@jantstack/adonis-authz 2.0.0-alpha.1 → 2.4.0-alpha.1

package/build/commands/authz_scopes_relay.d.ts

@@ -0,0 +1,47 @@
+import { BaseCommand } from '@adonisjs/core/ace';
+import { CommandOptions } from '@adonisjs/core/types/ace';
+/**
+ * Drena la OUTBOX del árbol de scopes y aplica los cambios al driver
+ * (3b-2d; panel 2, cruce 4 · S5).
+ *
+ * Con `scopes.outbox` declarada, `authorization.scopes.attached/moved/
+ * detached` no escriben en el backend: encolan el cambio DENTRO de la
+ * transacción del consumidor. Este comando es quien lo propaga.
+ *
+ *   node ace authz:scopes:relay                 # drena
+ *   node ace authz:scopes:relay --dry-run       # solo dice qué haría
+ *   node ace authz:scopes:relay --limit 500     # una pasada acotada
+ *
+ * Pensado para un supervisor (un bucle, un cron corto, un worker): la pasada
+ * es REANUDABLE —lo que no entra sigue pendiente—. Un cambio que falla
+ * **aplaza lo que depende de él** (todo cambio posterior que nombre alguno de
+ * sus scopes) y deja pasar el resto: hasta 3b-2h paraba la pasada entera, y
+ * eso convertía una entrada irreparable en un tapón permanente para todos los
+ * tenants (3b-2h · 🔴 2). Sale con código ≠ 0 si algo falló o hay entradas
+ * APARCADAS, para que el supervisor se entere.
+ *
+ * **Escritor ÚNICO**: si la outbox sabe dar lease (`sqlScopeOutbox` lo hace),
+ * una segunda pasada simultánea no hace nada y lo dice. Sin lease, no lances
+ * dos a la vez: la rezagada re-aplica cambios viejos sobre el árbol nuevo.
+ *
+ * **Lo que este comando no puede arreglar**: entre el commit del consumidor
+ * y la pasada hay un lag (segundos) en el que el backend decide con el árbol
+ * VIEJO. Es un fail-open temporal —el tenant antiguo conserva acceso tras un
+ * `moved`, los denies heredados no aplican tras un `attached`—. No hay 2PC.
+ * Un ciclo más corto acorta esa ventana **mientras la cola avance**: lo que
+ * falla o se aparca no está acotado por el ciclo y hay que mirarlo.
+ *
+ * Es una operación de PLATAFORMA (como `authz:catalog:prune-orphans`): se
+ * salta `requireActor`/`requireWithin` porque la policy ya se juzgó al
+ * ENCOLAR, con el árbol y la sesión de aquel momento. No se expone por HTTP.
+ */
+export default class AuthzScopesRelay extends BaseCommand {
+    static commandName: string;
+    static description: string;
+    static options: CommandOptions;
+    dryRun: boolean | undefined;
+    limit: number | undefined;
+    batchSize: number | undefined;
+    run(): Promise<void>;
+}
+//# sourceMappingURL=authz_scopes_relay.d.ts.map

package/build/commands/authz_scopes_relay.d.ts.map

@@ -0,0 +1 @@
+{"version":3,"file":"authz_scopes_relay.d.ts","sourceRoot":"","sources":["../../commands/authz_scopes_relay.ts"],"names":[],"mappings":"AAAA,OAAO,EAAE,WAAW,EAAS,MAAM,oBAAoB,CAAA;AACvD,OAAO,EAAE,cAAc,EAAE,MAAM,0BAA0B,CAAA;AAEzD;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;GAkCG;AACH,MAAM,CAAC,OAAO,OAAO,gBAAiB,SAAQ,WAAW;IACvD,MAAM,CAAC,WAAW,SAAuB;IACzC,MAAM,CAAC,WAAW,SAAiF;IAEnG,MAAM,CAAC,OAAO,EAAE,cAAc,CAE7B;IAMO,MAAM,EAAE,OAAO,GAAG,SAAS,CAAA;IAG3B,KAAK,EAAE,MAAM,GAAG,SAAS,CAAA;IAGzB,SAAS,EAAE,MAAM,GAAG,SAAS,CAAA;IAE/B,GAAG;CAkFV"}

package/build/commands/authz_scopes_relay.js

@@ -0,0 +1,141 @@
+var __decorate = (this && this.__decorate) || function (decorators, target, key, desc) {
+    var c = arguments.length, r = c < 3 ? target : desc === null ? desc = Object.getOwnPropertyDescriptor(target, key) : desc, d;
+    if (typeof Reflect === "object" && typeof Reflect.decorate === "function") r = Reflect.decorate(decorators, target, key, desc);
+    else for (var i = decorators.length - 1; i >= 0; i--) if (d = decorators[i]) r = (c < 3 ? d(r) : c > 3 ? d(target, key, r) : d(target, key)) || r;
+    return c > 3 && r && Object.defineProperty(target, key, r), r;
+};
+var __metadata = (this && this.__metadata) || function (k, v) {
+    if (typeof Reflect === "object" && typeof Reflect.metadata === "function") return Reflect.metadata(k, v);
+};
+import { BaseCommand, flags } from '@adonisjs/core/ace';
+/**
+ * Drena la OUTBOX del árbol de scopes y aplica los cambios al driver
+ * (3b-2d; panel 2, cruce 4 · S5).
+ *
+ * Con `scopes.outbox` declarada, `authorization.scopes.attached/moved/
+ * detached` no escriben en el backend: encolan el cambio DENTRO de la
+ * transacción del consumidor. Este comando es quien lo propaga.
+ *
+ *   node ace authz:scopes:relay                 # drena
+ *   node ace authz:scopes:relay --dry-run       # solo dice qué haría
+ *   node ace authz:scopes:relay --limit 500     # una pasada acotada
+ *
+ * Pensado para un supervisor (un bucle, un cron corto, un worker): la pasada
+ * es REANUDABLE —lo que no entra sigue pendiente—. Un cambio que falla
+ * **aplaza lo que depende de él** (todo cambio posterior que nombre alguno de
+ * sus scopes) y deja pasar el resto: hasta 3b-2h paraba la pasada entera, y
+ * eso convertía una entrada irreparable en un tapón permanente para todos los
+ * tenants (3b-2h · 🔴 2). Sale con código ≠ 0 si algo falló o hay entradas
+ * APARCADAS, para que el supervisor se entere.
+ *
+ * **Escritor ÚNICO**: si la outbox sabe dar lease (`sqlScopeOutbox` lo hace),
+ * una segunda pasada simultánea no hace nada y lo dice. Sin lease, no lances
+ * dos a la vez: la rezagada re-aplica cambios viejos sobre el árbol nuevo.
+ *
+ * **Lo que este comando no puede arreglar**: entre el commit del consumidor
+ * y la pasada hay un lag (segundos) en el que el backend decide con el árbol
+ * VIEJO. Es un fail-open temporal —el tenant antiguo conserva acceso tras un
+ * `moved`, los denies heredados no aplican tras un `attached`—. No hay 2PC.
+ * Un ciclo más corto acorta esa ventana **mientras la cola avance**: lo que
+ * falla o se aparca no está acotado por el ciclo y hay que mirarlo.
+ *
+ * Es una operación de PLATAFORMA (como `authz:catalog:prune-orphans`): se
+ * salta `requireActor`/`requireWithin` porque la policy ya se juzgó al
+ * ENCOLAR, con el árbol y la sesión de aquel momento. No se expone por HTTP.
+ */
+export default class AuthzScopesRelay extends BaseCommand {
+    static commandName = 'authz:scopes:relay';
+    static description = 'Drain the scope-tree outbox and apply the pending tree changes to the driver';
+    static options = {
+        startApp: true,
+    };
+    async run() {
+        const { default: authorization } = await import('../services/main.js');
+        const report = await authorization.relayScopeChanges({
+            dryRun: this.dryRun === true,
+            limit: this.limit,
+            batchSize: this.batchSize,
+        });
+        const linea = (item) => {
+            const { change } = item;
+            const scope = (s) => `${s.type}:${s.uuid ?? ''}`;
+            const destino = change.op === 'detached' ? '' : ` → ${scope(change.parent)}`;
+            const intentos = item.attempts ? ` (intentos previos: ${item.attempts})` : '';
+            return `#${item.id} ${change.op} ${scope(change.child)}${destino}${intentos}`;
+        };
+        // Lo APARCADO se dice siempre, aplique o no esta pasada: es una
+        // divergencia permanente del árbol del backend, no un incidente pasado.
+        for (const item of report.dead) {
+            this.logger.error(`APARCADO tras agotar los intentos: ${linea(item)}${item.error ? ` — ${item.error}` : ''}`);
+        }
+        if (report.dead.length > 0) {
+            this.logger.warning('Una entrada aparcada NO se va a aplicar sola: el árbol del backend está divergente en ese nodo. ' +
+                'Revísala en la cola (el consumidor puede volver a notificar el cambio) o reconcilia.');
+        }
+        if (report.busy) {
+            this.logger.info('Otra pasada del relay tiene el lease de la cola: esta no ha aplicado nada (el relay es escritor único).');
+            if (report.dead.length > 0)
+                this.exitCode = 1;
+            return;
+        }
+        if (report.dryRun) {
+            for (const item of report.wouldApply)
+                this.logger.log(`pendiente: ${linea(item)}`);
+            if (report.wouldApply.length === 0) {
+                if (report.dead.length > 0)
+                    this.exitCode = 1;
+                else
+                    this.logger.success('La outbox del árbol está vacía: nada que propagar.');
+                return;
+            }
+            this.logger.warning(`${report.wouldApply.length} cambio(s) del árbol sin propagar. No se ha aplicado nada: repite sin --dry-run. ` +
+                `Mientras tanto el backend decide con el árbol VIEJO.`);
+            return;
+        }
+        // Qué se aplicó, uno a uno: la pasada no es atómica y un contador no
+        // permite retomar nada.
+        for (const item of report.applied)
+            this.logger.log(`aplicado: ${linea(item)}`);
+        for (const item of report.deferred) {
+            this.logger.warning(`aplazado: ${linea(item)}${item.error ? ` — ${item.error}` : ''}`);
+        }
+        if (report.failures.length > 0) {
+            for (const item of report.failures) {
+                this.logger.error(`falló #${item.id} (${item.change.op} ` +
+                    `${item.change.child.type}:${item.change.child.uuid ?? ''}): ${item.error}`);
+            }
+            this.logger.warning('Lo que DEPENDE de un cambio fallido no se adelanta (el orden del árbol importa: aparece como «aplazado»), ' +
+                'pero el resto de la cola sí avanza. Arregla la causa y vuelve a ejecutar; retoma donde lo dejó. ' +
+                'Agotados los intentos que declare tu outbox, una entrada irreparable se APARCA y se reporta.');
+            this.exitCode = 1;
+            return;
+        }
+        if (report.dead.length > 0)
+            this.exitCode = 1;
+        if (report.applied.length === 0) {
+            if (report.dead.length === 0)
+                this.logger.success('La outbox del árbol está vacía: nada que propagar.');
+            return;
+        }
+        this.logger.success(`${report.applied.length} cambio(s) del árbol propagado(s) al driver.`);
+        if (report.remaining) {
+            this.logger.warning('Quedan cambios pendientes (se alcanzó el límite de la pasada o hay aplazados): vuelve a ejecutar.');
+        }
+    }
+}
+__decorate([
+    flags.boolean({
+        name: 'dry-run',
+        description: 'List the pending tree changes without applying any of them',
+    }),
+    __metadata("design:type", Object)
+], AuthzScopesRelay.prototype, "dryRun", void 0);
+__decorate([
+    flags.number({ description: 'Stop after applying this many changes (the rest stays pending)' }),
+    __metadata("design:type", Object)
+], AuthzScopesRelay.prototype, "limit", void 0);
+__decorate([
+    flags.number({ name: 'batch-size', description: 'How many pending changes to read per round trip' }),
+    __metadata("design:type", Object)
+], AuthzScopesRelay.prototype, "batchSize", void 0);
+//# sourceMappingURL=authz_scopes_relay.js.map

