@baruk/core 0.3.1 → 0.5.0

package/dist/db/migrate.js

@@ -3,15 +3,17 @@
  *
  * Aplica arquivos `.sql` numerados em ordem (core + verticais), registrando cada
  * um em `_migration` com checksum. Roda com o papel OWNER (DATABASE_URL). Antes
- * das migrations, garante o papel de aplicação `baruk_app` (NOSUPERUSER,
- * NOBYPASSRLS) e, ao final, concede os privilégios de DML a ele.
+ * das migrations, cria o papel de aplicação `baruk_app` quando ausente
+ * (NOSUPERUSER, NOBYPASSRLS), sem reconfigurar uma credencial de runtime já
+ * existente; ao final, aplica least privilege (allowlist do Office + contenção
+ * do que não é do Office). Ver docs/architecture/18-database-grant-policy.md.
  *
  * Uso: `pnpm db:migrate`  (ou `tsx src/db/migrate.ts`)
  */
 import { createHash } from 'node:crypto';
 import { readdirSync, readFileSync, existsSync } from 'node:fs';
 import { dirname, join, resolve } from 'node:path';
-import { fileURLToPath } from 'node:url';
+import { fileURLToPath, pathToFileURL } from 'node:url';
 import { createDb } from './client.js';
 import { loadEnv } from './load-env.js';
 const __dirname = dirname(fileURLToPath(import.meta.url));
@@ -52,6 +54,177 @@ function collectMigrations() {
     // Ordena por nome (prefixos numéricos zero-padded garantem ordem correta).
     return all.sort((a, b) => a.name.localeCompare(b.name, 'en'));
 }
+/**
+ * Extrai os nomes de tabela criados pelas migrations do Office.
+ *
+ * Esta é a ALLOWLIST de privilégio do runtime. Ela nasce da mesma fonte que cria
+ * as tabelas — o próprio SQL das migrations — e não de um manifesto paralelo, que
+ * alguém esqueceria de atualizar ao criar a tabela seguinte.
+ *
+ * Por que existe: até 0044 o runner concedia `ON ALL TABLES IN SCHEMA public`.
+ * Em um banco onde o schema do Office coabita com o de outro produto — o caso do
+ * `neondb` em produção, que carrega 187 tabelas de um schema Prisma anterior —
+ * "ALL TABLES" entrega ao papel de runtime do Office SELECT/INSERT/UPDATE/DELETE
+ * sobre dados que não são dele. O escopo do GRANT tem de ser o schema que este
+ * repositório cria, não o schema que este banco por acaso contém.
+ */
+export function officeTablesFromSql(sqls) {
+    const found = new Set();
+    // `CREATE TABLE [IF NOT EXISTS] [public.]["]nome["]` — cobre as duas formas em
+    // uso (`CREATE TABLE client`, `CREATE TABLE IF NOT EXISTS channel_route`) e a
+    // única com aspas (`CREATE TABLE "user"`).
+    const create = /CREATE\s+TABLE\s+(?:IF\s+NOT\s+EXISTS\s+)?(?:public\s*\.\s*)?"?([A-Za-z_][A-Za-z0-9_]*)"?/gi;
+    // `DROP TABLE [IF EXISTS] [public.]["]nome["]`.
+    //
+    // Faltava, e a ausência era um defeito de mão única: a allowlist só CRESCIA.
+    // Uma migration que removesse uma tabela deixava o nome aqui para sempre, e o
+    // `GRANT ... ON <lista>` seguinte falhava com "relation does not exist" —
+    // quebrando todo `pnpm db:migrate` posterior, inclusive em produção, por uma
+    // tabela que ninguém mais tem. Descoberto ao remover `client_fiscal_credential`
+    // na 0056.
+    //
+    // A ordem das migrations é a ordem do array, então processar create e drop na
+    // sequência reproduz o estado final: criar, remover e recriar termina criada.
+    const drop = /DROP\s+TABLE\s+(?:IF\s+EXISTS\s+)?(?:public\s*\.\s*)?"?([A-Za-z_][A-Za-z0-9_]*)"?/gi;
+    for (const sql of sqls) {
+        // Um único varrimento por arquivo, respeitando a posição de cada comando:
+        // dentro do MESMO arquivo, um DROP antes de um CREATE não pode apagar a
+        // criação que vem depois.
+        const events = [];
+        for (const m of sql.matchAll(create)) {
+            if (m[1])
+                events.push({ at: m.index ?? 0, name: m[1].toLowerCase(), kind: 'create' });
+        }
+        for (const m of sql.matchAll(drop)) {
+            if (m[1])
+                events.push({ at: m.index ?? 0, name: m[1].toLowerCase(), kind: 'drop' });
+        }
+        events.sort((a, b) => a.at - b.at);
+        for (const e of events) {
+            if (e.kind === 'create')
+                found.add(e.name);
+            else
+                found.delete(e.name);
+        }
+    }
+    // `_migration` é do runner, não de um arquivo de migration.
+    found.add('_migration');
+    return [...found].sort();
+}
+/** Aspas duplas em identificador SQL (nomes vêm de arquivo versionado, nunca de input). */
+function quoteIdent(name) {
+    return `"${name.replace(/"/g, '""')}"`;
+}
+/**
+ * Aplica least privilege ao papel de runtime.
+ *
+ * Concede DML nas tabelas do Office, revoga em tudo o que não é do Office, e
+ * remove o DEFAULT PRIVILEGES que faria a próxima tabela criada no schema nascer
+ * alcançável. Idempotente: em banco limpo não há estrangeiras e a função é um
+ * no-op além do GRANT.
+ *
+ * Recebe a allowlist em vez de descobri-la para que o teste possa exercitar a
+ * contenção sem depender do conteúdo real das migrations.
+ */
+export async function enforceRuntimeLeastPrivilege(sql, officeTables) {
+    const officeList = officeTables.map(quoteIdent).join(', ');
+    await sql.unsafe(`
+    GRANT USAGE ON SCHEMA public TO baruk_app;
+    GRANT SELECT, INSERT, UPDATE, DELETE ON ${officeList} TO baruk_app;
+    GRANT USAGE, SELECT ON ALL SEQUENCES IN SCHEMA public TO baruk_app;
+  `);
+    // O GRANT acima é amplo por desenho — ele cobre toda tabela do Office. O
+    // hardening por tabela tem de vir NA MESMA função, senão qualquer chamador
+    // que aplique só o GRANT devolve ao runtime privilégios que migrations
+    // anteriores revogaram de propósito. Estado final aqui, não em duas etapas.
+    await sql.unsafe(`
+    -- Append-only: app não pode alterar/apagar auditoria.
+    REVOKE UPDATE, DELETE ON audit_log FROM baruk_app;
+    -- Segredos de auth: app pode CRIAR credencial (signup self-service, BILL-01),
+    -- mas nunca sobrescrever/apagar uma existente (anti account-takeover).
+    REVOKE UPDATE, DELETE ON user_credential FROM baruk_app;
+    GRANT INSERT ON user_credential TO baruk_app;
+    -- Catálogo comercial: app só lê (seed/owner escreve) — evita reprecificação
+    -- por qualquer falha no papel de aplicação.
+    REVOKE INSERT, UPDATE, DELETE ON saas_plan FROM baruk_app;
+    -- Autorização de workload não-humano: o app só LÊ. Quem concede é o
+    -- owner (provisionamento com a credencial de migração), FORA do processo
+    -- que consome. Autoridade escrita pelo controlado não é autoridade — e
+    -- este REVOKE é o que torna "o chamador não autoemite o próprio grant"
+    -- uma propriedade do banco, não uma promessa do TypeScript.
+    REVOKE INSERT, UPDATE, DELETE ON service_principal FROM baruk_app;
+    REVOKE INSERT, UPDATE, DELETE ON service_principal_grant FROM baruk_app;
+    -- Catálogo de papéis: o runtime LE a cada autenticacao e nunca escreve.
+    -- O unico escritor do produto e ensureRbacCatalog, que roda com o owner.
+    -- Sem este REVOKE, o ramo IS NULL do WITH CHECK antigo deixava um tenant
+    -- forjar papel de sistema -- e anexar permissao a um papel que TODOS os
+    -- escritorios usam (P0-A, migration 0045).
+    REVOKE INSERT, UPDATE, DELETE ON role FROM baruk_app;
+    REVOKE INSERT, UPDATE, DELETE ON role_permission FROM baruk_app;
+    -- Vocabulário do perfil fiscal: catálogo GLOBAL sem tenant, logo sem RLS
+    -- que o proteja. O runtime lê a cada avaliação e nunca escreve.
+    REVOKE INSERT, UPDATE, DELETE ON fiscal_attribute_definition FROM baruk_app;
+    -- Registro de capacidades do schema (0055): catálogo GLOBAL sem tenant,
+    -- logo sem RLS que o proteja. O worker LÊ para decidir se pode executar, e
+    -- nunca escreve — um processo que pudesse declarar a própria capacidade
+    -- teria um portão com a chave do lado de dentro. Quem escreve é a migration,
+    -- com o papel owner, FORA do processo que consome.
+    REVOKE INSERT, UPDATE, DELETE ON platform_capability FROM baruk_app;
+    -- Cobertura fiscal (0058): catálogo GLOBAL sem tenant, logo sem RLS. A
+    -- adesão de um município ao ADN é o mesmo fato para todos os escritórios, e
+    -- a restrição que exige fonte e data para afirmar cobertura só vale se o
+    -- runtime não puder contorná-la escrevendo a própria linha. Quem escreve é
+    -- a migration, com o owner, FORA do processo que consome.
+    REVOKE INSERT, UPDATE, DELETE ON fiscal_coverage FROM baruk_app;
+    -- Controle de migrations é privado do owner.
+    REVOKE ALL ON _migration FROM baruk_app;
+  `);
+    // Tudo o que o runtime alcança e não é do Office.
+    const foreign = await sql `
+    SELECT c.relname
+      FROM pg_class c
+      JOIN pg_namespace n ON n.oid = c.relnamespace
+     WHERE n.nspname = 'public'
+       AND c.relkind IN ('r', 'p', 'v', 'm', 'f')
+       AND NOT (c.relname = ANY (${officeTables}))
+       AND (
+         has_table_privilege('baruk_app', c.oid, 'SELECT') OR
+         has_table_privilege('baruk_app', c.oid, 'INSERT') OR
+         has_table_privilege('baruk_app', c.oid, 'UPDATE') OR
+         has_table_privilege('baruk_app', c.oid, 'DELETE')
+       )
+     ORDER BY c.relname
+  `;
+    const revoked = foreign.map((r) => r.relname);
+    if (revoked.length > 0) {
+        await sql.unsafe(`REVOKE ALL ON ${revoked.map(quoteIdent).join(', ')} FROM baruk_app;`);
+    }
+    // Tabela futura não nasce alcançável.
+    const owners = await sql `
+    SELECT DISTINCT pg_get_userbyid(d.defaclrole) AS rolname
+      FROM pg_default_acl d
+      LEFT JOIN pg_namespace n ON n.oid = d.defaclnamespace
+     WHERE n.nspname = 'public'
+       AND d.defaclobjtype = 'r'
+       AND array_to_string(d.defaclacl, ',') LIKE '%baruk_app=%'
+  `;
+    const defaultsCleared = [];
+    const defaultsResidual = [];
+    for (const { rolname } of owners) {
+        try {
+            await sql.unsafe(`
+        ALTER DEFAULT PRIVILEGES FOR ROLE ${quoteIdent(rolname)} IN SCHEMA public
+          REVOKE SELECT, INSERT, UPDATE, DELETE ON TABLES FROM baruk_app;
+      `);
+            defaultsCleared.push(rolname);
+        }
+        catch {
+            // Só é possível para papéis dos quais o papel corrente é membro.
+            defaultsResidual.push(rolname);
+        }
+    }
+    return { revoked, defaultsCleared, defaultsResidual };
+}
 /** Valida a senha do papel de app para poder embutir com segurança no DDL. */
 function safePassword(pw) {
     if (!/^[A-Za-z0-9!@#%^*_\-+=.]{8,}$/.test(pw)) {
@@ -64,7 +237,6 @@ async function main() {
     const ownerUrl = process.env.DATABASE_URL;
     if (!ownerUrl)
         throw new Error('DATABASE_URL (papel owner) não definida.');
-    const appPassword = safePassword(process.env.APP_DB_PASSWORD ?? '');
     const sql = createDb(ownerUrl, { role: 'owner', max: 1 });
     try {
         // 1) Papel de aplicação. Roles novas já nascem NOSUPERUSER, NOBYPASSRLS,
@@ -72,14 +244,13 @@ async function main() {
         //    esses atributos EXPLICITAMENTE exige superuser (indisponível em Postgres
         //    gerenciado como Render/Neon), então só criamos com defaults e setamos
         //    LOGIN + PASSWORD. A ausência de BYPASSRLS + FORCE RLS garante o isolamento.
-        await sql.unsafe(`
-      DO $$ BEGIN
-        IF NOT EXISTS (SELECT FROM pg_roles WHERE rolname = 'baruk_app') THEN
-          CREATE ROLE baruk_app LOGIN PASSWORD '${appPassword}';
-        END IF;
-      END $$;
-    `);
-        await sql.unsafe(`ALTER ROLE baruk_app WITH LOGIN PASSWORD '${appPassword}';`);
+        const [appRole] = await sql `
+      SELECT EXISTS (SELECT FROM pg_roles WHERE rolname = 'baruk_app') AS exists
+    `;
+        if (!appRole?.exists) {
+            const appPassword = safePassword(process.env.APP_DB_PASSWORD ?? '');
+            await sql.unsafe(`CREATE ROLE baruk_app LOGIN PASSWORD '${appPassword}';`);
+        }
         // 2) Tabela de controle.
         await sql.unsafe(`
       CREATE TABLE IF NOT EXISTS _migration (
@@ -110,25 +281,21 @@ async function main() {
             console.log('ok');
             count++;
         }
-        // 3) Grants ao papel de app (idempotente; cobre também tabelas de verticais).
-        await sql.unsafe(`
-      GRANT USAGE ON SCHEMA public TO baruk_app;
-      GRANT SELECT, INSERT, UPDATE, DELETE ON ALL TABLES IN SCHEMA public TO baruk_app;
-      GRANT USAGE, SELECT ON ALL SEQUENCES IN SCHEMA public TO baruk_app;
-      ALTER DEFAULT PRIVILEGES IN SCHEMA public
-        GRANT SELECT, INSERT, UPDATE, DELETE ON TABLES TO baruk_app;
-      -- Append-only: app não pode alterar/apagar auditoria.
-      REVOKE UPDATE, DELETE ON audit_log FROM baruk_app;
-      -- Segredos de auth: app pode CRIAR credencial (signup self-service, BILL-01),
-      -- mas nunca sobrescrever/apagar uma existente (anti account-takeover).
-      REVOKE UPDATE, DELETE ON user_credential FROM baruk_app;
-      GRANT INSERT ON user_credential TO baruk_app;
-      -- Catálogo comercial: app só lê (seed/owner escreve) — evita reprecificação
-      -- por qualquer falha no papel de aplicação.
-      REVOKE INSERT, UPDATE, DELETE ON saas_plan FROM baruk_app;
-      -- Controle de migrations é privado do owner.
-      REVOKE ALL ON _migration FROM baruk_app;
-    `);
+        // 3) Grants ao papel de app — ALLOWLIST, não "todas as tabelas do schema".
+        //    A lista sai do SQL que acabou de ser lido: o que este repositório cria,
+        //    o runtime alcança; o que ele não cria, o runtime não alcança. Idempotente,
+        //    e cobre as verticais porque `collectMigrations` já as inclui.
+        const officeTables = officeTablesFromSql(migrations.map((m) => m.sql));
+        const lp = await enforceRuntimeLeastPrivilege(sql, officeTables);
+        if (lp.revoked.length > 0) {
+            console.log(`→ contenção: privilégio de baruk_app revogado em ${lp.revoked.length} tabela(s) fora do Office.`);
+        }
+        for (const r of lp.defaultsCleared) {
+            console.log(`→ default privileges de ${r} para baruk_app removidos.`);
+        }
+        for (const r of lp.defaultsResidual) {
+            console.warn(`  ⚠ default privileges de ${r} não removíveis com este papel (resíduo).`);
+        }
         console.log(count === 0
             ? '✓ Nenhuma migration pendente. Schema já atualizado.'
             : `✓ ${count} migration(s) aplicada(s). Papel baruk_app garantido e privilegiado.`);
@@ -137,8 +304,14 @@ async function main() {
         await sql.end({ timeout: 5 });
     }
 }
-main().catch((err) => {
-    console.error('✗ Falha na migração:', err instanceof Error ? err.message : err);
-    process.exit(1);
-});
+// Só migra quando ESTE arquivo é o entrypoint. Sem a guarda, qualquer `import`
+// do módulo — por exemplo o teste que exercita a allowlist — dispararia a
+// migração como efeito colateral do import.
+const isEntrypoint = process.argv[1] !== undefined && import.meta.url === pathToFileURL(process.argv[1]).href;
+if (isEntrypoint) {
+    main().catch((err) => {
+        console.error('✗ Falha na migração:', err instanceof Error ? err.message : err);
+        process.exit(1);
+    });
+}
 //# sourceMappingURL=migrate.js.map

