@futdevpro/fsm-dynamo 1.16.10 → 1.16.11

package/build/_modules/security/_collections/stored-secret.util.d.ts

@@ -0,0 +1,41 @@
+import { DyFM_SecretMask_PartialReveal_Interface } from '../../../_collections/utils/secret-mask.util';
+import { DyFM_StoredSecret } from '../_models/stored-secret.control-model';
+/** A levezetett, decrypt-nelkul megjelenitheto resz (a DyFM_StoredSecret masked-mezoi). */
+export interface DyFM_StoredSecret_Preview_Interface {
+    keyPrefix: string;
+    keySuffix: string;
+    maskedPreview: string;
+    kind: string | undefined;
+}
+/**
+ * A DyFM_StoredSecret masked-reszenek levezetese egy nyers secret-bol — ENCRYPT/DECRYPT NELKUL
+ * megjelenitheto azonosito-reszt allit elo (`<prefix>...<suffix>` + a detektalt `kind`). A nyers
+ * ertek titkositasa NEM itt tortenik (a host adja a kulcsot); ez a util csak a lathato reszt
+ * szamolja, hogy a UI / a fogyasztok visszafejtes nelkul azonositsak a kulcsot.
+ */
+export declare class DyFM_StoredSecret_Util {
+    /**
+     * A secret fajtajanak detektalasa a kanonikus `DyFM_SECRET_PATTERNS`-szel (egysegesitett a
+     * masking-util kind-jeivel, pl. 'openai-key', 'anthropic-key', 'github-pat'). Az elso illeszkedo
+     * kind, vagy undefined ha egyik sem ismeri fel.
+     */
+    static detectKind(rawSecret: string): string | undefined;
+    /**
+     * A decrypt-nelkul megjelenitheto preview levezetese. Tul rovid secret-nel (vagy 0/0 reveal-nel)
+     * nem reveal-junk semmit (kulonben az egesz secret osszetapadhatna) — ilyenkor ures prefix/suffix
+     * + tisztan opaque `...` preview.
+     */
+    static derivePreview(rawSecret: string, reveal?: DyFM_SecretMask_PartialReveal_Interface): DyFM_StoredSecret_Preview_Interface;
+    /**
+     * Egy DyFM_StoredSecret osszeallitasa a nyers secret-bol — a masked-reszt levezeti, az
+     * `encryptedValue`-t a HIVO adja (a host/auth titkositja a sajat kulcsaval; a nyers ertek
+     * itt csak a preview-levezeteshez kell, NEM tarolodik el nyersen).
+     */
+    static build(set: {
+        rawSecret: string;
+        encryptedValue: string;
+        label?: string;
+        reveal?: DyFM_SecretMask_PartialReveal_Interface;
+    }): DyFM_StoredSecret;
+}
+//# sourceMappingURL=stored-secret.util.d.ts.map

package/build/_modules/security/_collections/stored-secret.util.d.ts.map

@@ -0,0 +1 @@
+{"version":3,"file":"stored-secret.util.d.ts","sourceRoot":"","sources":["../../../../src/_modules/security/_collections/stored-secret.util.ts"],"names":[],"mappings":"AAAA,OAAO,EAEL,uCAAuC,EACxC,MAAM,8CAA8C,CAAC;AACtD,OAAO,EAAE,iBAAiB,EAAE,MAAM,wCAAwC,CAAC;AAE3E,2FAA2F;AAC3F,MAAM,WAAW,mCAAmC;IAClD,SAAS,EAAE,MAAM,CAAC;IAClB,SAAS,EAAE,MAAM,CAAC;IAClB,aAAa,EAAE,MAAM,CAAC;IACtB,IAAI,EAAE,MAAM,GAAG,SAAS,CAAC;CAC1B;AAKD;;;;;GAKG;AACH,qBAAa,sBAAsB;IAEjC;;;;OAIG;IACH,MAAM,CAAC,UAAU,CAAC,SAAS,EAAE,MAAM,GAAG,MAAM,GAAG,SAAS;IAexD;;;;OAIG;IACH,MAAM,CAAC,aAAa,CAClB,SAAS,EAAE,MAAM,EACjB,MAAM,GAAE,uCAAwD,GAC/D,mCAAmC;IAoBtC;;;;OAIG;IACH,MAAM,CAAC,KAAK,CAAC,GAAG,EAAE;QAChB,SAAS,EAAE,MAAM,CAAC;QAClB,cAAc,EAAE,MAAM,CAAC;QACvB,KAAK,CAAC,EAAE,MAAM,CAAC;QACf,MAAM,CAAC,EAAE,uCAAuC,CAAC;KAClD,GAAG,iBAAiB;CActB"}