package/build/commands/authz_scopes_relay.js.map

@@ -0,0 +1 @@
+{"version":3,"file":"authz_scopes_relay.js","sourceRoot":"","sources":["../../commands/authz_scopes_relay.ts"],"names":[],"mappings":";;;;;;;;;AAAA,OAAO,EAAE,WAAW,EAAE,KAAK,EAAE,MAAM,oBAAoB,CAAA;AAGvD;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;GAkCG;AACH,MAAM,CAAC,OAAO,OAAO,gBAAiB,SAAQ,WAAW;IACvD,MAAM,CAAC,WAAW,GAAG,oBAAoB,CAAA;IACzC,MAAM,CAAC,WAAW,GAAG,8EAA8E,CAAA;IAEnG,MAAM,CAAC,OAAO,GAAmB;QAC/B,QAAQ,EAAE,IAAI;KACf,CAAA;IAcD,KAAK,CAAC,GAAG;QACP,MAAM,EAAE,OAAO,EAAE,aAAa,EAAE,GAAG,MAAM,MAAM,CAAC,qBAAqB,CAAC,CAAA;QACtE,MAAM,MAAM,GAAG,MAAM,aAAa,CAAC,iBAAiB,CAAC;YACnD,MAAM,EAAE,IAAI,CAAC,MAAM,KAAK,IAAI;YAC5B,KAAK,EAAE,IAAI,CAAC,KAAK;YACjB,SAAS,EAAE,IAAI,CAAC,SAAS;SAC1B,CAAC,CAAA;QAEF,MAAM,KAAK,GAAG,CAAC,IAA6D,EAAE,EAAE;YAC9E,MAAM,EAAE,MAAM,EAAE,GAAG,IAAI,CAAA;YACvB,MAAM,KAAK,GAAG,CAAC,CAAM,EAAE,EAAE,CAAC,GAAG,CAAC,CAAC,IAAI,IAAI,CAAC,CAAC,IAAI,IAAI,EAAE,EAAE,CAAA;YACrD,MAAM,OAAO,GAAG,MAAM,CAAC,EAAE,KAAK,UAAU,CAAC,CAAC,CAAC,EAAE,CAAC,CAAC,CAAC,MAAM,KAAK,CAAC,MAAM,CAAC,MAAM,CAAC,EAAE,CAAA;YAC5E,MAAM,QAAQ,GAAG,IAAI,CAAC,QAAQ,CAAC,CAAC,CAAC,uBAAuB,IAAI,CAAC,QAAQ,GAAG,CAAC,CAAC,CAAC,EAAE,CAAA;YAC7E,OAAO,IAAI,IAAI,CAAC,EAAE,IAAI,MAAM,CAAC,EAAE,IAAI,KAAK,CAAC,MAAM,CAAC,KAAK,CAAC,GAAG,OAAO,GAAG,QAAQ,EAAE,CAAA;QAC/E,CAAC,CAAA;QAED,gEAAgE;QAChE,wEAAwE;QACxE,KAAK,MAAM,IAAI,IAAI,MAAM,CAAC,IAAI,EAAE,CAAC;YAC/B,IAAI,CAAC,MAAM,CAAC,KAAK,CAAC,sCAAsC,KAAK,CAAC,IAAI,CAAC,GAAG,IAAI,CAAC,KAAK,CAAC,CAAC,CAAC,MAAM,IAAI,CAAC,KAAK,EAAE,CAAC,CAAC,CAAC,EAAE,EAAE,CAAC,CAAA;QAC/G,CAAC;QACD,IAAI,MAAM,CAAC,IAAI,CAAC,MAAM,GAAG,CAAC,EAAE,CAAC;YAC3B,IAAI,CAAC,MAAM,CAAC,OAAO,CACjB,kGAAkG;gBAChG,sFAAsF,CACzF,CAAA;QACH,CAAC;QAED,IAAI,MAAM,CAAC,IAAI,EAAE,CAAC;YAChB,IAAI,CAAC,MAAM,CAAC,IAAI,CAAC,yGAAyG,CAAC,CAAA;YAC3H,IAAI,MAAM,CAAC,IAAI,CAAC,MAAM,GAAG,CAAC;gBAAE,IAAI,CAAC,QAAQ,GAAG,CAAC,CAAA;YAC7C,OAAM;QACR,CAAC;QAED,IAAI,MAAM,CAAC,MAAM,EAAE,CAAC;YAClB,KAAK,MAAM,IAAI,IAAI,MAAM,CAAC,UAAU;gBAAE,IAAI,CAAC,MAAM,CAAC,GAAG,CAAC,cAAc,KAAK,CAAC,IAAI,CAAC,EAAE,CAAC,CAAA;YAClF,IAAI,MAAM,CAAC,UAAU,CAAC,MAAM,KAAK,CAAC,EAAE,CAAC;gBACnC,IAAI,MAAM,CAAC,IAAI,CAAC,MAAM,GAAG,CAAC;oBAAE,IAAI,CAAC,QAAQ,GAAG,CAAC,CAAA;;oBACxC,IAAI,CAAC,MAAM,CAAC,OAAO,CAAC,oDAAoD,CAAC,CAAA;gBAC9E,OAAM;YACR,CAAC;YACD,IAAI,CAAC,MAAM,CAAC,OAAO,CACjB,GAAG,MAAM,CAAC,UAAU,CAAC,MAAM,mFAAmF;gBAC5G,sDAAsD,CACzD,CAAA;YACD,OAAM;QACR,CAAC;QAED,qEAAqE;QACrE,wBAAwB;QACxB,KAAK,MAAM,IAAI,IAAI,MAAM,CAAC,OAAO;YAAE,IAAI,CAAC,MAAM,CAAC,GAAG,CAAC,aAAa,KAAK,CAAC,IAAI,CAAC,EAAE,CAAC,CAAA;QAE9E,KAAK,MAAM,IAAI,IAAI,MAAM,CAAC,QAAQ,EAAE,CAAC;YACnC,IAAI,CAAC,MAAM,CAAC,OAAO,CAAC,aAAa,KAAK,CAAC,IAAI,CAAC,GAAG,IAAI,CAAC,KAAK,CAAC,CAAC,CAAC,MAAM,IAAI,CAAC,KAAK,EAAE,CAAC,CAAC,CAAC,EAAE,EAAE,CAAC,CAAA;QACxF,CAAC;QAED,IAAI,MAAM,CAAC,QAAQ,CAAC,MAAM,GAAG,CAAC,EAAE,CAAC;YAC/B,KAAK,MAAM,IAAI,IAAI,MAAM,CAAC,QAAQ,EAAE,CAAC;gBACnC,IAAI,CAAC,MAAM,CAAC,KAAK,CACf,UAAU,IAAI,CAAC,EAAE,KAAK,IAAI,CAAC,MAAM,CAAC,EAAE,GAAG;oBACrC,GAAG,IAAI,CAAC,MAAM,CAAC,KAAK,CAAC,IAAI,IAAI,IAAI,CAAC,MAAM,CAAC,KAAK,CAAC,IAAI,IAAI,EAAE,MAAM,IAAI,CAAC,KAAK,EAAE,CAC9E,CAAA;YACH,CAAC;YACD,IAAI,CAAC,MAAM,CAAC,OAAO,CACjB,4GAA4G;gBAC1G,kGAAkG;gBAClG,8FAA8F,CACjG,CAAA;YACD,IAAI,CAAC,QAAQ,GAAG,CAAC,CAAA;YACjB,OAAM;QACR,CAAC;QAED,IAAI,MAAM,CAAC,IAAI,CAAC,MAAM,GAAG,CAAC;YAAE,IAAI,CAAC,QAAQ,GAAG,CAAC,CAAA;QAC7C,IAAI,MAAM,CAAC,OAAO,CAAC,MAAM,KAAK,CAAC,EAAE,CAAC;YAChC,IAAI,MAAM,CAAC,IAAI,CAAC,MAAM,KAAK,CAAC;gBAAE,IAAI,CAAC,MAAM,CAAC,OAAO,CAAC,oDAAoD,CAAC,CAAA;YACvG,OAAM;QACR,CAAC;QACD,IAAI,CAAC,MAAM,CAAC,OAAO,CAAC,GAAG,MAAM,CAAC,OAAO,CAAC,MAAM,8CAA8C,CAAC,CAAA;QAC3F,IAAI,MAAM,CAAC,SAAS,EAAE,CAAC;YACrB,IAAI,CAAC,MAAM,CAAC,OAAO,CAAC,mGAAmG,CAAC,CAAA;QAC1H,CAAC;IACH,CAAC;;AAzFO;IAJP,KAAK,CAAC,OAAO,CAAC;QACb,IAAI,EAAE,SAAS;QACf,WAAW,EAAE,4DAA4D;KAC1E,CAAC;;gDACiC;AAG3B;IADP,KAAK,CAAC,MAAM,CAAC,EAAE,WAAW,EAAE,gEAAgE,EAAE,CAAC;;+CAC/D;AAGzB;IADP,KAAK,CAAC,MAAM,CAAC,EAAE,IAAI,EAAE,YAAY,EAAE,WAAW,EAAE,iDAAiD,EAAE,CAAC;;mDAChE"}

