@nodefony/security 10.0.0-beta.5 → 10.0.0-beta.7

package/dist/nodefony/keycloak/scaffold.js

@@ -25,15 +25,19 @@ const APP_KEYCLOAK_REALM_FILE = "docker/keycloak/import/realm.json";
 const APP_KEYCLOAK_THEMES_DIR = "docker/keycloak/themes";
 const APP_KEYCLOAK_THEME_DIR = `${APP_KEYCLOAK_THEMES_DIR}/${KEYCLOAK_THEME_NAME}`;
 /** Fichier de configuration de sécurité d'une application générée. */
-const APP_SECURITY_CONFIG_FILE = "nodefony/config/security.ts";
 /**
-* Ressource de l'API partenaire d'une application neuve en développement :
-* ce que rend `partnerResource()` du gabarit `complete` sans `NF_JWT_ISSUER`
-* ni `NF_PORT_HTTPS` — le port HTTPS par défaut, comme les URL de retour du
-* realm. Deux paquets, une valeur : le test de contribution compare le
-* gabarit rendu à cette constante.
+* Le fichier où la démo de `create app --demo` (module privé `modules/demo`)
+* déclare sa zone à jeton — la surcharge `module-security` qu'elle apporte.
 */
-const APP_PARTNER_DEV_RESOURCE = "https://localhost:5152/api/partner";
+const DEMO_SECURITY_CONFIG_FILE = "modules/demo/nodefony/config/security.ts";
+/**
+* Ressource de l'API partenaire de la démo en développement : le chemin de sa
+* zone (`/demo/api/partner`) rendu absolu contre l'émetteur de développement
+* — le port HTTPS par défaut, comme les URL de retour du realm. Deux paquets,
+* une valeur : le test de contribution la confronte à une application
+* `--demo` réellement rendue.
+*/
+const APP_PARTNER_DEV_RESOURCE = "https://localhost:5152/demo/api/partner";
 /** Les types de thème que le realm sait déclarer, et la clé qui les porte. */
 const THEME_TYPES = [
 	"login",
@@ -124,6 +128,12 @@ function devMachineSecret(appName) {
 * rôle client `admin` (`roleMapping: { admin: "ROLE_ADMIN" }`), et les
 * audiences des zones `external-jwt` que la configuration rendue déclare.
 *
+* Le client « machine » (`<app>-machine`, `client_credentials`) n'existe que
+* s'il a une audience à recevoir : une application neuve n'ouvre aucune zone à
+* jeton tiers (#746), et un client que rien n'accepte serait un secret de plus
+* à garder pour rien. La démo, qui apporte l'API entre programmes, le fait
+* naître en déclarant sa ressource.
+*
 * @param appName - nom de l'application (= realm = identifiant de client)
 * @param themes - types de thème à déclarer
 * @param ids - `sub` des comptes de démonstration, FIXÉS dans le fichier :
@@ -150,7 +160,7 @@ function appDevRealmInput(appName, themes, ids, audiences = []) {
 			description: "Administrateur de l'application — traduit en ROLE_ADMIN par la table roleMapping du fournisseur keycloak."
 		}],
 		realmRoles: [],
-		machine: {
+		machine: audiences.length === 0 ? null : {
 			clientId: `${appName}-machine`,
 			secret: devMachineSecret(appName),
 			name: `${appName} — appelant machine (compte de service)`,
@@ -191,17 +201,24 @@ function mountsKeycloak(context) {
 	].some((file) => context.read(file)?.includes("./docker/keycloak/") === true);
 }
 /**
-* Les audiences que la configuration RENDUE de l'application déclare. Le
-* gabarit `complete` ouvre la zone `partner` (`jwt` + `external-jwt`) : sans
-* son audience dans le realm, le jeton du client machine y est refusé dès le
-* premier essai, et `security:keycloak:realm --check` trouve le realm né en
-* désaccord avec la configuration.
+* Les audiences que la configuration RENDUE de l'application déclare. Une
+* application neuve n'en déclare aucune ; la démo ouvre la zone
+* `demo-partner` (`jwt` + `external-jwt`) dans son propre module : sans son
+* audience dans le realm, le jeton du client machine y serait refusé dès le
+* premier essai, et `security:keycloak:realm --check` trouverait le realm né
+* en désaccord avec la configuration.
+*
+* Le fichier de zone de la démo doit écrire le CHEMIN de la ressource : un
+* module qui l'aurait changé n'a pas l'audience de cette constante, et
+* mieux vaut ne rien inscrire qu'une audience que la zone refuserait.
 *
 * @param context - contexte de contribution
 * @returns les ressources à inscrire dans les jetons du realm
 */
 function renderedAudiences(context) {
-	return context.read(APP_SECURITY_CONFIG_FILE)?.includes("partnerResource(") === true ? [APP_PARTNER_DEV_RESOURCE] : [];
+	const demo = context.read(DEMO_SECURITY_CONFIG_FILE);
+	const resourcePath = new URL(APP_PARTNER_DEV_RESOURCE).pathname;
+	return demo?.includes(`"${resourcePath}"`) === true ? [APP_PARTNER_DEV_RESOURCE] : [];
 }
 /**
 * Recopie les thèmes livrés dans l'application — `nodefony` et ses thèmes

