loginbase 1.0.0 → 1.2.0

package/README.md

@@ -3,7 +3,7 @@
 > The shared login foundation for my apps — email OTP + social OAuth + session management.
 > Cloudflare Workers server library + Kotlin Multiplatform client.
 
-多 App 共用的登录底座：邮箱验证码登录、社交 OAuth（GitHub 等）、会话管理（refresh 轮换 + 重用检测 + 丢回执救活）。服务端库跑在各 App 自己的 Cloudflare Worker 里（数据在各自 D1，不做中心化账号），客户端库以 Kotlin Multiplatform 提供。
+多 App 共用的登录底座：邮箱验证码登录、社交 OAuth（GitHub 等）、会话管理（refresh 轮换 + 重用检测 + 丢回执救活）。服务端库跑在各 App 自己的 Cloudflare Worker 里（数据在各自 D1，不做中心化账号），客户端库以 Kotlin Multiplatform 提供，住在姊妹仓 [HarlonWang/loginbase-kt](https://github.com/HarlonWang/loginbase-kt)（第 4 步新建）。**协议契约 [docs/protocol.md](docs/protocol.md) 只住本仓，是两端的唯一权威。**
 
 ## 由来
 
@@ -11,13 +11,12 @@
 - 服务端实现的母本是 Tono-Server 已在生产验证的邮箱验证码登录（含全套测试），本仓库是它的抽取 + 泛化
 - 路线选择（公共库而非中心化服务）与仓库设计见 [docs/design.md](docs/design.md)，命名记录见 [docs/naming.md](docs/naming.md)
 
-## 结构（monorepo：一份协议，两个产物）
+## 结构（两个仓库：一份协议，两个产物）
 
 ```
-loginbase/
+loginbase/                   # 本仓：TS 服务端库 + 协议契约
 ├── src/                     # TS 服务端库（Hono sub-app 工厂），从 Tono-Server 平移
 ├── test/                    # vitest
-├── kotlin/                  # KMP 客户端库（独立 gradle 工程）
 ├── docs/
 │   ├── design.md            # 路线与仓库设计决策
 │   ├── server-design.md     # 服务端技术方案（公共 API/协议草案/会话模型/平移策略）
@@ -26,20 +25,25 @@ loginbase/
 │   ├── protocol.md          # API 契约（唯一权威）——代码平移时落笔
 │   └── logto-替换方案-调研.md # 背景调研（自 TrendingProjects 迁入）
 └── README.md
+
+loginbase-kt/                # 姊妹仓：KMP 客户端库（独立 gradle 工程、独立 CI 与版本线）
 ```
 
 ## 产物坐标
 
 ```
-仓库        HarlonWang/loginbase
-npm         loginbase        （npm registry，tag 触发 CI 发布）
-Maven       wang.harlon:loginbase-kt     （Maven Central，tag 触发 CI 发布）
+服务端仓     HarlonWang/loginbase          （含 protocol.md，协议唯一权威）
+客户端仓     HarlonWang/loginbase-kt
+npm         loginbase                     （npm registry，本仓 tag 触发 CI 发布）
+Maven       wang.harlon:loginbase-kt      （Maven Central，客户端仓 tag 触发 CI 发布）
 Kotlin 包    wang.harlon.loginbase
 ```
 
+两仓各自独立版本线，tag 为裸版本号；协议兼容关系由 `protocol.md` 版本历史 + 客户端仓 README 的对齐声明表达，不靠版本号相等表达。
+
 ## 状态与路线
 
-**落地第 1 步已完成**（2026-08-12）：`loginbase@0.1.1` 上线 npm（trusted publishing + provenance），Tono-Server 已切换依赖并部署生产（其 67 测试全绿即抽取验收）。下一步 = 第 2 步钩子化。落地顺序：
+**落地第 1~3 步已完成**（2026-08-13）：`loginbase@1.1.0` 上线 npm；Tono-Server（钩子化）与 github-ai-trending-api（双轨迁移：loginbase 优先 + Logto fallback）均已部署生产并通过分层验收。下一步 = 第 4 步 KMP 客户端。落地顺序：
 
 1. 从 Tono-Server 平移服务端代码与测试，Tono-Server 改为依赖本包（其现有测试即抽取验收）
 2. 钩子化（`onVerified` 用户回调）+ zh/en 邮件模板 + github-oauth 可选插件
@@ -50,4 +54,4 @@ Kotlin 包    wang.harlon.loginbase
 ## 设计红线
 
