@baruk/core 0.3.1 → 0.4.2

package/dist/rbac/workload.js

@@ -0,0 +1,184 @@
+/**
+ * Identidade e autorização de workload NÃO-HUMANO.
+ *
+ * O RBAC de `authorize.ts` responde "este USUÁRIO pode?". Nenhuma linha do
+ * repositório respondia "este PROCESSO pode?" — e a diferença não é
+ * acadêmica: o `TenantSecretStore` do lote C1A aceitava um `SecretAccessGrant`
+ * montado pelo próprio chamador. `principal`, `reason` e as datas eram strings
+ * e `Date`s sintaticamente válidas; qualquer módulo interno com acesso ao
+ * arquivo podia declará-las e pedir decifração. Isso é ATRIBUIÇÃO — serve para
+ * a trilha de auditoria e não serve como fronteira de segurança.
+ *
+ * Este módulo troca a declaração por três coisas que o chamador não consegue
+ * fabricar sozinho:
+ *
+ *  1. **Autenticação.** O workload apresenta um segredo próprio, verificado
+ *     contra `service_principal.secret_hash` (scrypt, o mesmo `verifyPassword`
+ *     da senha humana). Sem o segredo, não há identidade — e o segredo vive no
+ *     ambiente do deploy que roda AQUELE workload, não no código.
+ *
+ *  2. **Autorização fora do controlado.** A permissão vem de linhas em
+ *     `service_principal_grant`, e `baruk_app` tem apenas SELECT nessas tabelas
+ *     (`db/migrate.ts` §3). O processo que consome a autorização não consegue
+ *     escrevê-la: não é uma regra de tipo, é um privilégio do Postgres.
+ *
+ *  3. **Verificação por CHAMADA, dentro da transação.** A decisão não é
+ *     memorizada na composição. Revogar um principal ou um grant passa a valer
+ *     na próxima chamada, sem esperar o processo reiniciar.
+ *
+ * O objeto `WorkloadIdentity` é apenas o transporte da identidade JÁ
+ * autenticada. Ele é marcado com um símbolo privado deste módulo e registrado
+ * num `WeakSet` privado: um objeto estruturalmente idêntico, montado à mão em
+ * outro arquivo, é recusado. Mas a marca não é a fronteira — é a tranca da
+ * porta interna. A fronteira é o par (segredo, linha no banco).
+ */
+import { ForbiddenError, UnauthorizedError, ValidationError } from '@baruk/shared';
+import { verifyPassword } from '../auth/password.js';
+export const WORKLOAD_PURPOSES = [
+    'channel_dispatch',
+    'onboarding_seal',
+    'health_probe',
+];
+/**
+ * Marca privada. Não é exportada — logo, nenhum arquivo fora daqui consegue
+ * escrever esta propriedade de forma tipada, e `MINTED` recusa o objeto
+ * estruturalmente idêntico em tempo de execução.
+ */
+const WORKLOAD_BRAND = Symbol('baruk.workload-identity');
+const MINTED = new WeakSet();
+/** Sessão padrão: 1h. Um cron diário reautentica a cada execução; um worker, de hora em hora. */
+const DEFAULT_TTL_MS = 60 * 60 * 1000;
+/** Teto duro. Uma sessão de dias equivaleria a não ter janela nenhuma. */
+const MAX_TTL_MS = 12 * 60 * 60 * 1000;
+/**
+ * Hash descartável com o mesmo custo de um real. Existe para que "principal
+ * inexistente" e "segredo errado" levem o mesmo tempo — sem isso, a latência
+ * enumera quais principals existem.
+ */
+const DUMMY_HASH = `scrypt$16384$8$1$${'A'.repeat(22)}==$${'a'.repeat(86)}==`;
+/**
+ * Autentica um workload e emite a identidade da sessão.
+ *
+ * **Chame na RAIZ DE COMPOSIÇÃO** — o `main()` do cron, o bootstrap do worker,
+ * a borda de request já autenticada — e propague a identidade. Nenhum módulo de
+ * domínio deve chamar isto: quem PRECISA do segredo nunca deve ser quem
+ * declara ter direito a ele.
+ *
+ * Falha FECHADA e ruidosa: `UnauthorizedError`. Um workload que não autentica
+ * deve parar no boot, com o erro visível, não seguir e falhar seis passos
+ * depois como "canal indisponível".
+ *
+ * Roda FORA de contexto de tenant: `service_principal` é global, como `"user"`.
+ * A amarração ao tenant é da autorização (`authorizeWorkload`), não da identidade.
+ */
+export async function authenticateWorkload(db, input) {
+    const key = input?.key?.trim() ?? '';
+    const secret = typeof input?.secret === 'string' ? input.secret : '';
+    if (!key)
+        throw new ValidationError('key do service principal é obrigatória.');
+    if (!secret)
+        throw new ValidationError('secret do service principal é obrigatório.');
+    const ttl = input.ttlMs ?? DEFAULT_TTL_MS;
+    if (!Number.isFinite(ttl) || ttl <= 0 || ttl > MAX_TTL_MS) {
+        throw new ValidationError(`ttlMs fora da janela permitida (1..${MAX_TTL_MS}).`);
