@baruk/core 0.4.2 → 0.5.0

package/dist/dashboard/repository.js

@@ -1,6 +1,16 @@
 export async function getCoreStats(tx) {
+    // "Clientes ativos" precisa contar clientes ATIVOS.
+    //
+    // Contava todo registro não removido, inativos inclusive — e o card se chama
+    // "Clientes ativos". Com dois clientes inativados, a mesma tela mostrava
+    // `Carteira → Clientes ativos = 0` e `Resumo geral → Clientes ativos = 2`,
+    // porque o painel de carteira filtra por `status` e este não filtrava.
+    //
+    // Duas consultas respondendo à mesma pergunta com definições diferentes é
+    // como um painel perde a confiança de quem o lê: não há como saber qual dos
+    // dois números está certo sem abrir o código.
     const [clients] = await tx `
-    SELECT count(*)::int AS n FROM client WHERE deleted_at IS NULL
+    SELECT count(*)::int AS n FROM client WHERE deleted_at IS NULL AND status = 'active'
   `;
     const [users] = await tx `
     SELECT count(*)::int AS n FROM membership WHERE status = 'active' AND deleted_at IS NULL

package/dist/dashboard/repository.js.map

@@ -1 +1 @@
-{"version":3,"file":"repository.js","sourceRoot":"","sources":["../../src/dashboard/repository.ts"],"names":[],"mappings":"AAeA,MAAM,CAAC,KAAK,UAAU,YAAY,CAAC,EAAM;IACvC,MAAM,CAAC,OAAO,CAAC,GAAG,MAAM,EAAE,CAAiB;;GAE1C,CAAC;IACF,MAAM,CAAC,KAAK,CAAC,GAAG,MAAM,EAAE,CAAiB;;GAExC,CAAC;IACF,MAAM,CAAC,IAAI,CAAC,GAAG,MAAM,EAAE,CAAiB;;;;GAIvC,CAAC;IACF,MAAM,CAAC,OAAO,CAAC,GAAG,MAAM,EAAE,CAAiB;;;;;;GAM1C,CAAC;IACF,MAAM,MAAM,GAAG,MAAM,EAAE,CAAgE;;;GAGtF,CAAC;IACF,OAAO;QACL,OAAO,EAAE,OAAO,EAAE,CAAC,IAAI,CAAC;QACxB,WAAW,EAAE,KAAK,EAAE,CAAC,IAAI,CAAC;QAC1B,YAAY,EAAE,IAAI,EAAE,CAAC,IAAI,CAAC;QAC1B,eAAe,EAAE,OAAO,EAAE,CAAC,IAAI,CAAC;QAChC,cAAc,EAAE,MAAM,CAAC,GAAG,CAAC,CAAC,CAAC,EAAE,EAAE,CAAC,CAAC;YACjC,MAAM,EAAE,CAAC,CAAC,MAAM;YAChB,YAAY,EAAE,CAAC,CAAC,aAAa;YAC7B,UAAU,EAAE,CAAC,CAAC,WAAW,CAAC,WAAW,EAAE;SACxC,CAAC,CAAC;KACJ,CAAC;AACJ,CAAC"}
+{"version":3,"file":"repository.js","sourceRoot":"","sources":["../../src/dashboard/repository.ts"],"names":[],"mappings":"AAeA,MAAM,CAAC,KAAK,UAAU,YAAY,CAAC,EAAM;IACvC,oDAAoD;IACpD,EAAE;IACF,6EAA6E;IAC7E,yEAAyE;IACzE,2EAA2E;IAC3E,uEAAuE;IACvE,EAAE;IACF,0EAA0E;IAC1E,4EAA4E;IAC5E,8CAA8C;IAC9C,MAAM,CAAC,OAAO,CAAC,GAAG,MAAM,EAAE,CAAiB;;GAE1C,CAAC;IACF,MAAM,CAAC,KAAK,CAAC,GAAG,MAAM,EAAE,CAAiB;;GAExC,CAAC;IACF,MAAM,CAAC,IAAI,CAAC,GAAG,MAAM,EAAE,CAAiB;;;;GAIvC,CAAC;IACF,MAAM,CAAC,OAAO,CAAC,GAAG,MAAM,EAAE,CAAiB;;;;;;GAM1C,CAAC;IACF,MAAM,MAAM,GAAG,MAAM,EAAE,CAAgE;;;GAGtF,CAAC;IACF,OAAO;QACL,OAAO,EAAE,OAAO,EAAE,CAAC,IAAI,CAAC;QACxB,WAAW,EAAE,KAAK,EAAE,CAAC,IAAI,CAAC;QAC1B,YAAY,EAAE,IAAI,EAAE,CAAC,IAAI,CAAC;QAC1B,eAAe,EAAE,OAAO,EAAE,CAAC,IAAI,CAAC;QAChC,cAAc,EAAE,MAAM,CAAC,GAAG,CAAC,CAAC,CAAC,EAAE,EAAE,CAAC,CAAC;YACjC,MAAM,EAAE,CAAC,CAAC,MAAM;YAChB,YAAY,EAAE,CAAC,CAAC,aAAa;YAC7B,UAAU,EAAE,CAAC,CAAC,WAAW,CAAC,WAAW,EAAE;SACxC,CAAC,CAAC;KACJ,CAAC;AACJ,CAAC"}

package/dist/db/client.d.ts

@@ -15,5 +15,50 @@ export interface DbOptions {
  *  - OWNER: roda migrations/seed (cria schema).
  *  - APP (baruk_app): runtime da aplicação — NOSUPERUSER, NOBYPASSRLS, sujeito à RLS.
  */
+/**
+ * Política de TLS da conexão.
+ *
+ * ## O que mudou, e por quê
+ *
+ * A versão anterior decidia por uma **allowlist de host**:
+ *
+ *   ssl = /sslmode=require|render\.com|neon\.tech|supabase|amazonaws|\.cloud/
+ *         ? { rejectUnauthorized: false } : undefined
+ *
+ * Dois defeitos, medidos em 2026-09-05:
+ *
+ * 1. **`rejectUnauthorized: false` desliga a validação do certificado.** A
+ *    conexão fica cifrada e não autenticada — um MITM ativo entre a aplicação e
+ *    o banco passa despercebido. Não havia necessidade técnica: uma sonda contra
+ *    o provedor real conectou com `verify-full`, com `rejectUnauthorized: true`
+ *    e com a validação padrão do Node. Era receita copiada.
+ *
+ * 2. **A allowlist decidia o lado errado do fail.** Um host gerenciado FORA da
+ *    lista — Azure, GCP, um domínio próprio sem `sslmode` na string — caía em
+ *    `ssl: undefined`, ou seja **sem TLS nenhum**, em silêncio. A produção de
+ *    hoje não é afetada (a URL casa por dois motivos), mas trocar o host
+ *    quebraria a cifra sem quebrar a conexão, que é o pior desfecho possível.
+ *
+ * ## A política agora
+ *
+ * **TLS validado é o padrão.** Fica de fora apenas o que é comprovadamente
+ * local, ou o que declara `sslmode=disable` — o mecanismo do próprio Postgres
+ * para dizer "esta conexão não usa TLS", e não uma invenção nossa. Host novo
+ * entra seguro sem ninguém precisar lembrar de adicioná-lo a uma lista.
+ *
+ * CA privada entra por `PGSSLROOTCERT`, a variável padrão do libpq — mesmo nome
+ * que `psql` e todo o ecossistema já usam, para que não exista um segundo jeito
+ * de configurar a mesma coisa.
+ */
+export interface TlsDecision {
+    /** O que vai para o driver. `undefined` = conexão em texto claro. */
+    ssl: {
+        rejectUnauthorized: boolean;
+        ca?: string;
+    } | undefined;
+    /** Por que — usado por diagnóstico e teste. Nunca contém a connection string. */
+    reason: 'local' | 'explicitly-disabled' | 'verified';
+}
+export declare function resolveTls(connectionString: string, env?: NodeJS.ProcessEnv): TlsDecision;
 export declare function createDb(connectionString: string, opts?: DbOptions): Db;
 //# sourceMappingURL=client.d.ts.map

package/dist/db/client.d.ts.map

@@ -1 +1 @@
-{"version":3,"file":"client.d.ts","sourceRoot":"","sources":["../../src/db/client.ts"],"names":[],"mappings":"AAAA,OAAO,QAAQ,MAAM,UAAU,CAAC;AAEhC,MAAM,MAAM,EAAE,GAAG,QAAQ,CAAC,GAAG,CAAC,MAAM,CAAC,MAAM,EAAE,KAAK,CAAC,CAAC,CAAC;AACrD,MAAM,MAAM,EAAE,GAAG,QAAQ,CAAC,cAAc,CAAC,MAAM,CAAC,MAAM,EAAE,KAAK,CAAC,CAAC,CAAC;AAChE,gEAAgE;AAChE,MAAM,MAAM,SAAS,GAAG,EAAE,GAAG,EAAE,CAAC;AAEhC,MAAM,WAAW,SAAS;IACxB,kCAAkC;IAClC,GAAG,CAAC,EAAE,MAAM,CAAC;IACb,yDAAyD;IACzD,IAAI,CAAC,EAAE,OAAO,GAAG,KAAK,CAAC;CACxB;AAED;;;;;GAKG;AACH,wBAAgB,QAAQ,CAAC,gBAAgB,EAAE,MAAM,EAAE,IAAI,GAAE,SAAc,GAAG,EAAE,CAgB3E"}
+{"version":3,"file":"client.d.ts","sourceRoot":"","sources":["../../src/db/client.ts"],"names":[],"mappings":"AAAA,OAAO,QAAQ,MAAM,UAAU,CAAC;AAEhC,MAAM,MAAM,EAAE,GAAG,QAAQ,CAAC,GAAG,CAAC,MAAM,CAAC,MAAM,EAAE,KAAK,CAAC,CAAC,CAAC;AACrD,MAAM,MAAM,EAAE,GAAG,QAAQ,CAAC,cAAc,CAAC,MAAM,CAAC,MAAM,EAAE,KAAK,CAAC,CAAC,CAAC;AAChE,gEAAgE;AAChE,MAAM,MAAM,SAAS,GAAG,EAAE,GAAG,EAAE,CAAC;AAEhC,MAAM,WAAW,SAAS;IACxB,kCAAkC;IAClC,GAAG,CAAC,EAAE,MAAM,CAAC;IACb,yDAAyD;IACzD,IAAI,CAAC,EAAE,OAAO,GAAG,KAAK,CAAC;CACxB;AAED;;;;;GAKG;AACH;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;GAkCG;AACH,MAAM,WAAW,WAAW;IAC1B,qEAAqE;IACrE,GAAG,EAAE;QAAE,kBAAkB,EAAE,OAAO,CAAC;QAAC,EAAE,CAAC,EAAE,MAAM,CAAA;KAAE,GAAG,SAAS,CAAC;IAC9D,iFAAiF;IACjF,MAAM,EAAE,OAAO,GAAG,qBAAqB,GAAG,UAAU,CAAC;CACtD;AAKD,wBAAgB,UAAU,CACxB,gBAAgB,EAAE,MAAM,EACxB,GAAG,GAAE,MAAM,CAAC,UAAwB,GACnC,WAAW,CAUb;AAED,wBAAgB,QAAQ,CAAC,gBAAgB,EAAE,MAAM,EAAE,IAAI,GAAE,SAAc,GAAG,EAAE,CAU3E"}

