@adonis-agora/authkit-server 0.90.2 → 1.0.0-rc.1

package/build/src/host/controllers/poppy_consent_controller.js

@@ -44,7 +44,11 @@ export default class PoppyConsentController {
             return redirectExact(ctx.response, outcome.url);
         if (outcome.kind === 'error') {
             ctx.response.status(400);
-            return render(ctx, 'agents/done', { status: 'invalid', agentName: null, scopes: [] });
+            return render(ctx, 'agents/done', {
+                status: 'invalid',
+                agentName: null,
+                scopes: [],
+            });
         }
         const account = await service.config.accountStore.findById(accountId);
         return render(ctx, 'agents/consent', {
@@ -72,7 +76,11 @@ export default class PoppyConsentController {
         const cfg = service.config;
         const render = cfg.render;
         if (impersonationState(ctx).active) {
-            return render(ctx, 'agents/done', { status: 'expired', agentName: null, scopes: [] });
+            return render(ctx, 'agents/done', {
+                status: 'expired',
+                agentName: null,
+                scopes: [],
+            });
         }
         const accountId = ctx.session.get(ACCOUNT_SESSION_KEY);
         const decided = await poppy.decideAuthorization({
@@ -82,7 +90,11 @@ export default class PoppyConsentController {
             scopes: chosenScopes(ctx),
         });
         if (!decided) {
-            return render(ctx, 'agents/done', { status: 'expired', agentName: null, scopes: [] });
+            return render(ctx, 'agents/done', {
+                status: 'expired',
+                agentName: null,
+                scopes: [],
+            });
         }
         await cfg.audit?.record({
             type: decided.approved ? 'agent.delegation_approved' : 'agent.delegation_denied',
@@ -110,14 +122,20 @@ export default class PoppyConsentController {
             error: null,
         };
         if (impersonationState(ctx).active) {
-            return render(ctx, 'agents/consent', { ...base, error: 'agents.consent.impersonating' });
+            return render(ctx, 'agents/consent', {
+                ...base,
+                error: 'agents.consent.impersonating',
+            });
         }
         const input = ctx.request.input('user_code');
         if (!input)
             return render(ctx, 'agents/consent', base);
         const pending = await poppy.pendingDevice(input);
         if (!pending) {
-            return render(ctx, 'agents/consent', { ...base, error: 'agents.consent.invalid_code' });
+            return render(ctx, 'agents/consent', {
+                ...base,
+                error: 'agents.consent.invalid_code',
+            });
         }
         const accountId = ctx.session.get(ACCOUNT_SESSION_KEY);
         const account = await service.config.accountStore.findById(accountId);
@@ -143,7 +161,11 @@ export default class PoppyConsentController {
         const cfg = service.config;
         const render = cfg.render;
         if (impersonationState(ctx).active) {
-            return render(ctx, 'agents/done', { status: 'expired', agentName: null, scopes: [] });
+            return render(ctx, 'agents/done', {
+                status: 'expired',
+                agentName: null,
+                scopes: [],
+            });
         }
         const accountId = ctx.session.get(ACCOUNT_SESSION_KEY);
         const userCode = String(ctx.request.input('user_code') ?? '');
@@ -155,7 +177,11 @@ export default class PoppyConsentController {
             scopes: chosenScopes(ctx),
         });
         if (!decided || !pending) {
-            return render(ctx, 'agents/done', { status: 'expired', agentName: null, scopes: [] });
+            return render(ctx, 'agents/done', {
+                status: 'expired',
+                agentName: null,
+                scopes: [],
+            });
         }
         await cfg.audit?.record({
             type: decided.approved ? 'agent.delegation_approved' : 'agent.delegation_denied',

package/build/src/host/controllers/registration_controller.js

@@ -450,7 +450,10 @@ export default class AuthRegistrationController {
         const cfg = service.config;
         const render = cfg.render;
         const token = ctx.request.qs().token ?? '';
-        return render(ctx, 'reset', { token, csrfToken: ctx.request.csrfToken });
+        return render(ctx, 'reset', {
+            token,
+            csrfToken: ctx.request.csrfToken,
+        });
     }
     /** POST /auth/reset-password — redefine a senha. */
     async reset(ctx) {
@@ -552,6 +555,8 @@ export default class AuthRegistrationController {
                 ip: ctx.request.ip?.() ?? null,
             });
         }
-        return render(ctx, 'verify-email', { verified: ok });
+        return render(ctx, 'verify-email', {
+            verified: ok,
+        });
     }
 }

