@adonis-agora/authkit-server 0.69.0 → 0.71.0

package/build/src/host/admin_api/dto.d.ts

@@ -48,7 +48,7 @@ export declare function grantDto(grant: AdminGrant): {
 };
 export declare function auditDto(event: StoredAuditEvent): {
     id: string;
-    type: "account.deleted" | "account.expiration_warned" | "account.expired_login_blocked" | "account.exported" | "account.locked" | "account.signed_out_all" | "bot_protection.rejected" | "client.created" | "client.deleted" | "client.secret_regenerated" | "client.updated" | "email.change_requested" | "email.changed" | "email_change.cancelled" | "email_change.confirmed" | "email_change.requested" | "email_verification.consumed" | "email_verification.issued" | "grant.revoked_by_user" | "impersonation" | "impersonation.panel_viewed" | "impersonation.stopped" | "keys.rotated" | "login.failure" | "login.magic_link_sent" | "login.new_device" | "login.new_ip_notified" | "login.otp_failed" | "login.otp_invalidated" | "login.otp_sent" | "login.otp_verified" | "login.success" | "maintenance.disabled" | "maintenance.enabled" | "mfa.disabled" | "mfa.enabled" | "organization.created" | "organization.deactivated" | "organization.deleted" | "organization.invitation_accepted" | "organization.invitation_revoked" | "organization.invitation_sent" | "organization.member_added" | "organization.member_removed" | "organization.member_role_changed" | "organization.member_role_updated" | "organization.switched" | "organization.updated" | "otp.locked" | "otp.unlock_failed" | "otp.unlocked" | "passkey.registered" | "passkey.removed" | "password.changed" | "password.expired_change_forced" | "password.rehashed" | "password_reset.consumed" | "password_reset.issued" | "pat.issued" | "pat.revoked" | "pat.used" | "profile.updated" | "roles_catalog.updated" | "security_notice.sent" | "session.revoked" | "session.revoked_all" | "session.single_enforced" | "settings.updated" | "signup" | "sudo.confirmed" | "trusted_device.revoked" | "user.created" | "user.deleted" | "user.disabled" | "user.enabled" | "user.password_reset_sent";
+    type: "account.deleted" | "account.expiration_warned" | "account.expired_login_blocked" | "account.exported" | "account.locked" | "account.signed_out_all" | "bot_protection.rejected" | "client.created" | "client.deleted" | "client.secret_regenerated" | "client.updated" | "email.change_requested" | "email.changed" | "email_change.cancelled" | "email_change.confirmed" | "email_change.requested" | "email_verification.consumed" | "email_verification.issued" | "grant.revoked_by_user" | "impersonation" | "impersonation.panel_viewed" | "impersonation.stopped" | "keys.rotated" | "login.failure" | "login.magic_link_sent" | "login.new_device" | "login.new_ip_notified" | "login.otp_failed" | "login.otp_invalidated" | "login.otp_sent" | "login.otp_verified" | "login.success" | "maintenance.disabled" | "maintenance.enabled" | "mfa.disabled" | "mfa.enabled" | "mfa.recovery_codes_regenerated" | "organization.created" | "organization.deactivated" | "organization.deleted" | "organization.invitation_accepted" | "organization.invitation_revoked" | "organization.invitation_sent" | "organization.member_added" | "organization.member_removed" | "organization.member_role_changed" | "organization.member_role_updated" | "organization.switched" | "organization.updated" | "otp.locked" | "otp.unlock_failed" | "otp.unlocked" | "passkey.registered" | "passkey.removed" | "password.changed" | "password.expired_change_forced" | "password.rehashed" | "password_reset.consumed" | "password_reset.issued" | "pat.issued" | "pat.revoked" | "pat.used" | "profile.updated" | "roles_catalog.updated" | "security_notice.sent" | "session.revoked" | "session.revoked_all" | "session.single_enforced" | "settings.updated" | "signup" | "sudo.confirmed" | "trusted_device.revoked" | "user.created" | "user.deleted" | "user.disabled" | "user.enabled" | "user.password_reset_sent";
     accountId: string | null;
     email: string | null;
     clientId: string | null;

