@jantstack/adonis-authz 1.1.0 → 2.4.0-alpha.1

package/build/src/relations_config_store.js

@@ -0,0 +1,74 @@
+/**
+ * **La config de relaciones PERSISTIDA** (Fase 4, lote 4-5 · 🟡3) — vive en la
+ * tabla `authz_relations_config`, bajo el gate de versión (invariante 14), como
+ * el catálogo. Es la copia de la config de relaciones en la BASE, para que
+ * cualquier proceso —también uno SIN `defineRelationsConfig` en memoria— lea
+ * los tipos declarados. Hoy la CONSUME `authz:relations:reconcile` (la config
+ * del DESTINO, para vigilar la deriva del modelo fusionado en `--dry-run`).
+ *
+ * Este módulo vive en `src/` (NO en `src/relations/`, que la regla 2 de pureza
+ * mantiene aislado del `db`): es la ruta que TOCA la base, como `catalog.ts`.
+ * Importa el TIPO y el validador de `src/relations/` (la dirección permitida:
+ * `relations/` no importa hacia afuera; los demás sí importan de él).
+ *
+ * **Nota (Fase 4-8):** el modelo fusionado del store lo publica
+ * `openfga:provision` leyendo los tipos de relación del CONFIG estático
+ * (`relations.config`, como `permissions` sale de `catalogs`), no de esta
+ * tabla: el comando es `startApp: false` (bootstrap del appliance, sin base) y
+ * no puede leer la base. Por eso el antiguo `republishFusedModel` —el
+ * republicador basado en esta tabla, con CAS sobre `model_id`— se retiró en
+ * 4-8: no tenía llamador de producción (la carrera que protegía no ocurre;
+ * republicar el modelo es un paso manual de operador, escritor único). Ver el
+ * informe 4-8. La columna `model_id` queda sin uso (cleanup futuro).
+ */
+import { systemClock } from './clock.js';
+import { guardSql } from './shared/backend_guard.js';
+import db from '@adonisjs/lucid/services/db';
+import { invalidateAuthzCatalog, withAuthzCatalogWrite } from './catalog/catalog_cache.js';
+import { defineRelationsConfig } from './relations/define_relations_config.js';
+const TABLE = 'authz_relations_config';
+const ROW_ID = 1;
+const DEFAULT_TIMEOUT_MS = 5_000;
+function connectionOf(options) {
+    return options?.connection ? db.connection(options.connection) : db;
+}
+/**
+ * **Guarda (persiste) la config de relaciones** bajo el gate de versión: la
+ * valida (⚪4/F-05 de config), la serializa a JSON y hace UPSERT de la fila
+ * `id=1` dentro de `withAuthzCatalogWrite` —que sube la versión compartida como
+ * última sentencia (invariante 14): un sync en otro proceso la ve en la
+ * siguiente pregunta—. Devuelve la config congelada.
+ */
+export async function saveRelationsConfig(spec, options = {}) {
+    // Valida ANTES de escribir: una config inválida no ensucia la tabla.
+    const config = defineRelationsConfig(spec);
+    const json = JSON.stringify(spec);
+    await withAuthzCatalogWrite(async (trx) => {
+        const existing = await trx.from(TABLE).where('id', ROW_ID).first();
+        if (existing) {
+            await trx.from(TABLE).where('id', ROW_ID).update({ spec: json, updated_at: systemClock() });
+        }
+        else {
+            await trx.table(TABLE).insert({ id: ROW_ID, spec: json, model_id: null, updated_at: systemClock() });
+        }
+    }, options);
+    invalidateAuthzCatalog();
+    return config;
+}
+/** Lee el spec persistido (o `null` si no hay relaciones declaradas — opt-in). */
+export async function readRelationsConfigSpec(options = {}) {
+    const row = await guardSql('relations-config', 'read', options.timeoutMs ?? DEFAULT_TIMEOUT_MS, () => connectionOf(options).from(TABLE).where('id', ROW_ID).first());
+    if (!row?.spec)
+        return null;
+    return JSON.parse(String(row.spec));
+}
+/**
+ * Lee la config persistida ya VALIDADA (o `null`). Es lo que hace 🟡3: un
+ * proceso SIN `defineRelationsConfig` en memoria recupera aquí los tipos de
+ * relación de la base, así que el modelo que republique los lleva.
+ */
+export async function readRelationsConfig(options = {}) {
+    const spec = await readRelationsConfigSpec(options);
+    return spec ? defineRelationsConfig(spec) : null;
+}
+//# sourceMappingURL=relations_config_store.js.map

package/build/src/relations_config_store.js.map

@@ -0,0 +1 @@
+{"version":3,"file":"relations_config_store.js","sourceRoot":"","sources":["../../src/relations_config_store.ts"],"names":[],"mappings":"AAAA;;;;;;;;;;;;;;;;;;;;;;GAsBG;AACH,OAAO,EAAE,WAAW,EAAE,MAAM,YAAY,CAAA;AACxC,OAAO,EAAE,QAAQ,EAAE,MAAM,2BAA2B,CAAA;AACpD,OAAO,EAAE,MAAM,6BAA6B,CAAA;AAC5C,OAAO,EAAE,sBAAsB,EAAE,qBAAqB,EAAE,MAAM,4BAA4B,CAAA;AAC1F,OAAO,EAAE,qBAAqB,EAAE,MAAM,wCAAwC,CAAA;AAG9E,MAAM,KAAK,GAAG,wBAAwB,CAAA;AACtC,MAAM,MAAM,GAAG,CAAC,CAAA;AAChB,MAAM,kBAAkB,GAAG,KAAK,CAAA;AAOhC,SAAS,YAAY,CAAC,OAAqC;IACzD,OAAO,OAAO,EAAE,UAAU,CAAC,CAAC,CAAC,EAAE,CAAC,UAAU,CAAC,OAAO,CAAC,UAAU,CAAC,CAAC,CAAC,CAAC,EAAE,CAAA;AACrE,CAAC;AAED;;;;;;GAMG;AACH,MAAM,CAAC,KAAK,UAAU,mBAAmB,CACvC,IAAyB,EACzB,UAAuC,EAAE;IAEzC,qEAAqE;IACrE,MAAM,MAAM,GAAG,qBAAqB,CAAC,IAAI,CAAC,CAAA;IAC1C,MAAM,IAAI,GAAG,IAAI,CAAC,SAAS,CAAC,IAAI,CAAC,CAAA;IACjC,MAAM,qBAAqB,CAAC,KAAK,EAAE,GAAG,EAAE,EAAE;QACxC,MAAM,QAAQ,GAAG,MAAM,GAAG,CAAC,IAAI,CAAC,KAAK,CAAC,CAAC,KAAK,CAAC,IAAI,EAAE,MAAM,CAAC,CAAC,KAAK,EAAE,CAAA;QAClE,IAAI,QAAQ,EAAE,CAAC;YACb,MAAM,GAAG,CAAC,IAAI,CAAC,KAAK,CAAC,CAAC,KAAK,CAAC,IAAI,EAAE,MAAM,CAAC,CAAC,MAAM,CAAC,EAAE,IAAI,EAAE,IAAI,EAAE,UAAU,EAAE,WAAW,EAAE,EAAE,CAAC,CAAA;QAC7F,CAAC;aAAM,CAAC;YACN,MAAM,GAAG,CAAC,KAAK,CAAC,KAAK,CAAC,CAAC,MAAM,CAAC,EAAE,EAAE,EAAE,MAAM,EAAE,IAAI,EAAE,IAAI,EAAE,QAAQ,EAAE,IAAI,EAAE,UAAU,EAAE,WAAW,EAAE,EAAE,CAAC,CAAA;QACtG,CAAC;IACH,CAAC,EAAE,OAAO,CAAC,CAAA;IACX,sBAAsB,EAAE,CAAA;IACxB,OAAO,MAAM,CAAA;AACf,CAAC;AAED,kFAAkF;AAClF,MAAM,CAAC,KAAK,UAAU,uBAAuB,CAC3C,UAAuC,EAAE;IAEzC,MAAM,GAAG,GAAQ,MAAM,QAAQ,CAAC,kBAAkB,EAAE,MAAM,EAAE,OAAO,CAAC,SAAS,IAAI,kBAAkB,EAAE,GAAG,EAAE,CACxG,YAAY,CAAC,OAAO,CAAC,CAAC,IAAI,CAAC,KAAK,CAAC,CAAC,KAAK,CAAC,IAAI,EAAE,MAAM,CAAC,CAAC,KAAK,EAAE,CAC9D,CAAA;IACD,IAAI,CAAC,GAAG,EAAE,IAAI;QAAE,OAAO,IAAI,CAAA;IAC3B,OAAO,IAAI,CAAC,KAAK,CAAC,MAAM,CAAC,GAAG,CAAC,IAAI,CAAC,CAAwB,CAAA;AAC5D,CAAC;AAED;;;;GAIG;AACH,MAAM,CAAC,KAAK,UAAU,mBAAmB,CACvC,UAAuC,EAAE;IAEzC,MAAM,IAAI,GAAG,MAAM,uBAAuB,CAAC,OAAO,CAAC,CAAA;IACnD,OAAO,IAAI,CAAC,CAAC,CAAC,qBAAqB,CAAC,IAAI,CAAC,CAAC,CAAC,CAAC,IAAI,CAAA;AAClD,CAAC"}

