@jantstack/adonis-authz 1.1.0 → 2.4.0-alpha.1

package/build/src/types.d.ts.map

@@ -1 +1 @@
-{"version":3,"file":"types.d.ts","sourceRoot":"","sources":["../../src/types.ts"],"names":[],"mappings":"AAAA;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;GAgCG;AAEH,2DAA2D;AAC3D,MAAM,WAAW,UAAU;IACzB,IAAI,EAAE,MAAM,CAAA;IACZ,IAAI,EAAE,MAAM,CAAA;CACb;AAED;;;;;;;;;GASG;AACH,MAAM,MAAM,SAAS,GAAG,MAAM,CAAA;AAE9B,uCAAuC;AACvC,eAAO,MAAM,cAAc,QAAQ,CAAA;AAEnC,MAAM,WAAW,QAAQ;IACvB,IAAI,EAAE,SAAS,CAAA;IACf,yDAAyD;IACzD,IAAI,EAAE,MAAM,GAAG,IAAI,CAAA;CACpB;AAED,sDAAsD;AACtD,eAAO,MAAM,SAAS,EAAE,QAAqD,CAAA;AAE7E,MAAM,WAAW,YAAY;IAC3B,oEAAoE;IACpE,SAAS,CAAC,EAAE,IAAI,GAAG,IAAI,CAAA;CACxB;AAED,MAAM,WAAW,mBAAmB;IAClC;;;;OAIG;IACH,SAAS,CAAC,OAAO,EAAE,UAAU,EAAE,UAAU,EAAE,MAAM,EAAE,KAAK,EAAE,QAAQ,GAAG,OAAO,CAAC,OAAO,CAAC,CAAA;IAErF;;;OAGG;IACH,KAAK,CAAC,OAAO,EAAE,UAAU,EAAE,IAAI,EAAE,MAAM,EAAE,KAAK,EAAE,QAAQ,EAAE,OAAO,CAAC,EAAE,YAAY,GAAG,OAAO,CAAC,IAAI,CAAC,CAAA;IAEhG,4EAA4E;IAC5E,MAAM,CAAC,OAAO,EAAE,UAAU,EAAE,IAAI,EAAE,MAAM,EAAE,KAAK,EAAE,QAAQ,GAAG,OAAO,CAAC,IAAI,CAAC,CAAA;IAEzE;;;OAGG;IACH,OAAO,CAAC,OAAO,EAAE,UAAU,EAAE,IAAI,EAAE,MAAM,EAAE,KAAK,EAAE,QAAQ,GAAG,OAAO,CAAC,OAAO,CAAC,CAAA;IAE7E;;;OAGG;IACH,IAAI,CAAC,OAAO,EAAE,UAAU,EAAE,UAAU,EAAE,MAAM,EAAE,KAAK,EAAE,QAAQ,GAAG,OAAO,CAAC,IAAI,CAAC,CAAA;IAE7E,gEAAgE;IAChE,UAAU,CAAC,OAAO,EAAE,UAAU,EAAE,UAAU,EAAE,MAAM,EAAE,KAAK,EAAE,QAAQ,GAAG,OAAO,CAAC,IAAI,CAAC,CAAA;IAEnF,iFAAiF;IACjF,YAAY,CAAC,IAAI,EAAE,MAAM,EAAE,KAAK,EAAE,QAAQ,GAAG,OAAO,CAAC,UAAU,EAAE,CAAC,CAAA;IAElE,mFAAmF;IACnF,SAAS,CAAC,OAAO,EAAE,UAAU,EAAE,KAAK,EAAE,QAAQ,GAAG,OAAO,CAAC,MAAM,EAAE,CAAC,CAAA;IAElE;;;OAGG;IACH,cAAc,CAAC,OAAO,EAAE,UAAU,EAAE,SAAS,EAAE,SAAS,GAAG,OAAO,CAAC,QAAQ,EAAE,CAAC,CAAA;IAE9E;;;;OAIG;IACH,UAAU,CAAC,OAAO,EAAE,UAAU,EAAE,UAAU,EAAE,MAAM,GAAG,OAAO,CAAC,QAAQ,EAAE,CAAC,CAAA;CACzE;AAED,wDAAwD;AACxD,MAAM,MAAM,0BAA0B,GAAG,MAAM,mBAAmB,GAAG,OAAO,CAAC,mBAAmB,CAAC,CAAA;AAEjG;;;;;GAKG;AACH,MAAM,MAAM,sBAAsB,GAAG,CAAC,KAAK,EAAE,QAAQ,KAAK,OAAO,CAAC,QAAQ,EAAE,CAAC,CAAA;AAE7E;;;GAGG;AACH,MAAM,WAAW,eAAe;IAC9B,MAAM,EAAE,SAAS,GAAG,SAAS,GAAG,QAAQ,GAAG,cAAc,CAAA;IACzD,OAAO,EAAE,UAAU,CAAA;IACnB,KAAK,EAAE,QAAQ,CAAA;IACf,mCAAmC;IACnC,IAAI,CAAC,EAAE,MAAM,CAAA;IACb,uCAAuC;IACvC,UAAU,CAAC,EAAE,MAAM,CAAA;IACnB,SAAS,CAAC,EAAE,IAAI,GAAG,IAAI,CAAA;CACxB;AAQD,MAAM,WAAW,eAAe;IAC9B,sFAAsF;IACtF,IAAI,CAAC,EAAE,MAAM,CAAA;IACb,IAAI,EAAE,MAAM,CAAA;IACZ,0CAA0C;IAC1C,SAAS,EAAE,SAAS,CAAA;IACpB,IAAI,CAAC,EAAE,MAAM,CAAA;IACb,WAAW,CAAC,EAAE,MAAM,GAAG,IAAI,CAAA;IAC3B;;;;OAIG;IACH,IAAI,CAAC,EAAE,MAAM,CAAA;IACb,+DAA+D;IAC/D,WAAW,EAAE,MAAM,EAAE,CAAA;CACtB;AAED,MAAM,WAAW,WAAW;IAC1B,kEAAkE;IAClE,WAAW,EAAE,KAAK,CAAC;QAAE,IAAI,EAAE,MAAM,CAAC;QAAC,WAAW,CAAC,EAAE,MAAM,GAAG,IAAI,CAAA;KAAE,CAAC,CAAA;IACjE,KAAK,EAAE,eAAe,EAAE,CAAA;CACzB"}
+{"version":3,"file":"types.d.ts","sourceRoot":"","sources":["../../src/types.ts"],"names":[],"mappings":"AAAA;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;GAsCG;AAEH,2DAA2D;AAC3D,MAAM,WAAW,UAAU;IACzB,IAAI,EAAE,MAAM,CAAA;IACZ,IAAI,EAAE,MAAM,CAAA;CACb;AAED;;;;;;;;;GASG;AACH,MAAM,MAAM,SAAS,GAAG,MAAM,CAAA;AAE9B,uCAAuC;AACvC,eAAO,MAAM,cAAc,QAAQ,CAAA;AAEnC,MAAM,WAAW,QAAQ;IACvB,IAAI,EAAE,SAAS,CAAA;IACf,yDAAyD;IACzD,IAAI,EAAE,MAAM,GAAG,IAAI,CAAA;CACpB;AAED,sDAAsD;AACtD,eAAO,MAAM,SAAS,EAAE,QAAqD,CAAA;AAE7E;;;GAGG;AACH,MAAM,WAAW,YAAY;IAC3B;;;;;;;OAOG;IACH,KAAK,CAAC,EAAE,UAAU,CAAA;CACnB;AAED;;;;;GAKG;AACH,MAAM,WAAW,kBAAmB,SAAQ,YAAY;IACtD;;;;;;;;;;;;;;;;;;OAkBG;IACH,MAAM,CAAC,EAAE,QAAQ,CAAA;CAClB;AAED;;;;;GAKG;AACH,MAAM,WAAW,qBAAsB,SAAQ,kBAAkB;IAC/D;;;;;;;OAOG;IACH,WAAW,CAAC,EAAE,OAAO,CAAA;CACtB;AAED,MAAM,WAAW,YAAa,SAAQ,kBAAkB;IACtD;;;;;;;;OAQG;IACH,SAAS,CAAC,EAAE,IAAI,GAAG,IAAI,CAAA;CACxB;AAED,+GAA+G;AAC/G,MAAM,MAAM,WAAW,GAAG,kBAAkB,CAAA;AAE5C,+EAA+E;AAC/E,MAAM,WAAW,YAAY;IAC3B,8DAA8D;IAC9D,OAAO,EAAE,OAAO,CAAA;IAChB,oEAAoE;IACpE,iBAAiB,CAAC,EAAE,IAAI,GAAG,IAAI,CAAA;IAC/B,oDAAoD;IACpD,SAAS,EAAE,IAAI,GAAG,IAAI,CAAA;CACvB;AAED;;;;;;;;;;;;;;;;;GAiBG;AACH,MAAM,MAAM,SAAS,GAAG,MAAM,GAAG;IAAE,IAAI,EAAE,MAAM,CAAC;IAAC,SAAS,EAAE,SAAS,CAAA;CAAE,GAAG;IAAE,IAAI,EAAE,MAAM,CAAA;CAAE,CAAA;AAE1F,4FAA4F;AAC5F,MAAM,MAAM,mBAAmB,GAC3B;IAAE,IAAI,EAAE,MAAM,CAAC;IAAC,SAAS,CAAC,EAAE,SAAS,CAAC;IAAC,IAAI,CAAC,EAAE,SAAS,CAAA;CAAE,GACzD;IAAE,IAAI,EAAE,MAAM,CAAC;IAAC,IAAI,CAAC,EAAE,SAAS,CAAC;IAAC,SAAS,CAAC,EAAE,SAAS,CAAA;CAAE,CAAA;AAE7D;;;;;;;;GAQG;AACH,MAAM,WAAW,+BAA+B;IAC9C;;;;;;OAMG;IACH,cAAc,EAAE,OAAO,CAAA;IACvB;;;OAGG;IACH,oBAAoB,EAAE,OAAO,CAAA;IAC7B;;;;;;OAMG;IACH,qBAAqB,EAAE,OAAO,CAAA;IAC9B;;;;;OAKG;IACH,oBAAoB,EAAE,OAAO,CAAA;IAC7B,gFAAgF;IAChF,SAAS,EAAE,OAAO,CAAA;IAClB;;;;;;;OAOG;IACH,oBAAoB,EAAE,OAAO,CAAA;IAC7B;;;;;;;;;;;;;OAaG;IACH,mBAAmB,EAAE,OAAO,CAAA;IAC5B;;;;;;;;;;;;;OAaG;IACH,cAAc,EAAE,OAAO,CAAA;CACxB;AAED,MAAM,WAAW,mBAAmB;IAClC,kGAAkG;IAClG,QAAQ,CAAC,YAAY,CAAC,EAAE,+BAA+B,CAAA;IAEvD;;;;OAIG;IACH,SAAS,CAAC,OAAO,EAAE,UAAU,EAAE,UAAU,EAAE,MAAM,EAAE,KAAK,EAAE,QAAQ,GAAG,OAAO,CAAC,OAAO,CAAC,CAAA;IAErF;;;;;OAKG;IACH,KAAK,CACH,OAAO,EAAE,UAAU,EACnB,IAAI,EAAE,SAAS,EACf,KAAK,EAAE,QAAQ,EACf,OAAO,CAAC,EAAE,YAAY,GACrB,OAAO,CAAC,YAAY,CAAC,CAAA;IAExB;;;;OAIG;IACH,MAAM,CAAC,OAAO,EAAE,UAAU,EAAE,IAAI,EAAE,SAAS,EAAE,KAAK,EAAE,QAAQ,GAAG,OAAO,CAAC,IAAI,CAAC,CAAA;IAE5E;;;;OAIG;IACH,OAAO,CAAC,OAAO,EAAE,UAAU,EAAE,IAAI,EAAE,SAAS,EAAE,KAAK,EAAE,QAAQ,GAAG,OAAO,CAAC,OAAO,CAAC,CAAA;IAEhF;;;OAGG;IACH,IAAI,CAAC,OAAO,EAAE,UAAU,EAAE,UAAU,EAAE,MAAM,EAAE,KAAK,EAAE,QAAQ,GAAG,OAAO,CAAC,IAAI,CAAC,CAAA;IAE7E;;;OAGG;IACH,UAAU,CAAC,OAAO,EAAE,UAAU,EAAE,UAAU,EAAE,MAAM,EAAE,KAAK,EAAE,QAAQ,GAAG,OAAO,CAAC,IAAI,CAAC,CAAA;IAEnF,iFAAiF;IACjF,YAAY,CAAC,IAAI,EAAE,SAAS,EAAE,KAAK,EAAE,QAAQ,GAAG,OAAO,CAAC,UAAU,EAAE,CAAC,CAAA;IAErE;;;;;;;OAOG;IACH,SAAS,CAAC,OAAO,EAAE,UAAU,EAAE,KAAK,EAAE,QAAQ,GAAG,OAAO,CAAC,MAAM,EAAE,CAAC,CAAA;IAElE;;;OAGG;IACH,cAAc,CAAC,OAAO,EAAE,UAAU,EAAE,SAAS,EAAE,SAAS,GAAG,OAAO,CAAC,QAAQ,EAAE,CAAC,CAAA;IAE9E;;;;OAIG;IACH,UAAU,CAAC,OAAO,EAAE,UAAU,EAAE,UAAU,EAAE,MAAM,GAAG,OAAO,CAAC,QAAQ,EAAE,CAAC,CAAA;IAExE;;;;;;;;;;;OAWG;IACH,UAAU,CAAC,KAAK,EAAE,QAAQ,GAAG,OAAO,CAAC,IAAI,CAAC,CAAA;IAE1C;;;;;OAKG;IACH,eAAe,CAAC,CAAC,KAAK,EAAE,QAAQ,EAAE,MAAM,EAAE,QAAQ,GAAG,OAAO,CAAC,IAAI,CAAC,CAAA;IAClE,YAAY,CAAC,CAAC,KAAK,EAAE,QAAQ,EAAE,SAAS,EAAE,QAAQ,GAAG,OAAO,CAAC,IAAI,CAAC,CAAA;IAClE,8EAA8E;IAC9E,eAAe,CAAC,CAAC,KAAK,EAAE,QAAQ,GAAG,OAAO,CAAC,IAAI,CAAC,CAAA;IAEhD;;;;;;;OAOG;IACH,iBAAiB,CAAC,CAAC,YAAY,EAAE,kBAAkB,GAAG,mBAAmB,CAAA;IAEzE;;;;;;;;;;;OAWG;IACH,SAAS,CAAC,CAAC,GAAG,EAAE,MAAM,IAAI,GAAG,mBAAmB,CAAA;IAEhD;;;;;;;;OAQG;IACH,UAAU,CAAC,CAAC,OAAO,EAAE,UAAU,EAAE,KAAK,CAAC,EAAE,QAAQ,GAAG,OAAO,CAAC,OAAO,EAAE,CAAC,CAAA;IAEtE;;;;;;;OAOG;IACH,aAAa,CAAC,CAAC,OAAO,EAAE,UAAU,EAAE,UAAU,EAAE,MAAM,EAAE,MAAM,EAAE,QAAQ,EAAE,GAAG,OAAO,CAAC,OAAO,EAAE,CAAC,CAAA;IAE/F;;;;;;;;;;;;;;;;;OAiBG;IACH,SAAS,CAAC,CAAC,QAAQ,EAAE,MAAM,GAAG,OAAO,CAAC,IAAI,CAAC,CAAA;IAE3C;;;;;;;;;;;;;;;;;;;;;;;;;;OA0BG;IACH,oBAAoB,CAAC,CAAC,SAAS,EAAE,MAAM,EAAE,GAAG,OAAO,CAAC,MAAM,EAAE,CAAC,CAAA;IAE7D;;;;;;;;;;OAUG;IACH,kBAAkB,CAAC,CAAC,QAAQ,EAAE,MAAM,GAAG,OAAO,CAAC,IAAI,CAAC,CAAA;IAEpD;;;;;;;;;;;;;OAaG;IACH,iBAAiB,CAAC,IAAI,iBAAiB,CAAA;IAEvC;;;;;;;;;;;;;;;;;OAiBG;IACH,SAAS,CAAC,CAAC,MAAM,EAAE,eAAe,EAAE,OAAO,EAAE,gBAAgB,GAAG,OAAO,CAAC,eAAe,CAAC,CAAA;IAExF;;;;;;;;;;;;;;;;;OAiBG;IACH,cAAc,CAAC,CAAC,IAAI,EAAE;QAAE,KAAK,EAAE,MAAM,CAAC;QAAC,KAAK,CAAC,EAAE,MAAM,CAAA;KAAE,GAAG,OAAO,CAAC,iBAAiB,CAAC,CAAA;IAEpF;;;;;;;;;;;;;OAaG;IACH,YAAY,CAAC,CAAC,OAAO,EAAE,UAAU,EAAE,KAAK,EAAE,QAAQ,EAAE,GAAG,OAAO,CAAC,KAAK,CAAC;QAAE,KAAK,EAAE,QAAQ,CAAC;QAAC,IAAI,EAAE,cAAc,CAAA;KAAE,CAAC,CAAC,CAAA;CACjH;AAED;;;;;;;GAOG;AAGH;;;;GAIG;AACH,MAAM,WAAW,eAAe;IAC9B,cAAc,EAAE,oBAAoB,CAAA;IACpC,YAAY,EAAE,kBAAkB,CAAA;IAChC;;;;;;;;;;;OAWG;IACH,KAAK,CAAC,EAAE,wBAAwB,CAAA;IAChC;;;;;;;;;;;;;;;;;;;;;;;OAuBG;IACH,WAAW,CAAC,EAAE,oBAAoB,CAAA;CACnC;AAED,gDAAgD;AAChD,MAAM,WAAW,oBAAoB;IACnC,gFAAgF;IAChF,IAAI,EAAE,MAAM,CAAA;IACZ,uFAAuF;IACvF,WAAW,EAAE,OAAO,CAAA;CACrB;AAED;;;;;;;;GAQG;AACH,MAAM,WAAW,aAAa;IAC5B,IAAI,EAAE,YAAY,GAAG,MAAM,CAAA;IAC3B,MAAM,EAAE,UAAU,CAAA;IAClB,kFAAkF;IAClF,KAAK,EAAE,QAAQ,CAAA;IACf,kCAAkC;IAClC,QAAQ,CAAC,EAAE,MAAM,CAAA;IACjB,gCAAgC;IAChC,UAAU,CAAC,EAAE,MAAM,CAAA;IACnB;;;;;OAKG;IACH,SAAS,CAAC,EAAE,IAAI,GAAG,IAAI,CAAA;IACvB,sFAAsF;IACtF,MAAM,EAAE,MAAM,CAAA;CACf;AAED;;;;;GAKG;AACH,MAAM,WAAW,iBAAiB;IAChC,KAAK,EAAE,aAAa,EAAE,CAAA;IACtB,OAAO,CAAC,EAAE,aAAa,EAAE,CAAA;IACzB,MAAM,CAAC,EAAE,MAAM,CAAA;CAChB;AAED,MAAM,MAAM,wBAAwB,GAAG,CAAC,IAAI,EAAE;IAC5C,KAAK,EAAE,MAAM,CAAA;IACb,KAAK,CAAC,EAAE,MAAM,CAAA;CACf,KAAK,OAAO,CAAC,iBAAiB,CAAC,CAAA;AAEhC,MAAM,WAAW,gBAAgB;IAC/B,oFAAoF;IACpF,MAAM,CAAC,EAAE,OAAO,CAAA;IAChB;;;;;;OAMG;IACH,KAAK,CAAC,EAAE,OAAO,CAAA;IACf,4DAA4D;IAC5D,eAAe,CAAC,EAAE,OAAO,CAAA;IACzB,2FAA2F;IAC3F,SAAS,CAAC,EAAE,MAAM,CAAA;IAClB;;;;;;;;OAQG;IACH,SAAS,CAAC,EAAE,MAAM,CAAA;CACnB;AAED;;;;GAIG;AACH,eAAO,MAAM,4BAA4B,UAAY,CAAA;AAErD;;;;GAIG;AACH,MAAM,WAAW,aAAa;IAC5B,IAAI,EAAE,YAAY,GAAG,MAAM,GAAG,MAAM,GAAG,OAAO,CAAA;IAC9C,MAAM,EAAE,MAAM,CAAA;IACd,MAAM,EAAE,MAAM,CAAA;CACf;AAED,mDAAmD;AACnD,MAAM,WAAW,eAAe;IAC9B,mCAAmC;IACnC,OAAO,EAAE,MAAM,CAAA;IACf,+EAA+E;IAC/E,OAAO,EAAE,MAAM,CAAA;IACf,+CAA+C;IAC/C,SAAS,EAAE,MAAM,CAAA;IACjB,oDAAoD;IACpD,KAAK,EAAE,MAAM,CAAA;IACb,oHAAoH;IACpH,OAAO,EAAE,MAAM,CAAA;CAChB;AAED;;;;;GAKG;AACH,MAAM,WAAW,eAAgB,SAAQ,eAAe;IACtD,qCAAqC;IACrC,EAAE,EAAE,MAAM,CAAA;IACV;;;;;;OAMG;IACH,SAAS,CAAC,EAAE,MAAM,CAAA;IAClB;;;;;;;;;OASG;IACH,MAAM,CAAC,EAAE;QAAE,OAAO,EAAE,OAAO,CAAC;QAAC,MAAM,EAAE,OAAO,CAAC;QAAC,OAAO,EAAE,MAAM,GAAG,IAAI,CAAC;QAAC,KAAK,EAAE,MAAM,CAAA;KAAE,CAAA;IACrF,MAAM,EAAE,OAAO,CAAA;IACf,KAAK,EAAE,OAAO,CAAA;IACd,mFAAmF;IACnF,MAAM,EAAE,MAAM,CAAC,MAAM,GAAG,SAAS,GAAG,MAAM,GAAG,OAAO,EAAE,eAAe,CAAC,CAAA;IACtE;;;;OAIG;IACH,