itd-api 0.9.2 → 0.10.0

package/dist/index.cjs

@@ -1,10 +1,10 @@
 Object.defineProperty(exports, Symbol.toStringTag, { value: "Module" });
-const require_url = require("./shared/url-Doc0XXW_.cjs");
+const require_url = require("./shared/url-CDVgMIq5.cjs");
 const require_errors = require("./shared/errors-BmP3TKoW.cjs");
 const require_redact = require("./shared/redact-lAmck1Z6.cjs");
-const require_render = require("./shared/render-DqVzx68r.cjs");
+const require_render = require("./shared/render-BimHjOhw.cjs");
 const require_options = require("./shared/options-DjEtbVaf.cjs");
-const require_events = require("./shared/events-BsRm_Fba.cjs");
+const require_events = require("./shared/events-BB791aPk.cjs");
 const require_key_value_store = require("./shared/key-value-store-B5GYVEYZ.cjs");
 const require_storage = require("./shared/storage-CZJZoaz9.cjs");
 const require_multi_storage = require("./shared/multi-storage-s-fPtjoy.cjs");
@@ -32,12 +32,37 @@ const SignInStatus = Object.freeze({
 	Authenticated: "authenticated",
 	OtpRequired: "otp_required"
 });
+/**
+* Поле тела запроса по умолчанию для известных провайдеров.
+*
+* Используется, когда провайдера не спрашивали. Ответ `captchaProvider()` важнее этой таблицы.
+*/
+const CAPTCHA_FIELDS = Object.freeze({
+	[require_url.CaptchaType.Itd]: require_url.CaptchaField.Itd,
+	[require_url.CaptchaType.Cloudflare]: require_url.CaptchaField.Cloudflare
+});
+/** Состояния, которые может вернуть проверка QR-входа. */
+const QrLoginStatus = Object.freeze({
+	Pending: "pending",
+	Scanned: "scanned",
+	CaptchaRequired: "captcha_required",
+	Authorized: "authorized",
+	Rejected: "rejected"
+});
+/** Состояния, приходящие из потокового наблюдения за QR-входом. */
+const QrLoginStreamStatus = Object.freeze({
+	Pending: "pending",
+	Scanned: "scanned",
+	Approved: "approved",
+	Rejected: "rejected"
+});
 function requireString(body, key, message) {
 	const value = require_url.pickString(body, key);
 	if (!value) throw new require_errors.ItdConfigError(message);
 	return value;
 }
 const AUTH_CHECK = require_url.passthroughOperation("auth.check");
+const AUTH_CAPTCHA_PROVIDER = require_url.passthroughOperation("auth.captchaProvider");
 const AUTH_SIGN_UP = require_url.defineBuiltInOperation("auth.signUp", (body) => requireString(body, "flowToken", "Сервер не вернул flowToken при регистрации"));
 const AUTH_SIGN_IN = require_url.defineBuiltInOperation("auth.signIn", (body) => {
 	const accessToken = require_url.pickString(body, "accessToken");
@@ -59,6 +84,84 @@ const AUTH_CHANGE_PASSWORD = require_url.voidOperation("auth.changePassword");
 const AUTH_SESSIONS = require_url.defineBuiltInOperation("auth.sessions", (body) => require_url.pickArray(body, "sessions"));
 const AUTH_REVOKE_SESSION = require_url.voidOperation("auth.revokeSession");
 const AUTH_REVOKE_OTHER_SESSIONS = require_url.voidOperation("auth.revokeOtherSessions");
+const AUTH_QR_START = require_url.passthroughOperation("auth.qrStart");
+const AUTH_QR_CLAIM = require_url.passthroughOperation("auth.qrClaim");
+//#endregion
+//#region src/session/captcha.ts
+function requireCaptchaText(value, field) {
+	if (value !== void 0 && (typeof value !== "string" || value.trim() === "")) throw new require_errors.ItdConfigError(`${field} должен быть непустой строкой`);
+}
+/**
+* Проверяет форму блока `auth.captcha`.
+*
+* Отсутствие источника токена ошибкой не считается: до входа по паролю дело может и не
+* дойти. О нехватке сообщит {@link resolveCaptchaBody} в момент входа.
+*
+* @throws {ItdConfigError} при некорректных значениях
+*/
+function validateCaptchaOptions(captcha) {
+	if (captcha === void 0) return;
+	if (!require_url.isRecord$1(captcha)) throw new require_errors.ItdConfigError("auth.captcha должен быть объектом");
+	const { type, token, getToken, field } = captcha;
+	requireCaptchaText(type, "auth.captcha.type");
+	requireCaptchaText(token, "auth.captcha.token");
+	requireCaptchaText(field, "auth.captcha.field");
+	if (getToken !== void 0 && typeof getToken !== "function") throw new require_errors.ItdConfigError("auth.captcha.getToken должен быть функцией");
+}
+/** Разбирает ответ `GET /api/v1/auth/captcha/provider` для автоматического входа. */
+function readCaptchaProvider(body) {
+	const config = require_url.isRecord$1(body) ? body : void 0;
+	const provider = config?.provider;
+	const field = config?.field;
+	if (typeof provider !== "string" || provider.trim() === "" || typeof field !== "string" || field.trim() === "") throw new require_errors.ItdConfigError("Сервер вернул неподдерживаемую конфигурацию капчи");
+	return {
+		provider,
+		field
+	};
+}
+/** Куда класть токен: настройка, иначе умолчание провайдера. */
+function resolveField(type, configured) {
+	const field = configured ?? CAPTCHA_FIELDS[type];
+	if (field) return field;
+	throw new require_errors.ItdConfigError(`Неизвестно, в каком поле сервер ждёт токен капчи «${type}». Передайте auth.captcha.field либо оставьте auth.captcha.type = ${require_url.CaptchaChoice.Auto}, чтобы поле назвал сервер.`);
+}
+/** Спрашивает свежий токен, затем берёт разовый. */
+async function resolveToken(captcha, type) {
+	const token = await captcha.getToken?.(type) || captcha.token;
+	if (token) return token;
+	throw new require_errors.ItdConfigError(`Источник капчи не вернул токен для провайдера «${type}». Проверьте auth.captcha.getToken.`);
+}
+/**
+* Готовит фрагмент тела запроса с токеном капчи.
