@jantstack/adonis-authz 2.0.0-alpha.1 → 2.4.0-alpha.10

package/build/src/relations/reconcile.js

@@ -0,0 +1,294 @@
+/**
+ * **`authz:reconcile` de relaciones** (Fase 4, lote 4-5) — migra las tuplas de
+ * relación de un `RelationsDriver` a otro, idempotente y bidireccional, nunca
+ * silenciosa. Es el análogo de `manager.reconcile` de roles, pero para el
+ * puerto `RelationsDriver`: solo hay HECHOS de relación (no árbol ni catálogo),
+ * así que es más simple —lee el ORIGEN por `enumerateRelations`, lee el DESTINO
+ * ENTERO (la única forma de ver lo que SOBRA), y aplica writes y —con
+ * `prune`— deletes—.
+ *
+ * **La lección M1/M3/T4 de la 3b** (el agujero del 3b-4·C1): un contrato que
+ * solo cruza `report.skipped` se pasa PERDIENDO datos. El verificador de
+ * verdad es el CENSO (`src/testing/relations_reconcile_contract.ts`): busca
+ * cada hecho sembrado en el destino UNO A UNO por el camino DIRECTO
+ * (`listSubjects`), no le pregunta al origen lleno. Un tramo omisivo o una
+ * pérdida de `subject_relation` (un userset migrado como holder) o de
+ * partición se ve ROJA ahí, no en los contadores.
+ *
+ * Pureza (regla 2): este módulo vive en `src/relations/` y solo depende del
+ * puerto (`../types.js`), los errores y la config de relaciones. NO importa
+ * `manager` ni `drivers/*`: los drivers concretos los inyecta el llamante (la
+ * plataforma), como `manager.reconcile` recibe el destino por su clave.
+ *
+ * **Es un PRIMITIVO PRIVADO** (cierre del auditor de alpha.10 · R1): no sabe
+ * cuál es el driver activo ni toma la ventana durable, así que ya no sale de la
+ * raíz del paquete. La vía pública es `runRelationsReconcile`
+ * (`commands/authz_relations_reconcile.ts`), que resuelve origen y destino por
+ * clave, niega la dirección rancia y congela; la guardia de superficie de
+ * `command_flags.spec.ts` impide re-exportarlo por ningún subpath.
+ */
+import { AuthorizationConfigError, MassReconcileRefusedError, RelationTypeUnknownError, RelationUnknownError, UnsupportedOperationError, } from '../errors.js';
+import { systemClock } from '../clock.js';
+import { isActiveExpiry, sameInstant } from '../expiry.js';
+import { isRelUserset } from '../types.js';
+/** La clave estable de una tupla de relación (partición + objeto + relación + sujeto). */
+function subjectKey(subject) {
+    if (isRelUserset(subject))
+        return `${subject.object.type}:${subject.object.id}#${subject.relation}`;
+    return `${subject.type}:${subject.uuid}`;
+}
+function scopeKeyOf(scope) {
+    return scope.type === 'app' ? 'app' : `${scope.type}|${scope.uuid}`;
+}
+function tupleKey(tuple) {
+    return `${scopeKeyOf(tuple.partition)}|${tuple.object.type}:${tuple.object.id}#${tuple.relation}@${subjectKey(tuple.subject)}`;
+}
+/**
+ * Enumera TODAS las tuplas de las particiones pedidas, repartidas por clave de
+ * partición. UNA pasada con `enumerateRelationsMany` si el driver lo trae
+ * (alpha.6: en `openfga`, un barrido del store en vez de K); si no, una
+ * llamada de `enumerateRelations` por partición. En los dos casos se pagina el
+ * cursor hasta agotarlo, con las mismas guardas ruidosas (un cursor que se
+ * repite o más de 100 000 páginas es un error, nunca una enumeración corta).
+ */
+async function enumerateAllMany(driver, partitions, role) {
+    if (!driver.enumerateRelations || !driver.capabilities?.enumerateRelations) {
+        throw new UnsupportedOperationError('enumerateRelations', `ser ${role} de authz:reconcile de relaciones`, 'relations', `El driver ${role} no sabe enumerar sus tuplas (capacidad 'enumerateRelations': false). ` +
+            `Sin poder leer ${role === 'destino' ? 'el destino no se ve qué sobra' : 'el origen no hay nada que migrar'}.`);
+    }
+    const out = new Map();
+    for (const partition of partitions)
+        out.set(scopeKeyOf(partition), []);
+    const collect = (tuples) => {
+        for (const tuple of tuples) {
+            const bucket = out.get(scopeKeyOf(tuple.partition));
+            // Una tupla de una partición que no se pidió no es de esta pasada: el
+            // puerto promete «solo las pedidas», y si un driver de terceros trae de
+            // más, no se migra lo ajeno.
+            if (bucket)
+                bucket.push(tuple);
+        }
+    };
+    const many = driver.enumerateRelationsMany;
+    const fetch = typeof many === 'function' && partitions.length > 1
+        ? [(after) => many.call(driver, partitions, after ? { after } : undefined)]
+        : partitions.map((partition) => (after) => driver.enumerateRelations(partition, after ? { after } : undefined));
+    for (const pageOf of fetch) {
+        const seen = new Set();
+        let after;
+        let pages = 0;
+        do {
+            const page = await pageOf(after);
+            collect(page.tuples);
+            after = page.cursor || undefined;
+            if (after) {
+                if (seen.has(after))
+                    throw new Error(`enumerateRelations (${role}): el cursor '${after}' se repite; no avanza`);
+                seen.add(after);
+                if (++pages > 100_000)
+                    throw new Error(`enumerateRelations (${role}): más de 100000 páginas sin agotar`);
+            }
+        } while (after);
+    }
+    return out;
+}
+/**
+ * Migra las tuplas de relación de `from` a `to` en `partition`. Idempotente
+ * (una segunda pasada no escribe nada) y bidireccional (funciona en cualquier
+ * sentido). Nunca silenciosa: devuelve `written`/`deleted`/`unchanged`/`extra`.
+ */
+export async function reconcileRelations(options) {
+    const { from, to, dryRun = false, prune = false, allowMassDelete = false, toConfig } = options;
+    const now = (options.now ?? systemClock)();
+    const partitions = partitionsOf(options);
+    // alpha.6: origen y destino se enumeran UNA vez para todas las particiones.
+    const enumeratedByKey = await enumerateAllMany(from, partitions, 'origen');
+    const destByKeyAll = await enumerateAllMany(to, partitions, 'destino');
+    // Primero se DECIDE todo (K diffs, K seguros R-17) y luego se escribe: un
+    // seguro que salte en la partición 3 no deja las dos primeras a medias.
+    const plans = [];
+    for (const partition of partitions) {
+        const enumerated = enumeratedByKey.get(scopeKeyOf(partition)) ?? [];
+        const destTuples = destByKeyAll.get(scopeKeyOf(partition)) ?? [];
+        plans.push(planPartition(partition, enumerated, destTuples, { now, prune, toConfig }));
+    }
+    const report = {
+        dryRun,
+        written: 0,
+        updated: 0,
+        deleted: 0,
+        unchanged: 0,
+        extra: 0,
+        modelDrift: [],
+        massDelete: false,
+        skipped: { expired: 0, undeclared: 0 },
+    };
+    for (const plan of plans) {
+        // **El seguro de borrado masivo** (R-17, paridad con `authz:reconcile` de
+        // roles / AA2). `prune` + un ORIGEN sin una sola tupla utilizable + un destino
+        // con tuplas que borrar es la firma de un `--from` equivocado o de un store
+        // vacío: vaciar el destino entero se rechaza con 500 antes de tocar nada,
+        // salvo `allowMassDelete`. En `--dry-run` no lanza, lo marca. «Utilizable» =
+        // una tupla VIVA del origen que cabe en el destino (las que `skipped`
+        // recoge no migran, así que no cuentan como respaldo).
+        if (plan.massDelete && !dryRun && !allowMassDelete) {
+            throw new MassReconcileRefusedError(`authz:relations:reconcile --prune borraría ${plan.toDelete.length} tupla(s) de relación del destino` +
+                `${partitions.length > 1 ? ` (partición ${scopeKeyOf(plan.partition)})` : ''} y el ` +
