@adonis-agora/authkit-server 0.46.0 → 0.48.0

package/build/src/host/register_auth_host.js

@@ -1,16 +1,18 @@
 import { resolveRateLimit } from '../define_config.js';
-import { createAuthThrottles } from './rate_limit.js';
-import { ACCOUNT_SESSION_KEY } from './middleware/account_auth.js';
 import { accountHome } from './account_home.js';
+import { getAccountLoginUrl, setAccountLoginUrl } from './account_login_url.js';
+import { accountPath, joinAccountPath, setAccountPaths, } from './account_paths.js';
 import { resolveAccountRoles } from './account_roles.js';
 import { adminApiGuard } from './admin_api/admin_api_guard.js';
-import { setAdminPrefix, normalizeAdminPrefix, setAdminApiPrefix, normalizeAdminApiPrefix, } from './admin_prefix.js';
+import { normalizeAdminApiPrefix, normalizeAdminPrefix, setAdminApiPrefix, setAdminPrefix, } from './admin_prefix.js';
+import { getAuthHostConfig } from './auth_host_config.js';
+import { ACCOUNT_SESSION_KEY } from './middleware/account_auth.js';
+import { createAuthThrottles } from './rate_limit.js';
 import { resolveRuntimeSettings } from './runtime_settings.js';
 import { resolveEffectiveSessionPolicy } from './runtime_toggles.js';
-import { getAuthHostConfig } from './auth_host_config.js';
-import { completeSudo, fail, guardSudoRoutes, sudoContextFrom, setMountedSudoMethods, } from './sudo/runtime.js';
-import { password as sudoPassword } from './sudo/methods/password.js';
 import { passkey as sudoPasskey } from './sudo/methods/passkey.js';
+import { password as sudoPassword } from './sudo/methods/password.js';
+import { completeSudo, fail, guardSudoRoutes, setMountedSudoMethods, sudoContextFrom, } from './sudo/runtime.js';
 /**
  * Métodos de sudo montados quando o host não passa `sudoMethods` —
  * comportamento histórico (senha + passkey).
@@ -68,16 +70,26 @@ async function checkAndRefreshIdle(ctx) {
  * @internal
  */
 function buildLoginRedirect(ctx, extra) {
+    // Destino configurável (`accountLoginUrl`): default `/account/login`, mas um
+    // host que desmontou a tela de login (`account: { login: false }`) aponta para
+    // a própria rota de login dele (ex.: `/login`). Ver `account_login_url.ts`.
+    const loginUrl = getAccountLoginUrl();
     const url = ctx.request?.url?.() ?? '';
     const qs = ctx.request?.parsedUrl?.search ?? '';
     const dest = qs ? `${url}${qs}` : url;
     // Só inclui return_to quando há um caminho real (não vazio, não é o próprio login).
-    if (dest && dest !== '/' && !dest.startsWith('/account/login')) {
+    if (dest && dest !== '/' && !dest.startsWith(loginUrl)) {
         const encoded = encodeURIComponent(dest);
-        const base = extra ? `/account/login?${extra}&return_to=${encoded}` : `/account/login?return_to=${encoded}`;
+        const sep = loginUrl.includes('?') ? '&' : '?';
+        const base = extra
+            ? `${loginUrl}${sep}${extra}&return_to=${encoded}`
+            : `${loginUrl}${sep}return_to=${encoded}`;
         return base;
     }
-    return extra ? `/account/login?${extra}` : '/account/login';
+    if (!extra)
+        return loginUrl;
+    const sep = loginUrl.includes('?') ? '&' : '?';
+    return `${loginUrl}${sep}${extra}`;
 }
 /**
  * Guard inline do console de conta. Usamos uma closure (forma confiável do
@@ -100,9 +112,11 @@ const accountGuard = async (ctx, next) => {
  * Guard do console admin (B6). Como o `accountGuard`, é uma closure inline (forma
  * confiável do `.use()` num grupo). Exige:
  *   0. `config.admin.enabled` ligado (senão → 404; ver nota de flag-drift abaixo);
- *   1. sessão de conta ativa (senão → /account/login);
+ *   1. sessão de conta ativa (senão → `accountLoginUrl`, default /account/login);
  *   2. a conta logada com pelo menos UMA das `config.admin.roles` nas roles globais
- *      (senão → /account/tokens, evitando vazar a existência do /admin).
+ *      (senão → `accountHome(cfg)`, default /account/security — NÃO revela a
+ *      existência do /admin, e cai numa tela que o host controla via `accountHome`;
+ *      se a tela default estiver desmontada, aponte `config.accountHome` para uma montada).
  * As roles permitidas são resolvidas em runtime do `authkit.server` (config lazy).
  */
 export const adminGuard = async (ctx, next) => {
@@ -188,6 +202,38 @@ export function registerAuthHost(router, opts = {}) {
     const social = opts.social ?? hostCfg?.social;
     const adminOpt = opts.admin ?? (hostCfg?.adminEnabled ? true : undefined);
     const adminApiOpt = opts.adminApi ?? (hostCfg?.adminApiEnabled ? true : undefined);
+    // Prefixo/segmentos configuráveis do console de conta — persiste no singleton
+    // de processo ANTES de qualquer construção de rota/closure, para que o registro
+    // de rotas, os guards, os controllers, os e-mails e as views leiam o mesmo
+    // valor. Top-level de propósito (vale mesmo com `account: false`): as rotas de
+    // sudo e a JSON API respeitam o prefixo. Ausente → default `/account/*`
+    // (back-compat). Ver `account_paths.ts`.
+    if (opts.accountRoutes !== undefined) {
+        setAccountPaths(opts.accountRoutes);
+    }
+    // Destino do redirect de "faça login" — persiste no singleton de processo para
+    // que os guards (closures de tempo de registro), o middleware, os controllers e
+    // as views leiam o mesmo valor. Só quando a opção foi passada (senão deriva de
+    // `accountPath('login')` — back-compat).
