@jantstack/adonis-authz 1.1.0 → 2.4.0-alpha.1

package/build/commands/authz_relations_reconcile.js

@@ -0,0 +1,225 @@
+var __decorate = (this && this.__decorate) || function (decorators, target, key, desc) {
+    var c = arguments.length, r = c < 3 ? target : desc === null ? desc = Object.getOwnPropertyDescriptor(target, key) : desc, d;
+    if (typeof Reflect === "object" && typeof Reflect.decorate === "function") r = Reflect.decorate(decorators, target, key, desc);
+    else for (var i = decorators.length - 1; i >= 0; i--) if (d = decorators[i]) r = (c < 3 ? d(r) : c > 3 ? d(target, key, r) : d(target, key)) || r;
+    return c > 3 && r && Object.defineProperty(target, key, r), r;
+};
+var __metadata = (this && this.__metadata) || function (k, v) {
+    if (typeof Reflect === "object" && typeof Reflect.metadata === "function") return Reflect.metadata(k, v);
+};
+import { BaseCommand, flags } from '@adonisjs/core/ace';
+/**
+ * Las líneas del reporte de `authz:relations:reconcile` y si la pasada es
+ * «limpia», en una función PURA (mismo patrón que `reconcileLines` de roles):
+ * es lo único del comando que DECIDE algo, y así tiene su caso sin montar un
+ * ace.
+ *
+ * Qué cuenta como deriva —y por tanto como exit ≠ 0—:
+ *  - **`modelDrift`** (siempre): un tipo de relación presente en el ORIGEN que
+ *    la config del DESTINO no declara. No cabe en su modelo fusionado, así que
+ *    esas tuplas nunca resolverían allí — es la deriva del presupuesto de
+ *    modelo compartido, no un detalle cosmético;
+ *  - en `--dry-run`, **cualquier cosa que la pasada haría** (escribir, borrar o
+ *    dejar `extra` sin `--prune`): es el verificador, y para eso está en CI.
+ *
+ * `extra` en una pasada que SÍ escribe (sin `--prune`) se AVISA —«repite con
+ * --prune»— pero no tumba: el operador eligió no podar. Es la misma cortesía
+ * que `authz:reconcile` de roles con la ventana del relay.
+ */
+export function relationsReconcileLines(report) {
+    const lines = [];
+    lines.push({
+        level: 'log',
+        message: `relaciones: escritas ${report.written}, borradas ${report.deleted}, ` +
+            `iguales ${report.unchanged}, sobran ${report.extra}`,
+    });
+    for (const type of report.modelDrift) {
+        lines.push({
+            level: 'error',
+            message: `El tipo de objeto '${type}' está en el ORIGEN pero NO en la config de relaciones del DESTINO: ` +
+                'no cabe en su modelo fusionado y esas tuplas no resolverían allí. Declara el tipo en ' +
+                'defineRelationsConfig del destino (y republica su modelo) antes de migrarlas.',
+        });
+    }
+    // R-17: el seguro de borrado masivo. En una pasada REAL sin --allow-mass-delete
+    // esto ya habría lanzado 500 antes de llegar aquí; en --dry-run NO lanza y lo
+    // marca, así que el verificador tiene que sacarlo como deriva (exit ≠ 0).
+    if (report.massDelete) {
+        lines.push({
+            level: 'error',
+            message: `--prune borraría ${report.extra || report.deleted} tupla(s) del destino y el ORIGEN no aportó NI UNA ` +
+                'utilizable: la firma de un --from equivocado o de un store vacío. En una pasada real es 500 ' +
+                'E_AUTHZ_MASS_RECONCILE_REFUSED; si de verdad quieres vaciar el destino, --allow-mass-delete.',
+        });
+    }
+    if (report.extra > 0 && !report.dryRun) {
+        lines.push({
+            level: 'warning',
+            message: `${report.extra} tupla(s) del destino que el origen ya no respalda siguen ahí (no pasaste --prune): ` +
+                'repite con --prune si quieres borrarlas.',
+        });
+    }
+    const cambios = report.written + report.deleted + (report.dryRun ? report.extra : 0);
+    const clean = report.modelDrift.length === 0 && !report.massDelete && (!report.dryRun || cambios === 0);
+    return { lines, clean };
+}
+/**
+ * **`authz:relations:reconcile`** (Fase 4, lote 4-6) — migra las tuplas de
+ * RELACIÓN de un `RelationsDriver` a otro, idempotente y bidireccional, nunca
+ * silenciosa. Es el comando de plataforma que envuelve `reconcileRelations`
+ * (lote 4-5), análogo a `authz:reconcile` de roles pero para el puerto
+ * `RelationsDriver`.
+ *
+ *   node ace authz:relations:reconcile --to=openfga --dry-run   # el VERIFICADOR
+ *   node ace authz:relations:reconcile --to=openfga             # migra
+ *   node ace authz:relations:reconcile --to=openfga --prune     # y borra lo que el origen ya no respalda
+ *
+ * `--to`/`--from` nombran claves de `relations.drivers` en
+ * `config/authorization.ts` (NO las de `drivers` de roles): las relaciones
+ * tienen su propio puerto y sus propios drivers. La factory del driver
+ * `openfga` de relaciones entra por el subpath `/openfga` DENTRO de ella, así
+ * que este comando NUNCA importa el SDK (pureza).
+ *
+ * **Solo migra HECHOS de relación**: no hay árbol ni catálogo en `relations/`,
+ * así que —a diferencia de `authz:reconcile` de roles— no hay fases de marcador
+ * de raíz, proyección ni árbol. La migración es **POR partición**
+ * (mono-tenant: `APP_SCOPE`, el default); para migrar otra partición se pasan
+ * `--partition-type`/`--partition-uuid`, y migrar TODAS es iterar por el
+ * consumidor (una migración de tenant es un caso natural).
+ *
+ * **`--dry-run` es el verificador y es read-only por contrato** (como el de
+ * roles, S18): mismo recorrido, cero escrituras, los mismos números; NO hay
+ * `--fix`. Además vigila la **deriva del modelo fusionado** (`modelDrift`): un
+ * tipo del origen que el destino no declara sale como error.
+ *
+ * Es una operación de PLATAFORMA: no lleva actor, no se expone por HTTP.
+ */
+export default class AuthzRelationsReconcile extends BaseCommand {
+    static commandName = 'authz:relations:reconcile';
+    static description = 'Rebuild (or verify, with --dry-run) the relation tuples of one RelationsDriver from another';
+    static options = {
+        startApp: true,
+    };
+    async run() {
+        if (!this.to) {
+            this.logger.error("Falta --to: 'node ace authz:relations:reconcile --to=openfga'. Es la clave del driver DESTINO en " +
+                '`relations.drivers` de config/authorization.ts.');
+            this.exitCode = 1;
+            return;
+        }
+        const config = this.app.config.get('authorization');
+        const factories = config?.relations?.drivers ?? {};
+        const keys = Object.keys(factories);
+        if (keys.length === 0) {
+            this.logger.error('No hay `relations.drivers` en config/authorization.ts: declara los drivers de relaciones (por clave) ' +
+                'para poder migrar sus tuplas.');
+            this.exitCode = 1;
+            return;
+        }
+        // El ORIGEN: `--from` si se pasa; si no, el ÚNICO que no es el destino.
+        let fromKey = this.from;
+        if (!fromKey) {
+            const candidates = keys.filter((k) => k !== this.to);
+            if (candidates.length !== 1) {
+                this.logger.error(`No se puede elegir el ORIGEN solo: hay ${candidates.length} candidatos (${candidates.join(', ') || 'ninguno'}). ` +
+                    'Nómbralo con --from=<clave>: de dónde salen las tuplas decide lo que queda escrito.');
+                this.exitCode = 1;
+                return;
+            }
+            fromKey = candidates[0];
+        }
+        if (!factories[this.to]) {
+            this.logger.error(`El destino '${this.to}' no es una clave de relations.drivers (${keys.join(', ')}).`);
+            this.exitCode = 1;
+            return;
+        }
+        if (!factories[fromKey]) {
+            this.logger.error(`El origen '${fromKey}' no es una clave de relations.drivers (${keys.join(', ')}).`);
+            this.exitCode = 1;
+            return;
+        }
+        // La partición (mono-tenant por defecto). El reconcile es POR partición.
+        const partition = this.partitionType && this.partitionType !== 'app'
+            ? { type: this.partitionType, uuid: this.partitionUuid ?? '' }
+            : { type: 'app', uuid: null };
+        const { reconcileRelations } = await import('../src/relations/reconcile.js');
+        // La config del DESTINO, para vigilar la deriva del modelo fusionado en
+        // --dry-run: es la persistida (una sola en el store compartido).
+        const { readRelationsConfig } = await import('../src/relations_config_store.js');
+        const toConfig = await readRelationsConfig().catch(() => undefined);
+        const from = await factories[fromKey]();
+        const to = await factories[this.to]();
+        let report;
+        try {
+            report = await reconcileRelations({
+                from,
+                to,
+                partition,
+                dryRun: this.dryRun === true,
+                prune: this.prune === true,
+                allowMassDelete: this.allowMassDelete === true,
+                ...(toConfig ? { toConfig } : {}),
+            });
+        }
+        catch (error) {
+            // R-17: el seguro de borrado masivo (500) sale como error de comando, no
+            // como stack crudo. `--allow-mass-delete` es la salida humana.
+            if (error?.code === 'E_AUTHZ_MASS_RECONCILE_REFUSED') {
+                this.logger.error(String(error.message ?? error));
+                this.exitCode = 1;
+                return;
+            }
+            throw error;
+        }
+        const { lines, clean } = relationsReconcileLines(report);
+        for (const { level, message } of lines)
+            this.logger[level](message);
+        const resumen = `escritas ${report.written}, borradas ${report.deleted}, iguales ${report.unchanged}, sobran ${report.extra}`;
+        if (report.dryRun) {
+            if (clean) {
+                this.logger.success(`Sin deriva: '${this.to}' coincide con '${fromKey}' (${resumen}).`);
+                return;
+            }
+            this.logger.error(`DERIVA con '${this.to}': ${resumen}. No se ha escrito nada (--dry-run).`);
+            this.exitCode = 1;
+            return;
+        }
+        this.logger.success(`Relaciones de '${this.to}' reconciliadas desde '${fromKey}': ${resumen}.`);
+        if (!clean) {
+            this.logger.warning('Queda algo que esta pasada no arregla sola (mira las líneas de arriba).');
+            this.exitCode = 1;
+        }
+    }
+}
+__decorate([
+    flags.string({ description: 'Destination driver: a key of `relations.drivers` in config/authorization.ts' }),
+    __metadata("design:type", Object)
+], AuthzRelationsReconcile.prototype, "to", void 0);
+__decorate([
+    flags.string({ description: 'Source driver (a key of `relations.drivers`); required when more than one is registered' }),
+    __metadata("design:type", Object)
+], AuthzRelationsReconcile.prototype, "from", void 0);
+__decorate([
+    flags.boolean({ name: 'dry-run', description: 'Report what it would do and write nothing (this is the verifier)' }),
+    __metadata("design:type", Object)
+], AuthzRelationsReconcile.prototype, "dryRun", void 0);
+__decorate([
+    flags.boolean({ description: 'Also delete the tuples the source no longer backs (leftovers)' }),
+    __metadata("design:type", Object)
+], AuthzRelationsReconcile.prototype, "prune", void 0);
+__decorate([
+    flags.boolean({
+        name: 'allow-mass-delete',
+        description: 'Allow --prune to empty the destination when the source has no usable tuple (mass-delete safeguard)',
+    }),
+    __metadata("design:type", Object)
+], AuthzRelationsReconcile.prototype, "allowMassDelete", void 0);
+__decorate([
+    flags.string({ name: 'partition-type', description: 'Partition (tenant) scope type to migrate; default: app (mono-tenant)' }),
+    __metadata("design:type", Object)
+], AuthzRelationsReconcile.prototype, "partitionType", void 0);
+__decorate([
+    flags.string({ name: 'partition-uuid', description: 'Partition (tenant) scope uuid; required with --partition-type' }),
+    __metadata("design:type", Object)
+], AuthzRelationsReconcile.prototype, "partitionUuid", void 0);
+//# sourceMappingURL=authz_relations_reconcile.js.map

