emilsoftware-utilities 2.0.0-dev.8 → 2.0.0-dev.80

package/dist/accessi-module/security/jwksBootstrap.js.map

@@ -0,0 +1 @@
+{"version":3,"file":"jwksBootstrap.js","sourceRoot":"","sources":["../../../src/accessi-module/security/jwksBootstrap.ts"],"names":[],"mappings":";;;;;;;;;;;;;;;AAAA,2CAAkE;AAClE,uCAA+C;AAE/C,iCAA0C;AAG1C;;;;;GAKG;AAEI,IAAM,2BAA2B,GAAjC,MAAM,2BAA2B;IACtC,YAC8C,OAAuB,EAClD,WAA4B;QADD,YAAO,GAAP,OAAO,CAAgB;QAClD,gBAAW,GAAX,WAAW,CAAiB;IAC5C,CAAC;IAEJ,YAAY;;QACV,MAAM,QAAQ,GAAY,MAAA,MAAA,IAAI,CAAC,WAAW,CAAC,WAAW,0CAAE,WAAW,kDAAI,CAAC;QACxE,IAAI,QAAQ,IAAI,OAAQ,QAAkC,CAAC,GAAG,KAAK,UAAU,EAAE,CAAC;YAC9E,IAAA,uBAAgB,EAAC,QAAiC,EAAE,IAAI,CAAC,OAAO,CAAC,CAAC;QACpE,CAAC;IACH,CAAC;CACF,CAAA;AAZY,kEAA2B;sCAA3B,2BAA2B;IADvC,IAAA,mBAAU,GAAE;IAGR,WAAA,IAAA,eAAM,EAAC,iBAAiB,CAAC,CAAA;6CACI,sBAAe;GAHpC,2BAA2B,CAYvC","sourcesContent":["import { Inject, Injectable, OnModuleInit } from '@nestjs/common';\nimport { HttpAdapterHost } from '@nestjs/core';\nimport type { AccessiOptions } from '../AccessiModule';\nimport { setupAccessiJwks } from './jwks';\nimport type { AccessiJwksExpressApp } from './jwks';\n\n/**\n * Monta automaticamente la JWKS sull'Express adapter di Nest.\n *\n * Serve sia ai bootstrap standalone sia a `AccessiModule.forRoot` in un'app\n * Nest ospitante, senza richiedere una chiamata manuale a `setupAccessiJwks`.\n */\n@Injectable()\nexport class AccessiJwksBootstrapService implements OnModuleInit {\n  constructor(\n    @Inject('ACCESSI_OPTIONS') private readonly options: AccessiOptions,\n    private readonly adapterHost: HttpAdapterHost,\n  ) {}\n\n  onModuleInit(): void {\n    const instance: unknown = this.adapterHost.httpAdapter?.getInstance?.();\n    if (instance && typeof (instance as AccessiJwksExpressApp).get === 'function') {\n      setupAccessiJwks(instance as AccessiJwksExpressApp, this.options);\n    }\n  }\n}\n"]}

package/dist/accessi-module/security/jwtTokenOptions.d.ts

@@ -0,0 +1,57 @@
+import * as jwt from "jsonwebtoken";
+import type { AccessiOptions } from "../AccessiModule";
+import type { AccessiJwtPurpose } from "./passwordResetToken";
+/** Algoritmi supportati per gli access token Accessi. */
+export type AccessiAccessTokenAlgorithm = "HS256" | "HS384" | "HS512" | "RS256" | "RS384" | "RS512" | "ES256" | "ES384" | "ES512";
+/**
+ * Evento emesso quando un token presenta un `kid` che non appartiene né alla
+ * chiave corrente né alle chiavi precedenti configurate.
+ *
+ * Serve per collegare un alert operativo (log, metrica, webhook) senza
+ * accoppiare il modulo a uno specifico sistema di monitoraggio.
+ */
+export interface AccessiUnknownKeyIdEvent {
+    keyId: string;
+    algorithm?: string;
+    /** `access` o `refresh`, per distinguere i token coinvolti. */
+    purpose: AccessiJwtPurpose;
+}
+/** Configurazione di verifica con chiave corrente, chiavi precedenti e alert. */
+export interface AccessiJwtVerificationConfig {
+    /** Chiave corrente. Resta il campo principale per i consumer esistenti. */
+    key: jwt.Secret;
+    verifyOptions: jwt.VerifyOptions;
+    /** Chiavi indicizzate per `kid`: la corrente vince sulle precedenti. */
+    keysByKeyId: ReadonlyMap<string, jwt.Secret>;
+    /** Chiavi provate per i token legacy privi di `kid`, corrente per prima. */
+    fallbackKeys: readonly jwt.Secret[];
+    purpose: AccessiJwtPurpose;
+    onUnknownKeyId?: (event: AccessiUnknownKeyIdEvent) => void;
+}
+/**
+ * Chiavi da provare per un token.
+ *
+ * Un `kid` noto seleziona una sola chiave: non si ricade sulle altre, così un
+ * token con intestazione manomessa non viene verificato per tentativi.
+ */
+export declare function resolveAccessiVerificationKeys(config: AccessiJwtVerificationConfig, token: string): readonly jwt.Secret[];
+/**
+ * Verifica un JWT Accessi con la chiave corretta (corrente o precedente).
+ *
+ * Lancia l'errore di `jsonwebtoken` quando nessuna chiave candidata verifica il
+ * token; per un `kid` sconosciuto lancia un errore dedicato dopo aver emesso
+ * l'evento di alert.
+ */
+export declare function verifyAccessiJwt(token: string, config: AccessiJwtVerificationConfig): unknown;
+export declare function getAccessiAccessTokenSigningConfig(options: AccessiOptions): {
+    key: jwt.Secret;
+    algorithm: AccessiAccessTokenAlgorithm;
+    signOptions: Pick<jwt.SignOptions, "issuer" | "audience" | "keyid">;
+};
+export declare function getAccessiAccessTokenVerificationConfig(options: AccessiOptions): AccessiJwtVerificationConfig;
+export declare function getAccessiRefreshTokenSigningConfig(options: AccessiOptions): {
+    key: jwt.Secret;
+    algorithm: AccessiAccessTokenAlgorithm;
+    signOptions: Pick<jwt.SignOptions, "issuer" | "audience" | "keyid">;
+};
+export declare function getAccessiRefreshTokenVerificationConfig(options: AccessiOptions): AccessiJwtVerificationConfig;

