@jantstack/adonis-authz 2.0.0-alpha.1 → 2.4.0-alpha.2

package/build/src/drivers/openfga_relations_driver.js

@@ -0,0 +1,590 @@
+/**
+ * Driver `openfga` del puerto `RelationsDriver` — ReBAC sobre el MISMO store y
+ * `modelId` que el driver `facts` de roles (Fase 4, lote 4-4).
+ *
+ * Store COMPARTIDO (decisión del dueño / juez §2): las relaciones ReBAC viven
+ * en el modelo FUSIONADO (`facts` + `group` + los tipos de objeto del
+ * consumidor), así que `relate`/`unrelate` son `Write`/delete de tuplas del
+ * mismo store, `check` es UN solo `Check` (el modelo resuelve includes +
+ * usersets del lado del servidor) y `list*` van por `ListObjects`/`Read`.
+ *
+ * **La partición va en el ID del objeto y del userset**, no en el modelo:
+ * `document:<scopeKey(partition)>|<uuid>`, `group:<scopeKey(partition)>|<uuid>#member`.
+ * El cruce de particiones se corta por comparación de string —aquí NO hay
+ * trigger como en `database`, así que F-05 (en el manager) + la comparación de
+ * string son la ÚNICA defensa de tenant—. El id lleva DOS `|` cuando la
+ * partición es un scope no-raíz (`document:unit|<partUuid>|<objUuid>`), así que
+ * el parseo es CANÓNICO desde la DERECHA (⚪5, el mismo cuidado que
+ * `parseBindingId`): partición = todo menos el ÚLTIMO segmento; el id del
+ * objeto es el último y no contiene `|`.
+ *
+ * **La frontera del 🔴 (F-05) NO vive aquí**: la cierra el `RelationsManager`
+ * ANTES de tocar el driver (un `object.type` no declarado ⇒ 422) junto con ⚪4
+ * (un tipo reservado no se puede declarar). Si a este driver se le llama en
+ * DIRECTO con `object.type: 'role_binding'` (la salida `manager.driver()`, de
+ * plataforma), compondría el id de un binding real y escalaría — por eso el
+ * caso-exploit del auditor se cierra en el manager, y el runner publica el
+ * caso para que un driver de terceros que no lo cumpla NO pase el contrato.
+ *
+ * Pureza: vive detrás del subpath `@jantstack/adonis-authz/openfga`
+ * (`src/openfga.ts`), como el driver `facts` de roles: es lo único que puede
+ * tocar `@openfga/sdk` (peer opcional). La abstracción no filtra: ningún error
+ * del SDK escapa (todo va por `#guard`, que clasifica a 503/timeout).
+ */
+import { OpenFgaClient, ConsistencyPreference, ClientWriteRequestOnMissingDeletes, ClientWriteRequestOnDuplicateWrites, } from '@openfga/sdk';
+import { AuthorizationBackendError, AuthorizationBackendTimeoutError, AuthorizationConfigError, InvalidIdentityError, PurgeIncompleteError, UnsupportedOperationError, } from '../errors.js';
+import { assertScope, assertSubject, assertRelationId, assertExpiresAt, scopeKey, scopeSpellings } from '../identity.js';
+import { isClock, systemClock } from '../clock.js';
+import { resolveGrantExpiry, sameInstant, toExpiryDate } from '../expiry.js';
+import { isRelUserset } from '../types.js';
+import { assertFgaObjectId, FACTS_EXPIRY_CONDITION, FACTS_GROUP_TYPE, } from './openfga_facts.js';
+import { assertRelationDeclared } from '../relations/define_relations_config.js';
+export const DEFAULT_TIMEOUT_MS = 5_000;
+/** Tope de operaciones por `Write` en FGA (`exceeded_entity_limit` a partir de 100). */
+const WRITE_BATCH_SIZE = 100;
+/** Tamaño de página de `Read` (máximo del servidor). */
+const READ_PAGE_SIZE = 100;
+/**
+ * Cota de páginas de una enumeración por `Read`. Un `continuation_token` que
+ * no avanza (servidor roto, proxy, caché) sería un bucle que ningún deadline
+ * corta (el deadline es por llamada). Mismo patrón que el driver de roles.
