@eva_solutions/auth-sdk 0.0.0-stage → 3.0.0-dev-20261109133200

package/dist/http-client-Da0-OMfc.js

@@ -0,0 +1,206 @@
+import { a as HEADERS } from "./constants-rNuD5qJn.js";
+import { d as SESSION_ROUTES, f as USER_ROUTES, i as DIRECTORIO_ROUTES, r as AUTH_ROUTES } from "./routes-F1g5aVqP.js";
+import { t as apiPath } from "./api-path-B-vSkL2H.js";
+import { c as isEvaAuthConfigError, s as getProduct, t as parseErrorResponse } from "./parse-error-response-BM9-kjs0.js";
+import { r as getAuthServiceUrl } from "./constants-BY7QZokc.js";
+import { z } from "zod";
+// src/http-client.ts
+const AuthServiceResponseSchema = z.object({ data: z.unknown() });
+const AUTH_SERVICE_TIMEOUT = 1e4;
+const extractTokens = (headers) => {
+	const accessToken = headers.get(HEADERS.NEW_ACCESS_TOKEN);
+	const refreshToken = headers.get(HEADERS.NEW_REFRESH_TOKEN);
+	if (!accessToken || !refreshToken) return void 0;
+	return {
+		accessToken,
+		refreshToken
+	};
+};
+const authFetch = async (path, options = {}) => {
+	const { method = "GET", accessToken, refreshToken, body } = options;
+	const headers = { "content-type": "application/json" };
+	if (accessToken) headers[HEADERS.AUTHORIZATION] = `Bearer ${accessToken}`;
+	if (refreshToken) headers[HEADERS.REFRESH_TOKEN] = refreshToken;
+	try {
+		const res = await fetch(`${getAuthServiceUrl()}${path}`, {
+			method,
+			headers,
+			signal: AbortSignal.timeout(AUTH_SERVICE_TIMEOUT),
+			...body ? { body: JSON.stringify(body) } : {}
+		});
+		if (!res.ok) {
+			const body = await res.json().catch(() => null);
+			return {
+				ok: false,
+				error: parseErrorResponse(res.status, body)
+			};
+		}
+		const json = await res.json();
+		const parsed = AuthServiceResponseSchema.safeParse(json);
+		if (!parsed.success) return {
+			ok: false,
+			error: {
+				kind: "sdk",
+				reason: "malformed",
+				message: "Estructura de respuesta inválida",
+				status: 502
+			}
+		};
+		const data = parsed.data.data;
+		if (Array.isArray(data)) return {
+			ok: true,
+			data
+		};
+		if (options.reissuesAccessTokenOnly) {
+			const accessToken = res.headers.get(HEADERS.NEW_ACCESS_TOKEN);
+			return {
+				ok: true,
+				data: {
+					...data,
+					...accessToken ? { accessToken } : {}
+				}
+			};
+		}
+		const tokens = extractTokens(res.headers);
+		return {
+			ok: true,
+			data: {
+				...data,
+				...tokens ? { tokens } : {}
+			}
+		};
+	} catch (err) {
+		if (isEvaAuthConfigError(err)) throw err;
+		return {
+			ok: false,
+			error: {
+				kind: "sdk",
+				reason: "network",
+				message: err instanceof Error ? err.message : "Error de red",
+				status: 0
+			}
+		};
+	}
+};
+/**
+* Solicita un código OTP. En éxito devuelve `{ message, challengeId }`:
+* `challengeId` es opaco, el caller debe conservarlo (en memoria) y enviarlo a
+* `login`; cada `getCode` nuevo invalida el `challengeId` anterior.
+* El tipo es un cast: la respuesta del Auth Service no se parsea en runtime.
+*/
+const getCode = (params) => authFetch(apiPath(AUTH_ROUTES.getCode), {
+	method: "POST",
+	body: { phone: params.phone }
+});
+/**
+* Verifica el código OTP. `challengeId` es obligatorio: debe ser el que
+* devolvió el `getCode` que originó el código; sin el desafío vigente el Auth
+* Service responde 401 sin consumir intentos.
+*
+* El `producto` del login sale SIEMPRE de `configureEvaAuth({ product })`, nunca del llamador: el
+* access token queda emitido para ese producto. `empresaId` (opcional) deja esa empresa activa en
+* la sesión si la persona pertenece a ella.
+*
+* @throws Error de configuración (`EvaAuthConfigError`) si falta `configureEvaAuth({ product })`.
+*/
+const login = (params) => {
+	const { phone, code, challengeId, empresaId, deviceType, os, browser, userAgent } = params;
+	return authFetch(apiPath(AUTH_ROUTES.login), {
+		method: "POST",
+		body: {
+			phone,
+			code,
+			challengeId,
+			producto: getProduct(),
+			...empresaId !== void 0 && { empresaId },
+			deviceType,
+			os,
+			browser,
+			userAgent
+		}
+	});
+};
+/**
+* Cambia la empresa activa de la sesión (`null` la deja sin empresa). Auth reemite SOLO el access
+* token (`x-eva-new-access-token`; el refresh no rota): llega en `accessToken`. Auth valida la
+* pertenencia; si la persona no pertenece, responde error.
+*/
+const setActiveEmpresa = (params) => authFetch(apiPath(AUTH_ROUTES.setActiveEmpresa), {
+	method: "POST",
+	accessToken: params.accessToken,
+	body: { empresaId: params.empresaId },
+	reissuesAccessTokenOnly: true
+});
+const refresh = (params) => authFetch(apiPath(AUTH_ROUTES.refresh), {
+	method: "POST",
+	refreshToken: params.refreshToken
+});
+const logout = (params) => authFetch(apiPath(AUTH_ROUTES.logout), {
+	method: "POST",
+	refreshToken: params.refreshToken
+});
+const getUser = (params) => authFetch(apiPath(USER_ROUTES.get), { accessToken: params.accessToken });
+const updateUser = (params) => authFetch(apiPath(USER_ROUTES.update), {
+	method: "PATCH",
+	accessToken: params.accessToken,
+	body: params.data
+});
+const deleteUser = (params) => authFetch(apiPath(USER_ROUTES.deactivate), {
+	method: "DELETE",
+	accessToken: params.accessToken
+});
+const getUserEmpresas = (params) => authFetch(apiPath(USER_ROUTES.listCompanies), { accessToken: params.accessToken });
+/**
+* Busca en el directorio de empresas (solo las activas que optaron por aparecer; solo campos de
+* perfil público; 50 por página). Basta el access token de usuario de CUALQUIER producto habilitado:
+* Auth limita los pedidos por usuario. La siguiente página se pide con el `nextCursor` recibido.
