@jantstack/adonis-authz 1.1.0 → 2.4.0-alpha.1

package/build/src/shared/backend_guard.js

@@ -0,0 +1,246 @@
+import { AuthorizationBackendError, AuthorizationBackendTimeoutError, NoScopeResolverError, ScopeResolverError, UnknownScopeError, } from '../errors.js';
+import { APP_SCOPE, APP_SCOPE_TYPE } from '../types.js';
+import { assertScope, scopeSpellings } from '../identity.js';
+/**
+ * Clasificación de fallos de dependencias, compartida por ambos drivers.
+ *
+ * Tres dependencias participan en una pregunta: el catálogo (SQL, en ambos
+ * drivers), el árbol del consumidor (`resolveChain`) y el backend de
+ * hechos (SQL o FGA). Las tres se clasifican igual: 503 con código propio,
+ * la causa original conservada, y NUNCA un `false` ni un error crudo — el
+ * invariante 5 tal como está publicado (L0.11, N3).
+ *
+ * Lo que ya es un error del paquete (422 de catálogo, 500 de programación)
+ * pasa intacto: un rol inexistente no es una caída.
+ */
+/** ¿Es un error que este paquete ya clasificó (tiene `code` E_AUTHZ_*)? */
+export function isAuthzError(error) {
+    return typeof error?.code === 'string' && error.code.startsWith('E_AUTHZ_');
+}
+/**
+ * ¿Es un error del CLIENTE SQL (pg, mysql2, better-sqlite3, knex) y no del
+ * código del consumidor? Por la forma que cada cliente da a sus errores:
+ * `pg` un `DatabaseError` con SQLSTATE de 5 caracteres (`25P02`…) y
+ * `severity`; `mysql2` un `errno` numérico con `sqlState`; SQLite un `code`
+ * `SQLITE_*`; knex un `KnexTimeoutError`. Sirve para clasificar (503) lo que
+ * un `fn` del consumidor deja escapar desde dentro de una transacción
+ * (2.5-B · K12): un error crudo del cliente nunca cruza la frontera.
+ */
+export function isSqlDriverError(error) {
+    const e = error;
+    if (!e || typeof e !== 'object')
+        return false;
+    if (e.name === 'KnexTimeoutError')
+        return true;
+    if (typeof e.code === 'string' && /^SQLITE_/.test(e.code))
+        return true;
+    if (typeof e.errno === 'number' && typeof e.sqlState === 'string')
+        return true;
+    if (typeof e.code === 'string' && /^[0-9A-Z]{5}$/.test(e.code) && ('severity' in e || 'routine' in e))
+        return true;
+    return false;
+}
+/**
+ * ¿El error viene de un deadline vencido? knex lanza `KnexTimeoutError` (o, si
+ * además falló la cancelación, el error de cancelación con `timeout` puesto);
+ * axios usa `ECONNABORTED`/`ETIMEDOUT`, a veces envuelto por el SDK como
+ * `cause`. Se mira la cadena entera de causas.
+ */
+export function isTimeoutLike(error) {
+    let current = error;
+    for (let depth = 0; current && depth < 6; depth++) {
+        if (current.name === 'KnexTimeoutError' || typeof current.timeout === 'number')
+            return true;
+        if (current.code === 'ECONNABORTED' || current.code === 'ETIMEDOUT')
+            return true;
+        current = current.cause;
+    }
+    return false;
+}
+/**
+ * Ejecuta una consulta SQL con deadline y traduce su fallo. El builder de
+ * Lucid es perezoso (se ejecuta al hacer `await`), así que el `timeout` se
+ * fija aquí, en el ÚNICO punto por el que pasan todas las consultas: un
+ * call-site nuevo lo hereda sin saberlo. `cancel: true` pide a knex que
+ * cancele la consulta en el servidor cuando el dialecto lo permite.
+ */
+export async function guardSql(driver, operation, timeoutMs, fn) {
+    try {
+        const query = fn();
+        if (typeof query?.timeout === 'function') {
+            try {
+                query.timeout(timeoutMs, { cancel: true });
+            }
+            catch {
+                // knex rechaza `cancel` al CONSTRUIR la consulta en los dialectos que
+                // no saben cancelar (SQLite). El deadline sigue valiendo: vencido, la
+                // promesa rechaza y la conexión se descarta; solo no se manda un
+                // "cancela" al servidor.
+                query.timeout(timeoutMs);
+            }
+        }
+        return await query;
+    }
+    catch (error) {
+        if (isAuthzError(error))
+            throw error;
+        if (isTimeoutLike(error)) {
+            throw new AuthorizationBackendTimeoutError(driver, operation, timeoutMs, error);
+        }
+        throw new AuthorizationBackendError(driver, operation, error);
+    }
+}
+/**
+ * Deadline TOTAL de una llamada al backend: vencido ⇒ rechaza con el error
+ * que fabrique `onTimeout`. El timer no retiene el event loop y se limpia al
+ * resolver. La promesa original sigue su curso —la petición en vuelo puede
+ * aterrizar después— pero el llamante ya fue liberado: por eso el manager
+ * notifica `indeterminate: true` en las escrituras que vencen (D2) y el
+ * driver openfga no deja al SDK reintentar por su cuenta (`maxRetry: 0`).
+ */
+export function withDeadline(promise, ms, onTimeout) {
+    let timer;
+    const deadline = new Promise((_, reject) => {
+        timer = setTimeout(() => reject(onTimeout()), ms);
+        timer.unref?.();
+    });
+    return Promise.race([promise, deadline]).finally(() => clearTimeout(timer));
+}
+/**
+ * El resolutor que usa un driver construido SIN `resolveChain`: solo
+ * conoce la raíz. Sustituye al default plano de 1.x (`resto → [APP_SCOPE]`),
+ * que hacía descender de `app` cualquier scope inventado o borrado (L0.3).
+ * No se lanza al construir el driver, sino en la primera pregunta por un
+ * scope intermedio: un despliegue que solo usa `app` es legítimo sin árbol.
+ */
+export const rootOnlyResolver = async (scope) => {
+    if (scope.type === APP_SCOPE_TYPE)
+        return [APP_SCOPE];
+    throw new NoScopeResolverError(`El driver no tiene 'resolveChain' y se preguntó por un scope de tipo '${scope.type}'. ` +
+        `Sin resolutor solo existe la raíz 'app': pasa 'scopes.resolveChain' en el config ` +
+        `(y 'resolveChain' al driver) para declarar tu jerarquía.`);
+};
+/**
