@adonis-agora/authkit-server 0.45.0 → 0.47.0

package/build/src/host/controllers/webauthn_asset_controller.d.ts

@@ -0,0 +1,22 @@
+import type { HttpContext } from '@adonisjs/core/http';
+/**
+ * GET /authkit/assets/webauthn.js
+ *
+ * Serve o `@simplewebauthn/browser` a partir do próprio host, substituindo o
+ * import de `cdn.jsdelivr.net` que as views de login/MFA/confirm faziam.
+ *
+ * SEM AUTENTICAÇÃO, e é intencional: é asset estático necessário na tela de
+ * login, ou seja, antes de existir qualquer sessão. Também não pode viver sob
+ * o prefixo do console admin (que é opt-in) — `login.edge` e
+ * `mfa-challenge.edge` precisam do script mesmo num host sem console.
+ */
+export default class WebauthnAssetController {
+    handle(ctx: HttpContext): Promise<void>;
+}
+/**
+ * Limpa o cache do bundle. Existe para os testes conseguirem exercitar tanto o
+ * caminho feliz quanto o 404 no mesmo processo.
+ *
+ * @internal
+ */
+export declare function resetWebauthnAssetCache(): void;

package/build/src/host/controllers/webauthn_asset_controller.js

@@ -0,0 +1,66 @@
+import { readFile } from 'node:fs/promises';
+/**
+ * URL do bundle ESM do `@simplewebauthn/browser` empacotado por
+ * `scripts/build_webauthn.mjs`.
+ *
+ * ⚠️ RESOLVIDO VIA `import.meta.url`, NUNCA relativo ao cwd. Os apps que
+ * consomem este pacote rodam `pnpm deploy --legacy`, que remonta a árvore de
+ * `node_modules` num diretório novo — um caminho relativo ao cwd do host
+ * apontaria para o lugar errado e a rota daria 404 em produção. Ancorado no
+ * módulo, o caminho segue o pacote para onde quer que ele seja copiado.
+ *
+ * Funciona nos dois layouts porque o bundle é commitado em `src/host/assets/`
+ * e copiado para `build/src/host/assets/` pelo script `build`:
+ *   dev   → src/host/controllers/…       → src/host/assets/webauthn.js
+ *   build → build/src/host/controllers/… → build/src/host/assets/webauthn.js
+ */
+const BUNDLE_URL = new URL('../assets/webauthn.js', import.meta.url);
+/**
+ * Cache do conteúdo do bundle. É imutável por versão do pacote — ler do disco
+ * a cada request de tela de login não compra nada.
+ *
+ * `null` = ainda não lido. `false` = lido e ausente (404 memoizado); sem isso
+ * um bundle faltando viraria um `readFile` que falha por request.
+ */
+let cached = null;
+/**
+ * GET /authkit/assets/webauthn.js
+ *
+ * Serve o `@simplewebauthn/browser` a partir do próprio host, substituindo o
+ * import de `cdn.jsdelivr.net` que as views de login/MFA/confirm faziam.
+ *
+ * SEM AUTENTICAÇÃO, e é intencional: é asset estático necessário na tela de
+ * login, ou seja, antes de existir qualquer sessão. Também não pode viver sob
+ * o prefixo do console admin (que é opt-in) — `login.edge` e
+ * `mfa-challenge.edge` precisam do script mesmo num host sem console.
+ */
+export default class WebauthnAssetController {
+    async handle(ctx) {
+        if (cached === null) {
+            try {
+                cached = await readFile(BUNDLE_URL);
+            }
+            catch {
+                cached = false;
+            }
+        }
+        if (cached === false) {
+            // 404 limpo: o bundle não foi gerado (`node scripts/build_webauthn.mjs`).
+            // A tela degrada para os demais fatores em vez de estourar 500.
+            return ctx.response.notFound();
+        }
+        return ctx.response
+            .type('text/javascript')
+            .header('Cache-Control', 'public, max-age=31536000, immutable')
+            .send(cached);
+    }
+}
+/**
+ * Limpa o cache do bundle. Existe para os testes conseguirem exercitar tanto o
+ * caminho feliz quanto o 404 no mesmo processo.
+ *
+ * @internal
+ */
+export function resetWebauthnAssetCache() {
+    cached = null;
+}

