@longzai-intelligence-auth/core 0.0.5 → 0.0.6

package/dist/index.d.ts

@@ -0,0 +1,1297 @@
+import { z } from "zod";
+import { DomainError } from "@longzai-intelligence/error";
+
+//#region src/types/token.types.d.ts
+/**
+ * AccessToken 载荷类型
+ */
+type AccessTokenPayload = {
+  /**
+   * 用户 ID
+   */
+  sub: string;
+  /**
+   * Token 类型
+   */
+  type: "access";
+  /**
+   * 租户 ID
+   */
+  tenantId?: string;
+  /**
+   * 签发者
+   */
+  iss?: string;
+  /**
+   * 受众
+   */
+  aud?: string;
+  /**
+   * JWT ID
+   */
+  jti?: string;
+  /**
+   * 角色列表
+   */
+  roles?: string[];
+  /**
+   * 权限列表
+   */
+  permissions?: string[];
+};
+/**
+ * RefreshToken 载荷类型
+ */
+type RefreshTokenPayload = {
+  /**
+   * 用户 ID
+   */
+  sub: string;
+  /**
+   * 会话 ID
+   */
+  sessionId: string;
+  /**
+   * Token 类型
+   */
+  type: "refresh";
+};
+/**
+ * 密码重置 Token 载荷类型
+ */
+type PasswordResetTokenPayload = {
+  /**
+   * 用户 ID
+   */
+  sub: string;
+  /**
+   * Token 类型
+   */
+  type: "password_reset";
+};
+/**
+ * MFA 待验证 Token 载荷类型
+ */
+type MfaPendingTokenPayload = {
+  /**
+   * 用户 ID
+   */
+  sub: string;
+  /**
+   * Token 类型
+   */
+  type: "mfa_pending";
+};
+/**
+ * 所有 Token 载荷类型的联合类型
+ */
+type TokenPayload = AccessTokenPayload | RefreshTokenPayload | PasswordResetTokenPayload | MfaPendingTokenPayload;
+//#endregion
+//#region src/types/auth-context.types.d.ts
+/**
+ * 用户基础信息（从 JWT 解析得到）
+ */
+type UserInfo = {
+  /**
+   * 用户 ID
+   */
+  userId: string;
+  /**
+   * 租户 ID
+   */
+  tenantId?: string;
+};
+/**
+ * 认证上下文（由认证插件注入到请求上下文中）
+ */
+type AuthContext = {
+  /**
+   * 已认证用户的 ID
+   */
+  userId: string;
+  /**
+   * 当前租户 ID
+   */
+  tenantId?: string;
+};
+/**
+ * 统一认证上下文，所有认证插件输出一致的结构
+ */
+type UnifiedAuthContext = {
+  /**
+   * 用户唯一标识
+   */
+  userId: string;
+  /**
+   * 租户ID
+   */
+  tenantId: string;
+  /**
+   * 用户角色列表
+   */
+  roles: string[];
+  /**
+   * 用户权限列表
+   */
+  permissions: string[];
+  /**
+   * 认证方式
+   */
+  authMethod: "jwt" | "api-key";
+};
+//#endregion
+//#region src/types/permission.types.d.ts
+/**
+ * 资源操作权限标识
+ */
+type ResourceAction = {
+  /**
+   * 资源标识（如 "user", "role"）
+   */
+  resource: string;
+  /**
+   * 操作标识（如 "read", "write", "delete"）
+   */
+  action: string;
+};
+/**
+ * 权限检查函数类型
+ */
+type PermissionCheckFn = (userId: string, resource: string, action: string) => Promise<void>;
+/**
+ * 带租户隔离的权限检查函数类型
+ */
+type TenantPermissionCheckFn = (userId: string, tenantId: string, resource: string, action: string) => Promise<void>;
+//#endregion
+//#region src/types/config.types.d.ts
+/**
+ * JWT 配置
+ */
+type JwtConfig = {
+  /**
+   * JWT 签名密钥
+   */
+  secret: string;
+  /**
+   * AccessToken 有效期（如 "15m"）
+   */
+  accessExpiresIn: string;
+  /**
+   * RefreshToken 有效期（如 "7d"）
+   */
+  refreshExpiresIn: string;
+};
+/**
+ * 密码策略配置
+ */
+type PasswordPolicyConfig = {
+  /**
+   * 最小长度
+   */
+  minLength: number;
+  /**
+   * 是否要求大写字母
+   */
+  requireUppercase: boolean;
+  /**
+   * 是否要求小写字母
+   */
+  requireLowercase: boolean;
+  /**
+   * 是否要求数字
+   */
+  requireNumber: boolean;
+  /**
+   * 是否要求特殊字符
+   */
+  requireSpecial: boolean;
+  /**
+   * 历史密码检查数量
+   */
+  historyCount: number;
+  /**
+   * 过期天数（0 表示不过期）
