fix(registry): read the REGISTRY project-robot leaf and restore the historic secrets contract

[shikanime]

Pourquoi

Le groupe de secrets REGISTRY disparaît entièrement des secrets de projet : VaultClientService.readRegistrySecrets lit le dossier REGISTRY au lieu de la feuille REGISTRY/project-robot, et KV v2 répond 404 sur une lecture de préfixe. Le contrat historique du plugin harbor (Registry base path inconditionnel, identifiants du robot conditionnés à publishProjectRobot, message de repli) était perdu au passage.

Quoi

• readRegistrySecrets lit désormais la feuille REGISTRY/project-robot, la même feuille qu'écrit le module registry.
• La résolution projet/admin de publishProjectRobot suit le patron nexus is<X>Enabled : méthode privée isProjectRobotEnabled côté lecteur, même expression harbor historique inlinée côté écriture (syncProject) — la valeur projet explicite gagne dans les deux sens, sinon le réglage admin s'applique, y compris quand le projet est sur default. Les deux moitiés ne peuvent plus diverger.
• RegistryPluginService.secrets restitue le contrat historique : Registry base path inconditionnel, identifiants du robot seulement si publishProjectRobot est activé, message de repli historique quand le robot manque dans Vault.
• Tests : lecture et absence de la feuille côté vault ; chemin de base seul, identifiants, repli et résolution admin (réglage absent et default) côté plugin ; provisionnement du robot depuis le réglage admin côté écriture.

Références

Fixes #2527
Related: #2527

[shikanime]

Revue complète : le correctif est pertinent. La lecture sur la feuille REGISTRY/project-robot est alignée au chemin écrit par ensureRobotSecret, le chemin de base reste inconditionnel, et le message de repli reprend verbatim celui du plugin harbor historique — le contrat de l'issue #2527 est restauré sans élargir le périmètre (un seul appelant de readRegistrySecrets, vérifié).

Un seul commentaire non bloquant sur l'exactitude d'un commentaire de code. Les tests couvrent désormais le 404 Vault et chaque branche de résolution, c'est exactement ce que ce module demandait.

[StephaneTrebel]

Le correctif lit bien la feuille REGISTRY/project-robot, mais la résolution de DEFAULT ne préserve pas le contrat historique : les secrets disparaissent alors que le défaut global les active. La branche est aussi en retard d’un commit sur main et doit être rebasée avant une nouvelle revue.

[shikanime]

Verdict : Changements demandés — deux points bloquants sur la résolution publishProjectRobot (revue postée en commentaire, l'auteur ne pouvant pas officiellement request-changer sa propre PR).

La lecture de la feuille REGISTRY/project-robot est correcte et alignée sur le chemin écrit par ensureRobotSecret (appelant unique de readRegistrySecrets, vérifié), et les tests couvrent proprement le 404 Vault, le message de repli historique verbatim et chaque branche de résolution côté projet. En revanche, le point de StephaneTrebel tient toujours sur ba6160c — DEFAULT ne délègue pas au réglage global — et la description annonce une « résolution identique à l'écriture » alors que syncProject ne lit pas la config admin : restaurer la moitié lecture sans la moitié écriture recrée la contradiction que #2532 documente déjà côté Nexus. Détail de maison au passage : la branche a 46 commits de retard sur main, à rebaser avant nouvelle revue.

Security scan : clean sur les lignes ajoutées.

done

[shikanime]

Revue adversariale contre le plugin harbor historique (plugins/harbor/src/functions.ts:getProjectSecrets), sandbox au head 22aff14b.

Verdict : changements demandés — un point bloquant, le correctif central est bon.

Le contrat historique est restauré à l'identique : chemin de base inconditionnel, identifiants conditionnés, message de repli verbatim, chemin Vault REGISTRY/project-robot identique octet pour octet à celui écrit par ensureRobotSecret. La table de vérité de la résolution projet/admin est équivalente à l'expression harbor sur ENABLED / DISABLED / DEFAULT / absent, côté lecture comme côté écriture. 58 tests unitaires verts, eslint vert, aucun Unicode bidirectionnel dans le diff.

Bloquant — test/project-secrets.e2e-spec.ts contredit la nouvelle contrat. La spec écrit la feuille REGISTRY nue (ligne 144) et attend REGISTRY_ROBOT_SECRET dans secrets.REGISTRY (ligne 170) ; la spec « no Vault secrets » attend l'absence totale de REGISTRY (ligne 122). Sous le nouveau lecteur les deux échouent : la feuille de groupe n'est plus lue, et le chemin de base n'est plus jamais vide. La gate unit CI ne la lance pas — describe.runIf(E2E) — donc le vert actuel est un angle mort ; run-tests.sh -e la cassera. Écrire REGISTRY/project-robot et activer publishProjectRobot sur le projet fixture.

Non bloquant — « les deux moitiés ne peuvent plus diverger » est sur-affirmé. L'expression de résolution est dupliquée verbatim dans registry-plugin.service.ts et registry.service.ts ; deux copies peuvent dériver. Un helper partagé (projectValue, adminValue) rendrait l'affirmation vraie.

Nit — readRegistrySecrets(slug, robotName) n'a qu'un appelant, toujours ROBOT_NAME_PROJECT. Le paramètre est de la généralité spéculative.

[shikanime]

F1 corrigé dans 5b2e649 : la spec e2e écrit désormais la feuille REGISTRY/project-robot, le projet fixture active publishProjectRobot, et le cas sans secrets attend le chemin de base inconditionnel avec le message de repli historique. Nettoyage des feuilles ajouté au groups de cleanup. F2/F3 laissés tels quels — non bloquants.

[StephaneTrebel]

La correction restaure le contrat Vault/Harbor et les tests couvrent les chemins de lecture, le repli et la résolution projet/admin ; la DoD de l’issue liée est satisfaite (2/2). CI et Quality Gate sont verts sur le head courant. Deux nits non bloquants sont laissés en commentaires inline.

[shikanime]

Les deux sujets traités sur le head 2571349f :

Résolution dupliquée — RegistryService.syncProject consomme désormais RegistryPluginService.isProjectRobotEnabled (passée publique) ; l'expression specificallyEnabled(project) || (default && specificallyEnabled(admin)) n'existe plus qu'à un seul endroit (registry-plugin.service.ts:150).

Paramètre spéculatif — readRegistrySecrets(slug, robotName) devient readProjectRobotRegistrySecrets(slug), la feuille REGISTRY/project-robot est codée en dur dans le chemin (vault-client.service.ts:209) — seul appelant, valeur unique.

Tests : 70/70 locaux sur registry + vault.

[StephaneTrebel]

Aucun finding après revue du diff et du contexte déclaré.

[cloud-pi-native-sonarqube]

Quality Gate passed

Issues

• 0 New Issues
• 0 Fixed Issues
• 0 Accepted Issues

Measures

• 0 Security Hotspots
• 0.00% Coverage (54.40% Estimated after merge)
• 0.00% Duplicated Code (3.80% Estimated after merge)

Project ID: cloud-pi-native_console_AYsa46O31ebDtzs-pYyZ

View in SonarQube