@adonis-agora/authkit-server 1.0.0-rc.1 → 1.0.0-rc.10

package/build/src/agents/poppy/web_session.js

@@ -1,122 +0,0 @@
-import { ACCOUNT_SESSION_KEY } from '../../host/account_session_key.js';
-import { syncAdonisAuthLogin, syncAdonisAuthLogout } from '../../host/adonis_auth_sync.js';
-import { POPPY_WEB_SESSION_KEY } from '../../host/poppy_session_key.js';
-import { personalAgentsFor } from '../runtime.js';
-/**
- * Liga o navegador à Session (§6, passo 3): regenera a sessão do app (session fixation) e a marca
- * como do agente. Uma entrada com access token faz o login na conta autorizada, no lugar de qualquer
- * outro, com o mecanismo do app — o hook `web.login`, ou a sessão de conta do authkit +
- * `adonisAuth.guard`. Uma entrada sem access token não mexe no login do navegador — a não ser que
- * uma entrada anterior o tenha logado: aí o sign-in dela termina aqui.
- */
-export async function loginPoppyBrowser(httpCtx, result) {
-    // Sem augmentation no barrel (ver `augmentation_isolation.spec.ts`): a sessão é lida sem tipo.
-    const ctx = httpCtx;
-    const service = await ctx.containerResolver.make('authkit.server');
-    const cfg = service.config;
-    const login = cfg.personalAgents?.poppy?.web?.login;
-    const previous = ctx.session.get(POPPY_WEB_SESSION_KEY);
-    await ctx.session.regenerate();
-    const marker = {
-        sessionId: result.sessionId,
-        clientId: result.clientId,
-        userId: result.userId,
-        accountId: result.accountId,
-        grantId: result.grantId,
-        scopes: result.scopes,
-    };
-    ctx.session.put(POPPY_WEB_SESSION_KEY, marker);
-    if (login) {
-        await login(ctx, {
-            sessionId: result.sessionId,
-            clientId: result.clientId,
-            userId: result.userId,
-            accountId: result.accountId,
-            scopes: result.scopes,
-        });
-        return;
-    }
-    if (result.accountId) {
-        ctx.session.put(ACCOUNT_SESSION_KEY, result.accountId);
-        const account = await cfg.accountStore.findById(result.accountId);
-        if (account)
-            await syncAdonisAuthLogin(ctx, cfg, account);
-    }
-    else if (previous?.accountId) {
-        ctx.session.forget(ACCOUNT_SESSION_KEY);
-        await syncAdonisAuthLogout(ctx, cfg);
-    }
-}
-const states = new WeakMap();
-/**
- * Estado da Session Poppy deste navegador (preenchido por {@link poppyWebSession}).
- *
- * @experimental Poppy (Personal Agent Protocol) Draft 0.3 — acompanha a spec em desenvolvimento e PODE MUDAR
- *   de forma incompatível fora de majors enquanto ela for draft.
- */
-export function poppyWebSessionOf(ctx) {
-    return states.get(ctx) ?? null;
-}
-/**
- * Middleware do site: o cookie age pela conta e pelos scopes autorizados na entrada e deixa de agir
- * quando o sign-in termina (sign-out, agente desconectado); não sobrevive à Session (§6). Um login
- * antigo não volta. Coloque-o depois do middleware de sessão.
- *
- * @experimental Poppy (Personal Agent Protocol) Draft 0.3 — acompanha a spec em desenvolvimento e PODE MUDAR
- *   de forma incompatível fora de majors enquanto ela for draft.
- */
-export function poppyWebSession() {
-    return async (httpCtx, next) => {
-        const ctx = httpCtx;
-        const marker = ctx.session?.get(POPPY_WEB_SESSION_KEY);
-        if (!marker?.sessionId)
-            return next();
-        const runtime = await personalAgentsFor(ctx);
-        const state = runtime?.poppy ? await runtime.poppy.browserState(marker) : null;
-        const service = await ctx.containerResolver.make('authkit.server');
-        const cfg = service.config;
-        const login = cfg.personalAgents?.poppy?.web?.login;
-        if (!state?.active || state.clientId !== marker.clientId) {
-            // A Session terminou: o cookie também — e o login dela, não o do próprio navegador.
-            ctx.session.forget(POPPY_WEB_SESSION_KEY);
-            if (marker.accountId) {
-                ctx.session.forget(ACCOUNT_SESSION_KEY);
-                await syncAdonisAuthLogout(ctx, cfg);
-            }
-            await ctx.session.regenerate();
-            return next();
-        }
-        states.set(ctx, state);
-        if (login) {
-            await login(ctx, {
-                sessionId: state.sessionId,
-                clientId: state.clientId,
-                userId: state.userId,
-                accountId: state.accountId,
-                scopes: state.scopes,
-            });
-            return next();
-        }
-        const current = ctx.session.get(ACCOUNT_SESSION_KEY);
-        if (state.signedIn && state.accountId) {
-            if (current !== state.accountId) {
-                ctx.session.put(ACCOUNT_SESSION_KEY, state.accountId);
-                const account = await cfg.accountStore.findById(state.accountId);
-                if (account)
-                    await syncAdonisAuthLogin(ctx, cfg, account);
-            }
-        }
-        else if (marker.accountId) {
-            // O sign-in da entrada terminou: o navegador sai, e a Session segue deslogada.
-            ctx.session.put(POPPY_WEB_SESSION_KEY, {
-                ...marker,
-                accountId: null,
-                grantId: null,
-                scopes: [],
-            });
-            ctx.session.forget(ACCOUNT_SESSION_KEY);
-            await syncAdonisAuthLogout(ctx, cfg);
-        }
-        return next();
-    };
-}

