itd-api 0.9.1 → 0.9.3

package/dist/index.cjs

@@ -1,13 +1,13 @@
 Object.defineProperty(exports, Symbol.toStringTag, { value: "Module" });
-const require_url = require("./shared/url-CzHqE-Fg.cjs");
+const require_url = require("./shared/url-D6wsXm1T.cjs");
 const require_errors = require("./shared/errors-BmP3TKoW.cjs");
-const require_redact = require("./shared/redact-BP00URmQ.cjs");
-const require_render = require("./shared/render-DAEeCMk9.cjs");
-const require_options = require("./shared/options-DOJYtoti.cjs");
-const require_events = require("./shared/events-BqFkwwTw.cjs");
+const require_redact = require("./shared/redact-lAmck1Z6.cjs");
+const require_render = require("./shared/render-Omy1drH1.cjs");
+const require_options = require("./shared/options-DjEtbVaf.cjs");
+const require_events = require("./shared/events-C1FudmSe.cjs");
 const require_key_value_store = require("./shared/key-value-store-B5GYVEYZ.cjs");
-const require_storage = require("./shared/storage-QNVxzpDB.cjs");
-const require_multi_storage = require("./shared/multi-storage-CDKLa956.cjs");
+const require_storage = require("./shared/storage-CZJZoaz9.cjs");
+const require_multi_storage = require("./shared/multi-storage-s-fPtjoy.cjs");
 //#region src/notifications-api.ts
 var ClientNotifications = class extends require_render.NotificationsResource {
 	#createEvents;
@@ -50,7 +50,7 @@ const AUTH_SIGN_IN = require_url.defineBuiltInOperation("auth.signIn", (body) =>
 	};
 });
 const AUTH_VERIFY_OTP = require_url.defineBuiltInOperation("auth.verifyOtp", (body) => requireString(body, "accessToken", "Сервер не вернул accessToken после подтверждения кода"));
-const AUTH_REFRESH = require_url.defineBuiltInOperation("auth.refresh", (body) => require_url.pickString(body, "accessToken"));
+const AUTH_REFRESH = require_url.defineBuiltInOperation("auth.refresh", (body) => requireString(body, "accessToken", "Сервер не вернул accessToken при обновлении сессии"));
 const AUTH_RESEND_OTP = require_url.voidOperation("auth.resendOtp");
 const AUTH_LOGOUT = require_url.voidOperation("auth.logout");
 const AUTH_FORGOT_PASSWORD = require_url.defineBuiltInOperation("auth.forgotPassword", (body) => requireString(body, "flowToken", "Сервер не вернул flowToken при запросе сброса пароля"));
@@ -75,38 +75,34 @@ function decodeBase64Url(segment) {
 	const bytes = Uint8Array.from(binary, (char) => char.charCodeAt(0));
 	return new TextDecoder().decode(bytes);
 }
-/**
-* Читает `sub` и `sid` из полезной нагрузки JWT.
-*
-* Подпись не проверяется — ключа для проверки у клиента нет. Прочитанные значения служат
-* лишь метками для разделения локального состояния и не дают доступа: его определяет сервер.
-*/
-function readTokenIdentity(token) {
+/** Читает полезную нагрузку JWT без проверки подписи. */
+function readTokenPayload(token) {
 	try {
 		const payload = token.split(".")[1];
-		if (!payload) return {};
+		if (!payload) return void 0;
 		const parsed = JSON.parse(decodeBase64Url(payload));
-		if (typeof parsed !== "object" || parsed === null) return {};
-		const { sub, sid } = parsed;
-		return {
-			...typeof sub === "string" && sub.length > 0 ? { subject: sub } : {},
-			...typeof sid === "string" && sid.length > 0 ? { sessionId: sid } : {}
-		};
+		if (typeof parsed !== "object" || parsed === null || Array.isArray(parsed)) return void 0;
+		return parsed;
 	} catch {
-		return {};
+		return;
 	}
 }
-/**
-* Читает `sub` из полезной нагрузки JWT.
