@aiquants/auth-core 0.1.1 → 0.4.0

package/README.md

@@ -14,6 +14,14 @@ Inside this monorepo it is already wired as a pnpm workspace package:
 
 - `AuthenticationPayload`, `GoogleProfileBase`, `SessionProfile`, `MyGoogleProfile` — the session/profile types re-homed from the app's `@coji/remix-auth-google` module augmentation so non-auth code can import them without pulling in remix-auth.
 - `emailDomainAllowlist(allowedEmails, allowedDomains)` → `(email) => boolean` — trim+lowercase normalized, logical OR of exact-email and domain match, fail-closed (throws when both lists empty). `parseAllowlistCsv(raw)` parses a comma-separated env value.
+  Domain patterns accept **both** `example.com` and `@example.com` (a leading `@` is stripped), because env values are usually written bare while admin UIs tend to teach the `@`-prefixed form. Matching is exact on the host — `example.com` never grants `evil-example.com` or `sub.example.com`.
+- `normalizeAuthEmail(email)` — the single comparison form (`trim` + `toLowerCase`) shared by the allowlist predicate, the external directory ledger, and membership matching. Two normalizers would let an address be present in one surface and absent in another with nothing raising an error.
+- `AuthUser` / `AuthGroup` / `AuthGroupMember` / `AuthAllowlistEntry` — entity types for a user/group administration surface (see `@aiquants/auth-react-router/admin`).
+  - `AuthGroup.externalLink` (`AuthGroupExternalLink`) records that an upstream directory owns the group's name and membership; `AuthGroup.readOnly` is the flag the UI acts on. Role assignment stays local, so an upstream change never grants privileges by itself.
+  - `AuthAllowlistEntry` is a discriminated union on `type`: `email` / `domain` rows carry a literal `pattern`, `group` rows carry a `groupId`. A group's address can be renamed upstream, so it is never the canonical value.
+  - `AuthAllowlistEntry.owner` says **who may edit** the row (`deployment` = immutable env-var source, `tenant` = that tenant's administrators). It is deliberately not a login-time filter: authentication happens before a tenant is resolved.
+  - `readOnly` is required on both types. Making it optional would introduce an implicit "unset means editable" default.
+- `AuthDirectoryStatus` — health of the external directory synchronization. `isStale` is `true` when a sync has never succeeded, because "unknown" is not evidence of health.
 - `defaultAuthMessages` / `AuthMessages` / `resolveAuthMessages(over?)` — the Japanese login-page error strings, overridable per app.
 
 ## Session profile shape (byte-compatible contract)

package/dist/index.d.mts

@@ -6,6 +6,21 @@
  * 大文字小文字を区別していたが、Python 側 (access_policy) の正規化に合わせて一元化する。
  * これは許可を「緩める」方向の変更で、大文字混じりの許可メールが確実に通るようになる。
  */
+/**
+ * Normalizes an address for comparison: trims surrounding whitespace and lowercases.
+ * 照合用にアドレスを正規化する処理。前後の空白を除去し小文字化する。
+ *
+ * **この 1 本が照合形の唯一の出所である。** 許可リスト・外部ディレクトリ台帳・所属の突合は
+ * すべてこれを通すこと。片側だけが別の正規化を持つと、台帳には載っているのに許可されない
+ * (あるいはその逆の) 食い違いが、どこにもエラーを出さないまま成立する。
+ *
+ * Python 側の姉妹実装 `access_policy.py` と同一セマンティクスであることが契約 (設計仕様書 §1-3)。
+ *
+ * @param email - Raw address, possibly absent. 生のアドレス (未設定もあり得る)。
+ * @returns The comparison form; empty string when there is nothing to compare.
+ *   照合形。照合対象が無い場合は空文字。
+ */
+declare const normalizeAuthEmail: (email: string | null | undefined) => string;
 /**
  * Builds an `isEmailAllowed(email)` predicate from allowed emails and domains.
  * 許可メール / 許可ドメインから `isEmailAllowed(email)` 述語を生成する。
@@ -98,5 +113,189 @@ type SessionProfile = GoogleProfileBase & AuthenticationPayload;
 type MyGoogleProfile = GoogleProfileBase & {
     photo: string;
 } & AuthenticationPayload;
+/**
+ * Managed user entity in the authentication system.
+ * 認証システムで管理されるユーザーエンティティ。
+ */
+type AuthUser = {
+    id: number;
+    email: string;
+    displayName: string;
+    photo?: string;
+    isActive: boolean;
+    createdAt?: string;
+    updatedAt?: string;
+};
+/**
+ * How an upstream directory's group membership is expanded.
+ * 上流ディレクトリのグループ所属をどこまで展開するか。
+ *
+ * `direct` はそのグループへ直接所属するメンバーのみ、`transitive` は入れ子グループを
+ * 展開した全メンバーを対象とする。既定値は設けない — 入れ子展開が黙って有効になると
+ * 権限が静かに広がるため、供給元ごとに明示させる。
+ */
+type AuthDirectoryMembershipMode = "direct" | "transitive";
+/**
+ * Provenance of a group whose membership is owned by an upstream directory.
+ * 所属の所有者が上流ディレクトリにあるグループの出所。
+ *
+ * この値を持つグループは名称・所属の双方を上流が所有するため、管理 UI は編集を拒否する。
+ * ロール割当 (どの権限を与えるか) は引き続きローカルが所有する — 上流の変更が権限へ
+ * 直接波及しない境界を保つため。
+ */
+type AuthGroupExternalLink = {
+    /** Upstream system identifier, e.g. `"google"`. 上流システムの識別子。 */
+    provider: string;
+    /**
+     * Stable upstream id. 上流の安定 ID。
+     *
+     * 表示用のアドレス (`externalKey`) は改名され得るため、突合は必ずこちらで行う。
+     */
+    externalId: string;
+    /** Operator-facing key such as the group address. 運用者向けキー (グループアドレス等)。 */
+    externalKey: string;
+    membershipMode: AuthDirectoryMembershipMode;
+    /** False pauses synchronization for this group alone. この 1 グループだけ同期を止める。 */
+    isSyncEnabled: boolean;
+    /** Last successful reconciliation; absent when none has ever succeeded. 最終同期成功時刻。 */
+    syncedAt?: string;
+    /** Message of the last failed reconciliation. 直近の同期失敗の理由。 */
+    syncError?: string;
+    /**
+     * Members observed upstream that no local user could be resolved for.
+     * 上流に居るがローカルユーザーへ解決できなかったメンバーの件数。
+     *
+     * 未ログインの人物は意図的にユーザー行を作らないため、この件数はエラーではなく
+     * 「まだ権限が付いていない人が居る」ことの可視化である。
+     */
+    unresolvedCount: number;
+};
+/**
+ * User group entity for aggregating users into teams or departments.
+ * ユーザーをチームや部署単位で集約するユーザーグループエンティティ。
+ */
+type AuthGroup = {
+    id: number;
+    groupKey: string;
+    name: string;
+    description?: string;
+    isActive: boolean;
+    /**
+     * Set when membership comes from an upstream directory; absent means locally managed.
+     * 所属が上流ディレクトリ由来である場合に設定される。未設定はローカル管理を意味する。
+     */
+    externalLink?: AuthGroupExternalLink;
+    /**
+     * True when the admin UI must refuse edits to this group and its membership.
+     * このグループとその所属に対する編集を管理 UI が拒否すべき場合に true。
+     *
+     * 任意ではなく必須にしてある。任意にすると「未設定 = 編集可」という暗黙の既定が生まれ、
+     * 供給元の設定を書き忘れた行が編集可能として描かれてしまう。
+     */
+    readOnly: boolean;
+    createdAt?: string;
+    updatedAt?: string;
+};
+/**
+ * Membership link between a user and a user group.
+ * ユーザーとユーザーグループの所属紐付けエンティティ。
+ */
+type AuthGroupMember = {
+    id: number;
+    groupId: number;
+    userId: number;
+    createdAt?: string;
+};
+/**
+ * Who owns an allowlist entry — that is, who may edit it.
+ * アロワリスト 1 行の所有者、すなわち誰が編集してよいかを表す値。
+ *
+ * ⚠️ **ログイン判定の絞り込み条件ではない。** 認証はテナントの確定より前に起きるため、
+ * 判定の時点でテナントは存在しない。許可判定はこの配備が受け持つ全テナントの和集合で行い、
+ * この値は管理 UI の編集スコープだけを決める。
+ */
+type AuthAllowlistOwner = 
+/** Supplied by immutable deployment configuration (environment variables). 配備設定由来。 */
+{
+    kind: "deployment";
+}
+/** Owned by one tenant's administrators. 単一テナントの管理者が所有。 */
+ | {
+    kind: "tenant";
+    tenantId: string;
+};
+/** Fields every allowlist entry carries regardless of its kind. 種別によらず共通の項目。 */
+type AuthAllowlistEntryBase = {
+    id: number;
+    owner: AuthAllowlistOwner;
+    description?: string;
+    createdAt?: string;
+    /**
+     * True when the entry cannot be edited or deleted through the admin UI.
+     * 管理 UI から編集・削除できないエントリの目印。
+     *
+     * 環境変数など変更不能な供給元に由来する行が該当する。必須項目である理由は
+     * {@link AuthGroup.readOnly} と同じ (未設定を「編集可」と読み替えさせないため)。
+     */
+    readOnly: boolean;
+};
+/**
+ * Allowlist entry defining who may sign in.
+ * サインインを許可する対象を定義するアロワリストエントリ。
+ *
+ * 判別共用体にしてあるのは、グループ許可の実体が **グループ ID** であり、改名され得る
+ * グループアドレスを正準値として持たせられないためである。単一の `pattern: string` へ
+ * 押し込むと、上流でアドレスが変わった瞬間に許可が静かに失われる。
+ */
+type AuthAllowlistEntry = (AuthAllowlistEntryBase & {
+    type: "email" | "domain";
+    /** The literal address or bare host to match. 照合するアドレスまたは裸ホスト。 */
+    pattern: string;
+}) | (AuthAllowlistEntryBase & {
+    type: "group";
+    /** Local group id the permission is anchored to. 許可の基点となるローカルグループ ID。 */
+    groupId: number;
+    groupKey: string;
+    groupName: string;
+});
+/**
+ * Health of the external directory synchronization, surfaced in the admin UI.
+ * 管理 UI に表示する外部ディレクトリ同期の健全性。
+ *
+ * 同期が別プロセスで動くため、web 側からは生死が見えない。テナント帰属証明が同期結果に
+ * 依存する構成では、同期の停止は「退職者がテナントに居続ける」というセキュリティ事象に
+ * なるため、陳腐化の可視化は任意ではなく必須である。
+ */
+type AuthDirectoryStatus = {
+    /** False when directory integration is not wired for this deployment. 未結線なら false。 */
+    isEnabled: boolean;
+    /** Number of groups whose membership is externally sourced. 外部供給グループの件数。 */
+    linkedGroupCount: number;
+    /**
+     * Oldest successful sync among sync-enabled links; absent when none has ever succeeded.
+     * 同期有効なリンクのうち最も古い成功時刻。一度も成功していない場合は未設定。
+     */
+    oldestSyncedAt?: string;
+    /**
+     * True when synchronization is overdue — including the case where it has never succeeded.
+     * 同期が期限超過している場合に true。一度も成功していない場合も含む。
+     *
+     * 「不明」を健全側へ倒さない。判定できないことは、健全であることの証明ではない。
+     */
+    isStale: boolean;
+    /**
+     * Linked groups whose synchronization is paused. 同期を停止しているリンク済みグループ数。
+     *
+     * リンクがあるのに 1 本も有効でない状態は健全ではない。台帳は凍結したまま権限を配り
+     * 続けるのに、件数とエラー数だけを見ると何も起きていないように読めてしまう。
+     */
+    pausedGroupCount: number;
+    /** Age in seconds beyond which a sync counts as overdue. 期限超過とみなす経過秒数。 */
+    stalenessThresholdSec: number;
+    /** Groups whose last synchronization failed. 直近の同期に失敗したグループ。 */
+    erroredGroupIds: number[];
+    /** Sync requests queued but not yet processed. 未処理の同期要求件数。 */
+    pendingRequestCount: number;
+};
 