 - 依赖最小集：服务端 hono + jose（+ zod-validator），客户端 ktor + kotlinx-serialization + multiplatform-settings。auth 库是供应链攻击的最高价值目标，每加一个依赖都要过一遍这个念头
-- 协议变更必须服务端 + 客户端 + `docs/protocol.md` 同一个 commit；单一版本线，一个 tag 同时锁定两端
+- 协议变更：服务端实现 + `docs/protocol.md` 同一个 commit，并在 `loginbase-kt` 仓开跟进 issue，客户端版本落地前不关（2026-08-13 由 monorepo 三位一体改判，理由见 design.md）

package/dist/body.d.ts

@@ -0,0 +1,11 @@
+/**
+ * 请求体字段取字符串。
+ *
+ * JSON 里客户端可以塞任意类型，而 `(body.x ?? "").trim()` 遇到数字/对象/数组会抛
+ * TypeError——把一个本该 400 的坏请求变成 500：日志噪音，且给客户端「服务端故障、
+ * 可重试」的错误信号（实际重试多少次都一样）。TS 的字段类型只在编译期成立，
+ * 运行时边界必须自己兜（见 design.md 技术选型第 1 条）。
+ *
+ * 非字符串一律当空串，让各端点照常走自己的 400 分支。
+ */
+export declare function trimmedField(value: unknown): string;

package/dist/body.js

@@ -0,0 +1,13 @@
+/**
+ * 请求体字段取字符串。
+ *
+ * JSON 里客户端可以塞任意类型，而 `(body.x ?? "").trim()` 遇到数字/对象/数组会抛
+ * TypeError——把一个本该 400 的坏请求变成 500：日志噪音，且给客户端「服务端故障、
+ * 可重试」的错误信号（实际重试多少次都一样）。TS 的字段类型只在编译期成立，
+ * 运行时边界必须自己兜（见 design.md 技术选型第 1 条）。
+ *
+ * 非字符串一律当空串，让各端点照常走自己的 400 分支。
+ */
+export function trimmedField(value) {
+    return typeof value === "string" ? value.trim() : "";
+}

