spectrum-cli 5.0.1 → 5.1.0

package/CHANGELOG.md

@@ -9,6 +9,27 @@ This is the changelog of the `spectrum-cli` npm package. Its version comes from
 `package.json`; the release commands use Git tags and `CHANGELOG.md` in the
 **target project** and do not update that project's `package.json`.
 
+## 🚀 [5.1.0]
+
+### Changed
+
+- Deployment-адреса и GitLab-проекты задаются окружением: встроенные URL/namespace удалены, примеры и fixtures используют example-домены. Добавлены preflight наличия настроек, доступности, GitLab token scope/роли, YouTrack identity/проектов/полей и registry login/чтения. Права записи не объявляются доказанными по успешному GET.
+
+### Added
+
+- Все новые automation-команды поддерживают `-d, --dry` и `-s, --silence`: dry выполняет только предпроверки без изменения исходников, отчётов и удалённых сущностей; silence скрывает успешные предпроверки, сохраняя ошибки и результаты.
+
+- Команды `nextjs licenses`, `sbom catalog resolve/populate` и `security scan/track/reconcile/repair` перенесены из CI-компонентов в JavaScript-модули CLI. Сохранены OCI provenance/integrity, CVE и проектные задачи, Priority, изоляция проверок, проверки исправлений и отчёты для Mattermost.
+- Автоматизация работает без интерактивных запросов и проверки обновлений; версии CLI в CI закрепляются служебными образами. Python для новых команд не требуется.
+
+## 🚀 [5.0.2] - 2026-10-23
+
+### Changed
+
+- При baseline `0.x` обычные релизы с breaking/removed повышают minor, сохраняя тип записей; исправления повышают patch. Первый `1.0.0` требует явного `release start --stable`; другой открытый релиз блокирует переход. После `1.0.0` действует прежний SemVer.
+
+- Команды `spectrum chart` используют `SC_DEVELOPER_PAT` вместо `SC_OWNER_PAT` для Helm-registry. Новое имя имеет приоритет. `SC_OWNER_PAT` сохранена как deprecated fallback с предупреждением при использовании; поддержка старого имени будет удалена в следующей версии. Owner для проверки registry не требуется. Запрос owner PAT в `token rotate` для управления групповыми CI/CD variables не изменён.
+
 ## 🚀 [5.0.1] - 2026-10-02
 
 ### 🛠 Changed

package/README.md

@@ -14,7 +14,7 @@ npm install -g spectrum-cli
 spectrum --help
 ```
 
-Перед выполнением каждой команды CLI проверяет опубликованную версию `spectrum-cli`
+Перед выполнением команд workflow CLI проверяет опубликованную версию `spectrum-cli`
 в npm Registry. Если доступна новая версия, показывает текущую и новую версии и
 команду `spectrum upgrade`. Она запускает `npm install -g spectrum-cli`.
 Проверка ограничена 200 мс; недоступность Registry не влияет на выполнение
@@ -43,7 +43,7 @@ spectrum --help
 spectrum -v  # или spectrum --version
 
 # 🚀 Управление релизами
-spectrum release start               # Схлопнуть fragments и атомарно отправить release commit в dev и main/master
+spectrum release start [--stable]    # Схлопнуть fragments и атомарно отправить release commit в dev и main/master
 spectrum release deploy              # Создать стабильный тег release/X.Y.Z из заголовка CHANGELOG
 spectrum release close               # Свести stable main/master в dev
 
@@ -172,7 +172,14 @@ spectrum-cli/
 - `spectrum release close`: чистая и актуальная main/master, версия из верхнего заголовка `CHANGELOG.md` и remote stable-тег поддерживаемой формы, указывающий на текущий commit.
 - `spectrum changelog append <message>`: `git-repo`, `changelog-exists`, валидные ID задачи, git identity и тип fragment. Команда не изменяет общий `CHANGELOG.md`.
 - `spectrum changelog check`: `git-repo`, `changelog-exists`, `changelog-prettier-check`, наличие и формат всех changelog fragments.
