@adonis-agora/authkit-server 0.45.0 → 0.47.0

package/build/src/host/account_login_url.d.ts

@@ -0,0 +1,41 @@
+/**
+ * URL de login do console de conta — singleton de processo.
+ *
+ * Definida em tempo de registro das rotas (`registerAuthHost`, via a opção
+ * `accountLoginUrl`) e lida em runtime por TODOS os pontos que redirecionam o
+ * visitante não-autenticado para "faça login": os guards (`accountGuard`/
+ * `adminGuard`), o middleware `AccountAuthMiddleware`, o helper público
+ * `consoleLoginUrl()`, os redirects de fallback dos controllers de conta e a
+ * view Edge `otp-unlock` (injetada como prop `loginUrl` pelo renderer).
+ *
+ * Existe porque a tela `account/login` é DESMONTÁVEL (`account: { login: false }`):
+ * um host OIDC passwordless não monta o login por senha da lib e aponta o
+ * redirect de não-autenticado para a própria rota de login dele (ex.: `/login`).
+ * Sem esta indireção, esses destinos ficariam presos no `/account/login` que
+ * deixou de existir.
+ *
+ * Default `/account/login` (back-compat total: hosts que não passam a opção
+ * seguem redirecionando para a tela montada de sempre).
+ *
+ * Por que módulo singleton e não binding do container? Mesma razão do
+ * `admin_prefix`: os guards são closures construídas em tempo de registro,
+ * ANTES da primeira request, quando o container ainda não existe. Um módulo ESM
+ * é inicializado uma vez por processo — ideal para configuração imutável de boot.
+ */
+/**
+ * Define a URL de login do console de conta para este processo.
+ * Chamado UMA VEZ por `registerAuthHost` no boot da aplicação.
+ *
+ * Não normaliza o path: aceita qualquer caminho interno que o host queira
+ * (ex.: `'/login'`, `'/auth/entrar'`). Valor vazio/whitespace cai no default.
+ *
+ * @param url  Caminho de destino do redirect de não-autenticado.
+ */
+export declare function setAccountLoginUrl(url: string): void;
+/**
+ * Retorna a URL de login do console de conta (default `'/account/login'`).
+ * Usada por todo redirect/link de "faça login" da lib.
+ */
+export declare function getAccountLoginUrl(): string;
+/** Restaura o default — uso em testes (isola o singleton entre casos). */
+export declare function resetAccountLoginUrl(): void;

package/build/src/host/account_login_url.js

@@ -0,0 +1,50 @@
+/**
+ * URL de login do console de conta — singleton de processo.
+ *
+ * Definida em tempo de registro das rotas (`registerAuthHost`, via a opção
+ * `accountLoginUrl`) e lida em runtime por TODOS os pontos que redirecionam o
+ * visitante não-autenticado para "faça login": os guards (`accountGuard`/
+ * `adminGuard`), o middleware `AccountAuthMiddleware`, o helper público
+ * `consoleLoginUrl()`, os redirects de fallback dos controllers de conta e a
+ * view Edge `otp-unlock` (injetada como prop `loginUrl` pelo renderer).
+ *
+ * Existe porque a tela `account/login` é DESMONTÁVEL (`account: { login: false }`):
+ * um host OIDC passwordless não monta o login por senha da lib e aponta o
+ * redirect de não-autenticado para a própria rota de login dele (ex.: `/login`).
+ * Sem esta indireção, esses destinos ficariam presos no `/account/login` que
+ * deixou de existir.
+ *
+ * Default `/account/login` (back-compat total: hosts que não passam a opção
+ * seguem redirecionando para a tela montada de sempre).
+ *
+ * Por que módulo singleton e não binding do container? Mesma razão do
+ * `admin_prefix`: os guards são closures construídas em tempo de registro,
+ * ANTES da primeira request, quando o container ainda não existe. Um módulo ESM
+ * é inicializado uma vez por processo — ideal para configuração imutável de boot.
+ */
+const DEFAULT_ACCOUNT_LOGIN_URL = '/account/login';
+let _loginUrl = DEFAULT_ACCOUNT_LOGIN_URL;
+/**
+ * Define a URL de login do console de conta para este processo.
+ * Chamado UMA VEZ por `registerAuthHost` no boot da aplicação.
+ *
+ * Não normaliza o path: aceita qualquer caminho interno que o host queira
+ * (ex.: `'/login'`, `'/auth/entrar'`). Valor vazio/whitespace cai no default.
+ *
+ * @param url  Caminho de destino do redirect de não-autenticado.
+ */
+export function setAccountLoginUrl(url) {
+    const trimmed = (url ?? '').trim();
+    _loginUrl = trimmed || DEFAULT_ACCOUNT_LOGIN_URL;
+}
+/**
+ * Retorna a URL de login do console de conta (default `'/account/login'`).
+ * Usada por todo redirect/link de "faça login" da lib.
+ */
+export function getAccountLoginUrl() {
+    return _loginUrl;
+}
+/** Restaura o default — uso em testes (isola o singleton entre casos). */
+export function resetAccountLoginUrl() {
+    _loginUrl = DEFAULT_ACCOUNT_LOGIN_URL;
+}