+ */
+const MAX_READ_PAGES = 10_000;
+/**
+ * El tope de `ListObjects` del servidor por defecto (`OPENFGA_LIST_OBJECTS_MAX_RESULTS`).
+ * `ListObjects` NO devuelve señal de truncado ni `continuation_token`: corta al
+ * tope y calla. La única forma honesta de detectar el corte es comparar el
+ * número de resultados con el tope CONFIGURADO del servidor —de ahí la opción
+ * `listObjectsMaxResults`—: si vuelven `>= tope`, no se puede prometer que la
+ * lista esté completa ⇒ `truncated: true` (lección S16/L0.7: nunca una lista
+ * parcial MUDA). Ponerlo por debajo del tope real del servidor daría un
+ * truncado FALSO (el servidor devolvió todo); por encima, se perdería el corte.
+ */
+const DEFAULT_LIST_OBJECTS_MAX = 1_000;
+/**
+ * Ignora duplicados en el `Write` de una tupla que NO estaba (idempotencia de
+ * dos `relate` concurrentes idénticos). Cambiar la caducidad de una que SÍ
+ * está es delete+write (R-15): FGA no admite reescribir la condición de una
+ * tupla existente y un `Ignore` la dejaría con la caducidad vieja en silencio.
+ */
+const IGNORE_DUPLICATE_WRITES = {
+    conflict: { onDuplicateWrites: ClientWriteRequestOnDuplicateWrites.Ignore },
+};
+/** Ignora deletes de tuplas ya ausentes (re-unrelate no-op seguro, invariante 6). */
+const IGNORE_MISSING_DELETES = {
+    conflict: { onMissingDeletes: ClientWriteRequestOnMissingDeletes.Ignore },
+};
+export class OpenFgaRelationsDriver {
+    /**
+     * Lo que declara (cada valor tiene su cara en `runRelationsDriverContract`):
+     *  - `singleCheckRelations: true`: `check` es UN solo `Check` (el modelo
+     *    resuelve includes + usersets del lado del servidor).
+     *  - `listObjectsInherited: false`: `list*` no abren el subárbol de
+     *    particiones (invariante 7); `ListObjects` sí resuelve la derivación del
+     *    modelo (includes/usersets), que es «directos + derivados», no herencia
+     *    de scopes.
+     *  - `usersetSubjects: true`: `listSubjects` (`Read`) trae los usersets
+     *    directos (`group#member`) junto con los holders.
+     *  - `membersOfNative: false`: la membresía TRANSITIVA sería `ListUsers`, que
+     *    trunca al tope del servidor; se declara 500 `E_AUTHZ_UNSUPPORTED`, jamás
+     *    un userset enumerado a medias (par de `purgeRole` de la 3b).
+     *  - `enumerateRelations: true` (4-5): es ORIGEN de `authz:reconcile` de
+     *    relaciones — lee el store ENTERO (`Read({})`, la única forma de ver todo
+     *    sin filtro por user u objeto: un `Read` por tipo-solo sin user es un 400)
+     *    y devuelve SOLO las tuplas de relación de la partición (tipo declarado o
+     *    `group`), descartando las de `facts` (scope/role/role_binding).
+     *  - `listObjectsTruncation: true`: `ListObjects` trunca al tope del servidor
+     *    y este driver lo SEÑALA (medido contra el `:8103` de tope 3).
+     *  - `injectableClock: true` (R-15): `withClock(now)` fija el reloj que viaja
+     *    como `current_time` y filtra `listSubjects`, como el driver de roles.
