itd-api 0.0.1 → 0.0.3

package/dist/{chunk-QILCVTJI.cjs → chunk-3ODOEKQO.cjs}

@@ -588,8 +588,15 @@ var ItdErrorCode = Object.freeze({
   BUSINESS_RULE_VIOLATION: "BUSINESS_RULE_VIOLATION",
   RATE_LIMIT_EXCEEDED: "RATE_LIMIT_EXCEEDED",
   UNKNOWN_ERROR: "UNKNOWN_ERROR",
+  /** Сервер отвечает так на `404`, `ENTITY_NOT_FOUND` в этом случае не приходит. */
+  NOT_FOUND: "NOT_FOUND",
+  /** На практике не приходит: вместо него сервер шлёт `TURNSTILE_VERIFICATION_FAILED`. */
   CAPTCHA_FAILED: "CAPTCHA_FAILED",
+  /** Капча не пройдена: токен Turnstile недействителен, просрочен или уже использован. */
+  TURNSTILE_VERIFICATION_FAILED: "TURNSTILE_VERIFICATION_FAILED",
   OTP_INVALID: "OTP_INVALID",
+  /** `flowToken` неизвестен или просрочен — поток подтверждения нужно начинать заново. */
+  INVALID_FLOW_TOKEN: "INVALID_FLOW_TOKEN",
   ACCOUNT_DEACTIVATED: "ACCOUNT_DEACTIVATED",
   ACCOUNT_EMAIL_DOMAIN_NOT_ALLOWED: "ACCOUNT_EMAIL_DOMAIN_NOT_ALLOWED",
   ACCOUNT_INVALID_CREDENTIALS: "ACCOUNT_INVALID_CREDENTIALS",
@@ -598,6 +605,10 @@ var ItdErrorCode = Object.freeze({
   SESSION_EXPIRED: "SESSION_EXPIRED",
   SESSION_REVOKED: "SESSION_REVOKED",
   SESSION_INVALID_REFRESH_TOKEN: "SESSION_INVALID_REFRESH_TOKEN",
+  /** Запрос обновления пришёл без cookie `refresh_token` — продлевать нечего. */
+  REFRESH_TOKEN_MISSING: "REFRESH_TOKEN_MISSING",
+  /** Cookie `refresh_token` есть, но сессии за ней уже нет: отозвана или истекла. */
+  SESSION_NOT_FOUND: "SESSION_NOT_FOUND",
   MISSING_FLOW_TOKEN: "MISSING_FLOW_TOKEN",
   PROFILE_USERNAME_TAKEN: "PROFILE_USERNAME_TAKEN",
   PROFILE_RESTRICTION_ACTIVE: "PROFILE_RESTRICTION_ACTIVE",
@@ -861,6 +872,8 @@ parseSetCookie.splitCookiesString = splitCookiesString;
 
 // src/core/cookies.ts
 var AUTH_FLAG_COOKIE = "is_auth";
+var REFRESH_COOKIE = "refresh_token";
+var REFRESH_COOKIE_PATH = "/api/v1/auth";
 var SERIALIZED_SEPARATOR = " ";
 function originOf(url) {
   try {
@@ -900,6 +913,15 @@ var CookieJar = class {
     const raw = typeof headers.getSetCookie === "function" ? headers.getSetCookie() : splitCookiesString(headers.get("set-cookie") ?? "");
     if (raw.length > 0) this.setFromStrings(url, raw);
   }
+  /**
+   * Кладёт cookie напрямую, минуя `Set-Cookie`.
+   *
+   * Нужно ровно в одном случае: пользователь передал refresh-токен строкой, а сервер читает
+   * его только из cookie. Значение не кодируется — оно уходит в заголовок как есть.
+   */
+  set(url, name, value, path = "/") {
+    this.setFromStrings(url, [`${name}=${value}; Path=${path}`]);
+  }
   /** Сохраняет cookie из готовых строк `Set-Cookie`. */
   setFromStrings(url, setCookieStrings) {
     const origin = originOf(url);
@@ -933,6 +955,23 @@ var CookieJar = class {
     if (cookies.length === 0) return void 0;
     return cookies.map((cookie) => `${cookie.name}=${cookie.value}`).join("; ");
   }
+  /**
+   * Значение действующей cookie.
+   *
+   * Нужно, чтобы забрать обновлённый refresh-токен: сервер ротирует его при каждом
+   * продлении сессии, и сохранять надо именно новое значение.
+   *
+   * @param url если указан, учитываются origin, путь и флаг `Secure`
+   */
+  getValue(name, url) {
+    if (url) return this.#matching(url).find((cookie) => cookie.name === name)?.value;
+    const now = Date.now();
+    for (const jar of this.#byOrigin.values()) {
+      const cookie = jar.get(name);
+      if (cookie && (cookie.expires === void 0 || cookie.expires > now)) return cookie.value;
+    }
+    return void 0;
+  }
   /**
    * Есть ли действующая cookie с таким именем.
