@things-factory/auth-base 10.0.7 → 10.0.9

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@things-factory/auth-base",
-  "version": "10.0.7",
+  "version": "10.0.9",
   "main": "dist-server/index.js",
   "browser": "dist-client/index.js",
   "things-factory": true,
@@ -34,10 +34,10 @@
     "@reduxjs/toolkit": "^2.2.5",
     "@simplewebauthn/browser": "^13.0.0",
     "@simplewebauthn/server": "^13.0.0",
-    "@things-factory/email-base": "^10.0.7",
-    "@things-factory/env": "^10.0.0",
-    "@things-factory/shell": "^10.0.7",
-    "@things-factory/utils": "^10.0.0",
+    "@things-factory/email-base": "^10.0.9",
+    "@things-factory/env": "^10.0.8",
+    "@things-factory/shell": "^10.0.9",
+    "@things-factory/utils": "^10.0.8",
     "@types/webappsec-credential-management": "^0.6.9",
     "jsonwebtoken": "^9.0.0",
     "koa-passport": "^6.0.0",
@@ -48,5 +48,5 @@
     "passport-jwt": "^4.0.0",
     "passport-local": "^1.0.0"
   },
-  "gitHead": "fffd94e886b67ed9019993a572a632054e812fa3"
+  "gitHead": "b7a6c48c213e7a504114397b752004a295c1df72"
 }

package/tests/privilege-deprecation.test.ts

@@ -0,0 +1,65 @@
+/**
+ * 유령 권한 판정 테스트.
+ *
+ * 계기: 트윈에서 조회 게이트 둘(`twin/query`)을 걷어낸 뒤 DB 에 그 행이 남았다. 부팅 동기화는 없는 행을
+ * **추가만** 하고 사라진 지시자의 행을 지우지 않는다. 그래서 관리자는 역할에 붙일 수 있고 붙여도 아무
+ * 일이 없는 권한을 목록에서 보게 된다.
+ *
+ * 이 판정이 틀리는 방향은 두 가지이고, 둘의 값이 다르다:
+ *  · 살아 있는 권한을 유령이라고 하면 → 관리자가 **필요한 권한을 뗀다**(사용자가 못 쓰게 된다).
+ *  · 유령을 살아 있다고 하면 → 목록이 조금 지저분한 상태로 남는다(지금과 같다).
+ * 그래서 확신이 없을 때는 **유령이라고 말하지 않는다.**
+ */
+
+import { declarationKey, isDeprecatedPrivilege } from '../server/service/privilege/privilege-deprecation.js'
+
+/** 지시자가 실제로 만드는 모양: `process['PRIVILEGES']['twin mutation'] = ['twin', 'mutation']`. */
+const declared = (...pairs: [string, string][]) =>
+  pairs.reduce((sum, [category, privilege]) => ({ ...sum, [declarationKey(category, privilege)]: [category, privilege] }), {})
+
+const TWIN_MUTATION = { category: 'twin', name: 'mutation' }
+const TWIN_QUERY = { category: 'twin', name: 'query' }
+
+describe('privilege deprecation', () => {
+  it('선언된 권한은 유령이 아니다', () => {
+    const declarations = declared(['twin', 'mutation'], ['board', 'query'])
+
+    expect(isDeprecatedPrivilege(declarations, TWIN_MUTATION)).toBe(false)
+  })
+
+  it('선언이 사라진 권한은 유령이다 — 이 작업의 계기 그대로', () => {
+    /* 트윈 조회 게이트를 걷어낸 뒤의 상태: mutation 은 선언되어 있고 query 는 아니다. */
+    const declarations = declared(['twin', 'mutation'])
+
+    expect(isDeprecatedPrivilege(declarations, TWIN_QUERY)).toBe(true)
+    expect(isDeprecatedPrivilege(declarations, TWIN_MUTATION)).toBe(false)
+  })
+
+  it('category 와 name 을 함께 본다 — 한쪽만 같은 것을 짝으로 세지 않는다', () => {
+    const declarations = declared(['twin', 'mutation'])
+
+    /* 이름이 같아도 다른 category 면 다른 권한이다(`query`/`mutation` 은 43개 category 가 공유한다). */
+    expect(isDeprecatedPrivilege(declarations, { category: 'board', name: 'mutation' })).toBe(true)
+    expect(isDeprecatedPrivilege(declarations, { category: 'twin', name: 'query' })).toBe(true)
+  })
+
+  it('선언이 하나도 없으면 판단하지 않는다 — 전부 유령이라 답하지 않는다', () => {
+    /* 스키마가 아직 구성되지 않았거나 전역이 비어 있는 상황. 거짓 경보보다 무판단이 정직하다. */
+    for (const empty of [{}, undefined, null]) {
+      expect(isDeprecatedPrivilege(empty, TWIN_MUTATION)).toBe(false)
+    }
+  })
+
+  it('반쪽 행은 어떤 선언과도 짝지을 수 없다', () => {
+    const declarations = declared(['twin', 'mutation'])
+
+    expect(isDeprecatedPrivilege(declarations, { category: 'twin' })).toBe(true)
+    expect(isDeprecatedPrivilege(declarations, { name: 'mutation' })).toBe(true)
+    expect(isDeprecatedPrivilege(declarations, {})).toBe(true)
+  })
+
+  it('키 모양이 지시자와 같다 — 이 규약이 어긋나면 전부 유령이 된다', () => {
+    /* `privilege-directive.ts` 가 `${category} ${privilege}` 로 넣는다. 공백 하나가 규약이다. */
+    expect(declarationKey('twin', 'mutation')).toBe('twin mutation')
+  })
+})