package/build/src/host/i18n.d.ts

@@ -560,6 +560,13 @@ export declare const DEFAULT_MESSAGES: {
     "account.confirm.error": string;
     "account.confirm.passkey_error": string;
     "account.confirm.passwordless_notice": string;
+    "account.confirm.method.password": string;
+    "account.confirm.method.passkey": string;
+    "account.confirm.method.magic_link": string;
+    "account.confirm.method.oidc_step_up": string;
+    "account.confirm.magic_link_sent": string;
+    "account.confirm.no_methods": string;
+    "account.confirm.preferred_badge": string;
     "admin.settings.sudo_mode_section": string;
     "admin.settings.sudo_mode_intro": string;
     "admin.settings.sudo_mode_from_config": string;
@@ -1242,6 +1249,13 @@ export declare const PT_BR_MESSAGES: {
     "account.confirm.error": string;
     "account.confirm.passkey_error": string;
     "account.confirm.passwordless_notice": string;
+    "account.confirm.method.password": string;
+    "account.confirm.method.passkey": string;
+    "account.confirm.method.magic_link": string;
+    "account.confirm.method.oidc_step_up": string;
+    "account.confirm.magic_link_sent": string;
+    "account.confirm.no_methods": string;
+    "account.confirm.preferred_badge": string;
     "admin.settings.sudo_mode_section": string;
     "admin.settings.sudo_mode_intro": string;
     "admin.settings.sudo_mode_from_config": string;

package/build/src/host/i18n.js

@@ -605,6 +605,14 @@ export const DEFAULT_MESSAGES = {
     "account.confirm.error": "Incorrect password.",
     "account.confirm.passkey_error": "Could not authenticate with the passkey. Please try again.",
     "account.confirm.passwordless_notice": "This account does not have a password. Please add a passkey to use sudo-protected features.",
+    // Rótulos dos métodos do SPI de sudo (account/confirm.edge, um bloco por método disponível).
+    "account.confirm.method.password": "Confirm with your password",
+    "account.confirm.method.passkey": "Confirm with a passkey",
+    "account.confirm.method.magic_link": "Email me a confirmation link",
+    "account.confirm.method.oidc_step_up": "Sign in again to confirm",
+    "account.confirm.magic_link_sent": "We sent a confirmation link to your email. It expires in 5 minutes.",
+    "account.confirm.no_methods": "No confirmation method is available for this account. Contact support.",
+    "account.confirm.preferred_badge": "Used last time",
     // Admin settings — sudo_mode card.
     "admin.settings.sudo_mode_section": "Sudo mode (identity confirmation)",
     "admin.settings.sudo_mode_intro": "When enabled, sensitive actions (password change, email change, account deletion, MFA/passkey management, PAT creation/revocation) require the user to confirm their password. The confirmation is valid for a configurable grace period.",
@@ -1359,6 +1367,14 @@ export const PT_BR_MESSAGES = {
     "account.confirm.error": "Senha incorreta.",
     "account.confirm.passkey_error": "Não foi possível autenticar com a passkey. Tente novamente.",
     "account.confirm.passwordless_notice": "Esta conta não possui senha. Adicione uma passkey para usar funcionalidades protegidas.",
+    // Rótulos dos métodos do SPI de sudo (account/confirm.edge, um bloco por método disponível).
+    "account.confirm.method.password": "Confirmar com a senha",
+    "account.confirm.method.passkey": "Confirmar com passkey",
+    "account.confirm.method.magic_link": "Receber link de confirmação por e-mail",
+    "account.confirm.method.oidc_step_up": "Entrar de novo para confirmar",
+    "account.confirm.magic_link_sent": "Enviamos um link de confirmação para o seu e-mail. Ele expira em 5 minutos.",
+    "account.confirm.no_methods": "Nenhum método de confirmação está disponível para esta conta. Fale com o suporte.",
+    "account.confirm.preferred_badge": "Usado da última vez",
     // Admin settings — sudo_mode card (pt-BR).
     "admin.settings.sudo_mode_section": "Modo sudo (confirmação de identidade)",
     "admin.settings.sudo_mode_intro": "Quando habilitado, ações sensíveis (troca de senha, troca de e-mail, exclusão de conta, gerência de MFA/passkey, criação/revogação de PAT) exigem que o usuário confirme sua senha. A confirmação é válida por um período de graça configurável.",

