@ codelitdev/ oauth- server- kit

用于 CodeLit 产品的精益更佳 Auth 认证库 。 它规定 主机登录/ 同意页面、 中立会话和 OAuth 身份, Express 和MCP OAuth的发现.

图书馆认证人们和OAuth客户端. 每个产品继续 * 拥有用户对行为体的绘图、组织、团队、成员、角色、, 权限、 API 密钥和证书优先级.

支持的表面

• Web apps使用产品- 本地更好的 Auth 会话.
• 移动应用程序使用授权代码与 S256 PCE 和一个静态 注册公共客户端.
• REST API 通过中性使用 OAuth 无记名符号 req.auth。 。 。 .
• MCP服务器使用相同的无记名验证加上RFC 9728发现和a 标准 WWW-Authenticate 挑战.

每个产品都部署自己的更好的 Auth 发行者,用户存储,会话, OAuth 客户端,签名密钥, 和提供者配置 。 软件包不是共享的 代码Lit SSO服务.

入境点

import {
    verifyOAuthAccessToken,
    type AuthenticatedIdentity,
} from "@codelitdev/oauth-server-kit";

import {
    createOAuthProviderOptions,
    resolveBetterAuthSession,
} from "@codelitdev/oauth-server-kit/better-auth";

import {
    createOAuthBearerMiddleware,
    createOAuthPagesRouter,
} from "@codelitdev/oauth-server-kit/express";

import { createMcpOAuthDiscoveryRoutes } from "@codelitdev/oauth-server-kit/mcp";

根入口不装入快递、数据库库或产品 模块。 更坚定的毅力和计划所有权仍在消耗之中 应用.

安全默认

• OAuth 动态客户端注册被禁用, 除非明确启用 .
• 未经认证的 DCR 需要单独的明确选入.
• MCP客户端元数据文档(CIMD)通过产品配置 更好的 Auth 插件; 参见安全抓取传输的集成指南 .
• 对每个无记名标志的发行人和受众/资源进行核查.
• 无效的显式无记名符号已关闭 .
• 普通的日志重定向被限制在被配置的出处.
• 主机页面拒绝设置框架并清除配置的只包含主机的 cookie 两者 /login 财务报告和审定财务报表 /oauth/login。 。 。 .
• 产品索赔,例如 team_id,角色或权限不返回为 信任的软件包身份字段 .

见 文件/整合.md 用于全网、移动、REST和 MCP设置,以及 文件/建筑图 准则草案 产品要求和公共合同.

发展大门

bun run check-types
bun test
bun run test:coverage
bun run build

覆盖释放门为90%的语句、行和功能以及80% 树枝。 该套间包括一个真正的更好的Auth OAuth 提供商流动 公共客户端,S256 PKCE,刷新,JWKS验证,以及MCP发现.