+*
+* При `CaptchaChoice.Auto` провайдер спрашивается у сервера — тогда и тип виджета,
+* и имя поля приходят оттуда. Явно названный тип решается без этого запроса.
+*
+* @param askProvider как спросить активного провайдера; вызывается, только если это нужно
+* @throws {ItdConfigError} если капча не настроена или токен не получен
+*/
+async function resolveCaptchaBody(captcha, askProvider) {
+	if (!captcha?.token && !captcha?.getToken) throw new require_errors.ItdConfigError("Вход по email и паролю требует токен капчи. Передайте auth.captcha.getToken — источник свежего токена — либо разовый auth.captcha.token. В Node токен получает пакет @itd-api/captcha.");
+	const choice = captcha.type ?? require_url.CaptchaChoice.Auto;
+	if (choice === require_url.CaptchaChoice.Auto) {
+		const { provider, field } = await askProvider();
+		return { [field]: await resolveToken(captcha, provider) };
+	}
+	return { [resolveField(choice, captcha.field)]: await resolveToken(captcha, choice) };
+}
+/**
+* Готовит фрагмент тела для разового вызова с готовым доказательством.
+*
+* Поле берётся из самого доказательства либо из умолчания провайдера; запроса к серверу нет.
+*
+* @throws {ItdConfigError} если доказательство неполное
+*/
+function captchaBody(captcha) {
+	if (!require_url.isRecord$1(captcha)) throw new require_errors.ItdConfigError("captcha должен быть объектом { type, token }");
+	if (typeof captcha.token !== "string" || captcha.token.trim() === "") throw new require_errors.ItdConfigError("captcha.token должен быть непустой строкой");
+	if (typeof captcha.type !== "string" || captcha.type.trim() === "") throw new require_errors.ItdConfigError("captcha.type должен быть непустой строкой");
+	return { [resolveField(captcha.type, captcha.field)]: captcha.token };
+}
 //#endregion
 //#region src/session/jwt.ts
 /**
@@ -75,38 +178,34 @@ function decodeBase64Url(segment) {
 	const bytes = Uint8Array.from(binary, (char) => char.charCodeAt(0));
 	return new TextDecoder().decode(bytes);
 }
-/**
-* Читает `sub` и `sid` из полезной нагрузки JWT.
-*
-* Подпись не проверяется — ключа для проверки у клиента нет. Прочитанные значения служат
-* лишь метками для разделения локального состояния и не дают доступа: его определяет сервер.
-*/
-function readTokenIdentity(token) {
+/** Читает полезную нагрузку JWT без проверки подписи. */
+function readTokenPayload(token) {
 	try {
 		const payload = token.split(".")[1];
-		if (!payload) return {};
+		if (!payload) return void 0;
 		const parsed = JSON.parse(decodeBase64Url(payload));
-		if (typeof parsed !== "object" || parsed === null) return {};
-		const { sub, sid } = parsed;
-		return {
-			...typeof sub === "string" && sub.length > 0 ? { subject: sub } : {},
-			...typeof sid === "string" && sid.length > 0 ? { sessionId: sid } : {}
-		};
+		if (typeof parsed !== "object" || parsed === null || Array.isArray(parsed)) return void 0;
+		return parsed;
 	} catch {
-		return {};
+		return;
 	}
 }
-/**
-* Читает `sub` из полезной нагрузки JWT.
-*
-* @returns идентификатор владельца токена; `undefined`, если токен не JWT, повреждён
-* или поля `sub` в нём нет
-*/
-function readTokenSubject(token) {
-	return readTokenIdentity(token).subject;
+/** Читает используемые клиентом поля JWT за один раз. */
+function readTokenMetadata(token) {
+	const payload = readTokenPayload(token);
+	if (!payload) return {};
+	const { sub, sid, exp } = payload;
+	const expiresAt = typeof exp === "number" && Number.isFinite(exp) ? exp * 1e3 : void 0;
+	return {
+		...typeof sub === "string" && sub.length > 0 ? { subject: sub } : {},
+		...typeof sid === "string" && sid.length > 0 ? { sessionId: sid } : {},
+		...expiresAt !== void 0 && Number.isFinite(expiresAt) ? { expiresAt } : {}
+	};
 }
 //#endregion
 //#region src/session/auth.ts
+/** Запас до истечения токена на очередь и выполнение запроса. */
+const ACCESS_TOKEN_REFRESH_LEEWAY_MS = 3e4;
 /**
 * Проверяет форму `auth` и сообщает о типичных ошибках понятным текстом.
