@things-factory/auth-base 10.1.223 → 10.1.227

package/dist-server/utils/access-token-cookie.js

@@ -6,6 +6,7 @@ exports.setSessionAccessToken = setSessionAccessToken;
 exports.clearAccessTokenCookie = clearAccessTokenCookie;
 const env_1 = require("@things-factory/env");
 const max_age_js_1 = require("../constants/max-age.js");
+const identity_confirmation_js_1 = require("../service/identity-confirmation/identity-confirmation.js");
 const accessTokenCookieKey = env_1.config.get('accessTokenCookieKey', 'access_token');
 function getAccessTokenCookie(context) {
     return context?.cookies?.get(accessTokenCookieKey);
@@ -37,6 +38,8 @@ function clearAccessTokenCookie(context) {
         sameSite: 'Lax'
     };
     context.cookies.set(accessTokenCookieKey, '', cookie);
+    /* A confirmation that it was the person ends with the sign-in it confirmed (ADR-0168). */
+    (0, identity_confirmation_js_1.forgetConfirmation)(context);
     /*
      * TODO clear i18next cookie as well - need to support domain
      * https://github.com/hatiolab/things-factory/issues/70

package/dist-server/utils/access-token-cookie.js.map

@@ -1 +1 @@
-{"version":3,"file":"access-token-cookie.js","sourceRoot":"","sources":["../../server/utils/access-token-cookie.ts"],"names":[],"mappings":";;AAKA,oDAEC;AAED,oDAWC;AAED,sDASC;AAED,wDAgBC;AAjDD,6CAA4C;AAC5C,wDAAiD;AAEjD,MAAM,oBAAoB,GAAG,YAAM,CAAC,GAAG,CAAC,sBAAsB,EAAE,cAAc,CAAC,CAAA;AAE/E,SAAgB,oBAAoB,CAAC,OAAO;IAC1C,OAAO,OAAO,EAAE,OAAO,EAAE,GAAG,CAAC,oBAAoB,CAAC,CAAA;AACpD,CAAC;AAED,SAAgB,oBAAoB,CAAC,OAAO,EAAE,KAAK;IACjD,MAAM,EAAE,MAAM,EAAE,GAAG,OAAO,CAAA;IAE1B,IAAI,MAAM,GAAG;QACX,MAAM;QACN,QAAQ,EAAE,IAAI;QACd,MAAM,EAAE,oBAAO;QACf,QAAQ,EAAE,KAAK;KAChB,CAAA;IAED,OAAO,CAAC,OAAO,CAAC,GAAG,CAAC,oBAAoB,EAAE,KAAK,EAAE,MAAM,CAAC,CAAA;AAC1D,CAAC;AAED,SAAgB,qBAAqB,CAAC,OAAO;IAC3C,0FAA0F;IAC1F,MAAM,EAAE,IAAI,EAAE,GAAG,OAAO,CAAC,KAAK,CAAA;IAE9B,OAAO,CAAC,OAAO,GAAG;QAChB,EAAE,EAAE,IAAI,CAAC,EAAE;QACX,QAAQ,EAAE,IAAI,CAAC,IAAI;QACnB,MAAM,EAAE,IAAI,CAAC,KAAK;KACnB,CAAA;AACH,CAAC;AAED,SAAgB,sBAAsB,CAAC,OAAO;IAC5C,MAAM,EAAE,MAAM,EAAE,GAAG,OAAO,CAAA;IAE1B,IAAI,MAAM,GAAG;QACX,MAAM;QACN,QAAQ,EAAE,IAAI;QACd,QAAQ,EAAE,KAAK;KAChB,CAAA;IAED,OAAO,CAAC,OAAO,CAAC,GAAG,CAAC,oBAAoB,EAAE,EAAE,EAAE,MAAM,CAAC,CAAA;IACrD;;;OAGG;IACH,OAAO,CAAC,OAAO,CAAC,GAAG,CAAC,SAAS,EAAE,EAAE,EAAE,MAAM,CAAC,CAAA;IAC1C,OAAO,CAAC,OAAO,GAAG,IAAI,CAAA;AACxB,CAAC","sourcesContent":["import { config } from '@things-factory/env'\nimport { MAX_AGE } from '../constants/max-age.js'\n\nconst accessTokenCookieKey = config.get('accessTokenCookieKey', 'access_token')\n\nexport function getAccessTokenCookie(context) {\n  return context?.cookies?.get(accessTokenCookieKey)\n}\n\nexport function setAccessTokenCookie(context, token) {\n  const { secure } = context\n\n  var cookie = {\n    secure,\n    httpOnly: true,\n    maxAge: MAX_AGE,\n    sameSite: 'Lax'\n  }\n\n  context.cookies.set(accessTokenCookieKey, token, cookie)\n}\n\nexport function setSessionAccessToken(context) {\n  /* koa-session 을 사용하는 경우에는, cookie 직접 설정이 작동되지 않는다. 그런 경우에는 session에 설정해서 cookie를 변경한다. */\n  const { user } = context.state\n\n  context.session = {\n    id: user.id,\n    userType: user.type,\n    status: user.state\n  }\n}\n\nexport function clearAccessTokenCookie(context) {\n  const { secure } = context\n\n  var cookie = {\n    secure,\n    httpOnly: true,\n    sameSite: 'Lax'\n  }\n\n  context.cookies.set(accessTokenCookieKey, '', cookie)\n  /*\n   * TODO clear i18next cookie as well - need to support domain\n   * https://github.com/hatiolab/things-factory/issues/70\n   */\n  context.cookies.set('i18next', '', cookie)\n  context.session = null\n}\n"]}
+{"version":3,"file":"access-token-cookie.js","sourceRoot":"","sources":["../../server/utils/access-token-cookie.ts"],"names":[],"mappings":";;AAMA,oDAEC;AAED,oDAWC;AAED,sDASC;AAED,wDAkBC;AApDD,6CAA4C;AAC5C,wDAAiD;AACjD,wGAA8F;AAE9F,MAAM,oBAAoB,GAAG,YAAM,CAAC,GAAG,CAAC,sBAAsB,EAAE,cAAc,CAAC,CAAA;AAE/E,SAAgB,oBAAoB,CAAC,OAAO;IAC1C,OAAO,OAAO,EAAE,OAAO,EAAE,GAAG,CAAC,oBAAoB,CAAC,CAAA;AACpD,CAAC;AAED,SAAgB,oBAAoB,CAAC,OAAO,EAAE,KAAK;IACjD,MAAM,EAAE,MAAM,EAAE,GAAG,OAAO,CAAA;IAE1B,IAAI,MAAM,GAAG;QACX,MAAM;QACN,QAAQ,EAAE,IAAI;QACd,MAAM,EAAE,oBAAO;QACf,QAAQ,EAAE,KAAK;KAChB,CAAA;IAED,OAAO,CAAC,OAAO,CAAC,GAAG,CAAC,oBAAoB,EAAE,KAAK,EAAE,MAAM,CAAC,CAAA;AAC1D,CAAC;AAED,SAAgB,qBAAqB,CAAC,OAAO;IAC3C,0FAA0F;IAC1F,MAAM,EAAE,IAAI,EAAE,GAAG,OAAO,CAAC,KAAK,CAAA;IAE9B,OAAO,CAAC,OAAO,GAAG;QAChB,EAAE,EAAE,IAAI,CAAC,EAAE;QACX,QAAQ,EAAE,IAAI,CAAC,IAAI;QACnB,MAAM,EAAE,IAAI,CAAC,KAAK;KACnB,CAAA;AACH,CAAC;AAED,SAAgB,sBAAsB,CAAC,OAAO;IAC5C,MAAM,EAAE,MAAM,EAAE,GAAG,OAAO,CAAA;IAE1B,IAAI,MAAM,GAAG;QACX,MAAM;QACN,QAAQ,EAAE,IAAI;QACd,QAAQ,EAAE,KAAK;KAChB,CAAA;IAED,OAAO,CAAC,OAAO,CAAC,GAAG,CAAC,oBAAoB,EAAE,EAAE,EAAE,MAAM,CAAC,CAAA;IACrD,0FAA0F;IAC1F,IAAA,6CAAkB,EAAC,OAAO,CAAC,CAAA;IAC3B;;;OAGG;IACH,OAAO,CAAC,OAAO,CAAC,GAAG,CAAC,SAAS,EAAE,EAAE,EAAE,MAAM,CAAC,CAAA;IAC1C,OAAO,CAAC,OAAO,GAAG,IAAI,CAAA;AACxB,CAAC","sourcesContent":["import { config } from '@things-factory/env'\nimport { MAX_AGE } from '../constants/max-age.js'\nimport { forgetConfirmation } from '../service/identity-confirmation/identity-confirmation.js'\n\nconst accessTokenCookieKey = config.get('accessTokenCookieKey', 'access_token')\n\nexport function getAccessTokenCookie(context) {\n  return context?.cookies?.get(accessTokenCookieKey)\n}\n\nexport function setAccessTokenCookie(context, token) {\n  const { secure } = context\n\n  var cookie = {\n    secure,\n    httpOnly: true,\n    maxAge: MAX_AGE,\n    sameSite: 'Lax'\n  }\n\n  context.cookies.set(accessTokenCookieKey, token, cookie)\n}\n\nexport function setSessionAccessToken(context) {\n  /* koa-session 을 사용하는 경우에는, cookie 직접 설정이 작동되지 않는다. 그런 경우에는 session에 설정해서 cookie를 변경한다. */\n  const { user } = context.state\n\n  context.session = {\n    id: user.id,\n    userType: user.type,\n    status: user.state\n  }\n}\n\nexport function clearAccessTokenCookie(context) {\n  const { secure } = context\n\n  var cookie = {\n    secure,\n    httpOnly: true,\n    sameSite: 'Lax'\n  }\n\n  context.cookies.set(accessTokenCookieKey, '', cookie)\n  /* A confirmation that it was the person ends with the sign-in it confirmed (ADR-0168). */\n  forgetConfirmation(context)\n  /*\n   * TODO clear i18next cookie as well - need to support domain\n   * https://github.com/hatiolab/things-factory/issues/70\n   */\n  context.cookies.set('i18next', '', cookie)\n  context.session = null\n}\n"]}

