@baruk/core 0.3.0 → 0.4.2

package/dist/users/repository.js

@@ -1,4 +1,6 @@
-import { ConflictError, uuidv7 } from '@baruk/shared';
+import { ConflictError, NotFoundError, uuidv7 } from '@baruk/shared';
+import { createActivationToken } from '../auth/password-reset.js';
+import { appendAudit } from '../audit/audit.js';
 const ADMIN_ROLE_KEYS = ['owner', 'admin'];
 export async function listTenantMembers(tx) {
     const rows = await tx `
@@ -38,7 +40,9 @@ async function countActiveAdmins(tx, excludeUserId) {
 export async function setUserRole(tx, userId, roleKey) {
     // Guard: não permitir rebaixar o último admin.
     const isAdminTarget = ADMIN_ROLE_KEYS.includes(roleKey);
-    if (!isAdminTarget && (await isUserAdmin(tx, userId)) && (await countActiveAdmins(tx, userId)) === 0) {
+    if (!isAdminTarget &&
+        (await isUserAdmin(tx, userId)) &&
+        (await countActiveAdmins(tx, userId)) === 0) {
         throw new ConflictError('Não é possível rebaixar o último administrador do tenant');
     }
     const role = await tx `SELECT id FROM role WHERE key = ${roleKey} AND tenant_id IS NULL`;
@@ -64,7 +68,9 @@ async function isUserAdmin(tx, userId) {
 }
 /** Ativa/desativa (ou revoga) a membership. Bloqueia desativar o último admin. */
 export async function setMembershipStatus(tx, userId, status) {
-    if (status !== 'active' && (await isUserAdmin(tx, userId)) && (await countActiveAdmins(tx, userId)) === 0) {
+    if (status !== 'active' &&
+        (await isUserAdmin(tx, userId)) &&
+        (await countActiveAdmins(tx, userId)) === 0) {
         throw new ConflictError('Não é possível desativar o último administrador do tenant');
     }
     const rows = await tx `
@@ -75,4 +81,113 @@ export async function setMembershipStatus(tx, userId, status) {
   `;
     return rows.count;
 }
+/**
+ * Convida um usuário para o tenant corrente: cria (ou reaproveita, se o
+ * e-mail já existe em outro tenant — identidade é global/SSO) o registro de
+ * `user`, a `membership` em status `invited` e o papel. Para usuário novo,
+ * emite o token de ativação; a camada HTTP compõe o link e envia o e-mail
+ * (core não conhece BARUK_HUB_URL/Resend — mesma separação de
+ * `requestPasswordReset`).
+ */
+export async function inviteUser(tx, input) {
+    const tenantId = await currentTenantId(tx);
+    const existing = await tx `
+    SELECT id, full_name, status, user_type FROM "user" WHERE email = ${input.email} AND deleted_at IS NULL
+  `;
+    let userId;
+    let fullName;
+    let isNewUser;
+    if (existing[0]) {
+        // Uma identidade de contribuinte não pode ser promovida para staff por
+        // convite. Os fluxos têm permissões, superfície e ciclo de recuperação
+        // próprios; misturá-los aqui criaria uma conta dual-role insegura.
+        if (existing[0].user_type !== 'staff') {
+            throw new ConflictError('Este e-mail já pertence a uma identidade do Portal. Use uma identidade staff distinta.');
+        }
+        userId = existing[0].id;
+        fullName = existing[0].full_name;
+        isNewUser = false;
+        const already = await tx `
+      SELECT id FROM membership WHERE user_id = ${userId} AND tenant_id = ${tenantId} AND deleted_at IS NULL
+    `;
+        if (already[0])
+            throw new ConflictError('Usuário já pertence a este tenant');
+    }
+    else {
+        userId = uuidv7();
+        fullName = input.fullName;
+        isNewUser = true;
+        await tx `
+      INSERT INTO "user" (id, email, full_name, user_type, status, auth_provider)
+      VALUES (${userId}, ${input.email}, ${input.fullName}, 'staff', 'invited', 'password')
+    `;
+    }
+    await tx `
+    INSERT INTO membership (id, tenant_id, user_id, status, invited_by)
+    VALUES (${uuidv7()}, ${tenantId}, ${userId}, 'invited', ${input.invitedBy})
+  `;
+    await setUserRole(tx, userId, input.roleKey);
+    let activationToken = null;
+    if (isNewUser) {
+        const activation = await createActivationToken(tx, { userId, tenantId });
+        activationToken = activation.token;
+    }
+    await appendAudit(tx, {
+        actorId: input.invitedBy,
+        action: 'user_invited',
+        resourceType: 'user',
+        resourceId: userId,
+        metadata: { email: input.email, roleKey: input.roleKey, isNewUser },
+    });
+    return { userId, email: input.email, fullName, activationToken };
+}
+/**
+ * Reemite o convite de primeiro acesso exclusivamente para staff que ainda
+ * está pendente neste tenant. A emissão substitui (e invalida) o link anterior
+ * para que um token exposto nunca continue utilizável após o reenvio.
+ */
+export async function reissueStaffActivation(tx, input) {
+    const tenantId = await currentTenantId(tx);
+    const rows = await tx `
+    SELECT
+      u.email,
+      u.full_name,
+      u.user_type,
+      u.status AS user_status,
+      m.status AS membership_status
+    FROM membership m
+    JOIN "user" u ON u.id = m.user_id
+    WHERE m.tenant_id = ${tenantId}
+      AND m.user_id = ${input.userId}
+      AND m.deleted_at IS NULL
+      AND u.deleted_at IS NULL
+    LIMIT 1
+  `;
+    const member = rows[0];
+    if (!member)
+        throw new NotFoundError('Usuário não encontrado neste tenant');
+    if (member.user_type !== 'staff' ||
+        member.user_status !== 'invited' ||
+        member.membership_status !== 'invited') {
+        throw new ConflictError('Convite não pode ser reenviado neste estado');
+    }
+    const activation = await createActivationToken(tx, { userId: input.userId, tenantId });
+    await appendAudit(tx, {
+        actorId: input.invitedBy,
+        action: 'user_invite_reissued',
+        resourceType: 'user',
+        resourceId: input.userId,
+        metadata: { email: member.email },
+    });
+    return {
+        userId: input.userId,
+        email: member.email,
+        fullName: member.full_name,
+        activationToken: activation.token,
+    };
+}
+async function currentTenantId(tx) {
+    const rows = await tx `SELECT current_setting('app.current_tenant')::uuid AS tenant_id`;
+    return rows[0].tenant_id;
+}
 //# sourceMappingURL=repository.js.map

