@telepapo/sdk 0.1.0 → 0.3.0

package/README.md

@@ -27,8 +27,12 @@ if (evento.mensagem?.tipo === 'texto') await conta.enviarTexto(evento.mensagem.d
 
 API: `iniciarAutorizacao`, `concluirAutorizacao`, `conta(id)`,
 `processarWebhook`, `verificarAssinatura`; na conta: `receber`, `enviar`,
-`enviarTexto`, `marcarLida`, `reagir`, `garantirPreKeys`, `dados`,
-`desconectar`.
+`enviarTexto`, `enviarArquivo`, `subirAnexo`, `baixarAnexo`, `marcarLida`,
+`reagir`, `digitando`, `garantirPreKeys`, `dados`, `desconectar`.
+
+Mais de um processo usando as mesmas contas (API + worker, réplicas)? Passe
+`travar: (chave, f) => …` (ex.: um lock no Redis): o estado do Signal e o
+refresh token não aguentam dois escritores ao mesmo tempo.
 
 O Signal roda em WebAssembly (`signal/`, compilado do libsignal 0.105.4 —
 o mesmo do app, testado contra a biblioteca oficial).

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@telepapo/sdk",
-  "version": "0.1.0",
+  "version": "0.3.0",
   "description": "SDK do TelePapo Developers: autorize contas comerciais e receba e responda mensagens com criptografia de ponta a ponta (Signal).",
   "type": "module",
   "main": "src/index.js",

package/src/anexos.js

@@ -0,0 +1,38 @@
+// Anexos no mesmo esquema do app e do TelePapo Web (o do Signal):
+// AES-256-CBC + HMAC-SHA256. A chave (64 bytes: 32 de AES, 32 de HMAC) e o
+// digest viajam só dentro da mensagem cifrada; o servidor guarda
+// `iv | cifrado | mac` e nada mais.
+import { createCipheriv, createDecipheriv, createHash, createHmac, randomBytes, timingSafeEqual } from 'node:crypto';
+
+export function cifrarAnexo(dado, chave) {
+  const iv = randomBytes(16);
+  const c = createCipheriv('aes-256-cbc', chave.subarray(0, 32), iv);
+  const corpo = Buffer.concat([iv, c.update(dado), c.final()]);
+  const mac = createHmac('sha256', chave.subarray(32, 64)).update(corpo).digest();
+  return Buffer.concat([corpo, mac]);
+}
+
+export function decifrarAnexo(blob, chave) {
+  if (blob.length < 16 + 16 + 32) throw new Error('Anexo curto demais.');
+  const corpo = blob.subarray(0, blob.length - 32);
+  // MAC conferido ANTES de decifrar: CBC sem MAC aceita blob adulterado.
+  const mac = createHmac('sha256', chave.subarray(32, 64)).update(corpo).digest();
+  if (!timingSafeEqual(mac, blob.subarray(blob.length - 32))) throw new Error('Anexo adulterado (MAC).');
+  const d = createDecipheriv('aes-256-cbc', chave.subarray(0, 32), corpo.subarray(0, 16));
+  return Buffer.concat([d.update(corpo.subarray(16)), d.final()]);
+}
+
+/** Cifra e devolve o blob e o que vai na mensagem ({chave, digest} em base64). */
+export function prepararAnexo(dado) {
+  const chave = randomBytes(64);
+  const blob = cifrarAnexo(Buffer.from(dado), chave);
+  return { blob, chave: chave.toString('base64'), digest: createHash('sha256').update(blob).digest('base64') };
+}
+
+/** Confere o digest (vindo da mensagem cifrada) e decifra. */
+export function abrirAnexo(blob, anexo) {
+  const digest = createHash('sha256').update(blob).digest();
+  const esperado = Buffer.from(anexo.digest ?? '', 'base64');
+  if (digest.length !== esperado.length || !timingSafeEqual(digest, esperado)) throw new Error('Anexo adulterado (digest).');
+  return decifrarAnexo(blob, Buffer.from(anexo.chave, 'base64'));
+}

