@gerege-systems/eid-mongolia-sdk 0.2.0 → 0.4.0

package/README.md

@@ -4,7 +4,8 @@
 (authentication) ба хууль ёсны цахим гарын үсэг (qualified signature) хийлгэх Node.js/TypeScript сан.
 RP-API v3, Smart-ID нийцтэй. Бүрэн баримт: <https://eidmongolia.mn/developers>.
 
-> ⚠️ Зөвхөн **backend**-д ажиллана. API secret (`rp_sk_…`) браузер/гар утсанд хэзээ ч задлахгүй.
+> ⚠️ Зөвхөн **backend**-д ажиллана (`@gerege-systems/eid-mongolia-sdk/browser`-ийн device-link туслахаас бусад).
+> API secret (`rp_sk_…`) браузер/гар утсанд хэзээ ч задлахгүй.
 
 ## Суулгах
 
@@ -26,7 +27,7 @@ Node.js ≥ 22 (global `fetch`, `node:crypto`).
 import { EidClient } from "@gerege-systems/eid-mongolia-sdk";
 
 const eid = new EidClient({
-  baseUrl: "https://ca.eidmongolia.mn",
+  // baseUrl анхдагч https://rp.eidmongolia.mn (RP-API, /v3-гүй) — mTLS-тэй RP ч мөн энэ хост
   credentials: {
     rpUUID: process.env.EID_RP_UUID!,
     rpName: "Интернэт банк", // дэд системийн нэр, ≤120 тэмдэгт
@@ -66,6 +67,42 @@ const sig = eid.validator.validateSign(result, digest); // digest-ийн эср
 console.log(sig.signatureValueB64, sig.subject);
 ```
 
+## 4. Ижил төхөөрөмж (App2App / Web2App)
+
+Иргэн RP-ийн сайт/аппыг **eID апптай ижил утсан дээр** нээсэн бол QR уншуулах боломжгүй — device-link
+session эхлүүлээд холбоосоор аппыг шууд нээнэ. Desktop дээр ижил холбоосыг QR болгож харуулна.
+
+```ts
+// backend — session эхлүүлээд браузерт ЗӨВХӨН sessionId, vc, deviceLinkBase-ийг өгнө (secret/token биш)
+const s = await eid.auth.deviceLinkAnonymous([{ type: "displayTextAndPIN", displayText60: "Хаан Банк-д нэвтрэх" }]);
+res.json({ sessionId: s.sessionId, vc: s.vc, deviceLinkBase: s.deviceLinkBase }); // s.acsp-ийг серверт хадгал
+
+// холбоос: `${deviceLinkBase}?sessionId=<uuid>&vc=<5 орон>` (ж: https://ca.eidmongolia.mn/dl?...)
+import { deviceLink } from "@gerege-systems/eid-mongolia-sdk";
+const link = deviceLink(s);
+```
+
+```ts
+// браузер — node:*-гүй тусдаа entry
+import { openOrShowQR } from "@gerege-systems/eid-mongolia-sdk/browser";
+
+button.onclick = () => {
+  // session-ийг урьдчилж авсан байна — энд await хийхгүй
+  const how = openOrShowQR(session, { showQR: (link) => renderQr(link) }); // "opened" | "qr"
+  showVc(session.vc); // иргэний утсан дээрх кодтой тулгуулна (ПИН биш)
+};
+// дараа нь backend: eid.session.waitForResult(sessionId) → eid.validator.validateAuth(result, s.acsp)
+```
+
+- Гар утас (iOS/Android, desktop UA илгээдэг iPadOS ч) бол `location.assign(link)` — Universal Link / App Link
+  аппыг нээнэ; бусад үед `showQR(link)`. Илрүүлэгчийг `isMobile: boolean | () => boolean`-оор солино
+  (анхдагч `isMobileUserAgent()`).
+- **Click handler дотроос шууд дууд.** iOS урт async гинжийн (fetch → await → …) дараах навигацийг
+  хэрэглэгчийн үйлдэл гэж үзэхгүй, Universal Link-ийг алгасаж `/dl` хуудсыг нээдэг — тэр хуудас
+  «Аппаар нээх» товч ба App Store / Play холбоосыг санал болгоно (апп суугаагүй үед ч мөн).
+- `deviceLinkBase` хариунд байхгүй, `sessionId` UUID биш, `vc` 5 орон биш бол `DeviceLinkError` — холбоосыг
+  таахгүй. Апп руу custom scheme-ээр шууд бүү холбо — зөвхөн `deviceLink()`-ийн https холбоос.