package/build/src/host/admin_sessions_service.d.ts

@@ -55,7 +55,9 @@ export declare class AdminSessionsService {
      * a sessão na próxima request — INSTANTÂNEO, sem esperar o refresh token falhar.
      *
      * Best-effort: a destruição de grants/tokens acima já é a fonte da verdade; esta
-     * linha só acelera o efeito nos clients. Falha (tabela ausente) é silenciosa.
+     * linha só acelera o efeito nos clients. Falha (tabela ausente / lucid indisponível)
+     * NÃO propaga — mas NUNCA é silenciosa: é logada em `error`, porque uma revogação de
+     * sessão que não persiste é um risco de segurança que não pode ficar invisível.
      *
      * @param accountId Conta cujas sessões devem ser derrubadas (gravado em `sub`).
      * @param revokedAt Timestamp da revogação. Default: agora. A checagem do client

package/build/src/host/admin_sessions_service.js

@@ -1,3 +1,4 @@
+import { getBootedApp } from '../../services/booted_app.js';
 /**
  * Serviço de inspeção/revogação das SESSÕES e GRANTS ativos de uma conta,
  * persistidos pelo oidc-provider via o MESMO `AdapterClass` (mesmo padrão do
@@ -32,7 +33,9 @@ export class AdminSessionsService {
      * a sessão na próxima request — INSTANTÂNEO, sem esperar o refresh token falhar.
      *
      * Best-effort: a destruição de grants/tokens acima já é a fonte da verdade; esta
-     * linha só acelera o efeito nos clients. Falha (tabela ausente) é silenciosa.
+     * linha só acelera o efeito nos clients. Falha (tabela ausente / lucid indisponível)
+     * NÃO propaga — mas NUNCA é silenciosa: é logada em `error`, porque uma revogação de
+     * sessão que não persiste é um risco de segurança que não pode ficar invisível.
      *
      * @param accountId Conta cujas sessões devem ser derrubadas (gravado em `sub`).
      * @param revokedAt Timestamp da revogação. Default: agora. A checagem do client
@@ -43,7 +46,16 @@ export class AdminSessionsService {
      */
     async recordSubRevocation(accountId, revokedAt = new Date()) {
         try {
-            const db = (await import('@adonisjs/lucid/services/db')).default;
+            // Resolve o Lucid pelo ALIAS STRING `'lucid.db'` (o mesmo idioma de
+            // `runtime_settings.ts` e do provider), NUNCA por `import('@adonisjs/lucid/services/db')`
+            // — esse resolve a CLASSE `Database` e a usa como TOKEN do container. Com duas cópias
+            // físicas do lucid na árvore do host (pins distintos ou o mesmo pin sob peer sets
+            // distintos, que o pnpm materializa em diretórios separados) os tokens-classe diferem, o
+            // `make()` falha (`Cannot construct "[class Database]"`) e a gravação era engolida em
+            // SILÊNCIO por este catch — a pior variante do bug. Um token string não pode ser
+            // duplicado. O app vem do provider (ver `services/booted_app.ts`), não de `services/app`.
+            const app = getBootedApp();
+            const db = await app.container.make('lucid.db');
             const conn = this.#schemaConnection
                 ? db.connection(this.#schemaConnection)
                 : db.connection();
@@ -53,8 +65,28 @@ export class AdminSessionsService {
                 revoked_at: revokedAt,
             });
         }
+        catch (error) {
+            // A invalidação server-side (destruição de grants/tokens) já é a fonte da verdade, então
+            // NÃO propagamos. Mas NUNCA engolimos em silêncio: logamos em `error` para que a falha da
+            // propagação cookie-based (tabela ausente, lucid indisponível, provider não registrado)
+            // seja visível — uma revogação que não persiste é um risco de segurança invisível.
+            await this.#logRevocationFailure(accountId, error);
+        }
+    }
+    /**
+     * Loga (best-effort, sem nunca lançar) a falha de {@link recordSubRevocation}. Prefere o
+     * `logger` do container; se ele não puder ser resolvido (ex.: o próprio `getBootedApp()` foi o
+     * que falhou), cai em `console.error` — a falha PRECISA aparecer em algum lugar.
+     */
+    async #logRevocationFailure(accountId, error) {
+        const msg = 'authkit: falha ao gravar a revogação por sub (auth_session_revocations) — a propagação cookie-based da revogação de sessão não foi persistida';
+        try {
+            const logger = await getBootedApp().container.make('logger');
+            logger.error({ err: error, accountId }, msg);
+        }
         catch {
-            /* tabela ausente / lucid indisponível — a invalidação server-side ainda vale */
+            // eslint-disable-next-line no-console
+            console.error(msg, { accountId, error });
         }
     }
     /** Indica se o adapter suporta enumeração (capacidade opcional). */