package/build/src/host/impersonation_session.js

@@ -98,6 +98,14 @@ export async function startImpersonation(ctx, params) {
     // Anti-fixation: rotaciona o id da sessão (mantém os dados) antes de gravar a
     // nova identidade. Mesmo padrão do consumidor real no RP.
     await ctx.session.regenerate();
+    // ESCALAÇÃO DE PRIVILÉGIO (fechada por vinculação): trocar a conta aqui NÃO
+    // pode carregar junto o sudo que o admin confirmou sobre a PRÓPRIA conta —
+    // senão ele entraria personificando já com a graça aberta sobre a conta
+    // alheia (exportar/excluir dados, MFA, PATs). Não limpamos a marca aqui: ela
+    // é vinculada à conta que a confirmou (`SUDO_ACCOUNT_SESSION_KEY`), então
+    // `isSudoActive` a recusa sozinho assim que `ACCOUNT_SESSION_KEY` muda. A
+    // garantia é estrutural — vale para qualquer troca de conta futura, sem
+    // depender de um `forget` lembrado em cada nova transição.
     ctx.session.put(IMPERSONATOR_SESSION_KEY, impersonatorId);
     ctx.session.put(ACCOUNT_SESSION_KEY, params.targetId);
 }
@@ -122,6 +130,13 @@ export async function stopImpersonation(ctx) {
     if (!impersonatorId)
         return;
     await ctx.session.regenerate();
+    // Simétrico ao `startImpersonation`: o sudo obtido ENQUANTO personificava
+    // ficaria valendo sobre a conta do admin ao voltar. A vinculação corta isso —
+    // aquela marca aponta para a conta personificada e morre com a volta.
+    //
+    // Nota: se o admin tinha sudo sobre a própria conta ANTES de personificar e a
+    // graça ainda não venceu, ele volta valendo. Correto e intencional: é a
+    // confirmação dele, sobre a conta dele, dentro da janela dele.
     ctx.session.put(ACCOUNT_SESSION_KEY, impersonatorId);
     ctx.session.forget(IMPERSONATOR_SESSION_KEY);
     ctx.session.forget(ADMIN_ACCESS_TOKEN_SESSION_KEY);

package/build/src/host/middleware/account_auth.js

@@ -1,10 +1,12 @@
 import '../augmentations.js';
+import { getAccountLoginUrl } from '../account_login_url.js';
 export const ACCOUNT_SESSION_KEY = 'account_user_id';
 export default class AccountAuthMiddleware {
     async handle(ctx, next) {
         const userId = ctx.session.get(ACCOUNT_SESSION_KEY);
         if (!userId) {
-            return ctx.response.redirect('/account/login');
+            // Destino configurável (`accountLoginUrl`): default `/account/login`.
+            return ctx.response.redirect(getAccountLoginUrl());
         }
         return next();
     }

