@adonis-agora/authkit-server 0.34.0

package/build/src/host/admin_validators.d.ts

@@ -0,0 +1,247 @@
+import type { ClientInput, TokenEndpointAuthMethod } from './admin_clients_service.js';
+/**
+ * Input de client OIDC — serve create E update (PATCH). Tudo opcional: no create
+ * o controller aplica defaults (ver {@link clientCreateInput}); no update os campos
+ * ausentes (undefined) são preservados pelo `AdminClientsService.update` (merge,
+ * ver {@link clientPartialInput}). `grants` é aceito como alias de `grantTypes`
+ * (o DTO de saída usa `grants`).
+ */
+export declare const clientInputValidator: import("@vinejs/vine").VineValidator<import("@vinejs/vine").VineObject<{
+    clientId: import("@vinejs/vine/schema/base/literal").OptionalModifier<import("@vinejs/vine").VineString>;
+    redirectUris: import("@vinejs/vine").OptionalModifier<import("@vinejs/vine").VineArray<import("@vinejs/vine").VineString>>;
+    postLogoutRedirectUris: import("@vinejs/vine").OptionalModifier<import("@vinejs/vine").VineArray<import("@vinejs/vine").VineString>>;
+    grantTypes: import("@vinejs/vine").OptionalModifier<import("@vinejs/vine").VineArray<import("@vinejs/vine").VineEnum<readonly ["authorization_code", "refresh_token", "client_credentials", "urn:ietf:params:oauth:grant-type:token-exchange"]>>>;
+    grants: import("@vinejs/vine").OptionalModifier<import("@vinejs/vine").VineArray<import("@vinejs/vine").VineEnum<readonly ["authorization_code", "refresh_token", "client_credentials", "urn:ietf:params:oauth:grant-type:token-exchange"]>>>;
+    tokenEndpointAuthMethod: import("@vinejs/vine/schema/base/literal").OptionalModifier<import("@vinejs/vine").VineEnum<readonly ["client_secret_basic", "client_secret_post", "none"]>>;
+    backchannelLogoutUri: import("@vinejs/vine/schema/base/literal").OptionalModifier<import("@vinejs/vine").VineString>;
+    backchannelLogoutSessionRequired: import("@vinejs/vine/schema/base/literal").OptionalModifier<import("@vinejs/vine").VineBoolean>;
+}, {
+    clientId?: string | null | undefined;
+    grants?: ("refresh_token" | "authorization_code" | "urn:ietf:params:oauth:grant-type:token-exchange" | "client_credentials")[] | null | undefined;
+    redirectUris?: string[] | null | undefined;
+    postLogoutRedirectUris?: string[] | null | undefined;
+    grantTypes?: ("refresh_token" | "authorization_code" | "urn:ietf:params:oauth:grant-type:token-exchange" | "client_credentials")[] | null | undefined;
+    tokenEndpointAuthMethod?: "none" | "client_secret_basic" | "client_secret_post" | null | undefined;
+    backchannelLogoutUri?: string | null | undefined;
+    backchannelLogoutSessionRequired?: string | number | boolean | null | undefined;
+}, {
+    clientId?: string | undefined;
+    grants?: ("refresh_token" | "authorization_code" | "urn:ietf:params:oauth:grant-type:token-exchange" | "client_credentials")[] | undefined;
+    redirectUris?: string[] | undefined;
+    postLogoutRedirectUris?: string[] | undefined;
+    grantTypes?: ("refresh_token" | "authorization_code" | "urn:ietf:params:oauth:grant-type:token-exchange" | "client_credentials")[] | undefined;
+    tokenEndpointAuthMethod?: "none" | "client_secret_basic" | "client_secret_post" | undefined;
+    backchannelLogoutUri?: string | undefined;
+    backchannelLogoutSessionRequired?: boolean | undefined;
+}, {
+    clientId?: string | undefined;
+    grants?: ("refresh_token" | "authorization_code" | "urn:ietf:params:oauth:grant-type:token-exchange" | "client_credentials")[] | undefined;
+    redirectUris?: string[] | undefined;
+    postLogoutRedirectUris?: string[] | undefined;
+    grantTypes?: ("refresh_token" | "authorization_code" | "urn:ietf:params:oauth:grant-type:token-exchange" | "client_credentials")[] | undefined;
