@baruk/core 0.3.1 → 0.5.0

package/dist/cjs/billing/provider-account.js

@@ -0,0 +1,229 @@
+"use strict";
+Object.defineProperty(exports, "__esModule", { value: true });
+exports.AmbiguousProviderAccount = void 0;
+exports.getActiveProviderAccount = getActiveProviderAccount;
+exports.listProviderAccounts = listProviderAccounts;
+exports.getProviderAccountByEnvironment = getProviderAccountByEnvironment;
+exports.setPrimaryProviderAccount = setPrimaryProviderAccount;
+exports.requireProviderAccountById = requireProviderAccountById;
+exports.getProviderAccountById = getProviderAccountById;
+exports.providerBaseUrl = providerBaseUrl;
+exports.resolveProviderForTenant = resolveProviderForTenant;
+const shared_1 = require("@baruk/shared");
+const live_guard_js_1 = require("./live-guard.js");
+const repository_js_1 = require("../vault/repository.js");
+const registry_js_1 = require("./provider/registry.js");
+const toAccount = (r) => ({
+    id: r.id,
+    provider: r.provider,
+    accountReference: r.account_reference,
+    environment: r.environment,
+    isPrimary: r.is_primary ?? false,
+    capabilities: Array.isArray(r.supported_capabilities)
+        ? r.supported_capabilities
+        : [],
+    credentialRef: r.credential_ref,
+    webhookCredentialRef: r.webhook_credential_ref,
+    status: r.status,
+});
+/** Conta ativa do tenant. `null` quando o escritório ainda não conectou nenhuma. */
+/**
+ * A conta pela qual o escritório OPERA.
+ *
+ * Antes era "a primeira conta ativa por data de criação". Isso funcionava
+ * enquanto só podia existir uma; com sandbox e produção coexistindo, viraria a
+ * pior forma de escolher para onde vai o dinheiro — implícita e dependente de
+ * ordem de inserção.
+ *
+ * Agora a escolha é uma MARCA explícita, e o banco garante que só há uma:
+ * `payment_provider_account_primary_uq`. Sem `LIMIT`, de propósito — se algum
+ * dia houvesse duas, o certo é o erro aparecer, não o sistema escolher sozinho.
+ */
+async function getActiveProviderAccount(tx) {
+    const rows = await tx `
+    SELECT id, provider, account_reference, environment, supported_capabilities,
+           credential_ref, webhook_credential_ref, status, is_primary
+    FROM payment_provider_account
+    WHERE status = 'active' AND is_primary
+  `;
+    // O comentário acima prometia que duas contas fariam o erro aparecer. Não
+    // fazia: `rows[0]` escolhia a primeira em silêncio. A unicidade do índice é
+    // por (tenant, provider), então dois PROVEDORES primários — asaas e outro —
+    // cabem na mesma consulta, e a escolha voltaria a ser implícita.
+    //
+    // Uma promessa que o código não cumpre é pior que promessa nenhuma: alguém
+    // lê o comentário e para de verificar.
+    if (rows.length > 1)
+        throw new AmbiguousProviderAccount('primária', rows.length);
+    return rows[0] ? toAccount(rows[0]) : null;
+}
+/** Todas as contas vivas do escritório — o laboratório e a operação. */
+async function listProviderAccounts(tx) {
+    const rows = await tx `
+    SELECT id, provider, account_reference, environment, supported_capabilities,
+           credential_ref, webhook_credential_ref, status, is_primary
+    FROM payment_provider_account
+    WHERE status <> 'revoked'
+    ORDER BY environment, created_at
+  `;
+    return rows.map(toAccount);
+}
+/**
+ * Conta ativa de um AMBIENTE específico.
+ *
+ * Existe para quem sabe o que quer — um ensaio pede `sandbox` mesmo que a
+ * operação já esteja em produção. Nunca cai em outro ambiente por falta do
+ * pedido: sem conta naquele ambiente, devolve nulo.
+ */
+async function getProviderAccountByEnvironment(tx, environment) {
+    const rows = await tx `
+    SELECT id, provider, account_reference, environment, supported_capabilities,
+           credential_ref, webhook_credential_ref, status, is_primary
+    FROM payment_provider_account
+    WHERE status = 'active' AND environment = ${environment}
+  `;
+    // Não há índice único por ambiente — duas contas `live` ativas são possíveis
+    // hoje. Escolher a primeira seria decidir por ordem de retorno para onde vai
+    // o dinheiro. Falhar aqui obriga alguém a resolver a duplicidade.
+    if (rows.length > 1)
+        throw new AmbiguousProviderAccount(environment, rows.length);
+    return rows[0] ? toAccount(rows[0]) : null;
+}
+/**
+ * Promove uma conta a operacional — o ato de "entrar em produção".
+ *
+ * Explícito e reversível, em vez de efeito colateral de revogar o laboratório.
+ * A despromoção da anterior acontece na MESMA transação: entre um UPDATE e o
+ * outro existiria um instante com duas contas operacionais, e é justamente
+ * nesse instante que uma emissão escolheria errado.
+ */
+async function setPrimaryProviderAccount(tx, id) {
+    const alvo = await tx `
+    SELECT provider FROM payment_provider_account
+     WHERE id = ${id} AND status = 'active'
+  `;
+    if (!alvo[0])
+        throw new shared_1.NotFoundError('Conta de pagamento ativa não encontrada');
+    await tx `
+    UPDATE payment_provider_account SET is_primary = false, updated_at = now()
+     WHERE provider = ${alvo[0].provider} AND is_primary AND status <> 'revoked'
+  `;
+    await tx `
+    UPDATE payment_provider_account SET is_primary = true, updated_at = now()
+     WHERE id = ${id}
+  `;
+    const conta = await getProviderAccountById(tx, id);
+    if (!conta)
+        throw new shared_1.NotFoundError('Conta de pagamento não encontrada');
+    return conta;
+}
+/**
+ * Conta por id, obrigatória e utilizável.
+ *
+ * Fail-closed de propósito: quem pede por id sabe qual conta quer, e cair na
+ * primária porque aquela sumiu seria trocar a conta sem avisar — justamente o
+ * que esta fase existe para impedir.
+ */
+async function requireProviderAccountById(tx, id) {
+    const conta = await getProviderAccountById(tx, id);
+    if (!conta) {
+        throw new shared_1.NotFoundError('A conta de pagamento que emitiu esta cobrança não existe mais.');
+    }
+    if (conta.status === 'revoked') {
+        throw new shared_1.ConflictError('A conta de pagamento que emitiu esta cobrança foi revogada — não dá para operar por ela.', { code: 'PROVIDER_ACCOUNT_REVOKED' });
+    }
+    return conta;
+}
+/** Conta por id — usada pelo webhook, que descobre o tenant pela URL. */
+async function getProviderAccountById(tx, id) {
+    const rows = await tx `
+    SELECT id, provider, account_reference, environment, supported_capabilities,
+           credential_ref, webhook_credential_ref, status, is_primary
+    FROM payment_provider_account WHERE id = ${id}
+  `;
+    return rows[0] ? toAccount(rows[0]) : null;
+}
+/**
+ * URL base do gateway conforme o ambiente declarado NA CONTA.
+ *
+ * A escolha não pode vir de env var do processo: dois tenants podem estar em
+ * ambientes diferentes na mesma instância — um escritório em homologação
+ * enquanto outro já cobra de verdade. Ambiente é atributo da conta.
+ */
+const BASE_URL = {
+    asaas: {
+        live: 'https://api.asaas.com/v3',
+        sandbox: 'https://api-sandbox.asaas.com/v3',
+    },
+};
+/**
+ * Base do gateway para um par (provider, ambiente).
+ *
+ * Exportada porque a CONEXÃO da conta também precisa dela, e uma segunda cópia
+ * divergiria: foi assim que uma chave de sandbox chegou a ser validada contra
+ * produção — o adapter caía no default `live` e devolvia 401 com a credencial
+ * correta na mão.