    *
@@ -1061,11 +1100,67 @@ var Emitter = class {
   }
 };
 
+// src/core/runtime.ts
+function detectRuntime() {
+  const nav = globalThis.navigator;
+  if (nav?.product === "ReactNative") return "react-native";
+  if (typeof document !== "undefined") return "browser";
+  return "server";
+}
+function shouldUseCookieJar(mode) {
+  if (mode === "browser") return false;
+  if (mode === "server") return true;
+  return detectRuntime() === "server";
+}
+function shouldSendCredentials(mode) {
+  if (mode === "browser") return true;
+  if (mode === "server") return false;
+  return detectRuntime() === "browser";
+}
+function resolveFetch(custom) {
+  if (custom) return custom;
+  if (typeof globalThis.fetch === "function") {
+    return globalThis.fetch.bind(globalThis);
+  }
+  throw new ItdConfigError(
+    "\u0412 \u044D\u0442\u043E\u0439 \u0441\u0440\u0435\u0434\u0435 \u043D\u0435\u0442 \u0433\u043B\u043E\u0431\u0430\u043B\u044C\u043D\u043E\u0433\u043E fetch. \u041E\u0431\u043D\u043E\u0432\u0438\u0442\u0435\u0441\u044C \u0434\u043E Node 18+ \u043B\u0438\u0431\u043E \u043F\u0435\u0440\u0435\u0434\u0430\u0439\u0442\u0435 \u0441\u0432\u043E\u044E \u0440\u0435\u0430\u043B\u0438\u0437\u0430\u0446\u0438\u044E \u0447\u0435\u0440\u0435\u0437 \u043E\u043F\u0446\u0438\u044E fetch."
+  );
+}
+function supportsStreamingBody() {
+  return typeof ReadableStream !== "undefined" && typeof TextDecoder !== "undefined";
+}
+function createDeviceId() {
+  const webCrypto = globalThis.crypto;
+  if (typeof webCrypto?.randomUUID === "function") return webCrypto.randomUUID();
+  const bytes = new Uint8Array(16);
+  if (typeof webCrypto?.getRandomValues === "function") webCrypto.getRandomValues(bytes);
+  else for (let i = 0; i < bytes.length; i++) bytes[i] = Math.floor(Math.random() * 256);
+  bytes[6] = bytes[6] & 15 | 64;
+  bytes[8] = bytes[8] & 63 | 128;
+  const hex = Array.from(bytes, (byte) => byte.toString(16).padStart(2, "0")).join("");
+  return [
+    hex.slice(0, 8),
+    hex.slice(8, 12),
+    hex.slice(12, 16),
+    hex.slice(16, 20),
+    hex.slice(20, 32)
+  ].join("-");
+}
+function hasLocalStorage() {
+  try {
+    return typeof globalThis.localStorage !== "undefined" && globalThis.localStorage !== null;
+  } catch {
+    return false;
+  }
+}
+
 // src/core/auth.ts
 var AUTH_PATHS = {
   signIn: "/api/v1/auth/sign-in",
   refresh: "/api/v1/auth/refresh"
 };
+var TURNSTILE_SITE_KEY = "0x4AAAAAACHhxczw6fJGwPBg";
+var DEVICE_ID_HEADER = "X-Device-Id";
 function readAccessToken(payload) {
   if (typeof payload !== "object" || payload === null) return void 0;
   const token = payload.accessToken;
@@ -1082,6 +1177,13 @@ var AuthManager = class {
   #refreshing = null;
   /** Общий промис входа по логину и паролю. */
   #signingIn = null;
+  /**
+   * Идентификатор устройства.
+   *
+   * Держится отдельно от сессии намеренно: выход из аккаунта не меняет устройство,
+   * поэтому `clear()` его не трогает.
+   */
+  #deviceId;
   constructor(config, http, jar) {
     this.#config = config;
     this.#http = http;
@@ -1112,6 +1214,23 @@ var AuthManager = class {
     const token = await this.getAccessToken();
     return token ? { Authorization: `Bearer ${token}` } : {};
   }
+  /**
+   * Идентификатор устройства для заголовка `X-Device-Id`.
+   *
+   * Заводится один раз и сохраняется в сессии, чтобы пережить перезапуск процесса:
+   * сервер связывает с ним запись в списке сессий, и плавающее значение плодило бы
+   * по новой сессии на каждый старт.
+   */
+  async getDeviceId() {
+    if (this.#deviceId) return this.#deviceId;
+    const session = await this.#loadSession();
+    const deviceId = this.#config.deviceId ?? session?.deviceId ?? createDeviceId();
+    this.#deviceId = deviceId;
+    if (session?.deviceId !== deviceId) {
+      await this.#saveSession({ ...session ?? {}, deviceId });
+    }
+    return deviceId;
+  }
   /**
    * Текущий токен доступа.
    *
@@ -1127,7 +1246,7 @@ var AuthManager = class {
       return await auth.getToken() ?? null;
     }
     if (typeof auth === "object" && "email" in auth) {
-      return this.#signInWithCredentials(auth.email, auth.password);
+      return this.#signInWithCredentials(auth);
     }
     return null;
   }
@@ -1147,12 +1266,19 @@ var AuthManager = class {
       return false;
     }
   }
-  /** Ошибка «сессию продлить нечем» — одна и та же для `refresh()` и для реакции на 401. */
+  /**
+   * Ошибка «сессию продлить нечем».
