@jantstack/adonis-authz 2.0.0-alpha.1 → 2.4.0-alpha.1

package/build/commands/authz_catalog_diff.js

@@ -40,7 +40,7 @@ export default class AuthzCatalogDiff extends BaseCommand {
             this.exitCode = 1;
             return;
         }
-        const { runCatalogDiff } = await import('../src/catalog.js');
+        const { runCatalogDiff } = await import('../src/catalog/catalog.js');
         // Con el resolutor del config el diff puede juzgar además si dos roles
         // LOCALES homónimos son visibles en la misma cadena (3D · M2 d).
         const { inSync, lines } = await runCatalogDiff(catalogs, {

package/build/commands/authz_catalog_diff.js.map

@@ -1 +1 @@
-{"version":3,"file":"authz_catalog_diff.js","sourceRoot":"","sources":["../../commands/authz_catalog_diff.ts"],"names":[],"mappings":";;;;;;;;;AAAA,OAAO,EAAE,WAAW,EAAE,KAAK,EAAE,MAAM,oBAAoB,CAAA;AAGvD;;;;;;;;;;;;;;;;;GAiBG;AACH,MAAM,CAAC,OAAO,OAAO,gBAAiB,SAAQ,WAAW;IACvD,MAAM,CAAC,WAAW,GAAG,oBAAoB,CAAA;IACzC,MAAM,CAAC,WAAW,GAAG,mFAAmF,CAAA;IAExG,MAAM,CAAC,OAAO,GAAmB;QAC/B,QAAQ,EAAE,IAAI;KACf,CAAA;IAQD,KAAK,CAAC,GAAG;QACP,MAAM,MAAM,GAAG,IAAI,CAAC,GAAG,CAAC,MAAM,CAAC,GAAG,CAAC,eAAe,CAAQ,CAAA;QAC1D,MAAM,QAAQ,GAAG,MAAM,EAAE,QAAQ,CAAA;QACjC,IAAI,CAAC,KAAK,CAAC,OAAO,CAAC,QAAQ,CAAC,IAAI,QAAQ,CAAC,MAAM,KAAK,CAAC,EAAE,CAAC;YACtD,IAAI,CAAC,MAAM,CAAC,KAAK,CACf,8FAA8F,CAC/F,CAAA;YACD,IAAI,CAAC,QAAQ,GAAG,CAAC,CAAA;YACjB,OAAM;QACR,CAAC;QAED,MAAM,EAAE,cAAc,EAAE,GAAG,MAAM,MAAM,CAAC,mBAAmB,CAAC,CAAA;QAC5D,uEAAuE;QACvE,iEAAiE;QACjE,MAAM,EAAE,MAAM,EAAE,KAAK,EAAE,GAAG,MAAM,cAAc,CAAC,QAAQ,EAAE;YACvD,YAAY,EAAE,MAAM,EAAE,MAAM,EAAE,YAAY;YAC1C,aAAa,EAAE,IAAI,CAAC,aAAa,KAAK,IAAI;SAC3C,CAAC,CAAA;QACF,KAAK,MAAM,IAAI,IAAI,KAAK;YAAE,IAAI,CAAC,MAAM,CAAC,GAAG,CAAC,IAAI,CAAC,CAAA;QAC/C,IAAI,MAAM,EAAE,CAAC;YACX,IAAI,CAAC,MAAM,CAAC,OAAO,CAAC,+BAA+B,CAAC,CAAA;YACpD,OAAM;QACR,CAAC;QACD,IAAI,CAAC,MAAM,CAAC,KAAK,CAAC,qEAAqE,CAAC,CAAA;QACxF,IAAI,CAAC,QAAQ,GAAG,CAAC,CAAA;IACnB,CAAC;;AA3BO;IAJP,KAAK,CAAC,OAAO,CAAC;QACb,IAAI,EAAE,iBAAiB;QACvB,WAAW,EAAE,2FAA2F;KACzG,CAAC;;uDAC4B"}
+{"version":3,"file":"authz_catalog_diff.js","sourceRoot":"","sources":["../../commands/authz_catalog_diff.ts"],"names":[],"mappings":";;;;;;;;;AAAA,OAAO,EAAE,WAAW,EAAE,KAAK,EAAE,MAAM,oBAAoB,CAAA;AAGvD;;;;;;;;;;;;;;;;;GAiBG;AACH,MAAM,CAAC,OAAO,OAAO,gBAAiB,SAAQ,WAAW;IACvD,MAAM,CAAC,WAAW,GAAG,oBAAoB,CAAA;IACzC,MAAM,CAAC,WAAW,GAAG,mFAAmF,CAAA;IAExG,MAAM,CAAC,OAAO,GAAmB;QAC/B,QAAQ,EAAE,IAAI;KACf,CAAA;IAQD,KAAK,CAAC,GAAG;QACP,MAAM,MAAM,GAAG,IAAI,CAAC,GAAG,CAAC,MAAM,CAAC,GAAG,CAAC,eAAe,CAAQ,CAAA;QAC1D,MAAM,QAAQ,GAAG,MAAM,EAAE,QAAQ,CAAA;QACjC,IAAI,CAAC,KAAK,CAAC,OAAO,CAAC,QAAQ,CAAC,IAAI,QAAQ,CAAC,MAAM,KAAK,CAAC,EAAE,CAAC;YACtD,IAAI,CAAC,MAAM,CAAC,KAAK,CACf,8FAA8F,CAC/F,CAAA;YACD,IAAI,CAAC,QAAQ,GAAG,CAAC,CAAA;YACjB,OAAM;QACR,CAAC;QAED,MAAM,EAAE,cAAc,EAAE,GAAG,MAAM,MAAM,CAAC,2BAA2B,CAAC,CAAA;QACpE,uEAAuE;QACvE,iEAAiE;QACjE,MAAM,EAAE,MAAM,EAAE,KAAK,EAAE,GAAG,MAAM,cAAc,CAAC,QAAQ,EAAE;YACvD,YAAY,EAAE,MAAM,EAAE,MAAM,EAAE,YAAY;YAC1C,aAAa,EAAE,IAAI,CAAC,aAAa,KAAK,IAAI;SAC3C,CAAC,CAAA;QACF,KAAK,MAAM,IAAI,IAAI,KAAK;YAAE,IAAI,CAAC,MAAM,CAAC,GAAG,CAAC,IAAI,CAAC,CAAA;QAC/C,IAAI,MAAM,EAAE,CAAC;YACX,IAAI,CAAC,MAAM,CAAC,OAAO,CAAC,+BAA+B,CAAC,CAAA;YACpD,OAAM;QACR,CAAC;QACD,IAAI,CAAC,MAAM,CAAC,KAAK,CAAC,qEAAqE,CAAC,CAAA;QACxF,IAAI,CAAC,QAAQ,GAAG,CAAC,CAAA;IACnB,CAAC;;AA3BO;IAJP,KAAK,CAAC,OAAO,CAAC;QACb,IAAI,EAAE,iBAAiB;QACvB,WAAW,EAAE,2FAA2F;KACzG,CAAC;;uDAC4B"}

