@gerege-systems/eid-mongolia-sdk 0.6.1 → 0.8.0

package/README.md

@@ -19,7 +19,94 @@ Node.js ≥ 22 (global `fetch`, `node:crypto`).
 
 `POST https://ca.eidmongolia.mn/v3/rp-applications` (эсвэл [developer.eidmongolia.mn](https://developer.eidmongolia.mn)) —
 оператор баталсны дараа **relyingPartyUUID** ба **API secret** (`rp_sk_…`) олгогдоно; secret **зөвхөн нэг удаа**
-харагдана. Дэлгэрэнгүй: <https://developer.eidmongolia.mn/#burtgel>.
+харагдана. Дэлгэрэнгүй: <https://developer.eidmongolia.mn/#registration>.
+
+## 1a. «eID-ээр нэвтрэх» (OpenID Connect)
+
+Хамгийн хялбар нэвтрэлт: таны вэбэд нэг товч, нэвтрэх хуудсыг (QR · утсан дээрх аппаар нээх · регистрээр
+мэдэгдэл) eID сервер өөрөө харуулж, гарын үсэг ба гэрчилгээний гинжийг шалгаад танд стандарт OpenID Connect
+(Authorization Code + PKCE `S256`) `id_token` өгнө — Google/Apple нэвтрэлттэй ижил. Утасны хөтчөөс дарахад
+хуудасгүйгээр шууд eID апп нээгдэнэ. Гэрээ: <https://developer.eidmongolia.mn/#oidc>.
+
+**Бүртгэл.** `client_id` = таны RP UUID (`relyingPartyUUID`), `client_secret` = RP API secret (`rp_sk_…`).
+RP-д `AUTH` эрх, OIDC асаалттай, `redirect_uri` (https, ≤ 10) бүртгэлтэй байна — authorize/token-ий `redirect_uri`
+бүртгэлтэйтэй **тэмдэгт бүрээрээ** таарах ёстой. Иргэний ETSI дугаар (`pnomn` claim) хэрэгтэй бол `PNOMN` эрх
+хүсэж, `scope: "openid pnomn"`. Token endpoint-д RP-ийн IP allowlist мөрдөгдөнө; `requireMtls` RP OIDC ашиглахгүй.
+
+```ts
+import { EidOidcClient, EidOidcError } from "@gerege-systems/eid-mongolia-sdk";
+
+const oidc = new EidOidcClient({
+  clientId: process.env.EID_RP_UUID!,
+  clientSecret: process.env.EID_SECRET!, // rp_sk_… — зөвхөн backend
+  redirectUri: "https://bank.example.mn/auth/eid/callback",
+  // issuer анхдагч https://login.eidmongolia.mn, scope анхдагч "openid"
+});
+
+const TX = "eid_oidc_tx";
+const cookieOpts = { httpOnly: true, secure: true, sameSite: "lax", path: "/auth/eid", maxAge: 600_000 } as const;
+
+// GET /auth/eid/login — товчны href
+app.get("/auth/eid/login", async (_req, res) => {
+  const a = await oidc.createAuthorization(); // { url, state, nonce, codeVerifier }
+  res.cookie(TX, JSON.stringify({ state: a.state, nonce: a.nonce, codeVerifier: a.codeVerifier }), cookieOpts);
+  res.set("Cache-Control", "no-store").redirect(302, a.url);
+});
+
+// GET /auth/eid/callback?code&state (эсвэл ?error) — бүртгэлтэй redirect_uri
+app.get("/auth/eid/callback", async (req, res) => {
+  const tx = JSON.parse(req.cookies[TX] ?? "null");
+  res.clearCookie(TX, { path: "/auth/eid" });
+  if (!tx) return res.redirect(303, "/login?error=state");
+  try {
+    const { claims } = await oidc.handleCallback(req.originalUrl, tx); // state → token → id_token (ES256)
+    const user = await users.findOrCreateBySub(claims.sub); // pairwise sub-аар таньна (нэрээр биш)
+    await startSession(res, user); // таны session-ийг шинээр үүсгэ (session fixation)
+    res.redirect(303, "/");
+  } catch (e) {
+    const code = e instanceof EidOidcError ? e.code : "server_error"; // access_denied → «дахин оролдоно уу»
+    res.redirect(303, `/login?error=${code}`);
+  }
+});
+```
+
+Next.js App Router-д ижил: `app/auth/eid/login/route.ts` → `NextResponse.redirect(a.url, 302)` + `res.cookies.set(…)`;
+callback → `oidc.handleCallback(request.nextUrl.searchParams, tx)` (зөвхөн query уншина — прокси ард host хамаагүй).
