@baruk/core 0.3.1 → 0.4.2

package/dist/mail/transactional-outbound.js

@@ -0,0 +1,113 @@
+/**
+ * A porta ÚNICA de e-mail para os fluxos que não passam pelo motor multicanal.
+ *
+ * ## O bloqueador que este arquivo fecha
+ *
+ * `SINGLE_DISPATCH_AUTHORITY=FAIL`. O guard da rodada anterior varria só
+ * `packages/core/src` e não enxergava o que estava do lado de fora:
+ *
+ *     apps/api/src/routes/admin.ts      → sendEmail(process.env.RESEND_API_KEY, …)
+ *     apps/api/src/routes/documents.ts  → sendEmail(process.env.RESEND_API_KEY, …)
+ *     apps/api/src/routes/auth.ts       → sendEmail(process.env.RESEND_API_KEY, …)
+ *     packages/core/src/subscription-billing/service.ts → sendEmail(cfg.resendApiKey, …)
+ *
+ * Quatro caminhos de APLICAÇÃO chamando o transporte direto, cada um lendo a
+ * credencial e o remetente por conta própria. Não é um cliente provider paralelo
+ * — é o mesmo transporte —, mas é código de domínio alcançando a borda de envio
+ * sem passar por autoridade nenhuma, que é o que o adendo §12 proíbe.
+ *
+ * ## O que ela NÃO é
+ *
+ * **Não é o motor multicanal, e não finge ser.** Convite, reconvite, acesso ao
+ * Portal e recuperação de senha são comunicação de IDENTIDADE: acontecem antes de
+ * existir cliente, antes de existir consentimento de contribuinte, e — no caso do
+ * `forgot-password` — antes de existir sessão de onde tirar um tenant. Passá-los
+ * pelo `dispatch` exigiria inventar `recipientRef`, `subjectRef`, template
+ * aprovado e conta de canal para cada um; a fase que fizer isso é própria, e
+ * `AUTH_EMAIL_NOT_ON_SHARED_ENGINE` fica registrada como dívida.
+ *
+ * O que ela é: um **adapter de entrada** (§13). Fluxo legado sem cliente provider
+ * próprio, com uma porta só, nominal e vigiada.
+ *
+ * ## O que ela acrescenta de verdade
+ *
+ * Uma barreira que só renomeia o caminho não é correção. Estes fluxos ganham,
+ * aqui, três coisas que nenhum deles tinha:
+ *
+ *  1. **Idempotência de provider.** Nenhum dos quatro mandava `Idempotency-Key`.
+ *     Duplo-clique em "convidar" ou retry de cron produzia duas mensagens
+ *     idênticas na caixa de quem recebe. A chave é derivada do CONTEÚDO (ver
+ *     `identityFor`), então retry idêntico dedupe e reconvite legítimo — que
+ *     carrega um token novo — passa.
+ *  2. **Um lugar só para a credencial.** `process.env.RESEND_API_KEY` deixa de
+ *     ser lido em quatro arquivos. Quatro leituras é onde uma delas fica para
+ *     trás no dia da rotação.
+ *  3. **Um alvo só para o guard.** O guard de fronteira global proíbe `sendEmail*`
+ *     em todo o repositório exceto no transporte, nos adapters do motor e aqui.
+ */
+import { createHash } from 'node:crypto';
+import { sendEmailWithResult } from './resend.js';
+/**
+ * A chave que o provider vai deduplicar.
+ *
+ * Derivada do CONTEÚDO — destinatário, assunto, remetente e corpo — e não de um
+ * identificador de negócio. A escolha decide o comportamento em produção:
+ *
+ *   • retry idêntico (duplo-clique, reexecução de cron) produz a MESMA chave, e o
+ *     Resend devolve a resposta original sem mandar a segunda mensagem;
+ *   • reconvite legítimo carrega um token novo no corpo, logo uma chave nova, e
+ *     sai normalmente.
+ *
+ * Derivar de `kind + destinatário` faria o oposto e seria pior que não ter chave:
+ * o reconvite legítimo seria silenciosamente descartado pelo provider dentro da
+ * janela de 24 h, e ninguém veria — a resposta de um replay é `200`.
+ *
+ * `sha256` hexadecimal, 64 caracteres, dentro do limite de 1 a 256 do provider.
+ */
+function identityFor(req) {
+    /*
+     * Serializado como ARRAY, e não concatenado com um separador.
+     *
+     * Concatenar campos com um caractere qualquer é ambíguo: `to='a b'` com
+     * `from='c'` produz a mesma cadeia que `to='a'` com `from='b c'`, e duas
+     * mensagens diferentes ganhariam a mesma chave — o provider descartaria a
+     * segunda como replay. `JSON.stringify` de um array escapa os campos e o
+     * comprimento fica implícito na estrutura, então nenhum conteúdo consegue
+     * imitar a fronteira entre dois campos.
+     */
+    const material = JSON.stringify([
+        req.kind,
+        req.message.to,
+        req.message.from,
+        req.message.subject,
+        req.message.html,
+        req.message.text ?? null,
+    ]);
+    return createHash('sha256').update(material, 'utf8').digest('hex');
+}
+/**
+ * Envia, com o desfecho detalhado.
+ *
+ * Best-effort como sempre foi: devolve o resultado, nunca lança. Quem chama
+ * decide o que fazer — e continua podendo distinguir "o provider recusou" de "a
+ * mensagem saiu", que é a distinção que fez o Portal ficar meses sem acesso
+ * ativo quando ela não existia.
+ */
+export async function sendTransactionalOutboundWithResult(req) {
+    return sendEmailWithResult(req.apiKey ?? process.env.RESEND_API_KEY, req.message, {
+        idempotencyKey: identityFor(req),
+        fetchImpl: req.fetchImpl,
+    });
+}
+/**
+ * Envia e devolve só se saiu.
+ *
+ * A forma que os quatro chamadores legados já usavam (`boolean`), preservada para
+ * que a consolidação não mude a resposta de nenhuma rota — nem o `201` do
+ * convite, nem o campo `invitationEmailSent` que a tela lê.
+ */
+export async function sendTransactionalOutbound(req) {
+    const result = await sendTransactionalOutboundWithResult(req);
+    return result.ok;
+}
+//# sourceMappingURL=transactional-outbound.js.map

package/dist/mail/transactional-outbound.js.map

@@ -0,0 +1 @@
+{"version":3,"file":"transactional-outbound.js","sourceRoot":"","sources":["../../src/mail/transactional-outbound.ts"],"names":[],"mappings":"AAAA;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;GA8CG;AAEH,OAAO,EAAE,UAAU,EAAE,MAAM,aAAa,CAAC;AACzC,OAAO,EAAE,mBAAmB,EAA2C,MAAM,aAAa,CAAC;AAqD3F;;;;;;;;;;;;;;;;GAgBG;AACH,SAAS,WAAW,CAAC,GAA8B;IACjD;;;;;;;;;OASG;IACH,MAAM,QAAQ,GAAG,IAAI,CAAC,SAAS,CAAC;QAC9B,GAAG,CAAC,IAAI;QACR,GAAG,CAAC,OAAO,CAAC,EAAE;QACd,GAAG,CAAC,OAAO,CAAC,IAAI;QAChB,GAAG,CAAC,OAAO,CAAC,OAAO;QACnB,GAAG,CAAC,OAAO,CAAC,IAAI;QAChB,GAAG,CAAC,OAAO,CAAC,IAAI,IAAI,IAAI;KACzB,CAAC,CAAC;IACH,OAAO,UAAU,CAAC,QAAQ,CAAC,CAAC,MAAM,CAAC,QAAQ,EAAE,MAAM,CAAC,CAAC,MAAM,CAAC,KAAK,CAAC,CAAC;AACrE,CAAC;AAED;;;;;;;GAOG;AACH,MAAM,CAAC,KAAK,UAAU,mCAAmC,CACvD,GAA8B;IAE9B,OAAO,mBAAmB,CAAC,GAAG,CAAC,MAAM,IAAI,OAAO,CAAC,GAAG,CAAC,cAAc,EAAE,GAAG,CAAC,OAAO,EAAE;QAChF,cAAc,EAAE,WAAW,CAAC,GAAG,CAAC;QAChC,SAAS,EAAE,GAAG,CAAC,SAAS;KACzB,CAAC,CAAC;AACL,CAAC;AAED;;;;;;GAMG;AACH,MAAM,CAAC,KAAK,UAAU,yBAAyB,CAAC,GAA8B;IAC5E,MAAM,MAAM,GAAG,MAAM,mCAAmC,CAAC,GAAG,CAAC,CAAC;IAC9D,OAAO,MAAM,CAAC,EAAE,CAAC;AACnB,CAAC"}

