@baruk/core 0.3.0 → 0.4.2

package/dist/rbac/catalog.js

@@ -168,6 +168,19 @@ export const PERMISSIONS = [
         action: 'manage',
         description: 'Gerenciar régua de inadimplência',
     },
+    {
+        // Permissão DEDICADA ao Portal, deliberadamente separada de `billing.read`.
+        //
+        // Dar `billing.read` ao contribuinte reproduziria o defeito corrigido na
+        // PR #69: o papel passaria a alcançar as rotas de staff que exigem essa
+        // mesma permissão, e o escopo por cliente voltaria a depender de cada
+        // chamador lembrar do `clientId`. Uma permissão que só o Portal possui
+        // mantém as duas superfícies separadas por construção.
+        key: 'portal.finance.read',
+        resource: 'portal',
+        action: 'read',
+        description: 'Ver os próprios recebíveis pelo Portal do Contribuinte',
+    },
     {
         key: 'vault.read',
         resource: 'vault',
@@ -192,6 +205,38 @@ export const PERMISSIONS = [
         action: 'manage',
         description: 'Gerenciar modelos de mensagem',
     },
+    {
+        /**
+         * Permissão DEDICADA à permissão de contato, deliberadamente separada de
+         * `communication.send`.
+         *
+         * `communication.send` está no papel `client_titular` — o contribuinte do
+         * Portal. Proteger o registro de consentimento com ela deixaria o próprio
+         * cliente alterar quem pode ser cobrado, que é o mesmo defeito de permissão
+         * compartilhada alcançando rota de staff corrigido na PR #69. Uma permissão
+         * que só o escritório tem mantém as duas superfícies separadas por
+         * construção, não por atenção de quem escreve a próxima rota.
+         */
+        key: 'communication.consent.manage',
+        resource: 'communication',
+        action: 'manage',
+        description: 'Registrar e alterar permissão de contato por canal',
+    },
+    {
+        /**
+         * Configuração de canal do escritório: remetente, conta de provider e
+         * referência lógica de credencial.
+         *
+         * Separada de `tenant.settings.update` porque alcança a identidade de envio
+         * — quem a tem decide sob qual conta as mensagens saem. `admin` não tem
+         * `tenant.settings.update`, e não faria sentido que por isso perdesse a
+         * capacidade de ver a configuração de canal; são decisões diferentes.
+         */
+        key: 'communication.config.manage',
+        resource: 'communication',
+        action: 'manage',
+        description: 'Configurar contas e remetentes de canal do escritório',
+    },
     {
         key: 'automation.read',
         resource: 'automation',
@@ -334,6 +379,10 @@ export const SYSTEM_ROLES = [
             'document.write',
             'communication.send',
             'communication.read',
+            // O contador é quem ouve "não me mande mais WhatsApp" ao telefone. Sem
+            // esta permissão ele teria de pedir a outro papel para registrar — e um
+            // opt-out que depende de repasse é um opt-out que não é registrado.
+            'communication.consent.manage',
             'vault.credential.decrypt',
             'vault.read',
             'request.read',
@@ -398,6 +447,11 @@ export const SYSTEM_ROLES = [
             'billing.fee.manage',
             'billing.dunning.manage',
             'communication.send',
+            'communication.read',
+            // Quem opera a régua precisa registrar "este cliente pediu para não
+            // receber por WhatsApp" no momento em que o cliente diz isso — mandar
+            // pedir para outro papel garante que ninguém registre.
+            'communication.consent.manage',
         ],
     },
     {
@@ -408,6 +462,8 @@ export const SYSTEM_ROLES = [
             'communication.send',
             'communication.read',
             'communication.template.manage',
+            'communication.consent.manage',
+            'communication.config.manage',
             'request.read',
             'request.comment',
             'crm.read',
@@ -435,7 +491,16 @@ export const SYSTEM_ROLES = [
         name: 'Cliente — Titular',
         permissions: [
             'document.read',
-            'communication.send',
+            // `communication.send` SAIU daqui.
+            //
+            // Estava concedida ao contribuinte desde o seed original e nunca foi
+            // exercida por rota nenhuma — o que a tornava inofensiva e invisível ao
+            // mesmo tempo. Deixou de ser inofensiva no momento em que este produto
+            // ganhou superfície administrativa de comunicação: a primeira rota de
+            // staff protegida por ela seria alcançável pelo Portal do cliente.
+            //
+            // É a mesma classe de defeito da PR #69 (`billing.read` no Portal),
+            // corrigida antes de existir a rota que a exploraria em vez de depois.
             'request.read',
             'request.comment',
             'portal.onboarding.read',
@@ -446,6 +511,7 @@ export const SYSTEM_ROLES = [
             'portal.onboarding.comment.create',
             'portal.onboarding.comment.read',
             'portal.onboarding.external_delivery.confirm',
+            'portal.finance.read',
         ],
     },
 ];

