client

type AuthMethod string

type ChainResolver []Resolver

type Client struct {
	ID      string
	Profile Profile

	// 表示情報。Interaction App が同意画面で使う。
	Name      string
	LogoURI   string
	PolicyURI string
	// ClientURI はクライアントのホームページ（RFC 7591 §2 の client_uri）。CIMD 文書から組み立てた
	// MCP Client だけが持ち、登録済み Client では空（ADR-0008 §6）。
	ClientURI string

	// RedirectURIs は登録済みの redirect URI。Machine では空。
	RedirectURIs []string

	// Scopes はこのクライアントが要求できる scope の上限。
	Scopes []string

	// Resources はこのクライアントが要求できる resource（RFC 8707）の上限（ADR-0004 §2、ADR-0008 §2）。
	// 空なら Engine に設定された全 resource を要求できる。値は resource.Normalize の正規形で保持する。
	Resources []string

	// SecretHash はクライアントシークレットの SHA-256（16 進）。public クライアントでは空。
	SecretHash string

	// AccessTokenTTL は Access Token の有効期間。0 なら DefaultAccessTokenTTL。
	AccessTokenTTL time.Duration

	// IDTokenAlg は ID Token の署名アルゴリズム。Web / Native では RS256 か ES256、Machine では空。
	IDTokenAlg string

	// AllowInsecureLocalhost は開発用の緩和。Web では http://localhost と http loopback を、
	// Native では http://localhost（RFC 8252 §8.3 で非推奨）を redirect URI として許可する。
	AllowInsecureLocalhost bool

	CreatedAt time.Time
}

type GrantType string

type MachineParams struct {
	ID             string
	Name           string
	Secret         string // 空なら生成（WebParams.Secret と同じ）
	Scopes         []string
	Resources      []string // 空なら制限なし
	AccessTokenTTL time.Duration
}

type MetadataDocument struct {
	// ClientID は文書の URL と単純文字列比較で一致しなければならない（CIMD §4）。
	ClientID string `json:"client_id"`
	// ClientName は同意画面に表示する名前。必須（MCP 仕様「Client Registration」）。
	ClientName string `json:"client_name"`
	ClientURI  string `json:"client_uri,omitempty"`
	LogoURI    string `json:"logo_uri,omitempty"`
	PolicyURI  string `json:"policy_uri,omitempty"`
	// RedirectURIs は必須。認可要求の redirect_uri はこのいずれかと完全一致すること（CIMD §4.2）。
	RedirectURIs []string `json:"redirect_uris"`
	// Scope は空白区切り。省略なら Client の scope 上限を持たない（resource ごとの上限だけが効く）。
	Scope string `json:"scope,omitempty"`
	// GrantTypes / ResponseTypes は Profile の固定値（authorization_code, refresh_token / code）と
	// 矛盾しないことだけを確認する。Profile は変えない（ADR-0004 §5）。
	GrantTypes    []string `json:"grant_types,omitempty"`
	ResponseTypes []string `json:"response_types,omitempty"`
	// TokenEndpointAuthMethod は省略か none。private_key_jwt は M4 で受理する（CIMD §4.1、ADR-0008 §5）。
	TokenEndpointAuthMethod string `json:"token_endpoint_auth_method,omitempty"`

	// 共有シークレットは CIMD 文書に置けない（CIMD §4.1）。存在すれば拒否するためだけに復号する。
	ClientSecret          string          `json:"client_secret,omitempty"`
	ClientSecretExpiresAt json.RawMessage `json:"client_secret_expires_at,omitempty"`
}

type NativeParams struct {
	ID                     string
	Name                   string
	RedirectURIs           []string
	Scopes                 []string
	Resources              []string // 空なら制限なし
	LogoURI                string
	PolicyURI              string
	AccessTokenTTL         time.Duration
	IDTokenAlg             string
	AllowInsecureLocalhost bool
}

type Profile string

type Resolver interface {
	GetClient(ctx context.Context, id string) (*Client, error)
}

type Secret string

type Store interface {
	Resolver

	// CreateClient は Client を保存する。同じ ID が既にあれば storage.ErrAlreadyExists を返す。
	CreateClient(ctx context.Context, c *Client) error
}

type WebParams struct {
	ID   string // 空なら生成
	Name string
	// Secret は空なら生成する。既存システムからの移行や Conformance Suite のように
	// 事前に決まったシークレットが必要なときだけ指定する。32 バイト以上であること。
	Secret                 string
	RedirectURIs           []string
	Scopes                 []string
	Resources              []string // 空なら制限なし
	LogoURI                string
	PolicyURI              string
	AccessTokenTTL         time.Duration // 0 なら既定
	IDTokenAlg             string        // 空なら RS256
	AllowInsecureLocalhost bool
}