@eva_solutions/auth-sdk 0.0.0-stage → 3.0.0-dev-20261109133200

package/dist/parse-error-response-BM9-kjs0.js

@@ -0,0 +1,239 @@
+import { z } from "zod";
+// src/error-messages.ts
+/**
+* Defaults regression-locked: strings exactos que el SDK escribe hoy.
+* Frozen para prevenir mutación accidental entre tests/requests.
+*/
+const DEFAULT_ERROR_MESSAGES = Object.freeze({
+	authRequired: "Autenticación requerida",
+	tokenInvalid: "Tokens no válidos",
+	tokenExpired: "Token expirado",
+	tokenClaimsInvalid: "Claims del token inválidas",
+	tokenNotFound: "Token de acceso no encontrado",
+	verifyFailedAfterRefresh: "Verificación fallida tras refresh: {0}",
+	refreshNoNewTokens: "El refresco no retornó nuevos tokens",
+	refreshFailed: "Falló el refresco de tokens",
+	loginFailed: "Teléfono o código inválido",
+	registrationFailed: "Registro fallido",
+	logoutFailed: "Logout fallido",
+	invalidJsonBody: "JSON inválido en el body",
+	invalidPhone: "Teléfono inválido",
+	invalidUpdateBody: "Cuerpo de actualización vacío",
+	sessionInvalid: "ID de sesión inválido",
+	originNotAllowed: "Origen no permitido",
+	internalError: "Error interno"
+});
+/**
+* Resuelve los mensajes de error con precedencia: local > global > default.
+* El merge es shallow string-por-string.
+* `""` (string vacío) se respeta como override explícito (≠ undefined).
+*/
+function resolveErrorMessages(local, global) {
+	return {
+		...DEFAULT_ERROR_MESSAGES,
+		...global,
+		...local
+	};
+}
+/**
+* Reemplaza placeholders `{N}` en un template string.
+* Ejemplo: formatMessage('Error: {0}', 'detalle') → 'Error: detalle'
+*/
+function formatMessage(template, ...args) {
+	return template.replace(/\{(\d+)\}/g, (_, idx) => args[Number(idx)] ?? "");
+}
+// src/config.ts
+const ErrorMessagesSchema = z.object(Object.fromEntries(Object.keys(DEFAULT_ERROR_MESSAGES).map((k) => [k, z.string()]))).partial().strict();
+let _runtimeConfig = {};
+/**
+* Valida que `value` sea una URL https (o http con host loopback para tests/dev local).
+* Lanza Error síncrono si la URL es malformada, usa protocolo no soportado,
+* o usa http con host no-loopback.
+* Exportada para uso interno del SDK (createS2SClient, createAdminClient).
+* NO re-exportada desde los barrels públicos (src/index.ts, etc.) — REQ-HTTPS-10.
+*/
+function validateHttpsUrl(value, label) {
+	let parsed;
+	try {
+		parsed = new URL(value);
+	} catch {
+		throw new Error(`${label} inválida: URL malformada: ${value}`);
+	}
+	if (parsed.protocol === "http:") {
+		const hostname = parsed.hostname;
+		if (hostname === "localhost" || hostname === "::1" || hostname === "[::1]" || /^127(?:\.\d{1,3}){3}$/.test(hostname)) return;
+		throw new Error(`${label} inválida: se requiere https (o loopback http): ${value}`);
+	}
+	if (parsed.protocol !== "https:") throw new Error(`${label} inválida: protocolo no soportado (${parsed.protocol}): ${value}`);
+}
+/**
+* Valida y normaliza `authUrl`: https (o loopback http), con path permitido, sin userinfo,
+* query ni fragmento. Ningún mensaje incluye el valor recibido: puede traer credenciales.
+* Lo único que se ve en un mensaje es el href ya normalizado (esquema, host, puerto, path),
+* que llegado a ese punto no puede contener userinfo, query ni fragmento.
+* Retorna el href normalizado sin una única `/` final.
+*/
+function validateAuthUrl(value) {
+	if (typeof value !== "string") throw new Error("[eva-auth-sdk] authUrl inválida: debe ser string");
+	if (value.includes("?") || value.includes("#")) throw new Error("[eva-auth-sdk] authUrl inválida: no puede contener query (?) ni fragmento (#)");
+	let parsed;
+	try {
+		parsed = new URL(value);
+	} catch {
+		throw new Error("[eva-auth-sdk] authUrl inválida: URL malformada");
+	}
+	if (parsed.protocol !== "https:" && parsed.protocol !== "http:") throw new Error("[eva-auth-sdk] authUrl inválida: protocolo no soportado (solo https, o http en loopback)");
+	if (parsed.username !== "" || parsed.password !== "") throw new Error("[eva-auth-sdk] authUrl inválida: no puede incluir credenciales (usuario/contraseña)");
+	validateHttpsUrl(parsed.href, "[eva-auth-sdk] authUrl");
+	return parsed.href.replace(/\/$/, "");
+}
+const PRODUCT_SLUG = /^[a-z][a-z0-9-]{2,63}$/;
+function validateProduct(value) {
+	if (typeof value !== "string" || !PRODUCT_SLUG.test(value)) throw new Error("[eva-auth-sdk] product inválido: debe ser un slug ^[a-z][a-z0-9-]{2,63}$");
+	return value;
+}
+function validateCookieDomain(value) {
+	if (/[;\r\n]/.test(value)) throw new Error("cookieDomain inválido: caracteres prohibidos (;, \\r, \\n)");
+}
+const CONFIG_ERROR_NAME = "EvaAuthConfigError";
+function createEvaAuthConfigError(message) {
+	const err = new Error(message);
+	err.name = CONFIG_ERROR_NAME;
+	return err;
+}
+/**
+* Indica si `err` es un error de configuración del SDK (falta `authUrl`).
+* Uso interno: `authFetch` y `verifyAccessToken` lo relanzan en vez de mapearlo a
+* red / token inválido. NO re-exportada desde los barrels públicos.
+*/
+function isEvaAuthConfigError(err) {
+	return err instanceof Error && err.name === CONFIG_ERROR_NAME;
+}
+/**
+* Fase de validación de `configureEvaAuth`: pura, lanza sin mutar nada.
