@jcoder-stack/abp-react 0.1.0

package/dist/oidc-7fu5kKVF.d.ts

@@ -0,0 +1,202 @@
+import { e as Logger } from './logger-BSnS65IC.js';
+import { F as FetchFn, T as TokenResult, A as AuthSession, S as SessionStore, b as AuthStrategy, c as IdentityContext, I as Identity, a as IdentityResolver, B as BeginInput, H as Handshake } from './types-Bj0MpXtI.js';
+import { z } from 'zod';
+
+/** 把值密封成（并从中解封）AES-GCM 加密、URL 安全的字符串。 */
+interface Codec<T> {
+    seal(data: T): Promise<string>;
+    open(token: string): Promise<T | null>;
+}
+/** codec 载荷校验契约（zod safeParse 兼容）。 */
+interface CodecSchema<T> {
+    safeParse(value: unknown): {
+        success: true;
+        data: T;
+    } | {
+        success: false;
+    };
+}
+/**
+ * 创建绑定 secret 与 schema 的加密 codec；secret 短于 32 字符同步抛错，
+ * `usage` 必填并参与密钥派生（不同用途的密文互不可解），open 在任何篡改/版本/格式/解密/形状失败时返回 null。
+ */
+declare function createCodec<T>(secret: string, schema: CodecSchema<T>, opts: {
+    usage: string;
+    onError?: (error: unknown) => void;
+}): Codec<T>;
+
+/** Set-Cookie 属性；httpOnly/secure 默认 true，SameSite 默认 Lax，Path 默认 /。 */
+interface CookieOptions {
+    path?: string;
+    maxAge?: number;
+    httpOnly?: boolean;
+    secure?: boolean;
+    sameSite?: "Lax" | "Strict" | "None";
+}
+/**
+ * 以安全默认序列化一条 Set-Cookie；值做 URL 编码。
+ * name 不合 RFC 6265 token 字符集、或 `SameSite=None` 未配 Secure（浏览器会静默丢弃）时抛错。
+ */
+declare function serializeCookie(name: string, value: string, opts?: CookieOptions): string;
+/** 立即过期指定 cookie 的 Set-Cookie。 */
+declare function clearCookie(name: string, opts?: CookieOptions): string;
+/** 解析 Cookie 请求头为 name→value；按第一个 '=' 切分，容忍坏编码。 */
+declare function parseCookieHeader(header: string | null | undefined): Record<string, string>;
+/** 单块 cookie 值序列化（`encodeURIComponent`）后的最大字节数；连同名字与属性保持在浏览器 4096 限制之下。 */
+declare const COOKIE_CHUNK_SIZE = 3600;
+/**
+ * 可能超长的值的 Set-Cookie 序列：编码后装得下用单 cookie，否则切成 name.0..n。
+ * 总是多清一个尾块；传入 `existing`（请求携带的 cookie）时还清掉本次未覆写的全部旧块，
+ * 块数骤减时防止残块以 maxAge 存活、膨胀后续请求头。
+ */
+declare function chunkCookieValue(name: string, value: string, opts?: CookieOptions, existing?: Record<string, string>): string[];
+/** 读可能分块的 cookie：整名优先，否则拼 name.0..n 直到出现空档。 */
+declare function readChunkedCookie(cookies: Record<string, string>, name: string): string | undefined;
+/** 清除基名与请求中出现的每个分块。 */
+declare function clearChunkedCookie(name: string, cookies: Record<string, string>, opts?: CookieOptions): string[];
+
+declare const oidcMetadataSchema: z.ZodObject<{
+    issuer: z.ZodString;
+    authorization_endpoint: z.ZodString;
+    token_endpoint: z.ZodString;
+    end_session_endpoint: z.ZodOptional<z.ZodString>;
+    revocation_endpoint: z.ZodOptional<z.ZodString>;
+}, z.core.$strip>;
+type OidcMetadata = z.infer<typeof oidcMetadataSchema>;
+/** OIDC discovery；任何网络/状态/形状失败都归一为 AuthError("discovery_failed")。 */
+declare function discoverMetadata(issuer: string, opts?: {
+    fetchFn?: FetchFn;
+    timeoutMs?: number;
+}): Promise<OidcMetadata>;
+
+interface TokenGrant {
+    accessToken: string;
