@futdevpro/fsm-dynamo 1.16.10 → 1.16.12

package/build/_modules/security/_collections/stored-secret.util.d.ts

@@ -0,0 +1,40 @@
+import { DyFM_SecretMask_PartialReveal_Interface } from '../../../_collections/utils/secret-mask.util';
+import { DyFM_StoredSecret } from '../_models/stored-secret.control-model';
+/** A levezetett, decrypt-nelkul megjelenitheto resz (a DyFM_StoredSecret masked-mezoi). */
+export interface DyFM_StoredSecret_Preview_Interface {
+    maskedPreview: string;
+    keyLength: number;
+    kind: string | undefined;
+}
+/**
+ * A DyFM_StoredSecret masked-reszenek levezetese egy USER-SAJAT nyers secret-bol — ENCRYPT/DECRYPT
+ * NELKUL megjelenitheto azonosito-reszt allit elo (`<prefix>...<suffix>` + a detektalt `kind` +
+ * a `keyLength`). A nyers ertek titkositasa NEM itt tortenik (a host/auth adja a kulcsot); ez a
+ * util csak a lathato reszt szamolja, hogy a UI / a fogyasztok visszafejtes nelkul azonositsanak.
+ */
+export declare class DyFM_StoredSecret_Util {
+    /**
+     * A secret fajtajanak detektalasa a kanonikus `DyFM_SECRET_PATTERNS`-szel (egysegesitett a
+     * masking-util kind-jeivel, pl. 'openai-key', 'anthropic-key', 'github-pat'). Az elso illeszkedo
+     * kind, vagy undefined ha egyik sem ismeri fel.
+     */
+    static detectKind(rawSecret: string): string | undefined;
+    /**
+     * A decrypt-nelkul megjelenitheto preview levezetese. Tul rovid secret-nel (vagy 0/0 reveal-nel)
+     * nem reveal-junk semmit (kulonben az egesz secret osszetapadhatna) — ilyenkor tisztan opaque
+     * `...` preview. A `keyLength` ettol fuggetlenul mindig a nyers hossz.
+     */
+    static derivePreview(rawSecret: string, reveal?: DyFM_SecretMask_PartialReveal_Interface): DyFM_StoredSecret_Preview_Interface;
+    /**
+     * Egy DyFM_StoredSecret osszeallitasa a USER-SAJAT nyers secret-bol — a masked-reszt levezeti,
+     * az `encryptedValue`-t a HIVO adja (a host/auth titkositja a `FDP_PRIVATE_API_KEY_CRYPT_KEY`-jel;
+     * a nyers ertek itt csak a preview-levezeteshez kell, NEM tarolodik el nyersen).
+     */
+    static build(set: {
+        rawSecret: string;
+        encryptedValue: string;
+        label?: string;
+        reveal?: DyFM_SecretMask_PartialReveal_Interface;
+    }): DyFM_StoredSecret;
+}
+//# sourceMappingURL=stored-secret.util.d.ts.map

package/build/_modules/security/_collections/stored-secret.util.d.ts.map

@@ -0,0 +1 @@
+{"version":3,"file":"stored-secret.util.d.ts","sourceRoot":"","sources":["../../../../src/_modules/security/_collections/stored-secret.util.ts"],"names":[],"mappings":"AAAA,OAAO,EAEL,uCAAuC,EACxC,MAAM,8CAA8C,CAAC;AACtD,OAAO,EAAE,iBAAiB,EAAE,MAAM,wCAAwC,CAAC;AAE3E,2FAA2F;AAC3F,MAAM,WAAW,mCAAmC;IAClD,aAAa,EAAE,MAAM,CAAC;IACtB,SAAS,EAAE,MAAM,CAAC;IAClB,IAAI,EAAE,MAAM,GAAG,SAAS,CAAC;CAC1B;AAKD;;;;;GAKG;AACH,qBAAa,sBAAsB;IAEjC;;;;OAIG;IACH,MAAM,CAAC,UAAU,CAAC,SAAS,EAAE,MAAM,GAAG,MAAM,GAAG,SAAS;IAexD;;;;OAIG;IACH,MAAM,CAAC,aAAa,CAClB,SAAS,EAAE,MAAM,EACjB,MAAM,GAAE,uCAAwD,GAC/D,mCAAmC;IAoBtC;;;;OAIG;IACH,MAAM,CAAC,KAAK,CAAC,GAAG,EAAE;QAChB,SAAS,EAAE,MAAM,CAAC;QAClB,cAAc,EAAE,MAAM,CAAC;QACvB,KAAK,CAAC,EAAE,MAAM,CAAC;QACf,MAAM,CAAC,EAAE,uCAAuC,CAAC;KAClD,GAAG,iBAAiB;CAatB"}