package/dist/db/migrate.js.map

@@ -1 +1 @@
-{"version":3,"file":"migrate.js","sourceRoot":"","sources":["../../src/db/migrate.ts"],"names":[],"mappings":"AAAA;;;;;;;;;GASG;AACH,OAAO,EAAE,UAAU,EAAE,MAAM,aAAa,CAAC;AACzC,OAAO,EAAE,WAAW,EAAE,YAAY,EAAE,UAAU,EAAE,MAAM,SAAS,CAAC;AAChE,OAAO,EAAE,OAAO,EAAE,IAAI,EAAE,OAAO,EAAE,MAAM,WAAW,CAAC;AACnD,OAAO,EAAE,aAAa,EAAE,MAAM,UAAU,CAAC;AACzC,OAAO,EAAE,QAAQ,EAAE,MAAM,aAAa,CAAC;AACvC,OAAO,EAAE,OAAO,EAAE,MAAM,eAAe,CAAC;AAExC,MAAM,SAAS,GAAG,OAAO,CAAC,aAAa,CAAC,MAAM,CAAC,IAAI,CAAC,GAAG,CAAC,CAAC,CAAC;AAS1D,SAAS,YAAY,CAAC,KAAa;IACjC,IAAI,GAAG,GAAG,KAAK,CAAC;IAChB,KAAK,IAAI,CAAC,GAAG,CAAC,EAAE,CAAC,GAAG,CAAC,EAAE,CAAC,EAAE,EAAE,CAAC;QAC3B,IAAI,UAAU,CAAC,IAAI,CAAC,GAAG,EAAE,qBAAqB,CAAC,CAAC;YAAE,OAAO,GAAG,CAAC;QAC7D,MAAM,MAAM,GAAG,OAAO,CAAC,GAAG,EAAE,IAAI,CAAC,CAAC;QAClC,IAAI,MAAM,KAAK,GAAG;YAAE,MAAM;QAC1B,GAAG,GAAG,MAAM,CAAC;IACf,CAAC;IACD,OAAO,KAAK,CAAC;AACf,CAAC;AAED,SAAS,UAAU,CAAC,GAAW;IAC7B,IAAI,CAAC,UAAU,CAAC,GAAG,CAAC;QAAE,OAAO,EAAE,CAAC;IAChC,OAAO,WAAW,CAAC,GAAG,CAAC;SACpB,MAAM,CAAC,CAAC,CAAC,EAAE,EAAE,CAAC,CAAC,CAAC,QAAQ,CAAC,MAAM,CAAC,CAAC;SACjC,GAAG,CAAC,CAAC,CAAC,EAAE,EAAE;QACT,MAAM,IAAI,GAAG,IAAI,CAAC,GAAG,EAAE,CAAC,CAAC,CAAC;QAC1B,MAAM,GAAG,GAAG,YAAY,CAAC,IAAI,EAAE,MAAM,CAAC,CAAC;QACvC,OAAO,EAAE,IAAI,EAAE,CAAC,EAAE,IAAI,EAAE,GAAG,EAAE,QAAQ,EAAE,UAAU,CAAC,QAAQ,CAAC,CAAC,MAAM,CAAC,GAAG,CAAC,CAAC,MAAM,CAAC,KAAK,CAAC,EAAE,CAAC;IAC1F,CAAC,CAAC,CAAC;AACP,CAAC;AAED,SAAS,iBAAiB;IACxB,qFAAqF;IACrF,MAAM,cAAc,GAAG,IAAI,CAAC,SAAS,EAAE,YAAY,CAAC,CAAC;IACrD,MAAM,QAAQ,GAAG,YAAY,CAAC,SAAS,CAAC,CAAC;IACzC,MAAM,aAAa,GAAG,IAAI,CAAC,QAAQ,EAAE,UAAU,EAAE,WAAW,CAAC,CAAC;IAE9D,MAAM,GAAG,GAAgB,CAAC,GAAG,UAAU,CAAC,cAAc,CAAC,CAAC,CAAC;IAEzD,IAAI,UAAU,CAAC,aAAa,CAAC,EAAE,CAAC;QAC9B,KAAK,MAAM,QAAQ,IAAI,WAAW,CAAC,aAAa,CAAC,EAAE,CAAC;YAClD,GAAG,CAAC,IAAI,CAAC,GAAG,UAAU,CAAC,IAAI,CAAC,aAAa,EAAE,QAAQ,EAAE,IAAI,EAAE,YAAY,CAAC,CAAC,CAAC,CAAC;QAC7E,CAAC;IACH,CAAC;IACD,2EAA2E;IAC3E,OAAO,GAAG,CAAC,IAAI,CAAC,CAAC,CAAC,EAAE,CAAC,EAAE,EAAE,CAAC,CAAC,CAAC,IAAI,CAAC,aAAa,CAAC,CAAC,CAAC,IAAI,EAAE,IAAI,CAAC,CAAC,CAAC;AAChE,CAAC;AAED,8EAA8E;AAC9E,SAAS,YAAY,CAAC,EAAU;IAC9B,IAAI,CAAC,+BAA+B,CAAC,IAAI,CAAC,EAAE,CAAC,EAAE,CAAC;QAC9C,MAAM,IAAI,KAAK,CACb,8FAA8F,CAC/F,CAAC;IACJ,CAAC;IACD,OAAO,EAAE,CAAC;AACZ,CAAC;AAED,KAAK,UAAU,IAAI;IACjB,OAAO,EAAE,CAAC;IACV,MAAM,QAAQ,GAAG,OAAO,CAAC,GAAG,CAAC,YAAY,CAAC;IAC1C,IAAI,CAAC,QAAQ;QAAE,MAAM,IAAI,KAAK,CAAC,0CAA0C,CAAC,CAAC;IAC3E,MAAM,WAAW,GAAG,YAAY,CAAC,OAAO,CAAC,GAAG,CAAC,eAAe,IAAI,EAAE,CAAC,CAAC;IAEpE,MAAM,GAAG,GAAG,QAAQ,CAAC,QAAQ,EAAE,EAAE,IAAI,EAAE,OAAO,EAAE,GAAG,EAAE,CAAC,EAAE,CAAC,CAAC;IAE1D,IAAI,CAAC;QACH,yEAAyE;QACzE,yEAAyE;QACzE,8EAA8E;QAC9E,2EAA2E;QAC3E,iFAAiF;QACjF,MAAM,GAAG,CAAC,MAAM,CAAC;;;kDAG6B,WAAW;;;KAGxD,CAAC,CAAC;QACH,MAAM,GAAG,CAAC,MAAM,CAAC,6CAA6C,WAAW,IAAI,CAAC,CAAC;QAE/E,yBAAyB;QACzB,MAAM,GAAG,CAAC,MAAM,CAAC;;;;;;KAMhB,CAAC,CAAC;QAEH,MAAM,OAAO,GAAG,IAAI,GAAG,EAAkB,CAAC;QAC1C,KAAK,MAAM,GAAG,IAAI,MAAM,GAAG,CAAA,uCAAuC,EAAE,CAAC;YACnE,OAAO,CAAC,GAAG,CAAC,GAAG,CAAC,IAAc,EAAE,GAAG,CAAC,QAAkB,CAAC,CAAC;QAC1D,CAAC;QAED,MAAM,UAAU,GAAG,iBAAiB,EAAE,CAAC;QACvC,IAAI,KAAK,GAAG,CAAC,CAAC;QACd,KAAK,MAAM,CAAC,IAAI,UAAU,EAAE,CAAC;YAC3B,MAAM,IAAI,GAAG,OAAO,CAAC,GAAG,CAAC,CAAC,CAAC,IAAI,CAAC,CAAC;YACjC,IAAI,IAAI,EAAE,CAAC;gBACT,IAAI,IAAI,KAAK,CAAC,CAAC,QAAQ,EAAE,CAAC;oBACxB,MAAM,IAAI,KAAK,CACb,yCAAyC,CAAC,CAAC,IAAI,6CAA6C,CAC7F,CAAC;gBACJ,CAAC;gBACD,SAAS;YACX,CAAC;YACD,OAAO,CAAC,MAAM,CAAC,KAAK,CAAC,eAAe,CAAC,CAAC,IAAI,KAAK,CAAC,CAAC;YACjD,MAAM,GAAG,CAAC,KAAK,CAAC,KAAK,EAAE,EAAE,EAAE,EAAE;gBAC3B,MAAM,EAAE,CAAC,MAAM,CAAC,CAAC,CAAC,GAAG,CAAC,CAAC;gBACvB,MAAM,EAAE,CAAA,mDAAmD,CAAC,CAAC,IAAI,KAAK,CAAC,CAAC,QAAQ,GAAG,CAAC;YACtF,CAAC,CAAC,CAAC;YACH,OAAO,CAAC,GAAG,CAAC,IAAI,CAAC,CAAC;YAClB,KAAK,EAAE,CAAC;QACV,CAAC;QAED,8EAA8E;QAC9E,MAAM,GAAG,CAAC,MAAM,CAAC;;;;;;;;;;;;;;;;;KAiBhB,CAAC,CAAC;QAEH,OAAO,CAAC,GAAG,CACT,KAAK,KAAK,CAAC;YACT,CAAC,CAAC,qDAAqD;YACvD,CAAC,CAAC,KAAK,KAAK,sEAAsE,CACrF,CAAC;IACJ,CAAC;YAAS,CAAC;QACT,MAAM,GAAG,CAAC,GAAG,CAAC,EAAE,OAAO,EAAE,CAAC,EAAE,CAAC,CAAC;IAChC,CAAC;AACH,CAAC;AAED,IAAI,EAAE,CAAC,KAAK,CAAC,CAAC,GAAG,EAAE,EAAE;IACnB,OAAO,CAAC,KAAK,CAAC,sBAAsB,EAAE,GAAG,YAAY,KAAK,CAAC,CAAC,CAAC,GAAG,CAAC,OAAO,CAAC,CAAC,CAAC,GAAG,CAAC,CAAC;IAChF,OAAO,CAAC,IAAI,CAAC,CAAC,CAAC,CAAC;AAClB,CAAC,CAAC,CAAC"}