package/build/src/host/admin_validators.d.ts

@@ -69,7 +69,7 @@ export declare function clientPartialInput(v: ClientInputFields): Partial<Client
  * `minLength` — seria duplicar/contornar a policy configurável do projeto.
  */
 export declare const adminUserCreateValidator: import("@vinejs/vine").VineValidator<import("@vinejs/vine").VineObject<{
-    email: import("@vinejs/vine").VineString;
+    email: import("@vinejs/vine/schema/base/literal").TransformModifier<import("@vinejs/vine").VineString, string>;
     name: import("@vinejs/vine/schema/base/literal").OptionalModifier<import("@vinejs/vine").VineString>;
     password: import("@vinejs/vine/schema/base/literal").OptionalModifier<import("@vinejs/vine").VineString>;
     invite: import("@vinejs/vine/schema/base/literal").OptionalModifier<import("@vinejs/vine").VineBoolean>;
@@ -179,7 +179,7 @@ export declare const orgMemberRoleValidator: import("@vinejs/vine").VineValidato
 }>, Record<string, any> | undefined>;
 /** Criação de convite: e-mail obrigatório e validado; role opcional (default `member`). */
 export declare const orgInvitationValidator: import("@vinejs/vine").VineValidator<import("@vinejs/vine").VineObject<{
-    email: import("@vinejs/vine").VineString;
+    email: import("@vinejs/vine/schema/base/literal").TransformModifier<import("@vinejs/vine").VineString, string>;
     role: import("@vinejs/vine/schema/base/literal").OptionalModifier<import("@vinejs/vine").VineString>;
 }, {
     email: string;

package/build/src/host/admin_validators.js

@@ -1,4 +1,5 @@
 import vine from '@vinejs/vine';
+import { normalizeEmailIdentifier } from './email_identifier.js';
 /**
  * Validators VineJS dos recursos administrativos (Admin REST API + console admin).
  *
@@ -123,7 +124,7 @@ export function clientPartialInput(v) {
  * `minLength` — seria duplicar/contornar a policy configurável do projeto.
  */
 export const adminUserCreateValidator = vine.compile(vine.object({
-    email: vine.string().trim().email(),
+    email: vine.string().trim().email().transform(normalizeEmailIdentifier),
     name: vine.string().trim().maxLength(255).optional(),
     password: vine.string().maxLength(255).optional(),
     invite: vine.boolean().optional(),
@@ -162,7 +163,7 @@ export const orgMemberRoleValidator = vine.compile(vine.object({
 }));
 /** Criação de convite: e-mail obrigatório e validado; role opcional (default `member`). */
 export const orgInvitationValidator = vine.compile(vine.object({
-    email: vine.string().trim().email(),
+    email: vine.string().trim().email().transform(normalizeEmailIdentifier),
     role: vine.string().trim().minLength(1).optional(),
 }));
 // ─── Catálogo de roles ──────────────────────────────────────────────────────

package/build/src/host/controllers/account_mfa_controller.js

@@ -4,11 +4,10 @@ import { supportsPasskeys } from '../../accounts/account_store.js';
 import { accountPath } from '../account_paths.js';
 import { ACCOUNT_SESSION_KEY } from '../account_session_key.js';
 import { translate } from '../i18n.js';
+import { PASSKEY_REG_CHALLENGE_KEY } from '../passkey_registration_challenge.js';
 import { resolveRuntimeSettings } from '../runtime_settings.js';
 import { dispatchSecurityNotice } from '../security_notice_service.js';
 import { requireSudo } from '../sudo_mode.js';
-/** Desafio WebAuthn pendente (registro) guardado na sessão entre begin/finish. */
-const PASSKEY_REG_CHALLENGE_KEY = 'authkit_passkey_reg_challenge';
 /**
  * `true` quando a requisição é uma NAVEGAÇÃO (form/browser) e não um XHR/fetch:
  * o cliente aceita `text/html` e NÃO pede explicitamente `application/json`.

package/build/src/host/controllers/account_orgs_controller.js

@@ -6,26 +6,12 @@ import { ACCOUNT_SESSION_KEY } from '../account_session_key.js';
 import { ACTIVE_ORG_COOKIE, ACTIVE_ORG_COOKIE_TTL, encodeActiveOrgCookie, } from '../active_org_cookie.js';
 import { sendOrgInvitationEmail } from '../default_mailer.js';
 import { ensureConsoleSession } from '../idp_session_bridge.js';
+// Política efetiva compartilhada com o espelho JSON (`account_orgs_api_controller`):
+// ponto de verdade único, para as duas superfícies nunca divergirem.
+import { effectiveOrgPolicy, orgPolicyDefaults } from '../org_policy.js';
 import { authkitOrigin } from '../origin.js';
 import { resolveRuntimeSettings } from '../runtime_settings.js';
-import { isRoleInCatalog, resolveEffectiveOrganizationsPolicy, } from '../runtime_toggles.js';
-/** Defaults estáticos da política de org (config do host) — o fallback da setting. */
-function orgPolicyDefaults(cfg) {
-    return {
-        roles: cfg.organizations.roles,
-        allowSelfCreate: cfg.organizations.allowSelfCreate,
-        invitationTtlHours: cfg.organizations.invitationTtlHours,
-    };
-}
-/**
- * Política EFETIVA de organizações: setting `organizations_policy` (org → global)
- * → `config.organizations` → default da lib. É o que a doc promete; antes este
- * controller lia só o config estático, e a setting não tinha efeito aqui.
- */
-async function effectiveOrgPolicy(ctx, cfg, orgId) {
-    const settings = await resolveRuntimeSettings(ctx);
-    return resolveEffectiveOrganizationsPolicy(settings, orgPolicyDefaults(cfg), orgId);
-}
+import { isRoleInCatalog, resolveEffectiveOrganizationsPolicy } from '../runtime_toggles.js';
 /**
  * Console de conta — Organizations. Server-rendered, padrão dos outros controllers
  * de conta (account_tokens_controller, account_security_controller, etc.).