+    tokenEndpointAuthMethod?: "none" | "client_secret_basic" | "client_secret_post" | undefined;
+    backchannelLogoutUri?: string | undefined;
+    backchannelLogoutSessionRequired?: boolean | undefined;
+}>, Record<string, any> | undefined>;
+/** Forma validada de um client (saída do {@link clientInputValidator}). */
+export type ClientInputFields = {
+    clientId?: string;
+    redirectUris?: string[];
+    postLogoutRedirectUris?: string[];
+    grantTypes?: string[];
+    grants?: string[];
+    tokenEndpointAuthMethod?: TokenEndpointAuthMethod;
+    backchannelLogoutUri?: string;
+    backchannelLogoutSessionRequired?: boolean;
+};
+/** Mapeia o input validado para um {@link ClientInput} COMPLETO (create), com defaults. */
+export declare function clientCreateInput(v: ClientInputFields): ClientInput;
+/**
+ * Mapeia o input validado para um {@link ClientInput} PARCIAL (PATCH): só inclui
+ * os campos presentes; o `AdminClientsService.update` preserva o resto via merge.
+ */
+export declare function clientPartialInput(v: ClientInputFields): Partial<ClientInput>;
+/**
+ * Criação de usuário pelo admin (API + console). E-mail obrigatório e validado;
+ * nome/senha opcionais; `invite:true` cria sem senha e dispara o convite. A
+ * política de senha (força, comprimento mínimo do projeto) é checada DEPOIS pelo
+ * AdminUsersService.create (retorna `password_policy`); por isso aqui NÃO fixamos
+ * `minLength` — seria duplicar/contornar a policy configurável do projeto.
+ */
+export declare const adminUserCreateValidator: import("@vinejs/vine").VineValidator<import("@vinejs/vine").VineObject<{
+    email: import("@vinejs/vine").VineString;
+    name: import("@vinejs/vine/schema/base/literal").OptionalModifier<import("@vinejs/vine").VineString>;
+    password: import("@vinejs/vine/schema/base/literal").OptionalModifier<import("@vinejs/vine").VineString>;
+    invite: import("@vinejs/vine/schema/base/literal").OptionalModifier<import("@vinejs/vine").VineBoolean>;
+}, {
+    name?: string | null | undefined;
+    password?: string | null | undefined;
+    invite?: string | number | boolean | null | undefined;
+    email: string;
+}, {
+    name?: string | undefined;
+    password?: string | undefined;
+    invite?: boolean | undefined;
+    email: string;
+}, {
+    name?: string | undefined;
+    password?: string | undefined;
+    invite?: boolean | undefined;
+    email: string;
+}>, Record<string, any> | undefined>;
+/** Atualização de usuário (PATCH): roles globais e/ou perfil. Tudo opcional. */
+export declare const adminUserUpdateValidator: import("@vinejs/vine").VineValidator<import("@vinejs/vine").VineObject<{
+    globalRoles: import("@vinejs/vine").OptionalModifier<import("@vinejs/vine").VineArray<import("@vinejs/vine").VineString>>;
+    name: import("@vinejs/vine/schema/base/literal").OptionalModifier<import("@vinejs/vine/schema/base/literal").NullableModifier<import("@vinejs/vine").VineString>>;
+    avatarUrl: import("@vinejs/vine/schema/base/literal").OptionalModifier<import("@vinejs/vine/schema/base/literal").NullableModifier<import("@vinejs/vine").VineString>>;
+}, {
+    name?: string | null | undefined;
+    globalRoles?: string[] | null | undefined;
+    avatarUrl?: string | null | undefined;
+}, {
+    name?: string | null | undefined;
+    globalRoles?: string[] | undefined;
+    avatarUrl?: string | null | undefined;
+}, {
+    name?: string | null | undefined;
+    globalRoles?: string[] | undefined;
+    avatarUrl?: string | null | undefined;
+}>, Record<string, any> | undefined>;
+/** Substituição de roles globais no console (PATCH /users/:id/roles). */
