@jantstack/adonis-authz 1.1.0 → 2.4.0-alpha.1

package/build/commands/authz_reconcile.d.ts

@@ -0,0 +1,102 @@
+import { BaseCommand } from '@adonisjs/core/ace';
+import { CommandOptions } from '@adonisjs/core/types/ace';
+import type { ReconcileReport } from '../src/types.js';
+/**
+ * Las líneas del reporte y si la pasada es «limpia», en una función PURA
+ * (mismo patrón que `orphanLines`): es lo único del comando que decide algo,
+ * y así tiene su caso sin montar un ace.
+ *
+ * Qué cuenta como deriva —y por tanto como exit ≠ 0—:
+ *  - en `--dry-run`, **cualquier cosa que la pasada haría** (escribir,
+ *    actualizar o borrar): es el verificador, y para eso está en CI;
+ *  - siempre, lo que una pasada NO puede arreglar sola: **ciclos** en el
+ *    árbol del consumidor, **entradas aparcadas** de la outbox y hechos que
+ *    se quedan fuera (`skipped`) — incluidos los del scope que ya no
+ *    resuelve, que solo se van con `--prune`.
+ *
+ * La ventana del relay (`pendingRelay`) se AVISA pero no tumba la pasada: es
+ * una ventana de segundos por diseño, no una divergencia. Y **`expired`
+ * tampoco tumba** (3b-8 · B2): es la pérdida DECLARADA de la migración, no
+ * concede en ningún driver y nada barre las filas caducadas del origen, así
+ * que contarla como deriva dejaba el exit 1 clavado para siempre a la
+ * primera caducidad real.
+ */
+export declare function reconcileLines(report: ReconcileReport): {
+    lines: Array<{
+        level: 'log' | 'warning' | 'error' | 'success';
+        message: string;
+    }>;
+    clean: boolean;
+};
+/**
+ * **Migra —y verifica— entre drivers** (3b-3a). Es la única primitiva de
+ * migración del paquete: `openfga:import` se borró en 3b-2k · K2 porque
+ * llenaba el store con las tuplas de un modelo que ya no existe.
+ *
+ *   node ace authz:reconcile --to=openfga --dry-run   # el VERIFICADOR (CI)
+ *   node ace authz:reconcile --to=openfga             # migra, o MANTIENE (ver abajo)
+ *   node ace authz:reconcile --to=openfga --prune     # y borra lo que el origen ya no respalda
+ *
+ * `--to` nombra una clave de `drivers` en `config/authorization.ts`, no el
+ * driver activo: migrar es llenar el destino mientras el motor sigue
+ * corriendo con el otro.
+ *
+ * **De dónde salen los HECHOS** (3b-5): de quien sea su fuente de verdad, y
+ * la pasada lo dice en su primera línea (`report.factsFrom`).
+ *  - Si `--to` es el driver ACTIVO y sus hechos viven en su backend
+ *    (`capabilities.hierarchyFacts`, el `openfga` de esta versión), los
+ *    hechos son los SUYOS: la pasada es de MANTENIMIENTO —rehace lo derivado
+ *    y aplica el barrido de visibilidad del invariante 18— y no escribe ni
+ *    borra un solo hecho. `authz_assignments`/`authz_denies` no son su
+ *    fuente: después de un cutover a `facts` están congeladas, y
+ *    reconstruir desde ellas resucitaba lo revocado y —con `--prune`—
+ *    borraba los denies vivos.
+ *  - Con `--from=<driver>` mandas tú: si ese driver es el `database` del
+ *    paquete, los hechos son sus tablas y `--to=openfga` es la MIGRACIÓN de
+ *    un solo sentido de siempre.
+ *
+ * Qué migra hacia `openfga`: el marcador de raíz, la proyección del catálogo,
+ * el árbol (desde `scopes.enumerateEdges`) y los hechos de `authz_*`.
+ *
+ * Qué migra hacia `database` (3b-3b, la VUELTA): **solo los hechos**, leídos
+ * del origen por el puerto `enumerateFacts` (páginas con cursor). El ÁRBOL no
+ * se migra —el driver `database` lo lee de tus tablas en cada pregunta, que
+ * son su fuente de verdad— y el CATÁLOGO tampoco, que es propiedad local
+ * siempre. Por eso en esa dirección las fases `marcador de raíz`,
+ * `proyección del catálogo` y `árbol` son cero: no hay nada derivado que
+ * rehacer, y el cero lo dice.
+ *
+ * El origen se elige solo si es inequívoco: con dos drivers registrados es el
+ * que no es el destino; con más de un candidato hay que decirlo con
+ * `--from=<driver>`, porque de dónde salen los hechos decide lo que va a
+ * quedar escrito.
+ *
+ * Las dos direcciones son IDEMPOTENTES (la segunda pasada escribe cero),
+ * reanudables (leen por lotes con cursor y convergen si se repiten) y **nunca
+ * silenciosas**: cada cosa que no se migra sale contada y con su motivo.
+ *
+ * `--dry-run` es el verificador y es **read-only por contrato** (panel 2,
+ * cruce 4 · S18): mismo recorrido, cero escrituras y los mismos números. **No
+ * hay ni habrá un `--fix`**: sería un mecanismo de concesión.
+ *
+ * Durante la pasada que ESCRIBE, las escrituras del motor están congeladas
+ * (503 reintentable) y las lecturas siguen. **Con `--dry-run` NO se congela**
+ * (3b-6): el verificador no escribe nada, así que no tiene nada que proteger,
+ * y está publicado para correrlo en CI y en un cron — justo el sitio desde el
+ * que un mecanismo de indisponibilidad se dispara solo. Es una operación de
+ * PLATAFORMA: no lleva actor, no mide rangos y no se expone por HTTP.
