refactor(auth): consolidate auth under /api/auth/* endpoints

- ยุบ route auth ที่เคย copy กันจน drift (flow N11 หายจาก /api/auth/session)
  เหลือโค้ด inline สองเส้นเดียว: POST /api/auth/token (ทางเข้า 3: x-api-key
  docver / x-api-key purpose:"login" mint ลิงก์ note / ticket ของ add-in)
  + POST /api/auth/session (แลก credential + register N8 + N11 fid-only)
- POST /api/documents/token คงไว้เป็น alias re-export (กลุ่ม docver/e-Court
  เดิม — contract เดิมเป๊ะ, มี test toBe กัน copy แยกชุดกลับมา)
- ถอดเส้นฝั่ง note ทั้งสอบ: /api/note/auth/token + /api/note/auth/session
  (e-Court ต้องย้ายมาทางเข้ารวม — แจ้งทีม e-Court ก่อน deploy)
- utils/auth-store.ts: primitives กลางฝั่ง client (jwtExp/isExpired/
  localStorage store + memory fallback) — lib/note-session ใช้ร่วม
  (expMs decode จาก JWT payload = นาฬิกา server) และวางไว้ให้ wordaddin
  ย้ายมาใช้รอบหน้าได้ (รอบนี้ไม่แต้ wordaddin ตามข้อตกลง)
- นโยบาย token หมดอายุกลาง session: PDFViewer reportActionError จับ
  auth-error ของ Server Action ทุกจุด → ล้าง session แล้วพาไป
  /note?sso=expired (จบที่ gate เดียวกับ bootstrap 401)
- openapi: ทางเข้า purpose:"login" + schema LoginTokenRequest + ลบ path
  เส้นที่ถอด + test กันเส้นตายหลุดค้างใน spec
- เอกสาร sync: PLAN-SSO §0.6, CLAUDE.md, PLAN-STAGED, .env.example, /note/dev
- tests: ย้าย/เพิ่มชุด auth (50 เคสกลุ่ม auth ผ่าน, ทั้งชุด 444 ผ่าน) +
  e2e ครบทั้ง API (mint/alias/ticket/404 เส้นเก่า/N11/D4) และ browser

Co-Authored-By: Claude Code <noreply@anthropic.com>

app/api/auth/session/route.ts

@@ -1,19 +1,24 @@
-// POST /api/auth/session (path สั้นของ POST /api/note/auth/session — โค้ดก้อนเดียวกัน
-// copy มา 2026-11-05) — แลก credential ของลิงก์ e-Court เป็น access_token
-// (ฉบับ token 2026-10-30 ตามคำขอผู้ใช้ "note ใช้แบบ add-in" — แทน GET e-court ที่
-// set cookie คู่ oacCase ซึ่งถอดแล้ว): body {t | ticket_data+HmacSha256, fileUrl?,
-// typeId?} → verify → ลงทะเบียนเอกสาร N8 แบบ trusted ฝั่ง server เลย (fileId จาก
-// fid ที่เซ็นมา — ไม่ต้องมี link proof อีก) → ออก login-token อายุ NOTE_SESSION_TTL
-// (8 ชม.) ให้ client เก็บ localStorage "note-auth"
+// POST /api/auth/session — **ทางเข้าหลัก (และเดียว) ของแอป note** (2026-11-09
+// รอบสอง: ถอด /api/note/auth/session เส้นเก่าออก — ผู้เรียกต้องย้ายมาเส้นนี้) —
+// แลก credential ของลิงก์ e-Court เป็น access_token (ฉบับ token 2026-10-30 ตามคำขอ
+// ผู้ใช้ "note ใช้แบบ add-in" — แทน GET e-court ที่ set cookie ซึ่งถอดแล้ว):
+// body {t | ticket_data+HmacSha256, fileUrl?, typeId?} → verify → ลงทะเบียนเอกสาร
+// N8 แบบ trusted ฝั่ง server เลย (fileId จาก fid ที่เซ็นมา) → ออก login-token
+// อายุ NOTE_SESSION_TTL (8 ชม.) ให้ client เก็บ localStorage "note-auth"
 // · 400 body ผิด · 401 {error, reason: expired|invalid} · 500 secret ไม่ตั้ง
 // · audit log เฉพาะ userid (strip อักขระควบคุม) — ห้าม log token/query ดิบ
 import { NextResponse } from "next/server";
+import { eq } from "drizzle-orm";
 