package/dist/nodefony/keycloak/security-keycloak-realm.js

@@ -1,5 +1,5 @@
-import { KeycloakRealmError } from "./keycloakRealmInput.js";
 import { KeycloakAdminError } from "./keycloakAdmin.js";
+import { KeycloakRealmError } from "./keycloakRealmInput.js";
 import { Command } from "nodefony";
 import path from "node:path";
 // nodefony/keycloak/security-keycloak-realm.ts

package/dist/nodefony/service/accessTokenVerifier.js

@@ -1,11 +1,11 @@
-import { AuthenticationError } from "../errors/AuthenticationError.js";
 import { defineSecurityConfig } from "../config/defineModuleConfig.js";
-import { UserToken } from "../src/token/UserToken.js";
-import peekIssuer from "../src/authenticator/peekIssuer.js";
+import { RemoteJwtVerifier } from "../src/token/RemoteJwtVerifier.js";
 import { JwtAuthenticator } from "../src/authenticator/JwtAuthenticator.js";
-import { ExternalSubjectResolver, externalSubjectOptions } from "../src/authenticator/ExternalSubjectResolver.js";
+import peekIssuer from "../src/authenticator/peekIssuer.js";
 import { resolveJwtRuntime } from "../src/token/jwtRuntime.js";
-import { RemoteJwtVerifier } from "../src/token/RemoteJwtVerifier.js";
+import { UserToken } from "../src/token/UserToken.js";
+import { ExternalSubjectResolver, externalSubjectOptions } from "../src/authenticator/ExternalSubjectResolver.js";
+import { AuthenticationError } from "../errors/AuthenticationError.js";
 import { ACCESS_ACCOUNT_RESOLVER, ACCESS_TOKEN_VERIFIER, Service } from "nodefony";
 // nodefony/service/accessTokenVerifier.ts
 const serviceName = ACCESS_TOKEN_VERIFIER;
@@ -67,7 +67,7 @@ var AccessTokenVerifierService = class extends Service {
 		} catch {
 			return;
 		}
-		const runtime = config.jwt.enabled ? resolveJwtRuntime(config.jwt) : null;
+		const runtime = config.jwt.enabled ? resolveJwtRuntime(config.jwt, config.areas) : null;
 		const local = runtime === null ? null : new JwtAuthenticator(this.container, runtime);
 		const { issuers, ...tuning } = config.resourceServer;
 		let remote = null;

