@jantstack/adonis-authz 1.1.0 → 2.4.0-alpha.1

package/build/src/drivers/openfga_facts.js.map

@@ -0,0 +1 @@
+{"version":3,"file":"openfga_facts.js","sourceRoot":"","sources":["../../../src/drivers/openfga_facts.ts"],"names":[],"mappings":"AAAA,OAAO,EACL,oBAAoB,EACpB,gBAAgB,EAChB,kBAAkB,EAClB,wBAAwB,EACxB,mBAAmB,GACpB,MAAM,cAAc,CAAA;AACrB,OAAO,EAAE,cAAc,EAAE,sBAAsB,EAAE,oBAAoB,EAAE,MAAM,gBAAgB,CAAA;AAC7F,OAAO,EAAE,cAAc,EAAE,MAAM,aAAa,CAAA;AAG5C;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;GAuDG;AAEH,6DAA6D;AAC7D,MAAM,eAAe,GAAG,mBAAmB,CAAA;AAE3C;;;;;;;;GAQG;AACH,MAAM,UAAU,iBAAiB,CAAC,WAA0B;IAC1D,IAAI,CAAC,WAAW,IAAI,OAAO,WAAW,KAAK,QAAQ,IAAI,MAAM,CAAC,IAAI,CAAC,WAAW,CAAC,CAAC,MAAM,KAAK,CAAC,EAAE,CAAC;QAC7F,MAAM,IAAI,wBAAwB,CAChC,0FAA0F,CAC3F,CAAA;IACH,CAAC;IACD,MAAM,eAAe,GAAG,IAAI,GAAG,EAAoB,CAAA;IACnD,KAAK,MAAM,CAAC,KAAK,EAAE,OAAO,CAAC,IAAI,MAAM,CAAC,OAAO,CAAC,WAAW,CAAC,EAAE,CAAC;QAC3D,IAAI,OAAO,OAAO,KAAK,QAAQ,IAAI,CAAC,eAAe,CAAC,IAAI,CAAC,OAAO,CAAC,EAAE,CAAC;YAClE,MAAM,IAAI,wBAAwB,CAChC,gBAAgB,KAAK,QAAQ,IAAI,CAAC,SAAS,CAAC,OAAO,CAAC,4BAA4B;gBAC9E,mDAAmD,CACtD,CAAA;QACH,CAAC;QACD,eAAe,CAAC,GAAG,CAAC,OAAO,EAAE,CAAC,GAAG,CAAC,eAAe,CAAC,GAAG,CAAC,OAAO,CAAC,IAAI,EAAE,CAAC,EAAE,KAAK,CAAC,CAAC,CAAA;IAChF,CAAC;IACD,MAAM,UAAU,GAAG,CAAC,GAAG,eAAe,CAAC,OAAO,EAAE,CAAC,CAAC,MAAM,CAAC,CAAC,CAAC,EAAE,MAAM,CAAC,EAAE,EAAE,CAAC,MAAM,CAAC,MAAM,GAAG,CAAC,CAAC,CAAA;IAC3F,IAAI,UAAU,CAAC,MAAM,EAAE,CAAC;QACtB,MAAM,IAAI,wBAAwB,CAChC,+BAA+B;YAC7B,UAAU,CAAC,GAAG,CAAC,CAAC,CAAC,GAAG,EAAE,MAAM,CAAC,EAAE,EAAE,CAAC,GAAG,MAAM,CAAC,IAAI,CAAC,KAAK,CAAC,OAAO,GAAG,GAAG,CAAC,CAAC,IAAI,CAAC,IAAI,CAAC;YAChF,oEAAoE,CACvE,CAAA;IACH,CAAC;AACH,CAAC;AAED,+EAA+E;AAE/E;;;;;;;GAOG;AACH,MAAM,CAAC,MAAM,qBAAqB,GAAG,EAAE,CAAA;AAEvC;;;;;GAKG;AACH,MAAM,CAAC,MAAM,iBAAiB,GAAG,GAAG,CAAA;AAEpC;;;;;;;;;;;;;;;;;;;;;;;;;;GA0BG;AACH,MAAM,CAAC,MAAM,qBAAqB,GAAG,OAAO,CAAA;AAE5C;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;GAgDG;AACH,MAAM,CAAC,MAAM,uBAAuB,GAAG,EAAE,CAAA;AAEzC,6FAA6F;AAC7F,MAAM,CAAC,MAAM,mBAAmB,GAAG,EAAE,CAAA;AAErC,kFAAkF;AAClF,MAAM,CAAC,MAAM,sBAAsB,GAAG,GAAG,CAAA;AAEzC,2DAA2D;AAC3D,MAAM,CAAC,MAAM,eAAe,GAAG,MAAM,CAAA;AAErC,qFAAqF;AACrF,MAAM,CAAC,MAAM,oBAAoB,GAAG,UAAU,CAAA;AAE9C;;;;;GAKG;AACH,MAAM,CAAC,MAAM,qBAAqB,GAAG,QAAQ,CAAA;AAE7C,+EAA+E;AAE/E;;;;;;GAMG;AACH,MAAM,aAAa,GAAoC,MAAM,CAAC,MAAM,CAAC;IACnE,CAAC,MAAM,EAAE,gDAAgD,CAAC;IAC1D,CAAC,UAAU,EAAE,oDAAoD,CAAC;IAClE,CAAC,QAAQ,EAAE,2CAA2C,CAAC;IACvD,CAAC,SAAS,EAAE,4CAA4C,CAAC;IACzD,CAAC,UAAU,EAAE,6CAA6C,CAAC;IAC3D,CAAC,QAAQ,EAAE,2CAA2C,CAAC;CACrB,CAAC,CAAA;AAerC,qEAAqE;AACrE,MAAM,UAAU,gBAAgB,CAAC,UAAkB;IACjD,MAAM,IAAI,GAAG,cAAc,CAAC,UAAU,CAAC,CAAA;IACvC,OAAO;QACL,UAAU;QACV,IAAI;QACJ,GAAG,EAAE,OAAO,IAAI,EAAE;QAClB,MAAM,EAAE,UAAU,IAAI,EAAE;QACxB,OAAO,EAAE,GAAG,oBAAoB,GAAG,IAAI,EAAE;KAC1C,CAAA;AACH,CAAC;AAED;;;;;;;;;;;;GAYG;AACH,MAAM,UAAU,gBAAgB,CAAC,WAA8B;IAC7D,MAAM,MAAM,GAAG,IAAI,GAAG,CAAiB,aAAa,CAAC,CAAA;IACrD,MAAM,GAAG,GAAqB,EAAE,CAAA;IAChC,KAAK,MAAM,UAAU,IAAI,WAAW,EAAE,CAAC;QACrC,MAAM,SAAS,GAAG,gBAAgB,CAAC,UAAU,CAAC,CAAA;QAC9C,KAAK,MAAM,IAAI,IAAI,CAAC,SAAS,CAAC,IAAI,EAAE,SAAS,CAAC,GAAG,EAAE,SAAS,CAAC,MAAM,EAAE,SAAS,CAAC,OAAO,CAAC,EAAE,CAAC;YACxF,qEAAqE;YACrE,gEAAgE;YAChE,IAAI,IAAI,CAAC,MAAM,GAAG,qBAAqB,EAAE,CAAC;gBACxC,MAAM,MAAM,GAAG,IAAI,CAAC,KAAK,CAAC,CAAC,EAAE,IAAI,CAAC,MAAM,GAAG,SAAS,CAAC,IAAI,CAAC,MAAM,CAAC,CAAA;gBACjE,MAAM,IAAI,gBAAgB,CACxB,eAAe,UAAU,qDAAqD;oBAC5E,IAAI,IAAI,WAAW,IAAI,CAAC,MAAM,4BAA4B,qBAAqB,GAAG;oBAClF,gBAAgB,MAAM,IAAI,WAAW,WAAW,IAAI,CAAC,MAAM,GAAG,SAAS,CAAC,IAAI,CAAC,MAAM,2BAA2B,CACjH,CAAA;YACH,CAAC;YACD,MAAM,KAAK,GAAG,MAAM,CAAC,GAAG,CAAC,IAAI,CAAC,CAAA;YAC9B,IAAI,KAAK,KAAK,SAAS,EAAE,CAAC;gBACxB,MAAM,IAAI,gBAAgB,CACxB,+CAA+C,IAAI,gBAAgB,KAAK,kBAAkB,UAAU,KAAK;oBACvG,uGAAuG;oBACvG,mCAAmC,CACtC,CAAA;YACH,CAAC;YACD,MAAM,CAAC,GAAG,CAAC,IAAI,EAAE,eAAe,UAAU,GAAG,CAAC,CAAA;QAChD,CAAC;QACD,GAAG,CAAC,IAAI,CAAC,SAAS,CAAC,CAAA;IACrB,CAAC;IACD,OAAO,GAAG,CAAA;AACZ,CAAC;AAED,+EAA+E;AAE/E,MAAM,GAAG,GAAG,CAAC,QAAgB,EAAE,QAAgB,EAAE,EAAE,CAAC,CAAC;IACnD,cAAc,EAAE,EAAE,QAAQ,EAAE,EAAE,QAAQ,EAAE,QAAQ,EAAE,EAAE,eAAe,EAAE,EAAE,QAAQ,EAAE,EAAE;CACpF,CAAC,CAAA;AACF,MAAM,QAAQ,GAAG,CAAC,QAAgB,EAAE,EAAE,CAAC,CAAC,EAAE,eAAe,EAAE,EAAE,QAAQ,EAAE,EAAE,CAAC,CAAA;AAC1E,MAAM,SAAS,GAAG,EAAE,2BAA2B,EAAE,EAAe,EAAE,CAAA;AAElE;;;;;;;;;GASG;AACH,MAAM,UAAU,iBAAiB,CAC/B,aAA4B,EAC5B,WAA8B,EAC9B,eAAsC;IAEtC,iBAAiB,CAAC,aAAa,CAAC,CAAA;IAChC,MAAM,SAAS,GAAG,gBAAgB,CAAC,WAAW,CAAC,CAAA;IAC/C,MAAM,WAAW,GAAG,MAAM,CAAC,MAAM,CAAC,aAAa,CAAC,CAAA;IAChD,MAAM,MAAM,GAAG,WAAW,CAAC,GAAG,CAAC,CAAC,IAAI,EAAE,EAAE,CAAC,CAAC,EAAE,IAAI,EAAE,CAAC,CAAC,CAAA;IACpD,MAAM,SAAS,GAAG,WAAW,CAAC,GAAG,CAAC,CAAC,IAAI,EAAE,EAAE,CAAC,CAAC,EAAE,IAAI,EAAE,QAAQ,EAAE,EAAE,EAAE,CAAC,CAAC,CAAA;IACrE,MAAM,gBAAgB,GAAG;QACvB,GAAG,MAAM;QACT,GAAG,WAAW,CAAC,GAAG,CAAC,CAAC,IAAI,EAAE,EAAE,CAAC,CAAC,EAAE,IAAI,EAAE,SAAS,EAAE,aAAa,EAAE,CAAC,CAAC;KACnE,CAAA;IAED,4EAA4E;IAC5E,qEAAqE;IACrE,MAAM,aAAa,GAA4B,EAAE,CAAA;IACjD,MAAM,YAAY,GAA4B,EAAE,CAAA;IAChD,KAAK,MAAM,CAAC,IAAI,SAAS,EAAE,CAAC;QAC1B,aAAa,CAAC,CAAC,CAAC,OAAO,CAAC,GAAG,EAAE,IAAI,EAAE,EAAE,EAAE,CAAA;QACvC,YAAY,CAAC,CAAC,CAAC,OAAO,CAAC,GAAG,EAAE,2BAA2B,EAAE,SAAS,EAAE,CAAA;IACtE,CAAC;IAED,wEAAwE;IACxE,2EAA2E;IAC3E,2CAA2C;IAC3C,MAAM,gBAAgB,GAA4B,EAAE,IAAI,EAAE,EAAE,IAAI,EAAE,EAAE,EAAE,EAAE,QAAQ,EAAE,EAAE,IAAI,EAAE,EAAE,EAAE,EAAE,CAAA;IAChG,MAAM,eAAe,GAA4B;QAC/C,IAAI,EAAE,EAAE,2BAA2B,EAAE,CAAC,EAAE,IAAI,EAAE,MAAM,EAAE,CAAC,EAAE;QACzD,QAAQ,EAAE,EAAE,2BAA2B,EAAE,gBAAgB,EAAE;KAC5D,CAAA;IACD,KAAK,MAAM,CAAC,IAAI,SAAS,EAAE,CAAC;QAC1B,gBAAgB,CAAC,CAAC,CAAC,IAAI,CAAC,GAAG;YACzB,YAAY,EAAE,EAAE,KAAK,EAAE,CAAC,QAAQ,CAAC,UAAU,CAAC,EAAE,GAAG,CAAC,MAAM,EAAE,CAAC,CAAC,OAAO,CAAC,CAAC,EAAE;SACxE,CAAA;QACD,eAAe,CAAC,CAAC,CAAC,IAAI,CAAC,GAAG,SAAS,CAAA;IACrC,CAAC;IAED,2EAA2E;IAC3E,2EAA2E;IAC3E,yEAAyE;IACzE,eAAe;IACf,MAAM,cAAc,GAA4B,EAAE,MAAM,EAAE,EAAE,IAAI,EAAE,EAAE,EAAE,EAAE,OAAO,EAAE,EAAE,IAAI,EAAE,EAAE,EAAE,EAAE,CAAA;IAC/F,MAAM,aAAa,GAA4B;QAC7C,MAAM,EAAE,EAAE,2BAA2B,EAAE,CAAC,EAAE,IAAI,EAAE,OAAO,EAAE,CAAC,EAAE;QAC5D,OAAO,EAAE,EAAE,2BAA2B,EAAE,CAAC,EAAE,IAAI,EAAE,cAAc,EAAE,CAAC,EAAE;KACrE,CAAA;IACD,KAAK,MAAM,CAAC,IAAI,SAAS,EAAE,CAAC;QAC1B,cAAc,CAAC,CAAC,CAAC,IAAI,CAAC,GAAG,EAAE,KAAK,EAAE,EAAE,KAAK,EAAE,CAAC,GAAG,CAAC,SAAS,EAAE,CAAC,CAAC,IAAI,CAAC,EAAE,GAAG,CAAC,QAAQ,EAAE,CAAC,CAAC,IAAI,CAAC,CAAC,EAAE,EAAE,CAAA;QAC9F,cAAc,CAAC,CAAC,CAAC,MAAM,CAAC,GAAG,EAAE,KAAK,EAAE,EAAE,KAAK,EAAE,CAAC,EAAE,IAAI,EAAE,EAAE,EAAE,EAAE,GAAG,CAAC,QAAQ,EAAE,CAAC,CAAC,MAAM,CAAC,CAAC,EAAE,EAAE,CAAA;QACxF,0EAA0E;QAC1E,oEAAoE;QACpE,2EAA2E;QAC3E,yDAAyD;QACzD,cAAc,CAAC,CAAC,CAAC,GAAG,CAAC,GAAG;YACtB,YAAY,EAAE;gBACZ,KAAK,EAAE;oBACL,EAAE,UAAU,EAAE,EAAE,IAAI,EAAE,QAAQ,CAAC,CAAC,CAAC,IAAI,CAAC,EAAE,QAAQ,EAAE,QAAQ,CAAC,CAAC,CAAC,MAAM,CAAC,EAAE,EAAE;oBACxE,QAAQ,CAAC,qBAAqB,CAAC;iBAChC;aACF;SACF,CAAA;QACD,aAAa,CAAC,CAAC,CAAC,IAAI,CAAC,GAAG,SAAS,CAAA;QACjC,aAAa,CAAC,CAAC,CAAC,MAAM,CAAC,GAAG,EAAE,2BAA2B,EAAE,MAAM,EAAE,CAAA;QACjE,aAAa,CAAC,CAAC,CAAC,GAAG,CAAC,GAAG,SAAS,CAAA;IAClC,CAAC;IACD,cAAc,CAAC,QAAQ,GAAG,EAAE,KAAK,EAAE,EAAE,KAAK,EAAE,CAAC,QAAQ,CAAC,QAAQ,CAAC,EAAE,GAAG,CAAC,QAAQ,EAAE,UAAU,CAAC,CAAC,EAAE,EAAE,CAAA;IAC/F,aAAa,CAAC,QAAQ,GAAG,SAAS,CAAA;IAClC,4EAA4E;IAC5E,uEAAuE;IACvE,uEAAuE;IACvE,0EAA0E;IAC1E,wEAAwE;IACxE,cAAc,CAAC,qBAAqB,CAAC,GAAG;QACtC,KAAK,EAAE,EAAE,KAAK,EAAE,CAAC,EAAE,IAAI,EAAE,EAAE,EAAE,EAAE,GAAG,CAAC,QAAQ,EAAE,qBAAqB,CAAC,CAAC,EAAE;KACvE,CAAA;IACD,aAAa,CAAC,qBAAqB,CAAC,GAAG,EAAE,2BAA2B,EAAE,SAAS,EAAE,CAAA;IAEjF,MAAM,eAAe,GAAU;QAC7B,GAAG,WAAW,CAAC,GAAG,CAAC,CAAC,IAAI,EAAE,EAAE,CAAC,CAAC,EAAE,IAAI,EAAE,SAAS,EAAE,EAAE,EAAE,QAAQ,EAAE,IAAI,EAAE,CAAC,CAAC;QACvE,EAAE,IAAI,EAAE,MAAM,EAAE,SAAS,EAAE,aAAa,EAAE,QAAQ,EAAE,EAAE,SAAS,EAAE,YAAY,EAAE,EAAE;QACjF,EAAE,IAAI,EAAE,cAAc,EAAE,SAAS,EAAE,gBAAgB,EAAE,QAAQ,EAAE,EAAE,SAAS,EAAE,eAAe,EAAE,EAAE;QAC/F,EAAE,IAAI,EAAE,OAAO,EAAE,SAAS,EAAE,cAAc,EAAE,QAAQ,EAAE,EAAE,SAAS,EAAE,aAAa,EAAE,EAAE;KACrF,CAAA;IAED,4EAA4E;IAC5E,6EAA6E;IAC7E,6EAA6E;IAC7E,0EAA0E;IAC1E,6EAA6E;IAC7E,IAAI,eAAe,EAAE,CAAC;QACpB,eAAe,CAAC,IAAI,CAAC,GAAG,4BAA4B,CAAC,SAAS,EAAE,eAAe,EAAE,WAAW,CAAC,CAAC,CAAA;IAChG,CAAC;IAED,OAAO;QACL,cAAc,EAAE,KAAK;QACrB,gBAAgB,EAAE,eAAe;QACjC,UAAU,EAAE;YACV,WAAW,EAAE;gBACX,IAAI,EAAE,aAAa;gBACnB,UAAU,EAAE,4BAA4B;gBACxC,UAAU,EAAE;oBACV,YAAY,EAAE,EAAE,SAAS,EAAE,qBAAqB,EAAE;oBAClD,WAAW,EAAE,EAAE,SAAS,EAAE,qBAAqB,EAAE;iBAClD;aACF;SACF;KACF,CAAA;AACH,CAAC;AAED,+EAA+E;AAE/E;;;;;;;;;;;;;;;;GAgBG;AACH,MAAM,UAAU,GAAG,CAAC,KAAa,EAAU,EAAE,CAC3C,KAAK,GAAG,GAAG,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,KAAK,GAAG,MAAM,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,KAAK,GAAG,SAAS,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,CAAA;AAElE,6DAA6D;AAC7D,MAAM,SAAS,GAAG,CAAC,KAAa,EAAU,EAAE,CAAC,CAAC,GAAG,UAAU,CAAC,KAAK,CAAC,GAAG,KAAK,CAAA;AAE1E,uDAAuD;AACvD,MAAM,UAAU,GAAG,CAAC,KAAa,EAAU,EAAE;IAC3C,MAAM,KAAK,GAAG,MAAM,CAAC,UAAU,CAAC,KAAK,EAAE,MAAM,CAAC,CAAA;IAC9C,OAAO,KAAK,KAAK,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,SAAS,CAAC,KAAK,CAAC,CAAA;AAC3C,CAAC,CAAA;AAED,yEAAyE;AACzE,MAAM,YAAY,GAAG,CAAC,GAAW,EAAE,KAAa,EAAU,EAAE,CAC1D,SAAS,CAAC,UAAU,CAAC,GAAG,CAAC,GAAG,CAAC,KAAK,KAAK,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,SAAS,CAAC,KAAK,CAAC,CAAC,CAAC,CAAA;AAEnE,qDAAqD;AACrD,MAAM,kBAAkB,GAAG,CAAC,QAAgD,EAAU,EAAE,CACtF,UAAU,CAAC,QAAQ,CAAC,MAAM,IAAI,EAAE,CAAC,GAAG,UAAU,CAAC,QAAQ,CAAC,QAAQ,IAAI,EAAE,CAAC,CAAA;AAEzE,0EAA0E;AAC1E,SAAS,WAAW,CAAC,OAAY;IAC/B,IAAI,CAAC,OAAO;QAAE,OAAO,CAAC,CAAA;IACtB,IAAI,OAAO,CAAC,IAAI;QAAE,OAAO,CAAC,CAAA;IAC1B,IAAI,OAAO,CAAC,eAAe;QAAE,OAAO,SAAS,CAAC,kBAAkB,CAAC,OAAO,CAAC,eAAe,CAAC,CAAC,CAAA;IAC1F,IAAI,OAAO,CAAC,cAAc,EAAE,CAAC;QAC3B,MAAM,EAAE,QAAQ,EAAE,eAAe,EAAE,GAAG,OAAO,CAAC,cAAc,CAAA;QAC5D,OAAO,SAAS,CAAC,SAAS,CAAC,kBAAkB,CAAC,QAAQ,CAAC,CAAC,GAAG,SAAS,CAAC,kBAAkB,CAAC,eAAe,CAAC,CAAC,CAAC,CAAA;IAC5G,CAAC;IACD,MAAM,QAAQ,GAAG,OAAO,CAAC,KAAK,IAAI,OAAO,CAAC,YAAY,CAAA;IACtD,IAAI,QAAQ,EAAE,CAAC;QACb,OAAO,SAAS,CAAC,QAAQ,CAAC,KAAK,CAAC,MAAM,CAAC,CAAC,KAAa,EAAE,KAAU,EAAE,EAAE,CAAC,KAAK,GAAG,SAAS,CAAC,WAAW,CAAC,KAAK,CAAC,CAAC,EAAE,CAAC,CAAC,CAAC,CAAA;IAClH,CAAC;IACD,IAAI,OAAO,CAAC,UAAU,EAAE,CAAC;QACvB,OAAO,SAAS,CAAC,SAAS,CAAC,WAAW,CAAC,OAAO,CAAC,UAAU,CAAC,IAAI,CAAC,CAAC,GAAG,SAAS,CAAC,WAAW,CAAC,OAAO,CAAC,UAAU,CAAC,QAAQ,CAAC,CAAC,CAAC,CAAA;IACzH,CAAC;IACD,OAAO,CAAC,CAAA;AACV,CAAC;AAED,oFAAoF;AACpF,SAAS,qBAAqB,CAAC,SAAc;IAC3C,IAAI,KAAK,GAAG,UAAU,CAAC,SAAS,CAAC,IAAI,CAAC,CAAA;IACtC,IAAI,SAAS,CAAC,QAAQ;QAAE,KAAK,IAAI,UAAU,CAAC,SAAS,CAAC,QAAQ,CAAC,CAAA;IAC/D,IAAI,SAAS,CAAC,QAAQ;QAAE,KAAK,IAAI,CAAC,CAAA;IAClC,IAAI,SAAS,CAAC,SAAS;QAAE,KAAK,IAAI,UAAU,CAAC,SAAS,CAAC,SAAS,CAAC,CAAA;IACjE,OAAO,KAAK,CAAA;AACd,CAAC;AAED;;;;GAIG;AACH,MAAM,UAAU,eAAe,CAAC,KAAU;IACxC,IAAI,KAAK,GAAG,SAAS,CAAC,EAAE,CAAC,GAAG,UAAU,CAAC,KAAK,CAAC,cAAc,CAAC,CAAA;IAC5D,KAAK,MAAM,UAAU,IAAI,KAAK,CAAC,gBAAgB,EAAE,CAAC;QAChD,IAAI,KAAK,GAAG,UAAU,CAAC,UAAU,CAAC,IAAI,CAAC,CAAA;QACvC,KAAK,MAAM,CAAC,IAAI,EAAE,OAAO,CAAC,IAAI,MAAM,CAAC,OAAO,CAAC,UAAU,CAAC,SAAS,IAAI,EAAE,CAAC,EAAE,CAAC;YACzE,KAAK,IAAI,YAAY,CAAC,IAAI,EAAE,WAAW,CAAC,OAAO,CAAC,CAAC,CAAA;QACnD,CAAC;QACD,IAAI,UAAU,CAAC,QAAQ,EAAE,CAAC;YACxB,IAAI,QAAQ,GAAG,CAAC,CAAA;YAChB,KAAK,MAAM,CAAC,IAAI,EAAE,QAAQ,CAAC,IAAI,MAAM,CAAC,OAAO,CAAM,UAAU,CAAC,QAAQ,CAAC,SAAS,IAAI,EAAE,CAAC,EAAE,CAAC;gBACxF,MAAM,KAAK,GAAG,CAAC,QAAQ,CAAC,2BAA2B,IAAI,EAAE,CAAC,CAAC,MAAM,CAC/D,CAAC,GAAW,EAAE,SAAc,EAAE,EAAE,CAAC,GAAG,GAAG,SAAS,CAAC,qBAAqB,CAAC,SAAS,CAAC,CAAC,EAClF,CAAC,CACF,CAAA;gBACD,QAAQ,IAAI,YAAY,CAAC,IAAI,EAAE,KAAK,CAAC,CAAA;YACvC,CAAC;YACD,KAAK,IAAI,SAAS,CAAC,QAAQ,CAAC,CAAA;QAC9B,CAAC;QACD,KAAK,IAAI,SAAS,CAAC,KAAK,CAAC,CAAA;IAC3B,CAAC;IACD,KAAK,MAAM,CAAC,IAAI,EAAE,SAAS,CAAC,IAAI,MAAM,CAAC,OAAO,CAAM,KAAK,CAAC,UAAU,IAAI,EAAE,CAAC,EAAE,CAAC;QAC5E,IAAI,KAAK,GAAG,UAAU,CAAC,SAAS,CAAC,IAAI,CAAC,GAAG,UAAU,CAAC,SAAS,CAAC,UAAU,CAAC,CAAA;QACzE,KAAK,MAAM,SAAS,IAAI,MAAM,CAAC,IAAI,CAAC,SAAS,CAAC,UAAU,IAAI,EAAE,CAAC,EAAE,CAAC;YAChE,oEAAoE;YACpE,KAAK,IAAI,YAAY,CAAC,SAAS,EAAE,CAAC,CAAC,CAAA;QACrC,CAAC;QACD,KAAK,IAAI,YAAY,CAAC,IAAI,EAAE,KAAK,CAAC,CAAA;IACpC,CAAC;IACD,OAAO,KAAK,CAAA;AACd,CAAC;AAED;;;;;;;;;GASG;AACH,MAAM,UAAU,2BAA2B,CACzC,aAA4B,EAC5B,WAA8B,EAC9B,IAAgC,EAChC,eAAsC;IAEtC,2EAA2E;IAC3E,6DAA6D;IAC7D,6EAA6E;IAC7E,yEAAyE;IACzE,oCAAoC;IACpC,MAAM,KAAK,GAAG,iBAAiB,CAAC,aAAa,EAAE,WAAW,EAAE,eAAe,CAAC,CAAA;IAC5E,MAAM,KAAK,GAAG,eAAe,CAAC,KAAK,CAAC,CAAA;IACpC,IAAI,KAAK,GAAG,qBAAqB,EAAE,CAAC;QAClC,MAAM,IAAI,kBAAkB,CAC1B,6DAA6D,WAAW,CAAC,MAAM,YAAY;YACzF,YAAY,KAAK,yBAAyB,qBAAqB,IAAI;YACnE,8HAA8H,CACjI,CAAA;IACH,CAAC;IACD,IAAI,IAAI,IAAI,KAAK,IAAI,qBAAqB,GAAG,sBAAsB,EAAE,CAAC;QACpE,IAAI,CACF,0CAA0C,KAAK,OAAO,qBAAqB,SAAS;YAClF,IAAI,IAAI,CAAC,KAAK,CAAC,CAAC,KAAK,GAAG,qBAAqB,CAAC,GAAG,GAAG,CAAC,OAAO,WAAW,CAAC,MAAM,cAAc;YAC5F,qDAAqD,CACxD,CAAA;IACH,CAAC;IACD,OAAO,EAAE,KAAK,EAAE,WAAW,EAAE,WAAW,CAAC,MAAM,EAAE,CAAA;AACnD,CAAC;AAED,yFAAyF;AACzF,MAAM,UAAU,iBAAiB,CAAC,IAAY,EAAE,EAAU;IACxD,IAAI,EAAE,CAAC,MAAM,GAAG,iBAAiB,EAAE,CAAC;QAClC,MAAM,IAAI,oBAAoB,CAC5B,8BAA8B,IAAI,OAAO,EAAE,CAAC,KAAK,CAAC,CAAC,EAAE,EAAE,CAAC,YAAY,EAAE,CAAC,MAAM,cAAc;YACzF,gBAAgB,iBAAiB,GAAG,CACvC,CAAA;IACH,CAAC;AACH,CAAC;AAWD;;;;;;;;;GASG;AACH,MAAM,UAAU,kBAAkB,CAChC,KAAuC,EACvC,aAA4B;IAE5B,iBAAiB,CAAC,aAAa,CAAC,CAAA;IAChC,MAAM,WAAW,GAAG,MAAM,CAAC,MAAM,CAAC,aAAa,CAAC,CAAA;IAChD,MAAM,MAAM,GAAwB,EAAE,CAAA;IACtC,KAAK,MAAM,IAAI,IAAI,KAAK,EAAE,CAAC;QACzB,MAAM,MAAM,GAAG,GAAG,eAAe,IAAI,IAAI,CAAC,IAAI,EAAE,CAAA;QAChD,iBAAiB,CAAC,eAAe,EAAE,MAAM,CAAC,CAAA;QAC1C,KAAK,MAAM,UAAU,IAAI,IAAI,CAAC,WAAW,EAAE,CAAC;YAC1C,MAAM,EAAE,OAAO,EAAE,GAAG,gBAAgB,CAAC,UAAU,CAAC,CAAA;YAChD,KAAK,MAAM,UAAU,IAAI,WAAW,EAAE,CAAC;gBACrC,MAAM,CAAC,IAAI,CAAC,EAAE,IAAI,EAAE,GAAG,UAAU,IAAI,EAAE,QAAQ,EAAE,OAAO,EAAE,MAAM,EAAE,CAAC,CAAA;YACrE,CAAC;QACH,CAAC;IACH,CAAC;IACD,OAAO,MAAM,CAAA;AACf,CAAC;AAED,4EAA4E;AAC5E,MAAM,UAAU,YAAY,CAAC,KAAwB;IACnD,OAAO,GAAG,KAAK,CAAC,IAAI,IAAI,KAAK,CAAC,QAAQ,IAAI,KAAK,CAAC,MAAM,EAAE,CAAA;AAC1D,CAAC;AAED,+EAA+E;AAE/E,kFAAkF;AAClF,MAAM,CAAC,MAAM,gBAAgB,GAAG,OAAO,CAAA;AAEvC,+EAA+E;AAC/E,MAAM,CAAC,MAAM,qBAAqB,GAAG,QAAQ,CAAA;AAS7C;;;;;;GAMG;AACH,MAAM,UAAU,gBAAgB,CAAC,GAAW;IAC1C,MAAM,MAAM,GAAG,GAAG,gBAAgB,IAAI,GAAG,EAAE,CAAA;IAC3C,iBAAiB,CAAC,gBAAgB,EAAE,MAAM,CAAC,CAAA;IAC3C,OAAO,MAAM,CAAA;AACf,CAAC;AAED;;;;GAIG;AACH,MAAM,UAAU,gBAAgB,CAAC,QAAgB,EAAE,SAAiB;IAClE,OAAO;QACL,IAAI,EAAE,gBAAgB,CAAC,SAAS,CAAC;QACjC,QAAQ,EAAE,qBAAqB;QAC/B,MAAM,EAAE,gBAAgB,CAAC,QAAQ,CAAC;KACnC,CAAA;AACH,CAAC;AAED;;;;;;;;;;;;;;;;;GAiBG;AACH,MAAM,UAAU,eAAe,CAAC,aAA4B;IAC1D,iBAAiB,CAAC,aAAa,CAAC,CAAA;IAChC,OAAO,MAAM,CAAC,MAAM,CAAC,aAAa,CAAC,CAAC,GAAG,CAAC,CAAC,IAAI,EAAE,EAAE,CAAC,CAAC;QACjD,IAAI,EAAE,GAAG,IAAI,IAAI;QACjB,QAAQ,EAAE,qBAAqB;QAC/B,MAAM,EAAE,gBAAgB,CAAC,cAAc,CAAC;KACzC,CAAC,CAAC,CAAA;AACL,CAAC;AAED,+EAA+E;AAE/E,2EAA2E;AAC3E,MAAM,CAAC,MAAM,kBAAkB,GAAG,cAAc,CAAA;AAEhD,iFAAiF;AACjF,MAAM,CAAC,MAAM,sBAAsB,GAAG,SAAS,CAAA;AAE/C,6EAA6E;AAC7E,MAAM,CAAC,MAAM,mBAAmB,GAAG,MAAM,CAAA;AAEzC,mFAAmF;AACnF,MAAM,CAAC,MAAM,uBAAuB,GAAG,UAAU,CAAA;AAEjD;;;;;GAKG;AACH,MAAM,UAAU,kBAAkB,CAAC,aAAqB,EAAE,QAAgB;IACxE,MAAM,MAAM,GAAG,GAAG,kBAAkB,IAAI,aAAa,IAAI,QAAQ,EAAE,CAAA;IACnE,iBAAiB,CAAC,kBAAkB,EAAE,MAAM,CAAC,CAAA;IAC7C,OAAO,MAAM,CAAA;AACf,CAAC;AAED;;;;;;;;;;GAUG;AACH,MAAM,UAAU,kBAAkB,CAAC,aAAqB,EAAE,QAAgB;IACxE,MAAM,MAAM,GAAG,kBAAkB,CAAC,aAAa,EAAE,QAAQ,CAAC,CAAA;IAC1D,MAAM,IAAI,GAAG,GAAG,eAAe,IAAI,QAAQ,EAAE,CAAA;IAC7C,iBAAiB,CAAC,eAAe,EAAE,IAAI,CAAC,CAAA;IACxC,OAAO;QACL,EAAE,IAAI,EAAE,IAAI,EAAE,QAAQ,EAAE,mBAAmB,EAAE,MAAM,EAAE;QACrD,sBAAsB,CAAC,aAAa,EAAE,QAAQ,CAAC;KAChD,CAAA;AACH,CAAC;AAED;;;;;;;;;;;;;GAaG;AACH,MAAM,UAAU,sBAAsB,CAAC,aAAqB,EAAE,QAAgB;IAC5E,OAAO;QACL,IAAI,EAAE,kBAAkB,CAAC,aAAa,EAAE,QAAQ,CAAC;QACjD,QAAQ,EAAE,sBAAsB;QAChC,MAAM,EAAE,gBAAgB,CAAC,aAAa,CAAC;KACxC,CAAA;AACH,CAAC;AAED;;;;;GAKG;AACH,MAAM,UAAU,cAAc,CAAC,aAAqB,EAAE,UAAkB,EAAE,IAAY;IACpF,OAAO;QACL,IAAI;QACJ,QAAQ,EAAE,gBAAgB,CAAC,UAAU,CAAC,CAAC,MAAM;QAC7C,MAAM,EAAE,gBAAgB,CAAC,aAAa,CAAC;KACxC,CAAA;AACH,CAAC;AAED,oFAAoF;AACpF,MAAM,CAAC,MAAM,mBAAmB,GAAG,SAAS,CAAA;AAE5C,gFAAgF;AAEhF;;;;;GAKG;AACH,MAAM,CAAC,MAAM,gBAAgB,GAAG,OAAO,CAAA;AAEvC,mGAAmG;AACnG,MAAM,CAAC,MAAM,2BAA2B,GAAG,QAAQ,CAAA;AAEnD;;;;;;GAMG;AACH,OAAO,EAAE,oBAAoB,EAAE,MAAM,gBAAgB,CAAA;AAiCrD;;;;;;;;;;;;;;;;GAgBG;AACH,MAAM,UAAU,gCAAgC,CAC9C,mBAA8C,EAC9C,MAA4B,EAC5B,WAA8B;IAE9B,0EAA0E;IAC1E,gEAAgE;IAChE,8EAA8E;IAC9E,2EAA2E;IAC3E,sEAAsE;IACtE,MAAM,MAAM,GAAG,IAAI,GAAG,CAAiB,aAAa,CAAC,CAAA;IACrD,KAAK,MAAM,CAAC,IAAI,mBAAmB,EAAE,CAAC;QACpC,KAAK,MAAM,IAAI,IAAI,CAAC,CAAC,CAAC,IAAI,EAAE,CAAC,CAAC,GAAG,EAAE,CAAC,CAAC,MAAM,EAAE,CAAC,CAAC,OAAO,CAAC,EAAE,CAAC;YACxD,MAAM,CAAC,GAAG,CAAC,IAAI,EAAE,eAAe,CAAC,CAAC,UAAU,GAAG,CAAC,CAAA;QAClD,CAAC;IACH,CAAC;IAED,MAAM,aAAa,GAAG,IAAI,GAAG,CAAS,CAAC,GAAG,oBAAoB,EAAE,GAAG,WAAW,CAAC,CAAC,CAAA;IAChF,MAAM,SAAS,GAAG,IAAI,GAAG,EAAU,CAAA;IACnC,MAAM,aAAa,GAAG,IAAI,GAAG,EAAU,CAAA;IAEvC,KAAK,MAAM,UAAU,IAAI,MAAM,CAAC,WAAW,EAAE,CAAC;QAC5C,MAAM,IAAI,GAAG,UAAU,EAAE,IAAI,CAAA;QAC7B,IAAI,OAAO,IAAI,KAAK,QAAQ,IAAI,CAAC,eAAe,CAAC,IAAI,CAAC,IAAI,CAAC,EAAE,CAAC;YAC5D,MAAM,IAAI,mBAAmB,CAC3B,0CAA0C,IAAI,CAAC,SAAS,CAAC,IAAI,CAAC,4BAA4B;gBACxF,oDAAoD,CACvD,CAAA;QACH,CAAC;QACD,IAAI,aAAa,CAAC,GAAG,CAAC,IAAI,CAAC,EAAE,CAAC;YAC5B,MAAM,IAAI,mBAAmB,CAC3B,oCAAoC,IAAI,0DAA0D;gBAChG,IAAI,CAAC,GAAG,oBAAoB,CAAC,CAAC,IAAI,CAAC,IAAI,CAAC,GAAG,WAAW,CAAC,MAAM,CAAC,CAAC,CAAC,uBAAuB,GAAG,WAAW,CAAC,IAAI,CAAC,IAAI,CAAC,CAAC,CAAC,CAAC,EAAE,KAAK;gBAC1H,iGAAiG,CACpG,CAAA;QACH,CAAC;QACD,IAAI,SAAS,CAAC,GAAG,CAAC,IAAI,CAAC,EAAE,CAAC;YACxB,MAAM,IAAI,mBAAmB,CAAC,oCAAoC,IAAI,6BAA6B,CAAC,CAAA;QACtG,CAAC;QACD,SAAS,CAAC,GAAG,CAAC,IAAI,CAAC,CAAA;QAEnB,MAAM,GAAG,GAAG,IAAI,GAAG,EAAU,CAAA;QAC7B,KAAK,MAAM,QAAQ,IAAI,UAAU,CAAC,SAAS,IAAI,EAAE,EAAE,CAAC;YAClD,MAAM,IAAI,GAAG,QAAQ,EAAE,IAAI,CAAA;YAC3B,IAAI,OAAO,IAAI,KAAK,QAAQ,IAAI,CAAC,eAAe,CAAC,IAAI,CAAC,IAAI,CAAC,EAAE,CAAC;gBAC5D,MAAM,IAAI,mBAAmB,CAC3B,iCAAiC,IAAI,MAAM,IAAI,CAAC,SAAS,CAAC,IAAI,CAAC,sCAAsC,CACtG,CAAA;YACH,CAAC;YACD,GAAG,CAAC,GAAG,CAAC,IAAI,CAAC,CAAA;YACb,aAAa,CAAC,GAAG,CAAC,IAAI,CAAC,CAAA;QACzB,CAAC;QACD,4EAA4E;QAC5E,KAAK,MAAM,QAAQ,IAAI,UAAU,CAAC,SAAS,IAAI,EAAE,EAAE,CAAC;YAClD,KAAK,MAAM,QAAQ,IAAI,QAAQ,CAAC,QAAQ,IAAI,EAAE,EAAE,CAAC;gBAC/C,IAAI,CAAC,GAAG,CAAC,GAAG,CAAC,QAAQ,CAAC,EAAE,CAAC;oBACvB,MAAM,IAAI,mBAAmB,CAC3B,gBAAgB,IAAI,IAAI,QAAQ,CAAC,IAAI,cAAc,QAAQ,iCAAiC,IAAI,KAAK;wBACnG,uEAAuE,CAC1E,CAAA;gBACH,CAAC;YACH,CAAC;QACH,CAAC;IACH,CAAC;IAED,KAAK,MAAM,IAAI,IAAI,aAAa,EAAE,CAAC;QACjC,IAAI,IAAI,CAAC,MAAM,GAAG,qBAAqB,EAAE,CAAC;YACxC,MAAM,IAAI,mBAAmB,CAC3B,gBAAgB,IAAI,WAAW,IAAI,CAAC,MAAM,4BAA4B,qBAAqB,GAAG,CAC/F,CAAA;QACH,CAAC;QACD,MAAM,MAAM,GAAG,sBAAsB,CAAC,IAAI,CAAC,CAAC,MAAM,EAAE,EAAE,CAAC,IAAI,CAAC,UAAU,CAAC,MAAM,CAAC,CAAC,CAAA;QAC/E,IAAI,MAAM,EAAE,CAAC;YACX,MAAM,IAAI,mBAAmB,CAC3B,gBAAgB,IAAI,kBAAkB,MAAM,8DAA8D;gBACxG,UAAU,sBAAsB,CAAC,IAAI,CAAC,IAAI,CAAC,sDAAsD,CACpG,CAAA;QACH,CAAC;QACD,MAAM,KAAK,GAAG,MAAM,CAAC,GAAG,CAAC,IAAI,CAAC,CAAA;QAC9B,IAAI,KAAK,KAAK,SAAS,EAAE,CAAC;YACxB,MAAM,IAAI,mBAAmB,CAC3B,uEAAuE,IAAI,eAAe,KAAK,GAAG;gBAChG,gGAAgG;gBAChG,oGAAoG,CACvG,CAAA;QACH,CAAC;IACH,CAAC;AACH,CAAC;AAED;;;;;;;;;GASG;AACH,MAAM,UAAU,4BAA4B,CAC1C,mBAA8C,EAC9C,MAA4B,EAC5B,WAA8B;IAE9B,gCAAgC,CAAC,mBAAmB,EAAE,MAAM,EAAE,WAAW,CAAC,CAAA;IAE1E,MAAM,MAAM,GAAG,WAAW,CAAC,GAAG,CAAC,CAAC,IAAI,EAAE,EAAE,CAAC,CAAC,EAAE,IAAI,EAAE,CAAC,CAAC,CAAA;IACpD,kFAAkF;IAClF,MAAM,cAAc,GAAG,CAAC,GAAG,MAAM,EAAE,EAAE,IAAI,EAAE,gBAAgB,EAAE,QAAQ,EAAE,2BAA2B,EAAE,CAAC,CAAA;IAErG,MAAM,WAAW,GAAU;QACzB;YACE,IAAI,EAAE,gBAAgB;YACtB,SAAS,EAAE,EAAE,CAAC,2BAA2B,CAAC,EAAE,EAAE,IAAI,EAAE,EAAE,EAAE,EAAE;YAC1D,QAAQ,EAAE;gBACR,SAAS,EAAE,EAAE,CAAC,2BAA2B,CAAC,EAAE,EAAE,2BAA2B,EAAE,cAAc,EAAE,EAAE;aAC9F;SACF;KACF,CAAA;IAED,KAAK,MAAM,UAAU,IAAI,MAAM,CAAC,WAAW,EAAE,CAAC;QAC5C,MAAM,SAAS,GAA4B,EAAE,CAAA;QAC7C,MAAM,QAAQ,GAA4B,EAAE,CAAA;QAC5C,KAAK,MAAM,QAAQ,IAAI,UAAU,CAAC,SAAS,EAAE,CAAC;YAC5C,MAAM,QAAQ,GAAG,QAAQ,CAAC,QAAQ,IAAI,EAAE,CAAA;YACxC,SAAS,CAAC,QAAQ,CAAC,IAAI,CAAC,GAAG,QAAQ,CAAC,MAAM;gBACxC,CAAC,CAAC,EAAE,KAAK,EAAE,EAAE,KAAK,EAAE,CAAC,EAAE,IAAI,EAAE,EAAE,EAAE,EAAE,GAAG,QAAQ,CAAC,GAAG,CAAC,CAAC,IAAI,EAAE,EAAE,CAAC,QAAQ,CAAC,IAAI,CAAC,CAAC,CAAC,EAAE,EAAE;gBACjF,CAAC,CAAC,EAAE,IAAI,EAAE,EAAE,EAAE,CAAA;YAChB,QAAQ,CAAC,QAAQ,CAAC,IAAI,CAAC,GAAG,EAAE,2BAA2B,EAAE,cAAc,EAAE,CAAA;QAC3E,CAAC;QACD,WAAW,CAAC,IAAI,CAAC,EAAE,IAAI,EAAE,UAAU,CAAC,IAAI,EAAE,SAAS,EAAE,QAAQ,EAAE,EAAE,SAAS,EAAE,QAAQ,EAAE,EAAE,CAAC,CAAA;IAC3F,CAAC;IAED,OAAO,WAAW,CAAA;AACpB,CAAC"}

package/build/src/drivers/openfga_relations_driver.d.ts

@@ -0,0 +1,120 @@
+import type { RelObject, RelSubject, RelationObjectsPage, RelationSubjectsPage, RelationPage, RelationTuplePage, RelationsDriver, RelationsDriverCapabilities, RelationWriteOptions, ScopeRef } from '../types.js';
+import type { HolderTypeMap } from './openfga_driver.js';
+import type { RelationsConfig } from '../relations/define_relations_config.js';
+export declare const DEFAULT_TIMEOUT_MS = 5000;
+export interface OpenFgaRelationsDriverOptions {
+    apiUrl: string;
+    storeId: string;
+    /** Pin del model FUSIONADO; si se omite, FGA usa el último del store. */
+    modelId?: string;
+    /** Holders del consumidor: morph name → tipo FGA. El MISMO mapa del driver de roles. */
+    holderTypes: HolderTypeMap;
+    /** Deadline de cada llamada en ms (default 5000): vencido ⇒ 503. */
+    timeoutMs?: number;
+    /** Consistencia pedida al servidor (default `higher_consistency`, como el driver de roles). */