package/build/_modules/security/_collections/stored-secret.util.js

@@ -0,0 +1,74 @@
+"use strict";
+Object.defineProperty(exports, "__esModule", { value: true });
+exports.DyFM_StoredSecret_Util = void 0;
+const secret_mask_util_1 = require("../../../_collections/utils/secret-mask.util");
+const stored_secret_control_model_1 = require("../_models/stored-secret.control-model");
+/** Default reveal — az elso 4 + utolso 4 karakter (egysegben a secret-mask util default-javal). */
+const DEFAULT_REVEAL = { prefix: 4, suffix: 4 };
+/**
+ * A DyFM_StoredSecret masked-reszenek levezetese egy nyers secret-bol — ENCRYPT/DECRYPT NELKUL
+ * megjelenitheto azonosito-reszt allit elo (`<prefix>...<suffix>` + a detektalt `kind`). A nyers
+ * ertek titkositasa NEM itt tortenik (a host adja a kulcsot); ez a util csak a lathato reszt
+ * szamolja, hogy a UI / a fogyasztok visszafejtes nelkul azonositsak a kulcsot.
+ */
+class DyFM_StoredSecret_Util {
+    /**
+     * A secret fajtajanak detektalasa a kanonikus `DyFM_SECRET_PATTERNS`-szel (egysegesitett a
+     * masking-util kind-jeivel, pl. 'openai-key', 'anthropic-key', 'github-pat'). Az elso illeszkedo
+     * kind, vagy undefined ha egyik sem ismeri fel.
+     */
+    static detectKind(rawSecret) {
+        if (!rawSecret) {
+            return undefined;
+        }
+        for (const pattern of secret_mask_util_1.DyFM_SECRET_PATTERNS) {
+            // a patternek global flag-esek (stateful lastIndex) — minden teszt elott nullazzuk
+            pattern.regex.lastIndex = 0;
+            if (pattern.regex.test(rawSecret)) {
+                pattern.regex.lastIndex = 0;
+                return pattern.kind;
+            }
+        }
+        return undefined;
+    }
+    /**
+     * A decrypt-nelkul megjelenitheto preview levezetese. Tul rovid secret-nel (vagy 0/0 reveal-nel)
+     * nem reveal-junk semmit (kulonben az egesz secret osszetapadhatna) — ilyenkor ures prefix/suffix
+     * + tisztan opaque `...` preview.
+     */
+    static derivePreview(rawSecret, reveal = DEFAULT_REVEAL) {
+        const kind = this.detectKind(rawSecret);
+        const p = Math.max(0, reveal.prefix);
+        const s = Math.max(0, reveal.suffix);
+        if (!rawSecret || (p === 0 && s === 0) || rawSecret.length <= p + s + 4) {
+            return { keyPrefix: '', keySuffix: '', maskedPreview: '...', kind: kind };
+        }
+        const keyPrefix = rawSecret.slice(0, p);
+        const keySuffix = rawSecret.slice(rawSecret.length - s);
+        return {
+            keyPrefix: keyPrefix,
+            keySuffix: keySuffix,
+            maskedPreview: `${keyPrefix}...${keySuffix}`,
+            kind: kind,
+        };
+    }
+    /**
+     * Egy DyFM_StoredSecret osszeallitasa a nyers secret-bol — a masked-reszt levezeti, az
+     * `encryptedValue`-t a HIVO adja (a host/auth titkositja a sajat kulcsaval; a nyers ertek
+     * itt csak a preview-levezeteshez kell, NEM tarolodik el nyersen).
+     */
+    static build(set) {
+        const preview = this.derivePreview(set.rawSecret, set.reveal ?? DEFAULT_REVEAL);
+        return new stored_secret_control_model_1.DyFM_StoredSecret({
+            label: set.label,
+            kind: preview.kind,
+            keyPrefix: preview.keyPrefix,
+            keySuffix: preview.keySuffix,
+            maskedPreview: preview.maskedPreview,
+            encryptedValue: set.encryptedValue,
+            isActive: true,
+        });
+    }
+}
+exports.DyFM_StoredSecret_Util = DyFM_StoredSecret_Util;
+//# sourceMappingURL=stored-secret.util.js.map