+   */
+  expireDays: number;
+};
+/**
+ * 认证共享包完整配置
+ */
+type AuthConfig = {
+  /**
+   * JWT 配置
+   */
+  jwt: JwtConfig;
+  /**
+   * 密码策略配置
+   */
+  passwordPolicy: PasswordPolicyConfig;
+  /**
+   * 默认租户 ID（用于非多租户模式）
+   */
+  defaultTenantId: string;
+};
+//#endregion
+//#region src/types/password.types.d.ts
+/**
+ * 密码验证结果
+ */
+type PasswordValidationResult = {
+  /**
+   * 是否通过验证
+   */
+  valid: boolean;
+  /**
+   * 验证失败的错误消息列表
+   */
+  errors: string[];
+};
+//#endregion
+//#region src/types/rate-limit.types.d.ts
+/**
+ * 限流配置
+ */
+type RateLimitConfig = {
+  /**
+   * 时间窗口秒数
+   */
+  windowSeconds: number;
+  /**
+   * 最大请求数
+   */
+  maxRequests: number;
+};
+//#endregion
+//#region src/types/logger.types.d.ts
+/**
+ * 日志服务接口
+ */
+type LoggerService = {
+  /**
+   * 调试级别日志
+   */
+  debug(message: string, context?: Record<string, unknown>): void;
+  /**
+   * 信息级别日志
+   */
+  info(message: string, context?: Record<string, unknown>): void;
+  /**
+   * 警告级别日志
+   */
+  warn(message: string, context?: Record<string, unknown>): void;
+  /**
+   * 错误级别日志
+   */
+  error(message: string, context?: Record<string, unknown>): void;
+};
+//#endregion
+//#region src/types/auth-api.types.d.ts
+/**
+ * 登录请求
+ */
+type LoginRequest = {
+  /**
+   * 邮箱
+   */
+  email: string;
+  /**
+   * 密码
+   */
+  password: string;
+};
+/**
+ * 登录响应
+ */
+type LoginResponse = {
+  /**
+   * 访问令牌
+   */
+  accessToken: string;
+  /**
+   * 刷新令牌
+   */
+  refreshToken: string;
+};
+/**
+ * 注册请求
+ */
+type RegisterRequest = {
+  /**
+   * 邮箱
+   */
+  email: string;
+  /**
+   * 密码
+   */
+  password: string;
+  /**
+   * 用户名
+   */
+  name: string;
+};
+/**
+ * 注册响应
+ */
+type RegisterResponse = {
+  /**
+   * 用户 ID
+   */
+  userId: string;
+  /**
+   * 消息
+   */
+  message: string;
+};
+/**
+ * 刷新 Token 请求
+ */
+type RefreshTokenRequest = {
+  /**
+   * 刷新令牌
+   */
+  refreshToken: string;
+};
+/**
+ * 刷新 Token 响应
+ */
+type RefreshTokenResponse = {
+  /**
+   * 访问令牌
+   */
+  accessToken: string;
+  /**
+   * 刷新令牌
+   */
+  refreshToken: string;
+};
+/**
+ * 密码重置请求
+ */
+type PasswordResetRequest = {
+  /**
+   * 邮箱
+   */
+  email: string;
+};
+/**
+ * 密码重置确认请求
+ */
+type PasswordResetConfirmRequest = {
+  /**
+   * 重置令牌
+   */
+  token: string;
+  /**
+   * 新密码
+   */
+  password: string;
+};
+/**
+ * 修改密码请求
+ */
+type ChangePasswordRequest = {
+  /**
+   * 旧密码
+   */
+  oldPassword: string;
+  /**
+   * 新密码
+   */
+  newPassword: string;
+};
+/**
+ * 通用消息响应
+ */
+type MessageResponse = {
+  /**
+   * 消息内容
+   */
+  message: string;
+};
+/**
+ * 当前用户信息响应
+ */
+type MeResponse = {
+  /**
+   * 用户 ID
+   */
+  userId: string;
+  /**
+   * 租户 ID
+   */
+  tenantId?: string;
+};
+//#endregion
+//#region src/types/user.types.d.ts
+/**
+ * 用户状态
+ */
+type UserStatus = "active" | "disabled" | "locked";
+/**
+ * 用户数据类型（替代 UserEntity）
+ */
+type User = {
+  /**
+   * 用户 ID
+   */
+  id: string;
+  /**
+   * 邮箱
+   */
+  email: string;
+  /**
+   * 用户名
+   */
+  username: string;
+  /**
+   * 密码哈希
+   */
+  passwordHash: string;
+  /**
+   * 显示名称
+   */
+  displayName: string | null;
+  /**
+   * 头像 URL
+   */
+  avatarUrl: string | null;
+  /**
+   * 用户状态
+   */
