@flowselections/floriday-authenticatie-module 1.0.22 → 1.0.24

package/dist-lib/lib/central-auth.server.d.ts

@@ -0,0 +1,34 @@
+export type CentralFlorydayTokenResult = {
+    ok: true;
+    access_token: string;
+    expires_at: string;
+    raw: {
+        status: number;
+        body: string;
+    };
+} | {
+    ok: false;
+    raw: {
+        status: number;
+        body: string;
+    };
+};
+export declare function getFlorydayTokenFromCentral(environment: "staging" | "live", scope: string): Promise<CentralFlorydayTokenResult>;
+export type CentralSecretResult = {
+    ok: true;
+    secret_name: string;
+    version: number;
+    value: string;
+    raw: {
+        status: number;
+        body: string;
+    };
+} | {
+    ok: false;
+    raw: {
+        status: number;
+        body: string;
+    };
+};
+export declare function getSecretFromCentral(name: string): Promise<CentralSecretResult>;
+//# sourceMappingURL=central-auth.server.d.ts.map

package/dist-lib/lib/central-auth.server.d.ts.map

@@ -0,0 +1 @@
+{"version":3,"file":"central-auth.server.d.ts","sourceRoot":"","sources":["../../src/lib/central-auth.server.ts"],"names":[],"mappings":"AAoBA,MAAM,MAAM,0BAA0B,GAClC;IACE,EAAE,EAAE,IAAI,CAAC;IACT,YAAY,EAAE,MAAM,CAAC;IACrB,UAAU,EAAE,MAAM,CAAC;IACnB,GAAG,EAAE;QAAE,MAAM,EAAE,MAAM,CAAC;QAAC,IAAI,EAAE,MAAM,CAAA;KAAE,CAAC;CACvC,GACD;IACE,EAAE,EAAE,KAAK,CAAC;IACV,GAAG,EAAE;QAAE,MAAM,EAAE,MAAM,CAAC;QAAC,IAAI,EAAE,MAAM,CAAA;KAAE,CAAC;CACvC,CAAC;AAEN,wBAAsB,2BAA2B,CAC/C,WAAW,EAAE,SAAS,GAAG,MAAM,EAC/B,KAAK,EAAE,MAAM,GACZ,OAAO,CAAC,0BAA0B,CAAC,CAwDrC;AAkBD,MAAM,MAAM,mBAAmB,GAC3B;IACE,EAAE,EAAE,IAAI,CAAC;IACT,WAAW,EAAE,MAAM,CAAC;IACpB,OAAO,EAAE,MAAM,CAAC;IAChB,KAAK,EAAE,MAAM,CAAC;IACd,GAAG,EAAE;QAAE,MAAM,EAAE,MAAM,CAAC;QAAC,IAAI,EAAE,MAAM,CAAA;KAAE,CAAC;CACvC,GACD;IACE,EAAE,EAAE,KAAK,CAAC;IACV,GAAG,EAAE;QAAE,MAAM,EAAE,MAAM,CAAC;QAAC,IAAI,EAAE,MAAM,CAAA;KAAE,CAAC;CACvC,CAAC;AAEN,wBAAsB,oBAAoB,CACxC,IAAI,EAAE,MAAM,GACX,OAAO,CAAC,mBAAmB,CAAC,CAgD9B"}

