@baruk/core 0.4.2 → 0.6.0

package/dist/fiscal/transport/https.js

@@ -0,0 +1,303 @@
+import { Agent, request as httpsRequest } from 'node:https';
+import { createSecureContext } from 'node:tls';
+import { URL } from 'node:url';
+import { FiscalTransportError, parseRetryAfter, } from './types.js';
+/**
+ * Códigos de erro do Node que significam "o material do CLIENTE não serve".
+ *
+ * A separação de `tls` (problema do servidor) importa porque os tratamentos são
+ * opostos: cadeia do servidor inválida pode ser infraestrutura nossa; material
+ * do cliente inválido é sempre uma pessoa que precisa trocar um certificado, e
+ * retentar não muda nada.
+ */
+const CLIENT_MATERIAL_CODES = new Set([
+    'ERR_OSSL_PKCS12_MAC_VERIFY_FAILURE',
+    'ERR_OSSL_EVP_UNSUPPORTED',
+    'ERR_OSSL_UNSUPPORTED',
+    'ERR_OSSL_ASN1_HEADER_TOO_LONG',
+    'ERR_OSSL_PEM_NO_START_LINE',
+    'ERR_OSSL_PEM_BAD_END_LINE',
+    'ERR_TLS_INVALID_CONTEXT',
+]);
+/** Códigos que dizem: o SERVIDOR recusou o que apresentamos (ou a falta disso). */
+const SERVER_REJECTED_CLIENT = [
+    'ALERT_CERTIFICATE_REQUIRED',
+    'ALERT_BAD_CERTIFICATE',
+    'ALERT_CERTIFICATE_EXPIRED',
+    'ALERT_CERTIFICATE_REVOKED',
+    'ALERT_CERTIFICATE_UNKNOWN',
+    'ALERT_UNKNOWN_CA',
+    'ALERT_HANDSHAKE_FAILURE',
+    'ALERT_DECRYPT_ERROR',
+];
+/** Códigos que dizem: a cadeia do SERVIDOR não fecha, ou o nome não bate. */
+const SERVER_CHAIN_CODES = new Set([
+    'UNABLE_TO_VERIFY_LEAF_SIGNATURE',
+    'UNABLE_TO_GET_ISSUER_CERT',
+    'UNABLE_TO_GET_ISSUER_CERT_LOCALLY',
+    'SELF_SIGNED_CERT_IN_CHAIN',
+    'DEPTH_ZERO_SELF_SIGNED_CERT',
+    'CERT_HAS_EXPIRED',
+    'CERT_NOT_YET_VALID',
+    'CERT_UNTRUSTED',
+    'ERR_TLS_CERT_ALTNAME_INVALID',
+    'ERR_TLS_HANDSHAKE_TIMEOUT',
+]);
+const NETWORK_CODES = new Set([
+    'ECONNREFUSED',
+    'ECONNRESET',
+    'EPIPE',
+    'EHOSTUNREACH',
+    'ENETUNREACH',
+    'ENOTFOUND',
+    'EAI_AGAIN',
+    'EADDRNOTAVAIL',
+]);
+/**
+ * As opções que serão entregues ao socket, conferidas.
+ *
+ * Exportada porque o teste de regressão precisa exercitar a rejeição — um portão
+ * que só é conferido pela leitura do código não é um portão.
+ */
+export function assertNoTlsBypass(options) {
+    // Comparação por VALOR e não por presença: `rejectUnauthorized: true` é o que
+    // queremos e passa; qualquer coisa falsa fecha, inclusive `0`, `''` e `null`.
+    if ('rejectUnauthorized' in options && !options.rejectUnauthorized) {
+        throw new FiscalTransportError('protocol', 'TLS_VERIFICATION_DISABLED');
+    }
+    // Substituir a validação de identidade por uma função que não valida nada é o
+    // mesmo bypass com outro nome, e é a forma que passa despercebida em revisão.
+    if ('checkServerIdentity' in options && options.checkServerIdentity !== undefined) {
+        throw new FiscalTransportError('protocol', 'TLS_IDENTITY_CHECK_OVERRIDDEN');
+    }
+}
+export class HttpsFiscalTransport {
+    kind = 'https';
+    agent;
+    servername;
+    /** Apresentamos certificado de cliente? Decide a leitura do reset abaixo. */
+    presentsClientCert;
+    maxResponseBytes;
+    constructor(options = {}) {
+        const material = options.tls ?? null;
+        this.servername = options.servername;
+        this.presentsClientCert = Boolean(material?.pfx ?? material?.cert);
+        this.maxResponseBytes = options.maxResponseBytes ?? Number.POSITIVE_INFINITY;
+        // O contexto é montado AGORA, e não no primeiro socket, para que uma senha
+        // errada de PKCS#12 falhe como "material do cliente inválido" — e não como
+        // um `ECONNRESET` seis camadas adiante, que é o mesmo sintoma de rede fora.
+        let secureContext;
+        if (material) {
+            try {
+                secureContext = createSecureContext({
+                    ...(material.pfx ? { pfx: material.pfx } : {}),
+                    ...(material.passphrase ? { passphrase: material.passphrase } : {}),
+                    ...(material.cert ? { cert: material.cert } : {}),
+                    ...(material.key ? { key: material.key } : {}),
+                    ...(material.ca ? { ca: [...material.ca] } : {}),
+                });
+            }
+            catch (err) {
+                throw new FiscalTransportError('certificate', codeOf(err, CLIENT_MATERIAL_CODES));
+            }
+        }
+        const agentOptions = {
+            keepAlive: false,
+            maxSockets: options.maxSockets ?? 1,
+            // Declarado, e não omitido. O default do Node já é `true`; escrevê-lo faz
+            // o teste de regressão ter o que conferir e torna a intenção legível.