package/build/src/host/assets/webauthn.js

@@ -0,0 +1,2 @@
+function l(e){let t=new Uint8Array(e),r="";for(let n of t)r+=String.fromCharCode(n);return btoa(r).replace(/\+/g,"-").replace(/\//g,"_").replace(/=/g,"")}function h(e){let t=e.replace(/-/g,"+").replace(/_/g,"/"),r=(4-t.length%4)%4,i=t.padEnd(t.length+r,"="),n=atob(i),c=new ArrayBuffer(n.length),f=new Uint8Array(c);for(let a=0;a<n.length;a++)f[a]=n.charCodeAt(a);return c}function p(){return C.stubThis(globalThis?.PublicKeyCredential!==void 0&&typeof globalThis.PublicKeyCredential=="function")}var C={stubThis:e=>e};function R(e){let{id:t}=e;return{...e,id:h(t),transports:e.transports}}function w(e){return e==="localhost"||/^((xn--[a-z0-9-]+|[a-z0-9]+(-[a-z0-9]+)*)\.)+([a-z]{2,}|xn--[a-z0-9-]+)$/i.test(e)}var o=class extends Error{constructor({message:t,code:r,cause:i,name:n}){super(t,{cause:i}),Object.defineProperty(this,"code",{enumerable:!0,configurable:!0,writable:!0,value:void 0}),this.name=n??i.name,this.code=r}};function I({error:e,options:t}){let{publicKey:r}=t;if(!r)throw Error("options was missing required publicKey property");if(e.name==="AbortError"){if(t.signal instanceof AbortSignal)return new o({message:"Registration ceremony was sent an abort signal",code:"ERROR_CEREMONY_ABORTED",cause:e})}else if(e.name==="ConstraintError"){if(r.authenticatorSelection?.requireResidentKey===!0)return new o({message:"Discoverable credentials were required but no available authenticator supported it",code:"ERROR_AUTHENTICATOR_MISSING_DISCOVERABLE_CREDENTIAL_SUPPORT",cause:e});if(t.mediation==="conditional"&&r.authenticatorSelection?.userVerification==="required")return new o({message:"User verification was required during automatic registration but it could not be performed",code:"ERROR_AUTO_REGISTER_USER_VERIFICATION_FAILURE",cause:e});if(r.authenticatorSelection?.userVerification==="required")return new o({message:"User verification was required but no available authenticator supported it",code:"ERROR_AUTHENTICATOR_MISSING_USER_VERIFICATION_SUPPORT",cause:e})}else{if(e.name==="InvalidStateError")return new o({message:"The authenticator was previously registered",code:"ERROR_AUTHENTICATOR_PREVIOUSLY_REGISTERED",cause:e});if(e.name==="NotAllowedError")return new o({message:e.message,code:"ERROR_PASSTHROUGH_SEE_CAUSE_PROPERTY",cause:e});if(e.name==="NotSupportedError")return r.pubKeyCredParams.filter(n=>n.type==="public-key").length===0?new o({message:'No entry in pubKeyCredParams was of type "public-key"',code:"ERROR_MALFORMED_PUBKEYCREDPARAMS",cause:e}):new o({message:"No available authenticator supported any of the specified pubKeyCredParams algorithms",code:"ERROR_AUTHENTICATOR_NO_SUPPORTED_PUBKEYCREDPARAMS_ALG",cause:e});if(e.name==="SecurityError"){let i=globalThis.location.hostname;if(w(i)){if(r.rp.id!==i)return new o({message:`The RP ID "${r.rp.id}" is invalid for this domain`,code:"ERROR_INVALID_RP_ID",cause:e})}else return new o({message:`${globalThis.location.hostname} is an invalid domain`,code:"ERROR_INVALID_DOMAIN",cause:e})}else if(e.name==="TypeError"){if(r.user.id.byteLength<1||r.user.id.byteLength>64)return new o({message:"User ID was not between 1 and 64 characters",code:"ERROR_INVALID_USER_ID_LENGTH",cause:e})}else if(e.name==="UnknownError")return new o({message:"The authenticator was unable to process the specified options, or could not create a new credential",code:"ERROR_AUTHENTICATOR_GENERAL_ERROR",cause:e})}return e}var S=class{constructor(){Object.defineProperty(this,"controller",{enumerable:!0,configurable:!0,writable:!0,value:void 0})}createNewAbortSignal(){if(this.controller){let r=new Error("Cancelling existing WebAuthn API call for new one");r.name="AbortError",this.controller.abort(r)}let t=new AbortController;return this.controller=t,t.signal}cancelCeremony(){if(this.controller){let t=new Error("Manually cancelling existing WebAuthn API call");t.name="AbortError",this.controller.abort(t),this.controller=void 0}}},A=new S;var x=["cross-platform","platform"];function E(e){if(e&&!(x.indexOf(e)<0))return e}async function N(e){!e.optionsJSON&&e.challenge&&(console.warn("startRegistration() was not called correctly. It will try to continue with the provided options, but this call should be refactored to use the expected call structure instead. See https://simplewebauthn.dev/docs/packages/browser#typeerror-cannot-read-properties-of-undefined-reading-challenge for more information."),e={optionsJSON:e});let{optionsJSON:t,useAutoRegister:r=!1}=e;if(!p())throw new Error("WebAuthn is not supported in this browser");let i={...t,challenge:h(t.challenge),user:{...t.user,id:h(t.user.id)},excludeCredentials:t.excludeCredentials?.map(R)},n={};r&&(n.mediation="conditional"),n.publicKey=i,n.signal=A.createNewAbortSignal();let c;try{c=await navigator.credentials.create(n)}catch(u){throw I({error:u,options:n})}if(!c)throw new Error("Registration was not completed");let{id:f,rawId:a,response:s,type:y}=c,d;typeof s.getTransports=="function"&&(d=s.getTransports());let g;if(typeof s.getPublicKeyAlgorithm=="function")try{g=s.getPublicKeyAlgorithm()}catch(u){O("getPublicKeyAlgorithm()",u)}let b;if(typeof s.getPublicKey=="function")try{let u=s.getPublicKey();u!==null&&(b=l(u))}catch(u){O("getPublicKey()",u)}let m;if(typeof s.getAuthenticatorData=="function")try{m=l(s.getAuthenticatorData())}catch(u){O("getAuthenticatorData()",u)}return{id:f,rawId:l(a),response:{attestationObject:l(s.attestationObject),clientDataJSON:l(s.clientDataJSON),transports:d,publicKeyAlgorithm:g,publicKey:b,authenticatorData:m},type:y,clientExtensionResults:c.getClientExtensionResults(),authenticatorAttachment:E(c.authenticatorAttachment)}}function O(e,t){console.warn(`The browser extension that intercepted this WebAuthn API call incorrectly implemented ${e}. You should report this error to them.
+`,t)}function _(){if(!p())return T.stubThis(new Promise(t=>t(!1)));let e=globalThis.PublicKeyCredential;return e?.isConditionalMediationAvailable===void 0?T.stubThis(new Promise(t=>t(!1))):T.stubThis(e.isConditionalMediationAvailable())}var T={stubThis:e=>e};function P({error:e,options:t}){let{publicKey:r}=t;if(!r)throw Error("options was missing required publicKey property");if(e.name==="AbortError"){if(t.signal instanceof AbortSignal)return new o({message:"Authentication ceremony was sent an abort signal",code:"ERROR_CEREMONY_ABORTED",cause:e})}else{if(e.name==="NotAllowedError")return new o({message:e.message,code:"ERROR_PASSTHROUGH_SEE_CAUSE_PROPERTY",cause:e});if(e.name==="SecurityError"){let i=globalThis.location.hostname;if(w(i)){if(r.rpId!==i)return new o({message:`The RP ID "${r.rpId}" is invalid for this domain`,code:"ERROR_INVALID_RP_ID",cause:e})}else return new o({message:`${globalThis.location.hostname} is an invalid domain`,code:"ERROR_INVALID_DOMAIN",cause:e})}else if(e.name==="UnknownError")return new o({message:"The authenticator was unable to process the specified options, or could not create a new assertion signature",code:"ERROR_AUTHENTICATOR_GENERAL_ERROR",cause:e})}return e}async function D(e){!e.optionsJSON&&e.challenge&&(console.warn("startAuthentication() was not called correctly. It will try to continue with the provided options, but this call should be refactored to use the expected call structure instead. See https://simplewebauthn.dev/docs/packages/browser#typeerror-cannot-read-properties-of-undefined-reading-challenge for more information."),e={optionsJSON:e});let{optionsJSON:t,useBrowserAutofill:r=!1,verifyBrowserAutofillInput:i=!0}=e;if(!p())throw new Error("WebAuthn is not supported in this browser");let n;t.allowCredentials?.length!==0&&(n=t.allowCredentials?.map(R));let c={...t,challenge:h(t.challenge),allowCredentials:n},f={};if(r){if(!await _())throw Error("Browser does not support WebAuthn autofill");if(document.querySelectorAll("input[autocomplete$='webauthn']").length<1&&i)throw Error('No <input> with "webauthn" as the only or last value in its `autocomplete` attribute was detected');f.mediation="conditional",c.allowCredentials=[]}f.publicKey=c,f.signal=A.createNewAbortSignal();let a;try{a=await navigator.credentials.get(f)}catch(m){throw P({error:m,options:f})}if(!a)throw new Error("Authentication was not completed");let{id:s,rawId:y,response:d,type:g}=a,b;return d.userHandle&&(b=l(d.userHandle)),{id:s,rawId:l(y),response:{authenticatorData:l(d.authenticatorData),clientDataJSON:l(d.clientDataJSON),signature:l(d.signature),userHandle:b},type:g,clientExtensionResults:a.getClientExtensionResults(),authenticatorAttachment:E(a.authenticatorAttachment)}}function v(){return p()?PublicKeyCredential.isUserVerifyingPlatformAuthenticatorAvailable():new Promise(e=>e(!1))}export{A as WebAuthnAbortService,o as WebAuthnError,p as browserSupportsWebAuthn,_ as browserSupportsWebAuthnAutofill,v as platformAuthenticatorIsAvailable,D as startAuthentication,N as startRegistration};

