@baruk/core 0.4.2 → 0.5.0

package/dist/fiscal/transport/synthetic-tls.js

@@ -0,0 +1,323 @@
+import { execFileSync } from 'node:child_process';
+import { mkdtempSync, readFileSync, rmSync, writeFileSync } from 'node:fs';
+import { tmpdir } from 'node:os';
+import { join } from 'node:path';
+import { randomBytes } from 'node:crypto';
+import { createServer } from 'node:https';
+function openssl(args, cwd) {
+    try {
+        execFileSync('openssl', [...args], { cwd, stdio: 'pipe' });
+    }
+    catch {
+        // O erro original é DESCARTADO de propósito: `err.stderr` do OpenSSL cita
+        // caminhos de arquivo e sujeitos de certificado. O que importa para
+        // depurar é qual subcomando falhou, e isso cabe na mensagem própria.
+        throw new Error(`openssl ${args[0] ?? '?'} falhou ao gerar material sintético`);
+    }
+}
+const CA_CONFIG = `[ca]
+default_ca = CA_default
+[CA_default]
+database = index.txt
+serial = serial
+new_certs_dir = .
+certificate = ca.crt
+private_key = ca.key
+default_md = sha256
+policy = policy_any
+email_in_dn = no
+rand_serial = yes
+unique_subject = no
+[policy_any]
+commonName = supplied
+`;
+/**
+ * Gera a ICP sintética inteira.
+ *
+ * Lenta (segundos): gera seis pares de chaves. Quem usa deve guardar o
+ * resultado — `syntheticPki()` abaixo faz isso por processo.
+ */
+export function createSyntheticPki() {
+    if (process.env.NODE_ENV === 'production' || process.env.BARUK_APP_ENV === 'production') {
+        throw new Error('ICP sintética não é gerada em produção.');
+    }
+    const dir = mkdtempSync(join(tmpdir(), 'baruk-synthetic-pki-'));
+    const passphrase = `synthetic_${randomBytes(12).toString('hex')}`;
+    try {
+        // ── CA legítima ────────────────────────────────────────────────────────
+        openssl([
+            'req',
+            '-x509',
+            '-newkey',
+            'rsa:2048',
+            '-nodes',
+            '-keyout',
+            'ca.key',
+            '-out',
+            'ca.crt',
+            '-days',
+            '3',
+            '-subj',
+            '/CN=Baruk Synthetic Root',
+            '-addext',
+            'basicConstraints=critical,CA:TRUE,pathlen:0',
+        ], dir);
+        // ── Servidor, com SAN para localhost e 127.0.0.1 ───────────────────────
+        writeFileSync(join(dir, 'srv.ext'), 'subjectAltName=DNS:localhost,IP:127.0.0.1\n');
+        openssl([
+            'req',
+            '-newkey',
+            'rsa:2048',
+            '-nodes',
+            '-keyout',
+            'srv.key',
+            '-out',
+            'srv.csr',
+            '-subj',
+            '/CN=localhost',
+        ], dir);
+        openssl([
+            'x509',
+            '-req',
+            '-in',
+            'srv.csr',
+            '-CA',
+            'ca.crt',
+            '-CAkey',
+            'ca.key',
+            '-CAcreateserial',
+            '-out',
+            'srv.crt',
+            '-days',
+            '3',
+            '-extfile',
+            'srv.ext',
+        ], dir);
+        // ── Cliente legítimo ───────────────────────────────────────────────────
+        openssl([
+            'req',
+            '-newkey',
+            'rsa:2048',
+            '-nodes',
+            '-keyout',
+            'cli.key',
+            '-out',
+            'cli.csr',
+            '-subj',
+            '/CN=Contribuinte Sintetico',
+        ], dir);
+        openssl([
+            'x509',
+            '-req',
+            '-in',
+            'cli.csr',
+            '-CA',
+            'ca.crt',
+            '-CAkey',
+            'ca.key',
+            '-CAcreateserial',
+            '-out',
+            'cli.crt',
+            '-days',
+            '3',
+        ], dir);
+        openssl([
+            'pkcs12',
+            '-export',
+            '-inkey',
+            'cli.key',
+            '-in',
+            'cli.crt',
+            '-certfile',
+            'ca.crt',
+            '-passout',
+            `pass:${passphrase}`,
+            '-out',
+            'cli.p12',
+        ], dir);
+        // ── Cliente VENCIDO ────────────────────────────────────────────────────
+        //
+        // `openssl x509 -req` não sabe datar no passado em todas as versões; `ca`
+        // sabe desde a 1.1.1, com `-startdate`/`-enddate`. É por isso que existe o
+        // arquivo de configuração acima — e não por gosto por configuração.
+        writeFileSync(join(dir, 'ca.cnf'), CA_CONFIG);
+        writeFileSync(join(dir, 'index.txt'), '');
+        writeFileSync(join(dir, 'serial'), '01\n');
+        openssl([
+            'req',
+            '-newkey',
+            'rsa:2048',
+            '-nodes',
+            '-keyout',
+            'exp.key',
+            '-out',
+            'exp.csr',
+            '-subj',
+            '/CN=Contribuinte Vencido',
+        ], dir);
+        openssl([
+            'ca',
+            '-batch',
+            '-config',
+            'ca.cnf',
+            '-in',
+            'exp.csr',
+            '-out',
+            'exp.crt',
+            '-notext',
+            '-startdate',
+            '200101000000Z',
+            '-enddate',
+            '200201000000Z',
+        ], dir);