+     */
+    capabilities = Object.freeze({
+        singleCheckRelations: true,
+        listObjectsInherited: false,
+        usersetSubjects: true,
+        membersOfNative: false,
+        enumerateRelations: true,
+        listObjectsTruncation: true,
+        injectableClock: true,
+        // L-2/L-5 (panel `{trx}`, (C)): `false` EXPLÍCITO, y no puede ser otra
+        // cosa — una tupla no entra en una transacción SQL: el store es otro
+        // servicio y no hay 2PC, así que «los dos o ninguno» con la transacción
+        // del consumidor es una promesa que este driver no puede hacer, y no la
+        // hace. `{ transaction }` es 500 `E_AUTHZ_UNSUPPORTED` por llamada, en el
+        // `RelationsManager` (puerta 1) Y en el driver (`#rejectTransaction`,
+        // para quien entre por `manager.driver()` o por `reconcileRelations`),
+        // con CERO llamadas al store (L-5 lo fija contra el `:8101` con espía
+        // sobre el cliente). La alternativa que SÍ existe es para el ÁRBOL de
+        // scopes: `scopes.outbox` encola en tu transacción y `authz:scopes:relay`
+        // aplica. Para las RELACIONES no hay outbox (el panel la descartó:
+        // fail-open medido durante el lag); el consumidor lee esta capacidad y
+        // ajusta (usa `database` para lo que tenga que ir en su transacción, o
+        // `requireTransactionalWrites` para fallar al arrancar).
+        transactionalWrites: false,
+    });
+    client;
+    #config;
+    #options;
+    #now;
+    #holderTypes;
+    #fgaToMorph;
+    #timeoutMs;
+    #consistency;
+    #listObjectsMax;
+    #logger;
+    diagnostics = { unparseableTuples: 0 };
+    constructor(config, options) {
+        this.#config = config;
+        this.#options = options;
+        this.#now = options.now ?? systemClock;
+        this.#holderTypes = options.holderTypes;
+        this.#fgaToMorph = Object.fromEntries(Object.entries(options.holderTypes).map(([morph, fga]) => [fga, morph]));
+        this.#timeoutMs = options.timeoutMs ?? DEFAULT_TIMEOUT_MS;
+        this.#consistency =
+            options.consistency === 'minimize_latency'
+                ? ConsistencyPreference.MinimizeLatency
+                : ConsistencyPreference.HigherConsistency;
+        this.#listObjectsMax = options.listObjectsMaxResults ?? DEFAULT_LIST_OBJECTS_MAX;
+        this.#logger = options.logger ?? console;
+        this.client = new OpenFgaClient({
+            apiUrl: options.apiUrl,
+            storeId: options.storeId,
+            authorizationModelId: options.modelId,
+            baseOptions: { timeout: this.#timeoutMs },
+            retryParams: { maxRetry: 0 },
+        });
+    }
+    /**
+     * Vista de este driver con OTRO reloj de pared (R-15, paridad con
+     * `AuthorizationDriver.withClock`): MISMO cliente (store, modelo, deadline),
+     * solo cambia el `now` que decide la caducidad. Se construye una instancia
+     * nueva y se le presta el cliente (el espía de «1 Check» envuelve
+     * `client.check` de la instancia base y tiene que seguir viéndolo).
+     */
+    withClock(now) {
+        if (!isClock(now)) {
+            throw new AuthorizationConfigError(`withClock: now debe ser una función () => Date (llegó ${typeof now})`);
+        }
+        const view = new OpenFgaRelationsDriver(this.#config, { ...this.#options, now });
+        view.client = this.client;
+        return view;
+    }
+    /** El `context` de todo `Check`/`ListObjects`: la condición `not_expired` se evalúa contra este instante (un `now` por operación). */
+    #checkContext(at) {
+        return { current_time: at.toISOString() };
+    }
+    /* ── Clasificación de fallos (la abstracción no filtra) ─────────────────── */
+    async #guard(operation, fn) {
+        try {
+            return await fn();
+        }
+        catch (error) {
+            // Un error del paquete (422/500 ya clasificado) se propaga tal cual.