+
 ## Аюулгүй байдал — яагаад `validator` заавал
 
 `endResult === "OK"` гэдэгт **дангаар нь итгэхгүй**. RP-API эвдэрсэн/proxy хийгдсэн бол хуурамч
@@ -91,6 +128,7 @@ OK ирж болзошгүй. Иймд `ResponseValidator`:
 | `ValidationError` | cert chain/signature/level шалгалт бүтэлгүйтсэн |
 | `ApiError` | бусад HTTP алдаа (`.status`, `.body`) |
 | `NetworkError` | timeout/сүлжээ |
+| `DeviceLinkError` | device-link холбоос угсрах боломжгүй (`deviceLinkBase` байхгүй, sessionId/vc буруу) |
 
 ## mTLS (eIDAS qualified орчин)
 

package/dist/browser-BS8JwSQk.d.cts

@@ -0,0 +1,223 @@
+/** Сертификатын баталгаажуулалтын түвшин (eIDAS LoA). QUALIFIED — хууль ёсны гарын үсэгт. */
+type CertificateLevel = "ADVANCED" | "QUALIFIED" | "QSCD";
+/** Гарын үсгийн протокол: auth → ACSP_V2, sign → RAW_DIGEST_SIGNATURE (Smart-ID v3). */
+type SignatureProtocol = "ACSP_V2" | "RAW_DIGEST_SIGNATURE";
+/** Гарын үсгийн алгоритм. rsassa-pss анхдагч; ecdsa-with-SHA256 — хуучин threshold-ECDSA cert. */
+type SignatureAlgorithm = "rsassa-pss" | "sha256WithRSAEncryption" | "sha384WithRSAEncryption" | "sha512WithRSAEncryption" | "ecdsa-with-SHA256";
+/** Hash алгоритм (Smart-ID v3 нэршил). Хуучин "SHA256" нэршил SDK-д БАЙХГҮЙ. */
+type HashAlgorithm = "SHA-256" | "SHA-384" | "SHA-512";
+/** Урсгалын төрөл — хариуны signature.flowType; RP өөрийн санал болгосонтой тулгана. */
+type FlowType = "QR" | "App2App" | "Web2App" | "Notification";
+/** rsassa-pss хариуны параметр (signature.signatureAlgorithmParameters). */
+interface SignatureAlgorithmParameters {
+    hashAlgorithm: HashAlgorithm | string;
+    maskGenAlgorithm?: {
+        algorithm: string;
+        parameters?: {
+            hashAlgorithm: string;
+        };
+    };
+    saltLength?: number;
+    trailerField?: string;
+}
+/**
+ * Auth session-ийн ACSP_V2 контекст — RP ХҮСЭЛТЭД илгээсэн утгууд. validator энэ + хариугаар
+ * payload-ийг дахин угсарна. Session эхлүүлэхэд SDK өөрөө бөглөнө; RP үүнийг хадгална.
+ */
+interface AcspContext {
+    rpChallenge: string;
+    relyingPartyName: string;
+    brokeredRpName: string;
+    /** Илгээсэн base64 МӨР (дахин serialize хийхгүй). */
+    interactions: string;
+    initialCallbackUrl: string;
+    /** RP-ийн санал болгосон урсгалууд — хариуны flowType эдгээрийн нэг байх ёстой. */
+    flowTypes: FlowType[];
+    signatureAlgorithm: SignatureAlgorithm;
+    hashAlgorithm: HashAlgorithm;
+}
+/**
+ * Interaction — иргэний утсан дээр харагдах харилцан үйлдэл. displayTextAndPIN нь PIN асууж
+ * текст харуулна (хамгийн түгээмэл). text60 — 60 тэмдэгт хүртэл; text200 — 200 хүртэл.
+ */
+interface Interaction {
+    type: "displayTextAndPIN" | "confirmationMessage" | "confirmationMessageAndVerificationCodeChoice";
+    displayText60?: string;
+    displayText200?: string;
+}
+/** Session-ийн төлөв. RUNNING — иргэн хариу өгөөгүй; COMPLETE — дууссан (endResult-ыг үз). */
+type SessionState = "RUNNING" | "COMPLETE";
+/**
+ * endResult — COMPLETE session-ийн эцсийн үр дүн.
+ *   OK                        — амжилттай (signature/cert бэлэн)
+ *   USER_REFUSED*             — иргэн татгалзсан
+ *   TIMEOUT                   — иргэн хугацаанд хариу өгөөгүй
+ *   DOCUMENT_UNUSABLE         — гэрчилгээ/төхөөрөмж ашиглах боломжгүй
+ *   WRONG_VC                  — баталгаажуулах код таарсангүй
+ */
+type EndResult = "OK" | "USER_REFUSED" | "USER_REFUSED_DISPLAYTEXTANDPIN" | "USER_REFUSED_VC_CHOICE" | "USER_REFUSED_CONFIRMATIONMESSAGE" | "USER_REFUSED_CERT_CHOICE" | "TIMEOUT" | "DOCUMENT_UNUSABLE" | "WRONG_VC" | "PROTOCOL_FAILURE" | string;
+/**
+ * Push (notification) session эхлүүлсний хариу. vc — иргэний дэлгэцэд ХАРУУЛАХ 5 оронтой
+ * баталгаажуулах код: утсан дээрх кодтой ижил эсэхийг НҮДЭЭР тулгах зориулалттай.
+ *
+ * VC нь ПИН БИШ — RP нь үүнийг хэрэглэгчээр оруулуулж болохгүй, зөвхөн харуулна. (PIN1 нь
+ * 4 оронтой; VC-г 5 оронтой болгосон нь хэрэглэгч андуурч PIN-ий талбарт оруулаад PIN
+ * блок болохоос сэргийлсэн зориудын ялгаа.)