+        openssl([
+            'pkcs12',
+            '-export',
+            '-inkey',
+            'exp.key',
+            '-in',
+            'exp.crt',
+            '-certfile',
+            'ca.crt',
+            '-passout',
+            `pass:${passphrase}`,
+            '-out',
+            'exp.p12',
+        ], dir);
+        // ── CA estrangeira e seu cliente ───────────────────────────────────────
+        openssl([
+            'req',
+            '-x509',
+            '-newkey',
+            'rsa:2048',
+            '-nodes',
+            '-keyout',
+            'foreign-ca.key',
+            '-out',
+            'foreign-ca.crt',
+            '-days',
+            '3',
+            '-subj',
+            '/CN=CA Nao Confiada',
+            '-addext',
+            'basicConstraints=critical,CA:TRUE,pathlen:0',
+        ], dir);
+        openssl([
+            'req',
+            '-newkey',
+            'rsa:2048',
+            '-nodes',
+            '-keyout',
+            'foreign.key',
+            '-out',
+            'foreign.csr',
+            '-subj',
+            '/CN=Contribuinte de Outra Cadeia',
+        ], dir);
+        openssl([
+            'x509',
+            '-req',
+            '-in',
+            'foreign.csr',
+            '-CA',
+            'foreign-ca.crt',
+            '-CAkey',
+            'foreign-ca.key',
+            '-CAcreateserial',
+            '-out',
+            'foreign.crt',
+            '-days',
+            '3',
+        ], dir);
+        openssl([
+            'pkcs12',
+            '-export',
+            '-inkey',
+            'foreign.key',
+            '-in',
+            'foreign.crt',
+            '-certfile',
+            'foreign-ca.crt',
+            '-passout',
+            `pass:${passphrase}`,
+            '-out',
+            'foreign.p12',
+        ], dir);
+        const pki = {
+            caCertPem: readFileSync(join(dir, 'ca.crt')),
+            serverKeyPem: readFileSync(join(dir, 'srv.key')),
+            serverCertPem: readFileSync(join(dir, 'srv.crt')),
+            clientPfx: readFileSync(join(dir, 'cli.p12')),
+            clientPassphrase: passphrase,
+            expiredClientPfx: readFileSync(join(dir, 'exp.p12')),
+            foreignCaCertPem: readFileSync(join(dir, 'foreign-ca.crt')),
+            foreignClientPfx: readFileSync(join(dir, 'foreign.p12')),
+            corruptPfx: Buffer.from('isto nao e um pkcs12, e e essa a graca', 'utf8'),
+            dispose() {
+                rmSync(dir, { recursive: true, force: true });
+            },
+        };
+        // O diretório é removido AGORA: o material já está em memória, e deixar
+        // chave privada no disco — ainda que sintética e em `tmp` — é o hábito que
+        // um dia se repete com material real.
+        rmSync(dir, { recursive: true, force: true });
+        return { ...pki, dispose: () => undefined };
+    }
+    catch (err) {
+        rmSync(dir, { recursive: true, force: true });
+        throw err;
+    }
+}
+let cached = null;
+/** A mesma ICP para o processo inteiro. Gerar seis chaves RSA custa segundos. */
+export function syntheticPki() {
+    cached ??= createSyntheticPki();
+    return cached;
+}
+/** Sobe um servidor TLS real na porta local. */
+export async function startSyntheticTlsServer(options) {
+    const { pki } = options;
+    const estado = {
+        url: '',
+        handshakes: 0,
+        seen: [],
+        close: async () => undefined,
+    };
+    const server = createServer({
+        key: pki.serverKeyPem,
+        cert: pki.serverCertPem,
+        ca: [pki.caCertPem],
+        requestCert: options.requireClientCert ?? false,
+        // `rejectUnauthorized` aqui é do SERVIDOR sobre o CLIENTE — o inverso do
+        // que o transporte configura. Verdadeiro quando o certificado é exigido:
+        // é exatamente esse comportamento do ADN que precisa ser reproduzido.
+        rejectUnauthorized: options.requireClientCert ?? false,
+    }, (req, res) => {
+        const cert = req.socket.getPeerCertificate?.();
+        estado.seen.push({ path: req.url ?? '/', clientCn: cert?.subject?.CN ?? null });
+        const r = options.respond?.(req.url ?? '/') ?? { status: 200, body: 'ok' };
+        const enviar = () => {
+            res.writeHead(r.status, { 'content-type': 'application/xml', ...(r.headers ?? {}) });
+            res.end(r.body ?? '');
+        };
+        if (options.delayMs)
+            setTimeout(enviar, options.delayMs).unref?.();
+        else
+            enviar();
+    });
+    server.on('secureConnection', () => {
+        estado.handshakes += 1;
+    });
+    // Sem isto, um handshake recusado derruba o processo de teste inteiro com um
+    // erro não tratado — e o teste que EXISTE para provar a recusa vira um crash.
+    server.on('tlsClientError', () => undefined);
+    await new Promise((resolve) => server.listen(0, '127.0.0.1', resolve));
+    const { port } = server.address();
+    estado.url = `https://127.0.0.1:${port}`;
+    estado.close = () => new Promise((resolve) => {
+        server.closeAllConnections?.();
+        server.close(() => resolve());
+    });
+    return estado;
+}
+//# sourceMappingURL=synthetic-tls.js.map

