@neetru/sdk 3.4.3 → 3.4.5

package/CHANGELOG.md

@@ -5,6 +5,46 @@ All notable changes to `@neetru/sdk` will be documented in this file.
 The format is based on [Keep a Changelog](https://keepachangelog.com/en/1.1.0/),
 and this project adheres to [Semantic Versioning](https://semver.org/spec/v2.0.0.html).
 
+## [3.4.5] - 2026-09-12 — **fix(telemetry): event()/track() usáveis no browser (401 silencioso em produção)**
+
+Release **patch** (correção de bug — `client.telemetry.event()`/`.track()` documentados como uso client-side de alta frequência, mas nunca funcionaram de fato no browser).
+
+### Contexto
+
+`event()`/`track()` só chamavam `POST /api/sdk/v1/telemetry/event`, que exige `Bearer` com `cli_api_keys` — credencial de operador que nunca deveria estar no browser. Resultado real em produção (achado 2026-09-09, `pdvagiliza.neetru.com`): 401 silencioso, telemetria de UI nunca persistida. Compondo o problema, `productSlug` nunca era enviado no body de nenhum dos dois métodos (só `log()` já mandava) — o Core exige `productSlug` fail-closed, então mesmo corrigindo a auth o evento seria rejeitado.
+
+### Corrigido
+
+- **`event()`/`track()` agora enviam `productSlug`** no body (`input.productSlug ?? config.productId`, mesmo default de `log()`/`usage.report()`).
+- **Roteamento browser vs server**: em contexto browser (`typeof window !== 'undefined'`), `event()`/`track()` chamam o novo `POST /api/sdk/v1/telemetry/event/public` do Core (sem Bearer — autoriza via `Origin`, não credencial). Server-side continua no endpoint autenticado original, sem mudança de comportamento.
+
+### Adicionado (aditivo, opcional)
+
+- **`TelemetryEventInput.productSlug?: string`** — override explícito, mesmo padrão de `TelemetryLogInput.productSlug`.
+
+Requer Core com a rota `/api/sdk/v1/telemetry/event/public` (PR companion `Neetru/neetru-core#448`) para o caminho browser funcionar; server-side não tem dependência nova.
+
+## [3.4.4] - 2026-09-07 — **fix(checkout): aceitar id_token no padrão BFF/cookie (desbloqueia checkout PAGO)**
+
+Release **patch** (correção de bug que bloqueava 100% do checkout PAGO no padrão BFF/cookie; aditivos opcionais retrocompatíveis, nenhuma remoção de API, nenhuma mudança de wire além de um header aceito a mais). Bug `bug_72ccf42065304d3384aa3ed09accef8d` (HIGH).
+
+### Contexto
+
+No padrão **BFF/cookie** (recomendado), o app troca `code`→tokens **no servidor**, guarda só o **id_token** num cookie **httpOnly** e **descarta o access_token** — então o browser NUNCA tem o access_token. Mas `checkout.start()` / `<CheckoutLink>` exigiam o access_token no browser, tornando impossível iniciar o checkout PAGO nesse padrão (só o `MockCheckout` de dev "funcionava"). O Core passou a aceitar o **id_token** no endpoint de checkout (via `verifyEndUserIdToken`, mesma validação forte de assinatura/kid/iss/exp da barra de conta), então o SDK agora expõe o caminho BFF.
+
+### Corrigido
+
+- **`checkout.start()` / `get()` / `cancel()` aceitam `idToken`** além de `accessToken`. O helper de auth manda o token que houver no header `Bearer` (o Core resolve se é access_token ou id_token). Quando ambos vêm, `accessToken` tem prioridade (é revogável no servidor). Sem nenhum dos dois, continua lançando `validation_failed` sem tocar a rede.
+
+### Adicionado (aditivo, opcional)
+
+- **`CheckoutStartInput.idToken?` / `CheckoutAuthOpts.idToken?`** — id_token OIDC do usuário final para o padrão BFF/cookie.
+- **`<CheckoutLink startPath="/api/checkout/start">`** — novo modo BFF: o clique faz `POST` no route do PRÓPRIO app (same-origin, `credentials: 'include'` → manda o cookie httpOnly), que inicia o checkout server-side e devolve `{ redirectUrl }`. O `client` vira **opcional** neste modo (o browser não precisa de token nem de client). O modo legado `client.checkout.start()` (client-side, browser com token) segue intacto.
+
+### Padrão BFF suportado
+
+Ver `docs/CHECKOUT_BFF.md` — passo a passo canônico do checkout num app BFF/cookie (o que o produto tem que fazer: route BFF que lê o id_token do cookie e chama `client.checkout.start({ ..., idToken })`, + `<CheckoutLink startPath=...>` no client).
+
 ## [3.4.3] - 2026-09-07 — **build-guard força pg + drizzle-orm no trace do standalone (causa-2 outage PDV 2026-09-07)**
 
