@jantstack/adonis-authz 1.0.2 → 2.0.0-alpha.1

package/build/src/errors.js

@@ -0,0 +1,387 @@
+import { Exception } from '@adonisjs/core/exceptions';
+/**
+ * El backend de autorización no respondió.
+ *
+ * Es el tercer estado de una pregunta de permisos, y merece un tipo propio:
+ *
+ *   no tienes permiso        → `false`
+ *   la pregunta no es válida → Exception 422 (permiso/rol inexistente)
+ *   no se pudo preguntar     → esto, 503
+ *
+ * Dos razones para envolver el error del driver en vez de dejarlo pasar:
+ *
+ * 1. **La abstracción no debe tener fugas.** Sin esto escapaba un `FgaError`
+ *    del SDK de OpenFGA, así que distinguir "backend caído" obligaba a
+ *    importar el SDK — acoplando el call-site al backend que este paquete
+ *    existe para abstraer. Cambiar de driver habría obligado a cambiar los
+ *    `catch`.
+ * 2. **Nadie debería escribir `try/catch` para estar a salvo.** Con `status`
+ *    503, el manejador de excepciones responde solo, y con el código correcto:
+ *    no es que la aplicación esté rota (500), es que una dependencia no está
+ *    disponible.
+ *
+ * Lo que NO se hace es capturar y devolver `false`. Denegar en silencio
+ * durante una caída deja a todos sin permisos sin decir por qué, y manda a
+ * buscar un rol mal configurado que no existe. Se deniega igual; lo que
+ * cambia es el diagnóstico.
+ */
+export class AuthorizationBackendError extends Exception {
+    static status = 503;
+    static code = 'E_AUTHZ_BACKEND_UNAVAILABLE';
+    constructor(driver, operation, cause) {
+        super(`El backend de autorización '${driver}' no respondió (${operation})`, { cause });
+    }
+}
+/**
+ * El backend respondió tarde: venció `timeoutMs`. Es un `AuthorizationBackendError`
+ * (503, se maneja igual) con código propio, porque para operaciones "no responde"
+ * y "responde lento" son incidentes distintos: el segundo suele ser saturación, no
+ * caída, y el remedio (subir el deadline, escalar el backend) es otro.
+ */
+export class AuthorizationBackendTimeoutError extends AuthorizationBackendError {
+    static code = 'E_AUTHZ_BACKEND_TIMEOUT';
+    constructor(driver, operation, timeoutMs, cause) {
+        super(driver, operation, cause);
+        this.message = `El backend de autorización '${driver}' no respondió en ${timeoutMs} ms (${operation})`;
+    }
+}
+/**
+ * El resolutor de ancestros del consumidor lanzó. Es una dependencia más de
+ * cada pregunta (el árbol de scopes), así que su caída se clasifica como la
+ * del backend: 503, nunca `false`, nunca el error crudo del consumidor.
+ */
+export class ScopeResolverError extends Exception {
+    static status = 503;
+    static code = 'E_AUTHZ_RESOLVER_FAILED';
+    constructor(operation, cause) {
+        super(`El resolutor de ancestros de scopes falló (${operation})`, { cause });
+    }
+}
+/**
+ * Un componente de identidad (holder, scope, rol, permiso) no cumple el formato
+ * del motor. Es una pregunta inválida (422), no un "sin permiso": aceptarla
+ * fundiría identidades distintas en una (`user:undefined`, `{app, uuid}` que
+ * colapsa a la raíz) o produciría ids que otro backend no puede representar.
+ */
+export class InvalidIdentityError extends Exception {
+    static status = 422;
+    static code = 'E_AUTHZ_INVALID_IDENTITY';
+}
+/**
+ * Un slug de rol/permiso no cumple la gramática del catálogo: formato,
+ * longitud, nombre reservado o familia de prefijos reservada. 422 porque es la
+ * pregunta la que está mal formada; el catálogo no se consulta.
+ */
+export class InvalidSlugError extends Exception {
+    static status = 422;
+    static code = 'E_AUTHZ_INVALID_SLUG';
+}
+/**
+ * La configuración del consumidor es contradictoria (p. ej. `holderTypes` no
+ * inyectivo). 500: la aplicación está mal construida, no hay pregunta que
+ * responder hasta que se arregle.
+ */
+export class AuthorizationConfigError extends Exception {
+    static status = 500;
+    static code = 'E_AUTHZ_CONFIG';
+}
+/**
+ * Invariante interno del motor violado (una escritura sin scopes, un batchCheck
+ * incompleto). 500: es un bug del paquete o de quien lo extiende, no del
+ * llamante ni del backend.
+ */
+export class AuthorizationInternalError extends Exception {
+    static status = 500;
+    static code = 'E_AUTHZ_INTERNAL';
+}
+/**
+ * El scope no existe para el consumidor (`resolveChain` devolvió `null`).
+ * En lectura el motor responde `false` sin más; en escritura es 422: conceder
+ * o denegar en un scope que nadie reconoce dejaría un hecho huérfano que
+ * ningún árbol volverá a alcanzar — o, peor, que resucitaría si el uuid se
+ * reutiliza (L0.3, N5).
+ */
+export class UnknownScopeError extends Exception {
+    static status = 422;
+    static code = 'E_AUTHZ_UNKNOWN_SCOPE';
+}
+/**
+ * Se preguntó por un scope que no es la raíz y el driver no tiene resolutor
+ * de ancestros. Antes el paquete suplía un default plano ("todo cuelga de
+ * app") que convertía cualquier scope inventado en descendiente de la raíz.
+ * 422 y no 500: la raíz sigue funcionando; lo que no existe en este
+ * despliegue son los niveles intermedios.
+ */
+export class NoScopeResolverError extends Exception {
+    static status = 422;
+    static code = 'E_AUTHZ_NO_SCOPE_RESOLVER';
+}
+/**
+ * Rol fuera del catálogo para ese nivel (pregunta inválida, 422). Con
+ * `scopeType` se buscó por `(slug, scopeType)`; sin él, por uuid (3B ·
+ * `purgeRole`, `updateScopedRole`, `deleteScopedRole`).
+ */
+export class UnknownRoleError extends Exception {
+    static status = 422;
+    static code = 'E_AUTHZ_UNKNOWN_ROLE';
+    constructor(slugOrUuid, scopeType) {
+        super(scopeType === undefined
+            ? `Rol con uuid '${slugOrUuid}' no existe en el catálogo`
+            : `Rol '${slugOrUuid}' no existe en el catálogo para el nivel '${scopeType}'`);
+    }
+}
+/**
