@jantstack/adonis-authz 1.1.0 → 2.4.0-alpha.1

package/build/commands/openfga_provision.d.ts

@@ -2,13 +2,22 @@ import { BaseCommand } from '@adonisjs/core/ace';
 import { CommandOptions } from '@adonisjs/core/types/ace';
 /**
  * Provisiona OpenFGA para el driver `openfga` del motor de autorización:
- * crea un store y escribe el authorization model del chasis. Imprime los
- * ids para el .env (OPENFGA_STORE_ID / OPENFGA_MODEL_ID).
+ * crea un store y escribe el authorization model **`facts` (c2r)** del
+ * chasis. Imprime los ids para el .env (OPENFGA_STORE_ID / OPENFGA_MODEL_ID).
+ *
+ * **Publica el modelo `facts`** (3b-2k · K2): hasta 2.2 publicaba el del modo
+ * `resolver`, que ya no existe. Ese modelo declara CUATRO relaciones por
+ * permiso (`<P>`, `can_<P>`, `denied_<P>`, `permits_<P>`), así que necesita
+ * la lista de permisos: sale de los `catalogs` del config, resueltos aquí
+ * mismo (son funciones y no tocan la base). Sin `catalogs` no hay modelo que
+ * publicar y el comando sale ≠ 0 en vez de dejar un store que no responde a
+ * ninguna pregunta.
  *
  * Idempotencia: cada ejecución crea un store NUEVO (los stores son baratos y
  * aislados); re-ejecutar sobre un store existente no es necesario salvo que
- * cambie el modelo — en ese caso usar --store-id para escribir un model nuevo
- * versionado sobre el mismo store.
+ * cambie el modelo —añadir o quitar un permiso del catálogo lo cambia— y en
+ * ese caso se usa --store-id para escribir un model nuevo versionado sobre el
+ * mismo store.
  *
  * @example
  *   node ace openfga:provision                      # usa OPENFGA_URL del .env
@@ -23,5 +32,38 @@ export default class OpenFgaProvision extends BaseCommand {
     storeId: string | undefined;
     name: string | undefined;
     run(): Promise<void>;
+    /**
+     * Los permisos del modelo, o `null` (y exit 1) si no hay ninguno: un modelo
+     * `facts` sin permisos no puede responder a nada, y descubrirlo aquí es
+     * mucho mejor que descubrirlo en el primer `authorize`.
+     */
+    private resolvePermissions;
 }
+/**
+ * Los slugs de permiso de TODOS los catálogos del config, sin duplicados y en
+ * orden estable (3b-2k · K2). Se exporta —y no es un método— para que se
+ * pueda juzgar sin montar un comando de ace: es la pieza que decide qué
+ * relaciones lleva el modelo `facts`, y una lista vacía es lo que hace que el
+ * comando se niegue a provisionar.
+ *
+ * Los catálogos del config son FUNCIONES del consumidor (pueden cargar otro
+ * módulo perezosamente) y no tocan la base: el modelo se publica antes de que
+ * haya una sola fila.
+ */
+export declare function permissionsOfCatalogs(config: any): Promise<string[]>;
+/**
+ * Los tipos de relación (ReBAC) que van FUSIONADOS en el modelo `facts`
+ * (Fase 4-8), leídos del CONFIG estático `relations.config` — o `undefined` si
+ * el consumidor no declaró relaciones (modelo facts-only, como hasta 4-8). Se
+ * exporta —y no es un método— para juzgar la decisión sin montar un ace: es la
+ * pieza que decide si un store recién aprovisionado acepta tuplas de relación.
+ *
+ * La fuente es el config (`relations.config`), NO `authz_relations_config` de
+ * la base: `openfga:provision` es `startApp: false` (bootstrap sin base) y el
+ * config es lo único que tiene cargado — igual que los permisos salen de
+ * `catalogs` y no de `authz_permissions`.
+ */
+export declare function relationsConfigOf(config: any): {
+    objectTypes: readonly any[];
+} | undefined;
 //# sourceMappingURL=openfga_provision.d.ts.map

package/build/commands/openfga_provision.d.ts.map

@@ -1 +1 @@
-{"version":3,"file":"openfga_provision.d.ts","sourceRoot":"","sources":["../../commands/openfga_provision.ts"],"names":[],"mappings":"AAAA,OAAO,EAAE,WAAW,EAAS,MAAM,oBAAoB,CAAA;AACvD,OAAO,EAAE,cAAc,EAAE,MAAM,0BAA0B,CAAA;AAEzD;;;;;;;;;;;;;;GAcG;AACH,MAAM,CAAC,OAAO,OAAO,gBAAiB,SAAQ,WAAW;IACvD,MAAM,CAAC,WAAW,SAAsB;IACxC,MAAM,CAAC,WAAW,SAAoE;IAEtF,MAAM,CAAC,OAAO,EAAE,cAAc,CAE7B;IAGO,GAAG,EAAE,MAAM,GAAG,SAAS,CAAA;IAGvB,OAAO,EAAE,MAAM,GAAG,SAAS,CAAA;IAG3B,IAAI,EAAE,MAAM,GAAG,SAAS,CAAA;IAE1B,GAAG;CAqCV"}
+{"version":3,"file":"openfga_provision.d.ts","sourceRoot":"","sources":["../../commands/openfga_provision.ts"],"names":[],"mappings":"AAAA,OAAO,EAAE,WAAW,EAAS,MAAM,oBAAoB,CAAA;AACvD,OAAO,EAAE,cAAc,EAAE,MAAM,0BAA0B,CAAA;AAEzD;;;;;;;;;;;;;;;;;;;;;;;GAuBG;AACH,MAAM,CAAC,OAAO,OAAO,gBAAiB,SAAQ,WAAW;IACvD,MAAM,CAAC,WAAW,SAAsB;IACxC,MAAM,CAAC,WAAW,SAAoE;IAEtF,MAAM,CAAC,OAAO,EAAE,cAAc,CAE7B;IAGO,GAAG,EAAE,MAAM,GAAG,SAAS,CAAA;IAGvB,OAAO,EAAE,MAAM,GAAG,SAAS,CAAA;IAG3B,IAAI,EAAE,MAAM,GAAG,SAAS,CAAA;IAE1B,GAAG;IA2DT;;;;OAIG;YACW,kBAAkB;CAajC;AAED;;;;;;;;;;GAUG;AACH,wBAAsB,qBAAqB,CAAC,MAAM,EAAE,GAAG,GAAG,OAAO,CAAC,MAAM,EAAE,CAAC,CAQ1E;AAED;;;;;;;;;;;GAWG;AACH,wBAAgB,iBAAiB,CAAC,MAAM,EAAE,GAAG,GAAG;IAAE,WAAW,EAAE,SAAS,GAAG,EAAE,CAAA;CAAE,GAAG,SAAS,CAI1F"}