+    refreshToken?: string;
+    idToken?: string;
+    expiresIn?: number;
+}
+interface TokenClientConfig {
+    issuer: string;
+    clientId: string;
+    clientSecret?: string;
+    scope?: string;
+    fetchFn?: FetchFn;
+    timeoutMs?: number;
+    logger?: Logger;
+    /**
+     * 把租户传播给 IdP 的方式：`headers` 随 token 请求发出，`query` 拼进 authorize URL。
+     * 多租户是后端约定（ABP 用 `__tenant`）而非 OIDC 协议的一部分，故默认不传播，由宿主注入。
+     */
+    tenantPropagation?: (tenant: string) => {
+        headers?: Record<string, string>;
+        query?: Record<string, string>;
+    };
+}
+interface TokenClient {
+    metadata(): Promise<OidcMetadata>;
+    exchangeCode(p: {
+        code: string;
+        codeVerifier: string;
+        redirectUri: string;
+    }): Promise<TokenGrant>;
+    passwordGrant(p: {
+        userName: string;
+        password: string;
+        tenant?: string | null;
+    }): Promise<TokenGrant>;
+    refreshGrant(refreshToken: string): Promise<TokenGrant>;
+    revoke(refreshToken: string): Promise<void>;
+    authorizeUrl(p: {
+        state: string;
+        nonce: string;
+        codeChallenge: string;
+        redirectUri: string;
+        tenant?: string | null;
+    }): Promise<string>;
+    endSessionUrl(p: {
+        idToken?: string;
+        postLogoutRedirectUri?: string;
+    }): Promise<string | null>;
+}
+/** 把 grant 包成 TokenResult；expiresAt 只在 IdP 返回 expires_in 时计算。 */
+declare function toTokenResult(grant: TokenGrant, nowMs: number): TokenResult;
+/** IdP token/authorize/end-session 端点的协议客户端；错误按调用语义归一为 AuthError。 */
+declare function createTokenClient(cfg: TokenClientConfig): TokenClient;
+
+/** cookieHeader（establish/refresh）供 store 清掉本次未覆写的旧分块；不传则退化为只多清一个尾块。 */
+interface SessionManager {
+    establish(result: TokenResult, ctx?: {
+        tenant?: string | null;
+        culture?: string | null;
+        cookieHeader?: string | null;
+    }): Promise<string[]>;
+    current(cookieHeader: string | null): Promise<AuthSession | null>;
+    isExpired(session: AuthSession): boolean;
+    refresh(session: AuthSession, cookieHeader?: string | null): Promise<{
+        session: AuthSession;
+        setCookies: string[];
+    } | null>;
+    destroy(cookieHeader: string | null): Promise<string[]>;
+}
+/** 会话生命周期引擎：托管策略产出、按 skew 判过期、合并并发刷新、登出时撤销并清 cookie。 */
+declare function createSessionManager(deps: {
+    store: SessionStore;
+    refreshGrant: (refreshToken: string) => Promise<TokenGrant>;
+    revoke?: (refreshToken: string) => Promise<void>;
+    logger?: Logger;
+    now?: () => number;
+    skewSeconds?: number;
+    coalesceTtlMs?: number;
+    /** 登出时等待 IdP 撤销 refresh token 的上限（默认 2000ms）；超时只降级为 warn，不挡登出。 */
+    revokeTimeoutMs?: number;
+}): SessionManager;
+
+interface Auth {
+    strategy(name: string): AuthStrategy;
+    session: SessionManager;
+    /** 解析身份；`ctx.cookieHeader` 省略即按「无请求上下文」处理，匿名访客的租户选择将不可见。 */
+    identity(session: AuthSession | null, ctx?: IdentityContext): Promise<Identity>;
+}
+/** 授权认证模块装配根：策略注册表 + 会话引擎 + 身份解析。 */
+declare function createAuth(opts: {
