@o3co/create-auth-provider 0.4.1

package/templates/standalone/.dockerignore

@@ -0,0 +1,9 @@
+node_modules
+dist
+.git
+.gitignore
+.env*
+!.env.example
+*.md
+docker-compose*.yml
+Makefile

package/templates/standalone/.env.example

@@ -0,0 +1,21 @@
+# Required
+OAUTH_JWT_SECRET=
+SESSION_SECRET=
+
+# User repository
+CLIENT_USER_AUTHENTICATE_URL=
+CLIENT_USER_AUTHENTICATE_BY_TOKEN_URL=
+
+# Redis (code repository + session storage)
+# Use redis://redis:6379 when running via docker compose
+CLIENT_CODE_ENDPOINT_URI=redis://redis:6379
+SESSION_STORAGE_REDIS_URL=redis://redis:6379
+
+# Development (override for local HTTP)
+SESSION_SECURE=false
+
+# Optional
+# HTTP_PORT=3000
+# OAUTH_JWT_ISSUER=
+# OAUTH_ACCESS_TOKEN_EXPIRES_IN=3600
+# OAUTH_REFRESH_TOKEN_EXPIRES_IN=86400

package/templates/standalone/Dockerfile

@@ -0,0 +1,58 @@
+FROM node:24-alpine AS node-base
+
+ENV HOME=/home/node
+
+RUN apk add --no-cache tini \
+ && npm install -g corepack --force \
+ && corepack enable
+
+WORKDIR /home/node
+
+#############################################
+FROM node-base AS deps
+
+COPY package.json ./
+
+RUN pnpm install
+
+#############################################
+FROM deps AS builder
+
+COPY tsconfig.json ./
+COPY config/ ./config/
+COPY src/ ./src/
+
+RUN pnpm run build
+
+#############################################
+FROM node-base AS runtime
+
+ENV NODE_ENV=production
+
+COPY --from=deps /home/node/package.json /home/node/pnpm-lock.yaml ./
+
+RUN pnpm install --prod \
+ && pnpm store prune
+
+COPY --from=builder /home/node/dist/ ./dist/
+COPY --from=builder /home/node/config/ ./config/
+
+USER node
+
+ENTRYPOINT ["tini", "--"]
+CMD ["node", "dist/app.mjs"]
+
+#############################################
+FROM builder AS test
+
+COPY vitest.config.mts ./
+COPY tests/ ./tests/
+
+CMD ["pnpm", "run", "test", "--", "--passWithNoTests"]
+
+#############################################
+FROM builder AS develop
+
+USER node
+
+CMD ["pnpm", "run", "debug"]

package/templates/standalone/Makefile

@@ -0,0 +1,12 @@
+IMAGE ?= auth-provider
+
+.PHONY: dev test build
+
+dev:
+	docker compose up --build
+
+test:
+	docker compose -f docker-compose.test.yml up --build --abort-on-container-exit --exit-code-from test
+
+build:
+	docker build --target runtime -t $(IMAGE) .

