@aurabase/auth 0.4.0 → 0.5.0

package/dist/index.js

@@ -1,75 +1,109 @@
-import { BaseService, isTokenExpired, AuraError, refreshOnce, emitAuraEvent } from '@aurabase/core';
+import { BaseService, isTokenExpired, clientScope, AuraError, refreshOnce, DEFAULT_REQUEST_TIMEOUT_MS, emitAuraEvent } from '@aurabase/core';
 
-// src/AuthService.ts
-
-// src/SessionManager.ts
-var SessionManager = class {
-  opts;
-  _interval = null;
-  _channel = null;
-  _active = false;
-  _visHandler = null;
-  constructor(opts) {
-    this.opts = { tickMs: 3e4, ...opts };
+// src/AuthAdminService.ts
+var AuthAdminService = class extends BaseService {
+  /**
+   * Préfixe des routes de ce service. Aucun identifiant de projet : il est injecté par
+   * la passerelle depuis le sous-domaine du projet (`inject_project_id`,
+   * `services/aura-gateway/src/middleware/project_subdomain.rs`).
+   */
+  get prefix() {
+    return "/v1/auth/admin";
   }
-  get isActive() {
-    return this._active;
+  // -- Users ----------------------------------------------------------------
+  async listUsers(params) {
+    const query = new URLSearchParams();
+    if (params?.limit !== void 0) query.set("limit", String(params.limit));
+    if (params?.offset !== void 0) query.set("offset", String(params.offset));
+    if (params?.search) query.set("search", params.search);
+    const qs = query.toString();
+    return this.request("GET", `${this.prefix}/users${qs ? "?" + qs : ""}`);
   }
-  start() {
-    if (!this.opts.enabled) return;
-    if (typeof BroadcastChannel !== "undefined" && !this._channel) {
-      this._channel = new BroadcastChannel(this.opts.channelName);
-      this._channel.onmessage = (e) => this.opts.onRemoteMessage(e.data);
-    }
-    if (typeof document !== "undefined" && !this._visHandler) {
-      this._visHandler = () => {
-        if (document.hidden) {
-          this._stopInterval();
-        } else if (this._active) {
-          this._startInterval();
-          if (this.opts.isRefreshDue()) this.opts.onTick();
-        }
-      };
-      document.addEventListener("visibilitychange", this._visHandler);
-    }
+  async getUser(userId) {
+    return this.request("GET", `${this.prefix}/users/${userId}`);
   }
-  setActive(active) {
-    this._active = active;
-    if (!this.opts.enabled) return;
-    const hidden = typeof document !== "undefined" && document.hidden;
-    if (active && !hidden) this._startInterval();
-    else this._stopInterval();
+  async createUser(data) {
+    return this.request("POST", `${this.prefix}/users`, data);
   }
-  broadcast(data) {
-    this._channel?.postMessage(data);
+  async updateUser(userId, data) {
+    return this.request("PUT", `${this.prefix}/users/${userId}`, data);
   }
-  stop() {
-    this._stopInterval();
-    this._active = false;
-    if (this._channel) {
-      try {
-        this._channel.close();
-      } catch {
-      }
-      this._channel = null;
-    }
-    if (this._visHandler && typeof document !== "undefined") {
-      document.removeEventListener("visibilitychange", this._visHandler);
-      this._visHandler = null;
-    }
+  async deleteUser(userId) {
+    return this.request("DELETE", `${this.prefix}/users/${userId}`);
   }
-  _startInterval() {
-    if (this._interval) return;
-    this._interval = setInterval(() => {
-      if (this.opts.isRefreshDue()) this.opts.onTick();
-    }, this.opts.tickMs);
-    this._interval.unref?.();
+  async banUser(userId) {
+    return this.request("POST", `${this.prefix}/users/${userId}/ban`, {});
   }
-  _stopInterval() {
-    if (this._interval) {
-      clearInterval(this._interval);
-      this._interval = null;
-    }
+  async unbanUser(userId) {
+    return this.request("POST", `${this.prefix}/users/${userId}/unban`, {});
+  }
+  async generateLink(userId, type) {
+    return this.request("POST", `${this.prefix}/users/${userId}/generate-link`, { type });
+  }
+  async getUserStats() {
+    return this.request("GET", `${this.prefix}/users/stats`);
+  }
+  async listUserIdentities(userId) {
+    return this.request("GET", `${this.prefix}/users/${userId}/identities`);
+  }
+  // -- Sessions ---------------------------------------------------------------
+  async listSessions(params) {
+    const query = new URLSearchParams();
+    if (params?.userId !== void 0) query.set("user_id", params.userId);
+    if (params?.limit !== void 0) query.set("limit", String(params.limit));
+    if (params?.offset !== void 0) query.set("offset", String(params.offset));
+    const qs = query.toString();
+    return this.request("GET", `${this.prefix}/sessions${qs ? "?" + qs : ""}`);
+  }
+  async revokeSession(sessionId) {
+    return this.request("DELETE", `${this.prefix}/sessions/${sessionId}`);
+  }
+  // -- Audit log ------------------------------------------------------------
+  async getAuditLog(params) {
+    const query = new URLSearchParams();
+    if (params?.userId !== void 0) query.set("user_id", params.userId);
+    if (params?.limit !== void 0) query.set("limit", String(params.limit));
+    if (params?.offset !== void 0) query.set("offset", String(params.offset));
+    const qs = query.toString();
+    return this.request("GET", `${this.prefix}/audit-log${qs ? "?" + qs : ""}`);
+  }
+  // -- Settings -------------------------------------------------------------
+  async getSettings() {
+    return this.request("GET", `${this.prefix}/settings`);
+  }
+  /**
+   * Met à jour les réglages auth du projet (fusion partielle : seuls les champs fournis
+   * sont écrits, `COALESCE` côté backend).