+    strategies: AuthStrategy[];
+    store: SessionStore;
+    resolveIdentity: IdentityResolver;
+    refreshGrant: (refreshToken: string) => Promise<TokenGrant>;
+    revoke?: (refreshToken: string) => Promise<void>;
+    logger?: Logger;
+    now?: () => number;
+    /** 登出时等待 IdP 撤销 refresh token 的上限（默认 2000ms）；超时只降级为 warn，不挡登出。 */
+    revokeTimeoutMs?: number;
+    /** 判过期时提前量（默认 60 秒）：让 token 在真正到期前就被刷新，避开时钟偏差与在途延迟。 */
+    skewSeconds?: number;
+    /** 并发刷新合并窗口（默认 10000ms）：同一 refresh token 在窗口内共享一次 IdP 调用。 */
+    coalesceTtlMs?: number;
+}): Auth;
+
+interface OidcStrategy extends AuthStrategy {
+    begin(input: BeginInput): Promise<{
+        redirectUrl: string;
+        handshake: Handshake;
+    }>;
+    logoutUrl(p: {
+        idToken?: string;
+        postLogoutRedirectUri?: string;
+    }): Promise<string | null>;
+}
+/** 重定向式 OIDC Authorization Code + PKCE 策略；state/nonce 校验与 code 交换全部内化。 */
+declare function oidcStrategy(cfg: {
+    tokenClient: TokenClient;
+    redirectUri: string;
+    now?: () => number;
+    logger?: Logger;
+    random?: () => string;
+    pkce?: () => Promise<{
+        verifier: string;
+        challenge: string;
+    }>;
+    /** 握手密文在服务端可用的最长寿命（默认 600 秒）；超龄的 callback 一律拒绝。 */
+    handshakeMaxAgeSeconds?: number;
+}): OidcStrategy;
+
+export { type Auth as A, type Codec as C, type OidcStrategy as O, type SessionManager as S, type TokenClient as T, type CookieOptions as a, COOKIE_CHUNK_SIZE as b, type CodecSchema as c, type OidcMetadata as d, type TokenClientConfig as e, type TokenGrant as f, chunkCookieValue as g, clearChunkedCookie as h, clearCookie as i, createAuth as j, createCodec as k, createSessionManager as l, createTokenClient as m, discoverMetadata as n, oidcMetadataSchema as o, oidcStrategy as p, parseCookieHeader as q, readChunkedCookie as r, serializeCookie as s, toTokenResult as t };

package/dist/permissions.d.ts

@@ -0,0 +1,18 @@
+import { G as GrantedPolicies } from './is-granted-C0-1wvoW.js';
+export { P as PermissionStrategy, i as isGranted } from './is-granted-C0-1wvoW.js';
+
+/** Callable permission checker; `can(x)` and `can.all(...)` require every policy, `can.any(...)` requires one of them, `can.not(policy)` negates a single check. Variadic args are flattened, and an empty policy set is always denied. */
+interface PermissionChecker {
+    (policy: string | string[]): boolean;
+    /** True when every listed policy is granted. `all()` and `all([])` are false:
+     *  a spread of no policies must not open a gate. */
+    all(...policies: Array<string | string[]>): boolean;
+    /** True when at least one listed policy is granted; `any()` and `any([])` are false. */
+    any(...policies: Array<string | string[]>): boolean;
+    /** True when the given policy is not granted. Takes a single policy so it cannot be read as "none of these are granted". */
+    not(policy: string): boolean;
+}
+/** Create a permission checker bound to the given policies, returning a callable with `all`, `any`, and `not` methods. */
