@neetru/sdk 3.8.1 → 3.9.1

package/CHANGELOG.md

@@ -7,6 +7,52 @@ and this project adheres to [Semantic Versioning](https://semver.org/spec/v2.0.0
 
 ## [Unreleased]
 
+## [3.9.1] — 2026-10-26 (o build barra a CSP que deixa o App Router em branco)
+
+> **Por que PATCH.** É conserto de defeito (bug_0d2e0087). Atenção: o `next build` de um app com App Router passa a **falhar** quando a CSP do `headers()` bloqueia os scripts inline do Next (sem nonce, sem `'strict-dynamic'` e sem `'unsafe-inline'`). Essa CSP já deixava a página em branco no ar; agora o defeito aparece no build. As funções exportadas novas (`findCspInlineScriptBlocks`, `assertNeetruCspAllowsAppRouterScripts`, `hasNextAppRouter`) só somam.
+
+### Corrigido
+
+- **Deploy com sucesso e página em branco: uma CSP do `next.config` derrubava o App Router e nada no build percebia** (bug_0d2e0087c53945d4a8bc89eb6e3c379a, caso Zelo 2026-10-22). O `headers()` mandava `Content-Security-Policy: ... script-src 'self' ...`, sem `'unsafe-inline'` e sem nonce. O App Router põe `<script>` embutidos em toda página (`self.__next_f.push`, o payload do React Server Components). O navegador bloqueia esses scripts, a hidratação falha na raiz e o React desmonta a árvore. O servidor respondia 200 com o HTML inteiro, a sonda de saúde passava e o deploy ficava `success`.
+  - `withNeetruBuildGuard` agora embrulha o `headers()` do produto. Em app com App Router (pasta `app/` ou `src/app/`, a mesma regra do `findPagesDir` do Next), o `next build` **falha** quando alguma `Content-Security-Policy` bloqueia script embutido. A mensagem, em português, diz qual regra (`source`) e a linha a trocar (`troque: script-src 'self'` / `por: script-src 'self' 'unsafe-inline'`).
+  - Diretiva efetiva na ordem da CSP: `script-src-elem` → `script-src` → `default-src`. Passa com nonce, com `'strict-dynamic'` ou com `'unsafe-inline'`. `'unsafe-inline'` com hash `'sha…-'` ao lado **não** passa, porque o navegador ignora o `'unsafe-inline'` nesse caso.
+  - Não afeta: Pages Router puro, `Content-Security-Policy-Report-Only`, regras de `/api` e `/_next`, e produto sem `headers()` (o guard não cria a chave). Em `next dev` só avisa. `next start` lê o `routes-manifest.json` e não chama `headers()`, então nada muda em runtime.
+  - Regra pura exportada: `findCspInlineScriptBlocks`, `assertNeetruCspAllowsAppRouterScripts`, `hasNextAppRouter`.
+  - Limites: CSP montada no middleware ou em `<meta>` não passa por aqui. `'strict-dynamic'` sem nonce nenhum também bloquearia no navegador, mas passa no guard, como a proposta do bug pede (é a marca da configuração por nonce). Um `'nonce-…'` FIXO no `headers()` também passa no guard e ainda deixa a página em branco: o App Router lê o nonce do header `Content-Security-Policy` da REQUISIÇÃO (que o middleware põe), não da resposta que o `headers()` monta (conferido no `app-render.js` do Next 15.5.28). Esses casos ficam para a sonda pós-deploy do `/` (guarda 2 da proposta), que é do Core/agente e não faz parte desta mudança.
+
+## [3.9.0] — 2026-10-11 (signOut deixa de falhar em silêncio)
+
+> **Por que MINOR e não PATCH.** O conteúdo é conserto de defeito, mas o tipo
+> público mudou: `signOut()` passou de `Promise<void>` para
+> `Promise<SignOutResult>`. Em runtime é aditivo — quem faz
+> `await client.auth.signOut()` e ignora o retorno continua idêntico. Em
+> TypeScript quebra quem anotou o retorno como `void` explicitamente ou
+> implementa `AuthNamespace` por conta própria. Chamar isso de patch faria o
+> número mentir sobre o código, que é o defeito que estamos justamente
+> consertando no ecossistema esta semana.
+
+### Corrigido
+
+- **`auth.signOut()` falhava em silêncio quando a revogação remota não acontecia** (bug_2bfde1e346a74737bf80104b1c95b2b2, continuação). A 3.8.0 consertou o *formato* da requisição (`application/x-www-form-urlencoded` + `client_id`, RFC 7009) — mas o `signOut` seguia devolvendo `void` e engolindo a falha num `console.warn`. Pro produto, "revoguei" e "o servidor recusou" eram **indistinguíveis**: a tela dizia "você saiu" e o `refresh_token` de 30 dias podia seguir válido no servidor. Num terminal compartilhado (PDV, balcão), é a próxima pessoa herdando a sessão.
+  - `auth.signOut()` e `mobile.signOut()` agora devolvem `SignOutResult` — `{ localSessionCleared, remoteRevocation }`, com `remoteRevocation` em `accepted | skipped | not_configured | failed`.
