vimp-engine 0.1.1 → 0.2.0

package/README.md

@@ -2,7 +2,7 @@
 
 VIMP — движок-приложение: мастер (лобби, WebRTC-сигналинг), P2P-транспорт,
 Worker-хост, мета-модули матча, MVC-каркас клиента. Игровые правила
-(например, `@vimp/tanks`) подключаются динамически через
+(например, `@vimp-games/tanks`) подключаются динамически через
 [plugin-api](https://github.com/lgick/vimp/blob/main/docs/en/plugin-api.md)
 — этот пакет их не содержит.
 

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "vimp-engine",
-  "version": "0.1.1",
+  "version": "0.2.0",
   "description": "VIMP — движок-приложение (мастер, P2P-транспорт, Worker-хост, мета, MVC-каркас клиента)",
   "license": "MIT",
   "repository": {
@@ -9,6 +9,9 @@
   },
   "homepage": "https://github.com/lgick/vimp#readme",
   "type": "module",
+  "engines": {
+    "node": ">=20.11.0"
+  },
   "exports": {
     "./lib/*": "./src/lib/*",
     "./config/*": "./src/config/*",
@@ -20,20 +23,24 @@
     "src/host"
   ],
   "scripts": {
+    "predev": "node scripts/sync-pixi-vendor.mjs",
     "dev": "NODE_ENV=development nodemon src/master/main.js -w src/master -w src/lib -w src/config",
     "start": "NODE_ENV=production node --env-file ../../.env src/master/main.js",
-    "build": "vite build"
+    "prebuild": "node scripts/sync-pixi-vendor.mjs",
+    "build": "vite build",
+    "postbuild": "node scripts/check-importmap-csp-hash.mjs"
   },
   "dependencies": {
     "express": "^5.1.0",
+    "pixi.js": "8.19.0",
     "uuid": "^13.0.0",
     "vite-express": "^0.21.1",
     "ws": "^8.18.3"
   },
   "devDependencies": {
+    "esbuild": "0.27.7",
     "howler": "^2.2.4",
     "nodemon": "^3.1.10",
-    "pixi.js": "^8.14.0",
     "vite": "^7.1.11",
     "vite-plugin-pug": "^0.4.1"
   }

package/src/config/authClient.js

@@ -4,8 +4,16 @@
 // (см. docs/en/auth.md).
 export default {
   // базовый URL центрального auth-сервиса (packages/auth). Дефолт — dev-порт
-  // из packages/auth/src/config/auth.js
-  serviceUrl: 'http://localhost:3010',
+  // из packages/auth/src/config/auth.js; в проде подставляется Vite'ом из
+  // VITE_AUTH_SERVICE_URL (см. Dockerfile — тот же VIMP_AUTH_SERVICE_URL,
+  // что и серверный master/main.js), никакой ручной правки перед сборкой
+  // больше не требуется. Этот модуль импортируется и серверным
+  // master/main.js под чистым Node, где import.meta.env не определён —
+  // typeof-guard нужен, иначе TypeError роняет мастер на старте (502)
+  serviceUrl:
+    (typeof import.meta.env !== 'undefined' &&
+      import.meta.env.VITE_AUTH_SERVICE_URL) ||
+    'http://localhost:3010',
 
   // включённые провайдеры (должны совпадать с packages/auth config.oauth)
   providers: ['github'],

package/src/config/lobby.js

@@ -74,19 +74,6 @@ export default {
     fieldsId: 'lobby-fields',
   },
 
-  // движковые подсказки генератору формы комнаты (только движковые ключи
-  // roomDefaults; игровые поля выводятся из типа значения)
-  form: {
-    // тайм-ключи движка: в roomDefaults хранятся в мс, в форме — секунды
-    secondsKeys: ['roundTime', 'mapTime'],
-    // атрибуты числовых полей (в единицах формы)
-    attrs: {
-      maxPlayers: { min: 1 },
-      roundTime: { min: 10, max: 3600 },
-      mapTime: { min: 10, max: 3600 },
-    },
-  },
-
   // создание комнаты (хост в этой же вкладке); лимит игроков/время
   // раунда-карты/огонь по своим/карта по умолчанию — из roomDefaults
   // манифеста активной игры (Этап 6.3), не бандлятся здесь

package/src/config/master.js

@@ -26,7 +26,7 @@ export default {
   // используется GameCatalog напрямую, это опорная точка для проверки версии
   // при деплое (Этап A4). В проде переопределяется переменной окружения
   // GAMES_MATRIX (JSON), см. master/main.js
-  games: [{ id: 'tanks', package: '@vimp/tanks', version: '0.1.0' }],
+  games: [{ id: 'tanks', package: '@vimp-games/tanks', version: '0.1.0' }],
 
