@jantstack/adonis-authz 1.0.2 → 2.0.0-alpha.1

package/build/src/manager.d.ts

@@ -1,5 +1,50 @@
 import type { AuthorizationConfig } from './define_config.js';
-import type { AuthorizationDriver, GrantOptions, ScopeRef, ScopeType, SubjectRef } from './types.js';
+import type { AuthorizationDriver, AuthorizedScopes, CatalogRole, DenyOptions, DenyRef, ExcludedSubtree, GrantOptions, GrantOutcome, RoleQuery, ScopeDetachOutcome, ScopedRoleChanges, ScopedRoleSpec, ScopedWriteOptions, ScopeRef, ScopeType, SubjectRef } from './types.js';
+/**
+ * Lo que devuelve `AuthorizationManager.forRequest()`: la misma API que el
+ * manager (lecturas, escrituras, `scopes.*`), con los ancestros memoizados
+ * SOLO en las lecturas. Es un tipo, no otra clase: la vista es un manager
+ * hijo que comparte config, driver y hooks con su padre.
+ */
+export type AuthorizationView = Pick<AuthorizationManager, 'authorize' | 'hasRole' | 'listSubjects' | 'listScopes' | 'listRoles' | 'listRoleScopes' | 'grant' | 'revoke' | 'deny' | 'removeDeny' | 'scopes' | 'driver' | 'forRequest' | 'isWithin' | 'listDenies' | 'effectivePermissions' | 'authorizeMany' | 'authorizedScopes' | 'expandExcludedSubtrees' | 'defineScopedRole' | 'updateScopedRole' | 'deleteScopedRole'>;
+/**
+ * Expande los `excludedSubtrees` de un `all` (2D · F10) a la lista plana de
+ * scopes que hay que restar: cada scope denegado y TODOS sus descendientes,
+ * con el `descendantsOf` del config. Es la forma correcta del `NOT IN`;
+ * restar solo los scopes con deny dejaría dentro sus subárboles.
+ */
+export declare function expandExcludedSubtrees(view: AuthorizationView, excluded: ExcludedSubtree[]): Promise<ScopeRef[]>;
+/** Cotas por defecto de `authorizedScopes` (config `scopes.maxScopes` / `scopes.maxDescendants`). */
+export declare const DEFAULT_MAX_SCOPES = 1000;
+export declare const DEFAULT_MAX_DESCENDANTS = 10000;
+/**
+ * Tope sano de `maxScopes`/`maxDescendants` (2.5-B, auditor ⚪6): por encima
+ * de ~4,29e9 el hint `SET_VAR(cte_max_recursion_depth)` de MySQL sale de
+ * rango y un ciclo en la tabla deja de ser el 422 «posible ciclo» del
+ * contrato (503); y ya con 1e6 un ciclo cuesta segundos de CPU por llamada.
+ * Una cota mayor es config rota (500), nunca una pregunta.
+ */
+export declare const MAX_SCOPE_BOUND = 10000000;
+/** Vida por defecto de una vista de `forRequest()` para LEER (F9): un request, no un módulo. */
+export declare const DEFAULT_VIEW_MAX_AGE_MS = 30000;
+export interface ForRequestOptions {
+    /**
+     * Milisegundos durante los que la vista puede LEER (default 30 000).
+     * Después, cualquier lectura es 500 `E_AUTHZ_VIEW_EXPIRED`: el memo de
+     * ancestros solo es correcto mientras dura el request y una vista guardada
+     * por error serviría la cadena vieja para siempre. `0` = sin límite, a
+     * sabiendas. Las escrituras e `isWithin` no caducan (resuelven en fresco).
+     * Se mide con un reloj MONÓTONO (`performance.now()`, 2E · H3): un salto
+     * del reloj de pared hacia atrás no resucita una vista caducada.
+     */
+    maxAgeMs?: number;
+    /**
+     * SOLO TESTS: fuente del reloj monótono, en ms (default `performance.now`).
