@baruk/core 0.3.1 → 0.4.2

package/.baruk-provenance.json

@@ -0,0 +1,10 @@
+{
+  "schema": "baruk.provenance/1",
+  "package": "@baruk/core",
+  "version": "0.4.2",
+  "commit": "4efaf736bbec6ba38bef994c950302186b6c15fc",
+  "repository": "WellingtonOliveira12/baruk-platform",
+  "workflowRef": "WellingtonOliveira12/baruk-ecosystem/.github/workflows/package-release-control.yml@refs/heads/main",
+  "runId": "33760738458",
+  "builtAt": "2026-09-03T13:23:11.511Z"
+}

package/CHANGELOG.md

@@ -5,8 +5,93 @@ Versionamento: [SemVer](https://semver.org/lang/pt-BR/).
 
 ## [Unreleased]
 
+## [0.4.2] — 2026-09-03
+
+### Corrigido
+
+- **`.baruk-provenance.json` entra no `files`.** O `write-provenance.mjs` grava a
+  provenance dentro do pacote antes do `pack`, mas o `files` deste manifesto não a
+  listava — e o npm descarta em silêncio o que não está na allowlist. O pacote publicado
+  prometia rastreabilidade e não a carregava.
+
+  É o `PME-IC-13`, e ele já havia acontecido uma vez. Aqui custou uma Release
+  Authorization: a `v0.4.1` foi certificada, autorizada e **reprovada no rebuild**
+  obrigatório do Package Release Control. `@baruk/shared` passou no mesmo run, porque o
+  `files` dele já incluía a provenance.
+
+  Um teste passou a vigiar os dois pacotes publicáveis, e a lista que ele vigia é
+  conferida contra a do `build-release-request.mjs` — para que um pacote novo não nasça
+  fora do guard.
+
+### Sem mudança de código
+
+A canonicalização da capability de comunicação, descrita na 0.4.0, vale integralmente.
+As versões 0.4.0 e 0.4.1 nunca foram publicadas.
+
+## [0.4.1] — 2026-09-02
+
+Sem mudança de código em relação à 0.4.0: **apenas o número da versão**.
+
+A 0.4.0 nunca foi publicada. A tag `v0.4.0` tem uma Release Authorization
+**revogada**, e a resolução de autorização do control-plane é
+`<candidato>/<tag>.json` — uma tag, um arquivo. Emitir uma autorização nova para
+`v0.4.0` exigiria sobrescrever o registro revogado, e revogação é fato de
+governança: não se reescreve.
+
+A saída é publicar sob uma tag que ainda não tem registro. O conteúdo é o mesmo
+da 0.4.0 — a canonicalização descrita ali vale integralmente para esta versão.
+
+## [0.4.0] — 2026-09-02
+
+### Mudado
+
+- **A capability de e-mail transacional deixou de ser implementada aqui.**
+  `packages/core/src/mail/` passou a ser **re-export** de
+  [`@baruk/communication`](https://www.npmjs.com/package/@baruk/communication),
+  que é a fonte canônica de `cap.communication.transactional-email`.
+
+  Existiam duas implementações. Oito dos nove arquivos eram idênticos byte a
+  byte, e o nono **já havia divergido**: o engine aceitava remetente com nome de
+  exibição (_name-addr_, RFC 5322) e esta cópia não. Era o começo previsível de
+  duas cópias — uma recebe a correção, a outra não, e ninguém percebe até um
+  consumidor receber o comportamento antigo.
+
+### Adicionado
+
+- Dependência `@baruk/communication@^0.2.0` — zero dependências de runtime,
+  21 kB.
+- Aceitação de `Nome <caixa@dominio>` no remetente, herdada da capability. Quem
+  já usava endereço puro não muda nada.
+
+### Compatibilidade
+
+**Nenhum consumidor muda uma linha.** Os caminhos de import foram preservados e
+o barrel exporta os mesmos **522 símbolos** — conferidos um a um contra a versão
+anterior. `sc-organizacao-contabil` e `baruk-connect` foram exercitados contra o
+barrel compilado.
+
+### Fronteira
+
+O guard `communication-provider-boundary` ficou **mais forte**: o endereço do
+provider passou de "existe exatamente uma vez neste repositório" para **"não
+existe"**. Antes era preciso um _segundo_ cliente para ele reagir; agora o
+primeiro reprova.
+
+### O que NÃO saiu daqui
+
+`auth-templates.ts` (casca HTML com a marca), `transactional-outbound.ts`
+(adapter dos fluxos de identidade) e `sanitize.ts` — este último apesar do nome
+e do lugar, porque `subscription-billing` e `pricing-engine` o usam para log.
+
 ## [0.3.1] — 2026-08-02
 
+### Consumidores
+
+- Baruk App (`apps/web`), Dental Plataforma e Baruk Connect consomem
+  `@baruk/core/legal`. Dental e Connect resolvem pelo registry (`^0.3.1`) e
+  eliminaram as cópias locais dos documentos. O Baruk Office ainda não publica
+  documentos legais — ver `docs/architecture/CORE_SHARED_MODULES.md`.
+
 ### Adicionado
 
 - **Legal Center compartilhado** em `@baruk/core/legal`: perfil societário

package/dist/auth/password-reset.d.ts

@@ -1,4 +1,4 @@
-import type { Db } from '../db/client.js';
+import type { Db, Queryable } from '../db/client.js';
 interface Nower {
     now(): number;
 }
@@ -11,10 +11,39 @@ export declare function requestPasswordReset(db: Db, email: string, clock?: Nowe
     token: string;
     userId: string;
 } | null>;
+/**
+ * Emite o token de primeiro acesso para um usuário recém-convidado (chamado
+ * por `inviteUser`, já dentro do contexto do tenant que convidou). Mesmo
+ * mecanismo de `requestPasswordReset`, com `purpose='activation'` e TTL maior
+ * — e o `tenant_id` guardado no token, porque `resetPassword` roda sem sessão
+ * autenticada e precisa reabrir o contexto de RLS certo para ativar a
+ * membership.
+ */
+export declare function createActivationToken(db: Queryable, input: {
+    userId: string;
+    tenantId: string;
+}, clock?: Nower): Promise<{
+    token: string;
+}>;
 /**
  * Redefine a senha usando um token válido (não usado, não expirado). Marca o
  * token como usado, limpa `must_change_password` e revoga sessões anteriores.
+ * Quando o token é de ativação (`purpose='activation'`), também ativa o
+ * usuário e a membership que o convite deixou em `invited`.
+ */
+/**
+ * O token ainda vale? **Não consome.**
+ *
+ * Existe para a tela de ativação decidir o que mostrar antes de o usuário
+ * digitar. Sem isto, quem clicava num convite antigo preenchia senha, confirmava
+ * e só então descobria que o link não servia — e a tela seguia oferecendo o
+ * formulário como se a próxima tentativa pudesse dar certo.
+ *
+ * Devolve só um booleano. Não distingue inexistente de expirado de já usado:
+ * os três levam à mesma ação do usuário, e detalhar transformaria isto num
+ * oráculo para quem tenta adivinhar token.
  */
+export declare function isResetTokenValid(db: Queryable, token: string, clock?: Nower): Promise<boolean>;
 export declare function resetPassword(db: Db, token: string, newPassword: string, clock?: Nower): Promise<boolean>;
 export {};
 //# sourceMappingURL=password-reset.d.ts.map

package/dist/auth/password-reset.d.ts.map

@@ -1 +1 @@
-{"version":3,"file":"password-reset.d.ts","sourceRoot":"","sources":["../../src/auth/password-reset.ts"],"names":[],"mappings":"AACA,OAAO,KAAK,EAAE,EAAE,EAAE,MAAM,iBAAiB,CAAC;AAM1C,UAAU,KAAK;IACb,GAAG,IAAI,MAAM,CAAC;CACf;AAGD;;;;GAIG;AACH,wBAAsB,oBAAoB,CACxC,EAAE,EAAE,EAAE,EACN,KAAK,EAAE,MAAM,EACb,KAAK,GAAE,KAAkB,GACxB,OAAO,CAAC;IAAE,KAAK,EAAE,MAAM,CAAC;IAAC,MAAM,EAAE,MAAM,CAAA;CAAE,GAAG,IAAI,CAAC,CAcnD;AAED;;;GAGG;AACH,wBAAsB,aAAa,CACjC,EAAE,EAAE,EAAE,EACN,KAAK,EAAE,MAAM,EACb,WAAW,EAAE,MAAM,EACnB,KAAK,GAAE,KAAkB,GACxB,OAAO,CAAC,OAAO,CAAC,CAsBlB"}
+{"version":3,"file":"password-reset.d.ts","sourceRoot":"","sources":["../../src/auth/password-reset.ts"],"names":[],"mappings":"AACA,OAAO,KAAK,EAAE,EAAE,EAAE,SAAS,EAAM,MAAM,iBAAiB,CAAC;AAsBzD,UAAU,KAAK;IACb,GAAG,IAAI,MAAM,CAAC;CACf;AAGD;;;;GAIG;AACH,wBAAsB,oBAAoB,CACxC,EAAE,EAAE,EAAE,EACN,KAAK,EAAE,MAAM,EACb,KAAK,GAAE,KAAkB,GACxB,OAAO,CAAC;IAAE,KAAK,EAAE,MAAM,CAAC;IAAC,MAAM,EAAE,MAAM,CAAA;CAAE,GAAG,IAAI,CAAC,CAmBnD;AAED;;;;;;;GAOG;AACH,wBAAsB,qBAAqB,CACzC,EAAE,EAAE,SAAS,EACb,KAAK,EAAE;IAAE,MAAM,EAAE,MAAM,CAAC;IAAC,QAAQ,EAAE,MAAM,CAAA;CAAE,EAC3C,KAAK,GAAE,KAAkB,GACxB,OAAO,CAAC;IAAE,KAAK,EAAE,MAAM,CAAA;CAAE,CAAC,CAkB5B;AAED;;;;;GAKG;AACH;;;;;;;;;;;GAWG;AACH,wBAAsB,iBAAiB,CACrC,EAAE,EAAE,SAAS,EACb,KAAK,EAAE,MAAM,EACb,KAAK,GAAE,KAAkB,GACxB,OAAO,CAAC,OAAO,CAAC,CASlB;AAED,wBAAsB,aAAa,CACjC,EAAE,EAAE,EAAE,EACN,KAAK,EAAE,MAAM,EACb,WAAW,EAAE,MAAM,EACnB,KAAK,GAAE,KAAkB,GACxB,OAAO,CAAC,OAAO,CAAC,CA0DlB"}

