@sayren/store-sdk 0.39.0 → 0.41.0

package/dist/server.d.mts

@@ -23,8 +23,8 @@ export declare class MemberDelegationError extends Error {
  * `customer:rw`가 필요하다. `uid`(셀러 자체 인증의 사용자 id) 또는 `email`로 지목하고, 처음 보는 사용자면 구매자를 만든다.
  */
 export declare function delegateMember(options: {
-  /** api 주소(예: `https://api.sayren.io`) */
-  baseUrl: string;
+  /** api 오리진. 생략하면 운영(`https://api.sayren.io`) — 개발·로컬에서만 지정한다 */
+  baseUrl?: string;
   accessToken: string;
   storeId: string;
   uid?: string;

package/dist/server.mjs

@@ -1,4 +1,4 @@
-import { a as WEBHOOK_HEADERS, i as WEBHOOK_EVENT_TYPE_HEADER, n as WEBHOOK_DELIVERY_ID_HEADER, o as WEBHOOK_SIGNATURE_HEADER, r as WEBHOOK_EVENT_ID_HEADER, s as WEBHOOK_USER_AGENT, t as WEBHOOK_DEFAULT_TOLERANCE_SEC } from "./webhook-headers-ap_exsb9.mjs";
+import { a as WEBHOOK_HEADERS, i as WEBHOOK_EVENT_TYPE_HEADER, n as WEBHOOK_DELIVERY_ID_HEADER, o as WEBHOOK_SIGNATURE_HEADER, r as WEBHOOK_EVENT_ID_HEADER, s as WEBHOOK_USER_AGENT, t as WEBHOOK_DEFAULT_TOLERANCE_SEC } from "./webhook-headers-D974dE4T.mjs";
 //#region src/member-delegation.ts
 /** 위임 실패 — `error`는 api 오류 코드(엔벨로프 `error.code`, 없으면 `http_{status}`) */
 var MemberDelegationError = class extends Error {
@@ -18,7 +18,7 @@ var MemberDelegationError = class extends Error {
 * `customer:rw`가 필요하다. `uid`(셀러 자체 인증의 사용자 id) 또는 `email`로 지목하고, 처음 보는 사용자면 구매자를 만든다.
 */
 async function delegateMember(options) {
-	const res = await (options.fetch ?? globalThis.fetch)(`${options.baseUrl.replace(/\/+$/, "")}/v1/customers/delegations`, {
+	const res = await (options.fetch ?? globalThis.fetch)(`${(options.baseUrl ?? "https://api.sayren.io").replace(/\/+$/, "")}/v1/customers/delegations`, {
 		method: "POST",
 		headers: {
 			"content-type": "application/json",

