@coopenomics/extension-kit 2026.8.18-2

package/dist/index.d.mts

@@ -0,0 +1,1516 @@
+import * as _nestjs_passport from '@nestjs/passport';
+import * as _nestjs_common from '@nestjs/common';
+import { ExecutionContext, CanActivate, OnModuleInit, Provider, HttpException, HttpStatus } from '@nestjs/common';
+import { Reflector } from '@nestjs/core';
+import { Observable } from 'rxjs';
+import { ZodObject } from 'zod';
+import { Cooperative } from 'cooptypes';
+
+/**
+ * Пути внутри объекта, по которым пайщик признаётся «своим» для поля.
+ *
+ * Записываются от корня самого объекта: `trustee.username` — одно значение,
+ * `trusted[].username` — значения из массива. Если хотя бы одно совпало с
+ * именем аккаунта запрашивающего, поле отдаётся ему независимо от роли в
+ * кооперативе.
+ */
+interface AuthRolesOptions {
+    self?: string[];
+}
+/**
+ * Ограничение доступа к резолверу или к отдельному полю объекта.
+ *
+ * Роли — это капабилити уровня кооператива (`chairman`, `member`, `user`).
+ * Их недостаточно там, где данные принадлежат самому пайщику: председатель
+ * кооперативного участка для кооператива — обычный пайщик, и по ролям он не
+ * может прочитать даже собственный участок.
+ *
+ * Для таких полей задаётся `self`: пути внутри объекта, по которым проверяется
+ * принадлежность. Это тот же принцип, что квалификаторы `:own` / `:own-KU` в
+ * матрице доступа расширений, — роль отвечает за «такой род данных вообще
+ * доступен», а принадлежность проверяется по самим данным.
+ *
+ * Метаданные читает `RolesGuard`, директива `@auth` попадает в схему как
+ * документация.
+ *
+ * ```ts
+ * // председатель кооператива и совет видят состав любого участка,
+ * // а председатель участка и его доверенные — состав своего
+ * @AuthRoles(['chairman', 'member'], { self: ['trustee.username', 'trusted[].username'] })
+ * public readonly trusted: IndividualDTO[];
+ * ```
+ */
+declare function AuthRoles(roles: string[], options?: AuthRolesOptions): PropertyDecorator & MethodDecorator & ClassDecorator;
+/** Текущий пользователь запроса. Бросает, если запрос не авторизован. */
+declare const CurrentUser: (...dataOrPipes: unknown[]) => ParameterDecorator;
+/**
+ * Текущий пользователь либо `null`, если запрос гостевой. В паре с
+ * `OptionalGqlJwtAuthGuard`: не бросает, не требует авторизации. Для ручек,
+ * открытых и гостю, где ответ зависит от того, кто спрашивает.
+ */
+declare const OptionalCurrentUser: (...dataOrPipes: unknown[]) => ParameterDecorator;
+
+declare const GqlJwtAuthGuard_base: _nestjs_passport.Type<_nestjs_passport.IAuthGuard>;
+/** JWT-гард для GraphQL. При валидном `server-secret` проверка не выполняется. */
+declare class GqlJwtAuthGuard extends GqlJwtAuthGuard_base {
+    getRequest(context: ExecutionContext): any;
+    canActivate(context: ExecutionContext): boolean | Promise<boolean> | Observable<boolean>;
+}
+declare const OptionalGqlJwtAuthGuard_base: _nestjs_passport.Type<_nestjs_passport.IAuthGuard>;
+/**
+ * Опциональный JWT-гард для GraphQL: НЕ бросает при отсутствии или невалидности
+ * токена, оставляет `request.user` пустым. Для запросов, доступных и гостю,
+ * и пайщику, где состав ответа зависит от того, кто спрашивает.
+ */
+declare class OptionalGqlJwtAuthGuard extends OptionalGqlJwtAuthGuard_base {
+    getRequest(context: ExecutionContext): any;
+    handleRequest(_err: any, user: any): any;
+}
+declare const HttpJwtAuthGuard_base: _nestjs_passport.Type<_nestjs_passport.IAuthGuard>;
+/** JWT-гард для обычных HTTP-ручек (не GraphQL). */
+declare class HttpJwtAuthGuard extends HttpJwtAuthGuard_base {
+    getRequest(context: ExecutionContext): any;
+    canActivate(context: ExecutionContext): boolean | Promise<boolean> | Observable<boolean>;
+}
+/**
+ * Проверка доступа по ролям из `@AuthRoles`.
+ *
+ * 1. Валидный `server-secret` — доступ разрешён.
+ * 2. Роли не заданы — доступ открыт.
+ * 3. Пользователь обращается к своим ресурсам (`username` вложенный в `data`/`filter`
+ *    либо плоским аргументом совпадает с `user.username`) — разрешено.
+ * 4. У пользователя есть одна из разрешённых ролей — разрешено.
+ * 5. Иначе — отказ.
+ */
+declare class RolesGuard implements CanActivate {
+    private reflector;
+    constructor(reflector: Reflector);
+    canActivate(context: ExecutionContext): boolean;
+}
+/**
+ * Разрешает доступ только пайщикам в статусе `active`.
+ * При валидном `server-secret` проверка не выполняется — как в `RolesGuard`.
+ */
+declare class ActiveUserStatusGuard implements CanActivate {
+    canActivate(context: ExecutionContext): boolean;
+}
+
+interface ExtensionAuthOptions {
+    /** Значение заголовка `server-secret`, дающего межсервисный доступ. */
+    serverSecret: string;
+}
+declare function configureExtensionAuth(options: ExtensionAuthOptions): void;
+/**
+ * Совпадает ли заголовок запроса с настроенным секретом.
+ * Пока `configureExtensionAuth` не вызван, обхода нет — это безопасный дефолт:
+ * забытая настройка приводит к отказу в доступе, а не к его выдаче.
+ */
+declare function hasServerSecret(headers: Record<string, any> | undefined): boolean;
+
+/**
+ * Установленное расширение: имя, включённость, конфиг и версия схемы конфига.
+ * Конфиг типизируется расширением через `TConfig` (обычно `z.infer<typeof Schema>`).
+ */
+interface ExtensionDomainInterface<TConfig = any> {
+    name: string;
+    enabled: boolean;
+    config: TConfig;
+    schema_version?: number;
+    created_at?: Date;
+    updated_at?: Date;
+}
+declare class ExtensionDomainEntity<TConfig = any> implements ExtensionDomainInterface<TConfig> {
+    readonly name: string;
+    readonly enabled: boolean;
+    readonly config: TConfig;
+    readonly created_at: Date;
+    readonly updated_at: Date;
+    readonly schema_version: number;
+    constructor(name: string, enabled: boolean, config: TConfig, created_at: Date, updated_at: Date, schema_version?: number);
+}
+
+/**
+ * Базовый класс расширения. От него наследуется класс `<X>Extension` каждого расширения:
+ * он объявляет имя, схему и дефолты конфига и получает установленную запись расширения.
+ */
+declare abstract class BaseExtensionModule implements OnModuleInit {
+    abstract name: string;
+    abstract extension: ExtensionDomainEntity<any>;
+    configSchemas: ZodObject<any>;
+    abstract defaultConfig: Record<string, any>;
+    onModuleInit(): Promise<void>;
+    abstract initialize(): Promise<void>;
+}
+
+/**
+ * Сумма платежа в разбивке на тело и комиссию — то, что способ оплаты выдаёт
+ * пайщику вместе с реквизитами.
+ *
+ * Форма намеренно повторяет `InnerPaymentDetails` из `@coopenomics/innercoop`,
+ * а не импортируется оттуда: пакеты ортогональны и друг от друга не зависят
+ * (INV-007). Совместимость структурная — так же сделаны `ISyncLogger` и
+ * `SignedDigitalDocumentInputDTO`.
+ */
+interface PaymentDetails {
+    /** Реквизиты, QR-код или токен провайдера — форма зависит от способа оплаты. */
+    data: any;
+    amount_plus_fee: string;
+    amount_without_fee: string;
+    fee_amount: string;
+    fee_percent: number;
+    fact_fee_percent: number;
+    tolerance_percent: number;
+}
+/**
+ * Базовый класс расширения-способа оплаты.
+ *
+ * Наследуется расширением, которое умеет выставлять счёт: эквайринг, СБП,
+ * касса банка. Само расширение кладёт себя в реестр способов оплаты при
+ * запуске, а расчётный контур ядра вызывает у него `createPayment`, когда
+ * пайщик выбрал этот способ.
+ *
+ * `tolerance_percent` — допустимое отклонение пришедшей суммы от ожидаемой:
+ * банк может округлить или удержать свою комиссию, и платёж на копейку меньше
+ * обязан приниматься. `fee_percent` — комиссия способа оплаты, она добавляется
+ * к сумме и оплачивается сверх.