package/build/src/host/controllers/poppy_consent_controller.d.ts

@@ -1,19 +0,0 @@
-import '../augmentations.js';
-import type { HttpContext } from '@adonisjs/core/http';
-/**
- * Telas do usuário no Poppy: o consentimento do Direct Sign-In (o
- * `authorization_endpoint`, §4.2) e a do Device Sign-In (o `verification_uri`,
- * §4.3). Montadas atrás do `accountGuard`: sem sessão, o usuário passa pelo login
- * DESTE app e volta. Abrir o link nunca aprova sozinho — a aprovação é um POST
- * com CSRF. Recusadas durante impersonation.
- */
-export default class PoppyConsentController {
-    /** GET {prefix}/oauth/authorize */
-    authorize(ctx: HttpContext): Promise<any>;
-    /** POST {prefix}/oauth/authorize — `request_id`, `decision=allow|deny`, `scope[]`. */
-    decideAuthorization(ctx: HttpContext): Promise<any>;
-    /** GET {prefix}/device?user_code=XXXX-XXXX */
-    device(ctx: HttpContext): Promise<any>;
-    /** POST {prefix}/device — `user_code`, `decision`, `scope[]`. */
-    decideDevice(ctx: HttpContext): Promise<any>;
-}

package/build/src/host/controllers/poppy_consent_controller.js

@@ -1,199 +0,0 @@
-import '../augmentations.js';
-import { personalAgentsFor } from '../../agents/runtime.js';
-import { ACCOUNT_SESSION_KEY } from '../account_session_key.js';
-import { impersonationState } from '../impersonation_session.js';
-import { redirectExact } from '../redirect_exact.js';
-/** A tela nunca pode ser emoldurada (clickjacking — ver `agent_consent_controller.ts`). */
-function denyFraming(ctx) {
-    ctx.response.header('X-Frame-Options', 'DENY');
-    ctx.response.header('Content-Security-Policy', "frame-ancestors 'none'");
-}
-function chosenScopes(ctx) {
-    const raw = ctx.request.input('scope');
-    return (Array.isArray(raw) ? raw : raw ? [raw] : []).map(String);
-}
-/**
- * Telas do usuário no Poppy: o consentimento do Direct Sign-In (o
- * `authorization_endpoint`, §4.2) e a do Device Sign-In (o `verification_uri`,
- * §4.3). Montadas atrás do `accountGuard`: sem sessão, o usuário passa pelo login
- * DESTE app e volta. Abrir o link nunca aprova sozinho — a aprovação é um POST
- * com CSRF. Recusadas durante impersonation.
- */
-export default class PoppyConsentController {
-    /** GET {prefix}/oauth/authorize */
-    async authorize(ctx) {
-        const runtime = await personalAgentsFor(ctx);
-        const poppy = runtime?.poppy;
-        if (!poppy?.cfg.signIn.direct)
-            return ctx.response.notFound();
-        denyFraming(ctx);
-        const service = await ctx.containerResolver.make('authkit.server');
-        const render = service.config.render;
-        if (impersonationState(ctx).active) {
-            return render(ctx, 'agents/consent', {
-                csrfToken: ctx.request.csrfToken,
-                action: poppy.urls.authorization,
-                request: null,
-                account: null,
-                error: 'agents.consent.impersonating',
-            });
-        }
-        const accountId = ctx.session.get(ACCOUNT_SESSION_KEY);
-        const outcome = await poppy.startAuthorization(ctx.request.qs(), accountId);
-        if (outcome.kind === 'redirect')
-            return redirectExact(ctx.response, outcome.url);
-        if (outcome.kind === 'error') {
-            ctx.response.status(400);
-            return render(ctx, 'agents/done', {
-                status: 'invalid',
-                agentName: null,
-                scopes: [],
-            });
-        }
-        const account = await service.config.accountStore.findById(accountId);
-        return render(ctx, 'agents/consent', {
-            csrfToken: ctx.request.csrfToken,
-            action: poppy.urls.authorization,
-            request: {
-                agentName: outcome.request.agentName,
-                agentOrigin: outcome.request.agentOrigin,
-                logoUri: outcome.request.logoUri,
-                scopes: outcome.request.scopes,
-                hidden: [{ name: 'request_id', value: outcome.request.id }],
-            },
-            account: { email: account?.email ?? null },
-            error: null,
-        });
-    }
-    /** POST {prefix}/oauth/authorize — `request_id`, `decision=allow|deny`, `scope[]`. */
-    async decideAuthorization(ctx) {
-        const runtime = await personalAgentsFor(ctx);
-        const poppy = runtime?.poppy;
-        if (!poppy?.cfg.signIn.direct)
-            return ctx.response.notFound();
-        denyFraming(ctx);
-        const service = await ctx.containerResolver.make('authkit.server');
-        const cfg = service.config;
-        const render = cfg.render;
-        if (impersonationState(ctx).active) {
-            return render(ctx, 'agents/done', {
