connectbase-client 6.10.0 → 6.11.0

package/dist/index.mjs

@@ -571,6 +571,89 @@ var AIAPI = class {
   }
 };
 
+// src/core/url-secrets.ts
+var CREDENTIAL_PARAMS = /* @__PURE__ */ new Set([
+  "access_token",
+  "refresh_token",
+  "id_token",
+  "token",
+  "auth_token",
+  "session_token",
+  "jwt",
+  "client_secret",
+  "secret_key",
+  "api_key",
+  "apikey",
+  "code_verifier",
+  "password"
+]);
+var TOKEN_CALLBACK_COMPANIONS = /* @__PURE__ */ new Set([
+  "member_id",
+  "is_new_member",
+  "email",
+  "state"
+]);
+var CREDENTIAL_IN_TEXT = /\b(access_token|refresh_token|id_token|token|auth_token|session_token|jwt|client_secret|secret_key|api_key|apikey|code_verifier)=[^&#\s"'<>)\]]+/gi;
+function paramName(pair) {
+  const raw = pair.split("=", 1)[0].replace(/\+/g, " ");
+  try {
+    return decodeURIComponent(raw).toLowerCase();
+  } catch {
+    return raw.toLowerCase();
+  }
+}
+function filterParams(raw, shouldRemove) {
+  if (!raw) return raw;
+  const pairs = raw.split("&");
+  const kept = pairs.filter((pair) => !shouldRemove(paramName(pair)));
+  return kept.length === pairs.length ? raw : kept.join("&");
+}
+function scrubParams(raw) {
+  if (!raw) return raw;
+  const names = new Set(raw.split("&").map(paramName));
+  const hasToken = names.has("access_token") || names.has("refresh_token");
+  const isCodeCallback = names.has("code") && names.has("state");
+  return filterParams(
+    raw,
+    (name) => CREDENTIAL_PARAMS.has(name) || hasToken && TOKEN_CALLBACK_COMPANIONS.has(name) || isCodeCallback && (name === "code" || name === "state")
+  );
+}
+function scrubFragment(fragment) {
+  const queryAt = fragment.indexOf("?");
+  if (queryAt >= 0) {
+    const head = fragment.slice(0, queryAt);
+    const clean = scrubParams(fragment.slice(queryAt + 1));
+    return clean ? `${head}?${clean}` : head;
+  }
+  return fragment.includes("=") ? scrubParams(fragment) : fragment;
+}
+function mapUrlParts(url, mapQuery, mapFragment) {
+  const hashAt = url.indexOf("#");
+  const beforeHash = hashAt >= 0 ? url.slice(0, hashAt) : url;
+  const queryAt = beforeHash.indexOf("?");
+  const path = queryAt >= 0 ? beforeHash.slice(0, queryAt) : beforeHash;
+  const rawQuery = queryAt >= 0 ? beforeHash.slice(queryAt + 1) : "";
+  const rawFragment = hashAt >= 0 ? url.slice(hashAt + 1) : "";
+  const query = mapQuery(rawQuery);
+  const fragment = mapFragment(rawFragment);
+  if (query === rawQuery && fragment === rawFragment) return url;
+  return `${path}${query ? `?${query}` : ""}${fragment ? `#${fragment}` : ""}`;
+}
+function scrubUrlSecrets(url) {
+  return url ? mapUrlParts(url, scrubParams, scrubFragment) : url;
+}
+function scrubSecretsInText(text) {
+  return text.replace(CREDENTIAL_IN_TEXT, "$1=[redacted]");
+}
+function removeQueryParams(url, names) {
+  const targets = new Set(names);
+  return mapUrlParts(
+    url,
+    (query) => filterParams(query, (name) => targets.has(name)),
+    (fragment) => fragment
+  );
+}
+
 // src/api/analytics.ts
 var SESSION_TIMEOUT_MS = 30 * 60 * 1e3;
 var SESSION_KEY = "__cb_session";
@@ -836,9 +919,9 @@ var AnalyticsAPI = class {
     this.session.touch();
     const event = this.createBaseEvent("page_view");
     event.page_path = path || window.location.pathname;
-    event.page_url = window.location.href;
+    event.page_url = scrubUrlSecrets(window.location.href);
     event.page_title = document.title;
-    event.referrer = document.referrer || void 0;
+    event.referrer = scrubUrlSecrets(document.referrer) || void 0;
     event.screen_width = window.screen.width;
     event.screen_height = window.screen.height;
     Object.assign(event, this.utm);
@@ -854,7 +937,7 @@ var AnalyticsAPI = class {
     event.event_name = name;
     event.event_properties = properties;
     event.page_path = window.location.pathname;
-    event.page_url = window.location.href;
+    event.page_url = scrubUrlSecrets(window.location.href);
     this.enqueue(event);
   }
   /**
@@ -1340,8 +1423,8 @@ var AnalyticsAPI = class {
   trackSessionStart() {
     const event = this.createBaseEvent("session_start");
     event.page_path = window.location.pathname;
-    event.page_url = window.location.href;
-    event.referrer = document.referrer || void 0;
+    event.page_url = scrubUrlSecrets(window.location.href);
+    event.referrer = scrubUrlSecrets(document.referrer) || void 0;
     event.screen_width = window.screen.width;
     event.screen_height = window.screen.height;
     Object.assign(event, this.utm);
@@ -2506,6 +2589,8 @@ var DatabaseAPI = class {
    * `options.autoCreate: true` 시 테이블이 없으면 빈 schemaless 테이블을
    * 자동으로 생성한 뒤 insert. opt-in 이며 프로토타입/AI 자동화 워크플로에
    * 권장합니다. production 앱은 명시적 `createTable` 호출 권장.
+   * 테이블 생성은 `secretKey` 나 service_role 함수에서만 됩니다. Public Key 만으로는
+   * 옵션이 무시되어, 없는 테이블이면 404 입니다 (이미 있는 테이블에는 그대로 씁니다).