+
+**Товч** — энгийн холбоос (`<a href>` эсвэл form GET). `fetch`/XHR/JS redirect биш: iOS Universal Link зөвхөн
+хэрэглэгчийн tap-аас эхэлсэн redirect гинжид eID аппыг нээнэ.
+
+```html
+<a class="eid-login" href="/auth/eid/login">eID-ээр нэвтрэх</a>
+<style>
+  .eid-login { display: inline-flex; align-items: center; justify-content: center; min-height: 44px;
+    padding: 0 1.25rem; border-radius: 8px; background: #0b3d91; color: #fff; font: 600 1rem/1 system-ui, sans-serif;
+    text-decoration: none; }
+  .eid-login:focus-visible { outline: 2px solid #0b3d91; outline-offset: 2px; }
+</style>
+```
+
+`createAuthorization({ display: "page" })` — утсан дээр ч нэвтрэх хуудас (QR / push) харуулна (ж: таблет киоск).
+
+**`id_token` claims** (`EidIdTokenClaims`): `sub` (pairwise — RP тус бүрд өөр, иргэнд тогтмол), `acr`
+(`urn:eidmongolia:loa:qualified` | `…:advanced`), `auth_time`, `given_name` / `family_name` (латин, гэрчилгээнээс),
+`given_name_mn` / `family_name_mn` (кирилл, байвал), `pnomn` (`pnomn` scope + эрхтэй үед). `id_token` 5 минут
+хүчинтэй; access_token / refresh_token / userinfo байхгүй — нэвтрэлтийн дараа өөрийн session-оо хэрэглэнэ.
+
+**Аюулгүй байдал.**
+
+- `state`, `nonce`, `codeVerifier`-ийг **хөтчийн session-тэй** (httpOnly, Secure, SameSite=Lax cookie эсвэл server
+  session) холбож хадгална; `handleCallback` state-ийг timing-safe тулгаж, таарахгүй бол code-ийг солихгүй
+  (`state_mismatch`). Үүнгүйгээр «өөрийн бүртгэлд хохирогчийн eID-ийг холбуулах» (login CSRF) нээлттэй.
+- `handleCallback` / `verifyIdToken` нь ES256 гарын үсэг (JWKS `kid`, cache 1 цаг, танихгүй `kid` → нэг удаа дахин
+  татна), `iss`, `aud` (= `clientId`; олон aud бол `azp`), `exp` / `iat` (±60 сек), `nonce`-ийг шалгана.
+  `EidOidcError` (`invalid_id_token`) гарвал **итгэхгүй**.
+- Code нэг удаагийн, 60 секунд — callback-ийг дахин ачаалбал `invalid_grant`; хэрэглэгчийг дахин нэвтрүүлнэ.
+- `error_description` (`EidOidcError.description`)-ийг логт бичиж болно, хэрэглэгчид шууд харуулахгүй.
+- **Native апп (RFC 8252):** authorize-ийг системийн хөтчөөр нээнэ — iOS `ASWebAuthenticationSession`
+  (`prefersEphemeralWebBrowserSession = false`), Android Custom Tabs. **WebView хориотой.** `redirect_uri` = таны
+  https Universal Link / App Link (custom scheme дэмжихгүй). `state` / `nonce` / `codeVerifier` апп-ын санах ойд;
+  code-ийг таны backend `client_secret`-ээр солино (`client_secret`-ийг аппад хадгалахгүй).
