@adonis-agora/authkit-server 0.73.0 → 0.75.0

package/build/src/provider/build_provider.js

@@ -1,9 +1,11 @@
 import * as oidc from 'oidc-provider';
 import { pickModelAdapterClass } from '../adapters/factory.js';
 import { normalizeActiveOrg, readActiveOrgFromKoaCtx } from '../host/active_org_cookie.js';
+import { assertClientMetadata } from '../host/client_metadata.js';
 import { createDeviceSources } from './device_sources.js';
 import { createLogoutSources } from './logout_sources.js';
 import { registrationPolicyMiddleware } from './registration_policy.js';
+import { impersonationExtraClaims } from './token_exchange.js';
 /** Atualiza o holder mutável do TTL de sessão com os valores da setting. */
 export function updateSessionTtlHolder(holder, policy) {
     holder.rememberSec = Math.max(1, Math.floor(policy.rememberDays * 86400));
@@ -117,29 +119,49 @@ export function buildProvider(config, options, sessionTtlHolder, tokenTtlHolder)
         }
         : {};
     const provider = new oidc.Provider(config.issuer, {
+        // O ator (`act`, RFC 8693) dos access tokens de impersonation — ver
+        // `impersonationExtraClaims` em `token_exchange.ts`. Sem isto o token trocado
+        // não se distingue de um token do próprio alvo no resource server.
+        extraTokenClaims: async (_ctx, token) => impersonationExtraClaims(token),
         // Dispatcher por modelo (suportado pelo oidc-provider: `Adapter` aceita
         // função `(name) => adapter` além de classe). Session-scoped vai pro
         // `SessionAdapterClass`, o resto pro `AdapterClass` — mesma regra de
         // `pickModelAdapterClass`, usada também pelos serviços que instanciam
         // adapter na mão. Sem `session.adapter`, as duas classes são a mesma.
         adapter: ((name) => new (pickModelAdapterClass(name, config.AdapterClass, config.SessionAdapterClass))(name)),
-        clients: config.clients.map((c) => ({
-            client_id: c.clientId,
-            client_secret: c.clientSecret,
-            redirect_uris: c.redirectUris,
-            post_logout_redirect_uris: c.postLogoutRedirectUris ?? [],
-            grant_types: c.grants ?? ['authorization_code', 'refresh_token'],
-            response_types: (c.grants ?? ['authorization_code']).includes('authorization_code')
-                ? ['code']
-                : [],
-            token_endpoint_auth_method: c.tokenEndpointAuthMethod ?? (c.clientSecret ? 'client_secret_basic' : 'none'),
-            // OIDC Back-Channel Logout: só envia as chaves quando o client as declara,
-            // p/ não forçar metadata vazio em clients que não usam o recurso.
-            ...(c.backchannelLogoutUri ? { backchannel_logout_uri: c.backchannelLogoutUri } : {}),
-            ...(c.backchannelLogoutSessionRequired !== undefined
-                ? { backchannel_logout_session_required: c.backchannelLogoutSessionRequired }
-                : {}),
-        })),
+        clients: config.clients.map((c) => {
+            const grants = c.grants ?? ['authorization_code', 'refresh_token'];
+            const tokenEndpointAuthMethod = c.tokenEndpointAuthMethod ?? (c.clientSecret ? 'client_secret_basic' : 'none');
+            // Clients do `defineConfig` passam pela MESMA validação do admin/CLI/import:
+            // um nativo com secret (ou redirect inválido pro tipo) falha no boot, não em runtime.
+            assertClientMetadata({
+                applicationType: c.applicationType ?? 'web',
+                tokenEndpointAuthMethod,
+                grantTypes: grants,
+                redirectUris: c.redirectUris,
+                postLogoutRedirectUris: c.postLogoutRedirectUris ?? [],
+            });
+            return {
+                client_id: c.clientId,
+                client_secret: c.clientSecret,
+                redirect_uris: c.redirectUris,
+                post_logout_redirect_uris: c.postLogoutRedirectUris ?? [],
+                grant_types: grants,
+                response_types: (c.grants ?? ['authorization_code']).includes('authorization_code')
+                    ? ['code']
+                    : [],
+                token_endpoint_auth_method: tokenEndpointAuthMethod,
+                // App nativo (RFC 8252): libera redirect de esquema privado/loopback. Sem a
+                // chave, o oidc-provider assume `web` — o comportamento de sempre.
+                ...(c.applicationType === 'native' ? { application_type: 'native' } : {}),
+                // OIDC Back-Channel Logout: só envia as chaves quando o client as declara,
+                // p/ não forçar metadata vazio em clients que não usam o recurso.
+                ...(c.backchannelLogoutUri ? { backchannel_logout_uri: c.backchannelLogoutUri } : {}),
+                ...(c.backchannelLogoutSessionRequired !== undefined
+                    ? { backchannel_logout_session_required: c.backchannelLogoutSessionRequired }
+                    : {}),
+            };
+        }),
         findAccount: options.findAccount,
         // Grant REAPROVEITADO (consent já lembrado): o org capturado no primeiro
         // consent ficaria VELHO se o usuário trocasse de org no console e voltasse a
@@ -220,6 +242,14 @@ export function buildProvider(config, options, sessionTtlHolder, tokenTtlHolder)
         // sobreviva ao authorize e fique disponivel em interactionDetails().params.audience.
         extraParams: ['audience'],
         pkce: { methods: ['S256'], required: () => true },
+        // Rotação SEMPRE: todo uso do refresh token emite um novo e invalida o
+        // anterior (reuso de um RT já rotacionado revoga o grant inteiro — detecção de
+        // replay do oidc-provider). Vale igual para clients públicos (SPA, app nativo
+        // RFC 8252), para os quais a rotação é a defesa exigida pelo OAuth 2.0 Security
+        // BCP, já que o RT não é amarrado a um secret. O `issueRefreshToken` fica no
+        // default do provider: emite RT quando o client tem o grant `refresh_token` e o
+        // escopo `offline_access` foi concedido (o que exige `prompt=consent` no
+        // authorize — OIDC Core §11), sem distinção entre client público e confidencial.
         rotateRefreshToken: true,
         features: {
             devInteractions: { enabled: false },