package/dist/config.d.ts

@@ -3,6 +3,25 @@ export interface VerifiedIdentity {
     email: string;
     provider: "email" | "github";
     providerUserId?: string;
+    /**
+     * OAuth provider 的公开档案（GitHub = /user 响应裁剪到建档白名单：
+     * id/login/name/email/avatar_url/bio/html_url/company/location/blog/
+     * twitter_username/created_at），供 App 建档取资料；email provider 恒缺省。
+     * 认证视图的敏感字段（私有统计、2FA 状态等）在库边界内剔除。
+     */
+    providerProfile?: unknown;
+    /**
+     * OAuth provider 的 access token（1.2.0 起）。库**只透传、不存储、不再分发**——
+     * 第三方 API 凭据是各 App 的产品决策，不属登录底座（见 docs/design.md 定位边界）。
+     * GitHub OAuth App 的 token 不过期，用户撤销授权才失效。email provider 恒缺省。
+     */
+    providerAccessToken?: string;
+    /**
+     * provider 返回的全部**已验证**邮箱，归一化小写（1.2.0 起）。`email` 是其中
+     * 选定的主锚点（primary+verified 优先）；App 可用整个列表做账号对账——GitHub 上
+     * 挂了多个验证邮箱、其中之一才是 App 账号邮箱的用户，只比对 `email` 会被误判为新人。
+     */
+    verifiedEmails?: string[];
     requestMeta: {
         ip?: string;
         userAgent?: string;
@@ -14,6 +33,42 @@ export interface VerifiedResult {
     user?: unknown;
 }
 export type OnVerified = (identity: VerifiedIdentity) => Promise<VerifiedResult> | VerifiedResult;
+/**
+ * onLinked：**已登录用户绑定第二身份**的语义出口（1.2.0 起）。
+ * 与 onVerified 方向相反——onVerified **返回** userId（用外部身份换会话），
+ * onLinked **接收** userId（用已有会话认领外部身份）；不建会话、不发 token。
+ */
+export interface LinkedIdentity {
+    /** 当前登录用户，来自 link/start 的 Bearer 校验并存于 state；绝不接受客户端传入 */
+    userId: string;
+    provider: "github";
+    providerUserId: string;
+    /**
+     * link 时 userId 已确定，email 只是附加信息——provider 未给也**不构成失败**
+     * （与 onVerified 不同：那里 email 是账号锚点，缺了就无法找号建号）。
+     */
+    email?: string;
+    verifiedEmails?: string[];
+    providerProfile?: unknown;
+    providerAccessToken?: string;
+    requestMeta: {
+        ip?: string;
+        userAgent?: string;
+    };
+}
+/**
+ * 冲突用返回值而非抛错表达：「该外部身份已属他人」是预期业务结果，不是异常
+ * （抛错留给真异常 → `internal`）。库不裁决冲突——拒绝/换绑/重复绑定是否幂等
+ * 全由 App 决定，库只把 `reason` 映射成回跳参数。
+ * `reason` 须为 `[A-Za-z0-9_]{1,64}`，否则回落为 `internal`（回跳 URL 卫生）。
+ */
+export type LinkResult = {
+    ok: true;
+} | {
+    ok: false;
+    reason: string;
+};
+export type OnLinked = (identity: LinkedIdentity) => Promise<LinkResult> | LinkResult;
 export type OnEvent = (event: Record<string, unknown>) => void;
 export interface GithubSocialConfig {
     clientId: string;
@@ -25,6 +80,12 @@ export interface GithubSocialConfig {
     allowedRedirects: string[];
     /** GitHub OAuth App 注册的回调地址；缺省由请求 origin + basePath 推导 */
     callbackUrl?: string;
+    /**
+     * authorize 的 scope，默认 `user:email`——取 primary+verified 邮箱的最小集。
+     * 需要额外能力的消费方自配，如 TrendingAI 的 `"user:email public_repo"`
+     * （star 写操作要求 public_repo）。scope 越大授权页越吓人，按需给。
+     */
+    scope?: string;
 }
 export interface LoginConfig {
     db: D1Database;
@@ -40,6 +101,8 @@ export interface LoginConfig {
         refreshTtlMs?: number | null;
     };
     onVerified: OnVerified;
+    /** 提供后才启用 link 端点（未提供 → 404 not_configured，默认关闭、显式启用） */
+    onLinked?: OnLinked;
     onEvent?: OnEvent;
     socials?: {
         github?: GithubSocialConfig;

package/dist/handler.js

@@ -9,6 +9,7 @@ import { createSession, hashRefreshToken, findSession, rotateSession, revokeFami
 import { signAccessToken, ACCESS_TTL_SECONDS } from "./token.js";
 import { createAuthMiddleware } from "./middleware.js";
 import { logEvent } from "./log.js";
+import { trimmedField } from "./body.js";
 import { registerGithubOauth } from "./plugins/github.js";
 export function createAuthApp(getConfig, basePath) {
     const authMiddleware = createAuthMiddleware(getConfig);
@@ -25,7 +26,7 @@ export function createAuthApp(getConfig, basePath) {
         const body = await c.req
             .json()
             .catch(() => ({}));
-        const raw = (body.email ?? "").trim().toLowerCase();
+        const raw = trimmedField(body.email).toLowerCase();
         if (!/^\S+@\S+\.\S+$/.test(raw)) {
             return c.json({ error: "invalid_email" }, 400);
         }
@@ -49,8 +50,8 @@ export function createAuthApp(getConfig, basePath) {
         const body = await c.req
             .json()
             .catch(() => ({}));
-        const email = (body.email ?? "").trim().toLowerCase();
-        const code = (body.code ?? "").trim();
+        const email = trimmedField(body.email).toLowerCase();
+        const code = trimmedField(body.code);
         const stored = await readCode(cfg(c).kv, email);
         if (!stored)
             return c.json({ error: "code_expired" }, 400);
@@ -96,7 +97,7 @@ export function createAuthApp(getConfig, basePath) {
         const body = await c.req
             .json()
             .catch(() => ({}));
-        const token = (body.refreshToken ?? "").trim();
+        const token = trimmedField(body.refreshToken);
         if (!token) {
             return c.json({ error: "invalid_refresh_token", reason: "missing_token" }, 401);
         }

