@hoilab/ada-cli 0.84.21 → 0.85.0

package/dist/core/credenciales/reposo.js.map

@@ -0,0 +1 @@
+{"version":3,"file":"reposo.js","sourceRoot":"","sources":["../../../src/core/credenciales/reposo.ts"],"names":[],"mappings":"AAAA;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;GA6CG;AAEH,OAAO,EAAE,YAAY,EAAE,MAAM,oBAAoB,CAAC;AAClD,OAAO,EAAE,cAAc,EAAE,gBAAgB,EAAE,WAAW,EAAE,MAAM,aAAa,CAAC;AAC5E,OAAO,EAAE,SAAS,EAAE,UAAU,EAAE,YAAY,EAAE,UAAU,EAAE,QAAQ,EAAE,aAAa,EAAE,MAAM,SAAS,CAAC;AACnG,OAAO,EAAE,IAAI,EAAE,MAAM,WAAW,CAAC;AAEjC,OAAO,EAAE,WAAW,EAAE,MAAM,iBAAiB,CAAC;AAC9C,OAAO,EAAE,QAAQ,EAAE,MAAM,qBAAqB,CAAC;AAG/C,0GAA8E;AAE9E,MAAM,gBAAgB,GAAG,2BAA2B,CAAC;AAQrD,SAAS,gBAAgB,CAAC,SAAiB,EAAW;IACrD,OAAO,SAAS,CAAC,UAAU,CAAC,gBAAgB,CAAC,CAAC;AAAA,CAC9C;AAED,iGAAoF;AAEpF,MAAM,2BAA2B,GAAG,sBAAsB,CAAC;AAC3D,MAAM,cAAc,GAAG,yBAAyB,CAAC;AACjD,MAAM,kBAAkB,GAAG,KAAK,CAAC;AAEjC;;;;;;;;;;;;;;;;;;;;;;;;;;;GA2BG;AACH,SAAS,eAAe,GAAW;IAClC,MAAM,MAAM,GAAG,OAAO,CAAC,GAAG,CAAC,oBAAoB,CAAC;IAChD,IAAI,MAAM;QAAE,OAAO,MAAM,CAAC;IAC1B,IAAI,OAAO,CAAC,GAAG,CAAC,MAAM,EAAE,CAAC;QACxB,MAAM,IAAI,KAAK,CACd,oEAAmE;YAClE,KAAK,2BAA2B,uDAAuD;YACvF,kFAAkF,CACnF,CAAC;IACH,CAAC;IACD,OAAO,2BAA2B,CAAC;AAAA,CACnC;AAED,SAAS,OAAO,GAAY;IAC3B,OAAO,OAAO,OAAO,KAAK,WAAW,IAAI,OAAO,CAAC,QAAQ,KAAK,QAAQ,CAAC;AAAA,CACvE;AAED;;;;;;;GAOG;AACH,MAAM,UAAU,oBAAoB,GAAY;IAC/C,OAAO,OAAO,EAAE,IAAI,OAAO,CAAC,GAAG,CAAC,eAAe,KAAK,GAAG,CAAC;AAAA,CACxD;AAyBD,8EAA6E;AAC7E,MAAM,oBAAoB,GAAG,EAAE,CAAC;AAEhC,SAAS,mBAAmB,GAAmB;IAC9C,IAAI,CAAC,oBAAoB,EAAE;QAAE,OAAO,EAAE,MAAM,EAAE,WAAW,EAAE,CAAC;IAC5D,0EAAyE;IACzE,4EAA2E;IAC3E,6EAA4E;IAC5E,iEAAgE;IAChE,MAAM,QAAQ,GAAG,eAAe,EAAE,CAAC;IACnC,IAAI,MAAc,CAAC;IACnB,IAAI,CAAC;QACJ,MAAM,GAAG,YAAY,CACpB,mBAAmB,EACnB,CAAC,uBAAuB,EAAE,IAAI,EAAE,QAAQ,EAAE,IAAI,EAAE,cAAc,EAAE,IAAI,CAAC;QACrE,gEAAgE;QAChE,mEAAmE;QACnE,gEAAgE;QAChE,wBAAwB;QACxB,EAAE,OAAO,EAAE,kBAAkB,EAAE,QAAQ,EAAE,OAAO,EAAE,WAAW,EAAE,IAAI,EAAE,KAAK,EAAE,CAAC,MAAM,EAAE,MAAM,EAAE,MAAM,CAAC,EAAE,CACtG,CAAC,IAAI,EAAE,CAAC;IACV,CAAC;IAAC,OAAO,KAAK,EAAE,CAAC;QAChB,MAAM,CAAC,GAAG,KAA2D,CAAC;QACtE,IAAI,CAAC,CAAC,MAAM,KAAK,oBAAoB;YAAE,OAAO,EAAE,MAAM,EAAE,WAAW,EAAE,CAAC;QACtE,qEAAoE;QACpE,qEAAqE;QACrE,oEAAkE;QAClE,OAAO,EAAE,MAAM,EAAE,OAAO,EAAE,MAAM,EAAE,CAAC,CAAC,IAAI,IAAI,uBAAsB,CAAC,CAAC,MAAM,EAAE,EAAE,CAAC;IAChF,CAAC;IACD,IAAI,CAAC,MAAM;QAAE,OAAO,EAAE,MAAM,EAAE,OAAO,EAAE,MAAM,EAAE,yCAAuC,EAAE,CAAC;IACzF,MAAM,KAAK,GAAG,MAAM,CAAC,IAAI,CAAC,MAAM,EAAE,QAAQ,CAAC,CAAC;IAC5C,+EAA6E;IAC7E,+EAA6E;IAC7E,2BAA2B;IAC3B,IAAI,KAAK,CAAC,MAAM,KAAK,EAAE;QACtB,OAAO,EAAE,MAAM,EAAE,OAAO,EAAE,MAAM,EAAE,6BAA6B,KAAK,CAAC,MAAM,eAAe,EAAE,CAAC;IAC9F,OAAO,EAAE,MAAM,EAAE,OAAO,EAAE,KAAK,EAAE,CAAC;AAAA,CAClC;AAED,SAAS,qBAAqB,CAAC,KAAa,EAAW;IACtD,IAAI,CAAC,oBAAoB,EAAE;QAAE,OAAO,KAAK,CAAC;IAC1C,MAAM,QAAQ,GAAG,eAAe,EAAE,CAAC,CAAC,2CAA2C;IAC/E,IAAI,CAAC;QACJ,2EAA0E;QAC1E,8DAA6D;QAC7D,0EAA0E;QAC1E,0EAAyE;QACzE,wEAAsE;QACtE,gBAAgB;QAChB,MAAM,KAAK,GAAG,KAAK,CAAC,QAAQ,CAAC,QAAQ,CAAC,CAAC;QACvC,YAAY,CACX,mBAAmB;QACnB,wEAAwE;QACxE,kEAAkE;QAClE,wEAAqE;QACrE,0EAAyE;QACzE,+DAA8D;QAC9D,EAAE;QACF,oEAAkE;QAClE,+DAA8D;QAC9D,kEAA+D;QAC/D,wEAAwE;QACxE,wCAAwC;QACxC,CAAC,sBAAsB,EAAE,IAAI,EAAE,QAAQ,EAAE,IAAI,EAAE,cAAc,EAAE,IAAI,CAAC,EACpE;YACC,OAAO,EAAE,kBAAkB;YAC3B,WAAW,EAAE,IAAI;YACjB,KAAK,EAAE,GAAG,KAAK,KAAK,KAAK,IAAI;YAC7B,KAAK,EAAE,CAAC,MAAM,EAAE,MAAM,EAAE,MAAM,CAAC;SAC/B,CACD,CAAC;QACF,OAAO,IAAI,CAAC;IACb,CAAC;IAAC,MAAM,CAAC;QACR,OAAO,KAAK,CAAC;IACd,CAAC;AAAA,CACD;AAED,IAAI,YAAuC,CAAC,CAAC,iCAAgC;AAE7E;;;;;GAKG;AACH,SAAS,kBAAkB,GAAkB;IAC5C,IAAI,CAAC,oBAAoB,EAAE;QAAE,OAAO,IAAI,CAAC;IACzC,IAAI,YAAY,KAAK,SAAS;QAAE,OAAO,YAAY,CAAC;IAEpD,MAAM,OAAO,GAAG,mBAAmB,EAAE,CAAC;IACtC,IAAI,OAAO,CAAC,MAAM,KAAK,OAAO,EAAE,CAAC;QAChC,YAAY,GAAG,OAAO,CAAC,KAAK,CAAC;QAC7B,OAAO,YAAY,CAAC;IACrB,CAAC;IACD,IAAI,OAAO,CAAC,MAAM,KAAK,OAAO,EAAE,CAAC;QAChC,2EAA0E;QAC1E,+DAA+D;QAC/D,MAAM,IAAI,KAAK,CACd,sDAAsD,OAAO,CAAC,MAAM,MAAM;YACzE,wFAAsF;YACtF,wFAAwF;YACxF,sCAAsC,CACvC,CAAC;IACH,CAAC;IAED,8EAA8E;IAC9E,qEAAmE;IACnE,MAAM,KAAK,GAAG,WAAW,CAAC,EAAE,CAAC,CAAC;IAC9B,IAAI,qBAAqB,CAAC,KAAK,CAAC,EAAE,CAAC;QAClC,YAAY,GAAG,KAAK,CAAC;QACrB,OAAO,YAAY,CAAC;IACrB,CAAC;IACD,MAAM,OAAO,GAAG,mBAAmB,EAAE,CAAC;IACtC,IAAI,OAAO,CAAC,MAAM,KAAK,OAAO,EAAE,CAAC;QAChC,YAAY,GAAG,OAAO,CAAC,KAAK,CAAC;QAC7B,OAAO,YAAY,CAAC;IACrB,CAAC;IACD,4EAA4E;IAC5E,wDAAwD;IACxD,YAAY,GAAG,IAAI,CAAC;IACpB,OAAO,IAAI,CAAC;AAAA,CACZ;AAED,6MAA+E;AAE/E,SAAS,MAAM,CAAC,cAAsB,EAAE,KAAa,EAAU;IAC9D,MAAM,EAAE,GAAG,WAAW,CAAC,EAAE,CAAC,CAAC;IAC3B,MAAM,MAAM,GAAG,cAAc,CAAC,aAAa,EAAE,KAAK,EAAE,EAAE,CAAC,CAAC;IACxD,MAAM,KAAK,GAAG,MAAM,CAAC,MAAM,CAAC,CAAC,MAAM,CAAC,MAAM,CAAC,cAAc,EAAE,OAAO,CAAC,EAAE,MAAM,CAAC,KAAK,EAAE,CAAC,CAAC,CAAC;IACtF,MAAM,KAAK,GAAiB;QAC3B,EAAE,EAAE,EAAE,CAAC,QAAQ,CAAC,QAAQ,CAAC;QACzB,GAAG,EAAE,MAAM,CAAC,UAAU,EAAE,CAAC,QAAQ,CAAC,QAAQ,CAAC;QAC3C,KAAK,EAAE,KAAK,CAAC,QAAQ,CAAC,QAAQ,CAAC;KAC/B,CAAC;IACF,OAAO,gBAAgB,GAAG,IAAI,CAAC,SAAS,CAAC,KAAK,CAAC,CAAC;AAAA,CAChD;AAED,SAAS,SAAS,CAAC,gBAAwB,EAAE,KAAa,EAAU;IACnE,MAAM,KAAK,GAAG,IAAI,CAAC,KAAK,CAAC,gBAAgB,CAAC,KAAK,CAAC,gBAAgB,CAAC,MAAM,CAAC,CAAiB,CAAC;IAC1F,MAAM,QAAQ,GAAG,gBAAgB,CAAC,aAAa,EAAE,KAAK,EAAE,MAAM,CAAC,IAAI,CAAC,KAAK,CAAC,EAAE,EAAE,QAAQ,CAAC,CAAC,CAAC;IACzF,QAAQ,CAAC,UAAU,CAAC,MAAM,CAAC,IAAI,CAAC,KAAK,CAAC,GAAG,EAAE,QAAQ,CAAC,CAAC,CAAC;IACtD,MAAM,KAAK,GAAG,MAAM,CAAC,MAAM,CAAC,CAAC,QAAQ,CAAC,MAAM,CAAC,MAAM,CAAC,IAAI,CAAC,KAAK,CAAC,KAAK,EAAE,QAAQ,CAAC,CAAC,EAAE,QAAQ,CAAC,KAAK,EAAE,CAAC,CAAC,CAAC;IACrG,OAAO,KAAK,CAAC,QAAQ,CAAC,OAAO,CAAC,CAAC;AAAA,CAC/B;AAED,sHAA6E;AAE7E;;;;;;GAMG;AACH,MAAM,OAAO,qBAAsB,SAAQ,KAAK;IAC/C,YAAY,QAAgB,EAAE,KAAc,EAAE;QAC7C,KAAK,CACJ,sDAAqD,QAAQ,MAAM;YAClE,iEAA+D;YAC/D,eAAc;YACd,uDAAsD;YACtD,cAAc,QAAQ,UAAU,QAAQ,KAAK;YAC7C,4DAA2D;YAC3D,yCAAyC;YACzC,CAAC,KAAK,YAAY,KAAK,CAAC,CAAC,CAAC,sBAAqB,KAAK,CAAC,OAAO,GAAG,CAAC,CAAC,CAAC,EAAE,CAAC,CACtE,CAAC;QACF,IAAI,CAAC,IAAI,GAAG,uBAAuB,CAAC;IAAA,CACpC;CACD;AAED,wGAA6E;AAE7E,SAAS,wBAAwB,CAAC,QAAgB,EAAE,SAAiB,EAAE,kBAA2B,EAAQ;IACzG,2EAA2E;IAC3E,yDAAuD;IACvD,uEAAuE;IACvE,2EAA0E;IAC1E,2DAA0D;IAC1D,MAAM,aAAa,GAAG,UAAU,CAAC,QAAQ,CAAC,CAAC,CAAC,CAAC,QAAQ,CAAC,QAAQ,CAAC,CAAC,IAAI,GAAG,KAAK,CAAC,CAAC,CAAC,KAAK,CAAC;IACrF,2EAA2E;IAC3E,0EAA0E;IAC1E,2EAAyE;IACzE,EAAE;IACF,sEAAsE;IACtE,4EAA0E;IAC1E,sEAAqE;IACrE,4EAAyE;IACzE,0EAAwE;IACxE,yEAAwE;IACxE,yEAAyE;IACzE,IAAI,UAAU,CAAC,QAAQ,CAAC,EAAE,CAAC;QAC1B,MAAM,UAAU,GAAG,GAAG,QAAQ,MAAM,CAAC;QACrC,aAAa,CAAC,UAAU,EAAE,kBAAkB,IAAI,YAAY,CAAC,QAAQ,CAAC,EAAE,EAAE,IAAI,EAAE,aAAa,EAAE,CAAC,CAAC;QACjG,SAAS,CAAC,UAAU,EAAE,aAAa,CAAC,CAAC,CAAC,kEAAkE;IACzG,CAAC;IACD,MAAM,OAAO,GAAG,GAAG,QAAQ,QAAQ,OAAO,CAAC,GAAG,IAAI,IAAI,CAAC,GAAG,EAAE,EAAE,CAAC;IAC/D,aAAa,CAAC,OAAO,EAAE,SAAS,EAAE,EAAE,QAAQ,EAAE,OAAO,EAAE,IAAI,EAAE,aAAa,EAAE,CAAC,CAAC;IAC9E,uEAAuE;IACvE,gFAA8E;IAC9E,0EAA0E;IAC1E,wEAAuE;IACvE,sEAAqE;IACrE,sEAAsE;IACtE,SAAS,CAAC,OAAO,EAAE,aAAa,CAAC,CAAC;IAClC,UAAU,CAAC,OAAO,EAAE,QAAQ,CAAC,CAAC,CAAC,iDAAgD;AAAjD,CAC9B;AAED,IAAI,uBAAuB,GAAG,KAAK,CAAC;AAEpC,6GAA6G;AAC7G,SAAS,sBAAsB,GAAS;IACvC,IAAI,uBAAuB;QAAE,OAAO;IACpC,uBAAuB,GAAG,IAAI,CAAC;IAC/B,OAAO,CAAC,KAAK,CACZ,sFAAqF;QACpF,yFAAyF;QACzF,gGAA4F;QAC5F,mBAAmB,CACpB,CAAC;AAAA,CACF;AAED,SAAS,4BAA4B,CAAC,QAAgB,EAAE,cAAsB,EAAQ;IACrF,MAAM,KAAK,GAAG,kBAAkB,EAAE,CAAC;IACnC,IAAI,CAAC,KAAK,EAAE,CAAC;QACZ,sBAAsB,EAAE,CAAC;QACzB,wBAAwB,CAAC,QAAQ,EAAE,cAAc,CAAC,CAAC;QACnD,OAAO;IACR,CAAC;IACD,6EAA2E;IAC3E,4EAAyE;IACzE,oEAAoE;IACpE,sEAAsE;IACtE,2EAA2E;IAC3E,kBAAkB;IAClB,MAAM,MAAM,GAAG,UAAU,CAAC,QAAQ,CAAC,CAAC,CAAC,CAAC,YAAY,CAAC,QAAQ,EAAE,OAAO,CAAC,CAAC,CAAC,CAAC,SAAS,CAAC;IAClF,MAAM,WAAW,GAAG,MAAM,KAAK,SAAS,IAAI,CAAC,gBAAgB,CAAC,MAAM,CAAC,CAAC,CAAC,CAAC,MAAM,CAAC,MAAM,EAAE,KAAK,CAAC,CAAC,CAAC,CAAC,MAAM,CAAC;IACvG,wBAAwB,CAAC,QAAQ,EAAE,MAAM,CAAC,cAAc,EAAE,KAAK,CAAC,EAAE,WAAW,CAAC,CAAC;AAAA,CAC/E;AAED,IAAI,qBAAqB,GAAG,KAAK,CAAC;AAElC;;;;;;;;;GASG;AACH,SAAS,cAAc,CAAC,QAAgB,EAAE,KAAc,EAAS;IAChE,MAAM,KAAK,GAAG,IAAI,qBAAqB,CAAC,QAAQ,EAAE,KAAK,CAAC,CAAC;IACzD,IAAI,CAAC,qBAAqB,EAAE,CAAC;QAC5B,qBAAqB,GAAG,IAAI,CAAC;QAC7B,OAAO,CAAC,KAAK,CAAC,SAAS,KAAK,CAAC,OAAO,EAAE,CAAC,CAAC;IACzC,CAAC;IACD,MAAM,KAAK,CAAC;AAAA,CACZ;AAED,wFAAwF;AACxF,SAAS,sBAAsB,CAAC,QAAgB,EAAE,cAAkC,EAAsB;IACzG,IAAI,cAAc,KAAK,SAAS,IAAI,CAAC,gBAAgB,CAAC,cAAc,CAAC;QAAE,OAAO,cAAc,CAAC;IAC7F,MAAM,KAAK,GAAG,kBAAkB,EAAE,CAAC;IACnC,IAAI,CAAC,KAAK,EAAE,CAAC;QACZ,cAAc,CACb,QAAQ,EACR,IAAI,KAAK,CAAC,gFAA8E,CAAC,CACzF,CAAC;IACH,CAAC;IACD,IAAI,CAAC;QACJ,OAAO,SAAS,CAAC,cAAc,EAAE,KAAK,CAAC,CAAC;IACzC,CAAC;IAAC,OAAO,KAAK,EAAE,CAAC;QAChB,cAAc,CAAC,QAAQ,EAAE,KAAK,CAAC,CAAC;IACjC,CAAC;AAAA,CACD;AAED,wFAA6E;AAE7E,MAAM,oBAAoB,GAAG,IAAI,GAAG,EAAU,CAAC;AAE/C,SAAS,gCAAgC,CAAC,OAA2B,EAAE,QAAgB,EAAQ;IAC9F,IAAI,CAAC,oBAAoB,EAAE,EAAE,CAAC;QAC7B,oEAAoE;QACpE,yEAAwE;QACxE,mDAAmD;QACnD,sBAAsB,EAAE,CAAC;QACzB,OAAO;IACR,CAAC;IACD,IAAI,oBAAoB,CAAC,GAAG,CAAC,QAAQ,CAAC;QAAE,OAAO,CAAC,8DAA8D;IAC9G,oBAAoB,CAAC,GAAG,CAAC,QAAQ,CAAC,CAAC;IACnC,wEAAsE;IACtE,yEAAyE;IACzE,wEAAsE;IACtE,iDAAgD;IAChD,YAAY,CAAC,GAAG,EAAE,CAAC;QAClB,KAAK,OAAO;aACV,aAAa,CAAC,KAAK,EAAE,MAAM,EAAE,EAAE,CAAC;YAChC,IAAI,MAAM,KAAK,SAAS,IAAI,gBAAgB,CAAC,MAAM,CAAC,EAAE,CAAC;gBACtD,OAAO,EAAE,MAAM,EAAE,SAAS,EAAE,CAAC,CAAC,mDAAkD;YACjF,CAAC;YACD,4BAA4B,CAAC,QAAQ,EAAE,MAAM,CAAC,CAAC;YAC/C,oEAAmE;YACnE,gEAA8D;YAC9D,+CAA+C;YAC/C,OAAO,EAAE,MAAM,EAAE,SAAS,EAAE,CAAC;QAAA,CAC7B,EAAE,EAAE,CAAC;aACL,KAAK,CAAC,CAAC,KAAK,EAAE,EAAE,CAAC;YACjB,OAAO,CAAC,KAAK,CACZ,yDAAyD,KAAK,YAAY,KAAK,CAAC,CAAC,CAAC,KAAK,CAAC,OAAO,CAAC,CAAC,CAAC,MAAM,CAAC,KAAK,CAAC,EAAE,CACjH,CAAC;QAAA,CACF,CAAC;aACD,OAAO,CAAC,GAAG,EAAE,CAAC;YACd,oBAAoB,CAAC,MAAM,CAAC,QAAQ,CAAC,CAAC;QAAA,CACtC,CAAC,CAAC;IAAA,CACJ,CAAC,CAAC;AAAA,CACH;AAED,+MAA+E;AAE/E;;;;GAIG;AACH,MAAM,UAAU,sBAAsB,CAAC,OAA2B,EAAE,QAAgB,EAAsB;IACzG,OAAO;QACN,QAAQ,CAAI,EAAiE,EAAK;YACjF,OAAO,OAAO,CAAC,QAAQ,CAAC,CAAC,MAAM,EAAE,EAAE,CAAC;gBACnC,MAAM,KAAK,GAAG,sBAAsB,CAAC,QAAQ,EAAE,MAAM,CAAC,CAAC;gBACvD,IAAI,MAAM,KAAK,SAAS,IAAI,CAAC,gBAAgB,CAAC,MAAM,CAAC,EAAE,CAAC;oBACvD,gCAAgC,CAAC,OAAO,EAAE,QAAQ,CAAC,CAAC;gBACrD,CAAC;gBACD,MAAM,EAAE,MAAM,EAAE,IAAI,EAAE,GAAG,EAAE,CAAC,KAAK,CAAC,CAAC;gBACnC,IAAI,IAAI,KAAK,SAAS;oBAAE,4BAA4B,CAAC,QAAQ,EAAE,IAAI,CAAC,CAAC;gBACrE,OAAO,EAAE,MAAM,EAAE,CAAC,CAAC,4EAA2E;YAA5E,CAClB,CAAC,CAAC;QAAA,CACH;QACD,KAAK,CAAC,aAAa,CAClB,EAA0E,EAC1E,OAA8B,EACjB;YACb,OAAO,OAAO,CAAC,aAAa,CAAC,KAAK,EAAE,MAAM,EAAE,EAAE,CAAC;gBAC9C,MAAM,KAAK,GAAG,sBAAsB,CAAC,QAAQ,EAAE,MAAM,CAAC,CAAC;gBACvD,IAAI,MAAM,KAAK,SAAS,IAAI,CAAC,gBAAgB,CAAC,MAAM,CAAC,EAAE,CAAC;oBACvD,gCAAgC,CAAC,OAAO,EAAE,QAAQ,CAAC,CAAC;gBACrD,CAAC;gBACD,MAAM,EAAE,MAAM,EAAE,IAAI,EAAE,GAAG,MAAM,EAAE,CAAC,KAAK,CAAC,CAAC;gBACzC,IAAI,IAAI,KAAK,SAAS;oBAAE,4BAA4B,CAAC,QAAQ,EAAE,IAAI,CAAC,CAAC;gBACrE,OAAO,EAAE,MAAM,EAAE,CAAC;YAAA,CAClB,EAAE,OAAO,CAAC,CAAC;QAAA,CACZ;KACD,CAAC;AAAA,CACF;AAED;;;;;;;;;;;;;GAaG;AACH,MAAM,UAAU,sBAAsB,CACrC,UAAkB,EAClB,QAAQ,GAAW,IAAI,CAAC,WAAW,EAAE,EAAE,WAAW,CAAC,EAC1B;IACzB,IAAI,CAAC;QACJ,MAAM,KAAK,GAAG,QAAQ,CAAC,YAAY,CAAC,QAAQ,EAAE,OAAO,CAAC,CAAC,CAAC;QACxD,MAAM,KAAK,GAAG,sBAAsB,CAAC,QAAQ,EAAE,KAAK,CAAC,CAAC;QACtD,IAAI,KAAK,KAAK,SAAS;YAAE,OAAO,SAAS,CAAC;QAC1C,MAAM,KAAK,GAAG,IAAI,CAAC,KAAK,CAAC,KAAK,CAA+B,CAAC;QAC9D,OAAO,KAAK,CAAC,UAAU,CAAC,CAAC;IAC1B,CAAC;IAAC,MAAM,CAAC;QACR,OAAO,SAAS,CAAC;IAClB,CAAC;AAAA,CACD;AAED,8EAA6E;AAC7E,MAAM,UAAU,wBAAwB,GAAS;IAChD,YAAY,GAAG,SAAS,CAAC;IACzB,uBAAuB,GAAG,KAAK,CAAC;IAChC,qBAAqB,GAAG,KAAK,CAAC;IAC9B,oBAAoB,CAAC,KAAK,EAAE,CAAC;AAAA,CAC7B;AAED,mFAAkF;AAClF,MAAM,UAAU,mCAAmC,GAAS;IAC3D,IAAI,CAAC,OAAO,EAAE;QAAE,OAAO;IACvB,MAAM,QAAQ,GAAG,eAAe,EAAE,CAAC,CAAC,2CAA2C;IAC/E,IAAI,CAAC;QACJ,YAAY,CAAC,mBAAmB,EAAE,CAAC,yBAAyB,EAAE,IAAI,EAAE,QAAQ,EAAE,IAAI,EAAE,cAAc,CAAC,EAAE;YACpG,OAAO,EAAE,kBAAkB;YAC3B,WAAW,EAAE,IAAI;YACjB,KAAK,EAAE,CAAC,MAAM,EAAE,MAAM,EAAE,MAAM,CAAC;SAC/B,CAAC,CAAC;IACJ,CAAC;IAAC,MAAM,CAAC;QACR,6BAA4B;IAC7B,CAAC;AAAA,CACD","sourcesContent":["/**\n * Cifrado en reposo de `<agentDir>/auth.json`.\n *\n * EL HUECO: vendemos \"vault cifrado con clasificación y auditoría\"\n * (memory-engine/vault.ts) mientras las claves de API y los tokens OAuth de\n * los proveedores viven en auth.json EN CLARO, con permisos 0600 pero\n * legibles por cualquier proceso del usuario. La política de aprobación\n * (aprobacion/politica.ts) ya le impide leerlo a NUESTRO agente; esto le\n * cierra la puerta a cualquier OTRO proceso.\n *\n * DISEÑO — envolver, no sustituir:\n * `auth-storage.ts` es de upstream y el presupuesto de fork está agotado\n * (ver scripts/sync-ada.sh --check). No podemos reescribir su lectura/\n * escritura de fichero ni su bloqueo entre procesos (proper-lockfile) sin\n * pagar hunks que no tenemos. En vez de eso, ENVOLVEMOS su\n * `AuthStorageBackend`: el interior (`FileAuthStorageBackend`) sigue\n * poseyendo el candado y el `ensureFileExists`/`ensureParentDir`; nosotros\n * solo transformamos el CONTENIDO que entra y sale del candado. Todo el\n * cifrado ocurre DENTRO de la sección crítica del candado que ya existía,\n * así que la seguridad frente a otros procesos de Ada no cambia.