package/dist/mail/types.d.ts

@@ -1,143 +1,3 @@
-export type EmailAddress = string;
-/** "queued" não existe (RFC §4.1/§4.6 — a capability é síncrona e 1:1; fila é responsabilidade do consumidor). */
-export type DeliveryStatus = 'sent' | 'failed' | 'skipped';
-/**
- * Códigos organizados por retryability (RFC §5), não por causa técnica:
- * - transitório (retry seguro): "timeout" | "provider-unavailable"
- * - permanente (retry nunca resolve): "invalid-recipient" | "provider-rejected"
- * - "unknown" trata-se como permanente por padrão
- */
-export type DeliveryErrorCode = 'timeout' | 'provider-unavailable' | 'invalid-recipient' | 'provider-rejected' | 'unknown';
-export interface DeliveryResult {
-    status: DeliveryStatus;
-    /** id retornado pelo provider (ex.: id do Resend), presente apenas quando status === 'sent'. */
-    providerId?: string;
-    /**
-     * status === 'skipped' DEVE ser tratado pelo consumidor como "não entregue" (falha suave),
-     * nunca como sucesso (RFC §5, R2).
-     */
-    error?: {
-        code: DeliveryErrorCode;
-        /** Nunca contém a credencial do provider (invariante, RFC §4.2). */
-        message: string;
-    };
-}
-export interface SendTransactionalEmailInput {
-    to: EmailAddress;
-    /** id resolvido pelo TemplateRenderer do consumidor (RFC §4.3). */
-    template: string;
-    data: Record<string, unknown>;
-    /**
-     * Dedup só se aplica quando fornecida explicitamente (RFC §4.2, G2).
-     * Sem idempotencyKey, nenhuma deduplicação é feita.
-     */
-    idempotencyKey?: string;
-    tag?: string;
-    /** Maior precedência de resolução de remetente (RFC §4.5). */
-    from?: EmailAddress;
-    /** Usado pelo SenderResolver quando `from` não é fornecido (RFC §4.5). */
-    brand?: string;
-    replyTo?: EmailAddress;
-}
-export interface TransactionalEmailCapability {
-    sendTransactionalEmail(input: SendTransactionalEmailInput): Promise<DeliveryResult>;
-}
-export interface RenderedEmail {
-    subject: string;
-    html: string;
-    text?: string;
-}
-/** Ponto de extensão plugável — motor de template fica fora do core (RFC §4.3). */
-export interface TemplateRenderer {
-    render(template: string, data: Record<string, unknown>): RenderedEmail;
-}
-/** Ponto de extensão plugável — resolução de remetente por marca/tenant (RFC §4.5). */
-export interface SenderResolver {
-    resolveFrom(brand?: string | undefined): EmailAddress;
-}
-/** Ponto de extensão plugável — tracking/observação fica fora do core (RFC §4.8). */
-export interface DeliveryHook {
-    beforeSend?(input: SendTransactionalEmailInput): SendTransactionalEmailInput;
-    afterSend?(input: SendTransactionalEmailInput, result: DeliveryResult): void;
-}
-/**
- * "shared": store comum entre instâncias — garante o invariante de dedup de fato.
- * "in-memory": cache local por instância — best-effort, NÃO garante dedup sob múltiplas réplicas
- * (RFC §4.2 exige que essa distinção seja declarada explicitamente, não assumida).
- */
-export type DedupStoreMode = 'shared' | 'in-memory';
-export interface DedupEntry {
-    result: DeliveryResult;
-    expiresAt: number;
-}
-/**
- * Resultado de `DedupStore.reserve` (Bloqueador 2 — Auditoria Codex, RFC §4.2, refinado na
- * Certification Round 2 — 2026-07-21).
- * `acquired: true` — este chamador se tornou o dono do envio: deve enviar e, ao final,
- * chamar `set` com o resultado (sucesso ou falha) para liberar a reserva.
- * `acquired: false` — já existe uma entrada: `entry` traz o resultado assentado quando
- * disponível, ou `null` quando outra chamada está em andamento e ainda não terminou
- * (só pode ocorrer entre processos/réplicas diferentes — dentro do mesmo processo Node,
- * `reserve` nunca retorna `entry: null`, porque o Provider já resolve a coalescência
- * local antes de chegar a chamar `reserve` uma segunda vez para a mesma chave).
- *
- * **Contrato real do Provider canônico para `entry: null`** (Certification Round 2 —
- * antes desta versão, o Provider tratava esse caso como "pode enviar", o que reenviava
- * às cegas e quebrava o próprio invariante de dedup): o Provider aguarda de forma limitada
- * (`remoteReservationPollIntervalMs`/`remoteReservationMaxWaitMs`) por um resultado assentado
- * antes de decidir qualquer coisa; se o tempo se esgota, tenta assumir a reserva (presumindo-a
- * órfã) e, falhando isso também, devolve `DeliveryResult` `failed`/`provider-unavailable`
- * (retryable) em vez de enviar de novo. Uma implementação `mode: 'shared'` real precisa expirar
- * reservas órfãs via TTL no próprio store para que a segunda tentativa de `reserve` funcione.
- */
-export type DedupReservation = {
-    acquired: true;
-} | {
-    acquired: false;
-    entry: DedupEntry | null;
-};
-export interface DedupStore {
-    readonly mode: DedupStoreMode;
-    /** DEVE retornar `null` para entradas já expiradas — o Provider não reconfere `expiresAt`. */
-    get(key: string): Promise<DedupEntry | null> | DedupEntry | null;
-    set(key: string, entry: DedupEntry): Promise<void> | void;
-    /**
-     * Operação atômica de "reservar ou ler" — é o mecanismo real de deduplicação sob
-     * concorrência (Bloqueador 2). Implementações `mode: 'shared'` DEVEM usar um primitivo
-     * atômico do próprio store (ex.: `SETNX`/Lua no Redis, `INSERT ... ON CONFLICT DO NOTHING`
-     * no Postgres) para que a garantia valha entre processos/réplicas, não só dentro de um
-     * processo Node. `InMemoryDedupStore` (`mode: 'in-memory'`) só garante atomicidade dentro
-     * do mesmo processo — nunca prometa mais que isso para um store que não seja distribuído.
-     */
-    reserve(key: string, ttlMs: number): Promise<DedupReservation> | DedupReservation;
-}
-/**
- * Versão do contrato público desta capability (RFC-CAPABILITY-TRANSACTIONAL-EMAIL-001 §12, SemVer próprio
- * de capability — independente da versão do pacote `@baruk/core`, que versiona o motor inteiro, não uma
- * capability isolada). `0.2.1`: hardening pré-certificação (Capability Certification 001, Auditoria Codex)
- * — sanitização de segredos, dedup atômica, validação de endereço, exceções internas contidas. `0.2.2`:
- * hardening pós-Certification Round 2 — sanitização genérica estendida (URI-embedded credentials, token
- * estruturado, alta entropia) e coalescência distribuída real (espera limitada por reserva remota em
- * andamento, nunca reenvio às cegas). Nenhuma das duas mudou assinatura pública (patch, não minor/major).
- */
-export declare const TRANSACTIONAL_EMAIL_CONTRACT_VERSION = "0.2.2";
-/** Janela mínima de deduplicação exigida pela RFC §4.2 (24h) — implementações podem manter por mais tempo, nunca menos. */
-export declare const MIN_DEDUP_WINDOW_MS: number;
-/** Timeout padrão do Provider (RFC §5 — herdado empiricamente da implementação mais madura do inventário). */
-export declare const DEFAULT_TIMEOUT_MS = 12000;
-/**
- * Default de poll ao aguardar uma reserva remota em andamento num `DedupStore` `mode: 'shared'`
- * (Bloqueador 2 — Certification Round 2). Baixo o suficiente para não atrasar percebivelmente
- * o caso comum (reserva local, sem espera nenhuma).
- */
-export declare const DEFAULT_REMOTE_RESERVATION_POLL_INTERVAL_MS = 200;
-/**
- * Default de tempo máximo de espera por uma reserva remota antes de tentar assumi-la e,
- * falhando isso, devolver falha determinística retryable (Bloqueador 2 — Certification Round 2).
- * Maior que `DEFAULT_TIMEOUT_MS` — dá à instância dona tempo de terminar o próprio envio
- * (que pode levar até `DEFAULT_TIMEOUT_MS`) antes desta instância desistir de esperar.
- */
-export declare const DEFAULT_REMOTE_RESERVATION_MAX_WAIT_MS = 15000;
-/** Utilitário de conveniência para o consumidor decidir retry — não usado internamente pelo core (RFC §5). */
-export declare function isRetryableError(code: DeliveryErrorCode): boolean;
+export type { EmailAddress, DeliveryStatus, DeliveryErrorCode, DeliveryResult, SendTransactionalEmailInput, TransactionalEmailCapability, RenderedEmail, TemplateRenderer, SenderResolver, DeliveryHook, DedupStoreMode, DedupEntry, DedupReservation, DedupStore, } from '@baruk/communication';
+export { DEFAULT_TIMEOUT_MS, MIN_DEDUP_WINDOW_MS, TRANSACTIONAL_EMAIL_CONTRACT_VERSION, DEFAULT_REMOTE_RESERVATION_POLL_INTERVAL_MS, DEFAULT_REMOTE_RESERVATION_MAX_WAIT_MS, isRetryableError, } from '@baruk/communication';
 //# sourceMappingURL=types.d.ts.map

