clients

type ClientCredentialsRequest struct {
	// ClientAssertion — the signed ES256 JWS (RFC 7523) proving possession of the
	// SA-key private half; identifies the Hydra client (iss=sub=client_id).
	ClientAssertion string
	// Audience — requested `aud` for the minted token (the registry service).
	// Empty → not sent (Hydra falls back to the client's configured audience).
	Audience string
	// Scope — requested scope. Empty → not sent.
	Scope string
}

type CompensationEmitObserver interface {
	// IncCompensationEmitted — outcome "ok" (намерение записано) либо "error"
	// (записать не удалось, вызывающий уходит на запасной прямой путь).
	IncCompensationEmitted(origin, outcome string)
}

type CompensationObserver interface {
	// IncCompensationApplied — компенсация исполнена (клиент снят ИЛИ его уже
	// не было). origin — атрибуция саги.
	IncCompensationApplied(origin string)
}

type ConditionalTuple = authztypes.ConditionalTuple

type CreateOAuthClientRequest struct {
	// ClientID is optional — if empty, Hydra auto-generates.
	ClientID string
	// ClientName is a human-readable identifier (e.g. "kaname-sak-XYZ").
	ClientName string
	// Owner is the kaname ServiceAccount id (used by Hydra's `owner`
	// filter for List by SA).
	Owner string
	// Scope — space-separated set granted to this client.
	Scope string
	// Audience — `aud` claim placed in minted tokens.
	Audience []string
	// AuthMethod — "client_secret_basic" / "client_secret_post" /
	// "private_key_jwt" (the default).
	AuthMethod string
	// GrantTypes — OAuth2 grants the client may exercise. Defaults to
	// `["client_credentials"]` when nil/empty.
	GrantTypes []string
	// TokenEndpointAuthMethod — explicit override of AuthMethod for clients
	// migrated to private_key_jwt. When non-empty, takes precedence over
	// AuthMethod. Set to "private_key_jwt" for SA keys.
	TokenEndpointAuthMethod string
	// TokenEndpointAuthSigningAlg — JOSE-alg client_assertion ("ES256" для SA-ключей).
	TokenEndpointAuthSigningAlg string
	// JWKS — embedded public-key set published with the client (private_key_jwt:
	// kaname mints the keypair and registers the
	// public JWK here). Hydra stores it, validates `client_assertion`
	// signatures against it, and never sees the private half.
	JWKS *JWKS
	// AccessTokenLifespan — per-client access-token lifetime (Go duration string).
	// Empty → Hydra's global default.
	AccessTokenLifespan string
	// DPoPBoundAccessTokens — request sender-constrained (RFC 9449) tokens for
	// this client. See the field of the same name on HydraOAuthClient.
	DPoPBoundAccessTokens bool
	// TLSClientCertificateBoundAccessTokens — RFC 8705 mTLS-bound tokens.
	TLSClientCertificateBoundAccessTokens bool
	// RedirectURIs / PostLogoutRedirectURIs — interactive-login client only.
	RedirectURIs           []string
	PostLogoutRedirectURIs []string
	// ResponseTypes — overrides the default ["token"]. The authorization-code
	// ceremony needs ["code"]; leaving the default would register a client the
	// provider refuses to run a code flow for.
	ResponseTypes []string
}

type HydraAPIError struct {
	StatusCode int
	Body       string
}

type HydraAdminClient struct {
	BaseURL     string
	BearerToken string
	HTTPClient  *http.Client
}

