@sayren/store-sdk 0.23.0 → 0.28.0

package/src/session.ts

@@ -9,7 +9,7 @@ import {
 import { type MyAccount, myAccountSchema } from "./schemas/auth";
 
 /**
- * SDK 세션 매니저 — 콘솔(userToken)의 저장·무음 갱신·회전을 캡슐화한다.
+ * SDK 세션 매니저 — 콘솔(액세스 토큰)의 저장·무음 갱신·회전을 캡슐화한다.
  *
  * 저장 매체(쿠키/localStorage/…)와 그 속성(Max-Age·SameSite·Secure·Path)은 **어댑터(앱) 책임**이다.
  * SDK는 "무엇을 어떤 키로 저장할지"만 알고, "어떻게 저장할지"는 SessionStorage 어댑터에 위임한다.
@@ -38,9 +38,22 @@ const REVOKE_TIMEOUT_MS = 5_000;
 /** Web Locks 이름 — 탭 간 refresh 회전 직렬화용 */
 const REFRESH_LOCK = STORE_SESSION_KEYS.refresh;
 
+/**
+ * 인가 서버(Sayren 계정, accounts) 주소 — `https://accounts.sayren.app/api/auth/oauth2/{authorize,token,revoke}`.
+ * `resource`를 주면 authorize·code 교환·refresh에 RFC 8707 `resource`를 싣는다(JWT access token의 `aud`).
+ */
+export interface StoreAuthServer {
+  authorizeUrl: string;
+  tokenUrl: string;
+  revokeUrl: string;
+  resource?: string;
+}
+
 export interface StoreSessionOptions {
-  /** 예: https://api.example.com/v1 (/oauth2/token이 덧붙는다) */
+  /** api 주소(예: https://api.example.com/v1) — `userinfo()`의 `GET /me`에 쓴다 */
   baseUrl: string;
+  /** 인가 서버(accounts) 주소들 */
+  authServer: StoreAuthServer;
   /** OAuth public client id (예: avarlabs) */
   clientId: string;
   /** 저장 매체 어댑터 (앱 소유) */
@@ -51,19 +64,19 @@ export interface StoreSessionOptions {
 export interface AuthorizeOptions {
   /** OAuth 콜백 URI (예: https://store.example.com/auth/callback) */
   redirectUri: string;
-  /** 생략 시 서버 기본(stores:read). refresh가 필요하면 offline_access 포함 */
+  /** 생략 시 발급자 기본. refresh가 필요하면 offline_access 포함 */
   scope?: string;
-  /** "signup"이면 authorize 대신 호스티드 회원가입 화면으로 진입한다 */
-  screen?: "authorize" | "signup";
+  /** OIDC `prompt` — `login`(재인증)·`create`(가입)·`consent` */
+  prompt?: "login" | "create" | "consent";
 }
 