package/dist-server/utils/build-auth-url.d.ts

@@ -26,7 +26,7 @@
  * 아예 없고 어떤 경우엔 문자열 null 이다. 그러면 new URL(...) 이 던지고 **로그인과 OAuth
  * 콜백이 런타임에 깨진다.** 타입도 맞고 테스트도 도니까 띄워서 로그인해 봐야 안다.
  *
- * 그래서 Koa 2 의 정의를 그대로 펼쳐 쓴다. protocol 과 host 는 두 판 모두 「이 요청이 들어온
+ * 그래서 Koa 2 의 정의를 그대로 펼쳐 쓴다. protocol 과 host 는 두 버전 모두 「이 요청이 들어온
  * 곳」이고 app.proxy 설정도 그대로 존중한다. **오늘 값은 바뀌지 않는다.**
  *
  * ── config 의 protocol 이 마지막에 이긴다 ───────────────────────────────────

package/dist-server/utils/build-auth-url.js

@@ -36,7 +36,7 @@ const protocol = env_1.config.get('protocol');
  * 아예 없고 어떤 경우엔 문자열 null 이다. 그러면 new URL(...) 이 던지고 **로그인과 OAuth
  * 콜백이 런타임에 깨진다.** 타입도 맞고 테스트도 도니까 띄워서 로그인해 봐야 안다.
  *
- * 그래서 Koa 2 의 정의를 그대로 펼쳐 쓴다. protocol 과 host 는 두 판 모두 「이 요청이 들어온
+ * 그래서 Koa 2 의 정의를 그대로 펼쳐 쓴다. protocol 과 host 는 두 버전 모두 「이 요청이 들어온
  * 곳」이고 app.proxy 설정도 그대로 존중한다. **오늘 값은 바뀌지 않는다.**
  *
  * ── config 의 protocol 이 마지막에 이긴다 ───────────────────────────────────
@@ -71,7 +71,7 @@ function buildAuthURL(pathname, context) {
          * 콜백 주소를 만드는 이 자리에서 런타임에 깨진다.** 타입도 맞고 테스트도 도니까 띄워서
          * 로그인해 봐야 안다.
          *
-         * 그래서 Koa 2 의 정의를 그대로 펼쳐 쓴다. protocol 과 host 는 두 판 모두 「이 요청이
+         * 그래서 Koa 2 의 정의를 그대로 펼쳐 쓴다. protocol 과 host 는 두 버전 모두 「이 요청이
          * 들어온 곳」이고 app.proxy 설정도 그대로 존중한다. **오늘 값은 바뀌지 않는다.**
          */
         var url = new url_1.URL(`${context.request.protocol}://${context.request.host}`);

