@gerege-systems/eid-mongolia-sdk 0.9.1 → 0.11.0

package/dist/index.d.cts

@@ -1,5 +1,5 @@
-import { R as RpCredentials, C as CertificateLevel, I as Interaction, S as SignatureAlgorithm, H as HashAlgorithm, N as NotificationSession, D as DeviceLinkSession, a as SessionResult, P as PdfSessionBlock, b as RepresentationsResponse, A as AcspContext, F as FlowType, E as EidError } from './browser-B_XtyuFG.cjs';
-export { c as ApiError, d as AuthenticationError, e as DeviceLinkError, f as DeviceLinkInput, g as EndResult, h as ForbiddenError, i as NavigatorLike, j as NetworkError, O as ON_BEHALF_ERROR_CODES, k as OnBehalfErrorCode, l as OpenOrShowQROptions, m as OrgResult, n as PdfDocumentStatus, o as PdfSigner, p as Representation, q as SessionFailedError, r as SessionState, s as SignatureAlgorithmParameters, t as SignatureProtocol, V as ValidationError, u as deviceLink, v as isMobileUserAgent, w as openOrShowQR } from './browser-B_XtyuFG.cjs';
+import { R as RpCredentials, C as CertificateLevel, I as Interaction, S as SignatureAlgorithm, H as HashAlgorithm, N as NotificationSession, D as DeviceLinkSession, a as SessionResult, P as PersonBlock, b as PdfSessionBlock, c as RepresentationsResponse, A as AcspContext, F as FlowType, E as EidError } from './browser-BVR6gtrx.cjs';
+export { d as ApiError, e as AuthenticationError, f as DeviceLinkError, g as DeviceLinkInput, h as EndResult, i as ForbiddenError, j as HttpErrorInit, k as NavigatorLike, l as NetworkError, O as ON_BEHALF_ERROR_CODES, m as OnBehalfErrorCode, n as OpenOrShowQROptions, o as OrgResult, p as PdfDocumentStatus, q as PdfSigner, r as RETRYABLE_ERROR_CODES, s as Representation, t as ResponseTooLargeError, u as RetryableErrorCode, v as SessionFailedError, w as SessionState, x as SignatureAlgorithmParameters, y as SignatureProtocol, T as TokenCertSessionBlock, z as TokenCertStatus, V as ValidationError, B as deviceLink, G as isMobileUserAgent, J as openOrShowQR, K as parseRetryAfter } from './browser-BVR6gtrx.cjs';
 import { X509Certificate, KeyObject } from 'node:crypto';
 
 interface HttpConfig {
@@ -25,8 +25,8 @@ declare class Http {
     get(path: string, timeoutMs?: number): Promise<unknown>;
     /** multipart/form-data POST (Content-Type-ийг boundary-тай нь fetch тавина). JSON хариу. */
     postMultipart(path: string, form: FormData, timeoutMs?: number): Promise<unknown>;
-    /** GET — хариуг байтаар (ж: гарын үсэгтэй PDF). */
-    getBytes(path: string, timeoutMs?: number): Promise<Uint8Array>;
+    /** GET — хариуг байтаар (ж: гарын үсэгтэй PDF), `maxBytes` хүртэл; хэтэрвэл {@link ResponseTooLargeError}. */
+    getBytes(path: string, timeoutMs?: number, maxBytes?: number): Promise<Uint8Array>;
     private json;
     private send;
 }
@@ -100,6 +100,11 @@ interface SignOptions {
      * өөрөө иргэний PIN2 гэрчилгээгээр — байгууллага нь digest-д ОРОХГҮЙ.
      */
     onBehalfOf?: string;
+    /**
+     * Гарын үсэг зурагдах баримтын нэр — CA-ийн /verify хуудас ба иргэний түүхэнд харагдана. Заавал биш: өгөөгүй бол CA
+     * interaction текстээс таамаглана.
+     */
+    fileName?: string;
 }
 declare class SignApi {
     private readonly http;
@@ -121,6 +126,14 @@ declare class SignApi {
 
 /** RP-API-ийн session JSON-ийг SessionResult болгон задална (rpclient.ts-тэй ижил mapping). */
 declare function parseSessionResult(raw: unknown): SessionResult;
+/**
+ * Person блокийн `civilId` нь баталгаажсан гэрчилгээний SERIALNUMBER-тэй (`PNOMN-<civilId>`) таарах эсэх — хоёулаа
+ * хоосон биш байх ёстой. Person блок гарын үсэгт ордоггүй тул RP үүнийг validateAuth-ийн дараа шалгаж байж нэр /
+ * төрсөн огноонд итгэнэ. `subject` — validateAuth-ийн `parsedSubject` (эсвэл түүний `serialNumber`).
