@baruk/core 0.3.1 → 0.4.2

package/dist/cjs/communication/stores/routing.js

@@ -0,0 +1,334 @@
+"use strict";
+/**
+ * Persistência do vínculo de canal e do índice de roteamento
+ * (migrações 0041 e 0042).
+ *
+ * Duas leituras, com fronteiras deliberadamente diferentes:
+ *
+ * - `createPostgresChannelBindingStore` responde "qual a conta DESTE tenant
+ *   neste canal", dentro do contexto do tenant, sob RLS.
+ * - `createPostgresChannelRouteStore` responde "de quem é esta conta do
+ *   provider", FORA de contexto de tenant, porque no momento em que o webhook
+ *   chega ainda não se sabe qual é o tenant.
+ *
+ * A segunda é a única leitura do motor que roda sem `app.current_tenant` — e
+ * ela não lê a tabela. Passa por `channel_route_resolve`, uma função de sistema
+ * que exige a chave exata e devolve no máximo uma linha. A tabela em si voltou
+ * a ser fechada por tenant na 0042: sem GUC, `SELECT * FROM channel_route`
+ * devolve zero linhas.
+ */
+Object.defineProperty(exports, "__esModule", { value: true });
+exports.CredentialRefNotAcceptableError = exports.ChannelRouteConflictError = void 0;
+exports.createPostgresChannelRouteStore = createPostgresChannelRouteStore;
+exports.completeRoute = completeRoute;
+exports.createPostgresChannelBindingStore = createPostgresChannelBindingStore;
+exports.registerChannelBinding = registerChannelBinding;
+exports.claimChannelAccount = claimChannelAccount;
+const credentials_js_1 = require("../credentials.js");
+/**
+ * Índice de roteamento — primeiro tempo da resolução.
+ *
+ * Devolve o MÍNIMO: quem é o dono. Produto e marca ficam de fora porque vivem
+ * em `channel_binding`, que é fechada por RLS e portanto ilegível neste momento
+ * — ainda não há tenant na sessão. Denormalizá-los aqui resolveria a consulta e
+ * colocaria "que produto este escritório assina" atrás da mesma função que
+ * responde sem contexto de tenant, o que é informação comercial em lugar
+ * errado.
+ *
+ * O segundo tempo é `completeRoute`, já dentro de `withContext`.
+ */
+function createPostgresChannelRouteStore(tx) {
+    return {
+        async findByProviderAccount(provider, providerAccountRef) {
+            // `channel_route_resolve` (migração 0042), e não um `SELECT` na tabela.
+            //
+            // A 0041 abria a política de leitura quando não havia tenant na sessão,
+            // e essa abertura era o que fazia este `SELECT` funcionar. O preço era
+            // que QUALQUER consulta sem contexto — um script, um job, um caminho que
+            // esqueceu de abrir `withContext` — enxergava o mapa inteiro de
+            // (conta do provider → tenant) e podia listá-lo.
+            //
+            // A função de sistema entrega a mesma resposta sem o mesmo preço: exige a
+            // chave exata, devolve no máximo uma linha e não tem forma de ser
+            // chamada "sem argumento". A política da tabela voltou a ser fechada, e
+            // ninguém lê `channel_route` fora do próprio tenant.
+            const rows = await tx `
+        SELECT provider, provider_account_ref, provider_parent_ref, tenant_id, binding_id
+          FROM channel_route_resolve(${provider}, ${providerAccountRef})
+      `;
+            const row = rows[0];
+            if (!row)
+                return null;
+            return {
+                provider,
+                providerAccountRef: row.provider_account_ref,
+                ...(row.provider_parent_ref ? { providerParentRef: row.provider_parent_ref } : {}),
+                tenantId: row.tenant_id,
+                // Preenchidos por `completeRoute`, dentro do contexto do tenant.
+                product: '',
+                brand: '',
+                bindingId: row.binding_id,
+            };
+        },
+    };
+}
+/**
+ * O único estado de vínculo que autoriza tráfego.
+ *
+ * Lista de PERMISSÃO, e não de bloqueio. Uma lista de bloqueio
+ * (`status !== 'paused'`) autoriza por omissão: o dia em que a coluna ganhar
+ * `suspended`, `blocked` ou `migrating`, o estado novo nasce liberado e ninguém
+ * repara. Aqui um estado que ninguém escreveu aqui não passa, inclusive um
+ * valor que a aplicação não reconhece.
+ */
+const ROUTABLE_STATUSES = new Set(['active']);
+/**
+ * Completa a rota com produto e marca, JÁ dentro do contexto do tenant.
+ *
+ * Separado de propósito: a primeira consulta responde "de quem é", a segunda
+ * responde "o que é" — e a segunda roda sob a RLS de `channel_binding`, que é
+ * fechada.
+ *
+ * Três gates, e o terceiro estava faltando na primeira entrega. A revogação era
+ * conferida (`revoked_at IS NULL`) e o STATUS não — de modo que um vínculo
+ * `paused`, `error`, `pending_validation` ou `not_configured`, que ninguém
+ * revogou, continuava roteando. É a assimetria clássica: o caminho de saída
+ * consultava o status (`identity.ts` só envia por conta `active`) e o de
+ * entrada não, e uma conta pausada por suspeita de abuso seguia recebendo.
+ */
+async function completeRoute(tx, route) {
+    const rows = await tx `
+    SELECT product, brand, status