package/build/src/host/i18n.d.ts

@@ -346,7 +346,6 @@ export declare const DEFAULT_MESSAGES: {
     'admin.clients.grants': string;
     'admin.clients.redirect_uris': string;
     'admin.clients.dynamic_notice': string;
-    'admin.clients.static_section': string;
     'admin.clients.dynamic_section': string;
     'admin.clients.dynamic_empty': string;
     'admin.clients.dynamic_not_supported': string;
@@ -377,7 +376,6 @@ export declare const DEFAULT_MESSAGES: {
     'admin.clients.field_backchannel_uri_help': string;
     'admin.clients.field_backchannel_session_required': string;
     'admin.clients.field_backchannel_session_required_help': string;
-    'admin.clients.static_deprecated_notice': string;
     'admin.orgs.page_title': string;
     'admin.orgs.title': string;
     'admin.orgs.detail_title': string;
@@ -1141,7 +1139,6 @@ export declare const PT_BR_MESSAGES: {
     'admin.clients.grants': string;
     'admin.clients.redirect_uris': string;
     'admin.clients.dynamic_notice': string;
-    'admin.clients.static_section': string;
     'admin.clients.dynamic_section': string;
     'admin.clients.dynamic_empty': string;
     'admin.clients.dynamic_not_supported': string;
@@ -1172,7 +1169,6 @@ export declare const PT_BR_MESSAGES: {
     'admin.clients.field_backchannel_uri_help': string;
     'admin.clients.field_backchannel_session_required': string;
     'admin.clients.field_backchannel_session_required_help': string;
-    'admin.clients.static_deprecated_notice': string;
     'admin.audit.page_title': string;
     'admin.audit.title': string;
     'admin.audit.type_placeholder': string;

package/build/src/host/i18n.js

@@ -367,7 +367,6 @@ export const DEFAULT_MESSAGES = {
     'admin.clients.grants': 'Grants: {grants}',
     'admin.clients.redirect_uris': 'Redirects: {uris}',
     'admin.clients.dynamic_notice': 'Dynamic client registration (RFC 7591) is on — clients registered via /reg are persisted in the adapter and appear in the dynamic section below.',
-    'admin.clients.static_section': 'Static clients (config)',
     'admin.clients.dynamic_section': 'Dynamic clients (adapter)',
     'admin.clients.dynamic_empty': 'No dynamic clients persisted.',
     'admin.clients.dynamic_not_supported': 'The configured OIDC adapter does not support client enumeration — dynamic management is unavailable.',
@@ -398,8 +397,6 @@ export const DEFAULT_MESSAGES = {
     'admin.clients.field_backchannel_uri_help': 'OIDC Back-Channel Logout endpoint of the RP. Leave blank if not needed.',
     'admin.clients.field_backchannel_session_required': 'Require sid in logout_token',
     'admin.clients.field_backchannel_session_required_help': 'When checked, the IdP includes the session ID (sid) in every logout_token sent to this client.',
-    'admin.clients.static_deprecated_notice': 'These clients are defined statically in config and are deprecated. ' +
-        'Migrate them to the adapter/DB with:',
     // Console admin — organizations.
     'admin.orgs.page_title': 'Organizations',
     'admin.orgs.title': 'Organizations',
@@ -1250,7 +1247,6 @@ export const PT_BR_MESSAGES = {
     'admin.clients.grants': 'Grants: {grants}',
     'admin.clients.redirect_uris': 'Redirects: {uris}',
     'admin.clients.dynamic_notice': 'O registro dinâmico de clients (RFC 7591) está ligado — clients registrados via /reg são persistidos no adapter e aparecem na seção dinâmica abaixo.',
-    'admin.clients.static_section': 'Clients estáticos (config)',
     'admin.clients.dynamic_section': 'Clients dinâmicos (adapter)',
     'admin.clients.dynamic_empty': 'Nenhum client dinâmico persistido.',
     'admin.clients.dynamic_not_supported': 'O adapter OIDC configurado não suporta enumeração de clients — a gestão dinâmica fica indisponível.',
@@ -1281,8 +1277,6 @@ export const PT_BR_MESSAGES = {
     'admin.clients.field_backchannel_uri_help': 'Endpoint de OIDC Back-Channel Logout do RP. Deixe em branco se não usar.',
     'admin.clients.field_backchannel_session_required': 'Exigir sid no logout_token',
     'admin.clients.field_backchannel_session_required_help': 'Quando marcado, o IdP inclui o session ID (sid) em cada logout_token enviado a este client.',
-    'admin.clients.static_deprecated_notice': 'Estes clients estão definidos estaticamente no config e estão depreciados. ' +
-        'Migre-os para o adapter/DB com:',
     // Console admin — auditoria.
     'admin.audit.page_title': 'Auditoria',
     'admin.audit.title': 'Log de auditoria',

