@adonis-agora/authkit-server 0.54.0 → 0.55.1

package/build/src/password/common_passwords.js

@@ -11,7 +11,7 @@
  * Fonte dos dados: compilação de senhas comuns de domínio público.
  * Licença do arquivo de dados: CC0 / Public Domain.
  */
-import { readFileSync } from 'node:fs';
+import { existsSync, readFileSync } from 'node:fs';
 import { dirname, join } from 'node:path';
 import { fileURLToPath } from 'node:url';
 /**
@@ -23,16 +23,36 @@ let _commonPasswordsSet = null;
 /**
  * Carrega o arquivo de senhas comuns uma única vez (lazy).
  *
- * FAIL-SAFE: se o arquivo não existir ou não puder ser lido (ex.: bundle sem
- * assets), retorna um Set vazio — a checagem vira no-op sem quebrar o fluxo.
+ * Onde o arquivo é esperado: o build script copia `common_passwords.txt`
+ * para o mesmo diretório do módulo compilado (`build/src/password/`, já que
+ * `tsc` com `rootDir: "./"` preserva o subcaminho `src/`). Em dev via
+ * ts-exec (sem build), o módulo roda direto de `src/password/`, onde o
+ * `.txt` já mora ao lado do `.ts` no repo.
+ *
+ * Checamos mais de um candidato — não só o caminho-irmão — para sobreviver
+ * a uma mudança futura em `rootDir`/`outDir` ou a uma regressão no script de
+ * cópia do build: o caminho-irmão cobre o layout atual (build e dev); os
+ * demais são fallbacks para o layout antigo (`build/password/`) e para ler
+ * direto de `src/` a partir de um build.
+ *
+ * FAIL-SAFE: se o arquivo não existir em nenhum candidato, ou não puder ser
+ * lido (ex.: bundle sem assets), retorna um Set vazio — a checagem vira
+ * no-op sem quebrar o fluxo. Uma senha comum indevidamente aceita é sempre
+ * preferível a um login/signup quebrado por um asset ausente.
  */
 function loadCommonPasswords() {
     if (_commonPasswordsSet !== null)
         return _commonPasswordsSet;
     try {
-        const __filename = fileURLToPath(import.meta.url);
-        const __dir = dirname(__filename);
-        const filePath = join(__dir, 'common_passwords.txt');
+        const __dir = dirname(fileURLToPath(import.meta.url));
+        const candidates = [
+            join(__dir, 'common_passwords.txt'), // caminho-irmão: build/src/password/ (prod) ou src/password/ (dev via ts-exec)
+            join(__dir, '..', '..', 'password', 'common_passwords.txt'), // layout antigo: build/password/
+            join(__dir, '..', '..', '..', 'src', 'password', 'common_passwords.txt'), // fallback: src/ a partir de um build
+        ];
+        const filePath = candidates.find((p) => existsSync(p));
+        if (!filePath)
+            throw new Error('common_passwords.txt not found in any candidate path');
         const content = readFileSync(filePath, 'utf-8');
         const entries = content
             .split('\n')
@@ -41,7 +61,7 @@ function loadCommonPasswords() {
         _commonPasswordsSet = new Set(entries);
     }
     catch {
-        // Fail-safe: arquivo ausente → Set vazio (no-op check).
+        // Fail-safe: arquivo ausente em todos os candidatos → Set vazio (no-op check).
         _commonPasswordsSet = new Set();
     }
     return _commonPasswordsSet;