+import { db } from "@/db";
+import { files } from "@/db/schema";
 import { addinTicketSecret, verifyAddinTicket } from "@/lib/addin-ticket";
 import { issueDocverToken, verifyDocverLoginToken } from "@/lib/docver-token";
+import { ecourtExternalId } from "@/lib/ecourt-fid";
 import { registerExternalFile } from "@/lib/external-import";
 import { parseSessionExchangeBody } from "@/lib/note-auth";
 import { NOTE_SESSION_TTL } from "@/lib/note-token";
+import { hasStagedDoc, isStagedSource } from "@/lib/staged-docs";
 
 export const runtime = "nodejs";
 export const dynamic = "force-dynamic";
@@ -82,6 +87,30 @@ export async function POST(request: Request): Promise<Response> {
     });
     if (result.ok) fileId = result.fileId;
     else fileError = result.error;
+  } else {
+    // N11 (PLAN-STAGED.md D5): ลิงก์ fid-only (เอกสาร staging — เนื้อส่งมาทาง POST
+    // /api/note/files/stage แล้ว ลิงก์มีแค่ t=) — เช็คตั้งแต่ตอนแลก token เลย ไม่ปล่อย
+    // เข้า viewer ไปเจอ 410 เอง · ใช้ hasStagedDoc (ไม่ยืด TTL ไม่ถือ Buffer — การอ่าน
+    // จริงเกิดที่ viewer) · เอกสาร N8 ที่รู้จักแล้ว (pdf_url เป็น URL/path ปกติ) เข้าได้
+    // ทางเดียวกัน · ผู้ใช้ได้ token ตามปกติทุกกรณี
+    try {
+      const [row] = await db
+        .select()
+        .from(files)
+        .where(eq(files.externalId, ecourtExternalId(identity.fid)))
+        .limit(1);
+      if (!row) {
+        fileError = "เอกสารยังไม่ถูกส่งเข้าระบบ — กลับ e-Court กดลิงก์ใหม่";
+      } else if (isStagedSource(row.pdfUrl)) {
+        if (hasStagedDoc(row.pdfUrl)) fileId = row.id;
+        else fileError = "เอกสารพ้นช่วงจัดเตรียม — กลับ e-Court กดลิงก์ใหม่";
+      } else {
+        fileId = row.id;
+      }
+    } catch (err) {
+      console.error("[sso] ค้นหาเอกสารของ fid ล้ม", err);
+      fileError = "ค้นเอกสารไม่สำเร็จ — ลองอีกครั้ง";
+    }
   }
 
   const access_token = issueDocverToken(

app/api/auth/token/route.ts

@@ -1,21 +1,25 @@
-// PLAN-DOCVER.md §auth — POST /api/auth/token (path สั้นของ POST /api/documents/token
-// — โค้ดก้อนเดียวกัน copy มา 2026-11-05) ออก access_token ของกลุ่ม docver
-// ทางเข้า 2 ทาง (PLAN-ADDIN-AUTH.md §3 — header x-api-key เป็นตัวตั้ง):
-//  1) e-Court server-to-server: header "x-api-key" เทียบ env DOCVER_API_KEY
-//     (fail closed เมื่อ env ไม่ตั้ง/ว่าง) + body claims ตรง ๆ (เดิมทุกอย่าง)
-//  2) add-in ใน Word: ไม่มี x-api-key + body {ticket_data, HmacSha256} — server
+// POST /api/auth/token — **ทางเข้า token เดียวของทั้งระบบ** (2026-11-09 รอบสอง:
+// ถอด route คู่ทั้งหมด — /api/documents/token และ /api/note/auth/token ไม่มีแล้ว
+// ผู้เรียกเก่าต้องย้ายมาเส้นนี้ · PLAN-DOCVER.md §auth + PLAN-SSO.md §0.6)
+// ทางเข้า 3 แบบ (header x-api-key เป็นตัวตั้ง):
+//  1) e-Court server-to-server (docver): header "x-api-key" เทียบ env DOCVER_API_KEY
+//     (fail closed เมื่อ env ไม่ตั้ง/ว่าง) + body claims เดิม {userid, username, fid,
+//     template?} → docver-token อายุตาม env DOCVER_TOKEN_TTL_SECONDS (default
+//     604800 = 7 วัน — token อายุยาวแทนระบบ refresh/renew ของ add-in)
+//  2) e-Court mint ลิงก์ SSO ของแอป note: x-api-key เช่นเดียวกัน + body
+//     purpose:"login" (+ttl_seconds 60–600 default 300) → login-token อายุสั้น
+//     ไว้ฝังเป็น param t= ของลิงก์ /note?t=… (credential ใน URL ต้องอายุสั้น — D5)
+//     · purpose ค่าอื่น = 400
+//  3) add-in ใน Word: ไม่มี x-api-key + body {ticket_data, HmacSha256} — server
 //     ตรวจ HMAC ด้วย env ฝั่ง server (ADDIN_TICKET_SECRET → SECRET →
-//     "super_secret", lib/addin-ticket.ts) แล้วออก token จาก claims ของ ticket
-//     (secret ตัวเซ็น JWT ไม่มีทางไปอยู่ใน bundle ของ add-in — client ไม่ตรวจ HMAC
-//     เองแล้วตาม PLAN-SSO.md D13) · contract 2026-11-04: 400 = ฟอร์แม็ตพัง
-//     (รวม missing) / 401 = ลายเซ็นไม่ถูก / 403 = ลายเซ็นถูกแต่ ticket หมดอายุ
-//     (client ที่มี JWT เดิมของ fid นี้ใน session ใช้ต่อเอง — ไม่มีการออกซ้ำ
-//     จากหลักฐาน DB อีกต่อไป เลิก requirement ขั้น 7 ฉบับ 2026-10-28)
-// ทั้งสองทางออก JWT HS256 เซ็นด้วย env DOCVER_TOKEN_SECRET อายุตาม env
-// DOCVER_TOKEN_TTL_SECONDS (default 604800 = 7 วัน — token อายุยาวแทนระบบ
-// refresh/renew) แล้วนำไปแนบ Authorization: Bearer กับ endpoint อื่นของกลุ่ม
-// (lib/docver-token.ts) · segment คงที่ "token" ไม่ชน [docId]
-// (Next ให้ static ชนะ) และ middleware ยกเว้น api/documents/* อยู่แล้ว
+//     "super_secret", lib/addin-ticket.ts) แล้วออก docver-token จาก claims ของ
+//     ticket เอง (secret ตัวเซ็น JWT ไม่มีทางไปอยู่ใน bundle ของ add-in — client
+//     ไม่ตรวจ HMAC เองแล้วตาม PLAN-SSO.md D13) · contract 2026-11-04: 400 =
+//     ฟอร์แม็ตพัง (รวม missing) / 401 = ลายเซ็นไม่ถูก / 403 = ลายเซ็นถูกแต่ ticket
+//     หมดอายุ (client ที่มี JWT เดิมของ fid นี้ใน session ใช้ต่อเอง)
+// ทุกทางออก JWT HS256 เซ็นด้วย env DOCVER_TOKEN_SECRET · response shape
+// {access_token, token_type, expires_in} ตรง OAuth2 — วันหนึ่งเพิ่ม grant
+// refresh_token ได้โดยไม่ break · ไม่ import @/db · ห้าม log ค่า key/body ดิบ
 import { docverError } from "@/lib/document-versioning";
 import {
   addinTicketSecret,
@@ -30,6 +34,7 @@ import {
   requireDocverApiKey,
   type DocverTokenClaims,
 } from "@/lib/docver-token";
+import { parseLoginTokenBody } from "@/lib/note-auth";
 