package/build/src/scope_outbox.d.ts

@@ -0,0 +1,69 @@
+/**
+ * **La outbox del árbol sobre Lucid** (3b-2d; panel 2, cruce 4 · S5).
+ *
+ * El puerto es `ScopeOutbox` (`src/types.ts`) y el paquete NO impone tabla:
+ * cualquier implementación vale. Esta es la que se publica para quien no
+ * quiera escribir la suya, junto con su migración
+ * (`stubs/scopes_outbox_migration.stub`, que hay que COPIAR al proyecto:
+ * `configure` no la publica sola porque la outbox es opt-in).
+ *
+ *   import { sqlScopeOutbox } from '@jantstack/adonis-authz'
+ *
+ *   const outbox = sqlScopeOutbox()
+ *   export default defineConfig({
+ *     scopes: { resolveChain, outbox },
+ *     ...
+ *   })
+ *
+ *   // y en el sitio donde mueves tu árbol:
+ *   await db.transaction(async (trx) => {
+ *     await authorization.scopes.moved(unit, nuevaOrg, { within, actor, transaction: trx })
+ *     await unit.useTransaction(trx).merge({ organizationId: nuevaOrg.uuid }).save()
+ *   })
+ *
+ * Lo único que tiene que cumplir una implementación del puerto es que
+ * `enqueue` escriba DENTRO de la transacción que le pasan: es lo que hace
+ * que el cambio del árbol y su propagación al backend confirmen —o se vayan—
+ * juntos. Todo lo demás (nombres de columna, si las filas aplicadas se
+ * borran o se marcan, si hay reintento con backoff) es del consumidor.
+ *
+ * Aquí las filas aplicadas se MARCAN (`applied_at`), no se borran: la cola
+ * es también el registro de lo que se propagó y cuándo, y `authz:scopes:relay`
+ * no puede ser silencioso.
+ */
+import type { Clock } from './clock.js';
+import type { ScopeOutbox } from './types.js';
+export interface SqlScopeOutboxOptions {
+    /** Tabla de la cola (default `authz_scope_outbox`, la del stub). */
+    table?: string;
+    /** Nombre de la conexión Lucid (default: la primaria). */
+    connection?: string;
+    /** Deadline de cada consulta en ms (default 5000): vencido ⇒ 503. */
+    timeoutMs?: number;
+    /**
+     * Reloj de pared con el que se sellan `created_at` y `applied_at`
+     * (2.5 · J1). Default `() => new Date()`; inyectable para fijar el
+     * instante en tests.
+     */
+    now?: Clock;
+    /**
+     * **Cuántas veces se reintenta una entrada antes de APARCARLA** (3b-2h ·
+     * 🔴 2; default 5). Alcanzado el tope, `pending()` deja de ofrecerla y sale
+     * por `dead()`: hay entradas que no se pueden aplicar NUNCA —el scope padre
+     * del `attached` encolado lo borró el tenant antes del relevo y no va a
+     * volver— y sin tope esa fila se reintenta en todas las pasadas para
+     * siempre. Aparcar no es olvidar: el relay la reporta en cada pasada y el
+     * comando sale ≠ 0 mientras haya alguna, porque el árbol del backend queda
+     * permanentemente divergente en ese nodo (lo reconcilia `authz:reconcile`,
+     * 3b-3, o un `scopes.detached`/`attached` nuevo del consumidor).
+     */
+    maxAttempts?: number;
+}
+/** Lo que se necesita del `db` de Lucid; inyectable para probar sin servidor. */
+interface DatabaseLike {
+    from(table: string): any;
+    table(table: string): any;
+}
+export declare function sqlScopeOutbox(options?: SqlScopeOutboxOptions, database?: DatabaseLike): ScopeOutbox;
+export {};
+//# sourceMappingURL=scope_outbox.d.ts.map

package/build/src/scope_outbox.d.ts.map

@@ -0,0 +1 @@
+{"version":3,"file":"scope_outbox.d.ts","sourceRoot":"","sources":["../../src/scope_outbox.ts"],"names":[],"mappings":"AAAA;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;GAgCG;AAKH,OAAO,KAAK,EAAE,KAAK,EAAE,MAAM,YAAY,CAAA;AAKvC,OAAO,KAAK,EAEV,WAAW,EAKZ,MAAM,YAAY,CAAA;AAEnB,MAAM,WAAW,qBAAqB;IACpC,oEAAoE;IACpE,KAAK,CAAC,EAAE,MAAM,CAAA;IACd,0DAA0D;IAC1D,UAAU,CAAC,EAAE,MAAM,CAAA;IACnB,qEAAqE;IACrE,SAAS,CAAC,EAAE,MAAM,CAAA;IAClB;;;;OAIG;IACH,GAAG,CAAC,EAAE,KAAK,CAAA;IACX;;;;;;;;;;OAUG;IACH,WAAW,CAAC,EAAE,MAAM,CAAA;CACrB;AAgBD,iFAAiF;AACjF,UAAU,YAAY;IACpB,IAAI,CAAC,KAAK,EAAE,MAAM,GAAG,GAAG,CAAA;IACxB,KAAK,CAAC,KAAK,EAAE,MAAM,GAAG,GAAG,CAAA;CAC1B;AAuFD,wBAAgB,cAAc,CAC5B,OAAO,GAAE,qBAA0B,EACnC,QAAQ,GAAE,YAA4C,GACrD,WAAW,CAsLb"}