    */
   async createData(tableIdOrName, data, options) {
     const prefix = this.getPublicPrefix();
@@ -2979,13 +3064,13 @@ var DatabaseAPI = class {
    * // 자기 앱 테이블 구독 (AppMember JWT)
    * cb.database.connectRealtime({
    *     accessToken: 'your-jwt-token',
-   *     dataServerUrl: 'https://data.connectbase.world'
+   *     dataServerUrl: 'https://api.connectbase.world'
    * })
    *
    * // cross-app: Provider 앱의 테이블 구독 (OAuth access token)
    * cb.database.connectRealtime({
    *     accessToken: oauthAccessToken,
-   *     dataServerUrl: 'https://data.connectbase.world'
+   *     dataServerUrl: 'https://api.connectbase.world'
    * })
    *
    * // 테이블 구독
@@ -3689,6 +3774,18 @@ async function drainBody(res) {
 }
 
 // src/api/error-tracker.ts
+function scrubReport(report) {
+  const text = (value) => typeof value === "string" ? scrubSecretsInText(value) : value;
+  const url = (value) => typeof value === "string" ? scrubUrlSecrets(value) : value;
+  return {
+    ...report,
+    message: text(report.message),
+    stack: text(report.stack),
+    url: url(report.url),
+    referrer: url(report.referrer),
+    source: url(report.source)
+  };
+}
 var ErrorTrackerAPI = class {
   constructor(http, config = {}) {
     this.storageWebId = null;
@@ -3867,7 +3964,7 @@ var ErrorTrackerAPI = class {
     return filtered;
   }
   queueError(report) {
-    this.errorQueue.push(report);
+    this.errorQueue.push(scrubReport(report));
     this.log("Error queued", {
       message: report.message,
       queueSize: this.errorQueue.length
@@ -4179,6 +4276,43 @@ function toCreateRoomWire(config) {
   if (config.metadata) out.metadata = config.metadata;
   return out;
 }
+var FORBIDDEN_STATE_PATH_SEGMENTS = /* @__PURE__ */ new Set([
+  "__proto__",
+  "constructor",
+  "prototype"
+]);
+var hasOwn = (target, key) => Object.prototype.hasOwnProperty.call(target, key);
+function applyGameStateChange(state, change) {
+  const segments = typeof change.path === "string" ? change.path.split(".") : null;
+  if (!segments || segments.some((segment) => FORBIDDEN_STATE_PATH_SEGMENTS.has(segment))) {
+    console.warn(
+      "[connect-base game] \uC704\uD5D8\uD55C \uACBD\uB85C\uC758 \uC0C1\uD0DC \uBCC0\uACBD\uC744 \uBB34\uC2DC\uD588\uC2B5\uB2C8\uB2E4:",
+      String(change.path).slice(0, 100)
+    );
+    return false;
+  }
+  const isDelete = change.operation === "delete";
+  let current = state;
+  for (const key of segments.slice(0, -1)) {
+    const next = hasOwn(current, key) ? current[key] : void 0;
+    if (next !== null && typeof next === "object") {
+      current = next;
+    } else if (isDelete) {
+      return true;
+    } else {
+      const created = {};
+      current[key] = created;
+      current = created;
+    }
+  }
+  const lastKey = segments[segments.length - 1];
+  if (isDelete) {
+    if (hasOwn(current, lastKey)) delete current[lastKey];
+  } else {
+    current[lastKey] = change.value;
+  }
+  return true;
+}
 var GameRoom = class {
   constructor(config) {
     this.ws = null;
@@ -4695,21 +4829,7 @@ var GameRoom = class {
   }
   applyChange(change) {
     if (!this._state) return;
-    const path = change.path.split(".");
-    let current = this._state.state;
-    for (let i = 0; i < path.length - 1; i++) {
-      const key = path[i];
-      if (!(key in current)) {
-        current[key] = {};
-      }
-      current = current[key];
-    }
-    const lastKey = path[path.length - 1];
-    if (change.operation === "delete") {
-      delete current[lastKey];
-    } else {
-      current[lastKey] = change.value;
-    }
+    applyGameStateChange(this._state.state, change);
   }
   handlePlayerEvent(msg) {
     const player = {
@@ -5391,6 +5511,7 @@ var KnowledgeAPI = class {
    * 문서 추가
    *
    * 지식 베이스에 새 문서를 추가합니다. 텍스트 소스인 경우 즉시 처리됩니다.
+   * 로그인한 회원 토큰(본인 문서)이나 `secretKey` 가 필요합니다. Public Key 만으로는 401 입니다.
    *
    * @param kbID - 지식 베이스 ID
    * @param data - 문서 생성 요청
@@ -5546,6 +5667,7 @@ var KnowledgeAPI = class {
    * 문서 삭제
    *
    * 문서와 관련된 모든 청크도 함께 삭제됩니다.
+   * 로그인한 회원 토큰(본인 문서)이나 `secretKey` 가 필요합니다. Public Key 만으로는 401 입니다.
    *
    * @param kbID - 지식 베이스 ID
    * @param docID - 문서 ID
@@ -6484,6 +6606,77 @@ var NativeAPI = class {
   }
 };
 
+// src/core/oauth-state.ts
+var STORAGE_KEY = "cb_oauth_pending_states";
+var PENDING_TTL_MS = 60 * 60 * 1e3;
+var MAX_PENDING = 8;
+var OAUTH_STATE_MISMATCH = "oauth_state_mismatch";
+function browserStorage() {
+  try {
+    return typeof window !== "undefined" ? window.localStorage : null;
+  } catch {
+    return null;
+  }
+}
+function readPending(storage, now) {
+  try {
+    const parsed = JSON.parse(storage.getItem(STORAGE_KEY) || "[]");
+    if (!Array.isArray(parsed)) return [];
+    return parsed.filter(
+      (entry) => typeof entry?.nonce === "string" && typeof entry?.expiresAt === "number" && entry.expiresAt > now
+    );
+  } catch {
+    return [];
+  }
+}
+function writePending(storage, entries) {
+  if (entries.length === 0) {
+    storage.removeItem(STORAGE_KEY);
+  } else {
+    storage.setItem(STORAGE_KEY, JSON.stringify(entries));
+  }
+}
+function randomNonce() {
+  const bytes = new Uint8Array(16);
+  globalThis.crypto.getRandomValues(bytes);
+  return Array.from(bytes, (b) => b.toString(16).padStart(2, "0")).join("");
+}
+function createPendingOAuthState(appState) {
+  const storage = browserStorage();
+  const nonce = randomNonce();
+  try {
+    if (!storage) throw new Error("storage unavailable");
+    const now = Date.now();
+    const entries = readPending(storage, now);
+    entries.push({
+      nonce,
+      expiresAt: now + PENDING_TTL_MS,
+      ...appState ? { appState } : {}
+    });
+    writePending(storage, entries.slice(-MAX_PENDING));
+  } catch {
+    throw new Error(
+      "\uBE0C\uB77C\uC6B0\uC800 \uC800\uC7A5\uC18C\uB97C \uC0AC\uC6A9\uD560 \uC218 \uC5C6\uC5B4 \uC18C\uC15C \uB85C\uADF8\uC778\uC744 \uC2DC\uC791\uD560 \uC218 \uC5C6\uC2B5\uB2C8\uB2E4. \uCFE0\uD0A4\uC640 \uC0AC\uC774\uD2B8 \uB370\uC774\uD130 \uCC28\uB2E8\uC744 \uD574\uC81C\uD55C \uB4A4 \uB2E4\uC2DC \uC2DC\uB3C4\uD574 \uC8FC\uC138\uC694."
