@baruk/core 0.3.1 → 0.5.0

package/dist/cjs/platform/job-contract.js

@@ -0,0 +1,411 @@
+"use strict";
+Object.defineProperty(exports, "__esModule", { value: true });
+exports.KNOWN_JOBS = exports.FISCAL_SYNC_JOB = exports.SAAS_BILLING_JOB = exports.COLLECTION_CYCLE_JOB = exports.TEMPORARY_BACKOFF_MS = exports.JOB_CONTRACT_VERSION = void 0;
+exports.probePlatformCapabilities = probePlatformCapabilities;
+exports.evaluateJobReadiness = evaluateJobReadiness;
+exports.runGuardedJob = runGuardedJob;
+exports.recordJobRun = recordJobRun;
+exports.recordJobRunBestEffort = recordJobRunBestEffort;
+const shared_1 = require("@baruk/shared");
+const context_js_1 = require("../db/context.js");
+/**
+ * O contrato de capacidade entre um WORKER e o schema que ele opera.
+ *
+ * ## O que isto fecha, e por que não bastava o contrato HTTP
+ *
+ * `platform/capabilities.ts` protege a superfície HTTP: a tela pergunta à API
+ * se aquele build sabe responder o que ela vai pedir. Um cron não tem tela e
+ * não fala com a API — ele fala com o BANCO. A contraparte é outra, então o
+ * contrato é outro, e o registro vive no próprio banco (migration 0055).
+ *
+ * A janela é real e não é hipótese: os crons publicam na Render como serviços
+ * SEPARADOS do serviço web, e as migrations rodam no `preDeployCommand` do
+ * serviço web. A ordem entre "a imagem nova do cron subiu" e "o schema novo foi
+ * aplicado" não é garantida por nada.
+ *
+ * ## Cinco estados, não dois
+ *
+ * A primeira forma óbvia disto seria um booleano `podeRodar`. Ela colapsa dois
+ * problemas que exigem tratamentos opostos:
+ *
+ *   `READY`                     compatível — executa.
+ *   `INCOMPATIBLE`              o schema é anterior ao que este worker exige.
+ *                               Fecha, e **não** merece retry: nenhuma
+ *                               quantidade de tentativas aplica uma migration.
+ *   `TEMPORARILY_UNAVAILABLE`   não deu para perguntar (banco fora, timeout).
+ *                               Fecha também — mas com backoff, porque volta
+ *                               sozinho.
+ *   `DISABLED`                  desligado por configuração do processo.
+ *   `BLOCKED_BY_TENANT_CONFIG`  o escritório não habilitou.
+ *
+ * A distinção entre os dois primeiros bloqueios é a mesma que o contrato HTTP
+ * já paga: lá, tratar timeout como "não suportado" faria a tela mentir sobre um
+ * deploy antigo toda vez que a API hibernasse. Aqui, tratar banco fora como
+ * incompatível faria o cron desistir de um dia inteiro por uma queda de rede de
+ * trinta segundos — e tratar incompatível como indisponível faria ele martelar
+ * um schema que não vai mudar sozinho.
+ *
+ * ## Fail-closed é sobre VERSÃO
+ *
+ * Quando não é `READY`, nada é escrito: zero mutação, cursor intocado, nenhum
+ * item marcado como processado. E o bloqueio é REGISTRADO (`job_run`) — um job
+ * que para em silêncio é indistinguível de um job que rodou e não achou nada.
+ *
+ * A garantia não depende deste arquivo: `job_run` tem CHECK que torna
+ * ingravável um run bloqueado com mutação ou cursor avançado. O TypeScript
+ * ordena; o banco garante.
+ */
+/** Versão do FORMATO do registro. Ver `platform_capability.contract_version`. */
+exports.JOB_CONTRACT_VERSION = 1;
+/**
+ * Backoff do que volta sozinho.
+ *
+ * Cinco minutos: longo o bastante para uma reinicialização de banco caber
+ * dentro, curto o bastante para o ciclo diário ainda sair no mesmo dia.
+ */
+exports.TEMPORARY_BACKOFF_MS = 5 * 60_000;
+/**
+ * Códigos do PostgreSQL que significam "este schema é anterior ao worker".
+ *
+ * `42P01` tabela inexistente, `42703` coluna inexistente, `42883` função
+ * inexistente. São afirmações do servidor sobre o que ele TEM — não sobre a
+ * rede —, e é exatamente essa a fronteira entre `absent` e `unknown`.
+ */
+const OLD_SCHEMA_SQLSTATES = new Set(['42P01', '42703', '42883']);
+/**
+ * Lê o registro de capacidades do schema. Nunca lança; classifica a falha.
+ *
+ * A classificação é o ponto inteiro da função. Um `catch` que devolvesse
+ * "incompatível" para qualquer erro transformaria toda queda de rede em uma
+ * afirmação falsa sobre a versão do schema — o mesmo defeito que quase entrou
+ * em produção no contrato HTTP.
+ */
+async function probePlatformCapabilities(tx) {
+    let rows;
+    try {
+        rows = await tx `
+      SELECT key, contract_version FROM platform_capability ORDER BY key
+    `;
+    }
+    catch (err) {
+        const code = err?.code;
+        if (code && OLD_SCHEMA_SQLSTATES.has(code)) {
+            // A tabela não existe: este banco é anterior à 0055. É a assinatura
+            // exata do schema velho, e o caso inteiro pelo qual isto existe.
+            return { status: 'absent', detail: `registro ausente no schema (sqlstate ${code})` };
+        }
+        // Conexão recusada, timeout, permissão momentaneamente negada: nada disto
+        // informa a VERSÃO do schema.
+        return { status: 'unknown', detail: `consulta falhou (sqlstate ${code ?? 'desconhecido'})` };
+    }
+    if (rows.length === 0) {
+        // Tabela existe e está vazia. Um schema que não declara nada não pode
+        // satisfazer exigência nenhuma — e "vazio" não é "tudo permitido".
+        return { status: 'absent', detail: 'registro de capacidades vazio' };
+    }
+    // Versões de contrato divergentes na mesma tabela seriam um registro que não
+    // se sabe ler inteiro. Fecha, em vez de escolher uma.
+    const versions = new Set(rows.map((r) => r.contract_version));
+    if (versions.size > 1) {
+        return { status: 'absent', detail: 'registro com versões de contrato divergentes' };
+    }
+    return {
+        status: 'declared',
+        contract: rows[0].contract_version,
+        capabilities: rows.map((r) => r.key),
+    };
+}
+/**
+ * A sondagem satisfaz o que este worker exige?
+ *
+ * Função pura: recebe a sondagem já feita e devolve a decisão. É essa separação
+ * que permite fixar o contrato para o lote inteiro (ver `runGuardedJob`) — a
+ * decisão de cada item usa a MESMA sondagem, não uma nova.
+ */
+function evaluateJobReadiness(def, probe, opts = {}) {
+    const blocked = (readiness, detail, extra = {}) => ({
+        readiness,
+        canMutate: false,
+        retryable: readiness === 'TEMPORARILY_UNAVAILABLE',
+        backoffMs: readiness === 'TEMPORARILY_UNAVAILABLE' ? exports.TEMPORARY_BACKOFF_MS : null,
+        contractVersion: null,
+        observed: [],
+        missing: [],
+        detail,
+        ...extra,
+    });
+    // Desligado pelo processo vem primeiro: não faz sentido perguntar ao banco se
+    // um worker desligado é compatível, e a resposta não mudaria nada.
+    if (opts.disabled)
+        return blocked('DISABLED', 'worker desligado por configuração');
+    if (def.requires.length === 0) {
+        // Erro de programação, tratado como bloqueio e não como exceção: um worker
+        // mal declarado não pode virar um worker sem portão.
+        return blocked('INCOMPATIBLE', `job "${def.name}" não declara capacidade exigida`);
+    }
+    if (probe.status === 'unknown')
+        return blocked('TEMPORARILY_UNAVAILABLE', probe.detail);
+    if (probe.status === 'absent') {
+        return blocked('INCOMPATIBLE', probe.detail, { missing: [...def.requires] });
+    }
+    if (probe.contract < def.minContractVersion) {
+        return blocked('INCOMPATIBLE', `contrato ${probe.contract} anterior ao mínimo ${def.minContractVersion}`, { contractVersion: probe.contract, observed: probe.capabilities, missing: [...def.requires] });
+    }
+    if (probe.contract > exports.JOB_CONTRACT_VERSION) {
+        // Schema mais novo do que este worker sabe ler. Simétrico ao caso acima, e
+        // igualmente fechado: reinterpretar um formato desconhecido é como um
+        // worker velho corrompe dado novo.
+        return blocked('INCOMPATIBLE', `contrato ${probe.contract} posterior ao que este worker lê (${exports.JOB_CONTRACT_VERSION})`, { contractVersion: probe.contract, observed: probe.capabilities });
+    }
+    // Continência de conjunto, não igualdade: o schema pode declarar MAIS do que
+    // este worker exige, e é isso que torna `worker velho + schema novo` seguro.
+    const missing = def.requires.filter((k) => !probe.capabilities.includes(k));
+    if (missing.length > 0) {
+        return blocked('INCOMPATIBLE', `capacidade ausente: ${missing.join(', ')}`, {
+            contractVersion: probe.contract,
+            observed: probe.capabilities,
+            missing,
+        });
+    }
+    // O bloqueio por configuração do escritório vem por ÚLTIMO, depois de a
+    // compatibilidade estar provada: assim o registro distingue "o schema não
+    // serve" de "este escritório não quis", que são conversas diferentes.
+    if (opts.tenantBlocked) {
+        return blocked('BLOCKED_BY_TENANT_CONFIG', opts.tenantBlocked, {
+            contractVersion: probe.contract,
+            observed: probe.capabilities,
+        });
+    }
+    return {
+        readiness: 'READY',
+        canMutate: true,
+        retryable: false,
+        backoffMs: null,
+        contractVersion: probe.contract,
+        observed: probe.capabilities,
+        missing: [],
+        detail: 'compatível',
+    };
+}
+/**
+ * Executa `handler` sob o portão, dentro do contexto de tenant.
+ *
+ * A ordem importa e é o mecanismo inteiro:
+ *
+ *  1. sonda (ou usa a sondagem fixada) e decide — ANTES de qualquer escrita;
+ *  2. se não for `READY`, grava o `job_run` bloqueado e RETORNA. O handler não