package/dist/webhook-headers-D974dE4T.mjs

@@ -0,0 +1,359 @@
+import { z } from "zod";
+//#region src/schemas/audit.ts
+/**
+* 감사 로그와 승인 요청 — `/v1/audit-logs`, `/v1/approval-requests` (이슈 #36).
+*
+* 관리 API 쓰기(`/v1/**`의 GET 외 요청)는 모두 요청 단위 기록(`source: REQUEST`) 한 줄을 남긴다. 환불·직권취소 같은
+* 도메인 동작은 그 안에서 변경 전후를 담은 기록(`source: DOMAIN`)을 따로 남기고 `requestId`로 요청 기록과 이어진다.
+*/
+const auditActorTypeSchema = z.enum([
+	"USER",
+	"AGENT",
+	"APP",
+	"TOKEN",
+	"SYSTEM"
+]).describe("행위자 유형. `USER`=상점 플랫폼 사용자, `AGENT`=AI 에이전트(MCP·에이전트용 API 토큰), `APP`=앱(OAuth 클라이언트·M2M), `TOKEN`=API 토큰, `SYSTEM`=자동화(주기 잡)");
+const auditActorSchema = z.object({
+	type: auditActorTypeSchema,
+	id: z.string().describe("행위자 ID. `USER`=userId, `TOKEN`·`AGENT`(API 토큰)=`pat:{tokenId}`, `APP`=`client:{clientId}`, `SYSTEM`=`system`. 사람이 앱에 위임한 호출은 `APP`이고 위임한 사람은 `metadata.onBehalfOf`에 있다"),
+	name: z.string().nullable().describe("기록 시점의 표시 이름. 알 수 없으면 null")
+});
+const auditLogSourceSchema = z.enum(["REQUEST", "DOMAIN"]).describe("기록 단위. `REQUEST`=관리 API 쓰기 요청 한 건, `DOMAIN`=환불·취소 같은 도메인 동작의 상세");
+const auditLogOutcomeSchema = z.enum([
+	"SUCCEEDED",
+	"FAILED",
+	"PENDING_APPROVAL",
+	"DENIED",
+	"DRY_RUN"
+]).describe("요청 결과. `PENDING_APPROVAL`=승인 대기로 보류(202), `DENIED`=에이전트 정책으로 거부(403 `AGENT_OPERATION_DENIED`), `DRY_RUN`=드라이런(`x-sayren-dry-run: 1`)이라 실행하지 않음");
+const auditLogSchema = z.object({
+	auditId: z.string().describe("감사 로그 ID"),
+	occurredAt: z.string().describe("기록 일시 (ISO 8601)"),
+	source: auditLogSourceSchema,
+	action: z.string().describe("동작. `REQUEST`는 오퍼레이션 ID(OpenAPI `operationId`, 예: `ProductsController_patch`), `DOMAIN`은 도메인 코드(예: `ORDER_ITEM_CANCELED_BY_SELLER`)"),
+	actor: auditActorSchema,
+	actorRole: z.string().nullable().describe("요청 시점의 상점 역할. 역할이 없는 토큰·자동화는 null"),
+	target: z.object({
+		type: z.string().describe("대상 리소스 유형 (예: `products`, `order-items`, `claim`)"),
+		id: z.string().nullable().describe("대상 리소스 ID. 목록 대상 요청처럼 하나로 정할 수 없으면 null")
+	}),
+	requestId: z.string().nullable().describe("요청 ID. 같은 요청에서 나온 `REQUEST`·`DOMAIN` 기록이 같은 값을 가진다. 자동화는 null"),
+	method: z.string().nullable().describe("HTTP 메서드 (`REQUEST`만)"),
+	path: z.string().nullable().describe("요청 경로와 쿼리 (`REQUEST`만). 민감한 쿼리 값은 `***`로 가린다"),
+	statusCode: z.number().int().nullable().describe("응답 HTTP 상태 코드 (`REQUEST`만)"),
+	outcome: auditLogOutcomeSchema.nullable().describe("요청 결과 (`REQUEST`만)"),
+	errorCode: z.string().nullable().describe("에러 응답의 `error.code` (실패한 요청만)"),
+	traceId: z.string().nullable().describe("추적 ID. 에러 응답의 `error.traceId`와 같다"),
+	idempotencyKey: z.string().nullable().describe("요청의 멱등키"),
+	approvalId: z.string().nullable().describe("승인 요청 ID. 승인 대기로 보류된 요청과 승인 뒤 실행된 요청에 실린다"),
+	metadata: z.record(z.string(), z.unknown()).describe("부가 정보. 도메인 기록은 변경 전후 값·사유를, 승인 실행 기록은 승인자(`approvedBy`)를 싣는다")
+});
+/** 쉼표 구분 목록 쿼리 → 배열 */
+function commaList(item) {
+	return z.union([z.string(), z.array(z.string())]).transform((value) => (Array.isArray(value) ? value : [value]).flatMap((part) => part.split(",")).map((part) => part.trim()).filter((part) => part.length > 0)).pipe(z.array(item).min(1));
+}
+/** 감사 로그 조회 쿼리 — `GET /audit-logs` */
+const auditLogListQuerySchema = z.object({
+	from: z.string().optional().describe("조회 시작 일시 (ISO 8601, 포함)"),
+	to: z.string().optional().describe("조회 종료 일시 (ISO 8601, 미포함)"),