-*
-* @returns идентификатор владельца токена; `undefined`, если токен не JWT, повреждён
-* или поля `sub` в нём нет
-*/
-function readTokenSubject(token) {
-	return readTokenIdentity(token).subject;
+/** Читает используемые клиентом поля JWT за один раз. */
+function readTokenMetadata(token) {
+	const payload = readTokenPayload(token);
+	if (!payload) return {};
+	const { sub, sid, exp } = payload;
+	const expiresAt = typeof exp === "number" && Number.isFinite(exp) ? exp * 1e3 : void 0;
+	return {
+		...typeof sub === "string" && sub.length > 0 ? { subject: sub } : {},
+		...typeof sid === "string" && sid.length > 0 ? { sessionId: sid } : {},
+		...expiresAt !== void 0 && Number.isFinite(expiresAt) ? { expiresAt } : {}
+	};
 }
 //#endregion
 //#region src/session/auth.ts
+/** Запас до истечения токена на очередь и выполнение запроса. */
+const ACCESS_TOKEN_REFRESH_LEEWAY_MS = 3e4;
 /**
 * Проверяет форму `auth` и сообщает о типичных ошибках понятным текстом.
 *
@@ -120,12 +116,18 @@ function validateAuth(auth) {
 		return auth;
 	}
 	if (typeof auth !== "object" || auth === null) throw new require_errors.ItdConfigError(`auth должен быть строкой с токеном или объектом, получено: ${typeof auth}`);
+	if ([
+		"getToken" in auth,
+		"accessToken" in auth || "refreshToken" in auth,
+		"email" in auth || "password" in auth
+	].filter(Boolean).length > 1) throw new require_errors.ItdConfigError("auth должен описывать ровно один способ авторизации: getToken, accessToken или email/password");
 	if ("getToken" in auth) {
 		if (typeof auth.getToken !== "function") throw new require_errors.ItdConfigError("auth.getToken должен быть функцией");
 		return { ...auth };
 	}
 	if ("accessToken" in auth) {
 		if (typeof auth.accessToken !== "string" || auth.accessToken.trim() === "") throw new require_errors.ItdConfigError("auth.accessToken должен быть непустой строкой");
+		if (auth.refreshToken !== void 0 && (typeof auth.refreshToken !== "string" || auth.refreshToken.trim() === "")) throw new require_errors.ItdConfigError("auth.refreshToken должен быть непустой строкой");
 		return { ...auth };
 	}
 	if ("email" in auth || "password" in auth) {
@@ -213,10 +215,67 @@ const AUTH_PATHS = {
 const TURNSTILE_SITE_KEY = "0x4AAAAAACHhxczw6fJGwPBg";
 /** Убирает поле, которое сохраняли промежуточные версии с поддержкой `getUserId()`. */
 function withoutLegacyUserId(session) {
-	const clean = { ...session };
+	const clean = require_storage.copySession(session);
 	delete clean.userId;
 	return clean;
 }
+function normalizeSessionValue(value, source, mode = "strict", logger) {
+	const tolerant = mode === "stored";
+	if (!require_url.isRecord$1(value)) {
+		if (tolerant) {
+			logger?.warn(`${source} вернула не объект сессии; сохранённая запись пропущена`);
+			return null;
+		}
+		throw new require_errors.ItdConfigError(`${source} должна быть объектом сессии`);
+	}
+	const record = value;
+	const normalized = { ...record };
+	delete normalized.userId;
+	const normalizeString = (field) => {
+		const item = record[field];
+		if (item === void 0) {
+			delete normalized[field];
+			return;
+		}
+		if (item !== void 0 && (typeof item !== "string" || item.trim() === "")) {
+			if (tolerant) {
+				logger?.warn(`${source}.${field} повреждена; поле сохранённой сессии пропущено`);
+				delete normalized[field];
+				return;
+			}
+			throw new require_errors.ItdConfigError(`${source}.${field} должна быть непустой строкой`);
+		}
+		normalized[field] = item;
+	};
+	normalizeString("accessToken");
+	normalizeString("refreshToken");
+	normalizeString("deviceId");
+	if (record.obtainedAt === void 0) delete normalized.obtainedAt;
+	else if (typeof record.obtainedAt !== "number" || !Number.isFinite(record.obtainedAt)) {
+		if (!tolerant) throw new require_errors.ItdConfigError(`${source}.obtainedAt должна быть конечным числом`);
+		else {
+			logger?.warn(`${source}.obtainedAt повреждена; поле сохранённой сессии пропущено`);
+			delete normalized.obtainedAt;
+		}
+	}
+	if (record.cookies === void 0) delete normalized.cookies;
+	else if (!Array.isArray(record.cookies)) {
+		if (tolerant) {
+			logger?.warn(`${source}.cookies повреждена; поле сохранённой сессии пропущено`);
+			delete normalized.cookies;
+		} else throw new require_errors.ItdConfigError(`${source}.cookies должна быть массивом`);
+	} else {
+		const valid = record.cookies.filter((cookie) => typeof cookie === "string" && require_redact.isSerializedCookieEntry(cookie));
+		if (valid.length > 0) normalized.cookies = valid;
+		else delete normalized.cookies;
+	}
+	return normalized;
+}
+function normalizeSession(value, source) {
+	const normalized = normalizeSessionValue(value, source);
+	if (!normalized) throw new require_errors.ItdConfigError(`${source} должна быть объектом сессии`);
+	return normalized;
+}
 let authScopeSequence = 0;
 function nextAuthScope() {
 	authScopeSequence += 1;
@@ -243,7 +302,7 @@ var AuthManager = class {
 	* старте читают хранилище один раз и не заводят каждый свой `deviceId`.
