@riligar/auth-react 1.16.0 → 1.18.0

package/dist/index.js

@@ -25,14 +25,17 @@ const getEnvVar = key => {
 };
 let API_BASE = (typeof window !== 'undefined' && window?.location ? getEnvVar('VITE_API_BASE') : null) || 'http://localhost:3000';
 let API_KEY = null;
+let INTERNAL_MODE = false; // Modo interno: não exige API Key (para aplicações same-domain)
 
-// Permite configurar a API base e key externamente (chamado pelo AuthProvider)
+// Permite configurar a API base, key e modo interno externamente (chamado pelo AuthProvider)
 function configure({
   apiUrl,
-  apiKey
+  apiKey,
+  internal = false
 }) {
   if (apiUrl) API_BASE = apiUrl.replace(/\/$/, ''); // Remove trailing slash
   if (apiKey) API_KEY = apiKey;
+  INTERNAL_MODE = internal;
 }
 
 // helper fetch pré-configurado
@@ -54,12 +57,14 @@ async function api(route, opts = {}) {
     headers.Authorization = `Bearer ${token}`;
   }
 
-  // Adiciona API Key se configurada
-  if (API_KEY) {
+  // Adiciona API Key se configurada e não estiver em modo interno
+  if (API_KEY && !INTERNAL_MODE) {
     headers['X-API-Key'] = API_KEY;
   }
   const res = await fetch(url, {
     headers,
+    credentials: 'include',
+    // Required for sending session cookies
     ...opts
   });
 
@@ -390,46 +395,33 @@ const useAuthStore = zustand.create((set, get) => ({
     try {
       // Buscar application info primeiro (não bloqueia o init)
       fetchApplicationInfo();
+      let user = null;
 
-      // Verifica se há um token válido
-      if (isAuthenticated()) {
-        // Tenta extrair usuário do token (JWT)
-        let user = getCurrentUser();
-
-        // Se o token for opaco (não-JWT), getCurrentUser retorna null.
-        // Precisamos buscar a sessão no servidor.
-        if (!user) {
-          try {
-            const sessionData = await getSession();
-            if (sessionData?.user) {
-              user = sessionData.user;
-            }
-            if (sessionData?.session) {
-              set({
-                currentSession: sessionData.session
-              });
-            }
-          } catch (sessionError) {
-            console.warn('[AuthStore] Failed to fetch session:', sessionError);
-          }
+      // PRIMEIRO: Tenta buscar sessão do servidor (funciona com cookies)
+      // Isso é essencial para Better Auth que usa session cookies
+      try {
+        const sessionData = await getSession();
+        if (sessionData?.user) {
+          user = sessionData.user;
         }
-        if (user) {
-          set({
-            user,
-            loading: false
-          });
-        } else {
+        if (sessionData?.session) {
           set({
-            user: null,
-            loading: false
+            currentSession: sessionData.session
           });
         }
-      } else {
-        set({
-          user: null,
-          loading: false
-        });
+      } catch (sessionError) {
+        // Se falhar (401), continua para verificar localStorage token
+        console.log('[AuthStore] Server session not found, checking local token');
       }
+
+      // SEGUNDO: Se não encontrou sessão via cookies, verifica localStorage token (JWT)
+      if (!user && isAuthenticated()) {
+        user = getCurrentUser();
+      }
+      set({
+        user,
+        loading: false
+      });
     } catch (error) {
       console.error('Erro na inicialização:', error);
       set({
@@ -707,19 +699,41 @@ const useAuthStore = zustand.create((set, get) => ({
       throw err;
     }
   },
-  revokeSession: async token => {
+  revokeSession: async sessionId => {
     const {
       setLoading,
-      listSessions
+      currentSession,
+      sessions,
+      signOut
     } = get();
     setLoading('revokeSession', true);
     set({
       error: null
     });
     try {
-      await revokeSession(token);
-      // Refresh sessions list after revocation
-      await listSessions();
+      console.log('[AuthStore] Revoking session:', {
+        targetId: sessionId,
+        currentId: currentSession?.id,
+        totalSessions: sessions.length
+      });
+
+      // Detect if current session OR last remaining session
+      const isCurrent = sessionId === currentSession?.id;
+      const isLast = sessions.length === 1 && sessions[0].id === sessionId;
+
+      // Se for a sessão atual ou a última, faz logout normal
+      if (isCurrent || isLast) {
+        console.log('[AuthStore] Revoking current/last session -> Executing signOut');
+        await signOut();
+        // signOut já limpa loading states e erros no finally, mas
+        // como estamos dentro do fluxo deste método, garantimos:
+        setLoading('revokeSession', false);
+        return;
+      }
+      await revokeSession(sessionId);
+
+      // NÃO atualiza a lista automaticamente - se for a sessão atual,
+      // listSessions() vai falhar com 401. O componente decide se quer atualizar.
       setLoading('revokeSession', false);
     } catch (err) {
       set({
@@ -887,11 +901,14 @@ function AuthProvider({
   apiUrl,
   // URL base da API (OBRIGATÓRIA)
   apiKey,
-  // API Key para header X-API-Key (OBRIGATÓRIA)
+  // API Key para header X-API-Key (obrigatória exceto em modo internal)
+  internal = false,
+  // Modo interno: não exige API Key (para aplicações same-domain como dashboard)
   onError // Callback de erro global
 }) {
   // Validação de props obrigatórias
-  if (!apiKey) {
+  // apiKey só é obrigatória se não estiver em modo internal
+  if (!internal && !apiKey) {
     throw new Error('[@riligar/auth-react] apiKey é obrigatória no AuthProvider. ' + 'Obtenha sua API Key no dashboard em https://dashboard.myauth.click');
   }
   if (!apiUrl) {
@@ -901,15 +918,15 @@ function AuthProvider({
   const startRefresh = useAuthStore(s => s.startRefresh);
   const checkTokenValidity = useAuthStore(s => s.checkTokenValidity);
 
-  // Configura SDK com apiUrl e apiKey
-  // Configura SDK com apiUrl e apiKey
+  // Configura SDK com apiUrl, apiKey e modo interno
   // Usamos useMemo para garantir que a configuração ocorra ANTES dos efeitos dos componentes filhos
   react.useMemo(() => {
     configure({
       apiUrl,
-      apiKey
+      apiKey,
+      internal
     });
-  }, [apiUrl, apiKey]);
+  }, [apiUrl, apiKey, internal]);
   react.useEffect(() => {
     init();
     startRefresh();
@@ -938,6 +955,8 @@ function AuthProvider({
       });
       // Dispara evento de logout para sincronizar entre abas
       localStorage.setItem('auth:logout', Date.now());
+      // Recarrega para redirecionar - deixa o Protect/rotas decidirem para onde ir
+      window.location.reload();
     };
     window.addEventListener('storage', handleStorageChange);
     window.addEventListener('auth:session-revoked', handleSessionRevoked);