@futdevpro/nts-dynamo 1.15.155 → 1.15.156

package/build/_collections/client-safe-error.util.js

@@ -1,97 +1,97 @@
-"use strict";
-Object.defineProperty(exports, "__esModule", { value: true });
-exports.DyNTS_ClientSafeError_Util = void 0;
-const fsm_dynamo_1 = require("@futdevpro/fsm-dynamo");
-const global_settings_const_1 = require("./global-settings.const");
-/**
- * Kliens-safe error-body SSOT (BFR-FDPAUTHSERVICE-002 — error-response info-disclosure fix).
- *
- * A DyFM_Error HTTP-response-ba szerializálásakor a belső diagnosztikai mezők NEM mehetnek ki a
- * kliensre — env-FÜGGETLENÜL (a korábbi prod-only strip a test/dev környezetben TELJES leaket
- * hagyott: `__localStack` stack-trace, `___systemVersion`, issuer-lánc). A strip-szabályok:
- *
- *   1. MINDIG ki (env-független, kliens sehol nem fogyasztja → 0 regresszió):
- *      `__localStack`, `stack`, `___systemVersion`, `___issuer`, `___issuerSystem`,
- *      `___issuerService`, `confidentialContent`, `error`, `errors` (a nyers belső error-lánc
- *      stack-eket hordoz), `_messages` (QA2-005: technikai message-lánc — belső URL-ek, DB-hibák).
- *   2. CSAK prod-ban ki: `additionalContent` — test/dev környezetben a diagnosztikai state-snapshot
- *      szándékosan kimegy (a hibafelület-debug erre épül), prod-ban nem. KIVÉTEL (QA2-005):
- *      az `additionalContent.requestDebug` (FR-071 header-lista/belső-IP snapshot) env-FÜGGETLENÜL
- *      strip-elve — csak az error-store-ba perzisztálódik.
- *   3. MARAD (kliens-kompatibilitás — a FDP-kliens error-interceptorok fogyasztják):
- *      `_message`, `_errorCodes`, `__userMessage`, `___status`, `level`. QA2-005: a `_message`
- *      TARTALMA a user-safe `__userMessage`-re cserélve (a technikai üzenet — belső BE-BE URL,
- *      nyers Mongo E11000 — nem hagyhatja el a szervert; a mező-ALAK a kliens-kompat miatt marad).
- *
- * NEM-DyFM error (plain Error / axios-error / bármi más): minimál `{ message }` shape — a plain
- * Error eddig is üres `{}`-ként szerializálódott (non-enumerable mezők), az axios-jellegű error-ok
- * viszont enumerable config/request mezőkben auth-headert is szivárogtathatnak → fail-safe minimál.
- *
- * ⚠️ A metódus MUTÁLJA a kapott DyFM_Error-t (a meglévő endpoint-strip precedensét követve) —
- * a hívási pont a response-küldés, ahol az error-objektum életciklusa véget ér.
- */
-class DyNTS_ClientSafeError_Util {
-    /** A MINDIG strip-elendő DyFM-mezők (env-független — kliens-fogyasztás nélküli leak-vektorok). */
-    static alwaysStripKeys = [
-        '__localStack',
-        'stack',
-        '___systemVersion',
-        '___issuer',
-        '___issuerSystem',
-        '___issuerService',
-        'confidentialContent',
-        'error',
-        'errors',
-        // QA2-005 (dynamo-builder MP-23 QA-gate, 2026-07-18): a technikai message-LÁNC — belső BE-BE
-        // URL-eket (pl. http://auth-service:39005/...), nyers DB-driver-hibákat (Mongo E11000) hordoz;
-        // a kliens nem fogyasztja (a display-lánc `__userMessage` → `_message`), az error-store-ban marad.
-        '_messages',
-    ];
-    /** QA2-005 — generikus `_message` fallback, ha az errornak nincs `__userMessage`-e. */
-    static genericClientMessage = 'An internal error occurred.\nPlease contact the responsible development team.';
-    /**
-     * Az error kliens-safe formára hozása a HTTP-response-küldés előtt.
-     * DyFM_Error: in-place strip (1-3. szabályok szerint); nem-DyFM object: minimál `{ message }`.
-     */
-    static toClientSafe(error) {
-        // DyFM_Error: célzott mező-strip, a kliens-fogyasztott mezők megtartásával
-        if (fsm_dynamo_1.DyFM_Error.isDyFMError(error)) {
-            const dyError = error;
-            for (const key of DyNTS_ClientSafeError_Util.alwaysStripKeys) {
-                delete dyError[key];
-            }
-            // ═══════════════════════════════════════════════════════════════════════
-            // QA2-005 — info-disclosure vágás env-FÜGGETLENÜL (test-env-ben SEM mehet ki):
-            //   a) `_message` (technikai üzenet): belső BE-BE URL-t / nyers Mongo-hibát hordozhat →