 export interface StoreSession {
-  /** 현재 userToken (없으면 null) */
+  /** 현재 액세스 토큰 (없으면 null) */
   getToken(): string | null;
   /** 토큰 저장 + 구독자 통지. refresh_token이 있으면 함께 회전 저장한다(없으면 기존 유지) */
   setTokens(tokens: { access_token: string; refresh_token?: string }): void;
   /**
-   * 무음 세션 갱신 — refresh 토큰으로 새 userToken을 받아 회전 저장한다.
+   * 무음 세션 갱신 — refresh 토큰으로 새 액세스 토큰을 받아 회전 저장한다.
    * - 탭 내부: 동시 다발 호출을 single-flight로 합친다.
    * - 탭 간: navigator.locks(있으면)로 회전을 직렬화하고, 락 진입 시 다른 탭이 이미
    *   회전했으면(세션 토큰 변경) 내 refresh 토큰을 소비하지 않고 true를 반환한다.
@@ -74,14 +87,14 @@ export interface StoreSession {
   /** 세션/리프레시 키를 지우고 구독자에게 통지한다(서버의 토큰은 그대로다 — 로그아웃은 `logout()`) */
   clear(): void;
   /**
-   * 로그아웃 — 서버에서 **refresh 토큰(패밀리째)과 access 토큰을 폐기**(`POST /oauth2/revoke`, RFC 7009)한 뒤 세션을 지운다.
+   * 로그아웃 — 인가 서버에서 **refresh 토큰(패밀리째)과 access 토큰을 폐기**(`revokeUrl`, RFC 7009)한 뒤 세션을 지운다.
    * refresh를 폐기하지 않으면 쿠키만 지워도 서버의 refresh 패밀리가 절대 만료까지 살아 있어, 새어 나간 refresh 토큰으로
-   * 계속 새 userToken을 받을 수 있다. 폐기 요청 실패(네트워크·이미 무효)는 무시하고 세션은 항상 지운다.
+   * 계속 새 액세스 토큰을 받을 수 있다. 폐기 요청 실패(네트워크·이미 무효)는 무시하고 세션은 항상 지운다.
    */
   logout(): Promise<void>;
   /** 변경 구독(useSyncExternalStore 소비용) — getToken을 스냅샷으로 쓴다. 해지 함수 반환 */
   subscribe(cb: () => void): () => void;
-  /** 현재 userToken (getToken()과 동일 — 게터 형태 소비용) */
+  /** 현재 액세스 토큰 (getToken()과 동일 — 게터 형태 소비용) */
   readonly accessToken: string | null;
   /** 현재 저장된 refresh 토큰 (없으면 null) */
   readonly refreshToken: string | null;
@@ -101,7 +114,8 @@ export interface StoreSession {
 }
 
 export function createStoreSession(options: StoreSessionOptions): StoreSession {
-  const { baseUrl, clientId, storage } = options;
+  const { baseUrl, clientId, storage, authServer } = options;
+  const { revokeUrl, tokenUrl, resource } = authServer;
   const fetchFn = options.fetch ?? globalThis.fetch;
   const listeners = new Set<() => void>();
 
@@ -127,7 +141,7 @@ export function createStoreSession(options: StoreSessionOptions): StoreSession {
 
   /** RFC 7009 — 무효 토큰이어도 200이다. 실패는 호출부가 무시한다. 응답이 늦어도 로그아웃이 멈추지 않게 5초로 끊는다 */
   async function revokeToken(token: string): Promise<void> {
-    await fetchFn(`${baseUrl}/oauth2/revoke`, {
+    await fetchFn(revokeUrl, {
       method: "POST",
       headers: { "content-type": "application/x-www-form-urlencoded" },
       body: new URLSearchParams({ token, client_id: clientId }).toString(),
@@ -144,7 +158,7 @@ export function createStoreSession(options: StoreSessionOptions): StoreSession {
     if (refreshInFlight) await refreshInFlight.catch(() => false);
     const refreshToken = storage.get(STORE_SESSION_KEYS.refresh);
     const accessToken = getToken();
-    // refresh 먼저 — 패밀리를 폐기해야 새 userToken 발급이 끊긴다. access는 남은 수명 동안의 사용을 끊는다
+    // refresh 먼저 — 패밀리를 폐기해야 새 액세스 토큰 발급이 끊긴다. access는 남은 수명 동안의 사용을 끊는다
     for (const token of [refreshToken, accessToken]) {
       if (!token) continue;
       try {
@@ -180,7 +194,13 @@ export function createStoreSession(options: StoreSessionOptions): StoreSession {
     const refreshToken = storage.get(STORE_SESSION_KEYS.refresh);
     if (!refreshToken) return false;
     try {
-      const tokens = await refreshUserToken({ baseUrl, clientId, refreshToken, fetch: fetchFn });
+      const tokens = await refreshUserToken({
+        clientId,
+        refreshToken,
+        tokenUrl,
+        resource,
+        fetch: fetchFn,
+      });
       setTokens({ access_token: tokens.access_token, refresh_token: tokens.refresh_token });
       return true;
     } catch {
@@ -218,20 +238,16 @@ export function createStoreSession(options: StoreSessionOptions): StoreSession {
     const blob: PkceBlob = { verifier, state, redirectUri: authorizeOptions.redirectUri };
     storage.set(STORE_SESSION_KEYS.pkce, JSON.stringify(blob));
 