+ */
+declare function personMatchesCertificate(person: PersonBlock | null | undefined, subject: {
+    serialNumber?: string;
+} | string | null | undefined): boolean;
 declare class SessionApi {
     private readonly http;
     constructor(http: Http);
@@ -138,7 +151,19 @@ declare class SessionApi {
 
 interface PdfDefaults {
     certificateLevel: CertificateLevel;
+    /** prepare / document дуудлагын хугацаа (мс); анхдагч {@link DEFAULT_PDF_TIMEOUT_MS}. */
+    timeoutMs?: number;
+    /** document / tokenDocument-ийн санах ойд унших дээд хэмжээ (байт); анхдагч {@link DEFAULT_PDF_MAX_BYTES}. */
+    maxBytes?: number;
 }
+/** Гарын үсэгтэй PDF татахад санах ойд уншиж болох анхдагч дээд хэмжээ (64 MiB) — `ClientConfig.pdfMaxBytes`. */
+declare const DEFAULT_PDF_MAX_BYTES: number;
+/**
+ * PAdES prepare / баримт татах нэг дуудлагын анхдагч хугацаа (мс). CA prepare нь ≤ 10 MiB уншиж, өмнөх гарын үсэг +
+ * LTV өгөгдөл шалгаад push эхлүүлдэг; баримт татахад угсралтыг ≤ 30с хүлээдэг (PADES_SIGNING §3.4). 80с нь хоёуланд
+ * хүрэлцэнэ, CA-ийн nginx proxy_read_timeout-оос бага.
+ */
+declare const DEFAULT_PDF_TIMEOUT_MS = 80000;
 /** Гарын үсэг зурагч — яг нэг нь. */
 type PdfSignerRef = {
     etsi: string;
@@ -188,18 +213,74 @@ interface PdfPrepareSession {
     /** SDK хариу хүлээн авсан мөч (ms epoch) — QR-ийн `receivedAt` ({@link buildDeviceLink}). */
     receivedAt: number;
 }
+/** USB токены PAdES — POST /pdf/token/prepare-ийн оролт. */
+interface PdfTokenPrepareInput {
+    /** Эх PDF (≤ 10 223 616 байт). */
+    pdf: Uint8Array;
+    /** Баримтын нэр (≤ 120 тэмдэгт, заавал). */
+    fileName: string;
+    /** Иргэний ETSI (`PNOMN-…`) — токены гэрчилгээний SERIALNUMBER-тэй таарна. */
+    signerEtsi: string;
+    /** Токены SIGN гэрчилгээ (DER): eID Mongolia Issuing CA-аас, ACTIVE токенд холбогдсон. */
+    certificate: Uint8Array;
+    /** Олон гарын үсэгтэй баримтын docID (заавал биш, UUID). */
+    docID?: string;
+    /** Байгууллагын токенд ЗААВАЛ тухайн байгууллага (`NTRMN-…`); хувийн токенд хоосон. Зөрвөл 403 TOKEN_ORG_MISMATCH. */
+    onBehalfOf?: string;
+}
+/** POST /pdf/token/prepare-ийн хариу. */
+interface PdfTokenPrepareSession {
+    signingId: string;
+    docId: string;
+    /** Токеноор зурах 32 байт (SHA-256 DTBS): CKM_ECDSA (prehashed) → түүхий r||s (64 байт). */
+    hashToSign: Uint8Array;
+    hashAlgorithm: string;
+    signatureAlgorithm: string;
+    /** "RAW_RS". */
+    signatureFormat: string;
+    /** tokenFinalize-ийн эцсийн хугацаа (prepare-ээс 10 мин), ISO-8601. */
+    expiresAt: string;
+    raw: unknown;
+}
 declare class PdfApi {
     private readonly http;
     private readonly creds;
     private readonly defaults;
     constructor(http: Http, creds: RpCredentials, defaults: PdfDefaults);
-    /** POST /pdf/sign/prepare — multipart (`request` JSON + `pdf`). SIGN эрх шаардана. */
+    /**
+     * POST /pdf/sign/prepare — multipart (`request` JSON + `pdf`). SIGN эрх шаардана. Түр алдаа: `ApiError` 429
+     * PDF_PREPARE_BUSY, 503 LTV_UNAVAILABLE / TSA_UNAVAILABLE — `retryAfterMs`-ийн дараа дахин (`retryable`).