+ */
+declare abstract class PaymentProvider extends BaseExtensionModule {
+    abstract tolerance_percent: number;
+    abstract fee_percent: number;
+    abstract createPayment(hash: string): Promise<PaymentDetails>;
+}
+/**
+ * Способ оплаты, который узнаёт о зачислении опросом, а не уведомлением банка.
+ *
+ * Так устроен приём по банковской выписке: банк ничего не присылает, и
+ * расширение само периодически сверяет выписку с ожидающими платежами.
+ * `sync` вызывается по расписанию и обязан быть безопасным при наложении
+ * запусков — очередной опрос может начаться, пока предыдущий не закончился.
+ */
+declare abstract class PollingProvider extends PaymentProvider {
+    abstract sync(): Promise<void>;
+}
+/**
+ * Способ оплаты, которому банк сам присылает уведомление о зачислении.
+ *
+ * Маршрут для уведомления расширение открывает само; форма запроса своя у
+ * каждого банка, поэтому здесь она не описана. Уведомление приходит без
+ * гарантии однократности — банк повторяет его, пока не получит подтверждения,
+ * поэтому `handleIPN` обязан быть идемпотентным.
+ */
+declare abstract class IPNProvider extends PaymentProvider {
+    abstract handleIPN(request: any): Promise<void>;
+}
+
+/**
+ * Объявление хранилища файлов, которое заводит себе расширение.
+ *
+ * Форма намеренно повторяет `InnerFileStorageBucketSpec` из
+ * `@coopenomics/innercoop`, а не импортируется оттуда: пакеты ортогональны
+ * (INV-007), совместимость структурная — как у `PaymentDetails`.
+ */
+interface BucketSpec {
+    /** Логическое имя в виде `<расширение>:<назначение>`. */
+    name: string;
+    /** Предел размера одного файла, байт. */
+    maxBytes: number;
+    /** Разрешённые типы содержимого; всё остальное отвергается на записи. */
+    allowedMime: readonly string[];
+    /** Какие метаданные обязательны, а какие нет: проверяется при записи. */
+    metadataSchema?: Readonly<Record<string, 'required' | 'optional'>>;
+    /** Срок жизни ссылки на чтение по умолчанию, секунды. */
+    defaultUrlTtlSeconds?: number;
+}
+interface RegisteredBucket {
+    readonly cls: {
+        readonly name: string;
+    };
+    readonly spec: BucketSpec;
+}
+/**
+ * Реестр объявленных хранилищ. Наполняется декоратором при загрузке модулей,
+ * читается ядром, когда оно создаёт сами хранилища.
+ *
+ * Один сервис — одно хранилище: повторное объявление под другим именем
+ * запрещено, иначе файлы одного сервиса разъехались бы по двум местам, и
+ * прочитать записанное вчера стало бы нечем.
+ */
+declare const BucketRegistry: {
+    add(cls: {
+        name: string;
+    }, spec: BucketSpec): void;
+    get(cls: {
+        name: string;
+    }): BucketSpec | undefined;
+    list(): readonly RegisteredBucket[];
+    /** Только для тестов: очистка реестра между сценариями. */
+    _resetForTests(): void;
+};
+/** DI-токен хранилища конкретного сервиса. */
+declare function bucketTokenFor(cls: {
+    name: string;
+}): string;
+/**
+ * Объявить хранилище сервиса.
+ *
+ * @example
+ * ```ts
+ * @UseBucket({ name: 'stol-zakazov:images', maxBytes: 10 * MB, allowedMime: ['image/jpeg'] })
+ * @Injectable()
+ * export class OrderImagesService {
+ *   constructor(@InjectBucket() private readonly bucket: InnerFileStorageBucket) {}
+ * }
+ * ```
+ */
+declare function UseBucket(spec: BucketSpec): ClassDecorator;
+/** Получить объявленное хранилище в конструкторе сервиса. */
+declare function InjectBucket(): ParameterDecorator;
+
+/**
+ * Источник хранилищ — та сторона, что умеет создать хранилище по объявлению.
+ * Описан структурно, а не импортом `IFileStoragePort` из `@coopenomics/innercoop`:
+ * пакеты ортогональны (INV-007), совместимость проверяется по форме.
+ */
+interface BucketSource {
+    getBucket(spec: BucketSpec): unknown;
+}
+/**
+ * Провайдеры хранилищ для сервисов, объявивших их через `@UseBucket`.
+ *
+ * Расширение кладёт результат прямо в `providers` своего модуля — рядом с самими
+ * сервисами, — и каждый из них получает своё хранилище через `@InjectBucket()`.
+ * Раньше ту же связку делал динамический модуль ядра (`forFeature`), то есть
+ * расширению приходилось знать путь внутрь монолита; теперь всё, что для этого
+ * нужно, лежит в каркасе, а токен порта расширение передаёт само — оно и так
+ * зависит от контракта, а каркас про контракт по-прежнему не знает.
+ *
+ * @param fileStoragePortToken токен стороны, создающей хранилища (`FILE_STORAGE_PORT`).
+ * @param consumers классы, помеченные `@UseBucket`.
+ *
+ * @example
+ * ```ts
+ * @Module({
+ *   providers: [
+ *     ...bucketProvidersFor(FILE_STORAGE_PORT, [OrderImagesService]),
+ *     OrderImagesService,
+ *   ],
+ * })
+ * ```
+ */
+declare function bucketProvidersFor(fileStoragePortToken: symbol | string, consumers: ReadonlyArray<{
+    name: string;
+}>): Provider[];
+
+declare class SignatureInfoInputDTO {
+    readonly id: number;
+    readonly signer: string;
+    readonly public_key: string;
+    readonly signature: string;
+    readonly signed_at: string;
+    readonly signed_hash: string;
+    readonly meta: string;
+}
+declare class SignedDigitalDocumentInputDTO {
+    readonly version: string;
+    readonly hash: string;
+    readonly doc_hash: string;
+    readonly meta_hash: string;
+    readonly meta: any;
+    readonly signatures: SignatureInfoInputDTO[];
+    constructor(data: SignedDigitalDocumentInputDTO);
+    /**
+     * Преобразует подписанный документ DTO в формат IChainDocument для блокчейна
+     */
+    toDocument(): Cooperative.Document.IChainDocument2;
+}
+
+/** Язык, на котором формируется документ. */
+declare enum LangType {
+    ru = "ru"
+}
+
+declare class MetaDocumentInputDTO implements Cooperative.Document.IMetaDocument {
+    title: string;
+    registry_id: number;
+    lang: LangType;
+    generator: string;
+    version: string;
+    coopname: string;
+    username: string;
+    created_at: string;
+    block_num: number;
+    timezone: string;
+    links: string[];
+}
+
+declare class GenerateMetaDocumentInputDTO implements Cooperative.Document.IGenerate {
+    title?: string;
+    registry_id: number;
+    coopname: string;
+    username: string;
+    lang?: LangType;
+    generator?: string;
+    version?: string;
+    created_at?: string;
+    block_num?: number;
+    timezone?: string;
+    links?: string[];
+}
+
+type Action = Cooperative.Registry.ExpenseProposalStatement.Action;
+type ItemAction = Cooperative.Registry.ExpenseProposalStatement.IExpenseItem;
+type HeaderAction = Cooperative.Registry.ExpenseProposalStatement.IExpenseProposalHeader;
+/**
+ * Позиция-вход генерации СЗ-документа. Приватные поля (имя/реквизиты/назначение)
+ * — это вход для фабрики: сервер сохраняет их off-chain в doc_data и публикует
+ * в meta только `doc_data_hash`. На on-chain эти поля НЕ попадают.
+ */
+declare class ExpenseProposalItemInputDTO {
+    number: string;
+    description: string;
+    amount: string;
+    recipient_type: 'SELF' | 'MEMBER' | 'ORG';
+    mechanics: 'ADVANCE' | 'DIRECT';
+    recipient_name?: string;
+    requisites?: string;
+    payment_purpose?: string;
+    payment_method_id?: string;
+    recipient_username?: string;
+}
+/**
+ * Публичная позиция подписанной meta — ровно то, что публикуется on-chain.
+ * Без имени/реквизитов/назначения платежа (они off-chain в doc_data).
+ */
+declare class ExpenseProposalSignedItemInputDTO implements ItemAction {
+    number: string;
+    description: string;
+    amount: string;
+    recipient_type: 'SELF' | 'MEMBER' | 'ORG';
+    mechanics: 'ADVANCE' | 'DIRECT';
+}
+declare class ExpenseProposalHeaderInputDTO implements HeaderAction {
+    description: string;
+    total_amount: string;
+    items_count: number;
+    source_wallet: string;
+    deadline: string;
+    fund_name?: string;
+}
+/**
+ * База ВХОДА генерации — богатые позиции (приватные поля уйдут в doc_data на
+ * сервере). `doc_data_hash` здесь нет: его вычисляет сервер при генерации.