 export const runtime = "nodejs";
 export const dynamic = "force-dynamic";
@@ -45,7 +50,7 @@ export async function POST(request: Request) {
     : postWithTicket(request);
 }
 
-/** ทางเข้า 1 (เดิม) — e-Court server-to-server */
+/** ทางเข้า 1+2 — e-Court server-to-server (docver / mint login-token ลิงก์ note) */
 async function postWithApiKey(request: Request): Promise<Response> {
   const apiKeyFail = requireDocverApiKey(request);
   if (apiKeyFail !== null) return apiKeyFail;
@@ -56,12 +61,37 @@ async function postWithApiKey(request: Request): Promise<Response> {
   } catch {
     return docverError("body ต้องเป็น JSON", 400);
   }
+  // แยกทางตาม purpose: "login" = mint login-token ลิงก์ note · ไม่ส่ง = docver
+  // ตาม contract เดิมเป๊ะ (allowlist userid/username/fid/template) · ค่าอื่น = 400
+  if (typeof raw === "object" && raw !== null && !Array.isArray(raw)) {
+    const record = raw as Record<string, unknown>;
+    if (record.purpose !== undefined) {
+      if (record.purpose !== "login") {
+        return docverError("purpose รับเฉพาะ 'login'", 400);
+      }
+      // strip ออกก่อน parse — parseLoginTokenBody เป็น allowlist 4 field
+      // (purpose อยู่ใน body = ไม่รู้จัก field)
+      const { purpose: _purpose, ...body } = record;
+      const parsed = parseLoginTokenBody(body);
+      if (!parsed.ok) return docverError(parsed.error, 400);
+      return issueToken(
+        {
+          userid: parsed.claims.userid,
+          username: parsed.claims.username,
+          fid: parsed.claims.fid,
+          template: null,
+        },
+        "login",
+        parsed.ttlSeconds,
+      );
+    }
+  }
   const parsed = parseTokenRequestBody(raw);
   if (!parsed.ok) return docverError(parsed.error, 400);
   return issueToken(parsed.claims);
 }
 
-/** ทางเข้า 2 — add-in ส่ง ticket ที่ e-Court stamp มากับไฟล์ */
+/** ทางเข้า 3 — add-in ส่ง ticket ที่ e-Court stamp มากับไฟล์ */
 async function postWithTicket(request: Request): Promise<Response> {
   let raw: unknown;
   try {
@@ -89,24 +119,33 @@ async function postWithTicket(request: Request): Promise<Response> {
   return issueToken(ticketToDocverClaims(verified.ticket));
 }
 
