@neetru/sdk 3.4.2 → 3.4.4

package/CHANGELOG.md

@@ -5,6 +5,43 @@ All notable changes to `@neetru/sdk` will be documented in this file.
 The format is based on [Keep a Changelog](https://keepachangelog.com/en/1.1.0/),
 and this project adheres to [Semantic Versioning](https://semver.org/spec/v2.0.0.html).
 
+## [3.4.4] - 2026-09-07 — **fix(checkout): aceitar id_token no padrão BFF/cookie (desbloqueia checkout PAGO)**
+
+Release **patch** (correção de bug que bloqueava 100% do checkout PAGO no padrão BFF/cookie; aditivos opcionais retrocompatíveis, nenhuma remoção de API, nenhuma mudança de wire além de um header aceito a mais). Bug `bug_72ccf42065304d3384aa3ed09accef8d` (HIGH).
+
+### Contexto
+
+No padrão **BFF/cookie** (recomendado), o app troca `code`→tokens **no servidor**, guarda só o **id_token** num cookie **httpOnly** e **descarta o access_token** — então o browser NUNCA tem o access_token. Mas `checkout.start()` / `<CheckoutLink>` exigiam o access_token no browser, tornando impossível iniciar o checkout PAGO nesse padrão (só o `MockCheckout` de dev "funcionava"). O Core passou a aceitar o **id_token** no endpoint de checkout (via `verifyEndUserIdToken`, mesma validação forte de assinatura/kid/iss/exp da barra de conta), então o SDK agora expõe o caminho BFF.
+
+### Corrigido
+
+- **`checkout.start()` / `get()` / `cancel()` aceitam `idToken`** além de `accessToken`. O helper de auth manda o token que houver no header `Bearer` (o Core resolve se é access_token ou id_token). Quando ambos vêm, `accessToken` tem prioridade (é revogável no servidor). Sem nenhum dos dois, continua lançando `validation_failed` sem tocar a rede.
+
+### Adicionado (aditivo, opcional)
+
+- **`CheckoutStartInput.idToken?` / `CheckoutAuthOpts.idToken?`** — id_token OIDC do usuário final para o padrão BFF/cookie.
+- **`<CheckoutLink startPath="/api/checkout/start">`** — novo modo BFF: o clique faz `POST` no route do PRÓPRIO app (same-origin, `credentials: 'include'` → manda o cookie httpOnly), que inicia o checkout server-side e devolve `{ redirectUrl }`. O `client` vira **opcional** neste modo (o browser não precisa de token nem de client). O modo legado `client.checkout.start()` (client-side, browser com token) segue intacto.
+
+### Padrão BFF suportado
+
+Ver `docs/CHECKOUT_BFF.md` — passo a passo canônico do checkout num app BFF/cookie (o que o produto tem que fazer: route BFF que lê o id_token do cookie e chama `client.checkout.start({ ..., idToken })`, + `<CheckoutLink startPath=...>` no client).
+
+## [3.4.3] - 2026-09-07 — **build-guard força pg + drizzle-orm no trace do standalone (causa-2 outage PDV 2026-09-07)**
+
+Release **patch** (só correção de build; nada de wire, nada removido da API). Fase 2 do conserto do outage do PDV.
+
+### Corrigido
+
