connectbase-client 5.10.0 → 5.11.0

package/dist/index.d.mts

@@ -264,6 +264,18 @@ declare class HttpClient {
      */
     private bootRestorePromise;
     private bootRestoreAlwaysAwait;
+    /**
+     * 서버가 `X-CB-Direct-Base` 로 알려준 저지연 원본. 학습 전에는 null 이라 항상 `baseUrl`
+     * 을 쓴다. {@link resolveOrigin} 참고.
+     */
+    private directBaseUrl;
+    /**
+     * direct 원본을 이 세션에서 더는 쓰지 않는다는 표시. 한 번이라도 네트워크 레벨에서
+     * 실패하면(CSP `connect-src` 차단, 사내 프록시, DNS 미전파, 호스트 회수 등) 즉시 세워
+     * 이후 요청은 전부 `baseUrl` 로 간다. direct 는 최적화일 뿐 필수가 아니므로 재시도를
+     * 반복하지 않고 한 번에 포기하는 쪽이 안전하다.
+     */
+    private directDisabled;
     /**
      * 클라이언트 생성 시 명시된 요청 타임아웃(ms). 미지정이면 `undefined`.
      *
@@ -406,6 +418,30 @@ declare class HttpClient {
      * (platform-issue 019e638d, 2026-05-26). retry 는 1회 한정 — 무한 루프 차단.
      */
     private doFetch;
+    /**
+     * 이 요청을 보낼 원본을 고른다.
+     *
+     * `credentials:'omit'` 인 요청 — 즉 `X-Public-Key` 로만 인증하고 쿠키를 주고받지 않는
+     * `/v1/public/*` 데이터 평면 — 만 direct 원본으로 보낸다. 이 조건이 곧 안전 조건이다:
+     * 멤버 refresh 쿠키는 **host-only** 로 발급되므로(백엔드 auth_cookie.SetMemberRefreshCookie)
+     * 로그인·가입·로그아웃·OAuth·탈퇴를 다른 호스트로 보내면 세션이 조용히 끊긴다.
+     * `fetchCredentialsForPath` 가 이미 그 경계를 계산하고 있어, 나중에 쿠키 엔드포인트가
+     * 추가돼도 자동으로 제외된다(서버도 같은 경로를 421 로 되돌려보낸다).
+     */
+    private resolveOrigin;
+    /**
+     * 응답에서 저지연 원본 광고를 학습한다.
+     *
+     * 왜 서버가 정하나: 클라이언트는 자기가 어느 나라에서 접속했는지 신뢰성 있게 모르고,
+     * 두 호스트를 재보는 프로브는 요청을 한 번 더 쓴다. Cloudflare 엣지는 `CF-IPCountry` 로
+     * 이미 알고 있으므로 서버가 판단해 알려주는 쪽이 정확하고 공짜다. 서버 env 하나로
+     * 즉시 회수할 수도 있다.
+     *
+     * 값은 검증한다 — https 이고 `baseUrl` 과 같은 등록 도메인이어야 한다. 응답은 우리
+     * 서버에서 TLS 로 오지만, 설정 실수 하나로 SDK 트래픽 전체가 엉뚱한 호스트로 향하는
+     * 일은 없어야 한다.
+     */
+    private learnDirectOrigin;
     private tryFetchOnce;
     get<T>(url: string, config?: RequestConfig): Promise<T>;
     post<T>(url: string, data?: unknown, config?: RequestConfig): Promise<T>;