package/build/src/host/controllers/account_security_controller.js

@@ -10,6 +10,7 @@ import { AdminSessionsService } from '../admin_sessions_service.js';
 import { syncAdonisAuthLogout } from '../adonis_auth_sync.js';
 import { AvatarUploadError, isAvatarUploadSupported, storeAvatar } from '../avatar_storage.js';
 import { sendEmailChangeConfirmationEmail, sendEmailChangedCompletedEmail, sendEmailChangeNoticeEmail, } from '../default_mailer.js';
+import { normalizeEmailIdentifier } from '../email_identifier.js';
 import { translate } from '../i18n.js';
 import { authkitOrigin } from '../origin.js';
 import { resolveRuntimeSettings } from '../runtime_settings.js';
@@ -164,7 +165,8 @@ export default class AccountSecurityController {
             confirmed = !!(await store.verifyCredentials(account.email, currentPassword));
         }
         if (!confirmed && confirmEmail) {
-            confirmed = confirmEmail.trim().toLowerCase() === account.email.toLowerCase();
+            confirmed =
+                normalizeEmailIdentifier(confirmEmail) === normalizeEmailIdentifier(account.email);
         }
         if (!confirmed) {
             ctx.session.flash('deleteError', translate(cfg.messages, 'account.delete.invalid_confirmation'));

package/build/src/host/controllers/account_session_controller.js

@@ -3,6 +3,7 @@ import { accountHome } from '../account_home.js';
 import { getAccountLoginUrl } from '../account_login_url.js';
 import { ACCOUNT_SESSION_KEY } from '../account_session_key.js';
 import { syncAdonisAuthLogin, syncAdonisAuthLogout } from '../adonis_auth_sync.js';
+import { normalizeEmailIdentifier } from '../email_identifier.js';
 import { translate } from '../i18n.js';
 import { endBridgedIdpSession } from '../idp_session_bridge.js';
 import { attemptPasswordLogin } from '../login_attempt.js';
@@ -60,10 +61,6 @@ export default class AccountSessionController {
         const cfg = service.config;
         const render = cfg.render;
         const { email: rawEmail, password } = ctx.request.only(['email', 'password']);
-        // L6: normaliza o e-mail (trim + lowercase) ANTES de usar — garante que o
-        // lookup, o lockout (keyed por email) e a auditoria usem a forma canônica,
-        // independente do casing/espaços digitados.
-        const email = typeof rawEmail === 'string' ? rawEmail.trim().toLowerCase() : rawEmail;
         const ip = ctx.request.ip?.() ?? null;
         // Lê e valida o return_to do corpo do formulário (hidden input) — nunca confiar sem revalidar.
         const rawReturnTo = ctx.request.input?.('return_to');
@@ -71,6 +68,11 @@ export default class AccountSessionController {
         // Verificação + lockout + auditoria de falha centralizados (sem clientId no console).
         // M1: passa `settings` p/ o lockout (e verified-email/expiração) runtime valerem aqui também.
         const settings = await resolveRuntimeSettings(ctx);
+        // L6: normaliza (trim + lowercase, a MESMA função do cadastro e do passo de
+        // identificador do login OIDC) para que o lookup, o lockout (keyed por
+        // e-mail) e a auditoria usem a forma canônica, independente do casing/espaços
+        // digitados. A tela de erro é a mesma (credencial inválida), ache conta ou não.
+        const email = normalizeEmailIdentifier(rawEmail);
         const result = await attemptPasswordLogin(cfg, {
             email,
             password,
@@ -106,7 +108,7 @@ export default class AccountSessionController {
         // Opt-in: sincroniza ctx.auth.use(cfg.adonisAuth.guard) com a mesma conta —
         // no-op sem `adonisAuth` configurado ou sem @adonisjs/auth inicializado.
         await syncAdonisAuthLogin(ctx, cfg, acc);
-        await notifyLoginSuccess(ctx, cfg, { accountId: acc.id, email, ip });
+        await notifyLoginSuccess(ctx, cfg, { accountId: acc.id, email: acc.email, ip });
         // Redireciona pro destino original (validado), ou cai no accountHome configurado.
         return ctx.response.redirect(returnTo ?? accountHome(cfg));
     }