package/build/src/host/rate_limit.d.ts

@@ -20,6 +20,16 @@ export interface AuthThrottles {
      * de tentativas vindas do MESMO IP independentemente de qual key foi usada (M8).
      */
     adminIp: ThrottleMiddleware;
+    /**
+     * Throttle das rotas dos métodos de sudo (`/account/confirm/*`), keyed por IP
+     * como o `login` — e com os MESMOS limites — mas em bucket PRÓPRIO.
+     *
+     * A separação é o ponto: `login` mede um anônimo tentando adivinhar
+     * credenciais, `sudo` mede um usuário já autenticado reprovando a própria
+     * identidade. Ver `ResolvedRateLimitConfig.sudo` para o porquê de os dois
+     * orçamentos não poderem se consumir.
+     */
+    sudo: ThrottleMiddleware;
 }
 /**
  * Service do `@adonisjs/limiter` resolvido de forma preguiçosa. Tipado como `any`

package/build/src/host/rate_limit.js

@@ -90,5 +90,11 @@ export function createAuthThrottles(config) {
         adminIp: buildThrottle('authkit_admin_ip', config.adminIp, config.store, (ctx) => {
             return `admin-ip:${ctx.request.ip?.() ?? 'unknown'}`;
         }),
+        // Rotas dos métodos de sudo: keyed por IP (default do HttpLimiter), igual ao
+        // login. O que separa os dois é o NOME do bucket — o limiter namespaceia a
+        // contagem por nome, então `authkit_login` e `authkit_sudo` nunca somam,
+        // mesmo vindo do mesmo IP. Sem `usingKey` próprio de propósito: inventar uma
+        // key aqui seria mudar o EIXO da contagem, e o eixo certo continua sendo o IP.
+        sudo: buildThrottle('authkit_sudo', config.sudo, config.store),
     };
 }