+ * ¿Dos uuids nombran, con formas distintas, el mismo id? Un motor que
+ * canoniza (el tipo `uuid` de PostgreSQL acepta mayúsculas y guiones
+ * quitados; una collation `*_ci` funde mayúsculas) puede devolver la fila real
+ * para un alias: aquí se acepta ESA relación y nada más. Cualquier otra
+ * diferencia es otro scope, y un resolutor que lo devuelva miente.
+ */
+function sameUuidLoosely(canonical, asked) {
+    if (canonical === null || asked === null)
+        return canonical === asked;
+    const fold = (value) => value.toLowerCase().replaceAll('-', '');
+    return fold(canonical) === fold(asked);
+}
+/**
+ * Cadena CANÓNICA `[scope canónico, ...ancestros]` con el resolutor del
+ * consumidor envuelto (2.5-B · K1): el elemento 0 es el scope tal como está
+ * en la tabla del consumidor —no tal como lo escribió el llamante—, y es la
+ * identidad con la que el paquete lee y escribe TODOS los hechos. Antes se
+ * devolvía `[scope del llamante, ...ancestros]`: un alias del uuid (que el
+ * árbol fundía con la fila real) resolvía la cadena entera y el grant del
+ * ancestro aplicaba, pero el deny —escrito con la forma canónica— no casaba.
+ *
+ * Si el resolutor lanza, sale como `ScopeResolverError` (503): el árbol es
+ * una dependencia más y su caída no es un bug del paquete ni un "sin
+ * permiso". `null` = el scope no existe para el consumidor; el llamante decide
+ * qué significa (denegar en lectura, 422 en escritura). La raíz no se
+ * pregunta: el motor la conoce y su cadena es `[APP_SCOPE]` por definición.
+ *
+ * La RESPUESTA se valida (D13 + K1): no-array, elemento mal formado
+ * (`{app, 'X'}`, `{organization, 'a|b'}`), cadena vacía, o un elemento 0 que
+ * no es el scope pedido (otro tipo; un uuid que no es el mismo id salvo
+ * mayúsculas/guiones) ⇒ 503 con el motivo como causa. Nunca se acepta en
+ * silencio una identidad que el llamante no pidió.
+ */
+export async function resolveChain(resolver, scope, operation) {
+    if (scope.type === APP_SCOPE_TYPE)
+        return [APP_SCOPE];
+    let chain;
+    try {
+        chain = await resolver(scope);
+    }
+    catch (error) {
+        if (isAuthzError(error))
+            throw error;
+        throw new ScopeResolverError(operation, error);
+    }
+    if (chain === null || chain === undefined)
+        return null;
+    if (!Array.isArray(chain)) {
+        throw new ScopeResolverError(operation, new TypeError(`resolveChain devolvió ${typeof chain} en vez de ScopeRef[] | null`));
+    }
+    if (chain.length === 0) {
+        throw new ScopeResolverError(operation, new TypeError(`resolveChain devolvió una cadena vacía para ${scope.type}:${scope.uuid ?? ''}: la cadena empieza por el propio scope canónico`));
+    }
+    for (const element of chain) {
+        try {
+            assertScope(element);
+        }
+        catch (error) {
+            throw new ScopeResolverError(operation, error);
+        }
+    }
+    const self = chain[0];
+    if (self.type !== scope.type || !sameUuidLoosely(self.uuid, scope.uuid)) {
+        throw new ScopeResolverError(operation, new TypeError(`resolveChain devolvió ${self.type}:${self.uuid ?? ''} como elemento 0 de la cadena de ` +
+            `${scope.type}:${scope.uuid ?? ''}: el primer elemento tiene que ser el propio scope (canónico), no otro`));
+    }
+    return chain;
+}
+/**
+ * El scope CANÓNICO para una escritura que no exige que exista (`revoke`,
+ * `removeDeny`, `purgeScope`): la fila del árbol si lo conoce (un alias se
+ * canoniza y el hecho canónico se encuentra, K1); el scope tal cual si ya no
+ * lo conoce (un hecho de un scope borrado sin avisar, D8, sigue siendo
+ * alcanzable con su identidad exacta) o si el driver no tiene resolutor (solo
+ * existe la raíz: no hay nada con lo que canonizar). Un resolutor que LANZA
+ * sigue siendo 503: no se limpia a ciegas cuando el árbol está caído.
+ */
+export async function canonicalScope(resolver, scope, operation) {
+    try {
+        const chain = await resolveChain(resolver, scope, operation);
+        return chain ? chain[0] : scope;
+    }
+    catch (error) {
+        if (error instanceof NoScopeResolverError)
+            return scope;
+        throw error;
+    }
+}
+/**
+ * **Los scopes destino de un DELETE que no exige que el scope exista**
+ * (`revoke`/`removeDeny`; 3b-8 · A4, mismo cierre que 3b-2h · 🟠 3 dio a
+ * `scopes.detached`). Con la fila viva es exactamente UNO, el canónico
+ * (`chain[0]`). Sin cadena con la que canonizar —la fila ya borrada, o sin
+ * resolutor— la ortografía del llamante a secas hacía del delete un no-op
+ * SILENCIOSO cuando llegaba un alias del uuid (el mismo uuid sin guiones,
+ * que el tipo `uuid` de PG o una collation `*_ci` funden con la fila real):
+ * el hecho canónico seguía escrito y volvía a conceder si el scope se
+ * restauraba. Se reusa el fan-out de `scopeSpellings`: la ortografía del
+ * llamante Y la canónica de la que puede ser alias. Quitar nunca concede,
+ * así que borrar de más no existe aquí.
+ */
+export async function canonicalScopeTargets(resolver, scope, operation) {
+    try {
+        const chain = await resolveChain(resolver, scope, operation);
+        if (chain)
+            return [chain[0]];
+    }
+    catch (error) {
+        if (!(error instanceof NoScopeResolverError))
+            throw error;
+    }
+    return scopeSpellings(scope);
+}
+/** La cadena canónica, o 422 `E_AUTHZ_UNKNOWN_SCOPE` si el scope no existe (para escrituras). */
+export async function assertKnownScope(resolver, scope, operation) {
+    const chain = await resolveChain(resolver, scope, operation);
+    if (!chain) {
+        throw new UnknownScopeError(`El scope ${scope.type}:${scope.uuid} no existe para el resolutor de la cadena (${operation}). ` +
+            `No se escribe sobre un scope que el árbol no reconoce.`);
+    }
+    return chain;
+}
+//# sourceMappingURL=backend_guard.js.map