+     * Sirve para fijar la frontera exacta de `maxAgeMs` sin dormir; en
+     * producción no se toca.
+     */
+    now?: () => number;
+}
 /**
  * Manager de autorización — la fachada que usan middleware, services y
  * seeders. Resuelve el driver activo del config y notifica cada escritura
@@ -12,18 +57,191 @@ import type { AuthorizationDriver, GrantOptions, ScopeRef, ScopeType, SubjectRef
 export declare class AuthorizationManager {
     #private;
     constructor(config: AuthorizationConfig);
+    /**
+     * Vista por request (2A/A3): las LECTURAS (`authorize`, `hasRole`, `list*`)
+     * resuelven ancestros con `memoizeAncestors(config.scopes.resolveChain)`
+     * —una llamada al árbol por scope durante la vida de la vista—; las
+     * ESCRITURAS (`grant`, `revoke`, `deny`, `removeDeny`, `scopes.*`) siguen
+     * resolviendo en fresco, porque una lectura obsoleta caduca sola y un
+     * grant sobre una cadena que ya cambió queda escrito para siempre (auditor
+     * C3/E3). El memo es de ANCESTROS, nunca de decisiones: un deny escrito
+     * entre dos `authorize` de la misma vista cambia la segunda respuesta.
+     *
+     * Patrón en Adonis: un middleware hace `ctx.authz = authorization.forRequest()`
+     * y controladores y policies leen de `ctx.authz`. Sin `AsyncLocalStorage`:
+     * la vista es un objeto explícito con la vida que le des. Sin
+     * `config.scopes.resolveChain`, o con un driver de terceros sin
+     * `withChainResolver`, la vista lee con el driver tal cual (sin memo)
+     * y sigue siendo correcta.
+     */
+    forRequest(options?: ForRequestOptions): AuthorizationView;
+    /**
+     * El driver activo, TAL CUAL. Es la salida explícita de las barreras del
+     * manager (2D · G4, auditor 8): lo que escribas por aquí no pasa por
+     * `actor`/`requireActor`, `within`/`requireWithin` ni `onWrite`, y lo que
+     * leas no pasa por el memo de ancestros. Está pensado para el código de
+     * PLATAFORMA (seeders, comandos, la escritura en la raíz con
+     * `requireWithin: 'non-root'`) y para tests; un call-site de tenant nunca
+     * debería llamarlo. No se ofrece nada más por aquí a propósito.
+     *
+     * Lo único que el manager le aplica al resolverlo es el reloj del config
+     * (`clock`, 2.5 · J1) vía `withClock`: no es una barrera, es la hora con
+     * la que el driver decide, y vale igual para la plataforma, los tests y
+     * cada vista de `forRequest()` (todas leen el driver del padre). Un driver
+     * sin `withClock` con `clock` declarado es 500 `E_AUTHZ_CONFIG`.
+     */
     driver(): Promise<AuthorizationDriver>;
     /** Solo tests: fuerza re-resolución del driver. */
     clearCachedDriver(): void;
+    /**
+     * El árbol de scopes es un hecho del contrato: el consumidor notifica sus
+     * cambios aquí, en TODOS los drivers, y el PAQUETE valida antes de tocar
+     * el driver — la raíz no cuelga de nada, el padre tiene que existir y no
+     * puede haber ciclos. FGA acepta un ciclo de `parent` y lo evalúa (un grant
+     * en cualquier nodo concede en la raíz, S2), así que la barrera es esta.
+     * Espía: si la validación falla, cero llamadas al driver.
+     */
+    readonly scopes: {
+        attached: (child: ScopeRef, parent: ScopeRef, options?: ScopedWriteOptions) => Promise<void>;
+        moved: (child: ScopeRef, newParent: ScopeRef, options?: ScopedWriteOptions) => Promise<void>;
+        /**
+         * Hechos primero (el driver demuestra cero o lanza), arista después
+         * (S6): si la purga muere a medias, el subárbol sigue colgado y los
+         * denies heredados siguen valiendo. Sin `within` no comprueba que el
+         * scope exista (el consumidor puede haber borrado ya su fila); con
+         * `within` (2D · F2) el hijo tiene que seguir en el árbol para
+         * contrastar su cadena: purga ANTES de borrar la fila.
