@adonis-agora/authkit-server 0.61.1 → 0.61.3

package/build/src/host/assets/logout.js

@@ -0,0 +1,4 @@
+(() => {
+  const f = document.forms['op.logoutForm'];
+  if (f) f.submit();
+})();

package/build/src/host/controllers/logout_asset_controller.d.ts

@@ -0,0 +1,27 @@
+import type { HttpContext } from '@adonisjs/core/http';
+/**
+ * GET /authkit/assets/logout.js
+ *
+ * Serve o script de auto-submit do splash de logout a partir do próprio host.
+ *
+ * O `logoutSource` (provider/logout_sources.ts) injeta este script VIA
+ * `<script src>` em vez de inline: hosts com CSP `script-src 'self'`
+ * bloqueiam script inline sem nonce/hash, e o auto-confirm do logout
+ * silenciosamente parava de rodar — a tela "Saindo / Encerrando sua
+ * sessão…" ficava presa para sempre. Um asset same-origin é permitido por
+ * `'self'` em qualquer CSP razoável, sem depender de nonce nem hash.
+ *
+ * SEM AUTENTICAÇÃO, e é intencional: é asset estático necessário na tela de
+ * logout, antes de a sessão SSO ser destruída. Também não pode viver sob o
+ * prefixo do console admin (que é opt-in).
+ */
+export default class LogoutAssetController {
+    handle(ctx: HttpContext): Promise<void>;
+}
+/**
+ * Limpa o cache do asset. Existe para os testes conseguirem exercitar tanto o
+ * caminho feliz quanto o 404 no mesmo processo.
+ *
+ * @internal
+ */
+export declare function resetLogoutAssetCache(): void;

package/build/src/host/controllers/logout_asset_controller.js

@@ -0,0 +1,71 @@
+import { readFile } from 'node:fs/promises';
+/**
+ * URL do script de auto-confirmação do RP-initiated logout, servido pelo
+ * próprio host.
+ *
+ * ⚠️ RESOLVIDO VIA `import.meta.url`, NUNCA relativo ao cwd. Os apps que
+ * consomem este pacote rodam `pnpm deploy --legacy`, que remonta a árvore de
+ * `node_modules` num diretório novo — um caminho relativo ao cwd do host
+ * apontaria para o lugar errado e a rota daria 404 em produção. Ancorado no
+ * módulo, o caminho segue o pacote para onde quer que ele seja copiado.
+ *
+ * Funciona nos dois layouts porque o asset é commitado em `src/host/assets/`
+ * e copiado para `build/src/host/assets/` pelo script `build`:
+ *   dev   → src/host/controllers/…       → src/host/assets/logout.js
+ *   build → build/src/host/controllers/… → build/src/host/assets/logout.js
+ */
+const ASSET_URL = new URL('../assets/logout.js', import.meta.url);
+/**
+ * Cache do conteúdo do asset. É imutável por versão do pacote — ler do disco
+ * a cada request de logout não compra nada.
+ *
+ * `null` = ainda não lido. `false` = lido e ausente (404 memoizado); sem isso
+ * um asset faltando viraria um `readFile` que falha por request.
+ */
+let cached = null;
+/**
+ * GET /authkit/assets/logout.js
+ *
+ * Serve o script de auto-submit do splash de logout a partir do próprio host.
+ *
+ * O `logoutSource` (provider/logout_sources.ts) injeta este script VIA
+ * `<script src>` em vez de inline: hosts com CSP `script-src 'self'`
+ * bloqueiam script inline sem nonce/hash, e o auto-confirm do logout
+ * silenciosamente parava de rodar — a tela "Saindo / Encerrando sua
+ * sessão…" ficava presa para sempre. Um asset same-origin é permitido por
+ * `'self'` em qualquer CSP razoável, sem depender de nonce nem hash.
+ *
+ * SEM AUTENTICAÇÃO, e é intencional: é asset estático necessário na tela de
+ * logout, antes de a sessão SSO ser destruída. Também não pode viver sob o
+ * prefixo do console admin (que é opt-in).
+ */
+export default class LogoutAssetController {
+    async handle(ctx) {
+        if (cached === null) {
+            try {
+                cached = await readFile(ASSET_URL);
+            }
+            catch {
+                cached = false;
+            }
+        }
+        if (cached === false) {
+            // 404 limpo: o asset não foi incluído no pacote. O splash degrada para o
+            // botão `<noscript>` (que continua funcionando sem JS) em vez de 500.
+            return ctx.response.notFound();
+        }
+        return ctx.response
+            .type('text/javascript')
+            .header('Cache-Control', 'public, max-age=31536000, immutable')
+            .send(cached);
+    }
+}
+/**
+ * Limpa o cache do asset. Existe para os testes conseguirem exercitar tanto o
+ * caminho feliz quanto o 404 no mesmo processo.
+ *
+ * @internal
+ */
+export function resetLogoutAssetCache() {
+    cached = null;
+}

