n'est fait sans accord : une question globale (non par défaut), le
 # flux (main seul, ou develop → main), un accord par bot (CI, releases,
-# nettoyage, tickets, App, protection, npm), l'aperçu de ce qui sera créé ou
-# modifié, puis une confirmation finale. Un fichier existant n'est jamais
-# écrasé. Relançable pour compléter. Demande un terminal, gh connecté et les
-# droits d'administration du dépôt.
+# nettoyage, tickets, App, protection, npm), la livraison (flux develop avec
+# releases : automatique ou approuvée, rythme, préversion obligatoire),
+# l'aperçu de ce qui sera créé ou modifié, puis une confirmation finale. Un
+# fichier existant n'est jamais écrasé. Relançable pour compléter. Demande un
+# terminal, gh connecté et les droits d'administration du dépôt.
 set -euo pipefail
 ROOT="$(cd "$(dirname "${BASH_SOURCE[0]}")/.." && pwd -P)"
 # shellcheck source=../hooks/lib/common.sh
 source "$ROOT/hooks/lib/common.sh"
+# Détection des langages des hooks (marqueurs des plugins) : outillage de la CI
+# shellcheck source=../hooks/lib/lang.sh
+source "$ROOT/hooks/lib/lang.sh"
-aide() { sed -n '2,12p' "$0" | sed 's/^# \{0,1\}//'; }
+aide() { sed -n '2,13p' "$0" | sed 's/^# \{0,1\}//'; }
 # Commandes enchaînées (remplaçables dans les tests)
 BIN="${REPOWARDEN_BIN:-$ROOT/bin}"
@@ -80,7 +84,7 @@ t bots.flow_question
 printf '%s\n' "$REPLY" >&2
 t bots.flow_main "$PRINCIPALE"
 printf '  1) %s\n' "$REPLY" >&2
-t bots.flow_develop "$PRINCIPALE"
+t bots.flow_develop "$PRINCIPALE" "$PRINCIPALE"
 printf '  2) %s\n' "$REPLY" >&2
 # develop → main par défaut : seul develop entre dans main
 choix_flux=2
@@ -90,8 +94,9 @@ case "${reponse:-$choix_flux}" in
     *) FLUX=main; INTEGRATION="" ;;
 esac
 CREER_DEVELOP=""
+# Nom renvoyé comparé : sur une 404, gh écrit le corps de l'erreur sur stdout
 if [ "$FLUX" = develop ] &&
-    [ -z "$(gh api "repos/$REPO/branches/$INTEGRATION" --jq .name 2>/dev/null || true)" ]; then
+    [ "$(gh api "repos/$REPO/branches/$INTEGRATION" --jq .name 2>/dev/null || true)" != "$INTEGRATION" ]; then
     if demander bots.ask_create_develop o; then
         CREER_DEVELOP=1
     else
@@ -121,6 +126,113 @@ choisi() { [[ " ${BOTS[*]+"${BOTS[*]}"} " == *" $1 "* ]]; }
 AVEC_APP=""
 { [ -n "$APP_PRESENTE" ] || choisi app; } && AVEC_APP=1
+# --- Livraison (flux develop, releases) : mode, rythme, préversion -----------
+# Défauts : le release.yml d'aujourd'hui (approbation, regroupé, préversion
+# obligatoire) ; chaque réponse devient une entrée de release-auto.yml
+LIVRAISON_AUTO="" A_CHAQUE_TICKET="" PREVERSION_OBLIGATOIRE=1
+if [ "$FLUX" = develop ] && choisi release; then
+    echo >&2
+    dim_t bots.desc_delivery
+    if demander bots.ask_delivery_auto n; then
+        LIVRAISON_AUTO=1
+        # Le merge automatique passe par la GitHub App (jeton des Actions : pas de release)
+        [ -n "$AVEC_APP" ] || attention_t bots.auto_no_app
+    fi
+    dim_t bots.desc_rythme
+    demander bots.ask_each_ticket n && A_CHAQUE_TICKET=1
+    demander bots.ask_preversion o || PREVERSION_OBLIGATOIRE=""
+fi
+# --- Outillage de la CI : langages du projet --------------------------------
+# Même détection que les hooks (marqueurs des plugins, repowarden.skip), à la
+# racine. strict activé seulement si le formatage et les tests de chaque
+# langage ont leur outil (SANS_STRICT : raison sinon).
