@jantstack/adonis-authz 2.0.0-alpha.1 → 2.4.0-alpha.10

package/build/src/relations/manager.js

@@ -0,0 +1,494 @@
+/**
+ * `RelationsManager` — la fachada de ReBAC (Fase 4, lote 4-2).
+ *
+ * Es el análogo de `AuthorizationManager` para el puerto `RelationsDriver`:
+ * aplica la POLICY antes de tocar el driver y despacha la auditoría después.
+ * Lo que fija este lote:
+ *
+ *  - **F-05 (cierre del 🔴 del auditor)**: `relate`/`unrelate` con un
+ *    `object.type` o una `relation` que NO estén declarados en
+ *    `defineRelationsConfig` ⇒ 422 ANTES de llamar al driver. Junto con ⚪4
+ *    (un tipo reservado no se puede declarar) hace IMPOSIBLE que un `relate`
+ *    componga el id de un `role_binding` real y escale a `roles.authorize`.
+ *  - **R-13**: `assertWrite` PURO (obligatorio aquí, a diferencia de
+ *    `roles/`): si rechaza, nada toca el driver.
+ *  - `actor` en `onRelationWrite` (auditoría del consumidor sin
+ *    `AsyncLocalStorage`).
+ *  - `membersOf` como método OPCIONAL DISTINTO de `listSubjects`: si el driver
+ *    no lo trae (`membersOfNative: false`) ⇒ 500 `E_AUTHZ_UNSUPPORTED`
+ *    nombrándolo, jamás un `skip`.
+ *
+ * Pureza (regla 2): solo depende del puerto, los errores, la gramática
+ * compartida y `defineRelationsConfig`. Nada de `manager`/`drivers/*`.
+ */
+import { ActorRequiredError, AuthorizationBackendTimeoutError, AuthorizationConfigError, UnsupportedOperationError, isPartialWrite, } from '../errors.js';
+import { assertScope, assertSubject, assertRelationId, assertExpiresAt, scopeKey } from '../identity.js';
+import { isClock, systemClock } from '../clock.js';
+import { assertNotFrozenRow } from '../freeze.js';
+import { isRelUserset, normalizeRelationsCapabilities } from '../types.js';
+import { assertRelationDeclared, assertObjectTypeDeclared } from './define_relations_config.js';
+export class RelationsManager {
+    #driver;
+    #config;
+    #options;
+    constructor(driver, config, options = {}) {
+        if (options.clock !== undefined) {
+            if (!isClock(options.clock)) {
+                throw new AuthorizationConfigError(`RelationsManager: clock debe ser una función () => Date (llegó ${typeof options.clock})`);
+            }
+            if (typeof driver.withClock !== 'function') {
+                throw new AuthorizationConfigError(`RelationsManager: el driver de relaciones no implementa withClock(now) y la config declara clock: ` +
+                    `sin él la caducidad de las relaciones se decidiría con otro reloj que el declarado.`);
+            }
+            driver = driver.withClock(options.clock);
+        }
+        if (options.requireTransactionalWrites === true && driver.capabilities?.transactionalWrites !== true) {
+            throw new AuthorizationConfigError(`requireTransactionalWrites está en true y el driver de relaciones '${options.driverName ?? 'relations'}' ` +
+                `declara transactionalWrites: ${driver.capabilities ? String(driver.capabilities.transactionalWrites) : 'nada (sin capabilities)'}: ` +
+                `no puede inscribir relate/unrelate/purge* en la transacción del consumidor («los dos o ninguno»), así que ` +
+                `el RelationsManager no se construye. Usa un driver que la declare (database) o quita el flag ` +
+                `(relations.requireTransactionalWrites, o el del raíz).`);
+        }
+        this.#driver = driver;
+        this.#config = config;
+        this.#options = options;
+    }
+    /**
+     * **Puerta 1 de `{ transaction }`** (L-2, siempre activa): una escritura con
+     * `{ transaction }` a un driver que no declara `transactionalWrites: true`
+     * es 500 `E_AUTHZ_UNSUPPORTED` nombrando driver y operación, ANTES de la
+     * barrera, de F-05 y del driver (cero llamadas). Encolar ≠ escribir: aquí
+     * la transacción ESCRIBE la tupla dentro de ella, no hay outbox.
+     */
+    #assertTransactional(options, operation) {
+        if (options?.transaction === undefined || options.transaction === null)
+            return;
+        if (this.#driver.capabilities?.transactionalWrites === true)
+            return;
+        throw UnsupportedOperationError.transactional(`relations.${operation}`, this.#options.driverName ?? 'relations', 'relations');
+    }
+    /**
+     * La marca del evento de una escritura inscrita en la transacción del
+     * llamante (2.4.0-alpha.3 · B, paridad literal con `#transactional` de
+     * roles, L-3): `onRelationWrite` se dispara cuando el DRIVER vuelve, y en
+     * ese momento la tupla existe solo dentro de esa transacción — es un hecho
+     * si y solo si el llamante confirma, cosa que el paquete nunca ve. Quien
+     * audita lo necesita para no registrar como firme lo que un rollback
+     * deshace (`trx.after('commit')`). `undefined`/`null` cuentan como SIN
+     * transacción (lo mismo que `#assertTransactional`); sin ella la marca está
+     * AUSENTE, nunca `false`.
+     */
+    #transactional(options) {
+        return options?.transaction === undefined || options.transaction === null ? {} : { transactional: true };
+    }
+    /** `{ actor }` listo para fundir en el evento, o `{}`: el evento no inventa autores (como `#writeOptions` de roles). */
+    #actorOf(options) {
+        return options?.actor ? { actor: options.actor } : {};
+    }
+    /**
+     * **Invariante 13 en relaciones** (2.4.0-alpha.3 · C; el MISMO `#write` de
+     * roles, `manager.ts:3257`): una escritura que vence el deadline (503
+     * `E_AUTHZ_BACKEND_TIMEOUT`) es INDETERMINADA — la sentencia/el `Write`
+     * puede aterrizar después de que el llamante reciba el error—. Antes de
+     * propagar se notifica el mismo evento con `indeterminate: true`, para que
+     * quien audita registre «puede haber ocurrido» en vez de nada. Cualquier
+     * otro fallo (422, `assertWrite`, freeze, conexión rechazada) significa que
+     * la escritura no ocurrió y se propaga SIN evento. Con `{ transaction }` el
+     * evento lleva además `transactional: true` (el rollback del llamante
+     * determina el resultado, pero es suyo y el paquete no lo ve). Envuelve las
+     * CUATRO escrituras.
+     *
+     * **Y una escritura PARCIAL también es indeterminada** (cierre del 🟡 6 del
+     * auditor de alpha.3): la purga de `openfga` es multi-request (ortografías
+     * × tipos, cada una `Read`+`deleteTuples`+`Read`), así que un 503 que NO es
+     * timeout —o el 500 `E_AUTHZ_PURGE_INCOMPLETE`— puede llegar DESPUÉS de haber
+     * borrado parte. Ahí «esa escritura no ocurrió» sería falso; el driver marca
+     * el error con `markPartialWrite` (`src/errors.ts`) y aquí se notifica
+     * `indeterminate: true` igual que con el deadline. La frase «no ocurrió y no
+     * hay evento» queda para los fallos ANTES de la primera sentencia/`Write`.
+     */
+    async #write(event, fn) {
+        try {
+            return await fn();
+        }
+        catch (error) {
+            if (error instanceof AuthorizationBackendTimeoutError || isPartialWrite(error)) {
+                await this.#notify({ ...event, indeterminate: true });
+            }
+            throw error;
+        }
+    }
+    /**
+     * **El evento es una COPIA, no un alias** (⚪ 8 del auditor de alpha.3): el
+     * sink lo guarda y el llamante (o el propio sink, ahora que se `await`ea)
+     * puede mutar después `object.id`, `partition.uuid` o el `actor`. Copia por
+     * nivel de identidad (spread: el `actor` conserva los campos de más que
+     * traiga, como en roles — se documenta, no se poda); `expiresAt` es un
+     * `Date` inmutable por convención y se copia como instante.
+     */
+    #copyEvent(event) {
+        const copy = { ...event, partition: { ...event.partition } };
+        if (event.subject !== undefined) {
+            copy.subject = isRelUserset(event.subject)
+                ? { ...event.subject, object: { ...event.subject.object } }
+                : { ...event.subject };
+        }
+        if (event.object !== undefined)
+            copy.object = { ...event.object };
+        if (event.actor !== undefined)
+            copy.actor = { ...event.actor };
+        if (event.expiresAt instanceof Date)
+            copy.expiresAt = new Date(event.expiresAt.getTime());
+        return copy;
+    }
+    /**
+     * Notifica al consumidor (2.4.0-alpha.3 · D1/D2, hallazgo H1; el MISMO
+     * `#notify` de roles, `manager.ts:3276`). El hook es un side-effect
+     * (auditar, emitir un evento): cuando falla, la escritura YA está aplicada,
+     * así que propagar su error le daría al llamante un fallo por una operación
+     * que sí ocurrió — y le invitaría a reintentar algo ya hecho. Se ESPERA (un
+     * hook `async` que rechaza ya no es un unhandled rejection), se registra y
+     * se sigue. Hasta alpha.3 se llamaba sin `await` ni `try/catch`.
