@ninsei-labs/sdk 0.39.0 → 0.39.2

package/engine/evm/prices.js

@@ -1,179 +1,179 @@
-// GENERATED FILE - a byte-for-byte copy of the engine module www/js/evm/prices.js for the SDK package.
-// Edit the source under www/js, then run: node tools/build-sdk-engine.mjs
-// tools/check-sdk-engine.mjs reddens on any drift, so a stale copy cannot ship silently.
-// Everything below this header is identical to the source.
-
-// Живые рыночные числа для EVM-ноги: цена нейтива (Chainlink on-chain) и стоимость газа (RPC).
-//
-// ПОЧЕМУ ON-CHAIN, А НЕ API. Цена берётся вызовом контракта через тот же RPC, что уже разрешён
-// в CSP (`connect-src`), поэтому:
-//   - не появляется ни одного нового внешнего домена (и ни одного нового доверенного сервиса);
-//   - нет ключей, лимитов и «мы упали, потому что у CoinGecko 429»;
-//   - значение нельзя перепутать с ценой другой сети: адрес фида свой у каждой цепи.
-// Адреса фидов НЕ выдуманы: каждый подтверждён вызовом в сети - описание `description()` должно
-// совпасть с ожидаемой парой, а ответ - попасть в разумный коридор и быть свежим. Проверка живёт
-// в tools/check-prices.mjs (работает на заглушке RPC, без сети).
-//
-// ЧЕГО ЗДЕСЬ НЕТ: если фида для сети нет или он молчит - возвращаем null, и вызывающий код обязан
-// показать, что число демонстрационное, а не подставить вчерашнюю константу молча.
-
-const SELECTOR = {
-  description: "0x7284e416", // description()
-  latestRoundData: "0xfeaf968c", // latestRoundData() -> (roundId, answer, startedAt, updatedAt, answeredInRound)
-};
-
-const CACHE_MS = 60_000; // цена: минута - компромисс между свежестью и числом запросов
-const GAS_CACHE_MS = 30_000; // газ меняется чаще, но и он не обязан бегать на каждый ввод символа
-const MAX_AGE_MS = 24 * 60 * 60 * 1000; // старше суток фид считаем несвежим и не показываем как живой
-
-const cache = new Map(); // ключ: chainId + вид запроса
-
-function cached(key, ttlMs) {
-  const hit = cache.get(key);
-  if (hit && Date.now() - hit.at < ttlMs) return hit.value;
-  return undefined;
-}
-
-function put(key, value) {
-  cache.set(key, { at: Date.now(), value });
-  return value;
-}
-
-async function rpc(chain, method, params = []) {
-  const res = await fetch(chain.rpcUrl, {
-    method: "POST",
-    headers: { "content-type": "application/json" },
-    body: JSON.stringify({ jsonrpc: "2.0", id: 1, method, params }),
-  });
-  if (!res.ok) throw new Error(method + ": HTTP " + res.status);
-  const j = await res.json();
-  if (j.error) throw new Error(method + ": " + (j.error.message || "ошибка RPC"));
-  return j.result;
-}
-
-const word = (data, i) => BigInt("0x" + String(data).slice(2).slice(i * 64, (i + 1) * 64));
-
-// Декодирование строки ABI: [offset][length][bytes]. Нужно, чтобы отличить фид ETH/USD от любого
-// другого, который кто-то подставил в конфиг. TextDecoder, а не Buffer: этот код живёт в браузере.
-function decodeString(data) {
-  const s = String(data || "");
-  if (s.length < 2 + 128) return "";
-  const len = Number(BigInt("0x" + s.slice(2 + 64, 2 + 128)));
-  const body = s.slice(2 + 128, 2 + 128 + len * 2);
-  const bytes = new Uint8Array(body.length / 2);
-  for (let i = 0; i < bytes.length; i++) bytes[i] = parseInt(body.slice(i * 2, i * 2 + 2), 16);
-  return new TextDecoder().decode(bytes);
-}
-
-// Цена нейтива в USD. null - если фида нет, он молчит или значения не проходят проверку.
-export async function nativeUsd(chain, { force = false } = {}) {
-  const feed = chain && chain.priceFeed;
-  if (!feed || !feed.address) return null;
-  const key = chain.id + ":usd";
-  if (!force) {
-    const hit = cached(key, CACHE_MS);
-    if (hit !== undefined) return hit;
-  }
-  try {
-    const [descHex, roundHex] = await Promise.all([
-      rpc(chain, "eth_call", [{ to: feed.address, data: SELECTOR.description }, "latest"]),
-      rpc(chain, "eth_call", [{ to: feed.address, data: SELECTOR.latestRoundData }, "latest"]),
-    ]);
-    const desc = decodeString(descHex);
-    const answer = word(roundHex, 1);
-    const updatedAt = Number(word(roundHex, 3)) * 1000;
-    const decimals = Number(feed.decimals || 8);
-    const value = Number(answer) / 10 ** decimals;
-    const fresh = updatedAt > 0 && Date.now() - updatedAt < MAX_AGE_MS;
-    const sane = value >= (feed.min || 0.01) && value <= (feed.max || 1e7);
-    if (desc !== feed.pair || !fresh || !sane) {
-      return put(key, null); // null, а не «примерно столько»: молчание честнее выдумки
-    }
-    return put(key, { usd: value, updatedAt, source: "chainlink", pair: desc });
-  } catch {