+    }
+    const rows = await db `
+    SELECT id, key, status, secret_hash
+    FROM service_principal
+    WHERE lower(key) = lower(${key}) AND deleted_at IS NULL
+  `;
+    const row = rows[0];
+    // Verifica SEMPRE — inclusive contra o hash descartável quando não há linha.
+    const matches = verifyPassword(secret, row?.secret_hash ?? DUMMY_HASH);
+    if (!row || row.status !== 'active' || !matches) {
+        throw new UnauthorizedError('Workload não autenticado.');
+    }
+    const issuedAt = input.now ?? new Date();
+    const identity = {
+        principalId: row.id,
+        principalKey: row.key,
+        issuedAt,
+        expiresAt: new Date(issuedAt.getTime() + ttl),
+        [WORKLOAD_BRAND]: true,
+    };
+    MINTED.add(identity);
+    return identity;
+}
+/** O objeto veio de `authenticateWorkload`? Recusa qualquer imitação estrutural. */
+export function isMintedWorkloadIdentity(value) {
+    return typeof value === 'object' && value !== null && MINTED.has(value);
+}
+/**
+ * Falha fechada quando a identidade não foi emitida aqui. Chamado por TODO
+ * consumidor antes de qualquer trabalho — um `ForbiddenError` no primeiro
+ * passo é a diferença entre uma tentativa recusada e um segredo entregue.
+ */
+export function assertMintedWorkloadIdentity(value) {
+    if (!isMintedWorkloadIdentity(value)) {
+        throw new ForbiddenError('WorkloadIdentity não emitida por authenticateWorkload — identidade forjada recusada.');
+    }
+}
+/**
+ * Decide se ESTE principal pode exercer ESTA permissão, NESTE tenant, para
+ * ESTE propósito, sobre ESTE recurso. Quatro dimensões conjuntivas.
+ *
+ * A quarta é o que fecha confused deputy: um workload legitimamente autorizado
+ * no tenant A a despachar canal não decifra a chave do gateway de pagamento do
+ * tenant A só porque um `credentialRef` vindo de input pediu. A autorização do
+ * workload nunca vira autorização para qualquer recurso que o input nomear.
+ *
+ * **DEVE rodar dentro de `withContext(db, { tenantId })`** — a RLS FORCE de
+ * `service_principal_grant` é a segunda camada; o predicado explícito de
+ * `tenant_id` é a primeira. As duas dizem a mesma coisa de propósito: nenhuma
+ * das duas sozinha é o desenho.
+ */
+export async function authorizeWorkload(tx, identity, req) {
+    assertMintedWorkloadIdentity(identity);
+    const tenantId = req?.tenantId?.trim() ?? '';
+    const permission = req?.permission?.trim() ?? '';
+    const resource = req?.resource?.trim() ?? '';
+    const purpose = req?.purpose;
+    if (!tenantId || !permission || !resource || !WORKLOAD_PURPOSES.includes(purpose)) {
+        return { allowed: false, denyReason: 'invalid_request' };
+    }
+    const now = req.now ?? new Date();
+    if (now.getTime() >= identity.expiresAt.getTime() ||
+        now.getTime() < identity.issuedAt.getTime()) {
+        return { allowed: false, denyReason: 'identity_expired' };
+    }
+    // Revogação vale AGORA, não no próximo boot: relê o principal a cada chamada.
+    const principal = await tx `
+    SELECT id FROM service_principal
+    WHERE id = ${identity.principalId} AND status = 'active' AND deleted_at IS NULL
+  `;
+    if (!principal[0]) {
+        return { allowed: false, denyReason: 'principal_unknown_or_disabled' };
+    }
+    // `left(...)` em vez de LIKE: o valor do prefixo é literal, e `_`/`%` são
+    // caracteres comuns em nome de credencial (`RESEND_API_KEY`). Um LIKE aqui
+    // transformaria um nome legítimo em curinga.
+    const grants = await tx `
+    SELECT id FROM service_principal_grant
+    WHERE tenant_id = ${tenantId}
+      AND principal_id = ${identity.principalId}
+      AND permission_key = ${permission}
+      AND purpose = ${purpose}
+      AND revoked_at IS NULL
+      AND deleted_at IS NULL
+      AND (expires_at IS NULL OR expires_at > ${now})
+      AND (
+        (resource_kind = 'exact' AND lower(resource_value) = lower(${resource}))
+        OR (
+          resource_kind = 'prefix'
+          AND left(lower(${resource}), length(lower(resource_value))) = lower(resource_value)
+        )
+      )
+    LIMIT 1
+  `;
+    const grant = grants[0];
+    if (!grant) {
+        return { allowed: false, denyReason: 'no_matching_grant' };
+    }
+    return { allowed: true, grantId: grant.id };
+}
+//# sourceMappingURL=workload.js.map