+     */
+    async #notify(event) {
+        try {
+            await this.#options.onRelationWrite?.(event);
+        }
+        catch (error) {
+            await this.#logHookFailure(event, error);
+        }
+    }
+    async #logHookFailure(event, error) {
+        const context = `authz: el hook onRelationWrite falló tras '${event.operation}' (la escritura sí se aplicó)`;
+        try {
+            const { default: logger } = await import('@adonisjs/core/services/logger');
+            logger.error({ err: error, event }, context);
+        }
+        catch {
+            // Fuera de una app booteada (tests, scripts sueltos) no hay logger.
+            console.error(context, error);
+        }
+    }
+    /** El driver crudo — salida documentada de las barreras (plataforma y tests). */
+    driver() {
+        return this.#driver;
+    }
+    /**
+     * **Lo que el driver de relaciones ACTIVO declara, de solo lectura**
+     * (2.4.0-alpha.4; pregunta 1 de COGNITIV). Para que el código de tenant
+     * ramifique —`if (relations.capabilities().transactionalWrites) relate(…,
+     * { transaction }) else relate(…)`— sin llamar a `driver()`, que sigue
+     * siendo API de PLATAFORMA. Síncrono, a diferencia del de roles: aquí el
+     * driver es eager (la puerta 2 ya corrió en el constructor) y no hay nada
+     * que resolver. Copia CONGELADA y NORMALIZADA (todas las claves de
+     * `RelationsDriverCapabilities`, `undefined` → `false`): mutarla no toca
+     * lo que lee la puerta 1.
+     */
+    capabilities() {
+        return normalizeRelationsCapabilities(this.#driver.capabilities);
+    }
+    /**
+     * **F-05**: rechaza un tipo/relación no declarado ANTES de tocar el driver.
+     * La gramática de identidad no basta: `role_binding`/`assignee` son
+     * gramaticalmente válidos y en el store compartido componen el id de un
+     * binding real. Es la MISMA función que aplican los dos drivers (L-0,
+     * `assertRelationDeclared`): el manager corta primero; el driver es la red
+     * para quien entra por `manager.driver()` o por `reconcileRelations`.
+     *
+     * **En las OCHO operaciones** (2.4.0-alpha.3, 🔴 1 / 🟠 2 del auditor;
+     * cierre-2 · 🟡 3 `membersOf`): hasta alpha.3 solo `relate`/`unrelate`
+     * pasaban por aquí, y `purgeObject({ type: 'role_binding', id: R }, S)`
+     * componía en el driver `openfga` el id EXACTO del binding real y lo
+     * borraba con demostración de cero (`authorize` de `true` a `false`), con
+     * un evento de auditoría limpio; `listSubjects('assignee', role_binding)`
+     * enumeraba sus asignados. **Dos funciones, no un opcional** (cierre-2,
+     * 🟠 1: la `relation?` opcional apagó F-05 en `relate`/`unrelate` sin
+     * relación): `#assertDeclared` es ESTRICTA —la relación es obligatoria— y
+     * la usan `relate`/`unrelate`/`check`/`listObjects`/`listSubjects`/
+     * `membersOf` y el userset del sujeto; `#assertTypeDeclared` (solo el tipo)
+     * la usa `purgeObject`. `purgeSubject` no nombra objeto: su F-05 es la del
+     * userset (`#assertSubject`).
+     */
+    #assertDeclared(object, relation) {
+        assertRelationDeclared(this.#config, object, relation);
+    }
+    #assertTypeDeclared(object) {
+        assertObjectTypeDeclared(this.#config, object);
+    }
+    /**
+     * **R-16**: el `object.id` con la gramática estricta de relaciones ANTES del
+     * driver ⇒ 422 `E_AUTHZ_INVALID_IDENTITY`. `#assertDeclared` solo valida el
+     * TIPO (F-05): un `object.id` con un `|`/`#`/`:`/espacio se colaba y en
+     * `openfga` se ESCRIBÍA (invisibilidad de enumeración y pérdida en
+     * `reconcile`) o salía como 503 mal clasificado. Se valida aquí (una vez) y
+     * en cada driver (defensa en profundidad).
+     */
+    #assertObjectId(object) {
+        assertRelationId(`el id del objeto '${object?.type}'`, object?.id);
+    }
+    /**
+     * El `actor` de una escritura (2.4.0-alpha.3 · D4, hallazgo H3; paridad con
+     * `#writeOptions` de roles, `manager.ts:1512`): **validar-si-viene y después
+     * exigir-si-falta**. Hasta alpha.3 solo se comprobaba la PRESENCIA: un
+     * `actor: { uuid: 'A#B' }` viajaba al evento (envenena el rastro) y un
+     * `actor: {}` truthy satisfacía `requireActor`. Ahora un actor mal formado
+     * es 422 `E_AUTHZ_INVALID_IDENTITY` ANTES del driver, en las CUATRO
+     * escrituras (purgas incluidas, D-3).
+     */
+    #assertActor(options, operation) {
+        if (options?.actor !== undefined)
+            assertSubject(options.actor);
+        if (this.#options.requireActor && !options?.actor) {
+            throw new ActorRequiredError(`relations.${operation}: escritura de relación sin 'actor' y la config exige uno (requireActor).`);
+        }
+    }
+    /**
+     * **R-13 con dientes** (2.4.0-alpha.3 · D3, hallazgo H2; cierre 🟠 3 / 🟡 4
+     * del auditor): `assertWrite` es síncrono y puro, y **no devuelve
+     * veredictos: lanza o no lanza**. TODO retorno distinto de `undefined` es
+     * 500 `E_AUTHZ_CONFIG` antes de tocar el driver — una promesa (H2: la
+     * promesa se descarta con el rechazo quitado para que no salga como
+     * unhandled rejection), una FUNCIÓN con `.then` (esquivaba la guarda
+     * `typeof 'object'`), un `false` (compila bajo `--strict` y hasta el cierre
+     * la escritura ENTRABA: fail-open) y también un `true` (el mismo error de
+     * modelo). Un `assertWrite` que LANZA propaga tal cual (es su forma de
+     * rechazar). La policy con actor/BD/await va en el servicio del consumidor.
+     */
+    #assertWrite(ref, operation) {
+        const result = this.#options.assertWrite?.(ref);
+        if (result === undefined)
+            return;
+        if (result !== null && typeof result.then === 'function') {
+            Promise.resolve(result).then(undefined, () => { });
+        }
+        throw AuthorizationConfigError.assertWriteReturned(`relations.${operation}`, result);
+    }
+    /**
+     * **La barrera del freeze, la MISMA que la de roles** (L-1 · J1, juez del
+     * panel `{trx}`): hasta L-1 no había una sola referencia al freeze en
+     * `relations/`, así que durante un cutover las escrituras de roles recibían
+     * 503 y las de relaciones ENTRABAN, y `authz:relations:reconcile`
+     * certificaba un estado que podía cambiar debajo. Es la fila `id = 2` de
+     * `authz_catalog_version` leída por la conexión del motor (`assertNotFrozenRow`,
+     * `src/freeze.ts` — raíz de `src/`, así que la regla 2 de pureza se cumple),
+     * delante de las CUATRO escrituras y antes de validar nada: 503
+     * `E_AUTHZ_FROZEN` reintentable. Las lecturas no pasan por aquí.
+     * `manager.driver()` sigue siendo la salida documentada.
+     */
+    #assertNotFrozen(operation) {
+        return assertNotFrozenRow(`relations.${operation}`, {
+            driver: 'relations',
+            nowMs: (this.#options.clock ?? systemClock)().getTime(),
+            timeoutMs: this.#options.freezeTimeoutMs,
+        });
+    }
+    async relate(subject, relation, object, partition, options) {
+        this.#assertTransactional(options, 'relate');
+        await this.#assertNotFrozen('relate');
+        this.#assertDeclared(object, relation);
+        this.#assertObjectId(object);
+        this.#assertActor(options, 'relate');
+        assertScope(partition);
+        this.#assertSubject(subject, partition);
+        // R-15: `expiresAt` en sus tres estados legales (omitido / null / Date
+        // válida); cualquier otra cosa es 422 ANTES del driver (invariante 5).