package/dist-server/utils/build-auth-url.js.map

@@ -1 +1 @@
-{"version":3,"file":"build-auth-url.js","sourceRoot":"","sources":["../../server/utils/build-auth-url.ts"],"names":[],"mappings":";;AA6CA,oCA0CC;AAvFD,6BAAyB;AAEzB,6CAA4C;AAE5C;;;GAGG;AACH,MAAM,QAAQ,GAAW,YAAM,CAAC,GAAG,CAAC,UAAU,CAAC,CAAA;AAE/C;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;GAkCG;AACH,SAAgB,YAAY,CAAC,QAAgB,EAAE,OAAwB;IAErE,MAAM,gBAAgB,GAAG,OAAO,CAAC,OAAO,CAAC,mBAAmB,CAAC,CAAA;IAC7D,MAAM,YAAY,GAAG,OAAO,CAAC,OAAO,CAAC,kBAAkB,CAAC,CAAA;IACxD,MAAM,YAAY,GAAG,OAAO,CAAC,OAAO,CAAC,kBAAkB,CAAC,CAAA;IAExD,IAAI,gBAAgB,IAAI,YAAY,EAAE,CAAC;QACrC,IAAI,GAAG,GAAQ,IAAI,SAAG,CAAC,GAAG,gBAAgB,MAAM,YAAY,EAAE,CAAC,CAAA;QAC/D,IAAI,YAAY,EAAE,CAAC;YACjB,GAAG,CAAC,IAAI,GAAG,YAAY,CAAA;QACzB,CAAC;IACH,CAAC;SAAM,CAAC;QACR;;;;;;;;;;;;;;;;;;;WAmBG;QACD,IAAI,GAAG,GAAQ,IAAI,SAAG,CAAC,GAAG,OAAO,CAAC,OAAO,CAAC,QAAQ,MAAM,OAAO,CAAC,OAAO,CAAC,IAAI,EAAE,CAAC,CAAA;IACjF,CAAC;IAED,IAAI,QAAQ,EAAE,CAAC;QACb,GAAG,CAAC,QAAQ,GAAG,QAAQ,CAAA;IACzB,CAAC;IAED,GAAG,CAAC,QAAQ,GAAG,QAAQ,CAAA;IAEvB,OAAO,GAAG,CAAC,IAAI,CAAA;AACjB,CAAC","sourcesContent":["import { URL } from 'url'\n\nimport { config } from '@things-factory/env'\n\n/*\n * 프록시가 헤더를 안 실어 주면서 TLS 종료를 하는 배치를 위한 못. 모듈이 실릴 때 한 번 읽는다\n * — 옮겨 오기 전에도 같은 자리에서 같은 방식으로 읽고 있었다.\n */\nconst protocol: string = config.get('protocol')\n\n/**\n * **이 요청이 들어온 우리 주소**에 경로를 붙여 절대 주소를 만든다.\n *\n * 로그인·OAuth 의 주소를 화면과 저장 값에 내려 줄 때 쓴다.\n *\n *   buildAuthURL('/oauth/authorize', context)\n *   buildAuthURL('/oauth2-client/callback', context)\n *\n * ── 왜 공용인가 ─────────────────────────────────────────────────────────────\n * 이 열두 줄이 auth-base 와 oauth2-client 에 **똑같이 베껴져** 있었다(2026-09-04).\n * x-forwarded 셋 읽기 · 폴백 · protocol 덮기 · pathname 붙이기가 같은 코드였다.\n * 한쪽만 고치는 일이 실제로 났다 — 그래서 한 집으로 모았다.\n *\n * ── 프록시 뒤에서는 프록시가 본 주소를 쓴다 ─────────────────────────────────\n * 리버스 프록시를 거치면 소켓이 보는 것은 프록시와의 연결이라 공개 주소가 아니다. 그때는\n * 프록시가 실어 주는 x-forwarded-* 가 유일한 단서다.\n *\n * ── 폴백에서 request.origin 을 쓰지 않는 이유 ───────────────────────────────\n * Koa 2 에서는 origin 이 정확히 우리가 원하는 값이다.\n *\n *   [읽었음] node_modules/koa/lib/request.js:98\n *            get origin() { return `${this.protocol}://${this.host}` }\n *\n * 그런데 **Koa 3 은 그 뜻을 바꾼다** — 현재 호스트가 아니라 브라우저가 보낸 Origin 헤더를\n * 준다(CORS 표준에 맞춘 변경, koajs/koa v3.0.0 릴리즈 노트). 그 헤더는 같은 출처 요청에는\n * 아예 없고 어떤 경우엔 문자열 null 이다. 그러면 new URL(...) 이 던지고 **로그인과 OAuth\n * 콜백이 런타임에 깨진다.** 타입도 맞고 테스트도 도니까 띄워서 로그인해 봐야 안다.\n *\n * 그래서 Koa 2 의 정의를 그대로 펼쳐 쓴다. protocol 과 host 는 두 판 모두 「이 요청이 들어온\n * 곳」이고 app.proxy 설정도 그대로 존중한다. **오늘 값은 바뀌지 않는다.**\n *\n * ── config 의 protocol 이 마지막에 이긴다 ───────────────────────────────────\n * 프록시가 헤더를 안 실어 주면서 TLS 종료를 하는 배치가 있다. 그때 여기서 읽은 것은 http 인데\n * 브라우저가 아는 것은 https 다. 그 경우를 설정으로 못 박는다.\n */\nexport function buildAuthURL(pathname: string, context: ResolverContext): string {\n\n  const originalProtocol = context.headers['x-forwarded-proto']\n  const originalHost = context.headers['x-forwarded-host']\n  const originalPort = context.headers['x-forwarded-port']\n\n  if (originalProtocol && originalHost) {\n    var url: URL = new URL(`${originalProtocol}://${originalHost}`)\n    if (originalPort) {\n      url.port = originalPort\n    }\n  } else {\n  /*\n   * ── 왜 request.origin 을 쓰지 않나 ──────────────────────────────────────\n   *\n   * 여기가 하려는 일은 **이 요청이 들어온 우리 주소**를 얻는 것이다. 위의 x-forwarded-*\n   * 가 없을 때(프록시를 안 거친 직접 접속) 그 값을 요청에서 읽는다.\n   *\n   * 전에는 context.request.origin 이었다. Koa 2 에서는 그것이 정확히 우리가 원하는 값이다.\n   *\n   *   [읽었음] node_modules/koa/lib/request.js:98\n   *            get origin() { return `${this.protocol}://${this.host}` }\n   *\n   * 그런데 **Koa 3 은 그 뜻을 바꾼다** — 현재 호스트가 아니라 브라우저가 보낸 Origin 헤더를\n   * 준다(CORS 표준에 맞춘 변경, koajs/koa v3.0.0 릴리즈 노트). 그 헤더는 같은 출처 요청에는\n   * 아예 없고 어떤 경우엔 문자열 null 이다. 그러면 new URL(...) 이 던지고, **로그인·OAuth\n   * 콜백 주소를 만드는 이 자리에서 런타임에 깨진다.** 타입도 맞고 테스트도 도니까 띄워서\n   * 로그인해 봐야 안다.\n   *\n   * 그래서 Koa 2 의 정의를 그대로 펼쳐 쓴다. protocol 과 host 는 두 판 모두 「이 요청이\n   * 들어온 곳」이고 app.proxy 설정도 그대로 존중한다. **오늘 값은 바뀌지 않는다.**\n   */\n    var url: URL = new URL(`${context.request.protocol}://${context.request.host}`)\n  }\n\n  if (protocol) {\n    url.protocol = protocol\n  }\n\n  url.pathname = pathname\n\n  return url.href\n}\n"]}