package/dist/accessi-module/security/jwtTokenOptions.js

@@ -0,0 +1,173 @@
+"use strict";
+var __createBinding = (this && this.__createBinding) || (Object.create ? (function(o, m, k, k2) {
+    if (k2 === undefined) k2 = k;
+    var desc = Object.getOwnPropertyDescriptor(m, k);
+    if (!desc || ("get" in desc ? !m.__esModule : desc.writable || desc.configurable)) {
+      desc = { enumerable: true, get: function() { return m[k]; } };
+    }
+    Object.defineProperty(o, k2, desc);
+}) : (function(o, m, k, k2) {
+    if (k2 === undefined) k2 = k;
+    o[k2] = m[k];
+}));
+var __setModuleDefault = (this && this.__setModuleDefault) || (Object.create ? (function(o, v) {
+    Object.defineProperty(o, "default", { enumerable: true, value: v });
+}) : function(o, v) {
+    o["default"] = v;
+});
+var __importStar = (this && this.__importStar) || (function () {
+    var ownKeys = function(o) {
+        ownKeys = Object.getOwnPropertyNames || function (o) {
+            var ar = [];
+            for (var k in o) if (Object.prototype.hasOwnProperty.call(o, k)) ar[ar.length] = k;
+            return ar;
+        };
+        return ownKeys(o);
+    };
+    return function (mod) {
+        if (mod && mod.__esModule) return mod;
+        var result = {};
+        if (mod != null) for (var k = ownKeys(mod), i = 0; i < k.length; i++) if (k[i] !== "default") __createBinding(result, mod, k[i]);
+        __setModuleDefault(result, mod);
+        return result;
+    };
+})();
+Object.defineProperty(exports, "__esModule", { value: true });
+exports.resolveAccessiVerificationKeys = resolveAccessiVerificationKeys;
+exports.verifyAccessiJwt = verifyAccessiJwt;
+exports.getAccessiAccessTokenSigningConfig = getAccessiAccessTokenSigningConfig;
+exports.getAccessiAccessTokenVerificationConfig = getAccessiAccessTokenVerificationConfig;
+exports.getAccessiRefreshTokenSigningConfig = getAccessiRefreshTokenSigningConfig;
+exports.getAccessiRefreshTokenVerificationConfig = getAccessiRefreshTokenVerificationConfig;
+const jwt = __importStar(require("jsonwebtoken"));
+const passwordResetToken_1 = require("./passwordResetToken");
+const metrics_1 = require("../observability/metrics");
+const audit_1 = require("./audit");
+function resolveAlgorithm(options) {
+    var _a;
+    return (_a = options.jwtOptions.algorithm) !== null && _a !== void 0 ? _a : "HS256";
+}
+/** Configurazione di firma: chiave, algoritmo e claim standard. */
+function getTokenSigningConfig(options, purpose) {
+    const algorithm = resolveAlgorithm(options);
+    const key = algorithm.startsWith("HS")
+        ? (0, passwordResetToken_1.getAccessiJwtSecret)(options, purpose)
+        : options.jwtOptions.privateKey;
+    if (!key) {
+        throw new Error(`jwtOptions.privateKey e obbligatoria per l'algoritmo ${algorithm}.`);
+    }
+    return {
+        key,
+        algorithm,
+        signOptions: Object.assign(Object.assign(Object.assign({}, (options.jwtOptions.issuer ? { issuer: options.jwtOptions.issuer } : {})), (options.jwtOptions.audience
+            ? { audience: options.jwtOptions.audience }
+            : {})), (options.jwtOptions.keyId ? { keyid: options.jwtOptions.keyId } : {})),
+    };
+}
+/**
+ * Configurazione di verifica.
+ *
+ * Con algoritmi asimmetrici accetta anche le chiavi precedenti: un token
+ * firmato prima di una rotazione resta valido finché la sua chiave pubblica
+ * compare in `previousPublicKeys`. I token legacy senza `kid` vengono provati
+ * su tutte le chiavi candidate, la corrente per prima.
+ */
+function getTokenVerificationConfig(options, purpose) {
+    var _a, _b, _c;
+    const algorithm = resolveAlgorithm(options);
+    const key = algorithm.startsWith("HS")
+        ? (0, passwordResetToken_1.getAccessiJwtSecret)(options, purpose)
+        : ((_a = options.jwtOptions.publicKey) !== null && _a !== void 0 ? _a : options.jwtOptions.privateKey);
+    if (!key) {
+        throw new Error(`jwtOptions.publicKey e obbligatoria per verificare token ${algorithm}.`);
+    }
+    const algorithms = new Set([algorithm]);
+    const keysByKeyId = new Map();
+    const fallbackKeys = [key];
+    if (options.jwtOptions.keyId) {
+        keysByKeyId.set(options.jwtOptions.keyId, key);
+    }
+    if (!algorithm.startsWith("HS")) {
+        for (const previous of (_b = options.jwtOptions.previousPublicKeys) !== null && _b !== void 0 ? _b : []) {
+            const previousAlgorithm = (_c = previous.algorithm) !== null && _c !== void 0 ? _c : algorithm;
+            algorithms.add(previousAlgorithm);
+            fallbackKeys.push(previous.publicKey);
+            if (previous.keyId && !keysByKeyId.has(previous.keyId)) {
+                keysByKeyId.set(previous.keyId, previous.publicKey);
+            }
+        }
+    }
+    return Object.assign({ key, verifyOptions: Object.assign(Object.assign({ algorithms: [...algorithms] }, (options.jwtOptions.issuer ? { issuer: options.jwtOptions.issuer } : {})), (options.jwtOptions.audience
+            ? { audience: options.jwtOptions.audience }
+            : {})), keysByKeyId,
+        fallbackKeys,
+        purpose }, (options.jwtOptions.onUnknownKeyId
+        ? { onUnknownKeyId: options.jwtOptions.onUnknownKeyId }
+        : {}));
+}
+function readTokenHeader(token) {
+    const decoded = jwt.decode(token, { complete: true });
+    if (!decoded || typeof decoded === "string" || !decoded.header)
+        return {};
+    const header = decoded.header;
+    return Object.assign(Object.assign({}, (typeof header.kid === "string" && header.kid !== "" ? { keyId: header.kid } : {})), (typeof header.alg === "string" ? { algorithm: header.alg } : {}));
+}
+/**
+ * Chiavi da provare per un token.
+ *
+ * Un `kid` noto seleziona una sola chiave: non si ricade sulle altre, così un
+ * token con intestazione manomessa non viene verificato per tentativi.
+ */
+function resolveAccessiVerificationKeys(config, token) {
+    var _a, _b;
+    const header = readTokenHeader(token);
+    // Con HMAC il kid non partecipa alla crittografia: un kid cambiato non deve
+    // invalidare token firmati con lo stesso segreto.
+    const hmacOnly = ((_a = config.verifyOptions.algorithms) !== null && _a !== void 0 ? _a : []).every((algorithm) => String(algorithm).startsWith("HS"));
+    if (!header.keyId || hmacOnly)
+        return config.fallbackKeys;
+    const key = config.keysByKeyId.get(header.keyId);
+    if (key)
+        return [key];
+    (_b = config.onUnknownKeyId) === null || _b === void 0 ? void 0 : _b.call(config, Object.assign(Object.assign({ keyId: header.keyId }, (header.algorithm ? { algorithm: header.algorithm } : {})), { purpose: config.purpose }));
+    (0, metrics_1.recordAccessiMetric)('accessi_jwt_unknown_key_id_total', 1, Object.assign({ purpose: config.purpose }, (header.algorithm ? { algorithm: header.algorithm } : {})));
+    (0, audit_1.auditAccessi)('jwt_unknown_key_id', Object.assign({ kid: header.keyId, purpose: config.purpose }, (header.algorithm ? { algorithm: header.algorithm } : {})));
+    return [];
+}
+/**
+ * Verifica un JWT Accessi con la chiave corretta (corrente o precedente).
+ *
+ * Lancia l'errore di `jsonwebtoken` quando nessuna chiave candidata verifica il
+ * token; per un `kid` sconosciuto lancia un errore dedicato dopo aver emesso
+ * l'evento di alert.
+ */
+function verifyAccessiJwt(token, config) {
+    const keys = resolveAccessiVerificationKeys(config, token);
+    if (keys.length === 0) {
+        const { keyId } = readTokenHeader(token);
+        throw new Error(`Chiave JWT sconosciuta per kid "${keyId !== null && keyId !== void 0 ? keyId : "assente"}".`);
+    }
+    let lastError;
+    for (const key of keys) {
+        try {
+            return jwt.verify(token, key, config.verifyOptions);
+        }
+        catch (error) {
+            lastError = error;
+        }
+    }
+    throw lastError instanceof Error ? lastError : new Error("Token JWT non valido.");
+}
+function getAccessiAccessTokenSigningConfig(options) {
+    return getTokenSigningConfig(options, "access");
+}
+function getAccessiAccessTokenVerificationConfig(options) {
+    return getTokenVerificationConfig(options, "access");
+}
+function getAccessiRefreshTokenSigningConfig(options) {
+    return getTokenSigningConfig(options, "refresh");
+}
+function getAccessiRefreshTokenVerificationConfig(options) {
+    return getTokenVerificationConfig(options, "refresh");
+}
+//# sourceMappingURL=jwtTokenOptions.js.map

