@jantstack/adonis-authz 2.0.0-alpha.1 → 2.4.0-alpha.1

package/build/src/openfga.d.ts

@@ -8,6 +8,22 @@
  * el driver: un consumidor solo-database arranca sin el SDK instalado, y
  * `scripts/check_purity.mjs` (regla 3) lo vigila en cada build.
  */
-export { OpenFgaAuthorizationDriver, openFgaAuthorizationModel, provisionOpenFgaStore, importAuthzFactsToOpenFga, assertHolderTypes, parseBindingId, correlateBatchResults, isDuplicateWrite, DEFAULT_TIMEOUT_MS, } from './drivers/openfga_driver.js';
-export type { HolderTypeMap, OpenFgaDriverOptions, ImportFactsOptions, ImportFactsResult, } from './drivers/openfga_driver.js';
+export { OpenFgaAuthorizationDriver, provisionOpenFgaStore, assertHolderTypes, parseBindingId, correlateBatchResults, isDuplicateWrite, DEFAULT_TIMEOUT_MS, } from './drivers/openfga_driver.js';
+export type { HolderTypeMap, OpenFgaDriverOptions } from './drivers/openfga_driver.js';
+/**
+ * El driver `openfga` del puerto `RelationsDriver` (Fase 4, lote 4-4): ReBAC
+ * sobre el MISMO store y `modelId` que el driver `facts` de roles. Vive detrás
+ * de esta puerta como el resto de lo que toca `@openfga/sdk`.
+ */
+export { OpenFgaRelationsDriver } from './drivers/openfga_relations_driver.js';
+export type { OpenFgaRelationsDriverOptions } from './drivers/openfga_relations_driver.js';
+/**
+ * El modelo (c2r) y la proyección del catálogo (3b-2a; desde 3b-2k · K2 es
+ * el ÚNICO modelo: `openFgaAuthorizationModel` —el del modo `resolver`— y
+ * `importAuthzFactsToOpenFga` se borraron con él). Sin `@openfga/sdk` —es
+ * JSON y cadenas—, pero se publica por esta misma puerta: es material de
+ * OpenFGA y solo lo usa quien lo elige.
+ */
+export { openFgaFactsModel, factsRelationsOf, factsRelationMap, factsCatalogTuples, factsTupleId, factsModelBytes, assertFactsModelPublishable, assertFgaObjectId, FACTS_MODEL_MAX_BYTES, FACTS_MODEL_WARN_RATIO, FGA_MAX_RELATION_NAME, FGA_MAX_OBJECT_ID, FACTS_MAX_RESOLVE_DEPTH, FGA_MAX_BATCH_CHECK, factsScopeObject, factsParentTuple, FACTS_SCOPE_TYPE, FACTS_PARENT_RELATION, factsRootTuples, FACTS_ROOTED_RELATION, factsRelationTypeDefinitions, assertRelationsConfigPublishable, RESERVED_FACTS_TYPES, FACTS_GROUP_TYPE, FACTS_GROUP_MEMBER_RELATION, } from './drivers/openfga_facts.js';
+export type { FactsRelations, FactsCatalogTuple, FactsTuple, FactsRelationsConfig, RelationObjectType, RelationObjectRelation, } from './drivers/openfga_facts.js';
 //# sourceMappingURL=openfga.d.ts.map

package/build/src/openfga.d.ts.map

@@ -1 +1 @@
-{"version":3,"file":"openfga.d.ts","sourceRoot":"","sources":["../../src/openfga.ts"],"names":[],"mappings":"AAAA;;;;;;;;;GASG;AACH,OAAO,EACL,0BAA0B,EAC1B,yBAAyB,EACzB,qBAAqB,EACrB,yBAAyB,EACzB,iBAAiB,EACjB,cAAc,EACd,qBAAqB,EACrB,gBAAgB,EAChB,kBAAkB,GACnB,MAAM,6BAA6B,CAAA;AACpC,YAAY,EACV,aAAa,EACb,oBAAoB,EACpB,kBAAkB,EAClB,iBAAiB,GAClB,MAAM,6BAA6B,CAAA"}
+{"version":3,"file":"openfga.d.ts","sourceRoot":"","sources":["../../src/openfga.ts"],"names":[],"mappings":"AAAA;;;;;;;;;GASG;AACH,OAAO,EACL,0BAA0B,EAC1B,qBAAqB,EACrB,iBAAiB,EACjB,cAAc,EACd,qBAAqB,EACrB,gBAAgB,EAChB,kBAAkB,GACnB,MAAM,6BAA6B,CAAA;AACpC,YAAY,EAAE,aAAa,EAAE,oBAAoB,EAAE,MAAM,6BAA6B,CAAA;AAEtF;;;;GAIG;AACH,OAAO,EAAE,sBAAsB,EAAE,MAAM,uCAAuC,CAAA;AAC9E,YAAY,EAAE,6BAA6B,EAAE,MAAM,uCAAuC,CAAA;AAE1F;;;;;;GAMG;AACH,OAAO,EACL,iBAAiB,EACjB,gBAAgB,EAChB,gBAAgB,EAChB,kBAAkB,EAClB,YAAY,EACZ,eAAe,EACf,2BAA2B,EAC3B,iBAAiB,EACjB,qBAAqB,EACrB,sBAAsB,EACtB,qBAAqB,EACrB,iBAAiB,EACjB,uBAAuB,EACvB,mBAAmB,EACnB,gBAAgB,EAChB,gBAAgB,EAChB,gBAAgB,EAChB,qBAAqB,EACrB,eAAe,EACf,qBAAqB,EACrB,4BAA4B,EAC5B,gCAAgC,EAChC,oBAAoB,EACpB,gBAAgB,EAChB,2BAA2B,GAC5B,MAAM,4BAA4B,CAAA;AACnC,YAAY,EACV,cAAc,EACd,iBAAiB,EACjB,UAAU,EACV,oBAAoB,EACpB,kBAAkB,EAClB,sBAAsB,GACvB,MAAM,4BAA4B,CAAA"}

package/build/src/openfga.js

@@ -8,5 +8,19 @@
  * el driver: un consumidor solo-database arranca sin el SDK instalado, y
  * `scripts/check_purity.mjs` (regla 3) lo vigila en cada build.
  */
-export { OpenFgaAuthorizationDriver, openFgaAuthorizationModel, provisionOpenFgaStore, importAuthzFactsToOpenFga, assertHolderTypes, parseBindingId, correlateBatchResults, isDuplicateWrite, DEFAULT_TIMEOUT_MS, } from './drivers/openfga_driver.js';
+export { OpenFgaAuthorizationDriver, provisionOpenFgaStore, assertHolderTypes, parseBindingId, correlateBatchResults, isDuplicateWrite, DEFAULT_TIMEOUT_MS, } from './drivers/openfga_driver.js';
+/**
+ * El driver `openfga` del puerto `RelationsDriver` (Fase 4, lote 4-4): ReBAC
+ * sobre el MISMO store y `modelId` que el driver `facts` de roles. Vive detrás
+ * de esta puerta como el resto de lo que toca `@openfga/sdk`.
+ */
+export { OpenFgaRelationsDriver } from './drivers/openfga_relations_driver.js';
+/**
+ * El modelo (c2r) y la proyección del catálogo (3b-2a; desde 3b-2k · K2 es
+ * el ÚNICO modelo: `openFgaAuthorizationModel` —el del modo `resolver`— y
+ * `importAuthzFactsToOpenFga` se borraron con él). Sin `@openfga/sdk` —es
+ * JSON y cadenas—, pero se publica por esta misma puerta: es material de
+ * OpenFGA y solo lo usa quien lo elige.
+ */
+export { openFgaFactsModel, factsRelationsOf, factsRelationMap, factsCatalogTuples, factsTupleId, factsModelBytes, assertFactsModelPublishable, assertFgaObjectId, FACTS_MODEL_MAX_BYTES, FACTS_MODEL_WARN_RATIO, FGA_MAX_RELATION_NAME, FGA_MAX_OBJECT_ID, FACTS_MAX_RESOLVE_DEPTH, FGA_MAX_BATCH_CHECK, factsScopeObject, factsParentTuple, FACTS_SCOPE_TYPE, FACTS_PARENT_RELATION, factsRootTuples, FACTS_ROOTED_RELATION, factsRelationTypeDefinitions, assertRelationsConfigPublishable, RESERVED_FACTS_TYPES, FACTS_GROUP_TYPE, FACTS_GROUP_MEMBER_RELATION, } from './drivers/openfga_facts.js';
 //# sourceMappingURL=openfga.js.map