+            rejectUnauthorized: true,
+            ...(secureContext ? { secureContext } : {}),
+            // Sem material de cliente, a CA extra ainda pode ser necessária para
+            // validar o SERVIDOR — e acrescentar CA é o oposto de desligar a checagem.
+            ...(!secureContext && material?.ca ? { ca: [...material.ca] } : {}),
+        };
+        assertNoTlsBypass(agentOptions);
+        this.agent = new Agent(agentOptions);
+    }
+    async send(req) {
+        let url;
+        try {
+            url = new URL(req.url);
+        }
+        catch {
+            throw new FiscalTransportError('protocol', 'URL_INVALID');
+        }
+        // `http:` contra o ambiente nacional não é degradação: é o certificado do
+        // cliente viajando em claro. Fecha antes de abrir socket.
+        if (url.protocol !== 'https:') {
+            throw new FiscalTransportError('protocol', 'URL_NOT_HTTPS');
+        }
+        if (!Number.isFinite(req.timeoutMs) || req.timeoutMs <= 0) {
+            throw new FiscalTransportError('protocol', 'TIMEOUT_REQUIRED');
+        }
+        const requestOptions = {
+            method: req.method,
+            agent: this.agent,
+            headers: req.headers ?? {},
+            rejectUnauthorized: true,
+            ...(this.servername ? { servername: this.servername } : {}),
+        };
+        assertNoTlsBypass(requestOptions);
+        return new Promise((resolve, reject) => {
+            let settled = false;
+            const finish = (fn) => {
+                if (settled)
+                    return;
+                settled = true;
+                fn();
+            };
+            /*
+             * O reset que na verdade é uma recusa de credencial.
+             *
+             * No TLS 1.3 o servidor só valida o certificado do cliente DEPOIS de
+             * enviar o próprio `Finished`. O cliente, que já considera o handshake
+             * concluído, recebe o alerta como um socket derrubado: `ECONNRESET`, sem
+             * código de alerta nenhum. Ou seja: "meu certificado foi recusado" e "a
+             * rede caiu" chegam com o MESMO código.
+             *
+             * A distinção importa porque os tratamentos são opostos — rede volta
+             * sozinha e merece retentativa; certificado recusado só é resolvido por
+             * uma pessoa, e retentar consome a cota do cliente sem chance de sucesso.
+             *
+             * A leitura usa três fatos observáveis, e é heurística assumida: se
+             * APRESENTAMOS certificado, o handshake COMPLETOU, e o servidor derrubou
+             * antes de qualquer byte de resposta, a causa quase certa é a validação
+             * do nosso certificado. Uma rede que cai exatamente nessa janela seria
+             * classificada como credencial — e essa é a troca certa: o falso positivo
+             * gera uma tarefa humana a mais; o falso negativo gera retentativa
+             * infinita contra um handshake que nunca vai fechar.
+             */
+            let handshakeConcluido = false;
+            let bytesRecebidos = 0;
+            const tetoCorpo = this.maxResponseBytes;
+            const r = httpsRequest(url, requestOptions, (res) => {
+                const chunks = [];
+                res.on('data', (c) => {
+                    bytesRecebidos += c.length;
+                    // O teto é conferido ENQUANTO os pedaços chegam, e não no fim: conferir
+                    // no fim significa já ter alocado exatamente o que se queria recusar.
+                    // `Content-Length` não serve de portão — um servidor hostil o omite,
+                    // mente, ou usa `chunked`.
+                    if (bytesRecebidos > tetoCorpo) {
+                        finish(() => {
+                            res.destroy();
+                            r.destroy();
+                            reject(new FiscalTransportError('protocol', 'RESPONSE_TOO_LARGE'));
+                        });
+                        return;
+                    }
+                    chunks.push(c);
+                });
+                res.on('error', (err) => finish(() => reject(classify(err))));
+                res.on('end', () => finish(() => resolve({
+                    status: res.statusCode ?? 0,
+                    headers: lowerCaseHeaders(res.headers),
+                    body: Buffer.concat(chunks),
+                })));
+            });
+            // Dois relógios, de propósito. `setTimeout` do Node só conta OCIOSIDADE do
+            // socket: um servidor que envia um byte por segundo o mantém aberto para
+            // sempre. O temporizador absoluto é o teto que a espera realmente tem.
+            const hardStop = setTimeout(() => {
+                finish(() => {
+                    r.destroy();
+                    reject(new FiscalTransportError('timeout', 'DEADLINE_EXCEEDED'));
+                });
+            }, req.timeoutMs);
+            // `unref` para que um teste que esqueça de fechar não segure o processo.
+            hardStop.unref?.();
+            r.setTimeout(req.timeoutMs, () => {
+                finish(() => {
+                    r.destroy();
+                    reject(new FiscalTransportError('timeout', 'SOCKET_IDLE'));
+                });
+            });
+            r.on('socket', (socket) => {
+                socket.on('secureConnect', () => {
+                    handshakeConcluido = true;
+                });
+            });
+            r.on('error', (err) => finish(() => reject(classify(err, {
+                presentsClientCert: this.presentsClientCert,
+                handshakeCompleted: handshakeConcluido,
+                bytesReceived: bytesRecebidos,
+            }))));
+            r.on('close', () => clearTimeout(hardStop));
+            if (req.body != null)
+                r.write(req.body);
+            r.end();
+        });
+    }
+}
+function lowerCaseHeaders(raw) {
+    const out = {};
+    for (const [k, v] of Object.entries(raw)) {
+        if (v === undefined)
+            continue;
+        out[k.toLowerCase()] = Array.isArray(v) ? v.join(', ') : String(v);
+    }
+    return out;
+}
+/**
+ * O código do erro, sem nunca ler a mensagem.