+         */
+        detached: (child: ScopeRef, options?: ScopedWriteOptions) => Promise<ScopeDetachOutcome>;
+    };
+    /**
+     * ¿`outer` contiene a `inner`? = `outer ∈ chain(inner)`, inclusive: un scope
+     * se contiene a sí mismo y `APP_SCOPE` contiene todo. Un `inner` que el
+     * árbol no conoce no está dentro de nada (`false`). Siempre con el resolutor
+     * fresco (nunca el memo por request): la contención decide escrituras.
+     */
+    isWithin(inner: ScopeRef, outer: ScopeRef): Promise<boolean>;
     authorize(subject: SubjectRef, permission: string, scope: ScopeRef): Promise<boolean>;
-    hasRole(subject: SubjectRef, role: string, scope: ScopeRef): Promise<boolean>;
-    listSubjects(role: string, scope: ScopeRef): Promise<SubjectRef[]>;
+    hasRole(subject: SubjectRef, role: RoleQuery, scope: ScopeRef): Promise<boolean>;
+    /**
+     * `authorize` sobre varios scopes, un booleano por posición (2.1, B6).
+     * Delegado al driver si trae `authorizeMany` (openfga: un batchCheck);
+     * si no, `Promise.all` de `authorize` sobre una vista con los ancestros
+     * memoizados (una llamada al árbol por scope distinto, aunque se repita).
+     * Idéntico a N `authorize`: duplicados por posición, desconocido ⇒ false,
+     * y si una posición no se puede responder, lanza entero. Vacío ⇒ `[]`
+     * sin tocar backend ni árbol.
+     */
+    authorizeMany(subject: SubjectRef, permission: string, scopes: ScopeRef[]): Promise<boolean[]>;
+    /** Holders con asignación vigente del rol en ese scope exacto. `{ uuid }` es la forma exacta (3D · M1). */
+    listSubjects(role: RoleQuery, scope: ScopeRef): Promise<SubjectRef[]>;
     listScopes(subject: SubjectRef, permission: string): Promise<ScopeRef[]>;
     listRoles(subject: SubjectRef, scope: ScopeRef): Promise<string[]>;
     listRoleScopes(subject: SubjectRef, scopeType: ScopeType): Promise<ScopeRef[]>;
-    grant(subject: SubjectRef, role: string, scope: ScopeRef, options?: GrantOptions): Promise<void>;
-    revoke(subject: SubjectRef, role: string, scope: ScopeRef): Promise<void>;
-    deny(subject: SubjectRef, permission: string, scope: ScopeRef): Promise<void>;
-    removeDeny(subject: SubjectRef, permission: string, scope: ScopeRef): Promise<void>;
+    /** Denies directos del holder (scope exacto, o todos). 500 `E_AUTHZ_UNSUPPORTED` si el driver no lo implementa. */
+    listDenies(subject: SubjectRef, scope?: ScopeRef): Promise<DenyRef[]>;
+    /**
+     * Permisos efectivos del holder en un scope (2.1, B5): la unión de lo que
+     * conceden sus roles vigentes en toda la cadena (`listRoles` por nivel +
+     * catálogo) MENOS lo denegado en cualquier nivel de la cadena
+     * (`listDenies` por nivel). Es exactamente el conjunto `{ p | authorize(p) }`,
+     * calculado sin preguntar permiso a permiso. Scope desconocido ⇒ `[]`.
+     * Prerrequisito de `catalog/` (Fase 3).
