@adonis-agora/authkit-server 0.70.0 → 0.72.0

package/build/src/define_config.d.ts

@@ -537,26 +537,10 @@ export interface LoginConfigInput {
      * idêntico ao de antes, e-mail idêntico). Ver `host/otp_login.ts`.
      */
     otp?: OtpLoginConfigInput;
-    /**
-     * PONTE TEMPORÁRIA: no passo de identificador, quando o e-mail normalizado
-     * (`trim` + `toLowerCase`) não acha conta nenhuma, tenta também o endereço
-     * exatamente como foi digitado e a normalização LEGADA (os defaults do
-     * validator.js que o cadastro aplicava até a v0.68 e que, no gmail, removiam
-     * pontos e sub-endereço `+tag`). Só aceita quando essas formas apontam para
-     * EXATAMENTE UMA conta — empate é tratado como "não achei".
-     *
-     * Existe para que as contas que nasceram com o endereço mutilado
-     * (`davi.carvalho96@gmail.com` gravado como `davicarvalho96@gmail.com`)
-     * continuem tendo caminho de volta. Default: `true` — desligar tranca essas
-     * contas do lado de fora. Depois de migrar os endereços gravados, desligue e,
-     * mais adiante, a ponte inteira sai da lib (ver `host/email_identifier.ts`).
-     */
-    legacyEmailFallback?: boolean;
 }
 export interface ResolvedLoginConfig {
     requireVerifiedEmail: boolean;
     otp: ResolvedOtpLoginConfig;
-    legacyEmailFallback: boolean;
 }
 export declare function resolveLogin(input?: LoginConfigInput): ResolvedLoginConfig;
 /**

package/build/src/define_config.js

@@ -137,7 +137,6 @@ export function resolveLogin(input) {
     return {
         requireVerifiedEmail: input?.requireVerifiedEmail ?? false,
         otp: resolveOtpLoginConfig(input?.otp),
-        legacyEmailFallback: input?.legacyEmailFallback ?? true,
     };
 }
 export function resolveRegistration(input) {

package/build/src/host/admin_api/admin_users_service.js

@@ -4,7 +4,7 @@ import { ADMIN_LIST_DEFAULT_SIZE, LIST_FIRST_PAGE } from '../../pagination.js';
 import { PasswordPolicyError } from '../../password/password_manager.js';
 import { AccountDeletionService } from '../account_deletion_service.js';
 import { sendPasswordResetEmail } from '../default_mailer.js';
-import { normalizeEmailIdentifier, resolveEmailIdentifier } from '../email_identifier.js';
+import { normalizeEmailIdentifier } from '../email_identifier.js';
 import { authkitOrigin } from '../origin.js';
 import { resolveEffectiveRolesCatalog } from '../runtime_toggles.js';
 /**
@@ -29,12 +29,10 @@ export class AdminUsersService {
         // serviço também é chamado direto (console/API/host) — normaliza aqui para
         // que nenhum caminho grave um endereço que o login não encontra.
         const email = normalizeEmailIdentifier(input.email);
-        // Duplicado: enxerga também a conta gravada com o endereço mutilado pelo
-        // cadastro antigo (ponte legada) — senão o admin criaria uma SEGUNDA conta
-        // para quem o cadastro público recusaria com `email_taken`.
-        const existing = (await resolveEmailIdentifier(store, input.email, {
-            legacyFallback: this.cfg.login?.legacyEmailFallback ?? true,
-        })).account;
+        // Duplicado pela MESMA forma que o login busca — a normalizada. Contas
+        // gravadas com outra grafia (import/convite antigos) só entram nesta conta
+        // depois do `authkit:users:normalize-emails`.
+        const existing = await store.findByEmail(email);
         if (existing)
             return { ok: false, reason: 'email_taken' };
         const hasPassword = !!input.password;