+export declare const adminUserRolesValidator: import("@vinejs/vine").VineValidator<import("@vinejs/vine").VineObject<{
+    roles: import("@vinejs/vine").OptionalModifier<import("@vinejs/vine").VineArray<import("@vinejs/vine").VineString>>;
+}, {
+    roles?: string[] | null | undefined;
+}, {
+    roles?: string[] | undefined;
+}, {
+    roles?: string[] | undefined;
+}>, Record<string, any> | undefined>;
+/** Criação de org: name, slug e ownerAccountId obrigatórios; logo opcional. */
+export declare const orgCreateValidator: import("@vinejs/vine").VineValidator<import("@vinejs/vine").VineObject<{
+    name: import("@vinejs/vine").VineString;
+    slug: import("@vinejs/vine").VineString;
+    ownerAccountId: import("@vinejs/vine").VineString;
+    logoUrl: import("@vinejs/vine/schema/base/literal").OptionalModifier<import("@vinejs/vine/schema/base/literal").NullableModifier<import("@vinejs/vine").VineString>>;
+}, {
+    logoUrl?: string | null | undefined;
+    name: string;
+    slug: string;
+    ownerAccountId: string;
+}, {
+    logoUrl?: string | null | undefined;
+    name: string;
+    slug: string;
+    ownerAccountId: string;
+}, {
+    logoUrl?: string | null | undefined;
+    name: string;
+    slug: string;
+    ownerAccountId: string;
+}>, Record<string, any> | undefined>;
+/** Atualização de org (PATCH): nome e/ou logo, ambos opcionais. */
+export declare const orgUpdateValidator: import("@vinejs/vine").VineValidator<import("@vinejs/vine").VineObject<{
+    name: import("@vinejs/vine/schema/base/literal").OptionalModifier<import("@vinejs/vine").VineString>;
+    logoUrl: import("@vinejs/vine/schema/base/literal").OptionalModifier<import("@vinejs/vine/schema/base/literal").NullableModifier<import("@vinejs/vine").VineString>>;
+}, {
+    name?: string | null | undefined;
+    logoUrl?: string | null | undefined;
+}, {
+    name?: string | undefined;
+    logoUrl?: string | null | undefined;
+}, {
+    name?: string | undefined;
+    logoUrl?: string | null | undefined;
+}>, Record<string, any> | undefined>;
+/** Adição de membro: accountId obrigatório; role opcional (default `member`). */
+export declare const orgAddMemberValidator: import("@vinejs/vine").VineValidator<import("@vinejs/vine").VineObject<{
+    accountId: import("@vinejs/vine").VineString;
+    role: import("@vinejs/vine/schema/base/literal").OptionalModifier<import("@vinejs/vine").VineString>;
+}, {
+    role?: string | null | undefined;
+    accountId: string;
+}, {
+    role?: string | undefined;
+    accountId: string;
+}, {
+    role?: string | undefined;
+    accountId: string;
+}>, Record<string, any> | undefined>;
+/** Troca de papel de membro: role obrigatório. */
+export declare const orgMemberRoleValidator: import("@vinejs/vine").VineValidator<import("@vinejs/vine").VineObject<{
+    role: import("@vinejs/vine").VineString;
+}, {
+    role: string;
+}, {
+    role: string;
+}, {
+    role: string;
+}>, Record<string, any> | undefined>;
+/** Criação de convite: e-mail obrigatório e validado; role opcional (default `member`). */
+export declare const orgInvitationValidator: import("@vinejs/vine").VineValidator<import("@vinejs/vine").VineObject<{
+    email: import("@vinejs/vine").VineString;
+    role: import("@vinejs/vine/schema/base/literal").OptionalModifier<import("@vinejs/vine").VineString>;
+}, {
+    role?: string | null | undefined;
+    email: string;
+}, {
+    role?: string | undefined;
+    email: string;
+}, {
+    role?: string | undefined;
+    email: string;
+}>, Record<string, any> | undefined>;
+/**
+ * Criação de role no catálogo: `name` obrigatório (o formato — uppercase +
+ * `ROLE_NAME_RE` — e a mensagem custom continuam no controller); `description`
+ * opcional.
