@autional/shared 0.1.0-rc.35 → 0.1.0-rc.37

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@autional/shared",
-  "version": "0.1.0-rc.35",
+  "version": "0.1.0-rc.37",
   "description": "Autional shared layer — API client, auth, types, hooks, utils",
   "license": "AGPL-3.0",
   "main": "./src/index.ts",

package/src/auth/__tests__/build-login-url.test.ts

@@ -182,38 +182,85 @@ describe('buildLoginUrl', () => {
 		});
 	});
 
-	describe('buildLogoutUrl（F-W5c 登出意图标记）', () => {
+	describe('buildLogoutUrl（TASK-LS-08 同源标准端点 + legacy 兜底）', () => {
 		const AUTH_CONFIG = {
 			VITE_PORTAL_CONFIG: {
 				auth: { host: 'auth', base: '' },
 			},
 		};
+		/** env 级 client_id（三级来源之二） */
+		const CID_CONFIG = {
+			...AUTH_CONFIG,
+			VITE_OAUTH_CLIENT_ID: 'cid-env',
+		};
 
-		it('门户域登出：auth 裸根 + redirect 回程 + logout=1', () => {
-			mockWindow('app.autional.com', 'https:', 'https://app.autional.com', AUTH_CONFIG);
+		beforeEach(() => {
+			// localStorage 桩按需设置；测试间清掉全局桩防跨用例泄漏（node 环境无真 localStorage）
+			vi.unstubAllGlobals();
+		});
+
+		it('门户域登出：同源标准端点 + client_id + post_logout_redirect_uri=<origin>/ + state=returnUrl', () => {
+			mockWindow('app.autional.com', 'https:', 'https://app.autional.com', CID_CONFIG);
 			const url = buildLogoutUrl('https://app.autional.com/demo/');
 			expect(url).toBe(
-				'https://auth.autional.com/?redirect=' +
-					encodeURIComponent('https://app.autional.com/demo/') +
-					'&logout=1',
+				'https://app.autional.com/oauth/api/v1/oauth/logout?client_id=cid-env&post_logout_redirect_uri=' +
+					encodeURIComponent('https://app.autional.com/') +
+					'&state=' +
+					encodeURIComponent('https://app.autional.com/demo/'),
 			);
 		});
 
-		it('auth 域租户页登出也走裸根：不经 /<slug>/login（那里 logout=1 被静默忽略）', () => {
-			mockWindow('auth.autional.local', 'https:', 'https://auth.autional.local', AUTH_CONFIG);
+		it('auth 域租户页登出同样走同源标准端点（不再裸根 / 不经 /<slug>/login）', () => {
+			mockWindow('auth.autional.local', 'https:', 'https://auth.autional.local', CID_CONFIG);
 			const url = buildLogoutUrl('https://auth.autional.local/acme-corp/dashboard');
 			expect(url).toBe(
-				'https://auth.autional.local/?redirect=' +
-					encodeURIComponent('https://auth.autional.local/acme-corp/dashboard') +
-					'&logout=1',
+				'https://auth.autional.local/oauth/api/v1/oauth/logout?client_id=cid-env&post_logout_redirect_uri=' +
+					encodeURIComponent('https://auth.autional.local/') +
+					'&state=' +
+					encodeURIComponent('https://auth.autional.local/acme-corp/dashboard'),
 			);
 			expect(url).not.toContain('/acme-corp/login');
 		});
 
