@baruk/core 0.4.2 → 0.5.0

package/dist/platform/job-contract.d.ts

@@ -0,0 +1,232 @@
+import type { Db, Tx } from '../db/client.js';
+/**
+ * O contrato de capacidade entre um WORKER e o schema que ele opera.
+ *
+ * ## O que isto fecha, e por que não bastava o contrato HTTP
+ *
+ * `platform/capabilities.ts` protege a superfície HTTP: a tela pergunta à API
+ * se aquele build sabe responder o que ela vai pedir. Um cron não tem tela e
+ * não fala com a API — ele fala com o BANCO. A contraparte é outra, então o
+ * contrato é outro, e o registro vive no próprio banco (migration 0055).
+ *
+ * A janela é real e não é hipótese: os crons publicam na Render como serviços
+ * SEPARADOS do serviço web, e as migrations rodam no `preDeployCommand` do
+ * serviço web. A ordem entre "a imagem nova do cron subiu" e "o schema novo foi
+ * aplicado" não é garantida por nada.
+ *
+ * ## Cinco estados, não dois
+ *
+ * A primeira forma óbvia disto seria um booleano `podeRodar`. Ela colapsa dois
+ * problemas que exigem tratamentos opostos:
+ *
+ *   `READY`                     compatível — executa.
+ *   `INCOMPATIBLE`              o schema é anterior ao que este worker exige.
+ *                               Fecha, e **não** merece retry: nenhuma
+ *                               quantidade de tentativas aplica uma migration.
+ *   `TEMPORARILY_UNAVAILABLE`   não deu para perguntar (banco fora, timeout).
+ *                               Fecha também — mas com backoff, porque volta
+ *                               sozinho.
+ *   `DISABLED`                  desligado por configuração do processo.
+ *   `BLOCKED_BY_TENANT_CONFIG`  o escritório não habilitou.
+ *
+ * A distinção entre os dois primeiros bloqueios é a mesma que o contrato HTTP
+ * já paga: lá, tratar timeout como "não suportado" faria a tela mentir sobre um
+ * deploy antigo toda vez que a API hibernasse. Aqui, tratar banco fora como
+ * incompatível faria o cron desistir de um dia inteiro por uma queda de rede de
+ * trinta segundos — e tratar incompatível como indisponível faria ele martelar
+ * um schema que não vai mudar sozinho.
+ *
+ * ## Fail-closed é sobre VERSÃO
+ *
+ * Quando não é `READY`, nada é escrito: zero mutação, cursor intocado, nenhum
+ * item marcado como processado. E o bloqueio é REGISTRADO (`job_run`) — um job
+ * que para em silêncio é indistinguível de um job que rodou e não achou nada.
+ *
+ * A garantia não depende deste arquivo: `job_run` tem CHECK que torna
+ * ingravável um run bloqueado com mutação ou cursor avançado. O TypeScript
+ * ordena; o banco garante.
+ */
+/** Versão do FORMATO do registro. Ver `platform_capability.contract_version`. */
+export declare const JOB_CONTRACT_VERSION = 1;
+export interface JobDefinition {
+    /** Slug estável do worker. É ele que aparece em `job_run` e `job_cursor`. */
+    readonly name: string;
+    /** Versão do WORKER. Sobe quando o que ele exige ou escreve muda. */
+    readonly version: number;
+    /**
+     * Capacidades que este worker exige do schema.
+     *
+     * Vazio é proibido por desenho — um worker sem exigência tem um portão que
+     * nunca fecha, e um portão que nunca fecha não é portão. Se um job realmente
+     * não depende de schema novo, ele deve exigir a capacidade que descreve o que
+     * ele JÁ usa; foi para isso que a 0055 declarou as dos dois crons existentes.
+     */
+    readonly requires: readonly string[];
+    /** Menor versão de contrato que este worker sabe ler. */
+    readonly minContractVersion: number;
+}
+export type JobReadiness = 'READY' | 'TEMPORARILY_UNAVAILABLE' | 'INCOMPATIBLE' | 'DISABLED' | 'BLOCKED_BY_TENANT_CONFIG';
+export type PlatformCapabilityProbe = {
+    status: 'declared';
+    contract: number;
+    capabilities: readonly string[];
+}
+/** O schema respondeu e não conhece o contrato: é a versão anterior. */
+ | {
+    status: 'absent';
+    detail: string;
+}
+/** Não foi possível perguntar. Diz respeito à infraestrutura, não à versão. */
+ | {
+    status: 'unknown';
+    detail: string;
+};
+export interface JobDecision {
+    readiness: JobReadiness;
+    /** Somente `READY` autoriza mutação. */
+    canMutate: boolean;
+    /** `INCOMPATIBLE` não é retentável: só um deploy o resolve. */
+    retryable: boolean;
+    /** Sugestão de espera para o que volta sozinho. `null` quando não retenta. */
+    backoffMs: number | null;
+    contractVersion: number | null;
+    observed: readonly string[];
+    missing: readonly string[];
+    detail: string;
+}
+/**
+ * Backoff do que volta sozinho.
+ *
+ * Cinco minutos: longo o bastante para uma reinicialização de banco caber
+ * dentro, curto o bastante para o ciclo diário ainda sair no mesmo dia.
+ */
+export declare const TEMPORARY_BACKOFF_MS: number;
+/**
+ * Lê o registro de capacidades do schema. Nunca lança; classifica a falha.
+ *
+ * A classificação é o ponto inteiro da função. Um `catch` que devolvesse
+ * "incompatível" para qualquer erro transformaria toda queda de rede em uma
+ * afirmação falsa sobre a versão do schema — o mesmo defeito que quase entrou
+ * em produção no contrato HTTP.
+ */
+export declare function probePlatformCapabilities(tx: Tx | Db): Promise<PlatformCapabilityProbe>;
+/**
+ * A sondagem satisfaz o que este worker exige?
+ *
+ * Função pura: recebe a sondagem já feita e devolve a decisão. É essa separação
+ * que permite fixar o contrato para o lote inteiro (ver `runGuardedJob`) — a
+ * decisão de cada item usa a MESMA sondagem, não uma nova.
+ */
+export declare function evaluateJobReadiness(def: JobDefinition, probe: PlatformCapabilityProbe, opts?: {
+    disabled?: boolean;
+    tenantBlocked?: string | null;
+}): JobDecision;
+export interface JobRunRecord {
+    id: string;
+    readiness: JobReadiness;
+    status: 'completed' | 'blocked' | 'failed';
+    mutations: number;
+    cursorAdvanced: boolean;
+    detail: string;
+}
+export interface GuardedJobContext {
+    /** A decisão FIXADA para este lote. Não muda no meio. */
+    readonly decision: JobDecision;
+    /** Cursor lido no início. `null` quando o job nunca rodou neste tenant. */
+    readonly cursor: string | null;
+    /** Conte aqui cada escrita. É o número que o CHECK do banco confere. */
+    recordMutation(n?: number): void;
+    /** Peça o avanço do cursor. Só é aplicado se o lote terminar. */
+    advanceCursorTo(position: string): void;
+}
+export interface GuardedJobOptions {
+    /** Desligado pelo processo (variável de ambiente, chave geral). */
+    disabled?: boolean;
+    /** Motivo de bloqueio por configuração do escritório, quando houver. */
+    tenantBlocked?: string | null;
+    /**
+     * Sondagem já feita, para FIXAR o contrato ao longo de um processo que
+     * percorre muitos tenants. Sem isto, o tenant 40 poderia decidir sob um
+     * registro diferente do tenant 1 — e metade do dia rodaria sob cada contrato.
+     */
+    probe?: PlatformCapabilityProbe;
+}
+/**
+ * Executa `handler` sob o portão, dentro do contexto de tenant.