 *
@@ -135,11 +234,10 @@ function validateAuth(auth) {
 		return { ...auth };
 	}
 	if ("email" in auth || "password" in auth) {
-		const { email, password, turnstileToken, getTurnstileToken } = auth;
+		const { email, password, captcha } = auth;
 		if (typeof email !== "string" || email.trim() === "") throw new require_errors.ItdConfigError("auth.email должен быть непустой строкой");
 		if (typeof password !== "string" || password === "") throw new require_errors.ItdConfigError("auth.password должен быть непустой строкой");
-		if (getTurnstileToken !== void 0 && typeof getTurnstileToken !== "function") throw new require_errors.ItdConfigError("auth.getTurnstileToken должен быть функцией");
-		if (turnstileToken !== void 0 && (typeof turnstileToken !== "string" || turnstileToken.trim() === "")) throw new require_errors.ItdConfigError("auth.turnstileToken должен быть непустой строкой");
+		validateCaptchaOptions(captcha);
 		return { ...auth };
 	}
 	throw new require_errors.ItdConfigError("auth не распознан. Ожидается строка с accessToken либо объект { accessToken }, { email, password } или { getToken }");
@@ -186,6 +284,7 @@ function createItdAuth(options, deps) {
 }
 /** Пути эндпоинтов авторизации. */
 const AUTH_PATHS = {
+	captchaProvider: "/api/v1/auth/captcha/provider",
 	signUp: "/api/v1/auth/sign-up",
 	signIn: "/api/v1/auth/sign-in",
 	verifyOtp: "/api/v1/auth/verify-otp",
@@ -195,7 +294,10 @@ const AUTH_PATHS = {
 	forgotPassword: "/api/v1/auth/forgot-password",
 	resetPassword: "/api/v1/auth/reset-password",
 	changePassword: "/api/v1/auth/change-password",
-	sessions: "/api/v1/auth/sessions"
+	sessions: "/api/v1/auth/sessions",
+	qrStart: "/api/v1/auth/qr/start",
+	qrClaim: "/api/v1/auth/qr/claim",
+	qrStream: "/api/v1/auth/qr/stream"
 };
 /**
 * Публичный ключ Cloudflare Turnstile платформы итд.com.
@@ -205,14 +307,15 @@ const AUTH_PATHS = {
 *
 * Ключ привязан к домену: на чужом origin Cloudflare отказывает виджету с кодом `110200`.
 * Поэтому отрисовать его может только код, выполняемый на самом итд.com. Остальным
-* подходит `@itd-api/turnstile`, готовый токен из другого источника или вовсе вход
+* подходит `@itd-api/captcha`, готовый токен из другого источника или вовсе вход
 * без капчи — по сохранённой сессии либо по токенам, взятым в браузере.
 *
 * @example
 * ```ts
 * turnstile.render('#captcha', {
 *   sitekey: TURNSTILE_SITE_KEY,
-*   callback: (turnstileToken) => itd.auth.signIn({ email, password, turnstileToken }),
+*   callback: (token) =>
+*     itd.auth.signIn({ email, password, captcha: { type: CaptchaType.Cloudflare, token } }),
 * });
 * ```
 */
@@ -306,7 +409,7 @@ var AuthManager = class {
 	* старте читают хранилище один раз и не заводят каждый свой `deviceId`.
 	*/
 	#loading = null;
-	/** Общий промис обновления: к нему присоединяются все, кто получил 401. */
+	/** Текущее обновление: к нему присоединяются запросы той же ревизии. */
 	#refreshing = null;
 	/** Общий промис входа по логину и паролю. */
 	#signingIn = null;
@@ -316,6 +419,7 @@ var AuthManager = class {
 	#externalToken;
 	/** Идентификаторы последнего токена внешнего источника для синхронных потребителей. */
 	#externalIdentity;
+	#tokenMetadata;
 	/**
 	* Идентификатор устройства.
 	*
@@ -329,9 +433,7 @@ var AuthManager = class {
 	* Счётчик смен владельца авторизации.
 	*
 	* Растёт при каждой операции, которая заменяет или очищает сессию извне: `clear`,
-	* `setSession`, `setAccessToken`, вход. `#performRefresh` снимает его значение перед
-	* сетевым запросом и сверяет перед записью — иначе запоздавший ответ обновления мог бы
-	* воскресить уже очищенную сессию поверх `signOut`.
+	* `setSession`, `setAccessToken`, вход. Refresh сверяет снимок до и после сетевого запроса.