+        assertExpiresAt(options?.expiresAt);
+        const ref = { operation: 'relate', subject, relation, object, partition };
+        if (options && 'expiresAt' in options)
+            ref.expiresAt = options.expiresAt;
+        this.#assertWrite(ref, 'relate');
+        const event = this.#copyEvent({ ...ref, ...this.#actorOf(options), ...this.#transactional(options) });
+        await this.#write(event, () => this.#driver.relate(subject, relation, object, partition, options));
+        await this.#notify(event);
+    }
+    async unrelate(subject, relation, object, partition, options) {
+        this.#assertTransactional(options, 'unrelate');
+        await this.#assertNotFrozen('unrelate');
+        this.#assertDeclared(object, relation);
+        this.#assertObjectId(object);
+        this.#assertActor(options, 'unrelate');
+        assertScope(partition);
+        this.#assertSubject(subject, partition);
+        const ref = { operation: 'unrelate', subject, relation, object, partition };
+        this.#assertWrite(ref, 'unrelate');
+        const event = this.#copyEvent({ ...ref, ...this.#actorOf(options), ...this.#transactional(options) });
+        await this.#write(event, () => this.#driver.unrelate(subject, relation, object, partition, options));
+        await this.#notify(event);
+    }
+    /**
+     * **Las lecturas también pasan por F-05** (2.4.0-alpha.3, 🟠 2 del auditor):
+     * el `objectId` lleva la partición, así que `listSubjects('assignee',
+     * { type: 'role_binding', id: R }, S)` era la lista de asignados de un rol
+     * en un scope, por el puerto de relaciones, sin catálogo, sin `within`, sin
+     * `requireActor` (las lecturas no lo tienen) y sin visibilidad de rol
+     * (invariante 18). `check`/`listSubjects` validan el par (tipo, relación);
+     * `listObjects` el tipo; el userset del sujeto, su par. PRIMERA línea,
+     * cero llamadas al driver; el driver re-valida (defensa en profundidad).
+     */
+    async check(subject, relation, object, partition) {
+        this.#assertDeclared(object, relation);
+        assertScope(partition);
+        this.#assertObjectId(object);
+        this.#assertSubject(subject, partition);
+        return this.#driver.check(subject, relation, object, partition);
+    }
+    async listObjects(subject, relation, objectType, partition, page) {
+        this.#assertDeclared({ type: objectType }, relation);
+        assertScope(partition);
+        this.#assertSubject(subject, partition);
+        return this.#driver.listObjects(subject, relation, objectType, partition, page);
+    }
+    async listSubjects(relation, object, partition, page) {
+        this.#assertDeclared(object, relation);
+        assertScope(partition);
+        this.#assertObjectId(object);
+        return this.#driver.listSubjects(relation, object, partition, page);
+    }
+    /**
+     * **Las purgas notifican** (2.4.0-alpha.3 · E, hallazgo #4; D-1/D-3): UN
+     * evento por llamada —aunque el driver barra las dos ortografías del uuid
+     * de partición por dentro: el manager no canoniza particiones, y diverge a
+     * propósito de `scopes.detached`, que emite uno por ortografía porque ahí
+     * canoniza el MANAGER—, con el objetivo y la partición TAL COMO la pasó el
+     * llamante, sin `relation` y SIN conteo (el puerto devuelve `void`; un
+     * conteo lo rompería para terceros y un rollback lo desmentiría). Se
+     * notifica también cuando no borra nada: el hecho auditable es «alguien
+     * pidió borrar las llaves de X». Sujeta a `requireActor` (D-3, breaking) y
+     * al actor validado; NO pasa por `assertWrite` (su `RelationRef.operation`
+     * es `'relate' | 'unrelate'`, tipo publicado de R-13). Mismo `#write`
+     * (invariante 13) y mismo `#notify` que `relate`/`unrelate`.
+     *
+     * **Y pasan por F-05** (cierre del 🔴 1 del auditor de alpha.3): el mismo
+     * orden que `relate` —puerta 1, freeze, F-05 (solo el TIPO: una purga no
+     * nombra relación), id, actor, scope—. `purgeSubject` valida su sujeto como
+     * `relate` (`#assertSubject`, ⚪ 7: un userset no declarado o un holder mal
+     * formado es 422 ANTES del driver y no llega al evento).
+     */
+    async purgeObject(object, partition, options) {
+        this.#assertTransactional(options, 'purgeObject');
+        await this.#assertNotFrozen('purgeObject');
+        this.#assertTypeDeclared(object);
+        assertScope(partition);
+        this.#assertObjectId(object);
+        this.#assertActor(options, 'purgeObject');
+        const event = this.#copyEvent({
+            operation: 'purgeObject',
+            object,
+            partition,
+            ...this.#actorOf(options),
+            ...this.#transactional(options),
+        });
+        await this.#write(event, () => this.#driver.purgeObject(object, partition, options));
+        await this.#notify(event);
+    }
+    async purgeSubject(subject, partition, options) {
+        this.#assertTransactional(options, 'purgeSubject');
+        await this.#assertNotFrozen('purgeSubject');
+        assertScope(partition);
+        this.#assertSubject(subject, partition);
+        this.#assertActor(options, 'purgeSubject');
+        const event = this.#copyEvent({
+            operation: 'purgeSubject',
+            subject,
+            partition,
+            ...this.#actorOf(options),
+            ...this.#transactional(options),
+        });
+        await this.#write(event, () => this.#driver.purgeSubject(subject, partition, options));
+        await this.#notify(event);
+    }
+    /**
+     * Membresía TRANSITIVA de un grupo (a través de usersets anidados) —
+     * DISTINTA de `listSubjects`, que da los hechos DIRECTOS. Solo la trae el
+     * driver `database` (`membersOfNative: true`); en `openfga` es 500
+     * `E_AUTHZ_UNSUPPORTED` nombrándola (la transitiva sería `ListUsers`, que
+     * trunca), jamás un `skip`.
+     */
+    async membersOf(object, relation, partition, page) {
+        // Cierre-2 · 🟡 3: `membersOf` toma `(object, relation)` —la forma exacta
+        // que F-05 guarda— y era la octava operación fuera de «las siete»; un
+        // driver de terceros con `membersOfNative: true` sobre un store compartido
+        // reabría la fuga de `listSubjects`. F-05 (par, ESTRICTA) ANTES de la
+        // capacidad: 422 con cero llamadas, también donde `membersOf` sería 500.
+        this.#assertDeclared(object, relation);
+        assertScope(partition);
+        this.#assertObjectId(object);
+        if (!this.#driver.membersOf || !this.#driver.capabilities?.membersOfNative) {
+            throw new UnsupportedOperationError('membersOf', 'la membresía transitiva de un grupo', 'relations', `Solo el driver 'database' la resuelve (CTE recursiva); en 'openfga' la transitiva sería ` +
+                `'ListUsers', que trunca. Usa 'listSubjects' para los hechos directos.`);
+        }
+        return this.#driver.membersOf(object, relation, partition, page);
+    }
+    /** ORIGEN de `authz:reconcile` de relaciones. 500 `E_AUTHZ_UNSUPPORTED` si el driver no lo trae. */
+    async enumerateRelations(partition, page) {
+        assertScope(partition);
+        if (!this.#driver.enumerateRelations || !this.#driver.capabilities?.enumerateRelations) {
+            throw new UnsupportedOperationError('enumerateRelations', 'ser origen de authz:reconcile de relaciones', 'relations');
+        }
+        return this.#driver.enumerateRelations(partition, page);
+    }
+    /**
+     * **K particiones en UN barrido** (2.4.0-alpha.6) si el driver trae
+     * `enumerateRelationsMany` (los dos publicados lo traen desde alpha.8: el
+     * de `database` es una consulta con `partition_key IN (…)` y cursor
+     * estable); si no, K llamadas a `enumerateRelations` concatenadas
+     * (correcto, K barridos — el precio queda escrito en la tabla «Limits»).
+     * Sin particiones es 500: un barrido para nadie no es un éxito.
+     *
+     * **El respaldo es exhaustivo o RUIDOSO** (2.4.0-alpha.8 · C2; panel relay
+     * 2, analista §8, juez 7.1 🟠). Hasta alpha.7 acumulaba las K páginas y
+     * devolvía el cursor de la ÚLTIMA partición que tenía más; reanudar con él
+     * aplicaba `uuid > after` a TODAS y **perdía tuplas en silencio** (medido:
+     * 6 en el store, 5 vistas) — en el ORIGEN de una migración eso es «esa
+     * tupla no existía». Un cursor de una sola partición no sabe reanudar K,
+     * así que el respaldo no lo emite: si alguna partición devuelve cursor es
+     * 500 `E_AUTHZ_CONFIG` nombrando el método (misma doctrina que el barrido
+     * único: si no puede enumerar exhaustivamente, falla ruidoso), y un
+     * `after` que llegue aquí —un cursor que el respaldo nunca dio— es 500 con
+     * cero llamadas al driver. La salida: implementar `enumerateRelationsMany`
+     * en el driver, o paginar partición a partición con `enumerateRelations`
+     * (que es lo que hace `reconcileRelations`).
