@kollors/deep-json-server 1.0.0-alpha.7 → 1.0.0-alpha.8

package/README.md

@@ -4,7 +4,7 @@
 
 A JSON mock server with REST, GraphQL, related records, file uploads and schema exports. Supports user login, owner and administrator permissions, record timestamps and soft deletion. Requires Node.js 22 or newer.
 
-**1.0.0-alpha.7 is a prerelease.** REST queries use `scope=[fields, arguments?]` at every level. When upgrading from an earlier version, update query parameters using the examples below; upgrading from 0.x also requires the new model schema.
+**1.0.0-alpha.8 is a prerelease.** REST queries use `scope=[fields, arguments?]` at every level. When upgrading from an earlier version, update query parameters using the examples below; upgrading from 0.x also requires the new model schema.
 
 ## Installation
 
@@ -12,7 +12,7 @@ A JSON mock server with REST, GraphQL, related records, file uploads and schema
 npm install @kollors/deep-json-server@alpha
 ```
 
-To install a specific version, use `@1.0.0-alpha.7`.
+To install a specific version, use `@1.0.0-alpha.8`.
 
 ## Quick start
 
@@ -412,9 +412,9 @@ Each format needs its own output file. The command rejects destinations that wou
 
 ## Authentication
 
-The `auth` section enables REST login and protects record changes in REST and GraphQL. Reads and all file operations remain public.
+The `auth` section enables registration, login and permission checks for record changes in REST and GraphQL. Reads and all file operations remain public.
 
-Create an auth user in a separate file with `setup-auth.mjs`:
+Define the first administrator in the initial data. For example, create `auth.json` with `setup-auth.mjs`:
 
 ```js
 import { writeFile } from 'node:fs/promises';
@@ -436,17 +436,46 @@ export default {
 };
 ```
 
-Start with `npx deep-json-server server.config.js`. The presence of `auth` enables the module; omit the section to leave record changes open. Each user needs a unique string `id`, a unique `username` and a `passwordHash` created by the helper. `isAdmin` defaults to `false`. Passwords use salted scrypt hashes. Auth users are stored separately from database collections. The file is read at startup; restart the server after editing it.
+Start with `npx deep-json-server server.config.js`. Each initial user needs a unique string `id`, a unique `username` and a `passwordHash` created by the helper. `isAdmin` defaults to `false`. Passwords use salted scrypt hashes.
 
-| REST request | Input | Response |
+You can pass an array in `auth.users` instead of a path:
+
+```js
+import { hashPassword } from '@kollors/deep-json-server/auth';
+
+const password = process.env.DJS_PASSWORD;
+if (!password) throw new Error('Set DJS_PASSWORD');
+
+export default {
+  database: { data: { items: [] } },
+  auth: {
+    users: [
+      { id: '1', username: 'admin', passwordHash: await hashPassword(password), isAdmin: true },
+    ],
+  },
+};
+```
+
+Auth users are stored separately from database collections. With a string in `auth.users`, registration, password changes and admin status changes are saved to that JSON file through the same `lowdb` used by the main database. With an array, changes remain in an internal memory copy and disappear on restart; the original array is unchanged. This choice is independent of `database.path` or `database.data`. A file write failure leaves the user and active sessions unchanged. The file is read at startup; restart the server after editing it manually.
+
+| REST request | JSON body | Response |
 |---|---|---|
-| `POST /auth/login` | JSON `{ "username": "admin", "password": "…" }` | `{ accessToken, expiresIn, user: { id, username, isAdmin } }` |
-| `GET /auth/me` | Bearer token | `{ id, username, isAdmin }` |
-| `POST /auth/logout` | Bearer token | `{ success: true }` |
+| `POST /auth/register` | `{ "username": "anna", "password": "…" }` | `201`: `{ id, username, isAdmin: false }` |
+| `POST /auth/login` | `{ "username": "anna", "password": "…" }` | `{ accessToken, expiresIn, user: { id, username, isAdmin } }` |
+| `GET /auth/me` | — | `{ id, username, isAdmin }` |
+| `POST /auth/logout` | — | `{ success: true }` |
+| `PATCH /auth/users/:id/password` | `{ "currentPassword": "…", "newPassword": "…" }` | `{ success: true }` |
+| `PATCH /auth/users/:id/admin` | `{ "isAdmin": true }` | `{ id, username, isAdmin }` |
+
+Registration and login are public. Send `Authorization: Bearer <accessToken>` for the other methods. Registration creates an ordinary user with a generated `id`; requests cannot include `id`, `passwordHash` or `isAdmin`. Usernames are case-sensitive and unique; duplicates return `409`. A username must contain a non-whitespace character and be at most 256 characters long. Passwords must contain 1–1024 characters. Values are not trimmed. Registration does not create a session: log in afterwards.
+
+Users can change only their own password by supplying `currentPassword` and `newPassword`. Administrators follow the same rule for their own password. An administrator can change an ordinary user's password with just `newPassword`. Changing another administrator's password returns `403`. A successful password change ends all sessions of the target user, including the current session when changing your own password; log in again. An incorrect current password returns `401` without changing sessions.
+
+Only administrators can change `isAdmin`. They can grant or remove another user's admin status. An administrator can remove their own status only if another administrator remains; otherwise the request returns `409`. This check accounts for concurrent requests. Existing tokens use the new permissions as soon as the change is saved, including for GraphQL mutations. An administrator may demote another administrator and then change their password as an ordinary user.
 
-Pass the token in `Authorization: Bearer <accessToken>`. Incorrect credentials and invalid or expired tokens return HTTP 401. Sessions are kept in memory and disappear on restart; logout revokes the supplied token. Login can return HTTP 429 when the server has too many concurrent login attempts or active sessions.
+Invalid or expired tokens return `401`, insufficient permissions return `403`, and an absent user for an otherwise permitted operation returns `404`. Invalid request bodies return `400`. Login, registration and password changes may return `429` when too many password computations are running; login also limits active sessions. Sessions are kept in memory and disappear on restart. Logout revokes only the supplied token.
 
-OpenAPI describes Bearer authentication for record changes, `/auth/me` and `/auth/logout`. In Swagger UI, paste a token from login into **Authorize**. For schema exports, enable auth in the configuration and run `generate openapi server.config.js`; the users file is not read during generation. GraphQL and OpenAPI require `database.schema`.
+OpenAPI describes all auth routes and their Bearer token requirements. In Swagger UI, paste a token from login into **Authorize**. For schema exports, enable auth in the configuration and run `generate openapi server.config.js`; the users file is not read during generation. Auth methods are exposed through REST. GraphQL checks the same token when changing records. GraphQL and OpenAPI require `database.schema`.
 
 ## Record dates, deletion and ownership
 

package/README.ru.md

@@ -4,7 +4,7 @@
 
 JSON-сервер для имитации API: REST, GraphQL, связанные записи, загрузка файлов и экспорт схем. Поддерживает вход пользователей, права владельца и администратора, даты записей и мягкое удаление. Требуется Node.js 22 или новее.
 
-**1.0.0-alpha.7 — предварительная версия.** REST-запросы используют `scope=[поля, аргументы?]` на всех уровнях. При обновлении измените параметры запросов по примерам ниже; для перехода с 0.x также нужна новая схема моделей.
+**1.0.0-alpha.8 — предварительная версия.** REST-запросы используют `scope=[поля, аргументы?]` на всех уровнях. При обновлении измените параметры запросов по примерам ниже; для перехода с 0.x также нужна новая схема моделей.
 
 ## Установка
 
@@ -12,7 +12,7 @@ JSON-сервер для имитации API: REST, GraphQL, связанные
 npm install @kollors/deep-json-server@alpha
 ```
 
