@hostwebhook/platform-node 0.2.0 → 0.4.0

package/dist/presets-de-oauth/linkedin-oauth-presets.d.ts

@@ -0,0 +1,314 @@
+/**
+ * LinkedIn OAuth 2.0 configuration for HostWebhook.
+ *
+ * LinkedIn's auth model is plain OAuth 2.0 (NOT PKCE) with a
+ * confidential client. No per-instance dance like Mastodon — single
+ * HW-wide registered app, env-var-driven client credentials.
+ *
+ * ## SON DOS APPS DE LINKEDIN, no una
+ *
+ * LinkedIn exige que **Community Management API sea el unico producto** de su
+ * aplicacion, «due to legal and security constraints». En una app que ya tenga
+ * Share o Sign In with LinkedIn, la opcion de pedirlo sale en gris; y donde ya
+ * esta concedido, activar OIDC lo deshabilita. No es un fallo de configuracion
+ * ni algo que se arregle insistiendo: son dos aplicaciones.
+ *
+ *   App MIEMBRO — https://www.linkedin.com/developers/apps
+ *     Products: "Sign In with LinkedIn using OpenID Connect" + "Share on
+ *     LinkedIn". Gratuitas y automaticas.
+ *     Da: openid, profile, email, w_member_social.
+ *     Sirve para: publicar en un perfil personal.
+ *     Env: LINKEDIN_OAUTH_CLIENT_ID / LINKEDIN_OAUTH_CLIENT_SECRET.
+ *
+ *   App PAGINA — otra aplicacion, creada limpia y SIN anadirle ningun otro
+ *     producto antes de pedirlo.
+ *     Products: "Community Management API", y nada mas. Pasa por revision.
+ *     Da: r_organization_social, w_organization_social, rw_organization_admin.
+ *     Sirve para: publicar como pagina Y SONDEAR sus posts (lo unico que
+ *     desbloquea el trigger).
+ *     Env: LINKEDIN_ORG_OAUTH_CLIENT_ID / LINKEDIN_ORG_OAUTH_CLIENT_SECRET.
+ *
+ * Las dos registran el MISMO redirect: `{API_URL}/api/credentials/linkedin/
+ * oauth/callback`. No hay ambiguedad al volver porque el `state` guardado en
+ * Redis dice de que app salio, y con el la pareja de credenciales correcta.
+ *
+ * ## Lo que NO tiene la app de pagina
+ *
+ * OIDC. Ahi no hay `openid`, asi que `/v2/userinfo` no se puede llamar y esa
+ * conexion no conoce a la persona: se identifica por las paginas que
+ * administra (`organizationAcls`). De ahi que `memberId` y `personUrn` sean
+ * opcionales — ver `LinkedInOAuthStoredAuth`.
+ *
+ * Token lifetime: 60 days (default). Refresh tokens optional and
+ * issued only when LinkedIn deems necessary — most HW deployments
+ * just persist the access token until expiry, then prompt reconnect.
+ *
+ * ## Las dos identidades
+ *
+ * Una credencial de LinkedIn representa **a quien se publica y a quien se
+ * sondea**, y eso puede ser una persona (`urn:li:person:{sub}`) o una pagina
+ * de empresa (`urn:li:organization:{id}`). Todo el provider ya trabajaba con
+ * un solo `authorUrn`, asi que la eleccion vive en la credencial y ni el nodo
+ * ni el trigger tienen que enterarse: cambiar de identidad es cambiar ese URN.
+ *
+ * La diferencia que importa esta en la LECTURA, no en la escritura:
+ *
+ *   - publicar como persona -> `w_member_social`, producto gratuito.
+ *   - publicar como pagina  -> `w_organization_social`, Community Management.
+ *   - LEER los posts propios de una persona -> `r_member_social`, que LinkedIn
+ *     describe como «restricted and available to approved users only» y no
+ *     esta concediendo. Por eso el trigger sobre un perfil personal no puede
+ *     funcionar por mucho que la app este bien montada.
+ *   - LEER los posts de una pagina -> `r_organization_social`, y ese SI se
+ *     concede via Community Management API.
+ *
+ * De ahi que el trigger sea una funcion de la identidad elegida y de los
+ * scopes concedidos, no de una tabla fija: si LinkedIn cambiara de criterio y
+ * concediera `r_member_social`, el perfil personal empieza a sondear solo, sin
+ * tocar una linea. Ver `pollBlockReason`.
