@jantstack/adonis-authz 2.0.0-alpha.1 → 2.4.0-alpha.10

package/build/commands/authz_reconcile.js

@@ -0,0 +1,417 @@
+var __decorate = (this && this.__decorate) || function (decorators, target, key, desc) {
+    var c = arguments.length, r = c < 3 ? target : desc === null ? desc = Object.getOwnPropertyDescriptor(target, key) : desc, d;
+    if (typeof Reflect === "object" && typeof Reflect.decorate === "function") r = Reflect.decorate(decorators, target, key, desc);
+    else for (var i = decorators.length - 1; i >= 0; i--) if (d = decorators[i]) r = (c < 3 ? d(r) : c > 3 ? d(target, key, r) : d(target, key)) || r;
+    return c > 3 && r && Object.defineProperty(target, key, r), r;
+};
+var __metadata = (this && this.__metadata) || function (k, v) {
+    if (typeof Reflect === "object" && typeof Reflect.metadata === "function") return Reflect.metadata(k, v);
+};
+import { BaseCommand, flags } from '@adonisjs/core/ace';
+/**
+ * Las líneas del reporte y si la pasada es «limpia», en una función PURA
+ * (mismo patrón que `orphanLines`): es lo único del comando que decide algo,
+ * y así tiene su caso sin montar un ace.
+ *
+ * Qué cuenta como deriva —y por tanto como exit ≠ 0—:
+ *  - en `--dry-run`, **cualquier cosa que la pasada haría** (escribir,
+ *    actualizar o borrar): es el verificador, y para eso está en CI;
+ *  - siempre, lo que una pasada NO puede arreglar sola: **ciclos** en el
+ *    árbol del consumidor, **entradas aparcadas** de la outbox, **cadenas
+ *    por encima del techo de profundidad** (`drift.tooDeep`, alpha.5 · R0: un
+ *    503 esperando en `facts`) y hechos que se quedan fuera (`skipped`) —
+ *    incluidos los del scope que ya no resuelve, que solo se van con
+ *    `--prune`.
+ *
+ * La ventana del relay (`pendingRelay`) se AVISA pero no tumba la pasada: es
+ * una ventana de segundos por diseño, no una divergencia. **Y lo AJENO de un
+ * store compartido tampoco** (2.4.0-alpha.9 · B): esas tuplas tienen otro
+ * dueño, se imprimen con su tipo y jamás son deriva — contarlas dejaba
+ * `clean = false` para siempre en cualquier despliegue con relaciones. Y **`expired`
+ * tampoco tumba** (3b-8 · B2): es la pérdida DECLARADA de la migración, no
+ * concede en ningún driver y nada barre las filas caducadas del origen, así
+ * que contarla como deriva dejaba el exit 1 clavado para siempre a la
+ * primera caducidad real.
+ */
+export function reconcileLines(report) {
+    const lines = [];
+    const fase = (nombre, key) => {
+        const c = report.phases[key];
+        if (c.written + c.updated + c.unchanged + c.extra + c.deleted === 0)
+            return;
+        lines.push({
+            level: 'log',
+            message: `${nombre}: escritas ${c.written}, actualizadas ${c.updated}, iguales ${c.unchanged}, ` +
+                `sobran ${c.extra}, borradas ${c.deleted}`,
+        });
+    };
+    // **De dónde salieron los hechos** (3b-5), lo primero: es la diferencia
+    // entre una MIGRACIÓN y una pasada de mantenimiento contra el driver
+    // activo, y con ella se leen todos los números de abajo.
+    if (report.factsFrom !== undefined) {
+        lines.push(report.factsFrom === report.to
+            ? {
+                level: 'log',
+                message: `hechos: los del propio '${report.to}' — es el driver ACTIVO, así que sus hechos son SUYOS y no ` +
+                    `los de authz_assignments/authz_denies. Esta pasada rehace lo derivado (marcador de raíz, ` +
+                    `proyección del catálogo, árbol y visibilidad de rol) y no escribe hechos; con --prune borra los de ` +
+                    `scopes que ya no resuelven, los caducados, los de roles o permisos que el catálogo o el modelo ya no ` +
+                    `tienen (y los que sobran). ` +
+                    `Si lo que quieres es MIGRAR desde las tablas, nómbralas: --from=<driver cuyos hechos son authz_*>.`,
+            }
+            : { level: 'log', message: `hechos: leídos de ${report.factsFrom}` });
+    }
+    // **La dirección RANCIA** (2.4.0-alpha.10): destino = el driver ACTIVO,
+    // origen = otro. Sin `--allow-stale-source` solo llega aquí un `--dry-run`
+    // (la pasada que escribe es 500 en el manager) y es DERIVA: una pasada así
+    // resucitaría lo revocado desde el cutover.
+    if (report.staleSource !== undefined) {
+        const { to, from, allowed } = report.staleSource;
+        lines.push({
+            level: 'warning',
+            message: `dirección RANCIA: '${to}' es el driver ACTIVO y los hechos salen de '${from}', que dejó de verlos en el ` +
+                'cutover — esta pasada re-escribe en el driver activo lo que el origen ya no refleja (resucita las ' +
+                'revocaciones hechas desde entonces). ' +
+                (allowed
+                    ? 'Levantada a sabiendas con --allow-stale-source.'
+                    : `Sin --allow-stale-source la pasada de verdad se niega (E_AUTHZ_STALE_SOURCE_REFUSED); para verificar ` +
+                        `el driver activo, la pasada de mantenimiento es sin --from: authz:reconcile --to=${to} --dry-run.`),
+        });
+    }
+    fase('marcador de raíz', 'root');
+    fase('proyección del catálogo', 'catalog');
+    fase('árbol', 'tree');
+    fase('hechos', 'facts');
+    for (const skip of report.details) {
+        lines.push({ level: 'warning', message: `sin migrar (${skip.reason}) ${skip.kind}: ${skip.detail}` });
+    }
+    const motivos = Object.entries(report.skipped).sort(([a], [b]) => (a < b ? -1 : 1));
+    for (const [reason, count] of motivos) {
+        lines.push({ level: 'warning', message: `${count} sin migrar por '${reason}'` });
+    }
+    if (report.skipped['unknown-scope'] && !report.prune) {
+        lines.push({
+            level: 'warning',
+            message: 'Los hechos de un scope que YA NO RESUELVE siguen en el destino y volverían a conceder si el scope se ' +
+                'restaura con el mismo uuid: repite con --prune para borrarlos.',
+        });
+    }
+    if (report.drift.rootMarker) {
+        lines.push({
+            level: 'error',
+            message: 'Faltaba el MARCADOR DE RAÍZ (scope:app#rooted): sin él el store entero deniega, en silencio. ' +
+                'Lo repone esta pasada y cada authz:catalog:sync.',
+        });
+    }
+    for (const object of report.drift.multiParent) {
+        lines.push({
+            level: 'error',
+            message: `${object} tenía MÁS DE UN PADRE en el destino: había otro escritor del árbol. Esta pasada lo deja con el del consumidor.`,
+        });
+    }
+    if (report.drift.roleVisibility > 0) {
+        lines.push({
+            level: 'error',
+            message: `${report.drift.roleVisibility} arista(s) de visibilidad de rol (invariante 18) estaban mal en el destino: ` +
+                'una escritura que el relay pudo perder. Con la de MÁS, el destino concedía lo que el catálogo y el árbol de hoy no.',
+        });
+    }
+    for (const cycle of report.cycles) {
+        lines.push({
+            level: 'error',
+            message: `CICLO en el árbol del consumidor: ${cycle.join(' → ')} → ${cycle[0]}. Ninguna de sus aristas se escribe ` +
+                '(el backend evalúa el ciclo y la herencia pasa a ser bidireccional), así que ese subárbol DENIEGA hasta que lo arregles.',
+        });
+    }
+    // **El store COMPARTIDO** (2.4.0-alpha.9 · B). Con `openfga` las tuplas de
+    // `relations/` viven en el mismo store y esta pasada las VE: se dice en voz
+    // alta —con los tipos, que es lo único que permite reconocer uno que ya no
+    // se declara—, no se cuentan como deriva y no se tocan ni con `--prune`.