+      FROM channel_binding
+     WHERE id = ${route.bindingId}
+       AND tenant_id = ${route.tenantId}
+       AND revoked_at IS NULL
+     LIMIT 1
+  `;
+    const row = rows[0];
+    if (!row)
+        return null;
+    if (!ROUTABLE_STATUSES.has(row.status))
+        return null;
+    return { ...route, product: row.product, brand: row.brand };
+}
+const STATUSES = new Set([
+    'not_configured',
+    'pending_validation',
+    'active',
+    'paused',
+    'error',
+]);
+/**
+ * Contas de canal a partir de `channel_binding`.
+ *
+ * Substitui, para os canais de telefone, a leitura de `tenant.settings.channels`
+ * — que continua existindo e continua servindo o e-mail e a configuração
+ * herdada. Não há fallback de um para o outro dentro desta função: quem compõe
+ * o runtime decide a ordem, e a decisão fica visível na composição em vez de
+ * escondida num `??`.
+ */
+function createPostgresChannelBindingStore(tx) {
+    return {
+        async find(ctx, channel) {
+            const rows = await tx `
+        SELECT b.id, b.product, b.brand, b.channel, b.sender_id, b.display_name,
+               b.credential_ref, b.status,
+               r.provider_account_ref, r.provider_parent_ref
+          FROM channel_binding b
+          LEFT JOIN channel_route r
+            ON r.tenant_id = b.tenant_id AND r.binding_id = b.id
+         WHERE b.tenant_id = ${ctx.tenantId}
+           AND b.product   = ${ctx.product}
+           AND b.brand     = ${ctx.brand}
+           AND b.channel   = ${channel}
+           AND b.revoked_at IS NULL
+         LIMIT 1
+      `;
+            const row = rows[0];
+            if (!row)
+                return null;
+            const meta = {};
+            if (row.provider_account_ref)
+                meta.phoneNumberId = row.provider_account_ref;
+            if (row.provider_parent_ref)
+                meta.wabaId = row.provider_parent_ref;
+            return {
+                channel,
+                tenantId: ctx.tenantId,
+                product: row.product,
+                brand: row.brand,
+                senderId: row.sender_id,
+                ...(row.display_name ? { displayName: row.display_name } : {}),
+                credentialRef: row.credential_ref,
+                // Estado desconhecido nunca vira `active`: configuração que ninguém
+                // reconhece não autoriza envio.
+                status: STATUSES.has(row.status)
+                    ? row.status
+                    : 'not_configured',
+                ...(Object.keys(meta).length > 0 ? { meta } : {}),
+            };
+        },
+    };
+}
+/**
+ * Registra ou atualiza um vínculo e sua rota. **Roda dentro do contexto do
+ * tenant** — as duas políticas de escrita exigem isso.
+ *
+ * O `INSERT` da rota falha por violação de chave primária quando outro tenant já
+ * reivindicou a mesma conta do provider. Isso é o comportamento desejado e é a
+ * razão de a chave ser global: o erro vem do banco, não de um `SELECT` prévio
+ * que a RLS teria feito voltar vazio.
+ *
+ * ── O guard de credencial ───────────────────────────────────────────────────
+ *
+ * `isAcceptableForNewBinding` existia e **não era chamado por ninguém**. Uma
+ * regra que só um teste unitário exercita não é enforcement: é documentação com
+ * sintaxe de TypeScript. O caminho real de criação aceitava, sem reclamar,
+ * `credentialRef: 'WHATSAPP_ACCESS_TOKEN'` — o token global que a fase inteira
+ * existe para eliminar.
+ *
+ * A checagem vem ANTES de qualquer escrita, e cobre criação e atualização pelo
+ * mesmo ponto porque este `INSERT ... ON CONFLICT DO UPDATE` É os dois. O banco
+ * repete a regra em `channel_binding_phone_credential_ref_chk` (migração 0042),
+ * para o caso de alguém alcançar a tabela por outro caminho: um `UPDATE` cru,
+ * uma importação, um script de migração de dados.
+ */
+async function registerChannelBinding(tx, input) {
+    if (!(0, credentials_js_1.isAcceptableForNewBinding)(input.channel, input.credentialRef)) {
+        throw new CredentialRefNotAcceptableError(input.channel, input.credentialRef);
+    }
+    await tx `
+    INSERT INTO channel_binding
+      (id, tenant_id, product, brand, channel, provider, sender_id, display_name,
+       credential_ref, status)
+    VALUES
+      (${input.id}, ${input.tenantId}, ${input.product}, ${input.brand}, ${input.channel},
+       ${input.provider}, ${input.senderId}, ${input.displayName ?? null},
+       ${input.credentialRef}, ${input.status ?? 'not_configured'})
+    ON CONFLICT (id) DO UPDATE SET
+      sender_id      = EXCLUDED.sender_id,
+      display_name   = EXCLUDED.display_name,
+      credential_ref = EXCLUDED.credential_ref,
+      status         = EXCLUDED.status,
+      updated_at     = now()
+  `;
+    if (!input.providerAccountRef)
+        return;
+    const claimed = await tx `
+    INSERT INTO channel_route
+      (provider, provider_account_ref, provider_parent_ref, tenant_id, binding_id)
+    VALUES
+      (${input.provider}, ${input.providerAccountRef}, ${input.providerParentRef ?? null},