+*/
+const getDirectorio = (params) => {
+	const { accessToken, ...filters } = params;
+	const query = new URLSearchParams();
+	for (const [key, value] of Object.entries(filters)) if (value !== void 0) query.set(key, String(value));
+	const qs = query.toString();
+	return authFetch(`${apiPath(DIRECTORIO_ROUTES.search)}${qs === "" ? "" : `?${qs}`}`, { accessToken });
+};
+const getSessions = (params) => authFetch(apiPath(SESSION_ROUTES.list), { accessToken: params.accessToken });
+const deleteSession = (params) => {
+	if (!/^[\w-]+$/.test(params.sessionId)) return Promise.resolve({
+		ok: false,
+		error: {
+			kind: "sdk",
+			reason: "malformed",
+			message: "ID de sesión inválido",
+			status: 400
+		}
+	});
+	return authFetch(apiPath(SESSION_ROUTES.deleteOne, { id: params.sessionId }), {
+		method: "DELETE",
+		accessToken: params.accessToken
+	});
+};
+const deleteAllSessions = (params) => authFetch(apiPath(SESSION_ROUTES.deleteAll), {
+	method: "DELETE",
+	refreshToken: params.refreshToken
+});
+const health = () => authFetch("/health");
+function createHttpClient() {
+	return {
+		getCode,
+		login,
+		setActiveEmpresa,
+		refresh,
+		logout,
+		getUser,
+		updateUser,
+		deleteUser,
+		getUserEmpresas,
+		getDirectorio,
+		getSessions,
+		deleteSession,
+		deleteAllSessions,
+		health
+	};
+}
+export { createHttpClient as t };
+
+//# sourceMappingURL=http-client-Da0-OMfc.js.map

package/dist/http-client-Da0-OMfc.js.map

@@ -0,0 +1 @@
+{"version":3,"file":"http-client-Da0-OMfc.js","names":[],"sources":["../src/http-client.ts"],"sourcesContent":["import { z } from 'zod'\nimport {\n  AUTH_ROUTES,\n  DIRECTORIO_ROUTES,\n  SESSION_ROUTES,\n  USER_ROUTES,\n} from '@eva_solutions/auth-contracts'\nimport type {\n  DirectorioQuery,\n  DirectorioResponse,\n} from '@eva_solutions/auth-contracts'\nimport { apiPath } from './api-path'\nimport { getProduct, isEvaAuthConfigError } from './config'\nimport { HEADERS, getAuthServiceUrl } from './constants'\nimport { parseErrorResponse } from './parse-error-response'\nimport type {\n  EvaUser,\n  EvaSession,\n  EvaEmpresa,\n  Result,\n  TokenPair,\n  DeviceInfo,\n} from './types'\n\nconst AuthServiceResponseSchema = z.object({\n  data: z.unknown(),\n})\n\nconst AUTH_SERVICE_TIMEOUT = 10_000\n\ntype FetchOptions = {\n  method?: string\n  accessToken?: string\n  refreshToken?: string\n  body?: unknown\n  /** La respuesta reemite solo el access token (`x-eva-new-access-token`); el refresh no rota. */\n  reissuesAccessTokenOnly?: boolean\n}\n\nconst extractTokens = (headers: Headers): TokenPair | undefined => {\n  const accessToken = headers.get(HEADERS.NEW_ACCESS_TOKEN)\n  const refreshToken = headers.get(HEADERS.NEW_REFRESH_TOKEN)\n  if (!accessToken || !refreshToken) return undefined\n  return { accessToken, refreshToken }\n}\n\nconst authFetch = async <T>(\n  path: string,\n  options: FetchOptions = {},\n): Promise<Result<T & { tokens?: TokenPair }>> => {\n  const { method = 'GET', accessToken, refreshToken, body } = options\n\n  const headers: Record<string, string> = {\n    'content-type': 'application/json',\n  }\n\n  if (accessToken) headers[HEADERS.AUTHORIZATION] = `Bearer ${accessToken}`\n  if (refreshToken) headers[HEADERS.REFRESH_TOKEN] = refreshToken\n\n  try {\n    const res = await fetch(`${getAuthServiceUrl()}${path}`, {\n      method,\n      headers,\n      signal: AbortSignal.timeout(AUTH_SERVICE_TIMEOUT),\n      ...(body ? { body: JSON.stringify(body) } : {}),\n    })\n\n    if (!res.ok) {\n      const body = await res.json().catch(() => null)\n      return { ok: false, error: parseErrorResponse(res.status, body) }\n    }\n\n    const json: unknown = await res.json()\n    const parsed = AuthServiceResponseSchema.safeParse(json)\n    if (!parsed.success) {\n      return {\n        ok: false,\n        error: {\n          kind: 'sdk',\n          reason: 'malformed',\n          message: 'Estructura de respuesta inválida',\n          status: 502,\n        },\n      }\n    }\n    const data = parsed.data.data as T\n    // Un array (`/sessions`, `/user/empresas`) se devuelve intacto: esparcirlo en un objeto lo\n    // convertiria en `{ \"0\": …, \"1\": … }`. Esos endpoints se piden solo con access token, asi que\n    // no hay tokens nuevos que adjuntar.