package/dist/auth/password-reset.js

@@ -1,7 +1,23 @@
 import { uuidv7 } from '@baruk/shared';
+import { withContext } from '../db/context.js';
+import { appendAudit } from '../audit/audit.js';
 import { hashPassword } from './password.js';
 import { generateSessionToken, hashToken } from './session-token.js';
-const RESET_TTL_MS = 60 * 60 * 1000; // 1h
+/**
+ * 24h para o link de recuperação.
+ *
+ * Era 1h. O trade-off é real — janela maior é janela maior se a caixa de e-mail
+ * for comprometida —, mas 1h não sobrevive ao uso: quem pede recuperação nem
+ * sempre está com o e-mail aberto, e a API hiberna, então a primeira tentativa
+ * do dia ainda gasta segundos no cold start. Link vencido faz o usuário pedir
+ * outro, e o custo de segurança disso é maior que o da janela: cada reenvio é
+ * mais um link vivo circulando por e-mail.
+ *
+ * O que limita o dano continua valendo: uso único, invalidação no consumo e
+ * revogação das sessões anteriores.
+ */
+const RESET_TTL_MS = 24 * 60 * 60 * 1000;
+const ACTIVATION_TTL_MS = 7 * 24 * 60 * 60 * 1000; // 7 dias — convite, e-mail pode demorar a ser aberto.
 const REAL_CLOCK = { now: () => Date.now() };
 /**
  * Solicita reset. Retorna o token EM CLARO (para compor o link do e-mail) e o
@@ -18,37 +34,149 @@ export async function requestPasswordReset(db, email, clock = REAL_CLOCK) {
     const { token, tokenHash } = generateSessionToken();
     const now = clock.now();
     await db `
-    INSERT INTO password_reset (id, user_id, token_hash, expires_at)
-    VALUES (${uuidv7()}, ${user.id}, ${tokenHash}, ${new Date(now + RESET_TTL_MS)})
+    INSERT INTO password_reset (id, user_id, token_hash, purpose, expires_at)
+    VALUES (${uuidv7()}, ${user.id}, ${tokenHash}, 'reset', ${new Date(now + RESET_TTL_MS)})
   `;
+    await auditBestEffort(db, user.id, {
+        action: 'password_reset_requested',
+        resourceType: 'user',
+        resourceId: user.id,
+    });
     return { token, userId: user.id };
 }
+/**
+ * Emite o token de primeiro acesso para um usuário recém-convidado (chamado
+ * por `inviteUser`, já dentro do contexto do tenant que convidou). Mesmo
+ * mecanismo de `requestPasswordReset`, com `purpose='activation'` e TTL maior
+ * — e o `tenant_id` guardado no token, porque `resetPassword` roda sem sessão
+ * autenticada e precisa reabrir o contexto de RLS certo para ativar a
+ * membership.
+ */
+export async function createActivationToken(db, input, clock = REAL_CLOCK) {
+    const { token, tokenHash } = generateSessionToken();
+    const now = clock.now();
+    // Reemitir invalida o convite anterior: um usuário tem no máximo um convite
+    // vivo por vez. Sem isto, cada reenvio deixava mais um token válido por 7
+    // dias — e um link que vazou (encaminhado, colado num chat, capturado numa
+    // screenshot) continuaria abrindo a conta mesmo depois de reemitido.
+    await db `
+    UPDATE password_reset SET used_at = now()
+     WHERE user_id = ${input.userId} AND purpose = 'activation' AND used_at IS NULL
+  `;
+    await db `
+    INSERT INTO password_reset (id, user_id, token_hash, purpose, tenant_id, expires_at)
+    VALUES (${uuidv7()}, ${input.userId}, ${tokenHash}, 'activation', ${input.tenantId}, ${new Date(now + ACTIVATION_TTL_MS)})
+  `;
+    return { token };
+}
 /**
  * Redefine a senha usando um token válido (não usado, não expirado). Marca o
  * token como usado, limpa `must_change_password` e revoga sessões anteriores.
+ * Quando o token é de ativação (`purpose='activation'`), também ativa o
+ * usuário e a membership que o convite deixou em `invited`.
  */
+/**
+ * O token ainda vale? **Não consome.**
+ *
+ * Existe para a tela de ativação decidir o que mostrar antes de o usuário
+ * digitar. Sem isto, quem clicava num convite antigo preenchia senha, confirmava
+ * e só então descobria que o link não servia — e a tela seguia oferecendo o
+ * formulário como se a próxima tentativa pudesse dar certo.
+ *
+ * Devolve só um booleano. Não distingue inexistente de expirado de já usado:
+ * os três levam à mesma ação do usuário, e detalhar transformaria isto num
+ * oráculo para quem tenta adivinhar token.
+ */
+export async function isResetTokenValid(db, token, clock = REAL_CLOCK) {
+    const rows = await db `
+    SELECT id FROM password_reset
+     WHERE token_hash = ${hashToken(token)}
+       AND used_at IS NULL
+       AND expires_at > ${new Date(clock.now())}
+     LIMIT 1
+  `;
+    return rows.length > 0;
+}
 export async function resetPassword(db, token, newPassword, clock = REAL_CLOCK) {
     if (newPassword.length < 8)
         return false;
     const th = hashToken(token);
     const rows = await db `
-    SELECT id, user_id FROM password_reset
+    SELECT id, user_id, purpose, tenant_id FROM password_reset
     WHERE token_hash = ${th} AND used_at IS NULL AND expires_at > ${new Date(clock.now())}
   `;
     const reset = rows[0];
-    if (!reset)
+    if (!reset) {
+        // Token existe mas expirou/já foi usado (distinto de token nunca emitido,
+        // que não é auditável — não há usuário a quem atribuir a tentativa).
+        const stale = await db `
+      SELECT user_id FROM password_reset WHERE token_hash = ${th}
+    `;
+        if (stale[0]) {
+            await auditBestEffort(db, stale[0].user_id, {
+                action: 'password_reset_failed',
+                resourceType: 'user',
+                resourceId: stale[0].user_id,
+            });
+        }
         return false;
+    }
     await db.begin(async (tx) => {
-        await tx `
-      INSERT INTO user_credential (user_id, password_hash, must_change_password)
-      VALUES (${reset.user_id}, ${hashPassword(newPassword)}, false)
-      ON CONFLICT (user_id) DO UPDATE
-        SET password_hash = EXCLUDED.password_hash, must_change_password = false, updated_at = now()
-    `;
+        // Upsert via função SECURITY DEFINER (0024) — o papel de app só tem INSERT
+        // em user_credential (anti account-takeover, 0011); trocar uma senha já
+        // existente exige essa porta estreita e nomeada, nunca um UPDATE genérico.
+        await tx `SELECT set_user_password(${reset.user_id}, ${hashPassword(newPassword)}, false)`;
         await tx `UPDATE password_reset SET used_at = now() WHERE id = ${reset.id}`;
         // Revoga sessões anteriores (uso único de fato).
         await tx `UPDATE user_session SET revoked_at = now() WHERE user_id = ${reset.user_id} AND revoked_at IS NULL`;
+        if (reset.purpose === 'activation' && reset.tenant_id) {
+            await tx `UPDATE "user" SET status = 'active' WHERE id = ${reset.user_id} AND status = 'invited'`;
+            await tx `select set_config('app.current_tenant', ${reset.tenant_id}, true)`;
+            await tx `select set_config('app.current_user', ${reset.user_id}, true)`;
+            await tx `
+        UPDATE membership SET status = 'active', updated_at = now()
+        WHERE user_id = ${reset.user_id} AND tenant_id = ${reset.tenant_id} AND status = 'invited'
+      `;
+            await appendAudit(tx, {
+                actorId: reset.user_id,
+                action: 'activation_completed',
+                resourceType: 'user',
+                resourceId: reset.user_id,
+            });
+        }
+        else {
+            await auditWithinResolvedTenant(tx, reset.user_id, {
+                action: 'password_reset_completed',
+                resourceType: 'user',
+                resourceId: reset.user_id,
+            });
+        }
     });
     return true;
 }
+/**
+ * Auditoria best-effort para ações globais (login ainda não escolheu tenant,
+ * ou nem há sessão). Só grava se o usuário tiver exatamente uma membership
+ * ativa resolvível — mesmo critério de auto-seleção usado em `login()`. Sem
+ * isso, a ação simplesmente não é auditada (não há tenant_id para a RLS de
+ * `audit_log` aceitar a linha) — comportamento documentado, não um bug.
+ */
+async function auditBestEffort(db, userId, entry) {
+    const memberships = await db `
+    SELECT tenant_id FROM membership WHERE user_id = ${userId} AND status = 'active' AND deleted_at IS NULL
+  `;
+    if (memberships.length !== 1)
+        return;
+    await withContext(db, { tenantId: memberships[0].tenant_id, userId }, (tx) => appendAudit(tx, { ...entry, actorId: userId }));
+}
+async function auditWithinResolvedTenant(tx, userId, entry) {
+    const memberships = await tx `
+    SELECT tenant_id FROM membership WHERE user_id = ${userId} AND status = 'active' AND deleted_at IS NULL
+  `;
+    if (memberships.length !== 1)
+        return;
+    await tx `select set_config('app.current_tenant', ${memberships[0].tenant_id}, true)`;
+    await tx `select set_config('app.current_user', ${userId}, true)`;
+    await appendAudit(tx, { ...entry, actorId: userId });
+}
 //# sourceMappingURL=password-reset.js.map