+ * El rol existe pero es LOCAL a un scope que no está en la cadena del scope
+ * de la escritura (3B · B2): un rol de la organization A no existe en B ni
+ * en la raíz. 422 y nada escrito — es la barrera que impide asignar el rol
+ * de un tenant fuera de su contenedor. En lectura no hay error: el rol
+ * simplemente no concede ni es membresía fuera de su owner.
+ */
+export class RoleNotVisibleError extends Exception {
+    static status = 422;
+    static code = 'E_AUTHZ_ROLE_NOT_VISIBLE';
+}
+/**
+ * En la cadena del scope de la pregunta hay MÁS DE UN rol visible con ese
+ * `(slug, nivel)` (3D · M1): dos locales de owners distintos que un
+ * `scopes.moved` juntó, o un local que tapa a un global. El slug ya no
+ * identifica un rol y elegir uno («el owner más cercano gana») convertía un
+ * homónimo en una escalada de privilegios (auditor V1/V2/V3): la ambigüedad
+ * es un ERROR, no una regla de resolución. Toda ruta que direccione por slug
+ * —`grant`, `revoke` por uuid, `hasRole`, `listSubjects`— falla CERRADA con
+ * 422 nombrando los uuids y sus owners; la forma sin ambigüedad posible es
+ * `{ uuid }` (`RoleQuery`). `authorize` no pasa por aquí: no direcciona por
+ * slug (lo asignado concede lo que su rol vincula, invariante 1).
+ */
+export class AmbiguousRoleError extends Exception {
+    static status = 422;
+    static code = 'E_AUTHZ_AMBIGUOUS_ROLE';
+}
+/**
+ * El `scopeType` de un rol local no es el nivel de su owner ni uno que
+ * cuelgue de él (3E · P1, auditor A1). Un rol de nivel SUPERIOR al owner no
+ * es visible en ninguna parte —no concede, no es membresía, nadie lo puede
+ * asignar— pero OCUPA ese `(slug, nivel)`: bloqueaba el `defineScopedRole`
+ * del dueño del árbol y, hasta 3E, el `syncAuthzCatalog` entero de la
+ * plataforma. Es squatting con forma de spec, como `permissions: []` (3D ·
+ * N3): 422. Los niveles que cuelgan del owner los declara el consumidor con
+ * `scopes.descendantsOf`; sin él solo se admite el nivel del owner.
+ */
+export class RoleLevelAboveOwnerError extends Exception {
+    static status = 422;
+    static code = 'E_AUTHZ_ROLE_LEVEL_ABOVE_OWNER';
+}
+/**
+ * `updateScopedRole`/`deleteScopedRole` sobre un rol GLOBAL (3B · B3). Los
+ * roles del catálogo del config se cambian en el config y se sincronizan
+ * (`syncAuthzCatalog`); por la API de delegación son inmutables, o un
+ * administrador de tenant podría editar el catálogo de la plataforma.
+ */
+export class RoleImmutableError extends Exception {
+    static status = 422;
+    static code = 'E_AUTHZ_ROLE_IMMUTABLE';
+}
+/**
+ * Un rol de nivel L no puede llevar (o ser asignado llevando) un permiso
+ * cuyo `assignableAt` no incluye L (3B · B5). Es un control de COMPOSICIÓN
+ * —`syncAuthzCatalog`, `defineScopedRole`, `updateScopedRole` y, por defensa
+ * en profundidad, `grant`—, nunca de evaluación: lo ya asignado sigue
+ * concediendo (invariante 1).
+ */
+export class RoleNotAssignableAtError extends Exception {
+    static status = 422;
+    static code = 'E_AUTHZ_ROLE_NOT_ASSIGNABLE_AT';
+}
+/**
+ * `defineScopedRole`/`updateScopedRole` con un permiso que el actor no puede
+ * delegar (3B · B3): no está en `config.delegablePermissions` (lista blanca;
+ * vacía por defecto: nadie delega nada hasta declararla), no existe en el
+ * catálogo, o el actor no lo tiene EFECTIVO en el owner (no lo concede
+ * ningún rol suyo en la cadena, o lo tiene denegado — auditor C2: un deny
+ * no se lava componiendo un rol para un títere).
+ */
+export class PermissionNotDelegableError extends Exception {
+    static status = 422;
+    static code = 'E_AUTHZ_PERMISSION_NOT_DELEGABLE';
+}
+/**
+ * El `rank` de un rol local no cumple `0 < rank < min(rank del actor, rank
+ * máximo global)` (3B · B3), o el actor intenta tocar un rol de rango ≥ al
+ * suyo. Es policy de ESCRITURA (composición y delegación); el motor sigue sin
+ * evaluar `rank` en `authorize` (invariante 8).
+ */
+export class RankExceededError extends Exception {
+    static status = 422;
+    static code = 'E_AUTHZ_RANK_EXCEEDED';
+}
+/**
+ * Dos catálogos de `config.catalogs` declaran el mismo rol `(slug, scopeType)`
+ * o el mismo permiso. La identidad de un rol es ese par: compartirla es
+ * compartir el rol, y el prune del segundo sync borraría los vínculos del
+ * primero en silencio (D3). Un rol pertenece a exactamente un catálogo; se
+ * rechaza antes de tocar la base, en el sync y en el diff.
+ */
+export class CatalogConflictError extends Exception {
+    static status = 422;
+    static code = 'E_AUTHZ_CATALOG_CONFLICT';
+}
+/** Permiso fuera del catálogo (pregunta inválida en `deny`/catálogo, 422). */
+export class UnknownPermissionError extends Exception {
+    static status = 422;
+    static code = 'E_AUTHZ_UNKNOWN_PERMISSION';
+    constructor(slug) {
+        super(`Permiso '${slug}' no existe en el catálogo`);
+    }
+}
+/**
+ * `appAccess({ role })` se retiró (L0.6). `hasRole` es una consulta de
+ * MEMBRESÍA y el deny no la gobierna: un middleware sobre ella era un punto de
+ * decisión indenegable (un holder con todos sus permisos denegados seguía
+ * pasando). 500: es la ruta la que está mal declarada, y debe saltar en el
+ * primer request de desarrollo, no en producción.
+ */
+export class RoleIsNotAccessError extends Exception {
+    static status = 500;
+    static code = 'E_AUTHZ_ROLE_IS_NOT_ACCESS';
+    constructor(role) {
+        super(`appAccess({ role: ${JSON.stringify(role)} }) ya no existe: un rol es membresía, no acceso, ` +
+            `y el deny no lo gobierna. Receta: crea un permiso que represente ese acceso ` +
+            `(p. ej. 'admin:access'), vincúlalo al rol en el catálogo y protege la ruta con ` +
+            `appAccess({ permission: 'admin:access' }).`);
+    }
+}
+/**
+ * Colgar `child` de `parent` cerraría un ciclo (el padre desciende del hijo,
