@baruk/core 0.4.2 → 0.5.0

package/dist/cjs/fiscal/transport/https.js

@@ -0,0 +1,309 @@
+"use strict";
+Object.defineProperty(exports, "__esModule", { value: true });
+exports.HttpsFiscalTransport = void 0;
+exports.assertNoTlsBypass = assertNoTlsBypass;
+exports.retryAfterOf = retryAfterOf;
+const node_https_1 = require("node:https");
+const node_tls_1 = require("node:tls");
+const node_url_1 = require("node:url");
+const types_js_1 = require("./types.js");
+/**
+ * Códigos de erro do Node que significam "o material do CLIENTE não serve".
+ *
+ * A separação de `tls` (problema do servidor) importa porque os tratamentos são
+ * opostos: cadeia do servidor inválida pode ser infraestrutura nossa; material
+ * do cliente inválido é sempre uma pessoa que precisa trocar um certificado, e
+ * retentar não muda nada.
+ */
+const CLIENT_MATERIAL_CODES = new Set([
+    'ERR_OSSL_PKCS12_MAC_VERIFY_FAILURE',
+    'ERR_OSSL_EVP_UNSUPPORTED',
+    'ERR_OSSL_UNSUPPORTED',
+    'ERR_OSSL_ASN1_HEADER_TOO_LONG',
+    'ERR_OSSL_PEM_NO_START_LINE',
+    'ERR_OSSL_PEM_BAD_END_LINE',
+    'ERR_TLS_INVALID_CONTEXT',
+]);
+/** Códigos que dizem: o SERVIDOR recusou o que apresentamos (ou a falta disso). */
+const SERVER_REJECTED_CLIENT = [
+    'ALERT_CERTIFICATE_REQUIRED',
+    'ALERT_BAD_CERTIFICATE',
+    'ALERT_CERTIFICATE_EXPIRED',
+    'ALERT_CERTIFICATE_REVOKED',
+    'ALERT_CERTIFICATE_UNKNOWN',
+    'ALERT_UNKNOWN_CA',
+    'ALERT_HANDSHAKE_FAILURE',
+    'ALERT_DECRYPT_ERROR',
+];
+/** Códigos que dizem: a cadeia do SERVIDOR não fecha, ou o nome não bate. */
+const SERVER_CHAIN_CODES = new Set([
+    'UNABLE_TO_VERIFY_LEAF_SIGNATURE',
+    'UNABLE_TO_GET_ISSUER_CERT',
+    'UNABLE_TO_GET_ISSUER_CERT_LOCALLY',
+    'SELF_SIGNED_CERT_IN_CHAIN',
+    'DEPTH_ZERO_SELF_SIGNED_CERT',
+    'CERT_HAS_EXPIRED',
+    'CERT_NOT_YET_VALID',
+    'CERT_UNTRUSTED',
+    'ERR_TLS_CERT_ALTNAME_INVALID',
+    'ERR_TLS_HANDSHAKE_TIMEOUT',
+]);
+const NETWORK_CODES = new Set([
+    'ECONNREFUSED',
+    'ECONNRESET',
+    'EPIPE',
+    'EHOSTUNREACH',
+    'ENETUNREACH',
+    'ENOTFOUND',
+    'EAI_AGAIN',
+    'EADDRNOTAVAIL',
+]);
+/**
+ * As opções que serão entregues ao socket, conferidas.
+ *
+ * Exportada porque o teste de regressão precisa exercitar a rejeição — um portão
+ * que só é conferido pela leitura do código não é um portão.
+ */
+function assertNoTlsBypass(options) {
+    // Comparação por VALOR e não por presença: `rejectUnauthorized: true` é o que
+    // queremos e passa; qualquer coisa falsa fecha, inclusive `0`, `''` e `null`.
+    if ('rejectUnauthorized' in options && !options.rejectUnauthorized) {
+        throw new types_js_1.FiscalTransportError('protocol', 'TLS_VERIFICATION_DISABLED');
+    }
+    // Substituir a validação de identidade por uma função que não valida nada é o
+    // mesmo bypass com outro nome, e é a forma que passa despercebida em revisão.
+    if ('checkServerIdentity' in options && options.checkServerIdentity !== undefined) {
+        throw new types_js_1.FiscalTransportError('protocol', 'TLS_IDENTITY_CHECK_OVERRIDDEN');
+    }
+}
+class HttpsFiscalTransport {
+    kind = 'https';
+    agent;
+    servername;
+    /** Apresentamos certificado de cliente? Decide a leitura do reset abaixo. */
+    presentsClientCert;
+    maxResponseBytes;
+    constructor(options = {}) {
+        const material = options.tls ?? null;
+        this.servername = options.servername;
+        this.presentsClientCert = Boolean(material?.pfx ?? material?.cert);
+        this.maxResponseBytes = options.maxResponseBytes ?? Number.POSITIVE_INFINITY;
+        // O contexto é montado AGORA, e não no primeiro socket, para que uma senha
+        // errada de PKCS#12 falhe como "material do cliente inválido" — e não como
+        // um `ECONNRESET` seis camadas adiante, que é o mesmo sintoma de rede fora.
+        let secureContext;
+        if (material) {
+            try {
+                secureContext = (0, node_tls_1.createSecureContext)({
+                    ...(material.pfx ? { pfx: material.pfx } : {}),
+                    ...(material.passphrase ? { passphrase: material.passphrase } : {}),
+                    ...(material.cert ? { cert: material.cert } : {}),
+                    ...(material.key ? { key: material.key } : {}),
+                    ...(material.ca ? { ca: [...material.ca] } : {}),
+                });
+            }
+            catch (err) {
+                throw new types_js_1.FiscalTransportError('certificate', codeOf(err, CLIENT_MATERIAL_CODES));
+            }
+        }
+        const agentOptions = {
+            keepAlive: false,
+            maxSockets: options.maxSockets ?? 1,
+            // Declarado, e não omitido. O default do Node já é `true`; escrevê-lo faz
+            // o teste de regressão ter o que conferir e torna a intenção legível.
+            rejectUnauthorized: true,
+            ...(secureContext ? { secureContext } : {}),
+            // Sem material de cliente, a CA extra ainda pode ser necessária para
+            // validar o SERVIDOR — e acrescentar CA é o oposto de desligar a checagem.
+            ...(!secureContext && material?.ca ? { ca: [...material.ca] } : {}),
+        };
+        assertNoTlsBypass(agentOptions);
+        this.agent = new node_https_1.Agent(agentOptions);
+    }
+    async send(req) {
+        let url;
+        try {
+            url = new node_url_1.URL(req.url);
+        }
+        catch {
+            throw new types_js_1.FiscalTransportError('protocol', 'URL_INVALID');
+        }
+        // `http:` contra o ambiente nacional não é degradação: é o certificado do
+        // cliente viajando em claro. Fecha antes de abrir socket.
+        if (url.protocol !== 'https:') {
+            throw new types_js_1.FiscalTransportError('protocol', 'URL_NOT_HTTPS');
+        }
+        if (!Number.isFinite(req.timeoutMs) || req.timeoutMs <= 0) {
+            throw new types_js_1.FiscalTransportError('protocol', 'TIMEOUT_REQUIRED');
+        }
+        const requestOptions = {
+            method: req.method,
+            agent: this.agent,
+            headers: req.headers ?? {},
+            rejectUnauthorized: true,
+            ...(this.servername ? { servername: this.servername } : {}),
+        };
+        assertNoTlsBypass(requestOptions);
+        return new Promise((resolve, reject) => {
+            let settled = false;
+            const finish = (fn) => {
+                if (settled)
+                    return;
+                settled = true;
+                fn();
+            };
+            /*
+             * O reset que na verdade é uma recusa de credencial.
