sergio/takana

1#!/usr/bin/env python3
2"""¿La bóveda está enchufada ENTERA, o a medias? (SDD-BOVEDA §8, D7)
3
4    python3 scripts/test-atuq-boveda-coherente.py
5    python3 scripts/test-atuq-boveda-coherente.py --negative-control
6
7── QUÉ MIRA, Y POR QUÉ ESTE GUARDIÁN EXISTE APARTE ───────────────────────────────────────────
8Una extensión de `atuq` está enchufada en CINCO lugares distintos, y ninguno da error si falta:
9
10    manifest.json                     el id que la extensión declara
11    distribution/policies.json        la política que la instala
12    native-messaging/*.json           el permiso para hablarle al host
13    atuq.cfg                          las preferencias que la acompañan
14    recipes/puriy-costura.toml        el COMMIT del host, que decide si sus verbos existen
15
16Si falta la política, la extensión no se instala y el usuario ve un navegador sin la función. Si
17falta el permiso del host, la extensión se instala y **se conecta a nada** —`connectNative` falla
18en silencio y la insignia no aparece nunca—. Si faltan las preferencias, la bóveda y el gestor de
19Gecko se pelean por el mismo campo. Y si el commit pineado del host es ANTERIOR a los verbos, la
20extensión conecta, manda `vault.match` y recibe «verbo desconocido» —que `fondo.js` lee como «no hay
21bóveda» y se calla—. Ninguno de los cuatro se ve como un error: se ven como «no anda».
22
23Éste NO reemplaza al guardián de metal (servidor HTTP, navegador real, login real, el diálogo de
24consentimiento a la vista). Lo precede: mide lo que se puede medir sin construir nada, en un
25segundo, y ahorra descubrir en metal un renglón que faltaba en un JSON.
26
27── LOS DOS CONTROLES NEGATIVOS, UNO POR AFIRMACIÓN ───────────────────────────────────────────
28`--negative-control` saca el permiso del host de una copia en memoria y exige que esto lo detecte.
29`--negative-control-verbo` le manda al quinto chequeo un verbo inventado y exige lo mismo. Sin
30ellos, un guardián que siempre dice que sí se vería idéntico a uno que funciona.
31
32Y el quinto chequeo trae además un control POSITIVO —`sct.observe`, que el host pineado tiene que
33tener sí o sí—, porque es un `grep` que espera cero y un cero puede ser una ausencia o un sitio
34equivocado: las dos se ven igual, y sólo las separa un patrón hermano que TENGA que dar positivo.
35"""
36import json
37import os
38import re
39import subprocess
40import sys
41
42ROOT = os.path.dirname(os.path.dirname(os.path.abspath(__file__)))
43ATUQ = os.path.join(ROOT, "recipes/atuq")
44ID = "boveda@atuq.tawasuyu"
45
46# Las preferencias de D7: de fábrica manda la bóveda, pero el usuario puede volver atrás.
47PREFS = ["signon.rememberSignons", "signon.autofillForms"]
48
49# ── 8. EL QUINTO LUGAR: ¿el host que la RECETA PINEA sabe los verbos que ella manda? ──────────
50# Los siete de arriba miran `recipes/atuq/`, que es el lado del navegador. Pero una extensión no
51# está enchufada en cuatro lugares sino en CINCO, y el quinto vive en otra receta y en otro repo:
52# `recipes/puriy-costura.toml` pinea un commit de tawasuyu, y es ESE commit el que decide si
53# `vault.match` es un verbo o una cadena que nadie atiende.
54#
55# Falla igual de callado que los otros —peor, incluso—: el manifiesto está, el permiso está, la
56# política instala, `connectNative` CONECTA, la extensión manda `vault.match` y el host contesta
57# `{"ok": false, "error": "verbo desconocido: vault.match"}`. `fondo.js` lee `r.ok !== true`, borra
58# la insignia y se calla. Lo que el usuario ve es un navegador sin bóveda; lo que un guardián de
59# ficheros ve es todo en orden.
60#
61# Y no es hipotético: así estaba el 2026-09-15 al escribir esto. La extensión se commiteó con los
62# verbos ya escritos en tawasuyu (`bc6903f9e`) y la receta seguía pineada en `e19bb0e5`, que es su
63# ANCESTRO. El artefacto sellado lo confirma desde el otro lado, con su control puesto:
64#     strings del binario sellado → «vault» 0 veces · «cas» 5 veces
65#
66# ── EL CONTROL POSITIVO NO ES DECORACIÓN ──────────────────────────────────────────────────────
67# Este chequeo es un `grep` que espera CERO, y un cero puede ser una ausencia o un sitio
68# equivocado: las dos se ven igual. Por eso se pregunta también por `sct.observe`, un verbo que el
69# commit pineado TIENE que tener —`sct` es la unidad 6, sellada y medida en metal—. Si el control
70# sale cero, lo que está roto es el guardián y se dice así, en vez de acusar a la receta.
