@gerege-systems/eid-mongolia-sdk 0.14.2 → 0.15.1

package/dist/index.d.ts

@@ -1,6 +1,7 @@
-import { R as RpCredentials, C as CertificateLevel, I as Interaction, S as SignatureAlgorithm, H as HashAlgorithm, N as NotificationSession, D as DeviceLinkSession, a as SessionResult, P as PersonBlock, b as PdfSessionBlock, c as RepresentationsResponse, A as AcspContext, F as FlowType } from './browser-CSZjH9Xs.js';
-export { d as ApiError, e as AuthenticationError, f as CertChoiceInvalidError, g as DEFAULT_SIGN_SESSION_TTL_MS, h as DeviceLinkError, i as DeviceLinkInput, E as EidError, j as EndResult, k as ForbiddenError, l as HttpErrorInit, m as NavigatorLike, n as NetworkError, o as NoSigningCertificateError, O as ON_BEHALF_ERROR_CODES, p as OnBehalfErrorCode, q as OpenOrShowQROptions, r as OrgResult, s as PdfDocumentStatus, t as PdfSigner, u as RETRYABLE_ERROR_CODES, v as Representation, w as RequestInvalidError, x as ResponseTooLargeError, y as RetryableErrorCode, z as SessionFailedError, B as SessionState, G as SignContext, J as SignatureAlgorithmParameters, K as SignatureProtocol, T as TokenCertSessionBlock, L as TokenCertStatus, V as ValidationError, M as deviceLink, Q as isMobileUserAgent, U as openOrShowQR, W as parseExpiresAt, X as parseRetryAfter, Y as sessionExpiry, Z as startExpiry } from './browser-CSZjH9Xs.js';
+import { R as RpCredentials, C as CertificateLevel, I as Interaction, S as SignatureAlgorithm, H as HashAlgorithm, N as NotificationSession, D as DeviceLinkSession, a as SessionResult, P as PersonBlock, b as RepresentationsResponse, A as AcspContext, F as FlowType } from './browser-BZ3hvv6-.js';
+export { c as DEFAULT_SIGN_SESSION_TTL_MS, d as DeviceLinkInput, E as EndResult, e as NavigatorLike, O as OpenOrShowQROptions, f as OrgResult, g as Representation, h as SessionState, i as SignContext, j as SignatureAlgorithmParameters, k as SignatureProtocol, T as TokenCertSessionBlock, l as TokenCertStatus, m as deviceLink, n as isMobileUserAgent, o as openOrShowQR, p as parseExpiresAt, s as sessionExpiry, q as startExpiry } from './browser-BZ3hvv6-.js';
 import { X509Certificate, KeyObject } from 'node:crypto';
+export { A as ApiError, a as AuthenticationError, C as CertChoiceInvalidError, D as DeviceLinkError, E as EidError, F as ForbiddenError, H as HttpErrorInit, N as NetworkError, b as NoSigningCertificateError, O as ON_BEHALF_ERROR_CODES, c as OnBehalfErrorCode, R as RETRYABLE_ERROR_CODES, d as RequestInvalidError, e as ResponseTooLargeError, f as RetryableErrorCode, S as SessionFailedError, V as ValidationError, p as parseRetryAfter } from './errors-Z7SgLVTr.js';
 
 interface HttpConfig {
     /** RP-API-ийн бүтэн суурь URL. Ж: https://rp.eidmongolia.mn */
@@ -25,10 +26,6 @@ declare class Http {
     constructor(cfg: HttpConfig);
     post(path: string, body: unknown, timeoutMs?: number): Promise<unknown>;
     get(path: string, timeoutMs?: number): Promise<unknown>;
-    /** multipart/form-data POST (Content-Type-ийг boundary-тай нь fetch тавина). JSON хариу. */
-    postMultipart(path: string, form: FormData, timeoutMs?: number): Promise<unknown>;
-    /** GET — хариуг байтаар (ж: гарын үсэгтэй PDF), `maxBytes` хүртэл; хэтэрвэл {@link ResponseTooLargeError}. */
-    getBytes(path: string, timeoutMs?: number, maxBytes?: number): Promise<Uint8Array>;
     private json;
     private send;
 }
@@ -114,6 +111,119 @@ interface SignOptions {
      */
     fileName?: string;
 }
+/** {@link SignApi.pdfDigest}-ийн зурагч — яг нэг нь. `documentNumber` нь `PadesPrepareOptions.signerCert`-ийн төхөөрөмж. */
+type PdfDigestSigner = {
+    etsi: string;
+} | {
+    documentNumber: string;
+};
+/** Клиент талын PAdES-ийн DTBS-д гарын үсгийн session (`@gerege-systems/eid-mongolia-sdk/pades` `prepare`-ийн дараа). */
+interface PdfDigestInput {
+    /** `prepare()`-ийн `dtbs` — SHA-256(signedAttrs), 32 байт (Uint8Array эсвэл стандарт base64). */
+    dtbs: Uint8Array | string;
+    /** Баримтын нэр (≤ 120 тэмдэгт) — утсанд «Баримтад гарын үсэг зурах: <нэр>», /verify ба иргэний түүхэнд. */
+    fileName: string;
+    /**
+     * Зурагч. `prepare()`-д өгсөн SIGN гэрчилгээ нь энэ төхөөрөмжийнх байх ёстой (өөр төхөөрөмж зурвал `complete()`
+     * SIGNATURE_INVALID) — олон төхөөрөмжтэй иргэнд `documentNumber`-ийг сонго.