-    return put(key, null);
-  }
-}
-
-// Стоимость газа в USD: оценка лимита × цена газа × цена нейтива.
-// На Arbitrum в цену газа уже входит L1-составляющая (так устроен их gas price), поэтому
-// отдельный вызов NodeInterface не нужен - обычная оценка даёт сопоставимую с кошельками цифру.
-export async function gasUsd(chain, { from = null, payToken = null, amountWei = null } = {}) {
-  const key = chain.id + ":gas";
-  const hit = cached(key, GAS_CACHE_MS);
-  if (hit !== undefined) return hit;
-  const price = await nativeUsd(chain);
-  if (!price) return put(key, null);
-  try {
-    const gasPrice = BigInt(await rpc(chain, "eth_gasPrice"));
-    let gasLimit = null;
-    let measured = false;
-    // Оцениваем ту транзакцию, которую человек и подпишет: перевод оплачиваемого токена.
-    // Эскроу ещё не задеплоен, поэтому это честная нижняя оценка, а не «газ свопа».
-    try {
-      // Без аккаунта eth_estimateGas подставляет НУЛЕВОЙ адрес, и перевод токена справедливо
-      // падает с "ERC20: transfer from the zero address". Поэтому без from не оцениваем вовсе:
-      // берём типовой лимит и честно помечаем, что он не измерен (в интерфейсе это видно).
-      // ВАЖНО: признак "перевод токена" и признак "есть аккаунт" - РАЗНЫЕ условия. Раньше они
-      // были слиты в одну ветку, и без аккаунта перевод токена получал лимит нативного перевода
-      // (21000 вместо 65000) - поймал tools/check-prices.mjs.
-      const tokenTransfer = Boolean(payToken && !payToken.native);
-      if (tokenTransfer && from) {
-        // transfer(address,uint256) = 0xa9059cbb
-        const to = String(from || "").replace(/^0x/, "").padStart(64, "0");
-        const value = BigInt(amountWei || 1).toString(16).padStart(64, "0");
-        gasLimit = BigInt(await rpc(chain, "eth_estimateGas", [{ from, to: payToken.address, data: "0xa9059cbb" + to + value }]));
-        measured = true;
-      } else if (from) {
-        gasLimit = BigInt(await rpc(chain, "eth_estimateGas", [{ from, to: from, value: "0x1" }]));
-        measured = true;
-      } else {
-        // Ни аккаунта, ни измерения: типовой лимит и честный признак «не измерено».
-        gasLimit = BigInt(chain.gasLimitFallback || (tokenTransfer ? 65000 : 21000));
-      }
-    } catch {
-      gasLimit = BigInt(chain.gasLimitFallback || (tokenTransfer ? 65000 : 21000));
-    }
-    const wei = gasPrice * gasLimit;
-    const usd = (Number(wei) / 1e18) * price.usd;
-    return put(key, { usd, gasLimit: gasLimit.toString(), gasPrice: gasPrice.toString(), native: price, source: "rpc", measured });
-  } catch {
-    return put(key, null);
-  }
-}
-
-// Одна точка обновления: подтянуть цену и газ для сети и вернуть то, чем можно подписать интерфейс.
-export async function refreshChainPrices(chain, opts = {}) {
-  if (!chain || !chain.rpcUrl) return { nativeUsd: null, gasUsd: null, source: "none" };
-  const [price, gas] = await Promise.all([nativeUsd(chain), gasUsd(chain, opts)]);
-  // Цена нейтива - общая для всех расчётов сети (балансы, «≈ $», оценка газа), поэтому пишем её
-  // в конфиг сети: иначе одна и та же цифра жила бы в двух местах и разъезжалась.
-  if (price && Number.isFinite(price.usd)) chain.native.usd = price.usd;
-  return {
-    nativeUsd: price ? price.usd : null,
-    nativeUpdatedAt: price ? price.updatedAt : null,
-    gasUsd: gas ? gas.usd : null,
-    // ЦЕНА ГАЗА В ВЕЙ - НАРУЖУ, А НЕ ТОЛЬКО СТОИМОСТЬ ОЦЕНКИ. Из неё считается запас газа на действия ордера
-    // (www/js/evm/gasReserve.js): отметка готовности и возврат - другие транзакции, у них свои пределы, и
-    // «стоимость одной оценки» их не заменяет. Нет газа у цепи - null, и вызывающий обязан сказать, что запас
-    // не измерен, а не подставить ноль.
-    gasPriceWei: gas ? gas.gasPrice : null,
-    gasSource: gas ? gas.source : null,
-    gasMeasured: gas ? Boolean(gas.measured) : false,
-    source: price ? "chainlink" : "demo",
-  };
-}
-
-// Коротко и в одну строку, но про ОБЕ половины: строка называется «Gas & price», значит и газ,
-// и цена должны быть в значении. Живая цена видна по самому тексту (Chainlink), демо - по «demo values».
-export function priceLabel(info) {
-  if (!info || !info.source || info.source === "none") return "demo values";
-  if (info.source !== "chainlink") return "demo values";
-  const when = info.nativeUpdatedAt ? new Date(info.nativeUpdatedAt).toISOString().slice(11, 16) : "?";
-  const gas = info.gasMeasured ? "gas by RPC" : "gas estimate";
-  return gas + ", price by Chainlink at " + when + " UTC";
-}
-