   // список серверов (GET /servers)
   servers: {
@@ -69,15 +69,23 @@ export default {
   // authServiceUrl (Этап B2) — домен central auth-сервиса (packages/auth):
   // лобби делает туда прямой fetch (POST /nick), поэтому connect-src должен
   // его разрешать; сам OAuth-редирект (location.href на auth-сервис/провайдера)
-  // CSP не ограничивает — это навигация верхнего уровня, не fetch/XHR
+  // CSP не ограничивает — это навигация верхнего уровня, не fetch/XHR.
+  // script-src несёт sha256-хэш инлайнового importmap из index.html (для
+  // pixi.js — src="..." на <script type="importmap"> браузеры не
+  // поддерживают, инлайн обязателен). Хэш посчитан по факту собранного
+  // packages/engine/dist/index.html скриптом
+  // scripts/check-importmap-csp-hash.mjs (запускается postbuild) — vite
+  // build минифицирует HTML и может изменить байты скрипта, поэтому хэш
+  // нельзя брать из исходника/консоли браузера; при правке importmap или
+  // апгрейде Vite смотреть на вывод postbuild-проверки.
   security: {
     authServiceUrl: 'http://localhost:3010',
     csp: authServiceUrl =>
       [
         "default-src 'self'",
-        "script-src 'self' 'wasm-unsafe-eval'",
+        "script-src 'self' 'wasm-unsafe-eval' 'sha256-XJmzkFBLHYpcM8KgGRFztTJTwfMb5xIFKAmqlgTpobo='",
         "worker-src 'self' blob:",
-        `connect-src 'self' wss: data: ${authServiceUrl}`,
+        `connect-src 'self' wss: data:${authServiceUrl ? ` ${authServiceUrl}` : ''}`,
         "img-src 'self' data: blob:",
         "style-src 'self' 'unsafe-inline'",
         "object-src 'none'",

package/src/config/opcodes.js

@@ -5,8 +5,9 @@
 // версия контракта движок ↔ игра-плагин (GameManifest, HostPlugin,
 // ClientPlugin, Wasm Host ABI — docs/{en,ru}/plugin-api.md);
 // проверяется при загрузке плагинов; ломающие изменения контрактов → +1.
-// Пока номинальная: код движка и игры ещё монолитен (см. PLAN.md)
-export const ENGINE_API_VERSION = 1;
+// v2: явная схема форм (roomForm/authSchema.params[].options — Form schema
+// в plugin-api.md), движок больше не выводит контролы из типа значения
+export const ENGINE_API_VERSION = 2;
 
 // версия формата кадра: первый байт после порта;
 // увеличивать при любом изменении байтовой раскладки в ядре

package/src/host/host.worker.js

@@ -1,5 +1,5 @@
 // Web Worker браузерного хоста. Крутит авторитетную часть матча:
-// WASM-ядро симуляции (core/pkg-web из пакета игры, например @vimp/tanks,
+// WASM-ядро симуляции (core/pkg-web из пакета игры, например @vimp-games/tanks,
 // репозиторий vimp-tanks) + JS-мету (HostGame поверх
 // мета-модулей ./meta/) + игровой цикл ~120 Гц (таймеры Worker'а не
 // троттлятся в фоновой вкладке). RTCPeerConnection живут в главном потоке —

package/src/lib/buildClientConfig.js

@@ -1,6 +1,6 @@
 // Сборка клиентского CONFIG_DATA (порт 0): merge движковых дефолтов
 // (src/config/clientDefaults.js) с игровым client-конфигом
-// (@vimp/tanks/config/client.js) + время голосования и данные client-side
+// (@vimp-games/tanks/config/client.js) + время голосования и данные client-side
 // prediction из game-конфига. Используется Worker'ом хоста
 // (src/host/host.worker.js).
 

package/src/lib/validators.js

@@ -40,10 +40,13 @@ export const validateAuth = (data, authParams, validators = {}) => {
     if (options?.validator) {
       const validatorFn = rules[options.validator];
 
+      // validateAuth используется и клиентом (без игровых validators —
+      // это норма, авторитет проверки на хосте), и хостом (с authSchema.validators
+      // игры — здесь отсутствие validatorFn обычно опечатка в имени валидатора
+      // конфига игры). В обоих случаях просто пропускаем поле без ошибки,
+      // сохраняя прежнее поведение (эта ветка никогда не добавляла в errors).
       if (validatorFn && !validatorFn(value)) {
         errors.push({ name, error: 'not valid' });
-      } else if (!validatorFn) {
-        console.warn(`Validator function '${options.validator}' not found.`);
       }
     }
   }