@jantstack/adonis-authz 2.0.0-alpha.1 → 2.4.0-alpha.10

package/build/src/manager.d.ts

@@ -1,12 +1,13 @@
-import type { AuthorizationConfig } from './define_config.js';
-import type { AuthorizationDriver, AuthorizedScopes, CatalogRole, DenyOptions, DenyRef, ExcludedSubtree, GrantOptions, GrantOutcome, RoleQuery, ScopeDetachOutcome, ScopedRoleChanges, ScopedRoleSpec, ScopedWriteOptions, ScopeRef, ScopeType, SubjectRef } from './types.js';
+import { type AuthorizationConfig } from './define_config.js';
+import type { FreezeKind, FreezeToken } from './freeze.js';
+import type { AuthorizationDriver, AuthorizationDriverCapabilities, AuthorizedScopes, CatalogRole, CatalogRoleRef, DenyOptions, DenyRef, ExcludedSubtree, GrantOptions, GrantOutcome, RoleQuery, ScopedRoleChanges, ScopedRoleSpec, ReconcileOptions, ReconcileReport, ScopedWriteOptions, ScopeEnqueueReceipt, ScopeRequeueReport, ScopeRelayReport, ScopeRef, ScopeTreeWriteOptions, ScopeType, SubjectRef, RelationsDriverFactory } from './types.js';
 /**
  * Lo que devuelve `AuthorizationManager.forRequest()`: la misma API que el
  * manager (lecturas, escrituras, `scopes.*`), con los ancestros memoizados
  * SOLO en las lecturas. Es un tipo, no otra clase: la vista es un manager
  * hijo que comparte config, driver y hooks con su padre.
  */
-export type AuthorizationView = Pick<AuthorizationManager, 'authorize' | 'hasRole' | 'listSubjects' | 'listScopes' | 'listRoles' | 'listRoleScopes' | 'grant' | 'revoke' | 'deny' | 'removeDeny' | 'scopes' | 'driver' | 'forRequest' | 'isWithin' | 'listDenies' | 'effectivePermissions' | 'authorizeMany' | 'authorizedScopes' | 'expandExcludedSubtrees' | 'defineScopedRole' | 'updateScopedRole' | 'deleteScopedRole'>;
+export type AuthorizationView = Pick<AuthorizationManager, 'authorize' | 'hasRole' | 'listSubjects' | 'listScopes' | 'listRoles' | 'listRoleScopes' | 'grant' | 'revoke' | 'deny' | 'removeDeny' | 'scopes' | 'driver' | 'capabilities' | 'forRequest' | 'isWithin' | 'listDenies' | 'effectivePermissions' | 'authorizeMany' | 'authorizedScopes' | 'expandExcludedSubtrees' | 'defineScopedRole' | 'updateScopedRole' | 'deleteScopedRole'>;
 /**
  * Expande los `excludedSubtrees` de un `all` (2D · F10) a la lista plana de
  * scopes que hay que restar: cada scope denegado y TODOS sus descendientes,
@@ -25,8 +26,51 @@ export declare const DEFAULT_MAX_DESCENDANTS = 10000;
  * Una cota mayor es config rota (500), nunca una pregunta.
  */
 export declare const MAX_SCOPE_BOUND = 10000000;
+/**
+ * Cotas por defecto de `authz:scopes:relay` (3b-2d). El lote es el tamaño de
+ * cada `pending()`; el límite, cuántos cambios aplica una pasada antes de
+ * volver (lo que quede sigue pendiente: drenar es reanudable por diseño y
+ * una pasada eterna no es reanudable).
+ */
+export declare const DEFAULT_RELAY_BATCH = 100;
+export declare const DEFAULT_RELAY_LIMIT = 10000;
+/**
+ * **Saltos que la sonda de `only` sigue hacia atrás para heredar el ORIGEN de
+ * un bloqueo** (2.4.0-alpha.6). Cada salto es una consulta `earlierPending`
+ * (0,69 ms) sobre una entrada NO pedida; la cadena es de ids estrictamente
+ * decrecientes, así que termina sola — la cota solo acota el coste dentro de
+ * una petición inline. Pasada la cota el origen se toma por FALLO (la purga se
+ * aplaza a la pasada completa): degrada hacia lo seguro, nunca aplica sin saber.
+ */
+export declare const RELAY_ORIGIN_MAX_HOPS = 100;
+/**
+ * **Cota PROPIA del censo de aparcadas** (alpha.5 · cierre, auditor 🟠 2). Las
+ * claves de `dead()` que taponan `attached`/`moved` se leen COMPLETAS en cada
+ * pasada, sean cuales sean `limit` y `batchSize` (con `--limit 50` o la receta
+ * inline `{ only, limit: 1 }` un censo acotado por `limit` dejaba a la aparcada
+ * 101 sin taponar y el `attached` colgaba del padre VIEJO — y la sonda de
+ * `only` no la ve porque `earlierPending` excluye lo aparcado). Si hay más
+ * aparcadas que esto, la pasada se NIEGA (500) en vez de aplicar con un tapón
+ * incompleto: una cola así es un incidente, no un lote.
+ */
+export declare const PARKED_CENSUS_MAX = 50000;
 /** Vida por defecto de una vista de `forRequest()` para LEER (F9): un request, no un módulo. */
 export declare const DEFAULT_VIEW_MAX_AGE_MS = 30000;
+/**
+ * Cada cuánto reintenta `acquire()` una pasada con `waitForLeaseMs` (2.4.0-alpha.8;
+ * panel relay 2, cuestión 7). Medido en PG: 0,29 ms por sondeo ocupado, y el
+ * sondeo no retiene conexión entre intentos (la transacción del intento fallido
+ * se revierte). El default de `waitForLeaseMs` es 0: el `busy` inmediato de
+ * siempre.
+ */
+export declare const RELAY_LEASE_POLL_MS = 25;
+/**
+ * Tope de `waitForLeaseMs` (cierre alpha.8, 🟡 1 del auditor): una espera sin tope
+ * cuelga la petición de un tenant; por encima es 500 `E_AUTHZ_CONFIG`. Y la espera
+ * se cuenta en SONDEOS (`waitForLeaseMs / RELAY_LEASE_POLL_MS`), no solo con el
+ * reloj de pared: con `config.clock` fijo el sondeo por reloj no terminaba nunca.
+ */
+export declare const RELAY_WAIT_LEASE_MAX_MS = 60000;
 export interface ForRequestOptions {
     /**
      * Milisegundos durante los que la vista puede LEER (default 30 000).
@@ -45,6 +89,47 @@ export interface ForRequestOptions {
      */
     now?: () => number;
 }
+/** Lo que `freezeStatus()` responde de un freeze VIVO (la fila, legible por cualquiera). */
+export interface FreezeStatus {
+    reason: string;
+    holder: string;
+    kind: FreezeKind | 'unknown';
+    /** Instante (ms de pared) en el que el lease vence, o `null` si no caduca. */
+    untilMs: number | null;
+    fence: number;
+}
+/**
+ * Lo que `withFrozenWrites` le cuenta a la pasada que corre dentro (L-1 · J1):
+ * el fence de la ventana, su lease y si se PERDIÓ a mitad (`lapsed`), para
+ * que una pasada de plataforma ajena al manager publique la garantía en vez
+ * de suponerla (`report.frozen`).
+ */
+export interface FrozenWindow {
+    fence: number;
+    /**
+     * El lease de la ventana. En la ventana del OPERADOR adoptada
+     * (2.4.0-alpha.10) es lo que le QUEDABA al adoptarla (`untilMs − ahora`);
+     * `null` solo si la ventana no caduca.
+     */
+    leaseMs: number | null;
+    /**
+     * Solo en la ventana del OPERADOR adoptada (2.4.0-alpha.10, 🟡 3 del sexto
+     * informe de COGNITIV): el instante (ms de pared) en el que caduca, de la
+     * fila, o `null` si no caduca. Quien adopta la ventana no la renueva: si
+     * caduca a mitad, `lapsed` lo dice; esto dice que PUEDE caducar.
+     */
+    untilMs?: number | null;
+    /**
+     * EN QUÉ ventana corrió (2.4.0-alpha.10, S2): la del OPERADOR adoptada, una
+     * PROPIA tomada para la pasada, o la que ya sostenía este manager
+     * (`enclosing`). La salida de los comandos lo dice siempre: «corrí dentro del
+     * cutover» y «tomé mi ventana porque no había ninguna» eran letra a letra
+     * iguales.