package/dist/users/repository.js.map

@@ -1 +1 @@
-{"version":3,"file":"repository.js","sourceRoot":"","sources":["../../src/users/repository.ts"],"names":[],"mappings":"AAAA,OAAO,EAAE,aAAa,EAAE,MAAM,EAAE,MAAM,eAAe,CAAC;AAgBtD,MAAM,eAAe,GAAG,CAAC,OAAO,EAAE,OAAO,CAAC,CAAC;AAE3C,MAAM,CAAC,KAAK,UAAU,iBAAiB,CAAC,EAAM;IAC5C,MAAM,IAAI,GAAG,MAAM,EAAE,CAEpB;;;;;;;;;;;GAWA,CAAC;IACF,OAAO,IAAI,CAAC,GAAG,CAAC,CAAC,CAAC,EAAE,EAAE,CAAC,CAAC;QACtB,MAAM,EAAE,CAAC,CAAC,OAAO;QACjB,KAAK,EAAE,CAAC,CAAC,KAAK;QACd,QAAQ,EAAE,CAAC,CAAC,SAAS;QACrB,QAAQ,EAAE,CAAC,CAAC,SAAS;QACrB,gBAAgB,EAAE,CAAC,CAAC,MAAM;QAC1B,KAAK,EAAE,CAAC,CAAC,SAAS,IAAI,EAAE;KACzB,CAAC,CAAC,CAAC;AACN,CAAC;AAED,KAAK,UAAU,iBAAiB,CAAC,EAAM,EAAE,aAAsB;IAC7D,MAAM,IAAI,GAAG,MAAM,EAAE,CAAiB;;;;;;wBAMhB,eAAe;aAC1B,aAAa,IAAI,IAAI,kCAAkC,aAAa,IAAI,IAAI;GACtF,CAAC;IACF,OAAO,IAAI,CAAC,CAAC,CAAC,EAAE,CAAC,IAAI,CAAC,CAAC;AACzB,CAAC;AAED,kFAAkF;AAClF,MAAM,CAAC,KAAK,UAAU,WAAW,CAAC,EAAM,EAAE,MAAc,EAAE,OAAe;IACvE,+CAA+C;IAC/C,MAAM,aAAa,GAAG,eAAe,CAAC,QAAQ,CAAC,OAAO,CAAC,CAAC;IACxD,IAAI,CAAC,aAAa,IAAI,CAAC,MAAM,WAAW,CAAC,EAAE,EAAE,MAAM,CAAC,CAAC,IAAI,CAAC,MAAM,iBAAiB,CAAC,EAAE,EAAE,MAAM,CAAC,CAAC,KAAK,CAAC,EAAE,CAAC;QACrG,MAAM,IAAI,aAAa,CAAC,0DAA0D,CAAC,CAAC;IACtF,CAAC;IACD,MAAM,IAAI,GAAG,MAAM,EAAE,CAAkB,mCAAmC,OAAO,wBAAwB,CAAC;IAC1G,IAAI,CAAC,IAAI,CAAC,CAAC,CAAC;QAAE,MAAM,IAAI,aAAa,CAAC,uBAAuB,OAAO,EAAE,CAAC,CAAC;IACxE,MAAM,EAAE,CAAA;;sBAEY,MAAM;;GAEzB,CAAC;IACF,MAAM,EAAE,CAAA;;cAEI,MAAM,EAAE,kDAAkD,MAAM,KAAK,IAAI,CAAC,CAAC,CAAC,CAAC,EAAE;GAC1F,CAAC;AACJ,CAAC;AAED,KAAK,UAAU,WAAW,CAAC,EAAM,EAAE,MAAc;IAC/C,MAAM,IAAI,GAAG,MAAM,EAAE,CAAiB;;;yBAGf,MAAM,8CAA8C,eAAe;GACzF,CAAC;IACF,OAAO,CAAC,IAAI,CAAC,CAAC,CAAC,EAAE,CAAC,IAAI,CAAC,CAAC,GAAG,CAAC,CAAC;AAC/B,CAAC;AAED,kFAAkF;AAClF,MAAM,CAAC,KAAK,UAAU,mBAAmB,CACvC,EAAM,EACN,MAAc,EACd,MAAwC;IAExC,IAAI,MAAM,KAAK,QAAQ,IAAI,CAAC,MAAM,WAAW,CAAC,EAAE,EAAE,MAAM,CAAC,CAAC,IAAI,CAAC,MAAM,iBAAiB,CAAC,EAAE,EAAE,MAAM,CAAC,CAAC,KAAK,CAAC,EAAE,CAAC;QAC1G,MAAM,IAAI,aAAa,CAAC,2DAA2D,CAAC,CAAC;IACvF,CAAC;IACD,MAAM,IAAI,GAAG,MAAM,EAAE,CAAA;qCACc,MAAM;sBACrB,MAAM;;;GAGzB,CAAC;IACF,OAAO,IAAI,CAAC,KAAK,CAAC;AACpB,CAAC"}
+{"version":3,"file":"repository.js","sourceRoot":"","sources":["../../src/users/repository.ts"],"names":[],"mappings":"AAAA,OAAO,EAAE,aAAa,EAAE,aAAa,EAAE,MAAM,EAAE,MAAM,eAAe,CAAC;AAErE,OAAO,EAAE,qBAAqB,EAAE,MAAM,2BAA2B,CAAC;AAClE,OAAO,EAAE,WAAW,EAAE,MAAM,mBAAmB,CAAC;AAehD,MAAM,eAAe,GAAG,CAAC,OAAO,EAAE,OAAO,CAAC,CAAC;AAE3C,MAAM,CAAC,KAAK,UAAU,iBAAiB,CAAC,EAAM;IAC5C,MAAM,IAAI,GAAG,MAAM,EAAE,CASpB;;;;;;;;;;;GAWA,CAAC;IACF,OAAO,IAAI,CAAC,GAAG,CAAC,CAAC,CAAC,EAAE,EAAE,CAAC,CAAC;QACtB,MAAM,EAAE,CAAC,CAAC,OAAO;QACjB,KAAK,EAAE,CAAC,CAAC,KAAK;QACd,QAAQ,EAAE,CAAC,CAAC,SAAS;QACrB,QAAQ,EAAE,CAAC,CAAC,SAAS;QACrB,gBAAgB,EAAE,CAAC,CAAC,MAAM;QAC1B,KAAK,EAAE,CAAC,CAAC,SAAS,IAAI,EAAE;KACzB,CAAC,CAAC,CAAC;AACN,CAAC;AAED,KAAK,UAAU,iBAAiB,CAAC,EAAM,EAAE,aAAsB;IAC7D,MAAM,IAAI,GAAG,MAAM,EAAE,CAAiB;;;;;;wBAMhB,eAAe;aAC1B,aAAa,IAAI,IAAI,kCAAkC,aAAa,IAAI,IAAI;GACtF,CAAC;IACF,OAAO,IAAI,CAAC,CAAC,CAAC,EAAE,CAAC,IAAI,CAAC,CAAC;AACzB,CAAC;AAED,kFAAkF;AAClF,MAAM,CAAC,KAAK,UAAU,WAAW,CAAC,EAAM,EAAE,MAAc,EAAE,OAAe;IACvE,+CAA+C;IAC/C,MAAM,aAAa,GAAG,eAAe,CAAC,QAAQ,CAAC,OAAO,CAAC,CAAC;IACxD,IACE,CAAC,aAAa;QACd,CAAC,MAAM,WAAW,CAAC,EAAE,EAAE,MAAM,CAAC,CAAC;QAC/B,CAAC,MAAM,iBAAiB,CAAC,EAAE,EAAE,MAAM,CAAC,CAAC,KAAK,CAAC,EAC3C,CAAC;QACD,MAAM,IAAI,aAAa,CAAC,0DAA0D,CAAC,CAAC;IACtF,CAAC;IACD,MAAM,IAAI,GAAG,MAAM,EAAE,CAEpB,mCAAmC,OAAO,wBAAwB,CAAC;IACpE,IAAI,CAAC,IAAI,CAAC,CAAC,CAAC;QAAE,MAAM,IAAI,aAAa,CAAC,uBAAuB,OAAO,EAAE,CAAC,CAAC;IACxE,MAAM,EAAE,CAAA;;sBAEY,MAAM;;GAEzB,CAAC;IACF,MAAM,EAAE,CAAA;;cAEI,MAAM,EAAE,kDAAkD,MAAM,KAAK,IAAI,CAAC,CAAC,CAAC,CAAC,EAAE;GAC1F,CAAC;AACJ,CAAC;AAED,KAAK,UAAU,WAAW,CAAC,EAAM,EAAE,MAAc;IAC/C,MAAM,IAAI,GAAG,MAAM,EAAE,CAAiB;;;yBAGf,MAAM,8CAA8C,eAAe;GACzF,CAAC;IACF,OAAO,CAAC,IAAI,CAAC,CAAC,CAAC,EAAE,CAAC,IAAI,CAAC,CAAC,GAAG,CAAC,CAAC;AAC/B,CAAC;AAED,kFAAkF;AAClF,MAAM,CAAC,KAAK,UAAU,mBAAmB,CACvC,EAAM,EACN,MAAc,EACd,MAAwC;IAExC,IACE,MAAM,KAAK,QAAQ;QACnB,CAAC,MAAM,WAAW,CAAC,EAAE,EAAE,MAAM,CAAC,CAAC;QAC/B,CAAC,MAAM,iBAAiB,CAAC,EAAE,EAAE,MAAM,CAAC,CAAC,KAAK,CAAC,EAC3C,CAAC;QACD,MAAM,IAAI,aAAa,CAAC,2DAA2D,CAAC,CAAC;IACvF,CAAC;IACD,MAAM,IAAI,GAAG,MAAM,EAAE,CAAA;qCACc,MAAM;sBACrB,MAAM;;;GAGzB,CAAC;IACF,OAAO,IAAI,CAAC,KAAK,CAAC;AACpB,CAAC;AAyBD;;;;;;;GAOG;AACH,MAAM,CAAC,KAAK,UAAU,UAAU,CAAC,EAAM,EAAE,KAAsB;IAC7D,MAAM,QAAQ,GAAG,MAAM,eAAe,CAAC,EAAE,CAAC,CAAC;IAE3C,MAAM,QAAQ,GAAG,MAAM,EAAE,CAAwE;wEAC3B,KAAK,CAAC,KAAK;GAChF,CAAC;IAEF,IAAI,MAAc,CAAC;IACnB,IAAI,QAAgB,CAAC;IACrB,IAAI,SAAkB,CAAC;IAEvB,IAAI,QAAQ,CAAC,CAAC,CAAC,EAAE,CAAC;QAChB,uEAAuE;QACvE,uEAAuE;QACvE,mEAAmE;QACnE,IAAI,QAAQ,CAAC,CAAC,CAAC,CAAC,SAAS,KAAK,OAAO,EAAE,CAAC;YACtC,MAAM,IAAI,aAAa,CACrB,wFAAwF,CACzF,CAAC;QACJ,CAAC;QACD,MAAM,GAAG,QAAQ,CAAC,CAAC,CAAC,CAAC,EAAE,CAAC;QACxB,QAAQ,GAAG,QAAQ,CAAC,CAAC,CAAC,CAAC,SAAS,CAAC;QACjC,SAAS,GAAG,KAAK,CAAC;QAClB,MAAM,OAAO,GAAG,MAAM,EAAE,CAAkB;kDACI,MAAM,oBAAoB,QAAQ;KAC/E,CAAC;QACF,IAAI,OAAO,CAAC,CAAC,CAAC;YAAE,MAAM,IAAI,aAAa,CAAC,mCAAmC,CAAC,CAAC;IAC/E,CAAC;SAAM,CAAC;QACN,MAAM,GAAG,MAAM,EAAE,CAAC;QAClB,QAAQ,GAAG,KAAK,CAAC,QAAQ,CAAC;QAC1B,SAAS,GAAG,IAAI,CAAC;QACjB,MAAM,EAAE,CAAA;;gBAEI,MAAM,KAAK,KAAK,CAAC,KAAK,KAAK,KAAK,CAAC,QAAQ;KACpD,CAAC;IACJ,CAAC;IAED,MAAM,EAAE,CAAA;;cAEI,MAAM,EAAE,KAAK,QAAQ,KAAK,MAAM,gBAAgB,KAAK,CAAC,SAAS;GAC1E,CAAC;IACF,MAAM,WAAW,CAAC,EAAE,EAAE,MAAM,EAAE,KAAK,CAAC,OAAO,CAAC,CAAC;IAE7C,IAAI,eAAe,GAAkB,IAAI,CAAC;IAC1C,IAAI,SAAS,EAAE,CAAC;QACd,MAAM,UAAU,GAAG,MAAM,qBAAqB,CAAC,EAAE,EAAE,EAAE,MAAM,EAAE,QAAQ,EAAE,CAAC,CAAC;QACzE,eAAe,GAAG,UAAU,CAAC,KAAK,CAAC;IACrC,CAAC;IAED,MAAM,WAAW,CAAC,EAAE,EAAE;QACpB,OAAO,EAAE,KAAK,CAAC,SAAS;QACxB,MAAM,EAAE,cAAc;QACtB,YAAY,EAAE,MAAM;QACpB,UAAU,EAAE,MAAM;QAClB,QAAQ,EAAE,EAAE,KAAK,EAAE,KAAK,CAAC,KAAK,EAAE,OAAO,EAAE,KAAK,CAAC,OAAO,EAAE,SAAS,EAAE;KACpE,CAAC,CAAC;IAEH,OAAO,EAAE,MAAM,EAAE,KAAK,EAAE,KAAK,CAAC,KAAK,EAAE,QAAQ,EAAE,eAAe,EAAE,CAAC;AACnE,CAAC;AAED;;;;GAIG;AACH,MAAM,CAAC,KAAK,UAAU,sBAAsB,CAC1C,EAAM,EACN,KAA4C;IAE5C,MAAM,QAAQ,GAAG,MAAM,eAAe,CAAC,EAAE,CAAC,CAAC;IAC3C,MAAM,IAAI,GAAG,MAAM,EAAE,CAQpB;;;;;;;;;0BASuB,QAAQ;wBACV,KAAK,CAAC,MAAM;;;;GAIjC,CAAC;IACF,MAAM,MAAM,GAAG,IAAI,CAAC,CAAC,CAAC,CAAC;IACvB,IAAI,CAAC,MAAM;QAAE,MAAM,IAAI,aAAa,CAAC,qCAAqC,CAAC,CAAC;IAC5E,IACE,MAAM,CAAC,SAAS,KAAK,OAAO;QAC5B,MAAM,CAAC,WAAW,KAAK,SAAS;QAChC,MAAM,CAAC,iBAAiB,KAAK,SAAS,EACtC,CAAC;QACD,MAAM,IAAI,aAAa,CAAC,6CAA6C,CAAC,CAAC;IACzE,CAAC;IAED,MAAM,UAAU,GAAG,MAAM,qBAAqB,CAAC,EAAE,EAAE,EAAE,MAAM,EAAE,KAAK,CAAC,MAAM,EAAE,QAAQ,EAAE,CAAC,CAAC;IACvF,MAAM,WAAW,CAAC,EAAE,EAAE;QACpB,OAAO,EAAE,KAAK,CAAC,SAAS;QACxB,MAAM,EAAE,sBAAsB;QAC9B,YAAY,EAAE,MAAM;QACpB,UAAU,EAAE,KAAK,CAAC,MAAM;QACxB,QAAQ,EAAE,EAAE,KAAK,EAAE,MAAM,CAAC,KAAK,EAAE;KAClC,CAAC,CAAC;IAEH,OAAO;QACL,MAAM,EAAE,KAAK,CAAC,MAAM;QACpB,KAAK,EAAE,MAAM,CAAC,KAAK;QACnB,QAAQ,EAAE,MAAM,CAAC,SAAS;QAC1B,eAAe,EAAE,UAAU,CAAC,KAAK;KAClC,CAAC;AACJ,CAAC;AAED,KAAK,UAAU,eAAe,CAAC,EAAM;IACnC,MAAM,IAAI,GAAG,MAAM,EAAE,CAEpB,iEAAiE,CAAC;IACnE,OAAO,IAAI,CAAC,CAAC,CAAE,CAAC,SAAS,CAAC;AAC5B,CAAC"}

