@flowselections/floriday-klanten-module 1.0.36 → 1.0.37

package/dist-lib/lib/accounting/twinfield/client.server.d.ts

@@ -1,8 +1,8 @@
 /**
- * Sinds Twinfield-authenticatie 2.0 staan client-id, secret en refresh-token
- * NIET meer in enige projectdatabase. `twinfield_connections` bevat alleen de
- * koppeling zelf; een access token wordt per aanroep vers opgehaald bij de
- * Central Auth-module en nooit gecached of opgeslagen.
+ * Alle Twinfield-communicatie loopt via de Twinfield-authenticatiemodule.
+ * Deze module praat nooit rechtstreeks met Twinfield of Central Auth en gebruikt
+ * nooit een vast cluster-adres of vaste administratiecode: die komen per aanroep
+ * uit het service-token-antwoord van de authenticatiemodule.
  */
 export interface TwinfieldConnection {
     id: string;
@@ -21,13 +21,12 @@ export declare class TwinfieldError extends Error {
 export interface TwinfieldToken {
     accessToken: string;
     clusterUri: string;
-    companyCode: string | null;
+    companyCode: string;
 }
 export declare function loadActiveConnection(preferredId?: string): Promise<TwinfieldConnection | null>;
 /**
- * Haalt een vers access token op bij Central Auth. Nooit cachen of opslaan.
- * Bij een 404/401 wordt eenmalig de andere omgeving geprobeerd; slaagt die,
- * dan wordt de opgeslagen omgeving gecorrigeerd.
+ * Volledige tokentraject via de authenticatiemodule: statuscontrole, daarna
+ * het service-token. Nooit cachen of opslaan.
  */
 export declare function fetchTwinfieldToken(conn: TwinfieldConnection): Promise<TwinfieldToken>;
 /**

package/dist-lib/lib/accounting/twinfield/client.server.d.ts.map

@@ -1 +1 @@
-{"version":3,"file":"client.server.d.ts","sourceRoot":"","sources":["../../../../src/lib/accounting/twinfield/client.server.ts"],"names":[],"mappings":"AAGA;;;;;GAKG;AACH,MAAM,WAAW,mBAAmB;IAClC,EAAE,EAAE,MAAM,CAAC;IACX,WAAW,EAAE,MAAM,GAAG,IAAI,CAAC;IAC3B,WAAW,EAAE,MAAM,GAAG,IAAI,CAAC;IAC3B,WAAW,EAAE,MAAM,GAAG,IAAI,CAAC;IAC3B,YAAY,EAAE,MAAM,GAAG,IAAI,CAAC;IAC5B,WAAW,EAAE,MAAM,GAAG,IAAI,CAAC;CAC5B;AAED,qDAAqD;AACrD,MAAM,MAAM,oBAAoB,GAAG,aAAa,GAAG,QAAQ,GAAG,WAAW,GAAG,UAAU,CAAC;AAEvF,qBAAa,cAAe,SAAQ,KAAK;IACvC,IAAI,EAAE,oBAAoB,CAAC;gBACf,IAAI,EAAE,oBAAoB,EAAE,OAAO,EAAE,MAAM;CAKxD;AAED,MAAM,WAAW,cAAc;IAC7B,WAAW,EAAE,MAAM,CAAC;IACpB,UAAU,EAAE,MAAM,CAAC;IACnB,WAAW,EAAE,MAAM,GAAG,IAAI,CAAC;CAC5B;AAaD,wBAAsB,oBAAoB,CAAC,WAAW,CAAC,EAAE,MAAM,GAAG,OAAO,CAAC,mBAAmB,GAAG,IAAI,CAAC,CAyBpG;AAoFD;;;;GAIG;AACH,wBAAsB,mBAAmB,CAAC,IAAI,EAAE,mBAAmB,GAAG,OAAO,CAAC,cAAc,CAAC,CAqC5F;AAeD;;;;;GAKG;AACH,wBAAgB,qBAAqB,CAAC,IAAI,EAAE,MAAM,GAAG;IAAE,EAAE,EAAE,OAAO,CAAC;IAAC,OAAO,EAAE,MAAM,CAAA;CAAE,CAiCpF;AAYD,wBAAsB,cAAc,CAAC,IAAI,EAAE,mBAAmB,EAAE,YAAY,EAAE,MAAM,GAAG,OAAO,CAAC;IAAE,EAAE,EAAE,OAAO,CAAC;IAAC,OAAO,EAAE,MAAM,CAAC;IAAC,GAAG,EAAE,MAAM,CAAA;CAAE,CAAC,CA0D5I"}