-    const url = new URL(
-      buildAuthorizeUrl({
-        baseUrl,
-        clientId,
-        redirectUri: authorizeOptions.redirectUri,
-        state,
-        codeChallenge: challenge,
-        scope: authorizeOptions.scope,
-      }),
-    );
-    if (authorizeOptions.screen === "signup") {
-      url.pathname = url.pathname.replace(/\/oauth2\/authorize$/, "/oauth2/signup");
-    }
-    const finalUrl = url.toString();
+    const finalUrl = buildAuthorizeUrl({
+      authorizeUrl: authServer.authorizeUrl,
+      clientId,
+      redirectUri: authorizeOptions.redirectUri,
+      state,
+      codeChallenge: challenge,
+      scope: authorizeOptions.scope,
+      resource,
+      prompt: authorizeOptions.prompt,
+    });
 
     if (typeof window !== "undefined") {
       window.location.assign(finalUrl);
@@ -249,11 +265,12 @@ export function createStoreSession(options: StoreSessionOptions): StoreSession {
       throw new Error("state가 일치하지 않습니다. 다시 시도해주십시오");
     }
     const tokens = await exchangeAuthorizationCode({
-      baseUrl,
       clientId,
       redirectUri: saved.redirectUri,
       code,
       codeVerifier: saved.verifier,
+      tokenUrl,
+      resource,
       fetch: fetchFn,
     });
     setTokens({ access_token: tokens.access_token, refresh_token: tokens.refresh_token });

