@dacyti-gsi/auth 0.2.0 → 0.3.0

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@dacyti-gsi/auth",
-  "version": "0.2.0",
+  "version": "0.3.0",
   "description": "Cliente del SSO de la división: OIDC (PKCE), sesión y permisos para Next.js/React",
   "keywords": [
     "sso",

package/src/config.ts

@@ -1,212 +1,212 @@
-import { SSOConfigError } from "./errors";
-import type { SSOClientOptions } from "./types";
-
-/**
- * Lee una opción o su variable de entorno. Sin una de las dos no hay forma de
- * arrancar, y el error dice exactamente cuál falta y dónde ponerla.
- */
-function fromEnv(value: string | undefined, name: string): string {
-  if (value) return value;
-
-  const env = typeof process !== "undefined" ? process.env : undefined;
-  const found = env?.[name];
-  if (found) return found;
-
-  throw new SSOConfigError(
-    `Falta \`${name}\` en el entorno (o pasa \`${nameToOption(name)}\` al definir el cliente SSO).`,
-  );
-}
-
-function nameToOption(name: string): string {
-  switch (name) {
-    case "SSO_ISSUER":
-      return "issuer";
-    case "SSO_CLIENT_ID":
-      return "clientId";
-    case "SSO_CLIENT_SECRET":
-      return "clientSecret";
-    case "SSO_SECRET":
-      return "secret";
-    default:
-      return name;
-  }
-}
-
-/**
- * Configuración con los cuatro valores de entorno ya resueltos.
- */
-export type ResolvedSSOOptions<Permission extends string = string> = Omit<
-  SSOClientOptions<Permission>,
-  "issuer" | "clientId" | "clientSecret" | "secret"
-> & {
-  issuer: string;
-  clientId: string;
-  clientSecret: string;
-  secret: string;
-};
-
-/**
- * Resuelve la configuración efectiva: lo explícito gana, lo demás sale del
- * entorno. Es lo que permite `defineNextSSO({ permissions })` sin nada más.
- */
-export function resolveOptions<Permission extends string>(
-  options: SSOClientOptions<Permission>,
-): ResolvedSSOOptions<Permission> {
-  const env = typeof process !== "undefined" ? process.env : undefined;
-
-  return {
-    ...options,
-    issuer: fromEnv(options.issuer, "SSO_ISSUER"),
-    clientId: fromEnv(options.clientId, "SSO_CLIENT_ID"),
-    clientSecret: fromEnv(options.clientSecret, "SSO_CLIENT_SECRET"),
-    secret: fromEnv(options.secret, "SSO_SECRET"),
-    postLogoutRedirectUri:
-      options.postLogoutRedirectUri ?? env?.SSO_POST_LOGOUT_URI,
-  };
-}
-
-function isLocalhost(url: URL): boolean {
-  return (
-    url.hostname === "localhost" ||
-    url.hostname === "127.0.0.1" ||
-    url.hostname === "[::1]" ||
-    url.hostname.endsWith(".localhost")
-  );
-}
-
-/** https, o http solo en localhost (incluye `*.localhost`, que resuelve a loopback). */
-function isSecureOrLocal(value: string): boolean {
-  try {
-    const url = new URL(value);
-    return url.protocol === "https:" || (url.protocol === "http:" && isLocalhost(url));
-  } catch {
-    return false;
-  }
-}
-
-function required(value: string | undefined, name: string): string {
-  if (!value) {
-    throw new SSOConfigError(
-      `Falta \`${name}\` en la configuración del cliente SSO.`,
-    );
-  }
-
-  return value;
-}
-
-/**
- * Valida la configuración al crear el cliente y falla rápido.
- *
- * Todo lo que antes era un 500 críptico en el primer login —issuer http,
- * secreto corto, catálogo con erratas— ahora es un error al arrancar, en el
- * archivo donde se declara el cliente.
- */
-export function validateOptions<Permission extends string>(
-  options: SSOClientOptions<Permission>,
-): asserts options is ResolvedSSOOptions<Permission> {
-  const issuerValue = required(options.issuer, "issuer");
-  const secretValue = required(options.secret, "secret");
-  required(options.clientId, "clientId");
-  required(options.clientSecret, "clientSecret");
-
-  let issuer: URL;
-  try {
-    issuer = new URL(issuerValue);
-  } catch {
-    throw new SSOConfigError(`\`issuer\` no es una URL válida: ${issuerValue}`);
-  }
-  if (
-    issuer.protocol !== "https:" &&
-    !(issuer.protocol === "http:" && isLocalhost(issuer))
-  ) {
-    throw new SSOConfigError(
-      `\`issuer\` debe ser https (o http solo en localhost). Recibido: ${issuerValue}`,
-    );
-  }
-
-  if (secretValue.length < 32) {
-    throw new SSOConfigError(
-      "`secret` necesita al menos 32 caracteres. Genera uno con:\n" +
-        "  node -e \"console.log(require('crypto').randomBytes(32).toString('base64url'))\"",
-    );
-  }
-
-  if (options.appUrl !== undefined) {
-    let app: URL;
-    try {
-      app = new URL(options.appUrl);