package/build/src/host/controllers/interaction_controller.d.ts

@@ -7,6 +7,16 @@ export default class AuthInteractionController {
      * POST /auth/interaction/:uid/identifier
      * Step 1: receive email, store in session, redirect to step 2.
      * ENUMERATION-SAFE: always advances regardless of whether the email exists.
+     *
+     * Normaliza o e-mail com a MESMA regra do cadastro (`normalizeEmailIdentifier`:
+     * `trim` + `toLowerCase`) — antes disto o valor cru ia para a sessão e a busca
+     * no store era por igualdade exata, então nem `Davi@x.com` achava `davi@x.com`.
+     *
+     * À PROVA DE ENUMERAÇÃO: o passo NÃO toca no account store — só normaliza e
+     * guarda. A resposta é o MESMO redirect incondicional, exista a conta ou não,
+     * e não há busca alguma aqui para diferenciar os dois casos nem no tempo de
+     * resposta. Quem decide se a conta existe é o passo 2, que renderiza a mesma
+     * tela nos dois casos.
      */
     identifier(ctx: HttpContext): Promise<void>;
     /**

package/build/src/host/controllers/interaction_controller.js

@@ -4,6 +4,7 @@ import { AdminSessionsService } from '../admin_sessions_service.js';
 import { guardBotProtection, resolveEffectiveBotProtection } from '../bot_protection.js';
 import { brandFor, isFirstParty } from '../branding.js';
 import { sendMagicLinkEmail, sendOtpUnlockEmail } from '../default_mailer.js';
+import { normalizeEmailIdentifier } from '../email_identifier.js';
 import { translate } from '../i18n.js';
 import { assertLoginAllowed, attemptPasswordLogin, isEmailUnverifiedBlock, } from '../login_attempt.js';
 import { magicChannelProp, normalizeLoginChannel } from '../login_channel.js';
@@ -36,11 +37,26 @@ function accountStatusErrorKey(reason) {
             return 'login.password_expired_intro';
     }
 }
+/**
+ * E-mail DIGITADO no passo de identificador, já normalizado (`trim` +
+ * `toLowerCase`). É o que a tela SEMPRE mostra — nunca o endereço gravado —,
+ * para que a canonicalização não vire um oráculo de "esta conta existe".
+ */
 const SESSION_KEY = 'authkit_login_email';
 /** accountId aguardando o 2º fator depois da senha verificada. */
 const MFA_PENDING_KEY = 'authkit_mfa_pending';
 /** Desafio WebAuthn pendente (autenticação) guardado entre begin/finish no login. */
 const PASSKEY_AUTH_CHALLENGE_KEY = 'authkit_passkey_auth_challenge';
+/**
+ * Esquece o e-mail do login.
+ *
+ * Helper de UMA linha de propósito: os fluxos que encerram o passo de login
+ * (sucesso, "usar outro e-mail", expiração) chamam ISTO em vez de `forget` da
+ * chave crua, para que nenhum caminho deixe o e-mail pendurado na sessão.
+ */
+function forgetLoginEmail(ctx) {
+    ctx.session.forget(SESSION_KEY);
+}
 export default class AuthInteractionController {
     /**
      * Métodos de login efetivos (com os pins do `cfg.authMethods`) para QUALQUER render do
@@ -215,10 +231,22 @@ export default class AuthInteractionController {
      * POST /auth/interaction/:uid/identifier
      * Step 1: receive email, store in session, redirect to step 2.
      * ENUMERATION-SAFE: always advances regardless of whether the email exists.
+     *
+     * Normaliza o e-mail com a MESMA regra do cadastro (`normalizeEmailIdentifier`:
+     * `trim` + `toLowerCase`) — antes disto o valor cru ia para a sessão e a busca
+     * no store era por igualdade exata, então nem `Davi@x.com` achava `davi@x.com`.
+     *
+     * À PROVA DE ENUMERAÇÃO: o passo NÃO toca no account store — só normaliza e
+     * guarda. A resposta é o MESMO redirect incondicional, exista a conta ou não,
+     * e não há busca alguma aqui para diferenciar os dois casos nem no tempo de
+     * resposta. Quem decide se a conta existe é o passo 2, que renderiza a mesma
+     * tela nos dois casos.
      */
     async identifier(ctx) {
         const { email } = ctx.request.only(['email']);
-        ctx.session.put(SESSION_KEY, email);
+        // `request.only` não valida tipo (`email[]=x` chega array): a normalização
+        // devolve string vazia para não-string, e o passo segue com o redirect.
+        ctx.session.put(SESSION_KEY, normalizeEmailIdentifier(email));
         return ctx.response.redirect(`/auth/interaction/${ctx.request.param('uid')}`);
     }
     /**
@@ -251,7 +279,10 @@ export default class AuthInteractionController {
         // credenciais. Fail-safe: erro/timeout no verify do host PERMITE o fluxo.
         // We use a cfg-compatible object: pass effectiveBotLogin merged into cfg.
         const cfgWithEffectiveBot = effectiveBotLogin !== cfg.botProtection ? { ...cfg, botProtection: effectiveBotLogin } : cfg;
-        if (!(await guardBotProtection(ctx, cfgWithEffectiveBot, 'login', { email, clientId }))) {
+        if (!(await guardBotProtection(ctx, cfgWithEffectiveBot, 'login', {
+            email,
+            clientId,
+        }))) {