package/dist/rbac/workload.js.map

@@ -0,0 +1 @@
+{"version":3,"file":"workload.js","sourceRoot":"","sources":["../../src/rbac/workload.ts"],"names":[],"mappings":"AAAA;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;GAiCG;AAEH,OAAO,EAAE,cAAc,EAAE,iBAAiB,EAAE,eAAe,EAAE,MAAM,eAAe,CAAC;AACnF,OAAO,EAAE,cAAc,EAAE,MAAM,qBAAqB,CAAC;AAUrD,MAAM,CAAC,MAAM,iBAAiB,GAA+B;IAC3D,kBAAkB;IAClB,iBAAiB;IACjB,cAAc;CACf,CAAC;AAEF;;;;GAIG;AACH,MAAM,cAAc,GAAG,MAAM,CAAC,yBAAyB,CAAC,CAAC;AACzD,MAAM,MAAM,GAAG,IAAI,OAAO,EAAU,CAAC;AAYrC,iGAAiG;AACjG,MAAM,cAAc,GAAG,EAAE,GAAG,EAAE,GAAG,IAAI,CAAC;AACtC,0EAA0E;AAC1E,MAAM,UAAU,GAAG,EAAE,GAAG,EAAE,GAAG,EAAE,GAAG,IAAI,CAAC;AAEvC;;;;GAIG;AACH,MAAM,UAAU,GAAG,oBAAoB,GAAG,CAAC,MAAM,CAAC,EAAE,CAAC,MAAM,GAAG,CAAC,MAAM,CAAC,EAAE,CAAC,IAAI,CAAC;AAmB9E;;;;;;;;;;;;;;GAcG;AACH,MAAM,CAAC,KAAK,UAAU,oBAAoB,CACxC,EAAM,EACN,KAAgC;IAEhC,MAAM,GAAG,GAAG,KAAK,EAAE,GAAG,EAAE,IAAI,EAAE,IAAI,EAAE,CAAC;IACrC,MAAM,MAAM,GAAG,OAAO,KAAK,EAAE,MAAM,KAAK,QAAQ,CAAC,CAAC,CAAC,KAAK,CAAC,MAAM,CAAC,CAAC,CAAC,EAAE,CAAC;IACrE,IAAI,CAAC,GAAG;QAAE,MAAM,IAAI,eAAe,CAAC,yCAAyC,CAAC,CAAC;IAC/E,IAAI,CAAC,MAAM;QAAE,MAAM,IAAI,eAAe,CAAC,4CAA4C,CAAC,CAAC;IAErF,MAAM,GAAG,GAAG,KAAK,CAAC,KAAK,IAAI,cAAc,CAAC;IAC1C,IAAI,CAAC,MAAM,CAAC,QAAQ,CAAC,GAAG,CAAC,IAAI,GAAG,IAAI,CAAC,IAAI,GAAG,GAAG,UAAU,EAAE,CAAC;QAC1D,MAAM,IAAI,eAAe,CAAC,sCAAsC,UAAU,IAAI,CAAC,CAAC;IAClF,CAAC;IAED,MAAM,IAAI,GAAG,MAAM,EAAE,CAAgB;;;+BAGR,GAAG;GAC/B,CAAC;IACF,MAAM,GAAG,GAAG,IAAI,CAAC,CAAC,CAAC,CAAC;IAEpB,6EAA6E;IAC7E,MAAM,OAAO,GAAG,cAAc,CAAC,MAAM,EAAE,GAAG,EAAE,WAAW,IAAI,UAAU,CAAC,CAAC;IACvE,IAAI,CAAC,GAAG,IAAI,GAAG,CAAC,MAAM,KAAK,QAAQ,IAAI,CAAC,OAAO,EAAE,CAAC;QAChD,MAAM,IAAI,iBAAiB,CAAC,2BAA2B,CAAC,CAAC;IAC3D,CAAC;IAED,MAAM,QAAQ,GAAG,KAAK,CAAC,GAAG,IAAI,IAAI,IAAI,EAAE,CAAC;IACzC,MAAM,QAAQ,GAAG;QACf,WAAW,EAAE,GAAG,CAAC,EAAE;QACnB,YAAY,EAAE,GAAG,CAAC,GAAG;QACrB,QAAQ;QACR,SAAS,EAAE,IAAI,IAAI,CAAC,QAAQ,CAAC,OAAO,EAAE,GAAG,GAAG,CAAC;QAC7C,CAAC,cAAc,CAAC,EAAE,IAAa;KAChC,CAAC;IACF,MAAM,CAAC,GAAG,CAAC,QAAQ,CAAC,CAAC;IACrB,OAAO,QAAQ,CAAC;AAClB,CAAC;AAED,oFAAoF;AACpF,MAAM,UAAU,wBAAwB,CAAC,KAAc;IACrD,OAAO,OAAO,KAAK,KAAK,QAAQ,IAAI,KAAK,KAAK,IAAI,IAAI,MAAM,CAAC,GAAG,CAAC,KAAe,CAAC,CAAC;AACpF,CAAC;AAED;;;;GAIG;AACH,MAAM,UAAU,4BAA4B,CAAC,KAAc;IACzD,IAAI,CAAC,wBAAwB,CAAC,KAAK,CAAC,EAAE,CAAC;QACrC,MAAM,IAAI,cAAc,CACtB,sFAAsF,CACvF,CAAC;IACJ,CAAC;AACH,CAAC;AAkBD;;;;;;;;;;;;;GAaG;AACH,MAAM,CAAC,KAAK,UAAU,iBAAiB,CACrC,EAAM,EACN,QAA0B,EAC1B,GAAiC;IAEjC,4BAA4B,CAAC,QAAQ,CAAC,CAAC;IAEvC,MAAM,QAAQ,GAAG,GAAG,EAAE,QAAQ,EAAE,IAAI,EAAE,IAAI,EAAE,CAAC;IAC7C,MAAM,UAAU,GAAG,GAAG,EAAE,UAAU,EAAE,IAAI,EAAE,IAAI,EAAE,CAAC;IACjD,MAAM,QAAQ,GAAG,GAAG,EAAE,QAAQ,EAAE,IAAI,EAAE,IAAI,EAAE,CAAC;IAC7C,MAAM,OAAO,GAAG,GAAG,EAAE,OAAO,CAAC;IAC7B,IAAI,CAAC,QAAQ,IAAI,CAAC,UAAU,IAAI,CAAC,QAAQ,IAAI,CAAC,iBAAiB,CAAC,QAAQ,CAAC,OAAO,CAAC,EAAE,CAAC;QAClF,OAAO,EAAE,OAAO,EAAE,KAAK,EAAE,UAAU,EAAE,iBAAiB,EAAE,CAAC;IAC3D,CAAC;IAED,MAAM,GAAG,GAAG,GAAG,CAAC,GAAG,IAAI,IAAI,IAAI,EAAE,CAAC;IAClC,IACE,GAAG,CAAC,OAAO,EAAE,IAAI,QAAQ,CAAC,SAAS,CAAC,OAAO,EAAE;QAC7C,GAAG,CAAC,OAAO,EAAE,GAAG,QAAQ,CAAC,QAAQ,CAAC,OAAO,EAAE,EAC3C,CAAC;QACD,OAAO,EAAE,OAAO,EAAE,KAAK,EAAE,UAAU,EAAE,kBAAkB,EAAE,CAAC;IAC5D,CAAC;IAED,8EAA8E;IAC9E,MAAM,SAAS,GAAG,MAAM,EAAE,CAAkB;;iBAE7B,QAAQ,CAAC,WAAW;GAClC,CAAC;IACF,IAAI,CAAC,SAAS,CAAC,CAAC,CAAC,EAAE,CAAC;QAClB,OAAO,EAAE,OAAO,EAAE,KAAK,EAAE,UAAU,EAAE,+BAA+B,EAAE,CAAC;IACzE,CAAC;IAED,0EAA0E;IAC1E,2EAA2E;IAC3E,6CAA6C;IAC7C,MAAM,MAAM,GAAG,MAAM,EAAE,CAAkB;;wBAEnB,QAAQ;2BACL,QAAQ,CAAC,WAAW;6BAClB,UAAU;sBACjB,OAAO;;;gDAGmB,GAAG;;qEAEkB,QAAQ;;;2BAGlD,QAAQ;;;;GAIhC,CAAC;IACF,MAAM,KAAK,GAAG,MAAM,CAAC,CAAC,CAAC,CAAC;IACxB,IAAI,CAAC,KAAK,EAAE,CAAC;QACX,OAAO,EAAE,OAAO,EAAE,KAAK,EAAE,UAAU,EAAE,mBAAmB,EAAE,CAAC;IAC7D,CAAC;IACD,OAAO,EAAE,OAAO,EAAE,IAAI,EAAE,OAAO,EAAE,KAAK,CAAC,EAAE,EAAE,CAAC;AAC9C,CAAC"}

package/dist/storage/checksum.d.ts

@@ -0,0 +1,9 @@
+/**
+ * SHA-256 em hex minúsculo — a forma exigida pelo CHECK de `blob.checksum_sha256`.
+ *
+ * É o identificador de conteúdo que sustenta duas coisas na ADR 0007: a
+ * deduplicação por tenant e a prova de que a versão baixada é byte-idêntica à
+ * que foi enviada.
+ */
+export declare function sha256Hex(data: Uint8Array): string;
+//# sourceMappingURL=checksum.d.ts.map

package/dist/storage/checksum.d.ts.map

@@ -0,0 +1 @@
+{"version":3,"file":"checksum.d.ts","sourceRoot":"","sources":["../../src/storage/checksum.ts"],"names":[],"mappings":"AAEA;;;;;;GAMG;AACH,wBAAgB,SAAS,CAAC,IAAI,EAAE,UAAU,GAAG,MAAM,CAElD"}