+  - **Não lança** em falha de revogação, de propósito: a sessão LOCAL é encerrada sempre (o usuário pediu pra sair, e deixá-lo logado porque a rede caiu é o pior dos mundos), e um `throw` seria engolido pelo `try/catch` que todo caller de signOut tem — inclusive o `<AccountBar>` deste próprio SDK. O sinal precisa voltar como **valor**, não como exceção.
+  - `not_configured` cobre o caso mais silencioso de todos: sem `oidcClientId`/`apiKey` o SDK não monta o `client_id` que o `/revoke` exige, então **nenhuma requisição saía** — zero fetch, zero erro, sessão do servidor intacta.
+  - Honestidade sobre o que `accepted` significa: a RFC 7009 §2.2 manda o `/revoke` responder 200 **inclusive** pra token desconhecido (não vazar enumeração). `accepted` é "o servidor aceitou a revogação", não "o token existia e morreu". `failed`, esse sim, é inequívoco.
+  - `<AccountBar>`: `onSignOut` passa a receber o `SignOutResult` (`undefined` se o signOut lançou).
+
+- **Storage que falha podia abortar a saída do usuário.** Um `removeItem` que lançasse (localStorage bloqueado/quota; SecureStore indisponível no RN) derrubava o `signOut` inteiro **antes** do revoke: sobravam chaves no aparelho, a sessão do servidor seguia de pé e o produto recebia uma exceção no lugar da saída. Agora cada remoção é isolada, a revogação acontece mesmo assim, e `localSessionCleared: false` avisa que ainda pode haver material de sessão **neste** aparelho.
+  - No mobile, o `notify()` final também relia o storage: uma falha de **leitura** fazia o `signOut` rejeitar depois de já ter limpado e revogado — o resultado nunca chegava ao caller e os listeners de `onAuthStateChanged` não ficavam sabendo que o usuário saiu (a UI seguia mostrando sessão). O `notify` agora aceita o estado já conhecido (`null` pós-signOut) e nunca rejeita por causa do storage.
+
+> As três entradas abaixo vieram do #46, mesclado depois do PR de release da 3.9.0 (#45) e antes de qualquer publicação. A 3.9.0 nunca foi publicada, então o número continua identificando um código só: este.
+
+- **A trava contra mock em produção estava pela metade.** Com `env: 'dev'` vazado para um runtime de produção, só o `auth` respeitava a trava: o `checkout` caía no `MockCheckout` e devolvia link de pagamento falso (`https://localhost:9003/portal/checkout/...`) como se fosse real; a `telemetry` virava console e respondia ok sem enviar nada; o `db.sql()` lançava "use `neetru dev`". Agora a decisão é uma só — `isDevMode()` em `src/runtime-env.ts` — e os quatro pontos consultam ela.
+- **A guarda que impede dependência de Node no bundle de navegador nunca rodava.** O teste se pulava quando `dist/` não existia, e o gate rodava os testes antes do build (inclusive com `--full`), assim como o CI. Os dois bugs CRÍTICOS que ela devia cobrir (`bug_0f836014`, `bug_168368ae`, o segundo publicado no npm) ficaram "cobertos" por um teste verde que não olhava nada. A guarda virou `scripts/browser-bundle-guard.mjs` e roda no `postbuild` — então também no `prepublishOnly`: bundle contaminado não chega mais ao npm. A ordem do gate e do CI passou a ser `lint → build → test`, o detector roda sempre com fixtures em memória e a varredura do artefato falha (em vez de pular) quando `dist/` não existe.
+- **O refresh de token podia morrer para sempre.** O `fetch` do refresh ia sem prazo: uma conexão pendurada (captive portal, proxy que engole o pacote, app voltando do background) deixava a promise sem desfecho, e o `finally` que libera o latch nunca rodava — nenhum refresh novo saía até recarregar o app. Agora há prazo de 15 s em duas camadas (`src/timeout.ts`): `AbortSignal` que corta a conexão e uma corrida que garante o desfecho mesmo se o `fetch` injetado ignorar o sinal. Resposta que chega depois do prazo é descartada, para não ressuscitar uma sessão que o caller já encerrou. Vale para o refresh na web e para o `postToken` do mobile (refresh e troca `code`→tokens).
+
+### Compatibilidade
+
+- `signOut()` passou de `Promise<void>` para `Promise<SignOutResult>`. Em runtime é aditivo — quem faz `await client.auth.signOut()` e ignora o retorno continua idêntico. Em TypeScript só quebra quem anotou o retorno como `void` explicitamente (ex.: `const r: void = await signOut()`) ou implementa `AuthNamespace` por conta própria.
+
 ## [3.8.1] — 2026-10-11 (re-lease em falha de autenticação + doc de mTLS)
 
