Johan LEROY
08695a707d
Modèle de données : - migration #11 git_credentials (secrets chiffrés SecretBox : secret_encrypted ; colonnes ssh/oauth posées pour P12b/P12c) ; #12 repos ALTER remote_url/git_service/credential_id (pas de FK) - types partagés api.ts (GitCredentialSummary sans secret + hasSecret/secretLast4, CRUD, RemoteRepoSummary, Clone*) ; protocole additif : topic 'clones' + message clone_update (CloneOperation) Backend : - core/git-credentials.ts (GitCredentialsManager(db, box)) : CRUD chiffré, test() (GET /user), getSecret()/authContext() internes, NULLification de repos.credential_id à la suppression - core/git-clients/ (github/gitlab/gitea) via fetch, sans dépendance : verify()+listRepos() paginés, erreurs typées AUTH_FAILED/RATE_LIMITED/UNREACHABLE, SSRF base_url http(s) - core/git-auth.ts : withGitAuth (GIT_ASKPASS éphémère 0o700, secret par env, GIT_TERMINAL_PROMPT=0, jamais dans l'URL/.git/config, nettoyage finally) - core/git.ts cloneRepo (spawn git clone --progress, parse progression, timeout) - core/clone-manager.ts (EventEmitter) : clone async, dest confiné sous scanRoots + non existant, auto-enregistrement via addRepo + métadonnées de provenance, nettoyage du clone partiel, events topic 'clones' - routes/git-connections.ts (CRUD + /test + /:id/repos + POST /repos/clone 202 + GET /repos/clone/:id) ; app.ts câble box→GitCredentialsManager + CloneManager→gateway ; gateway relaie 'clones' Frontend : - ws-client subscribeClones ; stores git-connections + clone (suivi WS) - components/settings/GitConnectionsSection (liste + formulaire pat/app_password, secret jamais ré-affiché) inséré dans SettingsView ; CloneRepoModal (connexion → repos distants paginés → dest scanRoots[0] → barre de progression WS → redirection) ; bouton « Cloner » dans DashboardView ; i18n EN+FR Tests : git-credentials (round-trip SecretBox, résumé sans secret, NULLification) ; acceptance-p12.mjs (clone bare local file:// → clone_update done + repo enregistré + secret ABSENT de l'API, de la DB et du .git/config) Sous-phases restantes : P12b (SSH), P12c (OAuth device flow).
41 lines
1.6 KiB
TypeScript
41 lines
1.6 KiB
TypeScript
// Préparation d'un environnement d'authentification git ÉPHÉMÈRE (P12). HTTPS (pat/app_password) :
|
|
// les identifiants sont fournis via GIT_ASKPASS (script 0o700 lisant deux variables d'env), JAMAIS
|
|
// dans l'URL ni dans `.git/config`. GIT_TERMINAL_PROMPT=0 (pas d'invite bloquante). Le script est
|
|
// supprimé en `finally` ; le secret ne transite que par l'env du process enfant (jamais loggé).
|
|
import { mkdtemp, writeFile, rm, chmod } from 'node:fs/promises';
|
|
import { tmpdir } from 'node:os';
|
|
import { join } from 'node:path';
|
|
import type { GitService } from '@arboretum/shared';
|
|
import type { GitAuth } from './git-clients/index.js';
|
|
|
|
// Identité HTTPS par défaut quand l'utilisateur n'a pas fourni de username (token-as-password).
|
|
const SERVICE_DEFAULT_USER: Record<GitService, string> = { github: 'x-access-token', gitlab: 'oauth2', gitea: 'oauth2' };
|
|
|
|
export async function withGitAuth<T>(
|
|
service: GitService,
|
|
auth: GitAuth,
|
|
fn: (env: NodeJS.ProcessEnv) => Promise<T>,
|
|
): Promise<T> {
|
|
const dir = await mkdtemp(join(tmpdir(), 'arb-gitauth-'));
|
|
const askpass = join(dir, 'askpass.sh');
|
|
const user = auth.username || SERVICE_DEFAULT_USER[service];
|
|
await writeFile(
|
|
askpass,
|
|
"#!/bin/sh\ncase \"$1\" in\n Username*) printf '%s' \"$ARB_GIT_USER\" ;;\n *) printf '%s' \"$ARB_GIT_PASS\" ;;\nesac\n",
|
|
{ mode: 0o700 },
|
|
);
|
|
await chmod(askpass, 0o700);
|
|
const env: NodeJS.ProcessEnv = {
|
|
...process.env,
|
|
GIT_ASKPASS: askpass,
|
|
GIT_TERMINAL_PROMPT: '0',
|
|
ARB_GIT_USER: user,
|
|
ARB_GIT_PASS: auth.secret,
|
|
};
|
|
try {
|
|
return await fn(env);
|
|
} finally {
|
|
await rm(dir, { recursive: true, force: true }).catch(() => {});
|
|
}
|
|
}
|