@athsra/cli 1.1.3 → 1.1.4

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@athsra/cli",
-  "version": "1.1.3",
+  "version": "1.1.4",
   "description": "athsra CLI — E2EE secret manager on Cloudflare edge. Doppler-style dev UX + zero-knowledge encryption + soft-delete + version history. MIT.",
   "type": "module",
   "main": "./src/index.ts",

package/src/commands/login.ts

@@ -16,7 +16,12 @@ import { readPlain } from '../lib/envelope.ts';
 import { ensureKeypair } from '../lib/identity-key.ts';
 import { probeKeyring, setDeviceToken, setMasterPw, setToken } from '../lib/keyring.ts';
 import { consumeLegacySession } from '../lib/legacy-session.ts';
-import { openBrowser, runOidcPkceFlow, SSO_DEFAULTS } from '../lib/oidc-flow.ts';
+import {
+  openBrowser,
+  resolveOidcEndpoints,
+  runOidcPkceFlow,
+  SSO_DEFAULTS,
+} from '../lib/oidc-flow.ts';
 import { promptConfirm, promptPassword, promptText } from '../lib/prompt.ts';
 
 /**
@@ -81,9 +86,18 @@ async function ssoLoginCmd(): Promise<number> {
   //    env override 해석 후 lib/oidc-flow.ts 에 위임. 실패 시 throw → `✗ ...` + exit 1.
   let accessToken: string;
   try {
+    // endpoint 는 OIDC discovery 로 해석 (하드코딩 /authorize 금지 — connect 는 /sso/* 로 광고).
+    const endpoints = await resolveOidcEndpoints(
+      { discoveryUrl: process.env.ATHSRA_SSO_DISCOVERY_URL ?? SSO_DEFAULTS.discoveryUrl },
+      {
+        authorizeUrl: process.env.ATHSRA_SSO_AUTHORIZE_URL,
+        tokenUrl: process.env.ATHSRA_SSO_TOKEN_URL,
+      },
+    );
+    console.log(`  authorize: ${endpoints.authorizeUrl}`);
     const flow = await runOidcPkceFlow({
-      authorizeUrl: process.env.ATHSRA_SSO_AUTHORIZE_URL ?? SSO_DEFAULTS.authorizeUrl,
-      tokenUrl: process.env.ATHSRA_SSO_TOKEN_URL ?? SSO_DEFAULTS.tokenUrl,
+      authorizeUrl: endpoints.authorizeUrl,
+      tokenUrl: endpoints.tokenUrl,
       clientId: process.env.ATHSRA_SSO_CLIENT_ID ?? SSO_DEFAULTS.clientId,
       scope: SSO_DEFAULTS.scope,
       callbackTimeoutMs: SSO_DEFAULTS.callbackTimeoutMs,
@@ -424,8 +438,9 @@ const LOGIN_USAGE = [
   '  ATHSRA_WORKER_URL           worker URL (config 우선)',
   '  ATHSRA_MASTER_PW            non-interactive master pw',
   '  ATHSRA_PAPER_BACKUP_CONFIRMED=1   paper-backup prompt 우회',
-  '  ATHSRA_SSO_AUTHORIZE_URL    Connect /authorize override',
-  '  ATHSRA_SSO_TOKEN_URL        Connect /token override',
+  '  ATHSRA_SSO_DISCOVERY_URL    OIDC discovery URL (default: login.modfolio.io/.well-known/openid-configuration)',
+  '  ATHSRA_SSO_AUTHORIZE_URL    authorize endpoint override (둘 다 설정 시 discovery 생략)',
+  '  ATHSRA_SSO_TOKEN_URL        token endpoint override (둘 다 설정 시 discovery 생략)',
   '  ATHSRA_SSO_CLIENT_ID        Connect client_id (default: athsra-cli)',
 ].join('\n');
 

package/src/lib/oidc-flow.ts

@@ -13,11 +13,11 @@ import { createHash, randomBytes } from 'node:crypto';
 import { readFileSync } from 'node:fs';
 import { createServer, type IncomingMessage, type ServerResponse } from 'node:http';
 
-/** OIDC PKCE 플로우 엔드포인트 + 파라미터 (env override 는 호출부에서 해석해 주입). */
+/** OIDC PKCE 플로우 엔드포인트 + 파라미터 (endpoint 는 discovery 로 해석 후 주입). */
 export interface OidcFlowOptions {
-  /** Connect authorize endpoint */
+  /** Connect authorize endpoint (discovery 로 해석된 값) */
   authorizeUrl: string;
-  /** Connect token endpoint */
+  /** Connect token endpoint (discovery 로 해석된 값) */
   tokenUrl: string;
   /** Connect 측 CLI client (PKCE public, no secret) */
   clientId: string;
@@ -27,15 +27,88 @@ export interface OidcFlowOptions {
   callbackTimeoutMs: number;
 }
 