package/build/src/host/console_session.d.ts

@@ -21,6 +21,10 @@ export declare function hasAccountSession(ctx: HttpContext): boolean;
  * URL do login do console, com `return_to` opcional de volta ao destino
  * original após autenticar.
  *
+ * Respeita a opção `accountLoginUrl` de `registerAuthHost`: quando o host
+ * desmontou a tela `account/login` e apontou para a própria rota de login
+ * (ex.: `/login`), este helper usa esse destino. Default `/account/login`.
+ *
  * @example
  * consoleLoginUrl('/telescope') // => '/account/login?return_to=%2Ftelescope'
  */

package/build/src/host/console_session.js

@@ -1,4 +1,5 @@
 import { ACCOUNT_SESSION_KEY } from './middleware/account_auth.js';
+import { getAccountLoginUrl } from './account_login_url.js';
 /**
  * Helpers públicos para integrar a sessão do console do AuthKit com
  * qualquer coisa fora do pacote (ex.: proteger o dashboard do
@@ -26,11 +27,17 @@ export function hasAccountSession(ctx) {
  * URL do login do console, com `return_to` opcional de volta ao destino
  * original após autenticar.
  *
+ * Respeita a opção `accountLoginUrl` de `registerAuthHost`: quando o host
+ * desmontou a tela `account/login` e apontou para a própria rota de login
+ * (ex.: `/login`), este helper usa esse destino. Default `/account/login`.
+ *
  * @example
  * consoleLoginUrl('/telescope') // => '/account/login?return_to=%2Ftelescope'
  */
 export function consoleLoginUrl(returnTo) {
+    const loginUrl = getAccountLoginUrl();
     if (!returnTo)
-        return '/account/login';
-    return `/account/login?return_to=${encodeURIComponent(returnTo)}`;
+        return loginUrl;
+    const sep = loginUrl.includes('?') ? '&' : '?';
+    return `${loginUrl}${sep}return_to=${encodeURIComponent(returnTo)}`;
 }