+    // Antes caían en `extra` y `--prune` las borraba (60 de 60 medidas),
+    // reportando `clean = true`: el verde MUDO de una pasada destructiva.
+    const foreign = report.foreign;
+    if (foreign !== undefined && foreign.tuples > 0) {
+        const porTipo = Object.entries(foreign.types)
+            .sort(([a], [b]) => (a < b ? -1 : 1))
+            .map(([type, count]) => `${type} (${count})`)
+            .join(', ');
+        lines.push({
+            level: 'log',
+            message: `ajenas: ${foreign.tuples} tupla(s) de tipos que esta pasada NO gobierna [${porTipo}] — el store está ` +
+                'COMPARTIDO con otro subsistema (las relaciones de relations/, o un modelo anterior de otro dueño): ' +
+                'ni se borran, ni cuentan como deriva.',
+        });
+        if (report.prune) {
+            lines.push({
+                level: 'log',
+                message: `--prune ha respetado ${foreign.tuples} tupla(s) ajenas: solo borra lo de esta pasada.`,
+            });
+        }
+        if (foreign.relations !== undefined && (foreign.unknown ?? 0) > 0) {
+            lines.push({
+                level: 'warning',
+                message: `${foreign.unknown} de esas tuplas no las reclama nadie: no son de esta pasada y su tipo tampoco está ` +
+                    'declarado en relations.config (un modelo anterior de otro subsistema, o un tipo que se retiró). ' +
+                    'Este paquete ya no las barre: míralas a mano.',
+            });
+        }
+    }
+    if (report.drift.pendingRelay > 0) {
+        lines.push({
+            level: 'warning',
+            message: `${report.drift.pendingRelay} cambio(s) del árbol encolados y sin relevar: el destino decide con el árbol VIEJO ` +
+                'en esa ventana. Drena la cola (authz:scopes:relay) y repite si quieres una foto sin ventana.',
+        });
+    }
+    if (report.drift.deadRelay > 0) {
+        lines.push({
+            level: 'error',
+            message: `${report.drift.deadRelay} cambio(s) del árbol APARCADOS en la outbox: eso no es una ventana, es divergencia permanente.`,
+        });
+    }
+    for (const scope of report.drift.tooDeep ?? []) {
+        lines.push({
+            level: 'error',
+            message: `${scope} está a MÁS de ${report.drift.tooDeepLimit ?? '?'} saltos de app: el modelo facts no resuelve esa cadena de ` +
+                'forma fiable (authorize responde 503, nunca false, para todo ese subárbol). Es legal en database y una caída en ' +
+                'openfga. Aplana el árbol, o declara scopes.maxDepth (y sube OPENFGA_RESOLVE_NODE_LIMIT en el servidor).',
+        });
+    }
+    // alpha.10 · 3: la ventana del OPERADOR adoptada dice si caduca y cuándo
+    // (antes el reporte la daba por eterna aunque se abriese con --lease-ms).
+    // alpha.10 · S2: y SIEMPRE en qué ventana corrió — la del operador y una
+    // propia eran letra a letra iguales, y «tomé mi ventana porque no había
+    // ninguna» es lo que delata un cutover cuya ventana ya no estaba.
+    if (report.frozen !== undefined && !report.frozen.lapsed && report.frozen.window === 'own') {
+        lines.push({
+            level: 'warning',
+            message: `La pasada tomó SU PROPIA ventana (fence ${report.frozen.fence}, lease ${report.frozen.leaseMs} ms) y la soltó al ` +
+                'terminar: NO había ventana de operador viva. Si esta pasada era parte de un cutover, la flota vuelve a escribir ' +
+                'ya — abre la ventana con authz:freeze antes de cambiar de driver.',
+        });
+    }
+    if (report.frozen !== undefined && !report.frozen.lapsed && report.frozen.window === 'enclosing') {
+        lines.push({
+            level: 'log',
+            message: `La pasada corrió dentro de la ventana que ya sostenía este proceso (fence ${report.frozen.fence}).`,
+        });
+    }
+    if (report.frozen !== undefined && report.frozen.untilMs !== undefined && !report.frozen.lapsed) {
+        lines.push(report.frozen.untilMs === null
+            ? {
+                level: 'log',
+                message: `La pasada corrió dentro de la ventana del operador (fence ${report.frozen.fence}), sin caducidad.`,
+            }
+            : {
+                level: 'warning',
+                message: `La pasada corrió dentro de la ventana del operador (fence ${report.frozen.fence}), que CADUCA el ` +
+                    `${new Date(report.frozen.untilMs).toISOString()} (le quedaban ${report.frozen.leaseMs} ms al empezar): ` +
+                    'si el cutover no termina antes, las escrituras vuelven solas — ciérrala con authz:unfreeze.',
+            });
+    }
+    if (report.frozen?.lapsed) {
+        lines.push({
+            level: 'error',
+            message: 'El LEASE del freeze se perdió a MITAD de la pasada (una pausa más larga que el lease, la base caída, o ' +
+                'alguien levantó la ventana): hubo un intervalo en el que otros procesos pudieron escribir, y lo que ' +
+                'escribieran no está en ningún contador. La pasada NO se certifica: repítela dentro de una ventana entera.',
+        });
+    }
+    if (report.massDelete) {
+        lines.push({
+            level: 'error',
+            message: report.to === 'database'
+                ? 'Esta pasada borraría hechos y el ORIGEN no ha devuelto NI UNO: comprueba el --from y el store antes de ' +
+                    'usar --allow-mass-delete.'
+                : `Esta pasada borraría hechos y el ORIGEN (${report.factsFrom ?? 'authz_assignments/authz_denies'}) no ha ` +
+                    'devuelto NI UNO: comprueba la conexión y qué driver está escribiendo los hechos antes de usar ' +
+                    '--allow-mass-delete.',
+        });
+    }
+    const cambios = report.written + report.updated + report.deleted;
+    // **`expired` no es deriva** (3b-8 · B2). Es la ÚNICA pérdida DECLARADA de
+    // la migración (README, contrato de migración): una asignación caducada no
+    // concede en ningún driver (invariante 3), no hay scheduler que barra sus
+    // filas del ORIGEN (a propósito) y ninguna escritura en el DESTINO puede
+    // «arreglarla». Contarla como deriva hacía el verde del verificador
+    // INALCANZABLE con datos reales: a la primera caducidad, exit 1 para
+    // siempre — el CI que el CHANGELOG promete verde no existía. Sigue saliendo
+    // contada («N sin migrar por 'expired'»); lo que no hace es tumbar la
+    // pasada. Las caducadas que SOBRAN en el destino sí son deriva
+    // (`extra-fact`), y su barrido existe: `--prune`.
+    const drifting = Object.keys(report.skipped).filter((reason) => reason !== 'expired');
+    const clean = report.cycles.length === 0 &&
+        report.drift.deadRelay === 0 &&
+        report.drift.multiParent.length === 0 &&
+        // Una cadena por encima del techo es un 503 esperando (alpha.5 · R0): deriva.
+        (report.drift.tooDeep?.length ?? 0) === 0 &&
+        drifting.length === 0 &&
+        // La garantía del freeze se DEMUESTRA (3b-7, juez C4): un lease perdido a
+        // mitad es una ventana en la que otros pudieron escribir ⇒ exit ≠ 0.
