@hed-hog/core 0.0.399 → 0.0.401

package/hedhog/query/oauth_authorize_pkce.sql

@@ -1,58 +0,0 @@
--- OAuth authorization code + PKCE: a API como PROVEDORA de identidade.
---
--- Tabelas de infra de auth: vivem so aqui, sem YAML em hedhog/table (ver
--- oauth_mobile_state_token.sql).
---
--- Usadas por libraries/core/src/authorize/authorize.service.ts e
--- libraries/core/src/pairing/pairing.service.ts.
---
--- A ordem interna importa: oauth_authorization_code.client_id aponta para
--- oauth_app_client.client_id. A FK para "user" resolve porque os arquivos de
--- hedhog/query sao anexados DEPOIS de todos os CREATE TABLE (ver docs/YAML-SPEC.md
--- secao 7).
-CREATE TABLE IF NOT EXISTS oauth_app_client (
-  id             SERIAL PRIMARY KEY,
-  client_id      VARCHAR(100) NOT NULL UNIQUE,
-  name           VARCHAR(255) NOT NULL,
-  -- 'public' = sem client_secret, PKCE obrigatorio (o caso de uma extensao, que
-  -- nao consegue guardar segredo).
-  client_type    VARCHAR(20)  NOT NULL DEFAULT 'public',
-  -- Allowlist de URIs exatas, uma por linha. A comparacao e igualdade de string:
-  -- parsing de origin quebraria para esquemas nao-http.
-  redirect_uris  TEXT         NOT NULL,
-  scopes         TEXT         NOT NULL DEFAULT 'vaults',
-  -- Reservado: hoje NAO pula a tela de consent. Pular economizaria um clique e
-  -- custaria um authorize silencioso disparavel por qualquer pagina.
-  is_first_party BOOLEAN      NOT NULL DEFAULT TRUE,
-  enabled        BOOLEAN      NOT NULL DEFAULT TRUE,
-  created_at     TIMESTAMPTZ  NOT NULL DEFAULT NOW(),
-  updated_at     TIMESTAMPTZ  NOT NULL DEFAULT NOW()
-);
-
--- Authorization codes de vida curta (60s), consumidos atomicamente uma unica vez.
-CREATE TABLE IF NOT EXISTS oauth_authorization_code (
-  id                    BIGSERIAL PRIMARY KEY,
-  -- Guardamos so o hash: um dump do banco nao permite trocar codes por tokens.
-  code_hash             VARCHAR(255) NOT NULL UNIQUE,
-  client_id             VARCHAR(100) NOT NULL,
-  user_id               INTEGER      NOT NULL REFERENCES "user"(id) ON DELETE CASCADE,
-  redirect_uri          TEXT         NOT NULL,
-  scope                 TEXT         NOT NULL,
-  code_challenge        VARCHAR(255) NOT NULL,
-  code_challenge_method VARCHAR(10)  NOT NULL DEFAULT 'S256',
-  expires_at            TIMESTAMPTZ  NOT NULL,
-  consumed_at           TIMESTAMPTZ  NULL,
-  created_at            TIMESTAMPTZ  NOT NULL DEFAULT NOW()
-);
-
-CREATE INDEX IF NOT EXISTS idx_oauth_authorization_code_expires_at
-  ON oauth_authorization_code (expires_at);
-
-CREATE INDEX IF NOT EXISTS idx_oauth_authorization_code_client
-  ON oauth_authorization_code (client_id);
-
--- NOTA: o repositorio de referencia semeia aqui um oauth_app_client para a
--- extensao "HedHog Vaults" (client_id 'hedhog-extension', scope 'vaults'). Esse
--- seed NAO foi trazido de proposito: e dado de aplicacao, nao estrutura; depende
--- da library `vaults`; e o proprio redirect_uri de la ja mudou depois daquela
--- migration. Cada instalacao cadastra os proprios clients.

package/hedhog/query/oauth_mobile_state_token.sql

@@ -1,30 +0,0 @@
--- Estado do fluxo OAuth mobile, duravel entre replicas da API.
---
--- Tabela de infra de auth: vive so aqui, sem YAML em hedhog/table, porque nao e
--- entidade de negocio e nao tem CRUD administravel. hedhog/table e para o que
--- ganha scaffolding.
---
--- O `state` opaco nao pode viver em memoria de processo: com mais de uma replica,
--- o callback do provedor cai em qualquer pod. O token e gravado com hash, amarrado
--- a provider + redirect_uri + flow_type, e consumido uma unica vez (consumed_at)
--- antes de expirar (expires_at).
---
--- Usada por libraries/core/src/oauth/oauth.service.ts.
-CREATE TABLE IF NOT EXISTS oauth_mobile_state_token (
-  id BIGSERIAL PRIMARY KEY,
-  token_hash VARCHAR(255) NOT NULL UNIQUE,
-  provider VARCHAR(100) NOT NULL,
-  redirect_uri TEXT NOT NULL,
-  flow_type VARCHAR(20) NOT NULL,
-  expires_at TIMESTAMPTZ NOT NULL,
-  consumed_at TIMESTAMPTZ NULL,
-  created_at TIMESTAMPTZ NOT NULL DEFAULT NOW()
-);
-
--- Lookup do callback: casa o state com o par provider + redirect_uri.
-CREATE INDEX IF NOT EXISTS idx_oauth_mobile_state_token_provider_redirect
-  ON oauth_mobile_state_token (provider, redirect_uri);
-
--- Varredura de expirados.
-CREATE INDEX IF NOT EXISTS idx_oauth_mobile_state_token_expires_at
-  ON oauth_mobile_state_token (expires_at);

package/hedhog/query/oauth_web_ref_token.sql

@@ -1,25 +0,0 @@
--- Referencia curta de uso unico para o retorno do OAuth web (Microsoft Entra ID).
---
--- Tabela de infra de auth: vive so aqui, sem YAML em hedhog/table (ver
--- oauth_mobile_state_token.sql).
---
--- A API troca o authorization code (~2KB) do provedor no servidor, guarda o perfil
--- resultante cifrado sob um id curto e opaco, e devolve so esse id ao front-end,
--- que o resgata. Modelada a partir de oauth_mobile_state_token, pelo mesmo motivo:
--- ser duravel entre replicas.
---
--- Usada por libraries/core/src/oauth/oauth.service.ts.
-CREATE TABLE IF NOT EXISTS oauth_web_ref_token (
-  id BIGSERIAL PRIMARY KEY,
-  token_hash VARCHAR(255) NOT NULL UNIQUE,
-  provider VARCHAR(100) NOT NULL,
-  flow_type VARCHAR(20) NOT NULL,
-  app_origin TEXT NULL,
-  profile_enc TEXT NOT NULL,
-  expires_at TIMESTAMPTZ NOT NULL,
-  consumed_at TIMESTAMPTZ NULL,
-  created_at TIMESTAMPTZ NOT NULL DEFAULT NOW()
-);
-
-CREATE INDEX IF NOT EXISTS idx_oauth_web_ref_token_expires_at
-  ON oauth_web_ref_token (expires_at);