package/build/src/provider/oidc_service.d.ts

@@ -9,6 +9,14 @@ export declare class OidcService {
     get provider(): ReturnType<typeof buildProvider>;
     get callback(): (req: any, res: any) => void;
     get interactions(): InteractionActions;
+    /**
+     * JWKS PÚBLICO do keystore em uso pelo provider ATUAL (o mesmo que o `jwks_uri`
+     * serve). Troca junto com o provider num `reloadKeys`/rotação — quem verifica JWT
+     * in-process (ex.: `oidcBearerGuard`) lê daqui a cada verificação.
+     */
+    get publicJwks(): {
+        keys: Record<string, any>[];
+    };
     /** Pathname do issuer sem barra final (ex.: `/oidc`). Vazio quando montado na raiz. */
     readonly mountPath: string;
     readonly recorder: MetricsRecorder;

package/build/src/provider/oidc_service.js

@@ -4,7 +4,7 @@ import Koa from 'koa';
 import mount from 'koa-mount';
 import { normalizeActiveOrg, readActiveOrgFromKoaCtx, verifyActiveOrgMembership, } from '../host/active_org_cookie.js';
 import { isFirstPartyClient } from '../host/branding.js';
-import { listKeyInfos, signingKeyAgeDays } from '../keys/keystore.js';
+import { listKeyInfos, signingKeyAgeDays, toPublicJwks, } from '../keys/keystore.js';
 import { wireProviderEvents } from '../observability/wire_provider_events.js';
 import { buildProvider } from './build_provider.js';
 import { createInteractionActions } from './interaction_actions.js';
@@ -13,6 +13,7 @@ export class OidcService {
     #provider;
     #callback;
     #interactions;
+    #publicJwks;
     #appKey;
     get provider() {
         return this.#provider;
@@ -23,6 +24,14 @@ export class OidcService {
     get interactions() {
         return this.#interactions;
     }
+    /**
+     * JWKS PÚBLICO do keystore em uso pelo provider ATUAL (o mesmo que o `jwks_uri`
+     * serve). Troca junto com o provider num `reloadKeys`/rotação — quem verifica JWT
+     * in-process (ex.: `oidcBearerGuard`) lê daqui a cada verificação.
+     */
+    get publicJwks() {
+        return this.#publicJwks;
+    }
     /** Pathname do issuer sem barra final (ex.: `/oidc`). Vazio quando montado na raiz. */
     mountPath;
     recorder;
@@ -172,6 +181,7 @@ export class OidcService {
                 // conta que acabou de desabilitar, recebendo tokens plenamente funcionais.
                 accountStore: config.accountStore,
                 audit: config.audit,
+                impersonateAdmins: config.admin.impersonateAdmins,
             });
         }
         // Quando o issuer tem um path (ex.: http://host/oidc), o provider precisa ser
@@ -205,6 +215,7 @@ export class OidcService {
         this.#provider = provider;
         this.#callback = callback;
         this.#interactions = interactions;
+        this.#publicJwks = toPublicJwks(jwks);
     }
     /**
      * Recarrega as chaves de assinatura AO VIVO: relê o keystore do cofre e reconstrói