+ */
+interface NotificationSession {
+    sessionId: string;
+    /** Verification Code — иргэний утсан дээр харагдах код. RP UI-даа ижлийг харуулна (man-in-the-middle хамгаалалт). */
+    vc: string | null;
+    /** RP-ийн илгээсэн санамсаргүй challenge (base64). Хариуны signature-ийг үүний эсрэг шалгана. */
+    rpChallenge: string;
+    /** Auth session-д validator-т өгөх контекст (sign session-д undefined). */
+    acsp?: AcspContext;
+}
+/** Device-link (QR/App2App) session. Иргэн QR уншиж эсвэл deeplink дарж нэгдэнэ. */
+interface DeviceLinkSession {
+    sessionId: string;
+    sessionToken: string | null;
+    sessionSecret: string | null;
+    /**
+     * QR/App2App/Web2App холбоосын суурь URL (ж: `https://ca.eidmongolia.mn/dl`). Холбоосыг
+     * өөрөө угсрахгүй — {@link deviceLink}-ээр.
+     */
+    deviceLinkBase: string | null;
+    /**
+     * Verification Code (5 оронтой) — иргэний утсан дээр харагдах кодтой НҮДЭЭР тулгахад RP UI-д
+     * харуулна. ПИН БИШ. Холбоосын `vc` параметрт мөн орно.
+     */
+    vc: string | null;
+    rpChallenge: string;
+    acsp?: AcspContext;
+}
+/** Session poll-ийн нэгтгэсэн үр дүн (validator-т орох түүхий материал). */
+interface SessionResult {
+    state: SessionState | string;
+    endResult: EndResult | null;
+    documentNumber: string | null;
+    /** Иргэний X.509 гэрчилгээ (DER, base64). cert chain validation-д орно. */
+    certificateDerB64: string | null;
+    certificateLevel: CertificateLevel | string | null;
+    /** Гарын үсгийн утга (base64). rpChallenge/digest-ийн эсрэг баталгаажна. */
+    signatureValueB64: string | null;
+    signatureAlgorithm: string | null;
+    signatureProtocol: string | null;
+    /** ACSP_V2 (auth): серверийн санамсаргүй (base64), утасны challenge (base64url), урсгал. */
+    serverRandom: string | null;
+    userChallenge: string | null;
+    flowType: string | null;
+    signatureAlgorithmParameters: SignatureAlgorithmParameters | null;
+    interactionTypeUsed: string | null;
+    /**
+     * Байгууллагын нэрийн өмнөөс (нэвтрэлт эсвэл гарын үсэг) байсан бол — СЕРВЕР төлөөллийн
+     * эрхийг session үүсэх үед шалгасны баталгаа. null бол ердийн хувь хүний session.
+     * RP энэ талбарыг л итгэж уншина (клиентийн сонголтод биш). docs/ORG_LOGIN.md.
+     */
+    onBehalfOf: OrgResult | null;
+}
+/** Session-ий байгууллагын блок — байгууллага + тухайн иргэний эрх (бүртгэлээс real-time). */
+interface OrgResult {
+    /** `NTRMN-<улсын бүртгэлийн дугаар>`. */
+    orgEtsi: string;
+    orgName: string | null;
+    /** Албан тушаал (ж: "Захирал"). Эрх хураагдсан бол null. */
+    role: string | null;
+    /** ADMIN | MANAGER. Эрх хураагдсан бол null. */
+    rightType: string | null;
+}
+/** RP-ийн нэвтрэх мэдээлэл — бүх дуудлагад хэрэгтэй таних тэмдэг + secret. */
+interface RpCredentials {
+    /** relying_parties-д бүртгэлтэй RP UUID. */
+    rpUUID: string;
+    /**
+     * Дэд системийн нэр (ж: «Интернэт банк») — CA-д session бүрд хадгалагдана, ≤120 тэмдэгт
+     * (сервер илүүг таслана). Иргэний утсан дээр харагдах нэр нь RP-ийн бүртгэлийн нэр.
+     */
+    rpName: string;
+    /** API secret (rp_sk_…). Зөвхөн backend-д хадгална — браузерт ХЭЗЭЭ Ч задлахгүй. */
+    apiSecret: string;
+}
+
+/** Холбоос угсрахад хэрэгтэй талбарууд — backend хариунаас браузерт зөвхөн эдгээрийг дамжуулна. */
+type DeviceLinkInput = Pick<DeviceLinkSession, "sessionId" | "vc" | "deviceLinkBase">;
+/**
+ * Device-link session-ийн холбоос: `${deviceLinkBase}?sessionId=<uuid>&vc=<код>`.
+ * QR-д эсвэл «eID аппаар нээх» товчинд тавина.
+ *
+ * @throws {DeviceLinkError} deviceLinkBase байхгүй / http(s) биш, sessionId UUID биш, vc 5 орон биш.