+     */
+    async enumerateRelationsMany(partitions, page) {
+        if (!Array.isArray(partitions) || partitions.length === 0) {
+            throw new AuthorizationConfigError('enumerateRelationsMany: pasa al menos una partición (sin particiones no hay nada que enumerar).');
+        }
+        for (const partition of partitions)
+            assertScope(partition);
+        if (!this.#driver.enumerateRelations || !this.#driver.capabilities?.enumerateRelations) {
+            throw new UnsupportedOperationError('enumerateRelationsMany', 'ser origen de authz:reconcile de relaciones', 'relations');
+        }
+        if (typeof this.#driver.enumerateRelationsMany === 'function')
+            return this.#driver.enumerateRelationsMany(partitions, page);
+        if (page?.after !== undefined) {
+            throw new AuthorizationConfigError('enumerateRelationsMany: el driver de relaciones no implementa enumerateRelationsMany y el respaldo del manager (K llamadas ' +
+                'a enumerateRelations) no sabe reanudar con un cursor: `after` no se acepta aquí (reanudar aplicaría el cursor de UNA ' +
+                'partición a todas y perdería tuplas en silencio). Implementa enumerateRelationsMany en el driver, o pagina partición a ' +
+                'partición con enumerateRelations.');
+        }
+        const tuples = [];
+        for (const partition of partitions) {
+            const one = await this.#driver.enumerateRelations(partition, page);
+            if (one.cursor !== undefined) {
+                throw new AuthorizationConfigError(`enumerateRelationsMany: la partición ${scopeKey(partition)} tiene más tuplas de las que caben en una página y el driver ` +
+                    'de relaciones no implementa enumerateRelationsMany: el respaldo del manager (K llamadas a enumerateRelations) no ' +
+                    'puede emitir un cursor que sepa reanudar K particiones —hasta 2.4.0-alpha.7 lo hacía y perdía tuplas en silencio—. ' +
+                    'Implementa enumerateRelationsMany en el driver, o pagina partición a partición con enumerateRelations.');
+            }
+            tuples.push(...one.tuples);
+        }
+        return { tuples };
+    }
+    #assertSubject(subject, partition) {
+        if (isRelUserset(subject)) {
+            // El userset (`group:g#member`) también se ancla a la partición; su
+            // objeto se valida como cualquier otro objeto declarado (tipo + id, R-16).
+            this.#assertDeclared(subject.object, subject.relation);
+            this.#assertObjectId(subject.object);
+            assertScope(partition);
+            return;
+        }
+        assertSubject(subject);
+    }
+}
+//# sourceMappingURL=manager.js.map

package/build/src/relations/manager.js.map

@@ -0,0 +1 @@
+{"version":3,"file":"manager.js","sourceRoot":"","sources":["../../../src/relations/manager.ts"],"names":[],"mappings":"AAAA;;;;;;;;;;;;;;;;;;;;;;GAsBG;AACH,OAAO,EACL,kBAAkB,EAClB,gCAAgC,EAChC,wBAAwB,EACxB,yBAAyB,EACzB,cAAc,GACf,MAAM,cAAc,CAAA;AACrB,OAAO,EAAE,WAAW,EAAE,aAAa,EAAE,gBAAgB,EAAE,eAAe,EAAE,QAAQ,EAAE,MAAM,gBAAgB,CAAA;AACxG,OAAO,EAAE,OAAO,EAAE,WAAW,EAAE,MAAM,aAAa,CAAA;AAClD,OAAO,EAAE,kBAAkB,EAAE,MAAM,cAAc,CAAA;AAmBjD,OAAO,EAAE,YAAY,EAAE,8BAA8B,EAAE,MAAM,aAAa,CAAA;AAC1E,OAAO,EAAE,sBAAsB,EAAE,wBAAwB,EAAE,MAAM,8BAA8B,CAAA;AAmD/F,MAAM,OAAO,gBAAgB;IAClB,OAAO,CAAiB;IACxB,OAAO,CAAiB;IACxB,QAAQ,CAAyB;IAE1C,YAAY,MAAuB,EAAE,MAAuB,EAAE,UAAmC,EAAE;QACjG,IAAI,OAAO,CAAC,KAAK,KAAK,SAAS,EAAE,CAAC;YAChC,IAAI,CAAC,OAAO,CAAC,OAAO,CAAC,KAAK,CAAC,EAAE,CAAC;gBAC5B,MAAM,IAAI,wBAAwB,CAChC,kEAAkE,OAAO,OAAO,CAAC,KAAK,GAAG,CAC1F,CAAA;YACH,CAAC;YACD,IAAI,OAAO,MAAM,CAAC,SAAS,KAAK,UAAU,EAAE,CAAC;gBAC3C,MAAM,IAAI,wBAAwB,CAChC,oGAAoG;oBAClG,qFAAqF,CACxF,CAAA;YACH,CAAC;YACD,MAAM,GAAG,MAAM,CAAC,SAAS,CAAC,OAAO,CAAC,KAAK,CAAC,CAAA;QAC1C,CAAC;QACD,IAAI,OAAO,CAAC,0BAA0B,KAAK,IAAI,IAAI,MAAM,CAAC,YAAY,EAAE,mBAAmB,KAAK,IAAI,EAAE,CAAC;YACrG,MAAM,IAAI,wBAAwB,CAChC,sEAAsE,OAAO,CAAC,UAAU,IAAI,WAAW,IAAI;gBACzG,gCAAgC,MAAM,CAAC,YAAY,CAAC,CAAC,CAAC,MAAM,CAAC,MAAM,CAAC,YAAY,CAAC,mBAAmB,CAAC,CAAC,CAAC,CAAC,yBAAyB,IAAI;gBACrI,4GAA4G;gBAC5G,+FAA+F;gBAC/F,wDAAwD,CAC3D,CAAA;QACH,CAAC;QACD,IAAI,CAAC,OAAO,GAAG,MAAM,CAAA;QACrB,IAAI,CAAC,OAAO,GAAG,MAAM,CAAA;QACrB,IAAI,CAAC,QAAQ,GAAG,OAAO,CAAA;IACzB,CAAC;IAED;;;;;;OAMG;IACH,oBAAoB,CAAC,OAA+C,EAAE,SAAiB;QACrF,IAAI,OAAO,EAAE,WAAW,KAAK,SAAS,IAAI,OAAO,CAAC,WAAW,KAAK