package/build/commands/openfga_provision.js

@@ -10,13 +10,22 @@ var __metadata = (this && this.__metadata) || function (k, v) {
 import { BaseCommand, flags } from '@adonisjs/core/ace';
 /**
  * Provisiona OpenFGA para el driver `openfga` del motor de autorización:
- * crea un store y escribe el authorization model del chasis. Imprime los
- * ids para el .env (OPENFGA_STORE_ID / OPENFGA_MODEL_ID).
+ * crea un store y escribe el authorization model **`facts` (c2r)** del
+ * chasis. Imprime los ids para el .env (OPENFGA_STORE_ID / OPENFGA_MODEL_ID).
+ *
+ * **Publica el modelo `facts`** (3b-2k · K2): hasta 2.2 publicaba el del modo
+ * `resolver`, que ya no existe. Ese modelo declara CUATRO relaciones por
+ * permiso (`<P>`, `can_<P>`, `denied_<P>`, `permits_<P>`), así que necesita
+ * la lista de permisos: sale de los `catalogs` del config, resueltos aquí
+ * mismo (son funciones y no tocan la base). Sin `catalogs` no hay modelo que
+ * publicar y el comando sale ≠ 0 en vez de dejar un store que no responde a
+ * ninguna pregunta.
  *
  * Idempotencia: cada ejecución crea un store NUEVO (los stores son baratos y
  * aislados); re-ejecutar sobre un store existente no es necesario salvo que
- * cambie el modelo — en ese caso usar --store-id para escribir un model nuevo
- * versionado sobre el mismo store.
+ * cambie el modelo —añadir o quitar un permiso del catálogo lo cambia— y en
+ * ese caso se usa --store-id para escribir un model nuevo versionado sobre el
+ * mismo store.
  *
  * @example
  *   node ace openfga:provision                      # usa OPENFGA_URL del .env
@@ -38,25 +47,61 @@ export default class OpenFgaProvision extends BaseCommand {
             return;
         }
         const { OpenFgaClient } = await import('@openfga/sdk');
-        const { openFgaAuthorizationModel, provisionOpenFgaStore } = await import('../src/drivers/openfga_driver.js');
+        // El subpath `/openfga` es la única puerta al SDK (D9).
+        const { openFgaFactsModel, provisionOpenFgaStore } = await import('../src/openfga.js');
         // Los holders del consumidor viven en SU config, no en el paquete.
         const holderTypes = config?.holderTypes ?? {};
+        // Los PERMISOS del modelo (c2r) salen de los catálogos del config. Se
+        // resuelven aquí porque son funciones del consumidor (pueden cargar otro
+        // módulo) y no necesitan la base: el modelo se publica antes de que haya
+        // una sola fila.
+        const permissions = await this.resolvePermissions(config);
+        if (!permissions)
+            return;
+        // Los tipos de RELACIÓN (ReBAC) que el modelo lleva FUSIONADOS (Fase 4-8):
+        // salen del CONFIG estático (`relations.config`), igual que los permisos
+        // salen de `catalogs`. El comando es `startApp: false` (bootstrap del
+        // appliance, ANTES de que haya base) y no puede leer `authz_relations_config`
+        // de la BD; el config sí está cargado. Sin `relations.config` el modelo es
+        // facts-only, como hasta ahora. Con él, un store recién aprovisionado ya
+        // acepta tuplas de relación sin un `authz:catalog:sync` previo.
+        const relations = relationsConfigOf(config);
         if (this.storeId) {
             const client = new OpenFgaClient({ apiUrl, storeId: this.storeId });
-            const model = await client.writeAuthorizationModel(openFgaAuthorizationModel(holderTypes));
+            const model = await client.writeAuthorizationModel(openFgaFactsModel(holderTypes, permissions, relations));
             this.logger.success('Nuevo authorization model escrito en el store existente.');
+            if (relations)
+                this.logger.info(`Tipos de relación fusionados: ${relations.objectTypes.map((t) => t.type).join(', ')}`);
             this.logger.log(`OPENFGA_STORE_ID=${this.storeId}`);
             this.logger.log(`OPENFGA_MODEL_ID=${model.authorization_model_id}`);
             return;
         }
         // El paquete no lee env: el default APP_NAME se resuelve aquí (chasis).
-        const { storeId, modelId } = await provisionOpenFgaStore(apiUrl, this.name ?? config?.openfga?.storeName ?? this.app.appName, holderTypes);
+        const { storeId, modelId } = await provisionOpenFgaStore(apiUrl, this.name ?? config?.openfga?.storeName ?? this.app.appName, holderTypes, permissions, relations);
+        if (relations)
+            this.logger.info(`Tipos de relación fusionados: ${relations.objectTypes.map((t) => t.type).join(', ')}`);
         this.logger.success('Store + authorization model provisionados.');
         this.logger.log('Añade al .env (junto a AUTHZ_DRIVER=openfga):');
         this.logger.log(`OPENFGA_URL=${apiUrl}`);
         this.logger.log(`OPENFGA_STORE_ID=${storeId}`);
         this.logger.log(`OPENFGA_MODEL_ID=${modelId}`);
     }
+    /**
+     * Los permisos del modelo, o `null` (y exit 1) si no hay ninguno: un modelo
+     * `facts` sin permisos no puede responder a nada, y descubrirlo aquí es
+     * mucho mejor que descubrirlo en el primer `authorize`.
+     */
+    async resolvePermissions(config) {
+        const slugs = await permissionsOfCatalogs(config);
+        if (slugs.length === 0) {
+            this.logger.error('El modelo `facts` declara cuatro relaciones por permiso: sin `catalogs` en ' +
+                'config/authorization.ts no hay modelo que publicar. Declara tus catálogos y repite ' +
+                '(el store que se creara sin ellos denegaría todo).');
+            this.exitCode = 1;
+            return null;
+        }
+        return slugs;
+    }
 }
 __decorate([
     flags.string({ description: 'OpenFGA API URL (defaults to OPENFGA_URL)' }),
@@ -70,4 +115,43 @@ __decorate([
     flags.string({ description: 'Store name when creating one (default: APP_NAME del entorno)' }),
     __metadata("design:type", Object)
 ], OpenFgaProvision.prototype, "name", void 0);
+/**
+ * Los slugs de permiso de TODOS los catálogos del config, sin duplicados y en
+ * orden estable (3b-2k · K2). Se exporta —y no es un método— para que se
+ * pueda juzgar sin montar un comando de ace: es la pieza que decide qué
+ * relaciones lleva el modelo `facts`, y una lista vacía es lo que hace que el
+ * comando se niegue a provisionar.
+ *
+ * Los catálogos del config son FUNCIONES del consumidor (pueden cargar otro
+ * módulo perezosamente) y no tocan la base: el modelo se publica antes de que
+ * haya una sola fila.
+ */
+export async function permissionsOfCatalogs(config) {
+    const sources = config?.catalogs ?? [];
+    const slugs = new Set();
+    for (const source of sources) {
+        const catalog = await source();
+        for (const permission of catalog?.permissions ?? [])
+            slugs.add(permission.slug);
+    }
+    return [...slugs].sort();
+}
+/**
+ * Los tipos de relación (ReBAC) que van FUSIONADOS en el modelo `facts`
+ * (Fase 4-8), leídos del CONFIG estático `relations.config` — o `undefined` si
+ * el consumidor no declaró relaciones (modelo facts-only, como hasta 4-8). Se
+ * exporta —y no es un método— para juzgar la decisión sin montar un ace: es la
+ * pieza que decide si un store recién aprovisionado acepta tuplas de relación.
+ *
+ * La fuente es el config (`relations.config`), NO `authz_relations_config` de
+ * la base: `openfga:provision` es `startApp: false` (bootstrap sin base) y el
+ * config es lo único que tiene cargado — igual que los permisos salen de
+ * `catalogs` y no de `authz_permissions`.
+ */
+export function relationsConfigOf(config) {
+    const objectTypes = config?.relations?.config?.objectTypes;
+    if (!Array.isArray(objectTypes) || objectTypes.length === 0)
+        return undefined;
+    return { objectTypes };
+}
 //# sourceMappingURL=openfga_provision.js.map