\n *\n * CLAVE: un secreto aleatorio de 256 bits en el LLAVERO del sistema (no una\n * passphrase memorizable — nadie va a teclear una contraseña para que el\n * CLI arranque). Se deriva de nada: se genera con randomBytes y se guarda\n * en Keychain la primera vez que hace falta. Sin llavero disponible (CI,\n * contenedor, Linux sin secret-service) NO SE CIFRA: una clave que vive en\n * el mismo disco que el fichero que protege es ofuscación, no cifrado, y\n * llamarlo cifrado sería mentir en la única parte del producto donde no se\n * puede mentir. Se avisa una vez, con una línea clara, y se sigue\n * funcionando en claro (mismo comportamiento que hoy).\n *\n * FORMATO: una cabecera literal al principio del fichero distingue claro de\n * cifrado — nunca adivinamos intentando JSON.parse (un fichero cifrado\n * corrupto a medias podría parsear igual como JSON basura y confundirse con\n * \"en claro\", perdiendo credenciales calladamente).\n *\n * MIGRACIÓN: en cada lectura, si el contenido está en claro se devuelve tal\n * cual (nunca bloquea al llamador) y se agenda un recifrado en segundo\n * plano con `setImmediate` — nunca DENTRO del candado que la propia lectura\n * mantiene abierto, porque volver a pedirlo desde dentro se autobloquearía.\n * En cada escritura (a través del wrapper) se cifra antes de tocar disco,\n * con copia de seguridad y escritura atómica (fichero temporal + rename):\n * si esto corrompe auth.json, el usuario pierde el acceso a TODOS sus\n * proveedores, así que no se sustituye el fichero real hasta que el\n * temporal esté completo en disco.\n */\n\nimport { execFileSync } from \"node:child_process\";\nimport { createCipheriv, createDecipheriv, randomBytes } from \"node:crypto\";\nimport { chmodSync, existsSync, readFileSync, renameSync, statSync, writeFileSync } from \"node:fs\";\nimport { join } from \"node:path\";\nimport type { AuthOperationOptions, Credential } from \"@earendil-works/pi-ai\";\nimport { getAgentDir } from \"../../config.ts\";\nimport { stripBom } from \"../../utils/text.ts\";\nimport type { AuthStorageBackend } from \"../auth-storage.ts\";\n\n// ─── Formato: cabecera literal, nunca \"adivinada\" por JSON.parse ───────────\n\nconst CABECERA_CIFRADO = \"ADA-AUTHJSON-CIFRADO-V1\\n\";\n\ninterface SobreCifrado {\n\tiv: string; // base64\n\ttag: string; // base64 (GCM auth tag)\n\tdatos: string; // base64\n}\n\nfunction esFormatoCifrado(contenido: string): boolean {\n\treturn contenido.startsWith(CABECERA_CIFRADO);\n}\n\n// ─── Llavero del sistema (macOS Keychain vía `security`, sin bindings nativos) ───\n\nconst SERVICIO_LLAVERO_PRODUCCION = \"ada-cli-credenciales\";\nconst CUENTA_LLAVERO = \"auth-json-clave-maestra\";\nconst TIMEOUT_LLAVERO_MS = 5_000;\n\n/**\n * Bajo qué nombre vive la clave maestra en el llavero REAL de la máquina.\n *\n * Se puede sustituir por entorno porque las pruebas de este módulo necesitan un\n * llavero de verdad —no hay bindings nativos que fingir, y fingir `execFileSync`\n * probaría el mock, no el Keychain— y hasta ahora usaban la entrada de\n * PRODUCCIÓN. Con `__eliminarClaveDeLlaveroParaPruebas()` en su `afterEach`,\n * cada corrida de la suite BORRABA la clave maestra del usuario y creaba otra.\n *\n * Lo que eso deja detrás no es un inconveniente: el `~/.ada/agent/auth.json`\n * del usuario quedó cifrado con la clave anterior, así que pasa a ser\n * indescifrable PARA SIEMPRE, y su `.bak` también (se recifra con la misma\n * clave). Medido en esta máquina, con la huella SHA-256 de la clave del\n * llavero antes y después:\n *\n *     == antes ==                        15900260def30338\n *     npx vitest --run test/commit-mensaje.test.ts\n *     == después ==                      15900260def30338   (intacta)\n *     npx vitest --run test/credenciales-reposo.test.ts\n *     == después ==                      c8b382bb95b2285b   (OTRA)\n *\n * Y AGENTS.md manda ejecutar la suite antes de dar nada por terminado, así que\n * el flujo de trabajo del propio proyecto rompía las credenciales del usuario.\n *\n * Falla CERRADO bajo vitest: si alguien quita el ajuste de `vitest.config.ts`,\n * las pruebas del llavero se caen con este mensaje en vez de volver\n * calladamente a morder la entrada de producción.\n */\nfunction servicioLlavero(): string {\n\tconst propio = process.env.ADA_LLAVERO_SERVICIO;\n\tif (propio) return propio;\n\tif (process.env.VITEST) {\n\t\tthrow new Error(\n\t\t\t\"Una prueba ha intentado usar la entrada de llavero de PRODUCCIÓN \" +\n\t\t\t\t`(\"${SERVICIO_LLAVERO_PRODUCCION}\"). Eso borra la clave maestra del usuario y deja su ` +\n\t\t\t\t\"auth.json indescifrable. Define ADA_LLAVERO_SERVICIO (lo hace vitest.config.ts).\",\n\t\t);\n\t}\n\treturn SERVICIO_LLAVERO_PRODUCCION;\n}\n\nfunction esMacOS(): boolean {\n\treturn typeof process !== \"undefined\" && process.platform === \"darwin\";\n}\n\n/**\n * True cuando hay un llavero de sistema utilizable en esta máquina.\n *\n * `ADA_SIN_LLAVERO=1` fuerza \"no disponible\" aunque estemos en macOS — es la\n * única forma de probar de verdad la rama \"sin llavero\" (headless/CI) sin\n * necesitar una máquina Linux, y también sirve de escape manual para quien\n * quiera desactivar el uso del Keychain explícitamente.\n */\nexport function hayLlaveroDisponible(): boolean {\n\treturn esMacOS() && process.env.ADA_SIN_LLAVERO !== \"1\";\n}\n\n/**\n * Tres estados, y la diferencia entre el segundo y el tercero costó las\n * credenciales de esta máquina.\n *\n * Antes esto devolvía `Buffer | null` y `null` significaba a la vez «todavía no\n * hay clave» y «no he podido leerla». Quien llamaba entendía lo primero,\n * generaba una clave nueva y la guardaba con `-U` (sobrescribir). Un fallo\n * PASAJERO de `security` —un tiempo de espera agotado con la máquina cargada,\n * el llavero bloqueado— bastaba para rotar la clave maestra y dejar\n * PERMANENTEMENTE ilegible todo `auth.json` cifrado con la anterior.\n *\n * Pasó de verdad el 2026-08-24 sobre `~/.ada/agent/auth.json`: seis\n * proveedores perdidos, sin recuperación posible, porque el llavero de macOS no\n * guarda historial.\n *\n * Es la familia de siempre —«no puedo» leído como «no hay»— pero aquí no\n * informa mal: DESTRUYE DATOS. Por eso son tres estados y no dos.\n */\ntype LecturaDeClave =\n\t| { estado: \"leida\"; clave: Buffer }\n\t| { estado: \"no-existe\" }\n\t| { estado: \"error\"; motivo: string };\n\n/** `security` devuelve 44 (errSecItemNotFound) cuando la entrada no está. */\nconst CODIGO_NO_ENCONTRADO = 44;\n\nfunction leerClaveDelLlavero(): LecturaDeClave {\n\tif (!hayLlaveroDisponible()) return { estado: \"no-existe\" };\n\t// Fuera del try a propósito: si `servicioLlavero()` se planta porque una\n\t// prueba iba a morder la entrada de producción, ese error tiene que SALIR.\n\t// Dentro del try acabaría clasificado como un `estado: \"error\"` cualquiera,\n\t// y lo que hay que hacer con él es parar, no seguir sin cifrar.\n\tconst servicio = servicioLlavero();\n\tlet salida: string;\n\ttry {\n\t\tsalida = execFileSync(\n\t\t\t\"/usr/bin/security\",\n\t\t\t[\"find-generic-password\", \"-s\", servicio, \"-a\", CUENTA_LLAVERO, \"-w\"],\n\t\t\t// stdio \"pipe\" en los tres canales: sin esto, `security` hereda\n\t\t\t// nuestro stderr y el \"could not be found in the keychain\" (normal\n\t\t\t// en el primer arranque, antes de crear la clave) se ve como si\n\t\t\t// algo hubiera ido mal.\n\t\t\t{ timeout: TIMEOUT_LLAVERO_MS, encoding: \"utf-8\", windowsHide: true, stdio: [\"pipe\", \"pipe\", \"pipe\"] },\n\t\t).trim();\n\t} catch (error) {\n\t\tconst e = error as NodeJS.ErrnoException & { status?: number | null };\n\t\tif (e.status === CODIGO_NO_ENCONTRADO) return { estado: \"no-existe\" };\n\t\t// Todo lo demás es un fallo del que NO se puede deducir que no haya\n\t\t// clave: tiempo agotado (`ETIMEDOUT`), llavero bloqueado, `security`\n\t\t// que no arranca. Rotar aquí es lo que destruyó las credenciales.\n\t\treturn { estado: \"error\", motivo: e.code ?? `security salió con ${e.status}` };\n\t}\n\tif (!salida) return { estado: \"error\", motivo: \"el llavero devolvió una entrada vacía\" };\n\tconst clave = Buffer.from(salida, \"base64\");\n\t// Una entrada presente pero con el tamaño equivocado también es un error, no\n\t// una ausencia: sobrescribirla tiraría la clave buena si el fallo está en la\n\t// lectura y no en el dato.\n\tif (clave.length !== 32)\n\t\treturn { estado: \"error\", motivo: `la clave del llavero mide ${clave.length} bytes, no 32` };\n\treturn { estado: \"leida\", clave };\n}\n\nfunction guardarClaveEnLlavero(clave: Buffer): boolean {\n\tif (!hayLlaveroDisponible()) return false;\n\tconst servicio = servicioLlavero(); // fuera del try: ver `leerClaveDelLlavero`\n\ttry {\n\t\t// -w sin valor en argv: la contraseña se pasa por stdin para que no quede\n\t\t// visible en `ps`/el historial del proceso (mismo patrón que\n\t\t// memory-engine/keychain.ts). Comprobado a mano: `security` pide el valor\n\t\t// DOS VECES por stdin (password + confirmación) aunque no haya terminal;\n\t\t// una sola línea deja la segunda lectura vacía y falla con \"passwords\n\t\t// don't match\".\n\t\tconst valor = clave.toString(\"base64\");\n\t\texecFileSync(\n\t\t\t\"/usr/bin/security\",\n\t\t\t// SIN `-U`. Con `-U` esto SOBRESCRIBE la entrada existente, y ese es el\n\t\t\t// segundo camino por el que se perdieron las credenciales de esta\n\t\t\t// máquina: un fallo de lectura hacía creer que no había clave y este\n\t\t\t// `-U` remataba tirando la buena. Sin él, `security` falla si ya existe,\n\t\t\t// que es justo la señal que quien llama necesita para releer.\n\t\t\t//\n\t\t\t// El PRIMER camino lo encontró la revisión de `hueco-commit` y es\n\t\t\t// distinto: las pruebas de este módulo borraban la entrada de\n\t\t\t// PRODUCCIÓN en su `afterEach`. Los dos arreglos hacen falta —\n\t\t\t// `servicioLlavero()` impide que una prueba toque la clave real, y esto\n\t\t\t// impide que un fallo pasajero la rote.\n\t\t\t[\"add-generic-password\", \"-s\", servicio, \"-a\", CUENTA_LLAVERO, \"-w\"],\n\t\t\t{\n\t\t\t\ttimeout: TIMEOUT_LLAVERO_MS,\n\t\t\t\twindowsHide: true,\n\t\t\t\tinput: `${valor}\\n${valor}\\n`,\n\t\t\t\tstdio: [\"pipe\", \"pipe\", \"pipe\"],\n\t\t\t},\n\t\t);\n\t\treturn true;\n\t} catch {\n\t\treturn false;\n\t}\n}\n\nlet claveEnCache: Buffer | null | undefined; // undefined = aún no consultada\n\n/**\n * Clave maestra. `null` = no hay llavero en esta máquina (CI, contenedor), que\n * es el caso legítimo de \"no se cifra\". **Lanza** si el llavero está pero no se\n * ha podido leer: ahí seguir sería inventarse una clave nueva y perder lo\n * cifrado con la anterior.\n */\nfunction obtenerOCrearClave(): Buffer | null {\n\tif (!hayLlaveroDisponible()) return null;\n\tif (claveEnCache !== undefined) return claveEnCache;\n\n\tconst lectura = leerClaveDelLlavero();\n\tif (lectura.estado === \"leida\") {\n\t\tclaveEnCache = lectura.clave;\n\t\treturn claveEnCache;\n\t}\n\tif (lectura.estado === \"error\") {\n\t\t// Fallar cerrado. Un error aquí NO se cachea: el fallo puede ser pasajero\n\t\t// y el siguiente intento debe volver a preguntarle al llavero.\n\t\tthrow new Error(\n\t\t\t`No se ha podido leer la clave maestra del llavero (${lectura.motivo}).\\n` +\n\t\t\t\t\"No se genera una nueva a propósito: eso dejaría ilegible para siempre el auth.json\\n\" +\n\t\t\t\t\"ya cifrado. Desbloquea el llavero y vuelve a intentarlo, o exporta ADA_SIN_LLAVERO=1\\n\" +\n\t\t\t\t\"para trabajar sin cifrado en reposo.\",\n\t\t);\n\t}\n\n\t// No existe: primera vez. Se crea SIN `-U`, para que dos procesos a la vez no\n\t// se pisen — quien pierde la carrera relee en vez de sobrescribir.\n\tconst nueva = randomBytes(32);\n\tif (guardarClaveEnLlavero(nueva)) {\n\t\tclaveEnCache = nueva;\n\t\treturn claveEnCache;\n\t}\n\tconst segunda = leerClaveDelLlavero();\n\tif (segunda.estado === \"leida\") {\n\t\tclaveEnCache = segunda.clave;\n\t\treturn claveEnCache;\n\t}\n\t// Ni se pudo crear ni leer: sin llavero utilizable. Se deja sin cifrar, que\n\t// es el comportamiento documentado, y se avisa una vez.