+   *
+   * Le corps est un {@link AuthSettingsUpdate}, PAS un `Partial<AuthSettings>` : la vue de
+   * lecture ne sait pas porter les secrets write-only (`smtp_password`, `webhook_secret`,
+   * `captcha_secret_key`, `sms_api_key`/`sms_api_secret`, `hook_secret`) ni les drapeaux
+   * d'effacement (`smtp_clear`, `sms_clear`, `oauth_credentials_clear`), et porte à l'inverse
+   * des projections (`smtp_password_set`, `hook_secret_set`, `updated_at`…) que le backend
+   * REFUSE.
+   *
+   * Le serveur refuse aussi bien un champ inconnu qu'un `null` explicite — `400` dans les deux
+   * cas, le champ fautif est nommé. Ce n'est plus seulement un contrôle TypeScript : ne
+   * renvoyez donc pas tel quel un objet lu par {@link getSettings}.
+   */
+  async updateSettings(data) {
+    return this.request("PUT", `${this.prefix}/settings`, data);
+  }
+  // -- Email templates ------------------------------------------------------
+  async listEmailTemplates() {
+    return this.request("GET", `${this.prefix}/email-templates`);
+  }
+  async getEmailTemplate(type) {
+    return this.request("GET", `${this.prefix}/email-templates/${type}`);
+  }
+  async updateEmailTemplate(type, data) {
+    return this.request("PUT", `${this.prefix}/email-templates/${type}`, data);
+  }
+  async deleteEmailTemplate(type) {
+    return this.request("DELETE", `${this.prefix}/email-templates/${type}`);
+  }
+  async testEmailTemplate(type, body) {
+    return this.request("POST", `${this.prefix}/email-templates/${type}/test`, body);
   }
 };
 
@@ -114,14 +148,30 @@ function parseMaxAge(cc) {
   const m = cc?.match(/max-age=(\d+)/);
   return m ? Number(m[1]) * 1e3 : null;
 }
-function fetchJwksDeduped(state, fetchFn, baseUrl) {
+function fetchJwksDeduped(state, fetchFn, baseUrl, timeoutMs) {
   const existing = state.inflight.get(baseUrl);
   if (existing) return existing;
   const p = (async () => {
+    let timer;
+    let bodyTimer;
     try {
-      const res = await fetchFn(`${baseUrl}/.well-known/jwks.json`);
+      let signal;
+      if (timeoutMs > 0 && typeof AbortController !== "undefined") {
+        const ctrl = new AbortController();
+        timer = setTimeout(() => ctrl.abort(), timeoutMs);
+        timer.unref?.();
+        signal = ctrl.signal;
+      }
+      const res = await fetchFn(`${baseUrl}/.well-known/jwks.json`, signal ? { signal } : {});
       if (!res.ok) throw new Error("jwks_fetch_failed");
-      const body = await res.json();
+      const body = await Promise.race([
+        res.json(),
+        new Promise((_resolve, reject) => {
+          if (!(timeoutMs > 0)) return;
+          bodyTimer = setTimeout(() => reject(new Error("jwks_body_timeout")), timeoutMs);
+          bodyTimer.unref?.();
+        })
+      ]);
       const parsed = parseMaxAge(res.headers.get("Cache-Control")) ?? DEFAULT_MAX_AGE_MS;
       const maxAge = Math.min(parsed, MAX_AGE_CAP_MS);
       const keys = body.keys ?? [];
@@ -131,12 +181,15 @@ function fetchJwksDeduped(state, fetchFn, baseUrl) {
     } catch {
       state.lastFailedAt.set(baseUrl, Date.now());
       throw new Error("jwks_fetch_failed");
+    } finally {
+      if (timer) clearTimeout(timer);
+      if (bodyTimer) clearTimeout(bodyTimer);
     }
   })().finally(() => state.inflight.delete(baseUrl));
   state.inflight.set(baseUrl, p);
   return p;
 }
-async function loadJwks(state, fetchFn, baseUrl) {
+async function loadJwks(state, fetchFn, baseUrl, timeoutMs) {
   const now = Date.now();
   const c = state.cache.get(baseUrl);
   if (c && now - c.fetchedAt < c.maxAgeMs) return c.keys;
@@ -144,9 +197,9 @@ async function loadJwks(state, fetchFn, baseUrl) {
   if (failedAt !== void 0 && now - failedAt < NEGATIVE_CACHE_TTL_MS) {
     throw new Error("jwks_fetch_failed");
   }
-  return fetchJwksDeduped(state, fetchFn, baseUrl);
+  return fetchJwksDeduped(state, fetchFn, baseUrl, timeoutMs);
 }
-async function forcedRefetchJwks(state, fetchFn, baseUrl) {
+async function forcedRefetchJwks(state, fetchFn, baseUrl, timeoutMs) {
   const now = Date.now();
   const last = state.lastForcedFetchAt.get(baseUrl);
   if (last !== void 0 && now - last < FORCED_REFETCH_COOLDOWN_MS) return null;