+     */
+    effectivePermissions(subject: SubjectRef, scope: ScopeRef): Promise<string[]>;
+    /**
+     * Define un rol LOCAL a `ownerScope`. Policy, en este orden y antes de
+     * escribir nada: `actor` obligatorio y bien formado; `ownerScope` válido,
+     * no la raíz (los roles de la raíz son globales: config + sync) y conocido
+     * por el árbol (fresco); `spec` bien formado (slug, nivel ≠ `app`, rank
+     * entero, permisos); cada permiso en `config.delegablePermissions`, en el
+     * catálogo, componible en ese nivel (`assignableAt`, B5) y EFECTIVO para
+     * el actor en el owner (lo concede un rol suyo de la cadena y no lo tiene
+     * denegado en ella — C2); `0 < rank < min(rank del actor, rank máximo
+     * global)`; y ningún rol `(slug, scopeType)` visible en el owner (global,
+     * o local a un ancestro) ni local a un descendiente (colisión, 422
+     * `E_AUTHZ_CATALOG_CONFLICT`, re-comprobada dentro de la transacción
+     * serializada — 3D · M2). `options.within` contiene la escritura contra el
+     * OWNER y `requireWithin` la exige, como en las otras ocho (3D · M3).
+     * Devuelve el rol y notifica `role_defined`.
+     */
+    defineScopedRole(actor: SubjectRef, ownerScope: ScopeRef, spec: ScopedRoleSpec, options?: ScopedWriteOptions): Promise<CatalogRole>;
+    /**
+     * Cambia `name`/`description`/`rank`/`permissions` de un rol LOCAL (nunca
+     * su slug, nivel ni owner). Un global es 422 `E_AUTHZ_ROLE_IMMUTABLE`. El
+     * actor tiene que tener, en el owner del rol, rank MAYOR que el del rol
+     * (no se toca un rol de rango ≥ al propio) y la misma policy que al
+     * definir para lo que cambia: los permisos nuevos delegables/efectivos y
+     * componibles, el rank nuevo por debajo del suyo. Sin cambios reales no
+     * escribe ni notifica (idempotente). Notifica `role_updated`.
+     */
+    updateScopedRole(actor: SubjectRef, roleUuid: string, changes: ScopedRoleChanges, options?: ScopedWriteOptions): Promise<CatalogRole>;
+    /**
+     * Purga un rol LOCAL: sus asignaciones en todos los scopes, sus vínculos y
+     * el rol (`driver.purgeRole`, B4; 500 `E_AUTHZ_UNSUPPORTED` en un driver
+     * que no lo trae, sin tocar nada). Un global es 422
+     * `E_AUTHZ_ROLE_IMMUTABLE`; el actor necesita rank MAYOR que el del rol en
+     * su owner. Notifica `role_purged`. No necesita `listDenies`.
+     */
+    deleteScopedRole(actor: SubjectRef, roleUuid: string, options?: ScopedWriteOptions): Promise<void>;
+    /**
+     * Asigna un rol al holder en un scope. `role` es un `RoleQuery` (3D · M1):
+     * un slug, `{ slug, scopeType }` o `{ uuid }` — esta última es la forma
+     * exacta, la única que responde cuando dos roles locales homónimos son
+     * visibles en la misma cadena (las otras dos son 422
+     * `E_AUTHZ_AMBIGUOUS_ROLE`, nunca «el más cercano gana»).
+     */
+    grant(subject: SubjectRef, role: RoleQuery, scope: ScopeRef, options?: GrantOptions): Promise<GrantOutcome>;
+    /**
+     * Quita la asignación del rol en ese scope exacto. Por slug se quitan las
+     * de TODOS los homónimos `(slug, nivel)` (3B; quitar nunca concede, y el
+     * scope puede no existir ya para el árbol); por `{ uuid }`, solo la de ese
+     * rol.