+    if (opts.accountLoginUrl !== undefined) {
+        setAccountLoginUrl(opts.accountLoginUrl);
+    }
+    // Montagem por tela do console de conta. `undefined` → tudo montado;
+    // `false` → nada; objeto → cada flag ausente default `true`.
+    const accountOpt = opts.account;
+    const mountScreen = (key) => {
+        if (accountOpt === false)
+            return false;
+        if (accountOpt && typeof accountOpt === 'object')
+            return accountOpt[key] !== false;
+        return true;
+    };
+    const mountLogin = mountScreen('login');
+    const mountTokens = mountScreen('tokens');
+    const mountOrgs = mountScreen('orgs');
+    const mountSecurity = mountScreen('security');
+    const mountMfa = mountScreen('mfa');
+    const mountApps = mountScreen('apps');
     // Throttles opt-in (anti-brute-force). `undefined` quando rate-limit desligado.
     const resolvedRateLimit = opts.rateLimit !== undefined
         ? resolveRateLimit(opts.rateLimit)
@@ -230,7 +276,10 @@ export function registerAuthHost(router, opts = {}) {
     withLogin(router.post('/auth/interaction/:uid/login', [C.interaction, 'login']));
     withLogin(router.post('/auth/interaction/:uid/mfa', [C.interaction, 'mfaVerify']));
     // Troca de senha obrigatória quando a senha expirou (password expiration gate).
-    withLogin(router.post('/auth/interaction/:uid/password-expired', [C.interaction, 'changeExpiredPassword']));
+    withLogin(router.post('/auth/interaction/:uid/password-expired', [
+        C.interaction,
+        'changeExpiredPassword',
+    ]));
     // Passkey como 2º fator alternativo no login (begin/finish; challenge na sessão).
     router.post('/auth/interaction/:uid/passkey/options', [C.interaction, 'passkeyOptions']);
     withLogin(router.post('/auth/interaction/:uid/passkey/verify', [C.interaction, 'passkeyVerify']));
@@ -257,54 +306,90 @@ export function registerAuthHost(router, opts = {}) {
     }
     // PAT introspection (server-to-server).
     withIntrospection(router.post('/authkit/pat/introspect', [C.patIntrospection, 'handle']));
+    // Paths do console de conta (configuráveis/localizáveis via `accountRoutes`).
+    // As TELAS vêm de `accountPath(key)` (prefixo + segmento configurável); os
+    // action-subpaths concatenados (`/password`, `/enroll`, ...) são FIXOS —
+    // endpoints de formulário invisíveis ao usuário. A JSON API segue o prefixo
+    // com o segmento `api` FIXO. Capturados uma vez aqui: `setAccountPaths` já
+    // rodou no topo e o singleton não muda mais neste processo.
+    const loginPath = accountPath('login');
+    const logoutPath = accountPath('logout');
+    const securityPath = accountPath('security');
+    const tokensPath = accountPath('tokens');
+    const appsPath = accountPath('apps');
+    const mfaPath = accountPath('mfa');
+    const confirmPath = accountPath('confirm');
+    const orgsPath = accountPath('orgs');
+    const emailConfirmPath = accountPath('emailConfirm');
+    const apiBase = joinAccountPath('api');
     // Organizations — invitation accept (sem guard: controller lida com não-autenticado).
-    router.get('/account/orgs/invitations/:token/accept', [C.accountOrgs, 'showAcceptInvitation']);
-    router.post('/account/orgs/invitations/:token/accept', [C.accountOrgs, 'acceptInvitation']);
+    // Parte da tela `orgs`: desmontada junto (sem multi-tenancy, não há convite a aceitar).
+    if (mountOrgs) {
+        router.get(`${orgsPath}/invitations/:token/accept`, [C.accountOrgs, 'showAcceptInvitation']);
+        router.post(`${orgsPath}/invitations/:token/accept`, [C.accountOrgs, 'acceptInvitation']);
+    }
     // Console de conta (login de sessão do IdP + gerência de PAT).
-    router.get('/account/login', [C.accountSession, 'show']);
-    // L6: throttle por IP no login/logout do console de conta (anti-brute-force),
-    // alinhado com as demais rotas de credencial (interaction, forgot, reset).
-    withLogin(router.post('/account/login', [C.accountSession, 'login']));
-    withLogin(router.post('/account/logout', [C.accountSession, 'logout']));
+    // Tela `login` desmontável: hosts passwordless delegam ao OIDC próprio e
+    // apontam `accountLoginUrl` para a rota de login deles.
+    if (mountLogin) {
+        router.get(loginPath, [C.accountSession, 'show']);
+        // L6: throttle por IP no login/logout do console de conta (anti-brute-force),
+        // alinhado com as demais rotas de credencial (interaction, forgot, reset).
+        withLogin(router.post(loginPath, [C.accountSession, 'login']));
+        withLogin(router.post(logoutPath, [C.accountSession, 'logout']));
+    }
     // Confirmação de troca de e-mail (standalone, GET-only — consome o token do link;
-    // pode ser aberta em outro dispositivo, então NÃO exige sessão).
-    router.get('/account/email/confirm', [C.accountSecurity, 'confirmEmail']);
-    // Rotas de tokens protegidas por AccountAuthMiddleware (redireciona para /account/login se não autenticado).
+    // pode ser aberta em outro dispositivo, então NÃO exige sessão). Parte da tela
+    // `security` (o terminal do fluxo de troca de e-mail).
+    if (mountSecurity) {
+        router.get(emailConfirmPath, [C.accountSecurity, 'confirmEmail']);
+    }
+    // Rotas de tokens protegidas por AccountAuthMiddleware (redireciona para a tela de login se não autenticado).
     router
         .group(() => {
-        router.get('/account/tokens', [C.accountTokens, 'index']);
-        router.post('/account/tokens', [C.accountTokens, 'store']);
-        router.post('/account/tokens/:id/revoke', [C.accountTokens, 'destroy']);
-        // Segurança da conta: trocar senha + solicitar troca de e-mail + perfil.
