@gerege-systems/eid-mongolia-sdk 0.13.0 → 0.14.0

package/dist/index.d.cts

@@ -1,5 +1,5 @@
-import { R as RpCredentials, C as CertificateLevel, I as Interaction, S as SignatureAlgorithm, H as HashAlgorithm, N as NotificationSession, D as DeviceLinkSession, a as SessionResult, P as PersonBlock, b as PdfSessionBlock, c as RepresentationsResponse, A as AcspContext, F as FlowType, E as EidError } from './browser-C6JHm0lR.cjs';
-export { d as ApiError, e as AuthenticationError, f as DeviceLinkError, g as DeviceLinkInput, h as EndResult, i as ForbiddenError, j as HttpErrorInit, k as NavigatorLike, l as NetworkError, O as ON_BEHALF_ERROR_CODES, m as OnBehalfErrorCode, n as OpenOrShowQROptions, o as OrgResult, p as PdfDocumentStatus, q as PdfSigner, r as RETRYABLE_ERROR_CODES, s as Representation, t as ResponseTooLargeError, u as RetryableErrorCode, v as SessionFailedError, w as SessionState, x as SignatureAlgorithmParameters, y as SignatureProtocol, T as TokenCertSessionBlock, z as TokenCertStatus, V as ValidationError, B as deviceLink, G as isMobileUserAgent, J as openOrShowQR, K as parseRetryAfter } from './browser-C6JHm0lR.cjs';
+import { R as RpCredentials, C as CertificateLevel, I as Interaction, S as SignatureAlgorithm, H as HashAlgorithm, N as NotificationSession, D as DeviceLinkSession, a as SessionResult, P as PersonBlock, b as PdfSessionBlock, c as RepresentationsResponse, A as AcspContext, F as FlowType } from './browser-C6JHm0lR.cjs';
+export { d as ApiError, e as AuthenticationError, f as DeviceLinkError, g as DeviceLinkInput, E as EidError, h as EndResult, i as ForbiddenError, j as HttpErrorInit, k as NavigatorLike, l as NetworkError, O as ON_BEHALF_ERROR_CODES, m as OnBehalfErrorCode, n as OpenOrShowQROptions, o as OrgResult, p as PdfDocumentStatus, q as PdfSigner, r as RETRYABLE_ERROR_CODES, s as Representation, t as ResponseTooLargeError, u as RetryableErrorCode, v as SessionFailedError, w as SessionState, x as SignatureAlgorithmParameters, y as SignatureProtocol, T as TokenCertSessionBlock, z as TokenCertStatus, V as ValidationError, B as deviceLink, G as isMobileUserAgent, J as openOrShowQR, K as parseRetryAfter } from './browser-C6JHm0lR.cjs';
 import { X509Certificate, KeyObject } from 'node:crypto';
 
 interface HttpConfig {
@@ -829,6 +829,8 @@ declare class EidClient {
     readonly token: TokenApi;
     readonly session: SessionApi;
     readonly validator: ResponseValidator;
+    /** `credentials.rpName` — иргэний утсанд харагдах RP нэр. */
+    readonly rpName: string;
     constructor(cfg: ClientConfig);
 }
 
@@ -927,156 +929,134 @@ interface QrDeviceLinkTickerOptions {
  */
 declare function qrDeviceLinkTicker(input: Omit<BuildDeviceLinkInput, "deviceLinkType" | "now">, onLink: (link: string) => void, opts?: QrDeviceLinkTickerOptions): () => void;
 
-/** eID-ийн OIDC issuer (төгсгөлд `/` байхгүй). */
-declare const EID_OIDC_ISSUER = "https://login.eidmongolia.mn";
-/** `acr` утгууд — иргэний гэрчилгээний бодит түвшин. */
-declare const EID_ACR_QUALIFIED = "urn:eidmongolia:loa:qualified";
-declare const EID_ACR_ADVANCED = "urn:eidmongolia:loa:advanced";
-/**
- * OIDC алдааны код. Authorize redirect (RFC 6749 §4.1.2.1) ба token endpoint (§5.2)-ийн стандарт кодууд, мөн
- * SDK-ийн өөрийн шалгалтын кодууд:
- * - `state_mismatch` — callback-ийн `state` хадгалсантай таарсангүй (CSRF / өөр tab / cookie дууссан) → дахин эхлүүл;
- * - `invalid_callback` — `code` алга / хэт урт, эсвэл `iss` параметр өөр;
- * - `invalid_id_token` — id_token-ий гарын үсэг / iss / aud / exp / iat / nonce шалгалт унасан (ИТГЭХГҮЙ);
- * - `discovery_failed` — discovery/JWKS буруу эсвэл issuer таарахгүй.
- *
- * `access_denied` = иргэн татгалзсан, нэвтрэлтийн хугацаа дууссан, эсвэл гэрчилгээний шалгалт унасан → «дахин оролд».
- */
-type EidOidcErrorCode = "access_denied" | "login_required" | "invalid_request" | "invalid_scope" | "unauthorized_client" | "unsupported_response_type" | "request_not_supported" | "temporarily_unavailable" | "server_error" | "invalid_client" | "invalid_grant" | "unsupported_grant_type" | "state_mismatch" | "invalid_callback" | "invalid_id_token" | "discovery_failed";
-/**
- * OIDC урсгалын алдаа. `code`-оор салгана. `description` нь серверийн `error_description` — логт л,
- * хэрэглэгчид шууд харуулахгүй.
- */
-declare class EidOidcError extends EidError {
-    readonly code: EidOidcErrorCode;
-    readonly description?: string | undefined;
-    constructor(code: EidOidcErrorCode, message: string, description?: string | undefined);
-}
-interface EidOidcClientConfig {
-    /** RP UUID (`relyingPartyUUID`). */
-    clientId: string;
-    /** RP API secret (`rp_sk_…`) — зөвхөн backend-д. */
-    clientSecret: string;
-    /** Бүртгэлтэй redirect URI — тэмдэгт бүрээрээ таарах ёстой. */
-    redirectUri: string;
-    /** Анхдагч {@link EID_OIDC_ISSUER}. */
-    issuer?: string;
-    /** Анхдагч `"openid"`. Иргэний ETSI дугаар хэрэгтэй бол `"openid pnomn"` (RP-д `PNOMN` эрх). */
-    scope?: string;
-    /** HTTP timeout (мс), анхдагч 10000. */
-    timeoutMs?: number;
-    /**
-     * undici Dispatcher (mTLS client cert) — RP-API client-ийн `dispatcher`-тэй ижил:
-     * `new Agent({ connect: { cert, key } })`. Дамжуулсан бол OIDC-ийн бүх fetch-д хэрэглэнэ. Зөвхөн Node орчинд.
