@adonis-agora/authkit-server 0.72.0 → 0.74.0

package/build/src/provider/build_provider.js

@@ -1,6 +1,7 @@
 import * as oidc from 'oidc-provider';
 import { pickModelAdapterClass } from '../adapters/factory.js';
 import { normalizeActiveOrg, readActiveOrgFromKoaCtx } from '../host/active_org_cookie.js';
+import { assertClientMetadata } from '../host/client_metadata.js';
 import { createDeviceSources } from './device_sources.js';
 import { createLogoutSources } from './logout_sources.js';
 import { registrationPolicyMiddleware } from './registration_policy.js';
@@ -123,23 +124,39 @@ export function buildProvider(config, options, sessionTtlHolder, tokenTtlHolder)
         // `pickModelAdapterClass`, usada também pelos serviços que instanciam
         // adapter na mão. Sem `session.adapter`, as duas classes são a mesma.
         adapter: ((name) => new (pickModelAdapterClass(name, config.AdapterClass, config.SessionAdapterClass))(name)),
-        clients: config.clients.map((c) => ({
-            client_id: c.clientId,
-            client_secret: c.clientSecret,
-            redirect_uris: c.redirectUris,
-            post_logout_redirect_uris: c.postLogoutRedirectUris ?? [],
-            grant_types: c.grants ?? ['authorization_code', 'refresh_token'],
-            response_types: (c.grants ?? ['authorization_code']).includes('authorization_code')
-                ? ['code']
-                : [],
-            token_endpoint_auth_method: c.tokenEndpointAuthMethod ?? (c.clientSecret ? 'client_secret_basic' : 'none'),
-            // OIDC Back-Channel Logout: só envia as chaves quando o client as declara,
-            // p/ não forçar metadata vazio em clients que não usam o recurso.
-            ...(c.backchannelLogoutUri ? { backchannel_logout_uri: c.backchannelLogoutUri } : {}),
-            ...(c.backchannelLogoutSessionRequired !== undefined
-                ? { backchannel_logout_session_required: c.backchannelLogoutSessionRequired }
-                : {}),
-        })),
+        clients: config.clients.map((c) => {
+            const grants = c.grants ?? ['authorization_code', 'refresh_token'];
+            const tokenEndpointAuthMethod = c.tokenEndpointAuthMethod ?? (c.clientSecret ? 'client_secret_basic' : 'none');
+            // Clients do `defineConfig` passam pela MESMA validação do admin/CLI/import:
+            // um nativo com secret (ou redirect inválido pro tipo) falha no boot, não em runtime.
+            assertClientMetadata({
+                applicationType: c.applicationType ?? 'web',
+                tokenEndpointAuthMethod,
+                grantTypes: grants,
+                redirectUris: c.redirectUris,
+                postLogoutRedirectUris: c.postLogoutRedirectUris ?? [],
+            });
+            return {
+                client_id: c.clientId,
+                client_secret: c.clientSecret,
+                redirect_uris: c.redirectUris,
+                post_logout_redirect_uris: c.postLogoutRedirectUris ?? [],
+                grant_types: grants,
+                response_types: (c.grants ?? ['authorization_code']).includes('authorization_code')
+                    ? ['code']
+                    : [],
+                token_endpoint_auth_method: tokenEndpointAuthMethod,
+                // App nativo (RFC 8252): libera redirect de esquema privado/loopback. Sem a
+                // chave, o oidc-provider assume `web` — o comportamento de sempre.
+                ...(c.applicationType === 'native' ? { application_type: 'native' } : {}),
+                // OIDC Back-Channel Logout: só envia as chaves quando o client as declara,
+                // p/ não forçar metadata vazio em clients que não usam o recurso.
+                ...(c.backchannelLogoutUri ? { backchannel_logout_uri: c.backchannelLogoutUri } : {}),
+                ...(c.backchannelLogoutSessionRequired !== undefined
+                    ? { backchannel_logout_session_required: c.backchannelLogoutSessionRequired }
+                    : {}),
+            };
+        }),
         findAccount: options.findAccount,
         // Grant REAPROVEITADO (consent já lembrado): o org capturado no primeiro
         // consent ficaria VELHO se o usuário trocasse de org no console e voltasse a
@@ -220,6 +237,14 @@ export function buildProvider(config, options, sessionTtlHolder, tokenTtlHolder)
         // sobreviva ao authorize e fique disponivel em interactionDetails().params.audience.
         extraParams: ['audience'],
         pkce: { methods: ['S256'], required: () => true },
+        // Rotação SEMPRE: todo uso do refresh token emite um novo e invalida o
+        // anterior (reuso de um RT já rotacionado revoga o grant inteiro — detecção de
+        // replay do oidc-provider). Vale igual para clients públicos (SPA, app nativo
+        // RFC 8252), para os quais a rotação é a defesa exigida pelo OAuth 2.0 Security
+        // BCP, já que o RT não é amarrado a um secret. O `issueRefreshToken` fica no
+        // default do provider: emite RT quando o client tem o grant `refresh_token` e o
+        // escopo `offline_access` foi concedido (o que exige `prompt=consent` no
+        // authorize — OIDC Core §11), sem distinção entre client público e confidencial.
         rotateRefreshToken: true,
         features: {
             devInteractions: { enabled: false },

