@adonis-agora/authkit-server 0.46.0 → 0.48.0

package/build/src/host/impersonation.js

@@ -13,13 +13,7 @@ export function buildImpersonationPanel(cfg, targetId) {
     const auth = client.clientSecret
         ? `  -u '${client.clientId}:${client.clientSecret}' \\\n`
         : `  -d 'client_id=${client.clientId}' \\\n`;
-    const curl = `curl -X POST '${tokenEndpoint}' \\\n` +
-        auth +
-        `  -d 'grant_type=${TOKEN_EXCHANGE}' \\\n` +
-        `  -d 'subject_token=<ADMIN_ACCESS_TOKEN>' \\\n` +
-        `  -d 'subject_token_type=${ACCESS_TOKEN_TYPE}' \\\n` +
-        `  -d 'requested_subject=${targetId}' \\\n` +
-        `  -d 'scope=openid profile email'`;
+    const curl = `curl -X POST '${tokenEndpoint}' \\\n${auth}  -d 'grant_type=${TOKEN_EXCHANGE}' \\\n  -d 'subject_token=<ADMIN_ACCESS_TOKEN>' \\\n  -d 'subject_token_type=${ACCESS_TOKEN_TYPE}' \\\n  -d 'requested_subject=${targetId}' \\\n  -d 'scope=openid profile email'`;
     return {
         tokenEndpoint,
         grantType: TOKEN_EXCHANGE,

package/build/src/host/key_rotation_actions.d.ts

@@ -1,6 +1,6 @@
+import type { ManagedKeyInfo } from '../keys/keystore.js';
 import { type ResolvedKeyRotationSetting } from './key_rotation.js';
 import type { SettingsCapability } from './runtime_settings.js';
-import type { ManagedKeyInfo } from '../keys/keystore.js';
 /**
  * Ações compartilhadas de rotação de chave. Funções puras-ish que tanto a Admin
  * REST API (Bearer) quanto o console (sessão) chamam, evitando duplicar a lógica