package/build/commands/authz_catalog_prune_orphans.d.ts

@@ -0,0 +1,78 @@
+import { BaseCommand } from '@adonisjs/core/ace';
+import { CommandOptions } from '@adonisjs/core/types/ace';
+/** Un huérfano tal como lo reporta `manager.pruneOrphanRoles()`. */
+interface OrphanRow {
+    role: {
+        uuid: string;
+        slug: string;
+        scopeType: string;
+        rank: number;
+    };
+    owner: {
+        type: string;
+        uuid?: string | null;
+    };
+    permissions: string[];
+    /** Hechos vigentes del rol, o `undefined` si el driver no sabe contarlos (3b-2j). */
+    assignments: number | undefined;
+    /** `true` concede, `false` no concede SEGURO, `undefined` **no se sabe** (3b-2j). */
+    stillGranting: boolean | undefined;
+}
+/**
+ * Las líneas del listado, en TRES cubos (3b-2j, decisión del dueño del
+ * 2026-08-31 (3) · consecuencia 2). Es una función pura para que el reparto
+ * —lo único del comando que decide algo— tenga su caso.
+ *
+ *  - `stillGranting === false`: el driver ha contado sus hechos y son cero.
+ *    Es el único cubo del que se puede decir «no concede»: línea normal.
+ *  - `true`: concede hoy. Aparte y con aviso, desde 3b-0b · AA1.
+ *  - `undefined`: el driver no implementa `countRoleAssignments`, así que
+ *    NADIE lo sabe. Va con los anteriores —aparte y con aviso—, porque «no
+ *    lo sé» no puede leerse como «no concede» justo antes de un borrado.
+ */
+export declare function orphanLines(orphans: OrphanRow[], purged: Set<string>, skipped: Set<string>): Array<{
+    level: 'log' | 'warning';
+    message: string;
+}>;
+/**
+ * Lista —y con `--force` borra— los roles LOCALES cuyo owner el árbol del
+ * consumidor YA NO conoce (3b-0 · Z2).
+ *
+ * Un rol así está DORMIDO, y «dormido» significa exactamente esto
+ * (3b-0b · AA1): no es visible desde ningún scope vivo cuya cadena NO pase
+ * por su owner. NO significa que no conceda: un descendiente vivo cuya ruta
+ * materializada siga pasando por el owner cumple la regla de visibilidad
+ * (invariante 18), y desde ahí el rol concede, es membresía y se puede
+ * asignar. Por eso este comando puede estar revocando permisos VIVOS, y por
+ * eso los huérfanos que aún tienen asignaciones vigentes se listan aparte,
+ * con aviso — y desde 3b-2j también los que el driver no sabe contar (un
+ * driver sin `countRoleAssignments`): «no lo sé» no es «no concede».
+ *
+ * Lo que el rol dormido hace en todo caso es ocupar su
+ * `(slug, nivel)` allí donde todavía se le vea, y `deleteScopedRole` no lo
+ * alcanza (resuelve el owner en fresco: 422 `E_AUTHZ_UNKNOWN_SCOPE`). Esta
+ * es su salida.
+ *
+ *   node ace authz:catalog:prune-orphans                      # --dry-run: solo lista
+ *   node ace authz:catalog:prune-orphans --force              # purga de verdad
+ *   node ace authz:catalog:prune-orphans --force --allow-mass-purge
+ *
+ * Es una operación de PLATAFORMA, no una escritura que dispare un tenant: no
+ * lleva actor ni mide rangos. Hasta 3G esta limpieza la arrastraba
+ * `scopes.detached` —que SÍ dispara un tenant, sobre un scope que ya no
+ * resuelve—, y de ahí salieron tres de las cuatro regresiones de la Fase 3.
+ *
+ * `--allow-mass-purge` (3b-0b · AA2) desbloquea la cota que rechaza una
+ * pasada con la firma de un resolutor ciego (todos los owners huérfanos, o
+ * más del 50 % de los roles locales): es una decisión humana, no un default.
+ */
+export default class AuthzCatalogPruneOrphans extends BaseCommand {
+    static commandName: string;
+    static description: string;
+    static options: CommandOptions;
+    force: boolean | undefined;
+    allowMassPurge: boolean | undefined;
+    run(): Promise<void>;
+}
+export {};
+//# sourceMappingURL=authz_catalog_prune_orphans.d.ts.map

package/build/commands/authz_catalog_prune_orphans.d.ts.map

@@ -0,0 +1 @@
+{"version":3,"file":"authz_catalog_prune_orphans.d.ts","sourceRoot":"","sources":["../../commands/authz_catalog_prune_orphans.ts"],"names":[],"mappings":"AAAA,OAAO,EAAE,WAAW,EAAS,MAAM,oBAAoB,CAAA;AACvD,OAAO,EAAE,cAAc,EAAE,MAAM,0BAA0B,CAAA;AAEzD,oEAAoE;AACpE,UAAU,SAAS;IACjB,IAAI,EAAE;QAAE,IAAI,EAAE,MAAM,CAAC;QAAC,IAAI,EAAE,MAAM,CAAC;QAAC,SAAS,EAAE,MAAM,CAAC;QAAC,IAAI,EAAE,MAAM,CAAA;KAAE,CAAA;IACrE,KAAK,EAAE;QAAE,IAAI,EAAE,MAAM,CAAC;QAAC,IAAI,CAAC,EAAE,MAAM,GAAG,IAAI,CAAA;KAAE,CAAA;IAC7C,WAAW,EAAE,MAAM,EAAE,CAAA;IACrB,qFAAqF;IACrF,WAAW,EAAE,MAAM,GAAG,SAAS,CAAA;IAC/B,qFAAqF;IACrF,aAAa,EAAE,OAAO,GAAG,SAAS,CAAA;CACnC;AAED;;;;;;;;;;;GAWG;AACH,wBAAgB,WAAW,CACzB,OAAO,EAAE,SAAS,EAAE,EACpB,MAAM,EAAE,GAAG,CAAC,MAAM,CAAC,EACnB,OAAO,EAAE,GAAG,CAAC,MAAM,CAAC,GACnB,KAAK,CAAC;IAAE,KAAK,EAAE,KAAK,GAAG,SAAS,CAAC;IAAC,OAAO,EAAE,MAAM,CAAA;CAAE,CAAC,CAoCtD;AAED;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;GA+BG;AACH,MAAM,CAAC,OAAO,OAAO,wBAAyB,SAAQ,WAAW;IAC/D,MAAM,CAAC,WAAW,SAAgC;IAClD,MAAM,CAAC,WAAW,SAAkF;IAEpG,MAAM,CAAC,OAAO,EAAE,cAAc,CAE7B;IAGO,KAAK,EAAE,OAAO,GAAG,SAAS,CAAA;IAM1B,cAAc,EAAE,OAAO,GAAG,SAAS,CAAA;IAErC,GAAG;CAuCV"}

