@miguelmorales13/nestkit 0.5.1 → 0.7.0

package/README.md

@@ -1,10 +1,19 @@
 # @miguelmorales13/nestkit
 
-Bloques de infraestructura reutilizables para servicios NestJS: i18n, manejo de errores,
-respuestas estandarizadas, tracking de requests, entidades base, CRUD genérico, y conexión a
-Postgres/Supabase (con el contrato listo para Mongo a futuro). Pensado para eliminar el boilerplate
+Bloques de infraestructura reutilizables para servicios NestJS. Pensado para eliminar el boilerplate
 que se repite al arrancar cada backend nuevo.
 
+**El esqueleto**: entidades base, `Repository<T>` y CRUD genérico, respuestas estandarizadas, manejo
+de errores, tracking de requests, i18n, y un `applyNestKitDefaults` que lo cablea todo en una línea.
+
+**Las conexiones**: Postgres (con aislamiento por tenant vía RLS) y Supabase — el contrato de Mongo
+está listo, la implementación no.
+
+**Las integraciones**, cada una en su subpath y sin arrastrar dependencias a quien no la use: acceso
+con Google o Facebook (`auth/oauth`) o con email y contraseña (`auth`), Stripe, Telegram, WhatsApp,
+Instagram y Facebook Pages (`meta`), subida de archivos (`storage`), email (Resend o Nodemailer) y
+lectura de analítica (`umami`).
+
 ## ¿Para qué proyectos es esto?
 
 **Sí**: cualquier proyecto NestJS nuevo que arranque con el patrón hexagonal/ports-and-adapters
@@ -31,16 +40,30 @@ tu proyecto realmente use:
 |---------------------|------------------|
 | `@nestjs/common`, `@nestjs/core`, `reflect-metadata`, `rxjs` | `pg` → `./database/postgres` |
 | | `@supabase/supabase-js` → `./database/supabase` |
-| | `helmet`, `@nestjs/swagger` → `./bootstrap` (`applyNestKitDefaults`) |
+| | `helmet`, `@nestjs/swagger` → `./bootstrap` |
+| | `telegraf` → `./telegram` |
+| | `stripe` → `./stripe` |
+| | `resend` → `./email/resend` |
+| | `nodemailer` → `./email/nodemailer` |
+| | `@aws-sdk/client-s3`, `@aws-sdk/lib-storage`, `@aws-sdk/s3-request-presigner` → `./storage` (solo el adaptador S3) |
 
 ```bash
 bun add @nestjs/common @nestjs/core reflect-metadata rxjs
 bun add pg                          # si usas ./database/postgres
 bun add @supabase/supabase-js       # si usas ./database/supabase
 bun add helmet @nestjs/swagger      # si usas ./bootstrap
+bun add telegraf                    # si usas ./telegram
+bun add stripe                      # si usas ./stripe
 bun add class-validator class-transformer  # requeridos en runtime por ValidationPipe
 ```
 
+`meta`, `media`, `umami` y `auth/oauth` no piden nada extra: hablan con sus APIs por el `fetch` del
+runtime. `auth/oauth` sí necesita cookies en el adaptador HTTP de tu app —`@fastify/cookie` o
+`cookie-parser`—, que es tuyo, no del paquete.
+
+`bcryptjs` y `jsonwebtoken` (los usan `auth` y `auth/oauth`) van como dependencias normales, ocultas:
+no los instalas ni los importas vos.
+
 ## Quickstart (`main.ts`)
 
 ```ts
@@ -209,6 +232,31 @@ hace que Row-Level-Security de Postgres vea el usuario correcto: abre una transa
 commit/rollback — **cualquier query que dependa de una policy RLS basada en `auth.uid()` debe pasar
 por aquí**, `pool.query()` directo no aplica el `set_config` y verá (o no verá) filas incorrectamente.
 
+### `database/typeorm` — DataSource + RLS por tenant, para el que quiere ORM
+
+Mismo modelo que `database/postgres`, pero con **TypeORM** para quien prefiere entidades,
+repositorios y migraciones del ORM. `TypeOrmDbModule.forRoot({ entities, migrations })` provee un
+`DataSource` inicializado bajo el token `DATA_SOURCE` (`type: 'postgres'` fijo, `synchronize`
+siempre apagado — los cambios de esquema van por migraciones, jamás por auto-sync). Funciona con
+cualquier Postgres, incluido **Neon**.
