@jantstack/adonis-authz 1.1.0 → 2.4.0-alpha.1

package/build/src/relations/define_relations_config.js

@@ -0,0 +1,144 @@
+/**
+ * `defineRelationsConfig` — la API declarativa de ReBAC (Fase 4, lote 4-2).
+ *
+ * Valida la config de relaciones del consumidor y devuelve un objeto
+ * CONGELADO que el manager de relaciones consulta para F-05 (`isDeclared`).
+ * Es la puerta de entrada, AGNÓSTICA de driver: rige igual en `database` y en
+ * `openfga` (paridad ⚪4). El generador del modelo fusionado
+ * (`src/drivers/openfga_facts.ts`, lote 4-1) hace la MISMA comprobación de
+ * reservados por defensa en profundidad al emitir el modelo —y además la de
+ * F-04 (colisión con un permiso del catálogo), que necesita las tuplas del
+ * catálogo y por eso vive en la capa del modelo—; las dos comparten la fuente
+ * única de tipos reservados (`RESERVED_FACTS_TYPES` en `src/identity.ts`).
+ *
+ * Pureza (regla 2 de `check_purity.mjs`): este módulo solo depende del puerto
+ * (`../types.js`), de los errores y de la gramática compartida
+ * (`../identity.js`); JAMÁS de `../manager` ni de `../drivers/*`. Es lo que
+ * mantiene `relations/` desacoplado de `roles/`.
+ */
+import { RelationConfigError } from '../errors.js';
+import { RESERVED_FACTS_TYPES, RESERVED_SLUGS, RESERVED_SLUG_PREFIXES } from '../identity.js';
+/** La cota de FGA para el nombre de una relación (50). Un tipo de objeto llega a 254. */
+const RELATION_NAME_MAX = 50;
+const OBJECT_TYPE_MAX = 254;
+/** Nombres FGA: minúsculas, dígitos y `._-`; sin `:`/`#`/`@`/espacios ni `|`. */
+const FGA_NAME_FORMAT = /^[a-z0-9][a-z0-9._-]*$/;
+function reject(message) {
+    throw new RelationConfigError(message);
+}
+/**
+ * Valida y congela la config de relaciones. Config inválida ⇒ 422
+ * `E_AUTHZ_RELATION_CONFIG` (misma clase que el gate del modelo del lote 4-1).
+ */
+export function defineRelationsConfig(spec) {
+    if (!spec || typeof spec !== 'object') {
+        reject(`Config de relaciones inválida: se esperaba un objeto y llegó ${JSON.stringify(spec)}.`);
+    }
+    // `membersOf` SOLO puede vivir en las opciones de `database` (⚪ del tester):
+    // ponerlo en la raíz o en un futuro bloque `openfga` es un error de
+    // configuración —`openfga` no puede resolver la transitiva sin truncar—.
+    if ('membersOf' in spec) {
+        reject(`Config de relaciones inválida: 'membersOf' es una opción del driver 'database' ` +
+            `(membresía transitiva por CTE recursiva) y va en 'database.membersOf', no en la raíz. ` +
+            `En 'openfga' la transitiva sería 'ListUsers', que trunca al tope del servidor.`);
+    }
+    if (!Array.isArray(spec.objectTypes) || spec.objectTypes.length === 0) {
+        reject(`Config de relaciones inválida: 'objectTypes' tiene que ser un array no vacío.`);
+    }
+    const holderTypes = spec.holderTypes ?? [];
+    for (const holder of holderTypes) {
+        if (typeof holder !== 'string') {
+            reject(`Config de relaciones inválida: un holder type no es una cadena (${JSON.stringify(holder)}).`);
+        }
+    }
+    const reservedTypes = new Set([...RESERVED_FACTS_TYPES, ...holderTypes]);
+    const seenTypes = new Set();
+    for (const objectType of spec.objectTypes) {
+        const type = objectType?.type;
+        if (typeof type !== 'string' || !FGA_NAME_FORMAT.test(type) || type.length > OBJECT_TYPE_MAX) {
+            reject(`Config de relaciones inválida: tipo de objeto ${JSON.stringify(type)} no es un tipo FGA válido ` +
+                `(minúsculas, dígitos y '._-'; sin ':'/'#'/'@'/'|'/espacios; 1-${OBJECT_TYPE_MAX} caracteres).`);
+        }
+        if (reservedTypes.has(type)) {
+            reject(`Config de relaciones inválida: el tipo de objeto '${type}' colisiona con un tipo reservado del ` +
+                `modelo compartido (${[...RESERVED_FACTS_TYPES].join(', ')}` +
+                `${holderTypes.length ? ', y los holder types ' + holderTypes.join(', ') : ''}). ` +
+                `En el store compartido un tipo de relaciones no puede duplicar uno de 'facts' (⚪4): ` +
+                `si pudiera declarar 'role_binding', 'relate' compondría el id de un binding real y escalaría a ` +
+                `roles.authorize. Renómbralo.`);
+        }
+        if (seenTypes.has(type)) {
+            reject(`Config de relaciones inválida: el tipo de objeto '${type}' está declarado dos veces.`);
+        }
+        seenTypes.add(type);
+        if (!Array.isArray(objectType.relations) || objectType.relations.length === 0) {
+            reject(`Config de relaciones inválida: el tipo '${type}' no declara ninguna relación.`);
+        }
+        const own = new Set();
+        for (const relation of objectType.relations) {
+            const name = relation?.name;
+            if (typeof name !== 'string' || !FGA_NAME_FORMAT.test(name)) {
+                reject(`Config de relaciones inválida: relación ${JSON.stringify(name)} del tipo '${type}' no es un ` +
+                    `nombre de relación válido (minúsculas, dígitos y '._-').`);
+            }
+            if (name.length > RELATION_NAME_MAX) {
+                reject(`Config de relaciones inválida: la relación '${name}' del tipo '${type}' tiene ${name.length} ` +
+                    `caracteres y FGA admite ${RELATION_NAME_MAX}.`);
+            }
+            if (RESERVED_SLUGS.has(name)) {
+                reject(`Config de relaciones inválida: la relación '${type}#${name}' usa un nombre reservado del modelo ` +
+                    `facts (${[...RESERVED_SLUGS].join(', ')}): elegiría una relación propia de 'facts' (⚪4).`);
+            }
+            const family = RESERVED_SLUG_PREFIXES.find((prefix) => name.startsWith(prefix));
+            if (family) {
+                reject(`Config de relaciones inválida: la relación '${type}#${name}' empieza por '${family}', prefijo ` +
+                    `reservado de las relaciones derivadas del modelo facts (${RESERVED_SLUG_PREFIXES.join(', ')}): ` +
+                    `pisaría el nombre de un permiso proyectado (⚪4).`);
+            }
+            if (own.has(name)) {
+                reject(`Config de relaciones inválida: la relación '${type}#${name}' está declarada dos veces.`);
+            }
+            own.add(name);
+        }
+        // Los `includes` refieren relaciones del MISMO tipo (un nivel, SIN `from`).
+        for (const relation of objectType.relations) {
+            for (const included of relation.includes ?? []) {
+                if (typeof included !== 'string') {
+                    reject(`Config de relaciones inválida: un 'includes' de '${type}#${relation.name}' no es una cadena.`);
+                }
+                // Un `from` (`viewer from parent`) se escribe con un separador; v1 no lo soporta.
+                if (/[:#@|. ]/.test(included) && !own.has(included)) {
+                    reject(`Config de relaciones inválida: '${type}#${relation.name}' incluye '${included}', que parece una ` +
+                        `herencia cross-objeto ('from'). v1 solo soporta includes de un nivel y del MISMO tipo.`);
+                }
+                if (!own.has(included)) {
+                    reject(`Config de relaciones inválida: '${type}#${relation.name}' incluye '${included}', que no es una ` +
+                        `relación de '${type}'. Los includes son de un nivel y del mismo tipo (v1 no soporta 'from').`);
+                }
+                if (included === relation.name) {
+                    reject(`Config de relaciones inválida: '${type}#${relation.name}' se incluye a sí misma.`);
+                }
+            }
+        }
+    }
+    const declared = new Map();
+    // `group` es el tipo BUILT-IN de las relaciones (el portador de los
+    // usersets, `group:g#member`): lo emite SIEMPRE el generador del modelo, no
+    // el consumidor —por eso NO se declara en `objectTypes` (arriba se rechaza)
+    // pero SÍ es un tipo válido para F-05: `relate(group:g#member, viewer, doc)`
+    // y `relate(u, member, group:g)` son legales. `role_binding`/`scope`/`role`
+    // siguen fuera: la frontera del 🔴 se mantiene.
+    declared.set('group', new Set(['member']));
+    const frozenTypes = spec.objectTypes.map((objectType) => {
+        const relations = objectType.relations.map((relation) => Object.freeze({ name: relation.name, includes: relation.includes ? Object.freeze([...relation.includes]) : undefined }));
+        declared.set(objectType.type, new Set(relations.map((r) => r.name)));
+        return Object.freeze({ type: objectType.type, relations: Object.freeze(relations) });
+    });
+    return Object.freeze({
+        objectTypes: Object.freeze(frozenTypes),
+        membersOf: spec.database?.membersOf === true,
+        hasType: (objectType) => declared.has(objectType),
+        isDeclared: (objectType, relation) => declared.get(objectType)?.has(relation) ?? false,
+    });
+}
+//# sourceMappingURL=define_relations_config.js.map