package/dist/fiscal/transport/synthetic-tls.js.map

@@ -0,0 +1 @@
+{"version":3,"file":"synthetic-tls.js","sourceRoot":"","sources":["../../../src/fiscal/transport/synthetic-tls.ts"],"names":[],"mappings":"AAAA,OAAO,EAAE,YAAY,EAAE,MAAM,oBAAoB,CAAC;AAClD,OAAO,EAAE,WAAW,EAAE,YAAY,EAAE,MAAM,EAAE,aAAa,EAAE,MAAM,SAAS,CAAC;AAC3E,OAAO,EAAE,MAAM,EAAE,MAAM,SAAS,CAAC;AACjC,OAAO,EAAE,IAAI,EAAE,MAAM,WAAW,CAAC;AACjC,OAAO,EAAE,WAAW,EAAE,MAAM,aAAa,CAAC;AAC1C,OAAO,EAAE,YAAY,EAAe,MAAM,YAAY,CAAC;AAgDvD,SAAS,OAAO,CAAC,IAAuB,EAAE,GAAW;IACnD,IAAI,CAAC;QACH,YAAY,CAAC,SAAS,EAAE,CAAC,GAAG,IAAI,CAAC,EAAE,EAAE,GAAG,EAAE,KAAK,EAAE,MAAM,EAAE,CAAC,CAAC;IAC7D,CAAC;IAAC,MAAM,CAAC;QACP,0EAA0E;QAC1E,oEAAoE;QACpE,qEAAqE;QACrE,MAAM,IAAI,KAAK,CAAC,WAAW,IAAI,CAAC,CAAC,CAAC,IAAI,GAAG,qCAAqC,CAAC,CAAC;IAClF,CAAC;AACH,CAAC;AAED,MAAM,SAAS,GAAG;;;;;;;;;;;;;;;CAejB,CAAC;AAEF;;;;;GAKG;AACH,MAAM,UAAU,kBAAkB;IAChC,IAAI,OAAO,CAAC,GAAG,CAAC,QAAQ,KAAK,YAAY,IAAI,OAAO,CAAC,GAAG,CAAC,aAAa,KAAK,YAAY,EAAE,CAAC;QACxF,MAAM,IAAI,KAAK,CAAC,yCAAyC,CAAC,CAAC;IAC7D,CAAC;IACD,MAAM,GAAG,GAAG,WAAW,CAAC,IAAI,CAAC,MAAM,EAAE,EAAE,sBAAsB,CAAC,CAAC,CAAC;IAChE,MAAM,UAAU,GAAG,aAAa,WAAW,CAAC,EAAE,CAAC,CAAC,QAAQ,CAAC,KAAK,CAAC,EAAE,CAAC;IAElE,IAAI,CAAC;QACH,0EAA0E;QAC1E,OAAO,CACL;YACE,KAAK;YACL,OAAO;YACP,SAAS;YACT,UAAU;YACV,QAAQ;YACR,SAAS;YACT,QAAQ;YACR,MAAM;YACN,QAAQ;YACR,OAAO;YACP,GAAG;YACH,OAAO;YACP,0BAA0B;YAC1B,SAAS;YACT,6CAA6C;SAC9C,EACD,GAAG,CACJ,CAAC;QAEF,0EAA0E;QAC1E,aAAa,CAAC,IAAI,CAAC,GAAG,EAAE,SAAS,CAAC,EAAE,6CAA6C,CAAC,CAAC;QACnF,OAAO,CACL;YACE,KAAK;YACL,SAAS;YACT,UAAU;YACV,QAAQ;YACR,SAAS;YACT,SAAS;YACT,MAAM;YACN,SAAS;YACT,OAAO;YACP,eAAe;SAChB,EACD,GAAG,CACJ,CAAC;QACF,OAAO,CACL;YACE,MAAM;YACN,MAAM;YACN,KAAK;YACL,SAAS;YACT,KAAK;YACL,QAAQ;YACR,QAAQ;YACR,QAAQ;YACR,iBAAiB;YACjB,MAAM;YACN,SAAS;YACT,OAAO;YACP,GAAG;YACH,UAAU;YACV,SAAS;SACV,EACD,GAAG,CACJ,CAAC;QAEF,0EAA0E;QAC1E,OAAO,CACL;YACE,KAAK;YACL,SAAS;YACT,UAAU;YACV,QAAQ;YACR,SAAS;YACT,SAAS;YACT,MAAM;YACN,SAAS;YACT,OAAO;YACP,4BAA4B;SAC7B,EACD,GAAG,CACJ,CAAC;QACF,OAAO,CACL;YACE,MAAM;YACN,MAAM;YACN,KAAK;YACL,SAAS;YACT,KAAK;YACL,QAAQ;YACR,QAAQ;YACR,QAAQ;YACR,iBAAiB;YACjB,MAAM;YACN,SAAS;YACT,OAAO;YACP,GAAG;SACJ,EACD,GAAG,CACJ,CAAC;QACF,OAAO,CACL;YACE,QAAQ;YACR,SAAS;YACT,QAAQ;YACR,SAAS;YACT,KAAK;YACL,SAAS;YACT,WAAW;YACX,QAAQ;YACR,UAAU;YACV,QAAQ,UAAU,EAAE;YACpB,MAAM;YACN,SAAS;SACV,EACD,GAAG,CACJ,CAAC;QAEF,0EAA0E;QAC1E,EAAE;QACF,0EAA0E;QAC1E,2EAA2E;QAC3E,oEAAoE;QACpE,aAAa,CAAC,IAAI,CAAC,GAAG,EAAE,QAAQ,CAAC,EAAE,SAAS,CAAC,CAAC;QAC9C,aAAa,CAAC,IAAI,CAAC,GAAG,EAAE,WAAW,CAAC,EAAE,EAAE,CAAC,CAAC;QAC1C,aAAa,CAAC,IAAI,CAAC,GAAG,EAAE,QAAQ,CAAC,EAAE,MAAM,CAAC,CAAC;QAC3C,OAAO,CACL;YACE,KAAK;YACL,SAAS;YACT,UAAU;YACV,QAAQ;YACR,SAAS;YACT,SAAS;YACT,MAAM;YACN,SAAS;YACT,OAAO;YACP,0BAA0B;SAC3B,EACD,GAAG,CACJ,CAAC;QACF,OAAO,CACL;YACE,IAAI;YACJ,QAAQ;YACR,SAAS;YACT,QAAQ;YACR,KAAK;YACL,SAAS;YACT,MAAM;YACN,SAAS;YACT,SAAS;YACT,YAAY;YACZ,eAAe;YACf,UAAU;YACV,eAAe;SAChB,EACD,GAAG,CACJ,CAAC;QACF,OAAO,CACL;YACE,QAAQ;YACR,SAAS;YACT,QAAQ;YACR,SAAS;YACT,KAAK;YACL,SAAS;YACT,WAAW;YACX,QAAQ;YACR,UAAU;YACV,QAAQ,UAAU,EAAE;YACpB,MAAM;YACN,SAAS;SACV,EACD,GAAG,CACJ,CAAC;QAEF,0EAA0E;QAC1E,OAAO,CACL;YACE,KAAK;YACL,OAAO;YACP,SAAS;YACT,UAAU;YACV,QAAQ;YACR,SAAS;YACT,gBAAgB;YAChB,MAAM;YACN,gBAAgB;YAChB,OAAO;YACP,GAAG;YACH,OAAO;YACP,qBAAqB;YACrB,SAAS;YACT,6CAA6C;SAC9C,EACD,GAAG,CACJ,CAAC;QACF,OAAO,CACL;YACE,KAAK;YACL,SAAS;YACT,UAAU;YACV,QAAQ;YACR,SAAS;YACT,aAAa;YACb,MAAM;YACN,aAAa;YACb,OAAO;YACP,kCAAkC;SACnC,EACD,GAAG,CACJ,CAAC;QACF,OAAO,CACL;YACE,MAAM;YACN,MAAM;YACN,KAAK;YACL,aAAa;YACb,KAAK;YACL,gBAAgB;YAChB,QAAQ;YACR,gBAAgB;YAChB,iBAAiB;YACjB,MAAM;YACN,aAAa;YACb,OAAO;YACP,GAAG;SACJ,EACD,GAAG,CACJ,CAAC;QACF,OAAO,CACL;YACE,QAAQ;YACR,SAAS;YACT,QAAQ;YACR,aAAa;YACb,KAAK;YACL,aAAa;YACb,WAAW;YACX,gBAAgB;YAChB,UAAU;YACV,QAAQ,UAAU,EAAE;YACpB,MAAM;YACN,aAAa;SACd,EACD,GAAG,CACJ,CAAC;QAEF,MAAM,GAAG,GAAiB;YACxB,SAAS,EAAE,YAAY,CAAC,IAAI,CAAC,GAAG,EAAE,QAAQ,CAAC,CAAC;YAC5C,YAAY,EAAE,YAAY,CAAC,IAAI,CAAC,GAAG,EAAE,SAAS,CAAC,CAAC;YAChD,aAAa,EAAE,YAAY,CAAC,IAAI,CAAC,GAAG,EAAE,SAAS,CAAC,CAAC;YACjD,SAAS,EAAE,YAAY,CAAC,IAAI,CAAC,GAAG,EAAE,SAAS,CAAC,CAAC;YAC7C,gBAAgB,EAAE,UAAU;YAC5B,gBAAgB,EAAE,YAAY,CAAC,IAAI,CAAC,GAAG,EAAE,SAAS,CAAC,CAAC;YACpD,gBAAgB,EAAE,YAAY,CAAC,IAAI,CAAC,GAAG,EAAE,gBAAgB,CAAC,CAAC;YAC3D,gBAAgB,EAAE,YAAY,CAAC,IAAI,CAAC,GAAG,EAAE,aAAa,CAAC,CAAC;YACxD,UAAU,EAAE,MAAM,CAAC,IAAI,CAAC,wCAAwC,EAAE,MAAM,CAAC;YACzE,OAAO;gBACL,MAAM,CAAC,GAAG,EAAE,EAAE,SAAS,EAAE,IAAI,EAAE,KAAK,EAAE,IAAI,EAAE,CAAC,CAAC;YAChD,CAAC;SACF,CAAC;QACF,wEAAwE;QACxE,2EAA2E;QAC3E,sCAAsC;QACtC,MAAM,CAAC,GAAG,EAAE,EAAE,SAAS,EAAE,IAAI,EAAE,KAAK,EAAE,IAAI,EAAE,CAAC,CAAC;QAC9C,OAAO,EAAE,GAAG,GAAG,EAAE,OAAO,EAAE,GAAG,EAAE,CAAC,SAAS,EAAE,CAAC;IAC9C,CAAC;IAAC,OAAO,GAAG,EAAE,CAAC;QACb,MAAM,CAAC,GAAG,EAAE,EAAE,SAAS,EAAE,IAAI,EAAE,KAAK,EAAE,IAAI,EAAE,CAAC,CAAC;QAC9C,MAAM,GAAG,CAAC;IACZ,CAAC;AACH,CAAC;AAED,IAAI,MAAM,GAAwB,IAAI,CAAC;AACvC,iFAAiF;AACjF,MAAM,UAAU,YAAY;IAC1B,MAAM,KAAK,kBAAkB,EAAE,CAAC;IAChC,OAAO,MAAM,CAAC;AAChB,CAAC;AAsBD,gDAAgD;AAChD,MAAM,CAAC,KAAK,UAAU,uBAAuB,CAC3C,OAAkC;IAElC,MAAM,EAAE,GAAG,EAAE,GAAG,OAAO,CAAC;IACxB,MAAM,MAAM,GAAuB;QACjC,GAAG,EAAE,EAAE;QACP,UAAU,EAAE,CAAC;QACb,IAAI,EAAE,EAAE;QACR,KAAK,EAAE,KAAK,IAAI,EAAE,CAAC,SAAS;KAC7B,CAAC;IAEF,MAAM,MAAM,GAAW,YAAY,CACjC;QACE,GAAG,EAAE,GAAG,CAAC,YAAY;QACrB,IAAI,EAAE,GAAG,CAAC,aAAa;QACvB,EAAE,EAAE,CAAC,GAAG,CAAC,SAAS,CAAC;QACnB,WAAW,EAAE,OAAO,CAAC,iBAAiB,IAAI,KAAK;QAC/C,yEAAyE;QACzE,yEAAyE;QACzE,sEAAsE;QACtE,kBAAkB,EAAE,OAAO,CAAC,iBAAiB,IAAI,KAAK;KACvD,EACD,CAAC,GAAG,EAAE,GAAG,EAAE,EAAE;QACX,MAAM,IAAI,GACR,GAAG,CAAC,MACL,CAAC,kBAAkB,EAAE,EAAE,CAAC;QACzB,MAAM,CAAC,IAAI,CAAC,IAAI,CAAC,EAAE,IAAI,EAAE,GAAG,CAAC,GAAG,IAAI,GAAG,EAAE,QAAQ,EAAE,IAAI,EAAE,OAAO,EAAE,EAAE,IAAI,IAAI,EAAE,CAAC,CAAC;QAChF,MAAM,CAAC,GAAG,OAAO,CAAC,OAAO,EAAE,CAAC,GAAG,CAAC,GAAG,IAAI,GAAG,CAAC,IAAI,EAAE,MAAM,EAAE,GAAG,EAAE,IAAI,EAAE,IAAI,EAAE,CAAC;QAC3E,MAAM,MAAM,GAAG,GAAS,EAAE;YACxB,GAAG,CAAC,SAAS,CAAC,CAAC,CAAC,MAAM,EAAE,EAAE,cAAc,EAAE,iBAAiB,EAAE,GAAG,CAAC,CAAC,CAAC,OAAO,IAAI,EAAE,CAAC,EAAE,CAAC,CAAC;YACrF,GAAG,CAAC,GAAG,CAAC,CAAC,CAAC,IAAI,IAAI,EAAE,CAAC,CAAC;QACxB,CAAC,CAAC;QACF,IAAI,OAAO,CAAC,OAAO;YAAE,UAAU,CAAC,MAAM,EAAE,OAAO,CAAC,OAAO,CAAC,CAAC,KAAK,EAAE,EAAE,CAAC;;YAC9D,MAAM,EAAE,CAAC;IAChB,CAAC,CACF,CAAC;IACF,MAAM,CAAC,EAAE,CAAC,kBAAkB,EAAE,GAAG,EAAE;QACjC,MAAM,CAAC,UAAU,IAAI,CAAC,CAAC;IACzB,CAAC,CAAC,CAAC;IACH,6EAA6E;IAC7E,8EAA8E;IAC9E,MAAM,CAAC,EAAE,CAAC,gBAAgB,EAAE,GAAG,EAAE,CAAC,SAAS,CAAC,CAAC;IAE7C,MAAM,IAAI,OAAO,CAAO,CAAC,OAAO,EAAE,EAAE,CAAC,MAAM,CAAC,MAAM,CAAC,CAAC,EAAE,WAAW,EAAE,OAAO,CAAC,CAAC,CAAC;IAC7E,MAAM,EAAE,IAAI,EAAE,GAAG,MAAM,CAAC,OAAO,EAAiB,CAAC;IACjD,MAAM,CAAC,GAAG,GAAG,qBAAqB,IAAI,EAAE,CAAC;IACzC,MAAM,CAAC,KAAK,GAAG,GAAG,EAAE,CAClB,IAAI,OAAO,CAAO,CAAC,OAAO,EAAE,EAAE;QAC5B,MAAM,CAAC,mBAAmB,EAAE,EAAE,CAAC;QAC/B,MAAM,CAAC,KAAK,CAAC,GAAG,EAAE,CAAC,OAAO,EAAE,CAAC,CAAC;IAChC,CAAC,CAAC,CAAC;IACL,OAAO,MAAM,CAAC;AAChB,CAAC"}