+            if (error instanceof InvalidIdentityError || error instanceof PurgeIncompleteError)
+                throw error;
+            if (isTimeoutLike(error)) {
+                throw new AuthorizationBackendTimeoutError('openfga-relations', operation, this.#timeoutMs, error);
+            }
+            throw new AuthorizationBackendError('openfga-relations', operation, error);
+        }
+    }
+    /* ── Composición y parseo de ids (⚪5: partición por string en el id) ────── */
+    /** `<type>:<scopeKey(partition)>|<objectUuid>`. */
+    #objectId(objectType, partitionKey, objectUuid) {
+        // R-16 (defensa en profundidad, paridad con `database`): el `object.id` con
+        // la gramática estricta ANTES de componer. Un `|`/`#`/`:`/espacio dentro se
+        // escribía (solo se medía la longitud) y luego se perdía en el parseo por
+        // el último `|` —invisible en enumeración y `reconcile`—. `manager.driver()`
+        // salta el manager, así que el driver aplica la MISMA regla que él.
+        assertRelationId(`el id del objeto '${objectType}'`, objectUuid);
+        const id = `${objectType}:${partitionKey}|${objectUuid}`;
+        assertFgaObjectId(objectType, id);
+        return id;
+    }
+    /**
+     * El `user` FGA de un sujeto: holder ⇒ `<fgaType>:<uuid>`; userset ⇒
+     * `<type>:<scopeKey(partition)>|<objUuid>#<relation>`. El userset comparte la
+     * partición de la tupla (el manager lo exige).
+     */
+    #subjectUser(subject, partitionKey) {
+        if (isRelUserset(subject)) {
+            const object = this.#objectId(subject.object.type, partitionKey, subject.object.id);
+            return `${object}#${subject.relation}`;
+        }
+        const fgaType = this.#holderTypes[subject.type];
+        if (!fgaType) {
+            throw new InvalidIdentityError(`Holder type '${subject.type}' no está en holderTypes del driver openfga de relaciones ` +
+                `(declarados: ${Object.keys(this.#holderTypes).join(', ') || 'ninguno'}).`);
+        }
+        return `${fgaType}:${subject.uuid}`;
+    }
+    /**
+     * **Parseo CANÓNICO del id de un objeto de relación** (⚪5): a partir de
+     * `<type>:<scopeKey>|<objUuid>`, separa `type` (antes del primer `:`),
+     * `partitionKey` (todo menos el ÚLTIMO segmento tras el `:`) y `objectUuid`
+     * (el último segmento, que no contiene `|`). Es el MISMO parseo-desde-la-
+     * derecha que `parseBindingId`: `lastIndexOf('|')` corta el objeto de la
+     * clave de partición (que tiene 1 parte `app` o 2 `<tipo>|<uuid>`). `null` si
+     * el id no tiene la forma que este driver escribe.
+     */
+    #parseObjectId(fullId) {
+        const colon = fullId.indexOf(':');
+        if (colon <= 0)
+            return null;
+        const type = fullId.slice(0, colon);
+        const rest = fullId.slice(colon + 1);
+        const cut = rest.lastIndexOf('|');
+        if (cut < 0)
+            return null;
+        const partitionKey = rest.slice(0, cut);
+        const objectUuid = rest.slice(cut + 1);
+        if (!partitionKey || !objectUuid)
+            return null;
+        return { type, partitionKey, objectUuid };
+    }
+    /** Un `user` del store de vuelta a `RelSubject`: userset (`…#rel`) o holder (`<fga>:<uuid>`). */
+    #userToSubject(user) {
+        const hash = user.indexOf('#');
+        if (hash >= 0) {
+            const parsed = this.#parseObjectId(user.slice(0, hash));
+            const relation = user.slice(hash + 1);
+            if (!parsed || !relation)
+                return null;
+            return { object: { type: parsed.type, id: parsed.objectUuid }, relation };
+        }
+        const colon = user.indexOf(':');
+        if (colon <= 0)
+            return null;
+        const morph = this.#fgaToMorph[user.slice(0, colon)];
+        const uuid = user.slice(colon + 1);
+        if (!morph || !uuid || uuid === '*' || uuid.includes('|'))
+            return null;
+        return { type: morph, uuid };
+    }
+    /* ── Escrituras ─────────────────────────────────────────────────────────── */
+    /**
+     * `relate` con los tres estados de `expiresAt` (R-15, invariante 10). Se LEE
+     * primero la tupla exacta (un `Read` por clave, como `grant` de roles):
+     *  - ausente ⇒ un `Write` (con la condición `not_expired` si caduca);
+     *  - presente con la caducidad que toca ⇒ no-op (idempotente, invariante 6);
+     *  - presente con OTRA ⇒ delete + write en DOS llamadas (FGA no admite
+     *    delete+write de la misma clave en un `Write`, ni reescribir su
+     *    condición): entre ambas hay un instante en el que `check` responde
+     *    `false` —fail-closed, la misma ventana que el `grant` de roles—.
