@adonis-agora/authkit-server 0.72.0 → 0.74.0

package/build/src/host/active_org_cookie.js

@@ -158,3 +158,41 @@ export function readActiveOrgFromHostCtx(ctx, opts) {
     }
     return readActiveOrgFromKoaCtx(ctx, opts);
 }
+/**
+ * Confere, NO STORE, se a org que a sessão diz ser a ativa ainda vale para a conta,
+ * e devolve os dados ATUAIS dela — ou `null` quando não vale mais.
+ *
+ * O `activeOrg` que chega aqui é um RETRATO: foi gravado no Grant no consent (ou lido
+ * do cookie) e o refresh token o reemite por até 30 dias. Sem esta conferência, quem
+ * é removido da equipe continua recebendo `org_*` até o grant expirar, e um rebaixado
+ * continua recebendo o papel antigo. Por isso:
+ *
+ *  - a conta precisa ser membro da org AGORA (`getOrgMembership`);
+ *  - a org precisa existir AGORA (`findOrgById`) — o slug sai daqui, não do retrato;
+ *  - o papel é o da membership ATUAL, nunca o `orgRole` do retrato.
+ *
+ * Store sem `findOrgById`/`getOrgMembership`: não há como conferir, então não há
+ * claim (fail-closed). As rotas que gravam o cookie de org só existem com a capacidade.
+ *
+ * Erro do store PROPAGA: um banco fora do ar não pode virar, em silêncio, um token
+ * sem org (que o app leria como "usuário sem tenant") nem um token com a org velha.
+ */
+export async function verifyActiveOrgMembership(store, accountId, claimed) {
+    if (!claimed)
+        return null;
+    // Sonda os DOIS métodos que esta função usa — não o `createOrg` do
+    // `supportsOrganizations`. Um store com a capacidade PARCIAL (sem um deles)
+    // derrubaria todo mint com TypeError; aqui ele só deixa de emitir a claim.
+    const orgs = store;
+    if (typeof orgs.findOrgById !== 'function' || typeof orgs.getOrgMembership !== 'function') {
+        return null;
+    }
+    // Org primeiro: apagada, nem pergunta pela membership.
+    const org = await orgs.findOrgById(claimed.orgId);
+    if (!org)
+        return null;
+    const membership = await orgs.getOrgMembership(claimed.orgId, accountId);
+    if (!membership || typeof membership.role !== 'string' || !membership.role)
+        return null;
+    return { orgId: org.id, orgSlug: org.slug, orgRole: membership.role };
+}

package/build/src/host/admin_api/admin_orgs_service.d.ts

@@ -1,6 +1,7 @@
 import type { HttpContext } from '@adonisjs/core/http';
 import type { OrgInvitation, OrgMember, OrgSummary } from '../../accounts/account_store.js';
 import type { ResolvedServerConfig } from '../../define_config.js';
+import type { OidcService } from '../../provider/oidc_service.js';
 import type { SettingsCapability } from '../runtime_settings.js';
 import type { AdminActor } from './admin_users_service.js';
 export interface OrgWithMemberCount extends OrgSummary {
@@ -52,7 +53,12 @@ export type InvalidRoleResult = {
  */
 export declare class AdminOrgsService {
     private cfg;
-    constructor(cfg: ResolvedServerConfig);
+    private oidc?;
+    /**
+     * @param oidc Serviço OIDC — onde vivem os grants a revogar quando um membro sai
+     *   ou a org é apagada ({@link revokeOrgAccess}). Opcional para quem só lê.
+     */
+    constructor(cfg: ResolvedServerConfig, oidc?: Pick<OidcService, 'config'> | undefined);
     get supported(): boolean;
     /**
      * Resolve o catálogo efetivo de roles de org (runtime settings → config →