package/build/src/relations/define_relations_config.js.map

@@ -0,0 +1 @@
+{"version":3,"file":"define_relations_config.js","sourceRoot":"","sources":["../../../src/relations/define_relations_config.ts"],"names":[],"mappings":"AAAA;;;;;;;;;;;;;;;;;GAiBG;AACH,OAAO,EAAE,mBAAmB,EAAE,MAAM,cAAc,CAAA;AAClD,OAAO,EAAE,oBAAoB,EAAE,cAAc,EAAE,sBAAsB,EAAE,MAAM,gBAAgB,CAAA;AAE7F,yFAAyF;AACzF,MAAM,iBAAiB,GAAG,EAAE,CAAA;AAC5B,MAAM,eAAe,GAAG,GAAG,CAAA;AAC3B,iFAAiF;AACjF,MAAM,eAAe,GAAG,wBAAwB,CAAA;AA2DhD,SAAS,MAAM,CAAC,OAAe;IAC7B,MAAM,IAAI,mBAAmB,CAAC,OAAO,CAAC,CAAA;AACxC,CAAC;AAED;;;GAGG;AACH,MAAM,UAAU,qBAAqB,CAAC,IAAyB;IAC7D,IAAI,CAAC,IAAI,IAAI,OAAO,IAAI,KAAK,QAAQ,EAAE,CAAC;QACtC,MAAM,CAAC,gEAAgE,IAAI,CAAC,SAAS,CAAC,IAAI,CAAC,GAAG,CAAC,CAAA;IACjG,CAAC;IACD,6EAA6E;IAC7E,oEAAoE;IACpE,yEAAyE;IACzE,IAAI,WAAW,IAAK,IAA2C,EAAE,CAAC;QAChE,MAAM,CACJ,iFAAiF;YAC/E,wFAAwF;YACxF,gFAAgF,CACnF,CAAA;IACH,CAAC;IAED,IAAI,CAAC,KAAK,CAAC,OAAO,CAAC,IAAI,CAAC,WAAW,CAAC,IAAI,IAAI,CAAC,WAAW,CAAC,MAAM,KAAK,CAAC,EAAE,CAAC;QACtE,MAAM,CAAC,+EAA+E,CAAC,CAAA;IACzF,CAAC;IAED,MAAM,WAAW,GAAG,IAAI,CAAC,WAAW,IAAI,EAAE,CAAA;IAC1C,KAAK,MAAM,MAAM,IAAI,WAAW,EAAE,CAAC;QACjC,IAAI,OAAO,MAAM,KAAK,QAAQ,EAAE,CAAC;YAC/B,MAAM,CAAC,mEAAmE,IAAI,CAAC,SAAS,CAAC,MAAM,CAAC,IAAI,CAAC,CAAA;QACvG,CAAC;IACH,CAAC;IACD,MAAM,aAAa,GAAG,IAAI,GAAG,CAAS,CAAC,GAAG,oBAAoB,EAAE,GAAG,WAAW,CAAC,CAAC,CAAA;IAEhF,MAAM,SAAS,GAAG,IAAI,GAAG,EAAU,CAAA;IACnC,KAAK,MAAM,UAAU,IAAI,IAAI,CAAC,WAAW,EAAE,CAAC;QAC1C,MAAM,IAAI,GAAG,UAAU,EAAE,IAAI,CAAA;QAC7B,IAAI,OAAO,IAAI,KAAK,QAAQ,IAAI,CAAC,eAAe,CAAC,IAAI,CAAC,IAAI,CAAC,IAAI,IAAI,CAAC,MAAM,GAAG,eAAe,EAAE,CAAC;YAC7F,MAAM,CACJ,iDAAiD,IAAI,CAAC,SAAS,CAAC,IAAI,CAAC,4BAA4B;gBAC/F,iEAAiE,eAAe,eAAe,CAClG,CAAA;QACH,CAAC;QACD,IAAI,aAAa,CAAC,GAAG,CAAC,IAAI,CAAC,EAAE,CAAC;YAC5B,MAAM,CACJ,qDAAqD,IAAI,wCAAwC;gBAC/F,sBAAsB,CAAC,GAAG,oBAAoB,CAAC,CAAC,IAAI,CAAC,IAAI,CAAC,EAAE;gBAC5D,GAAG,WAAW,CAAC,MAAM,CAAC,CAAC,CAAC,uBAAuB,GAAG,WAAW,CAAC,IAAI,CAAC,IAAI,CAAC,CAAC,CAAC,CAAC,EAAE,KAAK;gBAClF,sFAAsF;gBACtF,iGAAiG;gBACjG,8BAA8B,CACjC,CAAA;QACH,CAAC;QACD,IAAI,SAAS,CAAC,GAAG,CAAC,IAAI,CAAC,EAAE,CAAC;YACxB,MAAM,CAAC,qDAAqD,IAAI,6BAA6B,CAAC,CAAA;QAChG,CAAC;QACD,SAAS,CAAC,GAAG,CAAC,IAAI,CAAC,CAAA;QAEnB,IAAI,CAAC,KAAK,CAAC,OAAO,CAAC,UAAU,CAAC,SAAS,CAAC,IAAI,UAAU,CAAC,SAAS,CAAC,MAAM,KAAK,CAAC,EAAE,CAAC;YAC9E,MAAM,CAAC,2CAA2C,IAAI,gCAAgC,CAAC,CAAA;QACzF,CAAC;QAED,MAAM,GAAG,GAAG,IAAI,GAAG,EAAU,CAAA;QAC7B,KAAK,MAAM,QAAQ,IAAI,UAAU,CAAC,SAAS,EAAE,CAAC;YAC5C,MAAM,IAAI,GAAG,QAAQ,EAAE,IAAI,CAAA;YAC3B,IAAI,OAAO,IAAI,KAAK,QAAQ,IAAI,CAAC,eAAe,CAAC,IAAI,CAAC,IAAI,CAAC,EAAE,CAAC;gBAC5D,MAAM,CACJ,2CAA2C,IAAI,CAAC,SAAS,CAAC,IAAI,CAAC,cAAc,IAAI,aAAa;oBAC5F,0DAA0D,CAC7D,CAAA;YACH,CAAC;YACD,IAAI,IAAI,CAAC,MAAM,GAAG,iBAAiB,EAAE,CAAC;gBACpC,MAAM,CACJ,+CAA+C,IAAI,eAAe,IAAI,WAAW,IAAI,CAAC,MAAM,GAAG;oBAC7F,2BAA2B,iBAAiB,GAAG,CAClD,CAAA;YACH,CAAC;YACD,IAAI,cAAc,CAAC,GAAG,CAAC,IAAI,CAAC,EAAE,CAAC;gBAC7B,MAAM,CACJ,+CAA+C,IAAI,IAAI,IAAI,uCAAuC;oBAChG,UAAU,CAAC,GAAG,cAAc,CAAC,CAAC,IAAI,CAAC,IAAI,CAAC,kDAAkD,CAC7F,CAAA;YACH,CAAC;YACD,MAAM,MAAM,GAAG,sBAAsB,CAAC,IAAI,CAAC,CAAC,MAAM,EAAE,EAAE,CAAC,IAAI,CAAC,UAAU,CAAC,MAAM,CAAC,CAAC,CAAA;YAC/E,IAAI,MAAM,EAAE,CAAC;gBACX,MAAM,CACJ,+CAA+C,IAAI,IAAI,IAAI,kBAAkB,MAAM,aAAa;oBAC9F,2DAA2D,sBAAsB,CAAC,IAAI,CAAC,IAAI,CAAC,KAAK;oBACjG,kDAAkD,CACrD,CAAA;YACH,CAAC;YACD,IAAI,GAAG,CAAC,GAAG,CAAC,IAAI,CAAC,EAAE,CAAC;gBAClB,MAAM,CAAC,+CAA+C,IAAI,IAAI,IAAI,6BAA6B,CAAC,CAAA;YAClG,CAAC;YACD,GAAG,CAAC,GAAG,CAAC,IAAI,CAAC,CAAA;QACf,CAAC;QAED,4EAA4E;QAC5E,KAAK,MAAM,QAAQ,IAAI,UAAU,CAAC,SAAS,EAAE,CAAC;YAC5C,KAAK,MAAM,QAAQ,IAAI,QAAQ,CAAC,QAAQ,IAAI,EAAE,EAAE,CAAC;gBAC/C,IAAI,OAAO,QAAQ,KAAK,QAAQ,EAAE,CAAC;oBACjC,MAAM,CAAC,oDAAoD,IAAI,IAAI,QAAQ,CAAC,IAAI,qBAAqB,CAAC,CAAA;gBACxG,CAAC;gBACD,kFAAkF;gBAClF,IAAI,UAAU,CAAC,IAAI,CAAC,QAAQ,CAAC,IAAI,CAAC,GAAG,CAAC,GAAG,CAAC,QAAQ,CAAC,EAAE,CAAC;oBACpD,MAAM,CACJ,mCAAmC,IAAI,IAAI,QAAQ,CAAC,IAAI,cAAc,QAAQ,oBAAoB;wBAChG,wFAAwF,CAC3F,CAAA;gBACH,CAAC;gBACD,IAAI,CAAC,GAAG,CAAC,GAAG,CAAC,QAAQ,CAAC,EAAE,CAAC;oBACvB,MAAM,CACJ,mCAAmC,IAAI,IAAI,QAAQ,CAAC,IAAI,cAAc,QAAQ,mBAAmB;wBAC/F,gBAAgB,IAAI,0EAA0E,CACjG,CAAA;gBACH,CAAC;gBACD,IAAI,QAAQ,KAAK,QAAQ,CAAC,IAAI,EAAE,CAAC;oBAC/B,MAAM,CAAC,mCAAmC,IAAI,IAAI,QAAQ,CAAC,IAAI,0BAA0B,CAAC,CAAA;gBAC5F,CAAC;YACH,CAAC;QACH,CAAC;IACH,CAAC;IAED,MAAM,QAAQ,GAAG,IAAI,GAAG,EAAuB,CAAA;IAC/C,oEAAoE;IACpE,4EAA4E;IAC5E,4EAA4E;IAC5E,6EAA6E;IAC7E,4EAA4E;IAC5E,gDAAgD;IAChD,QAAQ,CAAC,GAAG,CAAC,OAAO,EAAE,IAAI,GAAG,CAAC,CAAC,QAAQ,CAAC,CAAC,CAAC,CAAA;IAC1C,MAAM,WAAW,GAAG,IAAI,CAAC,WAAW,CAAC,GAAG,CAAC,CAAC,UAAU,EAAE,EAAE;QACtD,MAAM,SAAS,GAAG,UAAU,CAAC,SAAS,CAAC,GAAG,CAAC,CAAC,QAAoC,EAAE,EAAE,CAClF,MAAM,CAAC,MAAM,CAAC,EAAE,IAAI,EAAE,QAAQ,CAAC,IAAI,EAAE,QAAQ,EAAE,QAAQ,CAAC,QAAQ,CAAC,CAAC,CAAC,MAAM,CAAC,MAAM,CAAC,CAAC,GAAG,QAAQ,CAAC,QAAQ,CAAC,CAAC,CAAC,CAAC,CAAC,SAAS,EAAE,CAAC,CACxH,CAAA;QACD,QAAQ,CAAC,GAAG,CAAC,UAAU,CAAC,IAAI,EAAE,IAAI,GAAG,CAAC,SAAS,CAAC,GAAG,CAAC,CAAC,CAA6B,EAAE,EAAE,CAAC,CAAC,CAAC,IAAI,CAAC,CAAC,CAAC,CAAA;QAChG,OAAO,MAAM,CAAC,MAAM,CAAC,EAAE,IAAI,EAAE,UAAU,CAAC,IAAI,EAAE,SAAS,EAAE,MAAM,CAAC,MAAM,CAAC,SAAS,CAAC,EAAE,CAAC,CAAA;IACtF,CAAC,CAAC,CAAA;IAEF,OAAO,MAAM,CAAC,MAAM,CAAC;QACnB,WAAW,EAAE,MAAM,CAAC,MAAM,CAAC,WAAW,CAAC;QACvC,SAAS,EAAE,IAAI,CAAC,QAAQ,EAAE,SAAS,KAAK,IAAI;QAC5C,OAAO,EAAE,CAAC,UAAkB,EAAE,EAAE,CAAC,QAAQ,CAAC,GAAG,CAAC,UAAU,CAAC;QACzD,UAAU,EAAE,CAAC,UAAkB,EAAE,QAAgB,EAAE,EAAE,CAAC,QAAQ,CAAC,GAAG,CAAC,UAAU,CAAC,EAAE,GAAG,CAAC,QAAQ,CAAC,IAAI,KAAK;KACvG,CAAoB,CAAA;AACvB,CAAC"}

