@neetru/sdk 3.8.1 → 3.9.0

package/CHANGELOG.md

@@ -7,6 +7,39 @@ and this project adheres to [Semantic Versioning](https://semver.org/spec/v2.0.0
 
 ## [Unreleased]
 
+## [3.9.0] — 2026-10-11 (signOut deixa de falhar em silêncio)
+
+> **Por que MINOR e não PATCH.** O conteúdo é conserto de defeito, mas o tipo
+> público mudou: `signOut()` passou de `Promise<void>` para
+> `Promise<SignOutResult>`. Em runtime é aditivo — quem faz
+> `await client.auth.signOut()` e ignora o retorno continua idêntico. Em
+> TypeScript quebra quem anotou o retorno como `void` explicitamente ou
+> implementa `AuthNamespace` por conta própria. Chamar isso de patch faria o
+> número mentir sobre o código, que é o defeito que estamos justamente
+> consertando no ecossistema esta semana.
+
+### Corrigido
+
+- **`auth.signOut()` falhava em silêncio quando a revogação remota não acontecia** (bug_2bfde1e346a74737bf80104b1c95b2b2, continuação). A 3.8.0 consertou o *formato* da requisição (`application/x-www-form-urlencoded` + `client_id`, RFC 7009) — mas o `signOut` seguia devolvendo `void` e engolindo a falha num `console.warn`. Pro produto, "revoguei" e "o servidor recusou" eram **indistinguíveis**: a tela dizia "você saiu" e o `refresh_token` de 30 dias podia seguir válido no servidor. Num terminal compartilhado (PDV, balcão), é a próxima pessoa herdando a sessão.
+  - `auth.signOut()` e `mobile.signOut()` agora devolvem `SignOutResult` — `{ localSessionCleared, remoteRevocation }`, com `remoteRevocation` em `accepted | skipped | not_configured | failed`.
+  - **Não lança** em falha de revogação, de propósito: a sessão LOCAL é encerrada sempre (o usuário pediu pra sair, e deixá-lo logado porque a rede caiu é o pior dos mundos), e um `throw` seria engolido pelo `try/catch` que todo caller de signOut tem — inclusive o `<AccountBar>` deste próprio SDK. O sinal precisa voltar como **valor**, não como exceção.
+  - `not_configured` cobre o caso mais silencioso de todos: sem `oidcClientId`/`apiKey` o SDK não monta o `client_id` que o `/revoke` exige, então **nenhuma requisição saía** — zero fetch, zero erro, sessão do servidor intacta.
+  - Honestidade sobre o que `accepted` significa: a RFC 7009 §2.2 manda o `/revoke` responder 200 **inclusive** pra token desconhecido (não vazar enumeração). `accepted` é "o servidor aceitou a revogação", não "o token existia e morreu". `failed`, esse sim, é inequívoco.
+  - `<AccountBar>`: `onSignOut` passa a receber o `SignOutResult` (`undefined` se o signOut lançou).
+
+- **Storage que falha podia abortar a saída do usuário.** Um `removeItem` que lançasse (localStorage bloqueado/quota; SecureStore indisponível no RN) derrubava o `signOut` inteiro **antes** do revoke: sobravam chaves no aparelho, a sessão do servidor seguia de pé e o produto recebia uma exceção no lugar da saída. Agora cada remoção é isolada, a revogação acontece mesmo assim, e `localSessionCleared: false` avisa que ainda pode haver material de sessão **neste** aparelho.
+  - No mobile, o `notify()` final também relia o storage: uma falha de **leitura** fazia o `signOut` rejeitar depois de já ter limpado e revogado — o resultado nunca chegava ao caller e os listeners de `onAuthStateChanged` não ficavam sabendo que o usuário saiu (a UI seguia mostrando sessão). O `notify` agora aceita o estado já conhecido (`null` pós-signOut) e nunca rejeita por causa do storage.
+
+> As três entradas abaixo vieram do #46, mesclado depois do PR de release da 3.9.0 (#45) e antes de qualquer publicação. A 3.9.0 nunca foi publicada, então o número continua identificando um código só: este.
+
+- **A trava contra mock em produção estava pela metade.** Com `env: 'dev'` vazado para um runtime de produção, só o `auth` respeitava a trava: o `checkout` caía no `MockCheckout` e devolvia link de pagamento falso (`https://localhost:9003/portal/checkout/...`) como se fosse real; a `telemetry` virava console e respondia ok sem enviar nada; o `db.sql()` lançava "use `neetru dev`". Agora a decisão é uma só — `isDevMode()` em `src/runtime-env.ts` — e os quatro pontos consultam ela.
+- **A guarda que impede dependência de Node no bundle de navegador nunca rodava.** O teste se pulava quando `dist/` não existia, e o gate rodava os testes antes do build (inclusive com `--full`), assim como o CI. Os dois bugs CRÍTICOS que ela devia cobrir (`bug_0f836014`, `bug_168368ae`, o segundo publicado no npm) ficaram "cobertos" por um teste verde que não olhava nada. A guarda virou `scripts/browser-bundle-guard.mjs` e roda no `postbuild` — então também no `prepublishOnly`: bundle contaminado não chega mais ao npm. A ordem do gate e do CI passou a ser `lint → build → test`, o detector roda sempre com fixtures em memória e a varredura do artefato falha (em vez de pular) quando `dist/` não existe.
+- **O refresh de token podia morrer para sempre.** O `fetch` do refresh ia sem prazo: uma conexão pendurada (captive portal, proxy que engole o pacote, app voltando do background) deixava a promise sem desfecho, e o `finally` que libera o latch nunca rodava — nenhum refresh novo saía até recarregar o app. Agora há prazo de 15 s em duas camadas (`src/timeout.ts`): `AbortSignal` que corta a conexão e uma corrida que garante o desfecho mesmo se o `fetch` injetado ignorar o sinal. Resposta que chega depois do prazo é descartada, para não ressuscitar uma sessão que o caller já encerrou. Vale para o refresh na web e para o `postToken` do mobile (refresh e troca `code`→tokens).
+
+### Compatibilidade
+
+- `signOut()` passou de `Promise<void>` para `Promise<SignOutResult>`. Em runtime é aditivo — quem faz `await client.auth.signOut()` e ignora o retorno continua idêntico. Em TypeScript só quebra quem anotou o retorno como `void` explicitamente (ex.: `const r: void = await signOut()`) ou implementa `AuthNamespace` por conta própria.
+
 ## [3.8.1] — 2026-10-11 (re-lease em falha de autenticação + doc de mTLS)
 