-                status: 'expired',
-                agentName: null,
-                scopes: [],
-            });
-        }
-        const accountId = ctx.session.get(ACCOUNT_SESSION_KEY);
-        const decided = await poppy.decideAuthorization({
-            requestId: String(ctx.request.input('request_id') ?? ''),
-            accountId,
-            allow: ctx.request.input('decision') === 'allow',
-            scopes: chosenScopes(ctx),
-        });
-        if (!decided) {
-            return render(ctx, 'agents/done', {
-                status: 'expired',
-                agentName: null,
-                scopes: [],
-            });
-        }
-        await cfg.audit?.record({
-            type: decided.approved ? 'agent.delegation_approved' : 'agent.delegation_denied',
-            accountId,
-            clientId: decided.clientId,
-            ip: ctx.request.ip?.() ?? null,
-            metadata: { protocol: 'poppy', signIn: 'direct', scopes: decided.approved ?? [] },
-        });
-        return redirectExact(ctx.response, decided.url);
-    }
-    /** GET {prefix}/device?user_code=XXXX-XXXX */
-    async device(ctx) {
-        const runtime = await personalAgentsFor(ctx);
-        const poppy = runtime?.poppy;
-        if (!poppy?.cfg.signIn.device)
-            return ctx.response.notFound();
-        denyFraming(ctx);
-        const service = await ctx.containerResolver.make('authkit.server');
-        const render = service.config.render;
-        const base = {
-            csrfToken: ctx.request.csrfToken,
-            action: poppy.urls.device,
-            request: null,
-            account: null,
-            error: null,
-        };
-        if (impersonationState(ctx).active) {
-            return render(ctx, 'agents/consent', {
-                ...base,
-                error: 'agents.consent.impersonating',
-            });
-        }
-        const input = ctx.request.input('user_code');
-        if (!input)
-            return render(ctx, 'agents/consent', base);
-        const pending = await poppy.pendingDevice(input);
-        if (!pending) {
-            return render(ctx, 'agents/consent', {
-                ...base,
-                error: 'agents.consent.invalid_code',
-            });
-        }
-        const accountId = ctx.session.get(ACCOUNT_SESSION_KEY);
-        const account = await service.config.accountStore.findById(accountId);
-        return render(ctx, 'agents/consent', {
-            ...base,
-            request: {
-                userCode: pending.userCode,
-                agentName: pending.agentName,
-                agentOrigin: pending.agentOrigin,
-                scopes: pending.scopes,
-            },
-            account: { email: account?.email ?? null },
-        });
-    }
-    /** POST {prefix}/device — `user_code`, `decision`, `scope[]`. */
-    async decideDevice(ctx) {
-        const runtime = await personalAgentsFor(ctx);
-        const poppy = runtime?.poppy;
-        if (!poppy?.cfg.signIn.device)
-            return ctx.response.notFound();
-        denyFraming(ctx);
-        const service = await ctx.containerResolver.make('authkit.server');
-        const cfg = service.config;
-        const render = cfg.render;
-        if (impersonationState(ctx).active) {
-            return render(ctx, 'agents/done', {
-                status: 'expired',
-                agentName: null,
-                scopes: [],
-            });
-        }
-        const accountId = ctx.session.get(ACCOUNT_SESSION_KEY);
-        const userCode = String(ctx.request.input('user_code') ?? '');
-        const pending = await poppy.pendingDevice(userCode);
-        const decided = await poppy.decideDevice({
-            userCode,
-            accountId,
-            allow: ctx.request.input('decision') === 'allow',
-            scopes: chosenScopes(ctx),
-        });
-        if (!decided || !pending) {
-            return render(ctx, 'agents/done', {
-                status: 'expired',
-                agentName: null,
-                scopes: [],
-            });
-        }
-        await cfg.audit?.record({
-            type: decided.approved ? 'agent.delegation_approved' : 'agent.delegation_denied',
-            accountId,
-            clientId: decided.clientId,
-            ip: ctx.request.ip?.() ?? null,
-            metadata: { protocol: 'poppy', signIn: 'device', scopes: decided.approved ?? [] },
-        });
-        return render(ctx, 'agents/done', {
-            status: decided.approved ? 'approved' : 'denied',
-            agentName: pending.agentName,
-            scopes: decided.approved ? poppy.describe(decided.approved) : [],
-        });
-    }
-}