package/build/commands/authz_relations_reconcile.js.map

@@ -0,0 +1 @@
+{"version":3,"file":"authz_relations_reconcile.js","sourceRoot":"","sources":["../../commands/authz_relations_reconcile.ts"],"names":[],"mappings":";;;;;;;;;AAAA,OAAO,EAAE,WAAW,EAAE,KAAK,EAAE,MAAM,oBAAoB,CAAA;AAIvD;;;;;;;;;;;;;;;;;GAiBG;AACH,MAAM,UAAU,uBAAuB,CAAC,MAAgC;IAItE,MAAM,KAAK,GAA+E,EAAE,CAAA;IAE5F,KAAK,CAAC,IAAI,CAAC;QACT,KAAK,EAAE,KAAK;QACZ,OAAO,EACL,wBAAwB,MAAM,CAAC,OAAO,cAAc,MAAM,CAAC,OAAO,IAAI;YACtE,WAAW,MAAM,CAAC,SAAS,YAAY,MAAM,CAAC,KAAK,EAAE;KACxD,CAAC,CAAA;IAEF,KAAK,MAAM,IAAI,IAAI,MAAM,CAAC,UAAU,EAAE,CAAC;QACrC,KAAK,CAAC,IAAI,CAAC;YACT,KAAK,EAAE,OAAO;YACd,OAAO,EACL,sBAAsB,IAAI,sEAAsE;gBAChG,uFAAuF;gBACvF,+EAA+E;SAClF,CAAC,CAAA;IACJ,CAAC;IAED,gFAAgF;IAChF,8EAA8E;IAC9E,0EAA0E;IAC1E,IAAI,MAAM,CAAC,UAAU,EAAE,CAAC;QACtB,KAAK,CAAC,IAAI,CAAC;YACT,KAAK,EAAE,OAAO;YACd,OAAO,EACL,oBAAoB,MAAM,CAAC,KAAK,IAAI,MAAM,CAAC,OAAO,qDAAqD;gBACvG,8FAA8F;gBAC9F,8FAA8F;SACjG,CAAC,CAAA;IACJ,CAAC;IAED,IAAI,MAAM,CAAC,KAAK,GAAG,CAAC,IAAI,CAAC,MAAM,CAAC,MAAM,EAAE,CAAC;QACvC,KAAK,CAAC,IAAI,CAAC;YACT,KAAK,EAAE,SAAS;YAChB,OAAO,EACL,GAAG,MAAM,CAAC,KAAK,sFAAsF;gBACrG,0CAA0C;SAC7C,CAAC,CAAA;IACJ,CAAC;IAED,MAAM,OAAO,GAAG,MAAM,CAAC,OAAO,GAAG,MAAM,CAAC,OAAO,GAAG,CAAC,MAAM,CAAC,MAAM,CAAC,CAAC,CAAC,MAAM,CAAC,KAAK,CAAC,CAAC,CAAC,CAAC,CAAC,CAAA;IACpF,MAAM,KAAK,GAAG,MAAM,CAAC,UAAU,CAAC,MAAM,KAAK,CAAC,IAAI,CAAC,MAAM,CAAC,UAAU,IAAI,CAAC,CAAC,MAAM,CAAC,MAAM,IAAI,OAAO,KAAK,CAAC,CAAC,CAAA;IACvG,OAAO,EAAE,KAAK,EAAE,KAAK,EAAE,CAAA;AACzB,CAAC;AAED;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;GA8BG;AACH,MAAM,CAAC,OAAO,OAAO,uBAAwB,SAAQ,WAAW;IAC9D,MAAM,CAAC,WAAW,GAAG,2BAA2B,CAAA;IAChD,MAAM,CAAC,WAAW,GAAG,6FAA6F,CAAA;IAElH,MAAM,CAAC,OAAO,GAAmB;QAC/B,QAAQ,EAAE,IAAI;KACf,CAAA;IA0BD,KAAK,CAAC,GAAG;QACP,IAAI,CAAC,IAAI,CAAC,EAAE,EAAE,CAAC;YACb,IAAI,CAAC,MAAM,CAAC,KAAK,CACf,mGAAmG;gBACjG,iDAAiD,CACpD,CAAA;YACD,IAAI,CAAC,QAAQ,GAAG,CAAC,CAAA;YACjB,OAAM;QACR,CAAC;QAED,MAAM,MAAM,GAAG,IAAI,CAAC,GAAG,CAAC,MAAM,CAAC,GAAG,CAAC,eAAe,CAAQ,CAAA;QAC1D,MAAM,SAAS,GAA8B,MAAM,EAAE,SAAS,EAAE,OAAO,IAAI,EAAE,CAAA;QAC7E,MAAM,IAAI,GAAG,MAAM,CAAC,IAAI,CAAC,SAAS,CAAC,CAAA;QACnC,IAAI,IAAI,CAAC,MAAM,KAAK,CAAC,EAAE,CAAC;YACtB,IAAI,CAAC,MAAM,CAAC,KAAK,CACf,uGAAuG;gBACrG,+BAA+B,CAClC,CAAA;YACD,IAAI,CAAC,QAAQ,GAAG,CAAC,CAAA;YACjB,OAAM;QACR,CAAC;QAED,wEAAwE;QACxE,IAAI,OAAO,GAAG,IAAI,CAAC,IAAI,CAAA;QACvB,IAAI,CAAC,OAAO,EAAE,CAAC;YACb,MAAM,UAAU,GAAG,IAAI,CAAC,MAAM,CAAC,CAAC,CAAC,EAAE,EAAE,CAAC,CAAC,KAAK,IAAI,CAAC,EAAE,CAAC,CAAA;YACpD,IAAI,UAAU,CAAC,MAAM,KAAK,CAAC,EAAE,CAAC;gBAC5B,IAAI,CAAC,MAAM,CAAC,KAAK,CACf,0CAA0C,UAAU,CAAC,MAAM,gBAAgB,UAAU,CAAC,IAAI,CAAC,IAAI,CAAC,IAAI,SAAS,KAAK;oBAChH,qFAAqF,CACxF,CAAA;gBACD,IAAI,CAAC,QAAQ,GAAG,CAAC,CAAA;gBACjB,OAAM;YACR,CAAC;YACD,OAAO,GAAG,UAAU,CAAC,CAAC,CAAC,CAAA;QACzB,CAAC;QACD,IAAI,CAAC,SAAS,CAAC,IAAI,CAAC,EAAE,CAAC,EAAE,CAAC;YACxB,IAAI,CAAC,MAAM,CAAC,KAAK,CAAC,eAAe,IAAI,CAAC,EAAE,2CAA2C,IAAI,CAAC,IAAI,CAAC,IAAI,CAAC,IAAI,CAAC,CAAA;YACvG,IAAI,CAAC,QAAQ,GAAG,CAAC,CAAA;YACjB,OAAM;QACR,CAAC;QACD,IAAI,CAAC,SAAS,CAAC,OAAO,CAAC,EAAE,CAAC;YACxB,IAAI,CAAC,MAAM,CAAC,KAAK,CAAC,cAAc,OAAO,2CAA2C,IAAI,CAAC,IAAI,CAAC,IAAI,CAAC,IAAI,CAAC,CAAA;YACtG,IAAI,CAAC,QAAQ,GAAG,CAAC,CAAA;YACjB,OAAM;QACR,CAAC;QAED,yEAAyE;QACzE,MAAM,SAAS,GACb,IAAI,CAAC,aAAa,IAAI,IAAI,CAAC,aAAa,KAAK,KAAK;YAChD,CAAC,CAAC,EAAE,IAAI,EAAE,IAAI,CAAC,aAAa,EAAE,IAAI,EAAE,IAAI,CAAC,aAAa,IAAI,EAAE,EAAE;YAC9D,CAAC,CAAC,EAAE,IAAI,EAAE,KAAc,EAAE,IAAI,EAAE,IAAI,EAAE,CAAA;QAE1C,MAAM,EAAE,kBAAkB,EAAE,GAAG,MAAM,MAAM,CAAC,+BAA+B,CAAC,CAAA;QAC5E,wEAAwE;QACxE,iEAAiE;QACjE,MAAM,EAAE,mBAAmB,EAAE,GAAG,MAAM,MAAM,CAAC,kCAAkC,CAAC,CAAA;QAChF,MAAM,QAAQ,GAAG,MAAM,mBAAmB,EAAE,CAAC,KAAK,CAAC,GAAG,EAAE,CAAC,SAAS,CAAC,CAAA;QAEnE,MAAM,IAAI,GAAG,MAAM,SAAS,CAAC,OAAO,CAAC,EAAE,CAAA;QACvC,MAAM,EAAE,GAAG,MAAM,SAAS,CAAC,IAAI,CAAC,EAAE,CAAC,EAAE,CAAA;QAErC,IAAI,MAAM,CAAA;QACV,IAAI,CAAC;YACH,MAAM,GAAG,MAAM,kBAAkB,CAAC;gBAChC,IAAI;gBACJ,EAAE;gBACF,SAAS;gBACT,MAAM,EAAE,IAAI,CAAC,MAAM,KAAK,IAAI;gBAC5B,KAAK,EAAE,IAAI,CAAC,KAAK,KAAK,IAAI;gBAC1B,eAAe,EAAE,IAAI,CAAC,eAAe,KAAK,IAAI;gBAC9C,GAAG,CAAC,QAAQ,CAAC,CAAC,CAAC,EAAE,QAAQ,EAAE,CAAC,CAAC,CAAC,EAAE,CAAC;aAClC,CAAC,CAAA;QACJ,CAAC;QAAC,OAAO,KAAU,EAAE,CAAC;YACpB,yEAAyE;YACzE,+DAA+D;YAC/D,IAAI,KAAK,EAAE,IAAI,KAAK,gCAAgC,EAAE,CAAC;gBACrD,IAAI,CAAC,MAAM,CAAC,KAAK,CAAC,MAAM,CAAC,KAAK,CAAC,OAAO,IAAI,KAAK,CAAC,CAAC,CAAA;gBACjD,IAAI,CAAC,QAAQ,GAAG,CAAC,CAAA;gBACjB,OAAM;YACR,CAAC;YACD,MAAM,KAAK,CAAA;QACb,CAAC;QAED,MAAM,EAAE,KAAK,EAAE,KAAK,EAAE,GAAG,uBAAuB,CAAC,MAAM,CAAC,CAAA;QACxD,KAAK,MAAM,EAAE,KAAK,EAAE,OAAO,EAAE,IAAI,KAAK;YAAE,IAAI,CAAC,MAAM,CAAC,KAAK,CAAC,CAAC,OAAO,CAAC,CAAA;QAEnE,MAAM,OAAO,GAAG,YAAY,MAAM,CAAC,OAAO,cAAc,MAAM,CAAC,OAAO,aAAa,MAAM,CAAC,SAAS,YAAY,MAAM,CAAC,KAAK,EAAE,CAAA;QAC7H,IAAI,MAAM,CAAC,MAAM,EAAE,CAAC;YAClB,IAAI,KAAK,EAAE,CAAC;gBACV,IAAI,CAAC,MAAM,CAAC,OAAO,CAAC,gBAAgB,IAAI,CAAC,EAAE,mBAAmB,OAAO,MAAM,OAAO,IAAI,CAAC,CAAA;gBACvF,OAAM;YACR,CAAC;YACD,IAAI,CAAC,MAAM,CAAC,KAAK,CAAC,eAAe,IAAI,CAAC,EAAE,MAAM,OAAO,sCAAsC,CAAC,CAAA;YAC5F,IAAI,CAAC,QAAQ,GAAG,CAAC,CAAA;YACjB,OAAM;QACR,CAAC;QACD,IAAI,CAAC,MAAM,CAAC,OAAO,CAAC,kBAAkB,IAAI,CAAC,EAAE,0BAA0B,OAAO,MAAM,OAAO,GAAG,CAAC,CAAA;QAC/F,IAAI,CAAC,KAAK,EAAE,CAAC;YACX,IAAI,CAAC,MAAM,CAAC,OAAO,CAAC,yEAAyE,CAAC,CAAA;YAC9F,IAAI,CAAC,QAAQ,GAAG,CAAC,CAAA;QACnB,CAAC;IACH,CAAC;;AA7HO;IADP,KAAK,CAAC,MAAM,CAAC,EAAE,WAAW,EAAE,6EAA6E,EAAE,CAAC;;mDAC/E;AAGtB;IADP,KAAK,CAAC,MAAM,CAAC,EAAE,WAAW,EAAE,yFAAyF,EAAE,CAAC;;qDACzF;AAGxB;IADP,KAAK,CAAC,OAAO,CAAC,EAAE,IAAI,EAAE,SAAS,EAAE,WAAW,EAAE,kEAAkE,EAAE,CAAC;;uDACjF;AAG3B;IADP,KAAK,CAAC,OAAO,CAAC,EAAE,WAAW,EAAE,+DAA+D,EAAE,CAAC;;sDAC9D;AAM1B;IAJP,KAAK,CAAC,OAAO,CAAC;QACb,IAAI,EAAE,mBAAmB;QACzB,WAAW,EAAE,oGAAoG;KAClH,CAAC;;gEAC0C;AAGpC;IADP,KAAK,CAAC,MAAM,CAAC,EAAE,IAAI,EAAE,gBAAgB,EAAE,WAAW,EAAE,sEAAsE,EAAE,CAAC;;8DACrF;AAGjC;IADP,KAAK,CAAC,MAAM,CAAC,EAAE,IAAI,EAAE,gBAAgB,EAAE,WAAW,EAAE,+DAA+D,EAAE,CAAC;;8DAC9E"}

