@baruk/core 0.4.2 → 0.6.0

package/dist/cjs/vault/repository.js

@@ -1,9 +1,12 @@
 "use strict";
 Object.defineProperty(exports, "__esModule", { value: true });
+exports.SecretNotRevealableError = void 0;
+exports.exposureFor = exposureFor;
 exports.createCredential = createCredential;
 exports.listCredentials = listCredentials;
 exports.getCredentialMeta = getCredentialMeta;
 exports.revealSecret = revealSecret;
+exports.revealWriteOnlySecretForProcess = revealWriteOnlySecretForProcess;
 exports.revealSecretByName = revealSecretByName;
 exports.rotateSecret = rotateSecret;
 exports.softDeleteCredential = softDeleteCredential;
@@ -19,6 +22,7 @@ function mapMeta(r) {
         name: r.name,
         category: r.category,
         provider: r.provider,
+        exposure: r.exposure ?? 'revealable',
         keyVersion: r.key_version,
         metadata: r.metadata ?? {},
         expiresAt: r.expires_at ? r.expires_at.toISOString() : null,
@@ -28,26 +32,43 @@ function mapMeta(r) {
     };
 }
 const META_COLUMNS = `
-  id, client_id, name, category, provider, key_version, metadata,
+  id, client_id, name, category, provider, exposure, key_version, metadata,
   expires_at, rotated_at, created_at, updated_at
 `;
+/**
+ * A classe de exposição de uma categoria.
+ *
+ * Material de certificado NUNCA é revelável, e a regra vive nos dois lugares de
+ * propósito: aqui, para que a gravação nasça certa, e no CHECK da 0060, para que
+ * um caminho que ninguém escreveu ainda também nasça certo.
+ *
+ * Sem esta função, `createCredential` — a porta genérica do cofre, usada por
+ * rotas e seeds — gravaria `revealable` e receberia uma violação de constraint.
+ * O comportamento seria seguro e a mensagem, incompreensível: um 500 de
+ * constraint onde deveria haver uma gravação correta.
+ */
+function exposureFor(category) {
+    return category === 'certificate' ? 'write_only' : 'revealable';
+}
 async function createCredential(tx, keyring, tenantId, input) {
     const enc = (0, crypto_js_1.encryptSecret)(keyring, tenantId, input.secret);
+    const category = input.category ?? 'generic';
     const rows = await tx `
     INSERT INTO vault_credential (
       id, tenant_id, client_id, name, category, provider,
-      ciphertext, iv, auth_tag, key_version, metadata, expires_at, created_by
+      ciphertext, iv, auth_tag, key_version, metadata, expires_at, created_by, exposure
     ) VALUES (
       ${(0, shared_1.uuidv7)()},
       current_setting('app.current_tenant')::uuid,
       ${input.clientId ?? null},
       ${input.name},
-      ${input.category ?? 'generic'},
+      ${category},
       ${input.provider ?? null},
       ${enc.ciphertext}, ${enc.iv}, ${enc.authTag}, ${enc.keyVersion},
       ${tx.json((input.metadata ?? {}))},
       ${input.expiresAt ?? null},
-      ${input.createdBy ?? null}
+      ${input.createdBy ?? null},
+      ${exposureFor(category)}
     )
     RETURNING ${tx.unsafe(META_COLUMNS)}
   `;
@@ -72,11 +93,77 @@ async function getCredentialMeta(tx, id) {
         throw new shared_1.NotFoundError('Credencial não encontrada');
     return mapMeta(rows[0]);
 }
-/** Decifra e retorna o segredo em claro. A ROTA deve exigir `vault.credential.decrypt` e auditar. */
+/**
+ * Erro de quem pede para ver um segredo que não tem caminho de volta.
+ *
+ * Nomeado, e não um `NotFoundError`, porque a diferença importa para quem opera:
+ * "não existe" manda procurar; "não é revelável" manda substituir. Não carrega
+ * nome nem ponteiro — só a classe.
+ */
+class SecretNotRevealableError extends Error {
+    constructor() {
+        super('Esta credencial é write-only: não existe caminho de leitura para humano.');
+        this.name = 'SecretNotRevealableError';
+    }
+}
+exports.SecretNotRevealableError = SecretNotRevealableError;
+/**
+ * Decifra e retorna o segredo em claro. A ROTA deve exigir
+ * `vault.credential.decrypt` e auditar.
+ *
+ * ## O portão que faltava
+ *
+ * Esta função era o caminho ÚNICO de saída do cofre, e ela não perguntava que
+ * tipo de segredo estava devolvendo. Para uma chave de API isso é o
+ * comportamento desejado. Para o envelope de um certificado digital — que
+ * carrega a CHAVE PRIVADA do cliente em base64 — era a porta dos fundos: um
+ * `POST .../reveal` devolvia o material inteiro para a tela, e o papel
+ * `accountant` do catálogo já carregava a permissão.
+ *
+ * A recusa acontece DEPOIS de ler a linha e ANTES de decifrar: nem o custo da
+ * decifração é pago, e o texto em claro nunca chega a existir em memória.
+ */
 async function revealSecret(tx, keyring, tenantId, id) {
     const rows = await tx `
     SELECT ${tx.unsafe(META_COLUMNS)}, ciphertext, iv, auth_tag
     FROM vault_credential WHERE id = ${id} AND deleted_at IS NULL
+  `;
+    if (!rows[0])
+        throw new shared_1.NotFoundError('Credencial não encontrada');
+    const r = rows[0];
+    if ((r.exposure ?? 'revealable') === 'write_only')
+        throw new SecretNotRevealableError();
+    const secret = (0, crypto_js_1.decryptSecret)(keyring, tenantId, {
+        ciphertext: r.ciphertext,
+        iv: r.iv,
+        authTag: r.auth_tag,
+        keyVersion: r.key_version,
+    });
+    return { meta: mapMeta(r), secret };
+}
+/**
+ * O caminho de PROCESSO para um segredo write-only.
+ *
+ * ## Por que ela precisa existir, e por que não é exportada
+ *
+ * `revealSecret` passou a recusar `write_only` — o que fecha a rota humana e,
+ * sem esta função, quebraria o motor fiscal: `loadFiscalTlsMaterial` também
+ * decifra o mesmo envelope, e ele é justamente quem deve conseguir.
+ *
+ * A diferença entre os dois chamadores não é a permissão de quem pediu; é o
+ * DESTINO do texto em claro. Em `revealSecret` ele vira corpo de resposta HTTP e
+ * chega a uma tela. Aqui ele vira `Buffer` dentro de um `https.Agent`, é usado
+ * num handshake e é zerado — nunca atravessa a fronteira do processo.
+ *
+ * O nome grita o que a função faz porque é o único aviso que sobrevive a um
+ * autocomplete. E ela NÃO é reexportada pelo `index` do pacote: fora de
+ * `@baruk/core` não existe caminho para chamá-la, do mesmo modo que
+ * `grantFiscalSecretAccess` não existe fora daqui.
+ */
+async function revealWriteOnlySecretForProcess(tx, keyring, tenantId, id) {
+    const rows = await tx `
+    SELECT ${tx.unsafe(META_COLUMNS)}, ciphertext, iv, auth_tag
+    FROM vault_credential WHERE id = ${id} AND deleted_at IS NULL
   `;
     if (!rows[0])
         throw new shared_1.NotFoundError('Credencial não encontrada');

