@futdevpro/nts-dynamo 1.15.156 → 1.15.157

package/build/_collections/security-headers.util.js

@@ -1,78 +1,78 @@
-"use strict";
-Object.defineProperty(exports, "__esModule", { value: true });
-exports.DyNTS_resolveSecurityHeaders = DyNTS_resolveSecurityHeaders;
-exports.DyNTS_createSecurityHeadersMiddleware = DyNTS_createSecurityHeadersMiddleware;
-const fsm_dynamo_1 = require("@futdevpro/fsm-dynamo");
-/**
- * A security response-headerek TISZTA (Express-mentes, unit-tesztelhető) resolvere
- * (BFR-MASTERPROMPTER-011 / SEC-R2-8). A `DyNTS_App.mountSecurityHeaders` ebből épít middleware-t.
- *
- * **HSTS AUTO-env-gate**: ha a `hsts` beállítás nem explicit, CSAK prod environment-en emittálunk
- * (a test-környezeti sticky-HSTS elkerülésére); explicit `hsts.enabled` felülbírálja mindkét irányba.
- */
-function DyNTS_resolveSecurityHeaders(settings, environment) {
-    const headers = {};
-    if (!settings.enabled) {
-        return headers;
-    }
-    // Clickjacking-védelem — default SAMEORIGIN.
-    const frameOptions = settings.frameOptions ?? 'SAMEORIGIN';
-    if (frameOptions) {
-        headers['X-Frame-Options'] = frameOptions;
-    }
-    // MIME-sniffing tiltás — default nosniff.
-    const contentTypeOptions = settings.contentTypeOptions ?? 'nosniff';
-    if (contentTypeOptions) {
-        headers['X-Content-Type-Options'] = contentTypeOptions;
-    }
-    // Referrer-szivárgás korlátozás — default strict-origin-when-cross-origin.
-    const referrerPolicy = settings.referrerPolicy ?? 'strict-origin-when-cross-origin';
-    if (referrerPolicy) {
-        headers['Referrer-Policy'] = referrerPolicy;
-    }
-    // Permissions-Policy — opt-in (app-specifikus feature-készlet).
-    if (settings.permissionsPolicy) {
-        headers['Permissions-Policy'] = settings.permissionsPolicy;
-    }
-    // HSTS — AUTO-env-gate: default CSAK prod-on; explicit enabled felülbírál.
-    if (settings.hsts !== false) {
-        const hstsExplicitlyEnabled = settings.hsts?.enabled === true;
-        const hstsExplicitlyDisabled = settings.hsts?.enabled === false;
-        const hstsAutoOn = environment === fsm_dynamo_1.DyFM_EnvironmentFlag.prod;
-        if (!hstsExplicitlyDisabled && (hstsExplicitlyEnabled || hstsAutoOn)) {
-            const maxAge = settings.hsts?.maxAgeSeconds ?? 15768000;
-            const includeSubDomains = (settings.hsts?.includeSubDomains ?? true) ? '; includeSubDomains' : '';
-            const preload = settings.hsts?.preload ? '; preload' : '';
-            headers['Strict-Transport-Security'] = `max-age=${maxAge}${includeSubDomains}${preload}`;
-        }
-    }
-    // CSP — opt-in string; a Report-Only header-név a fokozatos bevezetéshez.
-    if (settings.csp) {
-        const cspHeaderName = settings.cspReportOnly
-            ? 'Content-Security-Policy-Report-Only'
-            : 'Content-Security-Policy';
-        headers[cspHeaderName] = settings.csp;
-    }
-    // Tetszőleges további headerek (merge, felülírással).
-    if (settings.additionalHeaders) {
-        for (const [key, value] of Object.entries(settings.additionalHeaders)) {
-            headers[key] = value;
-        }
-    }
-    return headers;
-}
-/**
- * Express-middleware factory a resolvelt headerekből. A headereket boot-kor EGYSZER resolvoljuk
- * (a settings boot után nem változik), a middleware kérésenként csak setHeader-öl.
- */
-function DyNTS_createSecurityHeadersMiddleware(settings, environment) {
-    const resolvedHeaders = DyNTS_resolveSecurityHeaders(settings, environment);
-    const headerEntries = Object.entries(resolvedHeaders);
-    return (req, res, next) => {
-        for (const [key, value] of headerEntries) {
-            res.setHeader(key, value);
-        }
-        next();
-    };
-}
+"use strict";
+Object.defineProperty(exports, "__esModule", { value: true });
+exports.DyNTS_resolveSecurityHeaders = DyNTS_resolveSecurityHeaders;
+exports.DyNTS_createSecurityHeadersMiddleware = DyNTS_createSecurityHeadersMiddleware;
+const fsm_dynamo_1 = require("@futdevpro/fsm-dynamo");
+/**
+ * A security response-headerek TISZTA (Express-mentes, unit-tesztelhető) resolvere
+ * (BFR-MASTERPROMPTER-011 / SEC-R2-8). A `DyNTS_App.mountSecurityHeaders` ebből épít middleware-t.