 	*/
 	#authEpoch = 0;
 	#externalReadGeneration = 0;
@@ -364,6 +466,7 @@ var AuthManager = class {
 		this.#disposed = true;
 		this.#externalReadGeneration += 1;
 		this.#invalidateInFlight();
+		this.#tokenMetadata = void 0;
 		this.#emitter.removeAllListeners();
 	}
 	/**
@@ -424,12 +527,25 @@ var AuthManager = class {
 		return this.#session?.accessToken ?? null;
 	}
 	#identityForToken(accessToken) {
-		const token = accessToken ? readTokenIdentity(accessToken) : {};
+		const token = this.#metadataForToken(accessToken);
 		return {
 			...token.subject ? { userId: token.subject } : {},
 			...token.sessionId ? { sessionId: token.sessionId } : {}
 		};
 	}
+	#metadataForToken(accessToken) {
+		if (!accessToken) {
+			this.#tokenMetadata = void 0;
+			return {};
+		}
+		if (this.#tokenMetadata?.accessToken === accessToken) return this.#tokenMetadata.value;
+		const value = readTokenMetadata(accessToken);
+		this.#tokenMetadata = {
+			accessToken,
+			value
+		};
+		return value;
+	}
 	async #readExternalToken(getToken) {
 		this.#assertActive();
 		const generation = ++this.#externalReadGeneration;
@@ -476,15 +592,33 @@ var AuthManager = class {
 		if (this.#jar.has("is_auth", this.#config.baseUrl)) return true;
 		return Boolean(this.#session?.refreshToken);
 	}
-	/**
-	* Готовит состояние авторизации до входа запроса в очередь. Стадия `auth_preparation`.
-	*
-	* Загрузка хранилища, внешний источник токена и отложенный вход асинхронны, поэтому
-	* обязаны завершиться до захвата слота очереди.
-	*/
+	/** Готовит внутреннюю сессию до retry исходного запроса. */
+	async preflight(allowRefresh) {
+		this.#assertActive();
+		let accessToken = (await this.#loadSession())?.accessToken;
+		if (!accessToken) {
+			const auth = this.#config.auth;
+			if (typeof auth === "object" && auth !== null && "email" in auth) accessToken = await this.#signInWithCredentials(auth) ?? void 0;
+		}
+		if (!accessToken || !allowRefresh || !this.#config.autoRefresh) return;
+		const expiresAt = this.#metadataForToken(accessToken).expiresAt;
+		if (expiresAt === void 0 || expiresAt > this.#config.clock.now() + ACCESS_TOKEN_REFRESH_LEEWAY_MS || !this.#hasRefreshSession()) return;
+		try {
+			await this.#refreshDeduplicated({
+				epoch: this.#authEpoch,
+				accessToken
+			});
+		} catch (error) {
+			this.#emitter.emit("authError", { error });
+			throw error;
+		}
+	}
+	/** Перед каждой попыткой перечитывает внешний источник токена. */
 	async prepare() {
 		this.#assertActive();
-		await this.token();
+		if ((await this.#loadSession())?.accessToken) return;
+		const auth = this.#config.auth;
+		if (typeof auth === "object" && auth !== null && "getToken" in auth) await this.#readExternalToken(() => auth.getToken());
 	}
 	/**
 	* Заголовки уже подготовленной авторизации без чтения storage или вызова внешнего источника.
@@ -599,6 +733,13 @@ var AuthManager = class {
 	}
 	/** Сохраняет токен, полученный извне, — например после подтверждения OTP. */
 	async setAccessToken(accessToken, expectedRevision = this.#authEpoch, cookies) {
+		return this.#storeAccessToken(accessToken, expectedRevision, cookies, false);
+	}
+	/** Атомарно принимает токен и cookie завершённого входа как новую сессию. @internal */
+	async commitAuthFlow(accessToken, cookies, expectedRevision = this.#authEpoch) {
+		return this.#storeAccessToken(accessToken, expectedRevision, cookies, true);
+	}
+	async #storeAccessToken(accessToken, expectedRevision, cookies, replaceSession) {
 		this.#assertActive();
 		if (typeof accessToken !== "string" || accessToken.trim() === "") throw new require_errors.ItdConfigError("accessToken должен быть непустой строкой");
 		await this.#loadSession();
@@ -608,7 +749,7 @@ var AuthManager = class {
 		this.#invalidateInFlight();
 		this.#transitionAuth(accessToken);
 		const saved = this.#saveSession({
-			...this.#session ?? {},
+			...replaceSession ? {} : this.#session ?? {},
 			accessToken,
 			obtainedAt: this.#config.clock.now()
 		});
@@ -631,7 +772,7 @@ var AuthManager = class {
 	async getUserId() {
 		this.#assertActive();
 		const session = await this.#loadSession();
-		return session?.accessToken ? readTokenSubject(session.accessToken) : void 0;
+		return session?.accessToken ? this.#identityForToken(session.accessToken).userId : void 0;
 	}
 	/** Заменяет сессию и связанные с ней cookie целиком. */
 	async setSession(session) {
@@ -734,24 +875,30 @@ var AuthManager = class {
 		this.#persistence = pending.catch(() => {});
 		return pending;
 	}
-	/**
-	* Обновление с дедупликацией.
-	*
-	* Все, кто пришёл, пока обновление уже идёт, получают его результат, а не запускают своё.