+    consistency?: 'higher_consistency' | 'minimize_latency';
+    /**
+     * El tope de `ListObjects` del servidor (`OPENFGA_LIST_OBJECTS_MAX_RESULTS`).
+     * Default 1000 (el default de OpenFGA). Cuando `listObjects` recibe `>= este`
+     * resultados, señala `truncated: true`. Ponlo igual que el del servidor.
+     */
+    listObjectsMaxResults?: number;
+    /** Dónde avisar de tuplas del store que el driver no puede parsear. */
+    logger?: {
+        warn(message: string): void;
+    };
+}
+export declare class OpenFgaRelationsDriver implements RelationsDriver {
+    #private;
+    /**
+     * Lo que declara (cada valor tiene su cara en `runRelationsDriverContract`):
+     *  - `singleCheckRelations: true`: `check` es UN solo `Check` (el modelo
+     *    resuelve includes + usersets del lado del servidor).
+     *  - `listObjectsInherited: false`: `list*` no abren el subárbol de
+     *    particiones (invariante 7); `ListObjects` sí resuelve la derivación del
+     *    modelo (includes/usersets), que es «directos + derivados», no herencia
+     *    de scopes.
+     *  - `usersetSubjects: true`: `listSubjects` (`Read`) trae los usersets
+     *    directos (`group#member`) junto con los holders.
+     *  - `membersOfNative: false`: la membresía TRANSITIVA sería `ListUsers`, que
+     *    trunca al tope del servidor; se declara 500 `E_AUTHZ_UNSUPPORTED`, jamás
+     *    un userset enumerado a medias (par de `purgeRole` de la 3b).
+     *  - `enumerateRelations: true` (4-5): es ORIGEN de `authz:reconcile` de
+     *    relaciones — lee el store ENTERO (`Read({})`, la única forma de ver todo
+     *    sin filtro por user u objeto: un `Read` por tipo-solo sin user es un 400)
+     *    y devuelve SOLO las tuplas de relación de la partición (tipo declarado o
+     *    `group`), descartando las de `facts` (scope/role/role_binding).
+     *  - `listObjectsTruncation: true`: `ListObjects` trunca al tope del servidor
+     *    y este driver lo SEÑALA (medido contra el `:8103` de tope 3).
+     */
+    readonly capabilities: RelationsDriverCapabilities;
+    private readonly client;
+    readonly diagnostics: {
+        unparseableTuples: number;
+    };
+    constructor(config: RelationsConfig, options: OpenFgaRelationsDriverOptions);
+    relate(subject: RelSubject, relation: string, object: RelObject, partition: ScopeRef, _options?: RelationWriteOptions): Promise<void>;
+    unrelate(subject: RelSubject, relation: string, object: RelObject, partition: ScopeRef, _options?: RelationWriteOptions): Promise<void>;
+    /** `check` = UN solo `Check` (el modelo resuelve includes + usersets). */
+    check(subject: RelSubject, relation: string, object: RelObject, partition: ScopeRef): Promise<boolean>;
+    /**
+     * `listObjects` = `ListObjects` (resuelve includes + usersets del lado del
+     * servidor) + FILTRO por partición + señal de TRUNCADO. `ListObjects` corta
+     * al tope del servidor sin `continuation_token` ni bandera, así que el
+     * truncado se detecta comparando el número de resultados CRUDOS con el tope
+     * configurado (`listObjectsMaxResults`): `>= tope` ⇒ no se puede prometer la
+     * lista completa ⇒ `truncated: true`. El filtro por partición se aplica
+     * DESPUÉS (los ids llevan la partición), así que en un store con varias
+     * particiones el tope se consume entre todas — otra razón para señalar el
+     * truncado y no callar (documentado en el README).
+     */
+    listObjects(subject: RelSubject, relation: string, objectType: string, partition: ScopeRef, _page?: RelationPage): Promise<RelationObjectsPage>;
+    /**
+     * `listSubjects` = `Read` por `(object, relation)` — hechos DIRECTOS del
+     * relation EXACTO (invariante 7): ni transitivo (eso es `membersOf`) ni
+     * derivado por includes. `usersetSubjects: true` ⇒ los usersets
+     * (`group#member`) salen junto con los holders.
+     */
+    listSubjects(relation: string, object: RelObject, partition: ScopeRef, _page?: RelationPage): Promise<RelationSubjectsPage>;
+    /**
+     * **`membersOf` ⇒ 500 `E_AUTHZ_UNSUPPORTED`** (cara `whenFalse`): la
+     * membresía TRANSITIVA de un grupo sería `ListUsers`, que trunca al tope del
+     * servidor sin señal fiable. No hay userset transitivo enumerable aquí; se
+     * dice con 500 nombrándolo, jamás un userset a medias. Es el análogo del par
+     * `purgeRole` de la 3b. (El método existe en el prototipo para que el manager
+     * lo despache, pero la capacidad `membersOfNative: false` lo corta antes.)
+     */
+    membersOf(): Promise<RelationSubjectsPage>;
+    /**
+     * **`enumerateRelations` — el ORIGEN de `authz:reconcile` de relaciones**
+     * (4-5). Lee el store ENTERO (`Read({})`) —la única forma de ver todo sin un
+     * filtro por `user` u `object`, que un `Read` por tipo-solo sin user
+     * rechazaría con 400— y devuelve SOLO las tuplas de relación de la partición
+     * pedida: tipo `group` o un tipo declarado en la config, DESCARTANDO las de
+     * `facts` (`scope`/`role`/`role_binding`, que no llevan la partición en el id
+     * con la forma `<key>|<uuid>` de relaciones —o cuyo tipo no está declarado—).
