@dotrino/identity 0.80.0 → 0.82.0

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@dotrino/identity",
-  "version": "0.80.0",
+  "version": "0.82.0",
   "description": "Identidad y rating de usuarios compartidos entre apps de Dotrino (vault iframe + postMessage)",
   "type": "module",
   "main": "src/index.js",

package/vault/acta.js

@@ -968,8 +968,8 @@ export function effectiveCaps (acta, pub, extraRenounces = []) {
  * `ns` es opcional y es para lo que va atado a un cajón: un servicio (miembro con `cn`)
  * solo firma dentro del suyo. Sin `ns`, se pregunta por la capacidad a secas.
  */
-export function memberCanSign (acta, pub, ns = null) {
-  if (!memberCan(acta, pub, 'sign')) return false
+export function memberCanSign (acta, pub, ns = null, extraRenounces = []) {
+  if (!memberCan(acta, pub, 'sign', extraRenounces)) return false
   const m = (acta?.members || []).find((x) => x.pub === pub)
   // SIN `cn` = un aparato TUYO: firma como tú, y no hay nada que preguntarle a nadie.
   if (!m?.cn) return true
@@ -996,19 +996,19 @@ export function memberCanSign (acta, pub, ns = null) {
  * Devuelve `false` ante un scope que no reconoce: si aparece uno nuevo, lo que toca es
  * añadirlo aquí, no que se cuele por no estar en la lista.
  */
-export function memberCanScope (acta, pub, scope) {
+export function memberCanScope (acta, pub, scope, extraRenounces = []) {
   if (!acta || typeof scope !== 'string') return false
   const secretos = /^vault:secrets:([a-z0-9-]{1,32})$/.exec(scope)
-  if (secretos) return memberCanReadSecrets(acta, pub, secretos[1])
-  if (scope === 'vault:sign') return memberCanSign(acta, pub)
+  if (secretos) return memberCanReadSecrets(acta, pub, secretos[1], extraRenounces)
+  if (scope === 'vault:sign') return memberCanSign(acta, pub, null, extraRenounces)
   const cap = Object.keys(CAP_SCOPE).find((c) => CAP_SCOPE[c] === scope)
-  return cap ? memberCan(acta, pub, cap) : false
+  return cap ? memberCan(acta, pub, cap, extraRenounces) : false
 }
 
-export function memberCanReadSecrets (acta, pub, ns) {
+export function memberCanReadSecrets (acta, pub, ns, extraRenounces = []) {
   const m = (acta?.members || []).find((x) => x.pub === pub)
   if (!m || !m.cn) return false
-  return m.cn === ns && effectiveCaps(acta, pub).includes('secrets')
+  return m.cn === ns && effectiveCaps(acta, pub, extraRenounces).includes('secrets')
 }
 