-/** ออก JWT ของ claims ที่ผ่านการยืนยันแล้วจากทั้งสองทาง — ส่วนกลาง */
-async function issueToken(claims: DocverTokenClaims): Promise<Response> {
+/** ออก JWT ของ claims ที่ผ่านการยืนยันแล้วจากทุกทาง — ส่วนกลาง */
+async function issueToken(
+  claims: DocverTokenClaims,
+  purpose: "docver" | "login" = "docver",
+  ttlSeconds?: number,
+): Promise<Response> {
   // ความผิด config ฝั่ง server ไม่ใช่ความผิดของผู้เรียก — ไม่ตั้ง = 500 (ห้าม log ค่า secret)
   const secret = process.env.DOCVER_TOKEN_SECRET?.trim();
   if (secret === undefined || secret === "") {
     return docverError("DOCVER_TOKEN_SECRET ยังไม่ถูกตั้งค่า", 500);
   }
-  const ttlRaw = Number(process.env.DOCVER_TOKEN_TTL_SECONDS);
-  // default 7 วัน (2026-11-04) — token อายุยาวแทนระบบ refresh/renew ของ add-in
-  const ttlSeconds =
-    Number.isFinite(ttlRaw) && ttlRaw > 0 ? Math.floor(ttlRaw) : 604_800;
+  // docver: TTL จาก env (default 7 วัน) · login: TTL จาก ttl_seconds ของ body
+  // (60–600 สั้นตาม D5 — credential ใน URL ต้องอายุสั้น)
+  let resolvedTtl: number;
+  if (purpose === "login" && ttlSeconds !== undefined) {
+    resolvedTtl = ttlSeconds;
+  } else {
+    const ttlRaw = Number(process.env.DOCVER_TOKEN_TTL_SECONDS);
+    resolvedTtl = Number.isFinite(ttlRaw) && ttlRaw > 0 ? Math.floor(ttlRaw) : 604_800;
+  }
 
-  const accessToken = issueDocverToken(claims, secret, ttlSeconds);
+  const accessToken = issueDocverToken(claims, secret, resolvedTtl, purpose);
   return new Response(
     JSON.stringify({
       access_token: accessToken,
       token_type: "Bearer",
-      expires_in: ttlSeconds,
+      expires_in: resolvedTtl,
     }),
     { headers: { "content-type": "application/json; charset=utf-8" } },
   );

app/api/documents/token/route.ts

@@ -1,112 +1,11 @@
-// PLAN-DOCVER.md §auth — POST /api/documents/token ออก access_token ของกลุ่ม docver
-// ทางเข้า 2 ทาง (PLAN-ADDIN-AUTH.md §3 — header x-api-key เป็นตัวตั้ง):
-//  1) e-Court server-to-server: header "x-api-key" เทียบ env DOCVER_API_KEY
-//     (fail closed เมื่อ env ไม่ตั้ง/ว่าง) + body claims ตรง ๆ (เดิมทุกอย่าง)
-//  2) add-in ใน Word: ไม่มี x-api-key + body {ticket_data, HmacSha256} — server
-//     ตรวจ HMAC ด้วย env ฝั่ง server (ADDIN_TICKET_SECRET → SECRET →
-//     "super_secret", lib/addin-ticket.ts) แล้วออก token จาก claims ของ ticket
-//     (secret ตัวเซ็น JWT ไม่มีทางไปอยู่ใน bundle ของ add-in — client ไม่ตรวจ HMAC
-//     เองแล้วตาม PLAN-SSO.md D13) · contract 2026-11-04: 400 = ฟอร์แม็ตพัง
-//     (รวม missing) / 401 = ลายเซ็นไม่ถูก / 403 = ลายเซ็นถูกแต่ ticket หมดอายุ
-//     (client ที่มี JWT เดิมของ fid นี้ใน session ใช้ต่อเอง — ไม่มีการออกซ้ำ
-//     จากหลักฐาน DB อีกต่อไป เลิก requirement ขั้น 7 ฉบับ 2026-10-28)
-// ทั้งสองทางออก JWT HS256 เซ็นด้วย env DOCVER_TOKEN_SECRET อายุตาม env
-// DOCVER_TOKEN_TTL_SECONDS (default 604800 = 7 วัน — token อายุยาวแทนระบบ
-// refresh/renew) แล้วนำไปแนบ Authorization: Bearer กับ endpoint อื่นของกลุ่ม
-// (lib/docver-token.ts) · segment คงที่ "token" ไม่ชน [docId]
-// (Next ให้ static ชนะ) และ middleware ยกเว้น api/documents/* อยู่แล้ว
-import { docverError } from "@/lib/document-versioning";
-import {
-  addinTicketSecret,
-  parseTicketTokenBody,
-  ticketToDocverClaims,
-  verifyAddinTicketHmac,
-} from "@/lib/addin-ticket";
-import { isTicketExpired } from "@/utils/docver-ticket";
-import {
-  issueDocverToken,
-  parseTokenRequestBody,
-  requireDocverApiKey,
-  type DocverTokenClaims,
-} from "@/lib/docver-token";
+// PLAN-DOCVER.md §auth — POST /api/documents/token ออก access_token ของกลุ่ม
+// docver (ทางเข้าของ e-Court server-to-server ที่ยังยิง URL เดิมอยู่ — **คงไว้
+// ตามคำขอผู้ใช้ 2026-11-09**: ของกลุ่ม add-in/docver ไม่ถอด) · alias ของ
+// `POST /api/auth/token` ตัวเดียวกันเป๊ะ (re-export) — contract เดิมคงทั้งหมด:
+// body ไม่ส่ง `purpose` = docver-token ตาม env DOCVER_TOKEN_TTL_SECONDS ·
+// segment คงที่ "token" ไม่ชน [docId] (Next ให้ static ชนะ) และ middleware
+// ยกเว้น api/documents/* อยู่แล้ว
+export { POST } from "@/app/api/auth/token/route";
 
