Delete useless escapes

Provide `challenge` and `exp` in return object

Being able to get these components easily without parsing `url` sets up the workflow to later expand so users can bring their own bridge.

Cast `parseEnv` result to `Record<string, string>`

Casting is required instead of a simple annotation because the default return value `NodeJS.Dict<string>` sets the value to `string | undefined`. The `undefined` scenario is impossible with `parseEnv`'s current implementation, so to handle the the `undefined` case results in an untestable code branch.

Refactor mock .env values to constants

Add `injectInProcess` unit tests

Add logger test variants

Separate e2e suite

e2e is not accurate for the encrypt and decrypt unit tests, and helps deduplicate redundant tests.

Add tests for nonstandard encrypt or decrypt behavior

Calculate client-side window expiration from `exp` query param

This change makes the client-side expiration in sync with the server-side expiration. Previously, if the client-side window is opened later than the server's start time, the expirations would be de-synced. It is also a maintenance burden to keep the duration constants in sync between the two.

Add tests to cover window expiration scenario

Cut v0.1.4

Add test for decrypt passthrough to exec

Directly importing the method prevents mocking. It is required to import the default module object to mock the method.

Apply type narrowing to `decrypt`

Same logic applies, just forgot to do this in 8374efadfc751aa2a5db43cff96109ffb230690b

Manually narrow the return type of `parseEnv`

`Record<string, string>` clarifies that `value` can never be `undefined`, whereas `NodeJS.Dict<string>` allows `undefined`. This change allows the deletion of an unreachable and untestable code branch without raising type errors. The new return type matches the actual type used in the Node.js codebase [0].

[0] https://github.com/nodejs/node/blob/fbab4586118ccd225d06706fe6502e063354b765/lib/util.js#L485-L493

Wrap HTML loading logic for mocking purposes and add tests for it

Upgrade dependencies

Add test for alternate logger

Test count of first pass encrypt/decrypt

Refuse streaming/chunked requests

There is no practical reason the client must stream 32 bytes (should be able to send it in one chunk). This change reduces the attack surface and closes a potential DoS vector.

Use more idiomatic types

Set `Content-Length` header on all responses

This value is easy to determine, so might as well make the response more useful and deterministic. Setting this header also lets the server drop the default `Transfer-Encoding: chunked` response header which could also be a miniscule performance improvement on clients.

Explicitly reject methods that are not GET or POST

Add tests for empty env file

Asset all logger methods

Add debug level logs

Update to match `Logger` interface

To better interoperate with third-party loggers, `console.log` should be replaced with `console.info` and `console.debug` added.

Do not emit end user-facing logs

Logs intended to improve the final UX should be a separate concern handled by the CLI or the library consumer. Library logs should only be related to debugging the library itself. This separation allows the code closest to the user to provide more tailored instructions (e.g., i18n) to the user.

Replace `silent` with `logger` option

Allowing the user to pass their own logger is far superior to hardcoding `console`, and libraries should default to silent anyway.

Show concrete examples of library usage

Rename "In-process" to "Global"

Cut v0.1.3

Set `types` key for TS badge on npm registry

Although this key is redundant with `exports`, it is still required to have the "TS" badge on the npm registry.

Upgrade dependencies

Simplify `broadcastPromise` declaration

Reset `prf` on incomplete request

Clear `prf` on invalid chunk

Seems safer to just wipe it in case there is a scenario where a partial `prf` is sent.

Move prf zeroing logic inside `finally`

This approach is more semantically aligned with what is meant to happen (wipe `prf` after it is broadcast, regardless of success or fail), and potentially better scheduling (previous approach allowed theoretical promises in the microtask queue injected after the `fetch` but before yielding to main thread?).

Upgrade commander.js

Use staged publishing

Reference: https://docs.npmjs.com/staged-publishing/

Disable `package-manager-cache`

From `setup-node`'s `README`: "For workflows with elevated privileges or access to sensitive information, we recommend disabling automatic caching ... when caching is not required for secure operation."

Fix type missed in fbd137cf836e51a395c352a2992aea73bd1d101f

Narrow `ArrayBufferView` to `Uint8Array`

`ArrayBufferView` includes `DataView` which causes a type error when passed to the Web Crypto API. Although any typed array would work here, it is most common to use `Uint8Array` for this kind of data, so it should not cause any problems narrowing the required type.

Harden server config to mitigate request exhaustion

Cut v0.1.2

Fix type errors

Upgrade dependencies

Use standard ES types

`BufferSource` is from web IDL (`lib.dom.d.ts`), which is not always imported. `ArrayBuffer` and `ArrayBufferView` are from the ES spec (`lib.es*.d.ts`) so they should always be available.

Pass PRF as raw bytes instead of string

Avoiding string serialization is more performant and simpler, and more importantly reduces the places where this sensitive value is written to memory. By keeping the value in buffer we can immediately zero it out manually instead of waiting for garbage collection.

The value is still "leaked" via DevTools inspection and other points in the network stack, but that is out of the control of JS.

Use custom `Envpass-Challenge` header

Separating `challenge` from `prf` allows more flexibility to change the format that `prf` is bridged (e.g., to `application/octet-stream`) and it is more consistent with how similar material is usually passed in other APIs.

Delete extra space

Refactor to isolate `filterNullValues` logic

This change allows a more precise type annotation to assert that there is no null value in the resulting object.

Verify fetch metadata request headers on POST ("resource isolation policy")

This is more hardening against cross-origin attacks.

Refactor to separate each validation test

Set client-side security headers

The CSP `img-src 'none';` will block the empty data URL used for the favicon, so just remove it. The original purpose of the empty data URL was to prevent `favicon.ico` requests, but that is also accomplished by this CSP.

Verify `Content-Type` header on POST

Setting this header to `application/json` forces the request to be CORS preflighted (i.e. not a "simple request"). This is further security hardening against cross-origin requests from a web browser.

Verify `Origin` header on POST

This is security hardening against cross-origin requests. Although the server already does not send CORS headers (so web browsers should already block a cross-origin POST), there should still be a server-side `Origin` check as defense-in-depth.

Only get passkey if actually required

Getting passkey is not required when `encrypt` is run on a file where all variables are already encrypted, or `decrypt` is run on a file where all variables are already decrypted.

Previously, the passkey flow would always initiate. Now, it will only initiate the first time it is required.

This change improves the UX in situations where `encrypt` or `decrypt` are called on a continuous basis. For example, when calling `envpass encrypt` in a `prestart` npm script hook.

Remove block margin on `<body>`

Otherwise there will be an unnecessary vertical scrollbar on the page.

Allow passing options to Playwright

Makes it easier to debug Playwright tests.

Cut v0.1.1

Fix auto-corrected error

Used `npm pkg fix` to correct.

Initial commit