+       ${input.tenantId}, ${input.id})
+    ON CONFLICT (provider, provider_account_ref) DO UPDATE SET
+      provider_parent_ref = EXCLUDED.provider_parent_ref,
+      updated_at          = now()
+      WHERE channel_route.tenant_id  = EXCLUDED.tenant_id
+        AND channel_route.binding_id = EXCLUDED.binding_id
+    RETURNING provider_account_ref
+  `;
+    // Zero linhas com `ON CONFLICT DO UPDATE` significa que o conflito existe e o
+    // `WHERE` recusou — ou seja, a conta já pertence a OUTRO vínculo. Deixar
+    // passar em silêncio é o pior desfecho possível: o registro pareceria ter
+    // funcionado e os webhooks continuariam indo para o dono anterior.
+    if (claimed.count === 0) {
+        throw new ChannelRouteConflictError(input.provider, input.providerAccountRef);
+    }
+}
+/**
+ * A conta do provider já pertence a outro vínculo.
+ *
+ * Erro de negócio, não de infraestrutura: dois escritórios não podem reivindicar
+ * o mesmo número. A mensagem não carrega o tenant dono — quem está tentando
+ * registrar não tem por que descobrir de quem é.
+ */
+class ChannelRouteConflictError extends Error {
+    code = 'channel_route_conflict';
+    constructor(provider, providerAccountRef) {
+        super(`conta ${provider}/${providerAccountRef} já vinculada a outro registro`);
+        this.name = 'ChannelRouteConflictError';
+    }
+}
+exports.ChannelRouteConflictError = ChannelRouteConflictError;
+/**
+ * A referência de credencial não é aceitável para este canal.
+ *
+ * O canal de telefone exige `vault://` — uma referência ao cofre do TENANT.
+ * Aceitar um nome de variável de ambiente significaria, na prática, que dois
+ * escritórios compartilham o mesmo token de WhatsApp: o bloqueio que um tomar
+ * cai sobre o outro, e a conversa de um aparece na conta do outro.
+ *
+ * A mensagem carrega o canal e **não** carrega a referência recusada. Quem
+ * cadastrou já sabe o que digitou; a mensagem viaja para log e para tela de
+ * erro, e uma referência colada ali é meio caminho para o valor aparecer junto
+ * na próxima vez que alguém "melhorar o diagnóstico".
+ */
+class CredentialRefNotAcceptableError extends Error {
+    code = 'credential_ref_not_acceptable';
+    channel;
+    constructor(channel, _ref) {
+        super(`canal ${channel} exige referência de cofre (vault://) — referência recusada`);
+        this.name = 'CredentialRefNotAcceptableError';
+        this.channel = channel;
+    }
+}
+exports.CredentialRefNotAcceptableError = CredentialRefNotAcceptableError;
+/**
+ * Registra a conta de canal do contexto — criando o vínculo ou **substituindo o
+ * que já existe**.
+ *
+ * ## Por que `registerChannelBinding` sozinho não serve ao onboarding
+ *
+ * `channel_binding_context_uq` (0041) garante **um** vínculo vivo por
+ * (tenant, produto, marca, canal) — é o que faz `resolveIdentity` nunca ter de
+ * escolher entre dois. `registerChannelBinding` resolve conflito por `id`, e o
+ * `id` de um onboarding novo é novo: reconectar o WhatsApp de um escritório que
+ * já tinha um caía direto na violação do índice de contexto, como erro 500.
+ *
+ * Isso não é caso de laboratório. É o caminho de: trocar de número, refazer o
+ * signup depois de revogar o acesso, migrar a WABA de portfólio. O primeiro
+ * onboarding funcionava e o segundo derrubava a rota.
+ *
+ * ## As rotas órfãs, que são o risco silencioso
+ *
+ * Trocar o número deixaria a rota do número ANTIGO apontando para este mesmo
+ * vínculo — e o webhook do número que o escritório não usa mais continuaria
+ * sendo aceito e aplicado na trilha dele. Pior: aquele número fica preso a este
+ * tenant pela chave global de `channel_route`, e o escritório que o receber
+ * depois não consegue reivindicá-lo.
+ *
+ * Por isso a limpeza é parte da mesma operação, e não um passo que quem chama
+ * precisa lembrar de fazer.
+ */
+async function claimChannelAccount(tx, input) {
+    const existing = await tx `
+    SELECT id FROM channel_binding
+     WHERE tenant_id = ${input.tenantId}
+       AND product   = ${input.product}
+       AND brand     = ${input.brand}
+       AND channel   = ${input.channel}
+       AND revoked_at IS NULL
+     LIMIT 1
+  `;
+    const bindingId = existing[0]?.id ?? input.id;
+    await registerChannelBinding(tx, { ...input, id: bindingId });
+    // Só depois de a rota nova estar reivindicada. Apagar antes deixaria o
+    // vínculo sem rota nenhuma se o `INSERT` seguinte falhasse por conflito — e o
+    // canal do escritório pararia de receber callbacks por causa da tentativa
+    // frustrada de outro.
+    const released = input.providerAccountRef
+        ? await tx `
+        DELETE FROM channel_route
+         WHERE tenant_id = ${input.tenantId}
+           AND binding_id = ${bindingId}
+           AND provider_account_ref <> ${input.providerAccountRef}
+      `
+        : { count: 0 };
+    return {
+        bindingId,
+        reused: Boolean(existing[0]),
+        releasedRoutes: released.count,
+    };
+}
+//# sourceMappingURL=routing.js.map