package/build/src/host/admin_api/admin_orgs_service.js

@@ -2,6 +2,7 @@ import { supportsOrganizations } from '../../accounts/account_store.js';
 import { ADMIN_LIST_DEFAULT_SIZE, LIST_FIRST_PAGE } from '../../pagination.js';
 import { accountPath } from '../account_paths.js';
 import { sendOrgInvitationEmail } from '../default_mailer.js';
+import { revokeOrgAccess } from '../org_access_revocation.js';
 import { isRoleInCatalog, resolveEffectiveOrganizationsPolicy, resolveRoleCatalogList, } from '../runtime_toggles.js';
 /**
  * Lógica de gestão de organizações compartilhada entre o console admin (HTML)
@@ -10,8 +11,14 @@ import { isRoleInCatalog, resolveEffectiveOrganizationsPolicy, resolveRoleCatalo
  */
 export class AdminOrgsService {
     cfg;
-    constructor(cfg) {
+    oidc;
+    /**
+     * @param oidc Serviço OIDC — onde vivem os grants a revogar quando um membro sai
+     *   ou a org é apagada ({@link revokeOrgAccess}). Opcional para quem só lê.
+     */
+    constructor(cfg, oidc) {
         this.cfg = cfg;
+        this.oidc = oidc;
     }
     get supported() {
         return supportsOrganizations(this.cfg.accountStore);
@@ -157,6 +164,8 @@ export class AdminOrgsService {
         if (!existing)
             return { ok: false, reason: 'not_found' };
         await store.deleteOrg(orgId);
+        // Grants que carregam esta org (de qualquer conta) caem já — não no refresh.
+        await revokeOrgAccess(this.oidc, orgId);
         await this.cfg.audit?.record({
             type: 'organization.deleted',
             actorId: actor.actorId,
@@ -210,6 +219,7 @@ export class AdminOrgsService {
                 return { ok: false, reason: 'last_owner' };
             return { ok: false, reason: 'member_not_found' };
         }
+        await revokeOrgAccess(this.oidc, orgId, accountId);
         await this.cfg.audit?.record({
             type: 'organization.member_removed',
             actorId: actor.actorId,

package/build/src/host/admin_api/api_clients_controller.d.ts

@@ -14,6 +14,7 @@ export default class ApiClientsController {
             redirectUris: string[];
             postLogoutRedirectUris: string[];
             tokenEndpointAuthMethod: string;
+            applicationType: import("../client_metadata.js").ApplicationType;
             backchannelLogoutUri: string | null;
             backchannelLogoutSessionRequired: boolean;
         }[];
@@ -26,10 +27,11 @@ export default class ApiClientsController {
         redirectUris: string[];
         postLogoutRedirectUris: string[];
         tokenEndpointAuthMethod: string;
+        applicationType: import("../client_metadata.js").ApplicationType;
         backchannelLogoutUri: string | null;
         backchannelLogoutSessionRequired: boolean;
     }>;
-    store(ctx: HttpContext): Promise<{
+    store(ctx: HttpContext): Promise<void | {
         clientId: string;
         clientSecret: string | null;
     }>;
@@ -40,6 +42,7 @@ export default class ApiClientsController {
         redirectUris: string[];
         postLogoutRedirectUris: string[];
         tokenEndpointAuthMethod: string;
+        applicationType: import("../client_metadata.js").ApplicationType;
         backchannelLogoutUri: string | null;
         backchannelLogoutSessionRequired: boolean;
     }>;

package/build/src/host/admin_api/api_clients_controller.js

@@ -1,12 +1,20 @@
 import '../augmentations.js';
 import { AdminClientsService } from '../admin_clients_service.js';
 import { clientCreateInput, clientInputValidator, clientPartialInput, } from '../admin_validators.js';
+import { ClientMetadataError } from '../client_metadata.js';
 import { apiError, clientDto, createdClientDto } from './dto.js';
 /** Resolve o serviço (== OidcService) + o AdminClientsService. */
 async function clientsService(ctx) {
     const service = await ctx.containerResolver.make('authkit.server');
     return { service, svc: new AdminClientsService(service) };
 }
+/**
+ * Metadata incoerente com o tipo de client (ex.: nativo com secret, redirect
+ * `myapp://` num client web) — 422, igual a um input que falha no Vine.
+ */
+function invalidMetadata(ctx, err) {
+    return ctx.response.unprocessableEntity(apiError('invalid_client_metadata', err.message));
+}
 /**
  * Recurso de clients OIDC da Admin REST API (R6). Reaproveita o
  * {@link AdminClientsService} (mesmo que o console B6). O secret é retornado UMA vez
@@ -31,7 +39,15 @@ export default class ApiClientsController {
     async store(ctx) {
         const { service, svc } = await clientsService(ctx);
         const input = clientCreateInput(await ctx.request.validateUsing(clientInputValidator));
-        const created = await svc.create(input);
+        let created;
+        try {
+            created = await svc.create(input);
+        }
+        catch (err) {
+            if (err instanceof ClientMetadataError)
+                return invalidMetadata(ctx, err);
+            throw err;
+        }
         await service.config.audit?.record({
             type: 'client.created',
             clientId: created.clientId,
@@ -47,7 +63,14 @@ export default class ApiClientsController {
         const existing = await svc.find(id);
         if (!existing)
             return ctx.response.notFound(apiError('not_found', 'Client não encontrado.'));
-        await svc.update(id, clientPartialInput(await ctx.request.validateUsing(clientInputValidator)));
+        try {
+            await svc.update(id, clientPartialInput(await ctx.request.validateUsing(clientInputValidator)));
+        }
+        catch (err) {
+            if (err instanceof ClientMetadataError)
+                return invalidMetadata(ctx, err);
+            throw err;
+        }
         await service.config.audit?.record({
             type: 'client.updated',
             clientId: id,