package/templates/standalone/README.ja.md

@@ -0,0 +1,205 @@
+# @o3co/auth-provider-standalone
+
+auth.provider のデプロイ可能なサーバーテンプレートです。これは composition root であり、設定を読み込み、モジュールをロードし、Express サーバーを起動します。`@o3co/create-auth-provider` で生成されます。
+
+## 使い方
+
+```bash
+# 依存関係をインストール
+pnpm install
+
+# 環境変数ファイルをコピーして必須値を記入
+cp .env.example .env
+
+# 開発モードで起動（ホットリロード）
+pnpm run debug
+
+# ビルドして本番モードで起動
+pnpm run build
+pnpm start
+```
+
+## 設定
+
+設定は `config/application.conf`（HOCON 形式）から読み込まれます。各値は対応する環境変数で上書きできます。
+
+### 環境別コンフィグ overlay
+
+`src/app.mts` は 2 層構成でコンフィグを読み込みます:
+
+1. **`config/application.conf`** — アプリの基本デフォルト。
+2. **`config/{ENV}.conf`** — 現在の環境の overlay。
+   `ENV = CONFIG_ENV || NODE_ENV || "development"` で決まります。
+
+overlay の値は `application.conf` を上書きします。scaffold には
+`development.conf` と `production.conf` が同梱されています。別の環境
+（例: `staging`）を追加するときは `config/staging.conf` を作成し、
+`CONFIG_ENV=staging` を設定してください。`{ENV}.conf` が存在しない場合は
+起動時にエラーになります（タイポを silent に素通りさせず fail-fast します）。
+
+### HTTP
+
+| 変数 | デフォルト | 説明 |
+|---|---|---|
+| `HTTP_PORT` | `3000` | サーバーがリッスンするポート |
+| `HTTP_TRUST_PROXY` | `false` | リバースプロキシの背後で動作する場合は `true` に設定 |
+
+### OAuth JWT
+
+| 変数 | デフォルト | 説明 |
+|---|---|---|
+| `OAUTH_JWT_ALGORITHM` | `HS256` | JWT 署名アルゴリズム（例: `RS256`、`ES256`） |
+| `OAUTH_JWT_SECRET` | — | 署名シークレット（HMAC アルゴリズム用） |
+| `OAUTH_JWT_ISSUER` | — | JWT の `iss` クレーム値 |
+| `OAUTH_JWT_KID` | `v0` | JWT ヘッダーに含まれる key ID |
+| `OAUTH_JWT_PRIVATE_KEY` | — | PEM エンコードされた秘密鍵（非対称アルゴリズム用） |
+| `OAUTH_JWT_PRIVATE_KEY_PATH` | — | PEM 秘密鍵ファイルのパス |
+| `OAUTH_JWT_PUBLIC_KEY` | — | PEM エンコードされた公開鍵 |
+| `OAUTH_JWT_PUBLIC_KEY_PATH` | — | PEM 公開鍵ファイルのパス |
+
+### トークン有効期限
+
+| 変数 | デフォルト | 説明 |
+|---|---|---|
+| `OAUTH_ACCESS_TOKEN_EXPIRES_IN` | `3600` | アクセストークンの有効期間（秒） |
+| `OAUTH_REFRESH_TOKEN_EXPIRES_IN` | `86400` | リフレッシュトークンの有効期間（秒） |
+
+### グラントタイプ
+
+| 変数 | デフォルト | 説明 |
+|---|---|---|
+| `OAUTH_GRANTS_SESSION_ENABLED` | `true` | session グラントタイプを有効化 |
+| `OAUTH_GRANTS_AUTHORIZATION_ENABLED` | `true` | authorization code グラントタイプを有効化 |
+| `OAUTH_GRANTS_REFRESH_TOKEN_ENABLED` | `true` | refresh token グラントタイプを有効化 |
+
+### Session
+
+| 変数 | デフォルト | 説明 |
+|---|---|---|
+| `SESSION_SECRET` | — | **必須。** セッション署名シークレット |
+| `SESSION_MAX_AGE` | `3600000` | セッション Cookie の最大有効期間（ミリ秒） |
+| `SESSION_SECURE` | `true` | セッション Cookie に `Secure` フラグを設定 |
+| `SESSION_SAME_SITE` | `lax` | `SameSite` 属性（`lax`、`strict`、`none`） |
+| `SESSION_DOMAIN` | — | Cookie ドメイン（デフォルト未設定） |
+| `SESSION_STORAGE_TYPE` | `redis` | セッションストアのバックエンド: `redis` または `memory` |
+| `SESSION_STORAGE_REDIS_URL` | `redis://localhost:6379` | セッションストア用 Redis 接続 URL |
+| `SESSION_STORAGE_REDIS_PASSWORD` | — | セッションストア用 Redis パスワード |
+
+### Google フェデレーション
+
+| 変数 | デフォルト | 説明 |
+|---|---|---|
+| `FEDERATIONS_GOOGLE_ENABLED` | `false` | Google OAuth フェデレーションを有効化 |
+| `FEDERATIONS_GOOGLE_CLIENT_ID` | — | Google OAuth クライアント ID |
+| `FEDERATIONS_GOOGLE_CLIENT_SECRET` | — | Google OAuth クライアントシークレット |
+| `FEDERATIONS_GOOGLE_CALLBACK_URL` | `http://localhost:3000/session/oauth/federation/google/callback` | Google OAuth コールバック URL |
+
+### クライアントリポジトリ
+
+| 変数 | デフォルト | 説明 |
+|---|---|---|