type HydraOAuthClient struct {
	ClientID                string   `json:"client_id"`
	ClientSecret            string   `json:"client_secret,omitempty"` // present only on Create (legacy client_secret_basic)
	ClientName              string   `json:"client_name,omitempty"`
	GrantTypes              []string `json:"grant_types,omitempty"`
	ResponseTypes           []string `json:"response_types,omitempty"`
	Scope                   string   `json:"scope,omitempty"`
	Audience                []string `json:"audience,omitempty"`
	Owner                   string   `json:"owner,omitempty"`
	TokenEndpointAuthMethod string   `json:"token_endpoint_auth_method,omitempty"`
	// TokenEndpointAuthSigningAlg — JOSE-alg, которым Hydra обязан проверять
	// client_assertion (private_key_jwt). Для SA-ключей — "ES256"; без него Hydra
	// дефолтит на RS256 и отвергает ES256-assertion (invalid_client).
	TokenEndpointAuthSigningAlg string `json:"token_endpoint_auth_signing_alg,omitempty"`
	// JWKS — embedded JSON Web Key Set; populated when
	// `token_endpoint_auth_method == "private_key_jwt"`.
	JWKS *JWKS `json:"jwks,omitempty"`
	// AccessTokenLifespan — per-client access-token lifetime (Go duration string,
	// e.g. "15m0s"). Empty → Hydra's global default. Set for the bootstrap client
	// so its minted tokens are deliberately short-lived (#58, IBT-09).
	AccessTokenLifespan string `json:"access_token_lifespan,omitempty"`
	// DPoPBoundAccessTokens — RFC 9449 §5.2 client-registration metadata. True →
	// tokens minted for this client are sender-constrained: they carry a `cnf.jkt`
	// and are usable only by the holder of the matching key.
	//
	// Sender-constraining is per-client metadata, not a global switch (the global
	// `oauth2.dpop` config block does not exist in the pinned provider version),
	// so it MUST be requested here at registration. Omitted when false — an
	// existing client registration is untouched.
	DPoPBoundAccessTokens bool `json:"dpop_bound_access_tokens,omitempty"`
	// TLSClientCertificateBoundAccessTokens — RFC 8705 §3.4 counterpart: binds
	// minted tokens to the client's TLS certificate (`cnf.x5t#S256`). Reserved
	// for mTLS-authenticating clients; kaname SA keys use DPoP.
	TLSClientCertificateBoundAccessTokens bool `json:"tls_client_certificate_bound_access_tokens,omitempty"`
	// RedirectURIs — where the provider may deliver an authorization code.
	// Meaningful ONLY for the interactive-login client (IAM-INT-1): the
	// machine grants this file otherwise registers (client_credentials,
	// jwt-bearer) never redirect anywhere. Omitted when empty, so no existing
	// registration changes shape.
	RedirectURIs []string `json:"redirect_uris,omitempty"`
	// PostLogoutRedirectURIs — RP-initiated-logout counterpart of the above.
	PostLogoutRedirectURIs []string `json:"post_logout_redirect_uris,omitempty"`
}

type HydraTokenClient struct {
	// TokenURL — the FULL token endpoint URL the shim POSTs to (cluster-internal
	// in production, e.g. http://kacho-umbrella-hydra-public.<ns>.svc:4444/oauth2/token).
	TokenURL   string
	HTTPClient *http.Client
}

type InteractiveClientProvider struct {
	// contains filtered or unexported fields
}

type InviteMailEvent struct {
	// To — адрес приглашённого. Единственная координата, без которой письмо
	// отправить некому.
	To string `json:"to"`
	// AccountID — аккаунт, в который приглашают. Атрибуция и тело письма.
	AccountID string `json:"account_id"`
	// UserID — строка приглашения. Атрибуция; отправка от неё не зависит.
	UserID string `json:"user_id"`
	// LoginURL — адрес страницы входа. Пусто → берётся из настройки установки.
	LoginURL string `json:"login_url,omitempty"`
}

type InviteMailObserver interface {
	// IncInviteMailOutcome — исход одной попытки отправки; outcome — клетка из
	// InviteMailOutcomes.
	IncInviteMailOutcome(outcome string)
}

type InviteMailSender struct {
	// contains filtered or unexported fields
}

type InviteMailTransport interface {
	Send(ctx context.Context, ev InviteMailEvent) error
}

type JWK struct {
	Kty string `json:"kty"`           // "EC"
	Crv string `json:"crv,omitempty"` // "P-256"
	X   string `json:"x,omitempty"`   // base64url ECDSA X
	Y   string `json:"y,omitempty"`   // base64url ECDSA Y
	Kid string `json:"kid,omitempty"`
	Alg string `json:"alg,omitempty"` // "ES256"
	Use string `json:"use,omitempty"` // "sig"
}