+             *
+             * No TLS 1.3 o servidor só valida o certificado do cliente DEPOIS de
+             * enviar o próprio `Finished`. O cliente, que já considera o handshake
+             * concluído, recebe o alerta como um socket derrubado: `ECONNRESET`, sem
+             * código de alerta nenhum. Ou seja: "meu certificado foi recusado" e "a
+             * rede caiu" chegam com o MESMO código.
+             *
+             * A distinção importa porque os tratamentos são opostos — rede volta
+             * sozinha e merece retentativa; certificado recusado só é resolvido por
+             * uma pessoa, e retentar consome a cota do cliente sem chance de sucesso.
+             *
+             * A leitura usa três fatos observáveis, e é heurística assumida: se
+             * APRESENTAMOS certificado, o handshake COMPLETOU, e o servidor derrubou
+             * antes de qualquer byte de resposta, a causa quase certa é a validação
+             * do nosso certificado. Uma rede que cai exatamente nessa janela seria
+             * classificada como credencial — e essa é a troca certa: o falso positivo
+             * gera uma tarefa humana a mais; o falso negativo gera retentativa
+             * infinita contra um handshake que nunca vai fechar.
+             */
+            let handshakeConcluido = false;
+            let bytesRecebidos = 0;
+            const tetoCorpo = this.maxResponseBytes;
+            const r = (0, node_https_1.request)(url, requestOptions, (res) => {
+                const chunks = [];
+                res.on('data', (c) => {
+                    bytesRecebidos += c.length;
+                    // O teto é conferido ENQUANTO os pedaços chegam, e não no fim: conferir
+                    // no fim significa já ter alocado exatamente o que se queria recusar.
+                    // `Content-Length` não serve de portão — um servidor hostil o omite,
+                    // mente, ou usa `chunked`.
+                    if (bytesRecebidos > tetoCorpo) {
+                        finish(() => {
+                            res.destroy();
+                            r.destroy();
+                            reject(new types_js_1.FiscalTransportError('protocol', 'RESPONSE_TOO_LARGE'));
+                        });
+                        return;
+                    }
+                    chunks.push(c);
+                });
+                res.on('error', (err) => finish(() => reject(classify(err))));
+                res.on('end', () => finish(() => resolve({
+                    status: res.statusCode ?? 0,
+                    headers: lowerCaseHeaders(res.headers),
+                    body: Buffer.concat(chunks),
+                })));
+            });
+            // Dois relógios, de propósito. `setTimeout` do Node só conta OCIOSIDADE do
+            // socket: um servidor que envia um byte por segundo o mantém aberto para
+            // sempre. O temporizador absoluto é o teto que a espera realmente tem.
+            const hardStop = setTimeout(() => {
+                finish(() => {
+                    r.destroy();
+                    reject(new types_js_1.FiscalTransportError('timeout', 'DEADLINE_EXCEEDED'));
+                });
+            }, req.timeoutMs);
+            // `unref` para que um teste que esqueça de fechar não segure o processo.
+            hardStop.unref?.();
+            r.setTimeout(req.timeoutMs, () => {
+                finish(() => {
+                    r.destroy();
+                    reject(new types_js_1.FiscalTransportError('timeout', 'SOCKET_IDLE'));
+                });
+            });
+            r.on('socket', (socket) => {
+                socket.on('secureConnect', () => {
+                    handshakeConcluido = true;
+                });
+            });
+            r.on('error', (err) => finish(() => reject(classify(err, {
+                presentsClientCert: this.presentsClientCert,
+                handshakeCompleted: handshakeConcluido,
+                bytesReceived: bytesRecebidos,
+            }))));
+            r.on('close', () => clearTimeout(hardStop));
+            if (req.body != null)
+                r.write(req.body);
+            r.end();
+        });
+    }
+}
+exports.HttpsFiscalTransport = HttpsFiscalTransport;
+function lowerCaseHeaders(raw) {
+    const out = {};
+    for (const [k, v] of Object.entries(raw)) {
+        if (v === undefined)
+            continue;
+        out[k.toLowerCase()] = Array.isArray(v) ? v.join(', ') : String(v);
+    }
+    return out;
+}
+/**
+ * O código do erro, sem nunca ler a mensagem.
+ *
+ * Quando o Node não fornece `code`, devolve um rótulo genérico. Um rótulo
+ * genérico é pior para depurar e melhor para a segurança — e essa é a troca
+ * certa numa camada por onde passa certificado de terceiro.
+ */
+function codeOf(err, fallbackSet) {
+    const code = err?.code;
+    if (typeof code === 'string' && code.length > 0 && code.length <= 64) {
+        return fallbackSet && !fallbackSet.has(code) ? code : code;
+    }
+    return 'UNCLASSIFIED';
+}
+/** Traduz o erro do socket para a taxonomia do transporte. Só pelo `code`. */
+function classify(err, context) {
+    if (err instanceof types_js_1.FiscalTransportError)
+        return err;
+    const code = codeOf(err);
+    if (CLIENT_MATERIAL_CODES.has(code))
+        return new types_js_1.FiscalTransportError('certificate', code);
+    // Alerta de TLS: o servidor recusou o que apresentamos — ou a ausência disso.
+    // É problema de CREDENCIAL, e não de rede, mesmo chegando pelo socket.
+    if (SERVER_REJECTED_CLIENT.some((a) => code.includes(a))) {
+        return new types_js_1.FiscalTransportError('certificate', code);
+    }
+    if (SERVER_CHAIN_CODES.has(code))
+        return new types_js_1.FiscalTransportError('tls', code);
+    if (code === 'ETIMEDOUT' || code === 'ESOCKETTIMEDOUT') {
+        return new types_js_1.FiscalTransportError('timeout', code);
+    }
+    if (NETWORK_CODES.has(code)) {
+        if ((code === 'ECONNRESET' || code === 'EPIPE') &&
+            context?.presentsClientCert &&
+            context.handshakeCompleted &&
+            context.bytesReceived === 0) {
+            // Ver `send`: o alerta pós-handshake do TLS 1.3. O código anexado diz que
+            // a leitura foi inferida, para que ninguém a confunda com um alerta
+            // nomeado que o OpenSSL tivesse entregue.
+            return new types_js_1.FiscalTransportError('certificate', 'CLIENT_CERT_REJECTED_INFERRED');
+        }
+        return new types_js_1.FiscalTransportError('network', code);
+    }
+    // Erro de TLS não catalogado ainda é TLS: `ERR_SSL_*` cobre alertas que este
+    // arquivo não previu, e tratá-los como rede faria o motor retentar contra um
+    // handshake que nunca vai fechar.
+    if (code.startsWith('ERR_SSL') || code.startsWith('ERR_TLS')) {
+        return new types_js_1.FiscalTransportError('tls', code);
+    }
+    return new types_js_1.FiscalTransportError('network', code);
+}
+/**
+ * Espera pedida por uma RESPOSTA (e não por um erro).
+ *
+ * Um `429` ou `503` com `Retry-After` é o servidor dizendo exatamente quando
+ * voltar. Ignorá-lo e aplicar o nosso backoff seria substituir a informação de
+ * quem sabe pela estimativa de quem não sabe.