+
+Lo importante para multi-tenant: el pool del ORM no tiene sesión por-request, así que la RLS no
+vería el tenant. Por eso este subpath trae su propio **`withTenantScope(dataSource, session, fn)`**,
+que abre un QueryRunner, corre `set_config(name, value, true)` por cada variable de sesión, y te pasa
+el `EntityManager` **atado a esa conexión y transacción** — dentro, `manager.getRepository(X).find()`
+corre con la RLS aplicada; fuera, no. Es el equivalente en TypeORM del `withTenantScope` de `pg`, y
+está probado: con una policy sobre un GUC, cada tenant ve solo lo suyo y sin scope no ve nada.
+
+```ts
+await withTenantScope(dataSource, {
+  'request.jwt.claim.sub': userId,
+  'request.jwt.claim.tenant': tenantId,
+}, (manager) => manager.getRepository(Order).find());
+```
+
+Peer dep opcional: `typeorm` (solo si se usa este módulo). Elegí ESTE o `database/postgres`, no los
+dos a la vez — son dos formas de lo mismo.
+
 ### `database/supabase` — clientes anon y service-role
 
 ```ts
@@ -449,6 +497,44 @@ razonable para la Cloud API, que de todos modos es un REST plano, así que `What
 `fetch` global de Node (18+) directo. Solo manda mensajes de texto (`sendTextMessage`) — sin
 templates, sin media, sin manejo de mensajes entrantes.
 
+### `meta` — publicar en Instagram y Facebook Pages
+
+Cliente de salida sobre la Graph API, solo para publicar: no lee insights, ni maneja webhooks, ni
+comentarios. Mismo alcance que `telegram`.
+
+```ts
+import { MetaModule } from '@miguelmorales13/nestkit/meta';
+
+@Module({ imports: [MetaModule.forRoot()] })   // lee META_ACCESS_TOKEN, META_PAGE_ID, META_IG_USER_ID
+export class AppModule {}
+```
+
+```ts
+await meta.publishToInstagram(url, 'Texto del pie', 'feed');  // 'feed' | 'stories' | 'reels'
+await meta.publishToPage(url, 'Texto');
+await meta.publishStoryToPage(url);
+await meta.describe();   // a qué cuenta apunta el token, para diagnosticar
+```
+
+Dos cosas de esta API mandan sobre todo lo demás, y conviene saberlas antes:
+
+**Las imágenes nunca se suben.** Se pasa una URL pública y Meta la descarga. Solo la necesita
+durante la publicación —después guarda su propia copia y sirve el archivo desde su CDN—, así que
+alcanza con un hosting efímero. Para eso está `media`, en este mismo paquete.
+
+**Publicar en una Página exige un Page token, no un user token.** Con un token de usuario Meta
+asume que estás posteando como persona y pide `publish_actions`, un permiso que eliminó en 2018, así
+que el error que devuelve no apunta ni de cerca a la causa real.
+
+Permisos: `instagram_basic` e `instagram_content_publish` para Instagram, `pages_manage_posts` para
+Facebook. Publicar en tus propias Páginas no necesita App Review; hacerlo en nombre de terceros sí.
+
+Instagram publica en dos pasos (crear contenedor, publicar) y el servicio espera solo a que el
+contenedor esté listo — no hace falta encadenarlo a mano.
+
+`forRoot()` sin argumentos toma las credenciales del entorno; pasándoselas explícitas se puede tener
+un proceso publicando en varias cuentas.
+
 ### `stripe` — cliente de la SDK oficial
 
 ```ts
@@ -628,6 +714,81 @@ necesitás otra lógica de roles al alta (ej. el primer usuario de un tenant nue
 `BaseAuthService` y sobreescribí `register()`, o llamá `users.create()` directo con los roles que
 quieras desde tu propio controller.
 
+### `auth/oauth` — entrar con Google o Facebook, sin Passport
+
+Lo de arriba es email + contraseña. Esto es lo otro: alta y acceso delegados a un proveedor,
+vinculación de cuentas, y sesiones con refresh rotativo de un solo uso guardado hasheado. Son
+módulos separados y se pueden usar los dos, uno, o ninguno.
+
+**No usa Passport, a propósito.** Su paso de redirección llama a `res.setHeader()`, que no existe
+en el reply de Fastify, así que el inicio del flujo hay que armarlo a mano igual; y su mapeo de
+perfiles es una tabla de traducción no documentada que reenvía tal cual los nombres de campo que no
+reconoce —así es como `photos.type(large)` llega a la Graph API de Facebook pidiendo los álbumes
+subidos por la persona, que necesitan un permiso que la app no tiene, y el callback muere con un
+500. El flujo entero son unas cuarenta líneas de `fetch` y cada campo que se manda se ve en
+`oauth-provider.ts`.