package/build/commands/authz_catalog_prune_orphans.js

@@ -0,0 +1,136 @@
+var __decorate = (this && this.__decorate) || function (decorators, target, key, desc) {
+    var c = arguments.length, r = c < 3 ? target : desc === null ? desc = Object.getOwnPropertyDescriptor(target, key) : desc, d;
+    if (typeof Reflect === "object" && typeof Reflect.decorate === "function") r = Reflect.decorate(decorators, target, key, desc);
+    else for (var i = decorators.length - 1; i >= 0; i--) if (d = decorators[i]) r = (c < 3 ? d(r) : c > 3 ? d(target, key, r) : d(target, key)) || r;
+    return c > 3 && r && Object.defineProperty(target, key, r), r;
+};
+var __metadata = (this && this.__metadata) || function (k, v) {
+    if (typeof Reflect === "object" && typeof Reflect.metadata === "function") return Reflect.metadata(k, v);
+};
+import { BaseCommand, flags } from '@adonisjs/core/ace';
+/**
+ * Las líneas del listado, en TRES cubos (3b-2j, decisión del dueño del
+ * 2026-08-31 (3) · consecuencia 2). Es una función pura para que el reparto
+ * —lo único del comando que decide algo— tenga su caso.
+ *
+ *  - `stillGranting === false`: el driver ha contado sus hechos y son cero.
+ *    Es el único cubo del que se puede decir «no concede»: línea normal.
+ *  - `true`: concede hoy. Aparte y con aviso, desde 3b-0b · AA1.
+ *  - `undefined`: el driver no implementa `countRoleAssignments`, así que
+ *    NADIE lo sabe. Va con los anteriores —aparte y con aviso—, porque «no
+ *    lo sé» no puede leerse como «no concede» justo antes de un borrado.
+ */
+export function orphanLines(orphans, purged, skipped) {
+    const estado = (o) => skipped.has(o.role.uuid) ? 'saltado (el owner volvió)' : purged.has(o.role.uuid) ? 'purgado' : 'huérfano';
+    const linea = (o) => `${o.role.slug}@${o.role.scopeType} (uuid ${o.role.uuid}, rank ${o.role.rank}) — owner ` +
+        `${o.owner.type}:${o.owner.uuid ?? ''} ya no existe en el árbol; permisos: ${o.permissions.join(', ') || '—'}` +
+        (o.stillGranting === true ? `; asignaciones VIGENTES: ${o.assignments}` : '');
+    const lines = [];
+    for (const o of orphans.filter((x) => x.stillGranting === false)) {
+        lines.push({ level: 'log', message: `${estado(o)}: ${linea(o)}` });
+    }
+    const vivos = orphans.filter((x) => x.stillGranting === true);
+    for (const o of vivos)
+        lines.push({ level: 'warning', message: `${estado(o)} · TODAVÍA CONCEDE: ${linea(o)}` });
+    const dudosos = orphans.filter((x) => x.stillGranting === undefined);
+    for (const o of dudosos) {
+        lines.push({ level: 'warning', message: `${estado(o)} · NO SE SABE SI CONCEDE: ${linea(o)}` });
+    }
+    if (vivos.length > 0) {
+        lines.push({
+            level: 'warning',
+            message: `${vivos.length} rol(es) huérfano(s) siguen teniendo asignaciones vigentes: un rol dormido NO deja de conceder si ` +
+                `algún scope vivo conserva al owner en su cadena (rutas materializadas, borrado en dos pasos). Purgarlos revoca ` +
+                `permisos que hoy funcionan.`,
+        });
+    }
+    if (dudosos.length > 0) {
+        lines.push({
+            level: 'warning',
+            message: `${dudosos.length} rol(es) huérfano(s) SIN demostración de que no concedan: el driver configurado no implementa ` +
+                `'countRoleAssignments' (el método del puerto que cuenta los hechos vigentes de un rol), así que nadie sabe si ` +
+                `están concediendo. Se listan aparte a propósito: 'no lo sé' no es 'no concede', y --force los borra igual.`,
+        });
+    }
+    return lines;
+}
+/**
+ * Lista —y con `--force` borra— los roles LOCALES cuyo owner el árbol del
+ * consumidor YA NO conoce (3b-0 · Z2).
+ *
+ * Un rol así está DORMIDO, y «dormido» significa exactamente esto
+ * (3b-0b · AA1): no es visible desde ningún scope vivo cuya cadena NO pase
+ * por su owner. NO significa que no conceda: un descendiente vivo cuya ruta
+ * materializada siga pasando por el owner cumple la regla de visibilidad
+ * (invariante 18), y desde ahí el rol concede, es membresía y se puede
+ * asignar. Por eso este comando puede estar revocando permisos VIVOS, y por
+ * eso los huérfanos que aún tienen asignaciones vigentes se listan aparte,
+ * con aviso — y desde 3b-2j también los que el driver no sabe contar (un
+ * driver sin `countRoleAssignments`): «no lo sé» no es «no concede».
+ *
+ * Lo que el rol dormido hace en todo caso es ocupar su
+ * `(slug, nivel)` allí donde todavía se le vea, y `deleteScopedRole` no lo
+ * alcanza (resuelve el owner en fresco: 422 `E_AUTHZ_UNKNOWN_SCOPE`). Esta
+ * es su salida.
+ *
+ *   node ace authz:catalog:prune-orphans                      # --dry-run: solo lista
+ *   node ace authz:catalog:prune-orphans --force              # purga de verdad
+ *   node ace authz:catalog:prune-orphans --force --allow-mass-purge
+ *
+ * Es una operación de PLATAFORMA, no una escritura que dispare un tenant: no
+ * lleva actor ni mide rangos. Hasta 3G esta limpieza la arrastraba
+ * `scopes.detached` —que SÍ dispara un tenant, sobre un scope que ya no
+ * resuelve—, y de ahí salieron tres de las cuatro regresiones de la Fase 3.
+ *
+ * `--allow-mass-purge` (3b-0b · AA2) desbloquea la cota que rechaza una
+ * pasada con la firma de un resolutor ciego (todos los owners huérfanos, o
+ * más del 50 % de los roles locales): es una decisión humana, no un default.
+ */
+export default class AuthzCatalogPruneOrphans extends BaseCommand {
+    static commandName = 'authz:catalog:prune-orphans';
+    static description = 'List (or, with --force, purge) local roles whose owner scope no longer exists';
+    static options = {
+        startApp: true,
+    };
+    async run() {
+        const { default: authorization } = await import('../services/main.js');
+        const { orphans, purged, skipped, massPurge, dryRun } = await authorization.pruneOrphanRoles({
+            force: this.force === true,
+            allowMassPurge: this.allowMassPurge === true,
+        });
+        // Los que todavía conceden —y los que NADIE puede demostrar que no
+        // concedan— van aparte, con aviso: purgarlos es revocar permisos vivos,
+        // no recoger basura (3b-0b · AA1 + 3b-2j).
+        for (const { level, message } of orphanLines(orphans, new Set(purged.map((role) => role.uuid)), new Set(skipped.map(({ role }) => role.uuid)))) {
+            this.logger[level](message);
+        }
+        if (orphans.length === 0) {
+            this.logger.success('No hay roles locales huérfanos: todos los owners resuelven.');
+            return;
+        }
+        if (dryRun) {
+            if (massPurge) {
+                this.logger.warning(`${orphans.length} de los roles locales quedarían huérfanos: eso es la firma de un 'scopes.resolveChain' ciego. ` +
+                    `Con --force esto se rechaza (E_AUTHZ_MASS_PURGE_REFUSED); comprueba el resolutor antes de añadir --allow-mass-purge.`);
+            }
+            this.logger.warning(`${orphans.length} rol(es) local(es) con el owner fuera del árbol. No se ha borrado nada: repite con --force.`);
+            return;
+        }
+        if (skipped.length > 0) {
+            this.logger.warning(`${skipped.length} rol(es) saltado(s): su owner volvió al árbol durante la pasada.`);
+        }
+        this.logger.success(`${purged.length} rol(es) local(es) huérfano(s) purgado(s).`);
+    }
+}
+__decorate([
+    flags.boolean({ description: 'Actually purge the orphan roles (default is a dry run)' }),
+    __metadata("design:type", Object)
+], AuthzCatalogPruneOrphans.prototype, "force", void 0);
+__decorate([
+    flags.boolean({
+        name: 'allow-mass-purge',
+        description: 'Allow a pass that would purge every owner (or more than half the local roles) — check your resolveChain first',
+    }),
+    __metadata("design:type", Object)
+], AuthzCatalogPruneOrphans.prototype, "allowMassPurge", void 0);
+//# sourceMappingURL=authz_catalog_prune_orphans.js.map

