@baruk/core 0.4.2 → 0.6.0

package/dist/fiscal/coverage/requests.js.map

@@ -0,0 +1 @@
+{"version":3,"file":"requests.js","sourceRoot":"","sources":["../../../src/fiscal/coverage/requests.ts"],"names":[],"mappings":"AA8CA;;;;;;;GAOG;AACH,MAAM,CAAC,KAAK,UAAU,qBAAqB,CACzC,EAAM,EACN,KAIC;IAED,MAAM,YAAY,GAAG,KAAK,CAAC,YAAY,IAAI,MAAM,CAAC;IAElD,MAAM,CAAC,GAAG,CAAC,GAAG,MAAM,EAAE,CAAyC;;;;yBAIxC,KAAK,CAAC,QAAQ;gCACP,KAAK,CAAC,eAAe;;GAElD,CAAC;IAEF,MAAM,CAAC,GAAG,CAAC,GAAG,MAAM,EAAE,CAAsC;;;;gCAI9B,YAAY;qCACP,YAAY,KAAK,MAAM,CAAC,CAAC,CAAC,WAAW,CAAC,CAAC,CAAC,UAAU;;oBAEnE,KAAK,CAAC,QAAQ;;;GAG/B,CAAC;IAEF,MAAM,cAAc,GAAG,GAAG,EAAE,eAAe,IAAI,SAAS,CAAC;IACzD,MAAM,KAAK,GAAG,GAAG,EAAE,KAAK,IAAI,CAAC,CAAC;IAC9B,MAAM,QAAQ,GAAG,GAAG,EAAE,QAAQ,IAAI,EAAE,CAAC;IACrC,MAAM,OAAO,GACX,cAAc,KAAK,oBAAoB,IAAI,cAAc,KAAK,oBAAoB,CAAC;IACrF,MAAM,gBAAgB,GAAG,QAAQ,CAAC,QAAQ,CAAC,UAAU,CAAC,IAAI,QAAQ,CAAC,QAAQ,CAAC,QAAQ,CAAC,CAAC;IAEtF,MAAM,KAAK,GACT,KAAK,KAAK,CAAC;QACT,CAAC,CAAC,aAAa;QACf,CAAC,CAAC,OAAO,IAAI,gBAAgB;YAC3B,CAAC,CAAC,6BAA6B;YAC/B,CAAC,CAAC,mBAAmB,CAAC;IAE5B,OAAO;QACL,QAAQ,EAAE,KAAK,CAAC,QAAQ;QACxB,eAAe,EAAE,KAAK,CAAC,eAAe;QACtC,KAAK;QACL,kBAAkB,EAAE,KAAK;QACzB,UAAU,EAAE,QAAQ;QACpB,cAAc;QACd,UAAU,EAAE,KAAK;QACjB,MAAM,EACJ,KAAK,KAAK,aAAa;YACrB,CAAC,CAAC,8DAA8D;YAChE,CAAC,CAAC,KAAK,KAAK,6BAA6B;gBACvC,CAAC,CAAC,GAAG,KAAK,kFAAkF;gBAC5F,CAAC,CAAC,OAAO;oBACP,CAAC,CAAC,GAAG,KAAK,oCAAoC,QAAQ,CAAC,QAAQ,CAAC,QAAQ,CAAC,CAAC,CAAC,CAAC,sBAAsB,CAAC,CAAC,CAAC,oBAAoB,GAAG;oBAC5H,CAAC,CAAC,GAAG,KAAK,+DAA+D,cAAc,GAAG;KACnG,CAAC;AACJ,CAAC;AASD;;;;;;GAMG;AACH,MAAM,CAAC,KAAK,UAAU,mBAAmB,CACvC,EAAM,EACN,QAAsD,EAAE;IAExD,MAAM,KAAK,GAAG,IAAI,CAAC,GAAG,CAAC,IAAI,CAAC,GAAG,CAAC,KAAK,CAAC,KAAK,IAAI,GAAG,EAAE,CAAC,CAAC,EAAE,GAAG,CAAC,CAAC;IAC7D,MAAM,IAAI,GAAG,MAAM,EAAE,CASpB;;;;;;;;;aASU,KAAK,CAAC,eAAe,CAAC,CAAC,CAAC,EAAE,CAAA,gBAAgB,KAAK,CAAC,eAAe,EAAE,CAAC,CAAC,CAAC,EAAE,CAAA,MAAM;;aAE5E,KAAK;GACf,CAAC;IAEF,MAAM,GAAG,GAAyB,EAAE,CAAC;IACrC,KAAK,MAAM,CAAC,IAAI,IAAI,EAAE,CAAC;QACrB,MAAM,UAAU,GAAG,MAAM,qBAAqB,CAAC,EAAE,EAAE;YACjD,QAAQ,EAAE,CAAC,CAAC,SAAS;YACrB,eAAe,EAAE,CAAC,CAAC,gBAAgB;SACpC,CAAC,CAAC;QACH,GAAG,CAAC,IAAI,CAAC;YACP,GAAG,UAAU;YACb,SAAS,EAAE,CAAC,CAAC,UAAU;YACvB,UAAU,EAAE,CAAC,CAAC,WAAW;YACzB,MAAM,EAAE,CAAC,CAAC,MAAM;YAChB,OAAO,EAAE,CAAC,CAAC,QAAQ,CAAC,CAAC,CAAC,CAAC,CAAC,QAAQ,CAAC,WAAW,EAAE,CAAC,KAAK,CAAC,CAAC,EAAE,EAAE,CAAC,CAAC,CAAC,CAAC,IAAI;SACnE,CAAC,CAAC;IACL,CAAC;IACD,OAAO,GAAG,CAAC;AACb,CAAC"}

