create-kontrolia-auth 2.3.0 → 2.4.0

package/README.md

@@ -17,11 +17,13 @@ Eso hace, en orden:
 3. **Base de datos** — dos caminos independientes:
    - _Ya tengo Supabase_ (Cloud o self-hosted): pegas URL + keys, sin Docker.
      Si es un proyecto Supabase Cloud, además ofrece **configurar
-     automáticamente** los dos ajustes que solo viven en su Dashboard —
-     exponer el schema `kontrolia_auth` en la API y activar el Custom Access
-     Token Hook — vía la Management API de Supabase (pide un Personal Access
-     Token de tu cuenta, distinto a las keys del proyecto; no se guarda). Si
-     lo saltas, muestra las instrucciones manuales exactas.
+     automáticamente** los tres ajustes que solo viven en su Dashboard —
+     exponer el schema `kontrolia_auth` en la API, activar el Custom Access
+     Token Hook, y activar el servidor OAuth 2.1 (para que apps de otros
+     dominios puedan iniciar sesión) — vía la Management API de Supabase
+     (pide un Personal Access Token de tu cuenta, distinto a las keys del
+     proyecto; no se guarda). Si lo saltas, muestra las instrucciones
+     manuales exactas para lo que falte.
    - _Crear uno nuevo self-hosted_: genera `docker/.env`, **levanta los
      contenedores por ti** (`docker compose up -d`) y aplica las migraciones
      en cuanto Postgres está listo.
@@ -49,11 +51,20 @@ pnpm --filter create-kontrolia-auth dev
 | `npx create-kontrolia-auth update`    | Descarga el código nuevo (`git pull`) sobre una copia ya instalada, instala dependencias, y aplica las migraciones nuevas. |
 | `npx create-kontrolia-auth deploy`    | Va directo al paso de despliegue (URLs, cliente OAuth, `.env.local`, creación automática en Vercel) sin repetir las preguntas de base de datos ni de aplicación — para cuando ya tienes todo corriendo y solo quieres (re)conectar auth-server o admin-panel a un nuevo destino. |
 | `npx create-kontrolia-auth migrate`   | Aplica/re-aplica las migraciones contra una base existente.                  |
+| `npx create-kontrolia-auth grant-admin <email>` | Otorga platform admin a un usuario ya registrado, directo contra la base de datos (connection string, sin pasar por login). Es el camino de recuperación cuando no hay ningún platform admin — por ejemplo si instalaste sobre un proyecto Supabase que ya tenía usuarios de otra app, y por eso el primer registro no se ascendió automáticamente. |
 | `npx create-kontrolia-auth doctor`    | Solo revisa que tengas Node, pnpm, git y Docker.                             |
 
 Las migraciones son **idempotentes** (solo tocan el schema `kontrolia_auth`), así
 que `migrate` es seguro de correr las veces que necesites.
 
+`grant-admin` usa el mismo modelo de confianza que `migrate`: quien tiene la
+connection string de Postgres ya puede hacer cualquier cosa en esa base de
+datos, así que no pasa por el login ni por el check de `is_platform_admin` de
+la app — por diseño, es la única vía que funciona cuando no hay ningún
+platform admin (la página "Platform admins" del admin-panel requiere ya serlo
+para poder usarla). Una vez que tengas al menos uno, agregar más se hace desde
+ahí, sin volver a tocar la terminal.
+
 `update` es para quien instaló con `npx create-kontrolia-auth mi-app` y ya
 tiene esa carpeta corriendo — no descarta cambios locales (se detiene si hay
 algo sin guardar) y solo avanza si puede hacer fast-forward sobre `origin/main`.