package/build/commands/authz_scopes_relay.d.ts

@@ -0,0 +1,47 @@
+import { BaseCommand } from '@adonisjs/core/ace';
+import { CommandOptions } from '@adonisjs/core/types/ace';
+/**
+ * Drena la OUTBOX del árbol de scopes y aplica los cambios al driver
+ * (3b-2d; panel 2, cruce 4 · S5).
+ *
+ * Con `scopes.outbox` declarada, `authorization.scopes.attached/moved/
+ * detached` no escriben en el backend: encolan el cambio DENTRO de la
+ * transacción del consumidor. Este comando es quien lo propaga.
+ *
+ *   node ace authz:scopes:relay                 # drena
+ *   node ace authz:scopes:relay --dry-run       # solo dice qué haría
+ *   node ace authz:scopes:relay --limit 500     # una pasada acotada
+ *
+ * Pensado para un supervisor (un bucle, un cron corto, un worker): la pasada
+ * es REANUDABLE —lo que no entra sigue pendiente—. Un cambio que falla
+ * **aplaza lo que depende de él** (todo cambio posterior que nombre alguno de
+ * sus scopes) y deja pasar el resto: hasta 3b-2h paraba la pasada entera, y
+ * eso convertía una entrada irreparable en un tapón permanente para todos los
+ * tenants (3b-2h · 🔴 2). Sale con código ≠ 0 si algo falló o hay entradas
+ * APARCADAS, para que el supervisor se entere.
+ *
+ * **Escritor ÚNICO**: si la outbox sabe dar lease (`sqlScopeOutbox` lo hace),
+ * una segunda pasada simultánea no hace nada y lo dice. Sin lease, no lances
+ * dos a la vez: la rezagada re-aplica cambios viejos sobre el árbol nuevo.
+ *
+ * **Lo que este comando no puede arreglar**: entre el commit del consumidor
+ * y la pasada hay un lag (segundos) en el que el backend decide con el árbol
+ * VIEJO. Es un fail-open temporal —el tenant antiguo conserva acceso tras un
+ * `moved`, los denies heredados no aplican tras un `attached`—. No hay 2PC.
+ * Un ciclo más corto acorta esa ventana **mientras la cola avance**: lo que
+ * falla o se aparca no está acotado por el ciclo y hay que mirarlo.
+ *
+ * Es una operación de PLATAFORMA (como `authz:catalog:prune-orphans`): se
+ * salta `requireActor`/`requireWithin` porque la policy ya se juzgó al
+ * ENCOLAR, con el árbol y la sesión de aquel momento. No se expone por HTTP.
+ */
+export default class AuthzScopesRelay extends BaseCommand {
+    static commandName: string;
+    static description: string;
+    static options: CommandOptions;
+    dryRun: boolean | undefined;
+    limit: number | undefined;
+    batchSize: number | undefined;
+    run(): Promise<void>;
+}
+//# sourceMappingURL=authz_scopes_relay.d.ts.map

package/build/commands/authz_scopes_relay.d.ts.map

@@ -0,0 +1 @@
+{"version":3,"file":"authz_scopes_relay.d.ts","sourceRoot":"","sources":["../../commands/authz_scopes_relay.ts"],"names":[],"mappings":"AAAA,OAAO,EAAE,WAAW,EAAS,MAAM,oBAAoB,CAAA;AACvD,OAAO,EAAE,cAAc,EAAE,MAAM,0BAA0B,CAAA;AAEzD;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;GAkCG;AACH,MAAM,CAAC,OAAO,OAAO,gBAAiB,SAAQ,WAAW;IACvD,MAAM,CAAC,WAAW,SAAuB;IACzC,MAAM,CAAC,WAAW,SAAiF;IAEnG,MAAM,CAAC,OAAO,EAAE,cAAc,CAE7B;IAMO,MAAM,EAAE,OAAO,GAAG,SAAS,CAAA;IAG3B,KAAK,EAAE,MAAM,GAAG,SAAS,CAAA;IAGzB,SAAS,EAAE,MAAM,GAAG,SAAS,CAAA;IAE/B,GAAG;CAkFV"}