+     */
+    signer: PdfDigestSigner;
+    /** `notification` (push, анхдагч) эсвэл `device-link` (QR/Web2App/App2App — холбоосыг {@link buildDeviceLink}). */
+    flow?: "notification" | "device-link";
+    certificateLevel?: CertificateLevel;
+    /** device-link Web2App/App2App буцах https URL (`callbackHosts`-д бүртгэлтэй). */
+    initialCallbackUrl?: string;
+    /**
+     * Байгууллагын нэрийн өмнөөс (`NTRMN-…`). Сервер төлөөллийг шалгаж утсанд харуулна. `prepare()`-ийн `claimedRole`
+     * нь `organization.getRepresentations()`-ийн тухайн мөрийн `claimedRole` (CMS-д орно).
+     */
+    onBehalfOf?: string;
+}
+/** {@link SignApi.pdfDigest}-ийн хариу. `deviceLink`-ийн нууцыг ЗӨВХӨН backend-д хадгална. */
+interface PdfDigestSession {
+    sessionId: string;
+    /** Иргэнд ХАРУУЛАХ баталгаажуулах код (ПИН биш). */
+    vc: string | null;
+    /** Илгээсэн DTBS (base64) — `validator.validateSign(result, digest)` ба device link-ийн `digest`. */
+    digest: string;
+    /** Илгээсэн interactions-ийн base64 МӨР — device link-ийн authCode-д ЯГ ХЭВЭЭР. */
+    interactions: string;
+    /** device-link урсгалд; push-д null. */
+    deviceLink: {
+        sessionToken: string;
+        sessionSecret: string;
+        deviceLinkBase: string;
+    } | null;
+    /** SDK хариу хүлээн авсан мөч (ms epoch) — QR-ийн `receivedAt`. */
+    receivedAt: number;
+}
+/**
+ * Клиент талын PAdES-ийн бүртгэл — `POST /pdf/signatures`-ийн бие (CA `dto.PDFSignatureRegisterRequest`,
+ * docs/PADES_CLIENT_SIDE.md §4.3/§4.3.1; CA `DisallowUnknownFields` — талбарын нэр ЯГ энэ). Ихэвчлэн
+ * {@link registrationFromCompleted}-оор `pades.complete()`-ийн үр дүнгээс бөглөнө.