             const found = await cfg.accountStore.findByEmail(email);
             const account = found
                 ? { fullName: found.name ?? null, globalRoles: found.globalRoles ?? [] }
@@ -407,7 +438,7 @@ export default class AuthInteractionController {
                         clientId,
                         trustedDevice: true,
                     });
-                    ctx.session.forget(SESSION_KEY);
+                    forgetLoginEmail(ctx);
                     return;
                 }
             }
@@ -447,7 +478,7 @@ export default class AuthInteractionController {
             }
         }
         await service.interactions.completeLogin(ctx, acc.id, { remember });
-        await notifyLoginSuccess(ctx, cfg, { accountId: acc.id, email, ip, clientId });
+        await notifyLoginSuccess(ctx, cfg, { accountId: acc.id, email: acc.email, ip, clientId });
         // single-session: após o completeLogin, revoga sessões que existiam ANTES.
         // A sessão nova foi criada pelo provider no resume — ela NÃO está em prevSessionIds.
         if (sessionPolicy.singleSession && prevSessionIds.size > 0) {
@@ -467,7 +498,7 @@ export default class AuthInteractionController {
             }
         }
         // Clean up the session key after a successful login.
-        ctx.session.forget(SESSION_KEY);
+        forgetLoginEmail(ctx);
     }
     /**
      * POST /auth/interaction/:uid/mfa
@@ -554,7 +585,7 @@ export default class AuthInteractionController {
         await this.maybeTrustDevice(ctx, cfg, accountId);
         // Finaliza a interaction para o accountId pendente.
         ctx.session.forget(MFA_PENDING_KEY);
-        ctx.session.forget(SESSION_KEY);
+        forgetLoginEmail(ctx);
         await notifyLoginSuccess(ctx, cfg, {
             accountId,
             ip,
@@ -738,7 +769,7 @@ export default class AuthInteractionController {
                 await cfg.audit?.record({
                     type: 'login.magic_link_sent',
                     accountId: issued.account.id,
-                    email,
+                    email: issued.account.email,
                     ip,
                     clientId,
                 });
@@ -746,18 +777,19 @@ export default class AuthInteractionController {
                     await cfg.audit?.record({
                         type: 'login.otp_sent',
                         accountId: issued.account.id,
-                        email,
+                        email: issued.account.email,
                         ip,
                         clientId,
                     });
                 }
                 const origin = authkitOrigin(cfg);
                 const magicUrl = `${origin}/auth/interaction/${uid}/magic?token=${encodeURIComponent(issued.token)}`;
+                const to = issued.account.email;
                 if (cfg.mail?.onMagicLink) {
-                    await cfg.mail.onMagicLink({ email, magicUrl, token: issued.token, code, channel });
+                    await cfg.mail.onMagicLink({ email: to, magicUrl, token: issued.token, code, channel });
                 }
                 else {
-                    await sendMagicLinkEmail(ctx, { email, magicUrl, code, channel });
+                    await sendMagicLinkEmail(ctx, { email: to, magicUrl, code, channel });
                 }
             }
         }
@@ -895,7 +927,7 @@ export default class AuthInteractionController {
             clientId: clientId ?? null,
             metadata: { method: 'magic_link' },
         });
-        ctx.session.forget(SESSION_KEY);
+        forgetLoginEmail(ctx);
         await service.interactions.completeLogin(ctx, acc.id, { amr: ['email'] });
     }
     /**
@@ -1008,7 +1040,7 @@ export default class AuthInteractionController {
                 clientId: clientId ?? null,
                 metadata: { method: 'otp' },
             });
-            ctx.session.forget(SESSION_KEY);
+            forgetLoginEmail(ctx);
             return service.interactions.completeLogin(ctx, result.account.id, { amr: ['email'] });
         }
         if (result.status === 'locked') {
@@ -1252,7 +1284,7 @@ export default class AuthInteractionController {
         // Passkey OK: opcionalmente confia neste dispositivo (checkbox no challenge).
         await this.maybeTrustDevice(ctx, cfg, accountId);
         ctx.session.forget(MFA_PENDING_KEY);
-        ctx.session.forget(SESSION_KEY);
+        forgetLoginEmail(ctx);
         await notifyLoginSuccess(ctx, cfg, {
             accountId,
             ip,
@@ -1268,7 +1300,7 @@ export default class AuthInteractionController {
      * Clears the stored email and redirects back to step 1.
      */
     async switchIdentifier(ctx) {
-        ctx.session.forget(SESSION_KEY);
+        forgetLoginEmail(ctx);
         return ctx.response.redirect(`/auth/interaction/${ctx.request.param('uid')}`);
     }
     /**