package/dist/fiscal/credentials/inspect.d.ts

@@ -0,0 +1,114 @@
+/**
+ * O que dá para saber sobre um certificado SEM falar com ninguém.
+ *
+ * ## Por que a validação local existe, e o que ela não é
+ *
+ * Um A1 recém-cadastrado tem duas perguntas em aberto, e elas têm custos
+ * opostos. "A senha abre o arquivo?" custa milissegundos e nenhuma consequência
+ * externa. "A Receita aceita este titular?" custa uma requisição autenticada em
+ * nome de um terceiro — e, se ela for feita fora de hora, custa ao CLIENTE um
+ * CNPJ bloqueado.
+ *
+ * Este módulo responde só a primeira família de perguntas. O produto inteiro
+ * depende de nunca confundir as duas: `verified_at` (1004) continua significando
+ * "o ambiente oficial já aceitou", e nada aqui o preenche.
+ *
+ * ## Por que o SecureContext, e não uma biblioteca de PKCS#12
+ *
+ * O Node não expõe leitor de PKCS#12 na API pública — `X509Certificate` lê PEM e
+ * DER, não `.pfx`. As saídas óbvias seriam uma dependência nova (superfície
+ * grande para uma tela de upload) ou chamar o binário `openssl` (que exige o
+ * binário na imagem, e cuja saída de erro cita caminho de arquivo e sujeito do
+ * certificado).
+ *
+ * A saída usada aqui é o leitor de PKCS#12 que já está no processo: o do OpenSSL
+ * que o próprio Node embute. `tls.createSecureContext({ pfx, passphrase })` o
+ * invoca e LANÇA na hora se a senha não abrir — esse é o teste de senha, e ele
+ * não custa nem um socket. O contexto resultante guarda o certificado carregado,
+ * e o handle nativo o devolve em DER.
+ *
+ * A propriedade que isso compra é um ORÁCULO CORRETO: "abre aqui" passa a
+ * significar exatamente "abre no handshake real", porque é o mesmo código de
+ * OpenSSL, com os mesmos parâmetros, que o transporte de mTLS usaria. Um parser
+ * de terceiro poderia aceitar um arquivo que o handshake recusa — e a diferença
+ * apareceria só contra o servidor da Receita.
+ *
+ * ## A primeira escrita usava um servidor TLS em loopback, e estava errada
+ *
+ * Ela subia um servidor com o `pfx` em `127.0.0.1`, conectava um cliente do
+ * mesmo processo e lia o certificado apresentado. Funcionava — e exigia
+ * `rejectUnauthorized: false` no cliente, porque um A1 é assinado por uma AC da
+ * ICP-Brasil que não está no truststore e o nome nunca seria `localhost`.
+ *
+ * O guarda `tls-no-bypass` reprovou, e com razão. A resposta certa não era
+ * abrir uma exceção nominal para este arquivo: um controle com uma exceção tem
+ * duas na semana seguinte. Era não precisar da exceção — o que este caminho
+ * consegue, com menos código e sem socket nenhum.
+ *
+ * Nada toca o disco e nada toca a rede: `pfx` é um `Buffer`, e tudo acontece
+ * dentro do processo.
+ */
+/** Classe da falha. CLASSE — a mensagem do OpenSSL cita sujeito e caminho. */
+export type CertificateInspectionFailure = 'wrong_password' | 'malformed_material' | 'unsupported_material' | 'inspection_failed';
+export interface CertificateFacts {
+    /** sha256 do DER do certificado apresentado, minúsculo e sem dois-pontos. */
+    fingerprintSha256: string;
+    subjectCommonName: string | null;
+    issuerCommonName: string | null;
+    /** Últimos 8 caracteres do serial. O serial inteiro identifica sem acrescentar. */
+    serialTail: string | null;
+    validFrom: string;
+    validTo: string;
+    /** Já venceu, medido contra o relógio de quem inspeciona. */
+    expired: boolean;
+    /**
+     * CNPJ/CPF lido DO MATERIAL — nunca o digitado no cadastro.
+     * `null` quando o certificado não o carrega em forma reconhecível.
+     */
+    document: string | null;
+}
+export type CertificateInspection = {
+    status: 'ok';
+    facts: CertificateFacts;
+} | {
+    status: 'failed';
+    reason: CertificateInspectionFailure;
+};
+/**
+ * Inspeciona o material, sem rede e sem disco.
+ *
+ * NUNCA lança: toda falha vira uma classe. Quem chama é uma rota de upload, e
+ * uma exceção com texto de OpenSSL atravessando até o handler é exatamente como
+ * o sujeito de um certificado acaba num log.
+ */
+/**
+ * Inspeciona o material, sem rede e sem disco.
+ *
+ * NUNCA lança: toda falha vira uma classe. Quem chama é uma rota de upload, e
+ * uma exceção com texto de OpenSSL atravessando até o handler é exatamente como
+ * o sujeito de um certificado acaba num log.
+ *
+ * `async` sem `await` é deliberado: o contrato é assíncrono porque a primeira
+ * implementação precisava de um handshake, e porque uma leitura de material
+ * criptográfico é o tipo de operação que pode voltar a precisar. Mudar a
+ * assinatura para síncrona obrigaria todo chamador a mudar junto, por nenhum
+ * ganho.
+ */
+export declare function inspectPkcs12(pfx: Buffer, passphrase: string | undefined): Promise<CertificateInspection>;
+/**
+ * O certificado é DESTE cliente?
+ *
+ * Três respostas, e a do meio é a que impede o vínculo silencioso:
+ *
+ *   `match`          os dois documentos existem e são o mesmo.
+ *   `mismatch`       os dois existem e são diferentes. Exige assinatura humana
+ *                    (a restrição está na 0060, não aqui).
+ *   `indeterminate`  falta um dos dois. Não é aprovação.
+ *
+ * A comparação é por DÍGITOS: o cadastro do produto guarda o documento sem
+ * máscara, o certificado o traz sem máscara, e uma comparação textual passaria a
+ * reprovar no dia em que alguém colasse um CNPJ pontuado num dos dois lados.
+ */
+export type IdentityMatch = 'match' | 'mismatch' | 'indeterminate';
+export declare function matchIdentity(certificateDocument: string | null, clientDocument: string | null | undefined): IdentityMatch;
+//# sourceMappingURL=inspect.d.ts.map

package/dist/fiscal/credentials/inspect.d.ts.map

@@ -0,0 +1 @@
+{"version":3,"file":"inspect.d.ts","sourceRoot":"","sources":["../../../src/fiscal/credentials/inspect.ts"],"names":[],"mappings":"AAGA;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;GAiDG;AAEH,8EAA8E;AAC9E,MAAM,MAAM,4BAA4B,GACtC,gBAAgB,GAAG,oBAAoB,GAAG,sBAAsB,GAAG,mBAAmB,CAAC;AAEzF,MAAM,WAAW,gBAAgB;IAC/B,6EAA6E;IAC7E,iBAAiB,EAAE,MAAM,CAAC;IAC1B,iBAAiB,EAAE,MAAM,GAAG,IAAI,CAAC;IACjC,gBAAgB,EAAE,MAAM,GAAG,IAAI,CAAC;IAChC,mFAAmF;IACnF,UAAU,EAAE,MAAM,GAAG,IAAI,CAAC;IAC1B,SAAS,EAAE,MAAM,CAAC;IAClB,OAAO,EAAE,MAAM,CAAC;IAChB,6DAA6D;IAC7D,OAAO,EAAE,OAAO,CAAC;IACjB;;;OAGG;IACH,QAAQ,EAAE,MAAM,GAAG,IAAI,CAAC;CACzB;AAED,MAAM,MAAM,qBAAqB,GAC7B;IAAE,MAAM,EAAE,IAAI,CAAC;IAAC,KAAK,EAAE,gBAAgB,CAAA;CAAE,GACzC;IAAE,MAAM,EAAE,QAAQ,CAAC;IAAC,MAAM,EAAE,4BAA4B,CAAA;CAAE,CAAC;AAe/D;;;;;;GAMG;AACH;;;;;;;;;;;;GAYG;AACH,wBAAsB,aAAa,CACjC,GAAG,EAAE,MAAM,EACX,UAAU,EAAE,MAAM,GAAG,SAAS,GAC7B,OAAO,CAAC,qBAAqB,CAAC,CAyBhC;AA+GD;;;;;;;;;;;;;GAaG;AACH,MAAM,MAAM,aAAa,GAAG,OAAO,GAAG,UAAU,GAAG,eAAe,CAAC;AAEnE,wBAAgB,aAAa,CAC3B,mBAAmB,EAAE,MAAM,GAAG,IAAI,EAClC,cAAc,EAAE,MAAM,GAAG,IAAI,GAAG,SAAS,GACxC,aAAa,CAKf"}