+	actorType: commaList(auditActorTypeSchema).optional().describe("행위자 유형 필터. 여러 개는 쉼표로 구분한다 (예: `AGENT,APP`)"),
+	actorId: z.string().optional().describe("행위자 ID 필터 (정확히 일치)"),
+	action: z.string().optional().describe("동작 필터 (정확히 일치)"),
+	targetType: z.string().optional().describe("대상 유형 필터 (정확히 일치)"),
+	targetId: z.string().optional().describe("대상 ID 필터 (정확히 일치)"),
+	source: auditLogSourceSchema.optional(),
+	outcome: auditLogOutcomeSchema.optional(),
+	requestId: z.string().optional().describe("요청 ID 필터 — 한 요청의 요청·도메인 기록을 함께 본다"),
+	approvalId: z.string().optional().describe("승인 요청 ID 필터"),
+	cursor: z.string().optional().describe("이전 응답의 `nextCursor`. 생략하면 가장 최신부터"),
+	limit: z.coerce.number().int().min(1).max(100).optional().describe("최대 건수 (1~100, 기본 50)")
+});
+const auditLogPageSchema = z.object({
+	items: z.array(auditLogSchema),
+	nextCursor: z.string().nullable().describe("다음 페이지 커서. 마지막 페이지면 null")
+});
+const agentPolicyDecisionSchema = z.enum([
+	"ALLOW",
+	"APPROVAL_REQUIRED",
+	"DENIED"
+]).describe("에이전트 쓰기 판정. `ALLOW`=바로 실행, `APPROVAL_REQUIRED`=상점 플랫폼 승인 뒤 실행, `DENIED`=에이전트는 실행할 수 없음");
+const previewValueSchema = z.union([
+	z.string(),
+	z.number(),
+	z.boolean(),
+	z.null()
+]);
+const writePreviewSchema = z.object({
+	operationId: z.string().describe("오퍼레이션 ID"),
+	method: z.string(),
+	path: z.string(),
+	target: z.object({
+		type: z.string(),
+		id: z.string().nullable()
+	}),
+	targetName: z.string().nullable().optional().describe("대상 이름(상품명·쿠폰명·흐름 이름·구매자 이름 등). 읽을 수 없으면 null"),
+	changes: z.array(z.object({
+		field: z.string().describe("바뀌는 필드"),
+		before: z.unknown().describe("현재 값. 새로 만드는 요청이거나 읽을 수 없으면 null"),
+		after: z.unknown().describe("요청이 넣을 값")
+	})).describe("값이 달라지는 필드. 서버가 현재 값과 비교할 수 있는 오퍼레이션만 채운다"),
+	facts: z.record(z.string(), previewValueSchema).describe("영향 요약 (예: 취소 수량·주문상품 금액·예상 환불액). 오퍼레이션마다 다르다")
+});
+/** `x-sayren-dry-run: 1`을 실은 쓰기 요청의 응답(200) — 실행하지 않고 판정과 영향만 돌려준다 */
+const writeDryRunResultSchema = z.object({
+	dryRun: z.literal(true),
+	decision: agentPolicyDecisionSchema,
+	reason: z.string().nullable().describe("승인 필요·거부 사유. `ALLOW`면 null"),
+	preview: writePreviewSchema
+});
+const approvalStatusSchema = z.enum([
+	"PENDING",
+	"EXECUTING",
+	"SUCCEEDED",
+	"FAILED",
+	"UNKNOWN",
+	"REJECTED",
+	"EXPIRED"
+]).describe("승인 요청 상태. `PENDING` 승인 대기 → 승인하면 `EXECUTING`(원 요청 실행 중) → `SUCCEEDED`·`FAILED`(원 요청의 응답 기준), 거절하면 `REJECTED`, 기한이 지나면 `EXPIRED`. 실행 응답을 받지 못했으면(타임아웃·서버 종료) `UNKNOWN`이다 — 서버가 감사 로그로 결과를 확정하면 `SUCCEEDED`·`FAILED`로 바뀌고, 확정하지 못하면 `UNKNOWN`에 남는다. `UNKNOWN`은 다시 실행하지 않는다(이미 실행됐을 수 있다)");
+const approvalRequestSchema = z.object({
+	approvalId: z.string().describe("승인 요청 ID"),
+	status: approvalStatusSchema,
+	operationId: z.string().describe("보류된 오퍼레이션 ID"),
+	operationName: z.string().nullable().optional().describe("작업 이름(예: 흐름 게시, 구매자 적립금 지급·차감). API 문서의 요약과 같다. 모르면 null"),
+	method: z.string().describe("HTTP 메서드"),
+	path: z.string().describe("요청 경로와 쿼리"),
+	body: z.unknown().describe("요청 본문. 승인하면 이 본문 그대로 실행한다. 없으면 null"),
+	idempotencyKey: z.string().nullable().describe("원 요청의 멱등키"),
+	reason: z.string().describe("승인이 필요한 이유"),
+	actor: auditActorSchema.describe("요청한 행위자"),
+	preview: writePreviewSchema.nullable().describe("요청 시점에 서버가 계산한 영향 미리보기"),