+ */
+export declare const LINKEDIN_OAUTH_CONFIG: {
+    readonly authorizationEndpoint: "https://www.linkedin.com/oauth/v2/authorization";
+    readonly tokenEndpoint: "https://www.linkedin.com/oauth/v2/accessToken";
+    /** OpenID Connect userinfo — returns sub (member id), name, email, etc. */
+    readonly userInfoWebhook: "https://api.linkedin.com/v2/userinfo";
+    /** Env var names holding HW's registered client credentials. */
+    readonly clientIdEnv: "LINKEDIN_OAUTH_CLIENT_ID";
+    readonly clientSecretEnv: "LINKEDIN_OAUTH_CLIENT_SECRET";
+    /**
+     * Scopes extra que este despliegue puede pedir, separados por coma.
+     *
+     * ## Por que es una variable y no una constante
+     *
+     * LinkedIn rechaza la autorizacion ENTERA con `unauthorized_scope_error` si
+     * pides un scope que la app no tiene habilitado — no lo ignora. Meter los
+     * scopes de pagina en la lista fija romperia el conector personal, que hoy
+     * funciona, en todos los despliegues cuya app aun no tenga aprobado
+     * Community Management API.
+     *
+     * Asi que la lista base es la que garantizan los dos productos gratuitos, y
+     * lo que dependa de una aprobacion se enciende aqui cuando LinkedIn la
+     * concede:
+     *
+     *     LINKEDIN_OAUTH_EXTRA_SCOPES=r_organization_social,w_organization_social,rw_organization_admin
+     *
+     * Es una variable y no un booleano a proposito: LinkedIn renombra y trocea
+     * sus permisos cada pocos meses, y asi ajustarlo no pide un despliegue de
+     * codigo.
+     */
+    readonly extraScopesEnv: "LINKEDIN_OAUTH_EXTRA_SCOPES";
+    /** Default scope set:
+     *   - openid profile email — OIDC identity (always required)
+     *   - w_member_social — post on behalf of the authenticated member
+     *
+     * `w_member_social` is "Share on LinkedIn" product scope — must be
+     * enabled on the LinkedIn app via the Products tab. */
+    readonly defaultScopes: readonly ["openid", "profile", "email", "w_member_social"];
+    /** Credenciales de la SEGUNDA app, la de Community Management API. */
+    readonly orgClientIdEnv: "LINKEDIN_ORG_OAUTH_CLIENT_ID";
+    readonly orgClientSecretEnv: "LINKEDIN_ORG_OAUTH_CLIENT_SECRET";
+    /** Sobrescribe los scopes de la app de pagina sin desplegar codigo. */
+    readonly orgScopesEnv: "LINKEDIN_ORG_OAUTH_SCOPES";
+    /**
+     * Lo que concede Community Management API en su nivel de desarrollo:
+     *   - r_organization_social — leer los posts de la pagina (EL TRIGGER)
+     *   - w_organization_social — publicar como la pagina
+     *   - rw_organization_admin — listar que paginas administra el miembro
+     *
+     * Sin `openid` a proposito: esa app no tiene OIDC y pedirlo la tumbaria
+     * entera con `unauthorized_scope_error`.
+     */
+    readonly orgDefaultScopes: readonly ["r_organization_social", "w_organization_social", "rw_organization_admin"];
+};
+/**
+ * De cual de las dos apps sale una conexion.
+ *
+ * Viaja en el `state` de Redis entre el `start` y el callback, y queda
+ * guardado en la credencial: un reconnect tiene que volver por la MISMA app,
+ * porque la otra ni tiene sus permisos ni reconoce su client_id.
+ */
+export type LinkedInAppKind = 'member' | 'organization';
+/**
+ * La version de la API de marketing que se declara en cada llamada a `/rest`.
+ *
+ * Iba escrita en el provider, y ahora la necesitan dos sitios: el provider y el
+ * descubrimiento de paginas del OAuth. Una sola copia, porque LinkedIn RETIRA
+ * las versiones viejas cada pocos meses («The Marketing Version 202507 has been
+ * sunset») y en `/rest` una version retirada no es un aviso, es un fallo. Con
+ * dos copias, subir una y olvidar la otra deja media integracion rota.
+ *
+ * Los `/v2` no la consultan — de ahi que el desfase no diera la cara.
