@adonis-agora/authkit-client 0.17.4 → 0.18.0

package/build/index.d.ts

@@ -19,6 +19,8 @@ export { getAuthkit } from './src/host/request_authenticator.js';
 export { isAuthkitAdmin, authkitDashboardAuthorize, authkitDashboardMiddleware, } from './src/host/dashboard_guard.js';
 export type { DashboardGuardOptions } from './src/host/dashboard_guard.js';
 export { default as AuthkitContextMiddleware } from './src/middleware/authkit_context_middleware.js';
+export { default as RequireOrgMiddleware } from './src/middleware/require_org_middleware.js';
+export type { RequireOrgMiddlewareOptions } from './src/middleware/require_org_middleware.js';
 export { lucidMirror } from './src/lucid_mirror.js';
 export type { LucidMirrorOptions } from './src/lucid_mirror.js';
 export { registerOidcClient } from './src/register_oidc_client.js';

package/build/index.js

@@ -11,6 +11,7 @@ export { authkitClientGuard, AuthkitClientGuard } from './src/host/authkit_clien
 export { getAuthkit } from './src/host/request_authenticator.js';
 export { isAuthkitAdmin, authkitDashboardAuthorize, authkitDashboardMiddleware, } from './src/host/dashboard_guard.js';
 export { default as AuthkitContextMiddleware } from './src/middleware/authkit_context_middleware.js';
+export { default as RequireOrgMiddleware } from './src/middleware/require_org_middleware.js';
 export { lucidMirror } from './src/lucid_mirror.js';
 export { registerOidcClient } from './src/register_oidc_client.js';
 export { validateLogoutToken, InvalidLogoutTokenError, InMemorySessionIndex, BACKCHANNEL_LOGOUT_EVENT, } from './src/backchannel_logout.js';

package/build/src/middleware/require_org_middleware.d.ts

@@ -0,0 +1,47 @@
+import type { HttpContext } from '@adonisjs/core/http';
+import type { NextFn } from '@adonisjs/core/types/http';
+export interface RequireOrgMiddlewareOptions {
+    /**
+     * Para onde mandar quem não tem org ativa. Default: `/account/orgs` — a tela
+     * de seleção que o host-kit do authkit-server já serve.
+     */
+    redirectTo?: string;
+    /**
+     * `web` (default) redireciona para {@link redirectTo}; `api` responde 403 com
+     * um corpo JSON — rotas de API não têm para onde redirecionar.
+     */
+    mode?: 'web' | 'api';
+    /**
+     * Restringe às orgs listadas. Útil para rotas que só existem dentro de um
+     * conjunto conhecido de tenants. Ausente → qualquer org ativa serve.
+     */
+    oneOf?: string[];
+}
+/**
+ * Exige que a sessão tenha uma **organização ativa** (claim `org_id`, exposta
+ * como `identity.orgId`).
+ *
+ * Existe porque num app multi-tenant "estar autenticado" e "estar dentro de um
+ * tenant" são coisas diferentes: sem esta barreira, uma request de um usuário
+ * logado mas sem org ativa chega no controller com `tenantId` indefinido, e daí
+ * o escopo por tenant do `@adonis-agora/authz` cai no escopo GLOBAL — que é o
+ * pior lugar para se cair por acidente. Fail-closed: sem sessão ou sem org, não
+ * passa.
+ *
+ * Registre como named middleware e encadeie DEPOIS do de auth:
+ *
+ * ```ts title="start/kernel.ts"
+ * export const middleware = router.named({
+ *   auth: () => import('@adonis-agora/authkit-client/auth_middleware'),
+ *   requireOrg: () => import('@adonis-agora/authkit-client/require_org_middleware'),
+ * })
+ * ```
+ *
+ * ```ts title="start/routes.ts"
+ * router.group(() => { … }).use([middleware.auth(), middleware.requireOrg()])
+ * router.group(() => { … }).use([middleware.auth(), middleware.requireOrg({ mode: 'api' })])
+ * ```
+ */
+export default class RequireOrgMiddleware {
+    handle(ctx: HttpContext, next: NextFn, options?: RequireOrgMiddlewareOptions): Promise<any>;
+}