package/build/src/host/admin_api/api_orgs_controller.js

@@ -22,8 +22,8 @@ function notSupported(ctx) {
 export default class ApiOrgsController {
     /** GET /organizations — lista todas as orgs com contagem de membros. */
     async index(ctx) {
-        const { cfg } = await ctxBits(ctx);
-        const svc = new AdminOrgsService(cfg);
+        const { cfg, service } = await ctxBits(ctx);
+        const svc = new AdminOrgsService(cfg, service);
         const result = await svc.listOrgs();
         if (!Array.isArray(result)) {
             if (result.reason === 'not_supported')
@@ -36,8 +36,8 @@ export default class ApiOrgsController {
     }
     /** POST /organizations — cria uma org. Body: { name, slug, ownerAccountId, logoUrl? } */
     async store(ctx) {
-        const { cfg, actor } = await ctxBits(ctx);
-        const svc = new AdminOrgsService(cfg);
+        const { cfg, actor, service } = await ctxBits(ctx);
+        const svc = new AdminOrgsService(cfg, service);
         const { name, slug, ownerAccountId, logoUrl } = await ctx.request.validateUsing(orgCreateValidator);
         const result = await svc.createOrg({ name, slug, logoUrl: logoUrl ?? null, ownerAccountId }, actor);
         if ('ok' in result && result.ok === false) {
@@ -50,8 +50,8 @@ export default class ApiOrgsController {
     }
     /** GET /organizations/:id — obtém uma org com membros e convites. */
     async show(ctx) {
-        const { cfg } = await ctxBits(ctx);
-        const svc = new AdminOrgsService(cfg);
+        const { cfg, service } = await ctxBits(ctx);
+        const svc = new AdminOrgsService(cfg, service);
         const id = ctx.request.param('id');
         const result = await svc.getOrg(id);
         if ('ok' in result && result.ok === false) {
@@ -63,8 +63,8 @@ export default class ApiOrgsController {
     }
     /** PATCH /organizations/:id — atualiza nome e/ou logo. */
     async update(ctx) {
-        const { cfg, actor } = await ctxBits(ctx);
-        const svc = new AdminOrgsService(cfg);
+        const { cfg, actor, service } = await ctxBits(ctx);
+        const svc = new AdminOrgsService(cfg, service);
         const id = ctx.request.param('id');
         const { name, logoUrl } = await ctx.request.validateUsing(orgUpdateValidator);
         const patch = {};
@@ -84,8 +84,8 @@ export default class ApiOrgsController {
     }
     /** DELETE /organizations/:id */
     async destroy(ctx) {
-        const { cfg, actor } = await ctxBits(ctx);
-        const svc = new AdminOrgsService(cfg);
+        const { cfg, actor, service } = await ctxBits(ctx);
+        const svc = new AdminOrgsService(cfg, service);
         const id = ctx.request.param('id');
         const result = await svc.deleteOrg(id, actor);
         if (!result.ok) {
@@ -97,8 +97,8 @@ export default class ApiOrgsController {
     }
