@adonis-agora/authkit-server 0.58.3 → 0.59.0

package/build/src/accounts/lucid_account_store.js

@@ -165,7 +165,11 @@ export function lucidAccountStore(Model, options = {}) {
             return encrypter.decrypt(stored);
         },
         toAccount: (row) => ({
-            id: row.id,
+            // `String(...)`: o `id` do AuthAccount vira o claim `sub`, que a spec OIDC
+            // exige que seja string. Tabelas adotadas em brownfield quase sempre têm
+            // `id` INTEGER auto-increment, e sem a coerção o número vazava para o
+            // token (e para todo call-site tipado como string).
+            id: String(row.id),
             email: row.email,
             globalRoles: row.globalRoles ?? [],
             name: row.fullName ?? undefined,
@@ -251,6 +255,16 @@ export function lucidAccountStore(Model, options = {}) {
          */
         __mfaIssuer: mfaIssuer,
         __webauthn: options.webauthn,
+        /**
+         * O model Lucid por trás deste store — exposto para o `authkit:doctor`
+         * inspecionar `$columnsDefinitions` e avisar sobre colunas ausentes ANTES
+         * que o fluxo correspondente quebre em produção (ver
+         * `doctor/checks.ts#checkAccountStoreColumns`). Importa sobretudo em
+         * adoção brownfield, onde o model aponta para uma tabela `users` que já
+         * existia e não passou pelas migrations do authkit.
+         * NÃO faz parte do contrato AccountStore.
+         */
+        __model: Model,
     };
     // Histórico de senhas: capability-probed via tabela `auth_password_history`.
     // A versão síncrona não pode fazer o probe de DB, então a capability fica
@@ -287,7 +301,8 @@ export async function lucidAccountStoreAsync(Model, options = {}) {
                 sealSecret: (s) => s,
                 openSecret: (s) => s ?? null,
                 toAccount: (row) => ({
-                    id: row.id,
+                    // Ver a nota em `toAccount` acima: `sub` precisa ser string.
+                    id: String(row.id),
                     email: row.email,
                     globalRoles: row.globalRoles ?? [],
                     name: row.fullName ?? undefined,

package/build/src/audit/audit_sink.d.ts

@@ -21,6 +21,16 @@ export interface AuditEvent {
     clientId?: string | null;
     /** Impersonation: quem agiu (o admin). */
     actorId?: string | null;
+    /**
+     * Organização (tenant) a que o evento pertence, quando houver. Campo de
+     * PRIMEIRA CLASSE — e não uma chave de `metadata` — de propósito: `metadata`
+     * é livre e por isso é DROPADO na projeção que vai para o barramento de
+     * diagnostics (ver `redactAuditEventForDiagnostics`), enquanto os ids internos
+     * opacos (`accountId`/`actorId`/`clientId`/`orgId`) são preservados. É esse
+     * campo que permite a um consumidor do barramento — p.ex. o provisioning do
+     * `@adonis-agora/authz` — saber QUAL tenant provisionar sem receber PII.
+     */
+    orgId?: string | null;
     ip?: string | null;
     metadata?: Record<string, unknown>;
 }

package/build/src/doctor/checks.d.ts

@@ -57,6 +57,19 @@ export declare function checkClients(input: DoctorInput): Finding;
 export declare function checkAdapterVolatility(input: DoctorInput): Finding | null;
 /** accountStore presente + quais capacidades implementa. */
 export declare function checkAccountStore(input: DoctorInput): Finding[];
+/**
+ * Valida que o model por trás do account store tem as colunas que o store
+ * escreve. Existe por causa da adoção brownfield: quando o host aponta o
+ * AuthKit para a tabela `users` que ele JÁ tinha, as colunas dos mixins
+ * (`password_reset_token`, `email_verification_token`, …) não existem, o app
+ * sobe normalmente, e a falha só aparece quando alguém clica em "esqueci minha
+ * senha" — em produção. Este check antecipa isso para o boot.
+ *
+ * Silencioso quando não há o que inspecionar: um store custom (não-Lucid) não
+ * expõe `__model`, e nesse caso o contrato é responsabilidade de quem o
+ * implementou.
+ */
+export declare function checkAccountStoreColumns(input: DoctorInput): Finding[];
 /** session provider configurado + warn se cookie store com tokenSets grandes. */
 export declare function checkSession(input: DoctorInput): Finding[];
 /** Hint de exceções de CSRF do shield para o mountPath. */