package/build/src/relations/manager.d.ts

@@ -0,0 +1,38 @@
+import type { RelObject, RelSubject, RelationRef, RelationWriteEvent, RelationWriteOptions, RelationsDriver, RelationObjectsPage, RelationSubjectsPage, RelationPage, RelationTuplePage, ScopeRef } from '../types.js';
+import type { RelationsConfig } from './define_relations_config.js';
+export interface RelationsManagerOptions {
+    /**
+     * Comprobación PURA de escritura (R-13): recibe la referencia completa de la
+     * tupla (sujeto, relación, objeto, partición, operación) y lanza para
+     * rechazarla. Corre DESPUÉS de F-05 y ANTES de tocar el driver.
+     */
+    assertWrite?(ref: RelationRef): void;
+    /** Auditoría: se notifica DESPUÉS de una escritura confirmada, con el `actor`. */
+    onRelationWrite?(event: RelationWriteEvent): void;
+    /** `true` exige `actor` en toda escritura (paridad con `requireActor` de roles). */
+    requireActor?: boolean;
+}
+export declare class RelationsManager {
+    #private;
+    constructor(driver: RelationsDriver, config: RelationsConfig, options?: RelationsManagerOptions);
+    /** El driver crudo — salida documentada de las barreras (plataforma y tests). */
+    driver(): RelationsDriver;
+    relate(subject: RelSubject, relation: string, object: RelObject, partition: ScopeRef, options?: RelationWriteOptions): Promise<void>;
+    unrelate(subject: RelSubject, relation: string, object: RelObject, partition: ScopeRef, options?: RelationWriteOptions): Promise<void>;
+    check(subject: RelSubject, relation: string, object: RelObject, partition: ScopeRef): Promise<boolean>;
+    listObjects(subject: RelSubject, relation: string, objectType: string, partition: ScopeRef, page?: RelationPage): Promise<RelationObjectsPage>;
+    listSubjects(relation: string, object: RelObject, partition: ScopeRef, page?: RelationPage): Promise<RelationSubjectsPage>;
+    purgeObject(object: RelObject, partition: ScopeRef): Promise<void>;
+    purgeSubject(subject: RelSubject, partition: ScopeRef): Promise<void>;
+    /**
+     * Membresía TRANSITIVA de un grupo (a través de usersets anidados) —
+     * DISTINTA de `listSubjects`, que da los hechos DIRECTOS. Solo la trae el
+     * driver `database` (`membersOfNative: true`); en `openfga` es 500
+     * `E_AUTHZ_UNSUPPORTED` nombrándola (la transitiva sería `ListUsers`, que
+     * trunca), jamás un `skip`.
+     */
+    membersOf(object: RelObject, relation: string, partition: ScopeRef, page?: RelationPage): Promise<RelationSubjectsPage>;
+    /** ORIGEN de `authz:reconcile` de relaciones. 500 `E_AUTHZ_UNSUPPORTED` si el driver no lo trae. */
+    enumerateRelations(partition: ScopeRef, page?: RelationPage): Promise<RelationTuplePage>;
+}
+//# sourceMappingURL=manager.d.ts.map

package/build/src/relations/manager.d.ts.map

@@ -0,0 +1 @@
+{"version":3,"file":"manager.d.ts","sourceRoot":"","sources":["../../../src/relations/manager.ts"],"names":[],"mappings":"AA8BA,OAAO,KAAK,EACV,SAAS,EACT,UAAU,EACV,WAAW,EACX,kBAAkB,EAClB,oBAAoB,EACpB,eAAe,EACf,mBAAmB,EACnB,oBAAoB,EACpB,YAAY,EACZ,iBAAiB,EACjB,QAAQ,EACT,MAAM,aAAa,CAAA;AAEpB,OAAO,KAAK,EAAE,eAAe,EAAE,MAAM,8BAA8B,CAAA;AAEnE,MAAM,WAAW,uBAAuB;IACtC;;;;OAIG;IACH,WAAW,CAAC,CAAC,GAAG,EAAE,WAAW,GAAG,IAAI,CAAA;IACpC,kFAAkF;IAClF,eAAe,CAAC,CAAC,KAAK,EAAE,kBAAkB,GAAG,IAAI,CAAA;IACjD,oFAAoF;IACpF,YAAY,CAAC,EAAE,OAAO,CAAA;CACvB;AAED,qBAAa,gBAAgB;;gBAKf,MAAM,EAAE,eAAe,EAAE,MAAM,EAAE,eAAe,EAAE,OAAO,GAAE,uBAA4B;IAMnG,iFAAiF;IACjF,MAAM,IAAI,eAAe;IAmDnB,MAAM,CACV,OAAO,EAAE,UAAU,EACnB,QAAQ,EAAE,MAAM,EAChB,MAAM,EAAE,SAAS,EACjB,SAAS,EAAE,QAAQ,EACnB,OAAO,CAAC,EAAE,oBAAoB,GAC7B,OAAO,CAAC,IAAI,CAAC;IAYV,QAAQ,CACZ,OAAO,EAAE,UAAU,EACnB,QAAQ,EAAE,MAAM,EAChB,MAAM,EAAE,SAAS,EACjB,SAAS,EAAE,QAAQ,EACnB,OAAO,CAAC,EAAE,oBAAoB,GAC7B,OAAO,CAAC,IAAI,CAAC;IAYV,KAAK,CAAC,OAAO,EAAE,UAAU,EAAE,QAAQ,EAAE,MAAM,EAAE,MAAM,EAAE,SAAS,EAAE,SAAS,EAAE,QAAQ,GAAG,OAAO,CAAC,OAAO,CAAC;IAMtG,WAAW,CACf,OAAO,EAAE,UAAU,EACnB,QAAQ,EAAE,MAAM,EAChB,UAAU,EAAE,MAAM,EAClB,SAAS,EAAE,QAAQ,EACnB,IAAI,CAAC,EAAE,YAAY,GAClB,OAAO,CAAC,mBAAmB,CAAC;IAKzB,YAAY,CAChB,QAAQ,EAAE,MAAM,EAChB,MAAM,EAAE,SAAS,EACjB,SAAS,EAAE,QAAQ,EACnB,IAAI,CAAC,EAAE,YAAY,GAClB,OAAO,CAAC,oBAAoB,CAAC;IAM1B,WAAW,CAAC,MAAM,EAAE,SAAS,EAAE,SAAS,EAAE,QAAQ,GAAG,OAAO,CAAC,IAAI,CAAC;IAMlE,YAAY,CAAC,OAAO,EAAE,UAAU,EAAE,SAAS,EAAE,QAAQ,GAAG,OAAO,CAAC,IAAI,CAAC;IAK3E;;;;;;OAMG;IACG,SAAS,CACb,MAAM,EAAE,SAAS,EACjB,QAAQ,EAAE,MAAM,EAChB,SAAS,EAAE,QAAQ,EACnB,IAAI,CAAC,EAAE,YAAY,GAClB,OAAO,CAAC,oBAAoB,CAAC;IAchC,oGAAoG;IAC9F,kBAAkB,CAAC,SAAS,EAAE,QAAQ,EAAE,IAAI,CAAC,EAAE,YAAY,GAAG,OAAO,CAAC,iBAAiB,CAAC;CAuB/F"}

