@neetru/sdk 3.6.0 → 3.8.0

package/dist/mobile.d.cts

@@ -1,4 +1,4 @@
-import { X as NeetruClientConfig, v as CompleteSignInResult, a5 as NeetruUser, m as AuthStateListener } from './types-Du_iioJ7.cjs';
+import { Y as NeetruClientConfig, v as CompleteSignInResult, a6 as NeetruUser, m as AuthStateListener } from './types-D-9bjlM0.cjs';
 import 'drizzle-orm/node-postgres';
 import './errors.cjs';
 
@@ -12,7 +12,23 @@ interface MobileAuthStorage {
     setItem(key: string, value: string): Promise<void>;
     removeItem(key: string): Promise<void>;
 }
-interface MobileAuthConfig extends NeetruClientConfig {
+interface MobileAuthConfig extends Omit<NeetruClientConfig, 'apiKey'> {
+    /**
+     * 3.8.0: PROIBIDO. A credencial `nrt_` é só de servidor — passar qualquer
+     * valor aqui faz `createMobileAuthNamespace` lançar `server_only_key`.
+     */
+    apiKey?: never;
+    /**
+     * `client_id` do client OIDC PÚBLICO do app (iOS/Android), registrado no Core.
+     * Obrigatório a partir da 3.8.0 (antes caía no keyId da apiKey).
+     */
+    oidcClientId?: string;
+    /**
+     * 3.8.0: URL base da API do SEU produto (ex.: `https://pdv.neetru.com/api/v1`).
+     * Usada por `auth.authFetch(...)` — o access_token SÓ é enviado para essa
+     * origem (nunca para outro host). Precisa ser `https://` (ou `http://localhost`).
+     */
+    productApiUrl?: string;
     /** Storage persistente (idealmente seguro) — ver requisito 4 no JSDoc do módulo. */
     storage: MobileAuthStorage;
     /**
@@ -62,6 +78,30 @@ interface MobileAuthNamespace {
     completeSignIn(callbackUrl: string): Promise<CompleteSignInResult>;
     /** `id_token` cru armazenado, ou `null` se ausente/expirado. */
     getIdToken(): Promise<string | null>;
+    /**
+     * 3.8.0: `access_token` válido para chamar a API do produto (Bearer). Se o
+     * armazenado venceu (ou vence em <30s) e há refresh_token, renova 1x antes.
+     * `null` se não há sessão.
+     */
+    getAccessToken(): Promise<string | null>;
+    /**
+     * 3.8.0: claims do usuário no `/api/v1/oauth/userinfo` do Core (fonte
+     * autoritativa — reflete conta suspensa/cancelada, diferente do id_token).
+     * Num 401 renova a sessão 1x e repete.
+     *
+     * @throws {NeetruAuthRequiredError} sem sessão ou sessão recusada pelo Core.
+     */
+    getUserInfo(): Promise<MobileUserInfo>;
+    /**
+     * 3.8.0: `fetch` autenticado para a API do PRODUTO (`config.productApiUrl`):
+     * injeta `Authorization: Bearer <access_token>` e `x-correlation-id`; num 401
+     * renova a sessão 1x e repete. Aceita path relativo (`/vendas`) ou URL
+     * absoluta DA MESMA origem — outra origem é recusada (o token nunca vaza).
+     *
+     * @throws {NeetruError} `invalid_config` (sem `productApiUrl` / outra origem),
+     *   {@link NeetruAuthRequiredError} sem sessão.
+     */
+    authFetch(pathOrUrl: string, init?: RequestInit): Promise<Response>;
     /** Usuário atual (claims do `id_token` armazenado), ou `null`. */
     getUser(): Promise<NeetruUser | null>;
     /**
@@ -77,13 +117,28 @@ interface MobileAuthNamespace {
      * token, `invalid_grant`, rede) — não lança.
      */
     refreshTokens(): Promise<boolean>;
-    /** Limpa a sessão local (storage) + melhor esforço de revoke no servidor. */
+    /**
+     * Limpa a sessão local (storage) e revoga no Core (RFC 7009, client público)
+     * o refresh_token e o access_token. A limpeza local acontece SEMPRE, mesmo
+     * se o servidor estiver fora; a revogação é melhor esforço (avisa no console).
+     */
     signOut(): Promise<void>;
 }
+/** 3.8.0 — resposta do `/userinfo` (escopo decide quais campos vêm). */
+interface MobileUserInfo {
+    sub: string;
+    email?: string;
+    email_verified?: boolean;
+    name?: string;
+    picture?: string;
+    tenant_id?: string;
+    entitlements?: string[];
+    [claim: string]: unknown;
+}
 /**
  * Cria o namespace de auth mobile. Ver JSDoc do módulo pros requisitos do
  * app consumidor (polyfill WebCrypto, browser externo, storage seguro).
  */
 declare function createMobileAuthNamespace(config: MobileAuthConfig): MobileAuthNamespace;
 