OAAO,EAAE,MAAM,CAAC,MAAM,EAAE,MAAM,CAAC,CAAA;IAC/B,qFAAqF;IACrF,OAAO,EAAE,aAAa,EAAE,CAAA;IACxB,gGAAgG;IAChG,MAAM,EAAE,MAAM,EAAE,EAAE,CAAA;IAClB,KAAK,EAAE;QACL,2EAA2E;QAC3E,UAAU,EAAE,OAAO,CAAA;QACnB,iFAAiF;QACjF,WAAW,EAAE,MAAM,EAAE,CAAA;QACrB;;;;WAIG;QACH,cAAc,EAAE,MAAM,CAAA;QACtB,+EAA+E;QAC/E,YAAY,EAAE,MAAM,CAAA;QACpB,+EAA+E;QAC/E,SAAS,EAAE,MAAM,CAAA;KAClB,CAAA;IACD,0FAA0F;IAC1F,UAAU,EAAE,OAAO,CAAA;CACpB;AAED,MAAM,WAAW,eAAe;IAC9B,KAAK,EAAE,QAAQ,CAAA;IACf,sEAAsE;IACtE,mBAAmB,EAAE,IAAI,CAAA;CAC1B;AAED;;;;;;;;;;;;GAYG;AACH,MAAM,MAAM,gBAAgB,GACxB;IAAE,IAAI,EAAE,MAAM,CAAA;CAAE,GAChB;IAAE,IAAI,EAAE,MAAM,CAAC;IAAC,MAAM,EAAE,QAAQ,EAAE,CAAA;CAAE,GACpC;IAAE,IAAI,EAAE,KAAK,CAAC;IAAC,gBAAgB,EAAE,eAAe,EAAE,CAAA;CAAE,CAAA;AAExD,+DAA+D;AAC/D,MAAM,WAAW,OAAO;IACtB,UAAU,EAAE,MAAM,CAAA;IAClB,KAAK,EAAE,QAAQ,CAAA;CAChB;AAED;;;;GAIG;AACH,MAAM,MAAM,aAAa,GAAG,MAAM,CAAC,MAAM,EAAE,MAAM,CAAC,CAAA;AAElD,wDAAwD;AACxD,MAAM,MAAM,0BAA0B,GAAG,MAAM,mBAAmB,GAAG,OAAO,CAAC,mBAAmB,CAAC,CAAA;AAEjG;;;;;;;;;;;;;;;;;;;;;;GAsBG;AACH,MAAM,MAAM,kBAAkB,GAAG,CAAC,KAAK,EAAE,QAAQ,KAAK,OAAO,CAAC,QAAQ,EAAE,GAAG,IAAI,CAAC,CAAA;AAEhF;;;GAGG;AACH,MAAM,WAAW,SAAS;IACxB,KAAK,EAAE,QAAQ,CAAA;IACf,MAAM,EAAE,QAAQ,CAAA;CACjB;AAED,+EAA+E;AAC/E,MAAM,WAAW,aAAa;IAC5B,KAAK,EAAE,SAAS,EAAE,CAAA;IAClB;;;;OAIG;IACH,MAAM,CAAC,EAAE,MAAM,CAAA;CAChB;AAED;;;;;;;;;;;;;;;;;;;;;;GAsBG;AACH,MAAM,MAAM,oBAAoB,GAAG,CAAC,OAAO,EAAE;IAC3C,KAAK,EAAE,MAAM,CAAA;IACb,KAAK,CAAC,EAAE,MAAM,CAAA;CACf,KAAK,OAAO,CAAC,aAAa,CAAC,CAAA;AAE5B;;;;;GAKG;AACH,MAAM,MAAM,eAAe,GACvB;IAAE,EAAE,EAAE,UAAU,CAAC;IAAC,KAAK,EAAE,QAAQ,CAAC;IAAC,MAAM,EAAE,QAAQ,CAAA;CAAE,GACrD;IAAE,EAAE,EAAE,OAAO,CAAC;IAAC,KAAK,EAAE,QAAQ,CAAC;IAAC,MAAM,EAAE,QAAQ,CAAA;CAAE,GAClD;IAAE,EAAE,EAAE,UAAU,CAAC;IAAC,KAAK,EAAE,QAAQ,CAAA;CAAE,CAAA;AAEvC,yEAAyE;AACzE,MAAM,WAAW,sBAAsB;IACrC,4EAA4E;IAC5E,EAAE,EAAE,MAAM,GAAG,MAAM,CAAA;IACnB,MAAM,EAAE,eAAe,CAAA;IACvB,kFAAkF;IAClF,QAAQ,CAAC,EAAE,MAAM,CAAA;IACjB,6EAA6E;IAC7E,SAAS,CAAC,EAAE,MAAM,CAAA;IAClB;;;;;OAKG;IACH,KAAK,CAAC,EAAE,UAAU,CAAA;CACnB;AAED,2DAA2D;AAC3D,MAAM,WAAW,kBAAkB;IACjC,EAAE,EAAE,MAAM,GAAG,MAAM,CAAA;IACnB,MAAM,EAAE,eAAe,CAAA;IACvB,QAAQ,CAAC,EAAE,MAAM,CAAA;IACjB,+EAA+E;IAC/E,KAAK,CAAC,EAAE,MAAM,CAAA;CACf;AAED;;;GAGG;AACH,MAAM,WAAW,gBAAgB;IAC/B,6DAA6D;IAC7D,OAAO,EAAE,kBAAkB,EAAE,CAAA;IAC7B;;;;OAIG;IACH,MAAM,EAAE;QAAE,EAAE,EAAE,MAAM,GAAG,MAAM,CAAC;QAAC,MAAM,EAAE,eAAe,CAAC;QAAC,KAAK,EAAE,MAAM,CAAA;KAAE,GAAG,IAAI,CAAA;IAC9E;;;;OAIG;IACH,QAAQ,EAAE,KAAK,CAAC;QAAE,EAAE,EAAE,MAAM,GAAG,MAAM,CAAC;QAAC,MAAM,EAAE,eAAe,CAAC;QAAC,KAAK,EAAE,MAAM,CAAA;KAAE,CAAC,CAAA;IAChF;;;;;OAKG;IACH,QAAQ,EAAE,kBAAkB,EAAE,CAAA;IAC9B;;;;OAIG;IACH,IAAI,EAAE,kBAAkB,EAAE,CAAA;IAC1B;;;OAGG;IACH,IAAI,EAAE,OAAO,CAAA;IACb,qEAAqE;IACrE,SAAS,EAAE,OAAO,CAAA;IAClB,MAAM,EAAE,OAAO,CAAA;IACf,wDAAwD;IACxD,UAAU,EAAE,kBAAkB,EAAE,CAAA;CACjC;AAED;;;GAGG;AACH,MAAM,WAAW,gBAAgB;IAC/B,OAAO,IAAI,OAAO,CAAC,IAAI,CAAC,CAAA;CACzB;AAED,8EAA8E;AAC9E,MAAM,WAAW,kBAAkB;IACjC;;;;OAIG;IACH,WAAW,CAAC,EAAE,OAAO,CAAA;IACrB,KAAK,CAAC,EAAE,UAAU,CAAA;CACnB;AAED;;;;;;;;;;;;;;;;;;;;GAoBG;AACH,MAAM,WAAW,WAAW;IAC1B;;;;OAIG;IACH,OAAO,CAAC,MAAM,EAAE,eAAe,EAAE,OAAO,EAAE,kBAAkB,GAAG,OAAO,CAAC,IAAI,CAAC,CAAA;IAC5E;;;;;;;;OAQG;IACH,OAAO,CAAC,KAAK,EAAE,MAAM,EAAE,KAAK,CAAC,EAAE,MAAM,GAAG,MAAM,GAAG,OAAO,CAAC,sBAAsB,EAAE,CAAC,CAAA;IAClF,sDAAsD;IACtD,WAAW,CAAC,EAAE,EAAE,MAAM,GAAG,MAAM,GAAG,OAAO,CAAC,IAAI,CAAC,CAAA;IAC/C,uEAAuE;IACvE,UAAU,CAAC,EAAE,EAAE,MAAM,GAAG,MAAM,EAAE,KAAK,EAAE,MAAM,GAAG,OAAO,CAAC,IAAI,CAAC,CAAA;IAC7D;;;;;;;OAOG;IACH,IAAI,CAAC,CAAC,KAAK,EAAE,MAAM,GAAG,OAAO,CAAC,sBAAsB,EAAE,CAAC,CAAA;IACvD;;;;;;;;;;;;;;;;;;OAkBG;IACH,OAAO,CAAC,IAAI,OAAO,CAAC,gBAAgB,GAAG,IAAI,CAAC,CAAA;CAC7C;AAED;;;;;;;;;;;;;;;;;;;;GAoBG;AACH,MAAM,MAAM,wBAAwB,GAAG,CACrC,KAAK,EAAE,QAAQ,EACf,OAAO,EAAE;IAAE,QAAQ,EAAE,MAAM,CAAA;CAAE,KAC1B,OAAO,CAAC,QAAQ,EAAE,GAAG,IAAI,CAAC,CAAA;AAE/B;;;GAGG;AACH,MAAM,WAAW,eAAe;IAC9B;;;;;;OAMG;IACH,MAAM,EAAE,SAAS,GAAG,UAAU,GAAG,SAAS,GAAG,QAAQ,GAAG,cAAc,GAAG,cAAc,CAAA;IACvF,sCAAsC;IACtC,OAAO,CAAC,EAAE,UAAU,CAAA;IACpB,KAAK,EAAE,QAAQ,CAAA;IACf;;;OAGG;IACH,KAAK,CAAC,EAAE,UAAU,CAAA;IAClB;;;;;;;;;;;;;;;OAeG;IACH,KAAK,CAAC,EAAE,cAAc,EAAE,CAAA;IACxB,uCAAuC;IACvC,UAAU,CAAC,EAAE,MAAM,CAAA;IACnB,mEAAmE;IACnE,SAAS,CAAC,EAAE,IAAI,GAAG,IAAI,CAAA;IACvB,iDAAiD;IACjD,iBAAiB,CAAC,EAAE,IAAI,GAAG,IAAI,CAAA;IAC/B;;;;;;;OAOG;IACH,aAAa,CAAC,EAAE,OAAO,CAAA;CACxB;AAgBD,yEAAyE;AACzE,MAAM,WAAW,WAAW;IAC1B,kGAAkG;IAClG,IAAI,EAAE,MAAM,CAAA;IACZ,IAAI,EAAE,MAAM,CAAA;IACZ,SAAS,EAAE,SAAS,CAAA;IACpB,uGAAuG;IACvG,KAAK,EAAE,MAAM,CAAA;IACb,+EAA+E;IAC/E,IAAI,EAAE,MAAM,CAAA;CACb;AAED;;;;GAIG;AACH,MAAM,WAAW,cAAc;IAC7B,IAAI,EAAE,MAAM,CAAA;IACZ,IAAI,EAAE,MAAM,CAAA;IACZ,SAAS,EAAE,SAAS,CAAA;IACpB,sCAAsC;IACtC,KAAK,EAAE,MAAM,CAAA;CACd;AAED,MAAM,WAAW,qBAAqB;IACpC,gCAAgC;IAChC,IAAI,EAAE,MAAM,CAAA;IACZ,WAAW,CAAC,EAAE,MAAM,GAAG,IAAI,CAAA;IAC3B;;;;;;;;OAQG;IACH,YAAY,CAAC,EAAE,SAAS,EAAE,CAAA;CAC3B;AAED,MAAM,WAAW,eAAe;IAC9B,sFAAsF;IACtF,IAAI,CAAC,EAAE,MAAM,CAAA;IACb,IAAI,EAAE,MAAM,CAAA;IACZ,0CAA0C;IAC1C,SAAS,EAAE,SAAS,CAAA;IACpB,IAAI,CAAC,EAAE,MAAM,CAAA;IACb,WAAW,CAAC,EAAE,MAAM,GAAG,IAAI,CAAA;IAC3B;;;;OAIG;IACH,IAAI,CAAC,EAAE,MAAM,CAAA;IACb,+DAA+D;IAC/D,WAAW,EAAE,MAAM,EAAE,CAAA;CACtB;AAED,MAAM,WAAW,WAAW;IAC1B,kEAAkE;IAClE,WAAW,EAAE,qBAAqB,EAAE,CAAA;IACpC,4EAA4E;IAC5E,KAAK,EAAE,eAAe,EAAE,CAAA;CACzB;AAED;;;;GAIG;AACH,MAAM,WAAW,cAAc;IAC7B,IAAI,EAAE,MAAM,CAAA;IACZ,wEAAwE;IACxE,SAAS,EAAE,SAAS,CAAA;IACpB,IAAI,CAAC,EAAE,MAAM,CAAA;IACb,WAAW,CAAC,EAAE,MAAM,GAAG,IAAI,CAAA;IAC3B,IAAI,EAAE,MAAM,CAAA;IACZ,4FAA4F;IAC5F,WAAW,EAAE,MAAM,EAAE,CAAA;CACtB;AAED,8FAA8F;AAC9F,MAAM,WAAW,iBAAiB;IAChC,IAAI,CAAC,EAAE,MAAM,CAAA;IACb,WAAW,CAAC,EAAE,MAAM,GAAG,IAAI,CAAA;IAC3B,IAAI,CAAC,EAAE,MAAM,CAAA;IACb,WAAW,CAAC,EAAE,MAAM,EAAE,CAAA;CACvB;AAED;;;;GAIG;AACH,MAAM,WAAW,sBAAsB;IACrC,MAAM,EAAE,cAAc,GAAG,cAAc,GAAG,aAAa,CAAA;IACvD;;;;OAIG;IACH,KAAK,CAAC,EAAE,UAAU,CAAA;IAClB,IAAI,EAAE,WAAW,CAAA;IACjB,2DAA2D;IAC3D,KAAK,EAAE,QAAQ,CAAA;IACf,gEAAgE;IAChE,WAAW,EAAE,MAAM,EAAE,CAAA;IACrB;;;;;;;;;;OAUG;IACH,kBAAkB,CAAC,EAAE,cAAc,EAAE,CAAA;CACtC;AAID;;;GAGG;AACH,MAAM,WAAW,qBAAqB;IACpC,IAAI,EAAE,MAAM,CAAA;IACZ,WAAW,EAAE,MAAM,EAAE,CAAA;CACtB;AAED;;;;GAIG;AACH,MAAM,WAAW,yBAAyB;IACxC,wFAAwF;IACxF,WAAW,EAAE,MAAM,EAAE,CAAA;IACrB,oDAAoD;IACpD,KAAK,EAAE,qBAAqB,EAAE,CAAA;CAC/B;AAED,wGAAwG;AACxG,MAAM,WAAW,uBAAuB;IACtC,8BAA8B;IAC9B,OAAO,EAAE,MAAM,CAAA;IACf,6EAA6E;IAC7E,OAAO,EAAE,MAAM,CAAA;IACf,+CAA+C;IAC/C,SAAS,EAAE,MAAM,CAAA;CAClB;AAED;;;;;;;;;;;;;;GAcG;AACH,MAAM,WAAW,iBAAiB;IAChC;;;;OAIG;IACH,iBAAiB,CAAC,WAAW,EAAE,SAAS,MAAM,EAAE,GAAG,IAAI,CAAA;IACvD,kGAAkG;IAClG,OAAO,CAAC,QAAQ,EAAE,yBAAyB,GAAG,OAAO,CAAC,uBAAuB,CAAC,CAAA;CAC/E;AAcD,6EAA6E;AAC7E,MAAM,WAAW,SAAS;IACxB,qGAAqG;IACrG,IAAI,EAAE,MAAM,CAAA;IACZ,iGAAiG;IACjG,EAAE,EAAE,MAAM,CAAA;CACX;AAED;;;;GAIG;AACH,MAAM,WAAW,UAAU;IACzB,MAAM,EAAE,SAAS,CAAA;IACjB,QAAQ,EAAE,MAAM,CAAA;CACjB;AAED;;;;;GAKG;AACH,MAAM,MAAM,UAAU,GAAG,UAAU,GAAG,UAAU,CAAA;AAEhD,mFAAmF;AACnF,wBAAgB,YAAY,CAAC,OAAO,EAAE,UAAU,GAAG,OAAO,IAAI,UAAU,CAEvE;AAED;;;;;GAKG;AACH,MAAM,WAAW,WAAW;IAC1B,SAAS,EAAE,QAAQ,GAAG,UAAU,CAAA;IAChC,OAAO,EAAE,UAAU,CAAA;IACnB,QAAQ,EAAE,MAAM,CAAA;IAChB,MAAM,EAAE,SAAS,CAAA;IACjB,SAAS,EAAE,QAAQ,CAAA;CACpB;AAED,gGAAgG;AAChG,MAAM,WAAW,kBAAmB,SAAQ,WAAW;IACrD,oGAAoG;IACpG,KAAK,CAAC,EAAE,UAAU,CAAA;CACnB;AAED,8CAA8C;AAC9C,MAAM,WAAW,oBAAoB;IACnC,sEAAsE;IACtE,KAAK,CAAC,EAAE,UAAU,CAAA;CACnB;AAED,iGAAiG;AACjG,MAAM,WAAW,YAAY;IAC3B,KAAK,CAAC,EAAE,MAAM,CAAA;IACd,KAAK,CAAC,EAAE,MAAM,CAAA;CACf;AAED;;;;;GAKG;AACH,MAAM,WAAW,2BAA2B;IAC1C,sEAAsE;IACtE,oBAAoB,EAAE,OAAO,CAAA;IAC7B;;;;OAIG;IACH,oBAAoB,EAAE,OAAO,CAAA;IAC7B,2FAA2F;IAC3F,eAAe,EAAE,OAAO,CAAA;IACxB;;;;;OAKG;IACH,eAAe,EAAE,OAAO,CAAA;IACxB,2FAA2F;IAC3F,kBAAkB,EAAE,OAAO,CAAA;IAC3B;;;;;OAKG;IACH,qBAAqB,EAAE,OAAO,CAAA;CAC/B;AAED;;;;GAIG;AACH,MAAM,WAAW,mBAAmB;IAClC,OAAO,EAAE,SAAS,EAAE,CAAA;IACpB,MAAM,CAAC,EAAE,MAAM,CAAA;IACf,SAAS,CAAC,EAAE,OAAO,CAAA;CACpB;AAED,MAAM,WAAW,oBAAoB;IACnC,QAAQ,EAAE,UAAU,EAAE,CAAA;IACtB,MAAM,CAAC,EAAE,MAAM,CAAA;IACf,SAAS,CAAC,EAAE,OAAO,CAAA;CACpB;AAED,4FAA4F;AAC5F,MAAM,WAAW,aAAa;IAC5B,OAAO,EAAE,UAAU,CAAA;IACnB,QAAQ,EAAE,MAAM,CAAA;IAChB,MAAM,EAAE,SAAS,CAAA;IACjB,SAAS,EAAE,QAAQ,CAAA;CACpB;AAED,MAAM,WAAW,iBAAiB;IAChC,MAAM,EAAE,aAAa,EAAE,CAAA;IACvB,MAAM,CAAC,EAAE,MAAM,CAAA;CAChB;AAED;;;;;;GAMG;AACH,MAAM,WAAW,eAAe;IAC9B,QAAQ,CAAC,YAAY,CAAC,EAAE,2BAA2B,CAAA;IAEnD,gFAAgF;IAChF,MAAM,CACJ,OAAO,EAAE,UAAU,EACnB,QAAQ,EAAE,MAAM,EAChB,MAAM,EAAE,SAAS,EACjB,SAAS,EAAE,QAAQ,EACnB,OAAO,CAAC,EAAE,oBAAoB,GAC7B,OAAO,CAAC,IAAI,CAAC,CAAA;IAEhB,oEAAoE;IACpE,QAAQ,CACN,OAAO,EAAE,UAAU,EACnB,QAAQ,EAAE,MAAM,EAChB,MAAM,EAAE,SAAS,EACjB,SAAS,EAAE,QAAQ,EACnB,OAAO,CAAC,EAAE,oBAAoB,GAC7B,OAAO,CAAC,IAAI,CAAC,CAAA;IAEhB,2GAA2G;IAC3G,KAAK,CAAC,OAAO,EAAE,UAAU,EAAE,QAAQ,EAAE,MAAM,EAAE,MAAM,EAAE,SAAS,EAAE,SAAS,EAAE,QAAQ,GAAG,OAAO,CAAC,OAAO,CAAC,CAAA;IAEtG,6HAA6H;IAC7H,WAAW,CACT,OAAO,EAAE,UAAU,EACnB,QAAQ,EAAE,MAAM,EAChB,UAAU,EAAE,MAAM,EAClB,SAAS,EAAE,QAAQ,EACnB,IAAI,CAAC,EAAE,YAAY,GAClB,OAAO,CAAC,mBAAmB,CAAC,CAAA;IAE/B,kIAAkI;IAClI,YAAY,CACV,QAAQ,EAAE,MAAM,EAChB,MAAM,EAAE,SAAS,EACjB,SAAS,EAAE,QAAQ,EACnB,IAAI,CAAC,EAAE,YAAY,GAClB,OAAO,CAAC,oBAAoB,CAAC,CAAA;IAEhC,+HAA+H;IAC/H,WAAW,CAAC,MAAM,EAAE,SAAS,EAAE,SAAS,EAAE,QAAQ,GAAG,OAAO,CAAC,IAAI,CAAC,CAAA;IAElE,qFAAqF;IACrF,YAAY,CAAC,OAAO,EAAE,UAAU,EAAE,SAAS,EAAE,QAAQ,GAAG,OAAO,CAAC,IAAI,CAAC,CAAA;IAErE;;;;;OAKG;IACH,SAAS,CAAC,CAAC,MAAM,EAAE,SAAS,EAAE,QAAQ,EAAE,MAAM,EAAE,SAAS,EAAE,QAAQ,EAAE,IAAI,CAAC,EAAE,YAAY,GAAG,OAAO,CAAC,oBAAoB,CAAC,CAAA;IAExH,yHAAyH;IACzH,kBAAkB,CAAC,CAAC,SAAS,EAAE,QAAQ,EAAE,IAAI,CAAC,EAAE,YAAY,GAAG,OAAO,CAAC,iBAAiB,CAAC,CAAA;CAC1F;AAED;;;;;;;GAOG;AACH,MAAM,MAAM,sBAAsB,GAAG,MAAM,eAAe,GAAG,OAAO,CAAC,eAAe,CAAC,CAAA"}