package/build/src/openfga.js.map

@@ -1 +1 @@
-{"version":3,"file":"openfga.js","sourceRoot":"","sources":["../../src/openfga.ts"],"names":[],"mappings":"AAAA;;;;;;;;;GASG;AACH,OAAO,EACL,0BAA0B,EAC1B,yBAAyB,EACzB,qBAAqB,EACrB,yBAAyB,EACzB,iBAAiB,EACjB,cAAc,EACd,qBAAqB,EACrB,gBAAgB,EAChB,kBAAkB,GACnB,MAAM,6BAA6B,CAAA"}
+{"version":3,"file":"openfga.js","sourceRoot":"","sources":["../../src/openfga.ts"],"names":[],"mappings":"AAAA;;;;;;;;;GASG;AACH,OAAO,EACL,0BAA0B,EAC1B,qBAAqB,EACrB,iBAAiB,EACjB,cAAc,EACd,qBAAqB,EACrB,gBAAgB,EAChB,kBAAkB,GACnB,MAAM,6BAA6B,CAAA;AAGpC;;;;GAIG;AACH,OAAO,EAAE,sBAAsB,EAAE,MAAM,uCAAuC,CAAA;AAG9E;;;;;;GAMG;AACH,OAAO,EACL,iBAAiB,EACjB,gBAAgB,EAChB,gBAAgB,EAChB,kBAAkB,EAClB,YAAY,EACZ,eAAe,EACf,2BAA2B,EAC3B,iBAAiB,EACjB,qBAAqB,EACrB,sBAAsB,EACtB,qBAAqB,EACrB,iBAAiB,EACjB,uBAAuB,EACvB,mBAAmB,EACnB,gBAAgB,EAChB,gBAAgB,EAChB,gBAAgB,EAChB,qBAAqB,EACrB,eAAe,EACf,qBAAqB,EACrB,4BAA4B,EAC5B,gCAAgC,EAChC,oBAAoB,EACpB,gBAAgB,EAChB,2BAA2B,GAC5B,MAAM,4BAA4B,CAAA"}

package/build/src/reconcile.d.ts

@@ -0,0 +1,37 @@
+/**
+ * Piezas COMPARTIDAS de `authz:reconcile` (3b-3b): lo que las dos
+ * direcciones —`--to=openfga` (3b-3a) y `--to=database`— tienen que decidir
+ * igual o el reporte deja de significar lo mismo según hacia dónde se migre.
+ *
+ * Vive aquí y no en un driver porque el driver `database` no puede importar
+ * del `openfga` (arrastraría el SDK, que es una peer dependency opcional) y
+ * porque duplicar la normalización de `batchSize`, la cota del volcado o la
+ * suma de fases es la forma más barata de que las dos direcciones cuenten
+ * distinto. Módulo puro: sin base de datos, sin red y sin `#aliases` del
+ * consumidor (`check:purity`).
+ */
+import type { ReconcileCounts } from './types.js';
+/** Filas por lote en el ORIGEN y operaciones por escritura en el destino. */
+export declare const RECONCILE_BATCH = 100;
+/**
+ * Cómo se NOMBRA el origen cuando los hechos son las tablas del paquete
+ * (3b-5). No es un driver: es el esquema PUBLICADO, y por eso tiene nombre
+ * propio en el reporte —«de dónde salieron los hechos» es la diferencia
+ * entre una migración y una pasada contra el driver activo—.
+ */
+export declare const AUTHZ_TABLES_ORIGIN = "authz_assignments/authz_denies";
+/** Tope de filas del reporte que se nombran una a una (el resto solo se cuenta). */
+export declare const RECONCILE_MAX_DETAILS = 200;
+/** Las cuatro fases de una pasada; en `--to=database` las tres primeras son cero. */
+export type ReconcileFamily = 'root' | 'catalog' | 'tree' | 'facts';
+export declare function reconcileBatchSize(value: number | undefined): number;
+/**
+ * La cota DECLARADA del volcado (3b-3b · B5). No es una promesa de memoria:
+ * es el número por encima del cual la pasada se niega con
+ * `E_AUTHZ_RECONCILE_TOO_LARGE` en vez de intentarlo y morir a medias.
+ */
+export declare function reconcileMaxTuples(value: number | undefined): number;
+export declare function emptyReconcileCounts(): ReconcileCounts;
+export declare function emptyReconcilePhases(): Record<ReconcileFamily, ReconcileCounts>;
+export declare function sumReconcilePhases(phases: Record<ReconcileFamily, ReconcileCounts>): ReconcileCounts;
+//# sourceMappingURL=reconcile.d.ts.map

package/build/src/reconcile.d.ts.map

@@ -0,0 +1 @@
+{"version":3,"file":"reconcile.d.ts","sourceRoot":"","sources":["../../src/reconcile.ts"],"names":[],"mappings":"AAAA;;;;;;;;;;;GAWG;AAIH,OAAO,KAAK,EAAE,eAAe,EAAE,MAAM,YAAY,CAAA;AAEjD,6EAA6E;AAC7E,eAAO,MAAM,eAAe,MAAM,CAAA;AAElC;;;;;GAKG;AACH,eAAO,MAAM,mBAAmB,mCAAmC,CAAA;AAEnE,oFAAoF;AACpF,eAAO,MAAM,qBAAqB,MAAM,CAAA;AAExC,qFAAqF;AACrF,MAAM,MAAM,eAAe,GAAG,MAAM,GAAG,SAAS,GAAG,MAAM,GAAG,OAAO,CAAA;AAEnE,wBAAgB,kBAAkB,CAAC,KAAK,EAAE,MAAM,GAAG,SAAS,GAAG,MAAM,CAMpE;AAED;;;;GAIG;AACH,wBAAgB,kBAAkB,CAAC,KAAK,EAAE,MAAM,GAAG,SAAS,GAAG,MAAM,CAMpE;AAED,wBAAgB,oBAAoB,IAAI,eAAe,CAEtD;AAED,wBAAgB,oBAAoB,IAAI,MAAM,CAAC,eAAe,EAAE,eAAe,CAAC,CAO/E;AAED,wBAAgB,kBAAkB,CAAC,MAAM,EAAE,MAAM,CAAC,eAAe,EAAE,eAAe,CAAC,GAAG,eAAe,CAUpG"}

package/build/src/reconcile.js

@@ -0,0 +1,69 @@
+/**
+ * Piezas COMPARTIDAS de `authz:reconcile` (3b-3b): lo que las dos
+ * direcciones —`--to=openfga` (3b-3a) y `--to=database`— tienen que decidir
+ * igual o el reporte deja de significar lo mismo según hacia dónde se migre.
+ *
+ * Vive aquí y no en un driver porque el driver `database` no puede importar
+ * del `openfga` (arrastraría el SDK, que es una peer dependency opcional) y
+ * porque duplicar la normalización de `batchSize`, la cota del volcado o la
+ * suma de fases es la forma más barata de que las dos direcciones cuenten
+ * distinto. Módulo puro: sin base de datos, sin red y sin `#aliases` del
+ * consumidor (`check:purity`).
+ */
+import { AuthorizationConfigError } from './errors.js';
+import { DEFAULT_RECONCILE_MAX_TUPLES } from './types.js';
+/** Filas por lote en el ORIGEN y operaciones por escritura en el destino. */
+export const RECONCILE_BATCH = 100;
+/**
+ * Cómo se NOMBRA el origen cuando los hechos son las tablas del paquete
+ * (3b-5). No es un driver: es el esquema PUBLICADO, y por eso tiene nombre
+ * propio en el reporte —«de dónde salieron los hechos» es la diferencia
+ * entre una migración y una pasada contra el driver activo—.
+ */
+export const AUTHZ_TABLES_ORIGIN = 'authz_assignments/authz_denies';
+/** Tope de filas del reporte que se nombran una a una (el resto solo se cuenta). */
+export const RECONCILE_MAX_DETAILS = 200;
+export function reconcileBatchSize(value) {
+    if (value === undefined)
+        return RECONCILE_BATCH;
+    if (!Number.isInteger(value) || value < 1) {
+        throw new AuthorizationConfigError(`authz:reconcile: batchSize debe ser un entero >= 1 (llegó ${String(value)})`);
+    }
+    return value;
+}
+/**
+ * La cota DECLARADA del volcado (3b-3b · B5). No es una promesa de memoria:
+ * es el número por encima del cual la pasada se niega con
+ * `E_AUTHZ_RECONCILE_TOO_LARGE` en vez de intentarlo y morir a medias.
+ */
+export function reconcileMaxTuples(value) {
+    if (value === undefined)
+        return DEFAULT_RECONCILE_MAX_TUPLES;
+    if (!Number.isInteger(value) || value < 1) {
+        throw new AuthorizationConfigError(`authz:reconcile: maxTuples debe ser un entero >= 1 (llegó ${String(value)})`);
+    }
+    return value;
+}
+export function emptyReconcileCounts() {
+    return { written: 0, updated: 0, unchanged: 0, extra: 0, deleted: 0 };
+}
+export function emptyReconcilePhases() {
+    return {
+        root: emptyReconcileCounts(),
+        catalog: emptyReconcileCounts(),
+        tree: emptyReconcileCounts(),
+        facts: emptyReconcileCounts(),
+    };
+}
+export function sumReconcilePhases(phases) {
+    const total = emptyReconcileCounts();
+    for (const counts of Object.values(phases)) {
+        total.written += counts.written;
+        total.updated += counts.updated;
+        total.unchanged += counts.unchanged;
+        total.extra += counts.extra;
+        total.deleted += counts.deleted;
+    }
+    return total;
+}
+//# sourceMappingURL=reconcile.js.map