+ */
+declare class BaseExpenseProposalStatementGenerateMetaDocumentInputDTO {
+    proposal_hash: string;
+    proposal: ExpenseProposalHeaderInputDTO;
+    items: ExpenseProposalItemInputDTO[];
+}
+/**
+ * База ПОДПИСАННОЙ meta — ровно то, что подписывается и едет on-chain:
+ * публичные позиции + `doc_data_hash` (реквизиты off-chain).
+ */
+declare class BaseExpenseProposalStatementSignedMetaDocumentInputDTO implements Omit<Action, 'coopname' | 'username' | 'registry_id' | 'block_num' | 'lang' | 'title' | 'generator' | 'version' | 'created_at' | 'timezone' | 'links'> {
+    proposal_hash: string;
+    proposal: ExpenseProposalHeaderInputDTO;
+    items: ExpenseProposalSignedItemInputDTO[];
+    doc_data_hash: string;
+}
+declare const ExpenseProposalStatementGenerateDocumentInputDTO_base: _nestjs_common.Type<BaseExpenseProposalStatementGenerateMetaDocumentInputDTO & Omit<GenerateMetaDocumentInputDTO, "registry_id">>;
+/**
+ * Input генерации документа СЗ-заявления (registry 2010).
+ * Backend через factory собирает PDF, возвращает `IGeneratedDocument` (без подписей).
+ */
+declare class ExpenseProposalStatementGenerateDocumentInputDTO extends ExpenseProposalStatementGenerateDocumentInputDTO_base {
+    registry_id: number;
+}
+declare const ExpenseProposalStatementSignedMetaDocumentInputDTO_base: _nestjs_common.Type<BaseExpenseProposalStatementSignedMetaDocumentInputDTO & MetaDocumentInputDTO>;
+declare class ExpenseProposalStatementSignedMetaDocumentInputDTO extends ExpenseProposalStatementSignedMetaDocumentInputDTO_base {
+}
+/**
+ * Подписанный документ СЗ-заявления (registry 2010).
+ */
+declare class ExpenseProposalStatementSignedDocumentInputDTO extends SignedDigitalDocumentInputDTO {
+    readonly meta: ExpenseProposalStatementSignedMetaDocumentInputDTO;
+}
+
+/**
+ * Состояние заявки на вступление.
+ *
+ * Перечень и форма кандидата живут в каркасе: заявку показывает и ядро, и
+ * расширения, а `CapitalCandidate` от этой формы наследуется — базовый класс
+ * инъекцией не подменить, он обязан лежать в пакете.
+ */
+declare enum CandidateStatus {
+    PENDING = "pending",
+    REGISTERED = "registered",
+    FAILED = "failed"
+}
+declare class CandidateOutputDTO {
+    username: string;
+    username_display_name?: string;
+    coopname: string;
+    braname?: string;
+    status: CandidateStatus;
+    type: string;
+    created_at: Date;
+    registered_at?: Date;
+    referer?: string;
+    referer_display_name?: string;
+    public_key: string;
+    program_key?: string;
+}
+
+declare class CandidateFilterInputDTO {
+    referer?: string;
+}
+
+/**
+ * Срок, отпущенный расширению на подключение к кооперативу.
+ *
+ * Совет проходит шаги подключения не за один присест, поэтому у начатого
+ * подключения есть срок годности: по его истечении расширение считает
+ * подключение просроченным и предлагает начать заново. Политика общая для всех
+ * расширений — раньше срок был захардкожен в двух модулях порознь и рисковал
+ * разойтись.
+ */
+declare const ONBOARDING_EXPIRY_DAYS = 30;
+declare const ONBOARDING_EXPIRY_MS: number;
+/**
+ * Момент истечения, отсчитанный от начала подключения. Возвращает строку ISO:
+ * в настройке расширения срок хранится строкой.
+ */
+declare function computeOnboardingExpiresAt(startedAt: Date): string;
+
+/** Запись журнала расширения: произвольные данные `TLog`, привязанные к установленному расширению. */
+interface LogExtensionDomainInterface<TLog = any> {
+    id: number;
+    name: string;
+    extension_local_id: number;
+    data: TLog;
+    created_at: Date;
+    updated_at: Date;
+}
+interface LogExtensionFilter {
+    name?: string;
+    createdFrom?: Date;
+    createdTo?: Date;
+}
+interface LogExtensionPaginationOptions {
+    page?: number;
+    limit?: number;
+    sortBy?: string;
+    sortOrder?: 'ASC' | 'DESC';
+}
+declare class LogExtensionDomainEntity<TLog = any> implements LogExtensionDomainInterface {
+    readonly id: number;
+    readonly name: string;
+    readonly extension_local_id: number;
+    readonly data: TLog;
+    readonly created_at: Date;
+    readonly updated_at: Date;
+    constructor(id: number, name: string, extension_local_id: number, data: TLog, created_at: Date, updated_at: Date);
+}
+interface LogExtensionPaginationResult<TLog = any> {
+    items: LogExtensionDomainEntity<TLog>[];
+    totalCount: number;
+    totalPages: number;
+    currentPage: number;
+}
+
+interface ExtensionDomainRepository<TConfig = any> {
+    findByName(name: string): Promise<ExtensionDomainEntity<TConfig> | null>;
+    deleteByName(name: string): Promise<boolean>;
+    create(data: Partial<ExtensionDomainEntity<TConfig>>): Promise<ExtensionDomainEntity<TConfig>>;
+    find(filter?: Partial<ExtensionDomainEntity<TConfig>>): Promise<ExtensionDomainEntity<TConfig>[]>;
+    update(data: Partial<ExtensionDomainEntity<TConfig>>): Promise<ExtensionDomainEntity<TConfig>>;
+    /**
+     * Атомарно мёржит `patch` в jsonb-колонку `config` одним UPDATE (`config || patch`),
+     * без чтения-изменения-записи всего объекта в памяти приложения. Конкурентные вызовы
+     * с разными ключами patch не теряют изменения друг друга (в отличие от `update()`,
+     * который перезаписывает весь config целиком и подвержен lost update при гонке).
+     */
+    patchConfig(name: string, patch: Partial<TConfig>): Promise<ExtensionDomainEntity<TConfig>>;
+}
+/**
+ * DI-токен репозитория расширений. Реализацию подставляет ядро контроллера.
+ *
+ * `Symbol.for`, а не `Symbol()`: расширение и ядро резолвят токен из своих копий пакета,
+ * и совпасть они обязаны по глобальному реестру символов, иначе DI молча не найдёт провайдера.
+ */
+declare const EXTENSION_REPOSITORY: unique symbol;
+
+interface LogExtensionDomainRepository<TLog = any> {
+    push(name: string, data: TLog): Promise<LogExtensionDomainEntity<TLog>>;
+    get(): Promise<LogExtensionDomainEntity<TLog>[]>;
+    getWithFilter(filter?: LogExtensionFilter, options?: LogExtensionPaginationOptions): Promise<LogExtensionPaginationResult<TLog>>;
+}
+/** DI-токен журнала расширений. См. пояснение про `Symbol.for` в `EXTENSION_REPOSITORY`. */
+declare const LOG_EXTENSION_REPOSITORY: unique symbol;
+
+/**
+ * Контекст опциональной фазы миграции данных (PG, вызовы репозиториев и т.д.).
+ * `resolve` — Nest `get()` по токену провайдера.
+ */
+interface ExtensionSchemaMigrationAfterContext {
+    /** Токен Nest DI (строка, symbol или класс вроде DataSource — у конструкторов свои параметры, поэтому `any[]`). */
+    resolve: <T = unknown>(typeOrToken: string | symbol | (new (...args: any[]) => any)) => T;
+    logInfo: (message: string) => void;
+    logWarn: (message: string) => void;
+    logError: (message: string, error?: unknown) => void;
+}
+/** Миграция схемы конфига расширения. */
+interface IExtensionSchemaMigration<TOldConfig = any, TNewConfig = any> {
+    /** Уникальное имя расширения. */
+    extensionName: string;
+    /** Версия миграции — задаёт порядок применения. */
+    version: number;
+    /**
+     * Преобразует старую конфигурацию в новую.
+     * @param oldConfig Старая конфигурация из базы данных
+     * @param defaultConfig Дефолтная конфигурация новой схемы
+     */
+    migrate(oldConfig: TOldConfig, defaultConfig: TNewConfig): TNewConfig;
+    /**
+     * Вызывается до записи новой `schema_version` в БД. При ошибке версия не повышается —
+     * миграция повторится при следующем старте.
