Refactor authentication flow and ticket handling in add-in

- Removed client-side HMAC verification; server now handles all HMAC checks.
- Updated ticket processing logic to improve UX and security.
- Adjusted API request handling to return discriminated results based on HTTP status.
- Enhanced error messages for better clarity on authentication failures.
- Added unit tests for the new token endpoint to ensure compliance with updated contract.
- Cleaned up unused code and comments related to previous HMAC handling.

wordaddin/services/ticketService.ts

@@ -1,17 +1,18 @@
 /**
  * Ticket ของ add-in — ของมือถือ (primitives) ให้ authService ประกอบเป็น flow
  * (PLAN-ADDIN-AUTH.md §5):
- * - verifyTicketHmacWeb: ตรวจ HMAC ฝั่ง client ด้วย Web Crypto (UX gate — ตัดเคส
- *   ไฟล์ถูกแก้ก่อนยิง network ส่วนความมั่นคงจริงอยู่ที่ server ตรวจอีกชั้น)
  * - session store: localStorage key เดียว `wordaddin-auth` — userId/userName +
  *   map token ต่อ fid · webview block localStorage = fallback memory ต่อ session
  *   (pattern เดียวกับ versioningService)
  * - requestDocverToken: POST same-origin /api/documents/token แบบ body ticket —
- *   ไม่ผูกกับ config.apiBaseUrl (endpoint อยู่แอปนี้ ใช้ได้ทั้งช่วง mock และจริง)
+ *   ไม่ผูกกับ config.apiBaseUrl (endpoint อยู่แอปนี้ ใช้ได้ทั้งช่วง mock และจริง) ·
+ *   คืน discriminated result แยก network/http status/malformed ให้ caller
+ *   ตัดสินตาม contract 400/401/403 (2026-11-04)
+ * - (ไม่มีการตรวจ HMAC ฝั่ง client อีกต่อไป — secret เป็นของ server อย่างเดียว
+ *   ตาม PLAN-SSO.md D13, ถอด verifyTicketHmacWeb ออก 2026-11-04)
  */
 
 import { withBasePath } from "@/utils/base-path";
-import { normalizeHexDigest } from "@/utils/docver-ticket";
 
 /** key เดียวของ session — v ไว้ migrate รูปในอนาคต */
 const SESSION_STORAGE_KEY = "wordaddin-auth";
@@ -91,38 +92,6 @@ export function isTokenExpired(entry: SessionTokenEntry): boolean {
   return entry.exp * 1000 <= Date.now() - 30_000;
 }
 
-// ---------------------------------------------------------------------------
-// HMAC ฝั่ง client — Web Crypto (crypto.subtle ให้ promise เสมอ)
-// ---------------------------------------------------------------------------
-
-/** คำนวณ HMAC-SHA256 คืน hex lowercase — รูปแบบเดียวกับ generateHmacSha256 ฝั่ง server */
-export async function hmacSha256HexWeb(message: string, secret: string): Promise<string> {
-  const encoder = new TextEncoder();
-  const key = await crypto.subtle.importKey(
-    "raw",
-    encoder.encode(secret),
-    { name: "HMAC", hash: "SHA-256" },
-    false,
-    ["sign"],
-  );
-  const signature = await crypto.subtle.sign("HMAC", key, encoder.encode(message));
-  return Array.from(new Uint8Array(signature), (byte) => byte.toString(16).padStart(2, "0")).join("");
-}
-
-/**
- * ตรวจ HMAC ของ ticket ฝั่ง client — message คือ string ดิบของ ticket_data ตามที่อ่านจาก
- * property (ห้าม trim — ตัว stamp เซ็นบนค่าดิบ) · เทียบหลัง normalize lowercase
- */
-export async function verifyTicketHmacWeb(ticketData: string, expectedHex: string, secret: string): Promise<boolean> {
-  const expected = normalizeHexDigest(expectedHex);
-  if (expected === null) return false;
-  try {
-    return (await hmacSha256HexWeb(ticketData, secret)) === expected;
-  } catch {
-    return false;
-  }
-}
-
 // ---------------------------------------------------------------------------
 // ขอ token จาก /api/documents/token (ทางเข้า ticket — PLAN-ADDIN-AUTH.md §3)
 // ---------------------------------------------------------------------------
@@ -147,30 +116,50 @@ function jwtExp(token: string): number | undefined {
   }
 }
 
+/** ผลของ requestDocverToken — แยกสาเหตุให้ caller ตัดสินตาม contract ไม่โยน exception */
+export type RequestDocverTokenResult =
+  | { ok: true; entry: SessionTokenEntry }
+  /** fetch reject — ไม่ถึง server (offline/dev server ตาย) */
+  | { ok: false; kind: "network" }
+  /** ได้ response แต่ไม่ใช่ 200 — 400 ฟอร์แม็ตพัง / 401 ลายเซ็นไม่ถูก / 403 ลายเซ็นถูกแต่ ticket หมดอายุ */
+  | { ok: false; kind: "http"; status: number }
+  /** ตอบ 200 แต่ body ใช้ไม่ได้ (ไม่ใช่ JSON / ไม่มี access_token) */
+  | { ok: false; kind: "malformed" };
+
 /**
- * ขอ access_token ด้วย ticket — โยน Error เมื่อ status ไม่สำเร็จ
- * (401 = ticket ไม่ผ่านการตรวจฝั่ง server — ให้ caller ไป no-access ตาม flow)
+ * ขอ access_token ด้วย ticket — คืน discriminated result ไม่โยน Error:
+ * caller (authService) แยกทางตาม contract ของทางเข้า ticket ของ
+ * /api/documents/token (2026-11-04: 200 ผ่าน / 400 ฟอร์แม็ต / 401 ลายเซ็น /
+ * 403 ลายเซ็นถูกแต่ ticket หมดอายุ — มี JWT เดิมของ fid ใน session ใช้ต่อได้)
  */
-export async function requestDocverToken(ticketData: string, ticketHmac: string): Promise<SessionTokenEntry> {
-  const response = await fetch(withBasePath("/api/documents/token"), {
-    method: "POST",
-    headers: { "content-type": "application/json" },
-    body: JSON.stringify({ ticket_data: ticketData, HmacSha256: ticketHmac }),
-  });
+export async function requestDocverToken(
+  ticketData: string,
+  ticketHmac: string,
+): Promise<RequestDocverTokenResult> {
+  let response: Response;
+  try {
+    response = await fetch(withBasePath("/api/documents/token"), {
+      method: "POST",
+      headers: { "content-type": "application/json" },
+      body: JSON.stringify({ ticket_data: ticketData, HmacSha256: ticketHmac }),
+    });
+  } catch {
+    return { ok: false, kind: "network" };
+  }
   if (!response.ok) {
-    throw new Error(`ขอ token ไม่สำเร็จ (HTTP ${response.status})`);
+    return { ok: false, kind: "http", status: response.status };
   }
   let data: TokenResponse;
   try {
     data = (await response.json()) as TokenResponse;
   } catch {
-    throw new Error("ขอ token ไม่สำเร็จ (response ไม่ใช่ JSON)");
+    return { ok: false, kind: "malformed" };
   }
   if (typeof data.access_token !== "string" || data.access_token === "") {
-    throw new Error("ขอ token ไม่สำเร็จ (ไม่มี access_token)");
+    return { ok: false, kind: "malformed" };
   }
   const exp =
     jwtExp(data.access_token) ??
     (typeof data.expires_in === "number" ? Math.floor(Date.now() / 1000) + data.expires_in : 0);
-  return { token: data.access_token, exp };
+  return { ok: true, entry: { token: data.access_token, exp } };
 }