+  status: UserStatus;
+  /**
+   * 是否启用 MFA
+   */
+  mfaEnabled: boolean;
+  /**
+   * MFA 密钥
+   */
+  mfaSecret: string | null;
+  /**
+   * 连续登录失败次数
+   */
+  failedLoginAttempts: number;
+  /**
+   * 锁定截止时间
+   */
+  lockedUntil: string | null;
+  /**
+   * 密码修改时间
+   */
+  passwordChangedAt: string | null;
+  /**
+   * 最后登录时间
+   */
+  lastLoginAt: string | null;
+  /**
+   * 创建时间
+   */
+  createdAt: string;
+  /**
+   * 更新时间
+   */
+  updatedAt: string;
+};
+/**
+ * 创建用户输入
+ */
+type CreateUserInput = {
+  email: string;
+  username: string;
+  passwordHash: string;
+  displayName?: string;
+  avatarUrl?: string;
+};
+/**
+ * 更新用户输入
+ */
+type UpdateUserInput = {
+  displayName?: string;
+  avatarUrl?: string;
+};
+//#endregion
+//#region src/types/session.types.d.ts
+/**
+ * 会话数据类型（替代 SessionEntity）
+ */
+type Session = {
+  /**
+   * 会话 ID
+   */
+  id: string;
+  /**
+   * 关联用户 ID
+   */
+  userId: string;
+  /**
+   * 租户 ID
+   */
+  tenantId: string;
+  /**
+   * 刷新令牌哈希
+   */
+  refreshTokenHash: string;
+  /**
+   * 设备信息
+   */
+  deviceInfo: string | null;
+  /**
+   * IP 地址
+   */
+  ipAddress: string | null;
+  /**
+   * 用户代理
+   */
+  userAgent: string | null;
+  /**
+   * 过期时间
+   */
+  expiresAt: string;
+  /**
+   * 创建时间
+   */
+  createdAt: string;
+};
+/**
+ * 创建会话输入
+ */
+type CreateSessionInput = {
+  userId: string;
+  tenantId: string;
+  refreshTokenHash: string;
+  deviceInfo?: string;
+  ipAddress?: string;
+  userAgent?: string;
+  expiresAt: string;
+};
+/**
+ * 会话信息，等价于 Session
+ */
+type SessionInfo = Session;
+//#endregion
+//#region src/types/tenant.types.d.ts
+/**
+ * 租户状态
+ */
+type TenantStatus = "active" | "suspended";
+/**
+ * 租户数据类型（替代 TenantEntity）
+ */
+type Tenant = {
+  /**
+   * 租户 ID
+   */
+  id: string;
+  /**
+   * 租户名称
+   */
+  name: string;
+  /**
+   * 租户标识（小写字母数字和连字符）
+   */
+  slug: string;
+  /**
+   * 租户状态
+   */
+  status: TenantStatus;
+  /**
+   * 最大用户数
+   */
+  maxUsers: number;
+  /**
+   * 租户设置
+   */
+  settings: string | null;
+  /**
+   * 创建时间
+   */
+  createdAt: string;
+  /**
+   * 更新时间
+   */
+  updatedAt: string;
+};
+/**
+ * 创建租户输入
+ */
+type CreateTenantInput = {
+  name: string;
+  slug: string;
+  maxUsers?: number;
+  settings?: string;
+};
+/**
+ * 更新租户输入
+ */
+type UpdateTenantInput = {
+  name?: string;
+  maxUsers?: number;
+  settings?: string;
+};
+//#endregion
+//#region src/types/tenant-member.types.d.ts
+/**
+ * 租户成员角色
+ */
+type TenantMemberRole = "owner" | "admin" | "member";
+/**
+ * 租户成员数据类型（替代 TenantMemberEntity）
+ */
+type TenantMember = {
+  /**
+   * 成员记录 ID
+   */
+  id: string;
+  /**
+   * 所属租户标识
+   */
+  tenantId: string;
+  /**
+   * 用户标识
+   */
+  userId: string;
+  /**
+   * 成员角色
+   */
+  role: TenantMemberRole;
+  /**
+   * 加入时间
+   */
+  joinedAt: string;
+};
+/**
+ * 创建租户成员输入
+ */
+type CreateTenantMemberInput = {
+  tenantId: string;
+  userId: string;
+  role?: TenantMemberRole;
+};
+//#endregion
+//#region src/schemas/auth-config.schema.d.ts
+/** JWT 配置 Schema */
+declare const jwtConfigSchema: z.ZodObject<{
+  secret: z.ZodString;
+  accessExpiresIn: z.ZodDefault<z.ZodString>;
+  refreshExpiresIn: z.ZodDefault<z.ZodString>;
+}, z.core.$strip>;
+/** 密码策略配置 Schema */