+ */
+function retryAfterOf(res, now = new Date()) {
+    return (0, types_js_1.parseRetryAfter)(res.headers['retry-after'], now);
+}
+//# sourceMappingURL=https.js.map

package/dist/cjs/fiscal/transport/https.js.map

@@ -0,0 +1 @@
+{"version":3,"file":"https.js","sourceRoot":"","sources":["../../../../src/fiscal/transport/https.ts"],"names":[],"mappings":";;;AA2HA,8CAWC;AAoQD,oCAEC;AA5YD,2CAA4D;AAC5D,uCAAmE;AACnE,uCAA+B;AAC/B,yCAOoB;AAoDpB;;;;;;;GAOG;AACH,MAAM,qBAAqB,GAAG,IAAI,GAAG,CAAC;IACpC,oCAAoC;IACpC,0BAA0B;IAC1B,sBAAsB;IACtB,+BAA+B;IAC/B,4BAA4B;IAC5B,2BAA2B;IAC3B,yBAAyB;CAC1B,CAAC,CAAC;AAEH,mFAAmF;AACnF,MAAM,sBAAsB,GAAG;IAC7B,4BAA4B;IAC5B,uBAAuB;IACvB,2BAA2B;IAC3B,2BAA2B;IAC3B,2BAA2B;IAC3B,kBAAkB;IAClB,yBAAyB;IACzB,qBAAqB;CACtB,CAAC;AAEF,6EAA6E;AAC7E,MAAM,kBAAkB,GAAG,IAAI,GAAG,CAAC;IACjC,iCAAiC;IACjC,2BAA2B;IAC3B,mCAAmC;IACnC,2BAA2B;IAC3B,6BAA6B;IAC7B,kBAAkB;IAClB,oBAAoB;IACpB,gBAAgB;IAChB,8BAA8B;IAC9B,2BAA2B;CAC5B,CAAC,CAAC;AAEH,MAAM,aAAa,GAAG,IAAI,GAAG,CAAC;IAC5B,cAAc;IACd,YAAY;IACZ,OAAO;IACP,cAAc;IACd,aAAa;IACb,WAAW;IACX,WAAW;IACX,eAAe;CAChB,CAAC,CAAC;AAEH;;;;;GAKG;AACH,SAAgB,iBAAiB,CAAC,OAAgC;IAChE,8EAA8E;IAC9E,8EAA8E;IAC9E,IAAI,oBAAoB,IAAI,OAAO,IAAI,CAAC,OAAO,CAAC,kBAAkB,EAAE,CAAC;QACnE,MAAM,IAAI,+BAAoB,CAAC,UAAU,EAAE,2BAA2B,CAAC,CAAC;IAC1E,CAAC;IACD,8EAA8E;IAC9E,8EAA8E;IAC9E,IAAI,qBAAqB,IAAI,OAAO,IAAI,OAAO,CAAC,mBAAmB,KAAK,SAAS,EAAE,CAAC;QAClF,MAAM,IAAI,+BAAoB,CAAC,UAAU,EAAE,+BAA+B,CAAC,CAAC;IAC9E,CAAC;AACH,CAAC;AAED,MAAa,oBAAoB;IACtB,IAAI,GAAG,OAAO,CAAC;IACP,KAAK,CAAQ;IACb,UAAU,CAAqB;IAChD,6EAA6E;IAC5D,kBAAkB,CAAU;IAC5B,gBAAgB,CAAS;IAE1C,YAAY,UAAuC,EAAE;QACnD,MAAM,QAAQ,GAAG,OAAO,CAAC,GAAG,IAAI,IAAI,CAAC;QACrC,IAAI,CAAC,UAAU,GAAG,OAAO,CAAC,UAAU,CAAC;QACrC,IAAI,CAAC,kBAAkB,GAAG,OAAO,CAAC,QAAQ,EAAE,GAAG,IAAI,QAAQ,EAAE,IAAI,CAAC,CAAC;QACnE,IAAI,CAAC,gBAAgB,GAAG,OAAO,CAAC,gBAAgB,IAAI,MAAM,CAAC,iBAAiB,CAAC;QAE7E,2EAA2E;QAC3E,2EAA2E;QAC3E,4EAA4E;QAC5E,IAAI,aAAwC,CAAC;QAC7C,IAAI,QAAQ,EAAE,CAAC;YACb,IAAI,CAAC;gBACH,aAAa,GAAG,IAAA,8BAAmB,EAAC;oBAClC,GAAG,CAAC,QAAQ,CAAC,GAAG,CAAC,CAAC,CAAC,EAAE,GAAG,EAAE,QAAQ,CAAC,GAAG,EAAE,CAAC,CAAC,CAAC,EAAE,CAAC;oBAC9C,GAAG,CAAC,QAAQ,CAAC,UAAU,CAAC,CAAC,CAAC,EAAE,UAAU,EAAE,QAAQ,CAAC,UAAU,EAAE,CAAC,CAAC,CAAC,EAAE,CAAC;oBACnE,GAAG,CAAC,QAAQ,CAAC,IAAI,CAAC,CAAC,CAAC,EAAE,IAAI,EAAE,QAAQ,CAAC,IAAI,EAAE,CAAC,CAAC,CAAC,EAAE,CAAC;oBACjD,GAAG,CAAC,QAAQ,CAAC,GAAG,CAAC,CAAC,CAAC,EAAE,GAAG,EAAE,QAAQ,CAAC,GAAG,EAAE,CAAC,CAAC,CAAC,EAAE,CAAC;oBAC9C,GAAG,CAAC,QAAQ,CAAC,EAAE,CAAC,CAAC,CAAC,EAAE,EAAE,EAAE,CAAC,GAAG,QAAQ,CAAC,EAAE,CAAC,EAAE,CAAC,CAAC,CAAC,EAAE,CAAC;iBACjD,CAAC,CAAC;YACL,CAAC;YAAC,OAAO,GAAG,EAAE,CAAC;gBACb,MAAM,IAAI,+BAAoB,CAAC,aAAa,EAAE,MAAM,CAAC,GAAG,EAAE,qBAAqB,CAAC,CAAC,CAAC;YACpF,CAAC;QACH,CAAC;QAED,MAAM,YAAY,GAA4B;YAC5C,SAAS,EAAE,KAAK;YAChB,UAAU,EAAE,OAAO,CAAC,UAAU,IAAI,CAAC;YACnC,0EAA0E;YAC1E,sEAAsE;YACtE,kBAAkB,EAAE,IAAI;YACxB,GAAG,CAAC,aAAa,CAAC,CAAC,CAAC,EAAE,aAAa,EAAE,CAAC,CAAC,CAAC,EAAE,CAAC;YAC3C,qEAAqE;YACrE,2EAA2E;YAC3E,GAAG,CAAC,CAAC,aAAa,IAAI,QAAQ,EAAE,EAAE,CAAC,CAAC,CAAC,EAAE,EAAE,EAAE,CAAC,GAAG,QAAQ,CAAC,EAAE,CAAC,EAAE,CAAC,CAAC,CAAC,EAAE,CAAC;SACpE,CAAC;QACF,iBAAiB,CAAC,YAAY,CAAC,CAAC;QAChC,IAAI,CAAC,KAAK,GAAG,IAAI,kBAAK,CAAC,YAAY,CAAC,CAAC;IACvC,CAAC;IAED,KAAK,CAAC,IAAI,CAAC,GAA2B;QACpC,IAAI,GAAQ,CAAC;QACb,IAAI,CAAC;YACH,GAAG,GAAG,IAAI,cAAG,CAAC,GAAG,CAAC,GAAG,CAAC,CAAC;QACzB,CAAC;QAAC,MAAM,CAAC;YACP,MAAM,IAAI,+BAAoB,CAAC,UAAU,EAAE,aAAa,CAAC,CAAC;QAC5D,CAAC;QACD,0EAA0E;QAC1E,0DAA0D;QAC1D,IAAI,GAAG,CAAC,QAAQ,KAAK,QAAQ,EAAE,CAAC;YAC9B,MAAM,IAAI,+BAAoB,CAAC,UAAU,EAAE,eAAe,CAAC,CAAC;QAC9D,CAAC;QACD,IAAI,CAAC,MAAM,CAAC,QAAQ,CAAC,GAAG,CAAC,SAAS,CAAC,IAAI,GAAG,CAAC,SAAS,IAAI,CAAC,EAAE,CAAC;YAC1D,MAAM,IAAI,+BAAoB,CAAC,UAAU,EAAE,kBAAkB,CAAC,CAAC;QACjE,CAAC;QAED,MAAM,cAAc,GAA4B;YAC9C,MAAM,EAAE,GAAG,CAAC,MAAM;YAClB,KAAK,EAAE,IAAI,CAAC,KAAK;YACjB,OAAO,EAAE,GAAG,CAAC,OAAO,IAAI,EAAE;YAC1B,kBAAkB,EAAE,IAAI;YACxB,GAAG,CAAC,IAAI,CAAC,UAAU,CAAC,CAAC,CAAC,EAAE,UAAU,EAAE,IAAI,CAAC,UAAU,EAAE,CAAC,CAAC,CAAC,EAAE,CAAC;SAC5D,CAAC;QACF,iBAAiB,CAAC,cAAc,CAAC,CAAC;QAElC,OAAO,IAAI,OAAO,CAA0B,CAAC,OAAO,EAAE,MAAM,EAAE,EAAE;YAC9D,IAAI,OAAO,GAAG,KAAK,CAAC;YACpB,MAAM,MAAM,GAAG,CAAC,EAAc,EAAE,EAAE;gBAChC,IAAI,OAAO;oBAAE,OAAO;gBACpB,OAAO,GAAG,IAAI,CAAC;gBACf,EAAE,EAAE,CAAC;YACP,CAAC,CAAC;YAEF;;;;;;;;;;;;;;;;;;;;eAoBG;YACH,IAAI,kBAAkB,GAAG,KAAK,CAAC;YAC/B,IAAI,cAAc,GAAG,CAAC,CAAC;YAEvB,MAAM,SAAS,GAAG,IAAI,CAAC,gBAAgB,CAAC;YACxC,MAAM,CAAC,GAAG,IAAA,oBAAY,EAAC,GAAG,EAAE,cAAc,EAAE,CAAC,GAAG,EAAE,EAAE;gBAClD,MAAM,MAAM,GAAa,EAAE,CAAC;gBAC5B,GAAG,CAAC,EAAE,CAAC,MAAM,EAAE,CAAC,CAAS,EAAE,EAAE;oBAC3B,cAAc,IAAI,CAAC,CAAC,MAAM,CAAC;oBAC3B,wEAAwE;oBACxE,sEAAsE;oBACtE,qEAAqE;oBACrE,2BAA2B;oBAC3B,IAAI,cAAc,GAAG,SAAS,EAAE,CAAC;wBAC/B,MAAM,CAAC,GAAG,EAAE;4BACV,GAAG,CAAC,OAAO,EAAE,CAAC;4BACd,CAAC,CAAC,OAAO,EAAE,CAAC;4BACZ,MAAM,CAAC,IAAI,+BAAoB,CAAC,UAAU,EAAE,oBAAoB,CAAC,CAAC,CAAC;wBACrE,CAAC,CAAC,CAAC;wBACH,OAAO;oBACT,CAAC;oBACD,MAAM,CAAC,IAAI,CAAC,CAAC,CAAC,CAAC;gBACjB,CAAC,CAAC,CAAC;gBACH,GAAG,CAAC,EAAE,CAAC,OAAO,EAAE,CAAC,GAAG,EAAE,EAAE,CAAC,MAAM,CAAC,GAAG,EAAE,CAAC,MAAM,CAAC,QAAQ,CAAC,GAAG,CAAC,CAAC,CAAC,CAAC,CAAC;gBAC9D,GAAG,CAAC,EAAE,CAAC,KAAK,EAAE,GAAG,EAAE,CACjB,MAAM,CAAC,GAAG,EAAE,CACV,OAAO,CAAC;oBACN,MAAM,EAAE,GAAG,CAAC,UAAU,IAAI,CAAC;oBAC3B,OAAO,EAAE,gBAAgB,CAAC,GAAG,CAAC,OAAO,CAAC;oBACtC,IAAI,EAAE,MAAM,CAAC,MAAM,CAAC,MAAM,CAAC;iBAC5B,CAAC,CACH,CACF,CAAC;YACJ,CAAC,CAAC,CAAC;YAEH,2EAA2E;YAC3E,yEAAyE;YACzE,uEAAuE;YACvE,MAAM,QAAQ,GAAG,UAAU,CAAC,GAAG,EAAE;gBAC/B,MAAM,CAAC,GAAG,EAAE;oBACV,CAAC,CAAC,OAAO,EAAE,CAAC;oBACZ,MAAM,CAAC,IAAI,+BAAoB,CAAC,SAAS,EAAE,mBAAmB,CAAC,CAAC,CAAC;gBACnE,CAAC,CAAC,CAAC;YACL,CAAC,EAAE,GAAG,CAAC,SAAS,CAAC,CAAC;YAClB,yEAAyE;YACzE,QAAQ,CAAC,KAAK,EAAE,EAAE,CAAC;YAEnB,CAAC,CAAC,UAAU,CAAC,GAAG,CAAC,SAAS,EAAE,GAAG,EAAE;gBAC/B,MAAM,CAAC,GAAG,EAAE;oBACV,CAAC,CAAC,OAAO,EAAE,CAAC;oBACZ,MAAM,CAAC,IAAI,+BAAoB,CAAC,SAAS,EAAE,aAAa,CAAC,CAAC,CAAC;gBAC7D,CAAC,CAAC,CAAC;YACL,CAAC,CAAC,CAAC;YACH,CAAC,CAAC,EAAE,CAAC,QAAQ,EAAE,CAAC,MAAM,EAAE,EAAE;gBACxB,MAAM,CAAC,EAAE,CAAC,eAAe,EAAE,GAAG,EAAE;oBAC9B,kBAAkB,GAAG,IAAI,CAAC;gBAC5B,CAAC,CAAC,CAAC;YACL,CAAC,CAAC,CAAC;YACH,CAAC,CAAC,EAAE,CAAC,OAAO,EAAE,CAAC,GAAG,EAAE,EAAE,CACpB,MAAM,CAAC,GAAG,EAAE,CACV,MAAM,CACJ,QAAQ,CAAC,GAAG,EAAE;gBACZ,kBAAkB,EAAE,IAAI,CAAC,kBAAkB;gBAC3C,kBAAkB,EAAE,kBAAkB;gBACtC,aAAa,EAAE,cAAc;aAC9B,CAAC,CACH,CACF,CACF,CAAC;YACF,CAAC,CAAC,EAAE,CAAC,OAAO,EAAE,GAAG,EAAE,CAAC,YAAY,CAAC,QAAQ,CAAC,CAAC,CAAC;YAE5C,IAAI,GAAG,CAAC,IAAI,IAAI,IAAI;gBAAE,CAAC,CAAC,KAAK,CAAC,GAAG,CAAC,IAAI,CAAC,CAAC;YACxC,CAAC,CAAC,GAAG,EAAE,CAAC;QACV,CAAC,CAAC,CAAC;IACL,CAAC;CACF;AA/KD,oDA+KC;AAED,SAAS,gBAAgB,CAAC,GAA4B;IACpD,MAAM,GAAG,GAA2B,EAAE,CAAC;IACvC,KAAK,MAAM,CAAC,CAAC,EAAE,CAAC,CAAC,IAAI,MAAM,CAAC,OAAO,CAAC,GAAG,CAAC,EAAE,CAAC;QACzC,IAAI,CAAC,KAAK,SAAS;YAAE,SAAS;QAC9B,GAAG,CAAC,CAAC,CAAC,WAAW,EAAE,CAAC,GAAG,KAAK,CAAC,OAAO,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,IAAI,CAAC,IAAI,CAAC,CAAC,CAAC,CAAC,MAAM,CAAC,CAAC,CAAC,CAAC;IACrE,CAAC;IACD,OAAO,GAAG,CAAC;AACb,CAAC;AAED;;;;;;GAMG;AACH,SAAS,MAAM,CAAC,GAAY,EAAE,WAAiC;IAC7D,MAAM,IAAI,GAAI,GAAiC,EAAE,IAAI,CAAC;IACtD,IAAI,OAAO,IAAI,KAAK,QAAQ,IAAI,IAAI,CAAC,MAAM,GAAG,CAAC,IAAI,IAAI,CAAC,MAAM,IAAI,EAAE,EAAE,CAAC;QACrE,OAAO,WAAW,IAAI,CAAC,WAAW,CAAC,GAAG,CAAC,IAAI,CAAC,CAAC,CAAC,CAAC,IAAI,CAAC,CAAC,CAAC,IAAI,CAAC;IAC7D,CAAC;IACD,OAAO,cAAc,CAAC;AACxB,CAAC;AAcD,8EAA8E;AAC9E,SAAS,QAAQ,CAAC,GAAY,EAAE,OAA2B;IACzD,IAAI,GAAG,YAAY,+BAAoB;QAAE,OAAO,GAAG,CAAC;IACpD,MAAM,IAAI,GAAG,MAAM,CAAC,GAAG,CAAC,CAAC;IAEzB,IAAI,qBAAqB,CAAC,GAAG,CAAC,IAAI,CAAC;QAAE,OAAO,IAAI,+BAAoB,CAAC,aAAa,EAAE,IAAI,CAAC,CAAC;IAC1F,8EAA8E;IAC9E,uEAAuE;IACvE,IAAI,sBAAsB,CAAC,IAAI,CAAC,CAAC,CAAC,EAAE,EAAE,CAAC,IAAI,CAAC,QAAQ,CAAC,CAAC,CAAC,CAAC,EAAE,CAAC;QACzD,OAAO,IAAI,+BAAoB,CAAC,aAAa,EAAE,IAAI,CAAC,CAAC;IACvD,CAAC;IACD,IAAI,kBAAkB,CAAC,GAAG,CAAC,IAAI,CAAC;QAAE,OAAO,IAAI,+BAAoB,CAAC,KAAK,EAAE,IAAI,CAAC,CAAC;IAC/E,IAAI,IAAI,KAAK,WAAW,IAAI,IAAI,KAAK,iBAAiB,EAAE,CAAC;QACvD,OAAO,IAAI,+BAAoB,CAAC,SAAS,EAAE,IAAI,CAAC,CAAC;IACnD,CAAC;IACD,IAAI,aAAa,CAAC,GAAG,CAAC,IAAI,CAAC,EAAE,CAAC;QAC5B,IACE,CAAC,IAAI,KAAK,YAAY,IAAI,IAAI,KAAK,OAAO,CAAC;YAC3C,OAAO,EAAE,kBAAkB;YAC3B,OAAO,CAAC,kBAAkB;YAC1B,OAAO,CAAC,aAAa,KAAK,CAAC,EAC3B,CAAC;YACD,0EAA0E;YAC1E,oEAAoE;YACpE,0CAA0C;YAC1C,OAAO,IAAI,+BAAoB,CAAC,aAAa,EAAE,+BAA+B,CAAC,CAAC;QAClF,CAAC;QACD,OAAO,IAAI,+BAAoB,CAAC,SAAS,EAAE,IAAI,CAAC,CAAC;IACnD,CAAC;IACD,6EAA6E;IAC7E,6EAA6E;IAC7E,kCAAkC;IAClC,IAAI,IAAI,CAAC,UAAU,CAAC,SAAS,CAAC,IAAI,IAAI,CAAC,UAAU,CAAC,SAAS,CAAC,EAAE,CAAC;QAC7D,OAAO,IAAI,+BAAoB,CAAC,KAAK,EAAE,IAAI,CAAC,CAAC;IAC/C,CAAC;IACD,OAAO,IAAI,+BAAoB,CAAC,SAAS,EAAE,IAAI,CAAC,CAAC;AACnD,CAAC;AAED;;;;;;GAMG;AACH,SAAgB,YAAY,CAAC,GAA4B,EAAE,MAAY,IAAI,IAAI,EAAE;IAC/E,OAAO,IAAA,0BAAe,EAAC,GAAG,CAAC,OAAO,CAAC,aAAa,CAAC,EAAE,GAAG,CAAC,CAAC;AAC1D,CAAC"}

package/dist/cjs/fiscal/transport/synthetic-tls.js

@@ -0,0 +1,328 @@
+"use strict";
+Object.defineProperty(exports, "__esModule", { value: true });
+exports.createSyntheticPki = createSyntheticPki;
+exports.syntheticPki = syntheticPki;
+exports.startSyntheticTlsServer = startSyntheticTlsServer;
