forceupdate 0.1.0__tar.gz

forceupdate-0.1.0/.gitignore

@@ -0,0 +1,12 @@
+__pycache__/
+*.py[cod]
+.venv/
+.env
+.pytest_cache/
+.mypy_cache/
+.ruff_cache/
+.coverage
+htmlcov/
+dist/
+build/
+*.egg-info/

forceupdate-0.1.0/LICENSE

@@ -0,0 +1,21 @@
+MIT License
+
+Copyright (c) 2026 Pauzzle
+
+Permission is hereby granted, free of charge, to any person obtaining a copy
+of this software and associated documentation files (the "Software"), to deal
+in the Software without restriction, including without limitation the rights
+to use, copy, modify, merge, publish, distribute, sublicense, and/or sell
+copies of the Software, and to permit persons to whom the Software is
+furnished to do so, subject to the following conditions:
+
+The above copyright notice and this permission notice shall be included in all
+copies or substantial portions of the Software.
+
+THE SOFTWARE IS PROVIDED "AS IS", WITHOUT WARRANTY OF ANY KIND, EXPRESS OR
+IMPLIED, INCLUDING BUT NOT LIMITED TO THE WARRANTIES OF MERCHANTABILITY,
+FITNESS FOR A PARTICULAR PURPOSE AND NONINFRINGEMENT. IN NO EVENT SHALL THE
+AUTHORS OR COPYRIGHT HOLDERS BE LIABLE FOR ANY CLAIM, DAMAGES OR OTHER
+LIABILITY, WHETHER IN AN ACTION OF CONTRACT, TORT OR OTHERWISE, ARISING FROM,
+OUT OF OR IN CONNECTION WITH THE SOFTWARE OR THE USE OR OTHER DEALINGS IN THE
+SOFTWARE.

forceupdate-0.1.0/PKG-INFO

@@ -0,0 +1,79 @@
+Metadata-Version: 2.5
+Name: forceupdate
+Version: 0.1.0
+Summary: Trouve les dépendances à mettre à jour (versions, failles, fins de vie) et fait les mises à jour : en local, ou par pull request sur GitHub, GitLab et Bitbucket.
+Project-URL: Homepage, https://github.com/Pauzzle-ozz/forceupdate
+Project-URL: Repository, https://github.com/Pauzzle-ozz/forceupdate
+Project-URL: Issues, https://github.com/Pauzzle-ozz/forceupdate/issues
+Author: Pauzzle
+License-Expression: MIT
+License-File: LICENSE
+Keywords: dependencies,end-of-life,osv,outdated,pull-request,update,vulnerabilities
+Classifier: Development Status :: 2 - Pre-Alpha
+Classifier: Environment :: Console
+Classifier: Environment :: Web Environment
+Classifier: Intended Audience :: Developers
+Classifier: Natural Language :: French
+Classifier: Operating System :: OS Independent
+Classifier: Programming Language :: Python :: 3
+Classifier: Programming Language :: Python :: 3 :: Only
+Classifier: Programming Language :: Python :: 3.11
+Classifier: Programming Language :: Python :: 3.12
+Classifier: Programming Language :: Python :: 3.13
+Classifier: Programming Language :: Python :: 3.14
+Classifier: Topic :: Security
+Classifier: Topic :: Software Development
+Classifier: Topic :: System :: Software Distribution
+Classifier: Topic :: Utilities
+Requires-Python: >=3.11
+Requires-Dist: httpx>=0.28.1
+Requires-Dist: packaging>=26.3
+Requires-Dist: platformdirs>=4.13.6
+Requires-Dist: pyyaml>=6.0.3
+Requires-Dist: rich>=15.0.0
+Requires-Dist: typer>=0.27.3
+Description-Content-Type: text/markdown
+
+# forceupdate
+
+On donne du code à l'outil : un dossier, un fichier, ou tous ses dépôts GitHub,
+GitLab et Bitbucket. Dans une interface web qui tourne sur son ordinateur, il
+montre les langages et les dépendances, et dit ce qui doit être mis à jour :
+versions en retard, failles, fins de vie, paquets dépréciés. On coche les mises à
+jour voulues, puis il les fait : en local il réécrit les fichiers, sur une forge il
+ouvre une pull request par dépôt.
+
+En construction. L'outil sera publié gratuitement sur PyPI
+(`uv tool install forceupdate`), sous licence MIT.
+
+Déjà là, en ligne de commande, pour Python et npm : `forceupdate scan <dossier>`
+dit quelles dépendances ont une faille connue (d'après [OSV](https://osv.dev),
+indirectes comprises, avec la version qui la corrige), une version plus récente,
+une version retirée, ou sont dépréciées.
+
+```bash
+forceupdate scan .                              # rapport dans le terminal
+forceupdate scan . --format json -o rapport.json   # ou md ; toujours en UTF-8
+forceupdate scan . --fail-on vuln               # code 1 si une faille est connue
+forceupdate scan . --fail-on major              # code 1 si une majeure (ou pire) attend
+forceupdate scan . --offline                    # seulement le cache, sans réseau
+```
+
+Autres options : `--no-dev`, `--transitive`, `--no-cache` (`forceupdate scan --help`).
+
+`forceupdate update <dossier>` montre, pour l'instant sans rien écrire, les mises à
+jour qu'il ferait : vers quelle version, quelle contrainte réécrire (dans son style :
+`^4.17.0` devient `^4.21.2`), quel lockfile régénérer. Correctifs, mineures et
+corrections de failles sont choisis ; les majeures sont proposées à part.
+
+```bash
+forceupdate update .                     # correctifs et mineures (--level minor)
+forceupdate update . --level major       # majeures comprises
+forceupdate update . --security-only     # seulement les corrections de failles
+forceupdate update . --exclude "eslint*" --ecosystem npm
+```
+
+- [docs/BRIEF.md](docs/BRIEF.md) : l'idée, les décisions prises, les pièges
+- [docs/JSON_FORMAT.md](docs/JSON_FORMAT.md) : le format du rapport JSON
+- [PLAN.md](PLAN.md) : le plan étape par étape, et l'avancement
+- [reference/README.md](reference/README.md) : le code déjà disponible, repris d'Argos