package/build/commands/openfga_provision.js.map

@@ -1 +1 @@
-{"version":3,"file":"openfga_provision.js","sourceRoot":"","sources":["../../commands/openfga_provision.ts"],"names":[],"mappings":";;;;;;;;;AAAA,OAAO,EAAE,WAAW,EAAE,KAAK,EAAE,MAAM,oBAAoB,CAAA;AAGvD;;;;;;;;;;;;;;GAcG;AACH,MAAM,CAAC,OAAO,OAAO,gBAAiB,SAAQ,WAAW;IACvD,MAAM,CAAC,WAAW,GAAG,mBAAmB,CAAA;IACxC,MAAM,CAAC,WAAW,GAAG,iEAAiE,CAAA;IAEtF,MAAM,CAAC,OAAO,GAAmB;QAC/B,QAAQ,EAAE,KAAK;KAChB,CAAA;IAWD,KAAK,CAAC,GAAG;QACP,MAAM,MAAM,GAAG,IAAI,CAAC,GAAG,CAAC,MAAM,CAAC,GAAG,CAAC,eAAe,CAAQ,CAAA;QAC1D,MAAM,MAAM,GAAG,IAAI,CAAC,GAAG,IAAI,MAAM,EAAE,OAAO,EAAE,GAAG,CAAA;QAC/C,IAAI,CAAC,MAAM,EAAE,CAAC;YACZ,IAAI,CAAC,MAAM,CAAC,KAAK,CAAC,6EAA6E,CAAC,CAAA;YAChG,IAAI,CAAC,QAAQ,GAAG,CAAC,CAAA;YACjB,OAAM;QACR,CAAC;QAED,MAAM,EAAE,aAAa,EAAE,GAAG,MAAM,MAAM,CAAC,cAAc,CAAC,CAAA;QACtD,MAAM,EAAE,yBAAyB,EAAE,qBAAqB,EAAE,GAAG,MAAM,MAAM,CACvE,kCAAkC,CACnC,CAAA;QACD,mEAAmE;QACnE,MAAM,WAAW,GAAG,MAAM,EAAE,WAAW,IAAI,EAAE,CAAA;QAE7C,IAAI,IAAI,CAAC,OAAO,EAAE,CAAC;YACjB,MAAM,MAAM,GAAG,IAAI,aAAa,CAAC,EAAE,MAAM,EAAE,OAAO,EAAE,IAAI,CAAC,OAAO,EAAE,CAAC,CAAA;YACnE,MAAM,KAAK,GAAG,MAAM,MAAM,CAAC,uBAAuB,CAAC,yBAAyB,CAAC,WAAW,CAAC,CAAC,CAAA;YAC1F,IAAI,CAAC,MAAM,CAAC,OAAO,CAAC,0DAA0D,CAAC,CAAA;YAC/E,IAAI,CAAC,MAAM,CAAC,GAAG,CAAC,oBAAoB,IAAI,CAAC,OAAO,EAAE,CAAC,CAAA;YACnD,IAAI,CAAC,MAAM,CAAC,GAAG,CAAC,oBAAoB,KAAK,CAAC,sBAAsB,EAAE,CAAC,CAAA;YACnE,OAAM;QACR,CAAC;QAED,wEAAwE;QACxE,MAAM,EAAE,OAAO,EAAE,OAAO,EAAE,GAAG,MAAM,qBAAqB,CACtD,MAAM,EACN,IAAI,CAAC,IAAI,IAAI,MAAM,EAAE,OAAO,EAAE,SAAS,IAAI,IAAI,CAAC,GAAG,CAAC,OAAO,EAC3D,WAAW,CACZ,CAAA;QACD,IAAI,CAAC,MAAM,CAAC,OAAO,CAAC,4CAA4C,CAAC,CAAA;QACjE,IAAI,CAAC,MAAM,CAAC,GAAG,CAAC,+CAA+C,CAAC,CAAA;QAChE,IAAI,CAAC,MAAM,CAAC,GAAG,CAAC,eAAe,MAAM,EAAE,CAAC,CAAA;QACxC,IAAI,CAAC,MAAM,CAAC,GAAG,CAAC,oBAAoB,OAAO,EAAE,CAAC,CAAA;QAC9C,IAAI,CAAC,MAAM,CAAC,GAAG,CAAC,oBAAoB,OAAO,EAAE,CAAC,CAAA;IAChD,CAAC;;AA5CO;IADP,KAAK,CAAC,MAAM,CAAC,EAAE,WAAW,EAAE,2CAA2C,EAAE,CAAC;;6CAC5C;AAGvB;IADP,KAAK,CAAC,MAAM,CAAC,EAAE,KAAK,EAAE,GAAG,EAAE,WAAW,EAAE,0CAA0C,EAAE,CAAC;;iDACnD;AAG3B;IADP,KAAK,CAAC,MAAM,CAAC,EAAE,WAAW,EAAE,8DAA8D,EAAE,CAAC;;8CAC9D"}
+{"version":3,"file":"openfga_provision.js","sourceRoot":"","sources":["../../commands/openfga_provision.ts"],"names":[],"mappings":";;;;;;;;;AAAA,OAAO,EAAE,WAAW,EAAE,KAAK,EAAE,MAAM,oBAAoB,CAAA;AAGvD;;;;;;;;;;;;;;;;;;;;;;;GAuBG;AACH,MAAM,CAAC,OAAO,OAAO,gBAAiB,SAAQ,WAAW;IACvD,MAAM,CAAC,WAAW,GAAG,mBAAmB,CAAA;IACxC,MAAM,CAAC,WAAW,GAAG,iEAAiE,CAAA;IAEtF,MAAM,CAAC,OAAO,GAAmB;QAC/B,QAAQ,EAAE,KAAK;KAChB,CAAA;IAWD,KAAK,CAAC,GAAG;QACP,MAAM,MAAM,GAAG,IAAI,CAAC,GAAG,CAAC,MAAM,CAAC,GAAG,CAAC,eAAe,CAAQ,CAAA;QAC1D,MAAM,MAAM,GAAG,IAAI,CAAC,GAAG,IAAI,MAAM,EAAE,OAAO,EAAE,GAAG,CAAA;QAC/C,IAAI,CAAC,MAAM,EAAE,CAAC;YACZ,IAAI,CAAC,MAAM,CAAC,KAAK,CAAC,6EAA6E,CAAC,CAAA;YAChG,IAAI,CAAC,QAAQ,GAAG,CAAC,CAAA;YACjB,OAAM;QACR,CAAC;QAED,MAAM,EAAE,aAAa,EAAE,GAAG,MAAM,MAAM,CAAC,cAAc,CAAC,CAAA;QACtD,wDAAwD;QACxD,MAAM,EAAE,iBAAiB,EAAE,qBAAqB,EAAE,GAAG,MAAM,MAAM,CAAC,mBAAmB,CAAC,CAAA;QACtF,mEAAmE;QACnE,MAAM,WAAW,GAAG,MAAM,EAAE,WAAW,IAAI,EAAE,CAAA;QAE7C,sEAAsE;QACtE,yEAAyE;QACzE,yEAAyE;QACzE,iBAAiB;QACjB,MAAM,WAAW,GAAG,MAAM,IAAI,CAAC,kBAAkB,CAAC,MAAM,CAAC,CAAA;QACzD,IAAI,CAAC,WAAW;YAAE,OAAM;QAExB,2EAA2E;QAC3E,yEAAyE;QACzE,sEAAsE;QACtE,8EAA8E;QAC9E,2EAA2E;QAC3E,yEAAyE;QACzE,gEAAgE;QAChE,MAAM,SAAS,GAAG,iBAAiB,CAAC,MAAM,CAAC,CAAA;QAE3C,IAAI,IAAI,CAAC,OAAO,EAAE,CAAC;YACjB,MAAM,MAAM,GAAG,IAAI,aAAa,CAAC,EAAE,MAAM,EAAE,OAAO,EAAE,IAAI,CAAC,OAAO,EAAE,CAAC,CAAA;YACnE,MAAM,KAAK,GAAG,MAAM,MAAM,CAAC,uBAAuB,CAChD,iBAAiB,CAAC,WAAW,EAAE,WAAW,EAAE,SAAS,CAAC,CACvD,CAAA;YACD,IAAI,CAAC,MAAM,CAAC,OAAO,CAAC,0DAA0D,CAAC,CAAA;YAC/E,IAAI,SAAS;gBAAE,IAAI,CAAC,MAAM,CAAC,IAAI,CAAC,iCAAiC,SAAS,CAAC,WAAW,CAAC,GAAG,CAAC,CAAC,CAAC,EAAE,EAAE,CAAC,CAAC,CAAC,IAAI,CAAC,CAAC,IAAI,CAAC,IAAI,CAAC,EAAE,CAAC,CAAA;YACvH,IAAI,CAAC,MAAM,CAAC,GAAG,CAAC,oBAAoB,IAAI,CAAC,OAAO,EAAE,CAAC,CAAA;YACnD,IAAI,CAAC,MAAM,CAAC,GAAG,CAAC,oBAAoB,KAAK,CAAC,sBAAsB,EAAE,CAAC,CAAA;YACnE,OAAM;QACR,CAAC;QAED,wEAAwE;QACxE,MAAM,EAAE,OAAO,EAAE,OAAO,EAAE,GAAG,MAAM,qBAAqB,CACtD,MAAM,EACN,IAAI,CAAC,IAAI,IAAI,MAAM,EAAE,OAAO,EAAE,SAAS,IAAI,IAAI,CAAC,GAAG,CAAC,OAAO,EAC3D,WAAW,EACX,WAAW,EACX,SAAS,CACV,CAAA;QACD,IAAI,SAAS;YAAE,IAAI,CAAC,MAAM,CAAC,IAAI,CAAC,iCAAiC,SAAS,CAAC,WAAW,CAAC,GAAG,CAAC,CAAC,CAAC,EAAE,EAAE,CAAC,CAAC,CAAC,IAAI,CAAC,CAAC,IAAI,CAAC,IAAI,CAAC,EAAE,CAAC,CAAA;QACvH,IAAI,CAAC,MAAM,CAAC,OAAO,CAAC,4CAA4C,CAAC,CAAA;QACjE,IAAI,CAAC,MAAM,CAAC,GAAG,CAAC,+CAA+C,CAAC,CAAA;QAChE,IAAI,CAAC,MAAM,CAAC,GAAG,CAAC,eAAe,MAAM,EAAE,CAAC,CAAA;QACxC,IAAI,CAAC,MAAM,CAAC,GAAG,CAAC,oBAAoB,OAAO,EAAE,CAAC,CAAA;QAC9C,IAAI,CAAC,MAAM,CAAC,GAAG,CAAC,oBAAoB,OAAO,EAAE,CAAC,CAAA;IAChD,CAAC;IAED;;;;OAIG;IACK,KAAK,CAAC,kBAAkB,CAAC,MAAW;QAC1C,MAAM,KAAK,GAAG,MAAM,qBAAqB,CAAC,MAAM,CAAC,CAAA;QACjD,IAAI,KAAK,CAAC,MAAM,KAAK,CAAC,EAAE,CAAC;YACvB,IAAI,CAAC,MAAM,CAAC,KAAK,CACf,6EAA6E;gBAC3E,qFAAqF;gBACrF,oDAAoD,CACvD,CAAA;YACD,IAAI,CAAC,QAAQ,GAAG,CAAC,CAAA;YACjB,OAAO,IAAI,CAAA;QACb,CAAC;QACD,OAAO,KAAK,CAAA;IACd,CAAC;;AApFO;IADP,KAAK,CAAC,MAAM,CAAC,EAAE,WAAW,EAAE,2CAA2C,EAAE,CAAC;;6CAC5C;AAGvB;IADP,KAAK,CAAC,MAAM,CAAC,EAAE,KAAK,EAAE,GAAG,EAAE,WAAW,EAAE,0CAA0C,EAAE,CAAC;;iDACnD;AAG3B;IADP,KAAK,CAAC,MAAM,CAAC,EAAE,WAAW,EAAE,8DAA8D,EAAE,CAAC;;8CAC9D;AAiFlC;;;;;;;;;;GAUG;AACH,MAAM,CAAC,KAAK,UAAU,qBAAqB,CAAC,MAAW;IACrD,MAAM,OAAO,GAAoC,MAAM,EAAE,QAAQ,IAAI,EAAE,CAAA;IACvE,MAAM,KAAK,GAAG,IAAI,GAAG,EAAU,CAAA;IAC/B,KAAK,MAAM,MAAM,IAAI,OAAO,EAAE,CAAC;QAC7B,MAAM,OAAO,GAAG,MAAM,MAAM,EAAE,CAAA;QAC9B,KAAK,MAAM,UAAU,IAAI,OAAO,EAAE,WAAW,IAAI,EAAE;YAAE,KAAK,CAAC,GAAG,CAAC,UAAU,CAAC,IAAI,CAAC,CAAA;IACjF,CAAC;IACD,OAAO,CAAC,GAAG,KAAK,CAAC,CAAC,IAAI,EAAE,CAAA;AAC1B,CAAC;AAED;;;;;;;;;;;GAWG;AACH,MAAM,UAAU,iBAAiB,CAAC,MAAW;IAC3C,MAAM,WAAW,GAAG,MAAM,EAAE,SAAS,EAAE,MAAM,EAAE,WAAW,CAAA;IAC1D,IAAI,CAAC,KAAK,CAAC,OAAO,CAAC,WAAW,CAAC,IAAI,WAAW,CAAC,MAAM,KAAK,CAAC;QAAE,OAAO,SAAS,CAAA;IAC7E,OAAO,EAAE,WAAW,EAAE,CAAA;AACxB,CAAC"}

package/build/configure.d.ts

@@ -5,6 +5,17 @@ import type Configure from '@adonisjs/core/commands/configure';
  * Registra el provider, los comandos y el middleware, define las variables
  * de entorno y PUBLICA en el proyecto lo que es suyo: la migración de las
  * tablas `authz_*` y los dos configs (drivers + catálogo del nivel app).
+ *
+ * Es INTERACTIVO: pregunta lo MÍNIMO que cambia lo publicado —el driver por
+ * defecto y si publicar la migración de la outbox del árbol (opt-in, ver
+ * README)— con `command.prompt`. Lo que NO cambia según la respuesta no se
+ * pregunta: los dos configs siempre se publican con las dos costuras cableadas
+ * (el stub arranca en cualquier driver leyendo `AUTHZ_DRIVER`), así que la
+ * elección solo fija el DEFAULT de esa variable, no ramifica el stub —el que
+ * `configure.spec` compila sigue siendo el mismo—. Y las relaciones (Fase 4)
+ * NO se preguntan: sus tablas ya están en la migración del motor y su config
+ * es `defineRelationsConfig` en el propio proyecto; un prompt ahí no publicaría
+ * nada distinto.
  */
 export declare function configure(command: Configure): Promise<void>;
 //# sourceMappingURL=configure.d.ts.map

package/build/configure.d.ts.map

@@ -1 +1 @@
-{"version":3,"file":"configure.d.ts","sourceRoot":"","sources":["../configure.ts"],"names":[],"mappings":"AAAA,OAAO,KAAK,SAAS,MAAM,mCAAmC,CAAA;AAG9D;;;;;;GAMG;AACH,wBAAsB,SAAS,CAAC,OAAO,EAAE,SAAS,iBAuCjD"}
+{"version":3,"file":"configure.d.ts","sourceRoot":"","sources":["../configure.ts"],"names":[],"mappings":"AAAA,OAAO,KAAK,SAAS,MAAM,mCAAmC,CAAA;AAG9D;;;;;;;;;;;;;;;;;GAiBG;AACH,wBAAsB,SAAS,CAAC,OAAO,EAAE,SAAS,iBA4EjD"}