+ */
+export default class AuthzReconcile extends BaseCommand {
+    static commandName: string;
+    static description: string;
+    static options: CommandOptions;
+    to: string | undefined;
+    from: string | undefined;
+    dryRun: boolean | undefined;
+    prune: boolean | undefined;
+    allowMassDelete: boolean | undefined;
+    batchSize: number | undefined;
+    maxTuples: number | undefined;
+    run(): Promise<void>;
+}
+//# sourceMappingURL=authz_reconcile.d.ts.map

package/build/commands/authz_reconcile.d.ts.map

@@ -0,0 +1 @@
+{"version":3,"file":"authz_reconcile.d.ts","sourceRoot":"","sources":["../../commands/authz_reconcile.ts"],"names":[],"mappings":"AAAA,OAAO,EAAE,WAAW,EAAS,MAAM,oBAAoB,CAAA;AACvD,OAAO,EAAE,cAAc,EAAE,MAAM,0BAA0B,CAAA;AACzD,OAAO,KAAK,EAAE,eAAe,EAAE,MAAM,iBAAiB,CAAA;AAEtD;;;;;;;;;;;;;;;;;;;GAmBG;AACH,wBAAgB,cAAc,CAAC,MAAM,EAAE,eAAe,GAAG;IACvD,KAAK,EAAE,KAAK,CAAC;QAAE,KAAK,EAAE,KAAK,GAAG,SAAS,GAAG,OAAO,GAAG,SAAS,CAAC;QAAC,OAAO,EAAE,MAAM,CAAA;KAAE,CAAC,CAAA;IACjF,KAAK,EAAE,OAAO,CAAA;CACf,CAyIA;AAED;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;GAyDG;AACH,MAAM,CAAC,OAAO,OAAO,cAAe,SAAQ,WAAW;IACrD,MAAM,CAAC,WAAW,SAAoB;IACtC,MAAM,CAAC,WAAW,SAAqG;IAEvH,MAAM,CAAC,OAAO,EAAE,cAAc,CAE7B;IAGO,EAAE,EAAE,MAAM,GAAG,SAAS,CAAA;IAKtB,IAAI,EAAE,MAAM,GAAG,SAAS,CAAA;IAGxB,MAAM,EAAE,OAAO,GAAG,SAAS,CAAA;IAG3B,KAAK,EAAE,OAAO,GAAG,SAAS,CAAA;IAM1B,eAAe,EAAE,OAAO,GAAG,SAAS,CAAA;IAGpC,SAAS,EAAE,MAAM,GAAG,SAAS,CAAA;IAM7B,SAAS,EAAE,MAAM,GAAG,SAAS,CAAA;IAE/B,GAAG;CA6CV"}

package/build/commands/authz_reconcile.js

@@ -0,0 +1,294 @@
+var __decorate = (this && this.__decorate) || function (decorators, target, key, desc) {
+    var c = arguments.length, r = c < 3 ? target : desc === null ? desc = Object.getOwnPropertyDescriptor(target, key) : desc, d;
+    if (typeof Reflect === "object" && typeof Reflect.decorate === "function") r = Reflect.decorate(decorators, target, key, desc);
+    else for (var i = decorators.length - 1; i >= 0; i--) if (d = decorators[i]) r = (c < 3 ? d(r) : c > 3 ? d(target, key, r) : d(target, key)) || r;
+    return c > 3 && r && Object.defineProperty(target, key, r), r;
+};
+var __metadata = (this && this.__metadata) || function (k, v) {
+    if (typeof Reflect === "object" && typeof Reflect.metadata === "function") return Reflect.metadata(k, v);
+};
+import { BaseCommand, flags } from '@adonisjs/core/ace';
+/**
+ * Las líneas del reporte y si la pasada es «limpia», en una función PURA
+ * (mismo patrón que `orphanLines`): es lo único del comando que decide algo,
+ * y así tiene su caso sin montar un ace.
+ *
+ * Qué cuenta como deriva —y por tanto como exit ≠ 0—:
+ *  - en `--dry-run`, **cualquier cosa que la pasada haría** (escribir,
+ *    actualizar o borrar): es el verificador, y para eso está en CI;
+ *  - siempre, lo que una pasada NO puede arreglar sola: **ciclos** en el
+ *    árbol del consumidor, **entradas aparcadas** de la outbox y hechos que
+ *    se quedan fuera (`skipped`) — incluidos los del scope que ya no
+ *    resuelve, que solo se van con `--prune`.
+ *
+ * La ventana del relay (`pendingRelay`) se AVISA pero no tumba la pasada: es
+ * una ventana de segundos por diseño, no una divergencia. Y **`expired`
+ * tampoco tumba** (3b-8 · B2): es la pérdida DECLARADA de la migración, no
+ * concede en ningún driver y nada barre las filas caducadas del origen, así
+ * que contarla como deriva dejaba el exit 1 clavado para siempre a la
+ * primera caducidad real.
+ */
+export function reconcileLines(report) {
+    const lines = [];
+    const fase = (nombre, key) => {
+        const c = report.phases[key];
+        if (c.written + c.updated + c.unchanged + c.extra + c.deleted === 0)
+            return;
+        lines.push({
+            level: 'log',
+            message: `${nombre}: escritas ${c.written}, actualizadas ${c.updated}, iguales ${c.unchanged}, ` +
+                `sobran ${c.extra}, borradas ${c.deleted}`,
+        });
+    };
+    // **De dónde salieron los hechos** (3b-5), lo primero: es la diferencia
+    // entre una MIGRACIÓN y una pasada de mantenimiento contra el driver
+    // activo, y con ella se leen todos los números de abajo.