+{"version":3,"file":"migrate.js","sourceRoot":"","sources":["../../src/db/migrate.ts"],"names":[],"mappings":"AAAA;;;;;;;;;;;GAWG;AACH,OAAO,EAAE,UAAU,EAAE,MAAM,aAAa,CAAC;AACzC,OAAO,EAAE,WAAW,EAAE,YAAY,EAAE,UAAU,EAAE,MAAM,SAAS,CAAC;AAChE,OAAO,EAAE,OAAO,EAAE,IAAI,EAAE,OAAO,EAAE,MAAM,WAAW,CAAC;AACnD,OAAO,EAAE,aAAa,EAAE,aAAa,EAAE,MAAM,UAAU,CAAC;AACxD,OAAO,EAAE,QAAQ,EAAW,MAAM,aAAa,CAAC;AAChD,OAAO,EAAE,OAAO,EAAE,MAAM,eAAe,CAAC;AAExC,MAAM,SAAS,GAAG,OAAO,CAAC,aAAa,CAAC,MAAM,CAAC,IAAI,CAAC,GAAG,CAAC,CAAC,CAAC;AAS1D,SAAS,YAAY,CAAC,KAAa;IACjC,IAAI,GAAG,GAAG,KAAK,CAAC;IAChB,KAAK,IAAI,CAAC,GAAG,CAAC,EAAE,CAAC,GAAG,CAAC,EAAE,CAAC,EAAE,EAAE,CAAC;QAC3B,IAAI,UAAU,CAAC,IAAI,CAAC,GAAG,EAAE,qBAAqB,CAAC,CAAC;YAAE,OAAO,GAAG,CAAC;QAC7D,MAAM,MAAM,GAAG,OAAO,CAAC,GAAG,EAAE,IAAI,CAAC,CAAC;QAClC,IAAI,MAAM,KAAK,GAAG;YAAE,MAAM;QAC1B,GAAG,GAAG,MAAM,CAAC;IACf,CAAC;IACD,OAAO,KAAK,CAAC;AACf,CAAC;AAED,SAAS,UAAU,CAAC,GAAW;IAC7B,IAAI,CAAC,UAAU,CAAC,GAAG,CAAC;QAAE,OAAO,EAAE,CAAC;IAChC,OAAO,WAAW,CAAC,GAAG,CAAC;SACpB,MAAM,CAAC,CAAC,CAAC,EAAE,EAAE,CAAC,CAAC,CAAC,QAAQ,CAAC,MAAM,CAAC,CAAC;SACjC,GAAG,CAAC,CAAC,CAAC,EAAE,EAAE;QACT,MAAM,IAAI,GAAG,IAAI,CAAC,GAAG,EAAE,CAAC,CAAC,CAAC;QAC1B,MAAM,GAAG,GAAG,YAAY,CAAC,IAAI,EAAE,MAAM,CAAC,CAAC;QACvC,OAAO,EAAE,IAAI,EAAE,CAAC,EAAE,IAAI,EAAE,GAAG,EAAE,QAAQ,EAAE,UAAU,CAAC,QAAQ,CAAC,CAAC,MAAM,CAAC,GAAG,CAAC,CAAC,MAAM,CAAC,KAAK,CAAC,EAAE,CAAC;IAC1F,CAAC,CAAC,CAAC;AACP,CAAC;AAED,SAAS,iBAAiB;IACxB,qFAAqF;IACrF,MAAM,cAAc,GAAG,IAAI,CAAC,SAAS,EAAE,YAAY,CAAC,CAAC;IACrD,MAAM,QAAQ,GAAG,YAAY,CAAC,SAAS,CAAC,CAAC;IACzC,MAAM,aAAa,GAAG,IAAI,CAAC,QAAQ,EAAE,UAAU,EAAE,WAAW,CAAC,CAAC;IAE9D,MAAM,GAAG,GAAgB,CAAC,GAAG,UAAU,CAAC,cAAc,CAAC,CAAC,CAAC;IAEzD,IAAI,UAAU,CAAC,aAAa,CAAC,EAAE,CAAC;QAC9B,KAAK,MAAM,QAAQ,IAAI,WAAW,CAAC,aAAa,CAAC,EAAE,CAAC;YAClD,GAAG,CAAC,IAAI,CAAC,GAAG,UAAU,CAAC,IAAI,CAAC,aAAa,EAAE,QAAQ,EAAE,IAAI,EAAE,YAAY,CAAC,CAAC,CAAC,CAAC;QAC7E,CAAC;IACH,CAAC;IACD,2EAA2E;IAC3E,OAAO,GAAG,CAAC,IAAI,CAAC,CAAC,CAAC,EAAE,CAAC,EAAE,EAAE,CAAC,CAAC,CAAC,IAAI,CAAC,aAAa,CAAC,CAAC,CAAC,IAAI,EAAE,IAAI,CAAC,CAAC,CAAC;AAChE,CAAC;AAED;;;;;;;;;;;;;GAaG;AACH,MAAM,UAAU,mBAAmB,CAAC,IAAuB;IACzD,MAAM,KAAK,GAAG,IAAI,GAAG,EAAU,CAAC;IAChC,+EAA+E;IAC/E,8EAA8E;IAC9E,2CAA2C;IAC3C,MAAM,MAAM,GACV,6FAA6F,CAAC;IAChG,gDAAgD;IAChD,EAAE;IACF,6EAA6E;IAC7E,8EAA8E;IAC9E,0EAA0E;IAC1E,6EAA6E;IAC7E,gFAAgF;IAChF,WAAW;IACX,EAAE;IACF,8EAA8E;IAC9E,8EAA8E;IAC9E,MAAM,IAAI,GACR,qFAAqF,CAAC;IACxF,KAAK,MAAM,GAAG,IAAI,IAAI,EAAE,CAAC;QACvB,0EAA0E;QAC1E,wEAAwE;QACxE,0BAA0B;QAC1B,MAAM,MAAM,GAA4D,EAAE,CAAC;QAC3E,KAAK,MAAM,CAAC,IAAI,GAAG,CAAC,QAAQ,CAAC,MAAM,CAAC,EAAE,CAAC;YACrC,IAAI,CAAC,CAAC,CAAC,CAAC;gBAAE,MAAM,CAAC,IAAI,CAAC,EAAE,EAAE,EAAE,CAAC,CAAC,KAAK,IAAI,CAAC,EAAE,IAAI,EAAE,CAAC,CAAC,CAAC,CAAC,CAAC,WAAW,EAAE,EAAE,IAAI,EAAE,QAAQ,EAAE,CAAC,CAAC;QACxF,CAAC;QACD,KAAK,MAAM,CAAC,IAAI,GAAG,CAAC,QAAQ,CAAC,IAAI,CAAC,EAAE,CAAC;YACnC,IAAI,CAAC,CAAC,CAAC,CAAC;gBAAE,MAAM,CAAC,IAAI,CAAC,EAAE,EAAE,EAAE,CAAC,CAAC,KAAK,IAAI,CAAC,EAAE,IAAI,EAAE,CAAC,CAAC,CAAC,CAAC,CAAC,WAAW,EAAE,EAAE,IAAI,EAAE,MAAM,EAAE,CAAC,CAAC;QACtF,CAAC;QACD,MAAM,CAAC,IAAI,CAAC,CAAC,CAAC,EAAE,CAAC,EAAE,EAAE,CAAC,CAAC,CAAC,EAAE,GAAG,CAAC,CAAC,EAAE,CAAC,CAAC;QACnC,KAAK,MAAM,CAAC,IAAI,MAAM,EAAE,CAAC;YACvB,IAAI,CAAC,CAAC,IAAI,KAAK,QAAQ;gBAAE,KAAK,CAAC,GAAG,CAAC,CAAC,CAAC,IAAI,CAAC,CAAC;;gBACtC,KAAK,CAAC,MAAM,CAAC,CAAC,CAAC,IAAI,CAAC,CAAC;QAC5B,CAAC;IACH,CAAC;IACD,4DAA4D;IAC5D,KAAK,CAAC,GAAG,CAAC,YAAY,CAAC,CAAC;IACxB,OAAO,CAAC,GAAG,KAAK,CAAC,CAAC,IAAI,EAAE,CAAC;AAC3B,CAAC;AAED,2FAA2F;AAC3F,SAAS,UAAU,CAAC,IAAY;IAC9B,OAAO,IAAI,IAAI,CAAC,OAAO,CAAC,IAAI,EAAE,IAAI,CAAC,GAAG,CAAC;AACzC,CAAC;AAWD;;;;;;;;;;GAUG;AACH,MAAM,CAAC,KAAK,UAAU,4BAA4B,CAChD,GAAO,EACP,YAA+B;IAE/B,MAAM,UAAU,GAAG,YAAY,CAAC,GAAG,CAAC,UAAU,CAAC,CAAC,IAAI,CAAC,IAAI,CAAC,CAAC;IAC3D,MAAM,GAAG,CAAC,MAAM,