package/build/src/host/controllers/account_confirm_controller.d.ts

@@ -1,24 +1,21 @@
 /**
  * Sudo mode — tela de confirmação de identidade (/account/confirm).
  *
- * GET  /account/confirm  → exibe o formulário de senha (e opção de passkey se disponível).
- * POST /account/confirm  → verifica a senha e, se correta, marca o sudo na sessão.
- * POST /account/confirm/passkey/options → gera as opções de autenticação.
- * POST /account/confirm/passkey         → verifica a resposta da passkey e marca o sudo.
+ * O GET lista os métodos DISPONÍVEIS para a conta (SPI `SudoMethod`); a
+ * verificação de cada um vive no próprio método, nas rotas que ele registra.
+ * Este controller não verifica credencial nem chama `markSudo`.
  *
  * A tela está atrás do `accountGuard` (requer sessão de conta ativa).
- * Após confirmação, redireciona para `return_to` (validado) ou para `/account/tokens`.
  */
 import '../augmentations.js';
 import type { HttpContext } from '@adonisjs/core/http';
+import { sudoContextFrom } from '../sudo/runtime.js';
+/**
+ * Reexport de compatibilidade. O construtor canônico do `SudoContext` vive em
+ * `sudo/runtime.ts` (é runtime do SPI, não detalhe da tela); este caminho
+ * antigo segue valendo para quem já o importava.
+ */
+export { sudoContextFrom };
 export default class AccountConfirmController {
-    show(ctx: HttpContext): Promise<any>;
-    confirm(ctx: HttpContext): Promise<void>;
-    passkeyOptions(ctx: HttpContext): Promise<any>;
-    passkeyConfirm(ctx: HttpContext): Promise<void>;
-    /**
-     * Verifica se a conta é "passwordless" (sem hash de senha definido).
-     * Fail-safe: retorna `false` quando não é possível determinar.
-     */
-    private isPasswordless;
+    show(ctx: HttpContext): Promise<unknown>;
 }