-		it('无回程：auth 裸根 + logout=1', () => {
-			mockWindow('auth.autional.local', 'https:', 'https://auth.autional.local', AUTH_CONFIG);
+		it('无回程：仅 client_id + post_logout_redirect_uri，不产 state', () => {
+			mockWindow('app.autional.com', 'https:', 'https://app.autional.com', CID_CONFIG);
 			const url = buildLogoutUrl();
-			expect(url).toBe('https://auth.autional.local/?logout=1');
+			expect(url).toBe(
+				'https://app.autional.com/oauth/api/v1/oauth/logout?client_id=cid-env&post_logout_redirect_uri=' +
+					encodeURIComponent('https://app.autional.com/'),
+			);
+		});
+
+		describe('client_id 三级来源（会话持久化 → env → 空）', () => {
+			it('localStorage 会话值优先于 env', () => {
+				vi.stubGlobal('localStorage', { getItem: () => 'cid-session' });
+				mockWindow('app.autional.com', 'https:', 'https://app.autional.com', CID_CONFIG);
+				const url = buildLogoutUrl('https://app.autional.com/demo/');
+				expect(url).toContain('client_id=cid-session');
+				expect(url).not.toContain('cid-env');
+			});
+
+			it('localStorage 空 → env 兜底', () => {
+				vi.stubGlobal('localStorage', { getItem: () => null });
+				mockWindow('app.autional.com', 'https:', 'https://app.autional.com', CID_CONFIG);
+				expect(buildLogoutUrl()).toContain('client_id=cid-env');
+			});
+
+			it('双空 → legacy 兜底：auth 裸根 + redirect 回程 + logout=1', () => {
+				mockWindow('app.autional.com', 'https:', 'https://app.autional.com', AUTH_CONFIG);
+				const url = buildLogoutUrl('https://app.autional.com/demo/');
+				expect(url).toBe(
+					'https://auth.autional.com/?redirect=' +
+						encodeURIComponent('https://app.autional.com/demo/') +
+						'&logout=1',
+				);
+			});
+
+			it('双空 + 无回程 → legacy 裸根 + logout=1（现行为保持）', () => {
+				mockWindow('auth.autional.local', 'https:', 'https://auth.autional.local', AUTH_CONFIG);
+				const url = buildLogoutUrl();
+				expect(url).toBe('https://auth.autional.local/?logout=1');
+			});
 		});
 	});
 });

package/src/auth/auth-queries.ts

@@ -58,8 +58,7 @@ export function usePermissionsQuery(tenantId?: string | null, enabled = true) {
 				[]) as string[];
 		},
 		staleTime: AUTH_DATA_STALE_TIME,
-		retry: 1,
-		retryDelay: 1000,
+		// 重试策略不在此声明：交给消费方的 QueryClient 默认（本包不得有 per-query 覆盖，否则会盖过默认）。
 		// 无 token 时禁止发起请求：未登录时该查询必然 401 → apiClient 401 拦截
 		// → refreshToken() 无 refresh token → onUnauthorized() 抢跑 buildLoginUrl，
 		// 与 RequireAuth 的 OAuth PKCE 触发形成时序竞争（跨域 admin 场景偶发 302 回登录页）。
@@ -92,8 +91,7 @@ export function useTenantsQuery(tenantId?: string | null, enabled = true) {
 			}>;
 		},
 		staleTime: AUTH_DATA_STALE_TIME,
-		retry: 1,
-		retryDelay: 1000,
+		// 重试策略不在此声明：交给消费方的 QueryClient 默认（本包不得有 per-query 覆盖，否则会盖过默认）。
 		// 与 usePermissionsQuery 一致：无 token 时禁止发起请求，
 		// 避免 401 → onUnauthorized 抢跑 RequireAuth 的 OAuth PKCE 流程。
 		enabled,
@@ -112,7 +110,6 @@ export function useMeQuery() {
 			return extractItem(res.data) ?? res.data;
 		},
 		staleTime: AUTH_DATA_STALE_TIME,
-		retry: 1,
-		retryDelay: 1000,
+		// 重试策略不在此声明：交给消费方的 QueryClient 默认（本包不得有 per-query 覆盖，否则会盖过默认）。
 	});
 }

package/src/auth/roles.ts

@@ -8,6 +8,7 @@
  */
 
 import { getPortalUrl } from '../config';
+import { resolveClientIdForSession } from './oauth-client-id-store';
 
 /** auth-pages 的静态/受保护路由 — 首段不会是租户 slug */
 const AUTH_ROUTE_RESERVED = new Set([
@@ -20,6 +21,7 @@ const AUTH_ROUTE_RESERVED = new Set([
 	'privacy',
 	'error',
 	'logout',
+	'logout-confirm',
 	'passkey',
 	'reapply',
 	'mfa',
@@ -37,20 +39,41 @@ const AUTH_ROUTE_RESERVED = new Set([
 ]);
 