package/dist/nodefony/service/apiKeys.js

@@ -1,10 +1,10 @@
-import { ScopeGrantPolicy, refusedScopes } from "../src/token/scopeGrants.js";
+import { TOKEN_FACETS } from "../src/token/tokenFilters.js";
 import { defineSecurityConfig } from "../config/defineModuleConfig.js";
-import { ACCOUNT_ID_KEY, CREDENTIALS_VERSION_KEY, credentialsVersionOf } from "../src/accountBinding.js";
+import { ApiKeyError } from "../errors/ApiKeyError.js";
 import { generateApiKey } from "../src/apikey/apiKeyFormat.js";
+import { ScopeGrantPolicy, refusedScopes } from "../src/token/scopeGrants.js";
 import { recordAudit } from "../src/audit/recordAudit.js";
-import { TOKEN_FACETS } from "../src/token/tokenFilters.js";
-import { ApiKeyError } from "../errors/ApiKeyError.js";
+import { ACCOUNT_ID_KEY, CREDENTIALS_VERSION_KEY, credentialsVersionOf } from "../src/accountBinding.js";
 import { Service, countFacets } from "nodefony";
 import { randomUUID } from "node:crypto";
 // nodefony/service/apiKeys.ts
@@ -97,6 +97,9 @@ var ApiKeyService = class extends Service {
 	* @param roles - rôles du porteur tels que son compte les porte ; omis =
 	*   aucun rôle, donc tout scope réservé est refusé (fail-closed).
 	* @throws ApiKeyError 400 — nom vide/trop long, scope hors catalogue, expiry invalide.
+	* @throws ApiKeyError 400 — `tenantId` rempli : le périmètre d'un locataire n'est
+	*   pas encore appliqué (aucun lecteur ne cloisonne sur lui) — l'accepter rendrait
+	*   la clé trompeuse, et l'appliquer un jour lui retirerait des accès (rupture).
 	* @throws ApiKeyError 403 — scope réservé à des rôles que le porteur n'a pas.
 	* @throws ApiKeyError 409 — plafond `maxPerSubject` atteint.
 	* @throws ApiKeyError 403 — aucun compte sous cet identifiant (la clé est liée
@@ -104,6 +107,7 @@ var ApiKeyService = class extends Service {
 	* @throws ApiKeyError 503 — store ou annuaire `users` indisponible.
 	*/
 	async createForSubject(subjectId, subjectType, opts, roles = []) {
+		if (opts.tenantId != null) throw new ApiKeyError("apiKeys: tenantId n'est pas encore pris en charge — le multi-tenant n'existe pas, et une clé rattachée à un locataire verrait tout. Laisser tenantId absent ou null.", 400);
 		const store = this.#resolveStore();
 		const name = this.#normalizeName(opts.name);
 		const scopes = this.#normalizeScopes(opts.scopes);

package/dist/nodefony/service/auditService.js

@@ -1,5 +1,6 @@
 import { defineSecurityConfig } from "../config/defineModuleConfig.js";
 import { getAuditStoreFactory, listAuditStores } from "../src/audit/auditStoreRegistry.js";
+import { AuditRefusalAggregator } from "../src/audit/AuditRefusalAggregator.js";
 import { AUTO_STORE, EMPTY_INFRA, GcScheduler, Service, durableStoreRemedy, readStoreConnector, readStoreLocation, resolveAutoStore, storeConnectivity } from "nodefony";
 import { randomBytes } from "node:crypto";
 // nodefony/service/auditService.ts
@@ -30,11 +31,21 @@ var AuditService = class extends Service {
 	#idPrefix = "";
 	#seq = 0;
 	#gc = null;
+	/** Agrégation des refus — `null` si désactivée par la config. */
+	#aggregator = null;
+	/** Balayage des fenêtres échues — armé au premier refus suivi, coupé à vide. */
+	#sweep = null;
+	#windowMs = 0;
 	constructor(module) {
 		super(serviceName, module.container, module.notificationsCenter, module.options);
 		this.module = module;
-		this.kernel?.once("onBoot", () => this.#build());
-		this.kernel?.once("onTerminate", () => this.#shutdown());
+		this.kernel?.once("onBoot", () => {
+			try {
+				this.#build();
+			} finally {
+				this.kernel?.once("onTerminate", () => this.#shutdown());
+			}
+		});
 	}
 	#build() {
 		let config;
@@ -91,9 +102,17 @@ var AuditService = class extends Service {
 			onError: (e) => this.log(e, "WARNING")
 		});
 		this.#gc.start();
+		const aggregate = config.audit.aggregate;
+		if (aggregate.enabled) {
+			this.#windowMs = aggregate.windowMs;
+			this.#aggregator = new AuditRefusalAggregator(aggregate, (draft) => this.#write(draft, Date.now()));
+		}
 		this.log(`audit service ready — store "${config.audit.store}", rétention ${config.audit.retentionDays}j`, "DEBUG");
 	}
 	#shutdown() {
+		this.#stopSweep();
+		this.#aggregator?.flush();
+		this.#aggregator = null;
 		this.#gc?.stop();
 		this.#gc = null;
 		this.#listeners = null;
@@ -102,10 +121,21 @@ var AuditService = class extends Service {
 	}
 	record(draft) {
 		if (!this.#enabled || this.#store === null) return;
+		const now = Date.now();
+		if (draft.outcome !== "success" && this.#aggregator !== null) {
+			const written = this.#aggregator.admit(draft, now);
+			if (this.#sweep === null) this.#startSweep();
+			if (!written) return;
+		}
+		this.#write(draft, now);
+	}
+	/** Persiste (fire-and-forget) et diffuse un événement horodaté `ts`. */
+	#write(draft, ts) {
+		if (this.#store === null) return;
 		const event = {
 			...draft,
 			id: `${this.#idPrefix}-${(this.#seq++).toString(36)}`,
-			ts: Date.now()
+			ts
 		};
 		this.#store.append(event).catch((error) => this.log(error, "ERROR"));
 		if (this.#listeners !== null) for (const listener of this.#listeners) try {
@@ -114,6 +144,21 @@ var AuditService = class extends Service {
 			this.log(error, "ERROR");
 		}
 	}
+	/** Arme le balayage des fenêtres échues (une fois par fenêtre, `unref`). */
+	#startSweep() {
+		this.#sweep = setInterval(() => {
+			const aggregator = this.#aggregator;
+			if (aggregator === null) return this.#stopSweep();
+			aggregator.sweep(Date.now());
+			if (aggregator.size === 0) this.#stopSweep();
+		}, this.#windowMs);
+		this.#sweep.unref();
+	}
+	#stopSweep() {
+		if (this.#sweep === null) return;
+		clearInterval(this.#sweep);
+		this.#sweep = null;
+	}
 	subscribe(listener) {
 		this.#listeners ??= [];
 		this.#listeners.push(listener);