package/dist-lib/lib/central-auth.server.js

@@ -0,0 +1,105 @@
+// Server-only: haalt een Floriday-token bij central-auth. Spiegelt de Bearer-
+// signing van de e-mail-tak (@flowselections/core/server → provider-token.js:
+// `Authorization: Bearer ${CENTRAL_AUTH_SECRET}` + `Content-Type: application/json`).
+//
+// Gebruikt bewust NIET core.getProviderToken: die plet de upstream-body naar
+// typed errors, terwijl createFlorydayTokenError (stap B, in floriday.functions.ts)
+// de originele foutsubstrings moet kunnen matchen op `raw.body`. Central plet
+// een mislukte grant naar HTTP 502 { "error": "upstream_error" } — dat is exact
+// waarom raw.body op het niet-ok-pad bewaard moet blijven, letterlijk, zonder
+// wrap of parse.
+//
+// Contract:
+// - Vier faalgevallen (!res.ok, niet-parseerbare body, ontbrekend access_token,
+//   ontbrekend expiry) → allemaal { ok: false, raw }. Geen throws.
+// - Alleen een echte netwerkfout (fetch throwt vóór er een response is) gooit;
+//   daar bestaat geen raw.
+//
+// NIET importeren vanuit client-code. De .server.ts-suffix houdt dit bestand
+// buiten de client-bundle (zoals bij client.server.ts).
+export async function getFlorydayTokenFromCentral(environment, scope) {
+    const baseUrl = process.env.CENTRAL_AUTH_URL;
+    const secret = process.env.CENTRAL_AUTH_SECRET;
+    if (!baseUrl || !secret) {
+        throw new Error("Missing CENTRAL_AUTH_URL or CENTRAL_AUTH_SECRET environment variable.");
+    }
+    const url = `${baseUrl.replace(/\/+$/, "")}/api/token/floriday`;
+    // Netwerkfout (fetch throwt vóór er een response is) → doorgooien, er is
+    // geen raw om te retourneren. Alle andere paden gaan via raw.
+    const res = await fetch(url, {
+        method: "POST",
+        headers: {
+            Authorization: `Bearer ${secret}`,
+            "Content-Type": "application/json",
+        },
+        body: JSON.stringify({ environment, scope }),
+    });
+    // Response ALTIJD eerst als tekst lezen — raw.body moet op elk pad gevuld
+    // zijn (2xx én niet-ok). Bij niet-ok is dit het enige wat stap B heeft om
+    // de oorzaak te bepalen (central plet Floriday-fouten naar 502
+    // { "error": "upstream_error" }).
+    const text = await res.text();
+    const raw = { status: res.status, body: text };
+    if (!res.ok) {
+        return { ok: false, raw };
+    }
+    let json;
+    try {
+        json = JSON.parse(text);
+    }
+    catch {
+        return { ok: false, raw };
+    }
+    if (typeof json.access_token !== "string" || !json.access_token) {
+        return { ok: false, raw };
+    }
+    const expires_at = typeof json.expires_at === "string" && json.expires_at
+        ? json.expires_at
+        : typeof json.expires_in === "number"
+            ? new Date(Date.now() + json.expires_in * 1000).toISOString()
+            : null;
+    if (!expires_at) {
+        return { ok: false, raw };
+    }
+    return { ok: true, access_token: json.access_token, expires_at, raw };
+}
+export async function getSecretFromCentral(name) {
+    const baseUrl = process.env.CENTRAL_AUTH_URL;
+    const secret = process.env.CENTRAL_AUTH_SECRET;
+    if (!baseUrl || !secret) {
+        throw new Error("Missing CENTRAL_AUTH_URL or CENTRAL_AUTH_SECRET environment variable.");
+    }
+    const url = `${baseUrl.replace(/\/+$/, "")}/api/secret/${encodeURIComponent(name)}`;
+    const res = await fetch(url, {
+        method: "POST",
+        headers: {
+            Authorization: `Bearer ${secret}`,
+        },
+    });
+    const text = await res.text();
+    const raw = { status: res.status, body: text };
+    if (!res.ok)
+        return { ok: false, raw };
+    let json;
+    try {
+        json = JSON.parse(text);
+    }
+    catch {
+        return { ok: false, raw };
+    }
+    if (typeof json.secret_name !== "string" ||
+        json.secret_name !== name ||
+        typeof json.version !== "number" ||
+        !Number.isInteger(json.version) ||
+        typeof json.value !== "string" ||
+        !json.value) {
+        return { ok: false, raw };
+    }
+    return {
+        ok: true,
+        secret_name: json.secret_name,
+        version: json.version,
+        value: json.value,
+        raw,
+    };
+}