package/dist/auth/password-reset.js.map

@@ -1 +1 @@
-{"version":3,"file":"password-reset.js","sourceRoot":"","sources":["../../src/auth/password-reset.ts"],"names":[],"mappings":"AAAA,OAAO,EAAE,MAAM,EAAE,MAAM,eAAe,CAAC;AAEvC,OAAO,EAAE,YAAY,EAAE,MAAM,eAAe,CAAC;AAC7C,OAAO,EAAE,oBAAoB,EAAE,SAAS,EAAE,MAAM,oBAAoB,CAAC;AAErE,MAAM,YAAY,GAAG,EAAE,GAAG,EAAE,GAAG,IAAI,CAAC,CAAC,KAAK;AAK1C,MAAM,UAAU,GAAU,EAAE,GAAG,EAAE,GAAG,EAAE,CAAC,IAAI,CAAC,GAAG,EAAE,EAAE,CAAC;AAEpD;;;;GAIG;AACH,MAAM,CAAC,KAAK,UAAU,oBAAoB,CACxC,EAAM,EACN,KAAa,EACb,QAAe,UAAU;IAEzB,MAAM,KAAK,GAAG,MAAM,EAAE,CAAkC;kDACR,KAAK;GACpD,CAAC;IACF,MAAM,IAAI,GAAG,KAAK,CAAC,CAAC,CAAC,CAAC;IACtB,IAAI,CAAC,IAAI,IAAI,IAAI,CAAC,MAAM,KAAK,UAAU;QAAE,OAAO,IAAI,CAAC;IAErD,MAAM,EAAE,KAAK,EAAE,SAAS,EAAE,GAAG,oBAAoB,EAAE,CAAC;IACpD,MAAM,GAAG,GAAG,KAAK,CAAC,GAAG,EAAE,CAAC;IACxB,MAAM,EAAE,CAAA;;cAEI,MAAM,EAAE,KAAK,IAAI,CAAC,EAAE,KAAK,SAAS,KAAK,IAAI,IAAI,CAAC,GAAG,GAAG,YAAY,CAAC;GAC9E,CAAC;IACF,OAAO,EAAE,KAAK,EAAE,MAAM,EAAE,IAAI,CAAC,EAAE,EAAE,CAAC;AACpC,CAAC;AAED;;;GAGG;AACH,MAAM,CAAC,KAAK,UAAU,aAAa,CACjC,EAAM,EACN,KAAa,EACb,WAAmB,EACnB,QAAe,UAAU;IAEzB,IAAI,WAAW,CAAC,MAAM,GAAG,CAAC;QAAE,OAAO,KAAK,CAAC;IACzC,MAAM,EAAE,GAAG,SAAS,CAAC,KAAK,CAAC,CAAC;IAC5B,MAAM,IAAI,GAAG,MAAM,EAAE,CAAmC;;yBAEjC,EAAE,yCAAyC,IAAI,IAAI,CAAC,KAAK,CAAC,GAAG,EAAE,CAAC;GACtF,CAAC;IACF,MAAM,KAAK,GAAG,IAAI,CAAC,CAAC,CAAC,CAAC;IACtB,IAAI,CAAC,KAAK;QAAE,OAAO,KAAK,CAAC;IAEzB,MAAM,EAAE,CAAC,KAAK,CAAC,KAAK,EAAE,EAAE,EAAE,EAAE;QAC1B,MAAM,EAAE,CAAA;;gBAEI,KAAK,CAAC,OAAO,KAAK,YAAY,CAAC,WAAW,CAAC;;;KAGtD,CAAC;QACF,MAAM,EAAE,CAAA,wDAAwD,KAAK,CAAC,EAAE,EAAE,CAAC;QAC3E,iDAAiD;QACjD,MAAM,EAAE,CAAA,8DAA8D,KAAK,CAAC,OAAO,yBAAyB,CAAC;IAC/G,CAAC,CAAC,CAAC;IACH,OAAO,IAAI,CAAC;AACd,CAAC"}
+{"version":3,"file":"password-reset.js","sourceRoot":"","sources":["../../src/auth/password-reset.ts"],"names":[],"mappings":"AAAA,OAAO,EAAE,MAAM,EAAE,MAAM,eAAe,CAAC;AAEvC,OAAO,EAAE,WAAW,EAAE,MAAM,kBAAkB,CAAC;AAC/C,OAAO,EAAE,WAAW,EAAE,MAAM,mBAAmB,CAAC;AAChD,OAAO,EAAE,YAAY,EAAE,MAAM,eAAe,CAAC;AAC7C,OAAO,EAAE,oBAAoB,EAAE,SAAS,EAAE,MAAM,oBAAoB,CAAC;AAErE;;;;;;;;;;;;GAYG;AACH,MAAM,YAAY,GAAG,EAAE,GAAG,EAAE,GAAG,EAAE,GAAG,IAAI,CAAC;AACzC,MAAM,iBAAiB,GAAG,CAAC,GAAG,EAAE,GAAG,EAAE,GAAG,EAAE,GAAG,IAAI,CAAC,CAAC,sDAAsD;AAKzG,MAAM,UAAU,GAAU,EAAE,GAAG,EAAE,GAAG,EAAE,CAAC,IAAI,CAAC,GAAG,EAAE,EAAE,CAAC;AAEpD;;;;GAIG;AACH,MAAM,CAAC,KAAK,UAAU,oBAAoB,CACxC,EAAM,EACN,KAAa,EACb,QAAe,UAAU;IAEzB,MAAM,KAAK,GAAG,MAAM,EAAE,CAAkC;kDACR,KAAK;GACpD,CAAC;IACF,MAAM,IAAI,GAAG,KAAK,CAAC,CAAC,CAAC,CAAC;IACtB,IAAI,CAAC,IAAI,IAAI,IAAI,CAAC,MAAM,KAAK,UAAU;QAAE,OAAO,IAAI,CAAC;IAErD,MAAM,EAAE,KAAK,EAAE,SAAS,EAAE,GAAG,oBAAoB,EAAE,CAAC;IACpD,MAAM,GAAG,GAAG,KAAK,CAAC,GAAG,EAAE,CAAC;IACxB,MAAM,EAAE,CAAA;;cAEI,MAAM,EAAE,KAAK,IAAI,CAAC,EAAE,KAAK,SAAS,cAAc,IAAI,IAAI,CAAC,GAAG,GAAG,YAAY,CAAC;GACvF,CAAC;IACF,MAAM,eAAe,CAAC,EAAE,EAAE,IAAI,CAAC,EAAE,EAAE;QACjC,MAAM,EAAE,0BAA0B;QAClC,YAAY,EAAE,MAAM;QACpB,UAAU,EAAE,IAAI,CAAC,EAAE;KACpB,CAAC,CAAC;IACH,OAAO,EAAE,KAAK,EAAE,MAAM,EAAE,IAAI,CAAC,EAAE,EAAE,CAAC;AACpC,CAAC;AAED;;;;;;;GAOG;AACH,MAAM,CAAC,KAAK,UAAU,qBAAqB,CACzC,EAAa,EACb,KAA2C,EAC3C,QAAe,UAAU;IAEzB,MAAM,EAAE,KAAK,EAAE,SAAS,EAAE,GAAG,oBAAoB,EAAE,CAAC;IACpD,MAAM,GAAG,GAAG,KAAK,CAAC,GAAG,EAAE,CAAC;IAExB,4EAA4E;IAC5E,0EAA0E;IAC1E,2EAA2E;IAC3E,qEAAqE;IACrE,MAAM,EAAE,CAAA;;uBAEa,KAAK,CAAC,MAAM;GAChC,CAAC;IAEF,MAAM,EAAE,CAAA;;cAEI,MAAM,EAAE,KAAK,KAAK,CAAC,MAAM,KAAK,SAAS,mBAAmB,KAAK,CAAC,QAAQ,KAAK,IAAI,IAAI,CAAC,GAAG,GAAG,iBAAiB,CAAC;GACzH,CAAC;IACF,OAAO,EAAE,KAAK,EAAE,CAAC;AACnB,CAAC;AAED;;;;;GAKG;AACH;;;;;;;;;;;GAWG;AACH,MAAM,CAAC,KAAK,UAAU,iBAAiB,CACrC,EAAa,EACb,KAAa,EACb,QAAe,UAAU;IAEzB,MAAM,IAAI,GAAG,MAAM,EAAE,CAAkB;;0BAEf,SAAS,CAAC,KAAK,CAAC;;0BAEhB,IAAI,IAAI,CAAC,KAAK,CAAC,GAAG,EAAE,CAAC;;GAE5C,CAAC;IACF,OAAO,IAAI,CAAC,MAAM,GAAG,CAAC,CAAC;AACzB,CAAC;AAED,MAAM,CAAC,KAAK,UAAU,aAAa,CACjC,EAAM,EACN,KAAa,EACb,WAAmB,EACnB,QAAe,UAAU;IAEzB,IAAI,WAAW,CAAC,MAAM,GAAG,CAAC;QAAE,OAAO,KAAK,CAAC;IACzC,MAAM,EAAE,GAAG,SAAS,CAAC,KAAK,CAAC,CAAC;IAC5B,MAAM,IAAI,GAAG,MAAM,EAAE,CAEpB;;yBAEsB,EAAE,yCAAyC,IAAI,IAAI,CAAC,KAAK,CAAC,GAAG,EAAE,CAAC;GACtF,CAAC;IACF,MAAM,KAAK,GAAG,IAAI,CAAC,CAAC,CAAC,CAAC;IACtB,IAAI,CAAC,KAAK,EAAE,CAAC;QACX,0EAA0E;QAC1E,qEAAqE;QACrE,MAAM,KAAK,GAAG,MAAM,EAAE,CAAuB;8DACa,EAAE;KAC3D,CAAC;QACF,IAAI,KAAK,CAAC,CAAC,CAAC,EAAE,CAAC;YACb,MAAM,eAAe,CAAC,EAAE,EAAE,KAAK,CAAC,CAAC,CAAC,CAAC,OAAO,EAAE;gBAC1C,MAAM,EAAE,uBAAuB;gBAC/B,YAAY,EAAE,MAAM;gBACpB,UAAU,EAAE,KAAK,CAAC,CAAC,CAAC,CAAC,OAAO;aAC7B,CAAC,CAAC;QACL,CAAC;QACD,OAAO,KAAK,CAAC;IACf,CAAC;IAED,MAAM,EAAE,CAAC,KAAK,CAAC,KAAK,EAAE,EAAE,EAAE,EAAE;QAC1B,2EAA2E;QAC3E,wEAAwE;QACxE,2EAA2E;QAC3E,MAAM,EAAE,CAAA,4BAA4B,KAAK,CAAC,OAAO,KAAK,YAAY,CAAC,WAAW,CAAC,UAAU,CAAC;QAC1F,MAAM,EAAE,CAAA,wDAAwD,KAAK,CAAC,EAAE,EAAE,CAAC;QAC3E,iDAAiD;QACjD,MAAM,EAAE,CAAA,8DAA8D,KAAK,CAAC,OAAO,yBAAyB,CAAC;QAE7G,IAAI,KAAK,CAAC,OAAO,KAAK,YAAY,IAAI,KAAK,CAAC,SAAS,EAAE,CAAC;YACtD,MAAM,EAAE,CAAA,kDAAkD,KAAK,CAAC,OAAO,yBAAyB,CAAC;YACjG,MAAM,EAAE,CAAA,2CAA2C,KAAK,CAAC,SAAS,SAAS,CAAC;YAC5E,MAAM,EAAE,CAAA,yCAAyC,KAAK,CAAC,OAAO,SAAS,CAAC;YACxE,MAAM,EAAE,CAAA;;0BAEY,KAAK,CAAC,OAAO,oBAAoB,KAAK,CAAC,SAAS;OACnE,CAAC;YACF,MAAM,WAAW,CAAC,EAAE,EAAE;gBACpB,OAAO,EAAE,KAAK,CAAC,OAAO;gBACtB,MAAM,EAAE,sBAAsB;gBAC9B,YAAY,EAAE,MAAM;gBACpB,UAAU,EAAE,KAAK,CAAC,OAAO;aAC1B,CAAC,CAAC;QACL,CAAC;aAAM,CAAC;YACN,MAAM,yBAAyB,CAAC,EAAE,EAAE,KAAK,CAAC,OAAO,EAAE;gBACjD,MAAM,EAAE,0BAA0B;gBAClC,YAAY,EAAE,MAAM;gBACpB,UAAU,EAAE,KAAK,CAAC,OAAO;aAC1B,CAAC,CAAC;QACL,CAAC;IACH,CAAC,CAAC,CAAC;IACH,OAAO,IAAI,CAAC;AACd,CAAC;AAED;;;;;;GAMG;AACH,KAAK,UAAU,eAAe,CAC5B,EAAM,EACN,MAAc,EACd,KAAyD;IAEzD,MAAM,WAAW,GAAG,MAAM,EAAE,CAAyB;uDACA,MAAM;GAC1D,CAAC;IACF,IAAI,WAAW,CAAC,MAAM,KAAK,CAAC;QAAE,OAAO;IACrC,MAAM,WAAW,CAAC,EAAE,EAAE,EAAE,QAAQ,EAAE,WAAW,CAAC,CAAC,CAAE,CAAC,SAAS,EAAE,MAAM,EAAE,EAAE,CAAC,EAAE,EAAE,EAAE,CAC5E,WAAW,CAAC,EAAE,EAAE,EAAE,GAAG,KAAK,EAAE,OAAO,EAAE,MAAM,EAAE,CAAC,CAC/C,CAAC;AACJ,CAAC;AAED,KAAK,UAAU,yBAAyB,CACtC,EAAM,EACN,MAAc,EACd,KAAyD;IAEzD,MAAM,WAAW,GAAG,MAAM,EAAE,CAAyB;uDACA,MAAM;GAC1D,CAAC;IACF,IAAI,WAAW,CAAC,MAAM,KAAK,CAAC;QAAE,OAAO;IACrC,MAAM,EAAE,CAAA,2CAA2C,WAAW,CAAC,CAAC,CAAE,CAAC,SAAS,SAAS,CAAC;IACtF,MAAM,EAAE,CAAA,yCAAyC,MAAM,SAAS,CAAC;IACjE,MAAM,WAAW,CAAC,EAAE,EAAE,EAAE,GAAG,KAAK,EAAE,OAAO,EAAE,MAAM,EAAE,CAAC,CAAC;AACvD,CAAC"}