-            //      a response-ban a user-safe `__userMessage`-dzsel helyettesítjük. A mező ALAKJA
-            //      megmarad (a kliens-interceptorok / `DyFM_extractErrorMessage` fallback-lánca és a
-            //      `_message`-jelenlét-heurisztikák változatlanul működnek); a TELJES technikai üzenet
-            //      az error-store-ban marad (a globalErrorHandler a strip ELŐTT perzisztál).
-            //   b) `additionalContent.requestDebug` (FR-071 request-snapshot: header-kulcs-lista,
-            //      belső IP, params/query): csak az error-store-ba — a response-ból mindig kimarad;
-            //      az additionalContent TÖBBI (app-szintű diagnosztikai) mezője non-prod env-ben marad.
-            // ═══════════════════════════════════════════════════════════════════════
-            const userMessage = dyError['__userMessage'];
-            dyError['_message'] = (typeof userMessage === 'string' && userMessage)
-                ? userMessage
-                : DyNTS_ClientSafeError_Util.genericClientMessage;
-            const additionalContent = dyError['additionalContent'];
-            if (additionalContent && typeof additionalContent === 'object') {
-                delete additionalContent['requestDebug'];
-            }
-            // prod: a diagnosztikai state-snapshot sem megy ki; test/dev: szándékosan marad (debug-UX)
-            if (global_settings_const_1.DyNTS_global_settings.env_settings.environment === fsm_dynamo_1.DyFM_EnvironmentFlag.prod) {
-                delete dyError['additionalContent'];
-            }
-            return error;
-        }
-        // nem-DyFM object-error (plain/axios/egyéb): fail-safe minimál shape — a nyers objektum
-        // enumerable mezői (pl. axios config.headers) szivárogtathatnak
-        if (error && typeof error === 'object') {
-            return { message: error.message ?? 'Internal server error' };
-        }
-        return error;
-    }
-}
-exports.DyNTS_ClientSafeError_Util = DyNTS_ClientSafeError_Util;
+"use strict";
+Object.defineProperty(exports, "__esModule", { value: true });
+exports.DyNTS_ClientSafeError_Util = void 0;
+const fsm_dynamo_1 = require("@futdevpro/fsm-dynamo");
+const global_settings_const_1 = require("./global-settings.const");
+/**
+ * Kliens-safe error-body SSOT (BFR-FDPAUTHSERVICE-002 — error-response info-disclosure fix).
+ *
+ * A DyFM_Error HTTP-response-ba szerializálásakor a belső diagnosztikai mezők NEM mehetnek ki a
+ * kliensre — env-FÜGGETLENÜL (a korábbi prod-only strip a test/dev környezetben TELJES leaket
+ * hagyott: `__localStack` stack-trace, `___systemVersion`, issuer-lánc). A strip-szabályok:
+ *
+ *   1. MINDIG ki (env-független, kliens sehol nem fogyasztja → 0 regresszió):
+ *      `__localStack`, `stack`, `___systemVersion`, `___issuer`, `___issuerSystem`,
+ *      `___issuerService`, `confidentialContent`, `error`, `errors` (a nyers belső error-lánc
+ *      stack-eket hordoz), `_messages` (QA2-005: technikai message-lánc — belső URL-ek, DB-hibák).
+ *   2. CSAK prod-ban ki: `additionalContent` — test/dev környezetben a diagnosztikai state-snapshot
+ *      szándékosan kimegy (a hibafelület-debug erre épül), prod-ban nem. KIVÉTEL (QA2-005):
+ *      az `additionalContent.requestDebug` (FR-071 header-lista/belső-IP snapshot) env-FÜGGETLENÜL
+ *      strip-elve — csak az error-store-ba perzisztálódik.
+ *   3. MARAD (kliens-kompatibilitás — a FDP-kliens error-interceptorok fogyasztják):
+ *      `_message`, `_errorCodes`, `__userMessage`, `___status`, `level`. QA2-005: a `_message`
+ *      TARTALMA a user-safe `__userMessage`-re cserélve (a technikai üzenet — belső BE-BE URL,
+ *      nyers Mongo E11000 — nem hagyhatja el a szervert; a mező-ALAK a kliens-kompat miatt marad).
+ *
+ * NEM-DyFM error (plain Error / axios-error / bármi más): minimál `{ message }` shape — a plain
+ * Error eddig is üres `{}`-ként szerializálódott (non-enumerable mezők), az axios-jellegű error-ok
+ * viszont enumerable config/request mezőkben auth-headert is szivárogtathatnak → fail-safe minimál.