+ */
+declare function deviceLink(session: DeviceLinkInput): string;
+/** isMobileUserAgent-ийн уншдаг navigator-ийн хэсэг (тестэд орлуулна). */
+interface NavigatorLike {
+    userAgent?: string;
+    maxTouchPoints?: number;
+    userAgentData?: {
+        mobile?: boolean;
+    };
+}
+/**
+ * Анхдагч гар утас/таблет илрүүлэгч: Android, iPhone/iPod/iPad, UA-CH `mobile`, мөн desktop UA
+ * илгээдэг iPadOS (Macintosh + мэдрэгч дэлгэц, maxTouchPoints > 1).
+ */
+declare function isMobileUserAgent(nav?: NavigatorLike): boolean;
+interface OpenOrShowQROptions {
+    /** Desktop дээр QR харуулах (link-ийг QR болгох нь RP-ийн UI). */
+    showQR: (link: string) => void;
+    /** Гар утас эсэх — boolean эсвэл функц. Анхдагч {@link isMobileUserAgent}. */
+    isMobile?: boolean | (() => boolean);
+}
+/**
+ * Браузерт: гар утсан дээр eID аппыг шууд нээнэ (`location.assign(link)` — Universal Link /
+ * App Link), бусад үед `showQR(link)` дуудна. Буцаах утга: `"opened"` эсвэл `"qr"`.
+ *
+ * (!) Товчны click handler дотроос ШУУД (await-гүйгээр) дууд — session-ийг урьдчилж эхлүүлээд
+ * хадгал. iOS урт async гинжийн дараах навигацийг хэрэглэгчийн үйлдэл гэж тооцохгүй тул Universal
+ * Link-ийг алгасаж /dl хуудсыг нээдэг; тэр хуудас «Аппаар нээх» товч ба store холбоосыг санал болгоно.
+ *
+ * @throws {DeviceLinkError} холбоос угсрах боломжгүй бол ({@link deviceLink}).
+ */
+declare function openOrShowQR(session: DeviceLinkInput, opts: OpenOrShowQROptions): "opened" | "qr";
+
+/** Бүх SDK алдааны суурь. */
+declare class EidError extends Error {
+    constructor(message: string);
+}
+/** HTTP 401 — API secret буруу/байхгүй. Тохиргооны (RP secret) алдаа. */
+declare class AuthenticationError extends EidError {
+}
+/** HTTP 403 — IP allowlist/mTLS зөвшөөрөөгүй. Танай серверийн IP бүртгэгдээгүй байж магадгүй. */
+declare class ForbiddenError extends EidError {
+}
+/** RP-API-аас ирсэн бусад HTTP алдаа (4xx/5xx). status ба хариуны биеийг агуулна. */
+declare class ApiError extends EidError {
+    readonly status: number;
+    readonly body: string;
+    constructor(status: number, body: string);
+}
+/** Сүлжээ/timeout — upstream хариу өгсөнгүй. */
+declare class NetworkError extends EidError {
+}
+/**
+ * Session амжилтгүй дууссан (endResult ≠ OK): TIMEOUT, USER_REFUSED*, DOCUMENT_UNUSABLE гм.
+ * endResult-оор салгаж RP UI-д тохирох мессеж харуулна.
+ */
+declare class SessionFailedError extends EidError {
+    readonly endResult: string;
+    constructor(endResult: string);
+}
+/**
+ * Хариуны баталгаажуулалт бүтэлгүйтсэн — cert chain итгэлцэлгүй, signature challenge-тэй
+ * таарсангүй, эсвэл certLevel хүрэлцээгүй. ЭНЭ алдаа гарвал хариунд ИТГЭХГҮЙ
+ * (хуурамч/proxy хийгдсэн байж болзошгүй).
+ */
+declare class ValidationError extends EidError {
+}
+/**
+ * Device-link (App2App/Web2App) холбоос угсрах боломжгүй — хариунд `deviceLinkBase` байхгүй,
+ * эсвэл sessionId/vc/суурь URL хэлбэр буруу. Session-ийг дахин эхлүүлнэ; холбоосыг таахгүй.
