@fiado/type-kit 3.71.0 → 3.72.0

package/bin/platformRbac/dtos/CreateTenantRequest.d.ts

@@ -1,3 +1,4 @@
+import { TokenValidationMode } from '../enums/TokenValidationMode';
 /**
  * Input del POST backoffice de creación de tenant (F-11 — onboarding de tenant en SureKeep).
  * Consumido por el controller `backofficeCreateTenant` del platform-rbac-business y, a futuro,
@@ -14,4 +15,5 @@ export declare class CreateTenantRequest {
     region: string;
     mfaRequired?: boolean;
     passwordMinLength?: number;
+    tokenValidationMode?: TokenValidationMode;
 }

package/bin/platformRbac/dtos/CreateTenantRequest.js

@@ -12,6 +12,7 @@ Object.defineProperty(exports, "__esModule", { value: true });
 exports.CreateTenantRequest = void 0;
 const class_transformer_1 = require("class-transformer");
 const class_validator_1 = require("class-validator");
+const TokenValidationMode_1 = require("../enums/TokenValidationMode");
 /**
  * Input del POST backoffice de creación de tenant (F-11 — onboarding de tenant en SureKeep).
  * Consumido por el controller `backofficeCreateTenant` del platform-rbac-business y, a futuro,
@@ -66,3 +67,9 @@ __decorate([
     (0, class_validator_1.Min)(8),
     __metadata("design:type", Number)
 ], CreateTenantRequest.prototype, "passwordMinLength", void 0);
+__decorate([
+    (0, class_transformer_1.Expose)(),
+    (0, class_validator_1.IsOptional)(),
+    (0, class_validator_1.IsEnum)(TokenValidationMode_1.TokenValidationMode),
+    __metadata("design:type", String)
+], CreateTenantRequest.prototype, "tokenValidationMode", void 0);

package/bin/platformRbac/enums/Permission.d.ts

@@ -6,7 +6,25 @@
  *
  * Copy-paste literal de los valores del spec (DEC-003).
  * Convención: `<category>.<resource>.<action>` (snake_case en action si multi-palabra).
- * Cualquier cambio aquí requiere PR + bump minor + redeploy de consumers.
+ *
+ * ⚠️ ESTE ES EL CATÁLOGO GLOBAL Y ÚNICO. Todo permiso del sistema vive acá. Los tenants
+ * NO inventan permisos: cada `tenantType` arma su lista (techo) ELIGIENDO de este catálogo
+ * (`TenantTypePermissionCatalog_GT` en platform-rbac-business, DEC-062), y cada tenant arma
+ * sus roles combinando esos permisos. El vocabulario es global; lo que varía por tenant es
+ * QUÉ permisos usa, no CUÁLES existen.
+ *
+ * ⚠️⚠️ AL AGREGAR / QUITAR / RENOMBRAR UN PERMISO — PROCEDIMIENTO OBLIGATORIO:
+ *   1. Agregar el valor a ESTE enum.
+ *   2. Agregarlo TAMBIÉN al FINAL de `PERMISSION_BIT_ORDER` (abajo) — append-only, NUNCA en
+ *      el medio ni reordenando: ese array define el bit de cada permiso en el token (bitset).
+ *      Reordenar/insertar en medio desalinea TODOS los tokens ya emitidos (escalada/pérdida
+ *      de permisos silenciosa). Un permiso deprecado CONSERVA su posición (no se borra del array).
+ *   3. Recién entonces un `tenantType` puede incluirlo en su lista. Un permiso que NO esté en
+ *      este enum + bit-order NO tiene bit → no viaja en el token (el gateway-adapter no lo ve).
+ *   4. `PERMS_VERSION` (hash del orden) cambia solo → bump minor del type-kit + redeploy de
+ *      consumers (jwt-inyector-trigger, gateway-adapter, platform-rbac-business). Tokens viejos
+ *      caen al fallback (resolver DDB) hasta refrescar — by-design, no rompe.
+ *   El test `permissionBits.test.ts` falla si el enum y `PERMISSION_BIT_ORDER` se desincronizan.
  *
  * Coexiste con módulo `rbac/` oficial cuando yhonhansen publique componente 01 — TD-RBAC-002.
  */
@@ -107,6 +125,11 @@ export declare enum Permission {
  * Índice de cada permiso = su posición de bit. NUNCA reordenar ni borrar:
  * deprecados CONSERVAN su posición; los nuevos van SIEMPRE al final.
  * Derivado explícitamente (no Object.values, frágil ante edición del enum).
+ *
+ * ⚠️ Si agregás un permiso al enum `Permission` (arriba), agregalo TAMBIÉN acá, AL FINAL.
+ * Ver el procedimiento completo en el JSDoc del enum `Permission`. El test
+ * `permissionBits.test.ts` rompe si esto y el enum no coinciden, y el snapshot del orden
+ * completo rompe si reordenás (guard anti-desalineamiento de tokens emitidos).
  */
 export declare const PERMISSION_BIT_ORDER: readonly Permission[];
 /** Versión del catálogo = hash del orden. Cambia solo si el orden cambia. */