+ *
+ * **HSTS AUTO-env-gate**: ha a `hsts` beállítás nem explicit, CSAK prod environment-en emittálunk
+ * (a test-környezeti sticky-HSTS elkerülésére); explicit `hsts.enabled` felülbírálja mindkét irányba.
+ */
+function DyNTS_resolveSecurityHeaders(settings, environment) {
+    const headers = {};
+    if (!settings.enabled) {
+        return headers;
+    }
+    // Clickjacking-védelem — default SAMEORIGIN.
+    const frameOptions = settings.frameOptions ?? 'SAMEORIGIN';
+    if (frameOptions) {
+        headers['X-Frame-Options'] = frameOptions;
+    }
+    // MIME-sniffing tiltás — default nosniff.
+    const contentTypeOptions = settings.contentTypeOptions ?? 'nosniff';
+    if (contentTypeOptions) {
+        headers['X-Content-Type-Options'] = contentTypeOptions;
+    }
+    // Referrer-szivárgás korlátozás — default strict-origin-when-cross-origin.
+    const referrerPolicy = settings.referrerPolicy ?? 'strict-origin-when-cross-origin';
+    if (referrerPolicy) {
+        headers['Referrer-Policy'] = referrerPolicy;
+    }
+    // Permissions-Policy — opt-in (app-specifikus feature-készlet).
+    if (settings.permissionsPolicy) {
+        headers['Permissions-Policy'] = settings.permissionsPolicy;
+    }
+    // HSTS — AUTO-env-gate: default CSAK prod-on; explicit enabled felülbírál.
+    if (settings.hsts !== false) {
+        const hstsExplicitlyEnabled = settings.hsts?.enabled === true;
+        const hstsExplicitlyDisabled = settings.hsts?.enabled === false;
+        const hstsAutoOn = environment === fsm_dynamo_1.DyFM_EnvironmentFlag.prod;
+        if (!hstsExplicitlyDisabled && (hstsExplicitlyEnabled || hstsAutoOn)) {
+            const maxAge = settings.hsts?.maxAgeSeconds ?? 15768000;
+            const includeSubDomains = (settings.hsts?.includeSubDomains ?? true) ? '; includeSubDomains' : '';
+            const preload = settings.hsts?.preload ? '; preload' : '';
+            headers['Strict-Transport-Security'] = `max-age=${maxAge}${includeSubDomains}${preload}`;
+        }
+    }
+    // CSP — opt-in string; a Report-Only header-név a fokozatos bevezetéshez.
+    if (settings.csp) {
+        const cspHeaderName = settings.cspReportOnly
+            ? 'Content-Security-Policy-Report-Only'
+            : 'Content-Security-Policy';
+        headers[cspHeaderName] = settings.csp;
+    }
+    // Tetszőleges további headerek (merge, felülírással).
+    if (settings.additionalHeaders) {
+        for (const [key, value] of Object.entries(settings.additionalHeaders)) {
+            headers[key] = value;
+        }
+    }
+    return headers;
+}
+/**
+ * Express-middleware factory a resolvelt headerekből. A headereket boot-kor EGYSZER resolvoljuk
+ * (a settings boot után nem változik), a middleware kérésenként csak setHeader-öl.
+ */
+function DyNTS_createSecurityHeadersMiddleware(settings, environment) {
+    const resolvedHeaders = DyNTS_resolveSecurityHeaders(settings, environment);
+    const headerEntries = Object.entries(resolvedHeaders);
+    return (req, res, next) => {
+        for (const [key, value] of headerEntries) {
+            res.setHeader(key, value);
+        }
+        next();
+    };
+}
 //# sourceMappingURL=security-headers.util.js.map

package/build/_collections/signed-url.util.d.ts

@@ -1,85 +1,85 @@
-import { DyNTS_SignedUrl_VerifyResult } from '../_models/interfaces/signed-url-verify-result.interface';
-/**
- * ALÁÍRT-URL primitív (HMAC-SHA256) — a böngésző-kiszolgálás (`<img src>`, nincs Bearer)
- * auth-mechanizmusának generikus magja.
- *
- * A forrás-rendszer (ahol megvan a user auth-kontextusa) aláírja a `path + exp` kanonikus
- * stringet a MEGOSZTOTT titokkal, és egy `…/<path>?exp=<ms>&sig=<hex>` URL-t ad ki; a kiszolgáló
- * oldal ugyanezzel a titokkal validál. Az **aláírás maga a tamper-proof izoláció**: a path
- * bármilyen módosítása érvényteleníti.