+ * o son el mismo). FGA no detecta ciclos de `parent`: los evalúa, y un grant
+ * en cualquier nodo del ciclo concede en todos, raíz incluida (S2). La única
+ * barrera es el paquete, antes de escribir nada.
+ */
+export class ScopeCycleError extends Exception {
+    static status = 422;
+    static code = 'E_AUTHZ_SCOPE_CYCLE';
+}
+/**
+ * `purgeScope` terminó y el backend todavía muestra hechos del scope. Un
+ * número parcial que no lanza deja grants huérfanos e indenegables (S6, B2);
+ * se lanza para que el consumidor NO confirme el borrado de su entidad.
+ */
+export class PurgeIncompleteError extends Exception {
+    static status = 500;
+    static code = 'E_AUTHZ_PURGE_INCOMPLETE';
+}
+/**
+ * `openfga:import` sobre un store con tuplas y sin `--reconcile`. En FGA la
+ * condición no es parte de la clave: escribir "ignorando duplicados" sobre
+ * una tupla existente dejaba la caducidad vieja (o ninguna) y reportaba
+ * éxito (S7). 409: el estado del destino no es el que el comando espera.
+ */
+export class StoreNotEmptyError extends Exception {
+    static status = 409;
+    static code = 'E_AUTHZ_STORE_NOT_EMPTY';
+}
+/**
+ * `config.requireActor: true` y una escritura llegó sin `actor` (2.1, B7).
+ * 422 antes de tocar el driver: una auditoría que exige saber quién ordenó
+ * cada cambio no puede tener huecos, y el hueco no se descubre después.
+ */
+export class ActorRequiredError extends Exception {
+    static status = 422;
+    static code = 'E_AUTHZ_ACTOR_REQUIRED';
+}
+/**
+ * `within` no está en la cadena del scope de la escritura (2.1, B1): el
+ * call-site declaró "dentro de MI tenant" y el scope pertenece a otro. 422 y
+ * nada escrito: es la barrera contra el administrador de A que concede en
+ * una unit de B pasando un uuid ajeno. Vale para las SEIS escrituras del
+ * manager (2D · F2): quitar un deny ajeno es conceder, revocar un rol ajeno
+ * es sabotear, y purgar o recolgar un scope ajeno es lo mismo.
+ */
+export class NotWithinError extends Exception {
+    static status = 422;
+    static code = 'E_AUTHZ_NOT_WITHIN';
+}
+/**
+ * `config.requireWithin` (`true` o `'non-root'`) y una escritura llegó sin
+ * `within` (2.1, B1; las seis desde 2D · F2). 422 antes del driver: la
+ * contención opt-in (auditor E2) deja de serlo cuando el consumidor lo declara.
+ */
+export class WithinRequiredError extends Exception {
+    static status = 422;
+    static code = 'E_AUTHZ_WITHIN_REQUIRED';
+}
+/**
+ * `config.requireWithin: 'non-root'` y una escritura declaró `within: APP_SCOPE`
+ * (2.1, 2D · F2). La raíz contiene todo, así que como `within` no acota nada:
+ * era el comodín con el que un call-site de tenant satisfacía `requireWithin`
+ * sin decir de qué tenant es (auditor 9). 422 y nada escrito; la plataforma,
+ * que sí escribe en la raíz, usa `manager.driver()` o una config sin el flag.
+ */
+export class WithinRootForbiddenError extends Exception {
+    static status = 422;
+    static code = 'E_AUTHZ_WITHIN_ROOT_FORBIDDEN';
+}
+/**
+ * Una enumeración de scopes superó su cota (2.1, B2/B3): `authorizedScopes`
+ * por encima de `maxScopes`, o un `descendantsOf` que devolvió más de
+ * `maxNodes`. 422 y NUNCA una lista parcial: un listado truncado en silencio
+ * es la forma más discreta de fail-open/fail-closed. El llamante acota la
+ * pregunta o sube la cota a sabiendas.
+ */
+export class TooManyScopesError extends Exception {
+    static status = 422;
+    static code = 'E_AUTHZ_TOO_MANY_SCOPES';
+}
+/**
+ * `sqlDescendantsOf` sobre un dialecto sin observación (2.1, B2): hoy solo PG
+ * y SQLite corren la CTE en la suite; MySQL entra en 2.5 con harness propio.
+ * 500: config del consumidor, salta en la primera llamada.
+ */
+export class UnsupportedDialectError extends Exception {
+    static status = 500;
+    static code = 'E_AUTHZ_UNSUPPORTED_DIALECT';
+}
+/**
+ * `hierarchicalScopeResolver` superó `maxDepth` (2.1, B4). Truncar la cadena
+ * perdería la raíz —y con ella cualquier deny en `app`—: fail-open. 500 y no
+ * 503: el árbol del consumidor es más profundo de lo declarado, no hay
+ * reintento que lo arregle.
+ */
+export class ScopeTooDeepError extends Exception {
+    static status = 500;
+    static code = 'E_AUTHZ_SCOPE_TOO_DEEP';
+}
+/**
+ * Una primitiva de 2.1 necesita un método OPCIONAL del puerto que el driver
+ * activo no implementa (2.1, B5): se nombra el método y se lanza. 500 porque
+ * es el despliegue el que está incompleto; nunca se simula la respuesta —un
+ * `[]` en `listDenies` sería "sin denies", fail-open.
+ */
+export class UnsupportedOperationError extends Exception {
+    static status = 500;
+    static code = 'E_AUTHZ_UNSUPPORTED';
+    constructor(method, primitive, driver, hint) {
+        super(`${primitive} necesita '${method}' y el driver '${driver}' no lo implementa: es un método opcional del ` +
+            `puerto (2.1) que este driver tiene que añadir para usar esta primitiva.` + (hint ? ` ${hint}` : ''));
+    }
+}
+/**
+ * Una vista de `forRequest()` se usó para LEER después de `maxAgeMs` (2D ·
+ * F9, auditor 5). El memo de ancestros de la vista es correcto durante un
+ * request y peligroso guardado en un módulo: tras un `scopes.moved` serviría
+ * la cadena vieja para siempre (cruce de tenant). 500 y ruidoso: es un bug
+ * del consumidor (la vista sobrevivió a su request), no un "sin permiso".
+ */
+export class ViewExpiredError extends Exception {
+    static status = 500;
+    static code = 'E_AUTHZ_VIEW_EXPIRED';
+}
+/**
+ * `authorizedScopes` sin `scopes.descendantsOf` en el config (2.1, B3). 500
+ * y nunca `none`: un "ningún scope" sin haber mirado el árbol sería un
+ * fail-closed mentiroso que el consumidor tomaría por respuesta.
+ */
+export class NoDescendantsResolverError extends Exception {
+    static status = 500;
+    static code = 'E_AUTHZ_NO_DESCENDANTS_RESOLVER';
+}
+//# sourceMappingURL=errors.js.map