package/dist/cjs/vault/repository.js.map

@@ -1 +1 @@
-{"version":3,"file":"repository.js","sourceRoot":"","sources":["../../../src/vault/repository.ts"],"names":[],"mappings":";;AAmFA,4CA0BC;AAED,0CASC;AAED,8CAOC;AAGD,oCAmBC;AAiCD,gDA0BC;AAED,oCAkBC;AAED,oDAOC;AAGD,0DASC;AA6BD,gEAYC;AAED,wDAOC;AA7SD,0CAAsD;AAEtD,2CAAyE;AAiDzE,SAAS,OAAO,CAAC,CAAU;IACzB,OAAO;QACL,EAAE,EAAE,CAAC,CAAC,EAAE;QACR,QAAQ,EAAE,CAAC,CAAC,SAAS;QACrB,IAAI,EAAE,CAAC,CAAC,IAAI;QACZ,QAAQ,EAAE,CAAC,CAAC,QAAQ;QACpB,QAAQ,EAAE,CAAC,CAAC,QAAQ;QACpB,UAAU,EAAE,CAAC,CAAC,WAAW;QACzB,QAAQ,EAAE,CAAC,CAAC,QAAQ,IAAI,EAAE;QAC1B,SAAS,EAAE,CAAC,CAAC,UAAU,CAAC,CAAC,CAAC,CAAC,CAAC,UAAU,CAAC,WAAW,EAAE,CAAC,CAAC,CAAC,IAAI;QAC3D,SAAS,EAAE,CAAC,CAAC,UAAU,CAAC,CAAC,CAAC,CAAC,CAAC,UAAU,CAAC,WAAW,EAAE,CAAC,CAAC,CAAC,IAAI;QAC3D,SAAS,EAAE,CAAC,CAAC,UAAU,CAAC,WAAW,EAAE;QACrC,SAAS,EAAE,CAAC,CAAC,UAAU,CAAC,WAAW,EAAE;KACtC,CAAC;AACJ,CAAC;AAED,MAAM,YAAY,GAAG;;;CAGpB,CAAC;AAaK,KAAK,UAAU,gBAAgB,CACpC,EAAM,EACN,OAAgB,EAChB,QAAgB,EAChB,KAA4B;IAE5B,MAAM,GAAG,GAAG,IAAA,yBAAa,EAAC,OAAO,EAAE,QAAQ,EAAE,KAAK,CAAC,MAAM,CAAC,CAAC;IAC3D,MAAM,IAAI,GAAG,MAAM,EAAE,CAAW;;;;;QAK1B,IAAA,eAAM,GAAE;;QAER,KAAK,CAAC,QAAQ,IAAI,IAAI;QACtB,KAAK,CAAC,IAAI;QACV,KAAK,CAAC,QAAQ,IAAI,SAAS;QAC3B,KAAK,CAAC,QAAQ,IAAI,IAAI;QACtB,GAAG,CAAC,UAAU,KAAK,GAAG,CAAC,EAAE,KAAK,GAAG,CAAC,OAAO,KAAK,GAAG,CAAC,UAAU;QAC5D,EAAE,CAAC,IAAI,CAAC,CAAC,KAAK,CAAC,QAAQ,IAAI,EAAE,CAAU,CAAC;QACxC,KAAK,CAAC,SAAS,IAAI,IAAI;QACvB,KAAK,CAAC,SAAS,IAAI,IAAI;;gBAEf,EAAE,CAAC,MAAM,CAAC,YAAY,CAAC;GACpC,CAAC;IACF,OAAO,OAAO,CAAC,IAAI,CAAC,CAAC,CAAE,CAAC,CAAC;AAC3B,CAAC;AAEM,KAAK,UAAU,eAAe,CAAC,EAAM,EAAE,QAAiB;IAC7D,MAAM,IAAI,GAAG,MAAM,EAAE,CAAW;aACrB,EAAE,CAAC,MAAM,CAAC,YAAY,CAAC;;;aAGvB,QAAQ,IAAI,IAAI,gCAAgC,QAAQ,IAAI,IAAI;;GAE1E,CAAC;IACF,OAAO,IAAI,CAAC,GAAG,CAAC,OAAO,CAAC,CAAC;AAC3B,CAAC;AAEM,KAAK,UAAU,iBAAiB,CAAC,EAAM,EAAE,EAAU;IACxD,MAAM,IAAI,GAAG,MAAM,EAAE,CAAW;aACrB,EAAE,CAAC,MAAM,CAAC,YAAY,CAAC;uCACG,EAAE;GACtC,CAAC;IACF,IAAI,CAAC,IAAI,CAAC,CAAC,CAAC;QAAE,MAAM,IAAI,sBAAa,CAAC,2BAA2B,CAAC,CAAC;IACnE,OAAO,OAAO,CAAC,IAAI,CAAC,CAAC,CAAC,CAAC,CAAC;AAC1B,CAAC;AAED,qGAAqG;AAC9F,KAAK,UAAU,YAAY,CAChC,EAAM,EACN,OAAgB,EAChB,QAAgB,EAChB,EAAU;IAEV,MAAM,IAAI,GAAG,MAAM,EAAE,CAAoE;aAC9E,EAAE,CAAC,MAAM,CAAC,YAAY,CAAC;uCACG,EAAE;GACtC,CAAC;IACF,IAAI,CAAC,IAAI,CAAC,CAAC,CAAC;QAAE,MAAM,IAAI,sBAAa,CAAC,2BAA2B,CAAC,CAAC;IACnE,MAAM,CAAC,GAAG,IAAI,CAAC,CAAC,CAAC,CAAC;IAClB,MAAM,MAAM,GAAG,IAAA,yBAAa,EAAC,OAAO,EAAE,QAAQ,EAAE;QAC9C,UAAU,EAAE,CAAC,CAAC,UAAU;QACxB,EAAE,EAAE,CAAC,CAAC,EAAE;QACR,OAAO,EAAE,CAAC,CAAC,QAAQ;QACnB,UAAU,EAAE,CAAC,CAAC,WAAW;KAC1B,CAAC,CAAC;IACH,OAAO,EAAE,IAAI,EAAE,OAAO,CAAC,CAAC,CAAC,EAAE,MAAM,EAAE,CAAC;AACtC,CAAC;AAsBD;;;;;;;;;;GAUG;AACI,KAAK,UAAU,kBAAkB,CACtC,EAAM,EACN,OAAgB,EAChB,QAAgB,EAChB,IAAY;IAEZ,MAAM,IAAI,GAAG,MAAM,EAAE,CAAoE;aAC9E,EAAE,CAAC,MAAM,CAAC,YAAY,CAAC;;sDAEkB,IAAI;GACvD,CAAC;IACF,MAAM,CAAC,GAAG,IAAI,CAAC,CAAC,CAAC,CAAC;IAClB,IAAI,CAAC,CAAC;QAAE,OAAO,IAAI,CAAC;IAEpB,MAAM,IAAI,GAAG,OAAO,CAAC,CAAC,CAAC,CAAC;IACxB,IAAI,CAAC,CAAC,UAAU,IAAI,CAAC,CAAC,UAAU,CAAC,OAAO,EAAE,IAAI,IAAI,CAAC,GAAG,EAAE,EAAE,CAAC;QACzD,OAAO,EAAE,MAAM,EAAE,SAAS,EAAE,IAAI,EAAE,CAAC;IACrC,CAAC;IAED,MAAM,MAAM,GAAG,IAAA,yBAAa,EAAC,OAAO,EAAE,QAAQ,EAAE;QAC9C,UAAU,EAAE,CAAC,CAAC,UAAU;QACxB,EAAE,EAAE,CAAC,CAAC,EAAE;QACR,OAAO,EAAE,CAAC,CAAC,QAAQ;QACnB,UAAU,EAAE,CAAC,CAAC,WAAW;KAC1B,CAAC,CAAC;IACH,OAAO,EAAE,MAAM,EAAE,IAAI,EAAE,IAAI,EAAE,MAAM,EAAE,CAAC;AACxC,CAAC;AAEM,KAAK,UAAU,YAAY,CAChC,EAAM,EACN,OAAgB,EAChB,QAAgB,EAChB,EAAU,EACV,SAAiB,EACjB,SAAyB;IAEzB,MAAM,GAAG,GAAG,IAAA,yBAAa,EAAC,OAAO,EAAE,QAAQ,EAAE,SAAS,CAAC,CAAC;IACxD,MAAM,IAAI,GAAG,MAAM,EAAE,CAAA;;qBAEF,GAAG,CAAC,UAAU,UAAU,GAAG,CAAC,EAAE,gBAAgB,GAAG,CAAC,OAAO;sBACxD,GAAG,CAAC,UAAU;qBACf,SAAS,IAAI,IAAI;iBACrB,EAAE;;GAEhB,CAAC;IACF,OAAO,IAAI,CAAC,KAAK,CAAC;AACpB,CAAC;AAEM,KAAK,UAAU,oBAAoB,CAAC,EAAM,EAAE,EAAU;IAC3D,MAAM,IAAI,GAAG,MAAM,EAAE,CAAA;;iBAEN,EAAE;;GAEhB,CAAC;IACF,OAAO,IAAI,CAAC,KAAK,CAAC;AACpB,CAAC;AAED,4FAA4F;AACrF,KAAK,UAAU,uBAAuB,CAAC,EAAM,EAAE,IAAI,GAAG,EAAE;IAC7D,MAAM,IAAI,GAAG,MAAM,EAAE,CAAW;aACrB,EAAE,CAAC,MAAM,CAAC,YAAY,CAAC;;;mCAGD,IAAI;;GAEpC,CAAC;IACF,OAAO,IAAI,CAAC,GAAG,CAAC,OAAO,CAAC,CAAC;AAC3B,CAAC;AAED;;;;;;;;;;;GAWG;AACH;;;;;;;;;;;;;;GAcG;AACI,KAAK,UAAU,0BAA0B,CAC9C,EAAM,EACN,IAAY;IAEZ,MAAM,IAAI,GAAG,MAAM,EAAE,CAA2C;;uDAEX,IAAI;;GAExD,CAAC;IACF,MAAM,CAAC,GAAG,IAAI,CAAC,CAAC,CAAC,CAAC;IAClB,IAAI,CAAC,CAAC;QAAE,OAAO,SAAS,CAAC;IACzB,OAAO,EAAE,EAAE,EAAE,CAAC,CAAC,EAAE,EAAE,SAAS,EAAE,CAAC,CAAC,UAAU,CAAC,CAAC,CAAC,CAAC,CAAC,UAAU,CAAC,WAAW,EAAE,CAAC,CAAC,CAAC,IAAI,EAAE,CAAC;AACnF,CAAC;AAEM,KAAK,UAAU,sBAAsB,CAAC,EAAM,EAAE,IAAY;IAC/D,MAAM,IAAI,GAAG,MAAM,EAAE,CAAkB;;uDAEc,IAAI;;GAExD,CAAC;IACF,OAAO,IAAI,CAAC,CAAC,CAAC,EAAE,EAAE,IAAI,IAAI,CAAC;AAC7B,CAAC"}
+{"version":3,"file":"repository.js","sourceRoot":"","sources":["../../../src/vault/repository.ts"],"names":[],"mappings":";;;AAyGA,kCAEC;AAED,4CA4BC;AAED,0CASC;AAED,8CAOC;AAgCD,oCAoBC;AAqBD,0EAmBC;AAiCD,gDA0BC;AAED,oCAkBC;AAED,oDAOC;AAGD,0DASC;AA6BD,gEAYC;AAED,wDAOC;AA/YD,0CAAsD;AAEtD,2CAAyE;AA0DzE,SAAS,OAAO,CAAC,CAAU;IACzB,OAAO;QACL,EAAE,EAAE,CAAC,CAAC,EAAE;QACR,QAAQ,EAAE,CAAC,CAAC,SAAS;QACrB,IAAI,EAAE,CAAC,CAAC,IAAI;QACZ,QAAQ,EAAE,CAAC,CAAC,QAAQ;QACpB,QAAQ,EAAE,CAAC,CAAC,QAAQ;QACpB,QAAQ,EAAE,CAAC,CAAC,QAAQ,IAAI,YAAY;QACpC,UAAU,EAAE,CAAC,CAAC,WAAW;QACzB,QAAQ,EAAE,CAAC,CAAC,QAAQ,IAAI,EAAE;QAC1B,SAAS,EAAE,CAAC,CAAC,UAAU,CAAC,CAAC,CAAC,CAAC,CAAC,UAAU,CAAC,WAAW,EAAE,CAAC,CAAC,CAAC,IAAI;QAC3D,SAAS,EAAE,CAAC,CAAC,UAAU,CAAC,CAAC,CAAC,CAAC,CAAC,UAAU,CAAC,WAAW,EAAE,CAAC,CAAC,CAAC,IAAI;QAC3D,SAAS,EAAE,CAAC,CAAC,UAAU,CAAC,WAAW,EAAE;QACrC,SAAS,EAAE,CAAC,CAAC,UAAU,CAAC,WAAW,EAAE;KACtC,CAAC;AACJ,CAAC;AAED,MAAM,YAAY,GAAG;;;CAGpB,CAAC;AAaF;;;;;;;;;;;GAWG;AACH,SAAgB,WAAW,CAAC,QAAuB;IACjD,OAAO,QAAQ,KAAK,aAAa,CAAC,CAAC,CAAC,YAAY,CAAC,CAAC,CAAC,YAAY,CAAC;AAClE,CAAC;AAEM,KAAK,UAAU,gBAAgB,CACpC,EAAM,EACN,OAAgB,EAChB,QAAgB,EAChB,KAA4B;IAE5B,MAAM,GAAG,GAAG,IAAA,yBAAa,EAAC,OAAO,EAAE,QAAQ,EAAE,KAAK,CAAC,MAAM,CAAC,CAAC;IAC3D,MAAM,QAAQ,GAAG,KAAK,CAAC,QAAQ,IAAI,SAAS,CAAC;IAC7C,MAAM,IAAI,GAAG,MAAM,EAAE,CAAW;;;;;QAK1B,IAAA,eAAM,GAAE;;QAER,KAAK,CAAC,QAAQ,IAAI,IAAI;QACtB,KAAK,CAAC,IAAI;QACV,QAAQ;QACR,KAAK,CAAC,QAAQ,IAAI,IAAI;QACtB,GAAG,CAAC,UAAU,KAAK,GAAG,CAAC,EAAE,KAAK,GAAG,CAAC,OAAO,KAAK,GAAG,CAAC,UAAU;QAC5D,EAAE,CAAC,IAAI,CAAC,CAAC,KAAK,CAAC,QAAQ,IAAI,EAAE,CAAU,CAAC;QACxC,KAAK,CAAC,SAAS,IAAI,IAAI;QACvB,KAAK,CAAC,SAAS,IAAI,IAAI;QACvB,WAAW,CAAC,QAAQ,CAAC;;gBAEb,EAAE,CAAC,MAAM,CAAC,YAAY,CAAC;GACpC,CAAC;IACF,OAAO,OAAO,CAAC,IAAI,CAAC,CAAC,CAAE,CAAC,CAAC;AAC3B,CAAC;AAEM,KAAK,UAAU,eAAe,CAAC,EAAM,EAAE,QAAiB;IAC7D,MAAM,IAAI,GAAG,MAAM,EAAE,CAAW;aACrB,EAAE,CAAC,MAAM,CAAC,YAAY,CAAC;;;aAGvB,QAAQ,IAAI,IAAI,gCAAgC,QAAQ,IAAI,IAAI;;GAE1E,CAAC;IACF,OAAO,IAAI,CAAC,GAAG,CAAC,OAAO,CAAC,CAAC;AAC3B,CAAC;AAEM,KAAK,UAAU,iBAAiB,CAAC,EAAM,EAAE,EAAU;IACxD,MAAM,IAAI,GAAG,MAAM,EAAE,CAAW;aACrB,EAAE,CAAC,MAAM,CAAC,YAAY,CAAC;uCACG,EAAE;GACtC,CAAC;IACF,IAAI,CAAC,IAAI,CAAC,CAAC,CAAC;QAAE,MAAM,IAAI,sBAAa,CAAC,2BAA2B,CAAC,CAAC;IACnE,OAAO,OAAO,CAAC,IAAI,CAAC,CAAC,CAAC,CAAC,CAAC;AAC1B,CAAC;AAED;;;;;;GAMG;AACH,MAAa,wBAAyB,SAAQ,KAAK;IACjD;QACE,KAAK,CAAC,0EAA0E,CAAC,CAAC;QAClF,IAAI,CAAC,IAAI,GAAG,0BAA0B,CAAC;IACzC,CAAC;CACF;AALD,4DAKC;AAED;;;;;;;;;;;;;;;GAeG;AACI,KAAK,UAAU,YAAY,CAChC,EAAM,EACN,OAAgB,EAChB,QAAgB,EAChB,EAAU;IAEV,MAAM,IAAI,GAAG,MAAM,EAAE,CAAoE;aAC9E,EAAE,CAAC,MAAM,CAAC,YAAY,CAAC;uCACG,EAAE;GACtC,CAAC;IACF,IAAI,CAAC,IAAI,CAAC,CAAC,CAAC;QAAE,MAAM,IAAI,sBAAa,CAAC,2BAA2B,CAAC,CAAC;IACnE,MAAM,CAAC,GAAG,IAAI,CAAC,CAAC,CAAC,CAAC;IAClB,IAAI,CAAC,CAAC,CAAC,QAAQ,IAAI,YAAY,CAAC,KAAK,YAAY;QAAE,MAAM,IAAI,wBAAwB,EAAE,CAAC;IACxF,MAAM,MAAM,GAAG,IAAA,yBAAa,EAAC,OAAO,EAAE,QAAQ,EAAE;QAC9C,UAAU,EAAE,CAAC,CAAC,UAAU;QACxB,EAAE,EAAE,CAAC,CAAC,EAAE;QACR,OAAO,EAAE,CAAC,CAAC,QAAQ;QACnB,UAAU,EAAE,CAAC,CAAC,WAAW;KAC1B,CAAC,CAAC;IACH,OAAO,EAAE,IAAI,EAAE,OAAO,CAAC,CAAC,CAAC,EAAE,MAAM,EAAE,CAAC;AACtC,CAAC;AAED;;;;;;;;;;;;;;;;;;GAkBG;AACI,KAAK,UAAU,+BAA+B,CACnD,EAAM,EACN,OAAgB,EAChB,QAAgB,EAChB,EAAU;IAEV,MAAM,IAAI,GAAG,MAAM,EAAE,CAAoE;aAC9E,EAAE,CAAC,MAAM,CAAC,YAAY,CAAC;uCACG,EAAE;GACtC,CAAC;IACF,IAAI,CAAC,IAAI,CAAC,CAAC,CAAC;QAAE,MAAM,IAAI,sBAAa,CAAC,2BAA2B,CAAC,CAAC;IACnE,MAAM,CAAC,GAAG,IAAI,CAAC,CAAC,CAAC,CAAC;IAClB,MAAM,MAAM,GAAG,IAAA,yBAAa,EAAC,OAAO,EAAE,QAAQ,EAAE;QAC9C,UAAU,EAAE,CAAC,CAAC,UAAU;QACxB,EAAE,EAAE,CAAC,CAAC,EAAE;QACR,OAAO,EAAE,CAAC,CAAC,QAAQ;QACnB,UAAU,EAAE,CAAC,CAAC,WAAW;KAC1B,CAAC,CAAC;IACH,OAAO,EAAE,IAAI,EAAE,OAAO,CAAC,CAAC,CAAC,EAAE,MAAM,EAAE,CAAC;AACtC,CAAC;AAsBD;;;;;;;;;;GAUG;AACI,KAAK,UAAU,kBAAkB,CACtC,EAAM,EACN,OAAgB,EAChB,QAAgB,EAChB,IAAY;IAEZ,MAAM,IAAI,GAAG,MAAM,EAAE,CAAoE;aAC9E,EAAE,CAAC,MAAM,CAAC,YAAY,CAAC;;sDAEkB,IAAI;GACvD,CAAC;IACF,MAAM,CAAC,GAAG,IAAI,CAAC,CAAC,CAAC,CAAC;IAClB,IAAI,CAAC,CAAC;QAAE,OAAO,IAAI,CAAC;IAEpB,MAAM,IAAI,GAAG,OAAO,CAAC,CAAC,CAAC,CAAC;IACxB,IAAI,CAAC,CAAC,UAAU,IAAI,CAAC,CAAC,UAAU,CAAC,OAAO,EAAE,IAAI,IAAI,CAAC,GAAG,EAAE,EAAE,CAAC;QACzD,OAAO,EAAE,MAAM,EAAE,SAAS,EAAE,IAAI,EAAE,CAAC;IACrC,CAAC;IAED,MAAM,MAAM,GAAG,IAAA,yBAAa,EAAC,OAAO,EAAE,QAAQ,EAAE;QAC9C,UAAU,EAAE,CAAC,CAAC,UAAU;QACxB,EAAE,EAAE,CAAC,CAAC,EAAE;QACR,OAAO,EAAE,CAAC,CAAC,QAAQ;QACnB,UAAU,EAAE,CAAC,CAAC,WAAW;KAC1B,CAAC,CAAC;IACH,OAAO,EAAE,MAAM,EAAE,IAAI,EAAE,IAAI,EAAE,MAAM,EAAE,CAAC;AACxC,CAAC;AAEM,KAAK,UAAU,YAAY,CAChC,EAAM,EACN,OAAgB,EAChB,QAAgB,EAChB,EAAU,EACV,SAAiB,EACjB,SAAyB;IAEzB,MAAM,GAAG,GAAG,IAAA,yBAAa,EAAC,OAAO,EAAE,QAAQ,EAAE,SAAS,CAAC,CAAC;IACxD,MAAM,IAAI,GAAG,MAAM,EAAE,CAAA;;qBAEF,GAAG,CAAC,UAAU,UAAU,GAAG,CAAC,EAAE,gBAAgB,GAAG,CAAC,OAAO;sBACxD,GAAG,CAAC,UAAU;qBACf,SAAS,IAAI,IAAI;iBACrB,EAAE;;GAEhB,CAAC;IACF,OAAO,IAAI,CAAC,KAAK,CAAC;AACpB,CAAC;AAEM,KAAK,UAAU,oBAAoB,CAAC,EAAM,EAAE,EAAU;IAC3D,MAAM,IAAI,GAAG,MAAM,EAAE,CAAA;;iBAEN,EAAE;;GAEhB,CAAC;IACF,OAAO,IAAI,CAAC,KAAK,CAAC;AACpB,CAAC;AAED,4FAA4F;AACrF,KAAK,UAAU,uBAAuB,CAAC,EAAM,EAAE,IAAI,GAAG,EAAE;IAC7D,MAAM,IAAI,GAAG,MAAM,EAAE,CAAW;aACrB,EAAE,CAAC,MAAM,CAAC,YAAY,CAAC;;;mCAGD,IAAI;;GAEpC,CAAC;IACF,OAAO,IAAI,CAAC,GAAG,CAAC,OAAO,CAAC,CAAC;AAC3B,CAAC;AAED;;;;;;;;;;;GAWG;AACH;;;;;;;;;;;;;;GAcG;AACI,KAAK,UAAU,0BAA0B,CAC9C,EAAM,EACN,IAAY;IAEZ,MAAM,IAAI,GAAG,MAAM,EAAE,CAA2C;;uDAEX,IAAI;;GAExD,CAAC;IACF,MAAM,CAAC,GAAG,IAAI,CAAC,CAAC,CAAC,CAAC;IAClB,IAAI,CAAC,CAAC;QAAE,OAAO,SAAS,CAAC;IACzB,OAAO,EAAE,EAAE,EAAE,CAAC,CAAC,EAAE,EAAE,SAAS,EAAE,CAAC,CAAC,UAAU,CAAC,CAAC,CAAC,CAAC,CAAC,UAAU,CAAC,WAAW,EAAE,CAAC,CAAC,CAAC,IAAI,EAAE,CAAC;AACnF,CAAC;AAEM,KAAK,UAAU,sBAAsB,CAAC,EAAM,EAAE,IAAY;IAC/D,MAAM,IAAI,GAAG,MAAM,EAAE,CAAkB;;uDAEc,IAAI;;GAExD,CAAC;IACF,OAAO,IAAI,CAAC,CAAC,CAAC,EAAE,EAAE,IAAI,IAAI,CAAC;AAC7B,CAAC"}

