@kengcom202/kcore-ui 0.4.0 → 0.6.0

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@kengcom202/kcore-ui",
-  "version": "0.4.0",
+  "version": "0.6.0",
   "description": "Angular UI กลาง: ช่องเลือกวันที่แบบ พ.ศ., ช่องเลือกเวลาแบบหน้าปัด, dropdown ค้นหาได้, ตัวแก้ข้อความไทยที่คัดลอกจาก PDF และชุดหน้าเข้าสู่ระบบ/ลงทะเบียน/ข้อมูลส่วนตัว/config (ไม่พึ่งไลบรารีภายนอก)",
   "license": "UNLICENSED",
   "repository": {

package/types/kengcom202-kcore-ui.d.ts

@@ -1,8 +1,8 @@
 import * as i0 from "@angular/core";
 import { AfterContentInit, ApplicationRef, ElementRef, EnvironmentInjector, EnvironmentProviders, InjectionToken, NgZone, OnDestroy, OnInit, Type } from "@angular/core";
 import { ControlValueAccessor } from "@angular/forms";
-import { HttpInterceptorFn } from "@angular/common/http";
-import { CanActivateFn, Routes } from "@angular/router";
+import { HttpClient, HttpInterceptorFn } from "@angular/common/http";
+import { CanActivateFn, Router, Routes } from "@angular/router";
 /**
  * ช่องเลือกวันที่แบบไทย ใช้กับ <input type="text" appDatePicker formControlName="...">
  *  - ค่าใน form control เป็น ค.ศ. yyyy-MM-dd เสมอ (ตรงกับที่ API ใช้) ส่วนในช่องแสดงเป็น พ.ศ.
@@ -324,6 +324,8 @@ export declare function fixThaiText(text: string): string;
  * ผ่าน execCommand('insertText') เพื่อให้ ngModel / formControl ได้ event input และ Ctrl+Z ย้อนได้
  */
 export declare function provideThaiPasteFix(): EnvironmentProviders;
+/** โหมดลงทะเบียนผู้ใช้ใหม่ — ดู KcAuthOptions.register */
+export type KcRegisterMode = 'none' | 'form' | 'sso' | 'thaid';
 /** ค่าที่โปรเจกต์ส่งให้ provideKcAuth() — ทุกค่ายกเว้น appName มีค่าเริ่มต้น */
 export interface KcAuthOptions {
   /** ชื่อระบบ แสดงบนหน้าเข้าสู่ระบบ/ลงทะเบียน */
@@ -339,8 +341,15 @@ export interface KcAuthOptions {
     label?: string;
   };
   /**
-   * เข้าสู่ระบบด้วยชื่อผู้ใช้/รหัสผ่าน ค่าเริ่มต้น true — false = หน้าเข้าสู่ระบบมีแต่ปุ่ม SSO ตรงกลาง
-   * (มีผลเฉพาะเมื่อเปิด sso ไว้ ถ้าปิดทั้งคู่จะยังแสดงช่องรหัสผ่าน กันไม่ให้ไม่มีทางเข้าระบบ)
+   * เปิดปุ่ม ThaiD (แอปยืนยันตัวตนของกรมการปกครอง) — เข้าสู่ระบบอย่างเดียว ไม่ใช้ลงทะเบียน (ยกเว้น register: 'thaid')
+   * API จับคู่เลขบัตรประชาชนกับบัญชีที่มีอยู่แล้ว ไม่พบ = แจ้งให้ติดต่อผู้ดูแล; label ค่าเริ่มต้น 'ThaiD'; false/ไม่ใส่ = ปิด
+   */
+  thaid?: false | {
+    label?: string;
+  };
+  /**
+   * เข้าสู่ระบบด้วยชื่อผู้ใช้/รหัสผ่าน ค่าเริ่มต้น true — false = หน้าเข้าสู่ระบบมีแต่ปุ่ม SSO / ThaiD ตรงกลาง
+   * (มีผลเฉพาะเมื่อเปิด sso หรือ thaid ไว้ ถ้าปิดหมดจะยังแสดงช่องรหัสผ่าน กันไม่ให้ไม่มีทางเข้าระบบ)
    */
   passwordLogin?: boolean;
   /**
@@ -348,8 +357,16 @@ export interface KcAuthOptions {
    *   'none' — ไม่เปิดให้สมัครเอง (ผู้ดูแลเพิ่มให้) — ค่าเริ่มต้น
    *   'form' — กรอกฟอร์มเองที่ /register
    *   'sso'  — ยืนยันตัวตนผ่าน SSO ก่อน แล้ว API ส่งตั๋วลงทะเบียนมาให้กรอกต่อที่ /register
+   *   'thaid' — ยืนยันตัวตนผ่าน ThaiD ก่อน แล้ว API ส่งตั๋วลงทะเบียนมาให้กรอกต่อที่ /register (ต้องเปิด thaid)
+   *             สำหรับระบบที่เป็นหลังบ้านของ SSO เท่านั้น — SSO ไม่พบบัญชีตอบ { mode: 'thaid' } ส่งต่อไป ThaiD ได้