+    );
+  }
+  return nonce;
+}
+function consumePendingOAuthState(state) {
+  if (!state) return { valid: false };
+  const storage = browserStorage();
+  if (!storage) return { valid: false };
+  try {
+    const entries = readPending(storage, Date.now());
+    const index = entries.findIndex((entry) => entry.nonce === state);
+    if (index < 0) return { valid: false };
+    const [matched] = entries.splice(index, 1);
+    writePending(storage, entries);
+    return { valid: true, appState: matched.appState };
+  } catch {
+    return { valid: false };
+  }
+}
+
 // src/api/oauth.ts
 function getNativeOAuthBridge() {
   if (typeof window === "undefined") return null;
@@ -6493,6 +6686,71 @@ function getNativeOAuthBridge() {
   }
   return bridge;
 }
+var POPUP_OPENER_NOT_ALLOWED = "popup_opener_not_allowed";
+var TOKEN_CALLBACK_PARAMS = [
+  "access_token",
+  "refresh_token",
+  "member_id",
+  "is_new_member",
+  "email",
+  "state"
+];
+var CODE_CALLBACK_PARAMS = ["code", "state"];
+var capturedTokenCallbacks = /* @__PURE__ */ new WeakMap();
+function hasSameOriginOpener() {
+  try {
+    return !!window.opener && window.opener.location.origin === window.location.origin;
+  } catch {
+    return false;
+  }
+}
+function stripParamsFromUrl(names) {
+  try {
+    const { pathname, search, hash } = window.location;
+    window.history.replaceState(
+      window.history.state,
+      "",
+      removeQueryParams(`${pathname}${search}${hash}`, names)
+    );
+  } catch {
+  }
+}
+function captureTokenCallback() {
+  if (typeof window === "undefined" || !window.location) return null;
+  const existing = capturedTokenCallbacks.get(window);
+  const params = new URLSearchParams(window.location.search);
+  const accessToken = params.get("access_token");
+  const refreshToken = params.get("refresh_token");
+  const inUrl = !!accessToken && !!refreshToken;
+  if (!inUrl) {
+    return existing && existing.href === window.location.href ? existing : null;
+  }
+  if (existing?.accessToken === accessToken) return existing;
+  stripParamsFromUrl(TOKEN_CALLBACK_PARAMS);
+  const memberId = params.get("member_id");
+  if (!memberId) return null;
+  const state = params.get("state");
+  const check = consumePendingOAuthState(state);
+  const captured = {
+    // state 가 맞으면 opener 가 있어도 리다이렉트다(같은 출처 창이 연 창에서 signIn 을 부른 경우).
+    kind: check.valid ? "redirect" : hasSameOriginOpener() ? "popup" : "rejected",
+    accessToken,
+    refreshToken,
+    memberId,
+    isNewMember: params.get("is_new_member") === "true",
+    email: params.get("email"),
+    appState: check.valid ? check.appState : state || void 0,
+    href: window.location.href
+  };
+  capturedTokenCallbacks.set(window, captured);
+  if (captured.kind === "rejected") warnStateMismatch();
+  return captured;
+}
+function warnStateMismatch() {
+  console.warn(
+    "[connect-base-client] OAuth \uCF5C\uBC31\uC744 \uBC1B\uC544\uB4E4\uC774\uC9C0 \uC54A\uC558\uC2B5\uB2C8\uB2E4. \uC774 \uBE0C\uB77C\uC6B0\uC800\uC5D0\uC11C \uC2DC\uC791\uD55C \uB85C\uADF8\uC778\uC758 \uACB0\uACFC\uC784\uC744 \uD655\uC778\uD558\uC9C0 \uBABB\uD588\uC2B5\uB2C8\uB2E4(state \uBD88\uC77C\uCE58). \uB0A8\uC774 \uBCF4\uB0B8 \uB9C1\uD06C\uB77C\uBA74 \uC815\uC0C1 \uB3D9\uC791\uC785\uB2C8\uB2E4. \uC815\uC0C1 \uB85C\uADF8\uC778\uC774 \uAC70\uBD80\uB41C\uB2E4\uBA74 cb.oauth.signIn() \uC744 \uBD80\uB978 \uD398\uC774\uC9C0\uC640 \uCF5C\uBC31 \uC8FC\uC18C\uC758 \uCD9C\uCC98\uAC00 \uAC19\uC740\uC9C0, \uC778\uAC00 \uC8FC\uC18C\uB97C \uC9C1\uC811 \uB9CC\uB4E0\uB2E4\uBA74 cb.oauth.createCallbackState() \uAC12\uC744 state \uB85C \uB118\uACBC\uB294\uC9C0 \uD655\uC778\uD558\uC138\uC694."
+  );
+}
 function detectInAppBrowser() {
   if (typeof navigator === "undefined") return null;
   const ua = navigator.userAgent || "";
@@ -6530,6 +6788,10 @@ var OAuthAPI = class {
      * 발화하지 않도록 이 promise 를 공유한다 (이중 re-issue/rotation 방지).