package/build/_modules/security/_collections/stored-secret.util.js.map

@@ -0,0 +1 @@
+{"version":3,"file":"stored-secret.util.js","sourceRoot":"","sources":["../../../../src/_modules/security/_collections/stored-secret.util.ts"],"names":[],"mappings":";;;AAAA,mFAGsD;AACtD,wFAA2E;AAU3E,mGAAmG;AACnG,MAAM,cAAc,GAA4C,EAAE,MAAM,EAAE,CAAC,EAAE,MAAM,EAAE,CAAC,EAAE,CAAC;AAEzF;;;;;GAKG;AACH,MAAa,sBAAsB;IAEjC;;;;OAIG;IACH,MAAM,CAAC,UAAU,CAAC,SAAiB;QACjC,IAAI,CAAC,SAAS,EAAE,CAAC;YACf,OAAO,SAAS,CAAC;QACnB,CAAC;QACD,KAAK,MAAM,OAAO,IAAI,uCAAoB,EAAE,CAAC;YAC3C,mFAAmF;YACnF,OAAO,CAAC,KAAK,CAAC,SAAS,GAAG,CAAC,CAAC;YAC5B,IAAI,OAAO,CAAC,KAAK,CAAC,IAAI,CAAC,SAAS,CAAC,EAAE,CAAC;gBAClC,OAAO,CAAC,KAAK,CAAC,SAAS,GAAG,CAAC,CAAC;gBAC5B,OAAO,OAAO,CAAC,IAAI,CAAC;YACtB,CAAC;QACH,CAAC;QACD,OAAO,SAAS,CAAC;IACnB,CAAC;IAED;;;;OAIG;IACH,MAAM,CAAC,aAAa,CAClB,SAAiB,EACjB,SAAkD,cAAc;QAEhE,MAAM,IAAI,GAAuB,IAAI,CAAC,UAAU,CAAC,SAAS,CAAC,CAAC;QAC5D,MAAM,CAAC,GAAW,IAAI,CAAC,GAAG,CAAC,CAAC,EAAE,MAAM,CAAC,MAAM,CAAC,CAAC;QAC7C,MAAM,CAAC,GAAW,IAAI,CAAC,GAAG,CAAC,CAAC,EAAE,MAAM,CAAC,MAAM,CAAC,CAAC;QAE7C,IAAI,CAAC,SAAS,IAAI,CAAC,CAAC,KAAK,CAAC,IAAI,CAAC,KAAK,CAAC,CAAC,IAAI,SAAS,CAAC,MAAM,IAAI,CAAC,GAAG,CAAC,GAAG,CAAC,EAAE,CAAC;YACxE,OAAO,EAAE,SAAS,EAAE,EAAE,EAAE,SAAS,EAAE,EAAE,EAAE,aAAa,EAAE,KAAK,EAAE,IAAI,EAAE,IAAI,EAAE,CAAC;QAC5E,CAAC;QAED,MAAM,SAAS,GAAW,SAAS,CAAC,KAAK,CAAC,CAAC,EAAE,CAAC,CAAC,CAAC;QAChD,MAAM,SAAS,GAAW,SAAS,CAAC,KAAK,CAAC,SAAS,CAAC,MAAM,GAAG,CAAC,CAAC,CAAC;QAEhE,OAAO;YACL,SAAS,EAAE,SAAS;YACpB,SAAS,EAAE,SAAS;YACpB,aAAa,EAAE,GAAG,SAAS,MAAM,SAAS,EAAE;YAC5C,IAAI,EAAE,IAAI;SACX,CAAC;IACJ,CAAC;IAED;;;;OAIG;IACH,MAAM,CAAC,KAAK,CAAC,GAKZ;QACC,MAAM,OAAO,GACX,IAAI,CAAC,aAAa,CAAC,GAAG,CAAC,SAAS,EAAE,GAAG,CAAC,MAAM,IAAI,cAAc,CAAC,CAAC;QAElE,OAAO,IAAI,+CAAiB,CAAC;YAC3B,KAAK,EAAE,GAAG,CAAC,KAAK;YAChB,IAAI,EAAE,OAAO,CAAC,IAAI;YAClB,SAAS,EAAE,OAAO,CAAC,SAAS;YAC5B,SAAS,EAAE,OAAO,CAAC,SAAS;YAC5B,aAAa,EAAE,OAAO,CAAC,aAAa;YACpC,cAAc,EAAE,GAAG,CAAC,cAAc;YAClC,QAAQ,EAAE,IAAI;SACf,CAAC,CAAC;IACL,CAAC;CACF;AA1ED,wDA0EC"}