package/build/src/provider/oidc_service.js

@@ -118,19 +118,36 @@ export class OidcService {
             },
         }, this.sessionTtlHolder, this.tokenTtlHolder);
         wireProviderEvents(provider, this.recorder);
-        registerTokenExchange(provider, {
-            findAccount: config.findAccount,
-            globalRolesClaim: config.globalRolesClaim,
-            resolveTokenRoles: config.resolveTokenRoles,
-            // Resource indicators (RFC 8707) suportados: o `audience` default + cada
-            // resource declarado. Usado para validar `audience`/`resource` no pedido de
-            // token-exchange — alvos fora desta lista são rejeitados (invalid_target).
-            supportedResources: [
-                config.accessTokens.audience,
-                ...Object.keys(config.accessTokens.resources),
-            ],
-            audit: config.audit,
-        });
+        // KILL SWITCH de impersonation (`admin.impersonation`, default `true`).
+        // Com a flag em `false` o grant simplesmente NÃO EXISTE no provider — o
+        // token endpoint responde `unsupported_grant_type` — em vez de existir e
+        // recusar caso a caso. É a mesma flag que fecha o painel do console
+        // (`console_impersonation_controller.ts`): uma declaração, duas superfícies.
+        if (config.admin.impersonation) {
+            registerTokenExchange(provider, {
+                findAccount: config.findAccount,
+                globalRolesClaim: config.globalRolesClaim,
+                resolveTokenRoles: config.resolveTokenRoles,
+                // Allowlist de roles que autorizam impersonation — a MESMA de
+                // `config.admin.roles` usada pelos guards do console (default
+                // `['ADMIN']`). Permite que um host use papel próprio (ex.: `admin`
+                // minúsculo num store de roles próprio) sem alterar `globalRoles`.
+                adminRoles: config.admin.roles,
+                // Resource indicators (RFC 8707) suportados: o `audience` default + cada
+                // resource declarado. Usado para validar `audience`/`resource` no pedido de
+                // token-exchange — alvos fora desta lista são rejeitados (invalid_target).
+                supportedResources: [
+                    config.accessTokens.audience,
+                    ...Object.keys(config.accessTokens.resources),
+                ],
+                // LOAD-BEARING: sem isto o gate de status do alvo dentro de
+                // `token_exchange.ts` degrada para "allowed" (o campo é opcional, para não
+                // quebrar hosts com stores mínimos) e um admin consegue impersonar uma
+                // conta que acabou de desabilitar, recebendo tokens plenamente funcionais.
+                accountStore: config.accountStore,
+                audit: config.audit,
+            });
+        }
         // Quando o issuer tem um path (ex.: http://host/oidc), o provider precisa ser
         // MONTADO sob esse path via koa-mount. Isso faz o oidc-provider gerar URLs de
         // discovery e redirects de resume/interaction CORRETAMENTE prefixados (ex.:

package/build/src/provider/token_exchange.d.ts

@@ -1,4 +1,4 @@
-import type { AuthAccount } from '../accounts/account_store.js';
+import type { AccountStore, AuthAccount } from '../accounts/account_store.js';
 import type { AuditSink } from '../audit/audit_sink.js';
 export interface TokenExchangeAccount {
     id: string;
@@ -14,6 +14,11 @@ export interface TokenExchangeDeps {
      * `target.globalRoles ?? []` (unchanged behavior). Mirrors the mint-time hook used
      * by the authorization-code flow so impersonated tokens source roles from the same
      * authority (e.g. @adonis-agora/authz) or custom store.
+     *
+     * The SAME hook also gates the ACTOR (the admin trying to impersonate): its roles
+     * are resolved through it too, so an app that keeps roles in its own table
+     * (e.g. via `@adonis-agora/authz`) can impersonate without storing roles in the
+     * authkit `globalRoles` column. When omitted, falls back to `actor.globalRoles`.
      */
     resolveTokenRoles?: (account: AuthAccount, context: {
         clientId?: string;
@@ -23,6 +28,14 @@ export interface TokenExchangeDeps {
             orgRole: string;
         } | null;
     }) => string[] | Promise<string[]>;
+    /**
+     * Allowlist de roles que autorizam a impersonation. Default: `['ADMIN']`.
+     * Aceita o papel EXATO (ex.: `'admin'` minúsculo) do app — resolve contra a
+     * MESMA fonte de roles do `resolveTokenRoles`/`globalRoles`, não a um papel
+     * hardcoded. Mantém `adminRole` como alias singular para back-compat.
+     */
+    adminRoles?: string[];
+    /** @deprecated Use `adminRoles` (allowlist). Mantido como alias singular. */
     adminRole?: string;
     /**
      * Resource indicators (RFC 8707) suportados pelo provider. Quando o pedido traz
@@ -32,5 +45,16 @@ export interface TokenExchangeDeps {
     supportedResources?: string[];
     /** Sink de auditoria (best-effort). Quando presente, registra `impersonation`. */
     audit?: AuditSink;
+    /**
+     * AccountStore do host, usado para checar se o alvo da impersonação está
+     * desabilitado/expirado (mesmo gate de `attemptPasswordLogin`, via
+     * `assertAccountEnabled`). Impersonar uma conta desabilitada mintaria tokens
+     * funcionais para uma identidade que deveria estar sem acesso algum.
+     *
+     * OPCIONAL e capability-probed (via `supportsAccountStatus`, dentro do
+     * helper): ausente ou sem a capacidade → degrada para "permitido" (mesma
+     * regra de todo o resto da lib — nunca quebra hosts com um store mínimo).
+     */
+    accountStore?: AccountStore;
 }
 export declare function registerTokenExchange(provider: any, deps: TokenExchangeDeps): void;