package/build/commands/authz_scopes_relay.js

@@ -0,0 +1,141 @@
+var __decorate = (this && this.__decorate) || function (decorators, target, key, desc) {
+    var c = arguments.length, r = c < 3 ? target : desc === null ? desc = Object.getOwnPropertyDescriptor(target, key) : desc, d;
+    if (typeof Reflect === "object" && typeof Reflect.decorate === "function") r = Reflect.decorate(decorators, target, key, desc);
+    else for (var i = decorators.length - 1; i >= 0; i--) if (d = decorators[i]) r = (c < 3 ? d(r) : c > 3 ? d(target, key, r) : d(target, key)) || r;
+    return c > 3 && r && Object.defineProperty(target, key, r), r;
+};
+var __metadata = (this && this.__metadata) || function (k, v) {
+    if (typeof Reflect === "object" && typeof Reflect.metadata === "function") return Reflect.metadata(k, v);
+};
+import { BaseCommand, flags } from '@adonisjs/core/ace';
+/**
+ * Drena la OUTBOX del árbol de scopes y aplica los cambios al driver
+ * (3b-2d; panel 2, cruce 4 · S5).
+ *
+ * Con `scopes.outbox` declarada, `authorization.scopes.attached/moved/
+ * detached` no escriben en el backend: encolan el cambio DENTRO de la
+ * transacción del consumidor. Este comando es quien lo propaga.
+ *
+ *   node ace authz:scopes:relay                 # drena
+ *   node ace authz:scopes:relay --dry-run       # solo dice qué haría
+ *   node ace authz:scopes:relay --limit 500     # una pasada acotada
+ *
+ * Pensado para un supervisor (un bucle, un cron corto, un worker): la pasada
+ * es REANUDABLE —lo que no entra sigue pendiente—. Un cambio que falla
+ * **aplaza lo que depende de él** (todo cambio posterior que nombre alguno de
+ * sus scopes) y deja pasar el resto: hasta 3b-2h paraba la pasada entera, y
+ * eso convertía una entrada irreparable en un tapón permanente para todos los
+ * tenants (3b-2h · 🔴 2). Sale con código ≠ 0 si algo falló o hay entradas
+ * APARCADAS, para que el supervisor se entere.
+ *
+ * **Escritor ÚNICO**: si la outbox sabe dar lease (`sqlScopeOutbox` lo hace),
+ * una segunda pasada simultánea no hace nada y lo dice. Sin lease, no lances
+ * dos a la vez: la rezagada re-aplica cambios viejos sobre el árbol nuevo.
+ *
+ * **Lo que este comando no puede arreglar**: entre el commit del consumidor
+ * y la pasada hay un lag (segundos) en el que el backend decide con el árbol
+ * VIEJO. Es un fail-open temporal —el tenant antiguo conserva acceso tras un
+ * `moved`, los denies heredados no aplican tras un `attached`—. No hay 2PC.
+ * Un ciclo más corto acorta esa ventana **mientras la cola avance**: lo que
+ * falla o se aparca no está acotado por el ciclo y hay que mirarlo.
+ *
+ * Es una operación de PLATAFORMA (como `authz:catalog:prune-orphans`): se
+ * salta `requireActor`/`requireWithin` porque la policy ya se juzgó al
+ * ENCOLAR, con el árbol y la sesión de aquel momento. No se expone por HTTP.
+ */
+export default class AuthzScopesRelay extends BaseCommand {
+    static commandName = 'authz:scopes:relay';
+    static description = 'Drain the scope-tree outbox and apply the pending tree changes to the driver';
+    static options = {
+        startApp: true,
+    };
+    async run() {
+        const { default: authorization } = await import('../services/main.js');
+        const report = await authorization.relayScopeChanges({
+            dryRun: this.dryRun === true,
+            limit: this.limit,
+            batchSize: this.batchSize,
+        });
+        const linea = (item) => {
+            const { change } = item;
+            const scope = (s) => `${s.type}:${s.uuid ?? ''}`;
+            const destino = change.op === 'detached' ? '' : ` → ${scope(change.parent)}`;
+            const intentos = item.attempts ? ` (intentos previos: ${item.attempts})` : '';
+            return `#${item.id} ${change.op} ${scope(change.child)}${destino}${intentos}`;
+        };
+        // Lo APARCADO se dice siempre, aplique o no esta pasada: es una
+        // divergencia permanente del árbol del backend, no un incidente pasado.
+        for (const item of report.dead) {
+            this.logger.error(`APARCADO tras agotar los intentos: ${linea(item)}${item.error ? ` — ${item.error}` : ''}`);
+        }
+        if (report.dead.length > 0) {
+            this.logger.warning('Una entrada aparcada NO se va a aplicar sola: el árbol del backend está divergente en ese nodo. ' +
+                'Revísala en la cola (el consumidor puede volver a notificar el cambio) o reconcilia.');
+        }
+        if (report.busy) {
+            this.logger.info('Otra pasada del relay tiene el lease de la cola: esta no ha aplicado nada (el relay es escritor único).');
+            if (report.dead.length > 0)
+                this.exitCode = 1;
+            return;
+        }
+        if (report.dryRun) {
+            for (const item of report.wouldApply)
+                this.logger.log(`pendiente: ${linea(item)}`);
+            if (report.wouldApply.length === 0) {
+                if (report.dead.length > 0)
+                    this.exitCode = 1;
+                else
+                    this.logger.success('La outbox del árbol está vacía: nada que propagar.');
+                return;
+            }
+            this.logger.warning(`${report.wouldApply.length} cambio(s) del árbol sin propagar. No se ha aplicado nada: repite sin --dry-run. ` +
+                `Mientras tanto el backend decide con el árbol VIEJO.`);
+            return;
+        }
+        // Qué se aplicó, uno a uno: la pasada no es atómica y un contador no
+        // permite retomar nada.
+        for (const item of report.applied)
+            this.logger.log(`aplicado: ${linea(item)}`);
+        for (const item of report.deferred) {
+            this.logger.warning(`aplazado: ${linea(item)}${item.error ? ` — ${item.error}` : ''}`);
+        }
+        if (report.failures.length > 0) {
+            for (const item of report.failures) {
+                this.logger.error(`falló #${item.id} (${item.change.op} ` +
+                    `${item.change.child.type}:${item.change.child.uuid ?? ''}): ${item.error}`);
+            }
+            this.logger.warning('Lo que DEPENDE de un cambio fallido no se adelanta (el orden del árbol importa: aparece como «aplazado»), ' +
+                'pero el resto de la cola sí avanza. Arregla la causa y vuelve a ejecutar; retoma donde lo dejó. ' +
+                'Agotados los intentos que declare tu outbox, una entrada irreparable se APARCA y se reporta.');
+            this.exitCode = 1;
+            return;
+        }
+        if (report.dead.length > 0)
+            this.exitCode = 1;
+        if (report.applied.length === 0) {
+            if (report.dead.length === 0)
+                this.logger.success('La outbox del árbol está vacía: nada que propagar.');
+            return;
+        }
+        this.logger.success(`${report.applied.length} cambio(s) del árbol propagado(s) al driver.`);
+        if (report.remaining) {
+            this.logger.warning('Quedan cambios pendientes (se alcanzó el límite de la pasada o hay aplazados): vuelve a ejecutar.');
+        }
+    }
+}
+__decorate([
+    flags.boolean({
+        name: 'dry-run',
+        description: 'List the pending tree changes without applying any of them',
+    }),
+    __metadata("design:type", Object)
+], AuthzScopesRelay.prototype, "dryRun", void 0);
+__decorate([
+    flags.number({ description: 'Stop after applying this many changes (the rest stays pending)' }),
+    __metadata("design:type", Object)
+], AuthzScopesRelay.prototype, "limit", void 0);
+__decorate([
+    flags.number({ name: 'batch-size', description: 'How many pending changes to read per round trip' }),
+    __metadata("design:type", Object)
+], AuthzScopesRelay.prototype, "batchSize", void 0);
+//# sourceMappingURL=authz_scopes_relay.js.map