@@ -155,7 +208,7 @@ async function forcedRefetchJwks(state, fetchFn, baseUrl) {
   if (failedAt !== void 0 && now - failedAt < NEGATIVE_CACHE_TTL_MS) {
     throw new Error("jwks_fetch_failed");
   }
-  return fetchJwksDeduped(state, fetchFn, baseUrl);
+  return fetchJwksDeduped(state, fetchFn, baseUrl, timeoutMs);
 }
 function algParams(alg) {
   if (alg === "RS256") {
@@ -182,11 +235,12 @@ async function verifyJwtLocal(scope, fetchFn, baseUrl, jwt, opts = {}) {
   const params = algParams(d.header.alg);
   if (!params) return { ok: false, code: "unsupported_alg" };
   const state = stateFor(scope);
+  const timeoutMs = opts.timeoutMs ?? 0;
   const matchesAlg = (k) => d.header.alg === "RS256" ? k.kty === "RSA" : k.kty === "EC";
   const candidateKeys = (keys2) => d.header.kid ? keys2.filter((k) => k.kid === d.header.kid && matchesAlg(k)) : keys2.filter((k) => matchesAlg(k));
   let keys;
   try {
-    keys = await loadJwks(state, fetchFn, baseUrl);
+    keys = await loadJwks(state, fetchFn, baseUrl, timeoutMs);
   } catch {
     try {
       opts.onEvent?.(baseUrl);
@@ -198,7 +252,7 @@ async function verifyJwtLocal(scope, fetchFn, baseUrl, jwt, opts = {}) {
   if (candidates.length === 0 && d.header.kid) {
     let refetched;
     try {
-      refetched = await forcedRefetchJwks(state, fetchFn, baseUrl);
+      refetched = await forcedRefetchJwks(state, fetchFn, baseUrl, timeoutMs);
     } catch {
       try {
         opts.onEvent?.(baseUrl);
@@ -264,10 +318,103 @@ async function codeChallengeS256(verifier) {
   return b64url(new Uint8Array(digest));
 }
 
+// src/SessionManager.ts
+var SessionManager = class {
+  opts;
+  _interval = null;
+  _channel = null;
+  _active = false;
+  _visHandler = null;
+  constructor(opts) {
+    this.opts = { tickMs: 3e4, ...opts };
+  }
+  get isActive() {
+    return this._active;
+  }
+  start() {
+    if (!this.opts.enabled) return;
+    if (typeof BroadcastChannel !== "undefined" && !this._channel) {
+      this._channel = new BroadcastChannel(this.opts.channelName);
+      this._channel.onmessage = (e) => this.opts.onRemoteMessage(e.data);
+    }
+    if (typeof document !== "undefined" && !this._visHandler) {
+      this._visHandler = () => {
+        if (document.hidden) {
+          this._stopInterval();
+        } else if (this._active) {
+          this._startInterval();
+          if (this.opts.isRefreshDue()) this.opts.onTick();
+        }
+      };
+      document.addEventListener("visibilitychange", this._visHandler);
+    }
+  }
+  setActive(active) {
+    this._active = active;
+    if (!this.opts.enabled) return;
+    const hidden = typeof document !== "undefined" && document.hidden;
+    if (active && !hidden) this._startInterval();
+    else this._stopInterval();
+  }
+  broadcast(data) {
+    this._channel?.postMessage(data);
+  }
+  stop() {
+    this._stopInterval();
+    this._active = false;
+    if (this._channel) {
+      try {
+        this._channel.close();
+      } catch {
+      }
+      this._channel = null;
+    }
+    if (this._visHandler && typeof document !== "undefined") {
+      document.removeEventListener("visibilitychange", this._visHandler);
+      this._visHandler = null;
+    }
+  }
+  _startInterval() {
+    if (this._interval) return;
+    this._interval = setInterval(() => {
+      if (this.opts.isRefreshDue()) this.opts.onTick();
+    }, this.opts.tickMs);
+    this._interval.unref?.();
+  }
+  _stopInterval() {
+    if (this._interval) {
+      clearInterval(this._interval);
+      this._interval = null;
+    }
+  }
+};
+
 // src/AuthService.ts
 function isMfaChallenge(v) {
   return typeof v === "object" && v !== null && v.mfa_required === true;
 }
+var OAUTH_FORWARDABLE_QUERY_PARAMS = /* @__PURE__ */ new Set([
+  "access_type",
+  "acr_values",
+  "claims_locales",
+  "display",
+  "hd",
+  "include_granted_scopes",
+  "login_hint",
+  "max_age",
+  "prompt",
+  "ui_locales"
+]);
+var OAUTH_SDK_OWNED_QUERY_PARAMS = /* @__PURE__ */ new Set([
+  "project_id",
+  "redirect_uri",
+  // Alias de `redirect_uri` accepté par le backend (nom GoTrue, employé par les SDK
+  // Dart/Python/Rust) : il ne doit pas non plus arriver par `queryParams`.