package/build/commands/authz_catalog_prune_orphans.js.map

@@ -0,0 +1 @@
+{"version":3,"file":"authz_catalog_prune_orphans.js","sourceRoot":"","sources":["../../commands/authz_catalog_prune_orphans.ts"],"names":[],"mappings":";;;;;;;;;AAAA,OAAO,EAAE,WAAW,EAAE,KAAK,EAAE,MAAM,oBAAoB,CAAA;AAcvD;;;;;;;;;;;GAWG;AACH,MAAM,UAAU,WAAW,CACzB,OAAoB,EACpB,MAAmB,EACnB,OAAoB;IAEpB,MAAM,MAAM,GAAG,CAAC,CAAY,EAAE,EAAE,CAC9B,OAAO,CAAC,GAAG,CAAC,CAAC,CAAC,IAAI,CAAC,IAAI,CAAC,CAAC,CAAC,CAAC,2BAA2B,CAAC,CAAC,CAAC,MAAM,CAAC,GAAG,CAAC,CAAC,CAAC,IAAI,CAAC,IAAI,CAAC,CAAC,CAAC,CAAC,SAAS,CAAC,CAAC,CAAC,UAAU,CAAA;IAC3G,MAAM,KAAK,GAAG,CAAC,CAAY,EAAE,EAAE,CAC7B,GAAG,CAAC,CAAC,IAAI,CAAC,IAAI,IAAI,CAAC,CAAC,IAAI,CAAC,SAAS,UAAU,CAAC,CAAC,IAAI,CAAC,IAAI,UAAU,CAAC,CAAC,IAAI,CAAC,IAAI,YAAY;QACxF,GAAG,CAAC,CAAC,KAAK,CAAC,IAAI,IAAI,CAAC,CAAC,KAAK,CAAC,IAAI,IAAI,EAAE,wCAAwC,CAAC,CAAC,WAAW,CAAC,IAAI,CAAC,IAAI,CAAC,IAAI,GAAG,EAAE;QAC9G,CAAC,CAAC,CAAC,aAAa,KAAK,IAAI,CAAC,CAAC,CAAC,4BAA4B,CAAC,CAAC,WAAW,EAAE,CAAC,CAAC,CAAC,EAAE,CAAC,CAAA;IAC/E,MAAM,KAAK,GAAyD,EAAE,CAAA;IACtE,KAAK,MAAM,CAAC,IAAI,OAAO,CAAC,MAAM,CAAC,CAAC,CAAC,EAAE,EAAE,CAAC,CAAC,CAAC,aAAa,KAAK,KAAK,CAAC,EAAE,CAAC;QACjE,KAAK,CAAC,IAAI,CAAC,EAAE,KAAK,EAAE,KAAK,EAAE,OAAO,EAAE,GAAG,MAAM,CAAC,CAAC,CAAC,KAAK,KAAK,CAAC,CAAC,CAAC,EAAE,EAAE,CAAC,CAAA;IACpE,CAAC;IACD,MAAM,KAAK,GAAG,OAAO,CAAC,MAAM,CAAC,CAAC,CAAC,EAAE,EAAE,CAAC,CAAC,CAAC,aAAa,KAAK,IAAI,CAAC,CAAA;IAC7D,KAAK,MAAM,CAAC,IAAI,KAAK;QAAE,KAAK,CAAC,IAAI,CAAC,EAAE,KAAK,EAAE,SAAS,EAAE,OAAO,EAAE,GAAG,MAAM,CAAC,CAAC,CAAC,uBAAuB,KAAK,CAAC,CAAC,CAAC,EAAE,EAAE,CAAC,CAAA;IAC/G,MAAM,OAAO,GAAG,OAAO,CAAC,MAAM,CAAC,CAAC,CAAC,EAAE,EAAE,CAAC,CAAC,CAAC,aAAa,KAAK,SAAS,CAAC,CAAA;IACpE,KAAK,MAAM,CAAC,IAAI,OAAO,EAAE,CAAC;QACxB,KAAK,CAAC,IAAI,CAAC,EAAE,KAAK,EAAE,SAAS,EAAE,OAAO,EAAE,GAAG,MAAM,CAAC,CAAC,CAAC,6BAA6B,KAAK,CAAC,CAAC,CAAC,EAAE,EAAE,CAAC,CAAA;IAChG,CAAC;IACD,IAAI,KAAK,CAAC,MAAM,GAAG,CAAC,EAAE,CAAC;QACrB,KAAK,CAAC,IAAI,CAAC;YACT,KAAK,EAAE,SAAS;YAChB,OAAO,EACL,GAAG,KAAK,CAAC,MAAM,oGAAoG;gBACnH,iHAAiH;gBACjH,6BAA6B;SAChC,CAAC,CAAA;IACJ,CAAC;IACD,IAAI,OAAO,CAAC,MAAM,GAAG,CAAC,EAAE,CAAC;QACvB,KAAK,CAAC,IAAI,CAAC;YACT,KAAK,EAAE,SAAS;YAChB,OAAO,EACL,GAAG,OAAO,CAAC,MAAM,gGAAgG;gBACjH,gHAAgH;gBAChH,4GAA4G;SAC/G,CAAC,CAAA;IACJ,CAAC;IACD,OAAO,KAAK,CAAA;AACd,CAAC;AAED;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;GA+BG;AACH,MAAM,CAAC,OAAO,OAAO,wBAAyB,SAAQ,WAAW;IAC/D,MAAM,CAAC,WAAW,GAAG,6BAA6B,CAAA;IAClD,MAAM,CAAC,WAAW,GAAG,+EAA+E,CAAA;IAEpG,MAAM,CAAC,OAAO,GAAmB;QAC/B,QAAQ,EAAE,IAAI;KACf,CAAA;IAWD,KAAK,CAAC,GAAG;QACP,MAAM,EAAE,OAAO,EAAE,aAAa,EAAE,GAAG,MAAM,MAAM,CAAC,qBAAqB,CAAC,CAAA;QACtE,MAAM,EAAE,OAAO,EAAE,MAAM,EAAE,OAAO,EAAE,SAAS,EAAE,MAAM,EAAE,GAAG,MAAM,aAAa,CAAC,gBAAgB,CAAC;YAC3F,KAAK,EAAE,IAAI,CAAC,KAAK,KAAK,IAAI;YAC1B,cAAc,EAAE,IAAI,CAAC,cAAc,KAAK,IAAI;SAC7C,CAAC,CAAA;QAEF,mEAAmE;QACnE,wEAAwE;QACxE,2CAA2C;QAC3C,KAAK,MAAM,EAAE,KAAK,EAAE,OAAO,EAAE,IAAI,WAAW,CAC1C,OAAO,EACP,IAAI,GAAG,CAAC,MAAM,CAAC,GAAG,CAAC,CAAC,IAAI,EAAE,EAAE,CAAC,IAAI,CAAC,IAAI,CAAC,CAAC,EACxC,IAAI,GAAG,CAAC,OAAO,CAAC,GAAG,CAAC,CAAC,EAAE,IAAI,EAAE,EAAE,EAAE,CAAC,IAAI,CAAC,IAAI,CAAC,CAAC,CAC9C,EAAE,CAAC;YACF,IAAI,CAAC,MAAM,CAAC,KAAK,CAAC,CAAC,OAAO,CAAC,CAAA;QAC7B,CAAC;QAED,IAAI,OAAO,CAAC,MAAM,KAAK,CAAC,EAAE,CAAC;YACzB,IAAI,CAAC,MAAM,CAAC,OAAO,CAAC,6DAA6D,CAAC,CAAA;YAClF,OAAM;QACR,CAAC;QACD,IAAI,MAAM,EAAE,CAAC;YACX,IAAI,SAAS,EAAE,CAAC;gBACd,IAAI,CAAC,MAAM,CAAC,OAAO,CACjB,GAAG,OAAO,CAAC,MAAM,gGAAgG;oBAC/G,sHAAsH,CACzH,CAAA;YACH,CAAC;YACD,IAAI,CAAC,MAAM,CAAC,OAAO,CACjB,GAAG,OAAO,CAAC,MAAM,6FAA6F,CAC/G,CAAA;YACD,OAAM;QACR,CAAC;QACD,IAAI,OAAO,CAAC,MAAM,GAAG,CAAC,EAAE,CAAC;YACvB,IAAI,CAAC,MAAM,CAAC,OAAO,CAAC,GAAG,OAAO,CAAC,MAAM,kEAAkE,CAAC,CAAA;QAC1G,CAAC;QACD,IAAI,CAAC,MAAM,CAAC,OAAO,CAAC,GAAG,MAAM,CAAC,MAAM,4CAA4C,CAAC,CAAA;IACnF,CAAC;;AA9CO;IADP,KAAK,CAAC,OAAO,CAAC,EAAE,WAAW,EAAE,wDAAwD,EAAE,CAAC;;uDACvD;AAM1B;IAJP,KAAK,CAAC,OAAO,CAAC;QACb,IAAI,EAAE,kBAAkB;QACxB,WAAW,EAAE,+GAA+G;KAC7H,CAAC;;gEACyC"}

package/build/commands/authz_catalog_sync.d.ts

@@ -1,5 +1,22 @@
 import { BaseCommand } from '@adonisjs/core/ace';
 import { CommandOptions } from '@adonisjs/core/types/ace';
+import type { AuthorizationDriver } from '../src/types.js';
+import type { SyncCatalogOptions } from '../src/catalog/catalog.js';
+/**
+ * Las opciones con las que este comando sincroniza, en una función PURA
+ * (mismo patrón que `reconcileLines`/`unfreezePlan`): es la única decisión
+ * del comando y así tiene su caso sin montar un ace.
+ *
+ * **La proyección del driver ACTIVO viaja con el sync** (3b-8 · A1). En modo
+ * `facts` el store guarda un espejo del catálogo (`role:<uuid>#permits_<P>`)
+ * y el README promete que este comando lo reescribe — es el camino de
+ * recuperación documentado. Hasta 3b-8 el comando llamaba a `syncCatalogs`
+ * SIN la proyección: `authz_*` quedaba bien y el espejo sin tocar, o sea que
+ * un permiso quitado del catálogo SEGUÍA concediendo (fail-open) y un rol
+ * nuevo no concedía nada. Un driver sin espejo (`database`) no declara
+ * `catalogProjection` y el sync va sin ella, como siempre.
+ */
+export declare function catalogSyncOptions(driver: AuthorizationDriver, keepLinks: boolean | undefined): SyncCatalogOptions;
 /**
  * Sincroniza a las tablas `authz_*` los catálogos declarados en
  * `config/authorization.ts` (`catalogs`), en orden. Transaccional por