+ */
+function providerBaseUrl(provider, environment) {
+    return BASE_URL[provider]?.[environment];
+}
+/**
+ * Mais de uma conta elegível para o mesmo critério.
+ *
+ * Conflito e não erro de validação: o pedido está correto, quem está errado é o
+ * estado — há duas contas onde só pode haver uma. A saída é humana (revogar ou
+ * despromover uma), e por isso a mensagem diz o que fazer.
+ */
+class AmbiguousProviderAccount extends shared_1.ConflictError {
+    constructor(criterio, quantas) {
+        super(`Há ${quantas} contas de pagamento ativas para "${criterio}" — o sistema não escolhe ` +
+            'entre elas. Revogue ou despromova as que não devem operar antes de continuar.', { code: 'AMBIGUOUS_PROVIDER_ACCOUNT' });
+    }
+}
+exports.AmbiguousProviderAccount = AmbiguousProviderAccount;
+/**
+ * Monta o adapter já apontado para a conta do tenant.
+ *
+ * `revealSecret` é a única forma de a credencial sair do Vault, e ela sai
+ * direto para dentro do adapter — não é devolvida, logada nem guardada em
+ * variável de módulo.
+ */
+async function resolveProviderForTenant(tx, keyring, tenantId, opts = {}) {
+    const account = opts.account ??
+        (opts.accountId
+            ? await requireProviderAccountById(tx, opts.accountId)
+            : opts.environment
+                ? await getProviderAccountByEnvironment(tx, opts.environment)
+                : await getActiveProviderAccount(tx));
+    if (!account)
+        return null;
+    // Coerência final, independente do caminho: se a operação declarou o
+    // ambiente, a conta resolvida tem de ser dele. Vale inclusive para
+    // `opts.account`, que vem pronto de fora e ninguém mais confere.
+    if (opts.environment && account.environment !== opts.environment) {
+        throw new shared_1.ConflictError(`A operação exige uma conta de pagamento "${opts.environment}", e a conta resolvida é ` +
+            `"${account.environment}". Nenhuma operação usa a conta do outro ambiente.`, { code: 'PROVIDER_ENVIRONMENT_MISMATCH' });
+    }
+    // Antes de a credencial sair do Vault: uma aplicação que não é produção não
+    // deve nem abrir conexão com a conta live — inclusive para receber webhook.
+    (0, live_guard_js_1.assertLiveProviderAllowed)(account.environment, (0, live_guard_js_1.readLiveRuntime)(), 'resolve');
+    if (!account.credentialRef) {
+        throw new shared_1.ValidationError(`A conta de pagamento do escritório não tem credencial associada (provider "${account.provider}").`);
+    }
+    const { secret } = await (0, repository_js_1.revealSecret)(tx, keyring, tenantId, account.credentialRef);
+    // O token de webhook é opcional na emissão e obrigatório na recepção: dá para
+    // emitir cobrança sem ele, mas a rota pública recusa tudo enquanto faltar.
+    const webhookSecret = account.webhookCredentialRef
+        ? (await (0, repository_js_1.revealSecret)(tx, keyring, tenantId, account.webhookCredentialRef)).secret
+        : undefined;
+    return {
+        account,
+        provider: (0, registry_js_1.resolveBillingProvider)(account.provider, {
+            apiKey: secret,
+            baseUrl: providerBaseUrl(account.provider, account.environment),
+            webhookSecret,
+            fetchImpl: opts.fetchImpl,
+        }),
+    };
+}
+//# sourceMappingURL=provider-account.js.map

package/dist/cjs/billing/provider-account.js.map

@@ -0,0 +1 @@
+{"version":3,"file":"provider-account.js","sourceRoot":"","sources":["../../../src/billing/provider-account.ts"],"names":[],"mappings":";;;AA2EA,4DAgBC;AAGD,oDASC;AASD,0EAeC;AAUD,8DAkBC;AASD,gEAYC;AAGD,wDAOC;AAwBD,0CAEC;AA+BD,4DA0EC;AA7TD,0CAA8E;AAC9E,mDAA6E;AAG7E,0DAAsD;AACtD,wDAAgE;AA2ChE,MAAM,SAAS,GAAG,CAAC,CAAa,EAAmB,EAAE,CAAC,CAAC;IACrD,EAAE,EAAE,CAAC,CAAC,EAAE;IACR,QAAQ,EAAE,CAAC,CAAC,QAAQ;IACpB,gBAAgB,EAAE,CAAC,CAAC,iBAAiB;IACrC,WAAW,EAAE,CAAC,CAAC,WAAW;IAC1B,SAAS,EAAE,CAAC,CAAC,UAAU,IAAI,KAAK;IAChC,YAAY,EAAE,KAAK,CAAC,OAAO,CAAC,CAAC,CAAC,sBAAsB,CAAC;QACnD,CAAC,CAAE,CAAC,CAAC,sBAAmC;QACxC,CAAC,CAAC,EAAE;IACN,aAAa,EAAE,CAAC,CAAC,cAAc;IAC/B,oBAAoB,EAAE,CAAC,CAAC,sBAAsB;IAC9C,MAAM,EAAE,CAAC,CAAC,MAAM;CACjB,CAAC,CAAC;AAEH,oFAAoF;AACpF;;;;;;;;;;;GAWG;AACI,KAAK,UAAU,wBAAwB,CAAC,EAAM;IACnD,MAAM,IAAI,GAAG,MAAM,EAAE,CAAc;;;;;GAKlC,CAAC;IACF,0EAA0E;IAC1E,4EAA4E;IAC5E,4EAA4E;IAC5E,iEAAiE;IACjE,EAAE;IACF,2EAA2E;IAC3E,uCAAuC;IACvC,IAAI,IAAI,CAAC,MAAM,GAAG,CAAC;QAAE,MAAM,IAAI,wBAAwB,CAAC,UAAU,EAAE,IAAI,CAAC,MAAM,CAAC,CAAC;IACjF,OAAO,IAAI,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,SAAS,CAAC,IAAI,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,IAAI,CAAC;AAC7C,CAAC;AAED,wEAAwE;AACjE,KAAK,UAAU,oBAAoB,CAAC,EAAM;IAC/C,MAAM,IAAI,GAAG,MAAM,EAAE,CAAc;;;;;;GAMlC,CAAC;IACF,OAAO,IAAI,CAAC,GAAG,CAAC,SAAS,CAAC,CAAC;AAC7B,CAAC;AAED;;;;;;GAMG;AACI,KAAK,UAAU,+BAA+B,CACnD,EAAM,EACN,WAA+B;IAE/B,MAAM,IAAI,GAAG,MAAM,EAAE,CAAc;;;;gDAIW,WAAW;GACxD,CAAC;IACF,6EAA6E;IAC7E,6EAA6E