package/build/src/provider/oidc_service.d.ts

@@ -9,6 +9,14 @@ export declare class OidcService {
     get provider(): ReturnType<typeof buildProvider>;
     get callback(): (req: any, res: any) => void;
     get interactions(): InteractionActions;
+    /**
+     * JWKS PÚBLICO do keystore em uso pelo provider ATUAL (o mesmo que o `jwks_uri`
+     * serve). Troca junto com o provider num `reloadKeys`/rotação — quem verifica JWT
+     * in-process (ex.: `oidcBearerGuard`) lê daqui a cada verificação.
+     */
+    get publicJwks(): {
+        keys: Record<string, any>[];
+    };
     /** Pathname do issuer sem barra final (ex.: `/oidc`). Vazio quando montado na raiz. */
     readonly mountPath: string;
     readonly recorder: MetricsRecorder;

package/build/src/provider/oidc_service.js

@@ -2,9 +2,9 @@ import { timingSafeEqual } from 'node:crypto';
 import { NoopRecorder } from '@adonis-agora/authkit-core';
 import Koa from 'koa';
 import mount from 'koa-mount';
-import { normalizeActiveOrg, readActiveOrgFromKoaCtx } from '../host/active_org_cookie.js';
+import { normalizeActiveOrg, readActiveOrgFromKoaCtx, verifyActiveOrgMembership, } from '../host/active_org_cookie.js';
 import { isFirstPartyClient } from '../host/branding.js';
-import { listKeyInfos, signingKeyAgeDays } from '../keys/keystore.js';
+import { listKeyInfos, signingKeyAgeDays, toPublicJwks, } from '../keys/keystore.js';
 import { wireProviderEvents } from '../observability/wire_provider_events.js';
 import { buildProvider } from './build_provider.js';
 import { createInteractionActions } from './interaction_actions.js';
@@ -13,6 +13,7 @@ export class OidcService {
     #provider;
     #callback;
     #interactions;
+    #publicJwks;
     #appKey;
     get provider() {
         return this.#provider;
@@ -23,6 +24,14 @@ export class OidcService {
     get interactions() {
         return this.#interactions;
     }
+    /**
+     * JWKS PÚBLICO do keystore em uso pelo provider ATUAL (o mesmo que o `jwks_uri`
+     * serve). Troca junto com o provider num `reloadKeys`/rotação — quem verifica JWT
+     * in-process (ex.: `oidcBearerGuard`) lê daqui a cada verificação.
+     */
+    get publicJwks() {
+        return this.#publicJwks;
+    }
     /** Pathname do issuer sem barra final (ex.: `/oidc`). Vazio quando montado na raiz. */
     mountPath;
     recorder;
@@ -87,8 +96,15 @@ export class OidcService {
                 // — server-a-servidor, SEM cookies — então o cookie abaixo não existe
                 // ali. O cookie continua como FALLBACK para fluxos em que o id_token
                 // sai no próprio authorize (implicit/hybrid), onde a request é do browser.
-                const activeOrg = normalizeActiveOrg(ctx?.oidc?.entities?.Grant?.activeOrg) ??
+                const claimedOrg = normalizeActiveOrg(ctx?.oidc?.entities?.Grant?.activeOrg) ??
                     readActiveOrgFromKoaCtx(ctx);
+                // O `claimedOrg` é um RETRATO do consent (ou do cookie): o refresh o