 export const runtime = "nodejs";
 export const dynamic = "force-dynamic";
-
-/** 401 ของทางเข้า ticket — ข้อความเดียวทุกสาเหตุ (HMAC ผิด/รูปผิด) กัน oracle · หมดอายุแยกเป็น 403 */
-const TICKET_DENIED = "ticket ไม่ถูกต้อง";
-/** 403 ของทางเข้า ticket — ลายเซ็นถูกแต่หมดอายุ (client มี JWT เดิมใน session ก็ใช้ต่อได้) */
-const TICKET_EXPIRED = "ticket ของ e-Court หมดอายุ";
-
-export async function POST(request: Request) {
-  return request.headers.get("x-api-key") !== null
-    ? postWithApiKey(request)
-    : postWithTicket(request);
-}
-
-/** ทางเข้า 1 (เดิม) — e-Court server-to-server */
-async function postWithApiKey(request: Request): Promise<Response> {
-  const apiKeyFail = requireDocverApiKey(request);
-  if (apiKeyFail !== null) return apiKeyFail;
-
-  let raw: unknown;
-  try {
-    raw = await request.json();
-  } catch {
-    return docverError("body ต้องเป็น JSON", 400);
-  }
-  const parsed = parseTokenRequestBody(raw);
-  if (!parsed.ok) return docverError(parsed.error, 400);
-  return issueToken(parsed.claims);
-}
-
-/** ทางเข้า 2 — add-in ส่ง ticket ที่ e-Court stamp มากับไฟล์ */
-async function postWithTicket(request: Request): Promise<Response> {
-  let raw: unknown;
-  try {
-    raw = await request.json();
-  } catch {
-    return docverError("body ต้องเป็น JSON", 400);
-  }
-  const parsed = parseTicketTokenBody(raw);
-  if (!parsed.ok) {
-    // contract 2026-11-04: ฟอร์แม็ตพัง = 400 ทั้ง missing/invalid (เดิม missing เป็น 401)
-    return docverError(parsed.error, 400);
-  }
-  // ตรวจ HMAC ก่อนเสมอ (ตัวตนของผู้ถือไฟล์) — exp ไม่ใช่เกณฑ์ตัดสิทธิ์ ณ จุดนี้
-  const verified = verifyAddinTicketHmac(parsed.ticketData, parsed.hmacHex, addinTicketSecret());
-  if (!verified.ok) return docverError(TICKET_DENIED, 401);
-
-  // ลายเซ็นถูกแต่ ticket หมดอายุ → 403 เสมอ (contract 2026-11-04 — เลิก requirement
-  // ขั้น 7 ฉบับ 2026-10-28: ไม่ตรวจ hasVersionByUser อีกต่อไป เพราะ ticket ฝังอยู่ใน
-  // ไฟล์ ใครได้ไฟล์ก็ได้ ticket การปล่อยให้ ticket เก่าแลก token ใหม่ได้ตลอดไป
-  // เท่ากันคือปล่อยสิทธิ์ตามการครอบครองไฟล์ — ฝั่ง client ที่มี JWT ของ fid นี้
-  // ใน session ที่ยังไม่หมด (7 วัน) ใช้ต่อเอง ไม่มี = ขอไฟล์ใหม่จาก e-Court)
-  if (isTicketExpired(verified.ticket.exp)) {
-    return docverError(TICKET_EXPIRED, 403);
-  }
-  return issueToken(ticketToDocverClaims(verified.ticket));
-}
-
-/** ออก JWT ของ claims ที่ผ่านการยืนยันแล้วจากทั้งสองทาง — ส่วนกลาง */
-async function issueToken(claims: DocverTokenClaims): Promise<Response> {
-  // ความผิด config ฝั่ง server ไม่ใช่ความผิดของผู้เรียก — ไม่ตั้ง = 500 (ห้าม log ค่า secret)
-  const secret = process.env.DOCVER_TOKEN_SECRET?.trim();
-  if (secret === undefined || secret === "") {
-    return docverError("DOCVER_TOKEN_SECRET ยังไม่ถูกตั้งค่า", 500);
-  }
-  const ttlRaw = Number(process.env.DOCVER_TOKEN_TTL_SECONDS);
-  // default 7 วัน (2026-11-04) — token อายุยาวแทนระบบ refresh/renew ของ add-in
-  const ttlSeconds =
-    Number.isFinite(ttlRaw) && ttlRaw > 0 ? Math.floor(ttlRaw) : 604_800;
-
-  const accessToken = issueDocverToken(claims, secret, ttlSeconds);
-  return new Response(
-    JSON.stringify({
-      access_token: accessToken,
-      token_type: "Bearer",
-      expires_in: ttlSeconds,
-    }),
-    { headers: { "content-type": "application/json; charset=utf-8" } },
-  );
-}

app/api/note/auth/dev-link/route.ts

@@ -27,7 +27,7 @@ export async function GET(request: Request): Promise<Response> {
   const file = url.searchParams.get("file") ?? "";
   const mode = url.searchParams.get("mode") === "ticket" ? "ticket" : "jwt";
   // ชื่อไฟล์ตัวอย่างเท่านั้น — ห้าม path segment/.. (การมีไฟล์จริงตรวจตอน register
-  // ใน exchange ของ /api/note/auth/session อยู่แล้ว)
+  // ใน exchange ของ /api/auth/session อยู่แล้ว)
   if (
     file === "" || file.length > 200 ||
     file.includes("/") || file.includes("\\") || file.includes("..")