package/build/src/scope_outbox.js

@@ -0,0 +1,291 @@
+/**
+ * **La outbox del árbol sobre Lucid** (3b-2d; panel 2, cruce 4 · S5).
+ *
+ * El puerto es `ScopeOutbox` (`src/types.ts`) y el paquete NO impone tabla:
+ * cualquier implementación vale. Esta es la que se publica para quien no
+ * quiera escribir la suya, junto con su migración
+ * (`stubs/scopes_outbox_migration.stub`, que hay que COPIAR al proyecto:
+ * `configure` no la publica sola porque la outbox es opt-in).
+ *
+ *   import { sqlScopeOutbox } from '@jantstack/adonis-authz'
+ *
+ *   const outbox = sqlScopeOutbox()
+ *   export default defineConfig({
+ *     scopes: { resolveChain, outbox },
+ *     ...
+ *   })
+ *
+ *   // y en el sitio donde mueves tu árbol:
+ *   await db.transaction(async (trx) => {
+ *     await authorization.scopes.moved(unit, nuevaOrg, { within, actor, transaction: trx })
+ *     await unit.useTransaction(trx).merge({ organizationId: nuevaOrg.uuid }).save()
+ *   })
+ *
+ * Lo único que tiene que cumplir una implementación del puerto es que
+ * `enqueue` escriba DENTRO de la transacción que le pasan: es lo que hace
+ * que el cambio del árbol y su propagación al backend confirmen —o se vayan—
+ * juntos. Todo lo demás (nombres de columna, si las filas aplicadas se
+ * borran o se marcan, si hay reintento con backoff) es del consumidor.
+ *
+ * Aquí las filas aplicadas se MARCAN (`applied_at`), no se borran: la cola
+ * es también el registro de lo que se propagó y cuándo, y `authz:scopes:relay`
+ * no puede ser silencioso.
+ */
+import db from '@adonisjs/lucid/services/db';
+import { AuthorizationConfigError } from './errors.js';
+import { systemClock } from './clock.js';
+import { assertScope, assertSubject } from './identity.js';
+import { guardSql } from './shared/backend_guard.js';
+import { dialectOf, isSqliteDialect } from './shared/sql_expiry.js';
+import { APP_SCOPE, APP_SCOPE_TYPE } from './types.js';
+const DEFAULT_TABLE = 'authz_scope_outbox';
+const DEFAULT_TIMEOUT_MS = 5_000;
+/** Intentos antes de aparcar una entrada (3b-2h · 🔴 2). */
+const DEFAULT_MAX_ATTEMPTS = 5;
+/**
+ * Leases tomados por ESTE proceso (SQLite y cualquier dialecto sin cerrojo de
+ * sesión): la exclusión es entonces de proceso, no de despliegue, y va escrita
+ * en el README. Con PostgreSQL y MySQL el cerrojo es del servidor.
+ */
+const localLeases = new Set();
+const IDENTIFIER = /^[A-Za-z_][A-Za-z0-9_]*$/;
+/** Las tres operaciones del árbol, tal como se guardan en la columna `op`. */
+const OPS = ['attached', 'moved', 'detached'];
+/** El scope que va a la fila: la raíz se guarda como `app` con uuid nulo. */
+function columnsOf(scope) {
+    return { type: scope.type, uuid: scope.type === APP_SCOPE_TYPE ? null : scope.uuid };
+}
+/** La vuelta: `app` sin uuid es `APP_SCOPE`; el resto, la fila tal cual. */
+function scopeOf(type, uuid) {
+    return type === APP_SCOPE_TYPE ? APP_SCOPE : { type, uuid: uuid === null ? null : String(uuid) };
+}
+/**
+ * Valida el cambio ANTES del INSERT (422): una cola es un diferido, y un
+ * `ScopeRef` mal formado que entrara aquí explotaría días después dentro del
+ * relay, lejos del call-site que lo escribió.
+ */
+function assertChange(change) {
+    if (!change || !OPS.includes(change.op)) {
+        throw new AuthorizationConfigError(`sqlScopeOutbox: 'op' debe ser uno de ${OPS.join(', ')} (llegó ${String(change?.op)})`);
+    }
+    assertScope(change.child);
+    if (change.op !== 'detached')
+        assertScope(change.parent);
+}
+/** Namespace de los advisory locks del paquete en PostgreSQL. */
+const ADVISORY_LOCK_NAMESPACE = 0x617a;
+/** Hash de 32 bits con signo (lo que acepta `pg_try_advisory_xact_lock`). */
+function hash32(value) {
+    let hash = 0;
+    for (let i = 0; i < value.length; i++)
+        hash = (Math.imul(hash, 31) + value.charCodeAt(i)) | 0;
+    return hash;
+}
+/** El primer valor de un `rawQuery`, sea cual sea la forma del dialecto. */
+function firstValue(result, column) {
+    const rows = Array.isArray(result) ? result[0] : (result?.rows ?? result);
+    const row = Array.isArray(rows) ? rows[0] : rows;
+    return row?.[column];
+}
+/**
+ * El cliente con el que se toma el lease: la conexión con nombre, la primaria
+ * del `db` de Lucid, o `null` si lo que se inyectó no es un cliente de Lucid
+ * (los dobles de test) — entonces el lease es de proceso.
+ */
+function lockClientOf(database, connection) {
+    if (connection)
+        return db.connection(connection);
+    const client = database;
+    if (typeof client?.transaction === 'function' && client?.dialect)
+        return client;
+    if (typeof client?.connection === 'function') {
+        const primary = client.connection();
+        return typeof primary?.transaction === 'function' ? primary : null;
+    }
+    return null;
+}
+/** Una fila de la cola, tal como la ve el puerto. */
+function rowToPending(row) {
+    const child = scopeOf(String(row.child_type), row.child_uuid);
+    const change = row.op === 'detached'
+        ? { op: 'detached', child }
+        : { op: row.op, child, parent: scopeOf(String(row.parent_type), row.parent_uuid) };
+    const actor = row.actor_type === null || row.actor_type === undefined
+        ? undefined
+        : { type: String(row.actor_type), uuid: String(row.actor_uuid) };
+    return {
+        id: row.id,
+        change,
+        attempts: Number(row.attempts ?? 0),
+        actor,
+        ...(row.last_error === null || row.last_error === undefined ? {} : { lastError: String(row.last_error) }),
+    };
+}
+/** La cota de `pending`/`dead`: entera y positiva o 500 (config rota). */
+function assertLimit(limit) {
+    if (!(Number.isInteger(limit) && limit >= 1)) {
+        throw new AuthorizationConfigError(`sqlScopeOutbox: limit debe ser un entero >= 1 (llegó ${String(limit)})`);
+    }
+}
+export function sqlScopeOutbox(options = {}, database = db) {
+    const table = options.table ?? DEFAULT_TABLE;
+    if (!IDENTIFIER.test(table)) {
+        throw new AuthorizationConfigError(`sqlScopeOutbox: table '${table}' no es un identificador SQL simple (letras, dígitos y _).`);
+    }
+    const timeoutMs = options.timeoutMs ?? DEFAULT_TIMEOUT_MS;
+    const connection = options.connection;
+    const now = options.now ?? systemClock;
+    const maxAttempts = options.maxAttempts ?? DEFAULT_MAX_ATTEMPTS;
+    if (!(Number.isInteger(maxAttempts) && maxAttempts >= 1)) {
+        throw new AuthorizationConfigError(`sqlScopeOutbox: maxAttempts debe ser un entero >= 1 (llegó ${String(options.maxAttempts)})`);
+    }
+    /** El cliente de la consulta: la transacción del consumidor si la hay. */
+    const clientOf = (context) => {
+        const trx = context?.transaction;
+        if (trx === undefined || trx === null)
+            return database;
+        if (typeof trx.from !== 'function' || typeof trx.table !== 'function') {
+            throw new AuthorizationConfigError("sqlScopeOutbox: 'transaction' no parece un cliente de Lucid (le faltan .from()/.table()). " +
