@baruk/core 0.4.2 → 0.6.0

package/dist/cjs/fiscal/credentials/inspect.js.map

@@ -0,0 +1 @@
+{"version":3,"file":"inspect.js","sourceRoot":"","sources":["../../../../src/fiscal/credentials/inspect.ts"],"names":[],"mappings":";;AAiHA,sCA4BC;AA+HD,sCAQC;AApRD,uCAAmE;AACnE,6CAA8C;AA+E9C;;;;;;;;GAQG;AACH,MAAM,mBAAmB,GAAG,MAAM,CAAC,IAAI,CAAC,CAAC,IAAI,EAAE,IAAI,EAAE,IAAI,EAAE,IAAI,EAAE,IAAI,EAAE,IAAI,EAAE,IAAI,CAAC,CAAC,CAAC;AACpF,+FAA+F;AAC/F,MAAM,gBAAgB,GAAG,EAAE,CAAC;AAE5B;;;;;;GAMG;AACH;;;;;;;;;;;;GAYG;AACI,KAAK,UAAU,aAAa,CACjC,GAAW,EACX,UAA8B;IAE9B,IAAI,GAAG,CAAC,UAAU,KAAK,CAAC;QAAE,OAAO,EAAE,MAAM,EAAE,QAAQ,EAAE,MAAM,EAAE,oBAAoB,EAAE,CAAC;IAEpF,4EAA4E;IAC5E,gDAAgD;IAChD,IAAI,OAAsB,CAAC;IAC3B,IAAI,CAAC;QACH,OAAO,GAAG,IAAA,8BAAmB,EAAC,EAAE,GAAG,EAAE,UAAU,EAAE,UAAU,EAAE,SAAS,EAAE,CAAC,CAAC;IAC5E,CAAC;IAAC,OAAO,GAAG,EAAE,CAAC;QACb,OAAO,EAAE,MAAM,EAAE,QAAQ,EAAE,MAAM,EAAE,QAAQ,CAAC,GAAG,CAAC,EAAE,CAAC;IACrD,CAAC;IAED,IAAI,GAAkB,CAAC;IACvB,IAAI,CAAC;QACH,GAAG,GAAG,kBAAkB,CAAC,OAAO,CAAC,CAAC;IACpC,CAAC;IAAC,OAAO,GAAG,EAAE,CAAC;QACb,OAAO,EAAE,MAAM,EAAE,QAAQ,EAAE,MAAM,EAAE,QAAQ,CAAC,GAAG,CAAC,EAAE,CAAC;IACrD,CAAC;IACD,IAAI,CAAC,GAAG,IAAI,GAAG,CAAC,UAAU,KAAK,CAAC;QAAE,OAAO,EAAE,MAAM,EAAE,QAAQ,EAAE,MAAM,EAAE,mBAAmB,EAAE,CAAC;IAE3F,IAAI,CAAC;QACH,OAAO,EAAE,MAAM,EAAE,IAAI,EAAE,KAAK,EAAE,SAAS,CAAC,IAAI,6BAAe,CAAC,GAAG,CAAC,CAAC,EAAE,CAAC;IACtE,CAAC;IAAC,OAAO,GAAG,EAAE,CAAC;QACb,OAAO,EAAE,MAAM,EAAE,QAAQ,EAAE,MAAM,EAAE,QAAQ,CAAC,GAAG,CAAC,EAAE,CAAC;IACrD,CAAC;AACH,CAAC;AAED;;;;;;;;;;;;GAYG;AACH,SAAS,kBAAkB,CAAC,OAAsB;IAChD,MAAM,MAAM,GAAI,OAAuE,CAAC,OAAO,CAAC;IAChG,MAAM,GAAG,GAAG,MAAM,EAAE,cAAc,EAAE,EAAE,CAAC;IACvC,OAAO,MAAM,CAAC,QAAQ,CAAC,GAAG,CAAC,CAAC,CAAC,CAAC,GAAG,CAAC,CAAC,CAAC,IAAI,CAAC;AAC3C,CAAC;AAED,SAAS,SAAS,CAAC,IAAqB;IACtC,MAAM,OAAO,GAAG,IAAI,IAAI,CAAC,IAAI,CAAC,OAAO,CAAC,CAAC;IACvC,OAAO;QACL,iBAAiB,EAAE,IAAI,CAAC,cAAc,CAAC,OAAO,CAAC,IAAI,EAAE,EAAE,CAAC,CAAC,WAAW,EAAE;QACtE,iBAAiB,EAAE,UAAU,CAAC,IAAI,CAAC,OAAO,CAAC;QAC3C,gBAAgB,EAAE,UAAU,CAAC,IAAI,CAAC,MAAM,CAAC;QACzC,UAAU,EAAE,IAAI,CAAC,YAAY,CAAC,CAAC,CAAC,IAAI,CAAC,YAAY,CAAC,KAAK,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,IAAI;QAClE,SAAS,EAAE,IAAI,IAAI,CAAC,IAAI,CAAC,SAAS,CAAC,CAAC,WAAW,EAAE;QACjD,OAAO,EAAE,OAAO,CAAC,WAAW,EAAE;QAC9B,OAAO,EAAE,OAAO,CAAC,OAAO,EAAE,IAAI,IAAI,CAAC,GAAG,EAAE;QACxC,QAAQ,EAAE,YAAY,CAAC,IAAI,CAAC;KAC7B,CAAC;AACJ,CAAC;AAED,uEAAuE;AACvE,SAAS,UAAU,CAAC,EAAsB;IACxC,IAAI,CAAC,EAAE;QAAE,OAAO,IAAI,CAAC;IACrB,KAAK,MAAM,IAAI,IAAI,EAAE,CAAC,KAAK,CAAC,IAAI,CAAC,EAAE,CAAC;QAClC,MAAM,CAAC,GAAG,wBAAwB,CAAC,IAAI,CAAC,IAAI,CAAC,CAAC;QAC9C,IAAI,CAAC,EAAE,CAAC,CAAC,CAAC;YAAE,OAAO,CAAC,CAAC,CAAC,CAAC,CAAC;IAC1B,CAAC;IACD,OAAO,IAAI,CAAC;AACd,CAAC;AAED;;;;;;;;;;;;;;GAcG;AACH,SAAS,YAAY,CAAC,IAAqB;IACzC,MAAM,OAAO,GAAG,eAAe,CAAC,IAAI,CAAC,GAAG,CAAC,CAAC;IAC1C,IAAI,OAAO;QAAE,OAAO,OAAO,CAAC;IAE5B,MAAM,EAAE,GAAG,UAAU,CAAC,IAAI,CAAC,OAAO,CAAC,CAAC;IACpC,MAAM,CAAC,GAAG,EAAE,CAAC,CAAC,CAAC,sBAAsB,CAAC,IAAI,CAAC,EAAE,CAAC,CAAC,CAAC,CAAC,IAAI,CAAC;IACtD,OAAO,CAAC,EAAE,CAAC,CAAC,CAAC,IAAI,IAAI,CAAC;AACxB,CAAC;AAED,SAAS,eAAe,CAAC,GAAW;IAClC,IAAI,IAAI,GAAG,CAAC,CAAC;IACb,SAAS,CAAC;QACR,MAAM,EAAE,GAAG,GAAG,CAAC,OAAO,CAAC,mBAAmB,EAAE,IAAI,CAAC,CAAC;QAClD,IAAI,EAAE,GAAG,CAAC;YAAE,OAAO,IAAI,CAAC;QACxB,MAAM,MAAM,GAAG,GAAG;aACf,QAAQ,CAAC,EAAE,GAAG,mBAAmB,CAAC,MAAM,EAAE,EAAE,GAAG,mBAAmB,CAAC,MAAM,GAAG,gBAAgB,CAAC;aAC7F,QAAQ,CAAC,QAAQ,CAAC,CAAC;QACtB,MAAM,MAAM,GAAG,UAAU,CAAC,IAAI,CAAC,MAAM,CAAC,CAAC;QACvC,IAAI,MAAM,EAAE,CAAC,CAAC,CAAC;YAAE,OAAO,MAAM,CAAC,CAAC,CAAC,CAAC;QAClC,IAAI,GAAG,EAAE,GAAG,CAAC,CAAC;IAChB,CAAC;AACH,CAAC;AAED;;;;;;GAMG;AACH,SAAS,QAAQ,CAAC,GAAY;IAC5B,MAAM,GAAG,GAAG,GAAG,YAAY,KAAK,CAAC,CAAC,CAAC,GAAG,CAAC,OAAO,CAAC,CAAC,CAAC,EAAE,CAAC;IACpD,MAAM,OAAO,GAAG,GAAG,CAAC,WAAW,EAAE,CAAC;IAClC,IAAI,OAAO,CAAC,QAAQ,CAAC,oBAAoB,CAAC,IAAI,OAAO,CAAC,QAAQ,CAAC,kBAAkB,CAAC,EAAE,CAAC;QACnF,OAAO,gBAAgB,CAAC;IAC1B,CAAC;IACD,IACE,OAAO,CAAC,QAAQ,CAAC,iBAAiB,CAAC;QACnC,OAAO,CAAC,QAAQ,CAAC,WAAW,CAAC;QAC7B,OAAO,CAAC,QAAQ,CAAC,iBAAiB,CAAC;QACnC,OAAO,CAAC,QAAQ,CAAC,aAAa,CAAC;QAC/B,OAAO,CAAC,QAAQ,CAAC,MAAM,CAAC,EACxB,CAAC;QACD,OAAO,oBAAoB,CAAC;IAC9B,CAAC;IACD,IAAI,OAAO,CAAC,QAAQ,CAAC,aAAa,CAAC,IAAI,OAAO,CAAC,QAAQ,CAAC,gBAAgB,CAAC,EAAE,CAAC;QAC1E,OAAO,sBAAsB,CAAC;IAChC,CAAC;IACD,OAAO,mBAAmB,CAAC;AAC7B,CAAC;AAkBD,SAAgB,aAAa,CAC3B,mBAAkC,EAClC,cAAyC;IAEzC,MAAM,CAAC,GAAG,UAAU,CAAC,mBAAmB,CAAC,CAAC;IAC1C,MAAM,CAAC,GAAG,UAAU,CAAC,cAAc,CAAC,CAAC;IACrC,IAAI,CAAC,CAAC,IAAI,CAAC,CAAC;QAAE,OAAO,eAAe,CAAC;IACrC,OAAO,CAAC,KAAK,CAAC,CAAC,CAAC,CAAC,OAAO,CAAC,CAAC,CAAC,UAAU,CAAC;AACxC,CAAC;AAED,SAAS,UAAU,CAAC,CAA4B;IAC9C,OAAO,CAAC,CAAC,IAAI,EAAE,CAAC,CAAC,OAAO,CAAC,KAAK,EAAE,EAAE,CAAC,CAAC;AACtC,CAAC"}

package/dist/cjs/fiscal/credentials/material.js

@@ -0,0 +1,168 @@
+"use strict";
+Object.defineProperty(exports, "__esModule", { value: true });
+exports.buildTlsMaterial = buildTlsMaterial;
+exports.loadFiscalTlsMaterial = loadFiscalTlsMaterial;
+const node_crypto_1 = require("node:crypto");
+const repository_js_1 = require("../../vault/repository.js");
+const secret_boundary_js_1 = require("../sync/secret-boundary.js");
+/**
+ * Constrói o material a partir do envelope decifrado.