+ */
+export declare const LINKEDIN_REST_VERSION = "202607";
+/** Leer los posts propios de una PERSONA. Restringido por LinkedIn. */
+export declare const LINKEDIN_MEMBER_READ_SCOPE = "r_member_social";
+/** Leer los posts de una PAGINA. Community Management API. */
+export declare const LINKEDIN_ORG_READ_SCOPE = "r_organization_social";
+/** Publicar como PAGINA. Community Management API. */
+export declare const LINKEDIN_ORG_WRITE_SCOPE = "w_organization_social";
+/** Listar las paginas que administra el miembro (`organizationAcls`). */
+export declare const LINKEDIN_ORG_ADMIN_SCOPE = "rw_organization_admin";
+/**
+ * Los scopes que se piden en la autorizacion: los base mas los que este
+ * despliegue haya encendido por entorno.
+ *
+ * `env` se inyecta para que la prueba no tenga que tocar `process.env`.
+ */
+export declare function resolveDefaultScopes(env?: NodeJS.ProcessEnv): string[];
+/** Lo que se le pide a la app de pagina. Sobrescribible por entorno. */
+export declare function resolveOrgScopes(env?: NodeJS.ProcessEnv): string[];
+/** Los scopes y los nombres de variable que le tocan a cada app. */
+export declare function appConfigFor(kind: LinkedInAppKind): {
+    clientIdEnv: string;
+    clientSecretEnv: string;
+    scopes: (env?: NodeJS.ProcessEnv) => string[];
+};
+/** Trocea una lista de scopes escrita a mano: coma, espacio o salto. */
+export declare function parseScopeList(raw: string | undefined | null): string[];
+/** Que clase de autor es un URN. `null` cuando no se reconoce. */
+export type LinkedInAuthorKind = 'person' | 'organization';
+export declare function authorKindOf(urn: string | undefined | null): LinkedInAuthorKind | null;
+/** Una pagina de empresa que el miembro administra. */
+export interface LinkedInOrganization {
+    /** `urn:li:organization:{id}` — lo que se guarda como `authorUrn`. */
+    urn: string;
+    /** Nombre visible. Cae al URN cuando LinkedIn no lo devuelve. */
+    name: string;
+    /** `vanityName` — el trozo de linkedin.com/company/{vanityName}. */
+    vanityName?: string;
+    /** El rol con el que figura el miembro (ADMINISTRATOR, etc.). */
+    role?: string;
+}
+/**
+ * Los elementos de `organizationAcls` convertidos en paginas.
+ *
+ * LinkedIn devuelve el URN en `organization` y, cuando la proyeccion cuela,
+ * los datos decorados en `organization~`. Se toleran las dos formas porque la
+ * decoracion es lo primero que deja de venir cuando cambia la version de la
+ * API, y perder el nombre no puede costar la pagina entera: un desplegable que
+ * dice `urn:li:organization:123` es feo, pero elegible; uno vacio no.
+ */
+export declare function parseOrganizationAcls(elements: Array<Record<string, unknown>>): LinkedInOrganization[];
+/**
+ * La persona de una credencial, o cadena vacia si no la hay.
+ *
+ * Las credenciales anteriores a las paginas no guardan `personUrn`: entonces
+ * `authorUrn` solo podia ser la persona, asi que ese es el relleno correcto —
+ * PERO solo si de verdad es un URN de persona. Cayendo a `authorUrn` a secas,
+ * una credencial de la app de pagina devolveria el URN de la pagina como si
+ * fuera su persona, y `setAuthor` la aceptaria como identidad «personal».
+ */
+export declare function personUrnOf(payload: Record<string, unknown>): string;
+export declare function toOrganizations(raw: unknown): LinkedInOrganization[];
+/**
+ * Por que ESTA credencial no puede sondear, o `null` si puede.
+ *
+ * Un solo sitio lo decide, y lo consultan los tres que opinan: la compuerta de
+ * activacion del trigger, el provider antes de gastar una llamada, y la
+ * pantalla para avisar antes de guardar.
+ *
+ * ## La regla del silencio
+ *
+ * Con `scopes` vacio o ausente NO se bloquea. Las credenciales anteriores a
+ * esto guardan la lista, pero una que no la tenga no es prueba de que falte el
+ * permiso — es prueba de que no lo sabemos, y bloquear por no saber convierte
+ * un fallo nuestro en un «no se puede» del usuario. Se bloquea solo cuando
+ * consta que el scope NO fue concedido.