+ *     é chamado, então não existe caminho pelo qual ele mute;
+ *  3. se for `READY`, lê o cursor, chama o handler, e só então grava o run e
+ *     avança o cursor.
+ *
+ * Cursor e run são gravados na MESMA transação do handler: um lote que estourou
+ * no meio não deixa cursor avançado, porque o rollback leva os dois junto.
+ */
+async function runGuardedJob(db, tenantId, def, handler, opts = {}) {
+    const probe = opts.probe ?? (await (0, context_js_1.withContext)(db, { tenantId }, (tx) => probePlatformCapabilities(tx)));
+    const decision = evaluateJobReadiness(def, probe, {
+        disabled: opts.disabled,
+        tenantBlocked: opts.tenantBlocked,
+    });
+    if (!decision.canMutate) {
+        const record = await (0, context_js_1.withContext)(db, { tenantId }, (tx) => recordJobRun(tx, tenantId, def, decision, {
+            status: 'blocked',
+            mutations: 0,
+            cursorAdvanced: false,
+        }));
+        return { record, result: null, decision };
+    }
+    let mutations = 0;
+    let nextCursor = null;
+    try {
+        return await (0, context_js_1.withContext)(db, { tenantId }, async (tx) => {
+            const [cur] = await tx `
+        SELECT position, contract_version FROM job_cursor WHERE job_name = ${def.name}
+      `;
+            if (cur && cur.contract_version > exports.JOB_CONTRACT_VERSION) {
+                // Cursor gravado sob contrato que este worker não sabe ler. Reinterpretar
+                // a posição com outra semântica é pior do que não andar.
+                const stale = evaluateJobReadiness(def, {
+                    status: 'absent',
+                    detail: `cursor gravado sob contrato ${cur.contract_version}, posterior a ${exports.JOB_CONTRACT_VERSION}`,
+                });
+                const record = await recordJobRun(tx, tenantId, def, stale, {
+                    status: 'blocked',
+                    mutations: 0,
+                    cursorAdvanced: false,
+                });
+                return { record, result: null, decision: stale };
+            }
+            const ctx = {
+                decision,
+                cursor: cur?.position ?? null,
+                recordMutation: (n = 1) => {
+                    mutations += n;
+                },
+                advanceCursorTo: (position) => {
+                    nextCursor = position;
+                },
+            };
+            const result = await handler(tx, ctx);
+            if (nextCursor !== null) {
+                await tx `
+          INSERT INTO job_cursor (id, tenant_id, job_name, position, contract_version, updated_at)
+          VALUES (${(0, shared_1.uuidv7)()}, ${tenantId}, ${def.name}, ${nextCursor},
+                  ${decision.contractVersion ?? exports.JOB_CONTRACT_VERSION}, now())
+          ON CONFLICT (tenant_id, job_name)
+          DO UPDATE SET position = EXCLUDED.position,
+                        contract_version = EXCLUDED.contract_version,
+                        updated_at = now()
+        `;
+            }
+            const record = await recordJobRun(tx, tenantId, def, decision, {
+                status: 'completed',
+                mutations,
+                cursorAdvanced: nextCursor !== null,
+            });
+            return { record, result, decision };
+        });
+    }
+    catch (err) {
+        // O lote falhou: a transação já reverteu mutação e cursor. O registro da
+        // falha vai em transação NOVA, senão ele voltaria junto e a falha ficaria
+        // invisível — que é o modo de falha que esta tabela existe para eliminar.
+        //
+        // E se o próprio registro falhar (banco fora, que é uma causa provável do
+        // erro original), o erro ORIGINAL é o que sobe. Trocá-lo pelo erro de
+        // gravar a trilha esconderia a causa atrás do sintoma.
+        let record;
+        try {
+            record = await (0, context_js_1.withContext)(db, { tenantId }, (tx) => recordJobRun(tx, tenantId, def, { ...decision, detail: describeFailure(err) }, { status: 'failed', mutations: 0, cursorAdvanced: false }));
+        }
+        catch {
+            throw err;
+        }
+        return { record, result: null, decision };
+    }
+}
+/** Mensagem de falha sem PII e sem segredo: só a classe e o sqlstate. */
+function describeFailure(err) {
+    const code = err?.code;
+    const name = err instanceof Error ? err.name : 'erro';
+    return code ? `${name} (sqlstate ${code})` : name;
+}
+/**
+ * Grava o desfecho de um run.
+ *
+ * Público porque os dois crons existentes não são baseados em cursor — eles são
+ * idempotentes por índice único e rodam duas transações por tenant de
+ * propósito. Forçá-los para dentro de `runGuardedJob` colapsaria essas duas
+ * transações em uma, e um erro na régua passaria a desfazer recebíveis
+ * legitimamente gerados. Eles usam o mesmo portão e a mesma trilha; o que não
+ * usam é o cursor, que não têm.
+ */
+async function recordJobRun(tx, tenantId, def, decision, outcome) {
+    const id = (0, shared_1.uuidv7)();
+    await tx `
+    INSERT INTO job_run (
+      id, tenant_id, job_name, job_version, readiness, status, contract_version,
+      required_capabilities, observed_capabilities, missing_capabilities,
+      mutations, cursor_advanced, detail, finished_at
+    ) VALUES (
+      ${id}, ${tenantId}, ${def.name}, ${def.version}, ${decision.readiness}, ${outcome.status},
+      ${decision.contractVersion}, ${[...def.requires]}, ${[...decision.observed]},
+      ${[...decision.missing]}, ${outcome.mutations}, ${outcome.cursorAdvanced},
+      ${decision.detail}, now()
+    )
+  `;
+    return {
+        id,
+        readiness: decision.readiness,
+        status: outcome.status,
+        mutations: outcome.mutations,
+        cursorAdvanced: outcome.cursorAdvanced,
+        detail: decision.detail,
+    };
+}
+/**
+ * Grava a trilha tolerando a ausência da própria tabela.
+ *
+ * O caso é específico e derrubaria produção: quando o bloqueio é `INCOMPATIBLE`
+ * porque o schema é anterior à 0055, **`job_run` também não existe** — as duas
+ * tabelas nascem na mesma migration. Um `recordJobRun` direto estouraria para
+ * cada tenant e o cron sairia com código 1, transformando um bloqueio correto
+ * e silencioso num alarme de infraestrutura.
+ *
+ * A trilha é observabilidade, não a garantia. A garantia é o handler não ser
+ * chamado, e ela já valeu antes desta linha. Quando a trilha não cabe no
+ * schema, o log carrega o motivo — e ele é o mesmo.
+ *
+ * Devolve `true` se gravou. Só engole falha de SCHEMA (`42P01`/`42703`): erro
+ * de permissão ou de restrição é defeito nosso e tem de subir.
+ */
+async function recordJobRunBestEffort(db, tenantId, def, decision, outcome) {
+    try {
+        await (0, context_js_1.withContext)(db, { tenantId }, (tx) => recordJobRun(tx, tenantId, def, decision, outcome));
+        return true;
+    }
+    catch (err) {
+        const code = err?.code;
+        if (code && OLD_SCHEMA_SQLSTATES.has(code))
+            return false;
+        throw err;
+    }
+}
+/**
+ * Os workers deste produto.
+ *
+ * Declarados aqui, e não junto de cada entrypoint, para que a lista seja
+ * enumerável — é ela que o inventário do gate confere contra o `render.yaml`.
+ */
+exports.COLLECTION_CYCLE_JOB = {
+    name: 'collection-cycle',
+    version: 1,
+    requires: ['office.collection-cycle.v1'],
+    minContractVersion: 1,
+};
+exports.SAAS_BILLING_JOB = {
+    name: 'saas-billing-cycle',
+    version: 1,
+    requires: ['office.saas-billing-cycle.v1'],
+    minContractVersion: 1,
+};
+/**
+ * O worker fiscal (Onda B · Fase 2).
+ *
+ * Exige DUAS capacidades, e a segunda é o ponto: `office.fiscal-ingestion.v1`
+ * (0056) descreve onde o documento cabe; `office.fiscal-sync-worker.v1` (0058)
+ * descreve o que o worker precisa para OPERAR — lease, política, disjuntor,
+ * fila humana, cobertura.
+ *
+ * Separá-las importa numa janela concreta: um banco que já tem a 0056 e ainda
+ * não tem a 0058 sabe guardar documento e NÃO sabe travar a vez. Um worker que
+ * exigisse só a primeira rodaria ali, sem exclusão mútua, e duas execuções
+ * simultâneas consultariam o mesmo CNPJ contra a Receita.
+ */
+exports.FISCAL_SYNC_JOB = {
+    name: 'fiscal-sync',
+    // `version: 2` porque o worker passou a GRAVAR `fiscal_sync_run.contract_version`
+    // (migration 0059). Um worker desta versão contra um banco anterior falharia no
+    // `INSERT` — depois do lease tomado e possivelmente depois da requisição ao
+    // provedor, isto é, com o consumo já gasto e o cursor parado. O pior lugar
+    // possível para descobrir uma incompatibilidade de schema.
+    version: 2,
+    // `office.fiscal-contract-version.v1` é a exigência NOVA, e ela é uma CHAVE —
+    // não um `minContractVersion` maior. `contract_version` é a versão do formato
+    // do registro e é global: a sondagem recusa a tabela inteira se as linhas
+    // divergirem, de modo que subir a versão por causa de uma coluna do motor
+    // fiscal derrubaria também cobrança e faturamento. Capacidade se compara por
+    // continência; é essa a dimensão em que esta mudança acontece.
+    requires: [
+        'office.fiscal-ingestion.v1',
+        'office.fiscal-sync-worker.v1',
+        'office.fiscal-contract-version.v1',
+    ],
+    minContractVersion: 1,
+};
+exports.KNOWN_JOBS = [
+    exports.COLLECTION_CYCLE_JOB,
+    exports.SAAS_BILLING_JOB,
+    exports.FISCAL_SYNC_JOB,
+];
+//# sourceMappingURL=job-contract.js.map