package/dist/nodefony/service/authFlow.js

@@ -1,12 +1,12 @@
-import { securityConfigSchema } from "../config/config.js";
-import { InsecureTransportError } from "../errors/InsecureTransportError.js";
 import { AuthenticationError } from "../errors/AuthenticationError.js";
 import { ThrottledError } from "../errors/ThrottledError.js";
-import { ACCOUNT_ID_KEY, CREDENTIALS_VERSION_KEY, credentialsVersionOf } from "../src/accountBinding.js";
+import { InsecureTransportError } from "../errors/InsecureTransportError.js";
 import { resolveBoundSessionIdentity, resolveSessionIdentity } from "../src/sessionIdentity.js";
+import { ACCOUNT_ID_KEY, CREDENTIALS_VERSION_KEY, credentialsVersionOf } from "../src/accountBinding.js";
 import { recordAudit } from "../src/audit/recordAudit.js";
 import { readAuditContext } from "../src/audit/readAuditContext.js";
 import { amrForFactor } from "../src/sessionAuthentication.js";
+import { securityConfigSchema } from "../config/config.js";
 import { LOGIN_PAGE_SKIN_SPECS, MFA_METHOD_TOTP, SESSION_AMR_KEY, SESSION_AUTH_AT_KEY, Service } from "nodefony";
 import { requestUser } from "@nodefony/user";
 // nodefony/service/authFlow.ts
@@ -284,8 +284,8 @@ var AuthFlow = class extends Service {
 	* (mêmes contrôles que le `SessionAuthenticator` — source unique).
 	*
 	* @returns la projection publique, ou `null` (pas de session, session
-	*   orpheline, compte verrouillé/désactivé) — le handler répond `200`
-	*   `{ user: null }`.
+	*   orpheline, compte verrouillé/désactivé — la session périmée est alors
+	*   détruite, cookie compris) — le handler répond `200` `{ user: null }`.
 	*/
 	async me(context) {
 		const identifier = context.session?.user;
@@ -295,7 +295,10 @@ var AuthFlow = class extends Service {
 		try {
 			return toSafeUser(await resolveBoundSessionIdentity(this.#resolveUsers(), identifier, context.session?.getMetaBag(ACCOUNT_ID_KEY), context.session?.getMetaBag(CREDENTIALS_VERSION_KEY)));
 		} catch (error) {
-			if (error instanceof AuthenticationError) return null;
+			if (error instanceof AuthenticationError) {
+				await context.session?.destroy(true);
+				return null;
+			}
 			throw error;
 		}
 	}

package/dist/nodefony/service/authorization.js

@@ -1,6 +1,6 @@
-import { recordAudit } from "../src/audit/recordAudit.js";
 import "../contracts/IAccessVoter.js";
 import { listVoterFactories } from "../src/voter/voterRegistry.js";
+import { recordAudit } from "../src/audit/recordAudit.js";
 import { Service, logColor } from "nodefony";
 // nodefony/service/authorization.ts
 const serviceName = "authorization";