package/dist/cjs/communication/stores/routing.js.map

@@ -0,0 +1 @@
+{"version":3,"file":"routing.js","sourceRoot":"","sources":["../../../../src/communication/stores/routing.ts"],"names":[],"mappings":";AAAA;;;;;;;;;;;;;;;;;GAiBG;;;AA2BH,0EAqCC;AA2BD,sCAaC;AAgCD,8EAyCC;AA2CD,wDA4CC;AAgFD,kDAmCC;AAvXD,sDAA8D;AAW9D;;;;;;;;;;;GAWG;AACH,SAAgB,+BAA+B,CAAC,EAAM;IACpD,OAAO;QACL,KAAK,CAAC,qBAAqB,CACzB,QAAwB,EACxB,kBAA0B;YAE1B,wEAAwE;YACxE,EAAE;YACF,wEAAwE;YACxE,uEAAuE;YACvE,yEAAyE;YACzE,gEAAgE;YAChE,iDAAiD;YACjD,EAAE;YACF,0EAA0E;YAC1E,kEAAkE;YAClE,wEAAwE;YACxE,qDAAqD;YACrD,MAAM,IAAI,GAAG,MAAM,EAAE,CAAY;;uCAEA,QAAQ,KAAK,kBAAkB;OAC/D,CAAC;YACF,MAAM,GAAG,GAAG,IAAI,CAAC,CAAC,CAAC,CAAC;YACpB,IAAI,CAAC,GAAG;gBAAE,OAAO,IAAI,CAAC;YAEtB,OAAO;gBACL,QAAQ;gBACR,kBAAkB,EAAE,GAAG,CAAC,oBAAoB;gBAC5C,GAAG,CAAC,GAAG,CAAC,mBAAmB,CAAC,CAAC,CAAC,EAAE,iBAAiB,EAAE,GAAG,CAAC,mBAAmB,EAAE,CAAC,CAAC,CAAC,EAAE,CAAC;gBAClF,QAAQ,EAAE,GAAG,CAAC,SAAS;gBACvB,iEAAiE;gBACjE,OAAO,EAAE,EAAE;gBACX,KAAK,EAAE,EAAE;gBACT,SAAS,EAAE,GAAG,CAAC,UAAU;aAC1B,CAAC;QACJ,CAAC;KACF,CAAC;AACJ,CAAC;AAED;;;;;;;;GAQG;AACH,MAAM,iBAAiB,GAAwB,IAAI,GAAG,CAAC,CAAC,QAAQ,CAAC,CAAC,CAAC;AAEnE;;;;;;;;;;;;;GAaG;AACI,KAAK,UAAU,aAAa,CAAC,EAAM,EAAE,KAAmB;IAC7D,MAAM,IAAI,GAAG,MAAM,EAAE,CAAsD;;;kBAG3D,KAAK,CAAC,SAAS;yBACR,KAAK,CAAC,QAAQ;;;GAGpC,CAAC;IACF,MAAM,GAAG,GAAG,IAAI,CAAC,CAAC,CAAC,CAAC;IACpB,IAAI,CAAC,GAAG;QAAE,OAAO,IAAI,CAAC;IACtB,IAAI,CAAC,iBAAiB,CAAC,GAAG,CAAC,GAAG,CAAC,MAAM,CAAC;QAAE,OAAO,IAAI,CAAC;IACpD,OAAO,EAAE,GAAG,KAAK,EAAE,OAAO,EAAE,GAAG,CAAC,OAAO,EAAE,KAAK,EAAE,GAAG,CAAC,KAAK,EAAE,CAAC;AAC9D,CAAC;AAeD,MAAM,QAAQ,GAAG,IAAI,GAAG,CAAC;IACvB,gBAAgB;IAChB,oBAAoB;IACpB,QAAQ;IACR,QAAQ;IACR,OAAO;CACC,CAAC,CAAC;AAEZ;;;;;;;;GAQG;AACH,SAAgB,iCAAiC,CAAC,EAAM;IACtD,OAAO;QACL,KAAK,CAAC,IAAI,CAAC,GAAG,EAAE,OAAmB;YACjC,MAAM,IAAI,GAAG,MAAM,EAAE,CAAc;;;;;;;+BAOV,GAAG,CAAC,QAAQ;+BACZ,GAAG,CAAC,OAAO;+BACX,GAAG,CAAC,KAAK;+BACT,OAAO;;;OAG/B,CAAC;YACF,MAAM,GAAG,GAAG,IAAI,CAAC,CAAC,CAAC,CAAC;YACpB,IAAI,CAAC,GAAG;gBAAE,OAAO,IAAI,CAAC;YAEtB,MAAM,IAAI,GAA2B,EAAE,CAAC;YACxC,IAAI,GAAG,CAAC,oBAAoB;gBAAE,IAAI,CAAC,aAAa,GAAG,GAAG,CAAC,oBAAoB,CAAC;YAC5E,IAAI,GAAG,CAAC,mBAAmB;gBAAE,IAAI,CAAC,MAAM,GAAG,GAAG,CAAC,mBAAmB,CAAC;YAEnE,OAAO;gBACL,OAAO;gBACP,QAAQ,EAAE,GAAG,CAAC,QAAQ;gBACtB,OAAO,EAAE,GAAG,CAAC,OAAO;gBACpB,KAAK,EAAE,GAAG,CAAC,KAAK;gBAChB,QAAQ,EAAE,GAAG,CAAC,SAAS;gBACvB,GAAG,CAAC,GAAG,CAAC,YAAY,CAAC,CAAC,CAAC,EAAE,WAAW,EAAE,GAAG,CAAC,YAAY,EAAE,CAAC,CAAC,CAAC,EAAE,CAAC;gBAC9D,aAAa,EAAE,GAAG,CAAC,cAAc;gBACjC,oEAAoE;gBACpE,gCAAgC;gBAChC,MAAM,EAAG,QAAgC,CAAC,GAAG,CAAC,GAAG,CAAC,MAAM,CAAC;oBACvD,CAAC,CAAE,GAAG,CAAC,MAAmC;oBAC1C,CAAC,CAAC,gBAAgB;gBACpB,GAAG,CAAC,MAAM,CAAC,IAAI,CAAC,IAAI,CAAC,CAAC,MAAM,GAAG,CAAC,CAAC,CAAC,CAAC,EAAE,IAAI,EAAE,CAAC,CAAC,CAAC,EAAE,CAAC;aAClD,CAAC;QACJ,CAAC;KACF,CAAC;AACJ,CAAC;AAoBD;;;;;;;;;;;;;;;;;;;;;;GAsBG;AACI,KAAK,UAAU,sBAAsB,CAAC,EAAM,EAAE,KAA2B;IAC9E,IAAI,CAAC,IAAA,0CAAyB,EAAC,KAAK,CAAC,OAAO,EAAE,KAAK,CAAC,aAAa,CAAC,EAAE,CAAC;QACnE,MAAM,IAAI,+BAA+B,CAAC,KAAK,CAAC,OAAO,EAAE,KAAK,CAAC,aAAa,CAAC,CAAC;IAChF,CAAC;IAED,MAAM,EAAE,CAAA;;;;;SAKD,KAAK,CAAC,EAAE,KAAK,KAAK,CAAC,QAAQ,KAAK,KAAK,CAAC,OAAO,KAAK,KAAK,CAAC,KAAK,KAAK,KAAK,CAAC,OAAO;SAC/E,KAAK,CAAC,QAAQ,KAAK,KAAK,CAAC,QAAQ,KAAK,KAAK,CAAC,WAAW,IAAI,IAAI;SAC/D,KAAK,CAAC,aAAa,KAAK,KAAK,CAAC,MAAM,IAAI,gBAAgB;;;;;;;GAO9D,CAAC;IAEF,IAAI,CAAC,KAAK,CAAC,kBAAkB;QAAE,OAAO;IAEtC,MAAM,OAAO,GAAG,MAAM,EAAE,CAAA;;;;SAIjB,KAAK,CAAC,QAAQ,KAAK,KAAK,CAAC,kBAAkB,KAAK,KAAK,CAAC,iBAAiB,IAAI,IAAI;SAC/E,KAAK,CAAC,QAAQ,KAAK,KAAK,CAAC,EAAE;;;;;;;GAOjC,CAAC;IAEF,8EAA8E;IAC9E,yEAAyE;IACzE,0EAA0E;IAC1E,mEAAmE;IACnE,IAAI,OAAO,CAAC,KAAK,KAAK,CAAC,EAAE,CAAC;QACxB,MAAM,IAAI,yBAAyB,CAAC,KAAK,CAAC,QAAQ,EAAE,KAAK,CAAC,kBAAkB,CAAC,CAAC;IAChF,CAAC;AACH,CAAC;AAED;;;;;;GAMG;AACH,MAAa,yBAA0B,SAAQ,KAAK;IACzC,IAAI,GAAG,wBAAwB,CAAC;IACzC,YAAY,QAAgB,EAAE,kBAA0B;QACtD,KAAK,CAAC,SAAS,QAAQ,IAAI,kBAAkB,gCAAgC,CAAC,CAAC;QAC/E,IAAI,CAAC,IAAI,GAAG,2BAA2B,CAAC;IAC1C,CAAC;CACF;AAND,8DAMC;AAED;;;;;;;;;;;;GAYG;AACH,MAAa,+BAAgC,SAAQ,KAAK;IAC/C,IAAI,GAAG,+BAA+B,CAAC;IACvC,OAAO,CAAS;IACzB,YAAY,OAAe,EAAE,IAAY;QACvC,KAAK,CAAC,SAAS,OAAO,6DAA6D,CAAC,CAAC;QACrF,IAAI,CAAC,IAAI,GAAG,iCAAiC,CAAC;QAC9C,IAAI,CAAC,OAAO,GAAG,OAAO,CAAC;IACzB,CAAC;CACF;AARD,0EAQC;AAeD;;;;;;;;;;;;;;;;;;;;;;;;;;GA0BG;AACI,KAAK,UAAU,mBAAmB,CACvC,EAAM,EACN,KAA+B;IAE/B,MAAM,QAAQ,GAAG,MAAM,EAAE,CAAkB;;yBAEpB,KAAK,CAAC,QAAQ;yBACd,KAAK,CAAC,OAAO;yBACb,KAAK,CAAC,KAAK;yBACX,KAAK,CAAC,OAAO;;;GAGnC,CAAC;IACF,MAAM,SAAS,GAAG,QAAQ,CAAC,CAAC,CAAC,EAAE,EAAE,IAAI,KAAK,CAAC,EAAE,CAAC;IAE9C,MAAM,sBAAsB,CAAC,EAAE,EAAE,EAAE,GAAG,KAAK,EAAE,EAAE,EAAE,SAAS,EAAE,CAAC,CAAC;IAE9D,uEAAuE;IACvE,8EAA8E;IAC9E,0EAA0E;IAC1E,sBAAsB;IACtB,MAAM,QAAQ,GAAG,KAAK,CAAC,kBAAkB;QACvC,CAAC,CAAC,MAAM,EAAE,CAAA;;6BAEe,KAAK,CAAC,QAAQ;8BACb,SAAS;yCACE,KAAK,CAAC,kBAAkB;OAC1D;QACH,CAAC,CAAC,EAAE,KAAK,EAAE,CAAC,EAAE,CAAC;IAEjB,OAAO;QACL,SAAS;QACT,MAAM,EAAE,OAAO,CAAC,QAAQ,CAAC,CAAC,CAAC,CAAC;QAC5B,cAAc,EAAE,QAAQ,CAAC,KAAK;KAC/B,CAAC;AACJ,CAAC"}