package/dist/index.js

@@ -1,6 +1,6 @@
 #!/usr/bin/env node
 import * as p from "@clack/prompts";
-import { migrate } from "@kontrolia/db";
+import { grantPlatformAdmin, migrate } from "@kontrolia/db";
 import { askApplicationStep } from "./steps/application.js";
 import { askDatabaseStep } from "./steps/database.js";
 import { askDeploymentStep } from "./steps/deployment.js";
@@ -42,6 +42,51 @@ async function runMigrateCommand() {
         process.exitCode = 1;
     p.outro(ok ? "Base de datos al día." : "Revisa la connection string y vuelve a intentar.");
 }
+/**
+ * `create-kontrolia-auth grant-admin <email>` — the break-glass recovery
+ * path for platform admins. The normal way to grant one (admin-panel's
+ * "Platform admins" page) requires already being a platform admin to call
+ * its API — which is exactly the problem when the automatic first-admin
+ * bootstrap didn't fire (e.g. installing onto an existing Supabase project
+ * that already had unrelated `auth.users` rows, so the "first user ever"
+ * check never matched) or a project ends up with zero admins some other
+ * way. This bypasses the app's authorization layer entirely, same trust
+ * model as `migrate`: whoever has the Postgres connection string can
+ * already do anything in that database.
+ */
+async function runGrantAdminCommand(email) {
+    console.clear();
+    p.intro("KontrolIA Auth — otorgar platform admin");
+    if (!email) {
+        p.log.error("Uso: npx create-kontrolia-auth grant-admin <email>");
+        p.outro("Falta el correo.");
+        process.exitCode = 1;
+        return;
+    }
+    const url = await p.text({
+        message: "Connection string de Postgres",
+        placeholder: "postgres://postgres:...@host:5432/postgres",
+    });
+    if (p.isCancel(url) || !url) {
+        p.cancel("Cancelado.");
+        process.exit(0);
+    }
+    const s = p.spinner();
+    s.start(`Buscando a ${email} y otorgando platform admin`);
+    try {
+        const result = await grantPlatformAdmin({ connectionString: url, email });
+        s.stop(result.alreadyGranted
+            ? `${result.email} ya era platform admin — nada que hacer.`
+            : `${result.email} ahora es platform admin.`);
+        p.outro("Listo. Si tenía una sesión abierta, debe cerrarla y volver a entrar para que el token nuevo lleve el claim.");
+    }
+    catch (error) {
+        s.stop("Falló");
+        p.log.error(error.message);
+        process.exitCode = 1;
+        p.outro("Revisa el correo y la connection string, y vuelve a intentar.");
+    }
+}
 /** `create-kontrolia-auth doctor` — just the requirements check. */
 async function runDoctor() {
     console.clear();
@@ -207,6 +252,8 @@ async function main() {
         return runUpdateCommand();
     if (first === "deploy")
         return runDeployCommand();
+    if (first === "grant-admin")
+        return runGrantAdminCommand(args[1]);
     // `create <dir>` / `install <dir>` / `<dir>` / (nothing) all reach install.
     const dir = first === "create" || first === "install" ? args[1] : first;
     return runInstall(dir);

package/dist/steps/database.d.ts.map

@@ -1 +1 @@
-{"version":3,"file":"database.d.ts","sourceRoot":"","sources":["../../src/steps/database.ts"],"names":[],"mappings":"AAOA,MAAM,WAAW,cAAc;IAC7B,IAAI,EAAE,UAAU,GAAG,iBAAiB,CAAC;IACrC,WAAW,EAAE,MAAM,CAAC;IACpB,WAAW,EAAE,MAAM,CAAC;IACpB,OAAO,EAAE,MAAM,CAAC;IAChB,cAAc,EAAE,MAAM,CAAC;CACxB;AAmDD;;;GAGG;AACH,wBAAsB,eAAe,CAAC,QAAQ,EAAE,MAAM,GAAG,OAAO,CAAC,cAAc,CAAC,CAiF/E"}
+{"version":3,"file":"database.d.ts","sourceRoot":"","sources":["../../src/steps/database.ts"],"names":[],"mappings":"AAOA,MAAM,WAAW,cAAc;IAC7B,IAAI,EAAE,UAAU,GAAG,iBAAiB,CAAC;IACrC,WAAW,EAAE,MAAM,CAAC;IACpB,WAAW,EAAE,MAAM,CAAC;IACpB,OAAO,EAAE,MAAM,CAAC;IAChB,cAAc,EAAE,MAAM,CAAC;CACxB;AA2DD;;;GAGG;AACH,wBAAsB,eAAe,CAAC,QAAQ,EAAE,MAAM,GAAG,OAAO,CAAC,cAAc,CAAC,CAwF/E"}