+{"version":3,"file":"client.server.d.ts","sourceRoot":"","sources":["../../../../src/lib/accounting/twinfield/client.server.ts"],"names":[],"mappings":"AAIA;;;;;GAKG;AACH,MAAM,WAAW,mBAAmB;IAClC,EAAE,EAAE,MAAM,CAAC;IACX,WAAW,EAAE,MAAM,GAAG,IAAI,CAAC;IAC3B,WAAW,EAAE,MAAM,GAAG,IAAI,CAAC;IAC3B,WAAW,EAAE,MAAM,GAAG,IAAI,CAAC;IAC3B,YAAY,EAAE,MAAM,GAAG,IAAI,CAAC;IAC5B,WAAW,EAAE,MAAM,GAAG,IAAI,CAAC;CAC5B;AAED,qDAAqD;AACrD,MAAM,MAAM,oBAAoB,GAAG,aAAa,GAAG,QAAQ,GAAG,WAAW,GAAG,UAAU,CAAC;AAEvF,qBAAa,cAAe,SAAQ,KAAK;IACvC,IAAI,EAAE,oBAAoB,CAAC;gBACf,IAAI,EAAE,oBAAoB,EAAE,OAAO,EAAE,MAAM;CAKxD;AAED,MAAM,WAAW,cAAc;IAC7B,WAAW,EAAE,MAAM,CAAC;IACpB,UAAU,EAAE,MAAM,CAAC;IACnB,WAAW,EAAE,MAAM,CAAC;CACrB;AAaD,wBAAsB,oBAAoB,CAAC,WAAW,CAAC,EAAE,MAAM,GAAG,OAAO,CAAC,mBAAmB,GAAG,IAAI,CAAC,CAyBpG;AAwOD;;;GAGG;AACH,wBAAsB,mBAAmB,CAAC,IAAI,EAAE,mBAAmB,GAAG,OAAO,CAAC,cAAc,CAAC,CAK5F;AAED;;;;;GAKG;AACH,wBAAgB,qBAAqB,CAAC,IAAI,EAAE,MAAM,GAAG;IAAE,EAAE,EAAE,OAAO,CAAC;IAAC,OAAO,EAAE,MAAM,CAAA;CAAE,CAiCpF;AAYD,wBAAsB,cAAc,CAAC,IAAI,EAAE,mBAAmB,EAAE,YAAY,EAAE,MAAM,GAAG,OAAO,CAAC;IAAE,EAAE,EAAE,OAAO,CAAC;IAAC,OAAO,EAAE,MAAM,CAAC;IAAC,GAAG,EAAE,MAAM,CAAA;CAAE,CAAC,CAwD5I"}

package/dist-lib/lib/accounting/twinfield/client.server.js

@@ -1,3 +1,4 @@
+import { getRequestHeader } from "@tanstack/react-start/server";
 import { supabaseAdmin } from "../../../integrations/supabase/client.server";
 import { buildProcessXmlEnvelope } from "./mapping";
 export class TwinfieldError extends Error {
@@ -41,103 +42,173 @@ export async function loadActiveConnection(preferredId) {
     }
     return null;
 }
-/** Eén tokenaanvraag bij Central Auth voor een specifieke omgeving. */
-async function requestCentralAuthToken(baseUrl, secret, accountKey, environment) {
+/**
+ * Het bearer-token van de lopende aanvraag, indien aanwezig. In een cron-run
+ * (geen request-context) geeft dit `null` terug.
+ */
+function getCallerBearerToken() {
+    try {
+        const header = getRequestHeader("authorization");
+        if (!header)
+            return null;
+        const m = /^Bearer\s+(.+)$/i.exec(header.trim());
+        return m ? m[1] : null;
+    }
+    catch {
+        return null;
+    }
+}
+/**
+ * Fail closed: adres van de authenticatiemodule uit een omgevingsvariabele,
+ * anders uit de eigen instellingentabel. Ontbreekt beide → duidelijke fout.