+     */
+    revoke(subject: SubjectRef, role: RoleQuery, scope: ScopeRef, options?: ScopedWriteOptions): Promise<void>;
+    deny(subject: SubjectRef, permission: string, scope: ScopeRef, options?: DenyOptions): Promise<void>;
+    removeDeny(subject: SubjectRef, permission: string, scope: ScopeRef, options?: ScopedWriteOptions): Promise<void>;
+    /**
+     * Scopes de un tipo donde el holder tiene el permiso (2.1, B3). La ÚNICA
+     * API del paquete que enumera descendientes — excepción explícita al
+     * invariante 7 (`list*` siguen siendo directos) — y lo hace con el
+     * `descendantsOf` del consumidor, nunca con N+1 `resolveChain` a ciegas.
+     *
+     * Regla:
+     *  1. `listScopes(subject, permission)`: los scopes DIRECTOS que conceden,
+     *     ya sin los bloqueados por un deny en su cadena y sin los que el árbol
+     *     no conoce. Vacío ⇒ `none`.
+     *  2. Si la raíz está entre ellos ⇒ `all`, con `excludedSubtrees` = todos
+     *     los scopes con deny vivo del permiso (`listDenies`), como subárboles
+     *     (F10). Nunca `all` sin esa lista (juez cruce 5): un deny vivo tiene
+     *     que verse.
+     *  3. Si no: candidatos = directos ∪ sus descendientes (`descendantsOf`).
+     *     Cada candidato se contrasta con `resolveChain` (memoizado por
+     *     request, F3): su cadena tiene que contener el scope concedente —si
+     *     no, los dos resolutores del consumidor describen árboles distintos y
+     *     se lanza 503 `E_AUTHZ_RESOLVER_FAILED`, nunca una lista con cruces—
+     *     y no puede contener un scope denegado (es EXACTAMENTE la regla de
+     *     `authorize`: deny en la cadena ⇒ false). Se filtran por `scopeType`.
+     *  4. Más de `maxScopes` ⇒ 422 `E_AUTHZ_TOO_MANY_SCOPES`, nunca parcial, y
+     *     se corta en cuanto se sabe (F8): los directos del tipo antes de bajar
+     *     y el conteo del tipo dentro del bucle. `options.maxScopes` solo puede
+     *     BAJAR la cota del config.
+     * Sin `scopes.descendantsOf` ⇒ 500 `E_AUTHZ_NO_DESCENDANTS_RESOLVER`
+     * (antes de mirar nada: un `none` sin árbol sería mentira).
+     */
+    authorizedScopes(subject: SubjectRef, permission: string, scopeType: ScopeType, options?: {
+        maxScopes?: number;
+    }): Promise<AuthorizedScopes>;
+    /**
+     * Los `excludedSubtrees` de un `all` (F10) expandidos: cada scope denegado
+     * y todos sus descendientes, con el `descendantsOf` del config. Un scope
+     * que `descendantsOf` no conoce (`null`) es 503: restarlo a medias
+     * dejaría su subárbol dentro (fail-open). Cotas: `maxDescendants` por
+     * subárbol y `maxScopes` (config o por llamada, nunca por encima del
+     * config) sobre el total ⇒ 422, nunca parcial.