CAAC;;8CAE2B,UAAU;;GAErD,CAAC,CAAC;IAEH,yEAAyE;IACzE,2EAA2E;IAC3E,uEAAuE;IACvE,4EAA4E;IAC5E,MAAM,GAAG,CAAC,MAAM,CAAC;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;GAyChB,CAAC,CAAC;IAEH,kDAAkD;IAClD,MAAM,OAAO,GAAG,MAAM,GAAG,CAAuB;;;;;;mCAMf,YAAwB;;;;;;;;GAQxD,CAAC;IACF,MAAM,OAAO,GAAG,OAAO,CAAC,GAAG,CAAC,CAAC,CAAC,EAAE,EAAE,CAAC,CAAC,CAAC,OAAO,CAAC,CAAC;IAC9C,IAAI,OAAO,CAAC,MAAM,GAAG,CAAC,EAAE,CAAC;QACvB,MAAM,GAAG,CAAC,MAAM,CAAC,iBAAiB,OAAO,CAAC,GAAG,CAAC,UAAU,CAAC,CAAC,IAAI,CAAC,IAAI,CAAC,kBAAkB,CAAC,CAAC;IAC1F,CAAC;IAED,sCAAsC;IACtC,MAAM,MAAM,GAAG,MAAM,GAAG,CAAuB;;;;;;;GAO9C,CAAC;IACF,MAAM,eAAe,GAAa,EAAE,CAAC;IACrC,MAAM,gBAAgB,GAAa,EAAE,CAAC;IACtC,KAAK,MAAM,EAAE,OAAO,EAAE,IAAI,MAAM,EAAE,CAAC;QACjC,IAAI,CAAC;YACH,MAAM,GAAG,CAAC,MAAM,CAAC;4CACqB,UAAU,CAAC,OAAO,CAAC;;OAExD,CAAC,CAAC;YACH,eAAe,CAAC,IAAI,CAAC,OAAO,CAAC,CAAC;QAChC,CAAC;QAAC,MAAM,CAAC;YACP,iEAAiE;YACjE,gBAAgB,CAAC,IAAI,CAAC,OAAO,CAAC,CAAC;QACjC,CAAC;IACH,CAAC;IACD,OAAO,EAAE,OAAO,EAAE,eAAe,EAAE,gBAAgB,EAAE,CAAC;AACxD,CAAC;AAED,8EAA8E;AAC9E,SAAS,YAAY,CAAC,EAAU;IAC9B,IAAI,CAAC,+BAA+B,CAAC,IAAI,CAAC,EAAE,CAAC,EAAE,CAAC;QAC9C,MAAM,IAAI,KAAK,CACb,8FAA8F,CAC/F,CAAC;IACJ,CAAC;IACD,OAAO,EAAE,CAAC;AACZ,CAAC;AAED,KAAK,UAAU,IAAI;IACjB,OAAO,EAAE,CAAC;IACV,MAAM,QAAQ,GAAG,OAAO,CAAC,GAAG,CAAC,YAAY,CAAC;IAC1C,IAAI,CAAC,QAAQ;QAAE,MAAM,IAAI,KAAK,CAAC,0CAA0C,CAAC,CAAC;IAC3E,MAAM,GAAG,GAAG,QAAQ,CAAC,QAAQ,EAAE,EAAE,IAAI,EAAE,OAAO,EAAE,GAAG,EAAE,CAAC,EAAE,CAAC,CAAC;IAE1D,IAAI,CAAC;QACH,yEAAyE;QACzE,yEAAyE;QACzE,8EAA8E;QAC9E,2EAA2E;QAC3E,iFAAiF;QACjF,MAAM,CAAC,OAAO,CAAC,GAAG,MAAM,GAAG,CAAuB;;KAEjD,CAAC;QACF,IAAI,CAAC,OAAO,EAAE,MAAM,EAAE,CAAC;YACrB,MAAM,WAAW,GAAG,YAAY,CAAC,OAAO,CAAC,GAAG,CAAC,eAAe,IAAI,EAAE,CAAC,CAAC;YACpE,MAAM,GAAG,CAAC,MAAM,CAAC,yCAAyC,WAAW,IAAI,CAAC,CAAC;QAC7E,CAAC;QAED,yBAAyB;QACzB,MAAM,GAAG,CAAC,MAAM,CAAC;;;;;;KAMhB,CAAC,CAAC;QAEH,MAAM,OAAO,GAAG,IAAI,GAAG,EAAkB,CAAC;QAC1C,KAAK,MAAM,GAAG,IAAI,MAAM,GAAG,CAAA,uCAAuC,EAAE,CAAC;YACnE,OAAO,CAAC,GAAG,CAAC,GAAG,CAAC,IAAc,EAAE,GAAG,CAAC,QAAkB,CAAC,CAAC;QAC1D,CAAC;QAED,MAAM,UAAU,GAAG,iBAAiB,EAAE,CAAC;QACvC,IAAI,KAAK,GAAG,CAAC,CAAC;QACd,KAAK,MAAM,CAAC,IAAI,UAAU,EAAE,CAAC;YAC3B,MAAM,IAAI,GAAG,OAAO,CAAC,GAAG,CAAC,CAAC,CAAC,IAAI,CAAC,CAAC;YACjC,IAAI,IAAI,EAAE,CAAC;gBACT,IAAI,IAAI,KAAK,CAAC,CAAC,QAAQ,EAAE,CAAC;oBACxB,MAAM,IAAI,KAAK,CACb,yCAAyC,CAAC,CAAC,IAAI,6CAA6C,CAC7F,CAAC;gBACJ,CAAC;gBACD,SAAS;YACX,CAAC;YACD,OAAO,CAAC,MAAM,CAAC,KAAK,CAAC,eAAe,CAAC,CAAC,IAAI,KAAK,CAAC,CAAC;YACjD,MAAM,GAAG,CAAC,KAAK,CAAC,KAAK,EAAE,EAAE,EAAE,EAAE;gBAC3B,MAAM,EAAE,CAAC,MAAM,CAAC,CAAC,CAAC,GAAG,CAAC,CAAC;gBACvB,MAAM,EAAE,CAAA,mDAAmD,CAAC,CAAC,IAAI,KAAK,CAAC,CAAC,QAAQ,GAAG,CAAC;YACtF,CAAC,CAAC,CAAC;YACH,OAAO,CAAC,GAAG,CAAC,IAAI,CAAC,CAAC;YAClB,KAAK,EAAE,CAAC;QACV,CAAC;QAED,2EAA2E;QAC3E,6EAA6E;QAC7E,gFAAgF;QAChF,mEAAmE;QACnE,MAAM,YAAY,GAAG,mBAAmB,CAAC,UAAU,CAAC,GAAG,CAAC,CAAC,CAAC,EAAE,EAAE,CAAC,CAAC,CAAC,GAAG,CAAC,CAAC,CAAC;QACvE,MAAM,EAAE,GAAG,MAAM,4BAA4B,CAAC,GAAG,EAAE,YAAY,CAAC,CAAC;QACjE,IAAI,EAAE,CAAC,OAAO,CAAC,MAAM,GAAG,CAAC,EAAE,CAAC;YAC1B,OAAO,CAAC,GAAG,CACT,oDAAoD,EAAE,CAAC,OAAO,CAAC,MAAM,4BAA4B,CAClG,CAAC;QACJ,CAAC;QACD,KAAK,MAAM,CAAC,IAAI,EAAE,CAAC,eAAe,EAAE,CAAC;YACnC,OAAO,CAAC,GAAG,CAAC,2BAA2B,CAAC,4BAA4B,CAAC,CAAC;QACxE,CAAC;QACD,KAAK,MAAM,CAAC,IAAI,EAAE,CAAC,gBAAgB,EAAE,CAAC;YACpC,OAAO,CAAC,IAAI,CAAC,6BAA6B,CAAC,2CAA2C,CAAC,CAAC;QAC1F,CAAC;QAED,OAAO,CAAC,GAAG,CACT,KAAK,KAAK,CAAC;YACT,CAAC,CAAC,qDAAqD;YACvD,CAAC,CAAC,KAAK,KAAK,sEAAsE,CACrF,CAAC;IACJ,CAAC;YAAS,CAAC;QACT,MAAM,GAAG,CAAC,GAAG,CAAC,EAAE,OAAO,EAAE,CAAC,EAAE,CAAC,CAAC;IAChC,CAAC;AACH,CAAC;AAED,+EAA+E;AAC/E,0EAA0E;AAC1E,4CAA4C;AAC5C,MAAM,YAAY,GAChB,OAAO,CAAC,IAAI,CAAC,CAAC,CAAC,KAAK,SAAS,IAAI,MAAM,CAAC,IAAI,CAAC,GAAG,KAAK,aAAa,CAAC,OAAO,CAAC,IAAI,CAAC,CAAC,CAAC,CAAC,CAAC,IAAI,CAAC;AAE3F,IAAI,YAAY,EAAE,CAAC;IACjB,IAAI,EAAE,CAAC,KAAK,CAAC,CAAC,GAAG,EAAE,EAAE;QACnB,OAAO,CAAC,KAAK,CAAC,sBAAsB,EAAE,GAAG,YAAY,KAAK,CAAC,CAAC,CAAC,GAAG,CAAC,OAAO,CAAC,CAAC,CAAC,GAAG,CAAC,CAAC;QAChF,OAAO,CAAC,IAAI,CAAC,CAAC,CAAC,CAAC;IAClB,CAAC,CAAC,CAAC;AACL,CAAC"}