;IAC7E,kEAAkE;IAClE,IAAI,IAAI,CAAC,MAAM,GAAG,CAAC;QAAE,MAAM,IAAI,wBAAwB,CAAC,WAAW,EAAE,IAAI,CAAC,MAAM,CAAC,CAAC;IAClF,OAAO,IAAI,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,SAAS,CAAC,IAAI,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,IAAI,CAAC;AAC7C,CAAC;AAED;;;;;;;GAOG;AACI,KAAK,UAAU,yBAAyB,CAAC,EAAM,EAAE,EAAU;IAChE,MAAM,IAAI,GAAG,MAAM,EAAE,CAAwB;;kBAE7B,EAAE;GACjB,CAAC;IACF,IAAI,CAAC,IAAI,CAAC,CAAC,CAAC;QAAE,MAAM,IAAI,sBAAa,CAAC,yCAAyC,CAAC,CAAC;IAEjF,MAAM,EAAE,CAAA;;wBAEc,IAAI,CAAC,CAAC,CAAC,CAAC,QAAQ;GACrC,CAAC;IACF,MAAM,EAAE,CAAA;;kBAEQ,EAAE;GACjB,CAAC;IACF,MAAM,KAAK,GAAG,MAAM,sBAAsB,CAAC,EAAE,EAAE,EAAE,CAAC,CAAC;IACnD,IAAI,CAAC,KAAK;QAAE,MAAM,IAAI,sBAAa,CAAC,mCAAmC,CAAC,CAAC;IACzE,OAAO,KAAK,CAAC;AACf,CAAC;AAED;;;;;;GAMG;AACI,KAAK,UAAU,0BAA0B,CAAC,EAAM,EAAE,EAAU;IACjE,MAAM,KAAK,GAAG,MAAM,sBAAsB,CAAC,EAAE,EAAE,EAAE,CAAC,CAAC;IACnD,IAAI,CAAC,KAAK,EAAE,CAAC;QACX,MAAM,IAAI,sBAAa,CAAC,gEAAgE,CAAC,CAAC;IAC5F,CAAC;IACD,IAAI,KAAK,CAAC,MAAM,KAAK,SAAS,EAAE,CAAC;QAC/B,MAAM,IAAI,sBAAa,CACrB,0FAA0F,EAC1F,EAAE,IAAI,EAAE,0BAA0B,EAAE,CACrC,CAAC;IACJ,CAAC;IACD,OAAO,KAAK,CAAC;AACf,CAAC;AAED,yEAAyE;AAClE,KAAK,UAAU,sBAAsB,CAAC,EAAM,EAAE,EAAU;IAC7D,MAAM,IAAI,GAAG,MAAM,EAAE,CAAc;;;+CAGU,EAAE;GAC9C,CAAC;IACF,OAAO,IAAI,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,SAAS,CAAC,IAAI,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,IAAI,CAAC;AAC7C,CAAC;AAED;;;;;;GAMG;AACH,MAAM,QAAQ,GAA2C;IACvD,KAAK,EAAE;QACL,IAAI,EAAE,0BAA0B;QAChC,OAAO,EAAE,kCAAkC;KAC5C;CACF,CAAC;AAEF;;;;;;;GAOG;AACH,SAAgB,eAAe,CAAC,QAAgB,EAAE,WAAmB;IACnE,OAAO,QAAQ,CAAC,QAAQ,CAAC,EAAE,CAAC,WAAW,CAAC,CAAC;AAC3C,CAAC;AAED;;;;;;GAMG;AACH,MAAa,wBAAyB,SAAQ,sBAAa;IACzD,YAAY,QAAgB,EAAE,OAAe;QAC3C,KAAK,CACH,MAAM,OAAO,qCAAqC,QAAQ,4BAA4B;YACpF,+EAA+E,EACjF,EAAE,IAAI,EAAE,4BAA4B,EAAE,CACvC,CAAC;IACJ,CAAC;CACF;AARD,4DAQC;AAOD;;;;;;GAMG;AACI,KAAK,UAAU,wBAAwB,CAC5C,EAAM,EACN,OAAgB,EAChB,QAAgB,EAChB,OAsBI,EAAE;IAEN,MAAM,OAAO,GACX,IAAI,CAAC,OAAO;QACZ,CAAC,IAAI,CAAC,SAAS;YACb,CAAC,CAAC,MAAM,0BAA0B,CAAC,EAAE,EAAE,IAAI,CAAC,SAAS,CAAC;YACtD,CAAC,CAAC,IAAI,CAAC,WAAW;gBAChB,CAAC,CAAC,MAAM,+BAA+B,CAAC,EAAE,EAAE,IAAI,CAAC,WAAW,CAAC;gBAC7D,CAAC,CAAC,MAAM,wBAAwB,CAAC,EAAE,CAAC,CAAC,CAAC;IAC5C,IAAI,CAAC,OAAO;QAAE,OAAO,IAAI,CAAC;IAE1B,qEAAqE;IACrE,mEAAmE;IACnE,iEAAiE;IACjE,IAAI,IAAI,CAAC,WAAW,IAAI,OAAO,CAAC,WAAW,KAAK,IAAI,CAAC,WAAW,EAAE,CAAC;QACjE,MAAM,IAAI,sBAAa,CACrB,4CAA4C,IAAI,CAAC,WAAW,2BAA2B;YACrF,IAAI,OAAO,CAAC,WAAW,oDAAoD,EAC7E,EAAE,IAAI,EAAE,+BAA+B,EAAE,CAC1C,CAAC;IACJ,CAAC;IAED,4EAA4E;IAC5E,4EAA4E;IAC5E,IAAA,yCAAyB,EAAC,OAAO,CAAC,WAAW,EAAE,IAAA,+BAAe,GAAE,EAAE,SAAS,CAAC,CAAC;IAE7E,IAAI,CAAC,OAAO,CAAC,aAAa,EAAE,CAAC;QAC3B,MAAM,IAAI,wBAAe,CACvB,8EAA8E,OAAO,CAAC,QAAQ,KAAK,CACpG,CAAC;IACJ,CAAC;IAED,MAAM,EAAE,MAAM,EAAE,GAAG,MAAM,IAAA,4BAAY,EAAC,EAAE,EAAE,OAAO,EAAE,QAAQ,EAAE,OAAO,CAAC,aAAa,CAAC,CAAC;IACpF,8EAA8E;IAC9E,2EAA2E;IAC3E,MAAM,aAAa,GAAG,OAAO,CAAC,oBAAoB;QAChD,CAAC,CAAC,CAAC,MAAM,IAAA,4BAAY,EAAC,EAAE,EAAE,OAAO,EAAE,QAAQ,EAAE,OAAO,CAAC,oBAAoB,CAAC,CAAC,CAAC,MAAM;QAClF,CAAC,CAAC,SAAS,CAAC;IAEd,OAAO;QACL,OAAO;QACP,QAAQ,EAAE,IAAA,oCAAsB,EAAC,OAAO,CAAC,QAAQ,EAAE;YACjD,MAAM,EAAE,MAAM;YACd,OAAO,EAAE,eAAe,CAAC,OAAO,CAAC,QAAQ,EAAE,OAAO,CAAC,WAAW,CAAC;YAC/D,aAAa;YACb,SAAS,EAAE,IAAI,CAAC,SAAS;SAC1B,CAAC;KACH,CAAC;AACJ,CAAC"}

package/dist/cjs/billing/provider-onboarding.js

@@ -0,0 +1,239 @@
+"use strict";
+Object.defineProperty(exports, "__esModule", { value: true });
+exports.connectProviderAccount = connectProviderAccount;
+exports.revokeProviderAccount = revokeProviderAccount;
+exports.revalidateProviderAccount = revalidateProviderAccount;
+const node_crypto_1 = require("node:crypto");
+const shared_1 = require("@baruk/shared");
+const repository_js_1 = require("../vault/repository.js");
+const registry_js_1 = require("./provider/registry.js");
+const provider_account_js_1 = require("./provider-account.js");
+async function connectProviderAccount(tx, keyring, tenantId, input, platform = {}) {
+    const apiKey = input.apiKey.trim();
+    if (!apiKey)
+        throw new shared_1.ValidationError('Credencial vazia.');
+    const provider = (0, registry_js_1.resolveBillingProvider)(input.provider, {
+        apiKey,
+        // A base vem do AMBIENTE declarado, não do default do adapter. Sem isto,
+        // uma chave de sandbox é validada contra produção e volta 401 — o operador
+        // lê "credencial inválida" com a credencial certa na mão.
+        baseUrl: input.baseUrl ?? (0, provider_account_js_1.providerBaseUrl)(input.provider, input.environment),
+        fetchImpl: input.fetchImpl,
+    });
+    if (!provider.describeAccount) {
+        throw new shared_1.ValidationError(`O provider "${input.provider}" não sabe identificar a própria conta — conectar às cegas não é aceitável para dinheiro.`);
+    }
+    // A credencial é EXERCIDA aqui. Guardar sem usar significaria descobrir que
+    // ela não funciona na primeira cobrança de um cliente real.
