REVIEW DE CODE — 2026-04-26
============================================

Extension VSCode (TypeScript) qui collecte des metriques sur
l'activite du user dans VSCode :
- ouverture de fichier / changement d'onglet (event 'open')
- sauvegarde de fichier (event 'save')
- focus/blur de la fenetre (event 'focus')

Envoie un POST JSON a la URL configuree (`vscodestat.url`).

NB : extension force-installed dans les containers vscode + vscodeluigi
(cf vscode/todo.txt). C'est l'extension de monitoring activite dev.

SECURITE
--------
[ ] vscodestat.url configurable user-side (CRITIQUE pour exfil)
    src/extension.ts:14-23 : commande `setUrl` permet au user de
    changer l'URL en runtime via `vscode.workspace.getConfiguration
    ().update('vscodestat.url', url, ConfigurationTarget.Global)`.
    Le user peut donc rediriger ses metriques vers son propre
    serveur. Dans le contexte (extension force-installed pour
    tracking employe), le user peut bypass le tracking en
    pointant sur `https://localhost/dummy` ou similar. Attendu /
    pas attendu ?
    NB : entrypoint.sh dans vscode/ overwrite la URL a chaque
    boot du container. Donc tracking restored. Mais pendant la
    session, user peut tweak. A documenter le comportement.

[ ] makeHttpRequest envoie au serveur l'event sans auth
    src/extension.ts : `fetch(url, { method: 'POST',
    headers: ..., body: JSON.stringify(json) })`. Pas de token.
    Cote serveur (cf monitoringserver/todo.txt), `/vscodestat` est
    aussi sans auth => tout le monde peut envoyer des metriques.

[ ] extractProjectName fuite des paths potentiellement sensibles
    src/extension.ts :
        const match = path.match(/\/docker\/([^/]+)/);
        if (match) return match[1];
    Si un user ouvre un fichier hors `/docker/X/...`, le
    `extractProjectName` retourne null, donc `project: null`
    envoye. Pas un leak direct, mais combine au tracking precis,
    profile complet de l'activite hors-projet.

[ ] Le user peut DISABLE l'extension volontairement
    Standard VSCode : un user peut desactiver toute extension.
    Le force-install au boot du container la re-active, mais
    pendant la session, l'employe peut couper le tracking.
    Pattern de force-tracking discutable (transparency).

[ ] Pas de TLS pinning sur fetch
    Si l'URL pointe vers HTTPS (probablement),
    `monitoringserver.raphaelpiccolo.com`, certificat valide. OK
    mais pas de pinning.

BUGS / FRAGILITE
----------------
[ ] Pas de batching
    Chaque event = 1 fetch. Pas de queue + flush periodique.
    Si reseau down, perte d'events (pas de retry). A capper.

[ ] makeHttpRequest catch silencieux
    src/extension.ts : catch + console.error. Pas de
    retry, pas de notification user. Si serveur down, events
    perdus.

[ ] extractProjectName : path Windows hardcode au regex
    src/extension.ts : replace `\\` -> `/` puis match
    `/docker/(...)/`. OK pour les conventions /root/docker, mais
    si project hors `docker/`, retourne null. A clarifier.

CONVENTIONS
-----------
[ ] Pas de README detaille sur l'integration serveur
    README mentionne juste "Sample url". A documenter le format
    JSON envoye et le comportement.