\n\tclaveEnCache = null;\n\treturn null;\n}\n\n// ─── AES-256-GCM ────────────────────────────────────────────────────────────\n\nfunction cifrar(contenidoClaro: string, clave: Buffer): string {\n\tconst iv = randomBytes(12);\n\tconst cipher = createCipheriv(\"aes-256-gcm\", clave, iv);\n\tconst datos = Buffer.concat([cipher.update(contenidoClaro, \"utf-8\"), cipher.final()]);\n\tconst sobre: SobreCifrado = {\n\t\tiv: iv.toString(\"base64\"),\n\t\ttag: cipher.getAuthTag().toString(\"base64\"),\n\t\tdatos: datos.toString(\"base64\"),\n\t};\n\treturn CABECERA_CIFRADO + JSON.stringify(sobre);\n}\n\nfunction descifrar(contenidoFichero: string, clave: Buffer): string {\n\tconst sobre = JSON.parse(contenidoFichero.slice(CABECERA_CIFRADO.length)) as SobreCifrado;\n\tconst decipher = createDecipheriv(\"aes-256-gcm\", clave, Buffer.from(sobre.iv, \"base64\"));\n\tdecipher.setAuthTag(Buffer.from(sobre.tag, \"base64\"));\n\tconst claro = Buffer.concat([decipher.update(Buffer.from(sobre.datos, \"base64\")), decipher.final()]);\n\treturn claro.toString(\"utf-8\");\n}\n\n// ─── Error legible: nunca un stack para un fichero dañado ─────────────────\n\n/**\n * auth.json cifrado que no se puede leer: auth tag inválido, JSON del sobre\n * truncado, o llavero sin la clave que lo cifró (p.ej. copiado desde otra\n * máquina). \"no he podido leerlo\" y \"no hay credenciales\" son cosas\n * distintas: esto SIEMPRE es lo primero, nunca se confunde con un auth.json\n * vacío legítimo.\n */\nexport class AuthJsonCorruptoError extends Error {\n\tconstructor(authPath: string, causa: unknown) {\n\t\tsuper(\n\t\t\t`auth.json está cifrado pero no se ha podido leer (${authPath}).\\n` +\n\t\t\t\t`Puede estar dañado, o cifrado con la clave de otra máquina.\\n` +\n\t\t\t\t`Qué hacer:\\n` +\n\t\t\t\t`  1. Si existe una copia de seguridad, restáurala:\\n` +\n\t\t\t\t`       cp \"${authPath}.bak\" \"${authPath}\"\\n` +\n\t\t\t\t`  2. Si no, vuelve a iniciar sesión con cada proveedor:\\n` +\n\t\t\t\t`       ada-cli auth login <proveedor>\\n` +\n\t\t\t\t(causa instanceof Error ? `(detalle técnico: ${causa.message})` : \"\"),\n\t\t);\n\t\tthis.name = \"AuthJsonCorruptoError\";\n\t}\n}\n\n// ─── Escritura: copia de seguridad + atómica (temporal + rename) ──────────\n\nfunction escrituraAtomicaConCopia(authPath: string, contenido: string, contenidoParaCopia?: string): void {\n\t// El permiso del fichero (0600, o 0660 si un administrador lo gestiona) es\n\t// intencional y no es nuestro para decidir — igual que\n\t// AUTH_FILE_WRITE_OPTIONS en auth-storage.ts, que solo fija el modo al\n\t// CREAR. Un rename sustituye el inodo entero, así que sin esto el permiso\n\t// original se perdería silenciosamente en cada recifrado.\n\tconst modoExistente = existsSync(authPath) ? statSync(authPath).mode & 0o777 : 0o600;\n\t// Copia ANTES de tocar el fichero real: si el rename de abajo no llegara a\n\t// completarse (disco lleno a mitad, proceso matado entre write y rename),\n\t// .bak es la única vía para no perder el acceso a TODOS los proveedores.\n\t//\n\t// `contenidoParaCopia` (si se pasa) sustituye lo que hay en disco: la\n\t// primera migración de un auth.json en claro pasa por aquí con el fichero\n\t// TODAVÍA en claro sobre disco, y una copia literal (`readFileSync`)\n\t// dejaría el secreto en claro para siempre en `.bak` — con el mismo modo\n\t// 0600 que el propio auth.json ya tenía, así que no cierra nada: reabre\n\t// exactamente el agujero que este módulo existe para tapar. Quien llama\n\t// (`escribirConCifradoSiHayClave`) cifra ese contenido antes de pasarlo.\n\tif (existsSync(authPath)) {\n\t\tconst backupPath = `${authPath}.bak`;\n\t\twriteFileSync(backupPath, contenidoParaCopia ?? readFileSync(authPath), { mode: modoExistente });\n\t\tchmodSync(backupPath, modoExistente); // mismo motivo que el temporal: el umask no debe recortar el modo\n\t}\n\tconst tmpPath = `${authPath}.tmp-${process.pid}-${Date.now()}`;\n\twriteFileSync(tmpPath, contenido, { encoding: \"utf-8\", mode: modoExistente });\n\t// El `mode` de writeFileSync pasa por el umask del proceso al CREAR un\n\t// fichero (0660 con umask 022 se queda en 0640) — algo que un `writeFileSync`\n\t// normal sobre un fichero YA existente no sufre, porque el modo se ignora\n\t// del todo si no hay creación. Como el temporal siempre es nuevo, hace\n\t// falta un chmod explícito (ignora el umask) para replicar ese mismo\n\t// comportamiento y no perder un modo gestionado por un administrador.\n\tchmodSync(tmpPath, modoExistente);\n\trenameSync(tmpPath, authPath); // rename es atómico dentro del mismo filesystem\n}\n\nlet avisoSinLlaveroMostrado = false;\n\n/** Se llama tanto al detectar un fichero en claro sin poder cifrarlo como al querer escribir sin llavero. */\nfunction avisarSinLlaveroUnaVez(): void {\n\tif (avisoSinLlaveroMostrado) return;\n\tavisoSinLlaveroMostrado = true;\n\tconsole.error(\n\t\t`[ada] auth.json NO se cifra: no hay llavero del sistema disponible en esta máquina ` +\n\t\t\t`(CI, contenedor, o Linux sin secret-service). Una clave guardada en el mismo disco que ` +\n\t\t\t`el fichero que protege sería ofuscación, no cifrado — se deja en claro con permisos 0600, ` +\n\t\t\t`como hasta ahora.`,\n\t);\n}\n\nfunction escribirConCifradoSiHayClave(authPath: string, contenidoClaro: string): void {\n\tconst clave = obtenerOCrearClave();\n\tif (!clave) {\n\t\tavisarSinLlaveroUnaVez();\n\t\tescrituraAtomicaConCopia(authPath, contenidoClaro);\n\t\treturn;\n\t}\n\t// Si lo que hay AHORA en disco está en claro (primera migración), la copia\n\t// de seguridad se cifra también con la misma clave — en vez de dejar que\n\t// `escrituraAtomicaConCopia` copie los bytes tal cual. `.bak` sigue\n\t// sirviendo para recuperar de una escritura a medias: al restaurarlo,\n\t// `decodificarParaLectura` reconoce la cabecera y lo descifra igual que al\n\t// auth.json real.\n\tconst actual = existsSync(authPath) ? readFileSync(authPath, \"utf-8\") : undefined;\n\tconst copiaSegura = actual !== undefined && !esFormatoCifrado(actual) ? cifrar(actual, clave) : actual;\n\tescrituraAtomicaConCopia(authPath, cifrar(contenidoClaro, clave), copiaSegura);\n}\n\nlet avisoCorruptoMostrado = false;\n\n/**\n * `AuthStorage.reload()` (upstream, `auth-storage.ts`) atrapa CUALQUIER error\n * de su backend y lo trata como \"transitorio, conserva el último estado\n * bueno\" — y sin `signal`, `readLatestData()` hace lo mismo. Si solo\n * lanzáramos, ese catch se come el error y el llamador ve \"no hay\n * credenciales\" en vez de \"no he podido leerlas\": exactamente la confusión\n * que no puede pasar (ver AGENTS.md, regla de errores). Por eso esto SIEMPRE\n * imprime la guía en stderr, una vez, ANTES de lanzar: quien atrape la\n * excepción se la queda para sí, pero el aviso ya salió por su cuenta.\n */\nfunction lanzarCorrupto(authPath: string, causa: unknown): never {\n\tconst error = new AuthJsonCorruptoError(authPath, causa);\n\tif (!avisoCorruptoMostrado) {\n\t\tavisoCorruptoMostrado = true;\n\t\tconsole.error(`[ada] ${error.message}`);\n\t}\n\tthrow error;\n}\n\n/** Descifra si hace falta; el contenido en claro se devuelve tal cual, sin adivinar. */\nfunction decodificarParaLectura(authPath: string, contenidoBruto: string | undefined): string | undefined {\n\tif (contenidoBruto === undefined || !esFormatoCifrado(contenidoBruto)) return contenidoBruto;\n\tconst clave = obtenerOCrearClave();\n\tif (!clave) {\n\t\tlanzarCorrupto(\n\t\t\tauthPath,\n\t\t\tnew Error(\"el fichero está cifrado pero no hay llavero disponible para descifrarlo aquí\"),\n\t\t);\n\t}\n\ttry {\n\t\treturn descifrar(contenidoBruto, clave);\n\t} catch (error) {\n\t\tlanzarCorrupto(authPath, error);\n\t}\n}\n\n// ─── Migración en segundo plano (nunca dentro del candado de la lectura) ──\n\nconst migracionEnCursoPara = new Set<string>();\n\nfunction programarMigracionEnSegundoPlano(interno: AuthStorageBackend, authPath: string): void {\n\tif (!hayLlaveroDisponible()) {\n\t\t// Sin llavero no hay nada que recifrar: pedir el candado igualmente\n\t\t// solo para reescribir el mismo texto en claro es trabajo (y contención\n\t\t// entre procesos) sin beneficio. Basta con avisar.\n\t\tavisarSinLlaveroUnaVez();\n\t\treturn;\n\t}\n\tif (migracionEnCursoPara.has(authPath)) return; // ya hay una en vuelo; la lectura repetida no acumula trabajo\n\tmigracionEnCursoPara.add(authPath);\n\t// setImmediate: la lectura que detectó \"en claro\" todavía mantiene el\n\t// candado de `interno` abierto en su propia pila de llamadas. Pedirlo de\n\t// nuevo aquí mismo se autobloquearía; con setImmediate se agenda para\n\t// DESPUÉS de que esa lectura suelte el candado.\n\tsetImmediate(() => {\n\t\tvoid interno\n\t\t\t.withLockAsync(async (actual) => {\n\t\t\t\tif (actual === undefined || esFormatoCifrado(actual)) {\n\t\t\t\t\treturn { result: undefined }; // otro proceso ya migró, o no hay nada que migrar\n\t\t\t\t}\n\t\t\t\tescribirConCifradoSiHayClave(authPath, actual);\n\t\t\t\t// Ya escribimos nosotros mismos (copia + atómico); devolver `next`\n\t\t\t\t// aquí haría que el backend interno reescribiera SIN copia de\n\t\t\t\t// seguridad, pisando la que acabamos de crear.\n\t\t\t\treturn { result: undefined };\n\t\t\t}, {})\n\t\t\t.catch((error) => {\n\t\t\t\tconsole.error(\n\t\t\t\t\t`[ada] no se pudo recifrar auth.json en segundo plano: ${error instanceof Error ? error.message : String(error)}`,\n\t\t\t\t);\n\t\t\t})\n\t\t\t.finally(() => {\n\t\t\t\tmigracionEnCursoPara.delete(authPath);\n\t\t\t});\n\t});\n}\n\n// ─── El wrapper ─────────────────────────────────────────────────────────────\n\n/**\n * Envuelve un `AuthStorageBackend` (normalmente un `FileAuthStorageBackend`\n * ya construido, que sigue poseyendo el candado entre procesos) para que\n * cifre/descifre en reposo de forma transparente para quien lo use.\n */\nexport function envolverBackendCifrado(interno: AuthStorageBackend, authPath: string): AuthStorageBackend {\n\treturn {\n\t\twithLock<T>(fn: (current: string | undefined) => { result: T; next?: string }): T {\n\t\t\treturn interno.withLock((actual) => {\n\t\t\t\tconst claro = decodificarParaLectura(authPath, actual);\n\t\t\t\tif (actual !== undefined && !esFormatoCifrado(actual)) {\n\t\t\t\t\tprogramarMigracionEnSegundoPlano(interno, authPath);\n\t\t\t\t}\n\t\t\t\tconst { result, next } = fn(claro);\n\t\t\t\tif (next !== undefined) escribirConCifradoSiHayClave(authPath, next);\n\t\t\t\treturn { result }; // `next` siempre undefined hacia `interno`: la escritura ya ocurrió arriba\n\t\t\t});\n\t\t},\n\t\tasync withLockAsync<T>(\n\t\t\tfn: (current: string | undefined) => Promise<{ result: T; next?: string }>,\n\t\t\toptions?: AuthOperationOptions,\n\t\t): Promise<T> {\n\t\t\treturn interno.withLockAsync(async (actual) => {\n\t\t\t\tconst claro = decodificarParaLectura(authPath, actual);\n\t\t\t\tif (actual !== undefined && !esFormatoCifrado(actual)) {\n\t\t\t\t\tprogramarMigracionEnSegundoPlano(interno, authPath);\n\t\t\t\t}\n\t\t\t\tconst { result, next } = await fn(claro);\n\t\t\t\tif (next !== undefined) escribirConCifradoSiHayClave(authPath, next);\n\t\t\t\treturn { result };\n\t\t\t}, options);\n\t\t},\n\t};\n}\n\n/**\n * Lectura síncrona de UNA credencial ya guardada, descifrando si hace falta.\n *\n * Sustituye a `readStoredCredential` (upstream, `auth-storage.ts`), exportada\n * en `index.ts` como parte de la API pública del SDK (`@hoilab/ada-cli`) para\n * lecturas puntuales sin instanciar `AuthStorage`. Esa función hace su propio\n * `readFileSync` + `JSON.parse` sin pasar por este módulo: con auth.json ya\n * migrado a cifrado, la cabecera `ADA-AUTHJSON-CIFRADO-V1\\n` delante del JSON\n * hace que `JSON.parse` lance un `SyntaxError` que su `catch { return\n * undefined; }` convierte en \"no hay credencial\" — indistinguible de un\n * proveedor sin configurar, para CUALQUIER consumidor de esta función\n * pública, presente o futuro. Mismo nombre y misma firma (con el mismo valor\n * por defecto de `authPath`) para seguir siendo un reemplazo directo.\n */\nexport function leerCredencialGuardada(\n\tproviderId: string,\n\tauthPath: string = join(getAgentDir(), \"auth.json\"),\n): Credential | undefined {\n\ttry {\n\t\tconst bruto = stripBom(readFileSync(authPath, \"utf-8\"));\n\t\tconst claro = decodificarParaLectura(authPath, bruto);\n\t\tif (claro === undefined) return undefined;\n\t\tconst datos = JSON.parse(claro) as Record<string, Credential>;\n\t\treturn datos[providerId];\n\t} catch {\n\t\treturn undefined;\n\t}\n}\n\n/** Solo para pruebas: limpia el estado en memoria del módulo entre casos. */\nexport function __resetEstadoParaPruebas(): void {\n\tclaveEnCache = undefined;\n\tavisoSinLlaveroMostrado = false;\n\tavisoCorruptoMostrado = false;\n\tmigracionEnCursoPara.clear();\n}\n\n/** Solo para pruebas: borra la clave maestra del llavero real de esta máquina. */\nexport function __eliminarClaveDeLlaveroParaPruebas(): void {\n\tif (!esMacOS()) return;\n\tconst servicio = servicioLlavero(); // fuera del try: ver `leerClaveDelLlavero`\n\ttry {\n\t\texecFileSync(\"/usr/bin/security\", [\"delete-generic-password\", \"-s\", servicio, \"-a\", CUENTA_LLAVERO], {\n\t\t\ttimeout: TIMEOUT_LLAVERO_MS,\n\t\t\twindowsHide: true,\n\t\t\tstdio: [\"pipe\", \"pipe\", \"pipe\"],\n\t\t});\n\t} catch {\n\t\t// no había clave que borrar\n\t}\n}\n"]}

