registry / fractalia-faro / 0.7.0

fractalia-faro@0.7.0

Wizard FARO: crea un repo de trabajo (servicio/funcionalidad de plataforma, proyecto o iniciativa) desde el template oficial, con nomenclatura, ramas main+develop y clon local listo.

Static Scan Results

scanned 13h ago · by rust-scanner

Static analysis completed at 65.0% confidence. No malicious behavior was detected; 11 low-signal pattern(s) were surfaced and cleared.

Static reason

No blocking static signals were detected.

Decision evidence

public snapshot

Behavioral surface

Source

ChildProcessEnvironmentVarsFilesystemNetworkShell

Supply chain

HighEntropyStringsObfuscatedUrlStrings

Manifest

NoLicense

scanned 1 file(s), 39.4 KB of source, external domains: api.github.com, github.com

Source & flagged code

2 flagged

bin/crear.mjsView file

Lines 1-37javascript

1#!/usr/bin/env node

2// fractalia-faro — Wizard INICIAL de creación de repos (PRE-harness).

3// Pieza independiente: el harness vive DENTRO de cada repo ya creado; este CLI es quien lo crea.

4//

5// MODELO (validado 2026-07-08):

6// - Nombre AGNÓSTICO y estable: faro-<slug> (nada de plataforma/gobernanza en el nombre).

7// - Clasificación en GitHub TOPICS + metadato in-repo:

8// faro · plat-core|plat-orbital · gob-servicio|funcionalidad|proyecto|iniciativa · sys-<slug>

9// - Evolución (iniciativa→proyecto→servicio) = cambiar el topic, SIN renombrar.

10// - El wizard estampa los topics vía API al crear.

11// Sin dependencias. Node >= 18 (usa fetch nativo).

12'use strict';

14import fs from 'node:fs';

15import os from 'node:os';

16import path from 'node:path';

17import readline from 'node:readline/promises';

18import { execFileSync } from 'node:child_process';

High

Child Process

Package source references child process execution.

bin/crear.mjsView on unpkg · L17

20// ---------- Plataformas (EXTENSIBLE; el catalog.json de la org las sobreescribe) ----------

21// Core = plataforma principal (visible a todos). Orbital y futuras = transversales; soloOwner.

22const PLATAFORMAS = [

23 { id: 'core', nombre: 'Core', nota: 'plataforma principal' },

24 { id: 'orbital', nombre: 'Orbital', nota: 'solución transversal', soloOwner: true },

25];

26// Gobernanza: cómo se gobierna el trabajo (va a TOPIC gob-*, no al nombre; puede evolucionar).

27const GOBERNANZAS = {

28 servicio: { etiqueta: 'Servicio', topic: 'gob-servicio', explica: 'Operación CONTINUA, sin fecha de fin. No se cierra: se opera y evoluciona.' },

29 funcionalidad: { etiqueta: 'Funcionalidad', topic: 'gob-funcionalidad', explica: 'Algo acotado que se añade y se integra en algo mayor.' },

30 proyecto: { etiqueta: 'Proyecto', topic: 'gob-proyecto', explica: 'Trabajo con FIN definido: objetivo, entregables y fechas; se cierra al terminar.' },

31 iniciativa: { etiqueta: 'Iniciativa / investigación', topic: 'gob-iniciativa', explica: 'Exploración con alcance AÚN abierto. Si cristaliza, se convierte (cambia el topic, sin renombrar).' },

32};

33// Naturaleza del trabajo -> template a clonar (data-driven; el catalog.json de la org manda).

34// Grupo: 'documental' o 'codigo'. El nivel 2 (qué stack) se auto-salta si el grupo tiene una sola entrada.

35const NATURALEZAS = {

36 documental: {

37 grupo: 'documental',

Lines 308-348javascript

308

309async function deviceFlow(clientId) {

310 const form = (o) => Object.entries(o).map(([k, v]) => `${k}=${encodeURIComponent(v)}`).join('&');

Source & flagged code

2 flagged · loading source

bin/crear.mjsView file

17import readline from 'node:readline/promises'; L18: import { execFileSync } from 'node:child_process'; L19:

High

Child Process

Package source references child process execution.

