@miguelmorales13/nestkit 0.5.1 → 0.6.0

package/README.md

@@ -628,6 +628,81 @@ necesitás otra lógica de roles al alta (ej. el primer usuario de un tenant nue
 `BaseAuthService` y sobreescribí `register()`, o llamá `users.create()` directo con los roles que
 quieras desde tu propio controller.
 
+### `auth/oauth` — entrar con Google o Facebook, sin Passport
+
+Lo de arriba es email + contraseña. Esto es lo otro: alta y acceso delegados a un proveedor,
+vinculación de cuentas, y sesiones con refresh rotativo de un solo uso guardado hasheado. Son
+módulos separados y se pueden usar los dos, uno, o ninguno.
+
+**No usa Passport, a propósito.** Su paso de redirección llama a `res.setHeader()`, que no existe
+en el reply de Fastify, así que el inicio del flujo hay que armarlo a mano igual; y su mapeo de
+perfiles es una tabla de traducción no documentada que reenvía tal cual los nombres de campo que no
+reconoce —así es como `photos.type(large)` llega a la Graph API de Facebook pidiendo los álbumes
+subidos por la persona, que necesitan un permiso que la app no tiene, y el callback muere con un
+500. El flujo entero son unas cuarenta líneas de `fetch` y cada campo que se manda se ve en
+`oauth-provider.ts`.
+
+Un proveedor es un objeto, no una clase que heredar: agregar Apple o GitHub es declarar cuatro URLs
+y una función que mapee su JSON a `OAuthProfile`.
+
+```ts
+import {
+  OAuthAuthModule, OAUTH_STORE, REFRESH_TOKEN_STORE,
+  googleProvider, facebookProvider, createOAuthController,
+} from '@miguelmorales13/nestkit/auth/oauth';
+
+@Module({
+  imports: [
+    MiStoreModule,                       // exporta la clase que implementa los puertos
+    OAuthAuthModule.forRoot({
+      imports: [MiStoreModule],
+      providers: [
+        { provide: OAUTH_STORE, useExisting: MiStore },
+        { provide: REFRESH_TOKEN_STORE, useExisting: MiStore },
+      ],
+      options: {
+        providers: [googleProvider(), facebookProvider()],
+        webUrl: process.env.WEB_URL!,
+        cookie: { path: '/api/auth' },   // acotá la cookie a las rutas que la usan
+        mapUser: (u) => ({ id: u.id, email: u.email, name: u.name }),
+      },
+    }),
+  ],
+  controllers: [class AuthController extends createOAuthController() {}],
+})
+export class AuthModule {}
+```
+
+Eso da `GET /auth/:provider`, `GET /auth/:provider/callback`, `POST /auth/refresh`,
+`POST /auth/logout`, `GET /auth/me`, `GET /auth/linked-accounts` y `POST /auth/link-intent`. El
+proveedor va como parámetro de ruta y no una pareja de rutas por proveedor, así que sumar Apple
+después toca solo configuración.
+
+**Los dos puertos van separados** (`OAuthStorePort` para identidades, `RefreshTokenStorePort` para
+sesiones) porque responden preguntas distintas y un proyecto puede querer las sesiones en Redis. Si
+van a la misma base, una sola clase implementa los dos y se atan con `useExisting`, como arriba.
+
+`revokeIfActive` **tiene que ser atómico** —un UPDATE condicional, no un leer-y-escribir—: esa
+fila es lo único que impide que un refresh token robado se use dos veces.
+
+Personalizable sin tocar la librería: nombre y path de la cookie, TTLs, `sameSite`, a dónde vuelve
+el navegador tras entrar / fallar / vincular, si un login cierra las demás sesiones
+(`singleSession`, por defecto sí), qué campos del usuario salen por la API (`mapUser`), el guard de
+las rutas con sesión (`guard`, si la app ya tiene el suyo) y todos los textos que ve el usuario.
+
+`syncProfile` es la opción que casi siempre hay que pasar en cuanto la app deja elegir foto de
+perfil: por defecto resincroniza nombre y foto del proveedor en cada login, lo que deshace en
+silencio la elección de la persona la próxima vez que entre.
+
+Sin email no hay alta. Facebook puede legítimamente no darlo —cuenta registrada con teléfono, o
+permiso retirado en la pantalla de consentimiento—, y en ese caso se corta con un mensaje que la
+persona puede accionar, no con un fallo interno. `OAuthCallbackFilter` se encarga de que cualquier
+error del callback devuelva al navegador a la pantalla de acceso: sin él la persona se queda
+mirando un JSON en una página en blanco, porque no llegó ahí por una petición de la app sino
+redirigida desde el proveedor.
+
+Requiere cookies en el adaptador HTTP: `@fastify/cookie` o `cookie-parser`.
+
 ### `email/resend` y `email/nodemailer` — dos transportes, elegís uno por proyecto
 