+{"version":3,"file":"build-auth-url.js","sourceRoot":"","sources":["../../server/utils/build-auth-url.ts"],"names":[],"mappings":";;AA6CA,oCA0CC;AAvFD,6BAAyB;AAEzB,6CAA4C;AAE5C;;;GAGG;AACH,MAAM,QAAQ,GAAW,YAAM,CAAC,GAAG,CAAC,UAAU,CAAC,CAAA;AAE/C;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;GAkCG;AACH,SAAgB,YAAY,CAAC,QAAgB,EAAE,OAAwB;IAErE,MAAM,gBAAgB,GAAG,OAAO,CAAC,OAAO,CAAC,mBAAmB,CAAC,CAAA;IAC7D,MAAM,YAAY,GAAG,OAAO,CAAC,OAAO,CAAC,kBAAkB,CAAC,CAAA;IACxD,MAAM,YAAY,GAAG,OAAO,CAAC,OAAO,CAAC,kBAAkB,CAAC,CAAA;IAExD,IAAI,gBAAgB,IAAI,YAAY,EAAE,CAAC;QACrC,IAAI,GAAG,GAAQ,IAAI,SAAG,CAAC,GAAG,gBAAgB,MAAM,YAAY,EAAE,CAAC,CAAA;QAC/D,IAAI,YAAY,EAAE,CAAC;YACjB,GAAG,CAAC,IAAI,GAAG,YAAY,CAAA;QACzB,CAAC;IACH,CAAC;SAAM,CAAC;QACR;;;;;;;;;;;;;;;;;;;WAmBG;QACD,IAAI,GAAG,GAAQ,IAAI,SAAG,CAAC,GAAG,OAAO,CAAC,OAAO,CAAC,QAAQ,MAAM,OAAO,CAAC,OAAO,CAAC,IAAI,EAAE,CAAC,CAAA;IACjF,CAAC;IAED,IAAI,QAAQ,EAAE,CAAC;QACb,GAAG,CAAC,QAAQ,GAAG,QAAQ,CAAA;IACzB,CAAC;IAED,GAAG,CAAC,QAAQ,GAAG,QAAQ,CAAA;IAEvB,OAAO,GAAG,CAAC,IAAI,CAAA;AACjB,CAAC","sourcesContent":["import { URL } from 'url'\n\nimport { config } from '@things-factory/env'\n\n/*\n * 프록시가 헤더를 안 실어 주면서 TLS 종료를 하는 배치를 위한 못. 모듈이 실릴 때 한 번 읽는다\n * — 옮겨 오기 전에도 같은 자리에서 같은 방식으로 읽고 있었다.\n */\nconst protocol: string = config.get('protocol')\n\n/**\n * **이 요청이 들어온 우리 주소**에 경로를 붙여 절대 주소를 만든다.\n *\n * 로그인·OAuth 의 주소를 화면과 저장 값에 내려 줄 때 쓴다.\n *\n *   buildAuthURL('/oauth/authorize', context)\n *   buildAuthURL('/oauth2-client/callback', context)\n *\n * ── 왜 공용인가 ─────────────────────────────────────────────────────────────\n * 이 열두 줄이 auth-base 와 oauth2-client 에 **똑같이 베껴져** 있었다(2026-09-04).\n * x-forwarded 셋 읽기 · 폴백 · protocol 덮기 · pathname 붙이기가 같은 코드였다.\n * 한쪽만 고치는 일이 실제로 났다 — 그래서 한 집으로 모았다.\n *\n * ── 프록시 뒤에서는 프록시가 본 주소를 쓴다 ─────────────────────────────────\n * 리버스 프록시를 거치면 소켓이 보는 것은 프록시와의 연결이라 공개 주소가 아니다. 그때는\n * 프록시가 실어 주는 x-forwarded-* 가 유일한 단서다.\n *\n * ── 폴백에서 request.origin 을 쓰지 않는 이유 ───────────────────────────────\n * Koa 2 에서는 origin 이 정확히 우리가 원하는 값이다.\n *\n *   [읽었음] node_modules/koa/lib/request.js:98\n *            get origin() { return `${this.protocol}://${this.host}` }\n *\n * 그런데 **Koa 3 은 그 뜻을 바꾼다** — 현재 호스트가 아니라 브라우저가 보낸 Origin 헤더를\n * 준다(CORS 표준에 맞춘 변경, koajs/koa v3.0.0 릴리즈 노트). 그 헤더는 같은 출처 요청에는\n * 아예 없고 어떤 경우엔 문자열 null 이다. 그러면 new URL(...) 이 던지고 **로그인과 OAuth\n * 콜백이 런타임에 깨진다.** 타입도 맞고 테스트도 도니까 띄워서 로그인해 봐야 안다.\n *\n * 그래서 Koa 2 의 정의를 그대로 펼쳐 쓴다. protocol 과 host 는 두 버전 모두 「이 요청이 들어온\n * 곳」이고 app.proxy 설정도 그대로 존중한다. **오늘 값은 바뀌지 않는다.**\n *\n * ── config 의 protocol 이 마지막에 이긴다 ───────────────────────────────────\n * 프록시가 헤더를 안 실어 주면서 TLS 종료를 하는 배치가 있다. 그때 여기서 읽은 것은 http 인데\n * 브라우저가 아는 것은 https 다. 그 경우를 설정으로 못 박는다.\n */\nexport function buildAuthURL(pathname: string, context: ResolverContext): string {\n\n  const originalProtocol = context.headers['x-forwarded-proto']\n  const originalHost = context.headers['x-forwarded-host']\n  const originalPort = context.headers['x-forwarded-port']\n\n  if (originalProtocol && originalHost) {\n    var url: URL = new URL(`${originalProtocol}://${originalHost}`)\n    if (originalPort) {\n      url.port = originalPort\n    }\n  } else {\n  /*\n   * ── 왜 request.origin 을 쓰지 않나 ──────────────────────────────────────\n   *\n   * 여기가 하려는 일은 **이 요청이 들어온 우리 주소**를 얻는 것이다. 위의 x-forwarded-*\n   * 가 없을 때(프록시를 안 거친 직접 접속) 그 값을 요청에서 읽는다.\n   *\n   * 전에는 context.request.origin 이었다. Koa 2 에서는 그것이 정확히 우리가 원하는 값이다.\n   *\n   *   [읽었음] node_modules/koa/lib/request.js:98\n   *            get origin() { return `${this.protocol}://${this.host}` }\n   *\n   * 그런데 **Koa 3 은 그 뜻을 바꾼다** — 현재 호스트가 아니라 브라우저가 보낸 Origin 헤더를\n   * 준다(CORS 표준에 맞춘 변경, koajs/koa v3.0.0 릴리즈 노트). 그 헤더는 같은 출처 요청에는\n   * 아예 없고 어떤 경우엔 문자열 null 이다. 그러면 new URL(...) 이 던지고, **로그인·OAuth\n   * 콜백 주소를 만드는 이 자리에서 런타임에 깨진다.** 타입도 맞고 테스트도 도니까 띄워서\n   * 로그인해 봐야 안다.\n   *\n   * 그래서 Koa 2 의 정의를 그대로 펼쳐 쓴다. protocol 과 host 는 두 버전 모두 「이 요청이\n   * 들어온 곳」이고 app.proxy 설정도 그대로 존중한다. **오늘 값은 바뀌지 않는다.**\n   */\n    var url: URL = new URL(`${context.request.protocol}://${context.request.host}`)\n  }\n\n  if (protocol) {\n    url.protocol = protocol\n  }\n\n  url.pathname = pathname\n\n  return url.href\n}\n"]}