-- `spectrum chart start`: `git-repo`, `clean-working-tree`, `on-main-branch`, `single-chart` (ровно один `charts/<chart-name>/Chart.yaml`), валидный верхний SemVer-заголовок в `charts/<chart-name>/CHANGELOG.md`, отсутствие тега `chart-<name>-<version>` локально и на `origin`, отсутствие этой версии чарта в Helm-registry. Для запроса registry нужен `SC_OWNER_PAT`; ошибка доступа блокирует команду. `-f, --force` обходит только проверку повышения версии относительно последнего remote-тега. После push команда по умолчанию ждёт версию в registry; `-n, --no-wait` отключает ожидание.
+- `spectrum chart start`: `git-repo`, `clean-working-tree`, `on-main-branch`, `single-chart` (ровно один `charts/<chart-name>/Chart.yaml`), валидный верхний SemVer-заголовок в `charts/<chart-name>/CHANGELOG.md`, отсутствие тега `chart-<name>-<version>` локально и на `origin`, отсутствие этой версии чарта в Helm-registry. Для запроса registry нужен `SC_DEVELOPER_PAT` (PAT со scope `api` и доступом к проекту; роль Owner не требуется); ошибка доступа блокирует команду. Право отправки chart-тега определяется отдельно правилами protected tags. `-f, --force` обходит только проверку повышения версии относительно последнего remote-тега. После push команда по умолчанию ждёт версию в registry; `-n, --no-wait` отключает ожидание.
+
+Для обратной совместимости chart-команды принимают `SC_OWNER_PAT`, если
+`SC_DEVELOPER_PAT` не задана или пуста. `SC_OWNER_PAT` deprecated: поддержка
+будет удалена в следующей версии. При её использовании CLI один раз за процесс
+выводит предупреждение с просьбой перейти на `SC_DEVELOPER_PAT`. Если заданы обе
+переменные, используется `SC_DEVELOPER_PAT` без предупреждения.
+
 - `spectrum chart deploy`: `git-repo`, `clean-working-tree`, `on-main-branch` (текущая ветка `main`), `remote-origin` (настроен `origin`), `remote-reachable` (доступен `origin`), `single-chart`, `helmrelease-files` (найдены `helmrelease.yaml`).
 - `spectrum chart verify <source_path>`: `git-repo`, `single-values-yaml` (ровно один `charts/**/values.yaml`), `values-ingress-sections` (есть `ingress.paths.api/pages/assets`), `source-path-directory`, `next-project`, `build-command-support`.
 - `spectrum token rotate`: `load-config` (есть валидный `~/.config/spectrum-cli/config.yaml`), `ask-tokens` (owner PAT и `SC_BOT_PAT` только в памяти), `check-access` (все группы и проекты доступны owner PAT).
@@ -185,10 +192,23 @@ spectrum-cli/
 
 1. Проверяет чистую актуальную dev-ветку, включающую `origin/main` или `origin/master`, changelog и fragments.
 2. После `git fetch origin --prune --tags` находит максимальный stable-тег среди `release/X.Y.Z`, `hotfix/X.Y.Z` и `vX.Y.Z`, достижимый из production-ветки.
-3. Если открытого релиза нет, вычисляет версию по fragments: `breaking` и `removed` → major, `added` → minor, остальные → patch. Если раздел уже открыт в main/master, сохраняет его версию и дату, объединяет прежние записи с новыми по разделам без дублей. Тип новых fragments не повышает уже выбранную версию.
+3. Если открытого релиза нет, вычисляет версию по fragments. До `1.0.0`: `breaking`, `removed` и `added` → minor, остальные → patch. Начиная с `1.0.0`: `breaking` и `removed` → major, `added` → minor, остальные → patch. Если раздел уже открыт в main/master, сохраняет его версию и дату, объединяет прежние записи с новыми по разделам без дублей. Тип новых fragments не повышает уже выбранную версию.
 4. Форматирует и проверяет `CHANGELOG.md`, затем удаляет использованные fragments.