package/build/commands/authz_unfreeze.d.ts

@@ -0,0 +1,37 @@
+import { BaseCommand } from '@adonisjs/core/ace';
+import { CommandOptions } from '@adonisjs/core/types/ace';
+import type { FreezeStatus } from '../src/manager.js';
+/**
+ * Qué hacer con el freeze vivo, en una función PURA (mismo patrón que
+ * `reconcileLines`): es la única decisión del comando y así tiene su caso
+ * sin montar un ace.
+ *
+ * Reglas:
+ *  - Sin freeze vivo ⇒ no-op en verde (idempotente: descongelar lo
+ *    descongelado no es un incidente).
+ *  - Freeze de OPERADOR ⇒ se levanta (este comando es su otra mitad).
+ *  - Freeze de OTRO dueño (`reconcile`, `platform`) ⇒ NO se levanta sin
+ *    `--fence`: levantar la barrera de una pasada viva es exactamente el
+ *    A1.3 que el token cierra. `--fence=<n>` es la decisión humana explícita
+ *    («ese proceso murió sin lease»), y tiene que coincidir con el fence
+ *    vivo — un fence viejo no levanta la ventana de otro.
+ */
+export declare function unfreezePlan(status: FreezeStatus | null, fence: number | undefined): {
+    action: 'noop' | 'lift' | 'refuse';
+    message: string;
+};
+/**
+ * **Cierra la ventana de cutover** (3b-7): levanta el freeze de operador que
+ * abrió `authz:freeze`. La otra mitad de ese comando; ver su docblock.
+ *
+ *   node ace authz:unfreeze              # levanta la ventana del operador
+ *   node ace authz:unfreeze --fence=7    # decisión humana: levanta ESE freeze aunque no sea de operador
+ */
+export default class AuthzUnfreeze extends BaseCommand {
+    static commandName: string;
+    static description: string;
+    static options: CommandOptions;
+    fence: number | undefined;
+    run(): Promise<void>;
+}
+//# sourceMappingURL=authz_unfreeze.d.ts.map

package/build/commands/authz_unfreeze.d.ts.map

@@ -0,0 +1 @@
+{"version":3,"file":"authz_unfreeze.d.ts","sourceRoot":"","sources":["../../commands/authz_unfreeze.ts"],"names":[],"mappings":"AAAA,OAAO,EAAE,WAAW,EAAS,MAAM,oBAAoB,CAAA;AACvD,OAAO,EAAE,cAAc,EAAE,MAAM,0BAA0B,CAAA;AACzD,OAAO,KAAK,EAAE,YAAY,EAAE,MAAM,mBAAmB,CAAA;AAErD;;;;;;;;;;;;;;GAcG;AACH,wBAAgB,YAAY,CAC1B,MAAM,EAAE,YAAY,GAAG,IAAI,EAC3B,KAAK,EAAE,MAAM,GAAG,SAAS,GACxB;IAAE,MAAM,EAAE,MAAM,GAAG,MAAM,GAAG,QAAQ,CAAC;IAAC,OAAO,EAAE,MAAM,CAAA;CAAE,CA0BzD;AAED;;;;;;GAMG;AACH,MAAM,CAAC,OAAO,OAAO,aAAc,SAAQ,WAAW;IACpD,MAAM,CAAC,WAAW,SAAmB;IACrC,MAAM,CAAC,WAAW,SAAqF;IAEvG,MAAM,CAAC,OAAO,EAAE,cAAc,CAE7B;IAKO,KAAK,EAAE,MAAM,GAAG,SAAS,CAAA;IAE3B,GAAG;CAqBV"}