package/dist/mail/types.d.ts.map

@@ -1 +1 @@
-{"version":3,"file":"types.d.ts","sourceRoot":"","sources":["../../src/mail/types.ts"],"names":[],"mappings":"AAGA,MAAM,MAAM,YAAY,GAAG,MAAM,CAAC;AAElC,kHAAkH;AAClH,MAAM,MAAM,cAAc,GAAG,MAAM,GAAG,QAAQ,GAAG,SAAS,CAAC;AAE3D;;;;;GAKG;AACH,MAAM,MAAM,iBAAiB,GAC3B,SAAS,GAAG,sBAAsB,GAAG,mBAAmB,GAAG,mBAAmB,GAAG,SAAS,CAAC;AAE7F,MAAM,WAAW,cAAc;IAC7B,MAAM,EAAE,cAAc,CAAC;IACvB,gGAAgG;IAChG,UAAU,CAAC,EAAE,MAAM,CAAC;IACpB;;;OAGG;IACH,KAAK,CAAC,EAAE;QACN,IAAI,EAAE,iBAAiB,CAAC;QACxB,oEAAoE;QACpE,OAAO,EAAE,MAAM,CAAC;KACjB,CAAC;CACH;AAED,MAAM,WAAW,2BAA2B;IAC1C,EAAE,EAAE,YAAY,CAAC;IACjB,mEAAmE;IACnE,QAAQ,EAAE,MAAM,CAAC;IACjB,IAAI,EAAE,MAAM,CAAC,MAAM,EAAE,OAAO,CAAC,CAAC;IAC9B;;;OAGG;IACH,cAAc,CAAC,EAAE,MAAM,CAAC;IACxB,GAAG,CAAC,EAAE,MAAM,CAAC;IACb,8DAA8D;IAC9D,IAAI,CAAC,EAAE,YAAY,CAAC;IACpB,0EAA0E;IAC1E,KAAK,CAAC,EAAE,MAAM,CAAC;IACf,OAAO,CAAC,EAAE,YAAY,CAAC;CACxB;AAED,MAAM,WAAW,4BAA4B;IAC3C,sBAAsB,CAAC,KAAK,EAAE,2BAA2B,GAAG,OAAO,CAAC,cAAc,CAAC,CAAC;CACrF;AAED,MAAM,WAAW,aAAa;IAC5B,OAAO,EAAE,MAAM,CAAC;IAChB,IAAI,EAAE,MAAM,CAAC;IACb,IAAI,CAAC,EAAE,MAAM,CAAC;CACf;AAED,mFAAmF;AACnF,MAAM,WAAW,gBAAgB;IAC/B,MAAM,CAAC,QAAQ,EAAE,MAAM,EAAE,IAAI,EAAE,MAAM,CAAC,MAAM,EAAE,OAAO,CAAC,GAAG,aAAa,CAAC;CACxE;AAED,uFAAuF;AACvF,MAAM,WAAW,cAAc;IAC7B,WAAW,CAAC,KAAK,CAAC,EAAE,MAAM,GAAG,SAAS,GAAG,YAAY,CAAC;CACvD;AAED,qFAAqF;AACrF,MAAM,WAAW,YAAY;IAC3B,UAAU,CAAC,CAAC,KAAK,EAAE,2BAA2B,GAAG,2BAA2B,CAAC;IAC7E,SAAS,CAAC,CAAC,KAAK,EAAE,2BAA2B,EAAE,MAAM,EAAE,cAAc,GAAG,IAAI,CAAC;CAC9E;AAED;;;;GAIG;AACH,MAAM,MAAM,cAAc,GAAG,QAAQ,GAAG,WAAW,CAAC;AAEpD,MAAM,WAAW,UAAU;IACzB,MAAM,EAAE,cAAc,CAAC;IACvB,SAAS,EAAE,MAAM,CAAC;CACnB;AAED;;;;;;;;;;;;;;;;;;;GAmBG;AACH,MAAM,MAAM,gBAAgB,GAAG;IAAE,QAAQ,EAAE,IAAI,CAAA;CAAE,GAAG;IAAE,QAAQ,EAAE,KAAK,CAAC;IAAC,KAAK,EAAE,UAAU,GAAG,IAAI,CAAA;CAAE,CAAC;AAElG,MAAM,WAAW,UAAU;IACzB,QAAQ,CAAC,IAAI,EAAE,cAAc,CAAC;IAC9B,8FAA8F;IAC9F,GAAG,CAAC,GAAG,EAAE,MAAM,GAAG,OAAO,CAAC,UAAU,GAAG,IAAI,CAAC,GAAG,UAAU,GAAG,IAAI,CAAC;IACjE,GAAG,CAAC,GAAG,EAAE,MAAM,EAAE,KAAK,EAAE,UAAU,GAAG,OAAO,CAAC,IAAI,CAAC,GAAG,IAAI,CAAC;IAC1D;;;;;;;OAOG;IACH,OAAO,CAAC,GAAG,EAAE,MAAM,EAAE,KAAK,EAAE,MAAM,GAAG,OAAO,CAAC,gBAAgB,CAAC,GAAG,gBAAgB,CAAC;CACnF;AAED;;;;;;;;GAQG;AACH,eAAO,MAAM,oCAAoC,UAAU,CAAC;AAE5D,2HAA2H;AAC3H,eAAO,MAAM,mBAAmB,QAAsB,CAAC;AAEvD,8GAA8G;AAC9G,eAAO,MAAM,kBAAkB,QAAS,CAAC;AAEzC;;;;GAIG;AACH,eAAO,MAAM,2CAA2C,MAAM,CAAC;AAE/D;;;;;GAKG;AACH,eAAO,MAAM,sCAAsC,QAAS,CAAC;AAE7D,8GAA8G;AAC9G,wBAAgB,gBAAgB,CAAC,IAAI,EAAE,iBAAiB,GAAG,OAAO,CAEjE"}
+{"version":3,"file":"types.d.ts","sourceRoot":"","sources":["../../src/mail/types.ts"],"names":[],"mappings":"AAUA,YAAY,EACV,YAAY,EACZ,cAAc,EACd,iBAAiB,EACjB,cAAc,EACd,2BAA2B,EAC3B,4BAA4B,EAC5B,aAAa,EACb,gBAAgB,EAChB,cAAc,EACd,YAAY,EACZ,cAAc,EACd,UAAU,EACV,gBAAgB,EAChB,UAAU,GACX,MAAM,sBAAsB,CAAC;AAC9B,OAAO,EACL,kBAAkB,EAClB,mBAAmB,EACnB,oCAAoC,EACpC,2CAA2C,EAC3C,sCAAsC,EACtC,gBAAgB,GACjB,MAAM,sBAAsB,CAAC"}

