@dotrino/identity 0.80.0 → 0.81.0

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@dotrino/identity",
-  "version": "0.80.0",
+  "version": "0.81.0",
   "description": "Identidad y rating de usuarios compartidos entre apps de Dotrino (vault iframe + postMessage)",
   "type": "module",
   "main": "src/index.js",

package/vault/acta.js

@@ -968,8 +968,8 @@ export function effectiveCaps (acta, pub, extraRenounces = []) {
  * `ns` es opcional y es para lo que va atado a un cajón: un servicio (miembro con `cn`)
  * solo firma dentro del suyo. Sin `ns`, se pregunta por la capacidad a secas.
  */
-export function memberCanSign (acta, pub, ns = null) {
-  if (!memberCan(acta, pub, 'sign')) return false
+export function memberCanSign (acta, pub, ns = null, extraRenounces = []) {
+  if (!memberCan(acta, pub, 'sign', extraRenounces)) return false
   const m = (acta?.members || []).find((x) => x.pub === pub)
   // SIN `cn` = un aparato TUYO: firma como tú, y no hay nada que preguntarle a nadie.
   if (!m?.cn) return true
@@ -996,19 +996,19 @@ export function memberCanSign (acta, pub, ns = null) {
  * Devuelve `false` ante un scope que no reconoce: si aparece uno nuevo, lo que toca es
  * añadirlo aquí, no que se cuele por no estar en la lista.
  */
-export function memberCanScope (acta, pub, scope) {
+export function memberCanScope (acta, pub, scope, extraRenounces = []) {
   if (!acta || typeof scope !== 'string') return false
   const secretos = /^vault:secrets:([a-z0-9-]{1,32})$/.exec(scope)
-  if (secretos) return memberCanReadSecrets(acta, pub, secretos[1])
-  if (scope === 'vault:sign') return memberCanSign(acta, pub)
+  if (secretos) return memberCanReadSecrets(acta, pub, secretos[1], extraRenounces)
+  if (scope === 'vault:sign') return memberCanSign(acta, pub, null, extraRenounces)
   const cap = Object.keys(CAP_SCOPE).find((c) => CAP_SCOPE[c] === scope)
-  return cap ? memberCan(acta, pub, cap) : false
+  return cap ? memberCan(acta, pub, cap, extraRenounces) : false
 }
 
-export function memberCanReadSecrets (acta, pub, ns) {
+export function memberCanReadSecrets (acta, pub, ns, extraRenounces = []) {
   const m = (acta?.members || []).find((x) => x.pub === pub)
   if (!m || !m.cn) return false
-  return m.cn === ns && effectiveCaps(acta, pub).includes('secrets')
+  return m.cn === ns && effectiveCaps(acta, pub, extraRenounces).includes('secrets')
 }
 
 /** Los scopes de cert que le corresponden a un miembro según el acta. */

package/vault/vendor/vault/VERSION.txt

@@ -1,4 +1,4 @@
-Copia vendorizada de @dotrino/vault@0.60.3 (dotrino-vault/lib/src/{index,enroll,protocol}.js).
+Copia vendorizada de @dotrino/vault@0.61.0 (dotrino-vault/lib/src/{index,enroll,protocol}.js).
 NO se edita a mano: la escribe `node vendor.mjs` y la vigila test/vendor-up-to-date.test.mjs.
 index.js importa ./enroll.js y ./protocol.js (relativos, van en esta misma copia),
 @dotrino/identity/{capabilities,acta} (= ../../{capabilities,acta}.js) y

package/vault/vendor/vault/protocol.js

@@ -128,3 +128,18 @@ export const isValidSecretsNs = (ns) => typeof ns === 'string' && /^[a-z0-9-]{1,
  * remota y el lector de `.env`, y tres copias de una regla son tres reglas.
  */
 export const isValidVarKey = (key) => typeof key === 'string' && /^[A-Z0-9_]{1,64}$/.test(key)
+
+/**
+ * LA VERSIÓN DEL CABLE (CONVENCIONES §14, `@dotrino/compat`).
+ *
+ * Sube **solo cuando cambia el protocolo**, no con cada release: es lo que decide *si dos
+ * piezas pueden hablar*. La `version` del paquete decide otra cosa —si esa build concreta
+ * está rota— y por eso hacen falta las dos.
+ *
+ * Empieza en 1 hoy, con todo lo anterior sin declarar nada: a quien calla se le atiende
+ * hasta que cierre la ventana de migración del pilar, y después no.
+ */
+export const VAULT_PROTOCOL = 1
+
+/** Los protocolos que esta build entiende. Al añadir el 2, aquí van `[1, 2]`. */
+export const VAULT_SPEAKS = [1]