package/dist/cjs/communication/stores/secrets.js

@@ -0,0 +1,126 @@
+"use strict";
+/**
+ * `TenantSecretStore` sobre o Vault Engine — agora atrás de autorização real.
+ *
+ * `credentials.ts` já declarava a interface e já dizia por que o valor teria
+ * de vir do cofre (migração 0012), mas nenhum arquivo do repositório a
+ * implementava: `createChannelCredentialResolver` só era chamado em teste, e
+ * os três call sites de produção (`collection-cron.ts`, `routes/collections.ts`)
+ * seguiam presos a `environmentCredentialResolver()`. Uma referência
+ * `vault://...` resolvia para `undefined` em produção — não por bug, por
+ * ausência: o fio entre o cofre e o motor nunca foi ligado.
+ *
+ * Este módulo é esse fio. Não é um segundo cofre — reaproveita
+ * `vault/repository.ts` inteiro (RLS FORCE, AAD por tenant, envelope
+ * AES-256-GCM) e acrescenta só o que o motor precisava e o Vault não tinha:
+ * ler por NOME em vez de `id` (`revealSecretByName`).
+ *
+ * **O que mudou no lote C1A.1.** A primeira versão aceitava um
+ * `SecretAccessGrant` montado pelo CHAMADOR: `principal` e `reason` eram
+ * strings, e qualquer módulo interno podia declará-las e pedir decifração.
+ * Isso registrava quem disse ser — não provava quem era. Agora o store exige
+ * uma `WorkloadIdentity` autenticada (`rbac/workload.ts`), e cada `reveal()`
+ * consulta o banco, DENTRO da mesma transação, para saber se aquele principal
+ * tem `vault.credential.decrypt` NAQUELE tenant, para AQUELE propósito e sobre
+ * AQUELE nome de credencial. O grant deixou de ser declaração e virou linha em
+ * tabela que o papel da aplicação não consegue escrever.
+ *
+ * O `SecretAccessGrant` permanece — como REGISTRO DE AUDITORIA derivado da
+ * decisão, não como entrada. É o que vai para o `audit_log`.
+ */
+Object.defineProperty(exports, "__esModule", { value: true });
+exports.VAULT_DECRYPT_PERMISSION = void 0;
+exports.createPostgresTenantSecretStore = createPostgresTenantSecretStore;
+const audit_js_1 = require("../../audit/audit.js");
+const context_js_1 = require("../../db/context.js");
+const workload_js_1 = require("../../rbac/workload.js");
+const repository_js_1 = require("../../vault/repository.js");
+/** A permissão do catálogo RBAC exigida para decifrar. Uma só, específica. */
+exports.VAULT_DECRYPT_PERMISSION = 'vault.credential.decrypt';
+const ACTOR_TYPE = 'automation';
+/**
+ * `TenantSecretStore` sobre o Vault Engine.
+ *
+ * `reveal(tenantId, name)` recebe `tenantId` POR CHAMADA — o store é
+ * construído uma vez, no processo, e serve qualquer tenant que o motor
+ * resolver depois. É o mesmo desenho de `createChannelCredentialResolver`:
+ * quem sabe o tenant é o CHAMADOR, nunca o store. Mas saber o tenant não
+ * autoriza: cada chamada é decidida contra os grants DAQUELE tenant.
+ *
+ * Deny-by-default em toda borda:
+ *  - identidade não emitida por `authenticateWorkload` → lança na CONSTRUÇÃO
+ *  - `tenantId`/`name` vazios          → nega sem tocar o banco
+ *  - sessão expirada                   → nega, audita `denied`
+ *  - principal revogado/desabilitado   → nega, audita `denied`
+ *  - sem grant casando tenant+permissão+propósito+recurso → nega, audita `denied`
+ *  - nome inexistente/revogado/de outro tenant → nega (RLS filtra a linha)
+ *  - vencida (`expires_at`)            → nega, NUNCA decifra
+ *  - erro de infraestrutura            → propaga (não é "ausência"; é falha)
+ *
+ * Toda chamada que chega ao banco grava uma linha em `audit_log` —
+ * sucesso, ausência ou negação. O reveal nunca é silencioso.
+ */
+function createPostgresTenantSecretStore(db, keyring, identity, options) {
+    // Identidade forjada não passa da construção. Um `ForbiddenError` no boot é
+    // muito melhor que um `undefined` na primeira tentativa de envio.
+    (0, workload_js_1.assertMintedWorkloadIdentity)(identity);
+    const purpose = options?.purpose;
+    const correlationId = options?.correlationId ?? null;
+    const auditBase = (grantId, denyReason) => ({
+        purpose,
+        principal: identity.principalKey,
+        principalId: identity.principalId,
+        permission: exports.VAULT_DECRYPT_PERMISSION,
+        grantId,
+        correlationId,
+        ...(denyReason ? { denyReason } : {}),
+    });
+    return {
+        async reveal(tenantId, name) {
+            const trimmedTenant = tenantId?.trim() ?? '';
+            const trimmedName = name?.trim() ?? '';
+            // Contexto insuficiente: nem abre transação. Não há tenant para auditar
+            // contra, e um GUC vazio não é "nenhum tenant" — é erro de outra camada.
+            if (!trimmedTenant || !trimmedName)
+                return undefined;
+            return (0, context_js_1.withContext)(db, { tenantId: trimmedTenant }, async (tx) => {
+                const audit = async (result, grantId, denyReason, resourceId) => {
+                    await (0, audit_js_1.appendAudit)(tx, {
+                        actorType: ACTOR_TYPE,
+                        // `audit_log.actor_id` tem FK para `"user"(id)` — um principal de
+                        // workload não é usuário e não cabe ali. A identidade vai em
+                        // `metadata.principalId`, que é um uuid, não um segredo.
+                        actorId: null,
+                        action: 'vault.reveal',
+                        resourceType: 'vault_credential',
+                        ...(resourceId ? { resourceId } : {}),
+                        result,
+                        metadata: { name: trimmedName, ...auditBase(grantId, denyReason) },
+                    });
+                };
+                const decision = await (0, workload_js_1.authorizeWorkload)(tx, identity, {
+                    tenantId: trimmedTenant,
+                    permission: exports.VAULT_DECRYPT_PERMISSION,
+                    purpose,
+                    resource: trimmedName,
+                });
+                if (!decision.allowed) {
+                    await audit('denied', null, decision.denyReason);
+                    return undefined;
+                }
+                const found = await (0, repository_js_1.revealSecretByName)(tx, keyring, trimmedTenant, trimmedName);
+                if (!found) {
+                    await audit('failure', decision.grantId, 'not_found_or_revoked');
+                    return undefined;
+                }
+                if (found.status === 'expired') {
+                    await audit('failure', decision.grantId, 'expired', found.meta.id);
+                    return undefined;
+                }
+                await audit('success', decision.grantId, undefined, found.meta.id);
+                return found.secret;
+            });
+        },
+    };
+}
+//# sourceMappingURL=secrets.js.map