package/dist/index.d.ts

@@ -264,6 +264,18 @@ declare class HttpClient {
      */
     private bootRestorePromise;
     private bootRestoreAlwaysAwait;
+    /**
+     * 서버가 `X-CB-Direct-Base` 로 알려준 저지연 원본. 학습 전에는 null 이라 항상 `baseUrl`
+     * 을 쓴다. {@link resolveOrigin} 참고.
+     */
+    private directBaseUrl;
+    /**
+     * direct 원본을 이 세션에서 더는 쓰지 않는다는 표시. 한 번이라도 네트워크 레벨에서
+     * 실패하면(CSP `connect-src` 차단, 사내 프록시, DNS 미전파, 호스트 회수 등) 즉시 세워
+     * 이후 요청은 전부 `baseUrl` 로 간다. direct 는 최적화일 뿐 필수가 아니므로 재시도를
+     * 반복하지 않고 한 번에 포기하는 쪽이 안전하다.
+     */
+    private directDisabled;
     /**
      * 클라이언트 생성 시 명시된 요청 타임아웃(ms). 미지정이면 `undefined`.
      *
@@ -406,6 +418,30 @@ declare class HttpClient {
      * (platform-issue 019e638d, 2026-05-26). retry 는 1회 한정 — 무한 루프 차단.
      */
     private doFetch;
+    /**
+     * 이 요청을 보낼 원본을 고른다.
+     *
+     * `credentials:'omit'` 인 요청 — 즉 `X-Public-Key` 로만 인증하고 쿠키를 주고받지 않는
+     * `/v1/public/*` 데이터 평면 — 만 direct 원본으로 보낸다. 이 조건이 곧 안전 조건이다:
+     * 멤버 refresh 쿠키는 **host-only** 로 발급되므로(백엔드 auth_cookie.SetMemberRefreshCookie)
+     * 로그인·가입·로그아웃·OAuth·탈퇴를 다른 호스트로 보내면 세션이 조용히 끊긴다.
+     * `fetchCredentialsForPath` 가 이미 그 경계를 계산하고 있어, 나중에 쿠키 엔드포인트가
+     * 추가돼도 자동으로 제외된다(서버도 같은 경로를 421 로 되돌려보낸다).
+     */
+    private resolveOrigin;
+    /**
+     * 응답에서 저지연 원본 광고를 학습한다.
+     *
+     * 왜 서버가 정하나: 클라이언트는 자기가 어느 나라에서 접속했는지 신뢰성 있게 모르고,
+     * 두 호스트를 재보는 프로브는 요청을 한 번 더 쓴다. Cloudflare 엣지는 `CF-IPCountry` 로
+     * 이미 알고 있으므로 서버가 판단해 알려주는 쪽이 정확하고 공짜다. 서버 env 하나로
+     * 즉시 회수할 수도 있다.
+     *
+     * 값은 검증한다 — https 이고 `baseUrl` 과 같은 등록 도메인이어야 한다. 응답은 우리
+     * 서버에서 TLS 로 오지만, 설정 실수 하나로 SDK 트래픽 전체가 엉뚱한 호스트로 향하는
+     * 일은 없어야 한다.
+     */
+    private learnDirectOrigin;
     private tryFetchOnce;
     get<T>(url: string, config?: RequestConfig): Promise<T>;
     post<T>(url: string, data?: unknown, config?: RequestConfig): Promise<T>;