package/build/src/reconcile.js.map

@@ -0,0 +1 @@
+{"version":3,"file":"reconcile.js","sourceRoot":"","sources":["../../src/reconcile.ts"],"names":[],"mappings":"AAAA;;;;;;;;;;;GAWG;AAEH,OAAO,EAAE,wBAAwB,EAAE,MAAM,aAAa,CAAA;AACtD,OAAO,EAAE,4BAA4B,EAAE,MAAM,YAAY,CAAA;AAGzD,6EAA6E;AAC7E,MAAM,CAAC,MAAM,eAAe,GAAG,GAAG,CAAA;AAElC;;;;;GAKG;AACH,MAAM,CAAC,MAAM,mBAAmB,GAAG,gCAAgC,CAAA;AAEnE,oFAAoF;AACpF,MAAM,CAAC,MAAM,qBAAqB,GAAG,GAAG,CAAA;AAKxC,MAAM,UAAU,kBAAkB,CAAC,KAAyB;IAC1D,IAAI,KAAK,KAAK,SAAS;QAAE,OAAO,eAAe,CAAA;IAC/C,IAAI,CAAC,MAAM,CAAC,SAAS,CAAC,KAAK,CAAC,IAAI,KAAK,GAAG,CAAC,EAAE,CAAC;QAC1C,MAAM,IAAI,wBAAwB,CAAC,6DAA6D,MAAM,CAAC,KAAK,CAAC,GAAG,CAAC,CAAA;IACnH,CAAC;IACD,OAAO,KAAK,CAAA;AACd,CAAC;AAED;;;;GAIG;AACH,MAAM,UAAU,kBAAkB,CAAC,KAAyB;IAC1D,IAAI,KAAK,KAAK,SAAS;QAAE,OAAO,4BAA4B,CAAA;IAC5D,IAAI,CAAC,MAAM,CAAC,SAAS,CAAC,KAAK,CAAC,IAAI,KAAK,GAAG,CAAC,EAAE,CAAC;QAC1C,MAAM,IAAI,wBAAwB,CAAC,6DAA6D,MAAM,CAAC,KAAK,CAAC,GAAG,CAAC,CAAA;IACnH,CAAC;IACD,OAAO,KAAK,CAAA;AACd,CAAC;AAED,MAAM,UAAU,oBAAoB;IAClC,OAAO,EAAE,OAAO,EAAE,CAAC,EAAE,OAAO,EAAE,CAAC,EAAE,SAAS,EAAE,CAAC,EAAE,KAAK,EAAE,CAAC,EAAE,OAAO,EAAE,CAAC,EAAE,CAAA;AACvE,CAAC;AAED,MAAM,UAAU,oBAAoB;IAClC,OAAO;QACL,IAAI,EAAE,oBAAoB,EAAE;QAC5B,OAAO,EAAE,oBAAoB,EAAE;QAC/B,IAAI,EAAE,oBAAoB,EAAE;QAC5B,KAAK,EAAE,oBAAoB,EAAE;KAC9B,CAAA;AACH,CAAC;AAED,MAAM,UAAU,kBAAkB,CAAC,MAAgD;IACjF,MAAM,KAAK,GAAG,oBAAoB,EAAE,CAAA;IACpC,KAAK,MAAM,MAAM,IAAI,MAAM,CAAC,MAAM,CAAC,MAAM,CAAC,EAAE,CAAC;QAC3C,KAAK,CAAC,OAAO,IAAI,MAAM,CAAC,OAAO,CAAA;QAC/B,KAAK,CAAC,OAAO,IAAI,MAAM,CAAC,OAAO,CAAA;QAC/B,KAAK,CAAC,SAAS,IAAI,MAAM,CAAC,SAAS,CAAA;QACnC,KAAK,CAAC,KAAK,IAAI,MAAM,CAAC,KAAK,CAAA;QAC3B,KAAK,CAAC,OAAO,IAAI,MAAM,CAAC,OAAO,CAAA;IACjC,CAAC;IACD,OAAO,KAAK,CAAA;AACd,CAAC"}

package/build/src/relation_partition_trigger.d.ts

@@ -0,0 +1,8 @@
+type TriggerDialect = 'sqlite' | 'postgres' | 'mysql';
+export declare function triggerDialectOf(dialect: string): TriggerDialect;
+/** Las sentencias a EJECUTAR (enteras) para crear el trigger de partición. */
+export declare function relationPartitionTrigger(dialect: string): string[];
+/** Las sentencias para soltar el trigger (y, en PG, su función) en el `down()`. */
+export declare function relationPartitionTriggerDrops(dialect: string): string[];
+export {};
+//# sourceMappingURL=relation_partition_trigger.d.ts.map

package/build/src/relation_partition_trigger.d.ts.map

@@ -0,0 +1 @@
+{"version":3,"file":"relation_partition_trigger.d.ts","sourceRoot":"","sources":["../../src/relation_partition_trigger.ts"],"names":[],"mappings":"AA+BA,KAAK,cAAc,GAAG,QAAQ,GAAG,UAAU,GAAG,OAAO,CAAA;AAErD,wBAAgB,gBAAgB,CAAC,OAAO,EAAE,MAAM,GAAG,cAAc,CAShE;AAED,8EAA8E;AAC9E,wBAAgB,wBAAwB,CAAC,OAAO,EAAE,MAAM,GAAG,MAAM,EAAE,CA8BlE;AAED,mFAAmF;AACnF,wBAAgB,6BAA6B,CAAC,OAAO,EAAE,MAAM,GAAG,MAAM,EAAE,CAYvE"}

