@adonis-agora/authkit-server 1.0.0-rc.0 → 1.0.0-rc.2

package/build/src/host/ui-dist/index.html

@@ -8,7 +8,7 @@
     <link rel="preconnect" href="https://fonts.googleapis.com">
     <link rel="preconnect" href="https://fonts.gstatic.com" crossorigin>
     <link href="https://fonts.googleapis.com/css2?family=Sora:wght@400;500;600;700&family=JetBrains+Mono:ital,wght@0,400;0,500;0,600;1,400&display=swap" rel="stylesheet">
-    <script type="module" crossorigin src="/__AUTHKIT_BASE__/assets/index-D0EIeyKK.js"></script>
+    <script type="module" crossorigin src="/__AUTHKIT_BASE__/assets/index-BqyJYRVX.js"></script>
     <link rel="stylesheet" crossorigin href="/__AUTHKIT_BASE__/assets/index-DTSmD4RU.css">
   </head>
   <body>

package/build/src/provider/build_provider.js

@@ -1,6 +1,7 @@
 import * as oidc from 'oidc-provider';
 import { pickModelAdapterClass } from '../adapters/factory.js';
 import { normalizeActiveOrg, readActiveOrgFromKoaCtx } from '../host/active_org_cookie.js';
+import { consoleSsoClientMetadata } from '../host/console_sso.js';
 import { findMcpResource, mcpAuthorizeMiddleware } from '../mcp/mcp_oauth.js';
 import { createDeviceSources } from './device_sources.js';
 import { createLogoutSources } from './logout_sources.js';
@@ -129,6 +130,11 @@ export function buildProvider(config, options, sessionTtlHolder, tokenTtlHolder)
         }
         : {};
     const provider = new oidc.Provider(config.issuer, {
+        // Client interno do login do console pelo IdP (ver `host/console_sso.ts`).
+        // Estático: não passa pelo adapter, então não aparece no console de clients.
+        ...(config.accountSession?.acceptIdpSession
+            ? { clients: [consoleSsoClientMetadata(config.issuer)] }
+            : {}),
         // O ator (`act`, RFC 8693) dos access tokens de impersonation — ver
         // `impersonationExtraClaims` em `token_exchange.ts`. Sem isto o token trocado
         // não se distingue de um token do próprio alvo no resource server.

package/build/src/provider/oidc_service.d.ts

@@ -28,7 +28,7 @@ export declare class OidcService {
     };
     /**
      * @internal Segredo derivado da app key para um uso (`label`) — HMAC dos nonces
-     * DPoP do Poppy, por exemplo. Igual em todas as instâncias, sem expor a chave.
+     * DPoP de uma extension de personal agents, por exemplo. Igual em todas as instâncias, sem expor a chave.
      */
     deriveSecret(label: string): Buffer;
     /** Pathname do issuer sem barra final (ex.: `/oidc`). Vazio quando montado na raiz. */

package/build/src/provider/oidc_service.js

@@ -44,7 +44,7 @@ export class OidcService {
     }
     /**
      * @internal Segredo derivado da app key para um uso (`label`) — HMAC dos nonces
-     * DPoP do Poppy, por exemplo. Igual em todas as instâncias, sem expor a chave.
+     * DPoP de uma extension de personal agents, por exemplo. Igual em todas as instâncias, sem expor a chave.
      */
     deriveSecret(label) {
         return createHmac('sha256', this.#appKey).update(`authkit:${label}`).digest();

package/build/src/schema/ensure.d.ts

@@ -23,9 +23,15 @@
  * }
  * ```
  */
+import type { AuthkitTable } from '../agents/extension.js';
 export interface EnsureSchemaOptions {
     /** Conexão Lucid a usar. Default: conexão primária. */
     connection?: string;
+    /**
+     * Tabelas de `personalAgents.extensions` (`tables` de cada uma), garantidas junto. O provider
+     * passa as do config no boot.
