@ecdt/server-common 1.0.3 → 1.0.5

package/README.md

@@ -28,6 +28,33 @@ Este middleware normaliza tokens de autenticação que chegam codificados na URL
 
 > **Atenção:** O nome do cookie de sessão é determinado pela variável de ambiente `ENV`. Se `ENV=hml`, o cookie esperado é `hml-ecdt_token_site`; nos demais ambientes (`beta`, `prd`), é `ecdt_token_site`.
 
+### `expressCors(options)`
+
+Retorna o middleware de CORS padrão dos servidores Econodata (baseado no pacote [`cors`](https://www.npmjs.com/package/cors)).
+
+| Opção | Tipo | Descrição |
+|---|---|---|
+| `origins` | `string[]` (obrigatório) | Origins permitidas. Requisições de outras origins não recebem os headers CORS (o navegador bloqueia a resposta) |
+| `extraHeaders` | `string[]` | Headers adicionais além dos padrões |
+| `headers` | `string[]` | Lista **exata** de headers permitidos — substitui os padrões. Não combinar com `extraHeaders` |
+| `methods` | `string[]` | Lista **exata** de métodos permitidos. Default: todos (`GET, HEAD, PUT, PATCH, POST, DELETE, OPTIONS`) |
+
+- **Headers padrões:** `Authorization`, `Content-Type`, `X-Requested-With`
+- **Credentials:** sempre habilitado (`Access-Control-Allow-Credentials: true`), por isso a origin permitida é sempre ecoada — nunca `*`
+
+```js
+const { expressCors } = require("@ecdt/server-common");
+
+// Configuração mínima
+app.use(expressCors({ origins: ["https://app.econodata.com.br"] }));
+
+// Headers extras além dos padrões
+app.use(expressCors({ origins: [...], extraHeaders: ["X-Custom-Header"] }));
+
+// Lista exata de headers e métodos
+app.use(expressCors({ origins: [...], headers: ["Content-Type"], methods: ["GET", "POST"] }));
+```
+
 ---
 
 ## Instalação

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@ecdt/server-common",
-  "version": "1.0.3",
+  "version": "1.0.5",
   "description": "Conjunto de ferramentas e configurações comuns nos servidores da Econodata",
   "main": "src/index.js",
   "scripts": {
@@ -9,6 +9,7 @@
   "author": "",
   "license": "ISC",
   "dependencies": {
-    "body-parser": "^2.2.2"
+    "body-parser": "^2.2.2",
+    "cors": "^2.8.6"
   }
 }

package/src/index.d.ts

@@ -1,9 +1,28 @@
 declare module '@ecdt/server-common' {
     /**
-     * Aplica bodyParser.text(), bodyParser.json(), bodyParser.urlencoded({extended: false}), devMktTokenSanitaze() e o compression()
+     * Aplica bodyParser.text(), bodyParser.json(), bodyParser.urlencoded({extended: false}) e devMktTokenSanitaze() 
      * no middleware do express.
      * 
      * Uso: app.use(...expressCommonMiddlewares())
      */
     export function expressCommonMiddlewares(): (req: unknown, res: unknown, next: (err?: unknown) => void) => void;
+
+    export interface ExpressCorsOptions {
+        /** Origins permitidas (ex: ["https://app.econodata.com.br"]). Obrigatório. */
+        origins: string[];
+        /** Headers adicionais além dos padrões (Authorization, Content-Type, X-Requested-With). */
+        extraHeaders?: string[];
+        /** Lista exata de headers permitidos — substitui os padrões. Não combinar com extraHeaders. */
+        headers?: string[];
+        /** Lista exata de métodos permitidos. Default: todos (GET, HEAD, PUT, PATCH, POST, DELETE, OPTIONS). */
+        methods?: string[];
+    }
+
+    /**
+     * Cria o middleware de CORS padrão dos servidores Econodata.
+     * Credentials sempre habilitado; origins não listadas não recebem headers CORS.
+     *
+     * Uso: app.use(expressCors({ origins: ["https://app.econodata.com.br"] }))
+     */
+    export function expressCors(options: ExpressCorsOptions): (req: unknown, res: unknown, next: (err?: unknown) => void) => void;
 }

package/src/index.js

@@ -1,5 +1,6 @@
 const bodyParser = require("body-parser");
 const { devMktTokenSanitaze } = require("./services/tokenService.js");
+const { expressCors } = require("./services/corsService.js");
 
 function expressCommonMiddlewares(){
     return [bodyParser.text(), bodyParser.json(), bodyParser.urlencoded({extended: false}), devMktTokenSanitaze];
@@ -8,4 +9,4 @@ function expressCommonMiddlewares(){
 
 
 
-module.exports = { expressCommonMiddlewares }
+module.exports = { expressCommonMiddlewares, expressCors }

package/src/services/corsService.js

@@ -0,0 +1,31 @@
+const cors = require("cors");
+
+const DEFAULT_HEADERS = ["Authorization", "Content-Type", "X-Requested-With"];
+
+/**
+ * @param {object} options
+ * @param {string[]} options.origins - Origins permitidas (ex: ["https://app.econodata.com.br"])
+ * @param {string[]} [options.extraHeaders] - Headers adicionais além dos padrões
+ * @param {string[]} [options.headers] - Lista exata de headers (ignora os padrões e extraHeaders)
+ * @param {string[]} [options.methods] - Lista exata de métodos permitidos (default: todos)
+ * @returns middleware do express
+ */
+function expressCors({ origins, extraHeaders, headers, methods } = {}) {
+    if (!Array.isArray(origins) || origins.length === 0) {
+        throw new Error("expressCors: 'origins' é obrigatório e deve ser um array com pelo menos uma origin");
+    }
+    if (headers && extraHeaders) {
+        throw new Error("expressCors: use 'headers' OU 'extraHeaders', não os dois ao mesmo tempo");
+    }
+
+    const allowedHeaders = headers ?? [...DEFAULT_HEADERS, ...(extraHeaders ?? [])];
+
+    return cors({
+        origin: origins,
+        credentials: true,
+        allowedHeaders,
+        methods: methods ?? ["GET", "HEAD", "PUT", "PATCH", "POST", "DELETE", "OPTIONS"],
+    });
+}
+
+module.exports = { expressCors, DEFAULT_HEADERS };