+ */
+interface RegisterSignatureInput {
+    /** `complete().docId` (UUID). */
+    docID: string;
+    /** `complete().revIndex` — энэ гарын үсгийн дугаар (1–16). */
+    revIndex: number;
+    /** `phone` (утас, `sessionID`-тэй) | `token` (USB токен). Анхдагч: `sessionID` байвал phone, эс бөгөөс token. */
+    medium?: "phone" | "token";
+    /** Утсаар зурсан бол `signPdfDigest`-ийн sessionId (CA session-ий digest ↔ CMS signedAttrs-ийг тулгана); токенд алга. */
+    sessionID?: string;
+    /** `complete().cms` — DER (≤ 28 672 байт) эсвэл түүний стандарт base64. */
+    cms: Uint8Array | string;
+    /** Баримтын нэр (≤ 120 тэмдэгт; CA `cleanFileName`). */
+    fileName: string;
+    /** `complete().inSha256` — оролтын PDF-ийн SHA-256 (hex). */
+    inSha256: string;
+    /** `complete().pageSha256` — `revIndex` 1 бол заавал (хуудас нэмсний дараах баримт), бусад үед алга. */
+    pageSha256?: string;
+    /** `complete().sigRevSha256` — гарын үсгийн revision-ий SHA-256 (hex). */
+    sigRevSha256: string;
+    /** `complete().outSha256` — гарын үсэгтэй PDF-ийн SHA-256 (hex). */
+    outSha256: string;
+    /** `complete().priorCmsSha256` — өмнөх (клиент талын) гарын үсгүүдийн CMS SHA-256 (hex). */
+    priorCmsSha256?: string[];
+    /** Горим A-ийн (CA угсарсан) өмнөх гарын үсгүүдийн revision SHA-256. `priorCmsSha256`-тай нийлээд = `revIndex − 1`. */
+    priorRevisionSha256?: string[];
+    /** Байгууллагын нэрийн өмнөөс (`NTRMN-…`) — session-ийнхтэй ижил. */
+    onBehalfOf?: string;
+    /** Заавал биш (`PNOMN-…`): ирвэл CMS-ийн зурагчийн SERIALNUMBER-тэй тэнцүү (эс бөгөөс 409 `SIGNER_MISMATCH`). */
+    signerEtsi?: string;
+}
+/** {@link registrationFromCompleted}-д хэрэгтэй `pades.complete()`-ийн хэсэг (JSON-оор дамжсан бол `cms` нь base64). */
+interface CompletedForRegistration {
+    docId: string;
+    revIndex: number;
+    cms: Uint8Array | string;
+    inSha256: string;
+    hasPage: boolean;
+    pageSha256: string;
+    sigRevSha256: string;
+    outSha256: string;
+    priorCmsSha256: string[];
+}
+/**
+ * `pades.complete()`-ийн үр дүнгээс `registerSignature`-ийн биеийг бөглөнө (`hasPage`-ийг илгээхгүй — CA `revIndex`-ээс
+ * тооцно; `pageSha256` зөвхөн хуудастай үед).
+ */
+declare function registrationFromCompleted(done: CompletedForRegistration, extra: Pick<RegisterSignatureInput, "fileName" | "sessionID" | "medium" | "onBehalfOf" | "signerEtsi" | "priorRevisionSha256">): RegisterSignatureInput;
+/** `POST /pdf/signatures`-ийн хариу (201 шинэ, 200 идэмпотент давталт). */
+interface RegisterSignatureResult {
+    docID: string;
+    revIndex: number;
+    /** RFC 3339 (+08). */
+    registeredAt: string;
+    /** Нийтийн шалгах хуудас (`https://ca.eidmongolia.mn/verify/<docID>`). */
+    verifyUrl: string;
+    raw: unknown;
+}
+/**
+ * `POST /pdf/signatures`-ийн JSON бие — CA `dto.PDFSignatureRegisterRequest`-ийн талбарын дарааллаар, зөвхөн
+ * {@link PDF_SIGNATURE_REGISTER_FIELDS}. Оролтыг шалгана (ValidationError).
+ */
+declare function buildRegisterBody(input: RegisterSignatureInput): Record<string, unknown>;
 /** Certificate-choice session-ий тохиргоо. */
 interface CertChoiceOptions {
     certificateLevel?: CertificateLevel;
@@ -144,6 +254,25 @@ declare class SignApi {
     digestByEtsi(id: string, digestB64: string, interactions: Interaction[], opts?: SignOptions): Promise<NotificationSession>;
     /** Бэлэн digest-ээр push sign — баримтын дугаараар (auth / certificate-choice-оос гарсан documentNumber дээр). */
     digestByDocument(documentNumber: string, digestB64: string, interactions: Interaction[], opts?: SignOptions): Promise<NotificationSession>;
+    /**
+     * Клиент талын PAdES (`@gerege-systems/eid-mongolia-sdk/pades`): `prepare()`-ийн DTBS-д иргэнээр гарын үсэг зуруулна.
+     * PDF CA руу ОЧИХГҮЙ — зөвхөн 32 байт. CA-ийн өөрийн PAdES session-тэй ижил: `RAW_DIGEST_SIGNATURE`,
+     * `sha256WithRSAEncryption` (CMS-д PKCS#1 v1.5; legacy ECDSA иргэнд сервер `ecdsa-with-SHA256`), `displayTextAndPIN`
+     * «Баримтад гарын үсэг зурах: <fileName>» (60 тэмдэгтэд тайрна).
+     *
+     * Дараа нь `session.waitForResult(sessionId)` → `validator.validateSign(result, s.digest)` → `signature.value`-г
+     * (base64 → байт) `complete(state, signature)`-д.
