@hgdc/auth 0.6.2 → 0.7.1

package/README.md

@@ -104,7 +104,31 @@ export const Route = createFileRoute("/auth/hgdc")({
 - `next` (`?next=/o/acme`) n'accepte qu'un chemin du produit (`safeNextPath`) ; tout le reste devient `/`, que chaque produit redirige vers son app quand la session existe. `errorCallbackURL` : la page de connexion du produit avec son paramètre d'erreur.
 - Lien vers un produit depuis ailleurs : `hgdcEntryUrl("https://mail.hgdc.ch", "/o/acme")`.
 
-Décision : ADR 0010.
+### Relire les organisations : `refresh=1`
+
+Le claim `organizations` n'est lu qu'à la création d'une session (étape 1 ci-dessous). Une organisation rejointe dans Account reste donc invisible dans un produit dont la session est ouverte, jusqu'à 7 jours. `refresh=1` repasse par Account même avec une session ouverte : la nouvelle session relit le claim, sans formulaire quand la session d'Account existe.
+
+- Barre et menu des produits (`@hgdc/ui/products`) : `https://<mot>.hgdc.ch/auth/hgdc?refresh=1&next=/`. Chaque passage d'un produit à l'autre resynchronise.
+- Page d'une organisation inconnue du produit (ou dont la personne n'est pas membre localement) : une seule redirection vers `hgdcRefreshPath("/o/acme")` avant d'afficher « introuvable ». Au retour, `next` porte `?synced=1` : `hasSyncedMarker(location.search)` vrai, la page affiche « introuvable » au lieu de relancer. L'entrée elle-même ne relance jamais un `next` déjà marqué : pas de boucle.
+
+```tsx
+// Côté client, une fois les organisations chargées
+import { useOrganizationRefresh } from "@hgdc/auth/react"
+
+const refreshing = useOrganizationRefresh(viewer !== undefined && !space)
+if (refreshing) return <FamilyLoader page />
+if (!space) return <NotFound />
+
+// Dans un loader ou un beforeLoad (rendu serveur compris)
+import { hasSyncedMarker, hgdcRefreshPath } from "@hgdc/auth"
+if (!organization && !hasSyncedMarker(location.searchStr))
+  throw redirect({ href: hgdcRefreshPath(location.href), reloadDocument: true })
+```
+
+- L'ancienne session n'est pas révoquée : si Account ne répond pas, la personne garde son accès, et la session expire seule (`SESSION_TTL_SECONDS`).
+- Lien vers un produit avec relecture : `hgdcEntryUrl(origin, "/o/acme", { refresh: true })`.
+
+Décisions : ADR 0010, ADR 0013.
 
 ## Garder une fonction Convex
 

package/dist/index.d.ts

@@ -14,6 +14,17 @@ export declare const HGDC_SCOPES: readonly string[];
 export declare const HGDC_ENTRY_PATH = "/auth/hgdc";
 /** Paramètre de l'entrée qui porte la page d'arrivée. */
 export declare const HGDC_ENTRY_NEXT_PARAM = "next";
+/**
+ * `refresh=1` sur l'entrée : repasser par Account même si la session du produit est ouverte. Le
+ * claim `organizations` n'est lu qu'à la création d'une session ; une organisation rejointe dans
+ * Account n'apparaît dans le produit qu'à la session suivante. La nouvelle session relit le claim.
+ */
+export declare const HGDC_ENTRY_REFRESH_PARAM = "refresh";
+/**
+ * Ajouté à `next` au retour d'un `refresh` (`?synced=1`) : la page sait que les organisations
+ * viennent d'être relues et ne relance pas l'entrée (une seule resynchronisation par navigation).
+ */
+export declare const HGDC_SYNCED_PARAM = "synced";
 /**
  * Page d'arrivée sûre : un chemin du produit lui-même, jamais une autre origine. Refuse ce qu'un
  * navigateur lirait comme une adresse externe (`//hôte`, `/\hôte`, schéma), les caractères de
@@ -24,7 +35,24 @@ export declare function safeNextPath(value: string | null | undefined, fallback?
  * Adresse de l'entrée commune d'un produit : `hgdcEntryUrl("https://mail.hgdc.ch", "/o/acme")`.
  * Sans `next` (ou `next` refusé), le produit ouvre sa page d'accueil connectée.
  */
-export declare function hgdcEntryUrl(productOrigin: string, next?: string): string;
+export declare function hgdcEntryUrl(productOrigin: string, next?: string, options?: {
+    refresh?: boolean;
+}): string;
+/**
+ * Chemin relatif qui relit les organisations puis revient sur `next` :
+ * `/auth/hgdc?refresh=1&next=/o/acme`. Pour une page d'organisation inconnue du produit, avant
+ * d'afficher « introuvable », si `hasSyncedMarker` est faux.
+ */
+export declare function hgdcRefreshPath(next: string): string;
+/**
+ * Vrai si la page arrive d'une resynchronisation (`?synced=1`) : ne pas relancer l'entrée.
+ * Accepte une requête (`?a=1`), une adresse ou un chemin complet, ou des `URLSearchParams`.
+ */
+export declare function hasSyncedMarker(search: string | URLSearchParams): boolean;
+/** `path` sans le marqueur `synced`, le reste de la requête et le fragment gardés. */
+export declare function withoutSyncedMarker(path: string): string;
+/** `path` avec le marqueur `synced=1`, avant le fragment. */
+export declare function withSyncedMarker(path: string): string;
 /** Rôles d'organisation, du plus faible au plus fort. */
 export declare const ORG_ROLES: readonly ["member", "admin", "owner"];
 export type OrgRole = (typeof ORG_ROLES)[number];