package/build/src/host/impersonation.d.ts

@@ -18,16 +18,13 @@ export interface ImpersonationPanel {
     curl: string;
 }
 /**
- * Um client candidato a hospedar o token-exchange. Modelado estruturalmente para
- * aceitar tanto os clients ESTÁTICOS do config (`ResolvedServerConfig['clients']`,
- * que trazem o secret) quanto os clients de RUNTIME lidos do adapter pelo
- * `AdminClientsService` (que NÃO trazem o secret — ele não é recuperável).
+ * Um client candidato a hospedar o token-exchange, na forma que o
+ * `AdminClientsService` lê do adapter (sem o secret — ele não é recuperável).
  */
 export interface ImpersonationClientLike {
     clientId: string;
-    clientSecret?: string;
-    grants?: string[];
-    /** Runtime clients reportam confidencialidade sem expor o secret. */
+    grantTypes?: string[];
+    /** Client confidencial: o curl sai com o placeholder do secret. */
     confidential?: boolean;
 }
 /**
@@ -35,12 +32,7 @@ export interface ImpersonationClientLike {
  * client candidato tem o grant token-exchange habilitado (sem ele o fluxo não
  * funciona) — a UI então mostra a instrução de habilitar o grant.
  *
- * ⚠️ `clients` é OBRIGATÓRIO na prática. `cfg.clients` é sempre `[]` num host
- * real: clients são 100% de runtime (console admin / Admin API / `authkit:clients:create`),
- * e o config resolvido nunca os carrega — é o que o `checkClients` do doctor
- * afirma. Passar só o config faria o painel devolver `null` SEMPRE, que foi
- * exatamente o bug: o botão do console nunca teve um client para oferecer.
- * O fallback para `cfg.clients` existe só para hosts que ainda declaram clients
- * estáticos e para os testes que os declaram.
+ * `clients` são os clients do adapter (console admin / Admin API /
+ * `authkit:clients:create`), por exemplo `new AdminClientsService(service).list()`.
  */
-export declare function buildImpersonationPanel(cfg: Pick<ResolvedServerConfig, 'issuer' | 'clients'>, targetId: string, clients?: readonly ImpersonationClientLike[]): ImpersonationPanel | null;
+export declare function buildImpersonationPanel(cfg: Pick<ResolvedServerConfig, 'issuer'>, targetId: string, clients: readonly ImpersonationClientLike[]): ImpersonationPanel | null;

package/build/src/host/impersonation.js

@@ -7,27 +7,18 @@ const SECRET_PLACEHOLDER = '<CLIENT_SECRET>';
  * client candidato tem o grant token-exchange habilitado (sem ele o fluxo não
  * funciona) — a UI então mostra a instrução de habilitar o grant.
  *
- * ⚠️ `clients` é OBRIGATÓRIO na prática. `cfg.clients` é sempre `[]` num host
- * real: clients são 100% de runtime (console admin / Admin API / `authkit:clients:create`),
- * e o config resolvido nunca os carrega — é o que o `checkClients` do doctor
- * afirma. Passar só o config faria o painel devolver `null` SEMPRE, que foi
- * exatamente o bug: o botão do console nunca teve um client para oferecer.
- * O fallback para `cfg.clients` existe só para hosts que ainda declaram clients
- * estáticos e para os testes que os declaram.
+ * `clients` são os clients do adapter (console admin / Admin API /
+ * `authkit:clients:create`), por exemplo `new AdminClientsService(service).list()`.
  */
 export function buildImpersonationPanel(cfg, targetId, clients) {
-    const candidates = clients && clients.length > 0 ? clients : (cfg.clients ?? []);
-    const client = candidates.find((c) => (c.grants ?? []).includes(TOKEN_EXCHANGE));
+    const client = clients.find((c) => (c.grantTypes ?? []).includes(TOKEN_EXCHANGE));
     if (!client)
         return null;
     const tokenEndpoint = `${cfg.issuer.replace(/\/+$/, '')}/token`;
-    // Confidencial = tem secret conhecido, ou o adapter marcou como confidencial.
-    // No segundo caso o secret NÃO é recuperável (o adapter guarda o hash/valor
-    // opaco e a lib mostra o secret uma única vez na criação), então o curl sai
-    // com um placeholder em vez de mentir com uma string vazia.
-    const confidential = client.confidential ?? client.clientSecret !== undefined;
-    const auth = confidential
-        ? `  -u '${client.clientId}:${client.clientSecret ?? SECRET_PLACEHOLDER}' \\\n`
+    // O secret NÃO é recuperável (a lib mostra o secret uma única vez na criação),
+    // então o curl de um client confidencial sai com um placeholder.
+    const auth = client.confidential
+        ? `  -u '${client.clientId}:${SECRET_PLACEHOLDER}' \\\n`
         : `  -d 'client_id=${client.clientId}' \\\n`;
     const curl = `curl -X POST '${tokenEndpoint}' \\\n${auth}  -d 'grant_type=${TOKEN_EXCHANGE}' \\\n  -d 'subject_token=<ADMIN_ACCESS_TOKEN>' \\\n  -d 'subject_token_type=${ACCESS_TOKEN_TYPE}' \\\n  -d 'requested_subject=${targetId}' \\\n  -d 'scope=openid profile email'`;
     return {