package/src/botoes.js

@@ -0,0 +1,70 @@
+/**
+ * Botões nas mensagens (só conta comercial; ver docs/MENSAGENS-RICAS.md no
+ * repositório do TelePapo). As mesmas regras valem no app Android e no web:
+ * quem recebe descarta o botão que não passa nelas.
+ *
+ *   { id, tipo: 'resposta' | 'link' | 'telefone', rotulo, url?, telefone? }
+ */
+
+export const MAX_BOTOES = 3;
+export const MAX_ROTULO = 25;
+export const MAX_LEGENDA = 1024;
+
+// Controles invisíveis (direção do texto e afins) disfarçam texto e links.
+const CONTROLES = /[\u0000-\u0008\u000B-\u001F\u007F‪-‮⁦-⁩]/g;
+
+/** Tira caracteres de controle e de direção (mantém \n e \t). */
+export function limparTexto(texto) {
+  return String(texto ?? '').replace(CONTROLES, '');
+}
+
+function erro(i, motivo) {
+  return new Error(`Botão ${i + 1}: ${motivo}`);
+}
+
+/**
+ * Confere e normaliza os botões de uma mensagem a enviar. Lança com o motivo
+ * (erro de quem chama: melhor saber agora do que o cliente não ver o botão).
+ * @returns {Array<{id: string, tipo: string, rotulo: string, url?: string, telefone?: string}>}
+ */
+export function validarBotoes(botoes) {
+  if (!Array.isArray(botoes) || !botoes.length) throw new Error('Informe de 1 a 3 botões.');
+  if (botoes.length > MAX_BOTOES) throw new Error(`No máximo ${MAX_BOTOES} botões por mensagem.`);
+  const ids = new Set();
+  return botoes.map((b, i) => {
+    const id = String(b?.id ?? '').trim();
+    if (!id || id.length > 64) throw erro(i, 'id de 1 a 64 caracteres.');
+    if (ids.has(id)) throw erro(i, `id "${id}" repetido.`);
+    ids.add(id);
+    const rotulo = limparTexto(b.rotulo).replace(/\s+/g, ' ').trim();
+    if (!rotulo || [...rotulo].length > MAX_ROTULO) throw erro(i, `rótulo de 1 a ${MAX_ROTULO} caracteres.`);
+    switch (b.tipo) {
+      case 'resposta':
+        return { id, tipo: 'resposta', rotulo };
+      case 'link': {
+        const url = String(b.url ?? '').trim();
+        let u;
+        try { u = new URL(url); } catch { throw erro(i, 'url inválida.'); }
+        if (!['https:', 'http:'].includes(u.protocol) || url.length > 2000) throw erro(i, 'url precisa ser http(s) e ter até 2000 caracteres.');
+        return { id, tipo: 'link', rotulo, url };
+      }
+      case 'telefone': {
+        const telefone = String(b.telefone ?? '').replace(/[^\d+]/g, '');
+        if (!/^\+\d{8,15}$/.test(telefone)) throw erro(i, 'telefone no formato +5511912345678.');
+        return { id, tipo: 'telefone', rotulo, telefone };
+      }
+      default:
+        throw erro(i, 'tipo deve ser resposta, link ou telefone.');
+    }
+  });
+}
+
+/**
+ * Botão escolhido numa mensagem recebida (`conteudo.botao`), quando o cliente
+ * tocou num botão de resposta: `{ id, msg }` (id do botão e da mensagem).
+ */
+export function botaoEscolhido(conteudo) {
+  const b = conteudo?.botao;
+  if (!b || typeof b.id !== 'string' || typeof b.msg !== 'string') return null;
+  return { id: b.id.slice(0, 64), msg: b.msg.slice(0, 64) };
+}

package/src/index.js

@@ -9,11 +9,15 @@ import { randomUUID } from 'node:crypto';
 import { ArmazenamentoArquivo, ArmazenamentoMemoria } from './armazenamento.js';
 import { verificarAssinatura } from './webhook.js';
 import { categoria, impressao } from './categoria.js';
+import { abrirAnexo, prepararAnexo } from './anexos.js';
+import { validarBotoes, MAX_LEGENDA } from './botoes.js';
 
 const require = createRequire(import.meta.url);
 const { Signal } = require('../signal/telepapo_signal.js');
 
 export { ArmazenamentoArquivo, ArmazenamentoMemoria, verificarAssinatura };
+export { cifrarAnexo, decifrarAnexo } from './anexos.js';
+export { validarBotoes, botaoEscolhido, limparTexto } from './botoes.js';
 
 export class ErroTelePapo extends Error {
   constructor(status, corpo) {
@@ -36,8 +40,12 @@ export class TelePapo {
    * @param {string} [o.chaveWebhook] chave de assinatura do webhook (portal)
    * @param {string} [o.apiUrl]      padrão https://api.telepapo.com.br
    * @param {object} [o.armazenamento] { ler, gravar, apagar } — padrão: memória
+   * @param {(chave: string, f: () => Promise<any>) => Promise<any>} [o.travar]
+   *   Trava ENTRE processos (ex.: Redis). Obrigatória se mais de um processo usa
+   *   a mesma conta: o estado do Signal e o refresh token não aguentam dois
+   *   escritores ao mesmo tempo. Sem ela, só a fila deste processo.
    */
-  constructor({ clientId, credencial, chaveWebhook, apiUrl = 'https://api.telepapo.com.br', armazenamento = new ArmazenamentoMemoria(), fetch = globalThis.fetch }) {
+  constructor({ clientId, credencial, chaveWebhook, apiUrl = 'https://api.telepapo.com.br', armazenamento = new ArmazenamentoMemoria(), fetch = globalThis.fetch, travar = null }) {
     if (!clientId || !credencial) throw new Error('clientId e credencial são obrigatórios.');
     this.clientId = clientId;
     this.credencial = credencial;
@@ -45,11 +53,12 @@ export class TelePapo {
     this.apiUrl = apiUrl.replace(/\/$/, '');
     this.armazenamento = armazenamento;
     this.fetch = fetch;
+    this.travar = travar;
     this.contas = new Map();
   }
 