package/dist/mail/types.js

@@ -1,34 +1,2 @@
-// cap.communication.transactional-email — contrato canônico (RFC-CAPABILITY-TRANSACTIONAL-EMAIL-001 v0.2).
-// Ver docs/governance/RFC-CAPABILITY-TRANSACTIONAL-EMAIL-001.md no repo baruk-ecosystem.
-/**
- * Versão do contrato público desta capability (RFC-CAPABILITY-TRANSACTIONAL-EMAIL-001 §12, SemVer próprio
- * de capability — independente da versão do pacote `@baruk/core`, que versiona o motor inteiro, não uma
- * capability isolada). `0.2.1`: hardening pré-certificação (Capability Certification 001, Auditoria Codex)
- * — sanitização de segredos, dedup atômica, validação de endereço, exceções internas contidas. `0.2.2`:
- * hardening pós-Certification Round 2 — sanitização genérica estendida (URI-embedded credentials, token
- * estruturado, alta entropia) e coalescência distribuída real (espera limitada por reserva remota em
- * andamento, nunca reenvio às cegas). Nenhuma das duas mudou assinatura pública (patch, não minor/major).
- */
-export const TRANSACTIONAL_EMAIL_CONTRACT_VERSION = '0.2.2';
-/** Janela mínima de deduplicação exigida pela RFC §4.2 (24h) — implementações podem manter por mais tempo, nunca menos. */
-export const MIN_DEDUP_WINDOW_MS = 24 * 60 * 60 * 1000;
-/** Timeout padrão do Provider (RFC §5 — herdado empiricamente da implementação mais madura do inventário). */
-export const DEFAULT_TIMEOUT_MS = 12_000;
-/**
- * Default de poll ao aguardar uma reserva remota em andamento num `DedupStore` `mode: 'shared'`
- * (Bloqueador 2 — Certification Round 2). Baixo o suficiente para não atrasar percebivelmente
- * o caso comum (reserva local, sem espera nenhuma).
- */
-export const DEFAULT_REMOTE_RESERVATION_POLL_INTERVAL_MS = 200;
-/**
- * Default de tempo máximo de espera por uma reserva remota antes de tentar assumi-la e,
- * falhando isso, devolver falha determinística retryable (Bloqueador 2 — Certification Round 2).
- * Maior que `DEFAULT_TIMEOUT_MS` — dá à instância dona tempo de terminar o próprio envio
- * (que pode levar até `DEFAULT_TIMEOUT_MS`) antes desta instância desistir de esperar.
- */
-export const DEFAULT_REMOTE_RESERVATION_MAX_WAIT_MS = 15_000;
-/** Utilitário de conveniência para o consumidor decidir retry — não usado internamente pelo core (RFC §5). */
-export function isRetryableError(code) {
-    return code === 'timeout' || code === 'provider-unavailable';
-}
+export { DEFAULT_TIMEOUT_MS, MIN_DEDUP_WINDOW_MS, TRANSACTIONAL_EMAIL_CONTRACT_VERSION, DEFAULT_REMOTE_RESERVATION_POLL_INTERVAL_MS, DEFAULT_REMOTE_RESERVATION_MAX_WAIT_MS, isRetryableError, } from '@baruk/communication';
 //# sourceMappingURL=types.js.map

package/dist/mail/types.js.map

@@ -1 +1 @@
-{"version":3,"file":"types.js","sourceRoot":"","sources":["../../src/mail/types.ts"],"names":[],"mappings":"AAAA,2GAA2G;AAC3G,yFAAyF;AA6HzF;;;;;;;;GAQG;AACH,MAAM,CAAC,MAAM,oCAAoC,GAAG,OAAO,CAAC;AAE5D,2HAA2H;AAC3H,MAAM,CAAC,MAAM,mBAAmB,GAAG,EAAE,GAAG,EAAE,GAAG,EAAE,GAAG,IAAI,CAAC;AAEvD,8GAA8G;AAC9G,MAAM,CAAC,MAAM,kBAAkB,GAAG,MAAM,CAAC;AAEzC;;;;GAIG;AACH,MAAM,CAAC,MAAM,2CAA2C,GAAG,GAAG,CAAC;AAE/D;;;;;GAKG;AACH,MAAM,CAAC,MAAM,sCAAsC,GAAG,MAAM,CAAC;AAE7D,8GAA8G;AAC9G,MAAM,UAAU,gBAAgB,CAAC,IAAuB;IACtD,OAAO,IAAI,KAAK,SAAS,IAAI,IAAI,KAAK,sBAAsB,CAAC;AAC/D,CAAC"}
+{"version":3,"file":"types.js","sourceRoot":"","sources":["../../src/mail/types.ts"],"names":[],"mappings":"AA0BA,OAAO,EACL,kBAAkB,EAClB,mBAAmB,EACnB,oCAAoC,EACpC,2CAA2C,EAC3C,sCAAsC,EACtC,gBAAgB,GACjB,MAAM,sBAAsB,CAAC"}

package/dist/portal/provisioning.d.ts

@@ -0,0 +1,58 @@
+import type { Tx } from '../db/client.js';
+/**
+ * Provisionamento de usuário do Portal do Contribuinte.
+ *
+ * Fecha um gap que a Discovery encontrou e que tornava o Portal inoperável em
+ * produção: `inviteUser` grava `'staff'` literal, `POST /v1/users` não aceita
+ * `userType`, e `ensurePortalAccess` só era chamada por seeds e testes. Não
+ * existia caminho de produto para dar um único usuário ao Portal — só SQL
+ * manual.
+ *
+ * A diferença para `inviteUser` não é cosmética: além de `user_type`, um usuário
+ * de portal exige o vínculo em `client_portal_access`, que é o que a RLS usa
+ * para resolver `app.current_client`. Sem ele, o login funciona e o portal fica
+ * vazio.
+ */
+export interface InvitePortalUserInput {
+    clientId: string;
+    email: string;
+    fullName: string;
+    invitedBy: string;
+}
+export interface InvitePortalUserResult {
+    userId: string;
+    email: string;
+    fullName: string;
+    clientId: string;
+    /**
+     * Emitido para usuário novo e para quem foi convidado e ainda não ativou
+     * (reenvio). Quem já ativou usa a própria senha e não recebe token — convite
+     * não é caminho para redefinir senha de conta ativa.
+     */
+    activationToken: string | null;
+    /** true quando o acesso já existia e nada foi criado. */
+    alreadyHadAccess: boolean;
+    /** true quando o convite reemitiu token para quem ainda não havia ativado. */
+    isReinvite: boolean;
+}
+export declare function invitePortalUser(tx: Tx, input: InvitePortalUserInput): Promise<InvitePortalUserResult>;
+export interface PortalUserSummary {
+    userId: string;
+    email: string;
+    fullName: string;
+    status: string;
+    accessStatus: string;
+    lastLoginAt: string | null;
+}
+export declare function listPortalUsers(tx: Tx, clientId: string): Promise<PortalUserSummary[]>;
+/**
+ * Revoga o acesso. Não apaga o usuário nem a trilha: quem enviou um documento
+ * continua identificável depois de perder o acesso — é justamente isso que
+ * torna a prova utilizável meses depois.
+ */
+export declare function revokePortalAccess(tx: Tx, input: {
+    clientId: string;
+    userId: string;
+    revokedBy: string;
+}): Promise<void>;
+//# sourceMappingURL=provisioning.d.ts.map