+declare const passwordPolicyConfigSchema: z.ZodObject<{
+  minLength: z.ZodDefault<z.ZodNumber>;
+  requireUppercase: z.ZodDefault<z.ZodBoolean>;
+  requireLowercase: z.ZodDefault<z.ZodBoolean>;
+  requireNumber: z.ZodDefault<z.ZodBoolean>;
+  requireSpecial: z.ZodDefault<z.ZodBoolean>;
+  historyCount: z.ZodDefault<z.ZodNumber>;
+  expireDays: z.ZodDefault<z.ZodNumber>;
+}, z.core.$strip>;
+/** 限流配置 Schema */
+declare const rateLimitConfigSchema: z.ZodObject<{
+  windowSeconds: z.ZodDefault<z.ZodNumber>;
+  maxRequests: z.ZodDefault<z.ZodNumber>;
+}, z.core.$strip>;
+/** 认证共享包完整配置 Schema */
+declare const authConfigSchema: z.ZodObject<{
+  jwt: z.ZodObject<{
+    secret: z.ZodString;
+    accessExpiresIn: z.ZodDefault<z.ZodString>;
+    refreshExpiresIn: z.ZodDefault<z.ZodString>;
+  }, z.core.$strip>;
+  passwordPolicy: z.ZodObject<{
+    minLength: z.ZodDefault<z.ZodNumber>;
+    requireUppercase: z.ZodDefault<z.ZodBoolean>;
+    requireLowercase: z.ZodDefault<z.ZodBoolean>;
+    requireNumber: z.ZodDefault<z.ZodBoolean>;
+    requireSpecial: z.ZodDefault<z.ZodBoolean>;
+    historyCount: z.ZodDefault<z.ZodNumber>;
+    expireDays: z.ZodDefault<z.ZodNumber>;
+  }, z.core.$strip>;
+  defaultTenantId: z.ZodDefault<z.ZodString>;
+}, z.core.$strip>;
+//#endregion
+//#region src/schemas/token.schema.d.ts
+/** AccessToken 载荷 Schema */
+declare const accessTokenPayloadSchema: z.ZodObject<{
+  sub: z.ZodString;
+  type: z.ZodLiteral<"access">;
+  tenantId: z.ZodOptional<z.ZodString>;
+  iss: z.ZodOptional<z.ZodString>;
+  aud: z.ZodOptional<z.ZodString>;
+  jti: z.ZodOptional<z.ZodString>;
+  roles: z.ZodOptional<z.ZodArray<z.ZodString>>;
+  permissions: z.ZodOptional<z.ZodArray<z.ZodString>>;
+}, z.core.$strip>;
+/** RefreshToken 载荷 Schema */
+declare const refreshTokenPayloadSchema: z.ZodObject<{
+  sub: z.ZodString;
+  sessionId: z.ZodString;
+  type: z.ZodLiteral<"refresh">;
+}, z.core.$strip>;
+/** 密码重置 Token 载荷 Schema */
+declare const passwordResetTokenPayloadSchema: z.ZodObject<{
+  sub: z.ZodString;
+  type: z.ZodLiteral<"password_reset">;
+}, z.core.$strip>;
+/** MFA 待验证 Token 载荷 Schema */
+declare const mfaPendingTokenPayloadSchema: z.ZodObject<{
+  sub: z.ZodString;
+  type: z.ZodLiteral<"mfa_pending">;
+}, z.core.$strip>;
+//#endregion
+//#region src/schemas/permission.schema.d.ts
+/** 权限字符串 Schema，格式为 "resource:action" */
+declare const permissionStringSchema: z.ZodString;
+/** 资源操作权限 Schema */
+declare const resourceActionSchema: z.ZodObject<{
+  resource: z.ZodString;
+  action: z.ZodString;
+}, z.core.$strip>;
+//#endregion
+//#region src/schemas/user.schema.d.ts
+/** 创建用户 Schema */
+declare const createUserSchema: z.ZodObject<{
+  email: z.ZodString;
+  username: z.ZodString;
+  password: z.ZodString;
+  displayName: z.ZodOptional<z.ZodString>;
+}, z.core.$strip>;
+/** 更新用户 Schema */
+declare const updateUserSchema: z.ZodObject<{
+  displayName: z.ZodOptional<z.ZodString>;
+  avatarUrl: z.ZodOptional<z.ZodString>;
+}, z.core.$strip>;
+/** 修改密码 Schema */
+declare const changePasswordSchema: z.ZodObject<{
+  currentPassword: z.ZodString;
+  newPassword: z.ZodString;
+}, z.core.$strip>;
+//#endregion
+//#region src/schemas/session.schema.d.ts
+/** 登录 Schema */