+                `ORIGEN no ha aportado NI UNA utilizable (${plan.enumerated} leídas` +
+                `${toConfig ? ', todas de tipos que el destino no declara' : ''}` +
+                `${plan.skipped.expired ? `, ${plan.skipped.expired} caducada(s)` : ''}). Eso es la firma de un --from ` +
+                `equivocado o de un store vacío, no de un destino que sobra: esta pasada dejaría la partición sin ` +
+                `una sola relación. Comprueba el --from y el store; si de verdad quieres vaciarlo, --allow-mass-delete.` +
+                `${partitions.length > 1 ? ' No se ha escrito nada en ninguna partición.' : ''}`);
+        }
+        report.massDelete ||= plan.massDelete;
+        report.skipped.expired += plan.skipped.expired;
+        report.skipped.undeclared += plan.skipped.undeclared;
+        for (const type of plan.modelDrift)
+            if (!report.modelDrift.includes(type))
+                report.modelDrift.push(type);
+    }
+    for (const plan of plans) {
+        let written = plan.toWrite.length;
+        let updated = plan.toUpdate.length;
+        if (!dryRun) {
+            // La caducidad viaja EXPLÍCITA (`Date` la fija, `null` la quita): un
+            // `relate` sin opciones PRESERVARÍA la del destino (invariante 10).
+            // L-0: el DRIVER del destino aplica F-05 (`assertRelationDeclared`), así que
+            // sin `toConfig` —o con una que no coincida con la del driver— es SU 422 el
+            // que embuda la tupla no declarada: se cuenta en `skipped.undeclared` y se
+            // descuenta de `written`/`updated`. Nunca un throw a mitad de pasada por
+            // una tupla que el reporte puede contar, y nunca un silencio.
+            for (const tuple of plan.toWrite) {
+                if (await relateOrSkip(to, tuple))
+                    continue;
+                report.skipped.undeclared += 1;
+                written -= 1;
+            }
+            for (const tuple of plan.toUpdate) {
+                if (await relateOrSkip(to, tuple))
+                    continue;
+                report.skipped.undeclared += 1;
+                updated -= 1;
+            }
+            if (prune) {
+                for (const tuple of plan.toDelete) {
+                    await to.unrelate(tuple.subject, tuple.relation, tuple.object, tuple.partition);
+                }
+            }
+        }
+        report.written += written;
+        report.updated += updated;
+        report.deleted += prune ? plan.toDelete.length : 0;
+        report.unchanged += plan.unchanged;
+        report.extra += prune ? 0 : plan.toDelete.length;
+    }
+    return report;
+}
+/** Exactamente uno de `partition` / `partitions` (y `partitions` no vacío): lo demás es 500 antes de leer nada. */
+function partitionsOf(options) {
+    const { partition, partitions } = options;
+    if (partition !== undefined && partitions !== undefined) {
+        throw new AuthorizationConfigError('reconcileRelations: pasa `partition` O `partitions`, no los dos.');
+    }
+    // alpha.10 · 5, gemelo en la API: `{ type: 'app', uuid: 'x' }` reconciliaba la
+    // RAÍZ en silencio (la clave de `app` ignora el uuid), igual que la pareja
+    // `--partition-type=app --partition-uuid=x` del comando.
+    for (const p of partition !== undefined ? [partition] : Array.isArray(partitions) ? partitions : []) {
+        if (p?.type === 'app' && p.uuid !== null && p.uuid !== undefined) {
+            throw new AuthorizationConfigError(`reconcileRelations: la partición raíz no lleva uuid (llegó { type: 'app', uuid: ${JSON.stringify(p.uuid)} }). ` +
+                'O la raíz ({ type: app, uuid: null }) o el tipo del tenant.');
+        }
+    }
+    if (partition !== undefined)
+        return [partition];
+    if (!Array.isArray(partitions) || partitions.length === 0) {
+        throw new AuthorizationConfigError('reconcileRelations: pasa `partition` (una) o `partitions` (varias, al menos una): sin partición no hay nada que migrar, ' +
+            'y una lista vacía no es una pasada en verde.');
+    }
+    // Dos referencias con la misma clave son la misma partición: se migra una vez.
+    const seen = new Set();
+    return partitions.filter((p) => {
+        const key = scopeKeyOf(p);
+        if (seen.has(key))
+            return false;
+        seen.add(key);
+        return true;
+    });
+}
+function planPartition(partition, enumerated, destTuples, context) {
+    const { now, prune, toConfig } = context;
+    // R-15: la caducada LLEGA del origen (el puerto lo exige) y aquí se DESCARTA
+    // contándola: no se migra ni respalda nada en el destino. Decidido con UN
+    // `now` para toda la pasada.
+    // L-0: la tupla cuyo tipo o relación el DESTINO no declara (F-05) se
+    // descarta AQUÍ cuando hay `toConfig` —antes del driver, así `--dry-run` y la
+    // pasada real dan los mismos números— y tampoco respalda nada en el destino
+    // (una que ya estuviera allí es `extra`, y `--prune` la barre). El tipo se
+    // reporta además en `modelDrift` (deriva del modelo fusionado).
+    const skipped = { expired: 0, undeclared: 0 };
+    const modelDrift = [];
+    const sourceTuples = [];
+    for (const tuple of enumerated) {
+        if (!isActiveExpiry(tuple.expiresAt ?? null, now)) {
+            skipped.expired += 1;
+            continue;
+        }
+        if (toConfig && !declaredIn(toConfig, tuple.object.type)) {
+            skipped.undeclared += 1;
+            if (!modelDrift.includes(tuple.object.type))
+                modelDrift.push(tuple.object.type);
+            continue;
+        }
+        if (toConfig && !toConfig.isDeclared(tuple.object.type, tuple.relation)) {
+            skipped.undeclared += 1;
+            continue;
+        }
+        sourceTuples.push(tuple);
+    }
+    const sourceByKey = new Map();
+    for (const tuple of sourceTuples)
+        sourceByKey.set(tupleKey(tuple), tuple);
+    const destByKey = new Map();
+    for (const tuple of destTuples)
+        destByKey.set(tupleKey(tuple), tuple);
+    const toWrite = [];
+    const toUpdate = [];
+    let unchanged = 0;
+    for (const [key, tuple] of sourceByKey) {
+        const present = destByKey.get(key);
+        if (!present)
+            toWrite.push(tuple);
+        // Misma clave, OTRA caducidad ⇒ se reescribe con la del origen (R-15).
+        else if (!sameInstant(present.expiresAt ?? null, tuple.expiresAt ?? null))
+            toUpdate.push(tuple);
+        else
+            unchanged += 1;
+    }
+    const toDelete = destTuples.filter((tuple) => !sourceByKey.has(tupleKey(tuple)));
+    const massDelete = prune && toDelete.length > 0 && sourceTuples.length === 0;
+    return { partition, enumerated: enumerated.length, toWrite, toUpdate, toDelete, unchanged, skipped, modelDrift, massDelete };
+}
+/** ¿El tipo de objeto cabe en el modelo fusionado del destino? (`group` es built-in: `hasType` lo incluye.) */
+function declaredIn(config, objectType) {
+    return config.hasType(objectType);
+}
+/**
+ * Escribe la tupla en el destino; `false` si el DRIVER la rechazó por F-05
+ * (tipo o relación no declarados: 422 `E_AUTHZ_RELATION_TYPE_UNKNOWN` /
+ * `E_AUTHZ_RELATION_UNKNOWN`). Cualquier otro error se propaga tal cual.
+ */
+async function relateOrSkip(to, tuple) {
+    try {
+        await to.relate(tuple.subject, tuple.relation, tuple.object, tuple.partition, {
+            expiresAt: tuple.expiresAt ?? null,
+        });
+        return true;
+    }
+    catch (error) {
+        if (error instanceof RelationTypeUnknownError || error instanceof RelationUnknownError)
+            return false;
+        throw error;
+    }
+}
+//# sourceMappingURL=reconcile.js.map