package/build/src/relations/manager.js

@@ -0,0 +1,156 @@
+/**
+ * `RelationsManager` — la fachada de ReBAC (Fase 4, lote 4-2).
+ *
+ * Es el análogo de `AuthorizationManager` para el puerto `RelationsDriver`:
+ * aplica la POLICY antes de tocar el driver y despacha la auditoría después.
+ * Lo que fija este lote:
+ *
+ *  - **F-05 (cierre del 🔴 del auditor)**: `relate`/`unrelate` con un
+ *    `object.type` o una `relation` que NO estén declarados en
+ *    `defineRelationsConfig` ⇒ 422 ANTES de llamar al driver. Junto con ⚪4
+ *    (un tipo reservado no se puede declarar) hace IMPOSIBLE que un `relate`
+ *    componga el id de un `role_binding` real y escale a `roles.authorize`.
+ *  - **R-13**: `assertWrite` PURO (obligatorio aquí, a diferencia de
+ *    `roles/`): si rechaza, nada toca el driver.
+ *  - `actor` en `onRelationWrite` (auditoría del consumidor sin
+ *    `AsyncLocalStorage`).
+ *  - `membersOf` como método OPCIONAL DISTINTO de `listSubjects`: si el driver
+ *    no lo trae (`membersOfNative: false`) ⇒ 500 `E_AUTHZ_UNSUPPORTED`
+ *    nombrándolo, jamás un `skip`.
+ *
+ * Pureza (regla 2): solo depende del puerto, los errores, la gramática
+ * compartida y `defineRelationsConfig`. Nada de `manager`/`drivers/*`.
+ */
+import { ActorRequiredError, RelationTypeUnknownError, RelationUnknownError, UnsupportedOperationError, } from '../errors.js';
+import { assertScope, assertSubject, assertRelationId } from '../identity.js';
+import { isRelUserset } from '../types.js';
+export class RelationsManager {
+    #driver;
+    #config;
+    #options;
+    constructor(driver, config, options = {}) {
+        this.#driver = driver;
+        this.#config = config;
+        this.#options = options;
+    }
+    /** El driver crudo — salida documentada de las barreras (plataforma y tests). */
+    driver() {
+        return this.#driver;
+    }
+    /**
+     * **F-05**: rechaza un tipo/relación no declarado ANTES de tocar el driver.
+     * La gramática de identidad no basta: `role_binding`/`assignee` son
+     * gramaticalmente válidos y en el store compartido componen el id de un
+     * binding real.
+     */
+    #assertDeclared(object, relation) {
+        if (!object || typeof object !== 'object' || typeof object.type !== 'string') {
+            throw new RelationTypeUnknownError(`Objeto de relación inválido: se esperaba { type, id } y llegó ${JSON.stringify(object)}.`);
+        }
+        if (!this.#config.hasType(object.type)) {
+            throw new RelationTypeUnknownError(`El tipo de objeto '${object.type}' no está declarado en defineRelationsConfig (F-05): ` +
+                `relate/unrelate solo aceptan tipos declarados. En el store compartido un tipo no declarado ` +
+                `podría componer el id de un 'role_binding' real y escalar a roles.authorize.`);
+        }
+        if (!this.#config.isDeclared(object.type, relation)) {
+            throw new RelationUnknownError(`La relación '${relation}' no está declarada para el tipo '${object.type}' en ` +
+                `defineRelationsConfig (F-05).`);
+        }
+    }
+    /**
+     * **R-16**: el `object.id` con la gramática estricta de relaciones ANTES del
+     * driver ⇒ 422 `E_AUTHZ_INVALID_IDENTITY`. `#assertDeclared` solo valida el
+     * TIPO (F-05): un `object.id` con un `|`/`#`/`:`/espacio se colaba y en
+     * `openfga` se ESCRIBÍA (invisibilidad de enumeración y pérdida en
+     * `reconcile`) o salía como 503 mal clasificado. Se valida aquí (una vez) y
+     * en cada driver (defensa en profundidad).
+     */
+    #assertObjectId(object) {
+        assertRelationId(`el id del objeto '${object?.type}'`, object?.id);
+    }
+    #assertActor(options) {
+        if (this.#options.requireActor && !options?.actor) {
+            throw new ActorRequiredError(`Escritura de relación sin 'actor' y la config exige uno (requireActor).`);
+        }
+    }
+    async relate(subject, relation, object, partition, options) {
+        this.#assertDeclared(object, relation);
+        this.#assertObjectId(object);
+        this.#assertActor(options);
+        assertScope(partition);
+        this.#assertSubject(subject, partition);
+        const ref = { operation: 'relate', subject, relation, object, partition };
+        this.#options.assertWrite?.(ref);
+        await this.#driver.relate(subject, relation, object, partition, options);
+        this.#options.onRelationWrite?.({ ...ref, actor: options?.actor });
+    }
+    async unrelate(subject, relation, object, partition, options) {
+        this.#assertDeclared(object, relation);
+        this.#assertObjectId(object);
+        this.#assertActor(options);
+        assertScope(partition);
+        this.#assertSubject(subject, partition);
+        const ref = { operation: 'unrelate', subject, relation, object, partition };
+        this.#options.assertWrite?.(ref);
+        await this.#driver.unrelate(subject, relation, object, partition, options);
+        this.#options.onRelationWrite?.({ ...ref, actor: options?.actor });
+    }
+    async check(subject, relation, object, partition) {
+        assertScope(partition);
+        this.#assertObjectId(object);
+        return this.#driver.check(subject, relation, object, partition);
+    }
+    async listObjects(subject, relation, objectType, partition, page) {
+        assertScope(partition);
+        return this.#driver.listObjects(subject, relation, objectType, partition, page);
+    }
+    async listSubjects(relation, object, partition, page) {
+        assertScope(partition);
+        this.#assertObjectId(object);
+        return this.#driver.listSubjects(relation, object, partition, page);
+    }
+    async purgeObject(object, partition) {
+        assertScope(partition);
+        this.#assertObjectId(object);
+        return this.#driver.purgeObject(object, partition);
+    }
+    async purgeSubject(subject, partition) {
+        assertScope(partition);
+        return this.#driver.purgeSubject(subject, partition);
+    }
+    /**
+     * Membresía TRANSITIVA de un grupo (a través de usersets anidados) —
+     * DISTINTA de `listSubjects`, que da los hechos DIRECTOS. Solo la trae el
+     * driver `database` (`membersOfNative: true`); en `openfga` es 500
+     * `E_AUTHZ_UNSUPPORTED` nombrándola (la transitiva sería `ListUsers`, que
+     * trunca), jamás un `skip`.
+     */
+    async membersOf(object, relation, partition, page) {
+        assertScope(partition);
+        if (!this.#driver.membersOf || !this.#driver.capabilities?.membersOfNative) {
+            throw new UnsupportedOperationError('membersOf', 'la membresía transitiva de un grupo', 'relations', `Solo el driver 'database' la resuelve (CTE recursiva); en 'openfga' la transitiva sería ` +
+                `'ListUsers', que trunca. Usa 'listSubjects' para los hechos directos.`);
+        }
+        return this.#driver.membersOf(object, relation, partition, page);
+    }
+    /** ORIGEN de `authz:reconcile` de relaciones. 500 `E_AUTHZ_UNSUPPORTED` si el driver no lo trae. */
+    async enumerateRelations(partition, page) {
+        assertScope(partition);
+        if (!this.#driver.enumerateRelations || !this.#driver.capabilities?.enumerateRelations) {
+            throw new UnsupportedOperationError('enumerateRelations', 'ser origen de authz:reconcile de relaciones', 'relations');
+        }
+        return this.#driver.enumerateRelations(partition, page);
+    }
+    #assertSubject(subject, partition) {
+        if (isRelUserset(subject)) {
+            // El userset (`group:g#member`) también se ancla a la partición; su
+            // objeto se valida como cualquier otro objeto declarado (tipo + id, R-16).
+            this.#assertDeclared(subject.object, subject.relation);
+            this.#assertObjectId(subject.object);
+            assertScope(partition);
+            return;
+        }
+        assertSubject(subject);
+    }
+}
+//# sourceMappingURL=manager.js.map