-	*/
-	#refreshDeduplicated() {
-		if (this.#refreshing) return this.#refreshing;
-		const promise = this.#performRefresh().finally(() => {
-			this.#refreshing = null;
+	/** Дедуплицирует refresh одной ревизии; следующая ждёт завершения предыдущей. */
+	#refreshDeduplicated(expectation = { epoch: this.#authEpoch }) {
+		const current = this.#refreshing;
+		if (current) {
+			if (current.epoch === expectation.epoch) return current.promise;
+			return current.promise.then(() => this.#refreshDeduplicated(expectation), () => this.#refreshDeduplicated(expectation));
+		}
+		const promise = this.#performRefresh(expectation).finally(() => {
+			if (this.#refreshing?.promise === promise) this.#refreshing = null;
 		});
-		this.#refreshing = promise;
+		this.#refreshing = {
+			epoch: expectation.epoch,
+			promise
+		};
 		return promise;
 	}
-	async #performRefresh() {
+	#matchesRefreshExpectation(expectation) {
+		return this.#authEpoch === expectation.epoch && (expectation.accessToken === void 0 || this.#session?.accessToken === expectation.accessToken);
+	}
+	async #performRefresh(expectation) {
 		this.#assertActive();
 		await this.#loadSession();
+		if (!this.#matchesRefreshExpectation(expectation)) return this.#currentAccessToken();
 		if (!this.#hasRefreshSession()) return this.#reloginOrNull();
-		const epoch = this.#authEpoch;
 		const flowCookies = this.#jar.clone();
 		try {
 			const accessToken = await this.#http.execute(AUTH_REFRESH, {
@@ -760,7 +907,7 @@ var AuthManager = class {
 				skipAuthRefresh: true,
 				cookieJar: flowCookies
 			});
-			if (this.#authEpoch !== epoch) return this.#session?.accessToken ?? null;
+			if (!this.#matchesRefreshExpectation(expectation)) return this.#session?.accessToken ?? null;
 			this.#jar.replaceWith(flowCookies);
 			const rotated = this.#jar.getValue(require_redact.REFRESH_COOKIE, this.#config.baseUrl + require_redact.REFRESH_COOKIE_PATH);
 			this.#transitionAuth(accessToken, false);
@@ -772,10 +919,11 @@ var AuthManager = class {
 			});
 			this.#emitter.emit("tokens", { accessToken });
 			await saved;
+			if (this.#authEpoch !== expectation.epoch) return this.#currentAccessToken();
 			return accessToken;
 		} catch (error) {
+			if (this.#authEpoch !== expectation.epoch) return this.#currentAccessToken();
 			if (error instanceof require_errors.ItdAuthError) {
-				if (this.#authEpoch !== epoch) return this.#session?.accessToken ?? null;
 				this.#invalidateInFlight();
 				const clearedRevision = this.#authEpoch;
 				this.#transitionAuth(void 0);
@@ -816,29 +964,23 @@ var AuthManager = class {
 		this.#signingIn = promise;
 		return promise;
 	}
-	/**
-	* Берёт токен капчи для входа.
-	*
-	* `getTurnstileToken` приоритетнее готовой строки: токен Turnstile одноразовый и живёт
-	* несколько минут, поэтому при повторном входе через сутки годится только свежий.
-	*/
-	async #resolveTurnstileToken(credentials) {
-		if (credentials.getTurnstileToken) {
-			const token = await credentials.getTurnstileToken();
-			if (token) return token;
-		}
-		if (credentials.turnstileToken) return credentials.turnstileToken;
-		throw new require_errors.ItdConfigError("Вход по email и паролю требует токен капчи Cloudflare Turnstile: без него сервер отвечает 422. Передайте auth.getTurnstileToken (источник свежего токена) либо разовый auth.turnstileToken. Ключ виджета — TURNSTILE_SITE_KEY. В Node токен умеет добывать отдельный пакет: npm i @itd-api/turnstile, затем getTurnstileToken: createTurnstileSolver().");
+	/** Спрашивает у сервера активного провайдера и поле, в котором он ждёт токен. */
+	async #resolveCaptchaProvider() {
+		return readCaptchaProvider(await this.#http.execute(AUTH_CAPTCHA_PROVIDER, {
+			path: AUTH_PATHS.captchaProvider,
+			skipAuth: true,
+			skipAuthRefresh: true
+		}));
 	}
 	async #performSignIn(credentials, revision) {
-		const turnstileToken = await this.#resolveTurnstileToken(credentials);
+		const captcha = await resolveCaptchaBody(credentials.captcha, () => this.#resolveCaptchaProvider());
 		const flowCookies = new require_redact.CookieJar();
 		const result = await this.#http.execute(AUTH_SIGN_IN, {
 			path: AUTH_PATHS.signIn,
 			body: {
 				email: credentials.email,
 				password: credentials.password,
-				turnstileToken
+				...captcha
 			},
 			skipAuth: true,
 			skipAuthRefresh: true,
@@ -862,6 +1004,125 @@ var AuthManager = class {
 	}
 };
 //#endregion
+//#region src/session/qr-stream.ts
+const QR_STREAM_STATUSES = new Set(Object.values(QrLoginStreamStatus));
+function readQrLoginStreamEvent(data) {
+	let value;
+	try {
+		value = JSON.parse(data);
+	} catch {
+		return;
+	}
+	if (!require_url.isRecord$1(value)) return void 0;
+	const event = value;
+	if (typeof event.status !== "string" || !QR_STREAM_STATUSES.has(event.status)) return;
+	return {
+		status: event.status,