package/build/src/host/interaction_recovery.js

@@ -87,7 +87,10 @@ export async function recoverLostInteraction(ctx) {
         return ctx.response.redirect(loginUrl);
     }
     ctx.response.status(400);
-    const body = await render(ctx, 'session-expired', { loginUrl, brand });
+    const body = await render(ctx, 'session-expired', {
+        loginUrl,
+        brand,
+    });
     // ESCREVE o body na resposta. Diferente do dispatch normal de rota — onde o
     // `useReturnValue`/`canWriteResponseBody` do http-server envia o valor
     // retornado — o caminho de exception handler DESCARTA o retorno de

package/build/src/host/login_attempt.js

@@ -231,7 +231,11 @@ export async function attemptPasswordLogin(cfg, input) {
     if (lock.locked) {
         return { ok: false, locked: true, retryAfterSec: lock.retryAfterSec };
     }
-    const account = await cfg.accountStore.verifyCredentials(email, password);
+    // A form posted without a password (e-mail only, typical when password login is
+    // off) is a failed attempt like a wrong password, never a crash in the hasher.
+    const account = typeof password === 'string' && password !== ''
+        ? await cfg.accountStore.verifyCredentials(email, password)
+        : null;
     if (!account) {
         // `clientId` só entra no evento quando o fluxo o fornece (interaction).
         await cfg.audit?.record(input.clientId !== undefined

package/build/src/host/middleware/account_auth.js

@@ -7,6 +7,12 @@ export default class AccountAuthMiddleware {
     async handle(ctx, next) {
         // Sessão do console — ou, com `accountSession.acceptIdpSession`, a do IdP (SSO).
         if (!(await ensureConsoleSession(ctx))) {
+            // JSON callers get a status, not an HTML login page.
+            if (ctx.request?.accepts?.(['html', 'json']) === 'json') {
+                return ctx.response
+                    .status(401)
+                    .send({ error: { code: 'unauthenticated', message: 'Sign in to continue.' } });
+            }
             // Destino configurável (`accountLoginUrl`): default `/account/login`.
             return ctx.response.redirect(getAccountLoginUrl());
         }

package/build/src/host/rate_limit.js

@@ -159,7 +159,11 @@ export function withFriendly429(throttle) {
             ctx.response.status(429);
             if (retryAfter)
                 ctx.response.header('Retry-After', String(retryAfter));
-            const body = await render(ctx, 'throttled', { brand, retryAfter, retryUrl });
+            const body = await render(ctx, 'throttled', {
+                brand,
+                retryAfter,
+                retryUrl,
+            });
             const res = ctx.response;
             if (body !== undefined && !res.hasLazyBody && body !== ctx.response) {
                 res.send(body);

package/build/src/host/register_auth_host.d.ts

@@ -5,6 +5,12 @@ import type { PolicyRouteOption } from './config_locks.js';
 import type { SudoMethod } from './sudo/types.js';
 /** Chave da sessão Adonis que registra o timestamp da última atividade (idle timeout). */
 export declare const ACCOUNT_LAST_SEEN_KEY = "authkit_last_seen";
+/**
+ * `true` when the caller wants JSON (an `Accept` that prefers `application/json`,
+ * as `fetch` from the React client sends): a JSON API answers it with a status,
+ * not with a redirect to an HTML login page.
+ */
+export declare function wantsJson(ctx: any): boolean;
 /**
  * Guard do console admin (B6). Como o `accountGuard`, é uma closure inline (forma
  * confiável do `.use()` num grupo). Exige:
@@ -14,6 +20,8 @@ export declare const ACCOUNT_LAST_SEEN_KEY = "authkit_last_seen";
  *      (senão → `accountHome(cfg)`, default /account/security — NÃO revela a
  *      existência do /admin, e cai numa tela que o host controla via `accountHome`;
  *      se a tela default estiver desmontada, aponte `config.accountHome` para uma montada).
+ *   3. `config.admin.authorize` liberando (403/401/redirect conforme o resultado). Omitido:
+ *      aberto fora de produção, 403 em produção.
  * As roles permitidas são resolvidas em runtime do `authkit.server` (config lazy).
  */
 export declare const adminGuard: (ctx: any, next: () => Promise<void>) => Promise<any>;