package/dist/portal/provisioning.d.ts.map

@@ -0,0 +1 @@
+{"version":3,"file":"provisioning.d.ts","sourceRoot":"","sources":["../../src/portal/provisioning.ts"],"names":[],"mappings":"AACA,OAAO,KAAK,EAAE,EAAE,EAAE,MAAM,iBAAiB,CAAC;AAK1C;;;;;;;;;;;;;GAaG;AAEH,MAAM,WAAW,qBAAqB;IACpC,QAAQ,EAAE,MAAM,CAAC;IACjB,KAAK,EAAE,MAAM,CAAC;IACd,QAAQ,EAAE,MAAM,CAAC;IACjB,SAAS,EAAE,MAAM,CAAC;CACnB;AAED,MAAM,WAAW,sBAAsB;IACrC,MAAM,EAAE,MAAM,CAAC;IACf,KAAK,EAAE,MAAM,CAAC;IACd,QAAQ,EAAE,MAAM,CAAC;IACjB,QAAQ,EAAE,MAAM,CAAC;IACjB;;;;OAIG;IACH,eAAe,EAAE,MAAM,GAAG,IAAI,CAAC;IAC/B,yDAAyD;IACzD,gBAAgB,EAAE,OAAO,CAAC;IAC1B,8EAA8E;IAC9E,UAAU,EAAE,OAAO,CAAC;CACrB;AAID,wBAAsB,gBAAgB,CACpC,EAAE,EAAE,EAAE,EACN,KAAK,EAAE,qBAAqB,GAC3B,OAAO,CAAC,sBAAsB,CAAC,CA+FjC;AAED,MAAM,WAAW,iBAAiB;IAChC,MAAM,EAAE,MAAM,CAAC;IACf,KAAK,EAAE,MAAM,CAAC;IACd,QAAQ,EAAE,MAAM,CAAC;IACjB,MAAM,EAAE,MAAM,CAAC;IACf,YAAY,EAAE,MAAM,CAAC;IACrB,WAAW,EAAE,MAAM,GAAG,IAAI,CAAC;CAC5B;AAED,wBAAsB,eAAe,CAAC,EAAE,EAAE,EAAE,EAAE,QAAQ,EAAE,MAAM,GAAG,OAAO,CAAC,iBAAiB,EAAE,CAAC,CA0B5F;AAED;;;;GAIG;AACH,wBAAsB,kBAAkB,CACtC,EAAE,EAAE,EAAE,EACN,KAAK,EAAE;IAAE,QAAQ,EAAE,MAAM,CAAC;IAAC,MAAM,EAAE,MAAM,CAAC;IAAC,SAAS,EAAE,MAAM,CAAA;CAAE,GAC7D,OAAO,CAAC,IAAI,CAAC,CAgBf"}

package/dist/portal/provisioning.js

@@ -0,0 +1,139 @@
+import { ConflictError, NotFoundError, uuidv7 } from '@baruk/shared';
+import { appendAudit } from '../audit/audit.js';
+import { createActivationToken } from '../auth/password-reset.js';
+import { setUserRole } from '../users/repository.js';
+const PORTAL_ROLE_KEY = 'client_titular';
+export async function invitePortalUser(tx, input) {
+    const tenantId = await currentTenantId(tx);
+    // O cliente precisa existir NESTE tenant. A RLS já garantiria, mas uma
+    // mensagem clara vale mais que um erro de FK.
+    const client = await tx `
+    SELECT id FROM client WHERE id = ${input.clientId} AND deleted_at IS NULL
+  `;
+    if (!client[0])
+        throw new NotFoundError('Cliente não encontrado');
+    const existing = await tx `
+    SELECT id, full_name, user_type, status FROM "user"
+     WHERE email = ${input.email} AND deleted_at IS NULL
+  `;
+    let userId;
+    let fullName;
+    let isNewUser;
+    // Reconvidar quem ainda não ativou precisa emitir um token novo. Sem isto o
+    // usuário fica preso: o primeiro convite não chegou (ou expirou) e nenhum
+    // reenvio produz link, porque só o cadastro inicial emitia token.
+    let isPendingActivation = false;
+    if (existing[0]) {
+        // Um e-mail de staff não vira acesso de portal por convite. Os dois tipos
+        // têm superfícies e escopos distintos, e converter silenciosamente daria a
+        // um colaborador do escritório uma sessão de cliente.
+        if (existing[0].user_type !== 'client_portal') {
+            throw new ConflictError('Este e-mail já pertence a um usuário interno. Use um e-mail diferente para o acesso do cliente.');
+        }
+        userId = existing[0].id;
+        fullName = existing[0].full_name;
+        isNewUser = false;
+        // Só quem ainda não ativou recebe token novo. Emitir para um usuário já
+        // ativo transformaria o convite em redefinição de senha à revelia do
+        // cliente — quem convida não pode provocar isso.
+        isPendingActivation = existing[0].status === 'invited';
+    }
+    else {
+        userId = uuidv7();
+        fullName = input.fullName;
+        isNewUser = true;
+        await tx `
+      INSERT INTO "user" (id, email, full_name, user_type, status, auth_provider)
+      VALUES (${userId}, ${input.email}, ${input.fullName}, 'client_portal', 'invited', 'password')
+    `;
+    }
+    // Membership no tenant — sem ela o usuário não resolve tenant no login.
+    const membership = await tx `
+    SELECT id FROM membership
+     WHERE user_id = ${userId} AND tenant_id = ${tenantId} AND deleted_at IS NULL
+  `;
+    if (!membership[0]) {
+        await tx `
+      INSERT INTO membership (id, tenant_id, user_id, status, invited_by)
+      VALUES (${uuidv7()}, ${tenantId}, ${userId}, 'invited', ${input.invitedBy})
+    `;
+        await setUserRole(tx, userId, PORTAL_ROLE_KEY);
+    }
+    // O vínculo com o cliente. Idempotente: reconvidar não duplica.
+    const access = await tx `
+    INSERT INTO client_portal_access (id, tenant_id, user_id, client_id, status)
+    VALUES (${uuidv7()}, ${tenantId}, ${userId}, ${input.clientId}, 'active')
+    ON CONFLICT (tenant_id, user_id, client_id) DO UPDATE SET status = 'active'
+    RETURNING id
+  `;
+    let activationToken = null;
+    if (isNewUser || isPendingActivation) {
+        const activation = await createActivationToken(tx, { userId, tenantId });
+        activationToken = activation.token;
+    }
+    await appendAudit(tx, {
+        actorId: input.invitedBy,
+        action: 'portal_user_invited',
+        resourceType: 'client_portal_access',
+        resourceId: access[0].id,
+        // O token nunca entra na auditoria, nem em metadata: o registro é lido por
+        // gente que não deve poder assumir a conta do cliente.
+        metadata: { email: input.email, clientId: input.clientId, isNewUser, isPendingActivation },
+    });
+    return {
+        userId,
+        email: input.email,
+        fullName,
+        clientId: input.clientId,
+        activationToken,
+        alreadyHadAccess: !isNewUser && membership.length > 0,
+        isReinvite: isPendingActivation,
+    };
+}
+export async function listPortalUsers(tx, clientId) {
+    const rows = await tx `
+    SELECT u.id AS user_id, u.email, u.full_name, u.status,
+           cpa.status AS access_status, u.last_login_at
+      FROM client_portal_access cpa
+      JOIN "user" u ON u.id = cpa.user_id
+     WHERE cpa.client_id = ${clientId} AND u.deleted_at IS NULL
+     ORDER BY u.full_name
+  `;
+    return rows.map((r) => ({
+        userId: r.user_id,
+        email: r.email,
+        fullName: r.full_name,
+        status: r.status,
+        accessStatus: r.access_status,
+        lastLoginAt: r.last_login_at ? r.last_login_at.toISOString() : null,
+    }));
+}
+/**
+ * Revoga o acesso. Não apaga o usuário nem a trilha: quem enviou um documento
+ * continua identificável depois de perder o acesso — é justamente isso que
+ * torna a prova utilizável meses depois.
+ */
+export async function revokePortalAccess(tx, input) {
+    const rows = await tx `
+    UPDATE client_portal_access
+       SET status = 'revoked'
+     WHERE client_id = ${input.clientId} AND user_id = ${input.userId} AND status = 'active'
+    RETURNING id
+  `;
+    if (!rows[0])
+        throw new NotFoundError('Acesso ativo não encontrado');
+    await appendAudit(tx, {
+        actorId: input.revokedBy,
+        action: 'portal_access_revoked',
+        resourceType: 'client_portal_access',
+        resourceId: rows[0].id,
+        metadata: { clientId: input.clientId, userId: input.userId },
+    });
+}
+async function currentTenantId(tx) {
+    const rows = await tx `
+    SELECT current_setting('app.current_tenant')::uuid AS tenant_id
+  `;
+    return rows[0].tenant_id;
+}
+//# sourceMappingURL=provisioning.js.map

