@superzerodev/client 0.1.1

package/LICENSE

@@ -0,0 +1,31 @@
+Copyright (c) 2026 mashihara. All rights reserved.
+
+This software is proprietary. It is published on the npm registry so that
+customers of the Superzero service can install and run it. Publication here
+does not place it in the public domain and does not grant any open source
+licence.
+
+You may:
+
+  - install, copy and run this software for the purpose of using the
+    Superzero service, including inside automated build and deployment
+    systems;
+  - retain copies in your own dependency caches, lockfiles and internal
+    mirrors as needed for that purpose.
+
+You may not, without prior written permission from the copyright holder:
+
+  - redistribute, sublicense, sell or publish this software or any part of
+    it, whether modified or not;
+  - modify, adapt, translate or create derivative works from it;
+  - decompile, disassemble or otherwise reverse engineer it, except to the
+    extent that applicable law expressly permits despite this restriction;
+  - remove or alter this notice.
+
+THE SOFTWARE IS PROVIDED "AS IS", WITHOUT WARRANTY OF ANY KIND, EXPRESS OR
+IMPLIED, INCLUDING BUT NOT LIMITED TO THE WARRANTIES OF MERCHANTABILITY,
+FITNESS FOR A PARTICULAR PURPOSE AND NONINFRINGEMENT. IN NO EVENT SHALL THE
+COPYRIGHT HOLDER BE LIABLE FOR ANY CLAIM, DAMAGES OR OTHER LIABILITY,
+WHETHER IN AN ACTION OF CONTRACT, TORT OR OTHERWISE, ARISING FROM, OUT OF OR
+IN CONNECTION WITH THE SOFTWARE OR THE USE OR OTHER DEALINGS IN THE
+SOFTWARE.

package/dist/auth.d.ts

@@ -0,0 +1,94 @@
+/**
+ * 認証（メール / OAuth / SMS OTP）
+ *
+ * ★ ここはサーバーで動かすこと。鍵（SUPERZERO_KEY）が全能なので、
+ *   ブラウザやモバイルアプリに配ってはいけない。理由は index.ts に書いてある。
+ */
+import type { Transport } from './transport.js';
+import type { AuthorizationRequest, Session, Tokens, User } from './types.js';
+export type OAuthProvider = 'google' | 'apple';
+export declare class Auth {
+    #private;
+    constructor(transport: Transport);
+    /**
+     * メールとパスワードで登録する。
+     * ★ 弱いパスワードはサーバーが AUTH_PASSWORD_WEAK で断る。
+     *   手前で独自に検査しない（規則が2箇所になり、必ず食い違う）。
+     */
+    signUp(input: {
+        email: string;
+        password: string;
+    }): Promise<Session>;
+    /**
+     * ★ 失敗はメールの有無で区別されない。
+     *   「そのメールは存在しません」と出したくなるが、出せば総当たりで
+     *   利用者の一覧を作られる。サーバーが意図的に同じ形で返している。
+     */
+    signIn(input: {
+        email: string;
+        password: string;
+    }): Promise<Session>;
+    /**
+     * アクセストークンを取り直す。
+     * ★ 使い終わった refreshToken は無効になる。返ってきた新しいほうを保存すること。
+     *   古いものを使い回すと、セッションごと失効する（再利用の検出）。
+     */
+    refresh(refreshToken: string): Promise<Tokens>;
+    /** ★ 知らないトークンでも成功する。存在の有無を漏らさないため */
+    signOut(refreshToken: string): Promise<void>;
+    /**
+     * アクセストークンから利用者を引く。
+     * ★ 署名と有効期限はサーバーが検証する。ここで JWT を自前で開かないこと。
+     */
+    user(accessToken: string): Promise<User>;
+    readonly sms: SmsAuth;
+    readonly oauth: OAuthAuth;
+}
+/**
+ * SMS ワンタイムコード。
+ *
+ * ★ Free プランでは閉じている。叩くと BILLING_REQUIRED（HTTP 402）が返る。
+ *   費用が出て、かつ SMS pumping の標的になるため。
+ */
+export declare class SmsAuth {
+    #private;
+    constructor(transport: () => Transport);
+    /**
+     * コードを送る。
+     *
+     * ★ 応答に「その番号が登録済みか」は含まれない。含めれば列挙の手掛かりになる。
+     * ★ 断られる理由は国・回数・リスク・支出上限のいずれかで、
+     *   どれもエラーの code で区別できる（AUTH_SMS_* / BILLING_*）。
+     */
+    start(input: {
+        phone: string;
+    }): Promise<{
+        expiresInSeconds: number;
+    }>;
+    /** 成功するとトークンが返る。利用者が居なければその場で作られる */
+    verify(input: {
+        phone: string;
+        code: string;
+    }): Promise<Tokens>;
+}
+/**
+ * OAuth（Google / Apple）。
+ *
+ * ★ 2段階で使う。start() が返す url へ利用者を送り、
+ *   プロバイダから戻ってきた state と code を callback() に渡す。
+ *   code_verifier も nonce もサーバーが持つので、アプリ側で保管しない。
+ */
+export declare class OAuthAuth {
+    #private;
+    constructor(transport: () => Transport);
+    start(provider: OAuthProvider): Promise<AuthorizationRequest>;
+    /**
+     * ★ Apple は form_post で戻る。Google は既定でクエリだが、
+     *   data-plane はどちらも同じ形で受けるので、アプリ側の分岐は要らない。
+     */
+    callback(input: {
+        state: string;
+        code: string;
+    }): Promise<Tokens>;
+}
+//# sourceMappingURL=auth.d.ts.map