+const node_child_process_1 = require("node:child_process");
+const node_fs_1 = require("node:fs");
+const node_os_1 = require("node:os");
+const node_path_1 = require("node:path");
+const node_crypto_1 = require("node:crypto");
+const node_https_1 = require("node:https");
+function openssl(args, cwd) {
+    try {
+        (0, node_child_process_1.execFileSync)('openssl', [...args], { cwd, stdio: 'pipe' });
+    }
+    catch {
+        // O erro original é DESCARTADO de propósito: `err.stderr` do OpenSSL cita
+        // caminhos de arquivo e sujeitos de certificado. O que importa para
+        // depurar é qual subcomando falhou, e isso cabe na mensagem própria.
+        throw new Error(`openssl ${args[0] ?? '?'} falhou ao gerar material sintético`);
+    }
+}
+const CA_CONFIG = `[ca]
+default_ca = CA_default
+[CA_default]
+database = index.txt
+serial = serial
+new_certs_dir = .
+certificate = ca.crt
+private_key = ca.key
+default_md = sha256
+policy = policy_any
+email_in_dn = no
+rand_serial = yes
+unique_subject = no
+[policy_any]
+commonName = supplied
+`;
+/**
+ * Gera a ICP sintética inteira.
+ *
+ * Lenta (segundos): gera seis pares de chaves. Quem usa deve guardar o
+ * resultado — `syntheticPki()` abaixo faz isso por processo.
+ */
+function createSyntheticPki() {
+    if (process.env.NODE_ENV === 'production' || process.env.BARUK_APP_ENV === 'production') {
+        throw new Error('ICP sintética não é gerada em produção.');
+    }
+    const dir = (0, node_fs_1.mkdtempSync)((0, node_path_1.join)((0, node_os_1.tmpdir)(), 'baruk-synthetic-pki-'));
+    const passphrase = `synthetic_${(0, node_crypto_1.randomBytes)(12).toString('hex')}`;
+    try {
+        // ── CA legítima ────────────────────────────────────────────────────────
+        openssl([
+            'req',
+            '-x509',
+            '-newkey',
+            'rsa:2048',
+            '-nodes',
+            '-keyout',
+            'ca.key',
+            '-out',
+            'ca.crt',
+            '-days',
+            '3',
+            '-subj',
+            '/CN=Baruk Synthetic Root',
+            '-addext',
+            'basicConstraints=critical,CA:TRUE,pathlen:0',
+        ], dir);
+        // ── Servidor, com SAN para localhost e 127.0.0.1 ───────────────────────
+        (0, node_fs_1.writeFileSync)((0, node_path_1.join)(dir, 'srv.ext'), 'subjectAltName=DNS:localhost,IP:127.0.0.1\n');
+        openssl([
+            'req',
+            '-newkey',
+            'rsa:2048',
+            '-nodes',
+            '-keyout',
+            'srv.key',
+            '-out',
+            'srv.csr',
+            '-subj',
+            '/CN=localhost',
+        ], dir);
+        openssl([
+            'x509',
+            '-req',
+            '-in',
+            'srv.csr',
+            '-CA',
+            'ca.crt',
+            '-CAkey',
+            'ca.key',
+            '-CAcreateserial',
+            '-out',
+            'srv.crt',
+            '-days',
+            '3',
+            '-extfile',
+            'srv.ext',
+        ], dir);
+        // ── Cliente legítimo ───────────────────────────────────────────────────
+        openssl([
+            'req',
+            '-newkey',
+            'rsa:2048',
+            '-nodes',
+            '-keyout',
+            'cli.key',
+            '-out',
+            'cli.csr',
+            '-subj',
+            '/CN=Contribuinte Sintetico',
+        ], dir);
+        openssl([
+            'x509',
+            '-req',
+            '-in',
+            'cli.csr',
+            '-CA',
+            'ca.crt',
+            '-CAkey',
+            'ca.key',
+            '-CAcreateserial',
+            '-out',
+            'cli.crt',
+            '-days',
+            '3',
+        ], dir);
+        openssl([
+            'pkcs12',
+            '-export',
+            '-inkey',
+            'cli.key',
+            '-in',
+            'cli.crt',
+            '-certfile',
+            'ca.crt',
+            '-passout',
+            `pass:${passphrase}`,
+            '-out',
+            'cli.p12',
+        ], dir);
+        // ── Cliente VENCIDO ────────────────────────────────────────────────────
+        //
+        // `openssl x509 -req` não sabe datar no passado em todas as versões; `ca`
+        // sabe desde a 1.1.1, com `-startdate`/`-enddate`. É por isso que existe o
+        // arquivo de configuração acima — e não por gosto por configuração.