package/dist/index.js

@@ -11441,6 +11441,9 @@ var COOKIE_BEARING_PUBLIC_PATHS = /* @__PURE__ */ new Set([
   "/v1/public/app-members/signin",
   "/v1/public/app-members/signout"
 ]);
+function isAbortError(err) {
+  return typeof err === "object" && err !== null && "name" in err && err.name === "AbortError";
+}
 function fetchCredentialsForPath(url) {
   const path = url.split("?")[0];
   if (COOKIE_BEARING_PUBLIC_PATHS.has(path)) {
@@ -11512,6 +11515,18 @@ var HttpClient = class {
     // OAuth 콜백 부트스트랩처럼 세션 힌트 유무와 무관하게 첫 인증 호출이 반드시 기다려야
     // 하는 boot promise 인지 여부 (setBootRestorePromise 의 alwaysAwait 옵션).
     this.bootRestoreAlwaysAwait = false;
+    /**
+     * 서버가 `X-CB-Direct-Base` 로 알려준 저지연 원본. 학습 전에는 null 이라 항상 `baseUrl`
+     * 을 쓴다. {@link resolveOrigin} 참고.
+     */
+    this.directBaseUrl = null;
+    /**
+     * direct 원본을 이 세션에서 더는 쓰지 않는다는 표시. 한 번이라도 네트워크 레벨에서
+     * 실패하면(CSP `connect-src` 차단, 사내 프록시, DNS 미전파, 호스트 회수 등) 즉시 세워
+     * 이후 요청은 전부 `baseUrl` 로 간다. direct 는 최적화일 뿐 필수가 아니므로 재시도를
+     * 반복하지 않고 한 번에 포기하는 쪽이 안전하다.
+     */
+    this.directDisabled = false;
     this.config = { ...config };
     this.storageKey = this.buildStorageKey();
     this.warnIfUnsafePersistence();
@@ -12102,18 +12117,73 @@ var HttpClient = class {
       });
     }
   }
+  /**
+   * 이 요청을 보낼 원본을 고른다.
+   *
+   * `credentials:'omit'` 인 요청 — 즉 `X-Public-Key` 로만 인증하고 쿠키를 주고받지 않는
+   * `/v1/public/*` 데이터 평면 — 만 direct 원본으로 보낸다. 이 조건이 곧 안전 조건이다:
+   * 멤버 refresh 쿠키는 **host-only** 로 발급되므로(백엔드 auth_cookie.SetMemberRefreshCookie)
+   * 로그인·가입·로그아웃·OAuth·탈퇴를 다른 호스트로 보내면 세션이 조용히 끊긴다.
+   * `fetchCredentialsForPath` 가 이미 그 경계를 계산하고 있어, 나중에 쿠키 엔드포인트가
+   * 추가돼도 자동으로 제외된다(서버도 같은 경로를 421 로 되돌려보낸다).
+   */
+  resolveOrigin(url) {
+    if (this.directBaseUrl && !this.directDisabled && fetchCredentialsForPath(url) === "omit") {
+      return this.directBaseUrl;
+    }
+    return this.config.baseUrl;
+  }
+  /**
+   * 응답에서 저지연 원본 광고를 학습한다.
+   *
+   * 왜 서버가 정하나: 클라이언트는 자기가 어느 나라에서 접속했는지 신뢰성 있게 모르고,
+   * 두 호스트를 재보는 프로브는 요청을 한 번 더 쓴다. Cloudflare 엣지는 `CF-IPCountry` 로
+   * 이미 알고 있으므로 서버가 판단해 알려주는 쪽이 정확하고 공짜다. 서버 env 하나로
+   * 즉시 회수할 수도 있다.
+   *
+   * 값은 검증한다 — https 이고 `baseUrl` 과 같은 등록 도메인이어야 한다. 응답은 우리
+   * 서버에서 TLS 로 오지만, 설정 실수 하나로 SDK 트래픽 전체가 엉뚱한 호스트로 향하는
+   * 일은 없어야 한다.
+   */
+  learnDirectOrigin(response) {
+    if (this.directDisabled || this.directBaseUrl) return;
+    const advertised = response.headers?.get("X-CB-Direct-Base");
+    if (!advertised) return;
+    try {
+      const next = new URL(advertised);
+      const base = new URL(this.config.baseUrl);
+      if (next.protocol !== "https:") return;
+      const tail = (h) => h.split(".").slice(-2).join(".");
+      if (tail(next.hostname) !== tail(base.hostname)) return;
+      this.directBaseUrl = next.origin;
+    } catch {
+    }
+  }
   async tryFetchOnce(url, init, config) {
     const { signal, cleanup } = createTimeoutController({
       timeout: config?.timeout ?? this.config.requestTimeoutMs ?? DEFAULT_REQUEST_TIMEOUT_MS,
       signal: config?.signal
     });
+    const origin = this.resolveOrigin(url);
     try {
-      const response = await fetch(`${this.config.baseUrl}${url}`, {
+      const response = await fetch(`${origin}${url}`, {
         ...init,
         credentials: fetchCredentialsForPath(url),
         signal
       });
+      this.learnDirectOrigin(response);
       return { response, ok: response.ok, status: response.status };
+    } catch (err) {
+      if (origin !== this.config.baseUrl && !isAbortError(err)) {
+        this.directDisabled = true;
+        const response = await fetch(`${this.config.baseUrl}${url}`, {
+          ...init,
+          credentials: fetchCredentialsForPath(url),
+          signal
+        });
+        return { response, ok: response.ok, status: response.status };
+      }
+      throw err;
     } finally {
       cleanup();
     }
@@ -12180,11 +12250,21 @@ var HttpClient = class {
       const extra = new Headers(init.headers);
       extra.forEach((value, key) => mergedHeaders.set(key, value));
     }
-    return fetch(`${this.config.baseUrl}${url}`, {
-      ...init,
-      credentials: fetchCredentialsForPath(url),
-      headers: mergedHeaders
-    });
+    const origin = this.resolveOrigin(url);
+    try {
+      const response = await fetch(`${origin}${url}`, {
+        ...init,
+        credentials: fetchCredentialsForPath(url),
+        headers: mergedHeaders
+      });
+      this.learnDirectOrigin(response);
+      return response;
+    } catch (err) {
+      if (origin !== this.config.baseUrl && !isAbortError(err)) {
+        this.directDisabled = true;
+      }
+      throw err;
+    }
   }
 };
 