+ */
+export declare const roleCreateValidator: import("@vinejs/vine").VineValidator<import("@vinejs/vine").VineObject<{
+    name: import("@vinejs/vine").VineString;
+    description: import("@vinejs/vine/schema/base/literal").OptionalModifier<import("@vinejs/vine").VineString>;
+}, {
+    description?: string | null | undefined;
+    name: string;
+}, {
+    description?: string | undefined;
+    name: string;
+}, {
+    description?: string | undefined;
+    name: string;
+}>, Record<string, any> | undefined>;
+/** Edição de role (PATCH): só `description` (o `name` vem da rota). */
+export declare const roleUpdateValidator: import("@vinejs/vine").VineValidator<import("@vinejs/vine").VineObject<{
+    description: import("@vinejs/vine/schema/base/literal").OptionalModifier<import("@vinejs/vine").VineString>;
+}, {
+    description?: string | null | undefined;
+}, {
+    description?: string | undefined;
+}, {
+    description?: string | undefined;
+}>, Record<string, any> | undefined>;
+/** `POST /tokens/verify` — token obrigatório. */
+export declare const tokenVerifyValidator: import("@vinejs/vine").VineValidator<import("@vinejs/vine").VineObject<{
+    token: import("@vinejs/vine").VineString;
+}, {
+    token: string;
+}, {
+    token: string;
+}, {
+    token: string;
+}>, Record<string, any> | undefined>;
+/**
+ * `accountId` obrigatório — para endpoints que o recebem por query/body (ex.:
+ * `POST /sessions/revoke-all?accountId=`). Como o valor pode vir de fontes
+ * diferentes (query OU route param), o controller monta o objeto e valida com
+ * `sessionAccountValidator.validate({ accountId })` (Vine valida qualquer dado,
+ * não só o body — `request.validateUsing` é só o atalho que valida `request.all()`).
+ */
+export declare const sessionAccountValidator: import("@vinejs/vine").VineValidator<import("@vinejs/vine").VineObject<{
+    accountId: import("@vinejs/vine").VineString;
+}, {
+    accountId: string;
+}, {
+    accountId: string;
+}, {
+    accountId: string;
+}>, Record<string, any> | undefined>;

package/build/src/host/admin_validators.js

@@ -0,0 +1,197 @@
+import vine from '@vinejs/vine';
+/**
+ * Validators VineJS dos recursos administrativos (Admin REST API + console admin).
+ *
+ * O console (B6) e a Admin REST API (R6) compartilham as MESMAS formas de input,
+ * então compartilham os MESMOS validators daqui. Cada controller chama
+ * `request.validateUsing(<validator>)` — um input inválido vira `E_VALIDATION_ERROR`
+ * (HTTP 422) pelo handler padrão do AdonisJS, substituindo as checagens manuais
+ * `request.input(...)` + 400 ad-hoc que existiam antes.
+ *
+ * `request.validateUsing` valida `request.all()` (body+query); para valores que
+ * vêm de OUTRAS fontes (route param, ou um accountId que pode vir de query OU
+ * param), chame o validator direto — `validator.validate({ ... })` — montando o
+ * objeto antes (ver {@link sessionAccountValidator}). Vine valida qualquer dado,
+ * não só o body.
+ *
+ * ── O que NÃO usa Vine (de propósito) ──────────────────────────────────────
+ * Nem todo input é candidato a validator com schema. Estes ficam com leitura
+ * manual de propósito (migrar seria regressão, não melhoria):
+ *
+ *   - **Forms Edge** (`account_orgs`, `account_confirm`, `account_session`): são
+ *     POSTs de formulário de sessão que, em input ausente, REDIRECIONAM de forma
+ *     graciosa (ex.: de volta p/ `/account/orgs`). O throw→422 do Vine quebraria
+ *     esse fluxo (vira flash-error/redirect do handler, não o redirect desenhado).
