@futdevpro/nts-dynamo 1.15.145 → 1.15.151

package/.dynamo/logs/cicd-pipeline/status.json

@@ -1,7 +1,7 @@
 {
-  "pid": 29359,
-  "startedAt": "2026-08-19T10:50:54.256Z",
-  "startedAtMs": 1787136654256,
+  "pid": 3434,
+  "startedAt": "2026-08-22T10:06:08.665Z",
+  "startedAtMs": 1787393168665,
   "phase": "npm-publish",
   "pipelineComplete": false,
   "serverRunning": false,
@@ -10,63 +10,63 @@
   "steps": {
     "validate-secrets": {
       "status": "ok",
-      "startedAt": "2026-08-19T10:50:54.295Z",
+      "startedAt": "2026-08-22T10:06:08.682Z",
       "logLineStart": 2,
       "logLineEnd": 8,
-      "durationSec": 3.1
+      "durationSec": 2.3
     },
     "discord-start": {
       "status": "ok",
-      "startedAt": "2026-08-19T10:50:59.121Z",
+      "startedAt": "2026-08-22T10:06:11.955Z",
       "logLineStart": 9,
-      "logLineEnd": 14,
-      "durationSec": 5.8
+      "logLineEnd": 16,
+      "durationSec": 5
     },
     "pre-flight": {
       "status": "ok",
-      "startedAt": "2026-08-19T10:51:05.892Z",
-      "logLineStart": 15,
-      "logLineEnd": 17,
-      "durationSec": 2.3
+      "startedAt": "2026-08-22T10:06:17.944Z",
+      "logLineStart": 17,
+      "logLineEnd": 19,
+      "durationSec": 2.2
     },
     "install": {
       "status": "ok",
-      "startedAt": "2026-08-19T10:51:09.166Z",
-      "logLineStart": 18,
-      "logLineEnd": 191,
-      "durationSec": 148.5
+      "startedAt": "2026-08-22T10:06:21.154Z",
+      "logLineStart": 20,
+      "logLineEnd": 102,
+      "durationSec": 27.9
     },
     "check-dev-leftovers": {
       "status": "ok",
-      "startedAt": "2026-08-19T10:53:38.920Z",
-      "logLineStart": 192,
-      "logLineEnd": 199,
-      "durationSec": 7.4
+      "startedAt": "2026-08-22T10:06:50.006Z",
+      "logLineStart": 103,
+      "logLineEnd": 112,
+      "durationSec": 6.6
     },
     "build": {
       "status": "ok",
-      "startedAt": "2026-08-19T10:53:47.356Z",
-      "logLineStart": 200,
-      "logLineEnd": 201,
-      "durationSec": 35.5
+      "startedAt": "2026-08-22T10:06:57.613Z",
+      "logLineStart": 113,
+      "logLineEnd": 114,
+      "durationSec": 43.9
     },
     "test": {
       "status": "ok",
-      "startedAt": "2026-08-19T10:54:23.822Z",
-      "logLineStart": 202,
-      "logLineEnd": 3028,
-      "durationSec": 64.3,
+      "startedAt": "2026-08-22T10:07:42.487Z",
+      "logLineStart": 115,
+      "logLineEnd": 2877,
+      "durationSec": 67.1,
       "testSummary": {
-        "totalSpecs": 1699,
+        "totalSpecs": 1728,
         "failures": 0,
-        "passed": 1699,
-        "testDurationSec": 11.275
+        "passed": 1728,
+        "testDurationSec": 9.435
       }
     },
     "npm-publish": {
       "status": "running",
-      "startedAt": "2026-08-19T10:55:29.162Z",
-      "logLineStart": 3029,
+      "startedAt": "2026-08-22T10:08:50.633Z",
+      "logLineStart": 2878,
       "logLineEnd": null,
       "durationSec": null
     }

package/README.md

@@ -313,6 +313,22 @@ Persistence remains application-owned through explicit atomic adapters. Transpor
 credentials in URLs, logs, analytics or durable client storage. A consuming application must also apply its
 rate-limit, authorization, cookie/storage and audit-redaction policy at the API boundary.
 