+        report.frozen?.lapsed !== true &&
+        // La dirección rancia en el verificador es deriva (2.4.0-alpha.10): la
+        // pasada que certificaría haría daño.
+        !(report.dryRun && report.staleSource !== undefined && !report.staleSource.allowed) &&
+        (!report.dryRun || cambios === 0);
+    return { lines, clean };
+}
+/**
+ * **Migra —y verifica— entre drivers** (3b-3a). Es la única primitiva de
+ * migración del paquete: `openfga:import` se borró en 3b-2k · K2 porque
+ * llenaba el store con las tuplas de un modelo que ya no existe.
+ *
+ *   node ace authz:reconcile --to=openfga --dry-run   # el VERIFICADOR (CI)
+ *   node ace authz:reconcile --to=openfga             # migra, o MANTIENE (ver abajo)
+ *   node ace authz:reconcile --to=openfga --prune     # y borra lo que el origen ya no respalda
+ *
+ * `--to` nombra una clave de `drivers` en `config/authorization.ts`, no el
+ * driver activo: migrar es llenar el destino mientras el motor sigue
+ * corriendo con el otro.
+ *
+ * **De dónde salen los HECHOS** (3b-5): de quien sea su fuente de verdad, y
+ * la pasada lo dice en su primera línea (`report.factsFrom`).
+ *  - Si `--to` es el driver ACTIVO y sus hechos viven en su backend
+ *    (`capabilities.hierarchyFacts`, el `openfga` de esta versión), los
+ *    hechos son los SUYOS: la pasada es de MANTENIMIENTO —rehace lo derivado
+ *    y aplica el barrido de visibilidad del invariante 18— y no escribe
+ *    hechos; con `--prune` borra los de scopes que ya no resuelven, los
+ *    caducados y los de roles/permisos retirados (y los que sobran) —
+ *    alpha.10: hasta alpha.9 esta línea decía que no borraba ningún hecho y con
+ *    `--prune` los borraba. `authz_assignments`/`authz_denies` no son su
+ *    fuente: después de un cutover a `facts` están congeladas, y
+ *    reconstruir desde ellas resucitaba lo revocado y —con `--prune`—
+ *    borraba los denies vivos.
+ *  - Con `--from=<driver>` mandas tú: si ese driver es el `database` del
+ *    paquete, los hechos son sus tablas y `--to=openfga` es la MIGRACIÓN de
+ *    un solo sentido de siempre.
+ *
+ * Qué migra hacia `openfga`: el marcador de raíz, la proyección del catálogo,
+ * el árbol (desde `scopes.enumerateEdges`) y los hechos de `authz_*`.
+ *
+ * Qué migra hacia `database` (3b-3b, la VUELTA): **solo los hechos**, leídos
+ * del origen por el puerto `enumerateFacts` (páginas con cursor). El ÁRBOL no
+ * se migra —el driver `database` lo lee de tus tablas en cada pregunta, que
+ * son su fuente de verdad— y el CATÁLOGO tampoco, que es propiedad local
+ * siempre. Por eso en esa dirección las fases `marcador de raíz`,
+ * `proyección del catálogo` y `árbol` son cero: no hay nada derivado que
+ * rehacer, y el cero lo dice.
+ *
+ * El origen se elige solo si es inequívoco: con dos drivers registrados es el
+ * que no es el destino; con más de un candidato hay que decirlo con
+ * `--from=<driver>`, porque de dónde salen los hechos decide lo que va a
+ * quedar escrito.
+ *
+ * Las dos direcciones son IDEMPOTENTES (la segunda pasada escribe cero),
+ * reanudables (leen por lotes con cursor y convergen si se repiten) y **nunca
+ * silenciosas**: cada cosa que no se migra sale contada y con su motivo.
+ *
+ * `--dry-run` es el verificador y es **read-only por contrato** (panel 2,
+ * cruce 4 · S18): mismo recorrido, cero escrituras y los mismos números. **No
+ * hay ni habrá un `--fix`**: sería un mecanismo de concesión.
+ *
+ * Durante la pasada que ESCRIBE, las escrituras del motor están congeladas
+ * (503 reintentable) y las lecturas siguen. **Con `--dry-run` NO se congela**
+ * (3b-6): el verificador no escribe nada, así que no tiene nada que proteger,
+ * y está publicado para correrlo en CI y en un cron — justo el sitio desde el
+ * que un mecanismo de indisponibilidad se dispara solo. Es una operación de
+ * PLATAFORMA: no lleva actor, no mide rangos y no se expone por HTTP.
+ */
+export default class AuthzReconcile extends BaseCommand {
+    static commandName = 'authz:reconcile';
+    static description = 'Rebuild (or verify, with --dry-run) a driver from the authz_* tables and the consumer scope tree';
+    static options = {
+        startApp: true,
+    };
+    async run() {
+        if (!this.to) {
+            this.logger.error("Falta --to: 'node ace authz:reconcile --to=openfga'. Es la clave del driver DESTINO en " +
+                'config/authorization.ts, no el driver activo.');
+            this.exitCode = 1;
+            return;
+        }
+        const { default: authorization } = await import('../services/main.js');
+        let report;
+        try {
+            report = await authorization.reconcile({
+                to: this.to,
+                ...(this.from !== undefined ? { from: this.from } : {}),
+                dryRun: this.dryRun === true,
+                prune: this.prune === true,
+                allowMassDelete: this.allowMassDelete === true,
+                allowStaleSource: this.allowStaleSource === true,
+                batchSize: this.batchSize,
+                maxTuples: this.maxTuples,
+            });
+        }
+        catch (error) {
+            // La dirección rancia (2.4.0-alpha.10) es una negativa con letra, no un
+            // stack: el mensaje ya nombra la dirección, el riesgo y la salida.