package/dist/accessi-module/security/jwtTokenOptions.js.map

@@ -0,0 +1 @@
+{"version":3,"file":"jwtTokenOptions.js","sourceRoot":"","sources":["../../../src/accessi-module/security/jwtTokenOptions.ts"],"names":[],"mappings":";;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;AA6JA,wEA8BC;AASD,4CAiBC;AAED,gFAEC;AAED,0FAEC;AAED,kFAEC;AAED,4FAEC;AArOD,kDAAoC;AAEpC,6DAA2D;AAE3D,sDAA+D;AAC/D,mCAAuC;AAyCvC,SAAS,gBAAgB,CAAC,OAAuB;;IAC/C,OAAO,MAAA,OAAO,CAAC,UAAU,CAAC,SAAS,mCAAI,OAAO,CAAC;AACjD,CAAC;AAED,mEAAmE;AACnE,SAAS,qBAAqB,CAC5B,OAAuB,EACvB,OAA0B;IAM1B,MAAM,SAAS,GAAG,gBAAgB,CAAC,OAAO,CAAC,CAAC;IAC5C,MAAM,GAAG,GAAG,SAAS,CAAC,UAAU,CAAC,IAAI,CAAC;QACpC,CAAC,CAAC,IAAA,wCAAmB,EAAC,OAAO,EAAE,OAAO,CAAC;QACvC,CAAC,CAAC,OAAO,CAAC,UAAU,CAAC,UAAU,CAAC;IAElC,IAAI,CAAC,GAAG,EAAE,CAAC;QACT,MAAM,IAAI,KAAK,CAAC,wDAAwD,SAAS,GAAG,CAAC,CAAC;IACxF,CAAC;IAED,OAAO;QACL,GAAG;QACH,SAAS;QACT,WAAW,gDACN,CAAC,OAAO,CAAC,UAAU,CAAC,MAAM,CAAC,CAAC,CAAC,EAAE,MAAM,EAAE,OAAO,CAAC,UAAU,CAAC,MAAM,EAAE,CAAC,CAAC,CAAC,EAAE,CAAC,GACxE,CAAC,OAAO,CAAC,UAAU,CAAC,QAAQ;YAC7B,CAAC,CAAC,EAAE,QAAQ,EAAE,OAAO,CAAC,UAAU,CAAC,QAAuC,EAAE;YAC1E,CAAC,CAAC,EAAE,CAAC,GACJ,CAAC,OAAO,CAAC,UAAU,CAAC,KAAK,CAAC,CAAC,CAAC,EAAE,KAAK,EAAE,OAAO,CAAC,UAAU,CAAC,KAAK,EAAE,CAAC,CAAC,CAAC,EAAE,CAAC,CACzE;KACF,CAAC;AACJ,CAAC;AAED;;;;;;;GAOG;AACH,SAAS,0BAA0B,CACjC,OAAuB,EACvB,OAA0B;;IAE1B,MAAM,SAAS,GAAG,gBAAgB,CAAC,OAAO,CAAC,CAAC;IAC5C,MAAM,GAAG,GAAG,SAAS,CAAC,UAAU,CAAC,IAAI,CAAC;QACpC,CAAC,CAAC,IAAA,wCAAmB,EAAC,OAAO,EAAE,OAAO,CAAC;QACvC,CAAC,CAAC,CAAC,MAAA,OAAO,CAAC,UAAU,CAAC,SAAS,mCAAI,OAAO,CAAC,UAAU,CAAC,UAAU,CAAC,CAAC;IAEpE,IAAI,CAAC,GAAG,EAAE,CAAC;QACT,MAAM,IAAI,KAAK,CACb,4DAA4D,SAAS,GAAG,CACzE,CAAC;IACJ,CAAC;IAED,MAAM,UAAU,GAAG,IAAI,GAAG,CAAS,CAAC,SAAS,CAAC,CAAC,CAAC;IAChD,MAAM,WAAW,GAAG,IAAI,GAAG,EAAsB,CAAC;IAClD,MAAM,YAAY,GAAiB,CAAC,GAAG,CAAC,CAAC;IAEzC,IAAI,OAAO,CAAC,UAAU,CAAC,KAAK,EAAE,CAAC;QAC7B,WAAW,CAAC,GAAG,CAAC,OAAO,CAAC,UAAU,CAAC,KAAK,EAAE,GAAG,CAAC,CAAC;IACjD,CAAC;IAED,IAAI,CAAC,SAAS,CAAC,UAAU,CAAC,IAAI,CAAC,EAAE,CAAC;QAChC,KAAK,MAAM,QAAQ,IAAI,MAAA,OAAO,CAAC,UAAU,CAAC,kBAAkB,mCAAI,EAAE,EAAE,CAAC;YACnE,MAAM,iBAAiB,GAAG,MAAA,QAAQ,CAAC,SAAS,mCAAI,SAAS,CAAC;YAC1D,UAAU,CAAC,GAAG,CAAC,iBAAiB,CAAC,CAAC;YAClC,YAAY,CAAC,IAAI,CAAC,QAAQ,CAAC,SAAS,CAAC,CAAC;YACtC,IAAI,QAAQ,CAAC,KAAK,IAAI,CAAC,WAAW,CAAC,GAAG,CAAC,QAAQ,CAAC,KAAK,CAAC,EAAE,CAAC;gBACvD,WAAW,CAAC,GAAG,CAAC,QAAQ,CAAC,KAAK,EAAE,QAAQ,CAAC,SAAS,CAAC,CAAC;YACtD,CAAC;QACH,CAAC;IACH,CAAC;IAED,uBACE,GAAG,EACH,aAAa,gCACX,UAAU,EAAE,CAAC,GAAG,UAAU,CAAoB,IAC3C,CAAC,OAAO,CAAC,UAAU,CAAC,MAAM,CAAC,CAAC,CAAC,EAAE,MAAM,EAAE,OAAO,CAAC,UAAU,CAAC,MAAM,EAAE,CAAC,CAAC,CAAC,EAAE,CAAC,GACxE,CAAC,OAAO,CAAC,UAAU,CAAC,QAAQ;YAC7B,CAAC,CAAC,EAAE,QAAQ,EAAE,OAAO,CAAC,UAAU,CAAC,QAAyC,EAAE;YAC5E,CAAC,CAAC,EAAE,CAAC,GAET,WAAW;QACX,YAAY;QACZ,OAAO,IACJ,CAAC,OAAO,CAAC,UAAU,CAAC,cAAc;QACnC,CAAC,CAAC,EAAE,cAAc,EAAE,OAAO,CAAC,UAAU,CAAC,cAAc,EAAE;QACvD,CAAC,CAAC,EAAE,CAAC,EACP;AACJ,CAAC;AAED,SAAS,eAAe,CAAC,KAAa;IACpC,MAAM,OAAO,GAAG,GAAG,CAAC,MAAM,CAAC,KAAK,EAAE,EAAE,QAAQ,EAAE,IAAI,EAAE,CAAC,CAAC;IACtD,IAAI,CAAC,OAAO,IAAI,OAAO,OAAO,KAAK,QAAQ,IAAI,CAAC,OAAO,CAAC,MAAM;QAAE,OAAO,EAAE,CAAC;IAC1E,MAAM,MAAM,GAAG,OAAO,CAAC,MAA0C,CAAC;IAClE,uCACK,CAAC,OAAO,MAAM,CAAC,GAAG,KAAK,QAAQ,IAAI,MAAM,CAAC,GAAG,KAAK,EAAE,CAAC,CAAC,CAAC,EAAE,KAAK,EAAE,MAAM,CAAC,GAAG,EAAE,CAAC,CAAC,CAAC,EAAE,CAAC,GAClF,CAAC,OAAO,MAAM,CAAC,GAAG,KAAK,QAAQ,CAAC,CAAC,CAAC,EAAE,SAAS,EAAE,MAAM,CAAC,GAAG,EAAE,CAAC,CAAC,CAAC,EAAE,CAAC,EACpE;AACJ,CAAC;AAED;;;;;GAKG;AACH,SAAgB,8BAA8B,CAC5C,MAAoC,EACpC,KAAa;;IAEb,MAAM,MAAM,GAAG,eAAe,CAAC,KAAK,CAAC,CAAC;IACtC,4EAA4E;IAC5E,kDAAkD;IAClD,MAAM,QAAQ,GAAG,CAAC,MAAA,MAAM,CAAC,aAAa,CAAC,UAAU,mCAAI,EAAE,CAAC,CAAC,KAAK,CAAC,CAAC,SAAS,EAAE,EAAE,CAC3E,MAAM,CAAC,SAAS,CAAC,CAAC,UAAU,CAAC,IAAI,CAAC,CACnC,CAAC;IACF,IAAI,CAAC,MAAM,CAAC,KAAK,IAAI,QAAQ;QAAE,OAAO,MAAM,CAAC,YAAY,CAAC;IAE1D,MAAM,GAAG,GAAG,MAAM,CAAC,WAAW,CAAC,GAAG,CAAC,MAAM,CAAC,KAAK,CAAC,CAAC;IACjD,IAAI,GAAG;QAAE,OAAO,CAAC,GAAG,CAAC,CAAC;IAEtB,MAAA,MAAM,CAAC,cAAc,qFACnB,KAAK,EAAE,MAAM,CAAC,KAAK,IAChB,CAAC,MAAM,CAAC,SAAS,CAAC,CAAC,CAAC,EAAE,SAAS,EAAE,MAAM,CAAC,SAAS,EAAE,CAAC,CAAC,CAAC,EAAE,CAAC,KAC5D,OAAO,EAAE,MAAM,CAAC,OAAO,IACvB,CAAC;IACH,IAAA,6BAAmB,EAAC,kCAAkC,EAAE,CAAC,kBACvD,OAAO,EAAE,MAAM,CAAC,OAAO,IACpB,CAAC,MAAM,CAAC,SAAS,CAAC,CAAC,CAAC,EAAE,SAAS,EAAE,MAAM,CAAC,SAAS,EAAE,CAAC,CAAC,CAAC,EAAE,CAAC,EAC5D,CAAC;IACH,IAAA,oBAAY,EAAC,oBAAoB,kBAC/B,GAAG,EAAE,MAAM,CAAC,KAAK,EACjB,OAAO,EAAE,MAAM,CAAC,OAAO,IACpB,CAAC,MAAM,CAAC,SAAS,CAAC,CAAC,CAAC,EAAE,SAAS,EAAE,MAAM,CAAC,SAAS,EAAE,CAAC,CAAC,CAAC,EAAE,CAAC,EAC5D,CAAC;IACH,OAAO,EAAE,CAAC;AACZ,CAAC;AAED;;;;;;GAMG;AACH,SAAgB,gBAAgB,CAAC,KAAa,EAAE,MAAoC;IAClF,MAAM,IAAI,GAAG,8BAA8B,CAAC,MAAM,EAAE,KAAK,CAAC,CAAC;IAC3D,IAAI,IAAI,CAAC,MAAM,KAAK,CAAC,EAAE,CAAC;QACtB,MAAM,EAAE,KAAK,EAAE,GAAG,eAAe,CAAC,KAAK,CAAC,CAAC;QACzC,MAAM,IAAI,KAAK,CAAC,mCAAmC,KAAK,aAAL,KAAK,cAAL,KAAK,GAAI,SAAS,IAAI,CAAC,CAAC;IAC7E,CAAC;IAED,IAAI,SAAkB,CAAC;IACvB,KAAK,MAAM,GAAG,IAAI,IAAI,EAAE,CAAC;QACvB,IAAI,CAAC;YACH,OAAO,GAAG,CAAC,MAAM,CAAC,KAAK,EAAE,GAAG,EAAE,MAAM,CAAC,aAAa,CAAC,CAAC;QACtD,CAAC;QAAC,OAAO,KAAK,EAAE,CAAC;YACf,SAAS,GAAG,KAAK,CAAC;QACpB,CAAC;IACH,CAAC;IAED,MAAM,SAAS,YAAY,KAAK,CAAC,CAAC,CAAC,SAAS,CAAC,CAAC,CAAC,IAAI,KAAK,CAAC,uBAAuB,CAAC,CAAC;AACpF,CAAC;AAED,SAAgB,kCAAkC,CAAC,OAAuB;IACxE,OAAO,qBAAqB,CAAC,OAAO,EAAE,QAAQ,CAAC,CAAC;AAClD,CAAC;AAED,SAAgB,uCAAuC,CAAC,OAAuB;IAC7E,OAAO,0BAA0B,CAAC,OAAO,EAAE,QAAQ,CAAC,CAAC;AACvD,CAAC;AAED,SAAgB,mCAAmC,CAAC,OAAuB;IACzE,OAAO,qBAAqB,CAAC,OAAO,EAAE,SAAS,CAAC,CAAC;AACnD,CAAC;AAED,SAAgB,wCAAwC,CAAC,OAAuB;IAC9E,OAAO,0BAA0B,CAAC,OAAO,EAAE,SAAS,CAAC,CAAC;AACxD,CAAC","sourcesContent":["import * as jwt from \"jsonwebtoken\";\nimport type { AccessiOptions } from \"../AccessiModule\";\nimport { getAccessiJwtSecret } from \"./passwordResetToken\";\nimport type { AccessiJwtPurpose } from \"./passwordResetToken\";\nimport { recordAccessiMetric } from \"../observability/metrics\";\nimport { auditAccessi } from \"./audit\";\n\n/** Algoritmi supportati per gli access token Accessi. */\nexport type AccessiAccessTokenAlgorithm =\n  | \"HS256\"\n  | \"HS384\"\n  | \"HS512\"\n  | \"RS256\"\n  | \"RS384\"\n  | \"RS512\"\n  | \"ES256\"\n  | \"ES384\"\n  | \"ES512\";\n\n/**\n * Evento emesso quando un token presenta un `kid` che non appartiene né alla\n * chiave corrente né alle chiavi precedenti configurate.\n *\n * Serve per collegare un alert operativo (log, metrica, webhook) senza\n * accoppiare il modulo a uno specifico sistema di monitoraggio.