spectrum-cli 2.1.1 → 2.1.2

package/CHANGELOG.md

@@ -39,6 +39,12 @@ _Список правок для обеспечения безопасност
 
 _Список правок для обеспечения технической поддержки._
 
+## 🚀 [2.1.2] - 2026-08-17
+
+### 🛠 Changed
+
+- Команда `spectrum token rotate` запрашивает два токена: owner PAT для работы с CI variables и `GITLAB_PRIVATE_TOKEN` для записи в переменные.
+
 ## 🚀 [2.1.1] - 2026-08-17
 
 ### 🛠 Changed

package/README.md

@@ -139,7 +139,7 @@ spectrum-cli/
 - `spectrum chart create <version>`: `git-repo`, `clean-working-tree`, `on-main-branch`, `valid-semver` (переданный `<version>` — semver), `single-chart` (ровно один `charts/<chart-name>/Chart.yaml`), `tag-missing` (тега `chart-<name>-<version>` нет локально и на `origin`).
 - `spectrum chart deploy`: `git-repo`, `clean-working-tree`, `on-main-branch` (текущая ветка `main`), `remote-origin` (настроен `origin`), `remote-reachable` (доступен `origin`), `single-chart`, `helmrelease-files` (найдены `helmrelease.yaml`).
 - `spectrum chart verify <source_path>`: `git-repo`, `single-values-yaml` (ровно один `charts/**/values.yaml`), `values-ingress-sections` (есть `ingress.paths.api/pages/assets`), `source-path-directory`, `next-project`, `build-command-support`.
-- `spectrum token rotate`: `load-config` (есть валидный `~/.config/spectrum-cli/config.yaml`), `ask-private-token` (`GITLAB_PRIVATE_TOKEN` только в памяти), `check-access` (все группы и проекты из конфига доступны).
+- `spectrum token rotate`: `load-config` (есть валидный `~/.config/spectrum-cli/config.yaml`), `ask-tokens` (owner PAT и `GITLAB_PRIVATE_TOKEN` только в памяти), `check-access` (все группы и проекты доступны owner PAT).
 