+ */
+declare class DeviceLinkError extends EidError {
+}
+
+export { type AcspContext as A, type CertificateLevel as C, type DeviceLinkSession as D, EidError as E, type FlowType as F, type HashAlgorithm as H, type Interaction as I, type NotificationSession as N, type OpenOrShowQROptions as O, type RpCredentials as R, type SignatureAlgorithm as S, ValidationError as V, type SessionResult as a, ApiError as b, AuthenticationError as c, DeviceLinkError as d, type DeviceLinkInput as e, type EndResult as f, ForbiddenError as g, type NavigatorLike as h, NetworkError as i, SessionFailedError as j, type SessionState as k, type SignatureAlgorithmParameters as l, type SignatureProtocol as m, deviceLink as n, isMobileUserAgent as o, openOrShowQR as p };

package/dist/browser-BS8JwSQk.d.ts

@@ -0,0 +1,223 @@
+/** Сертификатын баталгаажуулалтын түвшин (eIDAS LoA). QUALIFIED — хууль ёсны гарын үсэгт. */
+type CertificateLevel = "ADVANCED" | "QUALIFIED" | "QSCD";
+/** Гарын үсгийн протокол: auth → ACSP_V2, sign → RAW_DIGEST_SIGNATURE (Smart-ID v3). */
+type SignatureProtocol = "ACSP_V2" | "RAW_DIGEST_SIGNATURE";
+/** Гарын үсгийн алгоритм. rsassa-pss анхдагч; ecdsa-with-SHA256 — хуучин threshold-ECDSA cert. */
+type SignatureAlgorithm = "rsassa-pss" | "sha256WithRSAEncryption" | "sha384WithRSAEncryption" | "sha512WithRSAEncryption" | "ecdsa-with-SHA256";
+/** Hash алгоритм (Smart-ID v3 нэршил). Хуучин "SHA256" нэршил SDK-д БАЙХГҮЙ. */
+type HashAlgorithm = "SHA-256" | "SHA-384" | "SHA-512";
+/** Урсгалын төрөл — хариуны signature.flowType; RP өөрийн санал болгосонтой тулгана. */
+type FlowType = "QR" | "App2App" | "Web2App" | "Notification";
+/** rsassa-pss хариуны параметр (signature.signatureAlgorithmParameters). */
+interface SignatureAlgorithmParameters {
+    hashAlgorithm: HashAlgorithm | string;
+    maskGenAlgorithm?: {
+        algorithm: string;
+        parameters?: {
+            hashAlgorithm: string;
+        };
+    };
+    saltLength?: number;
+    trailerField?: string;
+}
+/**
+ * Auth session-ийн ACSP_V2 контекст — RP ХҮСЭЛТЭД илгээсэн утгууд. validator энэ + хариугаар
+ * payload-ийг дахин угсарна. Session эхлүүлэхэд SDK өөрөө бөглөнө; RP үүнийг хадгална.
+ */
+interface AcspContext {
+    rpChallenge: string;
+    relyingPartyName: string;
+    brokeredRpName: string;
+    /** Илгээсэн base64 МӨР (дахин serialize хийхгүй). */
+    interactions: string;
+    initialCallbackUrl: string;
+    /** RP-ийн санал болгосон урсгалууд — хариуны flowType эдгээрийн нэг байх ёстой. */
+    flowTypes: FlowType[];
+    signatureAlgorithm: SignatureAlgorithm;
+    hashAlgorithm: HashAlgorithm;
+}
+/**
+ * Interaction — иргэний утсан дээр харагдах харилцан үйлдэл. displayTextAndPIN нь PIN асууж
+ * текст харуулна (хамгийн түгээмэл). text60 — 60 тэмдэгт хүртэл; text200 — 200 хүртэл.
+ */
+interface Interaction {
+    type: "displayTextAndPIN" | "confirmationMessage" | "confirmationMessageAndVerificationCodeChoice";
+    displayText60?: string;
+    displayText200?: string;
+}
+/** Session-ийн төлөв. RUNNING — иргэн хариу өгөөгүй; COMPLETE — дууссан (endResult-ыг үз). */
+type SessionState = "RUNNING" | "COMPLETE";
+/**
+ * endResult — COMPLETE session-ийн эцсийн үр дүн.
+ *   OK                        — амжилттай (signature/cert бэлэн)
+ *   USER_REFUSED*             — иргэн татгалзсан
+ *   TIMEOUT                   — иргэн хугацаанд хариу өгөөгүй
+ *   DOCUMENT_UNUSABLE         — гэрчилгээ/төхөөрөмж ашиглах боломжгүй
+ *   WRONG_VC                  — баталгаажуулах код таарсангүй
+ */
+type EndResult = "OK" | "USER_REFUSED" | "USER_REFUSED_DISPLAYTEXTANDPIN" | "USER_REFUSED_VC_CHOICE" | "USER_REFUSED_CONFIRMATIONMESSAGE" | "USER_REFUSED_CERT_CHOICE" | "TIMEOUT" | "DOCUMENT_UNUSABLE" | "WRONG_VC" | "PROTOCOL_FAILURE" | string;
+/**
+ * Push (notification) session эхлүүлсний хариу. vc — иргэний дэлгэцэд ХАРУУЛАХ 5 оронтой
+ * баталгаажуулах код: утсан дээрх кодтой ижил эсэхийг НҮДЭЭР тулгах зориулалттай.
+ *
+ * VC нь ПИН БИШ — RP нь үүнийг хэрэглэгчээр оруулуулж болохгүй, зөвхөн харуулна. (PIN1 нь
+ * 4 оронтой; VC-г 5 оронтой болгосон нь хэрэглэгч андуурч PIN-ий талбарт оруулаад PIN
+ * блок болохоос сэргийлсэн зориудын ялгаа.)