 Mismo patrón que `database/postgres` vs `database/supabase`: dos módulos independientes, no una
@@ -741,6 +816,8 @@ usa Bunny Stream/TUS para video grande.
 | `@miguelmorales13/nestkit/whatsapp` | `WhatsAppModule`, `WHATSAPP_CLIENT`, `WhatsAppClient` |
 | `@miguelmorales13/nestkit/stripe` | `StripeModule`, `STRIPE_CLIENT`, `createStripeWebhookController` |
 | `@miguelmorales13/nestkit/auth` | `AuthUserPort`, `BaseAuthService`, `createAuthController`, `TokenService`, `JwtAuthGuard`, `RolesGuard`, `RequireTenantGuard`, `CurrentUser`, `CurrentTenant`, `Roles` |
+| `@miguelmorales13/nestkit/auth/oauth` | `OAuthAuthModule`, `OAuthAuthService`, `createOAuthController`, `googleProvider`, `facebookProvider`, `OAuthStorePort`, `RefreshTokenStorePort` |
+| `@miguelmorales13/nestkit/umami` | `UmamiModule`, `UmamiService` — lectura de la API de analítica |
 | `@miguelmorales13/nestkit/storage` | `StorageModule`, `STORAGE`, `StoragePort`, adaptadores `LocalStorage`/`S3Storage`/`BunnyStorage` |
 | `@miguelmorales13/nestkit/email/resend` | `ResendModule`, `RESEND_CLIENT` |
 | `@miguelmorales13/nestkit/email/nodemailer` | `NodemailerModule`, `NODEMAILER_TRANSPORT` |
@@ -749,5 +826,7 @@ usa Bunny Stream/TUS para video grande.
 
 ## Estado del paquete
 
-`0.5.1`. Sin adaptador Mongo real. Sin tests unitarios propios — es un paquete nuevo; la primera
-integración real (ej. en `hr-pymes-saas` o `cuota`) es la que ejercita el código de verdad.
+`0.6.0`. Sin adaptador Mongo real. Sin tests unitarios propios.
+
+`auth/oauth` y `umami` sí tienen un consumidor real: **nutrimx** corre su acceso con Google y
+Facebook sobre este módulo en producción. El resto sigue sin ejercitarse de verdad.

package/dist/auth/index.cjs

@@ -1,4 +1,9 @@
-"use strict";Object.defineProperty(exports, "__esModule", {value: true}); function _interopRequireDefault(obj) { return obj && obj.__esModule ? obj : { default: obj }; } function _nullishCoalesce(lhs, rhsFn) { if (lhs != null) { return lhs; } else { return rhsFn(); } } function _optionalChain(ops) { let lastAccessLHS = undefined; let value = ops[0]; let i = 1; while (i < ops.length) { const op = ops[i]; const fn = ops[i + 1]; i += 2; if ((op === 'optionalAccess' || op === 'optionalCall') && value == null) { return undefined; } if (op === 'access' || op === 'optionalAccess') { lastAccessLHS = value; value = fn(value); } else if (op === 'call' || op === 'optionalCall') { value = fn((...args) => value.call(lastAccessLHS, ...args)); lastAccessLHS = undefined; } } return value; }
+"use strict";Object.defineProperty(exports, "__esModule", {value: true}); function _nullishCoalesce(lhs, rhsFn) { if (lhs != null) { return lhs; } else { return rhsFn(); } } function _optionalChain(ops) { let lastAccessLHS = undefined; let value = ops[0]; let i = 1; while (i < ops.length) { const op = ops[i]; const fn = ops[i + 1]; i += 2; if ((op === 'optionalAccess' || op === 'optionalCall') && value == null) { return undefined; } if (op === 'access' || op === 'optionalAccess') { lastAccessLHS = value; value = fn(value); } else if (op === 'call' || op === 'optionalCall') { value = fn((...args) => value.call(lastAccessLHS, ...args)); lastAccessLHS = undefined; } } return value; }
+
+
+
+var _chunkNVCI3CQIcjs = require('../chunk-NVCI3CQI.cjs');
+
 
 
 
@@ -19,65 +24,8 @@ function verifyPassword(plain, passwordHash) {
   return _bcryptjs.compare.call(void 0, plain, passwordHash);
 }
 