     /** POST /organizations/:id/members — adiciona membro. Body: { accountId, role } */
     async addMember(ctx) {
-        const { cfg, actor } = await ctxBits(ctx);
-        const svc = new AdminOrgsService(cfg);
+        const { cfg, actor, service } = await ctxBits(ctx);
+        const svc = new AdminOrgsService(cfg, service);
         const orgId = ctx.request.param('id');
         const { accountId, role } = await ctx.request.validateUsing(orgAddMemberValidator);
         const result = await svc.addMember(orgId, { accountId, role: role ?? 'member' }, actor, await resolveRuntimeSettings(ctx));
@@ -116,8 +116,8 @@ export default class ApiOrgsController {
     }
     /** DELETE /organizations/:id/members/:accountId */
     async removeMember(ctx) {
-        const { cfg, actor } = await ctxBits(ctx);
-        const svc = new AdminOrgsService(cfg);
+        const { cfg, actor, service } = await ctxBits(ctx);
+        const svc = new AdminOrgsService(cfg, service);
         const orgId = ctx.request.param('id');
         const accountId = ctx.request.param('accountId');
         const result = await svc.removeMember(orgId, accountId, actor);
@@ -134,8 +134,8 @@ export default class ApiOrgsController {
     }
     /** PATCH /organizations/:id/members/:accountId — troca o papel. Body: { role } */
     async updateMemberRole(ctx) {
-        const { cfg, actor } = await ctxBits(ctx);
-        const svc = new AdminOrgsService(cfg);
+        const { cfg, actor, service } = await ctxBits(ctx);
+        const svc = new AdminOrgsService(cfg, service);
         const orgId = ctx.request.param('id');
         const accountId = ctx.request.param('accountId');
         const { role } = await ctx.request.validateUsing(orgMemberRoleValidator);
@@ -155,8 +155,8 @@ export default class ApiOrgsController {
     }
     /** POST /organizations/:id/invitations — cria convite. Body: { email, role } */
     async createInvitation(ctx) {
-        const { cfg, actor } = await ctxBits(ctx);
-        const svc = new AdminOrgsService(cfg);
+        const { cfg, actor, service } = await ctxBits(ctx);
+        const svc = new AdminOrgsService(cfg, service);
         const orgId = ctx.request.param('id');
         const { email, role } = await ctx.request.validateUsing(orgInvitationValidator);
         const origin = authkitOrigin(cfg);
@@ -173,8 +173,8 @@ export default class ApiOrgsController {
     }
     /** DELETE /organizations/:id/invitations/:invitationId */
     async revokeInvitation(ctx) {
-        const { cfg, actor } = await ctxBits(ctx);
-        const svc = new AdminOrgsService(cfg);
+        const { cfg, actor, service } = await ctxBits(ctx);
+        const svc = new AdminOrgsService(cfg, service);
         const orgId = ctx.request.param('id');
         const invitationId = ctx.request.param('invitationId');
         const result = await svc.revokeInvitation(orgId, invitationId, actor);