+     */
+    /**
+     * **`{ transaction }` se rechaza también AQUÍ** (L-5, defensa en
+     * profundidad como F-05 en L-0): la puerta 1 vive en el `RelationsManager`,
+     * pero `manager.driver()` y `reconcileRelations` entran por el driver; sin
+     * esta guarda un `{ transaction }` por ahí escribiría la tupla en el store
+     * IGNORANDO la transacción — una escritura que finge ir en tu transacción y
+     * que tu rollback no deshace, que es exactamente el fail-open que
+     * `transactionalWrites: false` declara no poder evitar. Primera línea de
+     * las cuatro escrituras, antes de F-05, del `Read` y del `Write`: CERO
+     * llamadas al cliente.
+     */
+    #rejectTransaction(operation, options) {
+        if (options?.transaction === undefined || options.transaction === null)
+            return;
+        throw UnsupportedOperationError.transactionalDriver(`relations.${operation}`, 'openfga', 'relations');
+    }
+    async relate(subject, relation, object, partition, options) {
+        this.#rejectTransaction('relate', options);
+        // L-0 · F-05 en el DRIVER (defensa en profundidad, la MISMA función que el
+        // manager): `manager.driver()` y `reconcileRelations` entran por aquí, y en
+        // el store COMPARTIDO un tipo no declarado (`role_binding`) compondría el
+        // id exacto de un binding de roles. Corta ANTES del `Read` y del `Write`.
+        assertRelationDeclared(this.#config, object, relation);
+        assertScope(partition);
+        assertExpiresAt(options?.expiresAt);
+        const partitionKey = scopeKey(partition);
+        const objectId = this.#objectId(object.type, partitionKey, object.id);
+        const user = this.#subjectUser(subject, partitionKey);
+        const key = { user, relation, object: objectId };
+        const now = this.#now();
+        const current = await this.#readTuple('relate', key);
+        const previous = current ? current.validUntil : null;
+        const expiresAt = resolveGrantExpiry(previous, options?.expiresAt, now);
+        if (current && sameInstant(previous, expiresAt))
+            return;
+        const tuple = expiresAt
+            ? { ...key, condition: { name: FACTS_EXPIRY_CONDITION, context: { valid_until: expiresAt.toISOString() } } }
+            : key;
+        if (current) {
+            await this.#guard('relate', () => this.client.write({ deletes: [key] }, IGNORE_MISSING_DELETES));
+        }
+        await this.#guard('relate', () => this.client.write({ writes: [tuple] }, IGNORE_DUPLICATE_WRITES));
+    }
+    /** La tupla EXACTA de una clave (un `Read` por clave completa), con su caducidad si la lleva. */
+    async #readTuple(operation, key) {
+        const response = await this.#guard(operation, () => this.client.read(key, { consistency: this.#consistency }));
+        const found = (response.tuples ?? []).map((t) => t.key).find((k) => k?.user === key.user && k?.relation === key.relation && k?.object === key.object);
+        if (!found)
+            return null;
+        return { ...key, validUntil: toExpiryDate(found.condition?.context?.valid_until) };
+    }
+    async unrelate(subject, relation, object, partition, options) {
+        this.#rejectTransaction('unrelate', options);
+        // L-0 · F-05 también al RETIRAR: un `unrelate(alice, assignee, role_binding)`
+        // sería un revoke de roles por la puerta de relaciones.