package/tests/privilege-rejection.test.ts

@@ -0,0 +1,72 @@
+/**
+ * 권한 거절 문장 테스트.
+ *
+ * 이 문장은 프레임워크 apollo 링크를 타고 **사용자 얼굴까지** 간다(자동으로 닫히지 않는 오류 토스트).
+ * 예전에는 영어 한 문장이었고, 나머지 서버 오류가 모두 `context.t` 로 옮겨진 뒤에도 여기만 남아 있었다.
+ *
+ * 위험한 것은 게이트 판정이 아니라 문장 만들기다:
+ *  ① 번역기가 없는 컨텍스트(구독·내부 호출)에서 죽거나 빈 문장을 주면 사용자는 이유를 못 본다.
+ *  ② i18next 는 키를 못 찾으면 **키를 그대로 돌려준다** — 그걸 쓰면 `error.x privilege required` 가 보인다.
+ *  ③ 소비처가 문장 형태에 의존하면 번역하는 순간 깨진다 — 그래서 `extensions` 에 구조로 싣는다.
+ */
+
+import { privilegeRejection } from '../server/service/privilege/privilege-rejection.js'
+
+/** 키를 그대로 돌려주는 i18next 기본 거동(번역 누락). */
+const missing = (key: string) => key
+
+describe('privilege rejection', () => {
+  it('요청의 언어로 말한다', () => {
+    const context = { t: (key: string, params: any) => `${params.x} 권한이 필요합니다.` }
+
+    expect(privilegeRejection(context, 'twin', 'mutation').message).toBe('twin:mutation 권한이 필요합니다.')
+  })
+
+  it('번역기가 없어도 이유를 말한다 — 빈 문장이나 예외로 끝나지 않는다', () => {
+    for (const context of [undefined, null, {}, { t: 'not a function' }]) {
+      const error = privilegeRejection(context, 'twin', 'mutation')
+
+      expect(error.message).toBe('unauthorized! twin:mutation privilege required')
+    }
+  })
+
+  it('번역이 없는 언어에서 키가 새어 나가지 않는다', () => {
+    /* i18next 기본 거동을 그대로 쓰면 사용자가 `error.x privilege required` 를 읽는다. */
+    const error = privilegeRejection({ t: missing }, 'twin', 'mutation')
+
+    expect(error.message).toBe('unauthorized! twin:mutation privilege required')
+    expect(error.message).not.toContain('error.')
+  })
+
+  it('번역기가 던져도 거절은 그대로 전달된다 — 오류의 원인이 번역기로 바뀌지 않게', () => {
+    const context = {
+      t: () => {
+        throw new Error('i18next not initialized')
+      }
+    }
+
+    expect(privilegeRejection(context, 'twin', 'mutation').message).toBe(
+      'unauthorized! twin:mutation privilege required'
+    )
+  })
+
+  it('소유권만 요구하는 게이트는 권한 이름을 지어내지 않는다', () => {
+    /* `@privilege(domainOwnerGranted: true)` 처럼 category·privilege 가 없는 게이트가 실제로 있다. */
+    const error = privilegeRejection({ t: missing })
+
+    expect(error.message).toBe('unauthorized! domain or system ownership required')
+    expect(error.extensions.requires).toBe('ownership')
+  })
+
+  it('무엇이 필요했는지 구조로 싣는다 — 화면이 문장을 다시 파싱하지 않게', () => {
+    const error = privilegeRejection({ t: () => '번역된 문장' }, 'twin', 'mutation')
+
+    expect(error.extensions.code).toBe('FORBIDDEN')
+    expect(error.extensions.requires).toEqual({ category: 'twin', privilege: 'mutation' })
+  })
+
+  it('한쪽만 주어진 게이트는 소유권 요구로 본다 — `undefined:mutation` 같은 문장을 만들지 않는다', () => {
+    expect(privilegeRejection({}, 'twin', undefined).extensions.requires).toBe('ownership')
+    expect(privilegeRejection({}, undefined, 'mutation').extensions.requires).toBe('ownership')
+  })
+})