-        router.get('/account/security', [C.accountSecurity, 'index']);
-        router.post('/account/security/password', [C.accountSecurity, 'changePassword']);
-        router.post('/account/security/email', [C.accountSecurity, 'changeEmail']);
-        router.post('/account/security/email/cancel', [C.accountSecurity, 'cancelEmailChange']);
-        router.post('/account/security/profile', [C.accountSecurity, 'updateProfile']);
-        // LGPD/GDPR: export de dados (portabilidade) + deleção self-service (danger zone).
-        // O export carrega o throttle de login (anti-abuso) quando o rate-limit existe.
-        withLogin(router.get('/account/security/export', [C.accountSecurity, 'exportData']));
-        router.post('/account/security/delete', [C.accountSecurity, 'deleteAccount']);
-        // Trusted devices: limpa o cookie de confiança DESTE navegador.
-        router.post('/account/security/trusted-devices/revoke', [
-            C.accountSecurity,
-            'revokeTrustedDevices',
-        ]);
-        // Apps com acesso (consentimento): lista os grants da conta + revogação por client.
-        router.get('/account/apps', [C.accountApps, 'index']);
-        router.post('/account/apps/:clientId/revoke', [C.accountApps, 'revoke']);
-        // MFA / TOTP (enrollment, confirmação, disable).
-        router.get('/account/mfa', [C.accountMfa, 'index']);
-        router.post('/account/mfa/enroll', [C.accountMfa, 'enroll']);
-        router.post('/account/mfa/confirm', [C.accountMfa, 'confirm']);
-        router.post('/account/mfa/disable', [C.accountMfa, 'disable']);
-        // MFA / WebAuthn (passkeys): registro (begin/finish) + remoção.
-        router.post('/account/mfa/passkeys/options', [C.accountMfa, 'passkeyRegisterOptions']);
-        router.post('/account/mfa/passkeys/verify', [C.accountMfa, 'passkeyRegisterVerify']);
-        router.post('/account/mfa/passkeys/:id/remove', [C.accountMfa, 'passkeyRemove']);
+        // Personal Access Tokens (tela `tokens`).
+        if (mountTokens) {
+            router.get(tokensPath, [C.accountTokens, 'index']);
+            router.post(tokensPath, [C.accountTokens, 'store']);
+            router.post(`${tokensPath}/:id/revoke`, [C.accountTokens, 'destroy']);
+        }
+        // Segurança da conta: trocar senha + solicitar troca de e-mail + perfil (tela `security`).
+        if (mountSecurity) {
+            router.get(securityPath, [C.accountSecurity, 'index']);
+            router.post(`${securityPath}/password`, [C.accountSecurity, 'changePassword']);
+            router.post(`${securityPath}/email`, [C.accountSecurity, 'changeEmail']);
+            router.post(`${securityPath}/email/cancel`, [C.accountSecurity, 'cancelEmailChange']);
+            router.post(`${securityPath}/profile`, [C.accountSecurity, 'updateProfile']);
+            // LGPD/GDPR: export de dados (portabilidade) + deleção self-service (danger zone).
+            // O export carrega o throttle de login (anti-abuso) quando o rate-limit existe.
+            withLogin(router.get(`${securityPath}/export`, [C.accountSecurity, 'exportData']));
+            router.post(`${securityPath}/delete`, [C.accountSecurity, 'deleteAccount']);
+            // Trusted devices: limpa o cookie de confiança DESTE navegador.
+            router.post(`${securityPath}/trusted-devices/revoke`, [
+                C.accountSecurity,
+                'revokeTrustedDevices',
+            ]);
+        }
+        // Apps com acesso (consentimento): lista os grants da conta + revogação por client (tela `apps`).
+        if (mountApps) {
+            router.get(appsPath, [C.accountApps, 'index']);
+            router.post(`${appsPath}/:clientId/revoke`, [C.accountApps, 'revoke']);
+        }
+        // MFA — TOTP + passkeys (tela `mfa`).
+        if (mountMfa) {
+            // MFA / TOTP (enrollment, confirmação, disable).
+            router.get(mfaPath, [C.accountMfa, 'index']);
+            router.post(`${mfaPath}/enroll`, [C.accountMfa, 'enroll']);
+            router.post(`${mfaPath}/confirm`, [C.accountMfa, 'confirm']);
+            router.post(`${mfaPath}/disable`, [C.accountMfa, 'disable']);
+            // MFA / WebAuthn (passkeys): registro (begin/finish) + remoção.
+            router.post(`${mfaPath}/passkeys/options`, [C.accountMfa, 'passkeyRegisterOptions']);
+            router.post(`${mfaPath}/passkeys/verify`, [C.accountMfa, 'passkeyRegisterVerify']);
+            router.post(`${mfaPath}/passkeys/:id/remove`, [C.accountMfa, 'passkeyRemove']);
+        }
         // Sudo mode (confirm identity): o GET lista os métodos; cada método
         // registra suas próprias rotas de verificação (SPI `SudoMethod`).
-        router.get('/account/confirm', [C.accountConfirm, 'show']);
+        router.get(confirmPath, [C.accountConfirm, 'show']);
         // Rotas próprias dos métodos de sudo — DENTRO do grupo com `accountGuard`.
         // O guard não é só "tem sessão": ele roda `checkAndRefreshIdle`, que apaga
         // a sessão vencida por idle e refresca `authkit_last_seen`. Fora do grupo,
@@ -342,50 +427,58 @@ export function registerAuthHost(router, opts = {}) {
         // configura `config.sudo.methods`: a tela oferece exatamente isto, e os
         // handlers aceitam exatamente isto.
         setMountedSudoMethods(sudoMethodsToMount);
-        // Organizations (multi-tenancy) — sempre montadas; controller retorna 404/403 sem tabelas.