+### Distributed rate limiting
+
+The `@futdevpro/nts-dynamo/rate-limit` entry point provides an atomic rate-limit boundary for HTTP services:
+
+- an exact sliding-window in-memory store for deterministic tests and explicitly single-instance development;
+- an application-owned shared-store contract for production deployments;
+- a production configuration gate that requires both shared persistence and explicit opaque subject/endpoint
+  extractors;
+- validated positive limits, windows and weighted request costs with stable, content-free failures;
+- trusted `req.ip` as the safe local default instead of reading caller-controlled forwarding headers directly;
+- explicit opportunistic local cleanup with no timer, polling loop or hidden background task.
+
+Production consumers must implement the shared store with one atomic permit decision across every application
+instance. They must derive non-sensitive, purpose-scoped bucket identifiers and must not persist or log raw IP
+addresses, credentials, email addresses or other request content as rate-limit keys.
+
 ### Privacy lifecycle
 
 The optional `@futdevpro/nts-dynamo/privacy-lifecycle` entry point provides the shared machinery for standalone

package/__documentations/2026-08-21-distributed-rate-limit-bfr-ctm-010.md

@@ -0,0 +1,59 @@
+# Dynamo NTS distributed rate-limit boundary
+
+**Contract:** `dynts-rate-limit/2`
+
+**Release candidate:** `@futdevpro/nts-dynamo@1.15.147`
+
+**Consumer trace:** `BFR-CTM-010`
+
+## Purpose
+
+This Bedrock boundary makes one rate-limit decision atomic across application processes while keeping persistence
+application-owned. It replaces the former process-local-only middleware behavior without adding a replaceable
+framework abstraction: consumers use the published `@futdevpro/nts-dynamo/rate-limit` types and middleware
+directly and provide the storage adapter required by their deployment.
+
+## Contract
+
+`DyNTS_RateLimit_Store_Interface.consume(...)` receives one opaque bucket key, the active limit and window, the
+positive request cost and a caller-supplied millisecond timestamp. It resolves one committed decision containing
+`allowed`, `remaining` and `resetAt`. A production host enables `requireSharedStore` and supplies:
+
+- a store advertising `storeKind: shared`;
+- an explicit opaque subject extractor;
+- an explicit stable endpoint-group extractor.
+
+Configuration fails closed when any of these requirements is absent. Runtime store exceptions and malformed
+store results become stable 503 errors without reflecting the bucket, the adapter exception or request content.
+Policy rejection remains a stable 429 and includes the committed reset interval in response headers.
+
+## Security and privacy properties
+
+- The middleware never reads `x-forwarded-for` directly. Its local default uses Express `req.ip`, whose proxy
+  trust policy belongs to the host; production still requires an explicit extractor.
+- Extractor exceptions, invalid callbacks, invalid clocks and malformed bucket components are converted to
+  content-free errors.
+- Limits, windows, costs, timestamps, bucket component lengths and store results have hard numeric/structural
+  bounds.
+- No raw storage key or adapter exception is placed in the generated error.
+- The shared-store interface carries opaque identifiers only. The consuming application is responsible for
+  purpose-scoped pseudonymization and retention.
+- The module starts no timer, cleanup loop, polling process or background task. Local cleanup is caller-triggered.
+
+## Semantics
+
+The provided in-memory implementation uses exact sliding-window timestamps. It exists for deterministic tests and
+explicitly single-instance development, not production. A shared implementation may use exact sliding-window
+semantics or a conservatively safe equivalent, but its read/prune/admit/write decision must be atomic. Concurrent
+requests for the final permit may produce exactly one successful decision.
+
+Weighted requests consume multiple permit units. An unsuccessful weighted request does not mutate the committed
+usage, so `remaining` can be positive but lower than the attempted cost.
+
+## Verification
+
+The focused Bedrock suite covers singleton behavior, forwarding-header spoof resistance, deterministic window
+reset, weighted cost, subject/endpoint isolation, headers, policy precedence, invalid configuration atomicity,
+the production shared-store gate, cross-instance state, concurrent final-permit behavior, non-reflective store
+failure, malformed store results and explicit timer-free cleanup. Full-package compilation, tests, lint, import and
+naming validation are release gates for the candidate.