package/dist/auth.d.ts.map

@@ -0,0 +1 @@
+{"version":3,"file":"auth.d.ts","sourceRoot":"","sources":["../src/auth.ts"],"names":[],"mappings":"AAAA;;;;;GAKG;AAEH,OAAO,KAAK,EAAE,SAAS,EAAE,MAAM,gBAAgB,CAAA;AAC/C,OAAO,KAAK,EAAE,oBAAoB,EAAE,OAAO,EAAE,MAAM,EAAE,IAAI,EAAE,MAAM,YAAY,CAAA;AAE7E,MAAM,MAAM,aAAa,GAAG,QAAQ,GAAG,OAAO,CAAA;AAE9C,qBAAa,IAAI;;gBAGH,SAAS,EAAE,SAAS;IAIhC;;;;OAIG;IACG,MAAM,CAAC,KAAK,EAAE;QAAE,KAAK,EAAE,MAAM,CAAC;QAAC,QAAQ,EAAE,MAAM,CAAA;KAAE,GAAG,OAAO,CAAC,OAAO,CAAC;IAI1E;;;;OAIG;IACG,MAAM,CAAC,KAAK,EAAE;QAAE,KAAK,EAAE,MAAM,CAAC;QAAC,QAAQ,EAAE,MAAM,CAAA;KAAE,GAAG,OAAO,CAAC,OAAO,CAAC;IAI1E;;;;OAIG;IACG,OAAO,CAAC,YAAY,EAAE,MAAM,GAAG,OAAO,CAAC,MAAM,CAAC;IAIpD,qCAAqC;IAC/B,OAAO,CAAC,YAAY,EAAE,MAAM,GAAG,OAAO,CAAC,IAAI,CAAC;IAIlD;;;OAGG;IACG,IAAI,CAAC,WAAW,EAAE,MAAM,GAAG,OAAO,CAAC,IAAI,CAAC;IAI9C,QAAQ,CAAC,GAAG,UAAqC;IACjD,QAAQ,CAAC,KAAK,YAAuC;CACtD;AAED;;;;;GAKG;AACH,qBAAa,OAAO;;gBAGN,SAAS,EAAE,MAAM,SAAS;IAItC;;;;;;OAMG;IACG,KAAK,CAAC,KAAK,EAAE;QAAE,KAAK,EAAE,MAAM,CAAA;KAAE,GAAG,OAAO,CAAC;QAAE,gBAAgB,EAAE,MAAM,CAAA;KAAE,CAAC;IAI5E,qCAAqC;IAC/B,MAAM,CAAC,KAAK,EAAE;QAAE,KAAK,EAAE,MAAM,CAAC;QAAC,IAAI,EAAE,MAAM,CAAA;KAAE,GAAG,OAAO,CAAC,MAAM,CAAC;CAGtE;AAED;;;;;;GAMG;AACH,qBAAa,SAAS;;gBAGR,SAAS,EAAE,MAAM,SAAS;IAIhC,KAAK,CAAC,QAAQ,EAAE,aAAa,GAAG,OAAO,CAAC,oBAAoB,CAAC;IAOnE;;;OAGG;IACG,QAAQ,CAAC,KAAK,EAAE;QAAE,KAAK,EAAE,MAAM,CAAC;QAAC,IAAI,EAAE,MAAM,CAAA;KAAE,GAAG,OAAO,CAAC,MAAM,CAAC;CAGxE"}

package/dist/auth.js

@@ -0,0 +1,99 @@
+/**
+ * 認証（メール / OAuth / SMS OTP）
+ *
+ * ★ ここはサーバーで動かすこと。鍵（SUPERZERO_KEY）が全能なので、
+ *   ブラウザやモバイルアプリに配ってはいけない。理由は index.ts に書いてある。
+ */
+export class Auth {
+    #transport;
+    constructor(transport) {
+        this.#transport = transport;
+    }
+    /**
+     * メールとパスワードで登録する。
+     * ★ 弱いパスワードはサーバーが AUTH_PASSWORD_WEAK で断る。
+     *   手前で独自に検査しない（規則が2箇所になり、必ず食い違う）。
+     */
+    async signUp(input) {
+        return this.#transport.call('POST', '/v1/auth/signup', input);
+    }
+    /**
+     * ★ 失敗はメールの有無で区別されない。
+     *   「そのメールは存在しません」と出したくなるが、出せば総当たりで
+     *   利用者の一覧を作られる。サーバーが意図的に同じ形で返している。
+     */
+    async signIn(input) {
+        return this.#transport.call('POST', '/v1/auth/signin', input);
+    }
+    /**
+     * アクセストークンを取り直す。
+     * ★ 使い終わった refreshToken は無効になる。返ってきた新しいほうを保存すること。
+     *   古いものを使い回すと、セッションごと失効する（再利用の検出）。
+     */
+    async refresh(refreshToken) {
+        return this.#transport.call('POST', '/v1/auth/refresh', { refreshToken });
+    }
+    /** ★ 知らないトークンでも成功する。存在の有無を漏らさないため */
+    async signOut(refreshToken) {
+        await this.#transport.call('POST', '/v1/auth/signout', { refreshToken });
+    }
+    /**
+     * アクセストークンから利用者を引く。
+     * ★ 署名と有効期限はサーバーが検証する。ここで JWT を自前で開かないこと。
+     */
+    async user(accessToken) {
+        return this.#transport.callWithAccessToken('GET', '/v1/auth/user', accessToken);
+    }
+    sms = new SmsAuth(() => this.#transport);
+    oauth = new OAuthAuth(() => this.#transport);
+}
+/**
+ * SMS ワンタイムコード。
+ *
+ * ★ Free プランでは閉じている。叩くと BILLING_REQUIRED（HTTP 402）が返る。
+ *   費用が出て、かつ SMS pumping の標的になるため。
+ */
+export class SmsAuth {
+    #transport;
+    constructor(transport) {
+        this.#transport = transport;
+    }
+    /**
+     * コードを送る。
+     *
+     * ★ 応答に「その番号が登録済みか」は含まれない。含めれば列挙の手掛かりになる。
+     * ★ 断られる理由は国・回数・リスク・支出上限のいずれかで、
+     *   どれもエラーの code で区別できる（AUTH_SMS_* / BILLING_*）。
+     */
+    async start(input) {
+        return this.#transport().call('POST', '/v1/auth/sms/start', input);
+    }
+    /** 成功するとトークンが返る。利用者が居なければその場で作られる */
+    async verify(input) {
+        return this.#transport().call('POST', '/v1/auth/sms/verify', input);
+    }
+}
+/**
+ * OAuth（Google / Apple）。
+ *
+ * ★ 2段階で使う。start() が返す url へ利用者を送り、
+ *   プロバイダから戻ってきた state と code を callback() に渡す。
+ *   code_verifier も nonce もサーバーが持つので、アプリ側で保管しない。
+ */
+export class OAuthAuth {
+    #transport;
+    constructor(transport) {
+        this.#transport = transport;
+    }
+    async start(provider) {
+        return this.#transport().call('POST', `/v1/auth/oauth/${provider}/start`);
+    }
+    /**
+     * ★ Apple は form_post で戻る。Google は既定でクエリだが、
+     *   data-plane はどちらも同じ形で受けるので、アプリ側の分岐は要らない。
+     */
+    async callback(input) {
+        return this.#transport().call('POST', '/v1/auth/oauth/callback', input);
+    }
+}
+//# sourceMappingURL=auth.js.map

