@arcote.tech/arc-auth 0.7.32 → 0.8.1

package/package.json

@@ -1,7 +1,7 @@
 {
   "name": "@arcote.tech/arc-auth",
   "type": "module",
-  "version": "0.7.32",
+  "version": "0.8.1",
   "private": false,
   "description": "Reusable authentication module for Arc framework — aggregate-based auth with factory pattern",
   "main": "./src/index.ts",
@@ -10,8 +10,8 @@
     "type-check": "tsc --noEmit"
   },
   "peerDependencies": {
-    "@arcote.tech/arc": "^0.7.32",
-    "@arcote.tech/platform": "^0.7.32",
+    "@arcote.tech/arc": "^0.8.1",
+    "@arcote.tech/platform": "^0.8.1",
     "react": "^18.0.0 || ^19.0.0",
     "typescript": "^5.0.0"
   },

package/src/aggregates/account.ts

@@ -36,6 +36,19 @@ async function hashPassword(password: string): Promise<string> {
   return await Bun.password.hash(password);
 }
 
+/**
+ * Bramka rejestracji — opcjonalny predykat server-side wołany PRZED utworzeniem
+ * nowego konta (email/hasło i OAuth). Zwraca `true` = wolno założyć konto.
+ * `undefined` ⇒ rejestracja otwarta (kompatybilność wstecz). `permit` to dowolny
+ * dowód uprawnienia (np. podpisany JWT-zaproszenie) przekazany z klienta/route;
+ * framework go nie interpretuje — całą politykę (np. zgodność email) rozstrzyga
+ * aplikacja w implementacji bramki. Logowanie istniejących kont bramki NIE dotyczy.
+ */
+export type RegistrationGate = (input: {
+  email: string;
+  permit?: string;
+}) => Promise<boolean>;
+
 export type AccountAggregateData<
   Name extends string,
   CustomFields extends ArcRawShape,
@@ -46,6 +59,8 @@ export type AccountAggregateData<
   token: Token<TokenFields>;
   customFields: CustomFields;
   tokenFields: TokenFields;
+  /** Bramka rejestracji (invite-only). Brak = rejestracja otwarta. */
+  registrationGate?: RegistrationGate;
 };
 
 export const createAccountAggregate = <
@@ -55,7 +70,8 @@ export const createAccountAggregate = <
 >(
   data: AccountAggregateData<Name, CustomFields, TokenFields>,
 ) => {
-  const { accountId, token, customFields, tokenFields } = data;
+  const { accountId, token, customFields, tokenFields, registrationGate } =
+    data;
 
   const name = data.name;
 
@@ -197,6 +213,9 @@ export const createAccountAggregate = <
                 // egzekwowana przez `validatePassword` w handlerze (jedno źródło
                 // prawdy z checklistą klienta).
                 password: string().minLength(1).maxLength(72),
+                // Dowód uprawnienia do rejestracji (invite-only). Interpretuje go
+                // wyłącznie `registrationGate`; przy otwartej rejestracji ignorowany.
+                permit: string().optional(),
               },
               accountFields,
             ),
@@ -204,7 +223,11 @@ export const createAccountAggregate = <
           .withResult(
             { accountId, token: string() },
             {
-              error: stringEnum("EMAIL_ALREADY_TAKEN", "WEAK_PASSWORD"),
+              error: stringEnum(
+                "EMAIL_ALREADY_TAKEN",
+                "WEAK_PASSWORD",
+                "REGISTRATION_NOT_ALLOWED",
+              ),
               accountId: accountId.optional(),
               token: string().optional(),
             },
@@ -228,6 +251,18 @@ export const createAccountAggregate = <
                   };
                 }
 
+                // Bramka invite-only — dotyczy tylko tworzenia NOWEGO konta
+                // (istniejący email zwrócił już token wyżej = logowanie).
+                if (
+                  registrationGate &&
+                  !(await registrationGate({
+                    email: params.email,
+                    permit: params.permit,
+                  }))
+                ) {
+                  return { error: "REGISTRATION_NOT_ALLOWED" as const };
+                }
+
                 const id = accountId.generate();
                 const pwHash = await hashPassword(params.password);
 