   async http(metodo, caminho, { corpo, token, basic } = {}) {
-    const headers = { 'User-Agent': 'telepapo-sdk/0.1' };
+    const headers = { 'User-Agent': 'telepapo-sdk/0.3' };
     if (corpo !== undefined) headers['Content-Type'] = 'application/json';
     if (token) headers.Authorization = `Bearer ${token}`;
     if (basic) headers.Authorization = 'Basic ' + Buffer.from(`${this.clientId}:${this.credencial}`).toString('base64');
@@ -128,7 +137,8 @@ class Conta {
 
   /** Uma operação por vez por conta (o estado do Signal não pode ser usado por duas ao mesmo tempo). */
   trava(f) {
-    const vez = this.fila.then(f);
+    const externa = this.cliente.travar;
+    const vez = this.fila.then(() => (externa ? externa(`telepapo:conta:${this.id}`, f) : f()));
     this.fila = vez.catch(() => undefined);
     return vez;
   }
@@ -154,12 +164,20 @@ class Conta {
   }
 
   async token() {
+    const valido = (e) => new Date(e.tokens.acessoExpiraEm).getTime() - Date.now() > 60_000;
     const e = await this.estado();
-    if (new Date(e.tokens.acessoExpiraEm).getTime() - Date.now() > 60_000) return e.tokens.acesso;
-    const par = await this.cliente.http('POST', '/v1/auth/renovar', { corpo: { refresh: e.tokens.refresh } });
-    e.tokens = { acesso: par.acesso, refresh: par.refresh, acessoExpiraEm: par.acessoExpiraEm };
-    await this.gravar(e);
-    return par.acesso;
+    if (valido(e)) return e.tokens.acesso;
+    const renovar = async () => {
+      // Relê dentro da trava: outro processo pode ter acabado de renovar.
+      const atual = await this.estado();
+      if (valido(atual)) return atual.tokens.acesso;
+      const par = await this.cliente.http('POST', '/v1/auth/renovar', { corpo: { refresh: atual.tokens.refresh } });
+      atual.tokens = { acesso: par.acesso, refresh: par.refresh, acessoExpiraEm: par.acessoExpiraEm };
+      await this.gravar(atual);
+      return par.acesso;
+    };
+    const externa = this.cliente.travar;
+    return externa ? externa(`telepapo:token:${this.id}`, renovar) : renovar();
   }
 
   async api(metodo, caminho, corpo) {
@@ -260,7 +278,7 @@ class Conta {
     for (const n of [...(d.faltando ?? []), ...(d.desatualizados ?? [])]) await this.abrirSessoes(usuario, n);
   }
 
-  async enviar1a1(dest, c) {
+  async enviar1a1(dest, c, { efemero = false } = {}) {
     const claro = new TextEncoder().encode(JSON.stringify(c));
     const cat = categoria(c);
     const imp = await impressao(c);
@@ -269,7 +287,7 @@ class Conta {
       if (!comSessao.length) await this.abrirSessoes(dest);
       const envelopes = await this.cifrarPara(dest, claro);
       try {
-        await this.api('POST', `/v1/mensagens/${dest}`, { idCliente: c.id.replace(/-/g, ''), envelopes, categoria: cat, ...(imp ? { impressao: imp } : {}) });
+        await this.api('POST', `/v1/mensagens/${dest}`, { idCliente: c.id.replace(/-/g, ''), envelopes, categoria: cat, ...(imp ? { impressao: imp } : {}), ...(efemero ? { efemero: true } : {}) });
         return;
       } catch (e) {
         if (tentativa >= 3 || (e.status !== 409 && e.status !== 410)) throw e;
@@ -297,9 +315,18 @@ class Conta {
     });
   }
 