package/dist/fiscal/transport/types.d.ts

@@ -0,0 +1,134 @@
+/**
+ * O transporte, separado do que trafega.
+ *
+ * ## Por que a fronteira fica exatamente aqui
+ *
+ * O adapter da NFS-e (`nfse-adn.ts`) recebia um `AdnTransport` cuja assinatura
+ * já falava de NSU e de lote — vocabulário FISCAL. Isso funcionou para provar a
+ * ingestão, mas amarra duas decisões que mudam por motivos diferentes: como se
+ * fala com o servidor (TLS mútuo, timeout, cabeçalho de espera) e o que se pede
+ * a ele (NSU, chave de acesso, evento).
+ *
+ * A prova de que são eixos independentes é o próprio Brasil fiscal: NF-e e CT-e
+ * usam SOAP; a NFS-e nacional usa REST; um provedor municipal usaria outra coisa
+ * ainda — e os TRÊS apresentam o mesmo certificado ICP-Brasil por TLS mútuo,
+ * respeitam a mesma classe de erro de rede e precisam do mesmo teto de espera.
+ * Um `if (provedor === 'x')` dentro de um cliente HTTP seria o sintoma da
+ * fronteira no lugar errado.
+ *
+ * Por isso esta camada não conhece NSU, não conhece documento e não conhece
+ * cliente. Ela conhece requisição, resposta, prazo e material de TLS.
+ *
+ * ## O que ela NÃO faz
+ *
+ * Não retenta. Não classifica erro fiscal. Não decide backoff. Essas decisões
+ * dependem do que estava sendo pedido — e um transporte que retentasse sozinho
+ * transformaria uma espera obrigatória de uma hora em três requisições, que é o
+ * caminho direto para o `cStat 656` e para o CNPJ do cliente bloqueado.
+ */
+/** Verbos que as APIs fiscais usam. Deliberadamente curto. */
+export type FiscalTransportMethod = 'GET' | 'POST';
+export interface FiscalTransportRequest {
+    method: FiscalTransportMethod;
+    /** Absoluta e `https:`. O transporte recusa qualquer outro esquema. */
+    url: string;
+    headers?: Readonly<Record<string, string>>;
+    body?: Uint8Array | string | null;
+    /**
+     * Teto de espera desta requisição, em milissegundos.
+     *
+     * Obrigatório, sem default. Uma requisição sem prazo contra um serviço que
+     * aceita a conexão e não responde nunca dispara `catch` — o processo fica
+     * pendurado e o lease expira sozinho, o que faz um segundo worker tomar a vez
+     * enquanto o primeiro ainda está lá dentro.
+     */
+    timeoutMs: number;
+}
+export interface FiscalTransportResponse {
+    status: number;
+    /** Nomes em minúsculo. `retry-after` é lido daqui, e não inventado. */
+    headers: Readonly<Record<string, string>>;
+    body: Uint8Array;
+}
+/**
+ * Classes de falha do TRANSPORTE — anteriores a qualquer semântica fiscal.
+ *
+ *   `network`      DNS, conexão recusada, socket derrubado. Volta sozinho.
+ *   `timeout`      o prazo estourou. Volta sozinho, mas o servidor pode ter
+ *                  PROCESSADO — por isso nunca é tratado como "não aconteceu".
+ *   `tls`          handshake recusado pelo SERVIDOR ou cadeia do servidor
+ *                  inválida. Não volta sozinho; alguém precisa olhar.
+ *   `certificate`  o material do CLIENTE não serve: ausente, ilegível, senha
+ *                  errada, vencido, CA recusada. Pessoa resolve.
+ *   `protocol`     resposta que não é HTTP válido, ou URL recusada aqui.
+ */
+export type FiscalTransportErrorClass = 'network' | 'timeout' | 'tls' | 'certificate' | 'protocol';
+/**
+ * Falha de transporte.
+ *
+ * A mensagem é montada por NÓS a partir da classe e de um código curto. O erro
+ * original NÃO é encadeado, e isso é deliberado: `Error.message` de TLS cita o
+ * caminho do arquivo do certificado e o sujeito do titular, e `err.stack` de um
+ * cliente HTTP já carregou a URL inteira com credencial embutida neste
+ * ecossistema. Redigir o campo não bastaria — a defesa é não copiar o texto.
+ */
+export declare class FiscalTransportError extends Error {
+    readonly errorClass: FiscalTransportErrorClass;
+    /** Código curto e estável (`ETIMEDOUT`, `CERT_HAS_EXPIRED`). Nunca texto livre do sistema. */
+    readonly code: string;
+    /** Espera pedida pelo servidor (`Retry-After`), quando houver. */
+    readonly retryAfter: Date | null;
+    constructor(errorClass: FiscalTransportErrorClass, 