+	createdAt: z.string().describe("요청 일시 (ISO 8601)"),
+	expiresAt: z.string().describe("승인 기한 (ISO 8601). 지나면 `EXPIRED`가 된다"),
+	decidedAt: z.string().nullable().describe("승인·거절 일시"),
+	decidedBy: z.object({
+		id: z.string(),
+		name: z.string().nullable()
+	}).nullable().describe("승인·거절한 상점 플랫폼 사용자"),
+	decisionNote: z.string().nullable().describe("승인·거절 메모"),
+	executedAt: z.string().nullable().describe("원 요청 실행을 마친 일시"),
+	result: z.object({
+		statusCode: z.number().int().describe("원 요청의 응답 상태 코드"),
+		data: z.unknown().describe("성공 응답의 `data` (큰 응답은 잘린다)"),
+		error: z.object({
+			code: z.string(),
+			message: z.string()
+		}).nullable().describe("실패 응답의 `error` 요약")
+	}).nullable().describe("실행 결과. `SUCCEEDED`·`FAILED`·`UNKNOWN`에서 값이 있다. 감사 로그로 확정한 결과는 `data`가 null이다"),
+	approvalUrl: z.string().nullable().describe("상점 플랫폼의 승인 화면 주소. 이 배포의 상점 플랫폼 주소를 알 수 없으면 null")
+});
+const approvalListQuerySchema = z.object({
+	status: commaList(approvalStatusSchema).optional().describe("상태 필터. 여러 개는 쉼표로 구분한다 (예: `PENDING,EXECUTING`)"),
+	cursor: z.string().optional().describe("이전 응답의 `nextCursor`. 생략하면 가장 최신부터"),
+	limit: z.coerce.number().int().min(1).max(100).optional().describe("최대 건수 (1~100, 기본 50)")
+});
+const approvalPageSchema = z.object({
+	items: z.array(approvalRequestSchema),
+	nextCursor: z.string().nullable().describe("다음 페이지 커서. 마지막 페이지면 null")
+});
+const approvalDecisionRequestSchema = z.object({ note: z.string().trim().max(500).optional().describe("승인·거절 메모 (최대 500자)") });
+//#endregion
+//#region src/http.ts
+/** 표준 엔벨로프의 $.error 상세 */
+const errorDetailSchema = z.object({
+	code: z.string(),
+	message: z.string(),
+	traceId: z.string().optional(),
+	/**
+	* 이 에러 코드를 설명하는 문서 URL(선택). 서버가 코드별 매핑을 가진 코드에만 실린다 —
+	* 없으면 필드가 아예 없으므로 소비측은 있을 때만 쓴다
+	*/
+	docs: z.url().optional().catch(void 0),
+	/**
+	* 에러 코드별 보조 데이터(선택). 예: 관리 API `LIVE_GATE_NOT_MET`의
+	* `{ conditions: LiveGateCondition[] }`. 형태는 에러 코드마다 다르므로 소비측이 코드별 스키마로 다시 파싱한다
+	*/
+	details: z.record(z.string(), z.unknown()).optional().catch(void 0)
+});
+/** 표준 응답 엔벨로프 — $.meta / $.data / $.error */
+const envelopeSchema = z.object({
+	meta: z.object({
+		status: z.number(),
+		code: z.string(),
+		message: z.string(),
+		isSuccess: z.boolean()
+	}),
+	data: z.unknown().optional(),
+	/** 구형 필드 — data로 개명되기 전 응답과의 전환기 호환 */
+	content: z.unknown().optional(),
+	error: errorDetailSchema.nullable()
+});
+/** OAuth 프로토콜 표면의 평면 에러 (RFC 6749 §5.2, RFC 7591 §3.2.2) */
+const oauthErrorSchema = z.object({
+	error: z.string(),
+	error_description: z.string().optional()
+});
+/** 표준 엔벨로프면 $.data(구형 $.content)를, 아니면(평면 응답) 본문 전체를 반환 */
+function unwrapData(json) {
+	const envelope = envelopeSchema.safeParse(json);
+	if (!envelope.success) return json;
+	return envelope.data.data ?? envelope.data.content ?? null;
+}
+var ApiError = class extends Error {
+	status;
+	code;
+	traceId;
+	body;
+	details;
+	docs;
+	constructor(status, code, message, traceId, body, details, docs) {
+		super(message);
+		this.status = status;
+		this.code = code;
+		this.traceId = traceId;
+		this.body = body;
+		this.details = details;
+		this.docs = docs;
+		this.name = "ApiError";
+	}
+};
+/** 에이전트 쓰기가 승인 대기로 보류됐다(202) */
+const APPROVAL_REQUIRED_CODE = "APPROVAL_REQUIRED";
+/** 같은 멱등키의 승인 요청이 이미 끝났다(200) — 결과는 승인 요청의 `status`·`result`다 */