package/dist/cjs/platform/job-contract.js.map

@@ -0,0 +1 @@
+{"version":3,"file":"job-contract.js","sourceRoot":"","sources":["../../../src/platform/job-contract.ts"],"names":[],"mappings":";;;AA0HA,8DAoCC;AASD,oDAqFC;AAiDD,sCAuGC;AAmBD,oCAgCC;AAkBD,wDAmBC;AA5eD,0CAAuC;AAEvC,iDAA+C;AAE/C;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;GA8CG;AAEH,iFAAiF;AACpE,QAAA,oBAAoB,GAAG,CAAC,CAAC;AA4CtC;;;;;GAKG;AACU,QAAA,oBAAoB,GAAG,CAAC,GAAG,MAAM,CAAC;AAE/C;;;;;;GAMG;AACH,MAAM,oBAAoB,GAAG,IAAI,GAAG,CAAC,CAAC,OAAO,EAAE,OAAO,EAAE,OAAO,CAAC,CAAC,CAAC;AAElE;;;;;;;GAOG;AACI,KAAK,UAAU,yBAAyB,CAAC,EAAW;IACzD,IAAI,IAAiD,CAAC;IACtD,IAAI,CAAC;QACH,IAAI,GAAG,MAAM,EAAE,CAA6C;;KAE3D,CAAC;IACJ,CAAC;IAAC,OAAO,GAAG,EAAE,CAAC;QACb,MAAM,IAAI,GAAI,GAAgC,EAAE,IAAI,CAAC;QACrD,IAAI,IAAI,IAAI,oBAAoB,CAAC,GAAG,CAAC,IAAI,CAAC,EAAE,CAAC;YAC3C,oEAAoE;YACpE,iEAAiE;YACjE,OAAO,EAAE,MAAM,EAAE,QAAQ,EAAE,MAAM,EAAE,wCAAwC,IAAI,GAAG,EAAE,CAAC;QACvF,CAAC;QACD,0EAA0E;QAC1E,8BAA8B;QAC9B,OAAO,EAAE,MAAM,EAAE,SAAS,EAAE,MAAM,EAAE,6BAA6B,IAAI,IAAI,cAAc,GAAG,EAAE,CAAC;IAC/F,CAAC;IAED,IAAI,IAAI,CAAC,MAAM,KAAK,CAAC,EAAE,CAAC;QACtB,sEAAsE;QACtE,mEAAmE;QACnE,OAAO,EAAE,MAAM,EAAE,QAAQ,EAAE,MAAM,EAAE,+BAA+B,EAAE,CAAC;IACvE,CAAC;IAED,6EAA6E;IAC7E,sDAAsD;IACtD,MAAM,QAAQ,GAAG,IAAI,GAAG,CAAC,IAAI,CAAC,GAAG,CAAC,CAAC,CAAC,EAAE,EAAE,CAAC,CAAC,CAAC,gBAAgB,CAAC,CAAC,CAAC;IAC9D,IAAI,QAAQ,CAAC,IAAI,GAAG,CAAC,EAAE,CAAC;QACtB,OAAO,EAAE,MAAM,EAAE,QAAQ,EAAE,MAAM,EAAE,8CAA8C,EAAE,CAAC;IACtF,CAAC;IAED,OAAO;QACL,MAAM,EAAE,UAAU;QAClB,QAAQ,EAAE,IAAI,CAAC,CAAC,CAAE,CAAC,gBAAgB;QACnC,YAAY,EAAE,IAAI,CAAC,GAAG,CAAC,CAAC,CAAC,EAAE,EAAE,CAAC,CAAC,CAAC,GAAG,CAAC;KACrC,CAAC;AACJ,CAAC;AAED;;;;;;GAMG;AACH,SAAgB,oBAAoB,CAClC,GAAkB,EAClB,KAA8B,EAC9B,OAA8D,EAAE;IAEhE,MAAM,OAAO,GAAG,CACd,SAAyC,EACzC,MAAc,EACd,QAA8B,EAAE,EACnB,EAAE,CAAC,CAAC;QACjB,SAAS;QACT,SAAS,EAAE,KAAK;QAChB,SAAS,EAAE,SAAS,KAAK,yBAAyB;QAClD,SAAS,EAAE,SAAS,KAAK,yBAAyB,CAAC,CAAC,CAAC,4BAAoB,CAAC,CAAC,CAAC,IAAI;QAChF,eAAe,EAAE,IAAI;QACrB,QAAQ,EAAE,EAAE;QACZ,OAAO,EAAE,EAAE;QACX,MAAM;QACN,GAAG,KAAK;KACT,CAAC,CAAC;IAEH,8EAA8E;IAC9E,mEAAmE;IACnE,IAAI,IAAI,CAAC,QAAQ;QAAE,OAAO,OAAO,CAAC,UAAU,EAAE,mCAAmC,CAAC,CAAC;IAEnF,IAAI,GAAG,CAAC,QAAQ,CAAC,MAAM,KAAK,CAAC,EAAE,CAAC;QAC9B,2EAA2E;QAC3E,qDAAqD;QACrD,OAAO,OAAO,CAAC,cAAc,EAAE,QAAQ,GAAG,CAAC,IAAI,kCAAkC,CAAC,CAAC;IACrF,CAAC;IAED,IAAI,KAAK,CAAC,MAAM,KAAK,SAAS;QAAE,OAAO,OAAO,CAAC,yBAAyB,EAAE,KAAK,CAAC,MAAM,CAAC,CAAC;IACxF,IAAI,KAAK,CAAC,MAAM,KAAK,QAAQ,EAAE,CAAC;QAC9B,OAAO,OAAO,CAAC,cAAc,EAAE,KAAK,CAAC,MAAM,EAAE,EAAE,OAAO,EAAE,CAAC,GAAG,GAAG,CAAC,QAAQ,CAAC,EAAE,CAAC,CAAC;IAC/E,CAAC;IAED,IAAI,KAAK,CAAC,QAAQ,GAAG,GAAG,CAAC,kBAAkB,EAAE,CAAC;QAC5C,OAAO,OAAO,CACZ,cAAc,EACd,YAAY,KAAK,CAAC,QAAQ,uBAAuB,GAAG,CAAC,kBAAkB,EAAE,EACzE,EAAE,eAAe,EAAE,KAAK,CAAC,QAAQ,EAAE,QAAQ,EAAE,KAAK,CAAC,YAAY,EAAE,OAAO,EAAE,CAAC,GAAG,GAAG,CAAC,QAAQ,CAAC,EAAE,CAC9F,CAAC;IACJ,CAAC;IACD,IAAI,KAAK,CAAC,QAAQ,GAAG,4BAAoB,EAAE,CAAC;QAC1C,2EAA2E;QAC3E,sEAAsE;