 5. Коммитит изменения и атомарно пушит dev в `origin/dev` и `origin/main` или `origin/master`, без Merge Request. Если новых записей нет, пустой коммит не создаётся; можно повторить отправку после её сбоя.
 
+Первый стабильный выпуск создаётся явно: `spectrum release start --stable`
+вычисляет ровно `1.0.0` от опубликованного `0.x`. Другой открытый релиз блокирует
+переход; повтор подготовки открытого `1.0.0` допустим. Флаг запрещён после
+перехода на `1.x`. Он выполняет обычный workflow `release start`, включая commit
+и push; `--dry` запускает только предпроверки. Обычный запуск от `0.3.7` с
+breaking/removed даёт `0.4.0`, с исправлением — `0.3.8`; исходные типы записей
+сохраняются. Alpha CI должен применять ту же политику к своей базовой версии.
+
+Сброс прежней высокой нумерации на `0.x` не выполняется этой командой: это
+отдельная миграция с архивом changelog и ссылок тегов, согласованием dev/master и
+исключением старых тегов из расчёта версии. Нельзя запускать `release start`,
+пока опубликованная история в dev и production различается.
+
 Например, повторный `release start` дополняет открытый `1.4.0`; после публикации
 `release/1.4.0` новые fragments уже формируют следующий релиз. Изменение
 опубликованной истории и конфликтующие открытые версии блокируют команду.
@@ -378,13 +398,13 @@ projects: []
 
 **📋 Типы fragment и SemVer:**
 
-| Суффикс | Раздел | Повышение версии |
-| --- | --- | --- |
-| `breaking` | Breaking change | major |
-| `removed` | Removed | major |
-| `added` | Added | minor |
-| `changed`, `deprecated` | Соответствующий раздел | patch |
-| `fixed`, `security`, `support` | Соответствующий раздел | patch |
+| Суффикс | Раздел | До `1.0.0` | С `1.0.0` |
+| --- | --- | --- | --- |
+| `breaking` | Breaking change | minor | major |
+| `removed` | Removed | minor | major |
+| `added` | Added | minor | minor |
+| `changed`, `deprecated` | Соответствующий раздел | patch | patch |
+| `fixed`, `security`, `support` | Соответствующий раздел | patch | patch |
 
 **📌 Пример использования:**
 
@@ -456,3 +476,134 @@ MIT License - см. [LICENSE](./LICENSE)
 ---
 
 _Создано для автоматизации повседневных задач разработки_ 🛠️
+
+## Команды для CI: Next.js, SBOM и security
+
+Начиная с 5.1.0 логика команд написана на JavaScript и входит в npm-пакет.
+Команды не задают вопросов и не проверяют обновления CLI. Они не запускают
+release/hotfix preflight, рассчитанный на интерактивную работу разработчика.
+
+| Команда | Назначение | Результат |
+| --- | --- | --- |
+| `spectrum nextjs licenses` | Сохранить исходные LICENSE уже включённых compiled-пакетов Next.js | JSON summary в stdout; код 2 при неполном результате |
+| `spectrum sbom catalog resolve` | Найти Next в immutable образе, проверить OCI-каталоги, запросить отсутствующие версии | `sbom-catalog/<prefix>/{selection.json,report.json,report.md}` |
+| `spectrum sbom catalog populate` | Построить каталог по официальному npm tarball и историческому Git tree | `sbom-catalog-updater/{report.json,report.md}` |
+| `spectrum security scan` | Проверить `npm audit --omit=dev`, runtime и фактическую версию Node | `security-report/findings.json`, raw evidence, `scan.env` |
+| `spectrum security reconcile` | Запустить центральный tracker и получить ссылки на задачи | `security-report/tracked.json` |
+| `spectrum security track` | Найти/создать общие CVE и проектные задачи | `security-report/tracked.json` в центральном pipeline |
+| `spectrum security repair` | Исправить одну проектную задачу за MR, выполнить проверки и повторный аудит | `security-report/{final.json,message.json}` |
+
+Код 0 означает успешное выполнение, 1 — ошибку security/запуска, 2 — неполный
+результат SBOM или LICENSE. Команды работают в текущем каталоге. Отсутствующие
+credentials/некорректные отчёты приводят к ошибке, а не к чистому аудиту.