-export { type AuthMessages, type AuthenticationPayload, type GoogleProfileBase, type MyGoogleProfile, type SessionProfile, defaultAuthMessages, emailDomainAllowlist, parseAllowlistCsv, resolveAuthMessages };
+export { type AuthAllowlistEntry, type AuthAllowlistOwner, type AuthDirectoryMembershipMode, type AuthDirectoryStatus, type AuthGroup, type AuthGroupExternalLink, type AuthGroupMember, type AuthMessages, type AuthUser, type AuthenticationPayload, type GoogleProfileBase, type MyGoogleProfile, type SessionProfile, defaultAuthMessages, emailDomainAllowlist, normalizeAuthEmail, parseAllowlistCsv, resolveAuthMessages };

package/dist/index.d.ts

@@ -6,6 +6,21 @@
  * 大文字小文字を区別していたが、Python 側 (access_policy) の正規化に合わせて一元化する。
  * これは許可を「緩める」方向の変更で、大文字混じりの許可メールが確実に通るようになる。
  */
+/**
+ * Normalizes an address for comparison: trims surrounding whitespace and lowercases.
+ * 照合用にアドレスを正規化する処理。前後の空白を除去し小文字化する。
+ *
+ * **この 1 本が照合形の唯一の出所である。** 許可リスト・外部ディレクトリ台帳・所属の突合は
+ * すべてこれを通すこと。片側だけが別の正規化を持つと、台帳には載っているのに許可されない
+ * (あるいはその逆の) 食い違いが、どこにもエラーを出さないまま成立する。
+ *
+ * Python 側の姉妹実装 `access_policy.py` と同一セマンティクスであることが契約 (設計仕様書 §1-3)。
+ *
+ * @param email - Raw address, possibly absent. 生のアドレス (未設定もあり得る)。
+ * @returns The comparison form; empty string when there is nothing to compare.
+ *   照合形。照合対象が無い場合は空文字。
+ */
+declare const normalizeAuthEmail: (email: string | null | undefined) => string;
 /**
  * Builds an `isEmailAllowed(email)` predicate from allowed emails and domains.
  * 許可メール / 許可ドメインから `isEmailAllowed(email)` 述語を生成する。
@@ -98,5 +113,189 @@ type SessionProfile = GoogleProfileBase & AuthenticationPayload;
 type MyGoogleProfile = GoogleProfileBase & {
     photo: string;
 } & AuthenticationPayload;
+/**
+ * Managed user entity in the authentication system.
+ * 認証システムで管理されるユーザーエンティティ。
+ */
+type AuthUser = {
+    id: number;
+    email: string;
+    displayName: string;
+    photo?: string;
+    isActive: boolean;
+    createdAt?: string;
+    updatedAt?: string;
+};
+/**
+ * How an upstream directory's group membership is expanded.
+ * 上流ディレクトリのグループ所属をどこまで展開するか。
+ *
+ * `direct` はそのグループへ直接所属するメンバーのみ、`transitive` は入れ子グループを
+ * 展開した全メンバーを対象とする。既定値は設けない — 入れ子展開が黙って有効になると
+ * 権限が静かに広がるため、供給元ごとに明示させる。
+ */
+type AuthDirectoryMembershipMode = "direct" | "transitive";
+/**
+ * Provenance of a group whose membership is owned by an upstream directory.
+ * 所属の所有者が上流ディレクトリにあるグループの出所。
+ *
+ * この値を持つグループは名称・所属の双方を上流が所有するため、管理 UI は編集を拒否する。
+ * ロール割当 (どの権限を与えるか) は引き続きローカルが所有する — 上流の変更が権限へ
+ * 直接波及しない境界を保つため。
+ */
+type AuthGroupExternalLink = {
+    /** Upstream system identifier, e.g. `"google"`. 上流システムの識別子。 */
+    provider: string;
+    /**
+     * Stable upstream id. 上流の安定 ID。
+     *
+     * 表示用のアドレス (`externalKey`) は改名され得るため、突合は必ずこちらで行う。
+     */
+    externalId: string;
+    /** Operator-facing key such as the group address. 運用者向けキー (グループアドレス等)。 */
+    externalKey: string;
+    membershipMode: AuthDirectoryMembershipMode;
+    /** False pauses synchronization for this group alone. この 1 グループだけ同期を止める。 */
+    isSyncEnabled: boolean;
+    /** Last successful reconciliation; absent when none has ever succeeded. 最終同期成功時刻。 */
+    syncedAt?: string;
+    /** Message of the last failed reconciliation. 直近の同期失敗の理由。 */
+    syncError?: string;
+    /**
+     * Members observed upstream that no local user could be resolved for.
+     * 上流に居るがローカルユーザーへ解決できなかったメンバーの件数。
+     *
+     * 未ログインの人物は意図的にユーザー行を作らないため、この件数はエラーではなく
+     * 「まだ権限が付いていない人が居る」ことの可視化である。
+     */
+    unresolvedCount: number;
+};
+/**
+ * User group entity for aggregating users into teams or departments.
+ * ユーザーをチームや部署単位で集約するユーザーグループエンティティ。
+ */
+type AuthGroup = {
+    id: number;
+    groupKey: string;
+    name: string;
+    description?: string;
+    isActive: boolean;
+    /**
+     * Set when membership comes from an upstream directory; absent means locally managed.
+     * 所属が上流ディレクトリ由来である場合に設定される。未設定はローカル管理を意味する。
+     */
+    externalLink?: AuthGroupExternalLink;
+    /**
+     * True when the admin UI must refuse edits to this group and its membership.
+     * このグループとその所属に対する編集を管理 UI が拒否すべき場合に true。
+     *
+     * 任意ではなく必須にしてある。任意にすると「未設定 = 編集可」という暗黙の既定が生まれ、
+     * 供給元の設定を書き忘れた行が編集可能として描かれてしまう。
+     */
+    readOnly: boolean;
+    createdAt?: string;
+    updatedAt?: string;
+};
+/**
+ * Membership link between a user and a user group.
+ * ユーザーとユーザーグループの所属紐付けエンティティ。
+ */
+type AuthGroupMember = {
+    id: number;
+    groupId: number;
+    userId: number;
+    createdAt?: string;
+};
+/**
+ * Who owns an allowlist entry — that is, who may edit it.
+ * アロワリスト 1 行の所有者、すなわち誰が編集してよいかを表す値。
+ *
+ * ⚠️ **ログイン判定の絞り込み条件ではない。** 認証はテナントの確定より前に起きるため、
+ * 判定の時点でテナントは存在しない。許可判定はこの配備が受け持つ全テナントの和集合で行い、
+ * この値は管理 UI の編集スコープだけを決める。
+ */
+type AuthAllowlistOwner = 
+/** Supplied by immutable deployment configuration (environment variables). 配備設定由来。 */
+{
+    kind: "deployment";
+}
+/** Owned by one tenant's administrators. 単一テナントの管理者が所有。 */
+ | {
+    kind: "tenant";
+    tenantId: string;
+};
+/** Fields every allowlist entry carries regardless of its kind. 種別によらず共通の項目。 */
+type AuthAllowlistEntryBase = {
+    id: number;
+    owner: AuthAllowlistOwner;
+    description?: string;
+    createdAt?: string;
+    /**
+     * True when the entry cannot be edited or deleted through the admin UI.
+     * 管理 UI から編集・削除できないエントリの目印。
+     *
+     * 環境変数など変更不能な供給元に由来する行が該当する。必須項目である理由は
+     * {@link AuthGroup.readOnly} と同じ (未設定を「編集可」と読み替えさせないため)。
+     */
+    readOnly: boolean;
+};
+/**
+ * Allowlist entry defining who may sign in.
+ * サインインを許可する対象を定義するアロワリストエントリ。
+ *
+ * 判別共用体にしてあるのは、グループ許可の実体が **グループ ID** であり、改名され得る
+ * グループアドレスを正準値として持たせられないためである。単一の `pattern: string` へ
+ * 押し込むと、上流でアドレスが変わった瞬間に許可が静かに失われる。
+ */
+type AuthAllowlistEntry = (AuthAllowlistEntryBase & {
+    type: "email" | "domain";
+    /** The literal address or bare host to match. 照合するアドレスまたは裸ホスト。 */
+    pattern: string;
+}) | (AuthAllowlistEntryBase & {
+    type: "group";
+    /** Local group id the permission is anchored to. 許可の基点となるローカルグループ ID。 */
+    groupId: number;
+    groupKey: string;
+    groupName: string;
+});
+/**
+ * Health of the external directory synchronization, surfaced in the admin UI.
+ * 管理 UI に表示する外部ディレクトリ同期の健全性。
+ *
+ * 同期が別プロセスで動くため、web 側からは生死が見えない。テナント帰属証明が同期結果に
+ * 依存する構成では、同期の停止は「退職者がテナントに居続ける」というセキュリティ事象に
+ * なるため、陳腐化の可視化は任意ではなく必須である。
+ */
+type AuthDirectoryStatus = {
+    /** False when directory integration is not wired for this deployment. 未結線なら false。 */
+    isEnabled: boolean;
+    /** Number of groups whose membership is externally sourced. 外部供給グループの件数。 */
+    linkedGroupCount: number;
+    /**
+     * Oldest successful sync among sync-enabled links; absent when none has ever succeeded.
+     * 同期有効なリンクのうち最も古い成功時刻。一度も成功していない場合は未設定。
+     */
+    oldestSyncedAt?: string;
+    /**
+     * True when synchronization is overdue — including the case where it has never succeeded.
+     * 同期が期限超過している場合に true。一度も成功していない場合も含む。
+     *
+     * 「不明」を健全側へ倒さない。判定できないことは、健全であることの証明ではない。
+     */
+    isStale: boolean;
+    /**
+     * Linked groups whose synchronization is paused. 同期を停止しているリンク済みグループ数。
+     *
+     * リンクがあるのに 1 本も有効でない状態は健全ではない。台帳は凍結したまま権限を配り
+     * 続けるのに、件数とエラー数だけを見ると何も起きていないように読めてしまう。
+     */
+    pausedGroupCount: number;
+    /** Age in seconds beyond which a sync counts as overdue. 期限超過とみなす経過秒数。 */
+    stalenessThresholdSec: number;
+    /** Groups whose last synchronization failed. 直近の同期に失敗したグループ。 */
+    erroredGroupIds: number[];
+    /** Sync requests queued but not yet processed. 未処理の同期要求件数。 */
+    pendingRequestCount: number;
+};
 
-export { type AuthMessages, type AuthenticationPayload, type GoogleProfileBase, type MyGoogleProfile, type SessionProfile, defaultAuthMessages, emailDomainAllowlist, parseAllowlistCsv, resolveAuthMessages };
+export { type AuthAllowlistEntry, type AuthAllowlistOwner, type AuthDirectoryMembershipMode, type AuthDirectoryStatus, type AuthGroup, type AuthGroupExternalLink, type AuthGroupMember, type AuthMessages, type AuthUser, type AuthenticationPayload, type GoogleProfileBase, type MyGoogleProfile, type SessionProfile, defaultAuthMessages, emailDomainAllowlist, normalizeAuthEmail, parseAllowlistCsv, resolveAuthMessages };

