@adonis-agora/authkit-server 0.88.0 → 0.89.0

package/build/src/define_config.d.ts

@@ -122,6 +122,22 @@ export interface MailHooks {
         agentName: string;
         expiresInMinutes: number;
     }) => Promise<void>;
+    /**
+     * Disparado num login bem-sucedido a partir de um IP NOVO para a conta (nenhum
+     * `login.success` anterior desse IP no audit sink), quando `notifications.newLoginEmail`
+     * está ligado. Best-effort, fire-and-forget: uma falha aqui NUNCA quebra o login.
+     * Quando ausente mas o mail estiver configurado, o host-kit envia o e-mail default de
+     * "novo login". O `login.new_ip_notified` é auditado nos dois casos.
+     */
+    onNewLogin?: (data: {
+        account: {
+            id: string;
+            email: string;
+        };
+        ip: string;
+        userAgent?: string | null;
+        timestamp: string;
+    }) => Promise<void>;
     /**
      * Disparado num login bem-sucedido a partir de um dispositivo NOVO (sem cookie
      * de dispositivo confiável válido para a conta). Best-effort, fire-and-forget:

package/build/src/host/login_notify.js

@@ -51,7 +51,12 @@ export async function notifyLoginSuccess(ctx, cfg, input) {
             resolvedEmail = (await cfg.accountStore.findById(accountId))?.email ?? null;
         }
         if (cfg.notifications.newLoginEmail) {
-            await maybeNotifyNewLogin(ctx, cfg, { accountId, email: resolvedEmail, ip: ip ?? null });
+            await maybeNotifyNewLogin(ctx, cfg, {
+                accountId,
+                email: resolvedEmail,
+                ip: ip ?? null,
+                userAgent,
+            });
         }
         if (onNewDevice && cfg.notifications.newDeviceEmail && resolvedEmail) {
             await notifyNewDevice(ctx, cfg, {
@@ -108,12 +113,12 @@ async function notifyNewDevice(ctx, cfg, data) {
 }
 /**
  * Verifica se o IP é novo para a conta (consultando o audit sink por
- * `login.success` do subject) e, se for, envia o e-mail de alerta + audita
- * `login.new_ip_notified`. Degrada para no-op quando: sem IP, sem e-mail, sem
+ * `login.success` do subject) e, se for, envia o alerta (hook `mail.onNewLogin`,
+ * override do host, ou o mailer default) + audita `login.new_ip_notified`. Degrada para no-op quando: sem IP, sem e-mail, sem
  * sink consultável (`list`), ou já houve um login.success deste IP antes.
  */
 async function maybeNotifyNewLogin(ctx, cfg, data) {
-    const { accountId, email, ip } = data;
+    const { accountId, email, ip, userAgent } = data;
     if (!ip || !email)
         return;
     // Sem consulta do histórico não dá pra decidir se o IP é novo → no-op.
@@ -133,7 +138,25 @@ async function maybeNotifyNewLogin(ctx, cfg, data) {
     if (sameIpCount > 1)
         return;
     const when = new Date().toISOString();
-    await sendNewLoginEmail(ctx, cfg, { email, ip, when });
+    if (cfg.mail?.onNewLogin) {
+        // Isolado: o mailer default engole os próprios erros, o hook do host não. Sem
+        // este try, um hook que lança cortaria o audit abaixo e o alerta de novo
+        // dispositivo, que roda depois deste na mesma tarefa.
+        try {
+            await cfg.mail.onNewLogin({
+                account: { id: accountId, email },
+                ip,
+                userAgent,
+                timestamp: when,
+            });
+        }
+        catch (error) {
+            ctx.logger?.error?.({ err: error, accountId }, 'authkit: falha no hook mail.onNewLogin');
+        }
+    }
+    else {
+        await sendNewLoginEmail(ctx, cfg, { email, ip, when });
+    }
     await cfg.audit?.record({
         type: 'login.new_ip_notified',
         accountId,

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@adonis-agora/authkit-server",
-  "version": "0.88.0",
+  "version": "0.89.0",
   "description": "AdonisJS OIDC/OAuth2 provider (Identity Provider) toolkit: ejectable auth server with sessions, rate-limiting, MFA/TOTP, audit log, federated logout and OpenTelemetry metrics.",
   "license": "MIT",
   "author": "dudousxd",
@@ -108,7 +108,7 @@
     "@adonis-agora/authkit-core": "0.10.1",
     "@simplewebauthn/browser": "14.0.0",
     "@simplewebauthn/server": "14.0.3",
-    "jose": "6.2.13",
+    "jose": "6.2.14",
     "koa": "3.2.1",
     "koa-mount": "4.2.0",
     "oidc-provider": "9.12.2",
@@ -117,8 +117,8 @@
   },
   "devDependencies": {
     "@adonis-agora/authkit-react": "0.26.0",
-    "@adonis-agora/durable": "0.54.1",
-    "@adonis-agora/telescope": "0.23.0",
+    "@adonis-agora/durable": "0.58.2",
+    "@adonis-agora/telescope": "0.27.0",
     "@adonisjs/ally": "6.3.2",
     "@adonisjs/auth": "10.1.0",
     "@adonisjs/core": "7.6.0",