app/api/note/auth/session/route.ts

@@ -1,134 +0,0 @@
-// POST /api/note/auth/session — แลก credential ของลิงก์ e-Court เป็น access_token
-// (ฉบับ token 2026-10-30 ตามคำขอผู้ใช้ "note ใช้แบบ add-in" — แทน GET e-court ที่
-// set cookie คู่ oacCase ซึ่งถอดแล้ว): body {t | ticket_data+HmacSha256, fileUrl?,
-// typeId?} → verify → ลงทะเบียนเอกสาร N8 แบบ trusted ฝั่ง server เลย (fileId จาก
-// fid ที่เซ็นมา — ไม่ต้องมี link proof อีก) → ออก login-token อายุ NOTE_SESSION_TTL
-// (8 ชม.) ให้ client เก็บ localStorage "note-auth"
-// · 400 body ผิด · 401 {error, reason: expired|invalid} · 500 secret ไม่ตั้ง
-// · audit log เฉพาะ userid (strip อักขระควบคุม) — ห้าม log token/query ดิบ
-import { NextResponse } from "next/server";
-import { eq } from "drizzle-orm";
-
-import { db } from "@/db";
-import { files } from "@/db/schema";
-import { addinTicketSecret, verifyAddinTicket } from "@/lib/addin-ticket";
-import { issueDocverToken, verifyDocverLoginToken } from "@/lib/docver-token";
-import { ecourtExternalId } from "@/lib/ecourt-fid";
-import { registerExternalFile } from "@/lib/external-import";
-import { parseSessionExchangeBody } from "@/lib/note-auth";
-import { NOTE_SESSION_TTL } from "@/lib/note-token";
-import { hasStagedDoc, isStagedSource } from "@/lib/staged-docs";
-
-export const runtime = "nodejs";
-export const dynamic = "force-dynamic";
-
-function json(body: unknown, status = 200): NextResponse {
-  return NextResponse.json(body, { status, headers: { "cache-control": "no-store" } });
-}
-
-export async function POST(request: Request): Promise<Response> {
-  let raw: unknown;
-  try {
-    raw = await request.json();
-  } catch {
-    raw = null;
-  }
-  const parsed = parseSessionExchangeBody(raw);
-  if (!parsed.ok) return json({ error: parsed.error }, 400);
-
-  const secret = process.env.DOCVER_TOKEN_SECRET?.trim();
-  if (secret === undefined || secret === "") {
-    console.error("[sso] DOCVER_TOKEN_SECRET ยังไม่ถูกตั้งค่า");
-    return json({ error: "ระบบยังไม่พร้อมให้เข้าสู่ระบบ" }, 500);
-  }
-
-  let identity: { userid: string; username: string; fid: string };
-  if (parsed.credential.kind === "jwt") {
-    const verified = verifyDocverLoginToken(parsed.credential.token, secret);
-    if (!verified.ok) {
-      return json(
-        { error: "ลิงก์เข้าสู่ระบบหมดอายุหรือไม่ถูกต้อง", reason: verified.reason },
-        401,
-      );
-    }
-    identity = verified.claims;
-  } else {
-    // ค่า default "super_secret" ของ addinTicketSecret() เป็นที่รู้กันทั้ง repo/
-    // .env.example — ใครก็ปลอม ticket ของ uid ใครก็ได้ จึงปฏิเสธใน production
-    // (fail-closed — กลุ่ม docver/add-in อนุญาต default ตาม requirement อยู่แล้ว
-    // คนละประตู) · **dev ยอมรับค่า default** เพื่อให้ทดสอบทาง ticket รอบเครื่องได้
-    // โดยไม่ต้องตั้ง env ใหม่ — เครื่องมือ dev (make-login-link/make-ticket-docx/
-    // dev-link) ก็ default ค่าเดียวกัน (review 2026-10-30 รอบสอง)
-    if (process.env.NODE_ENV === "production" && addinTicketSecret() === "super_secret") {
-      console.error("[sso] ticket secret ยังเป็นค่า default (ADDIN_TICKET_SECRET/SECRET) — ปฏิเสธทาง ticket");
-      return json({ error: "ระบบยังไม่พร้อมให้เข้าสู่ระบบ" }, 500);
-    }
-    const verified = verifyAddinTicket(
-      parsed.credential.ticketData,
-      parsed.credential.hmacHex,
-      addinTicketSecret(),
-    );
-    if (!verified.ok) {
-      return json({ error: "ลิงก์เข้าสู่ระบบหมดอายุหรือไม่ถูกต้อง", reason: "invalid" }, 401);
-    }
-    identity = { userid: verified.ticket.uid, username: verified.ticket.uname, fid: verified.ticket.fid };
-  }
-
-  // N8: ลงทะเบียนเอกสารตอนแลก token เลย — ฝั่ง server เชื่อ fid จาก credential
-  // ที่ verify แล้วเท่านั้น (trusted) ส่วน ?fileUrl พิมพ์เองบนหน้าเว็บไม่มีทาง
-  // เข้ามาถึงจุดนี้ · ล้ม = ยังออก token ให้ + fileError ให้หน้าแรกแสดง (คู่ขนาน
-  // พฤติกรรมสมัย cookie: session ตั้งก่อน แล้วค่อยแจ้ง error ของไฟล์)
-  let fileId: string | undefined;
-  let fileError: string | undefined;
-  if (parsed.fileUrl !== undefined) {
-    const result = await registerExternalFile(parsed.fileUrl, identity.fid, parsed.typeId, {
-      trusted: true,
-    });
-    if (result.ok) fileId = result.fileId;
-    else fileError = result.error;
-  } else {
-    // N11 (PLAN-STAGED.md D5): ลิงก์ fid-only (เอกสาร staging — เนื้อส่งมาทาง POST
-    // /api/note/files/stage แล้ว ลิงก์มีแค่ t=) — เช็คตั้งแต่ตอนแลก token เลย ไม่ปล่อย
-    // เข้า viewer ไปเจอ 410 เอง · ใช้ hasStagedDoc (ไม่ยืด TTL ไม่ถือ Buffer — การอ่าน
-    // จริงเกิดที่ viewer) · เอกสาร N8 ที่รู้จักแล้ว (pdf_url เป็น URL/path ปกติ) เข้าได้
-    // ทางเดียวกัน · ผู้ใช้ได้ token ตามปกติทุกกรณี
-    try {
-      const [row] = await db
-        .select()
-        .from(files)
-        .where(eq(files.externalId, ecourtExternalId(identity.fid)))
-        .limit(1);
-      if (!row) {
-        fileError = "เอกสารยังไม่ถูกส่งเข้าระบบ — กลับ e-Court กดลิงก์ใหม่";
-      } else if (isStagedSource(row.pdfUrl)) {
-        if (hasStagedDoc(row.pdfUrl)) fileId = row.id;
-        else fileError = "เอกสารพ้นช่วงจัดเตรียม — กลับ e-Court กดลิงก์ใหม่";
-      } else {
-        fileId = row.id;
-      }
-    } catch (err) {
-      console.error("[sso] ค้นเอกสารของ fid ล้ม", err);
-      fileError = "ค้นเอกสารไม่สำเร็จ — ลองอีกครั้ง";
-    }
-  }
-
-  const access_token = issueDocverToken(
-    { userid: identity.userid, username: identity.username, fid: identity.fid, template: null },
-    secret,
-    NOTE_SESSION_TTL,
-    "login",
-  );
-  // audit: เฉพาะ userid + เวลา — ห้าม log token/query ดิบ · strip อักขระควบคุม
-  // ก่อนพิมพ์ (claims ไม่จำกัด charset — กันฝัง \n ปลอมบรรทัด log)
-  const auditId = identity.userid.replace(/[\u0000-\u001f\u007f-\u009f]/g, "");
-  console.log(`[sso] e-Court login ok: userid=${auditId}`);
-  return json({
-    access_token,
-    token_type: "Bearer",
-    expires_in: NOTE_SESSION_TTL,
-    userid: identity.userid,
-    username: identity.username,
-    ...(fileId !== undefined ? { fileId } : {}),
-    ...(fileError !== undefined ? { fileError } : {}),
-  });
-}