+   *
+   * Возникает, только когда обновление даже не начиналось: нет ни cookie `is_auth`,
+   * ни refresh-токена. Если сервер ответил отказом, наружу уходит **его** ошибка —
+   * подменять её этой значило бы прятать причину (`REFRESH_TOKEN_MISSING`,
+   * `SESSION_NOT_FOUND`, `SESSION_REVOKED` — разные поводы и разные действия).
+   */
   #noRefreshSessionError() {
     return new ItdAuthError({
       status: 401,
       code: "SESSION_EXPIRED",
-      message: "\u041D\u0435 \u0443\u0434\u0430\u043B\u043E\u0441\u044C \u043E\u0431\u043D\u043E\u0432\u0438\u0442\u044C \u0441\u0435\u0441\u0441\u0438\u044E: \u043D\u0435\u0442 \u0434\u0435\u0439\u0441\u0442\u0432\u0443\u044E\u0449\u0435\u0433\u043E refresh-\u0442\u043E\u043A\u0435\u043D\u0430",
+      message: "\u041D\u0435 \u0443\u0434\u0430\u043B\u043E\u0441\u044C \u043E\u0431\u043D\u043E\u0432\u0438\u0442\u044C \u0441\u0435\u0441\u0441\u0438\u044E: \u043D\u0435\u0442 \u043D\u0438 cookie is_auth, \u043D\u0438 refresh-\u0442\u043E\u043A\u0435\u043D\u0430. \u0412\u043E\u0439\u0434\u0438\u0442\u0435 \u0437\u0430\u043D\u043E\u0432\u043E \u043B\u0438\u0431\u043E \u043F\u0435\u0440\u0435\u0434\u0430\u0439\u0442\u0435 refreshToken \u0432 auth.",
       method: "POST",
       path: AUTH_PATHS.refresh,
       raw: void 0
@@ -1182,13 +1308,21 @@ var AuthManager = class {
   /** Заменяет сессию целиком. */
   async setSession(session) {
     this.#jar.deserialize(session.cookies);
+    this.#deviceId ??= session.deviceId;
     await this.#saveSession(session);
+    this.#seedRefreshCookie();
   }
-  /** Забывает сессию и cookie. Сетевой запрос не выполняется. */
+  /**
+   * Забывает сессию и cookie. Сетевой запрос не выполняется.
+   *
+   * Идентификатор устройства выход переживает: иначе каждая пара «выход — вход» плодила бы
+   * новую запись в списке сессий.
+   */
   async clear() {
     this.#session = null;
     this.#jar.clear();
     await this.#config.storage.clear();
+    if (this.#deviceId) await this.#saveSession({ deviceId: this.#deviceId });
     this.#emitter.emit("signOut", void 0);
   }
   async #loadSession() {
@@ -1201,8 +1335,23 @@ var AuthManager = class {
       accessToken: stored.accessToken ?? fromConfig.accessToken,
       refreshToken: stored.refreshToken ?? fromConfig.refreshToken
     } : stored ?? fromConfig;
+    this.#seedRefreshCookie();
     return this.#session;
   }
+  /**
+   * Кладёт refresh-токен в jar как cookie `refresh_token`.
+   *
+   * `POST /api/v1/auth/refresh` читает токен только из cookie, поэтому переданный строкой
+   * приходится превращать в неё. В браузере это невозможно — cookie помечена `HttpOnly`,
+   * и там обновление работает только на той, что поставил сам сервер.
+   */
+  #seedRefreshCookie() {
+    if (!this.#config.useCookieJar) return;
+    const refreshToken = this.#session?.refreshToken;
+    if (!refreshToken) return;
+    if (this.#jar.has(REFRESH_COOKIE)) return;
+    this.#jar.set(this.#config.baseUrl, REFRESH_COOKIE, refreshToken, REFRESH_COOKIE_PATH);
+  }
   #sessionFromConfig(auth) {
     if (!auth) return null;
     if (typeof auth === "string") return { accessToken: auth, obtainedAt: Date.now() };
@@ -1217,7 +1366,12 @@ var AuthManager = class {
   }
   async #saveSession(session) {
     const cookies = this.#config.useCookieJar ? this.#jar.serialize() : void 0;
-    const next = { ...session, ...cookies?.length ? { cookies } : {} };
+    const deviceId = session.deviceId ?? this.#deviceId;
+    const next = {
+      ...session,
+      ...cookies?.length ? { cookies } : {},
+      ...deviceId ? { deviceId } : {}
+    };
     this.#session = next;
     await this.#config.storage.set(next);
   }
@@ -1243,17 +1397,22 @@ var AuthManager = class {
       const payload = await this.#http.request({
         method: "POST",
         path: AUTH_PATHS.refresh,
-        // Обновление опирается на cookie, а не на устаревший Bearer.
+        // Тела нет намеренно: сервер читает refresh-токен только из cookie — см.
+        // #seedRefreshCookie. По той же причине не нужен и устаревший Bearer.
         skipAuth: true,
         // Без этого 401 на самом обновлении вызвал бы новое обновление — и так по кругу.