+     */
+    expandExcludedSubtrees(excluded: ExcludedSubtree[], options?: {
+        maxScopes?: number;
+    }): Promise<ScopeRef[]>;
 }
 //# sourceMappingURL=manager.d.ts.map

package/build/src/manager.d.ts.map

@@ -1 +1 @@
-{"version":3,"file":"manager.d.ts","sourceRoot":"","sources":["../../src/manager.ts"],"names":[],"mappings":"AACA,OAAO,KAAK,EAAE,mBAAmB,EAAE,MAAM,oBAAoB,CAAA;AAC7D,OAAO,KAAK,EACV,mBAAmB,EAGnB,YAAY,EACZ,QAAQ,EACR,SAAS,EACT,UAAU,EACX,MAAM,YAAY,CAAA;AAEnB;;;;;;;;GAQG;AACH,qBAAa,oBAAoB;;gBAInB,MAAM,EAAE,mBAAmB;IAIjC,MAAM,IAAI,OAAO,CAAC,mBAAmB,CAAC;IAgB5C,mDAAmD;IACnD,iBAAiB,IAAI,IAAI;IAInB,SAAS,CAAC,OAAO,EAAE,UAAU,EAAE,UAAU,EAAE,MAAM,EAAE,KAAK,EAAE,QAAQ,GAAG,OAAO,CAAC,OAAO,CAAC;IAIrF,OAAO,CAAC,OAAO,EAAE,UAAU,EAAE,IAAI,EAAE,MAAM,EAAE,KAAK,EAAE,QAAQ,GAAG,OAAO,CAAC,OAAO,CAAC;IAI7E,YAAY,CAAC,IAAI,EAAE,MAAM,EAAE,KAAK,EAAE,QAAQ,GAAG,OAAO,CAAC,UAAU,EAAE,CAAC;IAIlE,UAAU,CAAC,OAAO,EAAE,UAAU,EAAE,UAAU,EAAE,MAAM,GAAG,OAAO,CAAC,QAAQ,EAAE,CAAC;IAIxE,SAAS,CAAC,OAAO,EAAE,UAAU,EAAE,KAAK,EAAE,QAAQ,GAAG,OAAO,CAAC,MAAM,EAAE,CAAC;IAIlE,cAAc,CAAC,OAAO,EAAE,UAAU,EAAE,SAAS,EAAE,SAAS,GAAG,OAAO,CAAC,QAAQ,EAAE,CAAC;IAI9E,KAAK,CACT,OAAO,EAAE,UAAU,EACnB,IAAI,EAAE,MAAM,EACZ,KAAK,EAAE,QAAQ,EACf,OAAO,CAAC,EAAE,YAAY,GACrB,OAAO,CAAC,IAAI,CAAC;IAWV,MAAM,CAAC,OAAO,EAAE,UAAU,EAAE,IAAI,EAAE,MAAM,EAAE,KAAK,EAAE,QAAQ,GAAG,OAAO,CAAC,IAAI,CAAC;IAKzE,IAAI,CAAC,OAAO,EAAE,UAAU,EAAE,UAAU,EAAE,MAAM,EAAE,KAAK,EAAE,QAAQ,GAAG,OAAO,CAAC,IAAI,CAAC;IAK7E,UAAU,CAAC,OAAO,EAAE,UAAU,EAAE,UAAU,EAAE,MAAM,EAAE,KAAK,EAAE,QAAQ,GAAG,OAAO,CAAC,IAAI,CAAC;CA+B1F"}