package/build/src/host/controllers/account_confirm_controller.js

@@ -1,144 +1,56 @@
 /**
  * Sudo mode — tela de confirmação de identidade (/account/confirm).
  *
- * GET  /account/confirm  → exibe o formulário de senha (e opção de passkey se disponível).
- * POST /account/confirm  → verifica a senha e, se correta, marca o sudo na sessão.
- * POST /account/confirm/passkey/options → gera as opções de autenticação.
- * POST /account/confirm/passkey         → verifica a resposta da passkey e marca o sudo.
+ * O GET lista os métodos DISPONÍVEIS para a conta (SPI `SudoMethod`); a
+ * verificação de cada um vive no próprio método, nas rotas que ele registra.
+ * Este controller não verifica credencial nem chama `markSudo`.
  *
  * A tela está atrás do `accountGuard` (requer sessão de conta ativa).
- * Após confirmação, redireciona para `return_to` (validado) ou para `/account/tokens`.
  */
 import '../augmentations.js';
-import { ACCOUNT_SESSION_KEY } from '../middleware/account_auth.js';
-import { translate } from '../i18n.js';
-import { supportsPasskeys } from '../../accounts/account_store.js';
-import { markSudo } from '../sudo_mode.js';
-import { validateReturnTo } from './account_session_controller.js';
-import { accountHome } from '../account_home.js';
-/** Chave de sessão para o challenge de passkey no confirm. */
-const CONFIRM_PASSKEY_CHALLENGE_KEY = 'authkit_confirm_passkey_challenge';
+import { resolveAvailableMethods, configuredSudoMethods, isSudoMethodMounted, sudoContextFrom, LAST_METHOD_SESSION_KEY, } from '../sudo/runtime.js';
+/**
+ * Reexport de compatibilidade. O construtor canônico do `SudoContext` vive em
+ * `sudo/runtime.ts` (é runtime do SPI, não detalhe da tela); este caminho
+ * antigo segue valendo para quem já o importava.
+ */
+export { sudoContextFrom };
 export default class AccountConfirmController {
     async show(ctx) {
-        const service = await ctx.containerResolver.make('authkit.server');
-        const cfg = service.config;
-        const render = cfg.render;
-        const userId = ctx.session.get(ACCOUNT_SESSION_KEY);
-        const passkeyAvailable = supportsPasskeys(cfg.accountStore)
-            ? (await cfg.accountStore.listPasskeys(userId)).length > 0
-            : false;
-        // Conta passwordless: sem hash de senha (campo `password` vazio/null no model).
-        // Verificamos indiretamente: verifyCredentials com senha fictícia vai falhar,
-        // mas precisamos saber se a conta TEM senha. Abordagem: a conta é "passwordless"
-        // se o store suporta passkeys, a conta tem pelo menos uma passkey E não tem
-        // hash de senha — mas sem expor o hash, usamos uma flag do store se disponível.
-        // Fallback conservador: assumimos que a conta tem senha se não soubermos.
-        const passwordless = await this.isPasswordless(cfg, userId);
-        const rawReturnTo = ctx.request.qs?.()?.return_to ?? ctx.request.input?.('return_to');
-        const returnTo = validateReturnTo(rawReturnTo);
-        return render(ctx, 'account/confirm', {
+        const c = await sudoContextFrom(ctx);
+        const available = await resolveAvailableMethods(c, configuredSudoMethods(c.cfg));
+        const methods = await Promise.all(available.map(async (m) => ({ id: m.id, ...(await m.describe(c)) })));
+        if (!methods.length) {
+            // Nenhum método disponível é erro de CONFIGURAÇÃO do host, não usuário
+            // preso: a tela informa e o log aponta o problema.
+            ;
+            ctx.logger?.error({ accountId: c.accountId }, 'authkit: nenhum método de sudo disponível para a conta — verifique config.sudo.methods');
+        }
+        // FLAG-DRIFT: `config.sudo.methods` decide o que a tela OFERECE, mas as
+        // rotas são montadas em tempo de registro, por `registerAuthHost`. Se as
+        // duas listas divergirem, a tela mostra um método cujo endpoint não existe
+        // — falha silenciosa e confusa. Avisa alto, uma vez por render.
+        //
+        // Só o caso de config EXPLÍCITA chega aqui divergindo: sem config,
+        // `configuredSudoMethods` devolve a própria lista montada.
+        for (const m of methods) {
+            if (!isSudoMethodMounted(m.id)) {
+                ;
+                ctx.logger?.warn({ method: m.id }, `authkit: método de sudo "${m.id}" está em config.sudo.methods mas não teve ` +
+                    'rotas montadas por registerAuthHost — a tela vai oferecer uma opção cujo ' +
+                    'endpoint não existe');
+            }
+        }
+        return c.cfg.render(ctx, 'account/confirm', {
             csrfToken: ctx.request.csrfToken,
-            returnTo,
+            returnTo: c.returnTo,
             error: ctx.session.flashMessages.get('confirmError') ?? null,
-            passwordless,
-            passkeyAvailable,
-        });
-    }
-    async confirm(ctx) {
-        const service = await ctx.containerResolver.make('authkit.server');
-        const cfg = service.config;
-        const userId = ctx.session.get(ACCOUNT_SESSION_KEY);
-        const account = await cfg.accountStore.findById(userId);
-        const rawReturnTo = ctx.request.input?.('return_to');
-        const returnTo = validateReturnTo(rawReturnTo);
-        const { password } = ctx.request.only(['password']);
-        if (!password || !account) {
-            ctx.session.flash('confirmError', translate(cfg.messages, 'account.confirm.error'));
-            return ctx.response.redirect(`/account/confirm${returnTo ? `?return_to=${encodeURIComponent(returnTo)}` : ''}`);
-        }
-        const verified = await cfg.accountStore.verifyCredentials(account.email, password);
-        if (!verified) {
-            ctx.session.flash('confirmError', translate(cfg.messages, 'account.confirm.error'));
-            return ctx.response.redirect(`/account/confirm${returnTo ? `?return_to=${encodeURIComponent(returnTo)}` : ''}`);
-        }
-        // Confirmado: marca o sudo na sessão.
-        markSudo(ctx);
-        await cfg.audit?.record({
-            type: 'sudo.confirmed',
-            accountId: userId,
-            ip: ctx.request.ip?.() ?? null,
-            metadata: { method: 'password' },
-        });
-        return ctx.response.redirect(returnTo ?? accountHome(cfg));
-    }
-    async passkeyOptions(ctx) {
-        const service = await ctx.containerResolver.make('authkit.server');
-        const cfg = service.config;
-        const userId = ctx.session.get(ACCOUNT_SESSION_KEY);
-        const generated = await cfg.accountStore.generatePasskeyAuthenticationOptions?.(userId);
-        if (!generated) {
-            return ctx.response.notFound({
-                message: translate(cfg.messages, 'errors.no_passkey_registered'),
-            });
-        }
-        ctx.session.put(CONFIRM_PASSKEY_CHALLENGE_KEY, generated.challenge);
-        return generated.options;
-    }
-    async passkeyConfirm(ctx) {
-        const service = await ctx.containerResolver.make('authkit.server');
-        const cfg = service.config;
-        const userId = ctx.session.get(ACCOUNT_SESSION_KEY);
-        const challenge = ctx.session.get(CONFIRM_PASSKEY_CHALLENGE_KEY);
-        const rawReturnTo = ctx.request.input?.('return_to');
-        const returnTo = validateReturnTo(rawReturnTo);
-        if (!challenge) {
-            ctx.session.flash('confirmError', translate(cfg.messages, 'account.confirm.passkey_error'));
-            return ctx.response.redirect(`/account/confirm${returnTo ? `?return_to=${encodeURIComponent(returnTo)}` : ''}`);
-        }
-        const raw = ctx.request.input('response');
-        let parsed = null;
-        try {
-            parsed = raw ? JSON.parse(raw) : null;
-        }
-        catch {
-            parsed = null;
-        }
-        const ok = parsed
-            ? ((await cfg.accountStore.verifyPasskeyAuthentication?.(userId, parsed, challenge)) ?? false)
-            : false;
-        ctx.session.forget(CONFIRM_PASSKEY_CHALLENGE_KEY);
-        if (!ok) {
-            ctx.session.flash('confirmError', translate(cfg.messages, 'account.confirm.passkey_error'));
-            return ctx.response.redirect(`/account/confirm${returnTo ? `?return_to=${encodeURIComponent(returnTo)}` : ''}`);
-        }
-        // Passkey confirmada: marca o sudo.
-        markSudo(ctx);
-        await cfg.audit?.record({
-            type: 'sudo.confirmed',
-            accountId: userId,
-            ip: ctx.request.ip?.() ?? null,
-            metadata: { method: 'passkey' },
+            // `confirmNotice` é flashado por `magic_link.ts` ao enviar o link (já
+            // traduzido, mesmo padrão de `confirmError`). Sem repassar aqui, quem
+            // pede o link volta para a tela sem nenhum feedback de que o e-mail saiu.
+            notice: ctx.session.flashMessages.get('confirmNotice') ?? null,
+            methods,
+            preferredId: ctx.session.get(LAST_METHOD_SESSION_KEY) ?? null,
         });
-        return ctx.response.redirect(returnTo ?? accountHome(cfg));
-    }
-    /**
-     * Verifica se a conta é "passwordless" (sem hash de senha definido).
-     * Fail-safe: retorna `false` quando não é possível determinar.
-     */
-    async isPasswordless(cfg, accountId) {
-        try {
-            // Se o store expõe __getRawRow, verificamos se o hash de senha está vazio.
-            const row = await cfg.accountStore.__getRawRow?.(accountId);
-            if (row) {
-                const pw = row.password;
-                // Hash vazio ou nulo → passwordless.
-                if (!pw || pw === '')
-                    return true;
-            }
-            return false;
-        }
-        catch {
-            return false;
-        }
     }
 }