package/dist/index.d.ts

@@ -15,7 +15,7 @@ export interface Login<TEnv> {
     }>;
 }
 export declare function createLogin<TEnv = unknown>(resolve: (env: TEnv) => LoginConfig, options?: CreateLoginOptions): Login<TEnv>;
-export type { LoginConfig, CreateLoginOptions, VerifiedIdentity, VerifiedResult, OnVerified, OnEvent, GithubSocialConfig, } from "./config.js";
+export type { LoginConfig, CreateLoginOptions, VerifiedIdentity, VerifiedResult, OnVerified, LinkedIdentity, LinkResult, OnLinked, OnEvent, GithubSocialConfig, } from "./config.js";
 export type { AuthVariables } from "./middleware.js";
 export { createAuthMiddleware } from "./middleware.js";
 export * from "./code.js";

package/dist/plugins/github.d.ts

@@ -1,6 +1,6 @@
 import type { Hono } from "hono";
 import type { LoginConfig } from "../config.js";
-import type { AuthVariables } from "../middleware.js";
+import { type AuthVariables } from "../middleware.js";
 export declare function registerGithubOauth<TEnv>(auth: Hono<{
     Variables: AuthVariables;
 }>, getConfig: (env: TEnv) => LoginConfig, basePath: string): void;

package/dist/plugins/github.js

@@ -1,3 +1,5 @@
+import { trimmedField } from "../body.js";
+import { createAuthMiddleware } from "../middleware.js";
 import { generateRefreshToken as randomToken } from "../session.js";
 import { createSession } from "../session.js";
 import { signAccessToken, ACCESS_TTL_SECONDS } from "../token.js";
@@ -7,6 +9,9 @@ const GITHUB_API_USER = "https://api.github.com/user";
 const GITHUB_API_EMAILS = "https://api.github.com/user/emails";
 const STATE_TTL_SECONDS = 600;
 const OTC_TTL_SECONDS = 60;
+const DEFAULT_SCOPE = "user:email";
+// App 自定义的冲突 reason 会进回跳 URL，限制字符集防畸形/敏感内容外泄
+const REASON_PATTERN = /^[A-Za-z0-9_]{1,64}$/;
 // 结构化校验而非字符串前缀：startsWith("https://example.com") 会被
 // https://example.com.evil.com 绕过（开放重定向 → otc 泄露给攻击者域）。
 // scheme + host 精确匹配，path 只允许白名单条目的前缀扩展。
@@ -34,9 +39,91 @@ function redirectAllowed(redirect, github) {
 function withParam(url, key, value) {
     return `${url}${url.includes("?") ? "&" : "?"}${key}=${encodeURIComponent(value)}`;
 }
+// providerProfile 只透传建档需要的公开档案白名单——GET /user 的认证视图含
+// two_factor_authentication、私有仓库统计等敏感字段，不该流出库边界。
+const PROFILE_FIELDS = [
+    "id",
+    "login",
+    "name",
+    "email",
+    "avatar_url",
+    "bio",
+    "html_url",
+    "company",
+    "location",
+    "blog",
+    "twitter_username",
+    "created_at",
+];
+function publicProfile(user) {
+    const out = {};
+    for (const key of PROFILE_FIELDS) {
+        if (user[key] !== undefined)
+            out[key] = user[key];
+    }
+    return out;
+}
+function buildAuthorizeUrl(gh, callbackUrl, state) {
+    const url = new URL(GITHUB_AUTHORIZE);
+    url.searchParams.set("client_id", gh.clientId);
+    url.searchParams.set("redirect_uri", callbackUrl);
+    url.searchParams.set("scope", gh.scope ?? DEFAULT_SCOPE);
+    url.searchParams.set("state", state);
+    return url.toString();
+}
+/**
+ * 换 token → 取用户 → 取邮箱。login 与 link 两条流程共用（callback 是同一个端点：
+ * GitHub OAuth App 的回调地址注册在 GitHub 侧，多一个即多一处配置漂移）。
+ * 返回 null = 换码或取用户失败，调用方回跳 oauth_failed。
+ */
+async function fetchGithubIdentity(gh, code) {
+    // server-side 换 token：client_secret 只在此出现，客户端不可见
+    const tokenRes = await fetch(GITHUB_TOKEN, {
+        method: "POST",
+        headers: { "Content-Type": "application/json", Accept: "application/json" },
+        body: JSON.stringify({
+            client_id: gh.clientId,
+            client_secret: gh.clientSecret,
+            code,
+        }),
+    });
+    const tokenBody = tokenRes.ok
+        ? (await tokenRes.json().catch(() => null))
+        : null;
+    const ghToken = tokenBody?.access_token;
+    if (!ghToken)
+        return null;
+    // GitHub API 要求 User-Agent
+    const ghHeaders = {
+        Authorization: `Bearer ${ghToken}`,
+        Accept: "application/vnd.github+json",
+        "User-Agent": "loginbase",