+| `CLIENT_TYPE` | `yaml` | クライアントストアのバックエンド: `yaml` |
+| `CLIENT_PATH` | `./config/clients.yaml` | YAML クライアントレジストリのパス |
+
+### ユーザーリポジトリ
+
+| 変数 | デフォルト | 説明 |
+|---|---|---|
+| `CLIENT_USER_TYPE` | `http` | ユーザーリポジトリのバックエンド: `http` |
+| `CLIENT_USER_AUTHENTICATE_URL` | — | パスワード認証用のユーザー認証 URL |
+| `CLIENT_USER_AUTHENTICATE_BY_TOKEN_URL` | — | トークン認証用のユーザー認証 URL |
+| `CLIENT_USER_TIMEOUT` | `5000` | HTTP リクエストタイムアウト（ミリ秒） |
+
+### コードリポジトリ
+
+| 変数 | デフォルト | 説明 |
+|---|---|---|
+| `CLIENT_CODE_TYPE` | `redis` | 認可コードストアのバックエンド: `redis` |
+| `CLIENT_CODE_ENDPOINT_URI` | — | コードストア用 Redis 接続 URI |
+| `CLIENT_CODE_PASSWORD` | — | コードストア用 Redis パスワード |
+| `CLIENT_CODE_DEFAULT_EXPIRES_IN` | `600` | 認可コードのデフォルト有効期間（秒） |
+
+### エンドポイント
+
+| 変数 | デフォルト | 説明 |
+|---|---|---|
+| `ENDPOINTS_LOGIN_URL` | — | ログインページの URL（リダイレクト先） |
+| `ENDPOINTS_CLIENT_URL` | — | クライアントアプリケーションの URL |
+| `ENDPOINTS_AUTH_CALLBACK_URL` | — | 認可コールバックの URL |
+
+## モジュール合成順序
+
+モジュールは以下の順序で登録されます。各モジュールは独自のルートとグラントタイプを登録します。
+
+1. **`oauthModule`** — OAuth 2.0 コアエンドポイント: `POST /oauth/token`、`POST /oauth/introspect`、`GET /oauth/authorize`
+2. **`sessionModule`** — セッションベースのログイン・ログアウトおよびフェデレーション: `POST /session/login`、`POST /session/logout`、`GET/POST /session/oauth/federation/*`
+3. **`oauthSessionModule`** — session グラントタイプ（有効なセッションをトークンに交換）
+4. **`oauthAuthorizationModule`** — authorization code および refresh token グラントタイプ
+
+## 組み込みルート
+
+以下のルートはモジュールシステムの外部で登録されます。
+
+| メソッド | パス | 説明 |
+|---|---|---|
+| `GET` | `/health` | ヘルスチェックエンドポイント |
+| `GET` | `/.well-known/jwks.json` | トークン検証用公開鍵セット（JWKS） |
+
+## Docker
+
+Dockerfile はマルチステージビルドを使用しており、以下のターゲットがあります。
+
+| ターゲット | 用途 |
+|---|---|
+| `runtime` | 本番イメージ（コンパイル済み JS のみ） |
+| `develop` | ホットリロード付き開発イメージ（`pnpm run debug`） |
+| `test` | テストランナーイメージ |
+
+```bash
+# 本番イメージをビルド
+make build IMAGE=my-auth-provider
+
+# docker compose で起動（開発用）
+make dev
+
+# Docker でテストを実行
+make test
+```
+
+`docker-compose.yml` は認証サーバーと Redis コンテナをまとめて起動します。環境変数は `.env` で設定してください。
+
+## カスタムモジュールの追加
+
+カスタムモジュールを追加するには、`src/app.mts` でインポートし、`createApp` に渡す `modules` 配列に追加します。
+
+```typescript
+import { myCustomModule } from "./modules/my-custom-module.mjs";
+
+const { init, router, grantRegistry } = createApp(express, {
+  // ...
+  modules: [
+    oauthModule({ clientRepository, codeRepository, express }),
+    sessionModule({ userRepository, express }),
+    oauthSessionModule({ clientRepository }),
+    oauthAuthorizationModule({ codeRepository }),
+    myCustomModule, // ここに追加
+  ],
+});
+```
+
+## npm スクリプト
+
+| スクリプト | 説明 |
+|---|---|
+| `pnpm run build` | TypeScript を `dist/` にコンパイル |
+| `pnpm start` | コンパイル済みサーバーを起動 |
+| `pnpm run debug` | `tsx watch` でホットリロード起動（開発モード） |
+| `pnpm test` | Vitest でテストを実行 |
+
+## 関連
+
+- [`@o3co/auth-provider-core`](../../packages/core) — アプリケーションファクトリと設定スキーマ
+- [`@o3co/auth-provider-oauth`](../../packages/oauth) — OAuth モジュール
+- [`@o3co/auth-provider-session`](../../packages/session) — Session モジュール
+- [`@o3co/auth-provider-foundation`](../../packages/foundation) — 組み込みアダプター登録
+- [`@o3co/create-auth-provider`](../../create-app) — このテンプレートを生成する CLI スキャフォルダー