package/build/src/relations/manager.js.map

@@ -0,0 +1 @@
+{"version":3,"file":"manager.js","sourceRoot":"","sources":["../../../src/relations/manager.ts"],"names":[],"mappings":"AAAA;;;;;;;;;;;;;;;;;;;;;;GAsBG;AACH,OAAO,EACL,kBAAkB,EAClB,wBAAwB,EACxB,oBAAoB,EACpB,yBAAyB,GAC1B,MAAM,cAAc,CAAA;AACrB,OAAO,EAAE,WAAW,EAAE,aAAa,EAAE,gBAAgB,EAAE,MAAM,gBAAgB,CAAA;AAc7E,OAAO,EAAE,YAAY,EAAE,MAAM,aAAa,CAAA;AAgB1C,MAAM,OAAO,gBAAgB;IAClB,OAAO,CAAiB;IACxB,OAAO,CAAiB;IACxB,QAAQ,CAAyB;IAE1C,YAAY,MAAuB,EAAE,MAAuB,EAAE,UAAmC,EAAE;QACjG,IAAI,CAAC,OAAO,GAAG,MAAM,CAAA;QACrB,IAAI,CAAC,OAAO,GAAG,MAAM,CAAA;QACrB,IAAI,CAAC,QAAQ,GAAG,OAAO,CAAA;IACzB,CAAC;IAED,iFAAiF;IACjF,MAAM;QACJ,OAAO,IAAI,CAAC,OAAO,CAAA;IACrB,CAAC;IAED;;;;;OAKG;IACH,eAAe,CAAC,MAAiB,EAAE,QAAgB;QACjD,IAAI,CAAC,MAAM,IAAI,OAAO,MAAM,KAAK,QAAQ,IAAI,OAAO,MAAM,CAAC,IAAI,KAAK,QAAQ,EAAE,CAAC;YAC7E,MAAM,IAAI,wBAAwB,CAChC,iEAAiE,IAAI,CAAC,SAAS,CAAC,MAAM,CAAC,GAAG,CAC3F,CAAA;QACH,CAAC;QACD,IAAI,CAAC,IAAI,CAAC,OAAO,CAAC,OAAO,CAAC,MAAM,CAAC,IAAI,CAAC,EAAE,CAAC;YACvC,MAAM,IAAI,wBAAwB,CAChC,sBAAsB,MAAM,CAAC,IAAI,uDAAuD;gBACtF,6FAA6F;gBAC7F,8EAA8E,CACjF,CAAA;QACH,CAAC;QACD,IAAI,CAAC,IAAI,CAAC,OAAO,CAAC,UAAU,CAAC,MAAM,CAAC,IAAI,EAAE,QAAQ,CAAC,EAAE,CAAC;YACpD,MAAM,IAAI,oBAAoB,CAC5B,gBAAgB,QAAQ,qCAAqC,MAAM,CAAC,IAAI,OAAO;gBAC7E,+BAA+B,CAClC,CAAA;QACH,CAAC;IACH,CAAC;IAED;;;;;;;OAOG;IACH,eAAe,CAAC,MAAiB;QAC/B,gBAAgB,CAAC,qBAAqB,MAAM,EAAE,IAAI,GAAG,EAAE,MAAM,EAAE,EAAE,CAAC,CAAA;IACpE,CAAC;IAED,YAAY,CAAC,OAA8B;QACzC,IAAI,IAAI,CAAC,QAAQ,CAAC,YAAY,IAAI,CAAC,OAAO,EAAE,KAAK,EAAE,CAAC;YAClD,MAAM,IAAI,kBAAkB,CAC1B,yEAAyE,CAC1E,CAAA;QACH,CAAC;IACH,CAAC;IAED,KAAK,CAAC,MAAM,CACV,OAAmB,EACnB,QAAgB,EAChB,MAAiB,EACjB,SAAmB,EACnB,OAA8B;QAE9B,IAAI,CAAC,eAAe,CAAC,MAAM,EAAE,QAAQ,CAAC,CAAA;QACtC,IAAI,CAAC,eAAe,CAAC,MAAM,CAAC,CAAA;QAC5B,IAAI,CAAC,YAAY,CAAC,OAAO,CAAC,CAAA;QAC1B,WAAW,CAAC,SAAS,CAAC,CAAA;QACtB,IAAI,CAAC,cAAc,CAAC,OAAO,EAAE,SAAS,CAAC,CAAA;QACvC,MAAM,GAAG,GAAgB,EAAE,SAAS,EAAE,QAAQ,EAAE,OAAO,EAAE,QAAQ,EAAE,MAAM,EAAE,SAAS,EAAE,CAAA;QACtF,IAAI,CAAC,QAAQ,CAAC,WAAW,EAAE,CAAC,GAAG,CAAC,CAAA;QAChC,MAAM,IAAI,CAAC,OAAO,CAAC,MAAM,CAAC,OAAO,EAAE,QAAQ,EAAE,MAAM,EAAE,SAAS,EAAE,OAAO,CAAC,CAAA;QACxE,IAAI,CAAC,QAAQ,CAAC,eAAe,EAAE,CAAC,EAAE,GAAG,GAAG,EAAE,KAAK,EAAE,OAAO,EAAE,KAAK,EAAE,CAAC,CAAA;IACpE,CAAC;IAED,KAAK,CAAC,QAAQ,CACZ,OAAmB,EACnB,QAAgB,EAChB,MAAiB,EACjB,SAAmB,EACnB,OAA8B;QAE9B,IAAI,CAAC,eAAe,CAAC,MAAM,EAAE,QAAQ,CAAC,CAAA;QACtC,IAAI,CAAC,eAAe,CAAC,MAAM,CAAC,CAAA;QAC5B,IAAI,CAAC,YAAY,CAAC,OAAO,CAAC,CAAA;QAC1B,WAAW,CAAC,SAAS,CAAC,CAAA;QACtB,IAAI,CAAC,cAAc,CAAC,OAAO,EAAE,SAAS,CAAC,CAAA;QACvC,MAAM,GAAG,GAAgB,EAAE,SAAS,EAAE,UAAU,EAAE,OAAO,EAAE,QAAQ,EAAE,MAAM,EAAE,SAAS,EAAE,CAAA;QACxF,IAAI,CAAC,QAAQ,CAAC,WAAW,EAAE,CAAC,GAAG,CAAC,CAAA;QAChC,MAAM,IAAI,CAAC,OAAO,CAAC,QAAQ,CAAC,OAAO,EAAE,QAAQ,EAAE,MAAM,EAAE,SAAS,EAAE,OAAO,CAAC,CAAA;QAC1E,IAAI,CAAC,QAAQ,CAAC,eAAe,EAAE,CAAC,EAAE,GAAG,GAAG,EAAE,KAAK,EAAE,OAAO,EAAE,KAAK,EAAE,CAAC,CAAA;IACpE,CAAC;IAED,KAAK,CAAC,KAAK,CAAC,OAAmB,EAAE,QAAgB,EAAE,MAAiB,EAAE,SAAmB;QACvF,WAAW,CAAC,SAAS,CAAC,CAAA;QACtB,IAAI,CAAC,eAAe,CAAC,MAAM,CAAC,CAAA;QAC5B,OAAO,IAAI,CAAC,OAAO,CAAC,KAAK,CAAC,OAAO,EAAE,QAAQ,EAAE,MAAM,EAAE,SAAS,CAAC,CAAA;IACjE,CAAC;IAED,KAAK,CAAC,WAAW,CACf,OAAmB,EACnB,QAAgB,EAChB,UAAkB,EAClB,SAAmB,EACnB,IAAmB;QAEnB,WAAW,CAAC,SAAS,CAAC,CAAA;QACtB,OAAO,IAAI,CAAC,OAAO,CAAC,WAAW,CAAC,OAAO,EAAE,QAAQ,EAAE,UAAU,EAAE,SAAS,EAAE,IAAI,CAAC,CAAA;IACjF,CAAC;IAED,KAAK,CAAC,YAAY,CAChB,QAAgB,EAChB,MAAiB,EACjB,SAAmB,EACnB,IAAmB;QAEnB,WAAW,CAAC,SAAS,CAAC,CAAA;QACtB,IAAI,CAAC,eAAe,CAAC,MAAM,CAAC,CAAA;QAC5B,OAAO,IAAI,CAAC,OAAO,CAAC,YAAY,CAAC,QAAQ,EAAE,MAAM,EAAE,SAAS,EAAE,IAAI,CAAC,CAAA;IACrE,CAAC;IAED,KAAK,CAAC,WAAW,CAAC,MAAiB,EAAE,SAAmB;QACtD,WAAW,CAAC,SAAS,CAAC,CAAA;QACtB,IAAI,CAAC,eAAe,CAAC,MAAM,CAAC,CAAA;QAC5B,OAAO,IAAI,CAAC,OAAO,CAAC,WAAW,CAAC,MAAM,EAAE,SAAS,CAAC,CAAA;IACpD,CAAC;IAED,KAAK,CAAC,YAAY,CAAC,OAAmB,EAAE,SAAmB;QACzD,WAAW,CAAC,SAAS,CAAC,CAAA;QACtB,OAAO,IAAI,CAAC,OAAO,CAAC,YAAY,CAAC,OAAO,EAAE,SAAS,CAAC,CAAA;IACtD,CAAC;IAED;;;;;;OAMG;IACH,KAAK,CAAC,SAAS,CACb,MAAiB,EACjB,QAAgB,EAChB,SAAmB,EACnB,IAAmB;QAEnB,WAAW,CAAC,SAAS,CAAC,CAAA;QACtB,IAAI,CAAC,IAAI,CAAC,OAAO,CAAC,SAAS,IAAI,CAAC,IAAI,CAAC,OAAO,CAAC,YAAY,EAAE,eAAe,EAAE,CAAC;YAC3E,MAAM,IAAI,yBAAyB,CACjC,WAAW,EACX,qCAAqC,EACrC,WAAW,EACX,0FAA0F;gBACxF,uEAAuE,CAC1E,CAAA;QACH,CAAC;QACD,OAAO,IAAI,CAAC,OAAO,CAAC,SAAS,CAAC,MAAM,EAAE,QAAQ,EAAE,SAAS,EAAE,IAAI,CAAC,CAAA;IAClE,CAAC;IAED,oGAAoG;IACpG,KAAK,CAAC,kBAAkB,CAAC,SAAmB,EAAE,IAAmB;QAC/D,WAAW,CAAC,SAAS,CAAC,CAAA;QACtB,IAAI,CAAC,IAAI,CAAC,OAAO,CAAC,kBAAkB,IAAI,CAAC,IAAI,CAAC,OAAO,CAAC,YAAY,EAAE,kBAAkB,EAAE,CAAC;YACvF,MAAM,IAAI,yBAAyB,CACjC,oBAAoB,EACpB,6CAA6C,EAC7C,WAAW,CACZ,CAAA;QACH,CAAC;QACD,OAAO,IAAI,CAAC,OAAO,CAAC,kBAAkB,CAAC,SAAS,EAAE,IAAI,CAAC,CAAA;IACzD,CAAC;IAED,cAAc,CAAC,OAAmB,EAAE,SAAmB;QACrD,IAAI,YAAY,CAAC,OAAO,CAAC,EAAE,CAAC;YAC1B,oEAAoE;YACpE,2EAA2E;YAC3E,IAAI,CAAC,eAAe,CAAC,OAAO,CAAC,MAAM,EAAE,OAAO,CAAC,QAAQ,CAAC,CAAA;YACtD,IAAI,CAAC,eAAe,CAAC,OAAO,CAAC,MAAM,CAAC,CAAA;YACpC,WAAW,CAAC,SAAS,CAAC,CAAA;YACtB,OAAM;QACR,CAAC;QACD,aAAa,CAAC,OAAO,CAAC,CAAA;IACxB,CAAC;CACF"}