package/dist/index.js

@@ -1,2 +1,2 @@
-"use strict";var l=Object.defineProperty;var d=Object.getOwnPropertyDescriptor;var g=Object.getOwnPropertyNames;var u=Object.prototype.hasOwnProperty;var m=(e,t)=>{for(var n in t)l(e,n,{get:t[n],enumerable:!0})},f=(e,t,n,s)=>{if(t&&typeof t=="object"||typeof t=="function")for(let o of g(t))!u.call(e,o)&&o!==n&&l(e,o,{get:()=>t[o],enumerable:!(s=d(t,o))||s.enumerable});return e};var c=e=>f(l({},"__esModule",{value:!0}),e);var x={};m(x,{defaultAuthMessages:()=>a,emailDomainAllowlist:()=>p,parseAllowlistCsv:()=>w,resolveAuthMessages:()=>h});module.exports=c(x);var p=(e=[],t=[])=>{let n=new Set(e.map(o=>o.trim().toLowerCase()).filter(Boolean)),s=new Set(t.map(o=>o.trim().toLowerCase()).filter(Boolean));if(n.size===0&&s.size===0)throw new Error("At least one of allowedEmails or allowedDomains must be set");return o=>{let r=(o??"").trim().toLowerCase();if(r==="")return!1;if(n.has(r))return!0;let i=r.lastIndexOf("@");return i>=0&&s.has(r.slice(i+1))}},w=e=>e?e.split(",").map(t=>t.trim()).filter(Boolean):[];var a={emailNotVerified:"\u30E1\u30FC\u30EB\u30A2\u30C9\u30EC\u30B9\u304C\u78BA\u8A8D\u3055\u308C\u3066\u3044\u307E\u305B\u3093\u3002",googleFailed:"Google\u3067\u306E\u8A8D\u8A3C\u306B\u5931\u6557\u3057\u307E\u3057\u305F\u3002",backendFailed:"\u30D0\u30C3\u30AF\u30A8\u30F3\u30C9\u3067\u306E\u8A8D\u8A3C\u306B\u5931\u6557\u3057\u307E\u3057\u305F\u3002",notAllowed:"\u3053\u306E\u30A2\u30D7\u30EA\u30B1\u30FC\u30B7\u30E7\u30F3\u3078\u306E\u30A2\u30AF\u30BB\u30B9\u306F\u8A31\u53EF\u3055\u308C\u3066\u3044\u307E\u305B\u3093\u3002",backendUnreachable:"\u30D0\u30C3\u30AF\u30A8\u30F3\u30C9\u30B5\u30FC\u30D3\u30B9\u306B\u63A5\u7D9A\u3067\u304D\u307E\u305B\u3093\u3067\u3057\u305F\u3002\u6642\u9593\u3092\u304A\u3044\u3066\u518D\u5EA6\u304A\u8A66\u3057\u304F\u3060\u3055\u3044\u3002",unexpected:"\u8A8D\u8A3C\u4E2D\u306B\u4E88\u671F\u305B\u306C\u30A8\u30E9\u30FC\u304C\u767A\u751F\u3057\u307E\u3057\u305F\u3002"},h=e=>e?{...a,...e}:a;0&&(module.exports={defaultAuthMessages,emailDomainAllowlist,parseAllowlistCsv,resolveAuthMessages});
+"use strict";var i=Object.defineProperty;var u=Object.getOwnPropertyDescriptor;var g=Object.getOwnPropertyNames;var m=Object.prototype.hasOwnProperty;var f=(e,t)=>{for(var s in t)i(e,s,{get:t[s],enumerable:!0})},c=(e,t,s,o)=>{if(t&&typeof t=="object"||typeof t=="function")for(let n of g(t))!m.call(e,n)&&n!==s&&i(e,n,{get:()=>t[n],enumerable:!(o=u(t,n))||o.enumerable});return e};var p=e=>c(i({},"__esModule",{value:!0}),e);var w={};f(w,{defaultAuthMessages:()=>a,emailDomainAllowlist:()=>h,normalizeAuthEmail:()=>l,parseAllowlistCsv:()=>x,resolveAuthMessages:()=>A});module.exports=p(w);var l=e=>(e??"").trim().toLowerCase(),h=(e=[],t=[])=>{let s=new Set(e.map(l).filter(Boolean)),o=new Set(t.map(n=>l(n).replace(/^@+/,"")).filter(Boolean));if(s.size===0&&o.size===0)throw new Error("At least one of allowedEmails or allowedDomains must be set");return n=>{let r=l(n);if(r==="")return!1;if(s.has(r))return!0;let d=r.lastIndexOf("@");return d>=0&&o.has(r.slice(d+1))}},x=e=>e?e.split(",").map(t=>t.trim()).filter(Boolean):[];var a={emailNotVerified:"\u30E1\u30FC\u30EB\u30A2\u30C9\u30EC\u30B9\u304C\u78BA\u8A8D\u3055\u308C\u3066\u3044\u307E\u305B\u3093\u3002",googleFailed:"Google\u3067\u306E\u8A8D\u8A3C\u306B\u5931\u6557\u3057\u307E\u3057\u305F\u3002",backendFailed:"\u30D0\u30C3\u30AF\u30A8\u30F3\u30C9\u3067\u306E\u8A8D\u8A3C\u306B\u5931\u6557\u3057\u307E\u3057\u305F\u3002",notAllowed:"\u3053\u306E\u30A2\u30D7\u30EA\u30B1\u30FC\u30B7\u30E7\u30F3\u3078\u306E\u30A2\u30AF\u30BB\u30B9\u306F\u8A31\u53EF\u3055\u308C\u3066\u3044\u307E\u305B\u3093\u3002",backendUnreachable:"\u30D0\u30C3\u30AF\u30A8\u30F3\u30C9\u30B5\u30FC\u30D3\u30B9\u306B\u63A5\u7D9A\u3067\u304D\u307E\u305B\u3093\u3067\u3057\u305F\u3002\u6642\u9593\u3092\u304A\u3044\u3066\u518D\u5EA6\u304A\u8A66\u3057\u304F\u3060\u3055\u3044\u3002",unexpected:"\u8A8D\u8A3C\u4E2D\u306B\u4E88\u671F\u305B\u306C\u30A8\u30E9\u30FC\u304C\u767A\u751F\u3057\u307E\u3057\u305F\u3002"},A=e=>e?{...a,...e}:a;0&&(module.exports={defaultAuthMessages,emailDomainAllowlist,normalizeAuthEmail,parseAllowlistCsv,resolveAuthMessages});
 //# sourceMappingURL=index.js.map