+     */
     prepare(input: PdfPrepareInput): Promise<PdfPrepareSession>;
     /**
      * GET /pdf/sign/{sessionID}/document — гарын үсэгтэй PDF (READY-ээс хойш 30 мин). Татсан байтын SHA-256-ийг
-     * session-ий `pdf.outSha256`-тай тулга. Эрх хасагдсан бол `ForbiddenError` `.code = "REPRESENTATION_REVOKED"`.
+     * session-ий `pdf.outSha256`-тай тулга. Эрх хасагдсан бол `ForbiddenError` `.code = "REPRESENTATION_REVOKED"`. Баримт
+     * бэлэн болоогүй бол `ApiError` 503 `.code` DOCUMENT_PENDING / TSA_UNAVAILABLE / LTV_UNAVAILABLE — `retryAfterMs`-ийн
+     * дараа дахин татна (`retryable`).
      */
     document(sessionId: string): Promise<Uint8Array>;
+    private get timeout();
+    private get maxBytes();
+    /**
+     * USB токены PAdES (CA docs/PADES_SIGNING.md §16.5, TOKEN_CERT.md) — session / утас оролцохгүй. POST /pdf/token/prepare
+     * (multipart: `request` JSON + `pdf`), SIGN эрх. Дараа нь токеноор `hashToSign`-ийг CKM_ECDSA (prehashed, P-256)-аар
+     * зурж {@link tokenFinalize}. Түр алдаа: `ApiError` 429 PDF_PREPARE_BUSY / RATE_LIMITED, 503 TSA_UNAVAILABLE /
+     * LTV_UNAVAILABLE / STATE_UNAVAILABLE (`retryable`). Гэрчилгээ токенд холбогдоогүй / цуцлагдсан → 409
+     * TOKEN_CERT_INVALID. Зам нь CA-д бий ч `/.well-known/eid`-д хараахан алга (гэрээний тест WARN).
+     */
+    tokenPrepare(input: PdfTokenPrepareInput): Promise<PdfTokenPrepareSession>;
+    /**
+     * POST /pdf/token/{signingID}/finalize `{signature: base64 түүхий r||s}` — `signature` 64 байт (P-256 r||s, DER БИШ).
+     * Амжвал READY баримтын блок (`outSha256` — {@link tokenDocument}-оор татсан файлтай тулга). READY-ээс хойш идэмпотент.
+     * Алдаа: 400 SIGNATURE_INVALID (3 удаа → FAILED), 409 DOCUMENT_FAILED, 410 DOCUMENT_EXPIRED, 503 DOCUMENT_PENDING /
+     * TSA_UNAVAILABLE / LTV_UNAVAILABLE — ижил гарын үсгийг `retryAfterMs`-ийн дараа дахин илгээнэ.
+     */
+    tokenFinalize(signingId: string, signature: Uint8Array): Promise<PdfSessionBlock>;
+    /**
+     * GET /pdf/token/{signingID}/document — гарын үсэгтэй PDF (зөвхөн үүсгэсэн RP, expiresAt хүртэл), `pdfMaxBytes`
+     * хүртэл. SHA-256-ийг {@link tokenFinalize}-ийн `outSha256`-тай заавал тулга.
+     */
+    tokenDocument(signingId: string): Promise<Uint8Array>;
     /**
      * {@link document} + тулгалт: татсан байтын SHA-256 нь session poll-ийн `pdf.outSha256`-тай тэнцүү байх ёстой.
      * `expected` — poll-ийн `result.pdf` блок (`documentStatus` READY + `outSha256` заавал) эсвэл SHA-256 hex.
