@adonis-agora/authkit-server 0.65.1 → 0.65.3

package/build/commands/configure.js

@@ -27,6 +27,18 @@ export async function configure(command) {
     // o allowlist `views` já preenchido — evitando SSR crash por páginas inexistentes.
     const configStub = preset === 'react' ? 'config/authkit_react.stub' : 'config/authkit.stub';
     await codemods.makeUsingStub(stubsRoot, configStub, {});
+    // A tabela do model scaffoldado logo abaixo (`auth_users`) não é gerenciada
+    // por `ensureAuthkitSchema()` — ela é HOST-owned de propósito (nome/shape
+    // são decisão do host), então sem esta migration o primeiro signup/login
+    // quebra com "no such table: auth_users" (ou equivalente Postgres). Ver
+    // packages/authkit-server/stubs/migrations/create_auth_users_table.stub.
+    await codemods.makeUsingStub(stubsRoot, 'migrations/create_auth_users_table.stub', {
+        entity: command.app.generators.createEntity('auth_users'),
+        migration: {
+            folder: 'database/migrations',
+            fileName: `${Date.now()}_create_auth_users_table.ts`,
+        },
+    });
     await codemods.makeUsingStub(stubsRoot, 'models/auth_user.stub', {});
     for (const path of uiStubPaths(preset)) {
         await codemods.makeUsingStub(stubsRoot, path, {});

package/build/src/define_config.d.ts

@@ -5,7 +5,7 @@ import { type AdapterFactory, adapters, type OidcAdapterClass } from './adapters
 import type { AuditSink } from './audit/audit_sink.js';
 import { type EventsConfigInput } from './events/dispatcher.js';
 import { type BotProtectionConfigInput, type ResolvedBotProtectionConfig } from './host/bot_protection.js';
-import type { BrandingConfig } from './host/branding.js';
+import { type BrandingConfig } from './host/branding.js';
 import { type PolicyRouteOption } from './host/config_locks.js';
 import type { ResolveGeo } from './host/geo.js';
 import { type AuthMessages, type I18nConfig } from './host/i18n.js';
@@ -1113,7 +1113,8 @@ export interface ResolvedServerConfig {
     render?: AuthHostRenderer;
     /** Recuperação de sessão de interaction perdida resolvida (default `{ mode: 'screen' }`). */
     interactionRecovery: ResolvedInteractionRecoveryConfig;
-    branding?: BrandingConfig;
+    /** Branding resolvido: sempre presente (default neutro quando o host não declara `branding`). */
+    branding: BrandingConfig;
     /**
      * Allowlist resolvida de clients first-party, ou `undefined` quando o host não
      * declarou nenhuma — caso em que todo client registrado é first-party. Ver

package/build/src/define_config.js

@@ -2,6 +2,7 @@ import { configProvider } from '@adonisjs/core';
 import { adapters } from './adapters/factory.js';
 import { composeAuditSink, resolveEvents } from './events/dispatcher.js';
 import { resolveBotProtection, } from './host/bot_protection.js';
+import { resolveBranding } from './host/branding.js';
 import { deriveLockedRouteOptions, deriveLockedSettingKeys, } from './host/config_locks.js';
 import { resolveMessages } from './host/i18n.js';
 import { resolveOtpLoginConfig, } from './host/otp_login.js';
@@ -365,7 +366,7 @@ export function defineConfig(config) {
                 mode: config.interactionRecovery?.mode ?? 'screen',
                 redirectTo: config.interactionRecovery?.redirectTo,
             },
-            branding: config.branding,
+            branding: resolveBranding(config.branding),
             // `firstPartyClients` manda; `branding.firstParty` é o fallback de
             // back-compat. Nenhum dos dois declarado → `undefined` = sem allowlist.
             firstPartyClients: config.firstPartyClients ?? config.branding?.firstParty,

