repowarden 4.9.3-next.1 → 4.10.0-next.4

package/README.md

@@ -22,6 +22,7 @@
 - **Formatage** : seul le contenu stagé, avec l'outil du projet ; le travail en cours est préservé.
 - **Tests** : au push et en CI, seulement les projets touchés, sur le commit poussé.
 - **Code mort** : seul le nouveau code mort est signalé, prouvé (bloquant) ou candidat (à vérifier) ; `repowarden code-mort` en local.
+- **Agents IA** : Claude Code et opencode arrêtés avant de modifier une branche protégée, de travailler hors ticket ou de contourner les hooks, avec la commande à lancer ; `repowarden agents init`.
 - **Tickets** : chaque PR est reliée à un ticket validé (créé automatiquement s'il manque), suivi de « à valider » à « done » à la release ; `repowarden tickets init`.
 - **Versions et releases** : les commits étant conventionnels, la version suivante (semver) et le changelog se déduisent de l'historique ; un workflow réutilisable en fait des releases automatiques (PR de release validée par la CI puis mergée, tag, release), sans jeton ; dans le flux `develop` → `main`, un clic d'approbation par livraison.
 
@@ -95,7 +96,7 @@ Sans Node : `git clone https://github.com/simdevWarden/repowarden.git ~/repoward
 > [!NOTE]
 > **GitHub CLI (`gh`) : facultatif.**
 > Sans `gh` : tous les hooks (commits, branches, secrets, formatage, tests), `git cc`, `repowarden code-mort`, `repowarden statut`, et la CI (GitHub ou GitLab), qui n'utilise jamais le `gh` du poste.
-> Avec `gh` connecté (`gh auth login`), en plus : les tickets (`repowarden ticket`, `tickets`, branches de tes tickets créées en local) et la gestion du dépôt (`proteger`, `app init`, `npm-publication`, `pr-*`, `run-*`). Utile au mainteneur du dépôt GitHub ; chaque commande le signale s'il manque.
+> Avec `gh` connecté (`gh auth login -s workflow` : le scope `workflow` autorise la modification de `.github/workflows/`), en plus : les tickets (`repowarden ticket`, `tickets`, branches de tes tickets créées en local) et la gestion du dépôt (`proteger`, `app init`, `npm-publication`, `pr-*`, `run-*`). Utile au mainteneur du dépôt GitHub ; chaque commande le signale s'il manque.
 
 ### 2. Dans un projet d'équipe : les mêmes règles pour tous
 
@@ -164,6 +165,6 @@ Les PR visent `develop` ; `main` ne reçoit que les livraisons, qui déclenchent
 
 ## Liens
 
-[Démarrage rapide](https://simdevwarden.github.io/repowarden/demarrage/) · [Hooks et règles](https://simdevwarden.github.io/repowarden/hooks/) · [Technologies](https://simdevwarden.github.io/repowarden/technologies/) · [Configuration](https://simdevwarden.github.io/repowarden/configuration/) · [CI](https://simdevwarden.github.io/repowarden/ci/) · [Versions et releases](https://simdevwarden.github.io/repowarden/releases/) · [Validation humaine](https://simdevwarden.github.io/repowarden/validation/) · [Code mort](https://simdevwarden.github.io/repowarden/code-mort/) · [En organisation](https://simdevwarden.github.io/repowarden/industrialisation/) · [Sources internes (Nexus, Artifactory)](https://simdevwarden.github.io/repowarden/industrialisation/#8-sources-internes-reseau-ferme-nexus-artifactory) · [Désinstallation](https://simdevwarden.github.io/repowarden/desinstallation/) · [Sécurité](SECURITY.md) · [Contribuer](CONTRIBUTING.md) · [Changelog](CHANGELOG.md)
+[Démarrage rapide](https://simdevwarden.github.io/repowarden/demarrage/) · [Hooks et règles](https://simdevwarden.github.io/repowarden/hooks/) · [Technologies](https://simdevwarden.github.io/repowarden/technologies/) · [Configuration](https://simdevwarden.github.io/repowarden/configuration/) · [CI](https://simdevwarden.github.io/repowarden/ci/) · [Versions et releases](https://simdevwarden.github.io/repowarden/releases/) · [Validation humaine](https://simdevwarden.github.io/repowarden/validation/) · [Code mort](https://simdevwarden.github.io/repowarden/code-mort/) · [Agents IA](https://simdevwarden.github.io/repowarden/agents/) · [En organisation](https://simdevwarden.github.io/repowarden/industrialisation/) · [Sources internes (Nexus, Artifactory)](https://simdevwarden.github.io/repowarden/industrialisation/#8-sources-internes-reseau-ferme-nexus-artifactory) · [Désinstallation](https://simdevwarden.github.io/repowarden/desinstallation/) · [Sécurité](SECURITY.md) · [Contribuer](CONTRIBUTING.md) · [Changelog](CHANGELOG.md)
 