\n    if (Array.isArray(data))\n      return { ok: true, data: data as T & { tokens?: TokenPair } }\n\n    if (options.reissuesAccessTokenOnly) {\n      const accessToken = res.headers.get(HEADERS.NEW_ACCESS_TOKEN)\n      return {\n        ok: true,\n        data: { ...data, ...(accessToken ? { accessToken } : {}) },\n      }\n    }\n\n    const tokens = extractTokens(res.headers)\n\n    return { ok: true, data: { ...data, ...(tokens ? { tokens } : {}) } }\n  } catch (err) {\n    // Falta de configuración (authUrl): error del consumidor, no una falla de red.\n    if (isEvaAuthConfigError(err)) throw err\n    const message = err instanceof Error ? err.message : 'Error de red'\n    return {\n      ok: false,\n      error: { kind: 'sdk', reason: 'network', message, status: 0 },\n    }\n  }\n}\n\n/**\n * Solicita un código OTP. En éxito devuelve `{ message, challengeId }`:\n * `challengeId` es opaco, el caller debe conservarlo (en memoria) y enviarlo a\n * `login`; cada `getCode` nuevo invalida el `challengeId` anterior.\n * El tipo es un cast: la respuesta del Auth Service no se parsea en runtime.\n */\nconst getCode = (params: {\n  phone: string\n}): Promise<Result<{ message: string; challengeId: string }>> =>\n  authFetch(apiPath(AUTH_ROUTES.getCode), {\n    method: 'POST',\n    body: { phone: params.phone },\n  })\n\n/**\n * Verifica el código OTP. `challengeId` es obligatorio: debe ser el que\n * devolvió el `getCode` que originó el código; sin el desafío vigente el Auth\n * Service responde 401 sin consumir intentos.\n *\n * El `producto` del login sale SIEMPRE de `configureEvaAuth({ product })`, nunca del llamador: el\n * access token queda emitido para ese producto. `empresaId` (opcional) deja esa empresa activa en\n * la sesión si la persona pertenece a ella.\n *\n * @throws Error de configuración (`EvaAuthConfigError`) si falta `configureEvaAuth({ product })`.\n */\nconst login = (\n  params: {\n    phone: string\n    code: string\n    challengeId: string\n    empresaId?: string\n  } & DeviceInfo,\n): Promise<Result<{ user: { id: string }; tokens?: TokenPair }>> => {\n  const {\n    phone,\n    code,\n    challengeId,\n    empresaId,\n    deviceType,\n    os,\n    browser,\n    userAgent,\n  } = params\n  return authFetch(apiPath(AUTH_ROUTES.login), {\n    method: 'POST',\n    body: {\n      phone,\n      code,\n      challengeId,\n      producto: getProduct(),\n      ...(empresaId !== undefined && { empresaId }),\n      deviceType,\n      os,\n      browser,\n      userAgent,\n    },\n  })\n}\n\n/**\n * Cambia la empresa activa de la sesión (`null` la deja sin empresa). Auth reemite SOLO el access\n * token (`x-eva-new-access-token`; el refresh no rota): llega en `accessToken`. Auth valida la\n * pertenencia; si la persona no pertenece, responde error.\n */\nconst setActiveEmpresa = (params: {\n  accessToken: string\n  empresaId: string | null\n}): Promise<Result<{ empresaId: string | null; accessToken?: string }>> =>\n  authFetch(apiPath(AUTH_ROUTES.setActiveEmpresa), {\n    method: 'POST',\n    accessToken: params.accessToken,\n    body: { empresaId: params.empresaId },\n    reissuesAccessTokenOnly: true,\n  })\n\nconst refresh = (params: {\n  refreshToken: string\n}): Promise<Result<{ user: { id: string }; tokens?: TokenPair }>> =>\n  authFetch(apiPath(AUTH_ROUTES.refresh), {\n    method: 'POST',\n    refreshToken: params.refreshToken,\n  })\n\nconst logout = (params: {\n  refreshToken: string\n}): Promise<Result<{ message: string }>> =>\n  authFetch(apiPath(AUTH_ROUTES.logout), {\n    method: 'POST',\n    refreshToken: params.refreshToken,\n  })\n\nconst getUser = (params: { accessToken: string }): Promise<Result<EvaUser>> =>\n  authFetch(apiPath(USER_ROUTES.get), { accessToken: params.accessToken })\n\nconst updateUser = (params: {\n  accessToken: string\n  data: Record<string, unknown>\n}): Promise<Result<EvaUser>> =>\n  authFetch(apiPath(USER_ROUTES.update), {\n    method: 'PATCH',\n    accessToken: params.accessToken,\n    body: params.data,\n  })\n\nconst deleteUser = (params: {\n  accessToken: string\n}): Promise<Result<{ message: string }>> =>\n  authFetch(apiPath(USER_ROUTES.deactivate), {\n    method: 'DELETE',\n    accessToken: params.accessToken,\n  })\n\nconst getUserEmpresas = (params: {\n  accessToken: string\n}): Promise<Result<EvaEmpresa[]>> =>\n  authFetch(apiPath(USER_ROUTES.listCompanies), {\n    accessToken: params.accessToken,\n  })\n\n/**\n * Busca en el directorio de empresas (solo las activas que optaron por aparecer; solo campos de\n * perfil público; 50 por página). Basta el access token de usuario de CUALQUIER producto habilitado:\n * Auth limita los pedidos por usuario. La siguiente página se pide con el `nextCursor` recibido.\n */\nconst getDirectorio = (\n  params: { accessToken: string } & DirectorioQuery,\n): Promise<Result<DirectorioResponse['data']>> => {\n  const { accessToken, ...filters } = params\n  const query = new URLSearchParams()\n  for (const [key, value] of Object.entries(filters)) {\n    if (value !== undefined) query.set(key, String(value))\n  }\n  const qs = query.toString()\n  return authFetch(\n    `${apiPath(DIRECTORIO_ROUTES.search)}${qs === '' ? '' : `?${qs}`}`,\n    { accessToken },\n  )\n}\n\nconst getSessions = (params: {\n  accessToken: string\n}): Promise<Result<EvaSession[]>> =>\n  authFetch(apiPath(SESSION_ROUTES.list), { accessToken: params.accessToken })\n\nconst deleteSession = (params: {\n  accessToken: string\n  sessionId: string\n}): Promise<Result<{ message: string }>> => {\n  if (!/^[\\w-]+$/.test(params.sessionId)) {\n    return Promise.resolve({\n      ok: false,\n      error: {\n        kind: 'sdk',\n        reason: 'malformed',\n        message: 'ID de sesión inválido',\n        status: 400,\n      },\n    })\n  }\n  return authFetch(\n    apiPath(SESSION_ROUTES.deleteOne, { id: params.sessionId }),\n    {\n      method: 'DELETE',\n      accessToken: params.accessToken,\n    },\n  )\n}\n\nconst deleteAllSessions = (params: {\n  refreshToken: string\n}): Promise<Result<{ message: string; count: number }>> =>\n  authFetch(apiPath(SESSION_ROUTES.deleteAll), {\n    method: 'DELETE',\n    refreshToken: params.refreshToken,\n  })\n\n// Every other route is built with `apiPath` (`API_PREFIX + path`); health is an operational probe\n// that the API serves at the root, outside the versioned prefix.\nconst health = (): Promise<Result<{ status: string }>> => authFetch('/health')\n\nexport function createHttpClient() {\n  return {\n    getCode,\n    login,\n    setActiveEmpresa,\n    refresh,\n    logout,\n    getUser,\n    updateUser,\n    deleteUser,\n    getUserEmpresas,\n    getDirectorio,\n    getSessions,\n    deleteSession,\n    deleteAllSessions,\n    health,\n  }\n}\n\nexport type EvaHttpClient = ReturnType<typeof createHttpClient>\n"],"mappings":";;;;;;;AAwBA,MAAM,4BAA4B,EAAE,OAAO,EACzC,MAAM,EAAE,QAAQ,EAClB,CAAC;AAED,MAAM,uBAAuB;AAW7B,MAAM,iBAAiB,YAA4C;CACjE,MAAM,cAAc,QAAQ,IAAI,QAAQ,gBAAgB;CACxD,MAAM,eAAe,QAAQ,IAAI,QAAQ,iBAAiB;CAC1D,IAAI,CAAC,eAAe,CAAC,cAAc,OAAO,KAAA;CAC1C,OAAO;EAAE;EAAa;CAAa;AACrC;AAEA,MAAM,YAAY,OAChB,MACA,UAAwB,CAAC,MACuB;CAChD,MAAM,EAAE,SAAS,OAAO,aAAa,cAAc,SAAS;CAE5D,MAAM,UAAkC,EACtC,gBAAgB,mBAClB;CAEA,IAAI,aAAa,QAAQ,QAAQ,iBAAiB,UAAU;CAC5D,IAAI,cAAc,QAAQ,QAAQ,iBAAiB;CAEnD,IAAI;EACF,MAAM,MAAM,MAAM,MAAM,GAAG,kBAAkB,IAAI,QAAQ;GACvD;GACA;GACA,QAAQ,YAAY,QAAQ,oBAAoB;GAChD,GAAI,OAAO,EAAE,MAAM,KAAK,UAAU,IAAI,EAAE,IAAI,CAAC;EAC/C,CAAC;EAED,IAAI,CAAC,IAAI,IAAI;GACX,MAAM,OAAO,MAAM,IAAI,KAAK,CAAC,CAAC,YAAY,IAAI;GAC9C,OAAO;IAAE,IAAI;IAAO,OAAO,mBAAmB,IAAI,QAAQ,IAAI;GAAE;EAClE;EAEA,MAAM,OAAgB,MAAM,IAAI,KAAK;EACrC,MAAM,SAAS,0BAA0B,UAAU,IAAI;EACvD,IAAI,CAAC,OAAO,SACV,OAAO;GACL,IAAI;GACJ,OAAO;IACL,MAAM;IACN,QAAQ;IACR,SAAS;IACT,QAAQ;GACV;EACF;EAEF,MAAM,OAAO,OAAO,KAAK;EAIzB,IAAI,MAAM,QAAQ,IAAI,GACpB,OAAO;GAAE,IAAI;GAAY;EAAmC;EAE9D,IAAI,QAAQ,yBAAyB;GACnC,MAAM,cAAc,IAAI,QAAQ,IAAI,QAAQ,gBAAgB;GAC5D,