package/build/_modules/security/_models/stored-secret.control-model.d.ts

@@ -0,0 +1,39 @@
+/**
+ * Univerzalis tarolt-secret forma (bedrock SSOT) — minden FDP-rendszer ugyanezt hasznalja
+ * API-kulcs / token / barmilyen titkos ertek tarolasara.
+ *
+ * A lenyeg: a secret-bol a tarolaskor levezetheto egy ENCRYPT/DECRYPT NELKUL megjelenitheto
+ * "lathato resz" — egy `label` (nev) + egy `maskedPreview` (`<prefix>...<suffix>`) + a `kind`
+ * (a secret detektalt fajtaja). Igy a UI / a fogyasztok decrypt-kor nelkul tudjak azonositani
+ * MELYIK kulcs ez, anelkul hogy a nyers ertek valaha kliensre / logba kerulne.
+ *
+ * Az `encryptedValue` a titkositott nyers secret — KIZAROLAG szerver-oldalon tarolva/kezelve.
+ * A masked-mezoket a `DyFM_StoredSecret_Util.derivePreview()` szamolja ki a nyers ertekbol
+ * (a meglevo `DyFM_SECRET_PATTERNS` kind-detektorra epitve).
+ *
+ * Embeddable control-model (NEM extends DyFM_Metadata) — provider-config-okba / kulcs-listakba
+ * agyazhato (pl. DyFM_AI_UserProviderConfig, FDP user-api-key, Organizer MCP-kulcs).
+ */
+export declare class DyFM_StoredSecret {
+    /** Ember-olvashato cimke (pl. "OpenAI Production"). Decrypt nelkul megjelenitheto. */
+    label?: string;
+    /** A secret detektalt fajtaja a masking-patternek alapjan (pl. 'openai-key', 'anthropic-key', 'github-pat'). */
+    kind?: string;
+    /** A nyers secret elso ~N karaktere — decrypt NELKUL megjelenitheto. */
+    keyPrefix?: string;
+    /** A nyers secret utolso ~N karaktere — decrypt NELKUL megjelenitheto. */
+    keySuffix?: string;
+    /** Teljes megjelenitheto elonezet: `<prefix>...<suffix>` (decrypt nelkul). */
+    maskedPreview?: string;
+    /**
+     * A titkositott nyers secret — KIZAROLAG szerver-oldalon. SOHA nem kerul kliensre / logba.
+     * A titkositas kulcsa NEM ennek a bedrock-modellnek a felelossege (a host-rendszer / auth
+     * adja a kulcsot a DyFM_Crypto-nak); itt csak a mar titkositott string tarolodik.
+     */
+    encryptedValue?: string;
+    isActive?: boolean;
+    expiresAt?: Date;
+    lastUsedAt?: Date;
+    constructor(set?: DyFM_StoredSecret);
+}
+//# sourceMappingURL=stored-secret.control-model.d.ts.map

package/build/_modules/security/_models/stored-secret.control-model.d.ts.map

@@ -0,0 +1 @@
+{"version":3,"file":"stored-secret.control-model.d.ts","sourceRoot":"","sources":["../../../../src/_modules/security/_models/stored-secret.control-model.ts"],"names":[],"mappings":"AAAA;;;;;;;;;;;;;;;GAeG;AACH,qBAAa,iBAAiB;IAC5B,sFAAsF;IACtF,KAAK,CAAC,EAAE,MAAM,CAAC;IAEf,gHAAgH;IAChH,IAAI,CAAC,EAAE,MAAM,CAAC;IAEd,wEAAwE;IACxE,SAAS,CAAC,EAAE,MAAM,CAAC;IAEnB,0EAA0E;IAC1E,SAAS,CAAC,EAAE,MAAM,CAAC;IAEnB,8EAA8E;IAC9E,aAAa,CAAC,EAAE,MAAM,CAAC;IAEvB;;;;OAIG;IACH,cAAc,CAAC,EAAE,MAAM,CAAC;IAExB,QAAQ,CAAC,EAAE,OAAO,CAAC;IACnB,SAAS,CAAC,EAAE,IAAI,CAAC;IACjB,UAAU,CAAC,EAAE,IAAI,CAAC;gBAEN,GAAG,CAAC,EAAE,iBAAiB;CAKpC"}