    */
-  register?: 'none' | 'form' | 'sso';
+  register?: KcRegisterMode;
+  /**
+   * ให้ผู้ใช้ขอย้ายหน่วยงานเองที่หน้าบัญชีของฉัน ค่าเริ่มต้น false (ย้ายได้โดยผู้ดูแลที่หน้า config เท่านั้น)
+   * true = แสดงช่องเลือกหน่วยงานเมื่อ GET {api}/user/me ส่ง orgs มา แล้วส่ง org ไปกับ PUT {api}/user/me
+   * (API ตัดสินเองว่าย้ายทันทีหรือรออนุมัติ แล้วตอบ { message })
+   */
+  profileOrgChange?: boolean;
   /** ชื่อเรียกหน่วยงานที่สังกัด เช่น 'หน่วยงาน', 'โรงพยาบาล', 'แผนก' ค่าเริ่มต้น 'หน่วยงาน' */
   orgLabel?: string;
   /** ค่า role ที่ถือว่าเป็นผู้ดูแล (เข้า kcAdminGuard ได้) ค่าเริ่มต้น ['admin'] */
@@ -368,8 +385,12 @@ export interface KcAuthConfig {
   sso: {
     label: string;
   } | null;
+  thaid: {
+    label: string;
+  } | null;
   passwordLogin: boolean;
-  register: 'none' | 'form' | 'sso';
+  register: KcRegisterMode;
+  profileOrgChange: boolean;
   orgLabel: string;
   adminRoles: string[];
   passwordMinLength: number;
@@ -381,13 +402,14 @@ export declare const KC_AUTH_PATHS: {
   readonly login: "/login";
   readonly register: "/register";
   readonly ssoCallback: "/sso-callback";
+  readonly thaidCallback: "/thaid-callback";
 };
 export declare function resolveKcAuthConfig(o: KcAuthOptions): KcAuthConfig;
 /**
  * ตั้งค่าชุดหน้าบัญชีผู้ใช้ — ใส่ใน app.config.ts ครั้งเดียว คู่กับ kcAuthInterceptor
  *   providers: [
  *     provideHttpClient(withInterceptors([kcAuthInterceptor])),
- *     provideKcAuth({ appName: 'ระบบ...', sso: { label: 'DMS SSO' }, register: 'sso' }),
+ *     provideKcAuth({ appName: 'ระบบ...', sso: { label: 'DMS SSO' }, thaid: {}, register: 'sso' }),
  *   ]
  */
 export declare function provideKcAuth(options: KcAuthOptions): EnvironmentProviders;
@@ -405,17 +427,51 @@ export interface KcSession {
   token: string;
   user: KcUser;
 }
-/** GET {api}/user/sso/authorize-url */
+/**
+ * POST {api}/user/login ตอบ 429 เมื่อรหัสผ่านผิดครบ 3 ครั้ง (นับต่อชื่อผู้ใช้) — ต้องรอ retryAfter วินาที (5 นาทีนับจากครั้งที่ 3)
+ * ระหว่างล็อก API ไม่ตรวจรหัสผ่าน (ถูกก็ตอบ 429) และเข้าสู่ระบบสำเร็จ = ล้างตัวนับ
+ */
+export interface KcLoginLocked {
+  message: string;
+  retryAfter: number;
+}
+/** ไม่มี retryAfter ใน 429 = ถือว่ารอ 5 นาที */
+export declare const KC_LOGIN_LOCK_SECONDS = 300;
+/** วินาทีที่ต้องรอจาก 429 ของ user/login — คำตอบอื่น = 0 */
+export declare function kcLoginRetryAfter(err: unknown): number;
+/** GET {api}/user/sso/authorize-url และ GET {api}/user/thaid/authorize-url */
 export interface KcSsoAuthorize {
   url: string;
   state: string;
 }
-/** POST {api}/user/sso/callback { code } */
+/**
+ * GET {api}/user/login-methods (ไม่ต้องเข้าสู่ระบบ) และ PUT {api}/config/login-methods (ผู้ดูแล)
+ * วิธีเข้าสู่ระบบที่ผู้ดูแลเปิดไว้ — ต้องเปิดอย่างน้อย 1 วิธี (API ต้องปฏิเสธเมื่อปิดหมด)
+ */
+export interface KcLoginMethods {
+  password: boolean;
+  sso: boolean;
+  thaid: boolean;
+}
+/**
+ * POST {api}/user/sso/callback { code }
+ *   thaid — ไม่พบบัญชี ให้ยืนยันตัวตนด้วย ThaiD ต่อ (ใช้ได้เฉพาะ register: 'thaid')
+ */