package/dist/fiscal/credentials/inspect.js

@@ -0,0 +1,178 @@
+import { createSecureContext } from 'node:tls';
+import { X509Certificate } from 'node:crypto';
+/**
+ * OID 2.16.76.1.3.3 — o CNPJ da pessoa jurídica no `otherName` do
+ * `subjectAltName`, na forma que a ICP-Brasil padronizou (DOC-ICP-04).
+ *
+ * Em DER: tag `06`, comprimento `05`, e os componentes `2.16` colapsados em
+ * `0x60`. Procurar a sequência de bytes é mais confiável que ler
+ * `x509.subjectAltName`, que em várias versões do Node devolve `undefined` ou
+ * `othername:<unsupported>` justamente para os `otherName` do ICP-Brasil.
+ */
+const OID_CNPJ_ICP_BRASIL = Buffer.from([0x06, 0x05, 0x60, 0x4c, 0x01, 0x03, 0x03]);
+/** Janela de busca depois do OID: o valor vem logo em seguida, dentro do mesmo `otherName`. */
+const OID_VALUE_WINDOW = 48;
+/**
+ * Inspeciona o material, sem rede e sem disco.
+ *
+ * NUNCA lança: toda falha vira uma classe. Quem chama é uma rota de upload, e
+ * uma exceção com texto de OpenSSL atravessando até o handler é exatamente como
+ * o sujeito de um certificado acaba num log.
+ */
+/**
+ * Inspeciona o material, sem rede e sem disco.
+ *
+ * NUNCA lança: toda falha vira uma classe. Quem chama é uma rota de upload, e
+ * uma exceção com texto de OpenSSL atravessando até o handler é exatamente como
+ * o sujeito de um certificado acaba num log.
+ *
+ * `async` sem `await` é deliberado: o contrato é assíncrono porque a primeira
+ * implementação precisava de um handshake, e porque uma leitura de material
+ * criptográfico é o tipo de operação que pode voltar a precisar. Mudar a
+ * assinatura para síncrona obrigaria todo chamador a mudar junto, por nenhum
+ * ganho.
+ */
+export async function inspectPkcs12(pfx, passphrase) {
+    if (pfx.byteLength === 0)
+        return { status: 'failed', reason: 'malformed_material' };
+    // Primeiro portão: o contexto abre? Isto é a checagem de senha, e ela lança
+    // aqui — antes de existir qualquer outra coisa.
+    let context;
+    try {
+        context = createSecureContext({ pfx, passphrase, minVersion: 'TLSv1.2' });
+    }
+    catch (err) {
+        return { status: 'failed', reason: classify(err) };
+    }
+    let der;
+    try {
+        der = certificateDerFrom(context);
+    }
+    catch (err) {
+        return { status: 'failed', reason: classify(err) };
+    }
+    if (!der || der.byteLength === 0)
+        return { status: 'failed', reason: 'inspection_failed' };
+    try {
+        return { status: 'ok', facts: factsFrom(new X509Certificate(der)) };
+    }
+    catch (err) {
+        return { status: 'failed', reason: classify(err) };
+    }
+}
+/**
+ * O DER do certificado carregado no contexto.
+ *
+ * `context.getCertificate()` é o handle NATIVO do `SecureContext`, não a API
+ * pública documentada do Node. Por isso o acesso é defensivo em vez de direto: o
+ * dia em que uma versão do Node o renomear, o produto deve responder
+ * `inspection_failed` — e a suíte, que lê um PKCS#12 sintético de verdade, vai
+ * ficar vermelha na atualização, que é quando alguém pode agir.
+ *
+ * A alternativa — depender do binário `openssl` na imagem — troca este risco por
+ * um pior: uma falha que só aparece em produção, num contêiner onde ninguém
+ * conferiu o que está instalado.
+ */
+function certificateDerFrom(context) {
+    const handle = context.context;
+    const der = handle?.getCertificate?.();
+    return Buffer.isBuffer(der) ? der : null;
+}
+function factsFrom(cert) {
+    const validTo = new Date(cert.validTo);
+    return {
+        fingerprintSha256: cert.fingerprint256.replace(/:/g, '').toLowerCase(),
+        subjectCommonName: commonName(cert.subject),
+        issuerCommonName: commonName(cert.issuer),
+        serialTail: cert.serialNumber ? cert.serialNumber.slice(-8) : null,
+        validFrom: new Date(cert.validFrom).toISOString(),
+        validTo: validTo.toISOString(),
+        expired: validTo.getTime() <= Date.now(),
+        document: documentFrom(cert),
+    };
+}
+/** `CN=` do DN multilinha que o Node devolve. `null` quando não há. */
+function commonName(dn) {
+    if (!dn)
+        return null;
+    for (const line of dn.split('\n')) {
+        const m = /^\s*CN\s*=\s*(.+?)\s*$/.exec(line);
+        if (m?.[1])
+            return m[1];
+    }
+    return null;
+}
+/**
+ * O documento do titular, do material.
+ *
+ * Duas fontes, nesta ordem — e a ordem importa:
+ *
+ * 1. O `otherName` do OID da ICP-Brasil, varrido no DER. É onde a norma manda
+ *    escrever, é o que a Receita valida, e é o único lugar que não depende de
+ *    convenção de quem emitiu.
+ * 2. O sufixo `:<14 dígitos>` do `CN`, convenção quase universal dos e-CNPJ.
+ *
+ * Não há terceira fonte. Procurar "14 dígitos em qualquer lugar do sujeito"
+ * casaria com um CEP colado a um telefone e devolveria um CNPJ inventado — que
+ * é pior que `null`, porque `null` deixa a comparação `indeterminate` e essa é
+ * a resposta honesta.
+ */
+function documentFrom(cert) {
+    const fromOid = documentFromDer(cert.raw);
+    if (fromOid)
+        return fromOid;
+    const cn = commonName(cert.subject);
+    const m = cn ? /:(\d{11}|\d{14})\s*$/.exec(cn) : null;
+    return m?.[1] ?? null;
+}
+function documentFromDer(der) {
+    let from = 0;
+    for (;;) {
+        const at = der.indexOf(OID_CNPJ_ICP_BRASIL, from);
+        if (at < 0)
+            return null;
+        const window = der
+            .subarray(at + OID_CNPJ_ICP_BRASIL.length, at + OID_CNPJ_ICP_BRASIL.length + OID_VALUE_WINDOW)
+            .toString('latin1');
+        const digits = /(\d{14})/.exec(window);
+        if (digits?.[1])
+            return digits[1];
+        from = at + 1;
+    }
+}
+/**
+ * Traduz a falha do OpenSSL em classe, olhando SÓ os fragmentos conhecidos.
+ *
+ * A mensagem inteira nunca é propagada nem registrada. `mac verify failure` é a
+ * resposta do PKCS#12 a uma senha que não abre o MAC — é o único caso em que se
+ * pode dizer ao operador "a senha está errada" com alguma confiança.
+ */
+function classify(err) {
+    const raw = err instanceof Error ? err.message : '';
+    const message = raw.toLowerCase();
+    if (message.includes('mac verify failure') || message.includes('invalid password')) {
+        return 'wrong_password';
+    }
+    if (message.includes('not enough data') ||
+        message.includes('wrong tag') ||
+        message.includes('header too long') ||
+        message.includes('nested asn1') ||
+        message.includes('asn1')) {
+        return 'malformed_material';
+    }
+    if (message.includes('unsupported') || message.includes('unknown cipher')) {
+        return 'unsupported_material';
+    }
+    return 'inspection_failed';
+}
+export function matchIdentity(certificateDocument, clientDocument) {
+    const a = digitsOnly(certificateDocument);
+    const b = digitsOnly(clientDocument);
+    if (!a || !b)
+        return 'indeterminate';
+    return a === b ? 'match' : 'mismatch';
+}
+function digitsOnly(v) {
+    return (v ?? '').replace(/\D/g, '');
+}
+//# sourceMappingURL=inspect.js.map