+     */
+    window?: 'operator' | 'own' | 'enclosing';
+    /** ¿Se perdió la ventana en algún momento? (renovación fallida, fila ajena o vencida). */
+    lapsed: () => Promise<boolean>;
+}
 /**
  * Manager de autorización — la fachada que usan middleware, services y
  * seeders. Resuelve el driver activo del config y notifica cada escritura
@@ -91,6 +176,140 @@ export declare class AuthorizationManager {
      * sin `withClock` con `clock` declarado es 500 `E_AUTHZ_CONFIG`.
      */
     driver(): Promise<AuthorizationDriver>;
+    /**
+     * **Lo que el driver ACTIVO declara, de solo lectura** (2.4.0-alpha.4;
+     * pregunta 1 de COGNITIV, panel alpha.4). Para que el código de tenant
+     * pueda ramificar —`if ((await authorization.capabilities()).transactionalWrites)
+     * grant(…, { transaction }) else grant(…)`— sin llamar a `driver()`, que
+     * sigue siendo API de PLATAFORMA (el grep del README sigue significando lo
+     * que significa).
+     *
+     * Es `(await this.driver()).capabilities` y NADA más, a propósito:
+     *  - las capacidades son de la INSTANCIA (`database` decide
+     *    `transactionalWrites` desde sus opciones), así que hay que resolver;
+     *  - y se resuelve POR `driver()`, con sus dos puertas
+     *    (`requireTransactionalWrites` y el gate de deriva del árbol) y su
+     *    caché. Resolverlo por otro camino «para que la lectura no lance» y
+     *    guardarlo en `#driver` dejaría `driver()` sirviendo un driver que
+     *    nunca pasó por las puertas: un bypass permanente del gate de deriva
+     *    (🔴 1 del auditor). Por eso hereda los 500 de las puertas
+     *    (`E_AUTHZ_CONFIG`, `E_AUTHZ_SCOPE_DRIFT_UNGUARDED`) y la factory del
+     *    consumidor: llámalo al arrancar (un hook `booted`/`ready`), no por
+     *    request en un endpoint de metadatos.
+     *
+     * Devuelve una copia CONGELADA y NORMALIZADA: todas las claves de
+     * `AuthorizationDriverCapabilities` presentes, solo `true` es `true`
+     * (la misma lectura que la puerta 1), nunca `undefined`; mutarla no toca
+     * el objeto que leen las puertas. La vista de `forRequest()` delega en el
+     * padre (por `driver()`).
+     */
+    capabilities(): Promise<Readonly<AuthorizationDriverCapabilities>>;
+    /**
+     * **Congela las ESCRITURAS del motor, DURABLE** (3b-7; decisión del dueño
+     * del 2026-08-31 (3b): B + E-analista). Operación de PLATAFORMA, como
+     * `driver()`: no se expone por HTTP.
+     *
+     * El estado ya NO vive en el proceso: vive en la fila `id = 2` de
+     * `authz_catalog_version`, así que alcanza a **todos los procesos que
+     * comparten las tablas `authz_*`** (invariante 14: el comando ace y los
+     * workers hablan con la misma base). Mientras el freeze está vivo, toda
+     * escritura del manager —las cuatro de hechos, las tres de árbol, la API
+     * de delegación, `pruneOrphanRoles({force})` y `relayScopeChanges`—
+     * responde 503 `E_AUTHZ_FROZEN` **reintentable** y no llega al driver; las
+     * LECTURAS siguen respondiendo con normalidad (la asimetría deliberada:
+     * `authorize` no se congela ni un milisegundo).
+     *
+     * Devuelve el **token del dueño** (`{ fence, holder }`): `unfreeze(token)`
+     * solo levanta el freeze cuyo token coincide — el `finally` de una ventana
+     * ajena o rezagada no puede levantar la tuya (auditor A1.3). Un freeze
+     * VIVO de otro dueño ⇒ 423 `E_AUTHZ_FREEZE_HELD`, nunca dos dueños.
+     *
+     * El **lease** (default 15 s) se renueva solo (`leaseMs / 3`, `unref()`)
+     * mientras este proceso vive; si el proceso muere (`SIGKILL`, OOM), el
+     * lease vence y la flota vuelve a escribir SOLA en ≤ `leaseMs` — nadie
+     * limpia nada a mano. `leaseMs: null` = sin caducidad: la ventana del
+     * OPERADOR (`authz:freeze`), que dura hasta su `authz:unfreeze`.
+     *
+     * Lo que el freeze **NO congela**, a propósito y documentado (auditor
+     * 🟠 5): `syncAuthzCatalog` (función libre que no ve al manager),
+     * `manager.driver()` (la salida documentada de TODAS las barreras) y el
+     * árbol SQL del consumidor (sus tablas, su SQL). Y lo que no puede
+     * prometer: una escritura que ya pasó su barrera cuando el freeze aterriza
+     * ENTRA (no hay atomicidad entre una fila SQL y un backend externo) — la
+     * promesa publicada es «otro proceso recibe 503», jamás «ninguna escritura
+     * entra en la ventana».
+     */
+    freeze(reason?: string, options?: {
+        leaseMs?: number | null;
+        kind?: FreezeKind;
+    }): Promise<FreezeToken>;
+    /**
+     * Levanta el freeze de ESTE token; uno ajeno o rezagado no toca nada (esa
+     * es toda la garantía del fence). Devuelve si de verdad lo levantó.
+     */
+    unfreeze(token: FreezeToken): Promise<boolean>;
+    /**
+     * ¿SOSTIENE este manager un freeze? (proceso-local: su token vive aquí.)
+     * Para saber si el MOTOR está congelado —por quien sea— pregunta
+     * `freezeStatus()`: eso es la fila, no la memoria.
+     */
+    get frozen(): boolean;
+    /**
+     * La clave (en `relations.drivers`) del driver de RELACIONES activo:
+     * `relations.default ?? default` (2.4.0-alpha.10). La lee el guard de la
+     * dirección rancia de `runRelationsReconcile`; desde el cierre del auditor
+     * (R4) el llamante ya no puede contradecirla con un `activeKey` propio.
+     */
+    relationsDriverKey(): string;
+    /** Las claves registradas en `relations.drivers` del config de ESTE manager (vacío si no hay relaciones). */
+    relationsDriverKeys(): string[];
+    /**
+     * La factory registrada bajo `key` en `relations.drivers` de ESTE manager, o
+     * `undefined` (cierre del auditor de alpha.10 · R4). `runRelationsReconcile`
+     * resuelve el origen y el destino por aquí —del MISMO config que decide el
+     * activo— y juzga la identidad por la factory resuelta, no por la etiqueta:
+     * dos claves con la misma factory son el mismo driver (y dos factories DISTINTAS
+     * sobre el mismo backend NO: límite declarado, cierre-2 · C1).
+     *
+     * **API de PLATAFORMA, junto a `driver()`** (cierre-2 · C6): con esta factory
+     * cualquier código que tenga el manager —vistas de `forRequest()` incluidas—
+     * construye un driver de relaciones NO activo y escribe en él sin `assertWrite`,
+     * `requireActor`, freeze ni `onRelationWrite`. No añade capacidad (el config ya
+     * da las factories), pero es otra cosa que buscar en una revisión.
+     */
+    relationsDriverFactory(key: string): RelationsDriverFactory | undefined;
+    /** El freeze VIVO de la fila compartida, o `null`. Lo lee cualquiera; solo el token lo levanta. */
+    freezeStatus(): Promise<FreezeStatus | null>;
+    /**
+     * **La ÚLTIMA ventana de la fila, también la CADUCADA** (2.4.0-alpha.10, 🟠 2
+     * del sexto informe de COGNITIV). `freezeStatus()` responde solo lo VIVO —y
+     * así lo siguen usando la barrera y los comandos—, de modo que una ventana
+     * cuyo lease venció era indistinguible de «nunca hubo»: `authz:unfreeze`
+     * decía éxito y el último paso del cutover no delataba que las escrituras
+     * habían vuelto a entrar a mitad. Se distingue por la fila: `releaseFreeze`
+     * pone el motivo a `null` al levantar, así que motivo puesto + `untilMs` en
+     * el pasado es una ventana que CADUCÓ sin que nadie la cerrase.
+     *
+     * `null` = nunca hubo o ya se levantó; `expired: false` = viva (lo mismo que
+     * `freezeStatus()`); `expired: true` = caducada. `checkedAtMs` es el instante
+     * del reloj del config con el que se decidió.