+ */
+export declare function pollBlockReason(params: {
+    authorUrn?: string | null;
+    scopes?: string[] | null;
+}): string | null;
+/**
+ * Por que ESTA credencial no puede publicar, o `null` si puede.
+ *
+ * Misma regla del silencio que `pollBlockReason`. Publicar como persona es el
+ * caso gratuito; como pagina hace falta Community Management.
+ */
+export declare function postBlockReason(params: {
+    authorUrn?: string | null;
+    scopes?: string[] | null;
+}): string | null;
+export interface LinkedInUserInfo {
+    /** OIDC `sub` — opaque LinkedIn member id. Used as the URN base
+     *  (`urn:li:person:{sub}`) for posts via the UGC webhook. */
+    sub: string;
+    name: string;
+    given_name?: string;
+    family_name?: string;
+    email?: string;
+    picture?: string;
+}
+export interface LinkedInOAuthStoredAuth {
+    accessToken: string;
+    /** LinkedIn issues refresh tokens at its discretion. Optional. */
+    refreshToken?: string;
+    /** Absolute expiry in ms. Defaults to 60 days when LinkedIn returns
+     *  `expires_in: 5183999`. */
+    expiresAt?: number;
+    tokenType: string;
+    scopes: string[];
+    /** De cual de las dos apps salio. Un reconnect vuelve por la misma. */
+    appKind: LinkedInAppKind;
+    /**
+     * `sub` from /v2/userinfo — the URN base.
+     *
+     * Opcional porque la app de PAGINA no tiene OIDC: ahi no hay `/v2/userinfo`
+     * que llamar y la conexion no conoce a la persona, solo sus paginas.
+     */
+    memberId?: string;
+    memberName?: string;
+    email?: string;
+    /**
+     * A quien se publica y a quien se sondea. Por defecto la persona; puede
+     * apuntar a una de las paginas de `organizations`.
+     *
+     * Es el unico campo que lee el provider, de ahi que cambiar de identidad no
+     * toque ni un nodo ni un trigger.
+     */
+    authorUrn: string;
+    /**
+     * La persona, cuando se sabe. `authorUrn` se puede mover a una pagina y hay
+     * que poder volver.
+     *
+     * Ausente en dos casos distintos: en una credencial anterior a las paginas
+     * (ahi `authorUrn` ERA la persona, y de eso se ocupa `personUrnOf`) y en una
+     * conexion por la app de pagina, que no tiene OIDC y nunca conoce a nadie.
+     */
+    personUrn?: string;
+    /** Las paginas que el miembro administra, descubiertas al conectar. */
+    organizations?: LinkedInOrganization[];
+}
+export interface LinkedInOAuthStoredData {
+    /** Cached display name + email at the top level for fast UI. */
+    memberName: string;
+    email?: string;
+    oauth: LinkedInOAuthStoredAuth;
+}
+export interface PendingLinkedInOAuthState {
+    orgId: string;
+    userId: string;
+    credentialName: string;
+    /** Optional — set on reconnect to update an existing credential. */
+    credentialId?: string;
+    tags?: string[];
+    /** Carpeta destino elegida en el formulario. Viaja por Redis entre el
+     *  `start` y el callback: sin declararla aqui se perdia por el camino. */
+    folderId?: string;
+    clientId: string;
+    clientSecret: string;
+    requestedScopes: string[];
+    /** De que app salio. El callback lo necesita para saber si hay OIDC. */
+    appKind: LinkedInAppKind;
+    /** Absolute ms timestamp when this pending state expires (10 min). */
+    expiresAt: number;
+}
+export interface LinkedInTokenResponse {
+    access_token: string;
+    refresh_token?: string;
+    expires_in?: number;
+    scope?: string;
+    token_type?: string;
+    error?: string;
+    error_description?: string;
+}

package/dist/presets-de-oauth/linkedin-oauth-presets.js

@@ -0,0 +1,338 @@
+"use strict";
+/**
+ * LinkedIn OAuth 2.0 configuration for HostWebhook.
+ *
+ * LinkedIn's auth model is plain OAuth 2.0 (NOT PKCE) with a
+ * confidential client. No per-instance dance like Mastodon — single
+ * HW-wide registered app, env-var-driven client credentials.