 Licence [GPL-3.0-only](LICENSE) : GNU General Public License version 3.

package/bin/agents

@@ -0,0 +1,103 @@
+#!/usr/bin/env bash
+# Branche le garde-fou repowarden (repowarden garde) dans les agents IA :
+#   repowarden agents init [--claude] [--opencode] [--projet | --global]
+#     Claude Code  hook PreToolUse dans .claude/settings.json
+#     opencode     plugin .opencode/plugins/repowarden-garde.js
+# Sans --claude ni --opencode : les deux. --projet (défaut) : fichiers du dépôt,
+# à versionner ; --global : configuration de l'utilisateur. Relançable :
+# fichiers existants complétés, jamais écrasés.
+set -euo pipefail
+
+ROOT="$(cd "$(dirname "${BASH_SOURCE[0]}")/.." && pwd -P)"
+# shellcheck source=../hooks/lib/common.sh
+source "$ROOT/hooks/lib/common.sh"
+
+aide() { _tr help.agents; printf '%b\n' "$_T"; }
+
+MODELE_OPENCODE="$ROOT/hooks/agents/repowarden-garde.js"
+COMMANDE_CLAUDE="repowarden garde --format claude"
+MATCHER_CLAUDE="Edit|Write|MultiEdit|NotebookEdit|Bash"
+
+case "${1:-}" in
+    init) shift ;;
+    "" | -h | --help) aide; exit 0 ;;
+    *) err_t install.unknown_arg "$1"; aide >&2; exit 1 ;;
+esac
+
+claude="" opencode="" portee=projet
+while [ $# -gt 0 ]; do
+    case "$1" in
+        --claude) claude=1 ;;
+        --opencode) opencode=1 ;;
+        --projet | --project) portee=projet ;;
+        --global) portee=global ;;
+        -h | --help) aide; exit 0 ;;
+        *) err_t install.unknown_arg "$1"; aide >&2; exit 1 ;;
+    esac
+    shift
+done
+[ -n "$claude$opencode" ] || claude=1 opencode=1
+
+if [ "$portee" = projet ]; then
+    [ -n "$GIT_TOPLEVEL" ] || { err_t install.not_repo; exit 1; }
+    base="$GIT_TOPLEVEL"
+    fichier_claude="$base/.claude/settings.json"
+    fichier_opencode="$base/.opencode/plugins/repowarden-garde.js"
+else
+    fichier_claude="$HOME/.claude/settings.json"
+    fichier_opencode="$HOME/.config/opencode/plugins/repowarden-garde.js"
+fi
+
+ecrits=()
+
+# Hook PreToolUse de Claude Code : ajouté au settings.json (créé au besoin),
+# rien si une commande « repowarden garde » y est déjà
+init_claude() {
+    local f="$fichier_claude" entree tmp
+    has jq || { err_t agents.no_jq "$f"; return 1; }
+    entree="$(jq -n --arg m "$MATCHER_CLAUDE" --arg c "$COMMANDE_CLAUDE" \
+        '{matcher: $m, hooks: [{type: "command", command: $c}]}')"
+    if [ -f "$f" ]; then
+        jq -e . "$f" >/dev/null 2>&1 || { err_t agents.bad_json "Claude Code" "$f"; return 1; }
+        if jq -e '[.hooks.PreToolUse[]?.hooks[]?.command // empty | select(test("repowarden garde"))] | length > 0' "$f" >/dev/null; then
+            ok_t agents.present "Claude Code" "$f"
+            return 0
+        fi
+        tmp="$(mktemp)"
+        jq --argjson e "$entree" '.hooks.PreToolUse = ((.hooks.PreToolUse // []) + [$e])' "$f" >"$tmp"
+        cat "$tmp" >"$f"
+        rm -f "$tmp"
+    else
+        mkdir -p "$(dirname "$f")"
+        jq -n --argjson e "$entree" '{hooks: {PreToolUse: [$e]}}' >"$f"
+    fi
+    ecrits+=("$f")
+    ok_t agents.added "Claude Code" "$f"
+}
+
+# Plugin opencode : copie du modèle ; un fichier différent est gardé et signalé
+init_opencode() {
+    local f="$fichier_opencode"
+    if [ -f "$f" ]; then
+        if cmp -s "$f" "$MODELE_OPENCODE"; then
+            ok_t agents.present opencode "$f"
+        else
+            attention_t agents.kept opencode "$f" "$MODELE_OPENCODE"
+        fi
+        return 0
+    fi
+    mkdir -p "$(dirname "$f")"
+    cp "$MODELE_OPENCODE" "$f"
+    ecrits+=("$f")
+    ok_t agents.added opencode "$f"
+}
+
+statut=0
+[ -z "$claude" ] || init_claude || statut=1
+[ -z "$opencode" ] || init_opencode || statut=1
+
+has repowarden || attention_t agents.no_repowarden
+if [ "$portee" = projet ] && [ ${#ecrits[@]} -gt 0 ]; then
+    info_t agents.versionner "${ecrits[*]#"$base/"}"
+fi
+exit "$statut"