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@things-factory/auth-base",
-  "version": "10.1.223",
+  "version": "10.1.227",
   "main": "dist-server/index.js",
   "browser": "dist-client/index.js",
   "things-factory": true,
@@ -35,10 +35,10 @@
     "@reduxjs/toolkit": "^2.2.5",
     "@simplewebauthn/browser": "^13.0.0",
     "@simplewebauthn/server": "^13.0.0",
-    "@things-factory/email-base": "^10.1.208",
+    "@things-factory/email-base": "^10.1.227",
     "@things-factory/env": "^10.1.149",
-    "@things-factory/shell": "^10.1.208",
-    "@things-factory/task-lease": "^10.1.208",
+    "@things-factory/shell": "^10.1.227",
+    "@things-factory/task-lease": "^10.1.227",
     "@things-factory/utils": "^10.1.179",
     "@types/webappsec-credential-management": "^0.6.9",
     "jsonwebtoken": "^9.0.0",
@@ -50,5 +50,5 @@
     "passport-jwt": "^4.0.0",
     "passport-local": "^1.0.0"
   },
-  "gitHead": "868f2026b8373371ad04f42b0a097964d0d0ed0f"
+  "gitHead": "f66591e3864aab08a6fb93fb1fcf1c9de6b546ac"
 }

package/tests/confirm-identity-db.test.ts

@@ -0,0 +1,85 @@
+/**
+ * Confirming it is still the signed-in person (ADR-0168) by password, through the real controller on the sqlite
+ * harness: a miss counts toward the same lock as signing in and leaves no confirmation; a match leaves one; both
+ * are audited as `auth.confirm-identity`.
+ */
+
+import { closeAuthDatabase, Domain, getRepository, openAuthDatabase, resetAuthDatabase, authDataSource } from './db'
+import { loadCompiled } from './compiled'
+
+const { User } = loadCompiled('service/user/user')
+const { AuditAction } = loadCompiled('service/audit/audit-action')
+const { flushAudit } = loadCompiled('service/audit/audit-recorder')
+const { confirmIdentity } = loadCompiled('controllers/confirm-identity')
+const { verifyPassword } = loadCompiled('controllers/signin')
+const { isRecentlyConfirmed } = loadCompiled('service/identity-confirmation/identity-confirmation')
+
+const PASSWORD = 'Passw0rd!'
+
+let domain: any
+let kim: any
+
+function request(user: any) {
+  const jar = new Map<string, string>()
+  return {
+    state: { user, domain, tx: authDataSource().manager },
+    cookies: { get: (name: string) => jar.get(name) || undefined, set: (name: string, value: string) => jar.set(name, value) }
+  } as any
+}
+
+const byPassword = (context: any, password: string) => confirmIdentity('password', context, (user: any) => verifyPassword(user, password, context))
+
+async function audits() {
+  await flushAudit()
+  const rows = await getRepository(AuditAction).find({ where: { kind: 'auth.confirm-identity' }, order: { createdAt: 'ASC' } })
+  return rows.map(row => [row.outcome, row.code, row.detail?.method])
+}
+
+beforeAll(async () => {
+  await openAuthDatabase()
+})
+
+afterAll(async () => {
+  await closeAuthDatabase()
+})
+
+beforeEach(async () => {
+  await resetAuthDatabase()
+  domain = await getRepository(Domain).save({ name: 'office', subdomain: 'office' })
+  const salt = User.generateSalt()
+  kim = await getRepository(User).save({
+    username: 'kim',
+    email: 'kim@example.com',
+    name: 'kim',
+    salt,
+    password: User.encode(PASSWORD, salt),
+    status: 'activated',
+    domains: [domain]
+  })
+})
+
+it('leaves a confirmation for the person when the password matches', async () => {
+  const context = request(kim)
+  await byPassword(context, PASSWORD)
+
+  expect(isRecentlyConfirmed(context, kim.id)).toBe(true)
+  expect(await audits()).toEqual([['ok', null, 'password']])
+})
+
+it('a miss leaves none, counts toward the lock, and is audited with its code', async () => {
+  const context = request(kim)
+  await expect(byPassword(context, 'wrong')).rejects.toMatchObject({ errorCode: 'password-not-matched' })
+
+  expect(isRecentlyConfirmed(context, kim.id)).toBe(false)
+  expect((await getRepository(User).findOneBy({ id: kim.id })).failCount).toBe(1)
+  expect(await audits()).toEqual([['error', 'password-not-matched', 'password']])
+})
+
+it('the fifth miss locks the account, and a locked account confirms nothing', async () => {
+  for (let i = 0; i < 4; i++) await expect(byPassword(request(kim), 'wrong')).rejects.toMatchObject({ errorCode: 'password-not-matched' })
+  await expect(byPassword(request(kim), 'wrong')).rejects.toMatchObject({ errorCode: 'user-locked' })
+
+  const context = request(kim)
+  await expect(byPassword(context, PASSWORD)).rejects.toMatchObject({ errorCode: 'user-locked' })
+  expect(isRecentlyConfirmed(context, kim.id)).toBe(false)
+})