package/build/_modules/security/_models/stored-secret.control-model.js

@@ -0,0 +1,47 @@
+"use strict";
+Object.defineProperty(exports, "__esModule", { value: true });
+exports.DyFM_StoredSecret = void 0;
+/**
+ * Univerzalis tarolt-secret forma (bedrock SSOT) — minden FDP-rendszer ugyanezt hasznalja
+ * API-kulcs / token / barmilyen titkos ertek tarolasara.
+ *
+ * A lenyeg: a secret-bol a tarolaskor levezetheto egy ENCRYPT/DECRYPT NELKUL megjelenitheto
+ * "lathato resz" — egy `label` (nev) + egy `maskedPreview` (`<prefix>...<suffix>`) + a `kind`
+ * (a secret detektalt fajtaja). Igy a UI / a fogyasztok decrypt-kor nelkul tudjak azonositani
+ * MELYIK kulcs ez, anelkul hogy a nyers ertek valaha kliensre / logba kerulne.
+ *
+ * Az `encryptedValue` a titkositott nyers secret — KIZAROLAG szerver-oldalon tarolva/kezelve.
+ * A masked-mezoket a `DyFM_StoredSecret_Util.derivePreview()` szamolja ki a nyers ertekbol
+ * (a meglevo `DyFM_SECRET_PATTERNS` kind-detektorra epitve).
+ *
+ * Embeddable control-model (NEM extends DyFM_Metadata) — provider-config-okba / kulcs-listakba
+ * agyazhato (pl. DyFM_AI_UserProviderConfig, FDP user-api-key, Organizer MCP-kulcs).
+ */
+class DyFM_StoredSecret {
+    /** Ember-olvashato cimke (pl. "OpenAI Production"). Decrypt nelkul megjelenitheto. */
+    label;
+    /** A secret detektalt fajtaja a masking-patternek alapjan (pl. 'openai-key', 'anthropic-key', 'github-pat'). */
+    kind;
+    /** A nyers secret elso ~N karaktere — decrypt NELKUL megjelenitheto. */
+    keyPrefix;
+    /** A nyers secret utolso ~N karaktere — decrypt NELKUL megjelenitheto. */
+    keySuffix;
+    /** Teljes megjelenitheto elonezet: `<prefix>...<suffix>` (decrypt nelkul). */
+    maskedPreview;
+    /**
+     * A titkositott nyers secret — KIZAROLAG szerver-oldalon. SOHA nem kerul kliensre / logba.
+     * A titkositas kulcsa NEM ennek a bedrock-modellnek a felelossege (a host-rendszer / auth
+     * adja a kulcsot a DyFM_Crypto-nak); itt csak a mar titkositott string tarolodik.
+     */
+    encryptedValue;
+    isActive;
+    expiresAt;
+    lastUsedAt;
+    constructor(set) {
+        if (set) {
+            Object.assign(this, set);
+        }
+    }
+}
+exports.DyFM_StoredSecret = DyFM_StoredSecret;
+//# sourceMappingURL=stored-secret.control-model.js.map

package/build/_modules/security/_models/stored-secret.control-model.js.map

@@ -0,0 +1 @@
+{"version":3,"file":"stored-secret.control-model.js","sourceRoot":"","sources":["../../../../src/_modules/security/_models/stored-secret.control-model.ts"],"names":[],"mappings":";;;AAAA;;;;;;;;;;;;;;;GAeG;AACH,MAAa,iBAAiB;IAC5B,sFAAsF;IACtF,KAAK,CAAU;IAEf,gHAAgH;IAChH,IAAI,CAAU;IAEd,wEAAwE;IACxE,SAAS,CAAU;IAEnB,0EAA0E;IAC1E,SAAS,CAAU;IAEnB,8EAA8E;IAC9E,aAAa,CAAU;IAEvB;;;;OAIG;IACH,cAAc,CAAU;IAExB,QAAQ,CAAW;IACnB,SAAS,CAAQ;IACjB,UAAU,CAAQ;IAElB,YAAY,GAAuB;QACjC,IAAI,GAAG,EAAE,CAAC;YACR,MAAM,CAAC,MAAM,CAAC,IAAI,EAAE,GAAG,CAAC,CAAC;QAC3B,CAAC;IACH,CAAC;CACF;AAhCD,8CAgCC"}

package/build/_modules/security/index.d.ts

@@ -0,0 +1,4 @@
+export * from './_models/stored-secret.control-model';
+export * from './_collections/stored-secret.util';
+export * from '../../_collections/utils/secret-mask.util';
+//# sourceMappingURL=index.d.ts.map

package/build/_modules/security/index.d.ts.map

@@ -0,0 +1 @@
+{"version":3,"file":"index.d.ts","sourceRoot":"","sources":["../../../src/_modules/security/index.ts"],"names":[],"mappings":"AAIA,cAAc,uCAAuC,CAAC;AACtD,cAAc,mCAAmC,CAAC;AAGlD,cAAc,2CAA2C,CAAC"}

package/build/_modules/security/index.js

@@ -0,0 +1,11 @@
+"use strict";
+// security ("out + security alapok") modul — a titkos-ertek tarolas/maszkolas bedrock SSOT-ja.
+// Erre epit minden FDP-rendszer (auth per-user AI-kulcs, Organizer MCP-kulcs, rendszer-kulcsok):
+// kozos forma (DyFM_StoredSecret) + decrypt-nelkuli preview-derive + a meglevo secret-maszkolas.
+Object.defineProperty(exports, "__esModule", { value: true });
+const tslib_1 = require("tslib");
+tslib_1.__exportStar(require("./_models/stored-secret.control-model"), exports);
+tslib_1.__exportStar(require("./_collections/stored-secret.util"), exports);
+// a mar letezo univerzalis secret-maszkolas (log/output-redaction) is innen elerheto, egy helyrol
+tslib_1.__exportStar(require("../../_collections/utils/secret-mask.util"), exports);
+//# sourceMappingURL=index.js.map

package/build/_modules/security/index.js.map

@@ -0,0 +1 @@
+{"version":3,"file":"index.js","sourceRoot":"","sources":["../../../src/_modules/security/index.ts"],"names":[],"mappings":";AAAA,+FAA+F;AAC/F,iGAAiG;AACjG,iGAAiG;;;AAEjG,gFAAsD;AACtD,4EAAkD;AAElD,kGAAkG;AAClG,oFAA0D"}