package/bin/app

@@ -23,7 +23,7 @@ ROOT="$(cd "$(dirname "${BASH_SOURCE[0]}")/.." && pwd -P)"
 # shellcheck source=../hooks/lib/common.sh
 source "$ROOT/hooks/lib/common.sh"
 
-aide() { sed -n '2,19p' "$0" | sed 's/^# \{0,1\}//'; }
+aide() { _tr help.app; printf '%b\n' "$_T" >&2; }
 
 commande="${1:-}"
 [ $# -eq 0 ] || shift
@@ -45,7 +45,7 @@ if [ "$commande" != init ]; then
     exit
 fi
 
-command -v gh >/dev/null || { err_t bot.no_gh; exit 1; }
+gh_ready || exit 1
 command -v node >/dev/null || { err_t app.no_node; exit 1; }
 [ -n "$REPO" ] || REPO="$(gh repo view --json nameWithOwner -q .nameWithOwner)"
 owner="${REPO%%/*}"

package/bin/bot

@@ -16,7 +16,7 @@ ROOT="$(cd "$(dirname "${BASH_SOURCE[0]}")/.." && pwd -P)"
 # shellcheck source=../hooks/lib/common.sh
 source "$ROOT/hooks/lib/common.sh"
 
-aide() { sed -n '2,12p' "$0" | sed 's/^# \{0,1\}//'; }
+aide() { _tr help.bot; printf '%b\n' "$_T" >&2; }
 
 # Scripts appelés (remplaçables dans les tests) et origine des clones
 BIN="${REPOWARDEN_BIN:-$ROOT/bin}"

package/bin/bots

@@ -20,7 +20,7 @@ source "$ROOT/hooks/lib/common.sh"
 # shellcheck source=../hooks/lib/lang.sh
 source "$ROOT/hooks/lib/lang.sh"
 
-aide() { sed -n '2,13p' "$0" | sed 's/^# \{0,1\}//'; }
+aide() { _tr help.bots; printf '%b\n' "$_T" >&2; }
 