package/dist/index.js

@@ -15,6 +15,17 @@ export const HGDC_SCOPES = ["openid", "profile", "email", "offline_access", ORGA
 export const HGDC_ENTRY_PATH = "/auth/hgdc";
 /** Paramètre de l'entrée qui porte la page d'arrivée. */
 export const HGDC_ENTRY_NEXT_PARAM = "next";
+/**
+ * `refresh=1` sur l'entrée : repasser par Account même si la session du produit est ouverte. Le
+ * claim `organizations` n'est lu qu'à la création d'une session ; une organisation rejointe dans
+ * Account n'apparaît dans le produit qu'à la session suivante. La nouvelle session relit le claim.
+ */
+export const HGDC_ENTRY_REFRESH_PARAM = "refresh";
+/**
+ * Ajouté à `next` au retour d'un `refresh` (`?synced=1`) : la page sait que les organisations
+ * viennent d'être relues et ne relance pas l'entrée (une seule resynchronisation par navigation).
+ */
+export const HGDC_SYNCED_PARAM = "synced";
 const NEXT_MAX_LENGTH = 2048;
 const NEXT_BASE = "https://next.invalid";
 /**
@@ -49,13 +60,61 @@ export function safeNextPath(value, fallback = "/") {
  * Adresse de l'entrée commune d'un produit : `hgdcEntryUrl("https://mail.hgdc.ch", "/o/acme")`.
  * Sans `next` (ou `next` refusé), le produit ouvre sa page d'accueil connectée.
  */
-export function hgdcEntryUrl(productOrigin, next) {
+export function hgdcEntryUrl(productOrigin, next, options = {}) {
     const url = new URL(HGDC_ENTRY_PATH, new URL(productOrigin).origin);
     const path = next === undefined ? "/" : safeNextPath(next);
-    if (path !== "/")
+    if (options.refresh)
+        url.searchParams.set(HGDC_ENTRY_REFRESH_PARAM, "1");
+    if (path !== "/" || options.refresh)
         url.searchParams.set(HGDC_ENTRY_NEXT_PARAM, path);
     return url.toString();
 }
+/**
+ * Chemin relatif qui relit les organisations puis revient sur `next` :
+ * `/auth/hgdc?refresh=1&next=/o/acme`. Pour une page d'organisation inconnue du produit, avant
+ * d'afficher « introuvable », si `hasSyncedMarker` est faux.
+ */
+export function hgdcRefreshPath(next) {
+    const params = new URLSearchParams({
+        [HGDC_ENTRY_REFRESH_PARAM]: "1",
+        [HGDC_ENTRY_NEXT_PARAM]: safeNextPath(withoutSyncedMarker(next)),
+    });
+    return `${HGDC_ENTRY_PATH}?${params.toString()}`;
+}
+function searchParamsOf(search) {
+    if (typeof search !== "string")
+        return search;
+    const query = search.includes("?") ? search.slice(search.indexOf("?") + 1).split("#")[0] : search;
+    return new URLSearchParams(query);
+}
+/**
+ * Vrai si la page arrive d'une resynchronisation (`?synced=1`) : ne pas relancer l'entrée.
+ * Accepte une requête (`?a=1`), une adresse ou un chemin complet, ou des `URLSearchParams`.
+ */
+export function hasSyncedMarker(search) {
+    return searchParamsOf(search).get(HGDC_SYNCED_PARAM) === "1";
+}
+/** `path` sans le marqueur `synced`, le reste de la requête et le fragment gardés. */
+export function withoutSyncedMarker(path) {
+    const hashAt = path.indexOf("#");
+    const hash = hashAt === -1 ? "" : path.slice(hashAt);
+    const beforeHash = hashAt === -1 ? path : path.slice(0, hashAt);
+    const queryAt = beforeHash.indexOf("?");
+    if (queryAt === -1)
+        return path;
+    const params = new URLSearchParams(beforeHash.slice(queryAt + 1));
+    params.delete(HGDC_SYNCED_PARAM);
+    const query = params.toString();
+    return `${beforeHash.slice(0, queryAt)}${query ? `?${query}` : ""}${hash}`;
+}
+/** `path` avec le marqueur `synced=1`, avant le fragment. */
+export function withSyncedMarker(path) {
+    const clean = withoutSyncedMarker(path);
+    const hashAt = clean.indexOf("#");
+    const hash = hashAt === -1 ? "" : clean.slice(hashAt);
+    const beforeHash = hashAt === -1 ? clean : clean.slice(0, hashAt);
+    return `${beforeHash}${beforeHash.includes("?") ? "&" : "?"}${HGDC_SYNCED_PARAM}=1${hash}`;
+}
 /** Rôles d'organisation, du plus faible au plus fort. */
 export const ORG_ROLES = ["member", "admin", "owner"];
 function isOrgRole(value) {