package/build/src/shared/backend_guard.js.map

@@ -0,0 +1 @@
+{"version":3,"file":"backend_guard.js","sourceRoot":"","sources":["../../../src/shared/backend_guard.ts"],"names":[],"mappings":"AAAA,OAAO,EACL,yBAAyB,EACzB,gCAAgC,EAChC,oBAAoB,EACpB,kBAAkB,EAClB,iBAAiB,GAClB,MAAM,cAAc,CAAA;AAErB,OAAO,EAAE,SAAS,EAAE,cAAc,EAAE,MAAM,aAAa,CAAA;AACvD,OAAO,EAAE,WAAW,EAAE,cAAc,EAAE,MAAM,gBAAgB,CAAA;AAE5D;;;;;;;;;;;GAWG;AAEH,2EAA2E;AAC3E,MAAM,UAAU,YAAY,CAAC,KAAc;IACzC,OAAO,OAAQ,KAAa,EAAE,IAAI,KAAK,QAAQ,IAAK,KAAa,CAAC,IAAI,CAAC,UAAU,CAAC,UAAU,CAAC,CAAA;AAC/F,CAAC;AAED;;;;;;;;GAQG;AACH,MAAM,UAAU,gBAAgB,CAAC,KAAc;IAC7C,MAAM,CAAC,GAAQ,KAAK,CAAA;IACpB,IAAI,CAAC,CAAC,IAAI,OAAO,CAAC,KAAK,QAAQ;QAAE,OAAO,KAAK,CAAA;IAC7C,IAAI,CAAC,CAAC,IAAI,KAAK,kBAAkB;QAAE,OAAO,IAAI,CAAA;IAC9C,IAAI,OAAO,CAAC,CAAC,IAAI,KAAK,QAAQ,IAAI,UAAU,CAAC,IAAI,CAAC,CAAC,CAAC,IAAI,CAAC;QAAE,OAAO,IAAI,CAAA;IACtE,IAAI,OAAO,CAAC,CAAC,KAAK,KAAK,QAAQ,IAAI,OAAO,CAAC,CAAC,QAAQ,KAAK,QAAQ;QAAE,OAAO,IAAI,CAAA;IAC9E,IAAI,OAAO,CAAC,CAAC,IAAI,KAAK,QAAQ,IAAI,eAAe,CAAC,IAAI,CAAC,CAAC,CAAC,IAAI,CAAC,IAAI,CAAC,UAAU,IAAI,CAAC,IAAI,SAAS,IAAI,CAAC,CAAC;QAAE,OAAO,IAAI,CAAA;IAClH,OAAO,KAAK,CAAA;AACd,CAAC;AAED;;;;;GAKG;AACH,MAAM,UAAU,aAAa,CAAC,KAAc;IAC1C,IAAI,OAAO,GAAQ,KAAK,CAAA;IACxB,KAAK,IAAI,KAAK,GAAG,CAAC,EAAE,OAAO,IAAI,KAAK,GAAG,CAAC,EAAE,KAAK,EAAE,EAAE,CAAC;QAClD,IAAI,OAAO,CAAC,IAAI,KAAK,kBAAkB,IAAI,OAAO,OAAO,CAAC,OAAO,KAAK,QAAQ;YAAE,OAAO,IAAI,CAAA;QAC3F,IAAI,OAAO,CAAC,IAAI,KAAK,cAAc,IAAI,OAAO,CAAC,IAAI,KAAK,WAAW;YAAE,OAAO,IAAI,CAAA;QAChF,OAAO,GAAG,OAAO,CAAC,KAAK,CAAA;IACzB,CAAC;IACD,OAAO,KAAK,CAAA;AACd,CAAC;AAED;;;;;;GAMG;AACH,MAAM,CAAC,KAAK,UAAU,QAAQ,CAC5B,MAAc,EACd,SAAiB,EACjB,SAAiB,EACjB,EAAoB;IAEpB,IAAI,CAAC;QACH,MAAM,KAAK,GAAQ,EAAE,EAAE,CAAA;QACvB,IAAI,OAAO,KAAK,EAAE,OAAO,KAAK,UAAU,EAAE,CAAC;YACzC,IAAI,CAAC;gBACH,KAAK,CAAC,OAAO,CAAC,SAAS,EAAE,EAAE,MAAM,EAAE,IAAI,EAAE,CAAC,CAAA;YAC5C,CAAC;YAAC,MAAM,CAAC;gBACP,sEAAsE;gBACtE,sEAAsE;gBACtE,iEAAiE;gBACjE,yBAAyB;gBACzB,KAAK,CAAC,OAAO,CAAC,SAAS,CAAC,CAAA;YAC1B,CAAC;QACH,CAAC;QACD,OAAO,MAAM,KAAK,CAAA;IACpB,CAAC;IAAC,OAAO,KAAU,EAAE,CAAC;QACpB,IAAI,YAAY,CAAC,KAAK,CAAC;YAAE,MAAM,KAAK,CAAA;QACpC,IAAI,aAAa,CAAC,KAAK,CAAC,EAAE,CAAC;YACzB,MAAM,IAAI,gCAAgC,CAAC,MAAM,EAAE,SAAS,EAAE,SAAS,EAAE,KAAK,CAAC,CAAA;QACjF,CAAC;QACD,MAAM,IAAI,yBAAyB,CAAC,MAAM,EAAE,SAAS,EAAE,KAAK,CAAC,CAAA;IAC/D,CAAC;AACH,CAAC;AAED;;;;;;;GAOG;AACH,MAAM,UAAU,YAAY,CAAI,OAAmB,EAAE,EAAU,EAAE,SAAsB;IACrF,IAAI,KAAgD,CAAA;IACpD,MAAM,QAAQ,GAAG,IAAI,OAAO,CAAQ,CAAC,CAAC,EAAE,MAAM,EAAE,EAAE;QAChD,KAAK,GAAG,UAAU,CAAC,GAAG,EAAE,CAAC,MAAM,CAAC,SAAS,EAAE,CAAC,EAAE,EAAE,CAAC,CAAA;QACjD,KAAK,CAAC,KAAK,EAAE,EAAE,CAAA;IACjB,CAAC,CAAC,CAAA;IACF,OAAO,OAAO,CAAC,IAAI,CAAC,CAAC,OAAO,EAAE,QAAQ,CAAC,CAAC,CAAC,OAAO,CAAC,GAAG,EAAE,CAAC,YAAY,CAAC,KAAK,CAAC,CAAC,CAAA;AAC7E,CAAC;AAED;;;;;;GAMG;AACH,MAAM,CAAC,MAAM,gBAAgB,GAAuB,KAAK,EAAE,KAAK,EAAE,EAAE;IAClE,IAAI,KAAK,CAAC,IAAI,KAAK,cAAc;QAAE,OAAO,CAAC,SAAS,CAAC,CAAA;IACrD,MAAM,IAAI,oBAAoB,CAC5B,yEAAyE,KAAK,CAAC,IAAI,KAAK;QACtF,mFAAmF;QACnF,0DAA0D,CAC7D,CAAA;AACH,CAAC,CAAA;AAED;;;;;;GAMG;AACH,SAAS,eAAe,CAAC,SAAwB,EAAE,KAAoB;IACrE,IAAI,SAAS,KAAK,IAAI,IAAI,KAAK,KAAK,IAAI;QAAE,OAAO,SAAS,KAAK,KAAK,CAAA;IACpE,MAAM,IAAI,GAAG,CAAC,KAAa,EAAE,EAAE,CAAC,KAAK,CAAC,WAAW,EAAE,CAAC,UAAU,CAAC,GAAG,EAAE,EAAE,CAAC,CAAA;IACvE,OAAO,IAAI,CAAC,SAAS,CAAC,KAAK,IAAI,CAAC,KAAK,CAAC,CAAA;AACxC,CAAC;AAED;;;;;;;;;;;;;;;;;;;;GAoBG;AACH,MAAM,CAAC,KAAK,UAAU,YAAY,CAChC,QAA4B,EAC5B,KAAe,EACf,SAAiB;IAEjB,IAAI,KAAK,CAAC,IAAI,KAAK,cAAc;QAAE,OAAO,CAAC,SAAS,CAAC,CAAA;IACrD,IAAI,KAAwB,CAAA;IAC5B,IAAI,CAAC;QACH,KAAK,GAAG,MAAM,QAAQ,CAAC,KAAK,CAAC,CAAA;IAC/B,CAAC;IAAC,OAAO,KAAK,EAAE,CAAC;QACf,IAAI,YAAY,CAAC,KAAK,CAAC;YAAE,MAAM,KAAK,CAAA;QACpC,MAAM,IAAI,kBAAkB,CAAC,SAAS,EAAE,KAAK,CAAC,CAAA;IAChD,CAAC;IACD,IAAI,KAAK,KAAK,IAAI,IAAI,KAAK,KAAK,SAAS;QAAE,OAAO,IAAI,CAAA;IACtD,IAAI,CAAC,KAAK,CAAC,OAAO,CAAC,KAAK,CAAC,EAAE,CAAC;QAC1B,MAAM,IAAI,kBAAkB,CAC1B,SAAS,EACT,IAAI,SAAS,CAAC,yBAAyB,OAAO,KAAK,8BAA8B,CAAC,CACnF,CAAA;IACH,CAAC;IACD,IAAI,KAAK,CAAC,MAAM,KAAK,CAAC,EAAE,CAAC;QACvB,MAAM,IAAI,kBAAkB,CAC1B,SAAS,EACT,IAAI,SAAS,CACX,+CAA+C,KAAK,CAAC,IAAI,IAAI,KAAK,CAAC,IAAI,IAAI,EAAE,kDAAkD,CAChI,CACF,CAAA;IACH,CAAC;IACD,KAAK,MAAM,OAAO,IAAI,KAAK,EAAE,CAAC;QAC5B,IAAI,CAAC;YACH,WAAW,CAAC,OAAO,CAAC,CAAA;QACtB,CAAC;QAAC,OAAO,KAAK,EAAE,CAAC;YACf,MAAM,IAAI,kBAAkB,CAAC,SAAS,EAAE,KAAK,CAAC,CAAA;QAChD,CAAC;IACH,CAAC;IACD,MAAM,IAAI,GAAG,KAAK,CAAC,CAAC,CAAC,CAAA;IACrB,IAAI,IAAI,CAAC,IAAI,KAAK,KAAK,CAAC,IAAI,IAAI,CAAC,eAAe,CAAC,IAAI,CAAC,IAAI,EAAE,KAAK,CAAC,IAAI,CAAC,EAAE,CAAC;QACxE,MAAM,IAAI,kBAAkB,CAC1B,SAAS,EACT,IAAI,SAAS,CACX,yBAAyB,IAAI,CAAC,IAAI,IAAI,IAAI,CAAC,IAAI,IAAI,EAAE,mCAAmC;YACtF,GAAG,KAAK,CAAC,IAAI,IAAI,KAAK,CAAC,IAAI,IAAI,EAAE,wEAAwE,CAC5G,CACF,CAAA;IACH,CAAC;IACD,OAAO,KAAK,CAAA;AACd,CAAC;AAED;;;;;;;;GAQG;AACH,MAAM,CAAC,KAAK,UAAU,cAAc,CAAC,QAA4B,EAAE,KAAe,EAAE,SAAiB;IACnG,IAAI,CAAC;QACH,MAAM,KAAK,GAAG,MAAM,YAAY,CAAC,QAAQ,EAAE,KAAK,EAAE,SAAS,CAAC,CAAA;QAC5D,OAAO,KAAK,CAAC,CAAC,CAAC,KAAK,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,KAAK,CAAA;IACjC,CAAC;IAAC,OAAO,KAAK,EAAE,CAAC;QACf,IAAI,KAAK,YAAY,oBAAoB;YAAE,OAAO,KAAK,CAAA;QACvD,MAAM,KAAK,CAAA;IACb,CAAC;AACH,CAAC;AAED;;;;;;;;;;;;GAYG;AACH,MAAM,CAAC,KAAK,UAAU,qBAAqB,CACzC,QAA4B,EAC5B,KAAe,EACf,SAAiB;IAEjB,IAAI,CAAC;QACH,MAAM,KAAK,GAAG,MAAM,YAAY,CAAC,QAAQ,EAAE,KAAK,EAAE,SAAS,CAAC,CAAA;QAC5D,IAAI,KAAK;YAAE,OAAO,CAAC,KAAK,CAAC,CAAC,CAAC,CAAC,CAAA;IAC9B,CAAC;IAAC,OAAO,KAAK,EAAE,CAAC;QACf,IAAI,CAAC,CAAC,KAAK,YAAY,oBAAoB,CAAC;YAAE,MAAM,KAAK,CAAA;IAC3D,CAAC;IACD,OAAO,cAAc,CAAC,KAAK,CAAC,CAAA;AAC9B,CAAC;AAED,iGAAiG;AACjG,MAAM,CAAC,KAAK,UAAU,gBAAgB,CACpC,QAA4B,EAC5B,KAAe,EACf,SAAiB;IAEjB,MAAM,KAAK,GAAG,MAAM,YAAY,CAAC,QAAQ,EAAE,KAAK,EAAE,SAAS,CAAC,CAAA;IAC5D,IAAI,CAAC,KAAK,EAAE,CAAC;QACX,MAAM,IAAI,iBAAiB,CACzB,YAAY,KAAK,CAAC,IAAI,IAAI,KAAK,CAAC,IAAI,8CAA8C,SAAS,KAAK;YAC9F,wDAAwD,CAC3D,CAAA;IACH,CAAC;IACD,OAAO,KAAK,CAAA;AACd,CAAC"}