package/dist/clients/ibge.d.ts

@@ -0,0 +1,17 @@
+/** A UF que o próprio código declara, ou `null` se o prefixo não é de UF alguma. */
+export declare function ufOfIbgeCode(code: string | null | undefined): string | null;
+/** Só para o teste de equivalência e para a tela: as UFs que o motor reconhece. */
+export declare function knownUfs(): string[];
+/**
+ * Recusa o par (código, UF) quando ele se contradiz.
+ *
+ * Recebe o ESTADO RESULTANTE, nunca o corpo da requisição: num PATCH que muda
+ * só a UF, o código incoerente é o que já estava gravado. Validar o payload
+ * deixaria passar exatamente a metade dos casos.
+ *
+ * UF ausente não é contradição — é dado faltando, e o cliente pode ficar sem
+ * UF de propósito enquanto o escritório confere. O código sozinho já carrega a
+ * jurisdição estadual.
+ */
+export declare function assertIbgeCoherent(code: string | null, uf: string | null): void;
+//# sourceMappingURL=ibge.d.ts.map

package/dist/clients/ibge.d.ts.map

@@ -0,0 +1 @@
+{"version":3,"file":"ibge.d.ts","sourceRoot":"","sources":["../../src/clients/ibge.ts"],"names":[],"mappings":"AA4EA,oFAAoF;AACpF,wBAAgB,YAAY,CAAC,IAAI,EAAE,MAAM,GAAG,IAAI,GAAG,SAAS,GAAG,MAAM,GAAG,IAAI,CAI3E;AAED,mFAAmF;AACnF,wBAAgB,QAAQ,IAAI,MAAM,EAAE,CAEnC;AAED;;;;;;;;;;GAUG;AACH,wBAAgB,kBAAkB,CAAC,IAAI,EAAE,MAAM,GAAG,IAAI,EAAE,EAAE,EAAE,MAAM,GAAG,IAAI,GAAG,IAAI,CAoB/E"}

package/dist/clients/ibge.js

@@ -0,0 +1,112 @@
+import { ValidationError } from '@baruk/shared';
+/**
+ * Coerência do código IBGE do município — SEM catálogo de municípios.
+ *
+ * O problema real: a validação anterior era `^[0-9]{7}$` e só. Um operador
+ * podia digitar 3550308 para um cliente declarado em Goiás, e o motor fiscal
+ * passaria a casar esse cliente com regra municipal de São Paulo. Nada no
+ * sistema contradizia o dado.
+ *
+ * O que este módulo faz é o pedaço da verificação que NÃO depende de fonte
+ * externa: os dois primeiros dígitos de todo código de município são o código
+ * da UF, e essa tabela é fechada em 27 valores desde 1988. Com ela dá para
+ * recusar (a) prefixo que não é UF nenhuma e (b) município de um estado
+ * atribuído a cliente de outro — que é o erro de digitação e de copiar-colar
+ * que produz jurisdição errada.
+ *
+ * O que este módulo deliberadamente NÃO faz:
+ *
+ * - Não confere o dígito verificador. O algoritmo circula publicamente, mas
+ *   não temos aqui a lista dos 5.570 códigos reais para provar que todos
+ *   fecham por ele. Um falso negativo recusaria o cadastro de um município
+ *   legítimo — pior que a dívida que estamos fechando, porque quebra a
+ *   operação do escritório em vez de apenas deixar passar um dado errado.
+ * - Não afirma que o município existe. 5299999 tem prefixo de Goiás e passa
+ *   daqui; só um catálogo oficial recusaria. Continua dívida documentada.
+ *
+ * Ou seja: o que passa daqui é COERENTE, não é VERIFICADO. A distinção está
+ * na mensagem de erro e no relatório da fase, e não deve ser apagada.
+ *
+ * ## O catálogo passou a existir — e esta função continua como está
+ *
+ * `clients/registry/ibge.ts` traz os 5.571 municípios oficiais, e com ele dá
+ * para responder "este código existe?". Ligá-lo AQUI seria endurecer uma
+ * validação de escrita que já governa cadastro gravado: um código legítimo que
+ * o dataset não tivesse — município novo, dataset defasado — passaria a
+ * bloquear a edição de um cliente que hoje funciona, e a falha apareceria como
+ * "não consigo salvar" sem ninguém saber por quê.
+ *
+ * O catálogo entra pelo caminho novo, onde ele PROPÕE em vez de recusar: a
+ * consulta oficial resolve o nome do município para um código, e um nome que
+ * ele não conhece vira uma pergunta na tela. Endurecer esta função é uma
+ * decisão separada, com migração de dados por trás.
+ */
+/** Os 27 prefixos oficiais. Tabela fechada — não é fonte de dados externa. */
+const UF_BY_PREFIX = Object.freeze({
+    '11': 'RO',
+    '12': 'AC',
+    '13': 'AM',
+    '14': 'RR',
+    '15': 'PA',
+    '16': 'AP',
+    '17': 'TO',
+    '21': 'MA',
+    '22': 'PI',
+    '23': 'CE',
+    '24': 'RN',
+    '25': 'PB',
+    '26': 'PE',
+    '27': 'AL',
+    '28': 'SE',
+    '29': 'BA',
+    '31': 'MG',
+    '32': 'ES',
+    '33': 'RJ',
+    '35': 'SP',
+    '41': 'PR',
+    '42': 'SC',
+    '43': 'RS',
+    '50': 'MS',
+    '51': 'MT',
+    '52': 'GO',
+    '53': 'DF',
+});
+/** A UF que o próprio código declara, ou `null` se o prefixo não é de UF alguma. */
+export function ufOfIbgeCode(code) {
+    const t = code?.trim();
+    if (!t || !/^[0-9]{7}$/.test(t))
+        return null;
+    return UF_BY_PREFIX[t.slice(0, 2)] ?? null;
+}
+/** Só para o teste de equivalência e para a tela: as UFs que o motor reconhece. */
+export function knownUfs() {
+    return Object.values(UF_BY_PREFIX).slice().sort();
+}
+/**
+ * Recusa o par (código, UF) quando ele se contradiz.
+ *
+ * Recebe o ESTADO RESULTANTE, nunca o corpo da requisição: num PATCH que muda
+ * só a UF, o código incoerente é o que já estava gravado. Validar o payload
+ * deixaria passar exatamente a metade dos casos.
+ *
+ * UF ausente não é contradição — é dado faltando, e o cliente pode ficar sem
+ * UF de propósito enquanto o escritório confere. O código sozinho já carrega a
+ * jurisdição estadual.
+ */
+export function assertIbgeCoherent(code, uf) {
+    if (!code)
+        return;
+    if (!/^[0-9]{7}$/.test(code)) {
+        throw new ValidationError('Código IBGE do município tem 7 dígitos.', {
+            field: 'municipalityIbgeCode',
+        });
+    }
+    const declared = ufOfIbgeCode(code);
+    if (declared === null) {
+        throw new ValidationError(`Código IBGE ${code} não começa com um código de UF válido — os dois primeiros dígitos identificam o estado.`, { field: 'municipalityIbgeCode' });
+    }
+    if (uf && declared !== uf) {
+        throw new ValidationError(`Código IBGE ${code} é de município de ${declared}, mas o cliente está em ${uf}. Corrija o código ou a UF.`, { field: 'municipalityIbgeCode', declaredUf: declared, clientUf: uf });
+    }
+}
+//# sourceMappingURL=ibge.js.map