+  "redirect_to",
+  "scopes",
+  "code_challenge",
+  "code_challenge_method"
+]);
 var AuthService = class extends BaseService {
   _stateListeners = /* @__PURE__ */ new Set();
   _sessionManager;
@@ -279,7 +426,7 @@ var AuthService = class extends BaseService {
     const browser = typeof window !== "undefined";
     const enabled = !!options?.forceEnabled || (options?.autoRefresh ?? true) && browser && (options?.persistSession ?? true);
     this._sessionManager = new SessionManager({
-      channelName: `aura-${client.projectId}-auth`,
+      channelName: `aura-${clientScope(client.baseUrl)}-auth`,
       enabled,
       onTick: () => {
         void this.refreshSession();
@@ -310,6 +457,9 @@ var AuthService = class extends BaseService {
    * Détecte et consomme une session présente dans l'URL courante au boot (callback
    * OAuth), à l'image de `detectSessionInUrl` de supabase-js :
    *  - fragment `#access_token=…&refresh_token=…` (flux implicit) → `setSession`.
+   *  - fragment `#mfa_token=…` (atterrissage `{redirectTo}/oauth/mfa` d'un utilisateur MFA au
+   *    retour d'OAuth) → émet `MFA_CHALLENGE` avec `mfaToken` (AUCUNE session posée : le défi
+   *    reste à relever via `mfaVerify`).
    *  - query `?token=…&type=recovery` (lien de récupération de mot de passe) → émet
    *    `PASSWORD_RECOVERY` avec `recoveryToken` (AUCUNE session posée, PAS de `SIGNED_IN`).
    *  - query `?code=…` (flux PKCE) → `exchangeCodeForSession` (relit le verifier).
@@ -338,6 +488,18 @@ var AuthService = class extends BaseService {
         }
         return;
       }
+      if (hash.includes("mfa_token")) {
+        const initiatedKey = this._oauthInitiatedKey;
+        if (!this.client.authStore.getItem(initiatedKey)) return;
+        this.client.authStore.removeItem(initiatedKey);
+        const frag = new URLSearchParams(hash.replace(/^#/, ""));
+        const mfaToken = frag.get("mfa_token");
+        if (mfaToken) {
+          this._emitEvent("MFA_CHALLENGE", null, null, { mfaToken });
+          this._cleanAuthParamsFromUrl();
+        }
+        return;
+      }
       {
         const qs = new URLSearchParams(search.replace(/^\?/, ""));
         const recoveryToken = qs.get("token");
@@ -426,12 +588,36 @@ var AuthService = class extends BaseService {
     this._unsubStore = null;
     this._stateListeners.clear();
   }
+  /**
+   * Préfixe des routes de ce service. Aucun identifiant de projet : il est injecté par
+   * la passerelle depuis le sous-domaine du projet (`inject_project_id`,
+   * `services/aura-gateway/src/middleware/project_subdomain.rs`).
+   */
   get prefix() {
-    return `/v1/auth/${this.client.projectId}`;
+    return "/v1/auth";
+  }
+  /**
+   * `project_id` de la SESSION en cours, lu dans le token stocké — seule référence de projet
+   * dont dispose encore le client (voir SEC-F2 dans `getClaims`). `null` s'il n'y a pas de
+   * session, si le token est illisible, ou s'il ne porte pas ce claim.
+   */
+  _sessionProjectId() {
+    const token = this.client.authStore.token;
+    if (!token) return null;
+    try {
+      const pid = decodeJwt(token).payload.project_id;
+      return typeof pid === "string" && pid !== "" ? pid : null;
+    } catch {
+      return null;
+    }
   }
-  /** Clé project-scoped du `code_verifier` PKCE (anti-collision multi-projets). */
+  /**
+   * Clé du `code_verifier` PKCE, scopée par la PORTÉE du client (`clientScope`, dérivée de
+   * l'URL du projet) : deux clients de deux projets instanciés dans la MÊME page partagent
+   * un seul `localStorage`, et ne doivent pas se marcher dessus.