 # Commandes enchaînées (remplaçables dans les tests)
 BIN="${REPOWARDEN_BIN:-$ROOT/bin}"
@@ -48,8 +48,8 @@ fi
 [ -n "$GIT_TOPLEVEL" ] || pas_maintenant bots.why_repo
 cd "$GIT_TOPLEVEL"
 [ "$FORGE" = github ] || pas_maintenant bots.why_github
-command -v gh >/dev/null || pas_maintenant bots.why_gh
-gh auth status >/dev/null 2>&1 || pas_maintenant bots.why_gh_login
+gh_present || pas_maintenant bots.why_gh
+gh_connected || pas_maintenant bots.why_gh_login
 REPO="$(gh repo view --json nameWithOwner -q .nameWithOwner 2>/dev/null || true)"
 [ -n "$REPO" ] || pas_maintenant bots.why_github
 [ "$(gh api "repos/$REPO" --jq .permissions.admin 2>/dev/null || true)" = true ] || pas_maintenant bots.why_admin

package/bin/code-mort

@@ -1,7 +1,9 @@
 #!/usr/bin/env bash
-# Code mort introduit par ta branche, comme en CI : seules les lignes ajoutées ou
-# modifiées depuis la base comptent (commits, modifications en cours, nouveaux fichiers).
-#   bin/code-mort [base]     défaut : point de départ de la branche depuis origin/main
+# Usage : repowarden code-mort [base]
+#
+# Code mort introduit par ta branche, comme en CI : seules les lignes ajoutées
+# ou modifiées depuis la base comptent (commits, modifications en cours,
+# nouveaux fichiers). Défaut : point de départ de la branche depuis origin/main.
 # Voir docs/code-mort.md : ce qui est prouvé (bloquant) et ce qui est candidat.
 set -euo pipefail
 

package/bin/commit

@@ -1,19 +1,16 @@
 #!/usr/bin/env bash
-# Assistant de commit conventionnel : guide l'en-tête, le corps et le pied.
-#   git cc [options de git commit]     alias installé par install.sh
-#   bin/commit --dry-run               affiche le message sans commiter
-#   git cc --strict                    une réponse refusée arrête tout (scripts :
-#                                      sans cela, la ligne suivante serait lue
-#                                      comme une nouvelle réponse)
-#   git cc -m "description" [--type T] [--scope S] [--breaking NOTE]
-#          [--body TEXTE] [--refs "Ticket : #12"]
-#                                      sans question (scripts, agents) : mêmes
-#                                      contrôles, toute réponse refusée arrête
-#                                      tout ; type et scope déduits de la
-#                                      branche s'ils sont omis
-# Les réponses sont lues sur l'entrée standard (terminal avec édition de
-# ligne, ou fichier/tube pour les tests). Le commit passe ensuite par les
-# hooks habituels. Couleurs désactivables : NO_COLOR=1.
+# Usage : repowarden cc [options de git commit]   (alias : git cc, installé par install.sh)
+#         repowarden cc -m "description" [--type T] [--scope S] [--breaking NOTE] [--body TEXTE] [--refs "Ticket : #12"]
+#         repowarden cc --dry-run
+#
+# Assistant de commit conventionnel : guide l'en-tête, le corps et le pied,
+# puis commit via les hooks habituels. Sans question (-m : scripts, agents) :
+# mêmes contrôles, type et scope déduits de la branche s'ils sont omis.
+#   --strict    une réponse refusée arrête tout (rien n'est commité)
+#   --dry-run   affiche le message sans commiter
+# Les réponses sont lues sur l'entrée standard (terminal avec édition de ligne,
+# ou fichier/tube pour les tests). Le commit passe ensuite par les hooks
+# habituels. Couleurs désactivables : NO_COLOR=1.
 set -euo pipefail
 