-        skipAuthRefresh: true,
-        ...this.#session?.refreshToken ? { body: { refreshToken: this.#session.refreshToken } } : {}
+        skipAuthRefresh: true
       });
       const accessToken = readAccessToken(payload);
       if (!accessToken) return this.#reloginOrNull();
+      const rotated = this.#jar.getValue(
+        REFRESH_COOKIE,
+        this.#config.baseUrl + REFRESH_COOKIE_PATH
+      );
       await this.#saveSession({
         ...this.#session ?? {},
         accessToken,
+        ...rotated ? { refreshToken: rotated } : {},
         obtainedAt: Date.now()
       });
       this.#emitter.emit("tokens", { accessToken });
@@ -1261,8 +1420,11 @@ var AuthManager = class {
     } catch (error) {
       if (error instanceof ItdApiError) {
         this.#session = null;
+        this.#jar.clear();
         await this.#config.storage.clear();
-        return this.#reloginOrNull();
+        const relogged = await this.#reloginOrNull();
+        if (relogged !== null) return relogged;
+        throw error;
       }
       throw error;
     }
@@ -1274,7 +1436,7 @@ var AuthManager = class {
       return null;
     }
     try {
-      return await this.#signInWithCredentials(auth.email, auth.password);
+      return await this.#signInWithCredentials(auth);
     } catch {
       return null;
     }
@@ -1285,19 +1447,36 @@ var AuthManager = class {
    * Параллельные вызовы объединяются: одновременный старт нескольких запросов не должен
    * приводить к нескольким попыткам входа и блокировке аккаунта.
    */
-  #signInWithCredentials(email, password) {
+  #signInWithCredentials(credentials) {
     if (this.#signingIn) return this.#signingIn;
-    const promise = this.#performSignIn(email, password).finally(() => {
+    const promise = this.#performSignIn(credentials).finally(() => {
       this.#signingIn = null;
     });
     this.#signingIn = promise;
     return promise;
   }
-  async #performSignIn(email, password) {
+  /**
+   * Берёт токен капчи для входа.
+   *
+   * `getTurnstileToken` приоритетнее готовой строки: токен Turnstile одноразовый и живёт
+   * несколько минут, поэтому при повторном входе через сутки годится только свежий.
+   */
+  async #resolveTurnstileToken(credentials) {
+    if (credentials.getTurnstileToken) {
+      const token = await credentials.getTurnstileToken();
+      if (token) return token;
+    }
+    if (credentials.turnstileToken) return credentials.turnstileToken;
+    throw new ItdConfigError(
+      "\u0412\u0445\u043E\u0434 \u043F\u043E email \u0438 \u043F\u0430\u0440\u043E\u043B\u044E \u0442\u0440\u0435\u0431\u0443\u0435\u0442 \u0442\u043E\u043A\u0435\u043D \u043A\u0430\u043F\u0447\u0438 Cloudflare Turnstile: \u0431\u0435\u0437 \u043D\u0435\u0433\u043E \u0441\u0435\u0440\u0432\u0435\u0440 \u043E\u0442\u0432\u0435\u0447\u0430\u0435\u0442 422. \u041F\u0435\u0440\u0435\u0434\u0430\u0439\u0442\u0435 auth.getTurnstileToken (\u0438\u0441\u0442\u043E\u0447\u043D\u0438\u043A \u0441\u0432\u0435\u0436\u0435\u0433\u043E \u0442\u043E\u043A\u0435\u043D\u0430) \u043B\u0438\u0431\u043E \u0440\u0430\u0437\u043E\u0432\u044B\u0439 auth.turnstileToken. \u041A\u043B\u044E\u0447 \u0432\u0438\u0434\u0436\u0435\u0442\u0430 \u2014 TURNSTILE_SITE_KEY."
+    );
+  }
+  async #performSignIn(credentials) {
+    const turnstileToken = await this.#resolveTurnstileToken(credentials);
     const payload = await this.#http.request({
       method: "POST",
       path: AUTH_PATHS.signIn,
-      body: { email, password },
+      body: { email: credentials.email, password: credentials.password, turnstileToken },
       skipAuth: true,
       skipAuthRefresh: true
     });
@@ -1314,43 +1493,6 @@ var AuthManager = class {
   }
 };
 
-// src/core/runtime.ts
-function detectRuntime() {
-  const nav = globalThis.navigator;
-  if (nav?.product === "ReactNative") return "react-native";
-  if (typeof document !== "undefined") return "browser";
-  return "server";
-}
-function shouldUseCookieJar(mode) {
-  if (mode === "browser") return false;
-  if (mode === "server") return true;
-  return detectRuntime() === "server";
-}
-function shouldSendCredentials(mode) {
-  if (mode === "browser") return true;
-  if (mode === "server") return false;
-  return detectRuntime() === "browser";
-}
-function resolveFetch(custom) {
-  if (custom) return custom;
-  if (typeof globalThis.fetch === "function") {
-    return globalThis.fetch.bind(globalThis);
-  }
-  throw new ItdConfigError(
-    "\u0412 \u044D\u0442\u043E\u0439 \u0441\u0440\u0435\u0434\u0435 \u043D\u0435\u0442 \u0433\u043B\u043E\u0431\u0430\u043B\u044C\u043D\u043E\u0433\u043E fetch. \u041E\u0431\u043D\u043E\u0432\u0438\u0442\u0435\u0441\u044C \u0434\u043E Node 18+ \u043B\u0438\u0431\u043E \u043F\u0435\u0440\u0435\u0434\u0430\u0439\u0442\u0435 \u0441\u0432\u043E\u044E \u0440\u0435\u0430\u043B\u0438\u0437\u0430\u0446\u0438\u044E \u0447\u0435\u0440\u0435\u0437 \u043E\u043F\u0446\u0438\u044E fetch."