package/dist/index.js.map

@@ -1 +1 @@
-{"version":3,"sources":["../src/index.ts","../src/allowlist.ts","../src/messages.ts"],"sourcesContent":["/**\n * @aiquants/auth-core — transport-agnostic auth types, allowlist policy, and messages.\n * @aiquants/auth-core — トランスポート非依存の認証型・allowlist ポリシー・メッセージ。\n */\nexport * from \"./allowlist\"\nexport * from \"./messages\"\nexport * from \"./types\"\n","/**\n * Email / domain allowlist policy (transport-agnostic).\n * メール / ドメインの allowlist ポリシー (トランスポート非依存)。\n *\n * §8-1 (統一セマンティクス): 照合は trim + lowercase で正規化する。原本の TS 側 login gate は\n * 大文字小文字を区別していたが、Python 側 (access_policy) の正規化に合わせて一元化する。\n * これは許可を「緩める」方向の変更で、大文字混じりの許可メールが確実に通るようになる。\n */\n\n/**\n * Builds an `isEmailAllowed(email)` predicate from allowed emails and domains.\n * 許可メール / 許可ドメインから `isEmailAllowed(email)` 述語を生成する。\n *\n * @throws when both lists are empty after normalization (fail-closed configuration guard).\n *         正規化後に両リストが空なら throw (fail-closed の設定ガード)。\n */\nexport const emailDomainAllowlist = (allowedEmails: readonly string[] = [], allowedDomains: readonly string[] = []): ((email: string | null | undefined) => boolean) => {\n    const emails = new Set(allowedEmails.map((e) => e.trim().toLowerCase()).filter(Boolean))\n    const domains = new Set(allowedDomains.map((d) => d.trim().toLowerCase()).filter(Boolean))\n    if (emails.size === 0 && domains.size === 0) {\n        throw new Error(\"At least one of allowedEmails or allowedDomains must be set\")\n    }\n    return (email: string | null | undefined): boolean => {\n        const normalized = (email ?? \"\").trim().toLowerCase()\n        if (normalized === \"\") return false\n        if (emails.has(normalized)) return true\n        // ドメイン一致: 最後の \"@\" 以降を取り出して判定する\n        const at = normalized.lastIndexOf(\"@\")\n        return at >= 0 && domains.has(normalized.slice(at + 1))\n    }\n}\n\n/**\n * Parses a comma-separated allowlist env value into a trimmed, non-empty string list.\n * カンマ区切りの allowlist 環境変数値を、トリム済みかつ空要素を除いた文字列配列へ変換する。\n */\nexport const parseAllowlistCsv = (raw: string | null | undefined): string[] => {\n    if (!raw) return []\n    return raw\n        .split(\",\")\n        .map((s) => s.trim())\n        .filter(Boolean)\n}\n","/**\n * Localizable auth error messages shown on the login page (`/auth/login?error=...`).\n * ログインページに表示する認証エラーメッセージ (上書き可能)。\n *\n * 既定は原本 (auth.server.ts の GoogleStrategy verify コールバック) の日本語文言と一致させる。\n */\n\nexport type AuthMessages = {\n    /** メール未確認 (email_verified === false)。 */\n    emailNotVerified: string\n    /** Google 側での認証失敗 (トークン/プロフィール欠落)。 */\n    googleFailed: string\n    /** バックエンド検証が false を返した。 */\n    backendFailed: string\n    /** allowlist で許可されていないユーザー。 */\n    notAllowed: string\n    /** バックエンドサービスへ到達できない (getaddrinfo ENOTFOUND 等)。 */\n    backendUnreachable: string\n    /** その他の予期せぬエラー。 */\n    unexpected: string\n}\n\n/** パッケージ既定の日本語メッセージ (原本と一致)。 */\nexport const defaultAuthMessages: AuthMessages = {\n    emailNotVerified: \"メールアドレスが確認されていません。\",\n    googleFailed: \"Googleでの認証に失敗しました。\",\n    backendFailed: \"バックエンドでの認証に失敗しました。\",\n    notAllowed: \"このアプリケーションへのアクセスは許可されていません。\",\n    backendUnreachable: \"バックエンドサービスに接続できませんでした。時間をおいて再度お試しください。\",\n    unexpected: \"認証中に予期せぬエラーが発生しました。\",\n}\n\n/**\n * Shallow-merges a partial override over the default messages.\n * 部分上書きを既定メッセージへ浅くマージする。\n */\nexport const resolveAuthMessages = (over?: Partial<AuthMessages>): AuthMessages => (over ? { ...defaultAuthMessages, ...over } : defaultAuthMessages)\n"],"mappings":"yaAAA,IAAAA,EAAA,GAAAC,EAAAD,EAAA,yBAAAE,EAAA,yBAAAC,EAAA,sBAAAC,EAAA,wBAAAC,IAAA,eAAAC,EAAAN,GCgBO,IAAMO,EAAuB,CAACC,EAAmC,CAAC,EAAGC,EAAoC,CAAC,IAAuD,CACpK,IAAMC,EAAS,IAAI,IAAIF,EAAc,IAAKG,GAAMA,EAAE,KAAK,EAAE,YAAY,CAAC,EAAE,OAAO,OAAO,CAAC,EACjFC,EAAU,IAAI,IAAIH,EAAe,IAAKI,GAAMA,EAAE,KAAK,EAAE,YAAY,CAAC,EAAE,OAAO,OAAO,CAAC,EACzF,GAAIH,EAAO,OAAS,GAAKE,EAAQ,OAAS,EACtC,MAAM,IAAI,MAAM,6DAA6D,EAEjF,OAAQE,GAA8C,CAClD,IAAMC,GAAcD,GAAS,IAAI,KAAK,EAAE,YAAY,EACpD,GAAIC,IAAe,GAAI,MAAO,GAC9B,GAAIL,EAAO,IAAIK,CAAU,EAAG,MAAO,GAEnC,IAAMC,EAAKD,EAAW,YAAY,GAAG,EACrC,OAAOC,GAAM,GAAKJ,EAAQ,IAAIG,EAAW,MAAMC,EAAK,CAAC,CAAC,CAC1D,CACJ,EAMaC,EAAqBC,GACzBA,EACEA,EACF,MAAM,GAAG,EACT,IAAKC,GAAMA,EAAE,KAAK,CAAC,EACnB,OAAO,OAAO,EAJF,CAAC,ECdf,IAAMC,EAAoC,CAC7C,iBAAkB,+GAClB,aAAc,iFACd,cAAe,+GACf,WAAY,qKACZ,mBAAoB,uOACpB,WAAY,oHAChB,EAMaC,EAAuBC,GAAgDA,EAAO,CAAE,GAAGF,EAAqB,GAAGE,CAAK,EAAIF","names":["index_exports","__export","defaultAuthMessages","emailDomainAllowlist","parseAllowlistCsv","resolveAuthMessages","__toCommonJS","emailDomainAllowlist","allowedEmails","allowedDomains","emails","e","domains","d","email","normalized","at","parseAllowlistCsv","raw","s","defaultAuthMessages","resolveAuthMessages","over"]}