package/dist/portal/provisioning.js.map

@@ -0,0 +1 @@
+{"version":3,"file":"provisioning.js","sourceRoot":"","sources":["../../src/portal/provisioning.ts"],"names":[],"mappings":"AAAA,OAAO,EAAE,aAAa,EAAE,aAAa,EAAE,MAAM,EAAE,MAAM,eAAe,CAAC;AAErE,OAAO,EAAE,WAAW,EAAE,MAAM,mBAAmB,CAAC;AAChD,OAAO,EAAE,qBAAqB,EAAE,MAAM,2BAA2B,CAAC;AAClE,OAAO,EAAE,WAAW,EAAE,MAAM,wBAAwB,CAAC;AAyCrD,MAAM,eAAe,GAAG,gBAAgB,CAAC;AAEzC,MAAM,CAAC,KAAK,UAAU,gBAAgB,CACpC,EAAM,EACN,KAA4B;IAE5B,MAAM,QAAQ,GAAG,MAAM,eAAe,CAAC,EAAE,CAAC,CAAC;IAE3C,uEAAuE;IACvE,8CAA8C;IAC9C,MAAM,MAAM,GAAG,MAAM,EAAE,CAAkB;uCACJ,KAAK,CAAC,QAAQ;GAClD,CAAC;IACF,IAAI,CAAC,MAAM,CAAC,CAAC,CAAC;QAAE,MAAM,IAAI,aAAa,CAAC,wBAAwB,CAAC,CAAC;IAElE,MAAM,QAAQ,GAAG,MAAM,EAAE,CAAwE;;qBAE9E,KAAK,CAAC,KAAK;GAC7B,CAAC;IAEF,IAAI,MAAc,CAAC;IACnB,IAAI,QAAgB,CAAC;IACrB,IAAI,SAAkB,CAAC;IACvB,4EAA4E;IAC5E,0EAA0E;IAC1E,kEAAkE;IAClE,IAAI,mBAAmB,GAAG,KAAK,CAAC;IAEhC,IAAI,QAAQ,CAAC,CAAC,CAAC,EAAE,CAAC;QAChB,0EAA0E;QAC1E,2EAA2E;QAC3E,sDAAsD;QACtD,IAAI,QAAQ,CAAC,CAAC,CAAC,CAAC,SAAS,KAAK,eAAe,EAAE,CAAC;YAC9C,MAAM,IAAI,aAAa,CACrB,iGAAiG,CAClG,CAAC;QACJ,CAAC;QACD,MAAM,GAAG,QAAQ,CAAC,CAAC,CAAC,CAAC,EAAE,CAAC;QACxB,QAAQ,GAAG,QAAQ,CAAC,CAAC,CAAC,CAAC,SAAS,CAAC;QACjC,SAAS,GAAG,KAAK,CAAC;QAClB,wEAAwE;QACxE,qEAAqE;QACrE,iDAAiD;QACjD,mBAAmB,GAAG,QAAQ,CAAC,CAAC,CAAC,CAAC,MAAM,KAAK,SAAS,CAAC;IACzD,CAAC;SAAM,CAAC;QACN,MAAM,GAAG,MAAM,EAAE,CAAC;QAClB,QAAQ,GAAG,KAAK,CAAC,QAAQ,CAAC;QAC1B,SAAS,GAAG,IAAI,CAAC;QACjB,MAAM,EAAE,CAAA;;gBAEI,MAAM,KAAK,KAAK,CAAC,KAAK,KAAK,KAAK,CAAC,QAAQ;KACpD,CAAC;IACJ,CAAC;IAED,wEAAwE;IACxE,MAAM,UAAU,GAAG,MAAM,EAAE,CAAkB;;uBAExB,MAAM,oBAAoB,QAAQ;GACtD,CAAC;IACF,IAAI,CAAC,UAAU,CAAC,CAAC,CAAC,EAAE,CAAC;QACnB,MAAM,EAAE,CAAA;;gBAEI,MAAM,EAAE,KAAK,QAAQ,KAAK,MAAM,gBAAgB,KAAK,CAAC,SAAS;KAC1E,CAAC;QACF,MAAM,WAAW,CAAC,EAAE,EAAE,MAAM,EAAE,eAAe,CAAC,CAAC;IACjD,CAAC;IAED,gEAAgE;IAChE,MAAM,MAAM,GAAG,MAAM,EAAE,CAAkB;;cAE7B,MAAM,EAAE,KAAK,QAAQ,KAAK,MAAM,KAAK,KAAK,CAAC,QAAQ;;;GAG9D,CAAC;IAEF,IAAI,eAAe,GAAkB,IAAI,CAAC;IAC1C,IAAI,SAAS,IAAI,mBAAmB,EAAE,CAAC;QACrC,MAAM,UAAU,GAAG,MAAM,qBAAqB,CAAC,EAAE,EAAE,EAAE,MAAM,EAAE,QAAQ,EAAE,CAAC,CAAC;QACzE,eAAe,GAAG,UAAU,CAAC,KAAK,CAAC;IACrC,CAAC;IAED,MAAM,WAAW,CAAC,EAAE,EAAE;QACpB,OAAO,EAAE,KAAK,CAAC,SAAS;QACxB,MAAM,EAAE,qBAAqB;QAC7B,YAAY,EAAE,sBAAsB;QACpC,UAAU,EAAE,MAAM,CAAC,CAAC,CAAE,CAAC,EAAE;QACzB,2EAA2E;QAC3E,uDAAuD;QACvD,QAAQ,EAAE,EAAE,KAAK,EAAE,KAAK,CAAC,KAAK,EAAE,QAAQ,EAAE,KAAK,CAAC,QAAQ,EAAE,SAAS,EAAE,mBAAmB,EAAE;KAC3F,CAAC,CAAC;IAEH,OAAO;QACL,MAAM;QACN,KAAK,EAAE,KAAK,CAAC,KAAK;QAClB,QAAQ;QACR,QAAQ,EAAE,KAAK,CAAC,QAAQ;QACxB,eAAe;QACf,gBAAgB,EAAE,CAAC,SAAS,IAAI,UAAU,CAAC,MAAM,GAAG,CAAC;QACrD,UAAU,EAAE,mBAAmB;KAChC,CAAC;AACJ,CAAC;AAWD,MAAM,CAAC,KAAK,UAAU,eAAe,CAAC,EAAM,EAAE,QAAgB;IAC5D,MAAM,IAAI,GAAG,MAAM,EAAE,CASpB;;;;;6BAK0B,QAAQ;;GAElC,CAAC;IACF,OAAO,IAAI,CAAC,GAAG,CAAC,CAAC,CAAC,EAAE,EAAE,CAAC,CAAC;QACtB,MAAM,EAAE,CAAC,CAAC,OAAO;QACjB,KAAK,EAAE,CAAC,CAAC,KAAK;QACd,QAAQ,EAAE,CAAC,CAAC,SAAS;QACrB,MAAM,EAAE,CAAC,CAAC,MAAM;QAChB,YAAY,EAAE,CAAC,CAAC,aAAa;QAC7B,WAAW,EAAE,CAAC,CAAC,aAAa,CAAC,CAAC,CAAC,CAAC,CAAC,aAAa,CAAC,WAAW,EAAE,CAAC,CAAC,CAAC,IAAI;KACpE,CAAC,CAAC,CAAC;AACN,CAAC;AAED;;;;GAIG;AACH,MAAM,CAAC,KAAK,UAAU,kBAAkB,CACtC,EAAM,EACN,KAA8D;IAE9D,MAAM,IAAI,GAAG,MAAM,EAAE,CAAkB;;;yBAGhB,KAAK,CAAC,QAAQ,kBAAkB,KAAK,CAAC,MAAM;;GAElE,CAAC;IACF,IAAI,CAAC,IAAI,CAAC,CAAC,CAAC;QAAE,MAAM,IAAI,aAAa,CAAC,6BAA6B,CAAC,CAAC;IAErE,MAAM,WAAW,CAAC,EAAE,EAAE;QACpB,OAAO,EAAE,KAAK,CAAC,SAAS;QACxB,MAAM,EAAE,uBAAuB;QAC/B,YAAY,EAAE,sBAAsB;QACpC,UAAU,EAAE,IAAI,CAAC,CAAC,CAAC,CAAC,EAAE;QACtB,QAAQ,EAAE,EAAE,QAAQ,EAAE,KAAK,CAAC,QAAQ,EAAE,MAAM,EAAE,KAAK,CAAC,MAAM,EAAE;KAC7D,CAAC,CAAC;AACL,CAAC;AAED,KAAK,UAAU,eAAe,CAAC,EAAM;IACnC,MAAM,IAAI,GAAG,MAAM,EAAE,CAAyB;;GAE7C,CAAC;IACF,OAAO,IAAI,CAAC,CAAC,CAAE,CAAC,SAAS,CAAC;AAC5B,CAAC"}