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@futdevpro/fsm-dynamo",
-  "version": "01.16.10",
+  "version": "01.16.11",
   "description": "Full Stack Model Collection for Dynamic (NodeJS-Typescript) Framework called Dynamo, by Future Development Ltd.",
   "DyBu_settings": {
     "packageType": "full-stack-package",
@@ -152,6 +152,12 @@
       "types": "./build/_modules/pipe/index.d.ts",
       "typings": "./build/_modules/pipe/index.d.ts"
     },
+    "./security": {
+      "default": "./build/_modules/security/index.js",
+      "module": "./build/_modules/security/index.js",
+      "types": "./build/_modules/security/index.d.ts",
+      "typings": "./build/_modules/security/index.d.ts"
+    },
     "./socket": {
       "default": "./build/_modules/socket/index.js",
       "module": "./build/_modules/socket/index.js",
@@ -269,7 +275,7 @@
     "uuid": "11.1.0"
   },
   "devDependencies": {
-    "@futdevpro/dynamo-eslint": "1.15.16",
+    "@futdevpro/dynamo-eslint": "1.15.18",
     "@types/jasmine": "~4.3.5",
     "@typescript-eslint/eslint-plugin": "^8.41.0",
     "@typescript-eslint/parser": "^8.41.0",

package/src/_modules/security/_collections/stored-secret.util.spec.ts

@@ -0,0 +1,77 @@
+import { DyFM_StoredSecret } from '../_models/stored-secret.control-model';
+import { DyFM_StoredSecret_Util } from './stored-secret.util';
+
+describe('| DyFM_StoredSecret_Util', () => {
+
+  // valid-formatumu teszt-kulcsok (a DyFM_SECRET_PATTERNS-hez igazitva)
+  const openAiKey: string = 'sk-abcdefghij1234567890abcdefghij1234567890';
+  const anthropicKey: string = 'sk-ant-abcdefghij1234567890abcdefghij1234567890';
+  const githubPat: string = 'ghp_abcdefghij1234567890abcdefghij1234567890';
+
+  describe('| detectKind', () => {
+    it('| OpenAI kulcsot felismer', () => {
+      expect(DyFM_StoredSecret_Util.detectKind(openAiKey)).toBe('openai-key');
+    });
+
+    it('| Anthropic kulcsot felismer (a sk-ant- specifikusabb mint a sk-)', () => {
+      expect(DyFM_StoredSecret_Util.detectKind(anthropicKey)).toBe('anthropic-key');
+    });
+
+    it('| GitHub PAT-ot felismer', () => {
+      expect(DyFM_StoredSecret_Util.detectKind(githubPat)).toBe('github-pat');
+    });
+
+    it('| ismeretlen formatumra undefined', () => {
+      expect(DyFM_StoredSecret_Util.detectKind('not-a-known-secret-format')).toBeUndefined();
+    });
+
+    it('| ures inputra undefined', () => {
+      expect(DyFM_StoredSecret_Util.detectKind('')).toBeUndefined();
+    });
+  });
+
+  describe('| derivePreview', () => {
+    it('| normal kulcsbol prefix/suffix/maskedPreview + kind', () => {
+      const preview = DyFM_StoredSecret_Util.derivePreview(openAiKey);
+      expect(preview.keyPrefix).toBe('sk-a');
+      expect(preview.keySuffix).toBe('7890');
+      expect(preview.maskedPreview).toBe('sk-a...7890');
+      expect(preview.kind).toBe('openai-key');
+      // a nyers kulcs SOHA nem jelenik meg teljes egeszeben a preview-ban
+      expect(preview.maskedPreview).not.toContain('abcdefghij');
+    });
+
+    it('| tul rovid secret -> opaque (nincs reveal)', () => {
+      const preview = DyFM_StoredSecret_Util.derivePreview('short');
+      expect(preview.keyPrefix).toBe('');
+      expect(preview.keySuffix).toBe('');
+      expect(preview.maskedPreview).toBe('...');
+    });
+
+    it('| 0/0 reveal -> opaque', () => {
+      const preview = DyFM_StoredSecret_Util.derivePreview(openAiKey, { prefix: 0, suffix: 0 });
+      expect(preview.maskedPreview).toBe('...');
+    });
+  });
+
+  describe('| build', () => {
+    it('| osszeallit egy DyFM_StoredSecret-et a masked-reszekkel + encryptedValue-val', () => {
+      const secret: DyFM_StoredSecret = DyFM_StoredSecret_Util.build({
+        rawSecret: anthropicKey,
+        encryptedValue: 'ENCRYPTED-BLOB-xyz',
+        label: 'Anthropic Prod',
+      });
+
+      expect(secret.label).toBe('Anthropic Prod');
+      expect(secret.kind).toBe('anthropic-key');
+      expect(secret.keyPrefix).toBe('sk-a');
+      expect(secret.keySuffix).toBe('7890');
+      expect(secret.maskedPreview).toBe('sk-a...7890');
+      expect(secret.encryptedValue).toBe('ENCRYPTED-BLOB-xyz');
+      expect(secret.isActive).toBe(true);
+      // a nyers kulcs NINCS eltarolva a modellben (csak az encryptedValue + a masked-resz)
+      expect(JSON.stringify(secret)).not.toContain('abcdefghij');
+    });
+  });
+
+});

