@benlampson/heimdall-browser

框架无关的 Heimdall 浏览器 Token 与数据客户端，版本跟随 Heimdall 整体 Release。

提供 Code + PKCE、Device Code、JWT 校验/未验证解码、JWT/opaque Access Token 获取与刷新、可选自动刷新、UserInfo、受控 Bearer 请求及撤销/退出。没有 UI、业务后端状态接口或数据库依赖。

默认自动保存到 localStorage；可选 sessionStorage、自定义 Storage 或 storage: false 仅使用内存。localStorage 跨标签页协调要求 Web Locks。浏览器不使用 Client Secret。

公开接口与示例见仓库 SDK 指南。

JWT 时间容差 clockSkewSeconds 默认 30，可由客户设置为非负安全整数秒数，0 禁用容差。浏览器和 /protocol 入口均支持；nbf、exp、未来 iat 使用同一容差，验签和身份边界保持启用，缓存及刷新仍按真实到期时间执行。

HeimdallProtocolClient 从 @benlampson/heimdall-browser/protocol 导出，无 window 或存储访问；完整 Token 和登录事务由调用方保存。

import { HeimdallBrowserClient } from '@benlampson/heimdall-browser';
const client = new HeimdallBrowserClient({
  authority: 'https://idp.example.com/tenant-a', clientId: 'business-spa',
  tenantId: 'tenant-a', applicationId: 'business-app', audience: 'business-api',
  scope: 'openid profile offline_access business.api',
  redirectUri: 'https://business.example.com/callback',
  resourceBaseUrls: ['https://api.example.com/'], automaticRenew: true,
});
// 生成登录地址，由应用决定如何使用。
const { url } = await client.createLoginRequest();
// 在应用自己的回调路由中：await client.handleLoginCallback();
// 业务按需获取：await client.getAccessToken() / client.getTokenSet();
// 主动刷新：await client.refreshAccessToken();
// 开关自动刷新：client.setAutomaticRenew(false);
// 设备登录：requestDeviceAuthorization / exchangeDeviceCode / waitForDeviceToken。

登录方式在 Heimdall 托管页面完成，SDK 统一使用授权码 + PKCE。business.api 是需登记的示例 scope；回调、Origin、grant 与 audience 按实际 Client 配置。