-Для установки конкретной версии укажите `@1.0.0-alpha.7`.
+Для установки конкретной версии укажите `@1.0.0-alpha.8`.
 
 ## Быстрый старт
 
@@ -412,9 +412,9 @@ export default {
 
 ## Аутентификация
 
-Секция `auth` включает REST-вход и проверку прав на изменение записей в REST и GraphQL. Чтение и все операции с файлами остаются открытыми.
+Секция `auth` включает регистрацию, вход и проверку прав на изменение записей в REST и GraphQL. Чтение и все операции с файлами остаются открытыми.
 
-Создайте учётную запись в отдельном файле с помощью `setup-auth.mjs`:
+Первого администратора задайте в исходных данных. Например, создайте `auth.json` с помощью `setup-auth.mjs`:
 
 ```js
 import { writeFile } from 'node:fs/promises';
@@ -436,17 +436,46 @@ export default {
 };
 ```
 
-Запустите `npx deep-json-server server.config.js`. Наличие секции `auth` включает модуль; без неё изменения записей доступны без токена. Каждой учётной записи нужны уникальный строковый `id`, уникальный `username` и `passwordHash`, созданный функцией выше. `isAdmin` по умолчанию равен `false`. Пароли хешируются через scrypt со случайной солью. Учётные записи auth хранятся отдельно от коллекций базы. Файл читается при запуске; после его изменения перезапустите сервер.
+Запустите `npx deep-json-server server.config.js`. Каждой исходной учётной записи нужны уникальный строковый `id`, уникальный `username` и `passwordHash`, созданный функцией выше. `isAdmin` по умолчанию равен `false`. Пароли хешируются через scrypt со случайной солью.
 
-| REST-запрос | Входные данные | Ответ |
+В `auth.users` можно передать массив вместо пути:
+
+```js
+import { hashPassword } from '@kollors/deep-json-server/auth';
+
+const password = process.env.DJS_PASSWORD;
+if (!password) throw new Error('Set DJS_PASSWORD');
+
+export default {
+  database: { data: { items: [] } },
+  auth: {
+    users: [
+      { id: '1', username: 'admin', passwordHash: await hashPassword(password), isAdmin: true },
+    ],
+  },
+};
+```
+
+Учётные записи auth хранятся отдельно от коллекций базы. При строке в `auth.users` регистрация, смена пароля и статуса сохраняются в указанный JSON-файл через тот же `lowdb`, что и основная база. При массиве изменения остаются во внутренней копии в памяти и исчезают после перезапуска; исходный массив не меняется. Выбор не зависит от `database.path` или `database.data`. Ошибка записи файла отменяет изменение и сохраняет действующие сессии. Файл читается при запуске; после ручного редактирования перезапустите сервер.
+
+| REST-запрос | JSON тела | Ответ |
 |---|---|---|
-| `POST /auth/login` | JSON `{ "username": "admin", "password": "…" }` | `{ accessToken, expiresIn, user: { id, username, isAdmin } }` |
-| `GET /auth/me` | Bearer-токен | `{ id, username, isAdmin }` |
-| `POST /auth/logout` | Bearer-токен | `{ success: true }` |
+| `POST /auth/register` | `{ "username": "anna", "password": "…" }` | `201`: `{ id, username, isAdmin: false }` |
+| `POST /auth/login` | `{ "username": "anna", "password": "…" }` | `{ accessToken, expiresIn, user: { id, username, isAdmin } }` |
+| `GET /auth/me` | — | `{ id, username, isAdmin }` |
+| `POST /auth/logout` | — | `{ success: true }` |
+| `PATCH /auth/users/:id/password` | `{ "currentPassword": "…", "newPassword": "…" }` | `{ success: true }` |
+| `PATCH /auth/users/:id/admin` | `{ "isAdmin": true }` | `{ id, username, isAdmin }` |
+
+Регистрация и вход доступны без токена. Для остальных методов передавайте `Authorization: Bearer <accessToken>`. Регистрация создаёт обычного пользователя с новым `id`; поля `id`, `passwordHash` и `isAdmin` в запросе запрещены. `username` уникален с учётом регистра, повтор возвращает `409`. Имя должно содержать хотя бы один непробельный символ и не более 256 символов, пароль — от 1 до 1024 символов. Значения не обрезаются. Регистрация не открывает сессию: после неё выполните вход.
+
+Пользователь меняет только свой пароль, передавая `currentPassword` и `newPassword`. Для администратора при смене своего пароля действует то же правило. Администратор может сменить пароль обычному пользователю, передав только `newPassword`. Изменение пароля другого администратора возвращает `403`. После успешной смены завершаются все сессии этого пользователя, включая текущую при смене своего пароля; требуется новый вход. Неверный текущий пароль возвращает `401` без изменения сессий.
+
+Статус `isAdmin` меняет только администратор. Можно назначать других администраторов и снимать с них статус. Снять статус с себя можно, только если остаётся другой администратор; иначе возвращается `409`. Проверка учитывает параллельные запросы. Новые права действуют с прежними токенами сразу после сохранения, в том числе для мутаций GraphQL. Администратор может снять статус с другого администратора, а затем сменить ему пароль как обычному пользователю.
 