package/build/src/doctor/checks.js

@@ -134,6 +134,84 @@ export function checkAccountStore(input) {
     });
     return findings;
 }
+/**
+ * Propriedades do model que o account store Lucid escreve/lê, agrupadas pelo
+ * FLUXO que deixa de funcionar quando a coluna não existe. Agrupar por fluxo (e
+ * não listar colunas soltas) é o que torna o achado acionável: "falta
+ * `password_reset_token`" não diz nada a quem não conhece o interior da lib;
+ * "o reset de senha vai quebrar" diz.
+ */
+const REQUIRED_COLUMN_GROUPS = [
+    { flow: 'identity (every flow)', properties: ['email'] },
+    { flow: 'password login', properties: ['password'] },
+    { flow: 'role claims / admin', properties: ['globalRoles'] },
+    {
+        flow: 'password reset',
+        properties: ['passwordResetToken', 'passwordResetExpiresAt'],
+    },
+    {
+        flow: 'email verification',
+        properties: ['emailVerifiedAt', 'emailVerificationToken'],
+    },
+];
+/**
+ * Propriedades OPCIONAIS: a capability correspondente é detectada pela presença
+ * da coluna, então ausência é configuração válida (feature desligada) e nunca
+ * um erro — só vale reportar para que a ausência seja uma escolha, e não uma
+ * surpresa.
+ */
+const OPTIONAL_COLUMN_GROUPS = [
+    { capability: 'profile (name/avatar)', properties: ['fullName', 'avatarUrl'] },
+    { capability: 'disable/enable account', properties: ['disabledAt'] },
+    { capability: 'password expiration', properties: ['passwordChangedAt'] },
+];
+/**
+ * Valida que o model por trás do account store tem as colunas que o store
+ * escreve. Existe por causa da adoção brownfield: quando o host aponta o
+ * AuthKit para a tabela `users` que ele JÁ tinha, as colunas dos mixins
+ * (`password_reset_token`, `email_verification_token`, …) não existem, o app
+ * sobe normalmente, e a falha só aparece quando alguém clica em "esqueci minha
+ * senha" — em produção. Este check antecipa isso para o boot.
+ *
+ * Silencioso quando não há o que inspecionar: um store custom (não-Lucid) não
+ * expõe `__model`, e nesse caso o contrato é responsabilidade de quem o
+ * implementou.
+ */
+export function checkAccountStoreColumns(input) {
+    const store = input.authkitConfig?.accountStore;
+    const model = store?.__model;
+    const definitions = model?.$columnsDefinitions;
+    if (!definitions || typeof definitions.get !== 'function')
+        return [];
+    /** Nome da coluna real (o que o DBA procura), com fallback à propriedade. */
+    const columnOf = (property) => definitions.get(property)?.columnName ?? property;
+    const missing = (properties) => properties.filter((p) => !definitions.has(p));
+    const findings = [];
+    for (const { flow, properties } of REQUIRED_COLUMN_GROUPS) {
+        const absent = missing(properties);
+        if (absent.length === 0)
+            continue;
+        const named = absent.map((p) => `\`${p}\` (column \`${columnOf(p)}\`)`).join(', ');
+        findings.push({
+            level: 'error',
+            message: `accountStore model (${model.name ?? 'model'}) is missing ${named} — ${flow} will fail at runtime. Add the column(s) with a migration, or map an existing one with @column({ columnName: '…' }).`,
+        });
+    }
+    const off = OPTIONAL_COLUMN_GROUPS.filter((g) => missing(g.properties).length > 0);
+    if (off.length > 0) {
+        findings.push({
+            level: 'ok',
+            message: `Capabilities off (column absent): ${off.map((g) => g.capability).join(', ')}.`,
+        });
+    }
+    if (findings.every((f) => f.level === 'ok')) {
+        findings.unshift({
+            level: 'ok',
+            message: `accountStore model (${model.name ?? 'model'}) has every required column.`,
+        });
+    }
+    return findings;
+}
 /** session provider configurado + warn se cookie store com tokenSets grandes. */
 export function checkSession(input) {
     if (!input.peers.session) {
@@ -845,6 +923,7 @@ export function runAllChecks(input) {
     if (volatility)
         findings.push(volatility);
     findings.push(...checkAccountStore(input));
+    findings.push(...checkAccountStoreColumns(input));
     findings.push(...checkSession(input));
     findings.push(checkShield(input));
     findings.push(checkAlly(input));