-  );
-}
-function supportsStreamingBody() {
-  return typeof ReadableStream !== "undefined" && typeof TextDecoder !== "undefined";
-}
-function hasLocalStorage() {
-  try {
-    return typeof globalThis.localStorage !== "undefined" && globalThis.localStorage !== null;
-  } catch {
-    return false;
-  }
-}
-
 // src/core/storage.ts
 var MemoryTokenStorage = class {
   #session = null;
@@ -1465,6 +1607,8 @@ function normalizeBaseUrl(baseUrl) {
 // src/core/config.ts
 var DEFAULT_BASE_URL = "https://xn--d1ah4a.com";
 var DEFAULT_TIMEOUT = 3e4;
+var LIBRARY_VERSION = "0.0.2";
+var DEFAULT_USER_AGENT = `Mozilla/5.0 (compatible; itd-api/${LIBRARY_VERSION}; +https://github.com/KiowDev/itd-api)`;
 var DEFAULT_RATE_LIMIT_DELAYS = Object.freeze([1e3, 5e3, 3e4, 6e4, 9e4]);
 function requirePositive(value, name) {
   if (!Number.isFinite(value) || value < 0) {
@@ -1556,13 +1700,19 @@ function validateAuth(auth) {
     return auth;
   }
   if ("email" in auth || "password" in auth) {
-    const { email, password } = auth;
+    const { email, password, turnstileToken, getTurnstileToken } = auth;
     if (typeof email !== "string" || email.trim() === "") {
       throw new ItdConfigError("auth.email \u0434\u043E\u043B\u0436\u0435\u043D \u0431\u044B\u0442\u044C \u043D\u0435\u043F\u0443\u0441\u0442\u043E\u0439 \u0441\u0442\u0440\u043E\u043A\u043E\u0439");
     }
     if (typeof password !== "string" || password === "") {
       throw new ItdConfigError("auth.password \u0434\u043E\u043B\u0436\u0435\u043D \u0431\u044B\u0442\u044C \u043D\u0435\u043F\u0443\u0441\u0442\u043E\u0439 \u0441\u0442\u0440\u043E\u043A\u043E\u0439");
     }
+    if (getTurnstileToken !== void 0 && typeof getTurnstileToken !== "function") {
+      throw new ItdConfigError("auth.getTurnstileToken \u0434\u043E\u043B\u0436\u0435\u043D \u0431\u044B\u0442\u044C \u0444\u0443\u043D\u043A\u0446\u0438\u0435\u0439");
+    }
+    if (turnstileToken !== void 0 && (typeof turnstileToken !== "string" || turnstileToken.trim() === "")) {
+      throw new ItdConfigError("auth.turnstileToken \u0434\u043E\u043B\u0436\u0435\u043D \u0431\u044B\u0442\u044C \u043D\u0435\u043F\u0443\u0441\u0442\u043E\u0439 \u0441\u0442\u0440\u043E\u043A\u043E\u0439");
+    }
     return auth;
   }
   throw new ItdConfigError(
@@ -1575,6 +1725,9 @@ function resolveConfig(options = {}) {
     throw new ItdConfigError(`mode \u0434\u043E\u043B\u0436\u0435\u043D \u0431\u044B\u0442\u044C 'auto', 'browser' \u0438\u043B\u0438 'server', \u043F\u043E\u043B\u0443\u0447\u0435\u043D\u043E: ${mode}`);
   }
   const timeout = requirePositive(options.timeout ?? DEFAULT_TIMEOUT, "timeout");
+  if (options.deviceId !== void 0 && (typeof options.deviceId !== "string" || options.deviceId.trim() === "")) {
+    throw new ItdConfigError("deviceId \u0434\u043E\u043B\u0436\u0435\u043D \u0431\u044B\u0442\u044C \u043D\u0435\u043F\u0443\u0441\u0442\u043E\u0439 \u0441\u0442\u0440\u043E\u043A\u043E\u0439");
+  }
   return {
     baseUrl: normalizeBaseUrl(options.baseUrl ?? DEFAULT_BASE_URL),
     auth: validateAuth(options.auth),
@@ -1588,12 +1741,61 @@ function resolveConfig(options = {}) {
     hooks: options.hooks ?? {},
     logger: options.logger === true ? consoleLogger() : options.logger || void 0,
     headers: { ...options.headers },
+    deviceId: options.deviceId,
+    // `false` — способ не слать заголовок вовсе; строка заменяет умолчание.