-Передавайте токен в заголовке `Authorization: Bearer <accessToken>`. Неверные учётные данные, недействительный или истёкший токен возвращают HTTP 401. Сессии хранятся в памяти и исчезают при перезапуске; выход отзывает переданный токен. Вход может вернуть HTTP 429 при слишком большом числе одновременных попыток или активных сессий.
+Недействительный или истёкший токен возвращает `401`, недостаток прав — `403`, отсутствующий пользователь при разрешённой операции — `404`. Ошибки тела запроса возвращают `400`. Вход, регистрация и смена пароля могут вернуть `429` при превышении числа одновременных вычислений паролей; вход также ограничивает число активных сессий. Сессии хранятся в памяти и исчезают после перезапуска. Выход завершает только сессию переданного токена.
 
-В OpenAPI описывается Bearer-аутентификация для изменения записей, `/auth/me` и `/auth/logout`. В Swagger UI токен из ответа на вход можно вставить в **Authorize**. Для экспорта схем включите auth в конфигурации и выполните `generate openapi server.config.js`; файл учётных записей при генерации не читается. Для GraphQL и OpenAPI нужна `database.schema`.
+OpenAPI описывает все маршруты auth и требования Bearer-токена. В Swagger UI токен из ответа на вход можно вставить в **Authorize**. Для экспорта схем включите auth в конфигурации и выполните `generate openapi server.config.js`; файл учётных записей при генерации не читается. Методы auth доступны через REST. В GraphQL тот же токен проверяется при изменении записей. Для GraphQL и OpenAPI нужна `database.schema`.
 
 ## Даты записей, удаление и владельцы
 

package/dist/index.d.ts

@@ -3,10 +3,10 @@ export { hashPassword } from './src/auth/public.js';
 export type { EntityDefinition, Field, ModelSchema } from './src/core/model.js';
 export type { FileUpdate } from './src/files/contract.js';
 export type { FileMetadata } from './src/files/http.js';
-export { generateGraphql, writeGraphql } from './src/graphql/lazy.js';
-export type { GraphqlOptions } from './src/graphql/public.js';
-export { generateOpenapi, writeOpenapi } from './src/openapi/lazy.js';
-export type { OpenapiOptions } from './src/openapi/public.js';
+export type { GraphqlOptions } from './src/graphql/entry.js';
+export { generateGraphql, writeGraphql } from './src/graphql/entry.js';
+export type { OpenapiOptions } from './src/openapi/entry.js';
+export { generateOpenapi, writeOpenapi } from './src/openapi/entry.js';
 export type { OpenapiDocument } from './src/openapi/types.js';
 export type { DatabaseConfig, DeepJsonServerConfig, FilesConfig, GraphqlConfig, MemoryFile, OpenapiConfig, ServerConfig } from './src/server/config.js';
 export type { ServerFacade } from './src/server/create.js';

package/dist/index.js

@@ -1,5 +1,5 @@
 export { hashPassword } from './src/auth/public.js';
-export { generateGraphql, writeGraphql } from './src/graphql/lazy.js';
-export { generateOpenapi, writeOpenapi } from './src/openapi/lazy.js';
+export { generateGraphql, writeGraphql } from './src/graphql/entry.js';
+export { generateOpenapi, writeOpenapi } from './src/openapi/entry.js';
 export { createServer } from './src/server/create.js';
 //# sourceMappingURL=index.js.map

package/dist/index.js.map

@@ -1 +1 @@
-{"version":3,"file":"index.js","sourceRoot":"","sources":["../index.ts"],"names":[],"mappings":"AACA,OAAO,EAAE,YAAY,EAAE,MAAM,sBAAsB,CAAC;AAIpD,OAAO,EAAE,eAAe,EAAE,YAAY,EAAE,MAAM,uBAAuB,CAAC;AAEtE,OAAO,EAAE,eAAe,EAAE,YAAY,EAAE,MAAM,uBAAuB,CAAC;AAKtE,OAAO,EAAE,YAAY,EAAE,MAAM,wBAAwB,CAAC"}
+{"version":3,"file":"index.js","sourceRoot":"","sources":["../index.ts"],"names":[],"mappings":"AACA,OAAO,EAAE,YAAY,EAAE,MAAM,sBAAsB,CAAC;AAKpD,OAAO,EAAE,eAAe,EAAE,YAAY,EAAE,MAAM,wBAAwB,CAAC;AAEvE,OAAO,EAAE,eAAe,EAAE,YAAY,EAAE,MAAM,wBAAwB,CAAC;AAIvE,OAAO,EAAE,YAAY,EAAE,MAAM,wBAAwB,CAAC"}

package/dist/src/auth/contract.d.ts

@@ -19,8 +19,11 @@ export interface AuthSession {
 }
 export declare const AUTH_PATHS: {
     readonly login: '/auth/login';
+    readonly register: '/auth/register';
     readonly me: '/auth/me';
     readonly logout: '/auth/logout';
+    readonly password: '/auth/users/:id/password';
+    readonly admin: '/auth/users/:id/admin';
 };
 export declare const DEFAULT_SESSION_SECONDS = 3600;
 export declare const MAX_USERNAME_LENGTH = 256;

package/dist/src/auth/contract.js

@@ -1,4 +1,11 @@
-export const AUTH_PATHS = { login: '/auth/login', me: '/auth/me', logout: '/auth/logout' };
+export const AUTH_PATHS = {
+    login: '/auth/login',
+    register: '/auth/register',
+    me: '/auth/me',
+    logout: '/auth/logout',
+    password: '/auth/users/:id/password',
+    admin: '/auth/users/:id/admin',
+};
 export const DEFAULT_SESSION_SECONDS = 3600;
 export const MAX_USERNAME_LENGTH = 256;
 export const MAX_PASSWORD_LENGTH = 1024;