app/api/note/auth/token/route.ts

@@ -1,48 +0,0 @@
-// PLAN-SSO.md §3.1 — POST /api/note/auth/token: เส้น mint login-token ของแอป note
-// (ทางเข้า x-api-key ตัวเดียวกับ docver แต่แยกเส้นจาก /api/documents/token — D1
-// contract docver ไม่ถูกแต้) — สำหรับ backend e-Court ประกอบลิงก์
-// `/note?…&t=<access_token>` ให้ผู้ใช้คลิก (ฉบับ token 2026-10-30: หน้าแรกเป็น
-// client bootstrap แลก credential เป็น session token ที่ /api/note/auth/session)
-// token ที่ได้เป็น purpose="login" ใช้ได้กับการเข้าแอป note เท่านั้น (D4)
-// ไม่ import @/db · ห้าม log ค่า key/body ดิบ
-import { docverError } from "@/lib/document-versioning";
-import { issueDocverToken, requireDocverApiKey } from "@/lib/docver-token";
-import { parseLoginTokenBody } from "@/lib/note-auth";
-
-export const runtime = "nodejs";
-export const dynamic = "force-dynamic";
-
-export async function POST(request: Request): Promise<Response> {
-  const apiKeyFail = requireDocverApiKey(request);
-  if (apiKeyFail !== null) return apiKeyFail;
-
-  let raw: unknown;
-  try {
-    raw = await request.json();
-  } catch {
-    return docverError("body ต้องเป็น JSON", 400);
-  }
-  const parsed = parseLoginTokenBody(raw);
-  if (!parsed.ok) return docverError(parsed.error, 400);
-
-  // ความผิด config ฝั่ง server ไม่ใช่ความผิดของผู้เรียก — ไม่ตั้ง = 500 (ห้าม log ค่า secret)
-  const secret = process.env.DOCVER_TOKEN_SECRET?.trim();
-  if (secret === undefined || secret === "") {
-    return docverError("DOCVER_TOKEN_SECRET ยังไม่ถูกตั้งค่า", 500);
-  }
-
-  const accessToken = issueDocverToken(
-    { userid: parsed.claims.userid, username: parsed.claims.username, fid: parsed.claims.fid, template: null },
-    secret,
-    parsed.ttlSeconds,
-    "login",
-  );
-  return new Response(
-    JSON.stringify({
-      access_token: accessToken,
-      token_type: "Bearer",
-      expires_in: parsed.ttlSeconds,
-    }),
-    { headers: { "content-type": "application/json; charset=utf-8" } },
-  );
-}