 
 ## 2. Нэвтрэлт (push)
 
@@ -67,6 +154,51 @@ const sig = eid.validator.validateSign(result, digest); // digest-ийн эср
 console.log(sig.signatureValueB64, sig.subject);
 ```
 
+## 3a. Байгууллагын нэрийн өмнөөс гарын үсэг (onBehalfOf)
+
+Иргэн **өөрийн PIN2 гэрчилгээгээр** зурна; тухайн мөчид байгууллагыг төлөөлөх эрхтэйг eID **өөрийн бүртгэлээр**
+шалгана (Эстонийн загвар). Энэ нь **хувь хүний квалификацтай гарын үсэг** — байгууллагын гэрчилгээ, тамга (e-Seal) биш.
+e-Seal нь зөвхөн хүнгүй, автомат системийн баримтад. Урьдчилсан нөхцөл: байгууллага eID-д `ACTIVE` (захирал
+аппаараа ХУР-аар холбоно), зурагч нь `ADMIN` эсвэл PIN2-оор баталгаажуулсан `MANAGER`, RP-д `SIGN` эрх.
+Дэлгэрэнгүй: [developer.eidmongolia.mn](https://developer.eidmongolia.mn/).
+
+```ts
+import { ForbiddenError, ApiError, ON_BEHALF_ERROR_CODES } from "@gerege-systems/eid-mongolia-sdk";
+
+// 1. Иргэн сүүлийн 24 цагт танай RP-ээр нэвтэрсэн байх ёстой.
+const { representations } = await eid.organization.getRepresentations("PNOMN-12345678");
+// → [{ orgEtsi: "NTRMN-6235972", orgName: "Гэрэгэ Системс ХХК", role: "ceo", rightType: "ADMIN", … }]
+
+// 2. PDF (PAdES, CA угсарна) — санал болгох урсгал.
+try {
+  const s = await eid.pdf.prepare({
+    pdf: pdfBytes, fileName: "Гэрээ №12.pdf",
+    signer: { etsi: "PNOMN-12345678" }, flow: "notification",
+    onBehalfOf: "NTRMN-6235972",
+  });
+  showToUser(s.vc);
+  const r = await eid.session.waitForResult(s.sessionId);
+  // MUST: endResult OK, pdf.documentStatus READY, pdf.signer.onBehalfOf = хүссэн байгууллага,
+  // татсан файлын SHA-256 = pdf.outSha256, validation.indication "valid", ltv true.
+  if (r.pdf?.documentStatus !== "READY" || r.pdf.signer?.onBehalfOf !== "NTRMN-6235972") throw new Error("…");
+  const signed = await eid.pdf.document(s.sessionId);
+  console.log(r.pdf.signer.claimedRole); // "Гүйцэтгэх захирал, Гэрэгэ Системс ХХК (NTRMN-6235972)"
+} catch (e) {
+  if ((e instanceof ForbiddenError || e instanceof ApiError) && e.code) {
+    // REPRESENTATION_DENIED | REPRESENTATION_PENDING | REPRESENTATION_EXPIRED | ORG_NOT_ACTIVE |
+    // SIGNER_UNIDENTIFIED (403) · ORG_NOT_FOUND (404) · REPRESENTATION_REVOKED (403, document татах үед)
+  }
+  throw e;
+}
+
+// Raw digest гарын үсэгт ч мөн: eid.sign.digestByEtsi(id, digest, interactions, { onBehalfOf: "NTRMN-6235972" })
+// — CMS/PDF-ийг та угсардаг тул мэдүүлсэн үүргийг (signer-attributes-v2) өөрөө нэмнэ.
+```
+
+Олон талт гэрээ: А байгууллагын гаралтыг өөрчлөлтгүй Б-ийн `prepare`-д (`docID`, өөр `onBehalfOf`) илгээнэ.
+Session-ий `onBehalfOf` блок (`role`/`rightType`) нь хариу угсрах үеийн бүртгэл; `pdf.signer.onBehalfOf`/`claimedRole`
+нь баримтад бичигдсэн утга.