 export type KcSsoCallbackResult = ({
   mode: 'signed-in';
 } & KcSession) | {
   mode: 'register';
   ticket: string;
+} | {
+  mode: 'thaid';
+};
+/**
+ * POST {api}/user/thaid/callback { code } — พบบัญชี = KcSession
+ * ไม่พบบัญชี: ปกติ 403 { message }; register: 'thaid' ตอบตั๋วลงทะเบียนแทนได้
+ */
+export type KcThaidCallbackResult = KcSession | {
+  mode: 'register';
+  ticket: string;
 };
 /** GET {api}/user/register-info[?ticket=] — ตั๋วจาก SSO ทำให้ได้ชื่อ-สกุล (และหน่วยงาน) ที่ยืนยันแล้ว */
 export interface KcRegisterInfo {
@@ -453,6 +509,8 @@ export interface KcProfile {
   orgName: string;
   email: string;
   mobile: string;
+  /** หน่วยงานที่ขอย้ายไปได้ — ใช้เมื่อ profileOrgChange: true (ไม่ส่ง/ว่าง = แสดงหน่วยงานแบบอ่านอย่างเดียว) */
+  orgs?: SearchOption[];
 }
 /** PUT {api}/user/me — password ว่าง = ไม่เปลี่ยน */
 export interface KcProfileUpdate {
@@ -460,6 +518,8 @@ export interface KcProfileUpdate {
   email: string;
   mobile: string;
   password: string;
+  /** ส่งเฉพาะเมื่อ profileOrgChange: true และ GET user/me ส่ง orgs มา */
+  org?: string;
 }
 /** แถวในหน้า config ผู้ใช้ */
 export interface KcConfigUser {
@@ -518,6 +578,7 @@ export interface KcMessage {
 export declare function kcErrorMessage(err: unknown, fallback: string): string;
 export declare const KC_SSO_STATE_KEY = "kc_sso_state";
 export declare const KC_SSO_TICKET_KEY = "kc_sso_ticket";
+export declare const KC_THAID_STATE_KEY = "kc_thaid_state";
 export declare const KC_RETURN_URL_KEY = "kc_return_url";
 /** token เป็น JWT ที่มี exp และเลยเวลาแล้ว — token รูปแบบอื่นถือว่ายังไม่หมดอายุ (ให้ API ตัดสินด้วย 401) */
 export declare function kcTokenExpired(token: string, now?: number): boolean;
@@ -578,7 +639,7 @@ export declare const kcAuthInterceptor: HttpInterceptorFn;
  *       { path: 'config/kcllu', component: KcConfigKclluComponent, canActivate: [kcAdminGuard] },
  *     ] },
  *   ];
- * path ตรงกับ KC_AUTH_PATHS (login, register, sso-callback)
+ * path ตรงกับ KC_AUTH_PATHS (login, register, sso-callback, thaid-callback)
  */
 export declare function kcAuthRoutes(): Routes;
 /**
@@ -596,10 +657,14 @@ export declare class KcPasswordToggleComponent implements AfterContentInit {
   static ɵfac: i0.ɵɵFactoryDeclaration<KcPasswordToggleComponent, never>;
   static ɵcmp: i0.ɵɵComponentDeclaration<KcPasswordToggleComponent, "kc-password", never, {}, {}, never, ["*"], true, never>;
 }
+/** เวลาปลดล็อกของแต่ละชื่อผู้ใช้หลังได้ 429 จาก user/login */
+export declare const KC_LOGIN_LOCK_KEY = "kc_login_lock";
 /**
  * หน้าเข้าสู่ระบบ (route /login จาก kcAuthRoutes())
- *   ชื่อผู้ใช้/รหัสผ่าน → POST {api}/user/login → KcSession
+ *   ชื่อผู้ใช้/รหัสผ่าน → POST {api}/user/login → KcSession (ผิดครบ 3 ครั้ง API ตอบ 429 → นับถอยหลังตาม retryAfter และปิดปุ่ม)
  *   ปุ่ม SSO (ถ้าเปิด) → GET {api}/user/sso/authorize-url → ไปหน้า SSO แล้วกลับมาที่ /sso-callback
+ *   ปุ่ม ThaiD (ถ้าเปิด) → GET {api}/user/thaid/authorize-url → ไปหน้า ThaiD แล้วกลับมาที่ /thaid-callback (ลงทะเบียนเฉพาะ register: 'thaid')