+     */
+    afterMigrate?: (ctx: ExtensionSchemaMigrationAfterContext) => Promise<void>;
+}
+
+/** Событие: расширение снято с запуска (terminate / uninstall / выключение). Слушатели — инфраструктура расширений. */
+declare const EXTENSION_APP_TERMINATE_EVENT: "extension.app.terminate";
+interface ExtensionAppTerminatePayload {
+    appName: string;
+}
+
+/**
+ * Политика конфигурационного параметра расширения: кто его заполняет и можно ли
+ * показывать его значение.
+ *
+ * Zod-схема отвечает на вопрос «какой у параметра тип и что считается валидным».
+ * Она не отвечает на два других, от которых зависит безопасность: **видно ли
+ * значение снаружи** и **чьё оно вообще**. Раньше ответа не было, и потому
+ * `getExtensions` отдавал конфиг целиком — вместе с секретным ключом кассы
+ * ЮKassa. Политика закрывает этот пробел, оставаясь рядом со схемой, а не
+ * внутри неё: замена валидатора не должна уносить с собой признак секретности.
+ */
+/** Кто поставляет значение параметра. */
+declare enum ExtensionConfigSuppliedBy {
+    /**
+     * Кооператив. Председатель вводит значение при установке или в настройках
+     * расширения; хранится в записи установки.
+     */
+    COOPERATIVE = "cooperative",
+    /**
+     * Провайдер поставки. Значение приходит из конфигурации узла и в записи
+     * установки не хранится вовсе. Председатель его не вводит и не видит: это
+     * инфраструктура поставки, а не настройка кооператива.
+     */
+    PROVIDER = "provider"
+}
+interface ExtensionConfigFieldPolicy {
+    /**
+     * Значение не покидает сервер. Наружу уходит только признак «задано», сам
+     * параметр редактируется в выдаче и в логах.
+     */
+    secret?: boolean;
+    /** Кто заполняет. По умолчанию — кооператив. */
+    suppliedBy?: ExtensionConfigSuppliedBy;
+}
+/**
+ * Политика по параметрам расширения. Ключ — путь до поля в конфиге, точкой для
+ * вложенных: `'secret'`, `'matrix.admin_password'`. Параметры без записи ведут
+ * себя как несекретные и кооперативные — то есть ровно как сегодня.
+ */
+type ExtensionConfigPolicy = Record<string, ExtensionConfigFieldPolicy>;
+/**
+ * Что подставляется вместо секретного значения в выдаче.
+ *
+ * Отдавать пустую строку нельзя: интерфейс не отличил бы «не задано» от
+ * «задано, но скрыто», а председателю нужно видеть разницу — иначе он не
+ * поймёт, работает расширение или ждёт ключа. Маркер также служит защитой при
+ * сохранении формы: пришедшее обратно значение, равное маркеру, означает
+ * «параметр не трогали», и сохранённый секрет остаётся на месте.
+ */
+declare const EXTENSION_SECRET_SET = "__secret_set__";
+declare const EXTENSION_SECRET_UNSET = "";
+/**
+ * Заменить секретные значения маркерами перед отдачей наружу.
+ *
+ * Возвращает новый объект: исходный конфиг остаётся нетронутым, потому что тем
+ * же объектом пользуется работающее расширение.
+ */
+declare function redactSecretConfig<TConfig extends Record<string, any>>(config: TConfig, policy: ExtensionConfigPolicy | undefined): TConfig;
+/**
+ * Собрать конфиг для сохранения: секретные параметры, пришедшие маркером
+ * «задано», заменить на уже сохранённое значение.
+ *
+ * Без этого шага любое сохранение формы затирало бы секреты: интерфейс получил
+ * маркер вместо значения и его же вернул бы обратно.
+ */
+declare function mergeSecretConfig<TConfig extends Record<string, any>>(incoming: TConfig, stored: TConfig | undefined, policy: ExtensionConfigPolicy | undefined): TConfig;
+/** Пути параметров, которые поставляет провайдер, — их не хранит запись установки. */
+declare function providerSuppliedPaths(policy: ExtensionConfigPolicy | undefined): string[];
+
+/**
+ * Контракт записи реестра расширений. Сам реестр (`AppRegistry` с перечислением
+ * конкретных расширений) остаётся в контроллере — это composition root; сюда вынесена
+ * только форма записи, чтобы расширение могло её типизировать.
+ */
+/** Конфигурация рабочего стола, который предоставляет расширение. */
+interface IDesktopConfig {
+    name: string;
+    title: string;
+    icon?: string;
+    defaultRoute?: string;
+}
+/**
+ * В каких сетях расширение разрешено ставить.
+ *
+ * Переключатель обкатки: приложение сначала открывают на тестовом контуре
+ * (`NON_MAINNET_ONLY`), а когда оно готово к боевой эксплуатации — здесь же,
+ * в реестре, переводят в `EVERYWHERE`.
+ */
+declare enum ExtensionAvailability {
+    /** Доступно в любой сети, включая основную. */
+    EVERYWHERE = "everywhere",
+    /** Доступно только вне основной сети — тестовый и локальный контуры. */
+    NON_MAINNET_ONLY = "non_mainnet_only",
+    /** Недоступно нигде — расширение ещё не открыто для установки. */
+    NOWHERE = "nowhere"
+}
+/** Вычисляет доступность расширения для сети, в которой работает узел. */
+declare function isExtensionAvailable(availability: ExtensionAvailability, isMainnet: boolean): boolean;
+/**
+ * Описание расширения в реестре.
+ * Поля readme/instructions живут здесь, а не в сущности расширения, чтобы не тащить
+ * презентационные данные в домен.
+ */
+interface IRegistryExtension {
+    is_builtin: boolean;
+    availability: ExtensionAvailability;
+    is_internal: boolean;
+    desktops?: IDesktopConfig[];
+    external_url?: string;
+    title: string;
+    description: string;
+    image: string;
+    class: any;
+    extensionClass: any;
+    schema: any;
+    /**
+     * Политика по параметрам конфига: что секретно и кто заполняет.
+     * Необязательна — расширение без политики ведёт себя как раньше.
+     */
+    configPolicy?: ExtensionConfigPolicy;
+    /**
+     * Таблицы, которыми расширение владеет, — классы сущностей TypeORM.
+     *
+     * Состав объявляется здесь, а не выводится из положения файлов на диске:
+     * расширение, установленное пакетом в `node_modules`, ни под какой глоб по
+     * `src/` не попадёт, и его таблицы просто не создадутся. Пустой список у
+     * расширения, которое своих таблиц не держит, — нормальное состояние.
+     */
+    entities?: ReadonlyArray<new (...args: any[]) => any>;
+    /**
+     * Миграции схемы конфига расширения — в порядке применения.
+     *
+     * Версии своего конфига расширение ведёт само: ядру незачем знать, что у
+     * какого-то расширения была v2, а потом v18. Порядок задаётся порядком в
+     * списке.
+     */
+    migrations?: ReadonlyArray<IExtensionSchemaMigration>;
+    /**
+     * Как расширение ставится в новом кооперативе.
+     *
+     * Отсутствие поля означает «само не ставится»: пайщик выбирает его в каталоге
+     * приложений. Дефолты конфига берутся отсюда же — ядро не обязано знать, из
+     * чего состоит конфиг чужого расширения.
+     */
+    defaults?: {
+        /** Включать ли сразу после установки. Выключенное стоит, но не работает. */
+        enabled: boolean;
+        /** Начальные значения конфига — те же, что объявлены схемой расширения. */
+        config: Record<string, any>;
+    };
+    /**
+     * Capability-заявка расширения: какие порты контура оно просит (ADR-16).
+     *
+     * Это не права пайщика — те проверяются на границе API самого расширения,
+     * внутри уже авторизованного сценария. Здесь другой вопрос: что этому
+     * расширению вообще позволено просить у кооператива. Ответ на него нужен
+     * один раз, при запуске, а не на каждом вызове порта.
+     *
+     * Обязательный порт без реализации — отказ на старте с внятной причиной.
+     * Необязательный может отсутствовать: расширение работает, часть
+     * возможностей выключена.
+     */
+    ports?: {
+        required: ReadonlyArray<symbol>;
+        optional: ReadonlyArray<symbol>;
+    };
+    tags?: string[];
+    readme: Promise<string>;
+    instructions: Promise<string>;
+    /** Обратная совместимость: наличие desktops означает, что это desktop-расширение. */
+    get is_desktop(): boolean;
+}
+/** Запись реестра с уже вычисленной под текущую сеть доступностью — её потребляет DTO витрины. */
+type IResolvedRegistryExtension = Omit<IRegistryExtension, 'availability'> & {
+    is_available: boolean;
+};
+
+interface DeserializedDescriptionOfExtension {
+    /**
+     * Название или метка, которая будет отображаться как подпись к полю ввода.