package/build/src/shared/sql_expiry.d.ts

@@ -0,0 +1,53 @@
+/**
+ * Cómo viaja `expires_at` entre el driver `database` y cada motor SQL
+ * (2.5-B · K2, auditor 🟠 2).
+ *
+ * El problema: en MySQL `expires_at` es `DATETIME(3)`, que NO guarda zona, y
+ * `mysql2` serializa y parsea los `Date` con el `TZ` del proceso (`timezone:
+ * 'local'`, su default). Un proceso en UTC escribía `12:00:00` para
+ * `12:00Z`; uno en Caracas leía ese `12:00:00` como `16:00Z`: la asignación
+ * caducaba 4 h tarde para él (y 9 h antes para uno en Tokio). Dentro de un
+ * solo proceso el ida y vuelta era exacto, que es lo único que el juez podía
+ * ver; el defecto solo aparece con dos procesos, que es el despliegue normal.
+ *
+ * La decisión: el driver NO depende de la config de la conexión. En MySQL
+ * escribe la caducidad como CADENA UTC explícita (`YYYY-MM-DD HH:mm:ss.SSS`),
+ * compara con `now` formateado igual y la LEE con `DATE_FORMAT(…)` (una
+ * cadena, que se parsea como UTC), así que `timezone`, `dateStrings` o el
+ * `TZ` del proceso no intervienen. En PostgreSQL la columna es
+ * `timestamptz(3)` (instante absoluto: el `Date` basta) y en SQLite un
+ * número; ahí el codec es la identidad. Lo fija `tests/expiry_timezone.spec`
+ * con procesos hijos reales en `TZ` distinta sobre la misma base.
+ */
+export interface ExpiryCodec {
+    /** Valor con el que se ESCRIBE la columna (`insert`/`update`). */
+    toDb(expiresAt: Date | null): unknown;
+    /** Valor con el que se COMPARA (`expires_at > ?`) para un instante dado. */
+    bind(at: Date): unknown;
+    /** Expresión de SELECT que devuelve la columna de forma que `fromDb` la lea sin depender del cliente. */
+    select(column: string, alias?: string): unknown;
+    /** Lo que devuelve el SELECT de `select(...)` → `Date | null`. */
+    fromDb(value: unknown): Date | null;
+}
+/** Nombre del dialecto de una conexión de Lucid (`dialect.name`; fallback: el driver de knex). */
+export declare function dialectOf(connection: any): string;
+/**
+ * ¿Es SQLite? (3E · Q5) Lucid nombra su dialecto `better-sqlite3` —no
+ * empieza por `sqlite`—, así que un `startsWith('sqlite')` no reconocía el
+ * SQLite real de esta máquina ni el de CI. Donde eso decide una BARRERA (el
+ * cerrojo del catálogo, que SQLite no necesita porque ya serializa sus
+ * escrituras) el fallo es silencioso: solo era inocuo porque knex compila
+ * `forUpdate` a vacío en sqlite3.
+ */
+export declare function isSqliteDialect(connection: any): boolean;
+/** `2030-06-15T12:00:00.000Z` → `2030-06-15 12:00:00.000` (UTC, con milisegundos). */
+export declare function formatUtcDatetime(at: Date): string;
+/** `2030-06-15 12:00:00.000000` (UTC, hasta microsegundos) → `Date`, o `null` si no es una fecha. */
+export declare function parseUtcDatetime(value: string): Date | null;
+/**
+ * El codec para una conexión de Lucid (default: la primaria). Se decide por
+ * dialecto una vez por driver; MySQL es el único que necesita algo distinto
+ * de la identidad.
+ */
+export declare function sqlExpiryCodec(connection?: any): ExpiryCodec;
+//# sourceMappingURL=sql_expiry.d.ts.map

package/build/src/shared/sql_expiry.d.ts.map

@@ -0,0 +1 @@
+{"version":3,"file":"sql_expiry.d.ts","sourceRoot":"","sources":["../../../src/shared/sql_expiry.ts"],"names":[],"mappings":"AAIA;;;;;;;;;;;;;;;;;;;;GAoBG;AACH,MAAM,WAAW,WAAW;IAC1B,kEAAkE;IAClE,IAAI,CAAC,SAAS,EAAE,IAAI,GAAG,IAAI,GAAG,OAAO,CAAA;IACrC,4EAA4E;IAC5E,IAAI,CAAC,EAAE,EAAE,IAAI,GAAG,OAAO,CAAA;IACvB,yGAAyG;IACzG,MAAM,CAAC,MAAM,EAAE,MAAM,EAAE,KAAK,CAAC,EAAE,MAAM,GAAG,OAAO,CAAA;IAC/C,kEAAkE;IAClE,MAAM,CAAC,KAAK,EAAE,OAAO,GAAG,IAAI,GAAG,IAAI,CAAA;CACpC;AAID,kGAAkG;AAClG,wBAAgB,SAAS,CAAC,UAAU,EAAE,GAAG,GAAG,MAAM,CAEjD;AAED;;;;;;;GAOG;AACH,wBAAgB,eAAe,CAAC,UAAU,EAAE,GAAG,GAAG,OAAO,CAGxD;AAED,sFAAsF;AACtF,wBAAgB,iBAAiB,CAAC,EAAE,EAAE,IAAI,GAAG,MAAM,CAElD;AAED,qGAAqG;AACrG,wBAAgB,gBAAgB,CAAC,KAAK,EAAE,MAAM,GAAG,IAAI,GAAG,IAAI,CAM3D;AA6BD;;;;GAIG;AACH,wBAAgB,cAAc,CAAC,UAAU,GAAE,GAAqB,GAAG,WAAW,CAE7E"}