package/dist/src/auth/contract.js.map

@@ -1 +1 @@
-{"version":3,"file":"contract.js","sourceRoot":"","sources":["../../../src/auth/contract.ts"],"names":[],"mappings":"AAmBA,MAAM,CAAC,MAAM,UAAU,GAAG,EAAE,KAAK,EAAE,aAAa,EAAE,EAAE,EAAE,UAAU,EAAE,MAAM,EAAE,cAAc,EAAW,CAAC;AACpG,MAAM,CAAC,MAAM,uBAAuB,GAAG,IAAI,CAAC;AAC5C,MAAM,CAAC,MAAM,mBAAmB,GAAG,GAAG,CAAC;AACvC,MAAM,CAAC,MAAM,mBAAmB,GAAG,IAAI,CAAC"}
+{"version":3,"file":"contract.js","sourceRoot":"","sources":["../../../src/auth/contract.ts"],"names":[],"mappings":"AAmBA,MAAM,CAAC,MAAM,UAAU,GAAG;IACxB,KAAK,EAAE,aAAa;IACpB,QAAQ,EAAE,gBAAgB;IAC1B,EAAE,EAAE,UAAU;IACd,MAAM,EAAE,cAAc;IACtB,QAAQ,EAAE,0BAA0B;IACpC,KAAK,EAAE,uBAAuB;CACtB,CAAC;AACX,MAAM,CAAC,MAAM,uBAAuB,GAAG,IAAI,CAAC;AAC5C,MAAM,CAAC,MAAM,mBAAmB,GAAG,GAAG,CAAC;AACvC,MAAM,CAAC,MAAM,mBAAmB,GAAG,IAAI,CAAC"}

package/dist/src/auth/input.d.ts

@@ -0,0 +1,18 @@
+/** Принимает только непустое имя и допустимый пароль без дополнительных полей.
+ * @example { username: 'anna', password: 'secret' } → та же пара строк; дополнительный isAdmin → ошибка.
+ */
+export declare function credentials(body: unknown): {
+    username: string;
+    password: string;
+};
+/** Проверяет новый пароль и необязательный текущий пароль; оба значения возвращает без преобразований.
+ * @example { newPassword: 'next' } → { newPassword: 'next', currentPassword: undefined }; пустой пароль → ошибка.
+ */
+export declare function passwordChange(body: unknown): {
+    newPassword: string;
+    currentPassword?: string;
+};
+/** Принимает единственный логический флаг без преобразования строк и чисел.
+ * @example { isAdmin: false } → false; { isAdmin: 'false' } → ошибка.
+ */
+export declare function adminChange(body: unknown): boolean;

package/dist/src/auth/input.js

@@ -0,0 +1,34 @@
+import { domainError } from '../core/errors.js';
+import { hasOnlyKeys, isObject } from '../core/utils.js';
+import { MAX_USERNAME_LENGTH } from './contract.js';
+import { validPassword } from './password.js';
+/** Принимает только непустое имя и допустимый пароль без дополнительных полей.
+ * @example { username: 'anna', password: 'secret' } → та же пара строк; дополнительный isAdmin → ошибка.
+ */
+export function credentials(body) {
+    if (!isObject(body) ||
+        !hasOnlyKeys(body, ['username', 'password']) ||
+        typeof body.username !== 'string' ||
+        !body.username.trim() ||
+        body.username.length > MAX_USERNAME_LENGTH ||
+        !validPassword(body.password))
+        throw domainError('INVALID_INPUT', 'Supply username and password');
+    return { username: body.username, password: body.password };
+}
+/** Проверяет новый пароль и необязательный текущий пароль; оба значения возвращает без преобразований.
+ * @example { newPassword: 'next' } → { newPassword: 'next', currentPassword: undefined }; пустой пароль → ошибка.
+ */
+export function passwordChange(body) {
+    if (!isObject(body) || !hasOnlyKeys(body, ['currentPassword', 'newPassword']) || !validPassword(body.newPassword) || (body.currentPassword !== undefined && !validPassword(body.currentPassword)))
+        throw domainError('INVALID_INPUT', 'Supply newPassword and an optional currentPassword');
+    return { newPassword: body.newPassword, currentPassword: body.currentPassword };
+}
+/** Принимает единственный логический флаг без преобразования строк и чисел.
+ * @example { isAdmin: false } → false; { isAdmin: 'false' } → ошибка.
+ */
+export function adminChange(body) {
+    if (!isObject(body) || !hasOnlyKeys(body, ['isAdmin']) || typeof body.isAdmin !== 'boolean')
+        throw domainError('INVALID_INPUT', 'Supply a boolean isAdmin');
+    return body.isAdmin;
+}
+//# sourceMappingURL=input.js.map