package/dist/fiscal/credentials/inspect.js.map

@@ -0,0 +1 @@
+{"version":3,"file":"inspect.js","sourceRoot":"","sources":["../../../src/fiscal/credentials/inspect.ts"],"names":[],"mappings":"AAAA,OAAO,EAAE,mBAAmB,EAAsB,MAAM,UAAU,CAAC;AACnE,OAAO,EAAE,eAAe,EAAE,MAAM,aAAa,CAAC;AA+E9C;;;;;;;;GAQG;AACH,MAAM,mBAAmB,GAAG,MAAM,CAAC,IAAI,CAAC,CAAC,IAAI,EAAE,IAAI,EAAE,IAAI,EAAE,IAAI,EAAE,IAAI,EAAE,IAAI,EAAE,IAAI,CAAC,CAAC,CAAC;AACpF,+FAA+F;AAC/F,MAAM,gBAAgB,GAAG,EAAE,CAAC;AAE5B;;;;;;GAMG;AACH;;;;;;;;;;;;GAYG;AACH,MAAM,CAAC,KAAK,UAAU,aAAa,CACjC,GAAW,EACX,UAA8B;IAE9B,IAAI,GAAG,CAAC,UAAU,KAAK,CAAC;QAAE,OAAO,EAAE,MAAM,EAAE,QAAQ,EAAE,MAAM,EAAE,oBAAoB,EAAE,CAAC;IAEpF,4EAA4E;IAC5E,gDAAgD;IAChD,IAAI,OAAsB,CAAC;IAC3B,IAAI,CAAC;QACH,OAAO,GAAG,mBAAmB,CAAC,EAAE,GAAG,EAAE,UAAU,EAAE,UAAU,EAAE,SAAS,EAAE,CAAC,CAAC;IAC5E,CAAC;IAAC,OAAO,GAAG,EAAE,CAAC;QACb,OAAO,EAAE,MAAM,EAAE,QAAQ,EAAE,MAAM,EAAE,QAAQ,CAAC,GAAG,CAAC,EAAE,CAAC;IACrD,CAAC;IAED,IAAI,GAAkB,CAAC;IACvB,IAAI,CAAC;QACH,GAAG,GAAG,kBAAkB,CAAC,OAAO,CAAC,CAAC;IACpC,CAAC;IAAC,OAAO,GAAG,EAAE,CAAC;QACb,OAAO,EAAE,MAAM,EAAE,QAAQ,EAAE,MAAM,EAAE,QAAQ,CAAC,GAAG,CAAC,EAAE,CAAC;IACrD,CAAC;IACD,IAAI,CAAC,GAAG,IAAI,GAAG,CAAC,UAAU,KAAK,CAAC;QAAE,OAAO,EAAE,MAAM,EAAE,QAAQ,EAAE,MAAM,EAAE,mBAAmB,EAAE,CAAC;IAE3F,IAAI,CAAC;QACH,OAAO,EAAE,MAAM,EAAE,IAAI,EAAE,KAAK,EAAE,SAAS,CAAC,IAAI,eAAe,CAAC,GAAG,CAAC,CAAC,EAAE,CAAC;IACtE,CAAC;IAAC,OAAO,GAAG,EAAE,CAAC;QACb,OAAO,EAAE,MAAM,EAAE,QAAQ,EAAE,MAAM,EAAE,QAAQ,CAAC,GAAG,CAAC,EAAE,CAAC;IACrD,CAAC;AACH,CAAC;AAED;;;;;;;;;;;;GAYG;AACH,SAAS,kBAAkB,CAAC,OAAsB;IAChD,MAAM,MAAM,GAAI,OAAuE,CAAC,OAAO,CAAC;IAChG,MAAM,GAAG,GAAG,MAAM,EAAE,cAAc,EAAE,EAAE,CAAC;IACvC,OAAO,MAAM,CAAC,QAAQ,CAAC,GAAG,CAAC,CAAC,CAAC,CAAC,GAAG,CAAC,CAAC,CAAC,IAAI,CAAC;AAC3C,CAAC;AAED,SAAS,SAAS,CAAC,IAAqB;IACtC,MAAM,OAAO,GAAG,IAAI,IAAI,CAAC,IAAI,CAAC,OAAO,CAAC,CAAC;IACvC,OAAO;QACL,iBAAiB,EAAE,IAAI,CAAC,cAAc,CAAC,OAAO,CAAC,IAAI,EAAE,EAAE,CAAC,CAAC,WAAW,EAAE;QACtE,iBAAiB,EAAE,UAAU,CAAC,IAAI,CAAC,OAAO,CAAC;QAC3C,gBAAgB,EAAE,UAAU,CAAC,IAAI,CAAC,MAAM,CAAC;QACzC,UAAU,EAAE,IAAI,CAAC,YAAY,CAAC,CAAC,CAAC,IAAI,CAAC,YAAY,CAAC,KAAK,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,IAAI;QAClE,SAAS,EAAE,IAAI,IAAI,CAAC,IAAI,CAAC,SAAS,CAAC,CAAC,WAAW,EAAE;QACjD,OAAO,EAAE,OAAO,CAAC,WAAW,EAAE;QAC9B,OAAO,EAAE,OAAO,CAAC,OAAO,EAAE,IAAI,IAAI,CAAC,GAAG,EAAE;QACxC,QAAQ,EAAE,YAAY,CAAC,IAAI,CAAC;KAC7B,CAAC;AACJ,CAAC;AAED,uEAAuE;AACvE,SAAS,UAAU,CAAC,EAAsB;IACxC,IAAI,CAAC,EAAE;QAAE,OAAO,IAAI,CAAC;IACrB,KAAK,MAAM,IAAI,IAAI,EAAE,CAAC,KAAK,CAAC,IAAI,CAAC,EAAE,CAAC;QAClC,MAAM,CAAC,GAAG,wBAAwB,CAAC,IAAI,CAAC,IAAI,CAAC,CAAC;QAC9C,IAAI,CAAC,EAAE,CAAC,CAAC,CAAC;YAAE,OAAO,CAAC,CAAC,CAAC,CAAC,CAAC;IAC1B,CAAC;IACD,OAAO,IAAI,CAAC;AACd,CAAC;AAED;;;;;;;;;;;;;;GAcG;AACH,SAAS,YAAY,CAAC,IAAqB;IACzC,MAAM,OAAO,GAAG,eAAe,CAAC,IAAI,CAAC,GAAG,CAAC,CAAC;IAC1C,IAAI,OAAO;QAAE,OAAO,OAAO,CAAC;IAE5B,MAAM,EAAE,GAAG,UAAU,CAAC,IAAI,CAAC,OAAO,CAAC,CAAC;IACpC,MAAM,CAAC,GAAG,EAAE,CAAC,CAAC,CAAC,sBAAsB,CAAC,IAAI,CAAC,EAAE,CAAC,CAAC,CAAC,CAAC,IAAI,CAAC;IACtD,OAAO,CAAC,EAAE,CAAC,CAAC,CAAC,IAAI,IAAI,CAAC;AACxB,CAAC;AAED,SAAS,eAAe,CAAC,GAAW;IAClC,IAAI,IAAI,GAAG,CAAC,CAAC;IACb,SAAS,CAAC;QACR,MAAM,EAAE,GAAG,GAAG,CAAC,OAAO,CAAC,mBAAmB,EAAE,IAAI,CAAC,CAAC;QAClD,IAAI,EAAE,GAAG,CAAC;YAAE,OAAO,IAAI,CAAC;QACxB,MAAM,MAAM,GAAG,GAAG;aACf,QAAQ,CAAC,EAAE,GAAG,mBAAmB,CAAC,MAAM,EAAE,EAAE,GAAG,mBAAmB,CAAC,MAAM,GAAG,gBAAgB,CAAC;aAC7F,QAAQ,CAAC,QAAQ,CAAC,CAAC;QACtB,MAAM,MAAM,GAAG,UAAU,CAAC,IAAI,CAAC,MAAM,CAAC,CAAC;QACvC,IAAI,MAAM,EAAE,CAAC,CAAC,CAAC;YAAE,OAAO,MAAM,CAAC,CAAC,CAAC,CAAC;QAClC,IAAI,GAAG,EAAE,GAAG,CAAC,CAAC;IAChB,CAAC;AACH,CAAC;AAED;;;;;;GAMG;AACH,SAAS,QAAQ,CAAC,GAAY;IAC5B,MAAM,GAAG,GAAG,GAAG,YAAY,KAAK,CAAC,CAAC,CAAC,GAAG,CAAC,OAAO,CAAC,CAAC,CAAC,EAAE,CAAC;IACpD,MAAM,OAAO,GAAG,GAAG,CAAC,WAAW,EAAE,CAAC;IAClC,IAAI,OAAO,CAAC,QAAQ,CAAC,oBAAoB,CAAC,IAAI,OAAO,CAAC,QAAQ,CAAC,kBAAkB,CAAC,EAAE,CAAC;QACnF,OAAO,gBAAgB,CAAC;IAC1B,CAAC;IACD,IACE,OAAO,CAAC,QAAQ,CAAC,iBAAiB,CAAC;QACnC,OAAO,CAAC,QAAQ,CAAC,WAAW,CAAC;QAC7B,OAAO,CAAC,QAAQ,CAAC,iBAAiB,CAAC;QACnC,OAAO,CAAC,QAAQ,CAAC,aAAa,CAAC;QAC/B,OAAO,CAAC,QAAQ,CAAC,MAAM,CAAC,EACxB,CAAC;QACD,OAAO,oBAAoB,CAAC;IAC9B,CAAC;IACD,IAAI,OAAO,CAAC,QAAQ,CAAC,aAAa,CAAC,IAAI,OAAO,CAAC,QAAQ,CAAC,gBAAgB,CAAC,EAAE,CAAC;QAC1E,OAAO,sBAAsB,CAAC;IAChC,CAAC;IACD,OAAO,mBAAmB,CAAC;AAC7B,CAAC;AAkBD,MAAM,UAAU,aAAa,CAC3B,mBAAkC,EAClC,cAAyC;IAEzC,MAAM,CAAC,GAAG,UAAU,CAAC,mBAAmB,CAAC,CAAC;IAC1C,MAAM,CAAC,GAAG,UAAU,CAAC,cAAc,CAAC,CAAC;IACrC,IAAI,CAAC,CAAC,IAAI,CAAC,CAAC;QAAE,OAAO,eAAe,CAAC;IACrC,OAAO,CAAC,KAAK,CAAC,CAAC,CAAC,CAAC,OAAO,CAAC,CAAC,CAAC,UAAU,CAAC;AACxC,CAAC;AAED,SAAS,UAAU,CAAC,CAA4B;IAC9C,OAAO,CAAC,CAAC,IAAI,EAAE,CAAC,CAAC,OAAO,CAAC,KAAK,EAAE,EAAE,CAAC,CAAC;AACtC,CAAC"}