@@ -216,6 +297,264 @@ declare class OrganizationApi {
     getRepresentations(personEtsi: string): Promise<RepresentationsResponse>;
 }
 
+/** Токенд холбогдсон байгууллага. */
+interface TokenOrganization {
+    etsi: string;
+    name: string;
+}
+/** Иргэний нэг гэрчилгээ. */
+interface PersonCertificate {
+    documentNumber: string;
+    /** AUTH | SIGN | SEAL. */
+    type: string;
+    /** MOBILE | TOKEN | HSM. */
+    keyMedium: string;
+    serialNumber: string;
+    certificateLevel: string;
+    /** VALID | REVOKED | EXPIRED | SUSPENDED. */
+    status: string;
+    /** RFC 3339. */
+    notBefore: string;
+    notAfter: string;
+    issuerDn: string;
+    /** base64 DER (нийтийн артефакт). */
+    certValue?: string;
+    /** TOKEN мөрөнд токенд холбогдсон байгууллага; хувийн токенд алга. */
+    organization?: TokenOrganization;
+}
+interface CertCounts {
+    valid: number;
+    revoked: number;
+    expired: number;
+    suspended: number;
+    total: number;
+}
+/** GET /certificates/etsi/{personEtsi}. */
+interface PersonCertificates {
+    personEtsi: string;
+    counts: CertCounts;
+    certificates: PersonCertificate[];
+    raw: unknown;
+}
+interface PersonDevice {
+    deviceId?: string;
+    documentNumber: string;
+    /** APNS | FCM. */
+    platform?: string;
+    pushTopic?: string;
+    enrolledAt: string;
+    active: boolean;
+    deactivatedAt?: string | null;
+}
+/** GET /devices/etsi/{personEtsi}. */
+interface PersonDevices {
+    personEtsi: string;
+    devices: PersonDevice[];
+    activeCount: number;
+    total: number;
+    raw: unknown;
+}
+/** Үйл ажиллагааны нэг бичлэг (kind/reason: EID_PERSON_PKI §Activity kind/reason; шинэ код нэмэгдэж болно). */
+interface ActivityItem {
+    id?: string;
+    sessionId?: string;
+    /** AUTH | SIGN | PIN_CHECK | ENROLL | TOKEN_AUTH | … */
+    kind: string;
+    /** AUTHENTICATION | SIGNATURE (зөвхөн AUTH/SIGN). */
+    flow?: string;
+    /** OK | DENIED | FAILED. */
+    outcome: string;
+    reason?: string;
+    pinSlot?: string;
+    endResult?: string;
+    rpName?: string;
+    subsystemName?: string;
+    docText?: string;
+    interactionType?: string;
+    documentNumber?: string;
+    clientIp?: string;
+    timestamp: string;
+    onBehalfOfName?: string;
+}
+interface ActivityCounts {
+    authentication: number;
+    signature: number;
+}
+/** GET /rp/activity/etsi/{personEtsi} (RP-scoped; eID портал — бүрэн түүх). */
+interface PersonActivity {
+    personEtsi: string;
+    counts: ActivityCounts;
+    sessions: ActivityItem[];
+    total: number;
+    limit: number;
+    offset: number;
+    raw: unknown;
+}
+/** activity-ийн шүүлт. Өгөөгүй = серверийн анхдагч (limit 20, offset 0, бүх flow). */
+interface ActivityQuery {
+    flow?: "AUTHENTICATION" | "SIGNATURE";
+    /** 1–200. */
+    limit?: number;
+    offset?: number;
+}
+/** GET /person/summary/etsi/{personEtsi}. `lastName` = ЭЦГИЙН нэр, `familyName` = УРГИЙН овог. */
+interface PersonSummary {
+    personEtsi: string;
+    firstName?: string;
+    lastName?: string;
+    familyName?: string;
+    certificates: CertCounts;
+    activity: ActivityCounts;
+    devicesActive: number;
+    devicesTotal: number;
+    representationCount: number;
+    raw: unknown;
+}
+interface PersonChild {
+    etsi: string;
+    regNo: string;
+    /** «Овог Нэр». */
+    name: string;
+    /** YYYY-MM-DD. */
+    birthDate?: string;
+    registered: boolean;
+    /** 18 нас хүрэх өдөр; бүртгэлгүй бол алга. */
+    certNotAfter?: string;
+}
+/** GET /person/children/etsi/{personEtsi}. */
+interface PersonChildren {
+    children: PersonChild[];
+    raw: unknown;
+}
+declare class PersonApi {
+    private readonly http;
+    constructor(http: Http);
+    private get;
+    /** Иргэний бүх гэрчилгээ + статусын тоолол. */
+    certificates(personEtsi: string): Promise<PersonCertificates>;
+    /** Иргэний холбоотой төхөөрөмжүүд (идэвхтэй + идэвхгүй). */
+    devices(personEtsi: string): Promise<PersonDevices>;
