@baruk/core 0.3.1 → 0.5.0

package/dist/tenancy/provisioning.js

@@ -16,18 +16,42 @@ export async function ensureRbacCatalog(db) {
     `;
     }
     for (const role of SYSTEM_ROLES) {
-        const existing = await db `
-      SELECT id FROM role WHERE key = ${role.key} AND tenant_id IS NULL
+        /*
+         * `INSERT … ON CONFLICT` em vez de SELECT-e-depois-INSERT.
+         *
+         * O padrão anterior era idempotente para execuções em SÉRIE e uma corrida
+         * para execuções concorrentes: dois processos que consultam ao mesmo tempo
+         * recebem os dois "não existe" e tentam inserir os dois, e o índice parcial
+         * `role_system_key_uq` reprova o segundo com `duplicate key`.
+         *
+         * Nunca apareceu porque o seed roda uma vez, em série, contra um banco que
+         * já tem os papéis. Apareceu quando a suíte passou a rodar de um banco
+         * VAZIO: vários pacotes do monorepo chamam `ensureRbacCatalog` em paralelo,
+         * e o primeiro banco limpo derrubou a suíte da vertical.
+         *
+         * É a mesma classe de defeito — verificar e depois agir, com uma janela no
+         * meio — que a reserva de despacho existe para fechar. Aqui a instrução
+         * única resolve, porque a decisão e a escrita passam a ser o mesmo momento.
+         */
+        const inserted = await db `
+      INSERT INTO role (id, tenant_id, key, name, is_system)
+      VALUES (${uuidv7()}, NULL, ${role.key}, ${role.name}, true)
+      ON CONFLICT DO NOTHING
+      RETURNING id
     `;
-        let roleId = existing[0]?.id;
+        let roleId = inserted[0]?.id;
         if (!roleId) {
-            const inserted = await db `
-        INSERT INTO role (id, tenant_id, key, name, is_system)
-        VALUES (${uuidv7()}, NULL, ${role.key}, ${role.name}, true)
-        RETURNING id
+            // Alguém já inseriu — nós mesmos numa execução anterior, ou o processo
+            // concorrente que ganhou a corrida. Ler o que ficou.
+            const existing = await db `
+        SELECT id FROM role WHERE key = ${role.key} AND tenant_id IS NULL
       `;
-            roleId = inserted[0].id;
+            roleId = existing[0]?.id;
         }
+        // Sem id não há o que vincular. Seguir em silêncio criaria um papel de
+        // sistema sem permissão nenhuma, que é pior que falhar aqui.
+        if (!roleId)
+            continue;
         for (const permKey of role.permissions) {
             const perm = await db `SELECT id FROM permission WHERE key = ${permKey}`;
             if (!perm[0])