package/__documentations/2026-08-22-npm-token-state-classifier.md

@@ -0,0 +1,92 @@
+# NPM-token állapot-osztályozó (FR-320)
+
+**Dátum:** 2026-08-22 · **Csomag:** `@futdevpro/nts-dynamo` ≥ `01.15.150` ·
+**Belépési pont:** `checkNpmToken()` + `classifyNpmTokenShape()` / `classifyNpmTokenProbe()`
+
+## 1. Miért kellett — a hibaosztály
+
+2026-08-20-án a flotta npm-tokenje **lejárt**, majd a pótlására beállított token **nem kapott
+írási / 2FA-bypass jogot**. A diagnózis **több napot és több kört** vitt el, mert az npm
+**létezés-elrejtést** alkalmaz privát csomagnál: a jogosulatlan kérésre **404**-et ad, nem 401-et.
+
+**Három külön képesség — mind ugyanazzal a hibakóddal bukik:**
+
+| képesség | hibás tokennel | amit az operator lát |
+|---|---|---|
+| olvasás (`GET /@scope%2fpkg`) | **404** | „nincs ilyen csomag" |
+| publikálás (`PUT /@scope%2fpkg`) | **404** | „nincs ilyen csomag" |
+| hitelesítés (`GET /-/whoami`) | **401** | ← az **egyetlen** egyértelmű jel |
+
+Emiatt a *„nincs ilyen csomag"*, a *„lejárt kulcs"* és a *„rossz jogú kulcs"* megkülönböztethetetlen
+volt. Élesben ez így nézett ki: `ERR_PNPM_FETCH_404` négy projektben, `npm-publish` némán bukva, és
+egy `PUT … 404`, **miközben ugyanaz a token olvasni tudta a csomagot**.
+
+## 2. A kulcs-diszkriminátor
+
+**Mindig a `/-/whoami`-val kell kezdeni.** Az **csomag-független**, ezért nem esik a 404-csapdába:
+
+- rossz / hiányzó token → **401**
+- érvényes token → **200** + `username`
+
+Csak ha ez 200, akkor értelmezhető bármilyen csomag-szintű 404 — és élő token mellett az **mindig
+jogosultság**, sosem hiányzó csomag.
+
+## 3. Megkülönböztetett állapotok
+
+| állapot | mit jelent | mérés |
+|---|---|---|
+| `missing` | nincs beállítva (env **és** `~/.npmrc`) | helyi, hálózat nélkül |
+| `malformed` | van érték, de nem token-alakú (idézőjel, whitespace, bemásolt `.npmrc`-sor) | helyi |
+| `invalid` | a registry elutasítja | whoami **401** |
+| `no-scope-access` | a token él, de a csomagra nincs joga | whoami 200 + csomag 404/403 |
+| `missing-publish-right` | olvas, de **publikálni nem tud** | whoami 200 + `EOTP`/`E403`/**`E404`** publish-hiba |
+| `ok` | érvényes és a vizsgált csomagot is eléri | whoami 200 + csomag 200 |
+| `unknown` | a próba el sem jutott a registryig | **nem** bizonyíték a token ellen |