package/build/src/relations/reconcile.d.ts

@@ -0,0 +1,62 @@
+import type { RelationsDriver, ScopeRef } from '../types.js';
+import type { RelationsConfig } from './define_relations_config.js';
+export interface RelationsReconcileOptions {
+    /** El driver del que se LEEN las tuplas (origen). Necesita `enumerateRelations`. */
+    from: RelationsDriver;
+    /** El driver al que se ESCRIBEN (destino). Necesita `enumerateRelations` para ver lo que sobra. */
+    to: RelationsDriver;
+    /** La partición a migrar (mono-tenant: `APP_SCOPE`). El reconcile es POR partición. */
+    partition: ScopeRef;
+    /** Solo reporta lo que HARÍA; cero escrituras (read-only por contrato, como el de roles). */
+    dryRun?: boolean;
+    /** Borra del destino las tuplas que el origen ya no respalda. Sin él, solo añade. */
+    prune?: boolean;
+    /**
+     * **El seguro de borrado masivo** (R-17): con `prune` y un ORIGEN sin una
+     * sola tupla utilizable, borrar TODO el destino es 500
+     * `E_AUTHZ_MASS_RECONCILE_REFUSED` (la firma de un `--from` equivocado o de un
+     * store vacío). `allowMassDelete: true` (`--allow-mass-delete`) es la decisión
+     * humana de vaciarlo de verdad; `--dry-run` no lanza, lo marca en `massDelete`.
+     * Paridad con el seguro de `authz:reconcile` de roles.
+     */
+    allowMassDelete?: boolean;
+    /**
+     * La config del DESTINO, para vigilar la deriva del modelo fusionado en
+     * `--dry-run`: un tipo de relación presente en el origen que el destino NO
+     * declara no cabría en su modelo fusionado (se reporta en `modelDrift`).
+     */
+    toConfig?: RelationsConfig;
+}
+export interface RelationsReconcileReport {
+    /** ¿Fue `--dry-run` (sin escrituras)? */
+    dryRun: boolean;
+    /** Tuplas nuevas escritas en el destino (o que se escribirían, en `--dry-run`). */
+    written: number;
+    /** Tuplas que sobraban en el destino y se borraron (solo con `prune`; o que se borrarían). */
+    deleted: number;
+    /** Tuplas que ya estaban exactamente igual. */
+    unchanged: number;
+    /**
+     * Tuplas del destino que el origen ya no respalda y que NO se borraron por
+     * no pasar `--prune` (deriva recuperable; con `prune` pasan a `deleted`).
+     */
+    extra: number;
+    /**
+     * Deriva del modelo fusionado del destino (`--dry-run`): tipos de relación
+     * del origen que la config del destino no declara. Vacío si no aplica.
+     */
+    modelDrift: string[];
+    /**
+     * **El seguro de borrado masivo se disparó** (R-17): `prune` iba a borrar
+     * tuplas y el ORIGEN no aportó ni una utilizable. En una pasada real es 500
+     * (salvo `allowMassDelete`); en `--dry-run` NO lanza y esto lo marca.
+     */
+    massDelete: boolean;
+}
+/**
+ * Migra las tuplas de relación de `from` a `to` en `partition`. Idempotente
+ * (una segunda pasada no escribe nada) y bidireccional (funciona en cualquier
+ * sentido). Nunca silenciosa: devuelve `written`/`deleted`/`unchanged`/`extra`.
+ */
+export declare function reconcileRelations(options: RelationsReconcileOptions): Promise<RelationsReconcileReport>;
+//# sourceMappingURL=reconcile.d.ts.map

package/build/src/relations/reconcile.d.ts.map

@@ -0,0 +1 @@
+{"version":3,"file":"reconcile.d.ts","sourceRoot":"","sources":["../../../src/relations/reconcile.ts"],"names":[],"mappings":"AAwBA,OAAO,KAAK,EAA6B,eAAe,EAAE,QAAQ,EAAE,MAAM,aAAa,CAAA;AACvF,OAAO,KAAK,EAAE,eAAe,EAAE,MAAM,8BAA8B,CAAA;AAkBnE,MAAM,WAAW,yBAAyB;IACxC,oFAAoF;IACpF,IAAI,EAAE,eAAe,CAAA;IACrB,mGAAmG;IACnG,EAAE,EAAE,eAAe,CAAA;IACnB,uFAAuF;IACvF,SAAS,EAAE,QAAQ,CAAA;IACnB,6FAA6F;IAC7F,MAAM,CAAC,EAAE,OAAO,CAAA;IAChB,qFAAqF;IACrF,KAAK,CAAC,EAAE,OAAO,CAAA;IACf;;;;;;;OAOG;IACH,eAAe,CAAC,EAAE,OAAO,CAAA;IACzB;;;;OAIG;IACH,QAAQ,CAAC,EAAE,eAAe,CAAA;CAC3B;AAED,MAAM,WAAW,wBAAwB;IACvC,yCAAyC;IACzC,MAAM,EAAE,OAAO,CAAA;IACf,mFAAmF;IACnF,OAAO,EAAE,MAAM,CAAA;IACf,8FAA8F;IAC9F,OAAO,EAAE,MAAM,CAAA;IACf,+CAA+C;IAC/C,SAAS,EAAE,MAAM,CAAA;IACjB;;;OAGG;IACH,KAAK,EAAE,MAAM,CAAA;IACb;;;OAGG;IACH,UAAU,EAAE,MAAM,EAAE,CAAA;IACpB;;;;OAIG;IACH,UAAU,EAAE,OAAO,CAAA;CACpB;AA8BD;;;;GAIG;AACH,wBAAsB,kBAAkB,CAAC,OAAO,EAAE,yBAAyB,GAAG,OAAO,CAAC,wBAAwB,CAAC,CAyE9G"}