+ *
+ * ⚠️ A metódus MUTÁLJA a kapott DyFM_Error-t (a meglévő endpoint-strip precedensét követve) —
+ * a hívási pont a response-küldés, ahol az error-objektum életciklusa véget ér.
+ */
+class DyNTS_ClientSafeError_Util {
+    /** A MINDIG strip-elendő DyFM-mezők (env-független — kliens-fogyasztás nélküli leak-vektorok). */
+    static alwaysStripKeys = [
+        '__localStack',
+        'stack',
+        '___systemVersion',
+        '___issuer',
+        '___issuerSystem',
+        '___issuerService',
+        'confidentialContent',
+        'error',
+        'errors',
+        // QA2-005 (dynamo-builder MP-23 QA-gate, 2026-07-18): a technikai message-LÁNC — belső BE-BE
+        // URL-eket (pl. http://auth-service:39005/...), nyers DB-driver-hibákat (Mongo E11000) hordoz;
+        // a kliens nem fogyasztja (a display-lánc `__userMessage` → `_message`), az error-store-ban marad.
+        '_messages',
+    ];
+    /** QA2-005 — generikus `_message` fallback, ha az errornak nincs `__userMessage`-e. */
+    static genericClientMessage = 'An internal error occurred.\nPlease contact the responsible development team.';
+    /**
+     * Az error kliens-safe formára hozása a HTTP-response-küldés előtt.
+     * DyFM_Error: in-place strip (1-3. szabályok szerint); nem-DyFM object: minimál `{ message }`.
+     */
+    static toClientSafe(error) {
+        // DyFM_Error: célzott mező-strip, a kliens-fogyasztott mezők megtartásával
+        if (fsm_dynamo_1.DyFM_Error.isDyFMError(error)) {
+            const dyError = error;
+            for (const key of DyNTS_ClientSafeError_Util.alwaysStripKeys) {
+                delete dyError[key];
+            }
+            // ═══════════════════════════════════════════════════════════════════════
+            // QA2-005 — info-disclosure vágás env-FÜGGETLENÜL (test-env-ben SEM mehet ki):
+            //   a) `_message` (technikai üzenet): belső BE-BE URL-t / nyers Mongo-hibát hordozhat →
+            //      a response-ban a user-safe `__userMessage`-dzsel helyettesítjük. A mező ALAKJA
+            //      megmarad (a kliens-interceptorok / `DyFM_extractErrorMessage` fallback-lánca és a
+            //      `_message`-jelenlét-heurisztikák változatlanul működnek); a TELJES technikai üzenet
+            //      az error-store-ban marad (a globalErrorHandler a strip ELŐTT perzisztál).
+            //   b) `additionalContent.requestDebug` (FR-071 request-snapshot: header-kulcs-lista,
+            //      belső IP, params/query): csak az error-store-ba — a response-ból mindig kimarad;
+            //      az additionalContent TÖBBI (app-szintű diagnosztikai) mezője non-prod env-ben marad.
+            // ═══════════════════════════════════════════════════════════════════════
+            const userMessage = dyError['__userMessage'];
+            dyError['_message'] = (typeof userMessage === 'string' && userMessage)
+                ? userMessage
+                : DyNTS_ClientSafeError_Util.genericClientMessage;
+            const additionalContent = dyError['additionalContent'];
+            if (additionalContent && typeof additionalContent === 'object') {
+                delete additionalContent['requestDebug'];
+            }
+            // prod: a diagnosztikai state-snapshot sem megy ki; test/dev: szándékosan marad (debug-UX)
+            if (global_settings_const_1.DyNTS_global_settings.env_settings.environment === fsm_dynamo_1.DyFM_EnvironmentFlag.prod) {
+                delete dyError['additionalContent'];
+            }
+            return error;
+        }
+        // nem-DyFM object-error (plain/axios/egyéb): fail-safe minimál shape — a nyers objektum
+        // enumerable mezői (pl. axios config.headers) szivárogtathatnak
+        if (error && typeof error === 'object') {
+            return { message: error.message ?? 'Internal server error' };
+        }
+        return error;
+    }
+}
+exports.DyNTS_ClientSafeError_Util = DyNTS_ClientSafeError_Util;
 //# sourceMappingURL=client-safe-error.util.js.map