package/dist/rbac/catalog.js.map

@@ -1 +1 @@
-{"version":3,"file":"catalog.js","sourceRoot":"","sources":["../../src/rbac/catalog.ts"],"names":[],"mappings":"AAAA;;;;GAIG;AASH,MAAM,CAAC,MAAM,WAAW,GAA6B;IACnD;QACE,GAAG,EAAE,wBAAwB;QAC7B,QAAQ,EAAE,mBAAmB;QAC7B,MAAM,EAAE,MAAM;QACd,WAAW,EAAE,oCAAoC;KAClD;IACD;QACE,GAAG,EAAE,iCAAiC;QACtC,QAAQ,EAAE,4BAA4B;QACtC,MAAM,EAAE,MAAM;QACd,WAAW,EAAE,8CAA8C;KAC5D;IACD;QACE,GAAG,EAAE,6CAA6C;QAClD,QAAQ,EAAE,wCAAwC;QAClD,MAAM,EAAE,MAAM;QACd,WAAW,EAAE,qCAAqC;KACnD;IACD;QACE,GAAG,EAAE,mCAAmC;QACxC,QAAQ,EAAE,4BAA4B;QACtC,MAAM,EAAE,QAAQ;QAChB,WAAW,EAAE,qDAAqD;KACnE;IACD;QACE,GAAG,EAAE,iCAAiC;QACtC,QAAQ,EAAE,4BAA4B;QACtC,MAAM,EAAE,MAAM;QACd,WAAW,EAAE,8CAA8C;KAC5D;IACD;QACE,GAAG,EAAE,kCAAkC;QACvC,QAAQ,EAAE,2BAA2B;QACrC,MAAM,EAAE,QAAQ;QAChB,WAAW,EAAE,iDAAiD;KAC/D;IACD;QACE,GAAG,EAAE,gCAAgC;QACrC,QAAQ,EAAE,2BAA2B;QACrC,MAAM,EAAE,MAAM;QACd,WAAW,EAAE,gDAAgD;KAC9D;IACD;QACE,GAAG,EAAE,6CAA6C;QAClD,QAAQ,EAAE,qCAAqC;QAC/C,MAAM,EAAE,QAAQ;QAChB,WAAW,EAAE,gDAAgD;KAC9D;IACD,EAAE,GAAG,EAAE,aAAa,EAAE,QAAQ,EAAE,QAAQ,EAAE,MAAM,EAAE,MAAM,EAAE,WAAW,EAAE,cAAc,EAAE;IACvF;QACE,GAAG,EAAE,cAAc;QACnB,QAAQ,EAAE,QAAQ;QAClB,MAAM,EAAE,OAAO;QACf,WAAW,EAAE,uBAAuB;KACrC;IACD,EAAE,GAAG,EAAE,eAAe,EAAE,QAAQ,EAAE,QAAQ,EAAE,MAAM,EAAE,QAAQ,EAAE,WAAW,EAAE,kBAAkB,EAAE;IAC/F;QACE,GAAG,EAAE,eAAe;QACpB,QAAQ,EAAE,QAAQ;QAClB,MAAM,EAAE,QAAQ;QAChB,WAAW,EAAE,yBAAyB;KACvC;IACD,EAAE,GAAG,EAAE,cAAc,EAAE,QAAQ,EAAE,SAAS,EAAE,MAAM,EAAE,MAAM,EAAE,WAAW,EAAE,kBAAkB,EAAE;IAC7F;QACE,GAAG,EAAE,gBAAgB;QACrB,QAAQ,EAAE,SAAS;QACnB,MAAM,EAAE,OAAO;QACf,WAAW,EAAE,oBAAoB;KAClC;IACD;QACE,GAAG,EAAE,iBAAiB;QACtB,QAAQ,EAAE,SAAS;QACnB,MAAM,EAAE,OAAO;QACf,WAAW,EAAE,uBAAuB;KACrC;IACD;QACE,GAAG,EAAE,uBAAuB;QAC5B,QAAQ,EAAE,SAAS;QACnB,MAAM,EAAE,QAAQ;QAChB,WAAW,EAAE,gCAAgC;KAC9C;IACD;QACE,GAAG,EAAE,aAAa;QAClB,QAAQ,EAAE,MAAM;QAChB,MAAM,EAAE,QAAQ;QAChB,WAAW,EAAE,kCAAkC;KAChD;IACD,EAAE,GAAG,EAAE,eAAe,EAAE,QAAQ,EAAE,UAAU,EAAE,MAAM,EAAE,MAAM,EAAE,WAAW,EAAE,gBAAgB,EAAE;IAC7F;QACE,GAAG,EAAE,gBAAgB;QACrB,QAAQ,EAAE,UAAU;QACpB,MAAM,EAAE,OAAO;QACf,WAAW,EAAE,mBAAmB;KACjC;IACD;QACE,GAAG,EAAE,uBAAuB;QAC5B,QAAQ,EAAE,SAAS;QACnB,MAAM,EAAE,OAAO;QACf,WAAW,EAAE,kBAAkB;KAChC;IACD;QACE,GAAG,EAAE,0BAA0B;QAC/B,QAAQ,EAAE,OAAO;QACjB,MAAM,EAAE,QAAQ;QAChB,WAAW,EAAE,qCAAqC;KACnD;IACD;QACE,GAAG,EAAE,oBAAoB;QACzB,QAAQ,EAAE,eAAe;QACzB,MAAM,EAAE,OAAO;QACf,WAAW,EAAE,qBAAqB;KACnC;IACD,EAAE,GAAG,EAAE,YAAY,EAAE,QAAQ,EAAE,OAAO,EAAE,MAAM,EAAE,MAAM,EAAE,WAAW,EAAE,yBAAyB,EAAE;IAChG;QACE,GAAG,EAAE,wBAAwB;QAC7B,QAAQ,EAAE,QAAQ;QAClB,MAAM,EAAE,QAAQ;QAChB,WAAW,EAAE,iCAAiC;KAC/C;IACD;QACE,GAAG,EAAE,kBAAkB;QACvB,QAAQ,EAAE,MAAM;QAChB,MAAM,EAAE,QAAQ;QAChB,WAAW,EAAE,+BAA+B;KAC7C;IACD,EAAE,GAAG,EAAE,aAAa,EAAE,QAAQ,EAAE,MAAM,EAAE,MAAM,EAAE,QAAQ,EAAE,WAAW,EAAE,mBAAmB,EAAE;IAC5F,6EAA6E;IAC7E;QACE,GAAG,EAAE,UAAU;QACf,QAAQ,EAAE,KAAK;QACf,MAAM,EAAE,MAAM;QACd,WAAW,EAAE,gCAAgC;KAC9C;IACD;QACE,GAAG,EAAE,WAAW;QAChB,QAAQ,EAAE,KAAK;QACf,MAAM,EAAE,OAAO;QACf,WAAW,EAAE,+BAA+B;KAC7C;IACD,EAAE,GAAG,EAAE,YAAY,EAAE,QAAQ,EAAE,KAAK,EAAE,MAAM,EAAE,QAAQ,EAAE,WAAW,EAAE,0BAA0B,EAAE;IACjG;QACE,GAAG,EAAE,cAAc;QACnB,QAAQ,EAAE,SAAS;QACnB,MAAM,EAAE,MAAM;QACd,WAAW,EAAE,yCAAyC;KACvD;IACD;QACE,GAAG,EAAE,eAAe;QACpB,QAAQ,EAAE,SAAS;QACnB,MAAM,EAAE,OAAO;QACf,WAAW,EAAE,mCAAmC;KACjD;IACD;QACE,GAAG,EAAE,oBAAoB;QACzB,QAAQ,EAAE,SAAS;QACnB,MAAM,EAAE,QAAQ;QAChB,WAAW,EAAE,iCAAiC;KAC/C;IACD;QACE,GAAG,EAAE,wBAAwB;QAC7B,QAAQ,EAAE,SAAS;QACnB,MAAM,EAAE,QAAQ;QAChB,WAAW,EAAE,kCAAkC;KAChD;IACD;QACE,GAAG,EAAE,YAAY;QACjB,QAAQ,EAAE,OAAO;QACjB,MAAM,EAAE,MAAM;QACd,WAAW,EAAE,yCAAyC;KACvD;IACD;QACE,GAAG,EAAE,aAAa;QAClB,QAAQ,EAAE,OAAO;QACjB,MAAM,EAAE,OAAO;QACf,WAAW,EAAE,mCAAmC;KACjD;IACD;QACE,GAAG,EAAE,oBAAoB;QACzB,QAAQ,EAAE,eAAe;QACzB,MAAM,EAAE,MAAM;QACd,WAAW,EAAE,wBAAwB;KACtC;IACD;QACE,GAAG,EAAE,+BAA+B;QACpC,QAAQ,EAAE,eAAe;QACzB,MAAM,EAAE,QAAQ;QAChB,WAAW,EAAE,+BAA+B;KAC7C;IACD;QACE,GAAG,EAAE,iBAAiB;QACtB,QAAQ,EAAE,YAAY;QACtB,MAAM,EAAE,MAAM;QACd,WAAW,EAAE,uBAAuB;KACrC;IACD;QACE,GAAG,EAAE,mBAAmB;QACxB,QAAQ,EAAE,YAAY;QACtB,MAAM,EAAE,QAAQ;QAChB,WAAW,EAAE,6BAA6B;KAC3C;IACD;QACE,GAAG,EAAE,kBAAkB;QACvB,QAAQ,EAAE,aAAa;QACvB,MAAM,EAAE,MAAM;QACd,WAAW,EAAE,8BAA8B;KAC5C;IACD;QACE,GAAG,EAAE,oBAAoB;QACzB,QAAQ,EAAE,aAAa;QACvB,MAAM,EAAE,QAAQ;QAChB,WAAW,EAAE,iCAAiC;KAC/C;IACD;QACE,GAAG,EAAE,iBAAiB;QACtB,QAAQ,EAAE,YAAY;QACtB,MAAM,EAAE,MAAM;QACd,WAAW,EAAE,4CAA4C;KAC1D;IACD;QACE,GAAG,EAAE,kBAAkB;QACvB,QAAQ,EAAE,YAAY;QACtB,MAAM,EAAE,OAAO;QACf,WAAW,EAAE,kDAAkD;KAChE;IACD;QACE,GAAG,EAAE,wBAAwB;QAC7B,QAAQ,EAAE,mBAAmB;QAC7B,MAAM,EAAE,MAAM;QACd,WAAW,EAAE,2BAA2B;KACzC;IACD;QACE,GAAG,EAAE,0BAA0B;QAC/B,QAAQ,EAAE,mBAAmB;QAC7B,MAAM,EAAE,OAAO;QACf,WAAW,EAAE,6BAA6B;KAC3C;IACD;QACE,GAAG,EAAE,0BAA0B;QAC/B,QAAQ,EAAE,mBAAmB;QAC7B,MAAM,EAAE,QAAQ;QAChB,WAAW,EAAE,4CAA4C;KAC1D;IACD;QACE,GAAG,EAAE,4BAA4B;QACjC,QAAQ,EAAE,mBAAmB;QAC7B,MAAM,EAAE,QAAQ;QAChB,WAAW,EAAE,gCAAgC;KAC9C;IACD;QACE,GAAG,EAAE,0BAA0B;QAC/B,QAAQ,EAAE,mBAAmB;QAC7B,MAAM,EAAE,QAAQ;QAChB,WAAW,EAAE,gCAAgC;KAC9C;IACD;QACE,GAAG,EAAE,+BAA+B;QACpC,QAAQ,EAAE,wBAAwB;QAClC,MAAM,EAAE,QAAQ;QAChB,WAAW,EAAE,iCAAiC;KAC/C;IACD;QACE,GAAG,EAAE,mCAAmC;QACxC,QAAQ,EAAE,4BAA4B;QACtC,MAAM,EAAE,QAAQ;QAChB,WAAW,EAAE,gDAAgD;KAC9D;IACD;QACE,GAAG,EAAE,iCAAiC;QACtC,QAAQ,EAAE,4BAA4B;QACtC,MAAM,EAAE,MAAM;QACd,WAAW,EAAE,4BAA4B;KAC1C;IACD;QACE,GAAG,EAAE,oCAAoC;QACzC,QAAQ,EAAE,+BAA+B;QACzC,MAAM,EAAE,MAAM;QACd,WAAW,EAAE,uCAAuC;KACrD;IACD;QACE,GAAG,EAAE,sCAAsC;QAC3C,QAAQ,EAAE,+BAA+B;QACzC,MAAM,EAAE,QAAQ;QAChB,WAAW,EAAE,2CAA2C;KACzD;IACD;QACE,GAAG,EAAE,sCAAsC;QAC3C,QAAQ,EAAE,+BAA+B;QACzC,MAAM,EAAE,QAAQ;QAChB,WAAW,EAAE,+BAA+B;KAC7C;IACD;QACE,GAAG,EAAE,qCAAqC;QAC1C,QAAQ,EAAE,+BAA+B;QACzC,MAAM,EAAE,OAAO;QACf,WAAW,EAAE,wCAAwC;KACtD;IACD;QACE,GAAG,EAAE,uCAAuC;QAC5C,QAAQ,EAAE,+BAA+B;QACzC,MAAM,EAAE,SAAS;QACjB,WAAW,EAAE,iCAAiC;KAC/C;IACD;QACE,GAAG,EAAE,oDAAoD;QACzD,QAAQ,EAAE,6CAA6C;QACvD,MAAM,EAAE,QAAQ;QAChB,WAAW,EAAE,wCAAwC;KACtD;CACF,CAAC;AAEF,MAAM,CAAC,MAAM,mBAAmB,GAAsB,WAAW,CAAC,GAAG,CAAC,CAAC,CAAC,EAAE,EAAE,CAAC,CAAC,CAAC,GAAG,CAAC,CAAC;AAQpF,MAAM,GAAG,GAAG,mBAAmB,CAAC;AAEhC,mFAAmF;AACnF,MAAM,CAAC,MAAM,YAAY,GAAuB;IAC9C,EAAE,GAAG,EAAE,OAAO,EAAE,IAAI,EAAE,OAAO,EAAE,WAAW,EAAE,GAAG,EAAE;IACjD;QACE,GAAG,EAAE,OAAO;QACZ,IAAI,EAAE,eAAe;QACrB,WAAW,EAAE,GAAG,CAAC,MAAM,CAAC,CAAC,CAAC,EAAE,EAAE,CAAC,CAAC,KAAK,wBAAwB,CAAC;KAC/D;IACD;QACE,GAAG,EAAE,YAAY;QACjB,IAAI,EAAE,UAAU;QAChB,WAAW,EAAE;YACX,aAAa;YACb,cAAc;YACd,eAAe;YACf,eAAe;YACf,gBAAgB;YAChB,oBAAoB;YACpB,oBAAoB;YACpB,0BAA0B;YAC1B,YAAY;YACZ,cAAc;YACd,gBAAgB;YAChB,iBAAiB;YACjB,uBAAuB;YACvB,UAAU;YACV,WAAW;YACX,cAAc;YACd,eAAe;YACf,oBAAoB;YACpB,iBAAiB;YACjB,kBAAkB;YAClB,wBAAwB;YACxB,0BAA0B;YAC1B,0BAA0B;YAC1B,4BAA4B;YAC5B,0BAA0B;YAC1B,+BAA+B;YAC/B,mCAAmC;YACnC,iCAAiC;YACjC,oCAAoC;YACpC,sCAAsC;YACtC,sCAAsC;YACtC,qCAAqC;YACrC,uCAAuC;YACvC,oDAAoD;YACpD,iBAAiB;SAClB;KACF;IACD;QACE,GAAG,EAAE,WAAW;QAChB,IAAI,EAAE,YAAY;QAClB,WAAW,EAAE;YACX,aAAa;YACb,eAAe;YACf,gBAAgB;YAChB,cAAc;YACd,iBAAiB;YACjB,UAAU;YACV,cAAc;YACd,iBAAiB;YACjB,oBAAoB;YACpB,wBAAwB;YACxB,iCAAiC;YACjC,oCAAoC;YACpC,sCAAsC;YACtC,sCAAsC;YACtC,qCAAqC;YACrC,uCAAuC;YACvC,oDAAoD;SACrD;KACF;IACD;QACE,GAAG,EAAE,SAAS;QACd,IAAI,EAAE,YAAY;QAClB,WAAW,EAAE;YACX,aAAa;YACb,uBAAuB;YACvB,cAAc;YACd,eAAe;YACf,oBAAoB;YACpB,wBAAwB;YACxB,oBAAoB;SACrB;KACF;IACD;QACE,GAAG,EAAE,eAAe;QACpB,IAAI,EAAE,aAAa;QACnB,WAAW,EAAE;YACX,aAAa;YACb,oBAAoB;YACpB,oBAAoB;YACpB,+BAA+B;YAC/B,cAAc;YACd,iBAAiB;YACjB,UAAU;SACX;KACF;IACD;QACE,GAAG,EAAE,UAAU;QACf,IAAI,EAAE,iBAAiB;QACvB,WAAW,EAAE;YACX,aAAa;YACb,eAAe;YACf,cAAc;YACd,UAAU;YACV,cAAc;YACd,iBAAiB;YACjB,oBAAoB;YACpB,iBAAiB;YACjB,kBAAkB;YAClB,wBAAwB;YACxB,iCAAiC;SAClC;KACF;IACD;QACE,GAAG,EAAE,gBAAgB;QACrB,IAAI,EAAE,mBAAmB;QACzB,WAAW,EAAE;YACX,eAAe;YACf,oBAAoB;YACpB,cAAc;YACd,iBAAiB;YACjB,wBAAwB;YACxB,iCAAiC;YACjC,6CAA6C;YAC7C,mCAAmC;YACnC,iCAAiC;YACjC,kCAAkC;YAClC,gCAAgC;YAChC,6CAA6C;SAC9C;KACF;CACF,CAAC"}
+{"version":3,"file":"catalog.js","sourceRoot":"","sources":["../../src/rbac/catalog.ts"],"names":[],"mappings":"AAAA;;;;GAIG;AASH,MAAM,CAAC,MAAM,WAAW,GAA6B;IACnD;QACE,GAAG,EAAE,wBAAwB;QAC7B,QAAQ,EAAE,mBAAmB;QAC7B,MAAM,EAAE,MAAM;QACd,WAAW,EAAE,oCAAoC;KAClD;IACD;QACE,GAAG,EAAE,iCAAiC;QACtC,QAAQ,EAAE,4BAA4B;QACtC,MAAM,EAAE,MAAM;QACd,WAAW,EAAE,8CAA8C;KAC5D;IACD;QACE,GAAG,EAAE,6CAA6C;QAClD,QAAQ,EAAE,wCAAwC;QAClD,MAAM,EAAE,MAAM;QACd,WAAW,EAAE,qCAAqC;KACnD;IACD;QACE,GAAG,EAAE,mCAAmC;QACxC,QAAQ,EAAE,4BAA4B;QACtC,MAAM,EAAE,QAAQ;QAChB,WAAW,EAAE,qDAAqD;KACnE;IACD;QACE,GAAG,EAAE,iCAAiC;QACtC,QAAQ,EAAE,4BAA4B;QACtC,MAAM,EAAE,MAAM;QACd,WAAW,EAAE,8CAA8C;KAC5D;IACD;QACE,GAAG,EAAE,kCAAkC;QACvC,QAAQ,EAAE,2BAA2B;QACrC,MAAM,EAAE,QAAQ;QAChB,WAAW,EAAE,iDAAiD;KAC/D;IACD;QACE,GAAG,EAAE,gCAAgC;QACrC,QAAQ,EAAE,2BAA2B;QACrC,MAAM,EAAE,MAAM;QACd,WAAW,EAAE,gDAAgD;KAC9D;IACD;QACE,GAAG,EAAE,6CAA6C;QAClD,QAAQ,EAAE,qCAAqC;QAC/C,MAAM,EAAE,QAAQ;QAChB,WAAW,EAAE,gDAAgD;KAC9D;IACD,EAAE,GAAG,EAAE,aAAa,EAAE,QAAQ,EAAE,QAAQ,EAAE,MAAM,EAAE,MAAM,EAAE,WAAW,EAAE,cAAc,EAAE;IACvF;QACE,GAAG,EAAE,cAAc;QACnB,QAAQ,EAAE,QAAQ;QAClB,MAAM,EAAE,OAAO;QACf,WAAW,EAAE,uBAAuB;KACrC;IACD,EAAE,GAAG,EAAE,eAAe,EAAE,QAAQ,EAAE,QAAQ,EAAE,MAAM,EAAE,QAAQ,EAAE,WAAW,EAAE,kBAAkB,EAAE;IAC/F;QACE,GAAG,EAAE,eAAe;QACpB,QAAQ,EAAE,QAAQ;QAClB,MAAM,EAAE,QAAQ;QAChB,WAAW,EAAE,yBAAyB;KACvC;IACD,EAAE,GAAG,EAAE,cAAc,EAAE,QAAQ,EAAE,SAAS,EAAE,MAAM,EAAE,MAAM,EAAE,WAAW,EAAE,kBAAkB,EAAE;IAC7F;QACE,GAAG,EAAE,gBAAgB;QACrB,QAAQ,EAAE,SAAS;QACnB,MAAM,EAAE,OAAO;QACf,WAAW,EAAE,oBAAoB;KAClC;IACD;QACE,GAAG,EAAE,iBAAiB;QACtB,QAAQ,EAAE,SAAS;QACnB,MAAM,EAAE,OAAO;QACf,WAAW,EAAE,uBAAuB;KACrC;IACD;QACE,GAAG,EAAE,uBAAuB;QAC5B,QAAQ,EAAE,SAAS;QACnB,MAAM,EAAE,QAAQ;QAChB,WAAW,EAAE,gCAAgC;KAC9C;IACD;QACE,GAAG,EAAE,aAAa;QAClB,QAAQ,EAAE,MAAM;QAChB,MAAM,EAAE,QAAQ;QAChB,WAAW,EAAE,kCAAkC;KAChD;IACD,EAAE,GAAG,EAAE,eAAe,EAAE,QAAQ,EAAE,UAAU,EAAE,MAAM,EAAE,MAAM,EAAE,WAAW,EAAE,gBAAgB,EAAE;IAC7F;QACE,GAAG,EAAE,gBAAgB;QACrB,QAAQ,EAAE,UAAU;QACpB,MAAM,EAAE,OAAO;QACf,WAAW,EAAE,mBAAmB;KACjC;IACD;QACE,GAAG,EAAE,uBAAuB;QAC5B,QAAQ,EAAE,SAAS;QACnB,MAAM,EAAE,OAAO;QACf,WAAW,EAAE,kBAAkB;KAChC;IACD;QACE,GAAG,EAAE,0BAA0B;QAC/B,QAAQ,EAAE,OAAO;QACjB,MAAM,EAAE,QAAQ;QAChB,WAAW,EAAE,qCAAqC;KACnD;IACD;QACE,GAAG,EAAE,oBAAoB;QACzB,QAAQ,EAAE,eAAe;QACzB,MAAM,EAAE,OAAO;QACf,WAAW,EAAE,qBAAqB;KACnC;IACD,EAAE,GAAG,EAAE,YAAY,EAAE,QAAQ,EAAE,OAAO,EAAE,MAAM,EAAE,MAAM,EAAE,WAAW,EAAE,yBAAyB,EAAE;IAChG;QACE,GAAG,EAAE,wBAAwB;QAC7B,QAAQ,EAAE,QAAQ;QAClB,MAAM,EAAE,QAAQ;QAChB,WAAW,EAAE,iCAAiC;KAC/C;IACD;QACE,GAAG,EAAE,kBAAkB;QACvB,QAAQ,EAAE,MAAM;QAChB,MAAM,EAAE,QAAQ;QAChB,WAAW,EAAE,+BAA+B;KAC7C;IACD,EAAE,GAAG,EAAE,aAAa,EAAE,QAAQ,EAAE,MAAM,EAAE,MAAM,EAAE,QAAQ,EAAE,WAAW,EAAE,mBAAmB,EAAE;IAC5F,6EAA6E;IAC7E;QACE,GAAG,EAAE,UAAU;QACf,QAAQ,EAAE,KAAK;QACf,MAAM,EAAE,MAAM;QACd,WAAW,EAAE,gCAAgC;KAC9C;IACD;QACE,GAAG,EAAE,WAAW;QAChB,QAAQ,EAAE,KAAK;QACf,MAAM,EAAE,OAAO;QACf,WAAW,EAAE,+BAA+B;KAC7C;IACD,EAAE,GAAG,EAAE,YAAY,EAAE,QAAQ,EAAE,KAAK,EAAE,MAAM,EAAE,QAAQ,EAAE,WAAW,EAAE,0BAA0B,EAAE;IACjG;QACE,GAAG,EAAE,