+ *
+ * Quando o Node não fornece `code`, devolve um rótulo genérico. Um rótulo
+ * genérico é pior para depurar e melhor para a segurança — e essa é a troca
+ * certa numa camada por onde passa certificado de terceiro.
+ */
+function codeOf(err, fallbackSet) {
+    const code = err?.code;
+    if (typeof code === 'string' && code.length > 0 && code.length <= 64) {
+        return fallbackSet && !fallbackSet.has(code) ? code : code;
+    }
+    return 'UNCLASSIFIED';
+}
+/** Traduz o erro do socket para a taxonomia do transporte. Só pelo `code`. */
+function classify(err, context) {
+    if (err instanceof FiscalTransportError)
+        return err;
+    const code = codeOf(err);
+    if (CLIENT_MATERIAL_CODES.has(code))
+        return new FiscalTransportError('certificate', code);
+    // Alerta de TLS: o servidor recusou o que apresentamos — ou a ausência disso.
+    // É problema de CREDENCIAL, e não de rede, mesmo chegando pelo socket.
+    if (SERVER_REJECTED_CLIENT.some((a) => code.includes(a))) {
+        return new FiscalTransportError('certificate', code);
+    }
+    if (SERVER_CHAIN_CODES.has(code))
+        return new FiscalTransportError('tls', code);
+    if (code === 'ETIMEDOUT' || code === 'ESOCKETTIMEDOUT') {
+        return new FiscalTransportError('timeout', code);
+    }
+    if (NETWORK_CODES.has(code)) {
+        if ((code === 'ECONNRESET' || code === 'EPIPE') &&
+            context?.presentsClientCert &&
+            context.handshakeCompleted &&
+            context.bytesReceived === 0) {
+            // Ver `send`: o alerta pós-handshake do TLS 1.3. O código anexado diz que
+            // a leitura foi inferida, para que ninguém a confunda com um alerta
+            // nomeado que o OpenSSL tivesse entregue.
+            return new FiscalTransportError('certificate', 'CLIENT_CERT_REJECTED_INFERRED');
+        }
+        return new FiscalTransportError('network', code);
+    }
+    // Erro de TLS não catalogado ainda é TLS: `ERR_SSL_*` cobre alertas que este
+    // arquivo não previu, e tratá-los como rede faria o motor retentar contra um
+    // handshake que nunca vai fechar.
+    if (code.startsWith('ERR_SSL') || code.startsWith('ERR_TLS')) {
+        return new FiscalTransportError('tls', code);
+    }
+    return new FiscalTransportError('network', code);
+}
+/**
+ * Espera pedida por uma RESPOSTA (e não por um erro).
+ *
+ * Um `429` ou `503` com `Retry-After` é o servidor dizendo exatamente quando
+ * voltar. Ignorá-lo e aplicar o nosso backoff seria substituir a informação de
+ * quem sabe pela estimativa de quem não sabe.
+ */
+export function retryAfterOf(res, now = new Date()) {
+    return parseRetryAfter(res.headers['retry-after'], now);
+}
+//# sourceMappingURL=https.js.map