+     */
+    tables?: readonly AuthkitTable[];
     /**
      * Tabela da conta, onde a coluna opcional `login_methods` pertence. Vem do
      * metadado `accountStore.accountTable` (o provider repassa no boot). Undefined
@@ -51,6 +57,14 @@ export interface EnsureSchemaReport {
         ensured: boolean;
     };
 }
+/**
+ * Garante tabelas lib-owned no formato {@link AuthkitTable} — o que `ensureAuthkitSchema` faz com as
+ * do authkit: cria as que faltam, adiciona colunas e índices novos, nunca dropa nem altera. Para
+ * uma extension expor o próprio `ensure*Schema()` para migrations do host. Estável no 1.x.
+ */
+export declare function ensureAuthkitTables(db: any, tables: readonly AuthkitTable[], options?: {
+    connection?: string;
+}): Promise<Pick<EnsureSchemaReport, 'created' | 'altered' | 'indexed'>>;
 /**
  * Garante que as tabelas do authkit existem e têm todas as colunas que esta
  * versão da lib espera. Aditivo e idempotente — seguro de rodar em todo boot

package/build/src/schema/ensure.js

@@ -309,7 +309,7 @@ const TABLES = [
         name: 'auth_agent_registry',
         /**
          * Agentes liberados (`allowed`) ou bloqueados (`blocked`) pelo console admin,
-         * somados ao `defineConfig` — PACT pelo `iss`, Poppy pelo `client_id`.
+         * somados ao `defineConfig` — PACT pelo `iss`; uma extension pelo identificador dela.
          */
         create: (t) => {
             t.string('id').primary();
@@ -333,135 +333,6 @@ const TABLES = [
             updated_at: (t) => t.dateTime('updated_at', { useTz: true, precision: 3 }).nullable(),
         },
     },
-    /*
-     * Personal Agent Protocol (Poppy). Os refresh tokens são grants de
-     * `auth_agent_grants` (prefixo `pgrant_`) com o hash em
-     * `auth_agent_refresh_tokens`; aqui ficam Sessions, access tokens, pedidos de
-     * sign-in e os `jti` vistos. Mesmas regras de data das tabelas acima.
-     */
-    {
-        name: 'auth_poppy_sessions',
-        /**
-         * Uma Session: um usuário do agente (`user_id`, opaco) num agente (`client_id`), com o
-         * `agent_id` opcional. `account_id` é a conta que já usou. `grant_id` e `scope` ficaram da
-         * Draft 0.1, sem uso (o schema só é aditivo).
-         */
-        create: (t) => {
-            t.string('id').primary();
-            t.string('client_id', 2048).notNullable();
-            t.string('user_id').notNullable();
-            t.string('agent_id').nullable();
-            t.string('account_id').nullable().index();
-            t.string('grant_id').nullable().index();
-            t.text('scope').notNullable();
-            t.dateTime('expires_at', { useTz: true, precision: 3 }).notNullable();
-            t.dateTime('ended_at', { useTz: true, precision: 3 }).nullable();
-            t.dateTime('created_at', { useTz: true, precision: 3 }).notNullable();
-            t.dateTime('updated_at', { useTz: true, precision: 3 }).notNullable();
-        },
-        columns: {
-            client_id: (t) => t.string('client_id', 2048),
-            user_id: (t) => t.string('user_id'),
-            agent_id: (t) => t.string('agent_id').nullable(),
-            account_id: (t) => t.string('account_id').nullable().index(),
-            grant_id: (t) => t.string('grant_id').nullable().index(),
-            scope: (t) => t.text('scope'),
-            expires_at: (t) => t.dateTime('expires_at', { useTz: true, precision: 3 }).nullable(),
-            ended_at: (t) => t.dateTime('ended_at', { useTz: true, precision: 3 }).nullable(),
-            created_at: (t) => t.dateTime('created_at', { useTz: true, precision: 3 }).nullable(),
-            updated_at: (t) => t.dateTime('updated_at', { useTz: true, precision: 3 }).nullable(),
-        },
-    },
-    {
-        name: 'auth_poppy_tokens',
-        /**
-         * Access tokens — só o hash. `jkt` = chave DPoP; `null` = Bearer. `session_id` e `user_id`
-         * ficaram da Draft 0.1 e saem vazios: o sign-in não conhece a Session.