+ *
+ * Separado da leitura do banco de propósito: é esta função que o teste
+ * exercita com um PKCS#12 sintético, sem precisar de cofre nem de tenant.
+ */
+function buildTlsMaterial(raw) {
+    let envelope;
+    try {
+        envelope = JSON.parse(raw);
+    }
+    catch {
+        // Sem `err.message`: um JSON malformado costuma vir citado inteiro na
+        // exceção, e o "JSON malformado" aqui é um certificado.
+        return { status: 'unavailable', reason: 'envelope_unreadable' };
+    }
+    if (!envelope || typeof envelope !== 'object' || !('format' in envelope)) {
+        return { status: 'unavailable', reason: 'envelope_unreadable' };
+    }
+    try {
+        if (envelope.format === 'pkcs12') {
+            if (typeof envelope.material !== 'string' || envelope.material === '') {
+                return { status: 'unavailable', reason: 'envelope_unreadable' };
+            }
+            const pfx = Buffer.from(envelope.material, 'base64');
+            if (pfx.byteLength === 0)
+                return { status: 'unavailable', reason: 'envelope_unreadable' };
+            return { status: 'ok', material: sealed({ pfx, passphrase: envelope.passphrase }) };
+        }
+        if (envelope.format === 'pem') {
+            if (typeof envelope.cert !== 'string' || typeof envelope.key !== 'string') {
+                return { status: 'unavailable', reason: 'envelope_unreadable' };
+            }
+            const cert = Buffer.from(envelope.cert, 'base64');
+            const key = Buffer.from(envelope.key, 'base64');
+            const ca = (envelope.ca ?? []).map((c) => Buffer.from(c, 'base64'));
+            if (cert.byteLength === 0 || key.byteLength === 0) {
+                return { status: 'unavailable', reason: 'envelope_unreadable' };
+            }
+            return { status: 'ok', material: sealed({ cert, key, ca }) };
+        }
+    }
+    catch {
+        return { status: 'unavailable', reason: 'envelope_unreadable' };
+    }
+    return { status: 'unavailable', reason: 'unsupported_format' };
+}
+/**
+ * Embrulha os buffers com a impressão digital e com o descarte.
+ *
+ * A impressão é do material APRESENTADO (o `.pfx` ou o `cert`), nunca da chave
+ * privada: identificar qual certificado foi usado não deve exigir tocar no
+ * segredo, nem sequer para calcular um hash.
+ */
+function sealed(parts) {
+    const identity = parts.pfx ?? parts.cert ?? Buffer.alloc(0);
+    const fingerprintSha256 = (0, node_crypto_1.createHash)('sha256').update(identity).digest('hex');
+    let disposed = false;
+    return {
+        ...(parts.pfx ? { pfx: parts.pfx } : {}),
+        ...(parts.passphrase ? { passphrase: parts.passphrase } : {}),
+        ...(parts.cert ? { cert: parts.cert } : {}),
+        ...(parts.key ? { key: parts.key } : {}),
+        ...(parts.ca && parts.ca.length > 0 ? { ca: parts.ca } : {}),
+        fingerprintSha256,
+        dispose() {
+            if (disposed)
+                return;
+            disposed = true;
+            // Zerar não é cerimônia: o Buffer sobrevive no heap até o GC passar, e um
+            // heap dump de produção é um arquivo que alguém abre e guarda.
+            parts.pfx?.fill(0);
+            parts.cert?.fill(0);
+            parts.key?.fill(0);
+            for (const c of parts.ca ?? [])
+                c.fill(0);
+        },
+    };
+}
+/**
+ * Busca o material do certificado de um cliente.
+ *
+ * O ponteiro vem de `digital_certificate.vault_credential_id` — o MESMO domínio
+ * que a prontidão lê, e não uma segunda tabela de credencial fiscal. Duas
+ * origens para o mesmo fato divergiriam na primeira atualização de uma só.
+ *
+ * NUNCA lança por ausência: um cliente sem certificado é estado normal, e uma
+ * exceção aqui derrubaria o worker no meio da carteira por causa do primeiro
+ * cliente não configurado.
+ *
+ * ## O `authorization` não é decoração
+ *
+ * Esta é a única porta do produto para material de certificado, e ela agora
+ * EXIGE o passe que o orquestrador emite depois do último portão. Um chamador
+ * que tente abrir o cofre antes disso — para "só conferir se o certificado
+ * abre", que é sempre como começa — recebe `FiscalSecretBoundaryError` em vez de
+ * uma chave privada. Ver `sync/secret-boundary.ts`.
+ *
+ * A checagem lança ANTES do primeiro `SELECT`: nem a existência do ponteiro é
+ * revelada a quem não passou pelos portões.
+ */
+async function loadFiscalTlsMaterial(tx, keyring, tenantId, input) {
+    (0, secret_boundary_js_1.assertFiscalSecretAccess)(input.authorization, 'loadFiscalTlsMaterial');
+    /*
+     * O passe é AUTÊNTICO — mas para quem?
+     *
+     * `assertFiscalSecretAccess` responde "esta autorização saiu dos portões", e
+     * não "esta autorização é DESTE cliente". A diferença abre um caso que a RLS
+     * não fecha: dentro do MESMO escritório, um passe emitido para o cliente X
+     * abriria o certificado do cliente Y, porque a política de tenant considera as
+     * duas linhas visíveis. É o `WHERE client_id = ...` abaixo que escolhe a
+     * linha, e ele obedece ao parâmetro, não ao passe.
+     *
+     * Hoje o orquestrador emite e usa o passe no mesmo par (tenant, cliente), de
+     * modo que o caso não ocorre. Mas é exatamente esse tipo de invariante — "quem
+     * chama sempre passa os mesmos valores" — que um refactor quebra em silêncio,
+     * e o módulo inteiro da fronteira existe porque convenção não é portão.
+     *
+     * A checagem é de ESCOPO, e vem antes de qualquer consulta: um passe fora do
+     * seu escopo não chega nem a saber se existe certificado do outro lado.
+     */
+    if (input.authorization.tenantId !== tenantId ||
+        input.authorization.clientId !== input.clientId) {
+        throw new secret_boundary_js_1.FiscalSecretBoundaryError('loadFiscalTlsMaterial:scope');
+    }
+    const certType = input.kind === 'certificate_a3' ? 'A3' : 'A1';
+    let rows;
+    try {
+        rows = await tx `
+      SELECT vault_credential_id
+        FROM digital_certificate
+       WHERE client_id = ${input.clientId}
+         AND cert_type = ${certType}
+         AND deleted_at IS NULL
+       ORDER BY expires_at DESC
+       LIMIT 1
+    `;
+    }
+    catch (err) {
+        const code = err?.code;
+        if (code === '42P01' || code === '42703') {
+            return { status: 'unavailable', reason: 'no_credential' };
+        }
+        throw err;
+    }
+    const pointer = rows[0]?.vault_credential_id;
+    if (!pointer)
+        return { status: 'unavailable', reason: 'no_credential' };
+    let secret;
+    try {
+        ({ secret } = await (0, repository_js_1.revealWriteOnlySecretForProcess)(tx, keyring, tenantId, pointer));
+    }
+    catch {
+        // Ponteiro pendurado, chave de cifra ausente, linha invisível sob RLS: os
+        // três colapsam em "não deu para abrir", e diferenciá-los aqui vazaria a
+        // existência de um registro que a RLS já respondeu como ausente.