package/dist/db/client.js

@@ -1,20 +1,25 @@
 import postgres from 'postgres';
-/**
- * Cria um cliente Postgres (postgres.js). Duas instâncias são usadas no
- * ecossistema (05-security §7.1, defesa em profundidade):
- *  - OWNER: roda migrations/seed (cria schema).
- *  - APP (baruk_app): runtime da aplicação — NOSUPERUSER, NOBYPASSRLS, sujeito à RLS.
- */
+const LOCAL_HOST = /@(localhost|127\.0\.0\.1|host\.docker\.internal|\[?::1\]?)[:/]/;
+const SSL_DISABLED = /[?&]sslmode=disable(&|$)/;
+export function resolveTls(connectionString, env = process.env) {
+    if (LOCAL_HOST.test(connectionString))
+        return { ssl: undefined, reason: 'local' };
+    if (SSL_DISABLED.test(connectionString)) {
+        return { ssl: undefined, reason: 'explicitly-disabled' };
+    }
+    const ca = env['PGSSLROOTCERT_PEM']?.trim();
+    return {
+        ssl: ca ? { rejectUnauthorized: true, ca } : { rejectUnauthorized: true },
+        reason: 'verified',
+    };
+}
 export function createDb(connectionString, opts = {}) {
-    // SSL obrigatório em provedores gerenciados (Render/Neon/etc.); desligado em
-    // Postgres local. Detecta pelo host/flag da URL.
-    const isLocal = /@(localhost|127\.0\.0\.1|host\.docker\.internal|\[?::1\]?)[:/]/.test(connectionString);
-    const wantsSsl = !isLocal && /sslmode=require|render\.com|neon\.tech|supabase|amazonaws|\.cloud/.test(connectionString);
+    const { ssl } = resolveTls(connectionString);
     return postgres(connectionString, {
         max: opts.max ?? 10,
         // UUIDs são gerados na aplicação (uuidv7); datas em UTC.
         prepare: true,
-        ssl: wantsSsl ? { rejectUnauthorized: false } : undefined,
+        ssl,
         onnotice: () => { }, // silencia NOTICEs verbosos de DO-blocks/IF EXISTS
     });
 }

package/dist/db/client.js.map

@@ -1 +1 @@
-{"version":3,"file":"client.js","sourceRoot":"","sources":["../../src/db/client.ts"],"names":[],"mappings":"AAAA,OAAO,QAAQ,MAAM,UAAU,CAAC;AAchC;;;;;GAKG;AACH,MAAM,UAAU,QAAQ,CAAC,gBAAwB,EAAE,OAAkB,EAAE;IACrE,6EAA6E;IAC7E,iDAAiD;IACjD,MAAM,OAAO,GAAG,gEAAgE,CAAC,IAAI,CACnF,gBAAgB,CACjB,CAAC;IACF,MAAM,QAAQ,GACZ,CAAC,OAAO,IAAI,mEAAmE,CAAC,IAAI,CAAC,gBAAgB,CAAC,CAAC;IAEzG,OAAO,QAAQ,CAAC,gBAAgB,EAAE;QAChC,GAAG,EAAE,IAAI,CAAC,GAAG,IAAI,EAAE;QACnB,yDAAyD;QACzD,OAAO,EAAE,IAAI;QACb,GAAG,EAAE,QAAQ,CAAC,CAAC,CAAC,EAAE,kBAAkB,EAAE,KAAK,EAAE,CAAC,CAAC,CAAC,SAAS;QACzD,QAAQ,EAAE,GAAG,EAAE,GAAE,CAAC,EAAE,mDAAmD;KACxE,CAAC,CAAC;AACL,CAAC"}
+{"version":3,"file":"client.js","sourceRoot":"","sources":["../../src/db/client.ts"],"names":[],"mappings":"AAAA,OAAO,QAAQ,MAAM,UAAU,CAAC;AA8DhC,MAAM,UAAU,GAAG,gEAAgE,CAAC;AACpF,MAAM,YAAY,GAAG,0BAA0B,CAAC;AAEhD,MAAM,UAAU,UAAU,CACxB,gBAAwB,EACxB,MAAyB,OAAO,CAAC,GAAG;IAEpC,IAAI,UAAU,CAAC,IAAI,CAAC,gBAAgB,CAAC;QAAE,OAAO,EAAE,GAAG,EAAE,SAAS,EAAE,MAAM,EAAE,OAAO,EAAE,CAAC;IAClF,IAAI,YAAY,CAAC,IAAI,CAAC,gBAAgB,CAAC,EAAE,CAAC;QACxC,OAAO,EAAE,GAAG,EAAE,SAAS,EAAE,MAAM,EAAE,qBAAqB,EAAE,CAAC;IAC3D,CAAC;IACD,MAAM,EAAE,GAAG,GAAG,CAAC,mBAAmB,CAAC,EAAE,IAAI,EAAE,CAAC;IAC5C,OAAO;QACL,GAAG,EAAE,EAAE,CAAC,CAAC,CAAC,EAAE,kBAAkB,EAAE,IAAI,EAAE,EAAE,EAAE,CAAC,CAAC,CAAC,EAAE,kBAAkB,EAAE,IAAI,EAAE;QACzE,MAAM,EAAE,UAAU;KACnB,CAAC;AACJ,CAAC;AAED,MAAM,UAAU,QAAQ,CAAC,gBAAwB,EAAE,OAAkB,EAAE;IACrE,MAAM,EAAE,GAAG,EAAE,GAAG,UAAU,CAAC,gBAAgB,CAAC,CAAC;IAE7C,OAAO,QAAQ,CAAC,gBAAgB,EAAE;QAChC,GAAG,EAAE,IAAI,CAAC,GAAG,IAAI,EAAE;QACnB,yDAAyD;QACzD,OAAO,EAAE,IAAI;QACb,GAAG;QACH,QAAQ,EAAE,GAAG,EAAE,GAAE,CAAC,EAAE,mDAAmD;KACxE,CAAC,CAAC;AACL,CAAC"}

package/dist/db/migrate.d.ts

@@ -1,2 +1,37 @@
-export {};
+import { type Db } from './client.js';
+/**
+ * Extrai os nomes de tabela criados pelas migrations do Office.
+ *
+ * Esta é a ALLOWLIST de privilégio do runtime. Ela nasce da mesma fonte que cria
+ * as tabelas — o próprio SQL das migrations — e não de um manifesto paralelo, que
+ * alguém esqueceria de atualizar ao criar a tabela seguinte.
+ *
+ * Por que existe: até 0044 o runner concedia `ON ALL TABLES IN SCHEMA public`.
+ * Em um banco onde o schema do Office coabita com o de outro produto — o caso do
+ * `neondb` em produção, que carrega 187 tabelas de um schema Prisma anterior —
+ * "ALL TABLES" entrega ao papel de runtime do Office SELECT/INSERT/UPDATE/DELETE
+ * sobre dados que não são dele. O escopo do GRANT tem de ser o schema que este
+ * repositório cria, não o schema que este banco por acaso contém.
+ */
+export declare function officeTablesFromSql(sqls: readonly string[]): string[];
+export interface LeastPrivilegeResult {
+    /** Tabelas fora do Office das quais o privilégio de `baruk_app` foi revogado. */
+    revoked: string[];
+    /** Papéis cujo DEFAULT PRIVILEGES para `baruk_app` foi removido. */
+    defaultsCleared: string[];
+    /** Papéis cujo DEFAULT PRIVILEGES não pôde ser removido com o papel atual. */
+    defaultsResidual: string[];
+}
+/**
+ * Aplica least privilege ao papel de runtime.
+ *
+ * Concede DML nas tabelas do Office, revoga em tudo o que não é do Office, e
+ * remove o DEFAULT PRIVILEGES que faria a próxima tabela criada no schema nascer
+ * alcançável. Idempotente: em banco limpo não há estrangeiras e a função é um
+ * no-op além do GRANT.
+ *
+ * Recebe a allowlist em vez de descobri-la para que o teste possa exercitar a
+ * contenção sem depender do conteúdo real das migrations.
+ */
+export declare function enforceRuntimeLeastPrivilege(sql: Db, officeTables: readonly string[]): Promise<LeastPrivilegeResult>;
 //# sourceMappingURL=migrate.d.ts.map

