@adonis-agora/authkit-server 0.68.3 → 0.68.4

package/build/src/host/active_org_cookie.js

@@ -69,26 +69,30 @@ function unsignAdonisCookie(signedRaw, appKey, purpose) {
  *    verificado com `unsignAdonisCookie`. É a forma real quando o host grava via
  *    `ctx.response.cookie` num app com assinatura de cookie ligada.
  * 2. Valor cru (hosts que gravem sem encode e sem assinatura).
- * 3. Valor cru URL-decoded (o jar Koa devolve como está no header; os TABs viram `%09`).
  */
 function parseActiveOrgCookieValue(raw, appKey) {
     if (typeof raw !== 'string' || !raw)
         return null;
-    if (raw.startsWith('s:')) {
-        if (!appKey)
-            return null;
-        const unsigned = unsignAdonisCookie(raw, appKey, ACTIVE_ORG_COOKIE);
-        return unsigned ? decodeActiveOrgCookie(unsigned) : null;
-    }
-    const direct = decodeActiveOrgCookie(raw);
-    if (direct)
-        return direct;
+    // O jar Koa devolve o valor COMO ESTÁ no header, sem URL-decode — e o browser
+    // reenvia o cookie exatamente como o host o escreveu, isto é `s%3A<b64>.<hmac>`
+    // quando ele é assinado. Normalizar ANTES de decidir o formato é obrigatório:
+    // checar `startsWith('s:')` no valor cru nunca casaria.
+    let value = raw;
     try {
-        return decodeActiveOrgCookie(decodeURIComponent(raw));
+        const decoded = decodeURIComponent(raw);
+        if (decoded)
+            value = decoded;
     }
     catch {
-        return null;
+        // não era URL-encoded; segue com o cru
+    }
+    if (value.startsWith('s:')) {
+        if (!appKey)
+            return null;
+        const unsigned = unsignAdonisCookie(value, appKey, ACTIVE_ORG_COOKIE);
+        return unsigned ? decodeActiveOrgCookie(unsigned) : null;
     }
+    return decodeActiveOrgCookie(value);
 }
 /**
  * Lê a org ativa de um contexto Koa (oidc-provider).

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@adonis-agora/authkit-server",
-  "version": "0.68.3",
+  "version": "0.68.4",
   "description": "AdonisJS OIDC/OAuth2 provider (Identity Provider) toolkit: ejectable auth server with sessions, rate-limiting, MFA/TOTP, audit log, federated logout and OpenTelemetry metrics.",
   "license": "MIT",
   "author": "dudousxd",