package/build/src/host/login_attempt.js

@@ -1,6 +1,6 @@
 import { supportsAccountStatus, supportsEmailVerificationStatus, supportsPasswordExpiration, } from '../accounts/account_store.js';
 import { createAccountLockout } from './account_lockout.js';
-import { resolveEffectiveRequireVerifiedEmail, resolveEffectiveRequireVerifiedEmailFull, resolveEffectivePasswordExpiration, resolveEffectiveAccountExpiration, resolveEffectiveLockout, } from './runtime_toggles.js';
+import { resolveEffectiveAccountExpiration, resolveEffectiveLockout, resolveEffectivePasswordExpiration, resolveEffectiveRequireVerifiedEmail, resolveEffectiveRequireVerifiedEmailFull, } from './runtime_toggles.js';
 /**
  * `requireVerifiedEmail` efetivo (config ou runtime setting) E o store sabe dizer
  * se o e-mail está verificado E a conta NÃO está verificada → bloqueia.
@@ -97,7 +97,12 @@ export async function isAccountExpired(audit, accountId, settings, logger) {
         return false;
     try {
         // Busca o último login.success da conta (ordem desc, limit 1).
-        const result = await audit.list({ type: 'login.success', subject: accountId, page: 1, limit: 1 });
+        const result = await audit.list({
+            type: 'login.success',
+            subject: accountId,
+            page: 1,
+            limit: 1,
+        });
         if (result.data.length === 0) {
             // Nunca logou → considera ativa (conta nova, não inativa).
             return false;
@@ -163,7 +168,13 @@ export async function attemptPasswordLogin(cfg, input) {
     // de adivinhar senha).
     if (supportsAccountStatus(cfg.accountStore) && (await cfg.accountStore.isDisabled(account.id))) {
         await cfg.audit?.record(input.clientId !== undefined
-            ? { type: 'login.failure', email, ip, clientId: input.clientId, metadata: { reason: 'disabled' } }
+            ? {
+                type: 'login.failure',
+                email,
+                ip,
+                clientId: input.clientId,
+                metadata: { reason: 'disabled' },
+            }
             : { type: 'login.failure', email, ip, metadata: { reason: 'disabled' } });
         return { ok: false, locked: false, disabled: true };
     }
@@ -173,7 +184,13 @@ export async function attemptPasswordLogin(cfg, input) {
     if (await isEmailUnverifiedBlock(cfg, account.id, input.settings)) {
         await lockout.clearFailures(email);
         await cfg.audit?.record(input.clientId !== undefined
-            ? { type: 'login.failure', email, ip, clientId: input.clientId, metadata: { reason: 'unverified' } }
+            ? {
+                type: 'login.failure',
+                email,
+                ip,
+                clientId: input.clientId,
+                metadata: { reason: 'unverified' },
+            }
             : { type: 'login.failure', email, ip, metadata: { reason: 'unverified' } });
         return { ok: false, locked: false, unverified: true };
     }
@@ -186,7 +203,13 @@ export async function attemptPasswordLogin(cfg, input) {
             // Não é uma falha de credenciais — limpa o contador.
             await lockout.clearFailures(email);
             await cfg.audit?.record(input.clientId !== undefined
-                ? { type: 'password.expired_change_forced', accountId: account.id, email, ip, clientId: input.clientId }
+                ? {
+                    type: 'password.expired_change_forced',
+                    accountId: account.id,
+                    email,
+                    ip,
+                    clientId: input.clientId,
+                }
                 : { type: 'password.expired_change_forced', accountId: account.id, email, ip });
             return { ok: false, locked: false, passwordExpired: true, account: account };
         }
@@ -200,7 +223,13 @@ export async function attemptPasswordLogin(cfg, input) {
         if (expired) {
             await lockout.clearFailures(email);
             await cfg.audit?.record(input.clientId !== undefined
-                ? { type: 'account.expired_login_blocked', accountId: account.id, email, ip, clientId: input.clientId }
+                ? {
+                    type: 'account.expired_login_blocked',
+                    accountId: account.id,
+                    email,
+                    ip,
+                    clientId: input.clientId,
+                }
                 : { type: 'account.expired_login_blocked', accountId: account.id, email, ip });
             return { ok: false, locked: false, accountExpired: true };
         }

package/build/src/host/login_notify.js

@@ -1,4 +1,4 @@
-import { sendNewLoginEmail, sendNewDeviceLoginEmail } from './default_mailer.js';
+import { sendNewDeviceLoginEmail, sendNewLoginEmail } from './default_mailer.js';
 import { TRUSTED_DEVICE_COOKIE, isTrustedDeviceValid } from './trusted_device.js';
 /**
  * Centraliza o pós-login bem-sucedido: registra o evento `login.success` e dispara

package/build/src/host/middleware/account_auth.js

@@ -1,10 +1,12 @@
 import '../augmentations.js';
+import { getAccountLoginUrl } from '../account_login_url.js';
 export const ACCOUNT_SESSION_KEY = 'account_user_id';
 export default class AccountAuthMiddleware {
     async handle(ctx, next) {
         const userId = ctx.session.get(ACCOUNT_SESSION_KEY);
         if (!userId) {
-            return ctx.response.redirect('/account/login');
+            // Destino configurável (`accountLoginUrl`): default `/account/login`.
+            return ctx.response.redirect(getAccountLoginUrl());
         }
         return next();
     }

package/build/src/host/otp_lockout.js

@@ -83,9 +83,7 @@ let limiterPromise;
 async function loadLimiter() {
     if (!limiterPromise) {
         const spec = '@adonisjs/limiter/services/main';
-        limiterPromise = import(__rewriteRelativeImportExtension(spec))
-            .then((m) => m.default ?? null)
-            .catch(() => null);
+        limiterPromise = import(__rewriteRelativeImportExtension(spec)).then((m) => m.default ?? null).catch(() => null);
     }
     return limiterPromise;
 }