+* Si cualquier campo es inválido (o `authUrl` cambia), no se confirma ningún campo.
+*/
+function buildConfigPatch(opts, current) {
+	const patch = {};
+	if (opts.authUrl !== void 0) {
+		const normalized = validateAuthUrl(opts.authUrl);
+		if (current.authUrl !== void 0 && current.authUrl !== normalized) throw new Error("[eva-auth-sdk] authUrl ya fue configurada y no puede cambiar en runtime");
+		patch.authUrl = normalized;
+	}
+	if (opts.product !== void 0) {
+		const product = validateProduct(opts.product);
+		if (current.product !== void 0 && current.product !== product) throw new Error("[eva-auth-sdk] product ya fue configurado y no puede cambiar en runtime");
+		patch.product = product;
+	}
+	if (opts.cookieDomain !== void 0) {
+		validateCookieDomain(opts.cookieDomain);
+		patch.cookieDomain = opts.cookieDomain;
+	}
+	if (opts.errorMessages !== void 0) patch.errorMessages = validateErrorMessagesInput(opts.errorMessages);
+	if (opts.errorWire !== void 0) {
+		if (opts.errorWire !== "api" && opts.errorWire !== "string") throw new Error(`[eva-auth-sdk] errorWire inválido: "${opts.errorWire}". Valores válidos: 'api' | 'string'`);
+		patch.errorWire = opts.errorWire;
+	}
+	return patch;
+}
+/**
+* Configura el SDK en runtime. Llamar al boot del consumidor, antes del primer request;
+* importar el SDK o crear `evaAuth()` no lee la configuración ni lanza.
+*
+* Es atómica: valida todos los campos y recién entonces los confirma; si uno falla, ninguno cambia.
+* `authUrl` es inmutable (re-configurar el mismo valor normalizado es no-op). El resto de los
+* campos provistos sobrescriben el valor previo; los omitidos (undefined) no lo resetean.
+*
+* @throws Error si `authUrl` o `product` son inválidos o distintos de los ya configurados, si cookieDomain contiene
+*   caracteres de header injection (;, \r, \n), o si errorMessages / errorWire son inválidos.
+*/
+function configureEvaAuth(opts) {
+	const patch = buildConfigPatch(opts, _runtimeConfig);
+	_runtimeConfig = {
+		..._runtimeConfig,
+		...patch
+	};
+}
+/**
+* Retorna la URL del Auth Service configurada vía `configureEvaAuth({ authUrl })`
+* (normalizada, sin `/` final).
+* @throws Error de configuración (`name === 'EvaAuthConfigError'`) si aún no se configuró.
+*   `authFetch` y `verifyAccessToken` lo propagan: el consumidor ve un 500, nunca un 401 o un error de red.
+*/
+function getAuthUrl() {
+	if (_runtimeConfig.authUrl === void 0) throw createEvaAuthConfigError("[eva-auth-sdk] authUrl no configurada: llama configureEvaAuth({ authUrl }) al arrancar");
+	return _runtimeConfig.authUrl;
+}
+/**
+* Retorna el producto configurado vía `configureEvaAuth({ product })`.
+* @throws Error de configuración (`name === 'EvaAuthConfigError'`) si aún no se configuró: lo
+*   propagan las cookies, el login y `verifyAccessToken` (el consumidor ve un 500, nunca un 401).
+*/
+function getProduct() {
+	if (_runtimeConfig.product === void 0) throw createEvaAuthConfigError("[eva-auth-sdk] product no configurado: llama configureEvaAuth({ product }) al arrancar");
+	return _runtimeConfig.product;
+}
+/**
+* Retorna el cookieDomain configurado vía configureEvaAuth, o undefined si no se configuró.
+*/
+function getCookieDomain() {
+	return _runtimeConfig.cookieDomain;
+}
+/**
+* Retorna los errorMessages globales configurados vía configureEvaAuth (sin merge con defaults).
+* Retorna undefined si no se configuraron.
+*/
+function getErrorMessages() {
+	return _runtimeConfig.errorMessages;
+}
+/**
+* Retorna el shape del wire HTTP para respuestas de error.
+* Default: 'api' — sin configureEvaAuth el SDK emite { error: { code, message } }.
+* D-13 v2 LOCKED.
+*/
+function getErrorWire() {
+	return _runtimeConfig.errorWire ?? "api";
+}
+/**
+* Valida un objeto Partial<EvaErrorMessages> con Zod.
+* Lanza Error con path y mensaje de Zod si alguna key es desconocida o algún valor no es string.
+* Usado internamente por configureEvaAuth, evaAuth y verifyRequest para validación temprana.