package/build/src/host/register_auth_host.d.ts

@@ -1,14 +1,17 @@
 import type { Router } from '@adonisjs/core/http';
 import type { AuthSocialConfig, RateLimitConfigInput } from '../define_config.js';
+import type { SudoMethod } from './sudo/types.js';
 /** Chave da sessão Adonis que registra o timestamp da última atividade (idle timeout). */
 export declare const ACCOUNT_LAST_SEEN_KEY = "authkit_last_seen";
 /**
  * Guard do console admin (B6). Como o `accountGuard`, é uma closure inline (forma
  * confiável do `.use()` num grupo). Exige:
  *   0. `config.admin.enabled` ligado (senão → 404; ver nota de flag-drift abaixo);
- *   1. sessão de conta ativa (senão → /account/login);
+ *   1. sessão de conta ativa (senão → `accountLoginUrl`, default /account/login);
  *   2. a conta logada com pelo menos UMA das `config.admin.roles` nas roles globais
- *      (senão → /account/tokens, evitando vazar a existência do /admin).
+ *      (senão → `accountHome(cfg)`, default /account/security — NÃO revela a
+ *      existência do /admin, e cai numa tela que o host controla via `accountHome`;
+ *      se a tela default estiver desmontada, aponte `config.accountHome` para uma montada).
  * As roles permitidas são resolvidas em runtime do `authkit.server` (config lazy).
  */
 export declare const adminGuard: (ctx: any, next: () => Promise<void>) => Promise<any>;
@@ -89,6 +92,86 @@ export interface AuthHostOptions {
     adminApi?: boolean | {
         prefix?: string;
     };
+    /**
+     * Métodos de sudo cujas rotas devem ser montadas. Necessário aqui (e não só
+     * no config) porque a decisão de MONTAR rotas acontece em tempo de registro,
+     * antes de o config lazy resolver — mesma razão de `social`/`admin`/`rateLimit`.
+     * Espelhe o `sudo.methods` de config/authkit.ts.
+     *
+     * SUBSTITUI os defaults, não acrescenta: a lista é do host. Quem quer manter
+     * senha/passkey ao lado do método novo os inclui explicitamente
+     * (`[sudoMethods.password(), sudoMethods.passkey(), meuMetodo()]`).
+     *
+     * Sem esta opção, `config.sudo.methods` conseguiria OFERECER um método na
+     * tela mas nunca montar seu endpoint — a opção aparece e dá 404. Falha
+     * fechada, mas é a promessa do SPI pela metade; `magicLink()` em particular
+     * não teria como ser alcançado em runtime.
+     *
+     * Ausente → `[password(), passkey()]`.
+     */
+    sudoMethods?: SudoMethod[];
+    /**
+     * Montagem por tela do console de conta (`/account/*`). Espelha o padrão
+     * `admin`/`adminApi`: a decisão de MONTAR cada grupo de rotas é tomada em
+     * tempo de registro, antes de o config (lazy) resolver.
+     *
+     * - Ausente → tudo montado (back-compat total).
+     * - `false` → NENHUMA tela do console de conta é montada (as rotas sudo
+     *   `/account/confirm` e a JSON API `/account/api/*` continuam — são
+     *   infraestrutura, não telas navegáveis).
+     * - objeto → montagem seletiva; cada flag ausente default `true`.
+     *   - `login`    → `/account/login`, `/account/logout` (a porta por senha do console).
+     *   - `tokens`   → `/account/tokens*` (Personal Access Tokens).
+     *   - `orgs`     → `/account/orgs*` (multi-tenancy, incl. o accept de convite público).
+     *   - `security` → `/account/security*` + `/account/email/confirm` (perfil, senha, troca de e-mail, export/LGPD, deleção).
+     *   - `mfa`      → `/account/mfa*` (TOTP + passkeys).
+     *   - `apps`     → `/account/apps*` (grants de consentimento OIDC).
+     *
+     * NOTA (flag-drift): como `admin`/`adminApi`, estas flags controlam apenas se
+     * as ROTAS existem; o comportamento em runtime continua vindo do config
+     * resolvido. Mantenha em sincronia — os guards são a rede de segurança.
+     *
+     * ⚠️ Ao desmontar `login`, os redirects internos de "faça login"
+     * (`accountGuard`, `adminGuard`, `AccountAuthMiddleware`, `consoleLoginUrl()`,
+     * a view `otp-unlock`) apontariam para uma rota inexistente — passe
+     * `accountLoginUrl` com a rota de login do host (ex.: `'/login'`).
+     *
+     * @example
+     * // Console passwordless: só segurança + MFA, login delegado ao OIDC do host.
+     * registerAuthHost(router, {
+     *   account: { login: false, tokens: false, orgs: false },
+     *   accountLoginUrl: '/login',
+     * })
+     */
+    account?: false | AccountScreensOptions;
+    /**
+     * Destino do redirect de "não-autenticado → faça login" do console de conta.
+     * Default `/account/login`. Aponte para a rota de login do host quando a tela
+     * `account/login` da lib estiver desmontada (`account: { login: false }`).
+     *
+     * Usado por TODOS os pontos de redirect/link de login: `accountGuard`,
+     * `adminGuard`, `AccountAuthMiddleware`, `consoleLoginUrl()`, os fallbacks dos
+     * controllers de conta e a view `otp-unlock`. Ver `account_login_url.ts`.
+     */
+    accountLoginUrl?: string;
+}
+/**
+ * Flags de montagem por tela do console de conta. Cada campo ausente é `true`
+ * (montado). Ver {@link AuthHostOptions.account}.
+ */
+export interface AccountScreensOptions {
+    /** Tela de login por senha do console (`/account/login`, `/account/logout`). */
+    login?: boolean;
+    /** Personal Access Tokens (`/account/tokens*`). */
+    tokens?: boolean;
+    /** Organizations / multi-tenancy (`/account/orgs*`). */
+    orgs?: boolean;
+    /** Perfil, senha, troca de e-mail, export/LGPD e deleção (`/account/security*`). */
+    security?: boolean;
+    /** MFA — TOTP + passkeys (`/account/mfa*`). */
+    mfa?: boolean;
+    /** Apps com acesso / grants de consentimento OIDC (`/account/apps*`). */
+    apps?: boolean;
 }
 /**
  * Monta todas as rotas do host-kit do Authorization Server numa chamada.