OAAO;IACL,IAAI;IACJ,MAAM;KAAE,GAAG;KAAM,GAAI,cAAc,EAAE,YAAY,IAAI,CAAC;IAAG;GAC3D;EACF;EAEA,MAAM,SAAS,cAAc,IAAI,OAAO;EAExC,OAAO;GAAE,IAAI;GAAM,MAAM;IAAE,GAAG;IAAM,GAAI,SAAS,EAAE,OAAO,IAAI,CAAC;GAAG;EAAE;CACtE,SAAS,KAAK;EAEZ,IAAI,qBAAqB,GAAG,GAAG,MAAM;EAErC,OAAO;GACL,IAAI;GACJ,OAAO;IAAE,MAAM;IAAO,QAAQ;IAAW,SAH3B,eAAe,QAAQ,IAAI,UAAU;IAGD,QAAQ;GAAE;EAC9D;CACF;AACF;;;;;;;AAQA,MAAM,WAAW,WAGf,UAAU,QAAQ,YAAY,OAAO,GAAG;CACtC,QAAQ;CACR,MAAM,EAAE,OAAO,OAAO,MAAM;AAC9B,CAAC;;;;;;;;;;;;AAaH,MAAM,SACJ,WAMkE;CAClE,MAAM,EACJ,OACA,MACA,aACA,WACA,YACA,IACA,SACA,cACE;CACJ,OAAO,UAAU,QAAQ,YAAY,KAAK,GAAG;EAC3C,QAAQ;EACR,MAAM;GACJ;GACA;GACA;GACA,UAAU,WAAW;GACrB,GAAI,cAAc,KAAA,KAAa,EAAE,UAAU;GAC3C;GACA;GACA;GACA;EACF;CACF,CAAC;AACH;;;;;;AAOA,MAAM,oBAAoB,WAIxB,UAAU,QAAQ,YAAY,gBAAgB,GAAG;CAC/C,QAAQ;CACR,aAAa,OAAO;CACpB,MAAM,EAAE,WAAW,OAAO,UAAU;CACpC,yBAAyB;AAC3B,CAAC;AAEH,MAAM,WAAW,WAGf,UAAU,QAAQ,YAAY,OAAO,GAAG;CACtC,QAAQ;CACR,cAAc,OAAO;AACvB,CAAC;AAEH,MAAM,UAAU,WAGd,UAAU,QAAQ,YAAY,MAAM,GAAG;CACrC,QAAQ;CACR,cAAc,OAAO;AACvB,CAAC;AAEH,MAAM,WAAW,WACf,UAAU,QAAQ,YAAY,GAAG,GAAG,EAAE,aAAa,OAAO,YAAY,CAAC;AAEzE,MAAM,cAAc,WAIlB,UAAU,QAAQ,YAAY,MAAM,GAAG;CACrC,QAAQ;CACR,aAAa,OAAO;CACpB,MAAM,OAAO;AACf,CAAC;AAEH,MAAM,cAAc,WAGlB,UAAU,QAAQ,YAAY,UAAU,GAAG;CACzC,QAAQ;CACR,aAAa,OAAO;AACtB,CAAC;AAEH,MAAM,mBAAmB,WAGvB,UAAU,QAAQ,YAAY,aAAa,GAAG,EAC5C,aAAa,OAAO,YACtB,CAAC;;;;;;AAOH,MAAM,iBACJ,WACgD;CAChD,MAAM,EAAE,aAAa,GAAG,YAAY;CACpC,MAAM,QAAQ,IAAI,gBAAgB;CAClC,KAAK,MAAM,CAAC,KAAK,UAAU,OAAO,QAAQ,OAAO,GAC/C,IAAI,UAAU,KAAA,GAAW,MAAM,IAAI,KAAK,OAAO,KAAK,CAAC;CAEvD,MAAM,KAAK,MAAM,SAAS;CAC1B,OAAO,UACL,GAAG,QAAQ,kBAAkB,MAAM,IAAI,OAAO,KAAK,KAAK,IAAI,QAC5D,EAAE,YAAY,CAChB;AACF;AAEA,MAAM,eAAe,WAGnB,UAAU,QAAQ,eAAe,IAAI,GAAG,EAAE,aAAa,OAAO,YAAY,CAAC;AAE7E,MAAM,iBAAiB,WAGqB;CAC1C,IAAI,CAAC,WAAW,KAAK,OAAO,SAAS,GACnC,OAAO,QAAQ,QAAQ;EACrB,IAAI;EACJ,OAAO;GACL,MAAM;GACN,QAAQ;GACR,SAAS;GACT,QAAQ;EACV;CACF,CAAC;CAEH,OAAO,UACL,QAAQ,eAAe,WAAW,EAAE,IAAI,OAAO,UAAU,CAAC,GAC1D;EACE,QAAQ;EACR,aAAa,OAAO;CACtB,CACF;AACF;AAEA,MAAM,qBAAqB,WAGzB,UAAU,QAAQ,eAAe,SAAS,GAAG;CAC3C,QAAQ;CACR,cAAc,OAAO;AACvB,CAAC;AAIH,MAAM,eAAoD,UAAU,SAAS;AAE7E,SAAgB,mBAAmB;CACjC,OAAO;EACL;EACA;EACA;EACA;EACA;EACA;EACA;EACA;EACA;EACA;EACA;EACA;EACA;EACA;CACF;AACF"}

package/dist/index-CIH_2t7Y.d.ts

@@ -0,0 +1,240 @@
+import { d as Result } from "./types-CEABh1Zf.js";
+import { Bn as UpdateServiceClientResponse, Ct as UpdateProductoRequest, D as SetProductoPermisosAutorizablesRequest, E as ProductoPermisosAutorizablesResponse, Fn as ServiceClientGrant$1, Ht as ReassignTitularRequest, In as ServiceClientPublic$1, Ln as SetServiceClientGrantRequest, On as CreateServiceClientRequest, Pn as RotateServiceClientSecretResponse, Pt as EmpresaEstadoResponse, St as ProductoResponse, Ut as ReassignTitularResponse, bt as ListProductosResponse, ct as SetContratacionRequest, f as ListServiceClientDelegationsResponse, gi as ACCOUNT_STATES, jn as ListServiceClientGrantsResponse, kn as CreateServiceClientResponse, m as SetServiceClientDelegationRequest, nr as MaintenanceCleanupResponse, ot as ContratacionResponse, p as ServiceClientDelegation$1, ur as RepublishPendingResponse, yt as CreateProductoRequest, zn as UpdateServiceClientRequest } from "./index-CZru7c5T.js";
+/** Unión de literales de todos los estados de cuenta posibles. */
+type AccountState = (typeof ACCOUNT_STATES)[keyof typeof ACCOUNT_STATES];
+/**
+ * Configuración del cliente Admin: las credenciales de un service client con la marca `esAdmin`.
+ * Cada request se firma con HMAC S2S; el secret nunca viaja.
+ */
+type AdminClientConfig = {
+  /** Slug del service client con la marca `esAdmin` (clientId). */
+  clientId: string;
+  /** Secret del service client admin en hex (64 chars), el que devuelve su creación o rotación. */
+  secretHex: string;
+  /**
+   * URL base del Auth Service API (sin trailing slash).
+   * Validada en `createAdminClient`: se requiere https (o http con host loopback para tests).
+   */
+  baseUrl: string;
+};
+/**
+ * Service client público (sin el plaintext del secret).
+ * Shape del wire en GET /admin/service-clients/*.