package/dist/db/migrate.d.ts.map

@@ -1 +1 @@
-{"version":3,"file":"migrate.d.ts","sourceRoot":"","sources":["../../src/db/migrate.ts"],"names":[],"mappings":""}
+{"version":3,"file":"migrate.d.ts","sourceRoot":"","sources":["../../src/db/migrate.ts"],"names":[],"mappings":"AAgBA,OAAO,EAAY,KAAK,EAAE,EAAE,MAAM,aAAa,CAAC;AAmDhD;;;;;;;;;;;;;GAaG;AACH,wBAAgB,mBAAmB,CAAC,IAAI,EAAE,SAAS,MAAM,EAAE,GAAG,MAAM,EAAE,CAwCrE;AAOD,MAAM,WAAW,oBAAoB;IACnC,iFAAiF;IACjF,OAAO,EAAE,MAAM,EAAE,CAAC;IAClB,oEAAoE;IACpE,eAAe,EAAE,MAAM,EAAE,CAAC;IAC1B,8EAA8E;IAC9E,gBAAgB,EAAE,MAAM,EAAE,CAAC;CAC5B;AAED;;;;;;;;;;GAUG;AACH,wBAAsB,4BAA4B,CAChD,GAAG,EAAE,EAAE,EACP,YAAY,EAAE,SAAS,MAAM,EAAE,GAC9B,OAAO,CAAC,oBAAoB,CAAC,CAoG/B"}

package/dist/db/migrate.js

@@ -5,14 +5,15 @@
  * um em `_migration` com checksum. Roda com o papel OWNER (DATABASE_URL). Antes
  * das migrations, cria o papel de aplicação `baruk_app` quando ausente
  * (NOSUPERUSER, NOBYPASSRLS), sem reconfigurar uma credencial de runtime já
- * existente; ao final, concede os privilégios de DML a ele.
+ * existente; ao final, aplica least privilege (allowlist do Office + contenção
+ * do que não é do Office). Ver docs/architecture/18-database-grant-policy.md.
  *
  * Uso: `pnpm db:migrate`  (ou `tsx src/db/migrate.ts`)
  */
 import { createHash } from 'node:crypto';
 import { readdirSync, readFileSync, existsSync } from 'node:fs';
 import { dirname, join, resolve } from 'node:path';
-import { fileURLToPath } from 'node:url';
+import { fileURLToPath, pathToFileURL } from 'node:url';
 import { createDb } from './client.js';
 import { loadEnv } from './load-env.js';
 const __dirname = dirname(fileURLToPath(import.meta.url));
@@ -53,6 +54,177 @@ function collectMigrations() {
     // Ordena por nome (prefixos numéricos zero-padded garantem ordem correta).
     return all.sort((a, b) => a.name.localeCompare(b.name, 'en'));
 }
+/**
+ * Extrai os nomes de tabela criados pelas migrations do Office.
+ *
+ * Esta é a ALLOWLIST de privilégio do runtime. Ela nasce da mesma fonte que cria
+ * as tabelas — o próprio SQL das migrations — e não de um manifesto paralelo, que
+ * alguém esqueceria de atualizar ao criar a tabela seguinte.
+ *
+ * Por que existe: até 0044 o runner concedia `ON ALL TABLES IN SCHEMA public`.
+ * Em um banco onde o schema do Office coabita com o de outro produto — o caso do
+ * `neondb` em produção, que carrega 187 tabelas de um schema Prisma anterior —
+ * "ALL TABLES" entrega ao papel de runtime do Office SELECT/INSERT/UPDATE/DELETE
+ * sobre dados que não são dele. O escopo do GRANT tem de ser o schema que este
+ * repositório cria, não o schema que este banco por acaso contém.
+ */
+export function officeTablesFromSql(sqls) {
+    const found = new Set();
+    // `CREATE TABLE [IF NOT EXISTS] [public.]["]nome["]` — cobre as duas formas em
+    // uso (`CREATE TABLE client`, `CREATE TABLE IF NOT EXISTS channel_route`) e a
+    // única com aspas (`CREATE TABLE "user"`).
+    const create = /CREATE\s+TABLE\s+(?:IF\s+NOT\s+EXISTS\s+)?(?:public\s*\.\s*)?"?([A-Za-z_][A-Za-z0-9_]*)"?/gi;
+    // `DROP TABLE [IF EXISTS] [public.]["]nome["]`.
+    //
+    // Faltava, e a ausência era um defeito de mão única: a allowlist só CRESCIA.
+    // Uma migration que removesse uma tabela deixava o nome aqui para sempre, e o
+    // `GRANT ... ON <lista>` seguinte falhava com "relation does not exist" —
+    // quebrando todo `pnpm db:migrate` posterior, inclusive em produção, por uma
+    // tabela que ninguém mais tem. Descoberto ao remover `client_fiscal_credential`
+    // na 0056.
+    //
+    // A ordem das migrations é a ordem do array, então processar create e drop na
+    // sequência reproduz o estado final: criar, remover e recriar termina criada.
+    const drop = /DROP\s+TABLE\s+(?:IF\s+EXISTS\s+)?(?:public\s*\.\s*)?"?([A-Za-z_][A-Za-z0-9_]*)"?/gi;
+    for (const sql of sqls) {
+        // Um único varrimento por arquivo, respeitando a posição de cada comando:
+        // dentro do MESMO arquivo, um DROP antes de um CREATE não pode apagar a
+        // criação que vem depois.
+        const events = [];
+        for (const m of sql.matchAll(create)) {
+            if (m[1])
+                events.push({ at: m.index ?? 0, name: m[1].toLowerCase(), kind: 'create' });
+        }
+        for (const m of sql.matchAll(drop)) {
+            if (m[1])
+                events.push({ at: m.index ?? 0, name: m[1].toLowerCase(), kind: 'drop' });
+        }
+        events.sort((a, b) => a.at - b.at);
+        for (const e of events) {
+            if (e.kind === 'create')
+                found.add(e.name);
+            else
+                found.delete(e.name);
+        }
+    }
+    // `_migration` é do runner, não de um arquivo de migration.
+    found.add('_migration');
+    return [...found].sort();
+}
+/** Aspas duplas em identificador SQL (nomes vêm de arquivo versionado, nunca de input). */
+function quoteIdent(name) {
+    return `"${name.replace(/"/g, '""')}"`;
+}
+/**
+ * Aplica least privilege ao papel de runtime.
+ *
+ * Concede DML nas tabelas do Office, revoga em tudo o que não é do Office, e
+ * remove o DEFAULT PRIVILEGES que faria a próxima tabela criada no schema nascer
+ * alcançável. Idempotente: em banco limpo não há estrangeiras e a função é um
+ * no-op além do GRANT.
+ *
+ * Recebe a allowlist em vez de descobri-la para que o teste possa exercitar a
+ * contenção sem depender do conteúdo real das migrations.
+ */
+export async function enforceRuntimeLeastPrivilege(sql, officeTables) {
+    const officeList = officeTables.map(quoteIdent).join(', ');
+    await sql.unsafe(`
+    GRANT USAGE ON SCHEMA public TO baruk_app;
+    GRANT SELECT, INSERT, UPDATE, DELETE ON ${officeList} TO baruk_app;
+    GRANT USAGE, SELECT ON ALL SEQUENCES IN SCHEMA public TO baruk_app;
+  `);
+    // O GRANT acima é amplo por desenho — ele cobre toda tabela do Office. O
+    // hardening por tabela tem de vir NA MESMA função, senão qualquer chamador
+    // que aplique só o GRANT devolve ao runtime privilégios que migrations
+    // anteriores revogaram de propósito. Estado final aqui, não em duas etapas.
+    await sql.unsafe(`
+    -- Append-only: app não pode alterar/apagar auditoria.
+    REVOKE UPDATE, DELETE ON audit_log FROM baruk_app;
+    -- Segredos de auth: app pode CRIAR credencial (signup self-service, BILL-01),
+    -- mas nunca sobrescrever/apagar uma existente (anti account-takeover).
+    REVOKE UPDATE, DELETE ON user_credential FROM baruk_app;
+    GRANT INSERT ON user_credential TO baruk_app;
+    -- Catálogo comercial: app só lê (seed/owner escreve) — evita reprecificação
+    -- por qualquer falha no papel de aplicação.
+    REVOKE INSERT, UPDATE, DELETE ON saas_plan FROM baruk_app;
+    -- Autorização de workload não-humano: o app só LÊ. Quem concede é o
+    -- owner (provisionamento com a credencial de migração), FORA do processo
+    -- que consome. Autoridade escrita pelo controlado não é autoridade — e
+    -- este REVOKE é o que torna "o chamador não autoemite o próprio grant"
+    -- uma propriedade do banco, não uma promessa do TypeScript.
+    REVOKE INSERT, UPDATE, DELETE ON service_principal FROM baruk_app;
+    REVOKE INSERT, UPDATE, DELETE ON service_principal_grant FROM baruk_app;
+    -- Catálogo de papéis: o runtime LE a cada autenticacao e nunca escreve.
+    -- O unico escritor do produto e ensureRbacCatalog, que roda com o owner.
+    -- Sem este REVOKE, o ramo IS NULL do WITH CHECK antigo deixava um tenant
+    -- forjar papel de sistema -- e anexar permissao a um papel que TODOS os
+    -- escritorios usam (P0-A, migration 0045).
+    REVOKE INSERT, UPDATE, DELETE ON role FROM baruk_app;
+    REVOKE INSERT, UPDATE, DELETE ON role_permission FROM baruk_app;
+    -- Vocabulário do perfil fiscal: catálogo GLOBAL sem tenant, logo sem RLS
+    -- que o proteja. O runtime lê a cada avaliação e nunca escreve.
+    REVOKE INSERT, UPDATE, DELETE ON fiscal_attribute_definition FROM baruk_app;
+    -- Registro de capacidades do schema (0055): catálogo GLOBAL sem tenant,
+    -- logo sem RLS que o proteja. O worker LÊ para decidir se pode executar, e
+    -- nunca escreve — um processo que pudesse declarar a própria capacidade
+    -- teria um portão com a chave do lado de dentro. Quem escreve é a migration,
+    -- com o papel owner, FORA do processo que consome.
+    REVOKE INSERT, UPDATE, DELETE ON platform_capability FROM baruk_app;
+    -- Cobertura fiscal (0058): catálogo GLOBAL sem tenant, logo sem RLS. A
+    -- adesão de um município ao ADN é o mesmo fato para todos os escritórios, e
+    -- a restrição que exige fonte e data para afirmar cobertura só vale se o
+    -- runtime não puder contorná-la escrevendo a própria linha. Quem escreve é
+    -- a migration, com o owner, FORA do processo que consome.
+    REVOKE INSERT, UPDATE, DELETE ON fiscal_coverage FROM baruk_app;
+    -- Controle de migrations é privado do owner.
+    REVOKE ALL ON _migration FROM baruk_app;
+  `);
+    // Tudo o que o runtime alcança e não é do Office.
+    const foreign = await sql `
+    SELECT c.relname
+      FROM pg_class c
+      JOIN pg_namespace n ON n.oid = c.relnamespace
+     WHERE n.nspname = 'public'
+       AND c.relkind IN ('r', 'p', 'v', 'm', 'f')
+       AND NOT (c.relname = ANY (${officeTables}))
+       AND (
+         has_table_privilege('baruk_app', c.oid, 'SELECT') OR
+         has_table_privilege('baruk_app', c.oid, 'INSERT') OR
+         has_table_privilege('baruk_app', c.oid, 'UPDATE') OR
+         has_table_privilege('baruk_app', c.oid, 'DELETE')
+       )
+     ORDER BY c.relname
+  `;
+    const revoked = foreign.map((r) => r.relname);
+    if (revoked.length > 0) {
+        await sql.unsafe(`REVOKE ALL ON ${revoked.map(quoteIdent).join(', ')} FROM baruk_app;`);
+    }
+    // Tabela futura não nasce alcançável.
+    const owners = await sql `
+    SELECT DISTINCT pg_get_userbyid(d.defaclrole) AS rolname
+      FROM pg_default_acl d
+      LEFT JOIN pg_namespace n ON n.oid = d.defaclnamespace
+     WHERE n.nspname = 'public'
+       AND d.defaclobjtype = 'r'
+       AND array_to_string(d.defaclacl, ',') LIKE '%baruk_app=%'
+  `;
+    const defaultsCleared = [];
+    const defaultsResidual = [];
+    for (const { rolname } of owners) {
+        try {
+            await sql.unsafe(`
+        ALTER DEFAULT PRIVILEGES FOR ROLE ${quoteIdent(rolname)} IN SCHEMA public
+          REVOKE SELECT, INSERT, UPDATE, DELETE ON TABLES FROM baruk_app;
+      `);
+            defaultsCleared.push(rolname);
+        }
+        catch {
+            // Só é possível para papéis dos quais o papel corrente é membro.
+            defaultsResidual.push(rolname);
+        }
+    }
+    return { revoked, defaultsCleared, defaultsResidual };
+}
 /** Valida a senha do papel de app para poder embutir com segurança no DDL. */
 function safePassword(pw) {
     if (!/^[A-Za-z0-9!@#%^*_\-+=.]{8,}$/.test(pw)) {
@@ -109,32 +281,21 @@ async function main() {
             console.log('ok');
             count++;
         }
-        // 3) Grants ao papel de app (idempotente; cobre também tabelas de verticais).
-        await sql.unsafe(`
-      GRANT USAGE ON SCHEMA public TO baruk_app;
-      GRANT SELECT, INSERT, UPDATE, DELETE ON ALL TABLES IN SCHEMA public TO baruk_app;
-      GRANT USAGE, SELECT ON ALL SEQUENCES IN SCHEMA public TO baruk_app;
-      ALTER DEFAULT PRIVILEGES IN SCHEMA public
-        GRANT SELECT, INSERT, UPDATE, DELETE ON TABLES TO baruk_app;
-      -- Append-only: app não pode alterar/apagar auditoria.
-      REVOKE UPDATE, DELETE ON audit_log FROM baruk_app;
-      -- Segredos de auth: app pode CRIAR credencial (signup self-service, BILL-01),
-      -- mas nunca sobrescrever/apagar uma existente (anti account-takeover).
-      REVOKE UPDATE, DELETE ON user_credential FROM baruk_app;
-      GRANT INSERT ON user_credential TO baruk_app;
-      -- Catálogo comercial: app só lê (seed/owner escreve) — evita reprecificação
-      -- por qualquer falha no papel de aplicação.
-      REVOKE INSERT, UPDATE, DELETE ON saas_plan FROM baruk_app;
-      -- Autorização de workload não-humano: o app só LÊ. Quem concede é o
-      -- owner (provisionamento com a credencial de migração), FORA do processo
-      -- que consome. Autoridade escrita pelo controlado não é autoridade — e
-      -- este REVOKE é o que torna "o chamador não autoemite o próprio grant"
-      -- uma propriedade do banco, não uma promessa do TypeScript.
-      REVOKE INSERT, UPDATE, DELETE ON service_principal FROM baruk_app;
-      REVOKE INSERT, UPDATE, DELETE ON service_principal_grant FROM baruk_app;
-      -- Controle de migrations é privado do owner.
-      REVOKE ALL ON _migration FROM baruk_app;
-    `);
+        // 3) Grants ao papel de app — ALLOWLIST, não "todas as tabelas do schema".
+        //    A lista sai do SQL que acabou de ser lido: o que este repositório cria,
+        //    o runtime alcança; o que ele não cria, o runtime não alcança. Idempotente,
+        //    e cobre as verticais porque `collectMigrations` já as inclui.
+        const officeTables = officeTablesFromSql(migrations.map((m) => m.sql));
+        const lp = await enforceRuntimeLeastPrivilege(sql, officeTables);
+        if (lp.revoked.length > 0) {
+            console.log(`→ contenção: privilégio de baruk_app revogado em ${lp.revoked.length} tabela(s) fora do Office.`);
+        }
+        for (const r of lp.defaultsCleared) {
+            console.log(`→ default privileges de ${r} para baruk_app removidos.`);
+        }
+        for (const r of lp.defaultsResidual) {
+            console.warn(`  ⚠ default privileges de ${r} não removíveis com este papel (resíduo).`);
+        }
         console.log(count === 0
             ? '✓ Nenhuma migration pendente. Schema já atualizado.'
             : `✓ ${count} migration(s) aplicada(s). Papel baruk_app garantido e privilegiado.`);
@@ -143,8 +304,14 @@ async function main() {
         await sql.end({ timeout: 5 });
     }
 }
-main().catch((err) => {
-    console.error('✗ Falha na migração:', err instanceof Error ? err.message : err);
-    process.exit(1);
-});
+// Só migra quando ESTE arquivo é o entrypoint. Sem a guarda, qualquer `import`
+// do módulo — por exemplo o teste que exercita a allowlist — dispararia a
+// migração como efeito colateral do import.
+const isEntrypoint = process.argv[1] !== undefined && import.meta.url === pathToFileURL(process.argv[1]).href;
+if (isEntrypoint) {
+    main().catch((err) => {
+        console.error('✗ Falha na migração:', err instanceof Error ? err.message : err);
+        process.exit(1);
+    });
+}
 //# sourceMappingURL=migrate.js.map