+     *
+     * `truncated`/paginación: `enumerateRelations` agota el `Read` (exhaustivo,
+     * como `listSubjects`/`purge*`), así que devuelve TODO en una página sin
+     * cursor —el reconcile itera hasta que no hay cursor—. Es el ORIGEN de una
+     * migración: una tupla que no llegara aquí desaparecería sin rastro.
+     */
+    enumerateRelations(partition: ScopeRef, _page?: RelationPage): Promise<RelationTuplePage>;
+    /**
+     * Borra TODAS las tuplas del objeto (cualquier relación) y demuestra cero.
+     * Barre las DOS ortografías del uuid de partición (🟡2, paridad con
+     * `database`): un motor que funda `aaa…` con `aaa-…` dejaría la fila del
+     * alias concediendo tras una purga «exitosa». Si tras borrar quedan tuplas
+     * ⇒ 500 `E_AUTHZ_PURGE_INCOMPLETE`.
+     */
+    purgeObject(object: RelObject, partition: ScopeRef): Promise<void>;
+    /**
+     * Borra TODAS las tuplas cuyo SUJETO es este subject en la partición, en
+     * cualquier tipo de objeto declarado, y demuestra cero. `Read` exige un
+     * filtro de objeto (un `Read` solo por `user` es un 400 del servidor), así
+     * que se recorre cada tipo declarado (`group` + los del consumidor) con
+     * `Read({ user, object: '<type>:' })`.
+     */
+    purgeSubject(subject: RelSubject, partition: ScopeRef): Promise<void>;
+}
+//# sourceMappingURL=openfga_relations_driver.d.ts.map

package/build/src/drivers/openfga_relations_driver.d.ts.map

@@ -0,0 +1 @@
+{"version":3,"file":"openfga_relations_driver.d.ts","sourceRoot":"","sources":["../../../src/drivers/openfga_relations_driver.ts"],"names":[],"mappings":"AAiDA,OAAO,KAAK,EACV,SAAS,EACT,UAAU,EACV,mBAAmB,EACnB,oBAAoB,EACpB,YAAY,EAEZ,iBAAiB,EACjB,eAAe,EACf,2BAA2B,EAC3B,oBAAoB,EACpB,QAAQ,EAET,MAAM,aAAa,CAAA;AACpB,OAAO,KAAK,EAAE,aAAa,EAAE,MAAM,qBAAqB,CAAA;AAExD,OAAO,KAAK,EAAE,eAAe,EAAE,MAAM,yCAAyC,CAAA;AAE9E,eAAO,MAAM,kBAAkB,OAAQ,CAAA;AAgCvC,MAAM,WAAW,6BAA6B;IAC5C,MAAM,EAAE,MAAM,CAAA;IACd,OAAO,EAAE,MAAM,CAAA;IACf,yEAAyE;IACzE,OAAO,CAAC,EAAE,MAAM,CAAA;IAChB,wFAAwF;IACxF,WAAW,EAAE,aAAa,CAAA;IAC1B,oEAAoE;IACpE,SAAS,CAAC,EAAE,MAAM,CAAA;IAClB,+FAA+F;IAC/F,WAAW,CAAC,EAAE,oBAAoB,GAAG,kBAAkB,CAAA;IACvD;;;;OAIG;IACH,qBAAqB,CAAC,EAAE,MAAM,CAAA;IAC9B,uEAAuE;IACvE,MAAM,CAAC,EAAE;QAAE,IAAI,CAAC,OAAO,EAAE,MAAM,GAAG,IAAI,CAAA;KAAE,CAAA;CACzC;AAED,qBAAa,sBAAuB,YAAW,eAAe;;IAC5D;;;;;;;;;;;;;;;;;;;;OAoBG;IACH,QAAQ,CAAC,YAAY,EAAE,2BAA2B,CAOhD;IAEF,OAAO,CAAC,QAAQ,CAAC,MAAM,CAAgB;IASvC,QAAQ,CAAC,WAAW;;MAA2B;gBAEnC,MAAM,EAAE,eAAe,EAAE,OAAO,EAAE,6BAA6B;IA+GrE,MAAM,CACV,OAAO,EAAE,UAAU,EACnB,QAAQ,EAAE,MAAM,EAChB,MAAM,EAAE,SAAS,EACjB,SAAS,EAAE,QAAQ,EACnB,QAAQ,CAAC,EAAE,oBAAoB,GAC9B,OAAO,CAAC,IAAI,CAAC;IAYV,QAAQ,CACZ,OAAO,EAAE,UAAU,EACnB,QAAQ,EAAE,MAAM,EAChB,MAAM,EAAE,SAAS,EACjB,SAAS,EAAE,QAAQ,EACnB,QAAQ,CAAC,EAAE,oBAAoB,GAC9B,OAAO,CAAC,IAAI,CAAC;IAahB,0EAA0E;IACpE,KAAK,CAAC,OAAO,EAAE,UAAU,EAAE,QAAQ,EAAE,MAAM,EAAE,MAAM,EAAE,SAAS,EAAE,SAAS,EAAE,QAAQ,GAAG,OAAO,CAAC,OAAO,CAAC;IAW5G;;;;;;;;;;OAUG;IACG,WAAW,CACf,OAAO,EAAE,UAAU,EACnB,QAAQ,EAAE,MAAM,EAChB,UAAU,EAAE,MAAM,EAClB,SAAS,EAAE,QAAQ,EACnB,KAAK,CAAC,EAAE,YAAY,GACnB,OAAO,CAAC,mBAAmB,CAAC;IAuB/B;;;;;OAKG;IACG,YAAY,CAChB,QAAQ,EAAE,MAAM,EAChB,MAAM,EAAE,SAAS,EACjB,SAAS,EAAE,QAAQ,EACnB,KAAK,CAAC,EAAE,YAAY,GACnB,OAAO,CAAC,oBAAoB,CAAC;IAchC;;;;;;;OAOG;IACG,SAAS,IAAI,OAAO,CAAC,oBAAoB,CAAC;IAYhD;;;;;;;;;;;;;OAaG;IACG,kBAAkB,CAAC,SAAS,EAAE,QAAQ,EAAE,KAAK,CAAC,EAAE,YAAY,GAAG,OAAO,CAAC,iBAAiB,CAAC;IA6B/F;;;;;;OAMG;IACG,WAAW,CAAC,MAAM,EAAE,SAAS,EAAE,SAAS,EAAE,QAAQ,GAAG,OAAO,CAAC,IAAI,CAAC;IAUxE;;;;;;OAMG;IACG,YAAY,CAAC,OAAO,EAAE,UAAU,EAAE,SAAS,EAAE,QAAQ,GAAG,OAAO,CAAC,IAAI,CAAC;CA+G5E"}

package/build/src/drivers/openfga_relations_driver.js

@@ -0,0 +1,466 @@
+/**
+ * Driver `openfga` del puerto `RelationsDriver` — ReBAC sobre el MISMO store y
+ * `modelId` que el driver `facts` de roles (Fase 4, lote 4-4).
+ *
+ * Store COMPARTIDO (decisión del dueño / juez §2): las relaciones ReBAC viven
+ * en el modelo FUSIONADO (`facts` + `group` + los tipos de objeto del
+ * consumidor), así que `relate`/`unrelate` son `Write`/delete de tuplas del
+ * mismo store, `check` es UN solo `Check` (el modelo resuelve includes +
+ * usersets del lado del servidor) y `list*` van por `ListObjects`/`Read`.
+ *
+ * **La partición va en el ID del objeto y del userset**, no en el modelo:
+ * `document:<scopeKey(partition)>|<uuid>`, `group:<scopeKey(partition)>|<uuid>#member`.
+ * El cruce de particiones se corta por comparación de string —aquí NO hay
+ * trigger como en `database`, así que F-05 (en el manager) + la comparación de
+ * string son la ÚNICA defensa de tenant—. El id lleva DOS `|` cuando la
+ * partición es un scope no-raíz (`document:unit|<partUuid>|<objUuid>`), así que
+ * el parseo es CANÓNICO desde la DERECHA (⚪5, el mismo cuidado que
+ * `parseBindingId`): partición = todo menos el ÚLTIMO segmento; el id del
+ * objeto es el último y no contiene `|`.
+ *
+ * **La frontera del 🔴 (F-05) NO vive aquí**: la cierra el `RelationsManager`
+ * ANTES de tocar el driver (un `object.type` no declarado ⇒ 422) junto con ⚪4
+ * (un tipo reservado no se puede declarar). Si a este driver se le llama en
+ * DIRECTO con `object.type: 'role_binding'` (la salida `manager.driver()`, de
+ * plataforma), compondría el id de un binding real y escalaría — por eso el
+ * caso-exploit del auditor se cierra en el manager, y el runner publica el
+ * caso para que un driver de terceros que no lo cumpla NO pase el contrato.
+ *
+ * Pureza: vive detrás del subpath `@jantstack/adonis-authz/openfga`
+ * (`src/openfga.ts`), como el driver `facts` de roles: es lo único que puede
+ * tocar `@openfga/sdk` (peer opcional). La abstracción no filtra: ningún error
+ * del SDK escapa (todo va por `#guard`, que clasifica a 503/timeout).
+ */
+import { OpenFgaClient, ConsistencyPreference, ClientWriteRequestOnMissingDeletes, ClientWriteRequestOnDuplicateWrites, } from '@openfga/sdk';
+import { AuthorizationBackendError, AuthorizationBackendTimeoutError, InvalidIdentityError, PurgeIncompleteError, UnsupportedOperationError, } from '../errors.js';
+import { assertScope, assertSubject, assertRelationId, scopeKey, scopeSpellings } from '../identity.js';
+import { isRelUserset } from '../types.js';
+import { assertFgaObjectId, FACTS_GROUP_TYPE } from './openfga_facts.js';
+export const DEFAULT_TIMEOUT_MS = 5_000;
+/** Tope de operaciones por `Write` en FGA (`exceeded_entity_limit` a partir de 100). */
+const WRITE_BATCH_SIZE = 100;
+/** Tamaño de página de `Read` (máximo del servidor). */
+const READ_PAGE_SIZE = 100;
+/**
+ * Cota de páginas de una enumeración por `Read`. Un `continuation_token` que
+ * no avanza (servidor roto, proxy, caché) sería un bucle que ningún deadline
+ * corta (el deadline es por llamada). Mismo patrón que el driver de roles.
+ */
+const MAX_READ_PAGES = 10_000;
+/**
+ * El tope de `ListObjects` del servidor por defecto (`OPENFGA_LIST_OBJECTS_MAX_RESULTS`).