package/src/schemas/api-client.ts

@@ -1,121 +0,0 @@
-import { z } from "zod";
-
-/**
- * 앱(OAuth 클라이언트) 관리 — `/v1/store/api-clients` (auth-spec 부록 B-13).
- * 등록은 DCR(`POST /v1/oauth2/register`, RFC 7591)이 담당하고, 이 스키마는 등록 이후의
- * 목록·상세·시크릿 재발급·비활성화 응답 계약이다. 시크릿 해시는 어떤 응답에도 포함되지 않는다.
- */
-
-export const apiClientTypeSchema = z
-  .enum(["public", "confidential"])
-  .describe(
-    "클라이언트 유형. `public`=시크릿 없음(PKCE 로그인용), `confidential`=시크릿 보유(서버 간 연동용)",
-  );
-export type ApiClientType = z.infer<typeof apiClientTypeSchema>;
-
-export const apiClientStatusSchema = z
-  .enum(["ACTIVE", "REVOKED"])
-  .describe("상태. `REVOKED`는 비활성화된 클라이언트이며 다시 활성화할 수 없다");
-export type ApiClientStatus = z.infer<typeof apiClientStatusSchema>;
-
-export const apiClientSchema = z.object({
-  clientId: z.string().describe("클라이언트 ID (`client_id`)"),
-  name: z.string().describe("클라이언트 이름 (`client_name`)"),
-  type: apiClientTypeSchema,
-  status: apiClientStatusSchema,
-  redirectUris: z
-    .array(z.string())
-    .describe("authorization_code 리다이렉트 URI 허용 목록 (정확 일치)"),
-  scopes: z.array(z.string()).describe("클라이언트가 요청할 수 있는 최대 스코프"),
-  grantTypes: z.array(z.string()).describe("허용된 grant_type 목록"),
-  secretPrefix: z
-    .string()
-    .nullable()
-    .describe(
-      "시크릿 앞부분(식별용, 인증에 사용할 수 없음). public 클라이언트와 시크릿 앞부분이 기록되기 전에 등록된 클라이언트는 null",
-    ),
-  createdBy: z
-    .string()
-    .nullable()
-    .describe("등록자 userId. 등록자 기록이 도입되기 전에 등록된 클라이언트는 null"),
-  createdByName: z.string().nullable().describe("등록자 이름 (표시용). 계정이 없으면 null"),
-  createdByEmail: z.string().nullable().describe("등록자 이메일 (표시용). 계정이 없으면 null"),
-  createdAt: z.string().describe("등록 일시 (ISO 8601)"),
-  revokedAt: z.string().nullable().describe("비활성화 일시 (ISO 8601). 활성 상태면 null"),
-});
-export type ApiClient = z.infer<typeof apiClientSchema>;
-
-/** 시크릿 재발급 응답 — 평문 시크릿은 이 응답에서 단 한 번만 노출된다 */
-export const apiClientSecretRotatedSchema = apiClientSchema.extend({
-  clientSecret: z
-    .string()
-    .describe("새 클라이언트 시크릿 평문. 이 응답에서만 노출되며 다시 조회할 수 없다"),
-});
-export type ApiClientSecretRotated = z.infer<typeof apiClientSecretRotatedSchema>;
-
-export const apiClientListQuerySchema = z.object({
-  status: apiClientStatusSchema.optional().describe("상태 필터. 생략하면 전체"),
-});
-export type ApiClientListParams = z.infer<typeof apiClientListQuerySchema>;
-
-/**
- * Dynamic Client Registration 요청 (RFC 7591 §2, auth-spec §12) — `POST /v1/oauth2/register`.
- * OAuth 프로토콜 표면이라 필드명이 snake_case이고 응답·등록 오류는 평면 JSON이다.
- * 생략한 필드는 서버 기본값을 따른다(SDK가 기본값을 채워 보내지 않는다).
- */
-export const oauthClientRegistrationRequestSchema = z.object({
-  client_name: z.string().min(1).max(80).describe("클라이언트 이름 (1~80자)"),
-  token_endpoint_auth_method: z
-    .enum(["none", "client_secret_basic"])
-    .optional()
-    .describe(
-      "토큰 엔드포인트 인증 방식. `none`=public(시크릿 없음), `client_secret_basic`=confidential. 생략하면 `client_secret_basic`",
-    ),
-  redirect_uris: z
-    .array(z.string())
-    .max(10)
-    .optional()
-    .describe(
-      "리다이렉트 URI 목록(최대 10개). authorization_code에는 필수이며 https(개발용 루프백 http 제외)만 허용",
-    ),
-  grant_types: z
-    .array(
-      z.enum([
-        "authorization_code",
-        "refresh_token",
-        "client_credentials",
-        "urn:ietf:params:oauth:grant-type:token-exchange",
-      ]),
-    )
-    .min(1)
-    .optional()
-    .describe("허용할 grant_type 목록. 생략하면 `client_credentials`"),
-  scope: z
-    .string()
-    .optional()
-    .describe(
-      "공백 구분 스코프. 등록자 보유 스코프 이내여야 한다. 생략하면 confidential은 등록자 스코프, public은 `stores:read`",
-    ),
-});
-export type OAuthClientRegistrationRequest = z.infer<typeof oauthClientRegistrationRequestSchema>;
-
-/** Dynamic Client Registration 응답 (RFC 7591 §3.2.1) — client_secret은 이 응답에서만 노출된다 */
-export const oauthClientRegistrationResponseSchema = z.object({
-  client_id: z.string().describe("발급된 클라이언트 ID"),
-  client_secret: z
-    .string()
-    .optional()
-    .describe("클라이언트 시크릿 평문. confidential만 있으며 이 응답에서만 노출된다"),
-  client_secret_expires_at: z
-    .number()
-    .int()
-    .optional()
-    .describe("시크릿 만료 시각(epoch 초). 0은 만료 없음. confidential만 있다"),
-  client_id_issued_at: z.number().int().describe("발급 시각 (epoch 초)"),
-  client_name: z.string(),
-  token_endpoint_auth_method: z.enum(["none", "client_secret_basic"]),
-  redirect_uris: z.array(z.string()),
-  grant_types: z.array(z.string()),
-  scope: z.string().describe("부여된 스코프 (공백 구분)"),
-});
-export type OAuthClientRegistrationResponse = z.infer<typeof oauthClientRegistrationResponseSchema>;