 	*/
 	#loading = null;
-	/** Общий промис обновления: к нему присоединяются все, кто получил 401. */
+	/** Текущее обновление: к нему присоединяются запросы той же ревизии. */
 	#refreshing = null;
 	/** Общий промис входа по логину и паролю. */
 	#signingIn = null;
@@ -253,6 +312,7 @@ var AuthManager = class {
 	#externalToken;
 	/** Идентификаторы последнего токена внешнего источника для синхронных потребителей. */
 	#externalIdentity;
+	#tokenMetadata;
 	/**
 	* Идентификатор устройства.
 	*
@@ -266,11 +326,12 @@ var AuthManager = class {
 	* Счётчик смен владельца авторизации.
 	*
 	* Растёт при каждой операции, которая заменяет или очищает сессию извне: `clear`,
-	* `setSession`, `setAccessToken`, вход. `#performRefresh` снимает его значение перед
-	* сетевым запросом и сверяет перед записью — иначе запоздавший ответ обновления мог бы
-	* воскресить уже очищенную сессию поверх `signOut`.
+	* `setSession`, `setAccessToken`, вход. Refresh сверяет снимок до и после сетевого запроса.
 	*/
 	#authEpoch = 0;
+	#externalReadGeneration = 0;
+	#disposed = false;
+	#persistence = Promise.resolve();
 	constructor(config, http, jar, hooks = {}) {
 		this.#config = config;
 		this.#http = http;
@@ -280,15 +341,25 @@ var AuthManager = class {
 	}
 	/** Подписка на события авторизации. */
 	get on() {
-		return this.#emitter.on.bind(this.#emitter);
+		return ((...args) => {
+			this.#assertActive();
+			return this.#emitter.on(...args);
+		});
 	}
 	/** Подписка на одно срабатывание. */
 	get once() {
-		return this.#emitter.once.bind(this.#emitter);
+		return ((...args) => {
+			this.#assertActive();
+			return this.#emitter.once(...args);
+		});
 	}
 	/** Снимает служебные подписки при окончательном освобождении владельца. @internal */
 	dispose() {
+		if (this.#disposed) return;
+		this.#disposed = true;
+		this.#externalReadGeneration += 1;
 		this.#invalidateInFlight();
+		this.#tokenMetadata = void 0;
 		this.#emitter.removeAllListeners();
 	}
 	/**
@@ -302,6 +373,7 @@ var AuthManager = class {
 	}
 	/** Загружает сессию и возвращает идентификаторы аккаунта и сессии для плагинов. */
 	async getAuthIdentity() {
+		this.#assertActive();
 		const session = await this.#loadSession();
 		if (session?.accessToken) return this.#identityForToken(session.accessToken);
 		const auth = this.#config.auth;
@@ -322,16 +394,57 @@ var AuthManager = class {
 	/** Отмечает смену владельца авторизации — обесценивает результат идущего обновления. */
 	#invalidateInFlight() {
 		this.#authEpoch += 1;
+		this.#externalReadGeneration += 1;
+	}
+	/** Ревизия владельца сессии для условного commit внешнего auth-flow. @internal */
+	revision() {
+		this.#assertActive();
+		return this.#authEpoch;
+	}
+	/** Создаёт изолированный jar для сетевого auth-flow. @internal */
+	createCookieFlow(inherit = true) {
+		this.#assertActive();
+		return inherit ? this.#jar.clone() : new require_redact.CookieJar();
+	}
+	/** Применяет cookies только если владелец сессии не сменился. @internal */
+	commitCookieFlow(cookies, expectedRevision) {
+		this.#assertActive();
+		if (this.#authEpoch !== expectedRevision) return false;
+		this.#jar.replaceWith(cookies);
+		return true;
+	}
+	#assertActive() {
+		if (this.#disposed) throw new require_errors.ItdStateError("Менеджер авторизации уже освобождён");