package/build/src/types.js

@@ -12,10 +12,12 @@
  * suite corre contra cada driver — es el juez del contrato):
  *
  * 1. **Scopes jerárquicos, herencia SOLO hacia abajo.** La cadena de un scope
- *    es `[scope, ...ancestros]` (`app` es la raíz: su cadena es él mismo).
+ *    es `[scope canónico, ...ancestros]` (`app` es la raíz: su cadena es él
+ *    mismo); la identidad de un scope es la que devuelve el resolutor, nunca
+ *    la forma con la que lo escribió el llamante (2.5-B · K1).
  *    Un grant en un scope autoriza en ese scope y en TODOS sus descendientes;
  *    nunca en hermanos ni ancestros. En T1 solo opera `app` (los ancestros de
- *    `organization`/`unit` se completan en T2/T3 vía `resolveAncestors`).
+ *    `organization`/`unit` se completan en T2/T3 vía `resolveChain`).
  * 2. **Deny explícito gana.** Un deny de un permiso en cualquier scope de la
  *    cadena bloquea `authorize`, aunque un rol lo conceda (el deny también
  *    hereda hacia abajo). Quitar el deny restaura el permiso.
@@ -28,11 +30,25 @@
  *    holder sin asignación vigente → `false`, nunca throw en `authorize`.
  *    En cambio `grant`/`deny` con rol/permiso fuera del catálogo → throw
  *    (error de programación, no de autorización).
- * 6. **Idempotencia de escritura.** Re-`grant` no duplica (actualiza
- *    `expiresAt`); re-`revoke`/re-`deny`/re-`removeDeny` son no-ops seguros.
+ * 6. **Idempotencia de escritura.** Re-`grant` no duplica (`expiresAt` en
+ *    tres estados: omitido preserva, `null` quita, `Date` fija);
+ *    re-`revoke`/re-`deny`/re-`removeDeny` son no-ops seguros.
+ * 7. **El árbol es un hecho del contrato.** Un scope que el resolutor no
+ *    conoce (`null`) deniega, no lista y no admite escrituras; `purgeScope`
+ *    borra los hechos del scope exacto (los del catálogo) y demuestra cero.
  */
 /** Nombre reservado del scope raíz. */
 export const APP_SCOPE_TYPE = 'app';
 /** El scope raíz de aplicación (nivel plataforma). */
 export const APP_SCOPE = Object.freeze({ type: 'app', uuid: null });
+/**
+ * Cuántas tuplas/filas del destino caben en una pasada de `authz:reconcile`
+ * (3b-3b · B5). No es una garantía de memoria: es la cota DECLARADA por
+ * encima de la cual la pasada se niega en vez de intentarlo.
+ */
+export const DEFAULT_RECONCILE_MAX_TUPLES = 1_000_000;
+/** Discriminador: ¿este sujeto es un userset (`group:g#member`) y no un holder? */
+export function isRelUserset(subject) {
+    return typeof subject.object === 'object' && subject.object !== null;
+}
 //# sourceMappingURL=types.js.map

package/build/src/types.js.map

@@ -1 +1 @@
-{"version":3,"file":"types.js","sourceRoot":"","sources":["../../src/types.ts"],"names":[],"mappings":"AAAA;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;GAgCG;AAoBH,uCAAuC;AACvC,MAAM,CAAC,MAAM,cAAc,GAAG,KAAK,CAAA;AAQnC,sDAAsD;AACtD,MAAM,CAAC,MAAM,SAAS,GAAa,MAAM,CAAC,MAAM,CAAC,EAAE,IAAI,EAAE,KAAK,EAAE,IAAI,EAAE,IAAI,EAAE,CAAC,CAAA"}
+{"version":3,"file":"types.js","sourceRoot":"","sources":["../../src/types.ts"],"names":[],"mappings":"AAAA;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;GAsCG;AAoBH,uCAAuC;AACvC,MAAM,CAAC,MAAM,cAAc,GAAG,KAAK,CAAA;AAQnC,sDAAsD;AACtD,MAAM,CAAC,MAAM,SAAS,GAAa,MAAM,CAAC,MAAM,CAAC,EAAE,IAAI,EAAE,KAAK,EAAE,IAAI,EAAE,IAAI,EAAE,CAAC,CAAA;AAymB7E;;;;GAIG;AACH,MAAM,CAAC,MAAM,4BAA4B,GAAG,SAAS,CAAA;AAkrBrD,mFAAmF;AACnF,MAAM,UAAU,YAAY,CAAC,OAAmB;IAC9C,OAAO,OAAQ,OAAsB,CAAC,MAAM,KAAK,QAAQ,IAAK,OAAsB,CAAC,MAAM,KAAK,IAAI,CAAA;AACtG,CAAC"}