+CI_LANGS=""
+SANS_STRICT=""
+sans_strict() { SANS_STRICT="${SANS_STRICT:+$SANS_STRICT, }$1"; }
+active_plugins_init
+for p in python node maven gradle go; do
+    { [[ " $ACTIVE_PLUGINS " == *" $p "* ]] && has_marker . "$p"; } || continue
+    CI_LANGS="$CI_LANGS $p"
+    case "$p" in
+        node) grep -q '"prettier"' package.json || sans_strict "prettier absent de package.json" ;;
+        maven) grep -q spotless pom.xml || sans_strict "Spotless non configuré (pom.xml)" ;;
+        gradle)
+            find . -maxdepth 3 \( -name '*.gradle' -o -name '*.gradle.kts' \) -not -path '*/build/*' -print0 2>/dev/null |
+                xargs -0 grep -qs spotless || sans_strict "Spotless non configuré (Gradle)"
+            ;;
+    esac
+done
+CI_LANGS="${CI_LANGS# }"
+# Étapes d'installation de l'outillage des langages détectés (actions figées
+# par SHA, comme les workflows de repowarden)
+outillage_ci() {
+    local p pm java=""
+    for p in $CI_LANGS; do
+        case "$p" in
+            python)
+                cat <<'YAML'
+      - uses: actions/setup-python@5fda3b95a4ea91299a34e894583c3862153e4b97 # v7.0.0
+        with:
+          python-version: "3.12"
+YAML
+                [ ! -f requirements.txt ] || echo "      - run: pip install -r requirements.txt"
+                cat <<'YAML'
+      # Formatage, code mort et tests (versions figées)
+      - run: pip install ruff==0.16.10 vulture==2.16 pytest==9.1.1
+YAML
+                ;;
+            node)
+                pm="$(node_pm)"
+                cat <<'YAML'
+      - uses: actions/setup-node@949feb2413d6458794dcd2491c4babbbce0c15c1 # v7.1.0
+        with:
+          node-version: 24
+YAML
+                case "$pm" in
+                    pnpm) echo "      - run: corepack enable && pnpm install --frozen-lockfile" ;;
+                    yarn) echo "      - run: corepack enable && yarn install" ;;
+                    *)
+                        if [ -f package-lock.json ]; then
+                            echo "          cache: npm"
+                            echo "      - run: npm ci"
+                        else
+                            echo "      - run: npm install"
+                        fi
+                        ;;
+                esac
+                ;;
+            maven | gradle)
+                if [ -z "$java" ]; then
+                    java=1
+                    cat <<YAML
+      - uses: actions/setup-java@de7274f081f381c8f8158605e0321c36c376e2e6 # v6.0.1
+        with:
+          distribution: temurin
+          java-version: "21"
+          cache: $p
+YAML
+                fi
+                if [ "$p" = gradle ] && [ ! -x gradlew ]; then
+                    cat <<'YAML'
+      - uses: gradle/actions/setup-gradle@3f5f9adaf7d9fecd50b5935e54106014257a94e6 # v6.4.0
+        with:
+          gradle-version: current
+YAML
+                fi
+                ;;
+            go)
+                cat <<'YAML'
+      - uses: actions/setup-go@b7ad1dad31e06c5925ef5d2fc7ad053ef454303e # v7.0.0
+        with:
+          go-version-file: go.mod
+YAML
+                ;;
+        esac
+    done
+}
 # --- Modèles des workflows -------------------------------------------------
 modele_ci() {
     cat <<'YAML'
@@ -152,34 +264,66 @@ jobs:
   repowarden:
     runs-on: ubuntu-latest
     steps:
-      - uses: actions/checkout@v7
+      - uses: actions/checkout@3d3c42e5aac5ba805825da76410c181273ba90b1 # v7.0.1
         with:
           fetch-depth: 0 # historique complet : messages de commit, diff depuis la base
+YAML
+    if [ -n "$CI_LANGS" ]; then
+        echo "      # Outillage du projet ($CI_LANGS) : formatage et tests"
+        outillage_ci
+    else
+        cat <<'YAML'
       # Outils du projet nécessaires au formatage et aux tests, par exemple :
-      # - uses: actions/setup-node@v7
+      # - uses: actions/setup-node@949feb2413d6458794dcd2491c4babbbce0c15c1 # v7.1.0
       #   with: { node-version: 24, cache: npm }
       # - run: npm ci