+    };
+    const userRes = await fetch(GITHUB_API_USER, { headers: ghHeaders });
+    if (!userRes.ok)
+        return null;
+    const ghUser = (await userRes.json());
+    const emailsRes = await fetch(GITHUB_API_EMAILS, { headers: ghHeaders });
+    const emails = emailsRes.ok
+        ? (await emailsRes.json())
+        : [];
+    const normalize = (e) => e.trim().toLowerCase();
+    const verifiedEmails = emails.filter((e) => e.verified).map((e) => normalize(e.email));
+    const email = emails.find((e) => e.primary && e.verified)?.email ??
+        emails.find((e) => e.verified)?.email;
+    return {
+        ghUser,
+        ghToken,
+        ...(email ? { email: normalize(email) } : {}),
+        verifiedEmails,
+    };
+}
 export function registerGithubOauth(auth, getConfig, basePath) {
     const cfg = (c) => getConfig(c.env);
     const github = (c) => cfg(c).socials?.github;
+    const authMiddleware = createAuthMiddleware(getConfig);
+    const callbackUrlFor = (c, gh) => gh.callbackUrl ??
+        `${new URL(c.req.url).origin}${basePath}/oauth/github/callback`;
     auth.get("/oauth/github/start", async (c) => {
         const gh = github(c);
         if (!gh)
@@ -50,14 +137,28 @@ export function registerGithubOauth(auth, getConfig, basePath) {
         await cfg(c).kv.put(`oauth:state:${state}`, JSON.stringify(record), {
             expirationTtl: STATE_TTL_SECONDS,
         });
-        const callbackUrl = gh.callbackUrl ??
-            `${new URL(c.req.url).origin}${basePath}/oauth/github/callback`;
-        const url = new URL(GITHUB_AUTHORIZE);
-        url.searchParams.set("client_id", gh.clientId);
-        url.searchParams.set("redirect_uri", callbackUrl);
-        url.searchParams.set("scope", "user:email");
-        url.searchParams.set("state", state);
-        return c.redirect(url.toString(), 302);
+        return c.redirect(buildAuthorizeUrl(gh, callbackUrlFor(c, gh), state), 302);
+    });
+    // 已登录用户绑定第二身份。**必须是 POST**：浏览器导航带不了 Authorization 头，
+    // 故不能像 login 那样 GET 直接 302——客户端先换 authorizeUrl，再自己打开浏览器。
+    auth.post("/oauth/github/link/start", authMiddleware, async (c) => {
+        const gh = github(c);
+        // onLinked 未提供 = 该能力未启用（默认关闭、显式启用）
+        if (!gh || !cfg(c).onLinked)
+            return c.json({ error: "not_configured" }, 404);
+        const body = await c.req
+            .json()
+            .catch(() => ({}));
+        const redirect = trimmedField(body.redirect);
+        if (!redirect || !redirectAllowed(redirect, gh)) {
+            return c.json({ error: "invalid_redirect" }, 400);
+        }
+        const state = randomToken();
+        const record = { redirect, mode: "link", userId: c.get("userId") };
+        await cfg(c).kv.put(`oauth:state:${state}`, JSON.stringify(record), {
+            expirationTtl: STATE_TTL_SECONDS,
+        });
+        return c.json({ authorizeUrl: buildAuthorizeUrl(gh, callbackUrlFor(c, gh), state) }, 200);
     });
     auth.get("/oauth/github/callback", async (c) => {
         const gh = github(c);
@@ -72,51 +173,48 @@ export function registerGithubOauth(auth, getConfig, basePath) {
             return c.json({ error: "invalid_state" }, 400);
         }
         await cfg(c).kv.delete(stateKey); // 单次使用，验证即焚
-        const { redirect } = JSON.parse(rawState);
-        // server-side 换 token：client_secret 只在此出现，客户端不可见
-        const tokenRes = await fetch(GITHUB_TOKEN, {
-            method: "POST",
-            headers: { "Content-Type": "application/json", Accept: "application/json" },
-            body: JSON.stringify({
-                client_id: gh.clientId,
-                client_secret: gh.clientSecret,
-                code,
-            }),
-        });
-        const tokenBody = tokenRes.ok
-            ? (await tokenRes.json().catch(() => null))
-            : null;
-        const ghToken = tokenBody?.access_token;
-        if (!ghToken)