package/dist/fiscal/credentials/material.d.ts

@@ -0,0 +1,81 @@
+import type { Tx } from '../../db/client.js';
+import type { Keyring } from '../../vault/crypto.js';
+import type { ClientTlsMaterial } from '../transport/types.js';
+import type { FiscalCredentialKind } from '../eligibility.js';
+import { type FiscalSecretAuthorization } from '../sync/secret-boundary.js';
+/**
+ * O material de TLS mútuo, do cofre para a memória — e para lugar nenhum mais.
+ *
+ * ## As três coisas que este módulo recusa a fazer
+ *
+ * **Não escreve no disco.** Um PKCS#12 em `/tmp` precisa de permissão restrita,
+ * de limpeza garantida em todo caminho de saída (inclusive `SIGKILL`) e de
+ * alguém que lembre das duas coisas no dia do incidente. O `https.Agent` do Node
+ * aceita `Buffer`, então o arquivo temporário nunca é necessário — e "nunca
+ * necessário" é a única forma segura de "nunca esquecido".
+ *
+ * **Não passa por variável de ambiente.** Env var vaza em `env`, em dump de
+ * processo, em painel de provedor e em log de boot. Este ecossistema já perdeu
+ * `DATABASE_URL` inteiro por um `env | grep` bem-intencionado.
+ *
+ * **Não aparece em log, erro ou trilha.** O único campo desta estrutura que
+ * pode ser impresso é `fingerprintSha256`, e é por isso que ele existe: ele
+ * responde "qual certificado foi apresentado?" sem revelar nada dele.
+ *
+ * ## O envelope
+ *
+ * `vault_credential` guarda UM texto cifrado. Para certificado, esse texto é um
+ * JSON com formato declarado — e não o base64 solto, que obrigaria quem lê a
+ * adivinhar se recebeu PKCS#12 ou PEM:
+ *
+ *   {"format":"pkcs12","material":"<base64 do .pfx>","passphrase":"..."}
+ *   {"format":"pem","cert":"<base64 do PEM>","key":"<base64 do PEM>"}
+ *
+ * O `format` é obrigatório. Um envelope sem ele é recusado em vez de tentado
+ * como PKCS#12: adivinhar formato de material criptográfico produz um erro de
+ * OpenSSL seis camadas adiante, indistinguível de senha errada.
+ */
+/** O que deu errado ao buscar o material. Classe, nunca o texto do sistema. */
+export type TlsMaterialFailure = 'no_credential' | 'vault_unavailable' | 'envelope_unreadable' | 'unsupported_format';
+export type TlsMaterialResult = {
+    status: 'ok';
+    material: ClientTlsMaterial;
+} | {
+    status: 'unavailable';
+    reason: TlsMaterialFailure;
+};
+/**
+ * Constrói o material a partir do envelope decifrado.
+ *
+ * Separado da leitura do banco de propósito: é esta função que o teste
+ * exercita com um PKCS#12 sintético, sem precisar de cofre nem de tenant.
+ */
+export declare function buildTlsMaterial(raw: string): TlsMaterialResult;
+/**
+ * Busca o material do certificado de um cliente.
+ *
+ * O ponteiro vem de `digital_certificate.vault_credential_id` — o MESMO domínio
+ * que a prontidão lê, e não uma segunda tabela de credencial fiscal. Duas
+ * origens para o mesmo fato divergiriam na primeira atualização de uma só.
+ *
+ * NUNCA lança por ausência: um cliente sem certificado é estado normal, e uma
+ * exceção aqui derrubaria o worker no meio da carteira por causa do primeiro
+ * cliente não configurado.
+ *
+ * ## O `authorization` não é decoração
+ *
+ * Esta é a única porta do produto para material de certificado, e ela agora
+ * EXIGE o passe que o orquestrador emite depois do último portão. Um chamador
+ * que tente abrir o cofre antes disso — para "só conferir se o certificado
+ * abre", que é sempre como começa — recebe `FiscalSecretBoundaryError` em vez de
+ * uma chave privada. Ver `sync/secret-boundary.ts`.
+ *
+ * A checagem lança ANTES do primeiro `SELECT`: nem a existência do ponteiro é
+ * revelada a quem não passou pelos portões.
+ */
+export declare function loadFiscalTlsMaterial(tx: Tx, keyring: Keyring, tenantId: string, input: {
+    clientId: string;
+    kind?: FiscalCredentialKind;
+    authorization: FiscalSecretAuthorization;
+}): Promise<TlsMaterialResult>;
+//# sourceMappingURL=material.d.ts.map