package/dist/db/migrate.js.map

@@ -1 +1 @@
-{"version":3,"file":"migrate.js","sourceRoot":"","sources":["../../src/db/migrate.ts"],"names":[],"mappings":"AAAA;;;;;;;;;;GAUG;AACH,OAAO,EAAE,UAAU,EAAE,MAAM,aAAa,CAAC;AACzC,OAAO,EAAE,WAAW,EAAE,YAAY,EAAE,UAAU,EAAE,MAAM,SAAS,CAAC;AAChE,OAAO,EAAE,OAAO,EAAE,IAAI,EAAE,OAAO,EAAE,MAAM,WAAW,CAAC;AACnD,OAAO,EAAE,aAAa,EAAE,MAAM,UAAU,CAAC;AACzC,OAAO,EAAE,QAAQ,EAAE,MAAM,aAAa,CAAC;AACvC,OAAO,EAAE,OAAO,EAAE,MAAM,eAAe,CAAC;AAExC,MAAM,SAAS,GAAG,OAAO,CAAC,aAAa,CAAC,MAAM,CAAC,IAAI,CAAC,GAAG,CAAC,CAAC,CAAC;AAS1D,SAAS,YAAY,CAAC,KAAa;IACjC,IAAI,GAAG,GAAG,KAAK,CAAC;IAChB,KAAK,IAAI,CAAC,GAAG,CAAC,EAAE,CAAC,GAAG,CAAC,EAAE,CAAC,EAAE,EAAE,CAAC;QAC3B,IAAI,UAAU,CAAC,IAAI,CAAC,GAAG,EAAE,qBAAqB,CAAC,CAAC;YAAE,OAAO,GAAG,CAAC;QAC7D,MAAM,MAAM,GAAG,OAAO,CAAC,GAAG,EAAE,IAAI,CAAC,CAAC;QAClC,IAAI,MAAM,KAAK,GAAG;YAAE,MAAM;QAC1B,GAAG,GAAG,MAAM,CAAC;IACf,CAAC;IACD,OAAO,KAAK,CAAC;AACf,CAAC;AAED,SAAS,UAAU,CAAC,GAAW;IAC7B,IAAI,CAAC,UAAU,CAAC,GAAG,CAAC;QAAE,OAAO,EAAE,CAAC;IAChC,OAAO,WAAW,CAAC,GAAG,CAAC;SACpB,MAAM,CAAC,CAAC,CAAC,EAAE,EAAE,CAAC,CAAC,CAAC,QAAQ,CAAC,MAAM,CAAC,CAAC;SACjC,GAAG,CAAC,CAAC,CAAC,EAAE,EAAE;QACT,MAAM,IAAI,GAAG,IAAI,CAAC,GAAG,EAAE,CAAC,CAAC,CAAC;QAC1B,MAAM,GAAG,GAAG,YAAY,CAAC,IAAI,EAAE,MAAM,CAAC,CAAC;QACvC,OAAO,EAAE,IAAI,EAAE,CAAC,EAAE,IAAI,EAAE,GAAG,EAAE,QAAQ,EAAE,UAAU,CAAC,QAAQ,CAAC,CAAC,MAAM,CAAC,GAAG,CAAC,CAAC,MAAM,CAAC,KAAK,CAAC,EAAE,CAAC;IAC1F,CAAC,CAAC,CAAC;AACP,CAAC;AAED,SAAS,iBAAiB;IACxB,qFAAqF;IACrF,MAAM,cAAc,GAAG,IAAI,CAAC,SAAS,EAAE,YAAY,CAAC,CAAC;IACrD,MAAM,QAAQ,GAAG,YAAY,CAAC,SAAS,CAAC,CAAC;IACzC,MAAM,aAAa,GAAG,IAAI,CAAC,QAAQ,EAAE,UAAU,EAAE,WAAW,CAAC,CAAC;IAE9D,MAAM,GAAG,GAAgB,CAAC,GAAG,UAAU,CAAC,cAAc,CAAC,CAAC,CAAC;IAEzD,IAAI,UAAU,CAAC,aAAa,CAAC,EAAE,CAAC;QAC9B,KAAK,MAAM,QAAQ,IAAI,WAAW,CAAC,aAAa,CAAC,EAAE,CAAC;YAClD,GAAG,CAAC,IAAI,CAAC,GAAG,UAAU,CAAC,IAAI,CAAC,aAAa,EAAE,QAAQ,EAAE,IAAI,EAAE,YAAY,CAAC,CAAC,CAAC,CAAC;QAC7E,CAAC;IACH,CAAC;IACD,2EAA2E;IAC3E,OAAO,GAAG,CAAC,IAAI,CAAC,CAAC,CAAC,EAAE,CAAC,EAAE,EAAE,CAAC,CAAC,CAAC,IAAI,CAAC,aAAa,CAAC,CAAC,CAAC,IAAI,EAAE,IAAI,CAAC,CAAC,CAAC;AAChE,CAAC;AAED,8EAA8E;AAC9E,SAAS,YAAY,CAAC,EAAU;IAC9B,IAAI,CAAC,+BAA+B,CAAC,IAAI,CAAC,EAAE,CAAC,EAAE,CAAC;QAC9C,MAAM,IAAI,KAAK,CACb,8FAA8F,CAC/F,CAAC;IACJ,CAAC;IACD,OAAO,EAAE,CAAC;AACZ,CAAC;AAED,KAAK,UAAU,IAAI;IACjB,OAAO,EAAE,CAAC;IACV,MAAM,QAAQ,GAAG,OAAO,CAAC,GAAG,CAAC,YAAY,CAAC;IAC1C,IAAI,CAAC,QAAQ;QAAE,MAAM,IAAI,KAAK,CAAC,0CAA0C,CAAC,CAAC;IAC3E,MAAM,GAAG,GAAG,QAAQ,CAAC,QAAQ,EAAE,EAAE,IAAI,EAAE,OAAO,EAAE,GAAG,EAAE,CAAC,EAAE,CAAC,CAAC;IAE1D,IAAI,CAAC;QACH,yEAAyE;QACzE,yEAAyE;QACzE,8EAA8E;QAC9E,2EAA2E;QAC3E,iFAAiF;QACjF,MAAM,CAAC,OAAO,CAAC,GAAG,MAAM,GAAG,CAAuB;;KAEjD,CAAC;QACF,IAAI,CAAC,OAAO,EAAE,MAAM,EAAE,CAAC;YACrB,MAAM,WAAW,GAAG,YAAY,CAAC,OAAO,CAAC,GAAG,CAAC,eAAe,IAAI,EAAE,CAAC,CAAC;YACpE,MAAM,GAAG,CAAC,MAAM,CAAC,yCAAyC,WAAW,IAAI,CAAC,CAAC;QAC7E,CAAC;QAED,yBAAyB;QACzB,MAAM,GAAG,CAAC,MAAM,CAAC;;;;;;KAMhB,CAAC,CAAC;QAEH,MAAM,OAAO,GAAG,IAAI,GAAG,EAAkB,CAAC;QAC1C,KAAK,MAAM,GAAG,IAAI,MAAM,GAAG,CAAA,uCAAuC,EAAE,CAAC;YACnE,OAAO,CAAC,GAAG,CAAC,GAAG,CAAC,IAAc,EAAE,GAAG,CAAC,QAAkB,CAAC,CAAC;QAC1D,CAAC;QAED,MAAM,UAAU,GAAG,iBAAiB,EAAE,CAAC;QACvC,IAAI,KAAK,GAAG,CAAC,CAAC;QACd,KAAK,MAAM,CAAC,IAAI,UAAU,EAAE,CAAC;YAC3B,MAAM,IAAI,GAAG,OAAO,CAAC,GAAG,CAAC,CAAC,CAAC,IAAI,CAAC,CAAC;YACjC,IAAI,IAAI,EAAE,CAAC;gBACT,IAAI,IAAI,KAAK,CAAC,CAAC,QAAQ,EAAE,CAAC;oBACxB,MAAM,IAAI,KAAK,CACb,yCAAyC,CAAC,CAAC,IAAI,6CAA6C,CAC7F,CAAC;gBACJ,CAAC;gBACD,SAAS;YACX,CAAC;YACD,OAAO,CAAC,MAAM,CAAC,KAAK,CAAC,eAAe,CAAC,CAAC,IAAI,KAAK,CAAC,CAAC;YACjD,MAAM,GAAG,CAAC,KAAK,CAAC,KAAK,EAAE,EAAE,EAAE,EAAE;gBAC3B,MAAM,EAAE,CAAC,MAAM,CAAC,CAAC,CAAC,GAAG,CAAC,CAAC;gBACvB,MAAM,EAAE,CAAA,mDAAmD,CAAC,CAAC,IAAI,KAAK,CAAC,CAAC,QAAQ,GAAG,CAAC;YACtF,CAAC,CAAC,CAAC;YACH,OAAO,CAAC,GAAG,CAAC,IAAI,CAAC,CAAC;YAClB,KAAK,EAAE,CAAC;QACV,CAAC;QAED,8EAA8E;QAC9E,MAAM,GAAG,CAAC,MAAM,CAAC;;;;;;;;;;;;;;;;;;;;;;;;KAwBhB,CAAC,CAAC;QAEH,OAAO,CAAC,GAAG,CACT,KAAK,KAAK,CAAC;YACT,CAAC,CAAC,qDAAqD;YACvD,CAAC,CAAC,KAAK,KAAK,sEAAsE,CACrF,CAAC;IACJ,CAAC;YAAS,CAAC;QACT,MAAM,GAAG,CAAC,GAAG,CAAC,EAAE,OAAO,EAAE,CAAC,EAAE,CAAC,CAAC;IAChC,CAAC;AACH,CAAC;AAED,IAAI,EAAE,CAAC,KAAK,CAAC,CAAC,GAAG,EAAE,EAAE;IACnB,OAAO,CAAC,KAAK,CAAC,sBAAsB,EAAE,GAAG,YAAY,KAAK,CAAC,CAAC,CAAC,GAAG,CAAC,OAAO,CAAC,CAAC,CAAC,GAAG,CAAC,CAAC;IAChF,OAAO,CAAC,IAAI,CAAC,CAAC,CAAC,CAAC;AAClB,CAAC,CAAC,CAAC"}