package/build/commands/authz_unfreeze.js

@@ -0,0 +1,92 @@
+var __decorate = (this && this.__decorate) || function (decorators, target, key, desc) {
+    var c = arguments.length, r = c < 3 ? target : desc === null ? desc = Object.getOwnPropertyDescriptor(target, key) : desc, d;
+    if (typeof Reflect === "object" && typeof Reflect.decorate === "function") r = Reflect.decorate(decorators, target, key, desc);
+    else for (var i = decorators.length - 1; i >= 0; i--) if (d = decorators[i]) r = (c < 3 ? d(r) : c > 3 ? d(target, key, r) : d(target, key)) || r;
+    return c > 3 && r && Object.defineProperty(target, key, r), r;
+};
+var __metadata = (this && this.__metadata) || function (k, v) {
+    if (typeof Reflect === "object" && typeof Reflect.metadata === "function") return Reflect.metadata(k, v);
+};
+import { BaseCommand, flags } from '@adonisjs/core/ace';
+/**
+ * Qué hacer con el freeze vivo, en una función PURA (mismo patrón que
+ * `reconcileLines`): es la única decisión del comando y así tiene su caso
+ * sin montar un ace.
+ *
+ * Reglas:
+ *  - Sin freeze vivo ⇒ no-op en verde (idempotente: descongelar lo
+ *    descongelado no es un incidente).
+ *  - Freeze de OPERADOR ⇒ se levanta (este comando es su otra mitad).
+ *  - Freeze de OTRO dueño (`reconcile`, `platform`) ⇒ NO se levanta sin
+ *    `--fence`: levantar la barrera de una pasada viva es exactamente el
+ *    A1.3 que el token cierra. `--fence=<n>` es la decisión humana explícita
+ *    («ese proceso murió sin lease»), y tiene que coincidir con el fence
+ *    vivo — un fence viejo no levanta la ventana de otro.
+ */
+export function unfreezePlan(status, fence) {
+    if (status === null) {
+        return { action: 'noop', message: 'No hay ningún freeze vivo: nada que levantar.' };
+    }
+    if (fence !== undefined && fence !== status.fence) {
+        return {
+            action: 'refuse',
+            message: `El fence vivo es ${status.fence} y pediste levantar el ${fence}: ese freeze ya no existe. ` +
+                `Mira el estado y repite con el fence actual si de verdad quieres levantarlo.`,
+        };
+    }
+    if (status.kind !== 'operator' && fence === undefined) {
+        return {
+            action: 'refuse',
+            message: `El freeze vivo NO es de operador: lo sostiene ${status.holder} (${status.reason}). ` +
+                `Levantárselo dejaría su pasada corriendo sin barrera (y su reporte lo delatará como lapsed). ` +
+                `Espera a que termine${status.untilMs === null ? '' : ' — o a que su lease venza solo'}; si su proceso ` +
+                `murió sin lease, la decisión humana es --fence=${status.fence}.`,
+        };
+    }
+    return {
+        action: 'lift',
+        message: `Freeze de ${status.holder} (${status.reason}, fence ${status.fence}) levantado: la flota vuelve a escribir.`,
+    };
+}
+/**
+ * **Cierra la ventana de cutover** (3b-7): levanta el freeze de operador que
+ * abrió `authz:freeze`. La otra mitad de ese comando; ver su docblock.
+ *
+ *   node ace authz:unfreeze              # levanta la ventana del operador
+ *   node ace authz:unfreeze --fence=7    # decisión humana: levanta ESE freeze aunque no sea de operador
+ */
+export default class AuthzUnfreeze extends BaseCommand {
+    static commandName = 'authz:unfreeze';
+    static description = 'Close the cutover window: lift the operator freeze and let the fleet write again';
+    static options = {
+        startApp: true,
+    };
+    async run() {
+        const { default: authorization } = await import('../services/main.js');
+        const status = await authorization.freezeStatus();
+        const plan = unfreezePlan(status, this.fence);
+        if (plan.action === 'noop') {
+            this.logger.success(plan.message);
+            return;
+        }
+        if (plan.action === 'refuse') {
+            this.logger.error(plan.message);
+            this.exitCode = 1;
+            return;
+        }
+        const lifted = await authorization.unfreeze({ fence: status.fence, holder: status.holder });
+        if (!lifted) {
+            // Entre el SELECT y el UPDATE alguien lo levantó o venció: no es un error.
+            this.logger.success('El freeze ya no estaba (lo levantó su dueño o venció su lease).');
+            return;
+        }
+        this.logger.success(plan.message);
+    }
+}
+__decorate([
+    flags.number({
+        description: 'Lift exactly this freeze even if it is not an operator window (its owner died without a lease)',
+    }),
+    __metadata("design:type", Object)
+], AuthzUnfreeze.prototype, "fence", void 0);
+//# sourceMappingURL=authz_unfreeze.js.map

package/build/commands/authz_unfreeze.js.map

@@ -0,0 +1 @@
+{"version":3,"file":"authz_unfreeze.js","sourceRoot":"","sources":["../../commands/authz_unfreeze.ts"],"names":[],"mappings":";;;;;;;;;AAAA,OAAO,EAAE,WAAW,EAAE,KAAK,EAAE,MAAM,oBAAoB,CAAA;AAIvD;;;;;;;;;;;;;;GAcG;AACH,MAAM,UAAU,YAAY,CAC1B,MAA2B,EAC3B,KAAyB;IAEzB,IAAI,MAAM,KAAK,IAAI,EAAE,CAAC;QACpB,OAAO,EAAE,MAAM,EAAE,MAAM,EAAE,OAAO,EAAE,+CAA+C,EAAE,CAAA;IACrF,CAAC;IACD,IAAI,KAAK,KAAK,SAAS,IAAI,KAAK,KAAK,MAAM,CAAC,KAAK,EAAE,CAAC;QAClD,OAAO;YACL,MAAM,EAAE,QAAQ;YAChB,OAAO,EACL,oBAAoB,MAAM,CAAC,KAAK,0BAA0B,KAAK,6BAA6B;gBAC5F,8EAA8E;SACjF,CAAA;IACH,CAAC;IACD,IAAI,MAAM,CAAC,IAAI,KAAK,UAAU,IAAI,KAAK,KAAK,SAAS,EAAE,CAAC;QACtD,OAAO;YACL,MAAM,EAAE,QAAQ;YAChB,OAAO,EACL,iDAAiD,MAAM,CAAC,MAAM,KAAK,MAAM,CAAC,MAAM,KAAK;gBACrF,+FAA+F;gBAC/F,uBAAuB,MAAM,CAAC,OAAO,KAAK,IAAI,CAAC,CAAC,CAAC,EAAE,CAAC,CAAC,CAAC,gCAAgC,kBAAkB;gBACxG,kDAAkD,MAAM,CAAC,KAAK,GAAG;SACpE,CAAA;IACH,CAAC;IACD,OAAO;QACL,MAAM,EAAE,MAAM;QACd,OAAO,EAAE,aAAa,MAAM,CAAC,MAAM,KAAK,MAAM,CAAC,MAAM,WAAW,MAAM,CAAC,KAAK,0CAA0C;KACvH,CAAA;AACH,CAAC;AAED;;;;;;GAMG;AACH,MAAM,CAAC,OAAO,OAAO,aAAc,SAAQ,WAAW;IACpD,MAAM,CAAC,WAAW,GAAG,gBAAgB,CAAA;IACrC,MAAM,CAAC,WAAW,GAAG,kFAAkF,CAAA;IAEvG,MAAM,CAAC,OAAO,GAAmB;QAC/B,QAAQ,EAAE,IAAI;KACf,CAAA;IAOD,KAAK,CAAC,GAAG;QACP,MAAM,EAAE,OAAO,EAAE,aAAa,EAAE,GAAG,MAAM,MAAM,CAAC,qBAAqB,CAAC,CAAA;QACtE,MAAM,MAAM,GAAG,MAAM,aAAa,CAAC,YAAY,EAAE,CAAA;QACjD,MAAM,IAAI,GAAG,YAAY,CAAC,MAAM,EAAE,IAAI,CAAC,KAAK,CAAC,CAAA;QAC7C,IAAI,IAAI,CAAC,MAAM,KAAK,MAAM,EAAE,CAAC;YAC3B,IAAI,CAAC,MAAM,CAAC,OAAO,CAAC,IAAI,CAAC,OAAO,CAAC,CAAA;YACjC,OAAM;QACR,CAAC;QACD,IAAI,IAAI,CAAC,MAAM,KAAK,QAAQ,EAAE,CAAC;YAC7B,IAAI,CAAC,MAAM,CAAC,KAAK,CAAC,IAAI,CAAC,OAAO,CAAC,CAAA;YAC/B,IAAI,CAAC,QAAQ,GAAG,CAAC,CAAA;YACjB,OAAM;QACR,CAAC;QACD,MAAM,MAAM,GAAG,MAAM,aAAa,CAAC,QAAQ,CAAC,EAAE,KAAK,EAAE,MAAO,CAAC,KAAK,EAAE,MAAM,EAAE,MAAO,CAAC,MAAM,EAAE,CAAC,CAAA;QAC7F,IAAI,CAAC,MAAM,EAAE,CAAC;YACZ,2EAA2E;YAC3E,IAAI,CAAC,MAAM,CAAC,OAAO,CAAC,iEAAiE,CAAC,CAAA;YACtF,OAAM;QACR,CAAC;QACD,IAAI,CAAC,MAAM,CAAC,OAAO,CAAC,IAAI,CAAC,OAAO,CAAC,CAAA;IACnC,CAAC;;AAtBO;IAHP,KAAK,CAAC,MAAM,CAAC;QACZ,WAAW,EAAE,gGAAgG;KAC9G,CAAC;;4CAC+B"}

package/build/commands/main.d.ts

@@ -3,7 +3,12 @@
  *   node ace configure @jantstack/adonis-authz
  */
 export { default as OpenFgaProvision } from './openfga_provision.js';
-export { default as OpenFgaImport } from './openfga_import.js';
 export { default as AuthzCatalogDiff } from './authz_catalog_diff.js';
 export { default as AuthzCatalogSync } from './authz_catalog_sync.js';
+export { default as AuthzCatalogPruneOrphans } from './authz_catalog_prune_orphans.js';
+export { default as AuthzScopesRelay } from './authz_scopes_relay.js';
+export { default as AuthzReconcile } from './authz_reconcile.js';
+export { default as AuthzRelationsReconcile } from './authz_relations_reconcile.js';
+export { default as AuthzFreeze } from './authz_freeze.js';
+export { default as AuthzUnfreeze } from './authz_unfreeze.js';
 //# sourceMappingURL=main.d.ts.map