package/build/src/host/controllers/registration_controller.js

@@ -118,6 +118,8 @@ export default class AuthRegistrationController {
         }
         const data = await ctx.request.validateUsing(signupValidator);
         const accountStore = cfg.accountStore;
+        // Duplicado pela MESMA forma que o login busca (`data.email` já saiu
+        // normalizado do validator).
         const existing = await accountStore.findByEmail(data.email);
         if (existing) {
             return render(ctx, 'signup', {
@@ -233,15 +235,18 @@ export default class AuthRegistrationController {
             });
         }
         // Emite + envia o magic link (mesma construção do login por magic link).
+        // `data.email` já é a forma normalizada — a mesma sob a qual a conta foi
+        // encontrada acima ou acabou de ser criada.
         const issued = await accountStore.issueMagicLinkToken(data.email);
         if (issued) {
             const origin = authkitOrigin(cfg);
             const magicUrl = `${origin}/auth/interaction/${uid}/magic?token=${encodeURIComponent(issued.token)}`;
+            const to = issued.account.email;
             if (cfg.mail?.onMagicLink) {
-                await cfg.mail.onMagicLink({ email: data.email, magicUrl, token: issued.token });
+                await cfg.mail.onMagicLink({ email: to, magicUrl, token: issued.token });
             }
             else {
-                await sendMagicLinkEmail(ctx, { email: data.email, magicUrl });
+                await sendMagicLinkEmail(ctx, { email: to, magicUrl });
             }
         }
         // Resposta uniforme: "enviamos um link" (não vaza existência da conta).
@@ -322,21 +327,26 @@ export default class AuthRegistrationController {
         }
         const { email } = await ctx.request.validateUsing(forgotPasswordValidator);
         const accountStore = cfg.accountStore;
+        // `email` já saiu normalizado do validator (a MESMA normalização do
+        // cadastro e do login). Resposta uniforme: a tela abaixo é a mesma, ache
+        // conta ou não.
         const result = await accountStore.issuePasswordResetToken(email);
         if (result) {
             await cfg.audit?.record({
                 type: 'password_reset.issued',
-                email,
+                email: result.account.email,
                 ip: ctx.request.ip?.() ?? null,
             });
             const origin = authkitOrigin(cfg);
             const url = `${origin}/auth/reset-password?token=${result.token}`;
             // Hook do config tem prioridade (override); senão usa o mailer default do host.
+            // O link vai para a caixa postal sob a qual a conta está gravada.
+            const to = result.account.email;
             if (cfg.mail?.onPasswordReset) {
-                await cfg.mail.onPasswordReset({ email, resetUrl: url, token: result.token });
+                await cfg.mail.onPasswordReset({ email: to, resetUrl: url, token: result.token });
             }
             else {
-                await sendPasswordResetEmail(ctx, { email, resetUrl: url });
+                await sendPasswordResetEmail(ctx, { email: to, resetUrl: url });
             }
         }
         return render(ctx, 'forgot', {

package/build/src/host/controllers/social_controller.js

@@ -1,6 +1,7 @@
 import '../augmentations.js';
 import { randomUUID } from 'node:crypto';
 import { supportsLoginMethodsPreference, supportsMagicLink, supportsPasskeys, supportsProviderIdentity, } from '../../accounts/account_store.js';
+import { normalizeEmailIdentifier } from '../email_identifier.js';
 import { assertLoginAllowed } from '../login_attempt.js';
 import { resolveRuntimeSettingsOrNoop } from '../runtime_settings.js';
 import { resolveEffectiveAuthMethods } from '../runtime_toggles.js';
@@ -54,7 +55,10 @@ export default class AuthSocialController {
         const service = await ctx.containerResolver.make('authkit.server');
         const cfg = service.config;
         const store = cfg.accountStore;
-        const email = profile.email ?? undefined;
+        // Normaliza o e-mail do provider com a MESMA regra do cadastro/login: sem
+        // isto, um provider que devolve o endereço com maiúsculas criava uma conta
+        // que o login (normalizado) não encontrava mais.
+        const email = profile.email ? normalizeEmailIdentifier(profile.email) : undefined;
         // Account linking exige a capacidade de provider-identity (model wired no store).
         // Ausente → não há como ligar a identidade; volta ao login em vez de quebrar.
         if (!supportsProviderIdentity(store)) {
@@ -67,6 +71,9 @@ export default class AuthSocialController {
         //  3. Senão → cria conta nova e liga a identidade.
         let user = await store.findByProviderIdentity(provider, profile.id);
         if (!user && email) {
+            // Busca pela MESMA forma normalizada que o login usa. Uma conta gravada
+            // com outra grafia não é encontrada aqui e a pessoa ganharia uma SEGUNDA
+            // conta — por isso `authkit:users:normalize-emails` é passo de upgrade.
             const byEmail = await store.findByEmail(email);
             if (byEmail) {
                 await store.linkProviderIdentity({