+    if (report.factsFrom !== undefined) {
+        lines.push(report.factsFrom === report.to
+            ? {
+                level: 'log',
+                message: `hechos: los del propio '${report.to}' — es el driver ACTIVO, así que sus hechos son SUYOS y no ` +
+                    `los de authz_assignments/authz_denies. Esta pasada rehace lo derivado (marcador de raíz, ` +
+                    `proyección del catálogo, árbol y visibilidad de rol) y no escribe ni borra un solo hecho. ` +
+                    `Si lo que quieres es MIGRAR desde las tablas, nómbralas: --from=<driver cuyos hechos son authz_*>.`,
+            }
+            : { level: 'log', message: `hechos: leídos de ${report.factsFrom}` });
+    }
+    fase('marcador de raíz', 'root');
+    fase('proyección del catálogo', 'catalog');
+    fase('árbol', 'tree');
+    fase('hechos', 'facts');
+    for (const skip of report.details) {
+        lines.push({ level: 'warning', message: `sin migrar (${skip.reason}) ${skip.kind}: ${skip.detail}` });
+    }
+    const motivos = Object.entries(report.skipped).sort(([a], [b]) => (a < b ? -1 : 1));
+    for (const [reason, count] of motivos) {
+        lines.push({ level: 'warning', message: `${count} sin migrar por '${reason}'` });
+    }
+    if (report.skipped['unknown-scope'] && !report.prune) {
+        lines.push({
+            level: 'warning',
+            message: 'Los hechos de un scope que YA NO RESUELVE siguen en el destino y volverían a conceder si el scope se ' +
+                'restaura con el mismo uuid: repite con --prune para borrarlos.',
+        });
+    }
+    if (report.drift.rootMarker) {
+        lines.push({
+            level: 'error',
+            message: 'Faltaba el MARCADOR DE RAÍZ (scope:app#rooted): sin él el store entero deniega, en silencio. ' +
+                'Lo repone esta pasada y cada authz:catalog:sync.',
+        });
+    }
+    for (const object of report.drift.multiParent) {
+        lines.push({
+            level: 'error',
+            message: `${object} tenía MÁS DE UN PADRE en el destino: había otro escritor del árbol. Esta pasada lo deja con el del consumidor.`,
+        });
+    }
+    if (report.drift.roleVisibility > 0) {
+        lines.push({
+            level: 'error',
+            message: `${report.drift.roleVisibility} arista(s) de visibilidad de rol (invariante 18) estaban mal en el destino: ` +
+                'una escritura que el relay pudo perder. Con la de MÁS, el destino concedía lo que el catálogo y el árbol de hoy no.',
+        });
+    }
+    for (const cycle of report.cycles) {
+        lines.push({
+            level: 'error',
+            message: `CICLO en el árbol del consumidor: ${cycle.join(' → ')} → ${cycle[0]}. Ninguna de sus aristas se escribe ` +
+                '(el backend evalúa el ciclo y la herencia pasa a ser bidireccional), así que ese subárbol DENIEGA hasta que lo arregles.',
+        });
+    }
+    if (report.drift.pendingRelay > 0) {
+        lines.push({
+            level: 'warning',
+            message: `${report.drift.pendingRelay} cambio(s) del árbol encolados y sin relevar: el destino decide con el árbol VIEJO ` +
+                'en esa ventana. Drena la cola (authz:scopes:relay) y repite si quieres una foto sin ventana.',
+        });
+    }
+    if (report.drift.deadRelay > 0) {
+        lines.push({
+            level: 'error',
+            message: `${report.drift.deadRelay} cambio(s) del árbol APARCADOS en la outbox: eso no es una ventana, es divergencia permanente.`,
+        });
+    }
+    if (report.frozen?.lapsed) {
+        lines.push({
+            level: 'error',
+            message: 'El LEASE del freeze se perdió a MITAD de la pasada (una pausa más larga que el lease, la base caída, o ' +
+                'alguien levantó la ventana): hubo un intervalo en el que otros procesos pudieron escribir, y lo que ' +
+                'escribieran no está en ningún contador. La pasada NO se certifica: repítela dentro de una ventana entera.',
+        });
+    }
+    if (report.massDelete) {
+        lines.push({
+            level: 'error',
+            message: report.to === 'database'
+                ? 'Esta pasada borraría hechos y el ORIGEN no ha devuelto NI UNO: comprueba el --from y el store antes de ' +
+                    'usar --allow-mass-delete.'
+                : `Esta pasada borraría hechos y el ORIGEN (${report.factsFrom ?? 'authz_assignments/authz_denies'}) no ha ` +
+                    'devuelto NI UNO: comprueba la conexión y qué driver está escribiendo los hechos antes de usar ' +
+                    '--allow-mass-delete.',
+        });
+    }
+    const cambios = report.written + report.updated + report.deleted;
+    // **`expired` no es deriva** (3b-8 · B2). Es la ÚNICA pérdida DECLARADA de
+    // la migración (README, contrato de migración): una asignación caducada no
+    // concede en ningún driver (invariante 3), no hay scheduler que barra sus
+    // filas del ORIGEN (a propósito) y ninguna escritura en el DESTINO puede
+    // «arreglarla». Contarla como deriva hacía el verde del verificador
+    // INALCANZABLE con datos reales: a la primera caducidad, exit 1 para
+    // siempre — el CI que el CHANGELOG promete verde no existía. Sigue saliendo
+    // contada («N sin migrar por 'expired'»); lo que no hace es tumbar la
+    // pasada. Las caducadas que SOBRAN en el destino sí son deriva
+    // (`extra-fact`), y su barrido existe: `--prune`.
+    const drifting = Object.keys(report.skipped).filter((reason) => reason !== 'expired');
+    const clean = report.cycles.length === 0 &&
+        report.drift.deadRelay === 0 &&
+        report.drift.multiParent.length === 0 &&
+        drifting.length === 0 &&
+        // La garantía del freeze se DEMUESTRA (3b-7, juez C4): un lease perdido a
+        // mitad es una ventana en la que otros pudieron escribir ⇒ exit ≠ 0.
+        report.frozen?.lapsed !== true &&
+        (!report.dryRun || cambios === 0);
+    return { lines, clean };
+}
+/**
+ * **Migra —y verifica— entre drivers** (3b-3a). Es la única primitiva de
+ * migración del paquete: `openfga:import` se borró en 3b-2k · K2 porque
+ * llenaba el store con las tuplas de un modelo que ya no existe.