+declare function createPermissionChecker(policies: GrantedPolicies): PermissionChecker;
+
+export { GrantedPolicies, type PermissionChecker, createPermissionChecker };

package/dist/permissions.js

@@ -0,0 +1,8 @@
+import {
+  createPermissionChecker,
+  isGranted
+} from "./chunk-OK6PUP2E.js";
+export {
+  createPermissionChecker,
+  isGranted
+};

package/dist/proxy.d.ts

@@ -0,0 +1,201 @@
+import { e as Logger } from './logger-BSnS65IC.js';
+import { A as AuthSession, I as Identity, a as IdentityResolver, F as FetchFn, H as Handshake } from './types-Bj0MpXtI.js';
+import { A as Auth, O as OidcStrategy, C as Codec, a as CookieOptions } from './oidc-7fu5kKVF.js';
+import { A as ApplicationConfiguration } from './application-configuration-DhOZRqtz.js';
+import { z } from 'zod';
+
+interface AbpProxyRequest {
+    path: string;
+    method?: string;
+    headers?: Record<string, string>;
+    body?: string;
+    /** 调用方的取消信号（如宿主的 `request.signal`）；触发后当前尝试立即中止且不再重试。 */
+    signal?: AbortSignal;
+}
+interface AbpProxyResponse {
+    status: number;
+    /** 只含内容协商类白名单（见 `EXPOSED_RESPONSE_HEADERS`）；上游 Set-Cookie / WWW-Authenticate / Server 已被剔除，可整份转交浏览器。 */
+    headers: Headers;
+    /** 文本类 content-type 给 string，其余给 ArrayBuffer。二进制经 text() 解码会不可逆损坏。 */
+    body: string | ArrayBuffer;
+    setCookies: string[];
+}
+/** 会话接入点：proxy 只认 AuthSession 与一个刷新回调，不认识刷新的实现。 */
+interface AbpProxyAuth {
+    session: AuthSession | null;
+    refresh: () => Promise<{
+        session: AuthSession;
+        setCookies: string[];
+    } | null>;
+}
+interface AbpProxy {
+    send(req: AbpProxyRequest, auth: AbpProxyAuth): Promise<AbpProxyResponse>;
+}
+/** 代理请求最终失败但过程中已产生会话 cookie（如 401→刷新成功→重放失败）；调用方必须把 setCookies 落到响应上再转抛，否则轮换型 IdP 下用户被静默登出。 */
+declare class AbpProxyError extends Error {
+    readonly setCookies: string[];
+    constructor(message: string, setCookies: string[], opts?: {
+        cause?: unknown;
+    });
+}
+/** ABP 代理网关：贴 Bearer、401→刷新→重放一次、幂等重试、超时。状态码透传，永不因状态码 throw；响应头按白名单过滤后交出。 */
+declare function createAbpProxy(opts: {
+    baseUrl: string;
+    fetchFn?: typeof fetch;
+    /** 单次尝试的超时（默认 30s）。 */
+    timeoutMs?: number;
+    retry?: {
+        retries: number;
+    };
+    /** 含重试与退避在内的总预算；默认不设，此时最坏耗时是 (retries+1)×timeoutMs 加退避。 */
+    totalTimeoutMs?: number;
+    logger?: Logger;
+}): AbpProxy;
+
+/** 租户切换 cookie / 头名，与 ABP 后端约定共享。 */
+declare const TENANT_COOKIE = "__tenant";
+/** ASP.NET Core 文化 cookie 名，与 ABP 后端约定共享。 */
+declare const CULTURE_COOKIE = ".AspNetCore.Culture";
+/** abp-call/identity 只认代理、会话与日志三样；宿主的完整 runtime 结构上兼容此形状。 */
+interface AbpCallRuntime {
+    proxy: AbpProxy;
+    auth: Auth;
+    logger: Logger;
+}
+/** ABP 策略头。租户：会话优先、cookie 兜底；文化：cookie 优先（显式切换胜过登录快照）。 */
+declare function buildPolicyHeaders(session: AuthSession | null, cookieHeader: string | null): Record<string, string>;
+/** 经代理调 ABP：策略头 + 会话 + 401 刷新回调。策略头压过调用方 headers（防伪造租户/文化）；Set-Cookie 由调用方落响应。 */