package/templates/standalone/README.md

@@ -0,0 +1,205 @@
+# @o3co/auth-provider-standalone
+
+Deployable server template for auth.provider. This is the composition root — it reads config, loads modules, and starts the Express server. Generated by `@o3co/create-auth-provider`.
+
+## Usage
+
+```bash
+# Install dependencies
+pnpm install
+
+# Copy environment file and fill in required values
+cp .env.example .env
+
+# Start in development mode (hot reload)
+pnpm run debug
+
+# Build and start in production mode
+pnpm run build
+pnpm start
+```
+
+## Configuration
+
+Configuration is loaded from `config/application.conf` (HOCON format). Each value can be overridden with the corresponding environment variable.
+
+### Environment-specific config overlay
+
+`src/app.mts` loads configuration in two layers:
+
+1. **`config/application.conf`** — base defaults for the app.
+2. **`config/{ENV}.conf`** — overlay for the current environment, where
+   `ENV = CONFIG_ENV || NODE_ENV || "development"`.
+
+Values in the overlay take precedence over `application.conf`. The scaffold
+ships with `development.conf` and `production.conf`. To add another
+environment (e.g. `staging`), create `config/staging.conf` and set
+`CONFIG_ENV=staging`. A missing `{ENV}.conf` is a boot-time error — typos
+fail fast rather than silently falling back to defaults.
+
+### HTTP
+
+| Variable | Default | Description |
+|---|---|---|
+| `HTTP_PORT` | `3000` | Port the server listens on |
+| `HTTP_TRUST_PROXY` | `false` | Set to `true` when running behind a reverse proxy |
+
+### OAuth JWT
+
+| Variable | Default | Description |
+|---|---|---|
+| `OAUTH_JWT_ALGORITHM` | `HS256` | JWT signing algorithm (e.g. `RS256`, `ES256`) |
+| `OAUTH_JWT_SECRET` | — | Signing secret (HMAC algorithms) |
+| `OAUTH_JWT_ISSUER` | — | JWT `iss` claim value |
+| `OAUTH_JWT_KID` | `v0` | Key ID included in the JWT header |
+| `OAUTH_JWT_PRIVATE_KEY` | — | PEM-encoded private key (asymmetric algorithms) |
+| `OAUTH_JWT_PRIVATE_KEY_PATH` | — | Path to PEM private key file |
+| `OAUTH_JWT_PUBLIC_KEY` | — | PEM-encoded public key |
+| `OAUTH_JWT_PUBLIC_KEY_PATH` | — | Path to PEM public key file |
+
+### Token Expiry
+
+| Variable | Default | Description |
+|---|---|---|
+| `OAUTH_ACCESS_TOKEN_EXPIRES_IN` | `3600` | Access token lifetime in seconds |
+| `OAUTH_REFRESH_TOKEN_EXPIRES_IN` | `86400` | Refresh token lifetime in seconds |
+
+### Grant Types
+
+| Variable | Default | Description |
+|---|---|---|
+| `OAUTH_GRANTS_SESSION_ENABLED` | `true` | Enable the session grant type |
+| `OAUTH_GRANTS_AUTHORIZATION_ENABLED` | `true` | Enable the authorization code grant type |
+| `OAUTH_GRANTS_REFRESH_TOKEN_ENABLED` | `true` | Enable the refresh token grant type |
+
+### Session
+
+| Variable | Default | Description |
+|---|---|---|
+| `SESSION_SECRET` | — | **Required.** Session signing secret |
+| `SESSION_MAX_AGE` | `3600000` | Session cookie max age in milliseconds |
+| `SESSION_SECURE` | `true` | Set `Secure` flag on session cookie |
+| `SESSION_SAME_SITE` | `lax` | `SameSite` attribute (`lax`, `strict`, `none`) |
+| `SESSION_DOMAIN` | — | Cookie domain (unset by default) |
+| `SESSION_STORAGE_TYPE` | `redis` | Session store backend: `redis` or `memory` |
+| `SESSION_STORAGE_REDIS_URL` | `redis://localhost:6379` | Redis connection URL for session storage |
+| `SESSION_STORAGE_REDIS_PASSWORD` | — | Redis password for session storage |
+
+### Google Federation
+
+| Variable | Default | Description |
+|---|---|---|
+| `FEDERATIONS_GOOGLE_ENABLED` | `false` | Enable Google OAuth federation |
+| `FEDERATIONS_GOOGLE_CLIENT_ID` | — | Google OAuth client ID |
+| `FEDERATIONS_GOOGLE_CLIENT_SECRET` | — | Google OAuth client secret |
+| `FEDERATIONS_GOOGLE_CALLBACK_URL` | `http://localhost:3000/session/oauth/federation/google/callback` | Google OAuth callback URL |
+
+### Client Repository
+
+| Variable | Default | Description |
+|---|---|---|