package/dist/pricing-engine/canonical.d.ts

@@ -0,0 +1,14 @@
+/**
+ * Serialização canônica (RFC-CAPABILITY-PRICING-ENGINE-001 §22.1 F2) — usada
+ * exclusivamente para compor o `fingerprint`/`quoteId` (nunca para persistir
+ * ou transportar dados). `JSON.stringify` cru depende da ordem de inserção
+ * das chaves do objeto — dois `PricingRequest` economicamente idênticos, mas
+ * construídos com `addonQuantities`/Records em ordem de chave diferente,
+ * produziam hashes diferentes antes deste módulo (achado do Design Review,
+ * §22.1). `canonicalize` ordena chaves recursivamente em qualquer nível de
+ * objeto/Record/Map aninhado — arrays preservam ordem (a ordem de array é
+ * semanticamente relevante quando existe; coleções sem ordem própria, como
+ * `bundleRules`, são pré-ordenadas pelo chamador antes de chegar aqui).
+ */
+export declare function canonicalStringify(value: unknown): string;
+//# sourceMappingURL=canonical.d.ts.map

package/dist/pricing-engine/canonical.d.ts.map

@@ -0,0 +1 @@
+{"version":3,"file":"canonical.d.ts","sourceRoot":"","sources":["../../src/pricing-engine/canonical.ts"],"names":[],"mappings":"AAAA;;;;;;;;;;;GAWG;AAyBH,wBAAgB,kBAAkB,CAAC,KAAK,EAAE,OAAO,GAAG,MAAM,CAEzD"}

package/dist/pricing-engine/canonical.js

@@ -0,0 +1,39 @@
+/**
+ * Serialização canônica (RFC-CAPABILITY-PRICING-ENGINE-001 §22.1 F2) — usada
+ * exclusivamente para compor o `fingerprint`/`quoteId` (nunca para persistir
+ * ou transportar dados). `JSON.stringify` cru depende da ordem de inserção
+ * das chaves do objeto — dois `PricingRequest` economicamente idênticos, mas
+ * construídos com `addonQuantities`/Records em ordem de chave diferente,
+ * produziam hashes diferentes antes deste módulo (achado do Design Review,
+ * §22.1). `canonicalize` ordena chaves recursivamente em qualquer nível de
+ * objeto/Record/Map aninhado — arrays preservam ordem (a ordem de array é
+ * semanticamente relevante quando existe; coleções sem ordem própria, como
+ * `bundleRules`, são pré-ordenadas pelo chamador antes de chegar aqui).
+ */
+function canonicalize(value) {
+    if (value instanceof Map) {
+        const entries = Array.from(value.entries())
+            .map(([k, v]) => [String(k), canonicalize(v)])
+            .sort((a, b) => (a[0] < b[0] ? -1 : a[0] > b[0] ? 1 : 0));
+        const record = {};
+        for (const [k, v] of entries)
+            record[k] = v;
+        return record;
+    }
+    if (Array.isArray(value)) {
+        return value.map(canonicalize);
+    }
+    if (value !== null && typeof value === 'object') {
+        const record = value;
+        const result = {};
+        for (const key of Object.keys(record).sort()) {
+            result[key] = canonicalize(record[key]);
+        }
+        return result;
+    }
+    return value;
+}
+export function canonicalStringify(value) {
+    return JSON.stringify(canonicalize(value));
+}
+//# sourceMappingURL=canonical.js.map

package/dist/pricing-engine/canonical.js.map

@@ -0,0 +1 @@
+{"version":3,"file":"canonical.js","sourceRoot":"","sources":["../../src/pricing-engine/canonical.ts"],"names":[],"mappings":"AAAA;;;;;;;;;;;GAWG;AAEH,SAAS,YAAY,CAAC,KAAc;IAClC,IAAI,KAAK,YAAY,GAAG,EAAE,CAAC;QACzB,MAAM,OAAO,GAAG,KAAK,CAAC,IAAI,CAAC,KAAK,CAAC,OAAO,EAAE,CAAC;aACxC,GAAG,CAAC,CAAC,CAAC,CAAC,EAAE,CAAC,CAAC,EAAE,EAAE,CAAC,CAAC,MAAM,CAAC,CAAC,CAAC,EAAE,YAAY,CAAC,CAAC,CAAC,CAAU,CAAC;aACtD,IAAI,CAAC,CAAC,CAAC,EAAE,CAAC,EAAE,EAAE,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,GAAG,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,GAAG,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC;QAC5D,MAAM,MAAM,GAA4B,EAAE,CAAC;QAC3C,KAAK,MAAM,CAAC,CAAC,EAAE,CAAC,CAAC,IAAI,OAAO;YAAE,MAAM,CAAC,CAAC,CAAC,GAAG,CAAC,CAAC;QAC5C,OAAO,MAAM,CAAC;IAChB,CAAC;IACD,IAAI,KAAK,CAAC,OAAO,CAAC,KAAK,CAAC,EAAE,CAAC;QACzB,OAAO,KAAK,CAAC,GAAG,CAAC,YAAY,CAAC,CAAC;IACjC,CAAC;IACD,IAAI,KAAK,KAAK,IAAI,IAAI,OAAO,KAAK,KAAK,QAAQ,EAAE,CAAC;QAChD,MAAM,MAAM,GAAG,KAAgC,CAAC;QAChD,MAAM,MAAM,GAA4B,EAAE,CAAC;QAC3C,KAAK,MAAM,GAAG,IAAI,MAAM,CAAC,IAAI,CAAC,MAAM,CAAC,CAAC,IAAI,EAAE,EAAE,CAAC;YAC7C,MAAM,CAAC,GAAG,CAAC,GAAG,YAAY,CAAC,MAAM,CAAC,GAAG,CAAC,CAAC,CAAC;QAC1C,CAAC;QACD,OAAO,MAAM,CAAC;IAChB,CAAC;IACD,OAAO,KAAK,CAAC;AACf,CAAC;AAED,MAAM,UAAU,kBAAkB,CAAC,KAAc;IAC/C,OAAO,IAAI,CAAC,SAAS,CAAC,YAAY,CAAC,KAAK,CAAC,CAAC,CAAC;AAC7C,CAAC"}