+     */
+    pdfDigest(input: PdfDigestInput): Promise<PdfDigestSession>;
+    /**
+     * `POST /pdf/signatures` — `pades.complete()`-ийн дараа CMS-ийг CA-д бүртгэнэ (`/verify/{docID}`, иргэний түүх). PDF
+     * илгээгдэхгүй. SIGN эрх. CA CMS-ийг шалгана: 04-ийн SIGN cert, session digest = SHA-256(signedAttrs), claimedRole ↔
+     * төлөөлөл. Алдаа: 403 `REPRESENTATION_REVOKED`, 409 `CLAIMED_ROLE_MISMATCH` / `REGISTRY_CONFLICT` /
+     * `DOC_ID_CONFLICT` / `PDF_FOREIGN_SIGNATURE` (`ApiError.code`). Бүртгэлгүй файл ч Adobe/EU DSS-д хүчинтэй — зөвхөн
+     * `/verify` «бүртгэлгүй» гэнэ.
+     */
+    registerSignature(input: RegisterSignatureInput): Promise<RegisterSignatureResult>;
+    private registerBody;
     /** Текстийн SHA-256 digest-ийг дотроо тооцоод push sign (богино текст баримтад тохиромжтой). */
     textByEtsi(id: string, text: string, interactions: Interaction[], opts?: SignOptions): Promise<NotificationSession>;
     /**
@@ -207,147 +336,6 @@ declare class SessionApi {
     }): Promise<SessionResult>;
 }
 
-interface PdfDefaults {
-    certificateLevel: CertificateLevel;
-    /** prepare / document дуудлагын хугацаа (мс); анхдагч {@link DEFAULT_PDF_TIMEOUT_MS}. */
-    timeoutMs?: number;
-    /** document / tokenDocument-ийн санах ойд унших дээд хэмжээ (байт); анхдагч {@link DEFAULT_PDF_MAX_BYTES}. */
-    maxBytes?: number;
-}
-/** Гарын үсэгтэй PDF татахад санах ойд уншиж болох анхдагч дээд хэмжээ (64 MiB) — `ClientConfig.pdfMaxBytes`. */
-declare const DEFAULT_PDF_MAX_BYTES: number;
-/**
- * PAdES prepare / баримт татах нэг дуудлагын анхдагч хугацаа (мс). CA prepare нь ≤ 10 MiB уншиж, өмнөх гарын үсэг +
- * LTV өгөгдөл шалгаад push эхлүүлдэг; баримт татахад угсралтыг ≤ 30с хүлээдэг (PADES_SIGNING §3.4). 80с нь хоёуланд
- * хүрэлцэнэ, CA-ийн nginx proxy_read_timeout-оос бага.
- */
-declare const DEFAULT_PDF_TIMEOUT_MS = 80000;
-/** Гарын үсэг зурагч — яг нэг нь. */
-type PdfSignerRef = {
-    etsi: string;
-} | {
-    documentNumber: string;
-} | {
-    certificateChoiceSessionId: string;
-};
-interface PdfPrepareInput {
-    /** Эх PDF (≤ 10 223 616 байт — `/.well-known/eid` `pdfSigning.maxInputBytes`). */
-    pdf: Uint8Array;
-    /** Баримтын нэр (≤ 120 тэмдэгт) — /verify хуудас, иргэний түүхэнд харагдана. */
-    fileName: string;
-    signer: PdfSignerRef;
-    /** `notification` (push) эсвэл `device-link` (QR/Web2App/App2App). Анхдагч notification. */
-    flow?: "notification" | "device-link";
-    certificateLevel?: CertificateLevel;
-    /** device-link Web2App/App2App буцах URL. */
-    initialCallbackUrl?: string;
-    /** Олон гарын үсэгтэй баримтад хүлээж буй docID (заавал биш — CA өөрөө олно). */
-    docID?: string;
-    /**
-     * Байгууллагын нэрийн өмнөөс: байгууллагын ETSI (`NTRMN-<бүртгэл>`). Сервер төлөөллийг prepare-д ба баримт
-     * угсрахын өмнө дахин шалгана; татгалзвал `ForbiddenError`/`ApiError` `.code` ({@link OnBehalfErrorCode}).
-     */
-    onBehalfOf?: string;
-}
-/** prepare-ийн хариу. device-link-д `deviceLink` (digest/interactions-ийг authCode-д ЯГ ХЭВЭЭР). */
-interface PdfPrepareSession {
-    sessionId: string;
-    docId: string;
-    /** Иргэнд ХАРУУЛАХ баталгаажуулах код (ПИН биш). */
-    vc: string | null;
-    /**
-     * Иргэний зурах DTBS (base64, SHA-256 = 32 байт) — урсгалаас үл хамааран. Хариуны гарын үсгийг өөрөө шалгахад:
-     * `validator.validateSign(result, digest)`. Хуучин CA push хариунд талбаргүй → undefined (device-link-д
-     * `deviceLink.digest`-ээс).