+Автоматическое слияние MR отключено; сетевые записи не повторяются вслепую.
+
+Компоненты передают свои inputs через job-local окружение. `security scan`
+читает `NIGHTLY_YOUTRACK_PROJECT`, `NIGHTLY_YOUTRACK_TIME_TRACKING_ARTICLE`,
+`NIGHTLY_YOUTRACK_TESTER`, необязательный `NIGHTLY_YOUTRACK_SUBSYSTEM`,
+`NIGHTLY_DOCKERFILE`, `NIGHTLY_PLATFORMS` и `NIGHTLY_CHECK_COMMANDS` (JSON argv).
+Токены `GLAB_BOT_PAT` и `YOUTRACK_PRIVATE_TOKEN` остаются секретными CI variables;
+YouTrack-токен нужен только центральному tracker. Для registry используются
+`NEXUS_USER`/`NEXUS_PASSWORD` либо стандартные CI registry credentials.
+Секреты автоматизации исключаются из окружения выполняемых проверок проекта.
+
+`sbom catalog resolve` читает `SBOM_CATALOG_CLIENT_ENABLED=true`,
+`SBOM_CATALOG_FRAMEWORK=nextjs`, `SBOM_CATALOG_PREFIX` (по умолчанию `site:`),
+`SBOM_CATALOG_REPOSITORY`, `DOCKER_IMAGE`, `APP_VERSION` и стандартные GitLab
+`CI_*` variables. Чтение каталога использует `SBOM_CATALOG_USER` и
+`SBOM_CATALOG_PASSWORD`, если заданы. `populate` требует защищённый `main`,
+`NEXT_CATALOG_VERSIONS` (JSON-массив 1..10 точных версий) и центральные
+`NEXUS_USER`/`NEXUS_PASSWORD`. Namespace записи задаёт только доверенная
+project variable `SBOM_CATALOG_PUBLISH_REPOSITORY`.
+
+Внешние инструменты: Linux amd64 для SBOM bootstrap; Git для каталога,
+Trivy/Skopeo/Buildah для runtime-аудита и исправлений. SBOM-команды скачивают
+закреплённые ORAS/Syft с проверкой SHA-256, ограничениями размера и времени.
+Python для этих команд не требуется. Они не выполняют код из npm tarball
+или upstream build-рецептов. Неоднозначное происхождение остаётся unresolved.
+Поля CVE, Severity, Priority и Type=Group проверяются до создания подзадач;
+CRITICAL получает Stopper (Неотложная), HIGH — Critical (Критическая).
+
+Образы и адреса сервисов задаёт CI-конфигурация конкретной установки.
+CLI не содержит дефолтов для YouTrack, registry или внутренних GitLab-проектов.
+Само наличие команды `track` не сериализует процессы: job должен оставаться
+в одном центральном проекте с `resource_group: nightly-youtrack-global`.
+Отдельный consumer lock `nightly-security-fix` защищает исправления проекта.
+
+Для проверки миграции:
+
+```sh
+npm ci
+npm test -- --runInBand
+npm pack --dry-run
+```
+
+Тесты используют локальные Git-репозитории и fake API. Зафиксированные parity
+fixtures получены из прежнего Python-кода; исполняемый Python в пакет не входит.
+Публикация CLI, образов, компонентов и запуск живого pipeline — отдельные шаги.