package/build/src/events/dispatcher.d.ts

@@ -56,9 +56,13 @@ export declare function signWebhookBody(body: string, secret: string): string;
  *     e-mail). Nenhum data provider do dashboard lê `metadata`, então dropá-lo é
  *     seguro;
  *   - MANTÉM `type` (a família do evento — o que os providers agregam) e os ids
- *     internos opacos `accountId`/`actorId`/`clientId` (correlação de subject/actor
- *     no dashboard; NÃO são PII direta e, sem `email`/`ip`/`metadata` e com a linha
- *     da conta já deletada, não são reidentificáveis).
+ *     internos opacos `accountId`/`actorId`/`clientId`/`orgId` (correlação de
+ *     subject/actor/tenant no dashboard; NÃO são PII direta e, sem `email`/`ip`/
+ *     `metadata` e com a linha da conta já deletada, não são reidentificáveis).
+ *     O `orgId` está aqui porque é o que torna o barramento UTILIZÁVEL para
+ *     provisioning multi-tenant (o `@adonis-agora/authz` escuta
+ *     `agora:authkit:organization.*` e precisa saber qual tenant escopar) —
+ *     sem ele o consumidor recebia o tipo do evento e mais nada.
  *
  * Assim o Telescope nunca armazena PII bruta e a deleção de conta não precisa de uma
  * etapa de purge cross-lib. Os ramos `onEvent`/`webhook` (integrações que o host

package/build/src/events/dispatcher.js

@@ -20,6 +20,7 @@ export function buildWebhookBody(event) {
         accountId: event.accountId ?? null,
         email: event.email ?? null,
         clientId: event.clientId ?? null,
+        orgId: event.orgId ?? null,
         ip: event.ip ?? null,
         metadata: event.metadata ?? {},
         ts: new Date().toISOString(),
@@ -50,9 +51,13 @@ export function signWebhookBody(body, secret) {
  *     e-mail). Nenhum data provider do dashboard lê `metadata`, então dropá-lo é
  *     seguro;
  *   - MANTÉM `type` (a família do evento — o que os providers agregam) e os ids
- *     internos opacos `accountId`/`actorId`/`clientId` (correlação de subject/actor
- *     no dashboard; NÃO são PII direta e, sem `email`/`ip`/`metadata` e com a linha
- *     da conta já deletada, não são reidentificáveis).
+ *     internos opacos `accountId`/`actorId`/`clientId`/`orgId` (correlação de
+ *     subject/actor/tenant no dashboard; NÃO são PII direta e, sem `email`/`ip`/
+ *     `metadata` e com a linha da conta já deletada, não são reidentificáveis).
+ *     O `orgId` está aqui porque é o que torna o barramento UTILIZÁVEL para
+ *     provisioning multi-tenant (o `@adonis-agora/authz` escuta
+ *     `agora:authkit:organization.*` e precisa saber qual tenant escopar) —
+ *     sem ele o consumidor recebia o tipo do evento e mais nada.
  *
  * Assim o Telescope nunca armazena PII bruta e a deleção de conta não precisa de uma
  * etapa de purge cross-lib. Os ramos `onEvent`/`webhook` (integrações que o host
@@ -65,6 +70,7 @@ export function redactAuditEventForDiagnostics(event) {
         accountId: event.accountId ?? null,
         actorId: event.actorId ?? null,
         clientId: event.clientId ?? null,
+        orgId: event.orgId ?? null,
     };
 }
 /**