package/build/commands/authz_scopes_relay.js.map

@@ -0,0 +1 @@
+{"version":3,"file":"authz_scopes_relay.js","sourceRoot":"","sources":["../../commands/authz_scopes_relay.ts"],"names":[],"mappings":";;;;;;;;;AAAA,OAAO,EAAE,WAAW,EAAE,KAAK,EAAE,MAAM,oBAAoB,CAAA;AAGvD;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;GAkCG;AACH,MAAM,CAAC,OAAO,OAAO,gBAAiB,SAAQ,WAAW;IACvD,MAAM,CAAC,WAAW,GAAG,oBAAoB,CAAA;IACzC,MAAM,CAAC,WAAW,GAAG,8EAA8E,CAAA;IAEnG,MAAM,CAAC,OAAO,GAAmB;QAC/B,QAAQ,EAAE,IAAI;KACf,CAAA;IAcD,KAAK,CAAC,GAAG;QACP,MAAM,EAAE,OAAO,EAAE,aAAa,EAAE,GAAG,MAAM,MAAM,CAAC,qBAAqB,CAAC,CAAA;QACtE,MAAM,MAAM,GAAG,MAAM,aAAa,CAAC,iBAAiB,CAAC;YACnD,MAAM,EAAE,IAAI,CAAC,MAAM,KAAK,IAAI;YAC5B,KAAK,EAAE,IAAI,CAAC,KAAK;YACjB,SAAS,EAAE,IAAI,CAAC,SAAS;SAC1B,CAAC,CAAA;QAEF,MAAM,KAAK,GAAG,CAAC,IAA6D,EAAE,EAAE;YAC9E,MAAM,EAAE,MAAM,EAAE,GAAG,IAAI,CAAA;YACvB,MAAM,KAAK,GAAG,CAAC,CAAM,EAAE,EAAE,CAAC,GAAG,CAAC,CAAC,IAAI,IAAI,CAAC,CAAC,IAAI,IAAI,EAAE,EAAE,CAAA;YACrD,MAAM,OAAO,GAAG,MAAM,CAAC,EAAE,KAAK,UAAU,CAAC,CAAC,CAAC,EAAE,CAAC,CAAC,CAAC,MAAM,KAAK,CAAC,MAAM,CAAC,MAAM,CAAC,EAAE,CAAA;YAC5E,MAAM,QAAQ,GAAG,IAAI,CAAC,QAAQ,CAAC,CAAC,CAAC,uBAAuB,IAAI,CAAC,QAAQ,GAAG,CAAC,CAAC,CAAC,EAAE,CAAA;YAC7E,OAAO,IAAI,IAAI,CAAC,EAAE,IAAI,MAAM,CAAC,EAAE,IAAI,KAAK,CAAC,MAAM,CAAC,KAAK,CAAC,GAAG,OAAO,GAAG,QAAQ,EAAE,CAAA;QAC/E,CAAC,CAAA;QAED,gEAAgE;QAChE,wEAAwE;QACxE,KAAK,MAAM,IAAI,IAAI,MAAM,CAAC,IAAI,EAAE,CAAC;YAC/B,IAAI,CAAC,MAAM,CAAC,KAAK,CAAC,sCAAsC,KAAK,CAAC,IAAI,CAAC,GAAG,IAAI,CAAC,KAAK,CAAC,CAAC,CAAC,MAAM,IAAI,CAAC,KAAK,EAAE,CAAC,CAAC,CAAC,EAAE,EAAE,CAAC,CAAA;QAC/G,CAAC;QACD,IAAI,MAAM,CAAC,IAAI,CAAC,MAAM,GAAG,CAAC,EAAE,CAAC;YAC3B,IAAI,CAAC,MAAM,CAAC,OAAO,CACjB,kGAAkG;gBAChG,sFAAsF,CACzF,CAAA;QACH,CAAC;QAED,IAAI,MAAM,CAAC,IAAI,EAAE,CAAC;YAChB,IAAI,CAAC,MAAM,CAAC,IAAI,CAAC,yGAAyG,CAAC,CAAA;YAC3H,IAAI,MAAM,CAAC,IAAI,CAAC,MAAM,GAAG,CAAC;gBAAE,IAAI,CAAC,QAAQ,GAAG,CAAC,CAAA;YAC7C,OAAM;QACR,CAAC;QAED,IAAI,MAAM,CAAC,MAAM,EAAE,CAAC;YAClB,KAAK,MAAM,IAAI,IAAI,MAAM,CAAC,UAAU;gBAAE,IAAI,CAAC,MAAM,CAAC,GAAG,CAAC,cAAc,KAAK,CAAC,IAAI,CAAC,EAAE,CAAC,CAAA;YAClF,IAAI,MAAM,CAAC,UAAU,CAAC,MAAM,KAAK,CAAC,EAAE,CAAC;gBACnC,IAAI,MAAM,CAAC,IAAI,CAAC,MAAM,GAAG,CAAC;oBAAE,IAAI,CAAC,QAAQ,GAAG,CAAC,CAAA;;oBACxC,IAAI,CAAC,MAAM,CAAC,OAAO,CAAC,oDAAoD,CAAC,CAAA;gBAC9E,OAAM;YACR,CAAC;YACD,IAAI,CAAC,MAAM,CAAC,OAAO,CACjB,GAAG,MAAM,CAAC,UAAU,CAAC,MAAM,mFAAmF;gBAC5G,sDAAsD,CACzD,CAAA;YACD,OAAM;QACR,CAAC;QAED,qEAAqE;QACrE,wBAAwB;QACxB,KAAK,MAAM,IAAI,IAAI,MAAM,CAAC,OAAO;YAAE,IAAI,CAAC,MAAM,CAAC,GAAG,CAAC,aAAa,KAAK,CAAC,IAAI,CAAC,EAAE,CAAC,CAAA;QAE9E,KAAK,MAAM,IAAI,IAAI,MAAM,CAAC,QAAQ,EAAE,CAAC;YACnC,IAAI,CAAC,MAAM,CAAC,OAAO,CAAC,aAAa,KAAK,CAAC,IAAI,CAAC,GAAG,IAAI,CAAC,KAAK,CAAC,CAAC,CAAC,MAAM,IAAI,CAAC,KAAK,EAAE,CAAC,CAAC,CAAC,EAAE,EAAE,CAAC,CAAA;QACxF,CAAC;QAED,IAAI,MAAM,CAAC,QAAQ,CAAC,MAAM,GAAG,CAAC,EAAE,CAAC;YAC/B,KAAK,MAAM,IAAI,IAAI,MAAM,CAAC,QAAQ,EAAE,CAAC;gBACnC,IAAI,CAAC,MAAM,CAAC,KAAK,CACf,UAAU,IAAI,CAAC,EAAE,KAAK,IAAI,CAAC,MAAM,CAAC,EAAE,GAAG;oBACrC,GAAG,IAAI,CAAC,MAAM,CAAC,KAAK,CAAC,IAAI,IAAI,IAAI,CAAC,MAAM,CAAC,KAAK,CAAC,IAAI,IAAI,EAAE,MAAM,IAAI,CAAC,KAAK,EAAE,CAC9E,CAAA;YACH,CAAC;YACD,IAAI,CAAC,MAAM,CAAC,OAAO,CACjB,4GAA4G;gBAC1G,kGAAkG;gBAClG,8FAA8F,CACjG,CAAA;YACD,IAAI,CAAC,QAAQ,GAAG,CAAC,CAAA;YACjB,OAAM;QACR,CAAC;QAED,IAAI,MAAM,CAAC,IAAI,CAAC,MAAM,GAAG,CAAC;YAAE,IAAI,CAAC,QAAQ,GAAG,CAAC,CAAA;QAC7C,IAAI,MAAM,CAAC,OAAO,CAAC,MAAM,KAAK,CAAC,EAAE,CAAC;YAChC,IAAI,MAAM,CAAC,IAAI,CAAC,MAAM,KAAK,CAAC;gBAAE,IAAI,CAAC,MAAM,CAAC,OAAO,CAAC,oDAAoD,CAAC,CAAA;YACvG,OAAM;QACR,CAAC;QACD,IAAI,CAAC,MAAM,CAAC,OAAO,CAAC,GAAG,MAAM,CAAC,OAAO,CAAC,MAAM,8CAA8C,CAAC,CAAA;QAC3F,IAAI,MAAM,CAAC,SAAS,EAAE,CAAC;YACrB,IAAI,CAAC,MAAM,CAAC,OAAO,CAAC,mGAAmG,CAAC,CAAA;QAC1H,CAAC;IACH,CAAC;;AAzFO;IAJP,KAAK,CAAC,OAAO,CAAC;QACb,IAAI,EAAE,SAAS;QACf,WAAW,EAAE,4DAA4D;KAC1E,CAAC;;gDACiC;AAG3B;IADP,KAAK,CAAC,MAAM,CAAC,EAAE,WAAW,EAAE,gEAAgE,EAAE,CAAC;;+CAC/D;AAGzB;IADP,KAAK,CAAC,MAAM,CAAC,EAAE,IAAI,EAAE,YAAY,EAAE,WAAW,EAAE,iDAAiD,EAAE,CAAC;;mDAChE"}

package/build/commands/authz_unfreeze.d.ts

@@ -0,0 +1,37 @@
+import { BaseCommand } from '@adonisjs/core/ace';
+import { CommandOptions } from '@adonisjs/core/types/ace';
+import type { FreezeStatus } from '../src/manager.js';
+/**
+ * Qué hacer con el freeze vivo, en una función PURA (mismo patrón que
+ * `reconcileLines`): es la única decisión del comando y así tiene su caso
+ * sin montar un ace.
+ *
+ * Reglas:
+ *  - Sin freeze vivo ⇒ no-op en verde (idempotente: descongelar lo
+ *    descongelado no es un incidente).
+ *  - Freeze de OPERADOR ⇒ se levanta (este comando es su otra mitad).
+ *  - Freeze de OTRO dueño (`reconcile`, `platform`) ⇒ NO se levanta sin
+ *    `--fence`: levantar la barrera de una pasada viva es exactamente el
+ *    A1.3 que el token cierra. `--fence=<n>` es la decisión humana explícita
+ *    («ese proceso murió sin lease»), y tiene que coincidir con el fence
+ *    vivo — un fence viejo no levanta la ventana de otro.
+ */
+export declare function unfreezePlan(status: FreezeStatus | null, fence: number | undefined): {
+    action: 'noop' | 'lift' | 'refuse';
+    message: string;
+};
+/**
+ * **Cierra la ventana de cutover** (3b-7): levanta el freeze de operador que
+ * abrió `authz:freeze`. La otra mitad de ese comando; ver su docblock.
+ *
+ *   node ace authz:unfreeze              # levanta la ventana del operador
+ *   node ace authz:unfreeze --fence=7    # decisión humana: levanta ESE freeze aunque no sea de operador
+ */
+export default class AuthzUnfreeze extends BaseCommand {
+    static commandName: string;
+    static description: string;
+    static options: CommandOptions;
+    fence: number | undefined;
+    run(): Promise<void>;
+}
+//# sourceMappingURL=authz_unfreeze.d.ts.map