cAAc;QACnB,QAAQ,EAAE,SAAS;QACnB,MAAM,EAAE,MAAM;QACd,WAAW,EAAE,yCAAyC;KACvD;IACD;QACE,GAAG,EAAE,eAAe;QACpB,QAAQ,EAAE,SAAS;QACnB,MAAM,EAAE,OAAO;QACf,WAAW,EAAE,mCAAmC;KACjD;IACD;QACE,GAAG,EAAE,oBAAoB;QACzB,QAAQ,EAAE,SAAS;QACnB,MAAM,EAAE,QAAQ;QAChB,WAAW,EAAE,iCAAiC;KAC/C;IACD;QACE,GAAG,EAAE,wBAAwB;QAC7B,QAAQ,EAAE,SAAS;QACnB,MAAM,EAAE,QAAQ;QAChB,WAAW,EAAE,kCAAkC;KAChD;IACD;QACE,4EAA4E;QAC5E,EAAE;QACF,yEAAyE;QACzE,wEAAwE;QACxE,sEAAsE;QACtE,uEAAuE;QACvE,uDAAuD;QACvD,GAAG,EAAE,qBAAqB;QAC1B,QAAQ,EAAE,QAAQ;QAClB,MAAM,EAAE,MAAM;QACd,WAAW,EAAE,wDAAwD;KACtE;IACD;QACE,GAAG,EAAE,YAAY;QACjB,QAAQ,EAAE,OAAO;QACjB,MAAM,EAAE,MAAM;QACd,WAAW,EAAE,yCAAyC;KACvD;IACD;QACE,GAAG,EAAE,aAAa;QAClB,QAAQ,EAAE,OAAO;QACjB,MAAM,EAAE,OAAO;QACf,WAAW,EAAE,mCAAmC;KACjD;IACD;QACE,GAAG,EAAE,oBAAoB;QACzB,QAAQ,EAAE,eAAe;QACzB,MAAM,EAAE,MAAM;QACd,WAAW,EAAE,wBAAwB;KACtC;IACD;QACE,GAAG,EAAE,+BAA+B;QACpC,QAAQ,EAAE,eAAe;QACzB,MAAM,EAAE,QAAQ;QAChB,WAAW,EAAE,+BAA+B;KAC7C;IACD;QACE;;;;;;;;;;WAUG;QACH,GAAG,EAAE,8BAA8B;QACnC,QAAQ,EAAE,eAAe;QACzB,MAAM,EAAE,QAAQ;QAChB,WAAW,EAAE,oDAAoD;KAClE;IACD;QACE;;;;;;;;WAQG;QACH,GAAG,EAAE,6BAA6B;QAClC,QAAQ,EAAE,eAAe;QACzB,MAAM,EAAE,QAAQ;QAChB,WAAW,EAAE,uDAAuD;KACrE;IACD;QACE,GAAG,EAAE,iBAAiB;QACtB,QAAQ,EAAE,YAAY;QACtB,MAAM,EAAE,MAAM;QACd,WAAW,EAAE,uBAAuB;KACrC;IACD;QACE,GAAG,EAAE,mBAAmB;QACxB,QAAQ,EAAE,YAAY;QACtB,MAAM,EAAE,QAAQ;QAChB,WAAW,EAAE,6BAA6B;KAC3C;IACD;QACE,GAAG,EAAE,kBAAkB;QACvB,QAAQ,EAAE,aAAa;QACvB,MAAM,EAAE,MAAM;QACd,WAAW,EAAE,8BAA8B;KAC5C;IACD;QACE,GAAG,EAAE,oBAAoB;QACzB,QAAQ,EAAE,aAAa;QACvB,MAAM,EAAE,QAAQ;QAChB,WAAW,EAAE,iCAAiC;KAC/C;IACD;QACE,GAAG,EAAE,iBAAiB;QACtB,QAAQ,EAAE,YAAY;QACtB,MAAM,EAAE,MAAM;QACd,WAAW,EAAE,4CAA4C;KAC1D;IACD;QACE,GAAG,EAAE,kBAAkB;QACvB,QAAQ,EAAE,YAAY;QACtB,MAAM,EAAE,OAAO;QACf,WAAW,EAAE,kDAAkD;KAChE;IACD;QACE,GAAG,EAAE,wBAAwB;QAC7B,QAAQ,EAAE,mBAAmB;QAC7B,MAAM,EAAE,MAAM;QACd,WAAW,EAAE,2BAA2B;KACzC;IACD;QACE,GAAG,EAAE,0BAA0B;QAC/B,QAAQ,EAAE,mBAAmB;QAC7B,MAAM,EAAE,OAAO;QACf,WAAW,EAAE,6BAA6B;KAC3C;IACD;QACE,GAAG,EAAE,0BAA0B;QAC/B,QAAQ,EAAE,mBAAmB;QAC7B,MAAM,EAAE,QAAQ;QAChB,WAAW,EAAE,4CAA4C;KAC1D;IACD;QACE,GAAG,EAAE,4BAA4B;QACjC,QAAQ,EAAE,mBAAmB;QAC7B,MAAM,EAAE,QAAQ;QAChB,WAAW,EAAE,gCAAgC;KAC9C;IACD;QACE,GAAG,EAAE,0BAA0B;QAC/B,QAAQ,EAAE,mBAAmB;QAC7B,MAAM,EAAE,QAAQ;QAChB,WAAW,EAAE,gCAAgC;KAC9C;IACD;QACE,GAAG,EAAE,+BAA+B;QACpC,QAAQ,EAAE,wBAAwB;QAClC,MAAM,EAAE,QAAQ;QAChB,WAAW,EAAE,iCAAiC;KAC/C;IACD;QACE,GAAG,EAAE,mCAAmC;QACxC,QAAQ,EAAE,4BAA4B;QACtC,MAAM,EAAE,QAAQ;QAChB,WAAW,EAAE,gDAAgD;KAC9D;IACD;QACE,GAAG,EAAE,iCAAiC;QACtC,QAAQ,EAAE,4BAA4B;QACtC,MAAM,EAAE,MAAM;QACd,WAAW,EAAE,4BAA4B;KAC1C;IACD;QACE,GAAG,EAAE,oCAAoC;QACzC,QAAQ,EAAE,+BAA+B;QACzC,MAAM,EAAE,MAAM;QACd,WAAW,EAAE,uCAAuC;KACrD;IACD;QACE,GAAG,EAAE,sCAAsC;QAC3C,QAAQ,EAAE,+BAA+B;QACzC,MAAM,EAAE,QAAQ;QAChB,WAAW,EAAE,2CAA2C;KACzD;IACD;QACE,GAAG,EAAE,sCAAsC;QAC3C,QAAQ,EAAE,+BAA+B;QACzC,MAAM,EAAE,QAAQ;QAChB,WAAW,EAAE,+BAA+B;KAC7C;IACD;QACE,GAAG,EAAE,qCAAqC;QAC1C,QAAQ,EAAE,+BAA+B;QACzC,MAAM,EAAE,OAAO;QACf,WAAW,EAAE,wCAAwC;KACtD;IACD;QACE,GAAG,EAAE,uCAAuC;QAC5C,QAAQ,EAAE,+BAA+B;QACzC,MAAM,EAAE,SAAS;QACjB,WAAW,EAAE,iCAAiC;KAC/C;IACD;QACE,GAAG,EAAE,oDAAoD;QACzD,QAAQ,EAAE,6CAA6C;QACvD,MAAM,EAAE,QAAQ;QAChB,WAAW,EAAE,wCAAwC;KACtD;CACF,CAAC;AAEF,MAAM,CAAC,MAAM,mBAAmB,GAAsB,WAAW,CAAC,GAAG,CAAC,CAAC,CAAC,EAAE,EAAE,CAAC,CAAC,CAAC,GAAG,CAAC,CAAC;AAQpF,MAAM,GAAG,GAAG,mBAAmB,CAAC;AAEhC,mFAAmF;AACnF,MAAM,CAAC,MAAM,YAAY,GAAuB;IAC9C,EAAE,GAAG,EAAE,OAAO,EAAE,IAAI,EAAE,OAAO,EAAE,WAAW,EAAE,GAAG,EAAE;IACjD;QACE,GAAG,EAAE,OAAO;QACZ,IAAI,EAAE,eAAe;QACrB,WAAW,EAAE,GAAG,CAAC,MAAM,CAAC,CAAC,CAAC,EAAE,EAAE,CAAC,CAAC,KAAK,wBAAwB,CAAC;KAC/D;IACD;QACE,GAAG,EAAE,YAAY;QACjB,IAAI,EAAE,UAAU;QAChB,WAAW,EAAE;YACX,aAAa;YACb,cAAc;YACd,eAAe;YACf,eAAe;YACf,gBAAgB;YAChB,oBAAoB;YACpB,oBAAoB;YACpB,uEAAuE;YACvE,wEAAwE;YACxE,oEAAoE;YACpE,8BAA8B;YAC9B,0BAA0B;YAC1B,YAAY;YACZ,cAAc;YACd,gBAAgB;YAChB,iBAAiB;YACjB,uBAAuB;YACvB,UAAU;YACV,WAAW;YACX,cAAc;YACd,eAAe;YACf,oBAAoB;YACpB,iBAAiB;YACjB,kBAAkB;YAClB,wBAAwB;YACxB,0BAA0B;YAC1B,0BAA0B;YAC1B,4BAA4B;YAC5B,0BAA0B;YAC1B,+BAA+B;YAC/B,mCAAmC;YACnC,iCAAiC;YACjC,oCAAoC;YACpC,sCAAsC;YACtC,sCAAsC;YACtC,qCAAqC;YACrC,uCAAuC;YACvC,oDAAoD;YACpD,iBAAiB;SAClB;KACF;IACD;QACE,GAAG,EAAE,WAAW;QAChB,IAAI,EAAE,YAAY;QAClB,WAAW,EAAE;YACX,aAAa;YACb,eAAe;YACf,gBAAgB;YAChB,cAAc;YACd,iBAAiB;YACjB,UAAU;YACV,cAAc;YACd,iBAAiB;YACjB,oBAAoB;YACpB,wBAAwB;YACxB,iCAAiC;YACjC,oCAAoC;YACpC,sCAAsC;YACtC,sCAAsC;YACtC,qCAAqC;YACrC,uCAAuC;YACvC,oDAAoD;SACrD;KACF;IACD;QACE,GAAG,EAAE,SAAS;QACd,IAAI,EAAE,YAAY;QAClB,WAAW,EAAE;YACX,aAAa;YACb,uBAAuB;YACvB,cAAc;YACd,eAAe;YACf,oBAAoB;YACpB,wBAAwB;YACxB,oBAAoB;YACpB,oBAAoB;YACpB,oEAAoE;YACpE,sEAAsE;YACtE,uDAAuD;YACvD,8BAA8B;SAC/B;KACF;IACD;QACE,GAAG,EAAE,eAAe;QACpB,IAAI,EAAE,aAAa;QACnB,WAAW,EAAE;YACX,aAAa;YACb,oBAAoB;YACpB,oBAAoB;YACpB,+BAA+B;YAC/B,8BAA8B;YAC9B,6BAA6B;YAC7B,cAAc;YACd,iBAAiB;YACjB,UAAU;SACX;KACF;IACD;QACE,GAAG,EAAE,UAAU;QACf,IAAI,EAAE,iBAAiB;QACvB,WAAW,EAAE;YACX,aAAa;YACb,eAAe;YACf,cAAc;YACd,UAAU;YACV,cAAc;YACd,iBAAiB;YACjB,oBAAoB;YACpB,iBAAiB;YACjB,kBAAkB;YAClB,wBAAwB;YACxB,iCAAiC;SAClC;KACF;IACD;QACE,GAAG,EAAE,gBAAgB;QACrB,IAAI,EAAE,mBAAmB;QACzB,WAAW,EAAE;YACX,eAAe;YACf,mCAAmC;YACnC,EAAE;YACF,qEAAqE;YACrE,wEAAwE;YACxE,uEAAuE;YACvE,sEAAsE;YACtE,mEAAmE;YACnE,EAAE;YACF,oEAAoE;YACpE,uEAAuE;YACvE,cAAc;YACd,iBAAiB;YACjB,wBAAwB;YACxB,iCAAiC;YACjC,6CAA6C;YAC7C,mCAAmC;YACnC,iCAAiC;YACjC,kCAAkC;YAClC,gCAAgC;YAChC,6CAA6C;YAC7C,qBAAqB;SACtB;KACF;CACF,CAAC"}