-     */
-    digest?: string;
-    deviceLink: {
-        sessionToken: string;
-        sessionSecret: string;
-        deviceLinkBase: string;
-        digest: string;
-        interactions: string;
-    } | null;
-    /** SDK хариу хүлээн авсан мөч (ms epoch) — QR-ийн `receivedAt` ({@link buildDeviceLink}). */
-    receivedAt: number;
-}
-/** USB токены PAdES — POST /pdf/token/prepare-ийн оролт. */
-interface PdfTokenPrepareInput {
-    /** Эх PDF (≤ 10 223 616 байт). */
-    pdf: Uint8Array;
-    /** Баримтын нэр (≤ 120 тэмдэгт, заавал). */
-    fileName: string;
-    /** Иргэний ETSI (`PNOMN-…`) — токены гэрчилгээний SERIALNUMBER-тэй таарна. */
-    signerEtsi: string;
-    /** Токены SIGN гэрчилгээ (DER): eID Mongolia Issuing CA-аас, ACTIVE токенд холбогдсон. */
-    certificate: Uint8Array;
-    /** Олон гарын үсэгтэй баримтын docID (заавал биш, UUID). */
-    docID?: string;
-    /** Байгууллагын токенд ЗААВАЛ тухайн байгууллага (`NTRMN-…`); хувийн токенд хоосон. Зөрвөл 403 TOKEN_ORG_MISMATCH. */
-    onBehalfOf?: string;
-}
-/** POST /pdf/token/prepare-ийн хариу. */
-interface PdfTokenPrepareSession {
-    signingId: string;
-    docId: string;
-    /** Токеноор зурах 32 байт (SHA-256 DTBS): CKM_ECDSA (prehashed) → түүхий r||s (64 байт). */
-    hashToSign: Uint8Array;
-    hashAlgorithm: string;
-    signatureAlgorithm: string;
-    /** "RAW_RS". */
-    signatureFormat: string;
-    /** tokenFinalize-ийн эцсийн хугацаа (prepare-ээс 10 мин), ISO-8601. */
-    expiresAt: string;
-    raw: unknown;
-}
-declare class PdfApi {
-    private readonly http;
-    private readonly creds;
-    private readonly defaults;
-    constructor(http: Http, creds: RpCredentials, defaults: PdfDefaults);
-    /**
-     * POST /pdf/sign/prepare — multipart (`request` JSON + `pdf`). SIGN эрх шаардана. Түр алдаа: `ApiError` 429
-     * PDF_PREPARE_BUSY, 503 LTV_UNAVAILABLE / TSA_UNAVAILABLE — `retryAfterMs`-ийн дараа дахин (`retryable`).
-     */
-    prepare(input: PdfPrepareInput): Promise<PdfPrepareSession>;
-    /**
-     * GET /pdf/sign/{sessionID}/document — гарын үсэгтэй PDF (READY-ээс хойш 30 мин). Татсан байтын SHA-256-ийг
-     * session-ий `pdf.outSha256`-тай тулга. Эрх хасагдсан бол `ForbiddenError` `.code = "REPRESENTATION_REVOKED"`. Баримт
-     * бэлэн болоогүй бол `ApiError` 503 `.code` DOCUMENT_PENDING / TSA_UNAVAILABLE / LTV_UNAVAILABLE — `retryAfterMs`-ийн
-     * дараа дахин татна (`retryable`).
-     */
-    document(sessionId: string): Promise<Uint8Array>;
-    private get timeout();
-    private get maxBytes();
-    /**
-     * USB токены PAdES (CA docs/PADES_SIGNING.md §16.5, TOKEN_CERT.md) — session / утас оролцохгүй. POST /pdf/token/prepare
-     * (multipart: `request` JSON + `pdf`), SIGN эрх. Дараа нь токеноор `hashToSign`-ийг CKM_ECDSA (prehashed, P-256)-аар
-     * зурж {@link tokenFinalize}. Түр алдаа: `ApiError` 429 PDF_PREPARE_BUSY / RATE_LIMITED, 503 TSA_UNAVAILABLE /
-     * LTV_UNAVAILABLE / STATE_UNAVAILABLE (`retryable`). Гэрчилгээ токенд холбогдоогүй / цуцлагдсан → 409
-     * TOKEN_CERT_INVALID. Зам нь CA-д бий ч `/.well-known/eid`-д хараахан алга (гэрээний тест WARN).
