@arcote.tech/arc-auth 0.8.4 → 0.8.6

package/package.json

@@ -1,7 +1,7 @@
 {
   "name": "@arcote.tech/arc-auth",
   "type": "module",
-  "version": "0.8.4",
+  "version": "0.8.6",
   "private": false,
   "description": "Reusable authentication module for Arc framework — aggregate-based auth with factory pattern",
   "main": "./src/index.ts",
@@ -10,8 +10,8 @@
     "type-check": "tsc --noEmit"
   },
   "peerDependencies": {
-    "@arcote.tech/arc": "^0.8.4",
-    "@arcote.tech/platform": "^0.8.4",
+    "@arcote.tech/arc": "^0.8.6",
+    "@arcote.tech/platform": "^0.8.6",
     "react": "^18.0.0 || ^19.0.0",
     "typescript": "^5.0.0"
   },

package/src/routes/logout-route.ts

@@ -2,14 +2,13 @@ import { route } from "@arcote.tech/arc";
 
 /**
  * Publiczny route wylogowania — wygasza serwerowe cookie sesji `arc_token`
- * (ustawiane przez OAuth callback, Max-Age 7 dni). Symetryczny do logowania:
- * skoro OAuth ustawia cookie, logout musi je czyścić serwerowo — JS nie ruszy
- * HttpOnly cookie, a serwer używa go jako fallback dla każdego requestu (w tym
- * upgrade'u `/ws`), więc bez tego po wylogowaniu sesja trwała dalej.
+ * (scope default; ustawiane przez OAuth callback). Symetryczny do logowania.
+ * Scoped-cookie (`arc_token_<scope>`) czyści klient przez `AuthAdapter.clear()`;
+ * tu domykamy `arc_token`, którego pierwszy render po redirect mógł użyć.
  *
  * Publiczny (logout nie może wymagać auth). Czyszczenie nieistniejącego cookie
- * (login hasłem) jest no-opem. Atrybuty muszą pokrywać się z ustawieniem
- * (Path=/) żeby przeglądarka dopasowała cookie do usunięcia.
+ * jest no-opem. Atrybuty (Path=/) muszą pokrywać się z ustawieniem, żeby
+ * przeglądarka dopasowała cookie do usunięcia.
  */
 export function createLogoutRoute() {
   return route("authLogout")
@@ -20,7 +19,7 @@ export function createLogoutRoute() {
         const headers = new Headers();
         headers.append(
           "Set-Cookie",
-          "arc_token=; HttpOnly; SameSite=Lax; Path=/; Max-Age=0",
+          "arc_token=; SameSite=Lax; Path=/; Max-Age=0",
         );
         return new Response(null, { status: 204, headers });
       },

package/src/routes/oauth-routes.ts

@@ -302,12 +302,18 @@ export function createOAuthRoutes(data: OAuthRoutesData) {
         const targetUrl = new URL(decodedRedirect, baseUrl);
         targetUrl.searchParams.set("token", jwtToken);
 
-        // Set auth cookie + clear state cookie
+        // Set auth cookie + clear state cookie.
+        // NIE HttpOnly — od standardu „tokeny w cookie" klient CZYTA token
+        // (buduje X-Arc-Tokens/Authorization, WS scope:auth, params scope'a),
+        // a serwer czyta cookie przy `GET /` by spersonalizować HTML (manifest
+        // + preloady). Ten `arc_token` (scope default) pokrywa pierwszy render
+        // zaraz po redirect OAuth; potem klient z `?token=` ustawia własne
+        // scoped-cookie przez AuthAdapter. Ta sama ekspozycja XSS co reszta.
         const response = Response.redirect(targetUrl.toString(), 302);
         const headers = new Headers(response.headers);
         headers.append(
           "Set-Cookie",
-          `arc_token=${encodeURIComponent(jwtToken)}; HttpOnly; SameSite=Lax; Path=/; Max-Age=604800`,
+          `arc_token=${encodeURIComponent(jwtToken)}; SameSite=Lax; Path=/; Max-Age=604800`,
         );
         headers.append(
           "Set-Cookie",