package/build/src/host/admin_api/dto.d.ts

@@ -19,6 +19,7 @@ export declare function clientDto(client: AdminClient): {
     redirectUris: string[];
     postLogoutRedirectUris: string[];
     tokenEndpointAuthMethod: string;
+    applicationType: import("../client_metadata.ts").ApplicationType;
     backchannelLogoutUri: string | null;
     backchannelLogoutSessionRequired: boolean;
 };

package/build/src/host/admin_api/dto.js

@@ -17,6 +17,7 @@ export function clientDto(client) {
         redirectUris: client.redirectUris,
         postLogoutRedirectUris: client.postLogoutRedirectUris,
         tokenEndpointAuthMethod: client.tokenEndpointAuthMethod,
+        applicationType: client.applicationType,
         backchannelLogoutUri: client.backchannelLogoutUri ?? null,
         backchannelLogoutSessionRequired: client.backchannelLogoutSessionRequired ?? false,
     };

package/build/src/host/admin_clients_service.d.ts

@@ -1,4 +1,5 @@
 import type { OidcService } from '../provider/oidc_service.js';
+import { type ApplicationType } from './client_metadata.js';
 /** Métodos de autenticação no token endpoint suportados pelo formulário admin. */
 export type TokenEndpointAuthMethod = 'client_secret_basic' | 'client_secret_post' | 'none';
 /** Entrada normalizada de um client gerenciável (vinda do formulário admin). */
@@ -8,6 +9,12 @@ export interface ClientInput {
     postLogoutRedirectUris: string[];
     grantTypes: string[];
     tokenEndpointAuthMethod: TokenEndpointAuthMethod;
+    /**
+     * `application_type` do client. Default `'web'`. `'native'` (RFC 8252) aceita
+     * redirect de esquema privado / https claimed / loopback e exige client público
+     * (`tokenEndpointAuthMethod: 'none'`). Ver `client_metadata.ts`.
+     */
+    applicationType?: ApplicationType;
     /**
      * Endpoint de OIDC Back-Channel Logout do RP. Quando definido, o IdP envia um
      * `logout_token` para esta URI ao encerrar a sessão/grant do usuário (RFC 7644).
@@ -27,6 +34,8 @@ export interface AdminClient {
     redirectUris: string[];
     postLogoutRedirectUris: string[];
     tokenEndpointAuthMethod: string;
+    /** `application_type` (payload sem a chave = `'web'`, o default do oidc-provider). */
+    applicationType: ApplicationType;
     /** Endpoint de OIDC Back-Channel Logout (opcional). */
     backchannelLogoutUri?: string;
     /** Exige sid no logout_token (opcional). */

package/build/src/host/admin_clients_service.js

@@ -1,4 +1,5 @@
 import { randomBytes } from 'node:crypto';
+import { assertClientMetadata } from './client_metadata.js';
 /** Métodos públicos (sem segredo) — espelham os "non-secret" do oidc-provider. */
 const PUBLIC_AUTH_METHODS = new Set(['none']);
 /** Gera um identificador opaco no estilo do oidc-provider (~43 chars base64url). */
@@ -96,6 +97,7 @@ export class AdminClientsService {
             tokenEndpointAuthMethod: input.tokenEndpointAuthMethod ??
                 existing.token_endpoint_auth_method ??
                 'client_secret_basic',
+            applicationType: input.applicationType ?? existing.application_type ?? 'web',
             backchannelLogoutUri: input.backchannelLogoutUri ?? existing.backchannel_logout_uri,
             backchannelLogoutSessionRequired: input.backchannelLogoutSessionRequired ??
                 existing.backchannel_logout_session_required,
@@ -131,6 +133,19 @@ export class AdminClientsService {
         await this.#adapter.destroy(clientId);
         await this.oidc.evictDynamicClientCache();
     }
+    /**
+     * Valida o input contra as regras do tipo de aplicação ANTES de gravar (ver
+     * `client_metadata.ts`). Lança `ClientMetadataError`.
+     */
+    #assertValid(input) {
+        assertClientMetadata({
+            applicationType: input.applicationType ?? 'web',
+            tokenEndpointAuthMethod: input.tokenEndpointAuthMethod,
+            grantTypes: input.grantTypes,
+            redirectUris: input.redirectUris,
+            postLogoutRedirectUris: input.postLogoutRedirectUris,
+        });
+    }
     /**
      * Monta o payload na forma snake_case que o oidc-provider espera/persiste —
      * verificada contra o que o registro dinâmico (RFC 7591) grava. As chaves de
@@ -138,6 +153,7 @@ export class AdminClientsService {
      * preenchidas pelo Schema do provider ao construir o Client em `find`.
      */
     #buildPayload(clientId, input, clientSecret) {
+        this.#assertValid(input);
         const grantTypes = input.grantTypes.length
             ? input.grantTypes
             : ['authorization_code', 'refresh_token'];
@@ -153,6 +169,10 @@ export class AdminClientsService {
         };
         if (clientSecret)
             payload.client_secret = clientSecret;
+        // Só grava a chave quando nativo: um client web continua com o payload de
+        // sempre (sem `application_type` o oidc-provider assume `web`).
+        if (input.applicationType === 'native')
+            payload.application_type = 'native';
         if (input.backchannelLogoutUri) {
             payload.backchannel_logout_uri = input.backchannelLogoutUri;
             if (input.backchannelLogoutSessionRequired !== undefined) {
@@ -172,6 +192,7 @@ export class AdminClientsService {
             redirectUris: p.redirect_uris ?? [],
             postLogoutRedirectUris: p.post_logout_redirect_uris ?? [],
             tokenEndpointAuthMethod: authMethod,
+            applicationType: p.application_type === 'native' ? 'native' : 'web',
         };
         if (p.backchannel_logout_uri) {
             result.backchannelLogoutUri = p.backchannel_logout_uri;