package/build/configure.js

@@ -5,9 +5,30 @@ import { stubsRoot } from './stubs/main.js';
  * Registra el provider, los comandos y el middleware, define las variables
  * de entorno y PUBLICA en el proyecto lo que es suyo: la migración de las
  * tablas `authz_*` y los dos configs (drivers + catálogo del nivel app).
+ *
+ * Es INTERACTIVO: pregunta lo MÍNIMO que cambia lo publicado —el driver por
+ * defecto y si publicar la migración de la outbox del árbol (opt-in, ver
+ * README)— con `command.prompt`. Lo que NO cambia según la respuesta no se
+ * pregunta: los dos configs siempre se publican con las dos costuras cableadas
+ * (el stub arranca en cualquier driver leyendo `AUTHZ_DRIVER`), así que la
+ * elección solo fija el DEFAULT de esa variable, no ramifica el stub —el que
+ * `configure.spec` compila sigue siendo el mismo—. Y las relaciones (Fase 4)
+ * NO se preguntan: sus tablas ya están en la migración del motor y su config
+ * es `defineRelationsConfig` en el propio proyecto; un prompt ahí no publicaría
+ * nada distinto.
  */
 export async function configure(command) {
     const codemods = await command.createCodemods();
+    // ── Preguntas (las únicas que cambian lo que se publica) ──────────────────
+    const defaultDriver = await command.prompt.choice('¿Qué driver de autorización por defecto? (AUTHZ_DRIVER; puedes cambiarlo por entorno)', [
+        { name: 'database', message: 'database — SQL propio, sin infraestructura extra (recomendado)' },
+        { name: 'openfga', message: 'openfga — los hechos viven en un servidor OpenFGA (necesita @openfga/sdk)' },
+    ], { default: 'database' });
+    // La outbox del árbol de scopes es OPT-IN (README: «configure no la publica,
+    // porque la outbox es opcional»). Se ofrece porque, sin ella, el consumidor
+    // tenía que copiar el stub a mano; sigue siendo suya y hay que registrar
+    // `sqlScopeOutbox()` en el config para usarla.
+    const withOutbox = await command.prompt.confirm('¿Publicar la migración de la outbox del árbol de scopes? (opt-in; propaga los cambios de árbol en tu misma transacción)', { default: false });
     await codemods.updateRcFile((rcFile) => {
         rcFile
             .addProvider('@jantstack/adonis-authz/authz_provider')
@@ -18,8 +39,12 @@ export async function configure(command) {
             name: 'appAccess',
             path: '@jantstack/adonis-authz/app_access_middleware',
         },
+        {
+            name: 'resourceAccess',
+            path: '@jantstack/adonis-authz/resource_access_middleware',
+        },
     ]);
-    await codemods.defineEnvVariables({ AUTHZ_DRIVER: 'database' });
+    await codemods.defineEnvVariables({ AUTHZ_DRIVER: defaultDriver });
     await codemods.defineEnvValidations({
         variables: {
             AUTHZ_DRIVER: `Env.schema.string.optional()`,
@@ -37,7 +62,18 @@ export async function configure(command) {
             fileName: `${new Date().getTime()}_create_authz_tables.ts`,
         },
     });
+    if (withOutbox) {
+        // El stub trae su propio destino fijo (`exports({ to: ... })`), sin plantilla.
+        await codemods.makeUsingStub(stubsRoot, 'scopes_outbox_migration.stub', {});
+    }
     command.logger.success('Autorización configurada.');
+    if (defaultDriver === 'openfga') {
+        command.logger.info('Driver por defecto: openfga. Instala su peer: npm i @openfga/sdk');
+        command.logger.info('Y aprovisiona el store: node ace openfga:provision');
+    }
+    if (withOutbox) {
+        command.logger.info('Outbox publicada. Registra `sqlScopeOutbox()` en config/authorization.ts (scopes.outbox y en el driver).');
+    }
     command.logger.info('Siguiente paso: node ace migration:run');
 }
 //# sourceMappingURL=configure.js.map

package/build/configure.js.map

@@ -1 +1 @@
-{"version":3,"file":"configure.js","sourceRoot":"","sources":["../configure.ts"],"names":[],"mappings":"AACA,OAAO,EAAE,SAAS,EAAE,MAAM,iBAAiB,CAAA;AAE3C;;;;;;GAMG;AACH,MAAM,CAAC,KAAK,UAAU,SAAS,CAAC,OAAkB;IAChD,MAAM,QAAQ,GAAG,MAAM,OAAO,CAAC,cAAc,EAAE,CAAA;IAE/C,MAAM,QAAQ,CAAC,YAAY,CAAC,CAAC,MAAW,EAAE,EAAE;QAC1C,MAAM;aACH,WAAW,CAAC,wCAAwC,CAAC;aACrD,UAAU,CAAC,kCAAkC,CAAC,CAAA;IACnD,CAAC,CAAC,CAAA;IAEF,MAAM,QAAQ,CAAC,kBAAkB,CAAC,OAAO,EAAE;QACzC;YACE,IAAI,EAAE,WAAW;YACjB,IAAI,EAAE,+CAA+C;SACtD;KACF,CAAC,CAAA;IAEF,MAAM,QAAQ,CAAC,kBAAkB,CAAC,EAAE,YAAY,EAAE,UAAU,EAAE,CAAC,CAAA;IAC/D,MAAM,QAAQ,CAAC,oBAAoB,CAAC;QAClC,SAAS,EAAE;YACT,YAAY,EAAE,8BAA8B;YAC5C,WAAW,EAAE,2DAA2D;YACxE,gBAAgB,EAAE,8BAA8B;YAChD,gBAAgB,EAAE,8BAA8B;SACjD;QACD,cAAc,EAAE,sCAAsC;KACvD,CAAC,CAAA;IAEF,MAAM,QAAQ,CAAC,aAAa,CAAC,SAAS,EAAE,2BAA2B,EAAE,EAAE,CAAC,CAAA;IACxE,MAAM,QAAQ,CAAC,aAAa,CAAC,SAAS,EAAE,qBAAqB,EAAE,EAAE,CAAC,CAAA;IAElE,MAAM,QAAQ,CAAC,aAAa,CAAC,SAAS,EAAE,gBAAgB,EAAE;QACxD,SAAS,EAAE;YACT,MAAM,EAAE,qBAAqB;YAC7B,QAAQ,EAAE,GAAG,IAAI,IAAI,EAAE,CAAC,OAAO,EAAE,yBAAyB;SAC3D;KACF,CAAC,CAAA;IAEF,OAAO,CAAC,MAAM,CAAC,OAAO,CAAC,2BAA2B,CAAC,CAAA;IACnD,OAAO,CAAC,MAAM,CAAC,IAAI,CAAC,wCAAwC,CAAC,CAAA;AAC/D,CAAC"}
+{"version":3,"file":"configure.js","sourceRoot":"","sources":["../configure.ts"],"names":[],"mappings":"AACA,OAAO,EAAE,SAAS,EAAE,MAAM,iBAAiB,CAAA;AAE3C;;;;;;;;;;;;;;;;;GAiBG;AACH,MAAM,CAAC,KAAK,UAAU,SAAS,CAAC,OAAkB;IAChD,MAAM,QAAQ,GAAG,MAAM,OAAO,CAAC,cAAc,EAAE,CAAA;IAE/C,6EAA6E;IAC7E,MAAM,aAAa,GAAG,MAAM,OAAO,CAAC,MAAM,CAAC,MAAM,CAC/C,uFAAuF,EACvF;QACE,EAAE,IAAI,EAAE,UAAU,EAAE,OAAO,EAAE,gEAAgE,EAAE;QAC/F,EAAE,IAAI,EAAE,SAAS,EAAE,OAAO,EAAE,2EAA2E,EAAE;KAC1G,EACD,EAAE,OAAO,EAAE,UAAU,EAAE,CACxB,CAAA;IAED,6EAA6E;IAC7E,4EAA4E;IAC5E,yEAAyE;IACzE,+CAA+C;IAC/C,MAAM,UAAU,GAAG,MAAM,OAAO,CAAC,MAAM,CAAC,OAAO,CAC7C,yHAAyH,EACzH,EAAE,OAAO,EAAE,KAAK,EAAE,CACnB,CAAA;IAED,MAAM,QAAQ,CAAC,YAAY,CAAC,CAAC,MAAW,EAAE,EAAE;QAC1C,MAAM;aACH,WAAW,CAAC,wCAAwC,CAAC;aACrD,UAAU,CAAC,kCAAkC,CAAC,CAAA;IACnD,CAAC,CAAC,CAAA;IAEF,MAAM,QAAQ,CAAC,kBAAkB,CAAC,OAAO,EAAE;QACzC;YACE,IAAI,EAAE,WAAW;YACjB,IAAI,EAAE,+CAA+C;SACtD;QACD;YACE,IAAI,EAAE,gBAAgB;YACtB,IAAI,EAAE,oDAAoD;SAC3D;KACF,CAAC,CAAA;IAEF,MAAM,QAAQ,CAAC,kBAAkB,CAAC,EAAE,YAAY,EAAE,aAAa,EAAE,CAAC,CAAA;IAClE,MAAM,QAAQ,CAAC,oBAAoB,CAAC;QAClC,SAAS,EAAE;YACT,YAAY,EAAE,8BAA8B;YAC5C,WAAW,EAAE,2DAA2D;YACxE,gBAAgB,EAAE,8BAA8B;YAChD,gBAAgB,EAAE,8BAA8B;SACjD;QACD,cAAc,EAAE,sCAAsC;KACvD,CAAC,CAAA;IAEF,MAAM,QAAQ,CAAC,aAAa,CAAC,SAAS,EAAE,2BAA2B,EAAE,EAAE,CAAC,CAAA;IACxE,MAAM,QAAQ,CAAC,aAAa,CAAC,SAAS,EAAE,qBAAqB,EAAE,EAAE,CAAC,CAAA;IAElE,MAAM,QAAQ,CAAC,aAAa,CAAC,SAAS,EAAE,gBAAgB,EAAE;QACxD,SAAS,EAAE;YACT,MAAM,EAAE,qBAAqB;YAC7B,QAAQ,EAAE,GAAG,IAAI,IAAI,EAAE,CAAC,OAAO,EAAE,yBAAyB;SAC3D;KACF,CAAC,CAAA;IAEF,IAAI,UAAU,EAAE,CAAC;QACf,+EAA+E;QAC/E,MAAM,QAAQ,CAAC,aAAa,CAAC,SAAS,EAAE,8BAA8B,EAAE,EAAE,CAAC,CAAA;IAC7E,CAAC;IAED,OAAO,CAAC,MAAM,CAAC,OAAO,CAAC,2BAA2B,CAAC,CAAA;IACnD,IAAI,aAAa,KAAK,SAAS,EAAE,CAAC;QAChC,OAAO,CAAC,MAAM,CAAC,IAAI,CAAC,kEAAkE,CAAC,CAAA;QACvF,OAAO,CAAC,MAAM,CAAC,IAAI,CAAC,oDAAoD,CAAC,CAAA;IAC3E,CAAC;IACD,IAAI,UAAU,EAAE,CAAC;QACf,OAAO,CAAC,MAAM,CAAC,IAAI,CACjB,0GAA0G,CAC3G,CAAA;IACH,CAAC;IACD,OAAO,CAAC,MAAM,CAAC,IAAI,CAAC,wCAAwC,CAAC,CAAA;AAC/D,CAAC"}