package/build/src/host/controllers/account_orgs_controller.js

@@ -1,6 +1,7 @@
 import '../augmentations.js';
 import { supportsOrganizations } from '../../accounts/account_store.js';
 import { ACCOUNT_SESSION_KEY } from '../middleware/account_auth.js';
+import { getAccountLoginUrl } from '../account_login_url.js';
 import { resolveRuntimeSettings } from '../runtime_settings.js';
 import { isRoleInCatalog } from '../runtime_toggles.js';
 import { ACTIVE_ORG_COOKIE, ACTIVE_ORG_COOKIE_TTL, encodeActiveOrgCookie, } from '../active_org_cookie.js';
@@ -26,7 +27,7 @@ export default class AccountOrgsController {
         const accountId = session.get(ACCOUNT_SESSION_KEY);
         const account = await store.findById(accountId);
         if (!account)
-            return response.redirect('/account/login');
+            return response.redirect(getAccountLoginUrl());
         const orgs = await store.listOrgsForAccount(accountId);
         const pendingInvitations = await store.listPendingInvitationsForEmail(account.email);
         // Enriquece convites com o nome da org
@@ -210,9 +211,11 @@ export default class AccountOrgsController {
             return response.notFound();
         const accountId = session.get(ACCOUNT_SESSION_KEY);
         if (!accountId) {
-            // Não logado: redireciona para login com return URL
+            // Não logado: redireciona para login (configurável) com return URL
+            const loginUrl = getAccountLoginUrl();
             const returnTo = encodeURIComponent(`/account/orgs/invitations/${params.token}/accept`);
-            return response.redirect(`/account/login?returnTo=${returnTo}`);
+            const sep = loginUrl.includes('?') ? '&' : '?';
+            return response.redirect(`${loginUrl}${sep}returnTo=${returnTo}`);
         }
         const tokenHash = createHash('sha256').update(params.token).digest('hex');
         const invitation = await store.findInvitationByTokenHash(tokenHash);
@@ -236,7 +239,7 @@ export default class AccountOrgsController {
             return response.notFound();
         const accountId = session.get(ACCOUNT_SESSION_KEY);
         if (!accountId)
-            return response.redirect('/account/login');
+            return response.redirect(getAccountLoginUrl());
         const tokenHash = createHash('sha256').update(params.token).digest('hex');
         const invitation = await store.findInvitationByTokenHash(tokenHash);
         if (!invitation)

package/build/src/host/controllers/account_security_controller.js

@@ -1,5 +1,6 @@
 import "../augmentations.js";
 import { ACCOUNT_SESSION_KEY } from "../middleware/account_auth.js";
+import { getAccountLoginUrl } from "../account_login_url.js";
 import { supportsAccountSecurity, supportsAccountDeletion, supportsProfile, supportsPasswordHistory, } from "../../accounts/account_store.js";
 import { changePasswordValidator, changeEmailValidator, deleteAccountValidator, updateProfileValidator, } from "../validators.js";
 import { sendEmailChangeConfirmationEmail, sendEmailChangeNoticeEmail, sendEmailChangedCompletedEmail, } from "../default_mailer.js";
@@ -150,7 +151,7 @@ export default class AccountSecurityController {
             return sudoResultDel;
         const account = await store.findById(userId);
         if (!account) {
-            return ctx.response.redirect("/account/login");
+            return ctx.response.redirect(getAccountLoginUrl());
         }
         const { currentPassword, confirmEmail } = await ctx.request.validateUsing(deleteAccountValidator);
         // Confirmação: senha atual correta OU e-mail digitado batendo com o da conta
@@ -196,7 +197,7 @@ export default class AccountSecurityController {
         ctx.session.forget(ACCOUNT_SESSION_KEY);
         await syncAdonisAuthLogout(ctx, cfg);
         ctx.session.flash("accountDeleted", translate(cfg.messages, "account.delete.deleted"));
-        return ctx.response.redirect("/account/login");
+        return ctx.response.redirect(getAccountLoginUrl());
     }
     /**
      * POST /account/security/trusted-devices/revoke

