@dotrino/vault 0.60.2 → 0.60.4

package/bin/dotrino-env.js

@@ -121,7 +121,7 @@ function etiquetaBoveda ({ exigida = false } = {}) {
 async function cmdEnroll () {
   const ns = flag('ns')
   if (!ns) { console.error('falta --ns <ns>  (el mismo del `dotrino-vault pair --service <ns>`)'); process.exit(2) }
-  const qr = parseInvite((flag('qr') || flag('code')) || await readInvite())
+  let qr = parseInvite((flag('qr') || flag('code')) || await readInvite())
   // SIN `--vault`, SE LO PREGUNTA A LA BÓVEDA (dueño, 2026-09-03: «en el enroll si no se
   // pone vault debería usar el nombre del perfil»). Al enrolar ya sabes contra qué bóveda
   // vas —la invitación lo dice, o ella lo contesta—, así que pedir la etiqueta era hacer
@@ -132,8 +132,12 @@ async function cmdEnroll () {
   // sale nada utilizable, se pide — no se inventa un nombre.
   let boveda = etiquetaBoveda()
   if (!boveda) {
-    const { vaultAccountName } = await import('../src/service.js')
-    const nombre = await vaultAccountName(qr).catch(() => '')
+    const { vaultHello } = await import('../src/service.js')
+    // Se REUSA el qr que vuelve del hello: la cita se quema al canjearla, así que
+    // preguntar el nombre y después enrolar con el qr original gastaba la invitación
+    // en la pregunta y dejaba al enrolamiento sin nada que canjear.
+    qr = await vaultHello(qr).catch(() => qr)
+    const nombre = qr.acct || ''
     boveda = String(nombre || '').toLowerCase().replace(/[^a-z0-9-]+/g, '-').replace(/^-+|-+$/g, '').slice(0, 32)
     if (!boveda) {
       console.error('esa bóveda no dice cómo se llama su cuenta: dime tú la etiqueta')

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@dotrino/vault",
-  "version": "0.60.2",
+  "version": "0.60.4",
   "description": "Usa ESTE dispositivo (navegador) como bóveda/CA del ecosistema Dotrino: atiende enrolamientos por el proxy y firma certificados de delegación a tus máquinas. Incluye el cliente de SERVICIO (Node): un proyecto se enrola una vez y jala sus credenciales del vault en vez del .env (`import '@dotrino/vault/config'`).",
   "type": "module",
   "main": "src/index.js",

package/src/service.js

@@ -302,14 +302,34 @@ export async function sayHello (client, qr) {
 }
 
 /**
- * Cómo se llama la cuenta de esa invitación, sin enrolar nada. Una conexión y una pregunta.
+ * El hello de esa invitación, sin enrolar nada: devuelve el `qr` ENRIQUECIDO con
+ * `iss`, `proxy` y `acct`.
+ *
+ * Devuelve el qr y no solo el nombre PORQUE LA CITA SE QUEMA AL CANJEARLA. Quien
+ * pregunta el nombre de la cuenta y después enrola estaría canjeando dos veces la
+ * misma cita, y el segundo canje falla con «código no válido o ya usado» — un error
+ * que señala a la invitación cuando el problema es haberla gastado uno mismo.
+ * Con el qr enriquecido, `sayHello` corta por su `if (qr.iss) return qr` y el
+ * enrolamiento no vuelve a salir a preguntar.
  */
-export async function vaultAccountName (qr) {
+export async function vaultHello (qr) {
   if (typeof qr === 'string') qr = parseInvite(qr)
   if (!qr?.sn) throw new Error('that does not look like a vault invitation')
-  if (qr.acct) return qr.acct
+  if (qr.iss) return qr
   const client = await freshClient(qr.proxy || 'wss://proxy.dotrino.com')
-  try { return (await sayHello(client, qr)).acct || '' } finally { try { client.close() } catch (_) {} }
+  try { return await sayHello(client, qr) } finally { try { client.close() } catch (_) {} }
+}
+
+/**
+ * Cómo se llama la cuenta de esa invitación, sin enrolar nada.
+ *
+ * OJO: gasta la cita. Si además vas a enrolar, usá `vaultHello` y pasale al enroll el
+ * qr que devuelve; si no, el enrolamiento se encuentra la cita quemada.
+ */
+export async function vaultAccountName (qr) {
+  if (typeof qr === 'string') qr = parseInvite(qr)
+  if (qr?.acct) return qr.acct
+  return (await vaultHello(qr)).acct || ''
 }
 
 export async function enrollWithVault ({ qr, label = 'agent', expectedScope = null, onCode, approveTimeoutMs = 180000, withEncKey = true } = {}) {