- *
- * ⚠️ **A SZERZŐDÉS BITRE KÖTÖTT — nem tervezési szabadság.** Ez az util a ma ÉLŐ algoritmust
- * viszi tovább (az `fdp-ftp-service` verify- és a `master-prompter` sign-oldaláról mérve),
- * hogy a **már kiadott URL-ek** ne romoljanak el:
- *
- * | Elem | Érték |
- * |---|---|
- * | Algoritmus | `HMAC-SHA256(secret, canonicalString)` → **hex** |
- * | Kanonikus string | `` `<normalizedPath>\n<expMs>` `` — csak path + lejárat |
- * | `normalizePath` | vezető `/`-ek le (`/^\/+/`), `\` → `/` |
- * | Query | `?exp=<ms>&sig=<hex>` |
- * | Összevetés | `Crypto.timingSafeEqual`, **előtte hossz-guard** |
- * | Lejárat | `expMs < now` → érvénytelen; **nincs** beépített max-TTL (a hívó dönt) |
- *
- * **Miért `dynamo-nts` és nem `fsm-dynamo`:** node-`crypto` kell (`createHmac` +
- * **`timingSafeEqual`**); izomorf rétegben a timing-safe összevetés elveszne, és a sign/verify
- * két csomagba vágása pont azt a bitre-egyezést veszélyeztetné, amiért ez az util készül.
- *
- * **Két tudatos eltérés a mai duplikátumoktól:**
- * 1. `sign`/`buildSignedUrl` üres secretre **DOB** — a mai forrás-oldal üres stringet ad vissza,
- *    ami **csendes hiba**: a hívó észrevétlenül aláírás nélküli URL-t kaphat. A bedrock **hangos**;
- *    a fallback-döntés a hívóé, de **tudatosan**.
- * 2. `verify` **SOHA nem dob** — strukturált `{ valid, reason }`-t ad, hogy a gate-ek egységes,
- *    szivárgás-mentes választ tudjanak adni.
- */
-export declare class DyNTS_SignedUrl_Util {
-    /**
-     * Path normalizálás az aláíráshoz/validáláshoz: vezető `/`-ek le, `\` → `/`.
-     * A kanonikus string első fele — a két oldalnak **bit-azonosan** kell normalizálnia.
-     */
-    static normalizePath(filePath: string): string;
-    /**
-     * A HMAC bemenete: `` `<normalizedPath>\n<expMs>` ``.
-     * **Publikus**, hogy tesztelhető és auditálható legyen (az arany-vektor erre épül).
-     */
-    static buildCanonicalString(filePath: string, expMs: number): string;
-    /**
-     * HMAC-SHA256 hex digest a kanonikus stringen.
-     *
-     * @throws `DyNTS-SURL-SIGN-NOSEC` — üres secret *(⚠️ NEM ad csendben üres aláírást)*
-     * @throws `DyNTS-SURL-SIGN-BADEXP` — nem-szám / nem-pozitív `expMs`
-     */
-    static sign(filePath: string, expMs: number, secret: string): string;
-    /**
-     * Timing-safe aláírás-ellenőrzés + lejárat. ⚠️ **SOHA nem dob** — a hívó gate-nek egységes,
-     * szivárgás-mentes választ kell tudnia adni.
-     *
-     * `nowMs` injektálható → determinisztikus teszt (nincs `Date.now()` a tesztben).
-     */
-    static verify(params: {
-        filePath: string;
-        expMs: number | undefined;
-        signature: string | undefined;
-        secret: string;
-        nowMs?: number;
-    }): DyNTS_SignedUrl_VerifyResult;
-    /**
-     * Teljes aláírt URL: `` `<base>/<normalizedPath>?exp=<ms>&sig=<hex>` `` — a `base` végi
-     * `/`-ei levágva.
-     *
-     * @throws `DyNTS-SURL-URL-BADBASE` — üres/hibás `baseUrl` *(⚠️ NEM épít félkész URL-t)*
-     * @throws `DyNTS-SURL-SIGN-NOSEC` — üres secret
-     */
-    static buildSignedUrl(params: {
-        baseUrl: string;
-        filePath: string;
-        ttlMs: number;
-        secret: string;
-        nowMs?: number;
-    }): string;
-    /** Üres secret → hangos hiba. ⚠️ A titok SOHA nem kerül a hiba-kontextusba. */
-    private static _assertSecret;
-    /** Nem-szám / nem-pozitív lejárat → hangos hiba (a csendes `NaN`-os aláírás rosszabb). */
-    private static _assertExp;
-}
+import { DyNTS_SignedUrl_VerifyResult } from '../_models/interfaces/signed-url-verify-result.interface';
+/**
+ * ALÁÍRT-URL primitív (HMAC-SHA256) — a böngésző-kiszolgálás (`<img src>`, nincs Bearer)
+ * auth-mechanizmusának generikus magja.