package/build/src/relation_partition_trigger.js

@@ -0,0 +1,85 @@
+/**
+ * **La DDL del trigger de partición de `authz_relations` por dialecto** (Fase 4,
+ * lote 4-3) — módulo PURO, sin dependencia del servicio `db` de Lucid, para que
+ * lo pueda importar tanto el driver `database` de relaciones como el espejo del
+ * esquema de la suite (que se carga ANTES de bootear la app).
+ *
+ * El trigger es la defensa en profundidad contra un escritor «a mano» que meta
+ * en `authz_relations` una fila cuyo USERSET (sujeto con `subject_relation`)
+ * pertenece a OTRA partición que la de la fila. Cada sentencia se ejecuta
+ * ENTERA (su cuerpo `BEGIN…END` lleva `;` dentro): nunca por un runner que
+ * trocea por `;`.
+ *
+ * La forma es RADICALMENTE distinta en cada motor (medido por el analista, y
+ * probado en INSERT **y** UPDATE):
+ *  - **SQLite**: `CREATE TRIGGER … BEFORE INSERT/UPDATE … WHEN … BEGIN SELECT
+ *    RAISE(ABORT, …); END` — un trigger por evento; `IS NOT` es el distinto
+ *    null-safe.
+ *  - **PostgreSQL**: exige una FUNCIÓN plpgsql SEPARADA (`RAISE EXCEPTION`) y
+ *    un `CREATE TRIGGER … EXECUTE FUNCTION` que la invoca; un solo trigger
+ *    `BEFORE INSERT OR UPDATE`. `IS DISTINCT FROM` es el distinto null-safe.
+ *  - **MySQL**: `SIGNAL SQLSTATE '45000'` dentro de `IF … THEN … END IF`; un
+ *    trigger por evento; `<=>` es el igual null-safe (`NOT (a <=> b)` = distinto).
+ *
+ * Cualquier otro dialecto ⇒ 500 `E_AUTHZ_UNSUPPORTED_DIALECT` (nunca una tabla
+ * sin defensa), exactamente como `sqlDescendantsOf`.
+ */
+import { UnsupportedDialectError } from './errors.js';
+const RELATIONS_TABLE = 'authz_relations';
+const TRIGGER_MESSAGE = 'authz_relations: un userset no puede pertenecer a otra partición que su tupla';
+export function triggerDialectOf(dialect) {
+    if (dialect === 'sqlite3' || dialect === 'better-sqlite3')
+        return 'sqlite';
+    if (dialect === 'postgres')
+        return 'postgres';
+    if (dialect === 'mysql' || dialect === 'mysql2')
+        return 'mysql';
+    throw new UnsupportedDialectError(`relationPartitionTrigger: dialecto '${dialect}' sin observación en la suite ` +
+        `(hoy: PostgreSQL, MySQL 8 y SQLite). El trigger de partición defiende al escritor a mano, ` +
+        `y su DDL no se declara igual en dos motores: mídelo antes de dar por buena una tabla sin defensa.`);
+}
+/** Las sentencias a EJECUTAR (enteras) para crear el trigger de partición. */
+export function relationPartitionTrigger(dialect) {
+    const kind = triggerDialectOf(dialect);
+    if (kind === 'sqlite') {
+        const body = (event) => `CREATE TRIGGER authz_relations_partition_b${event === 'INSERT' ? 'i' : 'u'} ` +
+            `BEFORE ${event} ON ${RELATIONS_TABLE} FOR EACH ROW ` +
+            `WHEN NEW.subject_relation IS NOT NULL AND NEW.subject_partition IS NOT NEW.partition_key ` +
+            `BEGIN SELECT RAISE(ABORT, '${TRIGGER_MESSAGE}'); END`;
+        return [body('INSERT'), body('UPDATE')];
+    }
+    if (kind === 'postgres') {
+        return [
+            `CREATE OR REPLACE FUNCTION authz_relations_partition_guard() RETURNS trigger LANGUAGE plpgsql AS $authz$ ` +
+                `BEGIN ` +
+                `IF NEW.subject_relation IS NOT NULL AND NEW.subject_partition IS DISTINCT FROM NEW.partition_key THEN ` +
+                `RAISE EXCEPTION '${TRIGGER_MESSAGE} (subject_partition=%, partition_key=%)', NEW.subject_partition, NEW.partition_key; ` +
+                `END IF; RETURN NEW; END; $authz$`,
+            `CREATE TRIGGER authz_relations_partition_biu BEFORE INSERT OR UPDATE ON ${RELATIONS_TABLE} ` +
+                `FOR EACH ROW EXECUTE FUNCTION authz_relations_partition_guard()`,
+        ];
+    }
+    // mysql
+    const body = (event) => `CREATE TRIGGER authz_relations_partition_b${event === 'INSERT' ? 'i' : 'u'} ` +
+        `BEFORE ${event} ON ${RELATIONS_TABLE} FOR EACH ROW ` +
+        `BEGIN ` +
+        `IF NEW.subject_relation IS NOT NULL AND NOT (NEW.subject_partition <=> NEW.partition_key) THEN ` +
+        `SIGNAL SQLSTATE '45000' SET MESSAGE_TEXT = '${TRIGGER_MESSAGE}'; ` +
+        `END IF; END`;
+    return [body('INSERT'), body('UPDATE')];
+}
+/** Las sentencias para soltar el trigger (y, en PG, su función) en el `down()`. */
+export function relationPartitionTriggerDrops(dialect) {
+    const kind = triggerDialectOf(dialect);
+    if (kind === 'postgres') {
+        return [
+            `DROP TRIGGER IF EXISTS authz_relations_partition_biu ON ${RELATIONS_TABLE}`,
+            'DROP FUNCTION IF EXISTS authz_relations_partition_guard()',
+        ];
+    }
+    return [
+        'DROP TRIGGER IF EXISTS authz_relations_partition_bi',
+        'DROP TRIGGER IF EXISTS authz_relations_partition_bu',
+    ];
+}
+//# sourceMappingURL=relation_partition_trigger.js.map

package/build/src/relation_partition_trigger.js.map

@@ -0,0 +1 @@
+{"version":3,"file":"relation_partition_trigger.js","sourceRoot":"","sources":["../../src/relation_partition_trigger.ts"],"names":[],"mappings":"AAAA;;;;;;;;;;;;;;;;;;;;;;;;;GAyBG;AACH,OAAO,EAAE,uBAAuB,EAAE,MAAM,aAAa,CAAA;AAErD,MAAM,eAAe,GAAG,iBAAiB,CAAA;AACzC,MAAM,eAAe,GAAG,+EAA+E,CAAA;AAIvG,MAAM,UAAU,gBAAgB,CAAC,OAAe;IAC9C,IAAI,OAAO,KAAK,SAAS,IAAI,OAAO,KAAK,gBAAgB;QAAE,OAAO,QAAQ,CAAA;IAC1E,IAAI,OAAO,KAAK,UAAU;QAAE,OAAO,UAAU,CAAA;IAC7C,IAAI,OAAO,KAAK,OAAO,IAAI,OAAO,KAAK,QAAQ;QAAE,OAAO,OAAO,CAAA;IAC/D,MAAM,IAAI,uBAAuB,CAC/B,uCAAuC,OAAO,gCAAgC;QAC5E,4FAA4F;QAC5F,mGAAmG,CACtG,CAAA;AACH,CAAC;AAED,8EAA8E;AAC9E,MAAM,UAAU,wBAAwB,CAAC,OAAe;IACtD,MAAM,IAAI,GAAG,gBAAgB,CAAC,OAAO,CAAC,CAAA;IACtC,IAAI,IAAI,KAAK,QAAQ,EAAE,CAAC;QACtB,MAAM,IAAI,GAAG,CAAC,KAA0B,EAAE,EAAE,CAC1C,6CAA6C,KAAK,KAAK,QAAQ,CAAC,CAAC,CAAC,GAAG,CAAC,CAAC,CAAC,GAAG,GAAG;YAC9E,UAAU,KAAK,OAAO,eAAe,gBAAgB;YACrD,2FAA2F;YAC3F,8BAA8B,eAAe,SAAS,CAAA;QACxD,OAAO,CAAC,IAAI,CAAC,QAAQ,CAAC,EAAE,IAAI,CAAC,QAAQ,CAAC,CAAC,CAAA;IACzC,CAAC;IACD,IAAI,IAAI,KAAK,UAAU,EAAE,CAAC;QACxB,OAAO;YACL,2GAA2G;gBACzG,QAAQ;gBACR,wGAAwG;gBACxG,oBAAoB,eAAe,sFAAsF;gBACzH,kCAAkC;YACpC,2EAA2E,eAAe,GAAG;gBAC3F,iEAAiE;SACpE,CAAA;IACH,CAAC;IACD,QAAQ;IACR,MAAM,IAAI,GAAG,CAAC,KAA0B,EAAE,EAAE,CAC1C,6CAA6C,KAAK,KAAK,QAAQ,CAAC,CAAC,CAAC,GAAG,CAAC,CAAC,CAAC,GAAG,GAAG;QAC9E,UAAU,KAAK,OAAO,eAAe,gBAAgB;QACrD,QAAQ;QACR,iGAAiG;QACjG,+CAA+C,eAAe,KAAK;QACnE,aAAa,CAAA;IACf,OAAO,CAAC,IAAI,CAAC,QAAQ,CAAC,EAAE,IAAI,CAAC,QAAQ,CAAC,CAAC,CAAA;AACzC,CAAC;AAED,mFAAmF;AACnF,MAAM,UAAU,6BAA6B,CAAC,OAAe;IAC3D,MAAM,IAAI,GAAG,gBAAgB,CAAC,OAAO,CAAC,CAAA;IACtC,IAAI,IAAI,KAAK,UAAU,EAAE,CAAC;QACxB,OAAO;YACL,2DAA2D,eAAe,EAAE;YAC5E,2DAA2D;SAC5D,CAAA;IACH,CAAC;IACD,OAAO;QACL,qDAAqD;QACrD,qDAAqD;KACtD,CAAA;AACH,CAAC"}