+                // reemite por até 30 dias. Antes de virar claim, ele é conferido no store
+                // — membership e org ATUAIS, papel ATUAL (ver `verifyActiveOrgMembership`).
+                // Memoizado por chamada de `findAccount`: `claims()` pode rodar mais de uma
+                // vez no mesmo mint (id_token + userinfo) e a pergunta é a mesma.
+                let verifiedOrg;
+                const currentOrg = () => (verifiedOrg ??= verifyActiveOrgMembership(config.accountStore, user.id, claimedOrg));
                 // GATE de least-privilege: roles globais e claims de org só são emitidas
                 // para clients FIRST-PARTY. Capturamos o clientId aqui (fora do closure
                 // `claims()`, pois o `ctx` da request vive neste escopo).
@@ -119,10 +135,12 @@ export class OidcService {
                         };
                         // roles/org_* são dados de autorização interna: só para first-party.
                         if (firstParty) {
+                            const activeOrg = await currentOrg();
                             base[config.globalRolesClaim] = config.resolveTokenRoles
                                 ? await config.resolveTokenRoles(user, { clientId, activeOrg })
                                 : (user.globalRoles ?? []);
-                            // Emite claims de org somente quando há uma org ativa na sessão.
+                            // Emite claims de org somente quando há uma org ativa na sessão E a
+                            // conta ainda é membro dela (conferido no store, papel atual).
                             if (activeOrg) {
                                 base.org_id = activeOrg.orgId;
                                 base.org_slug = activeOrg.orgSlug;
@@ -196,6 +214,7 @@ export class OidcService {
         this.#provider = provider;
         this.#callback = callback;
         this.#interactions = interactions;
+        this.#publicJwks = toPublicJwks(jwks);
     }
     /**
      * Recarrega as chaves de assinatura AO VIVO: relê o keystore do cofre e reconstrói

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@adonis-agora/authkit-server",
-  "version": "0.72.0",
+  "version": "0.74.0",
   "description": "AdonisJS OIDC/OAuth2 provider (Identity Provider) toolkit: ejectable auth server with sessions, rate-limiting, MFA/TOTP, audit log, federated logout and OpenTelemetry metrics.",
   "license": "MIT",
   "author": "dudousxd",
@@ -102,7 +102,7 @@
     }
   },
   "dependencies": {
-    "@adonis-agora/authkit-core": "0.8.0",
+    "@adonis-agora/authkit-core": "0.9.0",
     "@simplewebauthn/browser": "14.0.0",
     "@simplewebauthn/server": "14.0.2",
     "jose": "6.2.12",
@@ -113,7 +113,7 @@
     "qrcode": "1.5.4"
   },
   "devDependencies": {
-    "@adonis-agora/authkit-react": "0.22.0",
+    "@adonis-agora/authkit-react": "0.23.0",
     "@adonis-agora/durable": "0.40.0",
     "@adonis-agora/telescope": "0.21.1",
     "@adonisjs/ally": "6.3.0",