+ *
+ * A ordem importa e é o mecanismo inteiro:
+ *
+ *  1. sonda (ou usa a sondagem fixada) e decide — ANTES de qualquer escrita;
+ *  2. se não for `READY`, grava o `job_run` bloqueado e RETORNA. O handler não
+ *     é chamado, então não existe caminho pelo qual ele mute;
+ *  3. se for `READY`, lê o cursor, chama o handler, e só então grava o run e
+ *     avança o cursor.
+ *
+ * Cursor e run são gravados na MESMA transação do handler: um lote que estourou
+ * no meio não deixa cursor avançado, porque o rollback leva os dois junto.
+ */
+export declare function runGuardedJob<T>(db: Db, tenantId: string, def: JobDefinition, handler: (tx: Tx, ctx: GuardedJobContext) => Promise<T>, opts?: GuardedJobOptions): Promise<{
+    record: JobRunRecord;
+    result: T | null;
+    decision: JobDecision;
+}>;
+/**
+ * Grava o desfecho de um run.
+ *
+ * Público porque os dois crons existentes não são baseados em cursor — eles são
+ * idempotentes por índice único e rodam duas transações por tenant de
+ * propósito. Forçá-los para dentro de `runGuardedJob` colapsaria essas duas
+ * transações em uma, e um erro na régua passaria a desfazer recebíveis
+ * legitimamente gerados. Eles usam o mesmo portão e a mesma trilha; o que não
+ * usam é o cursor, que não têm.
+ */
+export declare function recordJobRun(tx: Tx, tenantId: string, def: JobDefinition, decision: JobDecision, outcome: {
+    status: 'completed' | 'blocked' | 'failed';
+    mutations: number;
+    cursorAdvanced: boolean;
+}): Promise<JobRunRecord>;
+/**
+ * Grava a trilha tolerando a ausência da própria tabela.
+ *
+ * O caso é específico e derrubaria produção: quando o bloqueio é `INCOMPATIBLE`
+ * porque o schema é anterior à 0055, **`job_run` também não existe** — as duas
+ * tabelas nascem na mesma migration. Um `recordJobRun` direto estouraria para
+ * cada tenant e o cron sairia com código 1, transformando um bloqueio correto
+ * e silencioso num alarme de infraestrutura.
+ *
+ * A trilha é observabilidade, não a garantia. A garantia é o handler não ser
+ * chamado, e ela já valeu antes desta linha. Quando a trilha não cabe no
+ * schema, o log carrega o motivo — e ele é o mesmo.
+ *
+ * Devolve `true` se gravou. Só engole falha de SCHEMA (`42P01`/`42703`): erro
+ * de permissão ou de restrição é defeito nosso e tem de subir.
+ */
+export declare function recordJobRunBestEffort(db: Db, tenantId: string, def: JobDefinition, decision: JobDecision, outcome: {
+    status: 'completed' | 'blocked' | 'failed';
+    mutations: number;
+    cursorAdvanced: boolean;
+}): Promise<boolean>;
+/**
+ * Os workers deste produto.
+ *
+ * Declarados aqui, e não junto de cada entrypoint, para que a lista seja
+ * enumerável — é ela que o inventário do gate confere contra o `render.yaml`.
+ */
+export declare const COLLECTION_CYCLE_JOB: JobDefinition;
+export declare const SAAS_BILLING_JOB: JobDefinition;
+/**
+ * O worker fiscal (Onda B · Fase 2).
+ *
+ * Exige DUAS capacidades, e a segunda é o ponto: `office.fiscal-ingestion.v1`
+ * (0056) descreve onde o documento cabe; `office.fiscal-sync-worker.v1` (0058)
+ * descreve o que o worker precisa para OPERAR — lease, política, disjuntor,
+ * fila humana, cobertura.
+ *
+ * Separá-las importa numa janela concreta: um banco que já tem a 0056 e ainda
+ * não tem a 0058 sabe guardar documento e NÃO sabe travar a vez. Um worker que
+ * exigisse só a primeira rodaria ali, sem exclusão mútua, e duas execuções
+ * simultâneas consultariam o mesmo CNPJ contra a Receita.
+ */
+export declare const FISCAL_SYNC_JOB: JobDefinition;
+export declare const KNOWN_JOBS: readonly JobDefinition[];
+//# sourceMappingURL=job-contract.d.ts.map

package/dist/platform/job-contract.d.ts.map

@@ -0,0 +1 @@
+{"version":3,"file":"job-contract.d.ts","sourceRoot":"","sources":["../../src/platform/job-contract.ts"],"names":[],"mappings":"AACA,OAAO,KAAK,EAAE,EAAE,EAAE,EAAE,EAAE,MAAM,iBAAiB,CAAC;AAG9C;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;GA8CG;AAEH,iFAAiF;AACjF,eAAO,MAAM,oBAAoB,IAAI,CAAC;AAEtC,MAAM,WAAW,aAAa;IAC5B,6EAA6E;IAC7E,QAAQ,CAAC,IAAI,EAAE,MAAM,CAAC;IACtB,qEAAqE;IACrE,QAAQ,CAAC,OAAO,EAAE,MAAM,CAAC;IACzB;;;;;;;OAOG;IACH,QAAQ,CAAC,QAAQ,EAAE,SAAS,MAAM,EAAE,CAAC;IACrC,yDAAyD;IACzD,QAAQ,CAAC,kBAAkB,EAAE,MAAM,CAAC;CACrC;AAED,MAAM,MAAM,YAAY,GACtB,OAAO,GAAG,yBAAyB,GAAG,cAAc,GAAG,UAAU,GAAG,0BAA0B,CAAC;AAEjG,MAAM,MAAM,uBAAuB,GAC/B;IAAE,MAAM,EAAE,UAAU,CAAC;IAAC,QAAQ,EAAE,MAAM,CAAC;IAAC,YAAY,EAAE,SAAS,MAAM,EAAE,CAAA;CAAE;AAC3E,wEAAwE;GACtE;IAAE,MAAM,EAAE,QAAQ,CAAC;IAAC,MAAM,EAAE,MAAM,CAAA;CAAE;AACtC,+EAA+E;GAC7E;IAAE,MAAM,EAAE,SAAS,CAAC;IAAC,MAAM,EAAE,MAAM,CAAA;CAAE,CAAC;AAE1C,MAAM,WAAW,WAAW;IAC1B,SAAS,EAAE,YAAY,CAAC;IACxB,wCAAwC;IACxC,SAAS,EAAE,OAAO,CAAC;IACnB,+DAA+D;IAC/D,SAAS,EAAE,OAAO,CAAC;IACnB,8EAA8E;IAC9E,SAAS,EAAE,MAAM,GAAG,IAAI,CAAC;IACzB,eAAe,EAAE,MAAM,GAAG,IAAI,CAAC;IAC/B,QAAQ,EAAE,SAAS,MAAM,EAAE,CAAC;IAC5B,OAAO,EAAE,SAAS,MAAM,EAAE,CAAC;IAC3B,MAAM,EAAE,MAAM,CAAC;CAChB;AAED;;;;;GAKG;AACH,eAAO,MAAM,oBAAoB,QAAa,CAAC;AAW/C;;;;;;;GAOG;AACH,wBAAsB,yBAAyB,CAAC,EAAE,EAAE,EAAE,GAAG,EAAE,GAAG,OAAO,CAAC,uBAAuB,CAAC,CAoC7F;AAED;;;;;;GAMG;AACH,wBAAgB,oBAAoB,CAClC,GAAG,EAAE,aAAa,EAClB,KAAK,EAAE,uBAAuB,EAC9B,IAAI,GAAE;IAAE,QAAQ,CAAC,EAAE,OAAO,CAAC;IAAC,aAAa,CAAC,EAAE,MAAM,GAAG,IAAI,CAAA;CAAO,GAC/D,WAAW,CAiFb;AAED,MAAM,WAAW,YAAY;IAC3B,EAAE,EAAE,MAAM,CAAC;IACX,SAAS,EAAE,YAAY,CAAC;IACxB,MAAM,EAAE,WAAW,GAAG,SAAS,GAAG,QAAQ,CAAC;IAC3C,SAAS,EAAE,MAAM,CAAC;IAClB,cAAc,EAAE,OAAO,CAAC;IACxB,MAAM,EAAE,MAAM,CAAC;CAChB;AAED,MAAM,WAAW,iBAAiB;IAChC,yDAAyD;IACzD,QAAQ,CAAC,QAAQ,EAAE,WAAW,CAAC;IAC/B,2EAA2E;IAC3E,QAAQ,CAAC,MAAM,EAAE,MAAM,GAAG,IAAI,CAAC;IAC/B,wEAAwE;IACxE,cAAc,CAAC,CAAC,CAAC,EAAE,MAAM,GAAG,IAAI,CAAC;IACjC,iEAAiE;IACjE,eAAe,CAAC,QAAQ,EAAE,MAAM,GAAG,IAAI,CAAC;CACzC;AAED,MAAM,WAAW,iBAAiB;IAChC,mEAAmE;IACnE,QAAQ,CAAC,EAAE,OAAO,CAAC;IACnB,wEAAwE;IACxE,aAAa,CAAC,EAAE,MAAM,GAAG,IAAI,CAAC;IAC9B;;;;OAIG;IACH,KAAK,CAAC,EAAE,uBAAuB,CAAC;CACjC;AAED;;;;;;;;;;;;;GAaG;AACH,wBAAsB,aAAa,CAAC,CAAC,EACnC,EAAE,EAAE,EAAE,EACN,QAAQ,EAAE,MAAM,EAChB,GAAG,EAAE,aAAa,EAClB,OAAO,EAAE,CAAC,EAAE,EAAE,EAAE,EAAE,GAAG,EAAE,iBAAiB,KAAK,OAAO,CAAC,CAAC,CAAC,EACvD,IAAI,GAAE,iBAAsB,GAC3B,OAAO,CAAC;IAAE,MAAM,EAAE,YAAY,CAAC;IAAC,MAAM,EAAE,CAAC,GAAG,IAAI,CAAC;IAAC,QAAQ,EAAE,WAAW,CAAA;CAAE,CAAC,CAiG5E;AASD;;;;;;;;;GASG;AACH,wBAAsB,YAAY,CAChC,EAAE,EAAE,EAAE,EACN,QAAQ,EAAE,MAAM,EAChB,GAAG,EAAE,aAAa,EAClB,QAAQ,EAAE,WAAW,EACrB,OAAO,EAAE;IACP,MAAM,EAAE,WAAW,GAAG,SAAS,GAAG,QAAQ,CAAC;IAC3C,SAAS,EAAE,MAAM,CAAC;IAClB,cAAc,EAAE,OAAO,CAAC;CACzB,GACA,OAAO,CAAC,YAAY,CAAC,CAsBvB;AAED;;;;;;;;;;;;;;;GAeG;AACH,wBAAsB,sBAAsB,CAC1C,EAAE,EAAE,EAAE,EACN,QAAQ,EAAE,MAAM,EAChB,GAAG,EAAE,aAAa,EAClB,QAAQ,EAAE,WAAW,EACrB,OAAO,EAAE;IACP,MAAM,EAAE,WAAW,GAAG,SAAS,GAAG,QAAQ,CAAC;IAC3C,SAAS,EAAE,MAAM,CAAC;IAClB,cAAc,EAAE,OAAO,CAAC;CACzB,GACA,OAAO,CAAC,OAAO,CAAC,CASlB;AAED;;;;;GAKG;AACH,eAAO,MAAM,oBAAoB,EAAE,aAKlC,CAAC;AAEF,eAAO,MAAM,gBAAgB,EAAE,aAK9B,CAAC;AAEF;;;;;;;;;;;;GAYG;AACH,eAAO,MAAM,eAAe,EAAE,aAoB7B,CAAC;AAEF,eAAO,MAAM,UAAU,EAAE,SAAS,aAAa,EAI9C,CAAC"}

package/dist/platform/job-contract.js

@@ -0,0 +1,403 @@
+import { uuidv7 } from '@baruk/shared';
+import { withContext } from '../db/context.js';
+/**
+ * O contrato de capacidade entre um WORKER e o schema que ele opera.
+ *
+ * ## O que isto fecha, e por que não bastava o contrato HTTP
+ *
+ * `platform/capabilities.ts` protege a superfície HTTP: a tela pergunta à API
+ * se aquele build sabe responder o que ela vai pedir. Um cron não tem tela e
+ * não fala com a API — ele fala com o BANCO. A contraparte é outra, então o
+ * contrato é outro, e o registro vive no próprio banco (migration 0055).
+ *
+ * A janela é real e não é hipótese: os crons publicam na Render como serviços
+ * SEPARADOS do serviço web, e as migrations rodam no `preDeployCommand` do
+ * serviço web. A ordem entre "a imagem nova do cron subiu" e "o schema novo foi
+ * aplicado" não é garantida por nada.
+ *
+ * ## Cinco estados, não dois
+ *
+ * A primeira forma óbvia disto seria um booleano `podeRodar`. Ela colapsa dois
+ * problemas que exigem tratamentos opostos:
+ *
+ *   `READY`                     compatível — executa.
+ *   `INCOMPATIBLE`              o schema é anterior ao que este worker exige.
+ *                               Fecha, e **não** merece retry: nenhuma
+ *                               quantidade de tentativas aplica uma migration.
+ *   `TEMPORARILY_UNAVAILABLE`   não deu para perguntar (banco fora, timeout).
+ *                               Fecha também — mas com backoff, porque volta
+ *                               sozinho.
+ *   `DISABLED`                  desligado por configuração do processo.
+ *   `BLOCKED_BY_TENANT_CONFIG`  o escritório não habilitou.
+ *
+ * A distinção entre os dois primeiros bloqueios é a mesma que o contrato HTTP
+ * já paga: lá, tratar timeout como "não suportado" faria a tela mentir sobre um
+ * deploy antigo toda vez que a API hibernasse. Aqui, tratar banco fora como
+ * incompatível faria o cron desistir de um dia inteiro por uma queda de rede de
+ * trinta segundos — e tratar incompatível como indisponível faria ele martelar
+ * um schema que não vai mudar sozinho.
+ *
+ * ## Fail-closed é sobre VERSÃO
+ *
+ * Quando não é `READY`, nada é escrito: zero mutação, cursor intocado, nenhum
+ * item marcado como processado. E o bloqueio é REGISTRADO (`job_run`) — um job
+ * que para em silêncio é indistinguível de um job que rodou e não achou nada.
+ *
+ * A garantia não depende deste arquivo: `job_run` tem CHECK que torna
+ * ingravável um run bloqueado com mutação ou cursor avançado. O TypeScript
+ * ordena; o banco garante.
+ */
+/** Versão do FORMATO do registro. Ver `platform_capability.contract_version`. */
+export const JOB_CONTRACT_VERSION = 1;
+/**
+ * Backoff do que volta sozinho.
+ *
+ * Cinco minutos: longo o bastante para uma reinicialização de banco caber
+ * dentro, curto o bastante para o ciclo diário ainda sair no mesmo dia.
+ */
+export const TEMPORARY_BACKOFF_MS = 5 * 60_000;
+/**
+ * Códigos do PostgreSQL que significam "este schema é anterior ao worker".
+ *
+ * `42P01` tabela inexistente, `42703` coluna inexistente, `42883` função
+ * inexistente. São afirmações do servidor sobre o que ele TEM — não sobre a
+ * rede —, e é exatamente essa a fronteira entre `absent` e `unknown`.