+{"version":3,"sources":["../src/index.ts","../src/allowlist.ts","../src/messages.ts"],"sourcesContent":["/**\n * @aiquants/auth-core — transport-agnostic auth types, allowlist policy, and messages.\n * @aiquants/auth-core — トランスポート非依存の認証型・allowlist ポリシー・メッセージ。\n */\nexport * from \"./allowlist\"\nexport * from \"./messages\"\nexport * from \"./types\"\n","/**\n * Email / domain allowlist policy (transport-agnostic).\n * メール / ドメインの allowlist ポリシー (トランスポート非依存)。\n *\n * §8-1 (統一セマンティクス): 照合は trim + lowercase で正規化する。原本の TS 側 login gate は\n * 大文字小文字を区別していたが、Python 側 (access_policy) の正規化に合わせて一元化する。\n * これは許可を「緩める」方向の変更で、大文字混じりの許可メールが確実に通るようになる。\n */\n\n/**\n * Normalizes an address for comparison: trims surrounding whitespace and lowercases.\n * 照合用にアドレスを正規化する処理。前後の空白を除去し小文字化する。\n *\n * **この 1 本が照合形の唯一の出所である。** 許可リスト・外部ディレクトリ台帳・所属の突合は\n * すべてこれを通すこと。片側だけが別の正規化を持つと、台帳には載っているのに許可されない\n * (あるいはその逆の) 食い違いが、どこにもエラーを出さないまま成立する。\n *\n * Python 側の姉妹実装 `access_policy.py` と同一セマンティクスであることが契約 (設計仕様書 §1-3)。\n *\n * @param email - Raw address, possibly absent. 生のアドレス (未設定もあり得る)。\n * @returns The comparison form; empty string when there is nothing to compare.\n *   照合形。照合対象が無い場合は空文字。\n */\nexport const normalizeAuthEmail = (email: string | null | undefined): string => (email ?? \"\").trim().toLowerCase()\n\n/**\n * Builds an `isEmailAllowed(email)` predicate from allowed emails and domains.\n * 許可メール / 許可ドメインから `isEmailAllowed(email)` 述語を生成する。\n *\n * @throws when both lists are empty after normalization (fail-closed configuration guard).\n *         正規化後に両リストが空なら throw (fail-closed の設定ガード)。\n */\nexport const emailDomainAllowlist = (allowedEmails: readonly string[] = [], allowedDomains: readonly string[] = []): ((email: string | null | undefined) => boolean) => {\n    const emails = new Set(allowedEmails.map(normalizeAuthEmail).filter(Boolean))\n    // ドメインは \"example.com\" と \"@example.com\" の双方を受け付ける。管理 UI は後者の形式を案内し、\n    // 環境変数は前者で書かれているため、正規化しないと UI から登録したドメインが一切一致しない。\n    const domains = new Set(allowedDomains.map((d) => normalizeAuthEmail(d).replace(/^@+/, \"\")).filter(Boolean))\n    if (emails.size === 0 && domains.size === 0) {\n        throw new Error(\"At least one of allowedEmails or allowedDomains must be set\")\n    }\n    return (email: string | null | undefined): boolean => {\n        const normalized = normalizeAuthEmail(email)\n        if (normalized === \"\") return false\n        if (emails.has(normalized)) return true\n        // ドメイン一致: 最後の \"@\" 以降を取り出して判定する\n        const at = normalized.lastIndexOf(\"@\")\n        return at >= 0 && domains.has(normalized.slice(at + 1))\n    }\n}\n\n/**\n * Parses a comma-separated allowlist env value into a trimmed, non-empty string list.\n * カンマ区切りの allowlist 環境変数値を、トリム済みかつ空要素を除いた文字列配列へ変換する。\n */\nexport const parseAllowlistCsv = (raw: string | null | undefined): string[] => {\n    if (!raw) return []\n    return raw\n        .split(\",\")\n        .map((s) => s.trim())\n        .filter(Boolean)\n}\n","/**\n * Localizable auth error messages shown on the login page (`/auth/login?error=...`).\n * ログインページに表示する認証エラーメッセージ (上書き可能)。\n *\n * 既定は原本 (auth.server.ts の GoogleStrategy verify コールバック) の日本語文言と一致させる。\n */\n\nexport type AuthMessages = {\n    /** メール未確認 (email_verified === false)。 */\n    emailNotVerified: string\n    /** Google 側での認証失敗 (トークン/プロフィール欠落)。 */\n    googleFailed: string\n    /** バックエンド検証が false を返した。 */\n    backendFailed: string\n    /** allowlist で許可されていないユーザー。 */\n    notAllowed: string\n    /** バックエンドサービスへ到達できない (getaddrinfo ENOTFOUND 等)。 */\n    backendUnreachable: string\n    /** その他の予期せぬエラー。 */\n    unexpected: string\n}\n\n/** パッケージ既定の日本語メッセージ (原本と一致)。 */\nexport const defaultAuthMessages: AuthMessages = {\n    emailNotVerified: \"メールアドレスが確認されていません。\",\n    googleFailed: \"Googleでの認証に失敗しました。\",\n    backendFailed: \"バックエンドでの認証に失敗しました。\",\n    notAllowed: \"このアプリケーションへのアクセスは許可されていません。\",\n    backendUnreachable: \"バックエンドサービスに接続できませんでした。時間をおいて再度お試しください。\",\n    unexpected: \"認証中に予期せぬエラーが発生しました。\",\n}\n\n/**\n * Shallow-merges a partial override over the default messages.\n * 部分上書きを既定メッセージへ浅くマージする。\n */\nexport const resolveAuthMessages = (over?: Partial<AuthMessages>): AuthMessages => (over ? { ...defaultAuthMessages, ...over } : defaultAuthMessages)\n"],"mappings":"yaAAA,IAAAA,EAAA,GAAAC,EAAAD,EAAA,yBAAAE,EAAA,yBAAAC,EAAA,uBAAAC,EAAA,sBAAAC,EAAA,wBAAAC,IAAA,eAAAC,EAAAP,GCuBO,IAAMQ,EAAsBC,IAA8CA,GAAS,IAAI,KAAK,EAAE,YAAY,EASpGC,EAAuB,CAACC,EAAmC,CAAC,EAAGC,EAAoC,CAAC,IAAuD,CACpK,IAAMC,EAAS,IAAI,IAAIF,EAAc,IAAIH,CAAkB,EAAE,OAAO,OAAO,CAAC,EAGtEM,EAAU,IAAI,IAAIF,EAAe,IAAKG,GAAMP,EAAmBO,CAAC,EAAE,QAAQ,MAAO,EAAE,CAAC,EAAE,OAAO,OAAO,CAAC,EAC3G,GAAIF,EAAO,OAAS,GAAKC,EAAQ,OAAS,EACtC,MAAM,IAAI,MAAM,6DAA6D,EAEjF,OAAQL,GAA8C,CAClD,IAAMO,EAAaR,EAAmBC,CAAK,EAC3C,GAAIO,IAAe,GAAI,MAAO,GAC9B,GAAIH,EAAO,IAAIG,CAAU,EAAG,MAAO,GAEnC,IAAMC,EAAKD,EAAW,YAAY,GAAG,EACrC,OAAOC,GAAM,GAAKH,EAAQ,IAAIE,EAAW,MAAMC,EAAK,CAAC,CAAC,CAC1D,CACJ,EAMaC,EAAqBC,GACzBA,EACEA,EACF,MAAM,GAAG,EACT,IAAKC,GAAMA,EAAE,KAAK,CAAC,EACnB,OAAO,OAAO,EAJF,CAAC,EChCf,IAAMC,EAAoC,CAC7C,iBAAkB,+GAClB,aAAc,iFACd,cAAe,+GACf,WAAY,qKACZ,mBAAoB,uOACpB,WAAY,oHAChB,EAMaC,EAAuBC,GAAgDA,EAAO,CAAE,GAAGF,EAAqB,GAAGE,CAAK,EAAIF","names":["index_exports","__export","defaultAuthMessages","emailDomainAllowlist","normalizeAuthEmail","parseAllowlistCsv","resolveAuthMessages","__toCommonJS","normalizeAuthEmail","email","emailDomainAllowlist","allowedEmails","allowedDomains","emails","domains","d","normalized","at","parseAllowlistCsv","raw","s","defaultAuthMessages","resolveAuthMessages","over"]}