+ *
+ * A forrás-rendszer (ahol megvan a user auth-kontextusa) aláírja a `path + exp` kanonikus
+ * stringet a MEGOSZTOTT titokkal, és egy `…/<path>?exp=<ms>&sig=<hex>` URL-t ad ki; a kiszolgáló
+ * oldal ugyanezzel a titokkal validál. Az **aláírás maga a tamper-proof izoláció**: a path
+ * bármilyen módosítása érvényteleníti.
+ *
+ * ⚠️ **A SZERZŐDÉS BITRE KÖTÖTT — nem tervezési szabadság.** Ez az util a ma ÉLŐ algoritmust
+ * viszi tovább (az `fdp-ftp-service` verify- és a `master-prompter` sign-oldaláról mérve),
+ * hogy a **már kiadott URL-ek** ne romoljanak el:
+ *
+ * | Elem | Érték |
+ * |---|---|
+ * | Algoritmus | `HMAC-SHA256(secret, canonicalString)` → **hex** |
+ * | Kanonikus string | `` `<normalizedPath>\n<expMs>` `` — csak path + lejárat |
+ * | `normalizePath` | vezető `/`-ek le (`/^\/+/`), `\` → `/` |
+ * | Query | `?exp=<ms>&sig=<hex>` |
+ * | Összevetés | `Crypto.timingSafeEqual`, **előtte hossz-guard** |
+ * | Lejárat | `expMs < now` → érvénytelen; **nincs** beépített max-TTL (a hívó dönt) |
+ *
+ * **Miért `dynamo-nts` és nem `fsm-dynamo`:** node-`crypto` kell (`createHmac` +
+ * **`timingSafeEqual`**); izomorf rétegben a timing-safe összevetés elveszne, és a sign/verify
+ * két csomagba vágása pont azt a bitre-egyezést veszélyeztetné, amiért ez az util készül.
+ *
+ * **Két tudatos eltérés a mai duplikátumoktól:**
+ * 1. `sign`/`buildSignedUrl` üres secretre **DOB** — a mai forrás-oldal üres stringet ad vissza,
+ *    ami **csendes hiba**: a hívó észrevétlenül aláírás nélküli URL-t kaphat. A bedrock **hangos**;
+ *    a fallback-döntés a hívóé, de **tudatosan**.
+ * 2. `verify` **SOHA nem dob** — strukturált `{ valid, reason }`-t ad, hogy a gate-ek egységes,
+ *    szivárgás-mentes választ tudjanak adni.
+ */
+export declare class DyNTS_SignedUrl_Util {
+    /**
+     * Path normalizálás az aláíráshoz/validáláshoz: vezető `/`-ek le, `\` → `/`.
+     * A kanonikus string első fele — a két oldalnak **bit-azonosan** kell normalizálnia.
+     */
+    static normalizePath(filePath: string): string;
+    /**
+     * A HMAC bemenete: `` `<normalizedPath>\n<expMs>` ``.
+     * **Publikus**, hogy tesztelhető és auditálható legyen (az arany-vektor erre épül).
+     */
+    static buildCanonicalString(filePath: string, expMs: number): string;
+    /**
+     * HMAC-SHA256 hex digest a kanonikus stringen.
+     *
+     * @throws `DyNTS-SURL-SIGN-NOSEC` — üres secret *(⚠️ NEM ad csendben üres aláírást)*
+     * @throws `DyNTS-SURL-SIGN-BADEXP` — nem-szám / nem-pozitív `expMs`
+     */
+    static sign(filePath: string, expMs: number, secret: string): string;
+    /**
+     * Timing-safe aláírás-ellenőrzés + lejárat. ⚠️ **SOHA nem dob** — a hívó gate-nek egységes,
+     * szivárgás-mentes választ kell tudnia adni.
+     *
+     * `nowMs` injektálható → determinisztikus teszt (nincs `Date.now()` a tesztben).
+     */
+    static verify(params: {
+        filePath: string;
+        expMs: number | undefined;
+        signature: string | undefined;
+        secret: string;
+        nowMs?: number;
+    }): DyNTS_SignedUrl_VerifyResult;
+    /**
+     * Teljes aláírt URL: `` `<base>/<normalizedPath>?exp=<ms>&sig=<hex>` `` — a `base` végi
+     * `/`-ei levágva.
