@adonis-agora/authkit-client 0.18.8 → 0.18.9

package/build/providers/authkit_client_provider.d.ts

@@ -28,6 +28,13 @@ export declare class AuthkitClientManager {
      * Preserva TAMBÉM o `impersonationBinding`: renovar o token do alvo não muda a
      * sessão, então não pode invalidar o vínculo e trancar o ator na impersonação.
      *
+     * Dedup por sessionId: requests concorrentes da mesma sessão (ex.: autosave + vários
+     * GETs chegando juntos quando o access token vence) disparam UM refresh só. Quem
+     * chegou depois espera o refresh in-flight e grava o TokenSet renovado na SUA
+     * PRÓPRIA sessão — cada request tem seu objeto de sessão, e sem isso ele seguiria
+     * com o access token vencido (→ 401) e com o refresh token antigo, já invalidado
+     * pela rotação, que ele poderia gravar de volta e envenenar a sessão.
+     *
      * Best-effort: qualquer falha (token revogado, IdP fora) é silenciosa — o resolver
      * lida com a sessão expirada no fluxo normal. Chamado pelo middleware por request.
      */

package/build/providers/authkit_client_provider.js

@@ -23,7 +23,11 @@ function readParked(value) {
 export class AuthkitClientManager {
     config;
     #resolverCache;
-    /** Mapa de promessas de refresh in-flight por sessionId (dedup thundering herd). */
+    /**
+     * Refreshes in-flight por sessionId (dedup thundering herd). A promise resolve com o
+     * TokenSet renovado (já mesclado) ou `null` se falhou — nunca rejeita. Guarda também
+     * o refresh token de origem, pra quem espera saber se é da mesma linhagem.
+     */
     #refreshPromises = new Map();
     constructor(config) {
         this.config = config;
@@ -60,6 +64,13 @@ export class AuthkitClientManager {
      * Preserva TAMBÉM o `impersonationBinding`: renovar o token do alvo não muda a
      * sessão, então não pode invalidar o vínculo e trancar o ator na impersonação.
      *
+     * Dedup por sessionId: requests concorrentes da mesma sessão (ex.: autosave + vários
+     * GETs chegando juntos quando o access token vence) disparam UM refresh só. Quem
+     * chegou depois espera o refresh in-flight e grava o TokenSet renovado na SUA
+     * PRÓPRIA sessão — cada request tem seu objeto de sessão, e sem isso ele seguiria
+     * com o access token vencido (→ 401) e com o refresh token antigo, já invalidado
+     * pela rotação, que ele poderia gravar de volta e envenenar a sessão.
+     *
      * Best-effort: qualquer falha (token revogado, IdP fora) é silenciosa — o resolver
      * lida com a sessão expirada no fluxo normal. Chamado pelo middleware por request.
      */
@@ -79,14 +90,27 @@ export class AuthkitClientManager {
         // juntos fariam N refreshes + N-1 falhas com refresh token já inválido.
         const sessionId = session.sessionId;
         if (sessionId) {
-            const pending = this.#refreshPromises.get(sessionId);
-            if (pending) {
-                await pending.catch(() => { });
+            const inFlight = this.#refreshPromises.get(sessionId);
+            // Só aproveita o refresh in-flight se ele partiu do MESMO refresh token que esta
+            // request tem — senão o TokenSet renovado é de outra linhagem (ex.: a sessão
+            // trocou de token set no meio do caminho) e não pode ser gravado aqui.
+            if (inFlight && inFlight.refreshToken === tokenSet.refreshToken) {
+                const refreshed = await inFlight.promise;
+                if (refreshed) {
+                    session.put(this.config.sessionKey, {
+                        ...refreshed,
+                        // O vínculo é por sessão (mesmo sessionId → mesmo vínculo); mantém o desta
+                        // request e só cai no do refresh se esta não tiver.
+                        impersonationBinding: tokenSet.impersonationBinding ?? refreshed.impersonationBinding,
+                    });
+                }
                 return;
             }
+            // Linhagem diferente: segue e faz o próprio refresh (a entrada do mapa passa a
+            // ser a desta request; a anterior não a apaga — ver o `finally`).
         }
-        // Promise que SEMPRE resolve — o catch silencioso mantém o TokenSet original
-        // em caso de falha, igual ao comportamento do maybeRefresh original.
+        // Promise que NUNCA rejeita: resolve com o TokenSet gravado, ou `null` se a
+        // renovação falhou — aí o TokenSet original fica como está (o resolver decide).
         const promise = refreshTokens({
             issuer: this.config.issuer,
             clientId: this.config.clientId,
@@ -96,22 +120,31 @@ export class AuthkitClientManager {
             resilience: this.config.resilience,
         })
             .then((next) => {
-            session.put(this.config.sessionKey, {
+            const merged = {
                 idToken: next.idToken || tokenSet.idToken,
                 accessToken: next.accessToken,
                 refreshToken: next.refreshToken ?? tokenSet.refreshToken,
                 expiresAt: next.expiresAt,
                 impersonationBinding: tokenSet.impersonationBinding,
-            });
+            };
+            session.put(this.config.sessionKey, merged);
+            return merged;
         })
-            .catch(() => {
-            // Renovação falhou — deixa o TokenSet como está; o resolver decide a sessão.
-        });
-        if (sessionId)
-            this.#refreshPromises.set(sessionId, promise);
-        await promise;
-        if (sessionId)
-            this.#refreshPromises.delete(sessionId);
+            .catch(() => null);
+        if (!sessionId) {
+            await promise;
+            return;
+        }
+        const entry = { refreshToken: tokenSet.refreshToken, promise };
+        this.#refreshPromises.set(sessionId, entry);
+        try {
+            await promise;
+        }
+        finally {
+            // Só remove se a entrada ainda é a nossa.
+            if (this.#refreshPromises.get(sessionId) === entry)
+                this.#refreshPromises.delete(sessionId);
+        }
     }
     /**
      * Recebe o POST `application/x-www-form-urlencoded` de OIDC Back-Channel Logout. Lê o

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@adonis-agora/authkit-client",
-  "version": "0.18.8",
+  "version": "0.18.9",
   "description": "AdonisJS OIDC/OAuth2 relying-party (client) toolkit: session-based authentication against an OpenID Connect identity provider, with JWT/PAT user resolvers and OpenTelemetry metrics.",
   "license": "MIT",
   "author": "dudousxd",
@@ -83,7 +83,7 @@
     "jose": "6.2.12"
   },
   "devDependencies": {
-    "@adonis-agora/authkit-server": "0.74.0",
+    "@adonis-agora/authkit-server": "0.80.0",
     "@adonis-agora/resilience": "0.3.7",
     "@adonisjs/auth": "10.1.0",
     "@adonisjs/core": "7.5.0",