QACtE,mCAAmC;QACnC,OAAO,OAAO,CACZ,cAAc,EACd,YAAY,KAAK,CAAC,QAAQ,qCAAqC,4BAAoB,GAAG,EACtF,EAAE,eAAe,EAAE,KAAK,CAAC,QAAQ,EAAE,QAAQ,EAAE,KAAK,CAAC,YAAY,EAAE,CAClE,CAAC;IACJ,CAAC;IAED,6EAA6E;IAC7E,6EAA6E;IAC7E,MAAM,OAAO,GAAG,GAAG,CAAC,QAAQ,CAAC,MAAM,CAAC,CAAC,CAAC,EAAE,EAAE,CAAC,CAAC,KAAK,CAAC,YAAY,CAAC,QAAQ,CAAC,CAAC,CAAC,CAAC,CAAC;IAC5E,IAAI,OAAO,CAAC,MAAM,GAAG,CAAC,EAAE,CAAC;QACvB,OAAO,OAAO,CAAC,cAAc,EAAE,uBAAuB,OAAO,CAAC,IAAI,CAAC,IAAI,CAAC,EAAE,EAAE;YAC1E,eAAe,EAAE,KAAK,CAAC,QAAQ;YAC/B,QAAQ,EAAE,KAAK,CAAC,YAAY;YAC5B,OAAO;SACR,CAAC,CAAC;IACL,CAAC;IAED,wEAAwE;IACxE,0EAA0E;IAC1E,sEAAsE;IACtE,IAAI,IAAI,CAAC,aAAa,EAAE,CAAC;QACvB,OAAO,OAAO,CAAC,0BAA0B,EAAE,IAAI,CAAC,aAAa,EAAE;YAC7D,eAAe,EAAE,KAAK,CAAC,QAAQ;YAC/B,QAAQ,EAAE,KAAK,CAAC,YAAY;SAC7B,CAAC,CAAC;IACL,CAAC;IAED,OAAO;QACL,SAAS,EAAE,OAAO;QAClB,SAAS,EAAE,IAAI;QACf,SAAS,EAAE,KAAK;QAChB,SAAS,EAAE,IAAI;QACf,eAAe,EAAE,KAAK,CAAC,QAAQ;QAC/B,QAAQ,EAAE,KAAK,CAAC,YAAY;QAC5B,OAAO,EAAE,EAAE;QACX,MAAM,EAAE,YAAY;KACrB,CAAC;AACJ,CAAC;AAmCD;;;;;;;;;;;;;GAaG;AACI,KAAK,UAAU,aAAa,CACjC,EAAM,EACN,QAAgB,EAChB,GAAkB,EAClB,OAAuD,EACvD,OAA0B,EAAE;IAE5B,MAAM,KAAK,GACT,IAAI,CAAC,KAAK,IAAI,CAAC,MAAM,IAAA,wBAAW,EAAC,EAAE,EAAE,EAAE,QAAQ,EAAE,EAAE,CAAC,EAAE,EAAE,EAAE,CAAC,yBAAyB,CAAC,EAAE,CAAC,CAAC,CAAC,CAAC;IAC7F,MAAM,QAAQ,GAAG,oBAAoB,CAAC,GAAG,EAAE,KAAK,EAAE;QAChD,QAAQ,EAAE,IAAI,CAAC,QAAQ;QACvB,aAAa,EAAE,IAAI,CAAC,aAAa;KAClC,CAAC,CAAC;IAEH,IAAI,CAAC,QAAQ,CAAC,SAAS,EAAE,CAAC;QACxB,MAAM,MAAM,GAAG,MAAM,IAAA,wBAAW,EAAC,EAAE,EAAE,EAAE,QAAQ,EAAE,EAAE,CAAC,EAAE,EAAE,EAAE,CACxD,YAAY,CAAC,EAAE,EAAE,QAAQ,EAAE,GAAG,EAAE,QAAQ,EAAE;YACxC,MAAM,EAAE,SAAS;YACjB,SAAS,EAAE,CAAC;YACZ,cAAc,EAAE,KAAK;SACtB,CAAC,CACH,CAAC;QACF,OAAO,EAAE,MAAM,EAAE,MAAM,EAAE,IAAI,EAAE,QAAQ,EAAE,CAAC;IAC5C,CAAC;IAED,IAAI,SAAS,GAAG,CAAC,CAAC;IAClB,IAAI,UAAU,GAAkB,IAAI,CAAC;IACrC,IAAI,CAAC;QACH,OAAO,MAAM,IAAA,wBAAW,EAAC,EAAE,EAAE,EAAE,QAAQ,EAAE,EAAE,KAAK,EAAE,EAAE,EAAE,EAAE;YACtD,MAAM,CAAC,GAAG,CAAC,GAAG,MAAM,EAAE,CAAkD;6EACD,GAAG,CAAC,IAAI;OAC9E,CAAC;YACF,IAAI,GAAG,IAAI,GAAG,CAAC,gBAAgB,GAAG,4BAAoB,EAAE,CAAC;gBACvD,0EAA0E;gBAC1E,yDAAyD;gBACzD,MAAM,KAAK,GAAG,oBAAoB,CAAC,GAAG,EAAE;oBACtC,MAAM,EAAE,QAAQ;oBAChB,MAAM,EAAE,+BAA+B,GAAG,CAAC,gBAAgB,iBAAiB,4BAAoB,EAAE;iBACnG,CAAC,CAAC;gBACH,MAAM,MAAM,GAAG,MAAM,YAAY,CAAC,EAAE,EAAE,QAAQ,EAAE,GAAG,EAAE,KAAK,EAAE;oBAC1D,MAAM,EAAE,SAAS;oBACjB,SAAS,EAAE,CAAC;oBACZ,cAAc,EAAE,KAAK;iBACtB,CAAC,CAAC;gBACH,OAAO,EAAE,MAAM,EAAE,MAAM,EAAE,IAAI,EAAE,QAAQ,EAAE,KAAK,EAAE,CAAC;YACnD,CAAC;YAED,MAAM,GAAG,GAAsB;gBAC7B,QAAQ;gBACR,MAAM,EAAE,GAAG,EAAE,QAAQ,IAAI,IAAI;gBAC7B,cAAc,EAAE,CAAC,CAAC,GAAG,CAAC,EAAE,EAAE;oBACxB,SAAS,IAAI,CAAC,CAAC;gBACjB,CAAC;gBACD,eAAe,EAAE,CAAC,QAAgB,EAAE,EAAE;oBACpC,UAAU,GAAG,QAAQ,CAAC;gBACxB,CAAC;aACF,CAAC;YAEF,MAAM,MAAM,GAAG,MAAM,OAAO,CAAC,EAAE,EAAE,GAAG,CAAC,CAAC;YAEtC,IAAI,UAAU,KAAK,IAAI,EAAE,CAAC;gBACxB,MAAM,EAAE,CAAA;;oBAEI,IAAA,eAAM,GAAE,KAAK,QAAQ,KAAK,GAAG,CAAC,IAAI,KAAK,UAAU;oBACjD,QAAQ,CAAC,eAAe,IAAI,4BAAoB;