package/dist/db/provision-e2e-identity.d.ts

@@ -0,0 +1,2 @@
+export {};
+//# sourceMappingURL=provision-e2e-identity.d.ts.map

package/dist/db/provision-e2e-identity.d.ts.map

@@ -0,0 +1 @@
+{"version":3,"file":"provision-e2e-identity.d.ts","sourceRoot":"","sources":["../../src/db/provision-e2e-identity.ts"],"names":[],"mappings":""}

package/dist/db/provision-e2e-identity.js

@@ -0,0 +1,109 @@
+/**
+ * Provisiona a identidade de automação E2E de um escritório.
+ *
+ * ## Por que é um script, e não uma rota
+ *
+ * Criar a identidade que valida o produto é ato de PROVISIONAMENTO, não de
+ * operação. Expor isso como rota daria a alguém dentro do produto o poder de
+ * fabricar uma conta de automação — e o valor de uma identidade de privilégio
+ * mínimo desaparece se qualquer administrador puder criar outra.
+ *
+ * ## O que ele garante
+ *
+ * - `user_type = 'service'` — reconhecível como não-humana em toda consulta;
+ * - papel `e2e_automation` e nada além: quatro permissões, tenant único;
+ * - idempotente: rodar de novo não duplica nem escala privilégio;
+ * - a senha vem do ambiente e **nunca** é impressa, ecoada ou gravada em log.
+ *
+ * ## Uso
+ *
+ *   OFFICE_MIGRATION_DATABASE_URL=… \
+ *   E2E_IDENTITY_EMAIL=… E2E_IDENTITY_PASSWORD=… \
+ *   pnpm --filter @baruk/core provision:e2e --tenant sc
+ *
+ * Revogar é o caminho inverso e existe na interface: Administração → Usuários →
+ * situação "revogado". Rotacionar é rodar de novo com `--rotate` e uma senha
+ * nova.
+ */
+import { createDb } from './client.js';
+import { withContext } from './context.js';
+import { assignSystemRole, ensureMembership } from '../tenancy/provisioning.js';
+import { upsertUserWithPassword } from '../auth/service.js';
+const ROLE = 'e2e_automation';
+function arg(nome, padrao) {
+    const i = process.argv.indexOf(`--${nome}`);
+    return i >= 0 ? (process.argv[i + 1] ?? padrao) : padrao;
+}
+async function main() {
+    const url = process.env.OFFICE_MIGRATION_DATABASE_URL ?? process.env.DATABASE_URL;
+    const email = process.env.E2E_IDENTITY_EMAIL;
+    const senha = process.env.E2E_IDENTITY_PASSWORD;
+    const tenantCode = arg('tenant', 'sc');
+    const rotate = process.argv.includes('--rotate');
+    if (!url)
+        throw new Error('OFFICE_MIGRATION_DATABASE_URL ausente.');
+    if (!email)
+        throw new Error('E2E_IDENTITY_EMAIL ausente.');
+    if (!senha || senha.length < 24) {
+        throw new Error('E2E_IDENTITY_PASSWORD ausente ou curta demais (mínimo 24 caracteres).');
+    }
+    const db = createDb(url, { role: 'owner', max: 2 });
+    try {
+        const [tenant] = await db `
+      SELECT id FROM tenant WHERE code = ${tenantCode} AND deleted_at IS NULL
+    `;
+        if (!tenant)
+            throw new Error(`Organização "${tenantCode}" não encontrada.`);
+        // `user_type: 'service'` é o que separa esta conta de uma pessoa. O tipo já
+        // existe no domínio e na constraint do banco desde a identidade do Core —
+        // não é campo inventado para este caso.
+        const user = await upsertUserWithPassword(db, {
+            email,
+            fullName: 'Automação de teste (E2E)',
+            password: senha,
+            userType: 'service',
+            overwritePassword: rotate,
+        });
+        await ensureMembership(db, tenant.id, user.id);
+        await assignSystemRole(db, tenant.id, user.id, ROLE);
+        // Conferência de saída: o que foi concedido é exatamente o esperado.
+        const permissoes = await withContext(db, { tenantId: tenant.id, userId: user.id }, async (tx) => {
+            const rows = await tx `
+        SELECT p.key
+          FROM user_role ur
+          JOIN role r ON r.id = ur.role_id
+          JOIN role_permission rp ON rp.role_id = r.id
+          JOIN permission p ON p.id = rp.permission_id
+         WHERE ur.user_id = ${user.id} AND ur.deleted_at IS NULL
+         ORDER BY p.key
+      `;
+            return rows.map((r) => r.key);
+        });
+        // Nada de e-mail, id ou senha na saída: só o que se precisa conferir.
+        console.log(`✓ identidade E2E provisionada em "${tenantCode}"`);
+        console.log(`  tipo: service`);
+        console.log(`  papel: ${ROLE}`);
+        console.log(`  permissões (${permissoes.length}): ${permissoes.join(', ')}`);
+        console.log(`  senha definida nesta execução: ${user.passwordWasSet ? 'sim' : 'não (já existia)'}`);
+        if (permissoes.length !== 4) {
+            throw new Error(`Esperava 4 permissões e encontrei ${permissoes.length}. Abortando: uma identidade de automação com privilégio a mais não deve ficar de pé.`);
+        }
+    }
+    finally {
+        await db.end({ timeout: 5 });
+    }
+}
+/**
+ * Erro de driver de banco costuma trazer a connection string inteira dentro da
+ * mensagem. Quem redige tem de ser a ferramenta: confiar em quem chama é
+ * confiar que ninguém vai esquecer o filtro uma vez.
+ */
+function semSegredo(err) {
+    const bruto = err instanceof Error ? err.message : String(err);
+    return bruto.replace(/postgres(?:ql)?:\/\/\S+/gi, '[connection string redigida]');
+}
+main().catch((err) => {
+    console.error('✗ provisionamento falhou:', semSegredo(err));
+    process.exit(1);
+});
+//# sourceMappingURL=provision-e2e-identity.js.map

