authhero 5.8.0 → 5.8.1

package/dist/authhero.d.ts

@@ -56868,12 +56868,19 @@ export declare function seed(adapters: DataAdapters, options: SeedOptions): Prom
 export declare const MANAGEMENT_API_AUDIENCE = "urn:authhero:management";
 /**
  * This registeres the authentication middleware. As it needs to read the OpenAPI definition, it needs to have a reference to the app.
- * @param app
+ *
+ * `requireManagementAudience` enables the defense-in-depth check that the
+ * token's `aud` includes the management API audience. It must be enabled
+ * for the management API and left off for everything else (the `/userinfo`
+ * endpoint, for example, takes any access token issued by this tenant).
  */
+export interface AuthMiddlewareOptions {
+	requireManagementAudience?: boolean;
+}
 export declare function createAuthMiddleware(app: OpenAPIHono<{
 	Bindings: Bindings;
 	Variables: Variables;
-}>): (ctx: Context<{
+}>, options?: AuthMiddlewareOptions): (ctx: Context<{
 	Bindings: Bindings;
 	Variables: any;
 }>, next: Next) => Promise<void>;

package/dist/authhero.mjs

@@ -6659,7 +6659,7 @@ var d9 = (e, t) => {
   const r = m9(t, n, i);
   e.header("Set-Cookie", r, { append: !0 });
 };
-const Yl = "mpkbgfx6", tT = { common: { alertListTitle: "Upozornění", backText: "Vrátit se zpět", cancelText: "Zrušit", closeText: "Zavřít", contactSupportText: "Potřebujete pomoc?", continueText: "Pokračovat", copyrightText: "© ${currentYear} ${companyName}", errorText: "Něco se pokazilo. Zkuste to prosím znovu.", hidePasswordText: "Skrýt heslo", loadingText: "Načítání...", orText: "nebo", privacyPolicyText: "Zásady ochrany osobních údajů", showPasswordText: "Zobrazit heslo", termsOfServiceText: "Podmínky služby", termsShortText: "Podmínky", tryAgainText: "Zkusit znovu" } }, nT = { consent: { buttonText: "Přijmout", cancelButtonText: "Zamítnout", description: "${clientName} žádá o přístup k vašemu účtu", pageTitle: "Autorizace | ${clientName}", scopesTitle: "Tímto povolíte ${clientName}:", title: "Autorizovat ${clientName}" } }, iT = { invitation: { acceptButtonText: "Přijmout pozvánku", description: "${inviterName} vás pozval(a), abyste se připojili k ${organizationName} na ${clientName}", pageTitle: "Pozvánka | ${clientName}", title: "Byli jste pozváni" } }, rT = { login: { alertListTitle: "Upozornění", buttonText: "Pokračovat", description: "Přihlaste se k ${clientName}.", editEmailText: "Upravit", emailPlaceholder: "E-mailová adresa", enterACodeBtn: "Přihlásit se kódem", federatedConnectionButtonText: "Pokračovat s ${connectionName}", footerLinkText: "Zaregistrujte se", footerText: "Nemáte účet?", forgotPasswordText: "Zapomněli jste heslo?", hidePasswordText: "Skrýt heslo", invalidEmail: "Neplatný e-mail", invalidIdentifier: "Neplatný e-mail nebo uživatelské jméno", invitationDescription: "Přihlaste se pro přijetí pozvánky od ${inviterName} k připojení k ${companyName} na ${clientName}.", invitationTitle: "Byli jste pozváni!", logoAltText: "${companyName}", "no-email": "Zadejte prosím e-mailovou adresu", "no-password": "Heslo je povinné", pageTitle: "Přihlášení | ${clientName}", passwordLoginNotAvailable: "Přihlášení heslem není k dispozici", passwordPlaceholder: "Heslo", phonePlaceholder: "Telefonní číslo", separatorText: "nebo", sessionExpired: "Platnost vaší relace vypršela. Zkuste to prosím znovu.", showPasswordText: "Zobrazit