package/build/_modules/security/_collections/stored-secret.util.js

@@ -0,0 +1,73 @@
+"use strict";
+Object.defineProperty(exports, "__esModule", { value: true });
+exports.DyFM_StoredSecret_Util = void 0;
+const secret_mask_util_1 = require("../../../_collections/utils/secret-mask.util");
+const stored_secret_control_model_1 = require("../_models/stored-secret.control-model");
+/** Default reveal — az elso 4 + utolso 4 karakter (egysegben a secret-mask util default-javal). */
+const DEFAULT_REVEAL = { prefix: 4, suffix: 4 };
+/**
+ * A DyFM_StoredSecret masked-reszenek levezetese egy USER-SAJAT nyers secret-bol — ENCRYPT/DECRYPT
+ * NELKUL megjelenitheto azonosito-reszt allit elo (`<prefix>...<suffix>` + a detektalt `kind` +
+ * a `keyLength`). A nyers ertek titkositasa NEM itt tortenik (a host/auth adja a kulcsot); ez a
+ * util csak a lathato reszt szamolja, hogy a UI / a fogyasztok visszafejtes nelkul azonositsanak.
+ */
+class DyFM_StoredSecret_Util {
+    /**
+     * A secret fajtajanak detektalasa a kanonikus `DyFM_SECRET_PATTERNS`-szel (egysegesitett a
+     * masking-util kind-jeivel, pl. 'openai-key', 'anthropic-key', 'github-pat'). Az elso illeszkedo
+     * kind, vagy undefined ha egyik sem ismeri fel.
+     */
+    static detectKind(rawSecret) {
+        if (!rawSecret) {
+            return undefined;
+        }
+        for (const pattern of secret_mask_util_1.DyFM_SECRET_PATTERNS) {
+            // a patternek global flag-esek (stateful lastIndex) — minden teszt elott nullazzuk
+            pattern.regex.lastIndex = 0;
+            if (pattern.regex.test(rawSecret)) {
+                pattern.regex.lastIndex = 0;
+                return pattern.kind;
+            }
+        }
+        return undefined;
+    }
+    /**
+     * A decrypt-nelkul megjelenitheto preview levezetese. Tul rovid secret-nel (vagy 0/0 reveal-nel)
+     * nem reveal-junk semmit (kulonben az egesz secret osszetapadhatna) — ilyenkor tisztan opaque
+     * `...` preview. A `keyLength` ettol fuggetlenul mindig a nyers hossz.
+     */
+    static derivePreview(rawSecret, reveal = DEFAULT_REVEAL) {
+        const kind = this.detectKind(rawSecret);
+        const keyLength = rawSecret ? rawSecret.length : 0;
+        const p = Math.max(0, reveal.prefix);
+        const s = Math.max(0, reveal.suffix);
+        if (!rawSecret || (p === 0 && s === 0) || rawSecret.length <= p + s + 4) {
+            return { maskedPreview: '...', keyLength: keyLength, kind: kind };
+        }
+        const head = rawSecret.slice(0, p);
+        const tail = rawSecret.slice(rawSecret.length - s);
+        return {
+            maskedPreview: `${head}...${tail}`,
+            keyLength: keyLength,
+            kind: kind,
+        };
+    }
+    /**
+     * Egy DyFM_StoredSecret osszeallitasa a USER-SAJAT nyers secret-bol — a masked-reszt levezeti,
+     * az `encryptedValue`-t a HIVO adja (a host/auth titkositja a `FDP_PRIVATE_API_KEY_CRYPT_KEY`-jel;
+     * a nyers ertek itt csak a preview-levezeteshez kell, NEM tarolodik el nyersen).
+     */
+    static build(set) {
+        const preview = this.derivePreview(set.rawSecret, set.reveal ?? DEFAULT_REVEAL);
+        return new stored_secret_control_model_1.DyFM_StoredSecret({
+            label: set.label,
+            kind: preview.kind,
+            maskedPreview: preview.maskedPreview,
+            keyLength: preview.keyLength,
+            encryptedValue: set.encryptedValue,
+            isActive: true,
+        });
+    }
+}
+exports.DyFM_StoredSecret_Util = DyFM_StoredSecret_Util;
+//# sourceMappingURL=stored-secret.util.js.map