package/dist/index.mjs

@@ -1,2 +1,2 @@
-var i=(e=[],n=[])=>{let s=new Set(e.map(t=>t.trim().toLowerCase()).filter(Boolean)),r=new Set(n.map(t=>t.trim().toLowerCase()).filter(Boolean));if(s.size===0&&r.size===0)throw new Error("At least one of allowedEmails or allowedDomains must be set");return t=>{let o=(t??"").trim().toLowerCase();if(o==="")return!1;if(s.has(o))return!0;let l=o.lastIndexOf("@");return l>=0&&r.has(o.slice(l+1))}},d=e=>e?e.split(",").map(n=>n.trim()).filter(Boolean):[];var a={emailNotVerified:"\u30E1\u30FC\u30EB\u30A2\u30C9\u30EC\u30B9\u304C\u78BA\u8A8D\u3055\u308C\u3066\u3044\u307E\u305B\u3093\u3002",googleFailed:"Google\u3067\u306E\u8A8D\u8A3C\u306B\u5931\u6557\u3057\u307E\u3057\u305F\u3002",backendFailed:"\u30D0\u30C3\u30AF\u30A8\u30F3\u30C9\u3067\u306E\u8A8D\u8A3C\u306B\u5931\u6557\u3057\u307E\u3057\u305F\u3002",notAllowed:"\u3053\u306E\u30A2\u30D7\u30EA\u30B1\u30FC\u30B7\u30E7\u30F3\u3078\u306E\u30A2\u30AF\u30BB\u30B9\u306F\u8A31\u53EF\u3055\u308C\u3066\u3044\u307E\u305B\u3093\u3002",backendUnreachable:"\u30D0\u30C3\u30AF\u30A8\u30F3\u30C9\u30B5\u30FC\u30D3\u30B9\u306B\u63A5\u7D9A\u3067\u304D\u307E\u305B\u3093\u3067\u3057\u305F\u3002\u6642\u9593\u3092\u304A\u3044\u3066\u518D\u5EA6\u304A\u8A66\u3057\u304F\u3060\u3055\u3044\u3002",unexpected:"\u8A8D\u8A3C\u4E2D\u306B\u4E88\u671F\u305B\u306C\u30A8\u30E9\u30FC\u304C\u767A\u751F\u3057\u307E\u3057\u305F\u3002"},u=e=>e?{...a,...e}:a;export{a as defaultAuthMessages,i as emailDomainAllowlist,d as parseAllowlistCsv,u as resolveAuthMessages};
+var o=e=>(e??"").trim().toLowerCase(),d=(e=[],n=[])=>{let r=new Set(e.map(o).filter(Boolean)),l=new Set(n.map(s=>o(s).replace(/^@+/,"")).filter(Boolean));if(r.size===0&&l.size===0)throw new Error("At least one of allowedEmails or allowedDomains must be set");return s=>{let t=o(s);if(t==="")return!1;if(r.has(t))return!0;let i=t.lastIndexOf("@");return i>=0&&l.has(t.slice(i+1))}},u=e=>e?e.split(",").map(n=>n.trim()).filter(Boolean):[];var a={emailNotVerified:"\u30E1\u30FC\u30EB\u30A2\u30C9\u30EC\u30B9\u304C\u78BA\u8A8D\u3055\u308C\u3066\u3044\u307E\u305B\u3093\u3002",googleFailed:"Google\u3067\u306E\u8A8D\u8A3C\u306B\u5931\u6557\u3057\u307E\u3057\u305F\u3002",backendFailed:"\u30D0\u30C3\u30AF\u30A8\u30F3\u30C9\u3067\u306E\u8A8D\u8A3C\u306B\u5931\u6557\u3057\u307E\u3057\u305F\u3002",notAllowed:"\u3053\u306E\u30A2\u30D7\u30EA\u30B1\u30FC\u30B7\u30E7\u30F3\u3078\u306E\u30A2\u30AF\u30BB\u30B9\u306F\u8A31\u53EF\u3055\u308C\u3066\u3044\u307E\u305B\u3093\u3002",backendUnreachable:"\u30D0\u30C3\u30AF\u30A8\u30F3\u30C9\u30B5\u30FC\u30D3\u30B9\u306B\u63A5\u7D9A\u3067\u304D\u307E\u305B\u3093\u3067\u3057\u305F\u3002\u6642\u9593\u3092\u304A\u3044\u3066\u518D\u5EA6\u304A\u8A66\u3057\u304F\u3060\u3055\u3044\u3002",unexpected:"\u8A8D\u8A3C\u4E2D\u306B\u4E88\u671F\u305B\u306C\u30A8\u30E9\u30FC\u304C\u767A\u751F\u3057\u307E\u3057\u305F\u3002"},m=e=>e?{...a,...e}:a;export{a as defaultAuthMessages,d as emailDomainAllowlist,o as normalizeAuthEmail,u as parseAllowlistCsv,m as resolveAuthMessages};
 //# sourceMappingURL=index.mjs.map