+ */
+const OLD_SCHEMA_SQLSTATES = new Set(['42P01', '42703', '42883']);
+/**
+ * Lê o registro de capacidades do schema. Nunca lança; classifica a falha.
+ *
+ * A classificação é o ponto inteiro da função. Um `catch` que devolvesse
+ * "incompatível" para qualquer erro transformaria toda queda de rede em uma
+ * afirmação falsa sobre a versão do schema — o mesmo defeito que quase entrou
+ * em produção no contrato HTTP.
+ */
+export async function probePlatformCapabilities(tx) {
+    let rows;
+    try {
+        rows = await tx `
+      SELECT key, contract_version FROM platform_capability ORDER BY key
+    `;
+    }
+    catch (err) {
+        const code = err?.code;
+        if (code && OLD_SCHEMA_SQLSTATES.has(code)) {
+            // A tabela não existe: este banco é anterior à 0055. É a assinatura
+            // exata do schema velho, e o caso inteiro pelo qual isto existe.
+            return { status: 'absent', detail: `registro ausente no schema (sqlstate ${code})` };
+        }
+        // Conexão recusada, timeout, permissão momentaneamente negada: nada disto
+        // informa a VERSÃO do schema.
+        return { status: 'unknown', detail: `consulta falhou (sqlstate ${code ?? 'desconhecido'})` };
+    }
+    if (rows.length === 0) {
+        // Tabela existe e está vazia. Um schema que não declara nada não pode
+        // satisfazer exigência nenhuma — e "vazio" não é "tudo permitido".
+        return { status: 'absent', detail: 'registro de capacidades vazio' };
+    }
+    // Versões de contrato divergentes na mesma tabela seriam um registro que não
+    // se sabe ler inteiro. Fecha, em vez de escolher uma.
+    const versions = new Set(rows.map((r) => r.contract_version));
+    if (versions.size > 1) {
+        return { status: 'absent', detail: 'registro com versões de contrato divergentes' };
+    }
+    return {
+        status: 'declared',
+        contract: rows[0].contract_version,
+        capabilities: rows.map((r) => r.key),
+    };
+}
+/**
+ * A sondagem satisfaz o que este worker exige?
+ *
+ * Função pura: recebe a sondagem já feita e devolve a decisão. É essa separação
+ * que permite fixar o contrato para o lote inteiro (ver `runGuardedJob`) — a
+ * decisão de cada item usa a MESMA sondagem, não uma nova.
+ */
+export function evaluateJobReadiness(def, probe, opts = {}) {
+    const blocked = (readiness, detail, extra = {}) => ({
+        readiness,
+        canMutate: false,
+        retryable: readiness === 'TEMPORARILY_UNAVAILABLE',
+        backoffMs: readiness === 'TEMPORARILY_UNAVAILABLE' ? TEMPORARY_BACKOFF_MS : null,
+        contractVersion: null,
+        observed: [],
+        missing: [],
+        detail,
+        ...extra,
+    });
+    // Desligado pelo processo vem primeiro: não faz sentido perguntar ao banco se
+    // um worker desligado é compatível, e a resposta não mudaria nada.
+    if (opts.disabled)
+        return blocked('DISABLED', 'worker desligado por configuração');
+    if (def.requires.length === 0) {
+        // Erro de programação, tratado como bloqueio e não como exceção: um worker
+        // mal declarado não pode virar um worker sem portão.
+        return blocked('INCOMPATIBLE', `job "${def.name}" não declara capacidade exigida`);
+    }
+    if (probe.status === 'unknown')
+        return blocked('TEMPORARILY_UNAVAILABLE', probe.detail);
+    if (probe.status === 'absent') {
+        return blocked('INCOMPATIBLE', probe.detail, { missing: [...def.requires] });
+    }
+    if (probe.contract < def.minContractVersion) {
+        return blocked('INCOMPATIBLE', `contrato ${probe.contract} anterior ao mínimo ${def.minContractVersion}`, { contractVersion: probe.contract, observed: probe.capabilities, missing: [...def.requires] });
+    }
+    if (probe.contract > JOB_CONTRACT_VERSION) {
+        // Schema mais novo do que este worker sabe ler. Simétrico ao caso acima, e
+        // igualmente fechado: reinterpretar um formato desconhecido é como um
+        // worker velho corrompe dado novo.
+        return blocked('INCOMPATIBLE', `contrato ${probe.contract} posterior ao que este worker lê (${JOB_CONTRACT_VERSION})`, { contractVersion: probe.contract, observed: probe.capabilities });
+    }
+    // Continência de conjunto, não igualdade: o schema pode declarar MAIS do que
+    // este worker exige, e é isso que torna `worker velho + schema novo` seguro.
+    const missing = def.requires.filter((k) => !probe.capabilities.includes(k));
+    if (missing.length > 0) {
+        return blocked('INCOMPATIBLE', `capacidade ausente: ${missing.join(', ')}`, {
+            contractVersion: probe.contract,
+            observed: probe.capabilities,
+            missing,
+        });
+    }
+    // O bloqueio por configuração do escritório vem por ÚLTIMO, depois de a
+    // compatibilidade estar provada: assim o registro distingue "o schema não
+    // serve" de "este escritório não quis", que são conversas diferentes.
+    if (opts.tenantBlocked) {
+        return blocked('BLOCKED_BY_TENANT_CONFIG', opts.tenantBlocked, {
+            contractVersion: probe.contract,
+            observed: probe.capabilities,
+        });
+    }
+    return {
+        readiness: 'READY',
+        canMutate: true,
+        retryable: false,
+        backoffMs: null,
+        contractVersion: probe.contract,
+        observed: probe.capabilities,
+        missing: [],
+        detail: 'compatível',
+    };
+}
+/**
+ * Executa `handler` sob o portão, dentro do contexto de tenant.
+ *
+ * A ordem importa e é o mecanismo inteiro:
+ *
+ *  1. sonda (ou usa a sondagem fixada) e decide — ANTES de qualquer escrita;
+ *  2. se não for `READY`, grava o `job_run` bloqueado e RETORNA. O handler não
+ *     é chamado, então não existe caminho pelo qual ele mute;
+ *  3. se for `READY`, lê o cursor, chama o handler, e só então grava o run e
+ *     avança o cursor.
+ *
+ * Cursor e run são gravados na MESMA transação do handler: um lote que estourou
+ * no meio não deixa cursor avançado, porque o rollback leva os dois junto.
+ */
+export async function runGuardedJob(db, tenantId, def, handler, opts = {}) {
+    const probe = opts.probe ?? (await withContext(db, { tenantId }, (tx) => probePlatformCapabilities(tx)));
+    const decision = evaluateJobReadiness(def, probe, {
+        disabled: opts.disabled,
+        tenantBlocked: opts.tenantBlocked,
+    });
+    if (!decision.canMutate) {
+        const record = await withContext(db, { tenantId }, (tx) => recordJobRun(tx, tenantId, def, decision, {
+            status: 'blocked',
+            mutations: 0,
+            cursorAdvanced: false,
+        }));
+        return { record, result: null, decision };
+    }
+    let mutations = 0;
+    let nextCursor = null;
+    try {
+        return await withContext(db, { tenantId }, async (tx) => {
+            const [cur] = await tx `
+        SELECT position, contract_version FROM job_cursor WHERE job_name = ${def.name}
+      `;
+            if (cur && cur.contract_version > JOB_CONTRACT_VERSION) {
+                // Cursor gravado sob contrato que este worker não sabe ler. Reinterpretar
+                // a posição com outra semântica é pior do que não andar.