+        return { status: 'unavailable', reason: 'vault_unavailable' };
+    }
+    return buildTlsMaterial(secret);
+}
+//# sourceMappingURL=material.js.map

package/dist/cjs/fiscal/credentials/material.js.map

@@ -0,0 +1 @@
+{"version":3,"file":"material.js","sourceRoot":"","sources":["../../../../src/fiscal/credentials/material.ts"],"names":[],"mappings":";;AAwEA,4CAsCC;AA8DD,sDAsEC;AAlPD,6CAAyC;AAGzC,6DAA4E;AAG5E,mEAIoC;AAwDpC;;;;;GAKG;AACH,SAAgB,gBAAgB,CAAC,GAAW;IAC1C,IAAI,QAA6B,CAAC;IAClC,IAAI,CAAC;QACH,QAAQ,GAAG,IAAI,CAAC,KAAK,CAAC,GAAG,CAAwB,CAAC;IACpD,CAAC;IAAC,MAAM,CAAC;QACP,sEAAsE;QACtE,wDAAwD;QACxD,OAAO,EAAE,MAAM,EAAE,aAAa,EAAE,MAAM,EAAE,qBAAqB,EAAE,CAAC;IAClE,CAAC;IACD,IAAI,CAAC,QAAQ,IAAI,OAAO,QAAQ,KAAK,QAAQ,IAAI,CAAC,CAAC,QAAQ,IAAI,QAAQ,CAAC,EAAE,CAAC;QACzE,OAAO,EAAE,MAAM,EAAE,aAAa,EAAE,MAAM,EAAE,qBAAqB,EAAE,CAAC;IAClE,CAAC;IAED,IAAI,CAAC;QACH,IAAI,QAAQ,CAAC,MAAM,KAAK,QAAQ,EAAE,CAAC;YACjC,IAAI,OAAO,QAAQ,CAAC,QAAQ,KAAK,QAAQ,IAAI,QAAQ,CAAC,QAAQ,KAAK,EAAE,EAAE,CAAC;gBACtE,OAAO,EAAE,MAAM,EAAE,aAAa,EAAE,MAAM,EAAE,qBAAqB,EAAE,CAAC;YAClE,CAAC;YACD,MAAM,GAAG,GAAG,MAAM,CAAC,IAAI,CAAC,QAAQ,CAAC,QAAQ,EAAE,QAAQ,CAAC,CAAC;YACrD,IAAI,GAAG,CAAC,UAAU,KAAK,CAAC;gBAAE,OAAO,EAAE,MAAM,EAAE,aAAa,EAAE,MAAM,EAAE,qBAAqB,EAAE,CAAC;YAC1F,OAAO,EAAE,MAAM,EAAE,IAAI,EAAE,QAAQ,EAAE,MAAM,CAAC,EAAE,GAAG,EAAE,UAAU,EAAE,QAAQ,CAAC,UAAU,EAAE,CAAC,EAAE,CAAC;QACtF,CAAC;QACD,IAAI,QAAQ,CAAC,MAAM,KAAK,KAAK,EAAE,CAAC;YAC9B,IAAI,OAAO,QAAQ,CAAC,IAAI,KAAK,QAAQ,IAAI,OAAO,QAAQ,CAAC,GAAG,KAAK,QAAQ,EAAE,CAAC;gBAC1E,OAAO,EAAE,MAAM,EAAE,aAAa,EAAE,MAAM,EAAE,qBAAqB,EAAE,CAAC;YAClE,CAAC;YACD,MAAM,IAAI,GAAG,MAAM,CAAC,IAAI,CAAC,QAAQ,CAAC,IAAI,EAAE,QAAQ,CAAC,CAAC;YAClD,MAAM,GAAG,GAAG,MAAM,CAAC,IAAI,CAAC,QAAQ,CAAC,GAAG,EAAE,QAAQ,CAAC,CAAC;YAChD,MAAM,EAAE,GAAG,CAAC,QAAQ,CAAC,EAAE,IAAI,EAAE,CAAC,CAAC,GAAG,CAAC,CAAC,CAAC,EAAE,EAAE,CAAC,MAAM,CAAC,IAAI,CAAC,CAAC,EAAE,QAAQ,CAAC,CAAC,CAAC;YACpE,IAAI,IAAI,CAAC,UAAU,KAAK,CAAC,IAAI,GAAG,CAAC,UAAU,KAAK,CAAC,EAAE,CAAC;gBAClD,OAAO,EAAE,MAAM,EAAE,aAAa,EAAE,MAAM,EAAE,qBAAqB,EAAE,CAAC;YAClE,CAAC;YACD,OAAO,EAAE,MAAM,EAAE,IAAI,EAAE,QAAQ,EAAE,MAAM,CAAC,EAAE,IAAI,EAAE,GAAG,EAAE,EAAE,EAAE,CAAC,EAAE,CAAC;QAC/D,CAAC;IACH,CAAC;IAAC,MAAM,CAAC;QACP,OAAO,EAAE,MAAM,EAAE,aAAa,EAAE,MAAM,EAAE,qBAAqB,EAAE,CAAC;IAClE,CAAC;IACD,OAAO,EAAE,MAAM,EAAE,aAAa,EAAE,MAAM,EAAE,oBAAoB,EAAE,CAAC;AACjE,CAAC;AAED;;;;;;GAMG;AACH,SAAS,MAAM,CAAC,KAMf;IACC,MAAM,QAAQ,GAAG,KAAK,CAAC,GAAG,IAAI,KAAK,CAAC,IAAI,IAAI,MAAM,CAAC,KAAK,CAAC,CAAC,CAAC,CAAC;IAC5D,MAAM,iBAAiB,GAAG,IAAA,wBAAU,EAAC,QAAQ,CAAC,CAAC,MAAM,CAAC,QAAQ,CAAC,CAAC,MAAM,CAAC,KAAK,CAAC,CAAC;IAC9E,IAAI,QAAQ,GAAG,KAAK,CAAC;IAErB,OAAO;QACL,GAAG,CAAC,KAAK,CAAC,GAAG,CAAC,CAAC,CAAC,EAAE,GAAG,EAAE,KAAK,CAAC,GAAG,EAAE,CAAC,CAAC,CAAC,EAAE,CAAC;QACxC,GAAG,CAAC,KAAK,CAAC,UAAU,CAAC,CAAC,CAAC,EAAE,UAAU,EAAE,KAAK,CAAC,UAAU,EAAE,CAAC,CAAC,CAAC,EAAE,CAAC;QAC7D,GAAG,CAAC,KAAK,CAAC,IAAI,CAAC,CAAC,CAAC,EAAE,IAAI,EAAE,KAAK,CAAC,IAAI,EAAE,CAAC,CAAC,CAAC,EAAE,CAAC;QAC3C,GAAG,CAAC,KAAK,CAAC,GAAG,CAAC,CAAC,CAAC,EAAE,GAAG,EAAE,KAAK,CAAC,GAAG,EAAE,CAAC,CAAC,CAAC,EAAE,CAAC;QACxC,GAAG,CAAC,KAAK,CAAC,EAAE,IAAI,KAAK,CAAC,EAAE,CAAC,MAAM,GAAG,CAAC,CAAC,CAAC,CAAC,EAAE,EAAE,EAAE,KAAK,CAAC,EAAE,EAAE,CAAC,CAAC,CAAC,EAAE,CAAC;QAC5D,iBAAiB;QACjB,OAAO;YACL,IAAI,QAAQ;gBAAE,OAAO;YACrB,QAAQ,GAAG,IAAI,CAAC;YAChB,0EAA0E;YAC1E,+DAA+D;YAC/D,KAAK,CAAC,GAAG,EAAE,IAAI,CAAC,CAAC,CAAC,CAAC;YACnB,KAAK,CAAC,IAAI,EAAE,IAAI,CAAC,CAAC,CAAC,CAAC;YACpB,KAAK,CAAC,GAAG,EAAE,IAAI,CAAC,CAAC,CAAC,CAAC;YACnB,KAAK,MAAM,CAAC,IAAI,KAAK,CAAC,EAAE,IAAI,EAAE;gBAAE,CAAC,CAAC,IAAI,CAAC,CAAC,CAAC,CAAC;QAC5C,CAAC;KACF,CAAC;AACJ,CAAC;AAED;;;;;;;;;;;;;;;;;;;;;GAqBG;AACI,KAAK,UAAU,qBAAqB,CACzC,EAAM,EACN,OAAgB,EAChB,QAAgB,EAChB,KAIC;IAED,IAAA,6CAAwB,EAAC,KAAK,CAAC,aAAa,EAAE,uBAAuB,CAAC,CAAC;IACvE;;;;;;;;;;;;;;;;;OAiBG;IACH,IACE,KAAK,CAAC,aAAa,CAAC,QAAQ,KAAK,QAAQ;QACzC,KAAK,CAAC,aAAa,CAAC,QAAQ,KAAK,KAAK,CAAC,QAAQ,EAC/C,CAAC;QACD,MAAM,IAAI,8CAAyB,CAAC,6BAA6B,CAAC,CAAC;IACrE,CAAC;IACD,MAAM,QAAQ,GAAG,KAAK,CAAC,IAAI,KAAK,gBAAgB,CAAC,CAAC,CAAC,IAAI,CAAC,CAAC,CAAC,IAAI,CAAC;IAE/D,IAAI,IAA8C,CAAC;IACnD,IAAI,CAAC;QACH,IAAI,GAAG,MAAM,EAAE,CAA0C;;;2BAGlC,KAAK,CAAC,QAAQ;2BACd,QAAQ;;;;KAI9B,CAAC;IACJ,CAAC;IAAC,OAAO,GAAG,EAAE,CAAC;QACb,MAAM,IAAI,GAAI,GAAgC,EAAE,IAAI,CAAC;QACrD,IAAI,IAAI,KAAK,OAAO,IAAI,IAAI,KAAK,OAAO,EAAE,CAAC;YACzC,OAAO,EAAE,MAAM,EAAE,aAAa,EAAE,MAAM,EAAE,eAAe,EAAE,CAAC;QAC5D,CAAC;QACD,MAAM,GAAG,CAAC;IACZ,CAAC;IAED,MAAM,OAAO,GAAG,IAAI,CAAC,CAAC,CAAC,EAAE,mBAAmB,CAAC;IAC7C,IAAI,CAAC,OAAO;QAAE,OAAO,EAAE,MAAM,EAAE,aAAa,EAAE,MAAM,EAAE,eAAe,EAAE,CAAC;IAExE,IAAI,MAAc,CAAC;IACnB,IAAI,CAAC;QACH,CAAC,EAAE,MAAM,EAAE,GAAG,MAAM,IAAA,+CAA+B,EAAC,EAAE,EAAE,OAAO,EAAE,QAAQ,EAAE,OAAO,CAAC,CAAC,CAAC;IACvF,CAAC;IAAC,MAAM,CAAC;QACP,0EAA0E;QAC1E,yEAAyE;QACzE,iEAAiE;QACjE,OAAO,EAAE,MAAM,EAAE,aAAa,EAAE,MAAM,EAAE,mBAAmB,EAAE,CAAC;IAChE,CAAC;IAED,OAAO,gBAAgB,CAAC,MAAM,CAAC,CAAC;AAClC,CAAC"}

package/dist/cjs/fiscal/credentials/onboarding.js

@@ -0,0 +1,266 @@
+"use strict";
+Object.defineProperty(exports, "__esModule", { value: true });
+exports.fiscalCertificateCredentialName = fiscalCertificateCredentialName;
+exports.onboardFiscalCertificate = onboardFiscalCertificate;
+exports.listFiscalCertificates = listFiscalCertificates;
+exports.revokeFiscalCertificate = revokeFiscalCertificate;
+exports.materialFingerprint = materialFingerprint;
+const node_crypto_1 = require("node:crypto");
+const shared_1 = require("@baruk/shared");
+const crypto_js_1 = require("../../vault/crypto.js");
+const inspect_js_1 = require("./inspect.js");
+/** Impressão digital truncada. 16 hex identificam sem virar um segundo identificador. */
+function shortFingerprint(full) {
+    return full.slice(0, 16);
+}
+/**
+ * Nome determinístico da credencial no cofre.