@@ -330,6 +365,10 @@ export const createAccountAggregate = <
                 email: string().email(),
                 provider: string(),
                 providerUserId: string(),
+                // Dowód uprawnienia do rejestracji (invite-only), przekazywany z
+                // route OAuth (cookie `oauth_permit`). Ignorowany przy otwartej
+                // rejestracji; nie trafia do eventu (schemat strippuje).
+                permit: string().optional(),
               },
               customFields,
             ),
@@ -348,6 +387,18 @@ export const createAccountAggregate = <
                   };
                 }
 
+                // Bramka invite-only — jak w `register`, dotyczy tylko realnego
+                // założenia konta (istniejący email = logowanie, obsłużone wyżej).
+                if (
+                  registrationGate &&
+                  !(await registrationGate({
+                    email: params.email,
+                    permit: params.permit,
+                  }))
+                ) {
+                  return { error: "REGISTRATION_NOT_ALLOWED" as const };
+                }
+
                 const id = accountId.generate();
 
                 await ctx.accountRegisteredViaOAuth.emit({

package/src/auth-builder.ts

@@ -5,7 +5,10 @@ import {
   type ArcRawShape,
   type ArcTokenAny,
 } from "@arcote.tech/arc";
-import type { AccountAggregate } from "./aggregates/account";
+import type {
+  AccountAggregate,
+  RegistrationGate,
+} from "./aggregates/account";
 import { createAccountAggregate } from "./aggregates/account";
 import type { OAuthIdentityAggregate } from "./aggregates/oauth-identity";
 import { createOAuthIdentityAggregate } from "./aggregates/oauth-identity";
@@ -104,6 +107,10 @@ export function auth<
   /** Schemat pól wnoszonych do payloadu JWT (np. `{ role: stringEnum(...) }`).
    *  Mergowany do schematu agregatu (są to też pola konta) i wprost do tokena. */
   tokenFields?: TokenFields;
+  /** Bramka rejestracji (invite-only). Predykat server-side wołany przed
+   *  utworzeniem NOWEGO konta w `register`/`registerViaOAuth`. Brak = rejestracja
+   *  otwarta. Politykę (np. weryfikacja permitu, zgodność email) rozstrzyga app. */
+  registrationGate?: RegistrationGate;
 }) {
   const accountId = createAccountId({ name: config.name });
   const tokenFields = (config.tokenFields ?? {}) as TokenFields;
@@ -120,6 +127,7 @@ export function auth<
     token: t,
     customFields: config.customFields,
     tokenFields,
+    registrationGate: config.registrationGate,
   });
 
   return new AuthBuilder(

package/src/index.ts

@@ -3,7 +3,7 @@ export { auth, AuthBuilder } from "./auth-builder";
 
 // Re-exports
 export { createAccountAggregate } from "./aggregates/account";
-export type { AccountAggregate } from "./aggregates/account";
+export type { AccountAggregate, RegistrationGate } from "./aggregates/account";
 export { createOAuthIdentityAggregate } from "./aggregates/oauth-identity";
 export type { OAuthIdentityAggregate } from "./aggregates/oauth-identity";
 export { createAccountId } from "./ids/account";

package/src/routes/oauth-routes.ts

@@ -68,6 +68,10 @@ export function createOAuthRoutes(data: OAuthRoutesData) {
 
         const state = generateState();
         const redirectTo = url.searchParams.get("redirectTo") || "/";
+        // Dowód uprawnienia do rejestracji (invite-only) — przenoszony przez
+        // roundtrip OAuth w HttpOnly cookie (nie w `state`, bo permit bywa długim
+        // JWT). Callback odczyta go i poda do `registerViaOAuth`.
+        const permit = url.searchParams.get("inviteToken");
 