package/build/src/doctor/checks.js

@@ -251,7 +251,7 @@ export function checkShield(input) {
     const mountPath = input.authkitConfig?.mountPath ?? '/oidc';
     return {
         level: 'warn',
-        message: `Make sure the IdP POST routes under "${mountPath}" are in the shield CSRF exceptions (e.g. the /token endpoint), otherwise server-to-server calls fail.`,
+        message: `Make sure the IdP POST routes under "${mountPath}" are in the shield CSRF exceptions (e.g. the /token endpoint), otherwise server-to-server calls fail. Use the exported authkitCsrfExceptions(url, { mountPath: '${mountPath}' }) helper in config/shield.ts's exceptRoutes instead of hand-writing the route-pattern check.`,
     };
 }
 /** ally só é necessário quando social está configurado. */

package/build/src/host/branding.d.ts

@@ -15,6 +15,13 @@ export interface BrandingConfig {
     firstParty: string[];
     audienceLabels?: Record<string, string>;
 }
+/**
+ * Resolve a config de branding: quando o host não declara `branding`, cai no
+ * {@link DEFAULT_BRANDING} acima (tema neutro, sem clients customizados) em
+ * vez de deixar `cfg.branding` como `undefined` — o que fazia a MENOR config
+ * documentada (sem branding) quebrar a primeira tela de login/consent/signup.
+ */
+export declare function resolveBranding(input: BrandingConfig | undefined): BrandingConfig;
 export declare function isFirstParty(cfg: BrandingConfig, clientId: string | undefined): boolean;
 /**
  * O client é FIRST-PARTY, ou seja, recebe as claims de autorização

package/build/src/host/branding.js

@@ -1,3 +1,34 @@
+/**
+ * Default `BrandingConfig` usado quando o host não declara `branding` no
+ * `defineConfig`. `branding` é tipado opcional e todo doc (getting-started,
+ * quickstart, reference) trata como tema puro, dispensável — mas o
+ * interaction controller (e alguns outros módulos do host-kit) lê
+ * `cfg.branding.clients`/`cfg.branding.default` incondicionalmente para
+ * montar a tela de login/consent/signup. Sem este default, o primeiro hit em
+ * QUALQUER tela built-in num host sem `branding` estourava
+ * `TypeError: Cannot read properties of undefined (reading 'clients')`.
+ * Ver `resolveBranding`, chamado em `define_config.ts`.
+ */
+const DEFAULT_BRANDING = {
+    company: 'AuthKit',
+    clients: {},
+    default: {
+        appName: 'AuthKit',
+        accent: '#4f46e5',
+        accentSoft: '#e0e7ff',
+        tagline: '',
+    },
+    firstParty: [],
+};
+/**
+ * Resolve a config de branding: quando o host não declara `branding`, cai no
+ * {@link DEFAULT_BRANDING} acima (tema neutro, sem clients customizados) em
+ * vez de deixar `cfg.branding` como `undefined` — o que fazia a MENOR config
+ * documentada (sem branding) quebrar a primeira tela de login/consent/signup.
+ */
+export function resolveBranding(input) {
+    return input ?? DEFAULT_BRANDING;
+}
 export function isFirstParty(cfg, clientId) {
     return !!clientId && cfg.firstParty.includes(clientId);
 }

package/build/stubs/migrations/create_auth_users_table.stub

@@ -0,0 +1,47 @@
+{{{
+  exports({
+    to: app.makePath(migration.folder, entity.path, migration.fileName)
+  })
+}}}
+import { BaseSchema } from '@adonisjs/lucid/schema'
+
+export default class extends BaseSchema {
+  protected tableName = 'auth_users'
+
+  async up() {
+    this.schema.createTable(this.tableName, (table) => {
+      /**
+       * String, NÃO increments(): o hook `@beforeCreate` do model scaffoldado
+       * (`models/auth_user.stub`) atribui um `randomUUID()` antes do insert.
+       * Uma coluna auto-increment aceitaria o INSERT mesmo assim, mas o valor
+       * do UUID seria descartado e o `id` do model voltaria como o rowid
+       * interno do banco — a conta ficaria inalcançável pelo id real na
+       * próxima request. Ver packages/authkit-server/stubs/models/auth_user.stub.
+       */
+      table.string('id').notNullable().primary()
+
+      // withAuthUser() — packages/authkit-server/src/mixins/with_auth_user.ts
+      table.string('email').notNullable().unique()
+      table.string('password').notNullable()
+      // Serializado como JSON string ("[]" quando vazio) pelo mixin.
+      table.json('global_roles').notNullable().defaultTo('[]')
+
+      // withCredentials() — packages/authkit-server/src/mixins/with_credentials.ts
+      table.timestamp('email_verified_at', { useTz: true }).nullable()
+      table.string('email_verification_token').nullable()
+      table.string('password_reset_token').nullable()
+      table.timestamp('password_reset_expires_at', { useTz: true }).nullable()
+
+      // Coluna própria do model scaffoldado (não vem de nenhum mixin): a tela
+      // de signup embutida sempre coleta "Nome" e o Lucid store passa esse
+      // valor direto para `AuthUser.create()` — sem esta coluna o primeiro
+      // signup quebra com "Cannot define 'fullName' on 'AuthUser' model,
+      // since it is not defined as a model property".
+      table.string('full_name').nullable()
+    })
+  }
+
+  async down() {
+    this.schema.dropTable(this.tableName)
+  }
+}

