@adonis-agora/authkit-server 0.55.1 → 0.55.2

package/build/src/host/impersonation_session.d.ts

@@ -44,8 +44,15 @@ export declare function startImpersonation(ctx: HttpContext, params: StartImpers
  */
 export declare function impersonationState(ctx: HttpContext): ImpersonationState;
 /**
- * Encerra a impersonation: restaura `account_user_id = impersonator`, limpa TODAS
- * as keys de impersonation (impersonator + access token do admin) e regenera a
- * sessão (anti-fixation). No-op quando não há impersonation ativa.
+ * Encerra a impersonation: restaura `account_user_id = impersonator`, remove a
+ * key de impersonation e regenera a sessão (anti-fixation). No-op quando não há
+ * impersonation ativa.
+ *
+ * O `admin_access_token` (a credencial do ADMIN usada como `subject_token` do
+ * token-exchange) é PRESERVADO: ele é do admin — não do alvo — e o admin segue
+ * logado após o stop. Removê-lo forçava um relogin a cada vez que o admin
+ * personificava, saía e tentava personificar de novo (No admin access token in
+ * session). O token segue curto (TTL do access token do RP) e o logout do app
+ * (`ctx.session.clear()` em `AuthRpController.logout`) continua limpando tudo.
  */
 export declare function stopImpersonation(ctx: HttpContext): Promise<void>;

package/build/src/host/impersonation_session.js

@@ -121,9 +121,16 @@ export function impersonationState(ctx) {
     return { active: true, targetId, impersonatorId };
 }
 /**
- * Encerra a impersonation: restaura `account_user_id = impersonator`, limpa TODAS
- * as keys de impersonation (impersonator + access token do admin) e regenera a
- * sessão (anti-fixation). No-op quando não há impersonation ativa.
+ * Encerra a impersonation: restaura `account_user_id = impersonator`, remove a
+ * key de impersonation e regenera a sessão (anti-fixation). No-op quando não há
+ * impersonation ativa.
+ *
+ * O `admin_access_token` (a credencial do ADMIN usada como `subject_token` do
+ * token-exchange) é PRESERVADO: ele é do admin — não do alvo — e o admin segue
+ * logado após o stop. Removê-lo forçava um relogin a cada vez que o admin
+ * personificava, saía e tentava personificar de novo (No admin access token in
+ * session). O token segue curto (TTL do access token do RP) e o logout do app
+ * (`ctx.session.clear()` em `AuthRpController.logout`) continua limpando tudo.
  */
 export async function stopImpersonation(ctx) {
     const impersonatorId = ctx.session.get(IMPERSONATOR_SESSION_KEY);
@@ -139,5 +146,4 @@ export async function stopImpersonation(ctx) {
     // confirmação dele, sobre a conta dele, dentro da janela dele.
     ctx.session.put(ACCOUNT_SESSION_KEY, impersonatorId);
     ctx.session.forget(IMPERSONATOR_SESSION_KEY);
-    ctx.session.forget(ADMIN_ACCESS_TOKEN_SESSION_KEY);
 }

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@adonis-agora/authkit-server",
-  "version": "0.55.1",
+  "version": "0.55.2",
   "description": "AdonisJS OIDC/OAuth2 provider (Identity Provider) toolkit: ejectable auth server with sessions, rate-limiting, MFA/TOTP, audit log, federated logout and OpenTelemetry metrics.",
   "license": "MIT",
   "author": "dudousxd",