valtech-components 4.0.125 → 4.0.126

package/lib/services/auth/auth.service.d.ts

@@ -78,6 +78,26 @@ export declare class AuthService implements OnDestroy {
      * Llamado automáticamente por provideValtechAuth.
      */
     initialize(): Promise<void>;
+    /**
+     * ¿Hay sesión activa en la familia según la cookie-hint JS-readable?
+     *
+     * Espejo legible de la cookie HttpOnly `valtech_refresh` (que JS no puede leer).
+     * Útil para que un sitio público decida landing-vs-app de forma síncrona, sin
+     * esperar el `/refresh`. NO es prueba de sesión válida (la hint puede quedar
+     * stale) — para una sesión real usar `isAuthenticated()` + `bootstrapSessionFromHint`.
+     */
+    hasLoggedInHint(): boolean;
+    /**
+     * Bootstrap cross-origin de la sesión desde la cookie-hint de familia.
+     *
+     * Se invoca desde `initialize()` cuando no hay token local pero la app optó por
+     * `bootstrapSessionFromHint` y la hint está presente. El `/refresh` usa el
+     * refresh token HttpOnly (`SameSite=None`) válido cross-origin. `refreshAccessToken`
+     * persiste el token + Firebase + timer, pero NO marca `isAuthenticated` ni
+     * restaura claims/roles → se completa la sesión acá. Falla limpio (hint stale o
+     * dev cross-site con cookie de terceros bloqueada) → invitado.
+     */
+    private bootstrapSessionFromHintCookie;
     ngOnDestroy(): void;
     /**
      * Inicia sesión con email y contraseña.

package/lib/services/auth/index.d.ts

@@ -75,7 +75,7 @@ export { authGuard, guestGuard, permissionGuard, permissionGuardFromRoute, super
 export { authInterceptor } from './interceptor';
 export { AuthStateService } from './auth-state.service';
 export { TokenService } from './token.service';
-export { AuthStorageService } from './storage.service';
+export { AuthStorageService, LOGGED_IN_HINT_COOKIE } from './storage.service';
 export { AuthSyncService } from './sync.service';
 export { DeviceService } from './device.service';
 export { SessionService } from './session.service';

package/lib/services/auth/storage.service.d.ts

@@ -1,5 +1,12 @@
 import { StoredAuthState, GetPermissionsResponse, ValtechAuthConfig } from './types';
 import * as i0 from "@angular/core";
+/**
+ * Nombre por defecto de la cookie-hint de sesión de familia (espejo JS-readable
+ * del refresh token HttpOnly). Debe coincidir con `HintCookieName` del backend
+ * (`backend/go/services/httpapi/hint_cookie.go`). Override por app vía
+ * `ValtechAuthConfig.loggedInHintCookie`.
+ */
+export declare const LOGGED_IN_HINT_COOKIE = "valtech_logged_in";
 /**
  * Servicio para persistencia de estado de autenticación en localStorage.
  */
@@ -19,6 +26,16 @@ export declare class AuthStorageService {
     constructor(config: ValtechAuthConfig | null, platformId: Object);
     /** Same-site check: frontend host vs API host comparten registrable domain. */
     private computeCookieOnly;
+    /**
+     * ¿Existe la cookie-hint JS-readable de "sesión activa en la familia"?
+     *
+     * La setea el backend en login/logout (`HttpOnly:false`, `Domain=.myvaltech.com`)
+     * como espejo legible por JS del refresh token HttpOnly (`valtech_refresh`), que
+     * JS no puede leer. Es un hint de UI, no una credencial. Lo usan `initialize()`
+     * (bootstrap cross-origin, gated por `bootstrapSessionFromHint`) y el sitio
+     * público para decidir landing-vs-app sin exponer el token.
+     */
+    hasLoggedInHint(cookieName?: string): boolean;
     /**
      * Guarda el estado completo de autenticación.
      */

package/lib/services/auth/types.d.ts

@@ -45,6 +45,35 @@ export interface ValtechAuthConfig {
      * Requiere que el backend tenga SyncRBACToFirestore activo.
      */
     enableFirestoreRBAC?: boolean;
+    /**
+     * Bootstrapear la sesión desde la cookie-hint de familia (default: false).
+     *
+     * Cuando es `true` y en el arranque NO hay access token en el storage de este
+     * origin PERO existe la cookie JS-readable de "sesión activa en la familia"
+     * (ver `loggedInHintCookie`), `initialize()` intenta un `/refresh` para
+     * instalar la sesión cross-origin. El refresh token HttpOnly del backend es
+     * `SameSite=None` → viaja a la API desde cualquier app del factory, así que un
+     * usuario logueado en otra app (ej. showcase) queda autenticado al entrar a
+     * esta sin re-loguear ni handoff explícito.
+     *
+     * El intento es **bloqueante** (a diferencia del refresh de fondo del token
+     * expirado): no hay claims que restaurar de forma optimista, así que se espera
+     * para que los guards (`authGuard`/`guestGuard`) vean el estado correcto. Solo
+     * afecta a visitantes CON la hint (sesión de familia), no a anónimos. El splash
+     * pre-bootstrap del `index.html` cubre la latencia del cold start.
+     *
+     * Caveat: la hint tiene `Domain=.myvaltech.com` → en dev (apps en `*.web.app`)
+     * no es legible y el refresh cross-site se bloquea; el intento falla limpio y
+     * la app sigue como invitado. Funciona en prod (dominios `*.myvaltech.com`).
+     */
+    bootstrapSessionFromHint?: boolean;
+    /**
+     * Nombre de la cookie JS-readable que indica sesión activa en la familia
+     * (default: 'valtech_logged_in'). La setea el backend en login/logout
+     * (`HttpOnly:false`, `Domain=.myvaltech.com`). Es un hint de UI, no una
+     * credencial — el token real va en la cookie HttpOnly `valtech_refresh`.
+     */
+    loggedInHintCookie?: string;
 }
 /**
  * Estado completo de autenticación.

package/lib/version.d.ts

@@ -2,4 +2,4 @@
  * Current version of valtech-components.
  * This is automatically updated during the publish process.
  */
-export declare const VERSION = "4.0.125";
+export declare const VERSION = "4.0.126";

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "valtech-components",
-  "version": "4.0.125",
+  "version": "4.0.126",
   "private": false,
   "bin": {
     "valtech-firebase-config": "./src/lib/services/firebase/scripts/generate-sw-config.js"