package/dist/rbac/workload-provisioning.d.ts

@@ -0,0 +1,66 @@
+/**
+ * Provisionamento de identidade e autoridade de workload — **lado owner**.
+ *
+ * Tudo aqui escreve em `service_principal` / `service_principal_grant`, e o
+ * papel `baruk_app` não tem INSERT/UPDATE/DELETE nessas tabelas. Chamar estas
+ * funções com a conexão da aplicação falha no Postgres, não numa checagem de
+ * aplicação que alguém possa remover: é essa assimetria que sustenta
+ * `GRANT_FORGEABLE_BY_INTERNAL_CALLER = false`.
+ *
+ * O caminho previsto é o provisionamento operado com a credencial de migração
+ * (mesma que aplica `db:migrate`), ou — quando existir tela — uma rota de admin
+ * que já exija RBAC humano. Nos dois casos a autoridade nasce FORA do processo
+ * que a consome.
+ *
+ * Nenhuma função daqui é importada pelo runtime do motor. Se um dia for, o
+ * privilégio do banco continua negando.
+ */
+import type { Db } from '../db/client.js';
+import type { WorkloadPurpose } from './workload.js';
+export interface ServicePrincipalRef {
+    id: string;
+    key: string;
+}
+/**
+ * Cria (ou reabilita) um principal de workload. **Idempotente por `key`**, e
+ * o segredo de um principal existente é PRESERVADO por padrão — a mesma
+ * armadilha que `upsertUserWithPassword` já documenta: um provisionamento que
+ * roda de novo e troca o segredo em silêncio derruba o workload sem erro.
+ */
+export declare function createServicePrincipal(owner: Db, input: {
+    key: string;
+    displayName: string;
+    secret: string;
+    overwriteSecret?: boolean;
+}): Promise<ServicePrincipalRef>;
+/** Rotação de segredo. O valor antigo para de autenticar na próxima chamada. */
+export declare function rotateServicePrincipalSecret(owner: Db, key: string, newSecret: string): Promise<void>;
+/**
+ * Revoga a IDENTIDADE inteira. Vale na próxima chamada, sem esperar a sessão
+ * em memória expirar — `authorizeWorkload` relê o principal a cada decisão.
+ */
+export declare function disableServicePrincipal(owner: Db, key: string): Promise<void>;
+export interface GrantWorkloadPermissionInput {
+    tenantId: string;
+    principalKey: string;
+    /** Chave do catálogo `permission` — o mesmo vocabulário do RBAC humano. */
+    permission: string;
+    purpose: WorkloadPurpose;
+    resourceKind: 'exact' | 'prefix';
+    resourceValue: string;
+    /** Humano que concedeu, quando houver. NULL só no provisionamento por migração. */
+    grantedBy?: string | null;
+    grantedReason?: string | null;
+    expiresAt?: Date | null;
+}
+/**
+ * Concede a um principal uma permissão ESCOPADA a tenant + propósito + recurso.
+ *
+ * Roda dentro do contexto do tenant porque `service_principal_grant` está sob
+ * RLS FORCE — inclusive para o owner. Uma concessão para um tenant que não é o
+ * do contexto é recusada pelo banco, não por um `if`.
+ */
+export declare function grantWorkloadPermission(owner: Db, input: GrantWorkloadPermissionInput): Promise<string>;
+/** Revoga UMA concessão. Vale na próxima chamada. */
+export declare function revokeWorkloadGrant(owner: Db, tenantId: string, grantId: string): Promise<void>;
+//# sourceMappingURL=workload-provisioning.d.ts.map

package/dist/rbac/workload-provisioning.d.ts.map

@@ -0,0 +1 @@
+{"version":3,"file":"workload-provisioning.d.ts","sourceRoot":"","sources":["../../src/rbac/workload-provisioning.ts"],"names":[],"mappings":"AAAA;;;;;;;;;;;;;;;;GAgBG;AAIH,OAAO,KAAK,EAAE,EAAE,EAAM,MAAM,iBAAiB,CAAC;AAE9C,OAAO,KAAK,EAAE,eAAe,EAAE,MAAM,eAAe,CAAC;AAGrD,MAAM,WAAW,mBAAmB;IAClC,EAAE,EAAE,MAAM,CAAC;IACX,GAAG,EAAE,MAAM,CAAC;CACb;AAuBD;;;;;GAKG;AACH,wBAAsB,sBAAsB,CAC1C,KAAK,EAAE,EAAE,EACT,KAAK,EAAE;IAAE,GAAG,EAAE,MAAM,CAAC;IAAC,WAAW,EAAE,MAAM,CAAC;IAAC,MAAM,EAAE,MAAM,CAAC;IAAC,eAAe,CAAC,EAAE,OAAO,CAAA;CAAE,GACrF,OAAO,CAAC,mBAAmB,CAAC,CA4B9B;AAED,gFAAgF;AAChF,wBAAsB,4BAA4B,CAChD,KAAK,EAAE,EAAE,EACT,GAAG,EAAE,MAAM,EACX,SAAS,EAAE,MAAM,GAChB,OAAO,CAAC,IAAI,CAAC,CASf;AAED;;;GAGG;AACH,wBAAsB,uBAAuB,CAAC,KAAK,EAAE,EAAE,EAAE,GAAG,EAAE,MAAM,GAAG,OAAO,CAAC,IAAI,CAAC,CAQnF;AAED,MAAM,WAAW,4BAA4B;IAC3C,QAAQ,EAAE,MAAM,CAAC;IACjB,YAAY,EAAE,MAAM,CAAC;IACrB,2EAA2E;IAC3E,UAAU,EAAE,MAAM,CAAC;IACnB,OAAO,EAAE,eAAe,CAAC;IACzB,YAAY,EAAE,OAAO,GAAG,QAAQ,CAAC;IACjC,aAAa,EAAE,MAAM,CAAC;IACtB,mFAAmF;IACnF,SAAS,CAAC,EAAE,MAAM,GAAG,IAAI,CAAC;IAC1B,aAAa,CAAC,EAAE,MAAM,GAAG,IAAI,CAAC;IAC9B,SAAS,CAAC,EAAE,IAAI,GAAG,IAAI,CAAC;CACzB;AAED;;;;;;GAMG;AACH,wBAAsB,uBAAuB,CAC3C,KAAK,EAAE,EAAE,EACT,KAAK,EAAE,4BAA4B,GAClC,OAAO,CAAC,MAAM,CAAC,CAoCjB;AAED,qDAAqD;AACrD,wBAAsB,mBAAmB,CACvC,KAAK,EAAE,EAAE,EACT,QAAQ,EAAE,MAAM,EAChB,OAAO,EAAE,MAAM,GACd,OAAO,CAAC,IAAI,CAAC,CASf"}

