@dotrino/identity 0.113.0 → 0.114.1

package/README.md

@@ -179,6 +179,11 @@ const v = await verifySignedFor({ data: pin, signature, publickey, chain, audien
 `aud` es obligatorio igual que en la prueba; `exp` es opcional, porque la caducidad de lo
 publicado la lleva el servicio (el TTL del pin) y no el cuerpo.
 
+Si quien firma es un **servicio** de la cuenta (un miembro con `cn`), pásale `ns` con su
+cajón (0.114.0+): un servicio solo firma dentro del suyo, y sin `ns` no pasa nunca. Así el
+directorio de nombres acepta lo que firma su aparato `names` sin aceptar lo de cualquier
+otro servicio de la misma cuenta.
+
 ### Permiso por origen (0.86.0+)
 
 Una prueba dice **quién eres** sin preguntar nada: quien llega al iframe ya pasó el filtro

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@dotrino/identity",
-  "version": "0.113.0",
+  "version": "0.114.1",
   "description": "Identidad y rating de usuarios compartidos entre apps de Dotrino (vault iframe + postMessage)",
   "type": "module",
   "main": "src/index.js",

package/vault/acta.js

@@ -622,7 +622,7 @@ export async function sealActa ({ acta, privateKey, privateJwk }) {
  * @param {{ data?: any, signature?: string, publickey?: string, chain?: any[], expectedProfileId?: string|null }} [args]
  */
 export async function verifySignedBy (args = {}) {
-  const { data, signature, publickey, chain, expectedProfileId = null } = args
+  const { data, signature, publickey, chain, expectedProfileId = null, ns = null } = args
   if (!data || typeof signature !== 'string' || typeof publickey !== 'string') {
     return { ok: false, reason: 'shape' }
   }
@@ -631,7 +631,10 @@ export async function verifySignedBy (args = {}) {
   const cabeza = chain[chain.length - 1]
   // Quien firmó tiene que ser miembro CON `sign` en el acta vigente de esa cadena. Si le
   // quitaste el permiso, sus firmas dejan de contar en cuanto se ve un acta más nueva.
-  if (!memberCanSign(cabeza, publickey)) return { ok: false, reason: 'firmante-no-autorizado' }
+  // Un SERVICIO (miembro con `cn`) solo firma dentro de su cajón: quien verifica dice cuál
+  // con `ns` (el directorio de nombres acepta lo firmado por su aparato `names`, no por
+  // cualquier servicio de la cuenta). Sin `ns`, un servicio nunca pasa, como siempre.
+  if (!memberCanSign(cabeza, publickey, ns)) return { ok: false, reason: 'firmante-no-autorizado' }
   if (!(await verifyDeviceSig({ publickey, data, signature }))) return { ok: false, reason: 'firma-invalida' }
   return { ok: true, profileId: c.profileId, seq: c.seq, signer: publickey }
 }

package/vault/assertion.js

@@ -191,10 +191,13 @@ export async function verifyAssertion (assertion, opts = {}) {
  * quien la lleva es el servicio; si el cuerpo trae `exp`, se respeta.
  */
 /**
- * @param {{ data?: any, signature?: string, publickey?: string, chain?: any[], audience?: string, expectedProfileId?: string|null, now?: number, maxSkewMs?: number }} [args]
+ * `ns`: el cajón del servicio que firma (su `cn` en el acta). Solo hace falta cuando lo
+ * firmado viene de un SERVICIO de la cuenta y no de un aparato de la persona.
+ *
+ * @param {{ data?: any, signature?: string, publickey?: string, chain?: any[], audience?: string, expectedProfileId?: string|null, ns?: string|null, now?: number, maxSkewMs?: number }} [args]
  */
 export async function verifySignedFor (args = {}) {
-  const { data, signature, publickey, chain, audience, expectedProfileId = null, now = Date.now(), maxSkewMs = ASSERTION_MAX_SKEW_MS } = args
+  const { data, signature, publickey, chain, audience, expectedProfileId = null, ns = null, now = Date.now(), maxSkewMs = ASSERTION_MAX_SKEW_MS } = args
   if (typeof audience !== 'string' || !audience.trim()) return { ok: false, reason: 'no-audience' }
   if (!data || typeof data !== 'object') return { ok: false, reason: 'shape' }
   if (typeof data.aud !== 'string' || !data.aud) return { ok: false, reason: 'sin-destinatario' }
@@ -207,7 +210,7 @@ export async function verifySignedFor (args = {}) {
     if (!Number.isFinite(data.iat)) return { ok: false, reason: 'shape' }
     if (data.iat > now + maxSkewMs) return { ok: false, reason: 'del-futuro' }
   }
-  const v = await verifySignedBy({ data, signature, publickey, chain, expectedProfileId })
+  const v = await verifySignedBy({ data, signature, publickey, chain, expectedProfileId, ns })
   if (!v.ok) return { ok: false, reason: 'firma:' + v.reason }
   return { ok: true, profileId: v.profileId, signer: v.signer, seq: v.seq, aud: data.aud }
 }

package/vault/core.js

@@ -64,8 +64,12 @@ const PILAR_VAULT = '@dotrino/vault'
 
 export function canonicalStringify (v) {
   if (v === null || typeof v !== 'object') return JSON.stringify(v)
-  if (Array.isArray(v)) return '[' + v.map(canonicalStringify).join(',') + ']'
-  const ks = Object.keys(v).sort()
+  // Un array con `undefined` va como `null`, igual que en JSON.stringify.
+  if (Array.isArray(v)) return '[' + v.map((x) => x === undefined ? 'null' : canonicalStringify(x)).join(',') + ']'
+  // Una clave con `undefined` NO existe, igual que en JSON.stringify: antes salía como
+  // `"k":undefined` (ni siquiera es JSON) y lo firmado en memoria no cuadraba con lo mismo
+  // leído del disco o de la red (el directorio de nombres, 2026-10-15).
+  const ks = Object.keys(v).filter((k) => v[k] !== undefined).sort()
   return '{' + ks.map(k => JSON.stringify(k) + ':' + canonicalStringify(v[k])).join(',') + '}'
 }