package/dist/src/auth/input.js.map

@@ -0,0 +1 @@
+{"version":3,"file":"input.js","sourceRoot":"","sources":["../../../src/auth/input.ts"],"names":[],"mappings":"AAAA,OAAO,EAAE,WAAW,EAAE,MAAM,mBAAmB,CAAC;AAChD,OAAO,EAAE,WAAW,EAAE,QAAQ,EAAE,MAAM,kBAAkB,CAAC;AACzD,OAAO,EAAE,mBAAmB,EAAE,MAAM,eAAe,CAAC;AACpD,OAAO,EAAE,aAAa,EAAE,MAAM,eAAe,CAAC;AAE9C;;GAEG;AACH,MAAM,UAAU,WAAW,CAAC,IAAa;IACvC,IACE,CAAC,QAAQ,CAAC,IAAI,CAAC;QACf,CAAC,WAAW,CAAC,IAAI,EAAE,CAAC,UAAU,EAAE,UAAU,CAAC,CAAC;QAC5C,OAAO,IAAI,CAAC,QAAQ,KAAK,QAAQ;QACjC,CAAC,IAAI,CAAC,QAAQ,CAAC,IAAI,EAAE;QACrB,IAAI,CAAC,QAAQ,CAAC,MAAM,GAAG,mBAAmB;QAC1C,CAAC,aAAa,CAAC,IAAI,CAAC,QAAQ,CAAC;QAE7B,MAAM,WAAW,CAAC,eAAe,EAAE,8BAA8B,CAAC,CAAC;IACrE,OAAO,EAAE,QAAQ,EAAE,IAAI,CAAC,QAAQ,EAAE,QAAQ,EAAE,IAAI,CAAC,QAAQ,EAAE,CAAC;AAC9D,CAAC;AAED;;GAEG;AACH,MAAM,UAAU,cAAc,CAAC,IAAa;IAC1C,IAAI,CAAC,QAAQ,CAAC,IAAI,CAAC,IAAI,CAAC,WAAW,CAAC,IAAI,EAAE,CAAC,iBAAiB,EAAE,aAAa,CAAC,CAAC,IAAI,CAAC,aAAa,CAAC,IAAI,CAAC,WAAW,CAAC,IAAI,CAAC,IAAI,CAAC,eAAe,KAAK,SAAS,IAAI,CAAC,aAAa,CAAC,IAAI,CAAC,eAAe,CAAC,CAAC;QAC/L,MAAM,WAAW,CAAC,eAAe,EAAE,oDAAoD,CAAC,CAAC;IAC3F,OAAO,EAAE,WAAW,EAAE,IAAI,CAAC,WAAW,EAAE,eAAe,EAAE,IAAI,CAAC,eAAqC,EAAE,CAAC;AACxG,CAAC;AAED;;GAEG;AACH,MAAM,UAAU,WAAW,CAAC,IAAa;IACvC,IAAI,CAAC,QAAQ,CAAC,IAAI,CAAC,IAAI,CAAC,WAAW,CAAC,IAAI,EAAE,CAAC,SAAS,CAAC,CAAC,IAAI,OAAO,IAAI,CAAC,OAAO,KAAK,SAAS;QAAE,MAAM,WAAW,CAAC,eAAe,EAAE,0BAA0B,CAAC,CAAC;IAC5J,OAAO,IAAI,CAAC,OAAO,CAAC;AACtB,CAAC"}

package/dist/src/auth/password.d.ts

@@ -2,6 +2,10 @@
  * @example validPasswordHash('plain text') → false.
  */
 export declare const validPasswordHash: (value: unknown) => value is string;
+/** Проверяет строку пароля по длине без обрезки пробелов.
+ * @example validPassword(' secret ') → true; validPassword('') → false.
+ */
+export declare const validPassword: (value: unknown) => value is string;
 /** Создаёт хеш пароля со случайной солью и сохраняет параметры вычисления в строке.
  * @example hashPassword('secret') → Promise<string> вида 'scrypt$16384$8$5$<соль>$<хеш>'; результат случаен.
  */

package/dist/src/auth/password.js

@@ -7,6 +7,10 @@ const HASH_PATTERN = /^scrypt\$16384\$8\$5\$([0-9a-f]{32})\$([0-9a-f]{64})$/;
  * @example validPasswordHash('plain text') → false.
  */
 export const validPasswordHash = (value) => typeof value === 'string' && HASH_PATTERN.test(value);
+/** Проверяет строку пароля по длине без обрезки пробелов.
+ * @example validPassword(' secret ') → true; validPassword('') → false.
+ */
+export const validPassword = (value) => typeof value === 'string' && value.length > 0 && value.length <= MAX_PASSWORD_LENGTH;
 /** Вычисляет 32 байта scrypt для пароля и заданной соли.
  * @example derive('secret', Buffer.alloc(16)) → Promise<Buffer> длиной 32 байта; одинаковые входы дают одинаковый результат.
  */
@@ -17,7 +21,7 @@ const derive = (password, salt) => new Promise((resolve, reject) => {
  * @example hashPassword('secret') → Promise<string> вида 'scrypt$16384$8$5$<соль>$<хеш>'; результат случаен.
  */
 export async function hashPassword(password) {
-    if (typeof password !== 'string' || !password.length || password.length > MAX_PASSWORD_LENGTH)
+    if (!validPassword(password))
         throw new Error(`Password must contain 1..${MAX_PASSWORD_LENGTH} characters`);
     const salt = randomBytes(16);
     const hash = await derive(password, salt);