+{"version":3,"file":"migrate.js","sourceRoot":"","sources":["../../src/db/migrate.ts"],"names":[],"mappings":"AAAA;;;;;;;;;;;GAWG;AACH,OAAO,EAAE,UAAU,EAAE,MAAM,aAAa,CAAC;AACzC,OAAO,EAAE,WAAW,EAAE,YAAY,EAAE,UAAU,EAAE,MAAM,SAAS,CAAC;AAChE,OAAO,EAAE,OAAO,EAAE,IAAI,EAAE,OAAO,EAAE,MAAM,WAAW,CAAC;AACnD,OAAO,EAAE,aAAa,EAAE,aAAa,EAAE,MAAM,UAAU,CAAC;AACxD,OAAO,EAAE,QAAQ,EAAW,MAAM,aAAa,CAAC;AAChD,OAAO,EAAE,OAAO,EAAE,MAAM,eAAe,CAAC;AAExC,MAAM,SAAS,GAAG,OAAO,CAAC,aAAa,CAAC,MAAM,CAAC,IAAI,CAAC,GAAG,CAAC,CAAC,CAAC;AAS1D,SAAS,YAAY,CAAC,KAAa;IACjC,IAAI,GAAG,GAAG,KAAK,CAAC;IAChB,KAAK,IAAI,CAAC,GAAG,CAAC,EAAE,CAAC,GAAG,CAAC,EAAE,CAAC,EAAE,EAAE,CAAC;QAC3B,IAAI,UAAU,CAAC,IAAI,CAAC,GAAG,EAAE,qBAAqB,CAAC,CAAC;YAAE,OAAO,GAAG,CAAC;QAC7D,MAAM,MAAM,GAAG,OAAO,CAAC,GAAG,EAAE,IAAI,CAAC,CAAC;QAClC,IAAI,MAAM,KAAK,GAAG;YAAE,MAAM;QAC1B,GAAG,GAAG,MAAM,CAAC;IACf,CAAC;IACD,OAAO,KAAK,CAAC;AACf,CAAC;AAED,SAAS,UAAU,CAAC,GAAW;IAC7B,IAAI,CAAC,UAAU,CAAC,GAAG,CAAC;QAAE,OAAO,EAAE,CAAC;IAChC,OAAO,WAAW,CAAC,GAAG,CAAC;SACpB,MAAM,CAAC,CAAC,CAAC,EAAE,EAAE,CAAC,CAAC,CAAC,QAAQ,CAAC,MAAM,CAAC,CAAC;SACjC,GAAG,CAAC,CAAC,CAAC,EAAE,EAAE;QACT,MAAM,IAAI,GAAG,IAAI,CAAC,GAAG,EAAE,CAAC,CAAC,CAAC;QAC1B,MAAM,GAAG,GAAG,YAAY,CAAC,IAAI,EAAE,MAAM,CAAC,CAAC;QACvC,OAAO,EAAE,IAAI,EAAE,CAAC,EAAE,IAAI,EAAE,GAAG,EAAE,QAAQ,EAAE,UAAU,CAAC,QAAQ,CAAC,CAAC,MAAM,CAAC,GAAG,CAAC,CAAC,MAAM,CAAC,KAAK,CAAC,EAAE,CAAC;IAC1F,CAAC,CAAC,CAAC;AACP,CAAC;AAED,SAAS,iBAAiB;IACxB,qFAAqF;IACrF,MAAM,cAAc,GAAG,IAAI,CAAC,SAAS,EAAE,YAAY,CAAC,CAAC;IACrD,MAAM,QAAQ,GAAG,YAAY,CAAC,SAAS,CAAC,CAAC;IACzC,MAAM,aAAa,GAAG,IAAI,CAAC,QAAQ,EAAE,UAAU,EAAE,WAAW,CAAC,CAAC;IAE9D,MAAM,GAAG,GAAgB,CAAC,GAAG,UAAU,CAAC,cAAc,CAAC,CAAC,CAAC;IAEzD,IAAI,UAAU,CAAC,aAAa,CAAC,EAAE,CAAC;QAC9B,KAAK,MAAM,QAAQ,IAAI,WAAW,CAAC,aAAa,CAAC,EAAE,CAAC;YAClD,GAAG,CAAC,IAAI,CAAC,GAAG,UAAU,CAAC,IAAI,CAAC,aAAa,EAAE,QAAQ,EAAE,IAAI,EAAE,YAAY,CAAC,CAAC,CAAC,CAAC;QAC7E,CAAC;IACH,CAAC;IACD,2EAA2E;IAC3E,OAAO,GAAG,CAAC,IAAI,CAAC,CAAC,CAAC,EAAE,CAAC,EAAE,EAAE,CAAC,CAAC,CAAC,IAAI,CAAC,aAAa,CAAC,CAAC,CAAC,IAAI,EAAE,IAAI,CAAC,CAAC,CAAC;AAChE,CAAC;AAED;;;;;;;;;;;;;GAaG;AACH,MAAM,UAAU,mBAAmB,CAAC,IAAuB;IACzD,MAAM,KAAK,GAAG,IAAI,GAAG,EAAU,CAAC;IAChC,+EAA+E;IAC/E,8EAA8E;IAC9E,2CAA2C;IAC3C,MAAM,MAAM,GACV,6FAA6F,CAAC;IAChG,gDAAgD;IAChD,EAAE;IACF,6EAA6E;IAC7E,8EAA8E;IAC9E,0EAA0E;IAC1E,6EAA6E;IAC7E,gFAAgF;IAChF,WAAW;IACX,EAAE;IACF,8EAA8E;IAC9E,8EAA8E;IAC9E,MAAM,IAAI,GACR,qFAAqF,CAAC;IACxF,KAAK,MAAM,GAAG,IAAI,IAAI,EAAE,CAAC;QACvB,0EAA0E;QAC1E,wEAAwE;QACxE,0BAA0B;QAC1B,MAAM,MAAM,GAA4D,EAAE,CAAC;QAC3E,KAAK,MAAM,CAAC,IAAI,GAAG,CAAC,QAAQ,CAAC,MAAM,CAAC,EAAE,CAAC;YACrC,IAAI,CAAC,CAAC,CAAC,CAAC;gBAAE,MAAM,CAAC,IAAI,CAAC,EAAE,EAAE,EAAE,CAAC,CAAC,KAAK,IAAI,CAAC,EAAE,IAAI,EAAE,CAAC,CAAC,CAAC,CAAC,CAAC,WAAW,EAAE,EAAE,IAAI,EAAE,QAAQ,EAAE,CAAC,CAAC;QACxF,CAAC;QACD,KAAK,MAAM,CAAC,IAAI,GAAG,CAAC,QAAQ,CAAC,IAAI,CAAC,EAAE,CAAC;YACnC,IAAI,CAAC,CAAC,CAAC,CAAC;gBAAE,MAAM,CAAC,IAAI,CAAC,EAAE,EAAE,EAAE,CAAC,CAAC,KAAK,IAAI,CAAC,EAAE,IAAI,EAAE,CAAC,CAAC,CAAC,CAAC,CAAC,WAAW,EAAE,EAAE,IAAI,EAAE,MAAM,EAAE,CAAC,CAAC;QACtF,CAAC;QACD,MAAM,CAAC,IAAI,CAAC,CAAC,CAAC,EAAE,CAAC,EAAE,EAAE,CAAC,CAAC,CAAC,EAAE,GAAG,CAAC,CAAC,EAAE,CAAC,CAAC;QACnC,KAAK,MAAM,CAAC,IAAI,MAAM,EAAE,CAAC;YACvB,IAAI,CAAC,CAAC,IAAI,KAAK,QAAQ;gBAAE,KAAK,CAAC,GAAG,CAAC,CAAC,CAAC,IAAI,CAAC,CAAC;;gBACtC,KAAK,CAAC,MAAM,CAAC,CAAC,CAAC,IAAI,CAAC,CAAC;QAC5B,CAAC;IACH,CAAC;IACD,4DAA4D;IAC5D,KAAK,CAAC,GAAG,CAAC,YAAY,CAAC,CAAC;IACxB,OAAO,CAAC,GAAG,KAAK,CAAC,CAAC,IAAI,EAAE,CAAC;AAC3B,CAAC;AAED,2FAA2F;AAC3F,SAAS,UAAU,CAAC,IAAY;IAC9B,OAAO,IAAI,IAAI,CAAC,OAAO,CAAC,IAAI,EAAE,IAAI,CAAC,GAAG,CAAC;AACzC,CAAC;AAWD;;;;;;;;;;GAUG;AACH,MAAM,CAAC,KAAK,UAAU,4BAA4B,CAChD,GAAO,EACP,YAA+B;IAE/B,MAAM,UAAU,GAAG,YAAY,CAAC,GAAG,CAAC,UAAU,CAAC,CAAC,IAAI,CAAC,IAAI,CAAC,CAAC;IAC3D,MAAM,GAAG,CAAC,MAAM,CAAC;;8CAE2B,UAAU;;GAErD,CAAC,CAAC;IAEH,yEAAyE;IACzE,2EAA2E;IAC3E,uEAAuE;IACvE,4EAA4E;IAC5E,MAAM,GAAG,CAAC,MAAM,CAAC;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;GAyChB,CAAC,CAAC;IAEH,kDAAkD;IAClD,MAAM,OAAO,GAAG,MAAM,GAAG,CAAuB;;;;;;mCAMf,YAAwB;;;;;;;;GAQxD,CAAC;IACF,MAAM,OAAO,GAAG,OAAO,CAAC,GAAG,CAAC,CAAC,CAAC,EAAE,EAAE,CAAC,CAAC,CAAC,OAAO,CAAC,CAAC;IAC9C,IAAI,OAAO,CAAC,MAAM,GAAG,CAAC,EAAE,CAAC;QACvB,MAAM,GAAG,CAAC,MAAM,CAAC,iBAAiB,OAAO,CAAC,GAAG,CAAC,UAAU,CAAC,CAAC,IAAI,CAAC,IAAI,CAAC,kBAAkB,CAAC,CAAC;IAC1F,CAAC;IAED,sCAAsC;IACtC,MAAM,MAAM,GAAG,MAAM,GAAG,CAAuB;;;;;;;GAO9C,CAAC;IACF,MAAM,eAAe,GAAa,EAAE,CAAC;IACrC,MAAM,gBAAgB,GAAa,EAAE,CAAC;IACtC,KAAK,MAAM,EAAE,OAAO,EAAE,IAAI,MAAM,EAAE,CAAC;QACjC,IAAI,CAAC;YACH,MAAM,GAAG,CAAC,MAAM,CAAC;4CACqB,UAAU,CAAC,OAAO,CAAC;;OAExD,CAAC,CAAC;YACH,eAAe,CAAC,IAAI,CAAC,OAAO,CAAC,CAAC;QAChC,CAAC;QAAC,MAAM,CAAC;YACP,iEAAiE;YACjE,gBAAgB,CAAC,IAAI,CAAC,OAAO,CAAC,CAAC;QACjC,CAAC;IACH,CAAC;IACD,OAAO,EAAE,OAAO,EAAE,eAAe,EAAE,gBAAgB,EAAE,CAAC;AACxD,CAAC;AAED,8EAA8E;AAC9E,SAAS,YAAY,CAAC,EAAU;IAC9B,IAAI,CAAC,+BAA+B,CAAC,IAAI,CAAC,EAAE,CAAC,EAAE,CAAC;QAC9C,MAAM,IAAI,KAAK,CACb,8FAA8F,CAC/F,CAAC;IACJ,CAAC;IACD,OAAO,EAAE,CAAC;AACZ,CAAC;AAED,KAAK,UAAU,IAAI;IACjB,OAAO,EAAE,CAAC;IACV,MAAM,QAAQ,GAAG,OAAO,CAAC,GAAG,CAAC,YAAY,CAAC;IAC1C,IAAI,CAAC,QAAQ;QAAE,MAAM,IAAI,KAAK,CAAC,0CAA0C,CAAC,CAAC;IAC3E,MAAM,GAAG,GAAG,QAAQ,CAAC,QAAQ,EAAE,EAAE,IAAI,EAAE,OAAO,EAAE,GAAG,EAAE,CAAC,EAAE,CAAC,CAAC;IAE1D,IAAI,CAAC;QACH,yEAAyE;QACzE,yEAAyE;QACzE,8EAA8E;QAC9E,2EAA2E;QAC3E,iFAAiF;QACjF,MAAM,CAAC,OAAO,CAAC,GAAG,MAAM,GAAG,CAAuB;;KAEjD,CAAC;QACF,IAAI,CAAC,OAAO,EAAE,MAAM,EAAE,CAAC;YACrB,MAAM,WAAW,GAAG,YAAY,CAAC,OAAO,CAAC,GAAG,CAAC,eAAe,IAAI,EAAE,CAAC,CAAC;YACpE,MAAM,GAAG,CAAC,MAAM,CAAC,yCAAyC,WAAW,IAAI,CAAC,CAAC;QAC7E,CAAC;QAED,yBAAyB;QACzB,MAAM,GAAG,CAAC,MAAM,CAAC;;;;;;KAMhB,CAAC,CAAC;QAEH,MAAM,OAAO,GAAG,IAAI,GAAG,EAAkB,CAAC;QAC1C,KAAK,MAAM,GAAG,IAAI,MAAM,GAAG,CAAA,uCAAuC,EAAE,CAAC;YACnE,OAAO,CAAC,GAAG,CAAC,GAAG,CAAC,IAAc,EAAE,GAAG,CAAC,QAAkB,CAAC,CAAC;QAC1D,CAAC;QAED,MAAM,UAAU,GAAG,iBAAiB,EAAE,CAAC;QACvC,IAAI,KAAK,GAAG,CAAC,CAAC;QACd,KAAK,MAAM,CAAC,IAAI,UAAU,EAAE,CAAC;YAC3B,MAAM,IAAI,GAAG,OAAO,CAAC,GAAG,CAAC,CAAC,CAAC,IAAI,CAAC,CAAC;YACjC,IAAI,IAAI,EAAE,CAAC;gBACT,IAAI,IAAI,KAAK,CAAC,CAAC,QAAQ,EAAE,CAAC;oBACxB,MAAM,IAAI,KAAK,CACb,yCAAyC,CAAC,CAAC,IAAI,6CAA6C,CAC7F,CAAC;gBACJ,CAAC;gBACD,SAAS;YACX,CAAC;YACD,OAAO,CAAC,MAAM,CAAC,KAAK,CAAC,eAAe,CAAC,CAAC,IAAI,KAAK,CAAC,CAAC;YACjD,MAAM,GAAG,CAAC,KAAK,CAAC,KAAK,EAAE,EAAE,EAAE,EAAE;gBAC3B,MAAM,EAAE,CAAC,MAAM,CAAC,CAAC,CAAC,GAAG,CAAC,CAAC;gBACvB,MAAM,EAAE,CAAA,mDAAmD,CAAC,CAAC,IAAI,KAAK,CAAC,CAAC,QAAQ,GAAG,CAAC;YACtF,CAAC,CAAC,CAAC;YACH,OAAO,CAAC,GAAG,CAAC,IAAI,CAAC,CAAC;YAClB,KAAK,EAAE,CAAC;QACV,CAAC;QAED,2EAA2E;QAC3E,6EAA6E;QAC7E,gFAAgF;QAChF,mEAAmE;QACnE,MAAM,YAAY,GAAG,mBAAmB,CAAC,UAAU,CAAC,GAAG,CAAC,CAAC,CAAC,EAAE,EAAE,CAAC,CAAC,CAAC,GAAG,CAAC,CAAC,CAAC;QACvE,MAAM,EAAE,GAAG,MAAM,4BAA4B,CAAC,GAAG,EAAE,YAAY,CAAC,CAAC;QACjE,IAAI,EAAE,CAAC,OAAO,CAAC,MAAM,GAAG,CAAC,EAAE,CAAC;YAC1B,OAAO,CAAC,GAAG,CACT,oDAAoD,EAAE,CAAC,OAAO,CAAC,MAAM,4BAA4B,CAClG,CAAC;QACJ,CAAC;QACD,KAAK,MAAM,CAAC,IAAI,EAAE,CAAC,eAAe,EAAE,CAAC;YACnC,OAAO,CAAC,GAAG,CAAC,2BAA2B,CAAC,4BAA4B,CAAC,CAAC;QACxE,CAAC;QACD,KAAK,MAAM,CAAC,IAAI,EAAE,CAAC,gBAAgB,EAAE,CAAC;YACpC,OAAO,CAAC,IAAI,CAAC,6BAA6B,CAAC,2CAA2C,CAAC,CAAC;QAC1F,CAAC;QAED,OAAO,CAAC,GAAG,CACT,KAAK,KAAK,CAAC;YACT,CAAC,CAAC,qDAAqD;YACvD,CAAC,CAAC,KAAK,KAAK,sEAAsE,CACrF,CAAC;IACJ,CAAC;YAAS,CAAC;QACT,MAAM,GAAG,CAAC,GAAG,CAAC,EAAE,OAAO,EAAE,CAAC,EAAE,CAAC,CAAC;IAChC,CAAC;AACH,CAAC;AAED,+EAA+E;AAC/E,0EAA0E;AAC1E,4CAA4C;AAC5C,MAAM,YAAY,GAChB,OAAO,CAAC,IAAI,CAAC,CAAC,CAAC,KAAK,SAAS,IAAI,MAAM,CAAC,IAAI,CAAC,GAAG,KAAK,aAAa,CAAC,OAAO,CAAC,IAAI,CAAC,CAAC,CAAC,CAAC,CAAC,IAAI,CAAC;AAE3F,IAAI,YAAY,EAAE,CAAC;IACjB,IAAI,EAAE,CAAC,KAAK,CAAC,CAAC,GAAG,EAAE,EAAE;QACnB,OAAO,CAAC,KAAK,CAAC,sBAAsB,EAAE,GAAG,YAAY,KAAK,CAAC,CAAC,CAAC,GAAG,CAAC,OAAO,CAAC,CAAC,CAAC,GAAG,CAAC,CAAC;QAChF,OAAO,CAAC,IAAI,CAAC,CAAC,CAAC,CAAC;IAClB,CAAC,CAAC,CAAC;AACL,CAAC"}