-      - uses: simdevWarden/repowarden@v4
 YAML
+    fi
+    echo "      - uses: simdevWarden/repowarden@v4"
+    # strict : actif si l'outillage de chaque langage est installé ci-dessus
+    local actif="" strict="strict: true   # outil absent bloquant, une fois l'outillage installé ci-dessus"
+    if [ -n "$CI_LANGS" ]; then
+        if [ -z "$SANS_STRICT" ]; then
+            actif=1 strict="strict: true # outillage installé ci-dessus : un outil absent fait échouer"
+        else
+            strict="strict: true   # $SANS_STRICT : à activer une fois l'outil en place"
+        fi
+    fi
+    if [ -n "$actif" ]; then
+        echo "        with:"
+        echo "          $strict"
+    elif [ "$FLUX" = develop ]; then
+        echo "        with:"
+        echo "          # $strict"
+    else
+        echo "        # with:"
+        echo "        #   $strict"
+    fi
     if [ "$FLUX" = develop ]; then
         cat <<'YAML'
-        with:
-          # strict: true   # outil absent bloquant, une fois l'outillage installé ci-dessus
           # Seule la branche d'intégration entre dans la principale : une PR
           # de travail mal visée est reciblée avant les vérifications
           fix-pr: "true"
-YAML
-    else
-        cat <<'YAML'
-        # with:
-        #   strict: true   # outil absent bloquant, une fois l'outillage installé ci-dessus
 YAML
     fi
 }
 modele_release() {
     if [ "$FLUX" = develop ]; then
-        cat <<YAML
+        if [ -n "$A_CHAQUE_TICKET" ]; then
+            cat <<YAML
+# Releases, flux $INTEGRATION → $PRINCIPALE (mode tag) : à chaque merge sur
+# $INTEGRATION, préversion vX.Y.Z-next.N et demande de livraison
+# $INTEGRATION → $PRINCIPALE, qui publie le tag vX.Y.Z et la release.
+name: release
+on:
+  push:
+    branches: [$PRINCIPALE, $INTEGRATION]
+  workflow_dispatch: # à la main (et urgence) : préversion et demande de livraison
+YAML
+        else
+            cat <<YAML
 # Releases, flux $INTEGRATION → $PRINCIPALE (mode tag) : préversion vX.Y.Z-next.N le
 # soir si $INTEGRATION a changé ; le vendredi matin (ou à la main), une demande
 # de livraison $INTEGRATION → $PRINCIPALE, qui publie le tag vX.Y.Z et la release.
@@ -192,6 +336,9 @@ on:
     - cron: "0 19 * * *" # préversion du soir, si $INTEGRATION a changé
     - cron: "0 7 * * 5" # fenêtre de livraison : le vendredi matin
   workflow_dispatch: # à la main (et urgence) : préversion et demande de livraison
+YAML
+        fi
+        cat <<YAML
 # Une file par branche et par déclencheur ; une demande manuelle ou planifiée
 # remplace celle en attente ; un push n'annule jamais un run en cours
@@ -209,14 +356,29 @@ jobs:
       mode: tag
       integration-branch: $INTEGRATION
       main-branch: $PRINCIPALE
-      delivery-schedule: "0 7 * * 5" # même cron que la fenêtre ci-dessus
 YAML
-        if [ -n "$AVEC_APP" ]; then
+        if [ -n "$A_CHAQUE_TICKET" ]; then
             cat <<'YAML'
-      delivery-environment: production # « Approve and deploy » valide la livraison
-      app-client-id: ${{ vars.REPOWARDEN_APP_CLIENT_ID }} # la GitHub App merge la livraison approuvée
+      preversion-on-push: true # préversion à chaque merge
+      delivery-on-push: true # demande de livraison à chaque merge
+YAML
+        else
+            echo '      delivery-schedule: "0 7 * * 5" # même cron que la fenêtre ci-dessus'
+        fi
+        [ -n "$PREVERSION_OBLIGATOIRE" ] ||
+            echo "      preversion-obligatoire: false # version stable possible sans préversion"
+        if [ -n "$LIVRAISON_AUTO" ]; then
+            echo "      delivery-auto: true # la GitHub App merge la livraison, vérifications vertes"
+        elif [ -n "$AVEC_APP" ]; then
+            echo "      delivery-environment: production # « Approve and deploy » valide la livraison"
+        fi
+        if [ -n "$AVEC_APP" ]; then
+            local merge="la GitHub App merge la livraison approuvée"
+            [ -z "$LIVRAISON_AUTO" ] || merge="la GitHub App merge la livraison"