+ *
+ * Determinístico porque a substituição precisa ENCONTRAR o que já existe: o
+ * índice único do cofre é `(tenant, cliente, lower(nome))`, e um nome novo a
+ * cada upload deixaria uma trilha de chaves privadas órfãs, todas ainda
+ * decifráveis, nenhuma referenciada.
+ */
+function fiscalCertificateCredentialName(clientId, certType) {
+    return `fiscal:certificate:${certType}:${clientId}`;
+}
+async function onboardFiscalCertificate(tx, keyring, tenantId, input) {
+    const certType = input.certType ?? 'A1';
+    const clients = await tx `
+    SELECT id, document_number FROM client
+     WHERE id = ${input.clientId} AND deleted_at IS NULL
+  `;
+    const client = clients[0];
+    if (!client)
+        return { status: 'rejected', reason: 'client_not_found' };
+    const inspection = await (0, inspect_js_1.inspectPkcs12)(input.material, input.passphrase);
+    if (inspection.status === 'failed') {
+        return { status: 'rejected', reason: inspection.reason };
+    }
+    const facts = inspection.facts;
+    if (facts.expired)
+        return { status: 'rejected', reason: 'expired' };
+    const identity = (0, inspect_js_1.matchIdentity)(facts.document, client.document_number);
+    if (identity === 'mismatch' && !input.identityOverrideReason) {
+        return { status: 'rejected', reason: 'identity_mismatch', identityMatch: identity };
+    }
+    // O envelope é o MESMO que `material.ts` sabe abrir. Um segundo formato aqui
+    // significaria que o certificado que entra não é o que o transporte usa.
+    const envelope = JSON.stringify({
+        format: 'pkcs12',
+        material: input.material.toString('base64'),
+        ...(input.passphrase ? { passphrase: input.passphrase } : {}),
+    });
+    const credentialName = fiscalCertificateCredentialName(input.clientId, certType);
+    const credentialId = await upsertWriteOnlyCredential(tx, keyring, tenantId, {
+        name: credentialName,
+        clientId: input.clientId,
+        secret: envelope,
+        expiresAt: facts.validTo,
+        actorId: input.actorId,
+        metadata: {
+            // Metadata do cofre é lida por telas e por trilha: só o que é público no
+            // certificado entra aqui.
+            fingerprint: shortFingerprint(facts.fingerprintSha256),
+            certType,
+            subject: facts.subjectCommonName,
+        },
+    });
+    const expiresOn = facts.validTo.slice(0, 10);
+    const issuedAt = facts.validFrom.slice(0, 10);
+    const holderName = facts.subjectCommonName ?? 'Titular não identificado no certificado';
+    const existing = await tx `
+    SELECT id FROM digital_certificate
+     WHERE client_id = ${input.clientId} AND cert_type = ${certType} AND deleted_at IS NULL
+     ORDER BY created_at DESC LIMIT 1
+  `;
+    const override = identity === 'mismatch' ? (input.identityOverrideReason ?? null) : null;
+    const overrideBy = override ? input.actorId : null;
+    let rows;
+    if (existing[0]) {
+        rows = await tx `
+      UPDATE digital_certificate SET
+        holder_name = ${holderName},
+        holder_document = ${facts.document ?? client.document_number},
+        issued_at = ${issuedAt},
+        expires_at = ${expiresOn},
+        vault_credential_id = ${credentialId},
+        status = 'active',
+        fingerprint_sha256 = ${facts.fingerprintSha256},
+        subject_common_name = ${facts.subjectCommonName},
+        issuer_common_name = ${facts.issuerCommonName},
+        serial_tail = ${facts.serialTail},
+        certificate_document = ${facts.document},
+        identity_match = ${identity},
+        identity_override_by = ${overrideBy},
+        identity_override_reason = ${override},
+        uploaded_by = ${input.actorId},
+        uploaded_at = now(),
+        -- O material acabou de ser aberto pela inspeção — o mesmo OpenSSL do
+        -- handshake real. Isso é a validação LOCAL, e ela é fato deste instante:
+        -- senha correta, chave casando com o certificado, titular e datas
+        -- conferidos. Ver 1006.
+        local_validated_at = now(),
+        -- Material novo é uma afirmação nova: o que o ambiente oficial aceitou
+        -- foi o certificado ANTERIOR, e herdar a verificação diria que o novo
+        -- já funcionou. Ver 1004.
+        verified_at = NULL,
+        verified_by = NULL,
+        remote_verification_provider = NULL,
+        remote_verification_last_attempt_at = NULL,
+        last_verification_error = NULL,
+        updated_at = now()
+      WHERE id = ${existing[0].id}
+      RETURNING ${tx.unsafe(CERTIFICATE_COLUMNS)}
+    `;
+    }
+    else {
+        rows = await tx `
+      INSERT INTO digital_certificate (
+        id, tenant_id, client_id, cert_type, holder_name, holder_document,
+        issued_at, expires_at, vault_credential_id, status,
+        fingerprint_sha256, subject_common_name, issuer_common_name, serial_tail,
+        certificate_document, identity_match, identity_override_by, identity_override_reason,
+        uploaded_by, uploaded_at, local_validated_at
+      ) VALUES (
+        ${(0, shared_1.uuidv7)()}, current_setting('app.current_tenant')::uuid, ${input.clientId},
+        ${certType}, ${holderName}, ${facts.document ?? client.document_number},
+        ${issuedAt}, ${expiresOn}, ${credentialId}, 'active',
+        ${facts.fingerprintSha256}, ${facts.subjectCommonName}, ${facts.issuerCommonName},
+        ${facts.serialTail}, ${facts.document}, ${identity}, ${overrideBy}, ${override},
+        -- As duas datas coincidem aqui, e é correto: o material só chega a
+        -- esta linha porque a inspeção passou.
+        ${input.actorId}, now(), now()
+      )
+      RETURNING ${tx.unsafe(CERTIFICATE_COLUMNS)}
+    `;
+    }
+    return {
+        status: 'stored',
+        certificate: mapCertificate(rows[0], { replaced: Boolean(existing[0]) }),
+    };
+}
+/**
+ * Grava (ou rotaciona) o segredo no cofre com `exposure = 'write_only'`.
+ *
+ * Não reutiliza `createCredential`/`rotateSecret` de `vault/repository.ts` por
+ * um motivo específico: aqueles não conhecem `exposure`, e um certificado
+ * gravado por eles nasceria `revealable` — a 0060 recusaria o INSERT, o que
+ * está correto, mas a mensagem de erro seria uma violação de CHECK em vez de
+ * uma decisão explícita. Aqui a classe do segredo é dita na escrita.