-         */
-        create: (t) => {
-            t.string('token_hash', 64).primary();
-            t.string('session_id').notNullable().index();
-            t.string('client_id', 2048).notNullable();
-            t.string('user_id').notNullable();
-            t.string('account_id').nullable();
-            t.string('grant_id').nullable().index();
-            t.text('scope').notNullable();
-            t.string('resource', 2048).nullable();
-            t.string('jkt', 64).nullable();
-            t.dateTime('expires_at', { useTz: true, precision: 3 }).notNullable().index();
-            t.dateTime('created_at', { useTz: true, precision: 3 }).notNullable();
-        },
-        columns: {
-            session_id: (t) => t.string('session_id').index(),
-            client_id: (t) => t.string('client_id', 2048),
-            user_id: (t) => t.string('user_id'),
-            account_id: (t) => t.string('account_id').nullable(),
-            grant_id: (t) => t.string('grant_id').nullable().index(),
-            scope: (t) => t.text('scope'),
-            resource: (t) => t.string('resource', 2048).nullable(),
-            jkt: (t) => t.string('jkt', 64).nullable(),
-            expires_at: (t) => t.dateTime('expires_at', { useTz: true, precision: 3 }).nullable(),
-            created_at: (t) => t.dateTime('created_at', { useTz: true, precision: 3 }).nullable(),
-        },
-    },
-    {
-        name: 'auth_poppy_requests',
-        /**
-         * Pedidos: `authorize` (Direct — vira código após o consentimento), `device` (RFC 8628),
-         * `mediated` (aguardando o código de uso único) e `browser` (entrada de um navegador, §6).
-         * Códigos só como hash. Linhas expiradas são apagadas no próximo pedido.
-         */
-        create: (t) => {
-            t.string('id').primary();
-            t.string('kind', 16).notNullable();
-            t.string('code_hash', 64).nullable().unique();
-            t.string('user_code', 16).nullable().unique();
-            t.string('client_id', 2048).notNullable();
-            t.string('session_id').nullable();
-            t.string('account_id').nullable();
-            t.text('requested_scope').notNullable();
-            t.text('granted_scope').nullable();
-            t.string('redirect_uri', 2048).nullable();
-            t.string('code_challenge', 128).nullable();
-            t.string('status', 16).notNullable();
-            t.integer('attempts').notNullable().defaultTo(0);
-            t.integer('interval_seconds').nullable();
-            t.dateTime('last_polled_at', { useTz: true, precision: 3 }).nullable();
-            t.text('data').nullable();
-            t.dateTime('expires_at', { useTz: true, precision: 3 }).notNullable().index();
-            t.dateTime('created_at', { useTz: true, precision: 3 }).notNullable();
-        },
-        columns: {
-            kind: (t) => t.string('kind', 16),
-            code_hash: (t) => t.string('code_hash', 64).nullable(),
-            user_code: (t) => t.string('user_code', 16).nullable(),
-            client_id: (t) => t.string('client_id', 2048),
-            session_id: (t) => t.string('session_id').nullable(),
-            account_id: (t) => t.string('account_id').nullable(),
-            requested_scope: (t) => t.text('requested_scope'),
-            granted_scope: (t) => t.text('granted_scope').nullable(),
-            redirect_uri: (t) => t.string('redirect_uri', 2048).nullable(),
-            code_challenge: (t) => t.string('code_challenge', 128).nullable(),