package/build/commands/authz_catalog_sync.d.ts.map

@@ -1 +1 @@
-{"version":3,"file":"authz_catalog_sync.d.ts","sourceRoot":"","sources":["../../commands/authz_catalog_sync.ts"],"names":[],"mappings":"AAAA,OAAO,EAAE,WAAW,EAAS,MAAM,oBAAoB,CAAA;AACvD,OAAO,EAAE,cAAc,EAAE,MAAM,0BAA0B,CAAA;AAEzD;;;;;;;;;GASG;AACH,MAAM,CAAC,OAAO,OAAO,gBAAiB,SAAQ,WAAW;IACvD,MAAM,CAAC,WAAW,SAAuB;IACzC,MAAM,CAAC,WAAW,SAAiE;IAEnF,MAAM,CAAC,OAAO,EAAE,cAAc,CAE7B;IAGO,SAAS,EAAE,OAAO,GAAG,SAAS,CAAA;IAEhC,GAAG;CAmCV"}
+{"version":3,"file":"authz_catalog_sync.d.ts","sourceRoot":"","sources":["../../commands/authz_catalog_sync.ts"],"names":[],"mappings":"AAAA,OAAO,EAAE,WAAW,EAAS,MAAM,oBAAoB,CAAA;AACvD,OAAO,EAAE,cAAc,EAAE,MAAM,0BAA0B,CAAA;AACzD,OAAO,KAAK,EAAE,mBAAmB,EAAE,MAAM,iBAAiB,CAAA;AAC1D,OAAO,KAAK,EAAE,kBAAkB,EAAE,MAAM,2BAA2B,CAAA;AAEnE;;;;;;;;;;;;;GAaG;AACH,wBAAgB,kBAAkB,CAChC,MAAM,EAAE,mBAAmB,EAC3B,SAAS,EAAE,OAAO,GAAG,SAAS,GAC7B,kBAAkB,CAOpB;AAED;;;;;;;;;GASG;AACH,MAAM,CAAC,OAAO,OAAO,gBAAiB,SAAQ,WAAW;IACvD,MAAM,CAAC,WAAW,SAAuB;IACzC,MAAM,CAAC,WAAW,SAAiE;IAEnF,MAAM,CAAC,OAAO,EAAE,cAAc,CAE7B;IAGO,SAAS,EAAE,OAAO,GAAG,SAAS,CAAA;IAEhC,GAAG;CAuCV"}

package/build/commands/authz_catalog_sync.js

@@ -8,6 +8,28 @@ var __metadata = (this && this.__metadata) || function (k, v) {
     if (typeof Reflect === "object" && typeof Reflect.metadata === "function") return Reflect.metadata(k, v);
 };
 import { BaseCommand, flags } from '@adonisjs/core/ace';
+/**
+ * Las opciones con las que este comando sincroniza, en una función PURA
+ * (mismo patrón que `reconcileLines`/`unfreezePlan`): es la única decisión
+ * del comando y así tiene su caso sin montar un ace.
+ *
+ * **La proyección del driver ACTIVO viaja con el sync** (3b-8 · A1). En modo
+ * `facts` el store guarda un espejo del catálogo (`role:<uuid>#permits_<P>`)
+ * y el README promete que este comando lo reescribe — es el camino de
+ * recuperación documentado. Hasta 3b-8 el comando llamaba a `syncCatalogs`
+ * SIN la proyección: `authz_*` quedaba bien y el espejo sin tocar, o sea que
+ * un permiso quitado del catálogo SEGUÍA concediendo (fail-open) y un rol
+ * nuevo no concedía nada. Un driver sin espejo (`database`) no declara
+ * `catalogProjection` y el sync va sin ella, como siempre.
+ */
+export function catalogSyncOptions(driver, keepLinks) {
+    return {
+        prune: keepLinks ? 'none' : 'links',
+        ...(typeof driver.catalogProjection === 'function'
+            ? { projection: driver.catalogProjection() }
+            : {}),
+    };
+}
 /**
  * Sincroniza a las tablas `authz_*` los catálogos declarados en
  * `config/authorization.ts` (`catalogs`), en orden. Transaccional por
@@ -32,10 +54,11 @@ export default class AuthzCatalogSync extends BaseCommand {
             this.exitCode = 1;
             return;
         }
-        const { syncCatalogs } = await import('../src/catalog.js');
-        const { count, shadowedByGlobal, assignableAtViolations } = await syncCatalogs(catalogs, {
-            prune: this.keepLinks ? 'none' : 'links',
-        });
+        const { syncCatalogs } = await import('../src/catalog/catalog.js');
+        // El driver ACTIVO decide si el sync lleva proyección (3b-8 · A1): en
+        // `facts` sin ella este comando NO reescribía el espejo del store.
+        const { default: authorization } = await import('../services/main.js');
+        const { count, shadowedByGlobal, assignableAtViolations } = await syncCatalogs(catalogs, catalogSyncOptions(await authorization.driver(), this.keepLinks));
         // 3E · P1 b / P6: el sync ya no aborta por lo que un tenant hizo en su
         // scope, pero tampoco lo silencia. Un despliegue que ensombrece roles de
         // tenants —o que deja vínculos fuera del `assignableAt` nuevo— tiene que

package/build/commands/authz_catalog_sync.js.map

@@ -1 +1 @@
-{"version":3,"file":"authz_catalog_sync.js","sourceRoot":"","sources":["../../commands/authz_catalog_sync.ts"],"names":[],"mappings":";;;;;;;;;AAAA,OAAO,EAAE,WAAW,EAAE,KAAK,EAAE,MAAM,oBAAoB,CAAA;AAGvD;;;;;;;;;GASG;AACH,MAAM,CAAC,OAAO,OAAO,gBAAiB,SAAQ,WAAW;IACvD,MAAM,CAAC,WAAW,GAAG,oBAAoB,CAAA;IACzC,MAAM,CAAC,WAAW,GAAG,8DAA8D,CAAA;IAEnF,MAAM,CAAC,OAAO,GAAmB;QAC/B,QAAQ,EAAE,IAAI;KACf,CAAA;IAKD,KAAK,CAAC,GAAG;QACP,MAAM,MAAM,GAAG,IAAI,CAAC,GAAG,CAAC,MAAM,CAAC,GAAG,CAAC,eAAe,CAAQ,CAAA;QAC1D,MAAM,QAAQ,GAAG,MAAM,EAAE,QAAQ,CAAA;QACjC,IAAI,CAAC,KAAK,CAAC,OAAO,CAAC,QAAQ,CAAC,IAAI,QAAQ,CAAC,MAAM,KAAK,CAAC,EAAE,CAAC;YACtD,IAAI,CAAC,MAAM,CAAC,KAAK,CACf,8FAA8F,CAC/F,CAAA;YACD,IAAI,CAAC,QAAQ,GAAG,CAAC,CAAA;YACjB,OAAM;QACR,CAAC;QAED,MAAM,EAAE,YAAY,EAAE,GAAG,MAAM,MAAM,CAAC,mBAAmB,CAAC,CAAA;QAC1D,MAAM,EAAE,KAAK,EAAE,gBAAgB,EAAE,sBAAsB,EAAE,GAAG,MAAM,YAAY,CAAC,QAAQ,EAAE;YACvF,KAAK,EAAE,IAAI,CAAC,SAAS,CAAC,CAAC,CAAC,MAAM,CAAC,CAAC,CAAC,OAAO;SACzC,CAAC,CAAA;QACF,uEAAuE;QACvE,yEAAyE;QACzE,yEAAyE;QACzE,oDAAoD;QACpD,KAAK,MAAM,IAAI,IAAI,gBAAgB,EAAE,CAAC;YACpC,IAAI,CAAC,MAAM,CAAC,OAAO,CACjB,kDAAkD,IAAI,CAAC,IAAI,IAAI,IAAI,CAAC,SAAS,UAAU,IAAI,CAAC,IAAI,WAAW,IAAI,CAAC,KAAK,KAAK;gBACxH,kGAAkG,CACrG,CAAA;QACH,CAAC;QACD,KAAK,MAAM,SAAS,IAAI,sBAAsB,EAAE,CAAC;YAC/C,IAAI,CAAC,MAAM,CAAC,OAAO,CACjB,kCAAkC,SAAS,CAAC,IAAI,CAAC,IAAI,IAAI,SAAS,CAAC,IAAI,CAAC,SAAS,WAAW,SAAS,CAAC,IAAI,CAAC,KAAK,MAAM;gBACpH,GAAG,SAAS,CAAC,UAAU,uFAAuF,CACjH,CAAA;QACH,CAAC;QACD,IAAI,CAAC,MAAM,CAAC,OAAO,CACjB,GAAG,KAAK,8BAA8B,GAAG,CAAC,IAAI,CAAC,SAAS,CAAC,CAAC,CAAC,0BAA0B,CAAC,CAAC,CAAC,GAAG,CAAC,CAC7F,CAAA;IACH,CAAC;;AApCO;IADP,KAAK,CAAC,OAAO,CAAC,EAAE,WAAW,EAAE,0DAA0D,EAAE,CAAC;;mDACrD"}
+{"version":3,"file":"authz_catalog_sync.js","sourceRoot":"","sources":["../../commands/authz_catalog_sync.ts"],"names":[],"mappings":";;;;;;;;;AAAA,OAAO,EAAE,WAAW,EAAE,KAAK,EAAE,MAAM,oBAAoB,CAAA;AAKvD;;;;;;;;;;;;;GAaG;AACH,MAAM,UAAU,kBAAkB,CAChC,MAA2B,EAC3B,SAA8B;IAE9B,OAAO;QACL,KAAK,EAAE,SAAS,CAAC,CAAC,CAAC,MAAM,CAAC,CAAC,CAAC,OAAO;QACnC,GAAG,CAAC,OAAO,MAAM,CAAC,iBAAiB,KAAK,UAAU;YAChD,CAAC,CAAC,EAAE,UAAU,EAAE,MAAM,CAAC,iBAAiB,EAAE,EAAE;YAC5C,CAAC,CAAC,EAAE,CAAC;KACR,CAAA;AACH,CAAC;AAED;;;;;;;;;GASG;AACH,MAAM,CAAC,OAAO,OAAO,gBAAiB,SAAQ,WAAW;IACvD,MAAM,CAAC,WAAW,GAAG,oBAAoB,CAAA;IACzC,MAAM,CAAC,WAAW,GAAG,8DAA8D,CAAA;IAEnF,MAAM,CAAC,OAAO,GAAmB;QAC/B,QAAQ,EAAE,IAAI;KACf,CAAA;IAKD,KAAK,CAAC,GAAG;QACP,MAAM,MAAM,GAAG,IAAI,CAAC,GAAG,CAAC,MAAM,CAAC,GAAG,CAAC,eAAe,CAAQ,CAAA;QAC1D,MAAM,QAAQ,GAAG,MAAM,EAAE,QAAQ,CAAA;QACjC,IAAI,CAAC,KAAK,CAAC,OAAO,CAAC,QAAQ,CAAC,IAAI,QAAQ,CAAC,MAAM,KAAK,CAAC,EAAE,CAAC;YACtD,IAAI,CAAC,MAAM,CAAC,KAAK,CACf,8FAA8F,CAC/F,CAAA;YACD,IAAI,CAAC,QAAQ,GAAG,CAAC,CAAA;YACjB,OAAM;QACR,CAAC;QAED,MAAM,EAAE,YAAY,EAAE,GAAG,MAAM,MAAM,CAAC,2BAA2B,CAAC,CAAA;QAClE,sEAAsE;QACtE,mEAAmE;QACnE,MAAM,EAAE,OAAO,EAAE,aAAa,EAAE,GAAG,MAAM,MAAM,CAAC,qBAAqB,CAAC,CAAA;QACtE,MAAM,EAAE,KAAK,EAAE,gBAAgB,EAAE,sBAAsB,EAAE,GAAG,MAAM,YAAY,CAC5E,QAAQ,EACR,kBAAkB,CAAC,MAAM,aAAa,CAAC,MAAM,EAAE,EAAE,IAAI,CAAC,SAAS,CAAC,CACjE,CAAA;QACD,uEAAuE;QACvE,yEAAyE;QACzE,yEAAyE;QACzE,oDAAoD;QACpD,KAAK,MAAM,IAAI,IAAI,gBAAgB,EAAE,CAAC;YACpC,IAAI,CAAC,MAAM,CAAC,OAAO,CACjB,kDAAkD,IAAI,CAAC,IAAI,IAAI,IAAI,CAAC,SAAS,UAAU,IAAI,CAAC,IAAI,WAAW,IAAI,CAAC,KAAK,KAAK;gBACxH,kGAAkG,CACrG,CAAA;QACH,CAAC;QACD,KAAK,MAAM,SAAS,IAAI,sBAAsB,EAAE,CAAC;YAC/C,IAAI,CAAC,MAAM,CAAC,OAAO,CACjB,kCAAkC,SAAS,CAAC,IAAI,CAAC,IAAI,IAAI,SAAS,CAAC,IAAI,CAAC,SAAS,WAAW,SAAS,CAAC,IAAI,CAAC,KAAK,MAAM;gBACpH,GAAG,SAAS,CAAC,UAAU,uFAAuF,CACjH,CAAA;QACH,CAAC;QACD,IAAI,CAAC,MAAM,CAAC,OAAO,CACjB,GAAG,KAAK,8BAA8B,GAAG,CAAC,IAAI,CAAC,SAAS,CAAC,CAAC,CAAC,0BAA0B,CAAC,CAAC,CAAC,GAAG,CAAC,CAC7F,CAAA;IACH,CAAC;;AAxCO;IADP,KAAK,CAAC,OAAO,CAAC,EAAE,WAAW,EAAE,0DAA0D,EAAE,CAAC;;mDACrD"}