package/dist/react.d.ts

@@ -52,3 +52,18 @@ export declare function HgdcMark({ className }: {
  * `className`, l'état d'attente est exposé par `aria-busy` et `data-pending`.
  */
 export declare function HgdcSignInButton({ authClient, callbackURL, errorCallbackURL, onError, label, disabled, ...rest }: HgdcSignInButtonProps): ReactElement;
+/**
+ * Page d'une organisation inconnue du produit, ou dont la personne n'est pas membre dans sa copie :
+ * une invitation acceptée dans Account n'y arrive qu'à la session suivante (ADR 0013). Quand
+ * `unknown` est vrai, part une fois vers `/auth/hgdc?refresh=1&next=<page>` et rend `true` (afficher
+ * un chargement). Au retour (`?synced=1`), rend `false` : afficher « introuvable ».
+ *
+ * Côté client seulement : à appeler une fois la liste des organisations chargée.
+ *
+ * ```tsx
+ * const refreshing = useOrganizationRefresh(viewer !== undefined && !space)
+ * if (refreshing) return <FamilyLoader page />
+ * if (!space) return <NotFound />
+ * ```
+ */
+export declare function useOrganizationRefresh(unknown: boolean): boolean;

package/dist/react.js

@@ -1,6 +1,6 @@
 import { jsx as _jsx, jsxs as _jsxs } from "react/jsx-runtime";
-import { useState } from "react";
-import { HGDC_PROVIDER_ID } from "./index.js";
+import { useEffect, useState } from "react";
+import { HGDC_PROVIDER_ID, hasSyncedMarker, hgdcRefreshPath } from "./index.js";
 /**
  * Part vers HGDC Account. Renvoie `{ ok: true }` quand la redirection est lancée,
  * sinon l'erreur du client ou du réseau, sans lever.
@@ -50,3 +50,28 @@ export function HgdcSignInButton({ authClient, callbackURL = "/", errorCallbackU
     }
     return (_jsxs("button", { ...rest, type: "button", disabled: disabled === true || pending, "aria-busy": pending, "data-pending": pending ? "" : undefined, onClick: () => void signIn(), children: [_jsx(HgdcMark, {}), _jsx("span", { children: pending ? "Redirection vers Account…" : label })] }));
 }
+/**
+ * Page d'une organisation inconnue du produit, ou dont la personne n'est pas membre dans sa copie :
+ * une invitation acceptée dans Account n'y arrive qu'à la session suivante (ADR 0013). Quand
+ * `unknown` est vrai, part une fois vers `/auth/hgdc?refresh=1&next=<page>` et rend `true` (afficher
+ * un chargement). Au retour (`?synced=1`), rend `false` : afficher « introuvable ».
+ *
+ * Côté client seulement : à appeler une fois la liste des organisations chargée.
+ *
+ * ```tsx
+ * const refreshing = useOrganizationRefresh(viewer !== undefined && !space)
+ * if (refreshing) return <FamilyLoader page />
+ * if (!space) return <NotFound />
+ * ```
+ */
+export function useOrganizationRefresh(unknown) {
+    const synced = typeof window === "undefined" || hasSyncedMarker(window.location.search);
+    const refreshing = unknown && !synced;
+    useEffect(() => {
+        if (!refreshing)
+            return;
+        const { pathname, search, hash } = window.location;
+        window.location.replace(hgdcRefreshPath(`${pathname}${search}${hash}`));
+    }, [refreshing]);
+    return refreshing;
+}