package/dist-lib/lib/floricode-credentials.server.d.ts.map

@@ -1 +1 @@
-{"version":3,"file":"floricode-credentials.server.d.ts","sourceRoot":"","sources":["../../src/lib/floricode-credentials.server.ts"],"names":[],"mappings":"AAgBA,UAAU,WAAW;IACnB,QAAQ,EAAE,MAAM,CAAC;IACjB,YAAY,EAAE,MAAM,CAAC;IACrB,MAAM,EAAE,UAAU,GAAG,KAAK,CAAC;CAC5B;AA0CD,wBAAsB,mBAAmB,CAAC,SAAS,EAAE,MAAM,GAAG,OAAO,CAAC,MAAM,CAAC,CAc5E;AAED,wBAAsB,mBAAmB,CAAC,UAAU,EAAE,MAAM,GAAG,OAAO,CAAC,MAAM,CAAC,CAgB7E;AAiBD,wBAAsB,uBAAuB,IAAI,OAAO,CAAC,WAAW,CAAC,CAWpE;AAyBD,wBAAsB,uBAAuB,CAAC,KAAK,EAAE,MAAM,GAAG,OAAO,CAAC,MAAM,CAAC,CAS5E;AAED;;;GAGG;AACH,wBAAsB,wBAAwB,IAAI,OAAO,CAAC;IAAE,EAAE,EAAE,OAAO,CAAC;IAAC,KAAK,CAAC,EAAE,MAAM,CAAC;IAAC,KAAK,EAAE,MAAM,CAAA;CAAE,CAAC,CAoBxG;AAED,wBAAgB,6BAA6B,IAAI,IAAI,CAEpD"}
+{"version":3,"file":"floricode-credentials.server.d.ts","sourceRoot":"","sources":["../../src/lib/floricode-credentials.server.ts"],"names":[],"mappings":"AAuBA,UAAU,WAAW;IACnB,QAAQ,EAAE,MAAM,CAAC;IACjB,YAAY,EAAE,MAAM,CAAC;IACrB,MAAM,EAAE,UAAU,GAAG,KAAK,CAAC;CAC5B;AA0FD,wBAAsB,mBAAmB,CAAC,SAAS,EAAE,MAAM,GAAG,OAAO,CAAC,MAAM,CAAC,CAc5E;AAED,wBAAsB,mBAAmB,CAAC,UAAU,EAAE,MAAM,GAAG,OAAO,CAAC,MAAM,CAAC,CAyC7E;AAiBD,wBAAsB,uBAAuB,IAAI,OAAO,CAAC,WAAW,CAAC,CAWpE;AAyBD,wBAAsB,uBAAuB,CAAC,KAAK,EAAE,MAAM,GAAG,OAAO,CAAC,MAAM,CAAC,CAS5E;AAED;;;GAGG;AACH,wBAAsB,wBAAwB,IAAI,OAAO,CAAC;IAAE,EAAE,EAAE,OAAO,CAAC;IAAC,KAAK,CAAC,EAAE,MAAM,CAAC;IAAC,KAAK,EAAE,MAAM,CAAA;CAAE,CAAC,CAoBxG;AAED,wBAAgB,6BAA6B,IAAI,IAAI,CAEpD"}

