@gerege-systems/eid-mongolia-sdk 0.12.1 → 0.13.0

package/README.md

@@ -40,7 +40,24 @@ native апп дангаараа token endpoint-ийг дуудаж чадахг
 **Бүртгэл.** `client_id` = таны RP UUID (`relyingPartyUUID`), `client_secret` = RP API secret (`rp_sk_…`).
 RP-д `AUTH` эрх, OIDC асаалттай, `redirect_uri` (https, ≤ 10) бүртгэлтэй байна — authorize/token-ий `redirect_uri`
 бүртгэлтэйтэй **тэмдэгт бүрээрээ** таарах ёстой. Иргэний ETSI дугаар (`pnomn` claim) хэрэгтэй бол `PNOMN` эрх
-хүсэж, `scope: "openid pnomn"`. Token endpoint-д RP-ийн IP allowlist мөрдөгдөнө; `requireMtls` RP OIDC ашиглахгүй.
+хүсэж, `scope: "openid pnomn"`. Token endpoint-д RP-ийн IP allowlist мөрдөгдөнө.
+
+**mTLS-тэй RP (`require_mtls`).** `login.` хост mTLS хийдэггүй тул ийм RP-ийн code солих хүсэлт
+`login.eidmongolia.mn/oauth2/token` дээр `401 invalid_client` авна. Discovery-ийн `mtls_endpoint_aliases.token_endpoint`
+(RFC 8705 §5, `https://rp.eidmongolia.mn/oauth2/token`) руу RP-API-д хэрэглэдэг **ижил client cert**-ээр явуулна:
+`useMtlsEndpointAliases: true` + `dispatcher` (RP-API client-ийнхтэй ижил undici `Agent`). Discovery-д alias байхгүй
+бол `token_endpoint` руу буцна; alias https биш бол `discovery_failed`. mTLS-гүй RP флаг тавихгүй.
+
+```ts
+import { Agent } from "undici";
+const oidc = new EidOidcClient({
+  clientId: process.env.EID_RP_UUID!,
+  clientSecret: process.env.EID_SECRET!,
+  redirectUri: "https://bank.example.mn/auth/eid/callback",
+  dispatcher: new Agent({ connect: { cert: clientCertPem, key: clientKeyPem } }), // RP-API-ийн cert
+  useMtlsEndpointAliases: true, // token → https://rp.eidmongolia.mn/oauth2/token
+});
+```
 
 ```ts
 import { EidOidcClient, EidOidcError } from "@gerege-systems/eid-mongolia-sdk";

package/dist/index.cjs

@@ -2034,7 +2034,7 @@ var EidOidcClient = class {
   async exchangeCode(code, codeVerifier) {
     const d = await this.discover();
     const basic = Buffer.from(formEncode(this.cfg.clientId) + ":" + formEncode(this.cfg.clientSecret)).toString("base64");
-    const res = await this.fetch(d.token_endpoint, {
+    const res = await this.fetch(this.tokenEndpoint(d), {
       method: "POST",
       headers: {
         Authorization: "Basic " + basic,
@@ -2066,6 +2066,16 @@ var EidOidcClient = class {
     }
     return j.id_token;
   }
+  /** Code солих endpoint: `useMtlsEndpointAliases` + alias байвал alias (RFC 8705 §5), эс бөгөөс `token_endpoint`. */
+  tokenEndpoint(d) {
+    if (!this.cfg.useMtlsEndpointAliases) return d.token_endpoint;
+    const alias = d.mtls_endpoint_aliases?.token_endpoint;
+    if (alias === void 0) return d.token_endpoint;
+    if (typeof alias !== "string" || !alias.startsWith("https://")) {
+      throw new EidOidcError("discovery_failed", "OIDC discovery: mtls_endpoint_aliases.token_endpoint \u0431\u0443\u0440\u0443\u0443");
+    }
+    return alias;
+  }
   /**
    * id_token шалгана: JWKS (`kid`, cache; танихгүй kid → нэг удаа дахин татна) ES256 гарын үсэг, `iss`, `aud`
    * (= clientId; олон aud бол `azp`), `exp`/`iat` (±60 сек), `nonce`. Амжилтгүй бол `invalid_id_token`.