+declare function callAbpWithSession(rt: AbpCallRuntime, session: AuthSession | null, cookieHeader: string | null, req: AbpProxyRequest): Promise<AbpProxyResponse>;
+
+/**
+ * 从 app-config 派生可注水的身份视图；token 不经过这里。
+ * `isAuthenticated` 却无 `id` 属上游 shape drift：记 warn 并按匿名处理，不产出空 id 身份。
+ */
+declare function deriveIdentity(config: ApplicationConfiguration, opts?: {
+    logger?: Logger;
+}): Identity;
+interface AppState {
+    config: ApplicationConfiguration;
+    identity: Identity;
+    setCookies: string[];
+}
+/** 一次 application-configuration 取数同时喂 config 与 identity；4xx/5xx 抛带 status 的 HttpError。 */
+declare function loadAppState(rt: AbpCallRuntime, session: AuthSession | null, cookieHeader: string | null): Promise<AppState>;
+/** IdentityResolver 的 ABP 实现；策略头来自会话与请求 cookie（匿名访客的 `__tenant` 选择由此生效）。 */
+declare function createAbpIdentityResolver(rt: () => AbpCallRuntime): IdentityResolver;
+
+/** AUTH_* 环境变量解析后的配置；核心包不读 env，这里是唯一入口。 */
+declare const abpAuthEnvSchema: z.ZodObject<{
+    issuer: z.ZodString;
+    clientId: z.ZodString;
+    clientSecret: z.ZodOptional<z.ZodString>;
+    scope: z.ZodDefault<z.ZodString>;
+    redirectUri: z.ZodString;
+    postLogoutRedirectUri: z.ZodOptional<z.ZodString>;
+    sessionSecret: z.ZodString;
+    abpBaseUrl: z.ZodString;
+    debug: z.ZodDefault<z.ZodBoolean>;
+}, z.core.$strip>;
+type AbpAuthEnv = z.infer<typeof abpAuthEnvSchema>;
+/**
+ * 把 AUTH_* 记录解析成 AbpAuthEnv。
+ * @param env 通常是 process.env。
+ * @param opts.schema 覆盖默认 zod schema（`abpAuthEnvSchema`），用于给 AUTH_* 契约加更严的
+ *   校验/精化；解析产物必须仍是 AbpAuthEnv（类型系统兜底，故只能 `.extend()`/`.merge()` 等
+ *   保持输出形状不变的方式收紧，例如
+ *   `abpAuthEnvSchema.extend({ clientSecret: z.string().min(1) })`）。
+ */
+declare function resolveAbpAuthEnv(env: Record<string, string | undefined>, opts?: {
+    schema?: z.ZodType<AbpAuthEnv>;
+}): AbpAuthEnv;
+
+/** 加密会话 cookie（httpOnly）默认名，装密封的 AuthSession（超长分块）。 */
+declare const DEFAULT_SESSION_COOKIE = "auth_session";
+/** 短命握手 cookie（httpOnly）默认名，装 authorize↔callback 之间的密封 Handshake。 */
+declare const DEFAULT_LOGIN_COOKIE = "auth_login";
+/** 会话 cookie 默认寿命（7 天）；调整时与 IdP refresh token 寿命对齐。 */
+declare const DEFAULT_SESSION_COOKIE_MAX_AGE: number;
+/** 握手 cookie 默认寿命（10 分钟），只需活过 IdP 往返。 */
+declare const DEFAULT_LOGIN_COOKIE_MAX_AGE = 600;
+/** 租户/文化切换 cookie 寿命（1 年）；ASP.NET/ABP 协议约定，非应用策略，故非选项。 */
+declare const SWITCH_COOKIE_MAX_AGE: number;
+/** 一张 auth cookie 的名字、寿命与浏览器投递属性；`secure`/`sameSite` 省略即 `true`/`Lax`。 */
+interface AuthCookieSettings {
+    name: string;
+    maxAge: number;
+    secure?: boolean;
+    sameSite?: "Lax" | "Strict" | "None";
+}
+/** 运行时携带的 cookie 配置，供 handler 读取（会话 + 握手两张）。 */
+interface AuthCookieConfig {
+    session: AuthCookieSettings;
+    login: AuthCookieSettings;
+}
+/** 取一张 auth cookie 的浏览器投递属性；名字与寿命由调用点自己给。 */
+declare function cookieAttributesOf(settings: AuthCookieSettings): CookieOptions;
+/** auth 模块的进程级运行时：装配根。env→logger 在此兑现（AUTH_DEBUG → debug 级）。 */
+interface AuthRuntime {
+    env: AbpAuthEnv;
+    auth: Auth;
+    proxy: AbpProxy;
+    oidc: OidcStrategy;
+    handshakeCodec: Codec<Handshake>;
