@jantstack/adonis-authz 1.1.0 → 2.0.0-alpha.1

package/build/src/identity.d.ts

@@ -0,0 +1,155 @@
+import type { NormalizedRoleQuery, RoleQuery, ScopeRef, SubjectRef } from './types.js';
+/**
+ * Validación de identidad del motor: holder, scope, rol y permiso.
+ *
+ * Vive en un solo sitio y la aplican el manager (una vez por llamada) Y los
+ * drivers (defensa en profundidad: el juez del contrato habla con el driver
+ * directamente, y un driver de terceros puede usarse sin manager). Nadie
+ * duplica la regla: se importa.
+ *
+ * Por qué es 422 y no "se acepta lo que venga":
+ *  - `uuid: undefined` en el driver openfga escribía `user:undefined`, y a
+ *    partir de ahí CUALQUIER holder sin uuid heredaba ese permiso (L0.5).
+ *  - `{ type: 'app', uuid: 'X' }` colapsaba a la raíz global en openfga y no
+ *    en database: escalada de tenant a plataforma en un driver y `false` en
+ *    el otro (L0.10).
+ *  - `#`, `:`, `|`, `~`, `*` y espacios son sintaxis de FGA o separadores de
+ *    los ids de binding: un componente que los contenga puede fabricar un
+ *    userset, un comodín o la clave de OTRO scope (L0.5, L0.8). Desde 3A
+ *    (2.2) el slug ya NO viaja en los ids de FGA (van por uuid de catálogo),
+ *    pero los tipos y uuids de scope sí, y los slugs serán relaciones del
+ *    modelo `facts` (3b): la lista blanca se mantiene entera.
+ *  - Las longitudes son las de las columnas `authz_*`: lo que no cabe se
+ *    truncaría o fallaría con un error de SQL ilegible.
+ */
+/**
+ * Longitudes de columna del esquema publicado (`stubs/migration.stub`) que
+ * la identidad aplica tal cual. El slug NO está aquí: su límite es
+ * `MAX_SLUG_LENGTH` (42), más estricto que la columna (100) para que el
+ * catálogo sea publicable en FGA (E2).
+ */
+export declare const IDENTITY_LIMITS: Readonly<{
+    holderType: 50;
+    scopeType: 20;
+    uuid: 36;
+}>;
+/**
+ * Centinela con el que el driver `database` almacena el uuid del scope `app`
+ * (NOT NULL + unique). Fuera de `app` sería una identidad de scope que
+ * colisiona con la raíz: se rechaza (L0.15).
+ */
+export declare const SENTINEL_UUID = "00000000-0000-0000-0000-000000000000";
+/** El uuid de un rol o permiso del catálogo (opcional en el spec): canónico y en minúsculas, o 422. */
+export declare function assertCatalogUuid(kind: string, value: unknown): asserts value is string;
+/** Versión booleana para caminos de LECTURA (ids que vienen del backend): no lanza. */
+export declare function isCatalogUuid(value: unknown): value is string;
+/** `SubjectRef` bien formado: type y uuid presentes, con formato y longitud. */
+export declare function assertSubject(subject: SubjectRef): void;
+/**
+ * `ScopeRef` bien formado. `app` es la raíz y NO admite uuid (L0.10): un
+ * `{ app, 'X' }` no es "otro app", es una identidad que un driver colapsaría
+ * a la global. Fuera de `app` el uuid es obligatorio y no puede ser el
+ * centinela con el que `database` representa la raíz (L0.15).
+ */
+export declare function assertScope(scope: ScopeRef): void;
+/** Tipo de scope suelto (el de `listRoleScopes`). */
+export declare function assertScopeType(scopeType: string): void;
+/**
+ * Clave textual de un scope: `app` para la raíz, `<tipo>|<uuid>` para el
+ * resto (≤ 57 caracteres). Es la MISMA en todo el paquete: el id de los
+ * bindings de FGA (`role_binding:<scopeKey>|<roleUuid>`) y el owner de un
+ * rol local (`authz_roles.owner_scope_key`, 3B · B1). `|` es el separador:
+ * como ningún componente lo admite (`assertScope`), dos scopes distintos no
+ * pueden producir la misma clave, y la clave reservada `global` (el catálogo
+ * del config) no la produce ningún scope — la raíz da `app` y todo lo demás
+ * lleva `|`. Un scope mal formado (`{app, uuid}`, centinela, mayúsculas) es
+ * 422 aquí, antes de serializarse a nada.
+ */
+export declare function scopeKey(scope: ScopeRef): string;
+/**
+ * La inversa de `scopeKey` para claves que vienen de la BASE (el owner de un
+ * rol): `app` ⇒ la raíz; `<tipo>|<uuid>` ⇒ el scope; cualquier otra forma
+ * (incluida `global`, que no es un scope) ⇒ `null`. No lanza: es camino de
+ * lectura, y una clave que no es un scope simplemente no resuelve.
+ */
+export declare function scopeFromKey(key: string): ScopeRef | null;
+/**
+ * Nombres que el modelo FGA del modo `facts` usa como relaciones propias
+ * (`scope#parent`, `role_binding#assignee`, `deny_binding#denied`…). Un
+ * permiso llamado `parent` invalidaría el modelo entero (S14): se rechaza en
+ * el núcleo, para ambos drivers, no el día de la migración.
+ */
+export declare const RESERVED_SLUGS: ReadonlySet<string>;
+/**
+ * Familias de relaciones derivadas del modelo (`can_<P>`, `denied_<P>`,
+ * `permits_<P>`). Un slug que EMPIECE por una de ellas colisiona con la
+ * relación derivada de otro permiso y el generador la colapsaría en silencio
+ * (S4: `can_docs_write` anulaba el deny de `docs:write`).
+ */
+export declare const RESERVED_SLUG_PREFIXES: readonly string[];
+/**
+ * Longitud máxima de un slug. Un nombre de relación en FGA admite 50
+ * caracteres y el modelo deriva `permits_<slug>` (el prefijo más largo, 8):
+ * 42 es lo que cabe con cualquier prefijo. Es más estricto que la columna
+ * (100) a propósito: un catálogo legal en `database` tiene que ser publicable
+ * en `openfga` (S13), o el cambio de driver no es una migración de hechos.
+ */
+export declare const MAX_SLUG_LENGTH: number;
+export type SlugKind = 'rol' | 'permiso';
+/** Slug de rol o permiso válido para AMBOS drivers (formato, longitud, reservados). */
+export declare function assertValidSlug(kind: SlugKind, slug: unknown): asserts slug is string;
+/**
+ * Cómo se proyecta un slug a un nombre de relación FGA (`:` → `_`). Dos slugs
+ * distintos con la misma proyección (`docs:write` / `docs_write`) serían UNA
+ * relación: el catálogo los rechaza juntos (L0.8a).