-export { type MobileAuthConfig, type MobileAuthNamespace, type MobileAuthStorage, type MobileSignInOptions, createMobileAuthNamespace };
+export { type MobileAuthConfig, type MobileAuthNamespace, type MobileAuthStorage, type MobileSignInOptions, type MobileUserInfo, createMobileAuthNamespace };

package/dist/mobile.d.ts

@@ -1,4 +1,4 @@
-import { X as NeetruClientConfig, v as CompleteSignInResult, a5 as NeetruUser, m as AuthStateListener } from './types-BPATkXYu.js';
+import { Y as NeetruClientConfig, v as CompleteSignInResult, a6 as NeetruUser, m as AuthStateListener } from './types-bVztFQTI.js';
 import 'drizzle-orm/node-postgres';
 import './errors.js';
 
@@ -12,7 +12,23 @@ interface MobileAuthStorage {
     setItem(key: string, value: string): Promise<void>;
     removeItem(key: string): Promise<void>;
 }
-interface MobileAuthConfig extends NeetruClientConfig {
+interface MobileAuthConfig extends Omit<NeetruClientConfig, 'apiKey'> {
+    /**
+     * 3.8.0: PROIBIDO. A credencial `nrt_` é só de servidor — passar qualquer
+     * valor aqui faz `createMobileAuthNamespace` lançar `server_only_key`.
+     */
+    apiKey?: never;
+    /**
+     * `client_id` do client OIDC PÚBLICO do app (iOS/Android), registrado no Core.
+     * Obrigatório a partir da 3.8.0 (antes caía no keyId da apiKey).
+     */
+    oidcClientId?: string;
+    /**
+     * 3.8.0: URL base da API do SEU produto (ex.: `https://pdv.neetru.com/api/v1`).
+     * Usada por `auth.authFetch(...)` — o access_token SÓ é enviado para essa
+     * origem (nunca para outro host). Precisa ser `https://` (ou `http://localhost`).
+     */
+    productApiUrl?: string;
     /** Storage persistente (idealmente seguro) — ver requisito 4 no JSDoc do módulo. */
     storage: MobileAuthStorage;
     /**
@@ -62,6 +78,30 @@ interface MobileAuthNamespace {
     completeSignIn(callbackUrl: string): Promise<CompleteSignInResult>;
     /** `id_token` cru armazenado, ou `null` se ausente/expirado. */
     getIdToken(): Promise<string | null>;
+    /**
+     * 3.8.0: `access_token` válido para chamar a API do produto (Bearer). Se o
+     * armazenado venceu (ou vence em <30s) e há refresh_token, renova 1x antes.
+     * `null` se não há sessão.
+     */
+    getAccessToken(): Promise<string | null>;
+    /**
+     * 3.8.0: claims do usuário no `/api/v1/oauth/userinfo` do Core (fonte
+     * autoritativa — reflete conta suspensa/cancelada, diferente do id_token).
+     * Num 401 renova a sessão 1x e repete.
+     *
+     * @throws {NeetruAuthRequiredError} sem sessão ou sessão recusada pelo Core.
+     */
+    getUserInfo(): Promise<MobileUserInfo>;
+    /**
+     * 3.8.0: `fetch` autenticado para a API do PRODUTO (`config.productApiUrl`):
+     * injeta `Authorization: Bearer <access_token>` e `x-correlation-id`; num 401
+     * renova a sessão 1x e repete. Aceita path relativo (`/vendas`) ou URL
+     * absoluta DA MESMA origem — outra origem é recusada (o token nunca vaza).
+     *
+     * @throws {NeetruError} `invalid_config` (sem `productApiUrl` / outra origem),
+     *   {@link NeetruAuthRequiredError} sem sessão.
+     */
+    authFetch(pathOrUrl: string, init?: RequestInit): Promise<Response>;
     /** Usuário atual (claims do `id_token` armazenado), ou `null`. */
     getUser(): Promise<NeetruUser | null>;
     /**
@@ -77,13 +117,28 @@ interface MobileAuthNamespace {
      * token, `invalid_grant`, rede) — não lança.
      */
     refreshTokens(): Promise<boolean>;
-    /** Limpa a sessão local (storage) + melhor esforço de revoke no servidor. */
+    /**
+     * Limpa a sessão local (storage) e revoga no Core (RFC 7009, client público)
+     * o refresh_token e o access_token. A limpeza local acontece SEMPRE, mesmo
+     * se o servidor estiver fora; a revogação é melhor esforço (avisa no console).
+     */
     signOut(): Promise<void>;
 }
+/** 3.8.0 — resposta do `/userinfo` (escopo decide quais campos vêm). */
+interface MobileUserInfo {
+    sub: string;
+    email?: string;
+    email_verified?: boolean;
+    name?: string;
+    picture?: string;
+    tenant_id?: string;
+    entitlements?: string[];
+    [claim: string]: unknown;
+}
 /**
  * Cria o namespace de auth mobile. Ver JSDoc do módulo pros requisitos do
  * app consumidor (polyfill WebCrypto, browser externo, storage seguro).
  */
 declare function createMobileAuthNamespace(config: MobileAuthConfig): MobileAuthNamespace;
 
-export { type MobileAuthConfig, type MobileAuthNamespace, type MobileAuthStorage, type MobileSignInOptions, createMobileAuthNamespace };
+export { type MobileAuthConfig, type MobileAuthNamespace, type MobileAuthStorage, type MobileSignInOptions, type MobileUserInfo, createMobileAuthNamespace };