+    userAgent: options.userAgent === false ? void 0 : options.userAgent ?? DEFAULT_USER_AGENT,
     mode,
     useCookieJar: shouldUseCookieJar(mode),
     sendCredentials: shouldSendCredentials(mode)
   };
 }
 
+// src/core/redact.ts
+var SECRET_HEADERS = /* @__PURE__ */ new Set(["authorization", "cookie", "set-cookie", "x-api-key"]);
+var SECRET_FIELDS = /* @__PURE__ */ new Set([
+  "password",
+  "oldpassword",
+  "newpassword",
+  "accesstoken",
+  "refreshtoken",
+  "currentpassword",
+  "flowtoken",
+  "token",
+  "turnstiletoken",
+  "otp"
+]);
+function maskSecret(value) {
+  if (value.length <= 8) return "\u2026";
+  return `${value.slice(0, 4)}\u2026(${value.length})\u2026${value.slice(-3)}`;
+}
+function redactHeaders(headers) {
+  const result = {};
+  headers.forEach((value, name) => {
+    if (SECRET_HEADERS.has(name.toLowerCase())) {
+      const spaceAt = value.indexOf(" ");
+      result[name] = spaceAt > 0 ? `${value.slice(0, spaceAt)} ${maskSecret(value.slice(spaceAt + 1))}` : maskSecret(value);
+      return;
+    }
+    result[name] = value;
+  });
+  return result;
+}
+function redactBody(body) {
+  if (body === null || body === void 0) return body;
+  if (typeof FormData !== "undefined" && body instanceof FormData) return "[FormData]";
+  if (typeof Blob !== "undefined" && body instanceof Blob) return "[Blob]";
+  if (body instanceof ArrayBuffer || ArrayBuffer.isView(body)) return "[binary]";
+  if (Array.isArray(body)) return body.map(redactBody);
+  if (typeof body === "object") {
+    const result = {};
+    for (const [key, value] of Object.entries(body)) {
+      result[key] = SECRET_FIELDS.has(key.toLowerCase()) ? "[\u0441\u043A\u0440\u044B\u0442\u043E]" : redactBody(value);
+    }
+    return result;
+  }
+  return body;
+}
+
 // src/core/error-factory.ts
 function isRecord(value) {
   return typeof value === "object" && value !== null && !Array.isArray(value);
@@ -1709,6 +1911,10 @@ var CODE_TO_CLASS = {
   SESSION_EXPIRED: ItdAuthError,
   SESSION_REVOKED: ItdAuthError,
   SESSION_INVALID_REFRESH_TOKEN: ItdAuthError,
+  // Оба приходят с `/auth/refresh`: первый — когда cookie refresh_token не долетела,
+  // второй — когда она есть, но сессия за ней уже мертва.
+  REFRESH_TOKEN_MISSING: ItdAuthError,
+  SESSION_NOT_FOUND: ItdAuthError,
   ACCOUNT_INVALID_CREDENTIALS: ItdAuthError,
   ACCESS_DENIED: ItdForbiddenError,
   ENTITY_NOT_FOUND: ItdNotFoundError,
@@ -1726,6 +1932,10 @@ function classByStatus(status) {
   if (status >= 500) return ItdServerError;
   return ItdApiError;
 }
+function safeRawBody(body) {
+  if (!isRecord(body) || body.type !== "validation" || !isRecord(body.found)) return body;
+  return { ...body, found: redactBody(body.found) };
+}
 function createApiError(context) {
   const parsed = parseErrorBody(context.body, context.status, context.statusText);
   const rateLimit = readRateLimit(context.headers);
@@ -1741,7 +1951,7 @@ function createApiError(context) {
     requestId: getRequestId(context.headers),
     method: context.method,
     path: context.path,
-    raw: context.body,
+    raw: safeRawBody(context.body),
     response: context.response,
     retryAfter: parseRetryAfter(context.headers?.get("retry-after"))
   };
@@ -1752,50 +1962,6 @@ function createApiError(context) {
   return new Ctor(init);
 }
 
-// src/core/redact.ts
-var SECRET_HEADERS = /* @__PURE__ */ new Set(["authorization", "cookie", "set-cookie", "x-api-key"]);
-var SECRET_FIELDS = /* @__PURE__ */ new Set([
-  "password",
-  "oldpassword",
-  "newpassword",
-  "accesstoken",
-  "refreshtoken",
-  "flowtoken",
-  "token",
-  "otp"
-]);
-function maskSecret(value) {
-  if (value.length <= 8) return "\u2026";
-  return `${value.slice(0, 4)}\u2026(${value.length})\u2026${value.slice(-3)}`;
-}
-function redactHeaders(headers) {
-  const result = {};
-  headers.forEach((value, name) => {
-    if (SECRET_HEADERS.has(name.toLowerCase())) {
-      const spaceAt = value.indexOf(" ");
-      result[name] = spaceAt > 0 ? `${value.slice(0, spaceAt)} ${maskSecret(value.slice(spaceAt + 1))}` : maskSecret(value);
-      return;
-    }
-    result[name] = value;
-  });
-  return result;
-}
-function redactBody(body) {
-  if (body === null || body === void 0) return body;
-  if (typeof FormData !== "undefined" && body instanceof FormData) return "[FormData]";
-  if (typeof Blob !== "undefined" && body instanceof Blob) return "[Blob]";
-  if (body instanceof ArrayBuffer || ArrayBuffer.isView(body)) return "[binary]";