package/build/_modules/security/_collections/stored-secret.util.js.map

@@ -0,0 +1 @@
+{"version":3,"file":"stored-secret.util.js","sourceRoot":"","sources":["../../../../src/_modules/security/_collections/stored-secret.util.ts"],"names":[],"mappings":";;;AAAA,mFAGsD;AACtD,wFAA2E;AAS3E,mGAAmG;AACnG,MAAM,cAAc,GAA4C,EAAE,MAAM,EAAE,CAAC,EAAE,MAAM,EAAE,CAAC,EAAE,CAAC;AAEzF;;;;;GAKG;AACH,MAAa,sBAAsB;IAEjC;;;;OAIG;IACH,MAAM,CAAC,UAAU,CAAC,SAAiB;QACjC,IAAI,CAAC,SAAS,EAAE,CAAC;YACf,OAAO,SAAS,CAAC;QACnB,CAAC;QACD,KAAK,MAAM,OAAO,IAAI,uCAAoB,EAAE,CAAC;YAC3C,mFAAmF;YACnF,OAAO,CAAC,KAAK,CAAC,SAAS,GAAG,CAAC,CAAC;YAC5B,IAAI,OAAO,CAAC,KAAK,CAAC,IAAI,CAAC,SAAS,CAAC,EAAE,CAAC;gBAClC,OAAO,CAAC,KAAK,CAAC,SAAS,GAAG,CAAC,CAAC;gBAC5B,OAAO,OAAO,CAAC,IAAI,CAAC;YACtB,CAAC;QACH,CAAC;QACD,OAAO,SAAS,CAAC;IACnB,CAAC;IAED;;;;OAIG;IACH,MAAM,CAAC,aAAa,CAClB,SAAiB,EACjB,SAAkD,cAAc;QAEhE,MAAM,IAAI,GAAuB,IAAI,CAAC,UAAU,CAAC,SAAS,CAAC,CAAC;QAC5D,MAAM,SAAS,GAAW,SAAS,CAAC,CAAC,CAAC,SAAS,CAAC,MAAM,CAAC,CAAC,CAAC,CAAC,CAAC;QAC3D,MAAM,CAAC,GAAW,IAAI,CAAC,GAAG,CAAC,CAAC,EAAE,MAAM,CAAC,MAAM,CAAC,CAAC;QAC7C,MAAM,CAAC,GAAW,IAAI,CAAC,GAAG,CAAC,CAAC,EAAE,MAAM,CAAC,MAAM,CAAC,CAAC;QAE7C,IAAI,CAAC,SAAS,IAAI,CAAC,CAAC,KAAK,CAAC,IAAI,CAAC,KAAK,CAAC,CAAC,IAAI,SAAS,CAAC,MAAM,IAAI,CAAC,GAAG,CAAC,GAAG,CAAC,EAAE,CAAC;YACxE,OAAO,EAAE,aAAa,EAAE,KAAK,EAAE,SAAS,EAAE,SAAS,EAAE,IAAI,EAAE,IAAI,EAAE,CAAC;QACpE,CAAC;QAED,MAAM,IAAI,GAAW,SAAS,CAAC,KAAK,CAAC,CAAC,EAAE,CAAC,CAAC,CAAC;QAC3C,MAAM,IAAI,GAAW,SAAS,CAAC,KAAK,CAAC,SAAS,CAAC,MAAM,GAAG,CAAC,CAAC,CAAC;QAE3D,OAAO;YACL,aAAa,EAAE,GAAG,IAAI,MAAM,IAAI,EAAE;YAClC,SAAS,EAAE,SAAS;YACpB,IAAI,EAAE,IAAI;SACX,CAAC;IACJ,CAAC;IAED;;;;OAIG;IACH,MAAM,CAAC,KAAK,CAAC,GAKZ;QACC,MAAM,OAAO,GACX,IAAI,CAAC,aAAa,CAAC,GAAG,CAAC,SAAS,EAAE,GAAG,CAAC,MAAM,IAAI,cAAc,CAAC,CAAC;QAElE,OAAO,IAAI,+CAAiB,CAAC;YAC3B,KAAK,EAAE,GAAG,CAAC,KAAK;YAChB,IAAI,EAAE,OAAO,CAAC,IAAI;YAClB,aAAa,EAAE,OAAO,CAAC,aAAa;YACpC,SAAS,EAAE,OAAO,CAAC,SAAS;YAC5B,cAAc,EAAE,GAAG,CAAC,cAAc;YAClC,QAAQ,EAAE,IAAI;SACf,CAAC,CAAC;IACL,CAAC;CACF;AAzED,wDAyEC"}