package/build/src/relations/define_relations_config.d.ts

@@ -0,0 +1,58 @@
+/** Una relación de un tipo de objeto (`document#viewer`), con sus `includes` de un nivel. */
+export interface RelationObjectRelationSpec {
+    /** El nombre de la relación (`owner`, `editor`, `viewer`). */
+    name: string;
+    /**
+     * Otras relaciones del MISMO tipo que ésta incluye (`viewer or editor`):
+     * un `relate(u, editor, doc)` concede también `viewer`. Un nivel, SIN
+     * `from` en v1 (la herencia cross-objeto metería un TTU entre tipos y
+     * habría que re-medir profundidad — diferido a 2.6+).
+     */
+    includes?: readonly string[];
+}
+/** Un tipo de objeto de relaciones (`document`, `folder`, `space`…). */
+export interface RelationObjectTypeSpec {
+    /** El tipo FGA del objeto. */
+    type: string;
+    /** Sus relaciones, en orden de declaración. */
+    relations: readonly RelationObjectRelationSpec[];
+}
+/** Opciones específicas del driver `database`. */
+export interface RelationsDatabaseOptions {
+    /**
+     * Habilita `membersOf` (membresía TRANSITIVA a través de usersets), que solo
+     * el driver `database` resuelve (CTE recursiva). En `openfga` la transitiva
+     * sería `ListUsers`, que trunca, así que la opción NO es válida fuera de
+     * `database`.
+     */
+    membersOf?: boolean;
+}
+/** La config que declara el consumidor. */
+export interface RelationsConfigSpec {
+    /** Los tipos de objeto y sus relaciones. */
+    objectTypes: readonly RelationObjectTypeSpec[];
+    /**
+     * Los holder types del config del consumidor (`user`, `admin`…). Se suman a
+     * los tipos reservados: un tipo de objeto de relaciones no puede llamarse
+     * como un holder (⚪4).
+     */
+    holderTypes?: readonly string[];
+    /** Opciones del driver `database` (donde vive `membersOf`). */
+    database?: RelationsDatabaseOptions;
+}
+/** La config ya validada y CONGELADA que consulta el manager de relaciones. */
+export interface RelationsConfig {
+    readonly objectTypes: readonly RelationObjectTypeSpec[];
+    /** ¿`membersOf` está habilitado (opción de `database`)? */
+    readonly membersOf: boolean;
+    /** ¿Existe el tipo de objeto? (F-05, cara del tipo). */
+    hasType(objectType: string): boolean;
+    /** ¿La relación está declarada para ese tipo? (F-05, cara de la relación). */
+    isDeclared(objectType: string, relation: string): boolean;
+}
+/**
+ * Valida y congela la config de relaciones. Config inválida ⇒ 422
+ * `E_AUTHZ_RELATION_CONFIG` (misma clase que el gate del modelo del lote 4-1).
+ */
+export declare function defineRelationsConfig(spec: RelationsConfigSpec): RelationsConfig;
+//# sourceMappingURL=define_relations_config.d.ts.map

package/build/src/relations/define_relations_config.d.ts.map

@@ -0,0 +1 @@
+{"version":3,"file":"define_relations_config.d.ts","sourceRoot":"","sources":["../../../src/relations/define_relations_config.ts"],"names":[],"mappings":"AA2BA,6FAA6F;AAC7F,MAAM,WAAW,0BAA0B;IACzC,8DAA8D;IAC9D,IAAI,EAAE,MAAM,CAAA;IACZ;;;;;OAKG;IACH,QAAQ,CAAC,EAAE,SAAS,MAAM,EAAE,CAAA;CAC7B;AAED,wEAAwE;AACxE,MAAM,WAAW,sBAAsB;IACrC,8BAA8B;IAC9B,IAAI,EAAE,MAAM,CAAA;IACZ,+CAA+C;IAC/C,SAAS,EAAE,SAAS,0BAA0B,EAAE,CAAA;CACjD;AAED,kDAAkD;AAClD,MAAM,WAAW,wBAAwB;IACvC;;;;;OAKG;IACH,SAAS,CAAC,EAAE,OAAO,CAAA;CACpB;AAED,2CAA2C;AAC3C,MAAM,WAAW,mBAAmB;IAClC,4CAA4C;IAC5C,WAAW,EAAE,SAAS,sBAAsB,EAAE,CAAA;IAC9C;;;;OAIG;IACH,WAAW,CAAC,EAAE,SAAS,MAAM,EAAE,CAAA;IAC/B,+DAA+D;IAC/D,QAAQ,CAAC,EAAE,wBAAwB,CAAA;CACpC;AAED,+EAA+E;AAC/E,MAAM,WAAW,eAAe;IAC9B,QAAQ,CAAC,WAAW,EAAE,SAAS,sBAAsB,EAAE,CAAA;IACvD,2DAA2D;IAC3D,QAAQ,CAAC,SAAS,EAAE,OAAO,CAAA;IAC3B,wDAAwD;IACxD,OAAO,CAAC,UAAU,EAAE,MAAM,GAAG,OAAO,CAAA;IACpC,8EAA8E;IAC9E,UAAU,CAAC,UAAU,EAAE,MAAM,EAAE,QAAQ,EAAE,MAAM,GAAG,OAAO,CAAA;CAC1D;AAMD;;;GAGG;AACH,wBAAgB,qBAAqB,CAAC,IAAI,EAAE,mBAAmB,GAAG,eAAe,CA0IhF"}