+ * วิธีที่แสดงตาม GET {api}/user/login-methods (ผู้ดูแลเปิด/ปิดที่หน้า config ผู้ใช้) — ไม่มี endpoint = ตาม provideKcAuth
  * query: returnUrl = หน้าที่จะกลับไปหลังเข้าสู่ระบบ, expired=1 = แจ้งหมดเวลาการใช้งาน
  * เนื้อหาที่ใส่ไว้ใน <kc-login>...</kc-login> แสดงท้ายการ์ด (เช่นเบอร์ติดต่อผู้ดูแล)
  */
@@ -609,12 +674,31 @@ export declare class KcLoginComponent implements OnInit {
     readonly login: "/login";
     readonly register: "/register";
     readonly ssoCallback: "/sso-callback";
+    readonly thaidCallback: "/thaid-callback";
   };
   private readonly auth;
   private readonly http;
   private readonly router;
   private readonly route;
-  protected readonly busy: import("@angular/core").WritableSignal<"" | "sso" | "password">;
+  private readonly doc;
+  protected readonly busy: import("@angular/core").WritableSignal<"" | "sso" | "thaid" | "password">;
+  /**
+   * วิธีที่ผู้ดูแลเปิดไว้ (GET {api}/user/login-methods) — ก่อนได้คำตอบ หรือ API ยังไม่มี endpoint นี้ ใช้ค่าจาก provideKcAuth
+   * แต่ละวิธีแสดงเมื่อทั้ง provideKcAuth เปิดไว้ (passwordLogin / sso / thaid) และผู้ดูแลเปิด
+   */
+  protected readonly methods: import("@angular/core").WritableSignal<KcLoginMethods>;
+  /** ปุ่มเข้าสู่ระบบภายนอกที่เปิดไว้ เรียง SSO ก่อน ThaiD */
+  protected readonly external: import("@angular/core").Signal<({
+    key: "sso";
+    label: string;
+    stateKey: string;
+  } | {
+    key: "thaid";
+    label: string;
+    stateKey: string;
+  })[]>;
+  /** ไม่เหลือปุ่มภายนอกเลย = แสดงช่องรหัสผ่านเสมอ กันไม่ให้ไม่มีทางเข้าระบบ */
+  protected readonly showPassword: import("@angular/core").Signal<boolean>;
   protected readonly message: import("@angular/core").WritableSignal<{
     text: string;
     error: boolean;
@@ -623,11 +707,27 @@ export declare class KcLoginComponent implements OnInit {
     username: import("@angular/forms").FormControl<string>;
     password: import("@angular/forms").FormControl<string>;
   }>;
+  /**
+   * ชื่อผู้ใช้ที่ถูกล็อก → เวลาปลดล็อก (ms) — เก็บใน localStorage ให้รีเฟรชแล้วยังนับต่อ
+   * API เป็นผู้ล็อกจริง ส่วนนี้แค่แสดงเวลานับถอยหลังและกันกดซ้ำ — พิมพ์ชื่อผู้ใช้อื่นกดได้ตามปกติ
+   */
+  private readonly locks;
+  private readonly now;
+  private readonly username;
+  /** วินาทีที่ยังต้องรอของชื่อผู้ใช้ในช่อง (0 = ไม่ล็อก) */
+  protected readonly lockLeft: import("@angular/core").Signal<number>;
+  protected readonly lockText: import("@angular/core").Signal<string>;
+  private timer;
   constructor();
   private get returnUrl();
   ngOnInit(): void;
   protected submit(): void;
-  protected startSso(): void;
+  /** until = 0 คือปลดล็อก */
+  private setLock;
+  private startTimer;
+  private stopTimer;
+  private storage;
+  protected startExternal(key: 'sso' | 'thaid'): void;
   static ɵfac: i0.ɵɵFactoryDeclaration<KcLoginComponent, never>;
   static ɵcmp: i0.ɵɵComponentDeclaration<KcLoginComponent, "kc-login", never, {}, {}, never, ["*"], true, never>;
 }
@@ -635,6 +735,7 @@ export declare class KcLoginComponent implements OnInit {
  * หน้าลงทะเบียนผู้ใช้ใหม่ (route /register) — รูปแบบตาม ictprocure: กล่องเดียว ช่องเรียงแถวเดียว