+    /** Иргэний үйл ажиллагааны түүх. */
+    activity(personEtsi: string, query?: ActivityQuery): Promise<PersonActivity>;
+    /** Самбарын нэгдсэн тоо. */
+    summary(personEtsi: string): Promise<PersonSummary>;
+    /** Асран хамгаалж буй хүүхдүүд (зөвхөн унших). */
+    children(personEtsi: string): Promise<PersonChildren>;
+}
+
+interface TokenCertInput {
+    /** Иргэн (PNOMN-…) — батлах push түүний утсанд очно. */
+    signerEtsi: string;
+    /** PKCS#10 DER (EC P-256, ecdsa-with-SHA256, өөр өөр түлхүүр, ≤ 4 KiB). */
+    csrAuth: Uint8Array;
+    csrSign: Uint8Array;
+    /** `[A-Za-z0-9-]{1,64}`. */
+    tokenSerial: string;
+    /** Заавал биш (≤ 64). */
+    tokenLabel?: string;
+    /** Байгууллагын токен (NTRMN-…); хоосон/алга = хувийн токен. */
+    onBehalfOf?: string;
+}
+interface TokenCertStart {
+    sessionId: string;
+    /** Иргэнд ХАРУУЛАХ баталгаажуулах код (ПИН биш). */
+    vc: string | null;
+    /** hex(SHA-256(CSR DER)) — SDK илгээсэн CSR-тэй тулгасан (жижиг үсэг). */
+    csrAuthSha256: string;
+    csrSignSha256: string;
+    expiresAt?: string;
+}
+interface TokenCertItem {
+    /** base64 DER. */
+    certificate: string;
+    certificatePem: string;
+    serialHex: string;
+    notBefore: string;
+    notAfter: string;
+}
+/** GET /token/certificate/{sessionID} (зөвхөн үүсгэсэн RP, 24 цаг идэмпотент). */
+interface TokenCertResult {
+    status: string;
+    auth: TokenCertItem | null;
+    sign: TokenCertItem | null;
+    /** base64 DER: 04, 03, 02 (root-гүй). */
+    chain: string[];
+    chainPem: string;
+    /** Хувийн токенд null. */
+    organization: TokenOrganization | null;
+    keyMedium: string;
+    certificateLevel: string;
+    raw: unknown;
+}
+interface TokenAuthChallenge {
+    challengeId: string;
+    /** base64 (32 байт). */
+    challenge: string;
+    /** CA-ийн холбосон RP (жижиг үсэг) — hash-д ЯГ ЭНЭ мөр орно. */
+    rpUUID: string;
+    expiresAt: string;
+}
+/** CA-ийн баталгаажуулсан иргэн; givenName/surname — KYC бүртгэлээс (кирилл). */
+interface TokenIdentity {
+    etsi: string;
+    givenName: string;
+    surname: string;
+}
+interface TokenAuthResult {
+    identity: TokenIdentity;
+    serialHex: string;
+    notAfter: string;
+    /** Токен байгууллагад холбогдсон бол; эс бөгөөс null. */
+    organization: TokenOrganization | null;
+    raw: unknown;
+}
+/** 409 TOKEN_LIMIT_REACHED-ийн дэлгэрэнгүй. `limit` 0 = тухайн төрлийн олголт хаалттай. */
+interface TokenLimit {
+    kind: "PERSONAL" | "ORGANIZATION";
+    limit: number;
+    /** Зөвхөн ORGANIZATION-д (NTRMN-…). */
+    organization?: string;
+}
+declare class TokenApi {
+    private readonly http;
+    private readonly creds;
+    constructor(http: Http, creds: RpCredentials);
+    /**
+     * POST /token/certificate — токены AUTH + SIGN гэрчилгээ олголт эхлүүлнэ (иргэн утсаараа батална). CA-ийн буцаасан
+     * CSR hash-ууд илгээсэнтэй таарахгүй бол ValidationError.
+     */
+    issueCertificate(input: TokenCertInput): Promise<TokenCertStart>;
+    /**
+     * GET /token/certificate/{sessionID} — олгосон AUTH + SIGN гэрчилгээ + гинж. Токенд бичихээс өмнө
+     * {@link verifyTokenCertificates}-ээр CSR-ийн түлхүүртэй тулга.
+     */
+    certificateResult(sessionId: string): Promise<TokenCertResult>;
+    /** POST /token/auth/challenge — энэ RP-д холбогдсон нэг удаагийн challenge (2 мин). */
+    authChallenge(): Promise<TokenAuthChallenge>;
+    /**
+     * POST /token/auth/verify — токены AUTH гэрчилгээ (DER) + challenge дээрх түүхий r||s. CA гинж, төлөв, цуцлалт, гарын
+     * үсгийг шалгана; SDK нэмж endResult === OK ба identity.etsi === гэрчилгээний SERIALNUMBER-ийг тулгана (эс бөгөөс
+     * ValidationError). Challenge нэг удаагийн — алдааны дараа шинээр авна.
+     */
+    authVerify(challengeId: string, certDer: Uint8Array, signature: Uint8Array): Promise<TokenAuthResult>;
+}
+/**
+ * Олгосон AUTH/SIGN гэрчилгээ бүр задарч, илгээсэн CSR-ийн public key-тэй (SPKI) ЯГ таарахыг шалгана. Таарахгүй бол
+ * ValidationError — гэрчилгээг токенд бүү бич.