package/dist/cjs/communication/stores/secrets.js.map

@@ -0,0 +1 @@
+{"version":3,"file":"secrets.js","sourceRoot":"","sources":["../../../../src/communication/stores/secrets.ts"],"names":[],"mappings":";AAAA;;;;;;;;;;;;;;;;;;;;;;;;;;;;GA4BG;;;AA+EH,0EAgFC;AA5JD,mDAAmD;AAEnD,oDAAkD;AAClD,wDAMgC;AAChC,6DAA+D;AAW/D,8EAA8E;AACjE,QAAA,wBAAwB,GAAG,0BAA0B,CAAC;AA4BnE,MAAM,UAAU,GAAc,YAAY,CAAC;AAI3C;;;;;;;;;;;;;;;;;;;;;GAqBG;AACH,SAAgB,+BAA+B,CAC7C,EAAM,EACN,OAAgB,EAChB,QAA0B,EAC1B,OAAiC;IAEjC,4EAA4E;IAC5E,kEAAkE;IAClE,IAAA,0CAA4B,EAAC,QAAQ,CAAC,CAAC;IACvC,MAAM,OAAO,GAAG,OAAO,EAAE,OAAO,CAAC;IACjC,MAAM,aAAa,GAAG,OAAO,EAAE,aAAa,IAAI,IAAI,CAAC;IAErD,MAAM,SAAS,GAAG,CAAC,OAAsB,EAAE,UAAwC,EAAE,EAAE,CAAC,CAAC;QACvF,OAAO;QACP,SAAS,EAAE,QAAQ,CAAC,YAAY;QAChC,WAAW,EAAE,QAAQ,CAAC,WAAW;QACjC,UAAU,EAAE,gCAAwB;QACpC,OAAO;QACP,aAAa;QACb,GAAG,CAAC,UAAU,CAAC,CAAC,CAAC,EAAE,UAAU,EAAE,CAAC,CAAC,CAAC,EAAE,CAAC;KACtC,CAAC,CAAC;IAEH,OAAO;QACL,KAAK,CAAC,MAAM,CAAC,QAAgB,EAAE,IAAY;YACzC,MAAM,aAAa,GAAG,QAAQ,EAAE,IAAI,EAAE,IAAI,EAAE,CAAC;YAC7C,MAAM,WAAW,GAAG,IAAI,EAAE,IAAI,EAAE,IAAI,EAAE,CAAC;YACvC,wEAAwE;YACxE,yEAAyE;YACzE,IAAI,CAAC,aAAa,IAAI,CAAC,WAAW;gBAAE,OAAO,SAAS,CAAC;YAErD,OAAO,IAAA,wBAAW,EAAC,EAAE,EAAE,EAAE,QAAQ,EAAE,aAAa,EAAE,EAAE,KAAK,EAAE,EAAM,EAAE,EAAE;gBACnE,MAAM,KAAK,GAAG,KAAK,EACjB,MAAe,EACf,OAAsB,EACtB,UAAmB,EACnB,UAAmB,EACnB,EAAE;oBACF,MAAM,IAAA,sBAAW,EAAC,EAAE,EAAE;wBACpB,SAAS,EAAE,UAAU;wBACrB,kEAAkE;wBAClE,6DAA6D;wBAC7D,yDAAyD;wBACzD,OAAO,EAAE,IAAI;wBACb,MAAM,EAAE,cAAc;wBACtB,YAAY,EAAE,kBAAkB;wBAChC,GAAG,CAAC,UAAU,CAAC,CAAC,CAAC,EAAE,UAAU,EAAE,CAAC,CAAC,CAAC,EAAE,CAAC;wBACrC,MAAM;wBACN,QAAQ,EAAE,EAAE,IAAI,EAAE,WAAW,EAAE,GAAG,SAAS,CAAC,OAAO,EAAE,UAAU,CAAC,EAAE;qBACnE,CAAC,CAAC;gBACL,CAAC,CAAC;gBAEF,MAAM,QAAQ,GAAG,MAAM,IAAA,+BAAiB,EAAC,EAAE,EAAE,QAAQ,EAAE;oBACrD,QAAQ,EAAE,aAAa;oBACvB,UAAU,EAAE,gCAAwB;oBACpC,OAAO;oBACP,QAAQ,EAAE,WAAW;iBACtB,CAAC,CAAC;gBAEH,IAAI,CAAC,QAAQ,CAAC,OAAO,EAAE,CAAC;oBACtB,MAAM,KAAK,CAAC,QAAQ,EAAE,IAAI,EAAE,QAAQ,CAAC,UAAU,CAAC,CAAC;oBACjD,OAAO,SAAS,CAAC;gBACnB,CAAC;gBAED,MAAM,KAAK,GAAG,MAAM,IAAA,kCAAkB,EAAC,EAAE,EAAE,OAAO,EAAE,aAAa,EAAE,WAAW,CAAC,CAAC;gBAEhF,IAAI,CAAC,KAAK,EAAE,CAAC;oBACX,MAAM,KAAK,CAAC,SAAS,EAAE,QAAQ,CAAC,OAAO,EAAE,sBAAsB,CAAC,CAAC;oBACjE,OAAO,SAAS,CAAC;gBACnB,CAAC;gBAED,IAAI,KAAK,CAAC,MAAM,KAAK,SAAS,EAAE,CAAC;oBAC/B,MAAM,KAAK,CAAC,SAAS,EAAE,QAAQ,CAAC,OAAO,EAAE,SAAS,EAAE,KAAK,CAAC,IAAI,CAAC,EAAE,CAAC,CAAC;oBACnE,OAAO,SAAS,CAAC;gBACnB,CAAC;gBAED,MAAM,KAAK,CAAC,SAAS,EAAE,QAAQ,CAAC,OAAO,EAAE,SAAS,EAAE,KAAK,CAAC,IAAI,CAAC,EAAE,CAAC,CAAC;gBACnE,OAAO,KAAK,CAAC,MAAM,CAAC;YACtB,CAAC,CAAC,CAAC;QACL,CAAC;KACF,CAAC;AACJ,CAAC"}

package/dist/cjs/communication/template-provider.js

@@ -0,0 +1,22 @@
+"use strict";
+/**
+ * Submissão de template de mensagem — contrato do DOMÍNIO.
+ *
+ * ## Por que existe separado do adapter
+ *
+ * Canais que exigem template aprovado não são exclusividade do WhatsApp: RCS e
+ * boa parte dos provedores de SMS transacional pedem o mesmo. O que o domínio
+ * precisa expressar é a INTENÇÃO — "submeter este texto, com estas variáveis,
+ * nesta categoria, para aprovação" — e não `POST /{waba-id}/message_templates`.
+ *
+ * Nada aqui menciona Meta, WABA ou Graph API. Trocar de provider é escrever
+ * outro adapter; nenhuma linha de catálogo, régua ou motor muda.
+ *
+ * ## O que o domínio NÃO decide
+ *
+ * O texto. Ele vem do consumidor, porque a forma como um escritório fala com o
+ * cliente é dele — o motor guarda e resolve templates, e não contém nenhum
+ * (adendo §14).
+ */
+Object.defineProperty(exports, "__esModule", { value: true });
+//# sourceMappingURL=template-provider.js.map

package/dist/cjs/communication/template-provider.js.map

@@ -0,0 +1 @@
+{"version":3,"file":"template-provider.js","sourceRoot":"","sources":["../../../src/communication/template-provider.ts"],"names":[],"mappings":";AAAA;;;;;;;;;;;;;;;;;;GAkBG"}