+
+### Preflight для команд автоматизации
+
+Обязательные deployment-настройки задаются явно:
+
+| Команда | Настройки |
+| --- | --- |
+| `security track` | `YOUTRACK_URL`, `YOUTRACK_PRIVATE_TOKEN`, `CI_API_V4_URL`, `GLAB_BOT_PAT`, идентификаторы consumer job/project и component SHA |
+| `security reconcile` | `NIGHTLY_TRACKER_PROJECT`, `NIGHTLY_COMPONENT_SHA`, `NIGHTLY_SCAN_JOB_ID`, `CI_PROJECT_ID`, GitLab API/token; при пустом отчёте сеть не нужна |
+| `security repair` | GitLab API/token и результаты scan/tracking; при пустом отчёте запись и проверка токена не нужны |
+| `sbom catalog resolve` | `SBOM_CATALOG_REPOSITORY`, `DOCKER_IMAGE`, `APP_VERSION`; `SBOM_CATALOG_UPDATER_PROJECT` для запроса отсутствующих версий |
+| `sbom catalog populate` | `SBOM_CATALOG_PUBLISH_REPOSITORY`, `NEXUS_USER`, `NEXUS_PASSWORD`, защищённый main и точные `NEXT_CATALOG_VERSIONS` |
+| `security scan/repair` с `NEXUS_*` | Дополнительно явный `NIGHTLY_REGISTRY_HOSTS`; один логин без пароля или наоборот считается ошибкой |
+
+В GitLab выполняются GET `/user`, `/personal_access_tokens/self` и чтение
+целевых проектов. Проверяются активность токена, scope `api` для записи
+(`api`/`read_api` для чтения), эффективная роль Developer/Reporter и состояние
+проекта. Fine-grained/прочие токены, для которых introspection не подтверждает
+эти scope, не считаются проверенными. Защита веток/тегов дополнительно
+проверяется сервером при конкретной операции.
+
+В YouTrack выполняются GET `/users/me`, чтение двух проектов, их полей и
+поиск задач. До создания первой задачи проверяются активность пользователя,
+доступность проектов и обязательные поля. Ответы 401/403, недоступность и
+неверный TLS приводят к ошибке с названием проверки; секреты/тела ответов
+не выводятся. Инспекция полей не требует тестового изменения проекта.
+
+Writer выполняет ORAS login и чтение точного namespace до скачивания исходников
+и построения каталога. Preflight сохраняется в отчёте. Чтение/логин не доказывают
+права Create/Update/Link Issue, доступ к приватным полям, workflow-переходам или
+registry push: эти права проверяются соответствующими операциями. Они явно
+помечены `checked_by_operations`/`checked_by_publish`, без ложного статуса
+«запись проверена». Preflight не создаёт задач, MR, upload-сессий или пробных
+каталогов. Ошибка preflight останавливает следующие изменения и остаётся
+в JSON/Markdown/notification-артефактах, когда исходный отчёт уже доступен.
+
+Источник контрактов: [GitLab token scopes](https://docs.gitlab.com/security/tokens/access_token_scopes/),
+[YouTrack My User Profile](https://www.jetbrains.com/help/youtrack/devportal/resource-api-users-me.html),
+[YouTrack project fields](https://www.jetbrains.com/help/youtrack/devportal/resource-api-admin-projects-projectID-customFields.html).
+
+### Dry и silence для команд автоматизации
+
+Все семь команд `nextjs licenses`, `sbom catalog resolve/populate` и
+`security scan/track/reconcile/repair` поддерживают `-d, --dry` и
+`-s, --silence`, включая сочетание `-ds`.
+
+```sh
+spectrum nextjs licenses --dry
+spectrum sbom catalog populate --dry --silence
+spectrum security repair -ds
+```
+
+`--dry` выполняет предпроверки настроек, файлов, инструментов и доступов,
+после чего останавливается перед действиями команды. Он не копирует LICENSE,
+не выполняет npm audit/Trivy/Syft scan или исправления, не создаёт задачи,
+MR и downstream pipeline, не публикует каталоги и не перезаписывает отчёты.
+Для проверки используются GET-запросы, чтение image descriptor и metadata
+Git/проектов; SBOM preflight может загрузить закреплённые инструменты во
+временную папку и выполнить registry login с временным auth-файлом.
+Временные файлы удаляются; исходники, lockfiles и существующие артефакты
+сохраняются. При неполных входных отчётах dry завершается с ошибкой.
+
+`--silence` скрывает только сообщения об успешно пройденных предпроверках.