+
+Un proveedor es un objeto, no una clase que heredar: agregar Apple o GitHub es declarar cuatro URLs
+y una función que mapee su JSON a `OAuthProfile`.
+
+```ts
+import {
+  OAuthAuthModule, OAUTH_STORE, REFRESH_TOKEN_STORE,
+  googleProvider, facebookProvider, createOAuthController,
+} from '@miguelmorales13/nestkit/auth/oauth';
+
+@Module({
+  imports: [
+    MiStoreModule,                       // exporta la clase que implementa los puertos
+    OAuthAuthModule.forRoot({
+      imports: [MiStoreModule],
+      providers: [
+        { provide: OAUTH_STORE, useExisting: MiStore },
+        { provide: REFRESH_TOKEN_STORE, useExisting: MiStore },
+      ],
+      options: {
+        providers: [googleProvider(), facebookProvider()],
+        webUrl: process.env.WEB_URL!,
+        cookie: { path: '/api/auth' },   // acotá la cookie a las rutas que la usan
+        mapUser: (u) => ({ id: u.id, email: u.email, name: u.name }),
+      },
+    }),
+  ],
+  controllers: [class AuthController extends createOAuthController() {}],
+})
+export class AuthModule {}
+```
+
+Eso da `GET /auth/:provider`, `GET /auth/:provider/callback`, `POST /auth/refresh`,
+`POST /auth/logout`, `GET /auth/me`, `GET /auth/linked-accounts` y `POST /auth/link-intent`. El
+proveedor va como parámetro de ruta y no una pareja de rutas por proveedor, así que sumar Apple
+después toca solo configuración.
+
+**Los dos puertos van separados** (`OAuthStorePort` para identidades, `RefreshTokenStorePort` para
+sesiones) porque responden preguntas distintas y un proyecto puede querer las sesiones en Redis. Si
+van a la misma base, una sola clase implementa los dos y se atan con `useExisting`, como arriba.
+
+`revokeIfActive` **tiene que ser atómico** —un UPDATE condicional, no un leer-y-escribir—: esa
+fila es lo único que impide que un refresh token robado se use dos veces.
+
+Personalizable sin tocar la librería: nombre y path de la cookie, TTLs, `sameSite`, a dónde vuelve
+el navegador tras entrar / fallar / vincular, si un login cierra las demás sesiones
+(`singleSession`, por defecto sí), qué campos del usuario salen por la API (`mapUser`), el guard de
+las rutas con sesión (`guard`, si la app ya tiene el suyo) y todos los textos que ve el usuario.
+
+`syncProfile` es la opción que casi siempre hay que pasar en cuanto la app deja elegir foto de
+perfil: por defecto resincroniza nombre y foto del proveedor en cada login, lo que deshace en
+silencio la elección de la persona la próxima vez que entre.
+
+Sin email no hay alta. Facebook puede legítimamente no darlo —cuenta registrada con teléfono, o
+permiso retirado en la pantalla de consentimiento—, y en ese caso se corta con un mensaje que la
+persona puede accionar, no con un fallo interno. `OAuthCallbackFilter` se encarga de que cualquier
+error del callback devuelva al navegador a la pantalla de acceso: sin él la persona se queda
+mirando un JSON en una página en blanco, porque no llegó ahí por una petición de la app sino
+redirigida desde el proveedor.
+
+Requiere cookies en el adaptador HTTP: `@fastify/cookie` o `cookie-parser`.
+
 ### `email/resend` y `email/nodemailer` — dos transportes, elegís uno por proyecto
 
 Mismo patrón que `database/postgres` vs `database/supabase`: dos módulos independientes, no una
@@ -724,6 +885,82 @@ Bunny y local no requieren nada extra. Variables de entorno reconocidas: `STORAG
 Storage (no hay firma que oculte la contraseña de la zona); en esos casos se sube por la API, o se
 usa Bunny Stream/TUS para video grande.
 
+### `media` — hosting efímero para APIs que descargan por URL
+
+No es almacenamiento. Es el complemento de `meta`: existe porque hay APIs —la de Meta es el caso
+típico— que **rechazan el binario** y exigen bajarse el archivo ellas mismas, pero solo lo necesitan
+durante la llamada. Sin algo así, el apaño habitual es commitear las imágenes al repositorio, que
+las conserva para siempre por una URL que importó un minuto.