+*/
+function validateErrorMessagesInput(input) {
+	const result = ErrorMessagesSchema.safeParse(input);
+	if (!result.success) throw new Error(`[eva-auth-sdk] errorMessages inválido: ${result.error.issues.map((i) => `${i.path.join(".")}: ${i.message}`).join("; ")}`);
+	return result.data;
+}
+// src/parse-error-response.ts
+function parseErrorResponse(status, body) {
+	if (status === 0) return {
+		kind: "sdk",
+		reason: "network",
+		message: "Network error",
+		status: 0
+	};
+	if (body === null || body === void 0) return {
+		kind: "sdk",
+		reason: "malformed",
+		message: "Malformed response",
+		status
+	};
+	if (typeof body === "object" && body !== null && "error" in body && typeof body.error === "object" && body.error !== null && typeof body.error.code === "string" && typeof body.error.message === "string") {
+		const err = body.error;
+		return {
+			kind: "api",
+			code: err.code,
+			message: err.message,
+			status
+		};
+	}
+	return {
+		kind: "sdk",
+		reason: "malformed",
+		message: "Malformed error response",
+		status
+	};
+}
+export { getErrorMessages as a, isEvaAuthConfigError as c, DEFAULT_ERROR_MESSAGES as d, formatMessage as f, getCookieDomain as i, validateErrorMessagesInput as l, configureEvaAuth as n, getErrorWire as o, resolveErrorMessages as p, getAuthUrl as r, getProduct as s, parseErrorResponse as t, validateHttpsUrl as u };
+
+//# sourceMappingURL=parse-error-response-BM9-kjs0.js.map

package/dist/parse-error-response-BM9-kjs0.js.map

@@ -0,0 +1 @@
+{"version":3,"file":"parse-error-response-BM9-kjs0.js","names":[],"sources":["../src/error-messages.ts","../src/config.ts","../src/parse-error-response.ts"],"sourcesContent":["/**\n * Mensajes de error del SDK — fuente de verdad centralizada.\n * Standalone: NO importa de config.ts (evita ciclo de dependencias).\n * La validación runtime de overrides vive en config.ts (usa Zod).\n */\n\nexport interface EvaErrorMessages {\n  // === Middleware / verify ===\n  /** Auth requerida (middleware 401 sin token). */\n  authRequired: string\n  /** Token inválido (signature/format). */\n  tokenInvalid: string\n  /** Token expirado. */\n  tokenExpired: string\n  /** Claims del token no cumplen schema extra. */\n  tokenClaimsInvalid: string\n  /** Token de acceso/refresh no presente en cookies. */\n  tokenNotFound: string\n  /** Verify falló después de refresh exitoso. Soporta placeholder {0} para el inner error. */\n  verifyFailedAfterRefresh: string\n  /** Refresh OK pero servidor no devolvió tokens. */\n  refreshNoNewTokens: string\n  /** Refresh token falló. */\n  refreshFailed: string\n  // === Auth routes ===\n  /** Login con credenciales inválidas. */\n  loginFailed: string\n  /** Registro falló. */\n  registrationFailed: string\n  /** Logout falló. */\n  logoutFailed: string\n  /** JSON malformado en body. */\n  invalidJsonBody: string\n  /** Schema validation falló sobre teléfono. */\n  invalidPhone: string\n  /** Body de PATCH /me vacío o inválido. */\n  invalidUpdateBody: string\n  /** sessionId malformado en /sessions/:id. */\n  sessionInvalid: string\n  /** Mutación con `Origin` fuera de los orígenes permitidos (403). */\n  originNotAllowed: string\n  // === Generic ===\n  /** Error interno (500) cuando se expone al cliente. */\n  internalError: string\n}\n\n/**\n * Defaults regression-locked: strings exactos que el SDK escribe hoy.\n * Frozen para prevenir mutación accidental entre tests/requests.\n */\nexport const DEFAULT_ERROR_MESSAGES: Readonly<EvaErrorMessages> = Object.freeze(\n  {\n    authRequired: 'Autenticación requerida',\n    tokenInvalid: 'Tokens no válidos',\n    tokenExpired: 'Token expirado',\n    tokenClaimsInvalid: 'Claims del token inválidas',\n    tokenNotFound: 'Token de acceso no encontrado',\n    verifyFailedAfterRefresh: 'Verificación fallida tras refresh: {0}',\n    refreshNoNewTokens: 'El refresco no retornó nuevos tokens',\n    refreshFailed: 'Falló el refresco de tokens',\n    loginFailed: 'Teléfono o código inválido',\n    registrationFailed: 'Registro fallido',\n    logoutFailed: 'Logout fallido',\n    invalidJsonBody: 'JSON inválido en el body',\n    invalidPhone: 'Teléfono inválido',\n    invalidUpdateBody: 'Cuerpo de actualización vacío',\n    sessionInvalid: 'ID de sesión inválido',\n    originNotAllowed: 'Origen no permitido',\n    internalError: 'Error interno',\n  },\n)\n\n/**\n * Resuelve los mensajes de error con precedencia: local > global > default.\n * El merge es shallow string-por-string.\n * `\"\"` (string vacío) se respeta como override explícito (≠ undefined).\n */\nexport function resolveErrorMessages(\n  local?: Partial<EvaErrorMessages>,\n  global?: Partial<EvaErrorMessages>,\n): EvaErrorMessages {\n  return { ...DEFAULT_ERROR_MESSAGES, ...global, ...local }\n}\n\n/**\n * Reemplaza placeholders `{N}` en un template string.