+                'Pasa el `trx` de db.transaction(); si tu outbox usa otra cosa, implementa el puerto a mano.');
+        }
+        return trx;
+    };
+    const query = (operation, run) => guardSql('sqlScopeOutbox', operation, timeoutMs, run);
+    /** Igual que el resto del paquete: la conexión con nombre si se declaró. */
+    const on = (client) => (connection && client === database ? db.connection(connection) : client);
+    return {
+        async enqueue(change, context) {
+            assertChange(change);
+            if (context?.actor !== undefined)
+                assertSubject(context.actor);
+            const child = columnsOf(change.child);
+            const parent = change.op === 'detached' ? { type: null, uuid: null } : columnsOf(change.parent);
+            const client = on(clientOf(context));
+            await query('enqueue', () => client.table(table).insert({
+                op: change.op,
+                child_type: child.type,
+                child_uuid: child.uuid,
+                parent_type: parent.type,
+                parent_uuid: parent.uuid,
+                actor_type: context?.actor?.type ?? null,
+                actor_uuid: context?.actor?.uuid ?? null,
+                attempts: 0,
+                last_error: null,
+                created_at: now(),
+                applied_at: null,
+            }));
+        },
+        async pending(limit, after) {
+            assertLimit(limit);
+            const client = on(database);
+            const rows = await query('pending', () => {
+                // Lo APARCADO (`attempts >= maxAttempts`) sale por `dead()`, no por
+                // aquí: si volviera, la pasada la reintentaría eternamente.
+                const q = client
+                    .from(table)
+                    .whereNull('applied_at')
+                    .where('attempts', '<', maxAttempts)
+                    .orderBy('id', 'asc')
+                    .limit(limit);
+                // `after` es el último id que el relay ya vio EN ESTA PASADA: lo que
+                // dejó sin aplicar sigue pendiente y sin esto volvería a salir el
+                // primero para siempre (3b-2h · 🔴 2).
+                return after === undefined ? q : q.where('id', '>', after);
+            });
+            return rows.map(rowToPending);
+        },
+        /**
+         * Las entradas APARCADAS: pendientes que agotaron sus intentos. No se
+         * reintentan, se MIRAN (3b-2h · 🔴 2).
+         */
+        async dead(limit) {
+            assertLimit(limit);
+            const client = on(database);
+            const rows = await query('dead', () => client
+                .from(table)
+                .whereNull('applied_at')
+                .where('attempts', '>=', maxAttempts)
+                .orderBy('id', 'asc')
+                .limit(limit));
+            return rows.map(rowToPending);
+        },
+        /**
+         * **El lease del escritor ÚNICO** (3b-2h · 🟠 4). Cerrojo del SERVIDOR en
+         * PostgreSQL (`pg_try_advisory_xact_lock`, que se suelta con la
+         * transacción) y en MySQL (`GET_LOCK(name, 0)`); en SQLite —y en
+         * cualquier dialecto sin cerrojo de sesión— es un cerrojo de PROCESO, y
+         * eso está escrito: SQLite ya serializa sus escrituras y no es el motor
+         * de un despliegue con dos réplicas del relay.
+         *
+         * La transacción se abre SOLO para sostener el cerrojo (no escribe nada)
+         * y se revierte al soltarlo: es una conexión ocupada mientras dura la
+         * pasada, que es el precio de que dos pasadas no se pisen.
+         */
+        async acquire() {
+            const name = `authz_scope_outbox:${connection ?? 'default'}:${table}`;
+            const client = lockClientOf(database, connection);
+            if (client === null || isSqliteDialect(client)) {
+                if (localLeases.has(name))
+                    return null;
+                localLeases.add(name);
+                return { release: async () => void localLeases.delete(name) };
+            }
+            const dialect = dialectOf(client);
+            const trx = await query('acquire', () => client.transaction());
+            try {
+                if (dialect.startsWith('postgres')) {
+                    const result = await query('acquire', () => trx.rawQuery('select pg_try_advisory_xact_lock(?, ?) as taken', [ADVISORY_LOCK_NAMESPACE, hash32(name)]));
+                    if (!firstValue(result, 'taken')) {
+                        await trx.rollback();
+                        return null;
+                    }
+                    // El cerrojo es de la TRANSACCIÓN: revertirla lo suelta.
+                    return { release: async () => void (await trx.rollback()) };
+                }
+                if (dialect.startsWith('mysql')) {
+                    const result = await query('acquire', () => trx.rawQuery('select get_lock(?, 0) as taken', [name.slice(0, 64)]));
+                    if (Number(firstValue(result, 'taken') ?? 0) !== 1) {
+                        await trx.rollback();
+                        return null;
+                    }
+                    return {
+                        release: async () => {
+                            try {
+                                await trx.rawQuery('select release_lock(?)', [name.slice(0, 64)]);
+                            }
+                            finally {
+                                await trx.rollback();
+                            }
+                        },
+                    };
+                }
+                // Un dialecto que no sabemos cerrar: se cierra en el proceso y se
+                // suelta la transacción (nunca se devuelve un lease de mentira).
+                await trx.rollback();
+                if (localLeases.has(name))
+                    return null;
+                localLeases.add(name);
+                return { release: async () => void localLeases.delete(name) };
+            }
+            catch (error) {
+                await trx.rollback().catch(() => { });
+                throw error;
+            }
+        },
+        async markApplied(id) {
+            const client = on(database);
+            await query('markApplied', () => client.from(table).where('id', id).update({ applied_at: now(), last_error: null }));
+        },
+        async markFailed(id, error) {
+            const client = on(database);
+            // El intento se cuenta aunque el mensaje sea larguísimo: se recorta el
+            // texto, nunca el hecho de que falló.
+            await query('markFailed', () => client
+                .from(table)
+                .where('id', id)
+                .update({ last_error: String(error).slice(0, 2000) })
+                .increment('attempts', 1));
+        },
+    };
+}
+//# sourceMappingURL=scope_outbox.js.map