+   */
   get _pkceVerifierKey() {
-    return `aura-${this.client.projectId}-pkce-code-verifier`;
+    return `aura-${clientScope(this.client.baseUrl)}-pkce-code-verifier`;
   }
   /**
    * Clé project-scoped du MARQUEUR d'initiation du flux OAuth implicit (SEC-F3).
@@ -441,7 +627,7 @@ var AuthService = class extends BaseService {
    * sera jamais adopté.
    */
   get _oauthInitiatedKey() {
-    return `aura-${this.client.projectId}-oauth-implicit-initiated`;
+    return `aura-${clientScope(this.client.baseUrl)}-oauth-implicit-initiated`;
   }
   // -- Auth state change ------------------------------------------------------
   onAuthStateChange(callback) {
@@ -501,14 +687,56 @@ var AuthService = class extends BaseService {
     }
     return res;
   }
+  /**
+   * Démarre un flux OAuth : renvoie toujours `{ url }` (et redirige en plus le navigateur
+   * si un `window` existe).
+   *
+   * ### `options.queryParams` — contrat (N22)
+   *
+   * Les clés listées par {@link OAUTH_FORWARDABLE_QUERY_PARAMS} — `prompt`, `login_hint`,
+   * `display`, `ui_locales`, `max_age`, `acr_values`, `claims_locales`, `access_type`,
+   * `include_granted_scopes`, `hd` — sont **réellement transmises au provider**, jusque
+   * dans l'URL d'autorisation.
+   *
+   * Toute autre clé est **refusée** : la méthode renvoie
+   * `error.code === 'invalid_oauth_query_param'` et n'amorce aucune redirection. Rien
+   * n'est jamais accepté puis jeté en silence. Sont notamment refusés :
+   * - les paramètres du protocole (`state`, `nonce`, `client_id`, `response_type`,
+   *   `scope`, `code_challenge`…) — ils sont calculés par le serveur ;
+   * - les paramètres construits par cette méthode (`redirect_uri`, `scopes`) — passez par
+   *   `redirectTo`, `scopes` ou `flowType` ;
+   * - `project_id` : le projet est porté par l'URL du client, jamais par un paramètre ;
+   * - les variantes de casse (`Prompt`, `State`) et les clés inconnues.
+   *
+   * L'autorité est le **backend** (`OAUTH_FORWARDABLE_PARAMS` de
+   * `services/aura-auth/src/handlers/oauth.rs`), qui répond `400` sur les mêmes règles :
+   * l'endpoint de démarrage est public et appelable sans SDK. Ce filtre-ci n'est que son
+   * miroir, pour échouer avant la redirection ; un test de parité interdit qu'ils divergent.
+   *
+   * Les **valeurs**, elles, ne sont validées que par le backend (non vide, sans caractère
+   * de contrôle, 512 caractères au plus, jamais deux fois la même clé) — un manquement
+   * donne un `400` au démarrage du flux, pas une erreur de cette méthode.
+   */
   async signInWithOAuth(provider, options) {
     const params = new URLSearchParams();
-    params.set("project_id", this.client.projectId);
     if (options?.redirectTo) params.set("redirect_uri", options.redirectTo);
     if (options?.scopes) params.set("scopes", options.scopes);
     if (options?.queryParams) {
       for (const [k, v] of Object.entries(options.queryParams)) {
-        params.set(k, v);
+        if (OAUTH_FORWARDABLE_QUERY_PARAMS.has(k)) {
+          params.set(k, v);
+          continue;
+        }
+        const raison = OAUTH_SDK_OWNED_QUERY_PARAMS.has(k) ? `il est construit par signInWithOAuth (utilisez l'option d\xE9di\xE9e : ${k === "redirect_uri" || k === "redirect_to" ? "redirectTo" : k === "scopes" ? "scopes" : k === "project_id" ? "l'URL du projet pass\xE9e \xE0 createClient()" : "flowType:'pkce'"})` : `il n'est pas transmis au provider. Seuls ces param\xE8tres d'exp\xE9rience de connexion le sont : ${[...OAUTH_FORWARDABLE_QUERY_PARAMS].join(", ")}`;
+        return {
+          data: null,
+          error: new AuraError(400, {
+            error: {
+              code: "invalid_oauth_query_param",
+              message: `signInWithOAuth: queryParams.${k} refus\xE9 \u2014 ${raison}.`
+            }
+          })
+        };
       }
     }
     if (options?.flowType === "pkce") {
@@ -569,9 +797,14 @@ var AuthService = class extends BaseService {
       this._emitEvent("SIGNED_OUT", null, null);
       return { data: null, error: null };
     }
-    const res = await this.request("POST", `${this.prefix}/logout`, {
-      refresh_token: refreshToken
-    }, { skipAuthRefresh: true });
+    const res = await this.request(
+      "POST",
+      `${this.prefix}/logout`,
+      {
+        refresh_token: refreshToken
+      },
+      { skipAuthRefresh: true }
+    );
     this.client.authStore.clear();
     this._emitEvent("SIGNED_OUT", null, null);
     return res;
@@ -599,11 +832,11 @@ var AuthService = class extends BaseService {
    * `fetch` manuels côté app). Pour la session complète, lire `client.authStore`
    * directement (`.token`, `.refreshToken`, `.user`, `.isValid`).