+ * Las fechas vienen serializadas como ISO strings en el wire.
+ */
+type ServiceClientPublic = ServiceClientPublic$1;
+/**
+ * Input para crear un nuevo service client (alias del request del contrato). Nace sin
+ * concesiones: se asignan con `setServiceClientGrant`. `auth-service` es un slug reservado.
+ */
+type CreateServiceClientInput = CreateServiceClientRequest;
+/** Input para crear un producto (alias del request del contrato). `enabled` por defecto es `true`. */
+type CreateProductoInput = CreateProductoRequest;
+/** Input para actualizar un producto (patch parcial; alias del request del contrato). */
+type UpdateProductoInput = UpdateProductoRequest;
+/** Resultado de `listProductos`: `{ productos }`. */
+type ListProductosResult = ListProductosResponse['data'];
+/** Resultado de crear o actualizar un producto: `{ producto }`. */
+type ProductoResult = ProductoResponse['data'];
+/** Concesión de un service client sobre una audiencia: los permisos que puede pedir en su token. */
+type ServiceClientGrant = ServiceClientGrant$1;
+/**
+ * Input de `setServiceClientGrant`: audiencia y permisos del catálogo de `auth-contracts`.
+ * Un permiso que no es de esa audiencia (p. ej. `admin` en `auth-api`) no compila y el API lo rechaza.
+ */
+type SetServiceClientGrantInput = SetServiceClientGrantRequest;
+/** Resultado de `listServiceClientGrants`. */
+type ListServiceClientGrantsResult = ListServiceClientGrantsResponse['data'];
+/**
+ * Resultado de crear un service client.
+ * El `secret` solo se devuelve UNA VEZ — guardarlo de inmediato.
+ */
+type CreateServiceClientResult = CreateServiceClientResponse['data'];
+/**
+ * Input para actualizar un service client (patch parcial; alias del request del contrato).
+ * Al menos un campo debe estar presente.
+ */
+type UpdateServiceClientInput = UpdateServiceClientRequest;
+/**
+ * Resultado de actualizar un service client.
+ */
+type UpdateServiceClientResult = UpdateServiceClientResponse['data'];
+/**
+ * Resultado de rotar el secret de un service client.
+ * El `secret` nuevo solo se devuelve UNA VEZ.
+ */
+type RotateSecretResult = RotateServiceClientSecretResponse['data'];
+/**
+ * Resultado de restaurar una cuenta de usuario eliminada.
+ * REQ-RESTORE-01 LOCKED.
+ *
+ * Tipo propio del SDK: `stateAccount` es la unión completa `AccountState`, y en el wire es el único
+ * literal `no_verificado`.
+ */
+type RestoreUserResult = {
+  userId: string;
+  /** Estado de la cuenta tras la restauración. */
+  stateAccount: AccountState;
+  previouslyDeletedAt: string | null;
+  restoredAt: string;
+};
+/**
+ * Query de `republishPendingWebhooks`. Tipo propio del SDK (como `ListWebhookDeliveriesQuery`):
+ * el query del contrato coacciona strings y su tipo de entrada es `unknown`. Los rangos los valida
+ * el API (400).
+ */
+type RepublishPendingWebhooksQuery = {
+  /** Antigüedad mínima en minutos de las entregas `pending` a republicar. Default del API: 10. */
+  older_than_minutes?: number;
+  /** Máximo de entregas por llamada. Default y tope del API: 100. */
+  limit?: number;
+};
+/**
+ * Resultado de `republishPendingWebhooks`: cuántas entregas se republicaron y si quedan más
+ * (`hasMore`: vuelve a llamar). Un 503 `service_unavailable` indica que QStash no aceptó el lote.
+ */
+type RepublishPendingWebhooksResult = RepublishPendingResponse['data'];
+/**
+ * Query de `maintenanceCleanup`. Tipo propio del SDK (como {@link RepublishPendingWebhooksQuery}):
+ * el rango lo valida el API (400).
+ */
+type MaintenanceCleanupQuery = {
+  /** Máximo por lote en cada una de las dos limpiezas. Default y tope del API: 100. */
+  limit?: number;
+};
+/**
+ * Resultado de `maintenanceCleanup`: cuentas `eliminado` purgadas (ventana de restauración vencida),
+ * `webhook_events` sin entregas vivas borrados (fuera de la retención) y si queda más (`hasMore`:
+ * vuelve a llamar).
+ */
+type MaintenanceCleanupResult = MaintenanceCleanupResponse['data'];
+/**
+ * Arista de delegación de un service client: puede intercambiar tokens hacia `audience` con, como
+ * máximo, `scopes`; `requiere_scope_origen` vacío = no admite re-exchange.
+ */
+type ServiceClientDelegation = ServiceClientDelegation$1;
+/**
+ * Input de `setServiceClientDelegation`: audiencia delegable y permisos delegables del catálogo
+ * (`auth-api` y `admin` no compilan y el API los rechaza). `requiere_scope_origen` es opcional.
+ */
+type SetServiceClientDelegationInput = SetServiceClientDelegationRequest;
+/** Resultado de `listServiceClientDelegations`. */
+type ListServiceClientDelegationsResult = ListServiceClientDelegationsResponse['data'];
+/** Input de `setProductoPermisosAutorizables`: la lista COMPLETA de permisos entre empresas (vacía = ninguno). */
+type SetProductoPermisosAutorizablesInput = SetProductoPermisosAutorizablesRequest;
+/** Permisos entre empresas que un producto puede conceder: `{ producto, permisos }`. */
+type ProductoPermisosAutorizablesResult = ProductoPermisosAutorizablesResponse['data'];
+/**
+ * Input de `reassignEmpresaTitular`: la persona que pasa a titular y qué pasa con el titular
+ * anterior (`'miembro'` por defecto, o `'fuera'`).
