@tgtone/auth-sdk 1.4.0 → 1.4.1

package/README.md

@@ -229,15 +229,26 @@ Verifica si el usuario tiene acceso a una app.
 
 ---
 
-## 🚫 Session Revocation (v1.3.0)
+## 🚫 Session Revocation & Access Blocking (v1.3.0+, actualizado v1.4.0)
 
-El SDK detecta automáticamente cuando un usuario o tenant es eliminado/desactivado y cierra la sesión.
+El SDK detecta automáticamente cuando un usuario/tenant es eliminado/desactivado, o cuando una suscripción es bloqueada/trial expirado, y cierra la sesión.
 
-### Cómo funciona
+### Protección en 2 capas
 
-1. **Heartbeat**: Cada 5 minutos (configurable), el SDK valida la sesión con el backend
-2. **Interceptor HTTP**: Captura errores 401 en cada request
-3. **Acción automática**: Limpia token y redirige a `/blocked` o ejecuta callback personalizado
+| Capa | Dónde | Qué hace |
+|------|-------|----------|
+| **Backend (AuthGuard)** | Todos los endpoints API | Valida estado de usuario y tenant en cada request (con caché de 30s). Retorna 401 con código de error. |
+| **Frontend (SDK)** | Heartbeat + Interceptors | Detecta errores 401, limpia token, redirige a `/blocked` o ejecuta callback personalizado. |
+
+```
+Usuario eliminado en Console
+        │
+        ▼
+Backend AuthGuard → DB lookup → user.deletedAt? → 401 { code: 'USER_INACTIVE' }
+        │
+        ├── Si la app hace request API → Interceptor Axios/Fetch detecta 401 → redirect
+        └── Si no hay requests → Heartbeat (cada 5 min) detecta 401 → redirect
+```
 
 ### Habilitar en React
 
@@ -272,6 +283,41 @@ createAxiosInterceptor(api, authClient, {
 });
 ```
 
+### Con Interceptor Fetch
+
+```typescript
+import { createAuthFetch } from '@tgtone/auth-sdk/interceptor';
+
+const authFetch = createAuthFetch(authClient, {
+  handleRevoked: true,
+  excludeUrls: ['/public/'],
+});
+
+// Uso igual que fetch nativo — inyecta Authorization header automáticamente
+const response = await authFetch('/api/users');
+const data = await response.json();
+```
+
+### Verificar errores manualmente
+
+```typescript
+import { isRevocationError } from '@tgtone/auth-sdk';
+
+// En tu manejo de errores personalizado
+try {
+  await api.call();
+} catch (error) {
+  const code = error.response?.data?.code;
+  if (code && isRevocationError(code)) {
+    // Sesión revocada: usuario eliminado, tenant suspendido,
+    // suscripción bloqueada o trial expirado
+    // El SDK ya maneja la redirección si usas los interceptors
+    // Pero puedes agregar lógica extra aquí (analytics, logging, etc.)
+    console.log('Acceso bloqueado:', code);
+  }
+}
+```
+
 ### Nuevos métodos
 
 ```typescript
@@ -300,6 +346,16 @@ Ver **[MIGRATION_GUIDE.md](./MIGRATION_GUIDE.md)** para instrucciones detalladas
 
 ## 🔄 Cómo Funciona
 
+### Protección de usuario activo (v1.4.0)
+
+El backend valida el estado del usuario y tenant en **cada request API**, no solo en `/auth/me`:
+
+1. **AuthGuard con caché**: Todos los endpoints usan un guard que verifica `user.isActive`, `user.deletedAt` y `tenant.isActive`
+2. **Caché de 30s**: Los resultados se cachean en memoria para evitar DB lookups repetidos (ideal para Cloud Run)
+3. **Error codes**: Si el usuario/tenant no es válido, retorna 401 con código estructurado (`USER_INACTIVE`, `TENANT_INACTIVE`, etc.)
+
+Esto significa que un usuario eliminado o tenant suspendido **no puede hacer ningún request API**, incluso entre heartbeats.
+
 ### Flujo estándar (con `checkSession()`)
 
 1. Usuario visita tu app
@@ -375,7 +431,7 @@ interface TGTAuthConfig {
   appDomain: string;             // Dominio de tu app
   allowedRedirectHosts?: string[]; // Hosts permitidos para redirecciones (opcional)
   onAuthSuccess?: (session: TGTSession) => void;
-  onAuthFailure?: (error?: AuthError) => void;
+  onAuthFailure?: (error?: AuthError) => void; // ⚠️ Si se provee, NO redirige automáticamente al login (v1.4.0)
   onSessionRevoked?: (error: AuthError) => void; // 🆕 Callback para sesión revocada
   heartbeatIntervalMs?: number;  // 🆕 Intervalo de validación de sesión (default: 5 min)
   debug?: boolean;
@@ -406,7 +462,9 @@ const auth = new TGTAuthClient({
   
   onAuthFailure: (error) => {
     console.log('Sin sesión:', error?.message);
-    // Mostrar landing page pública
+    // ⚠️ Si defines este callback, el SDK NO redirige automáticamente.
+    // Debes manejar la redirección manualmente si la necesitas:
+    // window.location.href = '/login';
   },
   
   // 🆕 Manejar sesión revocada (usuario/tenant eliminado)

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@tgtone/auth-sdk",
-  "version": "1.4.0",
+  "version": "1.4.1",
   "description": "SDK de autenticación JWT + Bearer Token para el ecosistema TGT One",
   "main": "./dist/index.js",
   "types": "./dist/index.d.ts",