-  if (Array.isArray(body)) return body.map(redactBody);
-  if (typeof body === "object") {
-    const result = {};
-    for (const [key, value] of Object.entries(body)) {
-      result[key] = SECRET_FIELDS.has(key.toLowerCase()) ? "[\u0441\u043A\u0440\u044B\u0442\u043E]" : redactBody(value);
-    }
-    return result;
-  }
-  return body;
-}
-
 // src/core/unwrap.ts
 function unwrapData(body) {
   if (typeof body !== "object" || body === null || Array.isArray(body)) return body;
@@ -1947,6 +2113,11 @@ var HttpClient = class {
   async #buildHeaders(options, url) {
     const headers = new Headers();
     headers.set("Accept", "application/json");
+    headers.set("X-Requested-With", "XMLHttpRequest");
+    if (this.#config.userAgent) setHeader(headers, "User-Agent", this.#config.userAgent);
+    if (this.#collaborators.getDeviceId) {
+      setHeader(headers, "X-Device-Id", await this.#collaborators.getDeviceId());
+    }
     for (const [name, value] of Object.entries(this.#config.headers))
       setHeader(headers, name, value);
     if (!options.skipAuth && this.#collaborators.getAuthHeaders) {
@@ -3020,6 +3191,8 @@ var AuthResource = class extends BaseResource {
    * тогда продолжайте через {@link verifyOtp} либо воспользуйтесь {@link signInWithOtp}.
    *
    * При успешном входе токен сохраняется в клиенте автоматически.
+   *
+   * @param credentials email, пароль и обязательный токен капчи — см. {@link CaptchaCredentials}
    */
   async signIn(credentials, options = {}) {
     const body = await this.http.request({
@@ -3097,7 +3270,15 @@ var AuthResource = class extends BaseResource {
       );
     }
     const otp = await getOtp();
-    return this.verifyOtp({ ...credentials, otp, flowToken: result.flowToken }, options);
+    return this.verifyOtp(
+      {
+        email: credentials.email,
+        password: credentials.password,
+        otp,
+        flowToken: result.flowToken
+      },
+      options
+    );
   }
   /**
    * Обновляет токен доступа.
@@ -3128,32 +3309,48 @@ var AuthResource = class extends BaseResource {
     });
     await this.#auth.clear();
   }
-  /** Завершает все сессии пользователя и очищает локальную. */
+  /**
+   * Завершает все сессии пользователя и очищает локальную.
+   *
+   * Собран из двух запросов, потому что единого эндпоинта на сервере нет:
+   * `POST /api/v1/auth/logout-all` отвечает `404`. Сначала отзываются все прочие сессии
+   * (`DELETE /api/v1/auth/sessions`), затем завершается текущая — в обратном порядке
+   * отзывать было бы уже нечем.
+   */
   async logoutAll(options = {}) {
-    await this.http.request({
-      method: "POST",
-      path: "/api/v1/auth/logout-all",
-      skipAuthRefresh: true,
-      ...this.requestOptions(options)
-    });
-    await this.#auth.clear();
+    await this.revokeOtherSessions(options);
+    await this.logout(options);
   }
   /** Забывает сессию локально, не обращаясь к серверу. */
   signOut() {
     return this.#auth.clear();
   }
-  /** Запрашивает письмо для сброса пароля. */
-  forgotPassword(email, options = {}) {
-    return this.http.request({
+  /**
+   * Запрашивает письмо с кодом для сброса пароля.
+   *
+   * @returns `flowToken`, который нужно передать в {@link resetPassword}
+   */
+  async forgotPassword(input, options = {}) {
+    const body = await this.http.request({
       method: "POST",
       path: "/api/v1/auth/forgot-password",
-      body: { email },
+      body: input,
       skipAuth: true,
       skipAuthRefresh: true,
       ...this.requestOptions(options)
     });
+    const flowToken = pickString(body, "flowToken");
+    if (!flowToken) {
+      throw new ItdConfigError("\u0421\u0435\u0440\u0432\u0435\u0440 \u043D\u0435 \u0432\u0435\u0440\u043D\u0443\u043B flowToken \u043F\u0440\u0438 \u0437\u0430\u043F\u0440\u043E\u0441\u0435 \u0441\u0431\u0440\u043E\u0441\u0430 \u043F\u0430\u0440\u043E\u043B\u044F");
+    }
+    return flowToken;
   }
-  /** Устанавливает новый пароль по токену из письма. */
+  /**
+   * Устанавливает новый пароль по коду из письма.
+   *
+   * Сервер ждёт все четыре поля сразу — `email`, `otp`, `flowToken` и `newPassword`;
+   * при нехватке любого отвечает `422`.
+   */
   resetPassword(input, options = {}) {
     return this.http.request({
       method: "POST",
@@ -3164,12 +3361,45 @@ var AuthResource = class extends BaseResource {
       ...this.requestOptions(options)
     });
   }
-  /** Меняет пароль. Требует действующей сессии обновления. */
+  /**
+   * Полный сброс пароля с кодом из письма.