         const redirectUri = `${baseUrl}/route/auth/oauth/${providerName}/callback`;
         const scopes = config.scopes || defaultScopes[providerName] || [];
@@ -86,6 +90,12 @@ export function createOAuthRoutes(data: OAuthRoutesData) {
           "Set-Cookie",
           `oauth_state=${state}; HttpOnly; SameSite=Lax; Path=/; Max-Age=600`,
         );
+        if (permit) {
+          headers.append(
+            "Set-Cookie",
+            `oauth_permit=${encodeURIComponent(permit)}; HttpOnly; SameSite=Lax; Path=/; Max-Age=600`,
+          );
+        }
         return new Response(response.body, {
           status: 302,
           headers,
@@ -121,6 +131,12 @@ export function createOAuthRoutes(data: OAuthRoutesData) {
 
         const cookieHeader = req.headers.get("cookie") || "";
         const stateCookie = parseCookie(cookieHeader, "oauth_state");
+        // Permit rejestracji (invite-only) przeniesiony z `oauthStart`. Może być
+        // null (zwykłe logowanie / brak zaproszenia) — bramka decyduje.
+        const permitCookie = parseCookie(cookieHeader, "oauth_permit");
+        const permit = permitCookie
+          ? decodeURIComponent(permitCookie)
+          : undefined;
 
         const [stateValue, redirectTo] = stateParam.split(":");
         if (!stateCookie || stateCookie !== stateValue) {
@@ -223,11 +239,13 @@ export function createOAuthRoutes(data: OAuthRoutesData) {
           });
         } else {
           // Try to register — registerViaOAuth uses internal $query (bypasses protectBy)
-          // and returns EMAIL_ALREADY_TAKEN with accountId if account exists
+          // and returns EMAIL_ALREADY_TAKEN with accountId if account exists.
+          // `permit` niesie dowód zaproszenia dla bramki invite-only (jeśli włączona).
           const registerResult = await accounts.registerViaOAuth({
             email: profile.email,
             provider: providerName,
             providerUserId: profile.providerUserId,
+            ...(permit ? { permit } : {}),
             ...(profile.displayName
               ? { displayName: profile.displayName }
               : {}),
@@ -236,6 +254,36 @@ export function createOAuthRoutes(data: OAuthRoutesData) {
               : {}),
           });
 
+          // Bramka invite-only odrzuciła założenie konta (brak/niewłaściwy permit
+          // lub niezgodny email) — wróć na stronę logowania z błędem, wyczyść cookies.
+          // UWAGA: EMAIL_ALREADY_TAKEN NIE jest błędem — to istniejące konto, do
+          // którego dopinamy nowego providera (login), więc niesie accountId+token.
+          if (
+            "error" in registerResult &&
+            registerResult.error === "REGISTRATION_NOT_ALLOWED"
+          ) {
+            const decodedRedirect = decodeURIComponent(redirectTo || "/");
+            const errRedirect = Response.redirect(
+              `${baseUrl}${decodedRedirect}?auth_error=${encodeURIComponent(
+                registerResult.error,
+              )}`,
+              302,
+            );
+            const errHeaders = new Headers(errRedirect.headers);
+            errHeaders.append(
+              "Set-Cookie",
+              `oauth_state=; HttpOnly; SameSite=Lax; Path=/; Max-Age=0`,
+            );
+            errHeaders.append(
+              "Set-Cookie",
+              `oauth_permit=; HttpOnly; SameSite=Lax; Path=/; Max-Age=0`,
+            );
+            return new Response(errRedirect.body, {
+              status: 302,
+              headers: errHeaders,
+            });
+          }
+
           // Both branches return accountId + token (JWT with tokenFields)
           const accountId = registerResult.accountId;
           jwtToken = registerResult.token;
@@ -265,6 +313,10 @@ export function createOAuthRoutes(data: OAuthRoutesData) {
           "Set-Cookie",
           `oauth_state=; HttpOnly; SameSite=Lax; Path=/; Max-Age=0`,
         );
+        headers.append(
+          "Set-Cookie",
+          `oauth_permit=; HttpOnly; SameSite=Lax; Path=/; Max-Age=0`,
+        );
         return new Response(response.body, {
           status: 302,
           headers,