-     */
-    tokenPrepare(input: PdfTokenPrepareInput): Promise<PdfTokenPrepareSession>;
-    /**
-     * POST /pdf/token/{signingID}/finalize `{signature: base64 түүхий r||s}` — `signature` 64 байт (P-256 r||s, DER БИШ).
-     * Амжвал READY баримтын блок (`outSha256` — {@link tokenDocument}-оор татсан файлтай тулга). READY-ээс хойш идэмпотент.
-     * Алдаа: 400 SIGNATURE_INVALID (3 удаа → FAILED), 409 DOCUMENT_FAILED, 410 DOCUMENT_EXPIRED, 503 DOCUMENT_PENDING /
-     * TSA_UNAVAILABLE / LTV_UNAVAILABLE — ижил гарын үсгийг `retryAfterMs`-ийн дараа дахин илгээнэ.
-     */
-    tokenFinalize(signingId: string, signature: Uint8Array): Promise<PdfSessionBlock>;
-    /**
-     * GET /pdf/token/{signingID}/document — гарын үсэгтэй PDF (зөвхөн үүсгэсэн RP, expiresAt хүртэл), `pdfMaxBytes`
-     * хүртэл. SHA-256-ийг {@link tokenFinalize}-ийн `outSha256`-тай заавал тулга.
-     */
-    tokenDocument(signingId: string): Promise<Uint8Array>;
-    /**
-     * {@link document} + тулгалт: татсан байтын SHA-256 нь session poll-ийн `pdf.outSha256`-тай тэнцүү байх ёстой.
-     * `expected` — poll-ийн `result.pdf` блок (`documentStatus` READY + `outSha256` заавал) эсвэл SHA-256 hex.
-     *
-     * @throws {ValidationError} блок READY биш / `outSha256` алга / hash таарахгүй (файлд бүү итгэ).
-     */
-    documentVerified(sessionId: string, expected: PdfSessionBlock | string): Promise<Uint8Array>;
-}
-
 declare class OrganizationApi {
     private readonly http;
     constructor(http: Http);
@@ -892,13 +880,6 @@ interface ClientConfig {
     defaultCertificateLevel?: CertificateLevel;
     /** HTTP timeout (мс). */
     timeoutMs?: number;
-    /** PAdES prepare / баримт татах дуудлагын хугацаа (мс). Анхдагч 80000 ({@link DEFAULT_PDF_TIMEOUT_MS}). */
-    pdfTimeoutMs?: number;
-    /**
-     * `pdf.document` / `pdf.tokenDocument`-ийн санах ойд унших дээд хэмжээ (байт). Анхдагч 64 MiB
-     * ({@link DEFAULT_PDF_MAX_BYTES}); хэтэрвэл `ResponseTooLargeError`.
-     */
-    pdfMaxBytes?: number;
     /** undici Dispatcher (mTLS client cert). */
     dispatcher?: unknown;
     /** fetch орлуулагч (тест). */
@@ -924,7 +905,6 @@ declare function resolveBaseUrl(baseUrl: string | undefined): string;
 declare class EidClient {
     readonly auth: AuthApi;
     readonly sign: SignApi;
-    readonly pdf: PdfApi;
     readonly organization: OrganizationApi;
     readonly person: PersonApi;
     readonly token: TokenApi;
@@ -933,8 +913,19 @@ declare class EidClient {
     /** `credentials.rpName` — иргэний утсанд харагдах RP нэр. */
     readonly rpName: string;
     constructor(cfg: ClientConfig);
+    /** {@link SignApi.pdfDigest} — клиент талын PAdES-ийн DTBS-д гарын үсгийн session (PDF CA руу очихгүй). */
+    signPdfDigest(input: PdfDigestInput): Promise<PdfDigestSession>;
+    /** {@link SignApi.registerSignature} — `pades.complete()`-ийн CMS-ийг CA-д бүртгэнэ (`POST /pdf/signatures`). */
+    registerSignature(input: RegisterSignatureInput): Promise<RegisterSignatureResult>;
 }
 
+/**
+ * `POST /pdf/signatures`-ийн биеийн талбарууд — CA `server/internal/dto/pdf.go` `PDFSignatureRegisterRequest`-ийн JSON
+ * tag (CA main d948fdd4, !355). CA `DisallowUnknownFields` тул SDK зөвхөн эдгээрийг илгээнэ. Live discovery-ийн
+ * `endpoints.pdf.signatures` тайлбартай гэрээний тест тулгана.