package/dist-lib/lib/floricode-credentials.server.js

@@ -3,14 +3,20 @@
 // ----------------------------------------------------------------------------
 // Centrale plek voor Floricode OAuth-inloggegevens. Waarden komen uit de tabel
 // `public.floricode_connection_settings` en worden versleuteld opgeslagen met
-// AES-256-GCM, met de encryption key uit env-var `FLORICODE_SECRET_ENCRYPTION_KEY`.
-// Fallback naar env-vars `FLORICODE_CLIENT_ID/SECRET` bestaat alleen voor
-// migratieperiode zolang de UI nog niet ingevuld is.
+// AES-256-GCM. Key-materiaal komt sinds fc1 uit central (endpoint
+// /api/secret/floricode_encryption), niet meer uit env. Fallback naar env-vars
+// `FLORICODE_CLIENT_ID/SECRET` bestaat alleen voor migratieperiode zolang de
+// UI nog niet ingevuld is.
 // ============================================================================
 // Web Crypto API — werkt in browser, Node 15+ en Deno. Geen Node "crypto" import,
 // zodat dist-lib client-side gebundeld kan worden zonder Node builtins te resolven.
 import { supabaseAdmin } from "../integrations/supabase/client.server";
+import { getSecretFromCentral } from "./central-auth.server";
 const FLORICODE_TOKEN_URL = "https://api.floricode.com/oauth/token";
+// Zichtbaarheidsvenster voor rotatie: hoe snel we een nieuwe actieve
+// keyversion oppikken nadat central roteert. Immutabel per versie, dus dit
+// TTL geldt alleen voor de actieve-versie-resolutie.
+const ACTIVE_KEY_TTL_MS = 60000;
 const tokenCache = new Map();
 function getSubtle() {
     const subtle = globalThis.crypto?.subtle;
@@ -32,44 +38,106 @@ function fromBase64(b64) {
         out[i] = bin.charCodeAt(i);
     return out;
 }
-async function getEncryptionKey() {
-    const raw = process.env.FLORICODE_SECRET_ENCRYPTION_KEY;
-    if (!raw) {
-        throw new Error("FLORICODE_SECRET_ENCRYPTION_KEY ontbreekt — kan Floricode-credentials niet ontsleutelen.");
-    }
+// ----- Key material resolution (central-managed, version-aware) --------------
+//
+// Cryptografisch primitief en SHA-256-afleiding zijn ONGEWIJZIGD; alleen de
+// bron van de secret-string is nu central i.p.v. env.
+// Per-versie cache: immutabel (een gegeven versie levert altijd dezelfde
+// afgeleide CryptoKey). Single-flight via Promise-opslag.
+const keyByVersion = new Map();
+// Actieve-versie-cache: welke versie is nu actief? TTL = ACTIVE_KEY_TTL_MS.
+let activeCache = null;
+async function deriveKey(value) {
     const subtle = getSubtle();
     // Normaliseer naar 32 bytes via SHA-256, ongeacht lengte/format van de bron.
-    const digest = await subtle.digest("SHA-256", new TextEncoder().encode(raw));
+    const digest = await subtle.digest("SHA-256", new TextEncoder().encode(value));
     return subtle.importKey("raw", digest, { name: "AES-GCM" }, false, ["encrypt", "decrypt"]);
 }
+function getActiveKeyMaterial() {
+    const now = Date.now();
+    if (activeCache && now - activeCache.at < ACTIVE_KEY_TTL_MS) {
+        return activeCache.promise;
+    }
+    const promise = (async () => {
+        const result = await getSecretFromCentral("floricode_encryption");
+        if (!result.ok) {
+            // value staat niet in raw.body — dat is de central-foutbody.
+            throw new Error(`Kon de Floricode-encryptiesleutel niet ophalen bij central (status ${result.raw.status}): ${result.raw.body}`);
+        }
+        // Populate per-versie cache (single-flight).
+        const existing = keyByVersion.get(result.version);
+        const keyPromise = existing ?? deriveKey(result.value);
+        if (!existing)
+            keyByVersion.set(result.version, keyPromise);
+        const key = await keyPromise;
+        return { key, version: result.version };
+    })();
+    activeCache = { at: now, promise };
+    // Reset cache-slot bij falen zodat een volgende call opnieuw probeert.
+    promise.catch(() => {
+        if (activeCache && activeCache.promise === promise)
