spectrum-cli 2.1.0 → 2.1.2

package/CHANGELOG.md

@@ -39,6 +39,18 @@ _Список правок для обеспечения безопасност
 
 _Список правок для обеспечения технической поддержки._
 
+## 🚀 [2.1.2] - 2026-08-17
+
+### 🛠 Changed
+
+- Команда `spectrum token rotate` запрашивает два токена: owner PAT для работы с CI variables и `GITLAB_PRIVATE_TOKEN` для записи в переменные.
+
+## 🚀 [2.1.1] - 2026-08-17
+
+### 🛠 Changed
+
+- Команда `spectrum token rotate` больше не создает PAT. Нужно передать готовый `GITLAB_PRIVATE_TOKEN`, команда только проливает его в CI/CD variables.
+
 ## 🚀 [2.1.0] - 2026-08-17
 
 ### 🆕 Added

package/README.md

@@ -55,7 +55,7 @@ spectrum chart verify ~/repo  # Сравнить ingress paths AS IS vs TO BE д
 spectrum changelog append "Сообщение"  # Добавить запись в CHANGELOG.md
 
 # 🔑 GitLab токены
-spectrum token rotate  # Ротировать GITLAB_PRIVATE_TOKEN и обновить CI variables
+spectrum token rotate  # Пролить GITLAB_PRIVATE_TOKEN в CI variables
 ```
 
 ### Справка по командам:
@@ -125,7 +125,7 @@ spectrum-cli/
 | `spectrum chart create`     | Создать и запушить chart тег        |
 | `spectrum chart deploy`     | Обновить chart версию в helmrelease |
 | `spectrum chart verify`     | Проверить ingress paths chart       |
-| `spectrum token rotate`     | Ротировать GITLAB_PRIVATE_TOKEN     |
+| `spectrum token rotate`     | Пролить GITLAB_PRIVATE_TOKEN в CI   |
 
 ### 🛡️ Preflight-проверки по командам
 
@@ -139,7 +139,7 @@ spectrum-cli/
 - `spectrum chart create <version>`: `git-repo`, `clean-working-tree`, `on-main-branch`, `valid-semver` (переданный `<version>` — semver), `single-chart` (ровно один `charts/<chart-name>/Chart.yaml`), `tag-missing` (тега `chart-<name>-<version>` нет локально и на `origin`).
 - `spectrum chart deploy`: `git-repo`, `clean-working-tree`, `on-main-branch` (текущая ветка `main`), `remote-origin` (настроен `origin`), `remote-reachable` (доступен `origin`), `single-chart`, `helmrelease-files` (найдены `helmrelease.yaml`).
 - `spectrum chart verify <source_path>`: `git-repo`, `single-values-yaml` (ровно один `charts/**/values.yaml`), `values-ingress-sections` (есть `ingress.paths.api/pages/assets`), `source-path-directory`, `next-project`, `build-command-support`.
-- `spectrum token rotate`: `load-config` (есть валидный `~/.config/spectrum-cli/config.yaml`), `ask-admin-pat` (admin PAT только в памяти), `resolve-user` (`GET /user`), `check-access` (все группы и проекты из конфига доступны).
+- `spectrum token rotate`: `load-config` (есть валидный `~/.config/spectrum-cli/config.yaml`), `ask-tokens` (owner PAT и `GITLAB_PRIVATE_TOKEN` только в памяти), `check-access` (все группы и проекты доступны owner PAT).
 
 ## 🔄 Workflow релиза
 
@@ -196,36 +196,31 @@ spectrum-cli/
 
 ### `spectrum token rotate`
 
-Ротация PAT `GITLAB_PRIVATE_TOKEN` на текущем пользователе admin PAT и пролив значения в CI/CD variables групп и проектов.
+Пролив уже созданного PAT `GITLAB_PRIVATE_TOKEN` в CI/CD variables групп и проектов. Команда токен не выпускает.
 
 **Конфиг:** `~/.config/spectrum-cli/config.yaml`
 
 Если файла нет, команда создаст его:
 