package/build/src/relations/reconcile.js

@@ -0,0 +1,138 @@
+/**
+ * **`authz:reconcile` de relaciones** (Fase 4, lote 4-5) — migra las tuplas de
+ * relación de un `RelationsDriver` a otro, idempotente y bidireccional, nunca
+ * silenciosa. Es el análogo de `manager.reconcile` de roles, pero para el
+ * puerto `RelationsDriver`: solo hay HECHOS de relación (no árbol ni catálogo),
+ * así que es más simple —lee el ORIGEN por `enumerateRelations`, lee el DESTINO
+ * ENTERO (la única forma de ver lo que SOBRA), y aplica writes y —con
+ * `prune`— deletes—.
+ *
+ * **La lección M1/M3/T4 de la 3b** (el agujero del 3b-4·C1): un contrato que
+ * solo cruza `report.skipped` se pasa PERDIENDO datos. El verificador de
+ * verdad es el CENSO (`src/testing/relations_reconcile_contract.ts`): busca
+ * cada hecho sembrado en el destino UNO A UNO por el camino DIRECTO
+ * (`listSubjects`), no le pregunta al origen lleno. Un tramo omisivo o una
+ * pérdida de `subject_relation` (un userset migrado como holder) o de
+ * partición se ve ROJA ahí, no en los contadores.
+ *
+ * Pureza (regla 2): este módulo vive en `src/relations/` y solo depende del
+ * puerto (`../types.js`), los errores y la config de relaciones. NO importa
+ * `manager` ni `drivers/*`: los drivers concretos los inyecta el llamante (la
+ * plataforma), como `manager.reconcile` recibe el destino por su clave.
+ */
+import { MassReconcileRefusedError, UnsupportedOperationError } from '../errors.js';
+import { isRelUserset } from '../types.js';
+/** La clave estable de una tupla de relación (partición + objeto + relación + sujeto). */
+function subjectKey(subject) {
+    if (isRelUserset(subject))
+        return `${subject.object.type}:${subject.object.id}#${subject.relation}`;
+    return `${subject.type}:${subject.uuid}`;
+}
+function scopeKeyOf(scope) {
+    return scope.type === 'app' ? 'app' : `${scope.type}|${scope.uuid}`;
+}
+function tupleKey(tuple) {
+    return `${scopeKeyOf(tuple.partition)}|${tuple.object.type}:${tuple.object.id}#${tuple.relation}@${subjectKey(tuple.subject)}`;
+}
+/** Enumera TODAS las tuplas de una partición de un driver (paginando el cursor). */
+async function enumerateAll(driver, partition, role) {
+    if (!driver.enumerateRelations || !driver.capabilities?.enumerateRelations) {
+        throw new UnsupportedOperationError('enumerateRelations', `ser ${role} de authz:reconcile de relaciones`, 'relations', `El driver ${role} no sabe enumerar sus tuplas (capacidad 'enumerateRelations': false). ` +
+            `Sin poder leer ${role === 'destino' ? 'el destino no se ve qué sobra' : 'el origen no hay nada que migrar'}.`);
+    }
+    const out = [];
+    const seen = new Set();
+    let after;
+    let pages = 0;
+    do {
+        const page = await driver.enumerateRelations(partition, after ? { after } : undefined);
+        out.push(...page.tuples);
+        after = page.cursor || undefined;
+        if (after) {
+            if (seen.has(after))
+                throw new Error(`enumerateRelations (${role}): el cursor '${after}' se repite; no avanza`);
+            seen.add(after);
+            if (++pages > 100_000)
+                throw new Error(`enumerateRelations (${role}): más de 100000 páginas sin agotar`);
+        }
+    } while (after);
+    return out;
+}
+/**
+ * Migra las tuplas de relación de `from` a `to` en `partition`. Idempotente
+ * (una segunda pasada no escribe nada) y bidireccional (funciona en cualquier
+ * sentido). Nunca silenciosa: devuelve `written`/`deleted`/`unchanged`/`extra`.
+ */
+export async function reconcileRelations(options) {
+    const { from, to, partition, dryRun = false, prune = false, allowMassDelete = false, toConfig } = options;
+    const sourceTuples = await enumerateAll(from, partition, 'origen');
+    const destTuples = await enumerateAll(to, partition, 'destino');
+    const sourceByKey = new Map();
+    for (const tuple of sourceTuples)
+        sourceByKey.set(tupleKey(tuple), tuple);
+    const destKeys = new Set(destTuples.map((tuple) => tupleKey(tuple)));
+    const toWrite = [];
+    let unchanged = 0;
+    for (const [key, tuple] of sourceByKey) {
+        if (destKeys.has(key))
+            unchanged += 1;
+        else
+            toWrite.push(tuple);
+    }
+    const toDelete = destTuples.filter((tuple) => !sourceByKey.has(tupleKey(tuple)));
+    // Deriva del modelo fusionado del destino (--dry-run): tipos del origen que
+    // el destino no declara. `group` es built-in (el generador lo emite siempre).
+    const modelDrift = [];
+    if (toConfig) {
+        const declared = new Set(['group', ...toConfig.objectTypes.map((t) => t.type)]);
+        const seenDrift = new Set();
+        for (const tuple of sourceTuples) {
+            if (!declared.has(tuple.object.type) && !seenDrift.has(tuple.object.type)) {
+                seenDrift.add(tuple.object.type);
+                modelDrift.push(tuple.object.type);
+            }
+        }
+    }
+    // **El seguro de borrado masivo** (R-17, paridad con `authz:reconcile` de
+    // roles / AA2). `prune` + un ORIGEN sin una sola tupla utilizable + un destino
+    // con tuplas que borrar es la firma de un `--from` equivocado o de un store
+    // vacío: vaciar el destino entero se rechaza con 500 antes de tocar nada,
+    // salvo `allowMassDelete`. En `--dry-run` no lanza, lo marca. «Utilizable» =
+    // una tupla del origen cuyo tipo cabe en el modelo del destino (los tipos que
+    // `modelDrift` recoge no migrarían, así que no cuentan como respaldo).
+    const usableSource = toConfig
+        ? sourceTuples.filter((tuple) => declaredIn(toConfig, tuple.object.type)).length
+        : sourceTuples.length;
+    const massDelete = prune && toDelete.length > 0 && usableSource === 0;
+    if (massDelete && !dryRun && !allowMassDelete) {
+        throw new MassReconcileRefusedError(`authz:relations:reconcile --prune borraría ${toDelete.length} tupla(s) de relación del destino y el ` +
+            `ORIGEN no ha aportado NI UNA utilizable (${sourceTuples.length} leídas` +
+            `${toConfig ? ', todas de tipos que el destino no declara' : ''}). Eso es la firma de un --from ` +
+            `equivocado o de un store vacío, no de un destino que sobra: esta pasada dejaría la partición sin ` +
+            `una sola relación. Comprueba el --from y el store; si de verdad quieres vaciarlo, --allow-mass-delete.`);
+    }
+    if (!dryRun) {
+        for (const tuple of toWrite) {
+            await to.relate(tuple.subject, tuple.relation, tuple.object, tuple.partition);
+        }
+        if (prune) {
+            for (const tuple of toDelete) {
+                await to.unrelate(tuple.subject, tuple.relation, tuple.object, tuple.partition);
+            }
+        }
+    }
+    return {
+        dryRun,
+        written: toWrite.length,
+        deleted: prune ? toDelete.length : 0,
+        unchanged,
+        extra: prune ? 0 : toDelete.length,
+        modelDrift,
+        massDelete,
+    };
+}
+/** ¿El tipo de objeto cabe en el modelo fusionado del destino? (`group` es built-in.) */
+function declaredIn(config, objectType) {
+    return objectType === 'group' || config.objectTypes.some((t) => t.type === objectType);
+}
+//# sourceMappingURL=reconcile.js.map