+ *
+ *   node ace authz:reconcile --to=openfga --dry-run   # el VERIFICADOR (CI)
+ *   node ace authz:reconcile --to=openfga             # migra, o MANTIENE (ver abajo)
+ *   node ace authz:reconcile --to=openfga --prune     # y borra lo que el origen ya no respalda
+ *
+ * `--to` nombra una clave de `drivers` en `config/authorization.ts`, no el
+ * driver activo: migrar es llenar el destino mientras el motor sigue
+ * corriendo con el otro.
+ *
+ * **De dónde salen los HECHOS** (3b-5): de quien sea su fuente de verdad, y
+ * la pasada lo dice en su primera línea (`report.factsFrom`).
+ *  - Si `--to` es el driver ACTIVO y sus hechos viven en su backend
+ *    (`capabilities.hierarchyFacts`, el `openfga` de esta versión), los
+ *    hechos son los SUYOS: la pasada es de MANTENIMIENTO —rehace lo derivado
+ *    y aplica el barrido de visibilidad del invariante 18— y no escribe ni
+ *    borra un solo hecho. `authz_assignments`/`authz_denies` no son su
+ *    fuente: después de un cutover a `facts` están congeladas, y
+ *    reconstruir desde ellas resucitaba lo revocado y —con `--prune`—
+ *    borraba los denies vivos.
+ *  - Con `--from=<driver>` mandas tú: si ese driver es el `database` del
+ *    paquete, los hechos son sus tablas y `--to=openfga` es la MIGRACIÓN de
+ *    un solo sentido de siempre.
+ *
+ * Qué migra hacia `openfga`: el marcador de raíz, la proyección del catálogo,
+ * el árbol (desde `scopes.enumerateEdges`) y los hechos de `authz_*`.
+ *
+ * Qué migra hacia `database` (3b-3b, la VUELTA): **solo los hechos**, leídos
+ * del origen por el puerto `enumerateFacts` (páginas con cursor). El ÁRBOL no
+ * se migra —el driver `database` lo lee de tus tablas en cada pregunta, que
+ * son su fuente de verdad— y el CATÁLOGO tampoco, que es propiedad local
+ * siempre. Por eso en esa dirección las fases `marcador de raíz`,
+ * `proyección del catálogo` y `árbol` son cero: no hay nada derivado que
+ * rehacer, y el cero lo dice.
+ *
+ * El origen se elige solo si es inequívoco: con dos drivers registrados es el
+ * que no es el destino; con más de un candidato hay que decirlo con
+ * `--from=<driver>`, porque de dónde salen los hechos decide lo que va a
+ * quedar escrito.
+ *
+ * Las dos direcciones son IDEMPOTENTES (la segunda pasada escribe cero),
+ * reanudables (leen por lotes con cursor y convergen si se repiten) y **nunca
+ * silenciosas**: cada cosa que no se migra sale contada y con su motivo.
+ *
+ * `--dry-run` es el verificador y es **read-only por contrato** (panel 2,
+ * cruce 4 · S18): mismo recorrido, cero escrituras y los mismos números. **No
+ * hay ni habrá un `--fix`**: sería un mecanismo de concesión.
+ *
+ * Durante la pasada que ESCRIBE, las escrituras del motor están congeladas
+ * (503 reintentable) y las lecturas siguen. **Con `--dry-run` NO se congela**
+ * (3b-6): el verificador no escribe nada, así que no tiene nada que proteger,
+ * y está publicado para correrlo en CI y en un cron — justo el sitio desde el
+ * que un mecanismo de indisponibilidad se dispara solo. Es una operación de
+ * PLATAFORMA: no lleva actor, no mide rangos y no se expone por HTTP.
+ */
+export default class AuthzReconcile extends BaseCommand {
+    static commandName = 'authz:reconcile';
+    static description = 'Rebuild (or verify, with --dry-run) a driver from the authz_* tables and the consumer scope tree';
+    static options = {
+        startApp: true,
+    };
+    async run() {
+        if (!this.to) {
+            this.logger.error("Falta --to: 'node ace authz:reconcile --to=openfga'. Es la clave del driver DESTINO en " +