+ */
+interface NotificationSession {
+    sessionId: string;
+    /** Verification Code — иргэний утсан дээр харагдах код. RP UI-даа ижлийг харуулна (man-in-the-middle хамгаалалт). */
+    vc: string | null;
+    /** RP-ийн илгээсэн санамсаргүй challenge (base64). Хариуны signature-ийг үүний эсрэг шалгана. */
+    rpChallenge: string;
+    /** Auth session-д validator-т өгөх контекст (sign session-д undefined). */
+    acsp?: AcspContext;
+}
+/** Device-link (QR/App2App) session. Иргэн QR уншиж эсвэл deeplink дарж нэгдэнэ. */
+interface DeviceLinkSession {
+    sessionId: string;
+    sessionToken: string | null;
+    sessionSecret: string | null;
+    /**
+     * QR/App2App/Web2App холбоосын суурь URL (ж: `https://ca.eidmongolia.mn/dl`). Холбоосыг
+     * өөрөө угсрахгүй — {@link deviceLink}-ээр.
+     */
+    deviceLinkBase: string | null;
+    /**
+     * Verification Code (5 оронтой) — иргэний утсан дээр харагдах кодтой НҮДЭЭР тулгахад RP UI-д
+     * харуулна. ПИН БИШ. Холбоосын `vc` параметрт мөн орно.
+     */
+    vc: string | null;
+    rpChallenge: string;
+    acsp?: AcspContext;
+}
+/** Session poll-ийн нэгтгэсэн үр дүн (validator-т орох түүхий материал). */
+interface SessionResult {
+    state: SessionState | string;
+    endResult: EndResult | null;
+    documentNumber: string | null;
+    /** Иргэний X.509 гэрчилгээ (DER, base64). cert chain validation-д орно. */
+    certificateDerB64: string | null;
+    certificateLevel: CertificateLevel | string | null;
+    /** Гарын үсгийн утга (base64). rpChallenge/digest-ийн эсрэг баталгаажна. */
+    signatureValueB64: string | null;
+    signatureAlgorithm: string | null;
+    signatureProtocol: string | null;
+    /** ACSP_V2 (auth): серверийн санамсаргүй (base64), утасны challenge (base64url), урсгал. */
+    serverRandom: string | null;
+    userChallenge: string | null;
+    flowType: string | null;
+    signatureAlgorithmParameters: SignatureAlgorithmParameters | null;
+    interactionTypeUsed: string | null;
+    /**
+     * Байгууллагын нэрийн өмнөөс (нэвтрэлт эсвэл гарын үсэг) байсан бол — СЕРВЕР төлөөллийн
+     * эрхийг session үүсэх үед шалгасны баталгаа. null бол ердийн хувь хүний session.
+     * RP энэ талбарыг л итгэж уншина (клиентийн сонголтод биш). docs/ORG_LOGIN.md.
+     */
+    onBehalfOf: OrgResult | null;
+}
+/** Session-ий байгууллагын блок — байгууллага + тухайн иргэний эрх (бүртгэлээс real-time). */
+interface OrgResult {
+    /** `NTRMN-<улсын бүртгэлийн дугаар>`. */
+    orgEtsi: string;
+    orgName: string | null;
+    /** Албан тушаал (ж: "Захирал"). Эрх хураагдсан бол null. */
+    role: string | null;
+    /** ADMIN | MANAGER. Эрх хураагдсан бол null. */
+    rightType: string | null;
+}
+/** RP-ийн нэвтрэх мэдээлэл — бүх дуудлагад хэрэгтэй таних тэмдэг + secret. */
+interface RpCredentials {
+    /** relying_parties-д бүртгэлтэй RP UUID. */
+    rpUUID: string;
+    /**
+     * Дэд системийн нэр (ж: «Интернэт банк») — CA-д session бүрд хадгалагдана, ≤120 тэмдэгт
+     * (сервер илүүг таслана). Иргэний утсан дээр харагдах нэр нь RP-ийн бүртгэлийн нэр.
+     */
+    rpName: string;
+    /** API secret (rp_sk_…). Зөвхөн backend-д хадгална — браузерт ХЭЗЭЭ Ч задлахгүй. */
+    apiSecret: string;
+}
+
+/** Холбоос угсрахад хэрэгтэй талбарууд — backend хариунаас браузерт зөвхөн эдгээрийг дамжуулна. */
+type DeviceLinkInput = Pick<DeviceLinkSession, "sessionId" | "vc" | "deviceLinkBase">;
+/**
+ * Device-link session-ийн холбоос: `${deviceLinkBase}?sessionId=<uuid>&vc=<код>`.
+ * QR-д эсвэл «eID аппаар нээх» товчинд тавина.
+ *
+ * @throws {DeviceLinkError} deviceLinkBase байхгүй / http(s) биш, sessionId UUID биш, vc 5 орон биш.
+ */
+declare function deviceLink(session: DeviceLinkInput): string;
+/** isMobileUserAgent-ийн уншдаг navigator-ийн хэсэг (тестэд орлуулна). */
+interface NavigatorLike {
+    userAgent?: string;
+    maxTouchPoints?: number;
+    userAgentData?: {
+        mobile?: boolean;
+    };
+}
+/**
+ * Анхдагч гар утас/таблет илрүүлэгч: Android, iPhone/iPod/iPad, UA-CH `mobile`, мөн desktop UA
+ * илгээдэг iPadOS (Macintosh + мэдрэгч дэлгэц, maxTouchPoints > 1).