package/bin/platformRbac/enums/Permission.js

@@ -11,7 +11,25 @@ exports.bitsToPermissions = bitsToPermissions;
  *
  * Copy-paste literal de los valores del spec (DEC-003).
  * Convención: `<category>.<resource>.<action>` (snake_case en action si multi-palabra).
- * Cualquier cambio aquí requiere PR + bump minor + redeploy de consumers.
+ *
+ * ⚠️ ESTE ES EL CATÁLOGO GLOBAL Y ÚNICO. Todo permiso del sistema vive acá. Los tenants
+ * NO inventan permisos: cada `tenantType` arma su lista (techo) ELIGIENDO de este catálogo
+ * (`TenantTypePermissionCatalog_GT` en platform-rbac-business, DEC-062), y cada tenant arma
+ * sus roles combinando esos permisos. El vocabulario es global; lo que varía por tenant es
+ * QUÉ permisos usa, no CUÁLES existen.
+ *
+ * ⚠️⚠️ AL AGREGAR / QUITAR / RENOMBRAR UN PERMISO — PROCEDIMIENTO OBLIGATORIO:
+ *   1. Agregar el valor a ESTE enum.
+ *   2. Agregarlo TAMBIÉN al FINAL de `PERMISSION_BIT_ORDER` (abajo) — append-only, NUNCA en
+ *      el medio ni reordenando: ese array define el bit de cada permiso en el token (bitset).
+ *      Reordenar/insertar en medio desalinea TODOS los tokens ya emitidos (escalada/pérdida
+ *      de permisos silenciosa). Un permiso deprecado CONSERVA su posición (no se borra del array).
+ *   3. Recién entonces un `tenantType` puede incluirlo en su lista. Un permiso que NO esté en
+ *      este enum + bit-order NO tiene bit → no viaja en el token (el gateway-adapter no lo ve).
+ *   4. `PERMS_VERSION` (hash del orden) cambia solo → bump minor del type-kit + redeploy de
+ *      consumers (jwt-inyector-trigger, gateway-adapter, platform-rbac-business). Tokens viejos
+ *      caen al fallback (resolver DDB) hasta refrescar — by-design, no rompe.
+ *   El test `permissionBits.test.ts` falla si el enum y `PERMISSION_BIT_ORDER` se desincronizan.
  *
  * Coexiste con módulo `rbac/` oficial cuando yhonhansen publique componente 01 — TD-RBAC-002.
  */
@@ -142,6 +160,11 @@ var Permission;
  * Índice de cada permiso = su posición de bit. NUNCA reordenar ni borrar:
  * deprecados CONSERVAN su posición; los nuevos van SIEMPRE al final.
  * Derivado explícitamente (no Object.values, frágil ante edición del enum).
+ *
+ * ⚠️ Si agregás un permiso al enum `Permission` (arriba), agregalo TAMBIÉN acá, AL FINAL.
+ * Ver el procedimiento completo en el JSDoc del enum `Permission`. El test
+ * `permissionBits.test.ts` rompe si esto y el enum no coinciden, y el snapshot del orden
+ * completo rompe si reordenás (guard anti-desalineamiento de tokens emitidos).
  */
 exports.PERMISSION_BIT_ORDER = [
     Permission.RBAC_CATALOG_MANAGE,

package/bin/platformRbac/enums/TokenValidationMode.d.ts

@@ -0,0 +1,13 @@
+/**
+ * Modo de validación de tokens por tenant (DEC-RBAC-002 del rbac-authorizer-trigger).
+ * Persistido como atributo no-key en PlatformTenantConfig_GT. Los valores string SON el
+ * contrato: el authorizer los espeja con un tipo local (no depende de type-kit, DT-7).
+ * - OFFLINE: solo firma (JWKS) + permsEpoch. Default. No pega a Cognito.
+ * - ONLINE_PREFERRED: AdminGetUser; negativo definitivo → Deny; fallo de infra → cae a offline.
+ * - ONLINE_STRICT: AdminGetUser; negativo definitivo O fallo de infra → Deny (fail-closed, regulado).
+ */
+export declare enum TokenValidationMode {
+    OFFLINE = "offline",
+    ONLINE_PREFERRED = "online_preferred",
+    ONLINE_STRICT = "online_strict"
+}