package/dist/auth/service.d.ts

@@ -20,6 +20,8 @@ export interface LoginResult {
     memberships: MembershipView[];
     /** Preenchido quando o usuário tem exatamente um tenant (auto-seleção). */
     activeTenantId: string | null;
+    /** Senha provisória/de convite — a UI deve forçar a troca antes de liberar o resto. */
+    mustChangePassword: boolean;
 }
 /** Contexto autenticado e já resolvido a um tenant (o que a API injeta por request). */
 export interface AuthContext {
@@ -29,17 +31,39 @@ export interface AuthContext {
     permissions: Set<string>;
     /** Para usuários de portal: o client ao qual estão restritos (row-scope). */
     clientId?: string;
+    /** Quando true, `makeAuthGuard` bloqueia toda rota que não seja isenta explicitamente. */
+    mustChangePassword: boolean;
 }
 interface Nower {
     now(): number;
 }
-/** Cria (ou atualiza) um usuário staff com senha local. Usado pelo seed. */
+/**
+ * Cria (ou atualiza) um usuário staff com senha local. Usado pelos seeds.
+ *
+ * **A senha de um usuário que já existe é preservada por padrão.** Um seed de
+ * inicialização é, por natureza, algo que pode rodar de novo — em um deploy, em
+ * uma reconstrução de ambiente, na mão de alguém investigando. Se ele redefinir
+ * a senha em silêncio, quem administra o ambiente perde o acesso sem receber
+ * erro nenhum, e a causa é invisível: o seed "funcionou".
+ *
+ * Foi exatamente essa a armadilha encontrada em 2026-08-12, quando o
+ * `SEED_ADMIN_PASSWORD` do serviço divergiu do valor guardado no cofre. Rodar
+ * `db:seed` com o ambiente errado teria trocado a senha do administrador sem
+ * um aviso sequer.
+ *
+ * Para redefinir deliberadamente, passe `overwritePassword: true` — o nome
+ * torna a intenção explícita em quem chama, que é onde ela deve estar.
+ */
 export declare function upsertUserWithPassword(db: Db, input: {
     email: string;
     fullName: string;
     password: string;
     userType?: UserType;
-}): Promise<AuthUser>;
+    /** Redefine a senha de um usuário já existente. Default: `false`. */
+    overwritePassword?: boolean;
+}): Promise<AuthUser & {
+    passwordWasSet: boolean;
+}>;
 /** Login com e-mail/senha. Emite sessão; auto-seleciona tenant se houver só um. */
 export declare function login(db: Db, input: {
     email: string;
@@ -66,5 +90,18 @@ export declare function sessionProducts(db: Db, token: string): Promise<{
 }>;
 /** Revoga a sessão (logout). */
 export declare function logout(db: Db, token: string): Promise<void>;
+/**
+ * Troca de senha em sessão autenticada (exige a senha atual — distinto do
+ * fluxo de token de `resetPassword`). Cobre tanto a troca voluntária quanto a
+ * troca obrigatória de `must_change_password`; a sessão corrente permanece
+ * válida (não é o cenário de "conta pode estar comprometida" do reset).
+ */
+export declare function changePassword(db: Db, auth: {
+    userId: string;
+    tenantId: string;
+}, input: {
+    currentPassword: string;
+    newPassword: string;
+} & AuditContext): Promise<void>;
 export {};
 //# sourceMappingURL=service.d.ts.map

package/dist/auth/service.d.ts.map

@@ -1 +1 @@
-{"version":3,"file":"service.d.ts","sourceRoot":"","sources":["../../src/auth/service.ts"],"names":[],"mappings":"AAAA,OAAO,EAA6C,KAAK,QAAQ,EAAE,MAAM,eAAe,CAAC;AACzF,OAAO,KAAK,EAAE,YAAY,EAAE,MAAM,eAAe,CAAC;AAClD,OAAO,KAAK,EAAE,EAAE,EAAE,MAAM,iBAAiB,CAAC;AAK1C,OAAO,EAAuB,KAAK,aAAa,EAAE,MAAM,2BAA2B,CAAC;AAMpF,MAAM,WAAW,QAAQ;IACvB,EAAE,EAAE,MAAM,CAAC;IACX,KAAK,EAAE,MAAM,CAAC;IACd,QAAQ,EAAE,MAAM,CAAC;IACjB,QAAQ,EAAE,QAAQ,CAAC;CACpB;AAED,MAAM,WAAW,cAAc;IAC7B,QAAQ,EAAE,MAAM,CAAC;IACjB,UAAU,EAAE,MAAM,CAAC;IACnB,UAAU,EAAE,MAAM,CAAC;IACnB,MAAM,EAAE,MAAM,CAAC;CAChB;AAED,MAAM,WAAW,WAAW;IAC1B,KAAK,EAAE,MAAM,CAAC;IACd,IAAI,EAAE,QAAQ,CAAC;IACf,WAAW,EAAE,cAAc,EAAE,CAAC;IAC9B,2EAA2E;IAC3E,cAAc,EAAE,MAAM,GAAG,IAAI,CAAC;CAC/B;AAED,wFAAwF;AACxF,MAAM,WAAW,WAAW;IAC1B,MAAM,EAAE,MAAM,CAAC;IACf,QAAQ,EAAE,QAAQ,CAAC;IACnB,QAAQ,EAAE,MAAM,CAAC;IACjB,WAAW,EAAE,GAAG,CAAC,MAAM,CAAC,CAAC;IACzB,6EAA6E;IAC7E,QAAQ,CAAC,EAAE,MAAM,CAAC;CACnB;AAED,UAAU,KAAK;IACb,GAAG,IAAI,MAAM,CAAC;CACf;AAGD,4EAA4E;AAC5E,wBAAsB,sBAAsB,CAC1C,EAAE,EAAE,EAAE,EACN,KAAK,EAAE;IAAE,KAAK,EAAE,MAAM,CAAC;IAAC,QAAQ,EAAE,MAAM,CAAC;IAAC,QAAQ,EAAE,MAAM,CAAC;IAAC,QAAQ,CAAC,EAAE,QAAQ,CAAA;CAAE,GAChF,OAAO,CAAC,QAAQ,CAAC,CAoBnB;AAED,mFAAmF;AACnF,wBAAsB,KAAK,CACzB,EAAE,EAAE,EAAE,EACN,KAAK,EAAE;IAAE,KAAK,EAAE,MAAM,CAAC;IAAC,QAAQ,EAAE,MAAM,CAAA;CAAE,GAAG,YAAY,EACzD,KAAK,GAAE,KAAkB,GACxB,OAAO,CAAC,WAAW,CAAC,CAkDtB;AAED,qFAAqF;AACrF,wBAAsB,eAAe,CAAC,EAAE,EAAE,EAAE,EAAE,MAAM,EAAE,MAAM,GAAG,OAAO,CAAC,cAAc,EAAE,CAAC,CAkBvF;AAED,0EAA0E;AAC1E,wBAAsB,YAAY,CAChC,EAAE,EAAE,EAAE,EACN,KAAK,EAAE;IAAE,KAAK,EAAE,MAAM,CAAC;IAAC,QAAQ,EAAE,MAAM,CAAA;CAAE,GAAG,YAAY,GACxD,OAAO,CAAC,WAAW,CAAC,CA2BtB;AAED;;;GAGG;AACH,wBAAsB,YAAY,CAChC,EAAE,EAAE,EAAE,EACN,KAAK,EAAE,MAAM,EACb,KAAK,GAAE,KAAkB,GACxB,OAAO,CAAC,WAAW,CAAC,CAmBtB;AA2BD,oFAAoF;AACpF,wBAAsB,kBAAkB,CAAC,EAAE,EAAE,EAAE,EAAE,KAAK,EAAE,MAAM,GAAG,OAAO,CAAC,cAAc,EAAE,CAAC,CAGzF;AAED,wFAAwF;AACxF,wBAAsB,eAAe,CACnC,EAAE,EAAE,EAAE,EACN,KAAK,EAAE,MAAM,GACZ,OAAO,CAAC;IAAE,QAAQ,EAAE,QAAQ,CAAC;IAAC,QAAQ,EAAE,aAAa,EAAE,CAAA;CAAE,CAAC,CAM5D;AAED,gCAAgC;AAChC,wBAAsB,MAAM,CAAC,EAAE,EAAE,EAAE,EAAE,KAAK,EAAE,MAAM,GAAG,OAAO,CAAC,IAAI,CAAC,CAEjE"}
+{"version":3,"file":"service.d.ts","sourceRoot":"","sources":["../../src/auth/service.ts"],"names":[],"mappings":"AAAA,OAAO,EAKL,KAAK,QAAQ,EACd,MAAM,eAAe,CAAC;AACvB,OAAO,KAAK,EAAE,YAAY,EAAE,MAAM,eAAe,CAAC;AAClD,OAAO,KAAK,EAAE,EAAE,EAAE,MAAM,iBAAiB,CAAC;AAK1C,OAAO,EAAuB,KAAK,aAAa,EAAE,MAAM,2BAA2B,CAAC;AAMpF,MAAM,WAAW,QAAQ;IACvB,EAAE,EAAE,MAAM,CAAC;IACX,KAAK,EAAE,MAAM,CAAC;IACd,QAAQ,EAAE,MAAM,CAAC;IACjB,QAAQ,EAAE,QAAQ,CAAC;CACpB;AAED,MAAM,WAAW,cAAc;IAC7B,QAAQ,EAAE,MAAM,CAAC;IACjB,UAAU,EAAE,MAAM,CAAC;IACnB,UAAU,EAAE,MAAM,CAAC;IACnB,MAAM,EAAE,MAAM,CAAC;CAChB;AAED,MAAM,WAAW,WAAW;IAC1B,KAAK,EAAE,MAAM,CAAC;IACd,IAAI,EAAE,QAAQ,CAAC;IACf,WAAW,EAAE,cAAc,EAAE,CAAC;IAC9B,2EAA2E;IAC3E,cAAc,EAAE,MAAM,GAAG,IAAI,CAAC;IAC9B,uFAAuF;IACvF,kBAAkB,EAAE,OAAO,CAAC;CAC7B;AAED,wFAAwF;AACxF,MAAM,WAAW,WAAW;IAC1B,MAAM,EAAE,MAAM,CAAC;IACf,QAAQ,EAAE,QAAQ,CAAC;IACnB,QAAQ,EAAE,MAAM,CAAC;IACjB,WAAW,EAAE,GAAG,CAAC,MAAM,CAAC,CAAC;IACzB,6EAA6E;IAC7E,QAAQ,CAAC,EAAE,MAAM,CAAC;IAClB,0FAA0F;IAC1F,kBAAkB,EAAE,OAAO,CAAC;CAC7B;AAED,UAAU,KAAK;IACb,GAAG,IAAI,MAAM,CAAC;CACf;AAGD;;;;;;;;;;;;;;;;GAgBG;AACH,wBAAsB,sBAAsB,CAC1C,EAAE,EAAE,EAAE,EACN,KAAK,EAAE;IACL,KAAK,EAAE,MAAM,CAAC;IACd,QAAQ,EAAE,MAAM,CAAC;IACjB,QAAQ,EAAE,MAAM,CAAC;IACjB,QAAQ,CAAC,EAAE,QAAQ,CAAC;IACpB,qEAAqE;IACrE,iBAAiB,CAAC,EAAE,OAAO,CAAC;CAC7B,GACA,OAAO,CAAC,QAAQ,GAAG;IAAE,cAAc,EAAE,OAAO,CAAA;CAAE,CAAC,CAkCjD;AAED,mFAAmF;AACnF,wBAAsB,KAAK,CACzB,EAAE,EAAE,EAAE,EACN,KAAK,EAAE;IAAE,KAAK,EAAE,MAAM,CAAC;IAAC,QAAQ,EAAE,MAAM,CAAA;CAAE,GAAG,YAAY,EACzD,KAAK,GAAE,KAAkB,GACxB,OAAO,CAAC,WAAW,CAAC,CAoDtB;AAED,qFAAqF;AACrF,wBAAsB,eAAe,CAAC,EAAE,EAAE,EAAE,EAAE,MAAM,EAAE,MAAM,GAAG,OAAO,CAAC,cAAc,EAAE,CAAC,CAkBvF;AAED,0EAA0E;AAC1E,wBAAsB,YAAY,CAChC,EAAE,EAAE,EAAE,EACN,KAAK,EAAE;IAAE,KAAK,EAAE,MAAM,CAAC;IAAC,QAAQ,EAAE,MAAM,CAAA;CAAE,GAAG,YAAY,GACxD,OAAO,CAAC,WAAW,CAAC,CA4BtB;AAED;;;GAGG;AACH,wBAAsB,YAAY,CAChC,EAAE,EAAE,EAAE,EACN,KAAK,EAAE,MAAM,EACb,KAAK,GAAE,KAAkB,GACxB,OAAO,CAAC,WAAW,CAAC,CAoBtB;AA8BD,oFAAoF;AACpF,wBAAsB,kBAAkB,CAAC,EAAE,EAAE,EAAE,EAAE,KAAK,EAAE,MAAM,GAAG,OAAO,CAAC,cAAc,EAAE,CAAC,CAGzF;AAED,wFAAwF;AACxF,wBAAsB,eAAe,CACnC,EAAE,EAAE,EAAE,EACN,KAAK,EAAE,MAAM,GACZ,OAAO,CAAC;IAAE,QAAQ,EAAE,QAAQ,CAAC;IAAC,QAAQ,EAAE,aAAa,EAAE,CAAA;CAAE,CAAC,CAM5D;AAED,gCAAgC;AAChC,wBAAsB,MAAM,CAAC,EAAE,EAAE,EAAE,EAAE,KAAK,EAAE,MAAM,GAAG,OAAO,CAAC,IAAI,CAAC,CAEjE;AAED;;;;;GAKG;AACH,wBAAsB,cAAc,CAClC,EAAE,EAAE,EAAE,EACN,IAAI,EAAE;IAAE,MAAM,EAAE,MAAM,CAAC;IAAC,QAAQ,EAAE,MAAM,CAAA;CAAE,EAC1C,KAAK,EAAE;IAAE,eAAe,EAAE,MAAM,CAAC;IAAC,WAAW,EAAE,MAAM,CAAA;CAAE,GAAG,YAAY,GACrE,OAAO,CAAC,IAAI,CAAC,CAyBf"}