package/src/_modules/security/_collections/stored-secret.util.ts

@@ -0,0 +1,98 @@
+import {
+  DyFM_SECRET_PATTERNS,
+  DyFM_SecretMask_PartialReveal_Interface,
+} from '../../../_collections/utils/secret-mask.util';
+import { DyFM_StoredSecret } from '../_models/stored-secret.control-model';
+
+/** A levezetett, decrypt-nelkul megjelenitheto resz (a DyFM_StoredSecret masked-mezoi). */
+export interface DyFM_StoredSecret_Preview_Interface {
+  keyPrefix: string;
+  keySuffix: string;
+  maskedPreview: string;
+  kind: string | undefined;
+}
+
+/** Default reveal — az elso 4 + utolso 4 karakter (egysegben a secret-mask util default-javal). */
+const DEFAULT_REVEAL: DyFM_SecretMask_PartialReveal_Interface = { prefix: 4, suffix: 4 };
+
+/**
+ * A DyFM_StoredSecret masked-reszenek levezetese egy nyers secret-bol — ENCRYPT/DECRYPT NELKUL
+ * megjelenitheto azonosito-reszt allit elo (`<prefix>...<suffix>` + a detektalt `kind`). A nyers
+ * ertek titkositasa NEM itt tortenik (a host adja a kulcsot); ez a util csak a lathato reszt
+ * szamolja, hogy a UI / a fogyasztok visszafejtes nelkul azonositsak a kulcsot.
+ */
+export class DyFM_StoredSecret_Util {
+
+  /**
+   * A secret fajtajanak detektalasa a kanonikus `DyFM_SECRET_PATTERNS`-szel (egysegesitett a
+   * masking-util kind-jeivel, pl. 'openai-key', 'anthropic-key', 'github-pat'). Az elso illeszkedo
+   * kind, vagy undefined ha egyik sem ismeri fel.
+   */
+  static detectKind(rawSecret: string): string | undefined {
+    if (!rawSecret) {
+      return undefined;
+    }
+    for (const pattern of DyFM_SECRET_PATTERNS) {
+      // a patternek global flag-esek (stateful lastIndex) — minden teszt elott nullazzuk
+      pattern.regex.lastIndex = 0;
+      if (pattern.regex.test(rawSecret)) {
+        pattern.regex.lastIndex = 0;
+        return pattern.kind;
+      }
+    }
+    return undefined;
+  }
+
+  /**
+   * A decrypt-nelkul megjelenitheto preview levezetese. Tul rovid secret-nel (vagy 0/0 reveal-nel)
+   * nem reveal-junk semmit (kulonben az egesz secret osszetapadhatna) — ilyenkor ures prefix/suffix
+   * + tisztan opaque `...` preview.
+   */
+  static derivePreview(
+    rawSecret: string,
+    reveal: DyFM_SecretMask_PartialReveal_Interface = DEFAULT_REVEAL,
+  ): DyFM_StoredSecret_Preview_Interface {
+    const kind: string | undefined = this.detectKind(rawSecret);
+    const p: number = Math.max(0, reveal.prefix);
+    const s: number = Math.max(0, reveal.suffix);
+
+    if (!rawSecret || (p === 0 && s === 0) || rawSecret.length <= p + s + 4) {
+      return { keyPrefix: '', keySuffix: '', maskedPreview: '...', kind: kind };
+    }
+
+    const keyPrefix: string = rawSecret.slice(0, p);
+    const keySuffix: string = rawSecret.slice(rawSecret.length - s);
+
+    return {
+      keyPrefix: keyPrefix,
+      keySuffix: keySuffix,
+      maskedPreview: `${keyPrefix}...${keySuffix}`,
+      kind: kind,
+    };
+  }
+
+  /**
+   * Egy DyFM_StoredSecret osszeallitasa a nyers secret-bol — a masked-reszt levezeti, az
+   * `encryptedValue`-t a HIVO adja (a host/auth titkositja a sajat kulcsaval; a nyers ertek
+   * itt csak a preview-levezeteshez kell, NEM tarolodik el nyersen).
+   */
+  static build(set: {
+    rawSecret: string,
+    encryptedValue: string,
+    label?: string,
+    reveal?: DyFM_SecretMask_PartialReveal_Interface,
+  }): DyFM_StoredSecret {
+    const preview: DyFM_StoredSecret_Preview_Interface =
+      this.derivePreview(set.rawSecret, set.reveal ?? DEFAULT_REVEAL);
+
+    return new DyFM_StoredSecret({
+      label: set.label,
+      kind: preview.kind,
+      keyPrefix: preview.keyPrefix,
+      keySuffix: preview.keySuffix,
+      maskedPreview: preview.maskedPreview,
+      encryptedValue: set.encryptedValue,
+      isActive: true,
+    });
+  }
+}