package/build/commands/main.d.ts.map

@@ -1 +1 @@
-{"version":3,"file":"main.d.ts","sourceRoot":"","sources":["../../commands/main.ts"],"names":[],"mappings":"AAAA;;;GAGG;AACH,OAAO,EAAE,OAAO,IAAI,gBAAgB,EAAE,MAAM,wBAAwB,CAAA;AACpE,OAAO,EAAE,OAAO,IAAI,aAAa,EAAE,MAAM,qBAAqB,CAAA;AAC9D,OAAO,EAAE,OAAO,IAAI,gBAAgB,EAAE,MAAM,yBAAyB,CAAA;AACrE,OAAO,EAAE,OAAO,IAAI,gBAAgB,EAAE,MAAM,yBAAyB,CAAA"}
+{"version":3,"file":"main.d.ts","sourceRoot":"","sources":["../../commands/main.ts"],"names":[],"mappings":"AAAA;;;GAGG;AACH,OAAO,EAAE,OAAO,IAAI,gBAAgB,EAAE,MAAM,wBAAwB,CAAA;AACpE,OAAO,EAAE,OAAO,IAAI,gBAAgB,EAAE,MAAM,yBAAyB,CAAA;AACrE,OAAO,EAAE,OAAO,IAAI,gBAAgB,EAAE,MAAM,yBAAyB,CAAA;AACrE,OAAO,EAAE,OAAO,IAAI,wBAAwB,EAAE,MAAM,kCAAkC,CAAA;AACtF,OAAO,EAAE,OAAO,IAAI,gBAAgB,EAAE,MAAM,yBAAyB,CAAA;AACrE,OAAO,EAAE,OAAO,IAAI,cAAc,EAAE,MAAM,sBAAsB,CAAA;AAChE,OAAO,EAAE,OAAO,IAAI,uBAAuB,EAAE,MAAM,gCAAgC,CAAA;AACnF,OAAO,EAAE,OAAO,IAAI,WAAW,EAAE,MAAM,mBAAmB,CAAA;AAC1D,OAAO,EAAE,OAAO,IAAI,aAAa,EAAE,MAAM,qBAAqB,CAAA"}

package/build/commands/main.js

@@ -3,7 +3,12 @@
  *   node ace configure @jantstack/adonis-authz
  */
 export { default as OpenFgaProvision } from './openfga_provision.js';
-export { default as OpenFgaImport } from './openfga_import.js';
 export { default as AuthzCatalogDiff } from './authz_catalog_diff.js';
 export { default as AuthzCatalogSync } from './authz_catalog_sync.js';
+export { default as AuthzCatalogPruneOrphans } from './authz_catalog_prune_orphans.js';
+export { default as AuthzScopesRelay } from './authz_scopes_relay.js';
+export { default as AuthzReconcile } from './authz_reconcile.js';
+export { default as AuthzRelationsReconcile } from './authz_relations_reconcile.js';
+export { default as AuthzFreeze } from './authz_freeze.js';
+export { default as AuthzUnfreeze } from './authz_unfreeze.js';
 //# sourceMappingURL=main.js.map

package/build/commands/main.js.map

@@ -1 +1 @@
-{"version":3,"file":"main.js","sourceRoot":"","sources":["../../commands/main.ts"],"names":[],"mappings":"AAAA;;;GAGG;AACH,OAAO,EAAE,OAAO,IAAI,gBAAgB,EAAE,MAAM,wBAAwB,CAAA;AACpE,OAAO,EAAE,OAAO,IAAI,aAAa,EAAE,MAAM,qBAAqB,CAAA;AAC9D,OAAO,EAAE,OAAO,IAAI,gBAAgB,EAAE,MAAM,yBAAyB,CAAA;AACrE,OAAO,EAAE,OAAO,IAAI,gBAAgB,EAAE,MAAM,yBAAyB,CAAA"}
+{"version":3,"file":"main.js","sourceRoot":"","sources":["../../commands/main.ts"],"names":[],"mappings":"AAAA;;;GAGG;AACH,OAAO,EAAE,OAAO,IAAI,gBAAgB,EAAE,MAAM,wBAAwB,CAAA;AACpE,OAAO,EAAE,OAAO,IAAI,gBAAgB,EAAE,MAAM,yBAAyB,CAAA;AACrE,OAAO,EAAE,OAAO,IAAI,gBAAgB,EAAE,MAAM,yBAAyB,CAAA;AACrE,OAAO,EAAE,OAAO,IAAI,wBAAwB,EAAE,MAAM,kCAAkC,CAAA;AACtF,OAAO,EAAE,OAAO,IAAI,gBAAgB,EAAE,MAAM,yBAAyB,CAAA;AACrE,OAAO,EAAE,OAAO,IAAI,cAAc,EAAE,MAAM,sBAAsB,CAAA;AAChE,OAAO,EAAE,OAAO,IAAI,uBAAuB,EAAE,MAAM,gCAAgC,CAAA;AACnF,OAAO,EAAE,OAAO,IAAI,WAAW,EAAE,MAAM,mBAAmB,CAAA;AAC1D,OAAO,EAAE,OAAO,IAAI,aAAa,EAAE,MAAM,qBAAqB,CAAA"}

package/build/commands/openfga_provision.d.ts

@@ -2,13 +2,22 @@ import { BaseCommand } from '@adonisjs/core/ace';
 import { CommandOptions } from '@adonisjs/core/types/ace';
 /**
  * Provisiona OpenFGA para el driver `openfga` del motor de autorización:
- * crea un store y escribe el authorization model del chasis. Imprime los
- * ids para el .env (OPENFGA_STORE_ID / OPENFGA_MODEL_ID).
+ * crea un store y escribe el authorization model **`facts` (c2r)** del
+ * chasis. Imprime los ids para el .env (OPENFGA_STORE_ID / OPENFGA_MODEL_ID).
+ *
+ * **Publica el modelo `facts`** (3b-2k · K2): hasta 2.2 publicaba el del modo
+ * `resolver`, que ya no existe. Ese modelo declara CUATRO relaciones por
+ * permiso (`<P>`, `can_<P>`, `denied_<P>`, `permits_<P>`), así que necesita
+ * la lista de permisos: sale de los `catalogs` del config, resueltos aquí
+ * mismo (son funciones y no tocan la base). Sin `catalogs` no hay modelo que
+ * publicar y el comando sale ≠ 0 en vez de dejar un store que no responde a
+ * ninguna pregunta.
  *
  * Idempotencia: cada ejecución crea un store NUEVO (los stores son baratos y
  * aislados); re-ejecutar sobre un store existente no es necesario salvo que
- * cambie el modelo — en ese caso usar --store-id para escribir un model nuevo
- * versionado sobre el mismo store.
+ * cambie el modelo —añadir o quitar un permiso del catálogo lo cambia— y en
+ * ese caso se usa --store-id para escribir un model nuevo versionado sobre el
+ * mismo store.
  *
  * @example
  *   node ace openfga:provision                      # usa OPENFGA_URL del .env
@@ -23,5 +32,38 @@ export default class OpenFgaProvision extends BaseCommand {
     storeId: string | undefined;
     name: string | undefined;
     run(): Promise<void>;
+    /**
+     * Los permisos del modelo, o `null` (y exit 1) si no hay ninguno: un modelo
+     * `facts` sin permisos no puede responder a nada, y descubrirlo aquí es
+     * mucho mejor que descubrirlo en el primer `authorize`.
+     */
+    private resolvePermissions;
 }
+/**
+ * Los slugs de permiso de TODOS los catálogos del config, sin duplicados y en
+ * orden estable (3b-2k · K2). Se exporta —y no es un método— para que se
+ * pueda juzgar sin montar un comando de ace: es la pieza que decide qué
+ * relaciones lleva el modelo `facts`, y una lista vacía es lo que hace que el
+ * comando se niegue a provisionar.
+ *
+ * Los catálogos del config son FUNCIONES del consumidor (pueden cargar otro
+ * módulo perezosamente) y no tocan la base: el modelo se publica antes de que
+ * haya una sola fila.
+ */
+export declare function permissionsOfCatalogs(config: any): Promise<string[]>;
+/**
+ * Los tipos de relación (ReBAC) que van FUSIONADOS en el modelo `facts`
+ * (Fase 4-8), leídos del CONFIG estático `relations.config` — o `undefined` si
+ * el consumidor no declaró relaciones (modelo facts-only, como hasta 4-8). Se
+ * exporta —y no es un método— para juzgar la decisión sin montar un ace: es la
+ * pieza que decide si un store recién aprovisionado acepta tuplas de relación.
+ *
+ * La fuente es el config (`relations.config`), NO `authz_relations_config` de
+ * la base: `openfga:provision` es `startApp: false` (bootstrap sin base) y el
+ * config es lo único que tiene cargado — igual que los permisos salen de
+ * `catalogs` y no de `authz_permissions`.
+ */
+export declare function relationsConfigOf(config: any): {
+    objectTypes: readonly any[];
+} | undefined;
 //# sourceMappingURL=openfga_provision.d.ts.map