package/build/stubs/config/app_acl.stub

@@ -17,9 +17,11 @@ import type { CatalogSpec } from '@jantstack/adonis-authz'
  * Para el ACL POR TENANT ver `config/organization_acl.ts` (migra al motor
  * en la tanda 2).
  *
- * Workflow para añadir un permiso:
+ * Workflow para añadir o quitar un permiso:
  *   1. Editar este archivo.
- *   2. `node ace db:seed:one app_acl_seeder`
+ *   2. `node ace authz:catalog:sync` (quitar un permiso de un rol lo retira
+ *      de verdad: el sync poda los vínculos que ya no listas).
+ *   3. En CI, `node ace authz:catalog:diff` falla si la base no coincide.
  */
 const appAclConfig = {
   /**

package/build/stubs/config/authorization.stub

@@ -2,31 +2,89 @@
   exports({ to: app.configPath('authorization.ts') })
 }}}
 import env from '#start/env'
-import { defineConfig, DatabaseAuthorizationDriver } from '@jantstack/adonis-authz'
+import {
+  defineConfig,
+  DatabaseAuthorizationDriver,
+  DatabaseRelationsDriver,
+  defineRelationsConfig,
+  APP_SCOPE,
+} from '@jantstack/adonis-authz'
 import type { AuthzWriteEvent, ScopeRef } from '@jantstack/adonis-authz'
+import { appAclCatalog } from '#config/app_acl'
 
 /**
  * Holders de tu aplicación: morph name (`@MorphMap` del modelo) → tipo del
  * modelo FGA. Solo lo usa el driver `openfga` y sus comandos.
  *
  * ⚠️ Cambiar este mapa cambia el authorization model: hay que re-provisionar
- * el store (`node ace openfga:provision`) y reimportar los hechos.
+ * el store (`node ace openfga:provision`) y volver a proyectar el catálogo.
  */
 export const holderTypes = {
   users: 'user',
 }
 
 /**
- * Jerarquía de scopes de tu dominio. El motor solo conoce la raíz (`app`);
- * si tienes niveles propios (organizaciones, proyectos, sedes…), devuelve
- * aquí sus ancestros del más cercano a la raíz.
+ * ReBAC genérico (relaciones a nivel de objeto: `document#viewer`,
+ * `group#member`…), OPT-IN. Declara aquí tus tipos de objeto y sus relaciones.
+ * Con la sección `relations` de abajo, el paquete cablea el `RelationsManager`
+ * como servicio (`import relations from '@jantstack/adonis-authz/services/relations'`)
+ * y —con AUTHZ_DRIVER=openfga— `node ace openfga:provision` mete estos tipos en
+ * el modelo `facts`, así que un store recién aprovisionado ya acepta tuplas de
+ * relación sin un `authz:catalog:sync` previo.
  *
- *   organization → [APP_SCOPE]
- *   unit         → [padres…, su organization, APP_SCOPE]
+ * `document` es solo un EJEMPLO: cámbialo por tus tipos (o borra este bloque y
+ * la sección `relations` si no usas ReBAC). `defineRelationsConfig` exige al
+ * menos un tipo, así que un array vacío lanza.
  */
-async function resolveScopeAncestors(scope: ScopeRef): Promise<ScopeRef[]> {
-  if (scope.type === 'app') return []
-  return [{ type: 'app', uuid: null }]
+export const relationsConfig = defineRelationsConfig({
+  objectTypes: [
+    {
+      type: 'document',
+      relations: [
+        { name: 'owner' },
+        { name: 'editor', includes: ['owner'] },
+        { name: 'viewer', includes: ['editor'] },
+      ],
+    },
+  ],
+  holderTypes: Object.values(holderTypes),
+})
+
+/**
+ * Jerarquía de scopes de tu dominio: la ÚNICA costura entre tu dominio y el
+ * motor. El motor solo conoce la raíz (`app`); si tienes niveles propios
+ * (organizaciones, proyectos, sedes…), devuelve aquí la CADENA CANÓNICA del
+ * scope: él mismo TAL COMO ESTÁ EN TU TABLA (la fila leída, no lo que llegó
+ * en la pregunta) y después sus ancestros del más cercano a la raíz, con
+ * `APP_SCOPE` al final; y `null` si el scope NO existe (el motor deniega y
+ * rechaza escribir sobre él). Nunca devuelvas `[scope, APP_SCOPE]` para lo
+ * que no conoces: convertiría cualquier scope inventado en descendiente de la
+ * raíz. Devolver la fila (y no el argumento) es lo que impide que un alias del
+ * uuid —mayúsculas, guiones quitados, que el tipo `uuid` de PostgreSQL o una
+ * collation `*_ci` funden con la fila real— evada un deny escrito con la
+ * forma canónica. `hierarchicalScopeResolver({ nodeOf })` lo hace por ti a
+ * partir de un `nodeOf` que lea la fila.
+ *
+ *   organization → [la organization (fila), APP_SCOPE]                  (si existe; si no, null)
+ *   unit         → [la unit (fila), su organization (fila), APP_SCOPE]  (idem)
+ *
+ * Esta MISMA función va a tres sitios, y tiene que ser la misma:
+ *   - `scopes.resolveChain` (abajo): el manager valida con ella
+ *     `scopes.attached/moved` (padre existente, sin ciclos) antes de tocar
+ *     el driver;
+ *   - `resolveChain` de cada driver: con ella responde `authorize`,
+ *     `hasRole` y los `list*`, y valida `grant`/`deny`.
+ *   Un driver sin ella solo conoce `app` (422 al preguntar por otro nivel).
+ *
+ * Cuando tu árbol cambie, avisa al motor en todos los drivers:
+ *   authorization.scopes.attached(child, parent) / moved(child, newParent) /
+ *   detached(child)  ← purga los hechos del scope antes de que borres la fila.
+ */
+async function resolveScopeChain(scope: ScopeRef): Promise<ScopeRef[] | null> {
+  if (scope.type === 'app') return [APP_SCOPE]
+  // TODO: consulta tu tabla; devuelve null si `scope.uuid` no existe, y si
+  // existe, [{ type, uuid: fila.uuid }, ...ancestros, APP_SCOPE].
+  return null
 }
 
 /**
@@ -46,15 +104,60 @@ export default defineConfig({
     modelId: env.get('OPENFGA_MODEL_ID'),
   },
 
+  // La costura del árbol (ver arriba): la misma función que reciben los drivers.
+  // 2.1: añade `descendantsOf: sqlDescendantsOf({ table, uuidColumn, parentColumn, typeColumn })`
+  // (2.2: con `descendantsOf`, `scopes.detached` purga también los roles
+  //  locales del SUBÁRBOL —sin él, solo los del scope exacto— y el nivel de
+  //  un rol local se comprueba contra el árbol de hoy; delegar hacia abajo
+  //  —`lead@unit` con owner una org— funciona con o sin él)
+  // (o tu propia función) para `authorizedScopes`; y `requireWithin: true` / `requireActor: true`
+  // en cuanto todos los call-sites pasen `within` / `actor` (hasta entonces el manager avisa).
+  // 2.3: `enumerateEdges: sqlScopeEdges({ table, uuidColumn, parentColumn, typeColumn })` es
+  //  el árbol ENTERO paginado, y lo necesita `node ace authz:reconcile` (migrar entre drivers
+  //  y verificar con --dry-run). Sin él el comando se niega en vez de suponer un árbol plano.
+  //  La migración va en las DOS direcciones: `--to=openfga` reconstruye el store desde `authz_*`
+  //  + este árbol, y `--to=database` reconstruye `authz_*` desde los hechos del store (ahí el
+  //  árbol NO se migra: el driver `database` lo lee de TUS tablas en cada pregunta).
+  scopes: {
+    resolveChain: resolveScopeChain,
+    // Con AUTHZ_DRIVER=openfga el árbol vive en DOS sitios (tus tablas y el
+    // store) y quien ENCOLA los cambios es el MANAGER, que lee ESTA sección
+    // —no las opciones del driver—: sin una de las dos mitigaciones aquí,
+    // cada request es 500 E_AUTHZ_SCOPE_DRIFT_UNGUARDED. Igual que en la
+    // factory de abajo: cámbialo por `outbox: scopeOutbox` (la MISMA
+    // instancia en los dos sitios) en cuanto el árbol lo muevan peticiones
+    // de tenant; hasta entonces, esta es la firma explícita del riesgo.
+    // Con AUTHZ_DRIVER=database no aplica (el árbol tiene una sola copia).
+    acceptScopeDriftRisk: true,
+  },
+
   drivers: {
-    database: () => new DatabaseAuthorizationDriver({ resolveAncestors: resolveScopeAncestors }),
+    database: () => new DatabaseAuthorizationDriver({ resolveChain: resolveScopeChain }),
 