+const APPROVAL_ALREADY_DECIDED_CODE = "APPROVAL_ALREADY_DECIDED";
+/**
+* 쓰기 요청이 실행되지 않고 승인 흐름에 걸렸다 (이슈 #36). 응답 `data`가 요청한 리소스가 아니라 승인 요청이라
+* 성공 값으로 돌려주지 않는다 — 돌려주면 호출부가 승인 요청을 상품·주문으로 읽는다.
+*
+* - `code = APPROVAL_REQUIRED`(202): 에이전트의 고위험 쓰기가 보류됐다. 아직 아무것도 바뀌지 않았다.
+*   셀러가 상점 플랫폼(`approval.approvalUrl`)에서 승인하면 서버가 원 요청을 실행한다. 같은 요청을 다시 보내지 말고
+*   `approvalRequests.get(approvalId)`로 결과를 확인한다.
+* - `code = APPROVAL_ALREADY_DECIDED`(200): 같은 멱등키로 보낸 요청의 승인이 이미 끝났다. `status`가
+*   `SUCCEEDED`·`FAILED`·`UNKNOWN`이면 실행 결과(`approval.result`)를 보고, `REJECTED`·`EXPIRED`면 새 멱등키로 다시 요청한다.
+*/
+var ApprovalPendingError = class extends Error {
+	code;
+	httpStatus;
+	approval;
+	approvalId;
+	/** 승인 요청 상태 */
+	status;
+	constructor(code, httpStatus, approval, message) {
+		super(message);
+		this.code = code;
+		this.httpStatus = httpStatus;
+		this.approval = approval;
+		this.name = "ApprovalPendingError";
+		this.approvalId = approval.approvalId;
+		this.status = approval.status;
+	}
+};
+/** 성공 엔벨로프가 승인 흐름 응답이면 ApprovalPendingError. 그 밖(다른 202 등)은 null */
+function approvalErrorOf(status, json) {
+	const envelope = envelopeSchema.safeParse(json);
+	if (!envelope.success) return null;
+	const { code, message } = envelope.data.meta;
+	if (code !== "APPROVAL_REQUIRED" && code !== "APPROVAL_ALREADY_DECIDED") return null;
+	const approval = approvalRequestSchema.safeParse(envelope.data.data);
+	if (!approval.success) return null;
+	return new ApprovalPendingError(code, status, approval.data, message);
+}
+/**
+* 에러 응답 본문 → ApiError 구성 (에러 형태의 단일 원천).
+* 표준 엔벨로프($.error) 우선, 구형 평면 에러({ code, message }), OAuth 평면 에러
+* ({ error, error_description } → code=error, message=error_description) 순으로 폴백하고,
+* 모두 아니면 UNKNOWN. createHttp의 send와 세션(userinfo 등 raw fetch 경로)이 동일한 에러 모양을 내도록 공유한다.
+*/
+function toApiError(status, raw) {
+	const envelope = envelopeSchema.safeParse(raw);
+	const detail = envelope.success ? envelope.data.error : errorDetailSchema.safeParse(raw).data ?? null;
+	if (detail) return new ApiError(status, detail.code, detail.message, detail.traceId, raw, detail.details, detail.docs);
+	const oauth = envelope.success ? null : oauthErrorSchema.safeParse(raw).data;
+	if (oauth) return new ApiError(status, oauth.error, oauth.error_description ?? oauth.error, void 0, raw);
+	return new ApiError(status, "UNKNOWN", `HTTP ${status}`, void 0, raw);
+}
+/**
+* 경로 템플릿 태그 — 보간 값(경로 파라미터)마다 encodeURIComponent를 적용한다.
+* `/`·`?`·`#` 등이 섞인 id가 다른 경로·쿼리로 해석되지 않게 한다. 예: path`/products/${id}`
+*/
+function path(strings, ...params) {
+	return strings.reduce((acc, part, i) => acc + part + (i < params.length ? encodeURIComponent(String(params[i])) : ""), "");
+}
+function resolveToken(source) {
+	return (typeof source === "function" ? source() : source) ?? null;
+}
+function buildQuery(query) {
+	if (!query) return "";
+	const params = new URLSearchParams();
+	for (const [key, value] of Object.entries(query)) if (value !== void 0) params.set(key, String(value));
+	const qs = params.toString();
+	return qs ? `?${qs}` : "";
+}
+/** 운영 관리 API 주소(버전 경로 포함) — 클라이언트·세션의 `baseUrl` 기본값. 개발·로컬에서만 지정한다 */
+const SAYREN_API_BASE_URL = "https://api.sayren.io/v1";
+/** 운영 api 오리진 — 경로를 스스로 붙이는 함수(`delegateMember`)의 `baseUrl` 기본값 */
+const SAYREN_API_ORIGIN = "https://api.sayren.io";