+            activeCache = null;
+    });
+    return promise;
+}
+async function getKeyMaterialForVersion(version) {
+    const hit = keyByVersion.get(version);
+    if (hit)
+        return hit;
+    const active = await getActiveKeyMaterial();
+    if (active.version !== version) {
+        throw new Error(`Floricode-credential is versleuteld met sleutelversie ${version}, actief is ${active.version} — her-versleuteling na rotatie is nog niet ondersteund; voer de credential opnieuw in.`);
+    }
+    return active.key;
+}
 export async function encryptClientSecret(plaintext) {
     const subtle = getSubtle();
-    const key = await getEncryptionKey();
+    const { key, version } = await getActiveKeyMaterial();
     const iv = globalThis.crypto.getRandomValues(new Uint8Array(12));
     const cipherBuf = await subtle.encrypt({ name: "AES-GCM", iv: iv }, key, new TextEncoder().encode(plaintext));
     const cipherBytes = new Uint8Array(cipherBuf);
     // AES-GCM in WebCrypto plakt de 16-byte auth tag aan het einde van de ciphertext.
     const tag = cipherBytes.slice(cipherBytes.length - 16);
     const enc = cipherBytes.slice(0, cipherBytes.length - 16);
-    return `v1.${toBase64(iv)}.${toBase64(tag)}.${toBase64(enc)}`;
+    return `fc1.${version}.${toBase64(iv)}.${toBase64(tag)}.${toBase64(enc)}`;
 }
 export async function decryptClientSecret(ciphertext) {
-    if (!ciphertext.startsWith("v1.")) {
-        throw new Error("Onbekend ciphertext-formaat voor Floricode-credential.");
+    if (ciphertext.startsWith("fc1.")) {
+        const parts = ciphertext.split(".");
+        if (parts.length !== 5)
+            throw new Error("Ongeldig ciphertext-formaat.");
+        const [, versionStr, ivB64, tagB64, dataB64] = parts;
+        const version = Number(versionStr);
+        if (!Number.isInteger(version) || version < 1) {
+            throw new Error("Ongeldig ciphertext-formaat (versie).");
+        }
+        // Happy-path: één central-resolutie. Bij version-match hergebruiken we de
+        // key direct uit datzelfde resultaat — geen tweede resolutie-pad.
+        const active = await getActiveKeyMaterial();
+        let key;
+        if (version === active.version) {
+            key = active.key;
+        }
+        else {
+            // Alleen bij (zeldzame) mismatch: fallback via de per-versie helper,
+            // die momenteel op mismatch een expliciete "her-versleuteling niet
+            // ondersteund"-fout gooit.
+            key = await getKeyMaterialForVersion(version);
+        }
+        const subtle = getSubtle();
+        const iv = fromBase64(ivB64);
+        const tag = fromBase64(tagB64);
+        const data = fromBase64(dataB64);
+        const combined = new Uint8Array(data.length + tag.length);
+        combined.set(data, 0);
+        combined.set(tag, data.length);
+        const plainBuf = await subtle.decrypt({ name: "AES-GCM", iv: iv }, key, combined);
+        return new TextDecoder().decode(plainBuf);
     }
-    const [, ivB64, tagB64, dataB64] = ciphertext.split(".");
-    if (!ivB64 || !tagB64 || !dataB64)
-        throw new Error("Ongeldig ciphertext-formaat.");
-    const subtle = getSubtle();
-    const key = await getEncryptionKey();
-    const iv = fromBase64(ivB64);
-    const tag = fromBase64(tagB64);
-    const data = fromBase64(dataB64);
-    const combined = new Uint8Array(data.length + tag.length);
-    combined.set(data, 0);
-    combined.set(tag, data.length);
-    const plainBuf = await subtle.decrypt({ name: "AES-GCM", iv: iv }, key, combined);
-    return new TextDecoder().decode(plainBuf);
+    if (ciphertext.startsWith("v1.")) {
+        throw new Error("Floricode-credential is versleuteld met een verouderde lokale sleutel — voer de Floricode-credential opnieuw in.");
+    }
+    throw new Error("Onbekend ciphertext-formaat voor Floricode-credential.");
 }
 async function loadCredentialsFromDb() {
     const { data, error } = await supabaseAdmin