+
+```ts
+import { MediaModule } from '@miguelmorales13/nestkit/media';
+
+MediaModule.forRoot({
+  publicUrl: 'https://api.tuapp.com/api',   // ¡con el prefijo global!
+  uploadSecret: process.env.MEDIA_SECRET,
+  ttlMs: 60 * 60 * 1000,                    // por defecto una hora
+})
+```
+
+Expone `POST /media` (devuelve `{ url }`) y `GET /media/:id`. La subida va protegida con un secreto
+compartido en la cabecera `x-media-secret`, no con un JWT, porque quien llama es un job de CI y no
+una persona con sesión; sin él cualquiera podría alojar contenido arbitrario en tu dominio. La
+descarga es pública a propósito: los servicios que consumen estas URLs las piden sin credenciales.
+
+**Vive en memoria, a propósito.** Entre guardar y publicar pasan segundos, así que un reinicio en el
+medio solo significa reintentar, y no queda nada en disco. Si necesitás que los archivos sobrevivan
+a un reinicio, esta es la herramienta equivocada: usá `storage`.
+
+Dos errores que cuestan una tarde:
+
+- `publicUrl` **tiene que incluir el prefijo global** de la app. Sin él la URL cae en lo que sirva el
+  frontend, que responde 200 con una página HTML, y el consumidor se descarga eso en vez del archivo.
+- Fastify solo parsea JSON de fábrica. Sin registrar un parser para los tipos que vas a aceptar, la
+  subida responde 415:
+
+```ts
+app.getHttpAdapter().getInstance().addContentTypeParser(
+  /^image\//, { parseAs: 'buffer' }, (_req, body, done) => done(null, body),
+)
+```
+
+### `umami` — leer la API de analítica
+
+Solo lee. Los eventos los manda el script del navegador; un backend escribiéndolos estaría
+reportando tráfico que nunca ocurrió.
+
+```ts
+import { UmamiModule, UmamiService } from '@miguelmorales13/nestkit/umami';
+
+UmamiModule.forRoot({
+  apiKey: process.env.UMAMI_API_KEY,        // Umami Cloud: Settings → API Keys
+  websiteId: process.env.UMAMI_WEBSITE_ID,
+  timezone: 'America/Mexico_City',
+  // baseUrl: 'https://tu-host/api',        // solo si es self-hosted
+})
+```
+
+```ts
+const rango = UmamiService.lastDays(7);
+await umami.stats(rango);                   // visitantes, pageviews, visitas, rebotes
+await umami.metrics('referrer', rango, 5);  // top 5 de dónde llegan
+await umami.eventCount('registro', rango);  // cuántas veces disparó un evento
+```
+
+**Todos los métodos devuelven `null` en vez de lanzar** cuando la llamada falla. Un resumen suele
+pedir varias cosas a la vez, y que un endpoint esté caído no debería llevarse el reporte entero; quien
+llama decide qué significa un bloque ausente. Los fallos se loguean, así que uno persistente sigue
+siendo visible.
+
+`eventCount` distingue `0` de `null` a propósito: uno es «nadie lo hizo», el otro es «no sabemos».
+
+`timezone` no es opcional en la práctica. Umami agrupa por día en esa zona, y dejarlo sin poner
+reporta días UTC en silencio — que fuera de UTC significa un «día» que empieza a media tarde.
+
+Deliberadamente no opina sobre qué significan los números: qué eventos forman un embudo, cómo
+llamarlos y cómo redactar un reporte son decisiones de producto que cambian por proyecto. Esto solo
+trae los datos.
+
 ## Subpaths disponibles
 
 | Subpath | Qué trae |
@@ -735,12 +972,17 @@ usa Bunny Stream/TUS para video grande.