+| `CLIENT_TYPE` | `yaml` | Client store backend: `yaml` |
+| `CLIENT_PATH` | `./config/clients.yaml` | Path to the YAML client registry |
+
+### User Repository
+
+| Variable | Default | Description |
+|---|---|---|
+| `CLIENT_USER_TYPE` | `http` | User repository backend: `http` |
+| `CLIENT_USER_AUTHENTICATE_URL` | — | URL for password-based user authentication |
+| `CLIENT_USER_AUTHENTICATE_BY_TOKEN_URL` | — | URL for token-based user authentication |
+| `CLIENT_USER_TIMEOUT` | `5000` | HTTP request timeout in milliseconds |
+
+### Code Repository
+
+| Variable | Default | Description |
+|---|---|---|
+| `CLIENT_CODE_TYPE` | `redis` | Authorization code store backend: `redis` |
+| `CLIENT_CODE_ENDPOINT_URI` | — | Redis connection URI for code storage |
+| `CLIENT_CODE_PASSWORD` | — | Redis password for code storage |
+| `CLIENT_CODE_DEFAULT_EXPIRES_IN` | `600` | Default authorization code lifetime in seconds |
+
+### Endpoints
+
+| Variable | Default | Description |
+|---|---|---|
+| `ENDPOINTS_LOGIN_URL` | — | URL of the login page (for redirects) |
+| `ENDPOINTS_CLIENT_URL` | — | URL of the client application |
+| `ENDPOINTS_AUTH_CALLBACK_URL` | — | URL of the authorization callback |
+
+## Module Composition Order
+
+Modules are registered in the following order. Each module registers its own routes and grant types.
+
+1. **`oauthModule`** — Core OAuth 2.0 endpoints: `POST /oauth/token`, `POST /oauth/introspect`, `GET /oauth/authorize`
+2. **`sessionModule`** — Session-based login/logout and federation: `POST /session/login`, `POST /session/logout`, `GET/POST /session/oauth/federation/*`
+3. **`oauthSessionModule`** — Session grant type (exchanges a valid session for a token)
+4. **`oauthAuthorizationModule`** — Authorization code and refresh token grant types
+
+## Built-in Routes
+
+The following routes are registered outside of the module system:
+
+| Method | Path | Description |
+|---|---|---|
+| `GET` | `/health` | Health check endpoint |
+| `GET` | `/.well-known/jwks.json` | Public key set (JWKS) for token verification |
+
+## Docker
+
+The Dockerfile uses multi-stage builds with the following targets:
+
+| Target | Purpose |
+|---|---|
+| `runtime` | Production image (compiled JS only) |
+| `develop` | Development image with hot reload (`pnpm run debug`) |
+| `test` | Test runner image |
+
+```bash
+# Build the production image
+make build IMAGE=my-auth-provider
+
+# Start with docker compose (development)
+make dev
+
+# Run tests in Docker
+make test
+```
+
+The `docker-compose.yml` starts the auth server together with a Redis container. Configure environment variables in `.env`.
+
+## Adding Custom Modules
+
+To add a custom module, import it in `src/app.mts` and include it in the `modules` array passed to `createApp`:
+
+```typescript
+import { myCustomModule } from "./modules/my-custom-module.mjs";
+
+const { init, router, grantRegistry } = createApp(express, {
+  // ...
+  modules: [
+    oauthModule({ clientRepository, codeRepository, express }),
+    sessionModule({ userRepository, express }),
+    oauthSessionModule({ clientRepository }),
+    oauthAuthorizationModule({ codeRepository }),
+    myCustomModule, // add here
+  ],
+});
+```
+
+## npm Scripts
+
+| Script | Description |
+|---|---|
+| `pnpm run build` | Compile TypeScript to `dist/` |
+| `pnpm start` | Start the compiled server |
+| `pnpm run debug` | Start with hot reload via `tsx watch` (development mode) |
+| `pnpm test` | Run tests with Vitest |
+
+## See Also
+
+- [`@o3co/auth-provider-core`](../../packages/core) — Application factory and config schema
+- [`@o3co/auth-provider-oauth`](../../packages/oauth) — OAuth module
+- [`@o3co/auth-provider-session`](../../packages/session) — Session module
+- [`@o3co/auth-provider-foundation`](../../packages/foundation) — Built-in adapter registration
+- [`@o3co/create-auth-provider`](../../create-app) — CLI scaffolder that generates this template

