Qualité et sécurité

<Project Sdk="Microsoft.NET.Sdk">

  <PropertyGroup>
    <TargetFramework>net10.0</TargetFramework>
    <Nullable>enable</Nullable>
    <ImplicitUsings>enable</ImplicitUsings>

    <!-- Les regles de .NET 10, en mode Recommended ; forme composee : 10.0-recommended -->
    <AnalysisLevel>10.0</AnalysisLevel>
    <AnalysisMode>Recommended</AnalysisMode>
    <!-- Les regles de style IDExxxx s'executent aussi au build -->
    <EnforceCodeStyleInBuild>true</EnforceCodeStyleInBuild>
    <TreatWarningsAsErrors>true</TreatWarningsAsErrors>

    <!-- Exige par IDE0005 au build ; CS1591 : pas de commentaire XML impose -->
    <GenerateDocumentationFile>true</GenerateDocumentationFile>
    <NoWarn>$(NoWarn);CS1591</NoWarn>
  </PropertyGroup>

</Project>

using System.Text;

namespace Boutique
{
    public class Facture
    {
        public decimal Total { get; set; }

        public string Libelle(int numero) => string.Format("Facture {0} : {1:C}", numero, Total);

        public bool EstVide(List<string> lignes) => lignes.Count() == 0;

        public void Valider()
        {
            try
            {
                if (Total < 0) throw new InvalidOperationException("Total negatif");
            }
            catch (InvalidOperationException ex)
            {
                throw ex;
            }
        }
    }
}

$ dotnet build
Restauration terminée (0,5s)
  Boutique net10.0 a échoué avec 5 erreur(s) (0,4s)
    C:\src\Boutique\Facture.cs(3,1): error IDE0161: Convertir en namespace inclus dans l'étendue de fichier (https://learn.microsoft.com/dotnet/fundamentals/code-analysis/style-rules/ide0161)
    C:\src\Boutique\Facture.cs(9,46): error CA1305: Le comportement de 'string.Format(string, object, object)' peut varier en fonction des paramètres régionaux de l'utilisateur actuel. Remplacez cet appel dans 'Facture.Libelle(int)' par un appel à 'string.Format(IFormatProvider, string, params object[])'. (https://learn.microsoft.com/dotnet/fundamentals/code-analysis/quality-rules/ca1305)
    C:\src\Boutique\Facture.cs(21,17): error CA2200: Quand une exception interceptée est levée à nouveau, cela entraîne un changement des informations de la pile (https://learn.microsoft.com/dotnet/fundamentals/code-analysis/quality-rules/ca2200)
    C:\src\Boutique\Facture.cs(1,1): error IDE0005: La directive using n'est pas nécessaire. (https://learn.microsoft.com/dotnet/fundamentals/code-analysis/style-rules/ide0005)
    C:\src\Boutique\Facture.cs(11,53): error CA1829: Utilisez la propriété "Count" à la place de Enumerable.Count() (https://learn.microsoft.com/dotnet/fundamentals/code-analysis/quality-rules/ca1829)

Générer a échoué avec 5 erreur(s) dans 1,5s

root = true

[*.cs]
# Style : en suggestion, l'IDE le propose ; en warning, le build le signale.
csharp_style_namespace_declarations = file_scoped
dotnet_diagnostic.IDE0161.severity = warning
dotnet_diagnostic.IDE0005.severity = warning

# Qualite : on garde l'avis de l'analyseur, sans bloquer.
dotnet_diagnostic.CA1822.severity = suggestion

# Securite : jamais de compromis.
dotnet_diagnostic.CA2100.severity = error

{
  "compilerOptions": {
    "strict": true
  },
  "angularCompilerOptions": {
    "strictTemplates": true,
    "extendedDiagnostics": {
      "defaultCategory": "error",
      "checks": {
        "nullishCoalescingNotNullable": "warning"
      }
    }
  }
}

import { ChangeDetectionStrategy, Component, input, signal } from '@angular/core';

@Component({
  selector: 'app-ligne',
  changeDetection: ChangeDetectionStrategy.OnPush,
  template: `<span>{{ quantite() }}</span>`,
})
export class Ligne {
  readonly quantite = input.required<number>();
}

@Component({
  selector: 'app-panier',
  imports: [Ligne],
  changeDetection: ChangeDetectionStrategy.OnPush,
  template: `
    <p>{{ total }} euros</p>
    <p>{{ client.nom ?? 'anonyme' }}</p>
    <app-ligne [quantite]="'3'" />
    <button (click)="valider">Valider</button>
  `,
})
export class Panier {
  protected readonly total = signal(42);
  protected readonly client = { nom: 'Ada' };
  protected valider(): void {}
}