-export function resetPriceCache() {
-  cache.clear();
-}
+// GENERATED FILE - a byte-for-byte copy of the engine module www/js/evm/prices.js for the SDK package.
+// Edit the source under www/js, then run: node tools/build-sdk-engine.mjs
+// tools/check-sdk-engine.mjs reddens on any drift, so a stale copy cannot ship silently.
+// Everything below this header is identical to the source.
+
+// Живые рыночные числа для EVM-ноги: цена нейтива (Chainlink on-chain) и стоимость газа (RPC).
+//
+// ПОЧЕМУ ON-CHAIN, А НЕ API. Цена берётся вызовом контракта через тот же RPC, что уже разрешён
+// в CSP (`connect-src`), поэтому:
+//   - не появляется ни одного нового внешнего домена (и ни одного нового доверенного сервиса);
+//   - нет ключей, лимитов и «мы упали, потому что у CoinGecko 429»;
+//   - значение нельзя перепутать с ценой другой сети: адрес фида свой у каждой цепи.
+// Адреса фидов НЕ выдуманы: каждый подтверждён вызовом в сети - описание `description()` должно
+// совпасть с ожидаемой парой, а ответ - попасть в разумный коридор и быть свежим. Проверка живёт
+// в tools/check-prices.mjs (работает на заглушке RPC, без сети).
+//
+// ЧЕГО ЗДЕСЬ НЕТ: если фида для сети нет или он молчит - возвращаем null, и вызывающий код обязан
+// показать, что число демонстрационное, а не подставить вчерашнюю константу молча.
+
+const SELECTOR = {
+  description: "0x7284e416", // description()
+  latestRoundData: "0xfeaf968c", // latestRoundData() -> (roundId, answer, startedAt, updatedAt, answeredInRound)
+};
+
+const CACHE_MS = 60_000; // цена: минута - компромисс между свежестью и числом запросов
+const GAS_CACHE_MS = 30_000; // газ меняется чаще, но и он не обязан бегать на каждый ввод символа
+const MAX_AGE_MS = 24 * 60 * 60 * 1000; // старше суток фид считаем несвежим и не показываем как живой
+
+const cache = new Map(); // ключ: chainId + вид запроса
+
+function cached(key, ttlMs) {
+  const hit = cache.get(key);
+  if (hit && Date.now() - hit.at < ttlMs) return hit.value;
+  return undefined;
+}
+
+function put(key, value) {
+  cache.set(key, { at: Date.now(), value });
+  return value;
+}
+
+async function rpc(chain, method, params = []) {
+  const res = await fetch(chain.rpcUrl, {
+    method: "POST",
+    headers: { "content-type": "application/json" },
+    body: JSON.stringify({ jsonrpc: "2.0", id: 1, method, params }),
+  });
+  if (!res.ok) throw new Error(method + ": HTTP " + res.status);
+  const j = await res.json();
+  if (j.error) throw new Error(method + ": " + (j.error.message || "ошибка RPC"));
+  return j.result;
+}
+
+const word = (data, i) => BigInt("0x" + String(data).slice(2).slice(i * 64, (i + 1) * 64));
+
+// Декодирование строки ABI: [offset][length][bytes]. Нужно, чтобы отличить фид ETH/USD от любого
+// другого, который кто-то подставил в конфиг. TextDecoder, а не Buffer: этот код живёт в браузере.
+function decodeString(data) {
+  const s = String(data || "");
+  if (s.length < 2 + 128) return "";
+  const len = Number(BigInt("0x" + s.slice(2 + 64, 2 + 128)));
+  const body = s.slice(2 + 128, 2 + 128 + len * 2);
+  const bytes = new Uint8Array(body.length / 2);
+  for (let i = 0; i < bytes.length; i++) bytes[i] = parseInt(body.slice(i * 2, i * 2 + 2), 16);
+  return new TextDecoder().decode(bytes);
+}
+
+// Цена нейтива в USD. null - если фида нет, он молчит или значения не проходят проверку.
+export async function nativeUsd(chain, { force = false } = {}) {
+  const feed = chain && chain.priceFeed;
+  if (!feed || !feed.address) return null;
+  const key = chain.id + ":usd";
+  if (!force) {
+    const hit = cached(key, CACHE_MS);
+    if (hit !== undefined) return hit;
+  }
+  try {
+    const [descHex, roundHex] = await Promise.all([
+      rpc(chain, "eth_call", [{ to: feed.address, data: SELECTOR.description }, "latest"]),
+      rpc(chain, "eth_call", [{ to: feed.address, data: SELECTOR.latestRoundData }, "latest"]),
+    ]);
+    const desc = decodeString(descHex);
+    const answer = word(roundHex, 1);
+    const updatedAt = Number(word(roundHex, 3)) * 1000;
+    const decimals = Number(feed.decimals || 8);
+    const value = Number(answer) / 10 ** decimals;
+    const fresh = updatedAt > 0 && Date.now() - updatedAt < MAX_AGE_MS;
+    const sane = value >= (feed.min || 0.01) && value <= (feed.max || 1e7);
+    if (desc !== feed.pair || !fresh || !sane) {
+      return put(key, null); // null, а не «примерно столько»: молчание честнее выдумки
+    }
+    return put(key, { usd: value, updatedAt, source: "chainlink", pair: desc });
+  } catch {
+    return put(key, null);
+  }
+}
+