forceupdate-0.1.0/README.md

@@ -0,0 +1,43 @@
+# forceupdate
+
+On donne du code à l'outil : un dossier, un fichier, ou tous ses dépôts GitHub,
+GitLab et Bitbucket. Dans une interface web qui tourne sur son ordinateur, il
+montre les langages et les dépendances, et dit ce qui doit être mis à jour :
+versions en retard, failles, fins de vie, paquets dépréciés. On coche les mises à
+jour voulues, puis il les fait : en local il réécrit les fichiers, sur une forge il
+ouvre une pull request par dépôt.
+
+En construction. L'outil sera publié gratuitement sur PyPI
+(`uv tool install forceupdate`), sous licence MIT.
+
+Déjà là, en ligne de commande, pour Python et npm : `forceupdate scan <dossier>`
+dit quelles dépendances ont une faille connue (d'après [OSV](https://osv.dev),
+indirectes comprises, avec la version qui la corrige), une version plus récente,
+une version retirée, ou sont dépréciées.
+
+```bash
+forceupdate scan .                              # rapport dans le terminal
+forceupdate scan . --format json -o rapport.json   # ou md ; toujours en UTF-8
+forceupdate scan . --fail-on vuln               # code 1 si une faille est connue
+forceupdate scan . --fail-on major              # code 1 si une majeure (ou pire) attend
+forceupdate scan . --offline                    # seulement le cache, sans réseau
+```
+
+Autres options : `--no-dev`, `--transitive`, `--no-cache` (`forceupdate scan --help`).
+
+`forceupdate update <dossier>` montre, pour l'instant sans rien écrire, les mises à
+jour qu'il ferait : vers quelle version, quelle contrainte réécrire (dans son style :
+`^4.17.0` devient `^4.21.2`), quel lockfile régénérer. Correctifs, mineures et
+corrections de failles sont choisis ; les majeures sont proposées à part.
+
+```bash
+forceupdate update .                     # correctifs et mineures (--level minor)
+forceupdate update . --level major       # majeures comprises
+forceupdate update . --security-only     # seulement les corrections de failles
+forceupdate update . --exclude "eslint*" --ecosystem npm
+```
+
+- [docs/BRIEF.md](docs/BRIEF.md) : l'idée, les décisions prises, les pièges
+- [docs/JSON_FORMAT.md](docs/JSON_FORMAT.md) : le format du rapport JSON
+- [PLAN.md](PLAN.md) : le plan étape par étape, et l'avancement
+- [reference/README.md](reference/README.md) : le code déjà disponible, repris d'Argos