+            cat <<YAML
+      app-client-id: \${{ vars.REPOWARDEN_APP_CLIENT_ID }} # $merge
     secrets:
-      app-key: ${{ secrets.REPOWARDEN_APP_KEY }}
+      app-key: \${{ secrets.REPOWARDEN_APP_KEY }}
 YAML
         fi
     else
@@ -251,6 +413,27 @@ YAML
       app-client-id: ${{ vars.REPOWARDEN_APP_CLIENT_ID }}
     secrets:
       app-key: ${{ secrets.REPOWARDEN_APP_KEY }}
+YAML
+        fi
+    fi
+    # Tickets livrés : statut done et fermeture à la release, préprod à la
+    # préversion ; seulement avec le suivi des tickets (sinon le job échoue)
+    if choisi tickets || [ -e .github/workflows/tickets.yml ]; then
+        cat <<'YAML'
+  tickets:
+    needs: release
+    if: needs.release.outputs.release_created == 'true' || needs.release.outputs.prerelease_created == 'true'
+    uses: simdevWarden/repowarden/.github/workflows/tickets.yml@v4
+    permissions: { contents: write, issues: write, pull-requests: write, statuses: write }
+    with:
+      tag: ${{ needs.release.outputs.tag_name || needs.release.outputs.prerelease_tag }}
+YAML
+        if [ -n "$AVEC_APP" ]; then
+            cat <<'YAML'
+      app-client-id: ${{ vars.REPOWARDEN_APP_CLIENT_ID }}
+    secrets:
+      app-key: ${{ secrets.REPOWARDEN_APP_KEY }}
 YAML
         fi
     fi
@@ -294,7 +477,22 @@ step_t bots.preview
 [ -z "$CREER_DEVELOP" ] || info_t bots.prev_develop "$INTEGRATION" "$PRINCIPALE"
 if [ "$FLUX" = develop ]; then
     info_t bots.prev_conf "$INTEGRATION"
-    [ -n "$AVEC_APP" ] || info_t bots.prev_review
+    if [ -n "$LIVRAISON_AUTO" ]; then
+        info_t bots.prev_conf_auto
+    elif [ -z "$AVEC_APP" ]; then
+        info_t bots.prev_review
+    fi
+fi
+# Choix de livraison écrits dans release.yml (questions posées)
+if [ "$FLUX" = develop ] && choisi release; then
+    if [ -n "$LIVRAISON_AUTO" ]; then
+        info_t bots.prev_delivery_auto
+        [ -n "$AVEC_APP" ] || attention_t bots.auto_no_app
+    else
+        info_t bots.prev_delivery_approval
+    fi
+    if [ -n "$A_CHAQUE_TICKET" ]; then info_t bots.prev_each_ticket; else info_t bots.prev_grouped; fi
+    if [ -n "$PREVERSION_OBLIGATOIRE" ]; then info_t bots.prev_preversion_on; else info_t bots.prev_preversion_off; fi
 fi
 for bot in ${BOTS[@]+"${BOTS[@]}"}; do
     fichier_du "$bot"
@@ -305,6 +503,12 @@ for bot in ${BOTS[@]+"${BOTS[@]}"}; do
             info_t bots.prev_kept "$f" "$ecart"
         else
             info_t bots.prev_file "$f"
+            # Outillage écrit dans la CI, ou modèle générique faute de langage reconnu
+            if [ "$bot" = ci ] && [ -n "$CI_LANGS" ]; then
+                info_t bots.prev_ci_langs "$CI_LANGS"
+            elif [ "$bot" = ci ]; then
+                info_t bots.prev_ci_generic
+            fi
         fi
     else
         info_t "bots.prev_$bot"
@@ -332,10 +536,16 @@ if [ -n "$CREER_DEVELOP" ]; then
 fi
 if [ "$FLUX" = develop ]; then
     conf="$GIT_TOPLEVEL/.repowarden.conf"
-    git config -f "$conf" repowarden.integrationBranch "$INTEGRATION"
+    # Valeur déjà en place : fichier laissé tel quel (git config le réindenterait)
+    [ "$(git config -f "$conf" --get repowarden.integrationBranch || true)" = "$INTEGRATION" ] ||
+        git config -f "$conf" repowarden.integrationBranch "$INTEGRATION"
     git config -f "$conf" --get repowarden.protectedBranches >/dev/null ||
         git config -f "$conf" repowarden.protectedBranches "$PRINCIPALE $INTEGRATION"
-    if [ -z "$AVEC_APP" ]; then
+    if [ -n "$LIVRAISON_AUTO" ]; then
+        # Choix explicite : remplace une approbation déjà réglée
+        [ "$(git config -f "$conf" --get repowarden.deliveryApproval || true)" = auto ] ||
+            git config -f "$conf" repowarden.deliveryApproval auto
+    elif [ -z "$AVEC_APP" ]; then
         git config -f "$conf" --get repowarden.deliveryApproval >/dev/null ||
             git config -f "$conf" repowarden.deliveryApproval review
     fi

package/bin/npm-publication CHANGED Viewed