package/build/src/host/admin_console/console_clients_controller.d.ts

@@ -19,13 +19,14 @@ export default class ConsoleClientsController {
             redirectUris: string[];
             postLogoutRedirectUris: string[];
             tokenEndpointAuthMethod: string;
+            applicationType: import("../client_metadata.js").ApplicationType;
             backchannelLogoutUri: string | null;
             backchannelLogoutSessionRequired: boolean;
         }[];
         canList: boolean;
     }>;
     /** POST {prefix}/api/clients */
-    store(ctx: HttpContext): Promise<{
+    store(ctx: HttpContext): Promise<void | {
         clientId: string;
         clientSecret: string | null;
     }>;
@@ -37,6 +38,7 @@ export default class ConsoleClientsController {
         redirectUris: string[];
         postLogoutRedirectUris: string[];
         tokenEndpointAuthMethod: string;
+        applicationType: import("../client_metadata.js").ApplicationType;
         backchannelLogoutUri: string | null;
         backchannelLogoutSessionRequired: boolean;
     }>;

package/build/src/host/admin_console/console_clients_controller.js

@@ -2,6 +2,14 @@ import '../augmentations.js';
 import { apiError, clientDto, createdClientDto } from '../admin_api/dto.js';
 import { AdminClientsService } from '../admin_clients_service.js';
 import { clientCreateInput, clientInputValidator, clientPartialInput, } from '../admin_validators.js';
+import { ClientMetadataError } from '../client_metadata.js';
+/**
+ * Metadata incoerente com o tipo de client (ex.: nativo com secret, redirect
+ * `myapp://` num client web) — 422, igual a um input que falha no Vine.
+ */
+function invalidMetadata(ctx, err) {
+    return ctx.response.unprocessableEntity(apiError('invalid_client_metadata', err.message));
+}
 /**
  * Endpoints JSON de clients OIDC do console admin React.
  *
@@ -28,7 +36,15 @@ export default class ConsoleClientsController {
         const cfg = service.config;
         const svc = new AdminClientsService(service);
         const input = clientCreateInput(await ctx.request.validateUsing(clientInputValidator));
-        const created = await svc.create(input);
+        let created;
+        try {
+            created = await svc.create(input);
+        }
+        catch (err) {
+            if (err instanceof ClientMetadataError)
+                return invalidMetadata(ctx, err);
+            throw err;
+        }
         await cfg.audit?.record({
             type: 'client.created',
             clientId: created.clientId,
@@ -47,7 +63,14 @@ export default class ConsoleClientsController {
         const existing = await svc.find(id);
         if (!existing)
             return ctx.response.notFound(apiError('not_found', 'Client não encontrado.'));
-        await svc.update(id, clientPartialInput(await ctx.request.validateUsing(clientInputValidator)));
+        try {
+            await svc.update(id, clientPartialInput(await ctx.request.validateUsing(clientInputValidator)));
+        }
+        catch (err) {
+            if (err instanceof ClientMetadataError)
+                return invalidMetadata(ctx, err);
+            throw err;
+        }
         await cfg.audit?.record({
             type: 'client.updated',
             clientId: id,

package/build/src/host/admin_console/console_orgs_controller.js

@@ -23,7 +23,7 @@ import { resolveRuntimeSettings } from '../runtime_settings.js';
 export default class ConsoleOrgsController {
     async svc(ctx) {
         const service = await ctx.containerResolver.make('authkit.server');
-        return new AdminOrgsService(service.config);
+        return new AdminOrgsService(service.config, service);
     }
     actor(ctx) {
         return {

package/build/src/host/admin_sessions_service.d.ts

@@ -118,4 +118,25 @@ export declare class AdminSessionsService {
      * contagens do que foi removido.
      */
     revokeClientGrants(accountId: string, clientId: string): Promise<RevokeResult>;
+    /**
+     * Revoga os grants que carregam a org `orgId` como org ativa (`Grant.activeOrg`,
+     * gravado no consent) — de UMA conta (`accountId`) ou de TODAS (omitido, usado
+     * quando a org é apagada). Destrói os AT/RT desses grants e os próprios grants,
+     * como {@link revokeClientGrants}; depois grava a revogação por `sub` de cada conta
+     * afetada, para que clients COOKIE-BASED derrubem a sessão já na próxima request.
+     *
+     * Por que existe: o `org_*` do token sai do grant. Quem é removido da org (ou
+     * perde a org inteira) seguiria com o access token e o refresh token daquele grant
+     * até o fim do TTL. A emissão já confere a membership no store a cada mint (ver
+     * `verifyActiveOrgMembership`); esta revogação faz a mudança valer AGORA — o
+     * access token opaco para de introspectar, o refresh falha e o client volta ao
+     * authorize, onde o novo grant sai sem a org.
+     *
+     * Grants de OUTRAS orgs (e sem org) ficam intactos. Sessões do IdP não carregam
+     * org (a org vive no grant e no cookie), então não são tocadas.
+     *
+     * Sem enumeração no adapter não há como achar os grants: devolve zeros e fica
+     * valendo só a conferência da emissão (no próximo refresh).
+     */
+    revokeOrgGrants(orgId: string, accountId?: string): Promise<RevokeResult>;
 }