+ *   - **Blobs WebAuthn** (`response` em interaction/account_mfa/account_confirm):
+ *     credential JSON opaco, parseado pela lib de WebAuthn — não tem shape de
+ *     campos p/ validar.
+ *   - **Flags de checkbox** (`remember`, `trustDevice`): presença booleana.
+ *   - **`pat_introspection`** (`token`): endpoint RFC 7662 — token ausente/inválido
+ *     responde `{ active: false }`, não 422.
+ *   - **`createToken` (`name`)**: opcional com default (`'Token'`) — nada a exigir.
+ *
+ * Regra de bolso: use Vine onde há INPUT ESTRUTURADO de API JSON que deva ser
+ * REJEITADO quando inválido (422). Form-redirect, blob opaco, flag e semântica de
+ * protocolo ficam de fora.
+ */
+const authMethod = vine.enum(['client_secret_basic', 'client_secret_post', 'none']);
+/**
+ * Opções de validação de URL (L10): exige protocolo (URI absoluta), restringe a
+ * http/https (bloqueia `javascript:`, `ftp:`, etc.) e permite hosts de label única
+ * (`require_tld:false`) p/ não rejeitar `localhost` ou hostnames internos legítimos.
+ */
+const URL_OPTS = { require_protocol: true, require_tld: false, protocols: ['http', 'https'] };
+/** Array de URIs ABSOLUTAS http/https. Rejeita strings que não são URL válida. */
+const urlArray = vine.array(vine.string().trim().url(URL_OPTS));
+/**
+ * Allowlist de grant_types aceitos no registro/edição de client (M10). Bloqueia
+ * `implicit` (tokens no fragment da URL — sem PKCE/refresh) e qualquer valor fora
+ * desta lista. Mantém os fluxos suportados: authorization_code, refresh_token,
+ * client_credentials e token-exchange (impersonation, gateada em token_exchange.ts).
+ */
+const ALLOWED_GRANT_TYPES = [
+    'authorization_code',
+    'refresh_token',
+    'client_credentials',
+    'urn:ietf:params:oauth:grant-type:token-exchange',
+];
+const grantTypeArray = vine.array(vine.enum(ALLOWED_GRANT_TYPES));
+// NOTA: `response_types` NÃO é input de client nesta lib — é derivado por
+// `AdminClientsService.create` (`['code']` quando há authorization_code, senão
+// `[]`). Logo já está restrito a `code` sem precisar de validator (M10 ✓).
+// ─── Clients OIDC ───────────────────────────────────────────────────────────
+/**
+ * Input de client OIDC — serve create E update (PATCH). Tudo opcional: no create
+ * o controller aplica defaults (ver {@link clientCreateInput}); no update os campos
+ * ausentes (undefined) são preservados pelo `AdminClientsService.update` (merge,
+ * ver {@link clientPartialInput}). `grants` é aceito como alias de `grantTypes`
+ * (o DTO de saída usa `grants`).
+ */
+export const clientInputValidator = vine.compile(vine.object({
+    clientId: vine.string().trim().optional(),
+    // redirect/postLogout: URIs ABSOLUTAS (L10). `vine.string().url()` rejeita
+    // valores que não são URL (ex.: 'javascript:...', paths relativos).
+    redirectUris: urlArray.optional(),
+    postLogoutRedirectUris: urlArray.optional(),
+    // grant_types restrito à allowlist; `implicit` e desconhecidos viram 422 (M10).
+    grantTypes: grantTypeArray.optional(),
+    grants: grantTypeArray.optional(),
+    tokenEndpointAuthMethod: authMethod.optional(),
+    // backchannel_logout_uri também precisa ser URI absoluta (L10).