package/build/src/shared/sql_expiry.js

@@ -0,0 +1,66 @@
+import db from '@adonisjs/lucid/services/db';
+import { AuthorizationInternalError } from '../errors.js';
+import { toExpiryDate } from '../expiry.js';
+const MYSQL_DIALECTS = new Set(['mysql', 'mysql2']);
+/** Nombre del dialecto de una conexión de Lucid (`dialect.name`; fallback: el driver de knex). */
+export function dialectOf(connection) {
+    return connection?.dialect?.name ?? connection?.client?.driverName ?? 'desconocido';
+}
+/**
+ * ¿Es SQLite? (3E · Q5) Lucid nombra su dialecto `better-sqlite3` —no
+ * empieza por `sqlite`—, así que un `startsWith('sqlite')` no reconocía el
+ * SQLite real de esta máquina ni el de CI. Donde eso decide una BARRERA (el
+ * cerrojo del catálogo, que SQLite no necesita porque ya serializa sus
+ * escrituras) el fallo es silencioso: solo era inocuo porque knex compila
+ * `forUpdate` a vacío en sqlite3.
+ */
+export function isSqliteDialect(connection) {
+    const name = dialectOf(connection);
+    return name.startsWith('sqlite') || name === 'better-sqlite3';
+}
+/** `2030-06-15T12:00:00.000Z` → `2030-06-15 12:00:00.000` (UTC, con milisegundos). */
+export function formatUtcDatetime(at) {
+    return at.toISOString().slice(0, 23).replace('T', ' ');
+}
+/** `2030-06-15 12:00:00.000000` (UTC, hasta microsegundos) → `Date`, o `null` si no es una fecha. */
+export function parseUtcDatetime(value) {
+    const match = /^(\d{4}-\d{2}-\d{2})[ T](\d{2}:\d{2}:\d{2})(?:\.(\d{1,6}))?$/.exec(value.trim());
+    if (!match)
+        return null;
+    const millis = (match[3] ?? '').padEnd(3, '0').slice(0, 3);
+    const date = new Date(`${match[1]}T${match[2]}.${millis}Z`);
+    return Number.isNaN(date.getTime()) ? null : date;
+}
+const identityCodec = {
+    toDb: (expiresAt) => expiresAt,
+    bind: (at) => at,
+    select: (column, alias) => (alias && alias !== column ? `${column} as ${alias}` : column),
+    fromDb: toExpiryDate,
+};
+function mysqlCodec(connection) {
+    const raw = (sql, bindings) => typeof connection?.raw === 'function' ? connection.raw(sql, bindings) : db.raw(sql, bindings);
+    return {
+        toDb: (expiresAt) => (expiresAt ? formatUtcDatetime(expiresAt) : null),
+        bind: (at) => formatUtcDatetime(at),
+        select: (column, alias) => raw(`DATE_FORMAT(??, '%Y-%m-%d %H:%i:%s.%f') as ??`, [column, alias ?? column.split('.').pop()]),
+        fromDb: (value) => {
+            if (value === null || value === undefined || value === '')
+                return null;
+            if (typeof value === 'string')
+                return parseUtcDatetime(value);
+            // Un `Date` aquí es que la lectura no pasó por `select(...)` y el
+            // cliente ya la interpretó con SU zona: eso es exactamente lo que este
+            // codec existe para impedir. Ruidoso, nunca una caducidad corrida.
+            throw new AuthorizationInternalError(`expires_at llegó como ${value instanceof Date ? 'Date' : typeof value} en MySQL: la lectura tiene que pasar por ExpiryCodec.select(...) (DATE_FORMAT) para no depender de la zona del cliente`);
+        },
+    };
+}
+/**
+ * El codec para una conexión de Lucid (default: la primaria). Se decide por
+ * dialecto una vez por driver; MySQL es el único que necesita algo distinto
+ * de la identidad.
+ */
+export function sqlExpiryCodec(connection = db.connection()) {
+    return MYSQL_DIALECTS.has(dialectOf(connection)) ? mysqlCodec(connection) : identityCodec;
+}
+//# sourceMappingURL=sql_expiry.js.map