+            if (error?.code === 'E_AUTHZ_STALE_SOURCE_REFUSED' || error?.code === 'E_AUTHZ_OPERATOR_WINDOW_EXPIRED') {
+                this.logger.error(String(error.message));
+                this.exitCode = 1;
+                return;
+            }
+            throw error;
+        }
+        const { lines, clean } = reconcileLines(report);
+        for (const { level, message } of lines)
+            this.logger[level](message);
+        const resumen = `escritas ${report.written}, actualizadas ${report.updated}, iguales ${report.unchanged}, ` +
+            `sobran ${report.extra}, borradas ${report.deleted}`;
+        if (report.dryRun) {
+            if (clean) {
+                this.logger.success(`Sin deriva: '${this.to}' coincide con ${report.factsFrom ?? 'authz_*'} y con tu árbol (${resumen}).`);
+                return;
+            }
+            this.logger.error(`DERIVA con '${this.to}': ${resumen}. No se ha escrito nada (--dry-run).`);
+            this.exitCode = 1;
+            return;
+        }
+        this.logger.success(`'${this.to}' reconciliado: ${resumen}.`);
+        if (!clean) {
+            this.logger.warning('Queda algo que esta pasada no arregla sola (mira las líneas de arriba): repítela cuando lo hayas resuelto.');
+            this.exitCode = 1;
+        }
+    }
+}
+__decorate([
+    flags.string({ description: 'Destination driver: a key of `drivers` in config/authorization.ts' }),
+    __metadata("design:type", Object)
+], AuthzReconcile.prototype, "to", void 0);
+__decorate([
+    flags.string({
+        description: 'Source driver (a key of `drivers`). Only needed when more than one registered driver can be the source',
+    }),
+    __metadata("design:type", Object)
+], AuthzReconcile.prototype, "from", void 0);
+__decorate([
+    flags.boolean({ description: 'Report what it would do and write nothing (this is the verifier)' }),
+    __metadata("design:type", Object)
+], AuthzReconcile.prototype, "dryRun", void 0);
+__decorate([
+    flags.boolean({ description: 'Also delete the facts the source no longer backs (dead scopes, leftovers)' }),
+    __metadata("design:type", Object)
+], AuthzReconcile.prototype, "prune", void 0);
+__decorate([
+    flags.boolean({
+        description: 'Allow --prune to delete facts while authz_assignments/authz_denies are empty — check your connection first',
+    }),
+    __metadata("design:type", Object)
+], AuthzReconcile.prototype, "allowMassDelete", void 0);
+__decorate([
+    flags.boolean({
+        description: 'Allow --to=<ACTIVE driver> --from=<another>: rewrites into the serving driver facts the source no longer reflects (resurrects revocations made since the cutover)',
+    }),
+    __metadata("design:type", Object)
+], AuthzReconcile.prototype, "allowStaleSource", void 0);
+__decorate([
+    flags.number({ description: 'Rows per source batch and operations per destination write (default 100)' }),
+    __metadata("design:type", Object)
+], AuthzReconcile.prototype, "batchSize", void 0);
+__decorate([
+    flags.number({
+        description: 'Declared cap on the destination dump this pass holds in memory (default 1000000); above it, 500 E_AUTHZ_RECONCILE_TOO_LARGE before writing anything',
+    }),
+    __metadata("design:type", Object)
+], AuthzReconcile.prototype, "maxTuples", void 0);
+//# sourceMappingURL=authz_reconcile.js.map

package/build/commands/authz_reconcile.js.map

@@ -0,0 +1 @@
+{"version":3,"file":"authz_reconcile.js","sourceRoot":"","sources":["../../commands/authz_reconcile.ts"],"names":[],"mappings":";;;;;;;;;AAAA,OAAO,EAAE,WAAW,EAAE,KAAK,EAAE,MAAM,oBAAoB,CAAA;AAIvD;;;;;;;;;;;;;;;;;;;;;;;;GAwBG;AACH,MAAM,UAAU,cAAc,CAAC,MAAuB;IAIpD,MAAM,KAAK,GAA+E,EAAE,CAAA;IAC5F,MAAM,IAAI,GAAG,CAAC,MAAc,EAAE,GAAoC,EAAE,EAAE;QACpE,MAAM,CAAC,GAAG,MAAM,CAAC,MAAM,CAAC,GAAG,CAAC,CAAA;QAC5B,IAAI,CAAC,CAAC,OAAO,GAAG,CAAC,CAAC,OAAO,GAAG,CAAC,CAAC,SAAS,GAAG,CAAC,CAAC,KAAK,GAAG,CAAC,CAAC,OAAO,KAAK,CAAC;YAAE,OAAM;QAC3E,KAAK,CAAC,IAAI,CAAC;YACT,KAAK,EAAE,KAAK;YACZ,OAAO,EACL,GAAG,MAAM,cAAc,CAAC,CAAC,OAAO,kBAAkB,CAAC,CAAC,OAAO,aAAa,CAAC,CAAC,SAAS,IAAI;gBACvF,UAAU,CAAC,CAAC,KAAK,cAAc,CAAC,CAAC,OAAO,EAAE;SAC7C,CAAC,CAAA;IACJ,CAAC,CAAA;IACD,wEAAwE;IACxE,qEAAqE;IACrE,yDAAyD;IACzD,IAAI,MAAM,CAAC,SAAS,KAAK,SAAS,EAAE,CAAC;QACnC,KAAK,CAAC,IAAI,CACR,MAAM,CAAC,SAAS,KAAK,MAAM,CAAC,EAAE;YAC5B,CAAC,CAAC;gBACE,KAAK,EAAE,KAAK;gBACZ,OAAO,EACL,2BAA2B,MAAM,CAAC,EAAE,6DAA6D;oBACjG,2FAA2F;oBAC3F,qGAAqG;oBACrG,uGAAuG;oBACvG,6BAA6B;oBAC7B,oGAAoG;aACvG;YACH,CAAC,CAAC,EAAE,KAAK,EAAE,KAAK,EAAE,OAAO,EAAE,qBAAqB,MAAM,CAAC,SAAS,EAAE,EAAE,CACvE,CAAA;IACH,CAAC;IACD,wEAAwE;IACxE