+    /** Código curto e estável (`ETIMEDOUT`, `CERT_HAS_EXPIRED`). Nunca texto livre do sistema. */
+    code: string, 
+    /** Espera pedida pelo servidor (`Retry-After`), quando houver. */
+    retryAfter?: Date | null);
+}
+/**
+ * Material de TLS mútuo do CLIENTE, em memória.
+ *
+ * `Buffer`, nunca caminho de arquivo: material de certificado que passa pelo
+ * disco precisa de permissão restrita, de limpeza garantida e de alguém que
+ * lembre das duas coisas no dia do incidente. Em memória não há o que esquecer.
+ * A única exceção legítima seria uma biblioteca que só aceite caminho — e o
+ * Node não é uma delas (`https.Agent` aceita `pfx`/`cert`/`key` como Buffer).
+ *
+ * `fingerprintSha256` existe para a trilha: identifica QUAL certificado foi
+ * apresentado sem revelar nada dele. É o único campo desta estrutura que pode
+ * aparecer em log, tela ou relatório.
+ */
+export interface ClientTlsMaterial {
+    /** PKCS#12 (`.pfx`/`.p12`) — o formato em que um A1 é entregue no Brasil. */
+    pfx?: Buffer;
+    passphrase?: string;
+    /** Alternativa PEM, para material já convertido. */
+    cert?: Buffer;
+    key?: Buffer;
+    /** CAs adicionais a confiar (cadeia ICP-Brasil). Somam-se ao bundle do sistema. */
+    ca?: readonly Buffer[];
+    /** sha256 do material apresentado. Seguro para trilha; é o ÚNICO que é. */
+    fingerprintSha256: string;
+    /**
+     * Devolve o material ao nada.
+     *
+     * Não é cerimônia: o `Buffer` de um PKCS#12 fica no heap até o GC passar, e um
+     * heap dump de produção é um arquivo que alguém abre. Zerar é barato.
+     */
+    dispose(): void;
+}
+export interface FiscalTransport {
+    /** Slug do transporte, para trilha. `https`, `synthetic`. */
+    readonly kind: string;
+    send(request: FiscalTransportRequest): Promise<FiscalTransportResponse>;
+}
+/**
+ * Lê `Retry-After` como a RFC 9110 §10.2.3 o define: segundos OU data HTTP.
+ *
+ * Existe aqui, e não dentro do cliente HTTP, porque o cabeçalho é a única parte
+ * da resposta que o motor de retentativa consulta — e ela precisa ser lida
+ * igual venha de onde vier. Valor ausente, negativo ou ilegível devolve `null`:
+ * inventar uma espera a partir de lixo é pior do que não ter espera nenhuma,
+ * porque a inventada parece autorizada.
+ */
+export declare function parseRetryAfter(raw: string | undefined | null, now?: Date): Date | null;
+//# sourceMappingURL=types.d.ts.map

package/dist/fiscal/transport/types.d.ts.map

@@ -0,0 +1 @@
+{"version":3,"file":"types.d.ts","sourceRoot":"","sources":["../../../src/fiscal/transport/types.ts"],"names":[],"mappings":"AAAA;;;;;;;;;;;;;;;;;;;;;;;;;;;GA2BG;AAEH,8DAA8D;AAC9D,MAAM,MAAM,qBAAqB,GAAG,KAAK,GAAG,MAAM,CAAC;AAEnD,MAAM,WAAW,sBAAsB;IACrC,MAAM,EAAE,qBAAqB,CAAC;IAC9B,uEAAuE;IACvE,GAAG,EAAE,MAAM,CAAC;IACZ,OAAO,CAAC,EAAE,QAAQ,CAAC,MAAM,CAAC,MAAM,EAAE,MAAM,CAAC,CAAC,CAAC;IAC3C,IAAI,CAAC,EAAE,UAAU,GAAG,MAAM,GAAG,IAAI,CAAC;IAClC;;;;;;;OAOG;IACH,SAAS,EAAE,MAAM,CAAC;CACnB;AAED,MAAM,WAAW,uBAAuB;IACtC,MAAM,EAAE,MAAM,CAAC;IACf,uEAAuE;IACvE,OAAO,EAAE,QAAQ,CAAC,MAAM,CAAC,MAAM,EAAE,MAAM,CAAC,CAAC,CAAC;IAC1C,IAAI,EAAE,UAAU,CAAC;CAClB;AAED;;;;;;;;;;;GAWG;AACH,MAAM,MAAM,yBAAyB,GAAG,SAAS,GAAG,SAAS,GAAG,KAAK,GAAG,aAAa,GAAG,UAAU,CAAC;AAEnG;;;;;;;;GAQG;AACH,qBAAa,oBAAqB,SAAQ,KAAK;IAE3C,QAAQ,CAAC,UAAU,EAAE,yBAAyB;IAC9C,8FAA8F;IAC9F,QAAQ,CAAC,IAAI,EAAE,MAAM;IACrB,kEAAkE;IAClE,QAAQ,CAAC,UAAU,EAAE,IAAI,GAAG,IAAI;gBAJvB,UAAU,EAAE,yBAAyB;IAC9C,8FAA8F;IACrF,IAAI,EAAE,MAAM;IACrB,kEAAkE;IACzD,UAAU,GAAE,IAAI,GAAG,IAAW;CAK1C;AAED;;;;;;;;;;;;GAYG;AACH,MAAM,WAAW,iBAAiB;IAChC,6EAA6E;IAC7E,GAAG,CAAC,EAAE,MAAM,CAAC;IACb,UAAU,CAAC,EAAE,MAAM,CAAC;IACpB,oDAAoD;IACpD,IAAI,CAAC,EAAE,MAAM,CAAC;IACd,GAAG,CAAC,EAAE,MAAM,CAAC;IACb,mFAAmF;IACnF,EAAE,CAAC,EAAE,SAAS,MAAM,EAAE,CAAC;IACvB,2EAA2E;IAC3E,iBAAiB,EAAE,MAAM,CAAC;IAC1B;;;;;OAKG;IACH,OAAO,IAAI,IAAI,CAAC;CACjB;AAED,MAAM,WAAW,eAAe;IAC9B,6DAA6D;IAC7D,QAAQ,CAAC,IAAI,EAAE,MAAM,CAAC;IACtB,IAAI,CAAC,OAAO,EAAE,sBAAsB,GAAG,OAAO,CAAC,uBAAuB,CAAC,CAAC;CACzE;AAED;;;;;;;;GAQG;AACH,wBAAgB,eAAe,CAC7B,GAAG,EAAE,MAAM,GAAG,SAAS,GAAG,IAAI,EAC9B,GAAG,GAAE,IAAiB,GACrB,IAAI,GAAG,IAAI,CAqBb"}