-    } catch {
-      throw new SSOConfigError(
-        `\`appUrl\` no es una URL válida: ${options.appUrl}`,
-      );
-    }
-    if (
-      app.protocol !== "https:" &&
-      !(app.protocol === "http:" && isLocalhost(app))
-    ) {
-      throw new SSOConfigError(
-        "`appUrl` debe ser https (o http solo en localhost).",
-      );
-    }
-  }
-
-  if (
-    options.postLogoutRedirectUri !== undefined &&
-    !isSecureOrLocal(options.postLogoutRedirectUri)
-  ) {
-    throw new SSOConfigError(
-      "`postLogoutRedirectUri` debe ser https (o http solo en localhost) y estar registrada en el portal.",
-    );
-  }
-
-  if (options.basePath !== undefined && !options.basePath.startsWith("/")) {
-    throw new SSOConfigError(
-      "`basePath` debe empezar con `/` (p. ej. `/api/sso`).",
-    );
-  }
-
-  if (options.cookieName !== undefined) {
-    if (options.cookieName === "" || /[;,\s]/.test(options.cookieName)) {
-      throw new SSOConfigError(
-        "`cookieName` no puede contener `;`, `,` ni espacios.",
-      );
-    }
-    if (
-      options.cookieName.startsWith("__Host-") &&
-      (options.appUrl ?? "").startsWith("http://")
-    ) {
-      throw new SSOConfigError("Una cookie `__Host-` exige origen https.");
-    }
-  }
-
-  if (options.sessionMaxAge !== undefined && options.sessionMaxAge <= 0) {
-    throw new SSOConfigError(
-      "`sessionMaxAge` debe ser mayor que cero (segundos).",
-    );
-  }
-
-  if (options.permissions !== undefined) {
-    const seen = new Set<string>();
-    for (const permission of options.permissions) {
-      /**
-       * Solo cordura estructural: cadenas no vacías y sin repetir. La FORMA del
-       * permiso no se valida a propósito —el portal acepta cualquier cadena
-       * opaca y solo él define el catálogo—. Rechazar aquí `admin` o
-       * `acceso.total` porque no parecen `recurso:acción` convertiría una
-       * convención recomendada en una regla que el portal no tiene, y una app
-       * válida dejaría de arrancar.
-       */
-      if (typeof permission !== "string" || permission.length === 0) {
-        throw new SSOConfigError(
-          "El catálogo `permissions` solo admite cadenas no vacías.",
-        );
-      }
-      if (seen.has(permission)) {
-        throw new SSOConfigError(
-          `Permiso duplicado en el catálogo: "${permission}".`,
-        );
-      }
-      seen.add(permission);
-    }
-  }
-}
+import { SSOConfigError } from "./errors";
+import type { SSOClientOptions } from "./types";
+
+/**
+ * Lee una opción o su variable de entorno. Sin una de las dos no hay forma de
+ * arrancar, y el error dice exactamente cuál falta y dónde ponerla.
+ */
+function fromEnv(value: string | undefined, name: string): string {
+  if (value) return value;
+
+  const env = typeof process !== "undefined" ? process.env : undefined;
+  const found = env?.[name];
+  if (found) return found;
+
+  throw new SSOConfigError(
+    `Falta \`${name}\` en el entorno (o pasa \`${nameToOption(name)}\` al definir el cliente SSO).`,
+  );
+}
+
+function nameToOption(name: string): string {
+  switch (name) {
+    case "SSO_ISSUER":
+      return "issuer";
+    case "SSO_CLIENT_ID":
+      return "clientId";
+    case "SSO_CLIENT_SECRET":
+      return "clientSecret";
+    case "SSO_SECRET":
+      return "secret";
+    default:
+      return name;
+  }
+}
+
+/**
+ * Configuración con los cuatro valores de entorno ya resueltos.
+ */
+export type ResolvedSSOOptions<Permission extends string = string> = Omit<
+  SSOClientOptions<Permission>,
+  "issuer" | "clientId" | "clientSecret" | "secret"
+> & {
+  issuer: string;
+  clientId: string;
+  clientSecret: string;
+  secret: string;
+};
+
+/**
+ * Resuelve la configuración efectiva: lo explícito gana, lo demás sale del
+ * entorno. Es lo que permite `defineNextSSO({ permissions })` sin nada más.
+ */
+export function resolveOptions<Permission extends string>(
+  options: SSOClientOptions<Permission>,
+): ResolvedSSOOptions<Permission> {
+  const env = typeof process !== "undefined" ? process.env : undefined;
+
+  return {
+    ...options,
+    issuer: fromEnv(options.issuer, "SSO_ISSUER"),
+    clientId: fromEnv(options.clientId, "SSO_CLIENT_ID"),
+    clientSecret: fromEnv(options.clientSecret, "SSO_CLIENT_SECRET"),
+    secret: fromEnv(options.secret, "SSO_SECRET"),
+    postLogoutRedirectUri:
+      options.postLogoutRedirectUri ?? env?.SSO_POST_LOGOUT_URI,
+  };
+}
+
+function isLocalhost(url: URL): boolean {
+  return (
