Autenticação

// Assinatura dos JWT do parceiro para o Moraviq Voice, só com node:crypto.
//
// - asserção do servidor (typ voice+server): vida até 60 s, jti de uso único,
//   scope em texto separado por espaço; vai no Authorization das rotas de servidor.
// - token de aparelho (typ voice, ver 2): vida até 600 s (use 300), sub e site
//   são os seus ext_id, dev é o sha256 do installation_id do aparelho.
//
// EdDSA (Ed25519) e ES256 (P-256) são os dois algoritmos aceitos; um por kid.
import { createHash, createPrivateKey, randomUUID, sign } from 'node:crypto';

const b64url = (buf) => Buffer.from(buf).toString('base64url');

/** Assina um JWT compacto com a chave privada em JWK (OKP Ed25519 ou EC P-256). */
export function assinarJwt(cabecalho, claims, jwkPrivada) {
  const chave = createPrivateKey({ key: jwkPrivada, format: 'jwk' });
  const alg = jwkPrivada.kty === 'OKP' ? 'EdDSA' : 'ES256';
  const h = b64url(JSON.stringify({ ...cabecalho, alg, kid: jwkPrivada.kid }));
  const c = b64url(JSON.stringify(claims));
  const dados = Buffer.from(`${h}.${c}`);
  // ES256 em JWT é r||s (64 bytes), não DER: dsaEncoding ieee-p1363.
  const assinatura = alg === 'EdDSA'
    ? sign(null, dados, chave)
    : sign('sha256', dados, { key: chave, dsaEncoding: 'ieee-p1363' });
  return `${h}.${c}.${b64url(assinatura)}`;
}

/** Asserção do servidor do parceiro: uma por requisição (o jti não se repete). */
export function assercaoDoServidor({ iss, aud, scope, chave, vidaS = 50 }) {
  const agora = Math.floor(Date.now() / 1000);
  return assinarJwt({ typ: 'voice+server' }, {
    iss, aud, iat: agora, exp: agora + vidaS, jti: randomUUID(), scope,
  }, chave);
}

/** Token de aparelho para a portaria ou o morador logado no seu sistema. */
export function tokenDoAparelho({ iss, aud, sub, site, installationId, scope, grupos = [], chave, vidaS = 300 }) {
  const agora = Math.floor(Date.now() / 1000);
  return assinarJwt({ typ: 'voice' }, {
    iss, aud, ver: 2, sub, site,
    dev: createHash('sha256').update(installationId).digest('hex'),
    scope, grp: grupos, jti: randomUUID(), iat: agora, nbf: agora, exp: agora + vidaS,
  }, chave);
}

def chave_privada(nome: str):
    jwk = json.loads((CHAVES / f"{nome}.priv.json").read_text())
    alg = "EdDSA" if jwk["kty"] == "OKP" else "ES256"
    return jwt.PyJWK(jwk, algorithm=alg), alg


SERVIDOR, ALG = chave_privada("servidor")


def assercao(scope: str) -> str:
    """Uma por requisição: vida até 60 s e jti de uso único."""
    agora = int(time.time())
    claims = {
        "iss": ISS,
        "aud": AUD,
        "iat": agora,
        "exp": agora + 50,
        "jti": uuid.uuid4().hex,
        "scope": scope,
    }
    return jwt.encode(
        claims, SERVIDOR.key, algorithm=ALG, headers={"kid": SERVIDOR.key_id, "typ": "voice+server"}
    )


def h(scope: str, **extra) -> dict:
    return {"Authorization": f"Bearer {assercao(scope)}"} | extra