package/build/src/shared/sql_expiry.js.map

@@ -0,0 +1 @@
+{"version":3,"file":"sql_expiry.js","sourceRoot":"","sources":["../../../src/shared/sql_expiry.ts"],"names":[],"mappings":"AAAA,OAAO,EAAE,MAAM,6BAA6B,CAAA;AAC5C,OAAO,EAAE,0BAA0B,EAAE,MAAM,cAAc,CAAA;AACzD,OAAO,EAAE,YAAY,EAAE,MAAM,cAAc,CAAA;AAkC3C,MAAM,cAAc,GAAG,IAAI,GAAG,CAAC,CAAC,OAAO,EAAE,QAAQ,CAAC,CAAC,CAAA;AAEnD,kGAAkG;AAClG,MAAM,UAAU,SAAS,CAAC,UAAe;IACvC,OAAO,UAAU,EAAE,OAAO,EAAE,IAAI,IAAI,UAAU,EAAE,MAAM,EAAE,UAAU,IAAI,aAAa,CAAA;AACrF,CAAC;AAED;;;;;;;GAOG;AACH,MAAM,UAAU,eAAe,CAAC,UAAe;IAC7C,MAAM,IAAI,GAAG,SAAS,CAAC,UAAU,CAAC,CAAA;IAClC,OAAO,IAAI,CAAC,UAAU,CAAC,QAAQ,CAAC,IAAI,IAAI,KAAK,gBAAgB,CAAA;AAC/D,CAAC;AAED,sFAAsF;AACtF,MAAM,UAAU,iBAAiB,CAAC,EAAQ;IACxC,OAAO,EAAE,CAAC,WAAW,EAAE,CAAC,KAAK,CAAC,CAAC,EAAE,EAAE,CAAC,CAAC,OAAO,CAAC,GAAG,EAAE,GAAG,CAAC,CAAA;AACxD,CAAC;AAED,qGAAqG;AACrG,MAAM,UAAU,gBAAgB,CAAC,KAAa;IAC5C,MAAM,KAAK,GAAG,8DAA8D,CAAC,IAAI,CAAC,KAAK,CAAC,IAAI,EAAE,CAAC,CAAA;IAC/F,IAAI,CAAC,KAAK;QAAE,OAAO,IAAI,CAAA;IACvB,MAAM,MAAM,GAAG,CAAC,KAAK,CAAC,CAAC,CAAC,IAAI,EAAE,CAAC,CAAC,MAAM,CAAC,CAAC,EAAE,GAAG,CAAC,CAAC,KAAK,CAAC,CAAC,EAAE,CAAC,CAAC,CAAA;IAC1D,MAAM,IAAI,GAAG,IAAI,IAAI,CAAC,GAAG,KAAK,CAAC,CAAC,CAAC,IAAI,KAAK,CAAC,CAAC,CAAC,IAAI,MAAM,GAAG,CAAC,CAAA;IAC3D,OAAO,MAAM,CAAC,KAAK,CAAC,IAAI,CAAC,OAAO,EAAE,CAAC,CAAC,CAAC,CAAC,IAAI,CAAC,CAAC,CAAC,IAAI,CAAA;AACnD,CAAC;AAED,MAAM,aAAa,GAAgB;IACjC,IAAI,EAAE,CAAC,SAAS,EAAE,EAAE,CAAC,SAAS;IAC9B,IAAI,EAAE,CAAC,EAAE,EAAE,EAAE,CAAC,EAAE;IAChB,MAAM,EAAE,CAAC,MAAM,EAAE,KAAK,EAAE,EAAE,CAAC,CAAC,KAAK,IAAI,KAAK,KAAK,MAAM,CAAC,CAAC,CAAC,GAAG,MAAM,OAAO,KAAK,EAAE,CAAC,CAAC,CAAC,MAAM,CAAC;IACzF,MAAM,EAAE,YAAY;CACrB,CAAA;AAED,SAAS,UAAU,CAAC,UAAe;IACjC,MAAM,GAAG,GAAG,CAAC,GAAW,EAAE,QAAmB,EAAE,EAAE,CAC/C,OAAO,UAAU,EAAE,GAAG,KAAK,UAAU,CAAC,CAAC,CAAC,UAAU,CAAC,GAAG,CAAC,GAAG,EAAE,QAAQ,CAAC,CAAC,CAAC,CAAC,EAAE,CAAC,GAAG,CAAC,GAAG,EAAE,QAAQ,CAAC,CAAA;IAC/F,OAAO;QACL,IAAI,EAAE,CAAC,SAAS,EAAE,EAAE,CAAC,CAAC,SAAS,CAAC,CAAC,CAAC,iBAAiB,CAAC,SAAS,CAAC,CAAC,CAAC,CAAC,IAAI,CAAC;QACtE,IAAI,EAAE,CAAC,EAAE,EAAE,EAAE,CAAC,iBAAiB,CAAC,EAAE,CAAC;QACnC,MAAM,EAAE,CAAC,MAAM,EAAE,KAAK,EAAE,EAAE,CAAC,GAAG,CAAC,+CAA+C,EAAE,CAAC,MAAM,EAAE,KAAK,IAAI,MAAM,CAAC,KAAK,CAAC,GAAG,CAAC,CAAC,GAAG,EAAG,CAAC,CAAC;QAC5H,MAAM,EAAE,CAAC,KAAK,EAAE,EAAE;YAChB,IAAI,KAAK,KAAK,IAAI,IAAI,KAAK,KAAK,SAAS,IAAI,KAAK,KAAK,EAAE;gBAAE,OAAO,IAAI,CAAA;YACtE,IAAI,OAAO,KAAK,KAAK,QAAQ;gBAAE,OAAO,gBAAgB,CAAC,KAAK,CAAC,CAAA;YAC7D,kEAAkE;YAClE,uEAAuE;YACvE,mEAAmE;YACnE,MAAM,IAAI,0BAA0B,CAClC,yBAAyB,KAAK,YAAY,IAAI,CAAC,CAAC,CAAC,MAAM,CAAC,CAAC,CAAC,OAAO,KAAK,yHAAyH,CAChM,CAAA;QACH,CAAC;KACF,CAAA;AACH,CAAC;AAED;;;;GAIG;AACH,MAAM,UAAU,cAAc,CAAC,aAAkB,EAAE,CAAC,UAAU,EAAE;IAC9D,OAAO,cAAc,CAAC,GAAG,CAAC,SAAS,CAAC,UAAU,CAAC,CAAC,CAAC,CAAC,CAAC,UAAU,CAAC,UAAU,CAAC,CAAC,CAAC,CAAC,aAAa,CAAA;AAC3F,CAAC"}