package/build/src/relations/reconcile.js.map

@@ -0,0 +1 @@
+{"version":3,"file":"reconcile.js","sourceRoot":"","sources":["../../../src/relations/reconcile.ts"],"names":[],"mappings":"AAAA;;;;;;;;;;;;;;;;;;;;;;;;;;;;GA4BG;AACH,OAAO,EACL,wBAAwB,EACxB,yBAAyB,EACzB,wBAAwB,EACxB,oBAAoB,EACpB,yBAAyB,GAC1B,MAAM,cAAc,CAAA;AACrB,OAAO,EAAE,WAAW,EAAE,MAAM,aAAa,CAAA;AAEzC,OAAO,EAAE,cAAc,EAAE,WAAW,EAAE,MAAM,cAAc,CAAA;AAC1D,OAAO,EAAE,YAAY,EAAE,MAAM,aAAa,CAAA;AAI1C,0FAA0F;AAC1F,SAAS,UAAU,CAAC,OAAmB;IACrC,IAAI,YAAY,CAAC,OAAO,CAAC;QAAE,OAAO,GAAG,OAAO,CAAC,MAAM,CAAC,IAAI,IAAI,OAAO,CAAC,MAAM,CAAC,EAAE,IAAI,OAAO,CAAC,QAAQ,EAAE,CAAA;IACnG,OAAO,GAAG,OAAO,CAAC,IAAI,IAAI,OAAO,CAAC,IAAI,EAAE,CAAA;AAC1C,CAAC;AAED,SAAS,UAAU,CAAC,KAAe;IACjC,OAAO,KAAK,CAAC,IAAI,KAAK,KAAK,CAAC,CAAC,CAAC,KAAK,CAAC,CAAC,CAAC,GAAG,KAAK,CAAC,IAAI,IAAI,KAAK,CAAC,IAAI,EAAE,CAAA;AACrE,CAAC;AAED,SAAS,QAAQ,CAAC,KAAoB;IACpC,OAAO,GAAG,UAAU,CAAC,KAAK,CAAC,SAAS,CAAC,IAAI,KAAK,CAAC,MAAM,CAAC,IAAI,IAAI,KAAK,CAAC,MAAM,CAAC,EAAE,IAAI,KAAK,CAAC,QAAQ,IAAI,UAAU,CAC3G,KAAK,CAAC,OAAO,CACd,EAAE,CAAA;AACL,CAAC;AAqHD;;;;;;;GAOG;AACH,KAAK,UAAU,gBAAgB,CAC7B,MAAuB,EACvB,UAAsB,EACtB,IAA0B;IAE1B,IAAI,CAAC,MAAM,CAAC,kBAAkB,IAAI,CAAC,MAAM,CAAC,YAAY,EAAE,kBAAkB,EAAE,CAAC;QAC3E,MAAM,IAAI,yBAAyB,CACjC,oBAAoB,EACpB,OAAO,IAAI,mCAAmC,EAC9C,WAAW,EACX,aAAa,IAAI,wEAAwE;YACvF,kBAAkB,IAAI,KAAK,SAAS,CAAC,CAAC,CAAC,+BAA+B,CAAC,CAAC,CAAC,kCAAkC,GAAG,CACjH,CAAA;IACH,CAAC;IACD,MAAM,GAAG,GAAG,IAAI,GAAG,EAA2B,CAAA;IAC9C,KAAK,MAAM,SAAS,IAAI,UAAU;QAAE,GAAG,CAAC,GAAG,CAAC,UAAU,CAAC,SAAS,CAAC,EAAE,EAAE,CAAC,CAAA;IACtE,MAAM,OAAO,GAAG,CAAC,MAAuB,EAAE,EAAE;QAC1C,KAAK,MAAM,KAAK,IAAI,MAAM,EAAE,CAAC;YAC3B,MAAM,MAAM,GAAG,GAAG,CAAC,GAAG,CAAC,UAAU,CAAC,KAAK,CAAC,SAAS,CAAC,CAAC,CAAA;YACnD,sEAAsE;YACtE,wEAAwE;YACxE,6BAA6B;YAC7B,IAAI,MAAM;gBAAE,MAAM,CAAC,IAAI,CAAC,KAAK,CAAC,CAAA;QAChC,CAAC;IACH,CAAC,CAAA;IACD,MAAM,IAAI,GAAG,MAAM,CAAC,sBAAsB,CAAA;IAC1C,MAAM,KAAK,GACT,OAAO,IAAI,KAAK,UAAU,IAAI,UAAU,CAAC,MAAM,GAAG,CAAC;QACjD,CAAC,CAAC,CAAC,CAAC,KAAc,EAAE,EAAE,CAAC,IAAI,CAAC,IAAI,CAAC,MAAM,EAAE,UAAU,EAAE,KAAK,CAAC,CAAC,CAAC,EAAE,KAAK,EAAE,CAAC,CAAC,CAAC,SAAS,CAAC,CAAC;QACpF,CAAC,CAAC,UAAU,CAAC,GAAG,CAAC,CAAC,SAAS,EAAE,EAAE,CAAC,CAAC,KAAc,EAAE,EAAE,CAAC,MAAM,CAAC,kBAAmB,CAAC,SAAS,EAAE,KAAK,CAAC,CAAC,CAAC,EAAE,KAAK,EAAE,CAAC,CAAC,CAAC,SAAS,CAAC,CAAC,CAAA;IAC7H,KAAK,MAAM,MAAM,IAAI,KAAK,EAAE,CAAC;QAC3B,MAAM,IAAI,GAAG,IAAI,GAAG,EAAU,CAAA;QAC9B,IAAI,KAAyB,CAAA;QAC7B,IAAI,KAAK,GAAG,CAAC,CAAA;QACb,GAAG,CAAC;YACF,MAAM,IAAI,GAAG,MAAM,MAAM,CAAC,KAAK,CAAC,CAAA;YAChC,OAAO,CAAC,IAAI,CAAC,MAAM,CAAC,CAAA;YACpB,KAAK,GAAG,IAAI,CAAC,MAAM,IAAI,SAAS,CAAA;YAChC,IAAI,KAAK,EAAE,CAAC;gBACV,IAAI,IAAI,CAAC,GAAG,CAAC,KAAK,CAAC;oBAAE,MAAM,IAAI,KAAK,CAAC,uBAAuB,IAAI,iBAAiB,KAAK,wBAAwB,CAAC,CAAA;gBAC/G,IAAI,CAAC,GAAG,CAAC,KAAK,CAAC,CAAA;gBACf,IAAI,EAAE,KAAK,GAAG,OAAO;oBAAE,MAAM,IAAI,KAAK,CAAC,uBAAuB,IAAI,qCAAqC,CAAC,CAAA;YAC1G,CAAC;QACH,CAAC,QAAQ,KAAK,EAAC;IACjB,CAAC;IACD,OAAO,GAAG,CAAA;AACZ,CAAC;AAED;;;;GAIG;AACH,MAAM,CAAC,KAAK,UAAU,kBAAkB,CAAC,OAAkC;IACzE,MAAM,EAAE,IAAI,EAAE,EAAE,EAAE,MAAM,GAAG,KAAK,EAAE,KAAK,GAAG,KAAK,EAAE,eAAe,GAAG,KAAK,EAAE,QAAQ,EAAE,GAAG,OAAO,CAAA;IAC9F,MAAM,GAAG,GAAG,CAAC,OAAO,CAAC,GAAG,IAAI,WAAW,CAAC,EAAE,CAAA;IAC1C,MAAM,UAAU,GAAG,YAAY,CAAC,OAAO,CAAC,CAAA;IAExC,4EAA4E;IAC5E,MAAM,eAAe,GAAG,MAAM,gBAAgB,CAAC,IAAI,EAAE,UAAU,EAAE,QAAQ,CAAC,CAAA;IAC1E,MAAM,YAAY,GAAG,MAAM,gBAAgB,CAAC,EAAE,EAAE,UAAU,EAAE,SAAS,CAAC,CAAA