 | `@miguelmorales13/nestkit/tracking` | `RequestContext`, `RequestIdMiddleware`, `TrackingModule` |
 | `@miguelmorales13/nestkit/crud` | `Repository<T>`, `BaseCrudService`, `createCrudController` |
 | `@miguelmorales13/nestkit/database/postgres` | `PgModule`, `PG_POOL`, `withTenantScope` |
+| `@miguelmorales13/nestkit/database/typeorm` | `TypeOrmDbModule`, `DATA_SOURCE`, `withTenantScope` |
 | `@miguelmorales13/nestkit/database/supabase` | `SupabaseModule`, `SUPABASE_ANON_CLIENT`, `SUPABASE_SERVICE_ROLE_CLIENT` |
 | `@miguelmorales13/nestkit/database/mongo` | Solo el contrato `MongoRepositoryPort` — sin implementación |
 | `@miguelmorales13/nestkit/telegram` | `TelegramModule`, `TELEGRAM_BOT` |
 | `@miguelmorales13/nestkit/whatsapp` | `WhatsAppModule`, `WHATSAPP_CLIENT`, `WhatsAppClient` |
+| `@miguelmorales13/nestkit/meta` | `MetaModule`, `MetaService` — publicar en Instagram y Facebook Pages |
+| `@miguelmorales13/nestkit/media` | `MediaModule`, `MediaService` — hosting efímero en memoria |
 | `@miguelmorales13/nestkit/stripe` | `StripeModule`, `STRIPE_CLIENT`, `createStripeWebhookController` |
 | `@miguelmorales13/nestkit/auth` | `AuthUserPort`, `BaseAuthService`, `createAuthController`, `TokenService`, `JwtAuthGuard`, `RolesGuard`, `RequireTenantGuard`, `CurrentUser`, `CurrentTenant`, `Roles` |
+| `@miguelmorales13/nestkit/auth/oauth` | `OAuthAuthModule`, `OAuthAuthService`, `createOAuthController`, `googleProvider`, `facebookProvider`, `OAuthStorePort`, `RefreshTokenStorePort` |
+| `@miguelmorales13/nestkit/umami` | `UmamiModule`, `UmamiService` — lectura de la API de analítica |
 | `@miguelmorales13/nestkit/storage` | `StorageModule`, `STORAGE`, `StoragePort`, adaptadores `LocalStorage`/`S3Storage`/`BunnyStorage` |
 | `@miguelmorales13/nestkit/email/resend` | `ResendModule`, `RESEND_CLIENT` |
 | `@miguelmorales13/nestkit/email/nodemailer` | `NodemailerModule`, `NODEMAILER_TRANSPORT` |
@@ -749,5 +991,7 @@ usa Bunny Stream/TUS para video grande.
 
 ## Estado del paquete
 
-`0.5.1`. Sin adaptador Mongo real. Sin tests unitarios propios — es un paquete nuevo; la primera
-integración real (ej. en `hr-pymes-saas` o `cuota`) es la que ejercita el código de verdad.
+`0.7.0`. Sin adaptador Mongo real. Sin tests unitarios propios.
+
+`auth/oauth` y `umami` sí tienen un consumidor real: **nutrimx** corre su acceso con Google y
+Facebook sobre este módulo en producción. El resto sigue sin ejercitarse de verdad.

package/dist/auth/index.cjs

@@ -1,4 +1,9 @@
-"use strict";Object.defineProperty(exports, "__esModule", {value: true}); function _interopRequireDefault(obj) { return obj && obj.__esModule ? obj : { default: obj }; } function _nullishCoalesce(lhs, rhsFn) { if (lhs != null) { return lhs; } else { return rhsFn(); } } function _optionalChain(ops) { let lastAccessLHS = undefined; let value = ops[0]; let i = 1; while (i < ops.length) { const op = ops[i]; const fn = ops[i + 1]; i += 2; if ((op === 'optionalAccess' || op === 'optionalCall') && value == null) { return undefined; } if (op === 'access' || op === 'optionalAccess') { lastAccessLHS = value; value = fn(value); } else if (op === 'call' || op === 'optionalCall') { value = fn((...args) => value.call(lastAccessLHS, ...args)); lastAccessLHS = undefined; } } return value; }
+"use strict";Object.defineProperty(exports, "__esModule", {value: true}); function _nullishCoalesce(lhs, rhsFn) { if (lhs != null) { return lhs; } else { return rhsFn(); } } function _optionalChain(ops) { let lastAccessLHS = undefined; let value = ops[0]; let i = 1; while (i < ops.length) { const op = ops[i]; const fn = ops[i + 1]; i += 2; if ((op === 'optionalAccess' || op === 'optionalCall') && value == null) { return undefined; } if (op === 'access' || op === 'optionalAccess') { lastAccessLHS = value; value = fn(value); } else if (op === 'call' || op === 'optionalCall') { value = fn((...args) => value.call(lastAccessLHS, ...args)); lastAccessLHS = undefined; } } return value; }