package/build/src/errors.js.map

@@ -0,0 +1 @@
+{"version":3,"file":"errors.js","sourceRoot":"","sources":["../../src/errors.ts"],"names":[],"mappings":"AAAA,OAAO,EAAE,SAAS,EAAE,MAAM,2BAA2B,CAAA;AAErD;;;;;;;;;;;;;;;;;;;;;;;;;GAyBG;AACH,MAAM,OAAO,yBAA0B,SAAQ,SAAS;IACtD,MAAM,CAAC,MAAM,GAAG,GAAG,CAAA;IACnB,MAAM,CAAC,IAAI,GAAG,6BAA6B,CAAA;IAE3C,YAAY,MAAc,EAAE,SAAiB,EAAE,KAAc;QAC3D,KAAK,CAAC,+BAA+B,MAAM,mBAAmB,SAAS,GAAG,EAAE,EAAE,KAAK,EAAE,CAAC,CAAA;IACxF,CAAC;;AAGH;;;;;GAKG;AACH,MAAM,OAAO,gCAAiC,SAAQ,yBAAyB;IAC7E,MAAM,CAAC,IAAI,GAAG,yBAAyB,CAAA;IAEvC,YAAY,MAAc,EAAE,SAAiB,EAAE,SAAiB,EAAE,KAAe;QAC/E,KAAK,CAAC,MAAM,EAAE,SAAS,EAAE,KAAK,CAAC,CAAA;QAC/B,IAAI,CAAC,OAAO,GAAG,+BAA+B,MAAM,qBAAqB,SAAS,QAAQ,SAAS,GAAG,CAAA;IACxG,CAAC;;AAGH;;;;GAIG;AACH,MAAM,OAAO,kBAAmB,SAAQ,SAAS;IAC/C,MAAM,CAAC,MAAM,GAAG,GAAG,CAAA;IACnB,MAAM,CAAC,IAAI,GAAG,yBAAyB,CAAA;IAEvC,YAAY,SAAiB,EAAE,KAAc;QAC3C,KAAK,CAAC,8CAA8C,SAAS,GAAG,EAAE,EAAE,KAAK,EAAE,CAAC,CAAA;IAC9E,CAAC;;AAGH;;;;;GAKG;AACH,MAAM,OAAO,oBAAqB,SAAQ,SAAS;IACjD,MAAM,CAAC,MAAM,GAAG,GAAG,CAAA;IACnB,MAAM,CAAC,IAAI,GAAG,0BAA0B,CAAA;;AAG1C;;;;GAIG;AACH,MAAM,OAAO,gBAAiB,SAAQ,SAAS;IAC7C,MAAM,CAAC,MAAM,GAAG,GAAG,CAAA;IACnB,MAAM,CAAC,IAAI,GAAG,sBAAsB,CAAA;;AAGtC;;;;GAIG;AACH,MAAM,OAAO,wBAAyB,SAAQ,SAAS;IACrD,MAAM,CAAC,MAAM,GAAG,GAAG,CAAA;IACnB,MAAM,CAAC,IAAI,GAAG,gBAAgB,CAAA;;AAGhC;;;;GAIG;AACH,MAAM,OAAO,0BAA2B,SAAQ,SAAS;IACvD,MAAM,CAAC,MAAM,GAAG,GAAG,CAAA;IACnB,MAAM,CAAC,IAAI,GAAG,kBAAkB,CAAA;;AAGlC;;;;;;GAMG;AACH,MAAM,OAAO,iBAAkB,SAAQ,SAAS;IAC9C,MAAM,CAAC,MAAM,GAAG,GAAG,CAAA;IACnB,MAAM,CAAC,IAAI,GAAG,uBAAuB,CAAA;;AAGvC;;;;;;GAMG;AACH,MAAM,OAAO,oBAAqB,SAAQ,SAAS;IACjD,MAAM,CAAC,MAAM,GAAG,GAAG,CAAA;IACnB,MAAM,CAAC,IAAI,GAAG,2BAA2B,CAAA;;AAG3C;;;;GAIG;AACH,MAAM,OAAO,gBAAiB,SAAQ,SAAS;IAC7C,MAAM,CAAC,MAAM,GAAG,GAAG,CAAA;IACnB,MAAM,CAAC,IAAI,GAAG,sBAAsB,CAAA;IAEpC,YAAY,UAAkB,EAAE,SAAkB;QAChD,KAAK,CACH,SAAS,KAAK,SAAS;YACrB,CAAC,CAAC,iBAAiB,UAAU,4BAA4B;YACzD,CAAC,CAAC,QAAQ,UAAU,6CAA6C,SAAS,GAAG,CAChF,CAAA;IACH,CAAC;;AAGH;;;;;;GAMG;AACH,MAAM,OAAO,mBAAoB,SAAQ,SAAS;IAChD,MAAM,CAAC,MAAM,GAAG,GAAG,CAAA;IACnB,MAAM,CAAC,IAAI,GAAG,0BAA0B,CAAA;;AAG1C;;;;;;;;;;;GAWG;AACH,MAAM,OAAO,kBAAmB,SAAQ,SAAS;IAC/C,MAAM,CAAC,MAAM,GAAG,GAAG,CAAA;IACnB,MAAM,CAAC,IAAI,GAAG,wBAAwB,CAAA;;AAGxC;;;;;;;;;GASG;AACH,MAAM,OAAO,wBAAyB,SAAQ,SAAS;IACrD,MAAM,CAAC,MAAM,GAAG,GAAG,CAAA;IACnB,MAAM,CAAC,IAAI,GAAG,gCAAgC,CAAA;;AAGhD;;;;;GAKG;AACH,MAAM,OAAO,kBAAmB,SAAQ,SAAS;IAC/C,MAAM,CAAC,MAAM,GAAG,GAAG,CAAA;IACnB,MAAM,CAAC,IAAI,GAAG,wBAAwB,CAAA;;AAGxC;;;;;;GAMG;AACH,MAAM,OAAO,wBAAyB,SAAQ,SAAS;IACrD,MAAM,CAAC,MAAM,GAAG,GAAG,CAAA;IACnB,MAAM,CAAC,IAAI,GAAG,gCAAgC,CAAA;;AAGhD;;;;;;;GAOG;AACH,MAAM,OAAO,2BAA4B,SAAQ,SAAS;IACxD,MAAM,CAAC,MAAM,GAAG,GAAG,CAAA;IACnB,MAAM,CAAC,IAAI,GAAG,kCAAkC,CAAA;;AAGlD;;;;;GAKG;AACH,MAAM,OAAO,iBAAkB,SAAQ,SAAS;IAC9C,MAAM,CAAC,MAAM,GAAG,GAAG,CAAA;IACnB,MAAM,CAAC,IAAI,GAAG,uBAAuB,CAAA;;AAGvC;;;;;;GAMG;AACH,MAAM,OAAO,oBAAqB,SAAQ,SAAS;IACjD,MAAM,CAAC,MAAM,GAAG,GAAG,CAAA;IACnB,MAAM,CAAC,IAAI,GAAG,0BAA0B,CAAA;;AAG1C,8EAA8E;AAC9E,MAAM,OAAO,sBAAuB,SAAQ,SAAS;IACnD,MAAM,CAAC,MAAM,GAAG,GAAG,CAAA;IACnB,MAAM,CAAC,IAAI,GAAG,4BAA4B,CAAA;IAE1C,YAAY,IAAY;QACtB,KAAK,CAAC,YAAY,IAAI,4BAA4B,CAAC,CAAA;IACrD,CAAC;;AAGH;;;;;;GAMG;AACH,MAAM,OAAO,oBAAqB,SAAQ,SAAS;IACjD,MAAM,CAAC,MAAM,GAAG,GAAG,CAAA;IACnB,MAAM,CAAC,IAAI,GAAG,4BAA4B,CAAA;IAE1C,YAAY,IAAa;QACvB,KAAK,CACH,qBAAqB,IAAI,CAAC,SAAS,CAAC,IAAI,CAAC,oDAAoD;YAC3F,8EAA8E;YAC9E,iFAAiF;YACjF,4CAA4C,CAC/C,CAAA;IACH,CAAC;;AAGH;;;;;GAKG;AACH,MAAM,OAAO,eAAgB,SAAQ,SAAS;IAC5C,MAAM,CAAC,MAAM,GAAG,GAAG,CAAA;IACnB,MAAM,CAAC,IAAI,GAAG,qBAAqB,CAAA;;AAGrC;;;;GAIG;AACH,MAAM,OAAO,oBAAqB,SAAQ,SAAS;IACjD,MAAM,CAAC,MAAM,GAAG,GAAG,CAAA;IACnB,MAAM,CAAC,IAAI,GAAG,0BAA0B,CAAA;;AAG1C;;;;;GAKG;AACH,MAAM,OAAO,kBAAmB,SAAQ,SAAS;IAC/C,MAAM,CAAC,MAAM,GAAG,GAAG,CAAA;IACnB,MAAM,CAAC,IAAI,GAAG,yBAAyB,CAAA;;AAGzC;;;;GAIG;AACH,MAAM,OAAO,kBAAmB,SAAQ,SAAS;IAC/C,MAAM,CAAC,MAAM,GAAG,GAAG,CAAA;IACnB,MAAM,CAAC,IAAI,GAAG,wBAAwB,CAAA;;AAGxC;;;;;;;GAOG;AACH,MAAM,OAAO,cAAe,SAAQ,SAAS;IAC3C,MAAM,CAAC,MAAM,GAAG,GAAG,CAAA;IACnB,MAAM,CAAC,IAAI,GAAG,oBAAoB,CAAA;;AAGpC;;;;GAIG;AACH,MAAM,OAAO,mBAAoB,SAAQ,SAAS;IAChD,MAAM,CAAC,MAAM,GAAG,GAAG,CAAA;IACnB,MAAM,CAAC,IAAI,GAAG,yBAAyB,CAAA;;AAGzC;;;;;;GAMG;AACH,MAAM,OAAO,wBAAyB,SAAQ,SAAS;IACrD,MAAM,CAAC,MAAM,GAAG,GAAG,CAAA;IACnB,MAAM,CAAC,IAAI,GAAG,+BAA+B,CAAA;;AAG/C;;;;;;GAMG;AACH,MAAM,OAAO,kBAAmB,SAAQ,SAAS;IAC/C,MAAM,CAAC,MAAM,GAAG,GAAG,CAAA;IACnB,MAAM,CAAC,IAAI,GAAG,yBAAyB,CAAA;;AAGzC;;;;GAIG;AACH,MAAM,OAAO,uBAAwB,SAAQ,SAAS;IACpD,MAAM,CAAC,MAAM,GAAG,GAAG,CAAA;IACnB,MAAM,CAAC,IAAI,GAAG,6BAA6B,CAAA;;AAG7C;;;;;GAKG;AACH,MAAM,OAAO,iBAAkB,SAAQ,SAAS;IAC9C,MAAM,CAAC,MAAM,GAAG,GAAG,CAAA;IACnB,MAAM,CAAC,IAAI,GAAG,wBAAwB,CAAA;;AAGxC;;;;;GAKG;AACH,MAAM,OAAO,yBAA0B,SAAQ,SAAS;IACtD,MAAM,CAAC,MAAM,GAAG,GAAG,CAAA;IACnB,MAAM,CAAC,IAAI,GAAG,qBAAqB,CAAA;IAEnC,YAAY,MAAc,EAAE,SAAiB,EAAE,MAAc,EAAE,IAAa;QAC1E,KAAK,CACH,GAAG,SAAS,cAAc,MAAM,kBAAkB,MAAM,gDAAgD;YACtG,yEAAyE,GAAG,CAAC,IAAI,CAAC,CAAC,CAAC,IAAI,IAAI,EAAE,CAAC,CAAC,CAAC,EAAE,CAAC,CACvG,CAAA;IACH,CAAC;;AAGH;;;;;;GAMG;AACH,MAAM,OAAO,gBAAiB,SAAQ,SAAS;IAC7C,MAAM,CAAC,MAAM,GAAG,GAAG,CAAA;IACnB,MAAM,CAAC,IAAI,GAAG,sBAAsB,CAAA;;AAGtC;;;;GAIG;AACH,MAAM,OAAO,0BAA2B,SAAQ,SAAS;IACvD,MAAM,CAAC,MAAM,GAAG,GAAG,CAAA;IACnB,MAAM,CAAC,IAAI,GAAG,iCAAiC,CAAA"}