+ */
+export declare function slugAsRelation(slug: string): string;
+/** Ningún par de slugs del conjunto colisiona tras proyectarse a relación. */
+export declare function assertNoSlugCollisions(kind: SlugKind, slugs: Iterable<string>): void;
+/** Versiones booleanas para caminos de LECTURA que no deben lanzar (ids que vienen del backend). */
+export declare function isValidScope(scope: ScopeRef): boolean;
+export declare function isValidScopeType(scopeType: unknown): scopeType is string;
+export declare function isValidSlug(kind: SlugKind, slug: string): boolean;
+/**
+ * La pregunta de `hasRole`, validada: string ⇒ `{ slug }`; objeto ⇒
+ * `{ slug, scopeType }` (ambos con la gramática del motor).
+ */
+export declare function normalizeRoleQuery(role: RoleQuery): NormalizedRoleQuery;
+/**
+ * Las claves de la cadena desde cada nivel hacia la raíz (3B · B2; movida
+ * aquí en 3D · N5 para que exista UNA sola codificación de clave de scope):
+ * `keysFrom[i]` = `chain.slice(i).map(scopeKey)`. Un rol es visible en el
+ * nivel `i` si es global o su owner está en `keysFrom[i]` — el owner tiene
+ * que ser ancestro-o-igual del scope de la ASIGNACIÓN, no de la pregunta.
+ */
+export declare function chainKeysFrom(chain: ScopeRef[]): string[][];
+/**
+ * `expiresAt` de un `grant`, en sus tres estados legales: omitido, `null` o
+ * una `Date` válida. Una cadena, un número o un `Invalid Date` no son una
+ * caducidad: un driver lanzaba un TypeError al serializar y el otro persistía
+ * basura (D7). Se rechaza como identidad mal formada (422).
+ */
+export declare function assertExpiresAt(value: unknown): asserts value is Date | null | undefined;
+export interface IdentityParts {
+    subject?: SubjectRef;
+    scope?: ScopeRef;
+    scopeType?: string;
+    /** Pregunta de `hasRole`: string u objeto `{ slug, scopeType }`. */
+    role?: RoleQuery;
+    /**
+     * Slug de rol donde el contrato pide un string (`grant`, `revoke`,
+     * `listSubjects`): un `RoleQuery` objeto aquí es 422, no un 503 ni un
+     * TypeError (D11).
+     */
+    roleSlug?: unknown;
+    permission?: string;
+    /** Caducidad de un `grant`: `undefined` | `null` | `Date` válida. */
+    expiresAt?: unknown;
+}
+/**
+ * Valida en un solo paso los componentes que recibe una operación. Se llama
+ * ANTES de tocar catálogo, árbol o backend: una pregunta mal formada no
+ * cuesta una consulta ni deja rastro.
+ */
+export declare function assertIdentity(parts: IdentityParts): void;
+//# sourceMappingURL=identity.d.ts.map

package/build/src/identity.d.ts.map

@@ -0,0 +1 @@
+{"version":3,"file":"identity.d.ts","sourceRoot":"","sources":["../../src/identity.ts"],"names":[],"mappings":"AAEA,OAAO,KAAK,EAAE,mBAAmB,EAAE,SAAS,EAAE,QAAQ,EAAE,UAAU,EAAE,MAAM,YAAY,CAAA;AAEtF;;;;;;;;;;;;;;;;;;;;;;GAsBG;AAEH;;;;;GAKG;AACH,eAAO,MAAM,eAAe;;;;EAI1B,CAAA;AAEF;;;;GAIG;AACH,eAAO,MAAM,aAAa,yCAAyC,CAAA;AAgBnE,uGAAuG;AACvG,wBAAgB,iBAAiB,CAAC,IAAI,EAAE,MAAM,EAAE,KAAK,EAAE,OAAO,GAAG,OAAO,CAAC,KAAK,IAAI,MAAM,CAMvF;AAED,uFAAuF;AACvF,wBAAgB,aAAa,CAAC,KAAK,EAAE,OAAO,GAAG,KAAK,IAAI,MAAM,CAE7D;AAoDD,gFAAgF;AAChF,wBAAgB,aAAa,CAAC,OAAO,EAAE,UAAU,GAAG,IAAI,CAMvD;AAED;;;;;GAKG;AACH,wBAAgB,WAAW,CAAC,KAAK,EAAE,QAAQ,GAAG,IAAI,CAqBjD;AAED,qDAAqD;AACrD,wBAAgB,eAAe,CAAC,SAAS,EAAE,MAAM,GAAG,IAAI,CAEvD;AAID;;;;;;;;;;GAUG;AACH,wBAAgB,QAAQ,CAAC,KAAK,EAAE,QAAQ,GAAG,MAAM,CAIhD;AAED;;;;;GAKG;AACH,wBAAgB,YAAY,CAAC,GAAG,EAAE,MAAM,GAAG,QAAQ,GAAG,IAAI,CAMzD;AAWD;;;;;GAKG;AACH,eAAO,MAAM,cAAc,EAAE,WAAW,CAAC,MAAM,CAO7C,CAAA;AAEF;;;;;GAKG;AACH,eAAO,MAAM,sBAAsB,EAAE,SAAS,MAAM,EAAmD,CAAA;AAEvG;;;;;;GAMG;AACH,eAAO,MAAM,eAAe,QAAgE,CAAA;AAE5F,MAAM,MAAM,QAAQ,GAAG,KAAK,GAAG,SAAS,CAAA;AAExC,uFAAuF;AACvF,wBAAgB,eAAe,CAAC,IAAI,EAAE,QAAQ,EAAE,IAAI,EAAE,OAAO,GAAG,OAAO,CAAC,IAAI,IAAI,MAAM,CAiCrF;AAED;;;;GAIG;AACH,wBAAgB,cAAc,CAAC,IAAI,EAAE,MAAM,GAAG,MAAM,CAEnD;AAED,8EAA8E;AAC9E,wBAAgB,sBAAsB,CAAC,IAAI,EAAE,QAAQ,EAAE,KAAK,EAAE,QAAQ,CAAC,MAAM,CAAC,GAAG,IAAI,CAapF;AAED,oGAAoG;AACpG,wBAAgB,YAAY,CAAC,KAAK,EAAE,QAAQ,GAAG,OAAO,CAOrD;AAED,wBAAgB,gBAAgB,CAAC,SAAS,EAAE,OAAO,GAAG,SAAS,IAAI,MAAM,CAOxE;AAED,wBAAgB,WAAW,CAAC,IAAI,EAAE,QAAQ,EAAE,IAAI,EAAE,MAAM,GAAG,OAAO,CAOjE;AAED;;;GAGG;AACH,wBAAgB,kBAAkB,CAAC,IAAI,EAAE,SAAS,GAAG,mBAAmB,CAyBvE;AAED;;;;;;GAMG;AACH,wBAAgB,aAAa,CAAC,KAAK,EAAE,QAAQ,EAAE,GAAG,MAAM,EAAE,EAAE,CAG3D;AAID;;;;;GAKG;AACH,wBAAgB,eAAe,CAAC,KAAK,EAAE,OAAO,GAAG,OAAO,CAAC,KAAK,IAAI,IAAI,GAAG,IAAI,GAAG,SAAS,CAQxF;AAED,MAAM,WAAW,aAAa;IAC5B,OAAO,CAAC,EAAE,UAAU,CAAA;IACpB,KAAK,CAAC,EAAE,QAAQ,CAAA;IAChB,SAAS,CAAC,EAAE,MAAM,CAAA;IAClB,oEAAoE;IACpE,IAAI,CAAC,EAAE,SAAS,CAAA;IAChB;;;;OAIG;IACH,QAAQ,CAAC,EAAE,OAAO,CAAA;IAClB,UAAU,CAAC,EAAE,MAAM,CAAA;IACnB,qEAAqE;IACrE,SAAS,CAAC,EAAE,OAAO,CAAA;CACpB;AAED;;;;GAIG;AACH,wBAAgB,cAAc,CAAC,KAAK,EAAE,aAAa,GAAG,IAAI,CAQzD"}

package/build/src/identity.js

@@ -0,0 +1,359 @@
+import { InvalidIdentityError, InvalidSlugError } from './errors.js';
+import { APP_SCOPE_TYPE } from './types.js';
+/**
+ * Validación de identidad del motor: holder, scope, rol y permiso.