package/dist/steps/database.js

@@ -3,29 +3,30 @@ import { generateJwtSecret } from "../utils/secrets.js";
 import { generateSupabaseKeys } from "../utils/supabase-keys.js";
 import { writeEnvFile } from "../utils/files.js";
 import { textOrExit } from "../utils/prompts.js";
-import { addExposedSchema, enableCustomAccessTokenHook, extractProjectRef } from "../utils/supabase-management-api.js";
+import { addExposedSchema, enableCustomAccessTokenHook, enableOAuthServer, extractProjectRef } from "../utils/supabase-management-api.js";
 /**
- * Offers to configure the two Supabase Cloud dashboard-only settings
- * (exposed schemas + Custom Access Token Hook) via the Management API
- * instead of leaving them as manual steps — mirrors the Vercel deploy
- * automation: a separate, more powerful "Personal Access Token" (account
- * level, not the project's anon/service keys), captured with masked input
- * and never persisted. Only offered for Supabase Cloud URLs (self-hosted
- * projects and custom domains have no Management API to call). Returns
- * which parts actually succeeded so the caller can fall back to a manual
- * note for whichever one didn't.
+ * Offers to configure the three Supabase Cloud dashboard-only settings
+ * (exposed schemas, Custom Access Token Hook, OAuth 2.1 server) via the
+ * Management API instead of leaving them as manual steps — mirrors the
+ * Vercel deploy automation: a separate, more powerful "Personal Access
+ * Token" (account level, not the project's anon/service keys), captured
+ * with masked input and never persisted. Only offered for Supabase Cloud
+ * URLs (self-hosted projects and custom domains have no Management API to
+ * call). Returns which parts actually succeeded so the caller can fall back
+ * to a manual note for whichever one didn't.
  */
 async function tryAutoConfigureSupabaseCloud(supabaseUrl) {
     const projectRef = extractProjectRef(supabaseUrl);
     if (!projectRef)
-        return { schemaDone: false, hookDone: false };
+        return { schemaDone: false, hookDone: false, oauthServerDone: false };
     const auto = await p.confirm({
-        message: "¿Quieres que configure automáticamente el schema expuesto y el Custom Access Token Hook en tu proyecto Supabase? " +
+        message: "¿Quieres que configure automáticamente el schema expuesto, el Custom Access Token Hook, y el servidor OAuth 2.1 " +
+            "(necesario para que otras apps de dominios distintos inicien sesión) en tu proyecto Supabase? " +
             "Necesito un Personal Access Token de tu cuenta Supabase (distinto a las keys del proyecto que ya diste).",
         initialValue: true,
     });
     if (p.isCancel(auto) || !auto)
-        return { schemaDone: false, hookDone: false };
+        return { schemaDone: false, hookDone: false, oauthServerDone: false };
     p.note("1. Entra a supabase.com/dashboard/account/tokens\n" +
         '2. Dale click a "Generate new token"\n' +
         "3. Ponle un nombre, confirma y cópialo (solo se ve una vez)\n" +
@@ -35,7 +36,7 @@ async function tryAutoConfigureSupabaseCloud(supabaseUrl) {
         validate: (value) => (value.trim() ? undefined : "Requerido"),
     });
     if (p.isCancel(managementToken))
-        return { schemaDone: false, hookDone: false };
+        return { schemaDone: false, hookDone: false, oauthServerDone: false };
     const schemaSpinner = p.spinner();
     schemaSpinner.start("Exponiendo el schema kontrolia_auth en la API de datos");
     const schemaResult = await addExposedSchema(managementToken, projectRef, "kontrolia_auth");
@@ -44,7 +45,11 @@ async function tryAutoConfigureSupabaseCloud(supabaseUrl) {
     hookSpinner.start("Activando el Custom Access Token Hook");
     const hookResult = await enableCustomAccessTokenHook(managementToken, projectRef);
     hookSpinner.stop(hookResult.ok ? "Hook activado" : `Falló: ${hookResult.error}`);
-    return { schemaDone: schemaResult.ok, hookDone: hookResult.ok };
+    const oauthSpinner = p.spinner();
+    oauthSpinner.start("Activando el servidor OAuth 2.1");
+    const oauthResult = await enableOAuthServer(managementToken, projectRef);
+    oauthSpinner.stop(oauthResult.ok ? "Servidor OAuth 2.1 activado" : `Falló: ${oauthResult.error}`);
+    return { schemaDone: schemaResult.ok, hookDone: hookResult.ok, oauthServerDone: oauthResult.ok };
 }
 /**
  * Question A from the architecture plan: where does Postgres + GoTrue come
@@ -75,8 +80,8 @@ export async function askDatabaseStep(repoRoot) {
         const anonKey = await textOrExit("Anon/public key");
         const serviceRoleKey = await textOrExit("Service role key (server-only, nunca la expongas al navegador)");
         const databaseUrl = await textOrExit("Connection string de Postgres", "postgres://postgres:...@db.tu-proyecto.supabase.co:5432/postgres");
-        const { schemaDone, hookDone } = await tryAutoConfigureSupabaseCloud(supabaseUrl);
-        if (!schemaDone || !hookDone) {
+        const { schemaDone, hookDone, oauthServerDone } = await tryAutoConfigureSupabaseCloud(supabaseUrl);
+        if (!schemaDone || !hookDone || !oauthServerDone) {
             const pending = [];
             if (!hookDone)
                 pending.push("Authentication → Hooks → activa kontrolia_auth.custom_access_token_hook.");
@@ -84,6 +89,11 @@ export async function askDatabaseStep(repoRoot) {
                 pending.push("Project Settings → Data API → en \"Exposed schemas\" agrega kontrolia_auth (queda como: public, graphql_public, kontrolia_auth). " +
                     "Sin esto, crear una organización u otras operaciones fallan con \"Invalid schema: kontrolia_auth\".");
             }
+            if (!oauthServerDone) {
+                pending.push("Servidor OAuth 2.1 (necesario para que otras apps de dominios distintos inicien sesión): actívalo desde el Dashboard si ya " +
+                    "tiene el toggle disponible (función en beta) — sin él, el registro de clientes OAuth y el login desde otros dominios fallan " +
+                    'con "OAuth server is disabled".');
+            }
             p.note("Si tu proyecto es Supabase Cloud (o self-hosted fuera de nuestro docker-compose), estos ajustes solo se pueden hacer " +
                 "desde el Dashboard — la API de Supabase no los expone del todo:\n\n" +
                 pending.map((line, i) => `${i + 1}. ${line}`).join("\n"), pending.length > 1 ? "Pasos manuales pendientes" : "Paso manual pendiente");