-     */
-    dispatcher?: unknown;
-    /**
-     * RFC 8705 §5: `true` бол code солих хүсэлт discovery-ийн `mtls_endpoint_aliases.token_endpoint` руу явна
-     * (`require_mtls`-тэй RP — `dispatcher`-т RP-ийн client cert заавал). Discovery-д alias байхгүй бол
-     * `token_endpoint` руу буцна; alias https биш бол `discovery_failed`. Анхдагч `false`.
-     */
-    useMtlsEndpointAliases?: boolean;
-    /** fetch орлуулагч (тест). */
-    fetchImpl?: typeof fetch;
-}
-interface EidOidcDiscovery {
-    issuer: string;
-    authorization_endpoint: string;
-    token_endpoint: string;
-    jwks_uri: string;
-    /** RFC 8705 §5 — mTLS-тэй client-ийн endpoint-ууд (ж: `token_endpoint` → `https://rp.eidmongolia.mn/oauth2/token`). */
-    mtls_endpoint_aliases?: Record<string, string>;
-    [k: string]: unknown;
-}
-interface CreateAuthorizationOptions {
-    /** Энэ хүсэлтэд scope-ыг дарна. */
-    scope?: string;
-    /**
-     * `touch` (анхдагч) — утасны хөтчөөс шууд eID апп; `page` — үргэлж нэвтрэх хуудас (QR / push), ж: таблет киоск.
-     */
-    display?: "page" | "touch";
+/** Нэвтрэлтийн горим: desktop QR, регистрээр push, утасны хөтчөөс Web2App. */
+type EidLoginMode = "qr" | "push" | "web2app";
+/** Баталгаажсан иргэн — onSuccess-д. */
+interface EidLoginIdentity {
+    /** Гэрчилгээний SERIALNUMBER (`PNOMN-<иргэний дугаар>`). Хэрэглэгчийг ҮҮГЭЭР таньна (нэрээр биш). */
+    etsi: string;
+    /** `PNOMN-`-гүй иргэний дугаар (цифр); ETSI өөр хэлбэртэй бол null. */
+    civilId: string | null;
+    /** Гэрчилгээний нэр (латин): GIVENNAME / SURNAME, харуулах нэр. */
+    givenName: string | null;
+    surname: string | null;
+    name: string | null;
+    country: string | null;
+    documentNumber: string;
+    certificateLevel: string;
+    /** Иргэний гэрчилгээ (DER, base64). */
+    certificateDerB64: string;
+    /** Гарын үсэг зурагдсан урсгал: QR | Notification | Web2App. */
+    flowType: FlowType;
+    /** Session-ийн `person` блок (кирилл нэр г.м.) — гэрчилгээтэй таарсан үед л, эс бөгөөс null. */
+    person: PersonBlock | null;
 }
-/** RP-ийн хадгалах ёстой гүйлгээ — httpOnly cookie / server session-д (браузерийн JS-д биш). */
-interface EidAuthorization {
-    /** Хөтчийг энэ рүү 302. */
-    url: string;
-    state: string;
-    nonce: string;
-    codeVerifier: string;
+/** Серверт хадгалах нэвтрэлтийн төлөв (JSON-д хувирна). */
+interface EidLoginTx {
+    sessionId: string;
+    /** Cookie-ийн binding-ийн SHA-256 (hex) — түүхий утга хөтчид л. */
+    bindingHash: string;
+    mode: EidLoginMode;
+    expiresAt: number;
+    vc: string | null;
+    acsp: AcspContext;
+    /** QR/Web2App: холбоос угсрах материал. sessionSecret — ЗӨВХӨН серверт. */
+    link?: {
+        base: string;
+        token: string;
+        secret: string;
+        receivedAt: number;
+        lang: string;
+    };
 }
-/** createAuthorization-аас хадгалсан утгууд. */
-interface EidCallbackChecks {
-    state: string;
-    nonce: string;
-    codeVerifier: string;
+/** Төлөвийн сан. Анхдагч — процессын санах ой ({@link memoryLoginStore}); олон instance бол Redis г.м. */
+interface EidLoginStore {
+    get(sessionId: string): Promise<EidLoginTx | undefined> | EidLoginTx | undefined;
+    set(sessionId: string, tx: EidLoginTx, ttlMs: number): Promise<void> | void;
+    /** Устгана; байсан бол true. Амжилтыг нэг л удаа гаргахад ашиглана (атомар байх ёстой — Redis `DEL`). */
+    delete(sessionId: string): Promise<boolean> | boolean;
 }
-/** id_token-ий claim-ууд (`docs/OIDC.md` §4). */
-interface EidIdTokenClaims {
-    iss: string;
-    aud: string | string[];
-    azp?: string;
-    /** Pairwise — RP тус бүрд өөр, иргэнд тогтмол. Хэрэглэгчийг ҮҮГЭЭР таньна. */
-    sub: string;
-    exp: number;
-    iat: number;
-    nonce: string;
-    /** Иргэн баталгаажуулсан мөч (Unix сек). */
-    auth_time: number;
-    /** {@link EID_ACR_QUALIFIED} эсвэл {@link EID_ACR_ADVANCED}. */
-    acr: string;
-    /** Гэрчилгээний GIVENNAME — латин (ICAO, том үсэг). */
-    given_name: string;
-    /** Гэрчилгээний SURNAME (эцэг/эхийн нэр) — латин. */
-    family_name: string;
-    /** Нэр — кирилл (бүртгэлд байхгүй бол алга). */
-    given_name_mn?: string;
-    /** Эцэг/эхийн нэр — кирилл (бүртгэлд байхгүй бол алга). */