package/build/src/expiry.d.ts

@@ -0,0 +1,27 @@
+import type { GrantOutcome } from './types.js';
+/**
+ * Semántica de `expiresAt` en un re-grant (L0.4), compartida por los drivers
+ * para que ambos respondan igual:
+ *
+ *   omitido (`undefined`) → no tocar una caducidad VIGENTE; si la asignación
+ *                            ya expiró, revive sin caducidad (es un grant nuevo)
+ *   `null`                → quitar la caducidad, explícitamente
+ *   `Date`                → fijarla (también a un instante pasado: expira)
+ *
+ * El defecto que cierra: "asegúrate de que tiene el rol" (grant sin opciones,
+ * idempotente por naturaleza) convertía un acceso temporal en permanente.
+ */
+export declare function resolveGrantExpiry(previous: Date | null, requested: Date | null | undefined, now?: Date): Date | null;
+/** Vigente: sin caducidad o con caducidad futura. */
+export declare function isActiveExpiry(expiresAt: Date | null, now?: Date): boolean;
+/**
+ * ¿Mismo instante? Compara el tiempo, no la referencia ni la cadena:
+ * `2026-01-01T00:00:00Z` y `…00.000Z` son el mismo momento y no justifican
+ * una reescritura (que en openfga es delete+write con ventana de denegación).
+ */
+export declare function sameInstant(a: Date | null | undefined, b: Date | null | undefined): boolean;
+/** Lo que devuelve el backend como caducidad (número, ISO, Date) → Date | null. */
+export declare function toExpiryDate(value: unknown): Date | null;
+/** ¿El outcome de un grant cambió la caducidad de una asignación que ya existía? */
+export declare function expiryChanged(outcome: GrantOutcome): boolean;
+//# sourceMappingURL=expiry.d.ts.map

package/build/src/expiry.d.ts.map

@@ -0,0 +1 @@
+{"version":3,"file":"expiry.d.ts","sourceRoot":"","sources":["../../src/expiry.ts"],"names":[],"mappings":"AAAA,OAAO,KAAK,EAAE,YAAY,EAAE,MAAM,YAAY,CAAA;AAG9C;;;;;;;;;;;GAWG;AACH,wBAAgB,kBAAkB,CAChC,QAAQ,EAAE,IAAI,GAAG,IAAI,EACrB,SAAS,EAAE,IAAI,GAAG,IAAI,GAAG,SAAS,EAClC,GAAG,GAAE,IAAoB,GACxB,IAAI,GAAG,IAAI,CAGb;AAED,qDAAqD;AACrD,wBAAgB,cAAc,CAAC,SAAS,EAAE,IAAI,GAAG,IAAI,EAAE,GAAG,GAAE,IAAoB,GAAG,OAAO,CAEzF;AAED;;;;GAIG;AACH,wBAAgB,WAAW,CAAC,CAAC,EAAE,IAAI,GAAG,IAAI,GAAG,SAAS,EAAE,CAAC,EAAE,IAAI,GAAG,IAAI,GAAG,SAAS,GAAG,OAAO,CAI3F;AAED,mFAAmF;AACnF,wBAAgB,YAAY,CAAC,KAAK,EAAE,OAAO,GAAG,IAAI,GAAG,IAAI,CAKxD;AAED,oFAAoF;AACpF,wBAAgB,aAAa,CAAC,OAAO,EAAE,YAAY,GAAG,OAAO,CAM5D"}