type JWKS struct {
	Keys []JWK `json:"keys"`
}

type MailRelay struct {
	// Addr — `host:port` почтового узла.
	Addr string
	// From — адрес отправителя, ОДИН на установку (Р16).
	From string
	// FromName — отображаемое имя отправителя; необязательно.
	FromName string
	// Username/Password — удостоверение. Приезжает из СЕКРЕТА, не из карты
	// настроек (Р6). ПАРА: половина настройки хуже отсутствия обеих, потому что
	// выглядит настроенной (Р4).
	Username string
	Password string
	// AttemptTimeout — СОБСТВЕННЫЙ предел времени на ОДНУ попытку: весь разговор
	// с узлом, от соединения до принятого письма. Отдельная величина от числа
	// повторов, и наблюдаема она на узле, который принимает соединение и молчит.
	AttemptTimeout time.Duration
	// TLSMode — посадка полосы. Р5: шифрование обязательно и на стенде тоже.
	TLSMode MailTLSMode
	// RootCAs — якорь доверия для проверки сертификата узла. nil означает
	// системный набор, а НЕ отключённую проверку: проверка не отключается ничем.
	RootCAs *x509.CertPool
	// ServerName — имя, по которому сверяется сертификат узла. Пусто → берётся
	// из Addr.
	ServerName string
	// LoginURL — адрес страницы входа, который несёт письмо. Ссылки-предъявителя
	// приглашение НЕ несёт (Р24): обладание письмом доступа не даёт.
	LoginURL string
}

type MailTLSMode int

type ProviderClientReleaser interface {
	DeleteOAuthClient(ctx context.Context, clientID string) error
}

type ProviderCompensationEvent struct {
	// ClientID — идентификатор клиента У ПРОВАЙДЕРА (не наш id). Именно он и
	// есть единственная координата, по которой осиротевший объект можно снять.
	ClientID string `json:"client_id"`
	// Origin — какая сага его заняла (sa_key / user_token / interactive_client).
	// Только атрибуция: применение от него не зависит.
	Origin string `json:"origin"`
	// Reason — почему компенсируем. Короткая своя строка, НЕ текст ошибки
	// провайдера (тот мог бы утащить в очередь его внутренние подробности).
	Reason string `json:"reason"`
}

type ProviderCompensationOutbox struct {
	// contains filtered or unexported fields
}

type RelationQueries interface {
	// CheckWithContext — вердикт с условным контекстом запроса.
	CheckWithContext(ctx context.Context, subject, relation, object string, condCtx map[string]any) (allowed bool, err error)

	// BatchCheckWithContext — ОДИН вопрос о МНОГИХ объектах одного типа; по
	// вердикту на объект, позиционно.
	//
	// Объявлен здесь, а не отдельной способностью, НАМЕРЕННО: этот порт — тип
	// поля в каждом читающем use-case, а фильтр страницы (`internal/authzfilter`)
	// выбирает батчевый путь. Провязка, потерявшая способность, продолжала бы
	// возвращать верные строки, платя по обращению за строку, и заметить это было
	// бы нечем. Здесь потеря — ошибка компиляции.
	//
	// Стоимость страницы принадлежит ЗАПРОСУ: ответ собирается одной читающей
	// транзакцией, поэтому все объекты страницы видят один снимок базы.
	BatchCheckWithContext(ctx context.Context, subject, relation string, objects []string,
		condCtx map[string]any) (allowed []bool, err error)

	// ListSubjects — кто держит это отношение на объекте, СТРАНИЦЕЙ С КУРСОРОМ.
	//
	// Курсор обязателен и это не оформление: перечисление без продолжения
	// оставляет остаток недостижимым при живых правах — ровно то, ради чего снято
	// перечисление объектов (решение Р1 приёмки R7-3).
	ListSubjects(ctx context.Context, objectType, objectID, relation string,
		pageSize int, pageToken string) (subjects []string, nextPageToken string, err error)
}

type RelationStore interface {
	// Check — держит ли субъект это отношение на этом объекте.
	//
	// Ошибка означает «ответа нет», а не «доступа нет»: вызывающий обязан
	// различать их, иначе недоступность базы читалась бы как законный отказ.
	Check(ctx context.Context, subject, relation, object string) (allowed bool, err error)
}

type RelationTuple struct {
	User     string
	Relation string
	Object   string
}

type TokenResponse struct {
	AccessToken string
	ExpiresIn   int
}

type TupleConditionRef = authztypes.TupleConditionRef