-    family_name_mn?: string;
-    /** `PNOMN-<иргэний дугаар>` — зөвхөн `pnomn` scope + `PNOMN` эрхтэй үед. */
-    pnomn?: string;
-    [k: string]: unknown;
+/** Нэг процессын санах ойн сан (TTL-тэй). Олон instance / serverless-д тохирохгүй. */
+declare function memoryLoginStore(): EidLoginStore;
+/** Хүсэлтийн хүрээ — onSuccess / rateLimit / onError-д. */
+interface EidLoginContext {
+    request: EidLoginRequest;
+    mode: EidLoginMode;
 }
-interface EidCallbackResult {
-    claims: EidIdTokenClaims;
-    idToken: string;
+/** onSuccess-ийн хариу: хаашаа явуулах, хөтчид буцаах өгөгдөл, нэмэлт header (ж: таны session-ийн Set-Cookie). */
+interface EidLoginSuccess {
+    /** Нэвтэрсний дараах хуудас (same-origin зам эсвэл URL). Callback (Web2App)-д анхдагч `successRedirect`. */
+    redirect?: string;
+    /** QR/push-д status хариунд `data` болж хөтчид очно (JSON). Нууц бүү оруул. */
+    data?: unknown;
+    headers?: Record<string, string | string[]>;
 }
-declare class EidOidcClient {
-    private readonly cfg;
-    readonly issuer: string;
-    private readonly scope;
-    private discovery?;
-    private jwks?;
-    constructor(cfg: EidOidcClientConfig);
-    /** Discovery document (1 цаг cache). `issuer` нь тохиргоотой яг таарах ёстой (OIDC Discovery §4.3). */
-    discover(): Promise<EidOidcDiscovery>;
-    private fetchDiscovery;
+interface EidLoginOptions {
+    client: EidClient;
     /**
-     * Authorize URL + санамсаргүй state / nonce / PKCE codeVerifier. RP буцаасан `state`, `nonce`, `codeVerifier`-ийг
-     * хөтчийн session-тэй холбож (httpOnly cookie эсвэл server session) хадгалаад хөтчийг `url` руу 302 хийнэ.
+     * RP-ийн session-ийг ЭНД үүсгэнэ (иргэн баталгаажсан). Хэрэглэгчийг `identity.etsi`-ээр таньж, шинэ session
+     * (session fixation-аас сэргийлж шинэ id) үүсгээд Set-Cookie-г `headers`-ээр буцаа.
      */
-    createAuthorization(opts?: CreateAuthorizationOptions): Promise<EidAuthorization>;
+    onSuccess: (identity: EidLoginIdentity, ctx: EidLoginContext) => Promise<EidLoginSuccess | void> | EidLoginSuccess | void;
     /**
-     * redirect_uri руу ирсэн callback-ийг шийднэ: state тулгах → `error` бол {@link EidOidcError} → code солих →
-     * id_token шалгах. `input` — бүтэн callback URL, харьцангуй зам (`/cb?code=…`) эсвэл query (`URLSearchParams` / `code=…&state=…`); зөвхөн query-г уншина.
-     * Амжилтгүй бүх тохиолдолд {@link EidOidcError} (эсвэл {@link NetworkError}) шиднэ.
+     * Web2App буцах https URL — host нь RP-ийн `callbackHosts`-д, зам нь ЗААВАЛ `/auth/eid/callback`. Өгөөгүй бол
+     * утасны хөтчийн урсгал (`mode=web2app`) 400 — QR/push л ажиллана.
      */
-    handleCallback(input: string | URL | URLSearchParams, checks: EidCallbackChecks): Promise<EidCallbackResult>;
-    /** `POST token_endpoint` (client_secret_basic, RFC 6749 §2.3.1) → id_token. */
-    private exchangeCode;
-    /** Code солих endpoint: `useMtlsEndpointAliases` + alias байвал alias (RFC 8705 §5), эс бөгөөс `token_endpoint`. */
-    private tokenEndpoint;
+    callbackUrl?: string;
+    /** Callback амжилттай болоход (onSuccess redirect өгөөгүй бол). Анхдагч "/". */
+    successRedirect?: string;
+    /** Callback амжилтгүй болоход — `?eid_error=<код>` нэмэгдэнэ. Анхдагч "/". */
+    failureRedirect?: string;
+    /** Утсанд харагдах текст (≤60). Анхдагч «<rpName>-д нэвтрэх». */
+    displayText?: string;
+    certificateLevel?: CertificateLevel;
+    /** Нэвтрэлтийн хугацаа (мс). Анхдагч 120 000. */
+    ttlMs?: number;
+    /** Status-ийн нэг дуудлагад eID-ийг хүлээх (мс). Анхдагч 1000. */
+    pollMs?: number;
+    store?: EidLoginStore;
+    cookie?: {
+        name?: string;
+        path?: string;
+        secure?: boolean;
+        domain?: string;
+    };
     /**
-     * id_token шалгана: JWKS (`kid`, cache; танихгүй kid → нэг удаа дахин татна) ES256 гарын үсэг, `iss`, `aud`
-     * (= clientId; олон aud бол `azp`), `exp`/`iat` (±60 сек), `nonce`. Амжилтгүй бол `invalid_id_token`.
+     * Хязгаарлалт: `start:<ip>` (ip мэдэгдэж байвал) ба `push:<idCode>` түлхүүрээр дуудагдана; false → 429.
+     * Анхдагч: push-д нэг дугаарт 60 секундэд 3 (санах ойд) — хохирогчийн утсыг мэдэгдлээр дарахаас (MFA fatigue).