package/build/src/relations/reconcile.js.map

@@ -0,0 +1 @@
+{"version":3,"file":"reconcile.js","sourceRoot":"","sources":["../../../src/relations/reconcile.ts"],"names":[],"mappings":"AAAA;;;;;;;;;;;;;;;;;;;;;GAqBG;AACH,OAAO,EAAE,yBAAyB,EAAE,yBAAyB,EAAE,MAAM,cAAc,CAAA;AACnF,OAAO,EAAE,YAAY,EAAE,MAAM,aAAa,CAAA;AAI1C,0FAA0F;AAC1F,SAAS,UAAU,CAAC,OAAmB;IACrC,IAAI,YAAY,CAAC,OAAO,CAAC;QAAE,OAAO,GAAG,OAAO,CAAC,MAAM,CAAC,IAAI,IAAI,OAAO,CAAC,MAAM,CAAC,EAAE,IAAI,OAAO,CAAC,QAAQ,EAAE,CAAA;IACnG,OAAO,GAAG,OAAO,CAAC,IAAI,IAAI,OAAO,CAAC,IAAI,EAAE,CAAA;AAC1C,CAAC;AAED,SAAS,UAAU,CAAC,KAAe;IACjC,OAAO,KAAK,CAAC,IAAI,KAAK,KAAK,CAAC,CAAC,CAAC,KAAK,CAAC,CAAC,CAAC,GAAG,KAAK,CAAC,IAAI,IAAI,KAAK,CAAC,IAAI,EAAE,CAAA;AACrE,CAAC;AAED,SAAS,QAAQ,CAAC,KAAoB;IACpC,OAAO,GAAG,UAAU,CAAC,KAAK,CAAC,SAAS,CAAC,IAAI,KAAK,CAAC,MAAM,CAAC,IAAI,IAAI,KAAK,CAAC,MAAM,CAAC,EAAE,IAAI,KAAK,CAAC,QAAQ,IAAI,UAAU,CAC3G,KAAK,CAAC,OAAO,CACd,EAAE,CAAA;AACL,CAAC;AAyDD,oFAAoF;AACpF,KAAK,UAAU,YAAY,CAAC,MAAuB,EAAE,SAAmB,EAAE,IAA0B;IAClG,IAAI,CAAC,MAAM,CAAC,kBAAkB,IAAI,CAAC,MAAM,CAAC,YAAY,EAAE,kBAAkB,EAAE,CAAC;QAC3E,MAAM,IAAI,yBAAyB,CACjC,oBAAoB,EACpB,OAAO,IAAI,mCAAmC,EAC9C,WAAW,EACX,aAAa,IAAI,wEAAwE;YACvF,kBAAkB,IAAI,KAAK,SAAS,CAAC,CAAC,CAAC,+BAA+B,CAAC,CAAC,CAAC,kCAAkC,GAAG,CACjH,CAAA;IACH,CAAC;IACD,MAAM,GAAG,GAAoB,EAAE,CAAA;IAC/B,MAAM,IAAI,GAAG,IAAI,GAAG,EAAU,CAAA;IAC9B,IAAI,KAAyB,CAAA;IAC7B,IAAI,KAAK,GAAG,CAAC,CAAA;IACb,GAAG,CAAC;QACF,MAAM,IAAI,GAAG,MAAM,MAAM,CAAC,kBAAkB,CAAC,SAAS,EAAE,KAAK,CAAC,CAAC,CAAC,EAAE,KAAK,EAAE,CAAC,CAAC,CAAC,SAAS,CAAC,CAAA;QACtF,GAAG,CAAC,IAAI,CAAC,GAAG,IAAI,CAAC,MAAM,CAAC,CAAA;QACxB,KAAK,GAAG,IAAI,CAAC,MAAM,IAAI,SAAS,CAAA;QAChC,IAAI,KAAK,EAAE,CAAC;YACV,IAAI,IAAI,CAAC,GAAG,CAAC,KAAK,CAAC;gBAAE,MAAM,IAAI,KAAK,CAAC,uBAAuB,IAAI,iBAAiB,KAAK,wBAAwB,CAAC,CAAA;YAC/G,IAAI,CAAC,GAAG,CAAC,KAAK,CAAC,CAAA;YACf,IAAI,EAAE,KAAK,GAAG,OAAO;gBAAE,MAAM,IAAI,KAAK,CAAC,uBAAuB,IAAI,qCAAqC,CAAC,CAAA;QAC1G,CAAC;IACH,CAAC,QAAQ,KAAK,EAAC;IACf,OAAO,GAAG,CAAA;AACZ,CAAC;AAED;;;;GAIG;AACH,MAAM,CAAC,KAAK,UAAU,kBAAkB,CAAC,OAAkC;IACzE,MAAM,EAAE,IAAI,EAAE,EAAE,EAAE,SAAS,EAAE,MAAM,GAAG,KAAK,EAAE,KAAK,GAAG,KAAK,EAAE,eAAe,GAAG,KAAK,EAAE,QAAQ,EAAE,GAAG,OAAO,CAAA;IAEzG,MAAM,YAAY,GAAG,MAAM,YAAY,CAAC,IAAI,EAAE,SAAS,EAAE,QAAQ,CAAC,CAAA;IAClE,MAAM,UAAU,GAAG,MAAM,YAAY,CAAC,EAAE,EAAE,SAAS,EAAE,SAAS,CAAC,CAAA;IAE/D,MAAM,WAAW,GAAG,IAAI,GAAG,EAAyB,CAAA;IACpD,KAAK,MAAM,KAAK,IAAI,YAAY;QAAE,WAAW,CAAC,GAAG,CAAC,QAAQ,CAAC,KAAK,CAAC,EAAE,KAAK,CAAC,CAAA;IACzE,MAAM,QAAQ,GAAG,IAAI,GAAG,CAAC,UAAU,CAAC,GAAG,CAAC,CAAC,KAAK,EAAE,EAAE,CAAC,QAAQ,CAAC,KAAK,CAAC,CAAC,CAAC,CAAA;IAEpE,MAAM,OAAO,GAAoB,EAAE,CAAA;IACnC,IAAI,SAAS,GAAG,CAAC,CAAA;IACjB,KAAK,MAAM,CAAC,GAAG,EAAE,KAAK,CAAC,IAAI,WAAW,EAAE,CAAC;QACvC,IAAI,QAAQ,CAAC,GAAG,CAAC,GAAG,CAAC;YAAE,SAAS,IAAI,CAAC,CAAA;;YAChC,OAAO,CAAC,IAAI,CAAC,KAAK,CAAC,CAAA;IAC1B,CAAC;IACD,MAAM,QAAQ,GAAoB,UAAU,CAAC,MAAM,CAAC,CAAC,KAAK,EAAE,EAAE,CAAC,CAAC,WAAW,CAAC,GAAG,CAAC,QAAQ,CAAC,KAAK,CAAC,CAAC,CAAC,CAAA;IAEjG,4EAA4E;IAC5E,8EAA8E;IAC9E,MAAM,UAAU,GAAa,EAAE,CAAA;IAC/B,IAAI,QAAQ,EAAE,CAAC;QACb,MAAM,QAAQ,GAAG,IAAI,GAAG,CAAS,CAAC,OAAO,EAAE,GAAG,QAAQ,CAAC,WAAW,CAAC,GAAG,CAAC,CAAC,CAAC,EAAE,EAAE,CAAC,CAAC,CAAC,IAAI,CAAC,CAAC,CAAC,CAAA;QACvF,MAAM,SAAS,GAAG,IAAI,GAAG,EAAU,CAAA;QACnC,KAAK,MAAM,KAAK,IAAI,YAAY,EAAE,CAAC;YACjC,IAAI,CAAC,QAAQ,CAAC,GAAG,CAAC,KAAK,CAAC,MAAM,CAAC,IAAI,CAAC,IAAI,CAAC,SAAS,CAAC,GAAG,CAAC,KAAK,CAAC,MAAM,CAAC,IAAI,CAAC,EAAE,CAAC;gBAC1E,SAAS,CAAC,GAAG,CAAC,KAAK,CAAC,MAAM,CAAC,IAAI,CAAC,CAAA;gBAChC,UAAU,CAAC,IAAI,CAAC,KAAK,CAAC,MAAM,CAAC,IAAI,CAAC,CAAA;YACpC,CAAC;QACH,CAAC;IACH,CAAC;IAED,0EAA0E;IAC1E,+EAA+E;IAC/E,4EAA4E;IAC5E,0EAA0E;IAC1E,6EAA6E;IAC7E,8EAA8E;IAC9E,uEAAuE;IACvE,MAAM,YAAY,GAAG,QAAQ;QAC3B,CAAC,CAAC,YAAY,CAAC,MAAM,CAAC,CAAC,KAAK,EAAE,EAAE,CAAC,UAAU,CAAC,QAAQ,EAAE,KAAK,CAAC,MAAM,CAAC,IAAI,CAAC,CAAC,CAAC,MAAM;QAChF,CAAC,CAAC,YAAY,CAAC,MAAM,CAAA;IACvB,MAAM,UAAU,GAAG,KAAK,IAAI,QAAQ,CAAC,MAAM,GAAG,CAAC,IAAI,YAAY,KAAK,CAAC,CAAA;IACrE,IAAI,UAAU,IAAI,CAAC,MAAM,IAAI,CAAC,eAAe,EAAE,CAAC;QAC9C,MAAM,IAAI,yBAAyB,CACjC,8CAA8C,QAAQ,CAAC,MAAM,yCAAyC;YACpG,4CAA4C,YAAY,CAAC,MAAM,SAAS;YACxE,GAAG,QAAQ,CAAC,CAAC,CAAC,4CAA4C,CAAC,CAAC,CAAC,EAAE,kCAAkC;YACjG,mGAAmG;YACnG,wGAAwG,CAC3G,CAAA;IACH,CAAC;IAED,IAAI,CAAC,MAAM,EAAE,CAAC;QACZ,KAAK,MAAM,KAAK,IAAI,OAAO,EAAE,CAAC;YAC5B,MAAM,EAAE,CAAC,MAAM,CAAC,KAAK,CAAC,OAAO,EAAE,KAAK,CAAC,QAAQ,EAAE,KAAK,CAAC,MAAM,EAAE,KAAK,CAAC,SAAS,CAAC,CAAA;QAC/E,CAAC;QACD,IAAI,KAAK,EAAE,CAAC;YACV,KAAK,MAAM,KAAK,IAAI,QAAQ,EAAE,CAAC;gBAC7B,MAAM,EAAE,CAAC,QAAQ,CAAC,KAAK,CAAC,OAAO,EAAE,KAAK,CAAC,QAAQ,EAAE,KAAK,CAAC,MAAM,EAAE,KAAK,CAAC,SAAS,CAAC,CAAA;YACjF,CAAC;QACH,CAAC;IACH,CAAC;IAED,OAAO;QACL,MAAM;QACN,OAAO,EAAE,OAAO,CAAC,MAAM;QACvB,OAAO,EAAE,KAAK,CAAC,CAAC,CAAC,QAAQ,CAAC,MAAM,CAAC,CAAC,CAAC,CAAC;QACpC,SAAS;QACT,KAAK,EAAE,KAAK,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,QAAQ,CAAC,MAAM;QAClC,UAAU;QACV,UAAU;KACX,CAAA;AACH,CAAC;AAED,yFAAyF;AACzF,SAAS,UAAU,CAAC,MAAuB,EAAE,UAAkB;IAC7D,OAAO,UAAU,KAAK,OAAO,IAAI,MAAM,CAAC,WAAW,CAAC,IAAI,CAAC,CAAC,CAAC,EAAE,EAAE,CAAC,CAAC,CAAC,IAAI,KAAK,UAAU,CAAC,CAAA;AACxF,CAAC"}

package/build/src/relations_config_store.d.ts

@@ -0,0 +1,22 @@
+import type { RelationsConfig, RelationsConfigSpec } from './relations/define_relations_config.js';
+export interface RelationsConfigStoreOptions {
+    connection?: string;
+    timeoutMs?: number;
+}
+/**
+ * **Guarda (persiste) la config de relaciones** bajo el gate de versión: la
+ * valida (⚪4/F-05 de config), la serializa a JSON y hace UPSERT de la fila
+ * `id=1` dentro de `withAuthzCatalogWrite` —que sube la versión compartida como
+ * última sentencia (invariante 14): un sync en otro proceso la ve en la
+ * siguiente pregunta—. Devuelve la config congelada.
+ */
+export declare function saveRelationsConfig(spec: RelationsConfigSpec, options?: RelationsConfigStoreOptions): Promise<RelationsConfig>;
+/** Lee el spec persistido (o `null` si no hay relaciones declaradas — opt-in). */
+export declare function readRelationsConfigSpec(options?: RelationsConfigStoreOptions): Promise<RelationsConfigSpec | null>;
+/**
+ * Lee la config persistida ya VALIDADA (o `null`). Es lo que hace 🟡3: un
+ * proceso SIN `defineRelationsConfig` en memoria recupera aquí los tipos de
+ * relación de la base, así que el modelo que republique los lleva.
+ */
+export declare function readRelationsConfig(options?: RelationsConfigStoreOptions): Promise<RelationsConfig | null>;
+//# sourceMappingURL=relations_config_store.d.ts.map

package/build/src/relations_config_store.d.ts.map

@@ -0,0 +1 @@
+{"version":3,"file":"relations_config_store.d.ts","sourceRoot":"","sources":["../../src/relations_config_store.ts"],"names":[],"mappings":"AA4BA,OAAO,KAAK,EAAE,eAAe,EAAE,mBAAmB,EAAE,MAAM,wCAAwC,CAAA;AAMlG,MAAM,WAAW,2BAA2B;IAC1C,UAAU,CAAC,EAAE,MAAM,CAAA;IACnB,SAAS,CAAC,EAAE,MAAM,CAAA;CACnB;AAMD;;;;;;GAMG;AACH,wBAAsB,mBAAmB,CACvC,IAAI,EAAE,mBAAmB,EACzB,OAAO,GAAE,2BAAgC,GACxC,OAAO,CAAC,eAAe,CAAC,CAc1B;AAED,kFAAkF;AAClF,wBAAsB,uBAAuB,CAC3C,OAAO,GAAE,2BAAgC,GACxC,OAAO,CAAC,mBAAmB,GAAG,IAAI,CAAC,CAMrC;AAED;;;;GAIG;AACH,wBAAsB,mBAAmB,CACvC,OAAO,GAAE,2BAAgC,GACxC,OAAO,CAAC,eAAe,GAAG,IAAI,CAAC,CAGjC"}