+ */
+async function upsertWriteOnlyCredential(tx, keyring, tenantId, input) {
+    const enc = (0, crypto_js_1.encryptSecret)(keyring, tenantId, input.secret);
+    const existing = await tx `
+    SELECT id FROM vault_credential
+     WHERE client_id = ${input.clientId}
+       AND lower(name) = lower(${input.name})
+       AND deleted_at IS NULL
+     LIMIT 1
+  `;
+    if (existing[0]) {
+        await tx `
+      UPDATE vault_credential SET
+        ciphertext = ${enc.ciphertext}, iv = ${enc.iv}, auth_tag = ${enc.authTag},
+        key_version = ${enc.keyVersion}, rotated_at = now(), updated_at = now(),
+        updated_by = ${input.actorId}, version = version + 1,
+        expires_at = ${input.expiresAt},
+        metadata = ${tx.json(input.metadata)},
+        exposure = 'write_only'
+      WHERE id = ${existing[0].id}
+    `;
+        return existing[0].id;
+    }
+    const rows = await tx `
+    INSERT INTO vault_credential (
+      id, tenant_id, client_id, name, category, provider,
+      ciphertext, iv, auth_tag, key_version, metadata, expires_at, created_by, exposure
+    ) VALUES (
+      ${(0, shared_1.uuidv7)()}, current_setting('app.current_tenant')::uuid, ${input.clientId},
+      ${input.name}, 'certificate', 'icp_brasil',
+      ${enc.ciphertext}, ${enc.iv}, ${enc.authTag}, ${enc.keyVersion},
+      ${tx.json(input.metadata)}, ${input.expiresAt}, ${input.actorId}, 'write_only'
+    )
+    RETURNING id
+  `;
+    return rows[0].id;
+}
+const CERTIFICATE_COLUMNS = `
+  id, client_id, cert_type, status, subject_common_name, issuer_common_name,
+  serial_tail, fingerprint_sha256, certificate_document, identity_match,
+  identity_override_reason, issued_at, expires_at, uploaded_at, verified_at,
+  local_validated_at, remote_verification_provider
+`;
+function mapCertificate(r, extra) {
+    return {
+        id: r.id,
+        clientId: r.client_id,
+        certType: r.cert_type === 'A3' ? 'A3' : 'A1',
+        status: r.status,
+        subjectCommonName: r.subject_common_name,
+        issuerCommonName: r.issuer_common_name,
+        serialTail: r.serial_tail,
+        fingerprint: shortFingerprint(r.fingerprint_sha256 ?? ''),
+        certificateDocument: r.certificate_document,
+        identityMatch: r.identity_match ?? 'indeterminate',
+        identityOverrideReason: r.identity_override_reason,
+        issuedAt: r.issued_at ? isoDate(r.issued_at) : null,
+        expiresOn: isoDate(r.expires_at),
+        uploadedAt: r.uploaded_at?.toISOString() ?? null,
+        verifiedAt: r.verified_at?.toISOString() ?? null,
+        replaced: extra.replaced,
+    };
+}
+function isoDate(d) {
+    return d.toISOString().slice(0, 10);
+}
+/** Os certificados de um cliente, só metadata. É o que a tela lê. */
+async function listFiscalCertificates(tx, clientId) {
+    const rows = await tx `
+    SELECT ${tx.unsafe(CERTIFICATE_COLUMNS)}
+      FROM digital_certificate
+     WHERE client_id = ${clientId} AND deleted_at IS NULL
+     ORDER BY expires_at DESC
+  `;
+    return rows.map((r) => mapCertificate(r, { replaced: false }));
+}
+/**
+ * Revoga o uso do certificado DENTRO deste produto.
+ *
+ * Não toca a ICP-Brasil, e é por isso que a função se chama assim. Revogar de
+ * verdade um certificado é um ato junto à Autoridade Certificadora que o emitiu;
+ * apagar a linha daqui apenas garante que este produto pare de apresentá-lo. A
+ * tela repete a distinção, porque um operador que acredite ter revogado o
+ * certificado do cliente não vai à AC — e o certificado segue válido no mundo.
+ *
+ * O material sai do cofre no mesmo movimento (`deleted_at`), de modo que a
+ * revogação não deixa chave privada decifrável para trás.
+ */
+async function revokeFiscalCertificate(tx, clientId, certificateId) {
+    const rows = await tx `
+    UPDATE digital_certificate SET status = 'revoked', deleted_at = now(), updated_at = now()
+     WHERE id = ${certificateId} AND client_id = ${clientId} AND deleted_at IS NULL
+    RETURNING vault_credential_id
+  `;
+    if (rows.length === 0)
+        return { revoked: false };
+    const pointer = rows[0]?.vault_credential_id;
+    if (pointer) {
+        await tx `
+      UPDATE vault_credential SET deleted_at = now()
+       WHERE id = ${pointer} AND deleted_at IS NULL
+    `;
+    }
+    return { revoked: true };
+}
+/**
+ * Impressão digital do material recebido, antes de qualquer decisão.
+ *
+ * Serve à trilha do upload recusado: registrar "tentaram subir algo" sem
+ * registrar o quê. É o mesmo cálculo de `material.ts`, e é seguro por
+ * construção — um hash não volta a ser um certificado.
+ */
+function materialFingerprint(material) {
+    return shortFingerprint((0, node_crypto_1.createHash)('sha256').update(material).digest('hex'));
+}
+//# sourceMappingURL=onboarding.js.map

package/dist/cjs/fiscal/credentials/onboarding.js.map

@@ -0,0 +1 @@
+{"version":3,"file":"onboarding.js","sourceRoot":"","sources":["../../../../src/fiscal/credentials/onboarding.ts"],"names":[],"mappings":";;AA2GA,0EAEC;AAED,4DA+HC;AAkHD,wDAWC;AAcD,0DAoBC;AASD,kDAEC;AAxZD,6CAAyC;AACzC,0CAAuC;AAGvC,qDAAsD;AACtD,6CAAgF;AAyFhF,yFAAyF;AACzF,SAAS,gBAAgB,CAAC,IAAY;IACpC,OAAO,IAAI,CAAC,KAAK,CAAC,CAAC,EAAE,EAAE,CAAC,CAAC;AAC3B,CAAC;AAED;;;;;;;GAOG;AACH,SAAgB,+BAA+B,CAAC,QAAgB,EAAE,QAAqB;IACrF,OAAO,sBAAsB,QAAQ,IAAI,QAAQ,EAAE,CAAC;AACtD,CAAC;AAEM,KAAK,UAAU,wBAAwB,CAC5C,EAAM,EACN,OAAgB,EAChB,QAAgB,EAChB,KAAiC;IAEjC,MAAM,QAAQ,GAAG,KAAK,CAAC,QAAQ,IAAI,IAAI,CAAC;IAExC,MAAM,OAAO,GAAG,MAAM,EAAE,CAAkD;;kBAE1D,KAAK,CAAC,QAAQ;GAC7B,CAAC;IACF,MAAM,MAAM,GAAG,OAAO,CAAC,CAAC,CAAC,CAAC;IAC1B,IAAI,CAAC,MAAM;QAAE,OAAO,EAAE,MAAM,EAAE,UAAU,EAAE,MAAM,EAAE,kBAAkB,EAAE,CAAC;IAEvE,MAAM,UAAU,GAAG,MAAM,IAAA,0BAAa,EAAC,KAAK,CAAC,QAAQ,EAAE,KAAK,CAAC,UAAU,CAAC,CAAC;IACzE,IAAI,UAAU,CAAC,MAAM,KAAK,QAAQ,EAAE,CAAC;QACnC,OAAO,EAAE,MAAM,EAAE,UAAU,EAAE,MAAM,EAAE,UAAU,CAAC,MAAM,EAAE,CAAC;IAC3D,CAAC;IACD,MAAM,KAAK,GAAG,UAAU,CAAC,KAAK,CAAC;IAC/B,IAAI,KAAK,CAAC,OAAO;QAAE,OAAO,EAAE,MAAM,EAAE,UAAU,EAAE,MAAM,EAAE,SAAS,EAAE,CAAC;IAEpE,MAAM,QAAQ,GAAG,IAAA,0BAAa,EAAC,KAAK,CAAC,QAAQ,EAAE,MAAM,CAAC,eAAe,CAAC,CAAC;IACvE,IAAI,QAAQ,KAAK,UAAU,IAAI,CAAC,KAAK,CAAC,sBAAsB,EAAE,CAAC;QAC7D,OAAO,EAAE,MAAM,EAAE,UAAU,EAAE,MAAM,EAAE,mBAAmB,EAAE,aAAa,EAAE,QAAQ,EAAE,CAAC;IACtF,CAAC;IAED,6EAA6E;IAC7E,yEAAyE;IACzE,MAAM,QAAQ,GAAG,IAAI,CAAC,SAAS,CAAC;QAC9B,MAAM,EAAE,QAAQ;QAChB,QAAQ,EAAE,KAAK,CAAC,QAAQ,CAAC,QAAQ,CAAC,QAAQ,CAAC;QAC3C,GAAG,CAAC,KAAK,CAAC,UAAU,CAAC,CAAC,CAAC,EAAE,UAAU,EAAE,KAAK,CAAC,UAAU,EAAE,CAAC,CAAC,CAAC,EAAE,CAAC;KAC9D,CAAC,CAAC;IAEH,MAAM,cAAc,GAAG,+BAA+B,CAAC,KAAK,CAAC,QAAQ,EAAE,QAAQ,CAAC,CAAC;IACjF,MAAM,YAAY,GAAG,MAAM,yBAAyB,CAAC,EAAE,EAAE,OAAO,EAAE,QAAQ,EAAE;QAC1E,IAAI,EAAE,cAAc;QACpB,QAAQ,EAAE,KAAK,CAAC,QAAQ;QACxB,MAAM,EAAE,QAAQ;QAChB,SAAS,EAAE,KAAK,CAAC,OAAO;QACxB,OAAO,EAAE,KAAK,CAAC,OAAO;QACtB,QAAQ,EAAE;YACR,yEAAyE;YACzE,0BAA0B;YAC1B,WAAW,EAAE,gBAAgB,CAAC,KAAK,CAAC,iBAAiB,CAAC;YACtD,QAAQ;YACR,OAAO,EAAE,KAAK,CAAC,iBAAiB;SACjC;KACF,CAAC,CAAC;IAEH,MAAM,SAAS,GAAG,KAAK,CAAC,OAAO,CAAC,KAAK,CAAC,CAAC,EAAE,EAAE,CAAC,CAAC;IAC7C,MAAM,QAAQ,GAAG,KAAK,CAAC,SAAS,CAAC,KAAK,CAAC,CAAC,EAAE,EAAE,CAAC,CAAC;IAC9C,MAAM,UAAU,GAAG,KAAK,CAAC,iBAAiB,IAAI,yCAAyC,CAAC;IAExF,MAAM,QAAQ,GAAG,MAAM,EAAE,CAAkB;;yBAEpB,KAAK,CAAC,QAAQ,oBAAoB,QAAQ;;GAEhE,CAAC;IAEF,MAAM,QAAQ,GAAG,QAAQ,KAAK,UAAU,CAAC,CAAC,CAAC,CAAC,KAAK,CAAC,sBAAsB,IAAI,IAAI,CAAC,CAAC,CAAC,CAAC,IAAI,CAAC;IACzF,MAAM,UAAU,GAAG,QAAQ,CAAC,CAAC,CAAC,KAAK,CAAC,OAAO,CAAC,CAAC,CAAC,IAAI,CAAC;IAEnD,IAAI,IAAsB,CAAC;IAC3B,IAAI,QAAQ,CAAC,CAAC,CAAC,EAAE,CAAC;QAChB,IAAI,GAAG,MAAM,EAAE,CAAkB;;wBAEb,UAAU;4BACN,KAAK,CAAC,QAAQ,IAAI,MAAM,CAAC,eAAe;sBAC9C,QAAQ;uBACP,SAAS;gCACA,YAAY;;+BAEb,KAAK,CAAC,iBAAiB;gCACtB,KAAK,CAAC,iBAAiB;+BACxB,KAAK,CAAC,gBAAgB;wBAC7B,KAAK,CAAC,UAAU;iCACP,KAAK,CAAC,QAAQ;2BACpB,QAAQ;iCACF,UAAU;qCACN,QAAQ;wBACrB,KAAK,CAAC,OAAO;;;;;;;;;;;;;;;;mBAgBlB,QAAQ,CAAC,CAAC,CAAC,CAAC,EAAE;kBACf,EAAE,CAAC,MAAM,CAAC,mBAAmB,CAAC;KAC3C,CAAC;IACJ,CAAC;SAAM,CAAC;QACN,IAAI,GAAG,MAAM,EAAE,CAAkB;;;;;;;;UAQ3B,IAAA,eAAM,GAAE,kDAAkD,KAAK,CAAC,QAAQ;UACxE,QAAQ,KAAK,UAAU,KAAK,KAAK,CAAC,QAAQ,IAAI,MAAM,CAAC,eAAe;UACpE,QAAQ,KAAK,SAAS,KAAK,YAAY;UACvC,KAAK,CAAC,iBAAiB,KAAK,KAAK,CAAC,iBAAiB,KAAK,KAAK,CAAC,gBAAgB;UAC9E,KAAK,CAAC,UAAU,KAAK,KAAK,CAAC,QAAQ,KAAK,QAAQ,KAAK,UAAU,KAAK,QAAQ;;;UAG5E,KAAK,CAAC,OAAO;;kBAEL,EAAE,CAAC,MAAM,CAAC,mBAAmB,CAAC;KAC3C,CAAC;IACJ,CAAC;IAED,OAAO;QACL,MAAM,EAAE,QAAQ;QAChB,WAAW,EAAE,cAAc,CAAC,IAAI,CAAC,CAAC,CAAE,EAAE,EAAE,QAAQ,EAAE,OAAO,CAAC,QAAQ,CAAC,CAAC,CAAC,CAAC,EAAE,CAAC;KAC1E,CAAC;AACJ,CAAC;AAED;;;;;;;;GAQG;AACH,KAAK,UAAU,yBAAyB,CACtC,EAAM,EACN,OAAgB,EAChB,QAAgB,EAChB,KAOC;IAED,MAAM,GAAG,GAAG,IAAA,yBAAa,EAAC,OAAO,EAAE,QAAQ,EAAE,KAAK,CAAC,MAAM,CAAC,CAAC;IAE3D,MAAM,QAAQ,GAAG,MAAM,EAAE,CAAkB;;yBAEpB,KAAK,CAAC,QAAQ;iCACN,KAAK,CAAC,IAAI;;;GAGxC,CAAC;IAEF,IAAI,QAAQ,CAAC,CAAC,CAAC,EAAE,CAAC;QAChB,MAAM,EAAE,CAAA;;uBAEW,GAAG,CAAC,UAAU,UAAU,GAAG,CAAC,EAAE,gBAAgB,GAAG,CAAC,OAAO;wBACxD,GAAG,CAAC,UAAU;uBACf,KAAK,CAAC,OAAO;uBACb,KAAK,CAAC,SAAS;qBACjB,EAAE,CAAC,IAAI,CAAC,KAAK,CAAC,QAAiB,CAAC;;mBAElC,QAAQ,CAAC,CAAC,CAAC,CAAC,EAAE;KAC5B,CAAC;QACF,OAAO,QAAQ,CAAC,CAAC,CAAC,CAAC,EAAE,CAAC;IACxB,CAAC;IAED,MAAM,IAAI,GAAG,MAAM,EAAE,CAAkB;;;;;QAKjC,IAAA,eAAM,GAAE,kDAAkD,KAAK,CAAC,QAAQ;QACxE,KAAK,CAAC,IAAI;QACV,GAAG,CAAC,UAAU,KAAK,GAAG,CAAC,EAAE,KAAK,GAAG,CAAC,OAAO,KAAK,GAAG,CAAC,UAAU;QAC5D,EAAE,CAAC,IAAI,CAAC,KAAK,CAAC,QAAiB,CAAC,KAAK,KAAK,CAAC,SAAS,KAAK,KAAK,CAAC,OAAO;;;GAG3E,CAAC;IACF,OAAO,IAAI,CAAC,CAAC,CAAE,CAAC,EAAE,CAAC;AACrB,CAAC;AAED,MAAM,mBAAmB,GAAG;;;;;CAK3B,CAAC;AAoBF,SAAS,cAAc,CAAC,CAAiB,EAAE,KAA4B;IACrE,OAAO;QACL,EAAE,EAAE,CAAC,CAAC,EAAE;QACR,QAAQ,EAAE,CAAC,CAAC,SAAS;QACrB,QAAQ,EAAE,CAAC,CAAC,SAAS,KAAK,IAAI,CAAC,CAAC,CAAC,IAAI,CAAC,CAAC,CAAC,IAAI;QAC5C,MAAM,EAAE,CAAC,CAAC,MAAM;QAChB,iBAAiB,EAAE,CAAC,CAAC,mBAAmB;QACxC,gBAAgB,EAAE,CAAC,CAAC,kBAAkB;QACtC,UAAU,EAAE,CAAC,CAAC,WAAW;QACzB,WAAW,EAAE,gBAAgB,CAAC,CAAC,CAAC,kBAAkB,IAAI,EAAE,CAAC;QACzD,mBAAmB,EAAE,CAAC,CAAC,oBAAoB;QAC3C,aAAa,EAAG,CAAC,CAAC,cAAuC,IAAI,eAAe;QAC5E,sBAAsB,EAAE,CAAC,CAAC,wBAAwB;QAClD,QAAQ,EAAE,CAAC,CAAC,SAAS,CAAC,CAAC,CAAC,OAAO,CAAC,CAAC,CAAC,SAAS,CAAC,CAAC,CAAC,CAAC,IAAI;QACnD,SAAS,EAAE,OAAO,CAAC,CAAC,CAAC,UAAU,CAAC;QAChC,UAAU,EAAE,CAAC,CAAC,WAAW,EAAE,WAAW,EAAE,IAAI,IAAI;QAChD,UAAU,EAAE,CAAC,CAAC,WAAW,EAAE,WAAW,EAAE,IAAI,IAAI;QAChD,QAAQ,EAAE,KAAK,CAAC,QAAQ;KACzB,CAAC;AACJ,CAAC;AAED,SAAS,OAAO,CAAC,CAAO;IACtB,OAAO,CAAC,CAAC,WAAW,EAAE,CAAC,KAAK,CAAC,CAAC,EAAE,EAAE,CAAC,CAAC;AACtC,CAAC;AAED,qEAAqE;AAC9D,KAAK,UAAU,sBAAsB,CAC1C,EAAM,EACN,QAAgB;IAEhB,MAAM,IAAI,GAAG,MAAM,EAAE,CAAkB;aAC5B,EAAE,CAAC,MAAM,CAAC,mBAAmB,CAAC;;yBAElB,QAAQ;;GAE9B,CAAC;IACF,OAAO,IAAI,CAAC,GAAG,CAAC,CAAC,CAAC,EAAE,EAAE,CAAC,cAAc,CAAC,CAAC,EAAE,EAAE,QAAQ,EAAE,KAAK,EAAE,CAAC,CAAC,CAAC;AACjE,CAAC;AAED;;;;;;;;;;;GAWG;AACI,KAAK,UAAU,uBAAuB,CAC3C,EAAM,EACN,QAAgB,EAChB,aAAqB;IAErB,MAAM,IAAI,GAAG,MAAM,EAAE,CAA0C;;kBAE/C,aAAa,oBAAoB,QAAQ;;GAExD,CAAC;IACF,IAAI,IAAI,CAAC,MAAM,KAAK,CAAC;QAAE,OAAO,EAAE,OAAO,EAAE,KAAK,EAAE,CAAC;IAEjD,MAAM,OAAO,GAAG,IAAI,CAAC,CAAC,CAAC,EAAE,mBAAmB,CAAC;IAC7C,IAAI,OAAO,EAAE,CAAC;QACZ,MAAM,EAAE,CAAA;;oBAEQ,OAAO;KACtB,CAAC;IACJ,CAAC;IACD,OAAO,EAAE,OAAO,EAAE,IAAI,EAAE,CAAC;AAC3B,CAAC;AAED;;;;;;GAMG;AACH,SAAgB,mBAAmB,CAAC,QAAgB;IAClD,OAAO,gBAAgB,CAAC,IAAA,wBAAU,EAAC,QAAQ,CAAC,CAAC,MAAM,CAAC,QAAQ,CAAC,CAAC,MAAM,CAAC,KAAK,CAAC,CAAC,CAAC;AAC/E,CAAC"}

package/dist/cjs/fiscal/credentials/readiness.js

@@ -0,0 +1,190 @@
+"use strict";
+Object.defineProperty(exports, "__esModule", { value: true });
+exports.readFiscalCredentialReadiness = readFiscalCredentialReadiness;
+exports.interventionKindFor = interventionKindFor;
+/**
+ * Classes de erro de verificação que significam "o titular foi recusado".