package/dist/vault/repository.d.ts

@@ -38,8 +38,75 @@ export declare function revealSecret(tx: Tx, keyring: Keyring, tenantId: string,
     meta: CredentialMeta;
     secret: string;
 }>;
+/**
+ * Resultado de uma busca por NOME, distinto de `revealSecret` (que busca por
+ * `id`). Três desfechos, e só um decifra:
+ *
+ * - `null` — não existe, foi removida (`deleted_at`), ou pertence a outro
+ *   tenant (invisível sob RLS). Os três colapsam de propósito: diferenciá-los
+ *   para quem pergunta "existe uma credencial chamada X?" vazaria a existência
+ *   de um registro que a RLS já devolveu como ausente.
+ * - `{ status: 'expired' }` — a linha existe e a chave é a certa, mas
+ *   `expires_at` já passou. Devolvida ANTES de decifrar: uma credencial vencida
+ *   não deve ser lida por um processo automatizado, mesmo que a cifra ainda
+ *   abra. `revealSecret` (por `id`) não faz esta checagem de propósito — a rota
+ *   humana pode precisar ler o valor vencido para renová-lo.
+ * - `{ status: 'ok', meta, secret }` — decifrada.
+ */
+export type NamedSecretResult = null | {
+    status: 'expired';
+    meta: CredentialMeta;
+} | {
+    status: 'ok';
+    meta: CredentialMeta;
+    secret: string;
+};
+/**
+ * Busca e decifra uma credencial de NÍVEL DE TENANT (nunca amarrada a um
+ * `client_id`) pelo nome — o vocabulário que `channel_binding.credential_ref`
+ * usa (`vault://<name>`). Só enxerga o que a RLS permitir: um `tenantId`
+ * incorreto não lança, devolve `null` como se o nome não existisse.
+ *
+ * NUNCA lança por ausência/expiração — a diferença com `revealSecret` (por
+ * `id`), que lança `NotFoundError`, é deliberada: aquele é chamado por uma rota
+ * que já sabe que o `id` deveria existir; este é chamado por um resolvedor de
+ * canal que trata "não configurado" como estado normal.
+ */
+export declare function revealSecretByName(tx: Tx, keyring: Keyring, tenantId: string, name: string): Promise<NamedSecretResult>;
 export declare function rotateSecret(tx: Tx, keyring: Keyring, tenantId: string, id: string, newSecret: string, updatedBy?: string | null): Promise<number>;
 export declare function softDeleteCredential(tx: Tx, id: string): Promise<number>;
 /** Credenciais que vencem em até `days` dias (alertas do dashboard — ex.: certificados). */
 export declare function listExpiringCredentials(tx: Tx, days?: number): Promise<CredentialMeta[]>;
+/**
+ * O `id` da credencial de nível de tenant com este nome, ou `null`.
+ *
+ * Existe para o caminho de **reconexão**: o índice único
+ * `(tenant, client, lower(name))` recusa um segundo `INSERT` com o mesmo nome, e
+ * um onboarding refeito — número reconectado, token revogado e reemitido pelo
+ * cliente — precisa ROTACIONAR a credencial existente, não criar outra.
+ *
+ * Devolve só o identificador. Uma função que devolvesse o metadado inteiro
+ * convidaria quem chama a decidir com base nele; a única pergunta legítima aqui
+ * é "já existe?".
+ */
+/**
+ * Vencimento de uma credencial de nível de tenant, pelo NOME. Sem decifrar.
+ *
+ * Existe porque a tela precisa avisar ANTES: o token que o Embedded Signup emite
+ * na configuração canônica desta casa vive **60 dias**, e o comportamento no
+ * vencimento já é o correto — `revealSecretByName` devolve `expired`, o store
+ * audita e nega, o canal fica indisponível. O que faltava era alguém olhar.
+ *
+ * Descobrir o vencimento por uma cobrança que não saiu é o mesmo modo de falha
+ * do token colado que esta frente existe para eliminar, só que com prazo.
+ *
+ * Devolve `undefined` quando não há credencial com esse nome, e `null` no
+ * `expiresAt` quando ela não vence — os dois casos são diferentes para quem
+ * mostra a tela, e colapsá-los faria "não configurado" parecer "não vence".
+ */
+export declare function findCredentialExpiryByName(tx: Tx, name: string): Promise<{
+    id: string;
+    expiresAt: string | null;
+} | undefined>;
+export declare function findCredentialIdByName(tx: Tx, name: string): Promise<string | null>;
 //# sourceMappingURL=repository.d.ts.map