package/build/index.d.ts

@@ -2,22 +2,90 @@
  * Entrada pública del paquete.
  *   import { AuthorizationManager, APP_SCOPE } from '@jantstack/adonis-authz'
  */
-export { AuthorizationManager } from './src/manager.js';
+export { AuthorizationManager, DEFAULT_MAX_SCOPES, DEFAULT_MAX_DESCENDANTS, MAX_SCOPE_BOUND, DEFAULT_VIEW_MAX_AGE_MS, expandExcludedSubtrees } from './src/manager.js';
+export type { AuthorizationView, ForRequestOptions } from './src/manager.js';
 export { defineConfig } from './src/define_config.js';
 export type { AuthorizationConfig } from './src/define_config.js';
-export { syncAuthzCatalog } from './src/catalog.js';
+export { syncAuthzCatalog, diffAuthzCatalog, catalogInSync, formatCatalogDiff, formatScopedRoles, formatShadowedRoles, runCatalogDiff, syncCatalogs, } from './src/catalog/catalog.js';
+export type { SyncCatalogOptions, CatalogDiff, CatalogLinkRef, CatalogSource } from './src/catalog/catalog.js';
+/**
+ * Memo del catálogo (2.1): se revalida contra la versión compartida
+ * `authz_catalog_version`, que `syncAuthzCatalog` sube como última sentencia
+ * de su transacción. Quien escriba `authz_*` por fuera lo hace con
+ * `withAuthzCatalogWrite(async (trx) => …)` (misma transacción, bump al
+ * final: todos los procesos lo ven) — `bumpAuthzCatalogVersion(trx)` exige
+ * ese trx; `invalidateAuthzCatalog()` solo alcanza a este proceso.
+ */
+export { CatalogCache, invalidateAuthzCatalog, bumpAuthzCatalogVersion, withAuthzCatalogWrite, readAuthzCatalogVersion, CATALOG_VERSION_TABLE, GLOBAL_OWNER_KEY, } from './src/catalog/catalog_cache.js';
+export type { CatalogCacheOptions, CatalogRevalidate, CatalogView, CatalogRoleRef, CatalogPermission, AuthzCatalogWriteOptions, CatalogVersionClient, CatalogVersionTransaction, } from './src/catalog/catalog_cache.js';
+/**
+ * Memo de ancestros de una instancia (2.1), solo para el camino de lectura.
+ * `authorization.forRequest()` ya lo aplica por ti.
+ */
+export { memoizeAncestors } from './src/memoize_ancestors.js';
+/**
+ * Arbol del consumidor (2.1): `hierarchicalScopeResolver` construye el
+ * resolutor de ancestros desde un `parentOf`; `sqlDescendantsOf` genera el
+ * `descendantsOf` opt-in (CTE recursiva, PG y SQLite) para `authorizedScopes`.
+ */
+export { hierarchicalScopeResolver } from './src/hierarchical_resolver.js';
+export type { HierarchicalResolverOptions, NodeOf, ScopeNode } from './src/hierarchical_resolver.js';
+export { sqlDescendantsOf, sqlScopeEdges } from './src/sql_descendants.js';
+export type { SqlDescendantsOptions, SqlScopeEdgesOptions } from './src/sql_descendants.js';
+/**
+ * **La outbox del árbol** (3b-2d): `sqlScopeOutbox` implementa el puerto
+ * `ScopeOutbox` sobre Lucid, con la tabla de
+ * `stubs/scopes_outbox_migration.stub` (cópiala a tus migraciones:
+ * `configure` no la publica, porque la outbox es opt-in). Con
+ * `scopes.outbox` declarada, `authorization.scopes.attached/moved/detached`
+ * ENCOLAN el cambio en tu transacción en vez de escribir en el backend, y lo
+ * aplica `node ace authz:scopes:relay`. Cualquier implementación del puerto
+ * vale: el paquete no impone tabla.
+ */
+export { sqlScopeOutbox } from './src/scope_outbox.js';
+export type { SqlScopeOutboxOptions } from './src/scope_outbox.js';
 /**
  * El backend de autorización no respondió (503). Tipo PROPIO a propósito: sin
  * él escaparía el error del SDK del driver, y distinguir "backend caído"
  * obligaría a importar ese SDK — acoplando el call-site al backend que este
  * paquete existe para abstraer.
  */
-export { AuthorizationBackendError } from './src/errors.js';
+export { AuthorizationBackendError, AuthorizationBackendTimeoutError, ScopeResolverError, InvalidIdentityError, InvalidSlugError, AuthorizationConfigError, AuthorizationInternalError, UnknownScopeError, NoScopeResolverError, UnknownRoleError, UnknownPermissionError, CatalogConflictError, RoleIsNotAccessError, ScopeCycleError, PurgeIncompleteError, WriteConflictError, ActorRequiredError, NotWithinError, WithinRequiredError, WithinRootForbiddenError, TooManyScopesError, TooManyLocalRolesError, MassPurgeRefusedError, PruneInterruptedError, UnsupportedDialectError, ScopeTooDeepError, UnsupportedOperationError, NoDescendantsResolverError, ViewExpiredError, RoleNotVisibleError, AmbiguousRoleError, RoleImmutableError, RoleLevelAboveOwnerError, RoleNotAssignableAtError, PermissionNotDelegableError, RankExceededError, ModelTooLargeError, RelationConfigError, RelationTypeUnknownError, RelationUnknownError, ScopeTreeDriftError, ScopeDriftUnguardedError, AuthorizationFrozenError, FreezeHeldError, MassReconcileRefusedError, ReconcileTooLargeError, } from './src/errors.js';
+/**
+ * Validación de identidad y de slugs (422). La aplica el manager en cada
+ * llamada y los drivers por defensa en profundidad; se exporta para que un
+ * consumidor valide en su borde (un formulario, un importador) con la MISMA
+ * regla y no con una copia.
+ */
+export { assertIdentity, assertSubject, assertScope, assertValidSlug, assertExpiresAt, assertNoSlugCollisions, normalizeRoleQuery, scopeKey, scopeFromKey, IDENTITY_LIMITS, MAX_SLUG_LENGTH, RESERVED_SLUGS, RESERVED_SLUG_PREFIXES, RESERVED_FACTS_TYPES, } from './src/identity.js';
+export type { IdentityParts, SlugKind } from './src/identity.js';
+/**
+ * ReBAC genérico (Fase 4, `relations/`). El puerto `RelationsDriver` vive en
+ * `./src/types.js` (el contrato); aquí salen la API declarativa
+ * `defineRelationsConfig`, la fachada `RelationsManager` (F-05 + `assertWrite`
+ * + `actor`) y los tipos de la config.
+ */
+export { defineRelationsConfig } from './src/relations/define_relations_config.js';
+export type { RelationsConfig, RelationsConfigSpec, RelationsDatabaseOptions, RelationObjectTypeSpec, RelationObjectRelationSpec, } from './src/relations/define_relations_config.js';
+export { RelationsManager } from './src/relations/manager.js';
+export type { RelationsManagerOptions } from './src/relations/manager.js';
+export { reconcileRelations } from './src/relations/reconcile.js';
+export type { RelationsReconcileOptions, RelationsReconcileReport } from './src/relations/reconcile.js';
+export { saveRelationsConfig, readRelationsConfig, readRelationsConfigSpec, } from './src/relations_config_store.js';
+export type { RelationsConfigStoreOptions } from './src/relations_config_store.js';
+export { DatabaseRelationsDriver } from './src/drivers/database_relations_driver.js';
+export type { DatabaseRelationsDriverOptions } from './src/drivers/database_relations_driver.js';
+export { resolveGrantExpiry, isActiveExpiry, sameInstant } from './src/expiry.js';
 export { DatabaseAuthorizationDriver, APP_SCOPE_DB_UUID } from './src/drivers/database_driver.js';
-export { OpenFgaAuthorizationDriver, openFgaAuthorizationModel, provisionOpenFgaStore, importAuthzFactsToOpenFga, } from './src/drivers/openfga_driver.js';
-export type { HolderTypeMap, OpenFgaDriverOptions } from './src/drivers/openfga_driver.js';
-export { APP_SCOPE, APP_SCOPE_TYPE } from './src/types.js';
-export type { AuthorizationDriver, AuthorizationDriverFactory, AuthzWriteEvent, CatalogRoleSpec, CatalogSpec, GrantOptions, ScopeAncestorsResolver, ScopeRef, ScopeType, SubjectRef, } from './src/types.js';
+export type { DatabaseDriverOptions } from './src/drivers/database_driver.js';
+/**
+ * El driver `openfga` NO se exporta desde aquí: vive en el subpath
+ * `@jantstack/adonis-authz/openfga`, que es lo único que importa el peer
+ * opcional `@openfga/sdk`. Un consumidor solo-database arranca sin él (D9).
+ */
+export { APP_SCOPE, APP_SCOPE_TYPE, DEFAULT_RECONCILE_MAX_TUPLES } from './src/types.js';
+export type { AuthorizationDriver, AuthorizationDriverFactory, AuthorizedScopes, AuthzWriteEvent, AuthzCatalogWriteEvent, CatalogPermissionSpec, CatalogRole, CatalogRoleSpec, CatalogSpec, ScopedRoleChanges, ScopedRoleSpec, DenyOptions, DenyRef, ExcludedSubtree, GrantOptions, GrantOutcome, HolderTypeMap, ReconcileCounts, ReconcileFact, ReconcileFactPage, ReconcileFactsEnumerator, ReconcileOptions, ReconcileReport, ReconcileSkip, ReconcileSource, RoleQuery, ScopeChainResolver, ScopeDescendantsResolver, ScopeEdge, ScopeEdgePage, ScopeEdgesEnumerator, ScopedWriteOptions, ScopeRef, ScopeType, SubjectRef, WriteOptions, RelationsDriver, RelationsDriverCapabilities, RelObject, RelSubject, RelUserset, RelationRef, RelationWriteEvent, RelationWriteOptions, RelationPage, RelationObjectsPage, RelationSubjectsPage, RelationTuple, RelationTuplePage, } from './src/types.js';
+export { isRelUserset } from './src/types.js';
 export { default as AuthzRole } from './src/models/authz_role.js';
 export { default as AuthzPermission } from './src/models/authz_permission.js';
 export { default as AuthzRolePermission } from './src/models/authz_role_permission.js';