+    const identity = await provider.describeAccount();
+    assertNotPlatformAccount(identity, platform);
+    // Conta do PRÓPRIO escritório: a RLS deixa ver, então dá para recusar com uma
+    // consulta limpa, sem provocar violação. Só o caso cross-tenant precisa do
+    // banco para ser detectado — e ele vem depois, isolado num savepoint.
+    // Por AMBIENTE, e não por provedor: duas contas do mesmo gateway em ambientes
+    // diferentes não são a mesma conta — têm credencial, endpoint e dinheiro
+    // distintos. Enquanto a checagem era por provedor, ativar produção exigia
+    // revogar o laboratório, e a decisão "vou cobrar de verdade" ficava amarrada a
+    // "vou perder onde ensaio".
+    const jaTem = await tx `
+    SELECT id FROM payment_provider_account
+    WHERE provider = ${input.provider} AND environment = ${input.environment}
+      AND status <> 'revoked' LIMIT 1
+  `;
+    if (jaTem[0]) {
+        throw new shared_1.ConflictError(`Este escritório já tem uma conta ${input.provider} em ${input.environment}. ` +
+            'Revogue a atual antes de conectar outra neste ambiente.');
+    }
+    // A primeira conta do escritório nasce operacional; as seguintes nascem como
+    // laboratório. Promover é ato explícito — conectar produção não pode, sozinho,
+    // redirecionar o dinheiro.
+    const jaTemPrimaria = await tx `
+    SELECT id FROM payment_provider_account
+    WHERE provider = ${input.provider} AND is_primary AND status <> 'revoked' LIMIT 1
+  `;
+    const nasceOperacional = !jaTemPrimaria[0];
+    // A garantia de que nenhuma outra organização já usa esta conta é do BANCO
+    // (índice único em `provider, account_reference`), não de uma consulta aqui.
+    // Uma consulta não serviria: com RLS FORCE, `WHERE tenant_id <> atual`
+    // devolve sempre zero — a política esconde justamente a linha que a checagem
+    // precisaria encontrar. O guard pareceria proteger sem proteger.
+    const apiRef = await (0, repository_js_1.createCredential)(tx, keyring, tenantId, {
+        name: credentialName(input.provider, input.environment, 'api'),
+        category: 'api_key',
+        secret: apiKey,
+        provider: input.provider,
+        // O metadata guarda de quem é a conta, para auditoria futura conseguir
+        // responder "esta chave abria qual conta?" sem precisar decifrá-la.
+        metadata: {
+            purpose: 'payment_provider_api_key',
+            accountName: identity.name,
+            accountReference: identity.reference,
+            environment: input.environment,
+        },
+    });
+    const webhookRef = input.webhookToken?.trim()
+        ? await (0, repository_js_1.createCredential)(tx, keyring, tenantId, {
+            name: credentialName(input.provider, input.environment, 'webhook'),
+            category: 'api_key',
+            secret: input.webhookToken.trim(),
+            provider: input.provider,
+            metadata: { purpose: 'payment_provider_webhook_token', environment: input.environment },
+        })
+        : null;
+    const id = (0, node_crypto_1.randomUUID)();
+    await insertAccount(tx, id, input, identity, apiRef.id, webhookRef?.id ?? null, nasceOperacional);
+    return {
+        identity,
+        account: {
+            id,
+            provider: input.provider,
+            accountReference: identity.reference,
+            environment: input.environment,
+            capabilities: input.capabilities ?? ['pix', 'boleto'],
+            credentialRef: apiRef.id,
+            webhookCredentialRef: webhookRef?.id ?? null,
+            isPrimary: nasceOperacional,
+            status: 'active',
+        },
+    };
+}
+/**
+ * Insere a conta dentro de um SAVEPOINT.
+ *
+ * O savepoint não é zelo excessivo: uma violação de unicidade aborta a
+ * transação inteira, e a partir daí qualquer comando falha — inclusive os que o
+ * driver roda ao desfazer. O erro que chegaria ao usuário seria o do rollback,
+ * não o meu, e a rota devolveria 500 no lugar de uma explicação. Com o
+ * savepoint, só a tentativa de INSERT é desfeita e a mensagem certa sobrevive.
+ *
+ * O que se detecta aqui é o caso **cross-tenant**: a RLS esconde a conta de
+ * outro escritório, então nenhuma consulta encontraria o conflito — só o índice.
+ */
+async function insertAccount(tx, id, input, identity, credentialRef, webhookRef, nasceOperacional) {
+    try {
+        await tx.savepoint(async (sp) => {
+            await sp `
+    INSERT INTO payment_provider_account (
+      id, tenant_id, provider, account_reference, environment,
+      supported_capabilities, status, credential_ref, webhook_credential_ref,
+      last_validated_at, is_primary
+    ) VALUES (
+      ${id},
+      NULLIF(current_setting('app.current_tenant', true), '')::uuid,
+      ${input.provider}, ${identity.reference}, ${input.environment},
+      ${tx.json((input.capabilities ?? ['pix', 'boleto']))},
+      'active', ${credentialRef}, ${webhookRef}, now(), ${nasceOperacional}
+    )
+      RETURNING id
+      `;
+        });
+    }
+    catch (err) {
+        if (constraintOf(err) === 'payment_provider_account_reference_uq') {
+            throw new shared_1.ConflictError('Esta conta de pagamento já está conectada a outra organização. ' +
+                'Duas organizações não podem receber na mesma conta.');
+        }
+        if (constraintOf(err) === 'payment_provider_account_provider_uq') {
+            throw new shared_1.ConflictError(`Este escritório já tem uma conta ${input.provider} conectada. Revogue a atual antes de conectar outra.`);
+        }
+        throw err;
+    }
+}
+function constraintOf(err) {
+    const e = err;
+    return e?.constraint_name ?? e?.constraint ?? null;
+}
+/**
+ * Recusa a conta da plataforma.
+ *
+ * Comparação por documento E por referência: o mesmo CNPJ pode ter mais de uma
+ * conta, e a mesma conta pode aparecer com referências diferentes conforme o
+ * endpoint. Bater em qualquer um dos dois basta para recusar — aqui, falso
+ * positivo custa um pedido de esclarecimento, e falso negativo custa o dinheiro
+ * de um escritório caindo na conta da Baruk.
+ */
+function assertNotPlatformAccount(identity, platform) {
+    const mesmoDoc = platform.documentNumber &&
+        identity.documentNumber &&
+        onlyDigits(platform.documentNumber) === onlyDigits(identity.documentNumber);
+    const mesmaRef = platform.reference && identity.reference && platform.reference === identity.reference;
+    if (mesmoDoc || mesmaRef) {
+        throw new shared_1.ValidationError('Esta credencial abre a conta da plataforma, não a do escritório. ' +
+            'O dinheiro cobrado pelo escritório precisa cair na conta dele — ' +
+            'use uma credencial da conta do próprio escritório.');
+    }
+}
+/**
+ * Nome da credencial no Vault.
+ *
+ * O prefixo é canônico e legível; o sufixo é o que torna o nome **único**. O
+ * Vault exige nome único por tenant, e um nome fixo impediria o caso legítimo
+ * de desconectar uma conta e conectar outra — a credencial antiga continua
+ * existindo, marcada, porque histórico de credencial não se apaga.
+ *
+ * Quem procura por semântica não usa o nome: `provider` e `metadata.purpose`
+ * são os campos indexáveis para isso.
+ */
+function credentialName(provider, environment, kind) {
+    return `baruk-office-${provider}-${environment}-${kind}-${(0, node_crypto_1.randomUUID)().slice(0, 8)}`;
+}
+function onlyDigits(v) {
+    return v.replace(/\D/g, '');
+}
+/** Revoga a conta. A credencial fica no Vault, marcada — histórico não se apaga. */
+async function revokeProviderAccount(tx, accountId) {
+    const rows = await tx `
+    UPDATE payment_provider_account
+    SET status = 'revoked', revoked_at = now(), updated_at = now()
+    WHERE id = ${accountId} AND status <> 'revoked'
+    RETURNING id
+  `;
+    return rows.length;
+}
+/**
+ * Reconsulta a identidade da conta e atualiza o que estiver defasado.