package/dist/fiscal/transport/https.js.map

@@ -0,0 +1 @@
+{"version":3,"file":"https.js","sourceRoot":"","sources":["../../../src/fiscal/transport/https.ts"],"names":[],"mappings":"AAAA,OAAO,EAAE,KAAK,EAAE,OAAO,IAAI,YAAY,EAAE,MAAM,YAAY,CAAC;AAC5D,OAAO,EAAE,mBAAmB,EAAsB,MAAM,UAAU,CAAC;AACnE,OAAO,EAAE,GAAG,EAAE,MAAM,UAAU,CAAC;AAC/B,OAAO,EACL,oBAAoB,EACpB,eAAe,GAKhB,MAAM,YAAY,CAAC;AAoDpB;;;;;;;GAOG;AACH,MAAM,qBAAqB,GAAG,IAAI,GAAG,CAAC;IACpC,oCAAoC;IACpC,0BAA0B;IAC1B,sBAAsB;IACtB,+BAA+B;IAC/B,4BAA4B;IAC5B,2BAA2B;IAC3B,yBAAyB;CAC1B,CAAC,CAAC;AAEH,mFAAmF;AACnF,MAAM,sBAAsB,GAAG;IAC7B,4BAA4B;IAC5B,uBAAuB;IACvB,2BAA2B;IAC3B,2BAA2B;IAC3B,2BAA2B;IAC3B,kBAAkB;IAClB,yBAAyB;IACzB,qBAAqB;CACtB,CAAC;AAEF,6EAA6E;AAC7E,MAAM,kBAAkB,GAAG,IAAI,GAAG,CAAC;IACjC,iCAAiC;IACjC,2BAA2B;IAC3B,mCAAmC;IACnC,2BAA2B;IAC3B,6BAA6B;IAC7B,kBAAkB;IAClB,oBAAoB;IACpB,gBAAgB;IAChB,8BAA8B;IAC9B,2BAA2B;CAC5B,CAAC,CAAC;AAEH,MAAM,aAAa,GAAG,IAAI,GAAG,CAAC;IAC5B,cAAc;IACd,YAAY;IACZ,OAAO;IACP,cAAc;IACd,aAAa;IACb,WAAW;IACX,WAAW;IACX,eAAe;CAChB,CAAC,CAAC;AAEH;;;;;GAKG;AACH,MAAM,UAAU,iBAAiB,CAAC,OAAgC;IAChE,8EAA8E;IAC9E,8EAA8E;IAC9E,IAAI,oBAAoB,IAAI,OAAO,IAAI,CAAC,OAAO,CAAC,kBAAkB,EAAE,CAAC;QACnE,MAAM,IAAI,oBAAoB,CAAC,UAAU,EAAE,2BAA2B,CAAC,CAAC;IAC1E,CAAC;IACD,8EAA8E;IAC9E,8EAA8E;IAC9E,IAAI,qBAAqB,IAAI,OAAO,IAAI,OAAO,CAAC,mBAAmB,KAAK,SAAS,EAAE,CAAC;QAClF,MAAM,IAAI,oBAAoB,CAAC,UAAU,EAAE,+BAA+B,CAAC,CAAC;IAC9E,CAAC;AACH,CAAC;AAED,MAAM,OAAO,oBAAoB;IACtB,IAAI,GAAG,OAAO,CAAC;IACP,KAAK,CAAQ;IACb,UAAU,CAAqB;IAChD,6EAA6E;IAC5D,kBAAkB,CAAU;IAC5B,gBAAgB,CAAS;IAE1C,YAAY,UAAuC,EAAE;QACnD,MAAM,QAAQ,GAAG,OAAO,CAAC,GAAG,IAAI,IAAI,CAAC;QACrC,IAAI,CAAC,UAAU,GAAG,OAAO,CAAC,UAAU,CAAC;QACrC,IAAI,CAAC,kBAAkB,GAAG,OAAO,CAAC,QAAQ,EAAE,GAAG,IAAI,QAAQ,EAAE,IAAI,CAAC,CAAC;QACnE,IAAI,CAAC,gBAAgB,GAAG,OAAO,CAAC,gBAAgB,IAAI,MAAM,CAAC,iBAAiB,CAAC;QAE7E,2EAA2E;QAC3E,2EAA2E;QAC3E,4EAA4E;QAC5E,IAAI,aAAwC,CAAC;QAC7C,IAAI,QAAQ,EAAE,CAAC;YACb,IAAI,CAAC;gBACH,aAAa,GAAG,mBAAmB,CAAC;oBAClC,GAAG,CAAC,QAAQ,CAAC,GAAG,CAAC,CAAC,CAAC,EAAE,GAAG,EAAE,QAAQ,CAAC,GAAG,EAAE,CAAC,CAAC,CAAC,EAAE,CAAC;oBAC9C,GAAG,CAAC,QAAQ,CAAC,UAAU,CAAC,CAAC,CAAC,EAAE,UAAU,EAAE,QAAQ,CAAC,UAAU,EAAE,CAAC,CAAC,CAAC,EAAE,CAAC;oBACnE,GAAG,CAAC,QAAQ,CAAC,IAAI,CAAC,CAAC,CAAC,EAAE,IAAI,EAAE,QAAQ,CAAC,IAAI,EAAE,CAAC,CAAC,CAAC,EAAE,CAAC;oBACjD,GAAG,CAAC,QAAQ,CAAC,GAAG,CAAC,CAAC,CAAC,EAAE,GAAG,EAAE,QAAQ,CAAC,GAAG,EAAE,CAAC,CAAC,CAAC,EAAE,CAAC;oBAC9C,GAAG,CAAC,QAAQ,CAAC,EAAE,CAAC,CAAC,CAAC,EAAE,EAAE,EAAE,CAAC,GAAG,QAAQ,CAAC,EAAE,CAAC,EAAE,CAAC,CAAC,CAAC,EAAE,CAAC;iBACjD,CAAC,CAAC;YACL,CAAC;YAAC,OAAO,GAAG,EAAE,CAAC;gBACb,MAAM,IAAI,oBAAoB,CAAC,aAAa,EAAE,MAAM,CAAC,GAAG,EAAE,qBAAqB,CAAC,CAAC,CAAC;YACpF,CAAC;QACH,CAAC;QAED,MAAM,YAAY,GAA4B;YAC5C,SAAS,EAAE,KAAK;YAChB,UAAU,EAAE,OAAO,CAAC,UAAU,IAAI,CAAC;YACnC,0EAA0E;YAC1E,sEAAsE;YACtE,kBAAkB,EAAE,IAAI;YACxB,GAAG,CAAC,aAAa,CAAC,CAAC,CAAC