;;;;SAK3D,CAAC;YACJ,CAAC;YAED,MAAM,MAAM,GAAG,MAAM,YAAY,CAAC,EAAE,EAAE,QAAQ,EAAE,GAAG,EAAE,QAAQ,EAAE;gBAC7D,MAAM,EAAE,WAAW;gBACnB,SAAS;gBACT,cAAc,EAAE,UAAU,KAAK,IAAI;aACpC,CAAC,CAAC;YACH,OAAO,EAAE,MAAM,EAAE,MAAM,EAAE,QAAQ,EAAE,CAAC;QACtC,CAAC,CAAC,CAAC;IACL,CAAC;IAAC,OAAO,GAAG,EAAE,CAAC;QACb,yEAAyE;QACzE,0EAA0E;QAC1E,0EAA0E;QAC1E,EAAE;QACF,0EAA0E;QAC1E,sEAAsE;QACtE,uDAAuD;QACvD,IAAI,MAAoB,CAAC;QACzB,IAAI,CAAC;YACH,MAAM,GAAG,MAAM,IAAA,wBAAW,EAAC,EAAE,EAAE,EAAE,QAAQ,EAAE,EAAE,CAAC,EAAE,EAAE,EAAE,CAClD,YAAY,CACV,EAAE,EACF,QAAQ,EACR,GAAG,EACH,EAAE,GAAG,QAAQ,EAAE,MAAM,EAAE,eAAe,CAAC,GAAG,CAAC,EAAE,EAC7C,EAAE,MAAM,EAAE,QAAQ,EAAE,SAAS,EAAE,CAAC,EAAE,cAAc,EAAE,KAAK,EAAE,CAC1D,CACF,CAAC;QACJ,CAAC;QAAC,MAAM,CAAC;YACP,MAAM,GAAG,CAAC;QACZ,CAAC;QACD,OAAO,EAAE,MAAM,EAAE,MAAM,EAAE,IAAI,EAAE,QAAQ,EAAE,CAAC;IAC5C,CAAC;AACH,CAAC;AAED,yEAAyE;AACzE,SAAS,eAAe,CAAC,GAAY;IACnC,MAAM,IAAI,GAAI,GAAgC,EAAE,IAAI,CAAC;IACrD,MAAM,IAAI,GAAG,GAAG,YAAY,KAAK,CAAC,CAAC,CAAC,GAAG,CAAC,IAAI,CAAC,CAAC,CAAC,MAAM,CAAC;IACtD,OAAO,IAAI,CAAC,CAAC,CAAC,GAAG,IAAI,cAAc,IAAI,GAAG,CAAC,CAAC,CAAC,IAAI,CAAC;AACpD,CAAC;AAED;;;;;;;;;GASG;AACI,KAAK,UAAU,YAAY,CAChC,EAAM,EACN,QAAgB,EAChB,GAAkB,EAClB,QAAqB,EACrB,OAIC;IAED,MAAM,EAAE,GAAG,IAAA,eAAM,GAAE,CAAC;IACpB,MAAM,EAAE,CAAA;;;;;;QAMF,EAAE,KAAK,QAAQ,KAAK,GAAG,CAAC,IAAI,KAAK,GAAG,CAAC,OAAO,KAAK,QAAQ,CAAC,SAAS,KAAK,OAAO,CAAC,MAAM;QACtF,QAAQ,CAAC,eAAe,KAAK,CAAC,GAAG,GAAG,CAAC,QAAQ,CAAC,KAAK,CAAC,GAAG,QAAQ,CAAC,QAAQ,CAAC;QACzE,CAAC,GAAG,QAAQ,CAAC,OAAO,CAAC,KAAK,OAAO,CAAC,SAAS,KAAK,OAAO,CAAC,cAAc;QACtE,QAAQ,CAAC,MAAM;;GAEpB,CAAC;IACF,OAAO;QACL,EAAE;QACF,SAAS,EAAE,QAAQ,CAAC,SAAS;QAC7B,MAAM,EAAE,OAAO,CAAC,MAAM;QACtB,SAAS,EAAE,OAAO,CAAC,SAAS;QAC5B,cAAc,EAAE,OAAO,CAAC,cAAc;QACtC,MAAM,EAAE,QAAQ,CAAC,MAAM;KACxB,CAAC;AACJ,CAAC;AAED;;;;;;;;;;;;;;;GAeG;AACI,KAAK,UAAU,sBAAsB,CAC1C,EAAM,EACN,QAAgB,EAChB,GAAkB,EAClB,QAAqB,EACrB,OAIC;IAED,IAAI,CAAC;QACH,MAAM,IAAA,wBAAW,EAAC,EAAE,EAAE,EAAE,QAAQ,EAAE,EAAE,CAAC,EAAE,EAAE,EAAE,CAAC,YAAY,CAAC,EAAE,EAAE,QAAQ,EAAE,GAAG,EAAE,QAAQ,EAAE,OAAO,CAAC,CAAC,CAAC;QAChG,OAAO,IAAI,CAAC;IACd,CAAC;IAAC,OAAO,GAAG,EAAE,CAAC;QACb,MAAM,IAAI,GAAI,GAAgC,EAAE,IAAI,CAAC;QACrD,IAAI,IAAI,IAAI,oBAAoB,CAAC,GAAG,CAAC,IAAI,CAAC;YAAE,OAAO,KAAK,CAAC;QACzD,MAAM,GAAG,CAAC;IACZ,CAAC;AACH,CAAC;AAED;;;;;GAKG;AACU,QAAA,oBAAoB,GAAkB;IACjD,IAAI,EAAE,kBAAkB;IACxB,OAAO,EAAE,CAAC;IACV,QAAQ,EAAE,CAAC,4BAA4B,CAAC;IACxC,kBAAkB,EAAE,CAAC;CACtB,CAAC;AAEW,QAAA,gBAAgB,GAAkB;IAC7C,IAAI,EAAE,oBAAoB;IAC1B,OAAO,EAAE,CAAC;IACV,QAAQ,EAAE,CAAC,8BAA8B,CAAC;IAC1C,kBAAkB,EAAE,CAAC;CACtB,CAAC;AAEF;;;;;;;;;;;;GAYG;AACU,QAAA,eAAe,GAAkB;IAC5C,IAAI,EAAE,aAAa;IACnB,kFAAkF;IAClF,gFAAgF;IAChF,4EAA4E;IAC5E,2EAA2E;IAC3E,2DAA2D;IAC3D,OAAO,EAAE,CAAC;IACV,8EAA8E;IAC9E,8EAA8E;IAC9E,0EAA0E;IAC1E,0EAA0E;IAC1E,6EAA6E;IAC7E,+DAA+D;IAC/D,QAAQ,EAAE;QACR,4BAA4B;QAC5B,8BAA8B;QAC9B,mCAAmC;KACpC;IACD,kBAAkB,EAAE,CAAC;CACtB,CAAC;AAEW,QAAA,UAAU,GAA6B;IAClD,4BAAoB;IACpB,wBAAgB;IAChB,uBAAe;CAChB,CAAC"}