+{"version":3,"file":"manager.d.ts","sourceRoot":"","sources":["../../src/manager.ts"],"names":[],"mappings":"AAEA,OAAO,KAAK,EAAE,mBAAmB,EAAE,MAAM,oBAAoB,CAAA;AA4C7D,OAAO,KAAK,EACV,mBAAmB,EAEnB,gBAAgB,EAGhB,WAAW,EAEX,WAAW,EACX,OAAO,EACP,eAAe,EACf,YAAY,EACZ,YAAY,EACZ,SAAS,EAGT,kBAAkB,EAClB,iBAAiB,EACjB,cAAc,EACd,kBAAkB,EAClB,QAAQ,EACR,SAAS,EACT,UAAU,EAEX,MAAM,YAAY,CAAA;AAuBnB;;;;;GAKG;AACH,MAAM,MAAM,iBAAiB,GAAG,IAAI,CAClC,oBAAoB,EAClB,WAAW,GACX,SAAS,GACT,cAAc,GACd,YAAY,GACZ,WAAW,GACX,gBAAgB,GAChB,OAAO,GACP,QAAQ,GACR,MAAM,GACN,YAAY,GACZ,QAAQ,GACR,QAAQ,GACR,YAAY,GACZ,UAAU,GACV,YAAY,GACZ,sBAAsB,GACtB,eAAe,GACf,kBAAkB,GAClB,wBAAwB,GACxB,kBAAkB,GAClB,kBAAkB,GAClB,kBAAkB,CACrB,CAAA;AAED;;;;;GAKG;AACH,wBAAgB,sBAAsB,CAAC,IAAI,EAAE,iBAAiB,EAAE,QAAQ,EAAE,eAAe,EAAE,GAAG,OAAO,CAAC,QAAQ,EAAE,CAAC,CAEhH;AAED,qGAAqG;AACrG,eAAO,MAAM,kBAAkB,OAAQ,CAAA;AACvC,eAAO,MAAM,uBAAuB,QAAS,CAAA;AAC7C;;;;;;GAMG;AACH,eAAO,MAAM,eAAe,WAAa,CAAA;AACzC,gGAAgG;AAChG,eAAO,MAAM,uBAAuB,QAAS,CAAA;AAE7C,MAAM,WAAW,iBAAiB;IAChC;;;;;;;;OAQG;IACH,QAAQ,CAAC,EAAE,MAAM,CAAA;IACjB;;;;OAIG;IACH,GAAG,CAAC,EAAE,MAAM,MAAM,CAAA;CACnB;AAKD;;;;;;;;GAQG;AACH,qBAAa,oBAAoB;;gBAenB,MAAM,EAAE,mBAAmB;IAkCvC;;;;;;;;;;;;;;;;OAgBG;IACH,UAAU,CAAC,OAAO,GAAE,iBAAsB,GAAG,iBAAiB;IAmB9D;;;;;;;;;;;;;;OAcG;IACG,MAAM,IAAI,OAAO,CAAC,mBAAmB,CAAC;IA2B5C,mDAAmD;IACnD,iBAAiB,IAAI,IAAI;IAiCzB;;;;;;;OAOG;IACH,QAAQ,CAAC,MAAM;0BAOW,QAAQ,UAAU,QAAQ,YAAY,kBAAkB,KAAG,OAAO,CAAC,IAAI,CAAC;uBAS3E,QAAQ,aAAa,QAAQ,YAAY,kBAAkB,KAAG,OAAO,CAAC,IAAI,CAAC;QAOhG;;;;;;;WAOG;0BACqB,QAAQ,YAAY,kBAAkB,KAAG,OAAO,CAAC,kBAAkB,CAAC;MA2C7F;IAyLD;;;;;OAKG;IACG,QAAQ,CAAC,KAAK,EAAE,QAAQ,EAAE,KAAK,EAAE,QAAQ,GAAG,OAAO,CAAC,OAAO,CAAC;IA8H5D,SAAS,CAAC,OAAO,EAAE,UAAU,EAAE,UAAU,EAAE,MAAM,EAAE,KAAK,EAAE,QAAQ,GAAG,OAAO,CAAC,OAAO,CAAC;IAKrF,OAAO,CAAC,OAAO,EAAE,UAAU,EAAE,IAAI,EAAE,SAAS,EAAE,KAAK,EAAE,QAAQ,GAAG,OAAO,CAAC,OAAO,CAAC;IAKtF;;;;;;;;OAQG;IACG,aAAa,CAAC,OAAO,EAAE,UAAU,EAAE,UAAU,EAAE,MAAM,EAAE,MAAM,EAAE,QAAQ,EAAE,GAAG,OAAO,CAAC,OAAO,EAAE,CAAC;IA0BpG,2GAA2G;IACrG,YAAY,CAAC,IAAI,EAAE,SAAS