-        router.get('/account/orgs', [C.accountOrgs, 'index']);
-        router.post('/account/orgs', [C.accountOrgs, 'store']);
-        router.post('/account/orgs/deactivate', [C.accountOrgs, 'deactivate']);
-        router.post('/account/orgs/:id/activate', [C.accountOrgs, 'activate']);
-        router.post('/account/orgs/:id/leave', [C.accountOrgs, 'leave']);
-        router.post('/account/orgs/:id/invite', [C.accountOrgs, 'invite']);
-        router.post('/account/orgs/:id/members/:accountId/remove', [C.accountOrgs, 'removeMember']);
-        router.post('/account/orgs/:id/invitations/:invId/revoke', [C.accountOrgs, 'revokeInvitation']);
-        // JSON endpoints for React hooks (authkit-react).
-        router.get('/account/orgs/json', [C.accountOrgs, 'listJson']);
-        router.get('/account/orgs/invitations/json', [C.accountOrgs, 'listInvitationsJson']);
-        router.get('/account/orgs/:id/json', [C.accountOrgs, 'showJson']);
+        // Organizations (multi-tenancy) — tela `orgs`. Montadas por default;
+        // controller retorna 404/403 sem tabelas (capability-probed).
+        if (mountOrgs) {
+            router.get(orgsPath, [C.accountOrgs, 'index']);
+            router.post(orgsPath, [C.accountOrgs, 'store']);
+            router.post(`${orgsPath}/deactivate`, [C.accountOrgs, 'deactivate']);
+            router.post(`${orgsPath}/:id/activate`, [C.accountOrgs, 'activate']);
+            router.post(`${orgsPath}/:id/leave`, [C.accountOrgs, 'leave']);
+            router.post(`${orgsPath}/:id/invite`, [C.accountOrgs, 'invite']);
+            router.post(`${orgsPath}/:id/members/:accountId/remove`, [C.accountOrgs, 'removeMember']);
+            router.post(`${orgsPath}/:id/invitations/:invId/revoke`, [
+                C.accountOrgs,
+                'revokeInvitation',
+            ]);
+            // JSON endpoints for React hooks (authkit-react).
+            router.get(`${orgsPath}/json`, [C.accountOrgs, 'listJson']);
+            router.get(`${orgsPath}/invitations/json`, [C.accountOrgs, 'listInvitationsJson']);
+            router.get(`${orgsPath}/:id/json`, [C.accountOrgs, 'showJson']);
+        }
         // ─── Account self-service JSON API (authkit-react TanStack hooks) ─────
         // ⚠️ ORDER MATTERS: fixed-segment routes before parameterised ones.
         // Registered INSIDE the accountGuard group → same session-auth protection.
         // Mutating routes use CSRF (shield middleware on the host app).
-        router.get('/account/api/me', [C.accountApi, 'me']);
-        router.get('/account/api/security', [C.accountApi, 'securityOverview']);
-        router.patch('/account/api/profile', [C.accountApi, 'updateProfile']);
-        router.post('/account/api/password', [C.accountApi, 'changePassword']);
+        // Segue o prefixo do console (`accountRoutes.prefix`); o segmento `api` é
+        // FIXO — é contrato de máquina (authkit-react), não path de humano.
+        router.get(`${apiBase}/me`, [C.accountApi, 'me']);
+        router.get(`${apiBase}/security`, [C.accountApi, 'securityOverview']);
+        router.patch(`${apiBase}/profile`, [C.accountApi, 'updateProfile']);
+        router.post(`${apiBase}/password`, [C.accountApi, 'changePassword']);
         // Email-change: cancel BEFORE the generic post to avoid pattern collision.
-        router.post('/account/api/email-change/cancel', [C.accountApi, 'cancelEmailChange']);
-        router.post('/account/api/email-change', [C.accountApi, 'requestEmailChange']);
+        router.post(`${apiBase}/email-change/cancel`, [C.accountApi, 'cancelEmailChange']);
+        router.post(`${apiBase}/email-change`, [C.accountApi, 'requestEmailChange']);
         // Sessions: fixed routes BEFORE :id.
-        router.get('/account/api/sessions', [C.accountApi, 'listSessions']);
-        router.post('/account/api/sessions/revoke-others', [C.accountApi, 'revokeOtherSessions']);
-        router.post('/account/api/sessions/revoke-all', [C.accountApi, 'revokeAllSessions']);
-        router.delete('/account/api/sessions/:id', [C.accountApi, 'revokeSession']);
+        router.get(`${apiBase}/sessions`, [C.accountApi, 'listSessions']);
+        router.post(`${apiBase}/sessions/revoke-others`, [C.accountApi, 'revokeOtherSessions']);
+        router.post(`${apiBase}/sessions/revoke-all`, [C.accountApi, 'revokeAllSessions']);
+        router.delete(`${apiBase}/sessions/:id`, [C.accountApi, 'revokeSession']);
         // Apps (grants).
-        router.get('/account/api/apps', [C.accountApi, 'listApps']);
-        router.delete('/account/api/apps/:clientId', [C.accountApi, 'revokeApp']);
+        router.get(`${apiBase}/apps`, [C.accountApi, 'listApps']);
+        router.delete(`${apiBase}/apps/:clientId`, [C.accountApi, 'revokeApp']);
         // MFA + passkeys.
-        router.get('/account/api/mfa', [C.accountApi, 'mfaStatus']);
-        router.get('/account/api/passkeys', [C.accountApi, 'listPasskeys']);
-        router.delete('/account/api/passkeys/:id', [C.accountApi, 'removePasskey']);
+        router.get(`${apiBase}/mfa`, [C.accountApi, 'mfaStatus']);
+        router.get(`${apiBase}/passkeys`, [C.accountApi, 'listPasskeys']);
+        router.delete(`${apiBase}/passkeys/:id`, [C.accountApi, 'removePasskey']);
         // PATs.