+ *
+ * ## SON DOS APPS DE LINKEDIN, no una
+ *
+ * LinkedIn exige que **Community Management API sea el unico producto** de su
+ * aplicacion, «due to legal and security constraints». En una app que ya tenga
+ * Share o Sign In with LinkedIn, la opcion de pedirlo sale en gris; y donde ya
+ * esta concedido, activar OIDC lo deshabilita. No es un fallo de configuracion
+ * ni algo que se arregle insistiendo: son dos aplicaciones.
+ *
+ *   App MIEMBRO — https://www.linkedin.com/developers/apps
+ *     Products: "Sign In with LinkedIn using OpenID Connect" + "Share on
+ *     LinkedIn". Gratuitas y automaticas.
+ *     Da: openid, profile, email, w_member_social.
+ *     Sirve para: publicar en un perfil personal.
+ *     Env: LINKEDIN_OAUTH_CLIENT_ID / LINKEDIN_OAUTH_CLIENT_SECRET.
+ *
+ *   App PAGINA — otra aplicacion, creada limpia y SIN anadirle ningun otro
+ *     producto antes de pedirlo.
+ *     Products: "Community Management API", y nada mas. Pasa por revision.
+ *     Da: r_organization_social, w_organization_social, rw_organization_admin.
+ *     Sirve para: publicar como pagina Y SONDEAR sus posts (lo unico que
+ *     desbloquea el trigger).
+ *     Env: LINKEDIN_ORG_OAUTH_CLIENT_ID / LINKEDIN_ORG_OAUTH_CLIENT_SECRET.
+ *
+ * Las dos registran el MISMO redirect: `{API_URL}/api/credentials/linkedin/
+ * oauth/callback`. No hay ambiguedad al volver porque el `state` guardado en
+ * Redis dice de que app salio, y con el la pareja de credenciales correcta.
+ *
+ * ## Lo que NO tiene la app de pagina
+ *
+ * OIDC. Ahi no hay `openid`, asi que `/v2/userinfo` no se puede llamar y esa
+ * conexion no conoce a la persona: se identifica por las paginas que
+ * administra (`organizationAcls`). De ahi que `memberId` y `personUrn` sean
+ * opcionales — ver `LinkedInOAuthStoredAuth`.
+ *
+ * Token lifetime: 60 days (default). Refresh tokens optional and
+ * issued only when LinkedIn deems necessary — most HW deployments
+ * just persist the access token until expiry, then prompt reconnect.
+ *
+ * ## Las dos identidades
+ *
+ * Una credencial de LinkedIn representa **a quien se publica y a quien se
+ * sondea**, y eso puede ser una persona (`urn:li:person:{sub}`) o una pagina
+ * de empresa (`urn:li:organization:{id}`). Todo el provider ya trabajaba con
+ * un solo `authorUrn`, asi que la eleccion vive en la credencial y ni el nodo
+ * ni el trigger tienen que enterarse: cambiar de identidad es cambiar ese URN.
+ *
+ * La diferencia que importa esta en la LECTURA, no en la escritura:
+ *
+ *   - publicar como persona -> `w_member_social`, producto gratuito.
+ *   - publicar como pagina  -> `w_organization_social`, Community Management.
+ *   - LEER los posts propios de una persona -> `r_member_social`, que LinkedIn
+ *     describe como «restricted and available to approved users only» y no
+ *     esta concediendo. Por eso el trigger sobre un perfil personal no puede
+ *     funcionar por mucho que la app este bien montada.
+ *   - LEER los posts de una pagina -> `r_organization_social`, y ese SI se
+ *     concede via Community Management API.
+ *
+ * De ahi que el trigger sea una funcion de la identidad elegida y de los
+ * scopes concedidos, no de una tabla fija: si LinkedIn cambiara de criterio y
+ * concediera `r_member_social`, el perfil personal empieza a sondear solo, sin
+ * tocar una linea. Ver `pollBlockReason`.