\n * Ejemplo: formatMessage('Error: {0}', 'detalle') → 'Error: detalle'\n */\nexport function formatMessage(template: string, ...args: string[]): string {\n  return template.replace(/\\{(\\d+)\\}/g, (_, idx) => args[Number(idx)] ?? '')\n}\n","import { z } from 'zod'\nimport { DEFAULT_ERROR_MESSAGES, type EvaErrorMessages } from './error-messages'\n\n// Schema generado dinámicamente desde DEFAULT_ERROR_MESSAGES → keys siempre sincronizadas.\n// .partial() → todas las keys son opcionales. .strict() → rechaza keys desconocidas.\nconst ErrorMessagesSchema = z\n  .object(\n    Object.fromEntries(\n      (Object.keys(DEFAULT_ERROR_MESSAGES) as (keyof EvaErrorMessages)[]).map(\n        (k) => [k, z.string()],\n      ),\n    ) as Record<keyof EvaErrorMessages, z.ZodString>,\n  )\n  .partial()\n  .strict()\n\n// === Estado runtime mutable (NO exportado directamente) ===\ntype RuntimeConfig = {\n  authUrl?: string\n  product?: string\n  cookieDomain?: string\n  errorMessages?: Partial<EvaErrorMessages>\n  errorWire?: 'api' | 'string'\n}\n\nlet _runtimeConfig: RuntimeConfig = {}\n\n// === Validators ===\n\n/**\n * Valida que `value` sea una URL https (o http con host loopback para tests/dev local).\n * Lanza Error síncrono si la URL es malformada, usa protocolo no soportado,\n * o usa http con host no-loopback.\n * Exportada para uso interno del SDK (createS2SClient, createAdminClient).\n * NO re-exportada desde los barrels públicos (src/index.ts, etc.) — REQ-HTTPS-10.\n */\nexport function validateHttpsUrl(value: string, label: string): void {\n  let parsed: URL\n  try {\n    parsed = new URL(value)\n  } catch {\n    throw new Error(`${label} inválida: URL malformada: ${value}`)\n  }\n\n  if (parsed.protocol === 'http:') {\n    // NOTA: en Node.js, new URL('http://[::1]:4000').hostname devuelve '[::1]' (con corchetes).\n    // El WHATWG URL spec permite ambas representaciones según el runtime.\n    // Este SDK se ejecuta en Node.js/Edge runtimes que mantienen los corchetes en .hostname para IPv6.\n    const hostname = parsed.hostname\n    // oxlint-disable-next-line prefer-string-starts-ends-with -- regex anclada requerida para seguridad (CWE-319): startsWith('127.') aceptaría '127.evil.com'\n    if (\n      hostname === 'localhost' ||\n      hostname === '::1' || // defensa: dead-code en Node 20+ (Ada 2.0 retorna '[::1]' con corchetes)\n      hostname === '[::1]' || // Node.js 20+ (WHATWG Ada 2.0): .hostname de IPv6 literal incluye corchetes\n      /^127(?:\\.\\d{1,3}){3}$/.test(hostname) // forma IPv4 completa anclada — bloquea '127.evil.com'\n    ) {\n      return // loopback http: permitido (tests + desarrollo local)\n    }\n    throw new Error(\n      `${label} inválida: se requiere https (o loopback http): ${value}`,\n    )\n  }\n\n  if (parsed.protocol !== 'https:') {\n    throw new Error(\n      `${label} inválida: protocolo no soportado (${parsed.protocol}): ${value}`,\n    )\n  }\n  // https: → válido, void\n}\n\n/**\n * Valida y normaliza `authUrl`: https (o loopback http), con path permitido, sin userinfo,\n * query ni fragmento. Ningún mensaje incluye el valor recibido: puede traer credenciales.\n * Lo único que se ve en un mensaje es el href ya normalizado (esquema, host, puerto, path),\n * que llegado a ese punto no puede contener userinfo, query ni fragmento.\n * Retorna el href normalizado sin una única `/` final.\n */\nfunction validateAuthUrl(value: unknown): string {\n  // Entrada de JS sin tipar (as any / JSON): sin esto `value.includes` lanzaría un TypeError ajeno.\n  if (typeof value !== 'string') {\n    throw new Error('[eva-auth-sdk] authUrl inválida: debe ser string')\n  }\n  // Chequeo sobre el string crudo: `URL.search`/`URL.hash` valen '' para un `?` o `#` solitario.\n  if (value.includes('?') || value.includes('#')) {\n    throw new Error(\n      '[eva-auth-sdk] authUrl inválida: no puede contener query (?) ni fragmento (#)',\n    )\n  }\n  let parsed: URL\n  try {\n    parsed = new URL(value)\n  } catch {\n    throw new Error('[eva-auth-sdk] authUrl inválida: URL malformada')\n  }\n  // Esquemas con path opaco (mailto:, redis:, data:) no exponen userinfo en URL.username y\n  // validateHttpsUrl ecoaría el valor crudo: se rechazan aquí, sin incluir el input.\n  if (parsed.protocol !== 'https:' && parsed.protocol !== 'http:') {\n    throw new Error(\n      '[eva-auth-sdk] authUrl inválida: protocolo no soportado (solo https, o http en loopback)',\n    )\n  }\n  if (parsed.username !== '' || parsed.password !== '') {\n    throw new Error(\n      '[eva-auth-sdk] authUrl inválida: no puede incluir credenciales (usuario/contraseña)',\n    )\n  }\n  validateHttpsUrl(parsed.href, '[eva-auth-sdk] authUrl')\n  return parsed.href.replace(/\\/$/, '')\n}\n\n// Mismo formato que el slug de producto del contrato (`productoSlugSchema`). Se repite aquí porque\n// config.ts es alcanzable desde `react` y no puede importar módulos de schemas (regla D-35).\n// Que un producto no coincida con una audiencia de servicio lo valida Auth (`isServiceAudience`):\n// un token de usuario nunca lleva una audiencia de servicio, así que aquí no cambiaría nada.