package/build/src/host/email_identifier.d.ts

@@ -0,0 +1,29 @@
+/**
+ * Normalização ÚNICA e CONSERVADORA do e-mail usado como identidade da conta.
+ *
+ * Faz `trim()` + `toLowerCase()` e MAIS NADA. O endereço que a pessoa digitou é a
+ * identidade dela: a lib NÃO decide que `a.b@gmail.com` e `ab@gmail.com` são a
+ * mesma pessoa, nem descarta o sub-endereço (`+tag`) que ela escolheu usar.
+ *
+ * POR QUE ISTO EXISTE: até a v0.68 o cadastro validava o e-mail com
+ * `.normalizeEmail()` do VineJS (os defaults do validator.js), que para o gmail
+ * REMOVE os pontos e o `+tag` do local part. A conta nascia com um endereço
+ * DIFERENTE do digitado (`davi.carvalho96@gmail.com` → `davicarvalho96@gmail.com`)
+ * enquanto o passo de identificador do login não normalizava NADA e buscava por
+ * igualdade exata — resultado: quem tinha ponto ou `+tag` no gmail ficava
+ * trancado do lado de fora, e, por o login ser à prova de enumeração, sem
+ * nenhuma mensagem de erro. Uma normalização só, usada nos DOIS lados, fecha a
+ * assimetria.
+ *
+ * Use em TODO ponto que grava ou busca a identidade: cadastro (com e sem senha),
+ * "esqueci a senha", troca de e-mail, criação por admin, convite de organização,
+ * import de usuários, cadastro social e o passo de identificador do login.
+ *
+ * As contas GRAVADAS antes disto (com o endereço mutilado, ou com maiúsculas
+ * vindas de import/convite/provider social) ficam inalcançáveis pelo login, que
+ * busca a forma normalizada. Elas pedem MIGRAÇÃO do endereço gravado — é o que o
+ * comando `authkit:users:normalize-emails` faz (ver `commands/normalize_emails.ts`).
+ * A lib não tenta adivinhar grafias no caminho do login: cada tentativa extra é
+ * uma query a mais por e-mail desconhecido, que é justamente o caminho de ataque.
+ */
+export declare function normalizeEmailIdentifier(raw: unknown): string;

package/build/src/host/email_identifier.js

@@ -0,0 +1,31 @@
+/**
+ * Normalização ÚNICA e CONSERVADORA do e-mail usado como identidade da conta.
+ *
+ * Faz `trim()` + `toLowerCase()` e MAIS NADA. O endereço que a pessoa digitou é a
+ * identidade dela: a lib NÃO decide que `a.b@gmail.com` e `ab@gmail.com` são a
+ * mesma pessoa, nem descarta o sub-endereço (`+tag`) que ela escolheu usar.
+ *
+ * POR QUE ISTO EXISTE: até a v0.68 o cadastro validava o e-mail com
+ * `.normalizeEmail()` do VineJS (os defaults do validator.js), que para o gmail
+ * REMOVE os pontos e o `+tag` do local part. A conta nascia com um endereço
+ * DIFERENTE do digitado (`davi.carvalho96@gmail.com` → `davicarvalho96@gmail.com`)
+ * enquanto o passo de identificador do login não normalizava NADA e buscava por
+ * igualdade exata — resultado: quem tinha ponto ou `+tag` no gmail ficava
+ * trancado do lado de fora, e, por o login ser à prova de enumeração, sem
+ * nenhuma mensagem de erro. Uma normalização só, usada nos DOIS lados, fecha a
+ * assimetria.
+ *
+ * Use em TODO ponto que grava ou busca a identidade: cadastro (com e sem senha),
+ * "esqueci a senha", troca de e-mail, criação por admin, convite de organização,
+ * import de usuários, cadastro social e o passo de identificador do login.
+ *
+ * As contas GRAVADAS antes disto (com o endereço mutilado, ou com maiúsculas
+ * vindas de import/convite/provider social) ficam inalcançáveis pelo login, que
+ * busca a forma normalizada. Elas pedem MIGRAÇÃO do endereço gravado — é o que o
+ * comando `authkit:users:normalize-emails` faz (ver `commands/normalize_emails.ts`).
+ * A lib não tenta adivinhar grafias no caminho do login: cada tentativa extra é
+ * uma query a mais por e-mail desconhecido, que é justamente o caminho de ataque.
+ */
+export function normalizeEmailIdentifier(raw) {
+    return typeof raw === 'string' ? raw.trim().toLowerCase() : '';
+}