package/tests/identity-confirmation.test.ts

@@ -0,0 +1,146 @@
+/**
+ * `@recentConfirmation` (ADR-0168) - the seam. A door that asks for a recent confirmation opens only when the
+ * person confirmed in this browser within the last ten minutes, as themself; passing does not lengthen it. Built as SDL the way
+ * `privilege-directive.test.ts` builds its schema - the wrapper sees only the field, `context.state` and the cookies.
+ */
+
+import { graphql } from 'graphql'
+import { makeExecutableSchema } from '@graphql-tools/schema'
+import jwt from 'jsonwebtoken'
+
+import { loadCompiled } from './compiled'
+
+const { privilegeDirectiveTypeDefs, privilegeDirectiveResolver } = loadCompiled('service/privilege/privilege-directive')
+const confirmation = loadCompiled('service/identity-confirmation/identity-confirmation')
+const { SECRET } = loadCompiled('utils/get-secret')
+const { User } = loadCompiled('service/user/user')
+
+const DOMAIN = { id: 'domain-1', subdomain: 'office' }
+const KIM = { id: 'kim', domains: [DOMAIN] }
+const LEE = { id: 'lee', domains: [DOMAIN] }
+
+const typeDefs = `
+  type Query {
+    myPayslips: String @privilege(category: "office-self", privilege: "query") @recentConfirmation
+    myLeave: String @privilege(category: "office-self", privilege: "query")
+  }
+`
+
+function buildSchema(defs = typeDefs) {
+  return privilegeDirectiveResolver(
+    makeExecutableSchema({
+      typeDefs: [privilegeDirectiveTypeDefs, confirmation.recentConfirmationDirectiveTypeDefs, defs],
+      resolvers: { Query: { myPayslips: () => 'slips', myLeave: () => 'leave' } }
+    })
+  )
+}
+
+/** A browser: the cookies it holds between requests. */
+function browser() {
+  const jar = new Map<string, string>()
+  const options = new Map<string, any>()
+  return {
+    jar,
+    options,
+    cookies: {
+      get: (name: string) => jar.get(name) || undefined,
+      set: (name: string, value: string, option: any) => (jar.set(name, value), options.set(name, option))
+    }
+  }
+}
+
+function run(schema: any, field: string, user: any, at: ReturnType<typeof browser>) {
+  return graphql({ schema, source: `{ ${field} }`, contextValue: { state: { domain: DOMAIN, user }, cookies: at.cookies } })
+}
+
+const refusalOf = (result: any) => result.errors?.[0]?.extensions?.refusal?.code
+
+beforeEach(() => {
+  User.hasPrivilege = jest.fn().mockResolvedValue(true)
+  ;(process as any).domainOwnerGranted = jest.fn().mockResolvedValue(false)
+  ;(process as any).superUserGranted = jest.fn().mockResolvedValue(false)
+})
+
+afterEach(() => {
+  delete (process as any).domainOwnerGranted
+  delete (process as any).superUserGranted
+})
+
+it('refuses a door that asks for it when the person has not confirmed, with a code the screen can name', async () => {
+  const result = await run(buildSchema(), 'myPayslips', KIM, browser())
+
+  expect(result.data?.myPayslips ?? null).toBeNull()
+  expect(refusalOf(result)).toBe('identity-confirmation-required')
+  expect(result.errors?.[0]?.extensions?.code).toBe('IDENTITY_CONFIRMATION_REQUIRED')
+})
+
+it('opens it after the person confirmed, and does not lengthen the confirmation as it passes', async () => {
+  const at = browser()
+  confirmation.rememberConfirmation({ cookies: at.cookies }, KIM.id)
+  const given = at.jar.get('identity_confirmed')
+
+  await new Promise(resolve => setTimeout(resolve, 1100))
+  const result = await run(buildSchema(), 'myPayslips', KIM, at)
+
+  expect(result.errors).toBeUndefined()
+  expect(result.data).toEqual({ myPayslips: 'slips' })
+  expect(at.jar.get('identity_confirmed')).toBe(given)
+  expect(at.options.get('identity_confirmed')).toMatchObject({ httpOnly: true, maxAge: 10 * 60 * 1000 })
+})
+
+it('holds for ten minutes from the moment it was given, and says until when', () => {
+  const at = browser()
+  const before = Date.now()
+  confirmation.rememberConfirmation({ cookies: at.cookies }, KIM.id)
+
+  const until = confirmation.confirmedUntil({ cookies: at.cookies }, KIM.id).getTime()
+  expect(until).toBeGreaterThanOrEqual(Math.floor(before / 1000) * 1000 + 10 * 60 * 1000)
+  expect(until).toBeLessThanOrEqual(Date.now() + 10 * 60 * 1000)
+  expect(confirmation.confirmedUntil({ cookies: at.cookies }, LEE.id)).toBeNull()
+})
+
+it("does not open on another person's confirmation", async () => {
+  const at = browser()
+  confirmation.rememberConfirmation({ cookies: at.cookies }, LEE.id)
+
+  expect(refusalOf(await run(buildSchema(), 'myPayslips', KIM, at))).toBe('identity-confirmation-required')
+})
+
+it('does not open on an expired confirmation, a forged one, or one let go', async () => {
+  const expired = browser()
+  expired.jar.set('identity_confirmed', jwt.sign({ sub: KIM.id, purpose: 'identity-confirmation' }, SECRET, { expiresIn: -10 }))
+  expect(refusalOf(await run(buildSchema(), 'myPayslips', KIM, expired))).toBe('identity-confirmation-required')
+
+  const forged = browser()
+  forged.jar.set('identity_confirmed', jwt.sign({ sub: KIM.id, purpose: 'identity-confirmation' }, 'another secret', { expiresIn: 300 }))
+  expect(refusalOf(await run(buildSchema(), 'myPayslips', KIM, forged))).toBe('identity-confirmation-required')
+
+  const signedIn = browser()
+  signedIn.jar.set('identity_confirmed', jwt.sign({ sub: KIM.id }, SECRET, { expiresIn: 300 }))
+  expect(refusalOf(await run(buildSchema(), 'myPayslips', KIM, signedIn))).toBe('identity-confirmation-required')
+
+  const leftAlone = browser()
+  confirmation.rememberConfirmation({ cookies: leftAlone.cookies }, KIM.id)
+  confirmation.forgetConfirmation({ cookies: leftAlone.cookies })
+  expect(refusalOf(await run(buildSchema(), 'myPayslips', KIM, leftAlone))).toBe('identity-confirmation-required')
+})
+
+it('asks the privilege first - a person without it is refused for the privilege, confirmed or not', async () => {
+  User.hasPrivilege = jest.fn().mockResolvedValue(false)
+  const at = browser()
+  confirmation.rememberConfirmation({ cookies: at.cookies }, KIM.id)
+
+  const result = await run(buildSchema(), 'myPayslips', KIM, at)
+  expect(result.errors?.[0]?.extensions?.code).not.toBe('IDENTITY_CONFIRMATION_REQUIRED')
+})
+
+it('leaves a door that does not ask alone', async () => {
+  const result = await run(buildSchema(), 'myLeave', KIM, browser())
+
+  expect(result.errors).toBeUndefined()
+  expect(result.data).toEqual({ myLeave: 'leave' })
+})
+
+it('refuses to build a door that asks for the confirmation without a privilege beside it', () => {
+  expect(() => buildSchema('type Query { myPayslips: String @recentConfirmation myLeave: String }')).toThrow('has no @privilege beside it')
+})