package/dist/cjs/portal/provisioning.js

@@ -0,0 +1,144 @@
+"use strict";
+Object.defineProperty(exports, "__esModule", { value: true });
+exports.invitePortalUser = invitePortalUser;
+exports.listPortalUsers = listPortalUsers;
+exports.revokePortalAccess = revokePortalAccess;
+const shared_1 = require("@baruk/shared");
+const audit_js_1 = require("../audit/audit.js");
+const password_reset_js_1 = require("../auth/password-reset.js");
+const repository_js_1 = require("../users/repository.js");
+const PORTAL_ROLE_KEY = 'client_titular';
+async function invitePortalUser(tx, input) {
+    const tenantId = await currentTenantId(tx);
+    // O cliente precisa existir NESTE tenant. A RLS já garantiria, mas uma
+    // mensagem clara vale mais que um erro de FK.
+    const client = await tx `
+    SELECT id FROM client WHERE id = ${input.clientId} AND deleted_at IS NULL
+  `;
+    if (!client[0])
+        throw new shared_1.NotFoundError('Cliente não encontrado');
+    const existing = await tx `
+    SELECT id, full_name, user_type, status FROM "user"
+     WHERE email = ${input.email} AND deleted_at IS NULL
+  `;
+    let userId;
+    let fullName;
+    let isNewUser;
+    // Reconvidar quem ainda não ativou precisa emitir um token novo. Sem isto o
+    // usuário fica preso: o primeiro convite não chegou (ou expirou) e nenhum
+    // reenvio produz link, porque só o cadastro inicial emitia token.
+    let isPendingActivation = false;
+    if (existing[0]) {
+        // Um e-mail de staff não vira acesso de portal por convite. Os dois tipos
+        // têm superfícies e escopos distintos, e converter silenciosamente daria a
+        // um colaborador do escritório uma sessão de cliente.
+        if (existing[0].user_type !== 'client_portal') {
+            throw new shared_1.ConflictError('Este e-mail já pertence a um usuário interno. Use um e-mail diferente para o acesso do cliente.');
+        }
+        userId = existing[0].id;
+        fullName = existing[0].full_name;
+        isNewUser = false;
+        // Só quem ainda não ativou recebe token novo. Emitir para um usuário já
+        // ativo transformaria o convite em redefinição de senha à revelia do
+        // cliente — quem convida não pode provocar isso.
+        isPendingActivation = existing[0].status === 'invited';
+    }
+    else {
+        userId = (0, shared_1.uuidv7)();
+        fullName = input.fullName;
+        isNewUser = true;
+        await tx `
+      INSERT INTO "user" (id, email, full_name, user_type, status, auth_provider)
+      VALUES (${userId}, ${input.email}, ${input.fullName}, 'client_portal', 'invited', 'password')
+    `;
+    }
+    // Membership no tenant — sem ela o usuário não resolve tenant no login.
+    const membership = await tx `
+    SELECT id FROM membership
+     WHERE user_id = ${userId} AND tenant_id = ${tenantId} AND deleted_at IS NULL
+  `;
+    if (!membership[0]) {
+        await tx `
+      INSERT INTO membership (id, tenant_id, user_id, status, invited_by)
+      VALUES (${(0, shared_1.uuidv7)()}, ${tenantId}, ${userId}, 'invited', ${input.invitedBy})
+    `;
+        await (0, repository_js_1.setUserRole)(tx, userId, PORTAL_ROLE_KEY);
+    }
+    // O vínculo com o cliente. Idempotente: reconvidar não duplica.
+    const access = await tx `
+    INSERT INTO client_portal_access (id, tenant_id, user_id, client_id, status)
+    VALUES (${(0, shared_1.uuidv7)()}, ${tenantId}, ${userId}, ${input.clientId}, 'active')
+    ON CONFLICT (tenant_id, user_id, client_id) DO UPDATE SET status = 'active'
+    RETURNING id
+  `;
+    let activationToken = null;
+    if (isNewUser || isPendingActivation) {
+        const activation = await (0, password_reset_js_1.createActivationToken)(tx, { userId, tenantId });
+        activationToken = activation.token;
+    }
+    await (0, audit_js_1.appendAudit)(tx, {
+        actorId: input.invitedBy,
+        action: 'portal_user_invited',
+        resourceType: 'client_portal_access',
+        resourceId: access[0].id,
+        // O token nunca entra na auditoria, nem em metadata: o registro é lido por
+        // gente que não deve poder assumir a conta do cliente.
+        metadata: { email: input.email, clientId: input.clientId, isNewUser, isPendingActivation },
+    });
+    return {
+        userId,
+        email: input.email,
+        fullName,
+        clientId: input.clientId,
+        activationToken,
+        alreadyHadAccess: !isNewUser && membership.length > 0,
+        isReinvite: isPendingActivation,
+    };
+}
+async function listPortalUsers(tx, clientId) {
+    const rows = await tx `
+    SELECT u.id AS user_id, u.email, u.full_name, u.status,
+           cpa.status AS access_status, u.last_login_at
+      FROM client_portal_access cpa
+      JOIN "user" u ON u.id = cpa.user_id
+     WHERE cpa.client_id = ${clientId} AND u.deleted_at IS NULL
+     ORDER BY u.full_name
+  `;
+    return rows.map((r) => ({
+        userId: r.user_id,
+        email: r.email,
+        fullName: r.full_name,
+        status: r.status,
+        accessStatus: r.access_status,
+        lastLoginAt: r.last_login_at ? r.last_login_at.toISOString() : null,
+    }));
+}
+/**
+ * Revoga o acesso. Não apaga o usuário nem a trilha: quem enviou um documento
+ * continua identificável depois de perder o acesso — é justamente isso que
+ * torna a prova utilizável meses depois.
+ */
+async function revokePortalAccess(tx, input) {
+    const rows = await tx `
+    UPDATE client_portal_access
+       SET status = 'revoked'
+     WHERE client_id = ${input.clientId} AND user_id = ${input.userId} AND status = 'active'
+    RETURNING id
+  `;
+    if (!rows[0])
+        throw new shared_1.NotFoundError('Acesso ativo não encontrado');
+    await (0, audit_js_1.appendAudit)(tx, {
+        actorId: input.revokedBy,
+        action: 'portal_access_revoked',
+        resourceType: 'client_portal_access',
+        resourceId: rows[0].id,
+        metadata: { clientId: input.clientId, userId: input.userId },
+    });
+}
+async function currentTenantId(tx) {
+    const rows = await tx `
+    SELECT current_setting('app.current_tenant')::uuid AS tenant_id
+  `;
+    return rows[0].tenant_id;
+}
+//# sourceMappingURL=provisioning.js.map