package/build/src/middleware/require_org_middleware.js

@@ -0,0 +1,39 @@
+import { ctxAuth } from '../host/ctx_auth.js';
+/**
+ * Exige que a sessão tenha uma **organização ativa** (claim `org_id`, exposta
+ * como `identity.orgId`).
+ *
+ * Existe porque num app multi-tenant "estar autenticado" e "estar dentro de um
+ * tenant" são coisas diferentes: sem esta barreira, uma request de um usuário
+ * logado mas sem org ativa chega no controller com `tenantId` indefinido, e daí
+ * o escopo por tenant do `@adonis-agora/authz` cai no escopo GLOBAL — que é o
+ * pior lugar para se cair por acidente. Fail-closed: sem sessão ou sem org, não
+ * passa.
+ *
+ * Registre como named middleware e encadeie DEPOIS do de auth:
+ *
+ * ```ts title="start/kernel.ts"
+ * export const middleware = router.named({
+ *   auth: () => import('@adonis-agora/authkit-client/auth_middleware'),
+ *   requireOrg: () => import('@adonis-agora/authkit-client/require_org_middleware'),
+ * })
+ * ```
+ *
+ * ```ts title="start/routes.ts"
+ * router.group(() => { … }).use([middleware.auth(), middleware.requireOrg()])
+ * router.group(() => { … }).use([middleware.auth(), middleware.requireOrg({ mode: 'api' })])
+ * ```
+ */
+export default class RequireOrgMiddleware {
+    async handle(ctx, next, options = {}) {
+        const identity = await ctxAuth(ctx).getIdentity();
+        const orgId = identity?.orgId ?? null;
+        const allowed = orgId !== null && (!options.oneOf || options.oneOf.includes(orgId));
+        if (allowed)
+            return next();
+        if (options.mode === 'api') {
+            return ctx.response.abort({ error: 'no_active_organization', message: 'This route requires an active organization.' }, 403);
+        }
+        return ctx.response.redirect(options.redirectTo ?? '/account/orgs');
+    }
+}

package/build/src/observability/context_bridge.js

@@ -1,3 +1,4 @@
+import { deriveOrgId } from '@adonis-agora/authkit-core';
 /**
  * Ponte estrutural (best-effort) entre a sessão resolvida do authkit e o
  * contexto do Agora. Lê o slot global `@agora/context:set` de forma ESTRUTURAL —
@@ -6,26 +7,14 @@
  */
 const SET_SLOT = Symbol.for('@agora/context:set');
 /**
- * Claims OIDC candidatas a "organização/tenant ativo". A primeira presente (e
- * string não vazia) vira o `tenantId`. Não falha se nenhuma existir.
+ * Deriva o tenant ativo da identidade. Prefere o `orgId` já resolvido (o caminho
+ * normal — `buildIdentityFromClaims` o preenche); cai para as claims cruas
+ * quando a `Identity` veio de um `SessionResolver` customizado que não o
+ * populou. A tabela de claims aceitas vive em `@adonis-agora/authkit-core`
+ * (`ORG_ID_CLAIMS`) para não divergir entre a identidade e esta ponte.
  */
-const TENANT_CLAIMS = [
-    'active_organization_id',
-    'org_id',
-    'organization_id',
-    'tenant_id',
-    'tid',
-];
-/** Deriva o tenant ativo das claims cruas, ou `undefined` quando ausente. */
-function deriveTenant(raw) {
-    if (!raw)
-        return undefined;
-    for (const claim of TENANT_CLAIMS) {
-        const value = raw[claim];
-        if (typeof value === 'string' && value.length > 0)
-            return value;
-    }
-    return undefined;
+function deriveTenant(identity) {
+    return identity.orgId ?? deriveOrgId(identity.raw) ?? undefined;
 }
 /**
  * Popula o contexto do Agora a partir de uma identidade recém-resolvida:
@@ -38,7 +27,7 @@ export function populateContext(identity) {
         const set = globalThis[SET_SLOT];
         if (!set)
             return;
-        const tenant = deriveTenant(identity.raw);
+        const tenant = deriveTenant(identity);
         set({
             userRef: { type: 'user', id: identity.userId },
             globalRoles: identity.globalRoles,