+     * Обязательное поле.
+     */
+    label: string;
+    /**
+     * Примечание или дополнительная информация, связанная с полем.
+     * Отображается как подсказка или вспомогательный текст рядом с полем.
+     * Необязательное поле.
+     */
+    note?: string;
+    /**
+     * Управляет видимостью поля. Если установлено в `false`, поле будет скрыто.
+     * По умолчанию `true` (поле видимо).
+     * Необязательное поле.
+     */
+    visible?: boolean;
+    /**
+     * Набор правил валидации, определенных как строковые выражения, например `['val > 0']`.
+     * Эти выражения интерпретируются как логические проверки, применяемые к значению поля.
+     * Необязательное поле.
+     */
+    rules?: string[];
+    /**
+     * Маска для ввода, которая ограничивает допустимые символы и формат поля ввода.
+     * Используется для ограничения ввода, например, к числам или специфическим форматам.
+     * Необязательное поле.
+     */
+    mask?: string;
+    /**
+     * Определяет, будет ли маска заполняться автоматически, когда значение не полностью введено.
+     * Обычно используется с `mask`, чтобы показать пользователю заполненный шаблон.
+     * Необязательное поле.
+     */
+    fillMask?: boolean;
+    /**
+     * Минимальная длина строки для текстовых полей.
+     * Проверяется валидацией, чтобы гарантировать, что ввод соответствует минимальной длине.
+     * Необязательное поле.
+     */
+    minLength?: number;
+    /**
+     * Максимальная длина строки для текстовых полей.
+     * Проверяется валидацией, чтобы гарантировать, что ввод не превышает максимальную длину.
+     * Необязательное поле.
+     */
+    maxLength?: number;
+    /**
+     * Максимальное количество строк для многострочных текстовых полей.
+     * Если указано, поле ввода будет отображаться как многострочное (`textarea`).
+     * Необязательное поле.
+     */
+    maxRows?: number;
+    /**
+     * Добавляет текст после значения поля в интерфейсе (например, символ валюты).
+     * Необязательное поле.
+     */
+    append?: string;
+    /**
+     * Добавляет текст перед значением поля в интерфейсе (например, символ валюты).
+     * Необязательное поле.
+     */
+    prepend?: string;
+    /**
+     * Определяет, будет ли поле только для чтения.
+     * Если установлено в `true`, поле будет отображаться как только для чтения.
+     * Необязательное поле.
+     */
+    readonly?: boolean;
+    /**
+     * Определяет, будет ли поле паролем.
+     * Если установлено в `true`, поле будет отображаться как пароль.
+     * Необязательное поле.
+     */
+    password?: boolean;
+    /**
+     * Тип генератора значения для поля.
+     * Если указан, при установке расширения (когда значение пустое) будет автоматически
+     * сгенерировано значение указанного типа.
+     * Поддерживаемые типы:
+     * - 'randomSecret' - генерирует криптографически стойкую случайную строку (64 hex символа)
+     * Необязательное поле.
+     */
+    generator?: 'randomSecret';
+    /**
+     * Значение по умолчанию для поля.
+     * Может быть статическим значением или значением, переданным с бэкенда.
+     * Отображается в форме как предустановленное значение при установке расширения.
+     * Необязательное поле.
+     */
+    default?: string;
+    /**
+     * Показывать ли кнопку копирования значения поля.
+     * В режиме установки кнопка копирования показывается всегда для полей с generator или copyable: true.
+     * Необязательное поле.
+     */
+    copyable?: boolean;
+}
+
+/**
+ * Состав таблиц установленных расширений — то, что контроллер обязан отдать
+ * TypeORM при подключении к базе.
+ *
+ * Каждое расширение объявляет свои сущности в записи реестра
+ * (`IRegistryExtension.entities`), composition root складывает их сюда одним
+ * вызовом, а подключение к базе читает готовый список. Прежний способ — глоб
+ * `src/extensions/ ** /entities/*entity.ts` — привязывал расширение к его месту
+ * на диске и не нашёл бы ни одной таблицы у расширения, установленного пакетом.
+ *
+ * Список задаётся один раз, до инициализации подключения. Повторный вызов —
+ * ошибка: он означал бы, что состав таблиц меняется на ходу, а TypeORM после
+ * инициализации новые сущности уже не примет.
+ */
+type ExtensionEntityClass = new (...args: any[]) => any;
+/** Объявить состав таблиц установленных расширений. Вызывает composition root. */
+declare function registerExtensionEntities(list: ReadonlyArray<ExtensionEntityClass>): void;
+/**
+ * Прочитать состав таблиц расширений.
+ *
+ * До объявления возвращает пустой список, а не бросает: подключение к базе
+ * поднимается и в контурах без единого расширения (миграции, генератор схемы).
+ */
+declare function extensionEntities(): ReadonlyArray<ExtensionEntityClass>;
+/** Сбросить состав. Только для тестов, которые поднимают граф модулей заново. */
+declare function resetExtensionEntities(): void;
+
+/**
+ * Входные параметры для пагинации и сортировки
+ */
+declare class PaginationInputDTO {
+    page: number;
+    limit: number;
+    sortBy?: string;
+    sortOrder: 'ASC' | 'DESC';
+}
+/**
+ * Результат пагинации (универсальный для TypeScript)
+ */
+declare class PaginationResult<T> {
+    items: T[];
+    totalCount: number;
+    totalPages: number;
+    currentPage: number;
+}
+/**
+ * Создание объекта GraphQL для результата пагинации
+ * @param name - Имя объекта GraphQL
+ * @param ItemType - Класс элемента списка
+ */
+declare function createPaginationResult<T>(ItemType: new (...args: any[]) => T, name: string): abstract new () => {
+    items: T[];
+    totalCount: number;
+    totalPages: number;
+    currentPage: number;
+};
+/**
+ * Сборка `PaginationResult<U>` для consumer'ов, читающих через порт innercoop
+ * (нет своего Repository.findAndCount, доступен только raw `{items, totalCount}`).
+ *
+ * Зачем: вычисление `totalPages`/`currentPage` из `PaginationInputDTO` — общая
+ * детерминированная логика; дублировать её в каждом consumer'е = canon-долг.
+ */
+declare function buildPaginationResult<T, U>(raw: {
+    items: T[];
+    totalCount: number;
+}, options: PaginationInputDTO | undefined, mapItem: (it: T) => U): PaginationResult<U>;
+/**
+ * Расчёт параметров пагинации для репозиториев, считающих выборку сами
+ * (TypeORM `findAndCount` и прямой SQL).
+ *
+ * Типизирован на `PaginationInputDTO`, но принимает любой объект той же формы:
+ * связь структурная, номинального `implements` между пакетом и ядром нет.
+ */
+declare class PaginationUtils {
+    /** Собрать результат из выборки репозитория и параметров запроса. */
+    static createPaginationResult<T>(items: T[], totalCount: number, options: PaginationInputDTO): PaginationResult<T>;
+    /** Перевести номер страницы в `LIMIT`/`OFFSET`. */
+    static getSqlPaginationParams(options: PaginationInputDTO): {
+        limit: number;
+        offset: number;
+    };
+    /**
+     * Проверить параметры и подставить умолчания.
+     *
+     * Верхняя граница `limit` — защита от выгрузки всей таблицы одним запросом,
+     * поэтому проверка живёт здесь, а не в каждом репозитории.
+     */
+    static validatePaginationOptions(options: PaginationInputDTO): PaginationInputDTO;
+}
+/**
+ * Канон-конверсия `PaginationInputDTO` → `{limit, offset, sortBy, sortOrder}`
+ * для адаптеров портов innercoop / внешних read API, не принимающих page-form.
+ */
+declare function paginationInputToOffset(options?: PaginationInputDTO): {
+    limit?: number;
+    offset?: number;
+    sortBy?: string;
+    sortOrder?: 'ASC' | 'DESC';
+};
+
+/**
+ * Часть полей `T` обязательна, остальные — нет.
+ *
+ * Применяется к формам частичного обновления: клиент присылает произвольный
+ * набор полей, но ключ, по которому запись ищется, обязан быть.
+ */
+type RequireFields<T, K> = Partial<T> & Required<Pick<T, Extract<K & keyof T, keyof T>>>;
+
+/**
+ * DTO для результата транзакции.
+ */
+declare class TransactionDTO {
+    chain?: any;
+    request?: any;
+    resolved?: any;
+    response?: any;
+    returns?: any;
+    revisions?: any;
+    signatures?: any;
+    signer?: any;
+    transaction?: any;
+}
+
+/**
+ * Настройки контура, одинаковые для всех расширений и не содержащие секретов.