 Release **patch** (só correção de build; nada de wire, nada removido da API). Fase 2 do conserto do outage do PDV.

package/dist/ai.d.cts

@@ -1,3 +1,3 @@
-export { A as AiChatChoice, a as AiChatMessage, b as AiChatOptions, c as AiChatResult, d as AiChatUsage, e as AiContentPart, f as AiImageUrlPart, g as AiNamespace, h as AiResponseFormat, i as AiStreamHandle, j as AiStreamMeta, k as AiTextPart, aJ as createAiNamespace } from './types-D-QdG502.cjs';
+export { A as AiChatChoice, a as AiChatMessage, b as AiChatOptions, c as AiChatResult, d as AiChatUsage, e as AiContentPart, f as AiImageUrlPart, g as AiNamespace, h as AiResponseFormat, i as AiStreamHandle, j as AiStreamMeta, k as AiTextPart, aJ as createAiNamespace } from './types-DIVZl7nO.cjs';
 import 'drizzle-orm/node-postgres';
 import './errors.cjs';

package/dist/ai.d.ts

@@ -1,3 +1,3 @@
-export { A as AiChatChoice, a as AiChatMessage, b as AiChatOptions, c as AiChatResult, d as AiChatUsage, e as AiContentPart, f as AiImageUrlPart, g as AiNamespace, h as AiResponseFormat, i as AiStreamHandle, j as AiStreamMeta, k as AiTextPart, aJ as createAiNamespace } from './types-BlOLDMR0.js';
+export { A as AiChatChoice, a as AiChatMessage, b as AiChatOptions, c as AiChatResult, d as AiChatUsage, e as AiContentPart, f as AiImageUrlPart, g as AiNamespace, h as AiResponseFormat, i as AiStreamHandle, j as AiStreamMeta, k as AiTextPart, aJ as createAiNamespace } from './types-nnztVk7G.js';
 import 'drizzle-orm/node-postgres';
 import './errors.js';