 ROOT="$(cd "$(dirname "${BASH_SOURCE[0]}")/.." && pwd -P)"

package/bin/garde

@@ -0,0 +1,237 @@
+#!/usr/bin/env bash
+# Garde-fou des agents IA : reçoit sur l'entrée standard une action d'agent
+# (JSON) et dit si elle est permise dans ce dépôt, avant qu'elle ne s'exécute.
+#   repowarden garde [--format claude|opencode]
+#     claude    hook PreToolUse de Claude Code : tool_name, tool_input, cwd
+#     opencode  plugin opencode (tool.execute.before) : tool, args, cwd (défaut)
+# Code 0 : permis. Code 2 : refusé, raison et commande à lancer sur la sortie
+# d'erreur (Claude Code bloque l'appel et transmet le message à l'agent ; le
+# plugin opencode lève une erreur). Tout autre code (jq absent, JSON illisible)
+# n'empêche rien : une panne du garde-fou ne bloque jamais un agent.
+# Seulement dans un dépôt repowarden ; ailleurs tout est permis. Mêmes réglages
+# que les hooks (protectedBranches, integrationBranch, suivi des tickets).
+set -uo pipefail
+
+ROOT="$(cd "$(dirname "${BASH_SOURCE[0]}")/.." && pwd -P)"
+# shellcheck source=../hooks/lib/common.sh
+source "$ROOT/hooks/lib/common.sh"
+# shellcheck source=../hooks/lib/tickets.sh
+source "$ROOT/hooks/lib/tickets.sh"
+
+aide() { _tr help.garde; printf '%b\n' "$_T"; }
+
+format=opencode
+while [ $# -gt 0 ]; do
+    case "$1" in
+        -h | --help) aide; exit 0 ;;
+        --format) shift; format="${1:-}" ;;
+        --format=*) format="${1#--format=}" ;;
+        *) err_t install.unknown_arg "$1"; aide >&2; exit 1 ;;
+    esac
+    shift
+done
+case "$format" in claude | opencode) ;; *) err_t garde.format "$format"; exit 1 ;; esac
+
+has jq || { attention_t garde.no_jq; exit 1; }
+entree="$(cat)"
+if [ "$format" = claude ]; then o=tool_name a=tool_input; else o=tool a=args; fi
+outil="$(jq -r ".$o // \"\"" <<<"$entree" 2>/dev/null)" || { attention_t garde.json; exit 1; }
+cwd="$(jq -r '.cwd // ""' <<<"$entree")"
+args="$(jq -c ".$a // {}" <<<"$entree")"
+[ -n "$cwd" ] && [ -d "$cwd" ] || cwd="$PWD"
+
+# Refus : raison et commande à lancer, puis code 2
+refuser() {
+    _tr "$@"
+    printf '✖ repowarden : %b\n' "$_T" >&2
+    exit 2
+}
+
+# REPLY = dossier existant le plus proche du chemin $1 (absolu, ou relatif à $cwd)
+dossier_r() {
+    local p="$1"
+    case "$p" in /*) ;; *) p="$cwd/$p" ;; esac
+    while [ ! -d "$p" ] && [ "$p" != / ] && [ -n "$p" ]; do p="$(dirname "$p")"; done
+    REPLY="$p"
+}
+
+# Vrai si le dossier courant est dans un dépôt repowarden : .repowarden.conf,
+# réglage repowarden.*, ou hooks repowarden actifs. Charge sa configuration.
+depot_repowarden() {
+    local hp
+    git rev-parse --show-toplevel >/dev/null 2>&1 || return 1
+    cfg_load
+    i18n_init
+    # shellcheck disable=SC2034 # cache de tickets_managed (tickets.sh), propre à ce dépôt
+    TICKETS_MANAGED=""
+    [ -n "$CFG_FILE$CFG_GIT" ] && return 0
+    hp="$(git config --get core.hooksPath 2>/dev/null || true)"
+    [ -n "$hp" ] && [ -f "$hp/lib/tickets.sh" ] && [ -f "$hp/lib/common.sh" ]
+}
+
+# Branche protégée : protectedBranches (défaut main master) ou branche d'intégration
+protegee() {
+    cfg_r protectedBranches "main master"
+    [[ " $REPLY " == *" $1 "* ]] && return 0
+    cfg_r integrationBranch ""
+    [ -n "$REPLY" ] && [ "$REPLY" = "$1" ]
+}
+
+# Modification du fichier $1 : seulement sur une branche de travail (de ticket,