+declare const loginSchema: z.ZodObject<{
+  email: z.ZodString;
+  password: z.ZodString;
+}, z.core.$strip>;
+/** 刷新令牌 Schema */
+declare const refreshTokenSchema: z.ZodObject<{
+  refreshToken: z.ZodString;
+}, z.core.$strip>;
+//#endregion
+//#region src/ports/strategy.port.d.ts
+/**
+ * 令牌验证结果
+ *
+ * @typeParam T - 令牌载荷类型
+ */
+type TokenVerifyResult<T> = {
+  /**
+   * 验证是否成功
+   */
+  success: boolean;
+  /**
+   * 解码后的载荷（验证成功时）
+   */
+  payload?: T;
+  /**
+   * 错误信息（验证失败时）
+   */
+  error?: string;
+};
+/**
+ * 令牌签名器
+ */
+type TokenSigner = {
+  /**
+   * 签名访问令牌
+   *
+   * @param payload - 访问令牌载荷
+   * @returns 签名后的令牌字符串
+   */
+  signAccessToken(payload: AccessTokenPayload): Promise<string>;
+  /**
+   * 签名刷新令牌
+   *
+   * @param payload - 刷新令牌载荷
+   * @returns 签名后的令牌字符串
+   */
+  signRefreshToken(payload: RefreshTokenPayload): Promise<string>;
+};
+/**
+ * 令牌验证器
+ */
+type TokenVerifier = {
+  /**
+   * 验证访问令牌
+   *
+   * @param token - 要验证的令牌字符串
+   * @returns 验证结果
+   */
+  verifyAccessToken(token: string): Promise<TokenVerifyResult<AccessTokenPayload>>;
+  /**
+   * 验证刷新令牌
+   *
+   * @param token - 要验证的令牌字符串
+   * @returns 验证结果
+   */
+  verifyRefreshToken(token: string): Promise<TokenVerifyResult<RefreshTokenPayload>>;
+};
+/**
+ * 认证策略
+ */
+type AuthStrategy = {
+  /**
+   * 策略名称
+   */
+  name: string;
+  /**
+   * 验证凭证
+   *
+   * @param credentials - 认证凭证
+   * @returns 访问令牌载荷
+   */
+  verify(credentials: unknown): Promise<AccessTokenPayload>;
+};
+//#endregion
+//#region src/ports/auth-backend.port.d.ts
+/**
+ * 用户认证信息，用于认证过程中获取用户状态和安全相关数据
+ */
+type UserAuthInfo = {
+  /**
+   * 用户 ID
+   */
+  userId: string;
+  /**
+   * 邮箱
+   */
+  email: string;
+  /**
+   * 租户 ID
+   */
+  tenantId: string;
+  /**
+   * 用户状态
+   */
+  status: UserStatus;
+  /**
+   * 密码哈希
+   */
+  passwordHash: string;
+  /**
+   * 是否启用 MFA
+   */
+  mfaEnabled: boolean;
+  /**
+   * MFA 密钥
+   */
+  mfaSecret: string | null;
+  /**
+   * 连续登录失败次数
+   */
+  failedLoginAttempts: number;
+  /**
+   * 锁定截止时间
+   */
+  lockedUntil: string | null;
+};
+/**
+ * 密码验证结果，包含验证状态和用户信息或错误信息
+ */
+type VerifyPasswordResult = {
+  /**
+   * 验证是否成功
+   */
+  success: boolean;
+  /**
+   * 验证成功时的用户信息
+   */
+  user?: User;
+  /**
+   * 验证失败时的错误信息
+   */
+  error?: string;
+};
+/**
+ * 租户验证结果，包含验证状态和租户信息或错误信息
+ */
+type TenantValidateResult = {
+  /**
+   * 租户是否有效
+   */
+  valid: boolean;
+  /**
+   * 租户信息（验证成功时）
+   */
+  tenant?: Tenant;
+  /**
+   * 错误信息（验证失败时）
+   */
+  error?: string;
+};
+/**
+ * 用户数据端口
+ */
+type UserPort = {
+  findById(userId: string): Promise<User | null>;
+  findByEmail(email: string): Promise<User | null>;
+  findByUsername(username: string): Promise<User | null>;
+  findAuthInfo(userId: string): Promise<UserAuthInfo | null>;
+  findAuthInfoByEmail(email: string): Promise<UserAuthInfo | null>;
+  findPermissions(userId: string, tenantId: string): Promise<ResourceAction[]>;
+  isSuperAdmin(userId: string, tenantId: string): Promise<boolean>;
+  create(input: CreateUserInput): Promise<User>;
+  update(userId: string, input: UpdateUserInput): Promise<User>;
+  verifyPassword(email: string, password: string): Promise<VerifyPasswordResult>;