\n */\nexport interface AccessiUnknownKeyIdEvent {\n  keyId: string;\n  algorithm?: string;\n  /** `access` o `refresh`, per distinguere i token coinvolti. */\n  purpose: AccessiJwtPurpose;\n}\n\n/** Configurazione di verifica con chiave corrente, chiavi precedenti e alert. */\nexport interface AccessiJwtVerificationConfig {\n  /** Chiave corrente. Resta il campo principale per i consumer esistenti. */\n  key: jwt.Secret;\n  verifyOptions: jwt.VerifyOptions;\n  /** Chiavi indicizzate per `kid`: la corrente vince sulle precedenti. */\n  keysByKeyId: ReadonlyMap<string, jwt.Secret>;\n  /** Chiavi provate per i token legacy privi di `kid`, corrente per prima. */\n  fallbackKeys: readonly jwt.Secret[];\n  purpose: AccessiJwtPurpose;\n  onUnknownKeyId?: (event: AccessiUnknownKeyIdEvent) => void;\n}\n\nfunction resolveAlgorithm(options: AccessiOptions): AccessiAccessTokenAlgorithm {\n  return options.jwtOptions.algorithm ?? \"HS256\";\n}\n\n/** Configurazione di firma: chiave, algoritmo e claim standard. */\nfunction getTokenSigningConfig(\n  options: AccessiOptions,\n  purpose: AccessiJwtPurpose,\n): {\n  key: jwt.Secret;\n  algorithm: AccessiAccessTokenAlgorithm;\n  signOptions: Pick<jwt.SignOptions, \"issuer\" | \"audience\" | \"keyid\">;\n} {\n  const algorithm = resolveAlgorithm(options);\n  const key = algorithm.startsWith(\"HS\")\n    ? getAccessiJwtSecret(options, purpose)\n    : options.jwtOptions.privateKey;\n\n  if (!key) {\n    throw new Error(`jwtOptions.privateKey e obbligatoria per l'algoritmo ${algorithm}.`);\n  }\n\n  return {\n    key,\n    algorithm,\n    signOptions: {\n      ...(options.jwtOptions.issuer ? { issuer: options.jwtOptions.issuer } : {}),\n      ...(options.jwtOptions.audience\n        ? { audience: options.jwtOptions.audience as jwt.SignOptions[\"audience\"] }\n        : {}),\n      ...(options.jwtOptions.keyId ? { keyid: options.jwtOptions.keyId } : {}),\n    },\n  };\n}\n\n/**\n * Configurazione di verifica.\n *\n * Con algoritmi asimmetrici accetta anche le chiavi precedenti: un token\n * firmato prima di una rotazione resta valido finché la sua chiave pubblica\n * compare in `previousPublicKeys`. I token legacy senza `kid` vengono provati\n * su tutte le chiavi candidate, la corrente per prima.\n */\nfunction getTokenVerificationConfig(\n  options: AccessiOptions,\n  purpose: AccessiJwtPurpose,\n): AccessiJwtVerificationConfig {\n  const algorithm = resolveAlgorithm(options);\n  const key = algorithm.startsWith(\"HS\")\n    ? getAccessiJwtSecret(options, purpose)\n    : (options.jwtOptions.publicKey ?? options.jwtOptions.privateKey);\n\n  if (!key) {\n    throw new Error(\n      `jwtOptions.publicKey e obbligatoria per verificare token ${algorithm}.`,\n    );\n  }\n\n  const algorithms = new Set<string>([algorithm]);\n  const keysByKeyId = new Map<string, jwt.Secret>();\n  const fallbackKeys: jwt.Secret[] = [key];\n\n  if (options.jwtOptions.keyId) {\n    keysByKeyId.set(options.jwtOptions.keyId, key);\n  }\n\n  if (!algorithm.startsWith(\"HS\")) {\n    for (const previous of options.jwtOptions.previousPublicKeys ?? []) {\n      const previousAlgorithm = previous.algorithm ?? algorithm;\n      algorithms.add(previousAlgorithm);\n      fallbackKeys.push(previous.publicKey);\n      if (previous.keyId && !keysByKeyId.has(previous.keyId)) {\n        keysByKeyId.set(previous.keyId, previous.publicKey);\n      }\n    }\n  }\n\n  return {\n    key,\n    verifyOptions: {\n      algorithms: [...algorithms] as jwt.Algorithm[],\n      ...(options.jwtOptions.issuer ? { issuer: options.jwtOptions.issuer } : {}),\n      ...(options.jwtOptions.audience\n        ? { audience: options.jwtOptions.audience as jwt.VerifyOptions[\"audience\"] }\n        : {}),\n    },\n    keysByKeyId,\n    fallbackKeys,\n    purpose,\n    ...(options.jwtOptions.onUnknownKeyId\n      ? { onUnknownKeyId: options.jwtOptions.onUnknownKeyId }\n      : {}),\n  };\n}\n\nfunction readTokenHeader(token: string): { keyId?: string; algorithm?: string } {\n  const decoded = jwt.decode(token, { complete: true });\n  if (!decoded || typeof decoded === \"string\" || !decoded.header) return {};\n  const header = decoded.header as { kid?: unknown; alg?: unknown };\n  return {\n    ...(typeof header.kid === \"string\" && header.kid !== \"\" ? { keyId: header.kid } : {}),\n    ...(typeof header.alg === \"string\" ? { algorithm: header.alg } : {}),\n  };\n}\n\n/**\n * Chiavi da provare per un token.\n *\n * Un `kid` noto seleziona una sola chiave: non si ricade sulle altre, così un\n * token con intestazione manomessa non viene verificato per tentativi.\n */\nexport function resolveAccessiVerificationKeys(\n  config: AccessiJwtVerificationConfig,\n  token: string,\n): readonly jwt.Secret[] {\n  const header = readTokenHeader(token);\n  // Con HMAC il kid non partecipa alla crittografia: un kid cambiato non deve\n  // invalidare token firmati con lo stesso segreto.\n  const hmacOnly = (config.verifyOptions.algorithms ?? []).every((algorithm) =>\n    String(algorithm).startsWith(\"HS\"),\n  );\n  if (!header.keyId || hmacOnly) return config.fallbackKeys;\n\n  const key = config.keysByKeyId.get(header.keyId);\n  if (key) return [key];\n\n  config.onUnknownKeyId?.({\n    keyId: header.keyId,\n    ...(header.algorithm ? { algorithm: header.algorithm } : {}),\n    purpose: config.purpose,\n  });\n  recordAccessiMetric('accessi_jwt_unknown_key_id_total', 1, {\n    purpose: config.purpose,\n    ...(header.algorithm ? { algorithm: header.algorithm } : {}),\n  });\n  auditAccessi('jwt_unknown_key_id', {\n    kid: header.keyId,\n    purpose: config.purpose,\n    ...(header.algorithm ? { algorithm: header.algorithm } : {}),\n  });\n  return [];\n}\n\n/**\n * Verifica un JWT Accessi con la chiave corretta (corrente o precedente).\n *\n * Lancia l'errore di `jsonwebtoken` quando nessuna chiave candidata verifica il\n * token; per un `kid` sconosciuto lancia un errore dedicato dopo aver emesso\n * l'evento di alert.\n */\nexport function verifyAccessiJwt(token: string, config: AccessiJwtVerificationConfig): unknown {\n  const keys = resolveAccessiVerificationKeys(config, token);\n  if (keys.length === 0) {\n    const { keyId } = readTokenHeader(token);\n    throw new Error(`Chiave JWT sconosciuta per kid \"${keyId ?? \"assente\"}\".`);\n  }\n\n  let lastError: unknown;\n  for (const key of keys) {\n    try {\n      return jwt.verify(token, key, config.verifyOptions);\n    } catch (error) {\n      lastError = error;\n    }\n  }\n\n  throw lastError instanceof Error ? lastError : new Error(\"Token JWT non valido.\");\n}\n\nexport function getAccessiAccessTokenSigningConfig(options: AccessiOptions) {\n  return getTokenSigningConfig(options, \"access\");\n}\n\nexport function getAccessiAccessTokenVerificationConfig(options: AccessiOptions) {\n  return getTokenVerificationConfig(options, \"access\");\n}\n\nexport function getAccessiRefreshTokenSigningConfig(options: AccessiOptions) {\n  return getTokenSigningConfig(options, \"refresh\");\n}\n\nexport function getAccessiRefreshTokenVerificationConfig(options: AccessiOptions) {\n  return getTokenVerificationConfig(options, \"refresh\");\n}\n"]}