package/build/commands/authz_freeze.d.ts

@@ -0,0 +1,44 @@
+import { BaseCommand } from '@adonisjs/core/ace';
+import { CommandOptions } from '@adonisjs/core/types/ace';
+/**
+ * **Abre la ventana de CUTOVER: congela las escrituras del motor** (3b-7;
+ * condición explícita del juez del panel 3 — el intervalo entre la última
+ * pasada de `authz:reconcile` y el cambio de `config.default` es donde
+ * ocurre la pérdida, lo decide un humano y dura minutos u horas).
+ *
+ *   node ace authz:freeze --reason="cutover a openfga"
+ *   node ace authz:freeze --reason="cutover" --lease-ms=600000   # opt-in: caduca sola
+ *   … node ace authz:reconcile --to=openfga --from=database …    # corre DENTRO de la ventana
+ *   … cambiar config.default y redesplegar …
+ *   node ace authz:unfreeze
+ *
+ * Mientras la ventana está abierta, toda ESCRITURA del manager —en TODOS los
+ * procesos que comparten `authz_*`— es 503 `E_AUTHZ_FROZEN` reintentable;
+ * las lecturas siguen. `authz:reconcile` reconoce esta ventana como contexto
+ * propio: corre dentro sin tomar otro freeze y NO la levanta al terminar —
+ * cerrar el intervalo pasada→cutover es exactamente para lo que existe.
+ *
+ * **La ventana del operador NO caduca por defecto** (decisión de este lote,
+ * justificada en el informe): un cutover no tiene duración conocida de
+ * antemano —duración de la ventana y tolerancia a la parada son magnitudes
+ * independientes, el argumento que tumbó el TTL fijo— y una ventana que
+ * caduca en mitad del cutover devuelve en SILENCIO el fail-open que este
+ * mecanismo existe para cerrar. El precio, declarado: si te olvidas de
+ * `authz:unfreeze`, la flota no escribe hasta que alguien lo ejecute — pero
+ * es un incidente RUIDOSO (cada 503 nombra el motivo y el comando que lo
+ * levanta), no una pérdida invisible. `--lease-ms` es el opt-in contrario:
+ * la ventana caduca sola pasados esos ms (no hay proceso que renueve: este
+ * comando termina), con SU contra declarado — si el cutover tarda más que el
+ * lease, los escritores vuelven SOLOS y sin aviso a mitad del cutover.
+ *
+ * Operación de PLATAFORMA: sin actor, sin rangos, no se expone por HTTP.
+ */
+export default class AuthzFreeze extends BaseCommand {
+    static commandName: string;
+    static description: string;
+    static options: CommandOptions;
+    reason: string | undefined;
+    leaseMs: number | undefined;
+    run(): Promise<void>;
+}
+//# sourceMappingURL=authz_freeze.d.ts.map

package/build/commands/authz_freeze.d.ts.map

@@ -0,0 +1 @@
+{"version":3,"file":"authz_freeze.d.ts","sourceRoot":"","sources":["../../commands/authz_freeze.ts"],"names":[],"mappings":"AAAA,OAAO,EAAE,WAAW,EAAS,MAAM,oBAAoB,CAAA;AACvD,OAAO,EAAE,cAAc,EAAE,MAAM,0BAA0B,CAAA;AAEzD;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;GAgCG;AACH,MAAM,CAAC,OAAO,OAAO,WAAY,SAAQ,WAAW;IAClD,MAAM,CAAC,WAAW,SAAiB;IACnC,MAAM,CAAC,WAAW,SAAuG;IAEzH,MAAM,CAAC,OAAO,EAAE,cAAc,CAE7B;IAGO,MAAM,EAAE,MAAM,GAAG,SAAS,CAAA;IAO1B,OAAO,EAAE,MAAM,GAAG,SAAS,CAAA;IAE7B,GAAG;CAuCV"}