package/dist/auth/service.js

@@ -1,4 +1,4 @@
-import { ForbiddenError, UnauthorizedError, uuidv7 } from '@baruk/shared';
+import { ForbiddenError, UnauthorizedError, ValidationError, uuidv7, } from '@baruk/shared';
 import { withContext } from '../db/context.js';
 import { appendAudit } from '../audit/audit.js';
 import { loadUserPermissions } from '../rbac/authorize.js';
@@ -8,7 +8,23 @@ import { hashPassword, verifyPassword } from './password.js';
 import { generateSessionToken, hashToken } from './session-token.js';
 const SESSION_TTL_MS = 12 * 60 * 60 * 1000; // 12h
 const REAL_CLOCK = { now: () => Date.now() };
-/** Cria (ou atualiza) um usuário staff com senha local. Usado pelo seed. */
+/**
+ * Cria (ou atualiza) um usuário staff com senha local. Usado pelos seeds.
+ *
+ * **A senha de um usuário que já existe é preservada por padrão.** Um seed de
+ * inicialização é, por natureza, algo que pode rodar de novo — em um deploy, em
+ * uma reconstrução de ambiente, na mão de alguém investigando. Se ele redefinir
+ * a senha em silêncio, quem administra o ambiente perde o acesso sem receber
+ * erro nenhum, e a causa é invisível: o seed "funcionou".
+ *
+ * Foi exatamente essa a armadilha encontrada em 2026-08-12, quando o
+ * `SEED_ADMIN_PASSWORD` do serviço divergiu do valor guardado no cofre. Rodar
+ * `db:seed` com o ambiente errado teria trocado a senha do administrador sem
+ * um aviso sequer.
+ *
+ * Para redefinir deliberadamente, passe `overwritePassword: true` — o nome
+ * torna a intenção explícita em quem chama, que é onde ela deve estar.
+ */
 export async function upsertUserWithPassword(db, input) {
     const rows = await db `
     INSERT INTO "user" (id, email, full_name, user_type, auth_provider)
@@ -18,16 +34,28 @@ export async function upsertUserWithPassword(db, input) {
     RETURNING id
   `;
     const userId = rows[0].id;
-    await db `
-    INSERT INTO user_credential (user_id, password_hash)
-    VALUES (${userId}, ${hashPassword(input.password)})
-    ON CONFLICT (user_id) DO UPDATE SET password_hash = EXCLUDED.password_hash, updated_at = now()
-  `;
+    // `RETURNING` só devolve linha quando o INSERT ou o UPDATE de fato aconteceu:
+    // com `DO NOTHING` e credencial preexistente, o resultado é vazio. É assim que
+    // sabemos, sem uma consulta extra, se a senha foi gravada ou preservada.
+    const written = input.overwritePassword
+        ? await db `
+        INSERT INTO user_credential (user_id, password_hash)
+        VALUES (${userId}, ${hashPassword(input.password)})
+        ON CONFLICT (user_id) DO UPDATE SET password_hash = EXCLUDED.password_hash, updated_at = now()
+        RETURNING user_id
+      `
+        : await db `
+        INSERT INTO user_credential (user_id, password_hash)
+        VALUES (${userId}, ${hashPassword(input.password)})
+        ON CONFLICT (user_id) DO NOTHING
+        RETURNING user_id
+      `;
     return {
         id: userId,
         email: input.email,
         fullName: input.fullName,
         userType: input.userType ?? 'staff',
+        passwordWasSet: written.length > 0,
     };
 }
 /** Login com e-mail/senha. Emite sessão; auto-seleciona tenant se houver só um. */
@@ -41,11 +69,12 @@ export async function login(db, input, clock = REAL_CLOCK) {
         throw new UnauthorizedError('Credenciais inválidas');
     }
     const creds = await db `
-    SELECT password_hash FROM user_credential WHERE user_id = ${user.id}
+    SELECT password_hash, must_change_password FROM user_credential WHERE user_id = ${user.id}
   `;
     if (!creds[0] || !verifyPassword(input.password, creds[0].password_hash)) {
         throw new UnauthorizedError('Credenciais inválidas');
     }
+    const mustChangePassword = creds[0].must_change_password;
     const { token, tokenHash } = generateSessionToken();
     const now = clock.now();
     const sessionId = uuidv7();
@@ -73,6 +102,7 @@ export async function login(db, input, clock = REAL_CLOCK) {
         user: { id: user.id, email: user.email, fullName: user.full_name, userType: user.user_type },
         memberships,
         activeTenantId,
+        mustChangePassword,
     };
 }
 /** Lista os tenants a que o usuário pertence (usa RLS self-clause de membership). */
@@ -119,6 +149,7 @@ export async function selectTenant(db, input) {
             userType: session.user_type,
             tenantId: input.tenantId,
             permissions,
+            mustChangePassword: session.must_change_password,
         };
     });
 }
@@ -139,6 +170,7 @@ export async function authenticate(db, token, clock = REAL_CLOCK) {
             userType: session.user_type,
             tenantId,
             permissions,
+            mustChangePassword: session.must_change_password,
         };
         if (session.user_type === 'client_portal') {
             ctx.clientId = await getPortalClientId(tx, session.user_id);
@@ -148,9 +180,11 @@ export async function authenticate(db, token, clock = REAL_CLOCK) {
 }
 async function resolveSessionRow(db, token, clock = REAL_CLOCK) {
     const rows = await db `
-    SELECT s.id, s.user_id, u.user_type, s.active_tenant_id
+    SELECT s.id, s.user_id, u.user_type, s.active_tenant_id,
+      coalesce(c.must_change_password, false) AS must_change_password
     FROM user_session s
     JOIN "user" u ON u.id = s.user_id
+    LEFT JOIN user_credential c ON c.user_id = u.id
     WHERE s.token_hash = ${hashToken(token)}
       AND s.revoked_at IS NULL
       AND s.expires_at > ${new Date(clock.now())}
@@ -173,7 +207,38 @@ export async function sessionProducts(db, token) {
 }
 /** Revoga a sessão (logout). */
 export async function logout(db, token) {
-    await db `UPDATE user_session SET revoked_at = now() WHERE token_hash = ${hashToken(token)}`;
+    await db `SELECT revoke_user_session(${hashToken(token)})`;
+}
+/**
+ * Troca de senha em sessão autenticada (exige a senha atual — distinto do
+ * fluxo de token de `resetPassword`). Cobre tanto a troca voluntária quanto a
+ * troca obrigatória de `must_change_password`; a sessão corrente permanece
+ * válida (não é o cenário de "conta pode estar comprometida" do reset).
+ */
+export async function changePassword(db, auth, input) {
+    if (input.newPassword.length < 8) {
+        throw new ValidationError('A nova senha deve ter ao menos 8 caracteres');
+    }
+    const creds = await db `
+    SELECT password_hash, must_change_password FROM user_credential WHERE user_id = ${auth.userId}
+  `;
+    if (!creds[0] || !verifyPassword(input.currentPassword, creds[0].password_hash)) {
+        throw new UnauthorizedError('Senha atual incorreta');
+    }
+    const wasForced = creds[0].must_change_password;
+    await withContext(db, { tenantId: auth.tenantId, userId: auth.userId }, async (tx) => {
+        // Upsert via função SECURITY DEFINER (0024) — ver mesmo comentário em
+        // `resetPassword`: o papel de app não tem UPDATE em user_credential.
+        await tx `SELECT set_user_password(${auth.userId}, ${hashPassword(input.newPassword)}, false)`;
+        await appendAudit(tx, {
+            actorId: auth.userId,
+            action: wasForced ? 'mandatory_password_change_completed' : 'password_changed',
+            resourceType: 'user',
+            resourceId: auth.userId,
+            ip: input.ip,
+            userAgent: input.userAgent,
+        });
+    });
 }
 async function auditWithinTenant(db, tenantId, actorId, entry) {
     await withContext(db, { tenantId, userId: actorId }, (tx) => appendAudit(tx, entry));