+# si le dépôt suit ses tickets)
+verifier_fichier() {
+    dossier_r "$1"
+    local d="$REPLY"
+    (
+        cd "$d" 2>/dev/null || exit 0
+        depot_repowarden || exit 0
+        # Fichiers internes de git (.git/…) : hors du travail de l'agent
+        case "$(pwd -P)/" in "$(cd "$(git rev-parse --git-dir)" && pwd -P)"/*) exit 0 ;; esac
+        branche="$(git symbolic-ref -q --short HEAD 2>/dev/null || true)"
+        [ -n "$branche" ] || refuser garde.detache "$GIT_TOPLEVEL"
+        if protegee "$branche"; then
+            tickets_managed && refuser garde.protegee "$branche"
+            refuser garde.protegee_libre "$branche"
+        fi
+        if tickets_managed; then
+            branch_ticket_r "$branche"
+            [ -n "$REPLY" ] || refuser garde.hors_ticket "$branche"
+        fi
+        exit 0
+    ) || exit $?
+}
+
+# Commande git (mots $@, sans « git ») lancée depuis le dossier $dir
+verifier_git() {
+    local mot sous="" args_git=() repertoire="$dir"
+    # Options globales : -C <dossier> (cumulées), -c <clé=valeur>, autres
+    while [ $# -gt 0 ]; do
+        case "$1" in
+            -C) shift; case "${1:-}" in /*) repertoire="$1" ;; *) repertoire="$repertoire/${1:-}" ;; esac ;;
+            -c) shift ;;
+            -*) ;;
+            *) sous="$1"; shift; break ;;
+        esac
+        shift
+    done
+    [ -n "$sous" ] || return 0
+    args_git=("$@")
+    dossier_r "$repertoire"
+    repertoire="$REPLY"
+    (
+        cd "$repertoire" 2>/dev/null || exit 0
+        depot_repowarden || exit 0
+        ligne="git $sous${args_git[*]+ ${args_git[*]}}"
+        for mot in ${args_git[@]+"${args_git[@]}"}; do
+            [ "$mot" != --no-verify ] || refuser garde.no_verify "$ligne"
+        done
+        case "$sous" in
+            commit)
+                amend="" noedit=""
+                for mot in ${args_git[@]+"${args_git[@]}"}; do
+                    case "$mot" in
+                        --amend) amend=1 ;;
+                        --no-edit) noedit=1 ;;
+                        # Options courtes groupées : -n est --no-verify (-nm, -an…)
+                        -[!-]*) [[ "$mot" != *n* ]] || refuser garde.no_verify "$ligne" ;;
+                    esac
+                done
+                [ -n "$amend" ] && [ -n "$noedit" ] && exit 0
+                refuser garde.commit "$ligne"
+                ;;
+            add)
+                for mot in ${args_git[@]+"${args_git[@]}"}; do
+                    case "$mot" in
+                        . | ./ | --all | :/) refuser garde.add_tout "$ligne" ;;
+                        -[!-]*) [[ "$mot" != *A* ]] || refuser garde.add_tout "$ligne" ;;
+                    esac
+                done
+                ;;
+            checkout | switch | branch | worktree)
+                tickets_managed || exit 0
+                cree=""
+                case "$sous" in
+                    checkout) for mot in ${args_git[@]+"${args_git[@]}"}; do case "$mot" in -b | -B | --orphan) cree=1 ;; esac; done ;;
+                    switch) for mot in ${args_git[@]+"${args_git[@]}"}; do case "$mot" in -c | -C | --create | --force-create | --orphan | --create=* | --force-create=*) cree=1 ;; esac; done ;;
+                    worktree)
+                        [ "${args_git[0]:-}" = add ] || exit 0