+ */
+declare function verifyTokenCertificates(result: TokenCertResult, csrAuth: Uint8Array, csrSign: Uint8Array): void;
+/**
+ * Токены зурах 32 байт: SHA-256("eID-TOKEN-AUTH" || rpUUID || challenge) (docs/TOKEN_AUTH.md). `rpUUID` — challenge
+ * хариуны `rpUUID` (жижиг үсэг, 36), `challengeB64` — 32 байт base64. Токен үүнийг CKM_ECDSA-аар зурж, түүхий r||s
+ * (64 байт)-ийг authVerify-д өгнө.
+ */
+declare function tokenAuthDigest(rpUUID: string, challengeB64: string): Buffer;
+/**
+ * err нь 409 TOKEN_LIMIT_REACHED бол түүний `{kind, limit, organization}`. Гэрээнээс гадуур хэлбэр бол undefined —
+ * татгалзал хүчинтэй хэвээр, дэлгэрэнгүйгүй.
+ */
+declare function tokenLimitOf(err: unknown): TokenLimit | undefined;
+
 /** Задалсан subject. Cert-д байхгүй талбар — undefined. Давхардсан OID-ийн эхнийх нь. */
 interface CertSubject {
     /** 2.5.4.42 GIVENNAME. */
@@ -291,6 +630,16 @@ interface ValidateSignOptions {
  * хэрэгжүүлнэ. "good" = хүчинтэй, "revoked" = цуцлагдсан, "unknown" = тогтоогдсонгүй.
  */
 type RevocationStatus = "good" | "revoked" | "unknown";
+/**
+ * {@link ResponseValidator.checkRevocationStatus}-ийн амжилттай дүн: "good" — issuer хүчинтэй гэж хариулсан;
+ * "unchecked" — "unknown", soft-fail горимд зөвшөөрөв; "skipped" — revocation hook тохируулаагүй.
+ */
+type RevocationOutcome = "good" | "unchecked" | "skipped";
+/**
+ * eID Mongolia Issuing CA (04)-ийн Subject Key Identifier — иргэний утасны болон USB токены AUTH/SIGN гэрчилгээг
+ * гаргадаг цорын ганц CA. `TrustConfig.allowedIssuerSkis`-д.
+ */
+declare const CITIZEN_ISSUING_CA_SKI = "b8a37f2c64ad677912db7d9e34f246358a2fb909";
 type RevocationChecker = (cert: X509Certificate, issuer: X509Certificate | undefined) => Promise<RevocationStatus>;
 interface TrustConfig {
     /**
@@ -320,6 +669,19 @@ interface TrustConfig {
      * revocation тохируулсан үед); "soft-fail" — "unknown"-г зөвшөөрнө.
      */
     revocationMode?: "hard-fail" | "soft-fail";
+    /**
+     * Иргэний гэрчилгээг шууд гаргасан CA-ийн Subject Key Identifier (hex, ":" зөвшөөрнө) жагсаалт. Хоосон/алга бол trust
+     * anchor хүртэл гинжлэгдсэн дурын CA зөвшөөрөгдөнө (хуучин зан). Ижил root-ийн доорх өөр CA (ж: байгууллагын Issuing
+     * CA) иргэний гэрчилгээ гаргахаас хамгаалахад: `[CITIZEN_ISSUING_CA_SKI]`.
+     */
+    allowedIssuerSkis?: string[];
+    /**
+     * true бол гэрчилгээний зориулалтыг CA-ийн профайлаар шалгана: auth → KeyUsage digitalSignature + ExtKeyUsage
+     * clientAuth (P-CITIZEN-AUTH); sign → KeyUsage contentCommitment / nonRepudiation (P-CITIZEN-SIGN). Анхдагч false.
+     */
+    checkKeyUsage?: boolean;
+    /** ACSP_V2 payload-ийн scheme нэр (CA-ийн `capabilities.acsp_scheme_name`); анхдагч "smart-id". */
+    schemeName?: string;
 }
 /** Баталгаажсан иргэний таних мэдээлэл (auth). */
 interface VerifiedIdentity {
@@ -350,6 +712,9 @@ declare class ResponseValidator {
     private readonly allowUntrusted;
     private readonly revocation?;
     private readonly revocationMode;
+    private readonly allowedIssuers?;
+    private readonly checkKeyUsage;
+    private readonly schemeName?;
     constructor(trust?: TrustConfig);
     /**
      * Auth session-ийн хариуг бүрэн шалгаж, баталгаажсан иргэнийг буцаана.