package/dist/clients/ibge.js.map

@@ -0,0 +1 @@
+{"version":3,"file":"ibge.js","sourceRoot":"","sources":["../../src/clients/ibge.ts"],"names":[],"mappings":"AAAA,OAAO,EAAE,eAAe,EAAE,MAAM,eAAe,CAAC;AAEhD;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;GAyCG;AAEH,8EAA8E;AAC9E,MAAM,YAAY,GAAqC,MAAM,CAAC,MAAM,CAAC;IACnE,IAAI,EAAE,IAAI;IACV,IAAI,EAAE,IAAI;IACV,IAAI,EAAE,IAAI;IACV,IAAI,EAAE,IAAI;IACV,IAAI,EAAE,IAAI;IACV,IAAI,EAAE,IAAI;IACV,IAAI,EAAE,IAAI;IACV,IAAI,EAAE,IAAI;IACV,IAAI,EAAE,IAAI;IACV,IAAI,EAAE,IAAI;IACV,IAAI,EAAE,IAAI;IACV,IAAI,EAAE,IAAI;IACV,IAAI,EAAE,IAAI;IACV,IAAI,EAAE,IAAI;IACV,IAAI,EAAE,IAAI;IACV,IAAI,EAAE,IAAI;IACV,IAAI,EAAE,IAAI;IACV,IAAI,EAAE,IAAI;IACV,IAAI,EAAE,IAAI;IACV,IAAI,EAAE,IAAI;IACV,IAAI,EAAE,IAAI;IACV,IAAI,EAAE,IAAI;IACV,IAAI,EAAE,IAAI;IACV,IAAI,EAAE,IAAI;IACV,IAAI,EAAE,IAAI;IACV,IAAI,EAAE,IAAI;IACV,IAAI,EAAE,IAAI;CACX,CAAC,CAAC;AAEH,oFAAoF;AACpF,MAAM,UAAU,YAAY,CAAC,IAA+B;IAC1D,MAAM,CAAC,GAAG,IAAI,EAAE,IAAI,EAAE,CAAC;IACvB,IAAI,CAAC,CAAC,IAAI,CAAC,YAAY,CAAC,IAAI,CAAC,CAAC,CAAC;QAAE,OAAO,IAAI,CAAC;IAC7C,OAAO,YAAY,CAAC,CAAC,CAAC,KAAK,CAAC,CAAC,EAAE,CAAC,CAAC,CAAC,IAAI,IAAI,CAAC;AAC7C,CAAC;AAED,mFAAmF;AACnF,MAAM,UAAU,QAAQ;IACtB,OAAO,MAAM,CAAC,MAAM,CAAC,YAAY,CAAC,CAAC,KAAK,EAAE,CAAC,IAAI,EAAE,CAAC;AACpD,CAAC;AAED;;;;;;;;;;GAUG;AACH,MAAM,UAAU,kBAAkB,CAAC,IAAmB,EAAE,EAAiB;IACvE,IAAI,CAAC,IAAI;QAAE,OAAO;IAClB,IAAI,CAAC,YAAY,CAAC,IAAI,CAAC,IAAI,CAAC,EAAE,CAAC;QAC7B,MAAM,IAAI,eAAe,CAAC,yCAAyC,EAAE;YACnE,KAAK,EAAE,sBAAsB;SAC9B,CAAC,CAAC;IACL,CAAC;IACD,MAAM,QAAQ,GAAG,YAAY,CAAC,IAAI,CAAC,CAAC;IACpC,IAAI,QAAQ,KAAK,IAAI,EAAE,CAAC;QACtB,MAAM,IAAI,eAAe,CACvB,eAAe,IAAI,0FAA0F,EAC7G,EAAE,KAAK,EAAE,sBAAsB,EAAE,CAClC,CAAC;IACJ,CAAC;IACD,IAAI,EAAE,IAAI,QAAQ,KAAK,EAAE,EAAE,CAAC;QAC1B,MAAM,IAAI,eAAe,CACvB,eAAe,IAAI,sBAAsB,QAAQ,2BAA2B,EAAE,6BAA6B,EAC3G,EAAE,KAAK,EAAE,sBAAsB,EAAE,UAAU,EAAE,QAAQ,EAAE,QAAQ,EAAE,EAAE,EAAE,CACtE,CAAC;IACJ,CAAC;AACH,CAAC"}

package/dist/clients/registry/http.d.ts

@@ -0,0 +1,61 @@
+import { type CompanyRegistryProvider, type CompanyRegistryRecord } from './provider.js';
+/**
+ * O caminho de rede de uma consulta cadastral — e o que ele recusa.
+ *
+ * ## A allowlist não é higiene, é a defesa
+ *
+ * Um provedor de CNPJ é configurado por URL. Uma URL configurável é um pedido
+ * de SSRF assinado: quem conseguir escrever a configuração faz o servidor
+ * buscar `http://169.254.169.254/` e devolver as credenciais da instância na
+ * tela de cadastro de cliente. Por isso o host **não vem da configuração** — a
+ * configuração escolhe entre hosts que este arquivo já conhece.
+ *
+ * ## Redirecionamento é recusado, não seguido
+ *
+ * Uma allowlist que valida a primeira URL e segue redirects não é allowlist: o
+ * host permitido responde `302` para onde quiser e o destino final nunca é
+ * conferido. `redirect: 'error'` é o que torna a lista verdadeira.
+ *
+ * ## Nem a URL nem a resposta crua entram em erro
+ *
+ * Credencial de provedor viaja em cabeçalho — e, em alguns, em query string.
+ * Uma mensagem de erro que cita a URL copia o segredo para o log, para o Sentry
+ * e para a tela. Toda falha aqui vira um dos códigos fechados de
+ * `CompanyLookupFailure`, e nada mais.
+ */
+/**
+ * Os hosts que este produto aceita consultar.
+ *
+ * Fontes OFICIAIS apenas. Um agregador comunitário gratuito não entra aqui nem
+ * como conveniência: o dado que ele devolve não tem autoria, e um cadastro
+ * fiscal montado sobre dado sem autoria é um cadastro que ninguém assina.
+ */
+export declare const ALLOWED_REGISTRY_HOSTS: readonly string[];
+export declare class RegistryHostNotAllowedError extends Error {
+    readonly host: string;
+    constructor(host: string);
+}
+/** Recusa qualquer destino fora da lista — antes de existir socket. */
+export declare function assertAllowedRegistryUrl(url: string): URL;
+export declare const REGISTRY_REQUEST_TIMEOUT_MS = 12000;
+/** Teto de corpo lido. Um provedor não manda megabytes para um CNPJ. */
+export declare const REGISTRY_MAX_RESPONSE_BYTES: number;
+export interface HttpRegistryOptions {
+    name: string;
+    official: boolean;
+    /** URL completa da consulta, já com o CNPJ. Passa pela allowlist. */
+    buildUrl(cnpj: string): string;
+    /** Cabeçalhos — é aqui que a credencial entra, e de onde ela nunca sai. */
+    headers(): Record<string, string>;
+    /** Traduz o corpo do provedor para o retrato normalizado. */
+    parse(body: unknown): CompanyRegistryRecord | null;
+    timeoutMs?: number;
+    /** Substituível só nos testes; em produção é o `fetch` do runtime. */
+    fetchImpl?: typeof fetch;
+}
+/**
+ * Monta um provedor sobre HTTP. Genérico de propósito: o Serpro é o primeiro,
+ * e não deve ser o único que este produto saiba falar.
+ */
+export declare function createHttpCompanyRegistry(options: HttpRegistryOptions): CompanyRegistryProvider;
+//# sourceMappingURL=http.d.ts.map