+                        for mot in ${args_git[@]+"${args_git[@]}"}; do case "$mot" in -b | -B) cree=1 ;; esac; done
+                        ;;
+                    branch)
+                        nom=""
+                        for mot in ${args_git[@]+"${args_git[@]}"}; do
+                            case "$mot" in
+                                -d | -D | --delete | -m | -M | --move | -c | -C | --copy | -l | --list | -a | --all | -r | --remotes | \
+                                    -v | -vv | --verbose | --show-current | --contains | --no-contains | --merged | --no-merged | \
+                                    -u | --set-upstream-to | --set-upstream-to=* | --unset-upstream | --edit-description | --points-at) exit 0 ;;
+                                -*) ;;
+                                *) nom="$mot" ;;
+                            esac
+                        done
+                        [ -z "$nom" ] || cree=1
+                        ;;
+                esac
+                [ -z "$cree" ] || refuser garde.branche "$ligne"
+                ;;
+        esac
+        exit 0
+    ) || exit $?
+}
+
+# Ligne de commande shell : chaque commande (&&, ||, ;, |, retour à la ligne),
+# « cd » suivi, variables d'environnement en tête ignorées
+verifier_shell() {
+    local commande="$1" segment mots m nl=$'\n' lignes
+    dir="$cwd"
+    # Une commande par ligne. Découpage hors de <( … ) : bash 3.2 (macOS) y
+    # lit mal ces motifs (« bad substitution ») et ne vérifierait plus rien
+    lignes="${commande//&&/$nl}"
+    lignes="${lignes//||/$nl}"
+    lignes="${lignes//;/$nl}"
+    lignes="${lignes//|/$nl}"
+    lignes="${lignes//&/$nl}"
+    while IFS= read -r segment; do
+        # shellcheck disable=SC2162 # les antislashs restent tels quels, comme dans la commande
+        read -a mots <<<"$segment" || true
+        set -- ${mots[@]+"${mots[@]}"}
+        while [ $# -gt 0 ]; do
+            case "$1" in
+                [A-Za-z_]*=* | '(' | '{' | '!' | command | exec | env | sudo | time | nohup) shift ;;
+                *) break ;;
+            esac
+        done
+        [ $# -gt 0 ] || continue
+        m="${1//[\"\']/}"
+        case "$m" in
+            cd)
+                case "${2:-}" in
+                    "" | \~) dir="$HOME" ;;
+                    /*) dir="${2//[\"\']/}" ;;
+                    \~/*) dir="$HOME/${2#\~/}" ;;
+                    *) dir="$dir/${2//[\"\']/}" ;;
+                esac
+                ;;
+            git | */git)
+                shift
+                verifier_git "${@//[\"\']/}"
+                ;;
+        esac
+    done <<<"$lignes"
+}
+
+case "$outil" in
+    Edit | Write | MultiEdit | NotebookEdit | edit | write | multiedit)
+        chemin="$(jq -r '.file_path // .filePath // .notebook_path // empty' <<<"$args" 2>/dev/null)"
+        [ -z "$chemin" ] || verifier_fichier "$chemin"
+        ;;
+    apply_patch)
+        while IFS= read -r chemin; do
+            [ -z "$chemin" ] || verifier_fichier "$chemin"
+        done < <(jq -r '.patchText // empty' <<<"$args" 2>/dev/null |
+            sed -nE -e 's/^\*\*\* (Add|Update|Delete) File: //p' -e 's/^\*\*\* Move to: //p')
+        ;;
+    Bash | bash)
+        verifier_shell "$(jq -r '.command // empty' <<<"$args" 2>/dev/null)"
+        ;;
+esac
+exit 0