+ *
+ * Расширение обязано знать, в каком кооперативе оно работает и по какому адресу
+ * его открывают, — иначе оно не соберёт ни ссылку в уведомлении, ни имя счёта.
+ * Раньше за этим шли прямо в `~/config/config` контроллера, то есть по пути,
+ * которого за пределами монолита не существует.
+ *
+ * **Здесь только то, что не жалко отдать любому расширению.** Ни ключей, ни
+ * паролей, ни реквизитов доступа тут нет и быть не должно. Именно поэтому
+ * настройки раздаются простой функцией, а не портом с DI: гейт capability
+ * (какому расширению что доступно) имеет смысл ровно там, где есть что
+ * закрывать. Имя кооператива закрывать не от кого — оно нужно всем и не
+ * является тайной.
+ *
+ * Секретное и инфраструктурное — ключи Matrix, LiveKit, OpenAI, токен GitHub —
+ * через этот канал не проходит принципиально. Им положен явный порт под
+ * capability-гейтом, и до его появления они остаются там, где лежат.
+ */
+interface PlatformBlockchainSettings {
+    /** Символ базового токена управления кооператива, например `RUB`. */
+    rootGovernSymbol: string;
+    /** Точность базового токена — знаков после запятой. */
+    rootGovernPrecision: number;
+    /** Символ системного токена цепи, например `AXON`. */
+    rootSymbol: string;
+    /** Точность системного токена — знаков после запятой. */
+    rootPrecision: number;
+    /**
+     * Пауза перед чтением таблиц цепи сразу после успешной мутации, мс.
+     *
+     * На узле-последователе строка появляется в состоянии с задержкой
+     * относительно ответа RPC, и величина этой задержки зависит от узла контура,
+     * а не от расширения.
+     */
+    postTransactChainReadDelayMs: number;
+    /**
+     * Идентификатор цепи контура. Входит в подписываемую транзакцию, поэтому
+     * подпись, собранная для одной цепи, в другой недействительна — расширение
+     * обязано брать его отсюда, а не хранить у себя.
+     */
+    chainId: string;
+}
+interface PlatformSettings {
+    /** Учётное имя кооператива в цепи, например `voskhod`. */
+    coopname: string;
+    /** Адрес, по которому пайщик открывает кооператив; основа для ссылок в уведомлениях. */
+    frontendUrl: string;
+    /** Адрес API контура. */
+    backendUrl: string;
+    /** Часовая зона кооператива в формате IANA, например `Europe/Moscow`. */
+    timezone: string;
+    /**
+     * Режим контура: `production` у рабочего кооператива, иначе — стенд.
+     * Расширение сверяется с ним, когда поведение обязано отличаться (не слать
+     * настоящие письма, не ходить во внешний сервис), а не чтобы прятать ошибки.
+     */
+    environment: string;
+    blockchain: PlatformBlockchainSettings;
+}
+/**
+ * Задать настройки контура. Вызывается composition root'ом один раз при старте,
+ * до того как приложение начнёт принимать запросы.
+ */
+declare function configurePlatformSettings(value: PlatformSettings): void;
+/**
+ * Прочитать настройки контура.
+ *
+ * Бросает, если настройки не заданы. Молчаливый возврат пустых значений был бы
+ * хуже: расширение построило бы ссылку на несуществующий адрес или создало
+ * запись с пустым именем кооператива, и разбирались бы мы уже с последствиями.
+ */
+declare function platformSettings(): PlatformSettings;
+
+type GeneratedDocumentDomainInterface = Omit<Cooperative.Document.IGeneratedDocument, 'binary'> & {
+    binary: string;
+};
+
+declare class GeneratedDocumentDTO implements GeneratedDocumentDomainInterface {
+    full_title: string;
+    html: string;
+    hash: string;
+    meta: any;
+    binary: string;
+    constructor(data?: GeneratedDocumentDomainInterface);
+}
+
+declare class GenerateDocumentOptionsInputDTO implements Cooperative.Document.IGenerationOptions {
+    skip_save?: boolean;
+    lang?: string;
+}
+
+/**
+ * Убрать из формы документа поля, которые проставляет реестр, а не заявитель.
+ *
+ * `coopname`, `username` и `registry_id` есть у каждого документа и приходят из
+ * контекста запроса, поэтому в специфичной части формы они лишние.
+ */
+type ExcludeCommonProps<T> = Omit<T, 'coopname' | 'username' | 'registry_id'>;
+
+declare const GenerateDocumentInputDTO_base: _nestjs_common.Type<Omit<GenerateMetaDocumentInputDTO, "registry_id">>;
+/**
+ * То же, что `GenerateMetaDocumentInputDTO`, но реестр обязателен на уровне
+ * типов TypeScript.
+ *
+ * `registry_id` намеренно без `@Field`: в схеме у `GenerateDocumentInput` этого
+ * поля нет и не было — реестр проставляет сервер по вызванной мутации, а не
+ * клиент. Добавить `@Field` значило бы завести новое обязательное поле во
+ * входном типе и сломать всех клиентов.
+ */
+declare class GenerateDocumentInputDTO extends GenerateDocumentInputDTO_base {
+    registry_id: number;
+    constructor();
+}
+
+/** Реквизиты одной подписи под документом. */
+declare class SignatureInfoDTO {
+    readonly id: number;
+    readonly signer: string;
+    readonly public_key: string;
+    readonly signature: string;
+    readonly signed_at: string;
+    readonly signed_hash: string;
+    readonly meta: any;
+    readonly is_valid?: boolean;
+}
+/**
+ * Подписанный документ целиком.
+ *
+ * Конструктор переносит подписи как есть, не пересобирая их: поля совпадают по
+ * именам, а всё, что ядро добавило сверх контракта (тот самый сертификат),
+ * доезжает до его собственного резолвера нетронутым.
+ */
+declare class SignedDigitalDocumentDTO {
+    readonly version: string;
+    readonly hash: string;
+    readonly doc_hash: string;
+    readonly meta_hash: string;
+    readonly meta: any;
+    readonly signatures: SignatureInfoDTO[];
+    constructor(data: {
+        version: string;
+        hash: string;
+        doc_hash: string;
+        meta_hash: string;
+        meta: any;
+        signatures: readonly any[];
+    });
+}
+
+declare class DocumentAggregateDTO {
+    hash: string;
+    document: SignedDigitalDocumentDTO;
+    rawDocument?: GeneratedDocumentDTO;
+    /**
+     * Принимает любой агрегат нужной формы: и доменный из ядра, и результат
+     * `IDocumentPort.buildAggregate`. Номинальной связи с ними нет — каркас не
+     * зависит ни от контроллера, ни от `@coopenomics/innercoop` (INV-007).
+     */
+    constructor(data?: {
+        hash: string;
+        document: any;
+        rawDocument?: any;
+    });
+}
+
+/**
+ * Сверка подписанного документа с черновиком, который ему предшествовал.
+ *
+ * Пайщик подписывает то, что увидел на экране, а расширение принимает подпись
+ * отдельным вызовом — между этими двумя моментами содержимое можно подменить.
+ * Поэтому расширение обязано найти свой же черновик по хэшу и сверить его с
+ * подписанным, а не верить присланному. Правило одно для всех, кто принимает
+ * подписи, поэтому живёт в каркасе в единственном экземпляре.
+ *
+ * Формы документов описаны структурно, а не импортом из
+ * `@coopenomics/innercoop`: пакеты ортогональны (INV-007).
+ */
+/** Режим сравнения `signed.meta[field]` с ожидаемым значением. */
+type SignedDocumentMetaCompareMode = 'currency_amount' | 'string_trim' | 'hex_case_insensitive';
+interface SignedDocumentMetaVerification {
+    /** Имя поля в объекте `signed.meta`. */
+    field: string;
+    /** Ожидаемое значение — из мутации либо доменного ввода. */
+    expected: string;
+    /** Как сравнивать. */
+    mode: SignedDocumentMetaCompareMode;
+}
+/** Подписанный документ: отсюда берутся хэш черновика и метаданные подписи. */
+interface SignedDocumentToVerify {
+    doc_hash: string;
+    meta: unknown;
+}
+/** Черновик, сохранённый при генерации. */
+interface GeneratedDocumentDraft {
+    hash: string;
+}
+/** Загрузка сохранённого черновика по `doc_hash` подписанного документа. */
+type LoadGeneratedDocumentByDocHash = (docHash: string) => Promise<GeneratedDocumentDraft | null>;
+/**
+ * 1) Находит черновик по `signed.doc_hash`.
+ * 2) Сверяет подписанный документ с черновиком через `Classes.Document.compareDocuments`.
+ * 3) Опционально сверяет поля `signed.meta` с ожидаемыми значениями.