+	}
+	#currentAccessToken() {
+		return this.#session?.accessToken ?? null;
 	}
 	#identityForToken(accessToken) {
-		const token = accessToken ? readTokenIdentity(accessToken) : {};
+		const token = this.#metadataForToken(accessToken);
 		return {
 			...token.subject ? { userId: token.subject } : {},
 			...token.sessionId ? { sessionId: token.sessionId } : {}
 		};
 	}
+	#metadataForToken(accessToken) {
+		if (!accessToken) {
+			this.#tokenMetadata = void 0;
+			return {};
+		}
+		if (this.#tokenMetadata?.accessToken === accessToken) return this.#tokenMetadata.value;
+		const value = readTokenMetadata(accessToken);
+		this.#tokenMetadata = {
+			accessToken,
+			value
+		};
+		return value;
+	}
 	async #readExternalToken(getToken) {
+		this.#assertActive();
+		const generation = ++this.#externalReadGeneration;
 		const token = await getToken() ?? null;
+		this.#assertActive();
+		if (generation !== this.#externalReadGeneration) return token;
 		const current = this.#identityForToken(token ?? void 0);
 		if (this.#externalToken !== void 0 && this.#externalToken !== token) {
 			this.#rotateAuthScope();
@@ -362,6 +475,7 @@ var AuthManager = class {
 	* ответ был бы `false` даже при полностью рабочей сохранённой сессии.
 	*/
 	async hasRefreshSession() {
+		this.#assertActive();
 		await this.#loadSession();
 		return this.#hasRefreshSession();
 	}
@@ -371,14 +485,33 @@ var AuthManager = class {
 		if (this.#jar.has("is_auth", this.#config.baseUrl)) return true;
 		return Boolean(this.#session?.refreshToken);
 	}
-	/**
-	* Готовит состояние авторизации до входа запроса в очередь. Стадия `auth_preparation`.
-	*
-	* Загрузка хранилища, внешний источник токена и отложенный вход асинхронны, поэтому
-	* обязаны завершиться до захвата слота очереди.
-	*/
+	/** Готовит внутреннюю сессию до retry исходного запроса. */
+	async preflight(allowRefresh) {
+		this.#assertActive();
+		let accessToken = (await this.#loadSession())?.accessToken;
+		if (!accessToken) {
+			const auth = this.#config.auth;
+			if (typeof auth === "object" && auth !== null && "email" in auth) accessToken = await this.#signInWithCredentials(auth) ?? void 0;
+		}
+		if (!accessToken || !allowRefresh || !this.#config.autoRefresh) return;
+		const expiresAt = this.#metadataForToken(accessToken).expiresAt;
+		if (expiresAt === void 0 || expiresAt > this.#config.clock.now() + ACCESS_TOKEN_REFRESH_LEEWAY_MS || !this.#hasRefreshSession()) return;
+		try {
+			await this.#refreshDeduplicated({
+				epoch: this.#authEpoch,
+				accessToken
+			});
+		} catch (error) {
+			this.#emitter.emit("authError", { error });
+			throw error;
+		}
+	}
+	/** Перед каждой попыткой перечитывает внешний источник токена. */
 	async prepare() {
-		await this.token();
+		this.#assertActive();
+		if ((await this.#loadSession())?.accessToken) return;
+		const auth = this.#config.auth;
+		if (typeof auth === "object" && auth !== null && "getToken" in auth) await this.#readExternalToken(() => auth.getToken());
 	}
 	/**
 	* Заголовки уже подготовленной авторизации без чтения storage или вызова внешнего источника.
@@ -397,6 +530,7 @@ var AuthManager = class {
 	* через `itd.auth.refresh()`, а библиотека просто пробрасывает {@link ItdAuthError}.