+
+## 4. Amit szándékosan NEM ígér
+
+- A **2FA-bypass hiánya read-only próbával nem állapítható meg** — csak egy már elbukott publish
+  hibakódjából (`EOTP`). Ezért van opcionális `publishErrorCode` bemenet.
+- A **lejárt** és a **visszavont** token kívülről egyforma 401.
+- A token **élettartama** nem kérdezhető le.
+- **Granular** tokennél az npm a `readonly`/`automation` mezőket sem teszi közzé
+  (`GET /-/npm/v1/tokens` → 200, de a jogok nélkül) — mérve.
+
+## 5. Biztonság
+
+A **token értéke sosem kerül a kimenetbe** — sem logba, sem eredménybe. A helyi alak-ellenőrzés
+kizárólag minta-illesztés; külön teszt állítja, hogy nincs `cat /root/.npmrc` és nincs
+`echo $NPM_TOKEN`. A `.npmrc`-t **csak olvassuk** — létrehozni flotta-szintű hard rule tiltja.
+
+## 6. Használat
+
+```ts
+import { checkNpmToken, DyNTS_NpmTokenState } from '@futdevpro/nts-dynamo';
+
+const result = await checkNpmToken({ scopedPackage: '@futdevpro/cli-dynamo' });
+if (result.state !== DyNTS_NpmTokenState.ok) {
+  // result.detail = ember-olvasható magyarázat + a KÖVETKEZŐ LÉPÉS
+}
+```
+
+Token-feloldás prioritása: explicit paraméter → `NPM_TOKEN` env → `~/.npmrc`.
+
+## 7. Teszt
+
+27 spec. Élesben igazolva mindhárom ág: jó token → `ok` (whoami 200 + csomag 200), érvénytelen →
+`invalid` (401), rossz alak → `malformed`.
+
+**Két saját hibát a tesztek/mérés fogtak meg — mindkettő hamis negatív lett volna:**
+
+1. Az első változat **csak a `process.env.NPM_TOKEN`-t** nézte → a workstationon `missing`-et adott,
+   holott az npm ott működött (a token a `~/.npmrc`-ben áll). Épp a legfontosabb helyeken
+   (runner-konténer, hosztok) sült volna el, ahol a token szintén fájlban van.
+2. A host-összehasonlításnál csak az **egyik oldalt** normalizáltam, a `.npmrc` viszont **záró
+   perjellel** írja a hostot (`//registry.npmjs.org/`) → sosem illeszkedett.
+
+## 8. Kapcsolódó
+
+A lánc, ami emiatt állt: `install` (404) → `npm-publish` (💤/❌) → `trigger-runner-cli-hot-update`
+(💤) → **a runnereken befagyott a CLI**. Az automatizmus nem volt hibás, csak **blokkolt** — egyetlen
+ponton. Runner-oldali próba: `fdp-devops` FR-318/FR-319 (`POST /diag/runner/registry-auth` +
+a `fdp diag-all` `2b. RUNNER REGISTRY-AUTH` szekciója).