,EAAE,aAAa,EAAE,CAAC,CAAC,CAAC,EAAE,CAAC;YAC3C,qEAAqE;YACrE,2EAA2E;YAC3E,GAAG,CAAC,CAAC,aAAa,IAAI,QAAQ,EAAE,EAAE,CAAC,CAAC,CAAC,EAAE,EAAE,EAAE,CAAC,GAAG,QAAQ,CAAC,EAAE,CAAC,EAAE,CAAC,CAAC,CAAC,EAAE,CAAC;SACpE,CAAC;QACF,iBAAiB,CAAC,YAAY,CAAC,CAAC;QAChC,IAAI,CAAC,KAAK,GAAG,IAAI,KAAK,CAAC,YAAY,CAAC,CAAC;IACvC,CAAC;IAED,KAAK,CAAC,IAAI,CAAC,GAA2B;QACpC,IAAI,GAAQ,CAAC;QACb,IAAI,CAAC;YACH,GAAG,GAAG,IAAI,GAAG,CAAC,GAAG,CAAC,GAAG,CAAC,CAAC;QACzB,CAAC;QAAC,MAAM,CAAC;YACP,MAAM,IAAI,oBAAoB,CAAC,UAAU,EAAE,aAAa,CAAC,CAAC;QAC5D,CAAC;QACD,0EAA0E;QAC1E,0DAA0D;QAC1D,IAAI,GAAG,CAAC,QAAQ,KAAK,QAAQ,EAAE,CAAC;YAC9B,MAAM,IAAI,oBAAoB,CAAC,UAAU,EAAE,eAAe,CAAC,CAAC;QAC9D,CAAC;QACD,IAAI,CAAC,MAAM,CAAC,QAAQ,CAAC,GAAG,CAAC,SAAS,CAAC,IAAI,GAAG,CAAC,SAAS,IAAI,CAAC,EAAE,CAAC;YAC1D,MAAM,IAAI,oBAAoB,CAAC,UAAU,EAAE,kBAAkB,CAAC,CAAC;QACjE,CAAC;QAED,MAAM,cAAc,GAA4B;YAC9C,MAAM,EAAE,GAAG,CAAC,MAAM;YAClB,KAAK,EAAE,IAAI,CAAC,KAAK;YACjB,OAAO,EAAE,GAAG,CAAC,OAAO,IAAI,EAAE;YAC1B,kBAAkB,EAAE,IAAI;YACxB,GAAG,CAAC,IAAI,CAAC,UAAU,CAAC,CAAC,CAAC,EAAE,UAAU,EAAE,IAAI,CAAC,UAAU,EAAE,CAAC,CAAC,CAAC,EAAE,CAAC;SAC5D,CAAC;QACF,iBAAiB,CAAC,cAAc,CAAC,CAAC;QAElC,OAAO,IAAI,OAAO,CAA0B,CAAC,OAAO,EAAE,MAAM,EAAE,EAAE;YAC9D,IAAI,OAAO,GAAG,KAAK,CAAC;YACpB,MAAM,MAAM,GAAG,CAAC,EAAc,EAAE,EAAE;gBAChC,IAAI,OAAO;oBAAE,OAAO;gBACpB,OAAO,GAAG,IAAI,CAAC;gBACf,EAAE,EAAE,CAAC;YACP,CAAC,CAAC;YAEF;;;;;;;;;;;;;;;;;;;;eAoBG;YACH,IAAI,kBAAkB,GAAG,KAAK,CAAC;YAC/B,IAAI,cAAc,GAAG,CAAC,CAAC;YAEvB,MAAM,SAAS,GAAG,IAAI,CAAC,gBAAgB,CAAC;YACxC,MAAM,CAAC,GAAG,YAAY,CAAC,GAAG,EAAE,cAAc,EAAE,CAAC,GAAG,EAAE,EAAE;gBAClD,MAAM,MAAM,GAAa,EAAE,CAAC;gBAC5B,GAAG,CAAC,EAAE,CAAC,MAAM,EAAE,CAAC,CAAS,EAAE,EAAE;oBAC3B,cAAc,IAAI,CAAC,CAAC,MAAM,CAAC;oBAC3B,wEAAwE;oBACxE,sEAAsE;oBACtE,qEAAqE;oBACrE,2BAA2B;oBAC3B,IAAI,cAAc,GAAG,SAAS,EAAE,CAAC;wBAC/B,MAAM,CAAC,GAAG,EAAE;4BACV,GAAG,CAAC,OAAO,EAAE,CAAC;4BACd,CAAC,CAAC,OAAO,EAAE,CAAC;4BACZ,MAAM,CAAC,IAAI,oBAAoB,CAAC,UAAU,EAAE,oBAAoB,CAAC,CAAC,CAAC;wBACrE,CAAC,CAAC,CAAC;wBACH,OAAO;oBACT,CAAC;oBACD,MAAM,CAAC,IAAI,CAAC,CAAC,CAAC,CAAC;gBACjB,CAAC,CAAC,CAAC;gBACH,GAAG,CAAC,EAAE,CAAC,OAAO,EAAE,CAAC,GAAG,EAAE,EAAE,CAAC,MAAM,CAAC,GAAG,EAAE,CAAC,MAAM,CAAC,QAAQ,CAAC,GAAG,CAAC,CAAC,CAAC,CAAC,CAAC;gBAC9D,GAAG,CAAC,EAAE,CAAC,KAAK,EAAE,GAAG,EAAE,CACjB,MAAM,CAAC,GAAG,EAAE,CACV,OAAO,CAAC;oBACN,MAAM,EAAE,GAAG,CAAC,UAAU,IAAI,CAAC;oBAC3B,OAAO,EAAE,gBAAgB,CAAC,GAAG,CAAC,OAAO,CAAC;oBACtC,IAAI,EAAE,MAAM,CAAC,MAAM,CAAC,MAAM,CAAC;iBAC5B,CAAC,CACH,CACF,CAAC;YACJ,CAAC,CAAC,CAAC;YAEH,2EAA2E;YAC3E,yEAAyE;YACzE,uEAAuE;YACvE,MAAM,QAAQ,GAAG,UAAU,CAAC,GAAG,EAAE;gBAC/B,MAAM,CAAC,GAAG,EAAE;oBACV,CAAC,CAAC,OAAO,EAAE,CAAC;oBACZ,MAAM,CAAC,IAAI,oBAAoB,CAAC,SAAS,EAAE,mBAAmB,CAAC,CAAC,CAAC;gBACnE,CAAC,CAAC,CAAC;YACL,CAAC,EAAE,GAAG,CAAC,SAAS,CAAC,CAAC;YAClB,yEAAyE;YACzE,QAAQ,CAAC,KAAK,EAAE,EAAE,CAAC;YAEnB,CAAC,CAAC,UAAU,CAAC,GAAG,CAAC,SAAS,EAAE,GAAG,EAAE;gBAC/B,MAAM,CAAC,GAAG,EAAE;oBACV,CAAC,CAAC,OAAO,EAAE,CAAC;oBACZ,MAAM,CAAC,IAAI,oBAAoB,CAAC,SAAS,EAAE,aAAa,CAAC,CAAC,CAAC;gBAC7D,CAAC,CAAC,CAAC;YACL,CAAC,CAAC,CAAC;YACH,CAAC,CAAC,EAAE,CAAC,QAAQ,EAAE,CAAC,MAAM,EAAE,EAAE;gBACxB,MAAM,CAAC,EAAE,CAAC,eAAe,EAAE,GAAG,EAAE;oBAC9B,kBAAkB,GAAG,IAAI,CAAC;gBAC5B,CAAC,CAAC,CAAC;YACL,CAAC,CAAC,CAAC;YACH,CAAC,CAAC,EAAE,CAAC,OAAO,EAAE,CAAC,GAAG,EAAE,EAAE,CACpB,MAAM,CAAC,GAAG,EAAE,CACV,MAAM,CACJ,QAAQ,CAAC,GAAG,EAAE;gBACZ,kBAAkB,EAAE,IAAI,CAAC,kBAAkB;gBAC3C,kBAAkB,EAAE,kBAAkB;gBACtC,aAAa,EAAE,cAAc;aAC9B,CAAC,CACH,CACF,CACF,CAAC;YACF,CAAC,CAAC,EAAE,CAAC,OAAO,EAAE,GAAG,EAAE,CAAC,YAAY,CAAC,QAAQ,CAAC,CAAC,CAAC;YAE5C,IAAI,GAAG,CAAC,IAAI,IAAI,IAAI;gBAAE,CAAC,CAAC,KAAK,CAAC,GAAG,CAAC,IAAI,CAAC,CAAC;YACxC,CAAC,CAAC,GAAG,EAAE,CAAC;QACV,CAAC,CAAC,CAAC;IACL,CAAC;CACF;AAED,SAAS,gBAAgB,CAAC,GAA4B;IACpD,MAAM,GAAG,GAA2B,EAAE,CAAC;IACvC,KAAK,MAAM,CAAC,CAAC,EAAE,CAAC,CAAC,IAAI,MAAM,CAAC,OAAO,CAAC,GAAG,CAAC,EAAE,CAAC;QACzC,IAAI,CAAC,KAAK,SAAS;YAAE,SAAS;QAC9B,GAAG,CAAC,CAAC,CAAC,WAAW,EAAE,CAAC,GAAG,KAAK,CAAC,OAAO,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,IAAI,CAAC,IAAI,CAAC,CAAC,CAAC,CAAC,MAAM,CAAC,CAAC,CAAC,CAAC;IACrE,CAAC;IACD,OAAO,GAAG,CAAC;AACb,CAAC;AAED;;;;;;GAMG;AACH,SAAS,MAAM,CAAC,GAAY,EAAE,WAAiC;IAC7D,MAAM,IAAI,GAAI,GAAiC,EAAE,IAAI,CAAC;IACtD,IAAI,OAAO,IAAI,KAAK,QAAQ,IAAI,IAAI,CAAC,MAAM,GAAG,CAAC,IAAI,IAAI,CAAC,MAAM,IAAI,EAAE,EAAE,CAAC;QACrE,OAAO,WAAW,IAAI,CAAC,WAAW,CAAC,GAAG,CAAC,IAAI,CAAC,CAAC,CAAC,CAAC,IAAI,CAAC,CAAC,CAAC,IAAI,CAAC;IAC7D,CAAC;IACD,OAAO,cAAc,CAAC;AACxB,CAAC;AAcD,8EAA8E;AAC9E,SAAS,QAAQ,CAAC,GAAY,EAAE,OAA2B;IACzD,IAAI,GAAG,YAAY,oBAAoB;QAAE,OAAO,GAAG,CAAC;IACpD,MAAM,IAAI,GAAG,MAAM,CAAC,GAAG,CAAC,CAAC;IAEzB,IAAI,qBAAqB,CAAC,GAAG,CAAC,IAAI,CAAC;QAAE,OAAO,IAAI,oBAAoB,CAAC,aAAa,EAAE,IAAI,CAAC,CAAC;IAC1F,8EAA8E;IAC9E,uEAAuE;IACvE,IAAI,sBAAsB,CAAC,IAAI,CAAC,CAAC,CAAC,EAAE,EAAE,CAAC,IAAI,CAAC,QAAQ,CAAC,CAAC,CAAC,CAAC,EAAE,CAAC;QACzD,OAAO,IAAI,oBAAoB,CAAC,aAAa,EAAE,IAAI,CAAC,CAAC;IACvD,CAAC;IACD,IAAI,kBAAkB,CAAC,GAAG,CAAC,IAAI,CAAC;QAAE,OAAO,IAAI,oBAAoB,CAAC,KAAK,EAAE,IAAI,CAAC,CAAC;IAC/E,IAAI,IAAI,KAAK,WAAW,IAAI,IAAI,KAAK,iBAAiB,EAAE,CAAC;QACvD,OAAO,IAAI,oBAAoB,CAAC,SAAS,EAAE,IAAI,CAAC,CAAC;IACnD,CAAC;IACD,IAAI,aAAa,CAAC,GAAG,CAAC,IAAI,CAAC,EAAE,CAAC;QAC5B,IACE,CAAC,IAAI,KAAK,YAAY,IAAI,IAAI,KAAK,OAAO,CAAC;YAC3C,OAAO,EAAE,kBAAkB;YAC3B,OAAO,CAAC,kBAAkB;YAC1B,OAAO,CAAC,aAAa,KAAK,CAAC,EAC3B,CAAC;YACD,0EAA0E;YAC1E,oEAAoE;YACpE,0CAA0C;YAC1C,OAAO,IAAI,oBAAoB,CAAC,aAAa,EAAE,+BAA+B,CAAC,CAAC;QAClF,CAAC;QACD,OAAO,IAAI,oBAAoB,CAAC,SAAS,EAAE,IAAI,CAAC,CAAC;IACnD,CAAC;IACD,6EAA6E;IAC7E,6EAA6E;IAC7E,kCAAkC;IAClC,IAAI,IAAI,CAAC,UAAU,CAAC,SAAS,CAAC,IAAI,IAAI,CAAC,UAAU,CAAC,SAAS,CAAC,EAAE,CAAC;QAC7D,OAAO,IAAI,oBAAoB,CAAC,KAAK,EAAE,IAAI,CAAC,CAAC;IAC/C,CAAC;IACD,OAAO,IAAI,oBAAoB,CAAC,SAAS,EAAE,IAAI,CAAC,CAAC;AACnD,CAAC;AAED;;;;;;GAMG;AACH,MAAM,UAAU,YAAY,CAAC,GAA4B,EAAE,MAAY,IAAI,IAAI,EAAE;IAC/E,OAAO,eAAe,CAAC,GAAG,CAAC,OAAO,CAAC,aAAa,CAAC,EAAE,GAAG,CAAC,CAAC;AAC1D,CAAC"}