+ *
+ * Guardadas em `digital_certificate.last_verification_error` como CLASSE — a
+ * coluna existe desde a 1004 justamente para não guardar a mensagem.
+ */
+const DENIED_CLASSES = new Set(['auth', 'not_allowed', 'access_denied', 'permission_denied']);
+/**
+ * Lê a prontidão operacional.
+ *
+ * Roda dentro de `withContext` com o tenant: `digital_certificate` tem RLS FORCE
+ * e é a GUC que decide de quem são as linhas lidas.
+ *
+ * Tolera a ausência da tabela (`42P01`) porque `digital_certificate` pertence à
+ * VERTICAL contábil: um tenant sem ela instalada não tem credencial nenhuma, e
+ * a leitura correta disso é `NOT_CONFIGURED` — não uma exceção que derruba o
+ * worker no meio da carteira.
+ */
+async function readFiscalCredentialReadiness(tx, input) {
+    const kind = input.kind ?? 'certificate_a1';
+    const base = {
+        kind,
+        usableByWorker: false,
+        localValid: false,
+        eligibleForFirstContact: false,
+        selfHealing: false,
+        expiresOn: null,
+        verifiedAt: null,
+        localValidatedAt: null,
+        fingerprint: null,
+        providerAuthorization: 'unknown',
+    };
+    if (kind === 'municipal_portal') {
+        // Login de portal municipal não é certificado ICP-Brasil e ainda não tem
+        // onde morar. Um cron também não digita captcha. Negado até existir.
+        return {
+            ...base,
+            state: 'NOT_CONFIGURED',
+            detail: 'portal municipal não tem credencial automatizável neste produto',
+        };
+    }
+    let rows;
+    try {
+        rows = await tx `
+      SELECT id, cert_type, status, expires_at, verified_at,
+             local_validated_at, fingerprint_sha256,
+             last_verification_error, vault_credential_id
+        FROM digital_certificate
+       WHERE client_id = ${input.clientId}
+         AND cert_type = ${kind === 'certificate_a3' ? 'A3' : 'A1'}
+         AND deleted_at IS NULL
+       ORDER BY expires_at DESC
+       LIMIT 1
+    `;
+    }
+    catch (err) {
+        const code = err?.code;
+        if (code === '42P01' || code === '42703') {
+            return { ...base, state: 'NOT_CONFIGURED', detail: 'vertical contábil não aplicada' };
+        }
+        throw err;
+    }
+    const cert = rows[0];
+    if (!cert) {
+        return { ...base, state: 'NOT_CONFIGURED', detail: 'nenhum certificado cadastrado' };
+    }
+    const expiresOn = cert.expires_at ? isoDate(cert.expires_at) : null;
+    const verifiedAt = cert.verified_at?.toISOString() ?? null;
+    const localValidatedAt = cert.local_validated_at?.toISOString() ?? null;
+    const withDates = {
+        ...base,
+        expiresOn,
+        verifiedAt,
+        localValidatedAt,
+        fingerprint: cert.fingerprint_sha256 ?? null,
+    };
+    if (cert.status === 'revoked') {
+        return { ...withDates, state: 'INVALID', detail: 'certificado revogado' };
+    }
+    // Vencimento é fato do calendário, não do registro: um certificado marcado
+    // `active` cuja data passou está vencido mesmo que ninguém tenha corrido para
+    // atualizar a linha.
+    if (cert.expires_at && cert.expires_at < todayUtc()) {
+        return { ...withDates, state: 'EXPIRED', detail: `vencido em ${expiresOn}` };
+    }
+    if (cert.status === 'expired') {
+        return { ...withDates, state: 'EXPIRED', detail: 'marcado como vencido' };
+    }
+    if (cert.last_verification_error && DENIED_CLASSES.has(cert.last_verification_error)) {
+        return {
+            ...withDates,
+            state: 'ACCESS_DENIED',
+            detail: `último acesso recusado (${cert.last_verification_error})`,
+        };
+    }
+    if (kind === 'certificate_a3') {
+        // A3 vive em token ou cartão com PIN digitado por uma pessoa. Ele EXISTE, e
+        // dizer "não tem certificado" seria falso; o que ele não é, é automatizável.
+        return {
+            ...withDates,
+            state: 'REQUIRES_REVIEW',
+            detail: 'A3 exige PIN presencial e não é automatizável por cron',
+        };
+    }
+    if (!cert.vault_credential_id) {
+        // Cadastro sem material é uma promessa sem lastro: a tela diria "tem
+        // certificado" e o worker não teria o que apresentar no handshake.
+        return {
+            ...withDates,
+            state: 'INVALID',
+            detail: 'certificado cadastrado sem material no cofre',
+        };
+    }
+    if (!cert.verified_at) {
+        // Aqui estava o impasse. Antes, tudo que não fora aceito remotamente caía
+        // num balde só, e o balde reprovava a execução — inclusive a execução que
+        // produziria o aceite. Agora o material conferido localmente tem estado
+        // próprio, e é ele que o primeiro contato aceita.
+        if (cert.local_validated_at) {
+            return {
+                ...withDates,
+                state: 'LOCAL_VALID',
+                localValid: true,
+                eligibleForFirstContact: true,
+                detail: 'válida localmente; nenhum ambiente oficial a aceitou ainda',
+            };
+        }
+        return {
+            ...withDates,
+            state: 'REQUIRES_REVIEW',
+            detail: 'cadastrada sem validação local registrada',
+        };
+    }
+    // A autorização do provedor sai de execução OBSERVADA. Um `SELECT` sobre a
+    // trilha, e não uma dedução a partir do cadastro.
+    const [ok] = await tx `
+    SELECT count(*)::int AS n
+      FROM fiscal_sync_run
+     WHERE client_id = ${input.clientId}
+       AND source = ${input.source}
+       AND environment = ${input.environment}
+       AND outcome IN ('completed', 'no_documents')
+  `;
+    const established = (ok?.n ?? 0) > 0;
+    return {
+        ...withDates,
+        state: 'READY',
+        usableByWorker: true,
+        localValid: true,
+        // Já aceita remotamente: não há primeiro contato a fazer.
+        eligibleForFirstContact: false,
+        selfHealing: true,
+        providerAuthorization: established ? 'established' : 'unknown',
+        detail: established
+            ? 'pronta; o ambiente já aceitou esta credencial'
+            : 'pronta; o ambiente ainda não aceitou esta credencial nenhuma vez',
+    };
+}
+function todayUtc() {
+    const now = new Date();
+    return new Date(Date.UTC(now.getUTCFullYear(), now.getUTCMonth(), now.getUTCDate()));
+}
+function isoDate(d) {
+    return d.toISOString().slice(0, 10);
+}
+/**
+ * O motivo de intervenção que este estado pede — ou `null` quando não pede.
+ *
+ * Aqui mora a regra de B2.36 que evita a fila ilegível: `REQUIRES_REVIEW` e
+ * `NOT_CONFIGURED` NÃO abrem tarefa. Não configurar automação é uma escolha
+ * legítima do escritório, e transformá-la em pendência encheria a fila de
+ * clientes que ninguém pediu para automatizar.