+- **`withNeetruBuildGuard` força o FECHO TRANSITIVO de `pg` + `drizzle-orm` no trace do `output: 'standalone'`** — `client.db.sql` carrega `pg` e `drizzle-orm/node-postgres` por `import()` dinâmico com `webpackIgnore` (server-only, pra `pg` nunca vazar `fs`/`tls`/`net` pro bundle do browser). O efeito colateral era invisível: o trace estático do Next (`@vercel/nft`) não enxerga esses `import()`, então num standalone enxuto `pg` e todo o closure dele **não eram copiados** pra `.next/standalone/node_modules` → runtime `Cannot find package 'pg'` (e, depois de forçar só o dir do `pg`, `Cannot find module 'postgres-array'`). Causa-2 do outage do PDV de 2026-09-07. O guard agora injeta duas chaves no `next.config`:
+  - `outputFileTracingIncludes: { '*': [...closure] }` **(o conserto real)** — computa PROGRAMATICAMENTE o fecho transitivo de runtime de `pg` + `drizzle-orm` a partir do node_modules instalado do produto e emite um glob `./node_modules/<pkg>/**` por pacote do closure: `pg → pg-pool/pg-protocol/pg-types/pg-connection-string/pgpass → postgres-array/postgres-bytea/postgres-date/postgres-interval/pg-int8 → …` (+ optional `pg-cloudflare`). O walker lê `package.json` **direto do filesystem** (não `require.resolve`, que dá `ERR_PACKAGE_PATH_NOT_EXPORTED` em pacotes com `exports` fechando `./package.json` — `drizzle-orm`/`pg-protocol`/`pg-pool` fazem isso), com poda de ciclo e skip gracioso de dep faltando. Chave `'*'` casa todas as rotas.
+  - `serverExternalPackages: [...existentes, 'pg', 'drizzle-orm']` **(reforço)** — inofensivo e ajuda caminhos de import VISÍVEIS ao nft, mas **NÃO conserta** o caso `webpackIgnore` (o `import()` é invisível ao nft, então `serverExternalPackages` sozinho não copia `pg` nem o closure — por isso o glob computado é o que resolve).
+
+  Ambas MESCLAM (concat + dedupe) com o que o produto já tiver — nunca sobrescrevem. Só o caminho de produção (`pg` + `drizzle-orm`); `pglite`/`pg-mem` (mock/teste) NÃO entram. Produto **sem SQL**: `pg`/`drizzle-orm` não resolvem → closure `[]` → nenhuma chave adicionada → **zero peso morto**. Programático (não glob fixo) DE PROPÓSITO: os transitivos ficam HOISTADOS na raiz (npm 7+), então `./node_modules/pg/**` sozinho não os cobre — à prova de whack-a-mole. Chaves canônicas do Next 15 (todo o ecossistema Neetru). Roda no BUILD do produto, não em runtime. Verificado contra o artefato ESM buildado: closure de 15 pacotes, `./node_modules/postgres-array/**` presente.
+
+### Manutenção
+
+- **Sincroniza `VERSION` (`src/index.ts`) com `package.json`** — a release 3.4.2 bumpou o `package.json` mas esqueceu a const `VERSION` (ficou em `3.4.1`), o que reprovava o drift-guard (`version-and-export-surface`). Realinhado em `3.4.3`.
+
 ## [3.4.2] - 2026-09-06 — **barra de conta (app-switcher) + build-guard OIDC de PROD + pool SQL tunável**
 
