Cut v0.1.3

Set `types` key for TS badge on npm registry

Although this key is redundant with `exports`, it is still required to have the "TS" badge on the npm registry.

Upgrade dependencies

Simplify `broadcastPromise` declaration

Reset `prf` on incomplete request

Clear `prf` on invalid chunk

Seems safer to just wipe it in case there is a scenario where a partial `prf` is sent.

Move prf zeroing logic inside `finally`

This approach is more semantically aligned with what is meant to happen (wipe `prf` after it is broadcast, regardless of success or fail), and potentially better scheduling (previous approach allowed theoretical promises in the microtask queue injected after the `fetch` but before yielding to main thread?).

Upgrade commander.js

Use staged publishing

Reference: https://docs.npmjs.com/staged-publishing/

Disable `package-manager-cache`

From `setup-node`'s `README`: "For workflows with elevated privileges or access to sensitive information, we recommend disabling automatic caching ... when caching is not required for secure operation."

Fix type missed in fbd137cf836e51a395c352a2992aea73bd1d101f

Narrow `ArrayBufferView` to `Uint8Array`

`ArrayBufferView` includes `DataView` which causes a type error when passed to the Web Crypto API. Although any typed array would work here, it is most common to use `Uint8Array` for this kind of data, so it should not cause any problems narrowing the required type.

Harden server config to mitigate request exhaustion

Cut v0.1.2

Fix type errors

Upgrade dependencies

Use standard ES types

`BufferSource` is from web IDL (`lib.dom.d.ts`), which is not always imported. `ArrayBuffer` and `ArrayBufferView` are from the ES spec (`lib.es*.d.ts`) so they should always be available.

Pass PRF as raw bytes instead of string

Avoiding string serialization is more performant and simpler, and more importantly reduces the places where this sensitive value is written to memory. By keeping the value in buffer we can immediately zero it out manually instead of waiting for garbage collection.

The value is still "leaked" via DevTools inspection and other points in the network stack, but that is out of the control of JS.

Use custom `Envpass-Challenge` header

Separating `challenge` from `prf` allows more flexibility to change the format that `prf` is bridged (e.g., to `application/octet-stream`) and it is more consistent with how similar material is usually passed in other APIs.

Delete extra space

Refactor to isolate `filterNullValues` logic

This change allows a more precise type annotation to assert that there is no null value in the resulting object.

Verify fetch metadata request headers on POST ("resource isolation policy")

This is more hardening against cross-origin attacks.

Refactor to separate each validation test

Set client-side security headers

The CSP `img-src 'none';` will block the empty data URL used for the favicon, so just remove it. The original purpose of the empty data URL was to prevent `favicon.ico` requests, but that is also accomplished by this CSP.

Verify `Content-Type` header on POST

Setting this header to `application/json` forces the request to be CORS preflighted (i.e. not a "simple request"). This is further security hardening against cross-origin requests from a web browser.

Verify `Origin` header on POST

This is security hardening against cross-origin requests. Although the server already does not send CORS headers (so web browsers should already block a cross-origin POST), there should still be a server-side `Origin` check as defense-in-depth.

Only get passkey if actually required

Getting passkey is not required when `encrypt` is run on a file where all variables are already encrypted, or `decrypt` is run on a file where all variables are already decrypted.

Previously, the passkey flow would always initiate. Now, it will only initiate the first time it is required.

This change improves the UX in situations where `encrypt` or `decrypt` are called on a continuous basis. For example, when calling `envpass encrypt` in a `prestart` npm script hook.

Remove block margin on `<body>`

Otherwise there will be an unnecessary vertical scrollbar on the page.

Allow passing options to Playwright

Makes it easier to debug Playwright tests.

Cut v0.1.1

Fix auto-corrected error

Used `npm pkg fix` to correct.

Initial commit