package/dist/db/provision-e2e-identity.js.map

@@ -0,0 +1 @@
+{"version":3,"file":"provision-e2e-identity.js","sourceRoot":"","sources":["../../src/db/provision-e2e-identity.ts"],"names":[],"mappings":"AAAA;;;;;;;;;;;;;;;;;;;;;;;;;;GA0BG;AACH,OAAO,EAAE,QAAQ,EAAE,MAAM,aAAa,CAAC;AACvC,OAAO,EAAE,WAAW,EAAE,MAAM,cAAc,CAAC;AAC3C,OAAO,EAAE,gBAAgB,EAAE,gBAAgB,EAAE,MAAM,4BAA4B,CAAC;AAChF,OAAO,EAAE,sBAAsB,EAAE,MAAM,oBAAoB,CAAC;AAE5D,MAAM,IAAI,GAAG,gBAAgB,CAAC;AAE9B,SAAS,GAAG,CAAC,IAAY,EAAE,MAAc;IACvC,MAAM,CAAC,GAAG,OAAO,CAAC,IAAI,CAAC,OAAO,CAAC,KAAK,IAAI,EAAE,CAAC,CAAC;IAC5C,OAAO,CAAC,IAAI,CAAC,CAAC,CAAC,CAAC,CAAC,OAAO,CAAC,IAAI,CAAC,CAAC,GAAG,CAAC,CAAC,IAAI,MAAM,CAAC,CAAC,CAAC,CAAC,MAAM,CAAC;AAC3D,CAAC;AAED,KAAK,UAAU,IAAI;IACjB,MAAM,GAAG,GAAG,OAAO,CAAC,GAAG,CAAC,6BAA6B,IAAI,OAAO,CAAC,GAAG,CAAC,YAAY,CAAC;IAClF,MAAM,KAAK,GAAG,OAAO,CAAC,GAAG,CAAC,kBAAkB,CAAC;IAC7C,MAAM,KAAK,GAAG,OAAO,CAAC,GAAG,CAAC,qBAAqB,CAAC;IAChD,MAAM,UAAU,GAAG,GAAG,CAAC,QAAQ,EAAE,IAAI,CAAC,CAAC;IACvC,MAAM,MAAM,GAAG,OAAO,CAAC,IAAI,CAAC,QAAQ,CAAC,UAAU,CAAC,CAAC;IAEjD,IAAI,CAAC,GAAG;QAAE,MAAM,IAAI,KAAK,CAAC,wCAAwC,CAAC,CAAC;IACpE,IAAI,CAAC,KAAK;QAAE,MAAM,IAAI,KAAK,CAAC,6BAA6B,CAAC,CAAC;IAC3D,IAAI,CAAC,KAAK,IAAI,KAAK,CAAC,MAAM,GAAG,EAAE,EAAE,CAAC;QAChC,MAAM,IAAI,KAAK,CAAC,uEAAuE,CAAC,CAAC;IAC3F,CAAC;IAED,MAAM,EAAE,GAAG,QAAQ,CAAC,GAAG,EAAE,EAAE,IAAI,EAAE,OAAO,EAAE,GAAG,EAAE,CAAC,EAAE,CAAC,CAAC;IACpD,IAAI,CAAC;QACH,MAAM,CAAC,MAAM,CAAC,GAAG,MAAM,EAAE,CAAkB;2CACJ,UAAU;KAChD,CAAC;QACF,IAAI,CAAC,MAAM;YAAE,MAAM,IAAI,KAAK,CAAC,gBAAgB,UAAU,mBAAmB,CAAC,CAAC;QAE5E,4EAA4E;QAC5E,0EAA0E;QAC1E,wCAAwC;QACxC,MAAM,IAAI,GAAG,MAAM,sBAAsB,CAAC,EAAE,EAAE;YAC5C,KAAK;YACL,QAAQ,EAAE,0BAA0B;YACpC,QAAQ,EAAE,KAAK;YACf,QAAQ,EAAE,SAAS;YACnB,iBAAiB,EAAE,MAAM;SAC1B,CAAC,CAAC;QAEH,MAAM,gBAAgB,CAAC,EAAE,EAAE,MAAM,CAAC,EAAE,EAAE,IAAI,CAAC,EAAE,CAAC,CAAC;QAC/C,MAAM,gBAAgB,CAAC,EAAE,EAAE,MAAM,CAAC,EAAE,EAAE,IAAI,CAAC,EAAE,EAAE,IAAI,CAAC,CAAC;QAErD,qEAAqE;QACrE,MAAM,UAAU,GAAG,MAAM,WAAW,CAClC,EAAE,EACF,EAAE,QAAQ,EAAE,MAAM,CAAC,EAAE,EAAE,MAAM,EAAE,IAAI,CAAC,EAAE,EAAE,EACxC,KAAK,EAAE,EAAE,EAAE,EAAE;YACX,MAAM,IAAI,GAAG,MAAM,EAAE,CAAmB;;;;;;8BAMlB,IAAI,CAAC,EAAE;;OAE9B,CAAC;YACA,OAAO,IAAI,CAAC,GAAG,CAAC,CAAC,CAAC,EAAE,EAAE,CAAC,CAAC,CAAC,GAAa,CAAC,CAAC;QAC1C,CAAC,CACF,CAAC;QAEF,sEAAsE;QACtE,OAAO,CAAC,GAAG,CAAC,qCAAqC,UAAU,GAAG,CAAC,CAAC;QAChE,OAAO,CAAC,GAAG,CAAC,iBAAiB,CAAC,CAAC;QAC/B,OAAO,CAAC,GAAG,CAAC,YAAY,IAAI,EAAE,CAAC,CAAC;QAChC,OAAO,CAAC,GAAG,CAAC,iBAAiB,UAAU,CAAC,MAAM,MAAM,UAAU,CAAC,IAAI,CAAC,IAAI,CAAC,EAAE,CAAC,CAAC;QAC7E,OAAO,CAAC,GAAG,CACT,oCAAoC,IAAI,CAAC,cAAc,CAAC,CAAC,CAAC,KAAK,CAAC,CAAC,CAAC,kBAAkB,EAAE,CACvF,CAAC;QAEF,IAAI,UAAU,CAAC,MAAM,KAAK,CAAC,EAAE,CAAC;YAC5B,MAAM,IAAI,KAAK,CACb,qCAAqC,UAAU,CAAC,MAAM,sFAAsF,CAC7I,CAAC;QACJ,CAAC;IACH,CAAC;YAAS,CAAC;QACT,MAAM,EAAE,CAAC,GAAG,CAAC,EAAE,OAAO,EAAE,CAAC,EAAE,CAAC,CAAC;IAC/B,CAAC;AACH,CAAC;AAED;;;;GAIG;AACH,SAAS,UAAU,CAAC,GAAY;IAC9B,MAAM,KAAK,GAAG,GAAG,YAAY,KAAK,CAAC,CAAC,CAAC,GAAG,CAAC,OAAO,CAAC,CAAC,CAAC,MAAM,CAAC,GAAG,CAAC,CAAC;IAC/D,OAAO,KAAK,CAAC,OAAO,CAAC,2BAA2B,EAAE,8BAA8B,CAAC,CAAC;AACpF,CAAC;AAED,IAAI,EAAE,CAAC,KAAK,CAAC,CAAC,GAAG,EAAE,EAAE;IACnB,OAAO,CAAC,KAAK,CAAC,2BAA2B,EAAE,UAAU,CAAC,GAAG,CAAC,CAAC,CAAC;IAC5D,OAAO,CAAC,IAAI,CAAC,CAAC,CAAC,CAAC;AAClB,CAAC,CAAC,CAAC"}

package/dist/db/seed-catalog.d.ts

@@ -0,0 +1,18 @@
+/**
+ * Catálogos globais — RBAC, produtos do ecossistema e planos do SaaS.
+ *
+ * Isto NÃO é seed de dados de exemplo. São tabelas de configuração sem as quais
+ * o produto não opera: sem o catálogo de planos, `GET /v1/plans` responde uma
+ * lista vazia e ninguém consegue assinar. É schema lógico, não fixture.
+ *
+ * Por isso vive separado de `seed.ts`, que materializa o tenant fundador e um
+ * usuário administrador de desenvolvimento. Aquele seed usa
+ * `upsertUserWithPassword`, que faz `ON CONFLICT DO UPDATE SET password_hash` —
+ * rodá-lo contra um banco em uso redefine a senha de quem já existe. Este aqui
+ * não toca em `user`, `user_credential`, `tenant` nem `membership`.
+ *
+ * Idempotente e seguro para rodar a cada boot. Uso: `pnpm db:seed:catalog`.
+ */
+import { ensureRbacCatalog } from '../index.js';
+export declare function seedCatalogs(db: Parameters<typeof ensureRbacCatalog>[0]): Promise<void>;
+//# sourceMappingURL=seed-catalog.d.ts.map