package/dist/cjs/portal/provisioning.js.map

@@ -0,0 +1 @@
+{"version":3,"file":"provisioning.js","sourceRoot":"","sources":["../../../src/portal/provisioning.ts"],"names":[],"mappings":";;AA+CA,4CAkGC;AAWD,0CA0BC;AAOD,gDAmBC;AAhND,0CAAqE;AAErE,gDAAgD;AAChD,iEAAkE;AAClE,0DAAqD;AAyCrD,MAAM,eAAe,GAAG,gBAAgB,CAAC;AAElC,KAAK,UAAU,gBAAgB,CACpC,EAAM,EACN,KAA4B;IAE5B,MAAM,QAAQ,GAAG,MAAM,eAAe,CAAC,EAAE,CAAC,CAAC;IAE3C,uEAAuE;IACvE,8CAA8C;IAC9C,MAAM,MAAM,GAAG,MAAM,EAAE,CAAkB;uCACJ,KAAK,CAAC,QAAQ;GAClD,CAAC;IACF,IAAI,CAAC,MAAM,CAAC,CAAC,CAAC;QAAE,MAAM,IAAI,sBAAa,CAAC,wBAAwB,CAAC,CAAC;IAElE,MAAM,QAAQ,GAAG,MAAM,EAAE,CAAwE;;qBAE9E,KAAK,CAAC,KAAK;GAC7B,CAAC;IAEF,IAAI,MAAc,CAAC;IACnB,IAAI,QAAgB,CAAC;IACrB,IAAI,SAAkB,CAAC;IACvB,4EAA4E;IAC5E,0EAA0E;IAC1E,kEAAkE;IAClE,IAAI,mBAAmB,GAAG,KAAK,CAAC;IAEhC,IAAI,QAAQ,CAAC,CAAC,CAAC,EAAE,CAAC;QAChB,0EAA0E;QAC1E,2EAA2E;QAC3E,sDAAsD;QACtD,IAAI,QAAQ,CAAC,CAAC,CAAC,CAAC,SAAS,KAAK,eAAe,EAAE,CAAC;YAC9C,MAAM,IAAI,sBAAa,CACrB,iGAAiG,CAClG,CAAC;QACJ,CAAC;QACD,MAAM,GAAG,QAAQ,CAAC,CAAC,CAAC,CAAC,EAAE,CAAC;QACxB,QAAQ,GAAG,QAAQ,CAAC,CAAC,CAAC,CAAC,SAAS,CAAC;QACjC,SAAS,GAAG,KAAK,CAAC;QAClB,wEAAwE;QACxE,qEAAqE;QACrE,iDAAiD;QACjD,mBAAmB,GAAG,QAAQ,CAAC,CAAC,CAAC,CAAC,MAAM,KAAK,SAAS,CAAC;IACzD,CAAC;SAAM,CAAC;QACN,MAAM,GAAG,IAAA,eAAM,GAAE,CAAC;QAClB,QAAQ,GAAG,KAAK,CAAC,QAAQ,CAAC;QAC1B,SAAS,GAAG,IAAI,CAAC;QACjB,MAAM,EAAE,CAAA;;gBAEI,MAAM,KAAK,KAAK,CAAC,KAAK,KAAK,KAAK,CAAC,QAAQ;KACpD,CAAC;IACJ,CAAC;IAED,wEAAwE;IACxE,MAAM,UAAU,GAAG,MAAM,EAAE,CAAkB;;uBAExB,MAAM,oBAAoB,QAAQ;GACtD,CAAC;IACF,IAAI,CAAC,UAAU,CAAC,CAAC,CAAC,EAAE,CAAC;QACnB,MAAM,EAAE,CAAA;;gBAEI,IAAA,eAAM,GAAE,KAAK,QAAQ,KAAK,MAAM,gBAAgB,KAAK,CAAC,SAAS;KAC1E,CAAC;QACF,MAAM,IAAA,2BAAW,EAAC,EAAE,EAAE,MAAM,EAAE,eAAe,CAAC,CAAC;IACjD,CAAC;IAED,gEAAgE;IAChE,MAAM,MAAM,GAAG,MAAM,EAAE,CAAkB;;cAE7B,IAAA,eAAM,GAAE,KAAK,QAAQ,KAAK,MAAM,KAAK,KAAK,CAAC,QAAQ;;;GAG9D,CAAC;IAEF,IAAI,eAAe,GAAkB,IAAI,CAAC;IAC1C,IAAI,SAAS,IAAI,mBAAmB,EAAE,CAAC;QACrC,MAAM,UAAU,GAAG,MAAM,IAAA,yCAAqB,EAAC,EAAE,EAAE,EAAE,MAAM,EAAE,QAAQ,EAAE,CAAC,CAAC;QACzE,eAAe,GAAG,UAAU,CAAC,KAAK,CAAC;IACrC,CAAC;IAED,MAAM,IAAA,sBAAW,EAAC,EAAE,EAAE;QACpB,OAAO,EAAE,KAAK,CAAC,SAAS;QACxB,MAAM,EAAE,qBAAqB;QAC7B,YAAY,EAAE,sBAAsB;QACpC,UAAU,EAAE,MAAM,CAAC,CAAC,CAAE,CAAC,EAAE;QACzB,2EAA2E;QAC3E,uDAAuD;QACvD,QAAQ,EAAE,EAAE,KAAK,EAAE,KAAK,CAAC,KAAK,EAAE,QAAQ,EAAE,KAAK,CAAC,QAAQ,EAAE,SAAS,EAAE,mBAAmB,EAAE;KAC3F,CAAC,CAAC;IAEH,OAAO;QACL,MAAM;QACN,KAAK,EAAE,KAAK,CAAC,KAAK;QAClB,QAAQ;QACR,QAAQ,EAAE,KAAK,CAAC,QAAQ;QACxB,eAAe;QACf,gBAAgB,EAAE,CAAC,SAAS,IAAI,UAAU,CAAC,MAAM,GAAG,CAAC;QACrD,UAAU,EAAE,mBAAmB;KAChC,CAAC;AACJ,CAAC;AAWM,KAAK,UAAU,eAAe,CAAC,EAAM,EAAE,QAAgB;IAC5D,MAAM,IAAI,GAAG,MAAM,EAAE,CASpB;;;;;6BAK0B,QAAQ;;GAElC,CAAC;IACF,OAAO,IAAI,CAAC,GAAG,CAAC,CAAC,CAAC,EAAE,EAAE,CAAC,CAAC;QACtB,MAAM,EAAE,CAAC,CAAC,OAAO;QACjB,KAAK,EAAE,CAAC,CAAC,KAAK;QACd,QAAQ,EAAE,CAAC,CAAC,SAAS;QACrB,MAAM,EAAE,CAAC,CAAC,MAAM;QAChB,YAAY,EAAE,CAAC,CAAC,aAAa;QAC7B,WAAW,EAAE,CAAC,CAAC,aAAa,CAAC,CAAC,CAAC,CAAC,CAAC,aAAa,CAAC,WAAW,EAAE,CAAC,CAAC,CAAC,IAAI;KACpE,CAAC,CAAC,CAAC;AACN,CAAC;AAED;;;;GAIG;AACI,KAAK,UAAU,kBAAkB,CACtC,EAAM,EACN,KAA8D;IAE9D,MAAM,IAAI,GAAG,MAAM,EAAE,CAAkB;;;yBAGhB,KAAK,CAAC,QAAQ,kBAAkB,KAAK,CAAC,MAAM;;GAElE,CAAC;IACF,IAAI,CAAC,IAAI,CAAC,CAAC,CAAC;QAAE,MAAM,IAAI,sBAAa,CAAC,6BAA6B,CAAC,CAAC;IAErE,MAAM,IAAA,sBAAW,EAAC,EAAE,EAAE;QACpB,OAAO,EAAE,KAAK,CAAC,SAAS;QACxB,MAAM,EAAE,uBAAuB;QAC/B,YAAY,EAAE,sBAAsB;QACpC,UAAU,EAAE,IAAI,CAAC,CAAC,CAAC,CAAC,EAAE;QACtB,QAAQ,EAAE,EAAE,QAAQ,EAAE,KAAK,CAAC,QAAQ,EAAE,MAAM,EAAE,KAAK,CAAC,MAAM,EAAE;KAC7D,CAAC,CAAC;AACL,CAAC;AAED,KAAK,UAAU,eAAe,CAAC,EAAM;IACnC,MAAM,IAAI,GAAG,MAAM,EAAE,CAAyB;;GAE7C,CAAC;IACF,OAAO,IAAI,CAAC,CAAC,CAAE,CAAC,SAAS,CAAC;AAC5B,CAAC"}

package/dist/cjs/pricing-engine/canonical.js

@@ -0,0 +1,42 @@
+"use strict";
+/**
+ * Serialização canônica (RFC-CAPABILITY-PRICING-ENGINE-001 §22.1 F2) — usada
+ * exclusivamente para compor o `fingerprint`/`quoteId` (nunca para persistir
+ * ou transportar dados). `JSON.stringify` cru depende da ordem de inserção
+ * das chaves do objeto — dois `PricingRequest` economicamente idênticos, mas
+ * construídos com `addonQuantities`/Records em ordem de chave diferente,
+ * produziam hashes diferentes antes deste módulo (achado do Design Review,
+ * §22.1). `canonicalize` ordena chaves recursivamente em qualquer nível de
+ * objeto/Record/Map aninhado — arrays preservam ordem (a ordem de array é
+ * semanticamente relevante quando existe; coleções sem ordem própria, como
+ * `bundleRules`, são pré-ordenadas pelo chamador antes de chegar aqui).
+ */
+Object.defineProperty(exports, "__esModule", { value: true });
+exports.canonicalStringify = canonicalStringify;
+function canonicalize(value) {
+    if (value instanceof Map) {
+        const entries = Array.from(value.entries())
+            .map(([k, v]) => [String(k), canonicalize(v)])
+            .sort((a, b) => (a[0] < b[0] ? -1 : a[0] > b[0] ? 1 : 0));
+        const record = {};
+        for (const [k, v] of entries)
+            record[k] = v;
+        return record;
+    }
+    if (Array.isArray(value)) {
+        return value.map(canonicalize);
+    }
+    if (value !== null && typeof value === 'object') {
+        const record = value;
+        const result = {};
+        for (const key of Object.keys(record).sort()) {
+            result[key] = canonicalize(record[key]);
+        }
+        return result;
+    }
+    return value;
+}
+function canonicalStringify(value) {
+    return JSON.stringify(canonicalize(value));
+}
+//# sourceMappingURL=canonical.js.map