package/build/src/host/controllers/poppy_controller.d.ts

@@ -1,33 +0,0 @@
-import type { HttpContext } from '@adonisjs/core/http';
-/**
- * Endpoints do Poppy (§3, §4, §6): descoberta, protected resource metadata, metadata RFC 8414,
- * token, revogação, device authorization e a entrada do navegador na Session. Os POSTs são isentos
- * de CSRF — ver `authkitCsrfExceptions`.
- */
-export default class PoppyController {
-    /** `GET /.well-known/poppy.json` — só no domínio da empresa; `www.` redireciona para ele. */
-    discovery(ctx: HttpContext): Promise<void>;
-    /** `GET /.well-known/oauth-protected-resource` do domínio (§3.2, RFC 9728). */
-    protectedResource(ctx: HttpContext): Promise<void>;
-    /** `GET /.well-known/oauth-authorization-server{prefix}` (RFC 8414 + `protected_resources`). */
-    metadata(ctx: HttpContext): Promise<void>;
-    token(ctx: HttpContext): Promise<void>;
-    deviceAuthorization(ctx: HttpContext): Promise<void>;
-    /** RFC 7009: 200 também para token desconhecido. */
-    revoke(ctx: HttpContext): Promise<void>;
-    /**
-     * `GET web.browser_session_endpoint` (§6, passo 1): a página com o código de uso único e o cookie
-     * que o prende a este navegador. Não mexe em Session nem nos outros cookies.
-     */
-    browserSessionPage(ctx: HttpContext): Promise<void>;
-    /**
-     * `POST {browser_session_endpoint}/authorize` (§6, passo 2): o agente autoriza o código, com o
-     * header da Session e, se logado, o access token. 204; código inválido → 400 `invalid_request`.
-     */
-    browserSessionAuthorize(ctx: HttpContext): Promise<void>;
-    /**
-     * `POST web.browser_session_endpoint` (§6, passo 3): o navegador submete o código → cookie do app
-     * para a Session, limpa o cookie do passo 1 e redireciona para o site; falha → página de erro.
-     */
-    browserSession(ctx: HttpContext): Promise<void>;
-}