     /**
      * Backend externo opcional. Levanta el servidor y provisiona con
-     * `node ace openfga:provision`; migra los hechos con `openfga:import`.
+     * `node ace openfga:provision` (escribe el modelo con TUS permisos: el
+     * modelo cambia cada vez que añades o quitas uno, y `authz:catalog:sync`
+     * proyecta el catálogo en el store).
+     * El driver vive en el subpath `/openfga` (lo único que importa el peer
+     * opcional `@openfga/sdk`) y se carga DENTRO de la factory: sin
+     * AUTHZ_DRIVER=openfga el SDK ni se instala ni se importa.
+     *
+     * **El árbol de scopes vive en el store** (el driver es el PDP y
+     * `authorize` es un solo `Check`), así que hay DOS copias del árbol —la
+     * tuya y la suya— y un `rollback` de tu transacción dejaría la del store
+     * adelantada. Por eso el driver NO se construye sin una de las dos
+     * mitigaciones (500 `E_AUTHZ_SCOPE_DRIFT_UNGUARDED`):
+     *
+     *   - `scopes.outbox`: la MISMA instancia que pones en `scopes` arriba —
+     *     el manager encola los cambios del árbol dentro de tu transacción y
+     *     `node ace authz:scopes:relay` los aplica. Es la recomendada;
+     *     publica la tabla con la migración `scopes_outbox_migration.stub`.
+     *   - `acceptScopeDriftRisk: true`: la firma explícita de quien mueve el
+     *     árbol solo desde la plataforma y lo asume.
      */
     openfga: async () => {
-      const { OpenFgaAuthorizationDriver } = await import('@jantstack/adonis-authz')
+      const { OpenFgaAuthorizationDriver } = await import('@jantstack/adonis-authz/openfga')
       const apiUrl = env.get('OPENFGA_URL')
       const storeId = env.get('OPENFGA_STORE_ID')
       if (!apiUrl || !storeId) {
@@ -64,11 +167,62 @@ export default defineConfig({
         apiUrl,
         storeId,
         modelId: env.get('OPENFGA_MODEL_ID'),
-        resolveAncestors: resolveScopeAncestors,
+        resolveChain: resolveScopeChain,
         holderTypes,
+        // Cámbialo por `outbox: scopeOutbox` (la misma que pases en `scopes`)
+        // en cuanto el árbol lo muevan peticiones de tenant.
+        acceptScopeDriftRisk: true,
       })
     },
   },
 
+  /**
+   * Catálogos de roles/permisos (uno por módulo). `node ace authz:catalog:sync`
+   * los sincroniza en orden (podando los vínculos que el config ya no lista);
+   * `node ace authz:catalog:diff` falla en CI si la base no coincide.
+   */
+  catalogs: [async () => appAclCatalog()],
+
+  /**
+   * Roles locales a un scope (2.2): `defineScopedRole(actor, ownerScope, spec)`
+   * solo puede meter en un rol local permisos de esta lista blanca (y que el
+   * actor tenga efectivos en el owner). Vacía = nadie delega nada. Los
+   * permisos de plataforma (`admin:*`, ajustes de organización) no deberían
+   * estar aquí.
+   */
+  delegablePermissions: [],
+
+  /**
+   * ReBAC genérico (OPT-IN). `config` es la MISMA instancia que capturan las
+   * factories de `drivers` (F-05 del manager y del driver es la misma frontera);
+   * `default` es el driver de relaciones activo que resuelve el servicio
+   * `@jantstack/adonis-authz/services/relations` (default: el `default` de
+   * roles). Los `drivers` los usa además `node ace authz:relations:reconcile`.
+   * El driver `openfga` de relaciones entra por el subpath `/openfga` DENTRO de
+   * la factory (peer opcional). Si no usas ReBAC, borra esta sección y el
+   * `relationsConfig` de arriba.
+   */
+  relations: {
+    config: relationsConfig,
+    default: env.get('AUTHZ_DRIVER', 'database'),
+    drivers: {
+      database: () => new DatabaseRelationsDriver(relationsConfig),
+      openfga: async () => {
+        const { OpenFgaRelationsDriver } = await import('@jantstack/adonis-authz/openfga')
+        const apiUrl = env.get('OPENFGA_URL')
+        const storeId = env.get('OPENFGA_STORE_ID')
+        if (!apiUrl || !storeId) {
+          throw new Error('AUTHZ_DRIVER=openfga requiere OPENFGA_URL y OPENFGA_STORE_ID')
+        }
+        return new OpenFgaRelationsDriver(relationsConfig, {
+          apiUrl,
+          storeId,
+          modelId: env.get('OPENFGA_MODEL_ID'),
+          holderTypes,
+        })
+      },
+    },
+  },
+
   hooks: { onWrite: onAuthzWrite },
 })

package/build/stubs/migration.stub

@@ -14,31 +14,57 @@ import { BaseSchema } from '@adonisjs/lucid/schema'
  * El catálogo (roles/permissions/role_permissions) es metadata compartida
  * entre drivers; los HECHOS (assignments/denies) son lo único que otro
  * driver (p.ej. openfga) materializaría fuera.
+ *
+ * Decisiones observadas en PostgreSQL y MySQL (2.5 · J3, la suite corre en
+ * los tres motores):
+ *  - `holder_uuid`/`scope_uuid` son `varchar(64)`, NO `uuid`: la identidad
+ *    es una cadena validada por la gramática del paquete (`[A-Za-z0-9._-]`,
+ *    ≤ 36) y el uuid es del consumidor; el tipo `uuid` de PostgreSQL
+ *    rechazaba cualquier id que no fuera un UUID.
+ *  - Las columnas de identidad y los slugs llevan `collate 'utf8mb4_bin'`
+ *    (solo MySQL lo compila; en PG y SQLite la comparación ya es binaria):
+ *    con la collation por defecto (`*_ci`) `abc` y `ABC` eran la misma fila
+ *    y un grant a uno autorizaba al otro.
+ *  - `expires_at` es `DATETIME(3)` (`datetime` con precisión 3): el
+ *    `timestamp` de MySQL redondea al segundo (una caducidad de +600 ms
+ *    concedía hasta +1 s) y no admite fechas más allá de 2038.
  */
 export default class extends BaseSchema {
   public async up() {
     this.schema.createTable('authz_roles', (table) => {
       table.uuid('uuid').primary().notNullable()
-      table.string('slug', 100).notNullable()
+      table.string('slug', 100).notNullable().collate('utf8mb4_bin')
       table.string('name', 100).notNullable()
       table.string('description', 500).nullable()
       // Nivel al que el rol es asignable: 'app' | 'organization' | 'unit'.
-      table.string('scope_type', 20).notNullable()
+      // Identidad: byte a byte, como el resto (2.5-B, auditor ⚪4).
+      table.string('scope_type', 20).notNullable().collate('utf8mb4_bin')
       // Rango de privilegio (mayor = más poder). Lo consume la policy de
       // asignación (role_assignment_policy): nadie otorga/quita por encima
       // de su propio rango.
       table.integer('rank').notNullable().defaultTo(0)
+      // Quién define el rol (3B · B1): `global` (el catálogo del config,
+      // `syncAuthzCatalog`) o la clave del scope que lo define
+      // (`<tipo>|<uuid>`, `defineScopedRole`). Un rol local solo existe
+      // dentro de su owner; dos tenants pueden definir `lead@unit` cada uno.
+      // Es identidad: byte a byte. `app` nunca es owner (sería global).
+      table.string('owner_scope_key', 80).notNullable().defaultTo('global').collate('utf8mb4_bin')
       table.timestamp('created_at').notNullable()
       table.timestamp('updated_at').notNullable()
 
-      table.unique(['slug', 'scope_type'], 'authz_roles_slug_scope_uq')
+      table.unique(['slug', 'scope_type', 'owner_scope_key'], 'authz_roles_slug_scope_owner_uq')
+      table.index(['owner_scope_key'], 'authz_roles_owner_idx')
     })
 
     this.schema.createTable('authz_permissions', (table) => {
       table.uuid('uuid').primary().notNullable()
       // Formato `recurso:accion` (la misma gramática que las abilities M3).
-      table.string('slug', 100).notNullable().unique()
+      table.string('slug', 100).notNullable().unique().collate('utf8mb4_bin')
       table.string('description', 500).nullable()
+      // Niveles (scope types) cuyos roles PUEDEN llevar este permiso (3B ·
+      // B5): JSON `["app","organization"]`, o NULL = cualquiera. Control de
+      // COMPOSICIÓN (sync, defineScopedRole, grant); jamás de evaluación.
+      table.string('assignable_at', 500).nullable()
       table.timestamp('created_at').notNullable()
       table.timestamp('updated_at').notNullable()
     })
@@ -65,22 +91,23 @@ export default class extends BaseSchema {
     this.schema.createTable('authz_assignments', (table) => {
       table.uuid('uuid').primary().notNullable()
       // Holder polimórfico: morph name (users/admins/integrations/...).
-      table.string('holder_type', 50).notNullable()
-      table.uuid('holder_uuid').notNullable()
+      table.string('holder_type', 50).notNullable().collate('utf8mb4_bin')
+      table.string('holder_uuid', 64).notNullable().collate('utf8mb4_bin')
       table
         .uuid('role_uuid')
         .notNullable()
         .references('uuid')
         .inTable('authz_roles')
         .onDelete('RESTRICT')
-      table.string('scope_type', 20).notNullable()
+      table.string('scope_type', 20).notNullable().collate('utf8mb4_bin')
       // Sin FK: el scope es polimórfico. El nivel 'app' usa el uuid CENTINELA
       // 00000000-... (no NULL): los motores SQL tratan cada NULL como
       // distinto y el unique no aplicaría — con centinela la idempotencia
       // del grant la respalda la constraint en TODOS los niveles (sin
       // features específicas de un motor, regla M6).
-      table.uuid('scope_uuid').notNullable()
-      table.timestamp('expires_at').nullable()
+      table.string('scope_uuid', 64).notNullable().collate('utf8mb4_bin')
+      // Milisegundos y sin tope de 2038 (ver cabecera): DATETIME(3).
+      table.datetime('expires_at', { precision: 3 }).nullable()
       table.timestamp('created_at').notNullable()
 
       table.unique(
@@ -93,17 +120,17 @@ export default class extends BaseSchema {
 
     this.schema.createTable('authz_denies', (table) => {
       table.uuid('uuid').primary().notNullable()
-      table.string('holder_type', 50).notNullable()
-      table.uuid('holder_uuid').notNullable()
+      table.string('holder_type', 50).notNullable().collate('utf8mb4_bin')
+      table.string('holder_uuid', 64).notNullable().collate('utf8mb4_bin')
       table
         .uuid('permission_uuid')
         .notNullable()
         .references('uuid')
         .inTable('authz_permissions')
         .onDelete('CASCADE')
-      table.string('scope_type', 20).notNullable()
+      table.string('scope_type', 20).notNullable().collate('utf8mb4_bin')
       // Centinela 00000000-... para 'app' (ver nota en authz_assignments).
-      table.uuid('scope_uuid').notNullable()
+      table.string('scope_uuid', 64).notNullable().collate('utf8mb4_bin')
       table.timestamp('created_at').notNullable()
 