+// Стоимость газа в USD: оценка лимита × цена газа × цена нейтива.
+// На Arbitrum в цену газа уже входит L1-составляющая (так устроен их gas price), поэтому
+// отдельный вызов NodeInterface не нужен - обычная оценка даёт сопоставимую с кошельками цифру.
+export async function gasUsd(chain, { from = null, payToken = null, amountWei = null } = {}) {
+  const key = chain.id + ":gas";
+  const hit = cached(key, GAS_CACHE_MS);
+  if (hit !== undefined) return hit;
+  const price = await nativeUsd(chain);
+  if (!price) return put(key, null);
+  try {
+    const gasPrice = BigInt(await rpc(chain, "eth_gasPrice"));
+    let gasLimit = null;
+    let measured = false;
+    // Оцениваем ту транзакцию, которую человек и подпишет: перевод оплачиваемого токена.
+    // Эскроу ещё не задеплоен, поэтому это честная нижняя оценка, а не «газ свопа».
+    try {
+      // Без аккаунта eth_estimateGas подставляет НУЛЕВОЙ адрес, и перевод токена справедливо
+      // падает с "ERC20: transfer from the zero address". Поэтому без from не оцениваем вовсе:
+      // берём типовой лимит и честно помечаем, что он не измерен (в интерфейсе это видно).
+      // ВАЖНО: признак "перевод токена" и признак "есть аккаунт" - РАЗНЫЕ условия. Раньше они
+      // были слиты в одну ветку, и без аккаунта перевод токена получал лимит нативного перевода
+      // (21000 вместо 65000) - поймал tools/check-prices.mjs.
+      const tokenTransfer = Boolean(payToken && !payToken.native);
+      if (tokenTransfer && from) {
+        // transfer(address,uint256) = 0xa9059cbb
+        const to = String(from || "").replace(/^0x/, "").padStart(64, "0");
+        const value = BigInt(amountWei || 1).toString(16).padStart(64, "0");
+        gasLimit = BigInt(await rpc(chain, "eth_estimateGas", [{ from, to: payToken.address, data: "0xa9059cbb" + to + value }]));
+        measured = true;
+      } else if (from) {
+        gasLimit = BigInt(await rpc(chain, "eth_estimateGas", [{ from, to: from, value: "0x1" }]));
+        measured = true;
+      } else {
+        // Ни аккаунта, ни измерения: типовой лимит и честный признак «не измерено».
+        gasLimit = BigInt(chain.gasLimitFallback || (tokenTransfer ? 65000 : 21000));
+      }
+    } catch {
+      gasLimit = BigInt(chain.gasLimitFallback || (tokenTransfer ? 65000 : 21000));
+    }
+    const wei = gasPrice * gasLimit;
+    const usd = (Number(wei) / 1e18) * price.usd;
+    return put(key, { usd, gasLimit: gasLimit.toString(), gasPrice: gasPrice.toString(), native: price, source: "rpc", measured });
+  } catch {
+    return put(key, null);
+  }
+}
+
+// Одна точка обновления: подтянуть цену и газ для сети и вернуть то, чем можно подписать интерфейс.
+export async function refreshChainPrices(chain, opts = {}) {
+  if (!chain || !chain.rpcUrl) return { nativeUsd: null, gasUsd: null, source: "none" };
+  const [price, gas] = await Promise.all([nativeUsd(chain), gasUsd(chain, opts)]);
+  // Цена нейтива - общая для всех расчётов сети (балансы, «≈ $», оценка газа), поэтому пишем её
+  // в конфиг сети: иначе одна и та же цифра жила бы в двух местах и разъезжалась.
+  if (price && Number.isFinite(price.usd)) chain.native.usd = price.usd;
+  return {
+    nativeUsd: price ? price.usd : null,
+    nativeUpdatedAt: price ? price.updatedAt : null,
+    gasUsd: gas ? gas.usd : null,
+    // ЦЕНА ГАЗА В ВЕЙ - НАРУЖУ, А НЕ ТОЛЬКО СТОИМОСТЬ ОЦЕНКИ. Из неё считается запас газа на действия ордера
+    // (www/js/evm/gasReserve.js): отметка готовности и возврат - другие транзакции, у них свои пределы, и
+    // «стоимость одной оценки» их не заменяет. Нет газа у цепи - null, и вызывающий обязан сказать, что запас
+    // не измерен, а не подставить ноль.
+    gasPriceWei: gas ? gas.gasPrice : null,
+    gasSource: gas ? gas.source : null,
+    gasMeasured: gas ? Boolean(gas.measured) : false,
+    source: price ? "chainlink" : "demo",
+  };
+}
+
+// Коротко и в одну строку, но про ОБЕ половины: строка называется «Gas & price», значит и газ,
+// и цена должны быть в значении. Живая цена видна по самому тексту (Chainlink), демо - по «demo values».
+export function priceLabel(info) {
+  if (!info || !info.source || info.source === "none") return "demo values";
+  if (info.source !== "chainlink") return "demo values";
+  const when = info.nativeUpdatedAt ? new Date(info.nativeUpdatedAt).toISOString().slice(11, 16) : "?";
+  const gas = info.gasMeasured ? "gas by RPC" : "gas estimate";
+  return gas + ", price by Chainlink at " + when + " UTC";
+}
+
+export function resetPriceCache() {
+  cache.clear();
+}