+     */
+    lastFreezeStatus(): Promise<(FreezeStatus & {
+        expired: boolean;
+        checkedAtMs: number;
+    }) | null>;
+    /**
+     * `freeze()` + `finally unfreeze(token)`. El `finally` es la parte que
+     * importa: una migración que revienta a la mitad no puede dejar la
+     * aplicación sin poder escribir (y si además el proceso muere sin
+     * `finally`, el lease vence solo). **El anidado corre DENTRO** (auditor
+     * A1.1/A1.3): si este manager ya sostiene el freeze, la ventana interior
+     * no toma otro ni lo levanta al salir — la exterior sigue en pie.
+     */
+    withFrozenWrites<T>(reason: string, fn: (window: FrozenWindow) => Promise<T>, options?: {
+        kind?: FreezeKind;
+        operatorAsContext?: boolean;
+    }): Promise<T>;
     /** Solo tests: fuerza re-resolución del driver. */
     clearCachedDriver(): void;
     /**
@@ -102,8 +321,21 @@ export declare class AuthorizationManager {
      * Espía: si la validación falla, cero llamadas al driver.
      */
     readonly scopes: {
-        attached: (child: ScopeRef, parent: ScopeRef, options?: ScopedWriteOptions) => Promise<void>;
-        moved: (child: ScopeRef, newParent: ScopeRef, options?: ScopedWriteOptions) => Promise<void>;
+        attached: (child: ScopeRef, parent: ScopeRef, options?: ScopeTreeWriteOptions) => Promise<ScopeEnqueueReceipt>;
+        /**
+         * `moved` NO vuelve a juzgar el catálogo, y no tiene por qué (3b-1 · D3,
+         * auditor 3G): mover un scope es un hecho del árbol, no una escritura de
+         * catálogo. Lo que hay que tener escrito es la consecuencia: la relación
+         * «A ensombrece a B» es función del árbol de HOY, así que un `moved` que
+         * mete un subárbol bajo un scope que ya tiene el homónimo **crea la
+         * sombra sin que se juzgue ningún rango en ninguna parte** — y el dueño
+         * del subárbol movido puede no poder repararla (su rango se mide en la
+         * cadena del owner de la sombra). Por eso «sobre un rol solo actúa quien
+         * lo supera en rango» (3G · W3) es una comprobación de ESCRITURA y no un
+         * invariante del sistema. Es ruidosa: `authz:catalog:diff` la lista como
+         * `shadowedByAncestor` (y `--fail-on-shadows` la cuenta como deriva).
+         */
+        moved: (child: ScopeRef, newParent: ScopeRef, options?: ScopeTreeWriteOptions) => Promise<ScopeEnqueueReceipt>;
         /**
          * Hechos primero (el driver demuestra cero o lanza), arista después
          * (S6): si la purga muere a medias, el subárbol sigue colgado y los
@@ -111,9 +343,208 @@ export declare class AuthorizationManager {
          * scope exista (el consumidor puede haber borrado ya su fila); con
          * `within` (2D · F2) el hijo tiene que seguir en el árbol para
          * contrastar su cadena: purga ANTES de borrar la fila.
+         *
+         * **Purga HECHOS y solo hechos** (invariante 11; 3b-0 · Z1). Entre 3D y
+         * 3G esta operación arrastraba además los roles LOCALES cuyo owner era
+         * ese scope (y, con `descendantsOf`, los de todo el subárbol), con su
+         * propia policy de rango, su degradación y un valor de retorno que
+         * contaba lo purgado. Cinco lotes la tocaron y TRES de las cuatro
+         * regresiones de la Fase 3 nacieron ahí, siempre por COMPOSICIÓN de
+         * piezas correctas por separado (3E · P3 + 3F · S1/S2 ⇒ 3G · W1). El
+         * requisito que lo pedía —un rol cuyo owner desaparece queda
+         * indeleteable y ocupa su `(slug, nivel)`— se resuelve más simple y
+         * fuera del camino de un tenant: el rol queda DORMIDO (no concede, no es
+         * membresía, no se asigna) y la PLATAFORMA lo retira con
+         * `authz:catalog:prune-orphans` (Z2). Así `scopes.detached` vuelve a ser
+         * O(1), sin rango que medir, sin árbol que enumerar y sin nada que
+         * declarar a medias.
          */
-        detached: (child: ScopeRef, options?: ScopedWriteOptions) => Promise<ScopeDetachOutcome>;
+        detached: (child: ScopeRef, options?: ScopeTreeWriteOptions) => Promise<ScopeEnqueueReceipt>;
     };
+    /**
+     * **Drena la outbox del árbol y aplica los cambios al driver** (3b-2d).
+     * Es lo que hay detrás de `node ace authz:scopes:relay`.
+     *
+     * Operación de PLATAFORMA, como `pruneOrphanRoles`: se salta `requireActor`
+     * y `requireWithin` a propósito —la policy ya se juzgó al ENCOLAR, con el
+     * árbol y la sesión de aquel momento— así que **no se expone por HTTP**.
+     * Aquí solo se propaga lo que ya se validó.
+     *
+     * Reanudable y nunca silenciosa: el reporte dice QUÉ se aplicó (no un
+     * contador: la pasada no es atómica), qué falló, qué se aplazó y si queda
+     * trabajo.
+     *
+     * **El orden del árbol importa, pero solo entre cambios que se tocan**
+     * (3b-2h · 🔴 2, auditor R2). Hasta el 2h la pasada PARABA en el primer
+     * fallo, y eso convertía una entrada que ya no se puede aplicar —el padre
+     * del `attached` encolado se borró antes del relevo, la arista cerraría
+     * ahora un ciclo, el nodo acabó con dos padres— en un **tapón permanente
+     * para todos los tenants**: `pending()` devuelve lo no aplicado ordenado
+     * por id, así que la envenenada era la cabecera de la cola en TODAS las
+     * pasadas siguientes y ningún cambio del árbol volvía a llegar al store
+     * (medido: una unit nueva nunca recibía su arista `parent`, el deny de su
+     * organization nunca la alcanzaba y un `detached` posterior nunca purgaba).
+     * Ahora un fallo **contamina los scopes que nombra**: los cambios
+     * posteriores que tocan alguno de ellos se APLAZAN sin intentarse (y
+     * contaminan a su vez, así que la dependencia es transitiva), y los demás
+     * se aplican. El par ordenado que importaba —`attached(P, org)` antes que
+     * `attached(C, P)`, `moved` antes que `detached`— sigue respetado porque
+     * comparten scope; lo que ya no pasa es que el tenant A congele el árbol
+     * del tenant B.
+     *
+     * **Escritor ÚNICO** (3b-2h · 🟠 4): si la outbox sabe dar un lease
+     * (`acquire`), la pasada lo toma y una segunda pasada simultánea no hace
+     * nada y lo dice (`busy`). Sin lease, dos pasadas trabajan sobre el mismo
+     * lote —`pending()` no reserva y el lote no se relee— y la rezagada
+     * re-aplica cambios viejos sobre el árbol nuevo.
+     *
+     * Lo que esta pieza NO arregla, y va escrito en el README con estas
+     * palabras: entre el commit del consumidor y esta pasada hay un lag
+     * (segundos) durante el cual el backend decide con el árbol VIEJO. Es un
+     * **fail-open temporal** —el tenant antiguo conserva acceso tras un
+     * `moved`, los denies heredados no aplican tras un `attached`—. No hay
+     * 2PC; es el precio de tener el árbol en dos sitios.
+     *
+     * **`only` (2.4.0-alpha.5 · R1)**: relevar SOLO estas entradas —los ids del
+     * recibo de `scopes.*` que ESTE proceso acaba de recibir, jamás del cuerpo
+     * de una petición— sin leer la cola de los demás (medido: 4 507 ms → 19 ms
+     * con 500 entradas ajenas por delante). El orden por clave NO se relaja:
+     * antes de aplicar cada entrada pedida se sondea la cola ENTERA
+     * (`earlierPending`, o paginando `pending()` si la outbox no lo tiene) y,
+     * si hay una pendiente ANTERIOR que comparte clave de scope con ella, sale
+     * `deferred` con `depends-on:<id>` — nunca aplicada fuera de orden (el 🔴 1
+     * del panel relay, medido: un `attached(child, unit)` aplicado antes que su
+     * `moved(unit → orgB)` dejaba al editor de la org VIEJA autorizando sobre el
+     * hijo). `remaining` y `dead` siguen siendo GLOBALES. `only: []` es 500
+     * (un `filter` vacío del consumidor no puede acabar en drenaje ni en un
+     * reporte vacío en verde), y una outbox que no honre el filtro también.