+ */
+type ReassignEmpresaTitularInput = ReassignTitularRequest;
+/** Resultado de la reasignación de titular. */
+type ReassignEmpresaTitularResult = ReassignTitularResponse['data'];
+/** Estado de la empresa tras `bajaEmpresa` / `reactivarEmpresa`. */
+type AdminEmpresaEstadoResult = EmpresaEstadoResponse['data'];
+/** Input de `setContratacion`: estado (`prueba`, `activo`, `suspendido`, `cancelado`) y vencimiento. */
+type AdminSetContratacionInput = SetContratacionRequest;
+/** Contratación de un producto tras escribirla. */
+type AdminContratacionResult = ContratacionResponse['data'];
+/**
+ * Tipo del cliente Admin retornado por `createAdminClient`.
+ */
+type AdminClient = {
+  createServiceClient(input: CreateServiceClientInput): Promise<Result<CreateServiceClientResult>>;
+  listServiceClients(): Promise<Result<{
+    clientes: ServiceClientPublic[];
+  }>>;
+  getServiceClient(slug: string): Promise<Result<{
+    cliente: ServiceClientPublic;
+  }>>;
+  updateServiceClient(slug: string, input: UpdateServiceClientInput): Promise<Result<UpdateServiceClientResult>>;
+  deleteServiceClient(slug: string): Promise<Result<void>>;
+  rotateServiceClientSecret(slug: string): Promise<Result<RotateSecretResult>>;
+  listServiceClientGrants(slug: string): Promise<Result<ListServiceClientGrantsResult>>;
+  /** Crea o reemplaza la concesión del client sobre una audiencia. */
+  setServiceClientGrant(slug: string, input: SetServiceClientGrantInput): Promise<Result<{
+    grant: ServiceClientGrant;
+  }>>;
+  deleteServiceClientGrant(slug: string, audience: string): Promise<Result<void>>;
+  /** Lista las aristas de delegación del client (token exchange). */
+  listServiceClientDelegations(slug: string): Promise<Result<ListServiceClientDelegationsResult>>;
+  /** Crea o reemplaza la arista del client hacia una audiencia delegable (`scopes`, `requiere_scope_origen`). */
+  setServiceClientDelegation(slug: string, input: SetServiceClientDelegationInput): Promise<Result<{
+    delegation: ServiceClientDelegation;
+  }>>;
+  deleteServiceClientDelegation(slug: string, audience: string): Promise<Result<void>>;
+  /** Permisos entre empresas que el producto puede conceder en nombre de sus empresas. */
+  getProductoPermisosAutorizables(slug: string): Promise<Result<ProductoPermisosAutorizablesResult>>;
+  /** Reemplaza la lista de permisos autorizables del producto (vacía = ninguno). */
+  setProductoPermisosAutorizables(slug: string, input: SetProductoPermisosAutorizablesInput): Promise<Result<ProductoPermisosAutorizablesResult>>;
+  /** Reasigna el titular de una empresa (disputa de RUC o empresa sin titular). */
+  reassignEmpresaTitular(empresaId: string, input: ReassignEmpresaTitularInput): Promise<Result<ReassignEmpresaTitularResult>>;
+  /** Da de baja una empresa (limpia sus sesiones activas; las autorizaciones y contrataciones dejan de valer). */
+  bajaEmpresa(empresaId: string): Promise<Result<AdminEmpresaEstadoResult>>;
+  /** Reactiva una empresa de baja. */
+  reactivarEmpresa(empresaId: string): Promise<Result<AdminEmpresaEstadoResult>>;
+  /** Escribe el estado y el vencimiento de la contratación de un producto por una empresa (hasta que exista facturación, así se activa a mano). */
+  setContratacion(empresaId: string, producto: string, input: AdminSetContratacionInput): Promise<Result<AdminContratacionResult>>;
+  /** Lista los productos (la audiencia del access token de usuario). */
+  listProductos(): Promise<Result<ListProductosResult>>;
+  /** Crea un producto (201). 409 si el slug existe; 400 si es una audiencia de servicio. */
+  createProducto(input: CreateProductoInput): Promise<Result<ProductoResult>>;
+  /** Actualiza `nombre` o `enabled`. 404 si no existe; 400 con body vacío. No hay delete: se deshabilita. */
+  updateProducto(slug: string, input: UpdateProductoInput): Promise<Result<ProductoResult>>;
+  restoreUser(userId: string): Promise<Result<RestoreUserResult>>;
+  republishPendingWebhooks(query?: RepublishPendingWebhooksQuery): Promise<Result<RepublishPendingWebhooksResult>>;
+  maintenanceCleanup(query?: MaintenanceCleanupQuery): Promise<Result<MaintenanceCleanupResult>>;
+};
+/**
+ * Crea un cliente Admin para provisioning del Auth Service.
+ *
+ * ADVERTENCIA: solo usar desde backends o herramientas de operador seguras — el secret del
+ * service client admin nunca debe exponerse en el cliente/browser.
+ *
+ * @example
+ * ```ts
+ * const admin = createAdminClient({
+ *   clientId: process.env.AUTH_ADMIN_SLUG,
+ *   secretHex: process.env.AUTH_ADMIN_SECRET,
+ *   baseUrl: 'https://auth.miapp.com',
+ * })
+ * const result = await admin.createServiceClient({ slug: 'mi-servicio' })
+ * if (!result.ok) return handleError(result.error)
+ * console.log('Secret (guardar ahora):', result.data.secret)
+ * ```
+ */
+declare function createAdminClient(config: AdminClientConfig): AdminClient;
+/**
+ * Códigos de error específicos del módulo Admin.
+ *
+ * Complementan a `ERROR_CODES` (core) para errores que solo ocurren
+ * en operaciones de provisioning de service clients.
+ *
+ * @example
+ * ```ts
+ * import { ADMIN_ERROR_CODES } from '@eva_solutions/auth-sdk/admin'
+ *
+ * if (!result.ok && result.error.code === ADMIN_ERROR_CODES.service_client_already_exists) {
+ *   return res.status(409).json({ error: 'El service client ya existe' })
+ * }
+ * ```
+ */
+declare const ADMIN_ERROR_CODES: {
+  readonly service_client_already_exists: "service_client_already_exists";
+  readonly service_client_not_found: "service_client_not_found";
+  /**
+   * `rotate-secret` perdió contra otra rotación concurrente del mismo service client (409).