package/engine/recovery/recoveryFile.js

@@ -88,7 +88,10 @@ export const PAYLOAD_VERSION = 3;
 // источник, v3 - ПОЛОВИНЫ. Читать обязаны все три: у людей на руках есть файлы всех версий, и файл
 // восстановления - единственный способ забрать свои XMR. Выбрасывать старые версии нельзя.
 const SUPPORTED_PAYLOAD_VERSIONS = [1, 2, 3];
-const NETWORKS = ["mainnet", "stagenet", "testnet"];
+// СЕТИ, КОТОРЫЕ ЧИТАТЕЛЬ ФАЙЛА ЗНАЕТ. Три стандартные плюс fakechain - официальное имя regtest-режима
+// monerod: нода контура CI называет себя именно так, и файл, выпущенный на такой сети, обязан читаться.
+// Список поимённый: сеть вне него отвергается как неизвестная, и это остаётся в силе.
+const NETWORKS = ["mainnet", "stagenet", "testnet", "fakechain"];
 
 function b64(bytes) {
   return btoa(String.fromCharCode(...new Uint8Array(bytes)));

package/engine/sdk/bridge.js

@@ -37,7 +37,7 @@
 // загрузился (нет файла, старый кеш, сеть) - это НАЗВАННЫЙ отказ с причиной в консоли (sdkBundle ниже), а не
 // молчание и не подмена.
 