+                'config/authorization.ts, no el driver activo.');
+            this.exitCode = 1;
+            return;
+        }
+        const { default: authorization } = await import('../services/main.js');
+        const report = await authorization.reconcile({
+            to: this.to,
+            ...(this.from !== undefined ? { from: this.from } : {}),
+            dryRun: this.dryRun === true,
+            prune: this.prune === true,
+            allowMassDelete: this.allowMassDelete === true,
+            batchSize: this.batchSize,
+            maxTuples: this.maxTuples,
+        });
+        const { lines, clean } = reconcileLines(report);
+        for (const { level, message } of lines)
+            this.logger[level](message);
+        const resumen = `escritas ${report.written}, actualizadas ${report.updated}, iguales ${report.unchanged}, ` +
+            `sobran ${report.extra}, borradas ${report.deleted}`;
+        if (report.dryRun) {
+            if (clean) {
+                this.logger.success(`Sin deriva: '${this.to}' coincide con ${report.factsFrom ?? 'authz_*'} y con tu árbol (${resumen}).`);
+                return;
+            }
+            this.logger.error(`DERIVA con '${this.to}': ${resumen}. No se ha escrito nada (--dry-run).`);
+            this.exitCode = 1;
+            return;
+        }
+        this.logger.success(`'${this.to}' reconciliado: ${resumen}.`);
+        if (!clean) {
+            this.logger.warning('Queda algo que esta pasada no arregla sola (mira las líneas de arriba): repítela cuando lo hayas resuelto.');
+            this.exitCode = 1;
+        }
+    }
+}
+__decorate([
+    flags.string({ description: 'Destination driver: a key of `drivers` in config/authorization.ts' }),
+    __metadata("design:type", Object)
+], AuthzReconcile.prototype, "to", void 0);
+__decorate([
+    flags.string({
+        description: 'Source driver (a key of `drivers`). Only needed when more than one registered driver can be the source',
+    }),
+    __metadata("design:type", Object)
+], AuthzReconcile.prototype, "from", void 0);
+__decorate([
+    flags.boolean({ name: 'dry-run', description: 'Report what it would do and write nothing (this is the verifier)' }),
+    __metadata("design:type", Object)
+], AuthzReconcile.prototype, "dryRun", void 0);
+__decorate([
+    flags.boolean({ description: 'Also delete the facts the source no longer backs (dead scopes, leftovers)' }),
+    __metadata("design:type", Object)
+], AuthzReconcile.prototype, "prune", void 0);
+__decorate([
+    flags.boolean({
+        name: 'allow-mass-delete',
+        description: 'Allow --prune to delete facts while authz_assignments/authz_denies are empty — check your connection first',
+    }),
+    __metadata("design:type", Object)
+], AuthzReconcile.prototype, "allowMassDelete", void 0);
+__decorate([
+    flags.number({ name: 'batch-size', description: 'Rows per source batch and operations per destination write (default 100)' }),
+    __metadata("design:type", Object)
+], AuthzReconcile.prototype, "batchSize", void 0);
+__decorate([
+    flags.number({
+        name: 'max-tuples',
+        description: 'Declared cap on the destination dump this pass holds in memory (default 1000000); above it, 500 E_AUTHZ_RECONCILE_TOO_LARGE before writing anything',
+    }),
+    __metadata("design:type", Object)
+], AuthzReconcile.prototype, "maxTuples", void 0);
+//# sourceMappingURL=authz_reconcile.js.map

package/build/commands/authz_reconcile.js.map

@@ -0,0 +1 @@