-        router.get('/account/api/tokens', [C.accountApi, 'listTokens']);
-        router.post('/account/api/tokens', [C.accountApi, 'createToken']);
-        router.delete('/account/api/tokens/:id', [C.accountApi, 'revokeToken']);
+        router.get(`${apiBase}/tokens`, [C.accountApi, 'listTokens']);
+        router.post(`${apiBase}/tokens`, [C.accountApi, 'createToken']);
+        router.delete(`${apiBase}/tokens/:id`, [C.accountApi, 'revokeToken']);
         // Orgs: invitations BEFORE :id (fixed segment before parameterised).
-        router.get('/account/api/orgs', [C.accountApi, 'listOrgs']);
-        router.get('/account/api/orgs/invitations', [C.accountApi, 'listOrgInvitations']);
-        router.get('/account/api/orgs/:id', [C.accountApi, 'showOrg']);
+        router.get(`${apiBase}/orgs`, [C.accountApi, 'listOrgs']);
+        router.get(`${apiBase}/orgs/invitations`, [C.accountApi, 'listOrgInvitations']);
+        router.get(`${apiBase}/orgs/:id`, [C.accountApi, 'showOrg']);
     })
         .use([accountGuard]);
     // Console admin (do config.admin.enabled ou opts). Protegido pelo adminGuard (sessão + role global).
@@ -422,13 +515,19 @@ export function registerAuthHost(router, opts = {}) {
             router.post(`${ap}/api/sessions/revoke-all`, [C.consoleSessions, 'revokeAll']);
             // Sessões por usuário (drawer do user — ANTES do catch-all para não receber HTML).
             router.get(`${ap}/api/users/:id/sessions`, [C.consoleSessions, 'userSessions']);
-            router.post(`${ap}/api/users/:id/revoke-sessions`, [C.consoleSessions, 'userRevokeSessions']);
+            router.post(`${ap}/api/users/:id/revoke-sessions`, [
+                C.consoleSessions,
+                'userRevokeSessions',
+            ]);
             // Clients OIDC.
             router.get(`${ap}/api/clients`, [C.consoleClients, 'index']);
             router.post(`${ap}/api/clients`, [C.consoleClients, 'store']);
             router.patch(`${ap}/api/clients/:id`, [C.consoleClients, 'update']);
             router.delete(`${ap}/api/clients/:id`, [C.consoleClients, 'destroy']);
-            router.post(`${ap}/api/clients/:id/regenerate-secret`, [C.consoleClients, 'regenerateSecret']);
+            router.post(`${ap}/api/clients/:id/regenerate-secret`, [
+                C.consoleClients,
+                'regenerateSecret',
+            ]);
             // Roles.
             router.get(`${ap}/api/roles`, [C.consoleRoles, 'index']);
             router.post(`${ap}/api/roles`, [C.consoleRoles, 'store']);
@@ -447,7 +546,10 @@ export function registerAuthHost(router, opts = {}) {
             router.delete(`${ap}/api/orgs/:id/members/:accountId`, [C.consoleOrgs, 'removeMember']);
             // Convites.
             router.post(`${ap}/api/orgs/:id/invitations`, [C.consoleOrgs, 'createInvitation']);
-            router.delete(`${ap}/api/orgs/:id/invitations/:invitationId`, [C.consoleOrgs, 'revokeInvitation']);
+            router.delete(`${ap}/api/orgs/:id/invitations/:invitationId`, [
+                C.consoleOrgs,
+                'revokeInvitation',
+            ]);
             // Auditoria (capability-gated: 404 quando sink não suporta consulta).
             router.get(`${ap}/api/audit`, [C.consoleAudit, 'index']);
             // Settings.
@@ -515,7 +617,10 @@ export function registerAuthHost(router, opts = {}) {
             withApiThrottle(router.delete('/organizations/:id/members/:accountId', [C.apiOrgs, 'removeMember']));
             withApiThrottle(router.patch('/organizations/:id/members/:accountId', [C.apiOrgs, 'updateMemberRole']));
             withApiThrottle(router.post('/organizations/:id/invitations', [C.apiOrgs, 'createInvitation']));
-            withApiThrottle(router.delete('/organizations/:id/invitations/:invitationId', [C.apiOrgs, 'revokeInvitation']));
+            withApiThrottle(router.delete('/organizations/:id/invitations/:invitationId', [
+                C.apiOrgs,
+                'revokeInvitation',
+            ]));
             // Auditoria + métricas + verificação de token.
             withApiThrottle(router.get('/audit', [C.apiMisc, 'audit']));
             withApiThrottle(router.get('/stats', [C.apiMisc, 'stats']));

package/build/src/host/renderers/edge_renderer.js

@@ -1,3 +1,5 @@
+import { getAccountLoginUrl } from '../account_login_url.js';
+import { accountPathsMap } from '../account_paths.js';
 import { DEFAULT_MESSAGES, translate } from '../i18n.js';
 /**
  * Resolve o catálogo de mensagens ativo a partir do `authkit.server` (config
@@ -28,7 +30,23 @@ async function resolveMessagesFromCtx(ctx) {
 export async function renderEdgeView(ctx, view, props) {
     const messages = await resolveMessagesFromCtx(ctx);
     const t = (key, params) => translate(messages, key, params);
-    return ctx.view.render(`authkit::${view}`, { ...props, t, messages });
+    // `loginUrl` como prop global: as views que linkam "faça login" (ex.: `otp-unlock`)
+    // usam o destino configurável (`accountLoginUrl`) em vez do `/account/login` fixo,
+    // que pode estar desmontado. Props explícitas ainda têm precedência (spread depois).