package/build/src/relations/define_relations_config.js

@@ -0,0 +1,144 @@
+/**
+ * `defineRelationsConfig` — la API declarativa de ReBAC (Fase 4, lote 4-2).
+ *
+ * Valida la config de relaciones del consumidor y devuelve un objeto
+ * CONGELADO que el manager de relaciones consulta para F-05 (`isDeclared`).
+ * Es la puerta de entrada, AGNÓSTICA de driver: rige igual en `database` y en
+ * `openfga` (paridad ⚪4). El generador del modelo fusionado
+ * (`src/drivers/openfga_facts.ts`, lote 4-1) hace la MISMA comprobación de
+ * reservados por defensa en profundidad al emitir el modelo —y además la de
+ * F-04 (colisión con un permiso del catálogo), que necesita las tuplas del
+ * catálogo y por eso vive en la capa del modelo—; las dos comparten la fuente
+ * única de tipos reservados (`RESERVED_FACTS_TYPES` en `src/identity.ts`).
+ *
+ * Pureza (regla 2 de `check_purity.mjs`): este módulo solo depende del puerto
+ * (`../types.js`), de los errores y de la gramática compartida
+ * (`../identity.js`); JAMÁS de `../manager` ni de `../drivers/*`. Es lo que
+ * mantiene `relations/` desacoplado de `roles/`.
+ */
+import { RelationConfigError } from '../errors.js';
+import { RESERVED_FACTS_TYPES, RESERVED_SLUGS, RESERVED_SLUG_PREFIXES } from '../identity.js';
+/** La cota de FGA para el nombre de una relación (50). Un tipo de objeto llega a 254. */
+const RELATION_NAME_MAX = 50;
+const OBJECT_TYPE_MAX = 254;
+/** Nombres FGA: minúsculas, dígitos y `._-`; sin `:`/`#`/`@`/espacios ni `|`. */
+const FGA_NAME_FORMAT = /^[a-z0-9][a-z0-9._-]*$/;
+function reject(message) {
+    throw new RelationConfigError(message);
+}
+/**
+ * Valida y congela la config de relaciones. Config inválida ⇒ 422
+ * `E_AUTHZ_RELATION_CONFIG` (misma clase que el gate del modelo del lote 4-1).
+ */
+export function defineRelationsConfig(spec) {
+    if (!spec || typeof spec !== 'object') {
+        reject(`Config de relaciones inválida: se esperaba un objeto y llegó ${JSON.stringify(spec)}.`);
+    }
+    // `membersOf` SOLO puede vivir en las opciones de `database` (⚪ del tester):
+    // ponerlo en la raíz o en un futuro bloque `openfga` es un error de
+    // configuración —`openfga` no puede resolver la transitiva sin truncar—.
+    if ('membersOf' in spec) {
+        reject(`Config de relaciones inválida: 'membersOf' es una opción del driver 'database' ` +
+            `(membresía transitiva por CTE recursiva) y va en 'database.membersOf', no en la raíz. ` +
+            `En 'openfga' la transitiva sería 'ListUsers', que trunca al tope del servidor.`);
+    }
+    if (!Array.isArray(spec.objectTypes) || spec.objectTypes.length === 0) {
+        reject(`Config de relaciones inválida: 'objectTypes' tiene que ser un array no vacío.`);
+    }
+    const holderTypes = spec.holderTypes ?? [];
+    for (const holder of holderTypes) {
+        if (typeof holder !== 'string') {
+            reject(`Config de relaciones inválida: un holder type no es una cadena (${JSON.stringify(holder)}).`);
+        }
+    }
+    const reservedTypes = new Set([...RESERVED_FACTS_TYPES, ...holderTypes]);
+    const seenTypes = new Set();
+    for (const objectType of spec.objectTypes) {
+        const type = objectType?.type;
+        if (typeof type !== 'string' || !FGA_NAME_FORMAT.test(type) || type.length > OBJECT_TYPE_MAX) {
+            reject(`Config de relaciones inválida: tipo de objeto ${JSON.stringify(type)} no es un tipo FGA válido ` +
+                `(minúsculas, dígitos y '._-'; sin ':'/'#'/'@'/'|'/espacios; 1-${OBJECT_TYPE_MAX} caracteres).`);
+        }
+        if (reservedTypes.has(type)) {
+            reject(`Config de relaciones inválida: el tipo de objeto '${type}' colisiona con un tipo reservado del ` +
+                `modelo compartido (${[...RESERVED_FACTS_TYPES].join(', ')}` +
+                `${holderTypes.length ? ', y los holder types ' + holderTypes.join(', ') : ''}). ` +
+                `En el store compartido un tipo de relaciones no puede duplicar uno de 'facts' (⚪4): ` +
+                `si pudiera declarar 'role_binding', 'relate' compondría el id de un binding real y escalaría a ` +
+                `roles.authorize. Renómbralo.`);
+        }
+        if (seenTypes.has(type)) {
+            reject(`Config de relaciones inválida: el tipo de objeto '${type}' está declarado dos veces.`);
+        }
+        seenTypes.add(type);
+        if (!Array.isArray(objectType.relations) || objectType.relations.length === 0) {
+            reject(`Config de relaciones inválida: el tipo '${type}' no declara ninguna relación.`);
+        }
+        const own = new Set();
+        for (const relation of objectType.relations) {
+            const name = relation?.name;
+            if (typeof name !== 'string' || !FGA_NAME_FORMAT.test(name)) {
+                reject(`Config de relaciones inválida: relación ${JSON.stringify(name)} del tipo '${type}' no es un ` +
+                    `nombre de relación válido (minúsculas, dígitos y '._-').`);
+            }
+            if (name.length > RELATION_NAME_MAX) {
+                reject(`Config de relaciones inválida: la relación '${name}' del tipo '${type}' tiene ${name.length} ` +
+                    `caracteres y FGA admite ${RELATION_NAME_MAX}.`);
+            }
+            if (RESERVED_SLUGS.has(name)) {
+                reject(`Config de relaciones inválida: la relación '${type}#${name}' usa un nombre reservado del modelo ` +
+                    `facts (${[...RESERVED_SLUGS].join(', ')}): elegiría una relación propia de 'facts' (⚪4).`);
+            }
+            const family = RESERVED_SLUG_PREFIXES.find((prefix) => name.startsWith(prefix));
+            if (family) {
+                reject(`Config de relaciones inválida: la relación '${type}#${name}' empieza por '${family}', prefijo ` +
+                    `reservado de las relaciones derivadas del modelo facts (${RESERVED_SLUG_PREFIXES.join(', ')}): ` +
+                    `pisaría el nombre de un permiso proyectado (⚪4).`);
+            }
+            if (own.has(name)) {
+                reject(`Config de relaciones inválida: la relación '${type}#${name}' está declarada dos veces.`);
+            }
+            own.add(name);
+        }
+        // Los `includes` refieren relaciones del MISMO tipo (un nivel, SIN `from`).
+        for (const relation of objectType.relations) {
+            for (const included of relation.includes ?? []) {
+                if (typeof included !== 'string') {
+                    reject(`Config de relaciones inválida: un 'includes' de '${type}#${relation.name}' no es una cadena.`);
+                }
+                // Un `from` (`viewer from parent`) se escribe con un separador; v1 no lo soporta.
+                if (/[:#@|. ]/.test(included) && !own.has(included)) {
+                    reject(`Config de relaciones inválida: '${type}#${relation.name}' incluye '${included}', que parece una ` +
+                        `herencia cross-objeto ('from'). v1 solo soporta includes de un nivel y del MISMO tipo.`);
+                }
+                if (!own.has(included)) {
+                    reject(`Config de relaciones inválida: '${type}#${relation.name}' incluye '${included}', que no es una ` +
+                        `relación de '${type}'. Los includes son de un nivel y del mismo tipo (v1 no soporta 'from').`);
+                }
+                if (included === relation.name) {
+                    reject(`Config de relaciones inválida: '${type}#${relation.name}' se incluye a sí misma.`);
+                }
+            }
+        }
+    }
+    const declared = new Map();
+    // `group` es el tipo BUILT-IN de las relaciones (el portador de los
+    // usersets, `group:g#member`): lo emite SIEMPRE el generador del modelo, no
+    // el consumidor —por eso NO se declara en `objectTypes` (arriba se rechaza)
+    // pero SÍ es un tipo válido para F-05: `relate(group:g#member, viewer, doc)`
+    // y `relate(u, member, group:g)` son legales. `role_binding`/`scope`/`role`
+    // siguen fuera: la frontera del 🔴 se mantiene.
+    declared.set('group', new Set(['member']));
+    const frozenTypes = spec.objectTypes.map((objectType) => {
+        const relations = objectType.relations.map((relation) => Object.freeze({ name: relation.name, includes: relation.includes ? Object.freeze([...relation.includes]) : undefined }));
+        declared.set(objectType.type, new Set(relations.map((r) => r.name)));
+        return Object.freeze({ type: objectType.type, relations: Object.freeze(relations) });
+    });
+    return Object.freeze({
+        objectTypes: Object.freeze(frozenTypes),
+        membersOf: spec.database?.membersOf === true,
+        hasType: (objectType) => declared.has(objectType),
+        isDeclared: (objectType, relation) => declared.get(objectType)?.has(relation) ?? false,
+    });
+}
+//# sourceMappingURL=define_relations_config.js.map