package/build/commands/openfga_provision.d.ts.map

@@ -1 +1 @@
-{"version":3,"file":"openfga_provision.d.ts","sourceRoot":"","sources":["../../commands/openfga_provision.ts"],"names":[],"mappings":"AAAA,OAAO,EAAE,WAAW,EAAS,MAAM,oBAAoB,CAAA;AACvD,OAAO,EAAE,cAAc,EAAE,MAAM,0BAA0B,CAAA;AAEzD;;;;;;;;;;;;;;GAcG;AACH,MAAM,CAAC,OAAO,OAAO,gBAAiB,SAAQ,WAAW;IACvD,MAAM,CAAC,WAAW,SAAsB;IACxC,MAAM,CAAC,WAAW,SAAoE;IAEtF,MAAM,CAAC,OAAO,EAAE,cAAc,CAE7B;IAGO,GAAG,EAAE,MAAM,GAAG,SAAS,CAAA;IAGvB,OAAO,EAAE,MAAM,GAAG,SAAS,CAAA;IAG3B,IAAI,EAAE,MAAM,GAAG,SAAS,CAAA;IAE1B,GAAG;CAoCV"}
+{"version":3,"file":"openfga_provision.d.ts","sourceRoot":"","sources":["../../commands/openfga_provision.ts"],"names":[],"mappings":"AAAA,OAAO,EAAE,WAAW,EAAS,MAAM,oBAAoB,CAAA;AACvD,OAAO,EAAE,cAAc,EAAE,MAAM,0BAA0B,CAAA;AAEzD;;;;;;;;;;;;;;;;;;;;;;;GAuBG;AACH,MAAM,CAAC,OAAO,OAAO,gBAAiB,SAAQ,WAAW;IACvD,MAAM,CAAC,WAAW,SAAsB;IACxC,MAAM,CAAC,WAAW,SAAoE;IAEtF,MAAM,CAAC,OAAO,EAAE,cAAc,CAE7B;IAGO,GAAG,EAAE,MAAM,GAAG,SAAS,CAAA;IAGvB,OAAO,EAAE,MAAM,GAAG,SAAS,CAAA;IAG3B,IAAI,EAAE,MAAM,GAAG,SAAS,CAAA;IAE1B,GAAG;IA2DT;;;;OAIG;YACW,kBAAkB;CAajC;AAED;;;;;;;;;;GAUG;AACH,wBAAsB,qBAAqB,CAAC,MAAM,EAAE,GAAG,GAAG,OAAO,CAAC,MAAM,EAAE,CAAC,CAQ1E;AAED;;;;;;;;;;;GAWG;AACH,wBAAgB,iBAAiB,CAAC,MAAM,EAAE,GAAG,GAAG;IAAE,WAAW,EAAE,SAAS,GAAG,EAAE,CAAA;CAAE,GAAG,SAAS,CAI1F"}

package/build/commands/openfga_provision.js

@@ -10,13 +10,22 @@ var __metadata = (this && this.__metadata) || function (k, v) {
 import { BaseCommand, flags } from '@adonisjs/core/ace';
 /**
  * Provisiona OpenFGA para el driver `openfga` del motor de autorización:
- * crea un store y escribe el authorization model del chasis. Imprime los
- * ids para el .env (OPENFGA_STORE_ID / OPENFGA_MODEL_ID).
+ * crea un store y escribe el authorization model **`facts` (c2r)** del
+ * chasis. Imprime los ids para el .env (OPENFGA_STORE_ID / OPENFGA_MODEL_ID).
+ *
+ * **Publica el modelo `facts`** (3b-2k · K2): hasta 2.2 publicaba el del modo
+ * `resolver`, que ya no existe. Ese modelo declara CUATRO relaciones por
+ * permiso (`<P>`, `can_<P>`, `denied_<P>`, `permits_<P>`), así que necesita
+ * la lista de permisos: sale de los `catalogs` del config, resueltos aquí
+ * mismo (son funciones y no tocan la base). Sin `catalogs` no hay modelo que
+ * publicar y el comando sale ≠ 0 en vez de dejar un store que no responde a
+ * ninguna pregunta.
  *
  * Idempotencia: cada ejecución crea un store NUEVO (los stores son baratos y
  * aislados); re-ejecutar sobre un store existente no es necesario salvo que
- * cambie el modelo — en ese caso usar --store-id para escribir un model nuevo
- * versionado sobre el mismo store.
+ * cambie el modelo —añadir o quitar un permiso del catálogo lo cambia— y en
+ * ese caso se usa --store-id para escribir un model nuevo versionado sobre el
+ * mismo store.
  *
  * @example
  *   node ace openfga:provision                      # usa OPENFGA_URL del .env
@@ -39,25 +48,60 @@ export default class OpenFgaProvision extends BaseCommand {
         }
         const { OpenFgaClient } = await import('@openfga/sdk');
         // El subpath `/openfga` es la única puerta al SDK (D9).
-        const { openFgaAuthorizationModel, provisionOpenFgaStore } = await import('../src/openfga.js');
+        const { openFgaFactsModel, provisionOpenFgaStore } = await import('../src/openfga.js');
         // Los holders del consumidor viven en SU config, no en el paquete.
         const holderTypes = config?.holderTypes ?? {};
+        // Los PERMISOS del modelo (c2r) salen de los catálogos del config. Se
+        // resuelven aquí porque son funciones del consumidor (pueden cargar otro
+        // módulo) y no necesitan la base: el modelo se publica antes de que haya
+        // una sola fila.
+        const permissions = await this.resolvePermissions(config);
+        if (!permissions)
+            return;
+        // Los tipos de RELACIÓN (ReBAC) que el modelo lleva FUSIONADOS (Fase 4-8):
+        // salen del CONFIG estático (`relations.config`), igual que los permisos
+        // salen de `catalogs`. El comando es `startApp: false` (bootstrap del
+        // appliance, ANTES de que haya base) y no puede leer `authz_relations_config`
+        // de la BD; el config sí está cargado. Sin `relations.config` el modelo es
+        // facts-only, como hasta ahora. Con él, un store recién aprovisionado ya
+        // acepta tuplas de relación sin un `authz:catalog:sync` previo.
+        const relations = relationsConfigOf(config);
         if (this.storeId) {
             const client = new OpenFgaClient({ apiUrl, storeId: this.storeId });
-            const model = await client.writeAuthorizationModel(openFgaAuthorizationModel(holderTypes));
+            const model = await client.writeAuthorizationModel(openFgaFactsModel(holderTypes, permissions, relations));
             this.logger.success('Nuevo authorization model escrito en el store existente.');
+            if (relations)
+                this.logger.info(`Tipos de relación fusionados: ${relations.objectTypes.map((t) => t.type).join(', ')}`);
             this.logger.log(`OPENFGA_STORE_ID=${this.storeId}`);
             this.logger.log(`OPENFGA_MODEL_ID=${model.authorization_model_id}`);
             return;
         }
         // El paquete no lee env: el default APP_NAME se resuelve aquí (chasis).
-        const { storeId, modelId } = await provisionOpenFgaStore(apiUrl, this.name ?? config?.openfga?.storeName ?? this.app.appName, holderTypes);
+        const { storeId, modelId } = await provisionOpenFgaStore(apiUrl, this.name ?? config?.openfga?.storeName ?? this.app.appName, holderTypes, permissions, relations);
+        if (relations)
+            this.logger.info(`Tipos de relación fusionados: ${relations.objectTypes.map((t) => t.type).join(', ')}`);
         this.logger.success('Store + authorization model provisionados.');
         this.logger.log('Añade al .env (junto a AUTHZ_DRIVER=openfga):');
         this.logger.log(`OPENFGA_URL=${apiUrl}`);
         this.logger.log(`OPENFGA_STORE_ID=${storeId}`);
         this.logger.log(`OPENFGA_MODEL_ID=${modelId}`);
     }
+    /**
+     * Los permisos del modelo, o `null` (y exit 1) si no hay ninguno: un modelo
+     * `facts` sin permisos no puede responder a nada, y descubrirlo aquí es
+     * mucho mejor que descubrirlo en el primer `authorize`.
+     */
+    async resolvePermissions(config) {
+        const slugs = await permissionsOfCatalogs(config);
+        if (slugs.length === 0) {
+            this.logger.error('El modelo `facts` declara cuatro relaciones por permiso: sin `catalogs` en ' +
+                'config/authorization.ts no hay modelo que publicar. Declara tus catálogos y repite ' +
+                '(el store que se creara sin ellos denegaría todo).');
+            this.exitCode = 1;
+            return null;
+        }
+        return slugs;
+    }
 }
 __decorate([
     flags.string({ description: 'OpenFGA API URL (defaults to OPENFGA_URL)' }),
@@ -71,4 +115,43 @@ __decorate([
     flags.string({ description: 'Store name when creating one (default: APP_NAME del entorno)' }),
     __metadata("design:type", Object)
 ], OpenFgaProvision.prototype, "name", void 0);
+/**
+ * Los slugs de permiso de TODOS los catálogos del config, sin duplicados y en
+ * orden estable (3b-2k · K2). Se exporta —y no es un método— para que se
+ * pueda juzgar sin montar un comando de ace: es la pieza que decide qué
+ * relaciones lleva el modelo `facts`, y una lista vacía es lo que hace que el
+ * comando se niegue a provisionar.
+ *
+ * Los catálogos del config son FUNCIONES del consumidor (pueden cargar otro
+ * módulo perezosamente) y no tocan la base: el modelo se publica antes de que
+ * haya una sola fila.
+ */
+export async function permissionsOfCatalogs(config) {
+    const sources = config?.catalogs ?? [];
+    const slugs = new Set();
+    for (const source of sources) {
+        const catalog = await source();
+        for (const permission of catalog?.permissions ?? [])
+            slugs.add(permission.slug);
+    }
+    return [...slugs].sort();
+}
+/**
+ * Los tipos de relación (ReBAC) que van FUSIONADOS en el modelo `facts`
+ * (Fase 4-8), leídos del CONFIG estático `relations.config` — o `undefined` si
+ * el consumidor no declaró relaciones (modelo facts-only, como hasta 4-8). Se
+ * exporta —y no es un método— para juzgar la decisión sin montar un ace: es la
+ * pieza que decide si un store recién aprovisionado acepta tuplas de relación.
+ *
+ * La fuente es el config (`relations.config`), NO `authz_relations_config` de
+ * la base: `openfga:provision` es `startApp: false` (bootstrap sin base) y el
+ * config es lo único que tiene cargado — igual que los permisos salen de
+ * `catalogs` y no de `authz_permissions`.
+ */
+export function relationsConfigOf(config) {
+    const objectTypes = config?.relations?.config?.objectTypes;
+    if (!Array.isArray(objectTypes) || objectTypes.length === 0)
+        return undefined;
+    return { objectTypes };
+}
 //# sourceMappingURL=openfga_provision.js.map