+    const loginUrl = getAccountLoginUrl();
+    // `accountPaths` como prop global: os `<form action>`/`fetch()` das views do
+    // console de conta (security, mfa, tokens, apps, orgs, ...) derivam o path de
+    // cada tela daqui, respeitando o prefixo/segmentos configurados via
+    // `accountRoutes` — sem cada view conhecer o prefixo. Os action-subpaths
+    // fixos (`/password`, `/passkeys/verify`, ...) são concatenados na própria view.
+    const accountPaths = accountPathsMap();
+    return ctx.view.render(`authkit::${view}`, {
+        loginUrl,
+        accountPaths,
+        ...props,
+        t,
+        messages,
+    });
 }
 /** Renderer do seam para hosts Edge. As views são donas-da-lib (disco `authkit::`). */
 export function edgeRenderer() {

package/build/src/host/renderers/inertia_renderer.d.ts

@@ -66,5 +66,68 @@ export type AuthkitScreen = 'login' | 'signup' | 'consent' | 'forgot' | 'reset'
  * | `returnTo`  | `string \| null`    | Caminho interno de destino pós-login (já validado pelo servidor — só caminhos internos). Quando presente, o formulário deve incluir `<input type="hidden" name="return_to" value={returnTo} />`. O servidor revalida o valor no POST; hosts com tela custom precisam propagar esse hidden input. |
  * | `error`     | `string \| undefined` | Mensagem de erro de autenticação localizada (credenciais inválidas, conta bloqueada, etc.). |
  * | `messages`  | `AuthMessages`      | Catálogo de mensagens i18n. |
+ *
+ * ### Props da tela `account/security`
+ *
+ * | Prop                    | Tipo                | Descrição |
+ * |-------------------------|---------------------|-----------|
+ * | `csrfToken`             | `string`            | Token CSRF para os formulários da tela. |
+ * | `supported`             | `boolean`           | `false` quando o store não suporta o self-service de segurança (troca de senha/e-mail) — a tela deve degradar. |
+ * | `profileSupported`      | `boolean`           | `true` quando o store suporta editar nome/avatar (`updateProfile`). |
+ * | `avatarUploadSupported` | `boolean`           | `true` quando algum backend (drive OU media) pode armazenar o upload de avatar. |
+ * | `email`                 | `string`            | E-mail atual da conta (`''` se ausente). |
+ * | `name`                  | `string`            | Nome atual da conta (`''` se ausente). |
+ * | `avatarUrl`             | `string`            | URL do avatar atual (`''` se ausente). |
+ * | `passwordChanged`       | `string \| null`    | Flash de sucesso da troca de senha (mensagem localizada) ou `null`. |
+ * | `emailChangeRequested`  | `string \| null`    | Flash: link de confirmação de troca de e-mail enviado (ou cancelamento) ou `null`. |
+ * | `emailChanged`          | `string \| null`    | Flash: troca de e-mail concluída ou `null`. |
+ * | `profileUpdated`        | `string \| null`    | Flash: perfil atualizado ou `null`. |
+ * | `error`                 | `string \| null`    | Flash de erro de segurança (senha inválida, e-mail em uso, política violada) ou `null`. |
+ * | `trustedDevicesEnabled` | `boolean`           | `true` quando o recurso de dispositivos confiáveis está ligado. |
+ * | `trustedDevicesRevoked` | `string \| null`    | Flash: confiança deste navegador revogada ou `null`. |
+ * | `sessionsSupported`     | `boolean`           | `true` quando o adapter OIDC enumera as sessões ativas da conta. |
+ * | `sessions`              | `Array<{ loginTs: string; browser: string; os: string; ip: string; location: string }>` | Sessões ativas da própria conta (vazio quando não suportado). `loginTs` é ISO ou `''`. |
+ * | `exportSupported`       | `boolean`           | Sempre `true` — export de dados (portabilidade/LGPD) disponível para a conta logada. |
+ * | `deletionSupported`     | `boolean`           | `true` quando o store suporta hard delete (danger zone). |
+ * | `deleteError`           | `string \| null`    | Flash de erro da confirmação de deleção ou `null`. |
+ * | `messages`              | `AuthMessages`      | Catálogo de mensagens i18n. |
+ *
+ * ### Props da tela `account/mfa`
+ *
+ * As props variam por action: `index` manda o estado base; `enroll` acrescenta
+ * `enrolling`/`secret`/`qrDataUrl` (passo do QR); `confirm` com código inválido
+ * reenvia `enrolling: true` + `error` (sem regenerar o segredo).