package/build/src/host/controllers/poppy_controller.js

@@ -1,219 +0,0 @@
-import { PoppyError } from '../../agents/poppy/errors.js';
-import { publicRequestUrl, writePoppyAuthError, } from '../../agents/poppy/resource.js';
-import { loginPoppyBrowser } from '../../agents/poppy/web_session.js';
-import { personalAgentsFor } from '../../agents/runtime.js';
-function noStore(ctx) {
-    ctx.response.header('Cache-Control', 'no-store');
-    ctx.response.header('Pragma', 'no-cache');
-}
-function withNonce(ctx, poppy) {
-    const nonce = poppy.nonce();
-    if (nonce)
-        ctx.response.header('DPoP-Nonce', nonce);
-}
-function oauthError(ctx, error) {
-    noStore(ctx);
-    for (const [k, v] of Object.entries(error.headers))
-        ctx.response.header(k, v);
-    // Limite de taxa: 429 com `Retry-After`, sem corpo próprio (§5.6).
-    if (error.status === 429)
-        return ctx.response.status(429).send('');
-    if (error.code === 'invalid_dpop_proof' || error.code === 'use_dpop_nonce') {
-        ctx.response.header('WWW-Authenticate', `DPoP error="${error.code}"`);
-    }
-    return ctx.response.status(error.status).json(error.toJSON());
-}
-async function poppyOr404(ctx) {
-    const poppy = (await personalAgentsFor(ctx))?.poppy ?? null;
-    if (!poppy)
-        ctx.response.notFound();
-    return poppy;
-}
-/** Formulário (`application/x-www-form-urlencoded`) da request. */
-function form(ctx) {
-    return ctx.request.all();
-}
-/**
- * Endpoints do Poppy (§3, §4, §6): descoberta, protected resource metadata, metadata RFC 8414,
- * token, revogação, device authorization e a entrada do navegador na Session. Os POSTs são isentos
- * de CSRF — ver `authkitCsrfExceptions`.
- */
-export default class PoppyController {
-    /** `GET /.well-known/poppy.json` — só no domínio da empresa; `www.` redireciona para ele. */
-    async discovery(ctx) {
-        const poppy = await poppyOr404(ctx);
-        if (!poppy)
-            return;
-        // `host()` mantém a porta (dev em `localhost:3333`): o `browser_session_endpoint` sai dele.
-        const host = ctx.request.host() ?? ctx.request.hostname() ?? '';
-        const redirect = poppy.discoveryRedirect(host);
-        if (redirect) {
-            ctx.response.header('Location', redirect);
-            return ctx.response.status(308).send('');
-        }
-        const doc = poppy.discoveryDocument(host);
-        if (!doc)
-            return ctx.response.notFound();
-        ctx.response.header('Access-Control-Allow-Origin', '*');
-        ctx.response.header('Cache-Control', 'public, max-age=300');
-        return ctx.response.json(doc);
-    }
-    /** `GET /.well-known/oauth-protected-resource` do domínio (§3.2, RFC 9728). */
-    async protectedResource(ctx) {
-        const poppy = await poppyOr404(ctx);
-        if (!poppy)
-            return;
-        const doc = poppy.protectedResourceMetadata(ctx.request.host() ?? ctx.request.hostname() ?? '');
-        if (!doc)
-            return ctx.response.notFound();
-        ctx.response.header('Access-Control-Allow-Origin', '*');
-        ctx.response.header('Cache-Control', 'public, max-age=300');
-        return ctx.response.json(doc);
-    }
-    /** `GET /.well-known/oauth-authorization-server{prefix}` (RFC 8414 + `protected_resources`). */
-    async metadata(ctx) {
-        const poppy = await poppyOr404(ctx);
-        if (!poppy)
-            return;
-        ctx.response.header('Access-Control-Allow-Origin', '*');