-  enviarTexto(para, texto, { resposta } = {}) {
+  /**
+   * Texto (com *negrito*, _itálico_, ~riscado~ e `código`, que o app mostra
+   * formatados). `botoes`: até 3 (só conta comercial; ver validarBotoes).
+   */
+  enviarTexto(para, texto, { resposta, botoes } = {}) {
     if (!texto?.trim()) throw new Error('Texto vazio.');
-    return this.enviar(para, { tipo: 'texto', texto: texto.slice(0, 65000), ...(resposta ? { resposta } : {}) });
+    return this.enviar(para, {
+      tipo: 'texto',
+      texto: texto.slice(0, 65000),
+      ...(resposta ? { resposta } : {}),
+      ...(botoes ? { botoes: validarBotoes(botoes) } : {}),
+    });
   }
 
   /** Avisa quem escreveu que a conta leu (e o celular do dono também). */
@@ -311,6 +338,74 @@ class Conta {
     return this.enviar(para, { tipo: 'reacao', alvo: mensagemId, emoji: emoji ?? '' });
   }
 
+  /** "Digitando…" (efêmero: só chega a quem estiver online; não vai para o celular do dono). */
+  digitando(para, ativo = true) {
+    return this.trava(async () => {
+      const c = { v: 1, id: randomUUID(), em: Date.now(), tipo: 'digitando', estado: ativo ? 'inicio' : 'fim' };
+      try {
+        await this.enviar1a1(para, c, { efemero: true });
+      } catch (e) {
+        if (!(e instanceof SemAparelho)) throw e;
+      }
+    });
+  }
+
+  // ------------------------------------------------------------ anexos
+
+  /**
+   * Cifra e sobe um arquivo; devolve o `anexo` para pôr numa mensagem `midia`.
+   * @param {Buffer|Uint8Array} dados
+   * @param {{mime: string, nome?: string, largura?: number, altura?: number, duracaoMs?: number, onda?: string, miniatura?: string}} info
+   */
+  async subirAnexo(dados, info = {}) {
+    if (!info.mime) throw new Error('Informe o mime do anexo.');
+    const { blob, chave, digest } = prepararAnexo(dados);
+    const { id } = await this.api('POST', '/v1/anexos', { tamanho: blob.length });
+    const token = await this.token();
+    const r = await this.cliente.fetch(`${this.cliente.apiUrl}/v1/anexos/${id}/conteudo`, {
+      method: 'PUT',
+      headers: { Authorization: `Bearer ${token}`, 'Content-Type': 'application/octet-stream', 'User-Agent': 'telepapo-sdk/0.3' },
+      body: blob,
+    });
+    if (!r.ok) {
+      const texto = await r.text();
+      throw new ErroTelePapo(r.status, texto ? JSON.parse(texto) : null);
+    }
+    const extra = Object.fromEntries(['nome', 'largura', 'altura', 'duracaoMs', 'onda', 'miniatura'].filter((k) => info[k] != null).map((k) => [k, info[k]]));
+    return { id, chave, digest, tamanho: Buffer.byteLength(Buffer.from(dados)), mime: info.mime, ...extra };
+  }
+
+  /** Baixa, confere e decifra o anexo de uma mensagem recebida (`mensagem.conteudo.anexo`). */
+  async baixarAnexo(anexo) {
+    const token = await this.token();
+    const r = await this.cliente.fetch(`${this.cliente.apiUrl}/v1/anexos/${encodeURIComponent(anexo.id)}`, {
+      headers: { Authorization: `Bearer ${token}`, 'User-Agent': 'telepapo-sdk/0.3' },
+    });
+    if (!r.ok) {
+      const texto = await r.text();
+      throw new ErroTelePapo(r.status, texto ? JSON.parse(texto) : null);
+    }
+    return abrirAnexo(Buffer.from(await r.arrayBuffer()), anexo);
+  }
+
+  /**
+   * Envia um arquivo (foto, vídeo, áudio, documento). `legenda` vai na própria
+   * mídia (até 1024 caracteres; o app mostra abaixo da imagem/vídeo/documento).
+   * Áudio: `duracaoMs` e `onda` (base64 de até 64 barras 0-255) desenham o player.
+   */
+  async enviarArquivo(para, dados, { mime, nome, largura, altura, duracaoMs, onda, miniatura, legenda, resposta, botoes } = {}) {
+    const anexo = await this.subirAnexo(dados, { mime, nome, largura, altura, duracaoMs, onda, miniatura });
+    const texto = legenda?.trim() ? legenda.trim().slice(0, MAX_LEGENDA) : null;
+    const r = await this.enviar(para, {
+      tipo: 'midia',
+      anexo,
+      ...(texto ? { texto } : {}),
+      ...(resposta ? { resposta } : {}),
+      ...(botoes ? { botoes: validarBotoes(botoes) } : {}),
+    });
+    return { ...r, anexo };
+  }
+
   /** Repõe as pré-chaves do aparelho quando o estoque no servidor baixa (rode de tempos em tempos). */
   async garantirPreKeys() {
     const c = await this.api('GET', '/v1/chaves/contagem');