+ *
+ * Existe por dois motivos concretos, os dois observados na conta da SC:
+ *
+ * - **a referência pode ter nascido nula** (o gateway não expunha id na época),
+ *   e sem ela o guard que impede duas organizações de receberem na mesma conta
+ *   fica inativo — o índice de unicidade é parcial;
+ * - **a credencial pode ter sido revogada do lado do gateway** sem ninguém
+ *   avisar, e `last_validated_at` é a única forma de saber quando foi a última
+ *   vez que ela comprovadamente funcionou.
+ *
+ * Não troca a credencial: só confirma de quem é a conta que ela abre.
+ */
+async function revalidateProviderAccount(tx, keyring, tenantId, account, opts = {}) {
+    if (!account.credentialRef) {
+        throw new shared_1.ValidationError('A conta não tem credencial associada.');
+    }
+    const { secret } = await (0, repository_js_1.revealSecret)(tx, keyring, tenantId, account.credentialRef);
+    const provider = (0, registry_js_1.resolveBillingProvider)(account.provider, {
+        apiKey: secret,
+        baseUrl: (0, provider_account_js_1.providerBaseUrl)(account.provider, account.environment),
+        fetchImpl: opts.fetchImpl,
+    });
+    if (!provider.describeAccount) {
+        throw new shared_1.ValidationError(`O provider "${account.provider}" não sabe identificar a própria conta.`);
+    }
+    const identity = await provider.describeAccount();
+    // A referência só é gravada quando falta. Sobrescrever uma referência
+    // existente com outra silenciosamente mudaria a identidade da conta que já
+    // está recebendo dinheiro — se divergir, é caso para o humano olhar.
+    if (!account.accountReference && identity.reference) {
+        await tx `
+      UPDATE payment_provider_account
+      SET account_reference = ${identity.reference}, last_validated_at = now(), updated_at = now()
+      WHERE id = ${account.id}
+    `;
+    }
+    else {
+        await tx `
+      UPDATE payment_provider_account
+      SET last_validated_at = now(), updated_at = now() WHERE id = ${account.id}
+    `;
+    }
+    return identity;
+}
+//# sourceMappingURL=provider-onboarding.js.map

package/dist/cjs/billing/provider-onboarding.js.map

@@ -0,0 +1 @@
+{"version":3,"file":"provider-onboarding.js","sourceRoot":"","sources":["../../../src/billing/provider-onboarding.ts"],"names":[],"mappings":";;AAwDA,wDA4GC;AA8GD,sDAQC;AAgBD,8DAyCC;AAnVD,6CAAyC;AACzC,0CAA+D;AAG/D,0DAAwE;AACxE,wDAAgE;AAEhE,+DAAwD;AAiDjD,KAAK,UAAU,sBAAsB,CAC1C,EAAM,EACN,OAAgB,EAChB,QAAgB,EAChB,KAAkC,EAClC,WAAiC,EAAE;IAEnC,MAAM,MAAM,GAAG,KAAK,CAAC,MAAM,CAAC,IAAI,EAAE,CAAC;IACnC,IAAI,CAAC,MAAM;QAAE,MAAM,IAAI,wBAAe,CAAC,mBAAmB,CAAC,CAAC;IAE5D,MAAM,QAAQ,GAAG,IAAA,oCAAsB,EAAC,KAAK,CAAC,QAAQ,EAAE;QACtD,MAAM;QACN,yEAAyE;QACzE,2EAA2E;QAC3E,0DAA0D;QAC1D,OAAO,EAAE,KAAK,CAAC,OAAO,IAAI,IAAA,qCAAe,EAAC,KAAK,CAAC,QAAQ,EAAE,KAAK,CAAC,WAAW,CAAC;QAC5E,SAAS,EAAE,KAAK,CAAC,SAAS;KAC3B,CAAC,CAAC;IAEH,IAAI,CAAC,QAAQ,CAAC,eAAe,EAAE,CAAC;QAC9B,MAAM,IAAI,wBAAe,CACvB,eAAe,KAAK,CAAC,QAAQ,2FAA2F,CACzH,CAAC;IACJ,CAAC;IAED,4EAA4E;IAC5E,4DAA4D;IAC5D,MAAM,QAAQ,GAAG,MAAM,QAAQ,CAAC,eAAe,EAAE,CAAC;IAElD,wBAAwB,CAAC,QAAQ,EAAE,QAAQ,CAAC,CAAC;IAE7C,8EAA8E;IAC9E,2EAA2E;IAC3E,sEAAsE;IACtE,8EAA8E;IAC9E,yEAAyE;IACzE,0EAA0E;IAC1E,+EAA+E;IAC/E,4BAA4B;IAC5B,MAAM,KAAK,GAAG,MAAM,EAAE,CAAkB;;uBAEnB,KAAK,CAAC,QAAQ,sBAAsB,KAAK,CAAC,WAAW;;GAEzE,CAAC;IACF,IAAI,KAAK,CAAC,CAAC,CAAC,EAAE,CAAC;QACb,MAAM,IAAI,sBAAa,CACrB,oCAAoC,KAAK,CAAC,QAAQ,OAAO,KAAK,CAAC,WAAW,IAAI;YAC5E,yDAAyD,CAC5D,CAAC;IACJ,CAAC;IAED,6EAA6E;IAC7E,+EAA+E;IAC/E,2BAA2B;IAC3B,MAAM,aAAa,GAAG,MAAM,EAAE,CAAkB;;uBAE3B,KAAK,CAAC,QAAQ;GAClC,CAAC;IACF,MAAM,gBAAgB,GAAG,CAAC,aAAa,CAAC,CAAC,CAAC,CAAC;IAE3C,2EAA2E;IAC3E,6EAA6E;IAC7E,uEAAuE;IACvE,6EAA6E;IAC7E,iEAAiE;IAEjE,MAAM,MAAM,GAAG,MAAM,IAAA,gCAAgB,EAAC,EAAE,EAAE,OAAO,EAAE,QAAQ,EAAE;QAC3D,IAAI,EAAE,cAAc,CAAC,KAAK,CAAC,QAAQ,EAAE,KAAK,CAAC,WAAW,EAAE,KAAK,CAAC;QAC9D,QAAQ,EAAE,SAAS;QACnB,MAAM,EAAE,MAAM;QACd,QAAQ,EAAE,KAAK,CAAC,QAAQ;QACxB,uEAAuE;QACvE,oEAAoE;QACpE,QAAQ,EAAE;YACR,OAAO,EAAE,0BAA0B;YACnC,WAAW,EAAE,QAAQ,CAAC,IAAI;YAC1B,gBAAgB,EAAE,QAAQ,CAAC,SAAS;YACpC,WAAW,EAAE,KAAK,CAAC,WAAW;SAC/B;KACF,CAAC,CAAC;IAEH,MAAM,UAAU,GAAG,KAAK,CAAC,YAAY,EAAE,IAAI,EAAE;QAC3C,CAAC,CAAC,MAAM,IAAA,gCAAgB,EAAC,EAAE,EAAE,OAAO,EAAE,QAAQ,EAAE;YAC5C,IAAI,EAAE,cAAc,CAAC,KAAK,CAAC,QAAQ,EAAE,KAAK,CAAC,WAAW,EAAE,SAAS,CAAC;YAClE,QAAQ,EAAE,SAAS;YACnB,MAAM,EAAE,KAAK,CAAC,YAAY,CAAC,IAAI,EAAE;YACjC,QAAQ,EAAE,KAAK,CAAC,QAAQ;YACxB,QAAQ,EAAE,EAAE,OAAO,EAAE,gCAAgC,EAAE,WAAW,EAAE,KAAK,CAAC,WAAW,EAAE;SACxF,CAAC;QACJ,CAAC,CAAC,IAAI,CAAC;IAET,MAAM,EAAE,GAAG,IAAA,wBAAU,GAAE,CAAC;IACxB,MAAM,aAAa,CAAC,EAAE,EAAE,EAAE,EAAE,KAAK,EAAE,QAAQ,EAAE,MAAM,CAAC,EAAE,EAAE,UAAU,EAAE,EAAE,IAAI,IAAI,EAAE,gBAAgB,CAAC,CAAC;IAElG,OAAO;QACL,QAAQ;QACR,OAAO,EAAE;YACP,EAAE;YACF,QAAQ,EAAE,KAAK,CAAC,QAAQ;YACxB,gBAAgB,EAAE,QAAQ,CAAC,SAAS;YACpC,WAAW,EAAE,KAAK,CAAC,WAAW;YAC9B,YAAY,EAAE,KAAK,CAAC,YAAY,IAAI,CAAC,KAAK,EAAE,QAAQ,CAAC;YACrD,aAAa,EAAE,MAAM,CAAC,EAAE;YACxB,oBAAoB,EAAE,UAAU,EAAE,EAAE,IAAI,IAAI;YAC5C,SAAS,EAAE,gBAAgB;YAC3B,MAAM,EAAE,QAAQ;SACjB;KACF,CAAC;AACJ,CAAC;AAED;;;;;;;;;;;GAWG;AACH,KAAK,UAAU,aAAa,CAC1B,EAAM,EACN,EAAU,EACV,KAAkC,EAClC,QAAiC,EACjC,aAAqB,EACrB,UAAyB,EACzB,gBAAyB;IAEzB,IAAI,CAAC;QACH,MAAM,EAAE,CAAC,SAAS,CAAC,KAAK,EAAE,EAAE,EAAE,EAAE;YAC9B,MAAM,EAAE,CAAkB;;;;;;QAMxB,EAAE;;QAEF,KAAK,CAAC,QAAQ,KAAK,QAAQ,CAAC,SAAS,KAAK,KAAK,CAAC,WAAW;QAC3D,EAAE,CAAC,IAAI,CAAC,CAAC,KAAK,CAAC,YAAY,IAAI,CAAC,KAAK,EAAE,QAAQ,CAAC,CAAU,CAAC;kBACjD,aAAa,KAAK,UAAU,YAAY,gBAAgB;;;OAGnE,CAAC;QACJ,CAAC,CAAC,CAAC;IACL,CAAC;IAAC,OAAO,GAAG,EAAE,CAAC;QACb,IAAI,YAAY,CAAC,GAAG,CAAC,KAAK,uCAAuC,EAAE,CAAC;YAClE,MAAM,IAAI,sBAAa,CACrB,iEAAiE;gBAC/D,qDAAqD,CACxD,CAAC;QACJ,CAAC;QACD,IAAI,YAAY,CAAC,GAAG,CAAC,KAAK,sCAAsC,EAAE,CAAC;YACjE,MAAM,IAAI,sBAAa,CACrB,oCAAoC,KAAK,CAAC,QAAQ,sDAAsD,CACzG,CAAC;QACJ,CAAC;QACD,MAAM,GAAG,CAAC;IACZ,CAAC;AACH,CAAC;AAED,SAAS,YAAY,CAAC,GAAY;IAChC,MAAM,CAAC,GAAG,GAAwD,CAAC;IACnE,OAAO,CAAC,EAAE,eAAe,IAAI,CAAC,EAAE,UAAU,IAAI,IAAI,CAAC;AACrD,CAAC;AAED;;;;;;;;GAQG;AACH,SAAS,wBAAwB,CAC/B,QAAiC,EACjC,QAA8B;IAE9B,MAAM,QAAQ,GACZ,QAAQ,CAAC,cAAc;QACvB,QAAQ,CAAC,cAAc;QACvB,UAAU,CAAC,QAAQ,CAAC,cAAc,CAAC,KAAK,UAAU,CAAC,QAAQ,CAAC,cAAc,CAAC,CAAC;IAC9E,MAAM,QAAQ,GACZ,QAAQ,CAAC,SAAS,IAAI,QAAQ,CAAC,SAAS,IAAI,QAAQ,CAAC,SAAS,KAAK,QAAQ,CAAC,SAAS,CAAC;IAExF,IAAI,QAAQ,IAAI,QAAQ,EAAE,CAAC;QACzB,MAAM,IAAI,wBAAe,CACvB,mEAAmE;YACjE,kEAAkE;YAClE,oDAAoD,CACvD,CAAC;IACJ,CAAC;AACH,CAAC;AAED;;;;;;;;;;GAUG;AACH,SAAS,cAAc,CAAC,QAAgB,EAAE,WAAmB,EAAE,IAAuB;IACpF,OAAO,gBAAgB,QAAQ,IAAI,WAAW,IAAI,IAAI,IAAI,IAAA,wBAAU,GAAE,CAAC,KAAK,CAAC,CAAC,EAAE,CAAC,CAAC,EAAE,CAAC;AACvF,CAAC;AAED,SAAS,UAAU,CAAC,CAAS;IAC3B,OAAO,CAAC,CAAC,OAAO,CAAC,KAAK,EAAE,EAAE,CAAC,CAAC;AAC9B,CAAC;AAED,oFAAoF;AAC7E,KAAK,UAAU,qBAAqB,CAAC,EAAM,EAAE,SAAiB;IACnE,MAAM,IAAI,GAAG,MAAM,EAAE,CAAkB;;;iBAGxB,SAAS;;GAEvB,CAAC;IACF,OAAO,IAAI,CAAC,MAAM,CAAC;AACrB,CAAC;AAED;;;;;;;;;;;;;GAaG;AACI,KAAK,UAAU,yBAAyB,CAC7C,EAAM,EACN,OAAgB,EAChB,QAAgB,EAChB,OAAwB,EACxB,OAAqC,EAAE;IAEvC,IAAI,CAAC,OAAO,CAAC,aAAa,EAAE,CAAC;QAC3B,MAAM,IAAI,wBAAe,CAAC,uCAAuC,CAAC,CAAC;IACrE,CAAC;IACD,MAAM,EAAE,MAAM,EAAE,GAAG,MAAM,IAAA,4BAAY,EAAC,EAAE,EAAE,OAAO,EAAE,QAAQ,EAAE,OAAO,CAAC,aAAa,CAAC,CAAC;IACpF,MAAM,QAAQ,GAAG,IAAA,oCAAsB,EAAC,OAAO,CAAC,QAAQ,EAAE;QACxD,MAAM,EAAE,MAAM;QACd,OAAO,EAAE,IAAA,qCAAe,EAAC,OAAO,CAAC,QAAQ,EAAE,OAAO,CAAC,WAAW,CAAC;QAC/D,SAAS,EAAE,IAAI,CAAC,SAAS;KAC1B,CAAC,CAAC;IACH,IAAI,CAAC,QAAQ,CAAC,eAAe,EAAE,CAAC;QAC9B,MAAM,IAAI,wBAAe,CACvB,eAAe,OAAO,CAAC,QAAQ,yCAAyC,CACzE,CAAC;IACJ,CAAC;IAED,MAAM,QAAQ,GAAG,MAAM,QAAQ,CAAC,eAAe,EAAE,CAAC;IAElD,sEAAsE;IACtE,2EAA2E;IAC3E,qEAAqE;IACrE,IAAI,CAAC,OAAO,CAAC,gBAAgB,IAAI,QAAQ,CAAC,SAAS,EAAE,CAAC;QACpD,MAAM,EAAE,CAAA;;gCAEoB,QAAQ,CAAC,SAAS;mBAC/B,OAAO,CAAC,EAAE;KACxB,CAAC;IACJ,CAAC;SAAM,CAAC;QACN,MAAM,EAAE,CAAA;;qEAEyD,OAAO,CAAC,EAAE;KAC1E,CAAC;IACJ,CAAC;IAED,OAAO,QAAQ,CAAC;AAClB,CAAC"}

package/dist/cjs/billing/reconcile.js

@@ -0,0 +1,143 @@
+"use strict";
+Object.defineProperty(exports, "__esModule", { value: true });
+exports.recordWebhookEvent = recordWebhookEvent;
+exports.markWebhookProcessed = markWebhookProcessed;
+exports.applyWebhookEvent = applyWebhookEvent;
+const node_crypto_1 = require("node:crypto");
+const ar_repository_js_1 = require("./ar-repository.js");
+/**
+ * Grava o evento e diz se ele é novo.