+   *
+   * Тот же приём, что и {@link signInWithOtp}: код запрашивается функцией `getOtp`,
+   * остальное библиотека делает сама.
+   *
+   * @example
+   * ```ts
+   * await itd.auth.resetPasswordWithOtp({
+   *   email,
+   *   turnstileToken,
+   *   newPassword,
+   *   getOtp: () => rl.question('Код из письма: '),
+   * });
+   * ```
+   */
+  async resetPasswordWithOtp(input, options = {}) {
+    const flowToken = await this.forgotPassword(
+      { email: input.email, turnstileToken: input.turnstileToken },
+      options
+    );
+    const otp = await input.getOtp();
+    await this.resetPassword(
+      { email: input.email, otp, flowToken, newPassword: input.newPassword },
+      options
+    );
+  }
+  /**
+   * Меняет пароль. Требует действующей сессии.
+   *
+   * При неверном текущем пароле сервер отвечает `ACCOUNT_CURRENT_PASSWORD_INCORRECT`.
+   */
   changePassword(input, options = {}) {
     return this.http.request({
       method: "POST",
       path: "/api/v1/auth/change-password",
-      body: input,
+      // Текущий пароль уходит под двумя именами: какое из них ждёт сервер, снаружи
+      // не проверить, а лишнее поле он игнорирует.
+      body: { ...input, currentPassword: input.oldPassword },
       ...this.requestOptions(options)
     });
   }
@@ -4552,6 +4782,7 @@ var ItdClient = class {
     this.#queue = this.#config.rateLimit ? new RequestQueue(this.#config.rateLimit) : void 0;
     this.#http.setCollaborators({
       getAuthHeaders: () => this.#authManager.getAuthHeaders(),
+      getDeviceId: () => this.#authManager.getDeviceId(),
       onUnauthorized: () => this.#authManager.onUnauthorized(),
       getCookieHeader: (url) => this.#jar.getHeader(url),
       saveCookies: (url, response) => this.#jar.setFromResponse(url, response),
@@ -4822,10 +5053,14 @@ function toDate(value) {
 
 exports.ALLOWED_MIME_TYPES = ALLOWED_MIME_TYPES;
 exports.AUDIO_MIME_TYPES = AUDIO_MIME_TYPES;
+exports.AUTH_FLAG_COOKIE = AUTH_FLAG_COOKIE;
+exports.AUTH_PATHS = AUTH_PATHS;
 exports.AttachmentType = AttachmentType;
 exports.CommentSort = CommentSort;
 exports.DEFAULT_BASE_URL = DEFAULT_BASE_URL;
 exports.DEFAULT_TIMEOUT = DEFAULT_TIMEOUT;
+exports.DEFAULT_USER_AGENT = DEFAULT_USER_AGENT;
+exports.DEVICE_ID_HEADER = DEVICE_ID_HEADER;
 exports.FeedTab = FeedTab;
 exports.IMAGE_MIME_TYPES = IMAGE_MIME_TYPES;
 exports.ItdAbortError = ItdAbortError;
@@ -4845,6 +5080,7 @@ exports.ItdRealtime = ItdRealtime;
 exports.ItdServerError = ItdServerError;
 exports.ItdTimeoutError = ItdTimeoutError;
 exports.ItdValidationError = ItdValidationError;
+exports.LIBRARY_VERSION = LIBRARY_VERSION;
 exports.LikesVisibility = LikesVisibility;
 exports.LocalStorageTokenStorage = LocalStorageTokenStorage;
 exports.MAX_RECONNECT_ATTEMPTS = MAX_RECONNECT_ATTEMPTS;
@@ -4854,10 +5090,13 @@ exports.NotificationType = NotificationType;
 exports.Paginator = Paginator;
 exports.RECONNECT_BACKOFF = RECONNECT_BACKOFF;
 exports.RECONNECT_JITTER = RECONNECT_JITTER;
+exports.REFRESH_COOKIE = REFRESH_COOKIE;
+exports.REFRESH_COOKIE_PATH = REFRESH_COOKIE_PATH;
 exports.RealtimeStatus = RealtimeStatus;
 exports.ReportReason = ReportReason;
 exports.ReportTargetType = ReportTargetType;
 exports.STREAM_PATH = STREAM_PATH;
+exports.TURNSTILE_SITE_KEY = TURNSTILE_SITE_KEY;
 exports.VIDEO_MIME_TYPES = VIDEO_MIME_TYPES;
 exports.WallAccess = WallAccess;
 exports.canonicalNotificationType = canonicalNotificationType;
@@ -4881,5 +5120,5 @@ exports.readUnreadCountEvent = readUnreadCountEvent;
 exports.report = report;
 exports.resolveNotificationUrl = resolveNotificationUrl;
 exports.toDate = toDate;
-//# sourceMappingURL=chunk-QILCVTJI.cjs.map
-//# sourceMappingURL=chunk-QILCVTJI.cjs.map
+//# sourceMappingURL=chunk-3ODOEKQO.cjs.map
+//# sourceMappingURL=chunk-3ODOEKQO.cjs.map