package/build/src/scope_outbox.js.map

@@ -0,0 +1 @@
+{"version":3,"file":"scope_outbox.js","sourceRoot":"","sources":["../../src/scope_outbox.ts"],"names":[],"mappings":"AAAA;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;GAgCG;AAEH,OAAO,EAAE,MAAM,6BAA6B,CAAA;AAC5C,OAAO,EAAE,wBAAwB,EAAE,MAAM,aAAa,CAAA;AACtD,OAAO,EAAE,WAAW,EAAE,MAAM,YAAY,CAAA;AAExC,OAAO,EAAE,WAAW,EAAE,aAAa,EAAE,MAAM,eAAe,CAAA;AAC1D,OAAO,EAAE,QAAQ,EAAE,MAAM,2BAA2B,CAAA;AACpD,OAAO,EAAE,SAAS,EAAE,eAAe,EAAE,MAAM,wBAAwB,CAAA;AACnE,OAAO,EAAE,SAAS,EAAE,cAAc,EAAE,MAAM,YAAY,CAAA;AAqCtD,MAAM,aAAa,GAAG,oBAAoB,CAAA;AAC1C,MAAM,kBAAkB,GAAG,KAAK,CAAA;AAChC,4DAA4D;AAC5D,MAAM,oBAAoB,GAAG,CAAC,CAAA;AAC9B;;;;GAIG;AACH,MAAM,WAAW,GAAG,IAAI,GAAG,EAAU,CAAA;AACrC,MAAM,UAAU,GAAG,0BAA0B,CAAA;AAC7C,8EAA8E;AAC9E,MAAM,GAAG,GAAG,CAAC,UAAU,EAAE,OAAO,EAAE,UAAU,CAAU,CAAA;AAQtD,6EAA6E;AAC7E,SAAS,SAAS,CAAC,KAAe;IAChC,OAAO,EAAE,IAAI,EAAE,KAAK,CAAC,IAAI,EAAE,IAAI,EAAE,KAAK,CAAC,IAAI,KAAK,cAAc,CAAC,CAAC,CAAC,IAAI,CAAC,CAAC,CAAC,KAAK,CAAC,IAAI,EAAE,CAAA;AACtF,CAAC;AAED,4EAA4E;AAC5E,SAAS,OAAO,CAAC,IAAY,EAAE,IAAmB;IAChD,OAAO,IAAI,KAAK,cAAc,CAAC,CAAC,CAAC,SAAS,CAAC,CAAC,CAAC,EAAE,IAAI,EAAE,IAAI,EAAE,IAAI,KAAK,IAAI,CAAC,CAAC,CAAC,IAAI,CAAC,CAAC,CAAC,MAAM,CAAC,IAAI,CAAC,EAAE,CAAA;AAClG,CAAC;AAED;;;;GAIG;AACH,SAAS,YAAY,CAAC,MAAuB;IAC3C,IAAI,CAAC,MAAM,IAAI,CAAC,GAAG,CAAC,QAAQ,CAAC,MAAM,CAAC,EAAS,CAAC,EAAE,CAAC;QAC/C,MAAM,IAAI,wBAAwB,CAChC,wCAAwC,GAAG,CAAC,IAAI,CAAC,IAAI,CAAC,WAAW,MAAM,CAAE,MAAc,EAAE,EAAE,CAAC,GAAG,CAChG,CAAA;IACH,CAAC;IACD,WAAW,CAAC,MAAM,CAAC,KAAK,CAAC,CAAA;IACzB,IAAI,MAAM,CAAC,EAAE,KAAK,UAAU;QAAE,WAAW,CAAC,MAAM,CAAC,MAAM,CAAC,CAAA;AAC1D,CAAC;AAED,iEAAiE;AACjE,MAAM,uBAAuB,GAAG,MAAM,CAAA;AAEtC,6EAA6E;AAC7E,SAAS,MAAM,CAAC,KAAa;IAC3B,IAAI,IAAI,GAAG,CAAC,CAAA;IACZ,KAAK,IAAI,CAAC,GAAG,CAAC,EAAE,CAAC,GAAG,KAAK,CAAC,MAAM,EAAE,CAAC,EAAE;QAAE,IAAI,GAAG,CAAC,IAAI,CAAC,IAAI,CAAC,IAAI,EAAE,EAAE,CAAC,GAAG,KAAK,CAAC,UAAU,CAAC,CAAC,CAAC,CAAC,GAAG,CAAC,CAAA;IAC7F,OAAO,IAAI,CAAA;AACb,CAAC;AAED,4EAA4E;AAC5E,SAAS,UAAU,CAAC,MAAW,EAAE,MAAc;IAC7C,MAAM,IAAI,GAAG,KAAK,CAAC,OAAO,CAAC,MAAM,CAAC,CAAC,CAAC,CAAC,MAAM,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,MAAM,EAAE,IAAI,IAAI,MAAM,CAAC,CAAA;IACzE,MAAM,GAAG,GAAG,KAAK,CAAC,OAAO,CAAC,IAAI,CAAC,CAAC,CAAC,CAAC,IAAI,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,IAAI,CAAA;IAChD,OAAO,GAAG,EAAE,CAAC,MAAM,CAAC,CAAA;AACtB,CAAC;AAED;;;;GAIG;AACH,SAAS,YAAY,CAAC,QAAsB,EAAE,UAA8B;IAC1E,IAAI,UAAU;QAAE,OAAQ,EAAU,CAAC,UAAU,CAAC,UAAU,CAAC,CAAA;IACzD,MAAM,MAAM,GAAQ,QAAQ,CAAA;IAC5B,IAAI,OAAO,MAAM,EAAE,WAAW,KAAK,UAAU,IAAI,MAAM,EAAE,OAAO;QAAE,OAAO,MAAM,CAAA;IAC/E,IAAI,OAAO,MAAM,EAAE,UAAU,KAAK,UAAU,EAAE,CAAC;QAC7C,MAAM,OAAO,GAAG,MAAM,CAAC,UAAU,EAAE,CAAA;QACnC,OAAO,OAAO,OAAO,EAAE,WAAW,KAAK,UAAU,CAAC,CAAC,CAAC,OAAO,CAAC,CAAC,CAAC,IAAI,CAAA;IACpE,CAAC;IACD,OAAO,IAAI,CAAA;AACb,CAAC;AAED,qDAAqD;AACrD,SAAS,YAAY,CAAC,GAAQ;IAC5B,MAAM,KAAK,GAAG,OAAO,CAAC,MAAM,CAAC,GAAG,CAAC,UAAU,CAAC,EAAE,GAAG,CAAC,UAAU,CAAC,CAAA;IAC7D,MAAM,MAAM,GACV,GAAG,CAAC,EAAE,KAAK,UAAU;QACnB,CAAC,CAAC,EAAE,EAAE,EAAE,UAAU,EAAE,KAAK,EAAE;QAC3B,CAAC,CAAC,EAAE,EAAE,EAAE,GAAG,CAAC,EAAE,EAAE,KAAK,EAAE,MAAM,EAAE,OAAO,CAAC,MAAM,CAAC,GAAG,CAAC,WAAW,CAAC,EAAE,GAAG,CAAC,WAAW,CAAC,EAAE,CAAA;IACtF,MAAM,KAAK,GACT,GAAG,CAAC,UAAU,KAAK,IAAI,IAAI,GAAG,CAAC,UAAU,KAAK,SAAS;QACrD,CAAC,CAAC,SAAS;QACX,CAAC,CAAC,EAAE,IAAI,