+                const stale = evaluateJobReadiness(def, {
+                    status: 'absent',
+                    detail: `cursor gravado sob contrato ${cur.contract_version}, posterior a ${JOB_CONTRACT_VERSION}`,
+                });
+                const record = await recordJobRun(tx, tenantId, def, stale, {
+                    status: 'blocked',
+                    mutations: 0,
+                    cursorAdvanced: false,
+                });
+                return { record, result: null, decision: stale };
+            }
+            const ctx = {
+                decision,
+                cursor: cur?.position ?? null,
+                recordMutation: (n = 1) => {
+                    mutations += n;
+                },
+                advanceCursorTo: (position) => {
+                    nextCursor = position;
+                },
+            };
+            const result = await handler(tx, ctx);
+            if (nextCursor !== null) {
+                await tx `
+          INSERT INTO job_cursor (id, tenant_id, job_name, position, contract_version, updated_at)
+          VALUES (${uuidv7()}, ${tenantId}, ${def.name}, ${nextCursor},
+                  ${decision.contractVersion ?? JOB_CONTRACT_VERSION}, now())
+          ON CONFLICT (tenant_id, job_name)
+          DO UPDATE SET position = EXCLUDED.position,
+                        contract_version = EXCLUDED.contract_version,
+                        updated_at = now()
+        `;
+            }
+            const record = await recordJobRun(tx, tenantId, def, decision, {
+                status: 'completed',
+                mutations,
+                cursorAdvanced: nextCursor !== null,
+            });
+            return { record, result, decision };
+        });
+    }
+    catch (err) {
+        // O lote falhou: a transação já reverteu mutação e cursor. O registro da
+        // falha vai em transação NOVA, senão ele voltaria junto e a falha ficaria
+        // invisível — que é o modo de falha que esta tabela existe para eliminar.
+        //
+        // E se o próprio registro falhar (banco fora, que é uma causa provável do
+        // erro original), o erro ORIGINAL é o que sobe. Trocá-lo pelo erro de
+        // gravar a trilha esconderia a causa atrás do sintoma.
+        let record;
+        try {
+            record = await withContext(db, { tenantId }, (tx) => recordJobRun(tx, tenantId, def, { ...decision, detail: describeFailure(err) }, { status: 'failed', mutations: 0, cursorAdvanced: false }));
+        }
+        catch {
+            throw err;
+        }
+        return { record, result: null, decision };
+    }
+}
+/** Mensagem de falha sem PII e sem segredo: só a classe e o sqlstate. */
+function describeFailure(err) {
+    const code = err?.code;
+    const name = err instanceof Error ? err.name : 'erro';
+    return code ? `${name} (sqlstate ${code})` : name;
+}
+/**
+ * Grava o desfecho de um run.
+ *
+ * Público porque os dois crons existentes não são baseados em cursor — eles são
+ * idempotentes por índice único e rodam duas transações por tenant de
+ * propósito. Forçá-los para dentro de `runGuardedJob` colapsaria essas duas
+ * transações em uma, e um erro na régua passaria a desfazer recebíveis
+ * legitimamente gerados. Eles usam o mesmo portão e a mesma trilha; o que não
+ * usam é o cursor, que não têm.
+ */
+export async function recordJobRun(tx, tenantId, def, decision, outcome) {
+    const id = uuidv7();
+    await tx `
+    INSERT INTO job_run (
+      id, tenant_id, job_name, job_version, readiness, status, contract_version,
+      required_capabilities, observed_capabilities, missing_capabilities,
+      mutations, cursor_advanced, detail, finished_at
+    ) VALUES (
+      ${id}, ${tenantId}, ${def.name}, ${def.version}, ${decision.readiness}, ${outcome.status},
+      ${decision.contractVersion}, ${[...def.requires]}, ${[...decision.observed]},
+      ${[...decision.missing]}, ${outcome.mutations}, ${outcome.cursorAdvanced},
+      ${decision.detail}, now()
+    )
+  `;
+    return {
+        id,
+        readiness: decision.readiness,
+        status: outcome.status,
+        mutations: outcome.mutations,
+        cursorAdvanced: outcome.cursorAdvanced,
+        detail: decision.detail,
+    };
+}
+/**
+ * Grava a trilha tolerando a ausência da própria tabela.
+ *
+ * O caso é específico e derrubaria produção: quando o bloqueio é `INCOMPATIBLE`
+ * porque o schema é anterior à 0055, **`job_run` também não existe** — as duas
+ * tabelas nascem na mesma migration. Um `recordJobRun` direto estouraria para
+ * cada tenant e o cron sairia com código 1, transformando um bloqueio correto
+ * e silencioso num alarme de infraestrutura.
+ *
+ * A trilha é observabilidade, não a garantia. A garantia é o handler não ser
+ * chamado, e ela já valeu antes desta linha. Quando a trilha não cabe no
+ * schema, o log carrega o motivo — e ele é o mesmo.
+ *
+ * Devolve `true` se gravou. Só engole falha de SCHEMA (`42P01`/`42703`): erro
+ * de permissão ou de restrição é defeito nosso e tem de subir.
+ */
+export async function recordJobRunBestEffort(db, tenantId, def, decision, outcome) {
+    try {
+        await withContext(db, { tenantId }, (tx) => recordJobRun(tx, tenantId, def, decision, outcome));
+        return true;
+    }
+    catch (err) {
+        const code = err?.code;
+        if (code && OLD_SCHEMA_SQLSTATES.has(code))
+            return false;
+        throw err;
+    }
+}
+/**
+ * Os workers deste produto.
+ *
+ * Declarados aqui, e não junto de cada entrypoint, para que a lista seja
+ * enumerável — é ela que o inventário do gate confere contra o `render.yaml`.
+ */
+export const COLLECTION_CYCLE_JOB = {
+    name: 'collection-cycle',
+    version: 1,
+    requires: ['office.collection-cycle.v1'],
+    minContractVersion: 1,
+};
+export const SAAS_BILLING_JOB = {
+    name: 'saas-billing-cycle',
+    version: 1,
+    requires: ['office.saas-billing-cycle.v1'],
+    minContractVersion: 1,
+};
+/**
+ * O worker fiscal (Onda B · Fase 2).
+ *
+ * Exige DUAS capacidades, e a segunda é o ponto: `office.fiscal-ingestion.v1`
+ * (0056) descreve onde o documento cabe; `office.fiscal-sync-worker.v1` (0058)
+ * descreve o que o worker precisa para OPERAR — lease, política, disjuntor,
+ * fila humana, cobertura.
+ *
+ * Separá-las importa numa janela concreta: um banco que já tem a 0056 e ainda
+ * não tem a 0058 sabe guardar documento e NÃO sabe travar a vez. Um worker que
+ * exigisse só a primeira rodaria ali, sem exclusão mútua, e duas execuções
+ * simultâneas consultariam o mesmo CNPJ contra a Receita.
+ */
+export const FISCAL_SYNC_JOB = {
+    name: 'fiscal-sync',
+    // `version: 2` porque o worker passou a GRAVAR `fiscal_sync_run.contract_version`
+    // (migration 0059). Um worker desta versão contra um banco anterior falharia no
+    // `INSERT` — depois do lease tomado e possivelmente depois da requisição ao
+    // provedor, isto é, com o consumo já gasto e o cursor parado. O pior lugar
+    // possível para descobrir uma incompatibilidade de schema.
+    version: 2,
+    // `office.fiscal-contract-version.v1` é a exigência NOVA, e ela é uma CHAVE —
+    // não um `minContractVersion` maior. `contract_version` é a versão do formato
+    // do registro e é global: a sondagem recusa a tabela inteira se as linhas
+    // divergirem, de modo que subir a versão por causa de uma coluna do motor
+    // fiscal derrubaria também cobrança e faturamento. Capacidade se compara por
+    // continência; é essa a dimensão em que esta mudança acontece.