package/dist/src/auth/password.js.map

@@ -1 +1 @@
-{"version":3,"file":"password.js","sourceRoot":"","sources":["../../../src/auth/password.ts"],"names":[],"mappings":"AAAA,OAAO,EAAE,WAAW,EAAE,MAAM,EAAE,eAAe,EAAE,MAAM,aAAa,CAAC;AACnE,OAAO,EAAE,mBAAmB,EAAE,MAAM,eAAe,CAAC;AAEpD,0DAA0D;AAC1D,MAAM,MAAM,GAAG,kBAAkB,CAAC;AAClC,MAAM,YAAY,GAAG,uDAAuD,CAAC;AAC7E;;GAEG;AACH,MAAM,CAAC,MAAM,iBAAiB,GAAG,CAAC,KAAc,EAAmB,EAAE,CAAC,OAAO,KAAK,KAAK,QAAQ,IAAI,YAAY,CAAC,IAAI,CAAC,KAAK,CAAC,CAAC;AAC5H;;GAEG;AACH,MAAM,MAAM,GAAG,CAAC,QAAgB,EAAE,IAAY,EAAmB,EAAE,CACjE,IAAI,OAAO,CAAC,CAAC,OAAO,EAAE,MAAM,EAAE,EAAE;IAC9B,MAAM,CAAC,QAAQ,EAAE,IAAI,EAAE,EAAE,EAAE,EAAE,CAAC,EAAE,KAAK,EAAE,CAAC,EAAE,CAAC,EAAE,CAAC,EAAE,CAAC,EAAE,EAAE,CAAC,KAAK,EAAE,GAAG,EAAE,EAAE,CAAC,CAAC,KAAK,CAAC,CAAC,CAAC,MAAM,CAAC,KAAK,CAAC,CAAC,CAAC,CAAC,OAAO,CAAC,GAAG,CAAC,CAAC,CAAC,CAAC;AAC/G,CAAC,CAAC,CAAC;AACL;;GAEG;AACH,MAAM,CAAC,KAAK,UAAU,YAAY,CAAC,QAAgB;IACjD,IAAI,OAAO,QAAQ,KAAK,QAAQ,IAAI,CAAC,QAAQ,CAAC,MAAM,IAAI,QAAQ,CAAC,MAAM,GAAG,mBAAmB;QAAE,MAAM,IAAI,KAAK,CAAC,4BAA4B,mBAAmB,aAAa,CAAC,CAAC;IAC7K,MAAM,IAAI,GAAG,WAAW,CAAC,EAAE,CAAC,CAAC;IAC7B,MAAM,IAAI,GAAG,MAAM,MAAM,CAAC,QAAQ,EAAE,IAAI,CAAC,CAAC;IAC1C,OAAO,GAAG,MAAM,IAAI,IAAI,CAAC,QAAQ,CAAC,KAAK,CAAC,IAAI,IAAI,CAAC,QAAQ,CAAC,KAAK,CAAC,EAAE,CAAC;AACrE,CAAC;AACD;;GAEG;AACH,MAAM,CAAC,KAAK,UAAU,cAAc,CAAC,QAAgB,EAAE,OAAe;IACpE,MAAM,KAAK,GAAG,YAAY,CAAC,IAAI,CAAC,OAAO,CAAC,CAAC;IACzC,IAAI,CAAC,KAAK;QAAE,OAAO,KAAK,CAAC;IACzB,MAAM,MAAM,GAAG,MAAM,MAAM,CAAC,QAAQ,EAAE,MAAM,CAAC,IAAI,CAAC,KAAK,CAAC,CAAC,CAAC,EAAE,KAAK,CAAC,CAAC,CAAC;IACpE,OAAO,eAAe,CAAC,MAAM,EAAE,MAAM,CAAC,IAAI,CAAC,KAAK,CAAC,CAAC,CAAC,EAAE,KAAK,CAAC,CAAC,CAAC;AAC/D,CAAC;AACD,MAAM,CAAC,MAAM,UAAU,GAAG,GAAG,MAAM,IAAI,GAAG,CAAC,MAAM,CAAC,EAAE,CAAC,IAAI,GAAG,CAAC,MAAM,CAAC,EAAE,CAAC,EAAE,CAAC"}
+{"version":3,"file":"password.js","sourceRoot":"","sources":["../../../src/auth/password.ts"],"names":[],"mappings":"AAAA,OAAO,EAAE,WAAW,EAAE,MAAM,EAAE,eAAe,EAAE,MAAM,aAAa,CAAC;AACnE,OAAO,EAAE,mBAAmB,EAAE,MAAM,eAAe,CAAC;AAEpD,0DAA0D;AAC1D,MAAM,MAAM,GAAG,kBAAkB,CAAC;AAClC,MAAM,YAAY,GAAG,uDAAuD,CAAC;AAC7E;;GAEG;AACH,MAAM,CAAC,MAAM,iBAAiB,GAAG,CAAC,KAAc,EAAmB,EAAE,CAAC,OAAO,KAAK,KAAK,QAAQ,IAAI,YAAY,CAAC,IAAI,CAAC,KAAK,CAAC,CAAC;AAC5H;;GAEG;AACH,MAAM,CAAC,MAAM,aAAa,GAAG,CAAC,KAAc,EAAmB,EAAE,CAAC,OAAO,KAAK,KAAK,QAAQ,IAAI,KAAK,CAAC,MAAM,GAAG,CAAC,IAAI,KAAK,CAAC,MAAM,IAAI,mBAAmB,CAAC;AACvJ;;GAEG;AACH,MAAM,MAAM,GAAG,CAAC,QAAgB,EAAE,IAAY,EAAmB,EAAE,CACjE,IAAI,OAAO,CAAC,CAAC,OAAO,EAAE,MAAM,EAAE,EAAE;IAC9B,MAAM,CAAC,QAAQ,EAAE,IAAI,EAAE,EAAE,EAAE,EAAE,CAAC,EAAE,KAAK,EAAE,CAAC,EAAE,CAAC,EAAE,CAAC,EAAE,CAAC,EAAE,EAAE,CAAC,KAAK,EAAE,GAAG,EAAE,EAAE,CAAC,CAAC,KAAK,CAAC,CAAC,CAAC,MAAM,CAAC,KAAK,CAAC,CAAC,CAAC,CAAC,OAAO,CAAC,GAAG,CAAC,CAAC,CAAC,CAAC;AAC/G,CAAC,CAAC,CAAC;AACL;;GAEG;AACH,MAAM,CAAC,KAAK,UAAU,YAAY,CAAC,QAAgB;IACjD,IAAI,CAAC,aAAa,CAAC,QAAQ,CAAC;QAAE,MAAM,IAAI,KAAK,CAAC,4BAA4B,mBAAmB,aAAa,CAAC,CAAC;IAC5G,MAAM,IAAI,GAAG,WAAW,CAAC,EAAE,CAAC,CAAC;IAC7B,MAAM,IAAI,GAAG,MAAM,MAAM,CAAC,QAAQ,EAAE,IAAI,CAAC,CAAC;IAC1C,OAAO,GAAG,MAAM,IAAI,IAAI,CAAC,QAAQ,CAAC,KAAK,CAAC,IAAI,IAAI,CAAC,QAAQ,CAAC,KAAK,CAAC,EAAE,CAAC;AACrE,CAAC;AACD;;GAEG;AACH,MAAM,CAAC,KAAK,UAAU,cAAc,CAAC,QAAgB,EAAE,OAAe;IACpE,MAAM,KAAK,GAAG,YAAY,CAAC,IAAI,CAAC,OAAO,CAAC,CAAC;IACzC,IAAI,CAAC,KAAK;QAAE,OAAO,KAAK,CAAC;IACzB,MAAM,MAAM,GAAG,MAAM,MAAM,CAAC,QAAQ,EAAE,MAAM,CAAC,IAAI,CAAC,KAAK,CAAC,CAAC,CAAC,EAAE,KAAK,CAAC,CAAC,CAAC;IACpE,OAAO,eAAe,CAAC,MAAM,EAAE,MAAM,CAAC,IAAI,CAAC,KAAK,CAAC,CAAC,CAAC,EAAE,KAAK,CAAC,CAAC,CAAC;AAC/D,CAAC;AACD,MAAM,CAAC,MAAM,UAAU,GAAG,GAAG,MAAM,IAAI,GAAG,CAAC,MAAM,CAAC,EAAE,CAAC,IAAI,GAAG,CAAC,MAAM,CAAC,EAAE,CAAC,EAAE,CAAC"}