package/build/src/sql_descendants.d.ts

@@ -0,0 +1,97 @@
+import type { ScopeDescendantsResolver, ScopeEdgesEnumerator } from './types.js';
+/**
+ * `descendantsOf` opt-in sobre una tabla del consumidor con columna padre
+ * (2.1, B2). Genera UNA CTE recursiva (`WITH RECURSIVE`), la misma para
+ * PostgreSQL, SQLite y MySQL 8 (2.5 · J3: solo cambia el carácter con el que
+ * se citan los identificadores); cualquier otro dialecto lanza 500
+ * `E_AUTHZ_UNSUPPORTED_DIALECT` en la primera llamada hasta que la suite lo
+ * observe. El paquete sigue sin conocer el árbol del consumidor: aquí solo
+ * se le dice qué tabla y qué columnas lo guardan.
+ *
+ *   scopes: {
+ *     resolveChain,
+ *     descendantsOf: sqlDescendantsOf({
+ *       table: 'organization_nodes', uuidColumn: 'uuid', parentColumn: 'parent_uuid', typeColumn: 'kind',
+ *     }),
+ *   }
+ *
+ * Cotas: la consulta lee como mucho `maxNodes + 1` filas (`LIMIT`) y no baja
+ * más de `maxNodes + 1` niveles, así que un ciclo en la tabla termina Y se
+ * nota: un ciclo alcanzable produce al menos una fila por nivel, es decir
+ * más de `maxNodes` ⇒ 422 `E_AUTHZ_TOO_MANY_SCOPES` con «posible ciclo» en
+ * el mensaje (con `depth < maxNodes` un ciclo de dos nodos devolvía
+ * `maxNodes - 1` filas duplicadas en silencio). No hay segunda barrera por
+ * uuid repetido: con esta profundidad un ciclo NUNCA cabe en `maxNodes`
+ * filas, así que era código muerto (G1, CR6). Nunca una lista parcial. Un
+ * scope que no está en la tabla ⇒ `null`. `scopeType` pasa por la gramática
+ * de identidad al construir (auditor 11).
+ */
+export interface SqlDescendantsOptions {
+    table: string;
+    uuidColumn: string;
+    /** Columna con el uuid del padre; `NULL` = el nodo cuelga de `app`. */
+    parentColumn: string;
+    /** Columna con el `ScopeRef.type` de cada fila. Excluyente con `scopeType`. */
+    typeColumn?: string;
+    /** Tipo fijo de todos los nodos de la tabla (sin columna de tipo). Excluyente con `typeColumn`. */
+    scopeType?: string;
+    /** Cota propia del helper: se aplica `min(maxNodes del llamante, esta)`. */
+    maxNodes?: number;
+    /** Nombre de la conexión Lucid (default: la primaria). */
+    connection?: string;
+    /** Deadline de cada consulta en ms (default 5000): vencido ⇒ 503. */
+    timeoutMs?: number;
+}
+/** Lo que necesita del `db` de Lucid; inyectable para probar el dialecto sin servidor. */
+interface DatabaseLike {
+    connection(name?: string): any;
+}
+export declare function sqlDescendantsOf(options: SqlDescendantsOptions, database?: DatabaseLike): ScopeDescendantsResolver;
+/**
+ * `scopes.enumerateEdges` sobre la MISMA tabla que `sqlDescendantsOf`
+ * (3b-3a): una página de aristas `hijo → padre` por llamada, ordenadas por la
+ * clave primaria y continuadas con un cursor.
+ *
+ *   scopes: {
+ *     resolveChain,
+ *     enumerateEdges: sqlScopeEdges({
+ *       table: 'organization_nodes', uuidColumn: 'uuid',
+ *       parentColumn: 'parent_uuid', typeColumn: 'kind',
+ *     }),
+ *   }
+ *
+ * Lo usa `authz:reconcile --to=openfga` para reconstruir el árbol del store
+ * (y para borrar las aristas que la tabla ya no respalda).
+ *
+ * Decisiones que hay que conocer:
+ *  - **el cursor es el uuid de la última fila**, y el orden es `ORDER BY
+ *    uuid` (clave primaria: orden total y estable). Una pasada reanudada no
+ *    se salta nodos aunque el árbol cambie entre páginas; lo que cambie por
+ *    debajo del cursor entra en la siguiente pasada, que es idempotente.
+ *  - **una fila cuyo padre NO existe no produce arista** (LEFT JOIN sin
+ *    pareja). Es coherente con `resolveChain`, que devuelve `null` para ese
+ *    nodo: no está en el árbol. No es silencioso: el destino conserva la
+ *    arista vieja, `authz:reconcile` la cuenta como sobrante y sus hechos
+ *    salen en `skipped` con el motivo.
+ *  - `parentColumn IS NULL` es la raíz (`APP_SCOPE`).
+ *
+ * Mismos dialectos que `sqlDescendantsOf` (PG, MySQL 8, SQLite) y el mismo
+ * 500 `E_AUTHZ_UNSUPPORTED_DIALECT` para cualquier otro.
+ */
+export interface SqlScopeEdgesOptions {
+    table: string;
+    uuidColumn: string;
+    /** Columna con el uuid del padre; `NULL` = el nodo cuelga de `app`. */
+    parentColumn: string;
+    /** Columna con el `ScopeRef.type` de cada fila. Excluyente con `scopeType`. */
+    typeColumn?: string;
+    /** Tipo fijo de todos los nodos de la tabla (sin columna de tipo). Excluyente con `typeColumn`. */
+    scopeType?: string;
+    /** Nombre de la conexión Lucid (default: la primaria). */
+    connection?: string;
+    /** Deadline de cada consulta en ms (default 5000): vencido ⇒ 503. */
+    timeoutMs?: number;
+}
+export declare function sqlScopeEdges(options: SqlScopeEdgesOptions, database?: DatabaseLike): ScopeEdgesEnumerator;
+export {};
+//# sourceMappingURL=sql_descendants.d.ts.map

package/build/src/sql_descendants.d.ts.map

@@ -0,0 +1 @@
+{"version":3,"file":"sql_descendants.d.ts","sourceRoot":"","sources":["../../src/sql_descendants.ts"],"names":[],"mappings":"AAMA,OAAO,KAAK,EAAE,wBAAwB,EAAa,oBAAoB,EAAY,MAAM,YAAY,CAAA;AAErG;;;;;;;;;;;;;;;;;;;;;;;;;;GA0BG;AACH,MAAM,WAAW,qBAAqB;IACpC,KAAK,EAAE,MAAM,CAAA;IACb,UAAU,EAAE,MAAM,CAAA;IAClB,uEAAuE;IACvE,YAAY,EAAE,MAAM,CAAA;IACpB,+EAA+E;IAC/E,UAAU,CAAC,EAAE,MAAM,CAAA;IACnB,mGAAmG;IACnG,SAAS,CAAC,EAAE,MAAM,CAAA;IAClB,4EAA4E;IAC5E,QAAQ,CAAC,EAAE,MAAM,CAAA;IACjB,0DAA0D;IAC1D,UAAU,CAAC,EAAE,MAAM,CAAA;IACnB,qEAAqE;IACrE,SAAS,CAAC,EAAE,MAAM,CAAA;CACnB;AAuBD,0FAA0F;AAC1F,UAAU,YAAY;IACpB,UAAU,CAAC,IAAI,CAAC,EAAE,MAAM,GAAG,GAAG,CAAA;CAC/B;AAED,wBAAgB,gBAAgB,CAC9B,OAAO,EAAE,qBAAqB,EAC9B,QAAQ,GAAE,YAAiB,GAC1B,wBAAwB,CAiH1B;AAID;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;GA8BG;AACH,MAAM,WAAW,oBAAoB;IACnC,KAAK,EAAE,MAAM,CAAA;IACb,UAAU,EAAE,MAAM,CAAA;IAClB,uEAAuE;IACvE,YAAY,EAAE,MAAM,CAAA;IACpB,+EAA+E;IAC/E,UAAU,CAAC,EAAE,MAAM,CAAA;IACnB,mGAAmG;IACnG,SAAS,CAAC,EAAE,MAAM,CAAA;IAClB,0DAA0D;IAC1D,UAAU,CAAC,EAAE,MAAM,CAAA;IACnB,qEAAqE;IACrE,SAAS,CAAC,EAAE,MAAM,CAAA;CACnB;AAED,wBAAgB,aAAa,CAC3B,OAAO,EAAE,oBAAoB,EAC7B,QAAQ,GAAE,YAAiB,GAC1B,oBAAoB,CA+EtB"}