app/api/note/files/stage/route.ts

@@ -4,7 +4,7 @@
 // disk/DB/MinIO แม้แต่ไบต์เดียว (annotation/bookmark เก็บถาวรตามระบบเดิม — row
 // files ที่ registerStagedFile สร้างคือ FK anchor)
 // · auth ก่อนแตะอะไรทั้งสิ้น: requireDocverApiKey (env DOCVER_API_KEY — กลุ่มเดียว
-//   กับทางเข้า mint POST /api/note/auth/token)
+//   กับทางเข้า mint purpose:"login" ของ POST /api/auth/token)
 // · อ่าน body แบบ stream นับไบต์ (Content-Length เป็น fast-path เท่านั้น — chunked
 //   ไม่มี header) + idle 60 วิ / total 10 นาที → 408 + concurrency จำกัด
 //   (STAGED_MAX_CONCURRENT default 1) → 429 — คืน slot/เคลียร์ timer ใน finally ทุกทางออก

app/note/dev/page.tsx

@@ -142,7 +142,8 @@ export default async function DevToolsPage({
             </h3>
             <p className="mt-1.5 text-sm text-ink-soft">
               ใส่ API key (<Code>DOCVER_API_KEY</Code>) เพื่อขอ token ผ่าน{" "}
-              <Code>POST /api/note/auth/token</Code> แบบเดียวกับที่ e-Court ทำจริง
+              <Code>POST /api/auth/token</Code> แบบ <Code>purpose:&quot;login&quot;</Code>{" "}
+              แบบเดียวกับที่ e-Court ทำจริง
               แล้วระบบจะพาเข้าอ่านเอกสารที่เลือกเลย — ได้ session 8 ชม.
               (ใช้ได้ทั้ง dev และ production)
             </p>
@@ -162,7 +163,7 @@ export default async function DevToolsPage({
               สำหรับเอกสารที่ e-Court <strong className="font-medium">ไม่มี URL ให้ดึง</strong> —
               เลือกไฟล์แล้วกดปุ่มเดียว ระบบจะทำตาม contract จริงทั้ง 3 ขั้น:{" "}
               <Code>POST /api/note/files/stage</Code> (เนื้อไฟล์เป็น base64) →{" "}
-              <Code>POST /api/note/auth/token</Code> ด้วย <Code>fid</Code> เดิม → ลิงก์{" "}
+              <Code>POST /api/auth/token</Code> ด้วย <Code>fid</Code> เดิม → ลิงก์{" "}
               <Code>/note?t=…</Code> (ไม่มี fileUrl) ให้กดเข้าอ่านได้เลย · ส่ง{" "}
               <Code>fid</Code> เดิมซ้ำ = แทนที่เนื้อล่าสุด (annotation เดิมอยู่ครบ)
             </p>
@@ -219,15 +220,15 @@ export default async function DevToolsPage({
               </p>
               <ol className="mt-4 list-decimal space-y-1.5 pl-5 text-sm text-ink">
                 <li>
-                  ฝั่ง e-Court เรียก <Code>POST /api/note/auth/token</Code> พร้อมรหัส{" "}
+                  ฝั่ง e-Court เรียก <Code>POST /api/auth/token</Code> พร้อมรหัส{" "}
                   <Code>x-api-key</Code> (ค่าจาก env <Code>DOCVER_API_KEY</Code>) และข้อมูล:
                 </li>
               </ol>
-              <CodeBlock>{`POST {BASE}/api/note/auth/token
+              <CodeBlock>{`POST {BASE}/api/auth/token
 x-api-key: <DOCVER_API_KEY>
 
 {"userid":"<u_userid>","username":"<u_userlogin>",
- "fid":"<fileId>","ttl_seconds":300}`}</CodeBlock>
+ "fid":"<fileId>","ttl_seconds":300,"purpose":"login"}`}</CodeBlock>
               <ol start={2} className="mt-3 list-decimal space-y-1.5 pl-5 text-sm text-ink">
                 <li>
                   ได้ <Code>access_token</Code> กลับมา (อายุ 1–10 นาที) — นำไปใส่ในลิงก์