+    requires: [
+        'office.fiscal-ingestion.v1',
+        'office.fiscal-sync-worker.v1',
+        'office.fiscal-contract-version.v1',
+    ],
+    minContractVersion: 1,
+};
+export const KNOWN_JOBS = [
+    COLLECTION_CYCLE_JOB,
+    SAAS_BILLING_JOB,
+    FISCAL_SYNC_JOB,
+];
+//# sourceMappingURL=job-contract.js.map

package/dist/platform/job-contract.js.map

@@ -0,0 +1 @@
+{"version":3,"file":"job-contract.js","sourceRoot":"","sources":["../../src/platform/job-contract.ts"],"names":[],"mappings":"AAAA,OAAO,EAAE,MAAM,EAAE,MAAM,eAAe,CAAC;AAEvC,OAAO,EAAE,WAAW,EAAE,MAAM,kBAAkB,CAAC;AAE/C;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;GA8CG;AAEH,iFAAiF;AACjF,MAAM,CAAC,MAAM,oBAAoB,GAAG,CAAC,CAAC;AA4CtC;;;;;GAKG;AACH,MAAM,CAAC,MAAM,oBAAoB,GAAG,CAAC,GAAG,MAAM,CAAC;AAE/C;;;;;;GAMG;AACH,MAAM,oBAAoB,GAAG,IAAI,GAAG,CAAC,CAAC,OAAO,EAAE,OAAO,EAAE,OAAO,CAAC,CAAC,CAAC;AAElE;;;;;;;GAOG;AACH,MAAM,CAAC,KAAK,UAAU,yBAAyB,CAAC,EAAW;IACzD,IAAI,IAAiD,CAAC;IACtD,IAAI,CAAC;QACH,IAAI,GAAG,MAAM,EAAE,CAA6C;;KAE3D,CAAC;IACJ,CAAC;IAAC,OAAO,GAAG,EAAE,CAAC;QACb,MAAM,IAAI,GAAI,GAAgC,EAAE,IAAI,CAAC;QACrD,IAAI,IAAI,IAAI,oBAAoB,CAAC,GAAG,CAAC,IAAI,CAAC,EAAE,CAAC;YAC3C,oEAAoE;YACpE,iEAAiE;YACjE,OAAO,EAAE,MAAM,EAAE,QAAQ,EAAE,MAAM,EAAE,wCAAwC,IAAI,GAAG,EAAE,CAAC;QACvF,CAAC;QACD,0EAA0E;QAC1E,8BAA8B;QAC9B,OAAO,EAAE,MAAM,EAAE,SAAS,EAAE,MAAM,EAAE,6BAA6B,IAAI,IAAI,cAAc,GAAG,EAAE,CAAC;IAC/F,CAAC;IAED,IAAI,IAAI,CAAC,MAAM,KAAK,CAAC,EAAE,CAAC;QACtB,sEAAsE;QACtE,mEAAmE;QACnE,OAAO,EAAE,MAAM,EAAE,QAAQ,EAAE,MAAM,EAAE,+BAA+B,EAAE,CAAC;IACvE,CAAC;IAED,6EAA6E;IAC7E,sDAAsD;IACtD,MAAM,QAAQ,GAAG,IAAI,GAAG,CAAC,IAAI,CAAC,GAAG,CAAC,CAAC,CAAC,EAAE,EAAE,CAAC,CAAC,CAAC,gBAAgB,CAAC,CAAC,CAAC;IAC9D,IAAI,QAAQ,CAAC,IAAI,GAAG,CAAC,EAAE,CAAC;QACtB,OAAO,EAAE,MAAM,EAAE,QAAQ,EAAE,MAAM,EAAE,8CAA8C,EAAE,CAAC;IACtF,CAAC;IAED,OAAO;QACL,MAAM,EAAE,UAAU;QAClB,QAAQ,EAAE,IAAI,CAAC,CAAC,CAAE,CAAC,gBAAgB;QACnC,YAAY,EAAE,IAAI,CAAC,GAAG,CAAC,CAAC,CAAC,EAAE,EAAE,CAAC,CAAC,CAAC,GAAG,CAAC;KACrC,CAAC;AACJ,CAAC;AAED;;;;;;GAMG;AACH,MAAM,UAAU,oBAAoB,CAClC,GAAkB,EAClB,KAA8B,EAC9B,OAA8D,EAAE;IAEhE,MAAM,OAAO,GAAG,CACd,SAAyC,EACzC,MAAc,EACd,QAA8B,EAAE,EACnB,EAAE,CAAC,CAAC;QACjB,SAAS;QACT,SAAS,EAAE,KAAK;QAChB,SAAS,EAAE,SAAS,KAAK,yBAAyB;QAClD,SAAS,EAAE,SAAS,KAAK,yBAAyB,CAAC,CAAC,CAAC,oBAAoB,CAAC,CAAC,CAAC,IAAI;QAChF,eAAe,EAAE,IAAI;QACrB,QAAQ,EAAE,EAAE;QACZ,OAAO,EAAE,EAAE;QACX,MAAM;QACN,GAAG,KAAK;KACT,CAAC,CAAC;IAEH,8EAA8E;IAC9E,mEAAmE;IACnE,IAAI,IAAI,CAAC,QAAQ;QAAE,OAAO,OAAO,CAAC,UAAU,EAAE,mCAAmC,CAAC,CAAC;IAEnF,IAAI,GAAG,CAAC,QAAQ,CAAC,MAAM,KAAK,CAAC,EAAE,CAAC;QAC9B,2EAA2E;QAC3E,qDAAqD;QACrD,OAAO,OAAO,CAAC,cAAc,EAAE,QAAQ,GAAG,CAAC,IAAI,kCAAkC,CAAC,CAAC;IACrF,CAAC;IAED,IAAI,KAAK,CAAC,MAAM,KAAK,SAAS;QAAE,OAAO,OAAO,CAAC,yBAAyB,EAAE,KAAK,CAAC,MAAM,CAAC,CAAC;IACxF,IAAI,KAAK,CAAC,MAAM,KAAK,QAAQ,EAAE,CAAC;QAC9B,OAAO,OAAO,CAAC,cAAc,EAAE,KAAK,CAAC,MAAM,EAAE,EAAE,OAAO,EAAE,CAAC,GAAG,GAAG,CAAC,QAAQ,CAAC,EAAE,CAAC,CAAC;IAC/E,CAAC;IAED,IAAI,KAAK,CAAC,QAAQ,GAAG,GAAG,CAAC,kBAAkB,EAAE,CAAC;QAC5C,OAAO,OAAO,CACZ,cAAc,EACd,YAAY,KAAK,CAAC,QAAQ,uBAAuB,GAAG,CAAC,kBAAkB,EAAE,EACzE,EAAE,eAAe,EAAE,KAAK,CAAC,QAAQ,EAAE,QAAQ,EAAE,KAAK,CAAC,YAAY,EAAE,OAAO,EAAE,CAAC,GAAG,GAAG,CAAC,QAAQ,CAAC,EAAE,CAC9F,CAAC;IACJ,CAAC;IACD,IAAI,KAAK,CAAC,QAAQ,GAAG,oBAAoB,EAAE,CAAC;QAC1C,2EAA2E;QAC3E,sEAAsE;QACtE,mCAAmC;QACnC,OAAO,OAAO,CACZ,cAAc,EACd,YAAY,KAAK,CAAC,QAAQ,qCAAqC,oBAAoB,GAAG,EACtF,EAAE,eAAe,EAAE,KAAK,CAAC,QAAQ,EAAE,QAAQ,EAAE,KAAK,CAAC,