+ * `ListObjects` NO devuelve señal de truncado ni `continuation_token`: corta al
+ * tope y calla. La única forma honesta de detectar el corte es comparar el
+ * número de resultados con el tope CONFIGURADO del servidor —de ahí la opción
+ * `listObjectsMaxResults`—: si vuelven `>= tope`, no se puede prometer que la
+ * lista esté completa ⇒ `truncated: true` (lección S16/L0.7: nunca una lista
+ * parcial MUDA). Ponerlo por debajo del tope real del servidor daría un
+ * truncado FALSO (el servidor devolvió todo); por encima, se perdería el corte.
+ */
+const DEFAULT_LIST_OBJECTS_MAX = 1_000;
+/** Ignora duplicados: las tuplas de relación no llevan condición (idénticas por construcción). */
+const IGNORE_DUPLICATE_WRITES = {
+    conflict: { onDuplicateWrites: ClientWriteRequestOnDuplicateWrites.Ignore },
+};
+/** Ignora deletes de tuplas ya ausentes (re-unrelate no-op seguro, invariante 6). */
+const IGNORE_MISSING_DELETES = {
+    conflict: { onMissingDeletes: ClientWriteRequestOnMissingDeletes.Ignore },
+};
+export class OpenFgaRelationsDriver {
+    /**
+     * Lo que declara (cada valor tiene su cara en `runRelationsDriverContract`):
+     *  - `singleCheckRelations: true`: `check` es UN solo `Check` (el modelo
+     *    resuelve includes + usersets del lado del servidor).
+     *  - `listObjectsInherited: false`: `list*` no abren el subárbol de
+     *    particiones (invariante 7); `ListObjects` sí resuelve la derivación del
+     *    modelo (includes/usersets), que es «directos + derivados», no herencia
+     *    de scopes.
+     *  - `usersetSubjects: true`: `listSubjects` (`Read`) trae los usersets
+     *    directos (`group#member`) junto con los holders.
+     *  - `membersOfNative: false`: la membresía TRANSITIVA sería `ListUsers`, que
+     *    trunca al tope del servidor; se declara 500 `E_AUTHZ_UNSUPPORTED`, jamás
+     *    un userset enumerado a medias (par de `purgeRole` de la 3b).
+     *  - `enumerateRelations: true` (4-5): es ORIGEN de `authz:reconcile` de
+     *    relaciones — lee el store ENTERO (`Read({})`, la única forma de ver todo
+     *    sin filtro por user u objeto: un `Read` por tipo-solo sin user es un 400)
+     *    y devuelve SOLO las tuplas de relación de la partición (tipo declarado o
+     *    `group`), descartando las de `facts` (scope/role/role_binding).
+     *  - `listObjectsTruncation: true`: `ListObjects` trunca al tope del servidor
+     *    y este driver lo SEÑALA (medido contra el `:8103` de tope 3).
+     */
+    capabilities = Object.freeze({
+        singleCheckRelations: true,
+        listObjectsInherited: false,
+        usersetSubjects: true,
+        membersOfNative: false,
+        enumerateRelations: true,
+        listObjectsTruncation: true,
+    });
+    client;
+    #config;
+    #holderTypes;
+    #fgaToMorph;
+    #timeoutMs;
+    #consistency;
+    #listObjectsMax;
+    #logger;
+    diagnostics = { unparseableTuples: 0 };
+    constructor(config, options) {
+        this.#config = config;
+        this.#holderTypes = options.holderTypes;
+        this.#fgaToMorph = Object.fromEntries(Object.entries(options.holderTypes).map(([morph, fga]) => [fga, morph]));
+        this.#timeoutMs = options.timeoutMs ?? DEFAULT_TIMEOUT_MS;
+        this.#consistency =
+            options.consistency === 'minimize_latency'
+                ? ConsistencyPreference.MinimizeLatency
+                : ConsistencyPreference.HigherConsistency;
+        this.#listObjectsMax = options.listObjectsMaxResults ?? DEFAULT_LIST_OBJECTS_MAX;
+        this.#logger = options.logger ?? console;
+        this.client = new OpenFgaClient({
+            apiUrl: options.apiUrl,
+            storeId: options.storeId,
+            authorizationModelId: options.modelId,
+            baseOptions: { timeout: this.#timeoutMs },
+            retryParams: { maxRetry: 0 },
+        });
+    }
+    /* ── Clasificación de fallos (la abstracción no filtra) ─────────────────── */
+    async #guard(operation, fn) {
+        try {
+            return await fn();
+        }
+        catch (error) {
+            // Un error del paquete (422/500 ya clasificado) se propaga tal cual.
+            if (error instanceof InvalidIdentityError || error instanceof PurgeIncompleteError)
+                throw error;
+            if (isTimeoutLike(error)) {
+                throw new AuthorizationBackendTimeoutError('openfga-relations', operation, this.#timeoutMs, error);
+            }
+            throw new AuthorizationBackendError('openfga-relations', operation, error);
+        }
+    }
+    /* ── Composición y parseo de ids (⚪5: partición por string en el id) ────── */
+    /** `<type>:<scopeKey(partition)>|<objectUuid>`. */
+    #objectId(objectType, partitionKey, objectUuid) {
+        // R-16 (defensa en profundidad, paridad con `database`): el `object.id` con
+        // la gramática estricta ANTES de componer. Un `|`/`#`/`:`/espacio dentro se
+        // escribía (solo se medía la longitud) y luego se perdía en el parseo por
+        // el último `|` —invisible en enumeración y `reconcile`—. `manager.driver()`
+        // salta el manager, así que el driver aplica la MISMA regla que él.
+        assertRelationId(`el id del objeto '${objectType}'`, objectUuid);
+        const id = `${objectType}:${partitionKey}|${objectUuid}`;
+        assertFgaObjectId(objectType, id);
+        return id;
+    }
+    /**
+     * El `user` FGA de un sujeto: holder ⇒ `<fgaType>:<uuid>`; userset ⇒
+     * `<type>:<scopeKey(partition)>|<objUuid>#<relation>`. El userset comparte la
+     * partición de la tupla (el manager lo exige).
+     */
+    #subjectUser(subject, partitionKey) {
+        if (isRelUserset(subject)) {
+            const object = this.#objectId(subject.object.type, partitionKey, subject.object.id);
+            return `${object}#${subject.relation}`;
+        }
+        const fgaType = this.#holderTypes[subject.type];
+        if (!fgaType) {
+            throw new InvalidIdentityError(`Holder type '${subject.type}' no está en holderTypes del driver openfga de relaciones ` +
+                `(declarados: ${Object.keys(this.#holderTypes).join(', ') || 'ninguno'}).`);
+        }
+        return `${fgaType}:${subject.uuid}`;
+    }
+    /**
+     * **Parseo CANÓNICO del id de un objeto de relación** (⚪5): a partir de
+     * `<type>:<scopeKey>|<objUuid>`, separa `type` (antes del primer `:`),
+     * `partitionKey` (todo menos el ÚLTIMO segmento tras el `:`) y `objectUuid`
+     * (el último segmento, que no contiene `|`). Es el MISMO parseo-desde-la-
+     * derecha que `parseBindingId`: `lastIndexOf('|')` corta el objeto de la
+     * clave de partición (que tiene 1 parte `app` o 2 `<tipo>|<uuid>`). `null` si
+     * el id no tiene la forma que este driver escribe.
+     */
+    #parseObjectId(fullId) {
+        const colon = fullId.indexOf(':');
+        if (colon <= 0)
+            return null;
+        const type = fullId.slice(0, colon);
+        const rest = fullId.slice(colon + 1);
+        const cut = rest.lastIndexOf('|');
+        if (cut < 0)
+            return null;
+        const partitionKey = rest.slice(0, cut);
+        const objectUuid = rest.slice(cut + 1);
+        if (!partitionKey || !objectUuid)
+            return null;
+        return { type, partitionKey, objectUuid };
+    }
+    /** Un `user` del store de vuelta a `RelSubject`: userset (`…#rel`) o holder (`<fga>:<uuid>`). */
+    #userToSubject(user) {
+        const hash = user.indexOf('#');
+        if (hash >= 0) {
+            const parsed = this.#parseObjectId(user.slice(0, hash));
+            const relation = user.slice(hash + 1);
+            if (!parsed || !relation)
+                return null;
+            return { object: { type: parsed.type, id: parsed.objectUuid }, relation };
+        }
+        const colon = user.indexOf(':');
+        if (colon <= 0)
+            return null;
+        const morph = this.#fgaToMorph[user.slice(0, colon)];
+        const uuid = user.slice(colon + 1);
+        if (!morph || !uuid || uuid === '*' || uuid.includes('|'))
+            return null;
+        return { type: morph, uuid };
+    }
+    /* ── Escrituras ─────────────────────────────────────────────────────────── */
+    async relate(subject, relation, object, partition, _options) {
+        assertScope(partition);
+        const partitionKey = scopeKey(partition);
+        const objectId = this.#objectId(object.type, partitionKey, object.id);
+        const user = this.#subjectUser(subject, partitionKey);
+        await this.#guard('relate', () => 
+        // Idempotente (invariante 6): un `Write` de una tupla que ya está es un
+        // duplicado idéntico (sin condición), así que se ignora.
+        this.client.write({ writes: [{ user, relation, object: objectId }] }, IGNORE_DUPLICATE_WRITES));
+    }
+    async unrelate(subject, relation, object, partition, _options) {
+        assertScope(partition);
+        const partitionKey = scopeKey(partition);
+        const objectId = this.#objectId(object.type, partitionKey, object.id);
+        const user = this.#subjectUser(subject, partitionKey);
+        await this.#guard('unrelate', () => 
+        // Re-unrelate no-op seguro: borrar una tupla ausente se ignora.
+        this.client.write({ deletes: [{ user, relation, object: objectId }] }, IGNORE_MISSING_DELETES));
+    }
+    /* ── Lecturas ───────────────────────────────────────────────────────────── */
+    /** `check` = UN solo `Check` (el modelo resuelve includes + usersets). */
+    async check(subject, relation, object, partition) {
+        assertScope(partition);
+        const partitionKey = scopeKey(partition);
+        const objectId = this.#objectId(object.type, partitionKey, object.id);
+        const user = this.#subjectUser(subject, partitionKey);
+        const response = await this.#guard('check', () => this.client.check({ user, relation, object: objectId }, { consistency: this.#consistency }));
+        return response.allowed === true;
+    }
+    /**
+     * `listObjects` = `ListObjects` (resuelve includes + usersets del lado del
+     * servidor) + FILTRO por partición + señal de TRUNCADO. `ListObjects` corta
+     * al tope del servidor sin `continuation_token` ni bandera, así que el
+     * truncado se detecta comparando el número de resultados CRUDOS con el tope
+     * configurado (`listObjectsMaxResults`): `>= tope` ⇒ no se puede prometer la
+     * lista completa ⇒ `truncated: true`. El filtro por partición se aplica
+     * DESPUÉS (los ids llevan la partición), así que en un store con varias
+     * particiones el tope se consume entre todas — otra razón para señalar el
+     * truncado y no callar (documentado en el README).