+ *
+ * Бросает `HttpApiError` с 400, если черновик не найден, содержимое разошлось
+ * или метаданные не совпали: всё это — признаки подмены, а не ошибки ввода.
+ */
+declare function verifySignedDocumentAgainstStoredDraft(loadGeneratedByDocHash: LoadGeneratedDocumentByDocHash, signed: SignedDocumentToVerify, metaVerifications?: SignedDocumentMetaVerification[]): Promise<void>;
+
+declare class DomainToBlockchainUtils {
+    /** Доменный подписанный документ → форма для отправки в цепь. */
+    convertSignedDocumentToBlockchainFormat(document: Cooperative.Document.ISignedDocument2): Cooperative.Document.IChainDocument2;
+    /** Документ из цепи → доменная форма. */
+    convertBlockchainDocumentToDomainFormat(chainDoc: Cooperative.Document.IChainDocument2): Cooperative.Document.ISignedDocument2;
+    /**
+     * Свернуть checksum256 и учётное имя в один uint128-ключ — так составной
+     * индекс задан в контракте (`combine_checksum_ids`), и поиск по таблице
+     * обязан считать ключ ровно так же.
+     */
+    combineChecksumAndUsername(hash: string, username: string): bigint;
+    /** Дата → строка `time_point_sec`, как её принимает цепь. */
+    convertDateToBlockchainFormat(date: Date | string): string;
+    /**
+     * Привести строку `«число символ»` к точности, объявленной для этого символа.
+     *
+     * Символ сверяется с настройками контура намеренно: цепь отвергает asset с
+     * чужой точностью, и поймать это лучше здесь, чем в отказе транзакции.
+     */
+    formatQuantityWithPrecision(quantity: string): string;
+    /** Числовая строка + точность + символ → asset-строка цепи. */
+    formatNumericStringToAssetString(numericString: string, precision: number, symbol: string): string;
+    static convertChainDocumentToSignedDocument2(chainDoc: Cooperative.Document.IChainDocument2): Cooperative.Document.ISignedDocument2;
+    /**
+     * Документ из цепи → доменная форма.
+     *
+     * `meta` в цепи хранится строкой JSON, а пустая строка означает «мета нет»:
+     * `JSON.parse('')` на ней бросил бы.
+     */
+    static convertChainDocumentToDomainFormat(chainDoc: Cooperative.Document.IChainDocument2): Cooperative.Document.ISignedDocument2;
+    static getEmptyHash(): string;
+}
+
+/**
+ * Утилиты для работы с ассетами в формате "AMOUNT SYMBOL" (например, "100.0000 RUB")
+ */
+declare class AssetUtils {
+    /**
+     * Парсит строку ассета и возвращает числовое значение и символ
+     * @param asset Строка формата "100.0000 RUB"
+     * @returns { amount: number, symbol: string } или { amount: 0, symbol: '' } если парсинг не удался
+     */
+    static parseAsset(asset: string | undefined): {
+        amount: number;
+        symbol: string;
+    };
+    /**
+     * Форматирует числовое значение и символ обратно в строку ассета
+     * @param amount Числовое значение
+     * @param symbol Символ валюты
+     * @param precision Количество знаков после запятой (по умолчанию 4)
+     * @returns Строка формата "100.0000 RUB"
+     */
+    static formatAsset(amount: number, symbol: string, precision?: number): string;
+    /**
+     * Складывает два ассета
+     * @param asset1 Первый ассет в формате "100.0000 RUB"
+     * @param asset2 Второй ассет в формате "50.0000 RUB"
+     * @returns Результат сложения в формате "150.0000 RUB"
+     * @throws Error если символы валют не совпадают
+     */
+    static addAssets(asset1: string | undefined, asset2: string | undefined): string;
+    /**
+     * Складывает массив ассетов
+     * @param assets Массив ассетов в формате "100.0000 RUB"
+     * @returns Результат сложения в формате "150.0000 RUB"
+     * @throws Error если символы валют не совпадают
+     */
+    static sumAssets(assets: (string | undefined)[]): string;
+}
+
+/**
+ * Утилиты для форматирования сумм в человекочитаемый вид
+ * (уведомления, печатные документы, UI-тексты).
+ *
+ * Канон отображения: 2 знака после запятой, группировка разрядов,
+ * запятая как десятичный разделитель (ru-RU) —
+ * «1000.0000 RUB» → «1 000,00 RUB».
+ */
+declare class AmountFormatterUtils {
+    /**
+     * Форматирует сумму в читаемый формат.
+     * @param amountStr Строка «число» или «число валюта»
+     *   (например, «1000.0000», «1000.0000 RUB»)
+     * @returns «1 000,00» или «1 000,00 RUB»
+     * @throws Error если формат некорректный
+     */
+    static formatAmount(amountStr: string): string;
+    /**
+     * То же, что {@link formatAmount}, но без throw: при сбое возвращает
+     * исходную строку. Для non-blocking путей (уведомления), где ошибка
+     * форматирования не должна рвать доставку.
+     */
+    static formatAmountSafe(amountStr: string | undefined | null): string;
+}
+
+/**
+ * Общие константы проекта
+ */
+/**
+ * Пустой хэш SHA-256 (все нули)
+ */
+declare const EMPTY_HASH = "0000000000000000000000000000000000000000000000000000000000000000";
+/**
+ * Версия документа по умолчанию
+ */
+declare const DEFAULT_DOCUMENT_VERSION = "1.0.0";
+
+declare function getAmountPlusFee(amount: number, fee: number): number;
+declare function checkPaymentSymbol(incomeSymbol: string, extectedSymbol: string): {
+    status: string;
+    message: string;
+};
+declare function checkPaymentAmount(incomeAmount: number, expectedAmount: number, tolerancePercentage: number): {
+    status: string;
+    message: string;
+};
+
+/**
+ * Утилиты для работы с количествами и символами в платежной системе
+ */
+declare class QuantityUtils {
+    /**
+     * Проверяет, поддерживается ли символ системой
+     * @param symbol Символ для проверки
+     * @returns true если символ поддерживается
+     */
+    static isSupportedSymbol(symbol: string): boolean;
+    /**
+     * Получает precision для конкретного символа
+     * @param symbol Символ валюты
+     * @returns Precision для символа
+     */
+    static getPrecisionForSymbol(symbol: string): number;
+    /**
+     * Валидирует символ и выбрасывает ошибку если не поддерживается
+     * @param symbol Символ для валидации
+     */
+    static validateSymbol(symbol: string): void;
+    /**
+     * Форматирует количество с символом для блокчейна
+     * @param amount Числовое значение
+     * @param symbol Символ валюты
+     * @returns Отформатированная строка quantity для блокчейна
+     */
+    static formatQuantityForBlockchain(amount: number, symbol: string): string;
+    /**
+     * Форматирует количество с символом из числа и строки символа в единую строку
+     * @param amount Числовое значение
+     * @param symbol Символ валюты
+     * @returns Строка в формате "число символ"
+     */
+    static combineQuantityAndSymbol(amount: number, symbol: string): string;
+    /**
+     * Парсит строку quantity в число и символ
+     * @param quantity Строка в формате "число символ"
+     * @returns Объект с числом и символом
+     */
+    static parseQuantityString(quantity: string): {
+        amount: number;
+        symbol: string;
+    };
+}
+
+/**
+ * Утилита для работы с датами с учетом часового пояса
+ * Реализована на базе библиотеки moment-timezone
+ */
+declare class DateUtils {
+    /**
+     * Преобразует UTC дату в локальную дату согласно временной зоне из конфигурации
+     */
+    static convertUtcToLocalTime(date: Date | string): Date;
+    /**
+     * Форматирует дату в локальном формате с учетом временной зоны
+     */
+    static formatLocalDate(date: Date | string, format?: string): string;
+    /**
+     * Форматирует время в локальном формате с учетом временной зоны
+     */
+    static formatLocalTime(date: Date | string, format?: string): string;
+    /**
+     * Форматирует дату в локальном формате (дд.мм.гггг)
+     */
+    static formatLocalDateWithoutTimezone(dateString: string): string;
+    /**
+     * Форматирует время в локальном формате (чч:мм)
+     */
+    static formatLocalTimeWithoutTimezone(dateString: string): string;
+    /**
+     * Определяет, наступило ли уже указанное время с учетом временной зоны
+     */
+    static isTimeReached(targetDate: Date | string): boolean;
+    /**
+     * Вычисляет дату за указанное количество дней до целевой даты
+     */
+    static getDaysBeforeDate(targetDate: Date | string, days: number): Date;
+    /**
+     * Форматирует разницу во времени в человекочитаемый вид на русском языке (например, 'через 3 дня')
+     */
+    static formatDurationHumanizeRu(minutes: number): string;
+}
+
+/**
+ * Пауза перед чтением таблиц блокчейна сразу после успешной мутации (push_transaction).