@@ -377,9 +742,24 @@ declare class ResponseValidator {
     private algorithmOf;
     /** state/endResult, cert байгаа эсэх, chain, validity, certLevel — нийтлэг шалгалт. */
     private precheck;
+    /**
+     * checkKeyUsage үед гэрчилгээний зориулалт протоколд тохирох эсэх (CA crypto/ca_profile.go): ACSP_V2 (auth) → KU
+     * digitalSignature + EKU clientAuth (эсвэл anyExtendedKeyUsage); RAW_DIGEST_SIGNATURE (sign) → KU contentCommitment.
+     */
+    private checkPurpose;
+    /** allowedIssuerSkis үед leaf-ийн шууд issuer-ийн SKI (issuer-т алга бол leaf-ийн AKI) жагсаалтад байх ёстой. */
+    private checkIssuer;
     private checkValidity;
     private checkLevel;
-    /** leaf-ээс эхлэн issuer-ийг intermediates/anchors дотроос олж, anchor хүртэл chain зангидна. */
+    /**
+     * RFC 5280 замын шалгалт (Go SDK-ийн `x509.Certificate.Verify`-тэй ижил дүрэм): leaf-ээс trust anchor хүртэлх
+     * замыг intermediates/anchors-оос (backtracking-тай) угсарна. Issuer бүр: subject = child.issuer, AKI/SKI таарах,
+     * гарын үсэг, CA (basicConstraints CA:TRUE), KeyUsage тавьсан бол keyCertSign, **pathLenConstraint** (доорх
+     * завсрын CA-ийн тоо), хүчинтэй хугацаа, EKU тавьсан бол `usage` / anyExtendedKeyUsage агуулах. Leaf болон CA
+     * бүрийн үл таних **critical extension** → татгалзана. **Name constraints**-ийг SDK үнэлдэггүй — гинжинд байвал
+     * fail-closed (CA-ийн бодит гинж 01–04-т алга). Цаг = now, leaf-ийн хүчинтэй хугацаанд хавчсан (`clockSkewMs`-ийн
+     * хүрээнд; leaf-ийн хугацааг checkValidity шалгасан). certificatePolicies шалгахгүй (Go-той ижил).
+     */
     private verifyChain;
     /** leaf-ийн шууд issuer-ийг trust pool-оос буцаана (revocation шалгагчид issuer хэрэгтэй). */
     private findIssuer;
@@ -390,6 +770,11 @@ declare class ResponseValidator {
      * дуудна (тэдгээр нь sync; revocation нь сүлжээ I/O тул async).
      */
     checkRevocation(cert: X509Certificate): Promise<void>;
+    /**
+     * {@link checkRevocation} + юу шийдсэнийг буцаана (лог/аудитад): "good" | "unchecked" (unknown, soft-fail) |
+     * "skipped" (hook алга). "revoked", мөн hard-fail горимд "unknown" → ValidationError; hook-ийн алдаа дамжина.
+     */
+    checkRevocationStatus(cert: X509Certificate): Promise<RevocationOutcome>;
 }
 /** Payload (auth) дээрх гарын үсэг — алгоритмаар салаалж node:crypto verify. */
 /** Smart-ID: userChallenge = BASE64URL(SHA-256(UTF-8(userChallengeVerifier))), padding-гүй. */
@@ -410,6 +795,13 @@ interface ClientConfig {
     defaultCertificateLevel?: CertificateLevel;
     /** HTTP timeout (мс). */
     timeoutMs?: number;
+    /** PAdES prepare / баримт татах дуудлагын хугацаа (мс). Анхдагч 80000 ({@link DEFAULT_PDF_TIMEOUT_MS}). */
+    pdfTimeoutMs?: number;
+    /**
+     * `pdf.document` / `pdf.tokenDocument`-ийн санах ойд унших дээд хэмжээ (байт). Анхдагч 64 MiB
+     * ({@link DEFAULT_PDF_MAX_BYTES}); хэтэрвэл `ResponseTooLargeError`.