+ *
+ * Vive en un solo sitio y la aplican el manager (una vez por llamada) Y los
+ * drivers (defensa en profundidad: el juez del contrato habla con el driver
+ * directamente, y un driver de terceros puede usarse sin manager). Nadie
+ * duplica la regla: se importa.
+ *
+ * Por qué es 422 y no "se acepta lo que venga":
+ *  - `uuid: undefined` en el driver openfga escribía `user:undefined`, y a
+ *    partir de ahí CUALQUIER holder sin uuid heredaba ese permiso (L0.5).
+ *  - `{ type: 'app', uuid: 'X' }` colapsaba a la raíz global en openfga y no
+ *    en database: escalada de tenant a plataforma en un driver y `false` en
+ *    el otro (L0.10).
+ *  - `#`, `:`, `|`, `~`, `*` y espacios son sintaxis de FGA o separadores de
+ *    los ids de binding: un componente que los contenga puede fabricar un
+ *    userset, un comodín o la clave de OTRO scope (L0.5, L0.8). Desde 3A
+ *    (2.2) el slug ya NO viaja en los ids de FGA (van por uuid de catálogo),
+ *    pero los tipos y uuids de scope sí, y los slugs serán relaciones del
+ *    modelo `facts` (3b): la lista blanca se mantiene entera.
+ *  - Las longitudes son las de las columnas `authz_*`: lo que no cabe se
+ *    truncaría o fallaría con un error de SQL ilegible.
+ */
+/**
+ * Longitudes de columna del esquema publicado (`stubs/migration.stub`) que
+ * la identidad aplica tal cual. El slug NO está aquí: su límite es
+ * `MAX_SLUG_LENGTH` (42), más estricto que la columna (100) para que el
+ * catálogo sea publicable en FGA (E2).
+ */
+export const IDENTITY_LIMITS = Object.freeze({
+    holderType: 50,
+    scopeType: 20,
+    uuid: 36,
+});
+/**
+ * Centinela con el que el driver `database` almacena el uuid del scope `app`
+ * (NOT NULL + unique). Fuera de `app` sería una identidad de scope que
+ * colisiona con la raíz: se rechaza (L0.15).
+ */
+export const SENTINEL_UUID = '00000000-0000-0000-0000-000000000000';
+/**
+ * UUID del CATÁLOGO (rol o permiso): la columna `uuid` de `authz_roles` y
+ * `authz_permissions` es `uuid` real, y desde 3A (2.2) es lo que viaja en
+ * los ids de binding de FGA (`role_binding:<scopeKey>|<roleUuid>`). Se exige
+ * canónico y en MINÚSCULAS (RFC 9562, 8-4-4-4-12 hex): PostgreSQL lo
+ * normaliza así y MySQL/SQLite lo guardan tal cual, así que un uuid en
+ * mayúsculas del spec produciría dos identidades para el mismo rol según el
+ * motor, y un id de binding que el propio driver no leería de vuelta. Es más
+ * estricto que la gramática de los uuids de holder/scope (esos son del
+ * consumidor, `[a-z0-9._-]{1,36}`): un id 1.x con slug (`app|editor`) no
+ * puede parecer un id 2.2 (`app|<uuid>`).
+ */
+const CATALOG_UUID_FORMAT = /^[0-9a-f]{8}-[0-9a-f]{4}-[0-9a-f]{4}-[0-9a-f]{4}-[0-9a-f]{12}$/;
+/** El uuid de un rol o permiso del catálogo (opcional en el spec): canónico y en minúsculas, o 422. */
+export function assertCatalogUuid(kind, value) {
+    if (typeof value !== 'string' || !CATALOG_UUID_FORMAT.test(value)) {
+        throw new InvalidIdentityError(`UUID del ${kind} inválido: se esperaba un UUID canónico en minúsculas (8-4-4-4-12 hex) y llegó ${describe(value)}`);
+    }
+}
+/** Versión booleana para caminos de LECTURA (ids que vienen del backend): no lanza. */
+export function isCatalogUuid(value) {
+    return typeof value === 'string' && CATALOG_UUID_FORMAT.test(value);
+}
+/**
+ * Un componente de identidad: MINÚSCULAS, dígitos, `_`, `.` y `-`. Lista
+ * blanca y no negra: lo que no está aquí no se serializa a ningún backend.
+ * Excluye por construcción `#`, `:`, `|`, `~`, `*`, `@`, espacios y control.
+ *
+ * Los TIPOS (de holder y de scope) van en minúsculas desde E4 (auditor H14):
+ * en un motor SQL con collation `*_ci` `Users` y `users` serían la misma fila
+ * y en FGA dos holders distintos. Los UUIDs también desde 2.5-B · K1
+ * (auditor 🔴 1): el árbol del consumidor (tipo `uuid` de PG, `char(36)`
+ * `*_ci` de MySQL) fundía `BBBB…` con `bbbb…`, la cadena resolvía con el
+ * alias y el deny —escrito canónico en `authz_*`, `utf8mb4_bin`— no casaba.
+ * La cadena canónica del resolutor cierra el alias por guiones; el alias por
+ * mayúsculas muere aquí, en la puerta, antes de tocar nada. Un id en
+ * mayúsculas del consumidor se pasa en minúsculas (`uuid.toLowerCase()`) en
+ * su borde: un UUID es el mismo id en cualquier caja.
