Wrap HTML loading logic for mocking purposes and add tests for it

Upgrade dependencies

Add test for alternate logger

Test count of first pass encrypt/decrypt

Refuse streaming/chunked requests

There is no practical reason the client must stream 32 bytes (should be able to send it in one chunk). This change reduces the attack surface and closes a potential DoS vector.

Use more idiomatic types

Set `Content-Length` header on all responses

This value is easy to determine, so might as well make the response more useful and deterministic. Setting this header also lets the server drop the default `Transfer-Encoding: chunked` response header which could also be a miniscule performance improvement on clients.

Explicitly reject methods that are not GET or POST

Add tests for empty env file

Asset all logger methods

Add debug level logs

Update to match `Logger` interface

To better interoperate with third-party loggers, `console.log` should be replaced with `console.info` and `console.debug` added.

Do not emit end user-facing logs

Logs intended to improve the final UX should be a separate concern handled by the CLI or the library consumer. Library logs should only be related to debugging the library itself. This separation allows the code closest to the user to provide more tailored instructions (e.g., i18n) to the user.

Replace `silent` with `logger` option

Allowing the user to pass their own logger is far superior to hardcoding `console`, and libraries should default to silent anyway.

Show concrete examples of library usage

Rename "In-process" to "Global"

Cut v0.1.3

Set `types` key for TS badge on npm registry

Although this key is redundant with `exports`, it is still required to have the "TS" badge on the npm registry.

Upgrade dependencies

Simplify `broadcastPromise` declaration

Reset `prf` on incomplete request

Clear `prf` on invalid chunk

Seems safer to just wipe it in case there is a scenario where a partial `prf` is sent.

Move prf zeroing logic inside `finally`

This approach is more semantically aligned with what is meant to happen (wipe `prf` after it is broadcast, regardless of success or fail), and potentially better scheduling (previous approach allowed theoretical promises in the microtask queue injected after the `fetch` but before yielding to main thread?).

Upgrade commander.js

Use staged publishing

Reference: https://docs.npmjs.com/staged-publishing/

Disable `package-manager-cache`

From `setup-node`'s `README`: "For workflows with elevated privileges or access to sensitive information, we recommend disabling automatic caching ... when caching is not required for secure operation."

Fix type missed in fbd137cf836e51a395c352a2992aea73bd1d101f

Narrow `ArrayBufferView` to `Uint8Array`

`ArrayBufferView` includes `DataView` which causes a type error when passed to the Web Crypto API. Although any typed array would work here, it is most common to use `Uint8Array` for this kind of data, so it should not cause any problems narrowing the required type.

Harden server config to mitigate request exhaustion

Cut v0.1.2

Fix type errors

Upgrade dependencies

Use standard ES types

`BufferSource` is from web IDL (`lib.dom.d.ts`), which is not always imported. `ArrayBuffer` and `ArrayBufferView` are from the ES spec (`lib.es*.d.ts`) so they should always be available.

Pass PRF as raw bytes instead of string

Avoiding string serialization is more performant and simpler, and more importantly reduces the places where this sensitive value is written to memory. By keeping the value in buffer we can immediately zero it out manually instead of waiting for garbage collection.

The value is still "leaked" via DevTools inspection and other points in the network stack, but that is out of the control of JS.

Use custom `Envpass-Challenge` header

Separating `challenge` from `prf` allows more flexibility to change the format that `prf` is bridged (e.g., to `application/octet-stream`) and it is more consistent with how similar material is usually passed in other APIs.

Delete extra space

Refactor to isolate `filterNullValues` logic

This change allows a more precise type annotation to assert that there is no null value in the resulting object.

Verify fetch metadata request headers on POST ("resource isolation policy")

This is more hardening against cross-origin attacks.

Refactor to separate each validation test

Set client-side security headers

The CSP `img-src 'none';` will block the empty data URL used for the favicon, so just remove it. The original purpose of the empty data URL was to prevent `favicon.ico` requests, but that is also accomplished by this CSP.

Verify `Content-Type` header on POST

Setting this header to `application/json` forces the request to be CORS preflighted (i.e. not a "simple request"). This is further security hardening against cross-origin requests from a web browser.

Verify `Origin` header on POST

This is security hardening against cross-origin requests. Although the server already does not send CORS headers (so web browsers should already block a cross-origin POST), there should still be a server-side `Origin` check as defense-in-depth.

Only get passkey if actually required

Getting passkey is not required when `encrypt` is run on a file where all variables are already encrypted, or `decrypt` is run on a file where all variables are already decrypted.

Previously, the passkey flow would always initiate. Now, it will only initiate the first time it is required.

This change improves the UX in situations where `encrypt` or `decrypt` are called on a continuous basis. For example, when calling `envpass encrypt` in a `prestart` npm script hook.

Remove block margin on `<body>`

Otherwise there will be an unnecessary vertical scrollbar on the page.

Allow passing options to Playwright

Makes it easier to debug Playwright tests.

Cut v0.1.1

Fix auto-corrected error

Used `npm pkg fix` to correct.

Initial commit