package/dist/src/auth/routes.d.ts

@@ -1,6 +1,6 @@
 import type { FastifyInstance } from 'fastify';
 import type { AuthService } from './service.js';
-/** Регистрирует вход, выход и получение текущего пользователя, запрещая кеширование ответов.
+/** Регистрирует управление учётными записями и сессиями, запрещая кеширование ответов.
  * @example После регистрации ответы содержат Cache-Control: no-store; функция возвращает undefined.
  */
 export declare function registerAuthRoutes(server: FastifyInstance, auth: AuthService): void;

package/dist/src/auth/routes.js

@@ -1,5 +1,5 @@
 import { AUTH_PATHS } from './contract.js';
-/** Регистрирует вход, выход и получение текущего пользователя, запрещая кеширование ответов.
+/** Регистрирует управление учётными записями и сессиями, запрещая кеширование ответов.
  * @example После регистрации ответы содержат Cache-Control: no-store; функция возвращает undefined.
  */
 export function registerAuthRoutes(server, auth) {
@@ -8,8 +8,11 @@ export function registerAuthRoutes(server, auth) {
             reply.header('Cache-Control', 'no-store');
         });
         app.post(AUTH_PATHS.login, async (request) => auth.login(request.body));
+        app.post(AUTH_PATHS.register, async (request, reply) => reply.code(201).send(await auth.register(request.body)));
         app.get(AUTH_PATHS.me, async (request) => auth.me(request.headers.authorization));
         app.post(AUTH_PATHS.logout, async (request) => auth.logout(request.headers.authorization));
+        app.patch(AUTH_PATHS.password, async (request) => auth.changePassword(request.headers.authorization, request.params.id, request.body));
+        app.patch(AUTH_PATHS.admin, async (request) => auth.changeAdmin(request.headers.authorization, request.params.id, request.body));
     });
 }
 //# sourceMappingURL=routes.js.map

package/dist/src/auth/routes.js.map

@@ -1 +1 @@
-{"version":3,"file":"routes.js","sourceRoot":"","sources":["../../../src/auth/routes.ts"],"names":[],"mappings":"AACA,OAAO,EAAE,UAAU,EAAE,MAAM,eAAe,CAAC;AAG3C;;GAEG;AACH,MAAM,UAAU,kBAAkB,CAAC,MAAuB,EAAE,IAAiB;IAC3E,MAAM,CAAC,QAAQ,CAAC,KAAK,EAAE,GAAG,EAAE,EAAE;QAC5B,GAAG,CAAC,OAAO,CAAC,WAAW,EAAE,KAAK,EAAE,QAAQ,EAAE,KAAK,EAAE,EAAE;YACjD,KAAK,CAAC,MAAM,CAAC,eAAe,EAAE,UAAU,CAAC,CAAC;QAC5C,CAAC,CAAC,CAAC;QACH,GAAG,CAAC,IAAI,CAAC,UAAU,CAAC,KAAK,EAAE,KAAK,EAAE,OAAO,EAAE,EAAE,CAAC,IAAI,CAAC,KAAK,CAAC,OAAO,CAAC,IAAI,CAAC,CAAC,CAAC;QACxE,GAAG,CAAC,GAAG,CAAC,UAAU,CAAC,EAAE,EAAE,KAAK,EAAE,OAAO,EAAE,EAAE,CAAC,IAAI,CAAC,EAAE,CAAC,OAAO,CAAC,OAAO,CAAC,aAAa,CAAC,CAAC,CAAC;QAClF,GAAG,CAAC,IAAI,CAAC,UAAU,CAAC,MAAM,EAAE,KAAK,EAAE,OAAO,EAAE,EAAE,CAAC,IAAI,CAAC,MAAM,CAAC,OAAO,CAAC,OAAO,CAAC,aAAa,CAAC,CAAC,CAAC;IAC7F,CAAC,CAAC,CAAC;AACL,CAAC"}
+{"version":3,"file":"routes.js","sourceRoot":"","sources":["../../../src/auth/routes.ts"],"names":[],"mappings":"AACA,OAAO,EAAE,UAAU,EAAE,MAAM,eAAe,CAAC;AAG3C;;GAEG;AACH,MAAM,UAAU,kBAAkB,CAAC,MAAuB,EAAE,IAAiB;IAC3E,MAAM,CAAC,QAAQ,CAAC,KAAK,EAAE,GAAG,EAAE,EAAE;QAC5B,GAAG,CAAC,OAAO,CAAC,WAAW,EAAE,KAAK,EAAE,QAAQ,EAAE,KAAK,EAAE,EAAE;YACjD,KAAK,CAAC,MAAM,CAAC,eAAe,EAAE,UAAU,CAAC,CAAC;QAC5C,CAAC,CAAC,CAAC;QACH,GAAG,CAAC,IAAI,CAAC,UAAU,CAAC,KAAK,EAAE,KAAK,EAAE,OAAO,EAAE,EAAE,CAAC,IAAI,CAAC,KAAK,CAAC,OAAO,CAAC,IAAI,CAAC,CAAC,CAAC;QACxE,GAAG,CAAC,IAAI,CAAC,UAAU,CAAC,QAAQ,EAAE,KAAK,EAAE,OAAO,EAAE,KAAK,EAAE,EAAE,CAAC,KAAK,CAAC,IAAI,CAAC,GAAG,CAAC,CAAC,IAAI,CAAC,MAAM,IAAI,CAAC,QAAQ,CAAC,OAAO,CAAC,IAAI,CAAC,CAAC,CAAC,CAAC;QACjH,GAAG,CAAC,GAAG,CAAC,UAAU,CAAC,EAAE,EAAE,KAAK,EAAE,OAAO,EAAE,EAAE,CAAC,IAAI,CAAC,EAAE,CAAC,OAAO,CAAC,OAAO,CAAC,aAAa,CAAC,CAAC,CAAC;QAClF,GAAG,CAAC,IAAI,CAAC,UAAU,CAAC,MAAM,EAAE,KAAK,EAAE,OAAO,EAAE,EAAE,CAAC,IAAI,CAAC,MAAM,CAAC,OAAO,CAAC,OAAO,CAAC,aAAa,CAAC,CAAC,CAAC;QAC3F,GAAG,CAAC,KAAK,CAA6B,UAAU,CAAC,QAAQ,EAAE,KAAK,EAAE,OAAO,EAAE,EAAE,CAAC,IAAI,CAAC,cAAc,CAAC,OAAO,CAAC,OAAO,CAAC,aAAa,EAAE,OAAO,CAAC,MAAM,CAAC,EAAE,EAAE,OAAO,CAAC,IAAI,CAAC,CAAC,CAAC;QACnK,GAAG,CAAC,KAAK,CAA6B,UAAU,CAAC,KAAK,EAAE,KAAK,EAAE,OAAO,EAAE,EAAE,CAAC,IAAI,CAAC,WAAW,CAAC,OAAO,CAAC,OAAO,CAAC,aAAa,EAAE,OAAO,CAAC,MAAM,CAAC,EAAE,EAAE,OAAO,CAAC,IAAI,CAAC,CAAC,CAAC;IAC/J,CAAC,CAAC,CAAC;AACL,CAAC"}