+ *
+ * | Prop                | Tipo                | Descrição |
+ * |---------------------|---------------------|-----------|
+ * | `csrfToken`         | `string`            | Token CSRF para os formulários de enroll/confirm/disable e passkeys. |
+ * | `enabled`           | `boolean`           | `true` quando o TOTP já está confirmado (habilitado) para a conta. |
+ * | `recoveryCodes`     | `string[] \| null`  | Códigos de recuperação recém-gerados (exibidos UMA vez após enroll/confirm) ou `null`. |
+ * | `passkeysSupported` | `boolean`           | `true` quando o store persiste credenciais WebAuthn (passkeys). |
+ * | `passkeys`          | `Array<{ id: string; label?: string; createdAt: string }>` | Passkeys cadastradas (vazio quando não suportado). `id` é base64url; `createdAt` é ISO. Presente em `index`. |
+ * | `enrolling`         | `boolean \| undefined` | `true` no passo de enrollment (após `POST /mfa/enroll` e na reexibição do `confirm` com código inválido) — a tela mostra o QR/segredo e o campo de código. Ausente em `index`. |
+ * | `secret`            | `string \| null \| undefined` | Segredo TOTP em texto (base32) para entrada manual, exibido no passo de enroll. `null` na reexibição do `confirm` (o segredo pendente NÃO é regenerado). Ausente em `index`. |
+ * | `qrDataUrl`         | `string \| null \| undefined` | QR code do `otpauth://` como data-URL (`<img src>`), no passo de enroll. `null` na reexibição do `confirm`. Ausente em `index`. |
+ * | `error`             | `string \| undefined` | Mensagem de erro localizada (ex.: código TOTP inválido no `confirm`). Ausente quando não há erro. |
+ * | `messages`          | `AuthMessages`      | Catálogo de mensagens i18n. |
+ *
+ * ### Props da tela `account/confirm` (sudo — confirmar identidade)
+ *
+ * | Prop          | Tipo                | Descrição |
+ * |---------------|---------------------|-----------|
+ * | `csrfToken`   | `string`            | Token CSRF para o POST de cada método. |
+ * | `returnTo`    | `string \| null`    | Caminho interno de destino após confirmar (validado pelo servidor) ou `null`. |
+ * | `error`       | `string \| null`    | Flash de erro da última tentativa de confirmação ou `null`. |
+ * | `notice`      | `string \| null`    | Flash informativo (ex.: "link de confirmação enviado") ou `null`. |
+ * | `methods`     | `Array<{ id: string; labelKey: string; kind: 'form' \| 'action' \| 'redirect' \| 'webauthn'; endpoint: string; fields?: Array<{ name: string; type: 'password' \| 'text'; labelKey: string }> }>` | Métodos de sudo disponíveis para a conta. A tela renderiza por `kind`; `endpoint` é o POST de verificação (`webauthn` pede options em `${endpoint}/options`). |
+ * | `preferredId` | `string \| null`    | `id` do último método usado (destaque na UI) ou `null`. |
+ * | `messages`    | `AuthMessages`      | Catálogo de mensagens i18n. |
+ *
+ * ### Props da tela `account/email-confirmed` (terminal do link de troca de e-mail)
+ *
+ * | Prop       | Tipo           | Descrição |
+ * |------------|----------------|-----------|
+ * | `ok`       | `boolean`      | `true` quando o token era válido e o novo e-mail foi aplicado; `false` para token inválido/expirado ou store sem suporte. A tela mostra sucesso ou falha conforme o valor. |
+ * | `messages` | `AuthMessages` | Catálogo de mensagens i18n. |
  */
 export declare function inertiaRenderer(opts: InertiaRendererOptions): (ctx: HttpContext, view: string, props: Record<string, unknown>) => Promise<any>;

package/build/src/host/renderers/inertia_renderer.js

@@ -37,6 +37,69 @@ async function resolveMessagesFromCtx(ctx) {
  * | `returnTo`  | `string \| null`    | Caminho interno de destino pós-login (já validado pelo servidor — só caminhos internos). Quando presente, o formulário deve incluir `<input type="hidden" name="return_to" value={returnTo} />`. O servidor revalida o valor no POST; hosts com tela custom precisam propagar esse hidden input. |
  * | `error`     | `string \| undefined` | Mensagem de erro de autenticação localizada (credenciais inválidas, conta bloqueada, etc.). |
  * | `messages`  | `AuthMessages`      | Catálogo de mensagens i18n. |
+ *
+ * ### Props da tela `account/security`
+ *
+ * | Prop                    | Tipo                | Descrição |
+ * |-------------------------|---------------------|-----------|
+ * | `csrfToken`             | `string`            | Token CSRF para os formulários da tela. |
+ * | `supported`             | `boolean`           | `false` quando o store não suporta o self-service de segurança (troca de senha/e-mail) — a tela deve degradar. |
+ * | `profileSupported`      | `boolean`           | `true` quando o store suporta editar nome/avatar (`updateProfile`). |
+ * | `avatarUploadSupported` | `boolean`           | `true` quando algum backend (drive OU media) pode armazenar o upload de avatar. |
+ * | `email`                 | `string`            | E-mail atual da conta (`''` se ausente). |
+ * | `name`                  | `string`            | Nome atual da conta (`''` se ausente). |
+ * | `avatarUrl`             | `string`            | URL do avatar atual (`''` se ausente). |
+ * | `passwordChanged`       | `string \| null`    | Flash de sucesso da troca de senha (mensagem localizada) ou `null`. |
+ * | `emailChangeRequested`  | `string \| null`    | Flash: link de confirmação de troca de e-mail enviado (ou cancelamento) ou `null`. |
+ * | `emailChanged`          | `string \| null`    | Flash: troca de e-mail concluída ou `null`. |
+ * | `profileUpdated`        | `string \| null`    | Flash: perfil atualizado ou `null`. |
+ * | `error`                 | `string \| null`    | Flash de erro de segurança (senha inválida, e-mail em uso, política violada) ou `null`. |
+ * | `trustedDevicesEnabled` | `boolean`           | `true` quando o recurso de dispositivos confiáveis está ligado. |
+ * | `trustedDevicesRevoked` | `string \| null`    | Flash: confiança deste navegador revogada ou `null`. |
+ * | `sessionsSupported`     | `boolean`           | `true` quando o adapter OIDC enumera as sessões ativas da conta. |
+ * | `sessions`              | `Array<{ loginTs: string; browser: string; os: string; ip: string; location: string }>` | Sessões ativas da própria conta (vazio quando não suportado). `loginTs` é ISO ou `''`. |
+ * | `exportSupported`       | `boolean`           | Sempre `true` — export de dados (portabilidade/LGPD) disponível para a conta logada. |
+ * | `deletionSupported`     | `boolean`           | `true` quando o store suporta hard delete (danger zone). |
+ * | `deleteError`           | `string \| null`    | Flash de erro da confirmação de deleção ou `null`. |
+ * | `messages`              | `AuthMessages`      | Catálogo de mensagens i18n. |
+ *
+ * ### Props da tela `account/mfa`
+ *
+ * As props variam por action: `index` manda o estado base; `enroll` acrescenta
+ * `enrolling`/`secret`/`qrDataUrl` (passo do QR); `confirm` com código inválido
+ * reenvia `enrolling: true` + `error` (sem regenerar o segredo).