package/build/src/resolvers/identity.d.ts

@@ -8,7 +8,9 @@ type FetchImpl = (url: string, init: any) => Promise<{
  * resolvers `jwt`, `pat` e `opaque`. Espelha exatamente o que o `JwtResolver`
  * produzia (a referência canônica): `sub`→userId, `email`, papéis na
  * `globalRolesClaim`, `name`/`picture`→profile, `sid`→sessionId, `iat`/`exp`
- * (segundos→ms, fallback 0) e as claims cruas em `raw`.
+ * (segundos→ms, fallback 0), a org/tenant ativo (`orgId`/`orgSlug`/`orgRole`,
+ * ver `deriveOrgId` — vale para o authkit E para IdPs de terceiros) e as claims
+ * cruas em `raw`.
  */
 export declare function buildIdentityFromClaims(claims: Record<string, unknown>, globalRolesClaim: string): Identity;
 export interface IntrospectAuth {

package/build/src/resolvers/identity.js

@@ -1,9 +1,12 @@
+import { deriveOrgId, deriveOrgRole, deriveOrgSlug } from '@adonis-agora/authkit-core';
 /**
  * Mapeamento canônico de claims OIDC validadas → Identity, compartilhado pelos
  * resolvers `jwt`, `pat` e `opaque`. Espelha exatamente o que o `JwtResolver`
  * produzia (a referência canônica): `sub`→userId, `email`, papéis na
  * `globalRolesClaim`, `name`/`picture`→profile, `sid`→sessionId, `iat`/`exp`
- * (segundos→ms, fallback 0) e as claims cruas em `raw`.
+ * (segundos→ms, fallback 0), a org/tenant ativo (`orgId`/`orgSlug`/`orgRole`,
+ * ver `deriveOrgId` — vale para o authkit E para IdPs de terceiros) e as claims
+ * cruas em `raw`.
  */
 export function buildIdentityFromClaims(claims, globalRolesClaim) {
     const roles = claims[globalRolesClaim];
@@ -16,6 +19,9 @@ export function buildIdentityFromClaims(claims, globalRolesClaim) {
             avatarUrl: typeof claims.picture === 'string' ? claims.picture : undefined,
         },
         sessionId: typeof claims.sid === 'string' ? claims.sid : undefined,
+        orgId: deriveOrgId(claims),
+        orgSlug: deriveOrgSlug(claims),
+        orgRole: deriveOrgRole(claims),
         issuedAt: typeof claims.iat === 'number' ? claims.iat * 1000 : 0,
         expiresAt: typeof claims.exp === 'number' ? claims.exp * 1000 : 0,
         raw: claims,

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@adonis-agora/authkit-client",
-  "version": "0.17.4",
+  "version": "0.18.0",
   "description": "AdonisJS OIDC/OAuth2 relying-party (client) toolkit: session-based authentication against an OpenID Connect identity provider, with JWT/PAT user resolvers and OpenTelemetry metrics.",
   "license": "MIT",
   "author": "dudousxd",
@@ -45,6 +45,7 @@
     "./authkit_context_middleware": "./build/src/middleware/authkit_context_middleware.js",
     "./backchannel_revocation_middleware": "./build/src/middleware/backchannel_revocation_middleware.js",
     "./auth_middleware": "./build/src/middleware/auth_middleware.js",
+    "./require_org_middleware": "./build/src/middleware/require_org_middleware.js",
     "./silent_auth_middleware": "./build/src/middleware/silent_auth_middleware.js",
     "./commands": "./build/commands/configure.js"
   },
@@ -77,7 +78,7 @@
   },
   "dependencies": {
     "jose": "5.10.0",
-    "@adonis-agora/authkit-core": "0.7.1"
+    "@adonis-agora/authkit-core": "0.8.0"
   },
   "devDependencies": {
     "@adonisjs/auth": "10.1.0",
@@ -92,7 +93,7 @@
     "ioredis-mock": "8.13.1",
     "@types/node": "25.9.1",
     "typescript": "6.0.3",
-    "@adonis-agora/authkit-server": "0.58.2"
+    "@adonis-agora/authkit-server": "0.59.0"
   },
   "scripts": {
     "build": "tsc && node -e \"require('node:fs').cpSync('stubs','build/stubs',{recursive:true,filter:(s)=>!s.endsWith('.ts')})\"",