+     */
+    async listObjects(subject, relation, objectType, partition, _page) {
+        assertScope(partition);
+        const partitionKey = scopeKey(partition);
+        const user = this.#subjectUser(subject, partitionKey);
+        const response = await this.#guard('listObjects', () => this.client.listObjects({ user, relation, type: objectType }, { consistency: this.#consistency }));
+        const raw = response.objects ?? [];
+        const truncated = raw.length >= this.#listObjectsMax;
+        const objects = [];
+        for (const full of raw) {
+            const parsed = this.#parseObjectId(full);
+            if (!parsed || parsed.type !== objectType) {
+                this.#warnUnparseable('listObjects', full);
+                continue;
+            }
+            if (parsed.partitionKey !== partitionKey)
+                continue; // otra partición: no cruza
+            objects.push({ type: objectType, id: parsed.objectUuid });
+        }
+        objects.sort((a, b) => (a.id < b.id ? -1 : a.id > b.id ? 1 : 0));
+        return truncated ? { objects, truncated: true } : { objects };
+    }
+    /**
+     * `listSubjects` = `Read` por `(object, relation)` — hechos DIRECTOS del
+     * relation EXACTO (invariante 7): ni transitivo (eso es `membersOf`) ni
+     * derivado por includes. `usersetSubjects: true` ⇒ los usersets
+     * (`group#member`) salen junto con los holders.
+     */
+    async listSubjects(relation, object, partition, _page) {
+        assertScope(partition);
+        const partitionKey = scopeKey(partition);
+        const objectId = this.#objectId(object.type, partitionKey, object.id);
+        const tuples = await this.#readAll('listSubjects', { object: objectId, relation });
+        const subjects = [];
+        for (const t of tuples) {
+            const subject = this.#userToSubject(t.user);
+            if (subject)
+                subjects.push(subject);
+            else
+                this.#warnUnparseable('listSubjects', t.user);
+        }
+        return { subjects };
+    }
+    /**
+     * **`membersOf` ⇒ 500 `E_AUTHZ_UNSUPPORTED`** (cara `whenFalse`): la
+     * membresía TRANSITIVA de un grupo sería `ListUsers`, que trunca al tope del
+     * servidor sin señal fiable. No hay userset transitivo enumerable aquí; se
+     * dice con 500 nombrándolo, jamás un userset a medias. Es el análogo del par
+     * `purgeRole` de la 3b. (El método existe en el prototipo para que el manager
+     * lo despache, pero la capacidad `membersOfNative: false` lo corta antes.)
+     */
+    async membersOf() {
+        throw new UnsupportedOperationError('membersOf', 'la membresía transitiva de un grupo', 'openfga', `En 'openfga' la transitiva sería 'ListUsers', que trunca al tope del servidor sin señal fiable. ` +
+            `Usa el driver 'database' (CTE recursiva) o 'listSubjects' para los hechos directos.`);
+    }
+    /* ── ORIGEN de reconcile (4-5): las tuplas de relación de la partición ──── */
+    /**
+     * **`enumerateRelations` — el ORIGEN de `authz:reconcile` de relaciones**
+     * (4-5). Lee el store ENTERO (`Read({})`) —la única forma de ver todo sin un
+     * filtro por `user` u `object`, que un `Read` por tipo-solo sin user
+     * rechazaría con 400— y devuelve SOLO las tuplas de relación de la partición
+     * pedida: tipo `group` o un tipo declarado en la config, DESCARTANDO las de
+     * `facts` (`scope`/`role`/`role_binding`, que no llevan la partición en el id
+     * con la forma `<key>|<uuid>` de relaciones —o cuyo tipo no está declarado—).
+     *
+     * `truncated`/paginación: `enumerateRelations` agota el `Read` (exhaustivo,
+     * como `listSubjects`/`purge*`), así que devuelve TODO en una página sin
+     * cursor —el reconcile itera hasta que no hay cursor—. Es el ORIGEN de una
+     * migración: una tupla que no llegara aquí desaparecería sin rastro.
+     */
+    async enumerateRelations(partition, _page) {
+        assertScope(partition);
+        const partitionKey = scopeKey(partition);
+        const relationTypes = new Set([FACTS_GROUP_TYPE, ...this.#config.objectTypes.map((t) => t.type)]);
+        const all = await this.#readAll('enumerateRelations', {});
+        const tuples = [];
+        for (const key of all) {
+            const parsed = this.#parseObjectId(key.object);
+            // No es una tupla de relación (facts: scope/role/role_binding, o un tipo
+            // no declarado): no la migra este puerto.
+            if (!parsed || !relationTypes.has(parsed.type))
+                continue;
+            if (parsed.partitionKey !== partitionKey)
+                continue; // otra partición: no cruza
+            const subject = this.#userToSubject(key.user);
+            if (!subject) {
+                this.#warnUnparseable('enumerateRelations', key.user);
+                continue;
+            }
+            tuples.push({
+                subject,
+                relation: key.relation,
+                object: { type: parsed.type, id: parsed.objectUuid },
+                partition,
+            });
+        }
+        return { tuples };
+    }
+    /* ── Purga (invariante 11): borra y DEMUESTRA cero, o lanza ─────────────── */
+    /**
+     * Borra TODAS las tuplas del objeto (cualquier relación) y demuestra cero.
+     * Barre las DOS ortografías del uuid de partición (🟡2, paridad con
+     * `database`): un motor que funda `aaa…` con `aaa-…` dejaría la fila del
+     * alias concediendo tras una purga «exitosa». Si tras borrar quedan tuplas
+     * ⇒ 500 `E_AUTHZ_PURGE_INCOMPLETE`.
+     */
+    async purgeObject(object, partition) {
+        assertScope(partition);
+        const objectIds = this.#partitionSpellings(partition).map((key) => this.#objectId(object.type, key, object.id));
+        for (const objectId of objectIds) {
+            await this.#purgeByFilter('purgeObject', { object: objectId }, `objeto ${objectId}`);
+        }
+    }
+    /**
+     * Borra TODAS las tuplas cuyo SUJETO es este subject en la partición, en
+     * cualquier tipo de objeto declarado, y demuestra cero. `Read` exige un
+     * filtro de objeto (un `Read` solo por `user` es un 400 del servidor), así
+     * que se recorre cada tipo declarado (`group` + los del consumidor) con
+     * `Read({ user, object: '<type>:' })`.
+     */
+    async purgeSubject(subject, partition) {
+        assertScope(partition);
+        if (!isRelUserset(subject))
+            assertSubject(subject);
+        const partitionKeys = this.#partitionSpellings(partition);
+        const types = [FACTS_GROUP_TYPE, ...this.#config.objectTypes.map((t) => t.type)];
+        for (const partitionKey of partitionKeys) {
+            const user = this.#subjectUser(subject, partitionKey);
+            for (const type of types) {
+                await this.#purgeByFilter('purgeSubject', { user, object: `${type}:` }, `sujeto ${user} en '${type}'`);
+            }
+        }
+    }
+    /** Lee por filtro, borra en lotes, y RE-LEE para demostrar cero (o lanza). */
+    async #purgeByFilter(operation, filter, what) {
+        const keys = await this.#readAll(operation, filter);
+        for (let i = 0; i < keys.length; i += WRITE_BATCH_SIZE) {
+            await this.#guard(operation, () => this.client.deleteTuples(keys.slice(i, i + WRITE_BATCH_SIZE).map((k) => ({ user: k.user, relation: k.relation, object: k.object })), IGNORE_MISSING_DELETES));
+        }
+        if (keys.length === 0)
+            return;
+        // Demostración de cero: re-lee tras borrar (invariante 11).
+        const residue = await this.#readAll(operation, filter);
+        if (residue.length > 0) {
+            throw new PurgeIncompleteError(`${operation}: quedan ${residue.length} tuplas de ${what} tras el borrado ` +
+                `(${residue.slice(0, 3).map((k) => `${k.user}#${k.relation}@${k.object}`).join('; ')}). ` +
+                `No se confirma la purga.`);
+        }
+    }
+    /* ── Helpers ────────────────────────────────────────────────────────────── */
+    /** Las dos ortografías del uuid de partición, como claves de scope (🟡2). */
+    #partitionSpellings(partition) {
+        return [...new Set(scopeSpellings(partition).map((s) => scopeKey(s)))];
+    }
+    /**
+     * TODAS las tuplas que casan con el filtro, paginando `Read` hasta agotar el
+     * `continuation_token`. `Read` no tiene tope de resultados (a diferencia de
+     * `ListObjects`), así que es exhaustivo — por eso las purgas y `listSubjects`
+     * van por aquí, no por `ListObjects`.
+     */
+    async #readAll(operation, filter) {
+        const keys = [];
+        let continuationToken;
+        const seenTokens = new Set();
+        let pages = 0;
+        do {
+            const response = await this.#guard(operation, () => this.client.read(filter, {
+                pageSize: READ_PAGE_SIZE,
+                continuationToken,
+                consistency: this.#consistency,
+            }));
+            pages += 1;
+            for (const tuple of response.tuples ?? []) {
+                const key = tuple?.key;
+                if (!key?.user || !key?.relation || !key?.object) {
+                    this.#warnUnparseable(operation, JSON.stringify(key ?? null));
+                    continue;
+                }
+                keys.push({ user: key.user, relation: key.relation, object: key.object });
+            }
+            continuationToken = response.continuation_token || undefined;
+            if (continuationToken) {
+                if (seenTokens.has(continuationToken)) {
+                    throw new AuthorizationBackendError('openfga-relations', operation, new Error(`el continuation_token se repite (página ${pages}); el servidor no avanza`));
+                }
+                if (pages >= MAX_READ_PAGES) {
+                    throw new AuthorizationBackendError('openfga-relations', operation, new Error(`más de ${MAX_READ_PAGES} páginas sin agotar el Read`));
+                }
+                seenTokens.add(continuationToken);
+            }
+        } while (continuationToken);
+        return keys;
+    }
+    #warnUnparseable(operation, detail) {
+        this.diagnostics.unparseableTuples += 1;
+        this.#logger.warn(`authz(openfga-relations): tupla no parseable en ${operation} (${detail}); ` +
+            `se ignora en la enumeración (total: ${this.diagnostics.unparseableTuples})`);
+    }
+}
+/** ¿El error huele a timeout de red/axios? (mismo criterio que el driver de roles). */
+function isTimeoutLike(error) {
+    let current = error;
+    for (let depth = 0; current && depth < 6; depth++) {
+        const code = String(current.code ?? '');
+        if (code === 'ECONNABORTED' || code === 'ETIMEDOUT' || /timeout/i.test(String(current.message ?? ''))) {
+            return true;
+        }
+        current = current.cause;
+    }
+    return false;
+}
+//# sourceMappingURL=openfga_relations_driver.js.map