EAAE,MAAM,CAAC,GAAG,CAAC,UAAU,CAAC,EAAE,IAAI,EAAE,MAAM,CAAC,GAAG,CAAC,UAAU,CAAC,EAAE,CAAA;IACpE,OAAO;QACL,EAAE,EAAE,GAAG,CAAC,EAAE;QACV,MAAM;QACN,QAAQ,EAAE,MAAM,CAAC,GAAG,CAAC,QAAQ,IAAI,CAAC,CAAC;QACnC,KAAK;QACL,GAAG,CAAC,GAAG,CAAC,UAAU,KAAK,IAAI,IAAI,GAAG,CAAC,UAAU,KAAK,SAAS,CAAC,CAAC,CAAC,EAAE,CAAC,CAAC,CAAC,EAAE,SAAS,EAAE,MAAM,CAAC,GAAG,CAAC,UAAU,CAAC,EAAE,CAAC;KAC1G,CAAA;AACH,CAAC;AAED,0EAA0E;AAC1E,SAAS,WAAW,CAAC,KAAa;IAChC,IAAI,CAAC,CAAC,MAAM,CAAC,SAAS,CAAC,KAAK,CAAC,IAAI,KAAK,IAAI,CAAC,CAAC,EAAE,CAAC;QAC7C,MAAM,IAAI,wBAAwB,CAAC,wDAAwD,MAAM,CAAC,KAAK,CAAC,GAAG,CAAC,CAAA;IAC9G,CAAC;AACH,CAAC;AAED,MAAM,UAAU,cAAc,CAC5B,UAAiC,EAAE,EACnC,WAAyB,EAA6B;IAEtD,MAAM,KAAK,GAAG,OAAO,CAAC,KAAK,IAAI,aAAa,CAAA;IAC5C,IAAI,CAAC,UAAU,CAAC,IAAI,CAAC,KAAK,CAAC,EAAE,CAAC;QAC5B,MAAM,IAAI,wBAAwB,CAChC,0BAA0B,KAAK,4DAA4D,CAC5F,CAAA;IACH,CAAC;IACD,MAAM,SAAS,GAAG,OAAO,CAAC,SAAS,IAAI,kBAAkB,CAAA;IACzD,MAAM,UAAU,GAAG,OAAO,CAAC,UAAU,CAAA;IACrC,MAAM,GAAG,GAAG,OAAO,CAAC,GAAG,IAAI,WAAW,CAAA;IACtC,MAAM,WAAW,GAAG,OAAO,CAAC,WAAW,IAAI,oBAAoB,CAAA;IAC/D,IAAI,CAAC,CAAC,MAAM,CAAC,SAAS,CAAC,WAAW,CAAC,IAAI,WAAW,IAAI,CAAC,CAAC,EAAE,CAAC;QACzD,MAAM,IAAI,wBAAwB,CAChC,8DAA8D,MAAM,CAAC,OAAO,CAAC,WAAW,CAAC,GAAG,CAC7F,CAAA;IACH,CAAC;IAED,0EAA0E;IAC1E,MAAM,QAAQ,GAAG,CAAC,OAAuC,EAAO,EAAE;QAChE,MAAM,GAAG,GAAQ,OAAO,EAAE,WAAW,CAAA;QACrC,IAAI,GAAG,KAAK,SAAS,IAAI,GAAG,KAAK,IAAI;YAAE,OAAO,QAAQ,CAAA;QACtD,IAAI,OAAO,GAAG,CAAC,IAAI,KAAK,UAAU,IAAI,OAAO,GAAG,CAAC,KAAK,KAAK,UAAU,EAAE,CAAC;YACtE,MAAM,IAAI,wBAAwB,CAChC,4FAA4F;gBAC1F,6FAA6F,CAChG,CAAA;QACH,CAAC;QACD,OAAO,GAAG,CAAA;IACZ,CAAC,CAAA;IAED,MAAM,KAAK,GAAG,CAAI,SAAiB,EAAE,GAAqB,EAAc,EAAE,CACxE,QAAQ,CAAC,gBAAgB,EAAE,SAAS,EAAE,SAAS,EAAE,GAAG,CAAC,CAAA;IAEvD,4EAA4E;IAC5E,MAAM,EAAE,GAAG,CAAC,MAAW,EAAE,EAAE,CAAC,CAAC,UAAU,IAAI,MAAM,KAAK,QAAQ,CAAC,CAAC,CAAE,EAAE,CAAC,UAAU,CAAC,UAAU,CAAS,CAAC,CAAC,CAAC,MAAM,CAAC,CAAA;IAE7G,OAAO;QACL,KAAK,CAAC,OAAO,CAAC,MAAuB,EAAE,OAA2B;YAChE,YAAY,CAAC,MAAM,CAAC,CAAA;YACpB,IAAI,OAAO,EAAE,KAAK,KAAK,SAAS;gBAAE,aAAa,CAAC,OAAO,CAAC,KAAK,CAAC,CAAA;YAC9D,MAAM,KAAK,GAAG,SAAS,CAAC,MAAM,CAAC,KAAK,CAAC,CAAA;YACrC,MAAM,MAAM,GAAG,MAAM,CAAC,EAAE,KAAK,UAAU,CAAC,CAAC,CAAC,EAAE,IAAI,EAAE,IAAI,EAAE,IAAI,EAAE,IAAI,EAAE,CAAC,CAAC,CAAC,SAAS,CAAC,MAAM,CAAC,MAAM,CAAC,CAAA;YAC/F,MAAM,MAAM,GAAG,EAAE,CAAC,QAAQ,CAAC,OAAO,CAAC,CAAC,CAAA;YACpC,MAAM,KAAK,CAAC,SAAS,EAAE,GAAG,EAAE,CAC1B,MAAM,CAAC,KAAK,CAAC,KAAK,CAAC,CAAC,MAAM,CAAC;gBACzB,EAAE,EAAE,MAAM,CAAC,EAAE;gBACb,UAAU,EAAE,KAAK,CAAC,IAAI;gBACtB,UAAU,EAAE,KAAK,CAAC,IAAI;gBACtB,WAAW,EAAE,MAAM,CAAC,IAAI;gBACxB,WAAW,EAAE,MAAM,CAAC,IAAI;gBACxB,UAAU,EAAE,OAAO,EAAE,KAAK,EAAE,IAAI,IAAI,IAAI;gBACxC,UAAU,EAAE,OAAO,EAAE,KAAK,EAAE,IAAI,IAAI,IAAI;gBACxC,QAAQ,EAAE,CAAC;gBACX,UAAU,EAAE,IAAI;gBAChB,UAAU,EAAE,GAAG,EAAE;gBACjB,UAAU,EAAE,IAAI;aACjB,CAAC,CACH,CAAA;QACH,CAAC;QAED,KAAK,CAAC,OAAO,CAAC,KAAa,EAAE,KAAuB;YAClD,WAAW,CAAC,KAAK,CAAC,CAAA;YAClB,MAAM,MAAM,GAAG,EAAE,CAAC,QAAQ,CAAC,CAAA;YAC3B,MAAM,IAAI,GAAU,MAAM,KAAK,CAAC,SAAS,EAAE,GAAG,EAAE;gBAC9C,oEAAoE;gBACpE,4DAA4D;gBAC5D,MAAM,CAAC,GAAG,MAAM;qBACb,IAAI,CAAC,KAAK,CAAC;qBACX,SAAS,CAAC,YAAY,CAAC;qBACvB,KAAK,CAAC,UAAU,EAAE,GAAG,EAAE,WAAW,CAAC;qBACnC,OAAO,CAAC,IAAI,EAAE,KAAK,CAAC;qBACpB,KAAK,CAAC,KAAK,CAAC,CAAA;gBACf,qEAAqE;gBACrE,kEAAkE;gBAClE,uCAAuC;gBACvC,OAAO,KAAK,KAAK,SAAS,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,KAAK,CAAC,IAAI,