heslo", signupActionLinkText: "${footerLinkText}", signupActionText: "${footerText}", title: "Vítejte", tooManyFailedLogins: "Příliš mnoho neúspěšných pokusů o přihlášení. Zkuste to prosím později.", unverifiedEmail: "Před přihlášením prosím ověřte svou e-mailovou adresu", userAccountDoesNotExist: "Uživatelský účet neexistuje", usernamePlaceholder: "Uživatelské jméno nebo e-mailová adresa", usernameTooLong: "Uživatelské jméno musí mít nejvýše ${max} znaků", usernameTooShort: "Uživatelské jméno musí mít alespoň ${min} znaků", wrongCredentials: "Nesprávné uživatelské jméno nebo heslo", passkeyButtonText: "Přihlásit se pomocí passkey" } }, oT = { mfa: { backupCodeText: "Použít záložní kód", description: "Zvolte metodu ověření", pageTitle: "Vícefaktorové ověření | ${clientName}", title: "Ověřte svou identitu" } }, sT = { "passkey-enrollment-nudge": { title: "Zabezpečte svůj účet pomocí passkey", description: "Passkey používají biometrii nebo PIN vašeho zařízení k rychlejšímu a bezpečnějšímu přihlášení.", enrollButtonText: "Nastavit passkey", snoozeButtonText: "Možná později", optOutLinkText: "Nezobrazovat znovu", pageTitle: "Nastavení Passkey | ${clientName}" }, "passkey-enrollment": { title: "Vytvořte svůj passkey", description: "Postupujte podle pokynů prohlížeče a vytvořte passkey pro tento účet.", errorMessage: "Vytvoření passkey se nezdařilo. Zkuste to prosím znovu.", cancelLinkText: "Prozatím přeskočit", retryButtonText: "Zkusit znovu", enrollmentComplete: "Váš passkey byl úspěšně nastaven. Tuto stránku můžete zavřít.", pageTitle: "Vytvoření Passkey | ${clientName}" }, "passkey-challenge": { title: "Přihlásit se pomocí passkey", description: "Postupujte podle pokynů prohlížeče k ověření vaší identity.", errorMessage: "Ověření pomocí passkey selhalo. Zkuste to prosím znovu.", cancelLinkText: "Zpět na přihlášení", retryButtonText: "Zkusit znovu", pageTitle: "Přihlášení pomocí passkey | ${clientName}" } }, aT = { organizations: { description: "Vyberte, ke které organizaci se chcete přihlásit", pageTitle: "Výběr organizace | ${clientName}", searchPlaceholder: "Hledat organizace", title: "Vyberte svou organizaci" } }, cT = { signup: { buttonText: "Pokračovat", confirmPasswordPlaceholder: "Potvrzení hesla", description: "Zaregistrujte se a pokračujte", "email-already-exists": "Tento e-mail je již zaregistrován", emailPlaceholder: "E-mailová adresa", federatedConnectionButtonText: "Pokračovat s ${connectionName}", hidePasswordText: "Skrýt heslo", "invalid-email-format": "Neplatný e-mail", loginActionLinkText: "Přihlásit se", loginActionText: "Už máte účet?", "no-email": "Zadejte prosím e-mailovou adresu", "no-password": "Heslo je povinné", "no-username": "Uživatelské jméno je povinné", pageTitle: "Registrace | ${clientName}", passwordPlaceholder: "Heslo", passwordsDidntMatch: "Hesla se neshodují", phonePlaceholder: "Telefonní číslo", privacyPolicyLinkText: "Zásady ochrany osobních údajů", separatorText: "nebo", sessionExpired: "Platnost vaší relace vypršela. Zkuste to prosím znovu.", showPasswordText: "Zobrazit heslo", termsOfServiceLinkText: "Podmínky služby", termsText: "Registrací souhlasíte s našimi", title: "Vytvořte svůj účet", "username-already-exists": "Toto uživatelské jméno je již obsazeno", usernamePlaceholder: "Uživatelské jméno", verifyEmailText: "Zkontrolujte prosím svůj e-mail pro ověření účtu" } }, lT = { status: { continueButtonText: "Pokračovat", errorTitle: "Chyba", pageTitle: "Stav | ${clientName}", successTitle: "Hotovo", title: "Stav" } }, y9 = {