  * ทำงานตาม register ใน provideKcAuth()
  *   'sso'  — ต้องมาจาก /sso-callback พร้อมตั๋ว ชื่อ-สกุล / เลขบัตรประชาชน (และหน่วยงานถ้า orgLocked) มาจาก API แก้ไม่ได้
+ *   'thaid' — เหมือน 'sso' แต่ตั๋วมาจาก /thaid-callback
  *   'form' — กรอกชื่อ-สกุลเอง
  *   'none' — แจ้งว่าไม่เปิดให้ลงทะเบียน
  * อีเมล / มือถือไม่ถามตอนลงทะเบียน — ผู้ใช้กรอกต่อที่หน้าบัญชีของฉัน
@@ -646,7 +747,9 @@ export declare class KcRegisterComponent implements OnInit {
     readonly login: "/login";
     readonly register: "/register";
     readonly ssoCallback: "/sso-callback";
+    readonly thaidCallback: "/thaid-callback";
   };
+  /** ผู้ยืนยันตัวตนของตั๋วลงทะเบียน — แสดงใน "(จาก ...)" และข้อความเมื่อยังไม่มีตั๋ว */
   protected readonly ssoLabel: string;
   private readonly auth;
   private readonly http;
@@ -679,38 +782,74 @@ export declare class KcRegisterComponent implements OnInit {
   static ɵfac: i0.ɵɵFactoryDeclaration<KcRegisterComponent, never>;
   static ɵcmp: i0.ɵɵComponentDeclaration<KcRegisterComponent, "kc-register", never, {}, {}, never, never, true, never>;
 }
-/**
- * หน้ารับ redirect กลับจาก SSO (route /sso-callback) — path นี้ต้องตรงกับ redirect_uri ที่ API ส่งให้ SSO
- * และที่ลงทะเบียนไว้กับ SSO server
- *   ?code=&state= → ตรวจ state → POST {api}/user/sso/callback { code }
- *     signed-in → เริ่ม session แล้วกลับหน้าเดิม / homeUrl
- *     register  → เก็บตั๋วไว้ใน sessionStorage แล้วไป /register
- *   ไม่มี code (เช่นเปิดจากเมนูของ SSO portal) → เริ่ม flow ใหม่เอง
- */
-export declare class KcSsoCallbackComponent implements OnInit {
-  private readonly config;
-  private readonly auth;
-  private readonly http;
+/** ส่วนที่หน้า callback ของ SSO และ ThaiD ใช้ร่วมกัน — ต่างกันที่ endpoint, คีย์ state และผลของ callback */
+declare abstract class KcExternalCallbackBase implements OnInit {
+  protected readonly config: import("@kengcom202/kcore-ui").KcAuthConfig;
+  protected readonly auth: KcAuthService;
+  protected readonly http: HttpClient;
+  protected readonly router: Router;
   private readonly route;
-  private readonly router;
   protected readonly paths: {
     readonly login: "/login";
     readonly register: "/register";
     readonly ssoCallback: "/sso-callback";
+    readonly thaidCallback: "/thaid-callback";
   };
-  protected readonly label: string;
+  protected abstract readonly label: string;
+  /** path ใต้ {api}/user/ เช่น 'sso' → {api}/user/sso/authorize-url, {api}/user/sso/callback */
+  protected abstract readonly endpoint: string;
+  protected abstract readonly stateKey: string;
   protected readonly message: import("@angular/core").WritableSignal<string>;
   protected readonly failed: import("@angular/core").WritableSignal<boolean>;
   constructor();
+  /** แลก code แล้วจัดการผล */
+  protected abstract exchange(code: string): void;
   ngOnInit(): void;
-  private fail;
+  /** ขอ url ของผู้ให้บริการ เก็บ state แล้วพาไปหน้านั้น */
+  protected startFlow(endpoint: string, stateKey: string, label: string): void;