package/build/src/host/rate_limit.js

@@ -78,7 +78,7 @@ export function createAuthThrottles(config) {
         // Introspecção de PAT: keyed pelo bearer secret quando presente, senão por IP.
         introspection: buildThrottle('authkit_pat_introspection', config.introspection, config.store, (ctx) => {
             const auth = ctx.request.header('authorization');
-            if (auth && auth.toLowerCase().startsWith('bearer ')) {
+            if (auth?.toLowerCase().startsWith('bearer ')) {
                 return `bearer:${auth.slice(7).trim()}`;
             }
             return undefined;

package/build/src/host/register_auth_host.d.ts

@@ -1,5 +1,6 @@
 import type { Router } from '@adonisjs/core/http';
 import type { AuthSocialConfig, RateLimitConfigInput } from '../define_config.js';
+import { type AccountPathsOptions } from './account_paths.js';
 import type { SudoMethod } from './sudo/types.js';
 /** Chave da sessão Adonis que registra o timestamp da última atividade (idle timeout). */
 export declare const ACCOUNT_LAST_SEEN_KEY = "authkit_last_seen";
@@ -7,9 +8,11 @@ export declare const ACCOUNT_LAST_SEEN_KEY = "authkit_last_seen";
  * Guard do console admin (B6). Como o `accountGuard`, é uma closure inline (forma
  * confiável do `.use()` num grupo). Exige:
  *   0. `config.admin.enabled` ligado (senão → 404; ver nota de flag-drift abaixo);
- *   1. sessão de conta ativa (senão → /account/login);
+ *   1. sessão de conta ativa (senão → `accountLoginUrl`, default /account/login);
  *   2. a conta logada com pelo menos UMA das `config.admin.roles` nas roles globais
- *      (senão → /account/tokens, evitando vazar a existência do /admin).
+ *      (senão → `accountHome(cfg)`, default /account/security — NÃO revela a
+ *      existência do /admin, e cai numa tela que o host controla via `accountHome`;
+ *      se a tela default estiver desmontada, aponte `config.accountHome` para uma montada).
  * As roles permitidas são resolvidas em runtime do `authkit.server` (config lazy).
  */
 export declare const adminGuard: (ctx: any, next: () => Promise<void>) => Promise<any>;
@@ -108,6 +111,97 @@ export interface AuthHostOptions {
      * Ausente → `[password(), passkey()]`.
      */
     sudoMethods?: SudoMethod[];
+    /**
+     * Montagem por tela do console de conta (`/account/*`). Espelha o padrão
+     * `admin`/`adminApi`: a decisão de MONTAR cada grupo de rotas é tomada em
+     * tempo de registro, antes de o config (lazy) resolver.
+     *
+     * - Ausente → tudo montado (back-compat total).
+     * - `false` → NENHUMA tela do console de conta é montada (as rotas sudo
+     *   `/account/confirm` e a JSON API `/account/api/*` continuam — são
+     *   infraestrutura, não telas navegáveis).
+     * - objeto → montagem seletiva; cada flag ausente default `true`.
+     *   - `login`    → `/account/login`, `/account/logout` (a porta por senha do console).
+     *   - `tokens`   → `/account/tokens*` (Personal Access Tokens).
+     *   - `orgs`     → `/account/orgs*` (multi-tenancy, incl. o accept de convite público).
+     *   - `security` → `/account/security*` + `/account/email/confirm` (perfil, senha, troca de e-mail, export/LGPD, deleção).
+     *   - `mfa`      → `/account/mfa*` (TOTP + passkeys).
+     *   - `apps`     → `/account/apps*` (grants de consentimento OIDC).
+     *
+     * NOTA (flag-drift): como `admin`/`adminApi`, estas flags controlam apenas se
+     * as ROTAS existem; o comportamento em runtime continua vindo do config