package/dist/vault/repository.d.ts.map

@@ -1 +1 @@
-{"version":3,"file":"repository.d.ts","sourceRoot":"","sources":["../../src/vault/repository.ts"],"names":[],"mappings":"AACA,OAAO,KAAK,EAAE,EAAE,EAAE,MAAM,iBAAiB,CAAC;AAC1C,OAAO,EAAgC,KAAK,OAAO,EAAE,MAAM,aAAa,CAAC;AAEzE;;;;;GAKG;AAEH,MAAM,MAAM,aAAa,GACrB,SAAS,GAAG,OAAO,GAAG,MAAM,GAAG,aAAa,GAAG,OAAO,GACtD,KAAK,GAAG,SAAS,GAAG,UAAU,GAAG,SAAS,GAAG,SAAS,CAAC;AAE3D,MAAM,WAAW,cAAc;IAC7B,EAAE,EAAE,MAAM,CAAC;IACX,QAAQ,EAAE,MAAM,GAAG,IAAI,CAAC;IACxB,IAAI,EAAE,MAAM,CAAC;IACb,QAAQ,EAAE,aAAa,CAAC;IACxB,QAAQ,EAAE,MAAM,GAAG,IAAI,CAAC;IACxB,UAAU,EAAE,MAAM,CAAC;IACnB,QAAQ,EAAE,MAAM,CAAC,MAAM,EAAE,OAAO,CAAC,CAAC;IAClC,SAAS,EAAE,MAAM,GAAG,IAAI,CAAC;IACzB,SAAS,EAAE,MAAM,GAAG,IAAI,CAAC;IACzB,SAAS,EAAE,MAAM,CAAC;IAClB,SAAS,EAAE,MAAM,CAAC;CACnB;AAqCD,MAAM,WAAW,qBAAqB;IACpC,IAAI,EAAE,MAAM,CAAC;IACb,MAAM,EAAE,MAAM,CAAC;IACf,QAAQ,CAAC,EAAE,aAAa,CAAC;IACzB,QAAQ,CAAC,EAAE,MAAM,GAAG,IAAI,CAAC;IACzB,QAAQ,CAAC,EAAE,MAAM,GAAG,IAAI,CAAC;IACzB,QAAQ,CAAC,EAAE,MAAM,CAAC,MAAM,EAAE,OAAO,CAAC,CAAC;IACnC,SAAS,CAAC,EAAE,MAAM,GAAG,IAAI,CAAC;IAC1B,SAAS,CAAC,EAAE,MAAM,GAAG,IAAI,CAAC;CAC3B;AAED,wBAAsB,gBAAgB,CACpC,EAAE,EAAE,EAAE,EACN,OAAO,EAAE,OAAO,EAChB,QAAQ,EAAE,MAAM,EAChB,KAAK,EAAE,qBAAqB,GAC3B,OAAO,CAAC,cAAc,CAAC,CAqBzB;AAED,wBAAsB,eAAe,CAAC,EAAE,EAAE,EAAE,EAAE,QAAQ,CAAC,EAAE,MAAM,GAAG,OAAO,CAAC,cAAc,EAAE,CAAC,CAS1F;AAED,wBAAsB,iBAAiB,CAAC,EAAE,EAAE,EAAE,EAAE,EAAE,EAAE,MAAM,GAAG,OAAO,CAAC,cAAc,CAAC,CAOnF;AAED,qGAAqG;AACrG,wBAAsB,YAAY,CAChC,EAAE,EAAE,EAAE,EACN,OAAO,EAAE,OAAO,EAChB,QAAQ,EAAE,MAAM,EAChB,EAAE,EAAE,MAAM,GACT,OAAO,CAAC;IAAE,IAAI,EAAE,cAAc,CAAC;IAAC,MAAM,EAAE,MAAM,CAAA;CAAE,CAAC,CAcnD;AAED,wBAAsB,YAAY,CAChC,EAAE,EAAE,EAAE,EACN,OAAO,EAAE,OAAO,EAChB,QAAQ,EAAE,MAAM,EAChB,EAAE,EAAE,MAAM,EACV,SAAS,EAAE,MAAM,EACjB,SAAS,CAAC,EAAE,MAAM,GAAG,IAAI,GACxB,OAAO,CAAC,MAAM,CAAC,CAWjB;AAED,wBAAsB,oBAAoB,CAAC,EAAE,EAAE,EAAE,EAAE,EAAE,EAAE,MAAM,GAAG,OAAO,CAAC,MAAM,CAAC,CAO9E;AAED,4FAA4F;AAC5F,wBAAsB,uBAAuB,CAAC,EAAE,EAAE,EAAE,EAAE,IAAI,SAAK,GAAG,OAAO,CAAC,cAAc,EAAE,CAAC,CAS1F"}
+{"version":3,"file":"repository.d.ts","sourceRoot":"","sources":["../../src/vault/repository.ts"],"names":[],"mappings":"AACA,OAAO,KAAK,EAAE,EAAE,EAAE,MAAM,iBAAiB,CAAC;AAC1C,OAAO,EAAgC,KAAK,OAAO,EAAE,MAAM,aAAa,CAAC;AAEzE;;;;;GAKG;AAEH,MAAM,MAAM,aAAa,GACrB,SAAS,GACT,OAAO,GACP,MAAM,GACN,aAAa,GACb,OAAO,GACP,KAAK,GACL,SAAS,GACT,UAAU,GACV,SAAS,GACT,SAAS,CAAC;AAEd,MAAM,WAAW,cAAc;IAC7B,EAAE,EAAE,MAAM,CAAC;IACX,QAAQ,EAAE,MAAM,GAAG,IAAI,CAAC;IACxB,IAAI,EAAE,MAAM,CAAC;IACb,QAAQ,EAAE,aAAa,CAAC;IACxB,QAAQ,EAAE,MAAM,GAAG,IAAI,CAAC;IACxB,UAAU,EAAE,MAAM,CAAC;IACnB,QAAQ,EAAE,MAAM,CAAC,MAAM,EAAE,OAAO,CAAC,CAAC;IAClC,SAAS,EAAE,MAAM,GAAG,IAAI,CAAC;IACzB,SAAS,EAAE,MAAM,GAAG,IAAI,CAAC;IACzB,SAAS,EAAE,MAAM,CAAC;IAClB,SAAS,EAAE,MAAM,CAAC;CACnB;AAqCD,MAAM,WAAW,qBAAqB;IACpC,IAAI,EAAE,MAAM,CAAC;IACb,MAAM,EAAE,MAAM,CAAC;IACf,QAAQ,CAAC,EAAE,aAAa,CAAC;IACzB,QAAQ,CAAC,EAAE,MAAM,GAAG,IAAI,CAAC;IACzB,QAAQ,CAAC,EAAE,MAAM,GAAG,IAAI,CAAC;IACzB,QAAQ,CAAC,EAAE,MAAM,CAAC,MAAM,EAAE,OAAO,CAAC,CAAC;IACnC,SAAS,CAAC,EAAE,MAAM,GAAG,IAAI,CAAC;IAC1B,SAAS,CAAC,EAAE,MAAM,GAAG,IAAI,CAAC;CAC3B;AAED,wBAAsB,gBAAgB,CACpC,EAAE,EAAE,EAAE,EACN,OAAO,EAAE,OAAO,EAChB,QAAQ,EAAE,MAAM,EAChB,KAAK,EAAE,qBAAqB,GAC3B,OAAO,CAAC,cAAc,CAAC,CAqBzB;AAED,wBAAsB,eAAe,CAAC,EAAE,EAAE,EAAE,EAAE,QAAQ,CAAC,EAAE,MAAM,GAAG,OAAO,CAAC,cAAc,EAAE,CAAC,CAS1F;AAED,wBAAsB,iBAAiB,CAAC,EAAE,EAAE,EAAE,EAAE,EAAE,EAAE,MAAM,GAAG,OAAO,CAAC,cAAc,CAAC,CAOnF;AAED,qGAAqG;AACrG,wBAAsB,YAAY,CAChC,EAAE,EAAE,EAAE,EACN,OAAO,EAAE,OAAO,EAChB,QAAQ,EAAE,MAAM,EAChB,EAAE,EAAE,MAAM,GACT,OAAO,CAAC;IAAE,IAAI,EAAE,cAAc,CAAC;IAAC,MAAM,EAAE,MAAM,CAAA;CAAE,CAAC,CAcnD;AAED;;;;;;;;;;;;;;GAcG;AACH,MAAM,MAAM,iBAAiB,GACzB,IAAI,GACJ;IAAE,MAAM,EAAE,SAAS,CAAC;IAAC,IAAI,EAAE,cAAc,CAAA;CAAE,GAC3C;IAAE,MAAM,EAAE,IAAI,CAAC;IAAC,IAAI,EAAE,cAAc,CAAC;IAAC,MAAM,EAAE,MAAM,CAAA;CAAE,CAAC;AAE3D;;;;;;;;;;GAUG;AACH,wBAAsB,kBAAkB,CACtC,EAAE,EAAE,EAAE,EACN,OAAO,EAAE,OAAO,EAChB,QAAQ,EAAE,MAAM,EAChB,IAAI,EAAE,MAAM,GACX,OAAO,CAAC,iBAAiB,CAAC,CAqB5B;AAED,wBAAsB,YAAY,CAChC,EAAE,EAAE,EAAE,EACN,OAAO,EAAE,OAAO,EAChB,QAAQ,EAAE,MAAM,EAChB,EAAE,EAAE,MAAM,EACV,SAAS,EAAE,MAAM,EACjB,SAAS,CAAC,EAAE,MAAM,GAAG,IAAI,GACxB,OAAO,CAAC,MAAM,CAAC,CAWjB;AAED,wBAAsB,oBAAoB,CAAC,EAAE,EAAE,EAAE,EAAE,EAAE,EAAE,MAAM,GAAG,OAAO,CAAC,MAAM,CAAC,CAO9E;AAED,4FAA4F;AAC5F,wBAAsB,uBAAuB,CAAC,EAAE,EAAE,EAAE,EAAE,IAAI,SAAK,GAAG,OAAO,CAAC,cAAc,EAAE,CAAC,CAS1F;AAED;;;;;;;;;;;GAWG;AACH;;;;;;;;;;;;;;GAcG;AACH,wBAAsB,0BAA0B,CAC9C,EAAE,EAAE,EAAE,EACN,IAAI,EAAE,MAAM,GACX,OAAO,CAAC;IAAE,EAAE,EAAE,MAAM,CAAC;IAAC,SAAS,EAAE,MAAM,GAAG,IAAI,CAAA;CAAE,GAAG,SAAS,CAAC,CAS/D;AAED,wBAAsB,sBAAsB,CAAC,EAAE,EAAE,EAAE,EAAE,IAAI,EAAE,MAAM,GAAG,OAAO,CAAC,MAAM,GAAG,IAAI,CAAC,CAOzF"}