package/build/_collections/default-fallback-cache-max-age.const.d.ts

@@ -1,3 +1,3 @@
-/** SPA fallback (pl. index.html) alapértelmezett cache max-age másodpercben (0 = ne cache-eljük). */
-export declare const DyNTS_defaultFallbackCacheMaxAge: number;
+/** SPA fallback (pl. index.html) alapértelmezett cache max-age másodpercben (0 = ne cache-eljük). */
+export declare const DyNTS_defaultFallbackCacheMaxAge: number;
 //# sourceMappingURL=default-fallback-cache-max-age.const.d.ts.map

package/build/_collections/default-fallback-cache-max-age.const.js

@@ -1,6 +1,6 @@
-"use strict";
-Object.defineProperty(exports, "__esModule", { value: true });
-exports.DyNTS_defaultFallbackCacheMaxAge = void 0;
-/** SPA fallback (pl. index.html) alapértelmezett cache max-age másodpercben (0 = ne cache-eljük). */
-exports.DyNTS_defaultFallbackCacheMaxAge = 0;
+"use strict";
+Object.defineProperty(exports, "__esModule", { value: true });
+exports.DyNTS_defaultFallbackCacheMaxAge = void 0;
+/** SPA fallback (pl. index.html) alapértelmezett cache max-age másodpercben (0 = ne cache-eljük). */
+exports.DyNTS_defaultFallbackCacheMaxAge = 0;
 //# sourceMappingURL=default-fallback-cache-max-age.const.js.map

package/build/_collections/default-not-found-page.const.d.ts

@@ -1,6 +1,6 @@
-/**
- * Alapértelmezett "Page not found" (404) HTML, amit a static client default fallbackjaként
- * szolgálunk ki, ha nincs fallbackPath (nem-SPA mód) és a kérés nem egy létező static fájlra mutat.
- */
-export declare const DyNTS_defaultNotFoundPageHtml: string;
+/**
+ * Alapértelmezett "Page not found" (404) HTML, amit a static client default fallbackjaként
+ * szolgálunk ki, ha nincs fallbackPath (nem-SPA mód) és a kérés nem egy létező static fájlra mutat.
+ */
+export declare const DyNTS_defaultNotFoundPageHtml: string;
 //# sourceMappingURL=default-not-found-page.const.d.ts.map