package/dist/index.mjs.map

@@ -1 +1 @@
-{"version":3,"sources":["../src/allowlist.ts","../src/messages.ts"],"sourcesContent":["/**\n * Email / domain allowlist policy (transport-agnostic).\n * メール / ドメインの allowlist ポリシー (トランスポート非依存)。\n *\n * §8-1 (統一セマンティクス): 照合は trim + lowercase で正規化する。原本の TS 側 login gate は\n * 大文字小文字を区別していたが、Python 側 (access_policy) の正規化に合わせて一元化する。\n * これは許可を「緩める」方向の変更で、大文字混じりの許可メールが確実に通るようになる。\n */\n\n/**\n * Builds an `isEmailAllowed(email)` predicate from allowed emails and domains.\n * 許可メール / 許可ドメインから `isEmailAllowed(email)` 述語を生成する。\n *\n * @throws when both lists are empty after normalization (fail-closed configuration guard).\n *         正規化後に両リストが空なら throw (fail-closed の設定ガード)。\n */\nexport const emailDomainAllowlist = (allowedEmails: readonly string[] = [], allowedDomains: readonly string[] = []): ((email: string | null | undefined) => boolean) => {\n    const emails = new Set(allowedEmails.map((e) => e.trim().toLowerCase()).filter(Boolean))\n    const domains = new Set(allowedDomains.map((d) => d.trim().toLowerCase()).filter(Boolean))\n    if (emails.size === 0 && domains.size === 0) {\n        throw new Error(\"At least one of allowedEmails or allowedDomains must be set\")\n    }\n    return (email: string | null | undefined): boolean => {\n        const normalized = (email ?? \"\").trim().toLowerCase()\n        if (normalized === \"\") return false\n        if (emails.has(normalized)) return true\n        // ドメイン一致: 最後の \"@\" 以降を取り出して判定する\n        const at = normalized.lastIndexOf(\"@\")\n        return at >= 0 && domains.has(normalized.slice(at + 1))\n    }\n}\n\n/**\n * Parses a comma-separated allowlist env value into a trimmed, non-empty string list.\n * カンマ区切りの allowlist 環境変数値を、トリム済みかつ空要素を除いた文字列配列へ変換する。\n */\nexport const parseAllowlistCsv = (raw: string | null | undefined): string[] => {\n    if (!raw) return []\n    return raw\n        .split(\",\")\n        .map((s) => s.trim())\n        .filter(Boolean)\n}\n","/**\n * Localizable auth error messages shown on the login page (`/auth/login?error=...`).\n * ログインページに表示する認証エラーメッセージ (上書き可能)。\n *\n * 既定は原本 (auth.server.ts の GoogleStrategy verify コールバック) の日本語文言と一致させる。\n */\n\nexport type AuthMessages = {\n    /** メール未確認 (email_verified === false)。 */\n    emailNotVerified: string\n    /** Google 側での認証失敗 (トークン/プロフィール欠落)。 */\n    googleFailed: string\n    /** バックエンド検証が false を返した。 */\n    backendFailed: string\n    /** allowlist で許可されていないユーザー。 */\n    notAllowed: string\n    /** バックエンドサービスへ到達できない (getaddrinfo ENOTFOUND 等)。 */\n    backendUnreachable: string\n    /** その他の予期せぬエラー。 */\n    unexpected: string\n}\n\n/** パッケージ既定の日本語メッセージ (原本と一致)。 */\nexport const defaultAuthMessages: AuthMessages = {\n    emailNotVerified: \"メールアドレスが確認されていません。\",\n    googleFailed: \"Googleでの認証に失敗しました。\",\n    backendFailed: \"バックエンドでの認証に失敗しました。\",\n    notAllowed: \"このアプリケーションへのアクセスは許可されていません。\",\n    backendUnreachable: \"バックエンドサービスに接続できませんでした。時間をおいて再度お試しください。\",\n    unexpected: \"認証中に予期せぬエラーが発生しました。\",\n}\n\n/**\n * Shallow-merges a partial override over the default messages.\n * 部分上書きを既定メッセージへ浅くマージする。\n */\nexport const resolveAuthMessages = (over?: Partial<AuthMessages>): AuthMessages => (over ? { ...defaultAuthMessages, ...over } : defaultAuthMessages)\n"],"mappings":"AAgBO,IAAMA,EAAuB,CAACC,EAAmC,CAAC,EAAGC,EAAoC,CAAC,IAAuD,CACpK,IAAMC,EAAS,IAAI,IAAIF,EAAc,IAAKG,GAAMA,EAAE,KAAK,EAAE,YAAY,CAAC,EAAE,OAAO,OAAO,CAAC,EACjFC,EAAU,IAAI,IAAIH,EAAe,IAAKI,GAAMA,EAAE,KAAK,EAAE,YAAY,CAAC,EAAE,OAAO,OAAO,CAAC,EACzF,GAAIH,EAAO,OAAS,GAAKE,EAAQ,OAAS,EACtC,MAAM,IAAI,MAAM,6DAA6D,EAEjF,OAAQE,GAA8C,CAClD,IAAMC,GAAcD,GAAS,IAAI,KAAK,EAAE,YAAY,EACpD,GAAIC,IAAe,GAAI,MAAO,GAC9B,GAAIL,EAAO,IAAIK,CAAU,EAAG,MAAO,GAEnC,IAAMC,EAAKD,EAAW,YAAY,GAAG,EACrC,OAAOC,GAAM,GAAKJ,EAAQ,IAAIG,EAAW,MAAMC,EAAK,CAAC,CAAC,CAC1D,CACJ,EAMaC,EAAqBC,GACzBA,EACEA,EACF,MAAM,GAAG,EACT,IAAKC,GAAMA,EAAE,KAAK,CAAC,EACnB,OAAO,OAAO,EAJF,CAAC,ECdf,IAAMC,EAAoC,CAC7C,iBAAkB,+GAClB,aAAc,iFACd,cAAe,+GACf,WAAY,qKACZ,mBAAoB,uOACpB,WAAY,oHAChB,EAMaC,EAAuBC,GAAgDA,EAAO,CAAE,GAAGF,EAAqB,GAAGE,CAAK,EAAIF","names":["emailDomainAllowlist","allowedEmails","allowedDomains","emails","e","domains","d","email","normalized","at","parseAllowlistCsv","raw","s","defaultAuthMessages","resolveAuthMessages","over"]}