+Ошибки, предупреждения, результаты команды и итог dry остаются видимыми.
+Это тот же смысл флага, что у release/hotfix команд. Без dry выполняются
+обычные действия и сохраняются прежние коды завершения 0/1/2.

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "spectrum-cli",
-  "version": "5.0.1",
+  "version": "5.1.0",
   "description": "🚀 Modern CLI for development workflow automation - release management, versioning, and changelog generation",
   "main": "index.js",
   "bin": {
@@ -49,7 +49,9 @@
     "url": "https://github.com/dnwSilver/spectrum-cli/issues"
   },
   "dependencies": {
-    "commander": "^11.1.0"
+    "commander": "^11.1.0",
+    "semver": "7.8.5",
+    "yaml": "2.9.1"
   },
   "engines": {
     "node": ">=20.0.0",

package/src/automation/index.js

@@ -0,0 +1,297 @@
+// Shared bounded IO for noninteractive CI commands. Never execute shell strings.
+const fs = require("node:fs");
+const os = require("node:os");
+const path = require("node:path");
+const crypto = require("node:crypto");
+const { spawnSync } = require("node:child_process");
+const { gunzipSync } = require("node:zlib");
+const { isDeepStrictEqual } = require("node:util");
+
+const SEMVER =
+  /^(?:0|[1-9]\d*)\.(?:0|[1-9]\d*)\.(?:0|[1-9]\d*)(?:-[0-9A-Za-z-]+(?:\.[0-9A-Za-z-]+)*)?(?:\+[0-9A-Za-z-]+(?:\.[0-9A-Za-z-]+)*)?(?![\s\S])/;
+const DIGEST = /^sha256:[a-f0-9]{64}(?![\s\S])/;
+const HEX64 = /^[a-f0-9]{64}(?![\s\S])/;
+const COMMIT = /^[a-f0-9]{40}(?![\s\S])/;
+function ensure(condition, message) {
+  if (!condition) throw new Error(message);
+}
+function sha(data, algorithm = "sha256") {
+  return crypto.createHash(algorithm).update(data).digest("hex");
+}
+function sorted(value) {
+  if (Array.isArray(value)) return value.map(sorted);
+  if (value && typeof value === "object" && !Buffer.isBuffer(value))
+    return Object.fromEntries(
+      Object.keys(value)
+        .sort()
+        .map((key) => [key, sorted(value[key])]),
+    );
+  return value;
+}
+function stable(value) {
+  return JSON.stringify(sorted(value));
+}
+function json(value) {
+  try {
+    return JSON.parse(Buffer.isBuffer(value) ? value.toString("utf8") : value);
+  } catch {
+    throw new Error("Invalid JSON data");
+  }
+}
+function read(file) {
+  return json(fs.readFileSync(file));
+}
+function save(file, value) {
+  fs.mkdirSync(path.dirname(file), { recursive: true });
+  const tmp = file + ".tmp";
+  fs.writeFileSync(tmp, JSON.stringify(value, null, 2) + "\n");
+  fs.renameSync(tmp, file);
+}
+function temp(prefix) {
+  return fs.mkdtempSync(path.join(os.tmpdir(), prefix));
+}
+function remove(directory) {
+  fs.rmSync(directory, { recursive: true, force: true });
+}
+async function temporary(prefix, action) {
+  const dir = temp(prefix);
+  try {
+    return await action(dir);
+  } finally {
+    remove(dir);
+  }
+}
+function safePath(value, absolute = false) {
+  return (
+    typeof value === "string" &&
+    !!value &&
+    !/[\\\x00-\x1f]/.test(value) &&
+    value.startsWith("/") === absolute &&
+    value
+      .replace(/^\//, "")
+      .split("/")
+      .every((part) => part && part !== "." && part !== "..")