+ *
+ * O INSERT é a trava: quem consegue inserir processa, quem colide já foi
+ * processado por outro. Fazer `SELECT` antes e `INSERT` depois deixaria uma
+ * janela entre os dois — e webhook duplicado chega em rajada, exatamente dentro
+ * dessa janela.
+ */
+async function recordWebhookEvent(tx, input) {
+    const id = (0, node_crypto_1.randomUUID)();
+    const rows = await tx `
+    INSERT INTO webhook_event (
+      id, tenant_id, provider_account_id, provider, external_event_id, event_type, payload
+    ) VALUES (
+      ${id}, ${input.tenantId}, ${input.providerAccountId}, ${input.provider},
+      ${input.eventId}, ${input.eventType}, ${tx.json(input.payload)}
+    )
+    ON CONFLICT DO NOTHING
+    RETURNING id
+  `;
+    return { id: rows[0]?.id ?? id, isNew: Boolean(rows[0]) };
+}
+async function markWebhookProcessed(tx, id, status) {
+    await tx `
+    UPDATE webhook_event SET status = ${status}, processed_at = now() WHERE id = ${id}
+  `;
+}
+/**
+ * Aplica o evento normalizado ao recebível.
+ *
+ * Chamada DEPOIS de `recordWebhookEvent` ter dito que o evento é novo. Ainda
+ * assim confere o estado do recebível antes de baixar: dois eventos distintos
+ * (`CONFIRMED` e `RECEIVED`) descrevem o mesmo pagamento, passam os dois pelo
+ * dedup por serem eventos diferentes, e baixariam duas vezes o mesmo dinheiro.
+ */
+async function applyWebhookEvent(tx, event) {
+    if (!event.externalId)
+        return { outcome: 'ignored', receivableId: null, chargeId: null };
+    const rows = await tx `
+    SELECT id, receivable_id, method, amount, status
+    FROM charge WHERE external_id = ${event.externalId} AND deleted_at IS NULL
+    LIMIT 1
+  `;
+    const charge = rows[0];
+    if (!charge)
+        return { outcome: 'charge_not_found', receivableId: null, chargeId: null };
+    const ref = { receivableId: charge.receivable_id, chargeId: charge.id };
+    switch (event.type) {
+        case 'charge.paid':
+            return { ...ref, outcome: await applyPayment(tx, charge, event) };
+        case 'charge.overdue':
+            await setChargeStatus(tx, charge.id, 'overdue');
+            return { ...ref, outcome: 'overdue' };
+        case 'charge.canceled':
+            await setChargeStatus(tx, charge.id, 'canceled');
+            return { ...ref, outcome: 'canceled' };
+        // Estorno e chargeback marcam a COBRANÇA, e não desfazem a baixa.
+        //
+        // Reverter o recebível automaticamente ressuscitaria a dívida e religaria a
+        // régua contra alguém que pode estar em disputa legítima — uma cobrança
+        // automática nesse momento é o pior desfecho possível. O escritório vê o
+        // estado e decide.
+        case 'charge.refunded':
+        case 'charge.chargeback':
+            await setChargeStatus(tx, charge.id, 'refunded');
+            return { ...ref, outcome: 'refunded' };
+        /**
+         * Baixa anulada na origem — e aqui a diferença para o estorno é financeira,
+         * não de nomenclatura.
+         *
+         * No estorno o dinheiro **entrou e saiu**: a dívida foi quitada e reabri-la
+         * cobraria de novo algo que foi pago. Na anulação o dinheiro **nunca
+         * entrou**: manter o recebível quitado seria o sistema afirmando um
+         * recebimento que a própria origem já negou. Por isso este é o único dos
+         * três que reverte estado.
+         */
+        case 'charge.settlement_undone': {
+            const reversal = await (0, ar_repository_js_1.reverseSettlementForCharge)(tx, charge.id, 'settlement_undone');
+            return {
+                receivableId: reversal.receivableId ?? charge.receivable_id,
+                chargeId: charge.id,
+                outcome: reversal.reversedPayments > 0 ? 'reversed' : 'already_reversed',
+            };
+        }
+        default:
+            return { ...ref, outcome: 'ignored' };
+    }
+}
+async function applyPayment(tx, charge, event) {
+    if (!charge.receivable_id) {
+        // Cobrança avulsa, anterior ao Payment Rail: marca a cobrança e para. Não
+        // há recebível a baixar, e inventar um seria criar dívida que não existia.
+        await setChargeStatus(tx, charge.id, 'paid');
+        return 'paid';
+    }
+    const receivable = await (0, ar_repository_js_1.getReceivable)(tx, charge.receivable_id);
+    if (receivable.status === 'paid' || receivable.outstandingAmount <= 0)
+        return 'already_paid';
+    // O gateway manda o valor creditado. Ele pode ser MENOR que a cobrança
+    // (desconto, pagamento parcial de boleto) — e nesse caso a baixa é parcial, o
+    // recebível continua aberto pelo saldo, e a régua segue. Tratar todo evento
+    // de pagamento como quitação total perdoaria a diferença em silêncio.
+    const announced = event.paidAmount ?? Number(charge.amount);
+    const amount = Math.min(announced, receivable.outstandingAmount);
+    if (amount <= 0)
+        return 'already_paid';
+    await (0, ar_repository_js_1.registerPayment)(tx, {
+        receivableId: charge.receivable_id,
+        chargeId: charge.id,
+        amount,
+        method: charge.method,
+        paidAt: event.paidAt ?? new Date().toISOString(),
+    });
+    // `reversed_at` é zerado junto: uma cobrança revertida continua pagável no
+    // gateway, e quando o cliente de fato paga, ela volta a ser simplesmente paga.
+    // Deixar a marca de reversão numa cobrança `paid` reproduziria, ao contrário,
+    // o mesmo defeito que esta onda corrige — estado que afirma duas coisas
+    // incompatíveis ao mesmo tempo.
