@dotrino/identity 0.102.0 → 0.102.2

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@dotrino/identity",
-  "version": "0.102.0",
+  "version": "0.102.2",
   "description": "Identidad y rating de usuarios compartidos entre apps de Dotrino (vault iframe + postMessage)",
   "type": "module",
   "main": "src/index.js",

package/vault/core.js

@@ -1336,6 +1336,8 @@ export async function createIdentityCore ({ kv: hostKv, peers, makeSync = null,
   // Un cert YA vencido o revocado no puede renovarse (ahí sí, re-emparejar).
   // Ya no hay ventana de caducidad: el papel no vence. Lo único que obliga a pedir uno
   // nuevo es que el ACTA diga algo distinto de lo que lleva escrito.
+  /** Rechazos de la bóveda que se arreglan con un papel nuevo (el mismo juego que la app nativa). */
+  const PAPER_REASONS = new Set(['scope', 'acta-vieja', 'untrusted-issuer', 'expired', 'legacy-cert-retirado', 'no-acta'])
   const RENEW_RETRY_MS = 60 * 60 * 1000 // si falla (vault apagado), no insistir >1 vez/hora
   let renewLastTry = 0
   /**
@@ -3007,8 +3009,19 @@ export async function createIdentityCore ({ kv: hostKv, peers, makeSync = null,
       const v = loadVaultCert(); const device = loadVaultDevice()
       if (!v?.cert || !device) throw new Error('this device is not paired with a vault')
       maybeRenewVaultCert()
+      const ask = (cert) => remoteApproval({ master: v.master, proxy: v.proxy, device, cert, op, id, onRevoked: wipeVaultLink })
       try {
-        const r = await remoteApproval({ master: v.master, proxy: v.proxy, device, cert: v.cert, op, id, onRevoked: wipeVaultLink })
+        let r
+        try { r = await ask(v.cert) } catch (e) {
+          // PAPEL VIEJO: tras `caps <ID> +aprueba` el papel que tengo no trae `vault:approve`,
+          // y si el aviso del acta nueva no llegó (o llegó y el freno de una hora ya había
+          // gastado su intento) no se renovaba nunca: el aprobador se quedaba en
+          // «unauthorized: scope» para siempre. Se renueva UNA vez y se reintenta; la bóveda
+          // decide qué papel toca según SU acta. Un aparato revocado o sin el permiso no se
+          // reintenta: renovar no lo arregla y esconder el motivo sería peor.
+          if (e?.code !== 'unauthorized' || !PAPER_REASONS.has(e.reason)) throw e
+          r = await ask(await renovarCert())
+        }
         // El comando de cada pedido viene sellado a este aparato: se abre aquí, que es
         // donde está la llave, y sale ya legible.
         if (Array.isArray(r?.items)) return { ...r, items: await abrirContextos(r.items, currentPid) }

package/vault/remote.js

@@ -128,7 +128,7 @@ async function askVault (client, qr) {
  * @param {(c:{deviceId:string, code:string})=>void} [opts.onChallenge]  Para mostrar el código a tipear en el PC.
  * @param {string} [opts.label]
  * @param {number} [opts.approveTimeoutMs]  Espera de la aprobación humana (def 3 min).
- * @returns {Promise<{device, cert, master:string, proxy:string, deviceId:string}>}
+ * @returns {Promise<{device, cert, master:string, proxy:string, deviceId:string, account:string}>}
  */
 export async function enrollDevice ({ qr, device, onChallenge, label = '', continuity = null, encPub = null, approveTimeoutMs = 180000, intent = 'join', profileId = null, onAdopt = null } = {}) {
   if (!qr?.sn || !(qr.iss || qr.conn)) throw new Error('invalid qr: missing vault or nonce')
@@ -206,7 +206,7 @@ export async function enrollDevice ({ qr, device, onChallenge, label = '', conti
     if (adopting) {
       if (!res.acta) throw new Error('the vault did not return the adopted record')
       if (res.acta.sealer !== qr.iss) throw new Error('the record is sealed by a vault other than the one you saw')
-      return { device: dev, cert: null, master: qr.iss, proxy: qr.proxy, deviceId, acta: res.acta, adopted: true }
+      return { device: dev, cert: null, master: qr.iss, proxy: qr.proxy, deviceId, acta: res.acta, adopted: true, account: qr.acct || '' }
     }
 
     // Validación estricta antes de guardar (cierra inyección de cert / sustitución de maestra).
@@ -225,7 +225,10 @@ export async function enrollDevice ({ qr, device, onChallenge, label = '', conti
     // emparejaba con una segunda bóveda o con una que adoptó la cuenta (`checkVaultReply`).
     const chk = await checkVaultReply({ acta: res.acta, cert: res.cert, vault: qr.iss, sub: dev.publickey, justSealed: true })
     if (!chk.ok) throw new Error('the vault reply does not check out: ' + chk.reason)
-    return { device: dev, cert: res.cert, master: qr.iss, proxy: qr.proxy, deviceId, acta: res.acta || null }
+    // `account`: el nombre que la bóveda dio a la cuenta. Con la invitación corta no viene en
+    // el QR sino en el `hello`, así que solo lo sabe esto — y sin él, quien tiene varias
+    // cuentas en un aparato no sabe de cuál es cada cosa.
+    return { device: dev, cert: res.cert, master: qr.iss, proxy: qr.proxy, deviceId, acta: res.acta || null, account: qr.acct || '' }
   } finally { try { client.close() } catch (_) {} }
 }
 
@@ -267,6 +270,7 @@ const REVOKE_GRACE_MS = 1500
 function vaultError (p) {
   const e = new Error(p?.error || 'vault error')
   if (p?.code) e.code = p.code
+  if (p?.reason) e.reason = p.reason
   if (p?.tries != null) e.tries = p.tries
   if (p?.waitSec != null) e.waitSec = p.waitSec
   return e

package/vault/vendor/vault/VERSION.txt

@@ -1,4 +1,4 @@
-Copia vendorizada de @dotrino/vault@0.72.0 (dotrino-vault/lib/src/{index,enroll,protocol,passwordLogins,loginClient,b64}.js).
+Copia vendorizada de @dotrino/vault@0.73.0 (dotrino-vault/lib/src/{index,enroll,protocol,passwordLogins,loginClient,b64}.js).
 NO se edita a mano: la escribe `node vendor.mjs` y la vigila test/vendor-up-to-date.test.mjs.
 index.js importa ./enroll.js y ./protocol.js (relativos, van en esta misma copia),
 @dotrino/identity/{capabilities,acta} (= ../../{capabilities,acta}.js) y