    */
-  async getSession() {
-    return {
+  getSession() {
+    return Promise.resolve({
       accessToken: this.client.authStore.token,
       user: this.client.authStore.user
-    };
+    });
   }
   async setSession(accessToken, refreshToken) {
     const store = this.client.authStore;
@@ -636,6 +869,16 @@ var AuthService = class extends BaseService {
     restore();
     return res;
   }
+  /**
+   * Échange le code d'autorisation PKCE contre une session.
+   *
+   * Renvoie un `LoginResponse`, PAS un `TokenPair` : si l'utilisateur a le MFA actif, le
+   * backend répond `{ mfa_required: true, mfa_token }` (gate « C1-bis » de
+   * `POST /oauth/pkce`) au lieu d'une paire de jetons. Dans ce cas AUCUNE session n'est
+   * enregistrée et `MFA_CHALLENGE` est émis avec le `mfaToken` : l'application demande le
+   * code TOTP puis appelle `mfaVerify({ mfa_token, code })`. Discriminez avec
+   * {@link isMfaChallenge}.
+   */
   async exchangeCodeForSession(authCode, codeVerifier) {
     return this._exchangeCode(authCode, codeVerifier, "SIGNED_IN");
   }
@@ -651,7 +894,10 @@ var AuthService = class extends BaseService {
       return {
         data: null,
         error: new AuraError(0, {
-          error: { code: "no_code_verifier", message: "No PKCE code_verifier available (not provided and none stored)" }
+          error: {
+            code: "no_code_verifier",
+            message: "No PKCE code_verifier available (not provided and none stored)"
+          }
         })
       };
     }
@@ -660,9 +906,18 @@ var AuthService = class extends BaseService {
         auth_code: authCode,
         code_verifier: verifier
       });
+      if (res.data && isMfaChallenge(res.data)) {
+        const mfa = res.data;
+        this._emitEvent("MFA_CHALLENGE", null, null, {
+          mfaToken: mfa.mfa_token,
+          mfaSetupRequired: mfa.mfa_setup_required
+        });
+        return res;
+      }
       if (res.data) {
-        this.client.authStore.save(res.data.access_token, res.data.refresh_token, res.data.user);
-        this._emitEvent(successEvent, res.data.user, res.data.access_token);
+        const tp = res.data;
+        this.client.authStore.save(tp.access_token, tp.refresh_token, tp.user);
+        this._emitEvent(successEvent, tp.user, tp.access_token);
       }
       return res;
     } finally {
@@ -690,7 +945,9 @@ var AuthService = class extends BaseService {
     if (!rt) {
       return {
         data: null,
-        error: new AuraError(0, { error: { code: "no_session", message: "No refresh token available" } })
+        error: new AuraError(0, {
+          error: { code: "no_session", message: "No refresh token available" }
+        })
       };
     }
     const res = await this.request(
@@ -764,7 +1021,14 @@ var AuthService = class extends BaseService {
       allowExpired: options?.allowExpired,
       // LOT 3 (I8) : relie le callback générique de jwks.ts au hook d'observabilité
       // du client (onEvent/debug). jwks.ts reste sans dépendance vers @aurabase/core.
-      onEvent: (baseUrl) => emitAuraEvent(this.client.onEvent, this.client.debug, { kind: "jwks-fetch-failed", baseUrl })
+      onEvent: (baseUrl) => emitAuraEvent(this.client.onEvent, this.client.debug, {
+        kind: "jwks-fetch-failed",
+        baseUrl
+      }),
+      // P2-1 : borne le fetch JWKS (et la lecture de son corps) sur le même
+      // budget que les autres requêtes du client. Sans elle, un serveur JWKS
+      // muet figeait `getClaims` définitivement (single-flight `inflight`).