+ */
+declare function isMobileUserAgent(nav?: NavigatorLike): boolean;
+interface OpenOrShowQROptions {
+    /** Desktop дээр QR харуулах (link-ийг QR болгох нь RP-ийн UI). */
+    showQR: (link: string) => void;
+    /** Гар утас эсэх — boolean эсвэл функц. Анхдагч {@link isMobileUserAgent}. */
+    isMobile?: boolean | (() => boolean);
+}
+/**
+ * Браузерт: гар утсан дээр eID аппыг шууд нээнэ (`location.assign(link)` — Universal Link /
+ * App Link), бусад үед `showQR(link)` дуудна. Буцаах утга: `"opened"` эсвэл `"qr"`.
+ *
+ * (!) Товчны click handler дотроос ШУУД (await-гүйгээр) дууд — session-ийг урьдчилж эхлүүлээд
+ * хадгал. iOS урт async гинжийн дараах навигацийг хэрэглэгчийн үйлдэл гэж тооцохгүй тул Universal
+ * Link-ийг алгасаж /dl хуудсыг нээдэг; тэр хуудас «Аппаар нээх» товч ба store холбоосыг санал болгоно.
+ *
+ * @throws {DeviceLinkError} холбоос угсрах боломжгүй бол ({@link deviceLink}).
+ */
+declare function openOrShowQR(session: DeviceLinkInput, opts: OpenOrShowQROptions): "opened" | "qr";
+
+/** Бүх SDK алдааны суурь. */
+declare class EidError extends Error {
+    constructor(message: string);
+}
+/** HTTP 401 — API secret буруу/байхгүй. Тохиргооны (RP secret) алдаа. */
+declare class AuthenticationError extends EidError {
+}
+/** HTTP 403 — IP allowlist/mTLS зөвшөөрөөгүй. Танай серверийн IP бүртгэгдээгүй байж магадгүй. */
+declare class ForbiddenError extends EidError {
+}
+/** RP-API-аас ирсэн бусад HTTP алдаа (4xx/5xx). status ба хариуны биеийг агуулна. */
+declare class ApiError extends EidError {
+    readonly status: number;
+    readonly body: string;
+    constructor(status: number, body: string);
+}
+/** Сүлжээ/timeout — upstream хариу өгсөнгүй. */
+declare class NetworkError extends EidError {
+}
+/**
+ * Session амжилтгүй дууссан (endResult ≠ OK): TIMEOUT, USER_REFUSED*, DOCUMENT_UNUSABLE гм.
+ * endResult-оор салгаж RP UI-д тохирох мессеж харуулна.
+ */
+declare class SessionFailedError extends EidError {
+    readonly endResult: string;
+    constructor(endResult: string);
+}
+/**
+ * Хариуны баталгаажуулалт бүтэлгүйтсэн — cert chain итгэлцэлгүй, signature challenge-тэй
+ * таарсангүй, эсвэл certLevel хүрэлцээгүй. ЭНЭ алдаа гарвал хариунд ИТГЭХГҮЙ
+ * (хуурамч/proxy хийгдсэн байж болзошгүй).
+ */
+declare class ValidationError extends EidError {
+}
+/**
+ * Device-link (App2App/Web2App) холбоос угсрах боломжгүй — хариунд `deviceLinkBase` байхгүй,
+ * эсвэл sessionId/vc/суурь URL хэлбэр буруу. Session-ийг дахин эхлүүлнэ; холбоосыг таахгүй.
+ */
+declare class DeviceLinkError extends EidError {
+}
+
+export { type AcspContext as A, type CertificateLevel as C, type DeviceLinkSession as D, EidError as E, type FlowType as F, type HashAlgorithm as H, type Interaction as I, type NotificationSession as N, type OpenOrShowQROptions as O, type RpCredentials as R, type SignatureAlgorithm as S, ValidationError as V, type SessionResult as a, ApiError as b, AuthenticationError as c, DeviceLinkError as d, type DeviceLinkInput as e, type EndResult as f, ForbiddenError as g, type NavigatorLike as h, NetworkError as i, SessionFailedError as j, type SessionState as k, type SignatureAlgorithmParameters as l, type SignatureProtocol as m, deviceLink as n, isMobileUserAgent as o, openOrShowQR as p };

package/dist/browser.cjs

@@ -0,0 +1,89 @@
+"use strict";
+var __defProp = Object.defineProperty;
+var __getOwnPropDesc = Object.getOwnPropertyDescriptor;
+var __getOwnPropNames = Object.getOwnPropertyNames;
+var __hasOwnProp = Object.prototype.hasOwnProperty;
+var __export = (target, all) => {
+  for (var name in all)
+    __defProp(target, name, { get: all[name], enumerable: true });
+};
+var __copyProps = (to, from, except, desc) => {
+  if (from && typeof from === "object" || typeof from === "function") {
+    for (let key of __getOwnPropNames(from))
+      if (!__hasOwnProp.call(to, key) && key !== except)