+     *
+     * @throws `DyNTS-SURL-URL-BADBASE` — üres/hibás `baseUrl` *(⚠️ NEM épít félkész URL-t)*
+     * @throws `DyNTS-SURL-SIGN-NOSEC` — üres secret
+     */
+    static buildSignedUrl(params: {
+        baseUrl: string;
+        filePath: string;
+        ttlMs: number;
+        secret: string;
+        nowMs?: number;
+    }): string;
+    /** Üres secret → hangos hiba. ⚠️ A titok SOHA nem kerül a hiba-kontextusba. */
+    private static _assertSecret;
+    /** Nem-szám / nem-pozitív lejárat → hangos hiba (a csendes `NaN`-os aláírás rosszabb). */
+    private static _assertExp;
+}
 //# sourceMappingURL=signed-url.util.d.ts.map

package/build/_collections/signed-url.util.js

@@ -1,146 +1,146 @@
-"use strict";
-Object.defineProperty(exports, "__esModule", { value: true });
-exports.DyNTS_SignedUrl_Util = void 0;
-const tslib_1 = require("tslib");
-const Crypto = tslib_1.__importStar(require("crypto"));
-const fsm_dynamo_1 = require("@futdevpro/fsm-dynamo");
-/**
- * ALÁÍRT-URL primitív (HMAC-SHA256) — a böngésző-kiszolgálás (`<img src>`, nincs Bearer)
- * auth-mechanizmusának generikus magja.
- *
- * A forrás-rendszer (ahol megvan a user auth-kontextusa) aláírja a `path + exp` kanonikus
- * stringet a MEGOSZTOTT titokkal, és egy `…/<path>?exp=<ms>&sig=<hex>` URL-t ad ki; a kiszolgáló
- * oldal ugyanezzel a titokkal validál. Az **aláírás maga a tamper-proof izoláció**: a path
- * bármilyen módosítása érvényteleníti.
- *
- * ⚠️ **A SZERZŐDÉS BITRE KÖTÖTT — nem tervezési szabadság.** Ez az util a ma ÉLŐ algoritmust
- * viszi tovább (az `fdp-ftp-service` verify- és a `master-prompter` sign-oldaláról mérve),
- * hogy a **már kiadott URL-ek** ne romoljanak el:
- *
- * | Elem | Érték |
- * |---|---|
- * | Algoritmus | `HMAC-SHA256(secret, canonicalString)` → **hex** |
- * | Kanonikus string | `` `<normalizedPath>\n<expMs>` `` — csak path + lejárat |
- * | `normalizePath` | vezető `/`-ek le (`/^\/+/`), `\` → `/` |
- * | Query | `?exp=<ms>&sig=<hex>` |
- * | Összevetés | `Crypto.timingSafeEqual`, **előtte hossz-guard** |
- * | Lejárat | `expMs < now` → érvénytelen; **nincs** beépített max-TTL (a hívó dönt) |
- *
- * **Miért `dynamo-nts` és nem `fsm-dynamo`:** node-`crypto` kell (`createHmac` +
- * **`timingSafeEqual`**); izomorf rétegben a timing-safe összevetés elveszne, és a sign/verify
- * két csomagba vágása pont azt a bitre-egyezést veszélyeztetné, amiért ez az util készül.
- *
- * **Két tudatos eltérés a mai duplikátumoktól:**
- * 1. `sign`/`buildSignedUrl` üres secretre **DOB** — a mai forrás-oldal üres stringet ad vissza,
- *    ami **csendes hiba**: a hívó észrevétlenül aláírás nélküli URL-t kaphat. A bedrock **hangos**;
- *    a fallback-döntés a hívóé, de **tudatosan**.
- * 2. `verify` **SOHA nem dob** — strukturált `{ valid, reason }`-t ad, hogy a gate-ek egységes,
- *    szivárgás-mentes választ tudjanak adni.
- */
-class DyNTS_SignedUrl_Util {
-    /**
-     * Path normalizálás az aláíráshoz/validáláshoz: vezető `/`-ek le, `\` → `/`.
-     * A kanonikus string első fele — a két oldalnak **bit-azonosan** kell normalizálnia.
-     */
-    static normalizePath(filePath) {
-        return (filePath ?? '').replace(/^\/+/, '').replace(/\\/g, '/');
-    }
-    /**
-     * A HMAC bemenete: `` `<normalizedPath>\n<expMs>` ``.
-     * **Publikus**, hogy tesztelhető és auditálható legyen (az arany-vektor erre épül).
-     */
-    static buildCanonicalString(filePath, expMs) {
-        return `${DyNTS_SignedUrl_Util.normalizePath(filePath)}\n${expMs}`;
-    }
-    /**
-     * HMAC-SHA256 hex digest a kanonikus stringen.
-     *
-     * @throws `DyNTS-SURL-SIGN-NOSEC` — üres secret *(⚠️ NEM ad csendben üres aláírást)*
-     * @throws `DyNTS-SURL-SIGN-BADEXP` — nem-szám / nem-pozitív `expMs`
-     */
-    static sign(filePath, expMs, secret) {
-        DyNTS_SignedUrl_Util._assertSecret(secret, filePath);
-        DyNTS_SignedUrl_Util._assertExp(expMs, filePath);
-        return Crypto
-            .createHmac('sha256', secret)
-            .update(DyNTS_SignedUrl_Util.buildCanonicalString(filePath, expMs), 'utf8')
-            .digest('hex');
-    }
-    /**
-     * Timing-safe aláírás-ellenőrzés + lejárat. ⚠️ **SOHA nem dob** — a hívó gate-nek egységes,
-     * szivárgás-mentes választ kell tudnia adni.