-import { chainById, DEFAULT_CHAIN, MONERO, allowedProvidersFor, knownFactoryCodesFor } from "../core/config.js";
+import { chainById, DEFAULT_CHAIN, MONERO, allowedProvidersFor, knownFactoryCodesFor, knownImplementationCodesFor } from "../core/config.js";
 import { storage as pageStorage } from "../core/store.js";
 import { token as authToken, signIn } from "../evm/auth.js";
 import * as evm from "../evm/index.js";
@@ -69,7 +69,7 @@ import { height as nodeHeightValue } from "../monero/node.js";
 
 // АДРЕС ЯДРА СТРОКОЙ - СОБРАННЫЙ БАНДЛ ПОД www/ (tools/build-sdk.mjs): страница получает ядро ОДНИМ
 // модулем, а не пачкой исходников sdk/. ?v=<хеш> проставляет tools/stamp-assets.mjs.
-const SDK_BUNDLE = "/assets/vendors/sdk/sdk-browser.js?v=bdb79a39";
+const SDK_BUNDLE = "/assets/vendors/sdk/sdk-browser.js?v=31e62de5";
 
 // ОДНА ЗАГРУЗКА НА СТРАНИЦУ. Отказ - это состояние, а не поломка: он назван в консоли, и вызывающий решает.
 let loading = null;
@@ -140,6 +140,11 @@ function optionsFor(chain) {
     // берёт из записи реестра провайдера, а её КОД сверяет с этим списком (extcodehash). Пусто = политики
     // нет; тогда фабрика всё равно обязана совпасть с подписанной котировкой.
     knownFactoryCodes: knownFactoryCodesFor(chain),
+    // ХЕШ ИЗВЕСТНОЙ СБОРКИ РЕАЛИЗАЦИИ ЭСКРОУ (#114) - РЯДОМ С knownFactoryCodes. Фабрика сверяет пару
+    // (implementation, implementationCodeHash) при создании ордера; ядро сверяет ТУ ЖЕ пару на цепи, и этот
+    // список - политика интерфейса: какие сборки реализации он принимает. Пусто = политики нет (сеть со
+    // старой фабрикой), и тогда пара всё равно читается, а код по адресу реализации обязан быть непустым.
+    knownImplementationCodes: knownImplementationCodesFor(chain),
   };
 }
 

package/index.d.ts

@@ -24,8 +24,12 @@ export interface NinseiOptions {
    * without a driver answers with the code `not-implemented`, rather than being assumed EVM by default.
    */
   settlement: { chain: string; vm?: string };
-  /** The Monero network. A value from `sdk.config.xmrNetworks`. */
-  xmrNetwork: "mainnet" | "stagenet" | "testnet";
+  /**
+   * The Monero network. A value from `sdk.config.xmrNetworks`. Besides mainnet/stagenet/testnet it names
+   * `fakechain` - the official network name monerod reports in regtest mode, which the withdrawal page picks up
+   * from the node on the CI contour.
+   */
+  xmrNetwork: "mainnet" | "stagenet" | "testnet" | "fakechain";
   /** Where to load workers and WASM from (order-worker, the Monero bundles). Default "/". */
   assetsBase?: string;
   /** Storage for unfinished swaps and sessions. Default - a localStorage adapter, if present. */
@@ -89,6 +93,18 @@ export interface NinseiOptions {
    * policy": the record's factory must still be named and agree with the quote.
    */
   knownFactoryCodes?: readonly string[];
+  /**
+   * THE INTERFACE'S ESCROW-IMPLEMENTATION POLICY (issue #114) - policy, not proof, next to knownFactoryCodes and
+   * allowedProviders. Since #114 every order's escrow is an EIP-1167 clone of ONE shared implementation, and the
+   * factory carries the pair (`implementation()`, `implementationCodeHash()`). The factory checks that pair at
+   * creation; the core checks the SAME pair on chain - it reads the pair off the factory, reads the code at the
+   * implementation's address, re-hashes it and matches it against this list of known build hashes (`keccak256` of
+   * the implementation's runtime code, a protocol constant: the implementation has no immutables). An implementation
+   * whose code is not a known build (or has no code at all) is refused with `quote-factory-code-unknown`; a pair
+   * that cannot be read at all (an older factory without those getters) is refused with `quote-factory-unchecked`.
+   * An empty/absent list means "no policy": the pair is still read and the implementation's code must be non-empty.
+   */
+  knownImplementationCodes?: readonly string[];
   /**
    * A PASS TO OUR SERVICE for the "server" step (recording the swap with us). Only a wallet can sign the sign-in
    * message, and the wallet's role in the SDK is an adapter: windows and message signatures remain the interface's,