package/bin/platformRbac/enums/TokenValidationMode.js

@@ -0,0 +1,17 @@
+"use strict";
+Object.defineProperty(exports, "__esModule", { value: true });
+exports.TokenValidationMode = void 0;
+/**
+ * Modo de validación de tokens por tenant (DEC-RBAC-002 del rbac-authorizer-trigger).
+ * Persistido como atributo no-key en PlatformTenantConfig_GT. Los valores string SON el
+ * contrato: el authorizer los espeja con un tipo local (no depende de type-kit, DT-7).
+ * - OFFLINE: solo firma (JWKS) + permsEpoch. Default. No pega a Cognito.
+ * - ONLINE_PREFERRED: AdminGetUser; negativo definitivo → Deny; fallo de infra → cae a offline.
+ * - ONLINE_STRICT: AdminGetUser; negativo definitivo O fallo de infra → Deny (fail-closed, regulado).
+ */
+var TokenValidationMode;
+(function (TokenValidationMode) {
+    TokenValidationMode["OFFLINE"] = "offline";
+    TokenValidationMode["ONLINE_PREFERRED"] = "online_preferred";
+    TokenValidationMode["ONLINE_STRICT"] = "online_strict";
+})(TokenValidationMode || (exports.TokenValidationMode = TokenValidationMode = {}));

package/bin/platformRbac/index.d.ts

@@ -6,6 +6,7 @@ export type { RoleAssignmentInfo } from './dtos/RoleAssignmentInfo';
 export type { PermissionMeta } from './dtos/PermissionMeta';
 export type { EffectivePermissionsResponse } from './dtos/EffectivePermissionsResponse';
 export * from './enums/MfaMethodEnum';
+export * from './enums/TokenValidationMode';
 export * from './enums/ChallengeNameEnum';
 export * from './auth/DefineNextChallengeRequest';
 export * from './auth/DefineNextChallengeResponse';

package/bin/platformRbac/index.js

@@ -37,6 +37,7 @@ Object.defineProperty(exports, "PermissionCategory", { enumerable: true, get: fu
 // Fase 1 — Custom Auth Challenge (Email OTP + TOTP) + MFA self-service.
 // Class values (no type-only) — los DTOs llevan decoradores class-validator y se hidratan con plainToInstance en runtime.
 __exportStar(require("./enums/MfaMethodEnum"), exports);
+__exportStar(require("./enums/TokenValidationMode"), exports);
 __exportStar(require("./enums/ChallengeNameEnum"), exports);
 __exportStar(require("./auth/DefineNextChallengeRequest"), exports);
 __exportStar(require("./auth/DefineNextChallengeResponse"), exports);

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@fiado/type-kit",
-  "version": "3.71.0",
+  "version": "3.72.0",
   "description": "",
   "main": "bin/index.js",
   "types": "bin/index.d.ts",

package/src/platformRbac/dtos/CreateTenantRequest.ts

@@ -1,5 +1,6 @@
 import { Expose } from 'class-transformer';
-import { IsBoolean, IsEmail, IsInt, IsOptional, IsString, Matches, Min } from 'class-validator';
+import { IsBoolean, IsEmail, IsEnum, IsInt, IsOptional, IsString, Matches, Min } from 'class-validator';
+import { TokenValidationMode } from '../enums/TokenValidationMode';
 
 /**
  * Input del POST backoffice de creación de tenant (F-11 — onboarding de tenant en SureKeep).
@@ -17,4 +18,5 @@ export class CreateTenantRequest {
     @Expose() @IsString() region!: string;
     @Expose() @IsOptional() @IsBoolean() mfaRequired?: boolean;
     @Expose() @IsOptional() @IsInt() @Min(8) passwordMinLength?: number;
+    @Expose() @IsOptional() @IsEnum(TokenValidationMode) tokenValidationMode?: TokenValidationMode;
 }