+{"version":3,"sources":["../src/allowlist.ts","../src/messages.ts"],"sourcesContent":["/**\n * Email / domain allowlist policy (transport-agnostic).\n * メール / ドメインの allowlist ポリシー (トランスポート非依存)。\n *\n * §8-1 (統一セマンティクス): 照合は trim + lowercase で正規化する。原本の TS 側 login gate は\n * 大文字小文字を区別していたが、Python 側 (access_policy) の正規化に合わせて一元化する。\n * これは許可を「緩める」方向の変更で、大文字混じりの許可メールが確実に通るようになる。\n */\n\n/**\n * Normalizes an address for comparison: trims surrounding whitespace and lowercases.\n * 照合用にアドレスを正規化する処理。前後の空白を除去し小文字化する。\n *\n * **この 1 本が照合形の唯一の出所である。** 許可リスト・外部ディレクトリ台帳・所属の突合は\n * すべてこれを通すこと。片側だけが別の正規化を持つと、台帳には載っているのに許可されない\n * (あるいはその逆の) 食い違いが、どこにもエラーを出さないまま成立する。\n *\n * Python 側の姉妹実装 `access_policy.py` と同一セマンティクスであることが契約 (設計仕様書 §1-3)。\n *\n * @param email - Raw address, possibly absent. 生のアドレス (未設定もあり得る)。\n * @returns The comparison form; empty string when there is nothing to compare.\n *   照合形。照合対象が無い場合は空文字。\n */\nexport const normalizeAuthEmail = (email: string | null | undefined): string => (email ?? \"\").trim().toLowerCase()\n\n/**\n * Builds an `isEmailAllowed(email)` predicate from allowed emails and domains.\n * 許可メール / 許可ドメインから `isEmailAllowed(email)` 述語を生成する。\n *\n * @throws when both lists are empty after normalization (fail-closed configuration guard).\n *         正規化後に両リストが空なら throw (fail-closed の設定ガード)。\n */\nexport const emailDomainAllowlist = (allowedEmails: readonly string[] = [], allowedDomains: readonly string[] = []): ((email: string | null | undefined) => boolean) => {\n    const emails = new Set(allowedEmails.map(normalizeAuthEmail).filter(Boolean))\n    // ドメインは \"example.com\" と \"@example.com\" の双方を受け付ける。管理 UI は後者の形式を案内し、\n    // 環境変数は前者で書かれているため、正規化しないと UI から登録したドメインが一切一致しない。\n    const domains = new Set(allowedDomains.map((d) => normalizeAuthEmail(d).replace(/^@+/, \"\")).filter(Boolean))\n    if (emails.size === 0 && domains.size === 0) {\n        throw new Error(\"At least one of allowedEmails or allowedDomains must be set\")\n    }\n    return (email: string | null | undefined): boolean => {\n        const normalized = normalizeAuthEmail(email)\n        if (normalized === \"\") return false\n        if (emails.has(normalized)) return true\n        // ドメイン一致: 最後の \"@\" 以降を取り出して判定する\n        const at = normalized.lastIndexOf(\"@\")\n        return at >= 0 && domains.has(normalized.slice(at + 1))\n    }\n}\n\n/**\n * Parses a comma-separated allowlist env value into a trimmed, non-empty string list.\n * カンマ区切りの allowlist 環境変数値を、トリム済みかつ空要素を除いた文字列配列へ変換する。\n */\nexport const parseAllowlistCsv = (raw: string | null | undefined): string[] => {\n    if (!raw) return []\n    return raw\n        .split(\",\")\n        .map((s) => s.trim())\n        .filter(Boolean)\n}\n","/**\n * Localizable auth error messages shown on the login page (`/auth/login?error=...`).\n * ログインページに表示する認証エラーメッセージ (上書き可能)。\n *\n * 既定は原本 (auth.server.ts の GoogleStrategy verify コールバック) の日本語文言と一致させる。\n */\n\nexport type AuthMessages = {\n    /** メール未確認 (email_verified === false)。 */\n    emailNotVerified: string\n    /** Google 側での認証失敗 (トークン/プロフィール欠落)。 */\n    googleFailed: string\n    /** バックエンド検証が false を返した。 */\n    backendFailed: string\n    /** allowlist で許可されていないユーザー。 */\n    notAllowed: string\n    /** バックエンドサービスへ到達できない (getaddrinfo ENOTFOUND 等)。 */\n    backendUnreachable: string\n    /** その他の予期せぬエラー。 */\n    unexpected: string\n}\n\n/** パッケージ既定の日本語メッセージ (原本と一致)。 */\nexport const defaultAuthMessages: AuthMessages = {\n    emailNotVerified: \"メールアドレスが確認されていません。\",\n    googleFailed: \"Googleでの認証に失敗しました。\",\n    backendFailed: \"バックエンドでの認証に失敗しました。\",\n    notAllowed: \"このアプリケーションへのアクセスは許可されていません。\",\n    backendUnreachable: \"バックエンドサービスに接続できませんでした。時間をおいて再度お試しください。\",\n    unexpected: \"認証中に予期せぬエラーが発生しました。\",\n}\n\n/**\n * Shallow-merges a partial override over the default messages.\n * 部分上書きを既定メッセージへ浅くマージする。\n */\nexport const resolveAuthMessages = (over?: Partial<AuthMessages>): AuthMessages => (over ? { ...defaultAuthMessages, ...over } : defaultAuthMessages)\n"],"mappings":"AAuBO,IAAMA,EAAsBC,IAA8CA,GAAS,IAAI,KAAK,EAAE,YAAY,EASpGC,EAAuB,CAACC,EAAmC,CAAC,EAAGC,EAAoC,CAAC,IAAuD,CACpK,IAAMC,EAAS,IAAI,IAAIF,EAAc,IAAIH,CAAkB,EAAE,OAAO,OAAO,CAAC,EAGtEM,EAAU,IAAI,IAAIF,EAAe,IAAKG,GAAMP,EAAmBO,CAAC,EAAE,QAAQ,MAAO,EAAE,CAAC,EAAE,OAAO,OAAO,CAAC,EAC3G,GAAIF,EAAO,OAAS,GAAKC,EAAQ,OAAS,EACtC,MAAM,IAAI,MAAM,6DAA6D,EAEjF,OAAQL,GAA8C,CAClD,IAAMO,EAAaR,EAAmBC,CAAK,EAC3C,GAAIO,IAAe,GAAI,MAAO,GAC9B,GAAIH,EAAO,IAAIG,CAAU,EAAG,MAAO,GAEnC,IAAMC,EAAKD,EAAW,YAAY,GAAG,EACrC,OAAOC,GAAM,GAAKH,EAAQ,IAAIE,EAAW,MAAMC,EAAK,CAAC,CAAC,CAC1D,CACJ,EAMaC,EAAqBC,GACzBA,EACEA,EACF,MAAM,GAAG,EACT,IAAKC,GAAMA,EAAE,KAAK,CAAC,EACnB,OAAO,OAAO,EAJF,CAAC,EChCf,IAAMC,EAAoC,CAC7C,iBAAkB,+GAClB,aAAc,iFACd,cAAe,+GACf,WAAY,qKACZ,mBAAoB,uOACpB,WAAY,oHAChB,EAMaC,EAAuBC,GAAgDA,EAAO,CAAE,GAAGF,EAAqB,GAAGE,CAAK,EAAIF","names":["normalizeAuthEmail","email","emailDomainAllowlist","allowedEmails","allowedDomains","emails","domains","d","normalized","at","parseAllowlistCsv","raw","s","defaultAuthMessages","resolveAuthMessages","over"]}

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@aiquants/auth-core",
-  "version": "0.1.1",
+  "version": "0.4.0",
   "description": "Transport-agnostic auth core: shared session/profile types, email/domain allowlist policy, and localizable auth error messages. No framework or provider SDK dependency.",
   "sideEffects": false,
   "main": "dist/index.js",