-            status: (t) => t.string('status', 16),
-            attempts: (t) => t.integer('attempts').defaultTo(0),
-            interval_seconds: (t) => t.integer('interval_seconds').nullable(),
-            last_polled_at: (t) => t.dateTime('last_polled_at', { useTz: true, precision: 3 }).nullable(),
-            data: (t) => t.text('data').nullable(),
-            expires_at: (t) => t.dateTime('expires_at', { useTz: true, precision: 3 }).nullable(),
-            created_at: (t) => t.dateTime('created_at', { useTz: true, precision: 3 }).nullable(),
-        },
-    },
-    {
-        name: 'auth_poppy_jtis',
-        /** `jti` já aceitos (client assertions, Session JWTs, provas DPoP), até expirarem — anti-replay entre instâncias. */
-        create: (t) => {
-            t.string('key', 100).primary();
-            t.dateTime('expires_at', { useTz: true, precision: 3 }).notNullable().index();
-        },
-        columns: {
-            expires_at: (t) => t.dateTime('expires_at', { useTz: true, precision: 3 }).nullable(),
-        },
-    },
 ];
 /** Linhas de um `rawQuery`, no formato de cada driver (pg, mysql2, sqlite). */
 function catalogRows(result) {
@@ -586,26 +457,9 @@ async function ensureIndex(conn, table, index) {
         throw error;
     }
 }
-/**
- * Garante que as tabelas do authkit existem e têm todas as colunas que esta
- * versão da lib espera. Aditivo e idempotente — seguro de rodar em todo boot
- * e dentro de migrations.
- *
- * `db` é o manager (`Database`, no boot) ou o client da própria migration
- * (`this.db`, um `QueryClient`/`TransactionClient`, usado como está).
- */
-export async function ensureAuthkitSchema(db, options = {}) {
-    const conn = typeof db.connection !== 'function'
-        ? db
-        : options.connection
-            ? db.connection(options.connection)
-            : db.connection();
-    const report = {
-        created: [],
-        altered: {},
-        loginMethods: { table: options.accountTable ?? 'users', ensured: false },
-    };
-    for (const def of TABLES) {
+/** Cria/completa as tabelas (o miolo de {@link ensureAuthkitSchema}). */
+async function ensureTables(conn, tables, report) {
+    for (const def of tables) {
         if (!(await tableExists(conn, def.name))) {
             try {
                 await conn.schema.createTable(def.name, def.create);
@@ -639,6 +493,45 @@ export async function ensureAuthkitSchema(db, options = {}) {
             report.indexed[def.name].push(index.name);
         }
     }
+}
+/**
+ * Garante tabelas lib-owned no formato {@link AuthkitTable} — o que `ensureAuthkitSchema` faz com as
+ * do authkit: cria as que faltam, adiciona colunas e índices novos, nunca dropa nem altera. Para
+ * uma extension expor o próprio `ensure*Schema()` para migrations do host. Estável no 1.x.
+ */
+export async function ensureAuthkitTables(db, tables, options = {}) {
+    const conn = typeof db.connection !== 'function'
+        ? db
+        : options.connection
+            ? db.connection(options.connection)
+            : db.connection();
+    const report = {
+        created: [],
+        altered: {},
+    };
+    await ensureTables(conn, tables, report);
+    return report;
+}
+/**
+ * Garante que as tabelas do authkit existem e têm todas as colunas que esta
+ * versão da lib espera. Aditivo e idempotente — seguro de rodar em todo boot
+ * e dentro de migrations.
+ *
+ * `db` é o manager (`Database`, no boot) ou o client da própria migration
+ * (`this.db`, um `QueryClient`/`TransactionClient`, usado como está).