 	*/
 	recover() {
+		this.#assertActive();
 		return this.#config.autoRefresh ? this.onUnauthorized() : Promise.resolve(false);
 	}
 	/**
@@ -407,6 +541,7 @@ var AuthManager = class {
 	* по новой сессии на каждый старт.
 	*/
 	deviceId() {
+		this.#assertActive();
 		if (this.#deviceId) return Promise.resolve(this.#deviceId);
 		this.#deviceIdLoading ??= this.#resolveDeviceId().finally(() => {
 			this.#deviceIdLoading = null;
@@ -414,9 +549,12 @@ var AuthManager = class {
 		return this.#deviceIdLoading;
 	}
 	async #resolveDeviceId() {
+		const revision = this.#authEpoch;
 		const session = await this.#loadSession();
+		this.#assertActive();
 		const deviceId = this.#config.deviceId ?? session?.deviceId ?? require_redact.createDeviceId();
 		this.#deviceId = deviceId;
+		if (this.#authEpoch !== revision) return deviceId;
 		if (session?.deviceId !== deviceId) await this.#saveSession({
 			...session ?? {},
 			deviceId
@@ -430,6 +568,7 @@ var AuthManager = class {
 	* и пароль, первый же запрос сам заведёт сессию.
 	*/
 	async token() {
+		this.#assertActive();
 		const session = await this.#loadSession();
 		if (session?.accessToken) return session.accessToken;
 		const auth = this.#config.auth;
@@ -444,6 +583,7 @@ var AuthManager = class {
 	* @returns `true`, если токен обновлён и запрос имеет смысл повторить
 	*/
 	async onUnauthorized() {
+		this.#assertActive();
 		try {
 			if (await this.#refreshDeduplicated() !== null) return true;
 			this.#emitter.emit("authError", { error: this.#noRefreshSessionError() });
@@ -479,24 +619,33 @@ var AuthManager = class {
 	* @throws {ItdAuthError} если обновить сессию не удалось
 	*/
 	async refresh() {
+		this.#assertActive();
 		const token = await this.#refreshDeduplicated();
 		if (token === null) throw this.#noRefreshSessionError();
 		return token;
 	}
 	/** Сохраняет токен, полученный извне, — например после подтверждения OTP. */
-	async setAccessToken(accessToken) {
+	async setAccessToken(accessToken, expectedRevision = this.#authEpoch, cookies) {
+		this.#assertActive();
+		if (typeof accessToken !== "string" || accessToken.trim() === "") throw new require_errors.ItdConfigError("accessToken должен быть непустой строкой");
 		await this.#loadSession();
+		this.#assertActive();
+		if (this.#authEpoch !== expectedRevision) return false;
+		if (cookies) this.#jar.replaceWith(cookies);
 		this.#invalidateInFlight();
 		this.#transitionAuth(accessToken);
-		await this.#saveSession({
+		const saved = this.#saveSession({
 			...this.#session ?? {},
 			accessToken,
 			obtainedAt: this.#config.clock.now()
 		});
 		this.#emitter.emit("tokens", { accessToken });
+		await saved;
+		return true;
 	}
 	/** Текущая сессия целиком. Полезно, чтобы сохранить её самому. */
 	async getSession() {
+		this.#assertActive();
 		const session = await this.#loadSession();
 		return session ? require_storage.copySession(session) : null;
 	}
@@ -507,20 +656,24 @@ var AuthManager = class {
 	* токена идентификатор прежнего владельца остаться не может.
 	*/
 	async getUserId() {
+		this.#assertActive();
 		const session = await this.#loadSession();
-		return session?.accessToken ? readTokenSubject(session.accessToken) : void 0;
+		return session?.accessToken ? this.#identityForToken(session.accessToken).userId : void 0;
 	}
 	/** Заменяет сессию и связанные с ней cookie целиком. */
 	async setSession(session) {
+		this.#assertActive();
+		const normalized = normalizeSession(session, "session");
 		await this.#loadSession();
+		this.#assertActive();
 		this.#invalidateInFlight();
-		this.#transitionAuth(session.accessToken);
+		this.#transitionAuth(normalized.accessToken);
 		this.#jar.clear();
-		this.#jar.deserialize(session.cookies);
-		if (session.deviceId) this.#deviceId = session.deviceId;
-		this.#session = session;
+		this.#jar.deserialize(normalized.cookies);
+		if (normalized.deviceId) this.#deviceId = normalized.deviceId;
+		this.#session = normalized;
 		this.#seedRefreshCookie();
-		await this.#saveSession(session);
+		await this.#saveSession(normalized);
 	}
 	/**
 	* Забывает сессию и cookie. Сетевой запрос не выполняется.