+      timeoutMs: this.client.requestTimeoutMs ?? DEFAULT_REQUEST_TIMEOUT_MS
     });
     const checkIssAud = (c) => {
       if (options?.issuer !== void 0 && c.iss !== options.issuer) {
@@ -788,7 +1052,8 @@ var AuthService = class extends BaseService {
       const issAudErr = checkIssAud(claims);
       if (issAudErr) return { data: null, error: issAudErr };
       const claimProject = claims.project_id;
-      if (typeof claimProject === "string" && claimProject !== this.client.projectId) {
+      const sessionProject = this._sessionProjectId();
+      if (typeof claimProject === "string" && sessionProject !== null && claimProject !== sessionProject) {
         return {
           data: null,
           error: new AuraError(0, {
@@ -837,6 +1102,17 @@ var AuthService = class extends BaseService {
           error: null
         };
       }
+      if (u.error === null) {
+        return {
+          data: null,
+          error: new AuraError(0, {
+            error: {
+              code: "invalid_response",
+              message: "getClaims: la validation serveur du token (getUser) a r\xE9pondu sans contenu \u2014 claims ind\xE9terminables"
+            }
+          })
+        };
+      }
       return { data: null, error: u.error };
     }
     return {
@@ -942,17 +1218,6 @@ var AuthService = class extends BaseService {
         }
         return res;
       }
-      case "invite":
-      case "phone_change":
-        return {
-          data: null,
-          error: new AuraError(0, {
-            error: {
-              code: "otp_type_unsupported",
-              message: `verifyOtp: le type '${params.type}' n'est pas support\xE9 (aucun endpoint backend).`
-            }
-          })
-        };
       default:
         return {
           data: null,
@@ -975,10 +1240,6 @@ var AuthService = class extends BaseService {
     return res;
   }
   // -- Email verification -----------------------------------------------------
-  /** Rétrocompat : délègue à `verifyOtp({ type: 'signup' })` (POST /verify-email). */
-  async verifyEmail(token) {
-    return this.verifyOtp({ type: "signup", token });
-  }
   async resendVerificationEmail(email) {
     const e = email ?? this.client.authStore.user?.email;
     if (!e) {
@@ -993,18 +1254,10 @@ var AuthService = class extends BaseService {
   async signInWithEmailOtp(email) {
     return this.request("POST", `${this.prefix}/email-otp/send`, { email });
   }
-  /** Rétrocompat : délègue à `verifyOtp({ type: 'email' })` (POST /email-otp/verify). */
-  async verifyEmailOtp(email, code) {
-    return this.verifyOtp({ type: "email", email, token: code });
-  }
   // -- SMS OTP (Phase 2) ----------------------------------------------------
   async signInWithSmsOtp(phone) {
     return this.request("POST", `${this.prefix}/sms/send`, { phone });
   }
-  /** Rétrocompat : délègue à `verifyOtp({ type: 'sms' })` (POST /sms/verify). */
-  async verifySmsOtp(phone, code) {
-    return this.verifyOtp({ type: "sms", phone, token: code });
-  }
   // -- Identity linking (Phase 2) -------------------------------------------
   async listIdentities() {
     return this.request("GET", `${this.prefix}/user/identities`);
@@ -1015,29 +1268,37 @@ var AuthService = class extends BaseService {
   async unlinkIdentity(identityId) {
     return this.request("DELETE", `${this.prefix}/user/identities/${identityId}`);
   }
-  // -- Email change (Phase 2) -----------------------------------------------
-  /**
-   * Rétrocompat : délègue à `verifyOtp({ type: 'email_change' })`.
-   * CHANGEMENT ASSUMÉ (parité) : émet désormais `USER_UPDATED` (auparavant aucun
-   * événement) — voir CHANGELOG.
-   */
-  async confirmEmailChange(token) {
-    return this.verifyOtp({ type: "email_change", token });
-  }
   // -- MFA recovery codes (Phase 2) -----------------------------------------
   async regenerateRecoveryCodes(code) {
     return this.request("POST", `${this.prefix}/mfa/recovery-codes/regenerate`, { code });
   }
   // -- Native mobile OAuth (Phase 2) ----------------------------------------
+  /**
+   * Échange un ID token de provider (Google/Apple, mobile natif) contre une session.
+   *
+   * Renvoie un `LoginResponse`, PAS un `TokenPair` : comme partout ailleurs, un utilisateur
+   * avec MFA actif reçoit `{ mfa_required: true, mfa_token }` et AUCUNE session n'est
+   * enregistrée — `MFA_CHALLENGE` est émis, à relever par `mfaVerify`. Discriminez avec
+   * {@link isMfaChallenge}.
+   */
   async signInWithIdToken(provider, idToken, accessToken) {
     const res = await this.request("POST", `${this.prefix}/token`, {
       provider,
       id_token: idToken,
       access_token: accessToken
     });
+    if (res.data && isMfaChallenge(res.data)) {
+      const mfa = res.data;
+      this._emitEvent("MFA_CHALLENGE", null, null, {
+        mfaToken: mfa.mfa_token,
+        mfaSetupRequired: mfa.mfa_setup_required
+      });
+      return res;
+    }
     if (res.data) {
-      this.client.authStore.save(res.data.access_token, res.data.refresh_token, res.data.user);
-      this._emitEvent("SIGNED_IN", res.data.user, res.data.access_token);
+      const tp = res.data;
+      this.client.authStore.save(tp.access_token, tp.refresh_token, tp.user);
+      this._emitEvent("SIGNED_IN", tp.user, tp.access_token);
     }
     return res;
   }
@@ -1065,7 +1326,11 @@ var AuthService = class extends BaseService {
    * Body confirmé au handler (`PromoteAnonymousRequest`) : `{ email, password }`.