package/dist/db/seed-catalog.d.ts.map

@@ -0,0 +1 @@
+{"version":3,"file":"seed-catalog.d.ts","sourceRoot":"","sources":["../../src/db/seed-catalog.ts"],"names":[],"mappings":"AAAA;;;;;;;;;;;;;;GAcG;AACH,OAAO,EAAwB,iBAAiB,EAAiB,MAAM,aAAa,CAAC;AAIrF,wBAAsB,YAAY,CAAC,EAAE,EAAE,UAAU,CAAC,OAAO,iBAAiB,CAAC,CAAC,CAAC,CAAC,GAAG,OAAO,CAAC,IAAI,CAAC,CAI7F"}

package/dist/db/seed-catalog.js

@@ -0,0 +1,45 @@
+/**
+ * Catálogos globais — RBAC, produtos do ecossistema e planos do SaaS.
+ *
+ * Isto NÃO é seed de dados de exemplo. São tabelas de configuração sem as quais
+ * o produto não opera: sem o catálogo de planos, `GET /v1/plans` responde uma
+ * lista vazia e ninguém consegue assinar. É schema lógico, não fixture.
+ *
+ * Por isso vive separado de `seed.ts`, que materializa o tenant fundador e um
+ * usuário administrador de desenvolvimento. Aquele seed usa
+ * `upsertUserWithPassword`, que faz `ON CONFLICT DO UPDATE SET password_hash` —
+ * rodá-lo contra um banco em uso redefine a senha de quem já existe. Este aqui
+ * não toca em `user`, `user_credential`, `tenant` nem `membership`.
+ *
+ * Idempotente e seguro para rodar a cada boot. Uso: `pnpm db:seed:catalog`.
+ */
+import { ensureProductCatalog, ensureRbacCatalog, seedSaasPlans } from '../index.js';
+import { createDb } from './client.js';
+import { loadEnv } from './load-env.js';
+export async function seedCatalogs(db) {
+    await ensureRbacCatalog(db);
+    await ensureProductCatalog(db);
+    await seedSaasPlans(db);
+}
+async function main() {
+    loadEnv();
+    const ownerUrl = process.env.DATABASE_URL;
+    if (!ownerUrl)
+        throw new Error('DATABASE_URL (papel owner) não definida.');
+    const db = createDb(ownerUrl, { role: 'owner', max: 1 });
+    try {
+        await seedCatalogs(db);
+        console.log('✓ Catálogos garantidos: RBAC, produtos do ecossistema e planos SaaS.');
+    }
+    finally {
+        await db.end({ timeout: 5 });
+    }
+}
+// Só executa quando chamado direto — permite importar `seedCatalogs` de outro seed.
+if (process.argv[1]?.endsWith('seed-catalog.ts') || process.argv[1]?.endsWith('seed-catalog.js')) {
+    main().catch((error) => {
+        console.error('✗ Falha ao garantir os catálogos:', error instanceof Error ? error.message : error);
+        process.exit(1);
+    });
+}
+//# sourceMappingURL=seed-catalog.js.map

package/dist/db/seed-catalog.js.map

@@ -0,0 +1 @@
+{"version":3,"file":"seed-catalog.js","sourceRoot":"","sources":["../../src/db/seed-catalog.ts"],"names":[],"mappings":"AAAA;;;;;;;;;;;;;;GAcG;AACH,OAAO,EAAE,oBAAoB,EAAE,iBAAiB,EAAE,aAAa,EAAE,MAAM,aAAa,CAAC;AACrF,OAAO,EAAE,QAAQ,EAAE,MAAM,aAAa,CAAC;AACvC,OAAO,EAAE,OAAO,EAAE,MAAM,eAAe,CAAC;AAExC,MAAM,CAAC,KAAK,UAAU,YAAY,CAAC,EAA2C;IAC5E,MAAM,iBAAiB,CAAC,EAAE,CAAC,CAAC;IAC5B,MAAM,oBAAoB,CAAC,EAAE,CAAC,CAAC;IAC/B,MAAM,aAAa,CAAC,EAAE,CAAC,CAAC;AAC1B,CAAC;AAED,KAAK,UAAU,IAAI;IACjB,OAAO,EAAE,CAAC;IACV,MAAM,QAAQ,GAAG,OAAO,CAAC,GAAG,CAAC,YAAY,CAAC;IAC1C,IAAI,CAAC,QAAQ;QAAE,MAAM,IAAI,KAAK,CAAC,0CAA0C,CAAC,CAAC;IAE3E,MAAM,EAAE,GAAG,QAAQ,CAAC,QAAQ,EAAE,EAAE,IAAI,EAAE,OAAO,EAAE,GAAG,EAAE,CAAC,EAAE,CAAC,CAAC;IACzD,IAAI,CAAC;QACH,MAAM,YAAY,CAAC,EAAE,CAAC,CAAC;QACvB,OAAO,CAAC,GAAG,CAAC,sEAAsE,CAAC,CAAC;IACtF,CAAC;YAAS,CAAC;QACT,MAAM,EAAE,CAAC,GAAG,CAAC,EAAE,OAAO,EAAE,CAAC,EAAE,CAAC,CAAC;IAC/B,CAAC;AACH,CAAC;AAED,oFAAoF;AACpF,IAAI,OAAO,CAAC,IAAI,CAAC,CAAC,CAAC,EAAE,QAAQ,CAAC,iBAAiB,CAAC,IAAI,OAAO,CAAC,IAAI,CAAC,CAAC,CAAC,EAAE,QAAQ,CAAC,iBAAiB,CAAC,EAAE,CAAC;IACjG,IAAI,EAAE,CAAC,KAAK,CAAC,CAAC,KAAK,EAAE,EAAE;QACrB,OAAO,CAAC,KAAK,CACX,mCAAmC,EACnC,KAAK,YAAY,KAAK,CAAC,CAAC,CAAC,KAAK,CAAC,OAAO,CAAC,CAAC,CAAC,KAAK,CAC/C,CAAC;QACF,OAAO,CAAC,IAAI,CAAC,CAAC,CAAC,CAAC;IAClB,CAAC,CAAC,CAAC;AACL,CAAC"}

package/dist/db/seed.js

@@ -10,7 +10,8 @@
  *
  * Idempotente. Uso: `pnpm db:seed`.
  */
-import { assignSystemRole, createDb, ensureMembership, ensureOrganization, ensureProductCatalog, ensureRbacCatalog, ensureTenant, ensureTenantProduct, loadEnv, seedSaasPlans, upsertUserWithPassword, } from '../index.js';
+import { seedCatalogs } from './seed-catalog.js';
+import { assignSystemRole, createDb, ensureMembership, ensureOrganization, ensureTenant, ensureTenantProduct, loadEnv, upsertUserWithPassword, } from '../index.js';
 async function main() {
     loadEnv();
     const ownerUrl = process.env.DATABASE_URL;
@@ -22,9 +23,9 @@ async function main() {
     const db = createDb(ownerUrl, { role: 'owner', max: 1 });
     try {
         // 1) Catálogos globais: RBAC + produtos do ecossistema.
-        await ensureRbacCatalog(db);
-        await ensureProductCatalog(db);
-        console.log('✓ Catálogos garantidos (RBAC + produtos do ecossistema).');
+        // Delegado a seed-catalog.ts — mesma fonte usada no boot da API.
+        await seedCatalogs(db);
+        console.log('✓ Catálogos garantidos (RBAC, produtos e planos SaaS).');
         // 2) Tenant fundador SC — dados legais não confirmados ficam NULOS.
         const tenantId = await ensureTenant(db, {
             code: 'sc',
@@ -39,21 +40,28 @@ async function main() {
         await ensureTenantProduct(db, tenantId, 'contabil');
         console.log('✓ Entitlement do produto Baruk Contábil concedido à SC.');
         // 4) Usuário administrador de DESENVOLVIMENTO (não é dado real de sócio).
+        //
+        // A senha só é gravada se a conta ainda não tiver credencial. Rodar este
+        // seed contra um ambiente já inicializado NÃO troca a senha de quem
+        // administra — ver a nota em `upsertUserWithPassword`. Para redefinir de
+        // propósito, use `SEED_OVERWRITE_ADMIN_PASSWORD=1`, que obriga quem executa
+        // a declarar a intenção no comando.
         const adminEmail = 'admin@sc.baruk.dev';
+        const overwritePassword = process.env.SEED_OVERWRITE_ADMIN_PASSWORD === '1';
         const admin = await upsertUserWithPassword(db, {
             email: adminEmail,
             fullName: 'Administrador SC (dev)',
             password: adminPassword,
             userType: 'staff',
+            overwritePassword,
         });
-        console.log(`✓ Usuário admin (dev) garantido: ${admin.email}`);
+        console.log(admin.passwordWasSet
+            ? `✓ Usuário admin (dev) garantido: ${admin.email} (senha ${overwritePassword ? 'REDEFINIDA' : 'definida'})`
+            : `✓ Usuário admin (dev) já existia: ${admin.email} (senha PRESERVADA — use SEED_OVERWRITE_ADMIN_PASSWORD=1 para redefinir)`);
         // 5) Vínculo + papel Owner.
         await ensureMembership(db, tenantId, admin.id);
         await assignSystemRole(db, tenantId, admin.id, 'owner');
         console.log('✓ Membership + papel Owner atribuídos ao admin no tenant SC.');
-        // 6) Catálogo de planos do SaaS (BILL-01) — idempotente.
-        await seedSaasPlans(db);
-        console.log('✓ Catálogo de planos SaaS garantido (starter/pro/enterprise/pro-anual).');
         console.log('\n✓ Seed concluído. Login dev: admin@sc.baruk.dev / (SEED_ADMIN_PASSWORD)');
     }
     finally {