+     * resolvido. Mantenha em sincronia — os guards são a rede de segurança.
+     *
+     * ⚠️ Ao desmontar `login`, os redirects internos de "faça login"
+     * (`accountGuard`, `adminGuard`, `AccountAuthMiddleware`, `consoleLoginUrl()`,
+     * a view `otp-unlock`) apontariam para uma rota inexistente — passe
+     * `accountLoginUrl` com a rota de login do host (ex.: `'/login'`).
+     *
+     * @example
+     * // Console passwordless: só segurança + MFA, login delegado ao OIDC do host.
+     * registerAuthHost(router, {
+     *   account: { login: false, tokens: false, orgs: false },
+     *   accountLoginUrl: '/login',
+     * })
+     */
+    account?: false | AccountScreensOptions;
+    /**
+     * Destino do redirect de "não-autenticado → faça login" do console de conta.
+     * Default `/account/login`. Aponte para a rota de login do host quando a tela
+     * `account/login` da lib estiver desmontada (`account: { login: false }`).
+     *
+     * Usado por TODOS os pontos de redirect/link de login: `accountGuard`,
+     * `adminGuard`, `AccountAuthMiddleware`, `consoleLoginUrl()`, os fallbacks dos
+     * controllers de conta e a view `otp-unlock`. Ver `account_login_url.ts`.
+     */
+    accountLoginUrl?: string;
+    /**
+     * Prefixo e segmentos de tela CONFIGURÁVEIS/LOCALIZÁVEIS do console de conta
+     * (`/account/*`). Top-level (e não dentro de `account`) DE PROPÓSITO: mesmo
+     * com `account: false`, a lib continua montando as rotas de sudo
+     * (`/account/confirm*`) e a JSON API (`/account/api/*`) — o prefixo precisa
+     * valer para essa infraestrutura também, então ele não pode viver debaixo da
+     * flag que desmonta as telas navegáveis.
+     *
+     * - `prefix` troca o `/account` base (ex.: `'/conta'`).
+     * - `paths` traduz cada TELA navegável (ex.: `{ security: 'seguranca',
+     *   confirm: 'confirmar' }`).
+     *
+     * Só o prefixo e o segmento de tela são renomeáveis — os action-subpaths dos
+     * POSTs internos (`/password`, `/enroll`, `/passkeys/verify`, ...) e o
+     * segmento `api` da JSON API são FIXOS (endpoints de máquina, invisíveis ao
+     * usuário). Ver `account_paths.ts`.
+     *
+     * Ausente → tudo idêntico a hoje (`/account/...` — back-compat total).
+     *
+     * @example
+     * // Console em português: /conta/seguranca, /conta/confirmar, ...
+     * registerAuthHost(router, {
+     *   accountRoutes: {
+     *     prefix: '/conta',
+     *     paths: { security: 'seguranca', confirm: 'confirmar', mfa: 'mfa' },
+     *   },
+     * })
+     */
+    accountRoutes?: AccountPathsOptions;
+}
+/**
+ * Flags de montagem por tela do console de conta. Cada campo ausente é `true`
+ * (montado). Ver {@link AuthHostOptions.account}.
+ */
+export interface AccountScreensOptions {
+    /** Tela de login por senha do console (`/account/login`, `/account/logout`). */
+    login?: boolean;
+    /** Personal Access Tokens (`/account/tokens*`). */
+    tokens?: boolean;
+    /** Organizations / multi-tenancy (`/account/orgs*`). */
+    orgs?: boolean;
+    /** Perfil, senha, troca de e-mail, export/LGPD e deleção (`/account/security*`). */
+    security?: boolean;
+    /** MFA — TOTP + passkeys (`/account/mfa*`). */
+    mfa?: boolean;
+    /** Apps com acesso / grants de consentimento OIDC (`/account/apps*`). */
+    apps?: boolean;
 }
 /**
  * Monta todas as rotas do host-kit do Authorization Server numa chamada.