+    url.hostname === "localhost" ||
+    url.hostname === "127.0.0.1" ||
+    url.hostname === "[::1]" ||
+    url.hostname.endsWith(".localhost")
+  );
+}
+
+/** https, o http solo en localhost (incluye `*.localhost`, que resuelve a loopback). */
+function isSecureOrLocal(value: string): boolean {
+  try {
+    const url = new URL(value);
+    return url.protocol === "https:" || (url.protocol === "http:" && isLocalhost(url));
+  } catch {
+    return false;
+  }
+}
+
+function required(value: string | undefined, name: string): string {
+  if (!value) {
+    throw new SSOConfigError(
+      `Falta \`${name}\` en la configuración del cliente SSO.`,
+    );
+  }
+
+  return value;
+}
+
+/**
+ * Valida la configuración al crear el cliente y falla rápido.
+ *
+ * Todo lo que antes era un 500 críptico en el primer login —issuer http,
+ * secreto corto, catálogo con erratas— ahora es un error al arrancar, en el
+ * archivo donde se declara el cliente.
+ */
+export function validateOptions<Permission extends string>(
+  options: SSOClientOptions<Permission>,
+): asserts options is ResolvedSSOOptions<Permission> {
+  const issuerValue = required(options.issuer, "issuer");
+  const secretValue = required(options.secret, "secret");
+  required(options.clientId, "clientId");
+  required(options.clientSecret, "clientSecret");
+
+  let issuer: URL;
+  try {
+    issuer = new URL(issuerValue);
+  } catch {
+    throw new SSOConfigError(`\`issuer\` no es una URL válida: ${issuerValue}`);
+  }
+  if (
+    issuer.protocol !== "https:" &&
+    !(issuer.protocol === "http:" && isLocalhost(issuer))
+  ) {
+    throw new SSOConfigError(
+      `\`issuer\` debe ser https (o http solo en localhost). Recibido: ${issuerValue}`,
+    );
+  }
+
+  if (secretValue.length < 32) {
+    throw new SSOConfigError(
+      "`secret` necesita al menos 32 caracteres. Genera uno con:\n" +
+        "  node -e \"console.log(require('crypto').randomBytes(32).toString('base64url'))\"",
+    );
+  }
+
+  if (options.appUrl !== undefined) {
+    let app: URL;
+    try {
+      app = new URL(options.appUrl);
+    } catch {
+      throw new SSOConfigError(
+        `\`appUrl\` no es una URL válida: ${options.appUrl}`,
+      );
+    }
+    if (
+      app.protocol !== "https:" &&
+      !(app.protocol === "http:" && isLocalhost(app))
+    ) {
+      throw new SSOConfigError(
+        "`appUrl` debe ser https (o http solo en localhost).",
+      );
+    }
+  }
+
+  if (
+    options.postLogoutRedirectUri !== undefined &&
+    !isSecureOrLocal(options.postLogoutRedirectUri)
+  ) {
+    throw new SSOConfigError(
+      "`postLogoutRedirectUri` debe ser https (o http solo en localhost) y estar registrada en el portal.",
+    );
+  }
+
+  if (options.basePath !== undefined && !options.basePath.startsWith("/")) {
+    throw new SSOConfigError(
+      "`basePath` debe empezar con `/` (p. ej. `/api/sso`).",
+    );
+  }
+
+  if (options.cookieName !== undefined) {
+    if (options.cookieName === "" || /[;,\s]/.test(options.cookieName)) {
+      throw new SSOConfigError(
+        "`cookieName` no puede contener `;`, `,` ni espacios.",
+      );
+    }
+    if (
+      options.cookieName.startsWith("__Host-") &&
+      (options.appUrl ?? "").startsWith("http://")
+    ) {
+      throw new SSOConfigError("Una cookie `__Host-` exige origen https.");
+    }
+  }
+
+  if (options.sessionMaxAge !== undefined && options.sessionMaxAge <= 0) {
+    throw new SSOConfigError(
+      "`sessionMaxAge` debe ser mayor que cero (segundos).",
+    );
+  }
+
+  if (options.permissions !== undefined) {
+    const seen = new Set<string>();
+    for (const permission of options.permissions) {
+      /**
+       * Solo cordura estructural: cadenas no vacías y sin repetir. La FORMA del
+       * permiso no se valida a propósito —el portal acepta cualquier cadena
+       * opaca y solo él define el catálogo—. Rechazar aquí `admin` o
+       * `acceso.total` porque no parecen `recurso:acción` convertiría una
+       * convención recomendada en una regla que el portal no tiene, y una app
+       * válida dejaría de arrancar.
+       */
+      if (typeof permission !== "string" || permission.length === 0) {
+        throw new SSOConfigError(
+          "El catálogo `permissions` solo admite cadenas no vacías.",
+        );
+      }
+      if (seen.has(permission)) {
+        throw new SSOConfigError(
+          `Permiso duplicado en el catálogo: "${permission}".`,
+        );
+      }
+      seen.add(permission);
+    }
+  }
+}