@@ -5,16 +5,16 @@
 # de confiance, OIDC) et joint la provenance au paquet.
 #
 #   bin/npm-publication [--repo propriétaire/nom] [--workflow release.yml]
-#                       [--environnement NOM]
+#                       [--environnement NOM] [--dry-run]
 #
 # 1. connexion npm (npm login si besoin) ;
 # 2. paquet absent de npm (la publication de confiance exige un paquet
-#    existant) : jeton npm temporaire (7 jours, limité au scope du paquet)
-#    créé et rangé directement en secret NPM_TOKEN, sans être affiché ;
-#    variable REPOWARDEN_NPM=true ; la pipeline publie la dernière release
-#    (lancée par la commande), ou la prochaine s'il n'y en a pas encore ;
-# 3. publication de confiance (npm trust github), puis jeton révoqué et
-#    secret supprimé. Interrompue, la commande reprend où elle en était.
+#    existant) : la dernière release est publiée d'ici, par npm publish lancé
+#    dans le terminal (npm conduit sa validation : navigateur ou code) ;
+#    aucune release : rien n'est publié, relancer après la première ;
+# 3. publication de confiance (npm trust github), variable REPOWARDEN_NPM ;
+#    un ancien secret NPM_TOKEN et d'anciens jetons temporaires sont retirés.
+#    Interrompue, la commande reprend où elle en était.
 set -euo pipefail
 ROOT="$(cd "$(dirname "${BASH_SOURCE[0]}")/.." && pwd -P)"
@@ -48,8 +48,7 @@ cd "$GIT_TOPLEVEL"
 [ -f package.json ] || { err_t npm.no_package; exit 1; }
 [ -n "$REPO" ] || REPO="$(gh repo view --json nameWithOwner -q .nameWithOwner)"
 name="$(node -p 'require("./package.json").name')"
-# Préfixe des jetons temporaires : nom unique à chaque création (npm refuse
-# les doublons, y compris celui d'une tentative interrompue) ; tous révoqués à la fin
+# Préfixe des jetons temporaires de l'ancien parcours, révoqués à la fin
 TOKEN_PREFIX="repowarden-ci-${REPO##*/}"
 # Vérifie si une relation de confiance correspond aux paramètres attendus.
@@ -119,8 +118,8 @@ brand "npm · $name · $REPO"
 step_t npm.step_login
 npm whoami >/dev/null 2>&1 || npm login
 ok_t npm.logged "$(npm whoami)"
-# Créer un jeton et configurer la publication de confiance exigent la 2FA du
-# compte (les codes envoyés par e-mail ne sont qu'une vérification de connexion)
+# Configurer la publication de confiance exige la 2FA du compte (les codes
+# envoyés par e-mail ne sont qu'une vérification de connexion)
 if [ "$(npm profile get --json 2>/dev/null | node -e 'try{const p=JSON.parse(require("fs").readFileSync(0,"utf8"));process.stdout.write(p.tfa&&p.tfa.mode?"1":"")}catch{}')" != 1 ]; then
     err_t npm.no_2fa
     dim_t npm.hint_2fa "$(npm whoami)"
@@ -129,69 +128,40 @@ fi
 publie() { [ -n "$(npm view "$name" name 2>/dev/null || true)" ]; }
-# 2. Première publication, faite par la pipeline avec un jeton temporaire
+# 2. Première publication, faite ici depuis la dernière release : npm conduit
+# lui-même sa validation (navigateur ou code), dans le terminal. Aucun jeton
+# créé ni stocké, aucun mot de passe saisi par repowarden
 if ! publie; then
-    step_t npm.step_token
-    if grep -q '^NPM_TOKEN' <<<"$(gh secret list --repo "$REPO")"; then
-        ok_t npm.token_exists
-    else
-        # npm écrit ses questions et le jeton au même endroit : les questions
-        # sont posées ici (saisie masquée) et le jeton va droit au secret