@@ -529,14 +682,19 @@ var AuthManager = class {
 	* новую запись в списке сессий.
 	*/
 	async clear() {
+		this.#assertActive();
 		await this.#loadSession();
+		this.#assertActive();
 		this.#invalidateInFlight();
 		this.#transitionAuth(void 0);
-		this.#session = null;
 		this.#jar.clear();
-		await this.#config.storage.clear();
-		if (this.#deviceId) await this.#saveSession({ deviceId: this.#deviceId });
+		const retained = this.#deviceId ? { deviceId: this.#deviceId } : null;
+		this.#session = retained;
 		this.#emitter.emit("signOut", void 0);
+		await this.#enqueuePersistence(async () => {
+			await this.#config.storage.clear();
+			if (retained) await this.#config.storage.set(require_storage.copySession(retained));
+		});
 	}
 	#loadSession() {
 		if (this.#session !== void 0) return Promise.resolve(this.#session);
@@ -547,7 +705,8 @@ var AuthManager = class {
 	}
 	async #performLoad() {
 		const loaded = await this.#config.storage.get() ?? null;
-		const stored = loaded ? withoutLegacyUserId(loaded) : null;
+		this.#assertActive();
+		const stored = loaded === null ? null : normalizeSessionValue(loaded, "storage.get()", "stored", this.#config.logger);
 		if (stored?.cookies) this.#jar.deserialize(stored.cookies);
 		const fromConfig = this.#sessionFromConfig(this.#config.auth);
 		this.#session = stored && fromConfig ? {
@@ -569,7 +728,7 @@ var AuthManager = class {
 		if (!this.#config.useCookieJar) return;
 		const refreshToken = this.#session?.refreshToken;
 		if (!refreshToken) return;
-		if (this.#jar.has("refresh_token")) return;
+		if (this.#jar.has("refresh_token", this.#config.baseUrl + "/api/v1/auth")) return;
 		this.#jar.set(this.#config.baseUrl, require_redact.REFRESH_COOKIE, refreshToken, require_redact.REFRESH_COOKIE_PATH);
 	}
 	#sessionFromConfig(auth) {
@@ -588,56 +747,76 @@ var AuthManager = class {
 	async #saveSession(session) {
 		const cookies = this.#config.useCookieJar ? this.#jar.serialize() : void 0;
 		const deviceId = session.deviceId ?? this.#deviceId;
+		const { cookies: _staleCookies, ...withoutCookies } = require_storage.copySession(session);
 		const next = withoutLegacyUserId({
-			...session,
+			...withoutCookies,
 			...cookies?.length ? { cookies } : {},
 			...deviceId ? { deviceId } : {}
 		});
 		this.#session = next;
-		await this.#config.storage.set(next);
-	}
-	/**
-	* Обновление с дедупликацией.
-	*
-	* Все, кто пришёл, пока обновление уже идёт, получают его результат, а не запускают своё.