package/templates/standalone/config/application.conf

@@ -0,0 +1,132 @@
+http {
+  port = 3000
+  port = ${?HTTP_PORT}
+  trustProxy = false
+  trustProxy = ${?HTTP_TRUST_PROXY}
+}
+
+oauth {
+  jwt {
+    issuer = ${?OAUTH_JWT_ISSUER}
+    signingKey {
+      provider = "local"
+      provider = ${?OAUTH_JWT_SIGNING_KEY_PROVIDER}
+      local {
+        algorithm = "HS256"
+        algorithm = ${?OAUTH_JWT_ALGORITHM}
+        kid = "v0"
+        kid = ${?OAUTH_JWT_KID}
+        secret = ${?OAUTH_JWT_SECRET}
+        privateKey = ${?OAUTH_JWT_PRIVATE_KEY}
+        privateKeyPath = ${?OAUTH_JWT_PRIVATE_KEY_PATH}
+        publicKey = ${?OAUTH_JWT_PUBLIC_KEY}
+        publicKeyPath = ${?OAUTH_JWT_PUBLIC_KEY_PATH}
+        previousKeys = []
+      }
+    }
+  }
+  accessToken {
+    expiresIn = 3600
+    expiresIn = ${?OAUTH_ACCESS_TOKEN_EXPIRES_IN}
+  }
+  refreshToken {
+    expiresIn = 86400
+    expiresIn = ${?OAUTH_REFRESH_TOKEN_EXPIRES_IN}
+  }
+  grants {
+    session { enabled = true, enabled = ${?OAUTH_GRANTS_SESSION_ENABLED} }
+    authorization {
+      enabled = true
+      enabled = ${?OAUTH_GRANTS_AUTHORIZATION_ENABLED}
+      pkce {
+        requireS256 = false
+        requireS256 = ${?OAUTH_GRANTS_AUTHORIZATION_PKCE_REQUIRE_S256}
+      }
+    }
+    refresh_token { enabled = true, enabled = ${?OAUTH_GRANTS_REFRESH_TOKEN_ENABLED} }
+  }
+}
+
+session {
+  secret = ${?SESSION_SECRET}
+  maxAge = 3600000
+  maxAge = ${?SESSION_MAX_AGE}
+  secure = true
+  secure = ${?SESSION_SECURE}
+  sameSite = "lax"
+  sameSite = ${?SESSION_SAME_SITE}
+  domain = null
+  domain = ${?SESSION_DOMAIN}
+  storage {
+    type = "redis"
+    type = ${?SESSION_STORAGE_TYPE}
+    redis {
+      url = "redis://localhost:6379"
+      url = ${?SESSION_STORAGE_REDIS_URL}
+      password = ${?SESSION_STORAGE_REDIS_PASSWORD}
+    }
+  }
+}
+
+rateLimit {
+  login { windowMs = 900000, limit = 20 }
+}
+
+federations {
+  google {
+    enabled = false
+    enabled = ${?FEDERATIONS_GOOGLE_ENABLED}
+    clientId = ${?FEDERATIONS_GOOGLE_CLIENT_ID}
+    clientSecret = ${?FEDERATIONS_GOOGLE_CLIENT_SECRET}
+    callbackURL = "http://localhost:3000/session/oauth/federation/google/callback"
+    callbackURL = ${?FEDERATIONS_GOOGLE_CALLBACK_URL}
+  }
+}
+
+repositories {
+  client {
+    type = "yaml"
+    type = ${?CLIENT_TYPE}
+    yaml {
+      path = "./config/clients.yaml"
+      path = ${?CLIENT_PATH}
+    }
+  }
+  user {
+    type = "http"
+    type = ${?CLIENT_USER_TYPE}
+    yaml {
+      path = "./config/users.yaml"
+    }
+    http {
+      authenticateUrl = ${?CLIENT_USER_AUTHENTICATE_URL}
+      authenticateByTokenUrl = ${?CLIENT_USER_AUTHENTICATE_BY_TOKEN_URL}
+      timeout = 5000
+      timeout = ${?CLIENT_USER_TIMEOUT}
+    }
+  }
+  code {
+    type = "redis"
+    type = ${?CLIENT_CODE_TYPE}
+    memory {
+      defaultExpiresIn = 600
+      defaultExpiresIn = ${?CLIENT_CODE_DEFAULT_EXPIRES_IN}
+    }
+    redis {
+      defaultExpiresIn = 600
+      defaultExpiresIn = ${?CLIENT_CODE_DEFAULT_EXPIRES_IN}
+      endpointUri = ${?CLIENT_CODE_ENDPOINT_URI}
+      password = ${?CLIENT_CODE_PASSWORD}
+    }
+  }
+}
+
+endpoints {
+  login { url = ${?ENDPOINTS_LOGIN_URL} }
+  client { url = ${?ENDPOINTS_CLIENT_URL} }
+  authCallback { url = ${?ENDPOINTS_AUTH_CALLBACK_URL} }
+}
+
+cors {
+  allowedOrigins = []
+}