;IAEtE,0EAA0E;IAC1E,wEAAwE;IACxE,MAAM,KAAK,GAAoB,EAAE,CAAA;IACjC,KAAK,MAAM,SAAS,IAAI,UAAU,EAAE,CAAC;QACnC,MAAM,UAAU,GAAG,eAAe,CAAC,GAAG,CAAC,UAAU,CAAC,SAAS,CAAC,CAAC,IAAI,EAAE,CAAA;QACnE,MAAM,UAAU,GAAG,YAAY,CAAC,GAAG,CAAC,UAAU,CAAC,SAAS,CAAC,CAAC,IAAI,EAAE,CAAA;QAChE,KAAK,CAAC,IAAI,CAAC,aAAa,CAAC,SAAS,EAAE,UAAU,EAAE,UAAU,EAAE,EAAE,GAAG,EAAE,KAAK,EAAE,QAAQ,EAAE,CAAC,CAAC,CAAA;IACxF,CAAC;IAED,MAAM,MAAM,GAA6B;QACvC,MAAM;QACN,OAAO,EAAE,CAAC;QACV,OAAO,EAAE,CAAC;QACV,OAAO,EAAE,CAAC;QACV,SAAS,EAAE,CAAC;QACZ,KAAK,EAAE,CAAC;QACR,UAAU,EAAE,EAAE;QACd,UAAU,EAAE,KAAK;QACjB,OAAO,EAAE,EAAE,OAAO,EAAE,CAAC,EAAE,UAAU,EAAE,CAAC,EAAE;KACvC,CAAA;IACD,KAAK,MAAM,IAAI,IAAI,KAAK,EAAE,CAAC;QACzB,0EAA0E;QAC1E,+EAA+E;QAC/E,4EAA4E;QAC5E,0EAA0E;QAC1E,6EAA6E;QAC7E,sEAAsE;QACtE,uDAAuD;QACvD,IAAI,IAAI,CAAC,UAAU,IAAI,CAAC,MAAM,IAAI,CAAC,eAAe,EAAE,CAAC;YACnD,MAAM,IAAI,yBAAyB,CACjC,8CAA8C,IAAI,CAAC,QAAQ,CAAC,MAAM,mCAAmC;gBACnG,GAAG,UAAU,CAAC,MAAM,GAAG,CAAC,CAAC,CAAC,CAAC,eAAe,UAAU,CAAC,IAAI,CAAC,SAAS,CAAC,GAAG,CAAC,CAAC,CAAC,EAAE,QAAQ;gBACpF,4CAA4C,IAAI,CAAC,UAAU,SAAS;gBACpE,GAAG,QAAQ,CAAC,CAAC,CAAC,4CAA4C,CAAC,CAAC,CAAC,EAAE,EAAE;gBACjE,GAAG,IAAI,CAAC,OAAO,CAAC,OAAO,CAAC,CAAC,CAAC,KAAK,IAAI,CAAC,OAAO,CAAC,OAAO,cAAc,CAAC,CAAC,CAAC,EAAE,kCAAkC;gBACxG,mGAAmG;gBACnG,wGAAwG;gBACxG,GAAG,UAAU,CAAC,MAAM,GAAG,CAAC,CAAC,CAAC,CAAC,8CAA8C,CAAC,CAAC,CAAC,EAAE,EAAE,CACnF,CAAA;QACH,CAAC;QACD,MAAM,CAAC,UAAU,KAAK,IAAI,CAAC,UAAU,CAAA;QACrC,MAAM,CAAC,OAAO,CAAC,OAAO,IAAI,IAAI,CAAC,OAAO,CAAC,OAAO,CAAA;QAC9C,MAAM,CAAC,OAAO,CAAC,UAAU,IAAI,IAAI,CAAC,OAAO,CAAC,UAAU,CAAA;QACpD,KAAK,MAAM,IAAI,IAAI,IAAI,CAAC,UAAU;YAAE,IAAI,CAAC,MAAM,CAAC,UAAU,CAAC,QAAQ,CAAC,IAAI,CAAC;gBAAE,MAAM,CAAC,UAAU,CAAC,IAAI,CAAC,IAAI,CAAC,CAAA;IACzG,CAAC;IAED,KAAK,MAAM,IAAI,IAAI,KAAK,EAAE,CAAC;QACzB,IAAI,OAAO,GAAG,IAAI,CAAC,OAAO,CAAC,MAAM,CAAA;QACjC,IAAI,OAAO,GAAG,IAAI,CAAC,QAAQ,CAAC,MAAM,CAAA;QAClC,IAAI,CAAC,MAAM,EAAE,CAAC;YACZ,qEAAqE;YACrE,oEAAoE;YACpE,6EAA6E;YAC7E,4EAA4E;YAC5E,2EAA2E;YAC3E,yEAAyE;YACzE,8DAA8D;YAC9D,KAAK,MAAM,KAAK,IAAI,IAAI,CAAC,OAAO,EAAE,CAAC;gBACjC,IAAI,MAAM,YAAY,CAAC,EAAE,EAAE,KAAK,CAAC;oBAAE,SAAQ;gBAC3C,MAAM,CAAC,OAAO,CAAC,UAAU,IAAI,CAAC,CAAA;gBAC9B,OAAO,IAAI,CAAC,CAAA;YACd,CAAC;YACD,KAAK,MAAM,KAAK,IAAI,IAAI,CAAC,QAAQ,EAAE,CAAC;gBAClC,IAAI,MAAM,YAAY,CAAC,EAAE,EAAE,KAAK,CAAC;oBAAE,SAAQ;gBAC3C,MAAM,CAAC,OAAO,CAAC,UAAU,IAAI,CAAC,CAAA;gBAC9B,OAAO,IAAI,CAAC,CAAA;YACd,CAAC;YACD,IAAI,KAAK,EAAE,CAAC;gBACV,KAAK,MAAM,KAAK,IAAI,IAAI,CAAC,QAAQ,EAAE,CAAC;oBAClC,MAAM,EAAE,CAAC,QAAQ,CAAC,KAAK,CAAC,OAAO,EAAE,KAAK,CAAC,QAAQ,EAAE,KAAK,CAAC,MAAM,EAAE,KAAK,CAAC,SAAS,CAAC,CAAA;gBACjF,CAAC;YACH,CAAC;QACH,CAAC;QACD,MAAM,CAAC,OAAO,IAAI,OAAO,CAAA;QACzB,MAAM,CAAC,OAAO,IAAI,OAAO,CAAA;QACzB,MAAM,CAAC,OAAO,IAAI,KAAK,CAAC,CAAC,CAAC,IAAI,CAAC,QAAQ,CAAC,MAAM,CAAC,CAAC,CAAC,CAAC,CAAA;QAClD,MAAM,CAAC,SAAS,IAAI,IAAI,CAAC,SAAS,CAAA;QAClC,MAAM,CAAC,KAAK,IAAI,KAAK,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,IAAI,CAAC,QAAQ,CAAC,MAAM,CAAA;IAClD,CAAC;IAED,OAAO,MAAM,CAAA;AACf,CAAC;AAED,mHAAmH;AACnH,SAAS,YAAY,CAAC,OAAkC;IACtD,MAAM,EAAE,SAAS,EAAE,UAAU,EAAE,GAAG,OAAO,CAAA;IACzC,IAAI,SAAS,KAAK,SAAS,IAAI,UAAU,KAAK,SAAS,EAAE,CAAC;QACxD,MAAM,IAAI,wBAAwB,CAAC,kEAAkE,CAAC,CAAA;IACxG,CAAC;IACD,+EAA+E;IAC/E,2EAA2E;IAC3E,yDAAyD;IACzD,KAAK,MAAM,CAAC,IAAI,SAAS,KAAK,SAAS,CAAC,CAAC,CAAC,CAAC,SAAS,CAAC,CAAC,CAAC,CAAC,KAAK,CAAC,OAAO,CAAC,UAAU,CAAC,CAAC,CAAC,CAAC,UAAU,CAAC,CAAC,CAAC,EAAE,EAAE,CAAC;QACpG,IAAI,CAAC,EAAE,IAAI,KAAK,KAAK,IAAI,CAAC,CAAC,IAAI,KAAK,IAAI,IAAI,CAAC,CAAC,IAAI,KAAK,SAAS,EAAE,CAAC;YACjE,MAAM,IAAI,wBAAwB,CAChC,mFAAmF,IAAI,CAAC,SAAS,CAAC,CAAC,CAAC,IAAI,CAAC,OAAO;gBAC9G,6DAA6D,CAChE,CAAA;QACH,CAAC;IACH,CAAC;IACD,IAAI,SAAS,KAAK,SAAS;QAAE,OAAO,CAAC,SAAS,CAAC,CAAA;IAC/C,IAAI,CAAC,KAAK,CAAC,OAAO,CAAC,UAAU,CAAC,IAAI,UAAU,CAAC,MAAM,KAAK,CAAC,EAAE,CAAC;QAC1D,MAAM,IAAI,wBAAwB,CAChC,0HAA0H;YACxH,8CAA8C,CACjD,CAAA;IACH,CAAC;IACD,+EAA+E;IAC/E,MAAM,IAAI,GAAG,IAAI,GAAG,EAAU,CAAA;IAC9B,OAAO,UAAU,CAAC,MAAM,CAAC,CAAC,CAAC,EAAE,EAAE;QAC7B,MAAM,GAAG,GAAG,UAAU,CAAC,CAAC,CAAC,CAAA;QACzB,IAAI,IAAI,CAAC,GAAG,CAAC,GAAG,CAAC;YAAE,OAAO,KAAK,CAAA;QAC/B,IAAI,CAAC,GAAG,CAAC,GAAG,CAAC,CAAA;QACb,OAAO,IAAI,CAAA;IACb,CAAC,CAAC,CAAA;AACJ,CAAC;AAeD,SAAS,aAAa,CACpB,SAAmB,EACnB,UAA2B,EAC3B,UAA2B,EAC3B,OAAkE;IAElE,MAAM,EAAE,GAAG,EAAE,KAAK,EAAE,QAAQ,EAAE,GAAG,OAAO,CAAA;IACxC,6EAA6E;IAC7E,0EAA0E;IAC1E,6BAA6B;IAC7B,qEAAqE;IACrE,8EAA8E;IAC9E,4EAA4E;IAC5E,2EAA2E;IAC3E,gEAAgE;IAChE,MAAM,OAAO,GAAG,EAAE,OAAO,EAAE,CAAC,EAAE,UAAU,EAAE,CAAC,EAAE,CAAA;IAC7C,MAAM,UAAU,GAAa,EAAE,CAAA;IAC/B,MAAM,YAAY,GAAoB,EAAE,CAAA;IACxC,KAAK,MAAM,KAAK,IAAI,UAAU,EAAE,CAAC;QAC/B,IAAI,CAAC,cAAc,CAAC,KAAK,CAAC,SAAS,IAAI,IAAI,EAAE,GAAG,CAAC,EAAE,CAAC;YAClD,OAAO,CAAC,OAAO,IAAI,CAAC,CAAA;YACpB,SAAQ;QACV,CAAC;QACD,IAAI,QAAQ,IAAI,CAAC,UAAU,CAAC,QAAQ,EAAE,KAAK,CAAC,MAAM,CAAC,IAAI,CAAC,EAAE,CAAC;YACzD,OAAO,CAAC,UAAU,IAAI,CAAC,CAAA;YACvB,IAAI,CAAC,UAAU,CAAC,QAAQ,CAAC,KAAK,CAAC,MAAM,CAAC,IAAI,CAAC;gBAAE,UAAU,CAAC,IAAI,CAAC,KAAK,CAAC,MAAM,CAAC,IAAI,CAAC,CAAA;YAC/E,SAAQ;QACV,CAAC;QACD,IAAI,QAAQ,IAAI,CAAC,QAAQ,CAAC,UAAU,CAAC,KAAK,CAAC,MAAM,CAAC,IAAI,EAAE,KAAK,CAAC,QAAQ,CAAC,EAAE,CAAC;YACxE,OAAO,CAAC,UAAU,IAAI,CAAC,CAAA;YACvB,SAAQ;QACV,CAAC;QACD,YAAY,CAAC,IAAI,CAAC,KAAK,CAAC,CAAA;IAC1B,CAAC;IAED,MAAM,WAAW,GAAG,IAAI,GAAG,EAAyB,CAAA;IACpD,KAAK,MAAM,KAAK,IAAI,YAAY;QAAE,WAAW,CAAC,GAAG,CAAC,QAAQ,CAAC,KAAK,CAAC,EAAE,KAAK,CAAC,CAAA;IACzE,MAAM,SAAS,GAAG,IAAI,GAAG,EAAyB,CAAA;IAClD,KAAK,MAAM,KAAK,IAAI,UAAU;QAAE,SAAS,CAAC,GAAG,CAAC,QAAQ,CAAC,KAAK,CAAC,EAAE,KAAK,CAAC,CAAA;IAErE,MAAM,OAAO,GAAoB,EAAE,CAAA;IACnC,MAAM,QAAQ,GAAoB,EAAE,CAAA;IACpC,IAAI,SAAS,GAAG,CAAC,CAAA;IACjB,KAAK,MAAM,CAAC,GAAG,EAAE,KAAK,CAAC,IAAI,WAAW,EAAE,CAAC;QACvC,MAAM,OAAO,GAAG,SAAS,CAAC,GAAG,CAAC,GAAG,CAAC,CAAA;QAClC,IAAI,CAAC,OAAO;YAAE,OAAO,CAAC,IAAI,CAAC,KAAK,CAAC,CAAA;QACjC,uEAAuE;aAClE,IAAI,CAAC,WAAW,CAAC,OAAO,CAAC,SAAS,IAAI,IAAI,EAAE,KAAK,CAAC,SAAS,IAAI,IAAI,CAAC;YAAE,QAAQ,CAAC,IAAI,CAAC,KAAK,CAAC,CAAA;;YAC1F,SAAS,IAAI,CAAC,CAAA;IACrB,CAAC;IACD,MAAM,QAAQ,GAAoB,UAAU,CAAC,MAAM,CAAC,CAAC,KAAK,EAAE,EAAE,CAAC,CAAC,WAAW,CAAC,GAAG,CAAC,QAAQ,CAAC,KAAK,CAAC,CAAC,CAAC,CAAA;IACjG,MAAM,UAAU,GAAG,KAAK,IAAI,QAAQ,CAAC,MAAM,GAAG,CAAC,IAAI,YAAY,CAAC,MAAM,KAAK,CAAC,CAAA;IAC5E,OAAO,EAAE,SAAS,EAAE,UAAU,EAAE,UAAU,CAAC,MAAM,EAAE,OAAO,EAAE,QAAQ,EAAE,QAAQ,EAAE,SAAS,EAAE,OAAO,EAAE,UAAU,EAAE,UAAU,EAAE,CAAA;AAC9H,CAAC;AAED,+GAA+G;AAC/G,SAAS,UAAU,CAAC,MAAuB,EAAE,UAAkB;IAC7D,OAAO,MAAM,CAAC,OAAO,CAAC,UAAU,CAAC,CAAA;AACnC,CAAC;AAED;;;;GAIG;AACH,KAAK,UAAU,YAAY,CAAC,EAAmB,EAAE,KAAoB;IACnE,IAAI,CAAC;QACH,MAAM,EAAE,CAAC,MAAM,CAAC,KAAK,CAAC,OAAO,EAAE,KAAK,CAAC,QAAQ,EAAE,KAAK,CAAC,MAAM,EAAE,KAAK,CAAC,SAAS,EAAE;YAC5E,SAAS,EAAE,KAAK,CAAC,SAAS,IAAI,IAAI;SACnC,CAAC,CAAA;QACF,OAAO,IAAI,CAAA;IACb,CAAC;IAAC,OAAO,KAAK,EAAE,CAAC;QACf,IAAI,KAAK,YAAY,wBAAwB,IAAI,KAAK,YAAY,oBAAoB;YAAE,OAAO,KAAK,CAAA;QACpG,MAAM,KAAK,CAAA;IACb,CAAC;AACH,CAAC"}