package/build/src/host/admin_api/admin_orgs_service.js

@@ -110,6 +110,7 @@ export class AdminOrgsService {
                 accountId: input.ownerAccountId,
                 actorId: actor.actorId,
                 ip: actor.ip,
+                orgId: org.id,
                 metadata: { slug: org.slug, ...(actor.source ? { actor: actor.source } : {}) },
             });
             return org;
@@ -137,6 +138,7 @@ export class AdminOrgsService {
                 type: 'organization.updated',
                 actorId: actor.actorId,
                 ip: actor.ip,
+                orgId,
                 metadata: { orgId, ...(actor.source ? { actor: actor.source } : {}) },
             });
             return updated;
@@ -158,6 +160,7 @@ export class AdminOrgsService {
             type: 'organization.deleted',
             actorId: actor.actorId,
             ip: actor.ip,
+            orgId,
             metadata: { orgId, slug: existing.slug, ...(actor.source ? { actor: actor.source } : {}) },
         });
         return { ok: true };
@@ -182,6 +185,7 @@ export class AdminOrgsService {
             type: 'organization.member_added',
             actorId: actor.actorId,
             ip: actor.ip,
+            orgId,
             metadata: {
                 orgId,
                 accountId: input.accountId,
@@ -209,6 +213,7 @@ export class AdminOrgsService {
             type: 'organization.member_removed',
             actorId: actor.actorId,
             ip: actor.ip,
+            orgId,
             metadata: {
                 orgId,
                 targetAccountId: accountId,
@@ -239,6 +244,7 @@ export class AdminOrgsService {
             type: 'organization.member_role_changed',
             actorId: actor.actorId,
             ip: actor.ip,
+            orgId,
             metadata: {
                 orgId,
                 targetAccountId: accountId,
@@ -301,6 +307,7 @@ export class AdminOrgsService {
             type: 'organization.invitation_sent',
             actorId: actor.actorId,
             ip: actor.ip,
+            orgId,
             metadata: {
                 orgId,
                 email: input.email,
@@ -327,6 +334,7 @@ export class AdminOrgsService {
             type: 'organization.invitation_revoked',
             actorId: actor.actorId,
             ip: actor.ip,
+            orgId,
             metadata: {
                 orgId,
                 invitationId,