package/build/index.d.ts.map

@@ -1 +1 @@
-{"version":3,"file":"index.d.ts","sourceRoot":"","sources":["../index.ts"],"names":[],"mappings":"AAAA;;;GAGG;AACH,OAAO,EAAE,oBAAoB,EAAE,MAAM,kBAAkB,CAAA;AACvD,OAAO,EAAE,YAAY,EAAE,MAAM,wBAAwB,CAAA;AACrD,YAAY,EAAE,mBAAmB,EAAE,MAAM,wBAAwB,CAAA;AACjE,OAAO,EAAE,gBAAgB,EAAE,MAAM,kBAAkB,CAAA;AAEnD;;;;;GAKG;AACH,OAAO,EAAE,yBAAyB,EAAE,MAAM,iBAAiB,CAAA;AAE3D,OAAO,EAAE,2BAA2B,EAAE,iBAAiB,EAAE,MAAM,kCAAkC,CAAA;AACjG,OAAO,EACL,0BAA0B,EAC1B,yBAAyB,EACzB,qBAAqB,EACrB,yBAAyB,GAC1B,MAAM,iCAAiC,CAAA;AACxC,YAAY,EAAE,aAAa,EAAE,oBAAoB,EAAE,MAAM,iCAAiC,CAAA;AAE1F,OAAO,EAAE,SAAS,EAAE,cAAc,EAAE,MAAM,gBAAgB,CAAA;AAC1D,YAAY,EACV,mBAAmB,EACnB,0BAA0B,EAC1B,eAAe,EACf,eAAe,EACf,WAAW,EACX,YAAY,EACZ,sBAAsB,EACtB,QAAQ,EACR,SAAS,EACT,UAAU,GACX,MAAM,gBAAgB,CAAA;AAEvB,OAAO,EAAE,OAAO,IAAI,SAAS,EAAE,MAAM,4BAA4B,CAAA;AACjE,OAAO,EAAE,OAAO,IAAI,eAAe,EAAE,MAAM,kCAAkC,CAAA;AAC7E,OAAO,EAAE,OAAO,IAAI,mBAAmB,EAAE,MAAM,uCAAuC,CAAA;AACtF,OAAO,EAAE,OAAO,IAAI,eAAe,EAAE,MAAM,kCAAkC,CAAA;AAC7E,OAAO,EAAE,OAAO,IAAI,SAAS,EAAE,MAAM,4BAA4B,CAAA;AAEjE,OAAO,EAAE,eAAe,EAAE,MAAM,8BAA8B,CAAA;AAC9D,OAAO,EAAE,OAAO,EAAE,MAAM,0BAA0B,CAAA"}
+{"version":3,"file":"index.d.ts","sourceRoot":"","sources":["../index.ts"],"names":[],"mappings":"AAAA;;;GAGG;AACH,OAAO,EAAE,oBAAoB,EAAE,kBAAkB,EAAE,uBAAuB,EAAE,eAAe,EAAE,uBAAuB,EAAE,sBAAsB,EAAE,MAAM,kBAAkB,CAAA;AACtK,YAAY,EAAE,iBAAiB,EAAE,iBAAiB,EAAE,MAAM,kBAAkB,CAAA;AAC5E,OAAO,EAAE,YAAY,EAAE,MAAM,wBAAwB,CAAA;AACrD,YAAY,EAAE,mBAAmB,EAAE,MAAM,wBAAwB,CAAA;AACjE,OAAO,EACL,gBAAgB,EAChB,gBAAgB,EAChB,aAAa,EACb,iBAAiB,EACjB,iBAAiB,EACjB,mBAAmB,EACnB,cAAc,EACd,YAAY,GACb,MAAM,0BAA0B,CAAA;AACjC,YAAY,EAAE,kBAAkB,EAAE,WAAW,EAAE,cAAc,EAAE,aAAa,EAAE,MAAM,0BAA0B,CAAA;AAE9G;;;;;;;GAOG;AACH,OAAO,EACL,YAAY,EACZ,sBAAsB,EACtB,uBAAuB,EACvB,qBAAqB,EACrB,uBAAuB,EACvB,qBAAqB,EACrB,gBAAgB,GACjB,MAAM,gCAAgC,CAAA;AACvC,YAAY,EACV,mBAAmB,EACnB,iBAAiB,EACjB,WAAW,EACX,cAAc,EACd,iBAAiB,EACjB,wBAAwB,EACxB,oBAAoB,EACpB,yBAAyB,GAC1B,MAAM,gCAAgC,CAAA;AAEvC;;;GAGG;AACH,OAAO,EAAE,gBAAgB,EAAE,MAAM,4BAA4B,CAAA;AAE7D;;;;GAIG;AACH,OAAO,EAAE,yBAAyB,EAAE,MAAM,gCAAgC,CAAA;AAC1E,YAAY,EAAE,2BAA2B,EAAE,MAAM,EAAE,SAAS,EAAE,MAAM,gCAAgC,CAAA;AACpG,OAAO,EAAE,gBAAgB,EAAE,aAAa,EAAE,MAAM,0BAA0B,CAAA;AAC1E,YAAY,EAAE,qBAAqB,EAAE,oBAAoB,EAAE,MAAM,0BAA0B,CAAA;AAE3F;;;;;;;;;GASG;AACH,OAAO,EAAE,cAAc,EAAE,MAAM,uBAAuB,CAAA;AACtD,YAAY,EAAE,qBAAqB,EAAE,MAAM,uBAAuB,CAAA;AAElE;;;;;GAKG;AACH,OAAO,EACL,yBAAyB,EACzB,gCAAgC,EAChC,kBAAkB,EAClB,oBAAoB,EACpB,gBAAgB,EAChB,wBAAwB,EACxB,0BAA0B,EAC1B,iBAAiB,EACjB,oBAAoB,EACpB,gBAAgB,EAChB,sBAAsB,EACtB,oBAAoB,EACpB,oBAAoB,EACpB,eAAe,EACf,oBAAoB,EACpB,kBAAkB,EAClB,kBAAkB,EAClB,cAAc,EACd,mBAAmB,EACnB,wBAAwB,EACxB,kBAAkB,EAClB,sBAAsB,EACtB,qBAAqB,EACrB,qBAAqB,EACrB,uBAAuB,EACvB,iBAAiB,EACjB,yBAAyB,EACzB,0BAA0B,EAC1B,gBAAgB,EAChB,mBAAmB,EACnB,kBAAkB,EAClB,kBAAkB,EAClB,wBAAwB,EACxB,wBAAwB,EACxB,2BAA2B,EAC3B,iBAAiB,EACjB,kBAAkB,EAClB,mBAAmB,EACnB,wBAAwB,EACxB,oBAAoB,EACpB,mBAAmB,EACnB,wBAAwB,EACxB,wBAAwB,EACxB,eAAe,EACf,yBAAyB,EACzB,sBAAsB,GACvB,MAAM,iBAAiB,CAAA;AAExB;;;;;GAKG;AACH,OAAO,EACL,cAAc,EACd,aAAa,EACb,WAAW,EACX,eAAe,EACf,eAAe,EACf,sBAAsB,EACtB,kBAAkB,EAClB,QAAQ,EACR,YAAY,EACZ,eAAe,EACf,eAAe,EACf,cAAc,EACd,sBAAsB,EACtB,oBAAoB,GACrB,MAAM,mBAAmB,CAAA;AAC1B,YAAY,EAAE,aAAa,EAAE,QAAQ,EAAE,MAAM,mBAAmB,CAAA;AAEhE;;;;;GAKG;AACH,OAAO,EAAE,qBAAqB,EAAE,MAAM,4CAA4C,CAAA;AAClF,YAAY,EACV,eAAe,EACf,mBAAmB,EACnB,wBAAwB,EACxB,sBAAsB,EACtB,0BAA0B,GAC3B,MAAM,4CAA4C,CAAA;AACnD,OAAO,EAAE,gBAAgB,EAAE,MAAM,4BAA4B,CAAA;AAC7D,YAAY,EAAE,uBAAuB,EAAE,MAAM,4BAA4B,CAAA;AACzE,OAAO,EAAE,kBAAkB,EAAE,MAAM,8BAA8B,CAAA;AACjE,YAAY,EAAE,yBAAyB,EAAE,wBAAwB,EAAE,MAAM,8BAA8B,CAAA;AAIvG,OAAO,EACL,mBAAmB,EACnB,mBAAmB,EACnB,uBAAuB,GACxB,MAAM,iCAAiC,CAAA;AACxC,YAAY,EAAE,2BAA2B,EAAE,MAAM,iCAAiC,CAAA;AAIlF,OAAO,EAAE,uBAAuB,EAAE,MAAM,4CAA4C,CAAA;AACpF,YAAY,EAAE,8BAA8B,EAAE,MAAM,4CAA4C,CAAA;AAChG,OAAO,EAAE,kBAAkB,EAAE,cAAc,EAAE,WAAW,EAAE,MAAM,iBAAiB,CAAA;AAEjF,OAAO,EAAE,2BAA2B,EAAE,iBAAiB,EAAE,MAAM,kCAAkC,CAAA;AACjG,YAAY,EAAE,qBAAqB,EAAE,MAAM,kCAAkC,CAAA;AAE7E;;;;GAIG;AAEH,OAAO,EAAE,SAAS,EAAE,cAAc,EAAE,4BAA4B,EAAE,MAAM,gBAAgB,CAAA;AACxF,YAAY,EACV,mBAAmB,EACnB,0BAA0B,EAC1B,gBAAgB,EAChB,eAAe,EACf,sBAAsB,EACtB,qBAAqB,EACrB,WAAW,EACX,eAAe,EACf,WAAW,EACX,iBAAiB,EACjB,cAAc,EACd,WAAW,EACX,OAAO,EACP,eAAe,EACf,YAAY,EACZ,YAAY,EACZ,aAAa,EACb,eAAe,EACf,aAAa,EACb,iBAAiB,EACjB,wBAAwB,EACxB,gBAAgB,EAChB,eAAe,EACf,aAAa,EACb,eAAe,EACf,SAAS,EACT,kBAAkB,EAClB,wBAAwB,EACxB,SAAS,EACT,aAAa,EACb,oBAAoB,EACpB,kBAAkB,EAClB,QAAQ,EACR,SAAS,EACT,UAAU,EACV,YAAY,EACZ,eAAe,EACf,2BAA2B,EAC3B,SAAS,EACT,UAAU,EACV,UAAU,EACV,WAAW,EACX,kBAAkB,EAClB,oBAAoB,EACpB,YAAY,EACZ,mBAAmB,EACnB,oBAAoB,EACpB,aAAa,EACb,iBAAiB,GAClB,MAAM,gBAAgB,CAAA;AACvB,OAAO,EAAE,YAAY,EAAE,MAAM,gBAAgB,CAAA;AAE7C,OAAO,EAAE,OAAO,IAAI,SAAS,EAAE,MAAM,4BAA4B,CAAA;AACjE,OAAO,EAAE,OAAO,IAAI,eAAe,EAAE,MAAM,kCAAkC,CAAA;AAC7E,OAAO,EAAE,OAAO,IAAI,mBAAmB,EAAE,MAAM,uCAAuC,CAAA;AACtF,OAAO,EAAE,OAAO,IAAI,eAAe,EAAE,MAAM,kCAAkC,CAAA;AAC7E,OAAO,EAAE,OAAO,IAAI,SAAS,EAAE,MAAM,4BAA4B,CAAA;AAEjE,OAAO,EAAE,eAAe,EAAE,MAAM,8BAA8B,CAAA;AAC9D,OAAO,EAAE,OAAO,EAAE,MAAM,0BAA0B,CAAA"}

