@ecdt/server-common 1.0.4 → 1.0.6

package/README.md

@@ -28,6 +28,40 @@ Este middleware normaliza tokens de autenticação que chegam codificados na URL
 
 > **Atenção:** O nome do cookie de sessão é determinado pela variável de ambiente `ENV`. Se `ENV=hml`, o cookie esperado é `hml-ecdt_token_site`; nos demais ambientes (`beta`, `prd`), é `ecdt_token_site`.
 
+### `expressCors(options)`
+
+Retorna o middleware de CORS padrão dos servidores Econodata (baseado no pacote [`cors`](https://www.npmjs.com/package/cors)).
+
+| Opção | Tipo | Descrição |
+|---|---|---|
+| `origins` | `string[]` | Origins permitidas. Requisições de outras origins não recebem os headers CORS (o navegador bloqueia a resposta). Obrigatório se `econodataOrigins` não for `true` |
+| `econodataOrigins` | `boolean` | Permite todas as origins `https` do domínio `econodata.com.br` (qualquer subdomínio, ex: `https://app.econodata.com.br`, `https://api.hml.econodata.com.br`) |
+| `extraHeaders` | `string[]` | Headers adicionais além dos padrões |
+| `headers` | `string[]` | Lista **exata** de headers permitidos — substitui os padrões. Não combinar com `extraHeaders` |
+| `methods` | `string[]` | Lista **exata** de métodos permitidos. Default: todos (`GET, HEAD, PUT, PATCH, POST, DELETE, OPTIONS`) |
+
+- **Headers padrões:** `Authorization`, `Content-Type`, `X-Requested-With`
+- **Credentials:** sempre habilitado (`Access-Control-Allow-Credentials: true`), por isso a origin permitida é sempre ecoada — nunca `*`
+
+```js
+const { expressCors } = require("@ecdt/server-common");
+
+// Configuração mínima
+app.use(expressCors({ origins: ["https://app.econodata.com.br"] }));
+
+// Todas as origins do domínio econodata.com.br (qualquer subdomínio)
+app.use(expressCors({ econodataOrigins: true }));
+
+// Combinando econodataOrigins com origins extras
+app.use(expressCors({ econodataOrigins: true, origins: ["http://localhost:3000"] }));
+
+// Headers extras além dos padrões
+app.use(expressCors({ origins: [...], extraHeaders: ["X-Custom-Header"] }));
+
+// Lista exata de headers e métodos
+app.use(expressCors({ origins: [...], headers: ["Content-Type"], methods: ["GET", "POST"] }));
+```
+
 ---
 
 ## Instalação

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@ecdt/server-common",
-  "version": "1.0.4",
+  "version": "1.0.6",
   "description": "Conjunto de ferramentas e configurações comuns nos servidores da Econodata",
   "main": "src/index.js",
   "scripts": {
@@ -9,6 +9,7 @@
   "author": "",
   "license": "ISC",
   "dependencies": {
-    "body-parser": "^2.2.2"
+    "body-parser": "^2.2.2",
+    "cors": "^2.8.6"
   }
 }

package/src/index.d.ts

@@ -6,4 +6,25 @@ declare module '@ecdt/server-common' {
      * Uso: app.use(...expressCommonMiddlewares())
      */
     export function expressCommonMiddlewares(): (req: unknown, res: unknown, next: (err?: unknown) => void) => void;
+
+    export interface ExpressCorsOptions {
+        /** Origins permitidas (ex: ["https://app.econodata.com.br"]). Obrigatório se econodataOrigins não for true. */
+        origins?: string[];
+        /** Permite todas as origins https do domínio econodata.com.br (qualquer subdomínio). */
+        econodataOrigins?: boolean;
+        /** Headers adicionais além dos padrões (Authorization, Content-Type, X-Requested-With). */
+        extraHeaders?: string[];
+        /** Lista exata de headers permitidos — substitui os padrões. Não combinar com extraHeaders. */
+        headers?: string[];
+        /** Lista exata de métodos permitidos. Default: todos (GET, HEAD, PUT, PATCH, POST, DELETE, OPTIONS). */
+        methods?: string[];
+    }
+
+    /**
+     * Cria o middleware de CORS padrão dos servidores Econodata.
+     * Credentials sempre habilitado; origins não listadas não recebem headers CORS.
+     *
+     * Uso: app.use(expressCors({ origins: ["https://app.econodata.com.br"] }))
+     */
+    export function expressCors(options: ExpressCorsOptions): (req: unknown, res: unknown, next: (err?: unknown) => void) => void;
 }

package/src/index.js

@@ -1,5 +1,6 @@
 const bodyParser = require("body-parser");
 const { devMktTokenSanitaze } = require("./services/tokenService.js");
+const { expressCors } = require("./services/corsService.js");
 
 function expressCommonMiddlewares(){
     return [bodyParser.text(), bodyParser.json(), bodyParser.urlencoded({extended: false}), devMktTokenSanitaze];
@@ -8,4 +9,4 @@ function expressCommonMiddlewares(){
 
 
 
-module.exports = { expressCommonMiddlewares }
+module.exports = { expressCommonMiddlewares, expressCors }

package/src/services/corsService.js

@@ -0,0 +1,41 @@
+const cors = require("cors");
+
+const DEFAULT_HEADERS = ["Authorization", "Content-Type", "X-Requested-With"];
+
+// Qualquer subdomínio (em qualquer nível) de econodata.com.br via https, incluindo o domínio raiz
+const ECONODATA_ORIGINS_REGEX = /^https:\/\/([a-z0-9-]+\.)*econodata\.com\.br$/;
+
+/**
+ * @param {object} options
+ * @param {string[]} [options.origins] - Origins permitidas (ex: ["https://app.econodata.com.br"])
+ * @param {boolean} [options.econodataOrigins] - Permite todas as origins https do domínio econodata.com.br (qualquer subdomínio)
+ * @param {string[]} [options.extraHeaders] - Headers adicionais além dos padrões
+ * @param {string[]} [options.headers] - Lista exata de headers (ignora os padrões e extraHeaders)
+ * @param {string[]} [options.methods] - Lista exata de métodos permitidos (default: todos)
+ * @returns middleware do express
+ */
+function expressCors({ origins, econodataOrigins, extraHeaders, headers, methods } = {}) {
+    const hasOrigins = Array.isArray(origins) && origins.length > 0;
+    if (!hasOrigins && !econodataOrigins) {
+        throw new Error("expressCors: informe 'origins' (array com pelo menos uma origin) e/ou 'econodataOrigins: true'");
+    }
+    if (headers && extraHeaders) {
+        throw new Error("expressCors: use 'headers' OU 'extraHeaders', não os dois ao mesmo tempo");
+    }
+
+    const allowedHeaders = headers ?? [...DEFAULT_HEADERS, ...(extraHeaders ?? [])];
+
+    const allowedOrigins = [
+        ...(hasOrigins ? origins : []),
+        ...(econodataOrigins ? [ECONODATA_ORIGINS_REGEX] : []),
+    ];
+
+    return cors({
+        origin: allowedOrigins,
+        credentials: true,
+        allowedHeaders,
+        methods: methods ?? ["GET", "HEAD", "PUT", "PATCH", "POST", "DELETE", "OPTIONS"],
+    });
+}
+
+module.exports = { expressCors, DEFAULT_HEADERS, ECONODATA_ORIGINS_REGEX };