package/dist/storage/checksum.js

@@ -0,0 +1,12 @@
+import { createHash } from 'node:crypto';
+/**
+ * SHA-256 em hex minúsculo — a forma exigida pelo CHECK de `blob.checksum_sha256`.
+ *
+ * É o identificador de conteúdo que sustenta duas coisas na ADR 0007: a
+ * deduplicação por tenant e a prova de que a versão baixada é byte-idêntica à
+ * que foi enviada.
+ */
+export function sha256Hex(data) {
+    return createHash('sha256').update(data).digest('hex');
+}
+//# sourceMappingURL=checksum.js.map

package/dist/storage/checksum.js.map

@@ -0,0 +1 @@
+{"version":3,"file":"checksum.js","sourceRoot":"","sources":["../../src/storage/checksum.ts"],"names":[],"mappings":"AAAA,OAAO,EAAE,UAAU,EAAE,MAAM,aAAa,CAAC;AAEzC;;;;;;GAMG;AACH,MAAM,UAAU,SAAS,CAAC,IAAgB;IACxC,OAAO,UAAU,CAAC,QAAQ,CAAC,CAAC,MAAM,CAAC,IAAI,CAAC,CAAC,MAAM,CAAC,KAAK,CAAC,CAAC;AACzD,CAAC"}

package/dist/storage/key.d.ts

@@ -0,0 +1,37 @@
+/**
+ * Construção da chave de objeto (ADR 0007 D7).
+ *
+ * Formato:
+ *   {tenant_id}/{client_id}/{yyyy}/{mm}/{category}/{document_id}/{version}-{rand}
+ *
+ * Três propriedades que a forma garante:
+ *
+ * 1. **Tenant no primeiro segmento** — a fronteira fica legível no próprio
+ *    bucket e permite política de acesso por prefixo no provedor.
+ * 2. **Não previsível** — o sufixo aleatório impede que alguém que conheça os
+ *    ids enumere objetos. A URL assinada já expira, mas defesa em profundidade
+ *    custa 8 bytes.
+ * 3. **Sem nome de arquivo do cliente** — o `original_filename` vive na tabela
+ *    `document_version`, nunca na chave. Nome vindo do cliente não é identidade
+ *    de objeto e é o vetor clássico de path traversal.
+ */
+export declare function buildStorageKey(input: {
+    tenantId: string;
+    clientId: string;
+    documentId: string;
+    versionNo: number;
+    categoryKey?: string | null;
+    competenceLabel?: string | null;
+}): string;
+/**
+ * Reduz um segmento a `[a-z0-9_-]`. Qualquer outra coisa — inclusive `.` e `/` —
+ * é descartada, o que torna `../` impossível de construir por aqui.
+ */
+export declare function sanitizeSegment(value: string): string;
+/**
+ * Higieniza o nome exibido ao usuário. Não participa da chave de storage — é só
+ * o rótulo guardado em `document_version.original_filename` e devolvido no
+ * download. Remove diretório, controla o comprimento e recusa nome vazio.
+ */
+export declare function sanitizeFilename(value: string): string;
+//# sourceMappingURL=key.d.ts.map

package/dist/storage/key.d.ts.map

@@ -0,0 +1 @@
+{"version":3,"file":"key.d.ts","sourceRoot":"","sources":["../../src/storage/key.ts"],"names":[],"mappings":"AAEA;;;;;;;;;;;;;;;;GAgBG;AACH,wBAAgB,eAAe,CAAC,KAAK,EAAE;IACrC,QAAQ,EAAE,MAAM,CAAC;IACjB,QAAQ,EAAE,MAAM,CAAC;IACjB,UAAU,EAAE,MAAM,CAAC;IACnB,SAAS,EAAE,MAAM,CAAC;IAClB,WAAW,CAAC,EAAE,MAAM,GAAG,IAAI,CAAC;IAC5B,eAAe,CAAC,EAAE,MAAM,GAAG,IAAI,CAAC;CACjC,GAAG,MAAM,CAmBT;AAED;;;GAGG;AACH,wBAAgB,eAAe,CAAC,KAAK,EAAE,MAAM,GAAG,MAAM,CAUrD;AAED;;;;GAIG;AACH,wBAAgB,gBAAgB,CAAC,KAAK,EAAE,MAAM,GAAG,MAAM,CAStD"}

package/dist/storage/key.js

@@ -0,0 +1,67 @@
+import { randomBytes } from 'node:crypto';
+/**
+ * Construção da chave de objeto (ADR 0007 D7).
+ *
+ * Formato:
+ *   {tenant_id}/{client_id}/{yyyy}/{mm}/{category}/{document_id}/{version}-{rand}
+ *
+ * Três propriedades que a forma garante:
+ *
+ * 1. **Tenant no primeiro segmento** — a fronteira fica legível no próprio
+ *    bucket e permite política de acesso por prefixo no provedor.
+ * 2. **Não previsível** — o sufixo aleatório impede que alguém que conheça os
+ *    ids enumere objetos. A URL assinada já expira, mas defesa em profundidade
+ *    custa 8 bytes.
+ * 3. **Sem nome de arquivo do cliente** — o `original_filename` vive na tabela
+ *    `document_version`, nunca na chave. Nome vindo do cliente não é identidade
+ *    de objeto e é o vetor clássico de path traversal.
+ */
+export function buildStorageKey(input) {
+    const { tenantId, clientId, documentId, versionNo } = input;
+    // Competência dá a partição temporal quando existe; senão, a data corrente.
+    // O formato YYYY-MM já é validado no banco, então o split é seguro.
+    let yyyy;
+    let mm;
+    if (input.competenceLabel && /^\d{4}-\d{2}$/.test(input.competenceLabel)) {
+        [yyyy, mm] = input.competenceLabel.split('-');
+    }
+    else {
+        const now = new Date();
+        yyyy = String(now.getUTCFullYear());
+        mm = String(now.getUTCMonth() + 1).padStart(2, '0');
+    }
+    const category = sanitizeSegment(input.categoryKey ?? 'geral');
+    const rand = randomBytes(8).toString('hex');
+    return `${tenantId}/${clientId}/${yyyy}/${mm}/${category}/${documentId}/${versionNo}-${rand}`;
+}
+/**
+ * Reduz um segmento a `[a-z0-9_-]`. Qualquer outra coisa — inclusive `.` e `/` —
+ * é descartada, o que torna `../` impossível de construir por aqui.
+ */
+export function sanitizeSegment(value) {
+    const cleaned = value
+        .toLowerCase()
+        .normalize('NFD')
+        .replace(/[\u0300-\u036f]/g, '')
+        .replace(/[^a-z0-9_-]/g, '-')
+        .replace(/-+/g, '-')
+        .replace(/^-|-$/g, '')
+        .slice(0, 48);
+    return cleaned.length > 0 ? cleaned : 'geral';
+}
+/**
+ * Higieniza o nome exibido ao usuário. Não participa da chave de storage — é só
+ * o rótulo guardado em `document_version.original_filename` e devolvido no
+ * download. Remove diretório, controla o comprimento e recusa nome vazio.
+ */
+export function sanitizeFilename(value) {
+    const base = value.split(/[\\/]/).pop() ?? '';
+    const cleaned = base
+        // eslint-disable-next-line no-control-regex
+        .replace(/[\u0000-\u001f\u007f]/g, '')
+        .replace(/^\.+/, '')
+        .trim()
+        .slice(0, 180);
+    return cleaned.length > 0 ? cleaned : 'arquivo';
+}
+//# sourceMappingURL=key.js.map