package/build/stubs/models/auth_user.stub

@@ -1,7 +1,8 @@
 {{{
   exports({ to: app.makePath('app/models/auth_user.ts') })
 }}}
-import { BaseModel, column } from '@adonisjs/lucid/orm'
+import { randomUUID } from 'node:crypto'
+import { BaseModel, beforeCreate, column } from '@adonisjs/lucid/orm'
 import { compose } from '@adonisjs/core/helpers'
 import { withAuthUser, withCredentials } from '@adonis-agora/authkit-server'
 
@@ -17,6 +18,34 @@ import { withAuthUser, withCredentials } from '@adonis-agora/authkit-server'
  * (e aponte as migrations correspondentes para essa conexão).
  */
 export default class AuthUser extends compose(BaseModel, withAuthUser(), withCredentials()) {
+  /**
+   * Sem isto, o Lucid ignora o id atribuído pelo hook abaixo e sobrescreve
+   * `id` com o retorno bruto do INSERT (o rowid interno do SQLite/Postgres)
+   * assim que a linha é salva — mesmo resultado prático de não ter o hook: a
+   * conta some do próprio id que acabou de criar.
+   */
+  static selfAssignPrimaryKey = true
+
   @column({ isPrimary: true })
   declare id: string
+
+  /**
+   * Nem withAuthUser() nem withCredentials() geram o id — sem este hook o
+   * Lucid insere NULL nesta coluna string e o `id` do model volta como o
+   * rowid interno do banco, tornando a conta inalcançável pelo id real na
+   * próxima request.
+   */
+  @beforeCreate()
+  static assignUuid(user: AuthUser) {
+    user.id = randomUUID()
+  }
+
+  /**
+   * A tela de signup embutida sempre coleta um campo "Nome", e o Lucid store
+   * passa esse valor direto para `AuthUser.create()` — sem esta coluna o
+   * primeiro signup quebra com "Cannot define 'fullName' on 'AuthUser'
+   * model, since it is not defined as a model property".
+   */
+  @column()
+  declare fullName: string | null
 }

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@adonis-agora/authkit-server",
-  "version": "0.65.1",
+  "version": "0.65.3",
   "description": "AdonisJS OIDC/OAuth2 provider (Identity Provider) toolkit: ejectable auth server with sessions, rate-limiting, MFA/TOTP, audit log, federated logout and OpenTelemetry metrics.",
   "license": "MIT",
   "author": "dudousxd",
@@ -66,7 +66,7 @@
     "@adonisjs/drive": "^4.0.0",
     "@adonisjs/lock": "^2.1.0",
     "@adonisjs/lucid": "^22.4.2",
-    "@adonisjs/redis": "^9.2.0 || ^10.0.0",
+    "@adonisjs/redis": "^9.2.0 || ^10.0.0 || ^11.0.0",
     "@adonisjs/session": "^8.1.0",
     "@adonisjs/shield": "^9.0.0",
     "@vinejs/vine": "^4.4.0",

package/stubs/migrations/create_auth_users_table.stub

@@ -0,0 +1,47 @@
+{{{
+  exports({
+    to: app.makePath(migration.folder, entity.path, migration.fileName)
+  })
+}}}
+import { BaseSchema } from '@adonisjs/lucid/schema'
+
+export default class extends BaseSchema {
+  protected tableName = 'auth_users'
+
+  async up() {
+    this.schema.createTable(this.tableName, (table) => {
+      /**
+       * String, NÃO increments(): o hook `@beforeCreate` do model scaffoldado
+       * (`models/auth_user.stub`) atribui um `randomUUID()` antes do insert.
+       * Uma coluna auto-increment aceitaria o INSERT mesmo assim, mas o valor
+       * do UUID seria descartado e o `id` do model voltaria como o rowid
+       * interno do banco — a conta ficaria inalcançável pelo id real na
+       * próxima request. Ver packages/authkit-server/stubs/models/auth_user.stub.
+       */
+      table.string('id').notNullable().primary()
+
+      // withAuthUser() — packages/authkit-server/src/mixins/with_auth_user.ts
+      table.string('email').notNullable().unique()
+      table.string('password').notNullable()
+      // Serializado como JSON string ("[]" quando vazio) pelo mixin.
+      table.json('global_roles').notNullable().defaultTo('[]')
+
+      // withCredentials() — packages/authkit-server/src/mixins/with_credentials.ts
+      table.timestamp('email_verified_at', { useTz: true }).nullable()
+      table.string('email_verification_token').nullable()
+      table.string('password_reset_token').nullable()
+      table.timestamp('password_reset_expires_at', { useTz: true }).nullable()
+
+      // Coluna própria do model scaffoldado (não vem de nenhum mixin): a tela
+      // de signup embutida sempre coleta "Nome" e o Lucid store passa esse
+      // valor direto para `AuthUser.create()` — sem esta coluna o primeiro
+      // signup quebra com "Cannot define 'fullName' on 'AuthUser' model,
+      // since it is not defined as a model property".
+      table.string('full_name').nullable()
+    })
+  }
+
+  async down() {
+    this.schema.dropTable(this.tableName)
+  }
+}

package/stubs/models/auth_user.stub

@@ -1,7 +1,8 @@
 {{{
   exports({ to: app.makePath('app/models/auth_user.ts') })
 }}}
-import { BaseModel, column } from '@adonisjs/lucid/orm'
+import { randomUUID } from 'node:crypto'
+import { BaseModel, beforeCreate, column } from '@adonisjs/lucid/orm'
 import { compose } from '@adonisjs/core/helpers'
 import { withAuthUser, withCredentials } from '@adonis-agora/authkit-server'
 
@@ -17,6 +18,34 @@ import { withAuthUser, withCredentials } from '@adonis-agora/authkit-server'
  * (e aponte as migrations correspondentes para essa conexão).
  */
 export default class AuthUser extends compose(BaseModel, withAuthUser(), withCredentials()) {
+  /**
+   * Sem isto, o Lucid ignora o id atribuído pelo hook abaixo e sobrescreve
+   * `id` com o retorno bruto do INSERT (o rowid interno do SQLite/Postgres)
+   * assim que a linha é salva — mesmo resultado prático de não ter o hook: a
+   * conta some do próprio id que acabou de criar.
+   */
+  static selfAssignPrimaryKey = true
+
   @column({ isPrimary: true })
   declare id: string
+
+  /**
+   * Nem withAuthUser() nem withCredentials() geram o id — sem este hook o
+   * Lucid insere NULL nesta coluna string e o `id` do model volta como o
+   * rowid interno do banco, tornando a conta inalcançável pelo id real na
+   * próxima request.
+   */
+  @beforeCreate()
+  static assignUuid(user: AuthUser) {
+    user.id = randomUUID()
+  }
+
+  /**
+   * A tela de signup embutida sempre coleta um campo "Nome", e o Lucid store
+   * passa esse valor direto para `AuthUser.create()` — sem esta coluna o
+   * primeiro signup quebra com "Cannot define 'fullName' on 'AuthUser'
+   * model, since it is not defined as a model property".
+   */
+  @column()
+  declare fullName: string | null
 }