package/dist/core/credenciales/servidor.d.ts

@@ -0,0 +1,55 @@
+/**
+ * Servidor HTTP del broker de credenciales.
+ *
+ * No es un producto nuevo: es un MODO de `ada-cli serve` (ver
+ * `cli/serve-command.ts`). El gateway de oh-my-pi resuelve la credencial en el
+ * servidor y la inyecta para que el cliente nunca vea el token; aquí no hay
+ * proxy de peticiones a proveedores (fuera de alcance), así que `/v1/credential`
+ * SÍ entrega el secreto — es lo mínimo para que un cliente pueda llamar al
+ * proveedor sin tenerlo nunca en su disco. Lo que sí se copia sin rebajar:
+ *
+ * - **Fallar cerrado.** Sin bearer configurado, `iniciarServidorBroker` lanza
+ *   antes de abrir el socket de escucha. Un broker que arrancara sin auth
+ *   "por ahora" es exactamente el tipo de atajo que se queda para siempre.
+ * - **Comparación en tiempo constante del bearer**, para no dar una guía de
+ *   temporización a quien intente adivinarlo por fuerza bruta.
+ * - **Todo excepto `/v1/health` exige bearer.** La salud tiene que poder
+ *   contestar aunque el token esté mal configurado en quien pregunta — es lo
+ *   único que un balanceador o un `curl` de comprobación necesita sin secreto.
+ *
+ * Cada resolución de credencial y cada reporte de uso quedan en el libro de
+ * sesión (`core/audit/libro.ts`) — es la pieza que oh-my-pi no tiene: quién
+ * usó qué cuenta y cuándo, auditable.
+ */
+import type { LibroDeSesion } from "../audit/libro.ts";
+import type { CredencialPool } from "./pool.ts";
+export declare const DEFAULT_BROKER_BIND = "127.0.0.1:8765";
+export interface OpcionesServidorBroker {
+    pool: CredencialPool;
+    /** Bearer requerido en cada petición salvo `/v1/health`. Vacío = error: ver `iniciarServidorBroker`. */
+    token: string;
+    libro: LibroDeSesion;
+    /** `host:puerto`. Por defecto `127.0.0.1:8765` — solo loopback, sin exposición externa. */
+    bind?: string;
+    /**
+     * Permite escuchar FUERA de loopback aun sabiendo que el transporte es HTTP
+     * sin cifrar. Sin esto, un `bind` a una interfaz real no arranca.
+     *
+     * El nombre es largo y feo a propósito: quien lo escribe no puede decir
+     * después que no lo sabía, y queda escrito en el fichero de despliegue —que
+     * es auditable— en vez de en un aviso que se va con el scroll.
+     */
+    inseguroSinTls?: boolean;
+}
+export interface ServidorBroker {
+    url: string;
+    puerto: number;
+    cerrar(): Promise<void>;
+}
+/**
+ * Arranca el broker. Lanza SIN escuchar si no hay bearer — fallar cerrado, no
+ * "escuchar sin auth por ahora". Esto es lo que la puerta de verificación
+ * comprueba forzando el caso vacío y confirmando que no hay servidor.
+ */
+export declare function iniciarServidorBroker(opciones: OpcionesServidorBroker): Promise<ServidorBroker>;
+//# sourceMappingURL=servidor.d.ts.map

package/dist/core/credenciales/servidor.d.ts.map

@@ -0,0 +1 @@
+{"version":3,"file":"servidor.d.ts","sourceRoot":"","sources":["../../../src/core/credenciales/servidor.ts"],"names":[],"mappings":"AAAA;;;;;;;;;;;;;;;;;;;;;;GAsBG;AAIH,OAAO,KAAK,EAAE,aAAa,EAAE,MAAM,mBAAmB,CAAC;AACvD,OAAO,KAAK,EAAE,cAAc,EAAE,MAAM,WAAW,CAAC;AAEhD,eAAO,MAAM,mBAAmB,mBAAmB,CAAC;AAEpD,MAAM,WAAW,sBAAsB;IACtC,IAAI,EAAE,cAAc,CAAC;IACrB,0GAAwG;IACxG,KAAK,EAAE,MAAM,CAAC;IACd,KAAK,EAAE,aAAa,CAAC;IACrB,8FAA2F;IAC3F,IAAI,CAAC,EAAE,MAAM,CAAC;IACd;;;;;;;OAOG;IACH,cAAc,CAAC,EAAE,OAAO,CAAC;CACzB;AAED,MAAM,WAAW,cAAc;IAC9B,GAAG,EAAE,MAAM,CAAC;IACZ,MAAM,EAAE,MAAM,CAAC;IACf,MAAM,IAAI,OAAO,CAAC,IAAI,CAAC,CAAC;CACxB;AAuCD;;;;GAIG;AACH,wBAAsB,qBAAqB,CAAC,QAAQ,EAAE,sBAAsB,GAAG,OAAO,CAAC,cAAc,CAAC,CA2JrG","sourcesContent":["/**\n * Servidor HTTP del broker de credenciales.\n *\n * No es un producto nuevo: es un MODO de `ada-cli serve` (ver\n * `cli/serve-command.ts`). El gateway de oh-my-pi resuelve la credencial en el\n * servidor y la inyecta para que el cliente nunca vea el token; aquí no hay\n * proxy de peticiones a proveedores (fuera de alcance), así que `/v1/credential`\n * SÍ entrega el secreto — es lo mínimo para que un cliente pueda llamar al\n * proveedor sin tenerlo nunca en su disco. Lo que sí se copia sin rebajar:\n *\n * - **Fallar cerrado.** Sin bearer configurado, `iniciarServidorBroker` lanza\n *   antes de abrir el socket de escucha. Un broker que arrancara sin auth\n *   \"por ahora\" es exactamente el tipo de atajo que se queda para siempre.\n * - **Comparación en tiempo constante del bearer**, para no dar una guía de\n *   temporización a quien intente adivinarlo por fuerza bruta.\n * - **Todo excepto `/v1/health` exige bearer.** La salud tiene que poder\n *   contestar aunque el token esté mal configurado en quien pregunta — es lo\n *   único que un balanceador o un `curl` de comprobación necesita sin secreto.\n *\n * Cada resolución de credencial y cada reporte de uso quedan en el libro de\n * sesión (`core/audit/libro.ts`) — es la pieza que oh-my-pi no tiene: quién\n * usó qué cuenta y cuándo, auditable.\n */\n\nimport { timingSafeEqual } from \"node:crypto\";\nimport { createServer, type IncomingMessage, type Server, type ServerResponse } from \"node:http\";\nimport type { LibroDeSesion } from \"../audit/libro.ts\";\nimport type { CredencialPool } from \"./pool.ts\";\n\nexport const DEFAULT_BROKER_BIND = \"127.0.0.1:8765\";\n\nexport interface OpcionesServidorBroker {\n\tpool: CredencialPool;\n\t/** Bearer requerido en cada petición salvo `/v1/health`. Vacío = error: ver `iniciarServidorBroker`. */\n\ttoken: string;\n\tlibro: LibroDeSesion;\n\t/** `host:puerto`. Por defecto `127.0.0.1:8765` — solo loopback, sin exposición externa. */\n\tbind?: string;\n\t/**\n\t * Permite escuchar FUERA de loopback aun sabiendo que el transporte es HTTP\n\t * sin cifrar. Sin esto, un `bind` a una interfaz real no arranca.\n\t *\n\t * El nombre es largo y feo a propósito: quien lo escribe no puede decir\n\t * después que no lo sabía, y queda escrito en el fichero de despliegue —que\n\t * es auditable— en vez de en un aviso que se va con el scroll.\n\t */\n\tinseguroSinTls?: boolean;\n}\n\nexport interface ServidorBroker {\n\turl: string;\n\tpuerto: number;\n\tcerrar(): Promise<void>;\n}\n\nfunction leerCuerpo(req: IncomingMessage): Promise<string> {\n\treturn new Promise((resolve, reject) => {\n\t\tconst trozos: Buffer[] = [];\n\t\treq.on(\"data\", (t) => trozos.push(t));\n\t\treq.on(\"end\", () => resolve(Buffer.concat(trozos).toString(\"utf-8\")));\n\t\treq.on(\"error\", reject);\n\t});\n}\n\nfunction enviarJson(res: ServerResponse, estado: number, cuerpo: unknown): void {\n\tconst texto = JSON.stringify(cuerpo);\n\tres.writeHead(estado, {\n\t\t\"content-type\": \"application/json; charset=utf-8\",\n\t\t\"content-length\": Buffer.byteLength(texto),\n\t});\n\tres.end(texto);\n}\n\n/** `true` si `host` no sale de la máquina — lo único que hace inofensivo el HTTP sin cifrar. */\nfunction esLoopback(host: string): boolean {\n\treturn host === \"127.0.0.1\" || host === \"localhost\" || host === \"::1\" || host === \"[::1]\";\n}\n\n/**\n * Compara el bearer en tiempo constante. `timingSafeEqual` exige buffers de\n * igual longitud, así que una longitud distinta ya es \"no coincide\" sin pasar\n * por la comparación — no hay atajo de timing ahí porque la longitud de un\n * bearer típico no es secreta (va en la URL de configuración de cada cliente).\n */\nfunction bearerValido(cabecera: string | undefined, token: string): boolean {\n\tif (!cabecera?.startsWith(\"Bearer \")) return false;\n\tconst recibido = Buffer.from(cabecera.slice(\"Bearer \".length));\n\tconst esperado = Buffer.from(token);\n\tif (recibido.length !== esperado.length) return false;\n\treturn timingSafeEqual(recibido, esperado);\n}\n\n/**\n * Arranca el broker. Lanza SIN escuchar si no hay bearer — fallar cerrado, no\n * \"escuchar sin auth por ahora\". Esto es lo que la puerta de verificación\n * comprueba forzando el caso vacío y confirmando que no hay servidor.\n */\nexport async function iniciarServidorBroker(opciones: OpcionesServidorBroker): Promise<ServidorBroker> {\n\tconst token = opciones.token?.trim() ?? \"\";\n\tif (token === \"\") {\n\t\tthrow new Error(\n\t\t\t\"El broker no arranca sin un bearer configurado (ADA_BROKER_TOKEN). \" +\n\t\t\t\t\"Escuchar sin auth expondría las credenciales de todo el equipo a quien alcance el puerto.\",\n\t\t);\n\t}\n\n\tconst { pool, libro } = opciones;\n\tconst [host, puertoTexto] = (opciones.bind ?? DEFAULT_BROKER_BIND).split(\":\");\n\tconst puertoPedido = Number(puertoTexto);\n\n\t// El bearer viaja en texto plano: HTTP, no HTTPS. En loopback eso es\n\t// inofensivo (no sale de la máquina). En cuanto el bind apunta a una interfaz\n\t// real —que es justo lo que hace falta para que el equipo lo alcance desde\n\t// otro portátil, el caso de uso que motiva este módulo— el bearer y las\n\t// credenciales que reparte cruzan la red sin cifrar: quien esnife ese\n\t// segmento se lleva el token y, con él, cualquier credencial.\n\t//\n\t// Aquí SE FALLA CERRADO, y no es lo mismo que avisar. Un aviso por stderr\n\t// compite con la señal de éxito («broker escuchando en 0.0.0.0:8765») y\n\t// pierde: el operador lee que arrancó y sigue. Es un fallo que se lee como\n\t// éxito, la familia de defectos que más nos ha costado en este repositorio.\n\t//\n\t// El despliegue legítimo —un proxy TLS terminando por delante de este mismo\n\t// bind— sigue siendo posible: escribe `inseguroSinTls` una vez y queda en su\n\t// fichero de configuración, que es auditable. Un aviso no queda en ninguna\n\t// parte, y «te avisamos por stderr» no se sostiene delante de un auditor.\n\tif (!esLoopback(host) && opciones.inseguroSinTls !== true) {\n\t\tthrow new Error(\n\t\t\t`El broker no arranca en ${host}: fuera de loopback el bearer y todas las credenciales que ` +\n\t\t\t\t\"reparte viajarían en HTTP sin cifrar, y cualquiera en esa red podría esnifarlos.\\n\\n\" +\n\t\t\t\t\"  · Recomendado: déjalo en 127.0.0.1 y llega a él por un túnel (SSH, WireGuard) o por un\\n\" +\n\t\t\t\t\"    proxy TLS que termine delante.\\n\" +\n\t\t\t\t\"  · Si YA tienes ese proxy TLS delante de este mismo bind, pasa `inseguroSinTls: true`\\n\" +\n\t\t\t\t\"    (CLI: --inseguro-sin-tls) para confirmarlo de forma explícita.\",\n\t\t);\n\t}\n\tif (!esLoopback(host)) {\n\t\t// Llegar aquí es haberlo pedido a conciencia. Se deja constancia igualmente:\n\t\t// el que lo escribió no es siempre el que lee los registros seis meses después.\n\t\tconsole.error(\n\t\t\t`AVISO: el broker escucha en ${host} sin TLS propio, por --inseguro-sin-tls. Solo es seguro si ` +\n\t\t\t\t\"hay un proxy TLS terminando delante de este bind.\",\n\t\t);\n\t}\n\n\tconst manejar = async (req: IncomingMessage, res: ServerResponse): Promise<void> => {\n\t\tconst url = new URL(req.url ?? \"/\", \"http://localhost\");\n\n\t\tif (req.method === \"GET\" && url.pathname === \"/v1/health\") {\n\t\t\tenviarJson(res, 200, { ok: true });\n\t\t\treturn;\n\t\t}\n\n\t\tif (!bearerValido(req.headers.authorization, token)) {\n\t\t\tenviarJson(res, 401, { error: \"bearer-invalido\" });\n\t\t\treturn;\n\t\t}\n\n\t\tif (req.method === \"GET\" && url.pathname === \"/v1/snapshot\") {\n\t\t\tenviarJson(res, 200, { credenciales: pool.snapshot() });\n\t\t\treturn;\n\t\t}\n\n\t\tif (req.method === \"POST\" && url.pathname === \"/v1/credential\") {\n\t\t\tlet cuerpo: { proveedor?: string; promptCacheKey?: string; cliente?: string };\n\t\t\ttry {\n\t\t\t\tcuerpo = JSON.parse(await leerCuerpo(req));\n\t\t\t} catch {\n\t\t\t\tenviarJson(res, 400, { error: \"cuerpo-invalido\" });\n\t\t\t\treturn;\n\t\t\t}\n\t\t\tconst proveedor = cuerpo.proveedor;\n\t\t\tif (!proveedor) {\n\t\t\t\tenviarJson(res, 400, { error: \"falta-proveedor\" });\n\t\t\t\treturn;\n\t\t\t}\n\t\t\tconst elegida = pool.elegir(proveedor, cuerpo.promptCacheKey);\n\t\t\tawait libro.anotar({\n\t\t\t\ttipo: \"credencial\",\n\t\t\t\taccion: \"resuelta\",\n\t\t\t\tproveedor,\n\t\t\t\tcredencialId: elegida?.id ?? null,\n\t\t\t\tresultado: elegida ? \"ok\" : \"sin-credencial-activa\",\n\t\t\t\tcliente: cuerpo.cliente,\n\t\t\t});\n\t\t\tif (!elegida) {\n\t\t\t\t// \"No hay nada\" (todas bloqueadas o proveedor desconocido), no \"no he\n\t\t\t\t// podido\": por eso 404 con un motivo, no un 500.\n\t\t\t\tenviarJson(res, 404, { error: \"sin-credencial-activa\", proveedor });\n\t\t\t\treturn;\n\t\t\t}\n\t\t\tenviarJson(res, 200, elegida);\n\t\t\treturn;\n\t\t}\n\n\t\tif (req.method === \"POST\" && url.pathname === \"/v1/usage\") {\n\t\t\tlet cuerpo: { id?: string; ok?: boolean; estadoHttp?: number; mensaje?: string; proveedor?: string };\n\t\t\ttry {\n\t\t\t\tcuerpo = JSON.parse(await leerCuerpo(req));\n\t\t\t} catch {\n\t\t\t\tenviarJson(res, 400, { error: \"cuerpo-invalido\" });\n\t\t\t\treturn;\n\t\t\t}\n\t\t\tif (!cuerpo.id) {\n\t\t\t\tenviarJson(res, 400, { error: \"falta-id\" });\n\t\t\t\treturn;\n\t\t\t}\n\t\t\tconst resultado =\n\t\t\t\tcuerpo.ok === true\n\t\t\t\t\t? ({ ok: true } as const)\n\t\t\t\t\t: ({ ok: false, estadoHttp: cuerpo.estadoHttp, mensaje: cuerpo.mensaje ?? \"\" } as const);\n\t\t\tconst efecto = pool.marcarUso(cuerpo.id, resultado);\n\t\t\tif (!efecto) {\n\t\t\t\tenviarJson(res, 404, { error: \"credencial-desconocida\", id: cuerpo.id });\n\t\t\t\treturn;\n\t\t\t}\n\t\t\tawait libro.anotar({\n\t\t\t\ttipo: \"credencial\",\n\t\t\t\taccion: \"uso\",\n\t\t\t\tproveedor: cuerpo.proveedor ?? \"desconocido\",\n\t\t\t\tcredencialId: cuerpo.id,\n\t\t\t\tresultado: efecto.clase,\n\t\t\t});\n\t\t\tenviarJson(res, 200, efecto);\n\t\t\treturn;\n\t\t}\n\n\t\tenviarJson(res, 404, { error: \"ruta-desconocida\" });\n\t};\n\n\tconst server: Server = createServer((req, res) => {\n\t\tmanejar(req, res).catch((error) => {\n\t\t\tenviarJson(res, 500, {\n\t\t\t\terror: \"fallo-interno\",\n\t\t\t\tmensaje: error instanceof Error ? error.message : String(error),\n\t\t\t});\n\t\t});\n\t});\n\n\tawait new Promise<void>((resolve, reject) => {\n\t\tserver.once(\"error\", reject);\n\t\tserver.listen(puertoPedido, host, () => resolve());\n\t});\n\n\tconst direccion = server.address();\n\tconst puerto = typeof direccion === \"object\" && direccion ? direccion.port : puertoPedido;\n\n\treturn {\n\t\turl: `http://${host}:${puerto}`,\n\t\tpuerto,\n\t\tcerrar: () => new Promise<void>((resolve) => server.close(() => resolve())),\n\t};\n}\n"]}