package/build/_modules/security/_models/stored-secret.control-model.d.ts

@@ -0,0 +1,46 @@
+/**
+ * Univerzalis tarolt-secret forma (bedrock SSOT) a USER-SAJAT private API-kulcsok / titkos
+ * ertekek tarolasara — minden FDP-rendszer ugyanezt hasznalja, igy kozos eredetet kapnak
+ * (auth per-user AI-kulcs, Organizer user-kulcs, jovobeli).
+ *
+ * FONTOS scope: ez a forma a USER altal megadott sajat kulcsokra valo (ezek titkositva
+ * tarolodnak a `FDP_PRIVATE_API_KEY_CRYPT_KEY`-jel). Az FDP SAJAT rendszer-api-kulcsai NEM
+ * ezen at mennek — azok env-var-ok (nem titkositott DB-tarolas).
+ *
+ * A lenyeg: a secret-bol tarolaskor levezetheto egy ENCRYPT/DECRYPT NELKUL megjelenitheto
+ * azonosito-resz — egy `label` (a user altal beallithato nev) + egy `maskedPreview`
+ * (`<prefix>...<suffix>`) + a `kind` (detektalt fajta) + a `keyLength`. Igy a UI / a fogyasztok
+ * visszafejtes nelkul azonositjak MELYIK kulcs ez, anelkul hogy a nyers ertek valaha
+ * kliensre / logba kerulne.
+ *
+ * Az `encryptedValue` a titkositott nyers secret — KIZAROLAG szerver-oldalon. A titkositas
+ * kulcsa NEM ennek a bedrock-modellnek a felelossege (a host/auth adja a kulcsot a DyFM_Crypto-nak);
+ * itt csak a mar titkositott string tarolodik. A masked-mezoket a `DyFM_StoredSecret_Util`
+ * szamolja a nyers ertekbol.
+ *
+ * Embeddable control-model (NEM extends DyFM_Metadata) — provider-config-okba / kulcs-listakba agyazhato.
+ */
+export declare class DyFM_StoredSecret {
+    /**
+     * A user altal BEALLITHATO megjelenitendo nev (settable feature; a host/UI allitja be, pl.
+     * "OpenAI Production"). Decrypt nelkul megjelenitheto; tisztan ember-baratti azonositas.
+     */
+    label?: string;
+    /** A secret detektalt fajtaja a masking-patternek alapjan (pl. 'openai-key', 'anthropic-key', 'github-pat'). */
+    kind?: string;
+    /** Decrypt NELKUL megjelenitheto elonezet: `<prefix>...<suffix>` (pl. `sk-a...7890`). */
+    maskedPreview?: string;
+    /** A nyers secret hossza karakterben — decrypt nelkul megjelenitheto / validalashoz hasznos. */
+    keyLength?: number;
+    /**
+     * A titkositott nyers secret — KIZAROLAG szerver-oldalon. SOHA nem kerul kliensre / logba.
+     * A titkositas kulcsa NEM ennek a bedrock-modellnek a felelossege (a host/auth adja); itt csak
+     * a mar titkositott string tarolodik.
+     */
+    encryptedValue?: string;
+    isActive?: boolean;
+    expiresAt?: Date;
+    lastUsedAt?: Date;
+    constructor(set?: DyFM_StoredSecret);
+}
+//# sourceMappingURL=stored-secret.control-model.d.ts.map

package/build/_modules/security/_models/stored-secret.control-model.d.ts.map

@@ -0,0 +1 @@
+{"version":3,"file":"stored-secret.control-model.d.ts","sourceRoot":"","sources":["../../../../src/_modules/security/_models/stored-secret.control-model.ts"],"names":[],"mappings":"AAAA;;;;;;;;;;;;;;;;;;;;;GAqBG;AACH,qBAAa,iBAAiB;IAC5B;;;OAGG;IACH,KAAK,CAAC,EAAE,MAAM,CAAC;IAEf,gHAAgH;IAChH,IAAI,CAAC,EAAE,MAAM,CAAC;IAEd,yFAAyF;IACzF,aAAa,CAAC,EAAE,MAAM,CAAC;IAEvB,gGAAgG;IAChG,SAAS,CAAC,EAAE,MAAM,CAAC;IAEnB;;;;OAIG;IACH,cAAc,CAAC,EAAE,MAAM,CAAC;IAExB,QAAQ,CAAC,EAAE,OAAO,CAAC;IACnB,SAAS,CAAC,EAAE,IAAI,CAAC;IACjB,UAAU,CAAC,EAAE,IAAI,CAAC;gBAEN,GAAG,CAAC,EAAE,iBAAiB;CAKpC"}