 Release **patch** (tudo aditivo/retrocompatível: nova superfície opcional, guard só-prod, tuning de pool). Nenhuma mudança de wire, nenhuma remoção de API.

package/dist/ai.d.cts

@@ -1,3 +1,3 @@
-export { A as AiChatChoice, a as AiChatMessage, b as AiChatOptions, c as AiChatResult, d as AiChatUsage, e as AiContentPart, f as AiImageUrlPart, g as AiNamespace, h as AiResponseFormat, i as AiStreamHandle, j as AiStreamMeta, k as AiTextPart, aJ as createAiNamespace } from './types-D-QdG502.cjs';
+export { A as AiChatChoice, a as AiChatMessage, b as AiChatOptions, c as AiChatResult, d as AiChatUsage, e as AiContentPart, f as AiImageUrlPart, g as AiNamespace, h as AiResponseFormat, i as AiStreamHandle, j as AiStreamMeta, k as AiTextPart, aJ as createAiNamespace } from './types-Dw0fqhHm.cjs';
 import 'drizzle-orm/node-postgres';
 import './errors.cjs';

package/dist/ai.d.ts

@@ -1,3 +1,3 @@
-export { A as AiChatChoice, a as AiChatMessage, b as AiChatOptions, c as AiChatResult, d as AiChatUsage, e as AiContentPart, f as AiImageUrlPart, g as AiNamespace, h as AiResponseFormat, i as AiStreamHandle, j as AiStreamMeta, k as AiTextPart, aJ as createAiNamespace } from './types-BlOLDMR0.js';
+export { A as AiChatChoice, a as AiChatMessage, b as AiChatOptions, c as AiChatResult, d as AiChatUsage, e as AiContentPart, f as AiImageUrlPart, g as AiNamespace, h as AiResponseFormat, i as AiStreamHandle, j as AiStreamMeta, k as AiTextPart, aJ as createAiNamespace } from './types-Bzxb5rlF.js';
 import 'drizzle-orm/node-postgres';
 import './errors.js';

package/dist/auth.cjs

@@ -5576,14 +5576,15 @@ function createLazyCollectionRef(name, getDocsPromise) {
 // src/checkout.ts
 init_errors();
 init_http();
-function checkoutAuth(accessToken, method) {
-  if (!accessToken || typeof accessToken !== "string") {
+function checkoutAuth(auth, method) {
+  const token = auth?.accessToken || auth?.idToken;
+  if (!token || typeof token !== "string") {
     throw new NeetruError(
       "validation_failed",
-      `checkout.${method} requer o access_token OIDC do usu\xE1rio final (passe \`accessToken\`). A chave de API do SDK (nrt_*) N\xC3O \xE9 aceita pelo endpoint de checkout \u2014 ele autentica a identidade do cliente que est\xE1 assinando (Bearer access_token OIDC ou cookie de sess\xE3o).`
+      `checkout.${method} requer o access_token OU o id_token OIDC do usu\xE1rio final (passe \`accessToken\` ou \`idToken\`). A chave de API do SDK (nrt_*) N\xC3O \xE9 aceita pelo endpoint de checkout \u2014 ele autentica a identidade do cliente que est\xE1 assinando (Bearer access_token/id_token OIDC ou cookie de sess\xE3o). No padr\xE3o BFF/cookie, passe o \`idToken\` que seu servidor guardou no cookie httpOnly.`
     );
   }
-  return { requireAuth: false, headers: { authorization: `Bearer ${accessToken}` } };
+  return { requireAuth: false, headers: { authorization: `Bearer ${token}` } };
 }
 function parseStartResponse(raw) {
   if (!raw || typeof raw !== "object") {
@@ -5662,7 +5663,10 @@ function createHttpCheckoutNamespace(config) {
       };
       if (input.tenantType) body.targetTenantType = input.tenantType;
       if (input.tenantId) body.targetTenantId = input.tenantId;
-      const { requireAuth, headers } = checkoutAuth(input.accessToken, "start");
+      const { requireAuth, headers } = checkoutAuth(
+        { accessToken: input.accessToken, idToken: input.idToken },
+        "start"
+      );
       const raw = await httpRequest(config, {
         method: "POST",
         path: "/api/v1/checkout/intents",
@@ -5682,7 +5686,10 @@ function createHttpCheckoutNamespace(config) {
       if (!intentId || typeof intentId !== "string") {
         throw new NeetruError("validation_failed", "checkout.get: intentId is required");
       }
-      const { requireAuth, headers } = checkoutAuth(opts?.accessToken, "get");
+      const { requireAuth, headers } = checkoutAuth(
+        { accessToken: opts?.accessToken, idToken: opts?.idToken },
+        "get"
+      );
       const raw = await httpRequest(config, {
         method: "GET",
         path: `/api/v1/checkout/intents/${encodeURIComponent(intentId)}`,
@@ -5695,7 +5702,10 @@ function createHttpCheckoutNamespace(config) {
       if (!intentId || typeof intentId !== "string") {
         throw new NeetruError("validation_failed", "checkout.cancel: intentId is required");
       }
-      const { requireAuth, headers } = checkoutAuth(opts?.accessToken, "cancel");
+      const { requireAuth, headers } = checkoutAuth(
+        { accessToken: opts?.accessToken, idToken: opts?.idToken },
+        "cancel"
+      );
       const raw = await httpRequest(config, {
         method: "DELETE",
         path: `/api/v1/checkout/intents/${encodeURIComponent(intentId)}`,