+{"version":3,"file":"authz_reconcile.js","sourceRoot":"","sources":["../../commands/authz_reconcile.ts"],"names":[],"mappings":";;;;;;;;;AAAA,OAAO,EAAE,WAAW,EAAE,KAAK,EAAE,MAAM,oBAAoB,CAAA;AAIvD;;;;;;;;;;;;;;;;;;;GAmBG;AACH,MAAM,UAAU,cAAc,CAAC,MAAuB;IAIpD,MAAM,KAAK,GAA+E,EAAE,CAAA;IAC5F,MAAM,IAAI,GAAG,CAAC,MAAc,EAAE,GAAoC,EAAE,EAAE;QACpE,MAAM,CAAC,GAAG,MAAM,CAAC,MAAM,CAAC,GAAG,CAAC,CAAA;QAC5B,IAAI,CAAC,CAAC,OAAO,GAAG,CAAC,CAAC,OAAO,GAAG,CAAC,CAAC,SAAS,GAAG,CAAC,CAAC,KAAK,GAAG,CAAC,CAAC,OAAO,KAAK,CAAC;YAAE,OAAM;QAC3E,KAAK,CAAC,IAAI,CAAC;YACT,KAAK,EAAE,KAAK;YACZ,OAAO,EACL,GAAG,MAAM,cAAc,CAAC,CAAC,OAAO,kBAAkB,CAAC,CAAC,OAAO,aAAa,CAAC,CAAC,SAAS,IAAI;gBACvF,UAAU,CAAC,CAAC,KAAK,cAAc,CAAC,CAAC,OAAO,EAAE;SAC7C,CAAC,CAAA;IACJ,CAAC,CAAA;IACD,wEAAwE;IACxE,qEAAqE;IACrE,yDAAyD;IACzD,IAAI,MAAM,CAAC,SAAS,KAAK,SAAS,EAAE,CAAC;QACnC,KAAK,CAAC,IAAI,CACR,MAAM,CAAC,SAAS,KAAK,MAAM,CAAC,EAAE;YAC5B,CAAC,CAAC;gBACE,KAAK,EAAE,KAAK;gBACZ,OAAO,EACL,2BAA2B,MAAM,CAAC,EAAE,6DAA6D;oBACjG,2FAA2F;oBAC3F,4FAA4F;oBAC5F,oGAAoG;aACvG;YACH,CAAC,CAAC,EAAE,KAAK,EAAE,KAAK,EAAE,OAAO,EAAE,qBAAqB,MAAM,CAAC,SAAS,EAAE,EAAE,CACvE,CAAA;IACH,CAAC;IACD,IAAI,CAAC,kBAAkB,EAAE,MAAM,CAAC,CAAA;IAChC,IAAI,CAAC,yBAAyB,EAAE,SAAS,CAAC,CAAA;IAC1C,IAAI,CAAC,OAAO,EAAE,MAAM,CAAC,CAAA;IACrB,IAAI,CAAC,QAAQ,EAAE,OAAO,CAAC,CAAA;IAEvB,KAAK,MAAM,IAAI,IAAI,MAAM,CAAC,OAAO,EAAE,CAAC;QAClC,KAAK,CAAC,IAAI,CAAC,EAAE,KAAK,EAAE,SAAS,EAAE,OAAO,EAAE,eAAe,IAAI,CAAC,MAAM,KAAK,IAAI,CAAC,IAAI,KAAK,IAAI,CAAC,MAAM,EAAE,EAAE,CAAC,CAAA;IACvG,CAAC;IACD,MAAM,OAAO,GAAG,MAAM,CAAC,OAAO,CAAC,MAAM,CAAC,OAAO,CAAC,CAAC,IAAI,CAAC,CAAC,CAAC,CAAC,CAAC,EAAE,CAAC,CAAC,CAAC,EAAE,EAAE,CAAC,CAAC,CAAC,GAAG,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,CAAA;IACnF,KAAK,MAAM,CAAC,MAAM,EAAE,KAAK,CAAC,IAAI,OAAO,EAAE,CAAC;QACtC,KAAK,CAAC,IAAI,CAAC,EAAE,KAAK,EAAE,SAAS,EAAE,OAAO,EAAE,GAAG,KAAK,oBAAoB,MAAM,GAAG,EAAE,CAAC,CAAA;IAClF,CAAC;IACD,IAAI,MAAM,CAAC,OAAO,CAAC,eAAe,CAAC,IAAI,CAAC,MAAM,CAAC,KAAK,EAAE,CAAC;QACrD,KAAK,CAAC,IAAI,CAAC;YACT,KAAK,EAAE,SAAS;YAChB,OAAO,EACL,uGAAuG;gBACvG,gEAAgE;SACnE,CAAC,CAAA;IACJ,CAAC;IACD,IAAI,MAAM,CAAC,KAAK,CAAC,UAAU,EAAE,CAAC;QAC5B,KAAK,CAAC,IAAI,CAAC;YACT,KAAK,EAAE,OAAO;YACd,OAAO,EACL,+FAA+F;gBAC/F,kDAAkD;SACrD,CAAC,CAAA;IACJ,CAAC;IACD,KAAK,MAAM,MAAM,IAAI,MAAM,CAAC,KAAK,CAAC,WAAW,EAAE,CAAC;QAC9C,KAAK,CAAC,IAAI,CAAC;YACT,KAAK,EAAE,OAAO;YACd,OAAO,EAAE,GAAG,MAAM,iHAAiH;SACpI,CAAC,CAAA;IACJ,CAAC;IACD,IAAI,MAAM,CAAC,KAAK,CAAC,cAAc,GAAG,CAAC,EAAE,CAAC;QACpC,KAAK,CAAC,IAAI,CAAC;YACT,KAAK,EAAE,OAAO;YACd,OAAO,EACL,GAAG,MAAM,CAAC,KAAK,CAAC,cAAc,8EAA8E;gBAC5G,qHAAqH;SACxH,CAAC,CAAA;IACJ,CAAC;IACD,KAAK,MAAM,KAAK,IAAI,MAAM,CAAC,MAAM,EAAE,CAAC;QAClC,KAAK,CAAC,IAAI,CAAC;YACT,KAAK,EAAE,OAAO;YACd,OAAO,EACL,qCAAqC,KAAK,CAAC,IAAI,CAAC,KAAK,CAAC,MAAM,KAAK,CAAC,CAAC,CAAC,sCAAsC;gBAC1G,0HAA0H;SAC7H,CAAC,CAAA;IACJ,CAAC;IACD,IAAI,MAAM,CAAC,KAAK,CAAC,YAAY,GAAG,CAAC,EAAE,CAAC;QAClC,KAAK,CAAC,IAAI,CAAC;YACT,KAAK,EAAE,SAAS;YAChB,OAAO,EACL,GAAG,MAAM,CAAC,KAAK,CAAC,YAAY,qFAAqF;gBACjH,8FAA8F;SACjG,CAAC,CAAA;IACJ,CAAC;IACD,IAAI,MAAM,CAAC,KAAK,CAAC,SAAS,GAAG,CAAC,EAAE,CAAC;QAC/B,KAAK,CAAC,IAAI,CAAC;YACT,KAAK,EAAE,OAAO;YACd,OAAO,EAAE,GAAG,MAAM,CAAC,KAAK,CAAC,SAAS,gGAAgG;SACnI,CAAC,CAAA;IACJ,CAAC;IACD,IAAI,MAAM,CAAC,MAAM,EAAE,MAAM,EAAE,CAAC;QAC1B,KAAK,CAAC,IAAI,CAAC;YACT,KAAK,EAAE,OAAO;YACd,OAAO,EACL,yGAAyG;gBACzG,sGAAsG;gBACtG,2GAA2G;SAC9G,CAAC,CAAA;IACJ,CAAC;IACD,IAAI,MAAM,CAAC,UAAU,EAAE,CAAC;QACtB,KAAK,CAAC,IAAI,CAAC;YACT,KAAK,EAAE,OAAO;YACd,OAAO,EACL,MAAM,CAAC,EAAE,KAAK,UAAU;gBACtB,CAAC,CAAC,yGAAyG;oBACzG,2BAA2B;gBAC7B,CAAC,CAAC,4CAA4C,MAAM,CAAC,SAAS,IAAI,gCAAgC,UAAU;oBAC1G,gGAAgG;oBAChG,sBAAsB;SAC7B,CAAC,CAAA;IACJ,CAAC;IAED,MAAM,OAAO,GAAG,MAAM,CAAC,OAAO,GAAG,MAAM,CAAC,OAAO,GAAG,MAAM,CAAC,OAAO,CAAA;IAChE,2EAA2E;IAC3E,2EAA2E;IAC3E,0EAA0E;IAC1E,yEAAyE;IACzE,oEAAoE;IACpE,qEAAqE;IACrE,4EAA4E;IAC5E,sEAAsE;IACtE,+DAA+D;IAC/D,kDAAkD;IAClD,MAAM,QAAQ,GAAG,MAAM,CAAC,IAAI,CAAC,MAAM,CAAC,OAAO,CAAC,CAAC,MAAM,CAAC,CAAC,MAAM,EAAE,EAAE,CAAC,MAAM,KAAK,SAAS,CAAC,CAAA;IACrF,MAAM,KAAK,GACT,MAAM,CAAC,MAAM,CAAC,MAAM,KAAK,CAAC;QAC1B,MAAM,CAAC,KAAK,CAAC,SAAS,KAAK,CAAC;QAC5B,MAAM,CAAC,KAAK,CAAC,WAAW,CAAC,MAAM,KAAK,CAAC;QACrC,QAAQ,CAAC,MAAM,KAAK,CAAC;QACrB,0EAA0E;QAC1E,qEAAqE;QACrE,MAAM,CAAC,MAAM,EAAE,MAAM,KAAK,IAAI;QAC9B,CAAC,CAAC,MAAM,CAAC,MAAM,IAAI,OAAO,KAAK,CAAC,CAAC,CAAA;IACnC,OAAO,EAAE,KAAK,EAAE,KAAK,EAAE,CAAA;AACzB,CAAC;AAED;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;GAyDG;AACH,MAAM,CAAC,OAAO,OAAO,cAAe,SAAQ,WAAW;IACrD,MAAM,CAAC,WAAW,GAAG,iBAAiB,CAAA;IACtC,MAAM,CAAC,WAAW,GAAG,kGAAkG,CAAA;IAEvH,MAAM,CAAC,OAAO,GAAmB;QAC/B,QAAQ,EAAE,IAAI;KACf,CAAA;IA+BD,KAAK,CAAC,GAAG;QACP,IAAI,CAAC,IAAI,CAAC,EAAE,EAAE,CAAC;YACb,IAAI,CAAC,MAAM,CAAC,KAAK,CACf,yFAAyF;gBACvF,+CAA+C,CAClD,CAAA;YACD,IAAI,CAAC,QAAQ,GAAG,CAAC,CAAA;YACjB,OAAM;QACR,CAAC;QACD,MAAM,EAAE,OAAO,EAAE,aAAa,EAAE,GAAG,MAAM,MAAM,CAAC,qBAAqB,CAAC,CAAA;QACtE,MAAM,MAAM,GAAG,MAAM,aAAa,CAAC,SAAS,CAAC;YAC3C,EAAE,EAAE,IAAI,CAAC,EAAE;YACX,GAAG,CAAC,IAAI,CAAC,IAAI,KAAK,SAAS,CAAC,CAAC,CAAC,EAAE,IAAI,EAAE,IAAI,CAAC,IAAI,EAAE,CAAC,CAAC,CAAC,EAAE,CAAC;YACvD,MAAM,EAAE,IAAI,CAAC,MAAM,KAAK,IAAI;YAC5B,KAAK,EAAE,IAAI,CAAC,KAAK,KAAK,IAAI;YAC1B,eAAe,EAAE,IAAI,CAAC,eAAe,KAAK,IAAI;YAC9C,SAAS,EAAE,IAAI,CAAC,SAAS;YACzB,SAAS,EAAE,IAAI,CAAC,SAAS;SAC1B,CAAC,CAAA;QAEF,MAAM,EAAE,KAAK,EAAE,KAAK,EAAE,GAAG,cAAc,CAAC,MAAM,CAAC,CAAA;QAC/C,KAAK,MAAM,EAAE,KAAK,EAAE,OAAO,EAAE,IAAI,KAAK;YAAE,IAAI,CAAC,MAAM,CAAC,KAAK,CAAC,CAAC,OAAO,CAAC,CAAA;QAEnE,MAAM,OAAO,GACX,YAAY,MAAM,CAAC,OAAO,kBAAkB,MAAM,CAAC,OAAO,aAAa,MAAM,CAAC,SAAS,IAAI;YAC3F,UAAU,MAAM,CAAC,KAAK,cAAc,MAAM,CAAC,OAAO,EAAE,CAAA;QACtD,IAAI,MAAM,CAAC,MAAM,EAAE,CAAC;YAClB,IAAI,KAAK,EAAE,CAAC;gBACV,IAAI,CAAC,MAAM,CAAC,OAAO,CACjB,gBAAgB,IAAI,CAAC,EAAE,kBAAkB,MAAM,CAAC,SAAS,IAAI,SAAS,oBAAoB,OAAO,IAAI,CACtG,CAAA;gBACD,OAAM;YACR,CAAC;YACD,IAAI,CAAC,MAAM,CAAC,KAAK,CAAC,eAAe,IAAI,CAAC,EAAE,MAAM,OAAO,sCAAsC,CAAC,CAAA;YAC5F,IAAI,CAAC,QAAQ,GAAG,CAAC,CAAA;YACjB,OAAM;QACR,CAAC;QACD,IAAI,CAAC,MAAM,CAAC,OAAO,CAAC,IAAI,IAAI,CAAC,EAAE,mBAAmB,OAAO,GAAG,CAAC,CAAA;QAC7D,IAAI,CAAC,KAAK,EAAE,CAAC;YACX,IAAI,CAAC,MAAM,CAAC,OAAO,CACjB,4GAA4G,CAC7G,CAAA;YACD,IAAI,CAAC,QAAQ,GAAG,CAAC,CAAA;QACnB,CAAC;IACH,CAAC;;AAxEO;IADP,KAAK,CAAC,MAAM,CAAC,EAAE,WAAW,EAAE,mEAAmE,EAAE,CAAC;;0CACrE;AAKtB;IAHP,KAAK,CAAC,MAAM,CAAC;QACZ,WAAW,EAAE,wGAAwG;KACtH,CAAC;;4CAC8B;AAGxB;IADP,KAAK,CAAC,OAAO,CAAC,EAAE,IAAI,EAAE,SAAS,EAAE,WAAW,EAAE,kEAAkE,EAAE,CAAC;;8CACjF;AAG3B;IADP,KAAK,CAAC,OAAO,CAAC,EAAE,WAAW,EAAE,2EAA2E,EAAE,CAAC;;6CAC1E;AAM1B;IAJP,KAAK,CAAC,OAAO,CAAC;QACb,IAAI,EAAE,mBAAmB;QACzB,WAAW,EAAE,4GAA4G;KAC1H,CAAC;;uDAC0C;AAGpC;IADP,KAAK,CAAC,MAAM,CAAC,EAAE,IAAI,EAAE,YAAY,EAAE,WAAW,EAAE,0EAA0E,EAAE,CAAC;;iDACzF;AAM7B;IAJP,KAAK,CAAC,MAAM,CAAC;QACZ,IAAI,EAAE,YAAY;QAClB,WAAW,EAAE,qJAAqJ;KACnK,CAAC;;iDACmC"}

package/build/commands/authz_relations_reconcile.d.ts

@@ -0,0 +1,73 @@
+import { BaseCommand } from '@adonisjs/core/ace';
+import { CommandOptions } from '@adonisjs/core/types/ace';
+import type { RelationsReconcileReport } from '../src/relations/reconcile.js';
+/**
+ * Las líneas del reporte de `authz:relations:reconcile` y si la pasada es
+ * «limpia», en una función PURA (mismo patrón que `reconcileLines` de roles):
+ * es lo único del comando que DECIDE algo, y así tiene su caso sin montar un
+ * ace.