package/dist/src/auth/service.d.ts

@@ -1,17 +1,32 @@
-import { type AuthConfig, type AuthSession, type AuthUser, type AuthUserRecord } from './contract.js';
+import { type AuthConfig, type AuthSession, type AuthUser } from './contract.js';
+import { type AuthStore } from './store.js';
 export declare class AuthService {
-    private users;
+    private store;
     private expiresIn;
     private sessions;
-    private pendingLogins;
+    private pendingPasswords;
     private closed;
-    constructor(users: Map<string, AuthUserRecord>, expiresIn: number);
-    /** Проверяет пароль, создаёт сессию и возвращает токен с публичными данными пользователя.
+    constructor(store: AuthStore, expiresIn: number);
+    /** Проверяет пароль и создаёт сессию с актуальными правами пользователя.
      * @example Корректные username и password → { accessToken, expiresIn, user }; неверный пароль → исключение.
      */
     login(body: unknown): Promise<AuthSession>;
-    /** Проверяет Bearer-токен и возвращает копию публичных данных пользователя.
-     * @example Заголовок 'Bearer <действительный токен>' → { id, username, isAdmin }.
+    /** Создаёт обычного пользователя с новым идентификатором и хешем пароля, не открывая сессию.
+     * @example { username: 'anna', password: 'secret' } → { id: '…', username: 'anna', isAdmin: false }.
+     */
+    register(body: unknown): Promise<AuthUser>;
+    /** Меняет свой пароль после проверки текущего либо пароль обычного пользователя по правам администратора.
+     * @example Свой id и два пароля → { success: true } с завершением всех своих сессий; чужой администратор → FORBIDDEN.
+     */
+    changePassword(authorization: unknown, id: string, body: unknown): Promise<{
+        success: boolean;
+    }>;
+    /** Меняет статус по правам действующего администратора и сохраняет хотя бы одного при отказе от собственных прав.
+     * @example Последний администратор и { isAdmin: false } для себя → CONFLICT; назначение другого → обновлённый пользователь.
+     */
+    changeAdmin(authorization: unknown, id: string, body: unknown): Promise<AuthUser>;
+    /** Проверяет токен и возвращает копию пользователя с текущими правами.
+     * @example После снятия статуса прежний токен возвращает isAdmin: false без повторного входа.
      */
     me(authorization: unknown): AuthUser;
     /** Проверяет токен и удаляет соответствующую сессию.
@@ -20,20 +35,44 @@ export declare class AuthService {
     logout(authorization: unknown): {
         success: boolean;
     };
-    /** Запрещает новые входы и очищает учётные записи и сессии в памяти.
+    /** Запрещает новые обращения и очищает сессии в памяти.
      * @example close() → undefined; последующий login() → отказ.
      */
     close(): void;
+    /** Ограничивает число одновременных вычислений хешей и освобождает место даже при ошибке.
+     * @example Четыре незавершённых вычисления → пятое получает TOO_MANY_REQUESTS.
+     */
+    private passwordWork;
+    /** Отклоняет обращения после закрытия сервиса.
+     * @example closed = true → UNAUTHENTICATED; false → undefined.
+     */
+    private assertOpen;
     /** Находит сессию по хешу токена и проверяет срок; просроченную сессию удаляет.
      * @example Действительный Bearer-токен → [ключ, сессия]; отсутствующий или истёкший → ошибка.
      */
     private session;
+    /** Получает текущую запись по идентификатору из проверенной сессии.
+     * @example Сессия с userId = '1' → актуальная запись с id = '1'; отсутствующая запись → ошибка.
+     */
+    private identity;
+    /** Проверяет текущие права администратора.
+     * @example Действующая сессия обычного пользователя → FORBIDDEN; администратора → его запись.
+     */
+    private requireAdmin;
+    /** Проверяет владельца пароля и запрет изменения пароля другого администратора.
+     * @example Администратор и обычная чужая запись → { actor, target }; два разных администратора → FORBIDDEN.
+     */
+    private passwordTarget;
+    /** Завершает все сессии одного пользователя после сохранения нового пароля.
+     * @example Две сессии id = '1' и одна id = '2' → остаётся сессия id = '2'.
+     */
+    private revoke;
     /** Удаляет из памяти сессии, срок которых истёк к текущему моменту.
      * @example Одна истёкшая и одна действующая сессия → остаётся одна действующая; результат undefined.
      */
     private prune;
 }
-/** Читает и проверяет учётные записи из массива или файла и создаёт хранилище сессий в памяти.
+/** Открывает источник учётных записей и создаёт хранилище сессий в памяти.
  * @example createAuthService({ users: [] }) → Promise<AuthService>; повторяющиеся id → ошибка.
  */
 export declare function createAuthService(config: AuthConfig): Promise<AuthService>;