 ```yaml
-bot: group349_bot2
-token_ttl_months: 6
-groups:
-  - https://gitlab.spectrumdata.tech/spectrum-frontend
-projects:
-  - https://gitlab.spectrumdata.tech/bso/agent-site
+bot: bot
+token_ttl_months: 12
+groups: []
+projects: []
 ```
 
 - `bot` и `token_ttl_months` читаются только из конфига.
-- Admin PAT запрашивается скрытым вводом и живет только в памяти на время команды.
-- Если PAT `GITLAB_PRIVATE_TOKEN` уже есть, он удаляется и создается заново. Если нет — создается новый.
-- Срок жизни PAT: сегодня + `token_ttl_months`.
-- Права PAT: `api`, `read_repository`, `write_repository`, `read_registry`.
+- Скрытым вводом запрашиваются два токена. Оба живут только в памяти.
+- Owner PAT: ходит в API, проверяет доступ, читает/удаляет/создает CI variables. Для групп нужен Owner, для проектов — Maintainer+.
+- `GITLAB_PRIVATE_TOKEN`: только значение, которое пишется в CI variable.
 - Для каждой группы и проекта CI variable `GITLAB_PRIVATE_TOKEN` удаляется (если есть) и создается заново как masked and hidden.
-- Description переменной: `PAT от бота <bot>, владелец Колосов. Истекает YYYY-MM-DD.`
-- В конце новый PAT печатается один раз. Повторно получить его нельзя.
+- Description переменной: `PAT от бота <bot>, владелец Колосов. Истекает YYYY-MM-DD.` Дата = сегодня + `token_ttl_months`.
 
 1. Загружает или создает конфиг
-2. Запрашивает admin PAT
-3. Проверяет доступ ко всем группам и проектам
-4. Удаляет старый PAT `GITLAB_PRIVATE_TOKEN` и создает новый
+2. Запрашивает owner PAT
+3. Запрашивает `GITLAB_PRIVATE_TOKEN`
+4. Проверяет доступ ко всем группам и проектам owner PAT
 5. Обновляет CI variables во всех целях
-6. Печатает новый PAT и предупреждение
 
 ## 📝 Работа с Changelog
 

package/index.js

@@ -107,7 +107,7 @@ const tokenCmd = program
 
 tokenCmd
   .command("rotate")
-  .description("Ротировать GITLAB_PRIVATE_TOKEN и обновить CI variables")
+  .description("Пролить GITLAB_PRIVATE_TOKEN в CI variables через owner PAT")
   .action(() => runAction(token.tokenRotate));
 
 // Переопределяем help, чтобы показать кастомный формат с алиасами

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "spectrum-cli",
-  "version": "2.1.0",
+  "version": "2.1.2",
   "description": "🚀 Modern CLI for development workflow automation - release management, versioning, and changelog generation",
   "main": "index.js",
   "bin": {

package/src/token.js

@@ -3,11 +3,10 @@ const fs = require('fs');
 const os = require('os');
 const path = require('path');
 const readline = require('readline');
-const { logSuccess, logError, colors } = require('./utils');
+const { logSuccess, logError } = require('./utils');
 const { runCommand } = require('./command-executor');
 
 const TOKEN_NAME = 'GITLAB_PRIVATE_TOKEN';
-const TOKEN_SCOPES = ['api', 'read_repository', 'write_repository', 'read_registry'];
 
 function getConfigPath() {
     return path.join(os.homedir(), '.config', 'spectrum-cli', 'config.yaml');
@@ -57,12 +56,12 @@ function parseConfig(content) {
             continue;
         }
 
-        if (isTopLevel && /^groups:\s*$/.test(trimmed)) {
+        if (isTopLevel && /^groups:\s*(?:\[\s*\])?\s*$/.test(trimmed)) {
             section = 'groups';
             continue;
         }
 
-        if (isTopLevel && /^projects:\s*$/.test(trimmed)) {
+        if (isTopLevel && /^projects:\s*(?:\[\s*\])?\s*$/.test(trimmed)) {
             section = 'projects';
             continue;
         }
@@ -124,11 +123,11 @@ function parseTargets(urls, kind) {