forceupdate-0.1.0/pyproject.toml

@@ -0,0 +1,80 @@
+[project]
+name = "forceupdate"
+version = "0.1.0"
+description = "Trouve les dépendances à mettre à jour (versions, failles, fins de vie) et fait les mises à jour : en local, ou par pull request sur GitHub, GitLab et Bitbucket."
+readme = "README.md"
+license = "MIT"
+license-files = ["LICENSE"]
+requires-python = ">=3.11"
+authors = [{ name = "Pauzzle" }]
+keywords = [
+    "dependencies",
+    "update",
+    "outdated",
+    "vulnerabilities",
+    "osv",
+    "end-of-life",
+    "pull-request",
+]
+classifiers = [
+    "Development Status :: 2 - Pre-Alpha",
+    "Environment :: Console",
+    "Environment :: Web Environment",
+    "Intended Audience :: Developers",
+    "Natural Language :: French",
+    "Operating System :: OS Independent",
+    "Programming Language :: Python :: 3",
+    "Programming Language :: Python :: 3 :: Only",
+    "Programming Language :: Python :: 3.11",
+    "Programming Language :: Python :: 3.12",
+    "Programming Language :: Python :: 3.13",
+    "Programming Language :: Python :: 3.14",
+    "Topic :: Security",
+    "Topic :: Software Development",
+    "Topic :: System :: Software Distribution",
+    "Topic :: Utilities",
+]
+dependencies = [
+    "httpx>=0.28.1",
+    "packaging>=26.3",
+    "platformdirs>=4.13.6",
+    "pyyaml>=6.0.3",
+    "rich>=15.0.0",
+    "typer>=0.27.3",
+]
+
+[project.urls]
+Homepage = "https://github.com/Pauzzle-ozz/forceupdate"
+Repository = "https://github.com/Pauzzle-ozz/forceupdate"
+Issues = "https://github.com/Pauzzle-ozz/forceupdate/issues"
+
+[project.scripts]
+forceupdate = "forceupdate.cli:app"
+
+[dependency-groups]
+dev = [
+    "pytest>=9.1.1",
+    "respx>=0.23.1",
+    "ruff>=0.17.3",
+]
+
+[build-system]
+requires = ["hatchling>=1.27"]
+build-backend = "hatchling.build"
+
+[tool.hatch.build.targets.wheel]
+packages = ["src/forceupdate"]
+
+[tool.hatch.build.targets.sdist]
+include = ["/src", "/tests"]
+
+[tool.ruff]
+line-length = 100
+extend-exclude = ["reference"]
+
+[tool.ruff.lint]
+select = ["E", "W", "F", "I", "UP", "B", "SIM", "RUF"]
+
+[tool.pytest.ini_options]
+testpaths = ["tests"]
+addopts = ["-ra", "-p", "pytester"]

forceupdate-0.1.0/src/forceupdate/__init__.py

@@ -0,0 +1,9 @@
+"""forceupdate : trouve les dépendances à mettre à jour, et fait les mises à jour.
+
+La version vient des métadonnées du paquet installé : elle n'est écrite qu'à un
+seul endroit, dans ``pyproject.toml``.
+"""
+
+from importlib.metadata import version
+
+__version__ = version("forceupdate")

forceupdate-0.1.0/src/forceupdate/__main__.py

@@ -0,0 +1,5 @@
+"""``python -m forceupdate`` : la même chose que la commande ``forceupdate``."""
+
+from forceupdate.cli import app
+
+app(prog_name="forceupdate")

forceupdate-0.1.0/src/forceupdate/advisories/__init__.py

@@ -0,0 +1,30 @@
+"""Les avis de sécurité : les failles connues d'une version de paquet (type 2 du brief).
+
+- ``osv.py`` : le client d'OSV (``Osv``), et ``Advisory``, un avis réduit à ce qui sert,
+  avec la version qui corrige la faille (``Advisory.fixed_in``) ;
+- ``cvss.py`` : le score CVSS 3 d'un vecteur, et la gravité qui va avec.
+
+Les constats qu'on en tire sont dans ``checks/vulns.py``, qui ne parle pas au réseau.
+"""
+
+from forceupdate.advisories.osv import (
+    Advisory,
+    Affected,
+    AffectedRange,
+    Osv,
+    OsvError,
+    Query,
+    Vulnerabilities,
+    parse_vuln,
+)
+
+__all__ = [
+    "Advisory",
+    "Affected",
+    "AffectedRange",
+    "Osv",
+    "OsvError",
+    "Query",
+    "Vulnerabilities",
+    "parse_vuln",
+]