package/build/src/host/controllers/account_session_controller.js

@@ -5,6 +5,7 @@ import { attemptPasswordLogin } from '../login_attempt.js';
 import { notifyLoginSuccess } from '../login_notify.js';
 import { markSudo } from '../sudo_mode.js';
 import { accountHome } from '../account_home.js';
+import { getAccountLoginUrl } from '../account_login_url.js';
 import { resolveRuntimeSettings } from '../runtime_settings.js';
 import { syncAdonisAuthLogin, syncAdonisAuthLogout } from '../adonis_auth_sync.js';
 /**
@@ -108,14 +109,31 @@ export default class AccountSessionController {
         const cfg = service.config;
         // M6: não basta `forget(ACCOUNT_SESSION_KEY)` — sobravam na sessão
         // `authkit_sudo_at` (sudo), `authkit_last_seen` e qualquer outro estado
-        // sensível, com o session id INALTERADO. Regenerar a sessão troca o id E
-        // descarta todos os dados antigos (sudo/last-seen inclusos), destruindo de
-        // fato a sessão de privilégio. Mantemos o `forget` explícito por garantia
-        // (belt-and-braces) caso o store de sessão não suporte regenerate.
+        // sensível, com o session id INALTERADO. Regenerar troca o id do cookie,
+        // o que invalida o identificador antigo.
+        //
+        // ATENÇÃO ao que `regenerate()` NÃO faz: ele NÃO descarta os dados. O
+        // AdonisJS MIGRA o conteúdo da sessão para o id novo (é o mesmo
+        // comportamento descrito no M5 do login, e é por isso que o estado de
+        // pré-login sobrevive lá). Quem apaga estado aqui é o `forget` explícito —
+        // não o `regenerate`.
+        //
+        // Consequência de projeto: TODO dado sensível guardado na sessão precisa
+        // ser VINCULADO À CONTA que o gravou (ex.: `accountId` no pendente do
+        // magic link de sudo, na vinculação do challenge de passkey e na marca de
+        // sudo — `SUDO_ACCOUNT_SESSION_KEY`). Confiar que ele "some no logout" é
+        // falso — num navegador compartilhado ele sobrevive ao logout de A e ao
+        // login de B.
+        //
+        // A marca de sudo era a EXCEÇÃO à própria regra declarada aqui: só o
+        // timestamp, sem dono. Passou a ser vinculada — por isso este `forget`
+        // continua sendo só do `ACCOUNT_SESSION_KEY`: trocada a conta, a marca de
+        // sudo remanescente já não vale para ninguém.
         ctx.session.forget(ACCOUNT_SESSION_KEY);
         await ctx.session.regenerate();
         // Opt-in: espelha o logout no guard de @adonisjs/auth (ver adonisAuth em define_config.ts).
         await syncAdonisAuthLogout(ctx, cfg);
-        return ctx.response.redirect('/account/login');
+        // Destino configurável (`accountLoginUrl`): default `/account/login`.
+        return ctx.response.redirect(getAccountLoginUrl());
     }
 }

package/build/src/host/controllers/account_tokens_controller.js

@@ -7,6 +7,11 @@ export default class AccountTokensController {
         const service = await ctx.containerResolver.make('authkit.server');
         const cfg = service.config;
         const render = cfg.render;
+        // PAT é capacidade opcional: sem `patStore` configurado, a tela não existe
+        // (404 limpo em vez de "Cannot read properties of undefined"). Tratado como
+        // orgs — a rota pode estar montada num host que não cabeou o store.
+        if (!cfg.patStore)
+            return ctx.response.notFound();
         const userId = ctx.session.get(ACCOUNT_SESSION_KEY);
         const tokens = await cfg.patStore.listForAccount(userId);
         const createdToken = ctx.session.flashMessages.get('createdToken');
@@ -26,6 +31,9 @@ export default class AccountTokensController {
     async store(ctx) {
         const service = await ctx.containerResolver.make('authkit.server');
         const cfg = service.config;
+        // Sem `patStore`: 404 limpo (ver `index`).
+        if (!cfg.patStore)
+            return ctx.response.notFound();
         const userId = ctx.session.get(ACCOUNT_SESSION_KEY);
         // Sudo mode gate.
         const sudoSettingsPat = await resolveRuntimeSettings(ctx);
@@ -46,6 +54,9 @@ export default class AccountTokensController {
     async destroy(ctx) {
         const service = await ctx.containerResolver.make('authkit.server');
         const cfg = service.config;
+        // Sem `patStore`: 404 limpo (ver `index`).
+        if (!cfg.patStore)
+            return ctx.response.notFound();
         const userId = ctx.session.get(ACCOUNT_SESSION_KEY);
         // Sudo mode gate.
         const sudoSettingsPatRev = await resolveRuntimeSettings(ctx);

package/build/src/host/controllers/pat_introspection_controller.js

@@ -19,6 +19,16 @@ export default class PatIntrospectionController {
         if (!token || typeof token !== 'string') {
             return { active: false };
         }
+        // `patStore` é capacidade opcional; a rota `/authkit/pat/introspect` fica
+        // sempre montada (é infraestrutura M2M, não uma tela desmontável). Sem
+        // store cabeado, RFC 7662 §2.2 já cobre o caso: para o servidor de
+        // recursos, um token que não pode ser resolvido é indistinguível de um
+        // token inválido/desconhecido → `{ active: false }`, não 404. Um 404
+        // quebraria clientes de introspecção que só sabem parsear o corpo JSON do
+        // protocolo (mesma classe de bug do `account_tokens_controller`, mas a
+        // resposta correta aqui é a negativa do protocolo, não um HTTP status).
+        if (!cfg.patStore)
+            return { active: false };
         const meta = await cfg.patStore.findActiveByToken(token);
         if (!meta)
             return { active: false };