package/dist/auth.js.map

@@ -0,0 +1 @@
+{"version":3,"file":"auth.js","sourceRoot":"","sources":["../src/auth.ts"],"names":[],"mappings":"AAAA;;;;;GAKG;AAOH,MAAM,OAAO,IAAI;IACN,UAAU,CAAW;IAE9B,YAAY,SAAoB;QAC9B,IAAI,CAAC,UAAU,GAAG,SAAS,CAAA;IAC7B,CAAC;IAED;;;;OAIG;IACH,KAAK,CAAC,MAAM,CAAC,KAA0C;QACrD,OAAO,IAAI,CAAC,UAAU,CAAC,IAAI,CAAU,MAAM,EAAE,iBAAiB,EAAE,KAAK,CAAC,CAAA;IACxE,CAAC;IAED;;;;OAIG;IACH,KAAK,CAAC,MAAM,CAAC,KAA0C;QACrD,OAAO,IAAI,CAAC,UAAU,CAAC,IAAI,CAAU,MAAM,EAAE,iBAAiB,EAAE,KAAK,CAAC,CAAA;IACxE,CAAC;IAED;;;;OAIG;IACH,KAAK,CAAC,OAAO,CAAC,YAAoB;QAChC,OAAO,IAAI,CAAC,UAAU,CAAC,IAAI,CAAS,MAAM,EAAE,kBAAkB,EAAE,EAAE,YAAY,EAAE,CAAC,CAAA;IACnF,CAAC;IAED,qCAAqC;IACrC,KAAK,CAAC,OAAO,CAAC,YAAoB;QAChC,MAAM,IAAI,CAAC,UAAU,CAAC,IAAI,CAAC,MAAM,EAAE,kBAAkB,EAAE,EAAE,YAAY,EAAE,CAAC,CAAA;IAC1E,CAAC;IAED;;;OAGG;IACH,KAAK,CAAC,IAAI,CAAC,WAAmB;QAC5B,OAAO,IAAI,CAAC,UAAU,CAAC,mBAAmB,CAAO,KAAK,EAAE,eAAe,EAAE,WAAW,CAAC,CAAA;IACvF,CAAC;IAEQ,GAAG,GAAG,IAAI,OAAO,CAAC,GAAG,EAAE,CAAC,IAAI,CAAC,UAAU,CAAC,CAAA;IACxC,KAAK,GAAG,IAAI,SAAS,CAAC,GAAG,EAAE,CAAC,IAAI,CAAC,UAAU,CAAC,CAAA;CACtD;AAED;;;;;GAKG;AACH,MAAM,OAAO,OAAO;IACT,UAAU,CAAiB;IAEpC,YAAY,SAA0B;QACpC,IAAI,CAAC,UAAU,GAAG,SAAS,CAAA;IAC7B,CAAC;IAED;;;;;;OAMG;IACH,KAAK,CAAC,KAAK,CAAC,KAAwB;QAClC,OAAO,IAAI,CAAC,UAAU,EAAE,CAAC,IAAI,CAAC,MAAM,EAAE,oBAAoB,EAAE,KAAK,CAAC,CAAA;IACpE,CAAC;IAED,qCAAqC;IACrC,KAAK,CAAC,MAAM,CAAC,KAAsC;QACjD,OAAO,IAAI,CAAC,UAAU,EAAE,CAAC,IAAI,CAAS,MAAM,EAAE,qBAAqB,EAAE,KAAK,CAAC,CAAA;IAC7E,CAAC;CACF;AAED;;;;;;GAMG;AACH,MAAM,OAAO,SAAS;IACX,UAAU,CAAiB;IAEpC,YAAY,SAA0B;QACpC,IAAI,CAAC,UAAU,GAAG,SAAS,CAAA;IAC7B,CAAC;IAED,KAAK,CAAC,KAAK,CAAC,QAAuB;QACjC,OAAO,IAAI,CAAC,UAAU,EAAE,CAAC,IAAI,CAC3B,MAAM,EACN,kBAAkB,QAAQ,QAAQ,CACnC,CAAA;IACH,CAAC;IAED;;;OAGG;IACH,KAAK,CAAC,QAAQ,CAAC,KAAsC;QACnD,OAAO,IAAI,CAAC,UAAU,EAAE,CAAC,IAAI,CAAS,MAAM,EAAE,yBAAyB,EAAE,KAAK,CAAC,CAAA;IACjF,CAAC;CACF"}

package/dist/index.d.ts

@@ -0,0 +1,58 @@
+/**
+ * Superzero の統一クライアント（P0設計 §5.8）
+ *
+ * 顧客のアプリが使う唯一のライブラリ。「1つで完結」の体験はここに集約される。
+ *
+ * ```ts
+ * import { createClient } from '@superzerodev/client'
+ *
+ * const superzero = createClient()          // 環境変数から読む。引数は要らない
+ *
+ * const { user, tokens } = await superzero.auth.signIn({ email, password })
+ * await superzero.push.send({ to: { userIds: [user.id] }, title: 'Hi', body: '...' })
+ * ```
+ *
+ * ★ 引数ゼロで動くのが要点。`superzero apply` が SUPERZERO_URL と SUPERZERO_KEY を
+ *   アプリの環境に注入するので、設定を書き写す手順が存在しない。
+ *   書き写す手順があると、そこが必ずずれる。
+ *
+ * ★★ この鍵はサーバーだけで使うこと。ブラウザにも、モバイルアプリにも入れない。★★
+ *
+ *   SUPERZERO_KEY は環境そのものの鍵で、できることに区別が無い。
+ *   これを持っていれば、誰でも全利用者へ Push を送れるし、任意のアクセストークンから
+ *   利用者を引ける。Supabase の anon key のような「公開してよい鍵」は
+ *   data-plane にまだ無い。
+ *
+ *   モバイルアプリから使いたい場合は、アプリ → あなたのサーバー → Superzero と
+ *   経由させること。あなたのサーバーは、その利用者が本当にその操作をしてよいかを
+ *   知っている唯一の場所でもある。
+ *
+ * ★ DB はここに無い。`superzero apply` が DATABASE_URL を注入しているので、
+ *   pg などの好きなクライアントでそのまま繋がる。薄い層をもう1枚重ねる価値より、
+ *   既存の道具がそのまま使えることを採った。
+ */
+import { Auth } from './auth.js';
+import { Push } from './push.js';
+import { type TransportOptions } from './transport.js';
+export type { OAuthProvider } from './auth.js';
+export type { TransportOptions } from './transport.js';
+export * from './types.js';
+export { Auth, Push };
+/** SuperzeroError をそのまま投げる。code と suggestedFix を読んで分岐できる */
+export { SuperzeroError, isSuperzeroError } from '@superzerodev/core';
+export interface SuperzeroClient {
+    auth: Auth;
+    push: Push;
+}
+export type CreateClientOptions = TransportOptions;
+/**
+ * クライアントを作る。
+ *
+ * @param options 省略時は環境変数 SUPERZERO_URL と SUPERZERO_KEY を読む。
+ *   どちらも `superzero apply` が注入する。
+ *
+ * ★ 足りなければここで throw する。作れてしまうと、最初の呼び出しが 401 になり、
+ *   「鍵が違う」のか「渡していない」のかが区別できない。
+ */
+export declare function createClient(options?: CreateClientOptions): SuperzeroClient;
+//# sourceMappingURL=index.d.ts.map

package/dist/index.d.ts.map

@@ -0,0 +1 @@
+{"version":3,"file":"index.d.ts","sourceRoot":"","sources":["../src/index.ts"],"names":[],"mappings":"AAAA;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;GAgCG;AAEH,OAAO,EAAE,IAAI,EAAE,MAAM,WAAW,CAAA;AAChC,OAAO,EAAE,IAAI,EAAE,MAAM,WAAW,CAAA;AAChC,OAAO,EAAa,KAAK,gBAAgB,EAAE,MAAM,gBAAgB,CAAA;AAEjE,YAAY,EAAE,aAAa,EAAE,MAAM,WAAW,CAAA;AAC9C,YAAY,EAAE,gBAAgB,EAAE,MAAM,gBAAgB,CAAA;AACtD,cAAc,YAAY,CAAA;AAC1B,OAAO,EAAE,IAAI,EAAE,IAAI,EAAE,CAAA;AAErB,4DAA4D;AAC5D,OAAO,EAAE,cAAc,EAAE,gBAAgB,EAAE,MAAM,oBAAoB,CAAA;AAErE,MAAM,WAAW,eAAe;IAC9B,IAAI,EAAE,IAAI,CAAA;IACV,IAAI,EAAE,IAAI,CAAA;CACX;AAED,MAAM,MAAM,mBAAmB,GAAG,gBAAgB,CAAA;AAElD;;;;;;;;GAQG;AACH,wBAAgB,YAAY,CAAC,OAAO,GAAE,mBAAwB,GAAG,eAAe,CAM/E"}