package/build/_collections/npm-token-check.util.d.ts

@@ -0,0 +1,139 @@
+/**
+ * FR-320 — NPM-TOKEN ALLAPOT-OSZTALYOZO (bedrock).
+ *
+ * MIERT KELLETT (2026-08-20..22, valos incidens): a flotta npm-tokenje lejart, majd egy olyan
+ * pot-token kerult be, aminek NEM volt 2FA-bypass joga. A kovetkezmeny NAPOKIG tartott es
+ * MINDENHOL `E404`-kent jelentkezett — privat csomagnal ugyanis az npm a jogosulatlan kerest
+ * 404-gyel utasitja el, NEM 401-gyel. Emiatt a "nincs ilyen csomag", a "lejart kulcs" es a
+ * "rossz jogu kulcs" MEGKULONBOZTETHETETLEN volt, es a diagnozis tobb kort vitt el.
+ *
+ * A KULCS-DISZKRIMINATOR: a `/-/whoami` vegpont NEM csomag-fuggo, ezert nem esik bele a privat-404
+ * elrejtesbe:
+ *   - token NELKUL / ROSSZ tokennel -> **401**
+ *   - ERVENYES tokennel             -> **200** + a felhasznalonev
+ * Innen a csomag-szintu proba mar ertelmezheto: ha a whoami OK, de a scope-olt csomag 404, akkor a
+ * token EL, csak nincs joga hozza.
+ *
+ * ⚠️ AMIT EZ NEM TUD MEGALLAPITANI (szandekosan kimondva, hogy ne igerjunk tobbet a valosagnal):
+ *   - a **2FA-bypass** hianya CSAK publikalaskor derul ki (`EOTP` hibakod) — read-only probaval nem;
+ *   - a **lejart** es a **visszavont** token kivulrol egyforman 401;
+ *   - a token **elettartama** nem kerdezheto le.
+ * Ezert a `publishErrorCode` opcionalis bemenet: ha egy publish mar elbukott, az `EOTP` alapjan
+ * ERRE is tudunk hatarozott allapotot mondani.
+ *
+ * A TOKEN ERTEKE SOSEM KERUL A KIMENETBE — sem logba, sem eredmenybe.
+ */
+/** Az npm-token megallapithato allapotai. */
+export declare enum DyNTS_NpmTokenState {
+    /** Nincs beallitva token (se env, se .npmrc). */
+    missing = "missing",
+    /** Van ertek, de nem npm-token alaku — jellemzoen elgepeles / rossz valtozo. */
+    malformed = "malformed",
+    /** A registry elutasitja (401): lejart, visszavont vagy egyszeruen rossz. */
+    invalid = "invalid",
+    /** A token EL (whoami OK), de a vizsgalt scope-hoz/csomaghoz NINCS joga. */
+    noScopeAccess = "no-scope-access",
+    /** A token el es olvas, de publikalasra nincs joga (2FA-bypass hianya — `EOTP`). */
+    missingPublishRight = "missing-publish-right",
+    /** Minden vizsgalt kepesseg rendben. */
+    ok = "ok",
+    /** A proba maga nem futott le (halozat/timeout) — NEM azonos azzal, hogy a token rossz. */
+    unknown = "unknown"
+}
+/** A helyi (halozat NELKULI) alak-ellenorzes eredmenye. */
+export declare enum DyNTS_NpmTokenShape {
+    missing = "missing",
+    malformed = "malformed",
+    plausible = "plausible"
+}
+/**
+ * PURE — a token ALAKJANAK ellenorzese, halozat nelkul.
+ *
+ * MIERT KULON LEPES: a "nincs beallitva" es a "rosszul beallitva" eseteket halozat nelkul, azonnal
+ * es egyertelmuen el lehet donteni — ezek a leggyakoribb operatori hibak (ures env-var, idezojelek
+ * bennragadtak, a `//registry…/:_authToken=` PREFIX is bemasolodott).
+ *
+ * Az npm mai token-alakjai `npm_`-mel kezdodnek (classic automation + granular). A regi, prefix
+ * nelkuli UUID-alaku tokenek MEG ervenyesek lehetnek, ezert azokat is `plausible`-nek vesszuk —
+ * inkabb engedunk at egy kesobb 401-et kapo tokent, mint hogy egy jot elutasitsunk.
+ */
+export declare function classifyNpmTokenShape(rawToken: string | undefined | null): DyNTS_NpmTokenShape;
+/**
+ * Publish-oldali npm-hibakodok, amik ELO token mellett JOGOSULTSAG-hianyt jelentenek.
+ *
+ * A lista SZANDEKOSAN tartalmazza az `E404`-et: az npm a `PUT` (publish) kerest is 404-gyel
+ * utasitja el, ha a tokennek nincs irasi joga a csomagra. Elo token mellett ez SOSEM jelentheti,