package/build/src/host/controllers/account_orgs_controller.js

@@ -72,8 +72,13 @@ export default class AccountOrgsController {
         if (!name || !slug)
             return response.redirect(accountPath('orgs'));
         try {
-            await store.createOrg({ name, slug, ownerAccountId: accountId });
-            await cfg.audit?.record({ type: 'organization.created', accountId, metadata: { slug } });
+            const org = await store.createOrg({ name, slug, ownerAccountId: accountId });
+            await cfg.audit?.record({
+                type: 'organization.created',
+                accountId,
+                orgId: org.id,
+                metadata: { slug },
+            });
         }
         catch {
             // slug duplicado ou outro erro — redireciona sem mensagem de erro específica
@@ -112,6 +117,7 @@ export default class AccountOrgsController {
         await cfg.audit?.record({
             type: 'organization.switched',
             accountId,
+            orgId,
             metadata: { orgId, orgSlug: org.slug },
         });
         return response.redirect(accountPath('orgs'));
@@ -140,6 +146,7 @@ export default class AccountOrgsController {
             await cfg.audit?.record({
                 type: 'organization.member_removed',
                 accountId,
+                orgId: params.id,
                 metadata: { orgId: params.id, self: true },
             });
         }
@@ -217,6 +224,7 @@ export default class AccountOrgsController {
         await cfg.audit?.record({
             type: 'organization.invitation_sent',
             accountId,
+            orgId: params.id,
             metadata: { orgId: params.id, email, role },
         });
         return response.redirect(accountPath('orgs'));
@@ -270,6 +278,7 @@ export default class AccountOrgsController {
             await cfg.audit?.record({
                 type: 'organization.invitation_accepted',
                 accountId,
+                orgId: invitation.organizationId,
                 metadata: { orgId: invitation.organizationId, invitationId: invitation.id },
             });
         }
@@ -294,6 +303,7 @@ export default class AccountOrgsController {
             await cfg.audit?.record({
                 type: 'organization.member_removed',
                 actorId,
+                orgId: params.id,
                 metadata: { orgId: params.id, targetAccountId: params.accountId },
             });
         }
@@ -318,6 +328,7 @@ export default class AccountOrgsController {
         await cfg.audit?.record({
             type: 'organization.invitation_revoked',
             actorId,
+            orgId: params.id,
             metadata: { orgId: params.id, invitationId: params.invId },
         });
         return response.redirect(accountPath('orgs'));

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@adonis-agora/authkit-server",
-  "version": "0.58.3",
+  "version": "0.59.0",
   "description": "AdonisJS OIDC/OAuth2 provider (Identity Provider) toolkit: ejectable auth server with sessions, rate-limiting, MFA/TOTP, audit log, federated logout and OpenTelemetry metrics.",
   "license": "MIT",
   "author": "dudousxd",
@@ -108,7 +108,7 @@
     "oidc-provider": "9.11.3",
     "otplib": "12.0.1",
     "qrcode": "1.5.4",
-    "@adonis-agora/authkit-core": "0.7.1"
+    "@adonis-agora/authkit-core": "0.8.0"
   },
   "devDependencies": {
     "@adonis-agora/durable": "0.22.0",
@@ -150,7 +150,7 @@
     "react-error-boundary": "6.1.2",
     "nuqs": "2.9.5",
     "recharts": "3.10.1",
-    "@adonis-agora/authkit-react": "0.19.0"
+    "@adonis-agora/authkit-react": "0.19.1"
   },
   "scripts": {
     "build": "node scripts/build_host_css.mjs && node scripts/build_webauthn.mjs && node scripts/build_ui.mjs && node -e \"const fs=require('node:fs');for(const d of ['build/stubs','build/host/views'])fs.rmSync(d,{recursive:true,force:true})\" && tsc && node -e \"require('node:fs').cpSync('src/host/assets','build/src/host/assets',{recursive:true})\" && node -e \"require('node:fs').cpSync('stubs','build/stubs',{recursive:true,filter:(s)=>!s.endsWith('.ts')})\" && node -e \"const fs=require('node:fs');if(fs.existsSync('assets'))fs.cpSync('assets','build/assets',{recursive:true})\" && node -e \"require('node:fs').cpSync('src/host/views','build/host/views',{recursive:true})\" && node -e \"const fs=require('node:fs');fs.mkdirSync('build/host/ui',{recursive:true});fs.readdirSync('src/host/ui').filter(f=>f.endsWith('.html')).forEach(f=>fs.copyFileSync('src/host/ui/'+f,'build/host/ui/'+f))\" && node -e \"require('node:fs').copyFileSync('commands/commands.json','build/commands/commands.json')\" && node -e \"const fs=require('node:fs');fs.mkdirSync('build/src/password',{recursive:true});fs.copyFileSync('src/password/common_passwords.txt','build/src/password/common_passwords.txt')\"",