package/dist/index.js

@@ -0,0 +1,57 @@
+/**
+ * Superzero の統一クライアント（P0設計 §5.8）
+ *
+ * 顧客のアプリが使う唯一のライブラリ。「1つで完結」の体験はここに集約される。
+ *
+ * ```ts
+ * import { createClient } from '@superzerodev/client'
+ *
+ * const superzero = createClient()          // 環境変数から読む。引数は要らない
+ *
+ * const { user, tokens } = await superzero.auth.signIn({ email, password })
+ * await superzero.push.send({ to: { userIds: [user.id] }, title: 'Hi', body: '...' })
+ * ```
+ *
+ * ★ 引数ゼロで動くのが要点。`superzero apply` が SUPERZERO_URL と SUPERZERO_KEY を
+ *   アプリの環境に注入するので、設定を書き写す手順が存在しない。
+ *   書き写す手順があると、そこが必ずずれる。
+ *
+ * ★★ この鍵はサーバーだけで使うこと。ブラウザにも、モバイルアプリにも入れない。★★
+ *
+ *   SUPERZERO_KEY は環境そのものの鍵で、できることに区別が無い。
+ *   これを持っていれば、誰でも全利用者へ Push を送れるし、任意のアクセストークンから
+ *   利用者を引ける。Supabase の anon key のような「公開してよい鍵」は
+ *   data-plane にまだ無い。
+ *
+ *   モバイルアプリから使いたい場合は、アプリ → あなたのサーバー → Superzero と
+ *   経由させること。あなたのサーバーは、その利用者が本当にその操作をしてよいかを
+ *   知っている唯一の場所でもある。
+ *
+ * ★ DB はここに無い。`superzero apply` が DATABASE_URL を注入しているので、
+ *   pg などの好きなクライアントでそのまま繋がる。薄い層をもう1枚重ねる価値より、
+ *   既存の道具がそのまま使えることを採った。
+ */
+import { Auth } from './auth.js';
+import { Push } from './push.js';
+import { Transport } from './transport.js';
+export * from './types.js';
+export { Auth, Push };
+/** SuperzeroError をそのまま投げる。code と suggestedFix を読んで分岐できる */
+export { SuperzeroError, isSuperzeroError } from '@superzerodev/core';
+/**
+ * クライアントを作る。
+ *
+ * @param options 省略時は環境変数 SUPERZERO_URL と SUPERZERO_KEY を読む。
+ *   どちらも `superzero apply` が注入する。
+ *
+ * ★ 足りなければここで throw する。作れてしまうと、最初の呼び出しが 401 になり、
+ *   「鍵が違う」のか「渡していない」のかが区別できない。
+ */
+export function createClient(options = {}) {
+    const transport = new Transport(options);
+    return {
+        auth: new Auth(transport),
+        push: new Push(transport),
+    };
+}
+//# sourceMappingURL=index.js.map

package/dist/index.js.map

@@ -0,0 +1 @@
+{"version":3,"file":"index.js","sourceRoot":"","sources":["../src/index.ts"],"names":[],"mappings":"AAAA;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;GAgCG;AAEH,OAAO,EAAE,IAAI,EAAE,MAAM,WAAW,CAAA;AAChC,OAAO,EAAE,IAAI,EAAE,MAAM,WAAW,CAAA;AAChC,OAAO,EAAE,SAAS,EAAyB,MAAM,gBAAgB,CAAA;AAIjE,cAAc,YAAY,CAAA;AAC1B,OAAO,EAAE,IAAI,EAAE,IAAI,EAAE,CAAA;AAErB,4DAA4D;AAC5D,OAAO,EAAE,cAAc,EAAE,gBAAgB,EAAE,MAAM,oBAAoB,CAAA;AASrE;;;;;;;;GAQG;AACH,MAAM,UAAU,YAAY,CAAC,UAA+B,EAAE;IAC5D,MAAM,SAAS,GAAG,IAAI,SAAS,CAAC,OAAO,CAAC,CAAA;IACxC,OAAO;QACL,IAAI,EAAE,IAAI,IAAI,CAAC,SAAS,CAAC;QACzB,IAAI,EAAE,IAAI,IAAI,CAAC,SAAS,CAAC;KAC1B,CAAA;AACH,CAAC"}

package/dist/push.d.ts

@@ -0,0 +1,41 @@
+/**
+ * モバイル Push（APNs / FCM）
+ *
+ * ★ 送信は必ずサーバーから行う。この鍵は誰にでも送れるので、
+ *   アプリに埋めると全利用者へ好きな通知を出せる。
+ */
+import type { Transport } from './transport.js';
+import type { PushMessage, RegisteredToken, SendResult } from './types.js';
+export declare class Push {
+    #private;
+    constructor(transport: Transport);
+    /**
+     * 端末を登録する。
+     *
+     * ★ accessToken が要る。任意の userId を受け取る形にしていないのは、
+     *   それを許すと他人宛の通知を購読できてしまうため。
+     *   紐づく利用者はサーバーがトークンから決める。
+     */
+    registerToken(input: {
+        accessToken: string;
+        platform: 'ios' | 'android';
+        token: string;
+    }): Promise<RegisteredToken>;
+    /**
+     * 端末の登録を消す（ログアウト時など）。
+     *
+     * ★ 無効になった端末トークンは、送信時にサーバーが自分で消す
+     *   （APNs の 410 / BadDeviceToken、FCM の UNREGISTERED）。
+     *   ここで消すのは「この端末では受け取らない」という利用者の意思のほう。
+     */
+    removeToken(token: string): Promise<void>;
+    /**
+     * 送る。
+     *
+     * ★ 結果は「送れたか」で終わらない。requested / delivered / failed と、
+     *   端末ごとの outcomes が返る。1台に届かなかったことを、
+     *   全体の失敗として扱わないため。
+     */
+    send(message: PushMessage): Promise<SendResult>;
+}
+//# sourceMappingURL=push.d.ts.map

package/dist/push.d.ts.map

@@ -0,0 +1 @@
+{"version":3,"file":"push.d.ts","sourceRoot":"","sources":["../src/push.ts"],"names":[],"mappings":"AAAA;;;;;GAKG;AAEH,OAAO,KAAK,EAAE,SAAS,EAAE,MAAM,gBAAgB,CAAA;AAC/C,OAAO,KAAK,EAAE,WAAW,EAAE,eAAe,EAAE,UAAU,EAAE,MAAM,YAAY,CAAA;AAE1E,qBAAa,IAAI;;gBAGH,SAAS,EAAE,SAAS;IAIhC;;;;;;OAMG;IACG,aAAa,CAAC,KAAK,EAAE;QACzB,WAAW,EAAE,MAAM,CAAA;QACnB,QAAQ,EAAE,KAAK,GAAG,SAAS,CAAA;QAC3B,KAAK,EAAE,MAAM,CAAA;KACd,GAAG,OAAO,CAAC,eAAe,CAAC;IAI5B;;;;;;OAMG;IACG,WAAW,CAAC,KAAK,EAAE,MAAM,GAAG,OAAO,CAAC,IAAI,CAAC;IAI/C;;;;;;OAMG;IACG,IAAI,CAAC,OAAO,EAAE,WAAW,GAAG,OAAO,CAAC,UAAU,CAAC;CAGtD"}