,IAAI;YAAE,OAAM;QAC9E,IAAI,IAAI,CAAC,OAAO,CAAC,YAAY,EAAE,mBAAmB,KAAK,IAAI;YAAE,OAAM;QACnE,MAAM,yBAAyB,CAAC,aAAa,CAC3C,aAAa,SAAS,EAAE,EACxB,IAAI,CAAC,QAAQ,CAAC,UAAU,IAAI,WAAW,EACvC,WAAW,CACZ,CAAA;IACH,CAAC;IAED;;;;;;;;;;OAUG;IACH,cAAc,CAAC,OAA+C;QAC5D,OAAO,OAAO,EAAE,WAAW,KAAK,SAAS,IAAI,OAAO,CAAC,WAAW,KAAK,IAAI,CAAC,CAAC,CAAC,EAAE,CAAC,CAAC,CAAC,EAAE,aAAa,EAAE,IAAI,EAAE,CAAA;IAC1G,CAAC;IAED,wHAAwH;IACxH,QAAQ,CAAC,OAA2C;QAClD,OAAO,OAAO,EAAE,KAAK,CAAC,CAAC,CAAC,EAAE,KAAK,EAAE,OAAO,CAAC,KAAK,EAAE,CAAC,CAAC,CAAC,EAAE,CAAA;IACvD,CAAC;IAED;;;;;;;;;;;;;;;;;;;;;OAqBG;IACH,KAAK,CAAC,MAAM,CAAI,KAAyB,EAAE,EAAoB;QAC7D,IAAI,CAAC;YACH,OAAO,MAAM,EAAE,EAAE,CAAA;QACnB,CAAC;QAAC,OAAO,KAAK,EAAE,CAAC;YACf,IAAI,KAAK,YAAY,gCAAgC,IAAI,cAAc,CAAC,KAAK,CAAC,EAAE,CAAC;gBAC/E,MAAM,IAAI,CAAC,OAAO,CAAC,EAAE,GAAG,KAAK,EAAE,aAAa,EAAE,IAAI,EAAE,CAAC,CAAA;YACvD,CAAC;YACD,MAAM,KAAK,CAAA;QACb,CAAC;IACH,CAAC;IAED;;;;;;;OAOG;IACH,UAAU,CAAC,KAAyB;QAClC,MAAM,IAAI,GAAuB,EAAE,GAAG,KAAK,EAAE,SAAS,EAAE,EAAE,GAAG,KAAK,CAAC,SAAS,EAAE,EAAE,CAAA;QAChF,IAAI,KAAK,CAAC,OAAO,KAAK,SAAS,EAAE,CAAC;YAChC,IAAI,CAAC,OAAO,GAAG,YAAY,CAAC,KAAK,CAAC,OAAO,CAAC;gBACxC,CAAC,CAAC,EAAE,GAAG,KAAK,CAAC,OAAO,EAAE,MAAM,EAAE,EAAE,GAAG,KAAK,CAAC,OAAO,CAAC,MAAM,EAAE,EAAE;gBAC3D,CAAC,CAAC,EAAE,GAAG,KAAK,CAAC,OAAO,EAAE,CAAA;QAC1B,CAAC;QACD,IAAI,KAAK,CAAC,MAAM,KAAK,SAAS;YAAE,IAAI,CAAC,MAAM,GAAG,EAAE,GAAG,KAAK,CAAC,MAAM,EAAE,CAAA;QACjE,IAAI,KAAK,CAAC,KAAK,KAAK,SAAS;YAAE,IAAI,CAAC,KAAK,GAAG,EAAE,GAAG,KAAK,CAAC,KAAK,EAAE,CAAA;QAC9D,IAAI,KAAK,CAAC,SAAS,YAAY,IAAI;YAAE,IAAI,CAAC,SAAS,GAAG,IAAI,IAAI,CAAC,KAAK,CAAC,SAAS,CAAC,OAAO,EAAE,CAAC,CAAA;QACzF,OAAO,IAAI,CAAA;IACb,CAAC;IAED;;;;;;;;OAQG;IACH,KAAK,CAAC,OAAO,CAAC,KAAyB;QACrC,IAAI,CAAC;YACH,MAAM,IAAI,CAAC,QAAQ,CAAC,eAAe,EAAE,CAAC,KAAK,CAAC,CAAA;QAC9C,CAAC;QAAC,OAAO,KAAK,EAAE,CAAC;YACf,MAAM,IAAI,CAAC,eAAe,CAAC,KAAK,EAAE,KAAK,CAAC,CAAA;QAC1C,CAAC;IACH,CAAC;IAED,KAAK,CAAC,eAAe,CAAC,KAAyB,EAAE,KAAc;QAC7D,MAAM,OAAO,GAAG,8CAA8C,KAAK,CAAC,SAAS,+BAA+B,CAAA;QAC5G,IAAI,CAAC;YACH,MAAM,EAAE,OAAO,EAAE,MAAM,EAAE,GAAG,MAAM,MAAM,CAAC,gCAAgC,CAAC,CAAA;YAC1E,MAAM,CAAC,KAAK,CAAC,EAAE,GAAG,EAAE,KAAK,EAAE,KAAK,EAAE,EAAE,OAAO,CAAC,CAAA;QAC9C,CAAC;QAAC,MAAM,CAAC;YACP,oEAAoE;YACpE,OAAO,CAAC,KAAK,CAAC,OAAO,EAAE,KAAK,CAAC,CAAA;QAC/B,CAAC;IACH,CAAC;IAED,iFAAiF;IACjF,MAAM;QACJ,OAAO,IAAI,CAAC,OAAO,CAAA;IACrB,CAAC;IAED;;;;;;;;;;OAUG;IACH,YAAY;QACV,OAAO,8BAA8B,CAAC,IAAI,CAAC,OAAO,CAAC,YAAY,CAAC,CAAA;IAClE,CAAC;IAED;;;;;;;;;;;;;;;;;;;;;OAqBG;IACH,eAAe,CAAC,MAAoC,EAAE,QAAgB;QACpE,sBAAsB,CAAC,IAAI,CAAC,OAAO,EAAE,MAAM,EAAE,QAAQ,CAAC,CAAA;IACxD,CAAC;IAED,mBAAmB,CAAC,MAAoC;QACtD,wBAAwB,CAAC,IAAI,CAAC,OAAO,EAAE,MAAM,CAAC,CAAA;IAChD,CAAC;IAED;;;;;;;OAOG;IACH,eAAe,CAAC,MAAiB;QAC/B,gBAAgB,CAAC,qBAAqB,MAAM,EAAE,IAAI,GAAG,EAAE,MAAM,EAAE,EAAE,CAAC,CAAA;IACpE,CAAC;IAED;;;;;;;;OAQG;IACH,YAAY,CAAC,OAA2C,EAAE,SAAiB;QACzE,IAAI,OAAO,EAAE,KAAK,KAAK,SAAS;YAAE,aAAa,CAAC,OAAO,CAAC,KAAK,CAAC,CAAA;QAC9D,IAAI,IAAI,CAAC,QAAQ,CAAC,YAAY,IAAI,CAAC,OAAO,EAAE,KAAK,EAAE,CAAC;YAClD,MAAM,IAAI,kBAAkB,CAC1B,aAAa,SAAS,2EAA2E,CAClG,CAAA;QACH,CAAC;IACH,CAAC;IAED;;;;;;;;;;;OAWG;IACH,YAAY,CAAC,GAAgB,EAAE,SAAiB;QAC9C,MAAM,MAAM,GAAY,IAAI,CAAC,QAAQ,CAAC,WAAW,EAAE,CAAC,GAAG,CAAC,CAAA;QACxD,IAAI,MAAM,KAAK,SAAS;YAAE,OAAM;QAChC,IAAI,MAAM,KAAK,IAAI,IAAI,OAAQ,MAA6B,CAAC,IAAI,KAAK,UAAU,EAAE,CAAC;YACjF,OAAO,CAAC,OAAO,CAAC,MAAM,CAAC,CAAC,IAAI,CAAC,SAAS,EAAE,GAAG,EAAE,GAAE,CAAC,CAAC,CAAA;QACnD,CAAC;QACD,MAAM,wBAAwB,CAAC,mBAAmB,CAAC,aAAa,SAAS,EAAE,EAAE,MAAM,CAAC,CAAA;IACtF,CAAC;IAED;;;;;;;;;;;OAWG;IACH,gBAAgB,CAAC,SAAiB;QAChC,OAAO,kBAAkB,CAAC,aAAa,SAAS,EAAE,EAAE;YAClD,MAAM,EAAE,WAAW;YACnB,KAAK,EAAE,CAAC,IAAI,CAAC,QAAQ,CAAC,KAAK,IAAI,WAAW,CAAC,EAAE,CAAC,OAAO,EAAE;YACvD,SAAS,EAAE,IAAI,CAAC,QAAQ,CAAC,eAAe;SACzC,CAAC,CAAA;IACJ,CAAC;IAED,KAAK,CAAC,MAAM,CACV,OAAmB,EACnB,QAAgB,EAChB,MAAiB,EACjB,SAAmB,EACnB,OAA8B;QAE9B,IAAI,CAAC,oBAAoB,CAAC,OAAO,EAAE,QAAQ,CAAC,CAAA;QAC5C,MAAM,IAAI,CAAC,gBAAgB,CAAC,QAAQ,CAAC,CAAA;QACrC,IAAI,CAAC,eAAe,CAAC,MAAM,EAAE,QAAQ,CAAC,CAAA;QACtC,IAAI,CAAC,eAAe,CAAC,MAAM,CAAC,CAAA;QAC5B,IAAI,CAAC,YAAY,CAAC,OAAO,EAAE,QAAQ,CAAC,CAAA;QACpC,WAAW,CAAC,SAAS,CAAC,CAAA;QACtB,IAAI,CAAC,cAAc,CAAC,OAAO,EAAE,SAAS,CAAC,CAAA;QACvC,uEAAuE;QACvE,uEAAuE;QACvE,eAAe,CAAC,OAAO,EAAE,SAAS,CAAC,CAAA;QACnC,MAAM,GAAG,GAAgB,EAAE,SAAS,EAAE,QAAQ,EAAE,OAAO,EAAE,QAAQ,EAAE,MAAM,EAAE,SAAS,EAAE,CAAA;QACtF,IAAI,OAAO,IAAI,WAAW,IAAI,OAAO;YAAE,GAAG,CAAC,SAAS,GAAG,OAAO,CAAC,SAAS,CAAA;QACxE,IAAI,CAAC,YAAY,CAAC,GAAG,EAAE,QAAQ,CAAC,CAAA;QAChC,MAAM,KAAK,GAAG,IAAI,CAAC,UAAU,CAAC,EAAE,GAAG,GAAG,EAAE,GAAG,IAAI,CAAC,QAAQ,CAAC,OAAO,CAAC,EAAE,GAAG,IAAI,CAAC,cAAc,CAAC,OAAO,CAAC,EAAE,CAAC,CAAA;QACrG,MAAM,IAAI,CAAC,MAAM,CAAC,KAAK,EAAE,GAAG,EAAE,CAAC,IAAI,CAAC,OAAO,CAAC,MAAM,CAAC,OAAO,EAAE,QAAQ,EAAE,MAAM,EAAE,SAAS,EAAE,OAAO,CAAC,CAAC,CAAA;QAClG,MAAM,IAAI,CAAC,OAAO,CAAC,KAAK,CAAC,CAAA;IAC3B,CAAC;IAED,KAAK,CAAC,QAAQ,CACZ,OAAmB,EACnB,QAAgB,EAChB,MAAiB,EACjB,SAAmB,EACnB,OAA8B;QAE9B,IAAI,CAAC,oBAAoB,CAAC,OAAO,EAAE,UAAU,CAAC,CAAA;QAC9C,MAAM,IAAI,CAAC,gBAAgB,CAAC,UAAU,CAAC,CAAA;QACvC,IAAI,CAAC,eAAe,CAAC,MAAM,EAAE,QAAQ,CAAC,CAAA;QACtC,IAAI,CAAC,eAAe,CAAC,MAAM,CAAC,CAAA;QAC5B,IAAI,CAAC,YAAY,CAAC,OAAO,EAAE,UAAU,CAAC,CAAA;QACtC,WAAW,CAAC,SAAS,CAAC,CAAA;QACtB,IAAI,CAAC,cAAc,CAAC,OAAO,EAAE,SAAS,CAAC,CAAA;QACvC,MAAM,GAAG,GAAgB,EAAE,SAAS,EAAE,UAAU,EAAE,OAAO,EAAE,QAAQ,EAAE,MAAM,EAAE,SAAS,EAAE,CAAA;QACxF,IAAI,CAAC,YAAY,CAAC,GAAG,EAAE,UAAU,CAAC,CAAA;QAClC,MAAM,KAAK,GAAG,IAAI,CAAC,UAAU,CAAC,EAAE,GAAG,GAAG,EAAE,GAAG,IAAI,CAAC,QAAQ,CAAC,OAAO,CAAC,EAAE,GAAG,IAAI,CAAC,cAAc,CAAC,OAAO,CAAC,EAAE,CAAC,CAAA;QACrG,MAAM,IAAI,CAAC,MAAM,CAAC,KAAK,EAAE,GAAG,EAAE,CAAC,IAAI,CAAC,OAAO,CAAC,QAAQ,CAAC,OAAO,EAAE,QAAQ,EAAE,MAAM,EAAE,SAAS,EAAE,OAAO,CAAC,CAAC,CAAA;QACpG,MAAM,IAAI,CAAC,OAAO,CAAC,KAAK,CAAC,CAAA;IAC3B,CAAC;IAED;;;;;;;;;OASG;IACH,KAAK,CAAC,KAAK,CAAC,OAAmB,EAAE,QAAgB,EAAE,MAAiB,EAAE,SAAmB;QACvF,IAAI,CAAC,eAAe,CAAC,MAAM,EAAE,QAAQ,CAAC,CAAA;QACtC,WAAW,CAAC,SAAS,CAAC,CAAA;QACtB,IAAI,CAAC,eAAe,CAAC,MAAM,CAAC,CAAA;QAC5B,IAAI,CAAC,cAAc,CAAC,OAAO,EAAE,SAAS,CAAC,CAAA;QACvC,OAAO,IAAI,CAAC,OAAO,CAAC,KAAK,CAAC,OAAO,EAAE,QAAQ,EAAE,MAAM,EAAE,SAAS,CAAC,CAAA;IACjE,CAAC;IAED,KAAK,CAAC,WAAW,CACf,OAAmB,EACnB,QAAgB,EAChB,UAAkB,EAClB,SAAmB,EACnB,IAAmB;QAEnB,IAAI,CAAC,eAAe,CAAC,EAAE,IAAI,EAAE,UAAU,EAAE,EAAE,QAAQ,CAAC,CAAA;QACpD,WAAW,CAAC,SAAS,CAAC,CAAA;QACtB,IAAI,CAAC,cAAc,CAAC,OAAO,EAAE,SAAS,CAAC,CAAA;QACvC,OAAO,IAAI,CAAC,OAAO,CAAC,WAAW,CAAC,OAAO,EAAE,QAAQ,EAAE,UAAU,EAAE,SAAS,EAAE,IAAI,CAAC,CAAA;IACjF,CAAC;IAED,KAAK,CAAC,YAAY,CAChB,QAAgB,EAChB,MAAiB,EACjB,SAAmB,EACnB,IAAmB;QAEnB,IAAI,CAAC,eAAe,CAAC,MAAM,EAAE,QAAQ,CAAC,CAAA;QACtC,WAAW,CAAC,SAAS,CAAC,CAAA;QACtB,IAAI,CAAC,eAAe,CAAC,MAAM,CAAC,CAAA;QAC5B,OAAO,IAAI,CAAC,OAAO,CAAC,YAAY,CAAC,QAAQ,EAAE,MAAM,EAAE,SAAS,EAAE,IAAI,CAAC,CAAA;IACrE,CAAC;IAED;;;;;;;;;;;;;;;;;;;OAmBG;IACH,KAAK,CAAC,WAAW,CAAC,MAAiB,EAAE,SAAmB,EAAE,OAA8B;QACtF,IAAI,CAAC,oBAAoB,CAAC,OAAO,EAAE,aAAa,CAAC,CAAA;QACjD,MAAM,IAAI,CAAC,gBAAgB,CAAC,aAAa,CAAC,CAAA;QAC1C,IAAI,CAAC,mBAAmB,CAAC,MAAM,CAAC,CAAA;QAChC,WAAW,CAAC,SAAS,CAAC,CAAA;QACtB,IAAI,CAAC,eAAe,CAAC,MAAM,CAAC,CAAA;QAC5B,IAAI,CAAC,YAAY,CAAC,OAAO,EAAE,aAAa,CAAC,CAAA;QACzC,MAAM,KAAK,GAAG,IAAI,CAAC,UAAU,CAAC;YAC5B,SAAS,EAAE,aAAa;YACxB,MAAM;YACN,SAAS;YACT,GAAG,IAAI,CAAC,QAAQ,CAAC,OAAO,CAAC;YACzB,GAAG,IAAI,CAAC,cAAc,CAAC,OAAO,CAAC;SAChC,CAAC,CAAA;QACF,MAAM,IAAI,CAAC,MAAM,CAAC,KAAK,EAAE,GAAG,EAAE,CAAC,IAAI,CAAC,OAAO,CAAC,WAAW,CAAC,MAAM,EAAE,SAAS,EAAE,OAAO,CAAC,CAAC,CAAA;QACpF,MAAM,IAAI,CAAC,OAAO,CAAC,KAAK,CAAC,CAAA;IAC3B,CAAC;IAED,KAAK,CAAC,YAAY,CAAC,OAAmB,EAAE,SAAmB,EAAE,OAA8B;QACzF,IAAI,CAAC,oBAAoB,CAAC,OAAO,EAAE,cAAc,CAAC,CAAA;QAClD,MAAM,IAAI,CAAC,gBAAgB,CAAC,cAAc,CAAC,CAAA;QAC3C,WAAW,CAAC,SAAS,CAAC,CAAA;QACtB,IAAI,CAAC,cAAc,CAAC,OAAO,EAAE,SAAS,CAAC,CAAA;QACvC,IAAI,CAAC,YAAY,CAAC,OAAO,EAAE,cAAc,CAAC,CAAA;QAC1C,MAAM,KAAK,GAAG,IAAI,CAAC,UAAU,CAAC;YAC5B,SAAS,EAAE,cAAc;YACzB,OAAO;YACP,SAAS;YACT,GAAG,IAAI,CAAC,QAAQ,CAAC,OAAO,CAAC;YACzB,GAAG,IAAI,CAAC,cAAc,CAAC,OAAO,CAAC;SAChC,CAAC,CAAA;QACF,MAAM,IAAI,CAAC,MAAM,CAAC,KAAK,EAAE,GAAG,EAAE,CAAC,IAAI,CAAC,OAAO,CAAC,YAAY,CAAC,OAAO,EAAE,SAAS,EAAE,OAAO,CAAC,CAAC,CAAA;QACtF,MAAM,IAAI,CAAC,OAAO,CAAC,KAAK,CAAC,CAAA;IAC3B,CAAC;IAED;;;;;;OAMG;IACH,KAAK,CAAC,SAAS,CACb,MAAiB,EACjB,QAAgB,EAChB,SAAmB,EACnB,IAAmB;QAEnB,0EAA0E;QAC1E,sEAAsE;QACtE,2EAA2E;QAC3E,sEAAsE;QACtE,yEAAyE;QACzE,IAAI,CAAC,eAAe,CAAC,MAAM,EAAE,QAAQ,CAAC,CAAA;QACtC,WAAW,CAAC,SAAS,CAAC,CAAA;QACtB,IAAI,CAAC,eAAe,CAAC,MAAM,CAAC,CAAA;QAC5B,IAAI,CAAC,IAAI,CAAC,OAAO,CAAC,SAAS,IAAI,CAAC,IAAI,CAAC,OAAO,CAAC,YAAY,EAAE,eAAe,EAAE,CAAC;YAC3E,MAAM,IAAI,yBAAyB,CACjC,WAAW,EACX,qCAAqC,EACrC,WAAW,EACX,0FAA0F;gBACxF,uEAAuE,CAC1E,CAAA;QACH,CAAC;QACD,OAAO,IAAI,CAAC,OAAO,CAAC,SAAS,CAAC,MAAM,EAAE,QAAQ,EAAE,SAAS,EAAE,IAAI,CAAC,CAAA;IAClE,CAAC;IAED,oGAAoG;IACpG,KAAK,CAAC,kBAAkB,CAAC,SAAmB,EAAE,IAAmB;QAC/D,WAAW,CAAC,SAAS,CAAC,CAAA;QACtB,IAAI,CAAC,IAAI,CAAC,OAAO,CAAC,kBAAkB,IAAI,CAAC,IAAI,CAAC,OAAO,CAAC,YAAY,EAAE,kBAAkB,EAAE,CAAC;YACvF,MAAM,IAAI,yBAAyB,CACjC,oBAAoB,EACpB,6CAA6C,EAC7C,WAAW,CACZ,CAAA;QACH,CAAC;QACD,OAAO,IAAI,CAAC,OAAO,CAAC,kBAAkB,CAAC,SAAS,EAAE,IAAI,CAAC,CAAA;IACzD,CAAC;IAED;;;;;;;;;;;;;;;;;;;;;OAqBG;IACH,KAAK,CAAC,sBAAsB,CAAC,UAAsB,EAAE,IAAmB;QACtE,IAAI,CAAC,KAAK,CAAC,OAAO,CAAC,UAAU,CAAC,IAAI,UAAU,CAAC,MAAM,KAAK,CAAC,EAAE,CAAC;YAC1D,MAAM,IAAI,wBAAwB,CAAC,iGAAiG,CAAC,CAAA;QACvI,CAAC;QACD,KAAK,MAAM,SAAS,IAAI,UAAU;YAAE,WAAW,CAAC,SAAS,CAAC,CAAA;QAC1D,IAAI,CAAC,IAAI,CAAC,OAAO,CAAC,kBAAkB,IAAI,CAAC,IAAI,CAAC,OAAO,CAAC,YAAY,EAAE,kBAAkB,EAAE,CAAC;YACvF,MAAM,IAAI,yBAAyB,CAAC,wBAAwB,EAAE,6CAA6C,EAAE,WAAW,CAAC,CAAA;QAC3H,CAAC;QACD,IAAI,OAAO,IAAI,CAAC,OAAO,CAAC,sBAAsB,KAAK,UAAU;YAAE,OAAO,IAAI,CAAC,OAAO,CAAC,sBAAsB,CAAC,UAAU,EAAE,IAAI,CAAC,CAAA;QAC3H,IAAI,IAAI,EAAE,KAAK,KAAK,SAAS,EAAE,CAAC;YAC9B,MAAM,IAAI,wBAAwB,CAChC,6HAA6H;gBAC3H,uHAAuH;gBACvH,yHAAyH;gBACzH,mCAAmC,CACtC,CAAA;QACH,CAAC;QACD,MAAM,MAAM,GAAoB,EAAE,CAAA;QAClC,KAAK,MAAM,SAAS,IAAI,UAAU,EAAE,CAAC;YACnC,MAAM,GAAG,GAAG,MAAM,IAAI,CAAC,OAAO,CAAC,kBAAkB,CAAC,SAAS,EAAE,IAAI,CAAC,CAAA;YAClE,IAAI,GAAG,CAAC,MAAM,KAAK,SAAS,EAAE,CAAC;gBAC7B,MAAM,IAAI,wBAAwB,CAChC,wCAAwC,QAAQ,CAAC,SAAS,CAAC,+DAA+D;oBACxH,mHAAmH;oBACnH,qHAAqH;oBACrH,wGAAwG,CAC3G,CAAA;YACH,CAAC;YACD,MAAM,CAAC,IAAI,CAAC,GAAG,GAAG,CAAC,MAAM,CAAC,CAAA;QAC5B,CAAC;QACD,OAAO,EAAE,MAAM,EAAE,CAAA;IACnB,CAAC;IAED,cAAc,CAAC,OAAmB,EAAE,SAAmB;QACrD,IAAI,YAAY,CAAC,OAAO,CAAC,EAAE,CAAC;YAC1B,oEAAoE;YACpE,2EAA2E;YAC3E,IAAI,CAAC,eAAe,CAAC,OAAO,CAAC,MAAM,EAAE,OAAO,CAAC,QAAQ,CAAC,CAAA;YACtD,IAAI,CAAC,eAAe,CAAC,OAAO,CAAC,MAAM,CAAC,CAAA;YACpC,WAAW,CAAC,SAAS,CAAC,CAAA;YACtB,OAAM;QACR,CAAC;QACD,aAAa,CAAC,OAAO,CAAC,CAAA;IACxB,CAAC;CACF"}

package/build/src/relations/reconcile.d.ts

@@ -0,0 +1,137 @@
+import type { Clock } from '../clock.js';
+import type { RelationsDriver, ScopeRef } from '../types.js';
+import type { RelationsConfig } from './define_relations_config.js';
+export interface RelationsReconcileOptions {
+    /** El driver del que se LEEN las tuplas (origen). Necesita `enumerateRelations`. */
+    from: RelationsDriver;
+    /** El driver al que se ESCRIBEN (destino). Necesita `enumerateRelations` para ver lo que sobra. */
+    to: RelationsDriver;
+    /** La partición a migrar (mono-tenant: `APP_SCOPE`). El reconcile es POR partición. Exactamente uno de `partition` / `partitions`. */
+    partition?: ScopeRef;
+    /**
+     * **Varias particiones en UNA pasada** (2.4.0-alpha.6). Mismo recorrido que
+     * `partition` para cada una, pero el ORIGEN y el DESTINO se enumeran UNA
+     * vez con `enumerateRelationsMany` si el driver lo trae (en `openfga` eso es
+     * un barrido del store en vez de K; medido: 3 particiones 1,4 s → 0,46 s) y,
+     * si no, con K llamadas a `enumerateRelations` (correcto, K barridos). El
+     * reporte es la SUMA de las K pasadas; el seguro de borrado masivo (R-17)
+     * se decide POR partición y ANTES de escribir nada en ninguna: una sola
+     * partición que dispare el seguro es 500 sin tocar el destino. Para un
+     * desglose por tenant, llama por partición.
+     */
+    partitions?: ScopeRef[];
+    /** Solo reporta lo que HARÍA; cero escrituras (read-only por contrato, como el de roles). */
+    dryRun?: boolean;
+    /** Borra del destino las tuplas que el origen ya no respalda. Sin él, solo añade. */
+    prune?: boolean;
+    /**
+     * **El seguro de borrado masivo** (R-17): con `prune` y un ORIGEN sin una
+     * sola tupla utilizable, borrar TODO el destino es 500
+     * `E_AUTHZ_MASS_RECONCILE_REFUSED` (la firma de un `--from` equivocado o de un
+     * store vacío). `allowMassDelete: true` (`--allow-mass-delete`) es la decisión
+     * humana de vaciarlo de verdad; `--dry-run` no lanza, lo marca en `massDelete`.
+     * Paridad con el seguro de `authz:reconcile` de roles.
+     */
+    allowMassDelete?: boolean;
+    /**
+     * La config del DESTINO. Dos usos: vigilar la deriva del modelo fusionado
+     * (un tipo del origen que el destino NO declara se reporta en `modelDrift`)
+     * y **embudar F-05 ANTES del driver** (L-0): la tupla cuyo tipo o relación
+     * el destino no declara se descarta aquí y se cuenta en
+     * `skipped.undeclared`, de modo que `--dry-run` y la pasada real dan los
+     * MISMOS números. Sin ella, la embuda el 422 del propio driver del destino
+     * (la misma función, `assertRelationDeclared`) y se cuenta igual — pero
+     * `--dry-run` no puede anticiparla (la reporta como `written`).