$ ng build
Application bundle generation failed. [5.808 seconds] - 2026-09-26T09:02:06.990Z

▲ [WARNING] NG8102: NG8102: The left side of this nullish coalescing operation does not include 'null' or 'undefined' in its type, therefore the '??' operator can be safely removed. Find more at https://v22.angular.dev/extended-diagnostics/NG8102 [plugin angular-compiler]

    src/app/panier.ts:18:10:
      18 │     <p>{{ client.nom ?? 'anonyme' }}</p>
         ╵           ~~~~~~~~~~~~~~~~~~~~~~~


X [ERROR] NG8109: NG8109: total is a function and should be invoked: total()}. Find more at https://v22.angular.dev/extended-diagnostics/NG8109 [plugin angular-compiler]

    src/app/panier.ts:17:10:
      17 │     <p>{{ total }} euros</p>
         ╵           ~~~~~


X [ERROR] NG8117: NG8117: Function in text interpolation should be invoked: total(). Find more at https://v22.angular.dev/extended-diagnostics/NG8117 [plugin angular-compiler]

    src/app/panier.ts:17:10:
      17 │     <p>{{ total }} euros</p>
         ╵           ~~~~~


X [ERROR] TS2322: Type 'string' is not assignable to type 'number'. [plugin angular-compiler]

    src/app/panier.ts:19:16:
      19 │     <app-ligne [quantite]="'3'" />
         ╵                 ~~~~~~~~


X [ERROR] NG8111: NG8111: Function in event binding should be invoked: valider(). Find more at https://v22.angular.dev/extended-diagnostics/NG8111 [plugin angular-compiler]

    src/app/panier.ts:20:12:
      20 │     <button (click)="valider">Valider</button>
         ╵             ~~~~~~~~~~~~~~~~~

namespace Boutique;

public static class Remise
{
    // 10 % des 100 euros, 5 % de plus pour un client fidele.
    public static decimal Appliquer(decimal montant, bool clientFidele)
    {
        ArgumentOutOfRangeException.ThrowIfNegative(montant);
        var taux = montant >= 100m ? 0.10m : 0m;
        if (clientFidele) taux += 0.05m;
        return montant * (1 - taux);
    }
}

<Project Sdk="Microsoft.NET.Sdk">

  <PropertyGroup>
    <TargetFramework>net10.0</TargetFramework>
    <ImplicitUsings>enable</ImplicitUsings>
    <Nullable>enable</Nullable>
    <IsPackable>false</IsPackable>
  </PropertyGroup>

  <ItemGroup>
    <!-- Le modele dotnet new xunit du SDK 10.0.300 ecrit 6.0.4, 17.14.1 et 3.1.4 -->
    <PackageReference Include="coverlet.collector" Version="10.0.1" />
    <PackageReference Include="Microsoft.NET.Test.Sdk" Version="18.8.1" /> <!-- apporte Microsoft.CodeCoverage 18.8.1 -->
    <PackageReference Include="xunit" Version="2.9.3" />
    <PackageReference Include="xunit.runner.visualstudio" Version="3.1.5" />
  </ItemGroup>

  <ItemGroup>
    <Using Include="Xunit" />
  </ItemGroup>

  <ItemGroup>
    <ProjectReference Include="..\Boutique.Domaine\Boutique.Domaine.csproj" />
  </ItemGroup>

</Project>

namespace Boutique.Tests;

public class RemiseTests
{
    [Fact]
    public void Appliquer_fonctionne()
    {
        Remise.Appliquer(150m, clientFidele: true);
        Remise.Appliquer(50m, clientFidele: false);
        try
        {
            Remise.Appliquer(-1m, clientFidele: false);
        }
        catch (ArgumentOutOfRangeException)
        {
        }
    }
}

namespace Boutique.Tests;

public class RemiseTests
{
    [Theory]
    [InlineData(50, false, 50)]
    [InlineData(50, true, 47.5)]
    [InlineData(100, false, 90)]
    [InlineData(150, true, 127.5)]
    public void Appliquer_calcule_le_montant_remise(decimal montant, bool fidele, decimal attendu)
    {
        Assert.Equal(attendu, Remise.Appliquer(montant, fidele));
    }

    [Fact]
    public void Appliquer_refuse_un_montant_negatif()
    {
        Assert.Throws<ArgumentOutOfRangeException>(() => Remise.Appliquer(-1m, clientFidele: false));
    }
}