      */
     this.bootConsumePromise = null;
+    /** 이 인스턴스가 `getCallbackResult()` 로 이미 적재한 콜백. 다시 불려도 토큰을 되돌리지 않는다. */
+    this.loadedCallback = null;
+    /** 진행 중이거나 끝난 code 교환. 주소에서 code 를 지운 뒤의 재호출이 같은 결과를 받게 한다. */
+    this.codeExchange = null;
   }
   /**
    * 활성화된 OAuth 프로바이더 목록 조회
@@ -6559,7 +6821,8 @@ var OAuthAPI = class {
    *
    * @param provider - OAuth 프로바이더 (google, naver, github, discord)
    * @param callbackUrl - OAuth 완료 후 리다이렉트될 앱의 URL
-   * @param state - 선택적 state 파라미터 (CSRF 방지 등)
+   * @param state - 앱이 콜백까지 들고 가고 싶은 값(선택). `getCallbackResult()` 결과의 `state` 로 돌아온다.
+   *   로그인 CSRF 방어는 SDK 가 별도의 일회용 값으로 항상 수행하므로 이 값이 없어도 안전하다.
    * @param options - `createIfNotExists: true` 면 미가입 사용자를 자동 가입시킨다([signUp] 과 동일 동작).
    *
    * @example
@@ -6604,9 +6867,9 @@ var OAuthAPI = class {
       const callbackScheme = bridge.getCallbackScheme();
       const bridgeParams = new URLSearchParams({
         app_callback: callbackScheme,
-        intent
+        intent,
+        state: this.createCallbackStateFor(callbackUrl, state)
       });
-      if (state) bridgeParams.append("state", state);
       const bridgeResp = await this.http.get(
         `/v1/public/oauth/${provider}/authorize/central?${bridgeParams.toString()}`
       );
@@ -6631,15 +6894,52 @@ var OAuthAPI = class {
         `\uD604\uC7AC ${inApp.type === "kakaotalk" ? "\uCE74\uCE74\uC624\uD1A1" : inApp.type === "line" ? "\uB77C\uC778" : "\uC778\uC571"} \uBE0C\uB77C\uC6B0\uC800\uC5D0\uC11C\uB294 Google/Apple \uB85C\uADF8\uC778\uC774 \uC81C\uD55C\uB429\uB2C8\uB2E4. \uC6B0\uCE21 \uC0C1\uB2E8 \uBA54\uB274\uC5D0\uC11C "\uB2E4\uB978 \uBE0C\uB77C\uC6B0\uC800\uB85C \uC5F4\uAE30"\uB97C \uC120\uD0DD\uD574\uC8FC\uC138\uC694.`
       );
     }
-    const params = new URLSearchParams({ app_callback: callbackUrl, intent });
-    if (state) {
-      params.append("state", state);
-    }
+    const params = new URLSearchParams({
+      app_callback: callbackUrl,
+      intent,
+      state: this.createCallbackStateFor(callbackUrl, state)
+    });
     const response = await this.http.get(
       `/v1/public/oauth/${provider}/authorize/central?${params.toString()}`
     );
     window.location.href = response.authorization_url;
   }
+  /**
+   * 콜백에서 확인할 일회용 state 를 만들어 이 브라우저에 저장합니다.
+   *
+   * `signIn()` / `signUp()` 은 이미 내부에서 부르므로 호출할 필요가 없습니다. 인가 주소를 SDK 밖에서
+   * 만드는 앱(`GET /v1/public/oauth/:provider/authorize/central` 직접 호출 등)만, 돌려받은 값을 `state`
+   * 쿼리로 넘기세요. 이 값 없이 돌아온 콜백의 토큰은 남이 보낸 링크와 구분할 수 없어 거부됩니다.
+   *
+   * @param appState - 콜백까지 들고 갈 앱의 값(선택). 서버로 보내지 않고 `getCallbackResult()` 의 `state` 로 돌아옵니다.
+   * @returns 인가 요청의 `state` 쿼리에 넣을 값
+   * @throws 브라우저 저장소를 쓸 수 없을 때
+   *
+   * @example
+   * ```typescript
+   * const state = cb.oauth.createCallbackState()
+   * const res = await fetch(`${API}/v1/public/oauth/google/authorize/central?app_callback=${callback}&state=${state}`, {
+   *     headers: { 'X-Public-Key': PUBLIC_KEY },
+   * })
+   * ```
+   */
+  createCallbackState(appState) {
+    return createPendingOAuthState(appState);
+  }
+  /** 콜백 주소가 다른 출처면 그쪽 저장소에는 state 가 없어 콜백에서 거부된다는 점을 시작할 때 알린다. */
+  createCallbackStateFor(callbackUrl, appState) {
+    const state = createPendingOAuthState(appState);
+    try {
+      const target = new URL(callbackUrl, window.location.href);
+      if (target.origin !== window.location.origin) {
+        console.warn(
+          `[connect-base-client] \uCF5C\uBC31 \uC8FC\uC18C(${target.origin})\uAC00 \uC9C0\uAE08 \uD398\uC774\uC9C0\uC640 \uCD9C\uCC98\uAC00 \uB2EC\uB77C SDK \uAC00 \uD1A0\uD070\uC744 \uBC1B\uC544\uB4E4\uC774\uC9C0 \uBABB\uD569\uB2C8\uB2E4. \uB85C\uADF8\uC778\uC744 \uC2DC\uC791\uD55C \uD398\uC774\uC9C0\uC640 \uAC19\uC740 \uCD9C\uCC98\uB97C \uCF5C\uBC31\uC73C\uB85C \uC9C0\uC815\uD558\uC138\uC694.`
+        );
+      }
+    } catch {
+    }
+    return state;
+  }
   /**
    * 소셜 로그인 (팝업 방식)
    * 팝업 창에서 소셜 로그인을 처리하고 결과를 Promise로 반환합니다.