package/dist/auth/service.js.map

@@ -1 +1 @@
-{"version":3,"file":"service.js","sourceRoot":"","sources":["../../src/auth/service.ts"],"names":[],"mappings":"AAAA,OAAO,EAAE,cAAc,EAAE,iBAAiB,EAAE,MAAM,EAAiB,MAAM,eAAe,CAAC;AAGzF,OAAO,EAAE,WAAW,EAAE,MAAM,kBAAkB,CAAC;AAC/C,OAAO,EAAE,WAAW,EAAE,MAAM,mBAAmB,CAAC;AAChD,OAAO,EAAE,mBAAmB,EAAE,MAAM,sBAAsB,CAAC;AAC3D,OAAO,EAAE,iBAAiB,EAAE,MAAM,yBAAyB,CAAC;AAC5D,OAAO,EAAE,mBAAmB,EAAsB,MAAM,2BAA2B,CAAC;AACpF,OAAO,EAAE,YAAY,EAAE,cAAc,EAAE,MAAM,eAAe,CAAC;AAC7D,OAAO,EAAE,oBAAoB,EAAE,SAAS,EAAE,MAAM,oBAAoB,CAAC;AAErE,MAAM,cAAc,GAAG,EAAE,GAAG,EAAE,GAAG,EAAE,GAAG,IAAI,CAAC,CAAC,MAAM;AAqClD,MAAM,UAAU,GAAU,EAAE,GAAG,EAAE,GAAG,EAAE,CAAC,IAAI,CAAC,GAAG,EAAE,EAAE,CAAC;AAEpD,4EAA4E;AAC5E,MAAM,CAAC,KAAK,UAAU,sBAAsB,CAC1C,EAAM,EACN,KAAiF;IAEjF,MAAM,IAAI,GAAG,MAAM,EAAE,CAAkB;;cAE3B,MAAM,EAAE,KAAK,KAAK,CAAC,KAAK,KAAK,KAAK,CAAC,QAAQ,KAAK,KAAK,CAAC,QAAQ,IAAI,OAAO;;;;GAIpF,CAAC;IACF,MAAM,MAAM,GAAG,IAAI,CAAC,CAAC,CAAE,CAAC,EAAE,CAAC;IAC3B,MAAM,EAAE,CAAA;;cAEI,MAAM,KAAK,YAAY,CAAC,KAAK,CAAC,QAAQ,CAAC;;GAElD,CAAC;IACF,OAAO;QACL,EAAE,EAAE,MAAM;QACV,KAAK,EAAE,KAAK,CAAC,KAAK;QAClB,QAAQ,EAAE,KAAK,CAAC,QAAQ;QACxB,QAAQ,EAAE,KAAK,CAAC,QAAQ,IAAI,OAAO;KACpC,CAAC;AACJ,CAAC;AAED,mFAAmF;AACnF,MAAM,CAAC,KAAK,UAAU,KAAK,CACzB,EAAM,EACN,KAAyD,EACzD,QAAe,UAAU;IAEzB,MAAM,KAAK,GAAG,MAAM,EAAE,CAErB;;gCAE6B,KAAK,CAAC,KAAK;GACxC,CAAC;IACF,MAAM,IAAI,GAAG,KAAK,CAAC,CAAC,CAAC,CAAC;IACtB,IAAI,CAAC,IAAI,IAAI,IAAI,CAAC,MAAM,KAAK,QAAQ,EAAE,CAAC;QACtC,MAAM,IAAI,iBAAiB,CAAC,uBAAuB,CAAC,CAAC;IACvD,CAAC;IACD,MAAM,KAAK,GAAG,MAAM,EAAE,CAA6B;gEACW,IAAI,CAAC,EAAE;GACpE,CAAC;IACF,IAAI,CAAC,KAAK,CAAC,CAAC,CAAC,IAAI,CAAC,cAAc,CAAC,KAAK,CAAC,QAAQ,EAAE,KAAK,CAAC,CAAC,CAAC,CAAC,aAAa,CAAC,EAAE,CAAC;QACzE,MAAM,IAAI,iBAAiB,CAAC,uBAAuB,CAAC,CAAC;IACvD,CAAC;IAED,MAAM,EAAE,KAAK,EAAE,SAAS,EAAE,GAAG,oBAAoB,EAAE,CAAC;IACpD,MAAM,GAAG,GAAG,KAAK,CAAC,GAAG,EAAE,CAAC;IACxB,MAAM,SAAS,GAAG,MAAM,EAAE,CAAC;IAC3B,MAAM,SAAS,GAAG,IAAI,IAAI,CAAC,GAAG,GAAG,cAAc,CAAC,CAAC;IAEjD,MAAM,EAAE,CAAA;;cAEI,SAAS,KAAK,IAAI,CAAC,EAAE,KAAK,SAAS,WAAW,SAAS;GAClE,CAAC;IACF,MAAM,EAAE,CAAA,qCAAqC,IAAI,IAAI,CAAC,GAAG,CAAC,eAAe,IAAI,CAAC,EAAE,EAAE,CAAC;IAEnF,MAAM,WAAW,GAAG,MAAM,eAAe,CAAC,EAAE,EAAE,IAAI,CAAC,EAAE,CAAC,CAAC;IAEvD,IAAI,cAAc,GAAkB,IAAI,CAAC;IACzC,IAAI,WAAW,CAAC,MAAM,KAAK,CAAC,EAAE,CAAC;QAC7B,cAAc,GAAG,WAAW,CAAC,CAAC,CAAE,CAAC,QAAQ,CAAC;QAC1C,MAAM,EAAE,CAAA,8CAA8C,cAAc,eAAe,SAAS,EAAE,CAAC;QAC/F,MAAM,iBAAiB,CAAC,EAAE,EAAE,cAAc,EAAE,IAAI,CAAC,EAAE,EAAE;YACnD,MAAM,EAAE,OAAO;YACf,YAAY,EAAE,cAAc;YAC5B,UAAU,EAAE,SAAS;YACrB,EAAE,EAAE,KAAK,CAAC,EAAE;YACZ,SAAS,EAAE,KAAK,CAAC,SAAS;SAC3B,CAAC,CAAC;IACL,CAAC;IAED,OAAO;QACL,KAAK;QACL,IAAI,EAAE,EAAE,EAAE,EAAE,IAAI,CAAC,EAAE,EAAE,KAAK,EAAE,IAAI,CAAC,KAAK,EAAE,QAAQ,EAAE,IAAI,CAAC,SAAS,EAAE,QAAQ,EAAE,IAAI,CAAC,SAAS,EAAE;QAC5F,WAAW;QACX,cAAc;KACf,CAAC;AACJ,CAAC;AAED,qFAAqF;AACrF,MAAM,CAAC,KAAK,UAAU,eAAe,CAAC,EAAM,EAAE,MAAc;IAC1D,OAAO,WAAW,CAAC,EAAE,EAAE,EAAE,MAAM,EAAE,EAAE,KAAK,EAAE,EAAE,EAAE,EAAE;QAC9C,MAAM,IAAI,GAAG,MAAM,EAAE,CAEpB;;;;0BAIqB,MAAM;;KAE3B,CAAC;QACF,OAAO,IAAI,CAAC,GAAG,CAAC,CAAC,CAAC,EAAE,EAAE,CAAC,CAAC;YACtB,QAAQ,EAAE,CAAC,CAAC,SAAS;YACrB,UAAU,EAAE,CAAC,CAAC,IAAI;YAClB,UAAU,EAAE,CAAC,CAAC,YAAY;YAC1B,MAAM,EAAE,CAAC,CAAC,MAAM;SACjB,CAAC,CAAC,CAAC;IACN,CAAC,CAAC,CAAC;AACL,CAAC;AAED,0EAA0E;AAC1E,MAAM,CAAC,KAAK,UAAU,YAAY,CAChC,EAAM,EACN,KAAyD;IAEzD,MAAM,OAAO,GAAG,MAAM,iBAAiB,CAAC,EAAE,EAAE,KAAK,CAAC,KAAK,CAAC,CAAC;IACzD,MAAM,WAAW,GAAG,MAAM,eAAe,CAAC,EAAE,EAAE,OAAO,CAAC,OAAO,CAAC,CAAC;IAC/D,MAAM,OAAO,GAAG,WAAW,CAAC,IAAI,CAAC,CAAC,CAAC,EAAE,EAAE,CAAC,CAAC,CAAC,QAAQ,KAAK,KAAK,CAAC,QAAQ,CAAC,CAAC;IACvE,IAAI,CAAC,OAAO,EAAE,CAAC;QACb,MAAM,IAAI,cAAc,CAAC,oCAAoC,CAAC,CAAC;IACjE,CAAC;IACD,MAAM,EAAE,CAAA;iDACuC,KAAK,CAAC,QAAQ,eAAe,OAAO,CAAC,EAAE;GACrF,CAAC;IACF,OAAO,WAAW,CAAC,EAAE,EAAE,EAAE,QAAQ,EAAE,KAAK,CAAC,QAAQ,EAAE,MAAM,EAAE,OAAO,CAAC,OAAO,EAAE,EAAE,KAAK,EAAE,EAAE,EAAE,EAAE;QACzF,MAAM,WAAW,GAAG,MAAM,mBAAmB,CAAC,EAAE,EAAE,OAAO,CAAC,OAAO,CAAC,CAAC;QACnE,MAAM,WAAW,CAAC,EAAE,EAAE;YACpB,OAAO,EAAE,OAAO,CAAC,OAAO;YACxB,MAAM,EAAE,eAAe;YACvB,YAAY,EAAE,QAAQ;YACtB,UAAU,EAAE,KAAK,CAAC,QAAQ;YAC1B,EAAE,EAAE,KAAK,CAAC,EAAE;YACZ,SAAS,EAAE,KAAK,CAAC,SAAS;SAC3B,CAAC,CAAC;QACH,OAAO;YACL,MAAM,EAAE,OAAO,CAAC,OAAO;YACvB,QAAQ,EAAE,OAAO,CAAC,SAAS;YAC3B,QAAQ,EAAE,KAAK,CAAC,QAAQ;YACxB,WAAW;SACZ,CAAC;IACJ,CAAC,CAAC,CAAC;AACL,CAAC;AAED;;;GAGG;AACH,MAAM,CAAC,KAAK,UAAU,YAAY,CAChC,EAAM,EACN,KAAa,EACb,QAAe,UAAU;IAEzB,MAAM,OAAO,GAAG,MAAM,iBAAiB,CAAC,EAAE,EAAE,KAAK,EAAE,KAAK,CAAC,CAAC;IAC1D,IAAI,CAAC,OAAO,CAAC,gBAAgB,EAAE,CAAC;QAC9B,MAAM,IAAI,iBAAiB,CAAC,4CAA4C,CAAC,CAAC;IAC5E,CAAC;IACD,MAAM,QAAQ,GAAG,OAAO,CAAC,gBAAgB,CAAC;IAC1C,OAAO,WAAW,CAAC,EAAE,EAAE,EAAE,QAAQ,EAAE,MAAM,EAAE,OAAO