+ */
+declare const PDF_SIGNATURE_REGISTER_FIELDS: readonly ["docID", "revIndex", "medium", "sessionID", "cms", "fileName", "inSha256", "pageSha256", "sigRevSha256", "outSha256", "priorCmsSha256", "priorRevisionSha256", "onBehalfOf", "signerEtsi"];
+
 /** SHA-256 digest, base64. Текст эсвэл байтаас. Sign flow-ийн baримтын digest үүсгэхэд. */
 declare function sha256Base64(data: string | Uint8Array): string;
 /** Санамсаргүй RP challenge (default 64 байт), base64. Auth flow-д replay-ээс хамгаална. */
@@ -1101,6 +1092,20 @@ interface EidLoginSuccess {
     data?: unknown;
     headers?: Record<string, string | string[]>;
 }
+/** Хязгаарлагч: true — зөвшөөрөх, false — 429. */
+type EidLoginRateLimitFn = (key: string) => boolean | Promise<boolean>;
+/** Нэг төрлийн хязгаар: санах ойн гулсах цонх, өөрийн функц, эсвэл `false` (хязгааргүй). */
+type EidLoginRateRule = {
+    limit: number;
+    windowMs: number;
+} | EidLoginRateLimitFn | false;
+/** Төрөл тус бүрийн хязгаар: `start` — `start:<ip>`, `push` — `push:<idCode>`. */
+interface EidLoginRateLimits {
+    start?: EidLoginRateRule;
+    push?: EidLoginRateRule;
+}
+/** Анхдагч хязгаар — `rateLimit`-ийн объектод өгөөгүй төрөл энүүгээр үлдэнэ. `{ ...defaultRateLimit, start: … }`. */
+declare const defaultRateLimit: Readonly<EidLoginRateLimits>;
 interface EidLoginOptions {
     client: EidClient;
     /**
@@ -1132,10 +1137,15 @@ interface EidLoginOptions {
         domain?: string;
     };
     /**
-     * Хязгаарлалт: `start:<ip>` (ip мэдэгдэж байвал) ба `push:<idCode>` түлхүүрээр дуудагдана; false → 429.
-     * Анхдагч: push-д нэг дугаарт 60 секундэд 3 (санах ойд) — хохирогчийн утсыг мэдэгдлээр дарахаас (MFA fatigue).
+     * Хязгаарлалт. Түлхүүр: `start:<ip>` (ip мэдэгдэж байвал), `push:<idCode>`; false → 429.
+     * Анхдагч {@link defaultRateLimit}: push-д нэг дугаарт 60 секундэд 3 (санах ойд) — MFA fatigue-ээс.
+     *
+     * - Объект `{ start?, push? }` — анхдагчтай НЭГТГЭГДЭНЭ: өгсөн төрөл анхдагчийг дарна, өгөөгүй нь анхдагчаараа.
+     *   Утга: `{ limit, windowMs }` (санах ойн гулсах цонх), функц (Redis г.м.) эсвэл `false` (тухайн төрлийг хязгаарлахгүй).
+     * - Функц `(key) => boolean` — бүх түлхүүрт дуудагдана, анхдагч хязгаар ДЭЭР НЭМЭГДЭНЭ (хоёулаа зөвшөөрөх ёстой).
+     *   Анхдагчийг сулруулах/солих бол объект хэлбэрээр тухайн төрлийг өг.
      */
-    rateLimit?: (key: string) => boolean | Promise<boolean>;
+    rateLimit?: EidLoginRateLimitFn | EidLoginRateLimits;
     /**
      * `handle(Request)`-ийн клиент IP (`start:<ip>` хязгаарт). Web-standard `Request`-д IP байдаггүй тул эсвэл энийг, эсвэл
      * {@link EidLoginOptions.trustProxy}-г өг; аль нь ч үгүй бол IP-ээр хязгаарлахгүй (анхны дуудлагад onError-оор анхааруулна).