-     *
-     * `nowMs` injektálható → determinisztikus teszt (nincs `Date.now()` a tesztben).
-     */
-    static verify(params) {
-        if (!params.secret) {
-            return { valid: false, reason: 'missing-secret' };
-        }
-        if (!params.signature || typeof params.expMs !== 'number' || !Number.isFinite(params.expMs)) {
-            return { valid: false, reason: 'missing-params' };
-        }
-        const now = typeof params.nowMs === 'number' ? params.nowMs : Date.now();
-        if (params.expMs < now) {
-            return { valid: false, reason: 'expired' };
-        }
-        const expected = DyNTS_SignedUrl_Util.sign(params.filePath, params.expMs, params.secret);
-        // ⚠️ A `timingSafeEqual` ELTÉRŐ HOSSZÚ bufferre DOB — ezért kell a hossz-guard.
-        // A hossz nem titok: a hex digest hossza fix.
-        const signatureBuffer = Buffer.from(params.signature, 'utf8');
-        const expectedBuffer = Buffer.from(expected, 'utf8');
-        if (signatureBuffer.length !== expectedBuffer.length) {
-            return { valid: false, reason: 'signature-mismatch' };
-        }
-        if (!Crypto.timingSafeEqual(signatureBuffer, expectedBuffer)) {
-            return { valid: false, reason: 'signature-mismatch' };
-        }
-        return { valid: true };
-    }
-    /**
-     * Teljes aláírt URL: `` `<base>/<normalizedPath>?exp=<ms>&sig=<hex>` `` — a `base` végi
-     * `/`-ei levágva.
-     *
-     * @throws `DyNTS-SURL-URL-BADBASE` — üres/hibás `baseUrl` *(⚠️ NEM épít félkész URL-t)*
-     * @throws `DyNTS-SURL-SIGN-NOSEC` — üres secret
-     */
-    static buildSignedUrl(params) {
-        const base = (params.baseUrl ?? '').trim().replace(/\/+$/, '');
-        if (!base) {
-            throw new fsm_dynamo_1.DyFM_Error({
-                status: 500,
-                errorCode: 'DyNTS-SURL-URL-BADBASE',
-                message: 'Signed URL: "baseUrl" is empty or invalid — refusing to build a half-formed URL.',
-                additionalContent: { filePath: params.filePath },
-            });
-        }
-        const now = typeof params.nowMs === 'number' ? params.nowMs : Date.now();
-        const expMs = now + params.ttlMs;
-        const normalizedPath = DyNTS_SignedUrl_Util.normalizePath(params.filePath);
-        const signature = DyNTS_SignedUrl_Util.sign(normalizedPath, expMs, params.secret);
-        return `${base}/${normalizedPath}?exp=${expMs}&sig=${signature}`;
-    }
-    /** Üres secret → hangos hiba. ⚠️ A titok SOHA nem kerül a hiba-kontextusba. */
-    static _assertSecret(secret, filePath) {
-        if (!secret) {
-            throw new fsm_dynamo_1.DyFM_Error({
-                status: 500,
-                errorCode: 'DyNTS-SURL-SIGN-NOSEC',
-                message: 'Signed URL: signing secret is not configured — refusing to sign silently.',
-                additionalContent: { filePath: DyNTS_SignedUrl_Util.normalizePath(filePath) },
-            });
-        }
-    }
-    /** Nem-szám / nem-pozitív lejárat → hangos hiba (a csendes `NaN`-os aláírás rosszabb). */
-    static _assertExp(expMs, filePath) {
-        if (typeof expMs !== 'number' || !Number.isFinite(expMs) || expMs <= 0) {
-            throw new fsm_dynamo_1.DyFM_Error({
-                status: 500,
-                errorCode: 'DyNTS-SURL-SIGN-BADEXP',
-                message: 'Signed URL: "expMs" must be a finite positive number (epoch millis).',
-                additionalContent: { filePath: DyNTS_SignedUrl_Util.normalizePath(filePath), expMs: `${expMs}` },
-            });
-        }
-    }
-}
-exports.DyNTS_SignedUrl_Util = DyNTS_SignedUrl_Util;
+"use strict";
+Object.defineProperty(exports, "__esModule", { value: true });
+exports.DyNTS_SignedUrl_Util = void 0;
+const tslib_1 = require("tslib");
+const Crypto = tslib_1.__importStar(require("crypto"));
+const fsm_dynamo_1 = require("@futdevpro/fsm-dynamo");
+/**
+ * ALÁÍRT-URL primitív (HMAC-SHA256) — a böngésző-kiszolgálás (`<img src>`, nincs Bearer)
+ * auth-mechanizmusának generikus magja.