package/dist/tenancy/provisioning.js.map

@@ -1 +1 @@
-{"version":3,"file":"provisioning.js","sourceRoot":"","sources":["../../src/tenancy/provisioning.ts"],"names":[],"mappings":"AAAA,OAAO,EAAE,MAAM,EAAqB,MAAM,eAAe,CAAC;AAE1D,OAAO,EAAE,WAAW,EAAE,MAAM,kBAAkB,CAAC;AAC/C,OAAO,EAAE,WAAW,EAAE,YAAY,EAAE,MAAM,oBAAoB,CAAC;AAE/D;;;;GAIG;AAEH,sFAAsF;AACtF,MAAM,CAAC,KAAK,UAAU,iBAAiB,CAAC,EAAM;IAC5C,KAAK,MAAM,CAAC,IAAI,WAAW,EAAE,CAAC;QAC5B,MAAM,EAAE,CAAA;;gBAEI,MAAM,EAAE,KAAK,CAAC,CAAC,GAAG,KAAK,CAAC,CAAC,QAAQ,KAAK,CAAC,CAAC,MAAM,KAAK,CAAC,CAAC,WAAW;;KAE3E,CAAC;IACJ,CAAC;IAED,KAAK,MAAM,IAAI,IAAI,YAAY,EAAE,CAAC;QAChC,MAAM,QAAQ,GAAG,MAAM,EAAE,CAAkB;wCACP,IAAI,CAAC,GAAG;KAC3C,CAAC;QACF,IAAI,MAAM,GAAG,QAAQ,CAAC,CAAC,CAAC,EAAE,EAAE,CAAC;QAC7B,IAAI,CAAC,MAAM,EAAE,CAAC;YACZ,MAAM,QAAQ,GAAG,MAAM,EAAE,CAAkB;;kBAE/B,MAAM,EAAE,WAAW,IAAI,CAAC,GAAG,KAAK,IAAI,CAAC,IAAI;;OAEpD,CAAC;YACF,MAAM,GAAG,QAAQ,CAAC,CAAC,CAAE,CAAC,EAAE,CAAC;QAC3B,CAAC;QACD,KAAK,MAAM,OAAO,IAAI,IAAI,CAAC,WAAW,EAAE,CAAC;YACvC,MAAM,IAAI,GAAG,MAAM,EAAE,CAAkB,yCAAyC,OAAO,EAAE,CAAC;YAC1F,IAAI,CAAC,IAAI,CAAC,CAAC,CAAC;gBAAE,SAAS;YACvB,MAAM,EAAE,CAAA;;kBAEI,MAAM,KAAK,IAAI,CAAC,CAAC,CAAC,CAAC,EAAE;;OAEhC,CAAC;QACJ,CAAC;IACH,CAAC;AACH,CAAC;AAUD,8CAA8C;AAC9C,MAAM,CAAC,KAAK,UAAU,YAAY,CAAC,EAAM,EAAE,KAAwB;IACjE,MAAM,QAAQ,GAAG,MAAM,EAAE,CAAkB;sDACS,KAAK,CAAC,IAAI;GAC7D,CAAC;IACF,IAAI,QAAQ,CAAC,CAAC,CAAC;QAAE,OAAO,QAAQ,CAAC,CAAC,CAAC,CAAC,EAAE,CAAC;IACvC,MAAM,IAAI,GAAG,MAAM,EAAE,CAAkB;;;QAGjC,MAAM,EAAE,KAAK,KAAK,CAAC,IAAI,KAAK,KAAK,CAAC,SAAS,IAAI,IAAI,KAAK,KAAK,CAAC,WAAW;QACzE,KAAK,CAAC,MAAM,IAAI,QAAQ,KAAK,KAAK,CAAC,cAAc,IAAI,UAAU;;;GAGpE,CAAC;IACF,OAAO,IAAI,CAAC,CAAC,CAAE,CAAC,EAAE,CAAC;AACrB,CAAC;AAED,oEAAoE;AACpE,MAAM,CAAC,KAAK,UAAU,kBAAkB,CACtC,EAAM,EACN,QAAgB,EAChB,IAAY;IAEZ,OAAO,WAAW,CAAC,EAAE,EAAE,EAAE,QAAQ,EAAE,EAAE,KAAK,EAAE,EAAE,EAAE,EAAE;QAChD,MAAM,QAAQ,GAAG,MAAM,EAAE,CAAkB;;;qBAG1B,IAAI;KACpB,CAAC;QACF,IAAI,QAAQ,CAAC,CAAC,CAAC;YAAE,OAAO,QAAQ,CAAC,CAAC,CAAC,CAAC,EAAE,CAAC;QACvC,MAAM,IAAI,GAAG,MAAM,EAAE,CAAkB;;gBAE3B,MAAM,EAAE,kDAAkD,IAAI;;KAEzE,CAAC;QACF,OAAO,IAAI,CAAC,CAAC,CAAE,CAAC,EAAE,CAAC;IACrB,CAAC,CAAC,CAAC;AACL,CAAC;AAED,yDAAyD;AACzD,MAAM,CAAC,KAAK,UAAU,gBAAgB,CAAC,EAAM,EAAE,QAAgB,EAAE,MAAc;IAC7E,OAAO,WAAW,CAAC,EAAE,EAAE,EAAE,QAAQ,EAAE,MAAM,EAAE,EAAE,KAAK,EAAE,EAAE,EAAE,EAAE;QACxD,MAAM,QAAQ,GAAG,MAAM,EAAE,CAAkB;;wBAEvB,MAAM;;;KAGzB,CAAC;QACF,IAAI,QAAQ,CAAC,CAAC,CAAC;YAAE,OAAO,QAAQ,CAAC,CAAC,CAAC,CAAC,EAAE,CAAC;QACvC,MAAM,IAAI,GAAG,MAAM,EAAE,CAAkB;;gBAE3B,MAAM,EAAE,kDAAkD,MAAM;;KAE3E,CAAC;QACF,OAAO,IAAI,CAAC,CAAC,CAAE,CAAC,EAAE,CAAC;IACrB,CAAC,CAAC,CAAC;AACL,CAAC;AAED,8EAA8E;AAC9E,MAAM,CAAC,KAAK,UAAU,gBAAgB,CACpC,EAAM,EACN,QAAgB,EAChB,MAAc,EACd,OAAe;IAEf,MAAM,WAAW,CAAC,EAAE,EAAE,EAAE,QAAQ,EAAE,MAAM,EAAE,EAAE,KAAK,EAAE,EAAE,EAAE,EAAE;QACvD,MAAM,IAAI,GAAG,MAAM,EAAE,CAAkB;wCACH,OAAO;KAC1C,CAAC;QACF,IAAI,CAAC,IAAI,CAAC,CAAC,CAAC;YAAE,MAAM,IAAI,KAAK,CAAC,kCAAkC,OAAO,EAAE,CAAC,CAAC;QAC3E,MAAM,QAAQ,GAAG,MAAM,EAAE,CAAkB;;wBAEvB,MAAM,kBAAkB,IAAI,CAAC,CAAC,CAAC,CAAC,EAAE;;;KAGrD,CAAC;QACF,IAAI,QAAQ,CAAC,CAAC,CAAC;YAAE,OAAO;QACxB,MAAM,EAAE,CAAA;;gBAEI,MAAM,EAAE,kDAAkD,MAAM,KAAK,IAAI,CAAC,CAAC,CAAC,CAAC,EAAE;KAC1F,CAAC;IACJ,CAAC,CAAC,CAAC;AACL,CAAC"}
+{"version":3,"file":"provisioning.js","sourceRoot":"","sources":["../../src/tenancy/provisioning.ts"],"names":[],"mappings":"AAAA,OAAO,EAAE,MAAM,EAAqB,MAAM,eAAe,CAAC;AAE1D,OAAO,EAAE,WAAW,EAAE,MAAM,kBAAkB,CAAC;AAC/C,OAAO,EAAE,WAAW,EAAE,YAAY,EAAE,MAAM,oBAAoB,CAAC;AAE/D;;;;GAIG;AAEH,sFAAsF;AACtF,MAAM,CAAC,KAAK,UAAU,iBAAiB,CAAC,EAAM;IAC5C,KAAK,MAAM,CAAC,IAAI,WAAW,EAAE,CAAC;QAC5B,MAAM,EAAE,CAAA;;gBAEI,MAAM,EAAE,KAAK,CAAC,CAAC,GAAG,KAAK,CAAC,CAAC,QAAQ,KAAK,CAAC,CAAC,MAAM,KAAK,CAAC,CAAC,WAAW;;KAE3E,CAAC;IACJ,CAAC;IAED,KAAK,MAAM,IAAI,IAAI,YAAY,EAAE,CAAC;QAChC;;;;;;;;;;;;;;;;WAgBG;QACH,MAAM,QAAQ,GAAG,MAAM,EAAE,CAAkB;;gBAE/B,MAAM,EAAE,WAAW,IAAI,CAAC,GAAG,KAAK,IAAI,CAAC,IAAI;;;KAGpD,CAAC;QACF,IAAI,MAAM,GAAG,QAAQ,CAAC,CAAC,CAAC,EAAE,EAAE,CAAC;QAC7B,IAAI,CAAC,MAAM,EAAE,CAAC;YACZ,uEAAuE;YACvE,qDAAqD;YACrD,MAAM,QAAQ,GAAG,MAAM,EAAE,CAAkB;0CACP,IAAI,CAAC,GAAG;OAC3C,CAAC;YACF,MAAM,GAAG,QAAQ,CAAC,CAAC,CAAC,EAAE,EAAE,CAAC;QAC3B,CAAC;QACD,uEAAuE;QACvE,6DAA6D;QAC7D,IAAI,CAAC,MAAM;YAAE,SAAS;QACtB,KAAK,MAAM,OAAO,IAAI,IAAI,CAAC,WAAW,EAAE,CAAC;YACvC,MAAM,IAAI,GAAG,MAAM,EAAE,CAAkB,yCAAyC,OAAO,EAAE,CAAC;YAC1F,IAAI,CAAC,IAAI,CAAC,CAAC,CAAC;gBAAE,SAAS;YACvB,MAAM,EAAE,CAAA;;kBAEI,MAAM,KAAK,IAAI,CAAC,CAAC,CAAC,CAAC,EAAE;;OAEhC,CAAC;QACJ,CAAC;IACH,CAAC;AACH,CAAC;AAUD,8CAA8C;AAC9C,MAAM,CAAC,KAAK,UAAU,YAAY,CAAC,EAAM,EAAE,KAAwB;IACjE,MAAM,QAAQ,GAAG,MAAM,EAAE,CAAkB;sDACS,KAAK,CAAC,IAAI;GAC7D,CAAC;IACF,IAAI,QAAQ,CAAC,CAAC,CAAC;QAAE,OAAO,QAAQ,CAAC,CAAC,CAAC,CAAC,EAAE,CAAC;IACvC,MAAM,IAAI,GAAG,MAAM,EAAE,CAAkB;;;QAGjC,MAAM,EAAE,KAAK,KAAK,CAAC,IAAI,KAAK,KAAK,CAAC,SAAS,IAAI,IAAI,KAAK,KAAK,CAAC,WAAW;QACzE,KAAK,CAAC,MAAM,IAAI,QAAQ,KAAK,KAAK,CAAC,cAAc,IAAI,UAAU;;;GAGpE,CAAC;IACF,OAAO,IAAI,CAAC,CAAC,CAAE,CAAC,EAAE,CAAC;AACrB,CAAC;AAED,oEAAoE;AACpE,MAAM,CAAC,KAAK,UAAU,kBAAkB,CAAC,EAAM,EAAE,QAAgB,EAAE,IAAY;IAC7E,OAAO,WAAW,CAAC,EAAE,EAAE,EAAE,QAAQ,EAAE,EAAE,KAAK,EAAE,EAAE,EAAE,EAAE;QAChD,MAAM,QAAQ,GAAG,MAAM,EAAE,CAAkB;;;qBAG1B,IAAI;KACpB,CAAC;QACF,IAAI,QAAQ,CAAC,CAAC,CAAC;YAAE,OAAO,QAAQ,CAAC,CAAC,CAAC,CAAC,EAAE,CAAC;QACvC,MAAM,IAAI,GAAG,MAAM,EAAE,CAAkB;;gBAE3B,MAAM,EAAE,kDAAkD,IAAI;;KAEzE,CAAC;QACF,OAAO,IAAI,CAAC,CAAC,CAAE,CAAC,EAAE,CAAC;IACrB,CAAC,CAAC,CAAC;AACL,CAAC;AAED,yDAAyD;AACzD,MAAM,CAAC,KAAK,UAAU,gBAAgB,CAAC,EAAM,EAAE,QAAgB,EAAE,MAAc;IAC7E,OAAO,WAAW,CAAC,EAAE,EAAE,EAAE,QAAQ,EAAE,MAAM,EAAE,EAAE,KAAK,EAAE,EAAE,EAAE,EAAE;QACxD,MAAM,QAAQ,GAAG,MAAM,EAAE,CAAkB;;wBAEvB,MAAM;;;KAGzB,CAAC;QACF,IAAI,QAAQ,CAAC,CAAC,CAAC;YAAE,OAAO,QAAQ,CAAC,CAAC,CAAC,CAAC,EAAE,CAAC;QACvC,MAAM,IAAI,GAAG,MAAM,EAAE,CAAkB;;gBAE3B,MAAM,EAAE,kDAAkD,MAAM;;KAE3E,CAAC;QACF,OAAO,IAAI,CAAC,CAAC,CAAE,CAAC,EAAE,CAAC;IACrB,CAAC,CAAC,CAAC;AACL,CAAC;AAED,8EAA8E;AAC9E,MAAM,CAAC,KAAK,UAAU,gBAAgB,CACpC,EAAM,EACN,QAAgB,EAChB,MAAc,EACd,OAAe;IAEf,MAAM,WAAW,CAAC,EAAE,EAAE,EAAE,QAAQ,EAAE,MAAM,EAAE,EAAE,KAAK,EAAE,EAAE,EAAE,EAAE;QACvD,MAAM,IAAI,GAAG,MAAM,EAAE,CAAkB;wCACH,OAAO;KAC1C,CAAC;QACF,IAAI,CAAC,IAAI,CAAC,CAAC,CAAC;YAAE,MAAM,IAAI,KAAK,CAAC,kCAAkC,OAAO,EAAE,CAAC,CAAC;QAC3E,MAAM,QAAQ,GAAG,MAAM,EAAE,CAAkB;;wBAEvB,MAAM,kBAAkB,IAAI,CAAC,CAAC,CAAC,CAAC,EAAE;;;KAGrD,CAAC;QACF,IAAI,QAAQ,CAAC,CAAC,CAAC;YAAE,OAAO;QACxB,MAAM,EAAE,CAAA;;gBAEI,MAAM,EAAE,kDAAkD,MAAM,KAAK,IAAI,CAAC,CAAC,CAAC,CAAC,EAAE;KAC1F,CAAC;IACJ,CAAC,CAAC,CAAC;AACL,CAAC"}

package/dist/tenancy/settings.d.ts

@@ -0,0 +1,63 @@
+import type { Tx } from '../db/client.js';
+/**
+ * Identidade e configuração do escritório — o caminho de ESCRITA que faltava.
+ *
+ * ## A regra que atravessa este arquivo
+ *
+ * `tenant` é a tabela RAIZ do modelo e **não tem RLS**: ela é a fonte da
+ * fronteira, não uma linha protegida por ela. Toda função aqui amarra o `WHERE`
+ * na GUC `app.current_tenant` e **nenhuma aceita `tenantId` por parâmetro**.
+ *
+ * A distinção não é estilística. Um parâmetro é um pedido do chamador, e pedido
+ * do chamador não é fronteira: bastaria uma rota esquecer de conferir para que
+ * um escritório reescrevesse a identidade de outro. Com a GUC, quem não abriu
+ * contexto não escreve em lugar nenhum, e quem abriu só alcança o próprio.
+ */
+/** Fusos brasileiros aceitos. A mesma lista vive no CHECK da 0054. */
+export declare const BR_TIMEZONES: readonly string[];
+export interface TenantProfile {
+    code: string;
+    displayName: string;
+    legalName: string | null;
+    documentNumber: string | null;
+    /** `cpf` | `cnpj` | null — derivado, para a UI formatar sem readivinhar. */
+    documentKind: 'cpf' | 'cnpj' | null;
+    timezone: string;
+    status: string;
+    primaryProduct: string;
+}
+export declare function getTenantProfile(tx: Tx): Promise<TenantProfile>;
+export interface TenantProfileInput {
+    displayName?: string;
+    legalName?: string | null;
+    documentNumber?: string | null;
+    timezone?: string;
+}
+/**
+ * Atualiza a identidade do escritório corrente.
+ *
+ * `COALESCE(param, coluna)` para cada campo: o que não vem no corpo não é
+ * tocado. `null` explícito em `legalName`/`documentNumber` limpa — e é por isso
+ * que os dois têm um sinalizador próprio, senão "limpar" e "não mandar"
+ * chegariam aqui com a mesma cara.
+ */
+export declare function updateTenantProfile(tx: Tx, input: TenantProfileInput): Promise<TenantProfile>;
+export type SetupSeverity = 'required' | 'recommended';
+export interface SetupStep {
+    key: string;
+    label: string;
+    done: boolean;
+    severity: SetupSeverity;
+    /** Rota do console que resolve a pendência. */
+    href: string;
+    detail: string;
+}
+export interface TenantSetupStatus {
+    steps: readonly SetupStep[];
+    requiredTotal: number;
+    requiredDone: number;
+    /** Pronto para operar = toda pendência `required` resolvida. */
+    ready: boolean;
+}
+export declare function tenantSetupStatus(tx: Tx): Promise<TenantSetupStatus>;
+//# sourceMappingURL=settings.d.ts.map