+    backchannelLogoutUri: vine.string().trim().url(URL_OPTS).optional(),
+    backchannelLogoutSessionRequired: vine.boolean().optional(),
+}));
+/** Mapeia o input validado para um {@link ClientInput} COMPLETO (create), com defaults. */
+export function clientCreateInput(v) {
+    return {
+        clientId: v.clientId?.trim() || undefined,
+        redirectUris: v.redirectUris ?? [],
+        postLogoutRedirectUris: v.postLogoutRedirectUris ?? [],
+        grantTypes: v.grantTypes ?? v.grants ?? [],
+        tokenEndpointAuthMethod: v.tokenEndpointAuthMethod ?? 'client_secret_basic',
+        backchannelLogoutUri: v.backchannelLogoutUri || undefined,
+        backchannelLogoutSessionRequired: v.backchannelLogoutSessionRequired,
+    };
+}
+/**
+ * Mapeia o input validado para um {@link ClientInput} PARCIAL (PATCH): só inclui
+ * os campos presentes; o `AdminClientsService.update` preserva o resto via merge.
+ */
+export function clientPartialInput(v) {
+    const out = {};
+    if (v.redirectUris !== undefined)
+        out.redirectUris = v.redirectUris;
+    if (v.postLogoutRedirectUris !== undefined)
+        out.postLogoutRedirectUris = v.postLogoutRedirectUris;
+    const grants = v.grantTypes ?? v.grants;
+    if (grants !== undefined)
+        out.grantTypes = grants;
+    if (v.tokenEndpointAuthMethod !== undefined)
+        out.tokenEndpointAuthMethod = v.tokenEndpointAuthMethod;
+    if (v.backchannelLogoutUri !== undefined)
+        out.backchannelLogoutUri = v.backchannelLogoutUri.trim() || undefined;
+    if (v.backchannelLogoutSessionRequired !== undefined)
+        out.backchannelLogoutSessionRequired = v.backchannelLogoutSessionRequired;
+    return out;
+}
+// ─── Usuários ───────────────────────────────────────────────────────────────
+/**
+ * Criação de usuário pelo admin (API + console). E-mail obrigatório e validado;
+ * nome/senha opcionais; `invite:true` cria sem senha e dispara o convite. A
+ * política de senha (força, comprimento mínimo do projeto) é checada DEPOIS pelo
+ * AdminUsersService.create (retorna `password_policy`); por isso aqui NÃO fixamos
+ * `minLength` — seria duplicar/contornar a policy configurável do projeto.
+ */
+export const adminUserCreateValidator = vine.compile(vine.object({
+    email: vine.string().trim().email(),
+    name: vine.string().trim().maxLength(255).optional(),
+    password: vine.string().maxLength(255).optional(),
+    invite: vine.boolean().optional(),
+}));
+/** Atualização de usuário (PATCH): roles globais e/ou perfil. Tudo opcional. */
+export const adminUserUpdateValidator = vine.compile(vine.object({
+    globalRoles: vine.array(vine.string().trim()).optional(),
+    name: vine.string().trim().maxLength(255).nullable().optional(),
+    avatarUrl: vine.string().trim().maxLength(2048).nullable().optional(),
+}));
+/** Substituição de roles globais no console (PATCH /users/:id/roles). */
+export const adminUserRolesValidator = vine.compile(vine.object({
+    roles: vine.array(vine.string().trim()).optional(),
+}));
+// ─── Organizações ─────────────────────────────────────────────────────────────
+/** Criação de org: name, slug e ownerAccountId obrigatórios; logo opcional. */
+export const orgCreateValidator = vine.compile(vine.object({
+    name: vine.string().trim().minLength(1).maxLength(255),
+    slug: vine.string().trim().minLength(1).maxLength(255),
+    ownerAccountId: vine.string().trim().minLength(1),
+    logoUrl: vine.string().trim().nullable().optional(),
+}));
+/** Atualização de org (PATCH): nome e/ou logo, ambos opcionais. */
+export const orgUpdateValidator = vine.compile(vine.object({
+    name: vine.string().trim().minLength(1).maxLength(255).optional(),
+    logoUrl: vine.string().trim().nullable().optional(),
+}));
+/** Adição de membro: accountId obrigatório; role opcional (default `member`). */
+export const orgAddMemberValidator = vine.compile(vine.object({
+    accountId: vine.string().trim().minLength(1),
+    role: vine.string().trim().minLength(1).optional(),
+}));
+/** Troca de papel de membro: role obrigatório. */
+export const orgMemberRoleValidator = vine.compile(vine.object({
+    role: vine.string().trim().minLength(1),
+}));
+/** Criação de convite: e-mail obrigatório e validado; role opcional (default `member`). */
+export const orgInvitationValidator = vine.compile(vine.object({
+    email: vine.string().trim().email(),
+    role: vine.string().trim().minLength(1).optional(),
+}));
+// ─── Catálogo de roles ──────────────────────────────────────────────────────
+/**
+ * Criação de role no catálogo: `name` obrigatório (o formato — uppercase +
+ * `ROLE_NAME_RE` — e a mensagem custom continuam no controller); `description`
+ * opcional.