+ *
+ * | Prop                | Tipo                | Descrição |
+ * |---------------------|---------------------|-----------|
+ * | `csrfToken`         | `string`            | Token CSRF para os formulários de enroll/confirm/disable e passkeys. |
+ * | `enabled`           | `boolean`           | `true` quando o TOTP já está confirmado (habilitado) para a conta. |
+ * | `recoveryCodes`     | `string[] \| null`  | Códigos de recuperação recém-gerados (exibidos UMA vez após enroll/confirm) ou `null`. |
+ * | `passkeysSupported` | `boolean`           | `true` quando o store persiste credenciais WebAuthn (passkeys). |
+ * | `passkeys`          | `Array<{ id: string; label?: string; createdAt: string }>` | Passkeys cadastradas (vazio quando não suportado). `id` é base64url; `createdAt` é ISO. Presente em `index`. |
+ * | `enrolling`         | `boolean \| undefined` | `true` no passo de enrollment (após `POST /mfa/enroll` e na reexibição do `confirm` com código inválido) — a tela mostra o QR/segredo e o campo de código. Ausente em `index`. |
+ * | `secret`            | `string \| null \| undefined` | Segredo TOTP em texto (base32) para entrada manual, exibido no passo de enroll. `null` na reexibição do `confirm` (o segredo pendente NÃO é regenerado). Ausente em `index`. |
+ * | `qrDataUrl`         | `string \| null \| undefined` | QR code do `otpauth://` como data-URL (`<img src>`), no passo de enroll. `null` na reexibição do `confirm`. Ausente em `index`. |
+ * | `error`             | `string \| undefined` | Mensagem de erro localizada (ex.: código TOTP inválido no `confirm`). Ausente quando não há erro. |
+ * | `messages`          | `AuthMessages`      | Catálogo de mensagens i18n. |
+ *
+ * ### Props da tela `account/confirm` (sudo — confirmar identidade)
+ *
+ * | Prop          | Tipo                | Descrição |
+ * |---------------|---------------------|-----------|
+ * | `csrfToken`   | `string`            | Token CSRF para o POST de cada método. |
+ * | `returnTo`    | `string \| null`    | Caminho interno de destino após confirmar (validado pelo servidor) ou `null`. |
+ * | `error`       | `string \| null`    | Flash de erro da última tentativa de confirmação ou `null`. |
+ * | `notice`      | `string \| null`    | Flash informativo (ex.: "link de confirmação enviado") ou `null`. |
+ * | `methods`     | `Array<{ id: string; labelKey: string; kind: 'form' \| 'action' \| 'redirect' \| 'webauthn'; endpoint: string; fields?: Array<{ name: string; type: 'password' \| 'text'; labelKey: string }> }>` | Métodos de sudo disponíveis para a conta. A tela renderiza por `kind`; `endpoint` é o POST de verificação (`webauthn` pede options em `${endpoint}/options`). |
+ * | `preferredId` | `string \| null`    | `id` do último método usado (destaque na UI) ou `null`. |
+ * | `messages`    | `AuthMessages`      | Catálogo de mensagens i18n. |
+ *
+ * ### Props da tela `account/email-confirmed` (terminal do link de troca de e-mail)
+ *
+ * | Prop       | Tipo           | Descrição |
+ * |------------|----------------|-----------|
+ * | `ok`       | `boolean`      | `true` quando o token era válido e o novo e-mail foi aplicado; `false` para token inválido/expirado ou store sem suporte. A tela mostra sucesso ou falha conforme o valor. |
+ * | `messages` | `AuthMessages` | Catálogo de mensagens i18n. |
  */
 export function inertiaRenderer(opts) {
     const allowed = opts.views ? new Set(opts.views) : null;

package/build/src/host/runtime_settings.js

@@ -50,7 +50,7 @@
  * );
  * ```
  */
-import { isSettingLocked, SettingLockedError } from './config_locks.js';
+import { SettingLockedError, isSettingLocked } from './config_locks.js';
 /**
  * Type guard: o objeto (store ou serviço) expõe SettingsCapability?
  */

package/build/src/host/runtime_toggles.d.ts

@@ -65,7 +65,7 @@ export interface RegistrationSetting {
  * FAIL-SAFE: `getSetting` nunca lança (contrato do RuntimeSettings). Se
  * retornar null, usamos configDefault.
  */
-export declare function resolveEffectiveRegistration(configDefault: boolean | undefined, settings: SettingsCapability): Promise<boolean>;
+export declare function resolveEffectiveRegistration(configDefault: boolean, settings: SettingsCapability): Promise<boolean>;
 /**
  * Shape da setting `require_verified_email` em `auth_settings`.
  *
@@ -96,14 +96,14 @@ export interface ResolvedRequireVerifiedEmail {
  *   - setting presente → sobrescreve.
  *   - setting ausente/inválido/erro → usa configDefault.
  */
-export declare function resolveEffectiveRequireVerifiedEmail(configDefault: boolean | undefined, settings: SettingsCapability): Promise<boolean>;
+export declare function resolveEffectiveRequireVerifiedEmail(configDefault: boolean, settings: SettingsCapability): Promise<boolean>;
 /**
  * Resolve o valor efetivo COMPLETO de `require_verified_email` incluindo
  * `graceDays`. Usado pelo gate de login para implementar a janela de graça.
  *
  * FAIL-SAFE: qualquer erro → `{ enabled: configDefault, graceDays: 0 }`.
  */
-export declare function resolveEffectiveRequireVerifiedEmailFull(configDefault: boolean | undefined, settings: SettingsCapability): Promise<ResolvedRequireVerifiedEmail>;
+export declare function resolveEffectiveRequireVerifiedEmailFull(configDefault: boolean, settings: SettingsCapability): Promise<ResolvedRequireVerifiedEmail>;
 /**
  * Shape da setting `maintenance_mode` em `auth_settings`.
  *