+    await tx `
+    UPDATE charge
+    SET status = 'paid', paid_at = ${event.paidAt ?? new Date().toISOString()},
+        reversed_at = NULL, updated_at = now()
+    WHERE id = ${charge.id}
+  `;
+    await tx `
+    UPDATE payment
+    SET provider = (SELECT provider FROM charge WHERE id = ${charge.id}),
+        provider_payment_id = ${event.externalId}
+    WHERE charge_id = ${charge.id} AND provider_payment_id IS NULL
+  `;
+    return 'paid';
+}
+async function setChargeStatus(tx, id, status) {
+    await tx `UPDATE charge SET status = ${status}, updated_at = now() WHERE id = ${id}`;
+}
+//# sourceMappingURL=reconcile.js.map

package/dist/cjs/billing/reconcile.js.map

@@ -0,0 +1 @@
+{"version":3,"file":"reconcile.js","sourceRoot":"","sources":["../../../src/billing/reconcile.ts"],"names":[],"mappings":";;AAkDA,gDAuBC;AAED,oDAQC;AAkBD,8CA0DC;AA/JD,6CAAyC;AAEzC,yDAAgG;AAwChG;;;;;;;GAOG;AACI,KAAK,UAAU,kBAAkB,CACtC,EAAM,EACN,KAOC;IAED,MAAM,EAAE,GAAG,IAAA,wBAAU,GAAE,CAAC;IACxB,MAAM,IAAI,GAAG,MAAM,EAAE,CAAkB;;;;QAIjC,EAAE,KAAK,KAAK,CAAC,QAAQ,KAAK,KAAK,CAAC,iBAAiB,KAAK,KAAK,CAAC,QAAQ;QACpE,KAAK,CAAC,OAAO,KAAK,KAAK,CAAC,SAAS,KAAK,EAAE,CAAC,IAAI,CAAC,KAAK,CAAC,OAAgB,CAAC;;;;GAI1E,CAAC;IACF,OAAO,EAAE,EAAE,EAAE,IAAI,CAAC,CAAC,CAAC,EAAE,EAAE,IAAI,EAAE,EAAE,KAAK,EAAE,OAAO,CAAC,IAAI,CAAC,CAAC,CAAC,CAAC,EAAE,CAAC;AAC5D,CAAC;AAEM,KAAK,UAAU,oBAAoB,CACxC,EAAM,EACN,EAAU,EACV,MAA0C;IAE1C,MAAM,EAAE,CAAA;wCAC8B,MAAM,qCAAqC,EAAE;GAClF,CAAC;AACJ,CAAC;AAUD;;;;;;;GAOG;AACI,KAAK,UAAU,iBAAiB,CAAC,EAAM,EAAE,KAAmB;IACjE,IAAI,CAAC,KAAK,CAAC,UAAU;QAAE,OAAO,EAAE,OAAO,EAAE,SAAS,EAAE,YAAY,EAAE,IAAI,EAAE,QAAQ,EAAE,IAAI,EAAE,CAAC;IAEzF,MAAM,IAAI,GAAG,MAAM,EAAE,CAAa;;sCAEE,KAAK,CAAC,UAAU;;GAEnD,CAAC;IACF,MAAM,MAAM,GAAG,IAAI,CAAC,CAAC,CAAC,CAAC;IACvB,IAAI,CAAC,MAAM;QAAE,OAAO,EAAE,OAAO,EAAE,kBAAkB,EAAE,YAAY,EAAE,IAAI,EAAE,QAAQ,EAAE,IAAI,EAAE,CAAC;IAExF,MAAM,GAAG,GAAG,EAAE,YAAY,EAAE,MAAM,CAAC,aAAa,EAAE,QAAQ,EAAE,MAAM,CAAC,EAAE,EAAE,CAAC;IAExE,QAAQ,KAAK,CAAC,IAAI,EAAE,CAAC;QACnB,KAAK,aAAa;YAChB,OAAO,EAAE,GAAG,GAAG,EAAE,OAAO,EAAE,MAAM,YAAY,CAAC,EAAE,EAAE,MAAM,EAAE,KAAK,CAAC,EAAE,CAAC;QAEpE,KAAK,gBAAgB;YACnB,MAAM,eAAe,CAAC,EAAE,EAAE,MAAM,CAAC,EAAE,EAAE,SAAS,CAAC,CAAC;YAChD,OAAO,EAAE,GAAG,GAAG,EAAE,OAAO,EAAE,SAAS,EAAE,CAAC;QAExC,KAAK,iBAAiB;YACpB,MAAM,eAAe,CAAC,EAAE,EAAE,MAAM,CAAC,EAAE,EAAE,UAAU,CAAC,CAAC;YACjD,OAAO,EAAE,GAAG,GAAG,EAAE,OAAO,EAAE,UAAU,EAAE,CAAC;QAEzC,kEAAkE;QAClE,EAAE;QACF,4EAA4E;QAC5E,wEAAwE;QACxE,yEAAyE;QACzE,mBAAmB;QACnB,KAAK,iBAAiB,CAAC;QACvB,KAAK,mBAAmB;YACtB,MAAM,eAAe,CAAC,EAAE,EAAE,MAAM,CAAC,EAAE,EAAE,UAAU,CAAC,CAAC;YACjD,OAAO,EAAE,GAAG,GAAG,EAAE,OAAO,EAAE,UAAU,EAAE,CAAC;QAEzC;;;;;;;;;WASG;QACH,KAAK,0BAA0B,CAAC,CAAC,CAAC;YAChC,MAAM,QAAQ,GAAG,MAAM,IAAA,6CAA0B,EAAC,EAAE,EAAE,MAAM,CAAC,EAAE,EAAE,mBAAmB,CAAC,CAAC;YACtF,OAAO;gBACL,YAAY,EAAE,QAAQ,CAAC,YAAY,IAAI,MAAM,CAAC,aAAa;gBAC3D,QAAQ,EAAE,MAAM,CAAC,EAAE;gBACnB,OAAO,EAAE,QAAQ,CAAC,gBAAgB,GAAG,CAAC,CAAC,CAAC,CAAC,UAAU,CAAC,CAAC,CAAC,kBAAkB;aACzE,CAAC;QACJ,CAAC;QAED;YACE,OAAO,EAAE,GAAG,GAAG,EAAE,OAAO,EAAE,SAAS,EAAE,CAAC;IAC1C,CAAC;AACH,CAAC;AAED,KAAK,UAAU,YAAY,CACzB,EAAM,EACN,MAAiB,EACjB,KAAmB;IAEnB,IAAI,CAAC,MAAM,CAAC,aAAa,EAAE,CAAC;QAC1B,0EAA0E;QAC1E,2EAA2E;QAC3E,MAAM,eAAe,CAAC,EAAE,EAAE,MAAM,CAAC,EAAE,EAAE,MAAM,CAAC,CAAC;QAC7C,OAAO,MAAM,CAAC;IAChB,CAAC;IAED,MAAM,UAAU,GAAG,MAAM,IAAA,gCAAa,EAAC,EAAE,EAAE,MAAM,CAAC,aAAa,CAAC,CAAC;IACjE,IAAI,UAAU,CAAC,MAAM,KAAK,MAAM,IAAI,UAAU,CAAC,iBAAiB,IAAI,CAAC;QAAE,OAAO,cAAc,CAAC;IAE7F,uEAAuE;IACvE,8EAA8E;IAC9E,4EAA4E;IAC5E,sEAAsE;IACtE,MAAM,SAAS,GAAG,KAAK,CAAC,UAAU,IAAI,MAAM,CAAC,MAAM,CAAC,MAAM,CAAC,CAAC;IAC5D,MAAM,MAAM,GAAG,IAAI,CAAC,GAAG,CAAC,SAAS,EAAE,UAAU,CAAC,iBAAiB,CAAC,CAAC;IACjE,IAAI,MAAM,IAAI,CAAC;QAAE,OAAO,cAAc,CAAC;IAEvC,MAAM,IAAA,kCAAe,EAAC,EAAE,EAAE;QACxB,YAAY,EAAE,MAAM,CAAC,aAAa;QAClC,QAAQ,EAAE,MAAM,CAAC,EAAE;QACnB,MAAM;QACN,MAAM,EAAE,MAAM,CAAC,MAAM;QACrB,MAAM,EAAE,KAAK,CAAC,MAAM,IAAI,IAAI,IAAI,EAAE,CAAC,WAAW,EAAE;KACjD,CAAC,CAAC;IAEH,2EAA2E;IAC3E,+EAA+E;IAC/E,8EAA8E;IAC9E,wEAAwE;IACxE,gCAAgC;IAChC,MAAM,EAAE,CAAA;;qCAE2B,KAAK,CAAC,MAAM,IAAI,IAAI,IAAI,EAAE,CAAC,WAAW,EAAE;;iBAE5D,MAAM,CAAC,EAAE;GACvB,CAAC;IAEF,MAAM,EAAE,CAAA;;6DAEmD,MAAM,CAAC,EAAE;gCACtC,KAAK,CAAC,UAAU;wBACxB,MAAM,CAAC,EAAE;GAC9B,CAAC;IAEF,OAAO,MAAM,CAAC;AAChB,CAAC;AAED,KAAK,UAAU,eAAe,CAAC,EAAM,EAAE,EAAU,EAAE,MAAc;IAC/D,MAAM,EAAE,CAAA,8BAA8B,MAAM,mCAAmC,EAAE,EAAE,CAAC;AACtF,CAAC"}