package/build/src/expiry.js

@@ -0,0 +1,50 @@
+import { systemClock } from './clock.js';
+/**
+ * Semántica de `expiresAt` en un re-grant (L0.4), compartida por los drivers
+ * para que ambos respondan igual:
+ *
+ *   omitido (`undefined`) → no tocar una caducidad VIGENTE; si la asignación
+ *                            ya expiró, revive sin caducidad (es un grant nuevo)
+ *   `null`                → quitar la caducidad, explícitamente
+ *   `Date`                → fijarla (también a un instante pasado: expira)
+ *
+ * El defecto que cierra: "asegúrate de que tiene el rol" (grant sin opciones,
+ * idempotente por naturaleza) convertía un acceso temporal en permanente.
+ */
+export function resolveGrantExpiry(previous, requested, now = systemClock()) {
+    if (requested !== undefined)
+        return requested;
+    return isActiveExpiry(previous, now) ? previous : null;
+}
+/** Vigente: sin caducidad o con caducidad futura. */
+export function isActiveExpiry(expiresAt, now = systemClock()) {
+    return expiresAt === null || expiresAt.getTime() > now.getTime();
+}
+/**
+ * ¿Mismo instante? Compara el tiempo, no la referencia ni la cadena:
+ * `2026-01-01T00:00:00Z` y `…00.000Z` son el mismo momento y no justifican
+ * una reescritura (que en openfga es delete+write con ventana de denegación).
+ */
+export function sameInstant(a, b) {
+    if (!a && !b)
+        return true;
+    if (!a || !b)
+        return false;
+    return a.getTime() === b.getTime();
+}
+/** Lo que devuelve el backend como caducidad (número, ISO, Date) → Date | null. */
+export function toExpiryDate(value) {
+    if (value === null || value === undefined || value === '')
+        return null;
+    if (value instanceof Date)
+        return value;
+    const date = new Date(value);
+    return Number.isNaN(date.getTime()) ? null : date;
+}
+/** ¿El outcome de un grant cambió la caducidad de una asignación que ya existía? */
+export function expiryChanged(outcome) {
+    return (outcome.existed &&
+        outcome.previousExpiresAt !== undefined &&
+        !sameInstant(outcome.previousExpiresAt, outcome.expiresAt));
+}
+//# sourceMappingURL=expiry.js.map

package/build/src/expiry.js.map

@@ -0,0 +1 @@
+{"version":3,"file":"expiry.js","sourceRoot":"","sources":["../../src/expiry.ts"],"names":[],"mappings":"AACA,OAAO,EAAE,WAAW,EAAE,MAAM,YAAY,CAAA;AAExC;;;;;;;;;;;GAWG;AACH,MAAM,UAAU,kBAAkB,CAChC,QAAqB,EACrB,SAAkC,EAClC,MAAY,WAAW,EAAE;IAEzB,IAAI,SAAS,KAAK,SAAS;QAAE,OAAO,SAAS,CAAA;IAC7C,OAAO,cAAc,CAAC,QAAQ,EAAE,GAAG,CAAC,CAAC,CAAC,CAAC,QAAQ,CAAC,CAAC,CAAC,IAAI,CAAA;AACxD,CAAC;AAED,qDAAqD;AACrD,MAAM,UAAU,cAAc,CAAC,SAAsB,EAAE,MAAY,WAAW,EAAE;IAC9E,OAAO,SAAS,KAAK,IAAI,IAAI,SAAS,CAAC,OAAO,EAAE,GAAG,GAAG,CAAC,OAAO,EAAE,CAAA;AAClE,CAAC;AAED;;;;GAIG;AACH,MAAM,UAAU,WAAW,CAAC,CAA0B,EAAE,CAA0B;IAChF,IAAI,CAAC,CAAC,IAAI,CAAC,CAAC;QAAE,OAAO,IAAI,CAAA;IACzB,IAAI,CAAC,CAAC,IAAI,CAAC,CAAC;QAAE,OAAO,KAAK,CAAA;IAC1B,OAAO,CAAC,CAAC,OAAO,EAAE,KAAK,CAAC,CAAC,OAAO,EAAE,CAAA;AACpC,CAAC;AAED,mFAAmF;AACnF,MAAM,UAAU,YAAY,CAAC,KAAc;IACzC,IAAI,KAAK,KAAK,IAAI,IAAI,KAAK,KAAK,SAAS,IAAI,KAAK,KAAK,EAAE;QAAE,OAAO,IAAI,CAAA;IACtE,IAAI,KAAK,YAAY,IAAI;QAAE,OAAO,KAAK,CAAA;IACvC,MAAM,IAAI,GAAG,IAAI,IAAI,CAAC,KAAY,CAAC,CAAA;IACnC,OAAO,MAAM,CAAC,KAAK,CAAC,IAAI,CAAC,OAAO,EAAE,CAAC,CAAC,CAAC,CAAC,IAAI,CAAC,CAAC,CAAC,IAAI,CAAA;AACnD,CAAC;AAED,oFAAoF;AACpF,MAAM,UAAU,aAAa,CAAC,OAAqB;IACjD,OAAO,CACL,OAAO,CAAC,OAAO;QACf,OAAO,CAAC,iBAAiB,KAAK,SAAS;QACvC,CAAC,WAAW,CAAC,OAAO,CAAC,iBAAiB,EAAE,OAAO,CAAC,SAAS,CAAC,CAC3D,CAAA;AACH,CAAC"}

package/build/src/hierarchical_resolver.d.ts

@@ -0,0 +1,56 @@
+import type { ScopeChainResolver, ScopeRef } from './types.js';
+/**
+ * Un nodo del árbol del consumidor, tal como está en SU tabla (2.5-B · K1):
+ *  - `self`: el propio scope CANÓNICO (la fila leída: su `type` y su `uuid`
+ *    tal como están guardados, no tal como llegó la pregunta);
+ *  - `parent`: el padre directo (`ScopeRef`; si es `app`, la cadena termina
+ *    ahí), o `null` si el nodo es de primer nivel ⇒ cuelga de `app`.
+ */
+export interface ScopeNode {
+    self: ScopeRef;
+    parent: ScopeRef | null;
+}
+/**
+ * `nodeOf` del consumidor: la fila de un scope.
+ *  - `ScopeNode`: el nodo existe; `self` es su identidad canónica y `parent`
+ *    su padre (`null` = primer nivel);
+ *  - `undefined`: el scope NO existe ⇒ el resolutor devuelve `null` y el
+ *    motor deniega/rechaza escribir (L0.3). Vale también a mitad de cadena:
+ *    un hijo cuyo padre ya no existe es un árbol roto, no un nodo de `app`.
+ * Si lanza, el error se propaga tal cual y el driver lo clasifica como 503
+ * `E_AUTHZ_RESOLVER_FAILED` (nunca `[]`, nunca `false`). Un `self` o un
+ * padre mal formado (`{app, uuid}`, tipo en mayúsculas…) es 503
+ * `E_AUTHZ_RESOLVER_FAILED` del propio resolutor (F6): nunca se normaliza en
+ * silencio. Un `self` que no sea el scope preguntado (otro tipo, o un uuid
+ * que no es el mismo id salvo mayúsculas/guiones) también es 503: la fila
+ * que devuelves tiene que ser la del scope que se te pidió.
+ *
+ * Por qué devuelve el nodo entero y no solo el padre (`parentOf` de 2.1): con
+ * el tipo `uuid` de PostgreSQL o una collation `*_ci`, `SELECT … WHERE uuid =
+ * ?` encuentra la fila para un ALIAS del id (mayúsculas, sin guiones); si el
+ * resolutor solo devolvía el padre, la cadena se construía con el alias del
+ * llamante y los hechos —guardados canónicos— no casaban (el deny se evadía).
+ */
+export type NodeOf = (scope: ScopeRef) => Promise<ScopeNode | undefined>;
+export interface HierarchicalResolverOptions {
+    nodeOf: NodeOf;
+    /**
+     * Número máximo de ANCESTROS (`app` incluida; el propio scope no cuenta).
+     * Default 64. Superado ⇒ lanza 500 `E_AUTHZ_SCOPE_TOO_DEEP`: truncar
+     * devolvería una cadena sin la raíz y el deny de `app` dejaría de verse
+     * (fail-open).
+     */
+    maxDepth?: number;
+}
+/**
+ * Construye un `ScopeChainResolver` a partir de un `nodeOf` (2.1, B4; 2.5-B ·
+ * K1): lee el nodo (canónico), sube padre a padre hasta `app`, con conjunto
+ * de visitados (un ciclo lanza 422 `E_AUTHZ_SCOPE_CYCLE`: FGA evaluaría el
+ * ciclo y un grant en cualquier nodo concedería en la raíz, S2) y cota de
+ * profundidad que lanza. Cuesta una llamada a `nodeOf` por nivel: envuélvelo
+ * con `memoizeAncestors` (o usa `forRequest()`) para que una request no lo
+ * pague por cada pregunta. La cadena que devuelve es `[self canónico,
+ * ...padres canónicos, APP_SCOPE]`: cada nivel es la fila leída.
+ */
+export declare function hierarchicalScopeResolver(options: HierarchicalResolverOptions): ScopeChainResolver;
+//# sourceMappingURL=hierarchical_resolver.d.ts.map