package/src/platformRbac/enums/Permission.ts

@@ -6,7 +6,25 @@
  *
  * Copy-paste literal de los valores del spec (DEC-003).
  * Convención: `<category>.<resource>.<action>` (snake_case en action si multi-palabra).
- * Cualquier cambio aquí requiere PR + bump minor + redeploy de consumers.
+ *
+ * ⚠️ ESTE ES EL CATÁLOGO GLOBAL Y ÚNICO. Todo permiso del sistema vive acá. Los tenants
+ * NO inventan permisos: cada `tenantType` arma su lista (techo) ELIGIENDO de este catálogo
+ * (`TenantTypePermissionCatalog_GT` en platform-rbac-business, DEC-062), y cada tenant arma
+ * sus roles combinando esos permisos. El vocabulario es global; lo que varía por tenant es
+ * QUÉ permisos usa, no CUÁLES existen.
+ *
+ * ⚠️⚠️ AL AGREGAR / QUITAR / RENOMBRAR UN PERMISO — PROCEDIMIENTO OBLIGATORIO:
+ *   1. Agregar el valor a ESTE enum.
+ *   2. Agregarlo TAMBIÉN al FINAL de `PERMISSION_BIT_ORDER` (abajo) — append-only, NUNCA en
+ *      el medio ni reordenando: ese array define el bit de cada permiso en el token (bitset).
+ *      Reordenar/insertar en medio desalinea TODOS los tokens ya emitidos (escalada/pérdida
+ *      de permisos silenciosa). Un permiso deprecado CONSERVA su posición (no se borra del array).
+ *   3. Recién entonces un `tenantType` puede incluirlo en su lista. Un permiso que NO esté en
+ *      este enum + bit-order NO tiene bit → no viaja en el token (el gateway-adapter no lo ve).
+ *   4. `PERMS_VERSION` (hash del orden) cambia solo → bump minor del type-kit + redeploy de
+ *      consumers (jwt-inyector-trigger, gateway-adapter, platform-rbac-business). Tokens viejos
+ *      caen al fallback (resolver DDB) hasta refrescar — by-design, no rompe.
+ *   El test `permissionBits.test.ts` falla si el enum y `PERMISSION_BIT_ORDER` se desincronizan.
  *
  * Coexiste con módulo `rbac/` oficial cuando yhonhansen publique componente 01 — TD-RBAC-002.
  */
@@ -143,6 +161,11 @@ export enum Permission {
  * Índice de cada permiso = su posición de bit. NUNCA reordenar ni borrar:
  * deprecados CONSERVAN su posición; los nuevos van SIEMPRE al final.
  * Derivado explícitamente (no Object.values, frágil ante edición del enum).
+ *
+ * ⚠️ Si agregás un permiso al enum `Permission` (arriba), agregalo TAMBIÉN acá, AL FINAL.
+ * Ver el procedimiento completo en el JSDoc del enum `Permission`. El test
+ * `permissionBits.test.ts` rompe si esto y el enum no coinciden, y el snapshot del orden
+ * completo rompe si reordenás (guard anti-desalineamiento de tokens emitidos).
  */
 export const PERMISSION_BIT_ORDER: readonly Permission[] = [
     Permission.RBAC_CATALOG_MANAGE,

package/src/platformRbac/enums/TokenValidationMode.ts

@@ -0,0 +1,13 @@
+/**
+ * Modo de validación de tokens por tenant (DEC-RBAC-002 del rbac-authorizer-trigger).
+ * Persistido como atributo no-key en PlatformTenantConfig_GT. Los valores string SON el
+ * contrato: el authorizer los espeja con un tipo local (no depende de type-kit, DT-7).
+ * - OFFLINE: solo firma (JWKS) + permsEpoch. Default. No pega a Cognito.
+ * - ONLINE_PREFERRED: AdminGetUser; negativo definitivo → Deny; fallo de infra → cae a offline.
+ * - ONLINE_STRICT: AdminGetUser; negativo definitivo O fallo de infra → Deny (fail-closed, regulado).
+ */
+export enum TokenValidationMode {
+    OFFLINE = 'offline',
+    ONLINE_PREFERRED = 'online_preferred',
+    ONLINE_STRICT = 'online_strict',
+}

package/src/platformRbac/index.ts

@@ -26,6 +26,7 @@ export type { EffectivePermissionsResponse } from './dtos/EffectivePermissionsRe
 // Fase 1 — Custom Auth Challenge (Email OTP + TOTP) + MFA self-service.
 // Class values (no type-only) — los DTOs llevan decoradores class-validator y se hidratan con plainToInstance en runtime.
 export * from './enums/MfaMethodEnum';
+export * from './enums/TokenValidationMode';
 export * from './enums/ChallengeNameEnum';
 export * from './auth/DefineNextChallengeRequest';
 export * from './auth/DefineNextChallengeResponse';