package/dist/tenancy/settings.d.ts.map

@@ -0,0 +1 @@
+{"version":3,"file":"settings.d.ts","sourceRoot":"","sources":["../../src/tenancy/settings.ts"],"names":[],"mappings":"AACA,OAAO,KAAK,EAAE,EAAE,EAAE,MAAM,iBAAiB,CAAC;AAG1C;;;;;;;;;;;;;GAaG;AAEH,sEAAsE;AACtE,eAAO,MAAM,YAAY,EAAE,SAAS,MAAM,EAiBzC,CAAC;AAEF,MAAM,WAAW,aAAa;IAC5B,IAAI,EAAE,MAAM,CAAC;IACb,WAAW,EAAE,MAAM,CAAC;IACpB,SAAS,EAAE,MAAM,GAAG,IAAI,CAAC;IACzB,cAAc,EAAE,MAAM,GAAG,IAAI,CAAC;IAC9B,4EAA4E;IAC5E,YAAY,EAAE,KAAK,GAAG,MAAM,GAAG,IAAI,CAAC;IACpC,QAAQ,EAAE,MAAM,CAAC;IACjB,MAAM,EAAE,MAAM,CAAC;IACf,cAAc,EAAE,MAAM,CAAC;CACxB;AA0BD,wBAAsB,gBAAgB,CAAC,EAAE,EAAE,EAAE,GAAG,OAAO,CAAC,aAAa,CAAC,CAWrE;AAED,MAAM,WAAW,kBAAkB;IACjC,WAAW,CAAC,EAAE,MAAM,CAAC;IACrB,SAAS,CAAC,EAAE,MAAM,GAAG,IAAI,CAAC;IAC1B,cAAc,CAAC,EAAE,MAAM,GAAG,IAAI,CAAC;IAC/B,QAAQ,CAAC,EAAE,MAAM,CAAC;CACnB;AAED;;;;;;;GAOG;AACH,wBAAsB,mBAAmB,CACvC,EAAE,EAAE,EAAE,EACN,KAAK,EAAE,kBAAkB,GACxB,OAAO,CAAC,aAAa,CAAC,CA0DxB;AAcD,MAAM,MAAM,aAAa,GAAG,UAAU,GAAG,aAAa,CAAC;AAEvD,MAAM,WAAW,SAAS;IACxB,GAAG,EAAE,MAAM,CAAC;IACZ,KAAK,EAAE,MAAM,CAAC;IACd,IAAI,EAAE,OAAO,CAAC;IACd,QAAQ,EAAE,aAAa,CAAC;IACxB,+CAA+C;IAC/C,IAAI,EAAE,MAAM,CAAC;IACb,MAAM,EAAE,MAAM,CAAC;CAChB;AAED,MAAM,WAAW,iBAAiB;IAChC,KAAK,EAAE,SAAS,SAAS,EAAE,CAAC;IAC5B,aAAa,EAAE,MAAM,CAAC;IACtB,YAAY,EAAE,MAAM,CAAC;IACrB,gEAAgE;IAChE,KAAK,EAAE,OAAO,CAAC;CAChB;AAED,wBAAsB,iBAAiB,CAAC,EAAE,EAAE,EAAE,GAAG,OAAO,CAAC,iBAAiB,CAAC,CAiG1E"}

package/dist/tenancy/settings.js

@@ -0,0 +1,218 @@
+import { ValidationError } from '@baruk/shared';
+import { classifyDocument, onlyDigits } from '../import/br-documents.js';
+/**
+ * Identidade e configuração do escritório — o caminho de ESCRITA que faltava.
+ *
+ * ## A regra que atravessa este arquivo
+ *
+ * `tenant` é a tabela RAIZ do modelo e **não tem RLS**: ela é a fonte da
+ * fronteira, não uma linha protegida por ela. Toda função aqui amarra o `WHERE`
+ * na GUC `app.current_tenant` e **nenhuma aceita `tenantId` por parâmetro**.
+ *
+ * A distinção não é estilística. Um parâmetro é um pedido do chamador, e pedido
+ * do chamador não é fronteira: bastaria uma rota esquecer de conferir para que
+ * um escritório reescrevesse a identidade de outro. Com a GUC, quem não abriu
+ * contexto não escreve em lugar nenhum, e quem abriu só alcança o próprio.
+ */
+/** Fusos brasileiros aceitos. A mesma lista vive no CHECK da 0054. */
+export const BR_TIMEZONES = [
+    'America/Sao_Paulo',
+    'America/Bahia',
+    'America/Fortaleza',
+    'America/Recife',
+    'America/Belem',
+    'America/Araguaina',
+    'America/Maceio',
+    'America/Campo_Grande',
+    'America/Cuiaba',
+    'America/Santarem',
+    'America/Manaus',
+    'America/Porto_Velho',
+    'America/Boa_Vista',
+    'America/Rio_Branco',
+    'America/Eirunepe',
+    'America/Noronha',
+];
+function mapProfile(row) {
+    const kind = row.document_number ? classifyDocument(row.document_number) : null;
+    return {
+        code: row.code,
+        displayName: row.display_name,
+        legalName: row.legal_name,
+        documentNumber: row.document_number,
+        documentKind: kind === 'invalid' ? null : kind,
+        timezone: row.timezone,
+        status: row.status,
+        primaryProduct: row.primary_product,
+    };
+}
+export async function getTenantProfile(tx) {
+    const rows = await tx `
+    SELECT code, display_name, legal_name, document_number, timezone, status, primary_product
+      FROM tenant
+     WHERE id = NULLIF(current_setting('app.current_tenant', true), '')::uuid
+       AND deleted_at IS NULL
+     LIMIT 1
+  `;
+    const row = rows[0];
+    if (!row)
+        throw new ValidationError('Sem contexto de escritório.');
+    return mapProfile(row);
+}
+/**
+ * Atualiza a identidade do escritório corrente.
+ *
+ * `COALESCE(param, coluna)` para cada campo: o que não vem no corpo não é
+ * tocado. `null` explícito em `legalName`/`documentNumber` limpa — e é por isso
+ * que os dois têm um sinalizador próprio, senão "limpar" e "não mandar"
+ * chegariam aqui com a mesma cara.
+ */
+export async function updateTenantProfile(tx, input) {
+    let displayName = null;
+    if (input.displayName !== undefined) {
+        const t = input.displayName.trim();
+        if (!t)
+            throw new ValidationError('Nome do escritório não pode ficar em branco.');
+        if (t.length > 160)
+            throw new ValidationError('Nome do escritório: máximo de 160 caracteres.');
+        displayName = t;
+    }
+    const clearLegal = input.legalName === null;
+    let legalName = null;
+    if (typeof input.legalName === 'string') {
+        const t = input.legalName.trim();
+        if (t.length > 200)
+            throw new ValidationError('Razão social: máximo de 200 caracteres.');
+        legalName = t || null;
+    }
+    const clearDocument = input.documentNumber === null;
+    let documentNumber = null;
+    if (typeof input.documentNumber === 'string') {
+        const digits = onlyDigits(input.documentNumber);
+        if (digits) {
+            // Dígito verificador, não só comprimento. Um CNPJ com DV errado passaria
+            // no CHECK do banco (que só conta dígitos) e quebraria na primeira
+            // consulta a um serviço externo — longe daqui, sem contexto nenhum.
+            const kind = classifyDocument(digits);
+            if (kind === 'invalid') {
+                throw new ValidationError('CNPJ ou CPF inválido: confira o número digitado.');
+            }
+            documentNumber = digits;
+        }
+    }
+    let timezone = null;
+    if (input.timezone !== undefined) {
+        if (!BR_TIMEZONES.includes(input.timezone)) {
+            throw new ValidationError(`Fuso horário não suportado: ${input.timezone}`);
+        }
+        timezone = input.timezone;
+    }
+    const rows = await tx `
+    UPDATE tenant
+       SET display_name    = COALESCE(${displayName}, display_name),
+           legal_name      = CASE WHEN ${clearLegal} THEN NULL
+                                  ELSE COALESCE(${legalName}, legal_name) END,
+           document_number = CASE WHEN ${clearDocument} THEN NULL
+                                  ELSE COALESCE(${documentNumber}, document_number) END,
+           timezone        = COALESCE(${timezone}, timezone),
+           updated_at      = now()
+     WHERE id = NULLIF(current_setting('app.current_tenant', true), '')::uuid
+       AND deleted_at IS NULL
+    RETURNING code, display_name, legal_name, document_number, timezone, status, primary_product
+  `;
+    const row = rows[0];
+    if (!row)
+        throw new ValidationError('Sem contexto de escritório: a identidade não pode ser gravada.');
+    return mapProfile(row);
+}
+export async function tenantSetupStatus(tx) {
+    const profile = await getTenantProfile(tx);
+    const [brandingRow] = await tx `
+    SELECT COALESCE(settings -> 'branding' ->> 'officeName', '') <> '' AS configured
+      FROM tenant
+     WHERE id = NULLIF(current_setting('app.current_tenant', true), '')::uuid
+  `;
+    const [providerRow] = await tx `
+    SELECT count(*)::int AS n FROM payment_provider_account
+     WHERE status <> 'revoked' AND is_primary = true
+  `;
+    const [policyRow] = await tx `
+    SELECT count(*)::int AS n FROM dunning_rule WHERE active = true
+  `;
+    const [staffRow] = await tx `
+    SELECT count(*)::int AS n FROM membership WHERE deleted_at IS NULL AND status = 'active'
+  `;
+    const [clientRow] = await tx `
+    SELECT count(*)::int AS n FROM client WHERE deleted_at IS NULL AND status = 'active'
+  `;
+    const [validationRow] = await tx `
+    SELECT count(*)::int AS n FROM recurring_item_type_validation
+     WHERE status IN ('validated', 'not_applicable')
+  `;
+    const steps = [
+        {
+            key: 'profile',
+            label: 'Identidade do escritório',
+            done: Boolean(profile.legalName && profile.documentNumber),
+            severity: 'required',
+            href: '/settings/escritorio',
+            detail: 'Razão social e CNPJ do escritório.',
+        },
+        {
+            key: 'branding',
+            label: 'Marca',
+            done: Boolean(brandingRow?.configured),
+            severity: 'required',
+            href: '/settings/marca',
+            detail: 'Nome, cores e logomarca que assinam os e-mails ao cliente.',
+        },
+        {
+            key: 'provider',
+            label: 'Conta de recebimento',
+            done: (providerRow?.n ?? 0) > 0,
+            severity: 'required',
+            href: '/settings/recebimento',
+            detail: 'A conta do escritório no gateway. Sem ela não há emissão de cobrança.',
+        },
+        {
+            key: 'dunning',
+            label: 'Régua de cobrança',
+            done: (policyRow?.n ?? 0) > 0,
+            severity: 'recommended',
+            href: '/settings/regua',
+            detail: 'Quando e por qual canal o cliente é avisado de um honorário em aberto.',
+        },
+        {
+            key: 'staff',
+            label: 'Equipe',
+            done: (staffRow?.n ?? 0) > 1,
+            severity: 'recommended',
+            href: '/users',
+            detail: 'Convide quem vai operar o escritório.',
+        },
+        {
+            key: 'catalog',
+            label: 'Conferência do catálogo fiscal',
+            done: (validationRow?.n ?? 0) > 0,
+            severity: 'required',
+            href: '/compliance/catalogo',
+            detail: 'Conferir as obrigações do catálogo antes de gerar competência.',
+        },
+        {
+            key: 'clients',
+            label: 'Carteira de clientes',
+            done: (clientRow?.n ?? 0) > 0,
+            severity: 'recommended',
+            href: '/clients',
+            detail: 'Cadastre ou importe os clientes do escritório.',
+        },
+    ];
+    const required = steps.filter((s) => s.severity === 'required');
+    return {
+        steps,
+        requiredTotal: required.length,
+        requiredDone: required.filter((s) => s.done).length,
+        ready: required.every((s) => s.done),
+    };
+}
+//# sourceMappingURL=settings.js.map

