@adonis-agora/authkit-server 0.67.0 → 0.68.0

package/build/src/accounts/lucid_account_store.d.ts

@@ -138,20 +138,27 @@ export interface LucidAccountStoreOptions {
     /**
      * Models Lucid para organizations (multi-tenancy).
      *
-     * - `true` → usa os models DEFAULT da lib ({@link defaultOrganizationModels}),
-     *   que já mapeiam as três tabelas lib-owned (`auth_organizations`,
-     *   `auth_organization_members`, `auth_organization_invitations`). É o caminho
-     *   recomendado: as tabelas são criadas/evoluídas pelo `ensureAuthkitSchema`,
-     *   então o mapeamento não é decisão do host.
+     * - **Ausente (default)** → usa os models DEFAULT da lib
+     *   ({@link defaultOrganizationModels}), que já mapeiam as três tabelas
+     *   lib-owned (`auth_organizations`, `auth_organization_members`,
+     *   `auth_organization_invitations`). A `OrganizationsCapability` passa a
+     *   existir por padrão. Isso é seguro porque as rotas do console de conta para
+     *   orgs JÁ eram montadas por default (`register_auth_host`, bloco `if
+     *   (mountOrgs)`, com controller capability-probed); antes, sem os models, a
+     *   tela montada respondia 403; agora ela funciona. Não há tela nova — só uma
+     *   que deixou de estar quebrada. As tabelas são criadas/evoluídas pelo
+     *   `ensureAuthkitSchema`, então o mapeamento não é decisão do host.
+     * - `true` → idêntico ao default (atalho explícito; é o que apps existentes
+     *   já usam e continua valendo).
      * - `{ OrgModel, MemberModel, InvitationModel }` → escape hatch, para quem
      *   guarda as tabelas de auth numa conexão/schema próprios (os defaults não
      *   declaram `static connection`).
-     * - Ausente → `OrganizationsCapability` AUSENTE no store. Como as rotas
-     *   `/account/orgs*` são montadas por capability-probing, isso deixa a
-     *   feature desligada — silenciosamente, se o host não olhar o
-     *   `authkit:doctor`.
+     * - `false` → opt-out explícito: `OrganizationsCapability` AUSENTE no store.
+     *   Use quando a dependência atual é `supportsOrganizations === false` (ex.:
+     *   store/rotas que assumem a ausência). O `authkit:doctor` avisa se
+     *   `organizations.enabled: true` e o store não tem a capability.
      */
-    organizationModels?: true | {
+    organizationModels?: true | false | {
         OrgModel: any;
         MemberModel: any;
         InvitationModel: any;