package/build/src/host/register_auth_host.js

@@ -181,6 +181,7 @@ const C = {
     accountOrgs: () => import('./controllers/account_orgs_controller.js'),
     accountConfirm: () => import('./controllers/account_confirm_controller.js'),
     webauthnAsset: () => import('./controllers/webauthn_asset_controller.js'),
+    logoutAsset: () => import('./controllers/logout_asset_controller.js'),
     // Console React JSON API (session-authed, under {prefix}/api/*).
     consoleShell: () => import('./admin_console/admin_shell_controller.js'),
     consoleOverview: () => import('./admin_console/console_overview_controller.js'),
@@ -386,6 +387,11 @@ export function registerAuthHost(router, opts = {}) {
     //  • registrado ANTES do wildcard `${mount}/*` para que nenhum mountPath
     //    agressivo (ex.: '/') consiga engolir o asset e quebrar o login.
     router.get('/authkit/assets/webauthn.js', [C.webauthnAsset]).as('authkit.assets.webauthn');
+    // Script de auto-confirmação do splash de logout (RP-initiated logout).
+    // Same-origin (permitido por CSP `script-src 'self'`) — o logoutSource NÃO
+    // pode usar script inline: o CSP bloqueia sem nonce/hash e o logout fica
+    // preso em "Saindo / Encerrando sua sessão…".
+    router.get('/authkit/assets/logout.js', [C.logoutAsset]).as('authkit.assets.logout');
     // Provider OIDC (wildcard + root) — o que registerOidcRoutes fazia.
     router.any(`${mount}/*`, [C.oidc]).as('authkit.oidc.wildcard');
     router.any(mount, [C.oidc]).as('authkit.oidc.root');

package/build/src/provider/logout_sources.js

@@ -45,7 +45,12 @@ export function createLogoutSources(messages) {
         async logoutSource(ctx, form) {
             // Injeta o campo de confirmação dentro do form fornecido pela lib.
             const confirmedForm = form.replace(/<\/form>/, '<input type="hidden" name="logout" value="yes"/></form>');
-            ctx.body = page(t('logout.title'), `<div class="spinner" aria-hidden="true"></div><h1>${esc(t('logout.title'))}</h1><p>${esc(t('logout.body'))}</p>${confirmedForm}<noscript><button type="submit" form="op.logoutForm">${esc(t('logout.fallback'))}</button></noscript><script>(function(){var f=document.forms['op.logoutForm'];if(f){f.submit();}})();</script>`);
+            // Auto-submit via asset SAME-ORIGIN (`/authkit/assets/logout.js`), NÃO
+            // script inline: hosts com CSP `script-src 'self'` (+ nonce/hash, sem
+            // 'unsafe-inline') bloqueiam inline e o logout ficava preso em "Saindo /
+            // Encerrando sua sessão…" para sempre (o POST de confirm nunca rodava).
+            // `<script src>` same-origin é permitido por `'self'` sem nonce/hash.
+            ctx.body = page(t('logout.title'), `<div class="spinner" aria-hidden="true"></div><h1>${esc(t('logout.title'))}</h1><p>${esc(t('logout.body'))}</p>${confirmedForm}<noscript><button type="submit" form="op.logoutForm">${esc(t('logout.fallback'))}</button></noscript><script src="/authkit/assets/logout.js"></script>`);
         },
         /**
          * Mostrada apenas quando NÃO há `post_logout_redirect_uri` (senão o provider

package/build/src/schema/ensure.js

@@ -260,5 +260,30 @@ export async function ensureAuthkitSchema(db, options = {}) {
             report.altered[def.name].push(column);
         }
     }
+    // Coluna `login_methods` em `auth.users` — a tabela é HOST-owned (não está em
+    // TABLES porque o nome/shape são decisão do app), mas a LI B consome a coluna
+    // (LoginMethodsPreferenceCapability). Alguns deploys de host só migram o schema
+    // do domínio, não o schema `auth` — então a migration manual da coluna pode
+    // nunca rodar, e isso derrubava TODO login/callback OIDC com "column users.login_methods
+    // does not exist" no instante em que o model passou a declará-la.
+    // Aqui garantimos: SE `auth.users` existe E a coluna falta, adicionamos. Nunca
+    // criamos a tabela (host-owned). Aditivo + idempotente — roda em todo boot.
+    try {
+        if (await tableExists(conn, 'users')) {
+            if (!(await columnExists(conn, 'users', 'login_methods'))) {
+                await conn.schema.alterTable('users', (t) => {
+                    t.jsonb('login_methods').nullable();
+                });
+                report.altered.users = ['login_methods'];
+            }
+        }
+    }
+    catch (error) {
+        // Tabela host-owned pode não existir num banco que nunca criou users — não
+        // é erro: fail-soft (a migração do host cuida). Nunca criar a tabela aqui.
+        if (!(await tableExists(conn, 'users'))) {
+            throw error; // alguém criou entre o probe e o ALTER — repropaga se sumiu
+        }
+    }
     return report;
 }

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@adonis-agora/authkit-server",
-  "version": "0.61.1",
+  "version": "0.61.3",
   "description": "AdonisJS OIDC/OAuth2 provider (Identity Provider) toolkit: ejectable auth server with sessions, rate-limiting, MFA/TOTP, audit log, federated logout and OpenTelemetry metrics.",
   "license": "MIT",
   "author": "dudousxd",