package/dist/vault/repository.js

@@ -77,6 +77,38 @@ export async function revealSecret(tx, keyring, tenantId, id) {
     });
     return { meta: mapMeta(r), secret };
 }
+/**
+ * Busca e decifra uma credencial de NÍVEL DE TENANT (nunca amarrada a um
+ * `client_id`) pelo nome — o vocabulário que `channel_binding.credential_ref`
+ * usa (`vault://<name>`). Só enxerga o que a RLS permitir: um `tenantId`
+ * incorreto não lança, devolve `null` como se o nome não existisse.
+ *
+ * NUNCA lança por ausência/expiração — a diferença com `revealSecret` (por
+ * `id`), que lança `NotFoundError`, é deliberada: aquele é chamado por uma rota
+ * que já sabe que o `id` deveria existir; este é chamado por um resolvedor de
+ * canal que trata "não configurado" como estado normal.
+ */
+export async function revealSecretByName(tx, keyring, tenantId, name) {
+    const rows = await tx `
+    SELECT ${tx.unsafe(META_COLUMNS)}, ciphertext, iv, auth_tag
+    FROM vault_credential
+    WHERE client_id IS NULL AND lower(name) = lower(${name}) AND deleted_at IS NULL
+  `;
+    const r = rows[0];
+    if (!r)
+        return null;
+    const meta = mapMeta(r);
+    if (r.expires_at && r.expires_at.getTime() <= Date.now()) {
+        return { status: 'expired', meta };
+    }
+    const secret = decryptSecret(keyring, tenantId, {
+        ciphertext: r.ciphertext,
+        iv: r.iv,
+        authTag: r.auth_tag,
+        keyVersion: r.key_version,
+    });
+    return { status: 'ok', meta, secret };
+}
 export async function rotateSecret(tx, keyring, tenantId, id, newSecret, updatedBy) {
     const enc = encryptSecret(keyring, tenantId, newSecret);
     const rows = await tx `
@@ -108,4 +140,50 @@ export async function listExpiringCredentials(tx, days = 30) {
   `;
     return rows.map(mapMeta);
 }
+/**
+ * O `id` da credencial de nível de tenant com este nome, ou `null`.
+ *
+ * Existe para o caminho de **reconexão**: o índice único
+ * `(tenant, client, lower(name))` recusa um segundo `INSERT` com o mesmo nome, e
+ * um onboarding refeito — número reconectado, token revogado e reemitido pelo
+ * cliente — precisa ROTACIONAR a credencial existente, não criar outra.
+ *
+ * Devolve só o identificador. Uma função que devolvesse o metadado inteiro
+ * convidaria quem chama a decidir com base nele; a única pergunta legítima aqui
+ * é "já existe?".
+ */
+/**
+ * Vencimento de uma credencial de nível de tenant, pelo NOME. Sem decifrar.
+ *
+ * Existe porque a tela precisa avisar ANTES: o token que o Embedded Signup emite
+ * na configuração canônica desta casa vive **60 dias**, e o comportamento no
+ * vencimento já é o correto — `revealSecretByName` devolve `expired`, o store
+ * audita e nega, o canal fica indisponível. O que faltava era alguém olhar.
+ *
+ * Descobrir o vencimento por uma cobrança que não saiu é o mesmo modo de falha
+ * do token colado que esta frente existe para eliminar, só que com prazo.
+ *
+ * Devolve `undefined` quando não há credencial com esse nome, e `null` no
+ * `expiresAt` quando ela não vence — os dois casos são diferentes para quem
+ * mostra a tela, e colapsá-los faria "não configurado" parecer "não vence".
+ */
+export async function findCredentialExpiryByName(tx, name) {
+    const rows = await tx `
+    SELECT id, expires_at FROM vault_credential
+     WHERE client_id IS NULL AND lower(name) = lower(${name}) AND deleted_at IS NULL
+     LIMIT 1
+  `;
+    const r = rows[0];
+    if (!r)
+        return undefined;
+    return { id: r.id, expiresAt: r.expires_at ? r.expires_at.toISOString() : null };
+}
+export async function findCredentialIdByName(tx, name) {
+    const rows = await tx `
+    SELECT id FROM vault_credential
+     WHERE client_id IS NULL AND lower(name) = lower(${name}) AND deleted_at IS NULL
+     LIMIT 1
+  `;
+    return rows[0]?.id ?? null;
+}
 //# sourceMappingURL=repository.js.map