 ## 🔄 Workflow релиза
 
@@ -210,14 +210,17 @@ projects: []
 ```
 
 - `bot` и `token_ttl_months` читаются только из конфига.
-- `GITLAB_PRIVATE_TOKEN` запрашивается скрытым вводом и живет только в памяти на время команды. Им же ходим в API.
+- Скрытым вводом запрашиваются два токена. Оба живут только в памяти.
+- Owner PAT: ходит в API, проверяет доступ, читает/удаляет/создает CI variables. Для групп нужен Owner, для проектов — Maintainer+.
+- `GITLAB_PRIVATE_TOKEN`: только значение, которое пишется в CI variable.
 - Для каждой группы и проекта CI variable `GITLAB_PRIVATE_TOKEN` удаляется (если есть) и создается заново как masked and hidden.
 - Description переменной: `PAT от бота <bot>, владелец Колосов. Истекает YYYY-MM-DD.` Дата = сегодня + `token_ttl_months`.
 
 1. Загружает или создает конфиг
-2. Запрашивает `GITLAB_PRIVATE_TOKEN`
-3. Проверяет доступ ко всем группам и проектам
-4. Обновляет CI variables во всех целях
+2. Запрашивает owner PAT
+3. Запрашивает `GITLAB_PRIVATE_TOKEN`
+4. Проверяет доступ ко всем группам и проектам owner PAT
+5. Обновляет CI variables во всех целях
 
 ## 📝 Работа с Changelog
 

package/index.js

@@ -107,7 +107,7 @@ const tokenCmd = program
 
 tokenCmd
   .command("rotate")
-  .description("Пролить GITLAB_PRIVATE_TOKEN в CI variables групп и проектов")
+  .description("Пролить GITLAB_PRIVATE_TOKEN в CI variables через owner PAT")
   .action(() => runAction(token.tokenRotate));
 
 // Переопределяем help, чтобы показать кастомный формат с алиасами

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "spectrum-cli",
-  "version": "2.1.1",
+  "version": "2.1.2",
   "description": "🚀 Modern CLI for development workflow automation - release management, versioning, and changelog generation",
   "main": "index.js",
   "bin": {

package/src/token.js

@@ -123,11 +123,11 @@ function parseTargets(urls, kind) {
     return { ok: true, targets };
 }
 
-async function promptPrivateToken() {
+async function promptHidden(message) {
     return new Promise((resolve) => {
         const stdin = process.stdin;
         const stdout = process.stdout;
-        stdout.write('🔑 Введите GITLAB_PRIVATE_TOKEN: ');
+        stdout.write(message);
 
         if (!stdin.isTTY || typeof stdin.setRawMode !== 'function') {
             const rl = readline.createInterface({ input: stdin, output: stdout });
@@ -165,9 +165,9 @@ async function promptPrivateToken() {
     });
 }
 
-async function gitlabRequest(origin, privateToken, method, apiPath, body) {
+async function gitlabRequest(origin, accessToken, method, apiPath, body) {
     const url = `${origin}/api/v4${apiPath}`;
-    const headers = { 'PRIVATE-TOKEN': privateToken };
+    const headers = { 'PRIVATE-TOKEN': accessToken };
     const options = { method, headers };
     if (body !== undefined) {
         headers['Content-Type'] = 'application/json';
@@ -193,13 +193,13 @@ async function gitlabRequest(origin, privateToken, method, apiPath, body) {
     };
 }
 
-async function gitlabGetAll(origin, privateToken, apiPath) {
+async function gitlabGetAll(origin, accessToken, apiPath) {
     const items = [];
     let page = 1;
 
     while (true) {
         const separator = apiPath.includes('?') ? '&' : '?';
-        const result = await gitlabRequest(origin, privateToken, 'GET', `${apiPath}${separator}per_page=100&page=${page}`);
+        const result = await gitlabRequest(origin, accessToken, 'GET', `${apiPath}${separator}per_page=100&page=${page}`);
         if (!result.ok) {
             return result;
         }
@@ -272,10 +272,17 @@ function loadOrCreateConfig() {
     };
 }
 
-async function askPrivateToken(ctx) {
-    logSuccess('🔑', 'Запрашиваю %s. Значение останется только в памяти.', TOKEN_NAME);
-    const privateToken = await module.exports.promptPrivateToken();
-    if (!privateToken) {
+async function askTokens(ctx) {
+    logSuccess('🔑', 'Запрашиваю owner PAT для работы с CI variables. Значение останется только в памяти.');
+    const ownerToken = await module.exports.promptHidden('🔑 Введите owner PAT: ');
+    if (!ownerToken) {
+        return { ok: false, reason: 'Owner PAT не указан.' };
+    }
+    logSuccess('🔑', 'Owner PAT принят в память.');
+
+    logSuccess('🔑', 'Запрашиваю %s для записи в CI variables. Значение останется только в памяти.', TOKEN_NAME);
+    const ciToken = await module.exports.promptHidden(`🔑 Введите ${TOKEN_NAME}: `);
+    if (!ciToken) {
         return { ok: false, reason: `${TOKEN_NAME} не указан.` };
     }
 
@@ -284,7 +291,8 @@ async function askPrivateToken(ctx) {
     return {
         ok: true,
         data: {
-            privateToken,
+            ownerToken,
+            ciToken,
             expiresAt,
             variableDescription: buildDescription(ctx.bot, expiresAt)
         }
@@ -297,7 +305,7 @@ async function checkTargetsAccess(ctx) {
         const target = ctx.targets[index];
         const endpoint = target.kind === 'группы' ? 'groups' : 'projects';
         logSuccess('🔍', '[%s/%s] Проверяю доступ к %s %s', String(index + 1), String(total), target.kind, target.url);
-        const result = await gitlabRequest(ctx.origin, ctx.privateToken, 'GET', `/${endpoint}/${target.encodedPath}`);
+        const result = await gitlabRequest(ctx.origin, ctx.ownerToken, 'GET', `/${endpoint}/${target.encodedPath}`);
         if (!result.ok) {
             return { ok: false, reason: `${target.kind === 'группы' ? 'Группа' : 'Проект'} недоступен: ${target.url} (HTTP ${result.status}).` };
         }
@@ -311,7 +319,7 @@ async function updateTargetVariable(ctx, target, index, total) {
     const label = target.kind === 'группы' ? 'группе' : 'проекте';
     logSuccess('📦', '[%s/%s] Обновляю CI variable %s в %s %s', String(index + 1), String(total), TOKEN_NAME, label, target.path);
 
-    const listed = await gitlabGetAll(ctx.origin, ctx.privateToken, `/${endpoint}/${target.encodedPath}/variables`);
+    const listed = await gitlabGetAll(ctx.origin, ctx.ownerToken, `/${endpoint}/${target.encodedPath}/variables`);
     if (!listed.ok) {
         logError('❌', 'Не удалось получить CI variables для %s (HTTP %s).', target.path, String(listed.status));
         return false;
@@ -320,7 +328,7 @@ async function updateTargetVariable(ctx, target, index, total) {
     const exists = (listed.data || []).some((variable) => variable.key === TOKEN_NAME);
     if (exists) {
         logSuccess('🗑', '[%s/%s] Удаляю старую CI variable %s в %s %s', String(index + 1), String(total), TOKEN_NAME, label, target.path);
-        const deleted = await gitlabRequest(ctx.origin, ctx.privateToken, 'DELETE', `/${endpoint}/${target.encodedPath}/variables/${TOKEN_NAME}`);
+        const deleted = await gitlabRequest(ctx.origin, ctx.ownerToken, 'DELETE', `/${endpoint}/${target.encodedPath}/variables/${TOKEN_NAME}`);
         if (!deleted.ok && deleted.status !== 204) {
             logError('❌', 'Не удалось удалить CI variable в %s (HTTP %s).', target.path, String(deleted.status));
             return false;
@@ -331,9 +339,9 @@ async function updateTargetVariable(ctx, target, index, total) {
     }
 
     logSuccess('📝', '[%s/%s] Создаю CI variable %s в %s %s', String(index + 1), String(total), TOKEN_NAME, label, target.path);
-    const created = await gitlabRequest(ctx.origin, ctx.privateToken, 'POST', `/${endpoint}/${target.encodedPath}/variables`, {
+    const created = await gitlabRequest(ctx.origin, ctx.ownerToken, 'POST', `/${endpoint}/${target.encodedPath}/variables`, {
         key: TOKEN_NAME,
-        value: ctx.privateToken,
+        value: ctx.ciToken,
         masked_and_hidden: true,
         description: ctx.variableDescription
     });
@@ -364,7 +372,7 @@ function tokenRotate() {
         name: 'token rotate',
         checks: [
             { name: 'load-config', run: loadOrCreateConfig },
-            { name: 'ask-private-token', run: askPrivateToken },
+            { name: 'ask-tokens', run: askTokens },
             { name: 'check-access', run: checkTargetsAccess }
         ],
         steps: [
@@ -382,9 +390,9 @@ module.exports = {
     addMonths,
     buildDescription,
     validateConfig,
-    promptPrivateToken,
+    promptHidden,
     loadOrCreateConfig,
-    askPrivateToken,
+    askTokens,
     checkTargetsAccess,
     updateCiVariables,
     tokenRotate