@hgdc/auth 0.2.0 → 0.3.0

package/README.md

@@ -2,12 +2,12 @@
 
 Connexion d'un produit HGDC à HGDC Account (OIDC) : bouton « Se connecter avec HGDC », configuration du client better-auth, proxy `/api/auth` pour TanStack Start et gardes Convex.
 
-| Import              | Contenu                                                                                                |
-| ------------------- | ------------------------------------------------------------------------------------------------------ |
-| `@hgdc/auth`        | `HGDC_ISSUER`, `HGDC_PROVIDER_ID`, `HGDC_SCOPES`, rôles (`highestRole`, `hasRole`), `parseHgdcProfile` |
-| `@hgdc/auth/server` | `hgdcProvider` (plugin `genericOAuth`), `createAuthProxy`, `restoreFetchMode`                          |
-| `@hgdc/auth/convex` | `requireIdentity`, `requireOrgMember`, `isAuthError`                                                   |
-| `@hgdc/auth/react`  | `HgdcSignInButton`, `startHgdcSignIn`, `HgdcMark`                                                      |
+| Import              | Contenu                                                                                                                                                    |
+| ------------------- | ---------------------------------------------------------------------------------------------------------------------------------------------------------- |
+| `@hgdc/auth`        | `HGDC_ISSUER`, `HGDC_PROVIDER_ID`, `HGDC_SCOPES`, rôles (`highestRole`, `hasRole`), `parseHgdcProfile`, `organizationsFromIdToken`, `planOrganizationSync` |
+| `@hgdc/auth/server` | `hgdcProvider` (plugin `genericOAuth`), `createAuthProxy`, `restoreFetchMode`                                                                              |
+| `@hgdc/auth/convex` | `requireIdentity`, `requireOrgMember`, `isAuthError`                                                                                                       |
+| `@hgdc/auth/react`  | `HgdcSignInButton`, `startHgdcSignIn`, `HgdcMark`                                                                                                          |
 
 Pairs : better-auth 1.6, convex 1.46+, React 19 (chacun facultatif selon l'import).
 
@@ -71,4 +71,21 @@ const { userId, role } = await requireOrgMember(ctx, organizationId, {
 
 Les organisations arrivent par la portée `organizations` : claim `organizations: [{ id, slug, name, role }]` de l'id_token et de userinfo.
 
+## Synchroniser les organisations
+
+Les organisations vivent dans Account ; le produit en garde une copie (espace par organisation, appartenances) que lit le chargeur de `requireOrgMember`. Elle se met à jour à chaque connexion :
+
+```ts
+import { organizationsFromIdToken, planOrganizationSync } from "@hgdc/auth"
+
+// better-auth : databaseHooks.session.create.after → mutation interne du produit
+const account = /* ligne `account` de la personne avec providerId "hgdc" */
+const claimed = organizationsFromIdToken(account.idToken) // jeton reçu du point de jeton, déjà validé
+const plan = planOrganizationSync(claimed, membershipsOfThisUser)
+// plan.upsert : créer l'espace (index unique sur organizationId) et l'appartenance, ou mettre à jour rôle, nom, slug
+// plan.remove : retirer les appartenances des organisations quittées
+```
+
+Un rôle changé dans Account n'arrive qu'à la connexion suivante : garder des sessions courtes (7 jours au plus).
+
 Tous droits réservés, Hugo Gebel Développement Conseil.

package/dist/index.d.ts

@@ -38,3 +38,28 @@ export type HgdcProfile = {
  * l'adresse n'est pas vérifiée : un tel profil ne doit jamais ouvrir de session.
  */
 export declare function parseHgdcProfile(claims: unknown): HgdcProfile;
+/**
+ * Organisations d'un id_token de HGDC Account. À n'appeler que sur un jeton reçu directement
+ * du point de jeton d'Account par le serveur (champ `idToken` de la table `account` de
+ * better-auth) : sa signature n'est pas revérifiée ici (OpenID Connect Core 3.1.3.7, point 6).
+ * Lève une erreur si le jeton est illisible ou si un claim est invalide ; `[]` sans la portée.
+ */
+export declare function organizationsFromIdToken(idToken: string): HgdcOrganization[];
+/** Appartenance d'une personne telle qu'un produit l'a copiée depuis Account. */
+export type SyncedMembership = {
+    organizationId: string;
+    slug: string;
+    name: string;
+    role: OrgRole;
+};
+export type OrganizationSyncPlan = {
+    /** Organisations à créer ou à mettre à jour chez le produit (espace et appartenance). */
+    upsert: HgdcOrganization[];
+    /** Organisations dont la personne ne fait plus partie : appartenance à retirer. */
+    remove: string[];
+};
+/**
+ * Écart entre les organisations reçues d'Account et la copie du produit, pour une personne.
+ * Ne renvoie que ce qui change : une connexion sans changement n'écrit rien.
+ */
+export declare function planOrganizationSync(claimed: readonly HgdcOrganization[], current: readonly SyncedMembership[]): OrganizationSyncPlan;

package/dist/index.js

@@ -56,3 +56,42 @@ export function parseHgdcProfile(claims) {
         throw new Error(`Profil HGDC invalide : ${z.prettifyError(result.error)}`);
     return result.data;
 }
+const organizationsClaim = z.object({ organizations: z.array(organizationClaim).optional() });
+function decodeBase64Url(segment) {
+    const base64 = segment
+        .replaceAll("-", "+")
+        .replaceAll("_", "/")
+        .padEnd(Math.ceil(segment.length / 4) * 4, "=");
+    const bytes = Uint8Array.from(atob(base64), (char) => char.charCodeAt(0));
+    return new TextDecoder().decode(bytes);
+}
+/**
+ * Organisations d'un id_token de HGDC Account. À n'appeler que sur un jeton reçu directement
+ * du point de jeton d'Account par le serveur (champ `idToken` de la table `account` de
+ * better-auth) : sa signature n'est pas revérifiée ici (OpenID Connect Core 3.1.3.7, point 6).
+ * Lève une erreur si le jeton est illisible ou si un claim est invalide ; `[]` sans la portée.
+ */
+export function organizationsFromIdToken(idToken) {
+    const payload = idToken.split(".")[1];
+    if (!payload)
+        throw new Error("id_token HGDC illisible");
+    const result = organizationsClaim.safeParse(JSON.parse(decodeBase64Url(payload)));
+    if (!result.success)
+        throw new Error(`Organisations HGDC invalides : ${z.prettifyError(result.error)}`);
+    return result.data.organizations ?? [];
+}
+/**
+ * Écart entre les organisations reçues d'Account et la copie du produit, pour une personne.
+ * Ne renvoie que ce qui change : une connexion sans changement n'écrit rien.
+ */
+export function planOrganizationSync(claimed, current) {
+    const known = new Map(current.map((m) => [m.organizationId, m]));
+    const claimedIds = new Set(claimed.map((o) => o.id));
+    return {
+        upsert: claimed.filter((org) => {
+            const copy = known.get(org.id);
+            return !copy || copy.role !== org.role || copy.slug !== org.slug || copy.name !== org.name;
+        }),
+        remove: current.filter((m) => !claimedIds.has(m.organizationId)).map((m) => m.organizationId),
+    };
+}

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@hgdc/auth",
-  "version": "0.2.0",
+  "version": "0.3.0",
   "description": "Connexion HGDC : bouton « Se connecter avec HGDC », config better-auth et gardes Convex.",
   "license": "UNLICENSED",
   "homepage": "https://github.com/hugogebel-boop/hgdc-kit/tree/main/packages/auth#readme",