wasm-cli 1.5.1__tar.gz → 1.6.1__tar.gz

{wasm_cli-1.5.1/src/wasm_cli.egg-info → wasm_cli-1.6.1}/PKG-INFO

@@ -1,6 +1,6 @@
 Metadata-Version: 2.4
 Name: wasm-cli
-Version: 1.5.1
+Version: 1.6.1
 Summary: Web App System Management - Deploy and manage web applications on Linux servers
 Author: Yago López Prado
 Author-email: Yago López Prado <yago.lopez.adeje@gmail.com>

{wasm_cli-1.5.1 → wasm_cli-1.6.1}/docs/superpowers/plans/2026-08-13-wasm-competitive-parity-roadmap.md

@@ -516,3 +516,35 @@ La API entera ya existe (`api/databases.py`). UI con tabs por engine:
   web, preview deploys, multiusuario, one-click, multi-server) sigue vigente.
   Decisión de publicación: tags v1.3.0/v1.4.0/v1.5.0 sin crear; cuando el dueño quiera
   publicar, seguir el proceso del spec de release (tag + push dispara PyPI/OBS).
+- 2026-08-14 (publicación): **v1.5.0 publicada** (solo ese tag; 1.3/1.4 quedan como
+  hitos internos — los números publicados no necesitan ser contiguos y esos árboles
+  tenían man pages sin regenerar). **Rota en Ubuntu 24.04 al arrancar el panel**:
+  noble empaqueta pydantic v1 y tres ficheros nuevos usaban `field_validator` (v2).
+  **v1.5.1 publicada con el fix**: `web/pydantic_compat.py` (puente v1/v2), guardias
+  AST en test_architecture contra API exclusiva de una major de pydantic, job CI
+  `pydantic-v1` (tests web con 1.10 pineado) y paso de release que importa la capa web
+  dentro del contenedor deb/rpm con las deps de la distro. Lección permanente: los
+  tests con deps de pip NO validan las deps de distro; toda API nueva de una librería
+  empaquetada debe contrastarse con la versión de noble/bookworm/Fedora (tabla en
+  CLAUDE.md) y el gate del contenedor es el chokepoint que lo garantiza.
+- 2026-08-14 (rediseño): el dueño rechazó la estética austera de la v1 tras usarla
+  ("pobre, asimétrica, componentes horribles"). Nueva dirección en
+  `docs/superpowers/specs/2026-08-14-wasm-panel-design-v2.md` (Geist, acento índigo,
+  elevación, esqueleto de página común, pills en vez de raíl) implementada entera y
+  **publicada como v1.6.0** (Release y CI verdes). Verificación visual con capturas
+  reales (scripts/panel_screenshots.py, 16 pantallas ambos temas + móvil) revisadas
+  en dos rondas por el implementador y una por el orquestador. El spec de diseño de
+  2026-08-12 queda superado en lo estético; sus restricciones técnicas (CSP, sin
+  build, vendor con checksum, color de estado + acento) siguen vigentes.
+- 2026-08-27 (v1.6.1): **EACCES al arrancar toda app no-monorepo**: el deploy corre
+  como root y dejaba `/var/www/apps/{app}` propiedad de root mientras la unidad corre
+  como `service_user` (www-data); pnpm escribe un temporal `_tmp_*` en el cwd en cada
+  `pnpm run`, así que el servicio moría en bucle de reinicios (visto en producción en
+  bodas.arennalabs.com). El chown existía solo en el deployer monorepo — regla 3 rota:
+  la implementación nunca llegó al pipeline común. Fix en v1.6.1:
+  `deployers/helpers/permissions.py::hand_over_tree` como implementación única, paso
+  "Setting permissions" en el pipeline base tras el build (afecta a nextjs, nodejs,
+  python y vite; static define su propia lista y docker-compose no usa el pipeline —
+  a propósito: un `chown -R` sobre bind mounts rompería los datos de contenedores), y
+  los `.env` vuelven a 0600 tras el `chmod -R`. Remediación en servidores ya
+  desplegados: `chown -R www-data:www-data /var/www/apps/{app}` y restart del unit.