+ */
+export const roleCreateValidator = vine.compile(vine.object({
+    name: vine.string().trim().minLength(1),
+    description: vine.string().trim().optional(),
+}));
+/** Edição de role (PATCH): só `description` (o `name` vem da rota). */
+export const roleUpdateValidator = vine.compile(vine.object({
+    description: vine.string().trim().optional(),
+}));
+// ─── Introspecção de token ──────────────────────────────────────────────────
+/** `POST /tokens/verify` — token obrigatório. */
+export const tokenVerifyValidator = vine.compile(vine.object({
+    token: vine.string().trim().minLength(1),
+}));
+// ─── Sessões ──────────────────────────────────────────────────────────────────
+/**
+ * `accountId` obrigatório — para endpoints que o recebem por query/body (ex.:
+ * `POST /sessions/revoke-all?accountId=`). Como o valor pode vir de fontes
+ * diferentes (query OU route param), o controller monta o objeto e valida com
+ * `sessionAccountValidator.validate({ accountId })` (Vine valida qualquer dado,
+ * não só o body — `request.validateUsing` é só o atalho que valida `request.all()`).
+ */
+export const sessionAccountValidator = vine.compile(vine.object({
+    accountId: vine.string().trim().minLength(1),
+}));

package/build/src/host/augmentations.d.ts

@@ -0,0 +1,12 @@
+/**
+ * Identificador NÃO-SENSÍVEL da API key admin que autenticou a request (R6),
+ * anexado pelo `adminApiGuard`. Usado pela trilha de auditoria REST para saber
+ * QUAL key agiu sem vazar o segredo (ex.: `admin-key:<8 hex>`). Ausente fora do
+ * grupo admin-api.
+ */
+declare module '@adonisjs/core/http' {
+    interface HttpContext {
+        adminApiKeyId?: string;
+    }
+}
+export {};

package/build/src/host/augmentations.js

@@ -0,0 +1 @@
+export {};

package/build/src/host/auth_host_config.d.ts

@@ -0,0 +1,22 @@
+import type { AuthSocialConfig, ResolvedRateLimitConfig } from '../define_config.js';
+/**
+ * Bits de routing do config resolvido que o `registerAuthHost` precisa em tempo de
+ * REGISTRO de rota (síncrono). Stash feito no `boot()` do provider — que roda ANTES
+ * dos preloads (start/routes.ts) — para que `registerAuthHost` leia do config em vez
+ * de exigir que o consumidor reespecifique tudo (elimina o drift config↔registerAuthHost).
+ *
+ * Module-level porque o IdP é um por processo (mesmo padrão de config_locks).
+ */
+export interface AuthHostRuntimeConfig {
+    mountPath: string;
+    social?: AuthSocialConfig;
+    rateLimit: ResolvedRateLimitConfig;
+    adminEnabled: boolean;
+    adminApiEnabled: boolean;
+}
+/** Stash dos bits de routing (chamado no boot do provider). */
+export declare function setAuthHostConfig(config: AuthHostRuntimeConfig): void;
+/** Lê os bits de routing stashados; undefined se o boot ainda não rodou (fallback p/ opts/defaults). */
+export declare function getAuthHostConfig(): AuthHostRuntimeConfig | undefined;
+/** Limpa o stash — uso em testes. */
+export declare function resetAuthHostConfig(): void;

package/build/src/host/auth_host_config.js

@@ -0,0 +1,13 @@
+let stashed;
+/** Stash dos bits de routing (chamado no boot do provider). */
+export function setAuthHostConfig(config) {
+    stashed = config;
+}
+/** Lê os bits de routing stashados; undefined se o boot ainda não rodou (fallback p/ opts/defaults). */
+export function getAuthHostConfig() {
+    return stashed;
+}
+/** Limpa o stash — uso em testes. */
+export function resetAuthHostConfig() {
+    stashed = undefined;
+}

package/build/src/host/avatar_storage.d.ts

@@ -0,0 +1,68 @@
+import type { HttpContext } from '@adonisjs/core/http';
+import type { ResolvedUploadsConfig } from '../define_config.js';
+/**
+ * Upload de avatar do host-kit usando o `@adonisjs/drive` JÁ configurado no app.