       table.unique(
@@ -112,9 +139,109 @@ export default class extends BaseSchema {
       )
       table.index(['holder_type', 'holder_uuid'], 'authz_deny_holder_idx')
     })
+
+    // Versión COMPARTIDA del catálogo (2.1): una fila (`id = 1`) cuyo entero
+    // sube `syncAuthzCatalog` dentro de su transacción. Los memos del
+    // catálogo de todos los procesos la contrastan antes de servir: un sync
+    // en un worker se ve en los demás sin reiniciar ni pub/sub. Quien
+    // escriba `authz_*` a mano lo hace con `withAuthzCatalogWrite(async (trx)
+    // => …)`: misma transacción, versión subida como última sentencia. Sin
+    // esta fila (id = 1) toda pregunta es 503: por eso se siembra aquí.
+    //
+    // La fila `id = 2` es el **freeze DURABLE** (2.3): motivo, dueño
+    // (`<kind>:<pid>:<hex>`), lease (`freeze_until_ms`, null = sin caducidad)
+    // y `freeze_fence` (número de generación: `unfreeze` solo levanta el
+    // freeze cuyo fence+holder coinciden). Toda ESCRITURA del manager la lee
+    // antes de validar nada; sin esta fila toda escritura es 503 «migración
+    // 2.0 no aplicada» — tratarla como «no congelado» sería fail-open.
+    this.schema.createTable('authz_catalog_version', (table) => {
+      table.integer('id').primary().notNullable()
+      table.bigInteger('version').notNullable().defaultTo(0)
+      table.timestamp('updated_at').notNullable()
+      table.string('freeze_reason', 255).nullable()
+      table.string('freeze_holder', 120).nullable()
+      table.bigInteger('freeze_until_ms').nullable()
+      table.bigInteger('freeze_fence').notNullable().defaultTo(0)
+    })
+    this.defer(async (db) => {
+      await db.table('authz_catalog_version').insert({ id: 1, version: 0, updated_at: new Date() })
+      await db.table('authz_catalog_version').insert({ id: 2, version: 0, updated_at: new Date() })
+    })
+
+    // La config de relaciones PERSISTIDA (Fase 4-5, 🟡3): vive donde el gate de
+    // versión la ve (invariante 14), como el catálogo, para que CUALQUIER
+    // proceso que republique el modelo fusionado lea los tipos de relación de
+    // la BASE y NO los deje caer —el «modelo de uno, tuplas de otro» del
+    // auditor—. `spec` es el JSON de `defineRelationsConfig`; `model_id` es el
+    // último modelId del modelo fusionado publicado (el pin de la carrera
+    // `defineRelationsConfig`↔`syncAuthzCatalog`). Fila ausente = sin
+    // relaciones declaradas (opt-in), nunca un error.
+    this.schema.createTable('authz_relations_config', (table) => {
+      table.integer('id').primary().notNullable()
+      table.text('spec').notNullable()
+      table.string('model_id', 64).nullable()
+      table.timestamp('updated_at').notNullable()
+    })
+
+    // Tuplas de ReBAC (Fase 4): una fila por relación, INSERT/DELETE-ONLY (sin
+    // `expires_at`: la caducidad de relaciones quedó fuera de la 2.4). Sin FK:
+    // las relaciones NO cuelgan del catálogo (viven en su propio espacio de
+    // ids, disjunto de `authz_*` por construcción). Identidad byte a byte
+    // (`utf8mb4_bin`) como el resto (2.5 · J3). La partición (tenant) es la
+    // clave del scope; `subject_relation` con valor = userset (`group:g#member`),
+    // `subject_partition` = la partición del userset.
+    this.schema.createTable('authz_relations', (table) => {
+      table.uuid('uuid').primary().notNullable()
+      table.string('partition_key', 64).notNullable().collate('utf8mb4_bin')
+      table.string('object_type', 50).notNullable().collate('utf8mb4_bin')
+      table.string('object_uuid', 64).notNullable().collate('utf8mb4_bin')
+      table.string('relation', 50).notNullable().collate('utf8mb4_bin')
+      table.string('subject_type', 50).notNullable().collate('utf8mb4_bin')
+      table.string('subject_uuid', 64).notNullable().collate('utf8mb4_bin')
+      table.string('subject_relation', 50).nullable().collate('utf8mb4_bin')
+      table.string('subject_partition', 64).nullable().collate('utf8mb4_bin')
+      table.timestamp('created_at').notNullable()
+
+      table.unique(
+        ['partition_key', 'object_type', 'object_uuid', 'relation', 'subject_type', 'subject_uuid', 'subject_relation'],
+        'authz_rel_tuple_uq'
+      )
+      table.index(['partition_key', 'object_type', 'object_uuid', 'relation'], 'authz_rel_object_idx')
+      table.index(['partition_key', 'subject_type', 'subject_uuid'], 'authz_rel_subject_idx')
+    })
+
+    // El TRIGGER de partición, por dialecto. Defiende al escritor «a mano»: una
+    // fila con userset (`subject_relation` con valor) de OTRA partición que la
+    // de la tupla se rechaza en el motor. La DDL es radicalmente distinta en
+    // cada uno (SQLite `RAISE(ABORT)`, PostgreSQL función plpgsql + trigger,
+    // MySQL `SIGNAL SQLSTATE`), y el cuerpo `BEGIN…END` lleva `;` dentro: cada
+    // sentencia se ejecuta ENTERA con `rawQuery`, nunca por un runner que
+    // trocea por `;`.
+    this.defer(async (db) => {
+      const dialect = db.dialect.name
+      for (const statement of relationPartitionTriggerStatements(dialect)) {
+        await db.rawQuery(statement)
+      }
+    })
   }
 
   public async down() {
+    this.defer(async (db) => {
+      const drops =
+        db.dialect.name === 'postgres'
+          ? [
+              'DROP TRIGGER IF EXISTS authz_relations_partition_biu ON authz_relations',
+              'DROP FUNCTION IF EXISTS authz_relations_partition_guard()',
+            ]
+          : [
+              'DROP TRIGGER IF EXISTS authz_relations_partition_bi',
+              'DROP TRIGGER IF EXISTS authz_relations_partition_bu',
+            ]
+      for (const statement of drops) await db.rawQuery(statement)
+    })
+    this.schema.dropTable('authz_relations')
+    this.schema.dropTable('authz_relations_config')
+    this.schema.dropTable('authz_catalog_version')
     this.schema.dropTable('authz_denies')
     this.schema.dropTable('authz_assignments')
     this.schema.dropTable('authz_role_permissions')
@@ -122,3 +249,46 @@ export default class extends BaseSchema {
     this.schema.dropTable('authz_roles')
   }
 }
+
+/**
+ * La DDL del trigger de partición de `authz_relations` por dialecto. Es la
+ * MISMA que `relationPartitionTrigger` del paquete
+ * (`@jantstack/adonis-authz` → `src/drivers/database_relations_driver.ts`);
+ * se inlinea aquí porque una migración es una foto congelada y no importa
+ * código del paquete. Dialecto no medido ⇒ lanza (nunca una tabla sin defensa).
+ */
+function relationPartitionTriggerStatements(dialect) {
+  const msg = 'authz_relations: un userset no puede pertenecer a otra partición que su tupla'
+  if (dialect === 'sqlite3' || dialect === 'better-sqlite3') {
+    const body = (event) =>
+      `CREATE TRIGGER authz_relations_partition_b${event === 'INSERT' ? 'i' : 'u'} ` +
+      `BEFORE ${event} ON authz_relations FOR EACH ROW ` +
+      `WHEN NEW.subject_relation IS NOT NULL AND NEW.subject_partition IS NOT NEW.partition_key ` +
+      `BEGIN SELECT RAISE(ABORT, '${msg}'); END`
+    return [body('INSERT'), body('UPDATE')]
+  }
+  if (dialect === 'postgres') {
+    return [
+      `CREATE OR REPLACE FUNCTION authz_relations_partition_guard() RETURNS trigger LANGUAGE plpgsql AS $authz$ ` +
+        `BEGIN ` +
+        `IF NEW.subject_relation IS NOT NULL AND NEW.subject_partition IS DISTINCT FROM NEW.partition_key THEN ` +
+        `RAISE EXCEPTION '${msg} (subject_partition=%, partition_key=%)', NEW.subject_partition, NEW.partition_key; ` +
+        `END IF; RETURN NEW; END; $authz$`,
+      `CREATE TRIGGER authz_relations_partition_biu BEFORE INSERT OR UPDATE ON authz_relations ` +
+        `FOR EACH ROW EXECUTE FUNCTION authz_relations_partition_guard()`,
+    ]
+  }
+  if (dialect === 'mysql' || dialect === 'mysql2') {
+    const body = (event) =>
+      `CREATE TRIGGER authz_relations_partition_b${event === 'INSERT' ? 'i' : 'u'} ` +
+      `BEFORE ${event} ON authz_relations FOR EACH ROW ` +
+      `BEGIN ` +
+      `IF NEW.subject_relation IS NOT NULL AND NOT (NEW.subject_partition <=> NEW.partition_key) THEN ` +
+      `SIGNAL SQLSTATE '45000' SET MESSAGE_TEXT = '${msg}'; ` +
+      `END IF; END`
+    return [body('INSERT'), body('UPDATE')]
+  }
+  throw new Error(
+    `authz_relations: dialecto '${dialect}' sin trigger de partición medido (hoy: PostgreSQL, MySQL 8 y SQLite).`
+  )
+}