package/dist/push.js

@@ -0,0 +1,43 @@
+/**
+ * モバイル Push（APNs / FCM）
+ *
+ * ★ 送信は必ずサーバーから行う。この鍵は誰にでも送れるので、
+ *   アプリに埋めると全利用者へ好きな通知を出せる。
+ */
+export class Push {
+    #transport;
+    constructor(transport) {
+        this.#transport = transport;
+    }
+    /**
+     * 端末を登録する。
+     *
+     * ★ accessToken が要る。任意の userId を受け取る形にしていないのは、
+     *   それを許すと他人宛の通知を購読できてしまうため。
+     *   紐づく利用者はサーバーがトークンから決める。
+     */
+    async registerToken(input) {
+        return this.#transport.call('POST', '/v1/push/tokens', input);
+    }
+    /**
+     * 端末の登録を消す（ログアウト時など）。
+     *
+     * ★ 無効になった端末トークンは、送信時にサーバーが自分で消す
+     *   （APNs の 410 / BadDeviceToken、FCM の UNREGISTERED）。
+     *   ここで消すのは「この端末では受け取らない」という利用者の意思のほう。
+     */
+    async removeToken(token) {
+        await this.#transport.call('DELETE', `/v1/push/tokens/${encodeURIComponent(token)}`);
+    }
+    /**
+     * 送る。
+     *
+     * ★ 結果は「送れたか」で終わらない。requested / delivered / failed と、
+     *   端末ごとの outcomes が返る。1台に届かなかったことを、
+     *   全体の失敗として扱わないため。
+     */
+    async send(message) {
+        return this.#transport.call('POST', '/v1/push/send', message);
+    }
+}
+//# sourceMappingURL=push.js.map

package/dist/push.js.map

@@ -0,0 +1 @@
+{"version":3,"file":"push.js","sourceRoot":"","sources":["../src/push.ts"],"names":[],"mappings":"AAAA;;;;;GAKG;AAKH,MAAM,OAAO,IAAI;IACN,UAAU,CAAW;IAE9B,YAAY,SAAoB;QAC9B,IAAI,CAAC,UAAU,GAAG,SAAS,CAAA;IAC7B,CAAC;IAED;;;;;;OAMG;IACH,KAAK,CAAC,aAAa,CAAC,KAInB;QACC,OAAO,IAAI,CAAC,UAAU,CAAC,IAAI,CAAkB,MAAM,EAAE,iBAAiB,EAAE,KAAK,CAAC,CAAA;IAChF,CAAC;IAED;;;;;;OAMG;IACH,KAAK,CAAC,WAAW,CAAC,KAAa;QAC7B,MAAM,IAAI,CAAC,UAAU,CAAC,IAAI,CAAC,QAAQ,EAAE,mBAAmB,kBAAkB,CAAC,KAAK,CAAC,EAAE,CAAC,CAAA;IACtF,CAAC;IAED;;;;;;OAMG;IACH,KAAK,CAAC,IAAI,CAAC,OAAoB;QAC7B,OAAO,IAAI,CAAC,UAAU,CAAC,IAAI,CAAa,MAAM,EAAE,eAAe,EAAE,OAAO,CAAC,CAAA;IAC3E,CAAC;CACF"}

package/dist/transport.d.ts

@@ -0,0 +1,33 @@
+/**
+ * data-plane への HTTP 呼び出し（P0設計 §5.8）
+ *
+ * ★ ここだけが fetch を知る。auth も push も、この層より下を見ない。
+ *   経路の作法（鍵の載せ方・タイムアウト・エラーの復元）を1箇所に閉じるため。
+ *
+ * ★ サーバーのエラーは必ず SuperzeroError に戻す。
+ *   suggestedFix を落とすと、この製品の核（エージェントが自力で直せる）が消える。
+ *   CLI が同じことをしている（apps/cli/src/client.ts）。形を揃えてある。
+ */
+export interface TransportOptions {
+    /** data-plane の URL。既定は環境変数 SUPERZERO_URL */
+    url?: string | undefined;
+    /** 環境の API キー。既定は環境変数 SUPERZERO_KEY */
+    key?: string | undefined;
+    /** 1回の呼び出しの上限。既定 30 秒 */
+    timeoutMs?: number | undefined;
+    /** テストと計測のための差し替え口 */
+    fetchImpl?: typeof fetch | undefined;
+}
+export declare const DEFAULT_TIMEOUT_MS = 30000;
+export declare class Transport {
+    #private;
+    constructor(options?: TransportOptions);
+    call<T>(method: string, path: string, body?: unknown): Promise<T>;
+    /**
+     * ★ ヘッダに載せる値は、この層より外へ出さない。
+     *   アクセストークンは本文かこの専用ヘッダでだけ運ぶ。
+     *   クエリ文字列に載せるとプロキシとアクセスログに平文で残る。
+     */
+    callWithAccessToken<T>(method: string, path: string, accessToken: string): Promise<T>;
+}
+//# sourceMappingURL=transport.d.ts.map

package/dist/transport.d.ts.map

@@ -0,0 +1 @@
+{"version":3,"file":"transport.d.ts","sourceRoot":"","sources":["../src/transport.ts"],"names":[],"mappings":"AAAA;;;;;;;;;GASG;AAIH,MAAM,WAAW,gBAAgB;IAC/B,6CAA6C;IAC7C,GAAG,CAAC,EAAE,MAAM,GAAG,SAAS,CAAA;IACxB,uCAAuC;IACvC,GAAG,CAAC,EAAE,MAAM,GAAG,SAAS,CAAA;IACxB,yBAAyB;IACzB,SAAS,CAAC,EAAE,MAAM,GAAG,SAAS,CAAA;IAC9B,sBAAsB;IACtB,SAAS,CAAC,EAAE,OAAO,KAAK,GAAG,SAAS,CAAA;CACrC;AAED,eAAO,MAAM,kBAAkB,QAAS,CAAA;AAExC,qBAAa,SAAS;;gBAMR,OAAO,GAAE,gBAAqB;IAmBpC,IAAI,CAAC,CAAC,EAAE,MAAM,EAAE,MAAM,EAAE,IAAI,EAAE,MAAM,EAAE,IAAI,CAAC,EAAE,OAAO,GAAG,OAAO,CAAC,CAAC,CAAC;IAqBvE;;;;OAIG;IACG,mBAAmB,CAAC,CAAC,EAAE,MAAM,EAAE,MAAM,EAAE,IAAI,EAAE,MAAM,EAAE,WAAW,EAAE,MAAM,GAAG,OAAO,CAAC,CAAC,CAAC;CAmB5F"}