package/dist/accessi-module/security/loginAs.d.ts

@@ -0,0 +1,8 @@
+/** Nome del query parameter usato dalle applicazioni per consumare il token. */
+export declare const LOGIN_AS_QUERY_PARAM = "loginAsToken";
+/**
+ * Combina l'URL dell'applicazione con il token di accesso temporaneo.
+ * Accetta solo URL assoluti http/https: evita schemi come javascript: o data:
+ * che verrebbero restituiti alla console come link cliccabile.
+ */
+export declare function buildLoginAsUrl(targetUrl: string, token: string): string;

package/dist/accessi-module/security/loginAs.js

@@ -0,0 +1,45 @@
+"use strict";
+Object.defineProperty(exports, "__esModule", { value: true });
+exports.LOGIN_AS_QUERY_PARAM = void 0;
+exports.buildLoginAsUrl = buildLoginAsUrl;
+const common_1 = require("@nestjs/common");
+/** Nome del query parameter usato dalle applicazioni per consumare il token. */
+exports.LOGIN_AS_QUERY_PARAM = 'loginAsToken';
+/**
+ * Combina l'URL dell'applicazione con il token di accesso temporaneo.
+ * Accetta solo URL assoluti http/https: evita schemi come javascript: o data:
+ * che verrebbero restituiti alla console come link cliccabile.
+ */
+function buildLoginAsUrl(targetUrl, token) {
+    if (typeof targetUrl !== 'string' || targetUrl.trim() === '') {
+        throw new common_1.BadRequestException({
+            code: 'ACCESSI_LOGIN_AS_INVALID_URL',
+            message: 'Indica l URL dell applicazione a cui accedere.',
+        });
+    }
+    if (typeof token !== 'string' || token.trim() === '') {
+        throw new common_1.BadRequestException({
+            code: 'ACCESSI_LOGIN_AS_INVALID_TOKEN',
+            message: 'Token di accesso temporaneo non valido.',
+        });
+    }
+    let parsed;
+    try {
+        parsed = new URL(targetUrl.trim());
+    }
+    catch (_a) {
+        throw new common_1.BadRequestException({
+            code: 'ACCESSI_LOGIN_AS_INVALID_URL',
+            message: 'L URL deve essere assoluto e valido, per esempio https://app.example.com.',
+        });
+    }
+    if (parsed.protocol !== 'http:' && parsed.protocol !== 'https:') {
+        throw new common_1.BadRequestException({
+            code: 'ACCESSI_LOGIN_AS_INVALID_URL',
+            message: 'L URL deve usare http o https.',
+        });
+    }
+    parsed.searchParams.set(exports.LOGIN_AS_QUERY_PARAM, token);
+    return parsed.toString();
+}
+//# sourceMappingURL=loginAs.js.map

package/dist/accessi-module/security/loginAs.js.map

@@ -0,0 +1 @@
+{"version":3,"file":"loginAs.js","sourceRoot":"","sources":["../../../src/accessi-module/security/loginAs.ts"],"names":[],"mappings":";;;AAUA,0CAiCC;AA3CD,2CAAqD;AAErD,gFAAgF;AACnE,QAAA,oBAAoB,GAAG,cAAc,CAAC;AAEnD;;;;GAIG;AACH,SAAgB,eAAe,CAAC,SAAiB,EAAE,KAAa;IAC9D,IAAI,OAAO,SAAS,KAAK,QAAQ,IAAI,SAAS,CAAC,IAAI,EAAE,KAAK,EAAE,EAAE,CAAC;QAC7D,MAAM,IAAI,4BAAmB,CAAC;YAC5B,IAAI,EAAE,8BAA8B;YACpC,OAAO,EAAE,gDAAgD;SAC1D,CAAC,CAAC;IACL,CAAC;IACD,IAAI,OAAO,KAAK,KAAK,QAAQ,IAAI,KAAK,CAAC,IAAI,EAAE,KAAK,EAAE,EAAE,CAAC;QACrD,MAAM,IAAI,4BAAmB,CAAC;YAC5B,IAAI,EAAE,gCAAgC;YACtC,OAAO,EAAE,yCAAyC;SACnD,CAAC,CAAC;IACL,CAAC;IAED,IAAI,MAAW,CAAC;IAChB,IAAI,CAAC;QACH,MAAM,GAAG,IAAI,GAAG,CAAC,SAAS,CAAC,IAAI,EAAE,CAAC,CAAC;IACrC,CAAC;IAAC,WAAM,CAAC;QACP,MAAM,IAAI,4BAAmB,CAAC;YAC5B,IAAI,EAAE,8BAA8B;YACpC,OAAO,EAAE,2EAA2E;SACrF,CAAC,CAAC;IACL,CAAC;IAED,IAAI,MAAM,CAAC,QAAQ,KAAK,OAAO,IAAI,MAAM,CAAC,QAAQ,KAAK,QAAQ,EAAE,CAAC;QAChE,MAAM,IAAI,4BAAmB,CAAC;YAC5B,IAAI,EAAE,8BAA8B;YACpC,OAAO,EAAE,gCAAgC;SAC1C,CAAC,CAAC;IACL,CAAC;IAED,MAAM,CAAC,YAAY,CAAC,GAAG,CAAC,4BAAoB,EAAE,KAAK,CAAC,CAAC;IACrD,OAAO,MAAM,CAAC,QAAQ,EAAE,CAAC;AAC3B,CAAC","sourcesContent":["import { BadRequestException } from '@nestjs/common';\n\n/** Nome del query parameter usato dalle applicazioni per consumare il token. */\nexport const LOGIN_AS_QUERY_PARAM = 'loginAsToken';\n\n/**\n * Combina l'URL dell'applicazione con il token di accesso temporaneo.\n * Accetta solo URL assoluti http/https: evita schemi come javascript: o data:\n * che verrebbero restituiti alla console come link cliccabile.\n */\nexport function buildLoginAsUrl(targetUrl: string, token: string): string {\n  if (typeof targetUrl !== 'string' || targetUrl.trim() === '') {\n    throw new BadRequestException({\n      code: 'ACCESSI_LOGIN_AS_INVALID_URL',\n      message: 'Indica l URL dell applicazione a cui accedere.',\n    });\n  }\n  if (typeof token !== 'string' || token.trim() === '') {\n    throw new BadRequestException({\n      code: 'ACCESSI_LOGIN_AS_INVALID_TOKEN',\n      message: 'Token di accesso temporaneo non valido.',\n    });\n  }\n\n  let parsed: URL;\n  try {\n    parsed = new URL(targetUrl.trim());\n  } catch {\n    throw new BadRequestException({\n      code: 'ACCESSI_LOGIN_AS_INVALID_URL',\n      message: 'L URL deve essere assoluto e valido, per esempio https://app.example.com.',\n    });\n  }\n\n  if (parsed.protocol !== 'http:' && parsed.protocol !== 'https:') {\n    throw new BadRequestException({\n      code: 'ACCESSI_LOGIN_AS_INVALID_URL',\n      message: 'L URL deve usare http o https.',\n    });\n  }\n\n  parsed.searchParams.set(LOGIN_AS_QUERY_PARAM, token);\n  return parsed.toString();\n}\n"]}

package/dist/accessi-module/security/passwordPolicy.d.ts

@@ -0,0 +1,21 @@
+/** Lunghezze canoniche della password Accessi. */
+export declare const PASSWORD_MIN_LENGTH = 8;
+export declare const PASSWORD_MAX_LENGTH = 100;
+/** Codice errore stabile restituito quando la password non rispetta la policy. */
+export declare const WEAK_PASSWORD_CODE = "ACCESSI_WEAK_PASSWORD";
+export interface PasswordPolicyOptions {
+    minLength?: number;
+    maxLength?: number;
+}
+/**
+ * Restituisce l'elenco leggibile delle violazioni della policy password.
+ * Policy: lunghezza, maiuscola, minuscola, cifra, carattere speciale, nessuno
+ * spazio, non comune.
+ */
+export declare function collectPasswordPolicyViolations(password: unknown, options?: PasswordPolicyOptions): string[];
+/**
+ * Valida la password secondo la policy moderna e, se non conforme, solleva un
+ * `BadRequestException` con codice `ACCESSI_WEAK_PASSWORD` e l'elenco dei
+ * requisiti mancanti. Da usare solo quando si IMPOSTA una password, mai al login.
+ */
+export declare function assertStrongPassword(password: unknown, options?: PasswordPolicyOptions): void;