package/dist/rbac/workload-provisioning.js

@@ -0,0 +1,153 @@
+/**
+ * Provisionamento de identidade e autoridade de workload — **lado owner**.
+ *
+ * Tudo aqui escreve em `service_principal` / `service_principal_grant`, e o
+ * papel `baruk_app` não tem INSERT/UPDATE/DELETE nessas tabelas. Chamar estas
+ * funções com a conexão da aplicação falha no Postgres, não numa checagem de
+ * aplicação que alguém possa remover: é essa assimetria que sustenta
+ * `GRANT_FORGEABLE_BY_INTERNAL_CALLER = false`.
+ *
+ * O caminho previsto é o provisionamento operado com a credencial de migração
+ * (mesma que aplica `db:migrate`), ou — quando existir tela — uma rota de admin
+ * que já exija RBAC humano. Nos dois casos a autoridade nasce FORA do processo
+ * que a consome.
+ *
+ * Nenhuma função daqui é importada pelo runtime do motor. Se um dia for, o
+ * privilégio do banco continua negando.
+ */
+import { NotFoundError, ValidationError, uuidv7 } from '@baruk/shared';
+import { hashPassword } from '../auth/password.js';
+import { withContext } from '../db/context.js';
+import { WORKLOAD_PURPOSES } from './workload.js';
+function assertKey(key) {
+    const k = key?.trim() ?? '';
+    // Slug conservador: é identificador operacional, aparece em trilha e em
+    // configuração de deploy. Espaço e maiúscula viram divergência silenciosa.
+    if (!/^[a-z0-9][a-z0-9-]{2,62}$/.test(k)) {
+        throw new ValidationError('key do service principal deve ser slug minúsculo (a-z, 0-9, hífen), 3..63 caracteres.');
+    }
+    return k;
+}
+function assertSecret(secret) {
+    // 32 caracteres é o piso para um segredo gerado por máquina. Não há usuário
+    // humano digitando isto — não há motivo para aceitar menos.
+    if (typeof secret !== 'string' || secret.length < 32) {
+        throw new ValidationError('secret do service principal precisa de ao menos 32 caracteres.');
+    }
+    return secret;
+}
+/**
+ * Cria (ou reabilita) um principal de workload. **Idempotente por `key`**, e
+ * o segredo de um principal existente é PRESERVADO por padrão — a mesma
+ * armadilha que `upsertUserWithPassword` já documenta: um provisionamento que
+ * roda de novo e troca o segredo em silêncio derruba o workload sem erro.
+ */
+export async function createServicePrincipal(owner, input) {
+    const key = assertKey(input.key);
+    const secret = assertSecret(input.secret);
+    const displayName = input.displayName?.trim() ?? '';
+    if (!displayName)
+        throw new ValidationError('displayName é obrigatório.');
+    const existing = await owner `
+    SELECT id, key FROM service_principal WHERE lower(key) = lower(${key}) AND deleted_at IS NULL
+  `;
+    if (existing[0]) {
+        if (input.overwriteSecret) {
+            await owner `
+        UPDATE service_principal
+        SET secret_hash = ${hashPassword(secret)}, secret_rotated_at = now(),
+            display_name = ${displayName}, status = 'active', disabled_at = NULL,
+            updated_at = now()
+        WHERE id = ${existing[0].id}
+      `;
+        }
+        return existing[0];
+    }
+    const id = uuidv7();
+    await owner `
+    INSERT INTO service_principal (id, key, display_name, secret_hash)
+    VALUES (${id}, ${key}, ${displayName}, ${hashPassword(secret)})
+  `;
+    return { id, key };
+}
+/** Rotação de segredo. O valor antigo para de autenticar na próxima chamada. */
+export async function rotateServicePrincipalSecret(owner, key, newSecret) {
+    const rows = await owner `
+    UPDATE service_principal
+    SET secret_hash = ${hashPassword(assertSecret(newSecret))},
+        secret_rotated_at = now(), updated_at = now()
+    WHERE lower(key) = lower(${assertKey(key)}) AND deleted_at IS NULL
+    RETURNING id
+  `;
+    if (rows.count === 0)
+        throw new NotFoundError('service principal não encontrado');
+}
+/**
+ * Revoga a IDENTIDADE inteira. Vale na próxima chamada, sem esperar a sessão
+ * em memória expirar — `authorizeWorkload` relê o principal a cada decisão.
+ */
+export async function disableServicePrincipal(owner, key) {
+    const rows = await owner `
+    UPDATE service_principal
+    SET status = 'disabled', disabled_at = now(), updated_at = now()
+    WHERE lower(key) = lower(${assertKey(key)}) AND deleted_at IS NULL
+    RETURNING id
+  `;
+    if (rows.count === 0)
+        throw new NotFoundError('service principal não encontrado');
+}
+/**
+ * Concede a um principal uma permissão ESCOPADA a tenant + propósito + recurso.
+ *
+ * Roda dentro do contexto do tenant porque `service_principal_grant` está sob
+ * RLS FORCE — inclusive para o owner. Uma concessão para um tenant que não é o
+ * do contexto é recusada pelo banco, não por um `if`.
+ */
+export async function grantWorkloadPermission(owner, input) {
+    const key = assertKey(input.principalKey);
+    const permission = input.permission?.trim() ?? '';
+    const resourceValue = input.resourceValue?.trim() ?? '';
+    if (!permission)
+        throw new ValidationError('permission é obrigatória.');
+    if (!WORKLOAD_PURPOSES.includes(input.purpose)) {
+        throw new ValidationError(`purpose inválido: ${String(input.purpose)}.`);
+    }
+    if (input.resourceKind !== 'exact' && input.resourceKind !== 'prefix') {
+        throw new ValidationError('resourceKind precisa ser "exact" ou "prefix".');
+    }
+    if (resourceValue.length < 3) {
+        throw new ValidationError('resourceValue precisa de ao menos 3 caracteres — um escopo vazio alcançaria tudo.');
+    }
+    const principal = await owner `
+    SELECT id FROM service_principal WHERE lower(key) = lower(${key}) AND deleted_at IS NULL
+  `;
+    if (!principal[0])
+        throw new NotFoundError('service principal não encontrado');
+    const id = uuidv7();
+    await withContext(owner, { tenantId: input.tenantId }, async (tx) => {
+        await tx `
+      INSERT INTO service_principal_grant (
+        id, tenant_id, principal_id, permission_key, purpose,
+        resource_kind, resource_value, granted_by, granted_reason, expires_at
+      ) VALUES (
+        ${id}, ${input.tenantId}, ${principal[0].id}, ${permission}, ${input.purpose},
+        ${input.resourceKind}, ${resourceValue}, ${input.grantedBy ?? null},
+        ${input.grantedReason ?? null}, ${input.expiresAt ?? null}
+      )
+    `;
+    });
+    return id;
+}
+/** Revoga UMA concessão. Vale na próxima chamada. */
+export async function revokeWorkloadGrant(owner, tenantId, grantId) {
+    await withContext(owner, { tenantId }, async (tx) => {
+        const rows = await tx `
+      UPDATE service_principal_grant SET revoked_at = now()
+      WHERE id = ${grantId} AND revoked_at IS NULL
+      RETURNING id
+    `;
+        if (rows.count === 0)
+            throw new NotFoundError('grant não encontrado ou já revogado');
+    });
+}
+//# sourceMappingURL=workload-provisioning.js.map