package/build/_collections/default-not-found-page.const.js

@@ -1,25 +1,25 @@
-"use strict";
-Object.defineProperty(exports, "__esModule", { value: true });
-exports.DyNTS_defaultNotFoundPageHtml = void 0;
-/**
- * Alapértelmezett "Page not found" (404) HTML, amit a static client default fallbackjaként
- * szolgálunk ki, ha nincs fallbackPath (nem-SPA mód) és a kérés nem egy létező static fájlra mutat.
- */
-exports.DyNTS_defaultNotFoundPageHtml = '<!DOCTYPE html>\n' +
-    '<html lang="en">\n' +
-    '<head>\n' +
-    '  <meta charset="utf-8">\n' +
-    '  <meta name="viewport" content="width=device-width, initial-scale=1">\n' +
-    '  <title>Page not found</title>\n' +
-    '  <style>\n' +
-    '    body { font-family: system-ui, sans-serif; margin: 2rem; text-align: center; }\n' +
-    '    h1 { font-size: 1.5rem; color: #333; }\n' +
-    '    p { color: #666; }\n' +
-    '  </style>\n' +
-    '</head>\n' +
-    '<body>\n' +
-    '  <h1>Page not found</h1>\n' +
-    '  <p>The requested resource could not be found.</p>\n' +
-    '</body>\n' +
-    '</html>\n';
+"use strict";
+Object.defineProperty(exports, "__esModule", { value: true });
+exports.DyNTS_defaultNotFoundPageHtml = void 0;
+/**
+ * Alapértelmezett "Page not found" (404) HTML, amit a static client default fallbackjaként
+ * szolgálunk ki, ha nincs fallbackPath (nem-SPA mód) és a kérés nem egy létező static fájlra mutat.
+ */
+exports.DyNTS_defaultNotFoundPageHtml = '<!DOCTYPE html>\n' +
+    '<html lang="en">\n' +
+    '<head>\n' +
+    '  <meta charset="utf-8">\n' +
+    '  <meta name="viewport" content="width=device-width, initial-scale=1">\n' +
+    '  <title>Page not found</title>\n' +
+    '  <style>\n' +
+    '    body { font-family: system-ui, sans-serif; margin: 2rem; text-align: center; }\n' +
+    '    h1 { font-size: 1.5rem; color: #333; }\n' +
+    '    p { color: #666; }\n' +
+    '  </style>\n' +
+    '</head>\n' +
+    '<body>\n' +
+    '  <h1>Page not found</h1>\n' +
+    '  <p>The requested resource could not be found.</p>\n' +
+    '</body>\n' +
+    '</html>\n';
 //# sourceMappingURL=default-not-found-page.const.js.map

package/build/_collections/default-socket-path.const.d.ts

@@ -1,3 +1,3 @@
-/** Default Socket.IO path, ha a portSettings.socketPath nincs megadva. */
-export declare const DyNTS_defaultSocketPath: string;
+/** Default Socket.IO path, ha a portSettings.socketPath nincs megadva. */
+export declare const DyNTS_defaultSocketPath: string;
 //# sourceMappingURL=default-socket-path.const.d.ts.map

package/build/_collections/default-socket-path.const.js

@@ -1,6 +1,6 @@
-"use strict";
-Object.defineProperty(exports, "__esModule", { value: true });
-exports.DyNTS_defaultSocketPath = void 0;
-/** Default Socket.IO path, ha a portSettings.socketPath nincs megadva. */
-exports.DyNTS_defaultSocketPath = '/socket';
+"use strict";
+Object.defineProperty(exports, "__esModule", { value: true });
+exports.DyNTS_defaultSocketPath = void 0;
+/** Default Socket.IO path, ha a portSettings.socketPath nincs megadva. */
+exports.DyNTS_defaultSocketPath = '/socket';
 //# sourceMappingURL=default-socket-path.const.js.map