package/dist/server.d.ts

@@ -39,6 +39,12 @@ export type HgdcEntryOptions = {
  * - Sinon : la connexion HGDC part aussitôt (même appel que `HgdcSignInButton`, fait par le
  *   serveur), retour vers `next`. Si la session d'Account est ouverte et le produit déjà
  *   autorisé, Account renvoie sans formulaire : trois redirections, aucun clic.
+ * - `refresh=1` (`HGDC_ENTRY_REFRESH_PARAM`) : la connexion HGDC part même si la session du
+ *   produit est ouverte. La nouvelle session relit le claim `organizations` (crochet
+ *   `session.create.before`) ; retour vers `next?synced=1` (`HGDC_SYNCED_PARAM`), pour que la
+ *   page ne relance pas l'entrée. Un `next` qui porte déjà `synced=1` ne relance rien : pas de
+ *   boucle. L'ancienne session n'est pas révoquée : si Account ne répond pas, la personne garde
+ *   son accès, et la session expire seule (`SESSION_TTL_SECONDS`).
  *
  * `next` est filtré par `safeNextPath` (chemin du produit seulement, pas de redirection ouverte),
  * puis better-auth le revérifie contre ses `trustedOrigins`.

package/dist/server.js

@@ -1,4 +1,4 @@
-import { HGDC_ENTRY_NEXT_PARAM, HGDC_ISSUER, HGDC_PROVIDER_ID, HGDC_SCOPES, parseHgdcProfile, safeNextPath, } from "./index.js";
+import { HGDC_ENTRY_NEXT_PARAM, HGDC_ENTRY_REFRESH_PARAM, HGDC_ISSUER, HGDC_PROVIDER_ID, HGDC_SCOPES, hasSyncedMarker, parseHgdcProfile, safeNextPath, withSyncedMarker, } from "./index.js";
 /** En-tête qui porte le `sec-fetch-mode` du navigateur à travers le proxy. */
 export const FETCH_MODE_HEADER = "x-hgdc-fetch-mode";
 const FETCH_MODES = new Set(["navigate", "cors", "no-cors", "same-origin", "websocket"]);
@@ -115,6 +115,12 @@ function authorizationUrl(body) {
  * - Sinon : la connexion HGDC part aussitôt (même appel que `HgdcSignInButton`, fait par le
  *   serveur), retour vers `next`. Si la session d'Account est ouverte et le produit déjà
  *   autorisé, Account renvoie sans formulaire : trois redirections, aucun clic.
+ * - `refresh=1` (`HGDC_ENTRY_REFRESH_PARAM`) : la connexion HGDC part même si la session du
+ *   produit est ouverte. La nouvelle session relit le claim `organizations` (crochet
+ *   `session.create.before`) ; retour vers `next?synced=1` (`HGDC_SYNCED_PARAM`), pour que la
+ *   page ne relance pas l'entrée. Un `next` qui porte déjà `synced=1` ne relance rien : pas de
+ *   boucle. L'ancienne session n'est pas révoquée : si Account ne répond pas, la personne garde
+ *   son accès, et la session expire seule (`SESSION_TTL_SECONDS`).
  *
  * `next` est filtré par `safeNextPath` (chemin du produit seulement, pas de redirection ouverte),
  * puis better-auth le revérifie contre ses `trustedOrigins`.
@@ -135,9 +141,12 @@ export function createHgdcEntry(options) {
     return async (request) => {
         const url = new URL(request.url);
         const next = safeNextPath(url.searchParams.get(HGDC_ENTRY_NEXT_PARAM));
+        // Un `next` déjà marqué revient d'une resynchronisation : on n'en relance pas une autre.
+        const refresh = url.searchParams.get(HGDC_ENTRY_REFRESH_PARAM) === "1" && !hasSyncedMarker(next);
+        const callbackURL = refresh ? withSyncedMarker(next) : next;
         const cookies = [];
         try {
-            if (request.headers.has("cookie")) {
+            if (!refresh && request.headers.has("cookie")) {
                 const session = await options.proxy(new Request(`${url.origin}${basePath}/get-session`, { headers: internalHeaders(request, url.origin) }));
                 cookies.push(...setCookies(session));
                 if (session.ok && hasSessionBody(await readJson(session)))
@@ -148,7 +157,7 @@ export function createHgdcEntry(options) {
             const signIn = await options.proxy(new Request(`${url.origin}${basePath}/sign-in/oauth2`, {
                 method: "POST",
                 headers,
-                body: JSON.stringify({ providerId: HGDC_PROVIDER_ID, callbackURL: next, errorCallbackURL }),
+                body: JSON.stringify({ providerId: HGDC_PROVIDER_ID, callbackURL, errorCallbackURL }),
             }));
             const target = signIn.ok ? authorizationUrl(await readJson(signIn)) : null;
             if (!target)

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@hgdc/auth",
-  "version": "0.6.2",
+  "version": "0.7.1",
   "description": "Connexion HGDC : bouton « Se connecter avec HGDC », config better-auth et gardes Convex.",
   "license": "UNLICENSED",
   "homepage": "https://github.com/hugogebel-boop/hgdc-kit/tree/main/packages/auth#readme",