package/dist/core/credenciales/servidor.js

@@ -0,0 +1,205 @@
+/**
+ * Servidor HTTP del broker de credenciales.
+ *
+ * No es un producto nuevo: es un MODO de `ada-cli serve` (ver
+ * `cli/serve-command.ts`). El gateway de oh-my-pi resuelve la credencial en el
+ * servidor y la inyecta para que el cliente nunca vea el token; aquí no hay
+ * proxy de peticiones a proveedores (fuera de alcance), así que `/v1/credential`
+ * SÍ entrega el secreto — es lo mínimo para que un cliente pueda llamar al
+ * proveedor sin tenerlo nunca en su disco. Lo que sí se copia sin rebajar:
+ *
+ * - **Fallar cerrado.** Sin bearer configurado, `iniciarServidorBroker` lanza
+ *   antes de abrir el socket de escucha. Un broker que arrancara sin auth
+ *   "por ahora" es exactamente el tipo de atajo que se queda para siempre.
+ * - **Comparación en tiempo constante del bearer**, para no dar una guía de
+ *   temporización a quien intente adivinarlo por fuerza bruta.
+ * - **Todo excepto `/v1/health` exige bearer.** La salud tiene que poder
+ *   contestar aunque el token esté mal configurado en quien pregunta — es lo
+ *   único que un balanceador o un `curl` de comprobación necesita sin secreto.
+ *
+ * Cada resolución de credencial y cada reporte de uso quedan en el libro de
+ * sesión (`core/audit/libro.ts`) — es la pieza que oh-my-pi no tiene: quién
+ * usó qué cuenta y cuándo, auditable.
+ */
+import { timingSafeEqual } from "node:crypto";
+import { createServer } from "node:http";
+export const DEFAULT_BROKER_BIND = "127.0.0.1:8765";
+function leerCuerpo(req) {
+    return new Promise((resolve, reject) => {
+        const trozos = [];
+        req.on("data", (t) => trozos.push(t));
+        req.on("end", () => resolve(Buffer.concat(trozos).toString("utf-8")));
+        req.on("error", reject);
+    });
+}
+function enviarJson(res, estado, cuerpo) {
+    const texto = JSON.stringify(cuerpo);
+    res.writeHead(estado, {
+        "content-type": "application/json; charset=utf-8",
+        "content-length": Buffer.byteLength(texto),
+    });
+    res.end(texto);
+}
+/** `true` si `host` no sale de la máquina — lo único que hace inofensivo el HTTP sin cifrar. */
+function esLoopback(host) {
+    return host === "127.0.0.1" || host === "localhost" || host === "::1" || host === "[::1]";
+}
+/**
+ * Compara el bearer en tiempo constante. `timingSafeEqual` exige buffers de
+ * igual longitud, así que una longitud distinta ya es "no coincide" sin pasar
+ * por la comparación — no hay atajo de timing ahí porque la longitud de un
+ * bearer típico no es secreta (va en la URL de configuración de cada cliente).
+ */
+function bearerValido(cabecera, token) {
+    if (!cabecera?.startsWith("Bearer "))
+        return false;
+    const recibido = Buffer.from(cabecera.slice("Bearer ".length));
+    const esperado = Buffer.from(token);
+    if (recibido.length !== esperado.length)
+        return false;
+    return timingSafeEqual(recibido, esperado);
+}
+/**
+ * Arranca el broker. Lanza SIN escuchar si no hay bearer — fallar cerrado, no
+ * "escuchar sin auth por ahora". Esto es lo que la puerta de verificación
+ * comprueba forzando el caso vacío y confirmando que no hay servidor.
+ */
+export async function iniciarServidorBroker(opciones) {
+    const token = opciones.token?.trim() ?? "";
+    if (token === "") {
+        throw new Error("El broker no arranca sin un bearer configurado (ADA_BROKER_TOKEN). " +
+            "Escuchar sin auth expondría las credenciales de todo el equipo a quien alcance el puerto.");
+    }
+    const { pool, libro } = opciones;
+    const [host, puertoTexto] = (opciones.bind ?? DEFAULT_BROKER_BIND).split(":");
+    const puertoPedido = Number(puertoTexto);
+    // El bearer viaja en texto plano: HTTP, no HTTPS. En loopback eso es
+    // inofensivo (no sale de la máquina). En cuanto el bind apunta a una interfaz
+    // real —que es justo lo que hace falta para que el equipo lo alcance desde
+    // otro portátil, el caso de uso que motiva este módulo— el bearer y las
+    // credenciales que reparte cruzan la red sin cifrar: quien esnife ese
+    // segmento se lleva el token y, con él, cualquier credencial.
+    //
+    // Aquí SE FALLA CERRADO, y no es lo mismo que avisar. Un aviso por stderr
+    // compite con la señal de éxito («broker escuchando en 0.0.0.0:8765») y
+    // pierde: el operador lee que arrancó y sigue. Es un fallo que se lee como
+    // éxito, la familia de defectos que más nos ha costado en este repositorio.
+    //
+    // El despliegue legítimo —un proxy TLS terminando por delante de este mismo
+    // bind— sigue siendo posible: escribe `inseguroSinTls` una vez y queda en su
+    // fichero de configuración, que es auditable. Un aviso no queda en ninguna
+    // parte, y «te avisamos por stderr» no se sostiene delante de un auditor.
+    if (!esLoopback(host) && opciones.inseguroSinTls !== true) {
+        throw new Error(`El broker no arranca en ${host}: fuera de loopback el bearer y todas las credenciales que ` +
+            "reparte viajarían en HTTP sin cifrar, y cualquiera en esa red podría esnifarlos.\n\n" +
+            "  · Recomendado: déjalo en 127.0.0.1 y llega a él por un túnel (SSH, WireGuard) o por un\n" +
+            "    proxy TLS que termine delante.\n" +
+            "  · Si YA tienes ese proxy TLS delante de este mismo bind, pasa `inseguroSinTls: true`\n" +
+            "    (CLI: --inseguro-sin-tls) para confirmarlo de forma explícita.");
+    }
+    if (!esLoopback(host)) {
+        // Llegar aquí es haberlo pedido a conciencia. Se deja constancia igualmente:
+        // el que lo escribió no es siempre el que lee los registros seis meses después.
+        console.error(`AVISO: el broker escucha en ${host} sin TLS propio, por --inseguro-sin-tls. Solo es seguro si ` +
+            "hay un proxy TLS terminando delante de este bind.");
+    }
+    const manejar = async (req, res) => {
+        const url = new URL(req.url ?? "/", "http://localhost");
+        if (req.method === "GET" && url.pathname === "/v1/health") {
+            enviarJson(res, 200, { ok: true });
+            return;
+        }
+        if (!bearerValido(req.headers.authorization, token)) {
+            enviarJson(res, 401, { error: "bearer-invalido" });
+            return;
+        }
+        if (req.method === "GET" && url.pathname === "/v1/snapshot") {
+            enviarJson(res, 200, { credenciales: pool.snapshot() });
+            return;
+        }
+        if (req.method === "POST" && url.pathname === "/v1/credential") {
+            let cuerpo;
+            try {
+                cuerpo = JSON.parse(await leerCuerpo(req));
+            }
+            catch {
+                enviarJson(res, 400, { error: "cuerpo-invalido" });
+                return;
+            }
+            const proveedor = cuerpo.proveedor;
+            if (!proveedor) {
+                enviarJson(res, 400, { error: "falta-proveedor" });
+                return;
+            }
+            const elegida = pool.elegir(proveedor, cuerpo.promptCacheKey);
+            await libro.anotar({
+                tipo: "credencial",
+                accion: "resuelta",
+                proveedor,
+                credencialId: elegida?.id ?? null,
+                resultado: elegida ? "ok" : "sin-credencial-activa",
+                cliente: cuerpo.cliente,
+            });
+            if (!elegida) {
+                // "No hay nada" (todas bloqueadas o proveedor desconocido), no "no he
+                // podido": por eso 404 con un motivo, no un 500.
+                enviarJson(res, 404, { error: "sin-credencial-activa", proveedor });
+                return;
+            }
+            enviarJson(res, 200, elegida);
+            return;
+        }
+        if (req.method === "POST" && url.pathname === "/v1/usage") {
+            let cuerpo;
+            try {
+                cuerpo = JSON.parse(await leerCuerpo(req));
+            }
+            catch {
+                enviarJson(res, 400, { error: "cuerpo-invalido" });
+                return;
+            }
+            if (!cuerpo.id) {
+                enviarJson(res, 400, { error: "falta-id" });
+                return;
+            }
+            const resultado = cuerpo.ok === true
+                ? { ok: true }
+                : { ok: false, estadoHttp: cuerpo.estadoHttp, mensaje: cuerpo.mensaje ?? "" };
+            const efecto = pool.marcarUso(cuerpo.id, resultado);
+            if (!efecto) {
+                enviarJson(res, 404, { error: "credencial-desconocida", id: cuerpo.id });
+                return;
+            }
+            await libro.anotar({
+                tipo: "credencial",
+                accion: "uso",
+                proveedor: cuerpo.proveedor ?? "desconocido",
+                credencialId: cuerpo.id,
+                resultado: efecto.clase,
+            });
+            enviarJson(res, 200, efecto);
+            return;
+        }
+        enviarJson(res, 404, { error: "ruta-desconocida" });
+    };
+    const server = createServer((req, res) => {
+        manejar(req, res).catch((error) => {
+            enviarJson(res, 500, {
+                error: "fallo-interno",
+                mensaje: error instanceof Error ? error.message : String(error),
+            });
+        });
+    });
+    await new Promise((resolve, reject) => {
+        server.once("error", reject);
+        server.listen(puertoPedido, host, () => resolve());
+    });
+    const direccion = server.address();
+    const puerto = typeof direccion === "object" && direccion ? direccion.port : puertoPedido;
+    return {
+        url: `http://${host}:${puerto}`,
+        puerto,
+        cerrar: () => new Promise((resolve) => server.close(() => resolve())),
+    };
+}
+//# sourceMappingURL=servidor.js.map