     return { ok: true, targets };
 }
 
-async function promptAdminPat() {
+async function promptHidden(message) {
     return new Promise((resolve) => {
         const stdin = process.stdin;
         const stdout = process.stdout;
-        stdout.write('🔑 Введите admin PAT: ');
+        stdout.write(message);
 
         if (!stdin.isTTY || typeof stdin.setRawMode !== 'function') {
             const rl = readline.createInterface({ input: stdin, output: stdout });
@@ -166,9 +165,9 @@ async function promptAdminPat() {
     });
 }
 
-async function gitlabRequest(origin, adminPat, method, apiPath, body) {
+async function gitlabRequest(origin, accessToken, method, apiPath, body) {
     const url = `${origin}/api/v4${apiPath}`;
-    const headers = { 'PRIVATE-TOKEN': adminPat };
+    const headers = { 'PRIVATE-TOKEN': accessToken };
     const options = { method, headers };
     if (body !== undefined) {
         headers['Content-Type'] = 'application/json';
@@ -194,13 +193,13 @@ async function gitlabRequest(origin, adminPat, method, apiPath, body) {
     };
 }
 
-async function gitlabGetAll(origin, adminPat, apiPath) {
+async function gitlabGetAll(origin, accessToken, apiPath) {
     const items = [];
     let page = 1;
 
     while (true) {
         const separator = apiPath.includes('?') ? '&' : '?';
-        const result = await gitlabRequest(origin, adminPat, 'GET', `${apiPath}${separator}per_page=100&page=${page}`);
+        const result = await gitlabRequest(origin, accessToken, 'GET', `${apiPath}${separator}per_page=100&page=${page}`);
         if (!result.ok) {
             return result;
         }
@@ -267,30 +266,37 @@ function loadOrCreateConfig() {
             configPath,
             bot: parsed.bot,
             tokenTtlMonths: parsed.tokenTtlMonths,
+            origin: targets[0].origin,
             targets
         }
     };
 }
 
-async function askAdminPat() {
-    logSuccess('🔑', 'Запрашиваю admin PAT. Значение останется только в памяти.');
-    const adminPat = await module.exports.promptAdminPat();
-    if (!adminPat) {
-        return { ok: false, reason: 'Admin PAT не указан.' };
+async function askTokens(ctx) {
+    logSuccess('🔑', 'Запрашиваю owner PAT для работы с CI variables. Значение останется только в памяти.');
+    const ownerToken = await module.exports.promptHidden('🔑 Введите owner PAT: ');
+    if (!ownerToken) {
+        return { ok: false, reason: 'Owner PAT не указан.' };
     }
-    logSuccess('🔑', 'Admin PAT принят в память.');
-    return { ok: true, data: { adminPat } };
-}
+    logSuccess('🔑', 'Owner PAT принят в память.');
 
-async function resolveCurrentUser(ctx) {
-    const origin = ctx.targets[0].origin;
-    logSuccess('👤', 'Проверяю admin PAT через GET /user на %s', origin);
-    const result = await gitlabRequest(origin, ctx.adminPat, 'GET', '/user');
-    if (!result.ok || !result.data || !result.data.id) {
-        return { ok: false, reason: `Не удалось получить текущего пользователя (HTTP ${result.status}).` };
+    logSuccess('🔑', 'Запрашиваю %s для записи в CI variables. Значение останется только в памяти.', TOKEN_NAME);
+    const ciToken = await module.exports.promptHidden(`🔑 Введите ${TOKEN_NAME}: `);
+    if (!ciToken) {
+        return { ok: false, reason: `${TOKEN_NAME} не указан.` };
     }
-    logSuccess('👤', 'Текущий пользователь: %s (id=%s)', result.data.username || 'unknown', String(result.data.id));