,2EAA2E;IAC3E,2EAA2E;IAC3E,4CAA4C;IAC5C,IAAI,MAAM,CAAC,WAAW,KAAK,SAAS,EAAE,CAAC;QACrC,MAAM,EAAE,EAAE,EAAE,IAAI,EAAE,OAAO,EAAE,GAAG,MAAM,CAAC,WAAW,CAAA;QAChD,KAAK,CAAC,IAAI,CAAC;YACT,KAAK,EAAE,SAAS;YAChB,OAAO,EACL,sBAAsB,EAAE,gDAAgD,IAAI,8BAA8B;gBAC1G,oGAAoG;gBACpG,uCAAuC;gBACvC,CAAC,OAAO;oBACN,CAAC,CAAC,iDAAiD;oBACnD,CAAC,CAAC,uGAAuG;wBACvG,oFAAoF,EAAE,aAAa,CAAC;SAC3G,CAAC,CAAA;IACJ,CAAC;IACD,IAAI,CAAC,kBAAkB,EAAE,MAAM,CAAC,CAAA;IAChC,IAAI,CAAC,yBAAyB,EAAE,SAAS,CAAC,CAAA;IAC1C,IAAI,CAAC,OAAO,EAAE,MAAM,CAAC,CAAA;IACrB,IAAI,CAAC,QAAQ,EAAE,OAAO,CAAC,CAAA;IAEvB,KAAK,MAAM,IAAI,IAAI,MAAM,CAAC,OAAO,EAAE,CAAC;QAClC,KAAK,CAAC,IAAI,CAAC,EAAE,KAAK,EAAE,SAAS,EAAE,OAAO,EAAE,eAAe,IAAI,CAAC,MAAM,KAAK,IAAI,CAAC,IAAI,KAAK,IAAI,CAAC,MAAM,EAAE,EAAE,CAAC,CAAA;IACvG,CAAC;IACD,MAAM,OAAO,GAAG,MAAM,CAAC,OAAO,CAAC,MAAM,CAAC,OAAO,CAAC,CAAC,IAAI,CAAC,CAAC,CAAC,CAAC,CAAC,EAAE,CAAC,CAAC,CAAC,EAAE,EAAE,CAAC,CAAC,CAAC,GAAG,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,CAAA;IACnF,KAAK,MAAM,CAAC,MAAM,EAAE,KAAK,CAAC,IAAI,OAAO,EAAE,CAAC;QACtC,KAAK,CAAC,IAAI,CAAC,EAAE,KAAK,EAAE,SAAS,EAAE,OAAO,EAAE,GAAG,KAAK,oBAAoB,MAAM,GAAG,EAAE,CAAC,CAAA;IAClF,CAAC;IACD,IAAI,MAAM,CAAC,OAAO,CAAC,eAAe,CAAC,IAAI,CAAC,MAAM,CAAC,KAAK,EAAE,CAAC;QACrD,KAAK,CAAC,IAAI,CAAC;YACT,KAAK,EAAE,SAAS;YAChB,OAAO,EACL,uGAAuG;gBACvG,gEAAgE;SACnE,CAAC,CAAA;IACJ,CAAC;IACD,IAAI,MAAM,CAAC,KAAK,CAAC,UAAU,EAAE,CAAC;QAC5B,KAAK,CAAC,IAAI,CAAC;YACT,KAAK,EAAE,OAAO;YACd,OAAO,EACL,+FAA+F;gBAC/F,kDAAkD;SACrD,CAAC,CAAA;IACJ,CAAC;IACD,KAAK,MAAM,MAAM,IAAI,MAAM,CAAC,KAAK,CAAC,WAAW,EAAE,CAAC;QAC9C,KAAK,CAAC,IAAI,CAAC;YACT,KAAK,EAAE,OAAO;YACd,OAAO,EAAE,GAAG,MAAM,iHAAiH;SACpI,CAAC,CAAA;IACJ,CAAC;IACD,IAAI,MAAM,CAAC,KAAK,CAAC,cAAc,GAAG,CAAC,EAAE,CAAC;QACpC,KAAK,CAAC,IAAI,CAAC;YACT,KAAK,EAAE,OAAO;YACd,OAAO,EACL,GAAG,MAAM,CAAC,KAAK,CAAC,cAAc,8EAA8E;gBAC5G,qHAAqH;SACxH,CAAC,CAAA;IACJ,CAAC;IACD,KAAK,MAAM,KAAK,IAAI,MAAM,CAAC,MAAM,EAAE,CAAC;QAClC,KAAK,CAAC,IAAI,CAAC;YACT,KAAK,EAAE,OAAO;YACd,OAAO,EACL,qCAAqC,KAAK,CAAC,IAAI,CAAC,KAAK,CAAC,MAAM,KAAK,CAAC,CAAC,CAAC,sCAAsC;gBAC1G,0HAA0H;SAC7H,CAAC,CAAA;IACJ,CAAC;IACD,2EAA2E;IAC3E,4EAA4E;IAC5E,2EAA2E;IAC3E,yEAAyE;IACzE,qEAAqE;IACrE,sEAAsE;IACtE,MAAM,OAAO,GAAG,MAAM,CAAC,OAAO,CAAA;IAC9B,IAAI,OAAO,KAAK,SAAS,IAAI,OAAO,CAAC,MAAM,GAAG,CAAC,EAAE,CAAC;QAChD,MAAM,OAAO,GAAG,MAAM,CAAC,OAAO,CAAC,OAAO,CAAC,KAAK,CAAC;aAC1C,IAAI,CAAC,CAAC,CAAC,CAAC,CAAC,EAAE,CAAC,CAAC,CAAC,EAAE,EAAE,CAAC,CAAC,CAAC,GAAG,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC;aACpC,GAAG,CAAC,CAAC,CAAC,IAAI,EAAE,KAAK,CAAC,EAAE,EAAE,CAAC,GAAG,IAAI,KAAK,KAAK,GAAG,CAAC;aAC5C,IAAI,CAAC,IAAI,CAAC,CAAA;QACb,KAAK,CAAC,IAAI,CAAC;YACT,KAAK,EAAE,KAAK;YACZ,OAAO,EACL,WAAW,OAAO,CAAC,MAAM,mDAAmD,OAAO,oBAAoB;gBACvG,qGAAqG;gBACrG,uCAAuC;SAC1C,CAAC,CAAA;QACF,IAAI,MAAM,CAAC,KAAK,EAAE,CAAC;YACjB,KAAK,CAAC,IAAI,CAAC;gBACT,KAAK,EAAE,KAAK;gBACZ,OAAO,EAAE,wBAAwB,OAAO,CAAC,MAAM,iDAAiD;aACjG,CAAC,CAAA;QACJ,CAAC;QACD,IAAI,OAAO,CAAC,SAAS,KAAK,SAAS,IAAI,CAAC,OAAO,CAAC,OAAO,IAAI,CAAC,CAAC,GAAG,CAAC,EAAE,CAAC;YAClE,KAAK,CAAC,IAAI,CAAC;gBACT,KAAK,EAAE,SAAS;gBAChB,OAAO,EACL,GAAG,OAAO,CAAC,OAAO,qFAAqF;oBACvG,kGAAkG;oBAClG,+CAA+C;aAClD,CAAC,CAAA;QACJ,CAAC;IACH,CAAC;IACD,IAAI,MAAM,CAAC,KAAK,CAAC,YAAY,GAAG,CAAC,EAAE,CAAC;QAClC,KAAK,CAAC,IAAI,CAAC;YACT,KAAK,EAAE,SAAS;YAChB,OAAO,EACL,GAAG,MAAM,CAAC,KAAK,CAAC,YAAY,qFAAqF;gBACjH,8FAA8F;SACjG,CAAC,CAAA;IACJ,CAAC;IACD,IAAI,MAAM,CAAC,KAAK,CAAC,SAAS,GAAG,CAAC,EAAE,CAAC;QAC/B,KAAK,CAAC,IAAI,CAAC;YACT,KAAK,EAAE,OAAO;YACd,OAAO,EAAE,GAAG,MAAM,CAAC,KAAK,CAAC,SAAS,gGAAgG;SACnI,CAAC,CAAA;IACJ,CAAC;IACD,KAAK,MAAM,KAAK,IAAI,MAAM,CAAC,KAAK,CAAC,OAAO,IAAI,EAAE,EAAE,CAAC;QAC/C,KAAK,CAAC,IAAI,CAAC;YACT,KAAK,EAAE,OAAO;YACd,OAAO,EACL,GAAG,KAAK,kBAAkB,MAAM,CAAC,KAAK,CAAC,YAAY,IAAI,GAAG,4DAA4D;gBACtH,kHAAkH;gBAClH,yGAAyG;SAC5G,CAAC,CAAA;IACJ,CAAC;IACD,yEAAyE;IACzE,0EAA0E;IAC1E,yEAAyE;IACzE,wEAAwE;IACxE,kEAAkE;IAClE,IAAI,MAAM,CAAC,MAAM,KAAK,SAAS,IAAI,CAAC,MAAM,CAAC,MAAM,CAAC,MAAM,IAAI,MAAM,CAAC,MAAM,CAAC,MAAM,KAAK,KAAK,EAAE,CAAC;QAC3F,KAAK,CAAC,IAAI,CAAC;YACT,KAAK,EAAE,SAAS;YAChB,OAAO,EACL,2CAA2C,MAAM,CAAC,MAAM,CAAC,KAAK,WAAW,MAAM,CAAC,MAAM,CAAC,OAAO,qBAAqB;gBACnH,kHAAkH;gBAClH,mEAAmE;SACtE,CAAC,CAAA;IACJ,CAAC;IACD,IAAI,MAAM,CAAC,MAAM,KAAK,SAAS,IAAI,CAAC,MAAM,CAAC,MAAM,CAAC,MAAM,IAAI,MAAM,CAAC,MAAM,CAAC,MAAM,KAAK,WAAW,EAAE,CAAC;QACjG,KAAK,CAAC,IAAI,CAAC;YACT,KAAK,EAAE,KAAK;YACZ,OAAO,EAAE,6EAA6E,MAAM,CAAC,MAAM,CAAC,KAAK,IAAI;SAC9G,CAAC,CAAA;IACJ,CAAC;IACD,IAAI,MAAM,CAAC,MAAM,KAAK,SAAS,IAAI,MAAM,CAAC,MAAM,CAAC,OAAO,KAAK,SAAS,IAAI,CAAC,MAAM,CAAC,MAAM,CAAC,MAAM,EAAE,CAAC;QAChG,KAAK,CAAC,IAAI,CACR,MAAM,CAAC,MAAM,CAAC,OAAO,KAAK,IAAI;YAC5B,CAAC,CAAC;gBACE,KAAK,EAAE,KAAK;gBACZ,OAAO,EAAE,6DAA6D,MAAM,CAAC,MAAM,CAAC,KAAK,mBAAmB;aAC7G;YACH,CAAC,CAAC;gBACE,KAAK,EAAE,SAAS;gBAChB,OAAO,EACL,6DAA6D,MAAM,CAAC,MAAM,CAAC,KAAK,mBAAmB;oBACnG,GAAG,IAAI,IAAI,CAAC,MAAM,CAAC,MAAM,CAAC,OAAO,CAAC,CAAC,WAAW,EAAE,iBAAiB,MAAM,CAAC,MAAM,CAAC,OAAO,mBAAmB;oBACzG,6FAA6F;aAChG,CACN,CAAA;IACH,CAAC;IACD,IAAI,MAAM,CAAC,MAAM,EAAE,MAAM,EAAE,CAAC;QAC1B,KAAK,CAAC,IAAI,CAAC;YACT,KAAK,EAAE,OAAO;YACd,OAAO,EACL,yGAAyG;gBACzG,sGAAsG;gBACtG,2GAA2G;SAC9G,CAAC,CAAA;IACJ,CAAC;IACD,IAAI,MAAM,CAAC,UAAU,EAAE,CAAC;QACtB,KAAK,CAAC,IAAI,CAAC;YACT,KAAK,EAAE,OAAO;YACd,OAAO,EACL,MAAM,CAAC,EAAE,KAAK,UAAU;gBACtB,CAAC,CAAC,yGAAyG;oBACzG,2BAA2B;gBAC7B,CAAC,CAAC,4CAA4C,MAAM,CAAC,SAAS,IAAI,gCAAgC,UAAU;oBAC1G,gGAAgG;oBAChG,sBAAsB;SAC7B,CAAC,CAAA;IACJ,CAAC;IAED,MAAM,OAAO,GAAG,MAAM,CAAC,OAAO,GAAG,MAAM,CAAC,OAAO,GAAG,MAAM,CAAC,OAAO,CAAA;IAChE,2EAA2E;IAC3E,2EAA2E;IAC3E,0EAA0E;IAC1E,yEAAyE;IACzE,oEAAoE;IACpE,qEAAqE;IACrE,4EAA4E;IAC5E,sEAAsE;IACtE,+DAA+D;IAC/D,kDAAkD;IAClD,MAAM,QAAQ,GAAG,MAAM,CAAC,IAAI,CAAC,MAAM,CAAC,OAAO,CAAC,CAAC,MAAM,CAAC,CAAC,MAAM,EAAE,EAAE,CAAC,MAAM,KAAK,SAAS,CAAC,CAAA;IACrF,MAAM,KAAK,GACT,MAAM,CAAC,MAAM,CAAC,MAAM,KAAK,CAAC;QAC1B,MAAM,CAAC,KAAK,CAAC,SAAS,KAAK,CAAC;QAC5B,MAAM,CAAC,KAAK,CAAC,WAAW,CAAC,MAAM,KAAK,CAAC;QACrC,8EAA8E;QAC9E,CAAC,MAAM,CAAC,KAAK,CAAC,OAAO,EAAE,MAAM,IAAI,CAAC,CAAC,KAAK,CAAC;QACzC,QAAQ,CAAC,MAAM,KAAK,CAAC;QACrB,0EAA0E;QAC1E,qEAAqE;QACrE,MAAM,CAAC,MAAM,EAAE,MAAM,KAAK,IAAI;QAC9B,uEAAuE;QACvE,sCAAsC;QACtC,CAAC,CAAC,MAAM,CAAC,MAAM,IAAI,MAAM,CAAC,WAAW,KAAK,SAAS,IAAI,CAAC,MAAM,CAAC,WAAW,CAAC,OAAO,CAAC;QACnF,CAAC,CAAC,MAAM,CAAC,MAAM,IAAI,OAAO,KAAK,CAAC,CAAC,CAAA;IACnC,OAAO,EAAE,KAAK,EAAE,KAAK,EAAE,CAAA;AACzB,CAAC;AAED;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;GA4DG;AACH,MAAM,CAAC,OAAO,OAAO,cAAe,SAAQ,WAAW;IACrD,MAAM,CAAC,WAAW,GAAG,iBAAiB,CAAA;IACtC,MAAM,CAAC,WAAW,GAAG,kGAAkG,CAAA;IAEvH,MAAM,CAAC,OAAO,GAAmB;QAC/B,QAAQ,EAAE,IAAI;KACf,CAAA;IAmCD,KAAK,CAAC,GAAG;QACP,IAAI,CAAC,IAAI,CAAC,EAAE,EAAE,CAAC;YACb,IAAI,CAAC,MAAM,CAAC,KAAK,CACf,yFAAyF;gBACvF,+CAA+C,CAClD,CAAA;YACD,IAAI,CAAC,QAAQ,GAAG,CAAC,CAAA;YACjB,OAAM;QACR,CAAC;QACD,MAAM,EAAE,OAAO,EAAE,aAAa,EAAE,GAAG,MAAM,MAAM,CAAC,qBAAqB,CAAC,CAAA;QACtE,IAAI,MAAuB,CAAA;QAC3B,IAAI,CAAC;YACH,MAAM,GAAG,MAAM,aAAa,CAAC,SAAS,CAAC;gBACrC,EAAE,EAAE,IAAI,CAAC,EAAE;gBACX,GAAG,CAAC,IAAI,CAAC,IAAI,KAAK,SAAS,CAAC,CAAC,CAAC,EAAE,IAAI,EAAE,IAAI,CAAC,IAAI,EAAE,CAAC,CAAC,CAAC,EAAE,CAAC;gBACvD,MAAM,EAAE,IAAI,CAAC,MAAM,KAAK,IAAI;gBAC5B,KAAK,EAAE,IAAI,CAAC,KAAK,KAAK,IAAI;gBAC1B,eAAe,EAAE,IAAI,CAAC,eAAe,KAAK,IAAI;gBAC9C,gBAAgB,EAAE,IAAI,CAAC,gBAAgB,KAAK,IAAI;gBAChD,SAAS,EAAE,IAAI,CAAC,SAAS;gBACzB,SAAS,EAAE,IAAI,CAAC,SAAS;aAC1B,CAAC,CAAA;QACJ,CAAC;QAAC,OAAO,KAAU,EAAE,CAAC;YACpB,wEAAwE;YACxE,mEAAmE;YACnE,IAAI,KAAK,EAAE,IAAI,KAAK,8BAA8B,IAAI,KAAK,EAAE,IAAI,KAAK,iCAAiC,EAAE,CAAC;gBACxG,IAAI,CAAC,MAAM,CAAC,KAAK,CAAC,MAAM,CAAC,KAAK,CAAC,OAAO,CAAC,CAAC,CAAA;gBACxC,IAAI,CAAC,QAAQ,GAAG,CAAC,CAAA;gBACjB,OAAM;YACR,CAAC;YACD,MAAM,KAAK,CAAA;QACb,CAAC;QAED,MAAM,EAAE,KAAK,EAAE,KAAK,EAAE,GAAG,cAAc,CAAC,MAAM,CAAC,CAAA;QAC/C,KAAK,MAAM,EAAE,KAAK,EAAE,OAAO,EAAE,IAAI,KAAK;YAAE,IAAI,CAAC,MAAM,CAAC,KAAK,CAAC,CAAC,OAAO,CAAC,CAAA;QAEnE,MAAM,OAAO,GACX,YAAY,MAAM,CAAC,OAAO,kBAAkB,MAAM,CAAC,OAAO,aAAa,MAAM,CAAC,SAAS,IAAI;YAC3F,UAAU,MAAM,CAAC,KAAK,cAAc,MAAM,CAAC,OAAO,EAAE,CAAA;QACtD,IAAI,MAAM,CAAC,MAAM,EAAE,CAAC;YAClB,IAAI,KAAK,EAAE,CAAC;gBACV,IAAI,CAAC,MAAM,CAAC,OAAO,CACjB,gBAAgB,IAAI,CAAC,EAAE,kBAAkB,MAAM,CAAC,SAAS,IAAI,SAAS,oBAAoB,OAAO,IAAI,CACtG,CAAA;gBACD,OAAM;YACR,CAAC;YACD,IAAI,CAAC,MAAM,CAAC,KAAK,CAAC,eAAe,IAAI,CAAC,EAAE,MAAM,OAAO,sCAAsC,CAAC,CAAA;YAC5F,IAAI,CAAC,QAAQ,GAAG,CAAC,CAAA;YACjB,OAAM;QACR,CAAC;QACD,IAAI,CAAC,MAAM,CAAC,OAAO,CAAC,IAAI,IAAI,CAAC,EAAE,mBAAmB,OAAO,GAAG,CAAC,CAAA;QAC7D,IAAI,CAAC,KAAK,EAAE,CAAC;YACX,IAAI,CAAC,MAAM,CAAC,OAAO,CACjB,4GAA4G,CAC7G,CAAA;YACD,IAAI,CAAC,QAAQ,GAAG,CAAC,CAAA;QACnB,CAAC;IACH,CAAC;;AAzFO;IADP,KAAK,CAAC,MAAM,CAAC,EAAE,WAAW,EAAE,mEAAmE,EAAE,CAAC;;0CACrE;AAKtB;IAHP,KAAK,CAAC,MAAM,CAAC;QACZ,WAAW,EAAE,wGAAwG;KACtH,CAAC;;4CAC8B;AAGxB;IADP,KAAK,CAAC,OAAO,CAAC,EAAE,WAAW,EAAE,kEAAkE,EAAE,CAAC;;8CAChE;AAG3B;IADP,KAAK,CAAC,OAAO,CAAC,EAAE,WAAW,EAAE,2EAA2E,EAAE,CAAC;;6CAC1E;AAK1B;IAHP,KAAK,CAAC,OAAO,CAAC;QACb,WAAW,EAAE,4GAA4G;KAC1H,CAAC;;uDAC0C;AAMpC;IAJP,KAAK,CAAC,OAAO,CAAC;QACb,WAAW,EACT,mKAAmK;KACtK,CAAC;;wDAC2C;AAGrC;IADP,KAAK,CAAC,MAAM,CAAC,EAAE,WAAW,EAAE,0EAA0E,EAAE,CAAC;;iDACrE;AAK7B;IAHP,KAAK,CAAC,MAAM,CAAC;QACZ,WAAW,EAAE,qJAAqJ;KACnK,CAAC;;iDACmC"}

package/build/commands/authz_relations_reconcile.d.ts

@@ -0,0 +1,144 @@
+import { BaseCommand } from '@adonisjs/core/ace';
+import { CommandOptions } from '@adonisjs/core/types/ace';
+import type { RelationsReconcileOptions, RelationsReconcileReport } from '../src/relations/reconcile.js';