package/build/index.js

@@ -2,19 +2,81 @@
  * Entrada pública del paquete.
  *   import { AuthorizationManager, APP_SCOPE } from '@jantstack/adonis-authz'
  */
-export { AuthorizationManager } from './src/manager.js';
+export { AuthorizationManager, DEFAULT_MAX_SCOPES, DEFAULT_MAX_DESCENDANTS, MAX_SCOPE_BOUND, DEFAULT_VIEW_MAX_AGE_MS, expandExcludedSubtrees } from './src/manager.js';
 export { defineConfig } from './src/define_config.js';
-export { syncAuthzCatalog } from './src/catalog.js';
+export { syncAuthzCatalog, diffAuthzCatalog, catalogInSync, formatCatalogDiff, formatScopedRoles, formatShadowedRoles, runCatalogDiff, syncCatalogs, } from './src/catalog/catalog.js';
+/**
+ * Memo del catálogo (2.1): se revalida contra la versión compartida
+ * `authz_catalog_version`, que `syncAuthzCatalog` sube como última sentencia
+ * de su transacción. Quien escriba `authz_*` por fuera lo hace con
+ * `withAuthzCatalogWrite(async (trx) => …)` (misma transacción, bump al
+ * final: todos los procesos lo ven) — `bumpAuthzCatalogVersion(trx)` exige
+ * ese trx; `invalidateAuthzCatalog()` solo alcanza a este proceso.
+ */
+export { CatalogCache, invalidateAuthzCatalog, bumpAuthzCatalogVersion, withAuthzCatalogWrite, readAuthzCatalogVersion, CATALOG_VERSION_TABLE, GLOBAL_OWNER_KEY, } from './src/catalog/catalog_cache.js';
+/**
+ * Memo de ancestros de una instancia (2.1), solo para el camino de lectura.
+ * `authorization.forRequest()` ya lo aplica por ti.
+ */
+export { memoizeAncestors } from './src/memoize_ancestors.js';
+/**
+ * Arbol del consumidor (2.1): `hierarchicalScopeResolver` construye el
+ * resolutor de ancestros desde un `parentOf`; `sqlDescendantsOf` genera el
+ * `descendantsOf` opt-in (CTE recursiva, PG y SQLite) para `authorizedScopes`.
+ */
+export { hierarchicalScopeResolver } from './src/hierarchical_resolver.js';
+export { sqlDescendantsOf, sqlScopeEdges } from './src/sql_descendants.js';
+/**
+ * **La outbox del árbol** (3b-2d): `sqlScopeOutbox` implementa el puerto
+ * `ScopeOutbox` sobre Lucid, con la tabla de
+ * `stubs/scopes_outbox_migration.stub` (cópiala a tus migraciones:
+ * `configure` no la publica, porque la outbox es opt-in). Con
+ * `scopes.outbox` declarada, `authorization.scopes.attached/moved/detached`
+ * ENCOLAN el cambio en tu transacción en vez de escribir en el backend, y lo
+ * aplica `node ace authz:scopes:relay`. Cualquier implementación del puerto
+ * vale: el paquete no impone tabla.
+ */
+export { sqlScopeOutbox } from './src/scope_outbox.js';
 /**
  * El backend de autorización no respondió (503). Tipo PROPIO a propósito: sin
  * él escaparía el error del SDK del driver, y distinguir "backend caído"
  * obligaría a importar ese SDK — acoplando el call-site al backend que este
  * paquete existe para abstraer.
  */
-export { AuthorizationBackendError } from './src/errors.js';
+export { AuthorizationBackendError, AuthorizationBackendTimeoutError, ScopeResolverError, InvalidIdentityError, InvalidSlugError, AuthorizationConfigError, AuthorizationInternalError, UnknownScopeError, NoScopeResolverError, UnknownRoleError, UnknownPermissionError, CatalogConflictError, RoleIsNotAccessError, ScopeCycleError, PurgeIncompleteError, WriteConflictError, ActorRequiredError, NotWithinError, WithinRequiredError, WithinRootForbiddenError, TooManyScopesError, TooManyLocalRolesError, MassPurgeRefusedError, PruneInterruptedError, UnsupportedDialectError, ScopeTooDeepError, UnsupportedOperationError, NoDescendantsResolverError, ViewExpiredError, RoleNotVisibleError, AmbiguousRoleError, RoleImmutableError, RoleLevelAboveOwnerError, RoleNotAssignableAtError, PermissionNotDelegableError, RankExceededError, ModelTooLargeError, RelationConfigError, RelationTypeUnknownError, RelationUnknownError, ScopeTreeDriftError, ScopeDriftUnguardedError, AuthorizationFrozenError, FreezeHeldError, MassReconcileRefusedError, ReconcileTooLargeError, } from './src/errors.js';
+/**
+ * Validación de identidad y de slugs (422). La aplica el manager en cada
+ * llamada y los drivers por defensa en profundidad; se exporta para que un
+ * consumidor valide en su borde (un formulario, un importador) con la MISMA
+ * regla y no con una copia.
+ */
+export { assertIdentity, assertSubject, assertScope, assertValidSlug, assertExpiresAt, assertNoSlugCollisions, normalizeRoleQuery, scopeKey, scopeFromKey, IDENTITY_LIMITS, MAX_SLUG_LENGTH, RESERVED_SLUGS, RESERVED_SLUG_PREFIXES, RESERVED_FACTS_TYPES, } from './src/identity.js';
+/**
+ * ReBAC genérico (Fase 4, `relations/`). El puerto `RelationsDriver` vive en
+ * `./src/types.js` (el contrato); aquí salen la API declarativa
+ * `defineRelationsConfig`, la fachada `RelationsManager` (F-05 + `assertWrite`
+ * + `actor`) y los tipos de la config.
+ */
+export { defineRelationsConfig } from './src/relations/define_relations_config.js';
+export { RelationsManager } from './src/relations/manager.js';
+export { reconcileRelations } from './src/relations/reconcile.js';
+// La config de relaciones PERSISTIDA (🟡3): API de PLATAFORMA (bajo el gate de
+// versión, invariante 14). La CONSUME `authz:relations:reconcile` (config del
+// destino, para la deriva del modelo fusionado en --dry-run).
+export { saveRelationsConfig, readRelationsConfig, readRelationsConfigSpec, } from './src/relations_config_store.js';
+// El driver `database` de relaciones (el consumidor lo cablea en
+// `relations.drivers` de config/authorization.ts). El driver `openfga` de
+// relaciones NO sale de aquí: vive en el subpath `/openfga` (peer opcional).
+export { DatabaseRelationsDriver } from './src/drivers/database_relations_driver.js';
+export { resolveGrantExpiry, isActiveExpiry, sameInstant } from './src/expiry.js';
 export { DatabaseAuthorizationDriver, APP_SCOPE_DB_UUID } from './src/drivers/database_driver.js';
-export { OpenFgaAuthorizationDriver, openFgaAuthorizationModel, provisionOpenFgaStore, importAuthzFactsToOpenFga, } from './src/drivers/openfga_driver.js';
-export { APP_SCOPE, APP_SCOPE_TYPE } from './src/types.js';
+/**
+ * El driver `openfga` NO se exporta desde aquí: vive en el subpath
+ * `@jantstack/adonis-authz/openfga`, que es lo único que importa el peer
+ * opcional `@openfga/sdk`. Un consumidor solo-database arranca sin él (D9).
+ */
+export { APP_SCOPE, APP_SCOPE_TYPE, DEFAULT_RECONCILE_MAX_TUPLES } from './src/types.js';
+export { isRelUserset } from './src/types.js';
 export { default as AuthzRole } from './src/models/authz_role.js';
 export { default as AuthzPermission } from './src/models/authz_permission.js';
 export { default as AuthzRolePermission } from './src/models/authz_role_permission.js';