package/dist/storage/key.js.map

@@ -0,0 +1 @@
+{"version":3,"file":"key.js","sourceRoot":"","sources":["../../src/storage/key.ts"],"names":[],"mappings":"AAAA,OAAO,EAAE,WAAW,EAAE,MAAM,aAAa,CAAC;AAE1C;;;;;;;;;;;;;;;;GAgBG;AACH,MAAM,UAAU,eAAe,CAAC,KAO/B;IACC,MAAM,EAAE,QAAQ,EAAE,QAAQ,EAAE,UAAU,EAAE,SAAS,EAAE,GAAG,KAAK,CAAC;IAE5D,4EAA4E;IAC5E,oEAAoE;IACpE,IAAI,IAAY,CAAC;IACjB,IAAI,EAAU,CAAC;IACf,IAAI,KAAK,CAAC,eAAe,IAAI,eAAe,CAAC,IAAI,CAAC,KAAK,CAAC,eAAe,CAAC,EAAE,CAAC;QACzE,CAAC,IAAI,EAAE,EAAE,CAAC,GAAG,KAAK,CAAC,eAAe,CAAC,KAAK,CAAC,GAAG,CAAqB,CAAC;IACpE,CAAC;SAAM,CAAC;QACN,MAAM,GAAG,GAAG,IAAI,IAAI,EAAE,CAAC;QACvB,IAAI,GAAG,MAAM,CAAC,GAAG,CAAC,cAAc,EAAE,CAAC,CAAC;QACpC,EAAE,GAAG,MAAM,CAAC,GAAG,CAAC,WAAW,EAAE,GAAG,CAAC,CAAC,CAAC,QAAQ,CAAC,CAAC,EAAE,GAAG,CAAC,CAAC;IACtD,CAAC;IAED,MAAM,QAAQ,GAAG,eAAe,CAAC,KAAK,CAAC,WAAW,IAAI,OAAO,CAAC,CAAC;IAC/D,MAAM,IAAI,GAAG,WAAW,CAAC,CAAC,CAAC,CAAC,QAAQ,CAAC,KAAK,CAAC,CAAC;IAE5C,OAAO,GAAG,QAAQ,IAAI,QAAQ,IAAI,IAAI,IAAI,EAAE,IAAI,QAAQ,IAAI,UAAU,IAAI,SAAS,IAAI,IAAI,EAAE,CAAC;AAChG,CAAC;AAED;;;GAGG;AACH,MAAM,UAAU,eAAe,CAAC,KAAa;IAC3C,MAAM,OAAO,GAAG,KAAK;SAClB,WAAW,EAAE;SACb,SAAS,CAAC,KAAK,CAAC;SAChB,OAAO,CAAC,kBAAkB,EAAE,EAAE,CAAC;SAC/B,OAAO,CAAC,cAAc,EAAE,GAAG,CAAC;SAC5B,OAAO,CAAC,KAAK,EAAE,GAAG,CAAC;SACnB,OAAO,CAAC,QAAQ,EAAE,EAAE,CAAC;SACrB,KAAK,CAAC,CAAC,EAAE,EAAE,CAAC,CAAC;IAChB,OAAO,OAAO,CAAC,MAAM,GAAG,CAAC,CAAC,CAAC,CAAC,OAAO,CAAC,CAAC,CAAC,OAAO,CAAC;AAChD,CAAC;AAED;;;;GAIG;AACH,MAAM,UAAU,gBAAgB,CAAC,KAAa;IAC5C,MAAM,IAAI,GAAG,KAAK,CAAC,KAAK,CAAC,OAAO,CAAC,CAAC,GAAG,EAAE,IAAI,EAAE,CAAC;IAC9C,MAAM,OAAO,GAAG,IAAI;QAClB,4CAA4C;SAC3C,OAAO,CAAC,wBAAwB,EAAE,EAAE,CAAC;SACrC,OAAO,CAAC,MAAM,EAAE,EAAE,CAAC;SACnB,IAAI,EAAE;SACN,KAAK,CAAC,CAAC,EAAE,GAAG,CAAC,CAAC;IACjB,OAAO,OAAO,CAAC,MAAM,GAAG,CAAC,CAAC,CAAC,CAAC,OAAO,CAAC,CAAC,CAAC,SAAS,CAAC;AAClD,CAAC"}

package/dist/storage/local.d.ts

@@ -0,0 +1,40 @@
+import { type ObjectHead, type PutObjectInput, type PutObjectResult, type SignedUrlOptions, type StorageProvider } from './types.js';
+/**
+ * Provider de sistema de arquivos — o default seguro (ADR 0007 D4).
+ *
+ * Usado em desenvolvimento e em toda a suíte de testes: nenhum teste depende de
+ * R2 real, o que mantém o CI offline e determinístico.
+ *
+ * A "URL assinada" aqui é um caminho relativo da própria API com token HMAC e
+ * expiração — mesma semântica do presigned do R2 (link temporário, sem
+ * credencial embutida), servido pelo backend em vez do provedor.
+ */
+export declare class LocalStorageProvider implements StorageProvider {
+    readonly key: "local";
+    private readonly root;
+    private readonly signingSecret;
+    constructor(options: {
+        rootDir: string;
+        signingSecret: string;
+    });
+    /**
+     * Resolve a chave para um caminho absoluto e recusa qualquer coisa que escape
+     * da raiz. A chave já é construída por `buildStorageKey`, mas este guard não
+     * confia nisso: um provider de storage é o último lugar onde se deve supor
+     * que a entrada é boa.
+     */
+    private pathFor;
+    put(input: PutObjectInput): Promise<PutObjectResult>;
+    getSignedUrl(key: string, options?: SignedUrlOptions): Promise<string>;
+    head(key: string): Promise<ObjectHead>;
+    delete(key: string): Promise<void>;
+    /** Lê o objeto. Só o LocalStorageProvider expõe isso — o R2 serve direto. */
+    read(key: string): Promise<Uint8Array>;
+    private sign;
+    /**
+     * Valida assinatura e expiração. Comparação em tempo constante — um HMAC
+     * comparado com `===` vaza o prefixo correto byte a byte.
+     */
+    verifySignature(key: string, expiresAt: number, signature: string): boolean;
+}
+//# sourceMappingURL=local.d.ts.map