\nconst PRODUCT_SLUG = /^[a-z][a-z0-9-]{2,63}$/\n\nfunction validateProduct(value: unknown): string {\n  if (typeof value !== 'string' || !PRODUCT_SLUG.test(value)) {\n    throw new Error(\n      '[eva-auth-sdk] product inválido: debe ser un slug ^[a-z][a-z0-9-]{2,63}$',\n    )\n  }\n  return value\n}\n\nfunction validateCookieDomain(value: string): void {\n  if (/[;\\r\\n]/.test(value)) {\n    throw new Error(\n      'cookieDomain inválido: caracteres prohibidos (;, \\\\r, \\\\n)',\n    )\n  }\n}\n\n// === API pública ===\n\nexport interface ConfigureEvaAuthOptions {\n  /**\n   * URL base del Auth Service. Obligatoria antes del primer uso que la necesite\n   * (`authFetch`, JWKS): si falta, esos usos lanzan `EvaAuthConfigError`.\n   * Acepta https, o http solo en loopback (localhost, 127.0.0.1, [::1]); admite path\n   * (`https://host/auth`). Rechaza userinfo, query y fragmento (incluidos `?` y `#` solitarios).\n   * Se normaliza (host en minúsculas, sin `/` final) y es inmutable: reconfigurar con el mismo\n   * valor normalizado es no-op; con otro valor lanza Error.\n   * Si se omite (undefined), no valida ni modifica el valor previo.\n   * @throws Error si la URL es inválida o difiere de la ya configurada.\n   */\n  authUrl?: string\n  /**\n   * Slug del producto de este consumidor (`whatsapp-panel`). Obligatorio **solo** si se usan las\n   * rutas de login, las cookies de sesión o `verifyAccessToken`: da el nombre de las cookies\n   * (`eva_<producto>_access_token`), la audiencia (`aud`) que exige `verifyAccessToken` y el\n   * `producto` que viaja en el login. Un servicio que solo verifica tokens de servicio no lo necesita.\n   * Debe ser un slug (`^[a-z][a-z0-9-]{2,63}$`).\n   * Es inmutable: reconfigurar el mismo valor es no-op; con otro valor lanza Error.\n   * Si se omite (undefined), no valida ni modifica el valor previo.\n   * @throws Error si el slug es inválido o difiere del ya configurado.\n   */\n  product?: string\n  /**\n   * Domain para Set-Cookie. Validada contra header injection (;, \\r, \\n).\n   * Si se omite (undefined), NO resetea el valor previo.\n   * Recomendado: '.miempresa.com' para compartir entre subdominios.\n   */\n  cookieDomain?: string\n  /**\n   * Mensajes de error que el SDK escribe en respuestas 4xx.\n   * Override granular: keys no provistas mantienen el default.\n   * Si se omite (undefined), NO resetea el valor previo.\n   * `\"\"` se respeta como override explícito (no cae al default).\n   * @throws Error si alguna key es desconocida o si algún valor no es string.\n   */\n  errorMessages?: Partial<EvaErrorMessages>\n  /**\n   * Shape del wire HTTP que el SDK Hono emite cuando rechaza un request.\n   * - 'api' (default): { error: { code: string, message: string } } — consistente con el API.\n   * - 'string': { error: string } — legacy, para consumers que esperan mensaje plano.\n   * D-13 v2 LOCKED: default='api', configurable para compat con consumers 0.x.\n   * @throws Error si se pasa un valor distinto de 'api' o 'string'.\n   */\n  errorWire?: 'api' | 'string'\n}\n\nconst CONFIG_ERROR_NAME = 'EvaAuthConfigError'\n\nfunction createEvaAuthConfigError(message: string): Error {\n  const err = new Error(message)\n  err.name = CONFIG_ERROR_NAME\n  return err\n}\n\n/**\n * Indica si `err` es un error de configuración del SDK (falta `authUrl`).\n * Uso interno: `authFetch` y `verifyAccessToken` lo relanzan en vez de mapearlo a\n * red / token inválido. NO re-exportada desde los barrels públicos.\n */\nexport function isEvaAuthConfigError(err: unknown): boolean {\n  return err instanceof Error && err.name === CONFIG_ERROR_NAME\n}\n\n/**\n * Fase de validación de `configureEvaAuth`: pura, lanza sin mutar nada.\n * Si cualquier campo es inválido (o `authUrl` cambia), no se confirma ningún campo.\n */\nfunction buildConfigPatch(\n  opts: ConfigureEvaAuthOptions,\n  current: RuntimeConfig,\n): Partial<RuntimeConfig> {\n  const patch: Partial<RuntimeConfig> = {}\n  if (opts.authUrl !== undefined) {\n    const normalized = validateAuthUrl(opts.authUrl)\n    if (current.authUrl !== undefined && current.authUrl !== normalized) {\n      throw new Error(\n        '[eva-auth-sdk] authUrl ya fue configurada y no puede cambiar en runtime',\n      )\n    }\n    patch.authUrl = normalized\n  }\n  if (opts.product !== undefined) {\n    const product = validateProduct(opts.product)\n    if (current.product !== undefined && current.product !== product) {\n      throw new Error(\n        '[eva-auth-sdk] product ya fue configurado y no puede cambiar en runtime',\n      )\n    }\n    patch.product = product\n  }\n  if (opts.cookieDomain !== undefined) {\n    validateCookieDomain(opts.cookieDomain)\n    patch.cookieDomain = opts.cookieDomain\n  }\n  if (opts.errorMessages !== undefined) {\n    patch.errorMessages = validateErrorMessagesInput(opts.errorMessages)\n  }\n  if (opts.errorWire !== undefined) {\n    if (opts.errorWire !