+        (0, node_fs_1.writeFileSync)((0, node_path_1.join)(dir, 'ca.cnf'), CA_CONFIG);
+        (0, node_fs_1.writeFileSync)((0, node_path_1.join)(dir, 'index.txt'), '');
+        (0, node_fs_1.writeFileSync)((0, node_path_1.join)(dir, 'serial'), '01\n');
+        openssl([
+            'req',
+            '-newkey',
+            'rsa:2048',
+            '-nodes',
+            '-keyout',
+            'exp.key',
+            '-out',
+            'exp.csr',
+            '-subj',
+            '/CN=Contribuinte Vencido',
+        ], dir);
+        openssl([
+            'ca',
+            '-batch',
+            '-config',
+            'ca.cnf',
+            '-in',
+            'exp.csr',
+            '-out',
+            'exp.crt',
+            '-notext',
+            '-startdate',
+            '200101000000Z',
+            '-enddate',
+            '200201000000Z',
+        ], dir);
+        openssl([
+            'pkcs12',
+            '-export',
+            '-inkey',
+            'exp.key',
+            '-in',
+            'exp.crt',
+            '-certfile',
+            'ca.crt',
+            '-passout',
+            `pass:${passphrase}`,
+            '-out',
+            'exp.p12',
+        ], dir);
+        // ── CA estrangeira e seu cliente ───────────────────────────────────────
+        openssl([
+            'req',
+            '-x509',
+            '-newkey',
+            'rsa:2048',
+            '-nodes',
+            '-keyout',
+            'foreign-ca.key',
+            '-out',
+            'foreign-ca.crt',
+            '-days',
+            '3',
+            '-subj',
+            '/CN=CA Nao Confiada',
+            '-addext',
+            'basicConstraints=critical,CA:TRUE,pathlen:0',
+        ], dir);
+        openssl([
+            'req',
+            '-newkey',
+            'rsa:2048',
+            '-nodes',
+            '-keyout',
+            'foreign.key',
+            '-out',
+            'foreign.csr',
+            '-subj',
+            '/CN=Contribuinte de Outra Cadeia',
+        ], dir);
+        openssl([
+            'x509',
+            '-req',
+            '-in',
+            'foreign.csr',
+            '-CA',
+            'foreign-ca.crt',
+            '-CAkey',
+            'foreign-ca.key',
+            '-CAcreateserial',
+            '-out',
+            'foreign.crt',
+            '-days',
+            '3',
+        ], dir);
+        openssl([
+            'pkcs12',
+            '-export',
+            '-inkey',
+            'foreign.key',
+            '-in',
+            'foreign.crt',
+            '-certfile',
+            'foreign-ca.crt',
+            '-passout',
+            `pass:${passphrase}`,
+            '-out',
+            'foreign.p12',
+        ], dir);
+        const pki = {
+            caCertPem: (0, node_fs_1.readFileSync)((0, node_path_1.join)(dir, 'ca.crt')),
+            serverKeyPem: (0, node_fs_1.readFileSync)((0, node_path_1.join)(dir, 'srv.key')),
+            serverCertPem: (0, node_fs_1.readFileSync)((0, node_path_1.join)(dir, 'srv.crt')),
+            clientPfx: (0, node_fs_1.readFileSync)((0, node_path_1.join)(dir, 'cli.p12')),
+            clientPassphrase: passphrase,
+            expiredClientPfx: (0, node_fs_1.readFileSync)((0, node_path_1.join)(dir, 'exp.p12')),
+            foreignCaCertPem: (0, node_fs_1.readFileSync)((0, node_path_1.join)(dir, 'foreign-ca.crt')),
+            foreignClientPfx: (0, node_fs_1.readFileSync)((0, node_path_1.join)(dir, 'foreign.p12')),
+            corruptPfx: Buffer.from('isto nao e um pkcs12, e e essa a graca', 'utf8'),
+            dispose() {
+                (0, node_fs_1.rmSync)(dir, { recursive: true, force: true });
+            },
+        };
+        // O diretório é removido AGORA: o material já está em memória, e deixar
+        // chave privada no disco — ainda que sintética e em `tmp` — é o hábito que
+        // um dia se repete com material real.
+        (0, node_fs_1.rmSync)(dir, { recursive: true, force: true });
+        return { ...pki, dispose: () => undefined };
+    }
+    catch (err) {
+        (0, node_fs_1.rmSync)(dir, { recursive: true, force: true });
+        throw err;
+    }
+}
+let cached = null;
+/** A mesma ICP para o processo inteiro. Gerar seis chaves RSA custa segundos. */
+function syntheticPki() {
+    cached ??= createSyntheticPki();
+    return cached;
+}
+/** Sobe um servidor TLS real na porta local. */
+async function startSyntheticTlsServer(options) {
+    const { pki } = options;
+    const estado = {
+        url: '',
+        handshakes: 0,
+        seen: [],
+        close: async () => undefined,
+    };
+    const server = (0, node_https_1.createServer)({
+        key: pki.serverKeyPem,
+        cert: pki.serverCertPem,
+        ca: [pki.caCertPem],
+        requestCert: options.requireClientCert ?? false,
+        // `rejectUnauthorized` aqui é do SERVIDOR sobre o CLIENTE — o inverso do
+        // que o transporte configura. Verdadeiro quando o certificado é exigido:
+        // é exatamente esse comportamento do ADN que precisa ser reproduzido.
+        rejectUnauthorized: options.requireClientCert ?? false,
+    }, (req, res) => {
+        const cert = req.socket.getPeerCertificate?.();
+        estado.seen.push({ path: req.url ?? '/', clientCn: cert?.subject?.CN ?? null });
+        const r = options.respond?.(req.url ?? '/') ?? { status: 200, body: 'ok' };
+        const enviar = () => {
+            res.writeHead(r.status, { 'content-type': 'application/xml', ...(r.headers ?? {}) });
+            res.end(r.body ?? '');
+        };
+        if (options.delayMs)
+            setTimeout(enviar, options.delayMs).unref?.();
+        else
+            enviar();
+    });
+    server.on('secureConnection', () => {
+        estado.handshakes += 1;
+    });
+    // Sem isto, um handshake recusado derruba o processo de teste inteiro com um
+    // erro não tratado — e o teste que EXISTE para provar a recusa vira um crash.