package/dist/rbac/workload-provisioning.js.map

@@ -0,0 +1 @@
+{"version":3,"file":"workload-provisioning.js","sourceRoot":"","sources":["../../src/rbac/workload-provisioning.ts"],"names":[],"mappings":"AAAA;;;;;;;;;;;;;;;;GAgBG;AAEH,OAAO,EAAE,aAAa,EAAE,eAAe,EAAE,MAAM,EAAE,MAAM,eAAe,CAAC;AACvE,OAAO,EAAE,YAAY,EAAE,MAAM,qBAAqB,CAAC;AAEnD,OAAO,EAAE,WAAW,EAAE,MAAM,kBAAkB,CAAC;AAE/C,OAAO,EAAE,iBAAiB,EAAE,MAAM,eAAe,CAAC;AAOlD,SAAS,SAAS,CAAC,GAAW;IAC5B,MAAM,CAAC,GAAG,GAAG,EAAE,IAAI,EAAE,IAAI,EAAE,CAAC;IAC5B,wEAAwE;IACxE,2EAA2E;IAC3E,IAAI,CAAC,2BAA2B,CAAC,IAAI,CAAC,CAAC,CAAC,EAAE,CAAC;QACzC,MAAM,IAAI,eAAe,CACvB,uFAAuF,CACxF,CAAC;IACJ,CAAC;IACD,OAAO,CAAC,CAAC;AACX,CAAC;AAED,SAAS,YAAY,CAAC,MAAc;IAClC,4EAA4E;IAC5E,4DAA4D;IAC5D,IAAI,OAAO,MAAM,KAAK,QAAQ,IAAI,MAAM,CAAC,MAAM,GAAG,EAAE,EAAE,CAAC;QACrD,MAAM,IAAI,eAAe,CAAC,gEAAgE,CAAC,CAAC;IAC9F,CAAC;IACD,OAAO,MAAM,CAAC;AAChB,CAAC;AAED;;;;;GAKG;AACH,MAAM,CAAC,KAAK,UAAU,sBAAsB,CAC1C,KAAS,EACT,KAAsF;IAEtF,MAAM,GAAG,GAAG,SAAS,CAAC,KAAK,CAAC,GAAG,CAAC,CAAC;IACjC,MAAM,MAAM,GAAG,YAAY,CAAC,KAAK,CAAC,MAAM,CAAC,CAAC;IAC1C,MAAM,WAAW,GAAG,KAAK,CAAC,WAAW,EAAE,IAAI,EAAE,IAAI,EAAE,CAAC;IACpD,IAAI,CAAC,WAAW;QAAE,MAAM,IAAI,eAAe,CAAC,4BAA4B,CAAC,CAAC;IAE1E,MAAM,QAAQ,GAAG,MAAM,KAAK,CAA+B;qEACQ,GAAG;GACrE,CAAC;IACF,IAAI,QAAQ,CAAC,CAAC,CAAC,EAAE,CAAC;QAChB,IAAI,KAAK,CAAC,eAAe,EAAE,CAAC;YAC1B,MAAM,KAAK,CAAA;;4BAEW,YAAY,CAAC,MAAM,CAAC;6BACnB,WAAW;;qBAEnB,QAAQ,CAAC,CAAC,CAAC,CAAC,EAAE;OAC5B,CAAC;QACJ,CAAC;QACD,OAAO,QAAQ,CAAC,CAAC,CAAC,CAAC;IACrB,CAAC;IAED,MAAM,EAAE,GAAG,MAAM,EAAE,CAAC;IACpB,MAAM,KAAK,CAAA;;cAEC,EAAE,KAAK,GAAG,KAAK,WAAW,KAAK,YAAY,CAAC,MAAM,CAAC;GAC9D,CAAC;IACF,OAAO,EAAE,EAAE,EAAE,GAAG,EAAE,CAAC;AACrB,CAAC;AAED,gFAAgF;AAChF,MAAM,CAAC,KAAK,UAAU,4BAA4B,CAChD,KAAS,EACT,GAAW,EACX,SAAiB;IAEjB,MAAM,IAAI,GAAG,MAAM,KAAK,CAAA;;wBAEF,YAAY,CAAC,YAAY,CAAC,SAAS,CAAC,CAAC;;+BAE9B,SAAS,CAAC,GAAG,CAAC;;GAE1C,CAAC;IACF,IAAI,IAAI,CAAC,KAAK,KAAK,CAAC;QAAE,MAAM,IAAI,aAAa,CAAC,kCAAkC,CAAC,CAAC;AACpF,CAAC;AAED;;;GAGG;AACH,MAAM,CAAC,KAAK,UAAU,uBAAuB,CAAC,KAAS,EAAE,GAAW;IAClE,MAAM,IAAI,GAAG,MAAM,KAAK,CAAA;;;+BAGK,SAAS,CAAC,GAAG,CAAC;;GAE1C,CAAC;IACF,IAAI,IAAI,CAAC,KAAK,KAAK,CAAC;QAAE,MAAM,IAAI,aAAa,CAAC,kCAAkC,CAAC,CAAC;AACpF,CAAC;AAgBD;;;;;;GAMG;AACH,MAAM,CAAC,KAAK,UAAU,uBAAuB,CAC3C,KAAS,EACT,KAAmC;IAEnC,MAAM,GAAG,GAAG,SAAS,CAAC,KAAK,CAAC,YAAY,CAAC,CAAC;IAC1C,MAAM,UAAU,GAAG,KAAK,CAAC,UAAU,EAAE,IAAI,EAAE,IAAI,EAAE,CAAC;IAClD,MAAM,aAAa,GAAG,KAAK,CAAC,aAAa,EAAE,IAAI,EAAE,IAAI,EAAE,CAAC;IACxD,IAAI,CAAC,UAAU;QAAE,MAAM,IAAI,eAAe,CAAC,2BAA2B,CAAC,CAAC;IACxE,IAAI,CAAC,iBAAiB,CAAC,QAAQ,CAAC,KAAK,CAAC,OAAO,CAAC,EAAE,CAAC;QAC/C,MAAM,IAAI,eAAe,CAAC,qBAAqB,MAAM,CAAC,KAAK,CAAC,OAAO,CAAC,GAAG,CAAC,CAAC;IAC3E,CAAC;IACD,IAAI,KAAK,CAAC,YAAY,KAAK,OAAO,IAAI,KAAK,CAAC,YAAY,KAAK,QAAQ,EAAE,CAAC;QACtE,MAAM,IAAI,eAAe,CAAC,+CAA+C,CAAC,CAAC;IAC7E,CAAC;IACD,IAAI,aAAa,CAAC,MAAM,GAAG,CAAC,EAAE,CAAC;QAC7B,MAAM,IAAI,eAAe,CACvB,mFAAmF,CACpF,CAAC;IACJ,CAAC;IAED,MAAM,SAAS,GAAG,MAAM,KAAK,CAAkB;gEACe,GAAG;GAChE,CAAC;IACF,IAAI,CAAC,SAAS,CAAC,CAAC,CAAC;QAAE,MAAM,IAAI,aAAa,CAAC,kCAAkC,CAAC,CAAC;IAE/E,MAAM,EAAE,GAAG,MAAM,EAAE,CAAC;IACpB,MAAM,WAAW,CAAC,KAAK,EAAE,EAAE,QAAQ,EAAE,KAAK,CAAC,QAAQ,EAAE,EAAE,KAAK,EAAE,EAAM,EAAE,EAAE;QACtE,MAAM,EAAE,CAAA;;;;;UAKF,EAAE,KAAK,KAAK,CAAC,QAAQ,KAAK,SAAS,CAAC,CAAC,CAAE,CAAC,EAAE,KAAK,UAAU,KAAK,KAAK,CAAC,OAAO;UAC3E,KAAK,CAAC,YAAY,KAAK,aAAa,KAAK,KAAK,CAAC,SAAS,IAAI,IAAI;UAChE,KAAK,CAAC,aAAa,IAAI,IAAI,KAAK,KAAK,CAAC,SAAS,IAAI,IAAI;;KAE5D,CAAC;IACJ,CAAC,CAAC,CAAC;IACH,OAAO,EAAE,CAAC;AACZ,CAAC;AAED,qDAAqD;AACrD,MAAM,CAAC,KAAK,UAAU,mBAAmB,CACvC,KAAS,EACT,QAAgB,EAChB,OAAe;IAEf,MAAM,WAAW,CAAC,KAAK,EAAE,EAAE,QAAQ,EAAE,EAAE,KAAK,EAAE,EAAM,EAAE,EAAE;QACtD,MAAM,IAAI,GAAG,MAAM,EAAE,CAAA;;mBAEN,OAAO;;KAErB,CAAC;QACF,IAAI,IAAI,CAAC,KAAK,KAAK,CAAC;YAAE,MAAM,IAAI,aAAa,CAAC,qCAAqC,CAAC,CAAC;IACvF,CAAC,CAAC,CAAC;AACL,CAAC"}