== 'api' && opts.errorWire !== 'string') {\n      throw new Error(\n        `[eva-auth-sdk] errorWire inválido: \"${opts.errorWire}\". Valores válidos: 'api' | 'string'`,\n      )\n    }\n    patch.errorWire = opts.errorWire\n  }\n  return patch\n}\n\n/**\n * Configura el SDK en runtime. Llamar al boot del consumidor, antes del primer request;\n * importar el SDK o crear `evaAuth()` no lee la configuración ni lanza.\n *\n * Es atómica: valida todos los campos y recién entonces los confirma; si uno falla, ninguno cambia.\n * `authUrl` es inmutable (re-configurar el mismo valor normalizado es no-op). El resto de los\n * campos provistos sobrescriben el valor previo; los omitidos (undefined) no lo resetean.\n *\n * @throws Error si `authUrl` o `product` son inválidos o distintos de los ya configurados, si cookieDomain contiene\n *   caracteres de header injection (;, \\r, \\n), o si errorMessages / errorWire son inválidos.\n */\nexport function configureEvaAuth(opts: ConfigureEvaAuthOptions): void {\n  const patch = buildConfigPatch(opts, _runtimeConfig)\n  _runtimeConfig = { ..._runtimeConfig, ...patch }\n}\n\n/**\n * Retorna la URL del Auth Service configurada vía `configureEvaAuth({ authUrl })`\n * (normalizada, sin `/` final).\n * @throws Error de configuración (`name === 'EvaAuthConfigError'`) si aún no se configuró.\n *   `authFetch` y `verifyAccessToken` lo propagan: el consumidor ve un 500, nunca un 401 o un error de red.\n */\nexport function getAuthUrl(): string {\n  if (_runtimeConfig.authUrl === undefined) {\n    throw createEvaAuthConfigError(\n      '[eva-auth-sdk] authUrl no configurada: llama configureEvaAuth({ authUrl }) al arrancar',\n    )\n  }\n  return _runtimeConfig.authUrl\n}\n\n/**\n * Retorna el producto configurado vía `configureEvaAuth({ product })`.\n * @throws Error de configuración (`name === 'EvaAuthConfigError'`) si aún no se configuró: lo\n *   propagan las cookies, el login y `verifyAccessToken` (el consumidor ve un 500, nunca un 401).\n */\nexport function getProduct(): string {\n  if (_runtimeConfig.product === undefined) {\n    throw createEvaAuthConfigError(\n      '[eva-auth-sdk] product no configurado: llama configureEvaAuth({ product }) al arrancar',\n    )\n  }\n  return _runtimeConfig.product\n}\n\n/**\n * Retorna el cookieDomain configurado vía configureEvaAuth, o undefined si no se configuró.\n */\nexport function getCookieDomain(): string | undefined {\n  return _runtimeConfig.cookieDomain\n}\n\n/**\n * Retorna los errorMessages globales configurados vía configureEvaAuth (sin merge con defaults).\n * Retorna undefined si no se configuraron.\n */\nexport function getErrorMessages(): Partial<EvaErrorMessages> | undefined {\n  return _runtimeConfig.errorMessages\n}\n\n/**\n * Retorna el shape del wire HTTP para respuestas de error.\n * Default: 'api' — sin configureEvaAuth el SDK emite { error: { code, message } }.\n * D-13 v2 LOCKED.\n */\nexport function getErrorWire(): 'api' | 'string' {\n  return _runtimeConfig.errorWire ?? 'api'\n}\n\n/**\n * Valida un objeto Partial<EvaErrorMessages> con Zod.\n * Lanza Error con path y mensaje de Zod si alguna key es desconocida o algún valor no es string.\n * Usado internamente por configureEvaAuth, evaAuth y verifyRequest para validación temprana.\n */\nexport function validateErrorMessagesInput(\n  input: Partial<EvaErrorMessages>,\n): Partial<EvaErrorMessages> {\n  const result = ErrorMessagesSchema.safeParse(input)\n  if (!result.success) {\n    throw new Error(\n      `[eva-auth-sdk] errorMessages inválido: ${result.error.issues.map((i) => `${i.path.join('.')}: ${i.message}`).join('; ')}`,\n    )\n  }\n  return result.data\n}\n\n// NOTA: NO se exporta __resetEvaAuthConfig.\n// Los tests que necesiten resetear estado usan vi.resetModules() + re-import dinámico.\n","/**\n * Parsea el body de una respuesta HTTP de error a EvaError.\n * Sync — el caller debe haber hecho `await res.json().catch(() => null)` antes de llamar.\n *\n * Módulo PURO (D-35): solo `import type`, sin zod ni schemas del contrato. Lo importa código\n * alcanzable desde `src/react/index.ts`; si importara un módulo SCHEMA, el closure de react\n * arrastraría sus `.meta()` (no puros) y rompería el tope de tamaño.\n *\n * Algoritmo (D-14 LOCKED):\n * - status === 0 → EvaSdkError reason:'network'\n * - body null/undefined → EvaSdkError reason:'malformed'\n * - body.error.{code,message} presentes → EvaApiError\n * - cualquier otro caso → EvaSdkError reason:'malformed'\n */\nimport type { EvaError, EvaApiError, EvaSdkError } from './types'\n\nexport function parseErrorResponse(status: number, body: unknown): EvaError {\n  if (status === 0) {\n    return {\n      kind: 'sdk',\n      reason: 'network',\n      message: 'Network error',\n      status: 0,\n    } satisfies EvaSdkError\n  }\n\n  if (body === null || body === undefined) {\n    return {\n      kind: 'sdk',\n      reason: 'malformed',\n      message: 'Malformed response',\n      status,\n    } satisfies EvaSdkError\n  }\n\n  if (\n    typeof body === 'object' &&\n    body !