-	*/
-	#refreshDeduplicated() {
-		if (this.#refreshing) return this.#refreshing;
-		const promise = this.#performRefresh().finally(() => {
-			this.#refreshing = null;
+		await this.#enqueuePersistence(() => this.#config.storage.set(require_storage.copySession(next)));
+	}
+	#enqueuePersistence(operation) {
+		const pending = this.#persistence.then(operation, operation);
+		this.#persistence = pending.catch(() => {});
+		return pending;
+	}
+	/** Дедуплицирует refresh одной ревизии; следующая ждёт завершения предыдущей. */
+	#refreshDeduplicated(expectation = { epoch: this.#authEpoch }) {
+		const current = this.#refreshing;
+		if (current) {
+			if (current.epoch === expectation.epoch) return current.promise;
+			return current.promise.then(() => this.#refreshDeduplicated(expectation), () => this.#refreshDeduplicated(expectation));
+		}
+		const promise = this.#performRefresh(expectation).finally(() => {
+			if (this.#refreshing?.promise === promise) this.#refreshing = null;
 		});
-		this.#refreshing = promise;
+		this.#refreshing = {
+			epoch: expectation.epoch,
+			promise
+		};
 		return promise;
 	}
-	async #performRefresh() {
+	#matchesRefreshExpectation(expectation) {
+		return this.#authEpoch === expectation.epoch && (expectation.accessToken === void 0 || this.#session?.accessToken === expectation.accessToken);
+	}
+	async #performRefresh(expectation) {
+		this.#assertActive();
 		await this.#loadSession();
+		if (!this.#matchesRefreshExpectation(expectation)) return this.#currentAccessToken();
 		if (!this.#hasRefreshSession()) return this.#reloginOrNull();
-		const epoch = this.#authEpoch;
+		const flowCookies = this.#jar.clone();
 		try {
 			const accessToken = await this.#http.execute(AUTH_REFRESH, {
 				path: AUTH_PATHS.refresh,
 				skipAuth: true,
-				skipAuthRefresh: true
+				skipAuthRefresh: true,
+				cookieJar: flowCookies
 			});
-			if (!accessToken) return this.#reloginOrNull();
-			if (this.#authEpoch !== epoch) return this.#session?.accessToken ?? null;
+			if (!this.#matchesRefreshExpectation(expectation)) return this.#session?.accessToken ?? null;
+			this.#jar.replaceWith(flowCookies);
 			const rotated = this.#jar.getValue(require_redact.REFRESH_COOKIE, this.#config.baseUrl + require_redact.REFRESH_COOKIE_PATH);
 			this.#transitionAuth(accessToken, false);
-			await this.#saveSession({
+			const saved = this.#saveSession({
 				...this.#session ?? {},
 				accessToken,
 				...rotated ? { refreshToken: rotated } : {},
 				obtainedAt: this.#config.clock.now()
 			});
 			this.#emitter.emit("tokens", { accessToken });
+			await saved;
+			if (this.#authEpoch !== expectation.epoch) return this.#currentAccessToken();
 			return accessToken;
 		} catch (error) {
-			if (error instanceof require_errors.ItdApiError) {
-				if (this.#authEpoch !== epoch) return this.#session?.accessToken ?? null;
+			if (this.#authEpoch !== expectation.epoch) return this.#currentAccessToken();
+			if (error instanceof require_errors.ItdAuthError) {
+				this.#invalidateInFlight();
+				const clearedRevision = this.#authEpoch;
 				this.#transitionAuth(void 0);
 				this.#session = null;
 				this.#jar.clear();
-				await this.#config.storage.clear();
+				await this.#enqueuePersistence(() => this.#config.storage.clear());
+				if (this.#authEpoch !== clearedRevision) return this.#currentAccessToken();
 				const relogged = await this.#reloginOrNull();
 				if (relogged !== null) return relogged;
 				throw error;
@@ -651,7 +830,8 @@ var AuthManager = class {
 		if (!this.#config.reloginOnRefreshFailure || !auth || typeof auth !== "object" || !("email" in auth)) return null;
 		try {
 			return await this.#signInWithCredentials(auth);
-		} catch {
+		} catch (error) {
+			this.#config.logger?.warn("Автоматический повторный вход не удался", error);
 			return null;
 		}
 	}
@@ -663,7 +843,8 @@ var AuthManager = class {
 	*/
 	#signInWithCredentials(credentials) {
 		if (this.#signingIn) return this.#signingIn;
-		const promise = this.#performSignIn(credentials).finally(() => {
+		const revision = this.#authEpoch;
+		const promise = this.#performSignIn(credentials, revision).finally(() => {
 			this.#signingIn = null;
 		});
 		this.#signingIn = promise;
@@ -683,8 +864,9 @@ var AuthManager = class {