EAAE,GAAG,EAAE,KAAK,CAAC,CAAA;YAC5D,CAAC,CAAC,CAAA;YACF,OAAO,IAAI,CAAC,GAAG,CAAC,YAAY,CAAC,CAAA;QAC/B,CAAC;QAED;;;WAGG;QACH,KAAK,CAAC,IAAI,CAAC,KAAa;YACtB,WAAW,CAAC,KAAK,CAAC,CAAA;YAClB,MAAM,MAAM,GAAG,EAAE,CAAC,QAAQ,CAAC,CAAA;YAC3B,MAAM,IAAI,GAAU,MAAM,KAAK,CAAC,MAAM,EAAE,GAAG,EAAE,CAC3C,MAAM;iBACH,IAAI,CAAC,KAAK,CAAC;iBACX,SAAS,CAAC,YAAY,CAAC;iBACvB,KAAK,CAAC,UAAU,EAAE,IAAI,EAAE,WAAW,CAAC;iBACpC,OAAO,CAAC,IAAI,EAAE,KAAK,CAAC;iBACpB,KAAK,CAAC,KAAK,CAAC,CAChB,CAAA;YACD,OAAO,IAAI,CAAC,GAAG,CAAC,YAAY,CAAC,CAAA;QAC/B,CAAC;QAED;;;;;;;;;;;WAWG;QACH,KAAK,CAAC,OAAO;YACX,MAAM,IAAI,GAAG,sBAAsB,UAAU,IAAI,SAAS,IAAI,KAAK,EAAE,CAAA;YACrE,MAAM,MAAM,GAAG,YAAY,CAAC,QAAQ,EAAE,UAAU,CAAC,CAAA;YACjD,IAAI,MAAM,KAAK,IAAI,IAAI,eAAe,CAAC,MAAM,CAAC,EAAE,CAAC;gBAC/C,IAAI,WAAW,CAAC,GAAG,CAAC,IAAI,CAAC;oBAAE,OAAO,IAAI,CAAA;gBACtC,WAAW,CAAC,GAAG,CAAC,IAAI,CAAC,CAAA;gBACrB,OAAO,EAAE,OAAO,EAAE,KAAK,IAAI,EAAE,CAAC,KAAK,WAAW,CAAC,MAAM,CAAC,IAAI,CAAC,EAAE,CAAA;YAC/D,CAAC;YACD,MAAM,OAAO,GAAG,SAAS,CAAC,MAAM,CAAC,CAAA;YACjC,MAAM,GAAG,GAAQ,MAAM,KAAK,CAAC,SAAS,EAAE,GAAG,EAAE,CAAC,MAAM,CAAC,WAAW,EAAE,CAAC,CAAA;YACnE,IAAI,CAAC;gBACH,IAAI,OAAO,CAAC,UAAU,CAAC,UAAU,CAAC,EAAE,CAAC;oBACnC,MAAM,MAAM,GAAQ,MAAM,KAAK,CAAC,SAAS,EAAE,GAAG,EAAE,CAC9C,GAAG,CAAC,QAAQ,CAAC,iDAAiD,EAAE,CAAC,uBAAuB,EAAE,MAAM,CAAC,IAAI,CAAC,CAAC,CAAC,CACzG,CAAA;oBACD,IAAI,CAAC,UAAU,CAAC,MAAM,EAAE,OAAO,CAAC,EAAE,CAAC;wBACjC,MAAM,GAAG,CAAC,QAAQ,EAAE,CAAA;wBACpB,OAAO,IAAI,CAAA;oBACb,CAAC;oBACD,yDAAyD;oBACzD,OAAO,EAAE,OAAO,EAAE,KAAK,IAAI,EAAE,CAAC,KAAK,CAAC,MAAM,GAAG,CAAC,QAAQ,EAAE,CAAC,EAAE,CAAA;gBAC7D,CAAC;gBACD,IAAI,OAAO,CAAC,UAAU,CAAC,OAAO,CAAC,EAAE,CAAC;oBAChC,MAAM,MAAM,GAAQ,MAAM,KAAK,CAAC,SAAS,EAAE,GAAG,EAAE,CAC9C,GAAG,CAAC,QAAQ,CAAC,gCAAgC,EAAE,CAAC,IAAI,CAAC,KAAK,CAAC,CAAC,EAAE,EAAE,CAAC,CAAC,CAAC,CACpE,CAAA;oBACD,IAAI,MAAM,CAAC,UAAU,CAAC,MAAM,EAAE,OAAO,CAAC,IAAI,CAAC,CAAC,KAAK,CAAC,EAAE,CAAC;wBACnD,MAAM,GAAG,CAAC,QAAQ,EAAE,CAAA;wBACpB,OAAO,IAAI,CAAA;oBACb,CAAC;oBACD,OAAO;wBACL,OAAO,EAAE,KAAK,IAAI,EAAE;4BAClB,IAAI,CAAC;gCACH,MAAM,GAAG,CAAC,QAAQ,CAAC,wBAAwB,EAAE,CAAC,IAAI,CAAC,KAAK,CAAC,CAAC,EAAE,EAAE,CAAC,CAAC,CAAC,CAAA;4BACnE,CAAC;oCAAS,CAAC;gCACT,MAAM,GAAG,CAAC,QAAQ,EAAE,CAAA;4BACtB,CAAC;wBACH,CAAC;qBACF,CAAA;gBACH,CAAC;gBACD,kEAAkE;gBAClE,iEAAiE;gBACjE,MAAM,GAAG,CAAC,QAAQ,EAAE,CAAA;gBACpB,IAAI,WAAW,CAAC,GAAG,CAAC,IAAI,CAAC;oBAAE,OAAO,IAAI,CAAA;gBACtC,WAAW,CAAC,GAAG,CAAC,IAAI,CAAC,CAAA;gBACrB,OAAO,EAAE,OAAO,EAAE,KAAK,IAAI,EAAE,CAAC,KAAK,WAAW,CAAC,MAAM,CAAC,IAAI,CAAC,EAAE,CAAA;YAC/D,CAAC;YAAC,OAAO,KAAK,EAAE,CAAC;gBACf,MAAM,GAAG,CAAC,QAAQ,EAAE,CAAC,KAAK,CAAC,GAAG,EAAE,GAAE,CAAC,CAAC,CAAA;gBACpC,MAAM,KAAK,CAAA;YACb,CAAC;QACH,CAAC;QAED,KAAK,CAAC,WAAW,CAAC,EAAmB;YACnC,MAAM,MAAM,GAAG,EAAE,CAAC,QAAQ,CAAC,CAAA;YAC3B,MAAM,KAAK,CAAC,aAAa,EAAE,GAAG,EAAE,CAC9B,MAAM,CAAC,IAAI,CAAC,KAAK,CAAC,CAAC,KAAK,CAAC,IAAI,EAAE,EAAE,CAAC,CAAC,MAAM,CAAC,EAAE,UAAU,EAAE,GAAG,EAAE,EAAE,UAAU,EAAE,IAAI,EAAE,CAAC,CACnF,CAAA;QACH,CAAC;QAED,KAAK,CAAC,UAAU,CAAC,EAAmB,EAAE,KAAa;YACjD,MAAM,MAAM,GAAG,EAAE,CAAC,QAAQ,CAAC,CAAA;YAC3B,uEAAuE;YACvE,sCAAsC;YACtC,MAAM,KAAK,CAAC,YAAY,EAAE,GAAG,EAAE,CAC7B,MAAM;iBACH,IAAI,CAAC,KAAK,CAAC;iBACX,KAAK,CAAC,IAAI,EAAE,EAAE,CAAC;iBACf,MAAM,CAAC,EAAE,UAAU,EAAE,MAAM,CAAC,KAAK,CAAC,CAAC,KAAK,CAAC,CAAC,EAAE,IAAI,CAAC,EAAE,CAAC;iBACpD,SAAS,CAAC,UAAU,EAAE,CAAC,CAAC,CAC5B,CAAA;QACH,CAAC;KACF,CAAA;AACH,CAAC"}