 /**
- * 登出回程 URL：auth 域**裸根**入口 + `logout=1` 显式登出意图标记。
+ * 登出 URL（TASK-LS-08）：同源标准端点（RP-Initiated Logout 无 hint 形态）优先，
+ * client_id 不可得时保持 legacy 形态。
  *
- * 刻意不复用 buildLoginUrl：其租户 slug 保留会把 auth 域页面的登出落到
- * `/<slug>/login`（登录页路由，不经入口路由），`logout=1` 在那里被静默忽略；
+ * 标准端点形态（ADR-12 同源直通）：`${origin}/oauth/api/v1/oauth/logout`
+ * - client_id：本部署的 OAuth 客户端（`resolveClientIdForSession` 三级来源：会话持久化
+ *   localStorage `oauth_client_id` → env），服务端据此做 post_logout_redirect_uri 注册面白名单校验；
+ * - post_logout_redirect_uri：本门户 origin 根（`<origin>/`，注册形态同 PlatformPortalRedirectURIs）；
+ * - state：returnUrl 的 URL-safe 编码（门户零行为驱动——服务端只原样回拼到回跳 URL，门户不解析）。
+ * 浏览器整页导航不带 Bearer → 服务端「无 hint 无会话浏览器」支 302 确认页承接；
+ * 用户确认后由确认页经 BFF（会话 cookie → Bearer）触达端点，走认证会话支并导航服务端 location。
+ *
+ * legacy 兜底（D2=A 兼容分支保留，EntryRouter 承接）：client_id 不可得 → auth 域**裸根**入口 +
+ * `logout=1` 显式登出意图标记。刻意不复用 buildLoginUrl：其租户 slug 保留会把 auth 域页面的
+ * 登出落到 `/<slug>/login`（登录页路由，不经入口路由），`logout=1` 在那里被静默忽略；
  * 带会话回程甚至会被登录页 checkAndRedirect 直接放行成静默重登（F-W5c）。
- * 裸根 = EntryRouter 唯一登出闸门：先终结 auth 域会话，再决定落点——
- * 回程能解析出真实租户 → 裸 `/<slug>/login`（不带回程参数：登出即"重新开始"，
- * 登录后走默认去向，去向选择权交还用户）；否则落 brand 裸根。
+ * 裸根 = EntryRouter 唯一登出闸门：先终结 auth 域会话，再决定落点——回程能解析出真实租户 →
+ * 裸 `/<slug>/login`；否则落 brand 裸根。
  */
 export function buildLogoutUrl(returnUrl?: string): string {
 	const base = getPortalUrl('auth');
-	if (!base) return '/';
-	const redirect = returnUrl ? `redirect=${encodeURIComponent(returnUrl)}&` : '';
-	return `${base}/?${redirect}logout=1`;
+	// legacy 兜底：现行为保持（auth 裸根 + logout=1 意图标记）
+	const legacy = (): string => {
+		if (!base) return '/';
+		const redirect = returnUrl ? `redirect=${encodeURIComponent(returnUrl)}&` : '';
+		return `${base}/?${redirect}logout=1`;
+	};
+
+	const clientId = resolveClientIdForSession();
+	if (!clientId || typeof window === 'undefined' || !window.location?.origin) return legacy();
+
+	const params = new URLSearchParams();
+	params.set('client_id', clientId);
+	params.set('post_logout_redirect_uri', `${window.location.origin}/`);
+	if (returnUrl) params.set('state', returnUrl);
+	return `${window.location.origin}/oauth/api/v1/oauth/logout?${params.toString()}`;
 }
 