71VERBOS_CONTROL = "sct.observe"
72TAWASUYU = os.environ.get("TAWASUYU", "/mnt/vvv/tawasuyu")
73RECETA_HOST = os.path.join(ROOT, "recipes/puriy-costura.toml")
74
75
76# Lo que parece un verbo y no lo es: los ficheros que el manifiesto nombra.
77NO_ES_VERBO = (".js", ".html", ".css", ".png", ".svg", ".json", ".txt", ".xpi", ".mjs")
78
79
80def verbos_que_manda_la_extension():
81    """Los verbos salen del propio código de la extensión, no de una lista escrita a mano acá.
82
83    Una lista paralela se desincroniza el día que alguien agrega un verbo y no toca este
84    fichero — y lo haría en el único sitio donde eso no puede verse.
85
86    ⚠ Y NO se busca `verb: "..."`, aunque la bóveda lo escriba así. Medido sobre las diez
87    extensiones: la de IA arma el mensaje con `postMessage({ id, verb: verbo, ... })`, o sea que
88    el verbo llega por variable y ese patrón no engancha NADA. Cero verbos encontrados y cero
89    verbos faltando se ven idénticos, y el guardián habría dicho que sí sin mirar nada. Por eso se
90    recogen todas las cadenas con forma de verbo y se descartan las que son nombres de fichero."""
91    fuentes = [f for f in sorted(os.listdir(os.path.join(ATUQ, "extensions/boveda")))
92               if f.endswith(".js")]
93    texto = "".join(leer(f"extensions/boveda/{f}") for f in fuentes)
94    crudos = set(re.findall(r'"([a-z][a-z0-9_]*\.[a-z][a-z0-9_]*)"', texto))
95    return sorted(v for v in crudos if not v.endswith(NO_ES_VERBO))
96
97
98def commit_pineado():
99    with open(RECETA_HOST, encoding="utf-8") as f:
100        m = re.search(r'^commit\s*=\s*"([0-9a-f]{7,40})"', f.read(), re.M)
101    return m.group(1) if m else None
102
103
104def atiende(commit, verbo):
105    """¿Hay un brazo de `match` para este verbo en el commit pineado?
106
107    `git grep <commit>` lee del objeto, así que no hace falta hacer checkout ni tocar el árbol
108    compartido de tawasuyu, que siempre tiene ficheros en vuelo de otras sesiones."""
109    r = subprocess.run(
110        ["git", "-C", TAWASUYU, "grep", "-qF", f'"{verbo}" =>', commit, "--", "*.rs"],
111        capture_output=True,
112    )
113    return r.returncode == 0
114
115
116def revisar_el_host(verbo_extra=None):
117    verbos = verbos_que_manda_la_extension()
118    if not verbos:
119        mal("no se pudo leer ningún `verb:` de fondo.js: este chequeo no está midiendo nada")
120        return
121    if verbo_extra:
122        verbos = verbos + [verbo_extra]
123
124    commit = commit_pineado()
125    if not commit:
126        mal(f"{os.path.relpath(RECETA_HOST, ROOT)} no pinea ningún commit")
127        return
128    if not os.path.isdir(os.path.join(TAWASUYU, ".git")):
129        # Un ausente falla RUIDOSAMENTE: si el clon no está, esto no se puede comprobar, y
130        # «no se pudo comprobar» no es «está bien».
131        mal(f"no hay clon de tawasuyu en {TAWASUYU}: el quinto lugar queda SIN COMPROBAR "
132            f"(se cambia con TAWASUYU=/ruta)")
133        return
134    if subprocess.run(["git", "-C", TAWASUYU, "cat-file", "-e", f"{commit}^{{commit}}"],
135                      capture_output=True).returncode != 0:
136        mal(f"el clon de tawasuyu no conoce el commit pineado {commit[:9]}: "
137            f"hace falta un `git fetch` antes de creerle a este guardián")
138        return
139
140    # El control primero: si éste falla, ningún cero de abajo significa nada.
141    if not atiende(commit, VERBOS_CONTROL):
142        mal(f"CONTROL ROTO: {VERBOS_CONTROL} tampoco aparece en {commit[:9]}. El grep está mirando "
143            f"el sitio equivocado y los ceros de abajo no prueban ninguna ausencia")
144        return
145    bien(f"control: {VERBOS_CONTROL} SÍ está en el host pineado ({commit[:9]}) ⇒ el grep mide")
146
147    for v in verbos:
148        if atiende(commit, v):
149            bien(f"el host pineado atiende {v}")
150        else:
151            mal(f"el host pineado ({commit[:9]}) NO atiende {v}: la extensión lo manda y recibe "
152                f"«verbo desconocido», que fondo.js lee como «no hay bóveda» y se calla")
153
154fallas = []
155
156
157def mal(msg):
158    fallas.append(msg)
159    print(f"  ✗ {msg}")
160
161
162def bien(msg):
163    print(f"  ✓ {msg}")
164
165
166def leer(p):
167    with open(os.path.join(ATUQ, p), encoding="utf-8") as f:
168        return f.read()
169
170
171def revisar(permisos_host, verbo_extra=None):
172    # 1. La extensión existe y declara el id que todos los demás nombran.