package/build/src/host/register_auth_host.js

@@ -1,3 +1,5 @@
+import { getBootedApp } from '../../services/booted_app.js';
+import { resolveConsoleAuthorize, } from '../console_authorize.js';
 import { resolveRateLimit } from '../define_config.js';
 import { accountHome } from './account_home.js';
 import { getAccountLoginUrl, setAccountLoginUrl } from './account_login_url.js';
@@ -7,7 +9,9 @@ import { ACCOUNT_SESSION_KEY } from './account_session_key.js';
 import { adminApiGuard } from './admin_api/admin_api_guard.js';
 import { normalizeAdminApiPrefix, normalizeAdminPrefix, setAdminApiPrefix, setAdminPrefix, } from './admin_prefix.js';
 import { getAuthHostConfig, markAuthHostAutoMounted, wasAuthHostAutoMounted, } from './auth_host_config.js';
-import { ensureConsoleSession } from './idp_session_bridge.js';
+import { consoleDeniedPage } from './console_denied_page.js';
+import { CONSOLE_SSO_CALLBACK_PATH, CONSOLE_SSO_START_PATH } from './console_sso.js';
+import { endBridgedIdpSession, ensureConsoleSession } from './idp_session_bridge.js';
 import { POPPY_WEB_SESSION_KEY } from './poppy_session_key.js';
 import { createAuthThrottles } from './rate_limit.js';
 import { redirectExact } from './redirect_exact.js';
@@ -67,7 +71,10 @@ async function checkAndRefreshIdle(ctx) {
         const lastSeen = ctx.session?.get(ACCOUNT_LAST_SEEN_KEY);
         const now = Date.now();
         if (lastSeen !== undefined && now - lastSeen > idleMs) {
-            // Idle excedido: encerra a sessão.
+            // Idle excedido: encerra a sessão. Console aberto pela sessão do IdP (SSO):
+            // encerra também essa sessão, senão a ponte reabriria o console no próximo
+            // request e o idle timeout não teria efeito.
+            await endBridgedIdpSession(ctx);
             ctx.session?.forget(ACCOUNT_SESSION_KEY);
             ctx.session?.forget(ACCOUNT_LAST_SEEN_KEY);
             return true;
@@ -119,6 +126,28 @@ function isPoppyBrowser(ctx) {
     const marker = ctx.session?.get?.(POPPY_WEB_SESSION_KEY);
     return typeof marker === 'object' && marker !== null && typeof marker.sessionId === 'string';
 }
+/**
+ * `true` when the caller wants JSON (an `Accept` that prefers `application/json`,
+ * as `fetch` from the React client sends): a JSON API answers it with a status,
+ * not with a redirect to an HTML login page.
+ */
+export function wantsJson(ctx) {
+    try {
+        return ctx.request?.accepts?.(['html', 'json']) === 'json';
+    }
+    catch {
+        return false;
+    }
+}
+/** 401 for a JSON caller, otherwise the redirect to the login. */
+function unauthenticated(ctx, redirectTo) {
+    if (wantsJson(ctx)) {
+        return ctx.response
+            .status(401)
+            .send({ error: { code: 'unauthenticated', message: 'Sign in to continue.' } });
+    }
+    return redirectExact(ctx.response, redirectTo);
+}
 const accountGuard = async (ctx, next) => {
     // O navegador de um personal agent Poppy (§5) não entra no console de conta nem
     // nas telas de consentimento: a sessão é do agente, não do usuário.
@@ -126,12 +155,12 @@ const accountGuard = async (ctx, next) => {
         return ctx.response.status(403).send('');
     // Sessão do console — ou, com `accountSession.acceptIdpSession`, a do IdP (SSO).
     if (!(await ensureConsoleSession(ctx))) {
-        return redirectExact(ctx.response, buildLoginRedirect(ctx));
+        return unauthenticated(ctx, buildLoginRedirect(ctx));
     }
     // Idle timeout: encerra e redireciona com query param de motivo.
     const idleExpired = await checkAndRefreshIdle(ctx);
     if (idleExpired) {
-        return redirectExact(ctx.response, buildLoginRedirect(ctx, 'reason=idle'));
+        return unauthenticated(ctx, buildLoginRedirect(ctx, 'reason=idle'));
     }
     return next();
 };
@@ -144,6 +173,8 @@ const accountGuard = async (ctx, next) => {
  *      (senão → `accountHome(cfg)`, default /account/security — NÃO revela a
  *      existência do /admin, e cai numa tela que o host controla via `accountHome`;