+ */
+export async function ensureAuthkitSchema(db, options = {}) {
+    const conn = typeof db.connection !== 'function'
+        ? db
+        : options.connection
+            ? db.connection(options.connection)
+            : db.connection();
+    const report = {
+        created: [],
+        altered: {},
+        loginMethods: { table: options.accountTable ?? 'users', ensured: false },
+    };
+    await ensureTables(conn, [...TABLES, ...(options.tables ?? [])], report);
     // Coluna `login_methods` na tabela da CONTA — a tabela é HOST-owned (não está
     // em TABLES porque o nome/shape são decisão do app), mas a LIB consome a
     // coluna (LoginMethodsPreferenceCapability). Alguns deploys de host só migram

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@adonis-agora/authkit-server",
-  "version": "1.0.0-rc.0",
+  "version": "1.0.0-rc.2",
   "description": "AdonisJS OIDC/OAuth2 provider (Identity Provider) toolkit: ejectable auth server with sessions, rate-limiting, MFA/TOTP, audit log, federated logout and OpenTelemetry metrics.",
   "license": "MIT",
   "author": "dudousxd",
@@ -110,14 +110,14 @@
     "@simplewebauthn/browser": "14.0.0",
     "@simplewebauthn/server": "14.1.0",
     "jose": "6.2.15",
-    "koa": "3.2.1",
+    "koa": "3.3.0",
     "koa-mount": "4.2.0",
     "oidc-provider": "9.13.3",
-    "otplib": "13.5.0",
+    "otplib": "13.6.0",
     "qrcode": "1.5.4"
   },
   "devDependencies": {
-    "@adonis-agora/authkit-react": "1.0.0-rc.0",
+    "@adonis-agora/authkit-react": "1.0.0-rc.1",
     "@adonis-agora/durable": "0.59.0",
     "@adonis-agora/telescope": "0.27.1",
     "@adonisjs/ally": "6.3.2",
@@ -140,7 +140,7 @@
     "@types/koa": "3.0.3",
     "@types/koa-mount": "4.0.5",
     "@types/luxon": "3.7.6",
-    "@types/node": "26.6.5",
+    "@types/node": "26.6.6",
     "@types/qrcode": "1.5.6",
     "@types/react": "19.3.0",
     "@types/react-dom": "19.3.0",

package/build/src/agents/poppy/client_registry.d.ts

@@ -1,50 +0,0 @@
-/**
- * Identidade do personal agent no Poppy (§4.1): o `client_id` é uma URL HTTPS
- * que devolve o documento de metadata do agente (OAuth Client ID Metadata
- * Document). Buscamos (à prova de SSRF), validamos, guardamos em cache e
- * importamos as chaves públicas do `jwks_uri`.
- */
-import { type JWTVerifyGetKey } from 'jose';
-import type { ResolvedPoppyConfig } from './config.js';
-import { type JsonFetcher } from './safe_fetch.js';
-export interface PoppyClient {
-    clientId: string;
-    /** `client_name`, ou o host do `client_id`. */
-    name: string;
-    logoUri: string | null;
-    jwksUri: string;
-    redirectUris: string[];
-    extensions: Record<string, unknown>;
-    /** Chaves públicas do `jwks_uri`. */
-    keys: JWTVerifyGetKey;
-}
-/**
- * `redirect_uri` igual a uma entrada de `redirect_uris`; numa loopback redirect URI a porta não
- * conta (§4.2, RFC 8252 §7.3).
- */
-export declare function redirectUriAllowed(registered: string[], redirectUri: string): boolean;
-/** Valida um documento de metadata e devolve os campos usados. Lança `invalid_client`. */
-export declare function validateClientMetadata(fetchedFrom: string, doc: unknown, options?: {
-    allowHttp?: boolean;
-}): Omit<PoppyClient, 'keys'>;
-export interface PoppyClientRegistryOptions {
-    /** Busca de JSON. Default: {@link safeFetchJson}. */
-    fetchJson?: JsonFetcher;
-    now?: () => number;
-}
-/**
- * Resolve e valida agentes pelo `client_id`, com cache (respeita `max-age`,
- * entre 1 min e 24 h; falhas ficam 1 min em cache para que o mesmo `client_id`
- * não vire uma busca de saída por request).
