@dotrino/identity 0.65.0 → 0.66.0

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@dotrino/identity",
-  "version": "0.65.0",
+  "version": "0.66.0",
   "description": "Identidad y rating de usuarios compartidos entre apps de Dotrino (vault iframe + postMessage)",
   "type": "module",
   "main": "src/index.js",

package/vault/acta.js

@@ -568,10 +568,39 @@ export function effectiveCaps (acta, pub, extraRenounces = []) {
  */
 export function memberCanSign (acta, pub, ns = null) {
   if (!memberCan(acta, pub, 'sign')) return false
-  if (ns == null) return true
   const m = (acta?.members || []).find((x) => x.pub === pub)
-  // Un aparato tuyo (sin `cn`) firma como tú. Uno de servicio, solo lo de su cajón.
-  return !m?.cn || m.cn === ns
+  // SIN `cn` = un aparato TUYO: firma como tú, y no hay nada que preguntarle a nadie.
+  if (!m?.cn) return true
+  // CON `cn` = un servicio, y el cajón lo dice EL ACTA. Así que no hace falta —ni vale—
+  // preguntarle al contenido de qué es: quien pregunta sin decir cajón está pidiendo
+  // «firma por la identidad, en general», y eso un servicio no lo hace. Solo se le
+  // reconoce la firma dentro del suyo.
+  return ns != null && m.cn === ns
+}
+
+/**
+ * ¿PUEDE ESTE MIEMBRO LO QUE PIDE EL SCOPE? La misma pregunta para todos los mostradores.
+ *
+ * El certificado dice a qué se comprometió la bóveda cuando conectó el aparato; el ACTA
+ * dice lo que puede hoy. Y no coinciden: cambiar los permisos sella el acta pero NO
+ * reemite ni revoca el papel, que vive hasta 30 días. Quitarle `lee` a un aparato y que
+ * siguiera leyendo un mes es el mismo fallo que estaba en `sign`, en cada mostrador que
+ * se olvidara de preguntar.
+ *
+ * Por eso esto existe y por eso traduce el SCOPE (el idioma del certificado) a la
+ * capacidad (el idioma del acta): así el guardia se pone UNA vez, junto a la verificación
+ * de la cadena, y un mostrador nuevo lo hereda en lugar de tener que acordarse.
+ *
+ * Devuelve `false` ante un scope que no reconoce: si aparece uno nuevo, lo que toca es
+ * añadirlo aquí, no que se cuele por no estar en la lista.
+ */
+export function memberCanScope (acta, pub, scope) {
+  if (!acta || typeof scope !== 'string') return false
+  const secretos = /^vault:secrets:([a-z0-9-]{1,32})$/.exec(scope)
+  if (secretos) return memberCanReadSecrets(acta, pub, secretos[1])
+  if (scope === 'vault:sign') return memberCanSign(acta, pub)
+  const cap = Object.keys(CAP_SCOPE).find((c) => CAP_SCOPE[c] === scope)
+  return cap ? memberCan(acta, pub, cap) : false
 }
 
 export function memberCanReadSecrets (acta, pub, ns) {
@@ -758,5 +787,5 @@ export default {
   sealActa, verifyActa, applyChanges, makeRenounce, verifyRenounce,
   makeContinuity, verifyContinuity,
   cardBody, makeProfileCard, verifyProfileCard, canAdoptCard, sealersOf, canSeal,
-  effectiveCaps, memberCan, memberCanSign, memberCanReadSecrets, memberScopes, isService, capScope, isValidCn, canAdopt
+  effectiveCaps, memberCan, memberCanSign, memberCanScope, memberCanReadSecrets, memberScopes, isService, capScope, isValidCn, canAdopt
 }