package/build/_collections/field-encryption.util.d.ts

@@ -1,86 +1,86 @@
-import { DyFM_DataProperties } from '@futdevpro/fsm-dynamo';
-/**
- * AT-REST field-encryption transzform (Option B, bedrock). A DBService a közös írási úton
- * (`createData` / `modifyData`) a persist ELŐTT titkosítja, a read-post-processor
- * (`stringifyDataId`) a load UTÁN visszafejti az `encrypt:true` mezőket.
- *
- * **App-rétegben fut, NEM mongoose-hook** — a `modifyData` `findByIdAndUpdate`-je megkerüli a
- * mongoose settereket/pre-save-hookokat, ezért a transzform explicit itt történik.
- *
- * **Opt-in, default-off:** ha egy modell egyetlen mezője sem `encrypt:true`, a transzform tiszta
- * NO-OP (ugyanaz az objektum-referencia, nincs klónozás, nincs viselkedés-változás, kulcs sem kell).
- *
- * **Legacy-plaintext biztonságos:** a read-transzform CSAK a `DYENC1:` envelope-értékeket fejti vissza
- * (`isEncryptedDbValue`); a régi, még nem migrált plaintext értékek változatlanul jönnek vissza.
- *
- * Kulcs: `FDP_CORE_DBCONTENT_CRYPT_KEY` (Keystore/CI-env). Verzió: `FDP_CORE_DBCONTENT_CRYPT_KEY_VERSION`
- * (default 1) — a kulcs-rotációhoz (a verzió az envelope-ban utazik).
- */
-export declare class DyNTS_FieldEncryption_Util {
-    static readonly ENV_KEY: string;
-    static readonly ENV_KEY_VERSION: string;
-    /** `hasEncryptedFields` cache per properties-objektum (referencia szerint). */
-    private static readonly _hasEncCache;
-    /** A titkosító kulcs env-ből (üres string, ha nincs beállítva). */
-    static getKey(): string;
-    /** Az aktuális kulcs-verzió (default 1). */
-    static getKeyVersion(): number;
-    /**
-     * True, ha a properties-fa (rekurzívan a `subObjectParams`-on át) tartalmaz `encrypt:true` mezőt.
-     * Cache-elt (a properties-objektum immutábilis a modell-élettartam alatt).
-     */
-    static hasEncryptedFields(properties?: DyFM_DataProperties<any>): boolean;
-    /**
-     * Titkosítja a doc `encrypt:true` mezőit persist előtt. **Klónt ad vissza** — az eredeti (hívó)
-     * objektumot NEM mutálja (különben a `this.data` ciphertextté válna). NO-OP, ha nincs enc-mező.
-     * @throws ha van enc-mező, de a kulcs env-var nincs beállítva (fail-loud misconfiguration).
-     */
-    static encryptDoc<T>(data: T, properties?: DyFM_DataProperties<any>): T;
-    /**
-     * Visszafejti a doc `encrypt:true` mezőit load után. CSAK a `DYENC1:` envelope-értékeket bántja
-     * (legacy plaintext változatlan). NO-OP, ha nincs enc-mező. Kulcs hiányában read-en NEM dob
-     * (a read ne törjön el) — az envelope-értékek visszafejtetlenül maradnak (a hívó látja + a hiba loggolt).
-     */
-    static decryptDoc<T>(data: T, properties?: DyFM_DataProperties<any>): T;
-    /**
-     * Egy mongoose-**Document** sima objektummá alakítása (más érték változatlanul jön vissza).
-     *
-     * @description 🔴 **MIÉRT KELL** (BFR-MASTERPROMPTER-027, 2026-08-14): a `_transform` sekély spreaddel
-     *   klónoz. Egy mongoose-Documentnek viszont az adatok NEM saját mezői — azok a belső `_doc`-ban
-     *   ülnek —, ezért a `{ ...doc }` a **belső burkot** másolja (`$__`, `$isNew`, `_doc`), és az eredmény
-     *   **már nem Document**, tehát a `JSON.stringify` sem hívja a `toJSON()`-ját. A kliens így
-     *   `{"$__":…,"$isNew":…,"_doc":{…}}`-t kap `_id` nélkül.
-     *
-     *   **Élesben mérve** (`test.master-prompter.hu`, 2026-08-14): a `flow` lista-endpoint válaszának
-     *   első elemén a kulcsok `["$__","$isNew","_doc"]`, `_id: undefined` → a kliens-oldali linkek
-     *   `/editor/undefined`-ra mutattak, a törlés `missing pathParam: "flowId"`-vel állt meg. Az EGYEDI
-     *   get ugyanakkor ép volt — mert a `DyNTS_DBService` az egyedi olvasásoknál **már `toObject()`-et**