+ *
+ * A forrás-rendszer (ahol megvan a user auth-kontextusa) aláírja a `path + exp` kanonikus
+ * stringet a MEGOSZTOTT titokkal, és egy `…/<path>?exp=<ms>&sig=<hex>` URL-t ad ki; a kiszolgáló
+ * oldal ugyanezzel a titokkal validál. Az **aláírás maga a tamper-proof izoláció**: a path
+ * bármilyen módosítása érvényteleníti.
+ *
+ * ⚠️ **A SZERZŐDÉS BITRE KÖTÖTT — nem tervezési szabadság.** Ez az util a ma ÉLŐ algoritmust
+ * viszi tovább (az `fdp-ftp-service` verify- és a `master-prompter` sign-oldaláról mérve),
+ * hogy a **már kiadott URL-ek** ne romoljanak el:
+ *
+ * | Elem | Érték |
+ * |---|---|
+ * | Algoritmus | `HMAC-SHA256(secret, canonicalString)` → **hex** |
+ * | Kanonikus string | `` `<normalizedPath>\n<expMs>` `` — csak path + lejárat |
+ * | `normalizePath` | vezető `/`-ek le (`/^\/+/`), `\` → `/` |
+ * | Query | `?exp=<ms>&sig=<hex>` |
+ * | Összevetés | `Crypto.timingSafeEqual`, **előtte hossz-guard** |
+ * | Lejárat | `expMs < now` → érvénytelen; **nincs** beépített max-TTL (a hívó dönt) |
+ *
+ * **Miért `dynamo-nts` és nem `fsm-dynamo`:** node-`crypto` kell (`createHmac` +
+ * **`timingSafeEqual`**); izomorf rétegben a timing-safe összevetés elveszne, és a sign/verify
+ * két csomagba vágása pont azt a bitre-egyezést veszélyeztetné, amiért ez az util készül.
+ *
+ * **Két tudatos eltérés a mai duplikátumoktól:**
+ * 1. `sign`/`buildSignedUrl` üres secretre **DOB** — a mai forrás-oldal üres stringet ad vissza,
+ *    ami **csendes hiba**: a hívó észrevétlenül aláírás nélküli URL-t kaphat. A bedrock **hangos**;
+ *    a fallback-döntés a hívóé, de **tudatosan**.
+ * 2. `verify` **SOHA nem dob** — strukturált `{ valid, reason }`-t ad, hogy a gate-ek egységes,
+ *    szivárgás-mentes választ tudjanak adni.
+ */
+class DyNTS_SignedUrl_Util {
+    /**
+     * Path normalizálás az aláíráshoz/validáláshoz: vezető `/`-ek le, `\` → `/`.
+     * A kanonikus string első fele — a két oldalnak **bit-azonosan** kell normalizálnia.
+     */
+    static normalizePath(filePath) {
+        return (filePath ?? '').replace(/^\/+/, '').replace(/\\/g, '/');
+    }
+    /**
+     * A HMAC bemenete: `` `<normalizedPath>\n<expMs>` ``.
+     * **Publikus**, hogy tesztelhető és auditálható legyen (az arany-vektor erre épül).
+     */
+    static buildCanonicalString(filePath, expMs) {
+        return `${DyNTS_SignedUrl_Util.normalizePath(filePath)}\n${expMs}`;
+    }
+    /**
+     * HMAC-SHA256 hex digest a kanonikus stringen.
+     *
+     * @throws `DyNTS-SURL-SIGN-NOSEC` — üres secret *(⚠️ NEM ad csendben üres aláírást)*
+     * @throws `DyNTS-SURL-SIGN-BADEXP` — nem-szám / nem-pozitív `expMs`
+     */
+    static sign(filePath, expMs, secret) {
+        DyNTS_SignedUrl_Util._assertSecret(secret, filePath);
+        DyNTS_SignedUrl_Util._assertExp(expMs, filePath);
+        return Crypto
+            .createHmac('sha256', secret)
+            .update(DyNTS_SignedUrl_Util.buildCanonicalString(filePath, expMs), 'utf8')
+            .digest('hex');
+    }
+    /**
+     * Timing-safe aláírás-ellenőrzés + lejárat. ⚠️ **SOHA nem dob** — a hívó gate-nek egységes,
+     * szivárgás-mentes választ kell tudnia adni.
+     *
+     * `nowMs` injektálható → determinisztikus teszt (nincs `Date.now()` a tesztben).