+		...typeof event.expiresIn === "number" && Number.isFinite(event.expiresIn) ? { expiresIn: event.expiresIn } : {}
+	};
+}
+/** Читает короткоживущий SSE-поток QR-входа и последовательно доставляет его события. */
+async function consumeQrLoginStream(body, onEvent, signal) {
+	const reader = body.getReader();
+	const decoder = new TextDecoder();
+	let delivery = Promise.resolve();
+	let completed = false;
+	const cancel = () => {
+		reader.cancel(signal?.reason).catch(() => {});
+	};
+	signal?.addEventListener("abort", cancel, { once: true });
+	const parser = require_events.createParser({ onEvent(message) {
+		const event = readQrLoginStreamEvent(message.data);
+		if (!event) return;
+		delivery = delivery.then(() => onEvent(event));
+	} });
+	try {
+		for (;;) {
+			const { done, value } = await reader.read();
+			if (done) break;
+			parser.feed(decoder.decode(value, { stream: true }));
+			await delivery;
+		}
+		parser.feed(decoder.decode());
+		await delivery;
+		if (signal?.aborted) throw signal.reason;
+		completed = true;
+	} finally {
+		signal?.removeEventListener("abort", cancel);
+		if (!completed) await reader.cancel().catch(() => {});
+		reader.releaseLock?.();
+	}
+}
+/** Открывает изолированный HTTP/SSE-канал QR-входа. @internal */
+async function openQrLoginStream(connection, cookies, input, onEvent, signal) {
+	connection.assertActive?.("открыть QR-поток");
+	const path = AUTH_PATHS.qrStream;
+	const method = "POST";
+	const url = require_redact.joinUrl(connection.baseUrl, path);
+	const abort = require_url.createRequestAbortScope(signal, connection.signal, 0, connection.clock);
+	try {
+		const headers = await connection.baseHeaders(url);
+		headers.delete("Authorization");
+		headers.delete("Cookie");
+		headers.set("Accept", "text/event-stream");
+		headers.set("Content-Type", "application/json");
+		const cookie = cookies.getHeader(url);
+		if (cookie) headers.set("Cookie", cookie);
+		let response;
+		try {
+			response = await connection.fetch(url, {
+				method,
+				headers,
+				body: JSON.stringify(input),
+				credentials: "include",
+				signal: abort.signal
+			});
+		} catch (error) {
+			const failure = new require_errors.ItdNetworkError(`Не удалось открыть QR-поток: ${String(error)}`, {
+				method,
+				path,
+				cause: error
+			});
+			throw require_url.requestAbortError(abort, {
+				timeout: 0,
+				method,
+				path
+			}, failure);
+		}
+		cookies.setFromResponse(response.url || url, response);
+		if (!response.ok) {
+			const text = await response.text();
+			let body = text;
+			try {
+				body = JSON.parse(text);
+			} catch {}
+			throw require_url.createApiError({
+				method,
+				path,
+				status: response.status,
+				statusText: response.statusText,
+				headers: response.headers,
+				response,
+				body,
+				now: connection.clock.now()
+			});
+		}
+		if (!response.body) throw new require_errors.ItdNetworkError("Сервер не вернул тело QR-потока", {
+			method,
+			path
+		});
+		await consumeQrLoginStream(response.body, onEvent, abort.signal);
+	} catch (error) {
+		throw require_url.requestAbortError(abort, {
+			timeout: 0,
+			method,
+			path
+		}, error);
+	} finally {
+		abort.cleanup();
+	}
+}
+//#endregion
 //#region src/resources/auth.ts
 /**
 * Результат входа.
@@ -876,9 +1137,35 @@ var AuthManager = class {
 */
 var AuthResource = class extends require_render.BaseResource {
 	#auth;
+	#connection;
+	#qrFlows = /* @__PURE__ */ new Map();
 	constructor(http, deps) {
 		super(http);
 		this.#auth = deps.auth;
+		this.#connection = deps.connection;
+	}
+	#pruneQrFlows() {
+		const now = this.#connection.clock.now();
+		for (const [qrId, flow] of this.#qrFlows) if (flow.expiresAt !== void 0 && flow.expiresAt <= now) this.#qrFlows.delete(qrId);
+	}
+	#qrFlow(qrId) {
+		this.#pruneQrFlows();
+		const existing = this.#qrFlows.get(qrId);
+		if (existing) return existing;
+		const flow = {
+			cookies: this.#auth.createCookieFlow(false),
+			expiresAt: void 0
+		};
+		this.#qrFlows.set(qrId, flow);
+		return flow;
+	}
+	#touchQrFlow(flow, expiresIn) {
+		if (typeof expiresIn !== "number" || !Number.isFinite(expiresIn)) return;
+		const expiresAt = this.#connection.clock.now() + Math.max(0, expiresIn) * 1e3;
+		flow.expiresAt = flow.expiresAt === void 0 ? expiresAt : Math.min(flow.expiresAt, expiresAt);
+	}
+	#forgetTerminalQrError(qrId, error) {
+		if (require_errors.isItdApiError(error) && error.hasCode("QR_EXPIRED", "QR_ALREADY_USED", "QR_TOKEN_MISMATCH")) this.#qrFlows.delete(qrId);
 	}
 	/**
 	* Проверяет состояние авторизации и возвращает текущего пользователя.
@@ -892,14 +1179,106 @@ var AuthResource = class extends require_render.BaseResource {
 		});
 	}
 	/**
+	* Узнаёт активного провайдера капчи и поле токена.
+	*
+	* Сервер может переключить провайдера или переименовать поле без выпуска новой версии SDK.
+	* Автоматическому входу этот вызов не нужен — клиент делает его сам.
