@adonis-agora/authkit-client 0.18.5 → 0.18.7

package/build/src/register_oidc_client.js

@@ -18,6 +18,15 @@ export function registerOidcClient(router, options = {}) {
     const prefix = options.prefix ?? '/auth';
     const passthrough = options.passthroughParams ?? ['audience'];
     const pkceKey = 'authkit_pkce';
+    // Todo redirect desta função vai para uma URL que a PRÓPRIA lib monta (authorize,
+    // /login, destino do app, end-session), então nenhum deve encaminhar a query da
+    // request atual. Isso precisa ser o builder `withQs(false)`, NÃO o segundo
+    // argumento de `redirect(path, forwardQueryString)`: quando o app liga
+    // `redirect.forwardQueryString` no config/app.ts — que é o caso comum — o
+    // positional é ignorado e o Redirect herda a config global, encaminhando mesmo
+    // assim. Sem o opt-out explícito o `code`/`state`/`iss` do callback vazam para o
+    // destino (o app termina em `/?code=…`) e o `/auth/login` de um callback falho
+    // arrasta o code antigo para o authorize seguinte.
     const loginRoute = router.get(`${prefix}/login`, async (ctx) => {
         const manager = await ctx.containerResolver.make('authkit.client');
         const cfg = manager.clientConfig;
@@ -39,7 +48,7 @@ export function registerOidcClient(router, options = {}) {
             codeChallenge: challenge,
             ...(Object.keys(extraParams).length ? { extraParams } : {}),
         });
-        return ctx.response.redirect(url);
+        return ctx.response.redirect().withQs(false).toPath(url);
     });
     if (options.loginMiddleware)
         loginRoute.use(options.loginMiddleware);
@@ -53,7 +62,7 @@ export function registerOidcClient(router, options = {}) {
         // Callback velho/expirado (state perdido ou code ausente) → recomeça o login.
         if (!pkce || pkce.state !== state || !code) {
             ctx.session?.forget(pkceKey);
-            return ctx.response.redirect(`${prefix}/login`);
+            return ctx.response.redirect().withQs(false).toPath(`${prefix}/login`);
         }
         const tokenSet = await exchangeCode({
             issuer: cfg.issuer,
@@ -72,10 +81,10 @@ export function registerOidcClient(router, options = {}) {
         // 1) Hook do app tem prioridade quando retorna uma rota.
         const hook = await options.afterLogin?.(ctx, identity);
         if (typeof hook === 'string')
-            return ctx.response.redirect(hook);
+            return ctx.response.redirect().withQs(false).toPath(hook);
         // 2) Redirect por role global (do token).
         const dest = resolveDestination(identity, options.redirects);
-        return ctx.response.redirect(dest);
+        return ctx.response.redirect().withQs(false).toPath(dest);
     })
         .as('auth.callback');
     router
@@ -95,7 +104,7 @@ export function registerOidcClient(router, options = {}) {
             postLogoutRedirectUri,
             clientId: cfg.clientId,
         });
-        return ctx.response.redirect(endSessionUrl);
+        return ctx.response.redirect().withQs(false).toPath(endSessionUrl);
     })
         .as('auth.logout');
     if (options.backchannelLogout !== false) {

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@adonis-agora/authkit-client",
-  "version": "0.18.5",
+  "version": "0.18.7",
   "description": "AdonisJS OIDC/OAuth2 relying-party (client) toolkit: session-based authentication against an OpenID Connect identity provider, with JWT/PAT user resolvers and OpenTelemetry metrics.",
   "license": "MIT",
   "author": "dudousxd",
@@ -83,7 +83,7 @@
     "jose": "6.2.12"
   },
   "devDependencies": {
-    "@adonis-agora/authkit-server": "0.68.0",
+    "@adonis-agora/authkit-server": "0.68.2",
     "@adonis-agora/resilience": "0.3.7",
     "@adonisjs/auth": "10.1.0",
     "@adonisjs/core": "7.5.0",