package/build/src/relations_config_store.d.ts

@@ -0,0 +1,22 @@
+import type { RelationsConfig, RelationsConfigSpec } from './relations/define_relations_config.js';
+export interface RelationsConfigStoreOptions {
+    connection?: string;
+    timeoutMs?: number;
+}
+/**
+ * **Guarda (persiste) la config de relaciones** bajo el gate de versión: la
+ * valida (⚪4/F-05 de config), la serializa a JSON y hace UPSERT de la fila
+ * `id=1` dentro de `withAuthzCatalogWrite` —que sube la versión compartida como
+ * última sentencia (invariante 14): un sync en otro proceso la ve en la
+ * siguiente pregunta—. Devuelve la config congelada.
+ */
+export declare function saveRelationsConfig(spec: RelationsConfigSpec, options?: RelationsConfigStoreOptions): Promise<RelationsConfig>;
+/** Lee el spec persistido (o `null` si no hay relaciones declaradas — opt-in). */
+export declare function readRelationsConfigSpec(options?: RelationsConfigStoreOptions): Promise<RelationsConfigSpec | null>;
+/**
+ * Lee la config persistida ya VALIDADA (o `null`). Es lo que hace 🟡3: un
+ * proceso SIN `defineRelationsConfig` en memoria recupera aquí los tipos de
+ * relación de la base, así que el modelo que republique los lleva.
+ */
+export declare function readRelationsConfig(options?: RelationsConfigStoreOptions): Promise<RelationsConfig | null>;
+//# sourceMappingURL=relations_config_store.d.ts.map

package/build/src/relations_config_store.d.ts.map

@@ -0,0 +1 @@
+{"version":3,"file":"relations_config_store.d.ts","sourceRoot":"","sources":["../../src/relations_config_store.ts"],"names":[],"mappings":"AA4BA,OAAO,KAAK,EAAE,eAAe,EAAE,mBAAmB,EAAE,MAAM,wCAAwC,CAAA;AAMlG,MAAM,WAAW,2BAA2B;IAC1C,UAAU,CAAC,EAAE,MAAM,CAAA;IACnB,SAAS,CAAC,EAAE,MAAM,CAAA;CACnB;AAMD;;;;;;GAMG;AACH,wBAAsB,mBAAmB,CACvC,IAAI,EAAE,mBAAmB,EACzB,OAAO,GAAE,2BAAgC,GACxC,OAAO,CAAC,eAAe,CAAC,CAc1B;AAED,kFAAkF;AAClF,wBAAsB,uBAAuB,CAC3C,OAAO,GAAE,2BAAgC,GACxC,OAAO,CAAC,mBAAmB,GAAG,IAAI,CAAC,CAMrC;AAED;;;;GAIG;AACH,wBAAsB,mBAAmB,CACvC,OAAO,GAAE,2BAAgC,GACxC,OAAO,CAAC,eAAe,GAAG,IAAI,CAAC,CAGjC"}

package/build/src/relations_config_store.js

@@ -0,0 +1,74 @@
+/**
+ * **La config de relaciones PERSISTIDA** (Fase 4, lote 4-5 · 🟡3) — vive en la
+ * tabla `authz_relations_config`, bajo el gate de versión (invariante 14), como
+ * el catálogo. Es la copia de la config de relaciones en la BASE, para que
+ * cualquier proceso —también uno SIN `defineRelationsConfig` en memoria— lea
+ * los tipos declarados. Hoy la CONSUME `authz:relations:reconcile` (la config
+ * del DESTINO, para vigilar la deriva del modelo fusionado en `--dry-run`).
+ *
+ * Este módulo vive en `src/` (NO en `src/relations/`, que la regla 2 de pureza
+ * mantiene aislado del `db`): es la ruta que TOCA la base, como `catalog.ts`.
+ * Importa el TIPO y el validador de `src/relations/` (la dirección permitida:
+ * `relations/` no importa hacia afuera; los demás sí importan de él).
+ *
+ * **Nota (Fase 4-8):** el modelo fusionado del store lo publica
+ * `openfga:provision` leyendo los tipos de relación del CONFIG estático
+ * (`relations.config`, como `permissions` sale de `catalogs`), no de esta
+ * tabla: el comando es `startApp: false` (bootstrap del appliance, sin base) y
+ * no puede leer la base. Por eso el antiguo `republishFusedModel` —el
+ * republicador basado en esta tabla, con CAS sobre `model_id`— se retiró en
+ * 4-8: no tenía llamador de producción (la carrera que protegía no ocurre;
+ * republicar el modelo es un paso manual de operador, escritor único). Ver el
+ * informe 4-8. La columna `model_id` queda sin uso (cleanup futuro).
+ */
+import { systemClock } from './clock.js';
+import { guardSql } from './shared/backend_guard.js';
+import db from '@adonisjs/lucid/services/db';
+import { invalidateAuthzCatalog, withAuthzCatalogWrite } from './catalog/catalog_cache.js';
+import { defineRelationsConfig } from './relations/define_relations_config.js';
+const TABLE = 'authz_relations_config';
+const ROW_ID = 1;
+const DEFAULT_TIMEOUT_MS = 5_000;
+function connectionOf(options) {
+    return options?.connection ? db.connection(options.connection) : db;
+}
+/**
+ * **Guarda (persiste) la config de relaciones** bajo el gate de versión: la
+ * valida (⚪4/F-05 de config), la serializa a JSON y hace UPSERT de la fila
+ * `id=1` dentro de `withAuthzCatalogWrite` —que sube la versión compartida como
+ * última sentencia (invariante 14): un sync en otro proceso la ve en la
+ * siguiente pregunta—. Devuelve la config congelada.
+ */
+export async function saveRelationsConfig(spec, options = {}) {
+    // Valida ANTES de escribir: una config inválida no ensucia la tabla.
+    const config = defineRelationsConfig(spec);
+    const json = JSON.stringify(spec);
+    await withAuthzCatalogWrite(async (trx) => {
+        const existing = await trx.from(TABLE).where('id', ROW_ID).first();
+        if (existing) {
+            await trx.from(TABLE).where('id', ROW_ID).update({ spec: json, updated_at: systemClock() });
+        }
+        else {
+            await trx.table(TABLE).insert({ id: ROW_ID, spec: json, model_id: null, updated_at: systemClock() });
+        }
+    }, options);
+    invalidateAuthzCatalog();
+    return config;
+}
+/** Lee el spec persistido (o `null` si no hay relaciones declaradas — opt-in). */
+export async function readRelationsConfigSpec(options = {}) {
+    const row = await guardSql('relations-config', 'read', options.timeoutMs ?? DEFAULT_TIMEOUT_MS, () => connectionOf(options).from(TABLE).where('id', ROW_ID).first());
+    if (!row?.spec)
+        return null;
+    return JSON.parse(String(row.spec));
+}
+/**
+ * Lee la config persistida ya VALIDADA (o `null`). Es lo que hace 🟡3: un
+ * proceso SIN `defineRelationsConfig` en memoria recupera aquí los tipos de
+ * relación de la base, así que el modelo que republique los lleva.
+ */
+export async function readRelationsConfig(options = {}) {
+    const spec = await readRelationsConfigSpec(options);
+    return spec ? defineRelationsConfig(spec) : null;
+}
+//# sourceMappingURL=relations_config_store.js.map