package/dist/vault/repository.js.map

@@ -1 +1 @@
-{"version":3,"file":"repository.js","sourceRoot":"","sources":["../../src/vault/repository.ts"],"names":[],"mappings":"AAAA,OAAO,EAAE,aAAa,EAAE,MAAM,EAAE,MAAM,eAAe,CAAC;AAEtD,OAAO,EAAE,aAAa,EAAE,aAAa,EAAgB,MAAM,aAAa,CAAC;AAyCzE,SAAS,OAAO,CAAC,CAAU;IACzB,OAAO;QACL,EAAE,EAAE,CAAC,CAAC,EAAE;QACR,QAAQ,EAAE,CAAC,CAAC,SAAS;QACrB,IAAI,EAAE,CAAC,CAAC,IAAI;QACZ,QAAQ,EAAE,CAAC,CAAC,QAAQ;QACpB,QAAQ,EAAE,CAAC,CAAC,QAAQ;QACpB,UAAU,EAAE,CAAC,CAAC,WAAW;QACzB,QAAQ,EAAE,CAAC,CAAC,QAAQ,IAAI,EAAE;QAC1B,SAAS,EAAE,CAAC,CAAC,UAAU,CAAC,CAAC,CAAC,CAAC,CAAC,UAAU,CAAC,WAAW,EAAE,CAAC,CAAC,CAAC,IAAI;QAC3D,SAAS,EAAE,CAAC,CAAC,UAAU,CAAC,CAAC,CAAC,CAAC,CAAC,UAAU,CAAC,WAAW,EAAE,CAAC,CAAC,CAAC,IAAI;QAC3D,SAAS,EAAE,CAAC,CAAC,UAAU,CAAC,WAAW,EAAE;QACrC,SAAS,EAAE,CAAC,CAAC,UAAU,CAAC,WAAW,EAAE;KACtC,CAAC;AACJ,CAAC;AAED,MAAM,YAAY,GAAG;;;CAGpB,CAAC;AAaF,MAAM,CAAC,KAAK,UAAU,gBAAgB,CACpC,EAAM,EACN,OAAgB,EAChB,QAAgB,EAChB,KAA4B;IAE5B,MAAM,GAAG,GAAG,aAAa,CAAC,OAAO,EAAE,QAAQ,EAAE,KAAK,CAAC,MAAM,CAAC,CAAC;IAC3D,MAAM,IAAI,GAAG,MAAM,EAAE,CAAW;;;;;QAK1B,MAAM,EAAE;;QAER,KAAK,CAAC,QAAQ,IAAI,IAAI;QACtB,KAAK,CAAC,IAAI;QACV,KAAK,CAAC,QAAQ,IAAI,SAAS;QAC3B,KAAK,CAAC,QAAQ,IAAI,IAAI;QACtB,GAAG,CAAC,UAAU,KAAK,GAAG,CAAC,EAAE,KAAK,GAAG,CAAC,OAAO,KAAK,GAAG,CAAC,UAAU;QAC5D,EAAE,CAAC,IAAI,CAAC,CAAC,KAAK,CAAC,QAAQ,IAAI,EAAE,CAAU,CAAC;QACxC,KAAK,CAAC,SAAS,IAAI,IAAI;QACvB,KAAK,CAAC,SAAS,IAAI,IAAI;;gBAEf,EAAE,CAAC,MAAM,CAAC,YAAY,CAAC;GACpC,CAAC;IACF,OAAO,OAAO,CAAC,IAAI,CAAC,CAAC,CAAE,CAAC,CAAC;AAC3B,CAAC;AAED,MAAM,CAAC,KAAK,UAAU,eAAe,CAAC,EAAM,EAAE,QAAiB;IAC7D,MAAM,IAAI,GAAG,MAAM,EAAE,CAAW;aACrB,EAAE,CAAC,MAAM,CAAC,YAAY,CAAC;;;aAGvB,QAAQ,IAAI,IAAI,gCAAgC,QAAQ,IAAI,IAAI;;GAE1E,CAAC;IACF,OAAO,IAAI,CAAC,GAAG,CAAC,OAAO,CAAC,CAAC;AAC3B,CAAC;AAED,MAAM,CAAC,KAAK,UAAU,iBAAiB,CAAC,EAAM,EAAE,EAAU;IACxD,MAAM,IAAI,GAAG,MAAM,EAAE,CAAW;aACrB,EAAE,CAAC,MAAM,CAAC,YAAY,CAAC;uCACG,EAAE;GACtC,CAAC;IACF,IAAI,CAAC,IAAI,CAAC,CAAC,CAAC;QAAE,MAAM,IAAI,aAAa,CAAC,2BAA2B,CAAC,CAAC;IACnE,OAAO,OAAO,CAAC,IAAI,CAAC,CAAC,CAAC,CAAC,CAAC;AAC1B,CAAC;AAED,qGAAqG;AACrG,MAAM,CAAC,KAAK,UAAU,YAAY,CAChC,EAAM,EACN,OAAgB,EAChB,QAAgB,EAChB,EAAU;IAEV,MAAM,IAAI,GAAG,MAAM,EAAE,CAAoE;aAC9E,EAAE,CAAC,MAAM,CAAC,YAAY,CAAC;uCACG,EAAE;GACtC,CAAC;IACF,IAAI,CAAC,IAAI,CAAC,CAAC,CAAC;QAAE,MAAM,IAAI,aAAa,CAAC,2BAA2B,CAAC,CAAC;IACnE,MAAM,CAAC,GAAG,IAAI,CAAC,CAAC,CAAC,CAAC;IAClB,MAAM,MAAM,GAAG,aAAa,CAAC,OAAO,EAAE,QAAQ,EAAE;QAC9C,UAAU,EAAE,CAAC,CAAC,UAAU;QACxB,EAAE,EAAE,CAAC,CAAC,EAAE;QACR,OAAO,EAAE,CAAC,CAAC,QAAQ;QACnB,UAAU,EAAE,CAAC,CAAC,WAAW;KAC1B,CAAC,CAAC;IACH,OAAO,EAAE,IAAI,EAAE,OAAO,CAAC,CAAC,CAAC,EAAE,MAAM,EAAE,CAAC;AACtC,CAAC;AAED,MAAM,CAAC,KAAK,UAAU,YAAY,CAChC,EAAM,EACN,OAAgB,EAChB,QAAgB,EAChB,EAAU,EACV,SAAiB,EACjB,SAAyB;IAEzB,MAAM,GAAG,GAAG,aAAa,CAAC,OAAO,EAAE,QAAQ,EAAE,SAAS,CAAC,CAAC;IACxD,MAAM,IAAI,GAAG,MAAM,EAAE,CAAA;;qBAEF,GAAG,CAAC,UAAU,UAAU,GAAG,CAAC,EAAE,gBAAgB,GAAG,CAAC,OAAO;sBACxD,GAAG,CAAC,UAAU;qBACf,SAAS,IAAI,IAAI;iBACrB,EAAE;;GAEhB,CAAC;IACF,OAAO,IAAI,CAAC,KAAK,CAAC;AACpB,CAAC;AAED,MAAM,CAAC,KAAK,UAAU,oBAAoB,CAAC,EAAM,EAAE,EAAU;IAC3D,MAAM,IAAI,GAAG,MAAM,EAAE,CAAA;;iBAEN,EAAE;;GAEhB,CAAC;IACF,OAAO,IAAI,CAAC,KAAK,CAAC;AACpB,CAAC;AAED,4FAA4F;AAC5F,MAAM,CAAC,KAAK,UAAU,uBAAuB,CAAC,EAAM,EAAE,IAAI,GAAG,EAAE;IAC7D,MAAM,IAAI,GAAG,MAAM,EAAE,CAAW;aACrB,EAAE,CAAC,MAAM,CAAC,YAAY,CAAC;;;mCAGD,IAAI;;GAEpC,CAAC;IACF,OAAO,IAAI,CAAC,GAAG,CAAC,OAAO,CAAC,CAAC;AAC3B,CAAC"}
+{"version":3,"file":"repository.js","sourceRoot":"","sources":["../../src/vault/repository.ts"],"names":[],"mappings":"AAAA,OAAO,EAAE,aAAa,EAAE,MAAM,EAAE,MAAM,eAAe,CAAC;AAEtD,OAAO,EAAE,aAAa,EAAE,aAAa,EAAgB,MAAM,aAAa,CAAC;AAiDzE,SAAS,OAAO,CAAC,CAAU;IACzB,OAAO;QACL,EAAE,EAAE,CAAC,CAAC,EAAE;QACR,QAAQ,EAAE,CAAC,CAAC,SAAS;QACrB,IAAI,EAAE,CAAC,CAAC,IAAI;QACZ,QAAQ,EAAE,CAAC,CAAC,QAAQ;QACpB,QAAQ,EAAE,CAAC,CAAC,QAAQ;QACpB,UAAU,EAAE,CAAC,CAAC,WAAW;QACzB,QAAQ,EAAE,CAAC,CAAC,QAAQ,IAAI,EAAE;QAC1B,SAAS,EAAE,CAAC,CAAC,UAAU,CAAC,CAAC,CAAC,CAAC,CAAC,UAAU,CAAC,WAAW,EAAE,CAAC,CAAC,CAAC,IAAI;QAC3D,SAAS,EAAE,CAAC,CAAC,UAAU,CAAC,CAAC,CAAC,CAAC,CAAC,