package/build/src/host/admin_sessions_service.js

@@ -1,5 +1,6 @@
 import { getBootedApp } from '../../services/booted_app.js';
 import { pickModelAdapterClass } from '../adapters/factory.js';
+import { normalizeActiveOrg } from './active_org_cookie.js';
 /**
  * Serviço de inspeção/revogação das SESSÕES e GRANTS ativos de uma conta.
  * Lê/escreve via `pickModelAdapterClass` (a MESMA regra do provider): com
@@ -302,6 +303,54 @@ export class AdminSessionsService {
         }
         return { sessions: 0, grants: grants.length, accessTokens, refreshTokens };
     }
+    /**
+     * Revoga os grants que carregam a org `orgId` como org ativa (`Grant.activeOrg`,
+     * gravado no consent) — de UMA conta (`accountId`) ou de TODAS (omitido, usado
+     * quando a org é apagada). Destrói os AT/RT desses grants e os próprios grants,
+     * como {@link revokeClientGrants}; depois grava a revogação por `sub` de cada conta
+     * afetada, para que clients COOKIE-BASED derrubem a sessão já na próxima request.
+     *
+     * Por que existe: o `org_*` do token sai do grant. Quem é removido da org (ou
+     * perde a org inteira) seguiria com o access token e o refresh token daquele grant
+     * até o fim do TTL. A emissão já confere a membership no store a cada mint (ver
+     * `verifyActiveOrgMembership`); esta revogação faz a mudança valer AGORA — o
+     * access token opaco para de introspectar, o refresh falha e o client volta ao
+     * authorize, onde o novo grant sai sem a org.
+     *
+     * Grants de OUTRAS orgs (e sem org) ficam intactos. Sessões do IdP não carregam
+     * org (a org vive no grant e no cookie), então não são tocadas.
+     *
+     * Sem enumeração no adapter não há como achar os grants: devolve zeros e fica
+     * valendo só a conferência da emissão (no próximo refresh).
+     */
+    async revokeOrgGrants(orgId, accountId) {
+        const grantAdapter = this.#adapter('Grant');
+        const rows = await this.#listModel('Grant');
+        const grants = rows.filter((r) => {
+            if (normalizeActiveOrg(r.payload.activeOrg)?.orgId !== orgId)
+                return false;
+            return accountId === undefined || r.payload.accountId === accountId;
+        });
+        if (grants.length === 0) {
+            return { sessions: 0, grants: 0, accessTokens: 0, refreshTokens: 0 };
+        }
+        const grantIds = new Set(grants.map((g) => g.id));
+        const accessTokens = await this.#destroyTokensOfGrants('AccessToken', grantIds);
+        const refreshTokens = await this.#destroyTokensOfGrants('RefreshToken', grantIds);
+        for (const g of grants) {
+            await grantAdapter.revokeByGrantId(g.id);
+            await grantAdapter.destroy(g.id);
+        }
+        // Clients cookie-based não têm refresh para falhar: sem a linha por `sub`, o
+        // id_token com a org velha seguiria valendo na sessão do client até expirar.
+        const accounts = new Set(grants
+            .map((g) => g.payload.accountId)
+            .filter((id) => typeof id === 'string' && id.length > 0));
+        for (const id of accounts) {
+            await this.recordSubRevocation(id);
+        }
+        return { sessions: 0, grants: grants.length, accessTokens, refreshTokens };
+    }
     /** Destrói (quando enumerável) os artefatos de um model token cujos grantId estão em `grantIds`. */
     async #destroyTokensOfGrants(model, grantIds) {
         const adapter = this.#adapter(model);