-    return { ok: true, data: { origin, userId: result.data.id, username: result.data.username } };
+
+    const expiresAt = addMonths(new Date(), ctx.tokenTtlMonths);
+    logSuccess('🔑', '%s принят в память. Description будет с датой %s.', TOKEN_NAME, expiresAt);
+    return {
+        ok: true,
+        data: {
+            ownerToken,
+            ciToken,
+            expiresAt,
+            variableDescription: buildDescription(ctx.bot, expiresAt)
+        }
+    };
 }
 
 async function checkTargetsAccess(ctx) {
@@ -299,7 +305,7 @@ async function checkTargetsAccess(ctx) {
         const target = ctx.targets[index];
         const endpoint = target.kind === 'группы' ? 'groups' : 'projects';
         logSuccess('🔍', '[%s/%s] Проверяю доступ к %s %s', String(index + 1), String(total), target.kind, target.url);
-        const result = await gitlabRequest(ctx.origin, ctx.adminPat, 'GET', `/${endpoint}/${target.encodedPath}`);
+        const result = await gitlabRequest(ctx.origin, ctx.ownerToken, 'GET', `/${endpoint}/${target.encodedPath}`);
         if (!result.ok) {
             return { ok: false, reason: `${target.kind === 'группы' ? 'Группа' : 'Проект'} недоступен: ${target.url} (HTTP ${result.status}).` };
         }
@@ -308,54 +314,12 @@ async function checkTargetsAccess(ctx) {
     return { ok: true };
 }
 
-async function rotatePat(ctx) {
-    const expiresAt = addMonths(new Date(), ctx.tokenTtlMonths);
-    logSuccess('🔎', 'Ищу активные PAT с именем %s', TOKEN_NAME);
-    const listed = await gitlabGetAll(ctx.origin, ctx.adminPat, `/personal_access_tokens?user_id=${ctx.userId}&search=${encodeURIComponent(TOKEN_NAME)}`);
-    if (!listed.ok) {
-        logError('❌', 'Не удалось получить список PAT (HTTP %s).', String(listed.status));
-        return false;
-    }
-
-    const existing = (listed.data || []).filter((token) => token.name === TOKEN_NAME && token.active && !token.revoked);
-    if (existing.length === 0) {
-        logSuccess('🔎', 'Активный PAT %s не найден, будет создан новый.', TOKEN_NAME);
-    }
-
-    for (const token of existing) {
-        logSuccess('🗑', 'Удаляю старый PAT %s (id=%s)', TOKEN_NAME, String(token.id));
-        const revoked = await gitlabRequest(ctx.origin, ctx.adminPat, 'DELETE', `/personal_access_tokens/${token.id}`);
-        if (!revoked.ok && revoked.status !== 204) {
-            logError('❌', 'Не удалось удалить PAT id=%s (HTTP %s).', String(token.id), String(revoked.status));
-            return false;
-        }
-        logSuccess('🗑', 'PAT id=%s удален.', String(token.id));
-    }
-
-    logSuccess('🆕', 'Создаю PAT %s, истекает %s', TOKEN_NAME, expiresAt);
-    const created = await gitlabRequest(ctx.origin, ctx.adminPat, 'POST', `/users/${ctx.userId}/personal_access_tokens`, {
-        name: TOKEN_NAME,
-        scopes: TOKEN_SCOPES,
-        expires_at: expiresAt
-    });
-    if (!created.ok || !created.data || !created.data.token) {
-        logError('❌', 'Не удалось создать PAT (HTTP %s).', String(created.status));
-        return false;
-    }
-
-    logSuccess('🆕', 'PAT %s создан (id=%s), истекает %s', TOKEN_NAME, String(created.data.id), expiresAt);
-    ctx.newToken = created.data.token;
-    ctx.expiresAt = expiresAt;
-    ctx.variableDescription = buildDescription(ctx.bot, expiresAt);
-    return true;
-}
-
 async function updateTargetVariable(ctx, target, index, total) {
     const endpoint = target.kind === 'группы' ? 'groups' : 'projects';
     const label = target.kind === 'группы' ? 'группе' : 'проекте';