+ * hogy a csomag hianyzik — hiszen olvasni tudtuk.
+ */
+export declare const PUBLISH_RIGHT_ERROR_CODES: string[];
+/** A halozati proba nyers bemenete (a `classifyNpmTokenProbe` szamara). */
+export interface DyNTS_NpmTokenProbe_Input {
+    /** A `/-/whoami` HTTP-statusza. `null`, ha a hivas el sem jutott a szerverig. */
+    whoamiStatus: number | null;
+    /** Egy SCOPE-olt (jellemzoen privat) csomag metaadat-lekeresenek statusza; `undefined` = nem mertuk. */
+    scopedPackageStatus?: number;
+    /** Ha egy publish MAR elbukott, annak npm-hibakodja (pl. `EOTP`, `E403`); `undefined` = nem mertuk. */
+    publishErrorCode?: string;
+}
+/**
+ * PURE — a halozati valaszokbol allapot.
+ *
+ * A sorrend SZANDEKOS: a `whoami` az egyetlen csomag-fuggetlen jel, ezert az dont eloszor. Csak
+ * utana ertelmezheto a csomag-szintu 404 — kulonben ugyanaz a 404 jelentene "nincs ilyen csomag"-ot
+ * es "rossz kulcs"-ot is, ami epp a 2026-08-i incidens diagnozisat huzta el.
+ */
+export declare function classifyNpmTokenProbe(input: DyNTS_NpmTokenProbe_Input): DyNTS_NpmTokenState;
+/**
+ * PURE — ember-olvashato magyarazat + a KOVETKEZO LEPES. A puszta allapot-cimke keves: az operator
+ * azt akarja tudni, mit tegyen.
+ */
+export declare function describeNpmTokenState(state: DyNTS_NpmTokenState): string;
+/** A teljes ellenorzes eredmenye. A token ERTEKE sosem szerepel benne. */
+export interface DyNTS_NpmTokenCheck_Result {
+    state: DyNTS_NpmTokenState;
+    /** A `/-/whoami` altal visszaadott felhasznalonev, ha a token ervenyes. */
+    username: string | null;
+    /** Ember-olvashato magyarazat + kovetkezo lepes. */
+    detail: string;
+    /** Amit tenylegesen mertunk (diagnosztikahoz). */
+    probe: DyNTS_NpmTokenProbe_Input;
+}
+/** A `checkNpmToken` bemenete. */
+export interface DyNTS_NpmTokenCheck_Options {
+    /** A vizsgalando token. Ha nincs megadva, a `process.env.NPM_TOKEN`-t hasznaljuk. */
+    token?: string;
+    /** Registry-alap. Default: a publikus npm. */
+    registry?: string;
+    /**
+     * Egy SCOPE-olt csomag, amin a jogosultsagot merjuk (pl. `@futdevpro/cli-dynamo`).
+     * Ha nincs megadva, csak a whoami fut le.
+     */
+    scopedPackage?: string;
+    /** Ha egy publish mar elbukott, annak npm-hibakodja — igy a 2FA-bypass hianya is besorolhato. */
+    publishErrorCode?: string;
+    /** Halozati timeout (ms). Default: 10000. */
+    timeoutMs?: number;
+}
+/**
+ * PURE — token kinyerese egy `.npmrc` TARTALMABOL.
+ *
+ * MIERT KELL: az elso valtozat CSAK a `process.env.NPM_TOKEN`-t nezte, es ezert a sajat
+ * workstationomon `missing`-et adott — HOLOTT az npm ott tokeletesen mukodott, mert a token a
+ * `~/.npmrc`-ben all. Ez HAMIS NEGATIV, es epp a legfontosabb helyeken (runner-kontener, hosztok)
+ * sulna el, ahol a token szinten FAJLBAN van.
+ *
+ * A `.npmrc`-t csak OLVASSUK — letrehozni tilos (flotta-szintu hard rule).
+ */
+export declare function extractTokenFromNpmrc(content: string, registry?: string): string | null;
+/**
+ * A token feloldasa a szokasos helyekrol, PRIORITAS szerint:
+ *   1. explicit parameter, 2. `NPM_TOKEN` env, 3. a felhasznaloi `~/.npmrc`.
+ * Sose dob; ha egyik sincs, ures stringet ad.
+ */
+export declare function resolveNpmToken(explicit: string | undefined, registry: string): string;
+/**
+ * A tenyleges ellenorzes. SOSE dob — a hibat allapotkent adja vissza (a token-ellenorzes nem
+ * buktathat meg semmit, amibe beepitjuk).
+ */
+export declare function checkNpmToken(options?: DyNTS_NpmTokenCheck_Options): Promise<DyNTS_NpmTokenCheck_Result>;
+//# sourceMappingURL=npm-token-check.util.d.ts.map