+ */
+function interventionKindFor(state) {
+    switch (state) {
+        case 'EXPIRED':
+            return 'certificate_expired';
+        case 'INVALID':
+            return 'certificate_invalid';
+        case 'ACCESS_DENIED':
+            return 'auth_required';
+        default:
+            return null;
+    }
+}
+//# sourceMappingURL=readiness.js.map

package/dist/cjs/fiscal/credentials/readiness.js.map

@@ -0,0 +1 @@
+{"version":3,"file":"readiness.js","sourceRoot":"","sources":["../../../../src/fiscal/credentials/readiness.ts"],"names":[],"mappings":";;AAsIA,sEA0JC;AAmBD,kDAaC;AA7MD;;;;;GAKG;AACH,MAAM,cAAc,GAAG,IAAI,GAAG,CAAC,CAAC,MAAM,EAAE,aAAa,EAAE,eAAe,EAAE,mBAAmB,CAAC,CAAC,CAAC;AAE9F;;;;;;;;;;GAUG;AACI,KAAK,UAAU,6BAA6B,CACjD,EAAM,EACN,KAKC;IAED,MAAM,IAAI,GAAyB,KAAK,CAAC,IAAI,IAAI,gBAAgB,CAAC;IAElE,MAAM,IAAI,GAAG;QACX,IAAI;QACJ,cAAc,EAAE,KAAK;QACrB,UAAU,EAAE,KAAK;QACjB,uBAAuB,EAAE,KAAK;QAC9B,WAAW,EAAE,KAAK;QAClB,SAAS,EAAE,IAAI;QACf,UAAU,EAAE,IAAI;QAChB,gBAAgB,EAAE,IAAI;QACtB,WAAW,EAAE,IAAI;QACjB,qBAAqB,EAAE,SAAkB;KAC1C,CAAC;IAEF,IAAI,IAAI,KAAK,kBAAkB,EAAE,CAAC;QAChC,yEAAyE;QACzE,qEAAqE;QACrE,OAAO;YACL,GAAG,IAAI;YACP,KAAK,EAAE,gBAAgB;YACvB,MAAM,EAAE,iEAAiE;SAC1E,CAAC;IACJ,CAAC;IAED,IAAI,IAAe,CAAC;IACpB,IAAI,CAAC;QACH,IAAI,GAAG,MAAM,EAAE,CAAW;;;;;2BAKH,KAAK,CAAC,QAAQ;2BACd,IAAI,KAAK,gBAAgB,CAAC,CAAC,CAAC,IAAI,CAAC,CAAC,CAAC,IAAI;;;;KAI7D,CAAC;IACJ,CAAC;IAAC,OAAO,GAAG,EAAE,CAAC;QACb,MAAM,IAAI,GAAI,GAAgC,EAAE,IAAI,CAAC;QACrD,IAAI,IAAI,KAAK,OAAO,IAAI,IAAI,KAAK,OAAO,EAAE,CAAC;YACzC,OAAO,EAAE,GAAG,IAAI,EAAE,KAAK,EAAE,gBAAgB,EAAE,MAAM,EAAE,gCAAgC,EAAE,CAAC;QACxF,CAAC;QACD,MAAM,GAAG,CAAC;IACZ,CAAC;IAED,MAAM,IAAI,GAAG,IAAI,CAAC,CAAC,CAAC,CAAC;IACrB,IAAI,CAAC,IAAI,EAAE,CAAC;QACV,OAAO,EAAE,GAAG,IAAI,EAAE,KAAK,EAAE,gBAAgB,EAAE,MAAM,EAAE,+BAA+B,EAAE,CAAC;IACvF,CAAC;IAED,MAAM,SAAS,GAAG,IAAI,CAAC,UAAU,CAAC,CAAC,CAAC,OAAO,CAAC,IAAI,CAAC,UAAU,CAAC,CAAC,CAAC,CAAC,IAAI,CAAC;IACpE,MAAM,UAAU,GAAG,IAAI,CAAC,WAAW,EAAE,WAAW,EAAE,IAAI,IAAI,CAAC;IAC3D,MAAM,gBAAgB,GAAG,IAAI,CAAC,kBAAkB,EAAE,WAAW,EAAE,IAAI,IAAI,CAAC;IACxE,MAAM,SAAS,GAAG;QAChB,GAAG,IAAI;QACP,SAAS;QACT,UAAU;QACV,gBAAgB;QAChB,WAAW,EAAE,IAAI,CAAC,kBAAkB,IAAI,IAAI;KAC7C,CAAC;IAEF,IAAI,IAAI,CAAC,MAAM,KAAK,SAAS,EAAE,CAAC;QAC9B,OAAO,EAAE,GAAG,SAAS,EAAE,KAAK,EAAE,SAAS,EAAE,MAAM,EAAE,sBAAsB,EAAE,CAAC;IAC5E,CAAC;IACD,2EAA2E;IAC3E,8EAA8E;IAC9E,qBAAqB;IACrB,IAAI,IAAI,CAAC,UAAU,IAAI,IAAI,CAAC,UAAU,GAAG,QAAQ,EAAE,EAAE,CAAC;QACpD,OAAO,EAAE,GAAG,SAAS,EAAE,KAAK,EAAE,SAAS,EAAE,MAAM,EAAE,cAAc,SAAS,EAAE,EAAE,CAAC;IAC/E,CAAC;IACD,IAAI,IAAI,CAAC,MAAM,KAAK,SAAS,EAAE,CAAC;QAC9B,OAAO,EAAE,GAAG,SAAS,EAAE,KAAK,EAAE,SAAS,EAAE,MAAM,EAAE,sBAAsB,EAAE,CAAC;IAC5E,CAAC;IACD,IAAI,IAAI,CAAC,uBAAuB,IAAI,cAAc,CAAC,GAAG,CAAC,IAAI,CAAC,uBAAuB,CAAC,EAAE,CAAC;QACrF,OAAO;YACL,GAAG,SAAS;YACZ,KAAK,EAAE,eAAe;YACtB,MAAM,EAAE,2BAA2B,IAAI,CAAC,uBAAuB,GAAG;SACnE,CAAC;IACJ,CAAC;IACD,IAAI,IAAI,KAAK,gBAAgB,EAAE,CAAC;QAC9B,4EAA4E;QAC5E,6EAA6E;QAC7E,OAAO;YACL,GAAG,SAAS;YACZ,KAAK,EAAE,iBAAiB;YACxB,MAAM,EAAE,wDAAwD;SACjE,CAAC;IACJ,CAAC;IACD,IAAI,CAAC,IAAI,CAAC,mBAAmB,EAAE,CAAC;QAC9B,qEAAqE;QACrE,mEAAmE;QACnE,OAAO;YACL,GAAG,SAAS;YACZ,KAAK,EAAE,SAAS;YAChB,MAAM,EAAE,8CAA8C;SACvD,CAAC;IACJ,CAAC;IACD,IAAI,CAAC,IAAI,CAAC,WAAW,EAAE,CAAC;QACtB,0EAA0E;QAC1E,0EAA0E;QAC1E,wEAAwE;QACxE,kDAAkD;QAClD,IAAI,IAAI,CAAC,kBAAkB,EAAE,CAAC;YAC5B,OAAO;gBACL,GAAG,SAAS;gBACZ,KAAK,EAAE,aAAa;gBACpB,UAAU,EAAE,IAAI;gBAChB,uBAAuB,EAAE,IAAI;gBAC7B,MAAM,EAAE,4DAA4D;aACrE,CAAC;QACJ,CAAC;QACD,OAAO;YACL,GAAG,SAAS;YACZ,KAAK,EAAE,iBAAiB;YACxB,MAAM,EAAE,2CAA2C;SACpD,CAAC;IACJ,CAAC;IAED,2EAA2E;IAC3E,kDAAkD;IAClD,MAAM,CAAC,EAAE,CAAC,GAAG,MAAM,EAAE,CAAiB;;;yBAGf,KAAK,CAAC,QAAQ;sBACjB,KAAK,CAAC,MAAM;2BACP,KAAK,CAAC,WAAW;;GAEzC,CAAC;IACF,MAAM,WAAW,GAAG,CAAC,EAAE,EAAE,CAAC,IAAI,CAAC,CAAC,GAAG,CAAC,CAAC;IAErC,OAAO;QACL,GAAG,SAAS;QACZ,KAAK,EAAE,OAAO;QACd,cAAc,EAAE,IAAI;QACpB,UAAU,EAAE,IAAI;QAChB,0DAA0D;QAC1D,uBAAuB,EAAE,KAAK;QAC9B,WAAW,EAAE,IAAI;QACjB,qBAAqB,EAAE,WAAW,CAAC,CAAC,CAAC,aAAa,CAAC,CAAC,CAAC,SAAS;QAC9D,MAAM,EAAE,WAAW;YACjB,CAAC,CAAC,+CAA+C;YACjD,CAAC,CAAC,kEAAkE;KACvE,CAAC;AACJ,CAAC;AAED,SAAS,QAAQ;IACf,MAAM,GAAG,GAAG,IAAI,IAAI,EAAE,CAAC;IACvB,OAAO,IAAI,IAAI,CAAC,IAAI,CAAC,GAAG,CAAC,GAAG,CAAC,cAAc,EAAE,EAAE,GAAG,CAAC,WAAW,EAAE,EAAE,GAAG,CAAC,UAAU,EAAE,CAAC,CAAC,CAAC;AACvF,CAAC;AAED,SAAS,OAAO,CAAC,CAAO;IACtB,OAAO,CAAC,CAAC,WAAW,EAAE,CAAC,KAAK,CAAC,CAAC,EAAE,EAAE,CAAC,CAAC;AACtC,CAAC;AAED;;;;;;;GAOG;AACH,SAAgB,mBAAmB,CACjC,KAA4B;IAE5B,QAAQ,KAAK,EAAE,CAAC;QACd,KAAK,SAAS;YACZ,OAAO,qBAAqB,CAAC;QAC/B,KAAK,SAAS;YACZ,OAAO,qBAAqB,CAAC;QAC/B,KAAK,eAAe;YAClB,OAAO,eAAe,CAAC;QACzB;YACE,OAAO,IAAI,CAAC;IAChB,CAAC;AACH,CAAC"}