,EAAE,KAAK,EAAE,QAAQ,GAAG,OAAO,CAAC,UAAU,EAAE,CAAC;IAKrE,UAAU,CAAC,OAAO,EAAE,UAAU,EAAE,UAAU,EAAE,MAAM,GAAG,OAAO,CAAC,QAAQ,EAAE,CAAC;IAKxE,SAAS,CAAC,OAAO,EAAE,UAAU,EAAE,KAAK,EAAE,QAAQ,GAAG,OAAO,CAAC,MAAM,EAAE,CAAC;IAKlE,cAAc,CAAC,OAAO,EAAE,UAAU,EAAE,SAAS,EAAE,SAAS,GAAG,OAAO,CAAC,QAAQ,EAAE,CAAC;IAKpF,mHAAmH;IAC7G,UAAU,CAAC,OAAO,EAAE,UAAU,EAAE,KAAK,CAAC,EAAE,QAAQ,GAAG,OAAO,CAAC,OAAO,EAAE,CAAC;IAM3E;;;;;;;OAOG;IACG,oBAAoB,CAAC,OAAO,EAAE,UAAU,EAAE,KAAK,EAAE,QAAQ,GAAG,OAAO,CAAC,MAAM,EAAE,CAAC;IAiKnF;;;;;;;;;;;;;;;OAeG;IACG,gBAAgB,CACpB,KAAK,EAAE,UAAU,EACjB,UAAU,EAAE,QAAQ,EACpB,IAAI,EAAE,cAAc,EACpB,OAAO,CAAC,EAAE,kBAAkB,GAC3B,OAAO,CAAC,WAAW,CAAC;IA8FvB;;;;;;;;OAQG;IACG,gBAAgB,CACpB,KAAK,EAAE,UAAU,EACjB,QAAQ,EAAE,MAAM,EAChB,OAAO,EAAE,iBAAiB,EAC1B,OAAO,CAAC,EAAE,kBAAkB,GAC3B,OAAO,CAAC,WAAW,CAAC;IAsFvB;;;;;;OAMG;IACG,gBAAgB,CAAC,KAAK,EAAE,UAAU,EAAE,QAAQ,EAAE,MAAM,EAAE,OAAO,CAAC,EAAE,kBAAkB,GAAG,OAAO,CAAC,IAAI,CAAC;IAqaxG;;;;;;OAMG;IACG,KAAK,CACT,OAAO,EAAE,UAAU,EACnB,IAAI,EAAE,SAAS,EACf,KAAK,EAAE,QAAQ,EACf,OAAO,CAAC,EAAE,YAAY,GACrB,OAAO,CAAC,YAAY,CAAC;IAyCxB;;;;;OAKG;IACG,MAAM,CAAC,OAAO,EAAE,UAAU,EAAE,IAAI,EAAE,SAAS,EAAE,KAAK,EAAE,QAAQ,EAAE,OAAO,CAAC,EAAE,kBAAkB,GAAG,OAAO,CAAC,IAAI,CAAC;IAS1G,IAAI,CAAC,OAAO,EAAE,UAAU,EAAE,UAAU,EAAE,MAAM,EAAE,KAAK,EAAE,QAAQ,EAAE,OAAO,CAAC,EAAE,WAAW,GAAG,OAAO,CAAC,IAAI,CAAC;IASpG,UAAU,CAAC,OAAO,EAAE,UAAU,EAAE,UAAU,EAAE,MAAM,EAAE,KAAK,EAAE,QAAQ,EAAE,OAAO,CAAC,EAAE,kBAAkB,GAAG,OAAO,CAAC,IAAI,CAAC;IASvH;;;;;;;;;;;;;;;;;;;;;;;;;;;OA2BG;IACG,gBAAgB,CACpB,OAAO,EAAE,UAAU,EACnB,UAAU,EAAE,MAAM,EAClB,SAAS,EAAE,SAAS,EACpB,OAAO,GAAE;QAAE,SAAS,CAAC,EAAE,MAAM,CAAA;KAAO,GACnC,OAAO,CAAC,gBAAgB,CAAC;IAoE5B;;;;;;;OAOG;IACG,sBAAsB,CAC1B,QAAQ,EAAE,eAAe,EAAE,EAC3B,OAAO,GAAE;QAAE,SAAS,CAAC,EAAE,MAAM,CAAA;KAAO,GACnC,OAAO,CAAC,QAAQ,EAAE,CAAC;CAoNvB"}