bin/crear.mjsView on unpkg · L17

328await new Promise((r) => setTimeout(r, intervalo)); L329: const t = await post('https://github.com/login/oauth/access_token', { L330: client_id: clientId, device_code: d.device_code, grant_type: 'urn:ietf:params:oauth:grant-type:device_code', ... L339: const candidatos = []; L340: if (process.env.FRACTALIA_GITHUB_TOKEN) candidatos.push(['variable de entorno FRACTALIA_GITHUB_TOKEN', process.env.FRACTALIA_GITHUB_TOKEN]); L341: if (process.env.GITHUB_TOKEN) candidatos.push(['variable de entorno GITHUB_TOKEN', process.env.GITHUB_TOKEN]); ... L343: try { L344: const t = execFileSync('gh', ['auth', 'token'], { encoding: 'utf8', stdio: ['ignore', 'pipe', 'ignore'], timeout: 8000 }).trim(); L345: if (t) candidatos.push(['GitHub CLI (gh auth token)', t]);

High

Same File Env Network Execution

A single source file combines environment access, network access, and code or shell execution; review context before blocking.

bin/crear.mjsView on unpkg · L328

Findings

3 High3 Medium5 Low

HighChild Processbin/crear.mjs

HighShell

HighSame File Env Network Executionbin/crear.mjs

MediumNetwork

MediumEnvironment Vars

MediumStructural Risk Force Deep Review

LowFilesystem

LowObfuscated

LowHigh Entropy Strings

LowUrl Strings

LowNo License

Source & flagged code

2 flagged

bin/crear.mjsView file

Lines 1-37javascript

1#!/usr/bin/env node

2// fractalia-faro — Wizard INICIAL de creación de repos (PRE-harness).

3// Pieza independiente: el harness vive DENTRO de cada repo ya creado; este CLI es quien lo crea.

4//

5// MODELO (validado 2026-07-08):

6// - Nombre AGNÓSTICO y estable: faro-<slug> (nada de plataforma/gobernanza en el nombre).

7// - Clasificación en GitHub TOPICS + metadato in-repo:

8// faro · plat-core|plat-orbital · gob-servicio|funcionalidad|proyecto|iniciativa · sys-<slug>

9// - Evolución (iniciativa→proyecto→servicio) = cambiar el topic, SIN renombrar.

10// - El wizard estampa los topics vía API al crear.

11// Sin dependencias. Node >= 18 (usa fetch nativo).

12'use strict';

14import fs from 'node:fs';

15import os from 'node:os';

16import path from 'node:path';

17import readline from 'node:readline/promises';

18import { execFileSync } from 'node:child_process';

High

Child Process

Package source references child process execution.

bin/crear.mjsView on unpkg · L17

20// ---------- Plataformas (EXTENSIBLE; el catalog.json de la org las sobreescribe) ----------

21// Core = plataforma principal (visible a todos). Orbital y futuras = transversales; soloOwner.

22const PLATAFORMAS = [

23 { id: 'core', nombre: 'Core', nota: 'plataforma principal' },

24 { id: 'orbital', nombre: 'Orbital', nota: 'solución transversal', soloOwner: true },

25];

26// Gobernanza: cómo se gobierna el trabajo (va a TOPIC gob-*, no al nombre; puede evolucionar).

27const GOBERNANZAS = {

28 servicio: { etiqueta: 'Servicio', topic: 'gob-servicio', explica: 'Operación CONTINUA, sin fecha de fin. No se cierra: se opera y evoluciona.' },

29 funcionalidad: { etiqueta: 'Funcionalidad', topic: 'gob-funcionalidad', explica: 'Algo acotado que se añade y se integra en algo mayor.' },

30 proyecto: { etiqueta: 'Proyecto', topic: 'gob-proyecto', explica: 'Trabajo con FIN definido: objetivo, entregables y fechas; se cierra al terminar.' },

31 iniciativa: { etiqueta: 'Iniciativa / investigación', topic: 'gob-iniciativa', explica: 'Exploración con alcance AÚN abierto. Si cristaliza, se convierte (cambia el topic, sin renombrar).' },

32};

33// Naturaleza del trabajo -> template a clonar (data-driven; el catalog.json de la org manda).

34// Grupo: 'documental' o 'codigo'. El nivel 2 (qué stack) se auto-salta si el grupo tiene una sola entrada.

35const NATURALEZAS = {

36 documental: {

37 grupo: 'documental',

Lines 308-348javascript

308

309async function deviceFlow(clientId) {

310 const form = (o) => Object.entries(o).map(([k, v]) => `${k}=${encodeURIComponent(v)}`).join('&');