package/dist/rbac/workload.d.ts

@@ -0,0 +1,124 @@
+/**
+ * Identidade e autorização de workload NÃO-HUMANO.
+ *
+ * O RBAC de `authorize.ts` responde "este USUÁRIO pode?". Nenhuma linha do
+ * repositório respondia "este PROCESSO pode?" — e a diferença não é
+ * acadêmica: o `TenantSecretStore` do lote C1A aceitava um `SecretAccessGrant`
+ * montado pelo próprio chamador. `principal`, `reason` e as datas eram strings
+ * e `Date`s sintaticamente válidas; qualquer módulo interno com acesso ao
+ * arquivo podia declará-las e pedir decifração. Isso é ATRIBUIÇÃO — serve para
+ * a trilha de auditoria e não serve como fronteira de segurança.
+ *
+ * Este módulo troca a declaração por três coisas que o chamador não consegue
+ * fabricar sozinho:
+ *
+ *  1. **Autenticação.** O workload apresenta um segredo próprio, verificado
+ *     contra `service_principal.secret_hash` (scrypt, o mesmo `verifyPassword`
+ *     da senha humana). Sem o segredo, não há identidade — e o segredo vive no
+ *     ambiente do deploy que roda AQUELE workload, não no código.
+ *
+ *  2. **Autorização fora do controlado.** A permissão vem de linhas em
+ *     `service_principal_grant`, e `baruk_app` tem apenas SELECT nessas tabelas
+ *     (`db/migrate.ts` §3). O processo que consome a autorização não consegue
+ *     escrevê-la: não é uma regra de tipo, é um privilégio do Postgres.
+ *
+ *  3. **Verificação por CHAMADA, dentro da transação.** A decisão não é
+ *     memorizada na composição. Revogar um principal ou um grant passa a valer
+ *     na próxima chamada, sem esperar o processo reiniciar.
+ *
+ * O objeto `WorkloadIdentity` é apenas o transporte da identidade JÁ
+ * autenticada. Ele é marcado com um símbolo privado deste módulo e registrado
+ * num `WeakSet` privado: um objeto estruturalmente idêntico, montado à mão em
+ * outro arquivo, é recusado. Mas a marca não é a fronteira — é a tranca da
+ * porta interna. A fronteira é o par (segredo, linha no banco).
+ */
+import type { Db, Tx } from '../db/client.js';
+/**
+ * Propósito declarado do acesso. Vocabulário fechado, espelhado no CHECK de
+ * `service_principal_grant.purpose` — um motivo livre viraria dez frases para
+ * "porque sim" e nenhum escopo verificável.
+ */
+export type WorkloadPurpose = 'channel_dispatch' | 'onboarding_seal' | 'health_probe';
+export declare const WORKLOAD_PURPOSES: readonly WorkloadPurpose[];
+/**
+ * Marca privada. Não é exportada — logo, nenhum arquivo fora daqui consegue
+ * escrever esta propriedade de forma tipada, e `MINTED` recusa o objeto
+ * estruturalmente idêntico em tempo de execução.
+ */
+declare const WORKLOAD_BRAND: unique symbol;
+/** Identidade de workload JÁ autenticada. Só `authenticateWorkload` a emite. */
+export interface WorkloadIdentity {
+    readonly principalId: string;
+    readonly principalKey: string;
+    readonly issuedAt: Date;
+    /** Janela curta da SESSÃO. Expirar aqui não derruba produção — só exige reautenticar. */
+    readonly expiresAt: Date;
+    readonly [WORKLOAD_BRAND]: true;
+}
+export interface AuthenticateWorkloadInput {
+    /** Slug do principal ('collection-cron'). */
+    key: string;
+    /** Segredo do workload. Vem do ambiente do deploy — nunca do banco, nunca do código. */
+    secret: string;
+    /** Duração da sessão em memória. Default 1h, teto 12h. */
+    ttlMs?: number;
+    now?: Date;
+}
+/**
+ * Autentica um workload e emite a identidade da sessão.
+ *
+ * **Chame na RAIZ DE COMPOSIÇÃO** — o `main()` do cron, o bootstrap do worker,
+ * a borda de request já autenticada — e propague a identidade. Nenhum módulo de
+ * domínio deve chamar isto: quem PRECISA do segredo nunca deve ser quem
+ * declara ter direito a ele.
+ *
+ * Falha FECHADA e ruidosa: `UnauthorizedError`. Um workload que não autentica
+ * deve parar no boot, com o erro visível, não seguir e falhar seis passos
+ * depois como "canal indisponível".
+ *
+ * Roda FORA de contexto de tenant: `service_principal` é global, como `"user"`.
+ * A amarração ao tenant é da autorização (`authorizeWorkload`), não da identidade.
+ */
+export declare function authenticateWorkload(db: Db, input: AuthenticateWorkloadInput): Promise<WorkloadIdentity>;
+/** O objeto veio de `authenticateWorkload`? Recusa qualquer imitação estrutural. */
+export declare function isMintedWorkloadIdentity(value: unknown): value is WorkloadIdentity;
+/**
+ * Falha fechada quando a identidade não foi emitida aqui. Chamado por TODO
+ * consumidor antes de qualquer trabalho — um `ForbiddenError` no primeiro
+ * passo é a diferença entre uma tentativa recusada e um segredo entregue.
+ */
+export declare function assertMintedWorkloadIdentity(value: unknown): asserts value is WorkloadIdentity;
+/** Por que a autorização foi negada. Vai para a trilha; nunca contém segredo. */
+export type WorkloadDenyReason = 'identity_expired' | 'principal_unknown_or_disabled' | 'no_matching_grant' | 'invalid_request';
+export interface WorkloadAuthorizationRequest {
+    tenantId: string;
+    permission: string;
+    purpose: WorkloadPurpose;
+    /** Nome do recurso pedido — para o cofre, o nome da credencial. */
+    resource: string;
+    now?: Date;
+}
+export type WorkloadDecision = {
+    allowed: true;
+    grantId: string;
+} | {
+    allowed: false;
+    denyReason: WorkloadDenyReason;
+};
+/**
+ * Decide se ESTE principal pode exercer ESTA permissão, NESTE tenant, para
+ * ESTE propósito, sobre ESTE recurso. Quatro dimensões conjuntivas.
+ *
+ * A quarta é o que fecha confused deputy: um workload legitimamente autorizado
+ * no tenant A a despachar canal não decifra a chave do gateway de pagamento do
+ * tenant A só porque um `credentialRef` vindo de input pediu. A autorização do
+ * workload nunca vira autorização para qualquer recurso que o input nomear.
+ *
+ * **DEVE rodar dentro de `withContext(db, { tenantId })`** — a RLS FORCE de
+ * `service_principal_grant` é a segunda camada; o predicado explícito de
+ * `tenant_id` é a primeira. As duas dizem a mesma coisa de propósito: nenhuma
+ * das duas sozinha é o desenho.
+ */
+export declare function authorizeWorkload(tx: Tx, identity: WorkloadIdentity, req: WorkloadAuthorizationRequest): Promise<WorkloadDecision>;
+export {};
+//# sourceMappingURL=workload.d.ts.map

package/dist/rbac/workload.d.ts.map

@@ -0,0 +1 @@
+{"version":3,"file":"workload.d.ts","sourceRoot":"","sources":["../../src/rbac/workload.ts"],"names":[],"mappings":"AAAA;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;GAiCG;AAIH,OAAO,KAAK,EAAE,EAAE,EAAE,EAAE,EAAE,MAAM,iBAAiB,CAAC;AAE9C;;;;GAIG;AACH,MAAM,MAAM,eAAe,GAAG,kBAAkB,GAAG,iBAAiB,GAAG,cAAc,CAAC;AAEtF,eAAO,MAAM,iBAAiB,EAAE,SAAS,eAAe,EAIvD,CAAC;AAEF;;;;GAIG;AACH,QAAA,MAAM,cAAc,eAAoC,CAAC;AAGzD,gFAAgF;AAChF,MAAM,WAAW,gBAAgB;IAC/B,QAAQ,CAAC,WAAW,EAAE,MAAM,CAAC;IAC7B,QAAQ,CAAC,YAAY,EAAE,MAAM,CAAC;IAC9B,QAAQ,CAAC,QAAQ,EAAE,IAAI,CAAC;IACxB,yFAAyF;IACzF,QAAQ,CAAC,SAAS,EAAE,IAAI,CAAC;IACzB,QAAQ,CAAC,CAAC,cAAc,CAAC,EAAE,IAAI,CAAC;CACjC;AAqBD,MAAM,WAAW,yBAAyB;IACxC,6CAA6C;IAC7C,GAAG,EAAE,MAAM,CAAC;IACZ,wFAAwF;IACxF,MAAM,EAAE,MAAM,CAAC;IACf,0DAA0D;IAC1D,KAAK,CAAC,EAAE,MAAM,CAAC;IACf,GAAG,CAAC,EAAE,IAAI,CAAC;CACZ;AAED;;;;;;;;;;;;;;GAcG;AACH,wBAAsB,oBAAoB,CACxC,EAAE,EAAE,EAAE,EACN,KAAK,EAAE,yBAAyB,GAC/B,OAAO,CAAC,gBAAgB,CAAC,CAkC3B;AAED,oFAAoF;AACpF,wBAAgB,wBAAwB,CAAC,KAAK,EAAE,OAAO,GAAG,KAAK,IAAI,gBAAgB,CAElF;AAED;;;;GAIG;AACH,wBAAgB,4BAA4B,CAAC,KAAK,EAAE,OAAO,GAAG,OAAO,CAAC,KAAK,IAAI,gBAAgB,CAM9F;AAED,iFAAiF;AACjF,MAAM,MAAM,kBAAkB,GAC5B,kBAAkB,GAAG,+BAA+B,GAAG,mBAAmB,GAAG,iBAAiB,CAAC;AAEjG,MAAM,WAAW,4BAA4B;IAC3C,QAAQ,EAAE,MAAM,CAAC;IACjB,UAAU,EAAE,MAAM,CAAC;IACnB,OAAO,EAAE,eAAe,CAAC;IACzB,mEAAmE;IACnE,QAAQ,EAAE,MAAM,CAAC;IACjB,GAAG,CAAC,EAAE,IAAI,CAAC;CACZ;AAED,MAAM,MAAM,gBAAgB,GAC1B;IAAE,OAAO,EAAE,IAAI,CAAC;IAAC,OAAO,EAAE,MAAM,CAAA;CAAE,GAAG;IAAE,OAAO,EAAE,KAAK,CAAC;IAAC,UAAU,EAAE,kBAAkB,CAAA;CAAE,CAAC;AAE1F;;;;;;;;;;;;;GAaG;AACH,wBAAsB,iBAAiB,CACrC,EAAE,EAAE,EAAE,EACN,QAAQ,EAAE,gBAAgB,EAC1B,GAAG,EAAE,4BAA4B,GAChC,OAAO,CAAC,gBAAgB,CAAC,CAsD3B"}