+	*/
+	captchaProvider(options = {}) {
+		return this.http.execute(AUTH_CAPTCHA_PROVIDER, {
+			path: AUTH_PATHS.captchaProvider,
+			skipAuth: true,
+			skipAuthRefresh: true,
+			...options
+		});
+	}
+	/** Создаёт короткоживущую сессию QR-входа. */
+	async startQrLogin(options = {}) {
+		const cookies = this.#auth.createCookieFlow(false);
+		const result = await this.http.execute(AUTH_QR_START, {
+			path: AUTH_PATHS.qrStart,
+			skipAuth: true,
+			skipAuthRefresh: true,
+			cookieJar: cookies,
+			...options
+		});
+		if (typeof result.qrId === "string" && result.qrId !== "") {
+			const flow = {
+				cookies,
+				expiresAt: void 0
+			};
+			this.#touchQrFlow(flow, result.expiresIn);
+			this.#qrFlows.set(result.qrId, flow);
+		}
+		return result;
+	}
+	/**
+	* Проверяет QR-сессию и завершает вход после подтверждения на другом устройстве.
+	*
+	* До подтверждения возвращает промежуточный статус. Если сервер потребовал капчу,
+	* повторите вызов с `captcha` — тип берётся из {@link captchaProvider}.
+	* Полученный `accessToken` автоматически сохраняется в клиенте.
+	*/
+	async claimQrLogin(input, options = {}) {
+		const revision = this.#auth.revision();
+		const flow = this.#qrFlow(input.qrId);
+		try {
+			const { captcha, ...rest } = input;
+			const result = await this.http.execute(AUTH_QR_CLAIM, {
+				path: AUTH_PATHS.qrClaim,
+				body: {
+					...rest,
+					...captcha ? captchaBody(captcha) : {}
+				},
+				skipAuth: true,
+				skipAuthRefresh: true,
+				cookieJar: flow.cookies,
+				...options
+			});
+			this.#touchQrFlow(flow, result.expiresIn);
+			if (result.status === QrLoginStatus.Authorized) {
+				await this.#auth.commitAuthFlow(result.accessToken, flow.cookies, revision);
+				this.#qrFlows.delete(input.qrId);
+			} else if (result.status === QrLoginStatus.Rejected) this.#qrFlows.delete(input.qrId);
+			return result;
+		} catch (error) {
+			this.#forgetTerminalQrError(input.qrId, error);
+			throw error;
+		}
+	}
+	/**
+	* Слушает состояния QR-входа до закрытия ответа или отмены `signal`.
+	*
+	* Событие `approved` означает, что подтверждение завершено: после него вызовите
+	* {@link claimQrLogin}, чтобы получить и сохранить access token.
+	*/
+	async streamQrLogin(input, onEvent, options = {}) {
+		if (typeof onEvent !== "function") throw new require_errors.ItdConfigError("onEvent QR-потока должен быть функцией");
+		const flow = this.#qrFlow(input.qrId);
+		try {
+			await openQrLoginStream(this.#connection, flow.cookies, input, async (event) => {
+				this.#touchQrFlow(flow, event.expiresIn);
+				if (event.status === QrLoginStreamStatus.Rejected) this.#qrFlows.delete(input.qrId);
+				await onEvent(event);
+			}, options.signal);
+		} catch (error) {
+			this.#forgetTerminalQrError(input.qrId, error);
+			throw error;
+		}
+	}
+	/**
 	* Регистрирует аккаунт и запускает подтверждение по коду.
 	*
 	* @returns `flowToken`, который нужно передать в {@link verifyOtp}
 	*/
 	signUp(credentials, options = {}) {
+		const { captcha, ...rest } = credentials;
 		return this.http.execute(AUTH_SIGN_UP, {
 			path: AUTH_PATHS.signUp,
-			body: credentials,
+			body: {
+				...rest,
+				...captchaBody(captcha)
+			},
 			skipAuth: true,
 			skipAuthRefresh: true,
 			...options
@@ -916,17 +1295,21 @@ var AuthResource = class extends require_render.BaseResource {
 	* @param credentials email, пароль и обязательный токен капчи — см. {@link CaptchaCredentials}
 	*/
 	async signIn(credentials, options = {}) {
+		const { captcha, ...rest } = credentials;
 		const revision = this.#auth.revision();
 		const cookies = this.#auth.createCookieFlow(false);
 		const result = await this.http.execute(AUTH_SIGN_IN, {
 			path: AUTH_PATHS.signIn,
-			body: credentials,
+			body: {
+				...rest,
+				...captchaBody(captcha)
+			},
 			skipAuth: true,
 			skipAuthRefresh: true,
 			cookieJar: cookies,
 			...options
 		});
-		if (result.status === SignInStatus.Authenticated) await this.#auth.setAccessToken(result.accessToken, revision, cookies);
+		if (result.status === SignInStatus.Authenticated) await this.#auth.commitAuthFlow(result.accessToken, cookies, revision);
 		else this.#auth.commitCookieFlow(cookies, revision);
 		return result;
 	}
@@ -946,7 +1329,7 @@ var AuthResource = class extends require_render.BaseResource {
 			cookieJar: cookies,
 			...options
 		});