+   * El perdedor no recibe secret; es reintentable.
+   */
+  readonly service_client_secret_rotation_conflict: "service_client_secret_rotation_conflict";
+  /**
+   * La operación dejaría al sistema sin ningún service client admin habilitado (409): borrar,
+   * deshabilitar o quitarle `esAdmin` al último. No se aplica; habilita o crea otro admin.
+   */
+  readonly last_admin_client: "last_admin_client";
+};
+/** Unión de literales de los error codes específicos del módulo Admin. */
+type AdminErrorCode = (typeof ADMIN_ERROR_CODES)[keyof typeof ADMIN_ERROR_CODES];
+export { SetServiceClientGrantInput as A, RestoreUserResult as C, ServiceClientPublic as D, ServiceClientGrant as E, UpdateServiceClientInput as M, UpdateServiceClientResult as N, SetProductoPermisosAutorizablesInput as O, AccountState as P, RepublishPendingWebhooksResult as S, ServiceClientDelegation as T, ProductoPermisosAutorizablesResult as _, AdminClientConfig as a, ReassignEmpresaTitularResult as b, AdminSetContratacionInput as c, CreateServiceClientResult as d, ListProductosResult as f, MaintenanceCleanupResult as g, MaintenanceCleanupQuery as h, createAdminClient as i, UpdateProductoInput as j, SetServiceClientDelegationInput as k, CreateProductoInput as l, ListServiceClientGrantsResult as m, AdminErrorCode as n, AdminContratacionResult as o, ListServiceClientDelegationsResult as p, AdminClient as r, AdminEmpresaEstadoResult as s, ADMIN_ERROR_CODES as t, CreateServiceClientInput as u, ProductoResult as v, RotateSecretResult as w, RepublishPendingWebhooksQuery as x, ReassignEmpresaTitularInput as y };
+//# sourceMappingURL=index-CIH_2t7Y.d.ts.map

package/dist/index-CIH_2t7Y.d.ts.map

@@ -0,0 +1 @@
+{"version":3,"file":"index-CIH_2t7Y.d.ts","names":["ContractServiceClientPublic","ContractServiceClientGrant","ContractServiceClientDelegation"],"sources":["../src/account-states.ts","../src/admin/types.ts","../src/admin/client.ts","../src/admin/error-codes.ts"],"mappings":";;;KAuBY,uBAAuB,6BAA6B;;;;;KCgBpD;;EAEV;;EAEA;;;;;EAKA;;;;;;;KAQU,sBAAsBA;;;;;KAMtB,2BAA2B;;KAG3B,sBAAsB;;KAGtB,sBAAsB;;KAGtB,sBAAsB;;KAGtB,iBAAiB;;KAGjB,qBAAqBC;;;;;KAMrB,6BAA6B;;KAG7B,gCACV;;;;;KAMU,4BAA4B;;;;;KAM5B,2BAA2B;;;;KAK3B,4BAA4B;;;;;KAM5B,qBAAqB;;;;;;;;KASrB;EACV;;EAEA,cAAc;EACd;EACA;;;;;;;KAQU;;EAEV;;EAEA;;;;;;KAOU,iCAAiC;;;;;KAMjC;;EAEV;;;;;;;KAQU,2BAA2B;;;;;KAM3B,0BAA0BC;;;;;KAM1B,kCAAkC;;KAGlC,qCACV;;KAGU,uCACV;;KAGU,qCACV;;;;;KAMU,8BAA8B;;KAG9B,+BAA+B;;KAG/B,2BAA2B;;KAG3B,4BAA4B;;KAG5B,0BAA0B;;;;KClH1B;EACV,oBACE,OAAO,2BACN,QAAQ,OAAO;EAClB,sBAAsB,QAAQ;IAAS,UAAU;;EACjD,iBACE,eACC,QAAQ;IAAS,SAAS;;EAC7B,oBACE,cACA,OAAO,2BACN,QAAQ,OAAO;EAClB,oBAAoB,eAAe,QAAQ;EAC3C,0BAA0B,eAAe,QAAQ,OAAO;EACxD,wBACE,eACC,QAAQ,OAAO;;EAElB,sBACE,cACA,OAAO,6BACN,QAAQ;IAAS,OAAO;;EAC3B,yBACE,cACA,mBACC,QAAQ;;EAEX,6BACE,eACC,QAAQ,OAAO;;EAElB,2BACE,cACA,OAAO,kCACN,QAAQ;IAAS,YAAY;;EAChC,8BACE,cACA,mBACC,QAAQ;;EAEX,gCACE,eACC,QAAQ,OAAO;;EAElB,gCACE,cACA,OAAO,uCACN,QAAQ,OAAO;;EAElB,uBACE,mBACA,OAAO,8BACN,QAAQ,OAAO;;EAElB,YAAY,oBAAoB,QAAQ,OAAO;;EAE/C,iBAAiB,oBAAoB,QAAQ,OAAO;;EAEpD,gBACE,mBACA,kBACA,OAAO,4BACN,QAAQ,OAAO;;EAElB,iBAAiB,QAAQ,OAAO;;EAEhC,eAAe,OAAO,sBAAsB,QAAQ,OAAO;;EAE3D,eACE,cACA,OAAO,sBACN,QAAQ,OAAO;EAClB,YAAY,iBAAiB,QAAQ,OAAO;EAC5C,yBACE,QAAQ,gCACP,QAAQ,OAAO;EAClB,mBACE,QAAQ,0BACP,QAAQ,OAAO;;;;;;;;;;;;;;;;;;;;iBA0HJ,kBAAkB,QAAQ,oBAAoB;;;;;;;;;;;;;;;;cChRjD;;;;;;;;;;;;;;;KAiBD,yBACF,gCAAgC"}