package/dist/clients/registry/http.d.ts.map

@@ -0,0 +1 @@
+{"version":3,"file":"http.d.ts","sourceRoot":"","sources":["../../../src/clients/registry/http.ts"],"names":[],"mappings":"AAAA,OAAO,EAIL,KAAK,uBAAuB,EAC5B,KAAK,qBAAqB,EAC3B,MAAM,eAAe,CAAC;AAEvB;;;;;;;;;;;;;;;;;;;;;;;GAuBG;AAEH;;;;;;GAMG;AACH,eAAO,MAAM,sBAAsB,EAAE,SAAS,MAAM,EAGnD,CAAC;AAEF,qBAAa,2BAA4B,SAAQ,KAAK;IACxC,QAAQ,CAAC,IAAI,EAAE,MAAM;gBAAZ,IAAI,EAAE,MAAM;CAMlC;AAED,uEAAuE;AACvE,wBAAgB,wBAAwB,CAAC,GAAG,EAAE,MAAM,GAAG,GAAG,CAczD;AAED,eAAO,MAAM,2BAA2B,QAAS,CAAC;AAElD,wEAAwE;AACxE,eAAO,MAAM,2BAA2B,QAAa,CAAC;AAEtD,MAAM,WAAW,mBAAmB;IAClC,IAAI,EAAE,MAAM,CAAC;IACb,QAAQ,EAAE,OAAO,CAAC;IAClB,qEAAqE;IACrE,QAAQ,CAAC,IAAI,EAAE,MAAM,GAAG,MAAM,CAAC;IAC/B,2EAA2E;IAC3E,OAAO,IAAI,MAAM,CAAC,MAAM,EAAE,MAAM,CAAC,CAAC;IAClC,6DAA6D;IAC7D,KAAK,CAAC,IAAI,EAAE,OAAO,GAAG,qBAAqB,GAAG,IAAI,CAAC;IACnD,SAAS,CAAC,EAAE,MAAM,CAAC;IACnB,sEAAsE;IACtE,SAAS,CAAC,EAAE,OAAO,KAAK,CAAC;CAC1B;AAUD;;;GAGG;AACH,wBAAgB,yBAAyB,CAAC,OAAO,EAAE,mBAAmB,GAAG,uBAAuB,CAkE/F"}

package/dist/clients/registry/http.js

@@ -0,0 +1,151 @@
+import { cnpjDigits, } from './provider.js';
+/**
+ * O caminho de rede de uma consulta cadastral — e o que ele recusa.
+ *
+ * ## A allowlist não é higiene, é a defesa
+ *
+ * Um provedor de CNPJ é configurado por URL. Uma URL configurável é um pedido
+ * de SSRF assinado: quem conseguir escrever a configuração faz o servidor
+ * buscar `http://169.254.169.254/` e devolver as credenciais da instância na
+ * tela de cadastro de cliente. Por isso o host **não vem da configuração** — a
+ * configuração escolhe entre hosts que este arquivo já conhece.
+ *
+ * ## Redirecionamento é recusado, não seguido
+ *
+ * Uma allowlist que valida a primeira URL e segue redirects não é allowlist: o
+ * host permitido responde `302` para onde quiser e o destino final nunca é
+ * conferido. `redirect: 'error'` é o que torna a lista verdadeira.
+ *
+ * ## Nem a URL nem a resposta crua entram em erro
+ *
+ * Credencial de provedor viaja em cabeçalho — e, em alguns, em query string.
+ * Uma mensagem de erro que cita a URL copia o segredo para o log, para o Sentry
+ * e para a tela. Toda falha aqui vira um dos códigos fechados de
+ * `CompanyLookupFailure`, e nada mais.
+ */
+/**
+ * Os hosts que este produto aceita consultar.
+ *
+ * Fontes OFICIAIS apenas. Um agregador comunitário gratuito não entra aqui nem
+ * como conveniência: o dado que ele devolve não tem autoria, e um cadastro
+ * fiscal montado sobre dado sem autoria é um cadastro que ninguém assina.
+ */
+export const ALLOWED_REGISTRY_HOSTS = [
+    // Serpro — Consulta CNPJ (contrato comercial; ver `serpro.ts`).
+    'gateway.apiserpro.serpro.gov.br',
+];
+export class RegistryHostNotAllowedError extends Error {
+    host;
+    constructor(host) {
+        // A mensagem cita o HOST, nunca a URL: o host não carrega credencial, o
+        // caminho e a query podem carregar.
+        super(`host de consulta cadastral não permitido: ${host}`);
+        this.host = host;
+        this.name = 'RegistryHostNotAllowedError';
+    }
+}
+/** Recusa qualquer destino fora da lista — antes de existir socket. */
+export function assertAllowedRegistryUrl(url) {
+    let parsed;
+    try {
+        parsed = new URL(url);
+    }
+    catch {
+        throw new RegistryHostNotAllowedError('(url inválida)');
+    }
+    // `https` obrigatório: em `http` a credencial do cabeçalho viaja em claro, e
+    // um provedor oficial que só falasse `http` seria motivo para não integrar.
+    if (parsed.protocol !== 'https:')
+        throw new RegistryHostNotAllowedError(parsed.protocol);
+    if (!ALLOWED_REGISTRY_HOSTS.includes(parsed.hostname)) {
+        throw new RegistryHostNotAllowedError(parsed.hostname);
+    }
+    return parsed;
+}
+export const REGISTRY_REQUEST_TIMEOUT_MS = 12_000;
+/** Teto de corpo lido. Um provedor não manda megabytes para um CNPJ. */
+export const REGISTRY_MAX_RESPONSE_BYTES = 512 * 1024;
+function classifyStatus(status) {
+    if (status === 404)
+        return 'not_found';
+    if (status === 429)
+        return 'rate_limited';
+    if (status === 401 || status === 403)
+        return 'provider_not_configured';
+    if (status >= 500)
+        return 'provider_unavailable';
+    return 'unexpected_payload';
+}
+/**
+ * Monta um provedor sobre HTTP. Genérico de propósito: o Serpro é o primeiro,
+ * e não deve ser o único que este produto saiba falar.
+ */
+export function createHttpCompanyRegistry(options) {
+    const doFetch = options.fetchImpl ?? fetch;
+    const timeoutMs = options.timeoutMs ?? REGISTRY_REQUEST_TIMEOUT_MS;
+    return {
+        name: options.name,
+        official: options.official,
+        async lookup(input) {
+            const cnpj = cnpjDigits(input);
+            const source = options.name;
+            const recusa = (reason) => ({
+                status: 'failed',
+                reason,
+                source,
+            });
+            let url;
+            try {
+                url = assertAllowedRegistryUrl(options.buildUrl(cnpj));
+            }
+            catch {
+                // Destino fora da lista não é "provedor fora do ar": é configuração
+                // errada, e o operador precisa ver a diferença.
+                return recusa('provider_not_configured');
+            }
+            const abort = new AbortController();
+            const timer = setTimeout(() => abort.abort(), timeoutMs);
+            let res;
+            try {
+                res = await doFetch(url, {
+                    method: 'GET',
+                    headers: { accept: 'application/json', ...options.headers() },
+                    signal: abort.signal,
+                    // Ver o cabeçalho deste arquivo: seguir redirect anula a allowlist.
+                    redirect: 'error',
+                });
+            }
+            catch {
+                return recusa('provider_unavailable');
+            }
+            finally {
+                clearTimeout(timer);
+            }
+            if (!res.ok)
+                return recusa(classifyStatus(res.status));
+            let body;
+            try {
+                const texto = await res.text();
+                if (texto.length > REGISTRY_MAX_RESPONSE_BYTES)
+                    return recusa('unexpected_payload');
+                body = JSON.parse(texto);
+            }
+            catch {
+                return recusa('unexpected_payload');
+            }
+            let record;
+            try {
+                record = options.parse(body);
+            }
+            catch {
+                // Um `parse` que estoura é payload inesperado, não indisponibilidade —
+                // e a distinção decide se o disjuntor abre.
+                return recusa('unexpected_payload');
+            }
+            if (!record)
+                return recusa('unexpected_payload');
+            return { status: 'ok', record, source, fetchedAt: new Date().toISOString() };
+        },
+    };
+}
+//# sourceMappingURL=http.js.map