+function createHttp(options) {
+	const fetchFn = options.fetch ?? ((input, init) => globalThis.fetch(input, init));
+	async function send(method, path, request, retried = false) {
+		const url = `${options.baseUrl}${path}${buildQuery(request?.query)}`;
+		const headers = {
+			...request?.body !== void 0 ? { "content-type": "application/json" } : {},
+			...options.headers?.(),
+			...request?.headers
+		};
+		const response = await fetchFn(url, {
+			method,
+			headers,
+			body: request?.body !== void 0 ? JSON.stringify(request.body) : void 0
+		});
+		options.onResponse?.(response);
+		if (response.status === 401 && !retried && options.refresh) {
+			if (await options.refresh()) return send(method, path, request, true);
+		}
+		if (!response.ok) {
+			if (response.status === 401) options.onUnauthorized?.();
+			const raw = await response.json().catch(() => null);
+			throw toApiError(response.status, raw);
+		}
+		return response;
+	}
+	return {
+		async request(method, path, schema, request) {
+			const response = await send(method, path, request);
+			const json = await response.json();
+			const pending = approvalErrorOf(response.status, json);
+			if (pending) throw pending;
+			return schema.parse(unwrapData(json));
+		},
+		async requestVoid(method, path, request) {
+			const response = await send(method, path, request);
+			if (response.status === 204) return;
+			const json = await response.json().catch(() => null);
+			const pending = approvalErrorOf(response.status, json);
+			if (pending) throw pending;
+		}
+	};
+}
+//#endregion
+//#region src/webhook-headers.ts
+/** 웹훅 발송 요청 헤더 상수 (공개 계약). zod 의존 없이 서버 엔트리포인트에서도 가볍게 쓴다 */
+/** 서명 헤더. 형식: `t=<unix초>,v1=<hex>[,v1=<hex>]` */
+const WEBHOOK_SIGNATURE_HEADER = "Sayren-Signature";
+/** 이벤트 ID 헤더. 본문 `id`와 같다. 중복 제거 키 */
+const WEBHOOK_EVENT_ID_HEADER = "Sayren-Event-Id";
+/** 이벤트 타입 헤더. 본문 `type`과 같다 */
+const WEBHOOK_EVENT_TYPE_HEADER = "Sayren-Event-Type";
+/** 전송 기록 ID 헤더. 전송 기록의 `deliveryId`와 같다 */
+const WEBHOOK_DELIVERY_ID_HEADER = "Sayren-Delivery-Id";
+/** 발송 요청의 `User-Agent` 값 */
+const WEBHOOK_USER_AGENT = "Sayren-Webhooks/1.0";
+/** 수신 측 권장 타임스탬프 허용 오차(초) */
+const WEBHOOK_DEFAULT_TOLERANCE_SEC = 300;
+const WEBHOOK_HEADERS = {
+	signature: WEBHOOK_SIGNATURE_HEADER,
+	eventId: WEBHOOK_EVENT_ID_HEADER,
+	eventType: WEBHOOK_EVENT_TYPE_HEADER,
+	deliveryId: WEBHOOK_DELIVERY_ID_HEADER
+};
+//#endregion
+export { auditLogPageSchema as A, approvalPageSchema as C, auditActorTypeSchema as D, auditActorSchema as E, auditLogSourceSchema as M, writeDryRunResultSchema as N, auditLogListQuerySchema as O, writePreviewSchema as P, approvalListQuerySchema as S, approvalStatusSchema as T, resolveToken as _, WEBHOOK_HEADERS as a, agentPolicyDecisionSchema as b, APPROVAL_ALREADY_DECIDED_CODE as c, ApprovalPendingError as d, SAYREN_API_BASE_URL as f, path as g, createHttp as h, WEBHOOK_EVENT_TYPE_HEADER as i, auditLogSchema as j, auditLogOutcomeSchema as k, APPROVAL_REQUIRED_CODE as l, buildQuery as m, WEBHOOK_DELIVERY_ID_HEADER as n, WEBHOOK_SIGNATURE_HEADER as o, SAYREN_API_ORIGIN as p, WEBHOOK_EVENT_ID_HEADER as r, WEBHOOK_USER_AGENT as s, WEBHOOK_DEFAULT_TOLERANCE_SEC as t, ApiError as u, toApiError as v, approvalRequestSchema as w, approvalDecisionRequestSchema as x, unwrapData as y };