+ * На узле-последователе строка может появиться в chain state с задержкой относительно ответа RPC.
+ */
+declare function waitAfterTransactBeforeChainTableRead(): Promise<void>;
+
+/**
+ * Форма ответа, из которой берётся номер блока. Описана здесь, а не взята из
+ * SDK цепи: утилиту зовут и с результатом `IChainPort`, у которого типа SDK
+ * нет, — а нужно от него ровно одно поле.
+ */
+interface TransactResultWithResponse {
+    response?: {
+        processed?: {
+            block_num?: unknown;
+        };
+        [key: string]: any;
+    } | null;
+    [key: string]: any;
+}
+/**
+ * Номер блока, в котором транзакция была применена.
+ *
+ * WHY: `transactResult.transaction` — это подписанная транзакция, и её `ref_block_num` относится
+ * к TaPoS: младшие 16 бит номера блока, на который транзакция ссылается для защиты от повторов.
+ * Это не блок применения и даже не полный номер блока — значение всегда лежит в диапазоне
+ * 0..65535 (в проде наблюдалось 60852 вместо 128 641 857). Записанный в БД как `block_num`, он
+ * ломает версионирование и откат по форку: `deleteByBlockNumGreaterThan` такие строки не заденет.
+ *
+ * Реальный блок приходит в ответе API после broadcast — `response.processed.block_num`.
+ * Если транзакция не броадкастилась (или узел не вернул `processed`), отдаём 0: по канону
+ * сущность с нулевым `block_num` считается не привязанной к синхронизации и не откатывается
+ * форком, что честнее правдоподобного, но неверного номера.
+ */
+declare function getAppliedBlockNum(transactResult?: TransactResultWithResponse | null): number;
+
+/**
+ * Хэши, которыми расширение помечает свои сущности.
+ *
+ * Уникальный хэш нужен там, где идентификатор придумывается до записи в цепь:
+ * платёж, черновик документа, заявка. Хэш от строки — там, где идентификатор
+ * обязан воспроизводиться: два одинаковых входа дают один результат, и
+ * повторный вызов не заводит вторую сущность.
+ */
+/** Уникальный хэш: время плюс случайное число. Воспроизвести его нельзя. */
+declare function generateUniqueHash(): string;
+/** То же, что `generateUniqueHash`; имя сохранено, потому что так его зовут в коде. */
+declare function generateRandomHash(): string;
+/** Воспроизводимый хэш от строки — для идемпотентности. */
+declare function generateHashFromString(input: string): string;
+
+/**
+ * Утилитарный класс для валидации валютных сумм
+ * Проверяет соответствие символа валюты конфигурации системы
+ */
+declare class CurrencyValidationUtil {
+    /**
+     * Проверяет, что сумма содержит правильный символ валюты
+     * @param amount Сумма в формате "число символ" (например, "1000 RUB")
+     * @returns boolean - true если символ валюты правильный
+     */
+    static hasValidCurrencySymbol(amount: string): boolean;
+    /**
+     * Валидирует сумму и выбрасывает ошибку, если символ валюты неправильный
+     * @param amount Сумма в формате "число символ" (например, "1000 RUB")
+     * @param fieldName Название поля для сообщения об ошибке (по умолчанию "сумма")
+     * @throws Error если символ валюты неправильный
+     */
+    static validateCurrencySymbol(amount: string, fieldName?: string): void;
+    /**
+     * Извлекает символ валюты из суммы
+     * @param amount Сумма в формате "число символ"
+     * @returns string - символ валюты или пустая строка, если не найден
+     */
+    static extractCurrencySymbol(amount: string): string;
+    /**
+     * Извлекает числовое значение из суммы
+     * @param amount Сумма в формате "число символ"
+     * @returns number - числовое значение или NaN, если не удалось распарсить
+     */
+    static extractAmountValue(amount: string): number;
+    /**
+     * Форматирует сумму с правильным символом валюты
+     * @param value Числовое значение
+     * @param precision Количество знаков после запятой (по умолчанию из конфига)
+     * @returns string - отформатированная сумма
+     */
+    static formatAmount(value: number, precision?: number): string;
+}
+
+/**
+ * Ошибка API с кодом состояния HTTP.
+ *
+ * Переехала из `~/utils/httpApiError` контроллера: расширения бросают её
+ * напрямую, а этого пути за пределами монолита нет.
+ *
+ * `isOperational` отделяет ожидаемый отказ (нет прав, не найдено, конфликт) от
+ * сбоя: первый — нормальный ответ пайщику, второй должен попасть в трассировку.
+ * `subcode` — доменный код отказа для клиента, когда одного статуса мало.
+ */
+declare class HttpApiError extends HttpException {
+    readonly isOperational: boolean;
+    readonly subcode: any;
+    constructor(statusCode: HttpStatus, message: string, isOperational?: boolean, stack?: string, subcode?: any);
+}
+
+/**
+ * Пробросить отказ цепи человеку.
+ *
+ * `eosio::check` возвращает сообщение обёрнутым в `assertion failure with
+ * message: ...`; пайщику нужна причина, а не обёртка виртуальной машины.
+ * Живёт в каркасе, потому что в цепь ходит не одно расширение: вторая копия
+ * этой чистки разошлась бы с первой на первом же новом формате ошибки.
+ */
+declare function rethrowChainError(error: unknown): never;
+
+export { ActiveUserStatusGuard, AmountFormatterUtils, AssetUtils, AuthRoles, BaseExtensionModule, BucketRegistry, CandidateFilterInputDTO, CandidateOutputDTO, CandidateStatus, CurrencyValidationUtil, CurrentUser, DEFAULT_DOCUMENT_VERSION, DateUtils, DocumentAggregateDTO, DomainToBlockchainUtils, EMPTY_HASH, EXTENSION_APP_TERMINATE_EVENT, EXTENSION_REPOSITORY, EXTENSION_SECRET_SET, EXTENSION_SECRET_UNSET, ExpenseProposalStatementGenerateDocumentInputDTO, ExpenseProposalStatementSignedDocumentInputDTO, ExpenseProposalStatementSignedMetaDocumentInputDTO, ExtensionAvailability, ExtensionConfigSuppliedBy, ExtensionDomainEntity, GenerateDocumentInputDTO, GenerateDocumentOptionsInputDTO, GenerateMetaDocumentInputDTO, GeneratedDocumentDTO, GqlJwtAuthGuard, HttpApiError, HttpJwtAuthGuard, IPNProvider, InjectBucket, LOG_EXTENSION_REPOSITORY, LangType, LogExtensionDomainEntity, MetaDocumentInputDTO, ONBOARDING_EXPIRY_DAYS, ONBOARDING_EXPIRY_MS, OptionalCurrentUser, OptionalGqlJwtAuthGuard, PaginationInputDTO, PaginationResult, PaginationUtils, PaymentProvider, PollingProvider, QuantityUtils, RolesGuard, SignatureInfoDTO, SignatureInfoInputDTO, SignedDigitalDocumentDTO, SignedDigitalDocumentInputDTO, TransactionDTO, UseBucket, bucketProvidersFor, bucketTokenFor, buildPaginationResult, checkPaymentAmount, checkPaymentSymbol, computeOnboardingExpiresAt, configureExtensionAuth, configurePlatformSettings, createPaginationResult, extensionEntities, generateHashFromString, generateRandomHash, generateUniqueHash, getAmountPlusFee, getAppliedBlockNum, hasServerSecret, isExtensionAvailable, mergeSecretConfig, paginationInputToOffset, platformSettings, providerSuppliedPaths, redactSecretConfig, registerExtensionEntities, resetExtensionEntities, rethrowChainError, verifySignedDocumentAgainstStoredDraft, waitAfterTransactBeforeChainTableRead };
+export type { AuthRolesOptions, BucketSource, BucketSpec, DeserializedDescriptionOfExtension, ExcludeCommonProps, ExtensionAppTerminatePayload, ExtensionAuthOptions, ExtensionConfigFieldPolicy, ExtensionConfigPolicy, ExtensionDomainInterface, ExtensionDomainRepository, ExtensionEntityClass, ExtensionSchemaMigrationAfterContext, GeneratedDocumentDomainInterface, GeneratedDocumentDraft, IDesktopConfig, IExtensionSchemaMigration, IRegistryExtension, IResolvedRegistryExtension, LoadGeneratedDocumentByDocHash, LogExtensionDomainInterface, LogExtensionDomainRepository, LogExtensionFilter, LogExtensionPaginationOptions, LogExtensionPaginationResult, PaymentDetails, PlatformBlockchainSettings, PlatformSettings, RegisteredBucket, RequireFields, SignedDocumentMetaCompareMode, SignedDocumentMetaVerification, SignedDocumentToVerify, TransactResultWithResponse };