package/build/src/accounts/lucid_account_store.js

@@ -130,7 +130,15 @@ export function lucidAccountStore(Model, options = {}) {
     const encrypter = options.encrypter === false ? undefined : (options.encrypter ?? appKeyEncrypter());
     const ProviderIdentityModel = options.providerIdentityModel;
     const WebauthnCredentialModel = options.webauthnCredentialModel;
-    const OrgModels = options.organizationModels === true ? defaultOrganizationModels : options.organizationModels;
+    // Organizations é padrão: ausente OU `true` → models default da lib. O
+    // opt-out explícito é `false`. O trio explícito segue como escape hatch.
+    const orgModelsOption = options.organizationModels;
+    const usesDefaultOrgModels = orgModelsOption === undefined || orgModelsOption === true;
+    const OrgModels = orgModelsOption === false
+        ? undefined
+        : usesDefaultOrgModels
+            ? defaultOrganizationModels
+            : orgModelsOption;
     // RP do WebAuthn: usado nas cerimônias. Default do rpName cai no mfaIssuer.
     const webauthn = options.webauthn ?? {
         rpName: mfaIssuer,
@@ -222,17 +230,23 @@ export function lucidAccountStore(Model, options = {}) {
         // Preferência por usuário de tipos de login: só quando o model tem a coluna
         // `login_methods` (JSONB). Sem a coluna → capacidade ausente (feature no-op).
         ...(supportsLoginMethodsColumn(Model) ? buildLoginMethods(ctx) : {}),
-        // Organizations (multi-tenancy): só quando os três models foram fornecidos.
+        // Organizations (multi-tenancy): por padrão usa os models default da lib;
+        // ausente só com `organizationModels: false` (opt-out explícito).
         ...(OrgModels
-            ? buildOrganizations({
-                OrgModel: OrgModels.OrgModel,
-                MemberModel: OrgModels.MemberModel,
-                InvitationModel: OrgModels.InvitationModel,
-                findAccountEmail: async (accountId) => {
-                    const row = await Model.find(accountId);
-                    return row?.email ?? null;
-                },
-            })
+            ? {
+                // Origem dos models, para o `authkit:doctor` reportar sem re-inferir.
+                // NÃO faz parte do contrato AccountStore.
+                __organizationModelsSource: usesDefaultOrgModels ? 'default' : 'explicit',
+                ...buildOrganizations({
+                    OrgModel: OrgModels.OrgModel,
+                    MemberModel: OrgModels.MemberModel,
+                    InvitationModel: OrgModels.InvitationModel,
+                    findAccountEmail: async (accountId) => {
+                        const row = await Model.find(accountId);
+                        return row?.email ?? null;
+                    },
+                }),
+            }
             : {}),
         // Config de senha resolvida — exposta (não-enumerável) para o authkit:doctor
         // inspecionar policy/checkPwned. NÃO faz parte do contrato AccountStore.

package/build/src/accounts/lucid_stores.d.ts

@@ -17,12 +17,13 @@ export interface LucidStoresModels {
     /**
      * Organizations (multi-tenancy) — habilita a `OrganizationsCapability`.
      *
-     * `true` usa os models default da lib (as três tabelas são lib-owned, criadas
-     * pelo `ensureAuthkitSchema`), que é o caminho recomendado. O trio explícito
-     * fica como escape hatch para quem guarda as tabelas de auth numa
+     * **Ausente → ligada por padrão** (models default da lib; as três tabelas são
+     * lib-owned, criadas pelo `ensureAuthkitSchema`). `true` é o atalho explícito
+     * para o mesmo caminho; `false` é o opt-out (capability ausente). O trio
+     * explícito fica como escape hatch para quem guarda as tabelas de auth numa
      * conexão/schema próprios.
      */
-    organizations?: true | {
+    organizations?: true | false | {
         OrgModel: any;
         MemberModel: any;
         InvitationModel: any;
@@ -49,9 +50,9 @@ export type LucidStoresOptions = Omit<LucidAccountStoreOptions, 'providerIdentit
  * )
  * ```
  *
- * `organizations: true` usa os models default da lib. Se as tabelas de auth
- * vivem numa conexão/schema próprios, passe o trio explícito
- * (`{ OrgModel, MemberModel, InvitationModel }`) — os defaults não declaram
- * `static connection`.
+ * Organizations é ligada por padrão (models default da lib); `organizations:
+ * false` desliga. Se as tabelas de auth vivem numa conexão/schema próprios, passe
+ * o trio explícito (`{ OrgModel, MemberModel, InvitationModel }`) — os defaults
+ * não declaram `static connection`.
  */
 export declare function lucidStores(models: LucidStoresModels, options?: LucidStoresOptions): LucidStoresResult;

package/build/src/accounts/lucid_stores.js

@@ -15,10 +15,10 @@ import { lucidAccountStore } from './lucid_account_store.js';
  * )
  * ```
  *
- * `organizations: true` usa os models default da lib. Se as tabelas de auth
- * vivem numa conexão/schema próprios, passe o trio explícito
- * (`{ OrgModel, MemberModel, InvitationModel }`) — os defaults não declaram
- * `static connection`.
+ * Organizations é ligada por padrão (models default da lib); `organizations:
+ * false` desliga. Se as tabelas de auth vivem numa conexão/schema próprios, passe
+ * o trio explícito (`{ OrgModel, MemberModel, InvitationModel }`) — os defaults
+ * não declaram `static connection`.
  */
 export function lucidStores(models, options = {}) {
     const accountStore = lucidAccountStore(models.account, {

