@athsra/cli 1.0.1 → 1.0.3

package/src/lib/auth-context.ts

@@ -1,6 +1,7 @@
+import { deriveKey, fromBase64, toBase64 } from '@athsra/crypto';
 import { AthsraClient } from './client.ts';
 import { type Config, loadConfig } from './config.ts';
-import { getMasterPw, getToken } from './keyring.ts';
+import { getDeviceToken, getMasterPw, getToken, setToken } from './keyring.ts';
 
 /** User token mode — keyring 의 master pw + Bearer token 보유, full access. */
 export interface UserAuthContext {
@@ -41,42 +42,94 @@ export type AuthContext = UserAuthContext | ServiceAuthContext;
  *
  * 실패 시 stderr 에 안내 + null 반환. 호출자는 `return 1` 만.
  */
-export async function loadAuthContext(): Promise<AuthContext | null> {
+export async function loadAuthContext(project?: string): Promise<AuthContext | null> {
+  // 1. service token env (CI/headless 명시) — 최우선
   const envToken = process.env.ATHSRA_TOKEN;
   if (envToken?.startsWith('ats_')) {
     return loadServiceContext(envToken);
   }
-  return loadUserContext();
+  // 2. user context (master pw + token, full access) — 보유 시 우선
+  const userCtx = loadUserContext();
+  if (userCtx) return userCtx;
+  // 3. project-scoped device token (device-login agent) — master pw 없는 머신
+  //    Phase 3 P3: `athsra login --device --project <p>` 가 keyring 에 저장한 ats_*.
+  if (project) {
+    const deviceToken = getDeviceToken(project);
+    if (deviceToken?.startsWith('ats_')) {
+      const svc = await loadServiceContext(deviceToken, { silent: true });
+      if (svc) return svc;
+      console.error(
+        `device token for "${project}" 무효 (만료/revoke). ` +
+          `\`athsra login --device --project ${project}\` 로 재발급 (또는 \`athsra login\`).`,
+      );
+      return null;
+    }
+  }
+  // 4. 아무 자격증명 없음 — 안내
+  console.error(
+    project
+      ? `Not authenticated for "${project}". \`athsra login\` (full) 또는 ` +
+          `\`athsra login --device --project ${project}\` (agent, master pw 불필요).`
+      : 'Not logged in. Run `athsra login` first.',
+  );
+  return null;
 }
 
+/** master pw + token 보유 시 user context. 미보유 시 조용히 null (호출자가 device/안내 처리). */
 function loadUserContext(): UserAuthContext | null {
   const config = loadConfig();
-  if (!config) {
-    console.error('Not logged in. Run `athsra login` first.');
-    return null;
-  }
+  if (!config) return null;
   const masterPw = getMasterPw(config.machineId);
   const token = getToken(config.machineId);
-  if (!masterPw || !token) {
-    console.error('keyring missing master pw / token. Run `athsra login` first.');
-    return null;
-  }
+  if (!masterPw || !token) return null;
+  const client = new AthsraClient(config.workerUrl, token);
+  // Phase 3 — idle timeout 자동 재인증. 401 session_idle_timeout 시 keyring master pw
+  // 로 silent re-register (proof = Argon2id(pw + GLOBAL_SALT)) → 새 token keyring 저장.
+  // 기기 잠금 (OS keyring 차단) 이 방어선이므로 작업 중엔 끊김 없이, 잠금 시엔 idle 유효.
+  client.setIdleRefresh(async () => {
+    try {
+      const info = await client.info();
+      const proof = toBase64(deriveKey(masterPw, fromBase64(info.global_salt)));
+      const reg = await client.register(proof, config.machineId);
+      let token = reg.token;
+      // Phase 4 Slice 6a — re-register 는 자기 personal org 로 token 발급. switch 상태였으면
+      // (config.orgId) 다시 그 org 로 전환 — 안 하면 idle 후 사용자 모르게 personal 컨텍스트로 reset.
+      if (config.orgId !== undefined) {
+        client.setToken(token);
+        try {
+          token = (await client.switchOrg(config.orgId)).token;
+        } catch {
+          // switch 실패 (멤버십 변경/org 삭제) — personal org token 유지 (다음 `org use` 로 복구).
+        }
+      }
+      setToken(config.machineId, token);
+      return token;
+    } catch {
+      return null; // refresh 실패 — 원 401 그대로 (athsra login 안내)
+    }
+  });
   return {
     kind: 'user',
     config,
     masterPw,
     token,
-    client: new AthsraClient(config.workerUrl, token),
+    client,
   };
 }
 
-async function loadServiceContext(token: string): Promise<ServiceAuthContext | null> {
+async function loadServiceContext(
+  token: string,
+  opts?: { silent?: boolean },
+): Promise<ServiceAuthContext | null> {
+  const silent = opts?.silent ?? false;
   const config = loadConfig(); // optional in service mode
   const workerUrl = process.env.ATHSRA_WORKER_URL ?? config?.workerUrl;
   if (!workerUrl) {
-    console.error(
-      'service token 모드인데 worker URL 모름. `ATHSRA_WORKER_URL=https://...` 환경변수 또는 `~/.athsra/config.json` 필요.',
-    );
+    if (!silent) {
+      console.error(
+        'service token 모드인데 worker URL 모름. `ATHSRA_WORKER_URL=https://...` 환경변수 또는 `~/.athsra/config.json` 필요.',
+      );
+    }
     return null;
   }
   const client = new AthsraClient(workerUrl, token);
@@ -84,7 +137,9 @@ async function loadServiceContext(token: string): Promise<ServiceAuthContext | n
   try {
     me = await client.whoami();
   } catch (err) {
-    console.error(`service token 검증 실패 (worker /auth/whoami): ${(err as Error).message}`);
+    if (!silent) {
+      console.error(`service token 검증 실패 (worker /auth/whoami): ${(err as Error).message}`);
+    }
     return null;
   }
   if (
@@ -93,7 +148,11 @@ async function loadServiceContext(token: string): Promise<ServiceAuthContext | n
     (me.scopePerms !== 'read' && me.scopePerms !== 'write') ||
     !me.recipientId
   ) {
-    console.error('whoami 응답에 service token scope 정보 없음 — worker 갱신 필요 (Phase 1.x.8+).');
+    if (!silent) {
+      console.error(
+        'whoami 응답에 service token scope 정보 없음 — worker 갱신 필요 (Phase 1.x.8+).',
+      );
+    }
     return null;
   }
   return {