-// src/auth/token.service.ts
-var _jsonwebtoken = require('jsonwebtoken'); var _jsonwebtoken2 = _interopRequireDefault(_jsonwebtoken);
-function requireEnv(name) {
-  const value = process.env[name];
-  if (!value) {
-    throw new Error(`TokenService: ${name} environment variable is not set`);
-  }
-  return value;
-}
-var TokenService = class {
-  signAccessToken(payload) {
-    return _jsonwebtoken2.default.sign(payload, requireEnv("JWT_ACCESS_SECRET"), {
-      expiresIn: _nullishCoalesce(process.env.JWT_ACCESS_EXPIRES_IN, () => ( "15m"))
-    });
-  }
-  signRefreshToken(payload) {
-    return _jsonwebtoken2.default.sign(payload, requireEnv("JWT_REFRESH_SECRET"), {
-      expiresIn: _nullishCoalesce(process.env.JWT_REFRESH_EXPIRES_IN, () => ( "30d"))
-    });
-  }
-  verifyAccessToken(token) {
-    try {
-      return _jsonwebtoken2.default.verify(token, requireEnv("JWT_ACCESS_SECRET"));
-    } catch (e) {
-      throw new (0, _chunkFDNGAYTZcjs.UnauthorizedAppException)("Invalid or expired access token");
-    }
-  }
-  verifyRefreshToken(token) {
-    try {
-      return _jsonwebtoken2.default.verify(token, requireEnv("JWT_REFRESH_SECRET"));
-    } catch (e2) {
-      throw new (0, _chunkFDNGAYTZcjs.UnauthorizedAppException)("Invalid or expired refresh token");
-    }
-  }
-};
-
-// src/auth/jwt-auth.guard.ts
-var _common = require('@nestjs/common');
-var JwtAuthGuard = class {
-  constructor() {
-    this.tokens = new TokenService();
-  }
-  canActivate(context) {
-    const req = context.switchToHttp().getRequest();
-    const header = req.headers.authorization;
-    const token = _optionalChain([header, 'optionalAccess', _2 => _2.startsWith, 'call', _3 => _3("Bearer ")]) ? header.slice("Bearer ".length) : void 0;
-    if (!token) {
-      throw new (0, _chunkFDNGAYTZcjs.UnauthorizedAppException)("Missing Authorization bearer token");
-    }
-    req.user = this.tokens.verifyAccessToken(token);
-    return true;
-  }
-};
-JwtAuthGuard = exports.JwtAuthGuard = _chunk2REOCMUDcjs.__decorateClass.call(void 0, [
-  _common.Injectable.call(void 0, )
-], JwtAuthGuard);
-
 // src/auth/roles.decorator.ts
-
+var _common = require('@nestjs/common');
 var ROLES_KEY = "nestkit:roles";
 var Roles = (...roles) => _common.SetMetadata.call(void 0, ROLES_KEY, roles);
 
@@ -95,7 +43,7 @@ var RolesGuard = class {
     ]);
     if (!required || required.length === 0) return true;
     const req = context.switchToHttp().getRequest();
-    const has = _nullishCoalesce(_optionalChain([req, 'access', _4 => _4.user, 'optionalAccess', _5 => _5.roles, 'access', _6 => _6.some, 'call', _7 => _7((role) => required.includes(role))]), () => ( false));
+    const has = _nullishCoalesce(_optionalChain([req, 'access', _2 => _2.user, 'optionalAccess', _3 => _3.roles, 'access', _4 => _4.some, 'call', _5 => _5((role) => required.includes(role))]), () => ( false));
     if (!has) {
       throw new (0, _chunkFDNGAYTZcjs.ForbiddenAppException)("Insufficient role");
     }
@@ -106,16 +54,10 @@ RolesGuard = exports.RolesGuard = _chunk2REOCMUDcjs.__decorateClass.call(void 0,
   _common.Injectable.call(void 0, )
 ], RolesGuard);
 
-// src/auth/current-user.decorator.ts
-
-var CurrentUser = _common.createParamDecorator.call(void 0, 
-  (_, ctx) => ctx.switchToHttp().getRequest().user
-);
-
 // src/auth/current-tenant.decorator.ts
 
 var CurrentTenant = _common.createParamDecorator.call(void 0, 
-  (_, ctx) => _optionalChain([ctx, 'access', _8 => _8.switchToHttp, 'call', _9 => _9(), 'access', _10 => _10.getRequest, 'call', _11 => _11(), 'access', _12 => _12.user, 'optionalAccess', _13 => _13.tenantId])
+  (_, ctx) => _optionalChain([ctx, 'access', _6 => _6.switchToHttp, 'call', _7 => _7(), 'access', _8 => _8.getRequest, 'call', _9 => _9(), 'access', _10 => _10.user, 'optionalAccess', _11 => _11.tenantId])
 );
 