package/dist/core/credenciales/servidor.js.map

@@ -0,0 +1 @@
+{"version":3,"file":"servidor.js","sourceRoot":"","sources":["../../../src/core/credenciales/servidor.ts"],"names":[],"mappings":"AAAA;;;;;;;;;;;;;;;;;;;;;;GAsBG;AAEH,OAAO,EAAE,eAAe,EAAE,MAAM,aAAa,CAAC;AAC9C,OAAO,EAAE,YAAY,EAA0D,MAAM,WAAW,CAAC;AAIjG,MAAM,CAAC,MAAM,mBAAmB,GAAG,gBAAgB,CAAC;AA0BpD,SAAS,UAAU,CAAC,GAAoB,EAAmB;IAC1D,OAAO,IAAI,OAAO,CAAC,CAAC,OAAO,EAAE,MAAM,EAAE,EAAE,CAAC;QACvC,MAAM,MAAM,GAAa,EAAE,CAAC;QAC5B,GAAG,CAAC,EAAE,CAAC,MAAM,EAAE,CAAC,CAAC,EAAE,EAAE,CAAC,MAAM,CAAC,IAAI,CAAC,CAAC,CAAC,CAAC,CAAC;QACtC,GAAG,CAAC,EAAE,CAAC,KAAK,EAAE,GAAG,EAAE,CAAC,OAAO,CAAC,MAAM,CAAC,MAAM,CAAC,MAAM,CAAC,CAAC,QAAQ,CAAC,OAAO,CAAC,CAAC,CAAC,CAAC;QACtE,GAAG,CAAC,EAAE,CAAC,OAAO,EAAE,MAAM,CAAC,CAAC;IAAA,CACxB,CAAC,CAAC;AAAA,CACH;AAED,SAAS,UAAU,CAAC,GAAmB,EAAE,MAAc,EAAE,MAAe,EAAQ;IAC/E,MAAM,KAAK,GAAG,IAAI,CAAC,SAAS,CAAC,MAAM,CAAC,CAAC;IACrC,GAAG,CAAC,SAAS,CAAC,MAAM,EAAE;QACrB,cAAc,EAAE,iCAAiC;QACjD,gBAAgB,EAAE,MAAM,CAAC,UAAU,CAAC,KAAK,CAAC;KAC1C,CAAC,CAAC;IACH,GAAG,CAAC,GAAG,CAAC,KAAK,CAAC,CAAC;AAAA,CACf;AAED,oGAAgG;AAChG,SAAS,UAAU,CAAC,IAAY,EAAW;IAC1C,OAAO,IAAI,KAAK,WAAW,IAAI,IAAI,KAAK,WAAW,IAAI,IAAI,KAAK,KAAK,IAAI,IAAI,KAAK,OAAO,CAAC;AAAA,CAC1F;AAED;;;;;GAKG;AACH,SAAS,YAAY,CAAC,QAA4B,EAAE,KAAa,EAAW;IAC3E,IAAI,CAAC,QAAQ,EAAE,UAAU,CAAC,SAAS,CAAC;QAAE,OAAO,KAAK,CAAC;IACnD,MAAM,QAAQ,GAAG,MAAM,CAAC,IAAI,CAAC,QAAQ,CAAC,KAAK,CAAC,SAAS,CAAC,MAAM,CAAC,CAAC,CAAC;IAC/D,MAAM,QAAQ,GAAG,MAAM,CAAC,IAAI,CAAC,KAAK,CAAC,CAAC;IACpC,IAAI,QAAQ,CAAC,MAAM,KAAK,QAAQ,CAAC,MAAM;QAAE,OAAO,KAAK,CAAC;IACtD,OAAO,eAAe,CAAC,QAAQ,EAAE,QAAQ,CAAC,CAAC;AAAA,CAC3C;AAED;;;;GAIG;AACH,MAAM,CAAC,KAAK,UAAU,qBAAqB,CAAC,QAAgC,EAA2B;IACtG,MAAM,KAAK,GAAG,QAAQ,CAAC,KAAK,EAAE,IAAI,EAAE,IAAI,EAAE,CAAC;IAC3C,IAAI,KAAK,KAAK,EAAE,EAAE,CAAC;QAClB,MAAM,IAAI,KAAK,CACd,qEAAqE;YACpE,4FAA2F,CAC5F,CAAC;IACH,CAAC;IAED,MAAM,EAAE,IAAI,EAAE,KAAK,EAAE,GAAG,QAAQ,CAAC;IACjC,MAAM,CAAC,IAAI,EAAE,WAAW,CAAC,GAAG,CAAC,QAAQ,CAAC,IAAI,IAAI,mBAAmB,CAAC,CAAC,KAAK,CAAC,GAAG,CAAC,CAAC;IAC9E,MAAM,YAAY,GAAG,MAAM,CAAC,WAAW,CAAC,CAAC;IAEzC,qEAAqE;IACrE,+EAA8E;IAC9E,6EAA2E;IAC3E,4EAAwE;IACxE,sEAAsE;IACtE,+DAA8D;IAC9D,EAAE;IACF,2EAA0E;IAC1E,4EAAwE;IACxE,4EAA2E;IAC3E,8EAA4E;IAC5E,EAAE;IACF,+EAA4E;IAC5E,+EAA6E;IAC7E,4EAA2E;IAC3E,4EAA0E;IAC1E,IAAI,CAAC,UAAU,CAAC,IAAI,CAAC,IAAI,QAAQ,CAAC,cAAc,KAAK,IAAI,EAAE,CAAC;QAC3D,MAAM,IAAI,KAAK,CACd,2BAA2B,IAAI,6DAA6D;YAC3F,wFAAsF;YACtF,gGAA4F;YAC5F,sCAAsC;YACtC,2FAA0F;YAC1F,qEAAoE,CACrE,CAAC;IACH,CAAC;IACD,IAAI,CAAC,UAAU,CAAC,IAAI,CAAC,EAAE,CAAC;QACvB,8EAA6E;QAC7E,kFAAgF;QAChF,OAAO,CAAC,KAAK,CACZ,+BAA+B,IAAI,6DAA6D;YAC/F,mDAAmD,CACpD,CAAC;IACH,CAAC;IAED,MAAM,OAAO,GAAG,KAAK,EAAE,GAAoB,EAAE,GAAmB,EAAiB,EAAE,CAAC;QACnF,MAAM,GAAG,GAAG,IAAI,GAAG,CAAC,GAAG,CAAC,GAAG,IAAI,GAAG,EAAE,kBAAkB,CAAC,CAAC;QAExD,IAAI,GAAG,CAAC,MAAM,KAAK,KAAK,IAAI,GAAG,CAAC,QAAQ,KAAK,YAAY,EAAE,CAAC;YAC3D,UAAU,CAAC,GAAG,EAAE,GAAG,EAAE,EAAE,EAAE,EAAE,IAAI,EAAE,CAAC,CAAC;YACnC,OAAO;QACR,CAAC;QAED,IAAI,CAAC,YAAY,CAAC,GAAG,CAAC,OAAO,CAAC,aAAa,EAAE,KAAK,CAAC,EAAE,CAAC;YACrD,UAAU,CAAC,GAAG,EAAE,GAAG,EAAE,EAAE,KAAK,EAAE,iBAAiB,EAAE,CAAC,CAAC;YACnD,OAAO;QACR,CAAC;QAED,IAAI,GAAG,CAAC,MAAM,KAAK,KAAK,IAAI,GAAG,CAAC,QAAQ,KAAK,cAAc,EAAE,CAAC;YAC7D,UAAU,CAAC,GAAG,EAAE,GAAG,EAAE,EAAE,YAAY,EAAE,IAAI,CAAC,QAAQ,EAAE,EAAE,CAAC,CAAC;YACxD,OAAO;QACR,CAAC;QAED,IAAI,GAAG,CAAC,MAAM,KAAK,MAAM,IAAI,GAAG,CAAC,QAAQ,KAAK,gBAAgB,EAAE,CAAC;YAChE,IAAI,MAAyE,CAAC;YAC9E,IAAI,CAAC;gBACJ,MAAM,GAAG,IAAI,CAAC,KAAK,CAAC,MAAM,UAAU,CAAC,GAAG,CAAC,CAAC,CAAC;YAC5C,CAAC;YAAC,MAAM,CAAC;gBACR,UAAU,CAAC,GAAG,EAAE,GAAG,EAAE,EAAE,KAAK,EAAE,iBAAiB,EAAE,CAAC,CAAC;gBACnD,OAAO;YACR,CAAC;YACD,MAAM,SAAS,GAAG,MAAM,CAAC,SAAS,CAAC;YACnC,IAAI,CAAC,SAAS,EAAE,CAAC;gBAChB,UAAU,CAAC,GAAG,EAAE,GAAG,EAAE,EAAE,KAAK,EAAE,iBAAiB,EAAE,CAAC,CAAC;gBACnD,OAAO;YACR,CAAC;YACD,MAAM,OAAO,GAAG,IAAI,CAAC,MAAM,CAAC,SAAS,EAAE,MAAM,CAAC,cAAc,CAAC,CAAC;YAC9D,MAAM,KAAK,CAAC,MAAM,CAAC;gBAClB,IAAI,EAAE,YAAY;gBAClB,MAAM,EAAE,UAAU;gBAClB,SAAS;gBACT,YAAY,EAAE,OAAO,EAAE,EAAE,IAAI,IAAI;gBACjC,SAAS,EAAE,OAAO,CAAC,CAAC,CAAC,IAAI,CAAC,CAAC,CAAC,uBAAuB;gBACnD,OAAO,EAAE,MAAM,CAAC,OAAO;aACvB,CAAC,CAAC;YACH,IAAI,CAAC,OAAO,EAAE,CAAC;gBACd,sEAAsE;gBACtE,iDAAiD;gBACjD,UAAU,CAAC,GAAG,EAAE,GAAG,EAAE,EAAE,KAAK,EAAE,uBAAuB,EAAE,SAAS,EAAE,CAAC,CAAC;gBACpE,OAAO;YACR,CAAC;YACD,UAAU,CAAC,GAAG,EAAE,GAAG,EAAE,OAAO,CAAC,CAAC;YAC9B,OAAO;QACR,CAAC;QAED,IAAI,GAAG,CAAC,MAAM,KAAK,MAAM,IAAI,GAAG,CAAC,QAAQ,KAAK,WAAW,EAAE,CAAC;YAC3D,IAAI,MAAgG,CAAC;YACrG,IAAI,CAAC;gBACJ,MAAM,GAAG,IAAI,CAAC,KAAK,CAAC,MAAM,UAAU,CAAC,GAAG,CAAC,CAAC,CAAC;YAC5C,CAAC;YAAC,MAAM,CAAC;gBACR,UAAU,CAAC,GAAG,EAAE,GAAG,EAAE,EAAE,KAAK,EAAE,iBAAiB,EAAE,CAAC,CAAC;gBACnD,OAAO;YACR,CAAC;YACD,IAAI,CAAC,MAAM,CAAC,EAAE,EAAE,CAAC;gBAChB,UAAU,CAAC,GAAG,EAAE,GAAG,EAAE,EAAE,KAAK,EAAE,UAAU,EAAE,CAAC,CAAC;gBAC5C,OAAO;YACR,CAAC;YACD,MAAM,SAAS,GACd,MAAM,CAAC,EAAE,KAAK,IAAI;gBACjB,CAAC,CAAE,EAAE,EAAE,EAAE,IAAI,EAAY;gBACzB,CAAC,CAAE,EAAE,EAAE,EAAE,KAAK,EAAE,UAAU,EAAE,MAAM,CAAC,UAAU,EAAE,OAAO,EAAE,MAAM,CAAC,OAAO,IAAI,EAAE,EAAY,CAAC;YAC3F,MAAM,MAAM,GAAG,IAAI,CAAC,SAAS,CAAC,MAAM,CAAC,EAAE,EAAE,SAAS,CAAC,CAAC;YACpD,IAAI,CAAC,MAAM,EAAE,CAAC;gBACb,UAAU,CAAC,GAAG,EAAE,GAAG,EAAE,EAAE,KAAK,EAAE,wBAAwB,EAAE,EAAE,EAAE,MAAM,CAAC,EAAE,EAAE,CAAC,CAAC;gBACzE,OAAO;YACR,CAAC;YACD,MAAM,KAAK,CAAC,MAAM,CAAC;gBAClB,IAAI,EAAE,YAAY;gBAClB,MAAM,EAAE,KAAK;gBACb,SAAS,EAAE,MAAM,CAAC,SAAS,IAAI,aAAa;gBAC5C,YAAY,EAAE,MAAM,CAAC,EAAE;gBACvB,SAAS,EAAE,MAAM,CAAC,KAAK;aACvB,CAAC,CAAC;YACH,UAAU,CAAC,GAAG,EAAE,GAAG,EAAE,MAAM,CAAC,CAAC;YAC7B,OAAO;QACR,CAAC;QAED,UAAU,CAAC,GAAG,EAAE,GAAG,EAAE,EAAE,KAAK,EAAE,kBAAkB,EAAE,CAAC,CAAC;IAAA,CACpD,CAAC;IAEF,MAAM,MAAM,GAAW,YAAY,CAAC,CAAC,GAAG,EAAE,GAAG,EAAE,EAAE,CAAC;QACjD,OAAO,CAAC,GAAG,EAAE,GAAG,CAAC,CAAC,KAAK,CAAC,CAAC,KAAK,EAAE,EAAE,CAAC;YAClC,UAAU,CAAC,GAAG,EAAE,GAAG,EAAE;gBACpB,KAAK,EAAE,eAAe;gBACtB,OAAO,EAAE,KAAK,YAAY,KAAK,CAAC,CAAC,CAAC,KAAK,CAAC,OAAO,CAAC,CAAC,CAAC,MAAM,CAAC,KAAK,CAAC;aAC/D,CAAC,CAAC;QAAA,CACH,CAAC,CAAC;IAAA,CACH,CAAC,CAAC;IAEH,MAAM,IAAI,OAAO,CAAO,CAAC,OAAO,EAAE,MAAM,EAAE,EAAE,CAAC;QAC5C,MAAM,CAAC,IAAI,CAAC,OAAO,EAAE,MAAM,CAAC,CAAC;QAC7B,MAAM,CAAC,MAAM,CAAC,YAAY,EAAE,IAAI,EAAE,GAAG,EAAE,CAAC,OAAO,EAAE,CAAC,CAAC;IAAA,CACnD,CAAC,CAAC;IAEH,MAAM,SAAS,GAAG,MAAM,CAAC,OAAO,EAAE,CAAC;IACnC,MAAM,MAAM,GAAG,OAAO,SAAS,KAAK,QAAQ,IAAI,SAAS,CAAC,CAAC,CAAC,SAAS,CAAC,IAAI,CAAC,CAAC,CAAC,YAAY,CAAC;IAE1F,OAAO;QACN,GAAG,EAAE,UAAU,IAAI,IAAI,MAAM,EAAE;QAC/B,MAAM;QACN,MAAM,EAAE,GAAG,EAAE,CAAC,IAAI,OAAO,CAAO,CAAC,OAAO,EAAE,EAAE,CAAC,MAAM,CAAC,KAAK,CAAC,GAAG,EAAE,CAAC,OAAO,EAAE,CAAC,CAAC;KAC3E,CAAC;AAAA,CACF","sourcesContent":["/**\n * Servidor HTTP del broker de credenciales.\n *\n * No es un producto nuevo: es un MODO de `ada-cli serve` (ver\n * `cli/serve-command.ts`). El gateway de oh-my-pi resuelve la credencial en el\n * servidor y la inyecta para que el cliente nunca vea el token; aquí no hay\n * proxy de peticiones a proveedores (fuera de alcance), así que `/v1/credential`\n * SÍ entrega el secreto — es lo mínimo para que un cliente pueda llamar al\n * proveedor sin tenerlo nunca en su disco. Lo que sí se copia sin rebajar:\n *\n * - **Fallar cerrado.** Sin bearer configurado, `iniciarServidorBroker` lanza\n *   antes de abrir el socket de escucha. Un broker que arrancara sin auth\n *   \"por ahora\" es exactamente el tipo de atajo que se queda para siempre.\n * - **Comparación en tiempo constante del bearer**, para no dar una guía de\n *   temporización a quien intente adivinarlo por fuerza bruta.\n * - **Todo excepto `/v1/health` exige bearer.** La salud tiene que poder\n *   contestar aunque el token esté mal configurado en quien pregunta — es lo\n *   único que un balanceador o un `curl` de comprobación necesita sin secreto.\n *\n * Cada resolución de credencial y cada reporte de uso quedan en el libro de\n * sesión (`core/audit/libro.ts`) — es la pieza que oh-my-pi no tiene: quién\n * usó qué cuenta y cuándo, auditable.\n */\n\nimport { timingSafeEqual } from \"node:crypto\";\nimport { createServer, type IncomingMessage, type Server, type ServerResponse } from \"node:http\";\nimport type { LibroDeSesion } from \"../audit/libro.ts\";\nimport type { CredencialPool } from \"./pool.ts\";\n\nexport const DEFAULT_BROKER_BIND = \"127.0.0.1:8765\";\n\nexport interface OpcionesServidorBroker {\n\tpool: CredencialPool;\n\t/** Bearer requerido en cada petición salvo `/v1/health`. Vacío = error: ver `iniciarServidorBroker`. */\n\ttoken: string;\n\tlibro: LibroDeSesion;\n\t/** `host:puerto`. Por defecto `127.0.0.1:8765` — solo loopback, sin exposición externa. */\n\tbind?: string;\n\t/**\n\t * Permite escuchar FUERA de loopback aun sabiendo que el transporte es HTTP\n\t * sin cifrar. Sin esto, un `bind` a una interfaz real no arranca.\n\t *\n\t * El nombre es largo y feo a propósito: quien lo escribe no puede decir\n\t * después que no lo sabía, y queda escrito en el fichero de despliegue —que\n\t * es auditable— en vez de en un aviso que se va con el scroll.\n\t */\n\tinseguroSinTls?: boolean;\n}\n\nexport interface ServidorBroker {\n\turl: string;\n\tpuerto: number;\n\tcerrar(): Promise<void>;\n}\n\nfunction leerCuerpo(req: IncomingMessage): Promise<string> {\n\treturn new Promise((resolve, reject) => {\n\t\tconst trozos: Buffer[] = [];\n\t\treq.on(\"data\", (t) => trozos.push(t));\n\t\treq.on(\"end\", () => resolve(Buffer.concat(trozos).toString(\"utf-8\")));\n\t\treq.on(\"error\", reject);\n\t});\n}\n\nfunction enviarJson(res: ServerResponse, estado: number, cuerpo: unknown): void {\n\tconst texto = JSON.stringify(cuerpo);\n\tres.writeHead(estado, {\n\t\t\"content-type\": \"application/json; charset=utf-8\",\n\t\t\"content-length\": Buffer.byteLength(texto),\n\t});\n\tres.end(texto);\n}\n\n/** `true` si `host` no sale de la máquina — lo único que hace inofensivo el HTTP sin cifrar. */\nfunction esLoopback(host: string): boolean {\n\treturn host === \"127.0.0.1\" || host === \"localhost\" || host === \"::1\" || host === \"[::1]\";\n}\n\n/**\n * Compara el bearer en tiempo constante. `timingSafeEqual` exige buffers de\n * igual longitud, así que una longitud distinta ya es \"no coincide\" sin pasar\n * por la comparación — no hay atajo de timing ahí porque la longitud de un\n * bearer típico no es secreta (va en la URL de configuración de cada cliente).\n */\nfunction bearerValido(cabecera: string | undefined, token: string): boolean {\n\tif (!cabecera?.startsWith(\"Bearer \")) return false;\n\tconst recibido = Buffer.from(cabecera.slice(\"Bearer \".length));\n\tconst esperado = Buffer.from(token);\n\tif (recibido.length !== esperado.length) return false;\n\treturn timingSafeEqual(recibido, esperado);\n}\n\n/**\n * Arranca el broker. Lanza SIN escuchar si no hay bearer — fallar cerrado, no\n * \"escuchar sin auth por ahora\". Esto es lo que la puerta de verificación\n * comprueba forzando el caso vacío y confirmando que no hay servidor.\n */\nexport async function iniciarServidorBroker(opciones: OpcionesServidorBroker): Promise<ServidorBroker> {\n\tconst token = opciones.token?.trim() ?? \"\";\n\tif (token === \"\") {\n\t\tthrow new Error(\n\t\t\t\"El broker no arranca sin un bearer configurado (ADA_BROKER_TOKEN). \" +\n\t\t\t\t\"Escuchar sin auth expondría las credenciales de todo el equipo a quien alcance el puerto.\",\n\t\t);\n\t}\n\n\tconst { pool, libro } = opciones;\n\tconst [host, puertoTexto] = (opciones.bind ?? DEFAULT_BROKER_BIND).split(\":\");\n\tconst puertoPedido = Number(puertoTexto);\n\n\t// El bearer viaja en texto plano: HTTP, no HTTPS. En loopback eso es\n\t// inofensivo (no sale de la máquina). En cuanto el bind apunta a una interfaz\n\t// real —que es justo lo que hace falta para que el equipo lo alcance desde\n\t// otro portátil, el caso de uso que motiva este módulo— el bearer y las\n\t// credenciales que reparte cruzan la red sin cifrar: quien esnife ese\n\t// segmento se lleva el token y, con él, cualquier credencial.\n\t//\n\t// Aquí SE FALLA CERRADO, y no es lo mismo que avisar. Un aviso por stderr\n\t// compite con la señal de éxito («broker escuchando en 0.0.0.0:8765») y\n\t// pierde: el operador lee que arrancó y sigue. Es un fallo que se lee como\n\t// éxito, la familia de defectos que más nos ha costado en este repositorio.\n\t//\n\t// El despliegue legítimo —un proxy TLS terminando por delante de este mismo\n\t// bind— sigue siendo posible: escribe `inseguroSinTls` una vez y queda en su\n\t// fichero de configuración, que es auditable. Un aviso no queda en ninguna\n\t// parte, y «te avisamos por stderr» no se sostiene delante de un auditor.\n\tif (!esLoopback(host) && opciones.inseguroSinTls !== true) {\n\t\tthrow new Error(\n\t\t\t`El broker no arranca en ${host}: fuera de loopback el bearer y todas las credenciales que ` +\n\t\t\t\t\"reparte viajarían en HTTP sin cifrar, y cualquiera en esa red podría esnifarlos.\\n\\n\" +\n\t\t\t\t\"  · Recomendado: déjalo en 127.0.0.1 y llega a él por un túnel (SSH, WireGuard) o por un\\n\" +\n\t\t\t\t\"    proxy TLS que termine delante.\\n\" +\n\t\t\t\t\"  · Si YA tienes ese proxy TLS delante de este mismo bind, pasa `inseguroSinTls: true`\\n\" +\n\t\t\t\t\"    (CLI: --inseguro-sin-tls) para confirmarlo de forma explícita.\",\n\t\t);\n\t}\n\tif (!esLoopback(host)) {\n\t\t// Llegar aquí es haberlo pedido a conciencia. Se deja constancia igualmente:\n\t\t// el que lo escribió no es siempre el que lee los registros seis meses después.\n\t\tconsole.error(\n\t\t\t`AVISO: el broker escucha en ${host} sin TLS propio, por --inseguro-sin-tls. Solo es seguro si ` +\n\t\t\t\t\"hay un proxy TLS terminando delante de este bind.\",\n\t\t);\n\t}\n\n\tconst manejar = async (req: IncomingMessage, res: ServerResponse): Promise<void> => {\n\t\tconst url = new URL(req.url ?? \"/\", \"http://localhost\");\n\n\t\tif (req.method === \"GET\" && url.pathname === \"/v1/health\") {\n\t\t\tenviarJson(res, 200, { ok: true });\n\t\t\treturn;\n\t\t}\n\n\t\tif (!bearerValido(req.headers.authorization, token)) {\n\t\t\tenviarJson(res, 401, { error: \"bearer-invalido\" });\n\t\t\treturn;\n\t\t}\n\n\t\tif (req.method === \"GET\" && url.pathname === \"/v1/snapshot\") {\n\t\t\tenviarJson(res, 200, { credenciales: pool.snapshot() });\n\t\t\treturn;\n\t\t}\n\n\t\tif (req.method === \"POST\" && url.pathname === \"/v1/credential\") {\n\t\t\tlet cuerpo: { proveedor?: string; promptCacheKey?: string; cliente?: string };\n\t\t\ttry {\n\t\t\t\tcuerpo = JSON.parse(await leerCuerpo(req));\n\t\t\t} catch {\n\t\t\t\tenviarJson(res, 400, { error: \"cuerpo-invalido\" });\n\t\t\t\treturn;\n\t\t\t}\n\t\t\tconst proveedor = cuerpo.proveedor;\n\t\t\tif (!proveedor) {\n\t\t\t\tenviarJson(res, 400, { error: \"falta-proveedor\" });\n\t\t\t\treturn;\n\t\t\t}\n\t\t\tconst elegida = pool.elegir(proveedor, cuerpo.promptCacheKey);\n\t\t\tawait libro.anotar({\n\t\t\t\ttipo: \"credencial\",\n\t\t\t\taccion: \"resuelta\",\n\t\t\t\tproveedor,\n\t\t\t\tcredencialId: elegida?.id ?? null,\n\t\t\t\tresultado: elegida ? \"ok\" : \"sin-credencial-activa\",\n\t\t\t\tcliente: cuerpo.cliente,\n\t\t\t});\n\t\t\tif (!elegida) {\n\t\t\t\t// \"No hay nada\" (todas bloqueadas o proveedor desconocido), no \"no he\n\t\t\t\t// podido\": por eso 404 con un motivo, no un 500.\n\t\t\t\tenviarJson(res, 404, { error: \"sin-credencial-activa\", proveedor });\n\t\t\t\treturn;\n\t\t\t}\n\t\t\tenviarJson(res, 200, elegida);\n\t\t\treturn;\n\t\t}\n\n\t\tif (req.method === \"POST\" && url.pathname === \"/v1/usage\") {\n\t\t\tlet cuerpo: { id?: string; ok?: boolean; estadoHttp?: number; mensaje?: string; proveedor?: string };\n\t\t\ttry {\n\t\t\t\tcuerpo = JSON.parse(await leerCuerpo(req));\n\t\t\t} catch {\n\t\t\t\tenviarJson(res, 400, { error: \"cuerpo-invalido\" });\n\t\t\t\treturn;\n\t\t\t}\n\t\t\tif (!cuerpo.id) {\n\t\t\t\tenviarJson(res, 400, { error: \"falta-id\" });\n\t\t\t\treturn;\n\t\t\t}\n\t\t\tconst resultado =\n\t\t\t\tcuerpo.ok === true\n\t\t\t\t\t? ({ ok: true } as const)\n\t\t\t\t\t: ({ ok: false, estadoHttp: cuerpo.estadoHttp, mensaje: cuerpo.mensaje ?? \"\" } as const);\n\t\t\tconst efecto = pool.marcarUso(cuerpo.id, resultado);\n\t\t\tif (!efecto) {\n\t\t\t\tenviarJson(res, 404, { error: \"credencial-desconocida\", id: cuerpo.id });\n\t\t\t\treturn;\n\t\t\t}\n\t\t\tawait libro.anotar({\n\t\t\t\ttipo: \"credencial\",\n\t\t\t\taccion: \"uso\",\n\t\t\t\tproveedor: cuerpo.proveedor ?? \"desconocido\",\n\t\t\t\tcredencialId: cuerpo.id,\n\t\t\t\tresultado: efecto.clase,\n\t\t\t});\n\t\t\tenviarJson(res, 200, efecto);\n\t\t\treturn;\n\t\t}\n\n\t\tenviarJson(res, 404, { error: \"ruta-desconocida\" });\n\t};\n\n\tconst server: Server = createServer((req, res) => {\n\t\tmanejar(req, res).catch((error) => {\n\t\t\tenviarJson(res, 500, {\n\t\t\t\terror: \"fallo-interno\",\n\t\t\t\tmensaje: error instanceof Error ? error.message : String(error),\n\t\t\t});\n\t\t});\n\t});\n\n\tawait new Promise<void>((resolve, reject) => {\n\t\tserver.once(\"error\", reject);\n\t\tserver.listen(puertoPedido, host, () => resolve());\n\t});\n\n\tconst direccion = server.address();\n\tconst puerto = typeof direccion === \"object\" && direccion ? direccion.port : puertoPedido;\n\n\treturn {\n\t\turl: `http://${host}:${puerto}`,\n\t\tpuerto,\n\t\tcerrar: () => new Promise<void>((resolve) => server.close(() => resolve())),\n\t};\n}\n"]}