+const Yl = "mpkxkgol", tT = { common: { alertListTitle: "Upozornění", backText: "Vrátit se zpět", cancelText: "Zrušit", closeText: "Zavřít", contactSupportText: "Potřebujete pomoc?", continueText: "Pokračovat", copyrightText: "© ${currentYear} ${companyName}", errorText: "Něco se pokazilo. Zkuste to prosím znovu.", hidePasswordText: "Skrýt heslo", loadingText: "Načítání...", orText: "nebo", privacyPolicyText: "Zásady ochrany osobních údajů", showPasswordText: "Zobrazit heslo", termsOfServiceText: "Podmínky služby", termsShortText: "Podmínky", tryAgainText: "Zkusit znovu" } }, nT = { consent: { buttonText: "Přijmout", cancelButtonText: "Zamítnout", description: "${clientName} žádá o přístup k vašemu účtu", pageTitle: "Autorizace | ${clientName}", scopesTitle: "Tímto povolíte ${clientName}:", title: "Autorizovat ${clientName}" } }, iT = { invitation: { acceptButtonText: "Přijmout pozvánku", description: "${inviterName} vás pozval(a), abyste se připojili k ${organizationName} na ${clientName}", pageTitle: "Pozvánka | ${clientName}", title: "Byli jste pozváni" } }, rT = { login: { alertListTitle: "Upozornění", buttonText: "Pokračovat", description: "Přihlaste se k ${clientName}.", editEmailText: "Upravit", emailPlaceholder: "E-mailová adresa", enterACodeBtn: "Přihlásit se kódem", federatedConnectionButtonText: "Pokračovat s ${connectionName}", footerLinkText: "Zaregistrujte se", footerText: "Nemáte účet?", forgotPasswordText: "Zapomněli jste heslo?", hidePasswordText: "Skrýt heslo", invalidEmail: "Neplatný e-mail", invalidIdentifier: "Neplatný e-mail nebo uživatelské jméno", invitationDescription: "Přihlaste se pro přijetí pozvánky od ${inviterName} k připojení k ${companyName} na ${clientName}.", invitationTitle: "Byli jste pozváni!", logoAltText: "${companyName}", "no-email": "Zadejte prosím e-mailovou adresu", "no-password": "Heslo je povinné", pageTitle: "Přihlášení | ${clientName}", passwordLoginNotAvailable: "Přihlášení heslem není k dispozici", passwordPlaceholder: "Heslo", phonePlaceholder: "Telefonní číslo", separatorText: "nebo", sessionExpired: "Platnost vaší relace vypršela. Zkuste to prosím znovu.", showPasswordText: "Zobrazit heslo", signupActionLinkText: "${footerLinkText}", signupActionText: "${footerText}", title: "Vítejte", tooManyFailedLogins: "Příliš mnoho neúspěšných pokusů o přihlášení. Zkuste to prosím později.", unverifiedEmail: "Před přihlášením prosím ověřte svou e-mailovou adresu", userAccountDoesNotExist: "Uživatelský účet neexistuje", usernamePlaceholder: "Uživatelské jméno nebo e-mailová adresa", usernameTooLong: "Uživatelské jméno musí mít nejvýše ${max} znaků", usernameTooShort: "Uživatelské jméno musí mít alespoň ${min} znaků", wrongCredentials: "Nesprávné uživatelské jméno nebo heslo", passkeyButtonText: "Přihlásit se pomocí passkey" } }, oT = { mfa: { backupCodeText: "Použít záložní kód", description: "Zvolte metodu ověření", pageTitle: "Vícefaktorové ověření | ${clientName}", title: "Ověřte svou identitu" } }, sT = { "passkey-enrollment-nudge": { title: "Zabezpečte svůj účet pomocí passkey", description: "Passkey používají biometrii nebo PIN vašeho zařízení k rychlejšímu a bezpečnějšímu přihlášení.", enrollButtonText: "Nastavit