package/build/_modules/security/_models/stored-secret.control-model.js

@@ -0,0 +1,54 @@
+"use strict";
+Object.defineProperty(exports, "__esModule", { value: true });
+exports.DyFM_StoredSecret = void 0;
+/**
+ * Univerzalis tarolt-secret forma (bedrock SSOT) a USER-SAJAT private API-kulcsok / titkos
+ * ertekek tarolasara — minden FDP-rendszer ugyanezt hasznalja, igy kozos eredetet kapnak
+ * (auth per-user AI-kulcs, Organizer user-kulcs, jovobeli).
+ *
+ * FONTOS scope: ez a forma a USER altal megadott sajat kulcsokra valo (ezek titkositva
+ * tarolodnak a `FDP_PRIVATE_API_KEY_CRYPT_KEY`-jel). Az FDP SAJAT rendszer-api-kulcsai NEM
+ * ezen at mennek — azok env-var-ok (nem titkositott DB-tarolas).
+ *
+ * A lenyeg: a secret-bol tarolaskor levezetheto egy ENCRYPT/DECRYPT NELKUL megjelenitheto
+ * azonosito-resz — egy `label` (a user altal beallithato nev) + egy `maskedPreview`
+ * (`<prefix>...<suffix>`) + a `kind` (detektalt fajta) + a `keyLength`. Igy a UI / a fogyasztok
+ * visszafejtes nelkul azonositjak MELYIK kulcs ez, anelkul hogy a nyers ertek valaha
+ * kliensre / logba kerulne.
+ *
+ * Az `encryptedValue` a titkositott nyers secret — KIZAROLAG szerver-oldalon. A titkositas
+ * kulcsa NEM ennek a bedrock-modellnek a felelossege (a host/auth adja a kulcsot a DyFM_Crypto-nak);
+ * itt csak a mar titkositott string tarolodik. A masked-mezoket a `DyFM_StoredSecret_Util`
+ * szamolja a nyers ertekbol.
+ *
+ * Embeddable control-model (NEM extends DyFM_Metadata) — provider-config-okba / kulcs-listakba agyazhato.
+ */
+class DyFM_StoredSecret {
+    /**
+     * A user altal BEALLITHATO megjelenitendo nev (settable feature; a host/UI allitja be, pl.
+     * "OpenAI Production"). Decrypt nelkul megjelenitheto; tisztan ember-baratti azonositas.
+     */
+    label;
+    /** A secret detektalt fajtaja a masking-patternek alapjan (pl. 'openai-key', 'anthropic-key', 'github-pat'). */
+    kind;
+    /** Decrypt NELKUL megjelenitheto elonezet: `<prefix>...<suffix>` (pl. `sk-a...7890`). */
+    maskedPreview;
+    /** A nyers secret hossza karakterben — decrypt nelkul megjelenitheto / validalashoz hasznos. */
+    keyLength;
+    /**
+     * A titkositott nyers secret — KIZAROLAG szerver-oldalon. SOHA nem kerul kliensre / logba.
+     * A titkositas kulcsa NEM ennek a bedrock-modellnek a felelossege (a host/auth adja); itt csak
+     * a mar titkositott string tarolodik.
+     */
+    encryptedValue;
+    isActive;
+    expiresAt;
+    lastUsedAt;
+    constructor(set) {
+        if (set) {
+            Object.assign(this, set);
+        }
+    }
+}
+exports.DyFM_StoredSecret = DyFM_StoredSecret;
+//# sourceMappingURL=stored-secret.control-model.js.map

package/build/_modules/security/_models/stored-secret.control-model.js.map

@@ -0,0 +1 @@
+{"version":3,"file":"stored-secret.control-model.js","sourceRoot":"","sources":["../../../../src/_modules/security/_models/stored-secret.control-model.ts"],"names":[],"mappings":";;;AAAA;;;;;;;;;;;;;;;;;;;;;GAqBG;AACH,MAAa,iBAAiB;IAC5B;;;OAGG;IACH,KAAK,CAAU;IAEf,gHAAgH;IAChH,IAAI,CAAU;IAEd,yFAAyF;IACzF,aAAa,CAAU;IAEvB,gGAAgG;IAChG,SAAS,CAAU;IAEnB;;;;OAIG;IACH,cAAc,CAAU;IAExB,QAAQ,CAAW;IACnB,SAAS,CAAQ;IACjB,UAAU,CAAQ;IAElB,YAAY,GAAuB;QACjC,IAAI,GAAG,EAAE,CAAC;YACR,MAAM,CAAC,MAAM,CAAC,IAAI,EAAE,GAAG,CAAC,CAAC;QAC3B,CAAC;IACH,CAAC;CACF;AAhCD,8CAgCC"}

package/build/_modules/security/index.d.ts

@@ -0,0 +1,4 @@
+export * from './_models/stored-secret.control-model';
+export * from './_collections/stored-secret.util';
+export * from '../../_collections/utils/secret-mask.util';
+//# sourceMappingURL=index.d.ts.map

package/build/_modules/security/index.d.ts.map

@@ -0,0 +1 @@
+{"version":3,"file":"index.d.ts","sourceRoot":"","sources":["../../../src/_modules/security/index.ts"],"names":[],"mappings":"AAIA,cAAc,uCAAuC,CAAC;AACtD,cAAc,mCAAmC,CAAC;AAGlD,cAAc,2CAA2C,CAAC"}

package/build/_modules/security/index.js

@@ -0,0 +1,11 @@
+"use strict";
+// security ("out + security alapok") modul — a titkos-ertek tarolas/maszkolas bedrock SSOT-ja.
+// Erre epit minden FDP-rendszer (auth per-user AI-kulcs, Organizer MCP-kulcs, rendszer-kulcsok):
+// kozos forma (DyFM_StoredSecret) + decrypt-nelkuli preview-derive + a meglevo secret-maszkolas.
+Object.defineProperty(exports, "__esModule", { value: true });
+const tslib_1 = require("tslib");
+tslib_1.__exportStar(require("./_models/stored-secret.control-model"), exports);
+tslib_1.__exportStar(require("./_collections/stored-secret.util"), exports);
+// a mar letezo univerzalis secret-maszkolas (log/output-redaction) is innen elerheto, egy helyrol
+tslib_1.__exportStar(require("../../_collections/utils/secret-mask.util"), exports);
+//# sourceMappingURL=index.js.map

package/build/_modules/security/index.js.map

@@ -0,0 +1 @@
+{"version":3,"file":"index.js","sourceRoot":"","sources":["../../../src/_modules/security/index.ts"],"names":[],"mappings":";AAAA,+FAA+F;AAC/F,iGAAiG;AACjG,iGAAiG;;;AAEjG,gFAAsD;AACtD,4EAAkD;AAElD,kGAAkG;AAClG,oFAA0D"}