- */
-export declare class PoppyClientRegistry {
-    #private;
-    constructor(cfg: ResolvedPoppyConfig, options?: PoppyClientRegistryOptions);
-    /**
-     * O agente, ou `invalid_client`: `client_id` não é HTTPS, bloqueado, não
-     * registrado (quando o app exige registro), metadata inválida/inalcançável.
-     */
-    resolve(clientId: unknown): Promise<PoppyClient>;
-    /** Nome de exibição sem falhar (console de conta): metadata em cache/buscada, ou o host. */
-    displayName(clientId: string): Promise<string>;
-}

package/build/src/agents/poppy/client_registry.js

@@ -1,260 +0,0 @@
-/**
- * Identidade do personal agent no Poppy (§4.1): o `client_id` é uma URL HTTPS
- * que devolve o documento de metadata do agente (OAuth Client ID Metadata
- * Document). Buscamos (à prova de SSRF), validamos, guardamos em cache e
- * importamos as chaves públicas do `jwks_uri`.
- */
-import { createLocalJWKSet } from 'jose';
-import { PoppyError } from './errors.js';
-import { insecureDevFetchJson, SafeFetchError, safeFetchJson, } from './safe_fetch.js';
-const MIN_TTL_MS = 60 * 1000;
-const MAX_TTL_MS = 24 * 3600 * 1000;
-const DEFAULT_TTL_MS = 3600 * 1000;
-const FAILURE_TTL_MS = 60 * 1000;
-const MAX_CACHED = 1000;
-/** Releitura do JWKS quando o `kid` não está no conjunto em cache — no máximo a cada 30 s. */
-const JWKS_REFRESH_COOLDOWN_MS = 30 * 1000;
-function hostOf(url) {
-    try {
-        return new URL(url).host.toLowerCase();
-    }
-    catch {
-        return null;
-    }
-}
-function isHttpsUrl(value, allowHttp = false) {
-    if (typeof value !== 'string')
-        return false;
-    try {
-        const url = new URL(value);
-        const schemeOk = url.protocol === 'https:' || (allowHttp && url.protocol === 'http:');
-        return schemeOk && !url.username && !url.password && !url.hash;
-    }
-    catch {
-        return false;
-    }
-}
-/** Loopback redirect URI (RFC 8252 §7.3): `http`, IP de loopback literal, sem fragmento. */
-function isLoopbackRedirect(value) {
-    if (typeof value !== 'string')
-        return false;
-    try {
-        const url = new URL(value);
-        return (url.protocol === 'http:' &&
-            (url.hostname === '127.0.0.1' || url.hostname === '[::1]') &&
-            !url.username &&
-            !url.password &&
-            !url.hash);
-    }
-    catch {
-        return false;
-    }
-}
-/**
- * `redirect_uri` igual a uma entrada de `redirect_uris`; numa loopback redirect URI a porta não
- * conta (§4.2, RFC 8252 §7.3).