package/build/src/hierarchical_resolver.d.ts.map

@@ -0,0 +1 @@
+{"version":3,"file":"hierarchical_resolver.d.ts","sourceRoot":"","sources":["../../src/hierarchical_resolver.ts"],"names":[],"mappings":"AAGA,OAAO,KAAK,EAAE,kBAAkB,EAAE,QAAQ,EAAE,MAAM,YAAY,CAAA;AAE9D;;;;;;GAMG;AACH,MAAM,WAAW,SAAS;IACxB,IAAI,EAAE,QAAQ,CAAA;IACd,MAAM,EAAE,QAAQ,GAAG,IAAI,CAAA;CACxB;AAED;;;;;;;;;;;;;;;;;;;;GAoBG;AACH,MAAM,MAAM,MAAM,GAAG,CAAC,KAAK,EAAE,QAAQ,KAAK,OAAO,CAAC,SAAS,GAAG,SAAS,CAAC,CAAA;AAExE,MAAM,WAAW,2BAA2B;IAC1C,MAAM,EAAE,MAAM,CAAA;IACd;;;;;OAKG;IACH,QAAQ,CAAC,EAAE,MAAM,CAAA;CAClB;AAED;;;;;;;;;GASG;AACH,wBAAgB,yBAAyB,CAAC,OAAO,EAAE,2BAA2B,GAAG,kBAAkB,CA8ElG"}

package/build/src/hierarchical_resolver.js

@@ -0,0 +1,87 @@
+import { ScopeCycleError, ScopeResolverError, ScopeTooDeepError } from './errors.js';
+import { assertScope } from './identity.js';
+import { APP_SCOPE, APP_SCOPE_TYPE } from './types.js';
+/**
+ * Construye un `ScopeChainResolver` a partir de un `nodeOf` (2.1, B4; 2.5-B ·
+ * K1): lee el nodo (canónico), sube padre a padre hasta `app`, con conjunto
+ * de visitados (un ciclo lanza 422 `E_AUTHZ_SCOPE_CYCLE`: FGA evaluaría el
+ * ciclo y un grant en cualquier nodo concedería en la raíz, S2) y cota de
+ * profundidad que lanza. Cuesta una llamada a `nodeOf` por nivel: envuélvelo
+ * con `memoizeAncestors` (o usa `forRequest()`) para que una request no lo
+ * pague por cada pregunta. La cadena que devuelve es `[self canónico,
+ * ...padres canónicos, APP_SCOPE]`: cada nivel es la fila leída.
+ */
+export function hierarchicalScopeResolver(options) {
+    const { nodeOf } = options;
+    const maxDepth = options.maxDepth ?? 64;
+    if (typeof nodeOf !== 'function') {
+        throw new TypeError('hierarchicalScopeResolver: nodeOf debe ser una función');
+    }
+    if (!Number.isInteger(maxDepth) || maxDepth < 1) {
+        throw new TypeError(`hierarchicalScopeResolver: maxDepth debe ser un entero >= 1 (llegó ${String(maxDepth)})`);
+    }
+    // Separador no imprimible, escrito como escape (nunca como carácter
+    // literal): sin él `org`+`a-1` y `o`+`rga-1` colisionaban y un árbol
+    // legítimo era un 422 falso de ciclo (F6, CR4).
+    const key = (s) => `${s.type}\u001f${s.uuid ?? ''}`;
+    const fold = (uuid) => (uuid ?? '').toLowerCase().replaceAll('-', '');
+    return async (scope) => {
+        if (scope.type === APP_SCOPE_TYPE)
+            return [APP_SCOPE];
+        const label = `hierarchicalScopeResolver(${scope.type}:${scope.uuid ?? ''})`;
+        const chain = [];
+        const visited = new Set();
+        let asked = scope;
+        for (;;) {
+            const node = await nodeOf(asked);
+            if (node === undefined)
+                return null;
+            // La RESPUESTA del árbol se valida (D13, F6, K1): un `self` o un padre
+            // mal formado no es un nodo, es un fallo de la dependencia ⇒ 503 con la
+            // causa; y `self` tiene que ser la fila del scope que se pidió.
+            if (!node || typeof node !== 'object' || !('self' in node) || !('parent' in node)) {
+                throw new ScopeResolverError(label, new TypeError(`nodeOf devolvió ${typeof node} en vez de { self, parent } | undefined`));
+            }
+            try {
+                assertScope(node.self);
+            }
+            catch (error) {
+                throw new ScopeResolverError(label, error);
+            }
+            if (node.self.type !== asked.type || fold(node.self.uuid) !== fold(asked.uuid)) {
+                throw new ScopeResolverError(label, new TypeError(`nodeOf(${asked.type}:${asked.uuid ?? ''}) devolvió self = ${node.self.type}:${node.self.uuid ?? ''}: no es la fila del scope pedido`));
+            }
+            const self = node.self;
+            const k = key(self);
+            if (visited.has(k)) {
+                throw new ScopeCycleError(`hierarchicalScopeResolver: ciclo al resolver ${scope.type}:${scope.uuid} — ` +
+                    `${self.type}:${self.uuid} ya está en la cadena (${chain.map((s) => `${s.type}:${s.uuid}`).join(' → ') || 'vacía'})`);
+            }
+            visited.add(k);
+            chain.push(self);
+            // Los ancestros serán (nodos leídos − 1) + `app` = nodos leídos: si ya
+            // superan la cota, se lanza ahora — nunca se devuelve una cadena corta.
+            if (chain.length > maxDepth) {
+                throw new ScopeTooDeepError(`hierarchicalScopeResolver: la cadena de ${scope.type}:${scope.uuid} supera maxDepth=${maxDepth} ` +
+                    `(truncarla dejaría fuera la raíz y sus denies)`);
+            }
+            const parent = node.parent;
+            if (parent === null) {
+                chain.push(APP_SCOPE);
+                return chain;
+            }
+            try {
+                assertScope(parent);
+            }
+            catch (error) {
+                throw new ScopeResolverError(label, error);
+            }
+            if (parent.type === APP_SCOPE_TYPE) {
+                chain.push(APP_SCOPE);
+                return chain;
+            }
+            asked = parent;
+        }
+    };
+}
+//# sourceMappingURL=hierarchical_resolver.js.map