package/translations/en.json

@@ -7,6 +7,7 @@
   "error.email already exists": "email already used by another user",
   "error.failed to find x": "failed to find {x}",
   "error.invalid username": "invalid username: {username}",
+  "error.ownership required": "unauthorized! domain or system ownership required",
   "error.password should be supported": "initial password or default password should be supported",
   "error.password should match the rule": "password should match following rule. ${rule}",
   "error.password used in the past": "password used in the past",
@@ -23,6 +24,7 @@
   "error.user validation failed": "user validation failed",
   "error.username already exists": "username already used by another user",
   "error.x is not a member of y": "{x} is not a member of {y}",
+  "error.x privilege required": "unauthorized! {x} privilege required",
   "field.active": "active",
   "field.appliance_id": "appliance id",
   "field.brand": "brand",

package/translations/ja.json

@@ -7,6 +7,7 @@
   "error.email already exists": "メールはすでに他のユーザーによって使用されています.",
   "error.failed to find x": "{x}が見つかりません.",
   "error.invalid username": "無効なユーザー名: {username}",
+  "error.ownership required": "権限がありません。ドメインまたはシステムの所有者権限が必要です。",
   "error.password should be supported": "初期パスワードまたはデフォルトパスワードがサポートされるべきです",
   "error.password should match the rule": "パスワードは次の規則を守らなければなりません. {rule}",
   "error.password used in the past": "過去に使用されたパスワードです.",
@@ -23,6 +24,7 @@
   "error.user validation failed": "ユーザー確認に失敗しました.",
   "error.username already exists": "ユーザー名はすでに他のユーザーによって使用されています.",
   "error.x is not a member of y": "{x}は{y}のメンバーではありません.",
+  "error.x privilege required": "権限がありません。{x} 権限が必要です。",
   "field.active": "アクティブ",
   "field.appliance_id": "器具ID",
   "field.brand": "ブランド",

package/translations/ko.json

@@ -7,6 +7,7 @@
   "error.email already exists": "이메일이 이미 사용되고 있습니다.",
   "error.failed to find x": "{x}을(를) 찾을 수 없습니다.",
   "error.invalid username": "유효하지 않은 사용자 이름: {username}",
+  "error.ownership required": "권한이 없습니다. 도메인 또는 시스템 소유자 권한이 필요합니다.",
   "error.password should be supported": "초기 비밀번호나 디폴트 비밀번호가 제공되어야 합니다.",
   "error.password should match the rule": "비밀번호는 다음 규칙을 지켜야 합니다. {rule}",
   "error.password used in the past": "과거에 사용된 비밀번호입니다.",
@@ -23,6 +24,7 @@
   "error.user validation failed": "사용자 확인에 실패하였습니다.",
   "error.username already exists": "사용자 아이디가 이미 사용되고 있습니다.",
   "error.x is not a member of y": "{x}은(는) {y}의 멤버가 아닙니다.",
+  "error.x privilege required": "권한이 없습니다. {x} 권한이 필요합니다.",
   "field.active": "활성화",
   "field.appliance_id": "기구 아이디",
   "field.brand": "브랜드",

package/translations/ms.json

@@ -7,6 +7,7 @@
   "error.email already exists": "Emel telah digunakan oleh pengguna lain",
   "error.failed to find x": "Gagal mencari {x}",
   "error.invalid username": "Nama pengguna tidak sah: {username}",
+  "error.ownership required": "tidak dibenarkan! kebenaran pemilik domain atau sistem diperlukan",
   "error.password should be supported": "kata laluan awal atau kata laluan lalai harus disokong",
   "error.password should match the rule": "Kata laluan harus mematuhi peraturan berikut. ${rule}",
   "error.password used in the past": "Kata laluan telah digunakan dalam masa lampau",
@@ -23,6 +24,7 @@
   "error.user validation failed": "Validasi pengguna gagal",
   "error.username already exists": "Nama pengguna telah digunakan oleh pengguna lain",
   "error.x is not a member of y": "{x} bukan ahli {y}",
+  "error.x privilege required": "tidak dibenarkan! kebenaran {x} diperlukan",
   "field.active": "Aktif",
   "field.appliance_id": "Perkakas",
   "field.brand": "Jenama",

package/translations/zh.json

@@ -1,6 +1,7 @@
 {
   "error.auth error": "认证错误。{message}",
   "error.authn verification failed": "用户认证失败。",
+  "error.ownership required": "没有权限。需要域或系统所有者权限。",
   "error.user verification failed": "用户验证失败",
   "error.confirm password not matched": "新密码与确认密码不匹配！",
   "error.domain mismatch": "证书不适用于该域！",
@@ -24,6 +25,7 @@
   "error.user validation failed": "用户验证失败！",
   "error.username already exists": "用户名已被其他用户使用",
   "error.x is not a member of y": "{x}不是{y}的成员",
+  "error.x privilege required": "没有权限。需要 {x} 权限。",
   "field.active": "激活",
   "field.appliance_id": "终端机ID",
   "field.brand": "品牌",