+ */
+const COMPONENT_FORMAT = /^[a-z0-9_.-]+$/;
+const TYPE_FORMAT = COMPONENT_FORMAT;
+function assertComponent(kind, value, maxLength, format = COMPONENT_FORMAT) {
+    if (typeof value !== 'string' || value.length === 0) {
+        throw new InvalidIdentityError(`${kind} inválido: se esperaba una cadena no vacía y llegó ${describe(value)}`);
+    }
+    if (value.length > maxLength) {
+        throw new InvalidIdentityError(`${kind} inválido: '${value}' supera los ${maxLength} caracteres de la columna`);
+    }
+    if (!format.test(value)) {
+        throw new InvalidIdentityError(`${kind} inválido: '${value}'. Solo se admiten minúsculas, dígitos y . _ - ` +
+            `(ni mayúsculas, '#', ':', '|', '~', '*', espacios ni caracteres de control)`);
+    }
+}
+function describe(value) {
+    if (value === undefined)
+        return 'undefined';
+    if (value === null)
+        return 'null';
+    if (typeof value === 'string')
+        return `'${value}'`;
+    return typeof value;
+}
+/** `SubjectRef` bien formado: type y uuid presentes, con formato y longitud. */
+export function assertSubject(subject) {
+    if (!subject || typeof subject !== 'object') {
+        throw new InvalidIdentityError(`Holder inválido: llegó ${describe(subject)}`);
+    }
+    assertComponent('Tipo de holder', subject.type, IDENTITY_LIMITS.holderType, TYPE_FORMAT);
+    assertComponent(`UUID del holder '${subject.type}'`, subject.uuid, IDENTITY_LIMITS.uuid);
+}
+/**
+ * `ScopeRef` bien formado. `app` es la raíz y NO admite uuid (L0.10): un
+ * `{ app, 'X' }` no es "otro app", es una identidad que un driver colapsaría
+ * a la global. Fuera de `app` el uuid es obligatorio y no puede ser el
+ * centinela con el que `database` representa la raíz (L0.15).
+ */
+export function assertScope(scope) {
+    if (!scope || typeof scope !== 'object') {
+        throw new InvalidIdentityError(`Scope inválido: llegó ${describe(scope)}`);
+    }
+    assertComponent('Tipo de scope', scope.type, IDENTITY_LIMITS.scopeType, TYPE_FORMAT);
+    if (scope.type === APP_SCOPE_TYPE) {
+        if (scope.uuid !== null) {
+            throw new InvalidIdentityError(`Scope inválido: el scope '${APP_SCOPE_TYPE}' es la raíz y no admite uuid ` +
+                `(llegó ${describe(scope.uuid)}). Usa APP_SCOPE.`);
+        }
+        return;
+    }
+    assertComponent(`UUID del scope '${scope.type}'`, scope.uuid, IDENTITY_LIMITS.uuid);
+    if (scope.uuid === SENTINEL_UUID) {
+        throw new InvalidIdentityError(`Scope inválido: '${SENTINEL_UUID}' está reservado para la raíz y no puede ` +
+            `identificar un scope de tipo '${scope.type}'`);
+    }
+}
+/** Tipo de scope suelto (el de `listRoleScopes`). */
+export function assertScopeType(scopeType) {
+    assertComponent('Tipo de scope', scopeType, IDENTITY_LIMITS.scopeType, TYPE_FORMAT);
+}
+/* ── Clave de scope ─────────────────────────────────────────────────────── */
+/**
+ * Clave textual de un scope: `app` para la raíz, `<tipo>|<uuid>` para el
+ * resto (≤ 57 caracteres). Es la MISMA en todo el paquete: el id de los
+ * bindings de FGA (`role_binding:<scopeKey>|<roleUuid>`) y el owner de un
+ * rol local (`authz_roles.owner_scope_key`, 3B · B1). `|` es el separador:
+ * como ningún componente lo admite (`assertScope`), dos scopes distintos no
+ * pueden producir la misma clave, y la clave reservada `global` (el catálogo
+ * del config) no la produce ningún scope — la raíz da `app` y todo lo demás
+ * lleva `|`. Un scope mal formado (`{app, uuid}`, centinela, mayúsculas) es
+ * 422 aquí, antes de serializarse a nada.
+ */
+export function scopeKey(scope) {
+    assertScope(scope);
+    if (scope.type === APP_SCOPE_TYPE)
+        return APP_SCOPE_TYPE;
+    return `${scope.type}|${scope.uuid}`;
+}
+/**
+ * La inversa de `scopeKey` para claves que vienen de la BASE (el owner de un
+ * rol): `app` ⇒ la raíz; `<tipo>|<uuid>` ⇒ el scope; cualquier otra forma
+ * (incluida `global`, que no es un scope) ⇒ `null`. No lanza: es camino de
+ * lectura, y una clave que no es un scope simplemente no resuelve.
+ */
+export function scopeFromKey(key) {
+    if (key === APP_SCOPE_TYPE)
+        return { type: APP_SCOPE_TYPE, uuid: null };
+    const parts = key.split('|');
+    if (parts.length !== 2)
+        return null;
+    const scope = { type: parts[0], uuid: parts[1] };
+    return isValidScope(scope) ? scope : null;
+}
+/* ── Slugs del catálogo ─────────────────────────────────────────────────── */
+/**
+ * Gramática de un slug: minúsculas, dígitos y . _ - ; los permisos admiten UN
+ * `:` (`recurso:accion`), los roles ninguno.
+ */
+const PERMISSION_FORMAT = /^[a-z0-9][a-z0-9_.-]*(:[a-z0-9][a-z0-9_.-]*)?$/;
+const ROLE_FORMAT = /^[a-z0-9][a-z0-9_.-]*$/;
+/**
+ * Nombres que el modelo FGA del modo `facts` usa como relaciones propias
+ * (`scope#parent`, `role_binding#assignee`, `deny_binding#denied`…). Un
+ * permiso llamado `parent` invalidaría el modelo entero (S14): se rechaza en
+ * el núcleo, para ambos drivers, no el día de la migración.
+ */
+export const RESERVED_SLUGS = new Set([
+    'parent',
+    'binding',
+    'ancestor',
+    'role',
+    'assignee',
+    'denied',
+]);
+/**
+ * Familias de relaciones derivadas del modelo (`can_<P>`, `denied_<P>`,
+ * `permits_<P>`). Un slug que EMPIECE por una de ellas colisiona con la
+ * relación derivada de otro permiso y el generador la colapsaría en silencio
+ * (S4: `can_docs_write` anulaba el deny de `docs:write`).
+ */
+export const RESERVED_SLUG_PREFIXES = Object.freeze(['can_', 'denied_', 'permits_']);
+/**
+ * Longitud máxima de un slug. Un nombre de relación en FGA admite 50
+ * caracteres y el modelo deriva `permits_<slug>` (el prefijo más largo, 8):
+ * 42 es lo que cabe con cualquier prefijo. Es más estricto que la columna
+ * (100) a propósito: un catálogo legal en `database` tiene que ser publicable
+ * en `openfga` (S13), o el cambio de driver no es una migración de hechos.