package/dist/storage/local.d.ts.map

@@ -0,0 +1 @@
+{"version":3,"file":"local.d.ts","sourceRoot":"","sources":["../../src/storage/local.ts"],"names":[],"mappings":"AAGA,OAAO,EAGL,KAAK,UAAU,EACf,KAAK,cAAc,EACnB,KAAK,eAAe,EACpB,KAAK,gBAAgB,EACrB,KAAK,eAAe,EACrB,MAAM,YAAY,CAAC;AAGpB;;;;;;;;;GASG;AACH,qBAAa,oBAAqB,YAAW,eAAe;IAC1D,QAAQ,CAAC,GAAG,EAAG,OAAO,CAAU;IAChC,OAAO,CAAC,QAAQ,CAAC,IAAI,CAAS;IAC9B,OAAO,CAAC,QAAQ,CAAC,aAAa,CAAS;gBAE3B,OAAO,EAAE;QAAE,OAAO,EAAE,MAAM,CAAC;QAAC,aAAa,EAAE,MAAM,CAAA;KAAE;IAK/D;;;;;OAKG;IACH,OAAO,CAAC,OAAO;IAST,GAAG,CAAC,KAAK,EAAE,cAAc,GAAG,OAAO,CAAC,eAAe,CAAC;IAWpD,YAAY,CAAC,GAAG,EAAE,MAAM,EAAE,OAAO,CAAC,EAAE,gBAAgB,GAAG,OAAO,CAAC,MAAM,CAAC;IAStE,IAAI,CAAC,GAAG,EAAE,MAAM,GAAG,OAAO,CAAC,UAAU,CAAC;IAStC,MAAM,CAAC,GAAG,EAAE,MAAM,GAAG,OAAO,CAAC,IAAI,CAAC;IAIxC,6EAA6E;IACvE,IAAI,CAAC,GAAG,EAAE,MAAM,GAAG,OAAO,CAAC,UAAU,CAAC;IAQ5C,OAAO,CAAC,IAAI;IAIZ;;;OAGG;IACH,eAAe,CAAC,GAAG,EAAE,MAAM,EAAE,SAAS,EAAE,MAAM,EAAE,SAAS,EAAE,MAAM,GAAG,OAAO;CAO5E"}

package/dist/storage/local.js

@@ -0,0 +1,96 @@
+import { createHmac, timingSafeEqual } from 'node:crypto';
+import { mkdir, readFile, rm, stat, writeFile } from 'node:fs/promises';
+import { dirname, join, normalize, resolve, sep } from 'node:path';
+import { DEFAULT_SIGNED_URL_TTL_SECONDS, StorageError, } from './types.js';
+import { sha256Hex } from './checksum.js';
+/**
+ * Provider de sistema de arquivos — o default seguro (ADR 0007 D4).
+ *
+ * Usado em desenvolvimento e em toda a suíte de testes: nenhum teste depende de
+ * R2 real, o que mantém o CI offline e determinístico.
+ *
+ * A "URL assinada" aqui é um caminho relativo da própria API com token HMAC e
+ * expiração — mesma semântica do presigned do R2 (link temporário, sem
+ * credencial embutida), servido pelo backend em vez do provedor.
+ */
+export class LocalStorageProvider {
+    key = 'local';
+    root;
+    signingSecret;
+    constructor(options) {
+        this.root = resolve(options.rootDir);
+        this.signingSecret = options.signingSecret;
+    }
+    /**
+     * Resolve a chave para um caminho absoluto e recusa qualquer coisa que escape
+     * da raiz. A chave já é construída por `buildStorageKey`, mas este guard não
+     * confia nisso: um provider de storage é o último lugar onde se deve supor
+     * que a entrada é boa.
+     */
+    pathFor(key) {
+        if (key.includes('\0'))
+            throw new StorageError('chave inválida', 'invalid');
+        const target = resolve(join(this.root, normalize(key)));
+        if (target !== this.root && !target.startsWith(this.root + sep)) {
+            throw new StorageError('chave fora da raiz de storage', 'invalid');
+        }
+        return target;
+    }
+    async put(input) {
+        const target = this.pathFor(input.key);
+        await mkdir(dirname(target), { recursive: true });
+        await writeFile(target, input.body);
+        return {
+            key: input.key,
+            checksumSha256: sha256Hex(input.body),
+            sizeBytes: input.body.byteLength,
+        };
+    }
+    async getSignedUrl(key, options) {
+        const ttl = options?.expiresInSeconds ?? DEFAULT_SIGNED_URL_TTL_SECONDS;
+        const expiresAt = Math.floor(Date.now() / 1000) + ttl;
+        const signature = this.sign(key, expiresAt);
+        const params = new URLSearchParams({ key, expires: String(expiresAt), sig: signature });
+        if (options?.downloadFilename)
+            params.set('filename', options.downloadFilename);
+        return `/v1/documents/blob?${params.toString()}`;
+    }
+    async head(key) {
+        try {
+            const info = await stat(this.pathFor(key));
+            return { exists: true, sizeBytes: info.size };
+        }
+        catch {
+            return { exists: false };
+        }
+    }
+    async delete(key) {
+        await rm(this.pathFor(key), { force: true });
+    }
+    /** Lê o objeto. Só o LocalStorageProvider expõe isso — o R2 serve direto. */
+    async read(key) {
+        try {
+            return new Uint8Array(await readFile(this.pathFor(key)));
+        }
+        catch {
+            throw new StorageError('objeto não encontrado', 'not-found');
+        }
+    }
+    sign(key, expiresAt) {
+        return createHmac('sha256', this.signingSecret).update(`${key}:${expiresAt}`).digest('hex');
+    }
+    /**
+     * Valida assinatura e expiração. Comparação em tempo constante — um HMAC
+     * comparado com `===` vaza o prefixo correto byte a byte.
+     */
+    verifySignature(key, expiresAt, signature) {
+        if (!Number.isFinite(expiresAt) || expiresAt < Math.floor(Date.now() / 1000))
+            return false;
+        const expected = Buffer.from(this.sign(key, expiresAt), 'utf8');
+        const received = Buffer.from(signature, 'utf8');
+        if (expected.length !== received.length)
+            return false;
+        return timingSafeEqual(expected, received);
+    }
+}
+//# sourceMappingURL=local.js.map