package/build/src/relations/define_relations_config.js.map

@@ -0,0 +1 @@
+{"version":3,"file":"define_relations_config.js","sourceRoot":"","sources":["../../../src/relations/define_relations_config.ts"],"names":[],"mappings":"AAAA;;;;;;;;;;;;;;;;;GAiBG;AACH,OAAO,EAAE,mBAAmB,EAAE,MAAM,cAAc,CAAA;AAClD,OAAO,EAAE,oBAAoB,EAAE,cAAc,EAAE,sBAAsB,EAAE,MAAM,gBAAgB,CAAA;AAE7F,yFAAyF;AACzF,MAAM,iBAAiB,GAAG,EAAE,CAAA;AAC5B,MAAM,eAAe,GAAG,GAAG,CAAA;AAC3B,iFAAiF;AACjF,MAAM,eAAe,GAAG,wBAAwB,CAAA;AA2DhD,SAAS,MAAM,CAAC,OAAe;IAC7B,MAAM,IAAI,mBAAmB,CAAC,OAAO,CAAC,CAAA;AACxC,CAAC;AAED;;;GAGG;AACH,MAAM,UAAU,qBAAqB,CAAC,IAAyB;IAC7D,IAAI,CAAC,IAAI,IAAI,OAAO,IAAI,KAAK,QAAQ,EAAE,CAAC;QACtC,MAAM,CAAC,gEAAgE,IAAI,CAAC,SAAS,CAAC,IAAI,CAAC,GAAG,CAAC,CAAA;IACjG,CAAC;IACD,6EAA6E;IAC7E,oEAAoE;IACpE,yEAAyE;IACzE,IAAI,WAAW,IAAK,IAA2C,EAAE,CAAC;QAChE,MAAM,CACJ,iFAAiF;YAC/E,wFAAwF;YACxF,gFAAgF,CACnF,CAAA;IACH,CAAC;IAED,IAAI,CAAC,KAAK,CAAC,OAAO,CAAC,IAAI,CAAC,WAAW,CAAC,IAAI,IAAI,CAAC,WAAW,CAAC,MAAM,KAAK,CAAC,EAAE,CAAC;QACtE,MAAM,CAAC,+EAA+E,CAAC,CAAA;IACzF,CAAC;IAED,MAAM,WAAW,GAAG,IAAI,CAAC,WAAW,IAAI,EAAE,CAAA;IAC1C,KAAK,MAAM,MAAM,IAAI,WAAW,EAAE,CAAC;QACjC,IAAI,OAAO,MAAM,KAAK,QAAQ,EAAE,CAAC;YAC/B,MAAM,CAAC,mEAAmE,IAAI,CAAC,SAAS,CAAC,MAAM,CAAC,IAAI,CAAC,CAAA;QACvG,CAAC;IACH,CAAC;IACD,MAAM,aAAa,GAAG,IAAI,GAAG,CAAS,CAAC,GAAG,oBAAoB,EAAE,GAAG,WAAW,CAAC,CAAC,CAAA;IAEhF,MAAM,SAAS,GAAG,IAAI,GAAG,EAAU,CAAA;IACnC,KAAK,MAAM,UAAU,IAAI,IAAI,CAAC,WAAW,EAAE,CAAC;QAC1C,MAAM,IAAI,GAAG,UAAU,EAAE,IAAI,CAAA;QAC7B,IAAI,OAAO,IAAI,KAAK,QAAQ,IAAI,CAAC,eAAe,CAAC,IAAI,CAAC,IAAI,CAAC,IAAI,IAAI,CAAC,MAAM,GAAG,eAAe,EAAE,CAAC;YAC7F,MAAM,CACJ,iDAAiD,IAAI,CAAC,SAAS,CAAC,IAAI,CAAC,4BAA4B;gBAC/F,iEAAiE,eAAe,eAAe,CAClG,CAAA;QACH,CAAC;QACD,IAAI,aAAa,CAAC,GAAG,CAAC,IAAI,CAAC,EAAE,CAAC;YAC5B,MAAM,CACJ,qDAAqD,IAAI,wCAAwC;gBAC/F,sBAAsB,CAAC,GAAG,oBAAoB,CAAC,CAAC,IAAI,CAAC,IAAI,CAAC,EAAE;gBAC5D,GAAG,WAAW,CAAC,MAAM,CAAC,CAAC,CAAC,uBAAuB,GAAG,WAAW,CAAC,IAAI,CAAC,IAAI,CAAC,CAAC,CAAC,CAAC,EAAE,KAAK;gBAClF,sFAAsF;gBACtF,iGAAiG;gBACjG,8BAA8B,CACjC,CAAA;QACH,CAAC;QACD,IAAI,SAAS,CAAC,GAAG,CAAC,IAAI,CAAC,EAAE,CAAC;YACxB,MAAM,CAAC,qDAAqD,IAAI,6BAA6B,CAAC,CAAA;QAChG,CAAC;QACD,SAAS,CAAC,GAAG,CAAC,IAAI,CAAC,CAAA;QAEnB,IAAI,CAAC,KAAK,CAAC,OAAO,CAAC,UAAU,CAAC,SAAS,CAAC,IAAI,UAAU,CAAC,SAAS,CAAC,MAAM,KAAK,CAAC,EAAE,CAAC;YAC9E,MAAM,CAAC,2CAA2C,IAAI,gCAAgC,CAAC,CAAA;QACzF,CAAC;QAED,MAAM,GAAG,GAAG,IAAI,GAAG,EAAU,CAAA;QAC7B,KAAK,MAAM,QAAQ,IAAI,UAAU,CAAC,SAAS,EAAE,CAAC;YAC5C,MAAM,IAAI,GAAG,QAAQ,EAAE,IAAI,CAAA;YAC3B,IAAI,OAAO,IAAI,KAAK,QAAQ,IAAI,CAAC,eAAe,CAAC,IAAI,CAAC,IAAI,CAAC,EAAE,CAAC;gBAC5D,MAAM,CACJ,2CAA2C,IAAI,CAAC,SAAS,CAAC,IAAI,CAAC,cAAc,IAAI,aAAa;oBAC5F,0DAA0D,CAC7D,CAAA;YACH,CAAC;YACD,IAAI,IAAI,CAAC,MAAM,GAAG,iBAAiB,EAAE,CAAC;gBACpC,MAAM,CACJ,+CAA+C,IAAI,eAAe,IAAI,WAAW,IAAI,CAAC,MAAM,GAAG;oBAC7F,2BAA2B,iBAAiB,GAAG,CAClD,CAAA;YACH,CAAC;YACD,IAAI,cAAc,CAAC,GAAG,CAAC,IAAI,CAAC,EAAE,CAAC;gBAC7B,MAAM,CACJ,+CAA+C,IAAI,IAAI,IAAI,uCAAuC;oBAChG,UAAU,CAAC,GAAG,cAAc,CAAC,CAAC,IAAI,CAAC,IAAI,CAAC,kDAAkD,CAC7F,CAAA;YACH,CAAC;YACD,MAAM,MAAM,GAAG,sBAAsB,CAAC,IAAI,CAAC,CAAC,MAAM,EAAE,EAAE,CAAC,IAAI,CAAC,UAAU,CAAC,MAAM,CAAC,CAAC,CAAA;YAC/E,IAAI,MAAM,EAAE,CAAC;gBACX,MAAM,CACJ,+CAA+C,IAAI,IAAI,IAAI,kBAAkB,MAAM,aAAa;oBAC9F,2DAA2D,sBAAsB,CAAC,IAAI,CAAC,IAAI,CAAC,KAAK;oBACjG,kDAAkD,CACrD,CAAA;YACH,CAAC;YACD,IAAI,GAAG,CAAC,GAAG,CAAC,IAAI,CAAC,EAAE,CAAC;gBAClB,MAAM,CAAC,+CAA+C,IAAI,IAAI,IAAI,6BAA6B,CAAC,CAAA;YAClG,CAAC;YACD,GAAG,CAAC,GAAG,CAAC,IAAI,CAAC,CAAA;QACf,CAAC;QAED,4EAA4E;QAC5E,KAAK,MAAM,QAAQ,IAAI,UAAU,CAAC,SAAS,EAAE,CAAC;YAC5C,KAAK,MAAM,QAAQ,IAAI,QAAQ,CAAC,QAAQ,IAAI,EAAE,EAAE,CAAC;gBAC/C,IAAI,OAAO,QAAQ,KAAK,QAAQ,EAAE,CAAC;oBACjC,MAAM,CAAC,oDAAoD,IAAI,IAAI,QAAQ,CAAC,IAAI,qBAAqB,CAAC,CAAA;gBACxG,CAAC;gBACD,kFAAkF;gBAClF,IAAI,UAAU,CAAC,IAAI,CAAC,QAAQ,CAAC,IAAI,CAAC,GAAG,CAAC,GAAG,CAAC,QAAQ,CAAC,EAAE,CAAC;oBACpD,MAAM,CACJ,mCAAmC,IAAI,IAAI,QAAQ,CAAC,IAAI,cAAc,QAAQ,oBAAoB;wBAChG,wFAAwF,CAC3F,CAAA;gBACH,CAAC;gBACD,IAAI,CAAC,GAAG,CAAC,GAAG,CAAC,QAAQ,CAAC,EAAE,CAAC;oBACvB,MAAM,CACJ,mCAAmC,IAAI,IAAI,QAAQ,CAAC,IAAI,cAAc,QAAQ,mBAAmB;wBAC/F,gBAAgB,IAAI,0EAA0E,CACjG,CAAA;gBACH,CAAC;gBACD,IAAI,QAAQ,KAAK,QAAQ,CAAC,IAAI,EAAE,CAAC;oBAC/B,MAAM,CAAC,mCAAmC,IAAI,IAAI,QAAQ,CAAC,IAAI,0BAA0B,CAAC,CAAA;gBAC5F,CAAC;YACH,CAAC;QACH,CAAC;IACH,CAAC;IAED,MAAM,QAAQ,GAAG,IAAI,GAAG,EAAuB,CAAA;IAC/C,oEAAoE;IACpE,4EAA4E;IAC5E,4EAA4E;IAC5E,6EAA6E;IAC7E,4EAA4E;IAC5E,gDAAgD;IAChD,QAAQ,CAAC,GAAG,CAAC,OAAO,EAAE,IAAI,GAAG,CAAC,CAAC,QAAQ,CAAC,CAAC,CAAC,CAAA;IAC1C,MAAM,WAAW,GAAG,IAAI,CAAC,WAAW,CAAC,GAAG,CAAC,CAAC,UAAU,EAAE,EAAE;QACtD,MAAM,SAAS,GAAG,UAAU,CAAC,SAAS,CAAC,GAAG,CAAC,CAAC,QAAoC,EAAE,EAAE,CAClF,MAAM,CAAC,MAAM,CAAC,EAAE,IAAI,EAAE,QAAQ,CAAC,IAAI,EAAE,QAAQ,EAAE,QAAQ,CAAC,QAAQ,CAAC,CAAC,CAAC,MAAM,CAAC,MAAM,CAAC,CAAC,GAAG,QAAQ,CAAC,QAAQ,CAAC,CAAC,CAAC,CAAC,CAAC,SAAS,EAAE,CAAC,CACxH,CAAA;QACD,QAAQ,CAAC,GAAG,CAAC,UAAU,CAAC,IAAI,EAAE,IAAI,GAAG,CAAC,SAAS,CAAC,GAAG,CAAC,CAAC,CAA6B,EAAE,EAAE,CAAC,CAAC,CAAC,IAAI,CAAC,CAAC,CAAC,CAAA;QAChG,OAAO,MAAM,CAAC,MAAM,CAAC,EAAE,IAAI,EAAE,UAAU,CAAC,IAAI,EAAE,SAAS,EAAE,MAAM,CAAC,MAAM,CAAC,SAAS,CAAC,EAAE,CAAC,CAAA;IACtF,CAAC,CAAC,CAAA;IAEF,OAAO,MAAM,CAAC,MAAM,CAAC;QACnB,WAAW,EAAE,MAAM,CAAC,MAAM,CAAC,WAAW,CAAC;QACvC,SAAS,EAAE,IAAI,CAAC,QAAQ,EAAE,SAAS,KAAK,IAAI;QAC5C,OAAO,EAAE,CAAC,UAAkB,EAAE,EAAE,CAAC,QAAQ,CAAC,GAAG,CAAC,UAAU,CAAC;QACzD,UAAU,EAAE,CAAC,UAAkB,EAAE,QAAgB,EAAE,EAAE,CAAC,QAAQ,CAAC,GAAG,CAAC,UAAU,CAAC,EAAE,GAAG,CAAC,QAAQ,CAAC,IAAI,KAAK;KACvG,CAAoB,CAAA;AACvB,CAAC"}

