@adonis-agora/authkit-server 0.59.0 → 0.60.0

package/build/src/host/controllers/social_controller.js

@@ -1,8 +1,10 @@
 import '../augmentations.js';
 import { randomUUID } from 'node:crypto';
-import { supportsProviderIdentity } from '../../accounts/account_store.js';
+import { supportsLoginMethodsPreference, supportsMagicLink, supportsPasskeys, supportsProviderIdentity, } from '../../accounts/account_store.js';
 import { assertLoginAllowed } from '../login_attempt.js';
 import { resolveRuntimeSettingsOrNoop } from '../runtime_settings.js';
+import { resolveEffectiveAuthMethods } from '../runtime_toggles.js';
+import { resolveEffectiveUserLoginMethods, } from '../user_login_methods.js';
 const UID_SESSION_KEY = 'authkit_social_uid';
 /**
  * `AllyService.use()` é tipado contra a interface `SocialProviders`, que só é
@@ -13,6 +15,19 @@ const UID_SESSION_KEY = 'authkit_social_uid';
 function useProvider(ctx, provider) {
     return ctx.ally.use(provider);
 }
+/**
+ * Métodos globais efetivos para o gate por usuário do callback social.
+ * Espelha o `#loginMethods` do interaction controller (mesma fonte de
+ * capabilities), sem acoplar os dois controllers.
+ */
+async function resolveGlobalAuthMethodsForUser(cfg, settings) {
+    return await resolveEffectiveAuthMethods(settings, {
+        configuredSocialProviders: cfg.social?.providers ?? [],
+        magicLinkCapable: cfg.passwordless?.magicLink && supportsMagicLink(cfg.accountStore),
+        passkeyCapable: supportsPasskeys(cfg.accountStore),
+        configOverrides: cfg.authMethods,
+    });
+}
 export default class AuthSocialController {
     /** GET /auth/:provider/redirect/:uid — guarda o uid e redireciona para o provider OAuth. */
     async redirect(ctx) {
@@ -118,6 +133,19 @@ export default class AuthSocialController {
             ctx.session.forget(UID_SESSION_KEY);
             return ctx.response.redirect(backToLogin);
         }
+        // Preferência por usuário: método social desligado para esta conta → recusa.
+        // Aplica-se a contas EXISTENTES (identidade ligada ou e-mail conhecido); uma
+        // conta recém-criada pelo callback não tem preferência gravada, então herda
+        // os globais — o gate é no-op para ela por construção.
+        const existingUser = user;
+        if (supportsLoginMethodsPreference(store)) {
+            const pref = await store.getLoginMethods(existingUser.id);
+            const scoped = resolveEffectiveUserLoginMethods(await resolveGlobalAuthMethodsForUser(cfg, settings), pref);
+            if (scoped.social.length === 0) {
+                ctx.session.forget(UID_SESSION_KEY);
+                return ctx.response.redirect(backToLogin);
+            }
+        }
         ctx.session.forget(UID_SESSION_KEY);
         // Conclui a interaction OIDC para este usuário (escreve o 303 de volta ao authorize).
         // O cookie de interaction (path '/') sobrevive ao round-trip do provider OAuth.

package/build/src/host/register_auth_host.js

@@ -607,6 +607,9 @@ export function registerAuthHost(router, opts = {}) {
         router.delete(`${apiBase}/apps/:clientId`, [C.accountApi, 'revokeApp']);
         // MFA + passkeys.
         router.get(`${apiBase}/mfa`, [C.accountApi, 'mfaStatus']);
+        // Login methods preference (self-service, por usuário).
+        router.get(`${apiBase}/login-methods`, [C.accountApi, 'getLoginMethods']);
+        router.put(`${apiBase}/login-methods`, [C.accountApi, 'updateLoginMethods']);
         router.get(`${apiBase}/passkeys`, [C.accountApi, 'listPasskeys']);
         router.delete(`${apiBase}/passkeys/:id`, [C.accountApi, 'removePasskey']);
         // PATs.