+  updatePassword(userId: string, newPasswordHash: string): Promise<void>;
+};
+/**
+ * 会话数据端口
+ */
+type SessionPort = {
+  create(input: CreateSessionInput): Promise<Session>;
+  findById(sessionId: string): Promise<Session | null>;
+  findByRefreshTokenHash(hash: string): Promise<Session | null>;
+  revoke(sessionId: string): Promise<void>;
+  revokeAllByUser(userId: string): Promise<void>;
+};
+/**
+ * 令牌操作端口
+ */
+type TokenPort = {
+  signAccessToken(payload: AccessTokenPayload): Promise<string>;
+  signRefreshToken(payload: RefreshTokenPayload): Promise<string>;
+  verifyAccessToken(token: string): Promise<TokenVerifyResult<AccessTokenPayload>>;
+  verifyRefreshToken(token: string): Promise<TokenVerifyResult<RefreshTokenPayload>>;
+};
+/**
+ * 认证后端端口 -- auth 核心所需的最小端口集
+ */
+type AuthBackendPort = {
+  user: UserPort;
+  session: SessionPort;
+  token: TokenPort;
+};
+/**
+ * 本地认证后端 -- AuthBackendPort 的别名，用于同进程直连场景
+ */
+type LocalAuthBackend = AuthBackendPort;
+//#endregion
+//#region src/ports/identity.port.d.ts
+/** 租户数据端口 */
+type TenantPort = {
+  findById(tenantId: string): Promise<Tenant | null>;
+  findBySlug(slug: string): Promise<Tenant | null>;
+  create(input: CreateTenantInput): Promise<Tenant>;
+  validateStatus(tenantId: string): Promise<TenantValidateResult>;
+};
+/** 租户成员端口 */
+type TenantMemberPort = {
+  getMember(tenantId: string, userId: string): Promise<TenantMember | null>;
+  addMember(tenantId: string, userId: string, role: string): Promise<TenantMember>;
+  removeMember(tenantId: string, userId: string): Promise<void>;
+  isMember(tenantId: string, userId: string): Promise<boolean>;
+};
+/** Identity 扩展后端端口 -- 在 AuthBackendPort 基础上增加租户能力 */
+type IdentityAuthBackend = AuthBackendPort & {
+  tenant: TenantPort;
+  tenantMember: TenantMemberPort;
+};
+/** 租户验证函数 */
+type TenantValidateFn = (tenantId: string) => Promise<TenantValidateResult>;
+//#endregion
+//#region src/ports/password-hash.port.d.ts
+/** 密码哈希器端口 */
+type PasswordHasherPort = {
+  /**
+   * 哈希密码
+  *
+   * @param password - 原始密码
+   * @returns 哈希后的密码字符串
+   */
+  hash(password: string): Promise<string>;
+  /**
+   * 验证密码
+  *
+   * @param password - 原始密码
+   * @param hash - 哈希值
+   * @returns 验证结果
+   */
+  verify(password: string, hash: string): Promise<boolean>;
+};
+/**
+ * 密码哈希器类型别名
+ *
+ * @deprecated 使用 PasswordHasherPort 代替
+ */
+type PasswordHasher = PasswordHasherPort;
+//#endregion
+//#region src/ports/token.port.d.ts
+/**
+ * 令牌验证结果
+ *
+ * @typeParam T - 令牌载荷类型，默认为 AccessTokenPayload
+ */
+type TokenVerifyResult$1<T = AccessTokenPayload> = {
+  /**
+   * 验证是否成功
+   */
+  success: boolean;
+  /**
+   * 解码后的载荷（验证成功时）
+   */
+  payload?: T;
+  /**
+   * 错误信息（验证失败时）
+   */
+  error?: string;
+};
+/**
+ * 令牌验证端口
+ */
+type TokenVerifierPort = {
+  /**
+   * 验证访问令牌
+   *
+   * @param token - 要验证的令牌字符串
+   * @returns 验证结果，包含载荷或错误信息
+   */
+  verifyAccessToken(token: string): Promise<TokenVerifyResult$1<AccessTokenPayload>>;
+  /**
+   * 验证刷新令牌
+   *
+   * @param token - 要验证的令牌字符串
+   * @returns 验证结果，包含载荷或错误信息
+   */
+  verifyRefreshToken(token: string): Promise<TokenVerifyResult$1<RefreshTokenPayload>>;
+};
+/**
+ * 令牌签名端口
+ */
+type TokenSignerPort = {
+  /**
+   * 签名访问令牌
+   *