      */
-    verifyIdToken(idToken: string, opts: {
-        nonce: string;
-    }): Promise<EidIdTokenClaims>;
-    private keys;
-    private getJson;
-    private fetch;
+    rateLimit?: (key: string) => boolean | Promise<boolean>;
+    /** Дотоод алдаа (eID API, store). Анхдагч console.error (мессеж л). */
+    onError?: (err: unknown, ctx: EidLoginContext) => void;
+}
+/** Framework-аас хамааралгүй хүсэлт (Express: `req.headers`, `req.body`, `req.ip`). */
+interface EidLoginRequest {
+    method: string;
+    /** Зам + query (`/auth/eid/status?…`) эсвэл бүтэн URL. */
+    url: string;
+    headers: Record<string, string | string[] | undefined>;
+    /** POST-ийн задалсан JSON (Express `express.json()`), эсвэл түүхий мөр. */
+    body?: unknown;
+    ip?: string;
+}
+interface EidLoginResponse {
+    status: number;
+    headers: Record<string, string | string[]>;
+    body: string;
 }
-/** PKCE S256: `BASE64URL(SHA-256(ASCII(code_verifier)))` (RFC 7636 §4.2). */
-declare function pkceChallenge(codeVerifier: string): Promise<string>;
+interface EidLogin {
+    /** Сүүлийн замын хэсгээр (`start` | `status` | `callback`) чиглүүлнэ. */
+    handleRequest(req: EidLoginRequest): Promise<EidLoginResponse>;
+    /** Web-standard (Next.js App Router, Hono, Bun, Deno). */
+    handle(req: Request): Promise<Response>;
+}
+/** `callbackUrl`-д буцах хөтчийн hint (`retScheme` iOS / `retPkg` Android) нэмнэ; танихгүй бол хэвээр. */
+declare function withReturnHint(callbackUrl: string, userAgent: string): string;
+/**
+ * «eID-ээр нэвтрэх»-ийн backend handler-ууд. Нэг instance-ийг модулийн түвшинд үүсгээд бүх хүсэлтэд ашиглана.
+ *
+ * @throws Error `callbackUrl` https биш эсвэл зам нь `/auth/eid/callback` биш бол.
+ */
+declare function createEidLogin(opts: EidLoginOptions): EidLogin;
 
-export { AcspContext, type AcspV2Params, type ActivityCounts, type ActivityItem, type ActivityQuery, AuthApi, type AuthDefaults, type AuthOptions, type BuildDeviceLinkInput, CITIZEN_ISSUING_CA_SKI, type CertCounts, type CertSubject, CertificateLevel, type ClientConfig, type CreateAuthorizationOptions, DEFAULT_BASE_URL, DEFAULT_PDF_MAX_BYTES, DEFAULT_PDF_TIMEOUT_MS, DeviceLinkSession, type DeviceLinkSessionType, type DeviceLinkType, EID_ACR_ADVANCED, EID_ACR_QUALIFIED, EID_OIDC_ISSUER, type EidAuthorization, type EidCallbackChecks, type EidCallbackResult, EidClient, EidError, type EidIdTokenClaims, EidOidcClient, type EidOidcClientConfig, type EidOidcDiscovery, EidOidcError, type EidOidcErrorCode, FlowType, HashAlgorithm, Http, type HttpConfig, Interaction, NotificationSession, OrganizationApi, PdfApi, type PdfDefaults, type PdfPrepareInput, type PdfPrepareSession, PdfSessionBlock, type PdfSignerRef, type PdfTokenPrepareInput, type PdfTokenPrepareSession, type PersonActivity, PersonApi, PersonBlock, type PersonCertificate, type PersonCertificates, type PersonChild, type PersonChildren, type PersonDevice, type PersonDevices, type PersonSummary, type QrDeviceLinkTickerOptions, RepresentationsResponse, ResponseValidator, type RevocationChecker, type RevocationOutcome, type RevocationStatus, RpCredentials, SessionApi, SessionResult, SignApi, type SignDefaults, type SignOptions, SignatureAlgorithm, TokenApi, type TokenAuthChallenge, type TokenAuthResult, type TokenCertInput, type TokenCertItem, type TokenCertResult, type TokenCertStart, type TokenIdentity, type TokenLimit, type TokenOrganization, type TrustConfig, type ValidateAuthOptions, type ValidateSignOptions, type VerifiedIdentity, type VerifiedSignature, acspV2Digest, buildAcspV2Payload, buildDeviceLink, interactionsToBase64, parseSessionResult, parseSubject, personMatchesCertificate, pkceChallenge, qrDeviceLinkTicker, randomChallenge, resolveBaseUrl, sha256Base64, tokenAuthDigest, tokenLimitOf, userChallengeOf, verifyPayloadSignature, verifyPrehashedSignature, verifyTokenCertificates };
+export { AcspContext, type AcspV2Params, type ActivityCounts, type ActivityItem, type ActivityQuery, AuthApi, type AuthDefaults, type AuthOptions, type BuildDeviceLinkInput, CITIZEN_ISSUING_CA_SKI, type CertCounts, type CertSubject, CertificateLevel, type ClientConfig, DEFAULT_BASE_URL, DEFAULT_PDF_MAX_BYTES, DEFAULT_PDF_TIMEOUT_MS, DeviceLinkSession, type DeviceLinkSessionType, type DeviceLinkType, EidClient, type EidLogin, type EidLoginContext, type EidLoginIdentity, type EidLoginMode, type EidLoginOptions, type EidLoginRequest, type EidLoginResponse, type EidLoginStore, type EidLoginSuccess, type EidLoginTx, FlowType, HashAlgorithm, Http, type HttpConfig, Interaction, NotificationSession, OrganizationApi, PdfApi, type PdfDefaults, type PdfPrepareInput, type PdfPrepareSession, PdfSessionBlock, type PdfSignerRef, type PdfTokenPrepareInput, type PdfTokenPrepareSession, type PersonActivity, PersonApi, PersonBlock, type PersonCertificate, type PersonCertificates, type PersonChild, type PersonChildren, type PersonDevice, type PersonDevices, type PersonSummary, type QrDeviceLinkTickerOptions, RepresentationsResponse, ResponseValidator, type RevocationChecker, type RevocationOutcome, type RevocationStatus, RpCredentials, SessionApi, SessionResult, SignApi, type SignDefaults, type SignOptions, SignatureAlgorithm, TokenApi, type TokenAuthChallenge, type TokenAuthResult, type TokenCertInput, type TokenCertItem, type TokenCertResult, type TokenCertStart, type TokenIdentity, type TokenLimit, type TokenOrganization, type TrustConfig, type ValidateAuthOptions, type ValidateSignOptions, type VerifiedIdentity, type VerifiedSignature, acspV2Digest, buildAcspV2Payload, buildDeviceLink, createEidLogin, interactionsToBase64, memoryLoginStore, parseSessionResult, parseSubject, personMatchesCertificate, qrDeviceLinkTicker, randomChallenge, resolveBaseUrl, sha256Base64, tokenAuthDigest, tokenLimitOf, userChallengeOf, verifyPayloadSignature, verifyPrehashedSignature, verifyTokenCertificates, withReturnHint };