+  );
+}
+function repositoryPath(root, relative) {
+  ensure(safePath(relative), "Expected a repository-relative path");
+  const base = fs.realpathSync(root);
+  const target = path.resolve(base, relative);
+  let cursor = base;
+  for (const part of relative.split("/")) {
+    cursor = path.join(cursor, part);
+    if (
+      fs.existsSync(cursor) ||
+      (() => {
+        try {
+          fs.lstatSync(cursor);
+          return true;
+        } catch {
+          return false;
+        }
+      })()
+    ) {
+      const real = fs.realpathSync(cursor);
+      ensure(real.startsWith(base + path.sep), "Path leaves repository");
+    }
+  }
+  return target;
+}
+function exec(
+  args,
+  {
+    cwd,
+    env = process.env,
+    input,
+    allowed = [0],
+    timeout = 1800000,
+    maxBuffer = 32 * 1024 * 1024,
+    binary = false,
+    label,
+  } = {},
+) {
+  ensure(
+    Array.isArray(args) &&
+      args.length &&
+      args.every((arg) => typeof arg === "string" && !arg.includes("\0")),
+    "Expected command argv",
+  );
+  const result = spawnSync(args[0], args.slice(1), {
+    cwd,
+    env,
+    input,
+    timeout,
+    maxBuffer,
+    encoding: binary ? null : "utf8",
+    windowsHide: true,
+  });
+  ensure(
+    !result.error && allowed.includes(result.status),
+    `${label || path.basename(args[0]) + " " + (args[1] || "")} failed (exit ${result.status})`,
+  );
+  return {
+    stdout: result.stdout,
+    stderr: result.stderr,
+    status: result.status,
+  };
+}
+const sleep = (ms) => new Promise((resolve) => setTimeout(resolve, ms));
+async function responseBytes(response, limit) {
+  const chunks = [];
+  let size = 0;
+  for await (const chunk of response.body || []) {
+    size += chunk.length;
+    if (size > limit) {
+      await response.body?.cancel?.().catch(() => {});
+      throw new Error("Download limit exceeded");
+    }
+    chunks.push(Buffer.from(chunk));
+  }
+  return Buffer.concat(chunks);
+}
+async function request(
+  url,
+  {
+    method = "GET",
+    headers = {},
+    body,
+    limit = 32 * 1024 * 1024,
+    timeout = 60000,
+    fetchImpl = fetch,
+  } = {},
+) {
+  const controller = new AbortController();
+  const timer = setTimeout(() => controller.abort(), timeout);
+  try {
+    const response = await fetchImpl(url, {
+      method,
+      headers,
+      body,
+      redirect: "manual",
+      signal: controller.signal,
+    });
+    const bytes = await responseBytes(response, limit);
+    return { status: response.status, headers: response.headers, body: bytes };
+  } finally {
+    clearTimeout(timer);
+  }
+}
+// Extract data only. No archive entry is ever written to the filesystem.
+function tarEntries(
+  gzip,
+  {
+    maxUnpacked = 1024 * 1024 * 1024,
+    maxFile = 32 * 1024 * 1024,
+    maxEntries = 30000,
+  } = {},
+) {
+  const bytes = gunzipSync(gzip, {
+    maxOutputLength: maxUnpacked + maxEntries * 1024,
+  });
+  const entries = [];
+  let offset = 0;
+  let total = 0;
+  let pax = {};
+  let longName;
+  const str = (data) => data.toString("utf8").replace(/\0.*(?![\s\S])/s, "");
+  while (offset + 512 <= bytes.length) {
+    const header = bytes.subarray(offset, offset + 512);
+    offset += 512;
+    if (header.every((byte) => byte === 0)) break;
+    const sizeText = str(header.subarray(124, 136)).trim();
+    ensure(/^[0-7]+(?![\s\S])/.test(sizeText), "Invalid tar entry size");
+    const size = parseInt(sizeText, 8);
+    const expected = parseInt(str(header.subarray(148, 156)).trim(), 8);
+    const sum = header.reduce(
+      (sum, b, i) => sum + (i >= 148 && i < 156 ? 32 : b),