forceupdate-0.1.0/src/forceupdate/advisories/cvss.py

@@ -0,0 +1,95 @@
+"""Le score CVSS d'une faille, calculé depuis son vecteur, sans dépendance.
+
+OSV donne la gravité d'une faille sous forme de vecteur (``CVSS:3.1/AV:N/AC:L/…``), pas de
+score. Le calcul suit la spécification de FIRST (CVSS 3.1, section 7.1), y compris son
+arrondi (annexe A), qui évite les erreurs de calcul en virgule flottante : un arrondi naïf
+(``ceil(x * 10) / 10``) donne parfois un dixième de trop. Les vecteurs CVSS 3.0 ont les mêmes
+formules ; seul leur arrondi diffère, et ne change le score que dans ces cas d'erreur.
+
+CVSS 4.0 n'est pas calculé (il faut les tables de la spécification) : OSV le donne rarement
+seul, et GitHub ajoute alors sa propre gravité, que lit ``advisories.osv``.
+
+Repris de ``reference/argos_sca_parsers.py`` (``_cvss_base_score_from_vector``,
+``_cvss_to_severity``), puis adapté : ``Severity`` de ``models`` (``ARGOS (1)``), métriques
+lues dans n'importe quel ordre, arrondi de la spécification, ``None`` pour un vecteur
+illisible au lieu de 0.
+"""
+
+import re
+
+from forceupdate.models import Severity
+
+_PREFIX = re.compile(r"^CVSS:3\.[01]/")
+_LEADING_SCORE = re.compile(r"^(\d{1,2}\.\d)/")
+"""Un score écrit devant le vecteur (``9.8/CVSS:3.1/…``), comme certaines bases le font."""
+
+_WEIGHTS: dict[str, dict[str, float]] = {
+    "AV": {"N": 0.85, "A": 0.62, "L": 0.55, "P": 0.2},
+    "AC": {"L": 0.77, "H": 0.44},
+    "UI": {"N": 0.85, "R": 0.62},
+    "C": {"H": 0.56, "L": 0.22, "N": 0.0},
+    "I": {"H": 0.56, "L": 0.22, "N": 0.0},
+    "A": {"H": 0.56, "L": 0.22, "N": 0.0},
+}
+_PRIVILEGES = {"N": 0.85, "L": 0.62, "H": 0.27}
+_PRIVILEGES_CHANGED = {"N": 0.85, "L": 0.68, "H": 0.5}
+"""PR pèse plus quand la faille sort de son périmètre (``S:C``)."""
+
+
+def base_score(vector: str) -> float | None:
+    """Le score de base (0 à 10) d'un vecteur CVSS 3.0 ou 3.1 ; ``None`` s'il est illisible.
+
+    Les métriques temporelles et environnementales (``E:``, ``RL:``…) sont ignorées : le
+    score de base est celui que publient les avis.
+    """
+    vector = vector.strip()
+    leading = _LEADING_SCORE.match(vector)
+    if leading:
+        return float(leading.group(1))
+    if not _PREFIX.match(vector):
+        return None
+    metrics: dict[str, str] = {}
+    for part in vector.split("/")[1:]:
+        name, _, value = part.partition(":")
+        metrics.setdefault(name, value)
+    try:
+        scope_changed = {"U": False, "C": True}[metrics["S"]]
+        privileges = (_PRIVILEGES_CHANGED if scope_changed else _PRIVILEGES)[metrics["PR"]]
+        weights = {name: _WEIGHTS[name][metrics[name]] for name in _WEIGHTS}
+    except KeyError:
+        return None
+    iss = 1 - (1 - weights["C"]) * (1 - weights["I"]) * (1 - weights["A"])
+    impact = (7.52 * (iss - 0.029) - 3.25 * (iss - 0.02) ** 15) if scope_changed else 6.42 * iss
+    if impact <= 0:
+        return 0.0
+    exploitability = 8.22 * weights["AV"] * weights["AC"] * privileges * weights["UI"]
+    total = impact + exploitability
+    if scope_changed:
+        total *= 1.08
+    return _roundup(min(total, 10.0))
+
+
+def _roundup(value: float) -> float:
+    """Le plus petit nombre à une décimale qui est au moins ``value`` (CVSS 3.1, annexe A).
+
+    Calculé en entiers : ``ceil(4.000000000000001 * 10) / 10`` donnerait 4.1 au lieu de 4.0.
+    """
+    integer = round(value * 100_000)
+    if integer % 10_000 == 0:
+        return integer / 100_000
+    return (integer // 10_000 + 1) / 10
+
+
+def severity(score: float) -> Severity:
+    """La gravité d'un score CVSS, selon l'échelle de la spécification : critique à partir de
+    9, élevée à partir de 7, moyenne à partir de 4, faible au-dessus de 0. Un score nul
+    (aucun impact) donne ``INFO``."""
+    if score >= 9.0:
+        return Severity.CRITICAL
+    if score >= 7.0:
+        return Severity.HIGH
+    if score >= 4.0:
+        return Severity.MEDIUM
+    if score > 0.0:
+        return Severity.LOW
+    return Severity.INFO