+ *
+ * Qué cuenta como deriva —y por tanto como exit ≠ 0—:
+ *  - **`modelDrift`** (siempre): un tipo de relación presente en el ORIGEN que
+ *    la config del DESTINO no declara. No cabe en su modelo fusionado, así que
+ *    esas tuplas nunca resolverían allí — es la deriva del presupuesto de
+ *    modelo compartido, no un detalle cosmético;
+ *  - en `--dry-run`, **cualquier cosa que la pasada haría** (escribir, borrar o
+ *    dejar `extra` sin `--prune`): es el verificador, y para eso está en CI.
+ *
+ * `extra` en una pasada que SÍ escribe (sin `--prune`) se AVISA —«repite con
+ * --prune»— pero no tumba: el operador eligió no podar. Es la misma cortesía
+ * que `authz:reconcile` de roles con la ventana del relay.
+ */
+export declare function relationsReconcileLines(report: RelationsReconcileReport): {
+    lines: Array<{
+        level: 'log' | 'warning' | 'error' | 'success';
+        message: string;
+    }>;
+    clean: boolean;
+};
+/**
+ * **`authz:relations:reconcile`** (Fase 4, lote 4-6) — migra las tuplas de
+ * RELACIÓN de un `RelationsDriver` a otro, idempotente y bidireccional, nunca
+ * silenciosa. Es el comando de plataforma que envuelve `reconcileRelations`
+ * (lote 4-5), análogo a `authz:reconcile` de roles pero para el puerto
+ * `RelationsDriver`.
+ *
+ *   node ace authz:relations:reconcile --to=openfga --dry-run   # el VERIFICADOR
+ *   node ace authz:relations:reconcile --to=openfga             # migra
+ *   node ace authz:relations:reconcile --to=openfga --prune     # y borra lo que el origen ya no respalda
+ *
+ * `--to`/`--from` nombran claves de `relations.drivers` en
+ * `config/authorization.ts` (NO las de `drivers` de roles): las relaciones
+ * tienen su propio puerto y sus propios drivers. La factory del driver
+ * `openfga` de relaciones entra por el subpath `/openfga` DENTRO de ella, así
+ * que este comando NUNCA importa el SDK (pureza).
+ *
+ * **Solo migra HECHOS de relación**: no hay árbol ni catálogo en `relations/`,
+ * así que —a diferencia de `authz:reconcile` de roles— no hay fases de marcador
+ * de raíz, proyección ni árbol. La migración es **POR partición**
+ * (mono-tenant: `APP_SCOPE`, el default); para migrar otra partición se pasan
+ * `--partition-type`/`--partition-uuid`, y migrar TODAS es iterar por el
+ * consumidor (una migración de tenant es un caso natural).
+ *
+ * **`--dry-run` es el verificador y es read-only por contrato** (como el de
+ * roles, S18): mismo recorrido, cero escrituras, los mismos números; NO hay
+ * `--fix`. Además vigila la **deriva del modelo fusionado** (`modelDrift`): un
+ * tipo del origen que el destino no declara sale como error.
+ *
+ * Es una operación de PLATAFORMA: no lleva actor, no se expone por HTTP.
+ */
+export default class AuthzRelationsReconcile extends BaseCommand {
+    static commandName: string;
+    static description: string;
+    static options: CommandOptions;
+    to: string | undefined;
+    from: string | undefined;
+    dryRun: boolean | undefined;
+    prune: boolean | undefined;
+    allowMassDelete: boolean | undefined;
+    partitionType: string | undefined;
+    partitionUuid: string | undefined;
+    run(): Promise<void>;
+}
+//# sourceMappingURL=authz_relations_reconcile.d.ts.map

package/build/commands/authz_relations_reconcile.d.ts.map

@@ -0,0 +1 @@
+{"version":3,"file":"authz_relations_reconcile.d.ts","sourceRoot":"","sources":["../../commands/authz_relations_reconcile.ts"],"names":[],"mappings":"AAAA,OAAO,EAAE,WAAW,EAAS,MAAM,oBAAoB,CAAA;AACvD,OAAO,EAAE,cAAc,EAAE,MAAM,0BAA0B,CAAA;AACzD,OAAO,KAAK,EAAE,wBAAwB,EAAE,MAAM,+BAA+B,CAAA;AAE7E;;;;;;;;;;;;;;;;;GAiBG;AACH,wBAAgB,uBAAuB,CAAC,MAAM,EAAE,wBAAwB,GAAG;IACzE,KAAK,EAAE,KAAK,CAAC;QAAE,KAAK,EAAE,KAAK,GAAG,SAAS,GAAG,OAAO,GAAG,SAAS,CAAC;QAAC,OAAO,EAAE,MAAM,CAAA;KAAE,CAAC,CAAA;IACjF,KAAK,EAAE,OAAO,CAAA;CACf,CA6CA;AAED;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;GA8BG;AACH,MAAM,CAAC,OAAO,OAAO,uBAAwB,SAAQ,WAAW;IAC9D,MAAM,CAAC,WAAW,SAA8B;IAChD,MAAM,CAAC,WAAW,SAAgG;IAElH,MAAM,CAAC,OAAO,EAAE,cAAc,CAE7B;IAGO,EAAE,EAAE,MAAM,GAAG,SAAS,CAAA;IAGtB,IAAI,EAAE,MAAM,GAAG,SAAS,CAAA;IAGxB,MAAM,EAAE,OAAO,GAAG,SAAS,CAAA;IAG3B,KAAK,EAAE,OAAO,GAAG,SAAS,CAAA;IAM1B,eAAe,EAAE,OAAO,GAAG,SAAS,CAAA;IAGpC,aAAa,EAAE,MAAM,GAAG,SAAS,CAAA;IAGjC,aAAa,EAAE,MAAM,GAAG,SAAS,CAAA;IAEnC,GAAG;CAuGV"}