== null &&\n    'error' in body &&\n    typeof (body as Record<string, unknown>).error === 'object' &&\n    (body as Record<string, unknown>).error !== null &&\n    typeof ((body as Record<string, unknown>).error as Record<string, unknown>)\n      .code === 'string' &&\n    typeof ((body as Record<string, unknown>).error as Record<string, unknown>)\n      .message === 'string'\n  ) {\n    const err = (body as Record<string, unknown>).error as {\n      code: string\n      message: string\n    }\n    return {\n      kind: 'api',\n      code: err.code,\n      message: err.message,\n      status,\n    } satisfies EvaApiError\n  }\n\n  return {\n    kind: 'sdk',\n    reason: 'malformed',\n    message: 'Malformed error response',\n    status,\n  } satisfies EvaSdkError\n}\n"],"mappings":";;;;;;AAkDA,MAAa,yBAAqD,OAAO,OACvE;CACE,cAAc;CACd,cAAc;CACd,cAAc;CACd,oBAAoB;CACpB,eAAe;CACf,0BAA0B;CAC1B,oBAAoB;CACpB,eAAe;CACf,aAAa;CACb,oBAAoB;CACpB,cAAc;CACd,iBAAiB;CACjB,cAAc;CACd,mBAAmB;CACnB,gBAAgB;CAChB,kBAAkB;CAClB,eAAe;AACjB,CACF;;;;;;AAOA,SAAgB,qBACd,OACA,QACkB;CAClB,OAAO;EAAE,GAAG;EAAwB,GAAG;EAAQ,GAAG;CAAM;AAC1D;;;;;AAMA,SAAgB,cAAc,UAAkB,GAAG,MAAwB;CACzE,OAAO,SAAS,QAAQ,eAAe,GAAG,QAAQ,KAAK,OAAO,GAAG,MAAM,EAAE;AAC3E;;ACrFA,MAAM,sBAAsB,EACzB,OACC,OAAO,YACJ,OAAO,KAAK,sBAAsB,CAAC,CAAgC,KACjE,MAAM,CAAC,GAAG,EAAE,OAAO,CAAC,CACvB,CACF,CACF,CAAC,CACA,QAAQ,CAAC,CACT,OAAO;AAWV,IAAI,iBAAgC,CAAC;;;;;;;;AAWrC,SAAgB,iBAAiB,OAAe,OAAqB;CACnE,IAAI;CACJ,IAAI;EACF,SAAS,IAAI,IAAI,KAAK;CACxB,QAAQ;EACN,MAAM,IAAI,MAAM,GAAG,MAAM,6BAA6B,OAAO;CAC/D;CAEA,IAAI,OAAO,aAAa,SAAS;EAI/B,MAAM,WAAW,OAAO;EAExB,IACE,aAAa,eACb,aAAa,SACb,aAAa,WACb,wBAAwB,KAAK,QAAQ,GAErC;EAEF,MAAM,IAAI,MACR,GAAG,MAAM,kDAAkD,OAC7D;CACF;CAEA,IAAI,OAAO,aAAa,UACtB,MAAM,IAAI,MACR,GAAG,MAAM,qCAAqC,OAAO,SAAS,KAAK,OACrE;AAGJ;;;;;;;;AASA,SAAS,gBAAgB,OAAwB;CAE/C,IAAI,OAAO,UAAU,UACnB,MAAM,IAAI,MAAM,kDAAkD;CAGpE,IAAI,MAAM,SAAS,GAAG,KAAK,MAAM,SAAS,GAAG,GAC3C,MAAM,IAAI,MACR,+EACF;CAEF,IAAI;CACJ,IAAI;EACF,SAAS,IAAI,IAAI,KAAK;CACxB,QAAQ;EACN,MAAM,IAAI,MAAM,iDAAiD;CACnE;CAGA,IAAI,OAAO,aAAa,YAAY,OAAO,aAAa,SACtD,MAAM,IAAI,MACR,0FACF;CAEF,IAAI,OAAO,aAAa,MAAM,OAAO,aAAa,IAChD,MAAM,IAAI,MACR,qFACF;CAEF,iBAAiB,OAAO,MAAM,wBAAwB;CACtD,OAAO,OAAO,KAAK,QAAQ,OAAO,EAAE;AACtC;AAMA,MAAM,eAAe;AAErB,SAAS,gBAAgB,OAAwB;CAC/C,IAAI,OAAO,UAAU,YAAY,CAAC,aAAa,KAAK,KAAK,GACvD,MAAM,IAAI,MACR,0EACF;CAEF,OAAO;AACT;AAEA,SAAS,qBAAqB,OAAqB;CACjD,IAAI,UAAU,KAAK,KAAK,GACtB,MAAM,IAAI,MACR,4DACF;AAEJ;AAmDA,MAAM,oBAAoB;AAE1B,SAAS,yBAAyB,SAAwB;CACxD,MAAM,MAAM,IAAI,MAAM,OAAO;CAC7B,IAAI,OAAO;CACX,OAAO;AACT;;;;;;AAOA,SAAgB,qBAAqB,KAAuB;CAC1D,OAAO,eAAe,SAAS,IAAI,SAAS;AAC9C;;;;;AAMA,SAAS,iBACP,MACA,SACwB;CACxB,MAAM,QAAgC,CAAC;CACvC,IAAI,KAAK,YAAY,KAAA,GAAW;EAC9B,MAAM,aAAa,gBAAgB,KAAK,OAAO;EAC/C,IAAI,QAAQ,YAAY,KAAA,KAAa,QAAQ,YAAY,YACvD,MAAM,IAAI,MACR,yEACF;EAEF,MAAM,UAAU;CAClB;CACA,IAAI,KAAK,YAAY,KAAA,GAAW;EAC9B,MAAM,UAAU,gBAAgB,KAAK,OAAO;EAC5C,IAAI,QAAQ,YAAY,KAAA,KAAa,QAAQ,YAAY,SACvD,MAAM,IAAI,MACR,yEACF;EAEF,MAAM,UAAU;CAClB;CACA,IAAI,KAAK,iBAAiB,KAAA,GAAW;EACnC,qBAAqB,KAAK,YAAY;EACtC,MAAM,eAAe,KAAK;CAC5B;CACA,IAAI,KAAK,kBAAkB,KAAA,GACzB,MAAM,gBAAgB,2BAA2B,KAAK,aAAa;CAErE,IAAI,KAAK,cAAc,KAAA,GAAW;EAChC,IAAI,KAAK,cAAc,SAAS,KAAK,cAAc,UACjD,MAAM,IAAI,MACR,uCAAuC,KAAK,UAAU,qCACxD;EAEF,MAAM,YAAY,KAAK;CACzB;CACA,OAAO;AACT;;;;;;;;;;;;AAaA,SAAgB,iBAAiB,MAAqC;CACpE,MAAM,QAAQ,iBAAiB,MAAM,cAAc;CACnD,iBAAiB;EAAE,GAAG;EAAgB,GAAG;CAAM;AACjD;;;;;;;AAQA,SAAgB,aAAqB;CACnC,IAAI,eAAe,YAAY,KAAA,GAC7B,MAAM,yBACJ,wFACF;CAEF,OAAO,eAAe;AACxB;;;;;;AAOA,SAAgB,aAAqB;CACnC,IAAI,eAAe,YAAY,KAAA,GAC7B,MAAM,yBACJ,wFACF;CAEF,OAAO,eAAe;AACxB;;;;AAKA,SAAgB,kBAAsC;CACpD,OAAO,eAAe;AACxB;;;;;AAMA,SAAgB,mBAA0D;CACxE,OAAO,eAAe;AACxB;;;;;;AAOA,SAAgB,eAAiC;CAC/C,OAAO,eAAe,aAAa;AACrC;;;;;;AAOA,SAAgB,2BACd,OAC2B;CAC3B,MAAM,SAAS,oBAAoB,UAAU,KAAK;CAClD,IAAI,CAAC,OAAO,SACV,MAAM,IAAI,MACR,0CAA0C,OAAO,MAAM,OAAO,KAAK,MAAM,GAAG,EAAE,KAAK,KAAK,GAAG,EAAE,IAAI,EAAE,SAAS,CAAC,CAAC,KAAK,IAAI,GACzH;CAEF,OAAO,OAAO;AAChB;;ACzTA,SAAgB,mBAAmB,QAAgB,MAAyB;CAC1E,IAAI,WAAW,GACb,OAAO;EACL,MAAM;EACN,QAAQ;EACR,SAAS;EACT,QAAQ;CACV;CAGF,IAAI,SAAS,QAAQ,SAAS,KAAA,GAC5B,OAAO;EACL,MAAM;EACN,QAAQ;EACR,SAAS;EACT;CACF;CAGF,IACE,OAAO,SAAS,YAChB,SAAS,QACT,WAAW,QACX,OAAQ,KAAiC,UAAU,YAClD,KAAiC,UAAU,QAC5C,OAAS,KAAiC,MACvC,SAAS,YACZ,OAAS,KAAiC,MACvC,YAAY,UACf;EACA,MAAM,MAAO,KAAiC;EAI9C,OAAO;GACL,MAAM;GACN,MAAM,IAAI;GACV,SAAS,IAAI;GACb;EACF;CACF;CAEA,OAAO;EACL,MAAM;EACN,QAAQ;EACR,SAAS;EACT;CACF;AACF"}

package/dist/path-segment-C25i6aaH.cjs

@@ -0,0 +1,29 @@
+// src/path-segment.ts
+/**
+* Valida y codifica un valor para usarlo como UN segmento del path. Retorna `null` si el valor no
+* es un string, es vacío, `.` o `..` (crudo o percent-decodificado, `%2e` en cualquier caso): como
+* los clientes insertan el segmento en la URL (el S2S además firma el pathname normalizado), un
+* valor así redirigiría la request a otro endpoint. `encodeURIComponent` solo no basta: no
+* codifica `.`.