package/build/src/shared/backend_guard.d.ts

@@ -0,0 +1,106 @@
+import type { ScopeChainResolver, ScopeRef } from '../types.js';
+/**
+ * Clasificación de fallos de dependencias, compartida por ambos drivers.
+ *
+ * Tres dependencias participan en una pregunta: el catálogo (SQL, en ambos
+ * drivers), el árbol del consumidor (`resolveChain`) y el backend de
+ * hechos (SQL o FGA). Las tres se clasifican igual: 503 con código propio,
+ * la causa original conservada, y NUNCA un `false` ni un error crudo — el
+ * invariante 5 tal como está publicado (L0.11, N3).
+ *
+ * Lo que ya es un error del paquete (422 de catálogo, 500 de programación)
+ * pasa intacto: un rol inexistente no es una caída.
+ */
+/** ¿Es un error que este paquete ya clasificó (tiene `code` E_AUTHZ_*)? */
+export declare function isAuthzError(error: unknown): boolean;
+/**
+ * ¿Es un error del CLIENTE SQL (pg, mysql2, better-sqlite3, knex) y no del
+ * código del consumidor? Por la forma que cada cliente da a sus errores:
+ * `pg` un `DatabaseError` con SQLSTATE de 5 caracteres (`25P02`…) y
+ * `severity`; `mysql2` un `errno` numérico con `sqlState`; SQLite un `code`
+ * `SQLITE_*`; knex un `KnexTimeoutError`. Sirve para clasificar (503) lo que
+ * un `fn` del consumidor deja escapar desde dentro de una transacción
+ * (2.5-B · K12): un error crudo del cliente nunca cruza la frontera.
+ */
+export declare function isSqlDriverError(error: unknown): boolean;
+/**
+ * ¿El error viene de un deadline vencido? knex lanza `KnexTimeoutError` (o, si
+ * además falló la cancelación, el error de cancelación con `timeout` puesto);
+ * axios usa `ECONNABORTED`/`ETIMEDOUT`, a veces envuelto por el SDK como
+ * `cause`. Se mira la cadena entera de causas.
+ */
+export declare function isTimeoutLike(error: unknown): boolean;
+/**
+ * Ejecuta una consulta SQL con deadline y traduce su fallo. El builder de
+ * Lucid es perezoso (se ejecuta al hacer `await`), así que el `timeout` se
+ * fija aquí, en el ÚNICO punto por el que pasan todas las consultas: un
+ * call-site nuevo lo hereda sin saberlo. `cancel: true` pide a knex que
+ * cancele la consulta en el servidor cuando el dialecto lo permite.
+ */
+export declare function guardSql<T>(driver: string, operation: string, timeoutMs: number, fn: () => Promise<T>): Promise<T>;
+/**
+ * Deadline TOTAL de una llamada al backend: vencido ⇒ rechaza con el error
+ * que fabrique `onTimeout`. El timer no retiene el event loop y se limpia al
+ * resolver. La promesa original sigue su curso —la petición en vuelo puede
+ * aterrizar después— pero el llamante ya fue liberado: por eso el manager
+ * notifica `indeterminate: true` en las escrituras que vencen (D2) y el
+ * driver openfga no deja al SDK reintentar por su cuenta (`maxRetry: 0`).
+ */
+export declare function withDeadline<T>(promise: Promise<T>, ms: number, onTimeout: () => Error): Promise<T>;
+/**
+ * El resolutor que usa un driver construido SIN `resolveChain`: solo
+ * conoce la raíz. Sustituye al default plano de 1.x (`resto → [APP_SCOPE]`),
+ * que hacía descender de `app` cualquier scope inventado o borrado (L0.3).
+ * No se lanza al construir el driver, sino en la primera pregunta por un
+ * scope intermedio: un despliegue que solo usa `app` es legítimo sin árbol.
+ */
+export declare const rootOnlyResolver: ScopeChainResolver;
+/**
+ * Cadena CANÓNICA `[scope canónico, ...ancestros]` con el resolutor del
+ * consumidor envuelto (2.5-B · K1): el elemento 0 es el scope tal como está
+ * en la tabla del consumidor —no tal como lo escribió el llamante—, y es la
+ * identidad con la que el paquete lee y escribe TODOS los hechos. Antes se
+ * devolvía `[scope del llamante, ...ancestros]`: un alias del uuid (que el
+ * árbol fundía con la fila real) resolvía la cadena entera y el grant del
+ * ancestro aplicaba, pero el deny —escrito con la forma canónica— no casaba.
+ *
+ * Si el resolutor lanza, sale como `ScopeResolverError` (503): el árbol es
+ * una dependencia más y su caída no es un bug del paquete ni un "sin
+ * permiso". `null` = el scope no existe para el consumidor; el llamante decide
+ * qué significa (denegar en lectura, 422 en escritura). La raíz no se
+ * pregunta: el motor la conoce y su cadena es `[APP_SCOPE]` por definición.
+ *
+ * La RESPUESTA se valida (D13 + K1): no-array, elemento mal formado
+ * (`{app, 'X'}`, `{organization, 'a|b'}`), cadena vacía, o un elemento 0 que
+ * no es el scope pedido (otro tipo; un uuid que no es el mismo id salvo
+ * mayúsculas/guiones) ⇒ 503 con el motivo como causa. Nunca se acepta en
+ * silencio una identidad que el llamante no pidió.
+ */
+export declare function resolveChain(resolver: ScopeChainResolver, scope: ScopeRef, operation: string): Promise<ScopeRef[] | null>;
+/**
+ * El scope CANÓNICO para una escritura que no exige que exista (`revoke`,
+ * `removeDeny`, `purgeScope`): la fila del árbol si lo conoce (un alias se
+ * canoniza y el hecho canónico se encuentra, K1); el scope tal cual si ya no
+ * lo conoce (un hecho de un scope borrado sin avisar, D8, sigue siendo
+ * alcanzable con su identidad exacta) o si el driver no tiene resolutor (solo
+ * existe la raíz: no hay nada con lo que canonizar). Un resolutor que LANZA
+ * sigue siendo 503: no se limpia a ciegas cuando el árbol está caído.
+ */
+export declare function canonicalScope(resolver: ScopeChainResolver, scope: ScopeRef, operation: string): Promise<ScopeRef>;
+/**
+ * **Los scopes destino de un DELETE que no exige que el scope exista**
+ * (`revoke`/`removeDeny`; 3b-8 · A4, mismo cierre que 3b-2h · 🟠 3 dio a
+ * `scopes.detached`). Con la fila viva es exactamente UNO, el canónico
+ * (`chain[0]`). Sin cadena con la que canonizar —la fila ya borrada, o sin
+ * resolutor— la ortografía del llamante a secas hacía del delete un no-op
+ * SILENCIOSO cuando llegaba un alias del uuid (el mismo uuid sin guiones,
+ * que el tipo `uuid` de PG o una collation `*_ci` funden con la fila real):
+ * el hecho canónico seguía escrito y volvía a conceder si el scope se
+ * restauraba. Se reusa el fan-out de `scopeSpellings`: la ortografía del
+ * llamante Y la canónica de la que puede ser alias. Quitar nunca concede,
+ * así que borrar de más no existe aquí.
+ */
+export declare function canonicalScopeTargets(resolver: ScopeChainResolver, scope: ScopeRef, operation: string): Promise<ScopeRef[]>;
+/** La cadena canónica, o 422 `E_AUTHZ_UNKNOWN_SCOPE` si el scope no existe (para escrituras). */
+export declare function assertKnownScope(resolver: ScopeChainResolver, scope: ScopeRef, operation: string): Promise<ScopeRef[]>;
+//# sourceMappingURL=backend_guard.d.ts.map

package/build/src/shared/backend_guard.d.ts.map

@@ -0,0 +1 @@
+{"version":3,"file":"backend_guard.d.ts","sourceRoot":"","sources":["../../../src/shared/backend_guard.ts"],"names":[],"mappings":"AAOA,OAAO,KAAK,EAAE,kBAAkB,EAAE,QAAQ,EAAE,MAAM,aAAa,CAAA;AAI/D;;;;;;;;;;;GAWG;AAEH,2EAA2E;AAC3E,wBAAgB,YAAY,CAAC,KAAK,EAAE,OAAO,GAAG,OAAO,CAEpD;AAED;;;;;;;;GAQG;AACH,wBAAgB,gBAAgB,CAAC,KAAK,EAAE,OAAO,GAAG,OAAO,CAQxD;AAED;;;;;GAKG;AACH,wBAAgB,aAAa,CAAC,KAAK,EAAE,OAAO,GAAG,OAAO,CAQrD;AAED;;;;;;GAMG;AACH,wBAAsB,QAAQ,CAAC,CAAC,EAC9B,MAAM,EAAE,MAAM,EACd,SAAS,EAAE,MAAM,EACjB,SAAS,EAAE,MAAM,EACjB,EAAE,EAAE,MAAM,OAAO,CAAC,CAAC,CAAC,GACnB,OAAO,CAAC,CAAC,CAAC,CAsBZ;AAED;;;;;;;GAOG;AACH,wBAAgB,YAAY,CAAC,CAAC,EAAE,OAAO,EAAE,OAAO,CAAC,CAAC,CAAC,EAAE,EAAE,EAAE,MAAM,EAAE,SAAS,EAAE,MAAM,KAAK,GAAG,OAAO,CAAC,CAAC,CAAC,CAOnG;AAED;;;;;;GAMG;AACH,eAAO,MAAM,gBAAgB,EAAE,kBAO9B,CAAA;AAeD;;;;;;;;;;;;;;;;;;;;GAoBG;AACH,wBAAsB,YAAY,CAChC,QAAQ,EAAE,kBAAkB,EAC5B,KAAK,EAAE,QAAQ,EACf,SAAS,EAAE,MAAM,GAChB,OAAO,CAAC,QAAQ,EAAE,GAAG,IAAI,CAAC,CA0C5B;AAED;;;;;;;;GAQG;AACH,wBAAsB,cAAc,CAAC,QAAQ,EAAE,kBAAkB,EAAE,KAAK,EAAE,QAAQ,EAAE,SAAS,EAAE,MAAM,GAAG,OAAO,CAAC,QAAQ,CAAC,CAQxH;AAED;;;;;;;;;;;;GAYG;AACH,wBAAsB,qBAAqB,CACzC,QAAQ,EAAE,kBAAkB,EAC5B,KAAK,EAAE,QAAQ,EACf,SAAS,EAAE,MAAM,GAChB,OAAO,CAAC,QAAQ,EAAE,CAAC,CAQrB;AAED,iGAAiG;AACjG,wBAAsB,gBAAgB,CACpC,QAAQ,EAAE,kBAAkB,EAC5B,KAAK,EAAE,QAAQ,EACf,SAAS,EAAE,MAAM,GAChB,OAAO,CAAC,QAAQ,EAAE,CAAC,CASrB"}