package/dist/clients/registry/http.js.map

@@ -0,0 +1 @@
+{"version":3,"file":"http.js","sourceRoot":"","sources":["../../../src/clients/registry/http.ts"],"names":[],"mappings":"AAAA,OAAO,EACL,UAAU,GAKX,MAAM,eAAe,CAAC;AAEvB;;;;;;;;;;;;;;;;;;;;;;;GAuBG;AAEH;;;;;;GAMG;AACH,MAAM,CAAC,MAAM,sBAAsB,GAAsB;IACvD,gEAAgE;IAChE,iCAAiC;CAClC,CAAC;AAEF,MAAM,OAAO,2BAA4B,SAAQ,KAAK;IAC/B;IAArB,YAAqB,IAAY;QAC/B,wEAAwE;QACxE,oCAAoC;QACpC,KAAK,CAAC,6CAA6C,IAAI,EAAE,CAAC,CAAC;QAHxC,SAAI,GAAJ,IAAI,CAAQ;QAI/B,IAAI,CAAC,IAAI,GAAG,6BAA6B,CAAC;IAC5C,CAAC;CACF;AAED,uEAAuE;AACvE,MAAM,UAAU,wBAAwB,CAAC,GAAW;IAClD,IAAI,MAAW,CAAC;IAChB,IAAI,CAAC;QACH,MAAM,GAAG,IAAI,GAAG,CAAC,GAAG,CAAC,CAAC;IACxB,CAAC;IAAC,MAAM,CAAC;QACP,MAAM,IAAI,2BAA2B,CAAC,gBAAgB,CAAC,CAAC;IAC1D,CAAC;IACD,6EAA6E;IAC7E,4EAA4E;IAC5E,IAAI,MAAM,CAAC,QAAQ,KAAK,QAAQ;QAAE,MAAM,IAAI,2BAA2B,CAAC,MAAM,CAAC,QAAQ,CAAC,CAAC;IACzF,IAAI,CAAC,sBAAsB,CAAC,QAAQ,CAAC,MAAM,CAAC,QAAQ,CAAC,EAAE,CAAC;QACtD,MAAM,IAAI,2BAA2B,CAAC,MAAM,CAAC,QAAQ,CAAC,CAAC;IACzD,CAAC;IACD,OAAO,MAAM,CAAC;AAChB,CAAC;AAED,MAAM,CAAC,MAAM,2BAA2B,GAAG,MAAM,CAAC;AAElD,wEAAwE;AACxE,MAAM,CAAC,MAAM,2BAA2B,GAAG,GAAG,GAAG,IAAI,CAAC;AAgBtD,SAAS,cAAc,CAAC,MAAc;IACpC,IAAI,MAAM,KAAK,GAAG;QAAE,OAAO,WAAW,CAAC;IACvC,IAAI,MAAM,KAAK,GAAG;QAAE,OAAO,cAAc,CAAC;IAC1C,IAAI,MAAM,KAAK,GAAG,IAAI,MAAM,KAAK,GAAG;QAAE,OAAO,yBAAyB,CAAC;IACvE,IAAI,MAAM,IAAI,GAAG;QAAE,OAAO,sBAAsB,CAAC;IACjD,OAAO,oBAAoB,CAAC;AAC9B,CAAC;AAED;;;GAGG;AACH,MAAM,UAAU,yBAAyB,CAAC,OAA4B;IACpE,MAAM,OAAO,GAAG,OAAO,CAAC,SAAS,IAAI,KAAK,CAAC;IAC3C,MAAM,SAAS,GAAG,OAAO,CAAC,SAAS,IAAI,2BAA2B,CAAC;IAEnE,OAAO;QACL,IAAI,EAAE,OAAO,CAAC,IAAI;QAClB,QAAQ,EAAE,OAAO,CAAC,QAAQ;QAC1B,KAAK,CAAC,MAAM,CAAC,KAAa;YACxB,MAAM,IAAI,GAAG,UAAU,CAAC,KAAK,CAAC,CAAC;YAC/B,MAAM,MAAM,GAAG,OAAO,CAAC,IAAI,CAAC;YAC5B,MAAM,MAAM,GAAG,CAAC,MAA4B,EAAuB,EAAE,CAAC,CAAC;gBACrE,MAAM,EAAE,QAAQ;gBAChB,MAAM;gBACN,MAAM;aACP,CAAC,CAAC;YAEH,IAAI,GAAQ,CAAC;YACb,IAAI,CAAC;gBACH,GAAG,GAAG,wBAAwB,CAAC,OAAO,CAAC,QAAQ,CAAC,IAAI,CAAC,CAAC,CAAC;YACzD,CAAC;YAAC,MAAM,CAAC;gBACP,oEAAoE;gBACpE,gDAAgD;gBAChD,OAAO,MAAM,CAAC,yBAAyB,CAAC,CAAC;YAC3C,CAAC;YAED,MAAM,KAAK,GAAG,IAAI,eAAe,EAAE,CAAC;YACpC,MAAM,KAAK,GAAG,UAAU,CAAC,GAAG,EAAE,CAAC,KAAK,CAAC,KAAK,EAAE,EAAE,SAAS,CAAC,CAAC;YACzD,IAAI,GAAa,CAAC;YAClB,IAAI,CAAC;gBACH,GAAG,GAAG,MAAM,OAAO,CAAC,GAAG,EAAE;oBACvB,MAAM,EAAE,KAAK;oBACb,OAAO,EAAE,EAAE,MAAM,EAAE,kBAAkB,EAAE,GAAG,OAAO,CAAC,OAAO,EAAE,EAAE;oBAC7D,MAAM,EAAE,KAAK,CAAC,MAAM;oBACpB,oEAAoE;oBACpE,QAAQ,EAAE,OAAO;iBAClB,CAAC,CAAC;YACL,CAAC;YAAC,MAAM,CAAC;gBACP,OAAO,MAAM,CAAC,sBAAsB,CAAC,CAAC;YACxC,CAAC;oBAAS,CAAC;gBACT,YAAY,CAAC,KAAK,CAAC,CAAC;YACtB,CAAC;YAED,IAAI,CAAC,GAAG,CAAC,EAAE;gBAAE,OAAO,MAAM,CAAC,cAAc,CAAC,GAAG,CAAC,MAAM,CAAC,CAAC,CAAC;YAEvD,IAAI,IAAa,CAAC;YAClB,IAAI,CAAC;gBACH,MAAM,KAAK,GAAG,MAAM,GAAG,CAAC,IAAI,EAAE,CAAC;gBAC/B,IAAI,KAAK,CAAC,MAAM,GAAG,2BAA2B;oBAAE,OAAO,MAAM,CAAC,oBAAoB,CAAC,CAAC;gBACpF,IAAI,GAAG,IAAI,CAAC,KAAK,CAAC,KAAK,CAAC,CAAC;YAC3B,CAAC;YAAC,MAAM,CAAC;gBACP,OAAO,MAAM,CAAC,oBAAoB,CAAC,CAAC;YACtC,CAAC;YAED,IAAI,MAAoC,CAAC;YACzC,IAAI,CAAC;gBACH,MAAM,GAAG,OAAO,CAAC,KAAK,CAAC,IAAI,CAAC,CAAC;YAC/B,CAAC;YAAC,MAAM,CAAC;gBACP,uEAAuE;gBACvE,4CAA4C;gBAC5C,OAAO,MAAM,CAAC,oBAAoB,CAAC,CAAC;YACtC,CAAC;YACD,IAAI,CAAC,MAAM;gBAAE,OAAO,MAAM,CAAC,oBAAoB,CAAC,CAAC;YAEjD,OAAO,EAAE,MAAM,EAAE,IAAI,EAAE,MAAM,EAAE,MAAM,EAAE,SAAS,EAAE,IAAI,IAAI,EAAE,CAAC,WAAW,EAAE,EAAE,CAAC;QAC/E,CAAC;KACF,CAAC;AACJ,CAAC"}