package/build/src/relations_config_store.js.map

@@ -0,0 +1 @@
+{"version":3,"file":"relations_config_store.js","sourceRoot":"","sources":["../../src/relations_config_store.ts"],"names":[],"mappings":"AAAA;;;;;;;;;;;;;;;;;;;;;;GAsBG;AACH,OAAO,EAAE,WAAW,EAAE,MAAM,YAAY,CAAA;AACxC,OAAO,EAAE,QAAQ,EAAE,MAAM,2BAA2B,CAAA;AACpD,OAAO,EAAE,MAAM,6BAA6B,CAAA;AAC5C,OAAO,EAAE,sBAAsB,EAAE,qBAAqB,EAAE,MAAM,4BAA4B,CAAA;AAC1F,OAAO,EAAE,qBAAqB,EAAE,MAAM,wCAAwC,CAAA;AAG9E,MAAM,KAAK,GAAG,wBAAwB,CAAA;AACtC,MAAM,MAAM,GAAG,CAAC,CAAA;AAChB,MAAM,kBAAkB,GAAG,KAAK,CAAA;AAOhC,SAAS,YAAY,CAAC,OAAqC;IACzD,OAAO,OAAO,EAAE,UAAU,CAAC,CAAC,CAAC,EAAE,CAAC,UAAU,CAAC,OAAO,CAAC,UAAU,CAAC,CAAC,CAAC,CAAC,EAAE,CAAA;AACrE,CAAC;AAED;;;;;;GAMG;AACH,MAAM,CAAC,KAAK,UAAU,mBAAmB,CACvC,IAAyB,EACzB,UAAuC,EAAE;IAEzC,qEAAqE;IACrE,MAAM,MAAM,GAAG,qBAAqB,CAAC,IAAI,CAAC,CAAA;IAC1C,MAAM,IAAI,GAAG,IAAI,CAAC,SAAS,CAAC,IAAI,CAAC,CAAA;IACjC,MAAM,qBAAqB,CAAC,KAAK,EAAE,GAAG,EAAE,EAAE;QACxC,MAAM,QAAQ,GAAG,MAAM,GAAG,CAAC,IAAI,CAAC,KAAK,CAAC,CAAC,KAAK,CAAC,IAAI,EAAE,MAAM,CAAC,CAAC,KAAK,EAAE,CAAA;QAClE,IAAI,QAAQ,EAAE,CAAC;YACb,MAAM,GAAG,CAAC,IAAI,CAAC,KAAK,CAAC,CAAC,KAAK,CAAC,IAAI,EAAE,MAAM,CAAC,CAAC,MAAM,CAAC,EAAE,IAAI,EAAE,IAAI,EAAE,UAAU,EAAE,WAAW,EAAE,EAAE,CAAC,CAAA;QAC7F,CAAC;aAAM,CAAC;YACN,MAAM,GAAG,CAAC,KAAK,CAAC,KAAK,CAAC,CAAC,MAAM,CAAC,EAAE,EAAE,EAAE,MAAM,EAAE,IAAI,EAAE,IAAI,EAAE,QAAQ,EAAE,IAAI,EAAE,UAAU,EAAE,WAAW,EAAE,EAAE,CAAC,CAAA;QACtG,CAAC;IACH,CAAC,EAAE,OAAO,CAAC,CAAA;IACX,sBAAsB,EAAE,CAAA;IACxB,OAAO,MAAM,CAAA;AACf,CAAC;AAED,kFAAkF;AAClF,MAAM,CAAC,KAAK,UAAU,uBAAuB,CAC3C,UAAuC,EAAE;IAEzC,MAAM,GAAG,GAAQ,MAAM,QAAQ,CAAC,kBAAkB,EAAE,MAAM,EAAE,OAAO,CAAC,SAAS,IAAI,kBAAkB,EAAE,GAAG,EAAE,CACxG,YAAY,CAAC,OAAO,CAAC,CAAC,IAAI,CAAC,KAAK,CAAC,CAAC,KAAK,CAAC,IAAI,EAAE,MAAM,CAAC,CAAC,KAAK,EAAE,CAC9D,CAAA;IACD,IAAI,CAAC,GAAG,EAAE,IAAI;QAAE,OAAO,IAAI,CAAA;IAC3B,OAAO,IAAI,CAAC,KAAK,CAAC,MAAM,CAAC,GAAG,CAAC,IAAI,CAAC,CAAwB,CAAA;AAC5D,CAAC;AAED;;;;GAIG;AACH,MAAM,CAAC,KAAK,UAAU,mBAAmB,CACvC,UAAuC,EAAE;IAEzC,MAAM,IAAI,GAAG,MAAM,uBAAuB,CAAC,OAAO,CAAC,CAAA;IACnD,OAAO,IAAI,CAAC,CAAC,CAAC,qBAAqB,CAAC,IAAI,CAAC,CAAC,CAAC,CAAC,IAAI,CAAA;AAClD,CAAC"}