package/dist/transport.js

@@ -0,0 +1,123 @@
+/**
+ * data-plane への HTTP 呼び出し（P0設計 §5.8）
+ *
+ * ★ ここだけが fetch を知る。auth も push も、この層より下を見ない。
+ *   経路の作法（鍵の載せ方・タイムアウト・エラーの復元）を1箇所に閉じるため。
+ *
+ * ★ サーバーのエラーは必ず SuperzeroError に戻す。
+ *   suggestedFix を落とすと、この製品の核（エージェントが自力で直せる）が消える。
+ *   CLI が同じことをしている（apps/cli/src/client.ts）。形を揃えてある。
+ */
+import { SuperzeroError } from '@superzerodev/core';
+export const DEFAULT_TIMEOUT_MS = 30_000;
+export class Transport {
+    #url;
+    #key;
+    #timeoutMs;
+    #fetch;
+    constructor(options = {}) {
+        const url = options.url ?? process.env['SUPERZERO_URL'];
+        const key = options.key ?? process.env['SUPERZERO_KEY'];
+        /**
+         * ★ 足りないまま作らせない。
+         *   作れてしまうと、最初の呼び出しで 401 になり、
+         *   「鍵が違う」のか「そもそも渡していない」のかが区別できない。
+         *   どちらの名前も、apply が自動で注入するもの（adapter-auth）。
+         */
+        if (!url)
+            throw missingConfig('SUPERZERO_URL', 'url');
+        if (!key)
+            throw missingConfig('SUPERZERO_KEY', 'key');
+        this.#url = url.replace(/\/$/, '');
+        this.#key = key;
+        this.#timeoutMs = options.timeoutMs ?? DEFAULT_TIMEOUT_MS;
+        this.#fetch = options.fetchImpl ?? fetch;
+    }
+    async call(method, path, body) {
+        let res;
+        try {
+            res = await this.#fetch(`${this.#url}${path}`, {
+                method,
+                headers: {
+                    accept: 'application/json',
+                    authorization: `Bearer ${this.#key}`,
+                    ...(body === undefined ? {} : { 'content-type': 'application/json' }),
+                },
+                ...(body === undefined ? {} : { body: JSON.stringify(body) }),
+                signal: AbortSignal.timeout(this.#timeoutMs),
+            });
+        }
+        catch (err) {
+            throw unreachable(this.#url, err);
+        }
+        if (!res.ok)
+            throw await fromResponse(res);
+        return (await res.json());
+    }
+    /**
+     * ★ ヘッダに載せる値は、この層より外へ出さない。
+     *   アクセストークンは本文かこの専用ヘッダでだけ運ぶ。
+     *   クエリ文字列に載せるとプロキシとアクセスログに平文で残る。
+     */
+    async callWithAccessToken(method, path, accessToken) {
+        let res;
+        try {
+            res = await this.#fetch(`${this.#url}${path}`, {
+                method,
+                headers: {
+                    accept: 'application/json',
+                    authorization: `Bearer ${this.#key}`,
+                    'x-superzero-access-token': accessToken,
+                },
+                signal: AbortSignal.timeout(this.#timeoutMs),
+            });
+        }
+        catch (err) {
+            throw unreachable(this.#url, err);
+        }
+        if (!res.ok)
+            throw await fromResponse(res);
+        return (await res.json());
+    }
+}
+function missingConfig(envName, optionName) {
+    return new SuperzeroError({
+        code: 'CONFIG_INVALID',
+        message: `${envName} is not set, so the Superzero client cannot be created.`,
+        suggestedFix: {
+            description: `Superzero injects ${envName} into apps it deploys, so this usually means the app is ` +
+                `running outside a Superzero environment. Pass it explicitly as "${optionName}" to ` +
+                `createClient(), or set ${envName} in the environment.`,
+        },
+    });
+}
+/** サーバーの正規化エラーを復元する。suggestedFix を落とさない */
+async function fromResponse(res) {
+    let body = {};
+    try {
+        body = (await res.json());
+    }
+    catch {
+        // JSON でない応答（プロキシのエラーページなど）
+    }
+    return new SuperzeroError({
+        code: body.code ?? 'PROVIDER_UNEXPECTED_ERROR',
+        message: body.message ?? `Superzero returned ${res.status} ${res.statusText}.`,
+        ...(body.cause ? { cause: body.cause } : {}),
+        ...(body.suggestedFix ? { suggestedFix: body.suggestedFix } : {}),
+        ...(body.docsUrl ? { docsUrl: body.docsUrl } : {}),
+    });
+}
+/** 接続できない。設定ミスか、環境がまだ立っていないかのどちらか */
+function unreachable(url, err) {
+    return new SuperzeroError({
+        code: 'DATA_PLANE_UNREACHABLE',
+        message: `Could not reach Superzero at ${url}: ${err instanceof Error ? err.message : String(err)}`,
+        suggestedFix: {
+            description: 'Check that SUPERZERO_URL points at a running environment. If the environment was ' +
+                'just created, run apply and wait for it to report ready.',
+            command: 'superzero verify',
+        },
+    });
+}
+//# sourceMappingURL=transport.js.map