+
+
+
+var _chunkNVCI3CQIcjs = require('../chunk-NVCI3CQI.cjs');
+
 
 
 
@@ -19,65 +24,8 @@ function verifyPassword(plain, passwordHash) {
   return _bcryptjs.compare.call(void 0, plain, passwordHash);
 }
 
-// src/auth/token.service.ts
-var _jsonwebtoken = require('jsonwebtoken'); var _jsonwebtoken2 = _interopRequireDefault(_jsonwebtoken);
-function requireEnv(name) {
-  const value = process.env[name];
-  if (!value) {
-    throw new Error(`TokenService: ${name} environment variable is not set`);
-  }
-  return value;
-}
-var TokenService = class {
-  signAccessToken(payload) {
-    return _jsonwebtoken2.default.sign(payload, requireEnv("JWT_ACCESS_SECRET"), {
-      expiresIn: _nullishCoalesce(process.env.JWT_ACCESS_EXPIRES_IN, () => ( "15m"))
-    });
-  }
-  signRefreshToken(payload) {
-    return _jsonwebtoken2.default.sign(payload, requireEnv("JWT_REFRESH_SECRET"), {
-      expiresIn: _nullishCoalesce(process.env.JWT_REFRESH_EXPIRES_IN, () => ( "30d"))
-    });
-  }
-  verifyAccessToken(token) {
-    try {
-      return _jsonwebtoken2.default.verify(token, requireEnv("JWT_ACCESS_SECRET"));
-    } catch (e) {
-      throw new (0, _chunkFDNGAYTZcjs.UnauthorizedAppException)("Invalid or expired access token");
-    }
-  }
-  verifyRefreshToken(token) {
-    try {
-      return _jsonwebtoken2.default.verify(token, requireEnv("JWT_REFRESH_SECRET"));
-    } catch (e2) {
-      throw new (0, _chunkFDNGAYTZcjs.UnauthorizedAppException)("Invalid or expired refresh token");
-    }
-  }
-};
-
-// src/auth/jwt-auth.guard.ts
-var _common = require('@nestjs/common');
-var JwtAuthGuard = class {
-  constructor() {
-    this.tokens = new TokenService();
-  }
-  canActivate(context) {
-    const req = context.switchToHttp().getRequest();
-    const header = req.headers.authorization;
-    const token = _optionalChain([header, 'optionalAccess', _2 => _2.startsWith, 'call', _3 => _3("Bearer ")]) ? header.slice("Bearer ".length) : void 0;
-    if (!token) {
-      throw new (0, _chunkFDNGAYTZcjs.UnauthorizedAppException)("Missing Authorization bearer token");
-    }
-    req.user = this.tokens.verifyAccessToken(token);
-    return true;
-  }
-};
-JwtAuthGuard = exports.JwtAuthGuard = _chunk2REOCMUDcjs.__decorateClass.call(void 0, [
-  _common.Injectable.call(void 0, )
-], JwtAuthGuard);
-
 // src/auth/roles.decorator.ts
-
+var _common = require('@nestjs/common');
 var ROLES_KEY = "nestkit:roles";
 var Roles = (...roles) => _common.SetMetadata.call(void 0, ROLES_KEY, roles);
 
@@ -95,7 +43,7 @@ var RolesGuard = class {
     ]);
     if (!required || required.length === 0) return true;
     const req = context.switchToHttp().getRequest();
-    const has = _nullishCoalesce(_optionalChain([req, 'access', _4 => _4.user, 'optionalAccess', _5 => _5.roles, 'access', _6 => _6.some, 'call', _7 => _7((role) => required.includes(role))]), () => ( false));
+    const has = _nullishCoalesce(_optionalChain([req, 'access', _2 => _2.user, 'optionalAccess', _3 => _3.roles, 'access', _4 => _4.some, 'call', _5 => _5((role) => required.includes(role))]), () => ( false));
     if (!has) {
       throw new (0, _chunkFDNGAYTZcjs.ForbiddenAppException)("Insufficient role");
     }
@@ -106,16 +54,10 @@ RolesGuard = exports.RolesGuard = _chunk2REOCMUDcjs.__decorateClass.call(void 0,
   _common.Injectable.call(void 0, )
 ], RolesGuard);
 
-// src/auth/current-user.decorator.ts
-
-var CurrentUser = _common.createParamDecorator.call(void 0, 
-  (_, ctx) => ctx.switchToHttp().getRequest().user
-);
-
 // src/auth/current-tenant.decorator.ts
 
 var CurrentTenant = _common.createParamDecorator.call(void 0, 
-  (_, ctx) => _optionalChain([ctx, 'access', _8 => _8.switchToHttp, 'call', _9 => _9(), 'access', _10 => _10.getRequest, 'call', _11 => _11(), 'access', _12 => _12.user, 'optionalAccess', _13 => _13.tenantId])