-		await this.#auth.setAccessToken(accessToken, revision, cookies);
+		await this.#auth.commitAuthFlow(accessToken, cookies, revision);
 		return accessToken;
 	}
 	/** Отправляет код подтверждения повторно. */
@@ -1051,7 +1434,10 @@ var AuthResource = class extends require_render.BaseResource {
 	forgotPassword(input, options = {}) {
 		return this.http.execute(AUTH_FORGOT_PASSWORD, {
 			path: AUTH_PATHS.forgotPassword,
-			body: input,
+			body: {
+				email: input.email,
+				...captchaBody(input.captcha)
+			},
 			skipAuth: true,
 			skipAuthRefresh: true,
 			...options
@@ -1082,23 +1468,21 @@ var AuthResource = class extends require_render.BaseResource {
 	* ```ts
 	* await itd.auth.resetPasswordWithOtp({
 	*   email,
-	*   turnstileToken,
+	*   captcha: { type: provider, token, field },
 	*   newPassword,
 	*   getOtp: () => rl.question('Код из письма: '),
 	* });
 	* ```
 	*/
 	async resetPasswordWithOtp(input, options = {}) {
-		const flowToken = await this.forgotPassword({
-			email: input.email,
-			turnstileToken: input.turnstileToken
-		}, options);
-		const otp = await input.getOtp();
+		const { getOtp, newPassword, ...request } = input;
+		const flowToken = await this.forgotPassword(request, options);
+		const otp = await getOtp();
 		await this.resetPassword({
 			email: input.email,
 			otp,
 			flowToken,
-			newPassword: input.newPassword
+			newPassword
 		}, options);
 	}
 	/**
@@ -1187,8 +1571,8 @@ function createManagedClient(options, internals) {
 * const itd = new ItdClient({
 *   // `auth` не обязателен: когда хранилище уже содержит сессию, токен берётся оттуда,
 *   // а истёкший продлевается сам. Здесь он нужен на первый запуск.
-*   // Вход по паролю требует токена капчи — см. AuthInput и TURNSTILE_SITE_KEY.
-*   auth: { email, password, getTurnstileToken },
+*   // Вход по паролю требует токена капчи — см. CaptchaOptions.
+*   auth: { email, password, captcha: createCaptchaSolver() },
 *   storage: new FileTokenStorage('./.itd-session.json'),
 *   rateLimit: { concurrency: 4, rps: 8 },
 * });
@@ -1209,7 +1593,10 @@ var ItdClient = class ItdClient {
 	#auth;
 	/** Авторизация, сессии и пароли. */
 	get auth() {
-		this.#auth ??= new AuthResource(this.#runtime.http, { auth: this.#runtime.auth });
+		this.#auth ??= new AuthResource(this.#runtime.http, {
+			auth: this.#runtime.auth,
+			connection: this.#runtime.connection()
+		});
 		return this.#auth;
 	}
 	/** Профили, подписки, блокировки, приватность. */
@@ -1706,7 +2093,9 @@ function assertAccountsActive(accounts, action) {
 * await accounts.restore();
 *
 * if (!accounts.has('kiow')) {
-*   accounts.addAccount('kiow', { auth: { email, password, getTurnstileToken } });
+*   accounts.addAccount('kiow', {
+*     auth: { email, password, captcha: createCaptchaSolver() },
+*   });
 * }
 *
 * await accounts.account('kiow').posts.create({ content: 'привет' });
@@ -1785,7 +2174,9 @@ var ItdAccounts = class ItdAccounts {
 	*
 	* @example
 	* ```ts
-	* accounts.addAccount('bot', { auth: { email, password, getTurnstileToken } });
+	* accounts.addAccount('bot', {
+	*   auth: { email, password, captcha: createCaptchaSolver() },
+	* });
 	* accounts.addAccount('reader', { auth: '<accessToken>' });
 	* accounts.addAccount('через-прокси', { fetch: proxyFetch('socks5://…') });
 	* ```
@@ -2123,6 +2514,10 @@ exports.AUDIO_MIME_TYPES = require_render.AUDIO_MIME_TYPES;
 exports.AccessType = require_url.AccessType;
 exports.AttachmentType = require_url.AttachmentType;
 exports.BUCKET_LIMITS = require_url.BUCKET_LIMITS;
+exports.CAPTCHA_FIELDS = CAPTCHA_FIELDS;
+exports.CaptchaChoice = require_url.CaptchaChoice;
+exports.CaptchaField = require_url.CaptchaField;
+exports.CaptchaType = require_url.CaptchaType;
 exports.CommentSort = require_url.CommentSort;
 exports.DEFAULT_BASE_URL = require_url.DEFAULT_BASE_URL;
 exports.DEFAULT_RATE_LIMIT_BUCKET = require_url.DEFAULT_RATE_LIMIT_BUCKET;
@@ -2172,6 +2567,8 @@ exports.NotificationUpdateType = require_events.NotificationUpdateType;
 exports.OPERATIONS = require_url.OPERATIONS;
 exports.PaginationMode = require_render.PaginationMode;
 exports.Paginator = require_render.Paginator;
+exports.QrLoginStatus = QrLoginStatus;
+exports.QrLoginStreamStatus = QrLoginStreamStatus;
 exports.RateLimitPacing = require_url.RateLimitPacing;
 exports.ReportReason = require_url.ReportReason;
 exports.ReportTargetType = require_url.ReportTargetType;