-     *   hív (`db.service.ts` getDataById / getDataByDependencyId / findByIdAndUpdate / findOneAndUpdate),
-     *   a **lista-metódusok (11 db) viszont NYERS Documentet adnak tovább**. Titkosítás nélküli
-     *   modelleknél ez ártalmatlan (a `res.send` a `toJSON()`-on át szerializál), `encrypt:true` mező
-     *   esetén viszont a spread elrontja.
-     *
-     *   **Miért ITT javítjuk, és nem a 11 DB-metódusban:** (1) ez az EGY pont mind a 11 utat rendezi;
-     *   (2) a 11 metódus visszatérési TÍPUSÁT megváltoztatni (Document → sima objektum) minden modell
-     *   minden fogyasztóját érintené — az itteni javítás viszont **csak az `encrypt:true` modelleket**
-     *   érinti, ahol a `_transform` amúgy is **már ma is** sima (csak ROSSZ) objektumot ad vissza.
-     *   Vagyis a változás nem tud elrontani olyat, ami ma működik.
-     *
-     *   `toJSON()`-t használunk (nem `toObject()`-et): a titkosítás bevezetése ELŐTT a nyers Document a
-     *   `res.send`-en át a `JSON.stringify` → `toJSON()` úton szerializálódott, tehát ez adja vissza
-     *   **bitre ugyanazt a kimeneti alakot** (schema-transzformok, virtuals, `__v`-kezelés együtt).
-     *
-     * @param value tetszőleges érték
-     * @returns a Document sima alakja, vagy az eredeti érték
-     */
-    private static _toPlainIfDocument;
-    /**
-     * Rekurzív per-field walk: az `encrypt:true` mezőket titkosítja/visszafejti, a `subObjectParams`-os
-     * mezőkbe (objektum VAGY objektum-tömb) leszáll. Immutábilis: minden érintett konténert sekélyen
-     * klónoz (az eredetit nem mutálja); a nem-érintett ágakat referencia szerint megosztja (read-only).
-     *
-     * ⚠️ A klónozás ELŐTT a mongoose-Documentek sima objektummá alakulnak — lásd {@link _toPlainIfDocument}.
-     */
-    private static _transform;
-}
+import { DyFM_DataProperties } from '@futdevpro/fsm-dynamo';
+/**
+ * AT-REST field-encryption transzform (Option B, bedrock). A DBService a közös írási úton
+ * (`createData` / `modifyData`) a persist ELŐTT titkosítja, a read-post-processor
+ * (`stringifyDataId`) a load UTÁN visszafejti az `encrypt:true` mezőket.
+ *
+ * **App-rétegben fut, NEM mongoose-hook** — a `modifyData` `findByIdAndUpdate`-je megkerüli a
+ * mongoose settereket/pre-save-hookokat, ezért a transzform explicit itt történik.
+ *
+ * **Opt-in, default-off:** ha egy modell egyetlen mezője sem `encrypt:true`, a transzform tiszta
+ * NO-OP (ugyanaz az objektum-referencia, nincs klónozás, nincs viselkedés-változás, kulcs sem kell).
+ *
+ * **Legacy-plaintext biztonságos:** a read-transzform CSAK a `DYENC1:` envelope-értékeket fejti vissza
+ * (`isEncryptedDbValue`); a régi, még nem migrált plaintext értékek változatlanul jönnek vissza.
+ *
+ * Kulcs: `FDP_CORE_DBCONTENT_CRYPT_KEY` (Keystore/CI-env). Verzió: `FDP_CORE_DBCONTENT_CRYPT_KEY_VERSION`
+ * (default 1) — a kulcs-rotációhoz (a verzió az envelope-ban utazik).
+ */
+export declare class DyNTS_FieldEncryption_Util {
+    static readonly ENV_KEY: string;
+    static readonly ENV_KEY_VERSION: string;
+    /** `hasEncryptedFields` cache per properties-objektum (referencia szerint). */
+    private static readonly _hasEncCache;
+    /** A titkosító kulcs env-ből (üres string, ha nincs beállítva). */
+    static getKey(): string;
+    /** Az aktuális kulcs-verzió (default 1). */
+    static getKeyVersion(): number;
+    /**
+     * True, ha a properties-fa (rekurzívan a `subObjectParams`-on át) tartalmaz `encrypt:true` mezőt.
+     * Cache-elt (a properties-objektum immutábilis a modell-élettartam alatt).
+     */
+    static hasEncryptedFields(properties?: DyFM_DataProperties<any>): boolean;