+     */
+    static verify(params) {
+        if (!params.secret) {
+            return { valid: false, reason: 'missing-secret' };
+        }
+        if (!params.signature || typeof params.expMs !== 'number' || !Number.isFinite(params.expMs)) {
+            return { valid: false, reason: 'missing-params' };
+        }
+        const now = typeof params.nowMs === 'number' ? params.nowMs : Date.now();
+        if (params.expMs < now) {
+            return { valid: false, reason: 'expired' };
+        }
+        const expected = DyNTS_SignedUrl_Util.sign(params.filePath, params.expMs, params.secret);
+        // ⚠️ A `timingSafeEqual` ELTÉRŐ HOSSZÚ bufferre DOB — ezért kell a hossz-guard.
+        // A hossz nem titok: a hex digest hossza fix.
+        const signatureBuffer = Buffer.from(params.signature, 'utf8');
+        const expectedBuffer = Buffer.from(expected, 'utf8');
+        if (signatureBuffer.length !== expectedBuffer.length) {
+            return { valid: false, reason: 'signature-mismatch' };
+        }
+        if (!Crypto.timingSafeEqual(signatureBuffer, expectedBuffer)) {
+            return { valid: false, reason: 'signature-mismatch' };
+        }
+        return { valid: true };
+    }
+    /**
+     * Teljes aláírt URL: `` `<base>/<normalizedPath>?exp=<ms>&sig=<hex>` `` — a `base` végi
+     * `/`-ei levágva.
+     *
+     * @throws `DyNTS-SURL-URL-BADBASE` — üres/hibás `baseUrl` *(⚠️ NEM épít félkész URL-t)*
+     * @throws `DyNTS-SURL-SIGN-NOSEC` — üres secret
+     */
+    static buildSignedUrl(params) {
+        const base = (params.baseUrl ?? '').trim().replace(/\/+$/, '');
+        if (!base) {
+            throw new fsm_dynamo_1.DyFM_Error({
+                status: 500,
+                errorCode: 'DyNTS-SURL-URL-BADBASE',
+                message: 'Signed URL: "baseUrl" is empty or invalid — refusing to build a half-formed URL.',
+                additionalContent: { filePath: params.filePath },
+            });
+        }
+        const now = typeof params.nowMs === 'number' ? params.nowMs : Date.now();
+        const expMs = now + params.ttlMs;
+        const normalizedPath = DyNTS_SignedUrl_Util.normalizePath(params.filePath);
+        const signature = DyNTS_SignedUrl_Util.sign(normalizedPath, expMs, params.secret);
+        return `${base}/${normalizedPath}?exp=${expMs}&sig=${signature}`;
+    }
+    /** Üres secret → hangos hiba. ⚠️ A titok SOHA nem kerül a hiba-kontextusba. */
+    static _assertSecret(secret, filePath) {
+        if (!secret) {
+            throw new fsm_dynamo_1.DyFM_Error({
+                status: 500,
+                errorCode: 'DyNTS-SURL-SIGN-NOSEC',
+                message: 'Signed URL: signing secret is not configured — refusing to sign silently.',
+                additionalContent: { filePath: DyNTS_SignedUrl_Util.normalizePath(filePath) },
+            });
+        }
+    }
+    /** Nem-szám / nem-pozitív lejárat → hangos hiba (a csendes `NaN`-os aláírás rosszabb). */
+    static _assertExp(expMs, filePath) {
+        if (typeof expMs !== 'number' || !Number.isFinite(expMs) || expMs <= 0) {
+            throw new fsm_dynamo_1.DyFM_Error({
+                status: 500,
+                errorCode: 'DyNTS-SURL-SIGN-BADEXP',
+                message: 'Signed URL: "expMs" must be a finite positive number (epoch millis).',
+                additionalContent: { filePath: DyNTS_SignedUrl_Util.normalizePath(filePath), expMs: `${expMs}` },
+            });
+        }
+    }
+}
+exports.DyNTS_SignedUrl_Util = DyNTS_SignedUrl_Util;
 //# sourceMappingURL=signed-url.util.js.map

package/build/_collections/star.controller.d.ts

@@ -1,8 +1,8 @@
-import { DyNTS_Controller } from '../_services/route/controller.service';
-import { DyNTS_RoutingModule } from '../_services/route/routing-module.service';
-export declare function DyNTS_getStarRoute(): DyNTS_RoutingModule;
-export declare class DyNTS_Star_Controller extends DyNTS_Controller {
-    static getInstance(): DyNTS_Star_Controller;
-    setupEndpoints(): void;
-}
+import { DyNTS_Controller } from '../_services/route/controller.service';
+import { DyNTS_RoutingModule } from '../_services/route/routing-module.service';
+export declare function DyNTS_getStarRoute(): DyNTS_RoutingModule;
+export declare class DyNTS_Star_Controller extends DyNTS_Controller {
+    static getInstance(): DyNTS_Star_Controller;
+    setupEndpoints(): void;
+}
 //# sourceMappingURL=star.controller.d.ts.map