+
 ## 4. QR ба ижил төхөөрөмж — device link v3
 
 Иргэн өөр төхөөрөмжийн дэлгэц дээрх **QR**-ийг утсаараа уншина, эсвэл RP-ийн сайт/аппыг eID апптай **ижил
@@ -172,11 +304,12 @@ OK ирж болзошгүй. Иймд `ResponseValidator`:
 | Алдаа | Утга |
 |---|---|
 | `AuthenticationError` | 401 — API secret буруу/байхгүй |
-| `ForbiddenError` | 403 — IP allowlist / mTLS зөвшөөрөөгүй |
+| `ForbiddenError` | 403 — IP allowlist / mTLS / RP-ийн эрх; onBehalfOf татгалзвал `.code` (`OnBehalfErrorCode`) |
 | `SessionFailedError` | endResult ≠ OK (TIMEOUT, USER_REFUSED…) — `.endResult`-оор салга |
 | `ValidationError` | cert chain/signature/level шалгалт бүтэлгүйтсэн |
-| `ApiError` | бусад HTTP алдаа (`.status`, `.body`) |
+| `ApiError` | бусад HTTP алдаа (`.status`, `.body`, серверийн `.code` — ж: 404 `ORG_NOT_FOUND`) |
 | `NetworkError` | timeout/сүлжээ |
+| `EidOidcError` | «eID-ээр нэвтрэх» (OIDC) — `.code`: `access_denied`, `login_required`, `state_mismatch`, `invalid_grant`, `invalid_id_token`, `server_error` … |
 | `DeviceLinkError` | device-link холбоос угсрах боломжгүй (`deviceLinkBase` https биш, token/secret/lang хэлбэр, төрөлд хэрэгтэй талбар дутуу) |
 
 ## mTLS (eIDAS qualified орчин)

package/dist/{browser-BU9ShPWO.d.cts → browser-Db82DlYN.d.cts}

@@ -130,6 +130,61 @@ interface SessionResult {
      * RP энэ талбарыг л итгэж уншина (клиентийн сонголтод биш). docs/ORG_LOGIN.md.
      */
     onBehalfOf: OrgResult | null;
+    /**
+     * PAdES (`POST /pdf/sign/prepare`) session-ий `pdf` блок — PDF урсгал биш бол null (талбар алга = хуучин SDK-аар
+     * угсарсан объект). {@link PdfSessionBlock}.
+     */
+    pdf?: PdfSessionBlock | null;
+}
+/** PDF баримтын төлөв: PENDING → READY (эсвэл FAILED / EXPIRED). */
+type PdfDocumentStatus = "PENDING" | "READY" | "FAILED" | "EXPIRED";
+/** PAdES гаралтын гарын үсэг зурагч. */
+interface PdfSigner {
+    etsi: string;
+    certSerial: string;
+    /** Байгууллагын нэрийн өмнөөс бол байгууллагын ETSI (`NTRMN-…`) — баримтад бичигдсэн утга. */
+    onBehalfOf?: string;
+    /** CMS signer-attributes-v2-д бичигдсэн мэдүүлсэн үүрэг: «<албан тушаал>, <нэр> (NTRMN-…)». */
+    claimedRole?: string;
+}
+/** GET /session/{id}-ийн `pdf` объект (PAdES, CA угсарна). */
+interface PdfSessionBlock {
+    docID: string;
+    documentStatus: PdfDocumentStatus | string;
+    /** FAILED үед — ж: `REPRESENTATION_REVOKED` (prepare-ээс хойш эрх хасагдсан, баримт үүсээгүй). */
+    errorCode?: string;
+    /** Гарын үсэгтэй PDF-ийн SHA-256 (hex) — татсан файлтай тулгана. */
+    outSha256?: string;
+    size?: number;
+    expiresAt?: string;
+    signatureLevel?: string;
+    signer?: PdfSigner;
+    validation?: {
+        indication: string;
+        ltv: boolean;
+        signatures: number;
+    };
+}
+/** Иргэний төлөөлж чадах нэг байгууллага (GET /organization/representations/etsi/{personEtsi}). */
+interface Representation {
+    /** `NTRMN-<бүртгэл>` — `onBehalfOf`-д өгөх утга. */
+    orgEtsi: string;
+    orgRegister: string;
+    orgName: string;
+    orgNameEn?: string;
+    /** Бүртгэлийн албан тушаал (ХУР-аас холбогдсонд `ceo` / `founder`, MANAGER-т ADMIN-ий бичсэн текст). */
+    role?: string;
+    rightType: "ADMIN" | "MANAGER" | string;
+    source: "REGISTRY" | "MANUAL" | string;
+    /** ISO 8601. */
+    validFrom: string;
+    /** ISO 8601; байхгүй = хугацаагүй. */
+    validTo?: string;
+}
+/** GET /organization/representations/etsi/{personEtsi} хариу. */
+interface RepresentationsResponse {
+    personEtsi: string;
+    representations: Representation[];
 }
 /** Session-ий байгууллагын блок — байгууллага + тухайн иргэний эрх (бүртгэлээс real-time). */
 interface OrgResult {
@@ -206,15 +261,37 @@ declare class EidError extends Error {
 /** HTTP 401 — API secret буруу/байхгүй. Тохиргооны (RP secret) алдаа. */
 declare class AuthenticationError extends EidError {
 }
-/** HTTP 403 — IP allowlist/mTLS зөвшөөрөөгүй. Танай серверийн IP бүртгэгдээгүй байж магадгүй. */
+/**
+ * HTTP 403 — IP allowlist/mTLS зөвшөөрөөгүй, RP-д эрх алга, эсвэл onBehalfOf-ийн төлөөлөл татгалзсан.