package/build/commands/authz_unfreeze.d.ts.map

@@ -0,0 +1 @@
+{"version":3,"file":"authz_unfreeze.d.ts","sourceRoot":"","sources":["../../commands/authz_unfreeze.ts"],"names":[],"mappings":"AAAA,OAAO,EAAE,WAAW,EAAS,MAAM,oBAAoB,CAAA;AACvD,OAAO,EAAE,cAAc,EAAE,MAAM,0BAA0B,CAAA;AACzD,OAAO,KAAK,EAAE,YAAY,EAAE,MAAM,mBAAmB,CAAA;AAErD;;;;;;;;;;;;;;GAcG;AACH,wBAAgB,YAAY,CAC1B,MAAM,EAAE,YAAY,GAAG,IAAI,EAC3B,KAAK,EAAE,MAAM,GAAG,SAAS,GACxB;IAAE,MAAM,EAAE,MAAM,GAAG,MAAM,GAAG,QAAQ,CAAC;IAAC,OAAO,EAAE,MAAM,CAAA;CAAE,CA0BzD;AAED;;;;;;GAMG;AACH,MAAM,CAAC,OAAO,OAAO,aAAc,SAAQ,WAAW;IACpD,MAAM,CAAC,WAAW,SAAmB;IACrC,MAAM,CAAC,WAAW,SAAqF;IAEvG,MAAM,CAAC,OAAO,EAAE,cAAc,CAE7B;IAKO,KAAK,EAAE,MAAM,GAAG,SAAS,CAAA;IAE3B,GAAG;CAqBV"}

package/build/commands/authz_unfreeze.js

@@ -0,0 +1,92 @@
+var __decorate = (this && this.__decorate) || function (decorators, target, key, desc) {
+    var c = arguments.length, r = c < 3 ? target : desc === null ? desc = Object.getOwnPropertyDescriptor(target, key) : desc, d;
+    if (typeof Reflect === "object" && typeof Reflect.decorate === "function") r = Reflect.decorate(decorators, target, key, desc);
+    else for (var i = decorators.length - 1; i >= 0; i--) if (d = decorators[i]) r = (c < 3 ? d(r) : c > 3 ? d(target, key, r) : d(target, key)) || r;
+    return c > 3 && r && Object.defineProperty(target, key, r), r;
+};
+var __metadata = (this && this.__metadata) || function (k, v) {
+    if (typeof Reflect === "object" && typeof Reflect.metadata === "function") return Reflect.metadata(k, v);
+};
+import { BaseCommand, flags } from '@adonisjs/core/ace';
+/**
+ * Qué hacer con el freeze vivo, en una función PURA (mismo patrón que
+ * `reconcileLines`): es la única decisión del comando y así tiene su caso
+ * sin montar un ace.
+ *
+ * Reglas:
+ *  - Sin freeze vivo ⇒ no-op en verde (idempotente: descongelar lo
+ *    descongelado no es un incidente).
+ *  - Freeze de OPERADOR ⇒ se levanta (este comando es su otra mitad).
+ *  - Freeze de OTRO dueño (`reconcile`, `platform`) ⇒ NO se levanta sin
+ *    `--fence`: levantar la barrera de una pasada viva es exactamente el
+ *    A1.3 que el token cierra. `--fence=<n>` es la decisión humana explícita
+ *    («ese proceso murió sin lease»), y tiene que coincidir con el fence
+ *    vivo — un fence viejo no levanta la ventana de otro.
+ */
+export function unfreezePlan(status, fence) {
+    if (status === null) {
+        return { action: 'noop', message: 'No hay ningún freeze vivo: nada que levantar.' };
+    }
+    if (fence !== undefined && fence !== status.fence) {
+        return {
+            action: 'refuse',
+            message: `El fence vivo es ${status.fence} y pediste levantar el ${fence}: ese freeze ya no existe. ` +
+                `Mira el estado y repite con el fence actual si de verdad quieres levantarlo.`,
+        };
+    }
+    if (status.kind !== 'operator' && fence === undefined) {
+        return {
+            action: 'refuse',
+            message: `El freeze vivo NO es de operador: lo sostiene ${status.holder} (${status.reason}). ` +
+                `Levantárselo dejaría su pasada corriendo sin barrera (y su reporte lo delatará como lapsed). ` +
+                `Espera a que termine${status.untilMs === null ? '' : ' — o a que su lease venza solo'}; si su proceso ` +
+                `murió sin lease, la decisión humana es --fence=${status.fence}.`,
+        };
+    }
+    return {
+        action: 'lift',
+        message: `Freeze de ${status.holder} (${status.reason}, fence ${status.fence}) levantado: la flota vuelve a escribir.`,
+    };
+}
+/**
+ * **Cierra la ventana de cutover** (3b-7): levanta el freeze de operador que
+ * abrió `authz:freeze`. La otra mitad de ese comando; ver su docblock.
+ *
+ *   node ace authz:unfreeze              # levanta la ventana del operador
+ *   node ace authz:unfreeze --fence=7    # decisión humana: levanta ESE freeze aunque no sea de operador
+ */
+export default class AuthzUnfreeze extends BaseCommand {
+    static commandName = 'authz:unfreeze';
+    static description = 'Close the cutover window: lift the operator freeze and let the fleet write again';
+    static options = {
+        startApp: true,
+    };
+    async run() {
+        const { default: authorization } = await import('../services/main.js');
+        const status = await authorization.freezeStatus();
+        const plan = unfreezePlan(status, this.fence);
+        if (plan.action === 'noop') {
+            this.logger.success(plan.message);
+            return;
+        }
+        if (plan.action === 'refuse') {
+            this.logger.error(plan.message);
+            this.exitCode = 1;
+            return;
+        }
+        const lifted = await authorization.unfreeze({ fence: status.fence, holder: status.holder });
+        if (!lifted) {
+            // Entre el SELECT y el UPDATE alguien lo levantó o venció: no es un error.
+            this.logger.success('El freeze ya no estaba (lo levantó su dueño o venció su lease).');
+            return;
+        }
+        this.logger.success(plan.message);
+    }
+}
+__decorate([
+    flags.number({
+        description: 'Lift exactly this freeze even if it is not an operator window (its owner died without a lease)',
+    }),
+    __metadata("design:type", Object)
+], AuthzUnfreeze.prototype, "fence", void 0);
+//# sourceMappingURL=authz_unfreeze.js.map

