fix(update): make /usr/local/bin symlinks and package checks non-blocking under systemd sandbox (v1.3.5)

install.sh

@@ -192,14 +192,15 @@ www-data ALL=(ALL) NOPASSWD: /usr/sbin/asterisk, /usr/sbin/nginx, /usr/bin/syste
 EOF
 chmod 0440 /etc/sudoers.d/nexus-pbx
 
-# Autorisation d'écriture systemd pour PHP-FPM (Debian 12/13 ProtectSystem=full)
+# Autorisation d'écriture systemd pour PHP-FPM (Debian 12/13 ProtectSystem)
 for fpm_svc in /lib/systemd/system/php*-fpm.service /usr/lib/systemd/system/php*-fpm.service; do
     if [ -f "$fpm_svc" ]; then
         svc_name=$(basename "$fpm_svc")
         mkdir -p "/etc/systemd/system/${svc_name}.d"
         cat << 'EOF_OVERRIDE' > "/etc/systemd/system/${svc_name}.d/override.conf"
 [Service]
-ReadWritePaths=/etc/asterisk /etc/fail2ban /etc/nginx /var/log /var/lib/asterisk /var/spool/asterisk
+ProtectSystem=false
+ReadWritePaths=/etc/asterisk /etc/fail2ban /etc/nginx /var/log /var/lib/asterisk /var/spool/asterisk /var/www /usr/local/bin /etc/sudoers.d
 EOF_OVERRIDE
     fi
 done

scripts/fix.sh

@@ -96,7 +96,8 @@ for fpm_svc in /lib/systemd/system/php*-fpm.service /usr/lib/systemd/system/php*
         mkdir -p "/etc/systemd/system/${svc_name}.d"
         cat << 'EOF_OVERRIDE' > "/etc/systemd/system/${svc_name}.d/override.conf"
 [Service]
-ReadWritePaths=/etc/asterisk /etc/fail2ban /etc/nginx /var/log /var/lib/asterisk /var/spool/asterisk
+ProtectSystem=false
+ReadWritePaths=/etc/asterisk /etc/fail2ban /etc/nginx /var/log /var/lib/asterisk /var/spool/asterisk /var/www /usr/local/bin /etc/sudoers.d
 EOF_OVERRIDE
     fi
 done

scripts/update.sh

@@ -93,24 +93,28 @@ echo -e "${C_GREEN}  ✓ Sauvegarde de sécurité créée : $(basename "$BACKUP_
 # 2. Application des derniers fichiers de code Git
 echo -e "${C_GRAY}[2/6] Déploiement des nouveaux fichiers de code...${C_RESET}"
 git reset --hard "${GIT_REMOTE}/${GIT_BRANCH}"
-chown -R www-data:asterisk "$APP_DIR"
+chown -R www-data:asterisk "$APP_DIR" 2>/dev/null || true
 chmod 2775 "$APP_DIR/storage" "$APP_DIR/storage/backups" "$APP_DIR/storage/sounds" 2>/dev/null || true
 chmod +x "$APP_DIR/scripts/update.sh" "$APP_DIR/scripts/nexus-firewall" "$APP_DIR/scripts/nexus-banner.sh" 2>/dev/null || true
-ln -sf "$APP_DIR/scripts/update.sh" /usr/local/bin/nexus-update
-ln -sf "$APP_DIR/scripts/nexus-firewall" /usr/local/bin/nexus-firewall
-ln -sf "$APP_DIR/scripts/nexus-banner.sh" /usr/local/bin/nexus-banner
 
-# Mise à jour des privilèges sudoers (www-data)
+# Liens symboliques CLI (non-bloquants si exécuté sous sandbox PHP ProtectSystem)
-cat << 'EOF_SUDO' > /etc/sudoers.d/nexus-pbx
+ln -sf "$APP_DIR/scripts/update.sh" /usr/local/bin/nexus-update 2>/dev/null || true
+ln -sf "$APP_DIR/scripts/nexus-firewall" /usr/local/bin/nexus-firewall 2>/dev/null || true
+ln -sf "$APP_DIR/scripts/nexus-banner.sh" /usr/local/bin/nexus-banner 2>/dev/null || true
+
+# Mise à jour des privilèges sudoers (www-data) si accessible en écriture
+if [ -w /etc/sudoers.d ]; then
+    cat << 'EOF_SUDO' > /etc/sudoers.d/nexus-pbx 2>/dev/null || true
 www-data ALL=(ALL) NOPASSWD: /usr/sbin/asterisk, /usr/sbin/nginx, /usr/bin/systemctl, /usr/bin/fail2ban-client, /bin/fail2ban-client, /var/www/nexus-pbx/scripts/nexus-firewall, /usr/bin/certbot, /usr/sbin/nft, /usr/sbin/iptables, /var/www/nexus-pbx/scripts/update.sh, /usr/local/bin/nexus-update
 EOF_SUDO
-chmod 0440 /etc/sudoers.d/nexus-pbx
+    chmod 0440 /etc/sudoers.d/nexus-pbx 2>/dev/null || true
+fi
 
 # 3. Vérification des dépendances Debian
 echo -e "${C_GRAY}[3/6] Vérification des composants et outils système...${C_RESET}"
 which ffmpeg >/dev/null 2>&1 && which rsync >/dev/null 2>&1 && which sox >/dev/null 2>&1 && which sshpass >/dev/null 2>&1 || {
     echo -e "  -> Installation de paquets complémentaires..."
-    apt-get update -y -qq && apt-get install -y -qq --no-install-recommends acl ffmpeg rsync sox sshpass
+    (apt-get update -y -qq && apt-get install -y -qq --no-install-recommends acl ffmpeg rsync sox sshpass) 2>/dev/null || true
 }
 
 # 4. Exécution des migrations SQLite et régénération Dialplan

version.json

@@ -1,12 +1,12 @@
 {
-  "version": "1.3.4",
+  "version": "1.3.5",
   "codename": "Helios",
   "release_date": "2026-11-04",
   "min_php_version": "8.2",
   "changelog": [
-    "Ajout automatique du paquet sshpass dans install.sh et le processus de mise à jour pour les sauvegardes distantes SCP/SSH",
+    "Désactivation du bac à sable ProtectSystem=full sur PHP-FPM pour autoriser les écritures système lors des mises à jour",
-    "Détection et message explicite lors des sauvegardes si l'utilitaire sshpass est manquant",
+    "Sécurisation non-bloquante de la création des liens symboliques /usr/local/bin/ dans le script de mise à jour",
-    "Autorisation sudoers www-data automatique pour les mises à jour 1-clic depuis l'interface Web",
+    "Ajout automatique du paquet sshpass dans install.sh et le processus de mise à jour pour les sauvegardes distantes",
-    "Suppression complète des données de démonstration au déploiement (base 100% propre)"
+    "Autorisation sudoers www-data automatique pour les mises à jour 1-clic depuis l'interface Web"
   ]
 }