package/build/commands/openfga_provision.js.map

@@ -1 +1 @@
-{"version":3,"file":"openfga_provision.js","sourceRoot":"","sources":["../../commands/openfga_provision.ts"],"names":[],"mappings":";;;;;;;;;AAAA,OAAO,EAAE,WAAW,EAAE,KAAK,EAAE,MAAM,oBAAoB,CAAA;AAGvD;;;;;;;;;;;;;;GAcG;AACH,MAAM,CAAC,OAAO,OAAO,gBAAiB,SAAQ,WAAW;IACvD,MAAM,CAAC,WAAW,GAAG,mBAAmB,CAAA;IACxC,MAAM,CAAC,WAAW,GAAG,iEAAiE,CAAA;IAEtF,MAAM,CAAC,OAAO,GAAmB;QAC/B,QAAQ,EAAE,KAAK;KAChB,CAAA;IAWD,KAAK,CAAC,GAAG;QACP,MAAM,MAAM,GAAG,IAAI,CAAC,GAAG,CAAC,MAAM,CAAC,GAAG,CAAC,eAAe,CAAQ,CAAA;QAC1D,MAAM,MAAM,GAAG,IAAI,CAAC,GAAG,IAAI,MAAM,EAAE,OAAO,EAAE,GAAG,CAAA;QAC/C,IAAI,CAAC,MAAM,EAAE,CAAC;YACZ,IAAI,CAAC,MAAM,CAAC,KAAK,CAAC,6EAA6E,CAAC,CAAA;YAChG,IAAI,CAAC,QAAQ,GAAG,CAAC,CAAA;YACjB,OAAM;QACR,CAAC;QAED,MAAM,EAAE,aAAa,EAAE,GAAG,MAAM,MAAM,CAAC,cAAc,CAAC,CAAA;QACtD,wDAAwD;QACxD,MAAM,EAAE,yBAAyB,EAAE,qBAAqB,EAAE,GAAG,MAAM,MAAM,CAAC,mBAAmB,CAAC,CAAA;QAC9F,mEAAmE;QACnE,MAAM,WAAW,GAAG,MAAM,EAAE,WAAW,IAAI,EAAE,CAAA;QAE7C,IAAI,IAAI,CAAC,OAAO,EAAE,CAAC;YACjB,MAAM,MAAM,GAAG,IAAI,aAAa,CAAC,EAAE,MAAM,EAAE,OAAO,EAAE,IAAI,CAAC,OAAO,EAAE,CAAC,CAAA;YACnE,MAAM,KAAK,GAAG,MAAM,MAAM,CAAC,uBAAuB,CAAC,yBAAyB,CAAC,WAAW,CAAC,CAAC,CAAA;YAC1F,IAAI,CAAC,MAAM,CAAC,OAAO,CAAC,0DAA0D,CAAC,CAAA;YAC/E,IAAI,CAAC,MAAM,CAAC,GAAG,CAAC,oBAAoB,IAAI,CAAC,OAAO,EAAE,CAAC,CAAA;YACnD,IAAI,CAAC,MAAM,CAAC,GAAG,CAAC,oBAAoB,KAAK,CAAC,sBAAsB,EAAE,CAAC,CAAA;YACnE,OAAM;QACR,CAAC;QAED,wEAAwE;QACxE,MAAM,EAAE,OAAO,EAAE,OAAO,EAAE,GAAG,MAAM,qBAAqB,CACtD,MAAM,EACN,IAAI,CAAC,IAAI,IAAI,MAAM,EAAE,OAAO,EAAE,SAAS,IAAI,IAAI,CAAC,GAAG,CAAC,OAAO,EAC3D,WAAW,CACZ,CAAA;QACD,IAAI,CAAC,MAAM,CAAC,OAAO,CAAC,4CAA4C,CAAC,CAAA;QACjE,IAAI,CAAC,MAAM,CAAC,GAAG,CAAC,+CAA+C,CAAC,CAAA;QAChE,IAAI,CAAC,MAAM,CAAC,GAAG,CAAC,eAAe,MAAM,EAAE,CAAC,CAAA;QACxC,IAAI,CAAC,MAAM,CAAC,GAAG,CAAC,oBAAoB,OAAO,EAAE,CAAC,CAAA;QAC9C,IAAI,CAAC,MAAM,CAAC,GAAG,CAAC,oBAAoB,OAAO,EAAE,CAAC,CAAA;IAChD,CAAC;;AA3CO;IADP,KAAK,CAAC,MAAM,CAAC,EAAE,WAAW,EAAE,2CAA2C,EAAE,CAAC;;6CAC5C;AAGvB;IADP,KAAK,CAAC,MAAM,CAAC,EAAE,KAAK,EAAE,GAAG,EAAE,WAAW,EAAE,0CAA0C,EAAE,CAAC;;iDACnD;AAG3B;IADP,KAAK,CAAC,MAAM,CAAC,EAAE,WAAW,EAAE,8DAA8D,EAAE,CAAC;;8CAC9D"}
+{"version":3,"file":"openfga_provision.js","sourceRoot":"","sources":["../../commands/openfga_provision.ts"],"names":[],"mappings":";;;;;;;;;AAAA,OAAO,EAAE,WAAW,EAAE,KAAK,EAAE,MAAM,oBAAoB,CAAA;AAGvD;;;;;;;;;;;;;;;;;;;;;;;GAuBG;AACH,MAAM,CAAC,OAAO,OAAO,gBAAiB,SAAQ,WAAW;IACvD,MAAM,CAAC,WAAW,GAAG,mBAAmB,CAAA;IACxC,MAAM,CAAC,WAAW,GAAG,iEAAiE,CAAA;IAEtF,MAAM,CAAC,OAAO,GAAmB;QAC/B,QAAQ,EAAE,KAAK;KAChB,CAAA;IAWD,KAAK,CAAC,GAAG;QACP,MAAM,MAAM,GAAG,IAAI,CAAC,GAAG,CAAC,MAAM,CAAC,GAAG,CAAC,eAAe,CAAQ,CAAA;QAC1D,MAAM,MAAM,GAAG,IAAI,CAAC,GAAG,IAAI,MAAM,EAAE,OAAO,EAAE,GAAG,CAAA;QAC/C,IAAI,CAAC,MAAM,EAAE,CAAC;YACZ,IAAI,CAAC,MAAM,CAAC,KAAK,CAAC,6EAA6E,CAAC,CAAA;YAChG,IAAI,CAAC,QAAQ,GAAG,CAAC,CAAA;YACjB,OAAM;QACR,CAAC;QAED,MAAM,EAAE,aAAa,EAAE,GAAG,MAAM,MAAM,CAAC,cAAc,CAAC,CAAA;QACtD,wDAAwD;QACxD,MAAM,EAAE,iBAAiB,EAAE,qBAAqB,EAAE,GAAG,MAAM,MAAM,CAAC,mBAAmB,CAAC,CAAA;QACtF,mEAAmE;QACnE,MAAM,WAAW,GAAG,MAAM,EAAE,WAAW,IAAI,EAAE,CAAA;QAE7C,sEAAsE;QACtE,yEAAyE;QACzE,yEAAyE;QACzE,iBAAiB;QACjB,MAAM,WAAW,GAAG,MAAM,IAAI,CAAC,kBAAkB,CAAC,MAAM,CAAC,CAAA;QACzD,IAAI,CAAC,WAAW;YAAE,OAAM;QAExB,2EAA2E;QAC3E,yEAAyE;QACzE,sEAAsE;QACtE,8EAA8E;QAC9E,2EAA2E;QAC3E,yEAAyE;QACzE,gEAAgE;QAChE,MAAM,SAAS,GAAG,iBAAiB,CAAC,MAAM,CAAC,CAAA;QAE3C,IAAI,IAAI,CAAC,OAAO,EAAE,CAAC;YACjB,MAAM,MAAM,GAAG,IAAI,aAAa,CAAC,EAAE,MAAM,EAAE,OAAO,EAAE,IAAI,CAAC,OAAO,EAAE,CAAC,CAAA;YACnE,MAAM,KAAK,GAAG,MAAM,MAAM,CAAC,uBAAuB,CAChD,iBAAiB,CAAC,WAAW,EAAE,WAAW,EAAE,SAAS,CAAC,CACvD,CAAA;YACD,IAAI,CAAC,MAAM,CAAC,OAAO,CAAC,0DAA0D,CAAC,CAAA;YAC/E,IAAI,SAAS;gBAAE,IAAI,CAAC,MAAM,CAAC,IAAI,CAAC,iCAAiC,SAAS,CAAC,WAAW,CAAC,GAAG,CAAC,CAAC,CAAC,EAAE,EAAE,CAAC,CAAC,CAAC,IAAI,CAAC,CAAC,IAAI,CAAC,IAAI,CAAC,EAAE,CAAC,CAAA;YACvH,IAAI,CAAC,MAAM,CAAC,GAAG,CAAC,oBAAoB,IAAI,CAAC,OAAO,EAAE,CAAC,CAAA;YACnD,IAAI,CAAC,MAAM,CAAC,GAAG,CAAC,oBAAoB,KAAK,CAAC,sBAAsB,EAAE,CAAC,CAAA;YACnE,OAAM;QACR,CAAC;QAED,wEAAwE;QACxE,MAAM,EAAE,OAAO,EAAE,OAAO,EAAE,GAAG,MAAM,qBAAqB,CACtD,MAAM,EACN,IAAI,CAAC,IAAI,IAAI,MAAM,EAAE,OAAO,EAAE,SAAS,IAAI,IAAI,CAAC,GAAG,CAAC,OAAO,EAC3D,WAAW,EACX,WAAW,EACX,SAAS,CACV,CAAA;QACD,IAAI,SAAS;YAAE,IAAI,CAAC,MAAM,CAAC,IAAI,CAAC,iCAAiC,SAAS,CAAC,WAAW,CAAC,GAAG,CAAC,CAAC,CAAC,EAAE,EAAE,CAAC,CAAC,CAAC,IAAI,CAAC,CAAC,IAAI,CAAC,IAAI,CAAC,EAAE,CAAC,CAAA;QACvH,IAAI,CAAC,MAAM,CAAC,OAAO,CAAC,4CAA4C,CAAC,CAAA;QACjE,IAAI,CAAC,MAAM,CAAC,GAAG,CAAC,+CAA+C,CAAC,CAAA;QAChE,IAAI,CAAC,MAAM,CAAC,GAAG,CAAC,eAAe,MAAM,EAAE,CAAC,CAAA;QACxC,IAAI,CAAC,MAAM,CAAC,GAAG,CAAC,oBAAoB,OAAO,EAAE,CAAC,CAAA;QAC9C,IAAI,CAAC,MAAM,CAAC,GAAG,CAAC,oBAAoB,OAAO,EAAE,CAAC,CAAA;IAChD,CAAC;IAED;;;;OAIG;IACK,KAAK,CAAC,kBAAkB,CAAC,MAAW;QAC1C,MAAM,KAAK,GAAG,MAAM,qBAAqB,CAAC,MAAM,CAAC,CAAA;QACjD,IAAI,KAAK,CAAC,MAAM,KAAK,CAAC,EAAE,CAAC;YACvB,IAAI,CAAC,MAAM,CAAC,KAAK,CACf,6EAA6E;gBAC3E,qFAAqF;gBACrF,oDAAoD,CACvD,CAAA;YACD,IAAI,CAAC,QAAQ,GAAG,CAAC,CAAA;YACjB,OAAO,IAAI,CAAA;QACb,CAAC;QACD,OAAO,KAAK,CAAA;IACd,CAAC;;AApFO;IADP,KAAK,CAAC,MAAM,CAAC,EAAE,WAAW,EAAE,2CAA2C,EAAE,CAAC;;6CAC5C;AAGvB;IADP,KAAK,CAAC,MAAM,CAAC,EAAE,KAAK,EAAE,GAAG,EAAE,WAAW,EAAE,0CAA0C,EAAE,CAAC;;iDACnD;AAG3B;IADP,KAAK,CAAC,MAAM,CAAC,EAAE,WAAW,EAAE,8DAA8D,EAAE,CAAC;;8CAC9D;AAiFlC;;;;;;;;;;GAUG;AACH,MAAM,CAAC,KAAK,UAAU,qBAAqB,CAAC,MAAW;IACrD,MAAM,OAAO,GAAoC,MAAM,EAAE,QAAQ,IAAI,EAAE,CAAA;IACvE,MAAM,KAAK,GAAG,IAAI,GAAG,EAAU,CAAA;IAC/B,KAAK,MAAM,MAAM,IAAI,OAAO,EAAE,CAAC;QAC7B,MAAM,OAAO,GAAG,MAAM,MAAM,EAAE,CAAA;QAC9B,KAAK,MAAM,UAAU,IAAI,OAAO,EAAE,WAAW,IAAI,EAAE;YAAE,KAAK,CAAC,GAAG,CAAC,UAAU,CAAC,IAAI,CAAC,CAAA;IACjF,CAAC;IACD,OAAO,CAAC,GAAG,KAAK,CAAC,CAAC,IAAI,EAAE,CAAA;AAC1B,CAAC;AAED;;;;;;;;;;;GAWG;AACH,MAAM,UAAU,iBAAiB,CAAC,MAAW;IAC3C,MAAM,WAAW,GAAG,MAAM,EAAE,SAAS,EAAE,MAAM,EAAE,WAAW,CAAA;IAC1D,IAAI,CAAC,KAAK,CAAC,OAAO,CAAC,WAAW,CAAC,IAAI,WAAW,CAAC,MAAM,KAAK,CAAC;QAAE,OAAO,SAAS,CAAA;IAC7E,OAAO,EAAE,WAAW,EAAE,CAAA;AACxB,CAAC"}