+ * Сервер `{"error","code"}` буцаасан бол `code` (ж: `REPRESENTATION_DENIED`) — салааллыг үүгээр хийнэ.
+ */
 declare class ForbiddenError extends EidError {
+    /** Серверийн тогтвортой алдааны код (`{"code"}`), байхгүй бол undefined. */
+    readonly code?: string | undefined;
+    constructor(message: string, 
+    /** Серверийн тогтвортой алдааны код (`{"code"}`), байхгүй бол undefined. */
+    code?: string | undefined);
 }
 /** RP-API-аас ирсэн бусад HTTP алдаа (4xx/5xx). status ба хариуны биеийг агуулна. */
 declare class ApiError extends EidError {
     readonly status: number;
     readonly body: string;
-    constructor(status: number, body: string);
+    /** Серверийн тогтвортой алдааны код (`{"error","code"}`-ийн `code`), байхгүй бол undefined. */
+    readonly code?: string | undefined;
+    constructor(status: number, body: string, 
+    /** Серверийн тогтвортой алдааны код (`{"error","code"}`-ийн `code`), байхгүй бол undefined. */
+    code?: string | undefined);
 }
+/**
+ * Байгууллагын нэрийн өмнөөс (`onBehalfOf`) урсгалын татгалзлын кодууд — `ForbiddenError.code` /
+ * `ApiError.code`-д ирнэ. 403: REPRESENTATION_DENIED (идэвхтэй төлөөлөгч биш), REPRESENTATION_PENDING (PIN2-оор
+ * баталгаажуулаагүй), REPRESENTATION_EXPIRED (хугацааны гадна), ORG_NOT_ACTIVE, SIGNER_UNIDENTIFIED (anonymous
+ * session); 404: ORG_NOT_FOUND; PDF баримт татахад 403 REPRESENTATION_REVOKED (prepare-ээс хойш эрх хасагдсан —
+ * баримт үүсээгүй).
+ */
+type OnBehalfErrorCode = "REPRESENTATION_DENIED" | "REPRESENTATION_PENDING" | "REPRESENTATION_EXPIRED" | "ORG_NOT_ACTIVE" | "SIGNER_UNIDENTIFIED" | "ORG_NOT_FOUND" | "REPRESENTATION_REVOKED";
+/** {@link OnBehalfErrorCode}-ийн бүх утга (runtime шалгалтад). */
+declare const ON_BEHALF_ERROR_CODES: readonly OnBehalfErrorCode[];
 /** Сүлжээ/timeout — upstream хариу өгсөнгүй. */
 declare class NetworkError extends EidError {
 }
@@ -240,4 +317,4 @@ declare class ValidationError extends EidError {
 declare class DeviceLinkError extends EidError {
 }
 
-export { type AcspContext as A, type CertificateLevel as C, type DeviceLinkSession as D, EidError as E, type FlowType as F, type HashAlgorithm as H, type Interaction as I, type NotificationSession as N, type OpenOrShowQROptions as O, type RpCredentials as R, type SignatureAlgorithm as S, ValidationError as V, type SessionResult as a, ApiError as b, AuthenticationError as c, DeviceLinkError as d, type DeviceLinkInput as e, type EndResult as f, ForbiddenError as g, type NavigatorLike as h, NetworkError as i, SessionFailedError as j, type SessionState as k, type SignatureAlgorithmParameters as l, type SignatureProtocol as m, deviceLink as n, isMobileUserAgent as o, openOrShowQR as p };
+export { type AcspContext as A, type CertificateLevel as C, type DeviceLinkSession as D, EidError as E, type FlowType as F, type HashAlgorithm as H, type Interaction as I, type NotificationSession as N, ON_BEHALF_ERROR_CODES as O, type PdfDocumentStatus as P, type RpCredentials as R, type SignatureAlgorithm as S, ValidationError as V, type SessionResult as a, type RepresentationsResponse as b, ApiError as c, AuthenticationError as d, DeviceLinkError as e, type DeviceLinkInput as f, type EndResult as g, ForbiddenError as h, type NavigatorLike as i, NetworkError as j, type OnBehalfErrorCode as k, type OpenOrShowQROptions as l, type OrgResult as m, type PdfSessionBlock as n, type PdfSigner as o, type Representation as p, SessionFailedError as q, type SessionState as r, type SignatureAlgorithmParameters as s, type SignatureProtocol as t, deviceLink as u, isMobileUserAgent as v, openOrShowQR as w };