package/dist/utils/supabase-management-api.d.ts

@@ -25,4 +25,16 @@ export declare function addExposedSchema(token: string, projectRef: string, sche
  * is always named "postgres", so the pg-functions:// URI is fixed.
  */
 export declare function enableCustomAccessTokenHook(token: string, projectRef: string): Promise<ManagementApiResult>;
+/**
+ * Enables GoTrue's OAuth 2.1 authorization server — what makes cross-domain
+ * SSO possible (admin-panel exchanging a PKCE code for its own session
+ * instead of relying on a shared cookie). Without this, registering an OAuth
+ * client during install/deploy silently fails with
+ * `{"error_code":"feature_disabled","msg":"OAuth server is disabled"}`, and
+ * any third-party app trying to log in via the OAuth flow hits the same
+ * error. The API rejects `oauth_server_enabled` unless
+ * `oauth_server_authorization_path` is sent in the same request, even though
+ * conceptually it's just an on/off toggle.
+ */
+export declare function enableOAuthServer(token: string, projectRef: string): Promise<ManagementApiResult>;
 //# sourceMappingURL=supabase-management-api.d.ts.map

package/dist/utils/supabase-management-api.d.ts.map

@@ -1 +1 @@
-{"version":3,"file":"supabase-management-api.d.ts","sourceRoot":"","sources":["../../src/utils/supabase-management-api.ts"],"names":[],"mappings":"AAEA,MAAM,WAAW,mBAAmB;IAClC,EAAE,EAAE,OAAO,CAAC;IACZ,qCAAqC;IACrC,KAAK,CAAC,EAAE,MAAM,CAAC;CAChB;AAED;;;;;GAKG;AACH,wBAAgB,iBAAiB,CAAC,WAAW,EAAE,MAAM,GAAG,MAAM,GAAG,IAAI,CAGpE;AASD;;;;;;GAMG;AACH,wBAAsB,gBAAgB,CAAC,KAAK,EAAE,MAAM,EAAE,UAAU,EAAE,MAAM,EAAE,MAAM,EAAE,MAAM,GAAG,OAAO,CAAC,mBAAmB,CAAC,CA+BtH;AAED;;;;;GAKG;AACH,wBAAsB,2BAA2B,CAAC,KAAK,EAAE,MAAM,EAAE,UAAU,EAAE,MAAM,GAAG,OAAO,CAAC,mBAAmB,CAAC,CAgBjH"}
+{"version":3,"file":"supabase-management-api.d.ts","sourceRoot":"","sources":["../../src/utils/supabase-management-api.ts"],"names":[],"mappings":"AAIA,MAAM,WAAW,mBAAmB;IAClC,EAAE,EAAE,OAAO,CAAC;IACZ,qCAAqC;IACrC,KAAK,CAAC,EAAE,MAAM,CAAC;CAChB;AAED;;;;;GAKG;AACH,wBAAgB,iBAAiB,CAAC,WAAW,EAAE,MAAM,GAAG,MAAM,GAAG,IAAI,CAGpE;AASD;;;;;;GAMG;AACH,wBAAsB,gBAAgB,CAAC,KAAK,EAAE,MAAM,EAAE,UAAU,EAAE,MAAM,EAAE,MAAM,EAAE,MAAM,GAAG,OAAO,CAAC,mBAAmB,CAAC,CA+BtH;AAED;;;;;GAKG;AACH,wBAAsB,2BAA2B,CAAC,KAAK,EAAE,MAAM,EAAE,UAAU,EAAE,MAAM,GAAG,OAAO,CAAC,mBAAmB,CAAC,CAgBjH;AAED;;;;;;;;;;GAUG;AACH,wBAAsB,iBAAiB,CAAC,KAAK,EAAE,MAAM,EAAE,UAAU,EAAE,MAAM,GAAG,OAAO,CAAC,mBAAmB,CAAC,CAgBvG"}

package/dist/utils/supabase-management-api.js

@@ -1,4 +1,6 @@
 const CUSTOM_ACCESS_TOKEN_HOOK_URI = "pg-functions://postgres/kontrolia_auth/custom_access_token_hook";