package/build/src/hierarchical_resolver.js.map

@@ -0,0 +1 @@
+{"version":3,"file":"hierarchical_resolver.js","sourceRoot":"","sources":["../../src/hierarchical_resolver.ts"],"names":[],"mappings":"AAAA,OAAO,EAAE,eAAe,EAAE,kBAAkB,EAAE,iBAAiB,EAAE,MAAM,aAAa,CAAA;AACpF,OAAO,EAAE,WAAW,EAAE,MAAM,eAAe,CAAA;AAC3C,OAAO,EAAE,SAAS,EAAE,cAAc,EAAE,MAAM,YAAY,CAAA;AAiDtD;;;;;;;;;GASG;AACH,MAAM,UAAU,yBAAyB,CAAC,OAAoC;IAC5E,MAAM,EAAE,MAAM,EAAE,GAAG,OAAO,CAAA;IAC1B,MAAM,QAAQ,GAAG,OAAO,CAAC,QAAQ,IAAI,EAAE,CAAA;IACvC,IAAI,OAAO,MAAM,KAAK,UAAU,EAAE,CAAC;QACjC,MAAM,IAAI,SAAS,CAAC,wDAAwD,CAAC,CAAA;IAC/E,CAAC;IACD,IAAI,CAAC,MAAM,CAAC,SAAS,CAAC,QAAQ,CAAC,IAAI,QAAQ,GAAG,CAAC,EAAE,CAAC;QAChD,MAAM,IAAI,SAAS,CAAC,sEAAsE,MAAM,CAAC,QAAQ,CAAC,GAAG,CAAC,CAAA;IAChH,CAAC;IACD,oEAAoE;IACpE,qEAAqE;IACrE,gDAAgD;IAChD,MAAM,GAAG,GAAG,CAAC,CAAW,EAAE,EAAE,CAAC,GAAG,CAAC,CAAC,IAAI,SAAS,CAAC,CAAC,IAAI,IAAI,EAAE,EAAE,CAAA;IAC7D,MAAM,IAAI,GAAG,CAAC,IAAmB,EAAE,EAAE,CAAC,CAAC,IAAI,IAAI,EAAE,CAAC,CAAC,WAAW,EAAE,CAAC,UAAU,CAAC,GAAG,EAAE,EAAE,CAAC,CAAA;IAEpF,OAAO,KAAK,EAAE,KAAK,EAAE,EAAE;QACrB,IAAI,KAAK,CAAC,IAAI,KAAK,cAAc;YAAE,OAAO,CAAC,SAAS,CAAC,CAAA;QACrD,MAAM,KAAK,GAAG,6BAA6B,KAAK,CAAC,IAAI,IAAI,KAAK,CAAC,IAAI,IAAI,EAAE,GAAG,CAAA;QAC5E,MAAM,KAAK,GAAe,EAAE,CAAA;QAC5B,MAAM,OAAO,GAAG,IAAI,GAAG,EAAU,CAAA;QACjC,IAAI,KAAK,GAAG,KAAK,CAAA;QACjB,SAAS,CAAC;YACR,MAAM,IAAI,GAAG,MAAM,MAAM,CAAC,KAAK,CAAC,CAAA;YAChC,IAAI,IAAI,KAAK,SAAS;gBAAE,OAAO,IAAI,CAAA;YACnC,uEAAuE;YACvE,wEAAwE;YACxE,gEAAgE;YAChE,IAAI,CAAC,IAAI,IAAI,OAAO,IAAI,KAAK,QAAQ,IAAI,CAAC,CAAC,MAAM,IAAI,IAAI,CAAC,IAAI,CAAC,CAAC,QAAQ,IAAI,IAAI,CAAC,EAAE,CAAC;gBAClF,MAAM,IAAI,kBAAkB,CAAC,KAAK,EAAE,IAAI,SAAS,CAAC,mBAAmB,OAAO,IAAI,yCAAyC,CAAC,CAAC,CAAA;YAC7H,CAAC;YACD,IAAI,CAAC;gBACH,WAAW,CAAC,IAAI,CAAC,IAAI,CAAC,CAAA;YACxB,CAAC;YAAC,OAAO,KAAK,EAAE,CAAC;gBACf,MAAM,IAAI,kBAAkB,CAAC,KAAK,EAAE,KAAK,CAAC,CAAA;YAC5C,CAAC;YACD,IAAI,IAAI,CAAC,IAAI,CAAC,IAAI,KAAK,KAAK,CAAC,IAAI,IAAI,IAAI,CAAC,IAAI,CAAC,IAAI,CAAC,IAAI,CAAC,KAAK,IAAI,CAAC,KAAK,CAAC,IAAI,CAAC,EAAE,CAAC;gBAC/E,MAAM,IAAI,kBAAkB,CAC1B,KAAK,EACL,IAAI,SAAS,CACX,UAAU,KAAK,CAAC,IAAI,IAAI,KAAK,CAAC,IAAI,IAAI,EAAE,qBAAqB,IAAI,CAAC,IAAI,CAAC,IAAI,IAAI,IAAI,CAAC,IAAI,CAAC,IAAI,IAAI,EAAE,kCAAkC,CACtI,CACF,CAAA;YACH,CAAC;YACD,MAAM,IAAI,GAAG,IAAI,CAAC,IAAI,CAAA;YACtB,MAAM,CAAC,GAAG,GAAG,CAAC,IAAI,CAAC,CAAA;YACnB,IAAI,OAAO,CAAC,GAAG,CAAC,CAAC,CAAC,EAAE,CAAC;gBACnB,MAAM,IAAI,eAAe,CACvB,gDAAgD,KAAK,CAAC,IAAI,IAAI,KAAK,CAAC,IAAI,KAAK;oBAC3E,GAAG,IAAI,CAAC,IAAI,IAAI,IAAI,CAAC,IAAI,0BAA0B,KAAK,CAAC,GAAG,CAAC,CAAC,CAAC,EAAE,EAAE,CAAC,GAAG,CAAC,CAAC,IAAI,IAAI,CAAC,CAAC,IAAI,EAAE,CAAC,CAAC,IAAI,CAAC,KAAK,CAAC,IAAI,OAAO,GAAG,CACvH,CAAA;YACH,CAAC;YACD,OAAO,CAAC,GAAG,CAAC,CAAC,CAAC,CAAA;YACd,KAAK,CAAC,IAAI,CAAC,IAAI,CAAC,CAAA;YAChB,uEAAuE;YACvE,wEAAwE;YACxE,IAAI,KAAK,CAAC,MAAM,GAAG,QAAQ,EAAE,CAAC;gBAC5B,MAAM,IAAI,iBAAiB,CACzB,2CAA2C,KAAK,CAAC,IAAI,IAAI,KAAK,CAAC,IAAI,oBAAoB,QAAQ,GAAG;oBAChG,gDAAgD,CACnD,CAAA;YACH,CAAC;YACD,MAAM,MAAM,GAAG,IAAI,CAAC,MAAM,CAAA;YAC1B,IAAI,MAAM,KAAK,IAAI,EAAE,CAAC;gBACpB,KAAK,CAAC,IAAI,CAAC,SAAS,CAAC,CAAA;gBACrB,OAAO,KAAK,CAAA;YACd,CAAC;YACD,IAAI,CAAC;gBACH,WAAW,CAAC,MAAM,CAAC,CAAA;YACrB,CAAC;YAAC,OAAO,KAAK,EAAE,CAAC;gBACf,MAAM,IAAI,kBAAkB,CAAC,KAAK,EAAE,KAAK,CAAC,CAAA;YAC5C,CAAC;YACD,IAAI,MAAM,CAAC,IAAI,KAAK,cAAc,EAAE,CAAC;gBACnC,KAAK,CAAC,IAAI,CAAC,SAAS,CAAC,CAAA;gBACrB,OAAO,KAAK,CAAA;YACd,CAAC;YACD,KAAK,GAAG,MAAM,CAAA;QAChB,CAAC;IACH,CAAC,CAAA;AACH,CAAC"}