@@ -6652,6 +6952,7 @@ var OAuthAPI = class {
    *
    * @param provider - OAuth 프로바이더
    * @param callbackUrl - (선택) OAuth 완료 후 리다이렉트될 팝업의 URL. 미지정 시 서버 제공 콜백 사용.
+   *   지정한다면 이 메서드를 부르는 페이지와 같은 출처여야 합니다(콜백 페이지는 토큰을 같은 출처 창에만 넘깁니다).
    * @returns 로그인 결과
    *
    * @example
@@ -6710,10 +7011,24 @@ var OAuthAPI = class {
     params.set("intent", intent);
     if (callbackUrl) {
       params.set("app_callback", callbackUrl);
+    } else {
+      params.set("opener_origin", window.location.origin);
+    }
+    let response;
+    try {
+      response = await this.http.get(
+        `/v1/public/oauth/${provider}/authorize/central?${params.toString()}`
+      );
+    } catch (err) {
+      if (err instanceof ApiError && err.code === POPUP_OPENER_NOT_ALLOWED) {
+        throw new ApiError(
+          err.statusCode,
+          `\uC774 \uD398\uC774\uC9C0(${window.location.origin})\uC5D0\uC11C\uB294 \uD31D\uC5C5 \uB85C\uADF8\uC778\uC744 \uC2DC\uC791\uD560 \uC218 \uC5C6\uC2B5\uB2C8\uB2E4. \uC774 \uC571\uC758 \uC6F9 \uC2A4\uD1A0\uB9AC\uC9C0 \uC8FC\uC18C\uB098 \uC5F0\uACB0\uB41C \uCEE4\uC2A4\uD140 \uB3C4\uBA54\uC778\uC5D0\uC11C \uC5EC\uC138\uC694. \uB2E4\uB978 \uC8FC\uC18C\uB77C\uBA74 \uCF58\uC194\uC758 \uC6F9 \uC2A4\uD1A0\uB9AC\uC9C0 \uBCF4\uC548 \uC124\uC815\uC5D0 \uC774 \uCD9C\uCC98\uB97C \uD5C8\uC6A9 origin \uC73C\uB85C \uCD94\uAC00\uD558\uAC70\uB098 \uB9AC\uB2E4\uC774\uB809\uD2B8 \uBC29\uC2DD(cb.oauth.signIn)\uC744 \uC4F0\uC138\uC694.`,
+          POPUP_OPENER_NOT_ALLOWED
+        );
+      }
+      throw err;
     }
-    const response = await this.http.get(
-      `/v1/public/oauth/${provider}/authorize/central?${params.toString()}`
-    );
     const width = 500;
     const height = 600;
     const left = window.screenX + (window.outerWidth - width) / 2;
@@ -6726,6 +7041,10 @@ var OAuthAPI = class {
     if (!popup) {
       throw new Error("\uD31D\uC5C5\uC774 \uCC28\uB2E8\uB418\uC5C8\uC2B5\uB2C8\uB2E4. \uD31D\uC5C5 \uCC28\uB2E8\uC744 \uD574\uC81C\uD574\uC8FC\uC138\uC694.");
     }
+    const allowedOrigins = this.popupMessageOrigins(
+      response.authorization_url,
+      callbackUrl
+    );
     return new Promise((resolve, reject) => {
       let settled = false;
       const cleanup = () => {
@@ -6735,6 +7054,8 @@ var OAuthAPI = class {
         clearTimeout(timeout);
       };
       const handleMessage = async (event) => {
+        if (event.source !== popup) return;
+        if (!allowedOrigins.has(event.origin)) return;
         if (event.data?.type !== "oauth-callback") return;
         if (settled) return;
         cleanup();
@@ -6742,14 +7063,13 @@ var OAuthAPI = class {
           reject(new Error(event.data.error));
           return;
         }
-        const rawEmail = event.data.email;
-        const result = {
-          member_id: event.data.member_id,
-          access_token: event.data.access_token,
-          refresh_token: event.data.refresh_token,
-          is_new_member: event.data.is_new_member === "true" || event.data.is_new_member === true,
-          ...typeof rawEmail === "string" && rawEmail.length > 0 ? { email: rawEmail } : {}
-        };
+        let result;
+        try {
+          result = await this.readPopupResult(event.data);
+        } catch (err) {
+          reject(err);
+          return;
+        }
         this.http.setTokens(result.access_token, result.refresh_token);
         try {
           await this.http.bootstrapRefreshCookie();
@@ -6782,6 +7102,51 @@ var OAuthAPI = class {
       }, 18e4);
     });
   }
+  /**
+   * 팝업 메시지를 보낼 수 있는 출처: 서버 제공 콜백 페이지(API 서버)와 앱이 지정한 콜백 페이지.
+   *
+   * 서버 제공 콜백의 출처는 `baseUrl` 과 다를 수 있어(`/cb-api` 패스스루) 서버가 정한 redirect_uri 도
+   * 함께 본다. 인가 주소는 우리 API 응답이므로 믿을 수 있다.
+   */
+  popupMessageOrigins(authorizationUrl, callbackUrl) {
+    const origins = /* @__PURE__ */ new Set();
+    const add = (url) => {
+      if (!url) return;
+      try {
+        origins.add(new URL(url, window.location.href).origin);
+      } catch {
+      }
+    };
+    add(this.http.getBaseUrl());
+    try {
+      add(new URL(authorizationUrl).searchParams.get("redirect_uri"));
+    } catch {
+    }
+    add(callbackUrl);
+    return origins;
+  }
+  /**
+   * 팝업 메시지에서 로그인 결과를 만든다. code 가 있으면 교환한다(opener_origin 을 보낸 요청의 기본 응답).
+   * 토큰을 직접 싣는 메시지는 opener_origin 을 모르는 구버전 서버 호환이다.