package/dist/accessi-module/security/passwordPolicy.js

@@ -0,0 +1,71 @@
+"use strict";
+Object.defineProperty(exports, "__esModule", { value: true });
+exports.WEAK_PASSWORD_CODE = exports.PASSWORD_MAX_LENGTH = exports.PASSWORD_MIN_LENGTH = void 0;
+exports.collectPasswordPolicyViolations = collectPasswordPolicyViolations;
+exports.assertStrongPassword = assertStrongPassword;
+const common_1 = require("@nestjs/common");
+/** Lunghezze canoniche della password Accessi. */
+exports.PASSWORD_MIN_LENGTH = 8;
+exports.PASSWORD_MAX_LENGTH = 100;
+/** Codice errore stabile restituito quando la password non rispetta la policy. */
+exports.WEAK_PASSWORD_CODE = 'ACCESSI_WEAK_PASSWORD';
+/**
+ * Password comuni o banalmente prevedibili rifiutate anche se rispettano la
+ * complessita. Confronto case-insensitive; elenco volutamente piccolo e senza
+ * dipendenze esterne.
+ */
+const COMMON_PASSWORDS = new Set([
+    'password', 'password1', 'password123', 'passw0rd', 'p@ssw0rd', 'p@ssword',
+    '12345678', '123456789', '1234567890', 'qwerty', 'qwerty123', 'qwertyuiop',
+    'admin', 'admin123', 'administrator', 'letmein', 'welcome', 'welcome1',
+    'iloveyou', 'abc12345', 'a1b2c3d4', 'monkey123', 'dragon123', 'changeme',
+    'accessi', 'emilsoftware',
+]);
+/**
+ * Restituisce l'elenco leggibile delle violazioni della policy password.
+ * Policy: lunghezza, maiuscola, minuscola, cifra, carattere speciale, nessuno
+ * spazio, non comune.
+ */
+function collectPasswordPolicyViolations(password, options = {}) {
+    var _a, _b;
+    if (typeof password !== 'string' || password.length === 0) {
+        return ['La password e obbligatoria.'];
+    }
+    const minLength = (_a = options.minLength) !== null && _a !== void 0 ? _a : exports.PASSWORD_MIN_LENGTH;
+    const maxLength = (_b = options.maxLength) !== null && _b !== void 0 ? _b : exports.PASSWORD_MAX_LENGTH;
+    const violations = [];
+    if (password.length < minLength)
+        violations.push(`almeno ${minLength} caratteri`);
+    if (password.length > maxLength)
+        violations.push(`al massimo ${maxLength} caratteri`);
+    if (/\s/.test(password))
+        violations.push('nessuno spazio');
+    if (!/[A-Z]/.test(password))
+        violations.push('almeno una lettera maiuscola');
+    if (!/[a-z]/.test(password))
+        violations.push('almeno una lettera minuscola');
+    if (!/\d/.test(password))
+        violations.push('almeno una cifra');
+    if (!/[^A-Za-z0-9]/.test(password))
+        violations.push('almeno un carattere speciale');
+    if (COMMON_PASSWORDS.has(password.toLowerCase()))
+        violations.push('una password non comune');
+    return violations;
+}
+/**
+ * Valida la password secondo la policy moderna e, se non conforme, solleva un
+ * `BadRequestException` con codice `ACCESSI_WEAK_PASSWORD` e l'elenco dei
+ * requisiti mancanti. Da usare solo quando si IMPOSTA una password, mai al login.
+ */
+function assertStrongPassword(password, options) {
+    const violations = collectPasswordPolicyViolations(password, options);
+    if (violations.length === 0) {
+        return;
+    }
+    throw new common_1.BadRequestException({
+        code: exports.WEAK_PASSWORD_CODE,
+        message: `La password non rispetta i requisiti di sicurezza: richiede ${violations.join(', ')}.`,
+        details: violations,
+    });
+}
+//# sourceMappingURL=passwordPolicy.js.map

package/dist/accessi-module/security/passwordPolicy.js.map

@@ -0,0 +1 @@
+{"version":3,"file":"passwordPolicy.js","sourceRoot":"","sources":["../../../src/accessi-module/security/passwordPolicy.ts"],"names":[],"mappings":";;;AAgCA,0EAsBC;AAOD,oDAWC;AAxED,2CAAqD;AAErD,kDAAkD;AACrC,QAAA,mBAAmB,GAAG,CAAC,CAAC;AACxB,QAAA,mBAAmB,GAAG,GAAG,CAAC;AAEvC,kFAAkF;AACrE,QAAA,kBAAkB,GAAG,uBAAuB,CAAC;AAO1D;;;;GAIG;AACH,MAAM,gBAAgB,GAAG,IAAI,GAAG,CAAC;IAC/B,UAAU,EAAE,WAAW,EAAE,aAAa,EAAE,UAAU,EAAE,UAAU,EAAE,UAAU;IAC1E,UAAU,EAAE,WAAW,EAAE,YAAY,EAAE,QAAQ,EAAE,WAAW,EAAE,YAAY;IAC1E,OAAO,EAAE,UAAU,EAAE,eAAe,EAAE,SAAS,EAAE,SAAS,EAAE,UAAU;IACtE,UAAU,EAAE,UAAU,EAAE,UAAU,EAAE,WAAW,EAAE,WAAW,EAAE,UAAU;IACxE,SAAS,EAAE,cAAc;CAC1B,CAAC,CAAC;AAEH;;;;GAIG;AACH,SAAgB,+BAA+B,CAC7C,QAAiB,EACjB,UAAiC,EAAE;;IAEnC,IAAI,OAAO,QAAQ,KAAK,QAAQ,IAAI,QAAQ,CAAC,MAAM,KAAK,CAAC,EAAE,CAAC;QAC1D,OAAO,CAAC,6BAA6B,CAAC,CAAC;IACzC,CAAC;IAED,MAAM,SAAS,GAAG,MAAA,OAAO,CAAC,SAAS,mCAAI,2BAAmB,CAAC;IAC3D,MAAM,SAAS,GAAG,MAAA,OAAO,CAAC,SAAS,mCAAI,2BAAmB,CAAC;IAC3D,MAAM,UAAU,GAAa,EAAE,CAAC;IAEhC,IAAI,QAAQ,CAAC,MAAM,GAAG,SAAS;QAAE,UAAU,CAAC,IAAI,CAAC,UAAU,SAAS,YAAY,CAAC,CAAC;IAClF,IAAI,QAAQ,CAAC,MAAM,GAAG,SAAS;QAAE,UAAU,CAAC,IAAI,CAAC,cAAc,SAAS,YAAY,CAAC,CAAC;IACtF,IAAI,IAAI,CAAC,IAAI,CAAC,QAAQ,CAAC;QAAE,UAAU,CAAC,IAAI,CAAC,gBAAgB,CAAC,CAAC;IAC3D,IAAI,CAAC,OAAO,CAAC,IAAI,CAAC,QAAQ,CAAC;QAAE,UAAU,CAAC,IAAI,CAAC,8BAA8B,CAAC,CAAC;IAC7E,IAAI,CAAC,OAAO,CAAC,IAAI,CAAC,QAAQ,CAAC;QAAE,UAAU,CAAC,IAAI,CAAC,8BAA8B,CAAC,CAAC;IAC7E,IAAI,CAAC,IAAI,CAAC,IAAI,CAAC,QAAQ,CAAC;QAAE,UAAU,CAAC,IAAI,CAAC,kBAAkB,CAAC,CAAC;IAC9D,IAAI,CAAC,cAAc,CAAC,IAAI,CAAC,QAAQ,CAAC;QAAE,UAAU,CAAC,IAAI,CAAC,8BAA8B,CAAC,CAAC;IACpF,IAAI,gBAAgB,CAAC,GAAG,CAAC,QAAQ,CAAC,WAAW,EAAE,CAAC;QAAE,UAAU,CAAC,IAAI,CAAC,yBAAyB,CAAC,CAAC;IAE7F,OAAO,UAAU,CAAC;AACpB,CAAC;AAED;;;;GAIG;AACH,SAAgB,oBAAoB,CAAC,QAAiB,EAAE,OAA+B;IACrF,MAAM,UAAU,GAAG,+BAA+B,CAAC,QAAQ,EAAE,OAAO,CAAC,CAAC;IACtE,IAAI,UAAU,CAAC,MAAM,KAAK,CAAC,EAAE,CAAC;QAC5B,OAAO;IACT,CAAC;IAED,MAAM,IAAI,4BAAmB,CAAC;QAC5B,IAAI,EAAE,0BAAkB;QACxB,OAAO,EAAE,+DAA+D,UAAU,CAAC,IAAI,CAAC,IAAI,CAAC,GAAG;QAChG,OAAO,EAAE,UAAU;KACpB,CAAC,CAAC;AACL,CAAC","sourcesContent":["import { BadRequestException } from '@nestjs/common';\n\n/** Lunghezze canoniche della password Accessi. */\nexport const PASSWORD_MIN_LENGTH = 8;\nexport const PASSWORD_MAX_LENGTH = 100;\n\n/** Codice errore stabile restituito quando la password non rispetta la policy. */\nexport const WEAK_PASSWORD_CODE = 'ACCESSI_WEAK_PASSWORD';\n\nexport interface PasswordPolicyOptions {\n  minLength?: number;\n  maxLength?: number;\n}\n\n/**\n * Password comuni o banalmente prevedibili rifiutate anche se rispettano la\n * complessita. Confronto case-insensitive; elenco volutamente piccolo e senza\n * dipendenze esterne.\n */\nconst COMMON_PASSWORDS = new Set([\n  'password', 'password1', 'password123', 'passw0rd', 'p@ssw0rd', 'p@ssword',\n  '12345678', '123456789', '1234567890', 'qwerty', 'qwerty123', 'qwertyuiop',\n  'admin', 'admin123', 'administrator', 'letmein', 'welcome', 'welcome1',\n  'iloveyou', 'abc12345', 'a1b2c3d4', 'monkey123', 'dragon123', 'changeme',\n  'accessi', 'emilsoftware',\n]);\n\n/**\n * Restituisce l'elenco leggibile delle violazioni della policy password.\n * Policy: lunghezza, maiuscola, minuscola, cifra, carattere speciale, nessuno\n * spazio, non comune.\n */\nexport function collectPasswordPolicyViolations(\n  password: unknown,\n  options: PasswordPolicyOptions = {},\n): string[] {\n  if (typeof password !== 'string' || password.length === 0) {\n    return ['La password e obbligatoria.'];\n  }\n\n  const minLength = options.minLength ?? PASSWORD_MIN_LENGTH;\n  const maxLength = options.maxLength ?? PASSWORD_MAX_LENGTH;\n  const violations: string[] = [];\n\n  if (password.length < minLength) violations.push(`almeno ${minLength} caratteri`);\n  if (password.length > maxLength) violations.push(`al massimo ${maxLength} caratteri`);\n  if (/\\s/.test(password)) violations.push('nessuno spazio');\n  if (!/[A-Z]/.test(password)) violations.push('almeno una lettera maiuscola');\n  if (!/[a-z]/.test(password)) violations.push('almeno una lettera minuscola');\n  if (!/\\d/.test(password)) violations.push('almeno una cifra');\n  if (!/[^A-Za-z0-9]/.test(password)) violations.push('almeno un carattere speciale');\n  if (COMMON_PASSWORDS.has(password.toLowerCase())) violations.push('una password non comune');\n\n  return violations;\n}\n\n/**\n * Valida la password secondo la policy moderna e, se non conforme, solleva un\n * `BadRequestException` con codice `ACCESSI_WEAK_PASSWORD` e l'elenco dei\n * requisiti mancanti. Da usare solo quando si IMPOSTA una password, mai al login.\n */\nexport function assertStrongPassword(password: unknown, options?: PasswordPolicyOptions): void {\n  const violations = collectPasswordPolicyViolations(password, options);\n  if (violations.length === 0) {\n    return;\n  }\n\n  throw new BadRequestException({\n    code: WEAK_PASSWORD_CODE,\n    message: `La password non rispetta i requisiti di sicurezza: richiede ${violations.join(', ')}.`,\n    details: violations,\n  });\n}\n"]}