package/dist/index.mjs

@@ -11392,6 +11392,9 @@ var COOKIE_BEARING_PUBLIC_PATHS = /* @__PURE__ */ new Set([
   "/v1/public/app-members/signin",
   "/v1/public/app-members/signout"
 ]);
+function isAbortError(err) {
+  return typeof err === "object" && err !== null && "name" in err && err.name === "AbortError";
+}
 function fetchCredentialsForPath(url) {
   const path = url.split("?")[0];
   if (COOKIE_BEARING_PUBLIC_PATHS.has(path)) {
@@ -11463,6 +11466,18 @@ var HttpClient = class {
     // OAuth 콜백 부트스트랩처럼 세션 힌트 유무와 무관하게 첫 인증 호출이 반드시 기다려야
     // 하는 boot promise 인지 여부 (setBootRestorePromise 의 alwaysAwait 옵션).
     this.bootRestoreAlwaysAwait = false;
+    /**
+     * 서버가 `X-CB-Direct-Base` 로 알려준 저지연 원본. 학습 전에는 null 이라 항상 `baseUrl`
+     * 을 쓴다. {@link resolveOrigin} 참고.
+     */
+    this.directBaseUrl = null;
+    /**
+     * direct 원본을 이 세션에서 더는 쓰지 않는다는 표시. 한 번이라도 네트워크 레벨에서
+     * 실패하면(CSP `connect-src` 차단, 사내 프록시, DNS 미전파, 호스트 회수 등) 즉시 세워
+     * 이후 요청은 전부 `baseUrl` 로 간다. direct 는 최적화일 뿐 필수가 아니므로 재시도를
+     * 반복하지 않고 한 번에 포기하는 쪽이 안전하다.
+     */
+    this.directDisabled = false;
     this.config = { ...config };
     this.storageKey = this.buildStorageKey();
     this.warnIfUnsafePersistence();
@@ -12053,18 +12068,73 @@ var HttpClient = class {
       });
     }
   }
+  /**
+   * 이 요청을 보낼 원본을 고른다.
+   *
+   * `credentials:'omit'` 인 요청 — 즉 `X-Public-Key` 로만 인증하고 쿠키를 주고받지 않는
+   * `/v1/public/*` 데이터 평면 — 만 direct 원본으로 보낸다. 이 조건이 곧 안전 조건이다:
+   * 멤버 refresh 쿠키는 **host-only** 로 발급되므로(백엔드 auth_cookie.SetMemberRefreshCookie)
+   * 로그인·가입·로그아웃·OAuth·탈퇴를 다른 호스트로 보내면 세션이 조용히 끊긴다.
+   * `fetchCredentialsForPath` 가 이미 그 경계를 계산하고 있어, 나중에 쿠키 엔드포인트가
+   * 추가돼도 자동으로 제외된다(서버도 같은 경로를 421 로 되돌려보낸다).
+   */
+  resolveOrigin(url) {
+    if (this.directBaseUrl && !this.directDisabled && fetchCredentialsForPath(url) === "omit") {
+      return this.directBaseUrl;
+    }
+    return this.config.baseUrl;
+  }
+  /**
+   * 응답에서 저지연 원본 광고를 학습한다.
+   *
+   * 왜 서버가 정하나: 클라이언트는 자기가 어느 나라에서 접속했는지 신뢰성 있게 모르고,
+   * 두 호스트를 재보는 프로브는 요청을 한 번 더 쓴다. Cloudflare 엣지는 `CF-IPCountry` 로
+   * 이미 알고 있으므로 서버가 판단해 알려주는 쪽이 정확하고 공짜다. 서버 env 하나로
+   * 즉시 회수할 수도 있다.
+   *
+   * 값은 검증한다 — https 이고 `baseUrl` 과 같은 등록 도메인이어야 한다. 응답은 우리
+   * 서버에서 TLS 로 오지만, 설정 실수 하나로 SDK 트래픽 전체가 엉뚱한 호스트로 향하는
+   * 일은 없어야 한다.
+   */
+  learnDirectOrigin(response) {
+    if (this.directDisabled || this.directBaseUrl) return;
+    const advertised = response.headers?.get("X-CB-Direct-Base");