package/build/commands/authz_freeze.js

@@ -0,0 +1,95 @@
+var __decorate = (this && this.__decorate) || function (decorators, target, key, desc) {
+    var c = arguments.length, r = c < 3 ? target : desc === null ? desc = Object.getOwnPropertyDescriptor(target, key) : desc, d;
+    if (typeof Reflect === "object" && typeof Reflect.decorate === "function") r = Reflect.decorate(decorators, target, key, desc);
+    else for (var i = decorators.length - 1; i >= 0; i--) if (d = decorators[i]) r = (c < 3 ? d(r) : c > 3 ? d(target, key, r) : d(target, key)) || r;
+    return c > 3 && r && Object.defineProperty(target, key, r), r;
+};
+var __metadata = (this && this.__metadata) || function (k, v) {
+    if (typeof Reflect === "object" && typeof Reflect.metadata === "function") return Reflect.metadata(k, v);
+};
+import { BaseCommand, flags } from '@adonisjs/core/ace';
+/**
+ * **Abre la ventana de CUTOVER: congela las escrituras del motor** (3b-7;
+ * condición explícita del juez del panel 3 — el intervalo entre la última
+ * pasada de `authz:reconcile` y el cambio de `config.default` es donde
+ * ocurre la pérdida, lo decide un humano y dura minutos u horas).
+ *
+ *   node ace authz:freeze --reason="cutover a openfga"
+ *   node ace authz:freeze --reason="cutover" --lease-ms=600000   # opt-in: caduca sola
+ *   … node ace authz:reconcile --to=openfga --from=database …    # corre DENTRO de la ventana
+ *   … cambiar config.default y redesplegar …
+ *   node ace authz:unfreeze
+ *
+ * Mientras la ventana está abierta, toda ESCRITURA del manager —en TODOS los
+ * procesos que comparten `authz_*`— es 503 `E_AUTHZ_FROZEN` reintentable;
+ * las lecturas siguen. `authz:reconcile` reconoce esta ventana como contexto
+ * propio: corre dentro sin tomar otro freeze y NO la levanta al terminar —
+ * cerrar el intervalo pasada→cutover es exactamente para lo que existe.
+ *
+ * **La ventana del operador NO caduca por defecto** (decisión de este lote,
+ * justificada en el informe): un cutover no tiene duración conocida de
+ * antemano —duración de la ventana y tolerancia a la parada son magnitudes
+ * independientes, el argumento que tumbó el TTL fijo— y una ventana que
+ * caduca en mitad del cutover devuelve en SILENCIO el fail-open que este
+ * mecanismo existe para cerrar. El precio, declarado: si te olvidas de
+ * `authz:unfreeze`, la flota no escribe hasta que alguien lo ejecute — pero
+ * es un incidente RUIDOSO (cada 503 nombra el motivo y el comando que lo
+ * levanta), no una pérdida invisible. `--lease-ms` es el opt-in contrario:
+ * la ventana caduca sola pasados esos ms (no hay proceso que renueve: este
+ * comando termina), con SU contra declarado — si el cutover tarda más que el
+ * lease, los escritores vuelven SOLOS y sin aviso a mitad del cutover.
+ *
+ * Operación de PLATAFORMA: sin actor, sin rangos, no se expone por HTTP.
+ */
+export default class AuthzFreeze extends BaseCommand {
+    static commandName = 'authz:freeze';
+    static description = 'Open the cutover window: freeze every engine write (503 retryable) fleet-wide until authz:unfreeze';
+    static options = {
+        startApp: true,
+    };
+    async run() {
+        if (!this.reason) {
+            this.logger.error("Falta --reason: 'node ace authz:freeze --reason=\"cutover a openfga\"'. Cada escritura rechazada se lo " +
+                'enseña a quien la intentó: una ventana sin motivo es un 503 misterioso para todos tus admins.');
+            this.exitCode = 1;
+            return;
+        }
+        const { default: authorization } = await import('../services/main.js');
+        try {
+            const token = await authorization.freeze(this.reason, {
+                kind: 'operator',
+                leaseMs: this.leaseMs === undefined ? null : this.leaseMs,
+            });
+            this.logger.success(`Ventana de cutover ABIERTA (fence ${token.fence}): las escrituras del motor responden 503 reintentable ` +
+                `en toda la flota; las lecturas siguen.`);
+            if (this.leaseMs === undefined) {
+                this.logger.info('La ventana NO caduca sola: ciérrala con `node ace authz:unfreeze` cuando el cutover termine.');
+            }
+            else {
+                this.logger.warning(`La ventana caduca SOLA en ${this.leaseMs} ms y nadie la renueva: si el cutover tarda más, ` +
+                    'los escritores vuelven sin aviso. Ciérrala antes con `node ace authz:unfreeze`.');
+            }
+            this.logger.info('Lo que la ventana NO congela: syncAuthzCatalog, manager.driver() y el árbol SQL del consumidor.');
+        }
+        catch (error) {
+            if (error?.code === 'E_AUTHZ_FREEZE_HELD') {
+                this.logger.error(error.message);
+                this.exitCode = 1;
+                return;
+            }
+            throw error;
+        }
+    }
+}
+__decorate([
+    flags.string({ description: 'Why the window is open — every rejected write shows it to its caller' }),
+    __metadata("design:type", Object)
+], AuthzFreeze.prototype, "reason", void 0);
+__decorate([
+    flags.number({
+        name: 'lease-ms',
+        description: 'Opt-in expiry: the window lifts ITSELF after this many ms (nobody renews it — beware a cutover slower than the lease)',
+    }),
+    __metadata("design:type", Object)
+], AuthzFreeze.prototype, "leaseMs", void 0);
+//# sourceMappingURL=authz_freeze.js.map

package/build/commands/authz_freeze.js.map

@@ -0,0 +1 @@
+{"version":3,"file":"authz_freeze.js","sourceRoot":"","sources":["../../commands/authz_freeze.ts"],"names":[],"mappings":";;;;;;;;;AAAA,OAAO,EAAE,WAAW,EAAE,KAAK,EAAE,MAAM,oBAAoB,CAAA;AAGvD;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;GAgCG;AACH,MAAM,CAAC,OAAO,OAAO,WAAY,SAAQ,WAAW;IAClD,MAAM,CAAC,WAAW,GAAG,cAAc,CAAA;IACnC,MAAM,CAAC,WAAW,GAAG,oGAAoG,CAAA;IAEzH,MAAM,CAAC,OAAO,GAAmB;QAC/B,QAAQ,EAAE,IAAI;KACf,CAAA;IAYD,KAAK,CAAC,GAAG;QACP,IAAI,CAAC,IAAI,CAAC,MAAM,EAAE,CAAC;YACjB,IAAI,CAAC,MAAM,CAAC,KAAK,CACf,yGAAyG;gBACvG,+FAA+F,CAClG,CAAA;YACD,IAAI,CAAC,QAAQ,GAAG,CAAC,CAAA;YACjB,OAAM;QACR,CAAC;QACD,MAAM,EAAE,OAAO,EAAE,aAAa,EAAE,GAAG,MAAM,MAAM,CAAC,qBAAqB,CAAC,CAAA;QACtE,IAAI,CAAC;YACH,MAAM,KAAK,GAAG,MAAM,aAAa,CAAC,MAAM,CAAC,IAAI,CAAC,MAAM,EAAE;gBACpD,IAAI,EAAE,UAAU;gBAChB,OAAO,EAAE,IAAI,CAAC,OAAO,KAAK,SAAS,CAAC,CAAC,CAAC,IAAI,CAAC,CAAC,CAAC,IAAI,CAAC,OAAO;aAC1D,CAAC,CAAA;YACF,IAAI,CAAC,MAAM,CAAC,OAAO,CACjB,qCAAqC,KAAK,CAAC,KAAK,yDAAyD;gBACvG,wCAAwC,CAC3C,CAAA;YACD,IAAI,IAAI,CAAC,OAAO,KAAK,SAAS,EAAE,CAAC;gBAC/B,IAAI,CAAC,MAAM,CAAC,IAAI,CAAC,8FAA8F,CAAC,CAAA;YAClH,CAAC;iBAAM,CAAC;gBACN,IAAI,CAAC,MAAM,CAAC,OAAO,CACjB,6BAA6B,IAAI,CAAC,OAAO,mDAAmD;oBAC1F,iFAAiF,CACpF,CAAA;YACH,CAAC;YACD,IAAI,CAAC,MAAM,CAAC,IAAI,CACd,iGAAiG,CAClG,CAAA;QACH,CAAC;QAAC,OAAO,KAAU,EAAE,CAAC;YACpB,IAAI,KAAK,EAAE,IAAI,KAAK,qBAAqB,EAAE,CAAC;gBAC1C,IAAI,CAAC,MAAM,CAAC,KAAK,CAAC,KAAK,CAAC,OAAO,CAAC,CAAA;gBAChC,IAAI,CAAC,QAAQ,GAAG,CAAC,CAAA;gBACjB,OAAM;YACR,CAAC;YACD,MAAM,KAAK,CAAA;QACb,CAAC;IACH,CAAC;;AA/CO;IADP,KAAK,CAAC,MAAM,CAAC,EAAE,WAAW,EAAE,sEAAsE,EAAE,CAAC;;2CACpE;AAO1B;IALP,KAAK,CAAC,MAAM,CAAC;QACZ,IAAI,EAAE,UAAU;QAChB,WAAW,EACT,uHAAuH;KAC1H,CAAC;;4CACiC"}

