@dotrino/identity 0.102.1 → 0.102.2

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@dotrino/identity",
-  "version": "0.102.1",
+  "version": "0.102.2",
   "description": "Identidad y rating de usuarios compartidos entre apps de Dotrino (vault iframe + postMessage)",
   "type": "module",
   "main": "src/index.js",

package/vault/core.js

@@ -1336,6 +1336,8 @@ export async function createIdentityCore ({ kv: hostKv, peers, makeSync = null,
   // Un cert YA vencido o revocado no puede renovarse (ahí sí, re-emparejar).
   // Ya no hay ventana de caducidad: el papel no vence. Lo único que obliga a pedir uno
   // nuevo es que el ACTA diga algo distinto de lo que lleva escrito.
+  /** Rechazos de la bóveda que se arreglan con un papel nuevo (el mismo juego que la app nativa). */
+  const PAPER_REASONS = new Set(['scope', 'acta-vieja', 'untrusted-issuer', 'expired', 'legacy-cert-retirado', 'no-acta'])
   const RENEW_RETRY_MS = 60 * 60 * 1000 // si falla (vault apagado), no insistir >1 vez/hora
   let renewLastTry = 0
   /**
@@ -3007,8 +3009,19 @@ export async function createIdentityCore ({ kv: hostKv, peers, makeSync = null,
       const v = loadVaultCert(); const device = loadVaultDevice()
       if (!v?.cert || !device) throw new Error('this device is not paired with a vault')
       maybeRenewVaultCert()
+      const ask = (cert) => remoteApproval({ master: v.master, proxy: v.proxy, device, cert, op, id, onRevoked: wipeVaultLink })
       try {
-        const r = await remoteApproval({ master: v.master, proxy: v.proxy, device, cert: v.cert, op, id, onRevoked: wipeVaultLink })
+        let r
+        try { r = await ask(v.cert) } catch (e) {
+          // PAPEL VIEJO: tras `caps <ID> +aprueba` el papel que tengo no trae `vault:approve`,
+          // y si el aviso del acta nueva no llegó (o llegó y el freno de una hora ya había
+          // gastado su intento) no se renovaba nunca: el aprobador se quedaba en
+          // «unauthorized: scope» para siempre. Se renueva UNA vez y se reintenta; la bóveda
+          // decide qué papel toca según SU acta. Un aparato revocado o sin el permiso no se
+          // reintenta: renovar no lo arregla y esconder el motivo sería peor.
+          if (e?.code !== 'unauthorized' || !PAPER_REASONS.has(e.reason)) throw e
+          r = await ask(await renovarCert())
+        }
         // El comando de cada pedido viene sellado a este aparato: se abre aquí, que es
         // donde está la llave, y sale ya legible.
         if (Array.isArray(r?.items)) return { ...r, items: await abrirContextos(r.items, currentPid) }

package/vault/remote.js

@@ -270,6 +270,7 @@ const REVOKE_GRACE_MS = 1500
 function vaultError (p) {
   const e = new Error(p?.error || 'vault error')
   if (p?.code) e.code = p.code
+  if (p?.reason) e.reason = p.reason
   if (p?.tries != null) e.tries = p.tries
   if (p?.waitSec != null) e.waitSec = p.waitSec
   return e

package/vault/vendor/vault/VERSION.txt

@@ -1,4 +1,4 @@
-Copia vendorizada de @dotrino/vault@0.72.0 (dotrino-vault/lib/src/{index,enroll,protocol,passwordLogins,loginClient,b64}.js).
+Copia vendorizada de @dotrino/vault@0.73.0 (dotrino-vault/lib/src/{index,enroll,protocol,passwordLogins,loginClient,b64}.js).
 NO se edita a mano: la escribe `node vendor.mjs` y la vigila test/vendor-up-to-date.test.mjs.
 index.js importa ./enroll.js y ./protocol.js (relativos, van en esta misma copia),
 @dotrino/identity/{capabilities,acta} (= ../../{capabilities,acta}.js) y