 ### Corrigido

package/README.md

@@ -107,7 +107,10 @@ await auth.signIn({ redirectUri });
 await auth.completeSignIn(callbackUrl);
 const res = await auth.authFetch('/vendas');   // Bearer access_token, renova 1x num 401
 const me = await auth.getUserInfo();           // /userinfo do Core
-await auth.signOut();                          // limpa local + revoga refresh/access no Core
+const out = await auth.signOut();              // limpa local + revoga refresh/access no Core
+if (out.remoteRevocation === 'failed') {       // NÃO é silencioso: trate no produto
+  warn('Saímos deste aparelho, mas não deu pra encerrar a sessão no servidor.');
+}
 ```
 
 `client.db` em React Native lança erro claro (dados de negócio vão pela API do
@@ -172,6 +175,16 @@ Grava `.next/neetru-build-manifest.json` com o `NEXT_PUBLIC_NEETRU_ENV`/`_PRODUC
 
 Só disponível via `@neetru/sdk/build-guard` (não o barrel `.`) — é o único módulo do SDK com import estático de `node:fs`/`node:path`, mantido fora do bundle universal de propósito.
 
+**CSP que deixa a página em branco (não publicado ainda).** Em app com App Router (pasta `app/` ou `src/app/`), o guard embrulha o `headers()` do seu `next.config` e **falha o `next build`** se algum `Content-Security-Policy` bloquear script embutido: `script-src` (ou `script-src-elem`; sem os dois, o `default-src`) sem `'unsafe-inline'`, sem nonce e sem `'strict-dynamic'`. O App Router põe `<script>` embutidos em toda página (`self.__next_f.push`); com uma CSP dessas o navegador os bloqueia, a hidratação falha e a tela fica em branco, mesmo com o servidor respondendo 200 (caso Zelo, 2026-10-22). A mensagem de erro diz a linha a trocar:
+
+```
+1) headers() → source "/(.*)" → Content-Security-Policy
+   troque:  script-src 'self'
+   por:     script-src 'self' 'unsafe-inline'
+```
+
+Ficam de fora: Pages Router puro, `Content-Security-Policy-Report-Only`, regras de `/api` e `/_next`, e CSP montada no middleware ou em `<meta>` (o guard só enxerga o `headers()` do `next.config`). Em `next dev` só avisa no terminal.
+
 ## Exemplos por namespace
 
 ### Login OIDC — Authorization Code + PKCE (3.1.3)

package/dist/ai.cjs

@@ -82,7 +82,7 @@ function Z(t, e) {
 }
 function Q() {
   try {
-    return "3.8.1";
+    return "3.9.1";
   } catch {
     return;
   }

package/dist/ai.d.cts

@@ -1,3 +1,3 @@
-export { A as AiChatChoice, a as AiChatMessage, b as AiChatOptions, c as AiChatResult, d as AiChatUsage, e as AiContentPart, f as AiImageUrlPart, g as AiNamespace, h as AiResponseFormat, i as AiStreamHandle, j as AiStreamMeta, k as AiTextPart, aK as createAiNamespace } from './types-yv3EDKg2.cjs';
+export { A as AiChatChoice, a as AiChatMessage, b as AiChatOptions, c as AiChatResult, d as AiChatUsage, e as AiContentPart, f as AiImageUrlPart, g as AiNamespace, h as AiResponseFormat, i as AiStreamHandle, j as AiStreamMeta, k as AiTextPart, aM as createAiNamespace } from './types-Bl_4HROd.cjs';
 import 'drizzle-orm/node-postgres';
 import './errors.cjs';

package/dist/ai.d.ts

@@ -1,3 +1,3 @@
-export { A as AiChatChoice, a as AiChatMessage, b as AiChatOptions, c as AiChatResult, d as AiChatUsage, e as AiContentPart, f as AiImageUrlPart, g as AiNamespace, h as AiResponseFormat, i as AiStreamHandle, j as AiStreamMeta, k as AiTextPart, aK as createAiNamespace } from './types-BYPk_3HR.js';
+export { A as AiChatChoice, a as AiChatMessage, b as AiChatOptions, c as AiChatResult, d as AiChatUsage, e as AiContentPart, f as AiImageUrlPart, g as AiNamespace, h as AiResponseFormat, i as AiStreamHandle, j as AiStreamMeta, k as AiTextPart, aM as createAiNamespace } from './types-Bqnsqvow.js';
 import 'drizzle-orm/node-postgres';
 import './errors.js';

package/dist/ai.mjs

@@ -80,7 +80,7 @@ function Z(t, e) {
 }
 function Q() {
   try {
-    return "3.8.1";
+    return "3.9.1";
   } catch {
     return;
   }