- Expédié
- 15 novembre 2026 à 10:27 UTC
- Auteur
- Kamo
- Commit
- adc476b
ID5.6 — /auth/start accepte portal (BORROWER|PATIENT) + portalHost (+ audience=CUSTOMER, relative next), passe Les transmet à federation/start et les conserve dans kamo_fed_ctx à travers le saut ID1.4b ; une paire mal formée est refusée avant Callback / link-confirm: PORTAL -> 303 pour retourner l'URL uniquement lorsqu'il s'agit de https sur exactement le même serveur L'hôte du portail avec lequel le flux a commencé; PORTAL_MFA -> la publication MfaStep existante sur le nouveau relais /api/federation/portal-mfa -> federation/portal/mfa (hôte du portail maintenu côté serveur dans HttpOnly kamo_portal); Une erreur portant returnUrl sur un flux de portail -> retour au portail.Un flux de portail ne plante jamais ***. @kamo/auth 0.6.1 mappe les résultats inconnus à ERROR, de sorte que les routes lisent la réponse brute en premier (lib/signin/portal.mjs) Sinon, suivez le même itinéraire que précédemment. ID5.7 — kamo_did (HttpOnly, Secure, Lax, 400 jours, 32 octets aléatoires) créé en l'absence et envoyé comme X-Kamo-Device-Id sur chaque relais de connexion (login, mfa, select, fédération start/callback/link, sans mot de passe, PASSKEY_REQUIRED de /api/login, MFA, sélectionner, configurer les clés de passe, SSO/SAML ; jamais utilisé sur un formulaire cross-site POST) "Votre organisation demande aux administrateurs d'utiliser une clé d'accès": Utilisez votre clé d'accès Passkey / Créer une clé de passe maintenant **************** / Continuer pour maintenant (seulement lorsque Nudge de mot de passe violé après une connexion avec un mot de passe (SHA-1 dans le navigateur, Préfixe 5-hex à /api/pwned avec Add-Padding + 1,5 s, fail-quiet) avec Changez-le maintenant / Rappelez-moi plus tard et un Fire-and-forget signin/breach-nudge avec le *** planté. Nouvelle page /secure-account?t=. Cartes de refus pour PASSWORD_RESET_REQUIRED (avec Réinitialiser mon mot de passe), STAFF_ACCOUNT, BAD_PORTAL, NO_PORTAL_ACCOUNT. Chaque nouvelle branche est inoffensive tant que securityservice n'y répond pas (404/unknown -> comportement actuel). Vérifié: npm test 134/134 (31 new), tsc clean, check-i18n-keys contre le dictionnaire poussé, harness shots.