package/templates/standalone/config/clients.yaml

@@ -0,0 +1,2 @@
+# Client definitions loaded via loadYamlMap into InMemoryClientRepository.
+# Add client entries here. See clients.yaml.example for format.

package/templates/standalone/config/clients.yaml.example

@@ -0,0 +1,14 @@
+# Example client definitions loaded via loadYamlMap into InMemoryClientRepository.
+# Copy this file to clients.yaml and customize for your deployment.
+#
+# Secret format:
+#   - Plain text: "my-secret"
+#   - Bcrypt hash: "$2b$10$..." (generate with: node -e "require('bcrypt').hash('secret',10).then(console.log)")
+
+my-app:
+  clientSecret: "$2b$10$REPLACE_WITH_BCRYPT_HASH"
+  allowedRedirectUris:
+    - "http://localhost:3000/callback"
+  allowedScopes:
+    - "read"
+    - "write"

package/templates/standalone/config/development.conf

@@ -0,0 +1,8 @@
+# Environment overlay for development.
+# Loaded when CONFIG_ENV (or NODE_ENV) is "development" — the default.
+# Values here override application.conf.
+#
+# Most values are controlled via environment variables (see ${?VAR}
+# substitutions in application.conf). Override entries here only when
+# you need a fixed development-specific value that cannot come from
+# an environment variable.

package/templates/standalone/config/production.conf

@@ -0,0 +1,10 @@
+# Environment overlay for production.
+# Loaded when CONFIG_ENV (or NODE_ENV) is "production".
+# Values here override application.conf.
+#
+# Most production-sensitive values (OAUTH_JWT_SECRET, SESSION_SECRET, REDIS URLs,
+# federation client secrets, etc.) should be supplied via environment variables —
+# see the ${?VAR} substitutions in application.conf.
+#
+# Override entries here only when a value must be fixed per-environment rather
+# than per-deployment (e.g. feature flags turned on only in production).