package/dist/fiscal/credentials/material.d.ts.map

@@ -0,0 +1 @@
+{"version":3,"file":"material.d.ts","sourceRoot":"","sources":["../../../src/fiscal/credentials/material.ts"],"names":[],"mappings":"AACA,OAAO,KAAK,EAAE,EAAE,EAAE,MAAM,oBAAoB,CAAC;AAC7C,OAAO,KAAK,EAAE,OAAO,EAAE,MAAM,uBAAuB,CAAC;AAErD,OAAO,KAAK,EAAE,iBAAiB,EAAE,MAAM,uBAAuB,CAAC;AAC/D,OAAO,KAAK,EAAE,oBAAoB,EAAE,MAAM,mBAAmB,CAAC;AAC9D,OAAO,EAGL,KAAK,yBAAyB,EAC/B,MAAM,4BAA4B,CAAC;AAEpC;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;GA+BG;AAEH,+EAA+E;AAC/E,MAAM,MAAM,kBAAkB,GAC5B,eAAe,GAAG,mBAAmB,GAAG,qBAAqB,GAAG,oBAAoB,CAAC;AAEvF,MAAM,MAAM,iBAAiB,GACzB;IAAE,MAAM,EAAE,IAAI,CAAC;IAAC,QAAQ,EAAE,iBAAiB,CAAA;CAAE,GAC7C;IAAE,MAAM,EAAE,aAAa,CAAC;IAAC,MAAM,EAAE,kBAAkB,CAAA;CAAE,CAAC;AAe1D;;;;;GAKG;AACH,wBAAgB,gBAAgB,CAAC,GAAG,EAAE,MAAM,GAAG,iBAAiB,CAsC/D;AAwCD;;;;;;;;;;;;;;;;;;;;;GAqBG;AACH,wBAAsB,qBAAqB,CACzC,EAAE,EAAE,EAAE,EACN,OAAO,EAAE,OAAO,EAChB,QAAQ,EAAE,MAAM,EAChB,KAAK,EAAE;IACL,QAAQ,EAAE,MAAM,CAAC;IACjB,IAAI,CAAC,EAAE,oBAAoB,CAAC;IAC5B,aAAa,EAAE,yBAAyB,CAAC;CAC1C,GACA,OAAO,CAAC,iBAAiB,CAAC,CA6D5B"}

package/dist/fiscal/credentials/material.js

@@ -0,0 +1,164 @@
+import { createHash } from 'node:crypto';
+import { revealWriteOnlySecretForProcess } from '../../vault/repository.js';
+import { FiscalSecretBoundaryError, assertFiscalSecretAccess, } from '../sync/secret-boundary.js';
+/**
+ * Constrói o material a partir do envelope decifrado.
+ *
+ * Separado da leitura do banco de propósito: é esta função que o teste
+ * exercita com um PKCS#12 sintético, sem precisar de cofre nem de tenant.
+ */
+export function buildTlsMaterial(raw) {
+    let envelope;
+    try {
+        envelope = JSON.parse(raw);
+    }
+    catch {
+        // Sem `err.message`: um JSON malformado costuma vir citado inteiro na
+        // exceção, e o "JSON malformado" aqui é um certificado.
+        return { status: 'unavailable', reason: 'envelope_unreadable' };
+    }
+    if (!envelope || typeof envelope !== 'object' || !('format' in envelope)) {
+        return { status: 'unavailable', reason: 'envelope_unreadable' };
+    }
+    try {
+        if (envelope.format === 'pkcs12') {
+            if (typeof envelope.material !== 'string' || envelope.material === '') {
+                return { status: 'unavailable', reason: 'envelope_unreadable' };
+            }
+            const pfx = Buffer.from(envelope.material, 'base64');
+            if (pfx.byteLength === 0)
+                return { status: 'unavailable', reason: 'envelope_unreadable' };
+            return { status: 'ok', material: sealed({ pfx, passphrase: envelope.passphrase }) };
+        }
+        if (envelope.format === 'pem') {
+            if (typeof envelope.cert !== 'string' || typeof envelope.key !== 'string') {
+                return { status: 'unavailable', reason: 'envelope_unreadable' };
+            }
+            const cert = Buffer.from(envelope.cert, 'base64');
+            const key = Buffer.from(envelope.key, 'base64');
+            const ca = (envelope.ca ?? []).map((c) => Buffer.from(c, 'base64'));
+            if (cert.byteLength === 0 || key.byteLength === 0) {
+                return { status: 'unavailable', reason: 'envelope_unreadable' };
+            }
+            return { status: 'ok', material: sealed({ cert, key, ca }) };
+        }
+    }
+    catch {
+        return { status: 'unavailable', reason: 'envelope_unreadable' };
+    }
+    return { status: 'unavailable', reason: 'unsupported_format' };
+}
+/**
+ * Embrulha os buffers com a impressão digital e com o descarte.
+ *
+ * A impressão é do material APRESENTADO (o `.pfx` ou o `cert`), nunca da chave
+ * privada: identificar qual certificado foi usado não deve exigir tocar no
+ * segredo, nem sequer para calcular um hash.
+ */
+function sealed(parts) {
+    const identity = parts.pfx ?? parts.cert ?? Buffer.alloc(0);
+    const fingerprintSha256 = createHash('sha256').update(identity).digest('hex');
+    let disposed = false;
+    return {
+        ...(parts.pfx ? { pfx: parts.pfx } : {}),
+        ...(parts.passphrase ? { passphrase: parts.passphrase } : {}),
+        ...(parts.cert ? { cert: parts.cert } : {}),
+        ...(parts.key ? { key: parts.key } : {}),
+        ...(parts.ca && parts.ca.length > 0 ? { ca: parts.ca } : {}),
+        fingerprintSha256,
+        dispose() {
+            if (disposed)
+                return;
+            disposed = true;
+            // Zerar não é cerimônia: o Buffer sobrevive no heap até o GC passar, e um
+            // heap dump de produção é um arquivo que alguém abre e guarda.
+            parts.pfx?.fill(0);
+            parts.cert?.fill(0);
+            parts.key?.fill(0);
+            for (const c of parts.ca ?? [])
+                c.fill(0);
+        },
+    };
+}
+/**
+ * Busca o material do certificado de um cliente.
+ *
+ * O ponteiro vem de `digital_certificate.vault_credential_id` — o MESMO domínio
+ * que a prontidão lê, e não uma segunda tabela de credencial fiscal. Duas
+ * origens para o mesmo fato divergiriam na primeira atualização de uma só.
+ *
+ * NUNCA lança por ausência: um cliente sem certificado é estado normal, e uma
+ * exceção aqui derrubaria o worker no meio da carteira por causa do primeiro
+ * cliente não configurado.
+ *
+ * ## O `authorization` não é decoração
+ *
+ * Esta é a única porta do produto para material de certificado, e ela agora
+ * EXIGE o passe que o orquestrador emite depois do último portão. Um chamador
+ * que tente abrir o cofre antes disso — para "só conferir se o certificado
+ * abre", que é sempre como começa — recebe `FiscalSecretBoundaryError` em vez de
+ * uma chave privada. Ver `sync/secret-boundary.ts`.
+ *
+ * A checagem lança ANTES do primeiro `SELECT`: nem a existência do ponteiro é
+ * revelada a quem não passou pelos portões.
+ */
+export async function loadFiscalTlsMaterial(tx, keyring, tenantId, input) {
+    assertFiscalSecretAccess(input.authorization, 'loadFiscalTlsMaterial');
+    /*
+     * O passe é AUTÊNTICO — mas para quem?
+     *
+     * `assertFiscalSecretAccess` responde "esta autorização saiu dos portões", e
+     * não "esta autorização é DESTE cliente". A diferença abre um caso que a RLS
+     * não fecha: dentro do MESMO escritório, um passe emitido para o cliente X
+     * abriria o certificado do cliente Y, porque a política de tenant considera as
+     * duas linhas visíveis. É o `WHERE client_id = ...` abaixo que escolhe a
+     * linha, e ele obedece ao parâmetro, não ao passe.
+     *
+     * Hoje o orquestrador emite e usa o passe no mesmo par (tenant, cliente), de
+     * modo que o caso não ocorre. Mas é exatamente esse tipo de invariante — "quem
+     * chama sempre passa os mesmos valores" — que um refactor quebra em silêncio,
+     * e o módulo inteiro da fronteira existe porque convenção não é portão.
+     *
+     * A checagem é de ESCOPO, e vem antes de qualquer consulta: um passe fora do
+     * seu escopo não chega nem a saber se existe certificado do outro lado.
+     */
+    if (input.authorization.tenantId !== tenantId ||
+        input.authorization.clientId !== input.clientId) {
+        throw new FiscalSecretBoundaryError('loadFiscalTlsMaterial:scope');
+    }
+    const certType = input.kind === 'certificate_a3' ? 'A3' : 'A1';
+    let rows;
+    try {
+        rows = await tx `
+      SELECT vault_credential_id
+        FROM digital_certificate
+       WHERE client_id = ${input.clientId}
+         AND cert_type = ${certType}
+         AND deleted_at IS NULL
+       ORDER BY expires_at DESC
+       LIMIT 1
+    `;
+    }
+    catch (err) {
+        const code = err?.code;
+        if (code === '42P01' || code === '42703') {
+            return { status: 'unavailable', reason: 'no_credential' };
+        }
+        throw err;
+    }
+    const pointer = rows[0]?.vault_credential_id;
+    if (!pointer)
+        return { status: 'unavailable', reason: 'no_credential' };
+    let secret;
+    try {
+        ({ secret } = await revealWriteOnlySecretForProcess(tx, keyring, tenantId, pointer));
+    }
+    catch {
+        // Ponteiro pendurado, chave de cifra ausente, linha invisível sob RLS: os
+        // três colapsam em "não deu para abrir", e diferenciá-los aqui vazaria a
+        // existência de um registro que a RLS já respondeu como ausente.
+        return { status: 'unavailable', reason: 'vault_unavailable' };
+    }
+    return buildTlsMaterial(secret);
+}
+//# sourceMappingURL=material.js.map