# Depuis le dossier de Boutique.slnx : sans solution ni projet dans le dossier
# courant, dotnet test s'arrete sur MSB1003.
# 1. Le premier test, sur le code juste
$ dotnet test --collect:"XPlat Code Coverage"
Restauration terminée (3,7s)
  Boutique.Domaine net10.0 a réussi (0,5s) → Boutique.Domaine\bin\Debug\net10.0\Boutique.Domaine.dll
  Boutique.Tests net10.0 a réussi (0,9s) → Boutique.Tests\bin\Debug\net10.0\Boutique.Tests.dll
[xUnit.net 00:00:00.00] xUnit.net VSTest Adapter v3.1.5+1b188a7b0a (64-bit .NET 10.0.8)
[xUnit.net 00:00:00.14]   Discovering: Boutique.Tests
[xUnit.net 00:00:00.19]   Discovered:  Boutique.Tests
[xUnit.net 00:00:00.23]   Starting:    Boutique.Tests
[xUnit.net 00:00:00.31]   Finished:    Boutique.Tests
  Test de Boutique.Tests net10.0 : a réussi (3,1 s)

Récapitulatif du test : total : 1; échec : 0; réussi : 1; ignoré : 0; durée : 3,1s
Générer a réussi dans 8,6s

Pièces jointes :
  C:\src\Couverture\Boutique.Tests\TestResults\548ca8a6-81a6-47e1-8d65-7d9ffbedc8ca\coverage.cobertura.xml

$ head -2 Boutique.Tests/TestResults/548ca8a6-81a6-47e1-8d65-7d9ffbedc8ca/coverage.cobertura.xml
<?xml version="1.0" encoding="utf-8"?>
<coverage line-rate="1" branch-rate="1" version="1.9" timestamp="1790413042" lines-covered="6" lines-valid="6" branches-covered="4" branches-valid="4">

# 2. Remise.cs faussee (taux += 0.50m), premier test : extrait
Récapitulatif du test : total : 1; échec : 0; réussi : 1; ignoré : 0; durée : 3,0s
<coverage line-rate="1" branch-rate="1" version="1.9" timestamp="1790413051" lines-covered="6" lines-valid="6" branches-covered="4" branches-valid="4">

# 3. Meme erreur, second test : extrait, piles d'appels retirees
[xUnit.net 00:00:00.34]     Boutique.Tests.RemiseTests.Appliquer_calcule_le_montant_remise(montant: 150, fidele: True, attendu: 127,5) [FAIL]
[xUnit.net 00:00:00.34]       Assert.Equal() Failure: Values differ
[xUnit.net 00:00:00.34]       Expected: 127,5
[xUnit.net 00:00:00.34]       Actual:   60,00
[xUnit.net 00:00:00.35]     Boutique.Tests.RemiseTests.Appliquer_calcule_le_montant_remise(montant: 50, fidele: True, attendu: 47,5) [FAIL]
[xUnit.net 00:00:00.35]       Assert.Equal() Failure: Values differ
[xUnit.net 00:00:00.35]       Expected: 47,5
[xUnit.net 00:00:00.35]       Actual:   25,00
Récapitulatif du test : total : 5; échec : 2; réussi : 3; ignoré : 0; durée : 2,6s
<coverage line-rate="1" branch-rate="1" version="1.9" timestamp="1790413062" lines-covered="6" lines-valid="6" branches-covered="4" branches-valid="4">

{
  "builder": "@angular/build:unit-test",
  "options": {
    "coverage": true,
    "coverageReporters": ["text-summary", "cobertura"],
    "coverageThresholds": { "lines": 80, "branches": 80 }
  }
}

# Agent de build ; SONAR_TOKEN est une variable secrete du pipeline.
dotnet tool install --global dotnet-sonarscanner --version 11.3.0

dotnet sonarscanner begin /k:"boutique-api" \
  /d:sonar.host.url="https://sonar.exemple.interne" \
  /d:sonar.token="$SONAR_TOKEN" \
  /d:sonar.cs.cobertura.reportsPaths="**/TestResults/*/coverage.cobertura.xml" \
  /d:sonar.qualitygate.wait=true

dotnet build Boutique.slnx --no-incremental --disable-build-servers
dotnet test Boutique.slnx --no-build --collect:"XPlat Code Coverage"

dotnet sonarscanner end /d:sonar.token="$SONAR_TOKEN"

using Microsoft.EntityFrameworkCore; // Microsoft.EntityFrameworkCore.Sqlite 10.0.12

using var db = new BoutiqueDb();
db.Database.OpenConnection(); // SQLite en memoire : la base vit tant que la connexion est ouverte
db.Database.EnsureCreated();
db.Clients.AddRange(new Client { Nom = "Ada" }, new Client { Nom = "Grace" });
db.SaveChanges();