     logSuccess('📦', '[%s/%s] Обновляю CI variable %s в %s %s', String(index + 1), String(total), TOKEN_NAME, label, target.path);
 
-    const listed = await gitlabGetAll(ctx.origin, ctx.adminPat, `/${endpoint}/${target.encodedPath}/variables`);
+    const listed = await gitlabGetAll(ctx.origin, ctx.ownerToken, `/${endpoint}/${target.encodedPath}/variables`);
     if (!listed.ok) {
         logError('❌', 'Не удалось получить CI variables для %s (HTTP %s).', target.path, String(listed.status));
         return false;
@@ -364,7 +328,7 @@ async function updateTargetVariable(ctx, target, index, total) {
     const exists = (listed.data || []).some((variable) => variable.key === TOKEN_NAME);
     if (exists) {
         logSuccess('🗑', '[%s/%s] Удаляю старую CI variable %s в %s %s', String(index + 1), String(total), TOKEN_NAME, label, target.path);
-        const deleted = await gitlabRequest(ctx.origin, ctx.adminPat, 'DELETE', `/${endpoint}/${target.encodedPath}/variables/${TOKEN_NAME}`);
+        const deleted = await gitlabRequest(ctx.origin, ctx.ownerToken, 'DELETE', `/${endpoint}/${target.encodedPath}/variables/${TOKEN_NAME}`);
         if (!deleted.ok && deleted.status !== 204) {
             logError('❌', 'Не удалось удалить CI variable в %s (HTTP %s).', target.path, String(deleted.status));
             return false;
@@ -375,9 +339,9 @@ async function updateTargetVariable(ctx, target, index, total) {
     }
 
     logSuccess('📝', '[%s/%s] Создаю CI variable %s в %s %s', String(index + 1), String(total), TOKEN_NAME, label, target.path);
-    const created = await gitlabRequest(ctx.origin, ctx.adminPat, 'POST', `/${endpoint}/${target.encodedPath}/variables`, {
+    const created = await gitlabRequest(ctx.origin, ctx.ownerToken, 'POST', `/${endpoint}/${target.encodedPath}/variables`, {
         key: TOKEN_NAME,
-        value: ctx.newToken,
+        value: ctx.ciToken,
         masked_and_hidden: true,
         description: ctx.variableDescription
     });
@@ -403,32 +367,22 @@ async function updateCiVariables(ctx) {
     return true;
 }
 
-function printNewToken(ctx) {
-    console.log(` ${colors.yellow}⚠️  Новый ${TOKEN_NAME} больше нельзя будет получить. Сохраните его сейчас:${colors.reset}`);
-    console.log(ctx.newToken);
-    return true;
-}
-
 function tokenRotate() {
     return runCommand({
         name: 'token rotate',
         checks: [
             { name: 'load-config', run: loadOrCreateConfig },
-            { name: 'ask-admin-pat', run: askAdminPat },
-            { name: 'resolve-user', run: resolveCurrentUser },
+            { name: 'ask-tokens', run: askTokens },
             { name: 'check-access', run: checkTargetsAccess }
         ],
         steps: [
-            { name: 'rotate-pat', run: rotatePat },
-            { name: 'update-ci-variables', run: updateCiVariables },
-            { name: 'print-token', run: printNewToken }
+            { name: 'update-ci-variables', run: updateCiVariables }
         ]
     });
 }
 
 module.exports = {
     TOKEN_NAME,
-    TOKEN_SCOPES,
     getConfigPath,
     defaultConfigContent,
     parseConfig,
@@ -436,13 +390,10 @@ module.exports = {
     addMonths,
     buildDescription,
     validateConfig,
-    promptAdminPat,
+    promptHidden,
     loadOrCreateConfig,
-    askAdminPat,
-    resolveCurrentUser,
+    askTokens,
     checkTargetsAccess,
-    rotatePat,
     updateCiVariables,
-    printNewToken,
     tokenRotate
 };