package/dist/fiscal/credentials/material.js.map

@@ -0,0 +1 @@
+{"version":3,"file":"material.js","sourceRoot":"","sources":["../../../src/fiscal/credentials/material.ts"],"names":[],"mappings":"AAAA,OAAO,EAAE,UAAU,EAAE,MAAM,aAAa,CAAC;AAGzC,OAAO,EAAE,+BAA+B,EAAE,MAAM,2BAA2B,CAAC;AAG5E,OAAO,EACL,yBAAyB,EACzB,wBAAwB,GAEzB,MAAM,4BAA4B,CAAC;AAwDpC;;;;;GAKG;AACH,MAAM,UAAU,gBAAgB,CAAC,GAAW;IAC1C,IAAI,QAA6B,CAAC;IAClC,IAAI,CAAC;QACH,QAAQ,GAAG,IAAI,CAAC,KAAK,CAAC,GAAG,CAAwB,CAAC;IACpD,CAAC;IAAC,MAAM,CAAC;QACP,sEAAsE;QACtE,wDAAwD;QACxD,OAAO,EAAE,MAAM,EAAE,aAAa,EAAE,MAAM,EAAE,qBAAqB,EAAE,CAAC;IAClE,CAAC;IACD,IAAI,CAAC,QAAQ,IAAI,OAAO,QAAQ,KAAK,QAAQ,IAAI,CAAC,CAAC,QAAQ,IAAI,QAAQ,CAAC,EAAE,CAAC;QACzE,OAAO,EAAE,MAAM,EAAE,aAAa,EAAE,MAAM,EAAE,qBAAqB,EAAE,CAAC;IAClE,CAAC;IAED,IAAI,CAAC;QACH,IAAI,QAAQ,CAAC,MAAM,KAAK,QAAQ,EAAE,CAAC;YACjC,IAAI,OAAO,QAAQ,CAAC,QAAQ,KAAK,QAAQ,IAAI,QAAQ,CAAC,QAAQ,KAAK,EAAE,EAAE,CAAC;gBACtE,OAAO,EAAE,MAAM,EAAE,aAAa,EAAE,MAAM,EAAE,qBAAqB,EAAE,CAAC;YAClE,CAAC;YACD,MAAM,GAAG,GAAG,MAAM,CAAC,IAAI,CAAC,QAAQ,CAAC,QAAQ,EAAE,QAAQ,CAAC,CAAC;YACrD,IAAI,GAAG,CAAC,UAAU,KAAK,CAAC;gBAAE,OAAO,EAAE,MAAM,EAAE,aAAa,EAAE,MAAM,EAAE,qBAAqB,EAAE,CAAC;YAC1F,OAAO,EAAE,MAAM,EAAE,IAAI,EAAE,QAAQ,EAAE,MAAM,CAAC,EAAE,GAAG,EAAE,UAAU,EAAE,QAAQ,CAAC,UAAU,EAAE,CAAC,EAAE,CAAC;QACtF,CAAC;QACD,IAAI,QAAQ,CAAC,MAAM,KAAK,KAAK,EAAE,CAAC;YAC9B,IAAI,OAAO,QAAQ,CAAC,IAAI,KAAK,QAAQ,IAAI,OAAO,QAAQ,CAAC,GAAG,KAAK,QAAQ,EAAE,CAAC;gBAC1E,OAAO,EAAE,MAAM,EAAE,aAAa,EAAE,MAAM,EAAE,qBAAqB,EAAE,CAAC;YAClE,CAAC;YACD,MAAM,IAAI,GAAG,MAAM,CAAC,IAAI,CAAC,QAAQ,CAAC,IAAI,EAAE,QAAQ,CAAC,CAAC;YAClD,MAAM,GAAG,GAAG,MAAM,CAAC,IAAI,CAAC,QAAQ,CAAC,GAAG,EAAE,QAAQ,CAAC,CAAC;YAChD,MAAM,EAAE,GAAG,CAAC,QAAQ,CAAC,EAAE,IAAI,EAAE,CAAC,CAAC,GAAG,CAAC,CAAC,CAAC,EAAE,EAAE,CAAC,MAAM,CAAC,IAAI,CAAC,CAAC,EAAE,QAAQ,CAAC,CAAC,CAAC;YACpE,IAAI,IAAI,CAAC,UAAU,KAAK,CAAC,IAAI,GAAG,CAAC,UAAU,KAAK,CAAC,EAAE,CAAC;gBAClD,OAAO,EAAE,MAAM,EAAE,aAAa,EAAE,MAAM,EAAE,qBAAqB,EAAE,CAAC;YAClE,CAAC;YACD,OAAO,EAAE,MAAM,EAAE,IAAI,EAAE,QAAQ,EAAE,MAAM,CAAC,EAAE,IAAI,EAAE,GAAG,EAAE,EAAE,EAAE,CAAC,EAAE,CAAC;QAC/D,CAAC;IACH,CAAC;IAAC,MAAM,CAAC;QACP,OAAO,EAAE,MAAM,EAAE,aAAa,EAAE,MAAM,EAAE,qBAAqB,EAAE,CAAC;IAClE,CAAC;IACD,OAAO,EAAE,MAAM,EAAE,aAAa,EAAE,MAAM,EAAE,oBAAoB,EAAE,CAAC;AACjE,CAAC;AAED;;;;;;GAMG;AACH,SAAS,MAAM,CAAC,KAMf;IACC,MAAM,QAAQ,GAAG,KAAK,CAAC,GAAG,IAAI,KAAK,CAAC,IAAI,IAAI,MAAM,CAAC,KAAK,CAAC,CAAC,CAAC,CAAC;IAC5D,MAAM,iBAAiB,GAAG,UAAU,CAAC,QAAQ,CAAC,CAAC,MAAM,CAAC,QAAQ,CAAC,CAAC,MAAM,CAAC,KAAK,CAAC,CAAC;IAC9E,IAAI,QAAQ,GAAG,KAAK,CAAC;IAErB,OAAO;QACL,GAAG,CAAC,KAAK,CAAC,GAAG,CAAC,CAAC,CAAC,EAAE,GAAG,EAAE,KAAK,CAAC,GAAG,EAAE,CAAC,CAAC,CAAC,EAAE,CAAC;QACxC,GAAG,CAAC,KAAK,CAAC,UAAU,CAAC,CAAC,CAAC,EAAE,UAAU,EAAE,KAAK,CAAC,UAAU,EAAE,CAAC,CAAC,CAAC,EAAE,CAAC;QAC7D,GAAG,CAAC,KAAK,CAAC,IAAI,CAAC,CAAC,CAAC,EAAE,IAAI,EAAE,KAAK,CAAC,IAAI,EAAE,CAAC,CAAC,CAAC,EAAE,CAAC;QAC3C,GAAG,CAAC,KAAK,CAAC,GAAG,CAAC,CAAC,CAAC,EAAE,GAAG,EAAE,KAAK,CAAC,GAAG,EAAE,CAAC,CAAC,CAAC,EAAE,CAAC;QACxC,GAAG,CAAC,KAAK,CAAC,EAAE,IAAI,KAAK,CAAC,EAAE,CAAC,MAAM,GAAG,CAAC,CAAC,CAAC,CAAC,EAAE,EAAE,EAAE,KAAK,CAAC,EAAE,EAAE,CAAC,CAAC,CAAC,EAAE,CAAC;QAC5D,iBAAiB;QACjB,OAAO;YACL,IAAI,QAAQ;gBAAE,OAAO;YACrB,QAAQ,GAAG,IAAI,CAAC;YAChB,0EAA0E;YAC1E,+DAA+D;YAC/D,KAAK,CAAC,GAAG,EAAE,IAAI,CAAC,CAAC,CAAC,CAAC;YACnB,KAAK,CAAC,IAAI,EAAE,IAAI,CAAC,CAAC,CAAC,CAAC;YACpB,KAAK,CAAC,GAAG,EAAE,IAAI,CAAC,CAAC,CAAC,CAAC;YACnB,KAAK,MAAM,CAAC,IAAI,KAAK,CAAC,EAAE,IAAI,EAAE;gBAAE,CAAC,CAAC,IAAI,CAAC,CAAC,CAAC,CAAC;QAC5C,CAAC;KACF,CAAC;AACJ,CAAC;AAED;;;;;;;;;;;;;;;;;;;;;GAqBG;AACH,MAAM,CAAC,KAAK,UAAU,qBAAqB,CACzC,EAAM,EACN,OAAgB,EAChB,QAAgB,EAChB,KAIC;IAED,wBAAwB,CAAC,KAAK,CAAC,aAAa,EAAE,uBAAuB,CAAC,CAAC;IACvE;;;;;;;;;;;;;;;;;OAiBG;IACH,IACE,KAAK,CAAC,aAAa,CAAC,QAAQ,KAAK,QAAQ;QACzC,KAAK,CAAC,aAAa,CAAC,QAAQ,KAAK,KAAK,CAAC,QAAQ,EAC/C,CAAC;QACD,MAAM,IAAI,yBAAyB,CAAC,6BAA6B,CAAC,CAAC;IACrE,CAAC;IACD,MAAM,QAAQ,GAAG,KAAK,CAAC,IAAI,KAAK,gBAAgB,CAAC,CAAC,CAAC,IAAI,CAAC,CAAC,CAAC,IAAI,CAAC;IAE/D,IAAI,IAA8C,CAAC;IACnD,IAAI,CAAC;QACH,IAAI,GAAG,MAAM,EAAE,CAA0C;;;2BAGlC,KAAK,CAAC,QAAQ;2BACd,QAAQ;;;;KAI9B,CAAC;IACJ,CAAC;IAAC,OAAO,GAAG,EAAE,CAAC;QACb,MAAM,IAAI,GAAI,GAAgC,EAAE,IAAI,CAAC;QACrD,IAAI,IAAI,KAAK,OAAO,IAAI,IAAI,KAAK,OAAO,EAAE,CAAC;YACzC,OAAO,EAAE,MAAM,EAAE,aAAa,EAAE,MAAM,EAAE,eAAe,EAAE,CAAC;QAC5D,CAAC;QACD,MAAM,GAAG,CAAC;IACZ,CAAC;IAED,MAAM,OAAO,GAAG,IAAI,CAAC,CAAC,CAAC,EAAE,mBAAmB,CAAC;IAC7C,IAAI,CAAC,OAAO;QAAE,OAAO,EAAE,MAAM,EAAE,aAAa,EAAE,MAAM,EAAE,eAAe,EAAE,CAAC;IAExE,IAAI,MAAc,CAAC;IACnB,IAAI,CAAC;QACH,CAAC,EAAE,MAAM,EAAE,GAAG,MAAM,+BAA+B,CAAC,EAAE,EAAE,OAAO,EAAE,QAAQ,EAAE,OAAO,CAAC,CAAC,CAAC;IACvF,CAAC;IAAC,MAAM,CAAC;QACP,0EAA0E;QAC1E,yEAAyE;QACzE,iEAAiE;QACjE,OAAO,EAAE,MAAM,EAAE,aAAa,EAAE,MAAM,EAAE,mBAAmB,EAAE,CAAC;IAChE,CAAC;IAED,OAAO,gBAAgB,CAAC,MAAM,CAAC,CAAC;AAClC,CAAC"}