package/build/src/provider/token_exchange.js

@@ -1,4 +1,5 @@
 import { errors } from 'oidc-provider';
+import { assertAccountEnabled } from '../host/login_attempt.js';
 const TOKEN_EXCHANGE = 'urn:ietf:params:oauth:grant-type:token-exchange';
 const ACCESS_TOKEN_TYPE = 'urn:ietf:params:oauth:token-type:access_token';
 /**
@@ -15,7 +16,7 @@ function intersectScopes(requested, allowed) {
     return out.join(' ');
 }
 export function registerTokenExchange(provider, deps) {
-    const adminRole = deps.adminRole ?? 'ADMIN';
+    const adminRoles = deps.adminRoles ?? (deps.adminRole ? [deps.adminRole] : ['ADMIN']);
     const supportedResources = new Set(deps.supportedResources ?? []);
     const handler = async (ctx) => {
         const { params, client } = ctx.oidc;
@@ -35,7 +36,22 @@ export function registerTokenExchange(provider, deps) {
             throw new errors.InvalidGrant('subject_token was not issued to this client');
         }
         const actor = await deps.findAccount(subjectAt.accountId);
-        if (!actor || !(actor.globalRoles ?? []).includes(adminRole)) {
+        if (!actor) {
+            throw new errors.InvalidGrant('actor not permitted to impersonate');
+        }
+        // Resolve as roles do ATOR pela MESMA fonte do claim (resolveTokenRoles
+        // quando o host configura — ex.: roles em tabela própria via
+        // `@adonis-agora/authz`), com fallback pro `globalRoles` do store. Sem isso
+        // um host que não grava roles na coluna `globalRoles` do authkit nunca
+        // conseguiria impersonar (o gate bateria sempre em `[]`). Mesmo padrão do
+        // console (`resolveAccountRoles` em `host/account_roles.ts`).
+        const actorRoles = deps.resolveTokenRoles
+            ? await deps.resolveTokenRoles(actor, {
+                clientId: client?.clientId,
+                activeOrg: null,
+            })
+            : (actor.globalRoles ?? []);
+        if (!actorRoles.some((r) => adminRoles.includes(r))) {
             throw new errors.InvalidGrant('actor not permitted to impersonate');
         }
         const targetId = params.requested_subject;
@@ -46,6 +62,17 @@ export function registerTokenExchange(provider, deps) {
         if (!target) {
             throw new errors.InvalidGrant('requested_subject not found');
         }
+        // Status do alvo (disabled/expirado): mesmo gate de `attemptPasswordLogin`.
+        // Sem isso, impersonar um alvo desabilitado mintava tokens funcionais para
+        // uma identidade que o admin acreditava ter revogado. `accountStore` é
+        // opcional/capability-probed — sem ele (ou sem a capacidade), permanece
+        // "permitido" como antes.
+        if (deps.accountStore) {
+            const statusGate = await assertAccountEnabled({ accountStore: deps.accountStore, audit: deps.audit }, target.id, { email: target.email ?? '', ip: ctx.req?.socket?.remoteAddress ?? null });
+            if (!statusGate.allowed) {
+                throw new errors.InvalidGrant('requested_subject is disabled');
+            }
+        }
         // audience/resource: se o pedido vier com um alvo, ele PRECISA estar entre os
         // resource indicators suportados. Caso contrário rejeitamos (conservador) —
         // nunca embutimos audiência arbitrária no token emitido.