wasm_cli-1.6.1/docs/superpowers/specs/2026-08-14-wasm-panel-design-v2.md

@@ -0,0 +1,127 @@
+# Panel WASM - Dirección de diseño v2
+
+Fecha: 2026-08-14
+Sustituye a: `2026-08-12-wasm-panel-design-direction.md` (el dueño rechazó esa dirección
+tras verla en producción: "pobre, asimétrica, componentes horribles"). Las restricciones
+técnicas de aquel documento siguen vigentes; la estética no.
+
+## El veredicto que origina esto
+
+La v1 apostó por un instrumento austero: todo acromático, cero acento, tipografía
+condensada, raíles de 3px. Intelectualmente coherente; en pantalla lee como wireframe.
+El dueño construye una alternativa a Vercel/Coolify y exige que el panel aguante el
+careo visual con esos productos. Esa es la nueva vara.
+
+## Dirección
+
+**SaaS profesional de 2026**: neutros fríos limpios, un acento índigo con propósito,
+tipografía Geist, tarjetas con elevación sutil, simetría por esqueleto común. El modo
+oscuro fija la identidad (es donde vive un operador); el claro es igual de completo.
+
+Lo que se conserva de la v1 porque es correcto: **el color semántico de estado**
+(verde=corriendo, ámbar=en curso, rojo=fallo, gris=parado) como única fuente de color
+además del acento; los errores del sistema verbatim en mono; los vacíos como invitación;
+todo vendorizado, cero CDN, cero build step, CSP intacta.
+
+## Tokens
+
+### Color
+
+El acento vive en el espacio azul-violeta, que el sistema de estados deja libre.
+
+| Rol | Claro | Oscuro |
+|---|---|---|
+| Fondo | `#FAFAFA` | `#0B0C0E` |
+| Fondo hundido | `#F4F4F5` | `#08090A` |
+| Superficie | `#FFFFFF` | `#141519` |
+| Superficie elevada | `#FFFFFF` + sombra | `#1A1C21` |
+| Borde | `#E4E4E7` | `#26282E` |
+| Borde fuerte | `#D4D4D8` | `#363940` |
+| Texto | `#18181B` | `#EDEEF0` |
+| Texto atenuado | `#52525B` | `#A1A5AD` |
+| Texto débil | `#71717A` | `#7D828B` |
+| **Acento** | `#5B5BD6` | `#7C7CF0` |
+| Acento hover | `#4F4FC4` | `#8F8FF5` |
+| Acento tenue (fondos) | `#EEEEFB` | `#232345` |
+| Activo | `#16A34A` | `#4ADE80` |
+| Activo fondo | `#EAF7EF` | `#132E1D` |
+| Fallo | `#DC2626` | `#F87171` |
+| Fallo fondo | `#FDECEC` | `#341518` |
+| En curso | `#D97706` | `#FBBF24` |
+| En curso fondo | `#FDF3E4` | `#33270F` |
+| Parado | `#71717A` | `#8B8F98` |
+| Parado fondo | `#F1F1F2` | `#222329` |
+
+Todos los pares texto/fondo y estado/fondo cumplen AA; el contrato de estilo lo
+verifica computándolo, así que cualquier ajuste posterior queda vigilado.
+
+### Tipografía: Geist, dos voces
+
+- **Geist Sans** (400/500/600) para todo el UI. Tracking ligeramente negativo en
+  títulos (−0.02em), pesos 600 para títulos, 500 para labels/botones, 400 para prosa.
+- **Geist Mono** (400/500) para todo valor del sistema: rutas, units, puertos, logs,
+  timestamps, commits. Cifras tabulares en todo valor que cambie.
+- Se retira IBM Plex entero, incluida la condensada (era la principal fuente de la
+  sensación "apretada"). Vendor: 5 woff2 de fontsource con checksum.
+
+### Espaciado, radios, elevación
+
+- Escala: 4/8/12/16/24/32/48/64. Radio: 6px (controles), 10px (tarjetas), 999px
+  (pills). Contenedor de página: max-width 1200px centrado, gutter 24px (16px móvil).
+- Sombras (solo claro; el oscuro eleva por color de superficie):