-export const SSO_DEFAULTS: OidcFlowOptions = {
-  authorizeUrl: 'https://login.modfolio.io/authorize',
-  tokenUrl: 'https://login.modfolio.io/token',
-  /** Connect 측 CLI client (PKCE public, no secret). 사용자가 별도 등록. */
+/**
+ * SSO 기본 설정 — endpoint 는 **discovery 로 해석**하므로 하드코딩하지 않는다.
+ *
+ * connect 는 OIDC 를 `/sso/*` 아래에서만 서빙하고 discovery 문서로 정확히 광고한다.
+ * 과거 bare `/authorize` 하드코딩이 404 의 근본 원인이었다 (connect → athsra 메시지 2026-06-15).
+ */
+export interface SsoConfig {
+  /** OIDC/OAuth discovery 문서 URL (OIDC Discovery / RFC 8414). connect 가 `/sso/*` 를 광고. */
+  discoveryUrl: string;
+  /** 기대 issuer (discovery host 와 분리됨 — RFC 8414). connect 의 issuer 식별자. */
+  issuer: string;
+  /** Connect 측 CLI client (PKCE public, no secret). connect 에 `athsra-cli` 로 등록. */
+  clientId: string;
+  scope: string;
+  callbackTimeoutMs: number;
+}
+
+export const SSO_DEFAULTS: SsoConfig = {
+  discoveryUrl: 'https://login.modfolio.io/.well-known/openid-configuration',
+  issuer: 'https://connect.modfolio.io',
   clientId: 'athsra-cli',
   scope: 'openid profile email',
   callbackTimeoutMs: 5 * 60 * 1000,
 };
 
+/** discovery 로 해석된 endpoint 쌍. */
+export interface ResolvedEndpoints {
+  authorizeUrl: string;
+  tokenUrl: string;
+}
+
+/** OIDC discovery 문서 중 우리가 쓰는 필드만의 타입 가드 (외부 입력 → unknown 검증). */
+function hasOidcEndpoints(
+  v: unknown,
+): v is { authorization_endpoint: string; token_endpoint: string } {
+  if (typeof v !== 'object' || v === null) return false;
+  const o = v as Record<string, unknown>;
+  return typeof o.authorization_endpoint === 'string' && typeof o.token_endpoint === 'string';
+}
+
+/** discovery 실패 시 폴백 — discovery URL 의 origin 에 connect 의 안정 계약(`/sso/*`) 을 붙인다. */
+function fallbackEndpoints(discoveryUrl: string): ResolvedEndpoints {
+  const { origin } = new URL(discoveryUrl);
+  return { authorizeUrl: `${origin}/sso/authorize`, tokenUrl: `${origin}/sso/token` };
+}
+
+/**
+ * authorize/token endpoint 를 OIDC **discovery 로 해석**한다 (정공법 — 하드코딩 경로 금지).
+ *
+ * 우선순위: 명시 override(둘 다 설정 시) > discovery 문서 > 폴백(`/sso/*`).
+ * 어떤 환경(dev/staging/prod)·향후 경로 변경에도 discovery 가 정답을 광고하므로 자동 적응한다.
+ * 부분 override(authorize 또는 token 한쪽)는 그 쪽만 고정하고 나머지는 discovery/폴백에서 채운다.
+ */
+export async function resolveOidcEndpoints(
+  cfg: Pick<SsoConfig, 'discoveryUrl'>,
+  overrides: { authorizeUrl?: string; tokenUrl?: string } = {},
+): Promise<ResolvedEndpoints> {
+  // 명시 override 가 둘 다 있으면 discovery 생략 (오프라인/엣지 E2E).
+  if (overrides.authorizeUrl && overrides.tokenUrl) {
+    return { authorizeUrl: overrides.authorizeUrl, tokenUrl: overrides.tokenUrl };
+  }
+  try {
+    const res = await fetch(cfg.discoveryUrl, { headers: { accept: 'application/json' } });
+    if (res.ok) {
+      const doc: unknown = await res.json();
+      if (hasOidcEndpoints(doc)) {
+        return {
+          authorizeUrl: overrides.authorizeUrl ?? doc.authorization_endpoint,
+          tokenUrl: overrides.tokenUrl ?? doc.token_endpoint,
+        };
+      }
+    }
+  } catch {
+    // 네트워크/파싱 실패 → 폴백 (connect 의 `/sso/*` 는 안정 계약).
+  }
+  const fb = fallbackEndpoints(cfg.discoveryUrl);
+  return {
+    authorizeUrl: overrides.authorizeUrl ?? fb.authorizeUrl,
+    tokenUrl: overrides.tokenUrl ?? fb.tokenUrl,
+  };
+}
+
 interface CallbackResult {
   code: string;
   state: string;