var saisie = "x' OR '1'='1"; // ce qu'un attaquant tape dans le champ de recherche
Console.WriteLine($"{Recherche.Clients(db, saisie).Count} client(s)");

static class Recherche
{
    // warning EF1002: Method 'FromSqlRaw' inserts interpolated strings directly into the SQL,
    // without any protection against SQL injection. [...]
    public static List<Client> Clients(BoutiqueDb db, string nom) =>
        db.Clients.FromSqlRaw($"SELECT * FROM Clients WHERE Nom = '{nom}'").ToList();
}

sealed class Client
{
    public int Id { get; set; }
    public required string Nom { get; set; }
}

sealed class BoutiqueDb : DbContext
{
    public DbSet<Client> Clients => Set<Client>();

    protected override void OnConfiguring(DbContextOptionsBuilder options) =>
        options.UseSqlite("Data Source=:memory:");
}

// 2 client(s)

using Microsoft.EntityFrameworkCore;

// Client, BoutiqueDb et le programme principal : ceux de l'exemple precedent.
static class Recherche
{
    public static List<Client> Clients(BoutiqueDb db, string nom) =>
        db.Clients.FromSql($"SELECT * FROM Clients WHERE Nom = {nom}").ToList();
}

// 0 client(s)

import { ChangeDetectionStrategy, Component, inject } from '@angular/core';
import { DomSanitizer } from '@angular/platform-browser';

// Un avis de client, tel qu'il revient de l'API.
const AVIS = '<b>Super</b><img src="x" onerror="alert(document.cookie)">';

@Component({
  selector: 'app-avis',
  changeDetection: ChangeDetectionStrategy.OnPush,
  template: `<p [innerHTML]="avis"></p>`,
})
export class Avis {
  private readonly assainisseur = inject(DomSanitizer);
  protected readonly avis = this.assainisseur.bypassSecurityTrustHtml(AVIS);
}

// Rendu : <p><b>Super</b><img src="x" onerror="alert(document.cookie)"></p>

import { ChangeDetectionStrategy, Component } from '@angular/core';

const AVIS = '<b>Super</b><img src="x" onerror="alert(document.cookie)">';

@Component({
  selector: 'app-avis',
  changeDetection: ChangeDetectionStrategy.OnPush,
  template: `<p>{{ avis }}</p><p [innerHTML]="avis"></p>`,
})
export class Avis {
  protected readonly avis = AVIS;
}

// Rendu : <p>&lt;b&gt;Super&lt;/b&gt;&lt;img src="x" onerror="alert(document.cookie)"&gt;</p>
//         <p><b>Super</b><img src="x"></p>
// Console, en developpement : WARNING: sanitizing HTML stripped some content, see https://angular.dev/best-practices/security#preventing-cross-site-scripting-xss

<Project>
  <!-- Directory.Build.props, a la racine du depot : s'applique a tous les projets -->
  <PropertyGroup>
    <NuGetAuditMode>all</NuGetAuditMode>        <!-- le defaut des projets net10.0 -->
    <NuGetAuditLevel>moderate</NuGetAuditLevel> <!-- les avis low ne sont plus rapportes -->
    <!-- Avec TreatWarningsAsErrors : moderate reste un avertissement,
         high et critical font echouer la restauration -->
    <TreatWarningsAsErrors>true</TreatWarningsAsErrors>
    <WarningsNotAsErrors>$(WarningsNotAsErrors);NU1902</WarningsNotAsErrors>
  </PropertyGroup>

  <ItemGroup>
    <!-- Un avis lu et juge sans objet ici ; l'URL vient de l'avertissement NU190x.
         Celle-ci est l'exemple de la documentation NuGet (NuGet.Protocol 5.11.2). -->
    <NuGetAuditSuppress Include="https://github.com/advisories/GHSA-g3q9-xf95-8hp5" />
  </ItemGroup>
</Project>

# .NET : la restauration audite deja ; ces commandes interrogent aussi la source.
dotnet package list --vulnerable --include-transitive   # avant .NET 10 : dotnet list package
dotnet package update --vulnerable                      # monte les paquets vulnerables

# npm : lit package-lock.json et soumet l'arbre au registre.
npm audit --audit-level=high   # echec a partir de high ; le rapport, lui, reste complet
npm audit --omit=dev           # seulement ce qui part en production
npm audit fix                  # mises a jour compatibles semver ; --force accepte les majeures
npm audit signatures           # signatures du registre et provenance des paquets installes