registry / fractalia-faro / 0.6.0

fractalia-faro@0.6.0

Wizard FARO: crea un repo de trabajo (servicio/funcionalidad de plataforma, proyecto o iniciativa) desde el template oficial, con nomenclatura, ramas main+develop y clon local listo.

Static Scan Results

scanned 20h ago · by rust-scanner

Static analysis completed at 65.0% confidence. No malicious behavior was detected; 11 low-signal pattern(s) were surfaced and cleared.

Static reason

No blocking static signals were detected.

Decision evidence

public snapshot

Behavioral surface

Source

ChildProcessEnvironmentVarsFilesystemNetworkShell

Supply chain

HighEntropyStringsObfuscatedUrlStrings

Manifest

NoLicense

scanned 1 file(s), 38.9 KB of source, external domains: api.github.com, github.com

Source & flagged code

2 flagged

bin/crear.mjsView file

Lines 1-38javascript

1#!/usr/bin/env node

2// fractalia-faro — Wizard INICIAL de creación de repos (PRE-harness).

3// Pieza independiente: el harness vive DENTRO de cada repo ya creado; este CLI es quien lo crea.

4//

5// MODELO (validado 2026-07-08):

6// - Nombre AGNÓSTICO y estable: faro-<slug> (nada de plataforma/gobernanza en el nombre).

7// - Clasificación en GitHub TOPICS + metadato in-repo:

8// faro · plat-core|plat-orbital · gob-servicio|funcionalidad|proyecto|iniciativa · sys-<slug>

9// - Evolución (iniciativa→proyecto→servicio) = cambiar el topic, SIN renombrar.

10// - El wizard estampa los topics vía API al crear.

11// Sin dependencias. Node >= 18 (usa fetch nativo).

12'use strict';

14import fs from 'node:fs';

15import os from 'node:os';

16import path from 'node:path';

17import readline from 'node:readline/promises';

18import { emitKeypressEvents } from 'node:readline'; // el clásico: promises/ NO trae emitKeypressEvents

19import { execFileSync } from 'node:child_process';

High

Child Process

Package source references child process execution.

bin/crear.mjsView on unpkg · L18

21// ---------- Plataformas (EXTENSIBLE; el catalog.json de la org las sobreescribe) ----------

22// Core = plataforma principal (visible a todos). Orbital y futuras = transversales; soloOwner.

23const PLATAFORMAS = [

24 { id: 'core', nombre: 'Core', nota: 'plataforma principal' },

25 { id: 'orbital', nombre: 'Orbital', nota: 'solución transversal', soloOwner: true },

26];

27// Gobernanza: cómo se gobierna el trabajo (va a TOPIC gob-*, no al nombre; puede evolucionar).

28const GOBERNANZAS = {

29 servicio: { etiqueta: 'Servicio', topic: 'gob-servicio', explica: 'Operación CONTINUA, sin fecha de fin. No se cierra: se opera y evoluciona.' },

30 funcionalidad: { etiqueta: 'Funcionalidad', topic: 'gob-funcionalidad', explica: 'Algo acotado que se añade y se integra en algo mayor.' },

31 proyecto: { etiqueta: 'Proyecto', topic: 'gob-proyecto', explica: 'Trabajo con FIN definido: objetivo, entregables y fechas; se cierra al terminar.' },

32 iniciativa: { etiqueta: 'Iniciativa / investigación', topic: 'gob-iniciativa', explica: 'Exploración con alcance AÚN abierto. Si cristaliza, se convierte (cambia el topic, sin renombrar).' },

33};

34// Naturaleza del trabajo -> template a clonar (data-driven; el catalog.json de la org manda).

35// Grupo: 'documental' o 'codigo'. El nivel 2 (qué stack) se auto-salta si el grupo tiene una sola entrada.

36const NATURALEZAS = {

37 documental: {

38 grupo: 'documental',

Lines 298-338javascript

298

299async function deviceFlow(clientId) {

300 const form = (o) => Object.entries(o).map(([k, v]) => `${k}=${encodeURIComponent(v)}`).join('&');

Source & flagged code

2 flagged · loading source

bin/crear.mjsView file

18import { emitKeypressEvents } from 'node:readline'; // el clásico: promises/ NO trae emitKeypressEvents L19: import { execFileSync } from 'node:child_process'; L20:

High

Child Process

Package source references child process execution.