package/dist/core/defaults.d.ts

@@ -1,3 +1,4 @@
 import type { ThinkingLevel } from "@earendil-works/pi-agent-core";
 export declare const DEFAULT_THINKING_LEVEL: ThinkingLevel;
+export declare const THINKING_LEVEL_OPTIONS: readonly ThinkingLevel[];
 //# sourceMappingURL=defaults.d.ts.map

package/dist/core/defaults.d.ts.map

@@ -1 +1 @@
-{"version":3,"file":"defaults.d.ts","sourceRoot":"","sources":["../../src/core/defaults.ts"],"names":[],"mappings":"AAAA,OAAO,KAAK,EAAE,aAAa,EAAE,MAAM,+BAA+B,CAAC;AAEnE,eAAO,MAAM,sBAAsB,EAAE,aAAwB,CAAC","sourcesContent":["import type { ThinkingLevel } from \"@earendil-works/pi-agent-core\";\n\nexport const DEFAULT_THINKING_LEVEL: ThinkingLevel = \"medium\";\n"]}
+{"version":3,"file":"defaults.d.ts","sourceRoot":"","sources":["../../src/core/defaults.ts"],"names":[],"mappings":"AAAA,OAAO,KAAK,EAAE,aAAa,EAAE,MAAM,+BAA+B,CAAC;AAEnE,eAAO,MAAM,sBAAsB,EAAE,aAAwB,CAAC;AAC9D,eAAO,MAAM,sBAAsB,EAAE,SAAS,aAAa,EAQ1D,CAAC","sourcesContent":["import type { ThinkingLevel } from \"@earendil-works/pi-agent-core\";\n\nexport const DEFAULT_THINKING_LEVEL: ThinkingLevel = \"medium\";\nexport const THINKING_LEVEL_OPTIONS: readonly ThinkingLevel[] = [\n\t\"off\",\n\t\"minimal\",\n\t\"low\",\n\t\"medium\",\n\t\"high\",\n\t\"xhigh\",\n\t\"max\",\n];\n"]}

package/dist/core/defaults.js

@@ -1,2 +1,11 @@
 export const DEFAULT_THINKING_LEVEL = "medium";
+export const THINKING_LEVEL_OPTIONS = [
+    "off",
+    "minimal",
+    "low",
+    "medium",
+    "high",
+    "xhigh",
+    "max",
+];
 //# sourceMappingURL=defaults.js.map

package/dist/core/defaults.js.map

@@ -1 +1 @@
-{"version":3,"file":"defaults.js","sourceRoot":"","sources":["../../src/core/defaults.ts"],"names":[],"mappings":"AAEA,MAAM,CAAC,MAAM,sBAAsB,GAAkB,QAAQ,CAAC","sourcesContent":["import type { ThinkingLevel } from \"@earendil-works/pi-agent-core\";\n\nexport const DEFAULT_THINKING_LEVEL: ThinkingLevel = \"medium\";\n"]}
+{"version":3,"file":"defaults.js","sourceRoot":"","sources":["../../src/core/defaults.ts"],"names":[],"mappings":"AAEA,MAAM,CAAC,MAAM,sBAAsB,GAAkB,QAAQ,CAAC;AAC9D,MAAM,CAAC,MAAM,sBAAsB,GAA6B;IAC/D,KAAK;IACL,SAAS;IACT,KAAK;IACL,QAAQ;IACR,MAAM;IACN,OAAO;IACP,KAAK;CACL,CAAC","sourcesContent":["import type { ThinkingLevel } from \"@earendil-works/pi-agent-core\";\n\nexport const DEFAULT_THINKING_LEVEL: ThinkingLevel = \"medium\";\nexport const THINKING_LEVEL_OPTIONS: readonly ThinkingLevel[] = [\n\t\"off\",\n\t\"minimal\",\n\t\"low\",\n\t\"medium\",\n\t\"high\",\n\t\"xhigh\",\n\t\"max\",\n];\n"]}

package/dist/core/descubrimiento/comandos.d.ts

@@ -0,0 +1,30 @@
+/**
+ * Comandos de barra que Claude Code ya tiene definidos en el proyecto:
+ * `.claude/commands/*.md`.
+ *
+ * Solo se listan — a diferencia de las skills, que sí se pasan a la sesión
+ * (ver `skills.ts`), un comando de barra ajeno no tiene un sitio propio en el
+ * sistema de comandos de Ada (`core/slash-commands.ts` es de upstream y su
+ * formato de prompt-templates no es el mismo). Listarlo con su origen ya
+ * ahorra la media hora de "¿qué comandos tenía este proyecto?" al cambiar de
+ * herramienta.
+ */
+export interface ComandoDescubierto {
+    origen: string;
+    /** Ruta relativa al proyecto. */
+    ruta: string;
+    /** Con `:` como separador de namespace, igual que hace Claude Code. */
+    nombre: string;
+    descripcion?: string;
+}
+export interface ResultadoDescubrimientoComandos {
+    comandos: ComandoDescubierto[];
+    /** Directorios mirados, existan o no. */
+    directoriosMirados: string[];
+    errores: Array<{
+        ruta: string;
+        motivo: string;
+    }>;
+}
+export declare function descubrirComandos(cwd: string): ResultadoDescubrimientoComandos;
+//# sourceMappingURL=comandos.d.ts.map