+ */
+export const MAX_SLUG_LENGTH = 50 - Math.max(...RESERVED_SLUG_PREFIXES.map((p) => p.length));
+/** Slug de rol o permiso válido para AMBOS drivers (formato, longitud, reservados). */
+export function assertValidSlug(kind, slug) {
+    if (typeof slug !== 'string' || slug.length === 0) {
+        throw new InvalidSlugError(`Slug de ${kind} inválido: se esperaba una cadena no vacía y llegó ${describe(slug)}`);
+    }
+    if (slug.length > MAX_SLUG_LENGTH) {
+        throw new InvalidSlugError(`Slug de ${kind} inválido: '${slug}' supera los ${MAX_SLUG_LENGTH} caracteres ` +
+            `(50 de una relación FGA menos el prefijo derivado más largo)`);
+    }
+    const format = kind === 'permiso' ? PERMISSION_FORMAT : ROLE_FORMAT;
+    if (!format.test(slug)) {
+        throw new InvalidSlugError(`Slug de ${kind} inválido: '${slug}'. Formato: minúsculas/dígitos/._-` +
+            (kind === 'permiso' ? " con ':' único opcional (recurso:accion)" : ' (sin ":")') +
+            "; '~', '|', '#', '*' y espacios están prohibidos");
+    }
+    if (RESERVED_SLUGS.has(slug)) {
+        throw new InvalidSlugError(`Slug de ${kind} inválido: '${slug}' es un nombre reservado del modelo ` +
+            `(${[...RESERVED_SLUGS].join(', ')})`);
+    }
+    const family = RESERVED_SLUG_PREFIXES.find((prefix) => slug.startsWith(prefix));
+    if (family) {
+        throw new InvalidSlugError(`Slug de ${kind} inválido: '${slug}' empieza por '${family}', prefijo reservado ` +
+            `de las relaciones derivadas (${RESERVED_SLUG_PREFIXES.join(', ')})`);
+    }
+}
+/**
+ * Cómo se proyecta un slug a un nombre de relación FGA (`:` → `_`). Dos slugs
+ * distintos con la misma proyección (`docs:write` / `docs_write`) serían UNA
+ * relación: el catálogo los rechaza juntos (L0.8a).
+ */
+export function slugAsRelation(slug) {
+    return slug.replaceAll(':', '_');
+}
+/** Ningún par de slugs del conjunto colisiona tras proyectarse a relación. */
+export function assertNoSlugCollisions(kind, slugs) {
+    const seen = new Map();
+    for (const slug of slugs) {
+        const relation = slugAsRelation(slug);
+        const other = seen.get(relation);
+        if (other !== undefined && other !== slug) {
+            throw new InvalidSlugError(`Slugs de ${kind} en colisión: '${other}' y '${slug}' se proyectan a la misma ` +
+                `relación '${relation}' (':' y '_' son equivalentes en el modelo)`);
+        }
+        seen.set(relation, slug);
+    }
+}
+/** Versiones booleanas para caminos de LECTURA que no deben lanzar (ids que vienen del backend). */
+export function isValidScope(scope) {
+    try {
+        assertScope(scope);
+        return true;
+    }
+    catch {
+        return false;
+    }
+}
+export function isValidScopeType(scopeType) {
+    try {
+        assertScopeType(scopeType);
+        return true;
+    }
+    catch {
+        return false;
+    }
+}
+export function isValidSlug(kind, slug) {
+    try {
+        assertValidSlug(kind, slug);
+        return true;
+    }
+    catch {
+        return false;
+    }
+}
+/**
+ * La pregunta de `hasRole`, validada: string ⇒ `{ slug }`; objeto ⇒
+ * `{ slug, scopeType }` (ambos con la gramática del motor).
+ */
+export function normalizeRoleQuery(role) {
+    if (typeof role === 'string') {
+        assertValidSlug('rol', role);
+        return { slug: role };
+    }
+    if (!role || typeof role !== 'object') {
+        throw new InvalidIdentityError(`Rol inválido: llegó ${describe(role)}`);
+    }
+    // 3D · M1(c): `{ uuid }` es la forma EXACTA (sin ambigüedad posible). No se
+    // mezcla con `{ slug, scopeType }`: la pregunta es por identidad o por
+    // nombre, nunca por las dos a la vez (un `{ uuid, slug }` que no casaran
+    // sería una pregunta con dos respuestas).
+    if ('uuid' in role) {
+        const query = role;
+        if (query.slug !== undefined || query.scopeType !== undefined) {
+            throw new InvalidIdentityError(`Rol inválido: { uuid } es la forma exacta y no se combina con 'slug'/'scopeType' (llegó ${describe(role)})`);
+        }
+        assertCatalogUuid('rol', query.uuid);
+        return { uuid: query.uuid };
+    }
+    assertValidSlug('rol', role.slug);
+    assertScopeType(role.scopeType);
+    return { slug: role.slug, scopeType: role.scopeType };
+}
+/**
+ * Las claves de la cadena desde cada nivel hacia la raíz (3B · B2; movida
+ * aquí en 3D · N5 para que exista UNA sola codificación de clave de scope):
+ * `keysFrom[i]` = `chain.slice(i).map(scopeKey)`. Un rol es visible en el
+ * nivel `i` si es global o su owner está en `keysFrom[i]` — el owner tiene
+ * que ser ancestro-o-igual del scope de la ASIGNACIÓN, no de la pregunta.
+ */
+export function chainKeysFrom(chain) {
+    const keys = chain.map(scopeKey);
+    return keys.map((_, i) => keys.slice(i));
+}
+/* ── Punto de entrada único ─────────────────────────────────────────────── */
+/**
+ * `expiresAt` de un `grant`, en sus tres estados legales: omitido, `null` o
+ * una `Date` válida. Una cadena, un número o un `Invalid Date` no son una
+ * caducidad: un driver lanzaba un TypeError al serializar y el otro persistía
+ * basura (D7). Se rechaza como identidad mal formada (422).
+ */
+export function assertExpiresAt(value) {
+    if (value === undefined || value === null)
+        return;
+    if (!(value instanceof Date) || Number.isNaN(value.getTime())) {
+        throw new InvalidIdentityError(`expiresAt inválido: se esperaba una Date válida, null (sin caducidad) u omitido ` +
+            `(preservar la vigente) y llegó ${value instanceof Date ? 'Invalid Date' : describe(value)}`);
+    }
+}
+/**
+ * Valida en un solo paso los componentes que recibe una operación. Se llama
+ * ANTES de tocar catálogo, árbol o backend: una pregunta mal formada no
+ * cuesta una consulta ni deja rastro.