package/bin/migrer

@@ -14,7 +14,7 @@ ROOT="$(cd "$(dirname "${BASH_SOURCE[0]}")/.." && pwd -P)"
 # shellcheck source=../hooks/lib/common.sh
 source "$ROOT/hooks/lib/common.sh"
 
-aide() { sed -n '2,10p' "$0" | sed 's/^# \{0,1\}//'; }
+aide() { _tr help.migrer; printf '%b\n' "$_T" >&2; }
 
 PR="" HOOKS_LEFTHOOK=""
 while [ $# -gt 0 ]; do
@@ -35,6 +35,8 @@ majeure_r() {
     local v
     repowarden_version_r "$ROOT"
     v="$REPLY"
+    # 0.0.0-dev : version inconnue (clone sans tags), rien à déduire
+    if [ "$v" = 0.0.0-dev ]; then REPLY=""; return; fi
     REPLY="${v%%.*}"
     REPLY="${REPLY%%-*}"
     [[ "$v" != *.0.0-* ]] || REPLY=$((REPLY - 1))
@@ -45,6 +47,7 @@ else
     majeure_r
     MAJEURE="$REPLY"
 fi
+[ -n "$MAJEURE" ] || { err_t mig.unknown_version "$ROOT"; exit 1; }
 [[ "$MAJEURE" =~ ^[1-9][0-9]*$ ]] || { err_t mig.no_major "$MAJEURE"; exit 1; }
 BRANCHE="chore/migration-repowarden-v$MAJEURE"
 

package/bin/npm-publication

@@ -31,7 +31,7 @@ while [ $# -gt 0 ]; do
         --workflow) shift; WORKFLOW="${1:?--workflow attend un fichier}" ;;
         --environnement | --environment) shift; ENVIRONMENT="${1:?--environnement attend un nom}" ;;
         --dry-run) DRY_RUN=true ;;
-        -h | --help) sed -n '2,17p' "$0" | sed 's/^# \{0,1\}//'; exit 0 ;;
+        -h | --help) _tr help.npm-publication; printf '%b\n' "$_T"; exit 0 ;;
         *) err_t install.unknown_arg "$1"; exit 1 ;;
     esac
     shift

package/bin/pr-checks

@@ -10,14 +10,8 @@ source "$ROOT/hooks/lib/common.sh"
 source "$ROOT/hooks/lib/i18n.sh"
 
 aide() {
-    cat <<EOF
-Usage: repowarden pr checks <n>
-
-Affiche l'état des checks de la PR #<n>.
-
-Exemple:
-  repowarden pr checks 123
-EOF
+    _tr help.pr
+    printf '%b\n' "$_T"
 }
 
 [ $# -eq 1 ] || { aide >&2; exit 1; }

package/bin/pr-label

@@ -10,20 +10,14 @@ source "$ROOT/hooks/lib/common.sh"
 source "$ROOT/hooks/lib/i18n.sh"
 
 aide() {
-    cat <<EOF
-Usage: repowarden pr label <n> <label> [--remove]
-
-Ajoute ou retire un label sur la PR #<n>.
-
-Options:
-  --remove    Retire le label au lieu de l'ajouter
-
-Exemples:
-  repowarden pr label 123 "ready-for-review"
-  repowarden pr label 123 "needs-changes" --remove
-EOF
+    _tr help.pr
+    printf '%b\n' "$_T"
 }
 
+case "${1:-}" in
+    -h | --help) aide; exit 0 ;;
+esac
+
 [ $# -ge 2 ] || { aide >&2; exit 1; }
 command -v gh >/dev/null || { err_t bot.no_gh; exit 1; }
 

package/bin/proteger

@@ -56,7 +56,7 @@ while [ $# -gt 0 ]; do
         --sans-tags) NO_TAGS=1 ;;
         --dry-run) DRY_RUN=1 ;;
         --verifier) VERIFY=1 ;;
-        -h | --help) sed -n '2,19p' "$0" | sed 's/^# \{0,1\}//'; exit 0 ;;
+        -h | --help) _tr help.proteger; printf '%b\n' "$_T"; exit 0 ;;
         *) err_t install.unknown_arg "$1"; exit 1 ;;
     esac
     shift