package/dist/index.d.ts

@@ -1,5 +1,5 @@
-import { R as RpCredentials, C as CertificateLevel, I as Interaction, S as SignatureAlgorithm, H as HashAlgorithm, N as NotificationSession, D as DeviceLinkSession, a as SessionResult, P as PersonBlock, b as PdfSessionBlock, c as RepresentationsResponse, A as AcspContext, F as FlowType, E as EidError } from './browser-C6JHm0lR.js';
-export { d as ApiError, e as AuthenticationError, f as DeviceLinkError, g as DeviceLinkInput, h as EndResult, i as ForbiddenError, j as HttpErrorInit, k as NavigatorLike, l as NetworkError, O as ON_BEHALF_ERROR_CODES, m as OnBehalfErrorCode, n as OpenOrShowQROptions, o as OrgResult, p as PdfDocumentStatus, q as PdfSigner, r as RETRYABLE_ERROR_CODES, s as Representation, t as ResponseTooLargeError, u as RetryableErrorCode, v as SessionFailedError, w as SessionState, x as SignatureAlgorithmParameters, y as SignatureProtocol, T as TokenCertSessionBlock, z as TokenCertStatus, V as ValidationError, B as deviceLink, G as isMobileUserAgent, J as openOrShowQR, K as parseRetryAfter } from './browser-C6JHm0lR.js';
+import { R as RpCredentials, C as CertificateLevel, I as Interaction, S as SignatureAlgorithm, H as HashAlgorithm, N as NotificationSession, D as DeviceLinkSession, a as SessionResult, P as PersonBlock, b as PdfSessionBlock, c as RepresentationsResponse, A as AcspContext, F as FlowType } from './browser-C6JHm0lR.js';
+export { d as ApiError, e as AuthenticationError, f as DeviceLinkError, g as DeviceLinkInput, E as EidError, h as EndResult, i as ForbiddenError, j as HttpErrorInit, k as NavigatorLike, l as NetworkError, O as ON_BEHALF_ERROR_CODES, m as OnBehalfErrorCode, n as OpenOrShowQROptions, o as OrgResult, p as PdfDocumentStatus, q as PdfSigner, r as RETRYABLE_ERROR_CODES, s as Representation, t as ResponseTooLargeError, u as RetryableErrorCode, v as SessionFailedError, w as SessionState, x as SignatureAlgorithmParameters, y as SignatureProtocol, T as TokenCertSessionBlock, z as TokenCertStatus, V as ValidationError, B as deviceLink, G as isMobileUserAgent, J as openOrShowQR, K as parseRetryAfter } from './browser-C6JHm0lR.js';
 import { X509Certificate, KeyObject } from 'node:crypto';
 
 interface HttpConfig {
@@ -829,6 +829,8 @@ declare class EidClient {
     readonly token: TokenApi;
     readonly session: SessionApi;
     readonly validator: ResponseValidator;
+    /** `credentials.rpName` — иргэний утсанд харагдах RP нэр. */
+    readonly rpName: string;
     constructor(cfg: ClientConfig);
 }
 
@@ -927,156 +929,134 @@ interface QrDeviceLinkTickerOptions {
  */
 declare function qrDeviceLinkTicker(input: Omit<BuildDeviceLinkInput, "deviceLinkType" | "now">, onLink: (link: string) => void, opts?: QrDeviceLinkTickerOptions): () => void;
 
-/** eID-ийн OIDC issuer (төгсгөлд `/` байхгүй). */
-declare const EID_OIDC_ISSUER = "https://login.eidmongolia.mn";
-/** `acr` утгууд — иргэний гэрчилгээний бодит түвшин. */
-declare const EID_ACR_QUALIFIED = "urn:eidmongolia:loa:qualified";
-declare const EID_ACR_ADVANCED = "urn:eidmongolia:loa:advanced";
-/**
- * OIDC алдааны код. Authorize redirect (RFC 6749 §4.1.2.1) ба token endpoint (§5.2)-ийн стандарт кодууд, мөн
- * SDK-ийн өөрийн шалгалтын кодууд:
- * - `state_mismatch` — callback-ийн `state` хадгалсантай таарсангүй (CSRF / өөр tab / cookie дууссан) → дахин эхлүүл;
- * - `invalid_callback` — `code` алга / хэт урт, эсвэл `iss` параметр өөр;
- * - `invalid_id_token` — id_token-ий гарын үсэг / iss / aud / exp / iat / nonce шалгалт унасан (ИТГЭХГҮЙ);
- * - `discovery_failed` — discovery/JWKS буруу эсвэл issuer таарахгүй.
- *
- * `access_denied` = иргэн татгалзсан, нэвтрэлтийн хугацаа дууссан, эсвэл гэрчилгээний шалгалт унасан → «дахин оролд».
- */
-type EidOidcErrorCode = "access_denied" | "login_required" | "invalid_request" | "invalid_scope" | "unauthorized_client" | "unsupported_response_type" | "request_not_supported" | "temporarily_unavailable" | "server_error" | "invalid_client" | "invalid_grant" | "unsupported_grant_type" | "state_mismatch" | "invalid_callback" | "invalid_id_token" | "discovery_failed";
-/**
- * OIDC урсгалын алдаа. `code`-оор салгана. `description` нь серверийн `error_description` — логт л,
- * хэрэглэгчид шууд харуулахгүй.
- */
-declare class EidOidcError extends EidError {
-    readonly code: EidOidcErrorCode;
-    readonly description?: string | undefined;
-    constructor(code: EidOidcErrorCode, message: string, description?: string | undefined);
-}
-interface EidOidcClientConfig {
-    /** RP UUID (`relyingPartyUUID`). */
-    clientId: string;
-    /** RP API secret (`rp_sk_…`) — зөвхөн backend-д. */
-    clientSecret: string;
-    /** Бүртгэлтэй redirect URI — тэмдэгт бүрээрээ таарах ёстой. */
-    redirectUri: string;
-    /** Анхдагч {@link EID_OIDC_ISSUER}. */
-    issuer?: string;
-    /** Анхдагч `"openid"`. Иргэний ETSI дугаар хэрэгтэй бол `"openid pnomn"` (RP-д `PNOMN` эрх). */
-    scope?: string;
-    /** HTTP timeout (мс), анхдагч 10000. */
-    timeoutMs?: number;
-    /**
-     * undici Dispatcher (mTLS client cert) — RP-API client-ийн `dispatcher`-тэй ижил:
-     * `new Agent({ connect: { cert, key } })`. Дамжуулсан бол OIDC-ийн бүх fetch-д хэрэглэнэ. Зөвхөн Node орчинд.