package/build/commands/authz_unfreeze.js.map

@@ -0,0 +1 @@
+{"version":3,"file":"authz_unfreeze.js","sourceRoot":"","sources":["../../commands/authz_unfreeze.ts"],"names":[],"mappings":";;;;;;;;;AAAA,OAAO,EAAE,WAAW,EAAE,KAAK,EAAE,MAAM,oBAAoB,CAAA;AAIvD;;;;;;;;;;;;;;GAcG;AACH,MAAM,UAAU,YAAY,CAC1B,MAA2B,EAC3B,KAAyB;IAEzB,IAAI,MAAM,KAAK,IAAI,EAAE,CAAC;QACpB,OAAO,EAAE,MAAM,EAAE,MAAM,EAAE,OAAO,EAAE,+CAA+C,EAAE,CAAA;IACrF,CAAC;IACD,IAAI,KAAK,KAAK,SAAS,IAAI,KAAK,KAAK,MAAM,CAAC,KAAK,EAAE,CAAC;QAClD,OAAO;YACL,MAAM,EAAE,QAAQ;YAChB,OAAO,EACL,oBAAoB,MAAM,CAAC,KAAK,0BAA0B,KAAK,6BAA6B;gBAC5F,8EAA8E;SACjF,CAAA;IACH,CAAC;IACD,IAAI,MAAM,CAAC,IAAI,KAAK,UAAU,IAAI,KAAK,KAAK,SAAS,EAAE,CAAC;QACtD,OAAO;YACL,MAAM,EAAE,QAAQ;YAChB,OAAO,EACL,iDAAiD,MAAM,CAAC,MAAM,KAAK,MAAM,CAAC,MAAM,KAAK;gBACrF,+FAA+F;gBAC/F,uBAAuB,MAAM,CAAC,OAAO,KAAK,IAAI,CAAC,CAAC,CAAC,EAAE,CAAC,CAAC,CAAC,gCAAgC,kBAAkB;gBACxG,kDAAkD,MAAM,CAAC,KAAK,GAAG;SACpE,CAAA;IACH,CAAC;IACD,OAAO;QACL,MAAM,EAAE,MAAM;QACd,OAAO,EAAE,aAAa,MAAM,CAAC,MAAM,KAAK,MAAM,CAAC,MAAM,WAAW,MAAM,CAAC,KAAK,0CAA0C;KACvH,CAAA;AACH,CAAC;AAED;;;;;;GAMG;AACH,MAAM,CAAC,OAAO,OAAO,aAAc,SAAQ,WAAW;IACpD,MAAM,CAAC,WAAW,GAAG,gBAAgB,CAAA;IACrC,MAAM,CAAC,WAAW,GAAG,kFAAkF,CAAA;IAEvG,MAAM,CAAC,OAAO,GAAmB;QAC/B,QAAQ,EAAE,IAAI;KACf,CAAA;IAOD,KAAK,CAAC,GAAG;QACP,MAAM,EAAE,OAAO,EAAE,aAAa,EAAE,GAAG,MAAM,MAAM,CAAC,qBAAqB,CAAC,CAAA;QACtE,MAAM,MAAM,GAAG,MAAM,aAAa,CAAC,YAAY,EAAE,CAAA;QACjD,MAAM,IAAI,GAAG,YAAY,CAAC,MAAM,EAAE,IAAI,CAAC,KAAK,CAAC,CAAA;QAC7C,IAAI,IAAI,CAAC,MAAM,KAAK,MAAM,EAAE,CAAC;YAC3B,IAAI,CAAC,MAAM,CAAC,OAAO,CAAC,IAAI,CAAC,OAAO,CAAC,CAAA;YACjC,OAAM;QACR,CAAC;QACD,IAAI,IAAI,CAAC,MAAM,KAAK,QAAQ,EAAE,CAAC;YAC7B,IAAI,CAAC,MAAM,CAAC,KAAK,CAAC,IAAI,CAAC,OAAO,CAAC,CAAA;YAC/B,IAAI,CAAC,QAAQ,GAAG,CAAC,CAAA;YACjB,OAAM;QACR,CAAC;QACD,MAAM,MAAM,GAAG,MAAM,aAAa,CAAC,QAAQ,CAAC,EAAE,KAAK,EAAE,MAAO,CAAC,KAAK,EAAE,MAAM,EAAE,MAAO,CAAC,MAAM,EAAE,CAAC,CAAA;QAC7F,IAAI,CAAC,MAAM,EAAE,CAAC;YACZ,2EAA2E;YAC3E,IAAI,CAAC,MAAM,CAAC,OAAO,CAAC,iEAAiE,CAAC,CAAA;YACtF,OAAM;QACR,CAAC;QACD,IAAI,CAAC,MAAM,CAAC,OAAO,CAAC,IAAI,CAAC,OAAO,CAAC,CAAA;IACnC,CAAC;;AAtBO;IAHP,KAAK,CAAC,MAAM,CAAC;QACZ,WAAW,EAAE,gGAAgG;KAC9G,CAAC;;4CAC+B"}

package/build/commands/main.d.ts

@@ -3,5 +3,12 @@
  *   node ace configure @jantstack/adonis-authz
  */
 export { default as OpenFgaProvision } from './openfga_provision.js';
-export { default as OpenFgaImport } from './openfga_import.js';
+export { default as AuthzCatalogDiff } from './authz_catalog_diff.js';
+export { default as AuthzCatalogSync } from './authz_catalog_sync.js';
+export { default as AuthzCatalogPruneOrphans } from './authz_catalog_prune_orphans.js';
+export { default as AuthzScopesRelay } from './authz_scopes_relay.js';
+export { default as AuthzReconcile } from './authz_reconcile.js';
+export { default as AuthzRelationsReconcile } from './authz_relations_reconcile.js';
+export { default as AuthzFreeze } from './authz_freeze.js';
+export { default as AuthzUnfreeze } from './authz_unfreeze.js';
 //# sourceMappingURL=main.d.ts.map

package/build/commands/main.d.ts.map

@@ -1 +1 @@
-{"version":3,"file":"main.d.ts","sourceRoot":"","sources":["../../commands/main.ts"],"names":[],"mappings":"AAAA;;;GAGG;AACH,OAAO,EAAE,OAAO,IAAI,gBAAgB,EAAE,MAAM,wBAAwB,CAAA;AACpE,OAAO,EAAE,OAAO,IAAI,aAAa,EAAE,MAAM,qBAAqB,CAAA"}
+{"version":3,"file":"main.d.ts","sourceRoot":"","sources":["../../commands/main.ts"],"names":[],"mappings":"AAAA;;;GAGG;AACH,OAAO,EAAE,OAAO,IAAI,gBAAgB,EAAE,MAAM,wBAAwB,CAAA;AACpE,OAAO,EAAE,OAAO,IAAI,gBAAgB,EAAE,MAAM,yBAAyB,CAAA;AACrE,OAAO,EAAE,OAAO,IAAI,gBAAgB,EAAE,MAAM,yBAAyB,CAAA;AACrE,OAAO,EAAE,OAAO,IAAI,wBAAwB,EAAE,MAAM,kCAAkC,CAAA;AACtF,OAAO,EAAE,OAAO,IAAI,gBAAgB,EAAE,MAAM,yBAAyB,CAAA;AACrE,OAAO,EAAE,OAAO,IAAI,cAAc,EAAE,MAAM,sBAAsB,CAAA;AAChE,OAAO,EAAE,OAAO,IAAI,uBAAuB,EAAE,MAAM,gCAAgC,CAAA;AACnF,OAAO,EAAE,OAAO,IAAI,WAAW,EAAE,MAAM,mBAAmB,CAAA;AAC1D,OAAO,EAAE,OAAO,IAAI,aAAa,EAAE,MAAM,qBAAqB,CAAA"}

package/build/commands/main.js

@@ -3,5 +3,12 @@
  *   node ace configure @jantstack/adonis-authz
  */
 export { default as OpenFgaProvision } from './openfga_provision.js';
-export { default as OpenFgaImport } from './openfga_import.js';
+export { default as AuthzCatalogDiff } from './authz_catalog_diff.js';
+export { default as AuthzCatalogSync } from './authz_catalog_sync.js';
+export { default as AuthzCatalogPruneOrphans } from './authz_catalog_prune_orphans.js';
+export { default as AuthzScopesRelay } from './authz_scopes_relay.js';
+export { default as AuthzReconcile } from './authz_reconcile.js';
+export { default as AuthzRelationsReconcile } from './authz_relations_reconcile.js';
+export { default as AuthzFreeze } from './authz_freeze.js';
+export { default as AuthzUnfreeze } from './authz_unfreeze.js';
 //# sourceMappingURL=main.js.map

package/build/commands/main.js.map

@@ -1 +1 @@
-{"version":3,"file":"main.js","sourceRoot":"","sources":["../../commands/main.ts"],"names":[],"mappings":"AAAA;;;GAGG;AACH,OAAO,EAAE,OAAO,IAAI,gBAAgB,EAAE,MAAM,wBAAwB,CAAA;AACpE,OAAO,EAAE,OAAO,IAAI,aAAa,EAAE,MAAM,qBAAqB,CAAA"}
+{"version":3,"file":"main.js","sourceRoot":"","sources":["../../commands/main.ts"],"names":[],"mappings":"AAAA;;;GAGG;AACH,OAAO,EAAE,OAAO,IAAI,gBAAgB,EAAE,MAAM,wBAAwB,CAAA;AACpE,OAAO,EAAE,OAAO,IAAI,gBAAgB,EAAE,MAAM,yBAAyB,CAAA;AACrE,OAAO,EAAE,OAAO,IAAI,gBAAgB,EAAE,MAAM,yBAAyB,CAAA;AACrE,OAAO,EAAE,OAAO,IAAI,wBAAwB,EAAE,MAAM,kCAAkC,CAAA;AACtF,OAAO,EAAE,OAAO,IAAI,gBAAgB,EAAE,MAAM,yBAAyB,CAAA;AACrE,OAAO,EAAE,OAAO,IAAI,cAAc,EAAE,MAAM,sBAAsB,CAAA;AAChE,OAAO,EAAE,OAAO,IAAI,uBAAuB,EAAE,MAAM,gCAAgC,CAAA;AACnF,OAAO,EAAE,OAAO,IAAI,WAAW,EAAE,MAAM,mBAAmB,CAAA;AAC1D,OAAO,EAAE,OAAO,IAAI,aAAa,EAAE,MAAM,qBAAqB,CAAA"}