+  (_, ctx) => _optionalChain([ctx, 'access', _6 => _6.switchToHttp, 'call', _7 => _7(), 'access', _8 => _8.getRequest, 'call', _9 => _9(), 'access', _10 => _10.user, 'optionalAccess', _11 => _11.tenantId])
 );
 
 // src/auth/require-tenant.guard.ts
@@ -123,7 +65,7 @@ var CurrentTenant = _common.createParamDecorator.call(void 0,
 var RequireTenantGuard = class {
   canActivate(context) {
     const req = context.switchToHttp().getRequest();
-    if (!_optionalChain([req, 'access', _14 => _14.user, 'optionalAccess', _15 => _15.tenantId])) {
+    if (!_optionalChain([req, 'access', _12 => _12.user, 'optionalAccess', _13 => _13.tenantId])) {
       throw new (0, _chunkFDNGAYTZcjs.ForbiddenAppException)("This action requires a company account");
     }
     return true;
@@ -164,7 +106,7 @@ _chunk2REOCMUDcjs.__decorateClass.call(void 0, [
 
 // src/auth/auth.service.ts
 var BaseAuthService = class {
-  constructor(users, tokens = new TokenService()) {
+  constructor(users, tokens = new (0, _chunkNVCI3CQIcjs.TokenService)()) {
     this.users = users;
     this.tokens = tokens;
   }
@@ -262,4 +204,4 @@ function createAuthController(serviceToken, options = {}) {
 
 
 
-exports.BaseAuthService = BaseAuthService; exports.CurrentTenant = CurrentTenant; exports.CurrentUser = CurrentUser; exports.JwtAuthGuard = JwtAuthGuard; exports.LoginDto = LoginDto; exports.ROLES_KEY = ROLES_KEY; exports.RefreshDto = RefreshDto; exports.RegisterDto = RegisterDto; exports.RequireTenantGuard = RequireTenantGuard; exports.Roles = Roles; exports.RolesGuard = RolesGuard; exports.TokenService = TokenService; exports.createAuthController = createAuthController; exports.hashPassword = hashPassword; exports.verifyPassword = verifyPassword;
+exports.BaseAuthService = BaseAuthService; exports.CurrentTenant = CurrentTenant; exports.CurrentUser = _chunkNVCI3CQIcjs.CurrentUser; exports.JwtAuthGuard = _chunkNVCI3CQIcjs.JwtAuthGuard; exports.LoginDto = LoginDto; exports.ROLES_KEY = ROLES_KEY; exports.RefreshDto = RefreshDto; exports.RegisterDto = RegisterDto; exports.RequireTenantGuard = RequireTenantGuard; exports.Roles = Roles; exports.RolesGuard = RolesGuard; exports.TokenService = _chunkNVCI3CQIcjs.TokenService; exports.createAuthController = createAuthController; exports.hashPassword = hashPassword; exports.verifyPassword = verifyPassword;

package/dist/auth/index.js

@@ -1,3 +1,8 @@
+import {
+  CurrentUser,
+  JwtAuthGuard,
+  TokenService
+} from "../chunk-A3B2EY4V.js";
 import {
   ConflictAppException,
   ForbiddenAppException,
@@ -19,70 +24,13 @@ function verifyPassword(plain, passwordHash) {
   return compare(plain, passwordHash);
 }
 
-// src/auth/token.service.ts
-import jwt from "jsonwebtoken";
-function requireEnv(name) {
-  const value = process.env[name];
-  if (!value) {
-    throw new Error(`TokenService: ${name} environment variable is not set`);
-  }
-  return value;
-}
-var TokenService = class {
-  signAccessToken(payload) {
-    return jwt.sign(payload, requireEnv("JWT_ACCESS_SECRET"), {
-      expiresIn: process.env.JWT_ACCESS_EXPIRES_IN ?? "15m"
-    });
-  }
-  signRefreshToken(payload) {
-    return jwt.sign(payload, requireEnv("JWT_REFRESH_SECRET"), {
-      expiresIn: process.env.JWT_REFRESH_EXPIRES_IN ?? "30d"
-    });
-  }
-  verifyAccessToken(token) {
-    try {
-      return jwt.verify(token, requireEnv("JWT_ACCESS_SECRET"));
-    } catch {
-      throw new UnauthorizedAppException("Invalid or expired access token");
-    }
-  }
-  verifyRefreshToken(token) {
-    try {
-      return jwt.verify(token, requireEnv("JWT_REFRESH_SECRET"));
-    } catch {
-      throw new UnauthorizedAppException("Invalid or expired refresh token");
-    }
-  }
-};
-
-// src/auth/jwt-auth.guard.ts
-import { Injectable } from "@nestjs/common";