+ */
+async function resolveAuthModuleUrl() {
+    const fromEnv = process.env.TWINFIELD_AUTH_URL;
+    if (fromEnv && fromEnv.trim())
+        return fromEnv.trim().replace(/\/+$/, "");
+    const { data } = await supabaseAdmin
+        .from("app_settings")
+        .select("value")
+        .eq("key", "twinfield_auth_url")
+        .maybeSingle();
+    const fromSettings = data?.value;
+    if (fromSettings && fromSettings.trim())
+        return fromSettings.trim().replace(/\/+$/, "");
+    // Terugval op het al geconfigureerde adres van de gedeelde authenticatie-
+    // module (CENTRAL_AUTH_URL is dezelfde dienst).
+    const legacy = process.env.CENTRAL_AUTH_URL;
+    if (legacy && legacy.trim())
+        return legacy.trim().replace(/\/+$/, "");
+    throw new TwinfieldError("config", "Het adres van de Twinfield-authenticatiemodule is niet ingesteld (omgevingsvariabele TWINFIELD_AUTH_URL of instelling 'twinfield_auth_url').");
+}
+/** Machine-sleutelwoord uit de gedeelde database. Alleen server-side, nooit loggen. */
+async function getCronSecret() {
+    const { data, error } = await supabaseAdmin
+        .from("twinfield_cron_auth")
+        .select("secret")
+        .eq("id", 1)
+        .maybeSingle();
+    const secret = data?.secret;
+    if (error || !secret) {
+        throw new TwinfieldError("config", "Het machine-sleutelwoord voor de Twinfield-authenticatiemodule ontbreekt (twinfield_cron_auth, id = 1).");
+    }
+    return secret;
+}
+/**
+ * Statuscontrole bij de authenticatiemodule. Leesaanvraag met de
+ * koppelings-id als parameter in het adres. Auth: bearer-token van de lopende
+ * aanvraag indien aanwezig, anders het machine-sleutelwoord.
+ */
+async function checkAuthModuleStatus(baseUrl, conn, cronSecret) {
+    const bearer = getCallerBearerToken();
+    const headers = bearer
+        ? { Authorization: `Bearer ${bearer}` }
+        : { "x-cron-secret": cronSecret };
+    const url = `${baseUrl}/api/public/twinfield/status?connection_id=${encodeURIComponent(conn.id)}`;
     let res;
     try {
-        res = await fetch(`${baseUrl.replace(/\/+$/, "")}/api/token/twinfield`, {
+        res = await fetch(url, { headers });
+    }
+    catch (e) {
+        throw new TwinfieldError("temporary", `De Twinfield-authenticatiemodule is nu niet bereikbaar: ${e instanceof Error ? e.message : String(e)}`);
+    }
+    const text = await res.text().catch(() => "");
+    if (!res.ok) {
+        if (res.status === 502) {
+            throw new TwinfieldError("temporary", "De Twinfield-authenticatiemodule is tijdelijk niet bereikbaar (502). Er volgt automatisch een nieuwe poging.");
+        }
+        throw new TwinfieldError("config", `De statuscontrole van de Twinfield-authenticatiemodule gaf een fout (${res.status}).`);
+    }
+    let json;
+    try {
+        json = JSON.parse(text);
+    }
+    catch {
+        throw new TwinfieldError("temporary", "De authenticatiemodule gaf een onleesbaar statusantwoord.");
+    }
+    const lower = text.toLowerCase();
+    if (lower.includes("ambiguous") || lower.includes("niet eenduidig")) {
+        throw new TwinfieldError("config", "De Twinfield-authenticatiemodule kon de administratie niet eenduidig bepalen. Controleer de koppeling in de authenticatiemodule.");
+    }
+    const status = String(json.status ?? json.state ?? "").toLowerCase();
+    const connected = json.connected === true ||
+        status === "connected" ||
+        status === "ok" ||
+        status === "active";
+    if (!connected) {
+        throw new TwinfieldError("config", "Er is geen actieve Twinfield-koppeling in de authenticatiemodule. De klant blijft op wachtstatus staan.");
+    }
+    const connectionId = json.connection_id ??
+        json.connectionId ??
+        json.connection?.id ??
+        null;
+    return { connected: true, connectionId };
+}
+/**
+ * Haalt een vers service-token op bij de authenticatiemodule. Dit eindpunt
+ * accepteert uitsluitend het machine-sleutelwoord — nooit een inlogtoken.