+/** GoTrue's internal route for the OAuth 2.1 authorization endpoint — the API rejects oauth_server_enabled without it. */
+const OAUTH_SERVER_AUTHORIZATION_PATH = "/oauth/authorize";
 /**
  * Extracts the project ref (subdomain) from a Supabase Cloud URL, e.g.
  * "https://abcxyz.supabase.co" -> "abcxyz". Returns null for anything else
@@ -82,3 +84,33 @@ export async function enableCustomAccessTokenHook(token, projectRef) {
     const body = (await res.json().catch(() => null));
     return { ok: false, error: body?.message ?? `HTTP ${res.status}` };
 }
+/**
+ * Enables GoTrue's OAuth 2.1 authorization server — what makes cross-domain
+ * SSO possible (admin-panel exchanging a PKCE code for its own session
+ * instead of relying on a shared cookie). Without this, registering an OAuth
+ * client during install/deploy silently fails with
+ * `{"error_code":"feature_disabled","msg":"OAuth server is disabled"}`, and
+ * any third-party app trying to log in via the OAuth flow hits the same
+ * error. The API rejects `oauth_server_enabled` unless
+ * `oauth_server_authorization_path` is sent in the same request, even though
+ * conceptually it's just an on/off toggle.
+ */
+export async function enableOAuthServer(token, projectRef) {
+    let res;
+    try {
+        res = await managementApiFetch(`/projects/${projectRef}/config/auth`, token, {
+            method: "PATCH",
+            body: JSON.stringify({
+                oauth_server_enabled: true,
+                oauth_server_authorization_path: OAUTH_SERVER_AUTHORIZATION_PATH,
+            }),
+        });
+    }
+    catch (error) {
+        return { ok: false, error: error.message };
+    }
+    if (res.ok)
+        return { ok: true };
+    const body = (await res.json().catch(() => null));
+    return { ok: false, error: body?.message ?? `HTTP ${res.status}` };
+}

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "create-kontrolia-auth",
-  "version": "2.3.0",
+  "version": "2.4.0",
   "license": "MIT",
   "description": "Turnkey installer for KontrolIA Auth. `npx create-kontrolia-auth mi-app` checks requirements, downloads the repo, installs deps, and runs a wizard: (1) connect to an existing Supabase project or create a new self-hosted one via Docker; (2) where to deploy auth-server/admin-panel (Docker, Vercel, Railway, Render, Coolify). Also exposes `update`, `migrate` and `doctor` subcommands.",
   "keywords": [
@@ -35,7 +35,7 @@
   "dependencies": {
     "@clack/prompts": "^0.9.1",
     "jose": "^5.9.6",
-    "@kontrolia/db": "2.0.0"
+    "@kontrolia/db": "2.1.0"
   },
   "devDependencies": {
     "@types/node": "^22.10.2",