-        if [[ "$name" == @*/* ]]; then portee=(--scopes "${name%%/*}"); else portee=(--packages-all); fi
-        t npm.ask_password
-        read -r -s -p "  $REPLY" mdp
-        echo
-        otp="" sortie=""
-        for essai in 1 2 3 4; do
-            # Sortie texte, pas --json : npm y masque le jeton (« npm_*** »)
-            if sortie="$(npm_config_password="$mdp" npm_config_otp="$otp" npm token create \
-                --name "$TOKEN_PREFIX-$(date +%Y%m%d%H%M%S)" --expires 7 "${portee[@]}" \
-                --packages-and-scopes-permission read-write --bypass-2fa </dev/null 2>&1)"; then
-                break
-            fi
-            # Code à usage unique (application ou e-mail) demandé : on le pose
-            if [ "$essai" -lt 4 ] && grep -qiE 'otp|one-time|two-factor' <<<"$sortie"; then
-                t npm.ask_otp
-                read -r -p "  $REPLY" otp
-                continue
-            fi
-            sed -E 's/npm_[A-Za-z0-9]+/npm_***/g' <<<"$sortie" >&2
-            mdp=""
-            err_t npm.token_failed
-            exit 1
-        done
-        mdp=""
-        jeton="$(grep -oE 'npm_[A-Za-z0-9]+' <<<"$sortie" | sed -n 1p || true)"
-        sortie=""
-        [ -n "$jeton" ] || { err_t npm.token_failed; exit 1; }
-        printf '%s' "$jeton" | gh secret set NPM_TOKEN --repo "$REPO"
-        jeton=""
-        ok_t npm.token_stored
+    step_t npm.step_first
+    tag="$(gh release view --repo "$REPO" --json tagName -q .tagName 2>/dev/null || true)"
+    if [ -z "$tag" ]; then
+        attention_t npm.no_release "$name"
+        exit 0
     fi
-    gh variable set REPOWARDEN_NPM --repo "$REPO" --body true
-    # Release déjà publiée : la pipeline est lancée tout de suite (elle publie
-    # la dernière release absente de npm) ; sinon, la prochaine release publie
-    if [ -n "$(git ls-remote --tags origin 'v[0-9]*')" ]; then
-        branche="$(gh repo view "$REPO" --json defaultBranchRef -q .defaultBranchRef.name)"
-        gh workflow run "$WORKFLOW" --repo "$REPO" --ref "$branche"
-        info_t npm.dispatched "$WORKFLOW"
-    else
-        info_t npm.waiting "$name"
+    version="${tag#v}"
+    if [ "$DRY_RUN" = true ]; then
+        info_t npm.would_publish "$name" "$version" "$tag"
+        exit 0
+    fi
+    clone="$(mktemp -d "${TMPDIR:-/tmp}/repowarden-npm.XXXXXX")"
+    trap 'rm -rf "$clone"' EXIT
+    gh repo clone "$REPO" "$clone/src" -- -q --depth 1 --branch "$tag"
+    info_t npm.publishing "$name" "$version" "$tag"
+    # Sortie non capturée, entrée héritée : npm pose ses questions lui-même
+    if ! (cd "$clone/src" && npm pkg set "version=$version" && npm publish --access public); then
+        err_t npm.publish_failed "$name"
+        exit 1
     fi
-    for i in $(seq 1 360); do
-        publie && break
-        [ $((i % 10)) -ne 0 ] || dim_t npm.still_waiting "$((i / 2))"
-        sleep 30
-    done
-    publie || { attention_t npm.not_yet; exit 0; }
-    ok_t npm.first_published "$name" "$(npm view "$name" version)"
+    rm -rf "$clone"
+    trap - EXIT
+    ok_t npm.first_published "$name" "$version"
 fi
 # 3. Publication de confiance, puis plus aucun jeton
 step_t npm.step_trust
-verifier_trust
-cas=$?
+# Pas de relation (1) ou relation différente (2) : ne doit pas arrêter le script (set -e)
+cas=0
+verifier_trust || cas=$?
 if [ "$cas" = 0 ]; then
     ok_t npm.trust_exists
 elif [ "$cas" = 1 ]; then