+    if (!advertised) return;
+    try {
+      const next = new URL(advertised);
+      const base = new URL(this.config.baseUrl);
+      if (next.protocol !== "https:") return;
+      const tail = (h) => h.split(".").slice(-2).join(".");
+      if (tail(next.hostname) !== tail(base.hostname)) return;
+      this.directBaseUrl = next.origin;
+    } catch {
+    }
+  }
   async tryFetchOnce(url, init, config) {
     const { signal, cleanup } = createTimeoutController({
       timeout: config?.timeout ?? this.config.requestTimeoutMs ?? DEFAULT_REQUEST_TIMEOUT_MS,
       signal: config?.signal
     });
+    const origin = this.resolveOrigin(url);
     try {
-      const response = await fetch(`${this.config.baseUrl}${url}`, {
+      const response = await fetch(`${origin}${url}`, {
         ...init,
         credentials: fetchCredentialsForPath(url),
         signal
       });
+      this.learnDirectOrigin(response);
       return { response, ok: response.ok, status: response.status };
+    } catch (err) {
+      if (origin !== this.config.baseUrl && !isAbortError(err)) {
+        this.directDisabled = true;
+        const response = await fetch(`${this.config.baseUrl}${url}`, {
+          ...init,
+          credentials: fetchCredentialsForPath(url),
+          signal
+        });
+        return { response, ok: response.ok, status: response.status };
+      }
+      throw err;
     } finally {
       cleanup();
     }
@@ -12131,11 +12201,21 @@ var HttpClient = class {
       const extra = new Headers(init.headers);
       extra.forEach((value, key) => mergedHeaders.set(key, value));
     }
-    return fetch(`${this.config.baseUrl}${url}`, {
-      ...init,
-      credentials: fetchCredentialsForPath(url),
-      headers: mergedHeaders
-    });
+    const origin = this.resolveOrigin(url);
+    try {
+      const response = await fetch(`${origin}${url}`, {
+        ...init,
+        credentials: fetchCredentialsForPath(url),
+        headers: mergedHeaders
+      });
+      this.learnDirectOrigin(response);
+      return response;
+    } catch (err) {
+      if (origin !== this.config.baseUrl && !isAbortError(err)) {
+        this.directDisabled = true;
+      }
+      throw err;
+    }
   }
 };
 

package/package.json

@@ -1,6 +1,6 @@
 {
 	"name": "connectbase-client",
-	"version": "5.10.0",
+	"version": "5.11.0",
 	"description": "Connect Base JavaScript/TypeScript SDK for browser and Node.js",
 	"repository": {
 		"type": "git",