+   * @param payload - 访问令牌载荷
+   * @returns 签名后的令牌字符串
+   */
+  signAccessToken(payload: AccessTokenPayload): Promise<string>;
+  /**
+   * 签名刷新令牌
+   *
+   * @param payload - 刷新令牌载荷
+   * @returns 签名后的令牌字符串
+   */
+  signRefreshToken(payload: RefreshTokenPayload): Promise<string>;
+};
+//#endregion
+//#region src/ports/rate-limit.port.d.ts
+/**
+ * 速率限制结果
+ */
+type RateLimitResult = {
+  /**
+   * 是否允许请求
+   */
+  allowed: boolean;
+  /**
+   * 剩余请求次数
+   */
+  remaining: number;
+  /**
+   * 重置时间
+   */
+  resetAt: Date;
+};
+/**
+ * 速率限制器端口
+ */
+type RateLimiterPort = {
+  /**
+   * 检查速率限制
+   *
+   * @param key - 限制键（如用户ID、IP地址等）
+   * @returns 限制检查结果
+   */
+  checkLimit(key: string): Promise<RateLimitResult>;
+  /**
+   * 重置速率限制
+   *
+   * @param key - 限制键
+   */
+  reset(key: string): Promise<void>;
+};
+//#endregion
+//#region src/factories/default-config.factory.d.ts
+/**
+ * 创建默认 JWT 配置
+ *
+ * 从环境变量自动读取 JWT 配置，支持以下环境变量：
+ * - `JWT_SECRET`：JWT 签名密钥（未设置时使用开发密钥并输出警告）
+ * - `JWT_ALGORITHM`：JWT 签名算法（预留，当前类型未包含）
+ * - `JWT_ACCESS_EXPIRES_IN`：AccessToken 有效期，默认 "15m"
+ * - `JWT_REFRESH_EXPIRES_IN`：RefreshToken 有效期，默认 "7d"
+ *
+ * @returns 默认的 JWT 配置
+ */
+declare function createDefaultJwtConfig(): JwtConfig;
+/**
+ * 创建默认速率限制配置
+ *
+ * 提供基于内存的速率限制默认配置：
+ * - windowSeconds=60（时间窗口 60 秒）
+ * - maxRequests=100（最大请求数 100）
+ *
+ * @returns 默认的速率限制配置
+ */
+declare function createDefaultRateLimitConfig(): RateLimitConfig;
+/**
+ * 创建默认密码策略配置
+ *
+ * 提供合理的默认密码策略：
+ * - minLength=8（最小长度 8 位）
+ * - requireUppercase=true（要求大写字母）
+ * - requireLowercase=true（要求小写字母）
+ * - requireNumber=true（要求数字）
+ * - requireSpecial=false（不要求特殊字符）
+ * - historyCount=0（不检查历史密码）
+ * - expireDays=0（密码不过期）
+ *
+ * @returns 默认的密码策略配置
+ */
+declare function createDefaultPasswordPolicy(): PasswordPolicyConfig;
+//#endregion
+//#region src/errors/auth.errors.d.ts
+/**
+ * Token 已过期错误
+ */
+declare class TokenExpiredError extends DomainError {
+  /**
+   * 创建 Token 已过期错误实例
+   *
+   * @param message - 错误消息，默认为 "认证令牌已过期"
+   */
+  constructor(message?: string);
+}
+/**
+ * Token 无效错误（签名不匹配或格式错误）
+ */
+declare class TokenInvalidError extends DomainError {
+  /**
+   * 创建 Token 无效错误实例
+   *
+   * @param message - 错误消息，默认为 "无效的认证令牌"
+   */
+  constructor(message?: string);
+}
+/**
+ * Token 缺失错误（未提供 Bearer Token）
+ */
+declare class TokenMissingError extends DomainError {
+  /**
+   * 创建 Token 缺失错误实例
+   *
+   * @param message - 错误消息，默认为 "未认证，请先登录"
+   */
+  constructor(message?: string);
+}
+/**
+ * MFA 验证要求错误（端点需要 MFA 但 Token 未经过 MFA 验证）
+ */
+declare class MfaRequiredError extends DomainError {
+  /**
+   * 创建 MFA 验证要求错误实例
+   *
+   * @param message - 错误消息，默认为 "需要多因素认证验证"
+   */
+  constructor(message?: string);
+}
+/**
+ * 无效凭据错误
+ */
+declare class InvalidCredentialsError extends DomainError {
+  /**
+   * 创建无效凭据错误实例
+   *
+   * @param message - 错误消息，默认为 "用户名或密码错误"
+   */
+  constructor(message?: string);
+}
+/**
+ * 账户被禁用错误
+ */
+declare class AccountDisabledError extends DomainError {
+  /**
+   * 创建账户被禁用错误实例
+   *
+   * @param message - 错误消息，默认为 "账户已被禁用"
+   */
+  constructor(message?: string);
+}
+/**
+ * 用户未找到错误
+ */
+declare class UserNotFoundError extends DomainError {
+  /**
+   * 创建用户未找到错误实例