+  /** เก็บตั๋วลงทะเบียนแล้วไปหน้า /register (ตั๋วจาก SSO และ ThaiD ใช้คีย์เดียวกัน) */
+  protected toRegister(ticket: string): void;
+  protected signIn(session: KcSession): void;
+  protected fail(message: string): void;
+  static ɵfac: i0.ɵɵFactoryDeclaration<KcExternalCallbackBase, never>;
+  static ɵdir: i0.ɵɵDirectiveDeclaration<KcExternalCallbackBase, never, never, {}, {}, never, never, true, never>;
+}
+/**
+ * หน้ารับ redirect กลับจาก SSO (route /sso-callback) — path นี้ต้องตรงกับ redirect_uri ที่ API ส่งให้ SSO
+ * และที่ลงทะเบียนไว้กับ SSO server
+ *   ?code=&state= → ตรวจ state → POST {api}/user/sso/callback { code }
+ *     signed-in → เริ่ม session แล้วกลับหน้าเดิม / homeUrl
+ *     register  → เก็บตั๋วไว้ใน sessionStorage แล้วไป /register
+ *     thaid     → (register: 'thaid') ไม่พบบัญชี ส่งต่อไปยืนยันตัวตนด้วย ThaiD
+ *   ไม่มี code (เช่นเปิดจากเมนูของ SSO portal) → เริ่ม flow ใหม่เอง
+ */
+export declare class KcSsoCallbackComponent extends KcExternalCallbackBase {
+  protected readonly label: string;
+  protected readonly endpoint = "sso";
+  protected readonly stateKey = "kc_sso_state";
+  protected exchange(code: string): void;
   static ɵfac: i0.ɵɵFactoryDeclaration<KcSsoCallbackComponent, never>;
   static ɵcmp: i0.ɵɵComponentDeclaration<KcSsoCallbackComponent, "kc-sso-callback", never, {}, {}, never, never, true, never>;
 }
+/**
+ * หน้ารับ redirect กลับจาก ThaiD (route /thaid-callback) — เข้าสู่ระบบอย่างเดียว ไม่มีการลงทะเบียน
+ *   ?code=&state= → ตรวจ state → POST {api}/user/thaid/callback { code } → KcSession
+ *   API ไม่พบบัญชีที่ผูกกับเลขบัตรประชาชน = ตอบ 403 { message } แสดงข้อความนั้น (ให้ติดต่อผู้ดูแล)
+ *   ยกเว้น register: 'thaid' — API ตอบ { mode: 'register', ticket } ได้ → เก็บตั๋วแล้วไป /register
+ */
+export declare class KcThaidCallbackComponent extends KcExternalCallbackBase {
+  protected readonly label: string;
+  protected readonly endpoint = "thaid";
+  protected readonly stateKey = "kc_thaid_state";
+  protected exchange(code: string): void;
+  static ɵfac: i0.ɵɵFactoryDeclaration<KcThaidCallbackComponent, never>;
+  static ɵcmp: i0.ɵɵComponentDeclaration<KcThaidCallbackComponent, "kc-thaid-callback", never, {}, {}, never, never, true, never>;
+}
 /**
  * หน้า "บัญชีของฉัน" (user/detail) — รูปแบบตาม ictprocure: กล่องเดียวกลางหน้า ช่องเรียงแถวเดียว
  * วางใน layout ของโปรเจกต์พร้อม canActivate: [kcAuthGuard]
  * ชื่อ-สกุลและหน่วยงานแสดงอย่างเดียว (หน่วยงานกำหนดสิทธิ์การเห็นข้อมูล ย้ายได้โดยผู้ดูแลที่หน้า config)
+ *   ยกเว้น profileOrgChange: true และ API ส่ง orgs มา — เลือกหน่วยงานได้ ส่ง org ไปกับ PUT (API ตัดสินว่ารออนุมัติไหม)
  * แก้ได้: อีเมล มือถือ ชื่อผู้ใช้ รหัสผ่าน — เปลี่ยนรหัสผ่านไม่ต้องกรอกรหัสเดิม เว้นว่าง = ไม่เปลี่ยน
  * GET {api}/user/me → KcProfile, PUT {api}/user/me ← KcProfileUpdate
  */
@@ -726,10 +865,13 @@ export declare class KcProfileComponent implements OnInit {
   protected readonly success: import("@angular/core").WritableSignal<string>;
   protected readonly fullName: import("@angular/core").WritableSignal<string>;