package/package.json

@@ -1,11 +1,11 @@
 {
   "name": "@ninsei-labs/sdk",
-  "version": "0.39.0",
+  "version": "0.39.2",
   "publishConfig": {
     "access": "public",
     "registry": "https://registry.npmjs.org/"
   },
-  "packageManager": "pnpm@9.15.9",
+  "packageManager": "pnpm@12.10.1",
   "description": "XMR <-> EVM swap engine: quotes, guards, order steps, recovery (no DOM, no user-facing strings)",
   "license": "MIT",
   "type": "module",
@@ -16,9 +16,9 @@
     "check:import": "node tools/check.mjs --only=import",
     "check:surface": "node tools/check.mjs --only=surface",
     "check:mirror": "node tools/check.mjs --only=mirror",
-    "check:language": "node tools/check.mjs --only=language",
     "check:pack": "node tools/check.mjs --only=pack",
-    "check:secrets": "node tools/check.mjs --only=secrets"
+    "check:secrets": "node tools/check.mjs --only=secrets",
+    "check:sweep": "node tools/sweep-refusal.test.mjs"
   },
   "types": "./index.d.ts",
   "exports": {

package/src/actions.mjs

@@ -1,72 +1,72 @@
-// ORDER ACTIONS: MARKING READY, CLAIMING, REFUNDING.
-//
-// All three go through ONE wallet seam (the `send`/`receipt` role) and through the slot check that in the engine
-// stands BEFORE signing. What is added here is exactly what the engine cannot do: `expect` is MANDATORY.
-//
-// Why it is mandatory. The slot check compares the order we assembled with the one lying on the chain. Without
-// expectations there is nothing to compare against, and the signature goes out under an order whose commitments
-// nobody checked: for marking ready that is granting a foreign address the right to take the settlement, for
-// claiming it is revealing your own half (irreversible), for refunding the same reveal. The transaction still
-// looks successful.
-import { SdkError } from "./errors.mjs";
-import * as engine from "./engine.mjs";
-// THE DEAL FLOW IS NOW A PACKAGE MODULE, NOT AN ENGINE FILE (#32, wave 3): www/js/core/swap-flow.js moved to
-// sdk/src/swap-flow.mjs. The actions therefore call the module directly instead of reaching it through the
-// mirror - there is exactly one implementation, and it lives here.
-import * as flow from "./swap-flow.mjs";
-
-const missingFields = (object, fields) =>
-  fields.filter((k) => object[k] === undefined || object[k] === null || object[k] === "");
-
-const walletOrFail = (wallet) => {
-  const role = ["send", "receipt"];
-  const missing = wallet ? role.filter((k) => typeof wallet[k] !== "function") : role;
-  if (missing.length) throw new SdkError("bad-input", { field: "wallet", missing });
-  return wallet;
-};
-
-const requestOrFail = (request, extra) => {
-  if (!request || typeof request !== "object") throw new SdkError("bad-input", { field: "request" });
-  const missing = missingFields(request, ["escrow", "expect", ...extra]);
-  if (missing.length) throw new SdkError("bad-input", { field: "request", missing });
-  return request;
-};
-
-// The engine's refusal arrives as text; a CODE goes out. Texts are the interface's business, the core speaks in codes.
-const withCodes = async (step, work) => {
-  try { return await work(); }
-  catch (error) {
-    if (error && typeof error.code === "string") throw error;
-    throw new SdkError("contract-reverted", { step });
-  }
-};
-
-export function createActions({ call = null } = {}) {
-  // WHAT READS THE CHAIN IS ALSO A SEAM, and not only for the checks: the slot check and the signature must go
-  // ONE way, otherwise part of the check goes past the wallet and part does not. By default - the engine's read.
-  const reader = call || engine.evm.readContract;
-  const deps = (wallet) => ({ call: reader, send: (tx) => wallet.send(tx), receipt: (h) => wallet.receipt(h) });
-  return {
-    /** Marking "I saw the XMR on the shared address". Without it, claiming is forbidden by the contract. */
-    async markReady(request, wallet) {
-      requestOrFail(request, []);
-      walletOrFail(wallet);
-      const { escrow, expect, onStep } = request;
-      return await withCodes("mark-ready", () => flow.markReadyOrder({ escrow, expect, onStep, deps: deps(wallet) }));
-    },
-    /** Claiming: it reveals your own half, so expectations are mandatory. */
-    async claim(request, wallet) {
-      requestOrFail(request, ["halfClaimer"]);
-      walletOrFail(wallet);
-      const { escrow, halfClaimer, expect, onStep } = request;