package/dist/tenancy/settings.js.map

@@ -0,0 +1 @@
+{"version":3,"file":"settings.js","sourceRoot":"","sources":["../../src/tenancy/settings.ts"],"names":[],"mappings":"AAAA,OAAO,EAAE,eAAe,EAAE,MAAM,eAAe,CAAC;AAEhD,OAAO,EAAE,gBAAgB,EAAE,UAAU,EAAE,MAAM,2BAA2B,CAAC;AAEzE;;;;;;;;;;;;;GAaG;AAEH,sEAAsE;AACtE,MAAM,CAAC,MAAM,YAAY,GAAsB;IAC7C,mBAAmB;IACnB,eAAe;IACf,mBAAmB;IACnB,gBAAgB;IAChB,eAAe;IACf,mBAAmB;IACnB,gBAAgB;IAChB,sBAAsB;IACtB,gBAAgB;IAChB,kBAAkB;IAClB,gBAAgB;IAChB,qBAAqB;IACrB,mBAAmB;IACnB,oBAAoB;IACpB,kBAAkB;IAClB,iBAAiB;CAClB,CAAC;AAwBF,SAAS,UAAU,CAAC,GAAqB;IACvC,MAAM,IAAI,GAAG,GAAG,CAAC,eAAe,CAAC,CAAC,CAAC,gBAAgB,CAAC,GAAG,CAAC,eAAe,CAAC,CAAC,CAAC,CAAC,IAAI,CAAC;IAChF,OAAO;QACL,IAAI,EAAE,GAAG,CAAC,IAAI;QACd,WAAW,EAAE,GAAG,CAAC,YAAY;QAC7B,SAAS,EAAE,GAAG,CAAC,UAAU;QACzB,cAAc,EAAE,GAAG,CAAC,eAAe;QACnC,YAAY,EAAE,IAAI,KAAK,SAAS,CAAC,CAAC,CAAC,IAAI,CAAC,CAAC,CAAC,IAAI;QAC9C,QAAQ,EAAE,GAAG,CAAC,QAAQ;QACtB,MAAM,EAAE,GAAG,CAAC,MAAM;QAClB,cAAc,EAAE,GAAG,CAAC,eAAe;KACpC,CAAC;AACJ,CAAC;AAED,MAAM,CAAC,KAAK,UAAU,gBAAgB,CAAC,EAAM;IAC3C,MAAM,IAAI,GAAG,MAAM,EAAE,CAAoB;;;;;;GAMxC,CAAC;IACF,MAAM,GAAG,GAAG,IAAI,CAAC,CAAC,CAAC,CAAC;IACpB,IAAI,CAAC,GAAG;QAAE,MAAM,IAAI,eAAe,CAAC,6BAA6B,CAAC,CAAC;IACnE,OAAO,UAAU,CAAC,GAAG,CAAC,CAAC;AACzB,CAAC;AASD;;;;;;;GAOG;AACH,MAAM,CAAC,KAAK,UAAU,mBAAmB,CACvC,EAAM,EACN,KAAyB;IAEzB,IAAI,WAAW,GAAkB,IAAI,CAAC;IACtC,IAAI,KAAK,CAAC,WAAW,KAAK,SAAS,EAAE,CAAC;QACpC,MAAM,CAAC,GAAG,KAAK,CAAC,WAAW,CAAC,IAAI,EAAE,CAAC;QACnC,IAAI,CAAC,CAAC;YAAE,MAAM,IAAI,eAAe,CAAC,8CAA8C,CAAC,CAAC;QAClF,IAAI,CAAC,CAAC,MAAM,GAAG,GAAG;YAAE,MAAM,IAAI,eAAe,CAAC,+CAA+C,CAAC,CAAC;QAC/F,WAAW,GAAG,CAAC,CAAC;IAClB,CAAC;IAED,MAAM,UAAU,GAAG,KAAK,CAAC,SAAS,KAAK,IAAI,CAAC;IAC5C,IAAI,SAAS,GAAkB,IAAI,CAAC;IACpC,IAAI,OAAO,KAAK,CAAC,SAAS,KAAK,QAAQ,EAAE,CAAC;QACxC,MAAM,CAAC,GAAG,KAAK,CAAC,SAAS,CAAC,IAAI,EAAE,CAAC;QACjC,IAAI,CAAC,CAAC,MAAM,GAAG,GAAG;YAAE,MAAM,IAAI,eAAe,CAAC,yCAAyC,CAAC,CAAC;QACzF,SAAS,GAAG,CAAC,IAAI,IAAI,CAAC;IACxB,CAAC;IAED,MAAM,aAAa,GAAG,KAAK,CAAC,cAAc,KAAK,IAAI,CAAC;IACpD,IAAI,cAAc,GAAkB,IAAI,CAAC;IACzC,IAAI,OAAO,KAAK,CAAC,cAAc,KAAK,QAAQ,EAAE,CAAC;QAC7C,MAAM,MAAM,GAAG,UAAU,CAAC,KAAK,CAAC,cAAc,CAAC,CAAC;QAChD,IAAI,MAAM,EAAE,CAAC;YACX,yEAAyE;YACzE,mEAAmE;YACnE,oEAAoE;YACpE,MAAM,IAAI,GAAG,gBAAgB,CAAC,MAAM,CAAC,CAAC;YACtC,IAAI,IAAI,KAAK,SAAS,EAAE,CAAC;gBACvB,MAAM,IAAI,eAAe,CAAC,kDAAkD,CAAC,CAAC;YAChF,CAAC;YACD,cAAc,GAAG,MAAM,CAAC;QAC1B,CAAC;IACH,CAAC;IAED,IAAI,QAAQ,GAAkB,IAAI,CAAC;IACnC,IAAI,KAAK,CAAC,QAAQ,KAAK,SAAS,EAAE,CAAC;QACjC,IAAI,CAAC,YAAY,CAAC,QAAQ,CAAC,KAAK,CAAC,QAAQ,CAAC,EAAE,CAAC;YAC3C,MAAM,IAAI,eAAe,CAAC,+BAA+B,KAAK,CAAC,QAAQ,EAAE,CAAC,CAAC;QAC7E,CAAC;QACD,QAAQ,GAAG,KAAK,CAAC,QAAQ,CAAC;IAC5B,CAAC;IAED,MAAM,IAAI,GAAG,MAAM,EAAE,CAAoB;;wCAEH,WAAW;yCACV,UAAU;kDACD,SAAS;yCAClB,aAAa;kDACJ,cAAc;wCACxB,QAAQ;;;;;GAK7C,CAAC;IACF,MAAM,GAAG,GAAG,IAAI,CAAC,CAAC,CAAC,CAAC;IACpB,IAAI,CAAC,GAAG;QACN,MAAM,IAAI,eAAe,CAAC,gEAAgE,CAAC,CAAC;IAC9F,OAAO,UAAU,CAAC,GAAG,CAAC,CAAC;AACzB,CAAC;AAkCD,MAAM,CAAC,KAAK,UAAU,iBAAiB,CAAC,EAAM;IAC5C,MAAM,OAAO,GAAG,MAAM,gBAAgB,CAAC,EAAE,CAAC,CAAC;IAE3C,MAAM,CAAC,WAAW,CAAC,GAAG,MAAM,EAAE,CAA2B;;;;GAIxD,CAAC;IAEF,MAAM,CAAC,WAAW,CAAC,GAAG,MAAM,EAAE,CAAiB;;;GAG9C,CAAC;IAEF,MAAM,CAAC,SAAS,CAAC,GAAG,MAAM,EAAE,CAAiB;;GAE5C,CAAC;IAEF,MAAM,CAAC,QAAQ,CAAC,GAAG,MAAM,EAAE,CAAiB;;GAE3C,CAAC;IAEF,MAAM,CAAC,SAAS,CAAC,GAAG,MAAM,EAAE,CAAiB;;GAE5C,CAAC;IAEF,MAAM,CAAC,aAAa,CAAC,GAAG,MAAM,EAAE,CAAiB;;;GAGhD,CAAC;IAEF,MAAM,KAAK,GAAgB;QACzB;YACE,GAAG,EAAE,SAAS;YACd,KAAK,EAAE,0BAA0B;YACjC,IAAI,EAAE,OAAO,CAAC,OAAO,CAAC,SAAS,IAAI,OAAO,CAAC,cAAc,CAAC;YAC1D,QAAQ,EAAE,UAAU;YACpB,IAAI,EAAE,sBAAsB;YAC5B,MAAM,EAAE,oCAAoC;SAC7C;QACD;YACE,GAAG,EAAE,UAAU;YACf,KAAK,EAAE,OAAO;YACd,IAAI,EAAE,OAAO,CAAC,WAAW,EAAE,UAAU,CAAC;YACtC,QAAQ,EAAE,UAAU;YACpB,IAAI,EAAE,iBAAiB;YACvB,MAAM,EAAE,4DAA4D;SACrE;QACD;YACE,GAAG,EAAE,UAAU;YACf,KAAK,EAAE,sBAAsB;YAC7B,IAAI,EAAE,CAAC,WAAW,EAAE,CAAC,IAAI,CAAC,CAAC,GAAG,CAAC;YAC/B,QAAQ,EAAE,UAAU;YACpB,IAAI,EAAE,uBAAuB;YAC7B,MAAM,EAAE,uEAAuE;SAChF;QACD;YACE,GAAG,EAAE,SAAS;YACd,KAAK,EAAE,mBAAmB;YAC1B,IAAI,EAAE,CAAC,SAAS,EAAE,CAAC,IAAI,CAAC,CAAC,GAAG,CAAC;YAC7B,QAAQ,EAAE,aAAa;YACvB,IAAI,EAAE,iBAAiB;YACvB,MAAM,EAAE,wEAAwE;SACjF;QACD;YACE,GAAG,EAAE,OAAO;YACZ,KAAK,EAAE,QAAQ;YACf,IAAI,EAAE,CAAC,QAAQ,EAAE,CAAC,IAAI,CAAC,CAAC,GAAG,CAAC;YAC5B,QAAQ,EAAE,aAAa;YACvB,IAAI,EAAE,QAAQ;YACd,MAAM,EAAE,uCAAuC;SAChD;QACD;YACE,GAAG,EAAE,SAAS;YACd,KAAK,EAAE,gCAAgC;YACvC,IAAI,EAAE,CAAC,aAAa,EAAE,CAAC,IAAI,CAAC,CAAC,GAAG,CAAC;YACjC,QAAQ,EAAE,UAAU;YACpB,IAAI,EAAE,sBAAsB;YAC5B,MAAM,EAAE,gEAAgE;SACzE;QACD;YACE,GAAG,EAAE,SAAS;YACd,KAAK,EAAE,sBAAsB;YAC7B,IAAI,EAAE,CAAC,SAAS,EAAE,CAAC,IAAI,CAAC,CAAC,GAAG,CAAC;YAC7B,QAAQ,EAAE,aAAa;YACvB,IAAI,EAAE,UAAU;YAChB,MAAM,EAAE,gDAAgD;SACzD;KACF,CAAC;IAEF,MAAM,QAAQ,GAAG,KAAK,CAAC,MAAM,CAAC,CAAC,CAAC,EAAE,EAAE,CAAC,CAAC,CAAC,QAAQ,KAAK,UAAU,CAAC,CAAC;IAChE,OAAO;QACL,KAAK;QACL,aAAa,EAAE,QAAQ,CAAC,MAAM;QAC9B,YAAY,EAAE,QAAQ,CAAC,MAAM,CAAC,CAAC,CAAC,EAAE,EAAE,CAAC,CAAC,CAAC,IAAI,CAAC,CAAC,MAAM;QACnD,KAAK,EAAE,QAAQ,CAAC,KAAK,CAAC,CAAC,CAAC,EAAE,EAAE,CAAC,CAAC,CAAC,IAAI,CAAC;KACrC,CAAC;AACJ,CAAC"}

package/dist/users/repository.d.ts

@@ -14,6 +14,59 @@ export interface TenantMember {
 export declare function listTenantMembers(tx: Tx): Promise<TenantMember[]>;
 /** Substitui o(s) papel(is) do usuário no tenant por um único papel (por key). */
 export declare function setUserRole(tx: Tx, userId: string, roleKey: string): Promise<void>;
-/** Ativa/desativa (ou revoga) a membership. Bloqueia desativar o último admin. */
+/**
+ * Ativa/desativa (ou revoga) a membership. Bloqueia desativar o último admin.
+ *
+ * Tirar o acesso **derruba as sessões abertas** daquele tenant. Sem isso, a
+ * revogação só valia para quem tentasse entrar de novo: quem já estava dentro
+ * seguia trabalhando até a sessão expirar — até doze horas depois. O escritório
+ * que demite alguém à tarde espera que o acesso acabe naquele instante, não no
+ * dia seguinte.
+ *
+ * O `authenticate` já reconfere a membership a cada requisição, e sozinho
+ * bastaria. Derrubar a sessão aqui é a segunda camada: torna a intenção
+ * explícita no ato, e não depende de nenhuma outra parte lembrar da regra.
+ *
+ * Só as sessões DAQUELE tenant caem. Quem atende dois escritórios não perde o
+ * acesso ao outro por causa deste.
+ */
 export declare function setMembershipStatus(tx: Tx, userId: string, status: 'active' | 'invited' | 'revoked'): Promise<number>;
+export interface InviteUserInput {
+    email: string;
+    fullName: string;
+    roleKey: string;
+    invitedBy: string;
+}
+export interface InviteUserResult {
+    userId: string;
+    email: string;
+    fullName: string;
+    /** Presente só quando o usuário é novo — precisa definir a senha. Usuários
+     * que já existiam (convidados para um 2º tenant) já têm senha própria. */
+    activationToken: string | null;
+}
+export interface ReissueStaffActivationResult {
+    userId: string;
+    email: string;
+    fullName: string;
+    activationToken: string;
+}
+/**
+ * Convida um usuário para o tenant corrente: cria (ou reaproveita, se o
+ * e-mail já existe em outro tenant — identidade é global/SSO) o registro de
+ * `user`, a `membership` em status `invited` e o papel. Para usuário novo,
+ * emite o token de ativação; a camada HTTP compõe o link e envia o e-mail
+ * (core não conhece BARUK_HUB_URL/Resend — mesma separação de
+ * `requestPasswordReset`).
+ */
+export declare function inviteUser(tx: Tx, input: InviteUserInput): Promise<InviteUserResult>;
+/**
+ * Reemite o convite de primeiro acesso exclusivamente para staff que ainda
+ * está pendente neste tenant. A emissão substitui (e invalida) o link anterior
+ * para que um token exposto nunca continue utilizável após o reenvio.
+ */
+export declare function reissueStaffActivation(tx: Tx, input: {
+    userId: string;
+    invitedBy: string;
+}): Promise<ReissueStaffActivationResult>;
 //# sourceMappingURL=repository.d.ts.map