+  `--shadow-xs: 0 1px 2px rgb(0 0 0 / 5%)`,
+  `--shadow-sm: 0 1px 3px rgb(0 0 0 / 7%), 0 1px 2px rgb(0 0 0 / 5%)`.
+- Transiciones 140ms ease-out en hover/focus; `prefers-reduced-motion` respetado.
+
+## Esqueleto común (la cura de la asimetría)
+
+Toda página usa el mismo armazón, sin excepciones:
+
+```
+┌─ cockpit bar (sticky, blur) ─────────────────────────────┐
+├─ sidebar ─┬─ page ────────────────────────────────────────┤
+│           │  header: h1 + descripción      [acción 1ª]   │
+│           │  ── secciones con el mismo gap vertical ──    │
+│           │  card / tabla / form                          │
+└───────────┴───────────────────────────────────────────────┘
+```
+
+- Cabecera de página: título (xl/600) + una línea de descripción atenuada a la
+  izquierda; la acción primaria de la página a la derecha. Siempre.
+- Secciones: título de sección (base/600) + gap uniforme (32px entre secciones,
+  16px título→contenido). Nada de espaciados ad-hoc por plantilla.
+- Tarjetas: superficie + borde + radio 10 + padding 20/24; en claro además sombra xs.
+- Tablas: cabecera en texto atenuado 500 (12px, sin condensada, sin mayúsculas
+  forzadas salvo eyebrows), filas 44px, hover superficie, divisores internos solo
+  horizontales, celdas numéricas alineadas a la derecha en tabular.
+- Estado: pill con punto de color (`● Running`) sobre fondo tenue del estado.
+  El raíl de 3px desaparece.
+
+## Componentes
+
+- **Botones**: primario (acento, texto blanco, sombra xs), secundario (superficie +
+  borde), fantasma (sin borde, hover superficie), peligro (rojo solo como primario de
+  confirmación destructiva). Alturas 32/36, padding 12/16, radio 6, peso 500.
+- **Formularios**: campos 36px, borde 1px, focus ring de 3px en acento tenue + borde
+  acento; labels 500 encima; hints atenuados debajo; errores en rojo con el mensaje
+  del sistema verbatim en mono dentro de un bloque, no inline chillón.
+- **Cockpit bar** (la firma): sticky, fondo translúcido con `backdrop-filter: blur`,
+  hostname en mono + pill de estado global + sparkline de carga + memoria/disco como
+  micro-medidores + accesos (⌘K, tema). Es la única pieza con licencia para ser
+  distintiva; todo lo demás, disciplinado.
+- **Sidebar**: grupos con eyebrow (11px/500/atenuado), item activo con fondo acento
+  tenue + texto acento, counts como pills mínimas.
+- **Gráficas uPlot**: línea acento para métricas neutras (CPU/red), estados solo
+  cuando significan estado; ejes en Geist Mono 10px; marcas de deploy como líneas
+  discontinuas de estado.
+- **Drawer de logs**: cabecera con pestaña, fondo hundido, xterm con el tema nuevo.
+- **Login**: tarjeta centrada, logo, un campo, botón primario — la primera impresión
+  del producto, tratada como tal.
+
+## Ejecución
+
+Los nombres de clases y de variables CSS se conservan (los contratos de estilo y el
+cliente vigilan por nombre); cambian los valores y el CSS de componentes. Los templates
+solo se tocan para imponer el esqueleto común (cabeceras de página, secciones). Se
+verifica con capturas reales en ambos temas revisadas por el implementador, más
+`test_web_style_contract` (contraste AA recalculado) y `panel_browser_check` (22/22).