package/dist/auth.cjs

@@ -1273,6 +1273,12 @@ function createEntitlementsNamespace(config) {
 init_errors();
 init_http();
 var VALID_LOG_LEVELS = ["debug", "info", "warn", "error", "fatal"];
+function isBrowserContext() {
+  return typeof globalThis !== "undefined" && typeof globalThis.window !== "undefined";
+}
+function resolveEventTransport() {
+  return isBrowserContext() ? { path: "/api/sdk/v1/telemetry/event/public", requireAuth: false } : { path: "/api/sdk/v1/telemetry/event", requireAuth: true };
+}
 function consoleFor(level) {
   switch (level) {
     case "debug":
@@ -1302,15 +1308,18 @@ function createTelemetryNamespace(config) {
       batch.map(async (ev) => {
         try {
           const body = { name: ev.name };
+          const productSlug = ev.productSlug ?? config.productId;
+          if (productSlug) body.productSlug = productSlug;
           if (ev.properties && typeof ev.properties === "object") {
             body.properties = ev.properties;
           }
           if (ev.timestamp) body.timestamp = ev.timestamp;
+          const transport = resolveEventTransport();
           await httpRequest(config, {
             method: "POST",
-            path: "/api/sdk/v1/telemetry/event",
+            path: transport.path,
             body,
-            requireAuth: true,
+            requireAuth: transport.requireAuth,
             retries: 1,
             // caça-bruxas: retry sem Idempotency-Key duplicava o evento se o
             // servidor já tinha persistido antes da falha transiente. Mesmo
@@ -1363,15 +1372,18 @@ function createTelemetryNamespace(config) {
         throw new NeetruError("validation_failed", "event.name max 128 chars");
       }
       const body = { name: input.name };
+      const productSlug = input.productSlug ?? config.productId;
+      if (productSlug) body.productSlug = productSlug;
       if (input.properties && typeof input.properties === "object") {
         body.properties = input.properties;
       }
       if (input.timestamp) body.timestamp = input.timestamp;
+      const transport = resolveEventTransport();
       const raw = await httpRequest(config, {
         method: "POST",
-        path: "/api/sdk/v1/telemetry/event",
+        path: transport.path,
         body,
-        requireAuth: true
+        requireAuth: transport.requireAuth
       });
       if (!raw || raw.ok !== true || typeof raw.eventId !== "string") {
         throw new NeetruError("invalid_response", "Telemetry response missing eventId");
@@ -5576,14 +5588,15 @@ function createLazyCollectionRef(name, getDocsPromise) {
 // src/checkout.ts
 init_errors();
 init_http();
-function checkoutAuth(accessToken, method) {
-  if (!accessToken || typeof accessToken !== "string") {
+function checkoutAuth(auth, method) {
+  const token = auth?.accessToken || auth?.idToken;
+  if (!token || typeof token !== "string") {
     throw new NeetruError(
       "validation_failed",
-      `checkout.${method} requer o access_token OIDC do usu\xE1rio final (passe \`accessToken\`). A chave de API do SDK (nrt_*) N\xC3O \xE9 aceita pelo endpoint de checkout \u2014 ele autentica a identidade do cliente que est\xE1 assinando (Bearer access_token OIDC ou cookie de sess\xE3o).`
+      `checkout.${method} requer o access_token OU o id_token OIDC do usu\xE1rio final (passe \`accessToken\` ou \`idToken\`). A chave de API do SDK (nrt_*) N\xC3O \xE9 aceita pelo endpoint de checkout \u2014 ele autentica a identidade do cliente que est\xE1 assinando (Bearer access_token/id_token OIDC ou cookie de sess\xE3o). No padr\xE3o BFF/cookie, passe o \`idToken\` que seu servidor guardou no cookie httpOnly.`
     );
   }
-  return { requireAuth: false, headers: { authorization: `Bearer ${accessToken}` } };
+  return { requireAuth: false, headers: { authorization: `Bearer ${token}` } };
 }
 function parseStartResponse(raw) {
   if (!raw || typeof raw !== "object") {
@@ -5662,7 +5675,10 @@ function createHttpCheckoutNamespace(config) {
       };
       if (input.tenantType) body.targetTenantType = input.tenantType;
       if (input.tenantId) body.targetTenantId = input.tenantId;
-      const { requireAuth, headers } = checkoutAuth(input.accessToken, "start");
+      const { requireAuth, headers } = checkoutAuth(
+        { accessToken: input.accessToken, idToken: input.idToken },
+        "start"
+      );
       const raw = await httpRequest(config, {
         method: "POST",
         path: "/api/v1/checkout/intents",
@@ -5682,7 +5698,10 @@ function createHttpCheckoutNamespace(config) {
       if (!intentId || typeof intentId !== "string") {
         throw new NeetruError("validation_failed", "checkout.get: intentId is required");
       }
-      const { requireAuth, headers } = checkoutAuth(opts?.accessToken, "get");
+      const { requireAuth, headers } = checkoutAuth(
+        { accessToken: opts?.accessToken, idToken: opts?.idToken },
+        "get"
+      );
       const raw = await httpRequest(config, {
         method: "GET",
         path: `/api/v1/checkout/intents/${encodeURIComponent(intentId)}`,
@@ -5695,7 +5714,10 @@ function createHttpCheckoutNamespace(config) {
       if (!intentId || typeof intentId !== "string") {
         throw new NeetruError("validation_failed", "checkout.cancel: intentId is required");
       }
-      const { requireAuth, headers } = checkoutAuth(opts?.accessToken, "cancel");
+      const { requireAuth, headers } = checkoutAuth(
+        { accessToken: opts?.accessToken, idToken: opts?.idToken },
+        "cancel"
+      );
       const raw = await httpRequest(config, {
         method: "DELETE",
         path: `/api/v1/checkout/intents/${encodeURIComponent(intentId)}`,