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@futdevpro/fsm-dynamo",
-  "version": "01.16.10",
+  "version": "01.16.12",
   "description": "Full Stack Model Collection for Dynamic (NodeJS-Typescript) Framework called Dynamo, by Future Development Ltd.",
   "DyBu_settings": {
     "packageType": "full-stack-package",
@@ -152,6 +152,12 @@
       "types": "./build/_modules/pipe/index.d.ts",
       "typings": "./build/_modules/pipe/index.d.ts"
     },
+    "./security": {
+      "default": "./build/_modules/security/index.js",
+      "module": "./build/_modules/security/index.js",
+      "types": "./build/_modules/security/index.d.ts",
+      "typings": "./build/_modules/security/index.d.ts"
+    },
     "./socket": {
       "default": "./build/_modules/socket/index.js",
       "module": "./build/_modules/socket/index.js",
@@ -269,7 +275,7 @@
     "uuid": "11.1.0"
   },
   "devDependencies": {
-    "@futdevpro/dynamo-eslint": "1.15.16",
+    "@futdevpro/dynamo-eslint": "1.15.18",
     "@types/jasmine": "~4.3.5",
     "@typescript-eslint/eslint-plugin": "^8.41.0",
     "@typescript-eslint/parser": "^8.41.0",

package/src/_modules/security/_collections/stored-secret.util.spec.ts

@@ -0,0 +1,81 @@
+import { DyFM_StoredSecret } from '../_models/stored-secret.control-model';
+import { DyFM_StoredSecret_Util } from './stored-secret.util';
+
+describe('| DyFM_StoredSecret_Util', () => {
+
+  // valid-formatumu teszt-kulcsok (a DyFM_SECRET_PATTERNS-hez igazitva)
+  const openAiKey: string = 'sk-abcdefghij1234567890abcdefghij1234567890';
+  const anthropicKey: string = 'sk-ant-abcdefghij1234567890abcdefghij1234567890';
+  const githubPat: string = 'ghp_abcdefghij1234567890abcdefghij1234567890';
+
+  describe('| detectKind', () => {
+    it('| OpenAI kulcsot felismer', () => {
+      expect(DyFM_StoredSecret_Util.detectKind(openAiKey)).toBe('openai-key');
+    });
+
+    it('| Anthropic kulcsot felismer (a sk-ant- specifikusabb mint a sk-)', () => {
+      expect(DyFM_StoredSecret_Util.detectKind(anthropicKey)).toBe('anthropic-key');
+    });
+
+    it('| GitHub PAT-ot felismer', () => {
+      expect(DyFM_StoredSecret_Util.detectKind(githubPat)).toBe('github-pat');
+    });
+
+    it('| ismeretlen formatumra undefined', () => {
+      expect(DyFM_StoredSecret_Util.detectKind('not-a-known-secret-format')).toBeUndefined();
+    });
+
+    it('| ures inputra undefined', () => {
+      expect(DyFM_StoredSecret_Util.detectKind('')).toBeUndefined();
+    });
+  });
+
+  describe('| derivePreview', () => {
+    it('| normal kulcsbol maskedPreview + keyLength + kind', () => {
+      const preview = DyFM_StoredSecret_Util.derivePreview(openAiKey);
+      expect(preview.maskedPreview).toBe('sk-a...7890');
+      expect(preview.keyLength).toBe(openAiKey.length);
+      expect(preview.kind).toBe('openai-key');
+      // a nyers kulcs SOHA nem jelenik meg teljes egeszeben a preview-ban
+      expect(preview.maskedPreview).not.toContain('abcdefghij');
+    });
+
+    it('| tul rovid secret -> opaque preview, de keyLength megvan', () => {
+      const preview = DyFM_StoredSecret_Util.derivePreview('short');
+      expect(preview.maskedPreview).toBe('...');
+      expect(preview.keyLength).toBe(5);
+    });
+
+    it('| 0/0 reveal -> opaque', () => {
+      const preview = DyFM_StoredSecret_Util.derivePreview(openAiKey, { prefix: 0, suffix: 0 });
+      expect(preview.maskedPreview).toBe('...');
+    });
+
+    it('| ures input -> opaque + keyLength 0', () => {
+      const preview = DyFM_StoredSecret_Util.derivePreview('');
+      expect(preview.maskedPreview).toBe('...');
+      expect(preview.keyLength).toBe(0);
+      expect(preview.kind).toBeUndefined();
+    });
+  });
+
+  describe('| build', () => {
+    it('| osszeallit egy DyFM_StoredSecret-et a masked-reszekkel + encryptedValue-val', () => {
+      const secret: DyFM_StoredSecret = DyFM_StoredSecret_Util.build({
+        rawSecret: anthropicKey,
+        encryptedValue: 'ENCRYPTED-BLOB-xyz',
+        label: 'Anthropic Prod',
+      });
+
+      expect(secret.label).toBe('Anthropic Prod');
+      expect(secret.kind).toBe('anthropic-key');
+      expect(secret.maskedPreview).toBe('sk-a...7890');
+      expect(secret.keyLength).toBe(anthropicKey.length);
+      expect(secret.encryptedValue).toBe('ENCRYPTED-BLOB-xyz');
+      expect(secret.isActive).toBe(true);
+      // a nyers kulcs NINCS eltarolva a modellben (csak az encryptedValue + a masked-resz)
+      expect(JSON.stringify(secret)).not.toContain('abcdefghij');
+    });
+  });
+
+});