+        __defProp(to, key, { get: () => from[key], enumerable: !(desc = __getOwnPropDesc(from, key)) || desc.enumerable });
+  }
+  return to;
+};
+var __toCommonJS = (mod) => __copyProps(__defProp({}, "__esModule", { value: true }), mod);
+
+// src/browser.ts
+var browser_exports = {};
+__export(browser_exports, {
+  DeviceLinkError: () => DeviceLinkError,
+  EidError: () => EidError,
+  deviceLink: () => deviceLink,
+  isMobileUserAgent: () => isMobileUserAgent,
+  openOrShowQR: () => openOrShowQR
+});
+module.exports = __toCommonJS(browser_exports);
+
+// src/errors.ts
+var EidError = class extends Error {
+  constructor(message) {
+    super(message);
+    this.name = new.target.name;
+  }
+};
+var DeviceLinkError = class extends EidError {
+};
+
+// src/devicelink.ts
+var SESSION_ID_RE = /^[0-9a-f]{8}-[0-9a-f]{4}-[0-9a-f]{4}-[0-9a-f]{4}-[0-9a-f]{12}$/;
+var VC_RE = /^[0-9]{5}$/;
+function deviceLink(session) {
+  const base = session.deviceLinkBase?.trim();
+  if (!base) throw new DeviceLinkError("deviceLink: \u0445\u0430\u0440\u0438\u0443\u043D\u0434 deviceLinkBase \u0431\u0430\u0439\u0445\u0433\u04AF\u0439 \u2014 device-link session \u044D\u0441\u044D\u0445\u0438\u0439\u0433 \u0448\u0430\u043B\u0433\u0430");
+  let u;
+  try {
+    u = new URL(base);
+  } catch {
+    throw new DeviceLinkError(`deviceLink: deviceLinkBase \u0431\u0443\u0440\u0443\u0443 URL: ${base}`);
+  }
+  if (u.protocol !== "https:" && u.protocol !== "http:") {
+    throw new DeviceLinkError(`deviceLink: deviceLinkBase https URL \u0431\u0430\u0439\u0445 \u0451\u0441\u0442\u043E\u0439: ${u.protocol}`);
+  }
+  if (!SESSION_ID_RE.test(session.sessionId)) throw new DeviceLinkError("deviceLink: sessionId UUID (lowercase) \u0431\u0438\u0448");
+  if (session.vc == null || !VC_RE.test(session.vc)) throw new DeviceLinkError("deviceLink: vc 5 \u043E\u0440\u043E\u043D\u0442\u043E\u0439 \u0442\u043E\u043E \u0431\u0438\u0448");
+  u.searchParams.set("sessionId", session.sessionId);
+  u.searchParams.set("vc", session.vc);
+  return u.toString();
+}
+function isMobileUserAgent(nav) {
+  const n = nav ?? globalThis.navigator;
+  if (!n) return false;
+  if (n.userAgentData?.mobile === true) return true;
+  const ua = n.userAgent ?? "";
+  if (/Android|iPhone|iPod|iPad/i.test(ua)) return true;
+  return /Macintosh/.test(ua) && (n.maxTouchPoints ?? 0) > 1;
+}
+function openOrShowQR(session, opts) {
+  const link = deviceLink(session);
+  const mobile = typeof opts.isMobile === "function" ? opts.isMobile() : opts.isMobile ?? isMobileUserAgent();
+  if (mobile) {
+    const loc = globalThis.location;
+    if (!loc) throw new DeviceLinkError("openOrShowQR: location \u0431\u0430\u0439\u0445\u0433\u04AF\u0439 \u2014 \u0437\u04E9\u0432\u0445\u04E9\u043D \u0431\u0440\u0430\u0443\u0437\u0435\u0440\u0442");
+    loc.assign(link);
+    return "opened";
+  }
+  opts.showQR(link);
+  return "qr";
+}
+// Annotate the CommonJS export names for ESM import in node:
+0 && (module.exports = {
+  DeviceLinkError,
+  EidError,
+  deviceLink,
+  isMobileUserAgent,
+  openOrShowQR
+});

package/dist/browser.d.cts

@@ -0,0 +1 @@
+export { d as DeviceLinkError, e as DeviceLinkInput, D as DeviceLinkSession, E as EidError, h as NavigatorLike, O as OpenOrShowQROptions, n as deviceLink, o as isMobileUserAgent, p as openOrShowQR } from './browser-BS8JwSQk.cjs';

package/dist/browser.d.ts

@@ -0,0 +1 @@
+export { d as DeviceLinkError, e as DeviceLinkInput, D as DeviceLinkSession, E as EidError, h as NavigatorLike, O as OpenOrShowQROptions, n as deviceLink, o as isMobileUserAgent, p as openOrShowQR } from './browser-BS8JwSQk.js';

package/dist/browser.js

@@ -0,0 +1,14 @@
+import {
+  DeviceLinkError,
+  EidError,
+  deviceLink,
+  isMobileUserAgent,
+  openOrShowQR
+} from "./chunk-Q5TQMCJC.js";
+export {
+  DeviceLinkError,
+  EidError,
+  deviceLink,
+  isMobileUserAgent,
+  openOrShowQR
+};