+    server.on('tlsClientError', () => undefined);
+    await new Promise((resolve) => server.listen(0, '127.0.0.1', resolve));
+    const { port } = server.address();
+    estado.url = `https://127.0.0.1:${port}`;
+    estado.close = () => new Promise((resolve) => {
+        server.closeAllConnections?.();
+        server.close(() => resolve());
+    });
+    return estado;
+}
+//# sourceMappingURL=synthetic-tls.js.map

package/dist/cjs/fiscal/transport/synthetic-tls.js.map

@@ -0,0 +1 @@
+{"version":3,"file":"synthetic-tls.js","sourceRoot":"","sources":["../../../../src/fiscal/transport/synthetic-tls.ts"],"names":[],"mappings":";;AAuFA,gDAkRC;AAID,oCAGC;AAuBD,0DAoDC;AA3bD,2DAAkD;AAClD,qCAA2E;AAC3E,qCAAiC;AACjC,yCAAiC;AACjC,6CAA0C;AAC1C,2CAAuD;AAgDvD,SAAS,OAAO,CAAC,IAAuB,EAAE,GAAW;IACnD,IAAI,CAAC;QACH,IAAA,iCAAY,EAAC,SAAS,EAAE,CAAC,GAAG,IAAI,CAAC,EAAE,EAAE,GAAG,EAAE,KAAK,EAAE,MAAM,EAAE,CAAC,CAAC;IAC7D,CAAC;IAAC,MAAM,CAAC;QACP,0EAA0E;QAC1E,oEAAoE;QACpE,qEAAqE;QACrE,MAAM,IAAI,KAAK,CAAC,WAAW,IAAI,CAAC,CAAC,CAAC,IAAI,GAAG,qCAAqC,CAAC,CAAC;IAClF,CAAC;AACH,CAAC;AAED,MAAM,SAAS,GAAG;;;;;;;;;;;;;;;CAejB,CAAC;AAEF;;;;;GAKG;AACH,SAAgB,kBAAkB;IAChC,IAAI,OAAO,CAAC,GAAG,CAAC,QAAQ,KAAK,YAAY,IAAI,OAAO,CAAC,GAAG,CAAC,aAAa,KAAK,YAAY,EAAE,CAAC;QACxF,MAAM,IAAI,KAAK,CAAC,yCAAyC,CAAC,CAAC;IAC7D,CAAC;IACD,MAAM,GAAG,GAAG,IAAA,qBAAW,EAAC,IAAA,gBAAI,EAAC,IAAA,gBAAM,GAAE,EAAE,sBAAsB,CAAC,CAAC,CAAC;IAChE,MAAM,UAAU,GAAG,aAAa,IAAA,yBAAW,EAAC,EAAE,CAAC,CAAC,QAAQ,CAAC,KAAK,CAAC,EAAE,CAAC;IAElE,IAAI,CAAC;QACH,0EAA0E;QAC1E,OAAO,CACL;YACE,KAAK;YACL,OAAO;YACP,SAAS;YACT,UAAU;YACV,QAAQ;YACR,SAAS;YACT,QAAQ;YACR,MAAM;YACN,QAAQ;YACR,OAAO;YACP,GAAG;YACH,OAAO;YACP,0BAA0B;YAC1B,SAAS;YACT,6CAA6C;SAC9C,EACD,GAAG,CACJ,CAAC;QAEF,0EAA0E;QAC1E,IAAA,uBAAa,EAAC,IAAA,gBAAI,EAAC,GAAG,EAAE,SAAS,CAAC,EAAE,6CAA6C,CAAC,CAAC;QACnF,OAAO,CACL;YACE,KAAK;YACL,SAAS;YACT,UAAU;YACV,QAAQ;YACR,SAAS;YACT,SAAS;YACT,MAAM;YACN,SAAS;YACT,OAAO;YACP,eAAe;SAChB,EACD,GAAG,CACJ,CAAC;QACF,OAAO,CACL;YACE,MAAM;YACN,MAAM;YACN,KAAK;YACL,SAAS;YACT,KAAK;YACL,QAAQ;YACR,QAAQ;YACR,QAAQ;YACR,iBAAiB;YACjB,MAAM;YACN,SAAS;YACT,OAAO;YACP,GAAG;YACH,UAAU;YACV,SAAS;SACV,EACD,GAAG,CACJ,CAAC;QAEF,0EAA0E;QAC1E,OAAO,CACL;YACE,KAAK;YACL,SAAS;YACT,UAAU;YACV,QAAQ;YACR,SAAS;YACT,SAAS;YACT,MAAM;YACN,SAAS;YACT,OAAO;YACP,4BAA4B;SAC7B,EACD,GAAG,CACJ,CAAC;QACF,OAAO,CACL;YACE,MAAM;YACN,MAAM;YACN,KAAK;YACL,SAAS;YACT,KAAK;YACL,QAAQ;YACR,QAAQ;YACR,QAAQ;YACR,iBAAiB;YACjB,MAAM;YACN,SAAS;YACT,OAAO;YACP,GAAG;SACJ,EACD,GAAG,CACJ,CAAC;QACF,OAAO,CACL;YACE,QAAQ;YACR,SAAS;YACT,QAAQ;YACR,SAAS;YACT,KAAK;YACL,SAAS;YACT,WAAW;YACX,QAAQ;YACR,UAAU;YACV,QAAQ,UAAU,EAAE;YACpB,MAAM;YACN,SAAS;SACV,EACD,GAAG,CACJ,CAAC;QAEF,0EAA0E;QAC1E,EAAE;QACF,0EAA0E;QAC1E,2EAA2E;QAC3E,oEAAoE;QACpE,IAAA,uBAAa,EAAC,IAAA,gBAAI,EAAC,GAAG,EAAE,QAAQ,CAAC,EAAE,SAAS,CAAC,CAAC;QAC9C,IAAA,uBAAa,EAAC,IAAA,gBAAI,EAAC,GAAG,EAAE,WAAW,CAAC,EAAE,EAAE,CAAC,CAAC;QAC1C,IAAA,uBAAa,EAAC,IAAA,gBAAI,EAAC,GAAG,EAAE,QAAQ,CAAC,EAAE,MAAM,CAAC,CAAC;QAC3C,OAAO,CACL;YACE,KAAK;YACL,SAAS;YACT,UAAU;YACV,QAAQ;YACR,SAAS;YACT,SAAS;YACT,MAAM;YACN,SAAS;YACT,OAAO;YACP,0BAA0B;SAC3B,EACD,GAAG,CACJ,CAAC;QACF,OAAO,CACL;YACE,IAAI;YACJ,QAAQ;YACR,SAAS;YACT,QAAQ;YACR,KAAK;YACL,SAAS;YACT,MAAM;YACN,SAAS;YACT,SAAS;YACT,YAAY;YACZ,eAAe;YACf,UAAU;YACV,eAAe;SAChB,EACD,GAAG,CACJ,CAAC;QACF,OAAO,CACL;YACE,QAAQ;YACR,SAAS;YACT,QAAQ;YACR,SAAS;YACT,KAAK;YACL,SAAS;YACT,WAAW;YACX,QAAQ;YACR,UAAU;YACV,QAAQ,UAAU,EAAE;YACpB,MAAM;YACN,SAAS;SACV,EACD,GAAG,CACJ,CAAC;QAEF,0EAA0E;QAC1E,OAAO,CACL;YACE,KAAK;YACL,OAAO;YACP,SAAS;YACT,UAAU;YACV,QAAQ;YACR,SAAS;YACT,gBAAgB;YAChB,MAAM;YACN,gBAAgB;YAChB,OAAO;YACP,GAAG;YACH,OAAO;YACP,qBAAqB;YACrB,SAAS;YACT,6CAA6C;SAC9C,EACD,GAAG,CACJ,CAAC;QACF,OAAO,CACL;YACE,KAAK;YACL,SAAS;YACT,UAAU;YACV,QAAQ;YACR,SAAS;YACT,aAAa;YACb,MAAM;YACN,aAAa;YACb,OAAO;YACP,kCAAkC;SACnC,EACD,GAAG,CACJ,CAAC;QACF,OAAO,CACL;YACE,MAAM;YACN,MAAM;YACN,KAAK;YACL,aAAa;YACb,KAAK;YACL,gBAAgB;YAChB,QAAQ;YACR,gBAAgB;YAChB,iBAAiB;YACjB,MAAM;YACN,aAAa;YACb,OAAO;YACP,GAAG;SACJ,EACD,GAAG,CACJ,CAAC;QACF,OAAO,CACL;YACE,QAAQ;YACR,SAAS;YACT,QAAQ;YACR,aAAa;YACb,KAAK;YACL,aAAa;YACb,WAAW;YACX,gBAAgB;YAChB,UAAU;YACV,QAAQ,UAAU,EAAE;YACpB,MAAM;YACN,aAAa;SACd,EACD,GAAG,CACJ,CAAC;QAEF,MAAM,GAAG,GAAiB;YACxB,SAAS,EAAE,IAAA,sBAAY,EAAC,IAAA,gBAAI,EAAC,GAAG,EAAE,QAAQ,CAAC,CAAC;YAC5C,YAAY,EAAE,IAAA,sBAAY,EAAC,IAAA,gBAAI,EAAC,GAAG,EAAE,SAAS,CAAC,CAAC;YAChD,aAAa,EAAE,IAAA,sBAAY,EAAC,IAAA,gBAAI,EAAC,GAAG,EAAE,SAAS,CAAC,CAAC;YACjD,SAAS,EAAE,IAAA,sBAAY,EAAC,IAAA,gBAAI,EAAC,GAAG,EAAE,SAAS,CAAC,CAAC;YAC7C,gBAAgB,EAAE,UAAU;YAC5B,gBAAgB,EAAE,IAAA,sBAAY,EAAC,IAAA,gBAAI,EAAC,GAAG,EAAE,SAAS,CAAC,CAAC;YACpD,gBAAgB,EAAE,IAAA,sBAAY,EAAC,IAAA,gBAAI,EAAC,GAAG,EAAE,gBAAgB,CAAC,CAAC;YAC3D,gBAAgB,EAAE,IAAA,sBAAY,EAAC,IAAA,gBAAI,EAAC,GAAG,EAAE,aAAa,CAAC,CAAC;YACxD,UAAU,EAAE,MAAM,CAAC,IAAI,CAAC,wCAAwC,EAAE,MAAM,CAAC;YACzE,OAAO;gBACL,IAAA,gBAAM,EAAC,GAAG,EAAE,EAAE,SAAS,EAAE,IAAI,EAAE,KAAK,EAAE,IAAI,EAAE,CAAC,CAAC;YAChD,CAAC;SACF,CAAC;QACF,wEAAwE;QACxE,2EAA2E;QAC3E,sCAAsC;QACtC,IAAA,gBAAM,EAAC,GAAG,EAAE,EAAE,SAAS,EAAE,IAAI,EAAE,KAAK,EAAE,IAAI,EAAE,CAAC,CAAC;QAC9C,OAAO,EAAE,GAAG,GAAG,EAAE,OAAO,EAAE,GAAG,EAAE,CAAC,SAAS,EAAE,CAAC;IAC9C,CAAC;IAAC,OAAO,GAAG,EAAE,CAAC;QACb,IAAA,gBAAM,EAAC,GAAG,EAAE,EAAE,SAAS,EAAE,IAAI,EAAE,KAAK,EAAE,IAAI,EAAE,CAAC,CAAC;QAC9C,MAAM,GAAG,CAAC;IACZ,CAAC;AACH,CAAC;AAED,IAAI,MAAM,GAAwB,IAAI,CAAC;AACvC,iFAAiF;AACjF,SAAgB,YAAY;IAC1B,MAAM,KAAK,kBAAkB,EAAE,CAAC;IAChC,OAAO,MAAM,CAAC;AAChB,CAAC;AAsBD,gDAAgD;AACzC,KAAK,UAAU,uBAAuB,CAC3C,OAAkC;IAElC,MAAM,EAAE,GAAG,EAAE,GAAG,OAAO,CAAC;IACxB,MAAM,MAAM,GAAuB;QACjC,GAAG,EAAE,EAAE;QACP,UAAU,EAAE,CAAC;QACb,IAAI,EAAE,EAAE;QACR,KAAK,EAAE,KAAK,IAAI,EAAE,CAAC,SAAS;KAC7B,CAAC;IAEF,MAAM,MAAM,GAAW,IAAA,yBAAY,EACjC;QACE,GAAG,EAAE,GAAG,CAAC,YAAY;QACrB,IAAI,EAAE,GAAG,CAAC,aAAa;QACvB,EAAE,EAAE,CAAC,GAAG,CAAC,SAAS,CAAC;QACnB,WAAW,EAAE,OAAO,CAAC,iBAAiB,IAAI,KAAK;QAC/C,yEAAyE;QACzE,yEAAyE;QACzE,sEAAsE;QACtE,kBAAkB,EAAE,OAAO,CAAC,iBAAiB,IAAI,KAAK;KACvD,EACD,CAAC,GAAG,EAAE,GAAG,EAAE,EAAE;QACX,MAAM,IAAI,GACR,GAAG,CAAC,MACL,CAAC,kBAAkB,EAAE,EAAE,CAAC;QACzB,MAAM,CAAC,IAAI,CAAC,IAAI,CAAC,EAAE,IAAI,EAAE,GAAG,CAAC,GAAG,IAAI,GAAG,EAAE,QAAQ,EAAE,IAAI,EAAE,OAAO,EAAE,EAAE,IAAI,IAAI,EAAE,CAAC,CAAC;QAChF,MAAM,CAAC,GAAG,OAAO,CAAC,OAAO,EAAE,CAAC,GAAG,CAAC,GAAG,IAAI,GAAG,CAAC,IAAI,EAAE,MAAM,EAAE,GAAG,EAAE,IAAI,EAAE,IAAI,EAAE,CAAC;QAC3E,MAAM,MAAM,GAAG,GAAS,EAAE;YACxB,GAAG,CAAC,SAAS,CAAC,CAAC,CAAC,MAAM,EAAE,EAAE,cAAc,EAAE,iBAAiB,EAAE,GAAG,CAAC,CAAC,CAAC,OAAO,IAAI,EAAE,CAAC,EAAE,CAAC,CAAC;YACrF,GAAG,CAAC,GAAG,CAAC,CAAC,CAAC,IAAI,IAAI,EAAE,CAAC,CAAC;QACxB,CAAC,CAAC;QACF,IAAI,OAAO,CAAC,OAAO;YAAE,UAAU,CAAC,MAAM,EAAE,OAAO,CAAC,OAAO,CAAC,CAAC,KAAK,EAAE,EAAE,CAAC;;YAC9D,MAAM,EAAE,CAAC;IAChB,CAAC,CACF,CAAC;IACF,MAAM,CAAC,EAAE,CAAC,kBAAkB,EAAE,GAAG,EAAE;QACjC,MAAM,CAAC,UAAU,IAAI,CAAC,CAAC;IACzB,CAAC,CAAC,CAAC;IACH,6EAA6E;IAC7E,8EAA8E;IAC9E,MAAM,CAAC,EAAE,CAAC,gBAAgB,EAAE,GAAG,EAAE,CAAC,SAAS,CAAC,CAAC;IAE7C,MAAM,IAAI,OAAO,CAAO,CAAC,OAAO,EAAE,EAAE,CAAC,MAAM,CAAC,MAAM,CAAC,CAAC,EAAE,WAAW,EAAE,OAAO,CAAC,CAAC,CAAC;IAC7E,MAAM,EAAE,IAAI,EAAE,GAAG,MAAM,CAAC,OAAO,EAAiB,CAAC;IACjD,MAAM,CAAC,GAAG,GAAG,qBAAqB,IAAI,EAAE,CAAC;IACzC,MAAM,CAAC,KAAK,GAAG,GAAG,EAAE,CAClB,IAAI,OAAO,CAAO,CAAC,OAAO,EAAE,EAAE;QAC5B,MAAM,CAAC,mBAAmB,EAAE,EAAE,CAAC;QAC/B,MAAM,CAAC,KAAK,CAAC,GAAG,EAAE,CAAC,OAAO,EAAE,CAAC,CAAC;IAChC,CAAC,CAAC,CAAC;IACL,OAAO,MAAM,CAAC;AAChB,CAAC"}