package/dist/{browser-BU9ShPWO.d.ts → browser-Db82DlYN.d.ts}

@@ -130,6 +130,61 @@ interface SessionResult {
      * RP энэ талбарыг л итгэж уншина (клиентийн сонголтод биш). docs/ORG_LOGIN.md.
      */
     onBehalfOf: OrgResult | null;
+    /**
+     * PAdES (`POST /pdf/sign/prepare`) session-ий `pdf` блок — PDF урсгал биш бол null (талбар алга = хуучин SDK-аар
+     * угсарсан объект). {@link PdfSessionBlock}.
+     */
+    pdf?: PdfSessionBlock | null;
+}
+/** PDF баримтын төлөв: PENDING → READY (эсвэл FAILED / EXPIRED). */
+type PdfDocumentStatus = "PENDING" | "READY" | "FAILED" | "EXPIRED";
+/** PAdES гаралтын гарын үсэг зурагч. */
+interface PdfSigner {
+    etsi: string;
+    certSerial: string;
+    /** Байгууллагын нэрийн өмнөөс бол байгууллагын ETSI (`NTRMN-…`) — баримтад бичигдсэн утга. */
+    onBehalfOf?: string;
+    /** CMS signer-attributes-v2-д бичигдсэн мэдүүлсэн үүрэг: «<албан тушаал>, <нэр> (NTRMN-…)». */
+    claimedRole?: string;
+}
+/** GET /session/{id}-ийн `pdf` объект (PAdES, CA угсарна). */
+interface PdfSessionBlock {
+    docID: string;
+    documentStatus: PdfDocumentStatus | string;
+    /** FAILED үед — ж: `REPRESENTATION_REVOKED` (prepare-ээс хойш эрх хасагдсан, баримт үүсээгүй). */
+    errorCode?: string;
+    /** Гарын үсэгтэй PDF-ийн SHA-256 (hex) — татсан файлтай тулгана. */
+    outSha256?: string;
+    size?: number;
+    expiresAt?: string;
+    signatureLevel?: string;
+    signer?: PdfSigner;
+    validation?: {
+        indication: string;
+        ltv: boolean;
+        signatures: number;
+    };
+}
+/** Иргэний төлөөлж чадах нэг байгууллага (GET /organization/representations/etsi/{personEtsi}). */
+interface Representation {
+    /** `NTRMN-<бүртгэл>` — `onBehalfOf`-д өгөх утга. */
+    orgEtsi: string;
+    orgRegister: string;
+    orgName: string;
+    orgNameEn?: string;
+    /** Бүртгэлийн албан тушаал (ХУР-аас холбогдсонд `ceo` / `founder`, MANAGER-т ADMIN-ий бичсэн текст). */
+    role?: string;
+    rightType: "ADMIN" | "MANAGER" | string;
+    source: "REGISTRY" | "MANUAL" | string;
+    /** ISO 8601. */
+    validFrom: string;
+    /** ISO 8601; байхгүй = хугацаагүй. */
+    validTo?: string;
+}
+/** GET /organization/representations/etsi/{personEtsi} хариу. */
+interface RepresentationsResponse {
+    personEtsi: string;
+    representations: Representation[];
 }
 /** Session-ий байгууллагын блок — байгууллага + тухайн иргэний эрх (бүртгэлээс real-time). */
 interface OrgResult {
@@ -206,15 +261,37 @@ declare class EidError extends Error {
 /** HTTP 401 — API secret буруу/байхгүй. Тохиргооны (RP secret) алдаа. */
 declare class AuthenticationError extends EidError {
 }
-/** HTTP 403 — IP allowlist/mTLS зөвшөөрөөгүй. Танай серверийн IP бүртгэгдээгүй байж магадгүй. */
+/**
+ * HTTP 403 — IP allowlist/mTLS зөвшөөрөөгүй, RP-д эрх алга, эсвэл onBehalfOf-ийн төлөөлөл татгалзсан.