+ * Geeft access_token, cluster_url en administration_code terug; zonder
+ * administratiecode stopt de push met een duidelijke melding.
+ */
+async function requestServiceToken(baseUrl, cronSecret, connectionId) {
+    let res;
+    try {
+        res = await fetch(`${baseUrl}/api/public/twinfield/service-token`, {
             method: "POST",
             headers: {
-                Authorization: `Bearer ${secret}`,
+                "x-cron-secret": cronSecret,
                 "Content-Type": "application/json",
             },
-            // LET OP: de sleutel moet account_key in snake_case zijn. Met accountKey
-            // negeert Central Auth het filter en antwoordt met ambiguous_account.
-            body: JSON.stringify({ account_key: accountKey, environment }),
+            body: JSON.stringify({ connection_id: connectionId }),
         });
     }
     catch (e) {
-        throw new TwinfieldError("temporary", `Central Auth is nu niet bereikbaar: ${e instanceof Error ? e.message : String(e)}`);
+        throw new TwinfieldError("temporary", `De Twinfield-authenticatiemodule is nu niet bereikbaar: ${e instanceof Error ? e.message : String(e)}`);
     }
     const text = await res.text().catch(() => "");
-    if (!res.ok)
-        return { ok: false, status: res.status, body: text };
+    const lower = text.toLowerCase();
+    if (res.status === 401 || res.status === 403) {
+        if (lower.includes("reauthorize") || lower.includes("herautoris")) {
+            throw new TwinfieldError("reauthorize", "De Twinfield-autorisatie is verlopen of ingetrokken. Autoriseer Twinfield opnieuw in de authenticatiemodule; de klant blijft op wachtstatus staan.");
+        }
+        throw new TwinfieldError("config", "De Twinfield-authenticatiemodule weigerde het machine-sleutelwoord. Controleer twinfield_cron_auth.");
+    }
+    if (res.status === 502) {
+        throw new TwinfieldError("temporary", "De achterliggende Twinfield-dienst was even niet bereikbaar (502). Er volgt automatisch een nieuwe poging.");
+    }
+    if (lower.includes("ambiguous") || lower.includes("niet eenduidig")) {
+        throw new TwinfieldError("config", "De Twinfield-authenticatiemodule kon de administratie niet eenduidig bepalen. Controleer de koppeling in de authenticatiemodule.");
+    }
+    if (!res.ok) {
+        throw new TwinfieldError("temporary", `De Twinfield-authenticatiemodule gaf een fout (${res.status}).`);
+    }
     let json;
     try {
         json = JSON.parse(text);
     }
     catch {
-        throw new TwinfieldError("temporary", "Central Auth gaf een onleesbaar antwoord terug.");
+        throw new TwinfieldError("temporary", "De authenticatiemodule gaf een onleesbaar tokenantwoord.");
     }
-    const accessToken = (json.accessToken ?? json.access_token);
-    if (!accessToken)
-        return { ok: false, status: res.status, body: text };
-    return {
-        ok: true,
-        token: {
-            accessToken,
-            clusterUri: String(json.clusterUri ?? json.cluster_uri ?? "").replace(/\/+$/, ""),
-            companyCode: (json.companyCode ?? json.company_code ?? null),
-        },
-    };
-}
-function classifyCentralAuthFailure(status, body) {
-    const lower = body.toLowerCase();
-    if (lower.includes("ambiguous_account")) {
-        return new TwinfieldError("config", "Central Auth kon het account niet eenduidig bepalen (ambiguous_account). Controleer de koppeling in de authenticatie-module.");
+    const accessToken = (json.access_token ?? json.accessToken);
+    const clusterUri = String(json.cluster_url ?? json.clusterUrl ?? "").replace(/\/+$/, "");
+    const companyCode = (json.administration_code ?? json.administrationCode ?? null);
+    if (!accessToken || !clusterUri) {
+        throw new TwinfieldError("temporary", "De authenticatiemodule gaf een onvolledig service-token terug.");
     }
-    if (status === 404 || lower.includes("not_found")) {
-        return new TwinfieldError("reauthorize", "Central Auth kent dit Twinfield-account of deze omgeving niet (meer). Autoriseer Twinfield opnieuw.");
-    }
-    if (status === 401 ||
-        status === 403 ||
-        /expired|revoked|invalid_grant/.test(lower)) {
-        return new TwinfieldError("reauthorize", "De Twinfield-autorisatie is verlopen of ingetrokken. Autoriseer Twinfield opnieuw.");
+    if (!companyCode) {
+        throw new TwinfieldError("config", "De authenticatiemodule gaf geen administratiecode terug. De push is gestopt; er wordt niet teruggevallen op een opgeslagen code.");
     }
-    return new TwinfieldError("temporary", `Central Auth gaf een fout (${status}): ${body.slice(0, 200)}`);
+    return { accessToken, clusterUri, companyCode };
 }
 /**
- * Haalt een vers access token op bij Central Auth. Nooit cachen of opslaan.