package/dist/db/provision-e2e-identity.d.ts

@@ -0,0 +1,2 @@
+export {};
+//# sourceMappingURL=provision-e2e-identity.d.ts.map

package/dist/db/provision-e2e-identity.d.ts.map

@@ -0,0 +1 @@
+{"version":3,"file":"provision-e2e-identity.d.ts","sourceRoot":"","sources":["../../src/db/provision-e2e-identity.ts"],"names":[],"mappings":""}

package/dist/db/provision-e2e-identity.js

@@ -0,0 +1,109 @@
+/**
+ * Provisiona a identidade de automação E2E de um escritório.
+ *
+ * ## Por que é um script, e não uma rota
+ *
+ * Criar a identidade que valida o produto é ato de PROVISIONAMENTO, não de
+ * operação. Expor isso como rota daria a alguém dentro do produto o poder de
+ * fabricar uma conta de automação — e o valor de uma identidade de privilégio
+ * mínimo desaparece se qualquer administrador puder criar outra.
+ *
+ * ## O que ele garante
+ *
+ * - `user_type = 'service'` — reconhecível como não-humana em toda consulta;
+ * - papel `e2e_automation` e nada além: quatro permissões, tenant único;
+ * - idempotente: rodar de novo não duplica nem escala privilégio;
+ * - a senha vem do ambiente e **nunca** é impressa, ecoada ou gravada em log.
+ *
+ * ## Uso
+ *
+ *   OFFICE_MIGRATION_DATABASE_URL=… \
+ *   E2E_IDENTITY_EMAIL=… E2E_IDENTITY_PASSWORD=… \
+ *   pnpm --filter @baruk/core provision:e2e --tenant sc
+ *
+ * Revogar é o caminho inverso e existe na interface: Administração → Usuários →
+ * situação "revogado". Rotacionar é rodar de novo com `--rotate` e uma senha
+ * nova.
+ */
+import { createDb } from './client.js';
+import { withContext } from './context.js';
+import { assignSystemRole, ensureMembership } from '../tenancy/provisioning.js';
+import { upsertUserWithPassword } from '../auth/service.js';
+const ROLE = 'e2e_automation';
+function arg(nome, padrao) {
+    const i = process.argv.indexOf(`--${nome}`);
+    return i >= 0 ? (process.argv[i + 1] ?? padrao) : padrao;
+}
+async function main() {
+    const url = process.env.OFFICE_MIGRATION_DATABASE_URL ?? process.env.DATABASE_URL;
+    const email = process.env.E2E_IDENTITY_EMAIL;
+    const senha = process.env.E2E_IDENTITY_PASSWORD;
+    const tenantCode = arg('tenant', 'sc');
+    const rotate = process.argv.includes('--rotate');
+    if (!url)
+        throw new Error('OFFICE_MIGRATION_DATABASE_URL ausente.');
+    if (!email)
+        throw new Error('E2E_IDENTITY_EMAIL ausente.');
+    if (!senha || senha.length < 24) {
+        throw new Error('E2E_IDENTITY_PASSWORD ausente ou curta demais (mínimo 24 caracteres).');
+    }
+    const db = createDb(url, { role: 'owner', max: 2 });
+    try {
+        const [tenant] = await db `
+      SELECT id FROM tenant WHERE code = ${tenantCode} AND deleted_at IS NULL
+    `;
+        if (!tenant)
+            throw new Error(`Organização "${tenantCode}" não encontrada.`);
+        // `user_type: 'service'` é o que separa esta conta de uma pessoa. O tipo já
+        // existe no domínio e na constraint do banco desde a identidade do Core —
+        // não é campo inventado para este caso.
+        const user = await upsertUserWithPassword(db, {
+            email,
+            fullName: 'Automação de teste (E2E)',
+            password: senha,
+            userType: 'service',
+            overwritePassword: rotate,
+        });
+        await ensureMembership(db, tenant.id, user.id);
+        await assignSystemRole(db, tenant.id, user.id, ROLE);
+        // Conferência de saída: o que foi concedido é exatamente o esperado.
+        const permissoes = await withContext(db, { tenantId: tenant.id, userId: user.id }, async (tx) => {
+            const rows = await tx `
+        SELECT p.key
+          FROM user_role ur
+          JOIN role r ON r.id = ur.role_id
+          JOIN role_permission rp ON rp.role_id = r.id
+          JOIN permission p ON p.id = rp.permission_id
+         WHERE ur.user_id = ${user.id} AND ur.deleted_at IS NULL
+         ORDER BY p.key
+      `;
+            return rows.map((r) => r.key);
+        });
+        // Nada de e-mail, id ou senha na saída: só o que se precisa conferir.
+        console.log(`✓ identidade E2E provisionada em "${tenantCode}"`);
+        console.log(`  tipo: service`);
+        console.log(`  papel: ${ROLE}`);
+        console.log(`  permissões (${permissoes.length}): ${permissoes.join(', ')}`);
+        console.log(`  senha definida nesta execução: ${user.passwordWasSet ? 'sim' : 'não (já existia)'}`);
+        if (permissoes.length !== 4) {
+            throw new Error(`Esperava 4 permissões e encontrei ${permissoes.length}. Abortando: uma identidade de automação com privilégio a mais não deve ficar de pé.`);
+        }
+    }
+    finally {
+        await db.end({ timeout: 5 });
+    }
+}
+/**
+ * Erro de driver de banco costuma trazer a connection string inteira dentro da
+ * mensagem. Quem redige tem de ser a ferramenta: confiar em quem chama é
+ * confiar que ninguém vai esquecer o filtro uma vez.
+ */
+function semSegredo(err) {
+    const bruto = err instanceof Error ? err.message : String(err);
+    return bruto.replace(/postgres(?:ql)?:\/\/\S+/gi, '[connection string redigida]');
+}
+main().catch((err) => {
+    console.error('✗ provisionamento falhou:', semSegredo(err));
+    process.exit(1);
+});
+//# sourceMappingURL=provision-e2e-identity.js.map