+ */
+Object.defineProperty(exports, "__esModule", { value: true });
+exports.LINKEDIN_ORG_ADMIN_SCOPE = exports.LINKEDIN_ORG_WRITE_SCOPE = exports.LINKEDIN_ORG_READ_SCOPE = exports.LINKEDIN_MEMBER_READ_SCOPE = exports.LINKEDIN_REST_VERSION = exports.LINKEDIN_OAUTH_CONFIG = void 0;
+exports.resolveDefaultScopes = resolveDefaultScopes;
+exports.resolveOrgScopes = resolveOrgScopes;
+exports.appConfigFor = appConfigFor;
+exports.parseScopeList = parseScopeList;
+exports.authorKindOf = authorKindOf;
+exports.parseOrganizationAcls = parseOrganizationAcls;
+exports.personUrnOf = personUrnOf;
+exports.toOrganizations = toOrganizations;
+exports.pollBlockReason = pollBlockReason;
+exports.postBlockReason = postBlockReason;
+exports.LINKEDIN_OAUTH_CONFIG = {
+    authorizationEndpoint: 'https://www.linkedin.com/oauth/v2/authorization',
+    tokenEndpoint: 'https://www.linkedin.com/oauth/v2/accessToken',
+    /** OpenID Connect userinfo — returns sub (member id), name, email, etc. */
+    userInfoWebhook: 'https://api.linkedin.com/v2/userinfo',
+    /** Env var names holding HW's registered client credentials. */
+    clientIdEnv: 'LINKEDIN_OAUTH_CLIENT_ID',
+    clientSecretEnv: 'LINKEDIN_OAUTH_CLIENT_SECRET',
+    /**
+     * Scopes extra que este despliegue puede pedir, separados por coma.
+     *
+     * ## Por que es una variable y no una constante
+     *
+     * LinkedIn rechaza la autorizacion ENTERA con `unauthorized_scope_error` si
+     * pides un scope que la app no tiene habilitado — no lo ignora. Meter los
+     * scopes de pagina en la lista fija romperia el conector personal, que hoy
+     * funciona, en todos los despliegues cuya app aun no tenga aprobado
+     * Community Management API.
+     *
+     * Asi que la lista base es la que garantizan los dos productos gratuitos, y
+     * lo que dependa de una aprobacion se enciende aqui cuando LinkedIn la
+     * concede:
+     *
+     *     LINKEDIN_OAUTH_EXTRA_SCOPES=r_organization_social,w_organization_social,rw_organization_admin
+     *
+     * Es una variable y no un booleano a proposito: LinkedIn renombra y trocea
+     * sus permisos cada pocos meses, y asi ajustarlo no pide un despliegue de
+     * codigo.
+     */
+    extraScopesEnv: 'LINKEDIN_OAUTH_EXTRA_SCOPES',
+    /** Default scope set:
+     *   - openid profile email — OIDC identity (always required)
+     *   - w_member_social — post on behalf of the authenticated member
+     *
+     * `w_member_social` is "Share on LinkedIn" product scope — must be
+     * enabled on the LinkedIn app via the Products tab. */
+    defaultScopes: ['openid', 'profile', 'email', 'w_member_social'],
+    /** Credenciales de la SEGUNDA app, la de Community Management API. */
+    orgClientIdEnv: 'LINKEDIN_ORG_OAUTH_CLIENT_ID',
+    orgClientSecretEnv: 'LINKEDIN_ORG_OAUTH_CLIENT_SECRET',
+    /** Sobrescribe los scopes de la app de pagina sin desplegar codigo. */
+    orgScopesEnv: 'LINKEDIN_ORG_OAUTH_SCOPES',
+    /**
+     * Lo que concede Community Management API en su nivel de desarrollo:
+     *   - r_organization_social — leer los posts de la pagina (EL TRIGGER)
+     *   - w_organization_social — publicar como la pagina
+     *   - rw_organization_admin — listar que paginas administra el miembro
+     *
+     * Sin `openid` a proposito: esa app no tiene OIDC y pedirlo la tumbaria
+     * entera con `unauthorized_scope_error`.
+     */
+    orgDefaultScopes: [
+        'r_organization_social',
+        'w_organization_social',
+        'rw_organization_admin',
+    ],
+};
+/**
+ * La version de la API de marketing que se declara en cada llamada a `/rest`.
+ *
+ * Iba escrita en el provider, y ahora la necesitan dos sitios: el provider y el
+ * descubrimiento de paginas del OAuth. Una sola copia, porque LinkedIn RETIRA
+ * las versiones viejas cada pocos meses («The Marketing Version 202507 has been
+ * sunset») y en `/rest` una version retirada no es un aviso, es un fallo. Con
+ * dos copias, subir una y olvidar la otra deja media integracion rota.
+ *
+ * Los `/v2` no la consultan — de ahi que el desfase no diera la cara.