package/src/_modules/security/_models/stored-secret.control-model.ts

@@ -0,0 +1,49 @@
+/**
+ * Univerzalis tarolt-secret forma (bedrock SSOT) — minden FDP-rendszer ugyanezt hasznalja
+ * API-kulcs / token / barmilyen titkos ertek tarolasara.
+ *
+ * A lenyeg: a secret-bol a tarolaskor levezetheto egy ENCRYPT/DECRYPT NELKUL megjelenitheto
+ * "lathato resz" — egy `label` (nev) + egy `maskedPreview` (`<prefix>...<suffix>`) + a `kind`
+ * (a secret detektalt fajtaja). Igy a UI / a fogyasztok decrypt-kor nelkul tudjak azonositani
+ * MELYIK kulcs ez, anelkul hogy a nyers ertek valaha kliensre / logba kerulne.
+ *
+ * Az `encryptedValue` a titkositott nyers secret — KIZAROLAG szerver-oldalon tarolva/kezelve.
+ * A masked-mezoket a `DyFM_StoredSecret_Util.derivePreview()` szamolja ki a nyers ertekbol
+ * (a meglevo `DyFM_SECRET_PATTERNS` kind-detektorra epitve).
+ *
+ * Embeddable control-model (NEM extends DyFM_Metadata) — provider-config-okba / kulcs-listakba
+ * agyazhato (pl. DyFM_AI_UserProviderConfig, FDP user-api-key, Organizer MCP-kulcs).
+ */
+export class DyFM_StoredSecret {
+  /** Ember-olvashato cimke (pl. "OpenAI Production"). Decrypt nelkul megjelenitheto. */
+  label?: string;
+
+  /** A secret detektalt fajtaja a masking-patternek alapjan (pl. 'openai-key', 'anthropic-key', 'github-pat'). */
+  kind?: string;
+
+  /** A nyers secret elso ~N karaktere — decrypt NELKUL megjelenitheto. */
+  keyPrefix?: string;
+
+  /** A nyers secret utolso ~N karaktere — decrypt NELKUL megjelenitheto. */
+  keySuffix?: string;
+
+  /** Teljes megjelenitheto elonezet: `<prefix>...<suffix>` (decrypt nelkul). */
+  maskedPreview?: string;
+
+  /**
+   * A titkositott nyers secret — KIZAROLAG szerver-oldalon. SOHA nem kerul kliensre / logba.
+   * A titkositas kulcsa NEM ennek a bedrock-modellnek a felelossege (a host-rendszer / auth
+   * adja a kulcsot a DyFM_Crypto-nak); itt csak a mar titkositott string tarolodik.
+   */
+  encryptedValue?: string;
+
+  isActive?: boolean;
+  expiresAt?: Date;
+  lastUsedAt?: Date;
+
+  constructor(set?: DyFM_StoredSecret) {
+    if (set) {
+      Object.assign(this, set);
+    }
+  }
+}

package/src/_modules/security/index.ts

@@ -0,0 +1,9 @@
+// security ("out + security alapok") modul — a titkos-ertek tarolas/maszkolas bedrock SSOT-ja.
+// Erre epit minden FDP-rendszer (auth per-user AI-kulcs, Organizer MCP-kulcs, rendszer-kulcsok):
+// kozos forma (DyFM_StoredSecret) + decrypt-nelkuli preview-derive + a meglevo secret-maszkolas.
+
+export * from './_models/stored-secret.control-model';
+export * from './_collections/stored-secret.util';
+
+// a mar letezo univerzalis secret-maszkolas (log/output-redaction) is innen elerheto, egy helyrol
+export * from '../../_collections/utils/secret-mask.util';