@keelcodes/x402-gate 0.1.2 → 0.1.3

package/README.md

@@ -151,6 +151,14 @@ npx tsx scripts/permit2-budget.ts --chain bsc --budget 5 --broadcast   # 真广
 npx tsx scripts/permit2-budget.ts --chain bsc --revoke --broadcast     # 撤销
 ```
 
+### per-key / per-agent 预算（可选身份头）
+
+网关会把调用方的 `x-keel-key-id` / `x-keel-agent-id` 转发给支付引擎（裁剪 256 字符），
+引擎据此把消费记到 `key:<sha256 前 16 位>` 或 `agent:<小写 id>` 主体；两者都缺省时退回按付款方地址。
+运营可用 `GET/PUT /v1/payment/spend-policies[/:subject]` 为这些主体配置日限额、单次上限与收款方白名单。
+
+> 这两个头只应由**受信服务端**设置（例如你们自己的 API 网关），不要直接透传外部用户输入，否则调用方可伪造主体。
+
 ## 状态码
 
 | 场景 | 响应 |

package/dist/index.js

@@ -209,6 +209,19 @@ function hasPlatformCredential(req, extra) {
         return typeof v === 'string' && v.trim().length > 0;
     });
 }
+/**
+ * B5.1：透传调用方身份头，供支付引擎按 `key:<hash>` / `agent:<id>` 做预算主体。
+ * 只转发这两个命名空间内的头，并裁剪长度。
+ */
+function identityHeaders(req) {
+    const out = {};
+    for (const name of ['x-keel-key-id', 'x-keel-agent-id']) {
+        const value = (req.header(name) ?? '').trim();
+        if (value)
+            out[name] = value.slice(0, 256);
+    }
+    return out;
+}
 /**
  * 本次调用的价格（最小单位）。
  * 优先级：`amountFor(path, req)` > 顶层 `amount` > 第一个带价格的 accept。
@@ -263,6 +276,7 @@ async function authorizeX402(opts, req) {
             headers: {
                 'Content-Type': 'application/json',
                 ...(opts.paymentsKey ? { Authorization: `Bearer ${opts.paymentsKey}` } : {}),
+                ...identityHeaders(req),
             },
             // 转发完整挑战：引擎按载荷在 `accepts[]` 中匹配（EIP-3009 / Permit2）。
             body: JSON.stringify({ paymentPayload: signature, paymentRequirements: challenge }),

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@keelcodes/x402-gate",
-  "version": "0.1.2",
+  "version": "0.1.3",
   "description": "Keel x402 v2 resource gate — Express / Fetch / Next.js adapters (no keys, no chain access)",
   "main": "dist/index.js",
   "types": "dist/index.d.ts",