 ### Corrigido

package/README.md

@@ -107,7 +107,10 @@ await auth.signIn({ redirectUri });
 await auth.completeSignIn(callbackUrl);
 const res = await auth.authFetch('/vendas');   // Bearer access_token, renova 1x num 401
 const me = await auth.getUserInfo();           // /userinfo do Core
-await auth.signOut();                          // limpa local + revoga refresh/access no Core
+const out = await auth.signOut();              // limpa local + revoga refresh/access no Core
+if (out.remoteRevocation === 'failed') {       // NÃO é silencioso: trate no produto
+  warn('Saímos deste aparelho, mas não deu pra encerrar a sessão no servidor.');
+}
 ```
 
 `client.db` em React Native lança erro claro (dados de negócio vão pela API do

package/dist/ai.cjs

@@ -82,7 +82,7 @@ function Z(t, e) {
 }
 function Q() {
   try {
-    return "3.8.1";
+    return "3.9.0";
   } catch {
     return;
   }

package/dist/ai.d.cts

@@ -1,3 +1,3 @@
-export { A as AiChatChoice, a as AiChatMessage, b as AiChatOptions, c as AiChatResult, d as AiChatUsage, e as AiContentPart, f as AiImageUrlPart, g as AiNamespace, h as AiResponseFormat, i as AiStreamHandle, j as AiStreamMeta, k as AiTextPart, aK as createAiNamespace } from './types-yv3EDKg2.cjs';
+export { A as AiChatChoice, a as AiChatMessage, b as AiChatOptions, c as AiChatResult, d as AiChatUsage, e as AiContentPart, f as AiImageUrlPart, g as AiNamespace, h as AiResponseFormat, i as AiStreamHandle, j as AiStreamMeta, k as AiTextPart, aM as createAiNamespace } from './types-Bl_4HROd.cjs';
 import 'drizzle-orm/node-postgres';
 import './errors.cjs';

package/dist/ai.d.ts

@@ -1,3 +1,3 @@
-export { A as AiChatChoice, a as AiChatMessage, b as AiChatOptions, c as AiChatResult, d as AiChatUsage, e as AiContentPart, f as AiImageUrlPart, g as AiNamespace, h as AiResponseFormat, i as AiStreamHandle, j as AiStreamMeta, k as AiTextPart, aK as createAiNamespace } from './types-BYPk_3HR.js';
+export { A as AiChatChoice, a as AiChatMessage, b as AiChatOptions, c as AiChatResult, d as AiChatUsage, e as AiContentPart, f as AiImageUrlPart, g as AiNamespace, h as AiResponseFormat, i as AiStreamHandle, j as AiStreamMeta, k as AiTextPart, aM as createAiNamespace } from './types-Bqnsqvow.js';
 import 'drizzle-orm/node-postgres';
 import './errors.js';

package/dist/ai.mjs

@@ -80,7 +80,7 @@ function Z(t, e) {
 }
 function Q() {
   try {
-    return "3.8.1";
+    return "3.9.0";
   } catch {
     return;
   }