+ */
+exports.LINKEDIN_REST_VERSION = '202607';
+/** Leer los posts propios de una PERSONA. Restringido por LinkedIn. */
+exports.LINKEDIN_MEMBER_READ_SCOPE = 'r_member_social';
+/** Leer los posts de una PAGINA. Community Management API. */
+exports.LINKEDIN_ORG_READ_SCOPE = 'r_organization_social';
+/** Publicar como PAGINA. Community Management API. */
+exports.LINKEDIN_ORG_WRITE_SCOPE = 'w_organization_social';
+/** Listar las paginas que administra el miembro (`organizationAcls`). */
+exports.LINKEDIN_ORG_ADMIN_SCOPE = 'rw_organization_admin';
+/**
+ * Los scopes que se piden en la autorizacion: los base mas los que este
+ * despliegue haya encendido por entorno.
+ *
+ * `env` se inyecta para que la prueba no tenga que tocar `process.env`.
+ */
+function resolveDefaultScopes(env = process.env) {
+    const extra = parseScopeList(env[exports.LINKEDIN_OAUTH_CONFIG.extraScopesEnv]);
+    return dedupe([...exports.LINKEDIN_OAUTH_CONFIG.defaultScopes, ...extra]);
+}
+/** Lo que se le pide a la app de pagina. Sobrescribible por entorno. */
+function resolveOrgScopes(env = process.env) {
+    const override = parseScopeList(env[exports.LINKEDIN_OAUTH_CONFIG.orgScopesEnv]);
+    /* Aqui SUSTITUYE en vez de sumar: si LinkedIn concede un juego distinto al
+       aprobar, sumarle los nuestros pediria uno que no tiene y tumbaria la
+       autorizacion entera — que es justo el accidente del que huimos. */
+    return override.length > 0
+        ? dedupe(override)
+        : [...exports.LINKEDIN_OAUTH_CONFIG.orgDefaultScopes];
+}
+/** Los scopes y los nombres de variable que le tocan a cada app. */
+function appConfigFor(kind) {
+    return kind === 'organization'
+        ? {
+            clientIdEnv: exports.LINKEDIN_OAUTH_CONFIG.orgClientIdEnv,
+            clientSecretEnv: exports.LINKEDIN_OAUTH_CONFIG.orgClientSecretEnv,
+            scopes: resolveOrgScopes,
+        }
+        : {
+            clientIdEnv: exports.LINKEDIN_OAUTH_CONFIG.clientIdEnv,
+            clientSecretEnv: exports.LINKEDIN_OAUTH_CONFIG.clientSecretEnv,
+            scopes: resolveDefaultScopes,
+        };
+}
+/** Trocea una lista de scopes escrita a mano: coma, espacio o salto. */
+function parseScopeList(raw) {
+    if (!raw)
+        return [];
+    return raw
+        .split(/[\s,]+/)
+        .map((s) => s.trim())
+        .filter(Boolean);
+}
+function dedupe(items) {
+    return [...new Set(items)];
+}
+function authorKindOf(urn) {
+    if (!urn)
+        return null;
+    if (urn.startsWith('urn:li:person:'))
+        return 'person';
+    if (urn.startsWith('urn:li:organization:'))
+        return 'organization';
+    // `urn:li:organizationBrand:` es una pagina de producto: LinkedIn la trata
+    // como organizacion en los mismos endpoints, asi que cuenta igual.
+    if (urn.startsWith('urn:li:organizationBrand:'))
+        return 'organization';
+    return null;
+}
+/**
+ * Los elementos de `organizationAcls` convertidos en paginas.
+ *
+ * LinkedIn devuelve el URN en `organization` y, cuando la proyeccion cuela,
+ * los datos decorados en `organization~`. Se toleran las dos formas porque la
+ * decoracion es lo primero que deja de venir cuando cambia la version de la
+ * API, y perder el nombre no puede costar la pagina entera: un desplegable que
+ * dice `urn:li:organization:123` es feo, pero elegible; uno vacio no.
+ */
+function parseOrganizationAcls(elements) {
+    const out = [];
+    const vistos = new Set();
+    for (const el of elements ?? []) {
+        const urn = typeof el?.organization === 'string' ? el.organization : '';
+        if (!urn || vistos.has(urn))
+            continue;
+        vistos.add(urn);
+        const decorado = el['organization~'];
+        const name = typeof decorado?.localizedName === 'string' && decorado.localizedName
+            ? decorado.localizedName
+            : urn;
+        const vanityName = typeof decorado?.vanityName === 'string'
+            ? decorado.vanityName
+            : undefined;
+        const role = typeof el.role === 'string' ? el.role : undefined;
+        out.push({
+            urn,
+            name,
+            ...(vanityName ? { vanityName } : {}),
+            ...(role ? { role } : {}),
+        });
+    }
+    return out;
+}
+/**
+ * La persona de una credencial, o cadena vacia si no la hay.