-var JwtAuthGuard = class {
-  constructor() {
-    this.tokens = new TokenService();
-  }
-  canActivate(context) {
-    const req = context.switchToHttp().getRequest();
-    const header = req.headers.authorization;
-    const token = header?.startsWith("Bearer ") ? header.slice("Bearer ".length) : void 0;
-    if (!token) {
-      throw new UnauthorizedAppException("Missing Authorization bearer token");
-    }
-    req.user = this.tokens.verifyAccessToken(token);
-    return true;
-  }
-};
-JwtAuthGuard = __decorateClass([
-  Injectable()
-], JwtAuthGuard);
-
 // src/auth/roles.decorator.ts
 import { SetMetadata } from "@nestjs/common";
 var ROLES_KEY = "nestkit:roles";
 var Roles = (...roles) => SetMetadata(ROLES_KEY, roles);
 
 // src/auth/roles.guard.ts
-import { Injectable as Injectable2 } from "@nestjs/common";
+import { Injectable } from "@nestjs/common";
 import "@nestjs/core";
 var RolesGuard = class {
   constructor(reflector) {
@@ -103,23 +51,17 @@ var RolesGuard = class {
   }
 };
 RolesGuard = __decorateClass([
-  Injectable2()
+  Injectable()
 ], RolesGuard);
 
-// src/auth/current-user.decorator.ts
-import { createParamDecorator } from "@nestjs/common";
-var CurrentUser = createParamDecorator(
-  (_, ctx) => ctx.switchToHttp().getRequest().user
-);
-
 // src/auth/current-tenant.decorator.ts
-import { createParamDecorator as createParamDecorator2 } from "@nestjs/common";
-var CurrentTenant = createParamDecorator2(
+import { createParamDecorator } from "@nestjs/common";
+var CurrentTenant = createParamDecorator(
   (_, ctx) => ctx.switchToHttp().getRequest().user?.tenantId
 );
 
 // src/auth/require-tenant.guard.ts
-import { Injectable as Injectable3 } from "@nestjs/common";
+import { Injectable as Injectable2 } from "@nestjs/common";
 var RequireTenantGuard = class {
   canActivate(context) {
     const req = context.switchToHttp().getRequest();
@@ -130,7 +72,7 @@ var RequireTenantGuard = class {
   }
 };
 RequireTenantGuard = __decorateClass([
-  Injectable3()
+  Injectable2()
 ], RequireTenantGuard);
 
 // src/auth/auth.dto.ts

package/dist/auth/oauth/http.d.ts

@@ -0,0 +1,38 @@
+/**
+ * The little the OAuth controller needs from the HTTP layer, described
+ * structurally so the module works on Fastify and Express without depending
+ * on either.
+ *
+ * Cookie support is not built in on either adapter — the app has to register
+ * `@fastify/cookie` or `cookie-parser`. Fastify names the methods
+ * `setCookie`/`clearCookie`, Express names them `cookie`/`clearCookie`; the
+ * helpers below paper over exactly that difference and nothing else.
+ */
+export interface CookieOptions {
+    httpOnly?: boolean;
+    secure?: boolean;
+    sameSite?: 'lax' | 'strict' | 'none';
+    path?: string;
+    expires?: Date;
+}
+export interface ReplyLike {
+    redirect: ((url: string, statusCode?: number) => unknown) & ((...args: never[]) => unknown);
+    setCookie?(name: string, value: string, options?: CookieOptions): unknown;
+    cookie?(name: string, value: string, options?: CookieOptions): unknown;
+    clearCookie?(name: string, options?: CookieOptions): unknown;
+}
+export interface RequestLike {
+    cookies?: Record<string, string | undefined>;
+    query?: Record<string, unknown>;
+}
+export declare function setCookie(reply: ReplyLike, name: string, value: string, options: CookieOptions): void;
+export declare function clearCookie(reply: ReplyLike, name: string, options: CookieOptions): void;
+/**
+ * Redirects with an explicit 302.
+ *
+ * Not optional: Nest's Fastify adapter answers `reply.redirect(url)` with a
+ * 200 carrying a Location header, which no browser follows — the sign-in
+ * simply stops on a blank page. Express ignores the second argument when the
+ * first is a URL, so the same call is correct on both.
+ */
+export declare function redirect(reply: ReplyLike, url: string): void;