-        ctx.response.header('Cache-Control', 'public, max-age=300');
-        return ctx.response.json(poppy.authorizationServerMetadata());
-    }
-    async token(ctx) {
-        const poppy = await poppyOr404(ctx);
-        if (!poppy)
-            return;
-        withNonce(ctx, poppy);
-        try {
-            const body = await poppy.token(form(ctx), ctx.request.header('dpop'), ctx);
-            noStore(ctx);
-            return ctx.response.json(body);
-        }
-        catch (error) {
-            if (error instanceof PoppyError)
-                return oauthError(ctx, error);
-            throw error;
-        }
-    }
-    async deviceAuthorization(ctx) {
-        const poppy = await poppyOr404(ctx);
-        if (!poppy)
-            return;
-        try {
-            const body = await poppy.deviceAuthorization(form(ctx));
-            noStore(ctx);
-            return ctx.response.json(body);
-        }
-        catch (error) {
-            if (error instanceof PoppyError)
-                return oauthError(ctx, error);
-            throw error;
-        }
-    }
-    /** RFC 7009: 200 também para token desconhecido. */
-    async revoke(ctx) {
-        const poppy = await poppyOr404(ctx);
-        if (!poppy)
-            return;
-        try {
-            await poppy.revoke(form(ctx));
-            noStore(ctx);
-            return ctx.response.status(200).send('');
-        }
-        catch (error) {
-            if (error instanceof PoppyError)
-                return oauthError(ctx, error);
-            throw error;
-        }
-    }
-    /**
-     * `GET web.browser_session_endpoint` (§6, passo 1): a página com o código de uso único e o cookie
-     * que o prende a este navegador. Não mexe em Session nem nos outros cookies.
-     */
-    async browserSessionPage(ctx) {
-        const poppy = await poppyOr404(ctx);
-        if (!poppy?.cfg.web?.browserSession)
-            return poppy ? ctx.response.notFound() : undefined;
-        const { code, cookie, maxAge } = await poppy.startBrowserJoin();
-        const name = joinCookieName(poppy);
-        ctx.response.append('Set-Cookie', `${name}=${cookie}; Path=/; Max-Age=${maxAge}; ${cookieSecure(poppy)}HttpOnly; SameSite=Strict`);
-        browserHeaders(ctx);
-        // `code` só tem caracteres base64url; o `action` é o path do próprio endpoint.
-        const action = new URL(poppy.urls.browserSession).pathname;
-        return ctx.response
-            .status(200)
-            .send(`<!doctype html><html><head><meta charset="utf-8"><title>Connecting</title></head><body><form method="post" action="${action}"><input type="hidden" name="code" value="${code}"><button>Continue</button></form></body></html>`);
-    }
-    /**
-     * `POST {browser_session_endpoint}/authorize` (§6, passo 2): o agente autoriza o código, com o
-     * header da Session e, se logado, o access token. 204; código inválido → 400 `invalid_request`.
-     */
-    async browserSessionAuthorize(ctx) {
-        const poppy = await poppyOr404(ctx);
-        if (!poppy?.cfg.web?.browserSession)
-            return poppy ? ctx.response.notFound() : undefined;
-        noStore(ctx);
-        try {
-            const result = await poppy.authorizeBrowserJoin({
-                method: ctx.request.method(),
-                url: publicRequestUrl(ctx, poppy),
-                headers: ctx.request.headers(),
-            }, ctx.request.body()?.code);
-            if (!result.ok)