package/src/core.ts

@@ -8,7 +8,10 @@ import type { DiscoveryDocument, SSOSession } from "./types";
 const PORTAL_TIMEOUT_MS = 10_000;
 
 function portalFetch(url: string, init: RequestInit = {}): Promise<Response> {
-  return fetch(url, { ...init, signal: AbortSignal.timeout(PORTAL_TIMEOUT_MS) });
+  return fetch(url, {
+    ...init,
+    signal: AbortSignal.timeout(PORTAL_TIMEOUT_MS),
+  });
 }
 
 /** Cachea el documento de descubrimiento por emisor. */
@@ -104,9 +107,7 @@ export function buildSession<Permission extends string>(
     user: {
       id: String(profile.sub),
       email: String(profile.email ?? ""),
-      emailVerified: profile.email_verified === true,
       name: typeof profile.name === "string" ? profile.name : null,
-      image: typeof profile.picture === "string" ? profile.picture : null,
     },
     roles,
     permissions,
@@ -129,9 +130,7 @@ export function buildSession<Permission extends string>(
 export function sessionFromPayload<Permission extends string>(payload: {
   sub: string;
   email: string;
-  emailVerified: boolean;
   name: string | null;
-  image: string | null;
   roles: string[];
   permissions: string[];
   amr: string[];
@@ -145,9 +144,7 @@ export function sessionFromPayload<Permission extends string>(payload: {
     user: {
       id: payload.sub,
       email: payload.email,
-      emailVerified: payload.emailVerified,
       name: payload.name,
-      image: payload.image,
     },
     roles: payload.roles,
     permissions,