    */
   async promoteAnonymous(credentials) {
-    const res = await this.request("POST", `${this.prefix}/anonymous/promote`, credentials);
+    const res = await this.request(
+      "POST",
+      `${this.prefix}/anonymous/promote`,
+      credentials
+    );
     if (res.data) {
       this.client.authStore.save(res.data.access_token, res.data.refresh_token, res.data.user);
       this._emitEvent("USER_UPDATED", res.data.user, res.data.access_token);
@@ -1081,90 +1346,5 @@ var AuthService = class extends BaseService {
     return this.verifyOtp({ type: "magiclink", token });
   }
 };
-var AuthAdminService = class extends BaseService {
-  get prefix() {
-    return `/v1/auth/${this.client.projectId}/admin`;
-  }
-  // -- Users ----------------------------------------------------------------
-  async listUsers(params) {
-    const query = new URLSearchParams();
-    if (params?.limit !== void 0) query.set("limit", String(params.limit));
-    if (params?.offset !== void 0) query.set("offset", String(params.offset));
-    if (params?.search) query.set("search", params.search);
-    const qs = query.toString();
-    return this.request("GET", `${this.prefix}/users${qs ? "?" + qs : ""}`);
-  }
-  async getUser(userId) {
-    return this.request("GET", `${this.prefix}/users/${userId}`);
-  }
-  async createUser(data) {
-    return this.request("POST", `${this.prefix}/users`, data);
-  }
-  async updateUser(userId, data) {
-    return this.request("PUT", `${this.prefix}/users/${userId}`, data);
-  }
-  async deleteUser(userId) {
-    return this.request("DELETE", `${this.prefix}/users/${userId}`);
-  }
-  async banUser(userId) {
-    return this.request("POST", `${this.prefix}/users/${userId}/ban`, {});
-  }
-  async unbanUser(userId) {
-    return this.request("POST", `${this.prefix}/users/${userId}/unban`, {});
-  }
-  async generateLink(userId, type) {
-    return this.request("POST", `${this.prefix}/users/${userId}/generate-link`, { type });
-  }
-  async getUserStats() {
-    return this.request("GET", `${this.prefix}/users/stats`);
-  }
-  async listUserIdentities(userId) {
-    return this.request("GET", `${this.prefix}/users/${userId}/identities`);
-  }
-  // -- Sessions ---------------------------------------------------------------
-  async listSessions(params) {
-    const query = new URLSearchParams();
-    if (params?.userId !== void 0) query.set("user_id", params.userId);
-    if (params?.limit !== void 0) query.set("limit", String(params.limit));
-    if (params?.offset !== void 0) query.set("offset", String(params.offset));
-    const qs = query.toString();
-    return this.request("GET", `${this.prefix}/sessions${qs ? "?" + qs : ""}`);
-  }
-  async revokeSession(sessionId) {
-    return this.request("DELETE", `${this.prefix}/sessions/${sessionId}`);
-  }
-  // -- Audit log ------------------------------------------------------------
-  async getAuditLog(params) {
-    const query = new URLSearchParams();
-    if (params?.userId !== void 0) query.set("user_id", params.userId);
-    if (params?.limit !== void 0) query.set("limit", String(params.limit));
-    if (params?.offset !== void 0) query.set("offset", String(params.offset));
-    const qs = query.toString();
-    return this.request("GET", `${this.prefix}/audit-log${qs ? "?" + qs : ""}`);
-  }
-  // -- Settings -------------------------------------------------------------
-  async getSettings() {
-    return this.request("GET", `${this.prefix}/settings`);
-  }
-  async updateSettings(data) {
-    return this.request("PUT", `${this.prefix}/settings`, data);
-  }
-  // -- Email templates ------------------------------------------------------
-  async listEmailTemplates() {
-    return this.request("GET", `${this.prefix}/email-templates`);
-  }
-  async getEmailTemplate(type) {
-    return this.request("GET", `${this.prefix}/email-templates/${type}`);
-  }
-  async updateEmailTemplate(type, data) {
-    return this.request("PUT", `${this.prefix}/email-templates/${type}`, data);
-  }
-  async deleteEmailTemplate(type) {
-    return this.request("DELETE", `${this.prefix}/email-templates/${type}`);
-  }
-  async testEmailTemplate(type, body) {
-    return this.request("POST", `${this.prefix}/email-templates/${type}/test`, body);
-  }
-};
 
 export { AuthAdminService, AuthService, SessionManager, isMfaChallenge };