package/dist/fiscal/transport/synthetic-tls.d.ts

@@ -0,0 +1,99 @@
+/**
+ * Uma ICP inteira, sintética, para provar o TLS mútuo sem certificado real.
+ *
+ * ## Por que isto existe em vez de um mock
+ *
+ * O ADN exige TLS mútuo com certificado ICP-Brasil — medido na Onda B · Fase 1:
+ * o host envia `CertificateRequest` e nem a documentação abre sem certificado.
+ * Não há caminho de teste contra o ambiente oficial sem credencial real, e esta
+ * fase não usa nenhuma.
+ *
+ * Um mock do cliente HTTP provaria que chamamos uma função. O que precisa ser
+ * provado é outra coisa: que o handshake REJEITA o que deve rejeitar. Cadeia
+ * errada, certificado vencido, ausência de certificado quando o servidor exige,
+ * nome que não confere — nenhuma dessas é uma decisão do nosso código, e sim do
+ * OpenSSL sob as opções que montamos. Só um servidor TLS de verdade as exercita.
+ *
+ * Aqui há uma CA sintética, um servidor real na porta local, e certificados de
+ * cliente válidos, vencidos e de outra CA. O que trafega é fixture.
+ *
+ * ## A trava
+ *
+ * Recusa rodar em produção. Não é zelo decorativo: este módulo GERA chave
+ * privada e a mantém em memória, e um caminho que faça isso num processo de
+ * produção é um caminho que alguém acabará usando para "testar rapidinho".
+ */
+export interface SyntheticPki {
+    /** CA que assina o servidor e o cliente legítimos. */
+    caCertPem: Buffer;
+    serverKeyPem: Buffer;
+    serverCertPem: Buffer;
+    /** Cliente válido, em PKCS#12 — o formato de um A1 brasileiro. */
+    clientPfx: Buffer;
+    clientPassphrase: string;
+    /** Cliente cujo certificado JÁ VENCEU. Assinado pela mesma CA. */
+    expiredClientPfx: Buffer;
+    /** CA estrangeira, que o servidor não confia. */
+    foreignCaCertPem: Buffer;
+    /** Cliente assinado pela CA estrangeira. */
+    foreignClientPfx: Buffer;
+    /** Material corrompido: bytes que não são um PKCS#12. */
+    corruptPfx: Buffer;
+    /**
+     * Cliente cujo `CN` carrega um CNPJ, no formato `RAZÃO SOCIAL:00000000000000`
+     * que os e-CNPJ da ICP-Brasil usam.
+     *
+     * Existe porque a conferência de identidade (`matchIdentity`) precisa de um
+     * certificado do qual se consiga EXTRAIR um documento. Os demais desta ICP têm
+     * `CN` sem número — e são, por isso, o caso `indeterminate`, que também tem de
+     * ser exercitado.
+     */
+    documentClientPfx: Buffer;
+    /** O CNPJ que está dentro de `documentClientPfx`, em dígitos. */
+    documentClientCnpj: string;
+    dispose(): void;
+}
+/**
+ * O CNPJ sintético dos testes de identidade.