+ * Mesmo princípio do default_mailer/rate_limit: por padrão usamos a infra do
+ * host (o disk DEFAULT do drive do app), sem o dev precisar escrever nada; tudo
+ * é sobreponível via `config/authkit.ts` (`uploads.avatars`).
+ *
+ * Best-effort / fail-safe: se `@adonisjs/drive` não estiver instalado/configurado,
+ * {@link storeAvatar} retorna `null` e a feature degrada para o input de URL.
+ * Nunca lança na request por causa de drive ausente.
+ */
+/**
+ * Service do `@adonisjs/drive` resolvido de forma preguiçosa. Tipado como `any` de
+ * propósito: a lib NÃO depende do drive em tempo de compilação (peer/opt-in).
+ */
+type DriveService = any;
+/**
+ * Permite reapontar/limpar o loader do drive (usado em testes).
+ * @internal
+ */
+export declare function __setDriveLoaderForTests(fn: (() => Promise<DriveService | null>) | undefined): void;
+/** Erro de validação do upload (mensagem já localizada no controller). */
+export declare class AvatarUploadError extends Error {
+    reason: 'extname' | 'size';
+    constructor(reason: 'extname' | 'size', message: string);
+}
+/** File de multipart mínimo que precisamos do `request.file('avatar')`. */
+export interface UploadedAvatar {
+    extname?: string | null;
+    size?: number;
+    /** Caminho temporário (drive lê daqui para stream). */
+    tmpPath?: string | null;
+    /** Move o arquivo para um disk do drive (API v3+). */
+    moveToDisk?: (key: string, options?: {
+        disk?: string;
+    }) => Promise<void>;
+}
+/**
+ * Indica se o drive do app está disponível (para a view decidir mostrar o input
+ * de arquivo). Best-effort: nunca lança.
+ */
+export declare function isDriveAvailable(): Promise<boolean>;
+/**
+ * Armazena o avatar no drive do host e retorna a URL pública.
+ *
+ * - Valida extensão (jpg/jpeg/png/webp) e tamanho (≤ maxSizeMb) — lança
+ *   {@link AvatarUploadError} se inválido (o controller traduz/flasha).
+ * - Usa o disk configurado em `uploads.avatars.disk` ou o disk DEFAULT do app.
+ * - Se o drive estiver ausente/não-configurado → retorna `null` (degrada para URL).
+ *
+ * Nunca lança por causa de drive ausente; só lança em validação.
+ */
+export declare function storeAvatar(_ctx: HttpContext, cfg: ResolvedUploadsConfig, file: UploadedAvatar, accountId: string, messages: {
+    extname: string;
+    size: string;
+}): Promise<string | null>;
+/**
+ * Deleta (best-effort, fail-safe) o avatar de uma conta no drive do host, a partir
+ * da URL/key armazenada. Usado pela deleção de conta (LGPD): apaga o arquivo se
+ * conseguirmos derivar a key dentro do diretório configurado.
+ *
+ * NUNCA lança: drive ausente, key não reconhecida ou erro de I/O → no-op. A key é
+ * derivada da `storedUrlOrKey` pegando o trecho a partir de `directory/` (cobre
+ * tanto uma key relativa quanto uma URL pública que contenha o caminho).
+ */
+export declare function deleteAvatar(cfg: ResolvedUploadsConfig, storedUrlOrKey: string | null | undefined): Promise<boolean>;
+export {};