+     *
+     * **Lo aparcado tapona por clave (alpha.5 · R2a)**: las claves de `dead()`
+     * siembran el bloqueo al inicio de la pasada para lo que CONCEDE o recuelga
+     * (`attached`/`moved`, `deferred` con `parked:<id>`) y dejan pasar lo que
+     * RETIRA (`detached`: una purga nunca queda bloqueada, invariante 11). Y un
+     * 503 del backend NO consume intento (`markFailed(..., { transient })`).
+     */
+    relayScopeChanges(options?: {
+        limit?: number;
+        batchSize?: number;
+        dryRun?: boolean;
+        only?: Array<string | number>;
+        waitForLeaseMs?: number;
+        /**
+         * Bajo `only`, `dead[]` va SIN `error` por DEFECTO (2.4.0-alpha.8): la
+         * causa la escribe el backend sobre el árbol de OTRO tenant; `'full'`
+         * la devuelve (lo de hasta alpha.7). Sin `only` no cambia nada.
+         */
+        deadDetail?: 'full';
+    }): Promise<ScopeRelayReport>;
+    /**
+     * **Devuelve entradas APARCADAS a la cola** (2.4.0-alpha.5 · R2b; panel
+     * relay, cuestión 2). Es lo que hay detrás de `node ace authz:scopes:requeue
+     * --id`. Operación de PLATAFORMA como `relayScopeChanges` y `driver()`: sin
+     * actor, sin `within`, **no se expone por HTTP**.
+     *
+     * **La sonda anti-reversión vive AQUÍ, no en la outbox**: reaplicar una
+     * entrada ANTERIOR a otra ya APLICADA sobre la misma clave de scope
+     * reescribe el árbol del store en un orden que nunca existió — el `moved`
+     * viejo tras el nuevo deja el padre VIEJO con UN solo padre, así que
+     * `assertOneParent` no lo delata y el tenant antiguo recupera el acceso
+     * (auditor 🔴 2, `relay-auditor-5.ts`, medido). Por eso, antes de tocar la
+     * cola, cada aparcada pedida se compara contra las aplicadas posteriores
+     * que compartan clave (`outbox.laterApplied`, espejo de `earlierPending`)
+     * y si hay alguna se NIEGA con 500 `E_AUTHZ_REQUEUE_REFUSED` nombrándola —
+     * todo o nada, cero filas tocadas—. El remedio correcto es
+     * `authz:reconcile --to=<driver>`, que recalcula con el árbol de HOY. La
+     * sonda es del manager porque necesita las claves del cambio
+     * (`#changeKeys`); `outbox.requeue` queda mecánico y una outbox de
+     * terceros la hereda gratis.
+     *
+     * **`force`** salta la sonda y devuelve el diff en `overrides`. Existe para
+     * el comando ace —que lo imprime y exige el flag explícito (decisión del
+     * dueño del 2026-09-09 (2))— y para nada más: llamarlo con `force: true`
+     * desde un endpoint es policy en una API sin policy.
+     *
+     * `attempts` queda en `maxAttempts − 1` (lo hace la outbox): si la causa
+     * sigue rota la entrada vuelve a aparcarse en UNA pasada y contamina su
+     * clave solo en esa pasada —un requeue automatizado de lo irreparable no
+     * es un grifo de aplazamiento permanente (auditor 🔴 2, segunda mitad)—; si
+     * el operador la arregló, entra a la primera. No hay bucle: lo aparcado no
+     * vuelve solo a `pending()`.
+     *
+     * Exige `dead`, `requeue` y `laterApplied` en el puerto (500
+     * `E_AUTHZ_UNSUPPORTED` nombrando el que falte): sin censo no se sabe qué
+     * se reencola y sin sonda no hay requeue. Sin `apply` no pasa por la
+     * barrera del freeze: no escribe en el backend; la pasada que aplique la
+     * entrada sí la pasa.
+     *
+     * **`apply: true` — reencolar Y relevar en la misma llamada** (2.4.0-alpha.8;
+     * panel relay 2, cuestión 4; decisión del dueño 2026-09-10 (4)). Medido
+     * (tester P14): la reencolada vuelve con su id ORIGINAL (menor) y la
+     * siguiente pasada `only` del tenant salía `deferred · depends-on:` — el
+     * incidente no se cerraba con un comando. Con `apply`, tras reencolar se
+     * releva SOLO eso (`only` = exactamente los ids reencolados: los
+     * dependientes NO se arrastran, quedan `deferred`/pendientes y el reporte lo
+     * dice —«`only` es mi recibo»—) y el reporte del relay viaja en
+     * `report.relay`. Cuatro condiciones, todas fijadas con caso: (1) **un solo
+     * lease** para toda la llamada (tomarlo dos veces era `busy` en verde,
+     * auditor 🟠 5) — se toma PRIMERO, y si está ocupado es `relay.busy` con
+     * CERO filas reencoladas (reencolar y decir `busy` dejaba `attempts = max −
+     * 1` y la entrada se volvía a aparcar contaminando su clave); (2) **pasa la
+     * barrera del freeze** ANTES de tocar nada (con `apply` escribe el árbol);
+     * (3) **excluyente con `force`** (500 juntos: con las dos, revertir el árbol
+     * pasaba de dos llamadas de plataforma a una, auditor 🟠 6); (4) la sonda
+     * anti-reversión corre ANTES de reencolar, como siempre. `waitForLeaseMs`
+     * (solo con `apply`) es la misma espera acotada que en el relay, para que
+     * el comando que cierra el incidente no pierda siempre contra el cron.
+     */
+    requeueScopeChanges(ids: Array<string | number>, options?: {
+        force?: boolean;
+        apply?: boolean;
+        waitForLeaseMs?: number;
+    }): Promise<ScopeRequeueReport>;
+    /**
+     * **`authz:reconcile --to=<driver>`** (3b-3a): la ÚNICA primitiva de
+     * migración y verificación del paquete, y el motivo de la fase entera —
+     * «todo en un driver o todo en otro, con una migración idempotente y
+     * bidireccional». Sustituye a `openfga:import`, que el 2k borró.
+     *
+     * Operación de PLATAFORMA, como `driver()` y `relayScopeChanges`: no lleva
+     * actor, no mide rangos y **no se expone por HTTP**.
+     *
+     * El driver de destino se resuelve **por nombre del registro**
+     * (`config.drivers[to]`), no por `config.default`: la migración de verdad
+     * es «el motor sigue corriendo con `database` mientras se llena el store de
+     * `openfga`», y con el default no habría forma de nombrar al destino. Un
+     * driver que no sabe reconstruirse lo dice (500 `E_AUTHZ_UNSUPPORTED`
+     * nombrando `reconcile`); el driver `database` es ese caso: sus tablas SON
+     * el origen y llenarlas desde un store es la otra dirección (3b-3b).
+     *
+     * Durante la pasada que ESCRIBE, las escrituras del motor están CONGELADAS
+     * (`withFrozenWrites`): un `grant` que aterrizara entre la lectura del
+     * origen y la escritura del destino no llegaría al destino y no aparecería
+     * en ningún contador. Las lecturas siguen. El `finally` descongela pase lo
+     * que pase.
+     *
+     * **`--dry-run` NO congela** (3b-6, panel 3 · juez §3). El verificador es
+     * read-only por contrato: no escribe nada, así que no tiene NADA que
+     * proteger, y congelar ahí sería apagar las escrituras a cambio de cero.
+     * Está publicado para correrlo en CI y en un cron, o sea justo el sitio
+     * desde el que un mecanismo de indisponibilidad se dispara solo — hoy
+     * contra el proceso del job, y contra la flota entera el día que el freeze
+     * sea durable. El único contraargumento posible —que congelar estabiliza
+     * sus números— no vale: los números de un verificador read-only no son una
+     * garantía de nada.
+     *
+     * Lo que añade el manager al reporte del driver es lo único que el driver
+     * no puede ver: **la ventana del relay** —los cambios del árbol encolados y
+     * sin aplicar, que son la deriva que el store todavía no conoce (decisión
+     * del dueño del 2026-08-30, consecuencia 4)— y las entradas APARCADAS, que
+     * no son una ventana sino una divergencia permanente.