+ */
+export function assertIdentity(parts) {
+    if ('subject' in parts)
+        assertSubject(parts.subject);
+    if ('scope' in parts)
+        assertScope(parts.scope);
+    if ('scopeType' in parts)
+        assertScopeType(parts.scopeType);
+    if ('role' in parts)
+        normalizeRoleQuery(parts.role);
+    if ('roleSlug' in parts)
+        assertValidSlug('rol', parts.roleSlug);
+    if ('permission' in parts)
+        assertValidSlug('permiso', parts.permission);
+    if ('expiresAt' in parts)
+        assertExpiresAt(parts.expiresAt);
+}
+//# sourceMappingURL=identity.js.map

package/build/src/identity.js.map

@@ -0,0 +1 @@
+{"version":3,"file":"identity.js","sourceRoot":"","sources":["../../src/identity.ts"],"names":[],"mappings":"AAAA,OAAO,EAAE,oBAAoB,EAAE,gBAAgB,EAAE,MAAM,aAAa,CAAA;AACpE,OAAO,EAAE,cAAc,EAAE,MAAM,YAAY,CAAA;AAG3C;;;;;;;;;;;;;;;;;;;;;;GAsBG;AAEH;;;;;GAKG;AACH,MAAM,CAAC,MAAM,eAAe,GAAG,MAAM,CAAC,MAAM,CAAC;IAC3C,UAAU,EAAE,EAAE;IACd,SAAS,EAAE,EAAE;IACb,IAAI,EAAE,EAAE;CACT,CAAC,CAAA;AAEF;;;;GAIG;AACH,MAAM,CAAC,MAAM,aAAa,GAAG,sCAAsC,CAAA;AAEnE;;;;;;;;;;;GAWG;AACH,MAAM,mBAAmB,GAAG,gEAAgE,CAAA;AAE5F,uGAAuG;AACvG,MAAM,UAAU,iBAAiB,CAAC,IAAY,EAAE,KAAc;IAC5D,IAAI,OAAO,KAAK,KAAK,QAAQ,IAAI,CAAC,mBAAmB,CAAC,IAAI,CAAC,KAAK,CAAC,EAAE,CAAC;QAClE,MAAM,IAAI,oBAAoB,CAC5B,YAAY,IAAI,kFAAkF,QAAQ,CAAC,KAAK,CAAC,EAAE,CACpH,CAAA;IACH,CAAC;AACH,CAAC;AAED,uFAAuF;AACvF,MAAM,UAAU,aAAa,CAAC,KAAc;IAC1C,OAAO,OAAO,KAAK,KAAK,QAAQ,IAAI,mBAAmB,CAAC,IAAI,CAAC,KAAK,CAAC,CAAA;AACrE,CAAC;AAED;;;;;;;;;;;;;;;GAeG;AACH,MAAM,gBAAgB,GAAG,gBAAgB,CAAA;AACzC,MAAM,WAAW,GAAG,gBAAgB,CAAA;AAEpC,SAAS,eAAe,CACtB,IAAY,EACZ,KAAc,EACd,SAAiB,EACjB,SAAiB,gBAAgB;IAEjC,IAAI,OAAO,KAAK,KAAK,QAAQ,IAAI,KAAK,CAAC,MAAM,KAAK,CAAC,EAAE,CAAC;QACpD,MAAM,IAAI,oBAAoB,CAC5B,GAAG,IAAI,sDAAsD,QAAQ,CAAC,KAAK,CAAC,EAAE,CAC/E,CAAA;IACH,CAAC;IACD,IAAI,KAAK,CAAC,MAAM,GAAG,SAAS,EAAE,CAAC;QAC7B,MAAM,IAAI,oBAAoB,CAC5B,GAAG,IAAI,eAAe,KAAK,gBAAgB,SAAS,2BAA2B,CAChF,CAAA;IACH,CAAC;IACD,IAAI,CAAC,MAAM,CAAC,IAAI,CAAC,KAAK,CAAC,EAAE,CAAC;QACxB,MAAM,IAAI,oBAAoB,CAC5B,GAAG,IAAI,eAAe,KAAK,iDAAiD;YAC1E,6EAA6E,CAChF,CAAA;IACH,CAAC;AACH,CAAC;AAED,SAAS,QAAQ,CAAC,KAAc;IAC9B,IAAI,KAAK,KAAK,SAAS;QAAE,OAAO,WAAW,CAAA;IAC3C,IAAI,KAAK,KAAK,IAAI;QAAE,OAAO,MAAM,CAAA;IACjC,IAAI,OAAO,KAAK,KAAK,QAAQ;QAAE,OAAO,IAAI,KAAK,GAAG,CAAA;IAClD,OAAO,OAAO,KAAK,CAAA;AACrB,CAAC;AAED,gFAAgF;AAChF,MAAM,UAAU,aAAa,CAAC,OAAmB;IAC/C,IAAI,CAAC,OAAO,IAAI,OAAO,OAAO,KAAK,QAAQ,EAAE,CAAC;QAC5C,MAAM,IAAI,oBAAoB,CAAC,0BAA0B,QAAQ,CAAC,OAAO,CAAC,EAAE,CAAC,CAAA;IAC/E,CAAC;IACD,eAAe,CAAC,gBAAgB,EAAE,OAAO,CAAC,IAAI,EAAE,eAAe,CAAC,UAAU,EAAE,WAAW,CAAC,CAAA;IACxF,eAAe,CAAC,oBAAoB,OAAO,CAAC,IAAI,GAAG,EAAE,OAAO,CAAC,IAAI,EAAE,eAAe,CAAC,IAAI,CAAC,CAAA;AAC1F,CAAC;AAED;;;;;GAKG;AACH,MAAM,UAAU,WAAW,CAAC,KAAe;IACzC,IAAI,CAAC,KAAK,IAAI,OAAO,KAAK,KAAK,QAAQ,EAAE,CAAC;QACxC,MAAM,IAAI,oBAAoB,CAAC,yBAAyB,QAAQ,CAAC,KAAK,CAAC,EAAE,CAAC,CAAA;IAC5E,CAAC;IACD,eAAe,CAAC,eAAe,EAAE,KAAK,CAAC,IAAI,EAAE,eAAe,CAAC,SAAS,EAAE,WAAW,CAAC,CAAA;IACpF,IAAI,KAAK,CAAC,IAAI,KAAK,cAAc,