package/dist/storage/local.js.map

@@ -0,0 +1 @@
+{"version":3,"file":"local.js","sourceRoot":"","sources":["../../src/storage/local.ts"],"names":[],"mappings":"AAAA,OAAO,EAAE,UAAU,EAAE,eAAe,EAAE,MAAM,aAAa,CAAC;AAC1D,OAAO,EAAE,KAAK,EAAE,QAAQ,EAAE,EAAE,EAAE,IAAI,EAAE,SAAS,EAAE,MAAM,kBAAkB,CAAC;AACxE,OAAO,EAAE,OAAO,EAAE,IAAI,EAAE,SAAS,EAAE,OAAO,EAAE,GAAG,EAAE,MAAM,WAAW,CAAC;AACnE,OAAO,EACL,8BAA8B,EAC9B,YAAY,GAMb,MAAM,YAAY,CAAC;AACpB,OAAO,EAAE,SAAS,EAAE,MAAM,eAAe,CAAC;AAE1C;;;;;;;;;GASG;AACH,MAAM,OAAO,oBAAoB;IACtB,GAAG,GAAG,OAAgB,CAAC;IACf,IAAI,CAAS;IACb,aAAa,CAAS;IAEvC,YAAY,OAAmD;QAC7D,IAAI,CAAC,IAAI,GAAG,OAAO,CAAC,OAAO,CAAC,OAAO,CAAC,CAAC;QACrC,IAAI,CAAC,aAAa,GAAG,OAAO,CAAC,aAAa,CAAC;IAC7C,CAAC;IAED;;;;;OAKG;IACK,OAAO,CAAC,GAAW;QACzB,IAAI,GAAG,CAAC,QAAQ,CAAC,IAAI,CAAC;YAAE,MAAM,IAAI,YAAY,CAAC,gBAAgB,EAAE,SAAS,CAAC,CAAC;QAC5E,MAAM,MAAM,GAAG,OAAO,CAAC,IAAI,CAAC,IAAI,CAAC,IAAI,EAAE,SAAS,CAAC,GAAG,CAAC,CAAC,CAAC,CAAC;QACxD,IAAI,MAAM,KAAK,IAAI,CAAC,IAAI,IAAI,CAAC,MAAM,CAAC,UAAU,CAAC,IAAI,CAAC,IAAI,GAAG,GAAG,CAAC,EAAE,CAAC;YAChE,MAAM,IAAI,YAAY,CAAC,+BAA+B,EAAE,SAAS,CAAC,CAAC;QACrE,CAAC;QACD,OAAO,MAAM,CAAC;IAChB,CAAC;IAED,KAAK,CAAC,GAAG,CAAC,KAAqB;QAC7B,MAAM,MAAM,GAAG,IAAI,CAAC,OAAO,CAAC,KAAK,CAAC,GAAG,CAAC,CAAC;QACvC,MAAM,KAAK,CAAC,OAAO,CAAC,MAAM,CAAC,EAAE,EAAE,SAAS,EAAE,IAAI,EAAE,CAAC,CAAC;QAClD,MAAM,SAAS,CAAC,MAAM,EAAE,KAAK,CAAC,IAAI,CAAC,CAAC;QACpC,OAAO;YACL,GAAG,EAAE,KAAK,CAAC,GAAG;YACd,cAAc,EAAE,SAAS,CAAC,KAAK,CAAC,IAAI,CAAC;YACrC,SAAS,EAAE,KAAK,CAAC,IAAI,CAAC,UAAU;SACjC,CAAC;IACJ,CAAC;IAED,KAAK,CAAC,YAAY,CAAC,GAAW,EAAE,OAA0B;QACxD,MAAM,GAAG,GAAG,OAAO,EAAE,gBAAgB,IAAI,8BAA8B,CAAC;QACxE,MAAM,SAAS,GAAG,IAAI,CAAC,KAAK,CAAC,IAAI,CAAC,GAAG,EAAE,GAAG,IAAI,CAAC,GAAG,GAAG,CAAC;QACtD,MAAM,SAAS,GAAG,IAAI,CAAC,IAAI,CAAC,GAAG,EAAE,SAAS,CAAC,CAAC;QAC5C,MAAM,MAAM,GAAG,IAAI,eAAe,CAAC,EAAE,GAAG,EAAE,OAAO,EAAE,MAAM,CAAC,SAAS,CAAC,EAAE,GAAG,EAAE,SAAS,EAAE,CAAC,CAAC;QACxF,IAAI,OAAO,EAAE,gBAAgB;YAAE,MAAM,CAAC,GAAG,CAAC,UAAU,EAAE,OAAO,CAAC,gBAAgB,CAAC,CAAC;QAChF,OAAO,sBAAsB,MAAM,CAAC,QAAQ,EAAE,EAAE,CAAC;IACnD,CAAC;IAED,KAAK,CAAC,IAAI,CAAC,GAAW;QACpB,IAAI,CAAC;YACH,MAAM,IAAI,GAAG,MAAM,IAAI,CAAC,IAAI,CAAC,OAAO,CAAC,GAAG,CAAC,CAAC,CAAC;YAC3C,OAAO,EAAE,MAAM,EAAE,IAAI,EAAE,SAAS,EAAE,IAAI,CAAC,IAAI,EAAE,CAAC;QAChD,CAAC;QAAC,MAAM,CAAC;YACP,OAAO,EAAE,MAAM,EAAE,KAAK,EAAE,CAAC;QAC3B,CAAC;IACH,CAAC;IAED,KAAK,CAAC,MAAM,CAAC,GAAW;QACtB,MAAM,EAAE,CAAC,IAAI,CAAC,OAAO,CAAC,GAAG,CAAC,EAAE,EAAE,KAAK,EAAE,IAAI,EAAE,CAAC,CAAC;IAC/C,CAAC;IAED,6EAA6E;IAC7E,KAAK,CAAC,IAAI,CAAC,GAAW;QACpB,IAAI,CAAC;YACH,OAAO,IAAI,UAAU,CAAC,MAAM,QAAQ,CAAC,IAAI,CAAC,OAAO,CAAC,GAAG,CAAC,CAAC,CAAC,CAAC;QAC3D,CAAC;QAAC,MAAM,CAAC;YACP,MAAM,IAAI,YAAY,CAAC,uBAAuB,EAAE,WAAW,CAAC,CAAC;QAC/D,CAAC;IACH,CAAC;IAEO,IAAI,CAAC,GAAW,EAAE,SAAiB;QACzC,OAAO,UAAU,CAAC,QAAQ,EAAE,IAAI,CAAC,aAAa,CAAC,CAAC,MAAM,CAAC,GAAG,GAAG,IAAI,SAAS,EAAE,CAAC,CAAC,MAAM,CAAC,KAAK,CAAC,CAAC;IAC9F,CAAC;IAED;;;OAGG;IACH,eAAe,CAAC,GAAW,EAAE,SAAiB,EAAE,SAAiB;QAC/D,IAAI,CAAC,MAAM,CAAC,QAAQ,CAAC,SAAS,CAAC,IAAI,SAAS,GAAG,IAAI,CAAC,KAAK,CAAC,IAAI,CAAC,GAAG,EAAE,GAAG,IAAI,CAAC;YAAE,OAAO,KAAK,CAAC;QAC3F,MAAM,QAAQ,GAAG,MAAM,CAAC,IAAI,CAAC,IAAI,CAAC,IAAI,CAAC,GAAG,EAAE,SAAS,CAAC,EAAE,MAAM,CAAC,CAAC;QAChE,MAAM,QAAQ,GAAG,MAAM,CAAC,IAAI,CAAC,SAAS,EAAE,MAAM,CAAC,CAAC;QAChD,IAAI,QAAQ,CAAC,MAAM,KAAK,QAAQ,CAAC,MAAM;YAAE,OAAO,KAAK,CAAC;QACtD,OAAO,eAAe,CAAC,QAAQ,EAAE,QAAQ,CAAC,CAAC;IAC7C,CAAC;CACF"}