 /**

package/src/auth/store.ts

@@ -201,7 +201,8 @@ export function loginWithTokens(
  *
  * redirectTo（U350）：显式落点（会话过期→auth /error、注销完成→/<slug>/login?account_deleted=true 等
  * 旗标页）——清理完成后整页前往。缺省仅清会话、不导航；注意与 useLogout 口径区分：该 hook 走
- * buildLogoutUrl 登出意图流（logout=1 交入口路由定落点），不得用于需要保留业务 query 旗标的目标。
+ * buildLogoutUrl 登出流（LS-08：同源标准端点；client_id 不可得时退 legacy logout=1 交入口路由），
+ * 不得用于需要保留业务 query 旗标的目标。
  */
 export async function logout(redirectTo?: string): Promise<void> {
 	const { AuthService } = await import('./service');

package/src/components/TenantIndexGuard.tsx

@@ -5,7 +5,7 @@
  * （不复制 4 份，违反 DRY）。
  *
  * - usePublicTenantSlugs: 调公开 tenants API（无认证端点），staleTime 5m 缓存，
- *   retry 1 + 8s 超时；失败上抛（不吞成空数组成功）——放行语义由消费方
+ *   8s 超时（重试由消费方默认策略决定）；失败上抛（不吞成空数组成功）——放行语义由消费方
  *   （TenantIndexGuard / TenantRootRedirect）在失败态自行 fail-open（rc.35）。
  * - TenantIndexGuard: 租户 slug 白名单守卫（P0-2），防止未知 slug 被贪婪渲染为
  *   租户内容（index 首页与 /:slug/... 子路由通用）。404 页由各 portal 通过
@@ -32,7 +32,7 @@ export interface PublicTenantInfo {
 }
 
 /** 公开租户名单请求超时（ms）。跨境链路（Vercel edge → 源站）实测新连接丢 ~45%，
- * 失败连接 edge 端要 ~31s 才吐 502；正常成功 ≤2s，8s 留 4x 余量，失败快速交给 retry。
+ * 失败连接 edge 端要 ~31s 才吐 502；正常成功 ≤2s，8s 留 4x 余量，失败快速交由消费方的重试策略。
  * （rc.35：此前无超时 + catch 吞错 → retry 死码、失败被当"空名单"成功。） */
 export const PUBLIC_TENANTS_FETCH_TIMEOUT_MS = 8000;
 
@@ -40,7 +40,7 @@ export const PUBLIC_TENANTS_FETCH_TIMEOUT_MS = 8000;
  * 公开租户列表（无认证端点，用于校验 URL slug 有效性）。
  * 从 end-user-portal App.tsx 原样抽取。
  * - staleTime 5m（plan §5 资源列：public tenants API 有缓存）
- * - retry 1；非 2xx / 网络错 / 超时一律上抛（不吞成空数组成功）——
+ * - 非 2xx / 网络错 / 超时一律上抛（不吞成空数组成功）——
  *   error 态不落缓存，下次调用自然重试
  * - 消费方 fail-open：名单缺失（error 态 data=undefined 或空数组）→ 不拦截
  *   （TenantIndexGuard 渲染 children；TenantRootRedirect 漏斗 brand；
@@ -69,7 +69,7 @@ export function usePublicTenantSlugs() {
 			}
 		},
 		staleTime: 5 * 60 * 1000,
-		retry: 1,
+		// 重试策略交给消费方 QueryClient 默认（本包不得有 per-query 覆盖）。
 	});
 }
 

package/src/components/__tests__/TenantIndexGuard.test.tsx

@@ -9,9 +9,10 @@ import { TenantIndexGuard, usePublicTenantSlugs } from '../TenantIndexGuard';
 function createQueryClient() {
 	return new QueryClient({
 		defaultOptions: {
-			// retryDelay 0：hook 内部 retry:1 覆盖 retry，但重试退避仍走 defaultOptions，
-			// 不设 0 时失败用例要白等默认 1s 退避
-			queries: { retry: false, retryDelay: 0, gcTime: Infinity },
+			// 重试由**本测试客户端**声明（生产里由消费方 QueryClient 默认决定；本包不再声明 retry，
+			// 否则会盖过消费方默认 —— rc.35 起如此）。retry:1 + retryDelay:0 让
+			// 「重试耗尽后错误必须上抛」这一断言仍可验证，且失败用例不白等默认退避。
+			queries: { retry: 1, retryDelay: 0, gcTime: Infinity },
 		},
 	});
 }