+     */
+    reconcile(options: {
+        to: string;
+        from?: string;
+    } & ReconcileOptions): Promise<ReconcileReport>;
     /**
      * ¿`outer` contiene a `inner`? = `outer ∈ chain(inner)`, inclusive: un scope
      * se contiene a sí mismo y `APP_SCOPE` contiene todo. Un `inner` que el
@@ -184,6 +615,118 @@ export declare class AuthorizationManager {
      * su owner. Notifica `role_purged`. No necesita `listDenies`.
      */
     deleteScopedRole(actor: SubjectRef, roleUuid: string, options?: ScopedWriteOptions): Promise<void>;
+    /**
+     * Los roles LOCALES cuyo owner el árbol YA NO conoce, y —con `force`— su
+     * purga. Es el motor de `authz:catalog:prune-orphans` (3b-0 · Z2).
+     *
+     * Un rol así está DORMIDO, y «dormido» significa **exactamente** esto
+     * (3b-0b · AA1, auditor 3b-0): no es visible desde ningún scope vivo cuya
+     * cadena NO pase por su owner. No significa que no conceda. La regla única
+     * de visibilidad (invariante 18) pide que el owner esté en la cadena del
+     * scope preguntado, y **un descendiente vivo cuya ruta materializada sigue
+     * pasando por el owner la cumple**: ahí el rol concede, es membresía por
+     * los seis caminos de lectura y se puede ASIGNAR, por slug y por uuid.
+     * Ocurre en cuanto el consumidor borra la fila del owner sin borrar (o sin
+     * notificar) la de sus descendientes — el borrado en dos pasos y las rutas
+     * materializadas son lo normal. Por eso este barrido es destructivo de
+     * verdad y por eso `--dry-run` es el default: puede estar revocando
+     * permisos VIVOS, no recogiendo basura inerte. Lo que sí es seguro decir:
+     * un rol huérfano SIN asignaciones vigentes no concede nada, y ninguno
+     * concede en un scope cuya cadena no pase por el owner.
+     *
+     * Cada huérfano viene con `assignments` (hechos vigentes) y
+     * `stillGranting` (`assignments > 0`), que es la marca CONSERVADORA de
+     * «esto no es basura inerte»: cuenta hechos, no comprueba si el scope de
+     * cada uno sigue resolviendo. Falso ⇒ no concede seguro; verdadero ⇒
+     * míralo antes de `--force`.
+     *
+     * **Y esos hechos se los cuenta el DRIVER** (3b-2j, decisión del dueño del
+     * 2026-08-31 (3)), con `countRoleAssignments` del puerto. Hasta aquí los
+     * contaba el propio barrido en `authz_assignments` —la tabla del driver
+     * `database`—, así que con `openfga` en modo `facts`, donde los hechos
+     * viven en el store, `stillGranting` era SIEMPRE `false`: el barrido
+     * declaraba basura inerte, justo antes de un borrado destructivo, un rol
+     * que estaba concediendo (medido en el lote 2i). Un driver que no traiga
+     * el método deja los DOS campos en **`undefined`**, nunca en `false`: «no
+     * lo sé» no puede degradar a «no concede», que es exactamente el bug. Con
+     * `undefined` el rol no es demostrablemente inerte y el comando lo lista
+     * APARTE, igual que a los que sí conceden.
+     *
+     * Lo que el rol dormido sí hace en todo caso es ocupar su `(slug, nivel)`
+     * dentro del subárbol donde todavía se le vea, y `deleteScopedRole` no lo
+     * alcanza (resuelve el owner en fresco y responde 422
+     * `E_AUTHZ_UNKNOWN_SCOPE`). Hasta 3G esa limpieza la arrastraba
+     * `scopes.detached`, y ahí es donde nacieron tres de las cuatro
+     * regresiones de la Fase 3: la operación la dispara un TENANT, sobre un
+     * scope que ya no resuelve, así que hubo que inventarle una policy de
+     * rango sin cadena donde medirla, una enumeración del subárbol y una
+     * degradación — tres piezas que compuestas destruían roles de
+     * descendientes VIVOS. Aquí no hay nada de eso: es una operación de
+     * PLATAFORMA (una tarea de mantenimiento con acceso al catálogo, como
+     * `authz:catalog:sync`), no lleva actor y no mide rangos, exactamente como
+     * el `purgeRole` de último recurso que el README ya prometía. Es, junto a
+     * `driver()`, **API de plataforma**: se salta `requireActor` y
+     * `requireWithin` a propósito, así que no se expone a un controlador.
+     *
+     * `force: false` (el default, y el del comando: `--dry-run`) NO escribe:
+     * devuelve la lista para que un humano la mire. Con `force: true` cada rol
+     * se purga con `purgeRole` —atómico: asignaciones + vínculos + fila +
+     * versión del catálogo— y se notifica `role_purged` (sin `actor`). El
+     * conjunto no es atómico, y por eso el reporte dice QUÉ se purgó
+     * (`purged: CatalogRoleRef[]`, 3b-0b · AB3) y no cuántos: si un
+     * `purgeRole` falla a mitad, lo anterior ya está borrado —con el hallazgo
+     * de AA1 eso puede ser revocación parcial de permisos vivos— y quien
+     * recoge el 503 necesita la lista, no un contador. Una pasada
+     * interrumpida la recoge la siguiente (el orden es estable por uuid).
+     *
+     * **Dos seguros contra el barrido a ciegas**, que es el riesgo real
+     * (auditor 3b-0):
+     *
+     *  - **Cota de purga masiva** (AA2): si TODOS los owners distintos
+     *    resultan huérfanos, o si los huérfanos superan el 50 % de los roles
+     *    locales, `force` es 500 `E_AUTHZ_MASS_PURGE_REFUSED` **antes de
+     *    borrar nada**. Esa es la firma de un `resolveChain` filtrado por el
+     *    tenant de la petición o corriendo sin contexto (comando, réplica
+     *    atrasada): devuelve `null` para todo y la pasada se lleva el catálogo
+     *    local de TODOS los tenants (medido: 2 de 2 roles vivos). Una poda
+     *    grande de verdad pasa con `allowMassPurge: true`
+     *    (`--allow-mass-purge`), que es una decisión humana. El `--dry-run` no
+     *    lanza —es justo el diagnóstico que hay que poder mirar— pero lo
+     *    marca en `massPurge`.
+     *  - **Re-resolución justo antes de cada purga** (AA3): entre la lectura y
+     *    el borrado cabe un `scopes.attached`/restore concurrente, y la
+     *    ventana es TODA la pasada (N roles + N `resolveChain`), no un
+     *    instante. Cada owner se vuelve a resolver en FRESCO inmediatamente
+     *    antes de su `purgeRole`; si ha vuelto, el rol se salta y se cuenta en
+     *    `skipped` con `reason: 'owner-came-back'`.
+     *
+     * Coste: una lectura del catálogo local + un `resolveChain` por OWNER
+     * DISTINTO (memoizado) + UNA llamada a `countRoleAssignments` con los
+     * uuids de los huérfanos (ninguna si no hay) + un `resolveChain` más por
+     * rol purgado (el de AA3). Es O(owners con roles locales) para mirar y
+     * O(roles purgados) para borrar, y corre en un comando, no en el camino de
+     * una petición.