  *      se a tela default estiver desmontada, aponte `config.accountHome` para uma montada).
+ *   3. `config.admin.authorize` liberando (403/401/redirect conforme o resultado). Omitido:
+ *      aberto fora de produção, 403 em produção.
  * As roles permitidas são resolvidas em runtime do `authkit.server` (config lazy).
  */
 export const adminGuard = async (ctx, next) => {
@@ -162,12 +193,12 @@ export const adminGuard = async (ctx, next) => {
     const accountId = ctx.session?.get(ACCOUNT_SESSION_KEY);
     if (!accountId) {
         // `/account/login` é sempre o login da conta — NÃO muda com o prefixo admin.
-        return redirectExact(ctx.response, buildLoginRedirect(ctx));
+        return unauthenticated(ctx, buildLoginRedirect(ctx));
     }
     // Idle timeout: também protege o console admin.
     const idleExpired = await checkAndRefreshIdle(ctx);
     if (idleExpired) {
-        return redirectExact(ctx.response, buildLoginRedirect(ctx, 'reason=idle'));
+        return unauthenticated(ctx, buildLoginRedirect(ctx, 'reason=idle'));
     }
     const allowed = cfg.admin.roles;
     const account = await cfg.accountStore.findById(accountId);
@@ -179,10 +210,68 @@ export const adminGuard = async (ctx, next) => {
     if (!isAdmin) {
         // Evita vazar a existência do console admin: redireciona para o accountHome
         // (sem mostrar a URL do admin).
-        return ctx.response.redirect(accountHome(cfg));
+        if (wantsJson(ctx)) {
+            return ctx.response
+                .status(403)
+                .send({ error: { code: 'forbidden', message: 'Admin role required.' } });
+        }
+        return redirectExact(ctx.response, accountHome(cfg));
     }
+    // `admin.authorize`, after the roles: both must pass. Omitted, the console is open
+    // outside production and closed (403) in production.
+    const decision = cfg.admin.authorize
+        ? await adminAuthorizeChecker(cfg.admin.authorize)(ctx)
+        : appInProduction()
+            ? { allowed: false, status: 403 }
+            : { allowed: true };
+    if (!decision.allowed)
+        return consoleDenied(ctx, decision);
     return next();
 };
+/**
+ * Whether the app runs in production. Unknown (the provider did not register the
+ * app) counts as production, so an omitted `admin.authorize` fails closed.
+ */
+function appInProduction() {
+    try {
+        return getBootedApp().inProduction !== false;
+    }
+    catch {
+        return true;
+    }
+}
+/** The response for an `admin.authorize` denial: same rules in every `@adonis-agora` console. */
+function consoleDenied(ctx, decision) {
+    const json = wantsJson(ctx);
+    if (decision.redirectTo) {
+        if (json) {
+            return ctx.response
+                .status(401)
+                .send({ error: 'unauthenticated', redirectTo: decision.redirectTo });
+        }
+        return redirectExact(ctx.response, decision.redirectTo);
+    }
+    if (decision.status === 401) {
+        if (json)
+            return ctx.response.status(401).send({ error: 'unauthenticated' });
+        ctx.response.header('Content-Type', 'text/html; charset=utf-8');
+        return ctx.response.status(401).send(consoleDeniedPage(401));
+    }
+    if (json)
+        return ctx.response.status(403).send({ error: 'forbidden' });
+    ctx.response.header('Content-Type', 'text/html; charset=utf-8');
+    return ctx.response.status(403).send(consoleDeniedPage(403));
+}
+/** One checker per configured `admin.authorize`, so a lazy import runs once. */
+const adminAuthorizeCheckers = new WeakMap();
+function adminAuthorizeChecker(authorize) {
+    let checker = adminAuthorizeCheckers.get(authorize);
+    if (!checker) {
+        checker = resolveConsoleAuthorize(authorize);
+        adminAuthorizeCheckers.set(authorize, checker);
+    }
+    return checker;
+}
 const C = {
     oidc: () => import('../controllers/oidc_callback_controller.js'),
     authorizationServerMetadata: () => import('../controllers/authorization_server_metadata_controller.js'),