package/build/src/host/org_policy.d.ts

@@ -0,0 +1,26 @@
+/**
+ * Política EFETIVA de organizações — ponto de verdade ÚNICO das duas
+ * superfícies member-facing.
+ *
+ * O console HTML (`AccountOrgsController`) e o espelho JSON
+ * (`AccountOrgsApiController`) precisam responder à MESMA pergunta — "este
+ * usuário pode criar org? que papéis existem? quanto tempo o convite vale?" —
+ * e a resposta não está no config estático: ela é resolvida na ordem setting da
+ * org → setting global → `config.organizations` → default da lib.
+ *
+ * Mora num módulo próprio, e não dentro de um dos controllers, porque duas
+ * cópias desta resolução são exatamente como o caminho JSON acaba mais frouxo
+ * (ou mais apertado) que o formulário que ele espelha — o bug que este pacote
+ * de mudanças existe para não ter.
+ */
+import './augmentations.js';
+import type { HttpContext } from '@adonisjs/core/http';
+import { type OrganizationsPolicyConfigDefaults, type ResolvedOrganizationsPolicySetting } from './runtime_toggles.js';
+/** Defaults estáticos da política de org (config do host) — o fallback da setting. */
+export declare function orgPolicyDefaults(cfg: any): OrganizationsPolicyConfigDefaults;
+/**
+ * Política efetiva para o `orgId` (ou global, quando ausente). `settings` nulo —
+ * DB fora do ar, app sem lucid — cai no config estático, fail-safe herdado de
+ * {@link resolveEffectiveOrganizationsPolicy}.
+ */
+export declare function effectiveOrgPolicy(ctx: HttpContext, cfg: any, orgId?: string | null): Promise<ResolvedOrganizationsPolicySetting>;

package/build/src/host/org_policy.js

@@ -0,0 +1,35 @@
+/**
+ * Política EFETIVA de organizações — ponto de verdade ÚNICO das duas
+ * superfícies member-facing.
+ *
+ * O console HTML (`AccountOrgsController`) e o espelho JSON
+ * (`AccountOrgsApiController`) precisam responder à MESMA pergunta — "este
+ * usuário pode criar org? que papéis existem? quanto tempo o convite vale?" —
+ * e a resposta não está no config estático: ela é resolvida na ordem setting da
+ * org → setting global → `config.organizations` → default da lib.
+ *
+ * Mora num módulo próprio, e não dentro de um dos controllers, porque duas
+ * cópias desta resolução são exatamente como o caminho JSON acaba mais frouxo
+ * (ou mais apertado) que o formulário que ele espelha — o bug que este pacote
+ * de mudanças existe para não ter.
+ */
+import './augmentations.js';
+import { resolveRuntimeSettings } from './runtime_settings.js';
+import { resolveEffectiveOrganizationsPolicy, } from './runtime_toggles.js';
+/** Defaults estáticos da política de org (config do host) — o fallback da setting. */
+export function orgPolicyDefaults(cfg) {
+    return {
+        roles: cfg.organizations.roles,
+        allowSelfCreate: cfg.organizations.allowSelfCreate,
+        invitationTtlHours: cfg.organizations.invitationTtlHours,
+    };
+}
+/**
+ * Política efetiva para o `orgId` (ou global, quando ausente). `settings` nulo —
+ * DB fora do ar, app sem lucid — cai no config estático, fail-safe herdado de
+ * {@link resolveEffectiveOrganizationsPolicy}.
+ */
+export async function effectiveOrgPolicy(ctx, cfg, orgId) {
+    const settings = await resolveRuntimeSettings(ctx);
+    return resolveEffectiveOrganizationsPolicy(settings, orgPolicyDefaults(cfg), orgId);
+}

package/build/src/host/passkey_registration_challenge.d.ts

@@ -0,0 +1,12 @@
+/**
+ * Chave de sessão do desafio WebAuthn PENDENTE de REGISTRO de passkey.
+ *
+ * Mora num módulo próprio porque a cerimônia agora tem DOIS pares de rotas — o
+ * clássico (`/account/mfa/passkeys/{options,verify}`, que responde redirect numa
+ * navegação) e o JSON (`/account/api/mfa/passkeys/{options,verify}`, que nunca
+ * navega). Os dois precisam ler e escrever o MESMO slot: um `begin` feito por um
+ * caminho tem de poder ser finalizado pelo outro, e — mais importante — um
+ * desafio só pode existir UMA vez por sessão. Duas constantes com o mesmo valor
+ * em arquivos diferentes seriam a mesma coisa até alguém mudar uma delas.
+ */
+export declare const PASSKEY_REG_CHALLENGE_KEY = "authkit_passkey_reg_challenge";

package/build/src/host/passkey_registration_challenge.js

@@ -0,0 +1,12 @@
+/**
+ * Chave de sessão do desafio WebAuthn PENDENTE de REGISTRO de passkey.
+ *
+ * Mora num módulo próprio porque a cerimônia agora tem DOIS pares de rotas — o
+ * clássico (`/account/mfa/passkeys/{options,verify}`, que responde redirect numa
+ * navegação) e o JSON (`/account/api/mfa/passkeys/{options,verify}`, que nunca
+ * navega). Os dois precisam ler e escrever o MESMO slot: um `begin` feito por um
+ * caminho tem de poder ser finalizado pelo outro, e — mais importante — um
+ * desafio só pode existir UMA vez por sessão. Duas constantes com o mesmo valor
+ * em arquivos diferentes seriam a mesma coisa até alguém mudar uma delas.
+ */
+export const PASSKEY_REG_CHALLENGE_KEY = 'authkit_passkey_reg_challenge';