package/dist/core/descubrimiento/comandos.d.ts.map

@@ -0,0 +1 @@
+{"version":3,"file":"comandos.d.ts","sourceRoot":"","sources":["../../../src/core/descubrimiento/comandos.ts"],"names":[],"mappings":"AAAA;;;;;;;;;;GAUG;AAMH,MAAM,WAAW,kBAAkB;IAClC,MAAM,EAAE,MAAM,CAAC;IACf,iCAAiC;IACjC,IAAI,EAAE,MAAM,CAAC;IACb,uEAAuE;IACvE,MAAM,EAAE,MAAM,CAAC;IACf,WAAW,CAAC,EAAE,MAAM,CAAC;CACrB;AAED,MAAM,WAAW,+BAA+B;IAC/C,QAAQ,EAAE,kBAAkB,EAAE,CAAC;IAC/B,yCAAyC;IACzC,kBAAkB,EAAE,MAAM,EAAE,CAAC;IAC7B,OAAO,EAAE,KAAK,CAAC;QAAE,IAAI,EAAE,MAAM,CAAC;QAAC,MAAM,EAAE,MAAM,CAAA;KAAE,CAAC,CAAC;CACjD;AA+BD,wBAAgB,iBAAiB,CAAC,GAAG,EAAE,MAAM,GAAG,+BAA+B,CAoC9E","sourcesContent":["/**\n * Comandos de barra que Claude Code ya tiene definidos en el proyecto:\n * `.claude/commands/*.md`.\n *\n * Solo se listan — a diferencia de las skills, que sí se pasan a la sesión\n * (ver `skills.ts`), un comando de barra ajeno no tiene un sitio propio en el\n * sistema de comandos de Ada (`core/slash-commands.ts` es de upstream y su\n * formato de prompt-templates no es el mismo). Listarlo con su origen ya\n * ahorra la media hora de \"¿qué comandos tenía este proyecto?\" al cambiar de\n * herramienta.\n */\n\nimport { readdirSync, readFileSync } from \"node:fs\";\nimport { join, relative, sep } from \"node:path\";\nimport { parseFrontmatter } from \"../../utils/frontmatter.ts\";\n\nexport interface ComandoDescubierto {\n\torigen: string;\n\t/** Ruta relativa al proyecto. */\n\truta: string;\n\t/** Con `:` como separador de namespace, igual que hace Claude Code. */\n\tnombre: string;\n\tdescripcion?: string;\n}\n\nexport interface ResultadoDescubrimientoComandos {\n\tcomandos: ComandoDescubierto[];\n\t/** Directorios mirados, existan o no. */\n\tdirectoriosMirados: string[];\n\terrores: Array<{ ruta: string; motivo: string }>;\n}\n\nconst ORIGEN = \"Claude Code\";\nconst DIRECTORIO = \".claude/commands\";\n\n/** Los .md de un directorio, recursivo, en orden estable. */\nfunction ficherosMd(dir: string, salida: string[]): void {\n\tlet entradas: import(\"node:fs\").Dirent[];\n\ttry {\n\t\tentradas = readdirSync(dir, { withFileTypes: true });\n\t} catch {\n\t\treturn; // no existe o no se puede listar: \"no hay\", no es un fallo\n\t}\n\tfor (const entrada of [...entradas].sort((a, b) => a.name.localeCompare(b.name))) {\n\t\tconst completa = join(dir, entrada.name);\n\t\tif (entrada.isDirectory()) {\n\t\t\tficherosMd(completa, salida);\n\t\t} else if (entrada.isFile() && entrada.name.endsWith(\".md\")) {\n\t\t\tsalida.push(completa);\n\t\t}\n\t}\n}\n\nfunction primeraLinea(cuerpo: string): string | undefined {\n\tconst linea = cuerpo\n\t\t.split(\"\\n\")\n\t\t.map((l) => l.trim())\n\t\t.find((l) => l.length > 0);\n\treturn linea ? linea.slice(0, 100) : undefined;\n}\n\nexport function descubrirComandos(cwd: string): ResultadoDescubrimientoComandos {\n\tconst comandos: ComandoDescubierto[] = [];\n\tconst errores: Array<{ ruta: string; motivo: string }> = [];\n\tconst dir = join(cwd, DIRECTORIO);\n\n\tconst rutas: string[] = [];\n\tficherosMd(dir, rutas);\n\n\tfor (const ruta of rutas) {\n\t\tconst relativa = relative(cwd, ruta).split(sep).join(\"/\");\n\n\t\tlet contenido: string;\n\t\ttry {\n\t\t\tcontenido = readFileSync(ruta, \"utf-8\");\n\t\t} catch (error) {\n\t\t\terrores.push({ ruta: relativa, motivo: error instanceof Error ? error.message : \"no se pudo leer\" });\n\t\t\tcontinue;\n\t\t}\n\n\t\tlet descripcion: string | undefined;\n\t\ttry {\n\t\t\tconst { frontmatter, body } = parseFrontmatter<{ description?: unknown }>(contenido);\n\t\t\tdescripcion = typeof frontmatter.description === \"string\" ? frontmatter.description : primeraLinea(body);\n\t\t} catch (error) {\n\t\t\terrores.push({\n\t\t\t\truta: relativa,\n\t\t\t\tmotivo: `frontmatter inválido: ${error instanceof Error ? error.message : String(error)}`,\n\t\t\t});\n\t\t\tdescripcion = primeraLinea(contenido);\n\t\t}\n\n\t\tconst nombre = relative(dir, ruta).replace(/\\.md$/, \"\").split(sep).join(\":\");\n\t\tcomandos.push({ origen: ORIGEN, ruta: relativa, nombre, descripcion });\n\t}\n\n\treturn { comandos, directoriosMirados: [DIRECTORIO], errores };\n}\n"]}

package/dist/core/descubrimiento/comandos.js

@@ -0,0 +1,76 @@
+/**
+ * Comandos de barra que Claude Code ya tiene definidos en el proyecto:
+ * `.claude/commands/*.md`.
+ *
+ * Solo se listan — a diferencia de las skills, que sí se pasan a la sesión
+ * (ver `skills.ts`), un comando de barra ajeno no tiene un sitio propio en el
+ * sistema de comandos de Ada (`core/slash-commands.ts` es de upstream y su
+ * formato de prompt-templates no es el mismo). Listarlo con su origen ya
+ * ahorra la media hora de "¿qué comandos tenía este proyecto?" al cambiar de
+ * herramienta.
+ */
+import { readdirSync, readFileSync } from "node:fs";
+import { join, relative, sep } from "node:path";
+import { parseFrontmatter } from "../../utils/frontmatter.js";
+const ORIGEN = "Claude Code";
+const DIRECTORIO = ".claude/commands";
+/** Los .md de un directorio, recursivo, en orden estable. */
+function ficherosMd(dir, salida) {
+    let entradas;
+    try {
+        entradas = readdirSync(dir, { withFileTypes: true });
+    }
+    catch {
+        return; // no existe o no se puede listar: "no hay", no es un fallo
+    }
+    for (const entrada of [...entradas].sort((a, b) => a.name.localeCompare(b.name))) {
+        const completa = join(dir, entrada.name);
+        if (entrada.isDirectory()) {
+            ficherosMd(completa, salida);
+        }
+        else if (entrada.isFile() && entrada.name.endsWith(".md")) {
+            salida.push(completa);
+        }
+    }
+}
+function primeraLinea(cuerpo) {
+    const linea = cuerpo
+        .split("\n")
+        .map((l) => l.trim())
+        .find((l) => l.length > 0);
+    return linea ? linea.slice(0, 100) : undefined;
+}
+export function descubrirComandos(cwd) {
+    const comandos = [];
+    const errores = [];
+    const dir = join(cwd, DIRECTORIO);
+    const rutas = [];
+    ficherosMd(dir, rutas);
+    for (const ruta of rutas) {
+        const relativa = relative(cwd, ruta).split(sep).join("/");
+        let contenido;
+        try {
+            contenido = readFileSync(ruta, "utf-8");
+        }
+        catch (error) {
+            errores.push({ ruta: relativa, motivo: error instanceof Error ? error.message : "no se pudo leer" });
+            continue;
+        }
+        let descripcion;
+        try {
+            const { frontmatter, body } = parseFrontmatter(contenido);
+            descripcion = typeof frontmatter.description === "string" ? frontmatter.description : primeraLinea(body);
+        }
+        catch (error) {
+            errores.push({
+                ruta: relativa,
+                motivo: `frontmatter inválido: ${error instanceof Error ? error.message : String(error)}`,
+            });
+            descripcion = primeraLinea(contenido);
+        }
+        const nombre = relative(dir, ruta).replace(/\.md$/, "").split(sep).join(":");
+        comandos.push({ origen: ORIGEN, ruta: relativa, nombre, descripcion });
+    }
+    return { comandos, directoriosMirados: [DIRECTORIO], errores };
+}
+//# sourceMappingURL=comandos.js.map

package/dist/core/descubrimiento/comandos.js.map

@@ -0,0 +1 @@
+{"version":3,"file":"comandos.js","sourceRoot":"","sources":["../../../src/core/descubrimiento/comandos.ts"],"names":[],"mappings":"AAAA;;;;;;;;;;GAUG;AAEH,OAAO,EAAE,WAAW,EAAE,YAAY,EAAE,MAAM,SAAS,CAAC;AACpD,OAAO,EAAE,IAAI,EAAE,QAAQ,EAAE,GAAG,EAAE,MAAM,WAAW,CAAC;AAChD,OAAO,EAAE,gBAAgB,EAAE,MAAM,4BAA4B,CAAC;AAkB9D,MAAM,MAAM,GAAG,aAAa,CAAC;AAC7B,MAAM,UAAU,GAAG,kBAAkB,CAAC;AAEtC,6DAA6D;AAC7D,SAAS,UAAU,CAAC,GAAW,EAAE,MAAgB,EAAQ;IACxD,IAAI,QAAoC,CAAC;IACzC,IAAI,CAAC;QACJ,QAAQ,GAAG,WAAW,CAAC,GAAG,EAAE,EAAE,aAAa,EAAE,IAAI,EAAE,CAAC,CAAC;IACtD,CAAC;IAAC,MAAM,CAAC;QACR,OAAO,CAAC,2DAA2D;IACpE,CAAC;IACD,KAAK,MAAM,OAAO,IAAI,CAAC,GAAG,QAAQ,CAAC,CAAC,IAAI,CAAC,CAAC,CAAC,EAAE,CAAC,EAAE,EAAE,CAAC,CAAC,CAAC,IAAI,CAAC,aAAa,CAAC,CAAC,CAAC,IAAI,CAAC,CAAC,EAAE,CAAC;QAClF,MAAM,QAAQ,GAAG,IAAI,CAAC,GAAG,EAAE,OAAO,CAAC,IAAI,CAAC,CAAC;QACzC,IAAI,OAAO,CAAC,WAAW,EAAE,EAAE,CAAC;YAC3B,UAAU,CAAC,QAAQ,EAAE,MAAM,CAAC,CAAC;QAC9B,CAAC;aAAM,IAAI,OAAO,CAAC,MAAM,EAAE,IAAI,OAAO,CAAC,IAAI,CAAC,QAAQ,CAAC,KAAK,CAAC,EAAE,CAAC;YAC7D,MAAM,CAAC,IAAI,CAAC,QAAQ,CAAC,CAAC;QACvB,CAAC;IACF,CAAC;AAAA,CACD;AAED,SAAS,YAAY,CAAC,MAAc,EAAsB;IACzD,MAAM,KAAK,GAAG,MAAM;SAClB,KAAK,CAAC,IAAI,CAAC;SACX,GAAG,CAAC,CAAC,CAAC,EAAE,EAAE,CAAC,CAAC,CAAC,IAAI,EAAE,CAAC;SACpB,IAAI,CAAC,CAAC,CAAC,EAAE,EAAE,CAAC,CAAC,CAAC,MAAM,GAAG,CAAC,CAAC,CAAC;IAC5B,OAAO,KAAK,CAAC,CAAC,CAAC,KAAK,CAAC,KAAK,CAAC,CAAC,EAAE,GAAG,CAAC,CAAC,CAAC,CAAC,SAAS,CAAC;AAAA,CAC/C;AAED,MAAM,UAAU,iBAAiB,CAAC,GAAW,EAAmC;IAC/E,MAAM,QAAQ,GAAyB,EAAE,CAAC;IAC1C,MAAM,OAAO,GAA4C,EAAE,CAAC;IAC5D,MAAM,GAAG,GAAG,IAAI,CAAC,GAAG,EAAE,UAAU,CAAC,CAAC;IAElC,MAAM,KAAK,GAAa,EAAE,CAAC;IAC3B,UAAU,CAAC,GAAG,EAAE,KAAK,CAAC,CAAC;IAEvB,KAAK,MAAM,IAAI,IAAI,KAAK,EAAE,CAAC;QAC1B,MAAM,QAAQ,GAAG,QAAQ,CAAC,GAAG,EAAE,IAAI,CAAC,CAAC,KAAK,CAAC,GAAG,CAAC,CAAC,IAAI,CAAC,GAAG,CAAC,CAAC;QAE1D,IAAI,SAAiB,CAAC;QACtB,IAAI,CAAC;YACJ,SAAS,GAAG,YAAY,CAAC,IAAI,EAAE,OAAO,CAAC,CAAC;QACzC,CAAC;QAAC,OAAO,KAAK,EAAE,CAAC;YAChB,OAAO,CAAC,IAAI,CAAC,EAAE,IAAI,EAAE,QAAQ,EAAE,MAAM,EAAE,KAAK,YAAY,KAAK,CAAC,CAAC,CAAC,KAAK,CAAC,OAAO,CAAC,CAAC,CAAC,iBAAiB,EAAE,CAAC,CAAC;YACrG,SAAS;QACV,CAAC;QAED,IAAI,WAA+B,CAAC;QACpC,IAAI,CAAC;YACJ,MAAM,EAAE,WAAW,EAAE,IAAI,EAAE,GAAG,gBAAgB,CAA4B,SAAS,CAAC,CAAC;YACrF,WAAW,GAAG,OAAO,WAAW,CAAC,WAAW,KAAK,QAAQ,CAAC,CAAC,CAAC,WAAW,CAAC,WAAW,CAAC,CAAC,CAAC,YAAY,CAAC,IAAI,CAAC,CAAC;QAC1G,CAAC;QAAC,OAAO,KAAK,EAAE,CAAC;YAChB,OAAO,CAAC,IAAI,CAAC;gBACZ,IAAI,EAAE,QAAQ;gBACd,MAAM,EAAE,0BAAyB,KAAK,YAAY,KAAK,CAAC,CAAC,CAAC,KAAK,CAAC,OAAO,CAAC,CAAC,CAAC,MAAM,CAAC,KAAK,CAAC,EAAE;aACzF,CAAC,CAAC;YACH,WAAW,GAAG,YAAY,CAAC,SAAS,CAAC,CAAC;QACvC,CAAC;QAED,MAAM,MAAM,GAAG,QAAQ,CAAC,GAAG,EAAE,IAAI,CAAC,CAAC,OAAO,CAAC,OAAO,EAAE,EAAE,CAAC,CAAC,KAAK,CAAC,GAAG,CAAC,CAAC,IAAI,CAAC,GAAG,CAAC,CAAC;QAC7E,QAAQ,CAAC,IAAI,CAAC,EAAE,MAAM,EAAE,MAAM,EAAE,IAAI,EAAE,QAAQ,EAAE,MAAM,EAAE,WAAW,EAAE,CAAC,CAAC;IACxE,CAAC;IAED,OAAO,EAAE,QAAQ,EAAE,kBAAkB,EAAE,CAAC,UAAU,CAAC,EAAE,OAAO,EAAE,CAAC;AAAA,CAC/D","sourcesContent":["/**\n * Comandos de barra que Claude Code ya tiene definidos en el proyecto:\n * `.claude/commands/*.md`.\n *\n * Solo se listan — a diferencia de las skills, que sí se pasan a la sesión\n * (ver `skills.ts`), un comando de barra ajeno no tiene un sitio propio en el\n * sistema de comandos de Ada (`core/slash-commands.ts` es de upstream y su\n * formato de prompt-templates no es el mismo). Listarlo con su origen ya\n * ahorra la media hora de \"¿qué comandos tenía este proyecto?\" al cambiar de\n * herramienta.\n */\n\nimport { readdirSync, readFileSync } from \"node:fs\";\nimport { join, relative, sep } from \"node:path\";\nimport { parseFrontmatter } from \"../../utils/frontmatter.ts\";\n\nexport interface ComandoDescubierto {\n\torigen: string;\n\t/** Ruta relativa al proyecto. */\n\truta: string;\n\t/** Con `:` como separador de namespace, igual que hace Claude Code. */\n\tnombre: string;\n\tdescripcion?: string;\n}\n\nexport interface ResultadoDescubrimientoComandos {\n\tcomandos: ComandoDescubierto[];\n\t/** Directorios mirados, existan o no. */\n\tdirectoriosMirados: string[];\n\terrores: Array<{ ruta: string; motivo: string }>;\n}\n\nconst ORIGEN = \"Claude Code\";\nconst DIRECTORIO = \".claude/commands\";\n\n/** Los .md de un directorio, recursivo, en orden estable. */\nfunction ficherosMd(dir: string, salida: string[]): void {\n\tlet entradas: import(\"node:fs\").Dirent[];\n\ttry {\n\t\tentradas = readdirSync(dir, { withFileTypes: true });\n\t} catch {\n\t\treturn; // no existe o no se puede listar: \"no hay\", no es un fallo\n\t}\n\tfor (const entrada of [...entradas].sort((a, b) => a.name.localeCompare(b.name))) {\n\t\tconst completa = join(dir, entrada.name);\n\t\tif (entrada.isDirectory()) {\n\t\t\tficherosMd(completa, salida);\n\t\t} else if (entrada.isFile() && entrada.name.endsWith(\".md\")) {\n\t\t\tsalida.push(completa);\n\t\t}\n\t}\n}\n\nfunction primeraLinea(cuerpo: string): string | undefined {\n\tconst linea = cuerpo\n\t\t.split(\"\\n\")\n\t\t.map((l) => l.trim())\n\t\t.find((l) => l.length > 0);\n\treturn linea ? linea.slice(0, 100) : undefined;\n}\n\nexport function descubrirComandos(cwd: string): ResultadoDescubrimientoComandos {\n\tconst comandos: ComandoDescubierto[] = [];\n\tconst errores: Array<{ ruta: string; motivo: string }> = [];\n\tconst dir = join(cwd, DIRECTORIO);\n\n\tconst rutas: string[] = [];\n\tficherosMd(dir, rutas);\n\n\tfor (const ruta of rutas) {\n\t\tconst relativa = relative(cwd, ruta).split(sep).join(\"/\");\n\n\t\tlet contenido: string;\n\t\ttry {\n\t\t\tcontenido = readFileSync(ruta, \"utf-8\");\n\t\t} catch (error) {\n\t\t\terrores.push({ ruta: relativa, motivo: error instanceof Error ? error.message : \"no se pudo leer\" });\n\t\t\tcontinue;\n\t\t}\n\n\t\tlet descripcion: string | undefined;\n\t\ttry {\n\t\t\tconst { frontmatter, body } = parseFrontmatter<{ description?: unknown }>(contenido);\n\t\t\tdescripcion = typeof frontmatter.description === \"string\" ? frontmatter.description : primeraLinea(body);\n\t\t} catch (error) {\n\t\t\terrores.push({\n\t\t\t\truta: relativa,\n\t\t\t\tmotivo: `frontmatter inválido: ${error instanceof Error ? error.message : String(error)}`,\n\t\t\t});\n\t\t\tdescripcion = primeraLinea(contenido);\n\t\t}\n\n\t\tconst nombre = relative(dir, ruta).replace(/\\.md$/, \"\").split(sep).join(\":\");\n\t\tcomandos.push({ origen: ORIGEN, ruta: relativa, nombre, descripcion });\n\t}\n\n\treturn { comandos, directoriosMirados: [DIRECTORIO], errores };\n}\n"]}