UAAU,CAAC,WAAW,EAAE,CAAC,CAAC,CAAC,IAAI;QAC3D,SAAS,EAAE,CAAC,CAAC,UAAU,CAAC,WAAW,EAAE;QACrC,SAAS,EAAE,CAAC,CAAC,UAAU,CAAC,WAAW,EAAE;KACtC,CAAC;AACJ,CAAC;AAED,MAAM,YAAY,GAAG;;;CAGpB,CAAC;AAaF,MAAM,CAAC,KAAK,UAAU,gBAAgB,CACpC,EAAM,EACN,OAAgB,EAChB,QAAgB,EAChB,KAA4B;IAE5B,MAAM,GAAG,GAAG,aAAa,CAAC,OAAO,EAAE,QAAQ,EAAE,KAAK,CAAC,MAAM,CAAC,CAAC;IAC3D,MAAM,IAAI,GAAG,MAAM,EAAE,CAAW;;;;;QAK1B,MAAM,EAAE;;QAER,KAAK,CAAC,QAAQ,IAAI,IAAI;QACtB,KAAK,CAAC,IAAI;QACV,KAAK,CAAC,QAAQ,IAAI,SAAS;QAC3B,KAAK,CAAC,QAAQ,IAAI,IAAI;QACtB,GAAG,CAAC,UAAU,KAAK,GAAG,CAAC,EAAE,KAAK,GAAG,CAAC,OAAO,KAAK,GAAG,CAAC,UAAU;QAC5D,EAAE,CAAC,IAAI,CAAC,CAAC,KAAK,CAAC,QAAQ,IAAI,EAAE,CAAU,CAAC;QACxC,KAAK,CAAC,SAAS,IAAI,IAAI;QACvB,KAAK,CAAC,SAAS,IAAI,IAAI;;gBAEf,EAAE,CAAC,MAAM,CAAC,YAAY,CAAC;GACpC,CAAC;IACF,OAAO,OAAO,CAAC,IAAI,CAAC,CAAC,CAAE,CAAC,CAAC;AAC3B,CAAC;AAED,MAAM,CAAC,KAAK,UAAU,eAAe,CAAC,EAAM,EAAE,QAAiB;IAC7D,MAAM,IAAI,GAAG,MAAM,EAAE,CAAW;aACrB,EAAE,CAAC,MAAM,CAAC,YAAY,CAAC;;;aAGvB,QAAQ,IAAI,IAAI,gCAAgC,QAAQ,IAAI,IAAI;;GAE1E,CAAC;IACF,OAAO,IAAI,CAAC,GAAG,CAAC,OAAO,CAAC,CAAC;AAC3B,CAAC;AAED,MAAM,CAAC,KAAK,UAAU,iBAAiB,CAAC,EAAM,EAAE,EAAU;IACxD,MAAM,IAAI,GAAG,MAAM,EAAE,CAAW;aACrB,EAAE,CAAC,MAAM,CAAC,YAAY,CAAC;uCACG,EAAE;GACtC,CAAC;IACF,IAAI,CAAC,IAAI,CAAC,CAAC,CAAC;QAAE,MAAM,IAAI,aAAa,CAAC,2BAA2B,CAAC,CAAC;IACnE,OAAO,OAAO,CAAC,IAAI,CAAC,CAAC,CAAC,CAAC,CAAC;AAC1B,CAAC;AAED,qGAAqG;AACrG,MAAM,CAAC,KAAK,UAAU,YAAY,CAChC,EAAM,EACN,OAAgB,EAChB,QAAgB,EAChB,EAAU;IAEV,MAAM,IAAI,GAAG,MAAM,EAAE,CAAoE;aAC9E,EAAE,CAAC,MAAM,CAAC,YAAY,CAAC;uCACG,EAAE;GACtC,CAAC;IACF,IAAI,CAAC,IAAI,CAAC,CAAC,CAAC;QAAE,MAAM,IAAI,aAAa,CAAC,2BAA2B,CAAC,CAAC;IACnE,MAAM,CAAC,GAAG,IAAI,CAAC,CAAC,CAAC,CAAC;IAClB,MAAM,MAAM,GAAG,aAAa,CAAC,OAAO,EAAE,QAAQ,EAAE;QAC9C,UAAU,EAAE,CAAC,CAAC,UAAU;QACxB,EAAE,EAAE,CAAC,CAAC,EAAE;QACR,OAAO,EAAE,CAAC,CAAC,QAAQ;QACnB,UAAU,EAAE,CAAC,CAAC,WAAW;KAC1B,CAAC,CAAC;IACH,OAAO,EAAE,IAAI,EAAE,OAAO,CAAC,CAAC,CAAC,EAAE,MAAM,EAAE,CAAC;AACtC,CAAC;AAsBD;;;;;;;;;;GAUG;AACH,MAAM,CAAC,KAAK,UAAU,kBAAkB,CACtC,EAAM,EACN,OAAgB,EAChB,QAAgB,EAChB,IAAY;IAEZ,MAAM,IAAI,GAAG,MAAM,EAAE,CAAoE;aAC9E,EAAE,CAAC,MAAM,CAAC,YAAY,CAAC;;sDAEkB,IAAI;GACvD,CAAC;IACF,MAAM,CAAC,GAAG,IAAI,CAAC,CAAC,CAAC,CAAC;IAClB,IAAI,CAAC,CAAC;QAAE,OAAO,IAAI,CAAC;IAEpB,MAAM,IAAI,GAAG,OAAO,CAAC,CAAC,CAAC,CAAC;IACxB,IAAI,CAAC,CAAC,UAAU,IAAI,CAAC,CAAC,UAAU,CAAC,OAAO,EAAE,IAAI,IAAI,CAAC,GAAG,EAAE,EAAE,CAAC;QACzD,OAAO,EAAE,MAAM,EAAE,SAAS,EAAE,IAAI,EAAE,CAAC;IACrC,CAAC;IAED,MAAM,MAAM,GAAG,aAAa,CAAC,OAAO,EAAE,QAAQ,EAAE;QAC9C,UAAU,EAAE,CAAC,CAAC,UAAU;QACxB,EAAE,EAAE,CAAC,CAAC,EAAE;QACR,OAAO,EAAE,CAAC,CAAC,QAAQ;QACnB,UAAU,EAAE,CAAC,CAAC,WAAW;KAC1B,CAAC,CAAC;IACH,OAAO,EAAE,MAAM,EAAE,IAAI,EAAE,IAAI,EAAE,MAAM,EAAE,CAAC;AACxC,CAAC;AAED,MAAM,CAAC,KAAK,UAAU,YAAY,CAChC,EAAM,EACN,OAAgB,EAChB,QAAgB,EAChB,EAAU,EACV,SAAiB,EACjB,SAAyB;IAEzB,MAAM,GAAG,GAAG,aAAa,CAAC,OAAO,EAAE,QAAQ,EAAE,SAAS,CAAC,CAAC;IACxD,MAAM,IAAI,GAAG,MAAM,EAAE,CAAA;;qBAEF,GAAG,CAAC,UAAU,UAAU,GAAG,CAAC,EAAE,gBAAgB,GAAG,CAAC,OAAO;sBACxD,GAAG,CAAC,UAAU;qBACf,SAAS,IAAI,IAAI;iBACrB,EAAE;;GAEhB,CAAC;IACF,OAAO,IAAI,CAAC,KAAK,CAAC;AACpB,CAAC;AAED,MAAM,CAAC,KAAK,UAAU,oBAAoB,CAAC,EAAM,EAAE,EAAU;IAC3D,MAAM,IAAI,GAAG,MAAM,EAAE,CAAA;;iBAEN,EAAE;;GAEhB,CAAC;IACF,OAAO,IAAI,CAAC,KAAK,CAAC;AACpB,CAAC;AAED,4FAA4F;AAC5F,MAAM,CAAC,KAAK,UAAU,uBAAuB,CAAC,EAAM,EAAE,IAAI,GAAG,EAAE;IAC7D,MAAM,IAAI,GAAG,MAAM,EAAE,CAAW;aACrB,EAAE,CAAC,MAAM,CAAC,YAAY,CAAC;;;mCAGD,IAAI;;GAEpC,CAAC;IACF,OAAO,IAAI,CAAC,GAAG,CAAC,OAAO,CAAC,CAAC;AAC3B,CAAC;AAED;;;;;;;;;;;GAWG;AACH;;;;;;;;;;;;;;GAcG;AACH,MAAM,CAAC,KAAK,UAAU,0BAA0B,CAC9C,EAAM,EACN,IAAY;IAEZ,MAAM,IAAI,GAAG,MAAM,EAAE,CAA2C;;uDAEX,IAAI;;GAExD,CAAC;IACF,MAAM,CAAC,GAAG,IAAI,CAAC,CAAC,CAAC,CAAC;IAClB,IAAI,CAAC,CAAC;QAAE,OAAO,SAAS,CAAC;IACzB,OAAO,EAAE,EAAE,EAAE,CAAC,CAAC,EAAE,EAAE,SAAS,EAAE,CAAC,CAAC,UAAU,CAAC,CAAC,CAAC,CAAC,CAAC,UAAU,CAAC,WAAW,EAAE,CAAC,CAAC,CAAC,IAAI,EAAE,CAAC;AACnF,CAAC;AAED,MAAM,CAAC,KAAK,UAAU,sBAAsB,CAAC,EAAM,EAAE,IAAY;IAC/D,MAAM,IAAI,GAAG,MAAM,EAAE,CAAkB;;uDAEc,IAAI;;GAExD,CAAC;IACF,OAAO,IAAI,CAAC,CAAC,CAAC,EAAE,EAAE,IAAI,IAAI,CAAC;AAC7B,CAAC"}