package/dist/fiscal/transport/types.js

@@ -0,0 +1,88 @@
+/**
+ * O transporte, separado do que trafega.
+ *
+ * ## Por que a fronteira fica exatamente aqui
+ *
+ * O adapter da NFS-e (`nfse-adn.ts`) recebia um `AdnTransport` cuja assinatura
+ * já falava de NSU e de lote — vocabulário FISCAL. Isso funcionou para provar a
+ * ingestão, mas amarra duas decisões que mudam por motivos diferentes: como se
+ * fala com o servidor (TLS mútuo, timeout, cabeçalho de espera) e o que se pede
+ * a ele (NSU, chave de acesso, evento).
+ *
+ * A prova de que são eixos independentes é o próprio Brasil fiscal: NF-e e CT-e
+ * usam SOAP; a NFS-e nacional usa REST; um provedor municipal usaria outra coisa
+ * ainda — e os TRÊS apresentam o mesmo certificado ICP-Brasil por TLS mútuo,
+ * respeitam a mesma classe de erro de rede e precisam do mesmo teto de espera.
+ * Um `if (provedor === 'x')` dentro de um cliente HTTP seria o sintoma da
+ * fronteira no lugar errado.
+ *
+ * Por isso esta camada não conhece NSU, não conhece documento e não conhece
+ * cliente. Ela conhece requisição, resposta, prazo e material de TLS.
+ *
+ * ## O que ela NÃO faz
+ *
+ * Não retenta. Não classifica erro fiscal. Não decide backoff. Essas decisões
+ * dependem do que estava sendo pedido — e um transporte que retentasse sozinho
+ * transformaria uma espera obrigatória de uma hora em três requisições, que é o
+ * caminho direto para o `cStat 656` e para o CNPJ do cliente bloqueado.
+ */
+/**
+ * Falha de transporte.
+ *
+ * A mensagem é montada por NÓS a partir da classe e de um código curto. O erro
+ * original NÃO é encadeado, e isso é deliberado: `Error.message` de TLS cita o
+ * caminho do arquivo do certificado e o sujeito do titular, e `err.stack` de um
+ * cliente HTTP já carregou a URL inteira com credencial embutida neste
+ * ecossistema. Redigir o campo não bastaria — a defesa é não copiar o texto.
+ */
+export class FiscalTransportError extends Error {
+    errorClass;
+    code;
+    retryAfter;
+    constructor(errorClass, 
+    /** Código curto e estável (`ETIMEDOUT`, `CERT_HAS_EXPIRED`). Nunca texto livre do sistema. */
+    code, 
+    /** Espera pedida pelo servidor (`Retry-After`), quando houver. */
+    retryAfter = null) {
+        super(`transporte ${errorClass} (${code})`);
+        this.errorClass = errorClass;
+        this.code = code;
+        this.retryAfter = retryAfter;
+        this.name = 'FiscalTransportError';
+    }
+}
+/**
+ * Lê `Retry-After` como a RFC 9110 §10.2.3 o define: segundos OU data HTTP.
+ *
+ * Existe aqui, e não dentro do cliente HTTP, porque o cabeçalho é a única parte
+ * da resposta que o motor de retentativa consulta — e ela precisa ser lida
+ * igual venha de onde vier. Valor ausente, negativo ou ilegível devolve `null`:
+ * inventar uma espera a partir de lixo é pior do que não ter espera nenhuma,
+ * porque a inventada parece autorizada.
+ */
+export function parseRetryAfter(raw, now = new Date()) {
+    if (!raw)
+        return null;
+    const trimmed = raw.trim();
+    if (trimmed === '')
+        return null;
+    if (/^\d+$/.test(trimmed)) {
+        const seconds = Number(trimmed);
+        // Um teto de 24h impede que um cabeçalho absurdo (ou hostil) congele um
+        // cliente por semanas. O valor continua sendo do servidor; o teto é nosso.
+        if (!Number.isFinite(seconds) || seconds < 0)
+            return null;
+        const capped = Math.min(seconds, 86_400);
+        return new Date(now.getTime() + capped * 1000);
+    }
+    const asDate = new Date(trimmed);
+    if (Number.isNaN(asDate.getTime()))
+        return null;
+    // Data no passado significa "pode agora". Devolver `null` diz exatamente isso
+    // sem obrigar quem chama a comparar de novo.
+    if (asDate.getTime() <= now.getTime())
+        return null;
+    const cap = new Date(now.getTime() + 86_400_000);
+    return asDate.getTime() > cap.getTime() ? cap : asDate;
+}
+//# sourceMappingURL=types.js.map