+import type { AuthorizationManager } from '../src/manager.js';
+/**
+ * **La ÚNICA vía pública para reconciliar relaciones** (L-1 · J1; cierre del
+ * auditor de alpha.10 · R1/R4). `reconcileRelations` (`src/relations/`) es el
+ * primitivo: no puede ver al manager de roles (regla 2 de pureza), así que no
+ * sabe cuál es el driver ACTIVO ni puede tomar la ventana durable. Hasta el
+ * cierre se exportaba desde la raíz del paquete y el README lo recomendaba para
+ * K particiones: esa vía llegaba a la dirección rancia sin guard y sin freeze.
+ * Ahora sale de la raíz y TODA migración de relaciones pasa por aquí —el
+ * comando, un bucle por particiones de la plataforma—, que es el punto único
+ * donde viven las dos garantías:
+ *
+ *  - **la dirección RANCIA** (alpha.10 · S1, gemelo de `manager.reconcile`):
+ *    hacia el driver de relaciones activo (`relations.default ?? default`)
+ *    ningún origen distinto pasa. **El origen y el destino se RESUELVEN aquí,
+ *    por su clave, desde el config del manager** (R4): hasta el cierre la
+ *    función recibía las instancias `from`/`to` y, aparte, las ETIQUETAS
+ *    `toKey`/`fromKey`/`activeKey`, y juzgaba las etiquetas — un bucle con
+ *    `fromKey === toKey` copiado y pegado, o un `activeKey` que contradecía al
+ *    manager, escribía la compartición retirada en el activo. La identidad es
+ *    la de la factory resuelta: dos claves con la MISMA factory son el mismo
+ *    driver (un alias del activo también se niega);
+ *  - **la ventana durable**: `--dry-run` **NO congela** (el verificador es
+ *    read-only y está hecho para un cron); la pasada que ESCRIBE corre bajo
+ *    `withFrozenWrites` con `kind: 'reconcile'` y la ventana del OPERADOR como
+ *    contexto propio; un freeze vivo de OTRA pasada es 423; el reporte publica
+ *    `frozen` —fence, lease, `window` y **`lapsed`**— y un lease perdido a
+ *    mitad significa que la pasada NO se certifica (exit ≠ 0).
+ *
+ * Límite declarado (auditor · R5): el activo es el que dice el config del
+ * PROCESO que ejecuta esto; un Job con otro entorno apaga el guard. El sello
+ * durable del driver activo está en el roadmap (2.5).
+ */
+/**
+ * **Las opciones PÚBLICAS de `runRelationsReconcile`** (cierre-2 de alpha.10 · C7):
+ * las del primitivo sin `from`/`to` (instancias: retiradas) más las claves. Hasta el
+ * cierre-2 la raíz exportaba `RelationsReconcileOptions` —la forma del primitivo, con
+ * `from`/`to` obligatorios— y no esta.
+ */
+export type RunRelationsReconcileOptions = Omit<RelationsReconcileOptions, 'from' | 'to'> & {
+    /** Clave (en `relations.drivers` del config del manager) del DESTINO. */
+    toKey: string;
+    /** Clave del ORIGEN (el de `--from` o el elegido por descarte). */
+    fromKey: string;
+    /** La salida humana de `E_AUTHZ_STALE_SOURCE_REFUSED`. */
+    allowStaleSource?: boolean;
+};
+/**
+ * Límites DECLARADOS de la identidad (cierre-2 de alpha.10 · C1 y C6):
+ *  - la identidad es la REFERENCIA de la factory: dos factories DISTINTAS que
+ *    construyen el mismo backend (`fga: () => new OpenFgaRelationsDriver(…mismo
+ *    store…)`) NO se detectan — el alias pasa el guard. No se construye nada antes
+ *    del guard, así que no hay backend que comparar; identidad declarada por el
+ *    driver ⇒ roadmap 2.5. Registra un alias con la MISMA referencia
+ *    (`const fga = () => …; drivers: { openfga: fga, alias: fga }`) o no lo registres.
+ *  - `authorization` es estructural (`Pick<…>`): un objeto que FALSEA
+ *    `relationsDriverKey`/`relationsDriverFactory` decide el activo y las factories.
+ *    Pásale el manager del servicio, nunca uno construido o envuelto a mano.
+ */
+export declare function runRelationsReconcile(authorization: Pick<AuthorizationManager, 'withFrozenWrites' | 'relationsDriverKey' | 'relationsDriverFactory'>, options: RunRelationsReconcileOptions): Promise<RelationsReconcileReport>;
+/**
+ * Cómo se nombra la ventana en la que corrió la pasada (2.4.0-alpha.10 · 3):
+ * la del OPERADOR dice si caduca y cuándo — hasta alpha.9 una ventana abierta
+ * con `--lease-ms` salía como «ventana del operador» a secas, sin caducidad.
+ */
+export declare function frozenWindowLabel(frozen: {
+    leaseMs: number | null;
+    untilMs?: number | null;
+    window?: 'operator' | 'own' | 'enclosing';
+}): string;
+/**
+ * Las líneas del reporte de `authz:relations:reconcile` y si la pasada es
+ * «limpia», en una función PURA (mismo patrón que `reconcileLines` de roles):
+ * es lo único del comando que DECIDE algo, y así tiene su caso sin montar un
+ * ace.