package/dist/cjs/communication/template.js

@@ -0,0 +1,63 @@
+"use strict";
+/**
+ * Modelo de template do motor compartilhado.
+ *
+ * O motor guarda e resolve templates. Ele **não contém nenhum**: nenhuma string
+ * de cobrança da SC, nenhum texto de assinatura da Dental. O catálogo é dado do
+ * consumidor, e é assim que "motor compartilhado" não vira "monolito central
+ * cheio de regra de negócio alheia" (adendo §14).
+ *
+ * O que o motor sabe é o que todo canal precisa que alguém saiba: qual template
+ * vale para este contexto, nesta versão, neste idioma, e se ele está aprovado.
+ */
+Object.defineProperty(exports, "__esModule", { value: true });
+exports.resolveTemplate = resolveTemplate;
+exports.orderVariables = orderVariables;
+/**
+ * Especificidade do escopo — maior vence.
+ *
+ * Tenant+marca (3) > tenant (2) > marca do produto (1) > produto (0). Um
+ * escritório que personalizou o próprio texto não pode ser sobrescrito pelo
+ * padrão do produto só porque o padrão foi atualizado depois.
+ */
+function specificity(t) {
+    return (t.tenantId ? 2 : 0) + (t.brand ? 1 : 0);
+}
+/**
+ * Resolve o template mais específico e aprovado.
+ *
+ * Um candidato de escopo mais específico porém NÃO aprovado não silencia os
+ * menos específicos — cair para o padrão do produto é melhor que não enviar. Mas
+ * também não é escolhido: enviar um rascunho seria pior que os dois.
+ */
+async function resolveTemplate(store, ctx, channel, eventType, locale) {
+    const all = await store.candidates(ctx, channel, eventType, locale);
+    if (all.length === 0) {
+        return { ok: false, reason: 'not_found', detail: `sem template para ${eventType}/${channel}` };
+    }
+    const approved = all.filter((t) => t.status === 'approved');
+    if (approved.length === 0) {
+        return {
+            ok: false,
+            reason: 'not_approved',
+            detail: `template de ${eventType}/${channel} existe mas não está aprovado`,
+        };
+    }
+    const best = approved.reduce((a, b) => (specificity(b) > specificity(a) ? b : a));
+    return { ok: true, template: best };
+}
+/**
+ * Ordena as variáveis do consumidor na ordem que o template declara.
+ *
+ * Devolve falha quando falta alguma, em vez de substituir por vazio. Um template
+ * de cobrança com o valor em branco — "consta em aberto o valor de ." — chega ao
+ * cliente parecendo defeito do escritório, e o WhatsApp recusa a mensagem de
+ * qualquer forma quando um parâmetro posicional vem vazio.
+ */
+function orderVariables(template, values) {
+    const missing = template.variables.filter((name) => values[name] === undefined || values[name] === '');
+    if (missing.length > 0)
+        return { ok: false, missing: [...missing] };
+    return { ok: true, ordered: template.variables.map((name) => values[name]) };
+}
+//# sourceMappingURL=template.js.map

package/dist/cjs/communication/template.js.map

@@ -0,0 +1 @@
+{"version":3,"file":"template.js","sourceRoot":"","sources":["../../../src/communication/template.ts"],"names":[],"mappings":";AAAA;;;;;;;;;;GAUG;;AA8EH,0CAuBC;AAUD,wCASC;AA5DD;;;;;;GAMG;AACH,SAAS,WAAW,CAAC,CAAiB;IACpC,OAAO,CAAC,CAAC,CAAC,QAAQ,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,GAAG,CAAC,CAAC,CAAC,KAAK,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC;AAClD,CAAC;AAED;;;;;;GAMG;AACI,KAAK,UAAU,eAAe,CACnC,KAAoB,EACpB,GAAyB,EACzB,OAAmB,EACnB,SAAiB,EACjB,MAAc;IAEd,MAAM,GAAG,GAAG,MAAM,KAAK,CAAC,UAAU,CAAC,GAAG,EAAE,OAAO,EAAE,SAAS,EAAE,MAAM,CAAC,CAAC;IACpE,IAAI,GAAG,CAAC,MAAM,KAAK,CAAC,EAAE,CAAC;QACrB,OAAO,EAAE,EAAE,EAAE,KAAK,EAAE,MAAM,EAAE,WAAW,EAAE,MAAM,EAAE,qBAAqB,SAAS,IAAI,OAAO,EAAE,EAAE,CAAC;IACjG,CAAC;IAED,MAAM,QAAQ,GAAG,GAAG,CAAC,MAAM,CAAC,CAAC,CAAC,EAAE,EAAE,CAAC,CAAC,CAAC,MAAM,KAAK,UAAU,CAAC,CAAC;IAC5D,IAAI,QAAQ,CAAC,MAAM,KAAK,CAAC,EAAE,CAAC;QAC1B,OAAO;YACL,EAAE,EAAE,KAAK;YACT,MAAM,EAAE,cAAc;YACtB,MAAM,EAAE,eAAe,SAAS,IAAI,OAAO,+BAA+B;SAC3E,CAAC;IACJ,CAAC;IAED,MAAM,IAAI,GAAG,QAAQ,CAAC,MAAM,CAAC,CAAC,CAAC,EAAE,CAAC,EAAE,EAAE,CAAC,CAAC,WAAW,CAAC,CAAC,CAAC,GAAG,WAAW,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC;IAClF,OAAO,EAAE,EAAE,EAAE,IAAI,EAAE,QAAQ,EAAE,IAAI,EAAE,CAAC;AACtC,CAAC;AAED;;;;;;;GAOG;AACH,SAAgB,cAAc,CAC5B,QAAwB,EACxB,MAA8B;IAE9B,MAAM,OAAO,GAAG,QAAQ,CAAC,SAAS,CAAC,MAAM,CACvC,CAAC,IAAI,EAAE,EAAE,CAAC,MAAM,CAAC,IAAI,CAAC,KAAK,SAAS,IAAI,MAAM,CAAC,IAAI,CAAC,KAAK,EAAE,CAC5D,CAAC;IACF,IAAI,OAAO,CAAC,MAAM,GAAG,CAAC;QAAE,OAAO,EAAE,EAAE,EAAE,KAAK,EAAE,OAAO,EAAE,CAAC,GAAG,OAAO,CAAC,EAAE,CAAC;IACpE,OAAO,EAAE,EAAE,EAAE,IAAI,EAAE,OAAO,EAAE,QAAQ,CAAC,SAAS,CAAC,GAAG,CAAC,CAAC,IAAI,EAAE,EAAE,CAAC,MAAM,CAAC,IAAI,CAAE,CAAC,EAAE,CAAC;AAChF,CAAC"}