+    logger: Logger;
+    cookies: AuthCookieConfig;
+    /** IdP 登出后回跳地址（默认取 AUTH_POST_LOGOUT_REDIRECT_URI）。 */
+    postLogoutRedirectUri?: string;
+}
+interface AbpAuthRuntimeOptions {
+    fetchFn?: FetchFn;
+    now?: () => number;
+    logger?: Logger;
+    /** 覆盖 AUTH_* env 解析用的 zod schema（默认 `abpAuthEnvSchema`）；解析产物必须仍是 AbpAuthEnv。 */
+    envSchema?: z.ZodType<AbpAuthEnv>;
+    /**
+     * 覆盖 cookie 名/寿命/投递属性（会话默认 "auth_session"/7 天；握手默认 "auth_login"/10 分钟）。
+     * `secure: false` 只用于非 localhost 的 http 预览环境。浏览器会静默丢弃 http 下的 Secure cookie。
+     */
+    cookies?: {
+        session?: Partial<AuthCookieSettings>;
+        login?: Partial<AuthCookieSettings>;
+    };
+    /** 覆盖代理网关的超时与重试（默认 30s 单次超时、幂等请求重试 2 次、无总预算）。 */
+    proxy?: {
+        timeoutMs?: number;
+        retries?: number;
+        totalTimeoutMs?: number;
+    };
+    /** 覆盖会话引擎调优项（默认 60s 过期宽限、10s 刷新合并窗口、2s 撤销超时）。 */
+    session?: {
+        skewSeconds?: number;
+        coalesceTtlMs?: number;
+        revokeTimeoutMs?: number;
+    };
+    /** 覆盖 IdP 登出后回跳地址（默认取 AUTH_POST_LOGOUT_REDIRECT_URI）。 */
+    postLogoutRedirectUri?: string;
+    /** 策略启停（默认 oidc 与 password 都开）。 */
+    strategies?: {
+        oidc?: boolean;
+        password?: boolean;
+    };
+    /** 替换身份解析器（默认从 ABP application-configuration 派生）。 */
+    resolveIdentity?: IdentityResolver;
+}
+/**
+ * 装配 auth 运行时：strategies（OIDC/password）+ 会话层（加密分块 cookie）+ ABP 代理 +
+ * 身份解析。默认即现行为，`opts` 只传覆盖项。
+ */
+declare function createAbpAuthRuntime(envRecord: Record<string, string | undefined>, opts?: AbpAuthRuntimeOptions): AuthRuntime;
+
+/** GET /api/auth/login：begin 策略握手，密封进短命 cookie，302 去 IdP。 */
+declare function handleLogin(request: Request, rt: AuthRuntime): Promise<Response>;
+/** GET /api/auth/callback：complete 策略握手，建会话，302 回 returnUrl；失败 302 /login?error=。 */
+declare function handleCallback(request: Request, rt: AuthRuntime): Promise<Response>;
+/** GET /api/auth/logout：destroy 会话（内含撤销），302 去 IdP end-session（拿不到则回首页）。 */
+declare function handleLogout(request: Request, rt: AuthRuntime): Promise<Response>;
+/** GET /api/culture?culture=zh-Hans&returnUrl=/：落共享文化 cookie 并弹回。 */
+declare function handleSetCulture(request: Request): Response;
+/** GET /api/tenant?tenant=t1&returnUrl=/：落租户 cookie（缺 tenant 则清除）并弹回。 */
+declare function handleSetTenant(request: Request): Response;
+
+export { type AbpAuthEnv, type AbpAuthRuntimeOptions, type AbpCallRuntime, type AbpProxy, type AbpProxyAuth, AbpProxyError, type AbpProxyRequest, type AbpProxyResponse, type AppState, type AuthCookieConfig, type AuthCookieSettings, type AuthRuntime, CULTURE_COOKIE, DEFAULT_LOGIN_COOKIE, DEFAULT_LOGIN_COOKIE_MAX_AGE, DEFAULT_SESSION_COOKIE, DEFAULT_SESSION_COOKIE_MAX_AGE, SWITCH_COOKIE_MAX_AGE, TENANT_COOKIE, abpAuthEnvSchema, buildPolicyHeaders, callAbpWithSession, cookieAttributesOf, createAbpAuthRuntime, createAbpIdentityResolver, createAbpProxy, deriveIdentity, handleCallback, handleLogin, handleLogout, handleSetCulture, handleSetTenant, loadAppState, resolveAbpAuthEnv };