@@ -2142,12 +2152,14 @@ var EidOidcClient = class {
   }
   async fetch(url, init) {
     const f = this.cfg.fetchImpl ?? fetch;
+    const req = {
+      ...init,
+      redirect: "error",
+      signal: AbortSignal.timeout(this.cfg.timeoutMs ?? DEFAULT_TIMEOUT_MS2)
+    };
+    if (this.cfg.dispatcher) req.dispatcher = this.cfg.dispatcher;
     try {
-      return await f(url, {
-        ...init,
-        redirect: "error",
-        signal: AbortSignal.timeout(this.cfg.timeoutMs ?? DEFAULT_TIMEOUT_MS2)
-      });
+      return await f(url, req);
     } catch (e) {
       const err = e;
       if (err.name === "TimeoutError" || err.name === "AbortError") {

package/dist/index.d.cts

@@ -965,6 +965,17 @@ interface EidOidcClientConfig {
     scope?: string;
     /** HTTP timeout (мс), анхдагч 10000. */
     timeoutMs?: number;
+    /**
+     * undici Dispatcher (mTLS client cert) — RP-API client-ийн `dispatcher`-тэй ижил:
+     * `new Agent({ connect: { cert, key } })`. Дамжуулсан бол OIDC-ийн бүх fetch-д хэрэглэнэ. Зөвхөн Node орчинд.
+     */
+    dispatcher?: unknown;
+    /**
+     * RFC 8705 §5: `true` бол code солих хүсэлт discovery-ийн `mtls_endpoint_aliases.token_endpoint` руу явна
+     * (`require_mtls`-тэй RP — `dispatcher`-т RP-ийн client cert заавал). Discovery-д alias байхгүй бол
+     * `token_endpoint` руу буцна; alias https биш бол `discovery_failed`. Анхдагч `false`.
+     */
+    useMtlsEndpointAliases?: boolean;
     /** fetch орлуулагч (тест). */
     fetchImpl?: typeof fetch;
 }
@@ -973,6 +984,8 @@ interface EidOidcDiscovery {
     authorization_endpoint: string;
     token_endpoint: string;
     jwks_uri: string;
+    /** RFC 8705 §5 — mTLS-тэй client-ийн endpoint-ууд (ж: `token_endpoint` → `https://rp.eidmongolia.mn/oauth2/token`). */
+    mtls_endpoint_aliases?: Record<string, string>;
     [k: string]: unknown;
 }
 interface CreateAuthorizationOptions {
@@ -1050,6 +1063,8 @@ declare class EidOidcClient {
     handleCallback(input: string | URL | URLSearchParams, checks: EidCallbackChecks): Promise<EidCallbackResult>;
     /** `POST token_endpoint` (client_secret_basic, RFC 6749 §2.3.1) → id_token. */
     private exchangeCode;
+    /** Code солих endpoint: `useMtlsEndpointAliases` + alias байвал alias (RFC 8705 §5), эс бөгөөс `token_endpoint`. */
+    private tokenEndpoint;
     /**
      * id_token шалгана: JWKS (`kid`, cache; танихгүй kid → нэг удаа дахин татна) ES256 гарын үсэг, `iss`, `aud`
      * (= clientId; олон aud бол `azp`), `exp`/`iat` (±60 сек), `nonce`. Амжилтгүй бол `invalid_id_token`.

package/dist/index.d.ts

@@ -965,6 +965,17 @@ interface EidOidcClientConfig {
     scope?: string;
     /** HTTP timeout (мс), анхдагч 10000. */
     timeoutMs?: number;
+    /**
+     * undici Dispatcher (mTLS client cert) — RP-API client-ийн `dispatcher`-тэй ижил:
+     * `new Agent({ connect: { cert, key } })`. Дамжуулсан бол OIDC-ийн бүх fetch-д хэрэглэнэ. Зөвхөн Node орчинд.
+     */
+    dispatcher?: unknown;
+    /**
+     * RFC 8705 §5: `true` бол code солих хүсэлт discovery-ийн `mtls_endpoint_aliases.token_endpoint` руу явна
+     * (`require_mtls`-тэй RP — `dispatcher`-т RP-ийн client cert заавал). Discovery-д alias байхгүй бол
+     * `token_endpoint` руу буцна; alias https биш бол `discovery_failed`. Анхдагч `false`.