package/build/src/scope_outbox.d.ts

@@ -0,0 +1,123 @@
+/**
+ * **La outbox del árbol sobre Lucid** (3b-2d; panel 2, cruce 4 · S5).
+ *
+ * El puerto es `ScopeOutbox` (`src/types.ts`) y el paquete NO impone tabla:
+ * cualquier implementación vale. Esta es la que se publica para quien no
+ * quiera escribir la suya, junto con su migración
+ * (`stubs/scopes_outbox_migration.stub`, que hay que COPIAR al proyecto:
+ * `configure` no la publica sola porque la outbox es opt-in).
+ *
+ *   import { sqlScopeOutbox } from '@jantstack/adonis-authz'
+ *
+ *   const outbox = sqlScopeOutbox()
+ *   export default defineConfig({
+ *     scopes: { resolveChain, outbox },
+ *     ...
+ *   })
+ *
+ *   // y en el sitio donde mueves tu árbol:
+ *   await db.transaction(async (trx) => {
+ *     await authorization.scopes.moved(unit, nuevaOrg, { within, actor, transaction: trx })
+ *     await unit.useTransaction(trx).merge({ organizationId: nuevaOrg.uuid }).save()
+ *   })
+ *
+ * Lo único que tiene que cumplir una implementación del puerto es que
+ * `enqueue` escriba DENTRO de la transacción que le pasan: es lo que hace
+ * que el cambio del árbol y su propagación al backend confirmen —o se vayan—
+ * juntos. Todo lo demás (nombres de columna, si las filas aplicadas se
+ * borran o se marcan, si hay reintento con backoff) es del consumidor.
+ *
+ * Aquí las filas aplicadas se MARCAN (`applied_at`), no se borran: la cola
+ * es también el registro de lo que se propagó y cuándo, y `authz:scopes:relay`
+ * no puede ser silencioso.
+ */
+import type { Clock } from './clock.js';
+import type { ScopeOutbox } from './types.js';
+export interface SqlScopeOutboxOptions {
+    /** Tabla de la cola (default `authz_scope_outbox`, la del stub). */
+    table?: string;
+    /** Nombre de la conexión Lucid (default: la primaria). */
+    connection?: string;
+    /** Deadline de cada consulta en ms (default 5000): vencido ⇒ 503. */
+    timeoutMs?: number;
+    /**
+     * Reloj de pared con el que se sellan `created_at` y `applied_at`
+     * (2.5 · J1). Default `() => new Date()`; inyectable para fijar el
+     * instante en tests.
+     */
+    now?: Clock;
+    /**
+     * **Cuántas veces se reintenta una entrada antes de APARCARLA** (3b-2h ·
+     * 🔴 2; default 5). Alcanzado el tope, `pending()` deja de ofrecerla y sale
+     * por `dead()`: hay entradas que no se pueden aplicar NUNCA —el scope padre
+     * del `attached` encolado lo borró el tenant antes del relevo y no va a
+     * volver— y sin tope esa fila se reintenta en todas las pasadas para
+     * siempre. Aparcar no es olvidar: el relay la reporta en cada pasada y el
+     * comando sale ≠ 0 mientras haya alguna, porque el árbol del backend queda
+     * permanentemente divergente en ese nodo (lo reconcilia `authz:reconcile`,
+     * 3b-3, o un `scopes.detached`/`attached` nuevo del consumidor).
+     */
+    maxAttempts?: number;
+    /**
+     * **Encolar sin `{ transaction }` es 500** (2.4.0-alpha.8; panel relay 2,
+     * cuestión 6; P13 del tester). Con `true`, `enqueue` sin la transacción
+     * ABIERTA del llamante es 500 `E_AUTHZ_CONFIG` ANTES del INSERT: la fila
+     * confirmaría sola, fuera de tu unidad de trabajo, y si tu transacción
+     * revierte después el relay aplica al store un cambio que en TU base no
+     * ocurrió — la fuga S5 por el camino de uso «correcto» (SQL dice un padre y
+     * el PDP otro, sin que tu base pueda enseñártelo). Default **`false`** en
+     * alpha.8 porque el contrato PUBLICADO (`runScopeOutboxContract`) encola sin
+     * transacción en `ctx()` y un default `true` pondría en rojo a todo tercero;
+     * **pasa a `true` en 2.5** (decisión del dueño), cuando el contrato pase la
+     * transacción en `ctx()`. Ponlo a `true` hoy: es la letra de la mitigación.
+     */
+    requireTransaction?: boolean;
+}
+/** Lo que se necesita del `db` de Lucid; inyectable para probar sin servidor. */
+interface DatabaseLike {
+    from(table: string): any;
+    table(table: string): any;
+}
+/**
+ * **Los nombres del lease de una cola** (2.4.0-alpha.5 · R6; tester del panel
+ * relay). Hasta alpha.4 el nombre era `authz_scope_outbox:<conexión>:<tabla>`
+ * recortado a 64 caracteres para MySQL: dos despliegues cuya conexión+tabla
+ * coincidieran en los primeros 64 COMPARTÍAN lease y se excluían para siempre
+ * — y el modo de fallo era `busy: true`, que no lanza: el relay de uno de los
+ * dos no corría nunca, en silencio. Desde alpha.5 el nombre es un hash
+ * ESTABLE del nombre completo (`current`, 59 caracteres), que no colisiona.
+ *
+ * **Transición**: `sqlScopeOutbox.acquire()` toma el lock viejo (`legacy`, el
+ * recortado) Y el nuevo durante alpha.5, porque en un rolling deploy un
+ * proceso con alpha.4 y otro con alpha.5 tienen que seguir excluyéndose
+ * (+0,56 ms medidos por `acquire`). El viejo se retira en 2.5 (CHANGELOG):
+ * mientras dure la transición, dos tablas con los mismos 64 primeros
+ * caracteres siguen compartiendo el `legacy` — la colisión solo se cierra
+ * del todo al retirarlo. Exportado para que el caso lo fije sin MySQL.
+ */
+/**
+ * **Retirada del lock viejo, atada a la versión (cierre alpha.6).** `acquire()` toma
+ * el nombre `legacy` SOLO mientras `SCOPE_OUTBOX_TAKES_LEGACY_LOCK` sea `true`, y
+ * `tests/scope_outbox.spec.ts` exige que ese flag valga exactamente
+ * «`package.json` ≤ `SCOPE_OUTBOX_LEGACY_LOCK_UNTIL`»: en cuanto alguien suba la
+ * versión por encima de la última que necesita la transición, la suite se pone en
+ * ROJO hasta que el flag pase a `false` (y el caso MySQL de R6 se ajuste). Nadie
+ * tiene que acordarse: el propio bump lo exige. Por qué no se retira en la misma
+ * versión que estrena el nombre nuevo: durante un despliegue rodante los procesos
+ * de alpha.4 sostienen el viejo y los nuevos el nuevo, y ninguno ve al otro —
+ * dos escritores justo entonces.
+ */
+export declare const SCOPE_OUTBOX_LEGACY_LOCK_UNTIL = "2.4.0-alpha.6";
+/**
+ * `false` desde `2.4.0-alpha.7`: la transición terminó (decisión del dueño 2026-09-10: sin
+ * consumidores en MySQL desplegando desde alpha.4, la transición no protegía a nadie). Subir
+ * desde ≤ alpha.4 en MySQL exige parada completa del relay, no despliegue rodante.
+ */
+export declare const SCOPE_OUTBOX_TAKES_LEGACY_LOCK = false;
+export declare function scopeOutboxLockNames(connection: string | undefined, table: string): {
+    legacy: string;
+    current: string;
+};
+export declare function sqlScopeOutbox(options?: SqlScopeOutboxOptions, database?: DatabaseLike): ScopeOutbox;
+export {};
+//# sourceMappingURL=scope_outbox.d.ts.map

package/build/src/scope_outbox.d.ts.map

@@ -0,0 +1 @@
+{"version":3,"file":"scope_outbox.d.ts","sourceRoot":"","sources":["../../src/scope_outbox.ts"],"names":[],"mappings":"AAAA;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;GAgCG;AAMH,OAAO,KAAK,EAAE,KAAK,EAAE,MAAM,YAAY,CAAA;AAMvC,OAAO,KAAK,EAEV,WAAW,EAOZ,MAAM,YAAY,CAAA;AAEnB,MAAM,WAAW,qBAAqB;IACpC,oEAAoE;IACpE,KAAK,CAAC,EAAE,MAAM,CAAA;IACd,0DAA0D;IAC1D,UAAU,CAAC,EAAE,MAAM,CAAA;IACnB,qEAAqE;IACrE,SAAS,CAAC,EAAE,MAAM,CAAA;IAClB;;;;OAIG;IACH,GAAG,CAAC,EAAE,KAAK,CAAA;IACX;;;;;;;;;;OAUG;IACH,WAAW,CAAC,EAAE,MAAM,CAAA;IACpB;;;;;;;;;;;;OAYG;IACH,kBAAkB,CAAC,EAAE,OAAO,CAAA;CAC7B;AAgBD,iFAAiF;AACjF,UAAU,YAAY;IACpB,IAAI,CAAC,KAAK,EAAE,MAAM,GAAG,GAAG,CAAA;IACxB,KAAK,CAAC,KAAK,EAAE,MAAM,GAAG,GAAG,CAAA;CAC1B;AAiCD;;;;;;;;;;;;;;;;GAgBG;AACH;;;;;;;;;;;GAWG;AACH,eAAO,MAAM,8BAA8B,kBAAkB,CAAA;AAC7D;;;;GAIG;AACH,eAAO,MAAM,8BAA8B,QAAQ,CAAA;AAEnD,wBAAgB,oBAAoB,CAAC,UAAU,EAAE,MAAM,GAAG,SAAS,EAAE,KAAK,EAAE,MAAM,GAAG;IAAE,MAAM,EAAE,MAAM,CAAC;IAAC,OAAO,EAAE,MAAM,CAAA;CAAE,CAMvH;AAoGD,wBAAgB,cAAc,CAC5B,OAAO,GAAE,qBAA0B,EACnC,QAAQ,GAAE,YAA4C,GACrD,WAAW,CAqWb"}