passkey", snoozeButtonText: "Možná později", optOutLinkText: "Nezobrazovat znovu", pageTitle: "Nastavení Passkey | ${clientName}" }, "passkey-enrollment": { title: "Vytvořte svůj passkey", description: "Postupujte podle pokynů prohlížeče a vytvořte passkey pro tento účet.", errorMessage: "Vytvoření passkey se nezdařilo. Zkuste to prosím znovu.", cancelLinkText: "Prozatím přeskočit", retryButtonText: "Zkusit znovu", enrollmentComplete: "Váš passkey byl úspěšně nastaven. Tuto stránku můžete zavřít.", pageTitle: "Vytvoření Passkey | ${clientName}" }, "passkey-challenge": { title: "Přihlásit se pomocí passkey", description: "Postupujte podle pokynů prohlížeče k ověření vaší identity.", errorMessage: "Ověření pomocí passkey selhalo. Zkuste to prosím znovu.", cancelLinkText: "Zpět na přihlášení", retryButtonText: "Zkusit znovu", pageTitle: "Přihlášení pomocí passkey | ${clientName}" } }, aT = { organizations: { description: "Vyberte, ke které organizaci se chcete přihlásit", pageTitle: "Výběr organizace | ${clientName}", searchPlaceholder: "Hledat organizace", title: "Vyberte svou organizaci" } }, cT = { signup: { buttonText: "Pokračovat", confirmPasswordPlaceholder: "Potvrzení hesla", description: "Zaregistrujte se a pokračujte", "email-already-exists": "Tento e-mail je již zaregistrován", emailPlaceholder: "E-mailová adresa", federatedConnectionButtonText: "Pokračovat s ${connectionName}", hidePasswordText: "Skrýt heslo", "invalid-email-format": "Neplatný e-mail", loginActionLinkText: "Přihlásit se", loginActionText: "Už máte účet?", "no-email": "Zadejte prosím e-mailovou adresu", "no-password": "Heslo je povinné", "no-username": "Uživatelské jméno je povinné", pageTitle: "Registrace | ${clientName}", passwordPlaceholder: "Heslo", passwordsDidntMatch: "Hesla se neshodují", phonePlaceholder: "Telefonní číslo", privacyPolicyLinkText: "Zásady ochrany osobních údajů", separatorText: "nebo", sessionExpired: "Platnost vaší relace vypršela. Zkuste to prosím znovu.", showPasswordText: "Zobrazit heslo", termsOfServiceLinkText: "Podmínky služby", termsText: "Registrací souhlasíte s našimi", title: "Vytvořte svůj účet", "username-already-exists": "Toto uživatelské jméno je již obsazeno", usernamePlaceholder: "Uživatelské jméno", verifyEmailText: "Zkontrolujte prosím svůj e-mail pro ověření účtu" } }, lT = { status: { continueButtonText: "Pokračovat", errorTitle: "Chyba", pageTitle: "Stav | ${clientName}", successTitle: "Hotovo", title: "Stav" } }, y9 = {
   common: tT,
   consent: nT,
   "device-flow": { "device-flow": { buttonText: "Pokračovat", codePlaceholder: "Zadejte kód", description: "Zadejte kód zobrazený na vašem zařízení", "expired-code": "Platnost kódu vypršela", "invalid-code": "Zadaný kód je neplatný", pageTitle: "Aktivace zařízení | ${clientName}", title: "Aktivujte své zařízení" } },
@@ -39814,43 +39814,47 @@ const Y6 = "urn:authhero:management";
 function AJ(e) {
   return e.replace(/:([a-zA-Z_][a-zA-Z0-9_]*)/g, "{$1}");
 }
-function Wb(e) {
-  return async (t, n) => {
-    const i = t.req.matchedRoutes.find(
-      (l) => l.method.toUpperCase() === t.req.method && l.path !== "/*"
+function Wb(e, t = {}) {
+  const n = t.requireManagementAudience ?? !1;
+  return async (i, r) => {
+    const o = i.req.matchedRoutes.find(
+      (u) => u.method.toUpperCase() === i.req.method && u.path !== "/*"
     );
-    if (!i)