package/build/src/doctor/checks.d.ts

@@ -119,7 +119,11 @@ export declare function checkAccessTokens(input: DoctorInput): Finding | null;
 /**
  * Organizations (multi-tenancy). Informa se a capacidade está disponível
  * (store expõe createOrg) e avisa se `organizations.enabled: true` no config mas
- * a capacidade não está presente no store (organizationModels não foram passados).
+ * a capacidade não está presente no store.
+ *
+ * Com `lucidAccountStore()`, a capability existe POR PADRÃO (models default da
+ * lib); o aviso abaixo só é alcançável para store não-lucid que não a implementa
+ * ou para um store lucid construído com `organizationModels: false` (opt-out).
  */
 export declare function checkOrganizations(input: DoctorInput): Finding | null;
 /**

package/build/src/doctor/checks.js

@@ -488,7 +488,11 @@ export function checkAccessTokens(input) {
 /**
  * Organizations (multi-tenancy). Informa se a capacidade está disponível
  * (store expõe createOrg) e avisa se `organizations.enabled: true` no config mas
- * a capacidade não está presente no store (organizationModels não foram passados).
+ * a capacidade não está presente no store.
+ *
+ * Com `lucidAccountStore()`, a capability existe POR PADRÃO (models default da
+ * lib); o aviso abaixo só é alcançável para store não-lucid que não a implementa
+ * ou para um store lucid construído com `organizationModels: false` (opt-out).
  */
 export function checkOrganizations(input) {
     const cfg = input.authkitConfig;
@@ -501,17 +505,26 @@ export function checkOrganizations(input) {
         return {
             level: 'warn',
             message: 'organizations.enabled: true, but the accountStore has no OrganizationsCapability — ' +
-                'pass `organizationModels: true` to `lucidAccountStore()` (usa os models default da lib), ' +
-                'ou `{ OrgModel, MemberModel, InvitationModel }` se as tabelas de auth vivem numa ' +
-                'conexão/schema próprios. Expected tables: auth_organizations, ' +
+                'with `lucidAccountStore()` it is present by default; if you passed ' +
+                '`organizationModels: false`, drop the opt-out (or pass the explicit ' +
+                '`{ OrgModel, MemberModel, InvitationModel }` trio when the auth tables live on their ' +
+                'own connection/schema). Expected tables: auth_organizations, ' +
                 'auth_organization_members, auth_organization_invitations.',
         };
     }
     if (storeSupports) {
         const roles = cfg.organizations?.roles ?? ['owner', 'admin', 'member'];
+        // Origem dos models: default da lib (organizationModels ausente/true) ou
+        // trio explícito do host. Ausente em store não-lucid → wording genérica.
+        const source = store.__organizationModelsSource;
+        const models = source === 'default'
+            ? 'lib defaults (organizationModels omitted or true)'
+            : source === 'explicit'
+                ? 'host-provided explicit trio'
+                : 'lib defaults or host-provided models';
         return {
             level: 'ok',
-            message: `organizations capability present (roles: ${roles.join(', ')}).`,
+            message: `organizations capability present (models: ${models}; roles: ${roles.join(', ')}).`,
         };
     }
     // Auto mode (enabled === undefined) and store doesn't support — silently ok (opt-in).

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@adonis-agora/authkit-server",
-  "version": "0.67.0",
+  "version": "0.68.0",
   "description": "AdonisJS OIDC/OAuth2 provider (Identity Provider) toolkit: ejectable auth server with sessions, rate-limiting, MFA/TOTP, audit log, federated logout and OpenTelemetry metrics.",
   "license": "MIT",
   "author": "dudousxd",