+     */
+    pruneOrphanRoles(options?: {
+        force?: boolean;
+        allowMassPurge?: boolean;
+    }): Promise<{
+        orphans: Array<{
+            role: CatalogRole;
+            owner: ScopeRef;
+            permissions: string[];
+            assignments: number | undefined;
+            stillGranting: boolean | undefined;
+        }>;
+        purged: CatalogRoleRef[];
+        skipped: Array<{
+            role: CatalogRoleRef;
+            reason: 'owner-came-back';
+        }>;
+        /** ¿La pasada tiene la firma de un resolutor ciego? Con `force` exige `allowMassPurge`. */
+        massPurge: boolean;
+        dryRun: boolean;
+    }>;
     /**
      * Asigna un rol al holder en un scope. `role` es un `RoleQuery` (3D · M1):
      * un slug, `{ slug, scopeType }` o `{ uuid }` — esta última es la forma

package/build/src/manager.d.ts.map

@@ -1 +1 @@
-{"version":3,"file":"manager.d.ts","sourceRoot":"","sources":["../../src/manager.ts"],"names":[],"mappings":"AAEA,OAAO,KAAK,EAAE,mBAAmB,EAAE,MAAM,oBAAoB,CAAA;AA4C7D,OAAO,KAAK,EACV,mBAAmB,EAEnB,gBAAgB,EAGhB,WAAW,EAEX,WAAW,EACX,OAAO,EACP,eAAe,EACf,YAAY,EACZ,YAAY,EACZ,SAAS,EAGT,kBAAkB,EAClB,iBAAiB,EACjB,cAAc,EACd,kBAAkB,EAClB,QAAQ,EACR,SAAS,EACT,UAAU,EAEX,MAAM,YAAY,CAAA;AAuBnB;;;;;GAKG;AACH,MAAM,MAAM,iBAAiB,GAAG,IAAI,CAClC,oBAAoB,EAClB,WAAW,GACX,SAAS,GACT,cAAc,GACd,YAAY,GACZ,WAAW,GACX,gBAAgB,GAChB,OAAO,GACP,QAAQ,GACR,MAAM,GACN,YAAY,GACZ,QAAQ,GACR,QAAQ,GACR,YAAY,GACZ,UAAU,GACV,YAAY,GACZ,sBAAsB,GACtB,eAAe,GACf,kBAAkB,GAClB,wBAAwB,GACxB,kBAAkB,GAClB,kBAAkB,GAClB,kBAAkB,CACrB,CAAA;AAED;;;;;GAKG;AACH,wBAAgB,sBAAsB,CAAC,IAAI,EAAE,iBAAiB,EAAE,QAAQ,EAAE,eAAe,EAAE,GAAG,OAAO,CAAC,QAAQ,EAAE,CAAC,CAEhH;AAED,qGAAqG;AACrG,eAAO,MAAM,kBAAkB,OAAQ,CAAA;AACvC,eAAO,MAAM,uBAAuB,QAAS,CAAA;AAC7C;;;;;;GAMG;AACH,eAAO,MAAM,eAAe,WAAa,CAAA;AACzC,gGAAgG;AAChG,eAAO,MAAM,uBAAuB,QAAS,CAAA;AAE7C,MAAM,WAAW,iBAAiB;IAChC;;;;;;;;OAQG;IACH,QAAQ,CAAC,EAAE,MAAM,CAAA;IACjB;;;;OAIG;IACH,GAAG,CAAC,EAAE,MAAM,MAAM,CAAA;CACnB;AAKD;;;;;;;;GAQG;AACH,qBAAa,oBAAoB;;gBAenB,MAAM,EAAE,mBAAmB;IAkCvC;;;;;;;;;;;;;;;;OAgBG;IACH,UAAU,CAAC,OAAO,GAAE,iBAAsB,GAAG,iBAAiB;IAmB9D;;;;;;;;;;;;;;OAcG;IACG,MAAM,IAAI,OAAO,CAAC,mBAAmB,CAAC;IA2B5C,mDAAmD;IACnD,iBAAiB,IAAI,IAAI;IAiCzB;;;;;;;OAOG;IACH,QAAQ,CAAC,MAAM;0BAOW,QAAQ,UAAU,QAAQ,YAAY,kBAAkB,KAAG,OAAO,CAAC,IAAI,CAAC;uBAS3E,QAAQ,aAAa,QAAQ,YAAY,kBAAkB,KAAG,OAAO,CAAC,IAAI,CAAC;QAOhG;;;;;;;WAOG;0BACqB,QAAQ,YAAY,kBAAkB,KAAG,OAAO,CAAC,kBAAkB,CAAC;MA2C7F;IAyLD;;;;;OAKG;IACG,QAAQ,CAAC,KAAK,EAAE,QAAQ,EAAE,KAAK,EAAE,QAAQ,GAAG,OAAO,CAAC,OAAO,CAAC;IA8H5D,SAAS,CAAC,OAAO,EAAE,UAAU,EAAE,UAAU,EAAE,MAAM,EAAE,KAAK,EAAE,QAAQ,GAAG,OAAO,CAAC,OAAO,CAAC;IAKrF,OAAO,CAAC,OAAO,EAAE,UAAU,EAAE,IAAI,EAAE,SAAS,EAAE,KAAK,EAAE,QAAQ,GAAG,OAAO,CAAC,OAAO,CAAC;IAKtF;;;;;;;;OAQG;IACG,aAAa,CAAC,OAAO,EAAE,UAAU,EAAE,UAAU,EAAE,MAAM,EAAE,MAAM,EAAE,QAAQ,EAAE,GAAG,OAAO,CAAC,OAAO,EAAE,CAAC;IA0BpG,2GAA2G;IACrG,YAAY,CAAC,IAAI,EAAE,SAAS,EAAE,KAAK,EAAE,QAAQ,GAAG,OAAO,CAAC,UAAU,EAAE,CAAC;IAKrE,UAAU,CAAC,OAAO,EAAE,UAAU,EAAE,UAAU,EAAE,MAAM,GAAG,OAAO,CAAC,QAAQ,EAAE,CAAC;IAKxE,SAAS,CAAC,OAAO,EAAE,UAAU,EAAE,KAAK,EAAE,QAAQ,GAAG,OAAO,CAAC,MAAM,EAAE,CAAC;IAKlE,cAAc,CAAC,OAAO,EAAE,UAAU,EAAE,SAAS,EAAE,SAAS,GAAG,OAAO,CAAC,QAAQ,EAAE,CAAC;IAKpF,mHAAmH;IAC7G,UAAU,CAAC,OAAO,EAAE,UAAU,EAAE,KAAK,CAAC,EAAE,QAAQ,GAAG,OAAO,CAAC,OAAO,EAAE,CAAC;IAM3E;;;;;;;OAOG;IACG,oBAAoB,CAAC,OAAO,EAAE,UAAU,EAAE,KAAK,EAAE,QAAQ,GAAG,OAAO,CAAC,MAAM,EAAE,CAAC;IAiKnF;;;;;;;;;;;;;;;OAeG;IACG,gBAAgB,CACpB,KAAK,EAAE,UAAU,EACjB,UAAU,EAAE,QAAQ,EACpB,IAAI,EAAE,cAAc,EACpB,OAAO,CAAC,EAAE,kBAAkB,GAC3B,OAAO,CAAC,WAAW,CAAC;IA8FvB;;;;;;;;OAQG;IACG,gBAAgB,CACpB,KAAK,EAAE,UAAU,EACjB,QAAQ,EAAE,MAAM,EAChB,OAAO,EAAE,iBAAiB,EAC1B,OAAO,CAAC,EAAE,kBAAkB,GAC3B,OAAO,CAAC,WAAW,CAAC;IAsFvB;;;;;;OAMG;IACG,gBAAgB,CAAC,KAAK,EAAE,UAAU,EAAE,QAAQ,EAAE,MAAM,EAAE,OAAO,CAAC,EAAE,kBAAkB,GAAG,OAAO,CAAC,IAAI,CAAC;IAqaxG;;;;;;OAMG;IACG,KAAK,CACT,OAAO,EAAE,UAAU,EACnB,IAAI,EAAE,SAAS,EACf,KAAK,EAAE,QAAQ,EACf,OAAO,CAAC,EAAE,YAAY,GACrB,OAAO,CAAC,YAAY,CAAC;IAyCxB;;;;;OAKG;IACG,MAAM,CAAC,OAAO,EAAE,UAAU,EAAE,IAAI,EAAE,SAAS,EAAE,KAAK,EAAE,QAAQ,EAAE,OAAO,CAAC,EAAE,kBAAkB,GAAG,OAAO,CAAC,IAAI,CAAC;IAS1G,IAAI,CAAC,OAAO,EAAE,UAAU,EAAE,UAAU,EAAE,MAAM,EAAE,KAAK,EAAE,QAAQ,EAAE,OAAO,CAAC,EAAE,WAAW,GAAG,OAAO,CAAC,IAAI,CAAC;IASpG,UAAU,CAAC,OAAO,EAAE,UAAU,EAAE,UAAU,EAAE,MAAM,EAAE,KAAK,EAAE,QAAQ,EAAE,OAAO,CAAC,EAAE,kBAAkB,GAAG,OAAO,CAAC,IAAI,CAAC;IASvH;;;;;;;;;;;;;;;;;;;;;;;;;;;OA2BG;IACG,gBAAgB,CACpB,OAAO,EAAE,UAAU,EACnB,UAAU,EAAE,MAAM,EAClB,SAAS,EAAE,SAAS,EACpB,OAAO,GAAE;QAAE,SAAS,CAAC,EAAE,MAAM,CAAA;KAAO,GACnC,OAAO,CAAC,gBAAgB,CAAC;IAoE5B;;;;;;;OAOG;IACG,sBAAsB,CAC1B,QAAQ,EAAE,eAAe,EAAE,EAC3B,OAAO,GAAE;QAAE,SAAS,CAAC,EAAE,MAAM,CAAA;KAAO,GACnC,OAAO,CAAC,QAAQ,EAAE,CAAC;CAoNvB"}
+{"version":3,"file":"manager.d.ts","sourceRoot":"","sources":["../../src/manager.ts"],"names":[],"mappings":"AAEA,OAAO,EAA4B,KAAK,mBAAmB,EAAE,MAAM,oBAAoB,CAAA;AA2BvF,OAAO,KAAK,EAAE,UAAU,EAAE,WAAW,EAAE,MAAM,aAAa,CAAA;AA0C1D,OAAO,KAAK,EACV,mBAAmB,EACnB,+BAA+B,EAE/B,gBAAgB,EAGhB,WAAW,EACX,cAAc,EACd,WAAW,EACX,OAAO,EACP,eAAe,EACf,YAAY,EACZ,YAAY,EACZ,SAAS,EAGT,iBAAiB,EACjB,cAAc,EAGd,gBAAgB,EAChB,eAAe,EAIf,kBAAkB,EAClB,mBAAmB,EAMnB,kBAAkB,EAGlB,gBAAgB,EAChB,QAAQ,EAER,qBAAqB,EACrB,SAAS,EACT,UAAU,EAEV,sBAAsB,EACvB,MAAM,YAAY,CAAA;AAuBnB;;;;;GAKG;AACH,MAAM,MAAM,iBAAiB,GAAG,IAAI,CAClC,oBAAoB,EAClB,WAAW,GACX,SAAS,GACT,cAAc,GACd,YAAY,GACZ,WAAW,GACX,gBAAgB,GAChB,OAAO,GACP,QAAQ,GACR,MAAM,GACN,YAAY,GACZ,QAAQ,GACR,QAAQ,GACR,cAAc,GACd,YAAY,GACZ,UAAU,GACV,YAAY,GACZ,sBAAsB,GACtB,eAAe,GACf,kBAAkB,GAClB,wBAAwB,GACxB,kBAAkB,GAClB,kBAAkB,GAClB,kBAAkB,CACrB,CAAA;AAED;;;;;GAKG;AACH,wBAAgB,sBAAsB,CAAC,IAAI,EAAE,iBAAiB,EAAE,QAAQ,EAAE,eAAe,EAAE,GAAG,OAAO,CAAC,QAAQ,EAAE,CAAC,CAEhH;AAED,qGAAqG;AACrG,eAAO,MAAM,kBAAkB,OAAQ,CAAA;AACvC,eAAO,MAAM,uBAAuB,QAAS,CAAA;AAC7C;;;;;;GAMG;AACH,eAAO,MAAM,eAAe,WAAa,CAAA;AACzC;;;;;GAKG;AACH,eAAO,MAAM,mBAAmB,MAAM,CAAA;AACtC,eAAO,MAAM,mBAAmB,QAAS,CAAA;AAGzC;;;;;;;GAOG;AACH,eAAO,MAAM,qBAAqB,MAAM,CAAA;AACxC;;;;;;;;;GASG;AACH,eAAO,MAAM,iBAAiB,QAAS,CAAA;AACvC,gGAAgG;AAChG,eAAO,MAAM,uBAAuB,QAAS,CAAA;AAE7C;;;;;;GAMG;AACH,eAAO,MAAM,mBAAmB,KAAK,CAAA;AACrC;;;;;GAKG;AACH,eAAO,MAAM,uBAAuB,QAAS,CAAA;AAQ7C,MAAM,WAAW,iBAAiB;IAChC;;;;;;;;OAQG;IACH,QAAQ,CAAC,EAAE,MAAM,CAAA;IACjB;;;;OAIG;IACH,GAAG,CAAC,EAAE,MAAM,MAAM,CAAA;CACnB;AAgBD,4FAA4F;AAC5F,MAAM,WAAW,YAAY;IAC3B,MAAM,EAAE,MAAM,CAAA;IACd,MAAM,EAAE,MAAM,CAAA;IACd,IAAI,EAAE,UAAU,GAAG,SAAS,CAAA;IAC5B,8EAA8E;IAC9E,OAAO,EAAE,MAAM,GAAG,IAAI,CAAA;IACtB,KAAK,EAAE,MAAM,CAAA;CACd;AAED;;;;;GAKG;AACH,MAAM,WAAW,YAAY;IAC3B,KAAK,EAAE,MAAM,CAAA;IACb;;;;OAIG;IACH,OAAO,EAAE,MAAM,GAAG,IAAI,CAAA;IACtB;;;;;OAKG;IACH,OAAO,CAAC,EAAE,MAAM,GAAG,IAAI,CAAA;IACvB;;;;;;OAMG;IACH,MAAM,CAAC,EAAE,UAAU,GAAG,KAAK,GAAG,WAAW,CAAA;IACzC,0FAA0F;IAC1F,MAAM,EAAE,MAAM,OAAO,CAAC,OAAO,CAAC,CAAA;CAC/B;AAOD;;;;;;;;GAQG;AACH,qBAAa,oBAAoB;;gBAwBnB,MAAM,EAAE,mBAAmB;IAkCvC;;;;;;;;;;;;;;;;OAgBG;IACH,UAAU,CAAC,OAAO,GAAE,iBAAsB,GAAG,iBAAiB;IAmB9D;;;;;;;;;;;;;;OAcG;IACG,MAAM,IAAI,OAAO,CAAC,mBAAmB,CAAC;IA6B5C;;;;;;;;;;;;;;;;;;;;;;;;;;OA0BG;IACG,YAAY,IAAI,OAAO,CAAC,QAAQ,CAAC,+BAA+B,CAAC,CAAC;IAyFxE;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;OAkCG;IACG,MAAM,CAAC,MAAM,CAAC,EAAE,MAAM,EAAE,OAAO,GAAE;QAAE,OAAO,CAAC,EAAE,MAAM,GAAG,IAAI,CAAC;QAAC,IAAI,CAAC,EAAE,UAAU,CAAA;KAAO,GAAG,OAAO,CAAC,WAAW,CAAC;IAgFjH;;;OAGG;IACG,QAAQ,CAAC,KAAK,EAAE,WAAW,GAAG,OAAO,CAAC,OAAO,CAAC;IAiBpD;;;;OAIG;IACH,IAAI,MAAM,IAAI,OAAO,CAEpB;IAED;;;;;OAKG;IACH,kBAAkB,IAAI,MAAM;IAI5B,6GAA6G;IAC7G,mBAAmB,IAAI,MAAM,EAAE;IAI/B;;;;;;;;;;;;;OAaG;IACH,sBAAsB,CAAC,GAAG,EAAE,MAAM,GAAG,sBAAsB,GAAG,SAAS;IAMvE,mGAAmG;IAC7F,YAAY,IAAI,OAAO,CAAC,YAAY,GAAG,IAAI,CAAC;IAYlD;;;;;;;;;;;;;OAaG;IACG,gBAAgB,IAAI,OAAO,CAAC,CAAC,YAAY,GAAG;QAAE,OAAO,EAAE,OAAO,CAAC;QAAC,WAAW,EAAE,MAAM,CAAA;KAAE,CAAC,GAAG,IAAI,CAAC;IAgBpG;;;;;;;OAOG;IACG,gBAAgB,CAAC,CAAC,EACtB,MAAM,EAAE,MAAM,EACd,EAAE,EAAE,CAAC,MAAM,EAAE,YAAY,KAAK,OAAO,CAAC,CAAC,CAAC,EACxC,OAAO,GAAE;QAAE,IAAI,CAAC,EAAE,UAAU,CAAC;QAAC,iBAAiB,CAAC,EAAE,OAAO,CAAA;KAAO,GAC/D,OAAO,CAAC,CAAC,CAAC;IAsIb,mDAAmD;IACnD,iBAAiB,IAAI,IAAI;IAiCzB;;;;;;;OAOG;IACH,QAAQ,CAAC,MAAM;0BAQJ,QAAQ,UACP,QAAQ,YACN,qBAAqB,KAC9B,OAAO,CAAC,mBAAmB,CAAC;QAkB/B;;;;;;;;;;;;WAYG;uBAEM,QAAQ,aACJ,QAAQ,YACT,qBAAqB,KAC9B,OAAO,CAAC,mBAAmB,CAAC;QAgB/B;;;;;;;;;;;;;;;;;;;;;;WAsBG;0BACqB,QAAQ,YAAY,qBAAqB,KAAG,OAAO,CAAC,mBAAmB,CAAC;MA+CjG;IAiBD;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;OA+DG;IACG,iBAAiB,CACrB,OAAO,GAAE;QACP,KAAK,CAAC,EAAE,MAAM,CAAA;QACd,SAAS,CAAC,EAAE,MAAM,CAAA;QAClB,MAAM,CAAC,EAAE,OAAO,CAAA;QAChB,IAAI,CAAC,EAAE,KAAK,CAAC,MAAM,GAAG,MAAM,CAAC,CAAA;QAC7B,cAAc,CAAC,EAAE,MAAM,CAAA;QACvB;;;;WAIG;QACH,UAAU,CAAC,EAAE,MAAM,CAAA;KACf,GACL,OAAO,CAAC,gBAAgB,CAAC;IA6mB5B;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;OA0DG;IACG,mBAAmB,CACvB,GAAG,EAAE,KAAK,CAAC,MAAM,GAAG,MAAM,CAAC,EAC3B,OAAO,GAAE;QAAE,KAAK,CAAC,EAAE,OAAO,CAAC;QAAC,KAAK,CAAC,EAAE,OAAO,CAAC;QAAC,cAAc,CAAC,EAAE,MAAM,CAAA;KAAO,GAC1E,OAAO,CAAC,kBAAkB,CAAC;IAyH9B;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;OAsCG;IACG,SAAS,CACb,OAAO,EAAE;QAAE,EAAE,EAAE,MAAM,CAAC;QAAC,IAAI,CAAC,EAAE,MAAM,CAAA;KAAE,GAAG,gBAAgB,GACxD,OAAO,CAAC,eAAe,CAAC;IA2jB3B;;;;;OAKG;IACG,QAAQ,CAAC,KAAK,EAAE,QAAQ,EAAE,KAAK,EAAE,QAAQ,GAAG,OAAO,CAAC,OAAO,CAAC;IA+L5D,SAAS,CAAC,OAAO,EAAE,UAAU,EAAE,UAAU,EAAE,MAAM,EAAE,KAAK,EAAE,QAAQ,GAAG,OAAO,CAAC,OAAO,CAAC;IAKrF,OAAO,CAAC,OAAO,EAAE,UAAU,EAAE,IAAI,EAAE,SAAS,EAAE,KAAK,EAAE,QAAQ,GAAG,OAAO,CAAC,OAAO,CAAC;IAKtF;;;;;;;;OAQG;IACG,aAAa,CAAC,OAAO,EAAE,UAAU,EAAE,UAAU,EAAE,MAAM,EAAE,MAAM,EAAE,QAAQ,EAAE,GAAG,OAAO,CAAC,OAAO,EAAE,CAAC;IA0BpG,2GAA2G;IACrG,YAAY,CAAC,IAAI,EAAE,SAAS,EAAE,KAAK,EAAE,QAAQ,GAAG,OAAO,CAAC,UAAU,EAAE,CAAC;IAKrE,UAAU,CAAC,OAAO,EAAE,UAAU,EAAE,UAAU,EAAE,MAAM,GAAG,OAAO,CAAC,QAAQ,EAAE,CAAC;IAKxE,SAAS,CAAC,OAAO,EAAE,UAAU,EAAE,KAAK,EAAE,QAAQ,GAAG,OAAO,CAAC,MAAM,EAAE,CAAC;IAKlE,cAAc,CAAC,OAAO,EAAE,UAAU,EAAE,SAAS,EAAE,SAAS,GAAG,OAAO,CAAC,QAAQ,EAAE,CAAC;IAKpF,mHAAmH;IAC7G,UAAU,CAAC,OAAO,EAAE,UAAU,EAAE,KAAK,CAAC,EAAE,QAAQ,GAAG,OAAO,CAAC,OAAO,EAAE,CAAC;IAM3E;;;;;;;OAOG;IACG,oBAAoB,CAAC,OAAO,EAAE,UAAU,EAAE,KAAK,EAAE,QAAQ,GAAG,OAAO,CAAC,MAAM,EAAE,CAAC;IAiKnF;;;;;;;;;;;;;;;OAeG;IACG,gBAAgB,CACpB,KAAK,EAAE,UAAU,EACjB,UAAU,EAAE,QAAQ,EACpB,IAAI,EAAE,cAAc,EACpB,OAAO,CAAC,EAAE,kBAAkB,GAC3B,OAAO,CAAC,WAAW,CAAC;IAoGvB;;;;;;;;OAQG;IACG,gBAAgB,CACpB,KAAK,EAAE,UAAU,EACjB,QAAQ,EAAE,MAAM,EAChB,OAAO,EAAE,iBAAiB,EAC1B,OAAO,CAAC,EAAE,kBAAkB,GAC3B,OAAO,CAAC,WAAW,CAAC;IA4FvB;;;;;;OAMG;IACG,gBAAgB,CAAC,KAAK,EAAE,UAAU,EAAE,QAAQ,EAAE,MAAM,EAAE,OAAO,CAAC,EAAE,kBAAkB,GAAG,OAAO,CAAC,IAAI,CAAC;IAsBxG;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;OA2FG;IACG,gBAAgB,CAAC,OAAO,GAAE;QAAE,KAAK,CAAC,EAAE,OAAO,CAAC;QAAC,cAAc,CAAC,EAAE,OAAO,CAAA;KAAO,GAAG,OAAO,CAAC;QAC3F,OAAO,EAAE,KAAK,CAAC;YAAE,IAAI,EAAE,WAAW,CAAC;YAAC,KAAK,EAAE,QAAQ,CAAC;YAAC,WAAW,EAAE,MAAM,EAAE,CAAC;YAAC,WAAW,EAAE,MAAM,GAAG,SAAS,CAAC;YAAC,aAAa,EAAE,OAAO,GAAG,SAAS,CAAA;SAAE,CAAC,CAAA;QAClJ,MAAM,EAAE,cAAc,EAAE,CAAA;QACxB,OAAO,EAAE,KAAK,CAAC;YAAE,IAAI,EAAE,cAAc,CAAC;YAAC,MAAM,EAAE,iBAAiB,CAAA;SAAE,CAAC,CAAA;QACnE,2FAA2F;QAC3F,SAAS,EAAE,OAAO,CAAA;QAClB,MAAM,EAAE,OAAO,CAAA;KAChB,CAAC;IAshBF;;;;;;OAMG;IACG,KAAK,CACT,OAAO,EAAE,UAAU,EACnB,IAAI,EAAE,SAAS,EACf,KAAK,EAAE,QAAQ,EACf,OAAO,CAAC,EAAE,YAAY,GACrB,OAAO,CAAC,YAAY,CAAC;IA6CxB;;;;;OAKG;IACG,MAAM,CAAC,OAAO,EAAE,UAAU,EAAE,IAAI,EAAE,SAAS,EAAE,KAAK,EAAE,QAAQ,EAAE,OAAO,CAAC,EAAE,kBAAkB,GAAG,OAAO,CAAC,IAAI,CAAC;IAkB1G,IAAI,CAAC,OAAO,EAAE,UAAU,EAAE,UAAU,EAAE,MAAM,EAAE,KAAK,EAAE,QAAQ,EAAE,OAAO,CAAC,EAAE,WAAW,GAAG,OAAO,CAAC,IAAI,CAAC;IAUpG,UAAU,CAAC,OAAO,EAAE,UAAU,EAAE,UAAU,EAAE,MAAM,EAAE,KAAK,EAAE,QAAQ,EAAE,OAAO,CAAC,EAAE,kBAAkB,GAAG,OAAO,CAAC,IAAI,CAAC;IAUvH;;;;;;;;;;;;;;;;;;;;;;;;;;;OA2BG;IACG,gBAAgB,CACpB,OAAO,EAAE,UAAU,EACnB,UAAU,EAAE,MAAM,EAClB,SAAS,EAAE,SAAS,EACpB,OAAO,GAAE;QAAE,SAAS,CAAC,EAAE,MAAM,CAAA;KAAO,GACnC,OAAO,CAAC,gBAAgB,CAAC;IAoE5B;;;;;;;OAOG;IACG,sBAAsB,CAC1B,QAAQ,EAAE,eAAe,EAAE,EAC3B,OAAO,GAAE;QAAE,SAAS,CAAC,EAAE,MAAM,CAAA;KAAO,GACnC,OAAO,CAAC,QAAQ,EAAE,CAAC;CA8NvB"}