+ * Сервер `{"error","code"}` буцаасан бол `code` (ж: `REPRESENTATION_DENIED`) — салааллыг үүгээр хийнэ.
+ */
 declare class ForbiddenError extends EidError {
+    /** Серверийн тогтвортой алдааны код (`{"code"}`), байхгүй бол undefined. */
+    readonly code?: string | undefined;
+    constructor(message: string, 
+    /** Серверийн тогтвортой алдааны код (`{"code"}`), байхгүй бол undefined. */
+    code?: string | undefined);
 }
 /** RP-API-аас ирсэн бусад HTTP алдаа (4xx/5xx). status ба хариуны биеийг агуулна. */
 declare class ApiError extends EidError {
     readonly status: number;
     readonly body: string;
-    constructor(status: number, body: string);
+    /** Серверийн тогтвортой алдааны код (`{"error","code"}`-ийн `code`), байхгүй бол undefined. */
+    readonly code?: string | undefined;
+    constructor(status: number, body: string, 
+    /** Серверийн тогтвортой алдааны код (`{"error","code"}`-ийн `code`), байхгүй бол undefined. */
+    code?: string | undefined);
 }
+/**
+ * Байгууллагын нэрийн өмнөөс (`onBehalfOf`) урсгалын татгалзлын кодууд — `ForbiddenError.code` /
+ * `ApiError.code`-д ирнэ. 403: REPRESENTATION_DENIED (идэвхтэй төлөөлөгч биш), REPRESENTATION_PENDING (PIN2-оор
+ * баталгаажуулаагүй), REPRESENTATION_EXPIRED (хугацааны гадна), ORG_NOT_ACTIVE, SIGNER_UNIDENTIFIED (anonymous
+ * session); 404: ORG_NOT_FOUND; PDF баримт татахад 403 REPRESENTATION_REVOKED (prepare-ээс хойш эрх хасагдсан —
+ * баримт үүсээгүй).
+ */
+type OnBehalfErrorCode = "REPRESENTATION_DENIED" | "REPRESENTATION_PENDING" | "REPRESENTATION_EXPIRED" | "ORG_NOT_ACTIVE" | "SIGNER_UNIDENTIFIED" | "ORG_NOT_FOUND" | "REPRESENTATION_REVOKED";
+/** {@link OnBehalfErrorCode}-ийн бүх утга (runtime шалгалтад). */
+declare const ON_BEHALF_ERROR_CODES: readonly OnBehalfErrorCode[];
 /** Сүлжээ/timeout — upstream хариу өгсөнгүй. */
 declare class NetworkError extends EidError {
 }
@@ -240,4 +317,4 @@ declare class ValidationError extends EidError {
 declare class DeviceLinkError extends EidError {
 }
 
-export { type AcspContext as A, type CertificateLevel as C, type DeviceLinkSession as D, EidError as E, type FlowType as F, type HashAlgorithm as H, type Interaction as I, type NotificationSession as N, type OpenOrShowQROptions as O, type RpCredentials as R, type SignatureAlgorithm as S, ValidationError as V, type SessionResult as a, ApiError as b, AuthenticationError as c, DeviceLinkError as d, type DeviceLinkInput as e, type EndResult as f, ForbiddenError as g, type NavigatorLike as h, NetworkError as i, SessionFailedError as j, type SessionState as k, type SignatureAlgorithmParameters as l, type SignatureProtocol as m, deviceLink as n, isMobileUserAgent as o, openOrShowQR as p };
