@dotrino/identity 0.57.0 → 0.59.0

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@dotrino/identity",
-  "version": "0.57.0",
+  "version": "0.59.0",
   "description": "Identidad y rating de usuarios compartidos entre apps de Dotrino (vault iframe + postMessage)",
   "type": "module",
   "main": "src/index.js",

package/src/index.js

@@ -404,6 +404,19 @@ export class Identity {
     return this._call('vaultAdmin', { op, ...(args || {}) }, 20000)
   }
 
+  /**
+   * PEDIDOS DE APROBACIÓN de la bóveda (cajones con `approval`): `op` = `approvals` ·
+   * `approve` · `deny` (estos dos con `{ id }`). Requiere `vault:approve` en el cert.
+   */
+  async vaultApprovals (op, args) {
+    return this._call('vaultApprovals', { op, ...(args || {}) }, 20000)
+  }
+
+  /** ¿El cert de este dispositivo le permite aprobar pedidos de la bóveda? */
+  async canApproveVault () {
+    return this._call('canApproveVault', {}, 20000)
+  }
+
   /** ¿El cert de este dispositivo le permite administrar el perfil a distancia? */
   async canAdminVault () {
     return this._call('canAdminVault', {}, 20000)

package/vault/acta.js

@@ -53,10 +53,15 @@ const ACTA_LEIBLES = Object.freeze([1, 2])
  * el rol de master, que no se delega. Así un dispositivo con `admin` robado hace daño
  * acotado y **reversible** (se le revoca), en vez de poder dejarte fuera de tu cuenta.
  */
-export const CAPS = Object.freeze(['sign', 'store', 'read', 'secrets', 'admin'])
+export const CAPS = Object.freeze(['sign', 'store', 'read', 'secrets', 'admin', 'approve'])
 
 /** Capacidades de un DISPOSITIVO (sin CN): acceso a todo lo del usuario. */
-export const DEVICE_CAPS = Object.freeze(['sign', 'store', 'read', 'admin'])
+/**
+ * `approve` es el aparato que APRUEBA: cuando un cajón exige aprobación por uso, el
+ * vault le avisa y solo su firma libera los secretos (normalmente el teléfono). Como
+ * `admin`, no viaja en un QR: se concede a mano (`dotrino-vault caps <ID> +approve`).
+ */
+export const DEVICE_CAPS = Object.freeze(['sign', 'store', 'read', 'admin', 'approve'])
 
 /**
  * Lo que recibe un dispositivo recién emparejado. `admin` **no está**: no se
@@ -87,12 +92,13 @@ export function capScope (cap, cn = null) {
   if (cap === 'store') return 'vault:store'
   if (cap === 'read') return 'vault:read'
   if (cap === 'admin') return 'vault:admin'
+  if (cap === 'approve') return 'vault:approve'
   if (cap === 'secrets') return isValidCn(cn) ? 'vault:secrets:' + cn : null
   return null
 }
 
 /** Compat: el mapa directo, para las capacidades de dispositivo. */
-export const CAP_SCOPE = Object.freeze({ sign: 'vault:sign', store: 'vault:store', read: 'vault:read', admin: 'vault:admin' })
+export const CAP_SCOPE = Object.freeze({ sign: 'vault:sign', store: 'vault:store', read: 'vault:read', admin: 'vault:admin', approve: 'vault:approve' })
 
 const enc = (s) => new TextEncoder().encode(s)
 const hex = (buf) => [...new Uint8Array(buf)].map((b) => b.toString(16).padStart(2, '0')).join('')

package/vault/core.js

@@ -22,7 +22,7 @@ import { signDelegationWith, MAX_DELEGATION_MS, DEFAULT_DELEGATION_MS } from './
 import * as Acta from './acta.js'
 import * as Content from './content.js'
 import { pubkeyId as pubkeyIdOf } from './capabilities.js'
-import { enrollDevice as remoteEnroll, requestSign as remoteSign, requestStore as remoteStore, requestDevices as remoteDevices, requestRenew as remoteRenew, requestAdmin as remoteAdmin, requestRenounce as remoteRenounce, checkMembership as remoteCheck } from './remote.js'
+import { enrollDevice as remoteEnroll, requestSign as remoteSign, requestStore as remoteStore, requestDevices as remoteDevices, requestRenew as remoteRenew, requestAdmin as remoteAdmin, requestApproval as remoteApproval, requestRenounce as remoteRenounce, checkMembership as remoteCheck } from './remote.js'
 