YAAY,EAAE,CAClE,CAAC;IACJ,CAAC;IAED,6EAA6E;IAC7E,6EAA6E;IAC7E,MAAM,OAAO,GAAG,GAAG,CAAC,QAAQ,CAAC,MAAM,CAAC,CAAC,CAAC,EAAE,EAAE,CAAC,CAAC,KAAK,CAAC,YAAY,CAAC,QAAQ,CAAC,CAAC,CAAC,CAAC,CAAC;IAC5E,IAAI,OAAO,CAAC,MAAM,GAAG,CAAC,EAAE,CAAC;QACvB,OAAO,OAAO,CAAC,cAAc,EAAE,uBAAuB,OAAO,CAAC,IAAI,CAAC,IAAI,CAAC,EAAE,EAAE;YAC1E,eAAe,EAAE,KAAK,CAAC,QAAQ;YAC/B,QAAQ,EAAE,KAAK,CAAC,YAAY;YAC5B,OAAO;SACR,CAAC,CAAC;IACL,CAAC;IAED,wEAAwE;IACxE,0EAA0E;IAC1E,sEAAsE;IACtE,IAAI,IAAI,CAAC,aAAa,EAAE,CAAC;QACvB,OAAO,OAAO,CAAC,0BAA0B,EAAE,IAAI,CAAC,aAAa,EAAE;YAC7D,eAAe,EAAE,KAAK,CAAC,QAAQ;YAC/B,QAAQ,EAAE,KAAK,CAAC,YAAY;SAC7B,CAAC,CAAC;IACL,CAAC;IAED,OAAO;QACL,SAAS,EAAE,OAAO;QAClB,SAAS,EAAE,IAAI;QACf,SAAS,EAAE,KAAK;QAChB,SAAS,EAAE,IAAI;QACf,eAAe,EAAE,KAAK,CAAC,QAAQ;QAC/B,QAAQ,EAAE,KAAK,CAAC,YAAY;QAC5B,OAAO,EAAE,EAAE;QACX,MAAM,EAAE,YAAY;KACrB,CAAC;AACJ,CAAC;AAmCD;;;;;;;;;;;;;GAaG;AACH,MAAM,CAAC,KAAK,UAAU,aAAa,CACjC,EAAM,EACN,QAAgB,EAChB,GAAkB,EAClB,OAAuD,EACvD,OAA0B,EAAE;IAE5B,MAAM,KAAK,GACT,IAAI,CAAC,KAAK,IAAI,CAAC,MAAM,WAAW,CAAC,EAAE,EAAE,EAAE,QAAQ,EAAE,EAAE,CAAC,EAAE,EAAE,EAAE,CAAC,yBAAyB,CAAC,EAAE,CAAC,CAAC,CAAC,CAAC;IAC7F,MAAM,QAAQ,GAAG,oBAAoB,CAAC,GAAG,EAAE,KAAK,EAAE;QAChD,QAAQ,EAAE,IAAI,CAAC,QAAQ;QACvB,aAAa,EAAE,IAAI,CAAC,aAAa;KAClC,CAAC,CAAC;IAEH,IAAI,CAAC,QAAQ,CAAC,SAAS,EAAE,CAAC;QACxB,MAAM,MAAM,GAAG,MAAM,WAAW,CAAC,EAAE,EAAE,EAAE,QAAQ,EAAE,EAAE,CAAC,EAAE,EAAE,EAAE,CACxD,YAAY,CAAC,EAAE,EAAE,QAAQ,EAAE,GAAG,EAAE,QAAQ,EAAE;YACxC,MAAM,EAAE,SAAS;YACjB,SAAS,EAAE,CAAC;YACZ,cAAc,EAAE,KAAK;SACtB,CAAC,CACH,CAAC;QACF,OAAO,EAAE,MAAM,EAAE,MAAM,EAAE,IAAI,EAAE,QAAQ,EAAE,CAAC;IAC5C,CAAC;IAED,IAAI,SAAS,GAAG,CAAC,CAAC;IAClB,IAAI,UAAU,GAAkB,IAAI,CAAC;IACrC,IAAI,CAAC;QACH,OAAO,MAAM,WAAW,CAAC,EAAE,EAAE,EAAE,QAAQ,EAAE,EAAE,KAAK,EAAE,EAAE,EAAE,EAAE;YACtD,MAAM,CAAC,GAAG,CAAC,GAAG,MAAM,EAAE,CAAkD;6EACD,GAAG,CAAC,IAAI;OAC9E,CAAC;YACF,IAAI,GAAG,IAAI,GAAG,CAAC,gBAAgB,GAAG,oBAAoB,EAAE,CAAC;gBACvD,0EAA0E;gBAC1E,yDAAyD;gBACzD,MAAM,KAAK,GAAG,oBAAoB,CAAC,GAAG,EAAE;oBACtC,MAAM,EAAE,QAAQ;oBAChB,MAAM,EAAE,+BAA+B,GAAG,CAAC,gBAAgB,iBAAiB,oBAAoB,EAAE;iBACnG,CAAC,CAAC;gBACH,MAAM,MAAM,GAAG,MAAM,YAAY,CAAC,EAAE,EAAE,QAAQ,EAAE,GAAG,EAAE,KAAK,EAAE;oBAC1D,MAAM,EAAE,SAAS;oBACjB,SAAS,EAAE,CAAC;oBACZ,cAAc,EAAE,KAAK;iBACtB,CAAC,CAAC;gBACH,OAAO,EAAE,MAAM,EAAE,MAAM,EAAE,IAAI,EAAE,QAAQ,EAAE,KAAK,EAAE,CAAC;YACnD,CAAC;YAED,MAAM,GAAG,GAAsB;gBAC7B,QAAQ;gBACR,MAAM,EAAE,GAAG,EAAE,QAAQ,IAAI,IAAI;gBAC7B,cAAc,EAAE,CAAC,CAAC,GAAG,CAAC,EAAE,EAAE;oBACxB,SAAS,IAAI,CAAC,CAAC;gBACjB,CAAC;gBACD,eAAe,EAAE,CAAC,QAAgB,EAAE,EAAE;oBACpC,UAAU,GAAG,QAAQ,CAAC;gBACxB,CAAC;aACF,CAAC;YAEF,MAAM,MAAM,GAAG,MAAM,OAAO,CAAC,EAAE,EAAE,GAAG,CAAC,CAAC;YAEtC,IAAI,UAAU,KAAK,IAAI,EAAE,CAAC;gBACxB,MAAM,EAAE,CAAA;;oBAEI,MAAM,EAAE,KAAK,QAAQ,KAAK,GAAG,CAAC,IAAI,KAAK,UAAU;oBACjD,QAAQ,CAAC,eAAe,IAAI,oBAAoB;;;;;SAK3D,CAAC;YACJ,CAAC;YAED,MAAM,MAAM,GAAG,MAAM,YAAY,CAAC,EAAE,EAAE,QAAQ,EAAE,GAAG,EAAE,QAAQ,EAAE;gBAC7D,MAAM,EAAE,WAAW;gBACnB,SAAS;gBACT,cAAc,EAAE,UAAU,KAAK,IAAI;aACpC,CAAC,CAAC;YACH,OAAO,EAAE,MAAM,EAAE,MAAM,EAAE,QAAQ,EAAE,CAAC;QACtC,CAAC,CAAC,CAAC;IACL,CAAC;IAAC,OAAO,GAAG,EAAE,CAAC;QACb,yEAAyE;QACzE,0EAA0E;QAC1E,0EAA0E;QAC1E,EAAE;QACF,0EAA0E;QAC1E,sEAAsE;QACtE,uDAAuD;QACvD,IAAI,MAAoB,CAAC;QACzB,IAAI,CAAC;YACH,MAAM,GAAG,MAAM,WAAW,CAAC,EAAE,EAAE,EAAE,QAAQ,EAAE,EAAE,CAAC,EAAE,EAAE,EAAE,CAClD,YAAY,CACV,EAAE,EACF,QAAQ,EACR,GAAG,EACH,EAAE,GAAG,QAAQ,EAAE,MAAM,EAAE,eAAe,CAAC,GAAG,CAAC,EAAE,EAC7C,EAAE,MAAM,EAAE,QAAQ,EAAE,SAAS,EAAE,CAAC,EAAE,cAAc,