package/build/src/relations/manager.d.ts

@@ -0,0 +1,38 @@
+import type { RelObject, RelSubject, RelationRef, RelationWriteEvent, RelationWriteOptions, RelationsDriver, RelationObjectsPage, RelationSubjectsPage, RelationPage, RelationTuplePage, ScopeRef } from '../types.js';
+import type { RelationsConfig } from './define_relations_config.js';
+export interface RelationsManagerOptions {
+    /**
+     * Comprobación PURA de escritura (R-13): recibe la referencia completa de la
+     * tupla (sujeto, relación, objeto, partición, operación) y lanza para
+     * rechazarla. Corre DESPUÉS de F-05 y ANTES de tocar el driver.
+     */
+    assertWrite?(ref: RelationRef): void;
+    /** Auditoría: se notifica DESPUÉS de una escritura confirmada, con el `actor`. */
+    onRelationWrite?(event: RelationWriteEvent): void;
+    /** `true` exige `actor` en toda escritura (paridad con `requireActor` de roles). */
+    requireActor?: boolean;
+}
+export declare class RelationsManager {
+    #private;
+    constructor(driver: RelationsDriver, config: RelationsConfig, options?: RelationsManagerOptions);
+    /** El driver crudo — salida documentada de las barreras (plataforma y tests). */
+    driver(): RelationsDriver;
+    relate(subject: RelSubject, relation: string, object: RelObject, partition: ScopeRef, options?: RelationWriteOptions): Promise<void>;
+    unrelate(subject: RelSubject, relation: string, object: RelObject, partition: ScopeRef, options?: RelationWriteOptions): Promise<void>;
+    check(subject: RelSubject, relation: string, object: RelObject, partition: ScopeRef): Promise<boolean>;
+    listObjects(subject: RelSubject, relation: string, objectType: string, partition: ScopeRef, page?: RelationPage): Promise<RelationObjectsPage>;
+    listSubjects(relation: string, object: RelObject, partition: ScopeRef, page?: RelationPage): Promise<RelationSubjectsPage>;
+    purgeObject(object: RelObject, partition: ScopeRef): Promise<void>;
+    purgeSubject(subject: RelSubject, partition: ScopeRef): Promise<void>;
+    /**
+     * Membresía TRANSITIVA de un grupo (a través de usersets anidados) —
+     * DISTINTA de `listSubjects`, que da los hechos DIRECTOS. Solo la trae el
+     * driver `database` (`membersOfNative: true`); en `openfga` es 500
+     * `E_AUTHZ_UNSUPPORTED` nombrándola (la transitiva sería `ListUsers`, que
+     * trunca), jamás un `skip`.
+     */
+    membersOf(object: RelObject, relation: string, partition: ScopeRef, page?: RelationPage): Promise<RelationSubjectsPage>;
+    /** ORIGEN de `authz:reconcile` de relaciones. 500 `E_AUTHZ_UNSUPPORTED` si el driver no lo trae. */
+    enumerateRelations(partition: ScopeRef, page?: RelationPage): Promise<RelationTuplePage>;
+}
+//# sourceMappingURL=manager.d.ts.map

package/build/src/relations/manager.d.ts.map

@@ -0,0 +1 @@
+{"version":3,"file":"manager.d.ts","sourceRoot":"","sources":["../../../src/relations/manager.ts"],"names":[],"mappings":"AA8BA,OAAO,KAAK,EACV,SAAS,EACT,UAAU,EACV,WAAW,EACX,kBAAkB,EAClB,oBAAoB,EACpB,eAAe,EACf,mBAAmB,EACnB,oBAAoB,EACpB,YAAY,EACZ,iBAAiB,EACjB,QAAQ,EACT,MAAM,aAAa,CAAA;AAEpB,OAAO,KAAK,EAAE,eAAe,EAAE,MAAM,8BAA8B,CAAA;AAEnE,MAAM,WAAW,uBAAuB;IACtC;;;;OAIG;IACH,WAAW,CAAC,CAAC,GAAG,EAAE,WAAW,GAAG,IAAI,CAAA;IACpC,kFAAkF;IAClF,eAAe,CAAC,CAAC,KAAK,EAAE,kBAAkB,GAAG,IAAI,CAAA;IACjD,oFAAoF;IACpF,YAAY,CAAC,EAAE,OAAO,CAAA;CACvB;AAED,qBAAa,gBAAgB;;gBAKf,MAAM,EAAE,eAAe,EAAE,MAAM,EAAE,eAAe,EAAE,OAAO,GAAE,uBAA4B;IAMnG,iFAAiF;IACjF,MAAM,IAAI,eAAe;IAmDnB,MAAM,CACV,OAAO,EAAE,UAAU,EACnB,QAAQ,EAAE,MAAM,EAChB,MAAM,EAAE,SAAS,EACjB,SAAS,EAAE,QAAQ,EACnB,OAAO,CAAC,EAAE,oBAAoB,GAC7B,OAAO,CAAC,IAAI,CAAC;IAYV,QAAQ,CACZ,OAAO,EAAE,UAAU,EACnB,QAAQ,EAAE,MAAM,EAChB,MAAM,EAAE,SAAS,EACjB,SAAS,EAAE,QAAQ,EACnB,OAAO,CAAC,EAAE,oBAAoB,GAC7B,OAAO,CAAC,IAAI,CAAC;IAYV,KAAK,CAAC,OAAO,EAAE,UAAU,EAAE,QAAQ,EAAE,MAAM,EAAE,MAAM,EAAE,SAAS,EAAE,SAAS,EAAE,QAAQ,GAAG,OAAO,CAAC,OAAO,CAAC;IAMtG,WAAW,CACf,OAAO,EAAE,UAAU,EACnB,QAAQ,EAAE,MAAM,EAChB,UAAU,EAAE,MAAM,EAClB,SAAS,EAAE,QAAQ,EACnB,IAAI,CAAC,EAAE,YAAY,GAClB,OAAO,CAAC,mBAAmB,CAAC;IAKzB,YAAY,CAChB,QAAQ,EAAE,MAAM,EAChB,MAAM,EAAE,SAAS,EACjB,SAAS,EAAE,QAAQ,EACnB,IAAI,CAAC,EAAE,YAAY,GAClB,OAAO,CAAC,oBAAoB,CAAC;IAM1B,WAAW,CAAC,MAAM,EAAE,SAAS,EAAE,SAAS,EAAE,QAAQ,GAAG,OAAO,CAAC,IAAI,CAAC;IAMlE,YAAY,CAAC,OAAO,EAAE,UAAU,EAAE,SAAS,EAAE,QAAQ,GAAG,OAAO,CAAC,IAAI,CAAC;IAK3E;;;;;;OAMG;IACG,SAAS,CACb,MAAM,EAAE,SAAS,EACjB,QAAQ,EAAE,MAAM,EAChB,SAAS,EAAE,QAAQ,EACnB,IAAI,CAAC,EAAE,YAAY,GAClB,OAAO,CAAC,oBAAoB,CAAC;IAchC,oGAAoG;IAC9F,kBAAkB,CAAC,SAAS,EAAE,QAAQ,EAAE,IAAI,CAAC,EAAE,YAAY,GAAG,OAAO,CAAC,iBAAiB,CAAC;CAuB/F"}