+     */
+    useMtlsEndpointAliases?: boolean;
     /** fetch орлуулагч (тест). */
     fetchImpl?: typeof fetch;
 }
@@ -973,6 +984,8 @@ interface EidOidcDiscovery {
     authorization_endpoint: string;
     token_endpoint: string;
     jwks_uri: string;
+    /** RFC 8705 §5 — mTLS-тэй client-ийн endpoint-ууд (ж: `token_endpoint` → `https://rp.eidmongolia.mn/oauth2/token`). */
+    mtls_endpoint_aliases?: Record<string, string>;
     [k: string]: unknown;
 }
 interface CreateAuthorizationOptions {
@@ -1050,6 +1063,8 @@ declare class EidOidcClient {
     handleCallback(input: string | URL | URLSearchParams, checks: EidCallbackChecks): Promise<EidCallbackResult>;
     /** `POST token_endpoint` (client_secret_basic, RFC 6749 §2.3.1) → id_token. */
     private exchangeCode;
+    /** Code солих endpoint: `useMtlsEndpointAliases` + alias байвал alias (RFC 8705 §5), эс бөгөөс `token_endpoint`. */
+    private tokenEndpoint;
     /**
      * id_token шалгана: JWKS (`kid`, cache; танихгүй kid → нэг удаа дахин татна) ES256 гарын үсэг, `iss`, `aud`
      * (= clientId; олон aud бол `azp`), `exp`/`iat` (±60 сек), `nonce`. Амжилтгүй бол `invalid_id_token`.

package/dist/index.js

@@ -1809,7 +1809,7 @@ var EidOidcClient = class {
   async exchangeCode(code, codeVerifier) {
     const d = await this.discover();
     const basic = Buffer.from(formEncode(this.cfg.clientId) + ":" + formEncode(this.cfg.clientSecret)).toString("base64");
-    const res = await this.fetch(d.token_endpoint, {
+    const res = await this.fetch(this.tokenEndpoint(d), {
       method: "POST",
       headers: {
         Authorization: "Basic " + basic,
@@ -1841,6 +1841,16 @@ var EidOidcClient = class {
     }
     return j.id_token;
   }
+  /** Code солих endpoint: `useMtlsEndpointAliases` + alias байвал alias (RFC 8705 §5), эс бөгөөс `token_endpoint`. */
+  tokenEndpoint(d) {
+    if (!this.cfg.useMtlsEndpointAliases) return d.token_endpoint;
+    const alias = d.mtls_endpoint_aliases?.token_endpoint;
+    if (alias === void 0) return d.token_endpoint;
+    if (typeof alias !== "string" || !alias.startsWith("https://")) {
+      throw new EidOidcError("discovery_failed", "OIDC discovery: mtls_endpoint_aliases.token_endpoint \u0431\u0443\u0440\u0443\u0443");
+    }
+    return alias;
+  }
   /**
    * id_token шалгана: JWKS (`kid`, cache; танихгүй kid → нэг удаа дахин татна) ES256 гарын үсэг, `iss`, `aud`
    * (= clientId; олон aud бол `azp`), `exp`/`iat` (±60 сек), `nonce`. Амжилтгүй бол `invalid_id_token`.
@@ -1917,12 +1927,14 @@ var EidOidcClient = class {
   }
   async fetch(url, init) {
     const f = this.cfg.fetchImpl ?? fetch;
+    const req = {
+      ...init,
+      redirect: "error",
+      signal: AbortSignal.timeout(this.cfg.timeoutMs ?? DEFAULT_TIMEOUT_MS2)
+    };
+    if (this.cfg.dispatcher) req.dispatcher = this.cfg.dispatcher;
     try {
-      return await f(url, {
-        ...init,
-        redirect: "error",
-        signal: AbortSignal.timeout(this.cfg.timeoutMs ?? DEFAULT_TIMEOUT_MS2)
-      });
+      return await f(url, req);
     } catch (e) {
       const err = e;
       if (err.name === "TimeoutError" || err.name === "AbortError") {

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@gerege-systems/eid-mongolia-sdk",
-  "version": "0.12.1",
+  "version": "0.13.0",
   "description": "e-ID Mongolia Relying Party SDK — иргэнээр утсаар нь нэвтрэлт ба хууль ёсны цахим гарын үсэг (RP-API v3, Smart-ID нийцтэй).",
   "license": "MIT",
   "type": "module",