package/src/_modules/security/_collections/stored-secret.util.ts

@@ -0,0 +1,96 @@
+import {
+  DyFM_SECRET_PATTERNS,
+  DyFM_SecretMask_PartialReveal_Interface,
+} from '../../../_collections/utils/secret-mask.util';
+import { DyFM_StoredSecret } from '../_models/stored-secret.control-model';
+
+/** A levezetett, decrypt-nelkul megjelenitheto resz (a DyFM_StoredSecret masked-mezoi). */
+export interface DyFM_StoredSecret_Preview_Interface {
+  maskedPreview: string;
+  keyLength: number;
+  kind: string | undefined;
+}
+
+/** Default reveal — az elso 4 + utolso 4 karakter (egysegben a secret-mask util default-javal). */
+const DEFAULT_REVEAL: DyFM_SecretMask_PartialReveal_Interface = { prefix: 4, suffix: 4 };
+
+/**
+ * A DyFM_StoredSecret masked-reszenek levezetese egy USER-SAJAT nyers secret-bol — ENCRYPT/DECRYPT
+ * NELKUL megjelenitheto azonosito-reszt allit elo (`<prefix>...<suffix>` + a detektalt `kind` +
+ * a `keyLength`). A nyers ertek titkositasa NEM itt tortenik (a host/auth adja a kulcsot); ez a
+ * util csak a lathato reszt szamolja, hogy a UI / a fogyasztok visszafejtes nelkul azonositsanak.
+ */
+export class DyFM_StoredSecret_Util {
+
+  /**
+   * A secret fajtajanak detektalasa a kanonikus `DyFM_SECRET_PATTERNS`-szel (egysegesitett a
+   * masking-util kind-jeivel, pl. 'openai-key', 'anthropic-key', 'github-pat'). Az elso illeszkedo
+   * kind, vagy undefined ha egyik sem ismeri fel.
+   */
+  static detectKind(rawSecret: string): string | undefined {
+    if (!rawSecret) {
+      return undefined;
+    }
+    for (const pattern of DyFM_SECRET_PATTERNS) {
+      // a patternek global flag-esek (stateful lastIndex) — minden teszt elott nullazzuk
+      pattern.regex.lastIndex = 0;
+      if (pattern.regex.test(rawSecret)) {
+        pattern.regex.lastIndex = 0;
+        return pattern.kind;
+      }
+    }
+    return undefined;
+  }
+
+  /**
+   * A decrypt-nelkul megjelenitheto preview levezetese. Tul rovid secret-nel (vagy 0/0 reveal-nel)
+   * nem reveal-junk semmit (kulonben az egesz secret osszetapadhatna) — ilyenkor tisztan opaque
+   * `...` preview. A `keyLength` ettol fuggetlenul mindig a nyers hossz.
+   */
+  static derivePreview(
+    rawSecret: string,
+    reveal: DyFM_SecretMask_PartialReveal_Interface = DEFAULT_REVEAL,
+  ): DyFM_StoredSecret_Preview_Interface {
+    const kind: string | undefined = this.detectKind(rawSecret);
+    const keyLength: number = rawSecret ? rawSecret.length : 0;
+    const p: number = Math.max(0, reveal.prefix);
+    const s: number = Math.max(0, reveal.suffix);
+
+    if (!rawSecret || (p === 0 && s === 0) || rawSecret.length <= p + s + 4) {
+      return { maskedPreview: '...', keyLength: keyLength, kind: kind };
+    }
+
+    const head: string = rawSecret.slice(0, p);
+    const tail: string = rawSecret.slice(rawSecret.length - s);
+
+    return {
+      maskedPreview: `${head}...${tail}`,
+      keyLength: keyLength,
+      kind: kind,
+    };
+  }
+
+  /**
+   * Egy DyFM_StoredSecret osszeallitasa a USER-SAJAT nyers secret-bol — a masked-reszt levezeti,
+   * az `encryptedValue`-t a HIVO adja (a host/auth titkositja a `FDP_PRIVATE_API_KEY_CRYPT_KEY`-jel;
+   * a nyers ertek itt csak a preview-levezeteshez kell, NEM tarolodik el nyersen).
+   */
+  static build(set: {
+    rawSecret: string,
+    encryptedValue: string,
+    label?: string,
+    reveal?: DyFM_SecretMask_PartialReveal_Interface,
+  }): DyFM_StoredSecret {
+    const preview: DyFM_StoredSecret_Preview_Interface =
+      this.derivePreview(set.rawSecret, set.reveal ?? DEFAULT_REVEAL);
+
+    return new DyFM_StoredSecret({
+      label: set.label,
+      kind: preview.kind,
+      maskedPreview: preview.maskedPreview,
+      keyLength: preview.keyLength,
+      encryptedValue: set.encryptedValue,
+      isActive: true,
+    });
+  }
+}