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@sayren/store-sdk",
-  "version": "0.39.0",
+  "version": "0.41.0",
   "main": "./dist/index.mjs",
   "types": "./dist/index.d.mts",
   "exports": {

package/src/client.ts

@@ -1,5 +1,13 @@
 import { z } from "zod";
-import { ApiError, createHttp, path, type Query, resolveToken, type TokenSource } from "./http";
+import {
+  ApiError,
+  createHttp,
+  path,
+  type Query,
+  resolveToken,
+  SAYREN_API_BASE_URL,
+  type TokenSource,
+} from "./http";
 import {
   aiConversationFileChangesSchema,
   aiConversationSchema,
@@ -463,8 +471,8 @@ import {
 import type { AuthorizeOptions, StoreSession } from "./session";
 
 export interface StoreClientOptions {
-  /** 예: https://api.example.com/v1 */
-  baseUrl: string;
+  /** 관리 API 주소(버전 경로 포함). 생략하면 운영 주소(`SAYREN_API_BASE_URL`, `https://api.sayren.io/v1`) — 개발·로컬에서만 지정한다 */
+  baseUrl?: string;
   /**
    * 계정 토큰(accounts가 발급한 JWT — 상점 플랫폼 로그인, 개인 액세스 토큰, 연결된 앱의 토큰).
    * 계정 API(`/me/*`)와 상점 API 모두에 Bearer로 싣는다. `session`을 주면 생략해도 세션 토큰을 쓴다.
@@ -485,7 +493,9 @@ export interface StoreClientOptions {
 }
 
 export function createStoreClient(options: StoreClientOptions) {
-  const fetchFn = options.fetch ?? globalThis.fetch;
+  // 주입이 없으면 부를 때마다 지금의 전역 fetch를 쓴다 — 모듈을 불러올 때 만든 싱글턴도 나중에 fetch를 감싼 도구(MSW·계측)를 따른다
+  const fetchFn: typeof globalThis.fetch =
+    options.fetch ?? ((input, init) => globalThis.fetch(input, init));
   const { session } = options;
 
   // session이 있으면 토큰/refresh/onUnauthorized의 기본값을 세션에서 배선한다. 개별 옵션을 명시하면 그쪽이 우선한다.
@@ -501,7 +511,7 @@ export function createStoreClient(options: StoreClientOptions) {
 
   /** 계정 API(`/me/*`) — 상점을 고르지 않는다 */
   const userHttp = createHttp({
-    baseUrl: options.baseUrl,
+    baseUrl: options.baseUrl ?? SAYREN_API_BASE_URL,
     fetch: fetchFn,
     headers: bearer,
     refresh,
@@ -510,7 +520,7 @@ export function createStoreClient(options: StoreClientOptions) {
 
   /** 상점 API — 같은 계정 토큰 + `X-Store-Id` */
   const storeHttp = createHttp({
-    baseUrl: options.baseUrl,
+    baseUrl: options.baseUrl ?? SAYREN_API_BASE_URL,
     fetch: fetchFn,
     headers: () => {
       const storeId = resolveToken(options.storeId);
@@ -2271,7 +2281,7 @@ export function createStoreClient(options: StoreClientOptions) {
       removeDomain: (domainId: string) =>
         storeHttp.requestVoid("DELETE", path`/storefront/site/domains/${domainId}`),
       /** `POST /v1/storefront/site/disable` — 호스팅을 끈다(사이트 `CLOSED`, 슬러그 90일 보류). 다시 만들 수 있다 */
-      disable: (body: DisableStorefrontHostingRequest) =>
+      disable: (body: DisableStorefrontHostingRequest = {}) =>
         storeHttp.request("POST", "/storefront/site/disable", storefrontSiteSchema, {
           body: disableStorefrontHostingRequestSchema.parse(body),
         }),

package/src/http.ts

@@ -204,8 +204,15 @@ export interface Http {
   requestVoid(method: string, path: string, options?: RequestOptions): Promise<void>;
 }
 