package/build/commands/authz_reconcile.d.ts

@@ -0,0 +1,102 @@
+import { BaseCommand } from '@adonisjs/core/ace';
+import { CommandOptions } from '@adonisjs/core/types/ace';
+import type { ReconcileReport } from '../src/types.js';
+/**
+ * Las líneas del reporte y si la pasada es «limpia», en una función PURA
+ * (mismo patrón que `orphanLines`): es lo único del comando que decide algo,
+ * y así tiene su caso sin montar un ace.
+ *
+ * Qué cuenta como deriva —y por tanto como exit ≠ 0—:
+ *  - en `--dry-run`, **cualquier cosa que la pasada haría** (escribir,
+ *    actualizar o borrar): es el verificador, y para eso está en CI;
+ *  - siempre, lo que una pasada NO puede arreglar sola: **ciclos** en el
+ *    árbol del consumidor, **entradas aparcadas** de la outbox y hechos que
+ *    se quedan fuera (`skipped`) — incluidos los del scope que ya no
+ *    resuelve, que solo se van con `--prune`.
+ *
+ * La ventana del relay (`pendingRelay`) se AVISA pero no tumba la pasada: es
+ * una ventana de segundos por diseño, no una divergencia. Y **`expired`
+ * tampoco tumba** (3b-8 · B2): es la pérdida DECLARADA de la migración, no
+ * concede en ningún driver y nada barre las filas caducadas del origen, así
+ * que contarla como deriva dejaba el exit 1 clavado para siempre a la
+ * primera caducidad real.
+ */
+export declare function reconcileLines(report: ReconcileReport): {
+    lines: Array<{
+        level: 'log' | 'warning' | 'error' | 'success';
+        message: string;
+    }>;
+    clean: boolean;
+};
+/**
+ * **Migra —y verifica— entre drivers** (3b-3a). Es la única primitiva de
+ * migración del paquete: `openfga:import` se borró en 3b-2k · K2 porque
+ * llenaba el store con las tuplas de un modelo que ya no existe.
+ *
+ *   node ace authz:reconcile --to=openfga --dry-run   # el VERIFICADOR (CI)
+ *   node ace authz:reconcile --to=openfga             # migra, o MANTIENE (ver abajo)
+ *   node ace authz:reconcile --to=openfga --prune     # y borra lo que el origen ya no respalda
+ *
+ * `--to` nombra una clave de `drivers` en `config/authorization.ts`, no el
+ * driver activo: migrar es llenar el destino mientras el motor sigue
+ * corriendo con el otro.
+ *
+ * **De dónde salen los HECHOS** (3b-5): de quien sea su fuente de verdad, y
+ * la pasada lo dice en su primera línea (`report.factsFrom`).
+ *  - Si `--to` es el driver ACTIVO y sus hechos viven en su backend
+ *    (`capabilities.hierarchyFacts`, el `openfga` de esta versión), los
+ *    hechos son los SUYOS: la pasada es de MANTENIMIENTO —rehace lo derivado
+ *    y aplica el barrido de visibilidad del invariante 18— y no escribe ni
+ *    borra un solo hecho. `authz_assignments`/`authz_denies` no son su
+ *    fuente: después de un cutover a `facts` están congeladas, y
+ *    reconstruir desde ellas resucitaba lo revocado y —con `--prune`—
+ *    borraba los denies vivos.
+ *  - Con `--from=<driver>` mandas tú: si ese driver es el `database` del
+ *    paquete, los hechos son sus tablas y `--to=openfga` es la MIGRACIÓN de
+ *    un solo sentido de siempre.
+ *
+ * Qué migra hacia `openfga`: el marcador de raíz, la proyección del catálogo,
+ * el árbol (desde `scopes.enumerateEdges`) y los hechos de `authz_*`.
+ *
+ * Qué migra hacia `database` (3b-3b, la VUELTA): **solo los hechos**, leídos
+ * del origen por el puerto `enumerateFacts` (páginas con cursor). El ÁRBOL no
+ * se migra —el driver `database` lo lee de tus tablas en cada pregunta, que
+ * son su fuente de verdad— y el CATÁLOGO tampoco, que es propiedad local
+ * siempre. Por eso en esa dirección las fases `marcador de raíz`,
+ * `proyección del catálogo` y `árbol` son cero: no hay nada derivado que
+ * rehacer, y el cero lo dice.
+ *
+ * El origen se elige solo si es inequívoco: con dos drivers registrados es el
+ * que no es el destino; con más de un candidato hay que decirlo con
+ * `--from=<driver>`, porque de dónde salen los hechos decide lo que va a
+ * quedar escrito.
+ *
+ * Las dos direcciones son IDEMPOTENTES (la segunda pasada escribe cero),
+ * reanudables (leen por lotes con cursor y convergen si se repiten) y **nunca
+ * silenciosas**: cada cosa que no se migra sale contada y con su motivo.
+ *
+ * `--dry-run` es el verificador y es **read-only por contrato** (panel 2,
+ * cruce 4 · S18): mismo recorrido, cero escrituras y los mismos números. **No
+ * hay ni habrá un `--fix`**: sería un mecanismo de concesión.
+ *
+ * Durante la pasada que ESCRIBE, las escrituras del motor están congeladas
+ * (503 reintentable) y las lecturas siguen. **Con `--dry-run` NO se congela**
+ * (3b-6): el verificador no escribe nada, así que no tiene nada que proteger,
+ * y está publicado para correrlo en CI y en un cron — justo el sitio desde el
+ * que un mecanismo de indisponibilidad se dispara solo. Es una operación de
+ * PLATAFORMA: no lleva actor, no mide rangos y no se expone por HTTP.
+ */
+export default class AuthzReconcile extends BaseCommand {
+    static commandName: string;
+    static description: string;
+    static options: CommandOptions;
+    to: string | undefined;
+    from: string | undefined;
+    dryRun: boolean | undefined;
+    prune: boolean | undefined;
+    allowMassDelete: boolean | undefined;
+    batchSize: number | undefined;
+    maxTuples: number | undefined;
+    run(): Promise<void>;
+}
+//# sourceMappingURL=authz_reconcile.d.ts.map

package/build/commands/authz_reconcile.d.ts.map

@@ -0,0 +1 @@
+{"version":3,"file":"authz_reconcile.d.ts","sourceRoot":"","sources":["../../commands/authz_reconcile.ts"],"names":[],"mappings":"AAAA,OAAO,EAAE,WAAW,EAAS,MAAM,oBAAoB,CAAA;AACvD,OAAO,EAAE,cAAc,EAAE,MAAM,0BAA0B,CAAA;AACzD,OAAO,KAAK,EAAE,eAAe,EAAE,MAAM,iBAAiB,CAAA;AAEtD;;;;;;;;;;;;;;;;;;;GAmBG;AACH,wBAAgB,cAAc,CAAC,MAAM,EAAE,eAAe,GAAG;IACvD,KAAK,EAAE,KAAK,CAAC;QAAE,KAAK,EAAE,KAAK,GAAG,SAAS,GAAG,OAAO,GAAG,SAAS,CAAC;QAAC,OAAO,EAAE,MAAM,CAAA;KAAE,CAAC,CAAA;IACjF,KAAK,EAAE,OAAO,CAAA;CACf,CAyIA;AAED;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;GAyDG;AACH,MAAM,CAAC,OAAO,OAAO,cAAe,SAAQ,WAAW;IACrD,MAAM,CAAC,WAAW,SAAoB;IACtC,MAAM,CAAC,WAAW,SAAqG;IAEvH,MAAM,CAAC,OAAO,EAAE,cAAc,CAE7B;IAGO,EAAE,EAAE,MAAM,GAAG,SAAS,CAAA;IAKtB,IAAI,EAAE,MAAM,GAAG,SAAS,CAAA;IAGxB,MAAM,EAAE,OAAO,GAAG,SAAS,CAAA;IAG3B,KAAK,EAAE,OAAO,GAAG,SAAS,CAAA;IAM1B,eAAe,EAAE,OAAO,GAAG,SAAS,CAAA;IAGpC,SAAS,EAAE,MAAM,GAAG,SAAS,CAAA;IAM7B,SAAS,EAAE,MAAM,GAAG,SAAS,CAAA;IAE/B,GAAG;CA6CV"}