package/dist/accessi-module/security/passwordResetToken.d.ts

@@ -1,7 +1,17 @@
-import { AccessiOptions } from '../AccessiModule';
+import * as jwt from 'jsonwebtoken';
+import type { AccessiOptions } from '../AccessiModule';
+/** Durata predefinita del token di reset. La monouso e garantita anche dal nonce persistito in `UTENTI.KEYREG`. */
 export declare const DEFAULT_PASSWORD_RESET_EXPIRES_IN = "1h";
-export declare function getAccessiJwtSecret(options: AccessiOptions): string;
-export declare function createPasswordResetToken(codiceUtente: number, nonce: string, secret: string, expiresIn?: string): string;
+/** Scopo della chiave derivata: separa le chiavi di access token, reset password e 2FA. */
+export type AccessiJwtPurpose = 'access' | 'refresh' | 'reset' | '2fa';
+/**
+ * Deriva una chiave JWT per scopo dal segreto configurato (key separation senza nuova configurazione).
+ * Un leak della chiave di reset non compromette gli access token e viceversa.
+ */
+export declare function getAccessiJwtSecret(options: AccessiOptions, purpose?: AccessiJwtPurpose): string;
+/** Crea un token firmato contenente solo codice utente e nonce; non inserire email o dati personali nelle claim. */
+export declare function createPasswordResetToken(codiceUtente: number, nonce: string, secret: string, expiresIn?: jwt.SignOptions['expiresIn']): string;
+/** Verifica firma e scadenza, quindi restituisce i dati minimi necessari al reset. */
 export declare function verifyPasswordResetToken(token: string, secret: string): {
     codiceUtente: number;
     nonce: string;

package/dist/accessi-module/security/passwordResetToken.js

@@ -38,15 +38,22 @@ exports.getAccessiJwtSecret = getAccessiJwtSecret;
 exports.createPasswordResetToken = createPasswordResetToken;
 exports.verifyPasswordResetToken = verifyPasswordResetToken;
 const jwt = __importStar(require("jsonwebtoken"));
+const crypto_1 = require("crypto");
+/** Durata predefinita del token di reset. La monouso e garantita anche dal nonce persistito in `UTENTI.KEYREG`. */
 exports.DEFAULT_PASSWORD_RESET_EXPIRES_IN = '1h';
-function getAccessiJwtSecret(options) {
+/**
+ * Deriva una chiave JWT per scopo dal segreto configurato (key separation senza nuova configurazione).
+ * Un leak della chiave di reset non compromette gli access token e viceversa.
+ */
+function getAccessiJwtSecret(options, purpose = 'access') {
     var _a;
     const secret = ((_a = options === null || options === void 0 ? void 0 : options.jwtOptions) === null || _a === void 0 ? void 0 : _a.secret) || process.env.ACC_JWT_SECRET;
     if (!secret) {
         throw new Error('JWT secret non configurato.');
     }
-    return secret;
+    return (0, crypto_1.createHmac)('sha256', secret).update(`accessi:jwt:${purpose}:v1`).digest('hex');
 }
+/** Crea un token firmato contenente solo codice utente e nonce; non inserire email o dati personali nelle claim. */
 function createPasswordResetToken(codiceUtente, nonce, secret, expiresIn = exports.DEFAULT_PASSWORD_RESET_EXPIRES_IN) {
     if (!codiceUtente || !nonce) {
         throw new Error('Dati insufficienti per generare il reset token.');
@@ -56,13 +63,14 @@ function createPasswordResetToken(codiceUtente, nonce, secret, expiresIn = expor
         typ: 'password-reset',
     }, secret, {
         subject: `${codiceUtente}`,
-        expiresIn: expiresIn,
+        expiresIn,
     });
 }
+/** Verifica firma e scadenza, quindi restituisce i dati minimi necessari al reset. */
 function verifyPasswordResetToken(token, secret) {
-    const decoded = jwt.verify(token, secret);
+    const decoded = jwt.verify(token, secret, { algorithms: ['HS256'] });
     const codiceUtente = Number(decoded === null || decoded === void 0 ? void 0 : decoded.sub);
-    if ((decoded === null || decoded === void 0 ? void 0 : decoded.typ) !== 'password-reset' || !codiceUtente || typeof (decoded === null || decoded === void 0 ? void 0 : decoded.nonce) !== 'string') {
+    if ((decoded === null || decoded === void 0 ? void 0 : decoded.typ) !== 'password-reset' || !Number.isSafeInteger(codiceUtente) || codiceUtente <= 0 || typeof (decoded === null || decoded === void 0 ? void 0 : decoded.nonce) !== 'string' || !decoded.nonce) {
         throw new Error('Token di reset non valido.');
     }
     return {