+   */
+  async readPopupResult(data) {
+    if (typeof data.code === "string" && data.code) {
+      return this.http.post("/v1/auth/oauth/exchange", {
+        code: data.code
+      });
+    }
+    const { access_token, refresh_token, member_id, email } = data;
+    if (typeof access_token !== "string" || typeof refresh_token !== "string" || typeof member_id !== "string" || !access_token || !refresh_token || !member_id) {
+      throw new Error("OAuth \uC751\uB2F5\uC5D0 \uD1A0\uD070\uC774 \uC5C6\uC2B5\uB2C8\uB2E4.");
+    }
+    return {
+      member_id,
+      access_token,
+      refresh_token,
+      is_new_member: data.is_new_member === "true" || data.is_new_member === true,
+      ...typeof email === "string" && email.length > 0 ? { email } : {}
+    };
+  }
   /**
    * 콜백 URL에서 OAuth 결과 추출
    * 중앙 콜백 방식에서 리다이렉트 후 URL 파라미터에서 결과를 추출합니다.
@@ -6797,6 +7162,10 @@ var OAuthAPI = class {
    * 없는 상태로 `getMe()` 가 401 으로 떨어지는 회귀가 있었다 (platform-issue
    * 019e638d, 2026-05-26).
    *
+   * 토큰은 이 브라우저에서 `signIn()` / `signUp()` 으로 시작한 로그인의 결과일 때만 받아들입니다. 확인되지
+   * 않으면(남이 보낸 링크 등) 토큰을 적재하지 않고 `{ error: 'oauth_state_mismatch' }` 를 돌려줍니다.
+   * 토큰은 SDK 가 생성될 때 주소에서 지우므로 `location.search` 로 직접 읽을 수 없습니다.
+   *
    * @returns OAuth 결과 (토큰, member_id 등) 또는 null
    *
    * @example
@@ -6813,36 +7182,40 @@ var OAuthAPI = class {
    * ```
    */
   async getCallbackResult() {
+    const callback = captureTokenCallback();
     const params = new URLSearchParams(window.location.search);
     const error = params.get("error");
     if (error) {
+      consumePendingOAuthState(params.get("state"));
       const errorResult = { error };
-      if (window.opener) {
+      if (hasSameOriginOpener()) {
         window.opener.postMessage(
           { type: "oauth-callback", ...errorResult },
-          "*"
+          window.location.origin
         );
         window.close();
       }
       return errorResult;
     }
-    const accessToken = params.get("access_token");
-    const refreshToken = params.get("refresh_token");
-    const memberId = params.get("member_id");
-    if (!accessToken || !refreshToken || !memberId) {
+    if (!callback) {
       return null;
     }
-    const emailParam = params.get("email");
+    if (callback.kind === "rejected") {
+      return { error: OAUTH_STATE_MISMATCH };
+    }
     const result = {
-      access_token: accessToken,
-      refresh_token: refreshToken,
-      member_id: memberId,
-      is_new_member: params.get("is_new_member") === "true",
-      ...emailParam ? { email: emailParam } : {},
-      state: params.get("state") || void 0
+      access_token: callback.accessToken,
+      refresh_token: callback.refreshToken,
+      member_id: callback.memberId,
+      is_new_member: callback.isNewMember,
+      ...callback.email ? { email: callback.email } : {},
+      state: callback.appState
     };
-    if (window.opener) {
-      window.opener.postMessage({ type: "oauth-callback", ...result }, "*");
+    if (callback.kind === "popup") {
+      window.opener.postMessage(
+        { type: "oauth-callback", ...result },
+        window.location.origin
+      );
       window.close();
       return result;
     }
@@ -6852,10 +7225,35 @@ var OAuthAPI = class {
         return result;
       }
     }
-    this.http.setTokens(accessToken, refreshToken);
-    await this.http.bootstrapRefreshCookie();
+    await this.loadCallbackOnce(callback);
     return result;
   }
+  /**
+   * 콜백 토큰을 이 인스턴스에 한 번만 적재한다. 앱이 `getCallbackResult()` 를 다시 불러도 그사이 회전된
+   * 토큰을 콜백의 옛 토큰으로 되돌리지 않는다.
+   */
+  loadCallbackOnce(callback) {
+    if (this.loadedCallback?.callback !== callback) {
+      this.http.setTokens(callback.accessToken, callback.refreshToken);
+      this.loadedCallback = {
+        callback,
+        done: this.http.bootstrapRefreshCookie()
+      };
+    }
+    return this.loadedCallback.done;
+  }
+  /**
+   * (SDK 내부용 — `ConnectBase` 생성자가 호출) 주소의 토큰 콜백을 회수해 지우고 그 종류를 알린다.
+   *
+   * @returns `redirect` 면 부팅 안전망 대상, `popup` 이면 팝업 콜백, `none` 이면 토큰 콜백이 아니거나 거부됨.
+   */
+  captureCallbackOnBoot() {
+    const callback = captureTokenCallback();
+    if (callback?.kind === "redirect" || callback?.kind === "popup") {
+      return callback.kind;
+    }
+    return "none";
+  }
   /**
    * (SDK 내부용 — `ConnectBase` 생성자가 호출) 부팅 안전망.
    *
@@ -6869,10 +7267,9 @@ var OAuthAPI = class {
    * 이 안전망은 콜백 처리 코드를 빠뜨린 앱도 동작하게 한다.
    *
    * **token rotation race(2026-05-16) 가 없는 이유:** 사전 `re-issue`(cookie 복구) 없이 URL
-   * 토큰을 *직접* 소비한다 — `getCallbackResult()` 의 리다이렉트 경로와 동일한 동작이다. 팝업
-   * (`window.opener` 존재)은 `ConnectBase` 생성자에서 제외되어 호출되지 않는다 (팝업 콜백은
-   * `getCallbackResult()` 의 postMessage 경로 전담). code-only(`?code=`)·에러(`?error=`)
-   * 콜백도 생성자에서 제외된다 (네트워크 교환/에러 분기는 앱이 명시 호출).
+   * 토큰을 *직접* 소비한다 — `getCallbackResult()` 의 리다이렉트 경로와 동일한 동작이다. 팝업 콜백과
+   * 거부된 콜백(`captureCallbackOnBoot()` 참고)은 생성자에서 제외되어 호출되지 않는다. code-only(`?code=`),
+   * 에러(`?error=`) 콜백도 생성자에서 제외된다 (네트워크 교환/에러 분기는 앱이 명시 호출).
    *
    * @returns 토큰 적재 성공 시 true, no-op(토큰 없음 등)이면 false.