package/dist/transport.js.map

@@ -0,0 +1 @@
+{"version":3,"file":"transport.js","sourceRoot":"","sources":["../src/transport.ts"],"names":[],"mappings":"AAAA;;;;;;;;;GASG;AAEH,OAAO,EAAE,cAAc,EAAE,MAAM,oBAAoB,CAAA;AAanD,MAAM,CAAC,MAAM,kBAAkB,GAAG,MAAM,CAAA;AAExC,MAAM,OAAO,SAAS;IACX,IAAI,CAAQ;IACZ,IAAI,CAAQ;IACZ,UAAU,CAAQ;IAClB,MAAM,CAAc;IAE7B,YAAY,UAA4B,EAAE;QACxC,MAAM,GAAG,GAAG,OAAO,CAAC,GAAG,IAAI,OAAO,CAAC,GAAG,CAAC,eAAe,CAAC,CAAA;QACvD,MAAM,GAAG,GAAG,OAAO,CAAC,GAAG,IAAI,OAAO,CAAC,GAAG,CAAC,eAAe,CAAC,CAAA;QAEvD;;;;;WAKG;QACH,IAAI,CAAC,GAAG;YAAE,MAAM,aAAa,CAAC,eAAe,EAAE,KAAK,CAAC,CAAA;QACrD,IAAI,CAAC,GAAG;YAAE,MAAM,aAAa,CAAC,eAAe,EAAE,KAAK,CAAC,CAAA;QAErD,IAAI,CAAC,IAAI,GAAG,GAAG,CAAC,OAAO,CAAC,KAAK,EAAE,EAAE,CAAC,CAAA;QAClC,IAAI,CAAC,IAAI,GAAG,GAAG,CAAA;QACf,IAAI,CAAC,UAAU,GAAG,OAAO,CAAC,SAAS,IAAI,kBAAkB,CAAA;QACzD,IAAI,CAAC,MAAM,GAAG,OAAO,CAAC,SAAS,IAAI,KAAK,CAAA;IAC1C,CAAC;IAED,KAAK,CAAC,IAAI,CAAI,MAAc,EAAE,IAAY,EAAE,IAAc;QACxD,IAAI,GAAa,CAAA;QACjB,IAAI,CAAC;YACH,GAAG,GAAG,MAAM,IAAI,CAAC,MAAM,CAAC,GAAG,IAAI,CAAC,IAAI,GAAG,IAAI,EAAE,EAAE;gBAC7C,MAAM;gBACN,OAAO,EAAE;oBACP,MAAM,EAAE,kBAAkB;oBAC1B,aAAa,EAAE,UAAU,IAAI,CAAC,IAAI,EAAE;oBACpC,GAAG,CAAC,IAAI,KAAK,SAAS,CAAC,CAAC,CAAC,EAAE,CAAC,CAAC,CAAC,EAAE,cAAc,EAAE,kBAAkB,EAAE,CAAC;iBACtE;gBACD,GAAG,CAAC,IAAI,KAAK,SAAS,CAAC,CAAC,CAAC,EAAE,CAAC,CAAC,CAAC,EAAE,IAAI,EAAE,IAAI,CAAC,SAAS,CAAC,IAAI,CAAC,EAAE,CAAC;gBAC7D,MAAM,EAAE,WAAW,CAAC,OAAO,CAAC,IAAI,CAAC,UAAU,CAAC;aAC7C,CAAC,CAAA;QACJ,CAAC;QAAC,OAAO,GAAG,EAAE,CAAC;YACb,MAAM,WAAW,CAAC,IAAI,CAAC,IAAI,EAAE,GAAG,CAAC,CAAA;QACnC,CAAC;QAED,IAAI,CAAC,GAAG,CAAC,EAAE;YAAE,MAAM,MAAM,YAAY,CAAC,GAAG,CAAC,CAAA;QAC1C,OAAO,CAAC,MAAM,GAAG,CAAC,IAAI,EAAE,CAAM,CAAA;IAChC,CAAC;IAED;;;;OAIG;IACH,KAAK,CAAC,mBAAmB,CAAI,MAAc,EAAE,IAAY,EAAE,WAAmB;QAC5E,IAAI,GAAa,CAAA;QACjB,IAAI,CAAC;YACH,GAAG,GAAG,MAAM,IAAI,CAAC,MAAM,CAAC,GAAG,IAAI,CAAC,IAAI,GAAG,IAAI,EAAE,EAAE;gBAC7C,MAAM;gBACN,OAAO,EAAE;oBACP,MAAM,EAAE,kBAAkB;oBAC1B,aAAa,EAAE,UAAU,IAAI,CAAC,IAAI,EAAE;oBACpC,0BAA0B,EAAE,WAAW;iBACxC;gBACD,MAAM,EAAE,WAAW,CAAC,OAAO,CAAC,IAAI,CAAC,UAAU,CAAC;aAC7C,CAAC,CAAA;QACJ,CAAC;QAAC,OAAO,GAAG,EAAE,CAAC;YACb,MAAM,WAAW,CAAC,IAAI,CAAC,IAAI,EAAE,GAAG,CAAC,CAAA;QACnC,CAAC;QAED,IAAI,CAAC,GAAG,CAAC,EAAE;YAAE,MAAM,MAAM,YAAY,CAAC,GAAG,CAAC,CAAA;QAC1C,OAAO,CAAC,MAAM,GAAG,CAAC,IAAI,EAAE,CAAM,CAAA;IAChC,CAAC;CACF;AAED,SAAS,aAAa,CAAC,OAAe,EAAE,UAAkB;IACxD,OAAO,IAAI,cAAc,CAAC;QACxB,IAAI,EAAE,gBAAgB;QACtB,OAAO,EAAE,GAAG,OAAO,yDAAyD;QAC5E,YAAY,EAAE;YACZ,WAAW,EACT,qBAAqB,OAAO,0DAA0D;gBACtF,mEAAmE,UAAU,OAAO;gBACpF,0BAA0B,OAAO,sBAAsB;SAC1D;KACF,CAAC,CAAA;AACJ,CAAC;AAED,2CAA2C;AAC3C,KAAK,UAAU,YAAY,CAAC,GAAa;IACvC,IAAI,IAAI,GAMJ,EAAE,CAAA;IACN,IAAI,CAAC;QACH,IAAI,GAAG,CAAC,MAAM,GAAG,CAAC,IAAI,EAAE,CAAgB,CAAA;IAC1C,CAAC;IAAC,MAAM,CAAC;QACP,4BAA4B;IAC9B,CAAC;IAED,OAAO,IAAI,cAAc,CAAC;QACxB,IAAI,EAAE,IAAI,CAAC,IAAI,IAAI,2BAA2B;QAC9C,OAAO,EAAE,IAAI,CAAC,OAAO,IAAI,sBAAsB,GAAG,CAAC,MAAM,IAAI,GAAG,CAAC,UAAU,GAAG;QAC9E,GAAG,CAAC,IAAI,CAAC,KAAK,CAAC,CAAC,CAAC,EAAE,KAAK,EAAE,IAAI,CAAC,KAAK,EAAE,CAAC,CAAC,CAAC,EAAE,CAAC;QAC5C,GAAG,CAAC,IAAI,CAAC,YAAY,CAAC,CAAC,CAAC,EAAE,YAAY,EAAE,IAAI,CAAC,YAAY,EAAE,CAAC,CAAC,CAAC,EAAE,CAAC;QACjE,GAAG,CAAC,IAAI,CAAC,OAAO,CAAC,CAAC,CAAC,EAAE,OAAO,EAAE,IAAI,CAAC,OAAO,EAAE,CAAC,CAAC,CAAC,EAAE,CAAC;KACnD,CAAC,CAAA;AACJ,CAAC;AAED,qCAAqC;AACrC,SAAS,WAAW,CAAC,GAAW,EAAE,GAAY;IAC5C,OAAO,IAAI,cAAc,CAAC;QACxB,IAAI,EAAE,wBAAwB;QAC9B,OAAO,EAAE,gCAAgC,GAAG,KAC1C,GAAG,YAAY,KAAK,CAAC,CAAC,CAAC,GAAG,CAAC,OAAO,CAAC,CAAC,CAAC,MAAM,CAAC,GAAG,CACjD,EAAE;QACF,YAAY,EAAE;YACZ,WAAW,EACT,mFAAmF;gBACnF,0DAA0D;YAC5D,OAAO,EAAE,kBAAkB;SAC5B;KACF,CAAC,CAAA;AACJ,CAAC"}

package/dist/types.d.ts

@@ -0,0 +1,82 @@
+/**
+ * 顧客のアプリが読む型。
+ *
+ * ★ auth-core / push-gateway の型をそのまま re-export しない。
+ *   あちらはサーバー内部の型で、保管用のフィールド（passwordHash など）や
+ *   Date が混ざる。ここは HTTP を越えてきた形（JSON）を書く。
+ *   同じ名前で中身が違うものを配ると、顧客の型検査が嘘をつく。
+ */
+export interface User {
+    id: string;
+    email: string | null;
+    phone: string | null;
+    emailVerified: boolean;
+    phoneVerified: boolean;
+    /** ISO 8601。JSON を越えてくるので Date ではない */
+    createdAt: string;
+}
+export interface Tokens {
+    /** JWT。既定15分で切れる */
+    accessToken: string;
+    /** 不透明な文字列。失効させられる */
+    refreshToken: string;
+    /** accessToken が切れるまでの秒数 */
+    expiresIn: number;
+    tokenType: 'Bearer';
+}
+export interface Session {
+    user: User;
+    tokens: Tokens;
+}
+/**
+ * OAuth の開始。
+ * ★ url へブラウザを送る。state / nonce / code_verifier はサーバーが持つので、
+ *   アプリ側で保管する必要はない。
+ */
+export interface AuthorizationRequest {
+    url: string;
+    state: string;
+}
+export interface PushMessage {
+    to: {
+        userIds: string[];
+    } | {
+        tokens: string[];
+    };
+    title: string;
+    body: string;
+    /** 値は文字列に限る（iOS と Android の両方の制約） */
+    data?: Record<string, string>;
+    ios?: {
+        badge?: number;
+        sound?: string;
+        /** 'passive' | 'active' | 'time-sensitive' | 'critical' */
+        interruptionLevel?: string;
+        threadId?: string;
+    };
+    android?: {
+        channelId?: string;
+        priority?: 'high' | 'normal';
+        collapseKey?: string;
+    };
+}
+export type DeliveryStatus = 'delivered' | 'failed' | 'token_removed';
+export interface DeliveryOutcome {
+    token: string;
+    platform: 'ios' | 'android';
+    status: DeliveryStatus;
+    error?: string;
+}
+export interface SendResult {
+    requested: number;
+    delivered: number;
+    failed: number;
+    /** 無効と判定して削除した端末トークンの数 */
+    tokensRemoved: number;
+    outcomes: DeliveryOutcome[];
+}
+export interface RegisteredToken {
+    id: string;
+    platform: 'ios' | 'android';
+}
+//# sourceMappingURL=types.d.ts.map