- */
-export function redirectUriAllowed(registered, redirectUri) {
-    if (registered.includes(redirectUri))
-        return true;
-    if (!isLoopbackRedirect(redirectUri))
-        return false;
-    const withoutPort = (value) => {
-        const url = new URL(value);
-        url.port = '';
-        return url.toString();
-    };
-    return registered.some((r) => isLoopbackRedirect(r) && withoutPort(r) === withoutPort(redirectUri));
-}
-function ttlFrom(maxAge) {
-    if (maxAge === null)
-        return DEFAULT_TTL_MS;
-    return Math.min(MAX_TTL_MS, Math.max(MIN_TTL_MS, maxAge * 1000));
-}
-function setBounded(map, key, value) {
-    map.delete(key);
-    map.set(key, value);
-    if (map.size > MAX_CACHED)
-        map.delete(map.keys().next().value);
-}
-/** Valida um documento de metadata e devolve os campos usados. Lança `invalid_client`. */
-export function validateClientMetadata(fetchedFrom, doc, options = {}) {
-    const allowHttp = options.allowHttp === true;
-    const bad = (why) => new PoppyError('invalid_client', `client metadata: ${why}`);
-    if (!doc || typeof doc !== 'object' || Array.isArray(doc))
-        throw bad('not a JSON object');
-    const d = doc;
-    if (d.client_id !== fetchedFrom)
-        throw bad('client_id must equal the URL it was fetched from');
-    const host = hostOf(fetchedFrom);
-    if (!isHttpsUrl(d.jwks_uri, allowHttp) || hostOf(d.jwks_uri) !== host) {
-        throw bad('jwks_uri must be an HTTPS URL on the same domain as client_id');
-    }
-    const redirects = d.redirect_uris ?? [];
-    if (!Array.isArray(redirects))
-        throw bad('redirect_uris must be an array');
-    for (const uri of redirects) {
-        if (isLoopbackRedirect(uri))
-            continue;
-        if (!isHttpsUrl(uri, allowHttp) || hostOf(uri) !== host) {
-            throw bad('every redirect_uri must be an HTTPS URL on the same domain as client_id, or a loopback URI');
-        }
-    }
-    if (d.token_endpoint_auth_method !== 'private_key_jwt') {
-        throw bad('token_endpoint_auth_method must be private_key_jwt');
-    }
-    if (d.jwks !== undefined)
-        throw bad('keys are published at jwks_uri only');
-    const name = typeof d.client_name === 'string' && d.client_name.trim() ? d.client_name : host;
-    const extensions = d.extensions && typeof d.extensions === 'object' && !Array.isArray(d.extensions)
-        ? d.extensions
-        : {};
-    return {
-        clientId: fetchedFrom,
-        name: name.slice(0, 200),
-        logoUri: isHttpsUrl(d.logo_uri, allowHttp) ? d.logo_uri : null,
-        jwksUri: d.jwks_uri,
-        redirectUris: redirects,
-        extensions,
-    };
-}
-/** Só chaves públicas (§4.1) e pelo menos uma. */
-function validateJwks(doc) {
-    const keys = doc?.keys;
-    if (!Array.isArray(keys) || keys.length === 0) {
-        throw new PoppyError('invalid_client', 'jwks_uri must serve a non-empty JWK set');
-    }
-    for (const key of keys) {
-        if (!key || typeof key !== 'object')
-            throw new PoppyError('invalid_client', 'invalid JWK');
-        const k = key;
-        if ('d' in k || 'p' in k || 'q' in k || k.kty === 'oct') {
-            throw new PoppyError('invalid_client', 'jwks_uri must contain only public keys');
-        }
-    }
-    return { keys: keys };
-}
-/**
- * Resolve e valida agentes pelo `client_id`, com cache (respeita `max-age`,
- * entre 1 min e 24 h; falhas ficam 1 min em cache para que o mesmo `client_id`
- * não vire uma busca de saída por request).
- */
-export class PoppyClientRegistry {
-    #cfg;
-    #fetch;
-    #now;
-    #clients = new Map();
-    #jwks = new Map();
-    constructor(cfg, options = {}) {
-        this.#cfg = cfg;
-        this.#fetch =
-            options.fetchJson ??
-                (cfg.allowInsecureClientIds
-                    ? (url) => insecureDevFetchJson(url)
-                    : (url) => safeFetchJson(url));
-        this.#now = options.now ?? Date.now;
-    }
-    /**
-     * O agente, ou `invalid_client`: `client_id` não é HTTPS, bloqueado, não
-     * registrado (quando o app exige registro), metadata inválida/inalcançável.