    */
@@ -6884,14 +7281,9 @@ var OAuthAPI = class {
   }
   async doConsumeRedirectOnBoot() {
     try {
-      if (typeof window === "undefined" || !window.location) return false;
-      const params = new URLSearchParams(window.location.search);
-      if (params.get("error")) return false;
-      const accessToken = params.get("access_token");
-      const refreshToken = params.get("refresh_token");
-      const memberId = params.get("member_id");
-      if (!accessToken || !refreshToken || !memberId) return false;
-      this.http.setTokens(accessToken, refreshToken);
+      const callback = captureTokenCallback();
+      if (callback?.kind !== "redirect") return false;
+      this.http.setTokens(callback.accessToken, callback.refreshToken);
       await this.http.bootstrapRefreshCookie();
       return true;
     } catch {
@@ -6908,6 +7300,9 @@ var OAuthAPI = class {
    *   1) `cb.oauth.exchangeCodeFromCallback()` 먼저 — code-only 모드면 성공
    *   2) null 반환 시 `cb.oauth.getCallbackResult()` 폴백 (legacy 토큰-in-URL 모드)
    *
+   * `getCallbackResult()` 와 같은 이유로, 이 브라우저에서 시작한 로그인의 `code` 만 교환합니다. 확인되지
+   * 않으면 `oauth_state_mismatch` 오류를 던지고 교환하지 않습니다.
+   *
    * @example
    * ```typescript
    * const result = await cb.oauth.exchangeCodeFromCallback()
@@ -6917,8 +7312,27 @@ var OAuthAPI = class {
   async exchangeCodeFromCallback() {
     const params = new URLSearchParams(window.location.search);
     const code = params.get("code");
-    if (!code) return null;
+    if (!code) {
+      return this.codeExchange?.href === window.location.href ? this.codeExchange.result : null;
+    }
     if (params.get("error")) return null;
+    const state = params.get("state");
+    const check = consumePendingOAuthState(state);
+    const isPopup = !check.valid && hasSameOriginOpener();
+    if (!check.valid && !isPopup) {
+      warnStateMismatch();
+      throw new Error(OAUTH_STATE_MISMATCH);
+    }
+    stripParamsFromUrl(CODE_CALLBACK_PARAMS);
+    const result = this.exchangeCode(
+      code,
+      check.valid ? check.appState : state || void 0,
+      isPopup
+    );
+    this.codeExchange = { href: window.location.href, result };
+    return result;
+  }
+  async exchangeCode(code, appState, isPopup) {
     const resp = await this.http.post("/v1/auth/oauth/exchange", { code });
     const result = {
       access_token: resp.access_token,
@@ -6926,10 +7340,13 @@ var OAuthAPI = class {
       member_id: resp.member_id,
       is_new_member: resp.is_new_member,
       ...resp.email ? { email: resp.email } : {},
-      state: params.get("state") || void 0
+      state: appState
     };
-    if (window.opener) {
-      window.opener.postMessage({ type: "oauth-callback", ...result }, "*");
+    if (isPopup) {
+      window.opener.postMessage(
+        { type: "oauth-callback", ...result },
+        window.location.origin
+      );
       window.close();
       return result;
     }
@@ -7295,6 +7712,9 @@ var PaymentAPI = class {
    * 결제 취소
    * 완료된 결제를 취소합니다. 부분 취소도 가능합니다.
    *
+   * **서버 전용.** 환불은 돈이 나가는 동작이라 `secretKey`(`cb_sk_*`, `app:update` 권한)가 필요합니다.
+   * 브라우저에서 Public Key 만으로 호출하면 401 `SECRET_KEY_REQUIRED` 입니다.
+   *
    * @param paymentId - 결제 ID (Connect Base에서 발급한 ID)
    * @param data - 취소 정보 (사유, 부분 취소 금액)
    * @returns 취소된 결제 정보
@@ -7324,6 +7744,10 @@ var PaymentAPI = class {
    * 주문 ID로 결제 조회
    * 특정 주문의 결제 상태를 조회합니다.
    *
+   * Public Key 만으로 호출하면 상태와 금액만 돌려줍니다. `customer_email`, `customer_name`, `customer_id`, `receipt_url`,
+   * `metadata`, `country`, `settlement_*`, `cancel_reason` 은 그 결제의 회원 본인(로그인 상태), `secretKey`(`app:read` 권한),
+   * 또는 `payment:read` 스코프의 service_role 함수에만 옵니다.
+   *
    * @param orderId - 주문 ID
    * @returns 결제 상세 정보
    *
@@ -11182,8 +11606,8 @@ var SupportAPI = class {
   }
 };
 function detectSdkVersion() {
-  if ("6.10.0") {
-    return "6.10.0";
+  if ("6.11.0") {
+    return "6.11.0";
   }
   return "unknown";
 }
@@ -12883,6 +13307,7 @@ var HttpClient = class {
     this.config = { ...config };
     this.storageKey = this.buildStorageKey();
     this.warnIfUnsafePersistence();
+    this.warnIfSecretKeyInBrowser();
     this.restoreTokens();
   }
   /**
@@ -12916,6 +13341,20 @@ var HttpClient = class {
   clearRecentCalls() {
     this.recentCalls.clear();
   }
+  /**
+   * Secret Key 는 계정 권한의 자격증명이다. 브라우저 번들에 넣으면 페이지를 여는 누구나 읽는다.
+   * 막지는 않는다(Electron 등 신뢰된 환경이 있다) — 대신 무엇이 위험한지 분명히 알린다.