package/dist/users/repository.d.ts.map

@@ -1 +1 @@
-{"version":3,"file":"repository.d.ts","sourceRoot":"","sources":["../../src/users/repository.ts"],"names":[],"mappings":"AACA,OAAO,KAAK,EAAE,EAAE,EAAE,MAAM,iBAAiB,CAAC;AAE1C;;;GAGG;AACH,MAAM,WAAW,YAAY;IAC3B,MAAM,EAAE,MAAM,CAAC;IACf,KAAK,EAAE,MAAM,CAAC;IACd,QAAQ,EAAE,MAAM,CAAC;IACjB,QAAQ,EAAE,MAAM,CAAC;IACjB,gBAAgB,EAAE,MAAM,CAAC;IACzB,KAAK,EAAE,MAAM,EAAE,CAAC;CACjB;AAID,wBAAsB,iBAAiB,CAAC,EAAE,EAAE,EAAE,GAAG,OAAO,CAAC,YAAY,EAAE,CAAC,CAuBvE;AAeD,kFAAkF;AAClF,wBAAsB,WAAW,CAAC,EAAE,EAAE,EAAE,EAAE,MAAM,EAAE,MAAM,EAAE,OAAO,EAAE,MAAM,GAAG,OAAO,CAAC,IAAI,CAAC,CAiBxF;AAWD,kFAAkF;AAClF,wBAAsB,mBAAmB,CACvC,EAAE,EAAE,EAAE,EACN,MAAM,EAAE,MAAM,EACd,MAAM,EAAE,QAAQ,GAAG,SAAS,GAAG,SAAS,GACvC,OAAO,CAAC,MAAM,CAAC,CAWjB"}
+{"version":3,"file":"repository.d.ts","sourceRoot":"","sources":["../../src/users/repository.ts"],"names":[],"mappings":"AACA,OAAO,KAAK,EAAE,EAAE,EAAE,MAAM,iBAAiB,CAAC;AAI1C;;;GAGG;AACH,MAAM,WAAW,YAAY;IAC3B,MAAM,EAAE,MAAM,CAAC;IACf,KAAK,EAAE,MAAM,CAAC;IACd,QAAQ,EAAE,MAAM,CAAC;IACjB,QAAQ,EAAE,MAAM,CAAC;IACjB,gBAAgB,EAAE,MAAM,CAAC;IACzB,KAAK,EAAE,MAAM,EAAE,CAAC;CACjB;AAID,wBAAsB,iBAAiB,CAAC,EAAE,EAAE,EAAE,GAAG,OAAO,CAAC,YAAY,EAAE,CAAC,CA8BvE;AAeD,kFAAkF;AAClF,wBAAsB,WAAW,CAAC,EAAE,EAAE,EAAE,EAAE,MAAM,EAAE,MAAM,EAAE,OAAO,EAAE,MAAM,GAAG,OAAO,CAAC,IAAI,CAAC,CAuBxF;AAWD;;;;;;;;;;;;;;;GAeG;AACH,wBAAsB,mBAAmB,CACvC,EAAE,EAAE,EAAE,EACN,MAAM,EAAE,MAAM,EACd,MAAM,EAAE,QAAQ,GAAG,SAAS,GAAG,SAAS,GACvC,OAAO,CAAC,MAAM,CAAC,CAuBjB;AAED,MAAM,WAAW,eAAe;IAC9B,KAAK,EAAE,MAAM,CAAC;IACd,QAAQ,EAAE,MAAM,CAAC;IACjB,OAAO,EAAE,MAAM,CAAC;IAChB,SAAS,EAAE,MAAM,CAAC;CACnB;AAED,MAAM,WAAW,gBAAgB;IAC/B,MAAM,EAAE,MAAM,CAAC;IACf,KAAK,EAAE,MAAM,CAAC;IACd,QAAQ,EAAE,MAAM,CAAC;IACjB;8EAC0E;IAC1E,eAAe,EAAE,MAAM,GAAG,IAAI,CAAC;CAChC;AAED,MAAM,WAAW,4BAA4B;IAC3C,MAAM,EAAE,MAAM,CAAC;IACf,KAAK,EAAE,MAAM,CAAC;IACd,QAAQ,EAAE,MAAM,CAAC;IACjB,eAAe,EAAE,MAAM,CAAC;CACzB;AAED;;;;;;;GAOG;AACH,wBAAsB,UAAU,CAAC,EAAE,EAAE,EAAE,EAAE,KAAK,EAAE,eAAe,GAAG,OAAO,CAAC,gBAAgB,CAAC,CA0D1F;AAED;;;;GAIG;AACH,wBAAsB,sBAAsB,CAC1C,EAAE,EAAE,EAAE,EACN,KAAK,EAAE;IAAE,MAAM,EAAE,MAAM,CAAC;IAAC,SAAS,EAAE,MAAM,CAAA;CAAE,GAC3C,OAAO,CAAC,4BAA4B,CAAC,CAkDvC"}

package/dist/users/repository.js

@@ -1,4 +1,6 @@
-import { ConflictError, uuidv7 } from '@baruk/shared';
+import { ConflictError, NotFoundError, uuidv7 } from '@baruk/shared';
+import { createActivationToken } from '../auth/password-reset.js';
+import { appendAudit } from '../audit/audit.js';
 const ADMIN_ROLE_KEYS = ['owner', 'admin'];
 export async function listTenantMembers(tx) {
     const rows = await tx `
@@ -38,7 +40,9 @@ async function countActiveAdmins(tx, excludeUserId) {
 export async function setUserRole(tx, userId, roleKey) {
     // Guard: não permitir rebaixar o último admin.
     const isAdminTarget = ADMIN_ROLE_KEYS.includes(roleKey);
-    if (!isAdminTarget && (await isUserAdmin(tx, userId)) && (await countActiveAdmins(tx, userId)) === 0) {
+    if (!isAdminTarget &&
+        (await isUserAdmin(tx, userId)) &&
+        (await countActiveAdmins(tx, userId)) === 0) {
         throw new ConflictError('Não é possível rebaixar o último administrador do tenant');
     }
     const role = await tx `SELECT id FROM role WHERE key = ${roleKey} AND tenant_id IS NULL`;
@@ -62,9 +66,26 @@ async function isUserAdmin(tx, userId) {
   `;
     return (rows[0]?.n ?? 0) > 0;
 }
-/** Ativa/desativa (ou revoga) a membership. Bloqueia desativar o último admin. */
+/**
+ * Ativa/desativa (ou revoga) a membership. Bloqueia desativar o último admin.
+ *
+ * Tirar o acesso **derruba as sessões abertas** daquele tenant. Sem isso, a
+ * revogação só valia para quem tentasse entrar de novo: quem já estava dentro
+ * seguia trabalhando até a sessão expirar — até doze horas depois. O escritório
+ * que demite alguém à tarde espera que o acesso acabe naquele instante, não no
+ * dia seguinte.
+ *
+ * O `authenticate` já reconfere a membership a cada requisição, e sozinho
+ * bastaria. Derrubar a sessão aqui é a segunda camada: torna a intenção
+ * explícita no ato, e não depende de nenhuma outra parte lembrar da regra.
+ *
+ * Só as sessões DAQUELE tenant caem. Quem atende dois escritórios não perde o
+ * acesso ao outro por causa deste.
+ */
 export async function setMembershipStatus(tx, userId, status) {
-    if (status !== 'active' && (await isUserAdmin(tx, userId)) && (await countActiveAdmins(tx, userId)) === 0) {
+    if (status !== 'active' &&
+        (await isUserAdmin(tx, userId)) &&
+        (await countActiveAdmins(tx, userId)) === 0) {
         throw new ConflictError('Não é possível desativar o último administrador do tenant');
     }
     const rows = await tx `
@@ -73,6 +94,123 @@ export async function setMembershipStatus(tx, userId, status) {
       AND tenant_id = current_setting('app.current_tenant')::uuid
     RETURNING id
   `;
+    if (status !== 'active') {
+        await tx `
+      UPDATE user_session SET revoked_at = now()
+      WHERE user_id = ${userId}
+        AND revoked_at IS NULL
+        AND active_tenant_id = current_setting('app.current_tenant')::uuid
+    `;
+    }
     return rows.count;
 }
+/**
+ * Convida um usuário para o tenant corrente: cria (ou reaproveita, se o
+ * e-mail já existe em outro tenant — identidade é global/SSO) o registro de
+ * `user`, a `membership` em status `invited` e o papel. Para usuário novo,
+ * emite o token de ativação; a camada HTTP compõe o link e envia o e-mail
+ * (core não conhece BARUK_HUB_URL/Resend — mesma separação de
+ * `requestPasswordReset`).
+ */
+export async function inviteUser(tx, input) {
+    const tenantId = await currentTenantId(tx);
+    const existing = await tx `
+    SELECT id, full_name, status, user_type FROM "user" WHERE email = ${input.email} AND deleted_at IS NULL
+  `;
+    let userId;
+    let fullName;
+    let isNewUser;
+    if (existing[0]) {
+        // Uma identidade de contribuinte não pode ser promovida para staff por
+        // convite. Os fluxos têm permissões, superfície e ciclo de recuperação
+        // próprios; misturá-los aqui criaria uma conta dual-role insegura.
+        if (existing[0].user_type !== 'staff') {
+            throw new ConflictError('Este e-mail já pertence a uma identidade do Portal. Use uma identidade staff distinta.');
+        }
+        userId = existing[0].id;
+        fullName = existing[0].full_name;
+        isNewUser = false;
+        const already = await tx `
+      SELECT id FROM membership WHERE user_id = ${userId} AND tenant_id = ${tenantId} AND deleted_at IS NULL
+    `;
+        if (already[0])
+            throw new ConflictError('Usuário já pertence a este tenant');
+    }
+    else {
+        userId = uuidv7();
+        fullName = input.fullName;
+        isNewUser = true;
+        await tx `
+      INSERT INTO "user" (id, email, full_name, user_type, status, auth_provider)
+      VALUES (${userId}, ${input.email}, ${input.fullName}, 'staff', 'invited', 'password')
+    `;
+    }
+    await tx `
+    INSERT INTO membership (id, tenant_id, user_id, status, invited_by)
+    VALUES (${uuidv7()}, ${tenantId}, ${userId}, 'invited', ${input.invitedBy})
+  `;
+    await setUserRole(tx, userId, input.roleKey);
+    let activationToken = null;
+    if (isNewUser) {
+        const activation = await createActivationToken(tx, { userId, tenantId });
+        activationToken = activation.token;
+    }
+    await appendAudit(tx, {
+        actorId: input.invitedBy,
+        action: 'user_invited',
+        resourceType: 'user',
+        resourceId: userId,
+        metadata: { email: input.email, roleKey: input.roleKey, isNewUser },
+    });
+    return { userId, email: input.email, fullName, activationToken };
+}
+/**
+ * Reemite o convite de primeiro acesso exclusivamente para staff que ainda
+ * está pendente neste tenant. A emissão substitui (e invalida) o link anterior
+ * para que um token exposto nunca continue utilizável após o reenvio.
+ */
+export async function reissueStaffActivation(tx, input) {
+    const tenantId = await currentTenantId(tx);
+    const rows = await tx `
+    SELECT
+      u.email,
+      u.full_name,
+      u.user_type,
+      u.status AS user_status,
+      m.status AS membership_status
+    FROM membership m
+    JOIN "user" u ON u.id = m.user_id
+    WHERE m.tenant_id = ${tenantId}
+      AND m.user_id = ${input.userId}
+      AND m.deleted_at IS NULL
+      AND u.deleted_at IS NULL
+    LIMIT 1
+  `;
+    const member = rows[0];
+    if (!member)
+        throw new NotFoundError('Usuário não encontrado neste tenant');
+    if (member.user_type !== 'staff' ||
+        member.user_status !== 'invited' ||
+        member.membership_status !== 'invited') {
+        throw new ConflictError('Convite não pode ser reenviado neste estado');
+    }
+    const activation = await createActivationToken(tx, { userId: input.userId, tenantId });
+    await appendAudit(tx, {
+        actorId: input.invitedBy,
+        action: 'user_invite_reissued',
+        resourceType: 'user',
+        resourceId: input.userId,
+        metadata: { email: member.email },
+    });
+    return {
+        userId: input.userId,
+        email: member.email,
+        fullName: member.full_name,
+        activationToken: activation.token,
+    };
+}
+async function currentTenantId(tx) {
+    const rows = await tx `SELECT current_setting('app.current_tenant')::uuid AS tenant_id`;
+    return rows[0].tenant_id;
+}
 //# sourceMappingURL=repository.js.map