,CAAC,OAAO,EAAE,EAAE,KAAK,EAAE,EAAE,EAAE,EAAE;QACzE,MAAM,WAAW,GAAG,MAAM,mBAAmB,CAAC,EAAE,EAAE,OAAO,CAAC,OAAO,CAAC,CAAC;QACnE,MAAM,GAAG,GAAgB;YACvB,MAAM,EAAE,OAAO,CAAC,OAAO;YACvB,QAAQ,EAAE,OAAO,CAAC,SAAS;YAC3B,QAAQ;YACR,WAAW;SACZ,CAAC;QACF,IAAI,OAAO,CAAC,SAAS,KAAK,eAAe,EAAE,CAAC;YAC1C,GAAG,CAAC,QAAQ,GAAG,MAAM,iBAAiB,CAAC,EAAE,EAAE,OAAO,CAAC,OAAO,CAAC,CAAC;QAC9D,CAAC;QACD,OAAO,GAAG,CAAC;IACb,CAAC,CAAC,CAAC;AACL,CAAC;AASD,KAAK,UAAU,iBAAiB,CAC9B,EAAM,EACN,KAAa,EACb,QAAe,UAAU;IAEzB,MAAM,IAAI,GAAG,MAAM,EAAE,CAAc;;;;2BAIV,SAAS,CAAC,KAAK,CAAC;;2BAEhB,IAAI,IAAI,CAAC,KAAK,CAAC,GAAG,EAAE,CAAC;;GAE7C,CAAC;IACF,IAAI,CAAC,IAAI,CAAC,CAAC,CAAC;QAAE,MAAM,IAAI,iBAAiB,CAAC,6BAA6B,CAAC,CAAC;IACzE,OAAO,IAAI,CAAC,CAAC,CAAC,CAAC;AACjB,CAAC;AAED,oFAAoF;AACpF,MAAM,CAAC,KAAK,UAAU,kBAAkB,CAAC,EAAM,EAAE,KAAa;IAC5D,MAAM,OAAO,GAAG,MAAM,iBAAiB,CAAC,EAAE,EAAE,KAAK,CAAC,CAAC;IACnD,OAAO,eAAe,CAAC,EAAE,EAAE,OAAO,CAAC,OAAO,CAAC,CAAC;AAC9C,CAAC;AAED,wFAAwF;AACxF,MAAM,CAAC,KAAK,UAAU,eAAe,CACnC,EAAM,EACN,KAAa;IAEb,MAAM,OAAO,GAAG,MAAM,iBAAiB,CAAC,EAAE,EAAE,KAAK,CAAC,CAAC;IACnD,MAAM,QAAQ,GAAG,MAAM,WAAW,CAAC,EAAE,EAAE,EAAE,MAAM,EAAE,OAAO,CAAC,OAAO,EAAE,EAAE,CAAC,EAAE,EAAE,EAAE,CACzE,mBAAmB,CAAC,EAAE,EAAE,OAAO,CAAC,OAAO,CAAC,CACzC,CAAC;IACF,OAAO,EAAE,QAAQ,EAAE,OAAO,CAAC,SAAS,EAAE,QAAQ,EAAE,CAAC;AACnD,CAAC;AAED,gCAAgC;AAChC,MAAM,CAAC,KAAK,UAAU,MAAM,CAAC,EAAM,EAAE,KAAa;IAChD,MAAM,EAAE,CAAA,iEAAiE,SAAS,CAAC,KAAK,CAAC,EAAE,CAAC;AAC9F,CAAC;AAED,KAAK,UAAU,iBAAiB,CAC9B,EAAM,EACN,QAAgB,EAChB,OAAe,EACf,KAAwC;IAExC,MAAM,WAAW,CAAC,EAAE,EAAE,EAAE,QAAQ,EAAE,MAAM,EAAE,OAAO,EAAE,EAAE,CAAC,EAAE,EAAE,EAAE,CAAC,WAAW,CAAC,EAAE,EAAE,KAAK,CAAC,CAAC,CAAC;AACvF,CAAC"}
+{"version":3,"file":"service.js","sourceRoot":"","sources":["../../src/auth/service.ts"],"names":[],"mappings":"AAAA,OAAO,EACL,cAAc,EACd,iBAAiB,EACjB,eAAe,EACf,MAAM,GAEP,MAAM,eAAe,CAAC;AAGvB,OAAO,EAAE,WAAW,EAAE,MAAM,kBAAkB,CAAC;AAC/C,OAAO,EAAE,WAAW,EAAE,MAAM,mBAAmB,CAAC;AAChD,OAAO,EAAE,mBAAmB,EAAE,MAAM,sBAAsB,CAAC;AAC3D,OAAO,EAAE,iBAAiB,EAAE,MAAM,yBAAyB,CAAC;AAC5D,OAAO,EAAE,mBAAmB,EAAsB,MAAM,2BAA2B,CAAC;AACpF,OAAO,EAAE,YAAY,EAAE,cAAc,EAAE,MAAM,eAAe,CAAC;AAC7D,OAAO,EAAE,oBAAoB,EAAE,SAAS,EAAE,MAAM,oBAAoB,CAAC;AAErE,MAAM,cAAc,GAAG,EAAE,GAAG,EAAE,GAAG,EAAE,GAAG,IAAI,CAAC,CAAC,MAAM;AAyClD,MAAM,UAAU,GAAU,EAAE,GAAG,EAAE,GAAG,EAAE,CAAC,IAAI,CAAC,GAAG,EAAE,EAAE,CAAC;AAEpD;;;;;;;;;;;;;;;;GAgBG;AACH,MAAM,CAAC,KAAK,UAAU,sBAAsB,CAC1C,EAAM,EACN,KAOC;IAED,MAAM,IAAI,GAAG,MAAM,EAAE,CAAkB;;cAE3B,MAAM,EAAE,KAAK,KAAK,CAAC,KAAK,KAAK,KAAK,CAAC,QAAQ,KAAK,KAAK,CAAC,QAAQ,IAAI,OAAO;;;;GAIpF,CAAC;IACF,MAAM,MAAM,GAAG,IAAI,CAAC,CAAC,CAAE,CAAC,EAAE,CAAC;IAE3B,8EAA8E;IAC9E,+EAA+E;IAC/E,yEAAyE;IACzE,MAAM,OAAO,GAAG,KAAK,CAAC,iBAAiB;QACrC,CAAC,CAAC,MAAM,EAAE,CAAuB;;kBAEnB,MAAM,KAAK,YAAY,CAAC,KAAK,CAAC,QAAQ,CAAC;;;OAGlD;QACH,CAAC,CAAC,MAAM,EAAE,CAAuB;;kBAEnB,MAAM,KAAK,YAAY,CAAC,KAAK,CAAC,QAAQ,CAAC;;;OAGlD,CAAC;IAEN,OAAO;QACL,EAAE,EAAE,MAAM;QACV,KAAK,EAAE,KAAK,CAAC,KAAK;QAClB,QAAQ,EAAE,KAAK,CAAC,QAAQ;QACxB,QAAQ,EAAE,KAAK,CAAC,QAAQ,IAAI,OAAO;QACnC,cAAc,EAAE,OAAO,CAAC,MAAM,GAAG,CAAC;KACnC,CAAC;AACJ,CAAC;AAED,mFAAmF;AACnF,MAAM,CAAC,KAAK,UAAU,KAAK,CACzB,EAAM,EACN,KAAyD,EACzD,QAAe,UAAU;IAEzB,MAAM,KAAK,GAAG,MAAM,EAAE,CAErB;;gCAE6B,KAAK,CAAC,KAAK;GACxC,CAAC;IACF,MAAM,IAAI,GAAG,KAAK,CAAC,CAAC,CAAC,CAAC;IACtB,IAAI,CAAC,IAAI,IAAI,IAAI,CAAC,MAAM,KAAK,QAAQ,EAAE,CAAC;QACtC,MAAM,IAAI,iBAAiB,CAAC,uBAAuB,CAAC,CAAC;IACvD,CAAC;IACD,MAAM,KAAK,GAAG,MAAM,EAAE,CAA4D;sFACE,IAAI,CAAC,EAAE;GAC1F,CAAC;IACF,IAAI,CAAC,KAAK,CAAC,CAAC,CAAC,IAAI,CAAC,cAAc,CAAC,KAAK,CAAC,QAAQ,EAAE,KAAK,CAAC,CAAC,CAAC,CAAC,aAAa,CAAC,EAAE,CAAC;QACzE,MAAM,IAAI,iBAAiB,CAAC,uBAAuB,CAAC,CAAC;IACvD,CAAC;IACD,MAAM,kBAAkB,GAAG,KAAK,CAAC,CAAC,CAAC,CAAC,oBAAoB,CAAC;IAEzD,MAAM,EAAE,KAAK,EAAE,SAAS,EAAE,GAAG,oBAAoB,EAAE,CAAC;IACpD,MAAM,GAAG,GAAG,KAAK,CAAC,GAAG,EAAE,CAAC;IACxB,MAAM,SAAS,GAAG,MAAM,EAAE,CAAC;IAC3B,MAAM,SAAS,GAAG,IAAI,IAAI,CAAC,GAAG,GAAG,cAAc,CAAC,CAAC;IAEjD,MAAM,EAAE,CAAA;;cAEI,SAAS,KAAK,IAAI,CAAC,EAAE,KAAK,SAAS,WAAW,SAAS;GAClE,CAAC;IACF,MAAM,EAAE,CAAA,qCAAqC,IAAI,IAAI,CAAC,GAAG,CAAC,eAAe,IAAI,CAAC,EAAE,EAAE,CAAC;IAEnF,MAAM,WAAW,GAAG,MAAM,eAAe,CAAC,EAAE,EAAE,IAAI,CAAC,EAAE,CAAC,CAAC;IAEvD,IAAI,cAAc,GAAkB,IAAI,CAAC;IACzC,IAAI,WAAW,CAAC,MAAM,KAAK,CAAC,EAAE,CAAC;QAC7B,cAAc,GAAG,WAAW,CAAC,CAAC,CAAE,CAAC,QAAQ,CAAC;QAC1C,MAAM,EAAE,CAAA,8CAA8C,cAAc,eAAe,SAAS,EAAE,CAAC;QAC/F,MAAM,iBAAiB,CAAC,EAAE,EAAE,cAAc,EAAE,IAAI,CAAC,EAAE,EAAE;YACnD,MAAM,EAAE,OAAO;YACf,YAAY,EAAE,cAAc;YAC5B,UAAU,EAAE,SAAS;YACrB,EAAE,EAAE,KAAK,CAAC,EAAE;YACZ,SAAS,EAAE,KAAK,CAAC,SAAS;SAC3B,CAAC,CAAC;IACL,CAAC;IAED,OAAO;QACL,KAAK;QACL,IAAI,EAAE,EAAE,EAAE,EAAE,IAAI,CAAC,EAAE,EAAE,KAAK,EAAE,IAAI,CAAC,KAAK,EAAE,QAAQ,EAAE,IAAI,CAAC,SAAS,EAAE,QAAQ,EAAE,IAAI,CAAC,SAAS,EAAE;QAC5F,WAAW;QACX,cAAc;QACd,kBAAkB;KACnB,CAAC;AACJ,CAAC;AAED,qFAAqF;AACrF,MAAM,CAAC,KAAK,UAAU,eAAe,CAAC,EAAM,EAAE,MAAc;IAC1D,OAAO,WAAW,CAAC,EAAE,EAAE,EAAE,MAAM,EAAE,EAAE,KAAK,EAAE,EAAE,EAAE,EAAE;QAC9C,MAAM,IAAI,GAAG,MAAM,EAAE,CAEpB;;;;0BAIqB,MAAM;;KAE3B,CAAC;QACF,OAAO,IAAI,CAAC,GAAG,CAAC,CAAC,CAAC,EAAE,EAAE,CAAC,CAAC;YACtB,QAAQ,EAAE,CAAC,CAAC,SAAS;YACrB,UAAU,EAAE,CAAC,CAAC,IAAI;YAClB,UAAU,EAAE,CAAC,CAAC,YAAY;YAC1B,MAAM,EAAE,CAAC,CAAC,MAAM;SACjB,CAAC,CAAC,CAAC;IACN,CAAC,CAAC,CAAC;AACL,CAAC;AAED,0EAA0E;AAC1E,MAAM,CAAC,KAAK,UAAU,YAAY,CAChC,EAAM,EACN,KAAyD;IAEzD,MAAM,OAAO,GAAG,MAAM,iBAAiB,CAAC,EAAE,EAAE,KAAK,CAAC,KAAK,CAAC,CAAC;IACzD,MAAM,WAAW,GAAG,MAAM,eAAe,CAAC,EAAE,EAAE,OAAO,CAAC,OAAO,CAAC,CAAC;IAC/D,MAAM,OAAO,GAAG,WAAW,CAAC,IAAI,CAAC,CAAC,CAAC,EAAE,EAAE,CAAC,CAAC,CAAC,QAAQ,KAAK,KAAK,CAAC,QAAQ,CAAC,CAAC;IACvE,IAAI,CAAC,OAAO,EAAE,CAAC;QACb,MAAM,IAAI,cAAc,CAAC,oCAAoC,CAAC,CAAC;IACjE,CAAC;IACD,MAAM,EAAE,CAAA;iDACuC,KAAK,CAAC,QAAQ,eAAe,OAAO,CAAC,EAAE;GACrF,CAAC;IACF,OAAO,WAAW,CAAC,EAAE,EAAE,EAAE,QAAQ,EAAE,KAAK,CAAC,QAAQ,EAAE,MAAM,EAAE,OAAO,CAAC,OAAO,EAAE,EAAE,KAAK,EAAE,EAAE,EAAE,EAAE;QACzF,MAAM,WAAW,GAAG,MAAM,mBAAmB,CAAC,EAAE,EAAE,OAAO,CAAC,OAAO,CAAC,CAAC;QACnE,MAAM,WAAW,CAAC,EAAE,EAAE;YACpB,OAAO,EAAE,OAAO,CAAC,OAAO;YACxB,MAAM,EAAE,eAAe;YACvB,YAAY,EAAE,QAAQ;YACtB,UAAU,EAAE,KAAK,CAAC,QAAQ;YAC1B,EAAE,EAAE,KAAK,CAAC,EAAE;YACZ,SAAS,EAAE,KAAK,CAAC,SAAS;SAC3B,CAAC,CAAC;QACH,OAAO;YACL,MAAM,EAAE,OAAO,CAAC,OAAO;YACvB,QAAQ,EAAE,OAAO,CAAC,SAAS;YAC3B,QAAQ,EAAE,KAAK,CAAC,QAAQ;YACxB,WAAW;YACX,kBAAkB,EAAE,OAAO,CAAC,oBAAoB;SACjD,CAAC;IACJ,CAAC,CAAC,CAAC;AACL,CAAC;AAED;;;GAGG;AACH,MAAM,CAAC,KAAK,UAAU,YAAY,CAChC,EAAM,EACN,KAAa,EACb,QAAe,UAAU;IAEzB,MAAM,OAAO,GAAG,MAAM,iBAAiB,CAAC,EAAE,EAAE,KAAK,EAAE,KAAK,CAAC,CAAC;IAC1D,IAAI,CAAC,OAAO,CAAC,gBAAgB,EAAE,CAAC;QAC9B,MAAM,IAAI,iBAAiB,CAAC,4CAA4C,CAAC,CAAC;IAC5E,CAAC;IACD,MAAM,QAAQ,GAAG,OAAO,CAAC,gBAAgB,CAAC;IAC1C,OAAO,WAAW,CAAC,EAAE,EAAE,EAAE,QAAQ,EAAE,MAAM,EAAE,OAAO,CAAC,OAAO,EAAE,EAAE,KAAK,EAAE,EAAE,EAAE,EAAE;QACzE,MAAM,WAAW,GAAG,MAAM,mBAAmB,CAAC,EAAE,EAAE,OAAO,CAAC,OAAO,CAAC,CAAC;QACnE,MAAM,GAAG,GAAgB;YACvB,MAAM,EAAE,OAAO,CAAC,OAAO;YACvB,QAAQ,EAAE,OAAO,CAAC,SAAS;YAC3B,QAAQ;YACR,WAAW;YACX,kBAAkB,EAAE,OAAO,CAAC,oBAAoB;SACjD,CAAC;QACF,IAAI,OAAO,CAAC,SAAS,KAAK,eAAe,EAAE,CAAC;YAC1C,GAAG,CAAC,QAAQ,GAAG,MAAM,iBAAiB,CAAC,EAAE,EAAE,OAAO,CAAC,OAAO,CAAC,CAAC;QAC9D,CAAC;QACD,OAAO,GAAG,CAAC;IACb,CAAC,CAAC,CAAC;AACL,CAAC;AAUD,KAAK,UAAU,iBAAiB,CAC9B,EAAM,EACN,KAAa,EACb,QAAe,UAAU;IAEzB,MAAM,IAAI,GAAG,MAAM,EAAE,CAAc;;;;;;2BAMV,SAAS,CAAC,KAAK,CAAC;;2BAEhB,IAAI,IAAI,CAAC,KAAK,CAAC,GAAG,EAAE,CAAC;;GAE7C,CAAC;IACF,IAAI,CAAC,IAAI,CAAC,CAAC,CAAC;QAAE,MAAM,IAAI,iBAAiB,CAAC,6BAA6B,CAAC,CAAC;IACzE,OAAO,IAAI,CAAC,CAAC,CAAC,CAAC;AACjB,CAAC;AAED,oFAAoF;AACpF,MAAM,CAAC,KAAK,UAAU,kBAAkB,CAAC,EAAM,EAAE,KAAa;IAC5D,MAAM,OAAO,GAAG,MAAM,iBAAiB,CAAC,EAAE,EAAE,KAAK,CAAC,CAAC;IACnD,OAAO,eAAe,CAAC,EAAE,EAAE,OAAO,CAAC,OAAO,CAAC,CAAC;AAC9C,CAAC;AAED,wFAAwF;AACxF,MAAM,CAAC,KAAK,UAAU,eAAe,CACnC,EAAM,EACN,KAAa;IAEb,MAAM,OAAO,GAAG,MAAM,iBAAiB,CAAC,EAAE,EAAE,KAAK,CAAC,CAAC;IACnD,MAAM,QAAQ,GAAG,MAAM,WAAW,CAAC,EAAE,EAAE,EAAE,MAAM,EAAE,OAAO,CAAC,OAAO,EAAE,EAAE,CAAC,EAAE,EAAE,EAAE,CACzE,mBAAmB,CAAC,EAAE,EAAE,OAAO,CAAC,OAAO,CAAC,CACzC,CAAC;IACF,OAAO,EAAE,QAAQ,EAAE,OAAO,CAAC,SAAS,EAAE,QAAQ,EAAE,CAAC;AACnD,CAAC;AAED,gCAAgC;AAChC,MAAM,CAAC,KAAK,UAAU,MAAM,CAAC,EAAM,EAAE,KAAa;IAChD,MAAM,EAAE,CAAA,8BAA8B,SAAS,CAAC,KAAK,CAAC,GAAG,CAAC;AAC5D,CAAC;AAED;;;;;GAKG;AACH,MAAM,CAAC,KAAK,UAAU,cAAc,CAClC,EAAM,EACN,IAA0C,EAC1C,KAAsE;IAEtE,IAAI,KAAK,CAAC,WAAW,CAAC,MAAM,GAAG,CAAC,EAAE,CAAC;QACjC,MAAM,IAAI,eAAe,CAAC,6CAA6C,CAAC,CAAC;IAC3E,CAAC;IACD,MAAM,KAAK,GAAG,MAAM,EAAE,CAA4D;sFACE,IAAI,CAAC,MAAM;GAC9F,CAAC;IACF,IAAI,CAAC,KAAK,CAAC,CAAC,CAAC,IAAI,CAAC,cAAc,CAAC,KAAK,CAAC,eAAe,EAAE,KAAK,CAAC,CAAC,CAAC,CAAC,aAAa,CAAC,EAAE,CAAC;QAChF,MAAM,IAAI,iBAAiB,CAAC,uBAAuB,CAAC,CAAC;IACvD,CAAC;IACD,MAAM,SAAS,GAAG,KAAK,CAAC,CAAC,CAAC,CAAC,oBAAoB,CAAC;IAEhD,MAAM,WAAW,CAAC,EAAE,EAAE,EAAE,QAAQ,EAAE,IAAI,CAAC,QAAQ,EAAE,MAAM,EAAE,IAAI,CAAC,MAAM,EAAE,EAAE,KAAK,EAAE,EAAE,EAAE,EAAE;QACnF,sEAAsE;QACtE,qEAAqE;QACrE,MAAM,EAAE,CAAA,4BAA4B,IAAI,CAAC,MAAM,KAAK,YAAY,CAAC,KAAK,CAAC,WAAW,CAAC,UAAU,CAAC;QAC9F,MAAM,WAAW,CAAC,EAAE,EAAE;YACpB,OAAO,EAAE,IAAI,CAAC,MAAM;YACpB,MAAM,EAAE,SAAS,CAAC,CAAC,CAAC,qCAAqC,CAAC,CAAC,CAAC,kBAAkB;YAC9E,YAAY,EAAE,MAAM;YACpB,UAAU,EAAE,IAAI,CAAC,MAAM;YACvB,EAAE,EAAE,KAAK,CAAC,EAAE;YACZ,SAAS,EAAE,KAAK,CAAC,SAAS;SAC3B,CAAC,CAAC;IACL,CAAC,CAAC,CAAC;AACL,CAAC;AAED,KAAK,UAAU,iBAAiB,CAC9B,EAAM,EACN,QAAgB,EAChB,OAAe,EACf,KAAwC;IAExC,MAAM,WAAW,CAAC,EAAE,EAAE,EAAE,QAAQ,EAAE,MAAM,EAAE,OAAO,EAAE,EAAE,CAAC,EAAE,EAAE,EAAE,CAAC,WAAW,CAAC,EAAE,EAAE,KAAK,CAAC,CAAC,CAAC;AACvF,CAAC"}