package/dist/storage/r2.d.ts

@@ -0,0 +1,43 @@
+import { type ObjectHead, type PutObjectInput, type PutObjectResult, type SignedUrlOptions, type StorageProvider } from './types.js';
+/**
+ * Cloudflare R2 — provider de produção (ADR 0007 D5).
+ *
+ * Fala S3 por AWS SigV4 implementado aqui, sem SDK. Duas razões:
+ *
+ * 1. **Nenhuma dependência nova.** `@aws-sdk/client-s3` traria dezenas de
+ *    pacotes transitivos para usarmos quatro operações. O lockfile deste
+ *    monorepo já é sensível a divergência entre macOS e o CI Linux.
+ * 2. **A superfície é pequena e estável.** SigV4 não muda; o que muda é o
+ *    fornecedor, e é exatamente isso que a interface `StorageProvider` isola.
+ *
+ * O bucket é privado. Não existe caminho neste arquivo que torne um objeto
+ * público — leitura é sempre por URL assinada com expiração.
+ */
+export interface R2Config {
+    accountId: string;
+    accessKeyId: string;
+    secretAccessKey: string;
+    bucket: string;
+    /** Região fixa do R2. */
+    region?: string;
+    fetchImpl?: typeof fetch;
+}
+export declare class R2StorageProvider implements StorageProvider {
+    readonly key: "r2";
+    private readonly cfg;
+    private readonly fetchImpl;
+    private readonly host;
+    constructor(config: R2Config);
+    private objectUrl;
+    put(input: PutObjectInput): Promise<PutObjectResult>;
+    /**
+     * Presigned GET por query string (SigV4). O link carrega a assinatura e a
+     * expiração — nunca a credencial.
+     */
+    getSignedUrl(key: string, options?: SignedUrlOptions): Promise<string>;
+    head(key: string): Promise<ObjectHead>;
+    delete(key: string): Promise<void>;
+    private signedHeaders;
+    private calculateSignature;
+}
+//# sourceMappingURL=r2.d.ts.map

package/dist/storage/r2.d.ts.map

@@ -0,0 +1 @@
+{"version":3,"file":"r2.d.ts","sourceRoot":"","sources":["../../src/storage/r2.ts"],"names":[],"mappings":"AACA,OAAO,EAGL,KAAK,UAAU,EACf,KAAK,cAAc,EACnB,KAAK,eAAe,EACpB,KAAK,gBAAgB,EACrB,KAAK,eAAe,EACrB,MAAM,YAAY,CAAC;AAGpB;;;;;;;;;;;;;GAaG;AACH,MAAM,WAAW,QAAQ;IACvB,SAAS,EAAE,MAAM,CAAC;IAClB,WAAW,EAAE,MAAM,CAAC;IACpB,eAAe,EAAE,MAAM,CAAC;IACxB,MAAM,EAAE,MAAM,CAAC;IACf,yBAAyB;IACzB,MAAM,CAAC,EAAE,MAAM,CAAC;IAChB,SAAS,CAAC,EAAE,OAAO,KAAK,CAAC;CAC1B;AAKD,qBAAa,iBAAkB,YAAW,eAAe;IACvD,QAAQ,CAAC,GAAG,EAAG,IAAI,CAAU;IAC7B,OAAO,CAAC,QAAQ,CAAC,GAAG,CAAwC;IAC5D,OAAO,CAAC,QAAQ,CAAC,SAAS,CAAe;IACzC,OAAO,CAAC,QAAQ,CAAC,IAAI,CAAS;gBAElB,MAAM,EAAE,QAAQ;IAe5B,OAAO,CAAC,SAAS;IAIX,GAAG,CAAC,KAAK,EAAE,cAAc,GAAG,OAAO,CAAC,eAAe,CAAC;IA6B1D;;;OAGG;IACG,YAAY,CAAC,GAAG,EAAE,MAAM,EAAE,OAAO,CAAC,EAAE,gBAAgB,GAAG,OAAO,CAAC,MAAM,CAAC;IAqCtE,IAAI,CAAC,GAAG,EAAE,MAAM,GAAG,OAAO,CAAC,UAAU,CAAC;IAkBtC,MAAM,CAAC,GAAG,EAAE,MAAM,GAAG,OAAO,CAAC,IAAI,CAAC;IAaxC,OAAO,CAAC,aAAa;IA8CrB,OAAO,CAAC,kBAAkB;CAsB3B"}