package/dist/users/repository.js.map

@@ -1 +1 @@
-{"version":3,"file":"repository.js","sourceRoot":"","sources":["../../src/users/repository.ts"],"names":[],"mappings":"AAAA,OAAO,EAAE,aAAa,EAAE,MAAM,EAAE,MAAM,eAAe,CAAC;AAgBtD,MAAM,eAAe,GAAG,CAAC,OAAO,EAAE,OAAO,CAAC,CAAC;AAE3C,MAAM,CAAC,KAAK,UAAU,iBAAiB,CAAC,EAAM;IAC5C,MAAM,IAAI,GAAG,MAAM,EAAE,CAEpB;;;;;;;;;;;GAWA,CAAC;IACF,OAAO,IAAI,CAAC,GAAG,CAAC,CAAC,CAAC,EAAE,EAAE,CAAC,CAAC;QACtB,MAAM,EAAE,CAAC,CAAC,OAAO;QACjB,KAAK,EAAE,CAAC,CAAC,KAAK;QACd,QAAQ,EAAE,CAAC,CAAC,SAAS;QACrB,QAAQ,EAAE,CAAC,CAAC,SAAS;QACrB,gBAAgB,EAAE,CAAC,CAAC,MAAM;QAC1B,KAAK,EAAE,CAAC,CAAC,SAAS,IAAI,EAAE;KACzB,CAAC,CAAC,CAAC;AACN,CAAC;AAED,KAAK,UAAU,iBAAiB,CAAC,EAAM,EAAE,aAAsB;IAC7D,MAAM,IAAI,GAAG,MAAM,EAAE,CAAiB;;;;;;wBAMhB,eAAe;aAC1B,aAAa,IAAI,IAAI,kCAAkC,aAAa,IAAI,IAAI;GACtF,CAAC;IACF,OAAO,IAAI,CAAC,CAAC,CAAC,EAAE,CAAC,IAAI,CAAC,CAAC;AACzB,CAAC;AAED,kFAAkF;AAClF,MAAM,CAAC,KAAK,UAAU,WAAW,CAAC,EAAM,EAAE,MAAc,EAAE,OAAe;IACvE,+CAA+C;IAC/C,MAAM,aAAa,GAAG,eAAe,CAAC,QAAQ,CAAC,OAAO,CAAC,CAAC;IACxD,IAAI,CAAC,aAAa,IAAI,CAAC,MAAM,WAAW,CAAC,EAAE,EAAE,MAAM,CAAC,CAAC,IAAI,CAAC,MAAM,iBAAiB,CAAC,EAAE,EAAE,MAAM,CAAC,CAAC,KAAK,CAAC,EAAE,CAAC;QACrG,MAAM,IAAI,aAAa,CAAC,0DAA0D,CAAC,CAAC;IACtF,CAAC;IACD,MAAM,IAAI,GAAG,MAAM,EAAE,CAAkB,mCAAmC,OAAO,wBAAwB,CAAC;IAC1G,IAAI,CAAC,IAAI,CAAC,CAAC,CAAC;QAAE,MAAM,IAAI,aAAa,CAAC,uBAAuB,OAAO,EAAE,CAAC,CAAC;IACxE,MAAM,EAAE,CAAA;;sBAEY,MAAM;;GAEzB,CAAC;IACF,MAAM,EAAE,CAAA;;cAEI,MAAM,EAAE,kDAAkD,MAAM,KAAK,IAAI,CAAC,CAAC,CAAC,CAAC,EAAE;GAC1F,CAAC;AACJ,CAAC;AAED,KAAK,UAAU,WAAW,CAAC,EAAM,EAAE,MAAc;IAC/C,MAAM,IAAI,GAAG,MAAM,EAAE,CAAiB;;;yBAGf,MAAM,8CAA8C,eAAe;GACzF,CAAC;IACF,OAAO,CAAC,IAAI,CAAC,CAAC,CAAC,EAAE,CAAC,IAAI,CAAC,CAAC,GAAG,CAAC,CAAC;AAC/B,CAAC;AAED,kFAAkF;AAClF,MAAM,CAAC,KAAK,UAAU,mBAAmB,CACvC,EAAM,EACN,MAAc,EACd,MAAwC;IAExC,IAAI,MAAM,KAAK,QAAQ,IAAI,CAAC,MAAM,WAAW,CAAC,EAAE,EAAE,MAAM,CAAC,CAAC,IAAI,CAAC,MAAM,iBAAiB,CAAC,EAAE,EAAE,MAAM,CAAC,CAAC,KAAK,CAAC,EAAE,CAAC;QAC1G,MAAM,IAAI,aAAa,CAAC,2DAA2D,CAAC,CAAC;IACvF,CAAC;IACD,MAAM,IAAI,GAAG,MAAM,EAAE,CAAA;qCACc,MAAM;sBACrB,MAAM;;;GAGzB,CAAC;IACF,OAAO,IAAI,CAAC,KAAK,CAAC;AACpB,CAAC"}
+{"version":3,"file":"repository.js","sourceRoot":"","sources":["../../src/users/repository.ts"],"names":[],"mappings":"AAAA,OAAO,EAAE,aAAa,EAAE,aAAa,EAAE,MAAM,EAAE,MAAM,eAAe,CAAC;AAErE,OAAO,EAAE,qBAAqB,EAAE,MAAM,2BAA2B,CAAC;AAClE,OAAO,EAAE,WAAW,EAAE,MAAM,mBAAmB,CAAC;AAehD,MAAM,eAAe,GAAG,CAAC,OAAO,EAAE,OAAO,CAAC,CAAC;AAE3C,MAAM,CAAC,KAAK,UAAU,iBAAiB,CAAC,EAAM;IAC5C,MAAM,IAAI,GAAG,MAAM,EAAE,CASpB;;;;;;;;;;;GAWA,CAAC;IACF,OAAO,IAAI,CAAC,GAAG,CAAC,CAAC,CAAC,EAAE,EAAE,CAAC,CAAC;QACtB,MAAM,EAAE,CAAC,CAAC,OAAO;QACjB,KAAK,EAAE,CAAC,CAAC,KAAK;QACd,QAAQ,EAAE,CAAC,CAAC,SAAS;QACrB,QAAQ,EAAE,CAAC,CAAC,SAAS;QACrB,gBAAgB,EAAE,CAAC,CAAC,MAAM;QAC1B,KAAK,EAAE,CAAC,CAAC,SAAS,IAAI,EAAE;KACzB,CAAC,CAAC,CAAC;AACN,CAAC;AAED,KAAK,UAAU,iBAAiB,CAAC,EAAM,EAAE,aAAsB;IAC7D,MAAM,IAAI,GAAG,MAAM,EAAE,CAAiB;;;;;;wBAMhB,eAAe;aAC1B,aAAa,IAAI,IAAI,kCAAkC,aAAa,IAAI,IAAI;GACtF,CAAC;IACF,OAAO,IAAI,CAAC,CAAC,CAAC,EAAE,CAAC,IAAI,CAAC,CAAC;AACzB,CAAC;AAED,kFAAkF;AAClF,MAAM,CAAC,KAAK,UAAU,WAAW,CAAC,EAAM,EAAE,MAAc,EAAE,OAAe;IACvE,+CAA+C;IAC/C,MAAM,aAAa,GAAG,eAAe,CAAC,QAAQ,CAAC,OAAO,CAAC,CAAC;IACxD,IACE,CAAC,aAAa;QACd,CAAC,MAAM,WAAW,CAAC,EAAE,EAAE,MAAM,CAAC,CAAC;QAC/B,CAAC,MAAM,iBAAiB,CAAC,EAAE,EAAE,MAAM,CAAC,CAAC,KAAK,CAAC,EAC3C,CAAC;QACD,MAAM,IAAI,aAAa,CAAC,0DAA0D,CAAC,CAAC;IACtF,CAAC;IACD,MAAM,IAAI,GAAG,MAAM,EAAE,CAEpB,mCAAmC,OAAO,wBAAwB,CAAC;IACpE,IAAI,CAAC,IAAI,CAAC,CAAC,CAAC;QAAE,MAAM,IAAI,aAAa,CAAC,uBAAuB,OAAO,EAAE,CAAC,CAAC;IACxE,MAAM,EAAE,CAAA;;sBAEY,MAAM;;GAEzB,CAAC;IACF,MAAM,EAAE,CAAA;;cAEI,MAAM,EAAE,kDAAkD,MAAM,KAAK,IAAI,CAAC,CAAC,CAAC,CAAC,EAAE;GAC1F,CAAC;AACJ,CAAC;AAED,KAAK,UAAU,WAAW,CAAC,EAAM,EAAE,MAAc;IAC/C,MAAM,IAAI,GAAG,MAAM,EAAE,CAAiB;;;yBAGf,MAAM,8CAA8C,eAAe;GACzF,CAAC;IACF,OAAO,CAAC,IAAI,CAAC,CAAC,CAAC,EAAE,CAAC,IAAI,CAAC,CAAC,GAAG,CAAC,CAAC;AAC/B,CAAC;AAED;;;;;;;;;;;;;;;GAeG;AACH,MAAM,CAAC,KAAK,UAAU,mBAAmB,CACvC,EAAM,EACN,MAAc,EACd,MAAwC;IAExC,IACE,MAAM,KAAK,QAAQ;QACnB,CAAC,MAAM,WAAW,CAAC,EAAE,EAAE,MAAM,CAAC,CAAC;QAC/B,CAAC,MAAM,iBAAiB,CAAC,EAAE,EAAE,MAAM,CAAC,CAAC,KAAK,CAAC,EAC3C,CAAC;QACD,MAAM,IAAI,aAAa,CAAC,2DAA2D,CAAC,CAAC;IACvF,CAAC;IACD,MAAM,IAAI,GAAG,MAAM,EAAE,CAAA;qCACc,MAAM;sBACrB,MAAM;;;GAGzB,CAAC;IACF,IAAI,MAAM,KAAK,QAAQ,EAAE,CAAC;QACxB,MAAM,EAAE,CAAA;;wBAEY,MAAM;;;KAGzB,CAAC;IACJ,CAAC;IACD,OAAO,IAAI,CAAC,KAAK,CAAC;AACpB,CAAC;AAyBD;;;;;;;GAOG;AACH,MAAM,CAAC,KAAK,UAAU,UAAU,CAAC,EAAM,EAAE,KAAsB;IAC7D,MAAM,QAAQ,GAAG,MAAM,eAAe,CAAC,EAAE,CAAC,CAAC;IAE3C,MAAM,QAAQ,GAAG,MAAM,EAAE,CAAwE;wEAC3B,KAAK,CAAC,KAAK;GAChF,CAAC;IAEF,IAAI,MAAc,CAAC;IACnB,IAAI,QAAgB,CAAC;IACrB,IAAI,SAAkB,CAAC;IAEvB,IAAI,QAAQ,CAAC,CAAC,CAAC,EAAE,CAAC;QAChB,uEAAuE;QACvE,uEAAuE;QACvE,mEAAmE;QACnE,IAAI,QAAQ,CAAC,CAAC,CAAC,CAAC,SAAS,KAAK,OAAO,EAAE,CAAC;YACtC,MAAM,IAAI,aAAa,CACrB,wFAAwF,CACzF,CAAC;QACJ,CAAC;QACD,MAAM,GAAG,QAAQ,CAAC,CAAC,CAAC,CAAC,EAAE,CAAC;QACxB,QAAQ,GAAG,QAAQ,CAAC,CAAC,CAAC,CAAC,SAAS,CAAC;QACjC,SAAS,GAAG,KAAK,CAAC;QAClB,MAAM,OAAO,GAAG,MAAM,EAAE,CAAkB;kDACI,MAAM,oBAAoB,QAAQ;KAC/E,CAAC;QACF,IAAI,OAAO,CAAC,CAAC,CAAC;YAAE,MAAM,IAAI,aAAa,CAAC,mCAAmC,CAAC,CAAC;IAC/E,CAAC;SAAM,CAAC;QACN,MAAM,GAAG,MAAM,EAAE,CAAC;QAClB,QAAQ,GAAG,KAAK,CAAC,QAAQ,CAAC;QAC1B,SAAS,GAAG,IAAI,CAAC;QACjB,MAAM,EAAE,CAAA;;gBAEI,MAAM,KAAK,KAAK,CAAC,KAAK,KAAK,KAAK,CAAC,QAAQ;KACpD,CAAC;IACJ,CAAC;IAED,MAAM,EAAE,CAAA;;cAEI,MAAM,EAAE,KAAK,QAAQ,KAAK,MAAM,gBAAgB,KAAK,CAAC,SAAS;GAC1E,CAAC;IACF,MAAM,WAAW,CAAC,EAAE,EAAE,MAAM,EAAE,KAAK,CAAC,OAAO,CAAC,CAAC;IAE7C,IAAI,eAAe,GAAkB,IAAI,CAAC;IAC1C,IAAI,SAAS,EAAE,CAAC;QACd,MAAM,UAAU,GAAG,MAAM,qBAAqB,CAAC,EAAE,EAAE,EAAE,MAAM,EAAE,QAAQ,EAAE,CAAC,CAAC;QACzE,eAAe,GAAG,UAAU,CAAC,KAAK,CAAC;IACrC,CAAC;IAED,MAAM,WAAW,CAAC,EAAE,EAAE;QACpB,OAAO,EAAE,KAAK,CAAC,SAAS;QACxB,MAAM,EAAE,cAAc;QACtB,YAAY,EAAE,MAAM;QACpB,UAAU,EAAE,MAAM;QAClB,QAAQ,EAAE,EAAE,KAAK,EAAE,KAAK,CAAC,KAAK,EAAE,OAAO,EAAE,KAAK,CAAC,OAAO,EAAE,SAAS,EAAE;KACpE,CAAC,CAAC;IAEH,OAAO,EAAE,MAAM,EAAE,KAAK,EAAE,KAAK,CAAC,KAAK,EAAE,QAAQ,EAAE,eAAe,EAAE,CAAC;AACnE,CAAC;AAED;;;;GAIG;AACH,MAAM,CAAC,KAAK,UAAU,sBAAsB,CAC1C,EAAM,EACN,KAA4C;IAE5C,MAAM,QAAQ,GAAG,MAAM,eAAe,CAAC,EAAE,CAAC,CAAC;IAC3C,MAAM,IAAI,GAAG,MAAM,EAAE,CAQpB;;;;;;;;;0BASuB,QAAQ;wBACV,KAAK,CAAC,MAAM;;;;GAIjC,CAAC;IACF,MAAM,MAAM,GAAG,IAAI,CAAC,CAAC,CAAC,CAAC;IACvB,IAAI,CAAC,MAAM;QAAE,MAAM,IAAI,aAAa,CAAC,qCAAqC,CAAC,CAAC;IAC5E,IACE,MAAM,CAAC,SAAS,KAAK,OAAO;QAC5B,MAAM,CAAC,WAAW,KAAK,SAAS;QAChC,MAAM,CAAC,iBAAiB,KAAK,SAAS,EACtC,CAAC;QACD,MAAM,IAAI,aAAa,CAAC,6CAA6C,CAAC,CAAC;IACzE,CAAC;IAED,MAAM,UAAU,GAAG,MAAM,qBAAqB,CAAC,EAAE,EAAE,EAAE,MAAM,EAAE,KAAK,CAAC,MAAM,EAAE,QAAQ,EAAE,CAAC,CAAC;IACvF,MAAM,WAAW,CAAC,EAAE,EAAE;QACpB,OAAO,EAAE,KAAK,CAAC,SAAS;QACxB,MAAM,EAAE,sBAAsB;QAC9B,YAAY,EAAE,MAAM;QACpB,UAAU,EAAE,KAAK,CAAC,MAAM;QACxB,QAAQ,EAAE,EAAE,KAAK,EAAE,MAAM,CAAC,KAAK,EAAE;KAClC,CAAC,CAAC;IAEH,OAAO;QACL,MAAM,EAAE,KAAK,CAAC,MAAM;QACpB,KAAK,EAAE,MAAM,CAAC,KAAK;QACnB,QAAQ,EAAE,MAAM,CAAC,SAAS;QAC1B,eAAe,EAAE,UAAU,CAAC,KAAK;KAClC,CAAC;AACJ,CAAC;AAED,KAAK,UAAU,eAAe,CAAC,EAAM;IACnC,MAAM,IAAI,GAAG,MAAM,EAAE,CAEpB,iEAAiE,CAAC;IACnE,OAAO,IAAI,CAAC,CAAC,CAAE,CAAC,SAAS,CAAC;AAC5B,CAAC"}