+        const { redirect, mode, userId } = JSON.parse(rawState);
+        const identity = await fetchGithubIdentity(gh, code);
+        if (!identity)
             return c.redirect(withParam(redirect, "error", "oauth_failed"), 302);
-        // GitHub API 要求 User-Agent
-        const ghHeaders = {
-            Authorization: `Bearer ${ghToken}`,
-            Accept: "application/vnd.github+json",
-            "User-Agent": "loginbase",
+        const { ghUser, ghToken, email, verifiedEmails } = identity;
+        const userAgent = c.req.header("User-Agent") ?? undefined;
+        const ip = c.req.header("CF-Connecting-IP") ?? undefined;
+        const common = {
+            provider: "github",
+            providerUserId: String(ghUser.id),
+            providerProfile: publicProfile(ghUser), // GitHub /user 公开档案白名单字段
+            providerAccessToken: ghToken,
+            verifiedEmails,
+            requestMeta: { ip, userAgent },
         };
-        const userRes = await fetch(GITHUB_API_USER, { headers: ghHeaders });
-        if (!userRes.ok)
-            return c.redirect(withParam(redirect, "error", "oauth_failed"), 302);
-        const ghUser = (await userRes.json());
-        const emailsRes = await fetch(GITHUB_API_EMAILS, { headers: ghHeaders });
-        const emails = emailsRes.ok
-            ? (await emailsRes.json())
-            : [];
-        const email = emails.find((e) => e.primary && e.verified)?.email ??
-            emails.find((e) => e.verified)?.email;
+        // ---- link 分支：认领身份，不建会话、不发 token ----
+        if (mode === "link") {
+            const onLinked = cfg(c).onLinked;
+            // userId 由 link/start 写入，缺失只可能是载荷被篡改/降级，保守失败
+            if (!onLinked || !userId) {
+                return c.redirect(withParam(redirect, "error", "internal"), 302);
+            }
+            let result;
+            try {
+                // email 在此可缺省：userId 已定，邮箱只是附加信息（与 login 分支的关键差别）
+                result = await onLinked({ userId, ...common, ...(email ? { email } : {}) });
+            }
+            catch {
+                return c.redirect(withParam(redirect, "error", "internal"), 302);
+            }
+            if (!result.ok) {
+                const reason = REASON_PATTERN.test(result.reason) ? result.reason : "internal";
+                return c.redirect(withParam(redirect, "error", reason), 302);
+            }
+            return c.redirect(withParam(redirect, "linked", "github"), 302);
+        }
+        // ---- login 分支：email 是账号锚点，缺了就无法找号建号 ----
         if (!email)
             return c.redirect(withParam(redirect, "error", "oauth_no_email"), 302);
-        const userAgent = c.req.header("User-Agent") ?? undefined;
-        const ip = c.req.header("CF-Connecting-IP") ?? undefined;
         let verified;
         try {
-            verified = await cfg(c).onVerified({
-                email: email.trim().toLowerCase(),
-                provider: "github",
-                providerUserId: String(ghUser.id),
-                requestMeta: { ip, userAgent },
-            });
+            verified = await cfg(c).onVerified({ email, ...common });
         }
         catch {
             return c.redirect(withParam(redirect, "error", "internal"), 302);
@@ -148,7 +246,7 @@ export function registerGithubOauth(auth, getConfig, basePath) {
         const body = await c.req
             .json()
             .catch(() => ({}));
-        const otc = (body.otc ?? "").trim();
+        const otc = trimmedField(body.otc);
         const key = `oauth:otc:${otc}`;
         const raw = otc ? await cfg(c).kv.get(key) : null;
         if (!raw)

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "loginbase",
-  "version": "1.0.0",
+  "version": "1.2.0",
   "description": "Shared login foundation for Cloudflare Workers: email OTP + social OAuth + session management, as a Hono sub-app factory.",
   "type": "module",
   "license": "MIT",