 // src/auth/require-tenant.guard.ts
@@ -123,7 +65,7 @@ var CurrentTenant = _common.createParamDecorator.call(void 0,
 var RequireTenantGuard = class {
   canActivate(context) {
     const req = context.switchToHttp().getRequest();
-    if (!_optionalChain([req, 'access', _14 => _14.user, 'optionalAccess', _15 => _15.tenantId])) {
+    if (!_optionalChain([req, 'access', _12 => _12.user, 'optionalAccess', _13 => _13.tenantId])) {
       throw new (0, _chunkFDNGAYTZcjs.ForbiddenAppException)("This action requires a company account");
     }
     return true;
@@ -164,7 +106,7 @@ _chunk2REOCMUDcjs.__decorateClass.call(void 0, [
 
 // src/auth/auth.service.ts
 var BaseAuthService = class {
-  constructor(users, tokens = new TokenService()) {
+  constructor(users, tokens = new (0, _chunkNVCI3CQIcjs.TokenService)()) {
     this.users = users;
     this.tokens = tokens;
   }
@@ -262,4 +204,4 @@ function createAuthController(serviceToken, options = {}) {
 
 
 
-exports.BaseAuthService = BaseAuthService; exports.CurrentTenant = CurrentTenant; exports.CurrentUser = CurrentUser; exports.JwtAuthGuard = JwtAuthGuard; exports.LoginDto = LoginDto; exports.ROLES_KEY = ROLES_KEY; exports.RefreshDto = RefreshDto; exports.RegisterDto = RegisterDto; exports.RequireTenantGuard = RequireTenantGuard; exports.Roles = Roles; exports.RolesGuard = RolesGuard; exports.TokenService = TokenService; exports.createAuthController = createAuthController; exports.hashPassword = hashPassword; exports.verifyPassword = verifyPassword;
+exports.BaseAuthService = BaseAuthService; exports.CurrentTenant = CurrentTenant; exports.CurrentUser = _chunkNVCI3CQIcjs.CurrentUser; exports.JwtAuthGuard = _chunkNVCI3CQIcjs.JwtAuthGuard; exports.LoginDto = LoginDto; exports.ROLES_KEY = ROLES_KEY; exports.RefreshDto = RefreshDto; exports.RegisterDto = RegisterDto; exports.RequireTenantGuard = RequireTenantGuard; exports.Roles = Roles; exports.RolesGuard = RolesGuard; exports.TokenService = _chunkNVCI3CQIcjs.TokenService; exports.createAuthController = createAuthController; exports.hashPassword = hashPassword; exports.verifyPassword = verifyPassword;

package/dist/auth/index.js

@@ -1,3 +1,8 @@
+import {
+  CurrentUser,
+  JwtAuthGuard,
+  TokenService
+} from "../chunk-A3B2EY4V.js";
 import {
   ConflictAppException,
   ForbiddenAppException,
@@ -19,70 +24,13 @@ function verifyPassword(plain, passwordHash) {
   return compare(plain, passwordHash);
 }
 
-// src/auth/token.service.ts
-import jwt from "jsonwebtoken";
-function requireEnv(name) {
-  const value = process.env[name];
-  if (!value) {
-    throw new Error(`TokenService: ${name} environment variable is not set`);
-  }
-  return value;
-}
-var TokenService = class {
-  signAccessToken(payload) {
-    return jwt.sign(payload, requireEnv("JWT_ACCESS_SECRET"), {
-      expiresIn: process.env.JWT_ACCESS_EXPIRES_IN ?? "15m"
-    });
-  }
-  signRefreshToken(payload) {
-    return jwt.sign(payload, requireEnv("JWT_REFRESH_SECRET"), {
-      expiresIn: process.env.JWT_REFRESH_EXPIRES_IN ?? "30d"
-    });
-  }
-  verifyAccessToken(token) {
-    try {
-      return jwt.verify(token, requireEnv("JWT_ACCESS_SECRET"));
-    } catch {
-      throw new UnauthorizedAppException("Invalid or expired access token");
-    }
-  }
-  verifyRefreshToken(token) {
-    try {
-      return jwt.verify(token, requireEnv("JWT_REFRESH_SECRET"));
-    } catch {
-      throw new UnauthorizedAppException("Invalid or expired refresh token");
-    }
-  }
-};
-
-// src/auth/jwt-auth.guard.ts
-import { Injectable } from "@nestjs/common";
-var JwtAuthGuard = class {
-  constructor() {
-    this.tokens = new TokenService();
-  }
-  canActivate(context) {
-    const req = context.switchToHttp().getRequest();
-    const header = req.headers.authorization;
-    const token = header?.startsWith("Bearer ") ? header.slice("Bearer ".length) : void 0;
-    if (!token) {
-      throw new UnauthorizedAppException("Missing Authorization bearer token");
-    }
-    req.user = this.tokens.verifyAccessToken(token);
-    return true;
-  }
-};
-JwtAuthGuard = __decorateClass([
-  Injectable()
-], JwtAuthGuard);
-
 // src/auth/roles.decorator.ts
 import { SetMetadata } from "@nestjs/common";
 var ROLES_KEY = "nestkit:roles";
 var Roles = (...roles) => SetMetadata(ROLES_KEY, roles);
 