173    try:
174        m = json.loads(leer("extensions/boveda/manifest.json"))
175    except FileNotFoundError:
176        mal("no existe extensions/boveda/manifest.json")
177        return
178    declarado = m.get("browser_specific_settings", {}).get("gecko", {}).get("id")
179    if declarado != ID:
180        mal(f"el manifest declara {declarado!r} y el resto nombra {ID!r}")
181    else:
182        bien(f"la extensión declara {ID}")
183
184    # 2. Los permisos que necesita para poder hacer su trabajo.
185    for p in ("nativeMessaging", "tabs"):
186        if p not in m.get("permissions", []):
187            mal(f"le falta el permiso {p!r}: sin eso no puede {'hablarle al host' if p == 'nativeMessaging' else 'saber qué página mira el usuario'}")
188    if not m.get("content_scripts"):
189        mal("sin content script no puede rellenar ningún campo")
190    if "background" not in m:
191        mal("sin fondo no hay quién hable con el host")
192
193    # 3. Los archivos que el manifest promete.
194    for rel in [m.get("background", {}).get("scripts", []), *[c.get("js", []) for c in m.get("content_scripts", [])]]:
195        for f in rel:
196            if not os.path.exists(os.path.join(ATUQ, "extensions/boveda", f)):
197                mal(f"el manifest nombra {f} y el archivo no está")
198
199    # 4. La política que la instala.
200    pol = json.loads(leer("distribution/policies.json"))
201    ext = pol.get("policies", {}).get("ExtensionSettings", {})
202    if ID not in ext:
203        mal("no está en ExtensionSettings: el navegador no la va a instalar")
204    elif ext[ID].get("installation_mode") != "normal_installed":
205        mal(f"se instala en modo {ext[ID].get('installation_mode')!r}, que no la deja activada")
206    else:
207        bien("la política la instala")
208
209    # 5. El permiso para hablarle al host. Éste es el que falla en SILENCIO.
210    if ID not in permisos_host:
211        mal("no está en allowed_extensions del host: se instala y no se conecta a nada")
212    else:
213        bien("el host la deja hablar")
214
215    # 6. Las preferencias de D7, y que sean `defaultPref` y no `lockPref`.
216    cfg = leer("atuq.cfg")
217    for p in PREFS:
218        if not re.search(rf'defaultPref\("{re.escape(p)}"', cfg):
219            mal(f"falta defaultPref({p!r}): el gestor de Gecko va a pelear por el mismo campo")
220        if re.search(rf'lockPref\("{re.escape(p)}"', cfg):
221            mal(f"{p} está como lockPref: eso decide POR el usuario, y atuq no hace eso")
222    if not fallas:
223        bien("las preferencias están, y como valores de arranque y no como cárcel")
224
225    # 7. Y lo que la extensión NO tiene que hacer: decidir ella qué credencial va.
226    fondo = leer("extensions/boveda/fondo.js")
227    if "sender.tab.url" not in fondo:
228        mal("el fondo no toma la dirección del chrome: una página podría decir que es el banco")
229    else:
230        bien("la dirección la pone el navegador, no la página")
231
232    # 8. Y el quinto lugar, que vive en otra receta y en otro repo.
233    revisar_el_host(verbo_extra)
234
235
236def main():
237    control = "--negative-control" in sys.argv
238    control_verbo = "--negative-control-verbo" in sys.argv
239    host = json.loads(leer("native-messaging/puriy_costura.json"))
240    permisos = list(host.get("allowed_extensions", []))
241    verbo_extra = None
242    if control:
243        print("⚠ control negativo: se le saca el permiso del host")
244        permisos = [x for x in permisos if x != ID]
245    if control_verbo:
246        # Un verbo que ningún commit puede atender: si el quinto chequeo no lo ve faltar, no está
247        # mirando el host sino contestando que sí.
248        verbo_extra = "vault.este_verbo_no_existe"
249        print(f"⚠ control negativo: se le agrega el verbo inventado {verbo_extra}")
250
251    print(f"── la bóveda en atuq ──")
252    revisar(permisos, verbo_extra)
253
254    if control:
255        if any("allowed_extensions" in f for f in fallas):
256            print("\n✓ el control negativo lo detectó")
257            return 0
258        print("\n✗ el control negativo NO lo detectó: este guardián no mide nada")
259        return 1
260    if control_verbo:
261        if any(verbo_extra in f for f in fallas):
262            print("\n✓ el control negativo del verbo lo detectó")
263            return 0
264        print("\n✗ el control del verbo NO lo detectó: el quinto chequeo no mide nada")
265        return 1
266    if fallas:
267        print(f"\n✗ {len(fallas)} problema(s)")
268        return 1
269    print("\n✓ la bóveda está enchufada entera")
270    return 0
271
272
273if __name__ == "__main__":
274    raise SystemExit(main())