{wasm_cli-1.5.1 → wasm_cli-1.6.1}/pyproject.toml

@@ -4,7 +4,7 @@ build-backend = "setuptools.build_meta"
 
 [project]
 name = "wasm-cli"
-version = "1.5.1"
+version = "1.6.1"
 description = "Web App System Management - Deploy and manage web applications on Linux servers"
 readme = "README.md"
 license = { text = "WASM-NCSAL" }

{wasm_cli-1.5.1 → wasm_cli-1.6.1}/setup.py

@@ -9,7 +9,7 @@ from setuptools import setup, find_packages
 
 setup(
     name="wasm-cli",
-    version="1.5.1",
+    version="1.6.1",
     description="Web App System Management - Deploy and manage web applications on Linux servers",
     author="Yago López Prado",
     author_email="yago.lopez.adeje@gmail.com",

{wasm_cli-1.5.1 → wasm_cli-1.6.1}/src/wasm/__init__.py

@@ -15,7 +15,7 @@ from importlib.metadata import version as _installed_version
 #: as an OBS build directory. The single source of truth is the ``version``
 #: field of pyproject.toml; ``scripts/release.py`` keeps this literal and the
 #: distribution packaging files in step with it.
-_FALLBACK_VERSION = "1.5.1"
+_FALLBACK_VERSION = "1.6.1"
 
 try:
     __version__ = _installed_version("wasm-cli")

{wasm_cli-1.5.1 → wasm_cli-1.6.1}/src/wasm/cli/commands/env.py

@@ -303,6 +303,10 @@ def configure(state: Context, domain: str) -> None:
 @click.option(
     "--unmask",
     is_flag=True,
+    # Explicit, not implied: click 8.5 reports an unset flag default as a
+    # sentinel, and the guarantee that secrets stay masked must not depend on
+    # which click a distribution ships.
+    default=False,
     help="Print secret values in clear instead of hiding them.",
 )
 @pass_context

{wasm_cli-1.5.1 → wasm_cli-1.6.1}/src/wasm/deployers/base.py

@@ -42,6 +42,7 @@ from wasm.deployers.helpers import (
 )
 from wasm.deployers.helpers.health import failure_output, wait_until_healthy
 from wasm.deployers.helpers.nginx_config import NginxAdvancedConfig
+from wasm.deployers.helpers.permissions import hand_over_tree
 from wasm.deployers.helpers.registration import StoreRegistrar
 from wasm.deployers.helpers.summary import print_deployment_summary
 from wasm.deployers.interface import AppDeployer, StepReporter, UpdateResult
@@ -1163,6 +1164,11 @@ class BaseDeployer(AppDeployer):
                 icon=Icons.BUILD,
                 run=self.build,
             ),
+            DeployStep(
+                title="Setting permissions",
+                icon=Icons.LOCK,
+                run=self._set_permissions,
+            ),
             DeployStep(
                 title="Creating site configuration",
                 icon=Icons.GLOBE,
@@ -1235,6 +1241,36 @@ class BaseDeployer(AppDeployer):
         if self.app_name:
             self.store.update_service_status(self.app_name, active=True, enabled=True)
 
+    def _set_permissions(self) -> None:
+        """
+        Hand the deployed tree over to the account the service runs as.
+
+        The deployment ran as root, so without this step the service user
+        cannot write into its own app directory and the unit fails at start
+        with EACCES.
+        """
+        hand_over_tree(
+            self.app_path,
+            user=self.config.service_user,
+            group=self.config.service_group,
+            runner=self.runner,
+            fs=self.fs,
+            logger=self.logger,
+            env_files=self._env_files(),
+        )
+
+    def _env_files(self) -> list[Path]:
+        """
+        List the environment files whose modes must survive ``_set_permissions``.
+
+        Returns:
+            The dotenv files at the application root. Subclasses that write
+            environment files elsewhere override this.
+        """
+        if not self.app_path.is_dir():
+            return []
+        return sorted(path for path in self.app_path.glob(".env*") if path.is_file())
+
     def _recorder(self) -> DeploymentRecorder:
         """
         Build the recorder :meth:`deploy` and :meth:`update` write history with.