package/dist/types.d.ts.map

@@ -0,0 +1 @@
+{"version":3,"file":"types.d.ts","sourceRoot":"","sources":["../src/types.ts"],"names":[],"mappings":"AAAA;;;;;;;GAOG;AAEH,MAAM,WAAW,IAAI;IACnB,EAAE,EAAE,MAAM,CAAA;IACV,KAAK,EAAE,MAAM,GAAG,IAAI,CAAA;IACpB,KAAK,EAAE,MAAM,GAAG,IAAI,CAAA;IACpB,aAAa,EAAE,OAAO,CAAA;IACtB,aAAa,EAAE,OAAO,CAAA;IACtB,uCAAuC;IACvC,SAAS,EAAE,MAAM,CAAA;CAClB;AAED,MAAM,WAAW,MAAM;IACrB,oBAAoB;IACpB,WAAW,EAAE,MAAM,CAAA;IACnB,sBAAsB;IACtB,YAAY,EAAE,MAAM,CAAA;IACpB,4BAA4B;IAC5B,SAAS,EAAE,MAAM,CAAA;IACjB,SAAS,EAAE,QAAQ,CAAA;CACpB;AAED,MAAM,WAAW,OAAO;IACtB,IAAI,EAAE,IAAI,CAAA;IACV,MAAM,EAAE,MAAM,CAAA;CACf;AAED;;;;GAIG;AACH,MAAM,WAAW,oBAAoB;IACnC,GAAG,EAAE,MAAM,CAAA;IACX,KAAK,EAAE,MAAM,CAAA;CACd;AAED,MAAM,WAAW,WAAW;IAC1B,EAAE,EAAE;QAAE,OAAO,EAAE,MAAM,EAAE,CAAA;KAAE,GAAG;QAAE,MAAM,EAAE,MAAM,EAAE,CAAA;KAAE,CAAA;IAChD,KAAK,EAAE,MAAM,CAAA;IACb,IAAI,EAAE,MAAM,CAAA;IACZ,qCAAqC;IACrC,IAAI,CAAC,EAAE,MAAM,CAAC,MAAM,EAAE,MAAM,CAAC,CAAA;IAC7B,GAAG,CAAC,EAAE;QACJ,KAAK,CAAC,EAAE,MAAM,CAAA;QACd,KAAK,CAAC,EAAE,MAAM,CAAA;QACd,2DAA2D;QAC3D,iBAAiB,CAAC,EAAE,MAAM,CAAA;QAC1B,QAAQ,CAAC,EAAE,MAAM,CAAA;KAClB,CAAA;IACD,OAAO,CAAC,EAAE;QACR,SAAS,CAAC,EAAE,MAAM,CAAA;QAClB,QAAQ,CAAC,EAAE,MAAM,GAAG,QAAQ,CAAA;QAC5B,WAAW,CAAC,EAAE,MAAM,CAAA;KACrB,CAAA;CACF;AAED,MAAM,MAAM,cAAc,GAAG,WAAW,GAAG,QAAQ,GAAG,eAAe,CAAA;AAErE,MAAM,WAAW,eAAe;IAC9B,KAAK,EAAE,MAAM,CAAA;IACb,QAAQ,EAAE,KAAK,GAAG,SAAS,CAAA;IAC3B,MAAM,EAAE,cAAc,CAAA;IACtB,KAAK,CAAC,EAAE,MAAM,CAAA;CACf;AAED,MAAM,WAAW,UAAU;IACzB,SAAS,EAAE,MAAM,CAAA;IACjB,SAAS,EAAE,MAAM,CAAA;IACjB,MAAM,EAAE,MAAM,CAAA;IACd,0BAA0B;IAC1B,aAAa,EAAE,MAAM,CAAA;IACrB,QAAQ,EAAE,eAAe,EAAE,CAAA;CAC5B;AAED,MAAM,WAAW,eAAe;IAC9B,EAAE,EAAE,MAAM,CAAA;IACV,QAAQ,EAAE,KAAK,GAAG,SAAS,CAAA;CAC5B"}

package/dist/types.js

@@ -0,0 +1,10 @@
+/**
+ * 顧客のアプリが読む型。
+ *
+ * ★ auth-core / push-gateway の型をそのまま re-export しない。
+ *   あちらはサーバー内部の型で、保管用のフィールド（passwordHash など）や
+ *   Date が混ざる。ここは HTTP を越えてきた形（JSON）を書く。
+ *   同じ名前で中身が違うものを配ると、顧客の型検査が嘘をつく。
+ */
+export {};
+//# sourceMappingURL=types.js.map

package/dist/types.js.map

@@ -0,0 +1 @@
+{"version":3,"file":"types.js","sourceRoot":"","sources":["../src/types.ts"],"names":[],"mappings":"AAAA;;;;;;;GAOG"}

package/package.json

@@ -0,0 +1,38 @@
+{
+  "name": "@superzerodev/client",
+  "version": "0.1.1",
+  "type": "module",
+  "main": "./dist/index.js",
+  "types": "./dist/index.d.ts",
+  "exports": {
+    ".": {
+      "types": "./dist/index.d.ts",
+      "default": "./dist/index.js"
+    }
+  },
+  "files": [
+    "dist",
+    "!dist/__tests__"
+  ],
+  "dependencies": {
+    "@superzerodev/core": "0.1.1"
+  },
+  "description": "Server-side client for Superzero: authentication (email, OAuth, SMS) and mobile push.",
+  "license": "SEE LICENSE IN LICENSE",
+  "repository": {
+    "type": "git",
+    "url": "git+https://github.com/mashihara/superzero.git",
+    "directory": "packages/client"
+  },
+  "engines": {
+    "node": ">=22"
+  },
+  "publishConfig": {
+    "access": "public"
+  },
+  "scripts": {
+    "build": "tsc -p tsconfig.json",
+    "typecheck": "tsc -p tsconfig.json --noEmit",
+    "test": "tsc -p tsconfig.json && node --test \"dist/__tests__/*.test.js\""
+  }
+}