-     */
-    async resolve(clientId) {
-        if (!isHttpsUrl(clientId, this.#cfg.allowInsecureClientIds)) {
-            throw new PoppyError('invalid_client', 'client_id must be an HTTPS URL');
-        }
-        if (await this.#cfg.clients.isBlocked(clientId)) {
-            throw new PoppyError('invalid_client', 'client_id is blocked');
-        }
-        if (this.#cfg.clients.requireRegistration &&
-            !(await this.#cfg.clients.isRegistered(clientId))) {
-            throw new PoppyError('invalid_client', 'client_id is not registered');
-        }
-        const meta = await this.#metadata(clientId);
-        return { ...meta, keys: this.#keySet(meta.jwksUri) };
-    }
-    /** Nome de exibição sem falhar (console de conta): metadata em cache/buscada, ou o host. */
-    async displayName(clientId) {
-        try {
-            return (await this.#metadata(clientId)).name;
-        }
-        catch {
-            return hostOf(clientId) ?? clientId;
-        }
-    }
-    #metadata(clientId) {
-        const now = this.#now();
-        const cached = this.#clients.get(clientId);
-        if (cached && cached.expiresAt > now)
-            return cached.value;
-        const entry = {
-            value: Promise.resolve(null),
-            expiresAt: now + FAILURE_TTL_MS,
-        };
-        entry.value = (async () => {
-            let fetched;
-            try {
-                fetched = await this.#fetch(clientId);
-            }
-            catch (error) {
-                const why = error instanceof SafeFetchError ? error.message : 'unreachable';
-                throw new PoppyError('invalid_client', `client metadata: ${why}`);
-            }
-            const meta = validateClientMetadata(clientId, fetched.body, {
-                allowHttp: this.#cfg.allowInsecureClientIds,
-            });
-            entry.expiresAt = this.#now() + ttlFrom(fetched.maxAge);
-            return meta;
-        })();
-        entry.value.catch(() => {
-            entry.expiresAt = this.#now() + FAILURE_TTL_MS;
-        });
-        setBounded(this.#clients, clientId, entry);
-        return entry.value;
-    }
-    #fetchJwks(jwksUri, force) {
-        const now = this.#now();
-        const cached = this.#jwks.get(jwksUri);
-        if (cached && cached.expiresAt > now && !force)
-            return cached.value;
-        if (cached && force && now - cached.fetchedAt < JWKS_REFRESH_COOLDOWN_MS)
-            return cached.value;
-        const entry = {
-            value: Promise.resolve({ keys: [] }),
-            expiresAt: now + FAILURE_TTL_MS,
-            fetchedAt: now,
-        };
-        entry.value = (async () => {
-            let fetched;
-            try {
-                fetched = await this.#fetch(jwksUri);
-            }
-            catch (error) {
-                const why = error instanceof SafeFetchError ? error.message : 'unreachable';
-                throw new PoppyError('invalid_client', `jwks_uri: ${why}`);
-            }
-            const jwks = validateJwks(fetched.body);
-            entry.expiresAt = this.#now() + ttlFrom(fetched.maxAge);
-            return jwks;
-        })();
-        entry.value.catch(() => {
-            entry.expiresAt = this.#now() + FAILURE_TTL_MS;
-        });
-        setBounded(this.#jwks, jwksUri, entry);
-        return entry.value;
-    }
-    /** `JWTVerifyGetKey` que relê o JWKS uma vez quando o `kid` é desconhecido (rotação). */
-    #keySet(jwksUri) {
-        return async (header, token) => {
-            const jwks = await this.#fetchJwks(jwksUri, false);
-            try {
-                return await createLocalJWKSet(jwks)(header, token);
-            }
-            catch (error) {
-                const refreshed = await this.#fetchJwks(jwksUri, true);
-                if (refreshed === jwks)
-                    throw error;
-                return createLocalJWKSet(refreshed)(header, token);
-            }
-        };
-    }
-}