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@baruk/core",
-  "version": "0.3.0",
+  "version": "0.4.2",
   "type": "module",
   "main": "./dist/cjs/index.js",
   "module": "./dist/index.js",
@@ -11,15 +11,29 @@
       "import": "./dist/index.js",
       "require": "./dist/cjs/index.js",
       "default": "./dist/index.js"
+    },
+    "./legal": {
+      "types": "./dist/legal/index.d.ts",
+      "import": "./dist/legal/index.js",
+      "require": "./dist/cjs/legal/index.js",
+      "default": "./dist/legal/index.js"
+    },
+    "./pricing-engine": {
+      "types": "./dist/pricing-engine/index.d.ts",
+      "import": "./dist/pricing-engine/index.js",
+      "require": "./dist/cjs/pricing-engine/index.js",
+      "default": "./dist/pricing-engine/index.js"
     }
   },
   "files": [
     "dist",
     "!dist/__tests__",
     "src/db/migrations",
-    "CHANGELOG.md"
+    "CHANGELOG.md",
+    ".baruk-provenance.json"
   ],
   "dependencies": {
+    "@baruk/communication": "^0.2.0",
     "postgres": "^3.4.5",
     "zod": "^3.24.1",
     "@baruk/shared": "^0.1.1"
@@ -43,9 +57,10 @@
     "build:cjs": "tsc -p tsconfig.cjs.json && node ../../scripts/write-cjs-package.mjs dist/cjs",
     "typecheck": "tsc -p tsconfig.json --noEmit",
     "lint": "eslint src",
-    "test": "vitest run --passWithNoTests",
+    "test": "vitest run",
     "migrate": "tsx src/db/migrate.ts",
     "seed": "tsx src/db/seed.ts",
-    "clean": "node -e \"require('fs').rmSync('dist',{recursive:true,force:true})\""
+    "clean": "node -e \"require('fs').rmSync('dist',{recursive:true,force:true})\"",
+    "seed:catalog": "tsx src/db/seed-catalog.ts"
   }
 }

package/src/db/migrations/0023_user_invite_activation.sql

@@ -0,0 +1,15 @@
+-- 0023 — Convite e primeiro acesso. Reaproveita `password_reset` como
+-- mecanismo genérico de "token de uso único para definir senha": a coluna
+-- `purpose` distingue reset (usuário já ativo pedindo nova senha) de
+-- activation (usuário recém-convidado definindo a senha permanente pela
+-- primeira vez). Evita duplicar tabela/índices/lógica de expiração.
+
+ALTER TABLE password_reset
+  ADD COLUMN IF NOT EXISTS purpose text NOT NULL DEFAULT 'reset'
+    CHECK (purpose IN ('reset', 'activation'));
+
+-- Tokens de activation precisam saber em qual tenant ativar a membership
+-- (RLS de `membership` exige app.current_tenant setado para o UPDATE). Tokens
+-- de reset comum não usam esta coluna.
+ALTER TABLE password_reset
+  ADD COLUMN IF NOT EXISTS tenant_id uuid REFERENCES tenant(id);

package/src/db/migrations/0024_set_user_password_function.sql

@@ -0,0 +1,32 @@
+-- 0024 — Função privilegiada para gravar senha, preservando o "anti account-takeover" da 0011.
+--
+-- A 0011/migrate.ts revogam UPDATE/DELETE em user_credential do papel baruk_app
+-- de propósito: um bug no código de aplicação nunca deve conseguir sobrescrever
+-- o hash de senha de QUALQUER usuário via um UPDATE arbitrário. Isso também
+-- bloqueava, sem querer, o próprio fluxo legítimo de troca de senha (reset,
+-- ativação, change-password) — que PRECISA fazer upsert no hash. `baruk_app`
+-- tinha só INSERT: funcionava para o 1º credential de um usuário, mas falhava
+-- (42501 permission denied) ao trocar uma senha já existente.
+--
+-- Resolve com uma função SECURITY DEFINER: superfície mínima e nomeada — só
+-- este upsert específico, não UPDATE genérico — mantendo a garantia da 0011.
+
+CREATE OR REPLACE FUNCTION set_user_password(
+  p_user_id uuid,
+  p_password_hash text,
+  p_must_change_password boolean
+) RETURNS void
+LANGUAGE sql
+SECURITY DEFINER
+SET search_path = public
+AS $$
+  INSERT INTO user_credential (user_id, password_hash, must_change_password)
+  VALUES (p_user_id, p_password_hash, p_must_change_password)
+  ON CONFLICT (user_id) DO UPDATE
+    SET password_hash = EXCLUDED.password_hash,
+        must_change_password = EXCLUDED.must_change_password,
+        updated_at = now();
+$$;
+
+REVOKE ALL ON FUNCTION set_user_password(uuid, text, boolean) FROM PUBLIC;
+GRANT EXECUTE ON FUNCTION set_user_password(uuid, text, boolean) TO baruk_app;

package/src/db/migrations/0025_revoke_user_session_function.sql

@@ -0,0 +1,28 @@
+-- 0025 — Logout via porta estreita SECURITY DEFINER.
+--
+-- Em produção, a API roda com o papel `baruk_app`. A revogação de sessão é uma
+-- mutação global, por token opaco, e precisa continuar disponível mesmo quando
+-- privilégios/RLS forem endurecidos no runtime. Mantém a superfície nomeada e
+-- mínima: só marca a sessão como revogada pelo hash do token.
+
+CREATE OR REPLACE FUNCTION revoke_user_session(p_token_hash text)
+RETURNS integer
+LANGUAGE plpgsql
+SECURITY DEFINER
+SET search_path = public
+AS $$
+DECLARE
+  v_count integer;
+BEGIN
+  UPDATE user_session
+  SET revoked_at = now()
+  WHERE token_hash = p_token_hash
+    AND revoked_at IS NULL;
+
+  GET DIAGNOSTICS v_count = ROW_COUNT;
+  RETURN v_count;
+END;
+$$;
+
+REVOKE ALL ON FUNCTION revoke_user_session(text) FROM PUBLIC;
+GRANT EXECUTE ON FUNCTION revoke_user_session(text) TO baruk_app;