+    /**
+     * Titkosítja a doc `encrypt:true` mezőit persist előtt. **Klónt ad vissza** — az eredeti (hívó)
+     * objektumot NEM mutálja (különben a `this.data` ciphertextté válna). NO-OP, ha nincs enc-mező.
+     * @throws ha van enc-mező, de a kulcs env-var nincs beállítva (fail-loud misconfiguration).
+     */
+    static encryptDoc<T>(data: T, properties?: DyFM_DataProperties<any>): T;
+    /**
+     * Visszafejti a doc `encrypt:true` mezőit load után. CSAK a `DYENC1:` envelope-értékeket bántja
+     * (legacy plaintext változatlan). NO-OP, ha nincs enc-mező. Kulcs hiányában read-en NEM dob
+     * (a read ne törjön el) — az envelope-értékek visszafejtetlenül maradnak (a hívó látja + a hiba loggolt).
+     */
+    static decryptDoc<T>(data: T, properties?: DyFM_DataProperties<any>): T;
+    /**
+     * Egy mongoose-**Document** sima objektummá alakítása (más érték változatlanul jön vissza).
+     *
+     * @description 🔴 **MIÉRT KELL** (BFR-MASTERPROMPTER-027, 2026-08-14): a `_transform` sekély spreaddel
+     *   klónoz. Egy mongoose-Documentnek viszont az adatok NEM saját mezői — azok a belső `_doc`-ban
+     *   ülnek —, ezért a `{ ...doc }` a **belső burkot** másolja (`$__`, `$isNew`, `_doc`), és az eredmény
+     *   **már nem Document**, tehát a `JSON.stringify` sem hívja a `toJSON()`-ját. A kliens így
+     *   `{"$__":…,"$isNew":…,"_doc":{…}}`-t kap `_id` nélkül.
+     *
+     *   **Élesben mérve** (`test.master-prompter.hu`, 2026-08-14): a `flow` lista-endpoint válaszának
+     *   első elemén a kulcsok `["$__","$isNew","_doc"]`, `_id: undefined` → a kliens-oldali linkek
+     *   `/editor/undefined`-ra mutattak, a törlés `missing pathParam: "flowId"`-vel állt meg. Az EGYEDI
+     *   get ugyanakkor ép volt — mert a `DyNTS_DBService` az egyedi olvasásoknál **már `toObject()`-et**
+     *   hív (`db.service.ts` getDataById / getDataByDependencyId / findByIdAndUpdate / findOneAndUpdate),
+     *   a **lista-metódusok (11 db) viszont NYERS Documentet adnak tovább**. Titkosítás nélküli
+     *   modelleknél ez ártalmatlan (a `res.send` a `toJSON()`-on át szerializál), `encrypt:true` mező
+     *   esetén viszont a spread elrontja.
+     *
+     *   **Miért ITT javítjuk, és nem a 11 DB-metódusban:** (1) ez az EGY pont mind a 11 utat rendezi;
+     *   (2) a 11 metódus visszatérési TÍPUSÁT megváltoztatni (Document → sima objektum) minden modell
+     *   minden fogyasztóját érintené — az itteni javítás viszont **csak az `encrypt:true` modelleket**
+     *   érinti, ahol a `_transform` amúgy is **már ma is** sima (csak ROSSZ) objektumot ad vissza.
+     *   Vagyis a változás nem tud elrontani olyat, ami ma működik.
+     *
+     *   `toJSON()`-t használunk (nem `toObject()`-et): a titkosítás bevezetése ELŐTT a nyers Document a
+     *   `res.send`-en át a `JSON.stringify` → `toJSON()` úton szerializálódott, tehát ez adja vissza
+     *   **bitre ugyanazt a kimeneti alakot** (schema-transzformok, virtuals, `__v`-kezelés együtt).
+     *
+     * @param value tetszőleges érték
+     * @returns a Document sima alakja, vagy az eredeti érték
+     */
+    private static _toPlainIfDocument;
+    /**
+     * Rekurzív per-field walk: az `encrypt:true` mezőket titkosítja/visszafejti, a `subObjectParams`-os
+     * mezőkbe (objektum VAGY objektum-tömb) leszáll. Immutábilis: minden érintett konténert sekélyen
+     * klónoz (az eredetit nem mutálja); a nem-érintett ágakat referencia szerint megosztja (read-only).
+     *
+     * ⚠️ A klónozás ELŐTT a mongoose-Documentek sima objektummá alakulnak — lásd {@link _toPlainIfDocument}.
+     */
+    private static _transform;
+}
 //# sourceMappingURL=field-encryption.util.d.ts.map