 /** Los scopes de cert que le corresponden a un miembro según el acta. */

package/vault/remote.js

@@ -258,6 +258,21 @@ const REVOKE_GRACE_MS = 1500
  * dispositivo estaba apagado la bóveda emitió un `vault.revoked` firmado, llega aquí y se
  * ejecuta el autoborrado (`onRevoked`) tras verificar la firma contra la maestra pineada.
  */
+/**
+ * EL ERROR DE LA BÓVEDA, CON LO QUE TRAE. Se rechazaba con `new Error(p.error)` a secas y
+ * se perdían el `code` y —desde que se puede abrir a distancia— el freno: cuántos intentos
+ * van y cuánto hay que esperar. Sin eso, quien llama solo puede emparejar por el TEXTO, que
+ * es justo lo que rompe en silencio cuando alguien lo traduce («los errores son un
+ * contrato»), y el admin reintenta contra una puerta que ya no responde sin saber por qué.
+ */
+function vaultError (p) {
+  const e = new Error(p?.error || 'vault error')
+  if (p?.code) e.code = p.code
+  if (p?.tries != null) e.tries = p.tries
+  if (p?.waitSec != null) e.waitSec = p.waitSec
+  return e
+}
+
 async function vaultRpc ({ master, proxy, device, cert, acta = null, sendType, okType, data, onRevoked, timeoutMs = 15000 }) {
   if (!master || !proxy || !(device?.privateJwk || device?.privateKey) || !cert) throw new Error('missing pairing data')
   const { WebSocketProxyClient } = await import('@dotrino/proxy-client')
@@ -285,10 +300,10 @@ async function vaultRpc ({ master, proxy, device, cert, acta = null, sendType, o
           // antes que el segundo, y entonces el aparato se quedaba con la cuenta puesta
           // hasta vaya a saber cuándo. Se le da un respiro corto para recogerlo.
           if (/\brevoked\b/.test(p.error || '') && !graceTimer) {
-            graceTimer = setTimeout(() => { cleanup(); reject(new Error(p.error)) }, REVOKE_GRACE_MS)
+            graceTimer = setTimeout(() => { cleanup(); reject(vaultError(p)) }, REVOKE_GRACE_MS)
             return
           }
-          cleanup(); reject(new Error(p.error))
+          cleanup(); reject(vaultError(p))
         }
       })
       const t = setTimeout(() => { cleanup(); reject(new Error('the vault did not reply (is it running?)')) }, timeoutMs)
@@ -406,9 +421,15 @@ export async function requestRenounce ({ master, proxy, device, cert, record, on
  * El `nonce` de un solo uso va en cada petición porque `approve` y `revoke` cambian
  * estado, y para eso la ventana de frescura de ±5 min no alcanza.
  */
-export async function requestAdmin ({ master, proxy, device, cert, op, onRevoked, ...rest } = {}) {
-  const nonce = [...crypto.getRandomValues(new Uint8Array(16))]
-    .map((b) => b.toString(16).padStart(2, '0')).join('')
+export async function requestAdmin ({ master, proxy, device, cert, op, onRevoked, nonce: dado, ...rest } = {}) {
+  // EL NONCE SE PUEDE DAR, y hace falta para abrir la bóveda a distancia: ahí va también
+  // DENTRO del sobre sellado, y quien lo sella tiene que conocerlo antes de llamar. Si se
+  // generara siempre aquí, el de fuera y el de dentro no podrían coincidir — y el de
+  // dentro es el que impide que un sobre capturado se reenvíe con un nonce nuevo.
+  const nonce = typeof dado === 'string' && dado.length >= 16
+    ? dado
+    : [...crypto.getRandomValues(new Uint8Array(16))]
+      .map((b) => b.toString(16).padStart(2, '0')).join('')
   const res = await vaultRpc({
     master, proxy, device, cert, onRevoked,
     sendType: MSG.ADMIN, okType: MSG.ADMIN_RESULT,

package/vault/vendor/vault/VERSION.txt

@@ -1,4 +1,4 @@
-Copia vendorizada de @dotrino/vault@0.60.3 (dotrino-vault/lib/src/{index,enroll,protocol}.js).
+Copia vendorizada de @dotrino/vault@0.61.0 (dotrino-vault/lib/src/{index,enroll,protocol}.js).
 NO se edita a mano: la escribe `node vendor.mjs` y la vigila test/vendor-up-to-date.test.mjs.
 index.js importa ./enroll.js y ./protocol.js (relativos, van en esta misma copia),
 @dotrino/identity/{capabilities,acta} (= ../../{capabilities,acta}.js) y

package/vault/vendor/vault/protocol.js

@@ -128,3 +128,18 @@ export const isValidSecretsNs = (ns) => typeof ns === 'string' && /^[a-z0-9-]{1,
  * remota y el lector de `.env`, y tres copias de una regla son tres reglas.
  */
 export const isValidVarKey = (key) => typeof key === 'string' && /^[A-Z0-9_]{1,64}$/.test(key)
+
+/**
+ * LA VERSIÓN DEL CABLE (CONVENCIONES §14, `@dotrino/compat`).
+ *
+ * Sube **solo cuando cambia el protocolo**, no con cada release: es lo que decide *si dos
+ * piezas pueden hablar*. La `version` del paquete decide otra cosa —si esa build concreta
+ * está rota— y por eso hacen falta las dos.
+ *
+ * Empieza en 1 hoy, con todo lo anterior sin declarar nada: a quien calla se le atiende
+ * hasta que cierre la ventana de migración del pilar, y después no.
+ */
+export const VAULT_PROTOCOL = 1
+
+/** Los protocolos que esta build entiende. Al añadir el 2, aquí van `[1, 2]`. */
+export const VAULT_SPEAKS = [1]