package/src/_modules/security/_models/stored-secret.control-model.ts

@@ -0,0 +1,55 @@
+/**
+ * Univerzalis tarolt-secret forma (bedrock SSOT) a USER-SAJAT private API-kulcsok / titkos
+ * ertekek tarolasara — minden FDP-rendszer ugyanezt hasznalja, igy kozos eredetet kapnak
+ * (auth per-user AI-kulcs, Organizer user-kulcs, jovobeli).
+ *
+ * FONTOS scope: ez a forma a USER altal megadott sajat kulcsokra valo (ezek titkositva
+ * tarolodnak a `FDP_PRIVATE_API_KEY_CRYPT_KEY`-jel). Az FDP SAJAT rendszer-api-kulcsai NEM
+ * ezen at mennek — azok env-var-ok (nem titkositott DB-tarolas).
+ *
+ * A lenyeg: a secret-bol tarolaskor levezetheto egy ENCRYPT/DECRYPT NELKUL megjelenitheto
+ * azonosito-resz — egy `label` (a user altal beallithato nev) + egy `maskedPreview`
+ * (`<prefix>...<suffix>`) + a `kind` (detektalt fajta) + a `keyLength`. Igy a UI / a fogyasztok
+ * visszafejtes nelkul azonositjak MELYIK kulcs ez, anelkul hogy a nyers ertek valaha
+ * kliensre / logba kerulne.
+ *
+ * Az `encryptedValue` a titkositott nyers secret — KIZAROLAG szerver-oldalon. A titkositas
+ * kulcsa NEM ennek a bedrock-modellnek a felelossege (a host/auth adja a kulcsot a DyFM_Crypto-nak);
+ * itt csak a mar titkositott string tarolodik. A masked-mezoket a `DyFM_StoredSecret_Util`
+ * szamolja a nyers ertekbol.
+ *
+ * Embeddable control-model (NEM extends DyFM_Metadata) — provider-config-okba / kulcs-listakba agyazhato.
+ */
+export class DyFM_StoredSecret {
+  /**
+   * A user altal BEALLITHATO megjelenitendo nev (settable feature; a host/UI allitja be, pl.
+   * "OpenAI Production"). Decrypt nelkul megjelenitheto; tisztan ember-baratti azonositas.
+   */
+  label?: string;
+
+  /** A secret detektalt fajtaja a masking-patternek alapjan (pl. 'openai-key', 'anthropic-key', 'github-pat'). */
+  kind?: string;
+
+  /** Decrypt NELKUL megjelenitheto elonezet: `<prefix>...<suffix>` (pl. `sk-a...7890`). */
+  maskedPreview?: string;
+
+  /** A nyers secret hossza karakterben — decrypt nelkul megjelenitheto / validalashoz hasznos. */
+  keyLength?: number;
+
+  /**
+   * A titkositott nyers secret — KIZAROLAG szerver-oldalon. SOHA nem kerul kliensre / logba.
+   * A titkositas kulcsa NEM ennek a bedrock-modellnek a felelossege (a host/auth adja); itt csak
+   * a mar titkositott string tarolodik.
+   */
+  encryptedValue?: string;
+
+  isActive?: boolean;
+  expiresAt?: Date;
+  lastUsedAt?: Date;
+
+  constructor(set?: DyFM_StoredSecret) {
+    if (set) {
+      Object.assign(this, set);
+    }
+  }
+}

package/src/_modules/security/index.ts

@@ -0,0 +1,9 @@
+// security ("out + security alapok") modul — a titkos-ertek tarolas/maszkolas bedrock SSOT-ja.
+// Erre epit minden FDP-rendszer (auth per-user AI-kulcs, Organizer MCP-kulcs, rendszer-kulcsok):
+// kozos forma (DyFM_StoredSecret) + decrypt-nelkuli preview-derive + a meglevo secret-maszkolas.
+
+export * from './_models/stored-secret.control-model';
+export * from './_collections/stored-secret.util';
+
+// a mar letezo univerzalis secret-maszkolas (log/output-redaction) is innen elerheto, egy helyrol
+export * from '../../_collections/utils/secret-mask.util';