package/dist/cjs/pricing-engine/canonical.js.map

@@ -0,0 +1 @@
+{"version":3,"file":"canonical.js","sourceRoot":"","sources":["../../../src/pricing-engine/canonical.ts"],"names":[],"mappings":";AAAA;;;;;;;;;;;GAWG;;AAyBH,gDAEC;AAzBD,SAAS,YAAY,CAAC,KAAc;IAClC,IAAI,KAAK,YAAY,GAAG,EAAE,CAAC;QACzB,MAAM,OAAO,GAAG,KAAK,CAAC,IAAI,CAAC,KAAK,CAAC,OAAO,EAAE,CAAC;aACxC,GAAG,CAAC,CAAC,CAAC,CAAC,EAAE,CAAC,CAAC,EAAE,EAAE,CAAC,CAAC,MAAM,CAAC,CAAC,CAAC,EAAE,YAAY,CAAC,CAAC,CAAC,CAAU,CAAC;aACtD,IAAI,CAAC,CAAC,CAAC,EAAE,CAAC,EAAE,EAAE,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,GAAG,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,GAAG,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC;QAC5D,MAAM,MAAM,GAA4B,EAAE,CAAC;QAC3C,KAAK,MAAM,CAAC,CAAC,EAAE,CAAC,CAAC,IAAI,OAAO;YAAE,MAAM,CAAC,CAAC,CAAC,GAAG,CAAC,CAAC;QAC5C,OAAO,MAAM,CAAC;IAChB,CAAC;IACD,IAAI,KAAK,CAAC,OAAO,CAAC,KAAK,CAAC,EAAE,CAAC;QACzB,OAAO,KAAK,CAAC,GAAG,CAAC,YAAY,CAAC,CAAC;IACjC,CAAC;IACD,IAAI,KAAK,KAAK,IAAI,IAAI,OAAO,KAAK,KAAK,QAAQ,EAAE,CAAC;QAChD,MAAM,MAAM,GAAG,KAAgC,CAAC;QAChD,MAAM,MAAM,GAA4B,EAAE,CAAC;QAC3C,KAAK,MAAM,GAAG,IAAI,MAAM,CAAC,IAAI,CAAC,MAAM,CAAC,CAAC,IAAI,EAAE,EAAE,CAAC;YAC7C,MAAM,CAAC,GAAG,CAAC,GAAG,YAAY,CAAC,MAAM,CAAC,GAAG,CAAC,CAAC,CAAC;QAC1C,CAAC;QACD,OAAO,MAAM,CAAC;IAChB,CAAC;IACD,OAAO,KAAK,CAAC;AACf,CAAC;AAED,SAAgB,kBAAkB,CAAC,KAAc;IAC/C,OAAO,IAAI,CAAC,SAAS,CAAC,YAAY,CAAC,KAAK,CAAC,CAAC,CAAC;AAC7C,CAAC"}

package/dist/cjs/pricing-engine/errors.js

@@ -41,7 +41,12 @@ class PricingEngineError extends Error {
         this.ruleIds = ruleIds;
     }
     toJSON() {
-        return { code: this.code, errorClass: this.errorClass, message: this.message, ruleIds: this.ruleIds };
+        return {
+            code: this.code,
+            errorClass: this.errorClass,
+            message: this.message,
+            ruleIds: this.ruleIds,
+        };
     }
 }
 exports.PricingEngineError = PricingEngineError;

package/dist/cjs/pricing-engine/errors.js.map

@@ -1 +1 @@
-{"version":3,"file":"errors.js","sourceRoot":"","sources":["../../../src/pricing-engine/errors.ts"],"names":[],"mappings":";AAAA;;;;;;;;GAQG;;;AA6BH,MAAM,WAAW,GAAgD;IAC/D,2BAA2B,EAAE,eAAe;IAC5C,iBAAiB,EAAE,YAAY;IAC/B,kBAAkB,EAAE,YAAY;IAChC,mBAAmB,EAAE,WAAW;IAChC,mBAAmB,EAAE,UAAU;IAC/B,gBAAgB,EAAE,eAAe;IACjC,uBAAuB,EAAE,WAAW;IACpC,gBAAgB,EAAE,YAAY;IAC9B,gBAAgB,EAAE,sBAAsB;IACxC,qBAAqB,EAAE,YAAY;IACnC,mBAAmB,EAAE,UAAU;IAC/B,mBAAmB,EAAE,YAAY;IACjC,6BAA6B,EAAE,eAAe;IAC9C,oBAAoB,EAAE,eAAe;IACrC,qBAAqB,EAAE,WAAW;IAClC,wBAAwB,EAAE,YAAY;CACvC,CAAC;AAEF,MAAa,kBAAmB,SAAQ,KAAK;IAClC,IAAI,CAAmB;IACvB,UAAU,CAAoB;IACvC,2EAA2E;IAClE,OAAO,CAAW;IAE3B,YAAY,IAAsB,EAAE,OAAe,EAAE,UAAoB,EAAE;QACzE,KAAK,CAAC,OAAO,CAAC,CAAC;QACf,IAAI,CAAC,IAAI,GAAG,oBAAoB,CAAC;QACjC,IAAI,CAAC,IAAI,GAAG,IAAI,CAAC;QACjB,IAAI,CAAC,UAAU,GAAG,WAAW,CAAC,IAAI,CAAC,CAAC;QACpC,IAAI,CAAC,OAAO,GAAG,OAAO,CAAC;IACzB,CAAC;IAED,MAAM;QACJ,OAAO,EAAE,IAAI,EAAE,IAAI,CAAC,IAAI,EAAE,UAAU,EAAE,IAAI,CAAC,UAAU,EAAE,OAAO,EAAE,IAAI,CAAC,OAAO,EAAE,OAAO,EAAE,IAAI,CAAC,OAAO,EAAE,CAAC;IACxG,CAAC;CACF;AAjBD,gDAiBC"}
+{"version":3,"file":"errors.js","sourceRoot":"","sources":["../../../src/pricing-engine/errors.ts"],"names":[],"mappings":";AAAA;;;;;;;;GAQG;;;AA8BH,MAAM,WAAW,GAAgD;IAC/D,2BAA2B,EAAE,eAAe;IAC5C,iBAAiB,EAAE,YAAY;IAC/B,kBAAkB,EAAE,YAAY;IAChC,mBAAmB,EAAE,WAAW;IAChC,mBAAmB,EAAE,UAAU;IAC/B,gBAAgB,EAAE,eAAe;IACjC,uBAAuB,EAAE,WAAW;IACpC,gBAAgB,EAAE,YAAY;IAC9B,gBAAgB,EAAE,sBAAsB;IACxC,qBAAqB,EAAE,YAAY;IACnC,mBAAmB,EAAE,UAAU;IAC/B,mBAAmB,EAAE,YAAY;IACjC,6BAA6B,EAAE,eAAe;IAC9C,oBAAoB,EAAE,eAAe;IACrC,qBAAqB,EAAE,WAAW;IAClC,wBAAwB,EAAE,YAAY;CACvC,CAAC;AAEF,MAAa,kBAAmB,SAAQ,KAAK;IAClC,IAAI,CAAmB;IACvB,UAAU,CAAoB;IACvC,2EAA2E;IAClE,OAAO,CAAW;IAE3B,YAAY,IAAsB,EAAE,OAAe,EAAE,UAAoB,EAAE;QACzE,KAAK,CAAC,OAAO,CAAC,CAAC;QACf,IAAI,CAAC,IAAI,GAAG,oBAAoB,CAAC;QACjC,IAAI,CAAC,IAAI,GAAG,IAAI,CAAC;QACjB,IAAI,CAAC,UAAU,GAAG,WAAW,CAAC,IAAI,CAAC,CAAC;QACpC,IAAI,CAAC,OAAO,GAAG,OAAO,CAAC;IACzB,CAAC;IAED,MAAM;QAMJ,OAAO;YACL,IAAI,EAAE,IAAI,CAAC,IAAI;YACf,UAAU,EAAE,IAAI,CAAC,UAAU;YAC3B,OAAO,EAAE,IAAI,CAAC,OAAO;YACrB,OAAO,EAAE,IAAI,CAAC,OAAO;SACtB,CAAC;IACJ,CAAC;CACF;AA3BD,gDA2BC"}