 export const KEY_STORAGE = 'dotrino.identity.keypair'
 export const ENC_KEY_STORAGE = 'dotrino.identity.enc-keypair'
@@ -1956,6 +1956,26 @@ export async function createIdentityCore ({ kv: rawKv, peers, makeSync = null, k
       catch (e) { return handleVaultError(e) }
     },
 
+    /**
+     * PEDIDOS DE APROBACIÓN: lo que le toca al teléfono cuando un cajón de la bóveda exige
+     * el visto bueno por uso. `op`: `approvals` (listar) · `approve` · `deny` (con `id`).
+     * Requiere `vault:approve` en el cert, que se concede a mano (`caps <ID> +aprueba`).
+     */
+    async vaultApprovals ({ op, id } = {}) {
+      const v = loadVaultCert(); const device = loadVaultDevice()
+      if (!v?.cert || !device) throw new Error('this device is not paired with a vault')
+      maybeRenewVaultCert()
+      try { return await remoteApproval({ master: v.master, proxy: v.proxy, device, cert: v.cert, op, id, onRevoked: wipeVaultLink }) }
+      catch (e) { return handleVaultError(e) }
+    },
+
+    /** ¿Puede ESTE dispositivo aprobar pedidos? Mismo criterio que `canAdminVault`. */
+    async canApproveVault () {
+      if (certDesfasadoDelActa()) { try { await renovarCert() } catch (_) {} }
+      const v = loadVaultCert()
+      return !!v?.cert && (v.cert.scope || []).includes('vault:approve')
+    },
+
     /**
      * ¿Puede ESTE dispositivo administrar el perfil a distancia? Sale del scope del
      * cert que le dio la bóveda, no de una preferencia: la interfaz pregunta para

package/vault/remote.js

@@ -395,6 +395,21 @@ export async function requestAdmin ({ master, proxy, device, cert, op, onRevoked
   return res.result
 }
 
+/**
+ * PEDIDOS DE APROBACIÓN (cajones con `approval`): `approvals` (listar) · `approve` ·
+ * `deny`. Van por `vault.secrets`, firmados por un aparato cuyo cert lleve
+ * `vault:approve` — que, como `admin`, no se recibe al emparejar: se concede a mano.
+ * La bóveda contesta un cuerpo firmado por la maestra (`{ op, items | ok }`).
+ */
+export async function requestApproval ({ master, proxy, device, cert, op, id, onRevoked } = {}) {
+  const res = await vaultRpc({
+    master, proxy, device, cert, onRevoked,
+    sendType: MSG.SECRETS, okType: MSG.SECRETS_RESULT,
+    data: id ? { op, id } : { op }
+  })
+  return res.body
+}
+
 /**
  * ¿Es AUTÉNTICO este `vault.admin.event` (entró o salió alguien del perfil)? Solo si va
  * firmado por la maestra PINEADA. Un aviso sin firma no se muestra: si no, cualquiera

package/vault/vendor/vault/protocol.js

@@ -87,7 +87,8 @@ export const SCOPE = Object.freeze({
   // Consola remota (docs/consola-remota.md): admitir y expulsar miembros a distancia.
   // NO incluye cambiar permisos, traspasar el mando ni conceder `admin`: eso es el rol
   // de master y sigue siendo local. No se empareja — se concede desde el PC.
-  ADMIN: 'vault:admin'
+  ADMIN: 'vault:admin',
+  APPROVE: 'vault:approve' // aprobar pedidos de secretos (cajones con `approval`); se concede a mano, como admin
 })
 
 /**