@@ -1187,4 +1197,4 @@ declare function withReturnHint(callbackUrl: string, userAgent: string): string;
  */
 declare function createEidLogin(opts: EidLoginOptions): EidLogin;
 
-export { AcspContext, type AcspV2Params, type ActivityCounts, type ActivityItem, type ActivityQuery, AuthApi, type AuthDefaults, type AuthOptions, type BuildDeviceLinkInput, CITIZEN_ISSUING_CA_SKI, type CertChoiceOptions, type CertCounts, type CertSubject, CertificateLevel, type ClientConfig, DEFAULT_BASE_URL, DEFAULT_PDF_MAX_BYTES, DEFAULT_PDF_TIMEOUT_MS, DeviceLinkSession, type DeviceLinkSessionType, type DeviceLinkType, EidClient, type EidLogin, type EidLoginContext, type EidLoginIdentity, type EidLoginMode, type EidLoginOptions, type EidLoginRequest, type EidLoginResponse, type EidLoginStore, type EidLoginSuccess, type EidLoginTx, FlowType, HashAlgorithm, Http, type HttpConfig, Interaction, NotificationSession, OrganizationApi, PdfApi, type PdfDefaults, type PdfPrepareInput, type PdfPrepareSession, PdfSessionBlock, type PdfSignerRef, type PdfTokenPrepareInput, type PdfTokenPrepareSession, type PersonActivity, PersonApi, PersonBlock, type PersonCertificate, type PersonCertificates, type PersonChild, type PersonChildren, type PersonDevice, type PersonDevices, type PersonSummary, type QrDeviceLinkTickerOptions, RepresentationsResponse, ResponseValidator, type RevocationChecker, type RevocationOutcome, type RevocationStatus, RpCredentials, SessionApi, SessionResult, SignApi, type SignDefaults, type SignOptions, SignatureAlgorithm, type Signer, type SignerRef, TokenApi, type TokenAuthChallenge, type TokenAuthResult, type TokenCertInput, type TokenCertItem, type TokenCertResult, type TokenCertStart, type TokenIdentity, type TokenLimit, type TokenOrganization, type TrustConfig, type ValidateAuthOptions, type ValidateSignOptions, type VerifiedIdentity, type VerifiedSignature, acspV2Digest, buildAcspV2Payload, buildDeviceLink, createEidLogin, deviceLinkInput, forwardedClientIp, interactionsToBase64, memoryLoginStore, parseSessionResult, parseSubject, personMatchesCertificate, qrDeviceLinkTicker, randomChallenge, resolveBaseUrl, sha256Base64, tokenAuthDigest, tokenLimitOf, userChallengeOf, verifyPayloadSignature, verifyPrehashedSignature, verifyTokenCertificates, withReturnHint };
+export { AcspContext, type AcspV2Params, type ActivityCounts, type ActivityItem, type ActivityQuery, AuthApi, type AuthDefaults, type AuthOptions, type BuildDeviceLinkInput, CITIZEN_ISSUING_CA_SKI, type CertChoiceOptions, type CertCounts, type CertSubject, CertificateLevel, type ClientConfig, type CompletedForRegistration, DEFAULT_BASE_URL, DeviceLinkSession, type DeviceLinkSessionType, type DeviceLinkType, EidClient, type EidLogin, type EidLoginContext, type EidLoginIdentity, type EidLoginMode, type EidLoginOptions, type EidLoginRateLimitFn, type EidLoginRateLimits, type EidLoginRateRule, type EidLoginRequest, type EidLoginResponse, type EidLoginStore, type EidLoginSuccess, type EidLoginTx, FlowType, HashAlgorithm, Http, type HttpConfig, Interaction, NotificationSession, OrganizationApi, PDF_SIGNATURE_REGISTER_FIELDS, type PdfDigestInput, type PdfDigestSession, type PdfDigestSigner, type PersonActivity, PersonApi, PersonBlock, type PersonCertificate, type PersonCertificates, type PersonChild, type PersonChildren, type PersonDevice, type PersonDevices, type PersonSummary, type QrDeviceLinkTickerOptions, type RegisterSignatureInput, type RegisterSignatureResult, RepresentationsResponse, ResponseValidator, type RevocationChecker, type RevocationOutcome, type RevocationStatus, RpCredentials, SessionApi, SessionResult, SignApi, type SignDefaults, type SignOptions, SignatureAlgorithm, type Signer, type SignerRef, TokenApi, type TokenAuthChallenge, type TokenAuthResult, type TokenCertInput, type TokenCertItem, type TokenCertResult, type TokenCertStart, type TokenIdentity, type TokenLimit, type TokenOrganization, type TrustConfig, type ValidateAuthOptions, type ValidateSignOptions, type VerifiedIdentity, type VerifiedSignature, acspV2Digest, buildAcspV2Payload, buildDeviceLink, buildRegisterBody, createEidLogin, defaultRateLimit, deviceLinkInput, forwardedClientIp, interactionsToBase64, memoryLoginStore, parseSessionResult, parseSubject, personMatchesCertificate, qrDeviceLinkTicker, randomChallenge, registrationFromCompleted, resolveBaseUrl, sha256Base64, tokenAuthDigest, tokenLimitOf, userChallengeOf, verifyPayloadSignature, verifyPrehashedSignature, verifyTokenCertificates, withReturnHint };