package/dist/accessi-module/security/passwordResetToken.js.map

@@ -1 +1 @@
-{"version":3,"file":"passwordResetToken.js","sourceRoot":"","sources":["../../../src/accessi-module/security/passwordResetToken.ts"],"names":[],"mappings":";;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;AAUA,kDAOC;AAED,4DAqBC;AAED,4DAeC;AAzDD,kDAAoC;AAGvB,QAAA,iCAAiC,GAAG,IAAI,CAAC;AAOtD,SAAgB,mBAAmB,CAAC,OAAuB;;IACzD,MAAM,MAAM,GAAG,CAAA,MAAA,OAAO,aAAP,OAAO,uBAAP,OAAO,CAAE,UAAU,0CAAE,MAAM,KAAI,OAAO,CAAC,GAAG,CAAC,cAAc,CAAC;IACzE,IAAI,CAAC,MAAM,EAAE,CAAC;QACZ,MAAM,IAAI,KAAK,CAAC,6BAA6B,CAAC,CAAC;IACjD,CAAC;IAED,OAAO,MAAM,CAAC;AAChB,CAAC;AAED,SAAgB,wBAAwB,CACtC,YAAoB,EACpB,KAAa,EACb,MAAc,EACd,YAAoB,yCAAiC;IAErD,IAAI,CAAC,YAAY,IAAI,CAAC,KAAK,EAAE,CAAC;QAC5B,MAAM,IAAI,KAAK,CAAC,iDAAiD,CAAC,CAAC;IACrE,CAAC;IAED,OAAO,GAAG,CAAC,IAAI,CACb;QACE,KAAK;QACL,GAAG,EAAE,gBAAgB;KACtB,EACD,MAAM,EACN;QACE,OAAO,EAAE,GAAG,YAAY,EAAE;QAC1B,SAAS,EAAE,SAAgB;KAC5B,CACF,CAAC;AACJ,CAAC;AAED,SAAgB,wBAAwB,CACtC,KAAa,EACb,MAAc;IAEd,MAAM,OAAO,GAAG,GAAG,CAAC,MAAM,CAAC,KAAK,EAAE,MAAM,CAA8B,CAAC;IACvE,MAAM,YAAY,GAAG,MAAM,CAAC,OAAO,aAAP,OAAO,uBAAP,OAAO,CAAE,GAAG,CAAC,CAAC;IAE1C,IAAI,CAAA,OAAO,aAAP,OAAO,uBAAP,OAAO,CAAE,GAAG,MAAK,gBAAgB,IAAI,CAAC,YAAY,IAAI,OAAO,CAAA,OAAO,aAAP,OAAO,uBAAP,OAAO,CAAE,KAAK,CAAA,KAAK,QAAQ,EAAE,CAAC;QAC7F,MAAM,IAAI,KAAK,CAAC,4BAA4B,CAAC,CAAC;IAChD,CAAC;IAED,OAAO;QACL,YAAY;QACZ,KAAK,EAAE,OAAO,CAAC,KAAK;KACrB,CAAC;AACJ,CAAC","sourcesContent":["import * as jwt from 'jsonwebtoken';\r\nimport { AccessiOptions } from '../AccessiModule';\r\n\r\nexport const DEFAULT_PASSWORD_RESET_EXPIRES_IN = '1h';\r\n\r\ninterface PasswordResetTokenPayload extends jwt.JwtPayload {\r\n  nonce: string;\r\n  typ: 'password-reset';\r\n}\r\n\r\nexport function getAccessiJwtSecret(options: AccessiOptions): string {\r\n  const secret = options?.jwtOptions?.secret || process.env.ACC_JWT_SECRET;\r\n  if (!secret) {\r\n    throw new Error('JWT secret non configurato.');\r\n  }\r\n\r\n  return secret;\r\n}\r\n\r\nexport function createPasswordResetToken(\r\n  codiceUtente: number,\r\n  nonce: string,\r\n  secret: string,\r\n  expiresIn: string = DEFAULT_PASSWORD_RESET_EXPIRES_IN,\r\n): string {\r\n  if (!codiceUtente || !nonce) {\r\n    throw new Error('Dati insufficienti per generare il reset token.');\r\n  }\r\n\r\n  return jwt.sign(\r\n    {\r\n      nonce,\r\n      typ: 'password-reset',\r\n    },\r\n    secret,\r\n    {\r\n      subject: `${codiceUtente}`,\r\n      expiresIn: expiresIn as any,\r\n    },\r\n  );\r\n}\r\n\r\nexport function verifyPasswordResetToken(\r\n  token: string,\r\n  secret: string,\r\n): { codiceUtente: number; nonce: string } {\r\n  const decoded = jwt.verify(token, secret) as PasswordResetTokenPayload;\r\n  const codiceUtente = Number(decoded?.sub);\r\n\r\n  if (decoded?.typ !== 'password-reset' || !codiceUtente || typeof decoded?.nonce !== 'string') {\r\n    throw new Error('Token di reset non valido.');\r\n  }\r\n\r\n  return {\r\n    codiceUtente,\r\n    nonce: decoded.nonce,\r\n  };\r\n}\r\n"]}
+{"version":3,"file":"passwordResetToken.js","sourceRoot":"","sources":["../../../src/accessi-module/security/passwordResetToken.ts"],"names":[],"mappings":";;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;AAmBA,kDAOC;AAGD,4DAqBC;AAGD,4DAeC;AApED,kDAAoC;AACpC,mCAAoC;AAGpC,mHAAmH;AACtG,QAAA,iCAAiC,GAAG,IAAI,CAAC;AAUtD;;;GAGG;AACH,SAAgB,mBAAmB,CAAC,OAAuB,EAAE,UAA6B,QAAQ;;IAChG,MAAM,MAAM,GAAG,CAAA,MAAA,OAAO,aAAP,OAAO,uBAAP,OAAO,CAAE,UAAU,0CAAE,MAAM,KAAI,OAAO,CAAC,GAAG,CAAC,cAAc,CAAC;IACzE,IAAI,CAAC,MAAM,EAAE,CAAC;QACZ,MAAM,IAAI,KAAK,CAAC,6BAA6B,CAAC,CAAC;IACjD,CAAC;IAED,OAAO,IAAA,mBAAU,EAAC,QAAQ,EAAE,MAAM,CAAC,CAAC,MAAM,CAAC,eAAe,OAAO,KAAK,CAAC,CAAC,MAAM,CAAC,KAAK,CAAC,CAAC;AACxF,CAAC;AAED,oHAAoH;AACpH,SAAgB,wBAAwB,CACtC,YAAoB,EACpB,KAAa,EACb,MAAc,EACd,YAA0C,yCAAiC;IAE3E,IAAI,CAAC,YAAY,IAAI,CAAC,KAAK,EAAE,CAAC;QAC5B,MAAM,IAAI,KAAK,CAAC,iDAAiD,CAAC,CAAC;IACrE,CAAC;IAED,OAAO,GAAG,CAAC,IAAI,CACb;QACE,KAAK;QACL,GAAG,EAAE,gBAAgB;KACtB,EACD,MAAM,EACN;QACE,OAAO,EAAE,GAAG,YAAY,EAAE;QAC1B,SAAS;KACV,CACF,CAAC;AACJ,CAAC;AAED,sFAAsF;AACtF,SAAgB,wBAAwB,CACtC,KAAa,EACb,MAAc;IAEd,MAAM,OAAO,GAAG,GAAG,CAAC,MAAM,CAAC,KAAK,EAAE,MAAM,EAAE,EAAE,UAAU,EAAE,CAAC,OAAO,CAAC,EAAE,CAA8B,CAAC;IAClG,MAAM,YAAY,GAAG,MAAM,CAAC,OAAO,aAAP,OAAO,uBAAP,OAAO,CAAE,GAAG,CAAC,CAAC;IAE1C,IAAI,CAAA,OAAO,aAAP,OAAO,uBAAP,OAAO,CAAE,GAAG,MAAK,gBAAgB,IAAI,CAAC,MAAM,CAAC,aAAa,CAAC,YAAY,CAAC,IAAI,YAAY,IAAI,CAAC,IAAI,OAAO,CAAA,OAAO,aAAP,OAAO,uBAAP,OAAO,CAAE,KAAK,CAAA,KAAK,QAAQ,IAAI,CAAC,OAAO,CAAC,KAAK,EAAE,CAAC;QAC1J,MAAM,IAAI,KAAK,CAAC,4BAA4B,CAAC,CAAC;IAChD,CAAC;IAED,OAAO;QACL,YAAY;QACZ,KAAK,EAAE,OAAO,CAAC,KAAK;KACrB,CAAC;AACJ,CAAC","sourcesContent":["import * as jwt from 'jsonwebtoken';\nimport { createHmac } from 'crypto';\nimport type { AccessiOptions } from '../AccessiModule';\n\n/** Durata predefinita del token di reset. La monouso e garantita anche dal nonce persistito in `UTENTI.KEYREG`. */\nexport const DEFAULT_PASSWORD_RESET_EXPIRES_IN = '1h';\n\ninterface PasswordResetTokenPayload extends jwt.JwtPayload {\n  nonce: string;\n  typ: 'password-reset';\n}\n\n/** Scopo della chiave derivata: separa le chiavi di access token, reset password e 2FA. */\nexport type AccessiJwtPurpose = 'access' | 'refresh' | 'reset' | '2fa';\n\n/**\n * Deriva una chiave JWT per scopo dal segreto configurato (key separation senza nuova configurazione).\n * Un leak della chiave di reset non compromette gli access token e viceversa.\n */\nexport function getAccessiJwtSecret(options: AccessiOptions, purpose: AccessiJwtPurpose = 'access'): string {\n  const secret = options?.jwtOptions?.secret || process.env.ACC_JWT_SECRET;\n  if (!secret) {\n    throw new Error('JWT secret non configurato.');\n  }\n\n  return createHmac('sha256', secret).update(`accessi:jwt:${purpose}:v1`).digest('hex');\n}\n\n/** Crea un token firmato contenente solo codice utente e nonce; non inserire email o dati personali nelle claim. */\nexport function createPasswordResetToken(\n  codiceUtente: number,\n  nonce: string,\n  secret: string,\n  expiresIn: jwt.SignOptions['expiresIn'] = DEFAULT_PASSWORD_RESET_EXPIRES_IN,\n): string {\n  if (!codiceUtente || !nonce) {\n    throw new Error('Dati insufficienti per generare il reset token.');\n  }\n\n  return jwt.sign(\n    {\n      nonce,\n      typ: 'password-reset',\n    },\n    secret,\n    {\n      subject: `${codiceUtente}`,\n      expiresIn,\n    },\n  );\n}\n\n/** Verifica firma e scadenza, quindi restituisce i dati minimi necessari al reset. */\nexport function verifyPasswordResetToken(\n  token: string,\n  secret: string,\n): { codiceUtente: number; nonce: string } {\n  const decoded = jwt.verify(token, secret, { algorithms: ['HS256'] }) as PasswordResetTokenPayload;\n  const codiceUtente = Number(decoded?.sub);\n\n  if (decoded?.typ !== 'password-reset' || !Number.isSafeInteger(codiceUtente) || codiceUtente <= 0 || typeof decoded?.nonce !== 'string' || !decoded.nonce) {\n    throw new Error('Token di reset non valido.');\n  }\n\n  return {\n    codiceUtente,\n    nonce: decoded.nonce,\n  };\n}\n"]}

package/dist/accessi-module/security/publicAuthRateLimit.d.ts

@@ -1,10 +1,12 @@
 import { Request, Response } from 'express';
-import { AccessiOptions } from '../AccessiModule';
-export type PublicAuthRateLimitScope = 'login' | 'register' | 'passwordResetEmail' | 'passwordResetConfirm' | 'getUserByToken';
-type RateLimitDecision = {
-    allowed: boolean;
-    retryAfterSeconds?: number;
-};
-export declare function checkPublicAuthRateLimit(options: AccessiOptions, scope: PublicAuthRateLimitScope, req: Request, identifiers?: string[]): RateLimitDecision;
+import type { AccessiOptions } from '../AccessiModule';
+import type { RateLimitDecision } from './rateLimitStore';
+export type PublicAuthRateLimitScope = 'login' | 'twoFactorVerify' | 'twoFactorResend' | 'register' | 'passwordResetEmail' | 'passwordResetConfirm' | 'refresh' | 'getUserByToken' | 'adminBootstrap' | 'consoleEntry';
+/**
+ * Applica il rate limit per IP e, opzionalmente, per soggetto.
+ *
+ * Con `publicAuthRateLimit.store` e possibile usare uno store Redis condiviso;
+ * senza store usa la memoria del processo.
+ */
+export declare function checkPublicAuthRateLimit(options: AccessiOptions, scope: PublicAuthRateLimitScope, req: Request, identifiers?: string[]): Promise<RateLimitDecision>;
 export declare function sendPublicAuthRateLimitExceeded(res: Response, retryAfterSeconds: number): Response;
-export {};