+export { type AcspContext as A, type CertificateLevel as C, type DeviceLinkSession as D, EidError as E, type FlowType as F, type HashAlgorithm as H, type Interaction as I, type NotificationSession as N, ON_BEHALF_ERROR_CODES as O, type PdfDocumentStatus as P, type RpCredentials as R, type SignatureAlgorithm as S, ValidationError as V, type SessionResult as a, type RepresentationsResponse as b, ApiError as c, AuthenticationError as d, DeviceLinkError as e, type DeviceLinkInput as f, type EndResult as g, ForbiddenError as h, type NavigatorLike as i, NetworkError as j, type OnBehalfErrorCode as k, type OpenOrShowQROptions as l, type OrgResult as m, type PdfSessionBlock as n, type PdfSigner as o, type Representation as p, SessionFailedError as q, type SessionState as r, type SignatureAlgorithmParameters as s, type SignatureProtocol as t, deviceLink as u, isMobileUserAgent as v, openOrShowQR as w };

package/dist/browser.d.cts

@@ -1 +1 @@
-export { d as DeviceLinkError, e as DeviceLinkInput, D as DeviceLinkSession, E as EidError, h as NavigatorLike, O as OpenOrShowQROptions, n as deviceLink, o as isMobileUserAgent, p as openOrShowQR } from './browser-BU9ShPWO.cjs';
+export { e as DeviceLinkError, f as DeviceLinkInput, D as DeviceLinkSession, E as EidError, i as NavigatorLike, l as OpenOrShowQROptions, u as deviceLink, v as isMobileUserAgent, w as openOrShowQR } from './browser-Db82DlYN.cjs';

package/dist/browser.d.ts

@@ -1 +1 @@
-export { d as DeviceLinkError, e as DeviceLinkInput, D as DeviceLinkSession, E as EidError, h as NavigatorLike, O as OpenOrShowQROptions, n as deviceLink, o as isMobileUserAgent, p as openOrShowQR } from './browser-BU9ShPWO.js';
+export { e as DeviceLinkError, f as DeviceLinkInput, D as DeviceLinkSession, E as EidError, i as NavigatorLike, l as OpenOrShowQROptions, u as deviceLink, v as isMobileUserAgent, w as openOrShowQR } from './browser-Db82DlYN.js';

package/dist/browser.js

@@ -4,7 +4,7 @@ import {
   deviceLink,
   isMobileUserAgent,
   openOrShowQR
-} from "./chunk-Q5TQMCJC.js";
+} from "./chunk-NXDKQZIW.js";
 export {
   DeviceLinkError,
   EidError,

package/dist/{chunk-Q5TQMCJC.js → chunk-NXDKQZIW.js}

@@ -8,16 +8,32 @@ var EidError = class extends Error {
 var AuthenticationError = class extends EidError {
 };
 var ForbiddenError = class extends EidError {
+  constructor(message, code) {
+    super(message);
+    this.code = code;
+  }
+  code;
 };
 var ApiError = class extends EidError {
-  constructor(status, body) {
+  constructor(status, body, code) {
     super(`RP-API ${status}: ${body}`);
     this.status = status;
     this.body = body;
+    this.code = code;
   }
   status;
   body;
+  code;
 };
+var ON_BEHALF_ERROR_CODES = [
+  "REPRESENTATION_DENIED",
+  "REPRESENTATION_PENDING",
+  "REPRESENTATION_EXPIRED",
+  "ORG_NOT_ACTIVE",
+  "SIGNER_UNIDENTIFIED",
+  "ORG_NOT_FOUND",
+  "REPRESENTATION_REVOKED"
+];
 var NetworkError = class extends EidError {
 };
 var SessionFailedError = class extends EidError {
@@ -79,6 +95,7 @@ export {
   AuthenticationError,
   ForbiddenError,
   ApiError,
+  ON_BEHALF_ERROR_CODES,
   NetworkError,
   SessionFailedError,
   ValidationError,