+     */
+    pdfMaxBytes?: number;
     /** undici Dispatcher (mTLS client cert). */
     dispatcher?: unknown;
     /** fetch орлуулагч (тест). */
@@ -426,6 +818,8 @@ declare class EidClient {
     readonly sign: SignApi;
     readonly pdf: PdfApi;
     readonly organization: OrganizationApi;
+    readonly person: PersonApi;
+    readonly token: TokenApi;
     readonly session: SessionApi;
     readonly validator: ResponseValidator;
     constructor(cfg: ClientConfig);
@@ -663,4 +1057,4 @@ declare class EidOidcClient {
 /** PKCE S256: `BASE64URL(SHA-256(ASCII(code_verifier)))` (RFC 7636 §4.2). */
 declare function pkceChallenge(codeVerifier: string): Promise<string>;
 
-export { AcspContext, type AcspV2Params, AuthApi, type AuthDefaults, type AuthOptions, type BuildDeviceLinkInput, type CertSubject, CertificateLevel, type ClientConfig, type CreateAuthorizationOptions, DEFAULT_BASE_URL, DeviceLinkSession, type DeviceLinkSessionType, type DeviceLinkType, EID_ACR_ADVANCED, EID_ACR_QUALIFIED, EID_OIDC_ISSUER, type EidAuthorization, type EidCallbackChecks, type EidCallbackResult, EidClient, EidError, type EidIdTokenClaims, EidOidcClient, type EidOidcClientConfig, type EidOidcDiscovery, EidOidcError, type EidOidcErrorCode, FlowType, HashAlgorithm, Http, type HttpConfig, Interaction, NotificationSession, OrganizationApi, PdfApi, type PdfDefaults, type PdfPrepareInput, type PdfPrepareSession, PdfSessionBlock, type PdfSignerRef, type QrDeviceLinkTickerOptions, RepresentationsResponse, ResponseValidator, type RevocationChecker, type RevocationStatus, RpCredentials, SessionApi, SessionResult, SignApi, type SignDefaults, type SignOptions, SignatureAlgorithm, type TrustConfig, type ValidateAuthOptions, type ValidateSignOptions, type VerifiedIdentity, type VerifiedSignature, acspV2Digest, buildAcspV2Payload, buildDeviceLink, interactionsToBase64, parseSessionResult, parseSubject, pkceChallenge, qrDeviceLinkTicker, randomChallenge, resolveBaseUrl, sha256Base64, userChallengeOf, verifyPayloadSignature, verifyPrehashedSignature };
+export { AcspContext, type AcspV2Params, type ActivityCounts, type ActivityItem, type ActivityQuery, AuthApi, type AuthDefaults, type AuthOptions, type BuildDeviceLinkInput, CITIZEN_ISSUING_CA_SKI, type CertCounts, type CertSubject, CertificateLevel, type ClientConfig, type CreateAuthorizationOptions, DEFAULT_BASE_URL, DEFAULT_PDF_MAX_BYTES, DEFAULT_PDF_TIMEOUT_MS, DeviceLinkSession, type DeviceLinkSessionType, type DeviceLinkType, EID_ACR_ADVANCED, EID_ACR_QUALIFIED, EID_OIDC_ISSUER, type EidAuthorization, type EidCallbackChecks, type EidCallbackResult, EidClient, EidError, type EidIdTokenClaims, EidOidcClient, type EidOidcClientConfig, type EidOidcDiscovery, EidOidcError, type EidOidcErrorCode, FlowType, HashAlgorithm, Http, type HttpConfig, Interaction, NotificationSession, OrganizationApi, PdfApi, type PdfDefaults, type PdfPrepareInput, type PdfPrepareSession, PdfSessionBlock, type PdfSignerRef, type PdfTokenPrepareInput, type PdfTokenPrepareSession, type PersonActivity, PersonApi, PersonBlock, type PersonCertificate, type PersonCertificates, type PersonChild, type PersonChildren, type PersonDevice, type PersonDevices, type PersonSummary, type QrDeviceLinkTickerOptions, RepresentationsResponse, ResponseValidator, type RevocationChecker, type RevocationOutcome, type RevocationStatus, RpCredentials, SessionApi, SessionResult, SignApi, type SignDefaults, type SignOptions, SignatureAlgorithm, TokenApi, type TokenAuthChallenge, type TokenAuthResult, type TokenCertInput, type TokenCertItem, type TokenCertResult, type TokenCertStart, type TokenIdentity, type TokenLimit, type TokenOrganization, type TrustConfig, type ValidateAuthOptions, type ValidateSignOptions, type VerifiedIdentity, type VerifiedSignature, acspV2Digest, buildAcspV2Payload, buildDeviceLink, interactionsToBase64, parseSessionResult, parseSubject, personMatchesCertificate, pkceChallenge, qrDeviceLinkTicker, randomChallenge, resolveBaseUrl, sha256Base64, tokenAuthDigest, tokenLimitOf, userChallengeOf, verifyPayloadSignature, verifyPrehashedSignature, verifyTokenCertificates };