   protected readonly orgName: import("@angular/core").WritableSignal<string>;
+  /** หน่วยงานที่เลือกย้ายได้ — ว่าง = แสดงแบบอ่านอย่างเดียว */
+  protected readonly orgs: import("@angular/core").WritableSignal<SearchOption[]>;
   protected readonly form: import("@angular/forms").FormGroup<{
     email: import("@angular/forms").FormControl<string>;
     mobile: import("@angular/forms").FormControl<string>;
     username: import("@angular/forms").FormControl<string>;
+    org: import("@angular/forms").FormControl<string>;
     password: import("@angular/forms").FormControl<string>;
     confirmPassword: import("@angular/forms").FormControl<string>;
   }>;
@@ -751,6 +893,8 @@ interface UserEdit extends KcConfigUserUpdate {
  * ค้นหา แล้วคลิกแถวเพื่อแก้ ชื่อผู้ใช้ / ระดับผู้ใช้ / สถานะ / หน่วยงาน / ตั้งรหัสผ่านใหม่
  * ไม่มีการลบ — ใช้ "ระงับการใช้งาน" แทน และแก้ระดับ/สถานะของตัวเองไม่ได้ (กันผู้ดูแลล็อกตัวเองออก)
  * GET {api}/config/users → { users, orgs, roles }, PUT {api}/config/users/{id} ← KcConfigUserUpdate
+ * ส่วนบน: เปิด/ปิดวิธีเข้าสู่ระบบ (รหัสผ่าน / SSO / ThaiD ที่ provideKcAuth เปิดไว้) ห้ามปิดหมด
+ *   GET {api}/user/login-methods → KcLoginMethods, PUT {api}/config/login-methods ← KcLoginMethods (ไม่มี endpoint = ซ่อนส่วนนี้)
  */
 export declare class KcConfigUsersComponent implements OnInit {
   protected readonly config: import("@kengcom202/kcore-ui").KcAuthConfig;
@@ -767,11 +911,31 @@ export declare class KcConfigUsersComponent implements OnInit {
   protected readonly search: import("@angular/core").WritableSignal<string>;
   protected readonly editing: import("@angular/core").WritableSignal<UserEdit | null>;
   protected readonly myId: import("@angular/core").Signal<string>;
+  /** วิธีเข้าสู่ระบบ: ค่าที่บันทึกแล้ว / ค่าที่กำลังแก้ (null = API ไม่มี endpoint หรือโหลดไม่ได้ → ซ่อนส่วนนี้) */
+  private readonly methodsSaved;
+  protected readonly methodsDraft: import("@angular/core").WritableSignal<KcLoginMethods | null>;
+  protected readonly savingMethods: import("@angular/core").WritableSignal<boolean>;
+  protected readonly methodsError: import("@angular/core").WritableSignal<string>;
+  /** เฉพาะวิธีที่ provideKcAuth เปิดไว้ — วิธีที่หน้าเว็บไม่มีปุ่มให้ไม่นับ */
+  protected readonly methodOptions: import("@angular/core").Signal<({
+    key: "password";
+    label: string;
+  } | {
+    key: "sso";
+    label: string;
+  } | {
+    key: "thaid";
+    label: string;
+  })[]>;
+  protected readonly enabledCount: import("@angular/core").Signal<number>;
+  protected readonly methodsDirty: import("@angular/core").Signal<boolean>;
   /** ตัวเลือกหน่วยงานในป็อปอัป — มี "ไม่ระบุ" ไว้ล้างค่า */
   protected readonly orgOptions: import("@angular/core").Signal<SearchOption[]>;
   protected readonly filtered: import("@angular/core").Signal<KcConfigUser[]>;
   constructor();
   ngOnInit(): void;
+  protected toggleMethod(key: keyof KcLoginMethods, on: boolean): void;
+  protected saveMethods(): void;
   protected load(): void;
   protected roleName(role: string): string;
   protected hasRole(role: string): boolean;