-      return await withCodes("claim", () => flow.claimOrder({ escrow, halfClaimer, expect, onStep, deps: deps(wallet) }));
-    },
-    /** Refunding: it also reveals a half. The core passes the expectations ALWAYS, though the engine does not require them. */
-    async refund(request, wallet) {
-      requestOrFail(request, ["halfLocker"]);
-      walletOrFail(wallet);
-      const { escrow, halfLocker, expect, onStep } = request;
-      return await withCodes("refund", () => flow.refundOrder({ escrow, halfLocker, expect, onStep, deps: deps(wallet) }));
-    },
-  };
-}
+// ORDER ACTIONS: MARKING READY, CLAIMING, REFUNDING.
+//
+// All three go through ONE wallet seam (the `send`/`receipt` role) and through the slot check that in the engine
+// stands BEFORE signing. What is added here is exactly what the engine cannot do: `expect` is MANDATORY.
+//
+// Why it is mandatory. The slot check compares the order we assembled with the one lying on the chain. Without
+// expectations there is nothing to compare against, and the signature goes out under an order whose commitments
+// nobody checked: for marking ready that is granting a foreign address the right to take the settlement, for
+// claiming it is revealing your own half (irreversible), for refunding the same reveal. The transaction still
+// looks successful.
+import { SdkError } from "./errors.mjs";
+import * as engine from "./engine.mjs";
+// THE DEAL FLOW IS NOW A PACKAGE MODULE, NOT AN ENGINE FILE (#32, wave 3): www/js/core/swap-flow.js moved to
+// sdk/src/swap-flow.mjs. The actions therefore call the module directly instead of reaching it through the
+// mirror - there is exactly one implementation, and it lives here.
+import * as flow from "./swap-flow.mjs";
+
+const missingFields = (object, fields) =>
+  fields.filter((k) => object[k] === undefined || object[k] === null || object[k] === "");
+
+const walletOrFail = (wallet) => {
+  const role = ["send", "receipt"];
+  const missing = wallet ? role.filter((k) => typeof wallet[k] !== "function") : role;
+  if (missing.length) throw new SdkError("bad-input", { field: "wallet", missing });
+  return wallet;
+};
+
+const requestOrFail = (request, extra) => {
+  if (!request || typeof request !== "object") throw new SdkError("bad-input", { field: "request" });
+  const missing = missingFields(request, ["escrow", "expect", ...extra]);
+  if (missing.length) throw new SdkError("bad-input", { field: "request", missing });
+  return request;
+};
+
+// The engine's refusal arrives as text; a CODE goes out. Texts are the interface's business, the core speaks in codes.
+const withCodes = async (step, work) => {
+  try { return await work(); }
+  catch (error) {
+    if (error && typeof error.code === "string") throw error;
+    throw new SdkError("contract-reverted", { step });
+  }
+};
+
+export function createActions({ call = null } = {}) {
+  // WHAT READS THE CHAIN IS ALSO A SEAM, and not only for the checks: the slot check and the signature must go
+  // ONE way, otherwise part of the check goes past the wallet and part does not. By default - the engine's read.
+  const reader = call || engine.evm.readContract;
+  const deps = (wallet) => ({ call: reader, send: (tx) => wallet.send(tx), receipt: (h) => wallet.receipt(h) });
+  return {
+    /** Marking "I saw the XMR on the shared address". Without it, claiming is forbidden by the contract. */
+    async markReady(request, wallet) {
+      requestOrFail(request, []);
+      walletOrFail(wallet);
+      const { escrow, expect, onStep } = request;
+      return await withCodes("mark-ready", () => flow.markReadyOrder({ escrow, expect, onStep, deps: deps(wallet) }));
+    },
+    /** Claiming: it reveals your own half, so expectations are mandatory. */
+    async claim(request, wallet) {
+      requestOrFail(request, ["halfClaimer"]);
+      walletOrFail(wallet);
+      const { escrow, halfClaimer, expect, onStep } = request;
+      return await withCodes("claim", () => flow.claimOrder({ escrow, halfClaimer, expect, onStep, deps: deps(wallet) }));
+    },
+    /** Refunding: it also reveals a half. The core passes the expectations ALWAYS, though the engine does not require them. */
+    async refund(request, wallet) {
+      requestOrFail(request, ["halfLocker"]);
+      walletOrFail(wallet);
+      const { escrow, halfLocker, expect, onStep } = request;
+      return await withCodes("refund", () => flow.refundOrder({ escrow, halfLocker, expect, onStep, deps: deps(wallet) }));
+    },
+  };
+}