+ *
+ * Qué cuenta como deriva —y por tanto como exit ≠ 0—:
+ *  - **`modelDrift`** (siempre): un tipo de relación presente en el ORIGEN que
+ *    la config del DESTINO no declara. No cabe en su modelo fusionado, así que
+ *    esas tuplas nunca resolverían allí — es la deriva del presupuesto de
+ *    modelo compartido, no un detalle cosmético;
+ *  - en `--dry-run`, **cualquier cosa que la pasada haría** (escribir, borrar o
+ *    dejar `extra` sin `--prune`): es el verificador, y para eso está en CI.
+ *
+ * `extra` en una pasada que SÍ escribe (sin `--prune`) se AVISA —«repite con
+ * --prune»— pero no tumba: el operador eligió no podar. Es la misma cortesía
+ * que `authz:reconcile` de roles con la ventana del relay.
+ */
+export declare function relationsReconcileLines(report: RelationsReconcileReport): {
+    lines: Array<{
+        level: 'log' | 'warning' | 'error' | 'success';
+        message: string;
+    }>;
+    clean: boolean;
+};
+/**
+ * **`authz:relations:reconcile`** (Fase 4, lote 4-6) — migra las tuplas de
+ * RELACIÓN de un `RelationsDriver` a otro, idempotente y bidireccional, nunca
+ * silenciosa. Es el comando de plataforma que envuelve `reconcileRelations`
+ * (lote 4-5), análogo a `authz:reconcile` de roles pero para el puerto
+ * `RelationsDriver`.
+ *
+ *   node ace authz:relations:reconcile --to=openfga --dry-run   # el VERIFICADOR
+ *   node ace authz:relations:reconcile --to=openfga             # migra
+ *   node ace authz:relations:reconcile --to=openfga --prune     # y borra lo que el origen ya no respalda
+ *
+ * `--to`/`--from` nombran claves de `relations.drivers` en
+ * `config/authorization.ts` (NO las de `drivers` de roles): las relaciones
+ * tienen su propio puerto y sus propios drivers. La factory del driver
+ * `openfga` de relaciones entra por el subpath `/openfga` DENTRO de ella, así
+ * que este comando NUNCA importa el SDK (pureza).
+ *
+ * **Solo migra HECHOS de relación**: no hay árbol ni catálogo en `relations/`,
+ * así que —a diferencia de `authz:reconcile` de roles— no hay fases de marcador
+ * de raíz, proyección ni árbol. La migración es **POR partición**
+ * (mono-tenant: `APP_SCOPE`, el default); para migrar otra partición se pasan
+ * `--partition-type`/`--partition-uuid`, y migrar TODAS es iterar por el
+ * consumidor (una migración de tenant es un caso natural).
+ *
+ * **`--dry-run` es el verificador y es read-only por contrato** (como el de
+ * roles, S18): mismo recorrido, cero escrituras, los mismos números; NO hay
+ * `--fix`. Además vigila la **deriva del modelo fusionado** (`modelDrift`): un
+ * tipo del origen que el destino no declara sale como error.
+ *
+ * Es una operación de PLATAFORMA: no lleva actor, no se expone por HTTP.
+ */
+export default class AuthzRelationsReconcile extends BaseCommand {
+    static commandName: string;
+    static description: string;
+    static options: CommandOptions;
+    to: string | undefined;
+    from: string | undefined;
+    dryRun: boolean | undefined;
+    prune: boolean | undefined;
+    allowMassDelete: boolean | undefined;
+    allowStaleSource: boolean | undefined;
+    partitionType: string | undefined;
+    partitionUuid: string | undefined;
+    run(): Promise<void>;
+}
+//# sourceMappingURL=authz_relations_reconcile.d.ts.map

package/build/commands/authz_relations_reconcile.d.ts.map

@@ -0,0 +1 @@
+{"version":3,"file":"authz_relations_reconcile.d.ts","sourceRoot":"","sources":["../../commands/authz_relations_reconcile.ts"],"names":[],"mappings":"AAAA,OAAO,EAAE,WAAW,EAAS,MAAM,oBAAoB,CAAA;AACvD,OAAO,EAAE,cAAc,EAAE,MAAM,0BAA0B,CAAA;AACzD,OAAO,KAAK,EAAE,yBAAyB,EAAE,wBAAwB,EAAE,MAAM,+BAA+B,CAAA;AACxG,OAAO,KAAK,EAAE,oBAAoB,EAAE,MAAM,mBAAmB,CAAA;AAG7D;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;GA+BG;AACH;;;;;GAKG;AACH,MAAM,MAAM,4BAA4B,GAAG,IAAI,CAAC,yBAAyB,EAAE,MAAM,GAAG,IAAI,CAAC,GAAG;IAC1F,yEAAyE;IACzE,KAAK,EAAE,MAAM,CAAA;IACb,mEAAmE;IACnE,OAAO,EAAE,MAAM,CAAA;IACf,0DAA0D;IAC1D,gBAAgB,CAAC,EAAE,OAAO,CAAA;CAC3B,CAAA;AAED;;;;;;;;;;;GAWG;AACH,wBAAsB,qBAAqB,CACzC,aAAa,EAAE,IAAI,CAAC,oBAAoB,EAAE,kBAAkB,GAAG,oBAAoB,GAAG,wBAAwB,CAAC,EAC/G,OAAO,EAAE,4BAA4B,GACpC,OAAO,CAAC,wBAAwB,CAAC,CAkFnC;AAED;;;;GAIG;AACH,wBAAgB,iBAAiB,CAAC,MAAM,EAAE;IACxC,OAAO,EAAE,MAAM,GAAG,IAAI,CAAA;IACtB,OAAO,CAAC,EAAE,MAAM,GAAG,IAAI,CAAA;IACvB,MAAM,CAAC,EAAE,UAAU,GAAG,KAAK,GAAG,WAAW,CAAA;CAC1C,GAAG,MAAM,CAaT;AAED;;;;;;;;;;;;;;;;;GAiBG;AACH,wBAAgB,uBAAuB,CAAC,MAAM,EAAE,wBAAwB,GAAG;IACzE,KAAK,EAAE,KAAK,CAAC;QAAE,KAAK,EAAE,KAAK,GAAG,SAAS,GAAG,OAAO,GAAG,SAAS,CAAC;QAAC,OAAO,EAAE,MAAM,CAAA;KAAE,CAAC,CAAA;IACjF,KAAK,EAAE,OAAO,CAAA;CACf,CAiHA;AAED;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;GA8BG;AACH,MAAM,CAAC,OAAO,OAAO,uBAAwB,SAAQ,WAAW;IAC9D,MAAM,CAAC,WAAW,SAA8B;IAChD,MAAM,CAAC,WAAW,SAAgG;IAElH,MAAM,CAAC,OAAO,EAAE,cAAc,CAE7B;IAGO,EAAE,EAAE,MAAM,GAAG,SAAS,CAAA;IAGtB,IAAI,EAAE,MAAM,GAAG,SAAS,CAAA;IAGxB,MAAM,EAAE,OAAO,GAAG,SAAS,CAAA;IAG3B,KAAK,EAAE,OAAO,GAAG,SAAS,CAAA;IAK1B,eAAe,EAAE,OAAO,GAAG,SAAS,CAAA;IAMpC,gBAAgB,EAAE,OAAO,GAAG,SAAS,CAAA;IAGrC,aAAa,EAAE,MAAM,GAAG,SAAS,CAAA;IAGjC,aAAa,EAAE,MAAM,GAAG,SAAS,CAAA;IAEnC,GAAG;CAwJV"}