package/tests/role-mutation-db.test.ts

@@ -154,7 +154,7 @@ describe('지우기 — 하나', () => {
   it('가진 사람이 있으면 그 이유로 거절한다', async () => {
     const role = await makeRole('in-use', child, [boardQuery], [actor])
 
-    await expect(mutation.deleteRole(role.id, context(child))).rejects.toThrow('currently in use')
+    expect(await refusalCodeOf(mutation.deleteRole(role.id, context(child)))).toBe('role-in-use')
     expect(await getRepository(Role).findOneBy({ id: role.id })).not.toBeNull()
   })
 
@@ -181,15 +181,31 @@ describe('지우기 — 여럿', () => {
     expect(await getRepository(Role).findOneBy({ id: theirs.id })).not.toBeNull()
   })
 
-  it('사용 중인 역할은 남긴다 — 하나 지우기와 같은 규칙이다', async () => {
+  it('★ 사용 중인 역할이 하나라도 있으면 아무것도 안 지우고 그 이름과 사람 수로 거절한다 — 하나 지우기와 같은 거절이다', async () => {
     const unused = await makeRole('unused', child)
     const inUse = await makeRole('in-use', child, [], [actor])
 
-    await mutation.deleteRoles([unused.id, inUse.id], context(child))
+    let refusal: any
+    try {
+      await mutation.deleteRoles([unused.id, inUse.id], context(child))
+    } catch (error) {
+      refusal = error
+    }
 
-    expect(await getRepository(Role).findOneBy({ id: unused.id })).toBeNull()
+    expect(refusal?.code).toBe('role-in-use')
+    expect(refusal?.params).toEqual({ names: 'in-use (1)' })
+    expect(await getRepository(Role).findOneBy({ id: unused.id })).not.toBeNull()
     expect(await getRepository(Role).findOneBy({ id: inUse.id })).not.toBeNull()
   })
+
+  it('아무도 안 가진 역할은 함께 지운다', async () => {
+    const one = await makeRole('one', child)
+    const two = await makeRole('two', child)
+
+    expect(await mutation.deleteRoles([one.id, two.id], context(child))).toBe(true)
+    expect(await getRepository(Role).findOneBy({ id: one.id })).toBeNull()
+    expect(await getRepository(Role).findOneBy({ id: two.id })).toBeNull()
+  })
 })
 
 /**

package/tests/role-privileges-db.test.ts

@@ -159,6 +159,32 @@ describe('권한 수', () => {
   })
 })
 
+/* 가진 사람 수 — 가진 사람이 있는 역할은 지우지 않으므로 목록이 지우기 전에 보인다(2026-10-28). */
+describe('가진 사람 수', () => {
+  async function holder(roles: any[]) {
+    const salt = User.generateSalt()
+    const tag = Math.random().toString(36).slice(2, 8)
+    return await getRepository(User).save({ username: `h-${tag}`, email: `h-${tag}@example.com`, name: 'Lee', salt, status: 'activated', roles })
+  }
+
+  it('그 역할을 가진 사람만 센다', async () => {
+    const mine = await getRepository(Role).save({ name: 'mine', domain: child, privileges: [] })
+    const other = await getRepository(Role).save({ name: 'other', domain: child, privileges: [] })
+    await holder([mine])
+    await holder([mine, other])
+    await holder([other])
+
+    expect(await query.userCount(mine)).toBe(2)
+    expect(await query.userCount(other)).toBe(2)
+  })
+
+  it('아무도 없으면 0 이다', async () => {
+    const role = await getRepository(Role).save({ name: 'blank', domain: child, privileges: [] })
+
+    expect(await query.userCount(role)).toBe(0)
+  })
+})
+
 /**
  * 한 사람의 역할 — `rolePrivileges` 와 **같은 결함을 갖고 있던** 자리.
  *

package/translations/en.json

@@ -13,6 +13,7 @@
   "error.password used in the past": "password used in the past",
   "error.role-name-stands-inherited": "a role called {name} is already visible here, defined in {domain}. stand this domain's own of that name only if that is what you mean to do.",
   "error.role-name-taken-here": "this domain already has a role called {name}.",
+  "error.role-in-use": "{names} are held by users and cannot be deleted. Take them off the users first.",
   "error.subdomain not found": "domain not found",
   "error.token or password is invalid": "token or password is invalid",
   "error.unavailable-domain": "unavailable domain",
@@ -266,5 +267,6 @@
   "privilege.allows.audit.query": "see everyone’s sign-ins, privilege use and refusals, and role changes",
   "task.auth-base.audit-reading.name": "Reading the audit log",
   "task.auth-base.audit-reading.description": "Reads everyone's sign-ins, privilege use and refusals, and role changes in the domain.",
-  "error.access-request-task-mismatch": "the work you picked does not include the refused privilege."
+  "error.access-request-task-mismatch": "the work you picked does not include the refused privilege.",
+  "error.identity confirmation required": "confirm it is you to see this"
 }