- * Bij een 404/401 wordt eenmalig de andere omgeving geprobeerd; slaagt die,
- * dan wordt de opgeslagen omgeving gecorrigeerd.
+ * Volledige tokentraject via de authenticatiemodule: statuscontrole, daarna
+ * het service-token. Nooit cachen of opslaan.
  */
 export async function fetchTwinfieldToken(conn) {
-    const baseUrl = process.env.CENTRAL_AUTH_URL;
-    const secret = process.env.CENTRAL_AUTH_SECRET;
-    if (!baseUrl || !secret) {
-        throw new TwinfieldError("config", "Central Auth niet geconfigureerd: stel CENTRAL_AUTH_URL en CENTRAL_AUTH_SECRET in voor dit project.");
-    }
-    const accountKey = (conn.account_key ?? "").trim().toLowerCase();
-    if (!accountKey) {
-        throw new TwinfieldError("reauthorize", "De Twinfield-koppeling heeft geen account_key. Autoriseer Twinfield opnieuw in de authenticatie-module.");
-    }
-    const environment = (conn.environment ?? "live").trim().toLowerCase();
-    const first = await requestCentralAuthToken(baseUrl, secret, accountKey, environment);
-    if (first.ok)
-        return withFallbackCluster(conn, first.token);
-    // Mogelijke omgeving-mismatch: probeer eenmalig de andere omgeving.
-    if (first.status === 404 || first.status === 401) {
-        const other = environment === "sandbox" ? "live" : "sandbox";
-        const retry = await requestCentralAuthToken(baseUrl, secret, accountKey, other);
-        if (retry.ok) {
-            await supabaseAdmin
-                .from("twinfield_connections")
-                .update({ environment: other, updated_at: new Date().toISOString() })
-                .eq("id", conn.id);
-            conn.environment = other;
-            return withFallbackCluster(conn, retry.token);
-        }
-    }
-    throw classifyCentralAuthFailure(first.status, first.body);
-}
-function withFallbackCluster(conn, token) {
-    if (!token.clusterUri && conn.cluster_uri) {
-        token.clusterUri = conn.cluster_uri.replace(/\/+$/, "");
-    }
-    if (!token.clusterUri) {
-        throw new TwinfieldError("config", "Er is geen Twinfield cluster-URL bekend, niet uit Central Auth en niet uit de koppeling.");
-    }
-    return token;
+    const baseUrl = await resolveAuthModuleUrl();
+    const cronSecret = await getCronSecret();
+    const status = await checkAuthModuleStatus(baseUrl, conn, cronSecret);
+    return requestServiceToken(baseUrl, cronSecret, status.connectionId ?? conn.id);
 }
 /**
  * Leest het antwoord van processxml.asmx strikt uit. Twinfield geeft bij succes
@@ -190,10 +261,8 @@ function decodeXml(v) {
 }
 export async function sendProcessXml(conn, dimensionXml) {
     let token = await fetchTwinfieldToken(conn);
-    const companyCode = conn.office_code || conn.company_code || token.companyCode;
-    if (!companyCode) {
-        throw new TwinfieldError("config", "Twinfield office/company code ontbreekt in de koppeling.");
-    }
+    // De administratiecode komt uitsluitend uit het service-token-antwoord.
+    const companyCode = token.companyCode;
     const doCall = async () => {
         const envelope = buildProcessXmlEnvelope(token.accessToken, companyCode, dimensionXml);
         return fetch(`${token.clusterUri}/webservices/processxml.asmx`, {