package/build/src/provider/token_exchange.d.ts

@@ -56,5 +56,31 @@ export interface TokenExchangeDeps {
      * regra de todo o resto da lib — nunca quebra hosts com um store mínimo).
      */
     accountStore?: AccountStore;
+    /**
+     * Permite impersonar uma conta que TAMBÉM tem um dos `adminRoles`. Default
+     * `true` (back-compat). Com `false`, alvo admin vira `invalid_grant`: um admin
+     * não assume a identidade (e os tokens) de outro admin.
+     */
+    impersonateAdmins?: boolean;
 }
+/**
+ * Propriedade (não persistida) onde a troca marca o ator ANTES do `save()`. O
+ * `extraTokenClaims` do provider (`build_provider.ts`) a transforma em
+ * `extra.act` — é o único jeito de pôr claims no `extra` de um token opaco: o
+ * oidc-provider SOBRESCREVE `extra` com o retorno desse hook ao salvar.
+ */
+export declare const IMPERSONATION_ACTOR_PROP = "authkitImpersonationActor";
+/** `extraTokenClaims` do provider: `{ act }` para token de impersonation, nada para o resto. */
+export declare function impersonationExtraClaims(token: unknown): {
+    act: {
+        sub: string;
+    };
+} | undefined;
+/**
+ * O ator de um access token de impersonation: o `act` (RFC 8693 §4.1) gravado
+ * no `extra` do token trocado. `null` quando o token não é de impersonation.
+ */
+export declare function impersonationActorOf(token: {
+    extra?: unknown;
+} | null | undefined): string | null;
 export declare function registerTokenExchange(provider: any, deps: TokenExchangeDeps): void;