+*
+* El resultado ya está codificado: pásalo tal cual a `apiPath`, que no codifica (codificarlo dos
+* veces convertiría `%` en `%25`).
+*/
+function encodePathSegment(value) {
+	if (typeof value !== "string") return null;
+	const isDotSegment = (candidate) => candidate === "." || candidate === "..";
+	let decoded = value;
+	try {
+		decoded = decodeURIComponent(value);
+	} catch {}
+	if (value === "" || isDotSegment(value) || isDotSegment(decoded)) return null;
+	return encodeURIComponent(value);
+}
+Object.defineProperty(exports, "encodePathSegment", {
+	enumerable: true,
+	get: function() {
+		return encodePathSegment;
+	}
+});
+
+//# sourceMappingURL=path-segment-C25i6aaH.cjs.map

package/dist/path-segment-C25i6aaH.cjs.map

@@ -0,0 +1 @@
+{"version":3,"file":"path-segment-C25i6aaH.cjs","names":[],"sources":["../src/path-segment.ts"],"sourcesContent":["/**\n * Valida y codifica un valor para usarlo como UN segmento del path. Retorna `null` si el valor no\n * es un string, es vacío, `.` o `..` (crudo o percent-decodificado, `%2e` en cualquier caso): como\n * los clientes insertan el segmento en la URL (el S2S además firma el pathname normalizado), un\n * valor así redirigiría la request a otro endpoint. `encodeURIComponent` solo no basta: no\n * codifica `.`.\n *\n * El resultado ya está codificado: pásalo tal cual a `apiPath`, que no codifica (codificarlo dos\n * veces convertiría `%` en `%25`).\n */\nexport function encodePathSegment(value: string): string | null {\n  if (typeof value !== 'string') return null\n  const isDotSegment = (candidate: string) =>\n    candidate === '.' || candidate === '..'\n  let decoded = value\n  try {\n    decoded = decodeURIComponent(value)\n  } catch {\n    // percent-encoding malformado: no decodifica a nada peligroso; se codifica tal cual.\n  }\n  if (value === '' || isDotSegment(value) || isDotSegment(decoded)) return null\n  return encodeURIComponent(value)\n}\n"],"mappings":";;;;;;;;;;;AAUA,SAAgB,kBAAkB,OAA8B;CAC9D,IAAI,OAAO,UAAU,UAAU,OAAO;CACtC,MAAM,gBAAgB,cACpB,cAAc,OAAO,cAAc;CACrC,IAAI,UAAU;CACd,IAAI;EACF,UAAU,mBAAmB,KAAK;CACpC,QAAQ,CAER;CACA,IAAI,UAAU,MAAM,aAAa,KAAK,KAAK,aAAa,OAAO,GAAG,OAAO;CACzE,OAAO,mBAAmB,KAAK;AACjC"}

package/dist/path-segment-CyqnaFrP.js

@@ -0,0 +1,24 @@
+// src/path-segment.ts
+/**
+* Valida y codifica un valor para usarlo como UN segmento del path. Retorna `null` si el valor no
+* es un string, es vacío, `.` o `..` (crudo o percent-decodificado, `%2e` en cualquier caso): como
+* los clientes insertan el segmento en la URL (el S2S además firma el pathname normalizado), un
+* valor así redirigiría la request a otro endpoint. `encodeURIComponent` solo no basta: no
+* codifica `.`.
+*
+* El resultado ya está codificado: pásalo tal cual a `apiPath`, que no codifica (codificarlo dos
+* veces convertiría `%` en `%25`).
+*/
+function encodePathSegment(value) {
+	if (typeof value !== "string") return null;
+	const isDotSegment = (candidate) => candidate === "." || candidate === "..";
+	let decoded = value;
+	try {
+		decoded = decodeURIComponent(value);
+	} catch {}
+	if (value === "" || isDotSegment(value) || isDotSegment(decoded)) return null;
+	return encodeURIComponent(value);
+}
+export { encodePathSegment as t };
+
+//# sourceMappingURL=path-segment-CyqnaFrP.js.map

package/dist/path-segment-CyqnaFrP.js.map

@@ -0,0 +1 @@
+{"version":3,"file":"path-segment-CyqnaFrP.js","names":[],"sources":["../src/path-segment.ts"],"sourcesContent":["/**\n * Valida y codifica un valor para usarlo como UN segmento del path. Retorna `null` si el valor no\n * es un string, es vacío, `.` o `..` (crudo o percent-decodificado, `%2e` en cualquier caso): como\n * los clientes insertan el segmento en la URL (el S2S además firma el pathname normalizado), un\n * valor así redirigiría la request a otro endpoint. `encodeURIComponent` solo no basta: no\n * codifica `.`.\n *\n * El resultado ya está codificado: pásalo tal cual a `apiPath`, que no codifica (codificarlo dos\n * veces convertiría `%` en `%25`).\n */\nexport function encodePathSegment(value: string): string | null {\n  if (typeof value !== 'string') return null\n  const isDotSegment = (candidate: string) =>\n    candidate === '.' || candidate === '..'\n  let decoded = value\n  try {\n    decoded = decodeURIComponent(value)\n  } catch {\n    // percent-encoding malformado: no decodifica a nada peligroso; se codifica tal cual.\n  }\n  if (value === '' || isDotSegment(value) || isDotSegment(decoded)) return null\n  return encodeURIComponent(value)\n}\n"],"mappings":";;;;;;;;;;;AAUA,SAAgB,kBAAkB,OAA8B;CAC9D,IAAI,OAAO,UAAU,UAAU,OAAO;CACtC,MAAM,gBAAgB,cACpB,cAAc,OAAO,cAAc;CACrC,IAAI,UAAU;CACd,IAAI;EACF,UAAU,mBAAmB,KAAK;CACpC,QAAQ,CAER;CACA,IAAI,UAAU,MAAM,aAAa,KAAK,KAAK,aAAa,OAAO,GAAG,OAAO;CACzE,OAAO,mBAAmB,KAAK;AACjC"}