EAAE,KAAK,EAAE,CAC1D,CACF,CAAC;QACJ,CAAC;QAAC,MAAM,CAAC;YACP,MAAM,GAAG,CAAC;QACZ,CAAC;QACD,OAAO,EAAE,MAAM,EAAE,MAAM,EAAE,IAAI,EAAE,QAAQ,EAAE,CAAC;IAC5C,CAAC;AACH,CAAC;AAED,yEAAyE;AACzE,SAAS,eAAe,CAAC,GAAY;IACnC,MAAM,IAAI,GAAI,GAAgC,EAAE,IAAI,CAAC;IACrD,MAAM,IAAI,GAAG,GAAG,YAAY,KAAK,CAAC,CAAC,CAAC,GAAG,CAAC,IAAI,CAAC,CAAC,CAAC,MAAM,CAAC;IACtD,OAAO,IAAI,CAAC,CAAC,CAAC,GAAG,IAAI,cAAc,IAAI,GAAG,CAAC,CAAC,CAAC,IAAI,CAAC;AACpD,CAAC;AAED;;;;;;;;;GASG;AACH,MAAM,CAAC,KAAK,UAAU,YAAY,CAChC,EAAM,EACN,QAAgB,EAChB,GAAkB,EAClB,QAAqB,EACrB,OAIC;IAED,MAAM,EAAE,GAAG,MAAM,EAAE,CAAC;IACpB,MAAM,EAAE,CAAA;;;;;;QAMF,EAAE,KAAK,QAAQ,KAAK,GAAG,CAAC,IAAI,KAAK,GAAG,CAAC,OAAO,KAAK,QAAQ,CAAC,SAAS,KAAK,OAAO,CAAC,MAAM;QACtF,QAAQ,CAAC,eAAe,KAAK,CAAC,GAAG,GAAG,CAAC,QAAQ,CAAC,KAAK,CAAC,GAAG,QAAQ,CAAC,QAAQ,CAAC;QACzE,CAAC,GAAG,QAAQ,CAAC,OAAO,CAAC,KAAK,OAAO,CAAC,SAAS,KAAK,OAAO,CAAC,cAAc;QACtE,QAAQ,CAAC,MAAM;;GAEpB,CAAC;IACF,OAAO;QACL,EAAE;QACF,SAAS,EAAE,QAAQ,CAAC,SAAS;QAC7B,MAAM,EAAE,OAAO,CAAC,MAAM;QACtB,SAAS,EAAE,OAAO,CAAC,SAAS;QAC5B,cAAc,EAAE,OAAO,CAAC,cAAc;QACtC,MAAM,EAAE,QAAQ,CAAC,MAAM;KACxB,CAAC;AACJ,CAAC;AAED;;;;;;;;;;;;;;;GAeG;AACH,MAAM,CAAC,KAAK,UAAU,sBAAsB,CAC1C,EAAM,EACN,QAAgB,EAChB,GAAkB,EAClB,QAAqB,EACrB,OAIC;IAED,IAAI,CAAC;QACH,MAAM,WAAW,CAAC,EAAE,EAAE,EAAE,QAAQ,EAAE,EAAE,CAAC,EAAE,EAAE,EAAE,CAAC,YAAY,CAAC,EAAE,EAAE,QAAQ,EAAE,GAAG,EAAE,QAAQ,EAAE,OAAO,CAAC,CAAC,CAAC;QAChG,OAAO,IAAI,CAAC;IACd,CAAC;IAAC,OAAO,GAAG,EAAE,CAAC;QACb,MAAM,IAAI,GAAI,GAAgC,EAAE,IAAI,CAAC;QACrD,IAAI,IAAI,IAAI,oBAAoB,CAAC,GAAG,CAAC,IAAI,CAAC;YAAE,OAAO,KAAK,CAAC;QACzD,MAAM,GAAG,CAAC;IACZ,CAAC;AACH,CAAC;AAED;;;;;GAKG;AACH,MAAM,CAAC,MAAM,oBAAoB,GAAkB;IACjD,IAAI,EAAE,kBAAkB;IACxB,OAAO,EAAE,CAAC;IACV,QAAQ,EAAE,CAAC,4BAA4B,CAAC;IACxC,kBAAkB,EAAE,CAAC;CACtB,CAAC;AAEF,MAAM,CAAC,MAAM,gBAAgB,GAAkB;IAC7C,IAAI,EAAE,oBAAoB;IAC1B,OAAO,EAAE,CAAC;IACV,QAAQ,EAAE,CAAC,8BAA8B,CAAC;IAC1C,kBAAkB,EAAE,CAAC;CACtB,CAAC;AAEF;;;;;;;;;;;;GAYG;AACH,MAAM,CAAC,MAAM,eAAe,GAAkB;IAC5C,IAAI,EAAE,aAAa;IACnB,kFAAkF;IAClF,gFAAgF;IAChF,4EAA4E;IAC5E,2EAA2E;IAC3E,2DAA2D;IAC3D,OAAO,EAAE,CAAC;IACV,8EAA8E;IAC9E,8EAA8E;IAC9E,0EAA0E;IAC1E,0EAA0E;IAC1E,6EAA6E;IAC7E,+DAA+D;IAC/D,QAAQ,EAAE;QACR,4BAA4B;QAC5B,8BAA8B;QAC9B,mCAAmC;KACpC;IACD,kBAAkB,EAAE,CAAC;CACtB,CAAC;AAEF,MAAM,CAAC,MAAM,UAAU,GAA6B;IAClD,oBAAoB;IACpB,gBAAgB;IAChB,eAAe;CAChB,CAAC"}

package/dist/rbac/catalog.d.ts.map

@@ -1 +1 @@
-{"version":3,"file":"catalog.d.ts","sourceRoot":"","sources":["../../src/rbac/catalog.ts"],"names":[],"mappings":"AAAA;;;;GAIG;AAEH,MAAM,WAAW,aAAa;IAC5B,GAAG,EAAE,MAAM,CAAC;IACZ,QAAQ,EAAE,MAAM,CAAC;IACjB,MAAM,EAAE,MAAM,CAAC;IACf,WAAW,EAAE,MAAM,CAAC;CACrB;AAED,eAAO,MAAM,WAAW,EAAE,SAAS,aAAa,EAkW/C,CAAC;AAEF,eAAO,MAAM,mBAAmB,EAAE,SAAS,MAAM,EAAkC,CAAC;AAEpF,MAAM,WAAW,OAAO;IACtB,GAAG,EAAE,MAAM,CAAC;IACZ,IAAI,EAAE,MAAM,CAAC;IACb,WAAW,EAAE,SAAS,MAAM,EAAE,CAAC;CAChC;AAID,mFAAmF;AACnF,eAAO,MAAM,YAAY,EAAE,SAAS,OAAO,EAyJ1C,CAAC"}
+{"version":3,"file":"catalog.d.ts","sourceRoot":"","sources":["../../src/rbac/catalog.ts"],"names":[],"mappings":"AAAA;;;;GAIG;AAEH,MAAM,WAAW,aAAa;IAC5B,GAAG,EAAE,MAAM,CAAC;IACZ,QAAQ,EAAE,MAAM,CAAC;IACjB,MAAM,EAAE,MAAM,CAAC;IACf,WAAW,EAAE,MAAM,CAAC;CACrB;AAED,eAAO,MAAM,WAAW,EAAE,SAAS,aAAa,EAkW/C,CAAC;AAEF,eAAO,MAAM,mBAAmB,EAAE,SAAS,MAAM,EAAkC,CAAC;AAEpF,MAAM,WAAW,OAAO;IACtB,GAAG,EAAE,MAAM,CAAC;IACZ,IAAI,EAAE,MAAM,CAAC;IACb,WAAW,EAAE,SAAS,MAAM,EAAE,CAAC;CAChC;AAID,mFAAmF;AACnF,eAAO,MAAM,YAAY,EAAE,SAAS,OAAO,EA2L1C,CAAC"}