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@adonis-agora/authkit-server",
-  "version": "0.54.0",
+  "version": "0.55.1",
   "description": "AdonisJS OIDC/OAuth2 provider (Identity Provider) toolkit: ejectable auth server with sessions, rate-limiting, MFA/TOTP, audit log, federated logout and OpenTelemetry metrics.",
   "license": "MIT",
   "author": "dudousxd",
@@ -124,6 +124,8 @@
     "@japa/assert": "4.2.0",
     "@japa/runner": "5.3.0",
     "@poppinss/ts-exec": "1.4.4",
+    "@types/better-sqlite3": "^7.6.13",
+    "@types/ioredis-mock": "^8.2.7",
     "@types/koa": "^2.15.2",
     "@types/koa-mount": "^4.0.5",
     "@types/luxon": "3.7.1",
@@ -151,11 +153,12 @@
     "@adonis-agora/authkit-react": "0.18.0"
   },
   "scripts": {
-    "build": "node scripts/build_host_css.mjs && node scripts/build_webauthn.mjs && node scripts/build_ui.mjs && node -e \"const fs=require('node:fs');for(const d of ['build/stubs','build/host/views'])fs.rmSync(d,{recursive:true,force:true})\" && tsc && node -e \"require('node:fs').cpSync('src/host/assets','build/src/host/assets',{recursive:true})\" && node -e \"require('node:fs').cpSync('stubs','build/stubs',{recursive:true,filter:(s)=>!s.endsWith('.ts')})\" && node -e \"const fs=require('node:fs');if(fs.existsSync('assets'))fs.cpSync('assets','build/assets',{recursive:true})\" && node -e \"require('node:fs').cpSync('src/host/views','build/host/views',{recursive:true})\" && node -e \"const fs=require('node:fs');fs.mkdirSync('build/host/ui',{recursive:true});fs.readdirSync('src/host/ui').filter(f=>f.endsWith('.html')).forEach(f=>fs.copyFileSync('src/host/ui/'+f,'build/host/ui/'+f))\" && node -e \"require('node:fs').copyFileSync('commands/commands.json','build/commands/commands.json')\" && node -e \"const fs=require('node:fs');fs.mkdirSync('build/password',{recursive:true});fs.copyFileSync('src/password/common_passwords.txt','build/password/common_passwords.txt')\"",
+    "build": "node scripts/build_host_css.mjs && node scripts/build_webauthn.mjs && node scripts/build_ui.mjs && node -e \"const fs=require('node:fs');for(const d of ['build/stubs','build/host/views'])fs.rmSync(d,{recursive:true,force:true})\" && tsc && node -e \"require('node:fs').cpSync('src/host/assets','build/src/host/assets',{recursive:true})\" && node -e \"require('node:fs').cpSync('stubs','build/stubs',{recursive:true,filter:(s)=>!s.endsWith('.ts')})\" && node -e \"const fs=require('node:fs');if(fs.existsSync('assets'))fs.cpSync('assets','build/assets',{recursive:true})\" && node -e \"require('node:fs').cpSync('src/host/views','build/host/views',{recursive:true})\" && node -e \"const fs=require('node:fs');fs.mkdirSync('build/host/ui',{recursive:true});fs.readdirSync('src/host/ui').filter(f=>f.endsWith('.html')).forEach(f=>fs.copyFileSync('src/host/ui/'+f,'build/host/ui/'+f))\" && node -e \"require('node:fs').copyFileSync('commands/commands.json','build/commands/commands.json')\" && node -e \"const fs=require('node:fs');fs.mkdirSync('build/src/password',{recursive:true});fs.copyFileSync('src/password/common_passwords.txt','build/src/password/common_passwords.txt')\"",
     "build:ui": "node scripts/build_ui.mjs",
     "build:webauthn": "node scripts/build_webauthn.mjs",
     "check:webauthn-bundle": "node scripts/check_webauthn_bundle.mjs",
-    "typecheck": "tsc --noEmit && node scripts/typecheck_ui.mjs",
+    "typecheck": "tsc --noEmit && node scripts/typecheck_ui.mjs && node scripts/typecheck_tests.mjs",
+    "typecheck:tests": "node scripts/typecheck_tests.mjs",
     "test": "node --import=@poppinss/ts-exec bin/test.ts",
     "build:host-css": "node scripts/build_host_css.mjs"
   }