-                return writePoppyAuthError(ctx, result);
-            return ctx.response.status(204).send('');
-        }
-        catch (error) {
-            if (error instanceof PoppyError) {
-                return ctx.response.status(400).json({ error: 'invalid_request' });
-            }
-            throw error;
-        }
-    }
-    /**
-     * `POST web.browser_session_endpoint` (§6, passo 3): o navegador submete o código → cookie do app
-     * para a Session, limpa o cookie do passo 1 e redireciona para o site; falha → página de erro.
-     */
-    async browserSession(ctx) {
-        const poppy = await poppyOr404(ctx);
-        if (!poppy?.cfg.web?.browserSession)
-            return poppy ? ctx.response.notFound() : undefined;
-        browserHeaders(ctx);
-        const name = joinCookieName(poppy);
-        const result = await poppy.completeBrowserJoin(ctx.request.input('code'), readCookie(ctx.request.header('cookie'), name));
-        if (!result)
-            return badBrowserRequest(ctx);
-        await loginPoppyBrowser(ctx, result);
-        ctx.response.append('Set-Cookie', `${name}=; Path=/; Max-Age=0; ${cookieSecure(poppy)}HttpOnly; SameSite=Strict`);
-        ctx.response.header('Location', poppy.cfg.web.redirectTo);
-        return ctx.response.status(303).send('');
-    }
-}
-/** `__Host-` exige `Secure`; em dev com o issuer em http o cookie sai sem os dois. */
-function joinCookieName(poppy) {
-    return new URL(poppy.urls.origin).protocol === 'https:' ? '__Host-poppy_join' : 'poppy_join';
-}
-function cookieSecure(poppy) {
-    return new URL(poppy.urls.origin).protocol === 'https:' ? 'Secure; ' : '';
-}
-function readCookie(header, name) {
-    for (const part of (header ?? '').split(';')) {
-        const eq = part.indexOf('=');
-        if (eq > 0 && part.slice(0, eq).trim() === name)
-            return part.slice(eq + 1).trim();
-    }
-    return undefined;
-}
-/** Sem cache, sem moldura e sem referência da página que abriu (§6, passo 1). */
-function browserHeaders(ctx) {
-    noStore(ctx);
-    ctx.response.header('Content-Type', 'text/html; charset=utf-8');
-    ctx.response.header('Content-Security-Policy', "frame-ancestors 'none'");
-    ctx.response.header('Cross-Origin-Opener-Policy', 'same-origin');
-    ctx.response.header('Referrer-Policy', 'no-referrer');
-}
-function badBrowserRequest(ctx) {
-    return ctx.response
-        .status(400)
-        .send('<!doctype html><html><head><meta charset="utf-8"><title>Bad request</title></head><body><h1>Invalid browser session request</h1></body></html>');
-}

package/build/src/host/poppy_session_key.d.ts

@@ -1,9 +0,0 @@
-/**
- * Session key que marca a sessão do navegador de um personal agent Poppy (§5):
- * `{ sessionId, clientId, userId }`. Import-free (o barrel a reexporta — ver
- * `account_session_key.ts`).
- *
- * Uma sessão marcada é do AGENTE, não do usuário: o console de conta, o admin e
- * as telas de consentimento a recusam.
- */
-export declare const POPPY_WEB_SESSION_KEY = "authkit_poppy_session";

package/build/src/host/poppy_session_key.js

@@ -1,9 +0,0 @@
-/**
- * Session key que marca a sessão do navegador de um personal agent Poppy (§5):
- * `{ sessionId, clientId, userId }`. Import-free (o barrel a reexporta — ver
- * `account_session_key.ts`).
- *
- * Uma sessão marcada é do AGENTE, não do usuário: o console de conta, o admin e
- * as telas de consentimento a recusam.
- */
-export const POPPY_WEB_SESSION_KEY = 'authkit_poppy_session';