package/build/index.js.map

@@ -1 +1 @@
-{"version":3,"file":"index.js","sourceRoot":"","sources":["../index.ts"],"names":[],"mappings":"AAAA;;;GAGG;AACH,OAAO,EAAE,oBAAoB,EAAE,MAAM,kBAAkB,CAAA;AACvD,OAAO,EAAE,YAAY,EAAE,MAAM,wBAAwB,CAAA;AAErD,OAAO,EAAE,gBAAgB,EAAE,MAAM,kBAAkB,CAAA;AAEnD;;;;;GAKG;AACH,OAAO,EAAE,yBAAyB,EAAE,MAAM,iBAAiB,CAAA;AAE3D,OAAO,EAAE,2BAA2B,EAAE,iBAAiB,EAAE,MAAM,kCAAkC,CAAA;AACjG,OAAO,EACL,0BAA0B,EAC1B,yBAAyB,EACzB,qBAAqB,EACrB,yBAAyB,GAC1B,MAAM,iCAAiC,CAAA;AAGxC,OAAO,EAAE,SAAS,EAAE,cAAc,EAAE,MAAM,gBAAgB,CAAA;AAc1D,OAAO,EAAE,OAAO,IAAI,SAAS,EAAE,MAAM,4BAA4B,CAAA;AACjE,OAAO,EAAE,OAAO,IAAI,eAAe,EAAE,MAAM,kCAAkC,CAAA;AAC7E,OAAO,EAAE,OAAO,IAAI,mBAAmB,EAAE,MAAM,uCAAuC,CAAA;AACtF,OAAO,EAAE,OAAO,IAAI,eAAe,EAAE,MAAM,kCAAkC,CAAA;AAC7E,OAAO,EAAE,OAAO,IAAI,SAAS,EAAE,MAAM,4BAA4B,CAAA;AAEjE,OAAO,EAAE,eAAe,EAAE,MAAM,8BAA8B,CAAA;AAC9D,OAAO,EAAE,OAAO,EAAE,MAAM,0BAA0B,CAAA"}
+{"version":3,"file":"index.js","sourceRoot":"","sources":["../index.ts"],"names":[],"mappings":"AAAA;;;GAGG;AACH,OAAO,EAAE,oBAAoB,EAAE,kBAAkB,EAAE,uBAAuB,EAAE,eAAe,EAAE,uBAAuB,EAAE,sBAAsB,EAAE,MAAM,kBAAkB,CAAA;AAEtK,OAAO,EAAE,YAAY,EAAE,MAAM,wBAAwB,CAAA;AAErD,OAAO,EACL,gBAAgB,EAChB,gBAAgB,EAChB,aAAa,EACb,iBAAiB,EACjB,iBAAiB,EACjB,mBAAmB,EACnB,cAAc,EACd,YAAY,GACb,MAAM,0BAA0B,CAAA;AAGjC;;;;;;;GAOG;AACH,OAAO,EACL,YAAY,EACZ,sBAAsB,EACtB,uBAAuB,EACvB,qBAAqB,EACrB,uBAAuB,EACvB,qBAAqB,EACrB,gBAAgB,GACjB,MAAM,gCAAgC,CAAA;AAYvC;;;GAGG;AACH,OAAO,EAAE,gBAAgB,EAAE,MAAM,4BAA4B,CAAA;AAE7D;;;;GAIG;AACH,OAAO,EAAE,yBAAyB,EAAE,MAAM,gCAAgC,CAAA;AAE1E,OAAO,EAAE,gBAAgB,EAAE,aAAa,EAAE,MAAM,0BAA0B,CAAA;AAG1E;;;;;;;;;GASG;AACH,OAAO,EAAE,cAAc,EAAE,MAAM,uBAAuB,CAAA;AAGtD;;;;;GAKG;AACH,OAAO,EACL,yBAAyB,EACzB,gCAAgC,EAChC,kBAAkB,EAClB,oBAAoB,EACpB,gBAAgB,EAChB,wBAAwB,EACxB,0BAA0B,EAC1B,iBAAiB,EACjB,oBAAoB,EACpB,gBAAgB,EAChB,sBAAsB,EACtB,oBAAoB,EACpB,oBAAoB,EACpB,eAAe,EACf,oBAAoB,EACpB,kBAAkB,EAClB,kBAAkB,EAClB,cAAc,EACd,mBAAmB,EACnB,wBAAwB,EACxB,kBAAkB,EAClB,sBAAsB,EACtB,qBAAqB,EACrB,qBAAqB,EACrB,uBAAuB,EACvB,iBAAiB,EACjB,yBAAyB,EACzB,0BAA0B,EAC1B,gBAAgB,EAChB,mBAAmB,EACnB,kBAAkB,EAClB,kBAAkB,EAClB,wBAAwB,EACxB,wBAAwB,EACxB,2BAA2B,EAC3B,iBAAiB,EACjB,kBAAkB,EAClB,mBAAmB,EACnB,wBAAwB,EACxB,oBAAoB,EACpB,mBAAmB,EACnB,wBAAwB,EACxB,wBAAwB,EACxB,eAAe,EACf,yBAAyB,EACzB,sBAAsB,GACvB,MAAM,iBAAiB,CAAA;AAExB;;;;;GAKG;AACH,OAAO,EACL,cAAc,EACd,aAAa,EACb,WAAW,EACX,eAAe,EACf,eAAe,EACf,sBAAsB,EACtB,kBAAkB,EAClB,QAAQ,EACR,YAAY,EACZ,eAAe,EACf,eAAe,EACf,cAAc,EACd,sBAAsB,EACtB,oBAAoB,GACrB,MAAM,mBAAmB,CAAA;AAG1B;;;;;GAKG;AACH,OAAO,EAAE,qBAAqB,EAAE,MAAM,4CAA4C,CAAA;AAQlF,OAAO,EAAE,gBAAgB,EAAE,MAAM,4BAA4B,CAAA;AAE7D,OAAO,EAAE,kBAAkB,EAAE,MAAM,8BAA8B,CAAA;AAEjE,+EAA+E;AAC/E,8EAA8E;AAC9E,8DAA8D;AAC9D,OAAO,EACL,mBAAmB,EACnB,mBAAmB,EACnB,uBAAuB,GACxB,MAAM,iCAAiC,CAAA;AAExC,iEAAiE;AACjE,0EAA0E;AAC1E,6EAA6E;AAC7E,OAAO,EAAE,uBAAuB,EAAE,MAAM,4CAA4C,CAAA;AAEpF,OAAO,EAAE,kBAAkB,EAAE,cAAc,EAAE,WAAW,EAAE,MAAM,iBAAiB,CAAA;AAEjF,OAAO,EAAE,2BAA2B,EAAE,iBAAiB,EAAE,MAAM,kCAAkC,CAAA;AAGjG;;;;GAIG;AAEH,OAAO,EAAE,SAAS,EAAE,cAAc,EAAE,4BAA4B,EAAE,MAAM,gBAAgB,CAAA;AAoDxF,OAAO,EAAE,YAAY,EAAE,MAAM,gBAAgB,CAAA;AAE7C,OAAO,EAAE,OAAO,IAAI,SAAS,EAAE,MAAM,4BAA4B,CAAA;AACjE,OAAO,EAAE,OAAO,IAAI,eAAe,EAAE,MAAM,kCAAkC,CAAA;AAC7E,OAAO,EAAE,OAAO,IAAI,mBAAmB,EAAE,MAAM,uCAAuC,CAAA;AACtF,OAAO,EAAE,OAAO,IAAI,eAAe,EAAE,MAAM,kCAAkC,CAAA;AAC7E,OAAO,EAAE,OAAO,IAAI,SAAS,EAAE,MAAM,4BAA4B,CAAA;AAEjE,OAAO,EAAE,eAAe,EAAE,MAAM,8BAA8B,CAAA;AAC9D,OAAO,EAAE,OAAO,EAAE,MAAM,0BAA0B,CAAA"}

package/build/providers/authz_provider.d.ts

@@ -1,13 +1,37 @@
 import type { ApplicationService } from '@adonisjs/core/types';
 import { AuthorizationManager } from '../src/manager.js';
+import { RelationsManager } from '../src/relations/manager.js';
+import type { AuthorizationConfig } from '../src/define_config.js';
 declare module '@adonisjs/core/types' {
     interface ContainerBindings {
         'authz.manager': AuthorizationManager;
+        'authz.relations': RelationsManager;
     }
 }
 /**
- * Registra el manager de autorización como singleton del contenedor,
- * construido desde `config/authorization.ts` de la aplicación.
+ * **Construye el `RelationsManager` de servicio desde el config** (Fase 4-8) —
+ * el análogo de resolver el `AuthorizationManager` del provider, pero para el
+ * puerto de relaciones. Función PURA (no toca el contenedor) para tener su caso
+ * sin montar la app: recibe el config y devuelve el manager cableado.
+ *
+ * El driver ACTIVO sale de `relations.drivers[relations.default ?? default]`
+ * (los drivers de relaciones se nombran igual que los de roles); la config, de
+ * `relations.config` (la MISMA que capturan las factories de `drivers`, así que
+ * la frontera F-05 del manager y la del driver son la misma). `requireActor` se
+ * hereda del config de roles: la política de auditoría es una sola.
+ *
+ * Sin `relations.config` o sin el driver activo lanza con la receta: las
+ * relaciones son OPT-IN y este servicio solo existe si el consumidor las
+ * declaró.
+ */
+export declare function buildRelationsManager(config: AuthorizationConfig): Promise<RelationsManager>;
+/**
+ * Registra los managers de autorización como singletons del contenedor,
+ * construidos desde `config/authorization.ts` de la aplicación:
+ *
+ *  - `authz.manager`: el motor de roles (siempre).
+ *  - `authz.relations`: el motor de ReBAC (solo si el consumidor declaró
+ *    `relations.config`; si no, resolverlo lanza con la receta).
  */
 export default class AuthzProvider {
     protected app: ApplicationService;

package/build/providers/authz_provider.d.ts.map

@@ -1 +1 @@
-{"version":3,"file":"authz_provider.d.ts","sourceRoot":"","sources":["../../providers/authz_provider.ts"],"names":[],"mappings":"AAAA,OAAO,KAAK,EAAE,kBAAkB,EAAE,MAAM,sBAAsB,CAAA;AAC9D,OAAO,EAAE,oBAAoB,EAAE,MAAM,mBAAmB,CAAA;AAExD,OAAO,QAAQ,sBAAsB,CAAC;IACpC,UAAiB,iBAAiB;QAChC,eAAe,EAAE,oBAAoB,CAAA;KACtC;CACF;AAED;;;GAGG;AACH,MAAM,CAAC,OAAO,OAAO,aAAa;IACpB,SAAS,CAAC,GAAG,EAAE,kBAAkB;gBAAvB,GAAG,EAAE,kBAAkB;IAE7C,QAAQ;CAWT"}
+{"version":3,"file":"authz_provider.d.ts","sourceRoot":"","sources":["../../providers/authz_provider.ts"],"names":[],"mappings":"AAAA,OAAO,KAAK,EAAE,kBAAkB,EAAE,MAAM,sBAAsB,CAAA;AAC9D,OAAO,EAAE,oBAAoB,EAAE,MAAM,mBAAmB,CAAA;AACxD,OAAO,EAAE,gBAAgB,EAAE,MAAM,6BAA6B,CAAA;AAC9D,OAAO,KAAK,EAAE,mBAAmB,EAAE,MAAM,yBAAyB,CAAA;AAElE,OAAO,QAAQ,sBAAsB,CAAC;IACpC,UAAiB,iBAAiB;QAChC,eAAe,EAAE,oBAAoB,CAAA;QACrC,iBAAiB,EAAE,gBAAgB,CAAA;KACpC;CACF;AAED;;;;;;;;;;;;;;;GAeG;AACH,wBAAsB,qBAAqB,CAAC,MAAM,EAAE,mBAAmB,GAAG,OAAO,CAAC,gBAAgB,CAAC,CAqBlG;AAED;;;;;;;GAOG;AACH,MAAM,CAAC,OAAO,OAAO,aAAa;IACpB,SAAS,CAAC,GAAG,EAAE,kBAAkB;gBAAvB,GAAG,EAAE,kBAAkB;IAE7C,QAAQ;CAqBT"}