bin/crear.mjsView on unpkg · L18

318await new Promise((r) => setTimeout(r, intervalo)); L319: const t = await post('https://github.com/login/oauth/access_token', { L320: client_id: clientId, device_code: d.device_code, grant_type: 'urn:ietf:params:oauth:grant-type:device_code', ... L329: const candidatos = []; L330: if (process.env.FRACTALIA_GITHUB_TOKEN) candidatos.push(['variable de entorno FRACTALIA_GITHUB_TOKEN', process.env.FRACTALIA_GITHUB_TOKEN]); L331: if (process.env.GITHUB_TOKEN) candidatos.push(['variable de entorno GITHUB_TOKEN', process.env.GITHUB_TOKEN]); ... L333: try { L334: const t = execFileSync('gh', ['auth', 'token'], { encoding: 'utf8', stdio: ['ignore', 'pipe', 'ignore'], timeout: 8000 }).trim(); L335: if (t) candidatos.push(['GitHub CLI (gh auth token)', t]);

High

Same File Env Network Execution

A single source file combines environment access, network access, and code or shell execution; review context before blocking.

bin/crear.mjsView on unpkg · L318

Findings

3 High3 Medium5 Low

HighChild Processbin/crear.mjs

HighShell

HighSame File Env Network Executionbin/crear.mjs

MediumNetwork

MediumEnvironment Vars

MediumStructural Risk Force Deep Review

LowFilesystem

LowObfuscated

LowHigh Entropy Strings

LowUrl Strings

LowNo License

Source & flagged code

2 flagged

bin/crear.mjsView file

Lines 1-38javascript

1#!/usr/bin/env node

2// fractalia-faro — Wizard INICIAL de creación de repos (PRE-harness).

3// Pieza independiente: el harness vive DENTRO de cada repo ya creado; este CLI es quien lo crea.

4//

5// MODELO (validado 2026-07-08):

6// - Nombre AGNÓSTICO y estable: faro-<slug> (nada de plataforma/gobernanza en el nombre).

7// - Clasificación en GitHub TOPICS + metadato in-repo:

8// faro · plat-core|plat-orbital · gob-servicio|funcionalidad|proyecto|iniciativa · sys-<slug>

9// - Evolución (iniciativa→proyecto→servicio) = cambiar el topic, SIN renombrar.

10// - El wizard estampa los topics vía API al crear.

11// Sin dependencias. Node >= 18 (usa fetch nativo).

12'use strict';

14import fs from 'node:fs';

15import os from 'node:os';

16import path from 'node:path';

17import readline from 'node:readline/promises';

18import { emitKeypressEvents } from 'node:readline'; // el clásico: promises/ NO trae emitKeypressEvents

19import { execFileSync } from 'node:child_process';

High

Child Process

Package source references child process execution.

bin/crear.mjsView on unpkg · L18

21// ---------- Plataformas (EXTENSIBLE; el catalog.json de la org las sobreescribe) ----------

22// Core = plataforma principal (visible a todos). Orbital y futuras = transversales; soloOwner.

23const PLATAFORMAS = [

24 { id: 'core', nombre: 'Core', nota: 'plataforma principal' },

25 { id: 'orbital', nombre: 'Orbital', nota: 'solución transversal', soloOwner: true },

26];

27// Gobernanza: cómo se gobierna el trabajo (va a TOPIC gob-*, no al nombre; puede evolucionar).

28const GOBERNANZAS = {

29 servicio: { etiqueta: 'Servicio', topic: 'gob-servicio', explica: 'Operación CONTINUA, sin fecha de fin. No se cierra: se opera y evoluciona.' },

30 funcionalidad: { etiqueta: 'Funcionalidad', topic: 'gob-funcionalidad', explica: 'Algo acotado que se añade y se integra en algo mayor.' },

31 proyecto: { etiqueta: 'Proyecto', topic: 'gob-proyecto', explica: 'Trabajo con FIN definido: objetivo, entregables y fechas; se cierra al terminar.' },

32 iniciativa: { etiqueta: 'Iniciativa / investigación', topic: 'gob-iniciativa', explica: 'Exploración con alcance AÚN abierto. Si cristaliza, se convierte (cambia el topic, sin renombrar).' },

33};

34// Naturaleza del trabajo -> template a clonar (data-driven; el catalog.json de la org manda).

35// Grupo: 'documental' o 'codigo'. El nivel 2 (qué stack) se auto-salta si el grupo tiene una sola entrada.

36const NATURALEZAS = {

37 documental: {

38 grupo: 'documental',

Lines 298-338javascript

298

299async function deviceFlow(clientId) {

300 const form = (o) => Object.entries(o).map(([k, v]) => `${k}=${encodeURIComponent(v)}`).join('&');