package/dist/pricing-engine/errors.d.ts.map

@@ -1 +1 @@
-{"version":3,"file":"errors.d.ts","sourceRoot":"","sources":["../../src/pricing-engine/errors.ts"],"names":[],"mappings":"AAAA;;;;;;;;GAQG;AAEH,MAAM,MAAM,gBAAgB,GACxB,2BAA2B,GAC3B,iBAAiB,GACjB,kBAAkB,GAClB,mBAAmB,GACnB,mBAAmB,GACnB,gBAAgB,GAChB,uBAAuB,GACvB,gBAAgB,GAChB,gBAAgB,GAChB,qBAAqB,GACrB,mBAAmB,GACnB,mBAAmB,GACnB,6BAA6B,GAC7B,oBAAoB,GACpB,qBAAqB,GACrB,wBAAwB,CAAC;AAE7B;;;;;;GAMG;AACH,MAAM,MAAM,iBAAiB,GAAG,YAAY,GAAG,UAAU,GAAG,eAAe,GAAG,WAAW,GAAG,sBAAsB,CAAC;AAqBnH,qBAAa,kBAAmB,SAAQ,KAAK;IAC3C,QAAQ,CAAC,IAAI,EAAE,gBAAgB,CAAC;IAChC,QAAQ,CAAC,UAAU,EAAE,iBAAiB,CAAC;IACvC,2EAA2E;IAC3E,QAAQ,CAAC,OAAO,EAAE,MAAM,EAAE,CAAC;gBAEf,IAAI,EAAE,gBAAgB,EAAE,OAAO,EAAE,MAAM,EAAE,OAAO,GAAE,MAAM,EAAO;IAQ3E,MAAM,IAAI;QAAE,IAAI,EAAE,gBAAgB,CAAC;QAAC,UAAU,EAAE,iBAAiB,CAAC;QAAC,OAAO,EAAE,MAAM,CAAC;QAAC,OAAO,EAAE,MAAM,EAAE,CAAA;KAAE;CAGxG"}
+{"version":3,"file":"errors.d.ts","sourceRoot":"","sources":["../../src/pricing-engine/errors.ts"],"names":[],"mappings":"AAAA;;;;;;;;GAQG;AAEH,MAAM,MAAM,gBAAgB,GACxB,2BAA2B,GAC3B,iBAAiB,GACjB,kBAAkB,GAClB,mBAAmB,GACnB,mBAAmB,GACnB,gBAAgB,GAChB,uBAAuB,GACvB,gBAAgB,GAChB,gBAAgB,GAChB,qBAAqB,GACrB,mBAAmB,GACnB,mBAAmB,GACnB,6BAA6B,GAC7B,oBAAoB,GACpB,qBAAqB,GACrB,wBAAwB,CAAC;AAE7B;;;;;;GAMG;AACH,MAAM,MAAM,iBAAiB,GAC3B,YAAY,GAAG,UAAU,GAAG,eAAe,GAAG,WAAW,GAAG,sBAAsB,CAAC;AAqBrF,qBAAa,kBAAmB,SAAQ,KAAK;IAC3C,QAAQ,CAAC,IAAI,EAAE,gBAAgB,CAAC;IAChC,QAAQ,CAAC,UAAU,EAAE,iBAAiB,CAAC;IACvC,2EAA2E;IAC3E,QAAQ,CAAC,OAAO,EAAE,MAAM,EAAE,CAAC;gBAEf,IAAI,EAAE,gBAAgB,EAAE,OAAO,EAAE,MAAM,EAAE,OAAO,GAAE,MAAM,EAAO;IAQ3E,MAAM,IAAI;QACR,IAAI,EAAE,gBAAgB,CAAC;QACvB,UAAU,EAAE,iBAAiB,CAAC;QAC9B,OAAO,EAAE,MAAM,CAAC;QAChB,OAAO,EAAE,MAAM,EAAE,CAAC;KACnB;CAQF"}

package/dist/pricing-engine/errors.js

@@ -38,7 +38,12 @@ export class PricingEngineError extends Error {
         this.ruleIds = ruleIds;
     }
     toJSON() {
-        return { code: this.code, errorClass: this.errorClass, message: this.message, ruleIds: this.ruleIds };
+        return {
+            code: this.code,
+            errorClass: this.errorClass,
+            message: this.message,
+            ruleIds: this.ruleIds,
+        };
     }
 }
 //# sourceMappingURL=errors.js.map

package/dist/pricing-engine/errors.js.map

@@ -1 +1 @@
-{"version":3,"file":"errors.js","sourceRoot":"","sources":["../../src/pricing-engine/errors.ts"],"names":[],"mappings":"AAAA;;;;;;;;GAQG;AA6BH,MAAM,WAAW,GAAgD;IAC/D,2BAA2B,EAAE,eAAe;IAC5C,iBAAiB,EAAE,YAAY;IAC/B,kBAAkB,EAAE,YAAY;IAChC,mBAAmB,EAAE,WAAW;IAChC,mBAAmB,EAAE,UAAU;IAC/B,gBAAgB,EAAE,eAAe;IACjC,uBAAuB,EAAE,WAAW;IACpC,gBAAgB,EAAE,YAAY;IAC9B,gBAAgB,EAAE,sBAAsB;IACxC,qBAAqB,EAAE,YAAY;IACnC,mBAAmB,EAAE,UAAU;IAC/B,mBAAmB,EAAE,YAAY;IACjC,6BAA6B,EAAE,eAAe;IAC9C,oBAAoB,EAAE,eAAe;IACrC,qBAAqB,EAAE,WAAW;IAClC,wBAAwB,EAAE,YAAY;CACvC,CAAC;AAEF,MAAM,OAAO,kBAAmB,SAAQ,KAAK;IAClC,IAAI,CAAmB;IACvB,UAAU,CAAoB;IACvC,2EAA2E;IAClE,OAAO,CAAW;IAE3B,YAAY,IAAsB,EAAE,OAAe,EAAE,UAAoB,EAAE;QACzE,KAAK,CAAC,OAAO,CAAC,CAAC;QACf,IAAI,CAAC,IAAI,GAAG,oBAAoB,CAAC;QACjC,IAAI,CAAC,IAAI,GAAG,IAAI,CAAC;QACjB,IAAI,CAAC,UAAU,GAAG,WAAW,CAAC,IAAI,CAAC,CAAC;QACpC,IAAI,CAAC,OAAO,GAAG,OAAO,CAAC;IACzB,CAAC;IAED,MAAM;QACJ,OAAO,EAAE,IAAI,EAAE,IAAI,CAAC,IAAI,EAAE,UAAU,EAAE,IAAI,CAAC,UAAU,EAAE,OAAO,EAAE,IAAI,CAAC,OAAO,EAAE,OAAO,EAAE,IAAI,CAAC,OAAO,EAAE,CAAC;IACxG,CAAC;CACF"}
+{"version":3,"file":"errors.js","sourceRoot":"","sources":["../../src/pricing-engine/errors.ts"],"names":[],"mappings":"AAAA;;;;;;;;GAQG;AA8BH,MAAM,WAAW,GAAgD;IAC/D,2BAA2B,EAAE,eAAe;IAC5C,iBAAiB,EAAE,YAAY;IAC/B,kBAAkB,EAAE,YAAY;IAChC,mBAAmB,EAAE,WAAW;IAChC,mBAAmB,EAAE,UAAU;IAC/B,gBAAgB,EAAE,eAAe;IACjC,uBAAuB,EAAE,WAAW;IACpC,gBAAgB,EAAE,YAAY;IAC9B,gBAAgB,EAAE,sBAAsB;IACxC,qBAAqB,EAAE,YAAY;IACnC,mBAAmB,EAAE,UAAU;IAC/B,mBAAmB,EAAE,YAAY;IACjC,6BAA6B,EAAE,eAAe;IAC9C,oBAAoB,EAAE,eAAe;IACrC,qBAAqB,EAAE,WAAW;IAClC,wBAAwB,EAAE,YAAY;CACvC,CAAC;AAEF,MAAM,OAAO,kBAAmB,SAAQ,KAAK;IAClC,IAAI,CAAmB;IACvB,UAAU,CAAoB;IACvC,2EAA2E;IAClE,OAAO,CAAW;IAE3B,YAAY,IAAsB,EAAE,OAAe,EAAE,UAAoB,EAAE;QACzE,KAAK,CAAC,OAAO,CAAC,CAAC;QACf,IAAI,CAAC,IAAI,GAAG,oBAAoB,CAAC;QACjC,IAAI,CAAC,IAAI,GAAG,IAAI,CAAC;QACjB,IAAI,CAAC,UAAU,GAAG,WAAW,CAAC,IAAI,CAAC,CAAC;QACpC,IAAI,CAAC,OAAO,GAAG,OAAO,CAAC;IACzB,CAAC;IAED,MAAM;QAMJ,OAAO;YACL,IAAI,EAAE,IAAI,CAAC,IAAI;YACf,UAAU,EAAE,IAAI,CAAC,UAAU;YAC3B,OAAO,EAAE,IAAI,CAAC,OAAO;YACrB,OAAO,EAAE,IAAI,CAAC,OAAO;SACtB,CAAC;IACJ,CAAC;CACF"}