package/dist/db/provision-e2e-identity.js.map

@@ -0,0 +1 @@
+{"version":3,"file":"provision-e2e-identity.js","sourceRoot":"","sources":["../../src/db/provision-e2e-identity.ts"],"names":[],"mappings":"AAAA;;;;;;;;;;;;;;;;;;;;;;;;;;GA0BG;AACH,OAAO,EAAE,QAAQ,EAAE,MAAM,aAAa,CAAC;AACvC,OAAO,EAAE,WAAW,EAAE,MAAM,cAAc,CAAC;AAC3C,OAAO,EAAE,gBAAgB,EAAE,gBAAgB,EAAE,MAAM,4BAA4B,CAAC;AAChF,OAAO,EAAE,sBAAsB,EAAE,MAAM,oBAAoB,CAAC;AAE5D,MAAM,IAAI,GAAG,gBAAgB,CAAC;AAE9B,SAAS,GAAG,CAAC,IAAY,EAAE,MAAc;IACvC,MAAM,CAAC,GAAG,OAAO,CAAC,IAAI,CAAC,OAAO,CAAC,KAAK,IAAI,EAAE,CAAC,CAAC;IAC5C,OAAO,CAAC,IAAI,CAAC,CAAC,CAAC,CAAC,CAAC,OAAO,CAAC,IAAI,CAAC,CAAC,GAAG,CAAC,CAAC,IAAI,MAAM,CAAC,CAAC,CAAC,CAAC,MAAM,CAAC;AAC3D,CAAC;AAED,KAAK,UAAU,IAAI;IACjB,MAAM,GAAG,GAAG,OAAO,CAAC,GAAG,CAAC,6BAA6B,IAAI,OAAO,CAAC,GAAG,CAAC,YAAY,CAAC;IAClF,MAAM,KAAK,GAAG,OAAO,CAAC,GAAG,CAAC,kBAAkB,CAAC;IAC7C,MAAM,KAAK,GAAG,OAAO,CAAC,GAAG,CAAC,qBAAqB,CAAC;IAChD,MAAM,UAAU,GAAG,GAAG,CAAC,QAAQ,EAAE,IAAI,CAAC,CAAC;IACvC,MAAM,MAAM,GAAG,OAAO,CAAC,IAAI,CAAC,QAAQ,CAAC,UAAU,CAAC,CAAC;IAEjD,IAAI,CAAC,GAAG;QAAE,MAAM,IAAI,KAAK,CAAC,wCAAwC,CAAC,CAAC;IACpE,IAAI,CAAC,KAAK;QAAE,MAAM,IAAI,KAAK,CAAC,6BAA6B,CAAC,CAAC;IAC3D,IAAI,CAAC,KAAK,IAAI,KAAK,CAAC,MAAM,GAAG,EAAE,EAAE,CAAC;QAChC,MAAM,IAAI,KAAK,CAAC,uEAAuE,CAAC,CAAC;IAC3F,CAAC;IAED,MAAM,EAAE,GAAG,QAAQ,CAAC,GAAG,EAAE,EAAE,IAAI,EAAE,OAAO,EAAE,GAAG,EAAE,CAAC,EAAE,CAAC,CAAC;IACpD,IAAI,CAAC;QACH,MAAM,CAAC,MAAM,CAAC,GAAG,MAAM,EAAE,CAAkB;2CACJ,UAAU;KAChD,CAAC;QACF,IAAI,CAAC,MAAM;YAAE,MAAM,IAAI,KAAK,CAAC,gBAAgB,UAAU,mBAAmB,CAAC,CAAC;QAE5E,4EAA4E;QAC5E,0EAA0E;QAC1E,wCAAwC;QACxC,MAAM,IAAI,GAAG,MAAM,sBAAsB,CAAC,EAAE,EAAE;YAC5C,KAAK;YACL,QAAQ,EAAE,0BAA0B;YACpC,QAAQ,EAAE,KAAK;YACf,QAAQ,EAAE,SAAS;YACnB,iBAAiB,EAAE,MAAM;SAC1B,CAAC,CAAC;QAEH,MAAM,gBAAgB,CAAC,EAAE,EAAE,MAAM,CAAC,EAAE,EAAE,IAAI,CAAC,EAAE,CAAC,CAAC;QAC/C,MAAM,gBAAgB,CAAC,EAAE,EAAE,MAAM,CAAC,EAAE,EAAE,IAAI,CAAC,EAAE,EAAE,IAAI,CAAC,CAAC;QAErD,qEAAqE;QACrE,MAAM,UAAU,GAAG,MAAM,WAAW,CAClC,EAAE,EACF,EAAE,QAAQ,EAAE,MAAM,CAAC,EAAE,EAAE,MAAM,EAAE,IAAI,CAAC,EAAE,EAAE,EACxC,KAAK,EAAE,EAAE,EAAE,EAAE;YACX,MAAM,IAAI,GAAG,MAAM,EAAE,CAAmB;;;;;;8BAMlB,IAAI,CAAC,EAAE;;OAE9B,CAAC;YACA,OAAO,IAAI,CAAC,GAAG,CAAC,CAAC,CAAC,EAAE,EAAE,CAAC,CAAC,CAAC,GAAa,CAAC,CAAC;QAC1C,CAAC,CACF,CAAC;QAEF,sEAAsE;QACtE,OAAO,CAAC,GAAG,CAAC,qCAAqC,UAAU,GAAG,CAAC,CAAC;QAChE,OAAO,CAAC,GAAG,CAAC,iBAAiB,CAAC,CAAC;QAC/B,OAAO,CAAC,GAAG,CAAC,YAAY,IAAI,EAAE,CAAC,CAAC;QAChC,OAAO,CAAC,GAAG,CAAC,iBAAiB,UAAU,CAAC,MAAM,MAAM,UAAU,CAAC,IAAI,CAAC,IAAI,CAAC,EAAE,CAAC,CAAC;QAC7E,OAAO,CAAC,GAAG,CACT,oCAAoC,IAAI,CAAC,cAAc,CAAC,CAAC,CAAC,KAAK,CAAC,CAAC,CAAC,kBAAkB,EAAE,CACvF,CAAC;QAEF,IAAI,UAAU,CAAC,MAAM,KAAK,CAAC,EAAE,CAAC;YAC5B,MAAM,IAAI,KAAK,CACb,qCAAqC,UAAU,CAAC,MAAM,sFAAsF,CAC7I,CAAC;QACJ,CAAC;IACH,CAAC;YAAS,CAAC;QACT,MAAM,EAAE,CAAC,GAAG,CAAC,EAAE,OAAO,EAAE,CAAC,EAAE,CAAC,CAAC;IAC/B,CAAC;AACH,CAAC;AAED;;;;GAIG;AACH,SAAS,UAAU,CAAC,GAAY;IAC9B,MAAM,KAAK,GAAG,GAAG,YAAY,KAAK,CAAC,CAAC,CAAC,GAAG,CAAC,OAAO,CAAC,CAAC,CAAC,MAAM,CAAC,GAAG,CAAC,CAAC;IAC/D,OAAO,KAAK,CAAC,OAAO,CAAC,2BAA2B,EAAE,8BAA8B,CAAC,CAAC;AACpF,CAAC;AAED,IAAI,EAAE,CAAC,KAAK,CAAC,CAAC,GAAG,EAAE,EAAE;IACnB,OAAO,CAAC,KAAK,CAAC,2BAA2B,EAAE,UAAU,CAAC,GAAG,CAAC,CAAC,CAAC;IAC5D,OAAO,CAAC,IAAI,CAAC,CAAC,CAAC,CAAC;AAClB,CAAC,CAAC,CAAC"}