+     */
+    toConfig?: RelationsConfig;
+    /**
+     * El reloj que decide qué tupla del ORIGEN está CADUCADA (R-15): una caducada
+     * no se migra —se cuenta en `skipped.expired`— y no respalda nada en el
+     * destino. Default `systemClock`; inyectable para el juez.
+     */
+    now?: Clock;
+}
+export interface RelationsReconcileReport {
+    /** ¿Fue `--dry-run` (sin escrituras)? */
+    dryRun: boolean;
+    /** Tuplas nuevas escritas en el destino (o que se escribirían, en `--dry-run`). */
+    written: number;
+    /** Tuplas que sobraban en el destino y se borraron (solo con `prune`; o que se borrarían). */
+    deleted: number;
+    /**
+     * Tuplas que estaban en el destino con OTRA caducidad y se reescribieron con
+     * la del origen (R-15; delete+write en ambos drivers, nunca un `Ignore` a
+     * ciegas que se quedara la caducidad vieja — la lección S7 de la 3b).
+     */
+    updated: number;
+    /** Tuplas que ya estaban exactamente igual (misma clave y misma caducidad). */
+    unchanged: number;
+    /**
+     * Tuplas del destino que el origen ya no respalda y que NO se borraron por
+     * no pasar `--prune` (deriva recuperable; con `prune` pasan a `deleted`).
+     */
+    extra: number;
+    /**
+     * Deriva del modelo fusionado del destino (`--dry-run`): tipos de relación
+     * del origen que la config del destino no declara. Vacío si no aplica.
+     */
+    modelDrift: string[];
+    /**
+     * **El seguro de borrado masivo se disparó** (R-17): `prune` iba a borrar
+     * tuplas y el ORIGEN no aportó ni una utilizable. En una pasada real es 500
+     * (salvo `allowMassDelete`); en `--dry-run` NO lanza y esto lo marca.
+     */
+    massDelete: boolean;
+    /**
+     * Lo que el origen ENUMERÓ y no se migró, con su motivo:
+     *  - `expired` (R-15) = tuplas caducadas al instante de la pasada. Es la
+     *    pérdida DECLARADA de la migración (como `expired` en `authz:reconcile`
+     *    de roles, 3b-8 · B2): se cuenta, no clava el exit 1. Un origen que las
+     *    filtrara antes de enumerarlas las haría desaparecer sin rastro; por eso
+     *    tienen que LLEGAR.
+     *  - `undeclared` (L-0) = tuplas VIVAS cuyo `object.type` o `relation` el
+     *    DESTINO no declara (F-05): no se escriben —hasta L-0 `modelDrift` las
+     *    reportaba y `to.relate` las escribía igual, por el driver— y se cuentan
+     *    aquí. Es una relación viva que no llegó, así que SÍ es deriva
+     *    (exit ≠ 0 en el comando): declárala en el destino y repite la pasada.
+     */
+    skipped: {
+        expired: number;
+        undeclared: number;
+    };
+    /**
+     * **La ventana durable bajo la que corrió la pasada que ESCRIBE** (L-1 ·
+     * J1; paridad con `report.frozen` de `authz:reconcile` de roles). La pone
+     * `runRelationsReconcile` (el comando), no esta función —que no ve al
+     * manager de roles—; ausente en `--dry-run` (el verificador no congela) y
+     * cuando se llama a `reconcileRelations` a pelo. `lapsed: true` = el lease
+     * se perdió a mitad ⇒ la pasada NO se certifica (exit ≠ 0).
+     */
+    /** `untilMs` solo dentro de la ventana del OPERADOR (2.4.0-alpha.10): cuándo caduca, o `null` si no caduca. */
+    frozen?: {
+        durable: true;
+        lapsed: boolean;
+        leaseMs: number | null;
+        fence: number;
+        untilMs?: number | null;
+        window?: 'operator' | 'own' | 'enclosing';
+    };
+    /**
+     * **La dirección RANCIA** (2.4.0-alpha.10, S1 de la auditoría de sistema):
+     * el destino era el driver de relaciones ACTIVO y el origen otro. La pone
+     * `runRelationsReconcile` (esta función no sabe cuál es el activo); sin
+     * `allowStaleSource` solo llega en `--dry-run` y es deriva.
+     */
+    staleSource?: {
+        to: string;
+        from: string;
+        allowed: boolean;
+    };
+}
+/**
+ * Migra las tuplas de relación de `from` a `to` en `partition`. Idempotente
+ * (una segunda pasada no escribe nada) y bidireccional (funciona en cualquier
+ * sentido). Nunca silenciosa: devuelve `written`/`deleted`/`unchanged`/`extra`.
+ */
+export declare function reconcileRelations(options: RelationsReconcileOptions): Promise<RelationsReconcileReport>;
+//# sourceMappingURL=reconcile.d.ts.map

package/build/src/relations/reconcile.d.ts.map

@@ -0,0 +1 @@
+{"version":3,"file":"reconcile.d.ts","sourceRoot":"","sources":["../../../src/relations/reconcile.ts"],"names":[],"mappings":"AAqCA,OAAO,KAAK,EAAE,KAAK,EAAE,MAAM,aAAa,CAAA;AAGxC,OAAO,KAAK,EAA6B,eAAe,EAAE,QAAQ,EAAE,MAAM,aAAa,CAAA;AACvF,OAAO,KAAK,EAAE,eAAe,EAAE,MAAM,8BAA8B,CAAA;AAkBnE,MAAM,WAAW,yBAAyB;IACxC,oFAAoF;IACpF,IAAI,EAAE,eAAe,CAAA;IACrB,mGAAmG;IACnG,EAAE,EAAE,eAAe,CAAA;IACnB,sIAAsI;IACtI,SAAS,CAAC,EAAE,QAAQ,CAAA;IACpB;;;;;;;;;;OAUG;IACH,UAAU,CAAC,EAAE,QAAQ,EAAE,CAAA;IACvB,6FAA6F;IAC7F,MAAM,CAAC,EAAE,OAAO,CAAA;IAChB,qFAAqF;IACrF,KAAK,CAAC,EAAE,OAAO,CAAA;IACf;;;;;;;OAOG;IACH,eAAe,CAAC,EAAE,OAAO,CAAA;IACzB;;;;;;;;;OASG;IACH,QAAQ,CAAC,EAAE,eAAe,CAAA;IAC1B;;;;OAIG;IACH,GAAG,CAAC,EAAE,KAAK,CAAA;CACZ;AAED,MAAM,WAAW,wBAAwB;IACvC,yCAAyC;IACzC,MAAM,EAAE,OAAO,CAAA;IACf,mFAAmF;IACnF,OAAO,EAAE,MAAM,CAAA;IACf,8FAA8F;IAC9F,OAAO,EAAE,MAAM,CAAA;IACf;;;;OAIG;IACH,OAAO,EAAE,MAAM,CAAA;IACf,+EAA+E;IAC/E,SAAS,EAAE,MAAM,CAAA;IACjB;;;OAGG;IACH,KAAK,EAAE,MAAM,CAAA;IACb;;;OAGG;IACH,UAAU,EAAE,MAAM,EAAE,CAAA;IACpB;;;;OAIG;IACH,UAAU,EAAE,OAAO,CAAA;IACnB;;;;;;;;;;;;OAYG;IACH,OAAO,EAAE;QAAE,OAAO,EAAE,MAAM,CAAC;QAAC,UAAU,EAAE,MAAM,CAAA;KAAE,CAAA;IAChD;;;;;;;OAOG;IACH,+GAA+G;IAC/G,MAAM,CAAC,EAAE;QAAE,OAAO,EAAE,IAAI,CAAC;QAAC,MAAM,EAAE,OAAO,CAAC;QAAC,OAAO,EAAE,MAAM,GAAG,IAAI,CAAC;QAAC,KAAK,EAAE,MAAM,CAAC;QAAC,OAAO,CAAC,EAAE,MAAM,GAAG,IAAI,CAAC;QAAC,MAAM,CAAC,EAAE,UAAU,GAAG,KAAK,GAAG,WAAW,CAAA;KAAE,CAAA;IACtJ;;;;;OAKG;IACH,WAAW,CAAC,EAAE;QAAE,EAAE,EAAE,MAAM,CAAC;QAAC,IAAI,EAAE,MAAM,CAAC;QAAC,OAAO,EAAE,OAAO,CAAA;KAAE,CAAA;CAC7D;AA0DD;;;;GAIG;AACH,wBAAsB,kBAAkB,CAAC,OAAO,EAAE,yBAAyB,GAAG,OAAO,CAAC,wBAAwB,CAAC,CA0F9G"}