+/** 운영 관리 API 주소(버전 경로 포함) — 클라이언트·세션의 `baseUrl` 기본값. 개발·로컬에서만 지정한다 */
+export const SAYREN_API_BASE_URL = "https://api.sayren.io/v1";
+/** 운영 api 오리진 — 경로를 스스로 붙이는 함수(`delegateMember`)의 `baseUrl` 기본값 */
+export const SAYREN_API_ORIGIN = "https://api.sayren.io";
+
 export function createHttp(options: HttpOptions): Http {
-  const fetchFn = options.fetch ?? globalThis.fetch;
+  // 주입이 없으면 부를 때마다 지금의 전역 fetch를 쓴다 — 클라이언트를 만든 뒤 fetch를 감싸는 도구(MSW·계측)도 적용된다
+  const fetchFn: typeof globalThis.fetch =
+    options.fetch ?? ((input, init) => globalThis.fetch(input, init));
 
   async function send(
     method: string,

package/src/index.ts

@@ -7,6 +7,8 @@ export {
   ApiError,
   ApprovalPendingError,
   buildQuery,
+  SAYREN_API_BASE_URL,
+  SAYREN_API_ORIGIN,
 } from "./http";
 export {
   buildAuthorizeUrl,

package/src/member-delegation.ts

@@ -1,3 +1,4 @@
+import { SAYREN_API_ORIGIN } from "./http";
 /**
  * 구매자 위임 — 자체 회원 시스템을 가진 셀러 서버가 로그인한 사용자를 sayren 구매자 토큰으로 바꾼다.
  * 계정 토큰(개인 액세스 토큰 등)을 쓰므로 **서버에서만** 부른다.
@@ -28,8 +29,8 @@ export class MemberDelegationError extends Error {
  * `customer:rw`가 필요하다. `uid`(셀러 자체 인증의 사용자 id) 또는 `email`로 지목하고, 처음 보는 사용자면 구매자를 만든다.
  */
 export async function delegateMember(options: {
-  /** api 주소(예: `https://api.sayren.io`) */
-  baseUrl: string;
+  /** api 오리진. 생략하면 운영(`https://api.sayren.io`) — 개발·로컬에서만 지정한다 */
+  baseUrl?: string;
   accessToken: string;
   storeId: string;
   uid?: string;
@@ -39,22 +40,25 @@ export async function delegateMember(options: {
   fetch?: typeof globalThis.fetch;
 }): Promise<DelegatedMemberToken> {
   const doFetch = options.fetch ?? globalThis.fetch;
-  const res = await doFetch(`${options.baseUrl.replace(/\/+$/, "")}/v1/customers/delegations`, {
-    method: "POST",
-    headers: {
-      "content-type": "application/json",
-      authorization: `Bearer ${options.accessToken}`,
-      "x-store-id": options.storeId,
+  const res = await doFetch(
+    `${(options.baseUrl ?? SAYREN_API_ORIGIN).replace(/\/+$/, "")}/v1/customers/delegations`,
+    {
+      method: "POST",
+      headers: {
+        "content-type": "application/json",
+        authorization: `Bearer ${options.accessToken}`,
+        "x-store-id": options.storeId,
+      },
+      body: JSON.stringify({
+        ...(options.uid ? { uid: options.uid } : {}),
+        ...(options.email ? { email: options.email } : {}),
+        ...(options.name ? { name: options.name } : {}),
+        ...(options.authenticatedAt
+          ? { authenticatedAt: options.authenticatedAt.toISOString() }
+          : {}),
+      }),
     },
-    body: JSON.stringify({
-      ...(options.uid ? { uid: options.uid } : {}),
-      ...(options.email ? { email: options.email } : {}),
-      ...(options.name ? { name: options.name } : {}),
-      ...(options.authenticatedAt
-        ? { authenticatedAt: options.authenticatedAt.toISOString() }
-        : {}),
-    }),
-  });
+  );
   const body = (await res.json().catch(() => ({}))) as {
     data?: { accessToken?: unknown; expiresIn?: unknown; memberId?: unknown };
     error?: { code?: unknown; message?: unknown };