package/translations/es.json

@@ -13,6 +13,7 @@
   "error.password used in the past": "contraseña usada anteriormente",
   "error.role-name-stands-inherited": "ya se muestra aquí un rol llamado {name}, definido en {domain}. cree en este dominio uno propio con ese nombre solo si es lo que pretende hacer.",
   "error.role-name-taken-here": "este dominio ya tiene un rol llamado {name}.",
+  "error.role-in-use": "{names} están asignados a usuarios y no se pueden eliminar. Quítelos primero de los usuarios.",
   "error.subdomain not found": "dominio no encontrado",
   "error.token or password is invalid": "el token o la contraseña no son válidos",
   "error.unavailable-domain": "dominio no disponible",
@@ -266,5 +267,6 @@
   "privilege.allows.audit.query": "ver los inicios de sesión, el uso y rechazo de privilegios y los cambios de rol de todos",
   "task.auth-base.audit-reading.name": "Consultar el registro de auditoría",
   "task.auth-base.audit-reading.description": "Lee los inicios de sesión, el uso y rechazo de privilegios y los cambios de rol de todos en el dominio.",
-  "error.access-request-task-mismatch": "la tarea elegida no incluye el privilegio rechazado."
+  "error.access-request-task-mismatch": "la tarea elegida no incluye el privilegio rechazado.",
+  "error.identity confirmation required": "confirme que es usted para ver esto"
 }

package/translations/ja.json

@@ -13,6 +13,7 @@
   "error.password used in the past": "過去に使用されたパスワードです.",
   "error.role-name-stands-inherited": "{name} ロールは {domain} に定義されており、ここからも見えています。この$t(term.domain)に同じ名前で別に立てるつもりの場合のみ作成します。",
   "error.role-name-taken-here": "この$t(term.domain)には既に {name} ロールがあります。",
+  "error.role-in-use": "{names} はユーザーに付与されているため削除できません。先にユーザーから外してください。",
   "error.subdomain not found": "サブドメインが見つかりません.",
   "error.token or password is invalid": "トークンまたはパスワードが無効です.",
   "error.unavailable-domain": "使用できない$t(term.domain)です.",
@@ -266,5 +267,6 @@
   "privilege.allows.audit.query": "全ユーザーのログイン、権限の使用と拒否、ロール変更の記録を見ることができます。",
   "task.auth-base.audit-reading.name": "監査ログの閲覧",
   "task.auth-base.audit-reading.description": "全ユーザーのログイン、権限の使用と拒否、ロール変更の記録を読む。",
-  "error.access-request-task-mismatch": "選んだ業務に拒否された権限が含まれていません。"
+  "error.access-request-task-mismatch": "選んだ業務に拒否された権限が含まれていません。",
+  "error.identity confirmation required": "本人確認が必要です。"
 }

package/translations/ko.json

@@ -13,6 +13,7 @@
   "error.password used in the past": "과거에 사용된 비밀번호입니다.",
   "error.role-name-stands-inherited": "{name} 역할은 {domain}에 정의되어 현재 도메인에 상속되어 있습니다. 상속된 역할을 대체하려는 경우에만 이 $t(term.domain)에 같은 이름의 역할을 생성해 주세요.",
   "error.role-name-taken-here": "이 $t(term.domain)에 이미 {name} 역할이 있습니다.",
+  "error.role-in-use": "{names} 역할은 사용자에게 부여되어 있어 지울 수 없습니다. 사용자에게서 먼저 떼어 주세요.",
   "error.subdomain not found": "서브도메인을 찾을 수 없습니다.",
   "error.token or password is invalid": "토큰 또는 비밀번호가 유효하지 않습니다.",
   "error.unavailable-domain": "사용할 수 없는 $t(term.domain)입니다.",
@@ -266,5 +267,6 @@
   "privilege.allows.audit.query": "모든 사용자의 로그인, 권한 사용과 거절, 역할 변경 기록을 볼 수 있습니다.",
   "task.auth-base.audit-reading.name": "감사 기록 열람",
   "task.auth-base.audit-reading.description": "모든 사용자의 로그인, 권한 사용과 거절, 역할 변경 기록을 읽는다.",
-  "error.access-request-task-mismatch": "선택한 업무에 접근이 거부된 권한이 포함되어 있지 않습니다."
+  "error.access-request-task-mismatch": "선택한 업무에 접근이 거부된 권한이 포함되어 있지 않습니다.",
+  "error.identity confirmation required": "본인 확인이 필요합니다."
 }

package/translations/ms.json

@@ -13,6 +13,7 @@
   "error.password used in the past": "Kata laluan telah digunakan dalam masa lampau",
   "error.role-name-stands-inherited": "peranan bernama {name} ditakrifkan dalam {domain} dan kelihatan di sini juga. Bina milik domain ini dengan nama yang sama hanya jika itu memang yang dimaksudkan.",
   "error.role-name-taken-here": "domain ini sudah mempunyai peranan bernama {name}.",
+  "error.role-in-use": "{names} dipegang oleh pengguna dan tidak boleh dipadam. Tanggalkan daripada pengguna dahulu.",
   "error.subdomain not found": "Domain tidak ditemui",
   "error.token or password is invalid": "Token atau kata laluan tidak sah",
   "error.unavailable-domain": "Domain tidak tersedia",
@@ -266,5 +267,6 @@
   "privilege.allows.audit.query": "boleh melihat log masuk, penggunaan dan penolakan keistimewaan, serta perubahan peranan semua orang.",
   "task.auth-base.audit-reading.name": "Membaca log audit",
   "task.auth-base.audit-reading.description": "Membaca log masuk, penggunaan dan penolakan keistimewaan, serta perubahan peranan semua orang dalam domain.",
-  "error.access-request-task-mismatch": "tugas yang dipilih tidak termasuk keistimewaan yang ditolak."
+  "error.access-request-task-mismatch": "tugas yang dipilih tidak termasuk keistimewaan yang ditolak.",
+  "error.identity confirmation required": "sahkan ini anda untuk melihat ini"
 }

package/translations/zh.json

@@ -13,6 +13,7 @@
   "error.password used in the past": "使用过的密码！",
   "error.role-name-stands-inherited": "名为 {name} 的角色定义在 {domain}，在此处也可见。只有确实要在该$t(term.domain)中另行建立同名角色时才创建。",
   "error.role-name-taken-here": "该$t(term.domain)中已有名为 {name} 的角色。",
+  "error.role-in-use": "{names} 已分配给用户,无法删除。请先从用户中移除。",
   "error.subdomain not found": "用户域查询失败！",
   "error.token or password is invalid": "令牌或密码无效！",
   "error.unavailable-domain": "不可用的$t(term.domain)名",
@@ -266,5 +267,6 @@
   "privilege.allows.audit.query": "可以查看所有用户的登录、权限使用与拒绝以及角色变更记录。",
   "task.auth-base.audit-reading.name": "查看审计日志",
   "task.auth-base.audit-reading.description": "读取所有用户的登录、权限使用与拒绝以及角色变更记录。",
-  "error.access-request-task-mismatch": "所选业务不包含被拒绝的权限。"
+  "error.access-request-task-mismatch": "所选业务不包含被拒绝的权限。",
+  "error.identity confirmation required": "需要确认身份。"
 }