package/build/_collections/npm-token-check.util.d.ts.map

@@ -0,0 +1 @@
+{"version":3,"file":"npm-token-check.util.d.ts","sourceRoot":"","sources":["../../src/_collections/npm-token-check.util.ts"],"names":[],"mappings":"AAMA;;;;;;;;;;;;;;;;;;;;;;;;GAwBG;AAEH,6CAA6C;AAC7C,oBAAY,mBAAmB;IAC7B,iDAAiD;IACjD,OAAO,YAAY;IACnB,gFAAgF;IAChF,SAAS,cAAc;IACvB,6EAA6E;IAC7E,OAAO,YAAY;IACnB,4EAA4E;IAC5E,aAAa,oBAAoB;IACjC,oFAAoF;IACpF,mBAAmB,0BAA0B;IAC7C,wCAAwC;IACxC,EAAE,OAAO;IACT,2FAA2F;IAC3F,OAAO,YAAY;CACpB;AAED,2DAA2D;AAC3D,oBAAY,mBAAmB;IAC7B,OAAO,YAAY;IACnB,SAAS,cAAc;IACvB,SAAS,cAAc;CACxB;AAED;;;;;;;;;;GAUG;AACH,wBAAgB,qBAAqB,CAAC,QAAQ,EAAE,MAAM,GAAG,SAAS,GAAG,IAAI,GAAG,mBAAmB,CAc9F;AAED;;;;;;GAMG;AACH,eAAO,MAAM,yBAAyB,EAAE,MAAM,EAA6B,CAAC;AAE5E,2EAA2E;AAC3E,MAAM,WAAW,yBAAyB;IACxC,iFAAiF;IACjF,YAAY,EAAE,MAAM,GAAG,IAAI,CAAC;IAC5B,wGAAwG;IACxG,mBAAmB,CAAC,EAAE,MAAM,CAAC;IAC7B,uGAAuG;IACvG,gBAAgB,CAAC,EAAE,MAAM,CAAC;CAC3B;AAED;;;;;;GAMG;AACH,wBAAgB,qBAAqB,CAAC,KAAK,EAAE,yBAAyB,GAAG,mBAAmB,CAgC3F;AAED;;;GAGG;AACH,wBAAgB,qBAAqB,CAAC,KAAK,EAAE,mBAAmB,GAAG,MAAM,CAsBxE;AAED,0EAA0E;AAC1E,MAAM,WAAW,0BAA0B;IACzC,KAAK,EAAE,mBAAmB,CAAC;IAC3B,2EAA2E;IAC3E,QAAQ,EAAE,MAAM,GAAG,IAAI,CAAC;IACxB,oDAAoD;IACpD,MAAM,EAAE,MAAM,CAAC;IACf,kDAAkD;IAClD,KAAK,EAAE,yBAAyB,CAAC;CAClC;AAED,kCAAkC;AAClC,MAAM,WAAW,2BAA2B;IAC1C,qFAAqF;IACrF,KAAK,CAAC,EAAE,MAAM,CAAC;IACf,8CAA8C;IAC9C,QAAQ,CAAC,EAAE,MAAM,CAAC;IAClB;;;OAGG;IACH,aAAa,CAAC,EAAE,MAAM,CAAC;IACvB,iGAAiG;IACjG,gBAAgB,CAAC,EAAE,MAAM,CAAC;IAC1B,6CAA6C;IAC7C,SAAS,CAAC,EAAE,MAAM,CAAC;CACpB;AAED;;;;;;;;;GASG;AACH,wBAAgB,qBAAqB,CAAC,OAAO,EAAE,MAAM,EAAE,QAAQ,GAAE,MAAyB,GAAG,MAAM,GAAG,IAAI,CAiBzG;AAED;;;;GAIG;AACH,wBAAgB,eAAe,CAAC,QAAQ,EAAE,MAAM,GAAG,SAAS,EAAE,QAAQ,EAAE,MAAM,GAAG,MAAM,CActF;AAsBD;;;GAGG;AACH,wBAAsB,aAAa,CACjC,OAAO,GAAE,2BAAgC,GACxC,OAAO,CAAC,0BAA0B,CAAC,CAkDrC"}