+   *
+   * @param message - 错误消息，默认为 "用户不存在"
+   */
+  constructor(message?: string);
+}
+/**
+ * 用户已存在错误
+ */
+declare class UserAlreadyExistsError extends DomainError {
+  /**
+   * 创建用户已存在错误实例
+   *
+   * @param message - 错误消息，默认为 "用户已存在"
+   */
+  constructor(message?: string);
+}
+/**
+ * 密码策略违规错误
+ */
+declare class PasswordPolicyViolationError extends DomainError {
+  /**
+   * 创建密码策略违规错误实例
+   *
+   * @param message - 错误消息，默认为 "密码不符合策略要求"
+   */
+  constructor(message?: string);
+}
+/**
+ * 会话未找到错误
+ */
+declare class SessionNotFoundError extends DomainError {
+  /**
+   * 创建会话未找到错误实例
+   *
+   * @param message - 错误消息，默认为 "会话不存在"
+   */
+  constructor(message?: string);
+}
+/**
+ * 会话已过期错误
+ */
+declare class SessionExpiredError extends DomainError {
+  /**
+   * 创建会话已过期错误实例
+   *
+   * @param message - 错误消息，默认为 "会话已过期"
+   */
+  constructor(message?: string);
+}
+/**
+ * 限流触发错误（请求频率超限）
+ */
+declare class RateLimitExceededError extends DomainError {
+  /**
+   * 创建限流触发错误实例
+   *
+   * @param message - 错误消息，默认为 "请求过于频繁，请稍后再试"
+   */
+  constructor(message?: string);
+}
+//#endregion
+export { type AccessTokenPayload, AccountDisabledError, type AuthBackendPort, type AuthConfig, type AuthContext, type AuthStrategy, type ChangePasswordRequest, type CreateSessionInput, type CreateTenantInput, type CreateTenantMemberInput, type CreateUserInput, type IdentityAuthBackend, InvalidCredentialsError, type JwtConfig, type LocalAuthBackend, type LoggerService, type LoginRequest, type LoginResponse, type MeResponse, type MessageResponse, type MfaPendingTokenPayload, MfaRequiredError, type PasswordHasher, type PasswordHasherPort, type PasswordPolicyConfig, PasswordPolicyViolationError, type PasswordResetConfirmRequest, type PasswordResetRequest, type PasswordResetTokenPayload, type PasswordValidationResult, type PermissionCheckFn, type RateLimitConfig, RateLimitExceededError, type RateLimitResult, type RateLimiterPort, type RefreshTokenPayload, type RefreshTokenRequest, type RefreshTokenResponse, type RegisterRequest, type RegisterResponse, type ResourceAction, type Session, SessionExpiredError, type SessionInfo, SessionNotFoundError, type SessionPort, type Tenant, type TenantMember, type TenantMemberPort, type TenantMemberRole, type TenantPermissionCheckFn, type TenantPort, type TenantStatus, type TenantValidateFn, type TenantValidateResult, TokenExpiredError, TokenInvalidError, TokenMissingError, type TokenPayload, type TokenPort, type TokenSigner, type TokenSignerPort, type TokenVerifier, type TokenVerifierPort, type TokenVerifyResult, type UnifiedAuthContext, type UpdateTenantInput, type UpdateUserInput, type User, UserAlreadyExistsError, type UserAuthInfo, type UserInfo, UserNotFoundError, type UserPort, type UserStatus, type VerifyPasswordResult, accessTokenPayloadSchema, authConfigSchema, changePasswordSchema, createDefaultJwtConfig, createDefaultPasswordPolicy, createDefaultRateLimitConfig, createUserSchema, jwtConfigSchema, loginSchema, mfaPendingTokenPayloadSchema, passwordPolicyConfigSchema, passwordResetTokenPayloadSchema, permissionStringSchema, rateLimitConfigSchema, refreshTokenPayloadSchema, refreshTokenSchema, resourceActionSchema, updateUserSchema };