package/build/src/provider/token_exchange.js

@@ -2,6 +2,26 @@ import { errors } from 'oidc-provider';
 import { assertAccountEnabled } from '../host/login_attempt.js';
 const TOKEN_EXCHANGE = 'urn:ietf:params:oauth:grant-type:token-exchange';
 const ACCESS_TOKEN_TYPE = 'urn:ietf:params:oauth:token-type:access_token';
+/**
+ * Propriedade (não persistida) onde a troca marca o ator ANTES do `save()`. O
+ * `extraTokenClaims` do provider (`build_provider.ts`) a transforma em
+ * `extra.act` — é o único jeito de pôr claims no `extra` de um token opaco: o
+ * oidc-provider SOBRESCREVE `extra` com o retorno desse hook ao salvar.
+ */
+export const IMPERSONATION_ACTOR_PROP = 'authkitImpersonationActor';
+/** `extraTokenClaims` do provider: `{ act }` para token de impersonation, nada para o resto. */
+export function impersonationExtraClaims(token) {
+    const actor = token?.[IMPERSONATION_ACTOR_PROP];
+    return typeof actor === 'string' && actor ? { act: { sub: actor } } : undefined;
+}
+/**
+ * O ator de um access token de impersonation: o `act` (RFC 8693 §4.1) gravado
+ * no `extra` do token trocado. `null` quando o token não é de impersonation.
+ */
+export function impersonationActorOf(token) {
+    const act = token?.extra?.act;
+    return typeof act?.sub === 'string' && act.sub ? act.sub : null;
+}
 /**
  * Interseção entre os scopes pedidos e os scopes permitidos do client (allowlist).
  * Preserva a ordem do pedido. Nunca excede a allowlist do client.
@@ -30,6 +50,12 @@ export function registerTokenExchange(provider, deps) {
         if (!subjectAt || subjectAt.isExpired) {
             throw new errors.InvalidGrant('subject_token invalid or expired');
         }
+        // Sem impersonation encadeada: um token que JÁ é de impersonation não vira
+        // subject de outra troca (o "ator" seria a conta personificada, e a trilha
+        // perderia quem de fato está agindo).
+        if (impersonationActorOf(subjectAt)) {
+            throw new errors.InvalidGrant('subject_token is already an impersonation token');
+        }
         // O subject_token DEVE ter sido emitido para o MESMO client autenticado: senão
         // um client B poderia trocar um AT emitido para o client A (cross-client).
         if (subjectAt.clientId !== client?.clientId) {
@@ -62,6 +88,9 @@ export function registerTokenExchange(provider, deps) {
         if (!target) {
             throw new errors.InvalidGrant('requested_subject not found');
         }
+        if (target.id === actor.id) {
+            throw new errors.InvalidGrant('requested_subject must be another account');
+        }
         // Status do alvo (disabled/expirado): mesmo gate de `attemptPasswordLogin`.
         // Sem isso, impersonar um alvo desabilitado mintava tokens funcionais para
         // uma identidade que o admin acreditava ter revogado. `accountStore` é
@@ -107,8 +136,6 @@ export function registerTokenExchange(provider, deps) {
             // Client sem allowlist declarada: comportamento atual preservado.
             scope = params.scope || DEFAULT_SCOPE;
         }
-        const at = new provider.AccessToken({ accountId: target.id, client, scope });
-        const accessToken = await at.save();
         // Token exchange is not tied to a browser session, so there is no active org
         // context here — roles are resolved for the impersonated target with clientId only.
         const roles = deps.resolveTokenRoles
@@ -117,6 +144,17 @@ export function registerTokenExchange(provider, deps) {
                 activeOrg: null,
             })
             : (target.globalRoles ?? []);
+        if (deps.impersonateAdmins === false && roles.some((r) => adminRoles.includes(r))) {
+            throw new errors.InvalidGrant('requested_subject is not impersonable');
+        }
+        // O ACCESS token (não só o id_token) carrega o ator: é o que o resource server
+        // vê a cada request (`oidcBearerGuard` → `impersonationState`/`realAccountId`).
+        // Sem isso, o token trocado era indistinguível de um token do próprio alvo, e
+        // toda regra "negado durante impersonation" deixava passar o app nativo.
+        // `extra` sai no JWT (formato jwt) e na introspecção (RFC 7662).
+        const at = new provider.AccessToken({ accountId: target.id, client, scope });
+        at[IMPERSONATION_ACTOR_PROP] = actor.id;
+        const accessToken = await at.save();
         const idToken = new provider.IdToken({
             sub: target.id,
             email: target.email,
@@ -134,7 +172,7 @@ export function registerTokenExchange(provider, deps) {
             email: target.email ?? null,
             clientId: client?.clientId ?? null,
             ip: ctx.req?.socket?.remoteAddress ?? null,
-            metadata: { scope },
+            metadata: { scope, jti: at.jti ?? null },
         });
         ctx.body = {
             access_token: accessToken,
@@ -143,6 +181,9 @@ export function registerTokenExchange(provider, deps) {
             expires_in: at.expiration ?? 3600,
             id_token: idTokenJwt,
             scope,
+            // RFC 8693 §4.1: o ator também no corpo da resposta (o `actSub` que o
+            // `requestTokenExchange` do host lê — antes ficava sempre vazio).
+            act: { sub: actor.id },
         };
     };
     provider.registerGrantType(TOKEN_EXCHANGE, handler, [

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@adonis-agora/authkit-server",
-  "version": "0.73.0",
+  "version": "0.75.0",
   "description": "AdonisJS OIDC/OAuth2 provider (Identity Provider) toolkit: ejectable auth server with sessions, rate-limiting, MFA/TOTP, audit log, federated logout and OpenTelemetry metrics.",
   "license": "MIT",
   "author": "dudousxd",
@@ -102,7 +102,7 @@
     }
   },
   "dependencies": {
-    "@adonis-agora/authkit-core": "0.8.0",
+    "@adonis-agora/authkit-core": "0.9.0",
     "@simplewebauthn/browser": "14.0.0",
     "@simplewebauthn/server": "14.0.2",
     "jose": "6.2.12",
@@ -113,7 +113,7 @@
     "qrcode": "1.5.4"
   },
   "devDependencies": {
-    "@adonis-agora/authkit-react": "0.22.0",
+    "@adonis-agora/authkit-react": "0.23.0",
     "@adonis-agora/durable": "0.40.0",
     "@adonis-agora/telescope": "0.21.1",
     "@adonisjs/ally": "6.3.0",