package/build/src/host/controllers/account_session_controller.js

@@ -3,7 +3,7 @@ import { accountHome } from '../account_home.js';
 import { getAccountLoginUrl } from '../account_login_url.js';
 import { ACCOUNT_SESSION_KEY } from '../account_session_key.js';
 import { syncAdonisAuthLogin, syncAdonisAuthLogout } from '../adonis_auth_sync.js';
-import { resolveEmailIdentifier } from '../email_identifier.js';
+import { normalizeEmailIdentifier } from '../email_identifier.js';
 import { translate } from '../i18n.js';
 import { endBridgedIdpSession } from '../idp_session_bridge.js';
 import { attemptPasswordLogin } from '../login_attempt.js';
@@ -68,18 +68,13 @@ export default class AccountSessionController {
         // Verificação + lockout + auditoria de falha centralizados (sem clientId no console).
         // M1: passa `settings` p/ o lockout (e verified-email/expiração) runtime valerem aqui também.
         const settings = await resolveRuntimeSettings(ctx);
-        // L6: `resolveEmailIdentifier` normaliza (trim + lowercase, a MESMA função do
-        // cadastro e do passo de identificador do login OIDC) e devolve o endereço sob
-        // o qual a conta está gravada — de modo que o lookup, o lockout (keyed por
+        // L6: normaliza (trim + lowercase, a MESMA função do cadastro e do passo de
+        // identificador do login OIDC) para que o lookup, o lockout (keyed por
         // e-mail) e a auditoria usem a forma canônica, independente do casing/espaços
-        // digitados. A ponte legada faz a conta que nasceu com o endereço mutilado
-        // entrar no console pelo endereço REAL, como no login OIDC. A tela de erro é a
-        // mesma (credencial inválida), ache conta ou não.
-        const { lookupEmail } = await resolveEmailIdentifier(cfg.accountStore, rawEmail, {
-            legacyFallback: cfg.login?.legacyEmailFallback ?? true,
-        });
+        // digitados. A tela de erro é a mesma (credencial inválida), ache conta ou não.
+        const email = normalizeEmailIdentifier(rawEmail);
         const result = await attemptPasswordLogin(cfg, {
-            email: lookupEmail,
+            email,
             password,
             ip,
             logger: ctx.logger,

package/build/src/host/controllers/interaction_controller.d.ts

@@ -12,11 +12,11 @@ export default class AuthInteractionController {
      * `trim` + `toLowerCase`) — antes disto o valor cru ia para a sessão e a busca
      * no store era por igualdade exata, então nem `Davi@x.com` achava `davi@x.com`.
      *
-     * A resolução acontece AQUI (uma vez, onde o valor digitado ainda existe) e
-     * não a cada request do passo 2. Guarda DUAS coisas: o digitado (o que a tela
-     * mostra) e, se a ponte de compatibilidade precisou de outra forma, o endereço
-     * sob o qual a conta está gravada (o que vai para o store). A resposta continua
-     * sendo o mesmo redirect incondicional, ache conta ou não.
+     * À PROVA DE ENUMERAÇÃO: o passo NÃO toca no account store — só normaliza e
+     * guarda. A resposta é o MESMO redirect incondicional, exista a conta ou não,
+     * e não há busca alguma aqui para diferenciar os dois casos nem no tempo de
+     * resposta. Quem decide se a conta existe é o passo 2, que renderiza a mesma
+     * tela nos dois casos.
      */
     identifier(ctx: HttpContext): Promise<void>;
     /**
@@ -41,6 +41,34 @@ export default class AuthInteractionController {
      * Retorna `undefined` quando não há step-up — completeLogin usa o default.
      */
     private stepUpExtra;
+    /**
+     * Gate do segundo fator, compartilhado pelos caminhos de login: senha, link
+     * mágico, código por e-mail e troca forçada de senha. Antes disto só o login
+     * por senha passava pelo MFA — link e código completavam a interaction direto,
+     * então uma conta com TOTP ou passkey entrava apresentando só o e-mail e o
+     * segundo fator virava enfeite.
+     *
+     * A pergunta que o gate responde é "existe um fator que esta pessoa consegue
+     * apresentar AGORA?", e não `mfa.enabled` — que liga ao registrar uma passkey
+     * e não desliga ao remover a última. Fator utilizável = TOTP confirmado
+     * (`mfa.totp`) OU ao menos uma passkey registrada. Pela regra antiga, quem
+     * registrava uma passkey e depois a removia ficava preso num desafio TOTP que
+     * não tinha como responder.
+     *
+     *  - sem fator e sem step-up → `none`, o login segue;
+     *  - step-up (acr) exigindo MFA numa conta sem fator → `challenge` com a
+     *    instrução de enrolar (não há o que desafiar);
+     *  - fator presente, trusted-device válido e sem step-up → `trusted`; quem
+     *    chamou decide como finalizar, porque o amr muda conforme o caminho;
+     *  - caso geral → `challenge`, com o accountId em `MFA_PENDING_KEY`.
+     */
+    private secondFactorGate;
+    /**
+     * true se a conta tem um app autenticador CONFIRMADO. Stores que não reportam
+     * `totp` (a chave é opcional em {@link MfaCapability}) caem no `enabled`, o
+     * comportamento antigo.
+     */
+    private hasTotp;
     /** true se o store suporta passkeys E a conta tem ao menos uma registrada. */
     private hasPasskeys;
     /**