wasm_cli-1.6.1/src/wasm/deployers/helpers/permissions.py

@@ -0,0 +1,74 @@
+# Copyright (c) 2024-2026 Yago Lopez Prado
+# Licensed under WASM-NCSAL 1.0 (Commercial use prohibited)
+# https://github.com/Perkybeet/wasm/blob/main/LICENSE
+
+"""
+Ownership hand-over for deployed trees.
+
+The whole deployment runs as root, but the generated unit runs as the
+configured service user. That user must be able to write into the app
+directory: pnpm creates a temporary file in the project root on every
+``pnpm run``, and Next.js writes into ``.next`` at runtime, so a root-owned
+tree fails at start with EACCES and systemd restarts it forever.
+
+This is the one implementation both the base pipeline and the monorepo
+deployer use; it used to exist only in the monorepo deployer, which is why
+every other app type shipped with the bug above.
+"""
+
+from __future__ import annotations
+
+from collections.abc import Iterable
+from pathlib import Path
+
+from wasm.core.fs import SECRET_MODE, FileSystem
+from wasm.core.logger import Logger
+from wasm.core.runner import CommandRunner
+
+#: Deadline for the recursive chown and chmod over a deployed tree.
+_PERMISSIONS_TIMEOUT = 60
+
+
+def hand_over_tree(
+    app_path: Path,
+    *,
+    user: str,
+    group: str,
+    runner: CommandRunner,
+    fs: FileSystem,
+    logger: Logger,
+    env_files: Iterable[Path] = (),
+) -> None:
+    """
+    Make ``user`` the owner of the deployed tree, keeping secrets private.
+
+    Args:
+        app_path: Root of the deployed application.
+        user: Account the service runs as.
+        group: Group the service runs as.
+        runner: Runner the chown and chmod execute through.
+        fs: Filesystem used to restore the mode of the secret files.
+        logger: Logger for the non-fatal failures.
+        env_files: Files holding secrets whose mode must come back to 0600
+            after the recursive chmod.
+    """
+    result = runner.run(
+        ["chown", "-R", f"{user}:{group}", str(app_path)],
+        timeout=_PERMISSIONS_TIMEOUT,
+    )
+    if not result.success:
+        logger.debug(f"chown failed: {result.stderr}")
+
+    # Directories need the execute bit and the built assets must stay readable
+    # by the web server, whatever umask the fetch and the build left behind.
+    runner.run(
+        ["chmod", "-R", "u+rwX,g+rX,o+rX", str(app_path)],
+        timeout=_PERMISSIONS_TIMEOUT,
+    )
+
+    # That -R also put o+r on the .env files, which hold the secrets this
+    # deployment was given. The chown above has just made the service account
+    # their owner, so 0600 is readable by the application and by nobody else.
+    for env_file in env_files:
+        if env_file.exists():
+            fs.chmod(env_file, SECRET_MODE)

{wasm_cli-1.5.1 → wasm_cli-1.6.1}/src/wasm/deployers/monorepo.py

@@ -49,6 +49,7 @@ from wasm.deployers.helpers import (
     TurboHelper,
     WorkspaceHelper,
 )
+from wasm.deployers.helpers.permissions import hand_over_tree
 from wasm.deployers.interface import AppDeployer, StepReporter, UpdateResult
 from wasm.deployers.registry import DeployerRegistry
 from wasm.managers.apache_manager import ApacheManager
@@ -948,34 +949,22 @@ class MonorepoDeployer(AppDeployer):
         return False
 
     def _set_permissions(self) -> None:
-        """Set correct ownership and permissions for the app directory."""
-        service_user = self.config.service_user
-        service_group = self.config.service_group
-
-        try:
-            # Change ownership recursively
-            result = self.runner.run(
-                ["chown", "-R", f"{service_user}:{service_group}", str(self.app_path)],
-                timeout=60,
-            )
-            if not result.success:
-                self.logger.debug(f"chown failed: {result.stderr}")
+        """
+        Hand the deployed tree over to the account the services run as.
 
-            # Ensure directories are executable and writable
-            self.runner.run(
-                ["chmod", "-R", "u+rwX,g+rX,o+rX", str(self.app_path)],
-                timeout=60,
-            )
-        except OSError as e:
-            self.logger.debug(f"Failed to set permissions: {e}")
-
-        # That -R also put o+r on the .env files written a step earlier, which
-        # hold the database password this deployer generated. The chown above
-        # has just made the service account their owner, so 0600 is readable by
-        # the application and by nobody else.
-        for env_file in self._env_files():
-            if env_file.exists():
-                self.fs.chmod(env_file, SECRET_MODE)
+        The deployment ran as root, so without this step the workspace units
+        cannot write into their own app directory and fail at start with
+        EACCES.
+        """
+        hand_over_tree(
+            self.app_path,
+            user=self.config.service_user,
+            group=self.config.service_group,
+            runner=self.runner,
+            fs=self.fs,
+            logger=self.logger,
+            env_files=self._env_files(),
+        )
 
     def _env_files(self) -> list[Path]:
         """