-     */
-    dispatcher?: unknown;
-    /**
-     * RFC 8705 §5: `true` бол code солих хүсэлт discovery-ийн `mtls_endpoint_aliases.token_endpoint` руу явна
-     * (`require_mtls`-тэй RP — `dispatcher`-т RP-ийн client cert заавал). Discovery-д alias байхгүй бол
-     * `token_endpoint` руу буцна; alias https биш бол `discovery_failed`. Анхдагч `false`.
-     */
-    useMtlsEndpointAliases?: boolean;
-    /** fetch орлуулагч (тест). */
-    fetchImpl?: typeof fetch;
-}
-interface EidOidcDiscovery {
-    issuer: string;
-    authorization_endpoint: string;
-    token_endpoint: string;
-    jwks_uri: string;
-    /** RFC 8705 §5 — mTLS-тэй client-ийн endpoint-ууд (ж: `token_endpoint` → `https://rp.eidmongolia.mn/oauth2/token`). */
-    mtls_endpoint_aliases?: Record<string, string>;
-    [k: string]: unknown;
-}
-interface CreateAuthorizationOptions {
-    /** Энэ хүсэлтэд scope-ыг дарна. */
-    scope?: string;
-    /**
-     * `touch` (анхдагч) — утасны хөтчөөс шууд eID апп; `page` — үргэлж нэвтрэх хуудас (QR / push), ж: таблет киоск.
-     */
-    display?: "page" | "touch";
+/** Нэвтрэлтийн горим: desktop QR, регистрээр push, утасны хөтчөөс Web2App. */
+type EidLoginMode = "qr" | "push" | "web2app";
+/** Баталгаажсан иргэн — onSuccess-д. */
+interface EidLoginIdentity {
+    /** Гэрчилгээний SERIALNUMBER (`PNOMN-<иргэний дугаар>`). Хэрэглэгчийг ҮҮГЭЭР таньна (нэрээр биш). */
+    etsi: string;
+    /** `PNOMN-`-гүй иргэний дугаар (цифр); ETSI өөр хэлбэртэй бол null. */
+    civilId: string | null;
+    /** Гэрчилгээний нэр (латин): GIVENNAME / SURNAME, харуулах нэр. */
+    givenName: string | null;
+    surname: string | null;
+    name: string | null;
+    country: string | null;
+    documentNumber: string;
+    certificateLevel: string;
+    /** Иргэний гэрчилгээ (DER, base64). */
+    certificateDerB64: string;
+    /** Гарын үсэг зурагдсан урсгал: QR | Notification | Web2App. */
+    flowType: FlowType;
+    /** Session-ийн `person` блок (кирилл нэр г.м.) — гэрчилгээтэй таарсан үед л, эс бөгөөс null. */
+    person: PersonBlock | null;
 }
-/** RP-ийн хадгалах ёстой гүйлгээ — httpOnly cookie / server session-д (браузерийн JS-д биш). */
-interface EidAuthorization {
-    /** Хөтчийг энэ рүү 302. */
-    url: string;
-    state: string;
-    nonce: string;
-    codeVerifier: string;
+/** Серверт хадгалах нэвтрэлтийн төлөв (JSON-д хувирна). */
+interface EidLoginTx {
+    sessionId: string;
+    /** Cookie-ийн binding-ийн SHA-256 (hex) — түүхий утга хөтчид л. */
+    bindingHash: string;
+    mode: EidLoginMode;
+    expiresAt: number;
+    vc: string | null;
+    acsp: AcspContext;
+    /** QR/Web2App: холбоос угсрах материал. sessionSecret — ЗӨВХӨН серверт. */
+    link?: {
+        base: string;
+        token: string;
+        secret: string;
+        receivedAt: number;
+        lang: string;
+    };
 }
-/** createAuthorization-аас хадгалсан утгууд. */
-interface EidCallbackChecks {
-    state: string;
-    nonce: string;
-    codeVerifier: string;
+/** Төлөвийн сан. Анхдагч — процессын санах ой ({@link memoryLoginStore}); олон instance бол Redis г.м. */
+interface EidLoginStore {
+    get(sessionId: string): Promise<EidLoginTx | undefined> | EidLoginTx | undefined;
+    set(sessionId: string, tx: EidLoginTx, ttlMs: number): Promise<void> | void;
+    /** Устгана; байсан бол true. Амжилтыг нэг л удаа гаргахад ашиглана (атомар байх ёстой — Redis `DEL`). */
+    delete(sessionId: string): Promise<boolean> | boolean;
 }
-/** id_token-ий claim-ууд (`docs/OIDC.md` §4). */
-interface EidIdTokenClaims {
-    iss: string;
-    aud: string | string[];
-    azp?: string;
-    /** Pairwise — RP тус бүрд өөр, иргэнд тогтмол. Хэрэглэгчийг ҮҮГЭЭР таньна. */
-    sub: string;
-    exp: number;
-    iat: number;
-    nonce: string;
-    /** Иргэн баталгаажуулсан мөч (Unix сек). */
-    auth_time: number;
-    /** {@link EID_ACR_QUALIFIED} эсвэл {@link EID_ACR_ADVANCED}. */
-    acr: string;
-    /** Гэрчилгээний GIVENNAME — латин (ICAO, том үсэг). */
-    given_name: string;
-    /** Гэрчилгээний SURNAME (эцэг/эхийн нэр) — латин. */
-    family_name: string;
-    /** Нэр — кирилл (бүртгэлд байхгүй бол алга). */
-    given_name_mn?: string;
-    /** Эцэг/эхийн нэр — кирилл (бүртгэлд байхгүй бол алга). */
-    family_name_mn?: string;
-    /** `PNOMN-<иргэний дугаар>` — зөвхөн `pnomn` scope + `PNOMN` эрхтэй үед. */
-    pnomn?: string;
-    [k: string]: unknown;
+/** Нэг процессын санах ойн сан (TTL-тэй). Олон instance / serverless-д тохирохгүй. */
+declare function memoryLoginStore(): EidLoginStore;
+/** Хүсэлтийн хүрээ — onSuccess / rateLimit / onError-д. */
+interface EidLoginContext {
+    request: EidLoginRequest;
+    mode: EidLoginMode;
 }
-interface EidCallbackResult {
-    claims: EidIdTokenClaims;
-    idToken: string;
+/** onSuccess-ийн хариу: хаашаа явуулах, хөтчид буцаах өгөгдөл, нэмэлт header (ж: таны session-ийн Set-Cookie). */
+interface EidLoginSuccess {
+    /** Нэвтэрсний дараах хуудас (same-origin зам эсвэл URL). Callback (Web2App)-д анхдагч `successRedirect`. */
+    redirect?: string;
+    /** QR/push-д status хариунд `data` болж хөтчид очно (JSON). Нууц бүү оруул. */
+    data?: unknown;
+    headers?: Record<string, string | string[]>;
 }
-declare class EidOidcClient {
-    private readonly cfg;
-    readonly issuer: string;
-    private readonly scope;
-    private discovery?;
-    private jwks?;
-    constructor(cfg: EidOidcClientConfig);
-    /** Discovery document (1 цаг cache). `issuer` нь тохиргоотой яг таарах ёстой (OIDC Discovery §4.3). */
-    discover(): Promise<EidOidcDiscovery>;
-    private fetchDiscovery;
+interface EidLoginOptions {
+    client: EidClient;
     /**
-     * Authorize URL + санамсаргүй state / nonce / PKCE codeVerifier. RP буцаасан `state`, `nonce`, `codeVerifier`-ийг
-     * хөтчийн session-тэй холбож (httpOnly cookie эсвэл server session) хадгалаад хөтчийг `url` руу 302 хийнэ.