+ *
+ * Las credenciales anteriores a las paginas no guardan `personUrn`: entonces
+ * `authorUrn` solo podia ser la persona, asi que ese es el relleno correcto —
+ * PERO solo si de verdad es un URN de persona. Cayendo a `authorUrn` a secas,
+ * una credencial de la app de pagina devolveria el URN de la pagina como si
+ * fuera su persona, y `setAuthor` la aceptaria como identidad «personal».
+ */
+function personUrnOf(payload) {
+    const person = payload.personUrn;
+    if (typeof person === 'string' && person)
+        return person;
+    const author = payload.authorUrn;
+    if (typeof author === 'string' && authorKindOf(author) === 'person') {
+        return author;
+    }
+    return '';
+}
+function toOrganizations(raw) {
+    if (!Array.isArray(raw))
+        return [];
+    return raw.filter((o) => !!o &&
+        typeof o === 'object' &&
+        typeof o.urn === 'string');
+}
+/**
+ * Por que ESTA credencial no puede sondear, o `null` si puede.
+ *
+ * Un solo sitio lo decide, y lo consultan los tres que opinan: la compuerta de
+ * activacion del trigger, el provider antes de gastar una llamada, y la
+ * pantalla para avisar antes de guardar.
+ *
+ * ## La regla del silencio
+ *
+ * Con `scopes` vacio o ausente NO se bloquea. Las credenciales anteriores a
+ * esto guardan la lista, pero una que no la tenga no es prueba de que falte el
+ * permiso — es prueba de que no lo sabemos, y bloquear por no saber convierte
+ * un fallo nuestro en un «no se puede» del usuario. Se bloquea solo cuando
+ * consta que el scope NO fue concedido.
+ */
+function pollBlockReason(params) {
+    const kind = authorKindOf(params.authorUrn);
+    const scopes = params.scopes ?? [];
+    // Sin lista de scopes no se juzga — ver «la regla del silencio».
+    if (scopes.length === 0)
+        return null;
+    if (kind === 'organization') {
+        if (scopes.includes(exports.LINKEDIN_ORG_READ_SCOPE))
+            return null;
+        return (`This LinkedIn credential points at a Company Page but was connected without ` +
+            `the "${exports.LINKEDIN_ORG_READ_SCOPE}" permission, so its posts cannot be read. ` +
+            `Request the Community Management API product for the LinkedIn app, then ` +
+            `reconnect the credential to grant it.`);
+    }
+    if (kind === 'person') {
+        if (scopes.includes(exports.LINKEDIN_MEMBER_READ_SCOPE))
+            return null;
+        return (`LinkedIn does not let apps read a personal profile's own posts — ` +
+            `"${exports.LINKEDIN_MEMBER_READ_SCOPE}" is restricted and LinkedIn is not granting it. ` +
+            `Point this credential at a Company Page you administer (Settings → ` +
+            `Credentials → the LinkedIn credential → "Publish and poll as"), or use the ` +
+            `credential for posting only.`);
+    }
+    // URN irreconocible: no inventamos un motivo. El fallo saldra en la llamada.
+    return null;
+}
+/**
+ * Por que ESTA credencial no puede publicar, o `null` si puede.
+ *
+ * Misma regla del silencio que `pollBlockReason`. Publicar como persona es el
+ * caso gratuito; como pagina hace falta Community Management.
+ */
+function postBlockReason(params) {
+    const kind = authorKindOf(params.authorUrn);
+    const scopes = params.scopes ?? [];
+    if (scopes.length === 0)
+        return null;
+    if (kind === 'organization' && !scopes.includes(exports.LINKEDIN_ORG_WRITE_SCOPE)) {
+        return (`This LinkedIn credential points at a Company Page but was connected without ` +
+            `the "${exports.LINKEDIN_ORG_WRITE_SCOPE}" permission, so it cannot post as the page. ` +
+            `Request the Community Management API product for the LinkedIn app, then ` +
+            `reconnect the credential.`);
+    }
+    return null;
+}