-      return await n();
-    const r = AJ(i.path), o = "/api/v2", a = r.startsWith(o) ? r.slice(o.length) || "/" : r, c = e.openAPIRegistry.definitions.find(
-      (l) => "route" in l && l.route.path === a && l.route.method.toUpperCase() === t.req.method.toUpperCase()
+    if (!o)
+      return await r();
+    const a = AJ(o.path), c = "/api/v2", l = a.startsWith(c) ? a.slice(c.length) || "/" : a, d = e.openAPIRegistry.definitions.find(
+      (u) => "route" in u && u.route.path === l && u.route.method.toUpperCase() === i.req.method.toUpperCase()
     );
-    if (c && "route" in c) {
-      const l = c.route.security?.[0]?.Bearer;
-      if (l === void 0)
-        return await n();
-      const d = Gb(t.req.header("authorization"));
-      if (!d)
+    if (d && "route" in d) {
+      const u = d.route.security?.[0]?.Bearer;
+      if (u === void 0)
+        return await r();
+      const p = Gb(i.req.header("authorization"));
+      if (!p)
         throw new V(401, {
           message: "Missing bearer token"
         });
       try {
-        const u = await Kf(t, d), p = u.aud;
-        if (!(Array.isArray(p) ? p : p ? [p] : []).includes(Y6))
-          throw new V(403, {
-            message: "Invalid audience"
-          });
-        t.set("user_id", u.sub), t.set("user", u), u.org_name && t.set("org_name", u.org_name), u.org_id && t.set("organization_id", u.org_id), !t.var.tenant_id && u.tenant_id && t.set("tenant_id", u.tenant_id);
-        const h = Array.isArray(u.permissions) ? u.permissions : [], g = typeof u.scope == "string" ? u.scope.split(" ") : Array.isArray(u.scope) ? u.scope : [];
-        if (l.length && !// Should we check both?
-        (l.some(
+        const f = await Kf(i, p);
+        if (n) {
+          const m = f.aud;
+          if (!(Array.isArray(m) ? m : m ? [m] : []).includes(Y6))
+            throw new V(403, {
+              message: "Invalid audience"
+            });
+        }
+        i.set("user_id", f.sub), i.set("user", f), f.org_name && i.set("org_name", f.org_name), f.org_id && i.set("organization_id", f.org_id), !i.var.tenant_id && f.tenant_id && i.set("tenant_id", f.tenant_id);
+        const h = Array.isArray(f.permissions) ? f.permissions : [], g = typeof f.scope == "string" ? f.scope.split(" ") : Array.isArray(f.scope) ? f.scope : [];
+        if (u.length && !// Should we check both?
+        (u.some(
           (m) => h.includes(m)
-        ) || l.some((m) => g.includes(m))))
+        ) || u.some((m) => g.includes(m))))
           throw new V(403, { message: "Unauthorized" });
-      } catch (u) {
-        throw u instanceof P ? u : new V(403, { message: "Invalid token" });
+      } catch (f) {
+        throw f instanceof P ? f : new V(403, { message: "Invalid token" });
       }
     }
-    return await n();
+    return await r();
   };
 }
 const jS = new le().openapi(
@@ -46317,7 +46321,7 @@ function JY(e) {
     })
   ), t.use(async (c, l) => {
     c.env.data = r(c, n), c.env.entityHooks = e.entityHooks, await l();
-  }), t.use(uu).use(du).use(Wb(t)).use(async (c, l) => (e.entityHooks && c.var.tenant_id && (c.env.data = DJ(c.env.data, {
+  }), t.use(uu).use(du).use(Wb(t, { requireManagementAudience: !0 })).use(async (c, l) => (e.entityHooks && c.var.tenant_id && (c.env.data = DJ(c.env.data, {
     tenantId: c.var.tenant_id,
     entityHooks: e.entityHooks
   })), l()));