+     * RP-ийн session-ийг ЭНД үүсгэнэ (иргэн баталгаажсан). Хэрэглэгчийг `identity.etsi`-ээр таньж, шинэ session
+     * (session fixation-аас сэргийлж шинэ id) үүсгээд Set-Cookie-г `headers`-ээр буцаа.
      */
-    createAuthorization(opts?: CreateAuthorizationOptions): Promise<EidAuthorization>;
+    onSuccess: (identity: EidLoginIdentity, ctx: EidLoginContext) => Promise<EidLoginSuccess | void> | EidLoginSuccess | void;
     /**
-     * redirect_uri руу ирсэн callback-ийг шийднэ: state тулгах → `error` бол {@link EidOidcError} → code солих →
-     * id_token шалгах. `input` — бүтэн callback URL, харьцангуй зам (`/cb?code=…`) эсвэл query (`URLSearchParams` / `code=…&state=…`); зөвхөн query-г уншина.
-     * Амжилтгүй бүх тохиолдолд {@link EidOidcError} (эсвэл {@link NetworkError}) шиднэ.
+     * Web2App буцах https URL — host нь RP-ийн `callbackHosts`-д, зам нь ЗААВАЛ `/auth/eid/callback`. Өгөөгүй бол
+     * утасны хөтчийн урсгал (`mode=web2app`) 400 — QR/push л ажиллана.
      */
-    handleCallback(input: string | URL | URLSearchParams, checks: EidCallbackChecks): Promise<EidCallbackResult>;
-    /** `POST token_endpoint` (client_secret_basic, RFC 6749 §2.3.1) → id_token. */
-    private exchangeCode;
-    /** Code солих endpoint: `useMtlsEndpointAliases` + alias байвал alias (RFC 8705 §5), эс бөгөөс `token_endpoint`. */
-    private tokenEndpoint;
+    callbackUrl?: string;
+    /** Callback амжилттай болоход (onSuccess redirect өгөөгүй бол). Анхдагч "/". */
+    successRedirect?: string;
+    /** Callback амжилтгүй болоход — `?eid_error=<код>` нэмэгдэнэ. Анхдагч "/". */
+    failureRedirect?: string;
+    /** Утсанд харагдах текст (≤60). Анхдагч «<rpName>-д нэвтрэх». */
+    displayText?: string;
+    certificateLevel?: CertificateLevel;
+    /** Нэвтрэлтийн хугацаа (мс). Анхдагч 120 000. */
+    ttlMs?: number;
+    /** Status-ийн нэг дуудлагад eID-ийг хүлээх (мс). Анхдагч 1000. */
+    pollMs?: number;
+    store?: EidLoginStore;
+    cookie?: {
+        name?: string;
+        path?: string;
+        secure?: boolean;
+        domain?: string;
+    };
     /**
-     * id_token шалгана: JWKS (`kid`, cache; танихгүй kid → нэг удаа дахин татна) ES256 гарын үсэг, `iss`, `aud`
-     * (= clientId; олон aud бол `azp`), `exp`/`iat` (±60 сек), `nonce`. Амжилтгүй бол `invalid_id_token`.
+     * Хязгаарлалт: `start:<ip>` (ip мэдэгдэж байвал) ба `push:<idCode>` түлхүүрээр дуудагдана; false → 429.
+     * Анхдагч: push-д нэг дугаарт 60 секундэд 3 (санах ойд) — хохирогчийн утсыг мэдэгдлээр дарахаас (MFA fatigue).