+   */
+  warnIfSecretKeyInBrowser() {
+    if (typeof window === "undefined" || typeof document === "undefined") {
+      return;
+    }
+    const misplaced = this.config.publicKey?.startsWith("cb_sk_") === true;
+    if (!this.config.secretKey && !misplaced) return;
+    console.warn(
+      "[connect-base-client] \uBE0C\uB77C\uC6B0\uC800\uC5D0\uC11C Secret Key(cb_sk_)\uB97C \uC4F0\uACE0 \uC788\uC2B5\uB2C8\uB2E4. \uD398\uC774\uC9C0\uB97C \uC5EC\uB294 \uB204\uAD6C\uB098 \uC774 \uD0A4\uB97C \uC77D\uC5B4 \uACC4\uC815 \uAD8C\uD55C\uC73C\uB85C API \uB97C \uD638\uCD9C\uD560 \uC218 \uC788\uC2B5\uB2C8\uB2E4. \uBE0C\uB77C\uC6B0\uC800\uC5D0\uB294 publicKey(cb_pk_)\uB9CC \uB123\uACE0 Secret Key \uB294 \uC11C\uBC84\uB098 CLI \uC5D0\uC11C\uB9CC \uC4F0\uC138\uC694. \uC774\uBBF8 \uBC30\uD3EC\uB410\uB2E4\uBA74 \uCF58\uC194\uC5D0\uC11C \uD0A4\uB97C \uD3D0\uAE30\uD558\uACE0 \uC0C8\uB85C \uBC1C\uAE09\uD558\uC138\uC694."
+    );
+  }
   warnIfUnsafePersistence() {
     if (typeof window === "undefined") return;
     if (this.config.persistence === "localStorage") {
@@ -13250,15 +13689,23 @@ var HttpClient = class {
         if (credential) {
           headers["X-Public-Key"] = credential;
         }
+        const cookieOnly = !this.config.refreshToken;
         const response = await withAbort(
-          fetch(`${this.config.baseUrl}/v1/auth/re-issue`, {
-            method: "POST",
-            headers,
-            credentials: "include",
-            signal
-          }),
+          fetch(
+            `${this.config.baseUrl}/v1/auth/re-issue${cookieOnly ? "?quiet=1" : ""}`,
+            {
+              method: "POST",
+              headers,
+              credentials: "include",
+              signal
+            }
+          ),
           signal
         );
+        if (cookieOnly && response.status === 204) {
+          failureKind = "permanent";
+          throw new Error("Token refresh failed (no session)");
+        }
         if (!response.ok) {
           const status = response.status;
           let oauthError;
@@ -14442,21 +14889,7 @@ var GameRoomTransport = class {
   }
   applyChange(change) {
     if (!this._state) return;
-    const path = change.path.split(".");
-    let current = this._state.state;
-    for (let i = 0; i < path.length - 1; i++) {
-      const key = path[i];
-      if (!(key in current)) {
-        current[key] = {};
-      }
-      current = current[key];
-    }
-    const lastKey = path[path.length - 1];
-    if (change.operation === "delete") {
-      delete current[lastKey];
-    } else {
-      current[lastKey] = change.value;
-    }
+    applyGameStateChange(this._state.state, change);
   }
   handlePlayerEvent(msg) {
     const player = {
@@ -14571,14 +15004,15 @@ var ConnectBase = class {
     this.endpoint = new EndpointAPI(this.http);
     this.support = new SupportAPI(this.http);
     this.auth._attachAnalytics(this.analytics);
+    const tokenCallback = typeof window !== "undefined" ? this.oauth.captureCallbackOnBoot() : "none";
     const shouldAutoRestore = config.autoRestoreSession ?? true;
     if (shouldAutoRestore && typeof window !== "undefined") {
-      if (this.isOAuthRedirectCallbackUrl()) {
+      if (tokenCallback === "redirect") {
         this.http.setBootRestorePromise(
           this.oauth.consumeRedirectCallbackOnBoot(),
           { alwaysAwait: true }
         );
-      } else if (!this.isOAuthCallbackUrl()) {
+      } else if (tokenCallback !== "popup" && !this.isOAuthCallbackUrl()) {
         this.http.setBootRestorePromise(
           this.http.tryRestoreSessionFromCookie()
         );
@@ -14586,34 +15020,19 @@ var ConnectBase = class {
     }
   }
   /**
-   * 현재 페이지가 OAuth 리다이렉트 콜백 페이지인지 판별.
+   * 현재 페이지가 앱이 직접 처리할 OAuth 콜백 페이지인지 판별.
    *
-   * `?access_token=...&refresh_token=...` (legacy 토큰-in-URL 흐름) 또는
-   * `?code=...` (OAUTH_CODE_ONLY 흐름) 또는 OAuth 에러 응답 (`?error=...&state=...`)
-   * 패턴이면 true. 콜백 페이지에서 일반 `autoRestoreSession` 을 건너뛰어 rotation race 를 피한다.
+   * `?code=...` (OAUTH_CODE_ONLY 흐름) 또는 OAuth 에러 응답 (`?error=...&state=...`) 패턴이면 true.
+   * 콜백 페이지에서 일반 `autoRestoreSession` 을 건너뛰어 rotation race 를 피한다. 토큰 콜백은
+   * 이미 주소에서 회수됐으므로 여기서 보지 않는다(`oauth.captureCallbackOnBoot`).
    */
   isOAuthCallbackUrl() {
     if (typeof window === "undefined" || !window.location) return false;
     const params = new URLSearchParams(window.location.search);
-    if (params.has("access_token") && params.has("refresh_token")) return true;
     if (params.has("code") && params.has("state")) return true;
     if (params.has("error") && params.has("state")) return true;
     return false;
   }
-  /**
-   * 현재 페이지가 토큰-in-URL OAuth 리다이렉트 콜백(팝업 아님)인지 판별.
-   *
-   * `?access_token=&refresh_token=` 이 있고 `window.opener` 가 없으면 true — 부팅 안전망
-   * (`oauth.consumeRedirectCallbackOnBoot`)으로 토큰을 자동 소비할 대상이다. 팝업 콜백
-   * (`window.opener` 존재)은 `getCallbackResult()` 의 postMessage 경로가 전담하므로 제외한다.
-   * code-only(`?code=`)·에러(`?error=`) 콜백도 제외(네트워크 교환/에러 분기는 앱이 명시 호출).
-   */
-  isOAuthRedirectCallbackUrl() {
-    if (typeof window === "undefined" || !window.location) return false;
-    if (window.opener) return false;
-    const params = new URLSearchParams(window.location.search);
-    return params.has("access_token") && params.has("refresh_token");
-  }
   /**
    * 새로고침/탭 재개 후 cookie 만으로 세션을 복원한다 (브라우저 전용).
    *