 // src/auth/roles.guard.ts
-import { Injectable as Injectable2 } from "@nestjs/common";
+import { Injectable } from "@nestjs/common";
 import "@nestjs/core";
 var RolesGuard = class {
   constructor(reflector) {
@@ -103,23 +51,17 @@ var RolesGuard = class {
   }
 };
 RolesGuard = __decorateClass([
-  Injectable2()
+  Injectable()
 ], RolesGuard);
 
-// src/auth/current-user.decorator.ts
-import { createParamDecorator } from "@nestjs/common";
-var CurrentUser = createParamDecorator(
-  (_, ctx) => ctx.switchToHttp().getRequest().user
-);
-
 // src/auth/current-tenant.decorator.ts
-import { createParamDecorator as createParamDecorator2 } from "@nestjs/common";
-var CurrentTenant = createParamDecorator2(
+import { createParamDecorator } from "@nestjs/common";
+var CurrentTenant = createParamDecorator(
   (_, ctx) => ctx.switchToHttp().getRequest().user?.tenantId
 );
 
 // src/auth/require-tenant.guard.ts
-import { Injectable as Injectable3 } from "@nestjs/common";
+import { Injectable as Injectable2 } from "@nestjs/common";
 var RequireTenantGuard = class {
   canActivate(context) {
     const req = context.switchToHttp().getRequest();
@@ -130,7 +72,7 @@ var RequireTenantGuard = class {
   }
 };
 RequireTenantGuard = __decorateClass([
-  Injectable3()
+  Injectable2()
 ], RequireTenantGuard);
 
 // src/auth/auth.dto.ts

package/dist/auth/oauth/http.d.ts

@@ -0,0 +1,38 @@
+/**
+ * The little the OAuth controller needs from the HTTP layer, described
+ * structurally so the module works on Fastify and Express without depending
+ * on either.
+ *
+ * Cookie support is not built in on either adapter — the app has to register
+ * `@fastify/cookie` or `cookie-parser`. Fastify names the methods
+ * `setCookie`/`clearCookie`, Express names them `cookie`/`clearCookie`; the
+ * helpers below paper over exactly that difference and nothing else.
+ */
+export interface CookieOptions {
+    httpOnly?: boolean;
+    secure?: boolean;
+    sameSite?: 'lax' | 'strict' | 'none';
+    path?: string;
+    expires?: Date;
+}
+export interface ReplyLike {
+    redirect: ((url: string, statusCode?: number) => unknown) & ((...args: never[]) => unknown);
+    setCookie?(name: string, value: string, options?: CookieOptions): unknown;
+    cookie?(name: string, value: string, options?: CookieOptions): unknown;
+    clearCookie?(name: string, options?: CookieOptions): unknown;
+}
+export interface RequestLike {
+    cookies?: Record<string, string | undefined>;
+    query?: Record<string, unknown>;
+}
+export declare function setCookie(reply: ReplyLike, name: string, value: string, options: CookieOptions): void;
+export declare function clearCookie(reply: ReplyLike, name: string, options: CookieOptions): void;
+/**
+ * Redirects with an explicit 302.
+ *
+ * Not optional: Nest's Fastify adapter answers `reply.redirect(url)` with a
+ * 200 carrying a Location header, which no browser follows — the sign-in
+ * simply stops on a blank page. Express ignores the second argument when the
+ * first is a URL, so the same call is correct on both.
+ */
+export declare function redirect(reply: ReplyLike, url: string): void;