package/build/configure.d.ts

@@ -5,6 +5,17 @@ import type Configure from '@adonisjs/core/commands/configure';
  * Registra el provider, los comandos y el middleware, define las variables
  * de entorno y PUBLICA en el proyecto lo que es suyo: la migración de las
  * tablas `authz_*` y los dos configs (drivers + catálogo del nivel app).
+ *
+ * Es INTERACTIVO: pregunta lo MÍNIMO que cambia lo publicado —el driver por
+ * defecto y si publicar la migración de la outbox del árbol (opt-in, ver
+ * README)— con `command.prompt`. Lo que NO cambia según la respuesta no se
+ * pregunta: los dos configs siempre se publican con las dos costuras cableadas
+ * (el stub arranca en cualquier driver leyendo `AUTHZ_DRIVER`), así que la
+ * elección solo fija el DEFAULT de esa variable, no ramifica el stub —el que
+ * `configure.spec` compila sigue siendo el mismo—. Y las relaciones (Fase 4)
+ * NO se preguntan: sus tablas ya están en la migración del motor y su config
+ * es `defineRelationsConfig` en el propio proyecto; un prompt ahí no publicaría
+ * nada distinto.
  */
 export declare function configure(command: Configure): Promise<void>;
 //# sourceMappingURL=configure.d.ts.map

package/build/configure.d.ts.map

@@ -1 +1 @@
-{"version":3,"file":"configure.d.ts","sourceRoot":"","sources":["../configure.ts"],"names":[],"mappings":"AAAA,OAAO,KAAK,SAAS,MAAM,mCAAmC,CAAA;AAG9D;;;;;;GAMG;AACH,wBAAsB,SAAS,CAAC,OAAO,EAAE,SAAS,iBAuCjD"}
+{"version":3,"file":"configure.d.ts","sourceRoot":"","sources":["../configure.ts"],"names":[],"mappings":"AAAA,OAAO,KAAK,SAAS,MAAM,mCAAmC,CAAA;AAG9D;;;;;;;;;;;;;;;;;GAiBG;AACH,wBAAsB,SAAS,CAAC,OAAO,EAAE,SAAS,iBA4EjD"}