package/build/src/host/admin_validators.d.ts

@@ -1,4 +1,5 @@
 import type { ClientInput, TokenEndpointAuthMethod } from './admin_clients_service.js';
+import { type ApplicationType } from './client_metadata.js';
 /**
  * Input de client OIDC — serve create E update (PATCH). Tudo opcional: no create
  * o controller aplica defaults (ver {@link clientCreateInput}); no update os campos
@@ -8,6 +9,7 @@ import type { ClientInput, TokenEndpointAuthMethod } from './admin_clients_servi
  */
 export declare const clientInputValidator: import("@vinejs/vine").VineValidator<import("@vinejs/vine").VineObject<{
     clientId: import("@vinejs/vine/schema/base/literal").OptionalModifier<import("@vinejs/vine").VineString>;
+    applicationType: import("@vinejs/vine/schema/base/literal").OptionalModifier<import("@vinejs/vine").VineEnum<readonly ["web", "native"]>>;
     redirectUris: import("@vinejs/vine").OptionalModifier<import("@vinejs/vine").VineArray<import("@vinejs/vine").VineString>>;
     postLogoutRedirectUris: import("@vinejs/vine").OptionalModifier<import("@vinejs/vine").VineArray<import("@vinejs/vine").VineString>>;
     grantTypes: import("@vinejs/vine").OptionalModifier<import("@vinejs/vine").VineArray<import("@vinejs/vine").VineEnum<readonly ["authorization_code", "refresh_token", "client_credentials", "urn:ietf:params:oauth:grant-type:token-exchange"]>>>;
@@ -16,6 +18,7 @@ export declare const clientInputValidator: import("@vinejs/vine").VineValidator<
     backchannelLogoutUri: import("@vinejs/vine/schema/base/literal").OptionalModifier<import("@vinejs/vine").VineString>;
     backchannelLogoutSessionRequired: import("@vinejs/vine/schema/base/literal").OptionalModifier<import("@vinejs/vine").VineBoolean>;
 }, {
+    applicationType?: "native" | "web" | null | undefined;
     backchannelLogoutSessionRequired?: string | number | boolean | null | undefined;
     backchannelLogoutUri?: string | null | undefined;
     clientId?: string | null | undefined;
@@ -25,6 +28,7 @@ export declare const clientInputValidator: import("@vinejs/vine").VineValidator<
     redirectUris?: string[] | null | undefined;
     tokenEndpointAuthMethod?: "client_secret_basic" | "client_secret_post" | "none" | null | undefined;
 }, {
+    applicationType?: "native" | "web" | undefined;
     backchannelLogoutSessionRequired?: boolean | undefined;
     backchannelLogoutUri?: string | undefined;
     clientId?: string | undefined;
@@ -34,6 +38,7 @@ export declare const clientInputValidator: import("@vinejs/vine").VineValidator<
     redirectUris?: string[] | undefined;
     tokenEndpointAuthMethod?: "client_secret_basic" | "client_secret_post" | "none" | undefined;
 }, {
+    applicationType?: "native" | "web" | undefined;
     backchannelLogoutSessionRequired?: boolean | undefined;
     backchannelLogoutUri?: string | undefined;
     clientId?: string | undefined;
@@ -46,6 +51,7 @@ export declare const clientInputValidator: import("@vinejs/vine").VineValidator<
 /** Forma validada de um client (saída do {@link clientInputValidator}). */
 export type ClientInputFields = {
     clientId?: string;
+    applicationType?: ApplicationType;
     redirectUris?: string[];
     postLogoutRedirectUris?: string[];
     grantTypes?: string[];
@@ -54,7 +60,11 @@ export type ClientInputFields = {
     backchannelLogoutUri?: string;
     backchannelLogoutSessionRequired?: boolean;
 };
-/** Mapeia o input validado para um {@link ClientInput} COMPLETO (create), com defaults. */
+/**
+ * Mapeia o input validado para um {@link ClientInput} COMPLETO (create), com defaults.
+ * Client nativo sem `tokenEndpointAuthMethod` explícito vira público (`none`); um
+ * nativo confidencial explícito é recusado pelo service (422).
+ */
 export declare function clientCreateInput(v: ClientInputFields): ClientInput;
 /**
  * Mapeia o input validado para um {@link ClientInput} PARCIAL (PATCH): só inclui