package/dist/fiscal/transport/types.js.map

@@ -0,0 +1 @@
+{"version":3,"file":"types.js","sourceRoot":"","sources":["../../../src/fiscal/transport/types.ts"],"names":[],"mappings":"AAAA;;;;;;;;;;;;;;;;;;;;;;;;;;;GA2BG;AA2CH;;;;;;;;GAQG;AACH,MAAM,OAAO,oBAAqB,SAAQ,KAAK;IAElC;IAEA;IAEA;IALX,YACW,UAAqC;IAC9C,8FAA8F;IACrF,IAAY;IACrB,kEAAkE;IACzD,aAA0B,IAAI;QAEvC,KAAK,CAAC,cAAc,UAAU,KAAK,IAAI,GAAG,CAAC,CAAC;QANnC,eAAU,GAAV,UAAU,CAA2B;QAErC,SAAI,GAAJ,IAAI,CAAQ;QAEZ,eAAU,GAAV,UAAU,CAAoB;QAGvC,IAAI,CAAC,IAAI,GAAG,sBAAsB,CAAC;IACrC,CAAC;CACF;AAyCD;;;;;;;;GAQG;AACH,MAAM,UAAU,eAAe,CAC7B,GAA8B,EAC9B,MAAY,IAAI,IAAI,EAAE;IAEtB,IAAI,CAAC,GAAG;QAAE,OAAO,IAAI,CAAC;IACtB,MAAM,OAAO,GAAG,GAAG,CAAC,IAAI,EAAE,CAAC;IAC3B,IAAI,OAAO,KAAK,EAAE;QAAE,OAAO,IAAI,CAAC;IAEhC,IAAI,OAAO,CAAC,IAAI,CAAC,OAAO,CAAC,EAAE,CAAC;QAC1B,MAAM,OAAO,GAAG,MAAM,CAAC,OAAO,CAAC,CAAC;QAChC,wEAAwE;QACxE,2EAA2E;QAC3E,IAAI,CAAC,MAAM,CAAC,QAAQ,CAAC,OAAO,CAAC,IAAI,OAAO,GAAG,CAAC;YAAE,OAAO,IAAI,CAAC;QAC1D,MAAM,MAAM,GAAG,IAAI,CAAC,GAAG,CAAC,OAAO,EAAE,MAAM,CAAC,CAAC;QACzC,OAAO,IAAI,IAAI,CAAC,GAAG,CAAC,OAAO,EAAE,GAAG,MAAM,GAAG,IAAI,CAAC,CAAC;IACjD,CAAC;IAED,MAAM,MAAM,GAAG,IAAI,IAAI,CAAC,OAAO,CAAC,CAAC;IACjC,IAAI,MAAM,CAAC,KAAK,CAAC,MAAM,CAAC,OAAO,EAAE,CAAC;QAAE,OAAO,IAAI,CAAC;IAChD,8EAA8E;IAC9E,6CAA6C;IAC7C,IAAI,MAAM,CAAC,OAAO,EAAE,IAAI,GAAG,CAAC,OAAO,EAAE;QAAE,OAAO,IAAI,CAAC;IACnD,MAAM,GAAG,GAAG,IAAI,IAAI,CAAC,GAAG,CAAC,OAAO,EAAE,GAAG,UAAU,CAAC,CAAC;IACjD,OAAO,MAAM,CAAC,OAAO,EAAE,GAAG,GAAG,CAAC,OAAO,EAAE,CAAC,CAAC,CAAC,GAAG,CAAC,CAAC,CAAC,MAAM,CAAC;AACzD,CAAC"}

package/dist/import/br-documents.d.ts

@@ -0,0 +1,26 @@
+/**
+ * CPF e CNPJ — validação por dígito verificador.
+ *
+ * Contar dígitos não valida documento. `00000000000` tem onze dígitos e não é
+ * CPF de ninguém; `11222333000182` tem catorze e não fecha o DV. Num importador
+ * de carteira, aceitar por comprimento significa que um erro de digitação vira
+ * cliente, e o erro só aparece na primeira cobrança devolvida — quando já há
+ * honorário, obrigação e um e-mail enviado ao titular errado.
+ *
+ * Os dois algoritmos são o módulo 11 oficial da Receita. Ficam no CORE, e não na
+ * vertical contábil, pela mesma razão que `client.document_number` está no core:
+ * CPF e CNPJ identificam pessoa no Brasil inteiro, não no segmento contábil.
+ */
+/** Remove tudo que não é dígito. Aceita máscara, ponto, barra e traço. */
+export declare const onlyDigits: (v: string) => string;
+export declare function isValidCpf(value: string): boolean;
+export declare function isValidCnpj(value: string): boolean;
+export type DocumentKind = 'cpf' | 'cnpj' | 'invalid';
+/**
+ * Classifica pelo próprio documento.
+ *
+ * O comprimento já diz se a linha é pessoa física ou jurídica; uma coluna
+ * `tipo` que discorde disso é conflito de dado, não preferência do usuário.
+ */
+export declare function classifyDocument(value: string): DocumentKind;
+//# sourceMappingURL=br-documents.d.ts.map

package/dist/import/br-documents.d.ts.map

@@ -0,0 +1 @@
+{"version":3,"file":"br-documents.d.ts","sourceRoot":"","sources":["../../src/import/br-documents.ts"],"names":[],"mappings":"AAAA;;;;;;;;;;;;GAYG;AAEH,0EAA0E;AAC1E,eAAO,MAAM,UAAU,GAAI,GAAG,MAAM,KAAG,MAA8B,CAAC;AActE,wBAAgB,UAAU,CAAC,KAAK,EAAE,MAAM,GAAG,OAAO,CAgBjD;AAED,wBAAgB,WAAW,CAAC,KAAK,EAAE,MAAM,GAAG,OAAO,CAQlD;AAED,MAAM,MAAM,YAAY,GAAG,KAAK,GAAG,MAAM,GAAG,SAAS,CAAC;AAEtD;;;;;GAKG;AACH,wBAAgB,gBAAgB,CAAC,KAAK,EAAE,MAAM,GAAG,YAAY,CAK5D"}