 		if (credentials.turnstileToken) return credentials.turnstileToken;
 		throw new require_errors.ItdConfigError("Вход по email и паролю требует токен капчи Cloudflare Turnstile: без него сервер отвечает 422. Передайте auth.getTurnstileToken (источник свежего токена) либо разовый auth.turnstileToken. Ключ виджета — TURNSTILE_SITE_KEY. В Node токен умеет добывать отдельный пакет: npm i @itd-api/turnstile, затем getTurnstileToken: createTurnstileSolver().");
 	}
-	async #performSignIn(credentials) {
+	async #performSignIn(credentials, revision) {
 		const turnstileToken = await this.#resolveTurnstileToken(credentials);
+		const flowCookies = new require_redact.CookieJar();
 		const result = await this.#http.execute(AUTH_SIGN_IN, {
 			path: AUTH_PATHS.signIn,
 			body: {
@@ -693,18 +875,23 @@ var AuthManager = class {
 				turnstileToken
 			},
 			skipAuth: true,
-			skipAuthRefresh: true
+			skipAuthRefresh: true,
+			cookieJar: flowCookies
 		});
 		if (result.status !== SignInStatus.Authenticated) throw new require_errors.ItdConfigError("Вход по email и паролю требует подтверждения кодом из письма. Автоматический вход невозможен: воспользуйтесь itd.auth.signInWithOtp() и передайте полученный accessToken в конфигурацию клиента.");
 		const accessToken = result.accessToken;
+		this.#assertActive();
+		if (this.#authEpoch !== revision) return this.#session?.accessToken ?? null;
+		this.#jar.replaceWith(flowCookies);
 		this.#invalidateInFlight();
 		this.#transitionAuth(accessToken);
-		await this.#saveSession({
+		const saved = this.#saveSession({
 			accessToken,
 			obtainedAt: this.#config.clock.now()
 		});
 		this.#emitter.emit("tokens", { accessToken });
 		this.#emitter.emit("signIn", { accessToken });
+		await saved;
 		return accessToken;
 	}
 };
@@ -763,14 +950,18 @@ var AuthResource = class extends require_render.BaseResource {
 	* @param credentials email, пароль и обязательный токен капчи — см. {@link CaptchaCredentials}
 	*/
 	async signIn(credentials, options = {}) {
+		const revision = this.#auth.revision();
+		const cookies = this.#auth.createCookieFlow(false);
 		const result = await this.http.execute(AUTH_SIGN_IN, {
 			path: AUTH_PATHS.signIn,
 			body: credentials,
 			skipAuth: true,
 			skipAuthRefresh: true,
+			cookieJar: cookies,
 			...options
 		});
-		if (result.status === SignInStatus.Authenticated) await this.#auth.setAccessToken(result.accessToken);
+		if (result.status === SignInStatus.Authenticated) await this.#auth.setAccessToken(result.accessToken, revision, cookies);
+		else this.#auth.commitCookieFlow(cookies, revision);
 		return result;
 	}
 	/**
@@ -779,14 +970,17 @@ var AuthResource = class extends require_render.BaseResource {
 	* Полученный токен сохраняется в клиенте автоматически.
 	*/
 	async verifyOtp(input, options = {}) {
+		const revision = this.#auth.revision();
+		const cookies = this.#auth.createCookieFlow();
 		const accessToken = await this.http.execute(AUTH_VERIFY_OTP, {
 			path: AUTH_PATHS.verifyOtp,
 			body: input,
 			skipAuth: true,
 			skipAuthRefresh: true,
+			cookieJar: cookies,
 			...options
 		});
-		await this.#auth.setAccessToken(accessToken);
+		await this.#auth.setAccessToken(accessToken, revision, cookies);
 		return accessToken;
 	}
 	/** Отправляет код подтверждения повторно. */
@@ -1705,7 +1899,7 @@ var ItdAccounts = class ItdAccounts {
 		})));
 		const added = [];
 		for (const { name, session } of sessions) {
-			if (!require_multi_storage.isRestorableSession(session)) continue;
+			if (!require_multi_storage.isRestorableSession(session, this.#base.baseUrl ?? "https://xn--d1ah4a.com")) continue;
 			if (this.#clients.has(name) || this.#removing.has(name)) continue;
 			this.addAccount(name);
 			added.push(name);
@@ -2039,7 +2233,6 @@ exports.comment = require_render.comment;
 exports.createAccounts = createAccounts;
 exports.createClient = createClient;
 exports.createKeyValueStore = require_key_value_store.createKeyValueStore;
-exports.createMemoryShopOrderAccessStorage = require_render.createMemoryShopOrderAccessStorage;
 exports.createMultiTokenStorage = require_multi_storage.createMultiTokenStorage;
 exports.createNotificationEventsClient = require_events.createNotificationEventsClient;
 exports.createRecordKeyValueStore = require_key_value_store.createRecordKeyValueStore;