@@ -191,6 +280,7 @@ const C = {
     social: () => import('./controllers/social_controller.js'),
     patIntrospection: () => import('./controllers/pat_introspection_controller.js'),
     accountSession: () => import('./controllers/account_session_controller.js'),
+    consoleSso: () => import('./controllers/console_sso_controller.js'),
     accountTokens: () => import('./controllers/account_tokens_controller.js'),
     accountSecurity: () => import('./controllers/account_security_controller.js'),
     accountApps: () => import('./controllers/account_apps_controller.js'),
@@ -353,6 +443,17 @@ export function registerAuthHost(router, opts = {}) {
     if (accountLoginUrlOpt !== undefined) {
         setAccountLoginUrl(accountLoginUrlOpt);
     }
+    // Console sem porta de entrada: SSO desligado (`acceptIdpSession: false`) deixa só o
+    // login próprio do console, que é por senha; com a senha desligada ninguém entra em
+    // `/account/*` nem no console admin. Só passa com um `accountLoginUrl` do host (aqui
+    // ou em `routes.accountLoginUrl`) — por isso a checagem é no registro, não no config.
+    if (hostCfg?.consoleNeedsLoginUrl && !accountLoginUrlOpt) {
+        throw new Error('authkit: `accountSession.acceptIdpSession: false` com `authMethods: { password: false }` ' +
+            'deixa o console de conta e o console admin sem nenhum jeito de entrar (o login próprio ' +
+            'do console é por senha). Remova `acceptIdpSession: false` (o default entra pelo login ' +
+            'do IdP) ou passe `accountLoginUrl` (no `registerAuthHost` ou em `routes`) apontando ' +
+            'para um login do seu app.');
+    }
     // Montagem por tela do console de conta. `undefined` → tudo montado;
     // `false` → nada; objeto → cada flag ausente default `true`.
     const accountOpt = opts.account ?? routesCfg?.account;
@@ -479,6 +580,13 @@ export function registerAuthHost(router, opts = {}) {
     // Provider OIDC (wildcard + root) — o que registerOidcRoutes fazia.
     router.any(`${mount}/*`, [C.oidc]).as('authkit.oidc.wildcard');
     router.any(mount, [C.oidc]).as('authkit.oidc.root');
+    // Login do console pelo IdP (SSO; client interno `authkit-console`, ver
+    // `console_sso.ts`). Sempre montado: com `acceptIdpSession: false` o início só
+    // redireciona para o login próprio do console.
+    router.get(CONSOLE_SSO_START_PATH, [C.consoleSso, 'start']).as('authkit.console_sso.start');
+    router
+        .get(CONSOLE_SSO_CALLBACK_PATH, [C.consoleSso, 'callback'])
+        .as('authkit.console_sso.callback');
     // Interaction (login multi-step + consent + signup).
     // Cada rota passa por `keep(key, …)`: entra em `AuthHostRouteMap.routes`/`urls` e
     // recebe o `extraMiddleware` do host (depois do throttle da lib).
@@ -770,10 +878,6 @@ export function registerAuthHost(router, opts = {}) {
                 C.accountOrgs,
                 'revokeInvitation',
             ]);
-            // JSON endpoints for React hooks (authkit-react).
-            router.get(`${orgsPath}/json`, [C.accountOrgs, 'listJson']);
-            router.get(`${orgsPath}/invitations/json`, [C.accountOrgs, 'listInvitationsJson']);
-            router.get(`${orgsPath}/:id/json`, [C.accountOrgs, 'showJson']);
         }
         // ─── Account self-service JSON API (authkit-react TanStack hooks) ─────
         // ⚠️ ORDER MATTERS: fixed-segment routes before parameterised ones.
@@ -925,6 +1029,7 @@ export function registerAuthHost(router, opts = {}) {
             // Clients OIDC.
             router.get(`${ap}/api/clients`, [C.consoleClients, 'index']);
             router.post(`${ap}/api/clients`, [C.consoleClients, 'store']);
+            router.get(`${ap}/api/clients/:id`, [C.consoleClients, 'show']);
             router.patch(`${ap}/api/clients/:id`, [C.consoleClients, 'update']);
             router.delete(`${ap}/api/clients/:id`, [C.consoleClients, 'destroy']);
             router.post(`${ap}/api/clients/:id/regenerate-secret`, [