package/dist/db/seed.js.map

@@ -1 +1 @@
-{"version":3,"file":"seed.js","sourceRoot":"","sources":["../../src/db/seed.ts"],"names":[],"mappings":"AAAA;;;;;;;;;;;GAWG;AACH,OAAO,EACL,gBAAgB,EAChB,QAAQ,EACR,gBAAgB,EAChB,kBAAkB,EAClB,oBAAoB,EACpB,iBAAiB,EACjB,YAAY,EACZ,mBAAmB,EACnB,OAAO,EACP,aAAa,EACb,sBAAsB,GACvB,MAAM,aAAa,CAAC;AAErB,KAAK,UAAU,IAAI;IACjB,OAAO,EAAE,CAAC;IACV,MAAM,QAAQ,GAAG,OAAO,CAAC,GAAG,CAAC,YAAY,CAAC;IAC1C,IAAI,CAAC,QAAQ;QAAE,MAAM,IAAI,KAAK,CAAC,0CAA0C,CAAC,CAAC;IAC3E,MAAM,aAAa,GAAG,OAAO,CAAC,GAAG,CAAC,mBAAmB,CAAC;IACtD,IAAI,CAAC,aAAa;QAAE,MAAM,IAAI,KAAK,CAAC,mCAAmC,CAAC,CAAC;IAEzE,MAAM,EAAE,GAAG,QAAQ,CAAC,QAAQ,EAAE,EAAE,IAAI,EAAE,OAAO,EAAE,GAAG,EAAE,CAAC,EAAE,CAAC,CAAC;IACzD,IAAI,CAAC;QACH,wDAAwD;QACxD,MAAM,iBAAiB,CAAC,EAAE,CAAC,CAAC;QAC5B,MAAM,oBAAoB,CAAC,EAAE,CAAC,CAAC;QAC/B,OAAO,CAAC,GAAG,CAAC,0DAA0D,CAAC,CAAC;QAExE,oEAAoE;QACpE,MAAM,QAAQ,GAAG,MAAM,YAAY,CAAC,EAAE,EAAE;YACtC,IAAI,EAAE,IAAI;YACV,WAAW,EAAE,yBAAyB;YACtC,SAAS,EAAE,IAAI,EAAE,uDAAuD;YACxE,MAAM,EAAE,QAAQ;YAChB,cAAc,EAAE,UAAU;SAC3B,CAAC,CAAC;QACH,OAAO,CAAC,GAAG,CAAC,0BAA0B,QAAQ,EAAE,CAAC,CAAC;QAElD,oEAAoE;QACpE,MAAM,kBAAkB,CAAC,EAAE,EAAE,QAAQ,EAAE,QAAQ,CAAC,CAAC;QACjD,MAAM,mBAAmB,CAAC,EAAE,EAAE,QAAQ,EAAE,UAAU,CAAC,CAAC;QACpD,OAAO,CAAC,GAAG,CAAC,yDAAyD,CAAC,CAAC;QAEvE,0EAA0E;QAC1E,MAAM,UAAU,GAAG,oBAAoB,CAAC;QACxC,MAAM,KAAK,GAAG,MAAM,sBAAsB,CAAC,EAAE,EAAE;YAC7C,KAAK,EAAE,UAAU;YACjB,QAAQ,EAAE,wBAAwB;YAClC,QAAQ,EAAE,aAAa;YACvB,QAAQ,EAAE,OAAO;SAClB,CAAC,CAAC;QACH,OAAO,CAAC,GAAG,CAAC,oCAAoC,KAAK,CAAC,KAAK,EAAE,CAAC,CAAC;QAE/D,4BAA4B;QAC5B,MAAM,gBAAgB,CAAC,EAAE,EAAE,QAAQ,EAAE,KAAK,CAAC,EAAE,CAAC,CAAC;QAC/C,MAAM,gBAAgB,CAAC,EAAE,EAAE,QAAQ,EAAE,KAAK,CAAC,EAAE,EAAE,OAAO,CAAC,CAAC;QACxD,OAAO,CAAC,GAAG,CAAC,8DAA8D,CAAC,CAAC;QAE5E,yDAAyD;QACzD,MAAM,aAAa,CAAC,EAAE,CAAC,CAAC;QACxB,OAAO,CAAC,GAAG,CAAC,yEAAyE,CAAC,CAAC;QAEvF,OAAO,CAAC,GAAG,CAAC,2EAA2E,CAAC,CAAC;IAC3F,CAAC;YAAS,CAAC;QACT,MAAM,EAAE,CAAC,GAAG,CAAC,EAAE,OAAO,EAAE,CAAC,EAAE,CAAC,CAAC;IAC/B,CAAC;AACH,CAAC;AAED,IAAI,EAAE,CAAC,KAAK,CAAC,CAAC,GAAG,EAAE,EAAE;IACnB,OAAO,CAAC,KAAK,CAAC,kBAAkB,EAAE,GAAG,YAAY,KAAK,CAAC,CAAC,CAAC,GAAG,CAAC,OAAO,CAAC,CAAC,CAAC,GAAG,CAAC,CAAC;IAC5E,OAAO,CAAC,IAAI,CAAC,CAAC,CAAC,CAAC;AAClB,CAAC,CAAC,CAAC"}
+{"version":3,"file":"seed.js","sourceRoot":"","sources":["../../src/db/seed.ts"],"names":[],"mappings":"AAAA;;;;;;;;;;;GAWG;AACH,OAAO,EAAE,YAAY,EAAE,MAAM,mBAAmB,CAAC;AACjD,OAAO,EACL,gBAAgB,EAChB,QAAQ,EACR,gBAAgB,EAChB,kBAAkB,EAClB,YAAY,EACZ,mBAAmB,EACnB,OAAO,EACP,sBAAsB,GACvB,MAAM,aAAa,CAAC;AAErB,KAAK,UAAU,IAAI;IACjB,OAAO,EAAE,CAAC;IACV,MAAM,QAAQ,GAAG,OAAO,CAAC,GAAG,CAAC,YAAY,CAAC;IAC1C,IAAI,CAAC,QAAQ;QAAE,MAAM,IAAI,KAAK,CAAC,0CAA0C,CAAC,CAAC;IAC3E,MAAM,aAAa,GAAG,OAAO,CAAC,GAAG,CAAC,mBAAmB,CAAC;IACtD,IAAI,CAAC,aAAa;QAAE,MAAM,IAAI,KAAK,CAAC,mCAAmC,CAAC,CAAC;IAEzE,MAAM,EAAE,GAAG,QAAQ,CAAC,QAAQ,EAAE,EAAE,IAAI,EAAE,OAAO,EAAE,GAAG,EAAE,CAAC,EAAE,CAAC,CAAC;IACzD,IAAI,CAAC;QACH,wDAAwD;QACxD,iEAAiE;QACjE,MAAM,YAAY,CAAC,EAAE,CAAC,CAAC;QACvB,OAAO,CAAC,GAAG,CAAC,wDAAwD,CAAC,CAAC;QAEtE,oEAAoE;QACpE,MAAM,QAAQ,GAAG,MAAM,YAAY,CAAC,EAAE,EAAE;YACtC,IAAI,EAAE,IAAI;YACV,WAAW,EAAE,yBAAyB;YACtC,SAAS,EAAE,IAAI,EAAE,uDAAuD;YACxE,MAAM,EAAE,QAAQ;YAChB,cAAc,EAAE,UAAU;SAC3B,CAAC,CAAC;QACH,OAAO,CAAC,GAAG,CAAC,0BAA0B,QAAQ,EAAE,CAAC,CAAC;QAElD,oEAAoE;QACpE,MAAM,kBAAkB,CAAC,EAAE,EAAE,QAAQ,EAAE,QAAQ,CAAC,CAAC;QACjD,MAAM,mBAAmB,CAAC,EAAE,EAAE,QAAQ,EAAE,UAAU,CAAC,CAAC;QACpD,OAAO,CAAC,GAAG,CAAC,yDAAyD,CAAC,CAAC;QAEvE,0EAA0E;QAC1E,EAAE;QACF,yEAAyE;QACzE,oEAAoE;QACpE,yEAAyE;QACzE,4EAA4E;QAC5E,oCAAoC;QACpC,MAAM,UAAU,GAAG,oBAAoB,CAAC;QACxC,MAAM,iBAAiB,GAAG,OAAO,CAAC,GAAG,CAAC,6BAA6B,KAAK,GAAG,CAAC;QAC5E,MAAM,KAAK,GAAG,MAAM,sBAAsB,CAAC,EAAE,EAAE;YAC7C,KAAK,EAAE,UAAU;YACjB,QAAQ,EAAE,wBAAwB;YAClC,QAAQ,EAAE,aAAa;YACvB,QAAQ,EAAE,OAAO;YACjB,iBAAiB;SAClB,CAAC,CAAC;QACH,OAAO,CAAC,GAAG,CACT,KAAK,CAAC,cAAc;YAClB,CAAC,CAAC,oCAAoC,KAAK,CAAC,KAAK,WAAW,iBAAiB,CAAC,CAAC,CAAC,YAAY,CAAC,CAAC,CAAC,UAAU,GAAG;YAC5G,CAAC,CAAC,qCAAqC,KAAK,CAAC,KAAK,0EAA0E,CAC/H,CAAC;QAEF,4BAA4B;QAC5B,MAAM,gBAAgB,CAAC,EAAE,EAAE,QAAQ,EAAE,KAAK,CAAC,EAAE,CAAC,CAAC;QAC/C,MAAM,gBAAgB,CAAC,EAAE,EAAE,QAAQ,EAAE,KAAK,CAAC,EAAE,EAAE,OAAO,CAAC,CAAC;QACxD,OAAO,CAAC,GAAG,CAAC,8DAA8D,CAAC,CAAC;QAE5E,OAAO,CAAC,GAAG,CAAC,2EAA2E,CAAC,CAAC;IAC3F,CAAC;YAAS,CAAC;QACT,MAAM,EAAE,CAAC,GAAG,CAAC,EAAE,OAAO,EAAE,CAAC,EAAE,CAAC,CAAC;IAC/B,CAAC;AACH,CAAC;AAED,IAAI,EAAE,CAAC,KAAK,CAAC,CAAC,GAAG,EAAE,EAAE;IACnB,OAAO,CAAC,KAAK,CAAC,kBAAkB,EAAE,GAAG,YAAY,KAAK,CAAC,CAAC,CAAC,GAAG,CAAC,OAAO,CAAC,CAAC,CAAC,GAAG,CAAC,CAAC;IAC5E,OAAO,CAAC,IAAI,CAAC,CAAC,CAAC,CAAC;AAClB,CAAC,CAAC,CAAC"}