      */
-    verifyIdToken(idToken: string, opts: {
-        nonce: string;
-    }): Promise<EidIdTokenClaims>;
-    private keys;
-    private getJson;
-    private fetch;
+    rateLimit?: (key: string) => boolean | Promise<boolean>;
+    /** Дотоод алдаа (eID API, store). Анхдагч console.error (мессеж л). */
+    onError?: (err: unknown, ctx: EidLoginContext) => void;
+}
+/** Framework-аас хамааралгүй хүсэлт (Express: `req.headers`, `req.body`, `req.ip`). */
+interface EidLoginRequest {
+    method: string;
+    /** Зам + query (`/auth/eid/status?…`) эсвэл бүтэн URL. */
+    url: string;
+    headers: Record<string, string | string[] | undefined>;
+    /** POST-ийн задалсан JSON (Express `express.json()`), эсвэл түүхий мөр. */
+    body?: unknown;
+    ip?: string;
+}
+interface EidLoginResponse {
+    status: number;
+    headers: Record<string, string | string[]>;
+    body: string;
 }
-/** PKCE S256: `BASE64URL(SHA-256(ASCII(code_verifier)))` (RFC 7636 §4.2). */
-declare function pkceChallenge(codeVerifier: string): Promise<string>;
+interface EidLogin {
+    /** Сүүлийн замын хэсгээр (`start` | `status` | `callback`) чиглүүлнэ. */
+    handleRequest(req: EidLoginRequest): Promise<EidLoginResponse>;
+    /** Web-standard (Next.js App Router, Hono, Bun, Deno). */
+    handle(req: Request): Promise<Response>;
+}
+/** `callbackUrl`-д буцах хөтчийн hint (`retScheme` iOS / `retPkg` Android) нэмнэ; танихгүй бол хэвээр. */
+declare function withReturnHint(callbackUrl: string, userAgent: string): string;
+/**
+ * «eID-ээр нэвтрэх»-ийн backend handler-ууд. Нэг instance-ийг модулийн түвшинд үүсгээд бүх хүсэлтэд ашиглана.
+ *
+ * @throws Error `callbackUrl` https биш эсвэл зам нь `/auth/eid/callback` биш бол.
+ */
+declare function createEidLogin(opts: EidLoginOptions): EidLogin;
 
-export { AcspContext, type AcspV2Params, type ActivityCounts, type ActivityItem, type ActivityQuery, AuthApi, type AuthDefaults, type AuthOptions, type BuildDeviceLinkInput, CITIZEN_ISSUING_CA_SKI, type CertCounts, type CertSubject, CertificateLevel, type ClientConfig, type CreateAuthorizationOptions, DEFAULT_BASE_URL, DEFAULT_PDF_MAX_BYTES, DEFAULT_PDF_TIMEOUT_MS, DeviceLinkSession, type DeviceLinkSessionType, type DeviceLinkType, EID_ACR_ADVANCED, EID_ACR_QUALIFIED, EID_OIDC_ISSUER, type EidAuthorization, type EidCallbackChecks, type EidCallbackResult, EidClient, EidError, type EidIdTokenClaims, EidOidcClient, type EidOidcClientConfig, type EidOidcDiscovery, EidOidcError, type EidOidcErrorCode, FlowType, HashAlgorithm, Http, type HttpConfig, Interaction, NotificationSession, OrganizationApi, PdfApi, type PdfDefaults, type PdfPrepareInput, type PdfPrepareSession, PdfSessionBlock, type PdfSignerRef, type PdfTokenPrepareInput, type PdfTokenPrepareSession, type PersonActivity, PersonApi, PersonBlock, type PersonCertificate, type PersonCertificates, type PersonChild, type PersonChildren, type PersonDevice, type PersonDevices, type PersonSummary, type QrDeviceLinkTickerOptions, RepresentationsResponse, ResponseValidator, type RevocationChecker, type RevocationOutcome, type RevocationStatus, RpCredentials, SessionApi, SessionResult, SignApi, type SignDefaults, type SignOptions, SignatureAlgorithm, TokenApi, type TokenAuthChallenge, type TokenAuthResult, type TokenCertInput, type TokenCertItem, type TokenCertResult, type TokenCertStart, type TokenIdentity, type TokenLimit, type TokenOrganization, type TrustConfig, type ValidateAuthOptions, type ValidateSignOptions, type VerifiedIdentity, type VerifiedSignature, acspV2Digest, buildAcspV2Payload, buildDeviceLink, interactionsToBase64, parseSessionResult, parseSubject, personMatchesCertificate, pkceChallenge, qrDeviceLinkTicker, randomChallenge, resolveBaseUrl, sha256Base64, tokenAuthDigest, tokenLimitOf, userChallengeOf, verifyPayloadSignature, verifyPrehashedSignature, verifyTokenCertificates };
+export { AcspContext, type AcspV2Params, type ActivityCounts, type ActivityItem, type ActivityQuery, AuthApi, type AuthDefaults, type AuthOptions, type BuildDeviceLinkInput, CITIZEN_ISSUING_CA_SKI, type CertCounts, type CertSubject, CertificateLevel, type ClientConfig, DEFAULT_BASE_URL, DEFAULT_PDF_MAX_BYTES, DEFAULT_PDF_TIMEOUT_MS, DeviceLinkSession, type DeviceLinkSessionType, type DeviceLinkType, EidClient, type EidLogin, type EidLoginContext, type EidLoginIdentity, type EidLoginMode, type EidLoginOptions, type EidLoginRequest, type EidLoginResponse, type EidLoginStore, type EidLoginSuccess, type EidLoginTx, FlowType, HashAlgorithm, Http, type HttpConfig, Interaction, NotificationSession, OrganizationApi, PdfApi, type PdfDefaults, type PdfPrepareInput, type PdfPrepareSession, PdfSessionBlock, type PdfSignerRef, type PdfTokenPrepareInput, type PdfTokenPrepareSession, type PersonActivity, PersonApi, PersonBlock, type PersonCertificate, type PersonCertificates, type PersonChild, type PersonChildren, type PersonDevice, type PersonDevices, type PersonSummary, type QrDeviceLinkTickerOptions, RepresentationsResponse, ResponseValidator, type RevocationChecker, type RevocationOutcome, type RevocationStatus, RpCredentials, SessionApi, SessionResult, SignApi, type SignDefaults, type SignOptions, SignatureAlgorithm, TokenApi, type TokenAuthChallenge, type TokenAuthResult, type TokenCertInput, type TokenCertItem, type TokenCertResult, type TokenCertStart, type TokenIdentity, type TokenLimit, type TokenOrganization, type TrustConfig, type ValidateAuthOptions, type ValidateSignOptions, type VerifiedIdentity, type VerifiedSignature, acspV2Digest, buildAcspV2Payload, buildDeviceLink, createEidLogin, interactionsToBase64, memoryLoginStore, parseSessionResult, parseSubject, personMatchesCertificate, qrDeviceLinkTicker, randomChallenge, resolveBaseUrl, sha256Base64, tokenAuthDigest, tokenLimitOf, userChallengeOf, verifyPayloadSignature, verifyPrehashedSignature, verifyTokenCertificates, withReturnHint };