package/build/src/host/renderers/inertia_renderer.d.ts

@@ -1,4 +1,5 @@
 import type { HttpContext } from '@adonisjs/core/http';
+import type { AuthkitScreen } from '../screen_props.js';
 /**
  * Opções do renderer Inertia/React.
  */
@@ -11,18 +12,10 @@ export interface InertiaRendererOptions {
     /**
      * Lista de nomes de view que o host criou como páginas React (allowlist).
      *
-     * Quando fornecida, **somente** as views listadas passam pelo Inertia; qualquer
-     * outra view (não listada, ou prefixada com `admin/`) recai silenciosamente no
-     * renderer Edge built-in da lib — sem erro 500.
-     *
-     * ### ⚠️ Atenção: sem `views`, qualquer tela nova da lib quebra hosts SSR
-     *
-     * Se `views` for omitido, o comportamento legado é preservado (todas as views
-     * são enviadas ao Inertia) para compatibilidade retroativa. Nesse modo, qualquer
-     * tela nova adicionada pela lib gerará um erro SSR no host ("Cannot read
-     * properties of undefined (reading 'default')") porque o host não terá criado a
-     * página React correspondente. **Recomenda-se sempre fornecer `views`** com
-     * exatamente as páginas que o scaffold (`node ace configure`) gerou.
+     * **Somente** as views listadas passam pelo Inertia; qualquer outra view (não
+     * listada, ou prefixada com `admin/`) é renderizada pelo renderer Edge built-in
+     * da lib. Liste exatamente as páginas que o scaffold (`node ace configure`)
+     * gerou, mais as que você criar.
      *
      * A ordem do array é irrelevante — `views` é tratado como um *conjunto*
      * (allowlist). Os nomes têm autocomplete via {@link AuthkitScreen}.
@@ -38,14 +31,9 @@ export interface InertiaRendererOptions {
      *   ],
      * })
      */
-    views?: AuthkitScreen[];
+    views: readonly AuthkitScreen[];
 }
-/**
- * Nomes das telas conhecidas da lib — dá autocomplete no array `views`.
- * O `(string & {})` mantém o tipo aberto: telas custom (ou de versões mais
- * novas da lib) continuam aceitas sem erro de compilação.
- */
-export type AuthkitScreen = 'login' | 'signup' | 'consent' | 'forgot' | 'reset' | 'verify-email' | 'mfa-challenge' | 'otp-unlock' | 'maintenance' | 'session-expired' | 'account/login' | 'account/tokens' | 'account/mfa' | 'account/security' | 'account/apps' | 'account/orgs' | 'account/confirm' | 'account/email-confirmed' | (string & {});
+export type { AuthkitScreen } from '../screen_props.js';
 /**
  * Renderer do seam para hosts Inertia/React.
  *
@@ -53,8 +41,8 @@ export type AuthkitScreen = 'login' | 'signup' | 'consent' | 'forgot' | 'reset'
  * (O console admin não passa por aqui: é a SPA self-contained da lib,
  * servida pelo shell controller.)
  *
- * Quando `views` é fornecido (allowlist), apenas as views listadas vão ao Inertia;
- * qualquer outra view recai no Edge renderer built-in sem erro.
+ * Apenas as views listadas em `views` (allowlist) vão ao Inertia; qualquer outra
+ * view é renderizada pelo Edge renderer built-in.
  *
  * ---
  *

package/build/src/host/renderers/inertia_renderer.js

@@ -24,8 +24,8 @@ async function resolveMessagesFromCtx(ctx) {
  * (O console admin não passa por aqui: é a SPA self-contained da lib,
  * servida pelo shell controller.)
  *
- * Quando `views` é fornecido (allowlist), apenas as views listadas vão ao Inertia;
- * qualquer outra view recai no Edge renderer built-in sem erro.
+ * Apenas as views listadas em `views` (allowlist) vão ao Inertia; qualquer outra
+ * view é renderizada pelo Edge renderer built-in.
  *
  * ---
  *
@@ -59,11 +59,10 @@ async function resolveMessagesFromCtx(ctx) {
  * ```
  */
 export function inertiaRenderer(opts) {
-    const allowed = opts.views ? new Set(opts.views) : null;
+    const allowed = new Set(opts.views);
     return async (ctx, view, props) => {
-        // Allowlist: se `views` foi fornecido e a view não está na lista,
-        // usa o fallback Edge silenciosamente (evita SSR crash por página inexistente no host).
-        if (allowed !== null && !allowed.has(view)) {
+        // Allowlist: view fora da lista vai ao Edge (o host não tem a página React).
+        if (!allowed.has(view)) {
             return renderEdgeView(ctx, view, props);
         }
         // Happy path: view vai ao Inertia.