EAAE,CAAC;QAClC,IAAI,KAAK,CAAC,IAAI,KAAK,IAAI,EAAE,CAAC;YACxB,MAAM,IAAI,oBAAoB,CAC5B,6BAA6B,cAAc,gCAAgC;gBACzE,UAAU,QAAQ,CAAC,KAAK,CAAC,IAAI,CAAC,mBAAmB,CACpD,CAAA;QACH,CAAC;QACD,OAAM;IACR,CAAC;IACD,eAAe,CAAC,mBAAmB,KAAK,CAAC,IAAI,GAAG,EAAE,KAAK,CAAC,IAAI,EAAE,eAAe,CAAC,IAAI,CAAC,CAAA;IACnF,IAAI,KAAK,CAAC,IAAI,KAAK,aAAa,EAAE,CAAC;QACjC,MAAM,IAAI,oBAAoB,CAC5B,oBAAoB,aAAa,2CAA2C;YAC1E,iCAAiC,KAAK,CAAC,IAAI,GAAG,CACjD,CAAA;IACH,CAAC;AACH,CAAC;AAED,qDAAqD;AACrD,MAAM,UAAU,eAAe,CAAC,SAAiB;IAC/C,eAAe,CAAC,eAAe,EAAE,SAAS,EAAE,eAAe,CAAC,SAAS,EAAE,WAAW,CAAC,CAAA;AACrF,CAAC;AAED,+EAA+E;AAE/E;;;;;;;;;;GAUG;AACH,MAAM,UAAU,QAAQ,CAAC,KAAe;IACtC,WAAW,CAAC,KAAK,CAAC,CAAA;IAClB,IAAI,KAAK,CAAC,IAAI,KAAK,cAAc;QAAE,OAAO,cAAc,CAAA;IACxD,OAAO,GAAG,KAAK,CAAC,IAAI,IAAI,KAAK,CAAC,IAAI,EAAE,CAAA;AACtC,CAAC;AAED;;;;;GAKG;AACH,MAAM,UAAU,YAAY,CAAC,GAAW;IACtC,IAAI,GAAG,KAAK,cAAc;QAAE,OAAO,EAAE,IAAI,EAAE,cAAc,EAAE,IAAI,EAAE,IAAI,EAAE,CAAA;IACvE,MAAM,KAAK,GAAG,GAAG,CAAC,KAAK,CAAC,GAAG,CAAC,CAAA;IAC5B,IAAI,KAAK,CAAC,MAAM,KAAK,CAAC;QAAE,OAAO,IAAI,CAAA;IACnC,MAAM,KAAK,GAAa,EAAE,IAAI,EAAE,KAAK,CAAC,CAAC,CAAC,EAAE,IAAI,EAAE,KAAK,CAAC,CAAC,CAAC,EAAE,CAAA;IAC1D,OAAO,YAAY,CAAC,KAAK,CAAC,CAAC,CAAC,CAAC,KAAK,CAAC,CAAC,CAAC,IAAI,CAAA;AAC3C,CAAC;AAED,+EAA+E;AAE/E;;;GAGG;AACH,MAAM,iBAAiB,GAAG,gDAAgD,CAAA;AAC1E,MAAM,WAAW,GAAG,wBAAwB,CAAA;AAE5C;;;;;GAKG;AACH,MAAM,CAAC,MAAM,cAAc,GAAwB,IAAI,GAAG,CAAC;IACzD,QAAQ;IACR,SAAS;IACT,UAAU;IACV,MAAM;IACN,UAAU;IACV,QAAQ;CACT,CAAC,CAAA;AAEF;;;;;GAKG;AACH,MAAM,CAAC,MAAM,sBAAsB,GAAsB,MAAM,CAAC,MAAM,CAAC,CAAC,MAAM,EAAE,SAAS,EAAE,UAAU,CAAC,CAAC,CAAA;AAEvG;;;;;;GAMG;AACH,MAAM,CAAC,MAAM,eAAe,GAAG,EAAE,GAAG,IAAI,CAAC,GAAG,CAAC,GAAG,sBAAsB,CAAC,GAAG,CAAC,CAAC,CAAC,EAAE,EAAE,CAAC,CAAC,CAAC,MAAM,CAAC,CAAC,CAAA;AAI5F,uFAAuF;AACvF,MAAM,UAAU,eAAe,CAAC,IAAc,EAAE,IAAa;IAC3D,IAAI,OAAO,IAAI,KAAK,QAAQ,IAAI,IAAI,CAAC,MAAM,KAAK,CAAC,EAAE,CAAC;QAClD,MAAM,IAAI,gBAAgB,CACxB,WAAW,IAAI,sDAAsD,QAAQ,CAAC,IAAI,CAAC,EAAE,CACtF,CAAA;IACH,CAAC;IACD,IAAI,IAAI,CAAC,MAAM,GAAG,eAAe,EAAE,CAAC;QAClC,MAAM,IAAI,gBAAgB,CACxB,WAAW,IAAI,eAAe,IAAI,gBAAgB,eAAe,cAAc;YAC7E,8DAA8D,CACjE,CAAA;IACH,CAAC;IACD,MAAM,MAAM,GAAG,IAAI,KAAK,SAAS,CAAC,CAAC,CAAC,iBAAiB,CAAC,CAAC,CAAC,WAAW,CAAA;IACnE,IAAI,CAAC,MAAM,CAAC,IAAI,CAAC,IAAI,CAAC,EAAE,CAAC;QACvB,MAAM,IAAI,gBAAgB,CACxB,WAAW,IAAI,eAAe,IAAI,oCAAoC;YACpE,CAAC,IAAI,KAAK,SAAS,CAAC,CAAC,CAAC,0CAA0C,CAAC,CAAC,CAAC,YAAY,CAAC;YAChF,kDAAkD,CACrD,CAAA;IACH,CAAC;IACD,IAAI,cAAc,CAAC,GAAG,CAAC,IAAI,CAAC,EAAE,CAAC;QAC7B,MAAM,IAAI,gBAAgB,CACxB,WAAW,IAAI,eAAe,IAAI,sCAAsC;YACtE,IAAI,CAAC,GAAG,cAAc,CAAC,CAAC,IAAI,CAAC,IAAI,CAAC,GAAG,CACxC,CAAA;IACH,CAAC;IACD,MAAM,MAAM,GAAG,sBAAsB,CAAC,IAAI,CAAC,CAAC,MAAM,EAAE,EAAE,CAAC,IAAI,CAAC,UAAU,CAAC,MAAM,CAAC,CAAC,CAAA;IAC/E,IAAI,MAAM,EAAE,CAAC;QACX,MAAM,IAAI,gBAAgB,CACxB,WAAW,IAAI,eAAe,IAAI,kBAAkB,MAAM,uBAAuB;YAC/E,gCAAgC,sBAAsB,CAAC,IAAI,CAAC,IAAI,CAAC,GAAG,CACvE,CAAA;IACH,CAAC;AACH,CAAC;AAED;;;;GAIG;AACH,MAAM,UAAU,cAAc,CAAC,IAAY;IACzC,OAAO,IAAI,CAAC,UAAU,CAAC,GAAG,EAAE,GAAG,CAAC,CAAA;AAClC,CAAC;AAED,8EAA8E;AAC9E,MAAM,UAAU,sBAAsB,CAAC,IAAc,EAAE,KAAuB;IAC5E,MAAM,IAAI,GAAG,IAAI,GAAG,EAAkB,CAAA;IACtC,KAAK,MAAM,IAAI,IAAI,KAAK,EAAE,CAAC;QACzB,MAAM,QAAQ,GAAG,cAAc,CAAC,IAAI,CAAC,CAAA;QACrC,MAAM,KAAK,GAAG,IAAI,CAAC,GAAG,CAAC,QAAQ,CAAC,CAAA;QAChC,IAAI,KAAK,KAAK,SAAS,IAAI,KAAK,KAAK,IAAI,EAAE,CAAC;YAC1C,MAAM,IAAI,gBAAgB,CACxB,YAAY,IAAI,kBAAkB,KAAK,QAAQ,IAAI,4BAA4B;gBAC7E,aAAa,QAAQ,6CAA6C,CACrE,CAAA;QACH,CAAC;QACD,IAAI,CAAC,GAAG,CAAC,QAAQ,EAAE,IAAI,CAAC,CAAA;IAC1B,CAAC;AACH,CAAC;AAED,oGAAoG;AACpG,MAAM,UAAU,YAAY,CAAC,KAAe;IAC1C,IAAI,CAAC;QACH,WAAW,CAAC,KAAK,CAAC,CAAA;QAClB,OAAO,IAAI,CAAA;IACb,CAAC;IAAC,MAAM,CAAC;QACP,OAAO,KAAK,CAAA;IACd,CAAC;AACH,CAAC;AAED,MAAM,UAAU,gBAAgB,CAAC,SAAkB;IACjD,IAAI,CAAC;QACH,eAAe,CAAC,SAAmB,CAAC,CAAA;QACpC,OAAO,IAAI,CAAA;IACb,CAAC;IAAC,MAAM,CAAC;QACP,OAAO,KAAK,CAAA;IACd,CAAC;AACH,CAAC;AAED,MAAM,UAAU,WAAW,CAAC,IAAc,EAAE,IAAY;IACtD,IAAI,CAAC;QACH,eAAe,CAAC,IAAI,EAAE,IAAI,CAAC,CAAA;QAC3B,OAAO,IAAI,CAAA;IACb,CAAC;IAAC,MAAM,CAAC;QACP,OAAO,KAAK,CAAA;IACd,CAAC;AACH,CAAC;AAED;;;GAGG;AACH,MAAM,UAAU,kBAAkB,CAAC,IAAe;IAChD,IAAI,OAAO,IAAI,KAAK,QAAQ,EAAE,CAAC;QAC7B,eAAe,CAAC,KAAK,EAAE,IAAI,CAAC,CAAA;QAC5B,OAAO,EAAE,IAAI,EAAE,IAAI,EAAE,CAAA;IACvB,CAAC;IACD,IAAI,CAAC,IAAI,IAAI,OAAO,IAAI,KAAK,QAAQ,EAAE,CAAC;QACtC,MAAM,IAAI,oBAAoB,CAAC,uBAAuB,QAAQ,CAAC,IAAI,CAAC,EAAE,CAAC,CAAA;IACzE,CAAC;IACD,4EAA4E;IAC5E,uEAAuE;IACvE,yEAAyE;IACzE,0CAA0C;IAC1C,IAAI,MAAM,IAAK,IAAe,EAAE,CAAC;QAC/B,MAAM,KAAK,GAAG,IAA8D,CAAA;QAC5E,IAAI,KAAK,CAAC,IAAI,KAAK,SAAS,IAAI,KAAK,CAAC,SAAS,KAAK,SAAS,EAAE,CAAC;YAC9D,MAAM,IAAI,oBAAoB,CAC5B,2FAA2F,QAAQ,CAAC,IAAI,CAAC,GAAG,CAC7G,CAAA;QACH,CAAC;QACD,iBAAiB,CAAC,KAAK,EAAE,KAAK,CAAC,IAAI,CAAC,CAAA;QACpC,OAAO,EAAE,IAAI,EAAE,KAAK,CAAC,IAAI,EAAE,CAAA;IAC7B,CAAC;IACD,eAAe,CAAC,KAAK,EAAG,IAAY,CAAC,IAAI,CAAC,CAAA;IAC1C,eAAe,CAAE,IAAY,CAAC,SAAS,CAAC,CAAA;IACxC,OAAO,EAAE,IAAI,EAAG,IAAY,CAAC,IAAI,EAAE,SAAS,EAAG,IAAY,CAAC,SAAS,EAAE,CAAA;AACzE,CAAC;AAED;;;;;;GAMG;AACH,MAAM,UAAU,aAAa,CAAC,KAAiB;IAC7C,MAAM,IAAI,GAAG,KAAK,CAAC,GAAG,CAAC,QAAQ,CAAC,CAAA;IAChC,OAAO,IAAI,CAAC,GAAG,CAAC,CAAC,CAAC,EAAE,CAAC,EAAE,EAAE,CAAC,IAAI,CAAC,KAAK,CAAC,CAAC,CAAC,CAAC,CAAA;AAC1C,CAAC;AAED,+EAA+E;AAE/E;;;;;GAKG;AACH,MAAM,UAAU,eAAe,CAAC,KAAc;IAC5C,IAAI,KAAK,KAAK,SAAS,IAAI,KAAK,KAAK,IAAI;QAAE,OAAM;IACjD,IAAI,CAAC,CAAC,KAAK,YAAY,IAAI,CAAC,IAAI,MAAM,CAAC,KAAK,CAAC,KAAK,CAAC,OAAO,EAAE,CAAC,EAAE,CAAC;QAC9D,MAAM,IAAI,oBAAoB,CAC5B,kFAAkF;YAChF,kCAAkC,KAAK,YAAY,IAAI,CAAC,CAAC,CAAC,cAAc,CAAC,CAAC,CAAC,QAAQ,CAAC,KAAK,CAAC,EAAE,CAC/F,CAAA;IACH,CAAC;AACH,CAAC;AAmBD;;;;GAIG;AACH,MAAM,UAAU,cAAc,CAAC,KAAoB;IACjD,IAAI,SAAS,IAAI,KAAK;QAAE,aAAa,CAAC,KAAK,CAAC,OAAqB,CAAC,CAAA;IAClE,IAAI,OAAO,IAAI,KAAK;QAAE,WAAW,CAAC,KAAK,CAAC,KAAiB,CAAC,CAAA;IAC1D,IAAI,WAAW,IAAI,KAAK;QAAE,eAAe,CAAC,KAAK,CAAC,SAAmB,CAAC,CAAA;IACpE,IAAI,MAAM,IAAI,KAAK;QAAE,kBAAkB,CAAC,KAAK,CAAC,IAAiB,CAAC,CAAA;IAChE,IAAI,UAAU,IAAI,KAAK;QAAE,eAAe,CAAC,KAAK,EAAE,KAAK,CAAC,QAAQ,CAAC,CAAA;IAC/D,IAAI,YAAY,IAAI,KAAK;QAAE,eAAe,CAAC,SAAS,EAAE,KAAK,CAAC,UAAU,CAAC,CAAA;IACvE,IAAI,WAAW,IAAI,KAAK;QAAE,eAAe,CAAC,KAAK,CAAC,SAAS,CAAC,CAAA;AAC5D,CAAC"}