+ *
+ * Inventado, e propositalmente distinto de qualquer contribuinte real: um número
+ * de verdade num fixture vira, mais cedo ou mais tarde, um cadastro de verdade.
+ */
+export declare const SYNTHETIC_CERTIFICATE_CNPJ = "11222333000181";
+/**
+ * Gera a ICP sintética inteira.
+ *
+ * Lenta (segundos): gera seis pares de chaves. Quem usa deve guardar o
+ * resultado — `syntheticPki()` abaixo faz isso por processo.
+ */
+export declare function createSyntheticPki(): SyntheticPki;
+/** A mesma ICP para o processo inteiro. Gerar seis chaves RSA custa segundos. */
+export declare function syntheticPki(): SyntheticPki;
+export interface SyntheticTlsServer {
+    /** `https://127.0.0.1:<porta>` */
+    url: string;
+    /** Handshakes concluídos. O teste de "servidor exige certificado" o inspeciona. */
+    handshakes: number;
+    /** Requisições atendidas, com o CN apresentado (ou `null`). */
+    seen: {
+        path: string;
+        clientCn: string | null;
+    }[];
+    close(): Promise<void>;
+}
+export interface SyntheticTlsServerOptions {
+    pki: SyntheticPki;
+    /** `true` faz o servidor EXIGIR certificado de cliente (o caso do ADN). */
+    requireClientCert?: boolean;
+    /** Resposta. Recebe o caminho; devolve status, cabeçalhos e corpo. */
+    respond?: (path: string) => {
+        status: number;
+        headers?: Record<string, string>;
+        body?: string;
+    };
+    /** Atraso antes de responder, para exercitar o teto de espera. */
+    delayMs?: number;
+}
+/** Sobe um servidor TLS real na porta local. */
+export declare function startSyntheticTlsServer(options: SyntheticTlsServerOptions): Promise<SyntheticTlsServer>;
+//# sourceMappingURL=synthetic-tls.d.ts.map

package/dist/fiscal/transport/synthetic-tls.d.ts.map

@@ -0,0 +1 @@
+{"version":3,"file":"synthetic-tls.d.ts","sourceRoot":"","sources":["../../../src/fiscal/transport/synthetic-tls.ts"],"names":[],"mappings":"AAQA;;;;;;;;;;;;;;;;;;;;;;;;GAwBG;AAEH,MAAM,WAAW,YAAY;IAC3B,sDAAsD;IACtD,SAAS,EAAE,MAAM,CAAC;IAClB,YAAY,EAAE,MAAM,CAAC;IACrB,aAAa,EAAE,MAAM,CAAC;IACtB,kEAAkE;IAClE,SAAS,EAAE,MAAM,CAAC;IAClB,gBAAgB,EAAE,MAAM,CAAC;IACzB,kEAAkE;IAClE,gBAAgB,EAAE,MAAM,CAAC;IACzB,iDAAiD;IACjD,gBAAgB,EAAE,MAAM,CAAC;IACzB,4CAA4C;IAC5C,gBAAgB,EAAE,MAAM,CAAC;IACzB,yDAAyD;IACzD,UAAU,EAAE,MAAM,CAAC;IACnB;;;;;;;;OAQG;IACH,iBAAiB,EAAE,MAAM,CAAC;IAC1B,iEAAiE;IACjE,kBAAkB,EAAE,MAAM,CAAC;IAC3B,OAAO,IAAI,IAAI,CAAC;CACjB;AAED;;;;;GAKG;AACH,eAAO,MAAM,0BAA0B,mBAAmB,CAAC;AA8B3D;;;;;GAKG;AACH,wBAAgB,kBAAkB,IAAI,YAAY,CAwUjD;AAGD,iFAAiF;AACjF,wBAAgB,YAAY,IAAI,YAAY,CAG3C;AAED,MAAM,WAAW,kBAAkB;IACjC,kCAAkC;IAClC,GAAG,EAAE,MAAM,CAAC;IACZ,mFAAmF;IACnF,UAAU,EAAE,MAAM,CAAC;IACnB,+DAA+D;IAC/D,IAAI,EAAE;QAAE,IAAI,EAAE,MAAM,CAAC;QAAC,QAAQ,EAAE,MAAM,GAAG,IAAI,CAAA;KAAE,EAAE,CAAC;IAClD,KAAK,IAAI,OAAO,CAAC,IAAI,CAAC,CAAC;CACxB;AAED,MAAM,WAAW,yBAAyB;IACxC,GAAG,EAAE,YAAY,CAAC;IAClB,2EAA2E;IAC3E,iBAAiB,CAAC,EAAE,OAAO,CAAC;IAC5B,sEAAsE;IACtE,OAAO,CAAC,EAAE,CAAC,IAAI,EAAE,MAAM,KAAK;QAAE,MAAM,EAAE,MAAM,CAAC;QAAC,OAAO,CAAC,EAAE,MAAM,CAAC,MAAM,EAAE,MAAM,CAAC,CAAC;QAAC,IAAI,CAAC,EAAE,MAAM,CAAA;KAAE,CAAC;IAChG,kEAAkE;IAClE,OAAO,CAAC,EAAE,MAAM,CAAC;CAClB;AAED,gDAAgD;AAChD,wBAAsB,uBAAuB,CAC3C,OAAO,EAAE,yBAAyB,GACjC,OAAO,CAAC,kBAAkB,CAAC,CAkD7B"}