+      0,
+    );
+    ensure(
+      expected === sum && size <= maxFile && offset + size <= bytes.length,
+      "Invalid or oversized tar entry",
+    );
+    const data = bytes.subarray(offset, offset + size);
+    offset += Math.ceil(size / 512) * 512;
+    const type = String.fromCharCode(header[156] || 48);
+    if (type === "x") {
+      pax = {};
+      let pos = 0;
+      while (pos < data.length) {
+        const space = data.indexOf(32, pos);
+        ensure(space > pos, "Invalid PAX record");
+        const len = Number(data.subarray(pos, space).toString());
+        ensure(
+          Number.isInteger(len) &&
+            len > space - pos + 1 &&
+            pos + len <= data.length &&
+            data[pos + len - 1] === 10,
+          "Invalid PAX length",
+        );
+        const row = data.subarray(space + 1, pos + len - 1).toString();
+        const split = row.indexOf("=");
+        ensure(split > 0, "Invalid PAX value");
+        pax[row.slice(0, split)] = row.slice(split + 1);
+        pos += len;
+      }
+      continue;
+    }
+    if (type === "L") {
+      longName = str(data).replace(/\n(?![\s\S])/, "");
+      continue;
+    }
+    const prefix =
+      str(header.subarray(257, 263)) === "ustar"
+        ? str(header.subarray(345, 500))
+        : "";
+    const name =
+      pax.path ||
+      longName ||
+      (prefix ? prefix + "/" : "") + str(header.subarray(0, 100));
+    ensure(
+      pax.size === undefined || Number(pax.size) === size,
+      "Unsupported PAX size",
+    );
+    pax = {};
+    longName = undefined;
+    ensure(
+      type === "0" || type === "5",
+      "Links and special archive entries are forbidden",
+    );
+    total += size;
+    ensure(
+      total <= maxUnpacked && entries.length < maxEntries,
+      "Archive expansion limit exceeded",
+    );
+    entries.push({
+      name: name.replace(/\/(?![\s\S])/, ""),
+      directory: type === "5",
+      data,
+    });
+  }
+  return entries;
+}
+module.exports = {
+  fs,
+  path,
+  SEMVER,
+  DIGEST,
+  HEX64,
+  COMMIT,
+  ensure,
+  sha,
+  stable,
+  sorted,
+  json,
+  read,
+  save,
+  temp,
+  remove,
+  temporary,
+  safePath,
+  repositoryPath,
+  exec,
+  sleep,
+  request,
+  tarEntries,
+  equal: isDeepStrictEqual,
+};

package/src/chart/registry.js

@@ -3,6 +3,7 @@ const { parseGitlabUrl } = require('../integrations/gitlab-url');
 const HELM_REGISTRY_CHANNEL = 'stable';
 const REGISTRY_WAIT_TIMEOUT_MS = 10 * 60 * 1000;
 const REGISTRY_WAIT_INTERVAL_MS = 15 * 1000;
+let legacyTokenWarningShown = false;
 
 function sleep(ms) {
     return new Promise((resolve) => setTimeout(resolve, ms));
@@ -88,11 +89,15 @@ async function fetchChartVersionFromRegistry(chartName, version) {
         return { ok: false, reason: 'Не удалось определить GitLab-проект из remote "origin".' };
     }
 
-    const accessToken = process.env.SC_OWNER_PAT;
+    const accessToken = process.env.SC_DEVELOPER_PAT || process.env.SC_OWNER_PAT;
+    if (!process.env.SC_DEVELOPER_PAT && accessToken && !legacyTokenWarningShown) {
+        logError('⚠️', 'SC_OWNER_PAT устарела (deprecated) и будет удалена в следующей версии spectrum-cli. Замените её на SC_DEVELOPER_PAT.');
+        legacyTokenWarningShown = true;
+    }
     if (!accessToken) {
         return {
             ok: false,
-            reason: 'Не задана переменная окружения SC_OWNER_PAT. Она нужна для проверки публикации чарта в Helm-registry.'
+            reason: 'Не задана переменная окружения SC_DEVELOPER_PAT. Она нужна для проверки публикации чарта в Helm-registry.'
         };
     }