+        assertRelationDeclared(this.#config, object, relation);
+        assertScope(partition);
+        const partitionKey = scopeKey(partition);
+        const objectId = this.#objectId(object.type, partitionKey, object.id);
+        const user = this.#subjectUser(subject, partitionKey);
+        await this.#guard('unrelate', () => 
+        // Re-unrelate no-op seguro: borrar una tupla ausente se ignora.
+        this.client.write({ deletes: [{ user, relation, object: objectId }] }, IGNORE_MISSING_DELETES));
+    }
+    /* ── Lecturas ───────────────────────────────────────────────────────────── */
+    /** `check` = UN solo `Check` (el modelo resuelve includes + usersets). */
+    async check(subject, relation, object, partition) {
+        assertScope(partition);
+        const partitionKey = scopeKey(partition);
+        const objectId = this.#objectId(object.type, partitionKey, object.id);
+        const user = this.#subjectUser(subject, partitionKey);
+        const context = this.#checkContext(this.#now());
+        const response = await this.#guard('check', () => this.client.check({ user, relation, object: objectId, context }, { consistency: this.#consistency }));
+        return response.allowed === true;
+    }
+    /**
+     * `listObjects` = `ListObjects` (resuelve includes + usersets del lado del
+     * servidor) + FILTRO por partición + señal de TRUNCADO. `ListObjects` corta
+     * al tope del servidor sin `continuation_token` ni bandera, así que el
+     * truncado se detecta comparando el número de resultados CRUDOS con el tope
+     * configurado (`listObjectsMaxResults`): `>= tope` ⇒ no se puede prometer la
+     * lista completa ⇒ `truncated: true`. El filtro por partición se aplica
+     * DESPUÉS (los ids llevan la partición), así que en un store con varias
+     * particiones el tope se consume entre todas — otra razón para señalar el
+     * truncado y no callar (documentado en el README).
+     */
+    async listObjects(subject, relation, objectType, partition, _page) {
+        assertScope(partition);
+        const partitionKey = scopeKey(partition);
+        const user = this.#subjectUser(subject, partitionKey);
+        const context = this.#checkContext(this.#now());
+        const response = await this.#guard('listObjects', () => this.client.listObjects({ user, relation, type: objectType, context }, { consistency: this.#consistency }));
+        const raw = response.objects ?? [];
+        const truncated = raw.length >= this.#listObjectsMax;
+        const objects = [];
+        for (const full of raw) {
+            const parsed = this.#parseObjectId(full);
+            if (!parsed || parsed.type !== objectType) {
+                this.#warnUnparseable('listObjects', full);
+                continue;
+            }
+            if (parsed.partitionKey !== partitionKey)
+                continue; // otra partición: no cruza
+            objects.push({ type: objectType, id: parsed.objectUuid });
+        }
+        objects.sort((a, b) => (a.id < b.id ? -1 : a.id > b.id ? 1 : 0));
+        return truncated ? { objects, truncated: true } : { objects };
+    }
+    /**
+     * `listSubjects` = `Read` por `(object, relation)` — hechos DIRECTOS del
+     * relation EXACTO (invariante 7): ni transitivo (eso es `membersOf`) ni
+     * derivado por includes. `usersetSubjects: true` ⇒ los usersets
+     * (`group#member`) salen junto con los holders.
+     */
+    async listSubjects(relation, object, partition, _page) {
+        assertScope(partition);
+        const partitionKey = scopeKey(partition);
+        const objectId = this.#objectId(object.type, partitionKey, object.id);
+        // `Read` devuelve tuplas ESCRITAS, no evaluadas: la caducidad se filtra en
+        // cliente con el MISMO reloj del driver (R-15, estricta: la que vence en
+        // `now` ya no cuenta), como las enumeraciones del driver de roles.
+        const now = this.#now();
+        const tuples = await this.#readAll('listSubjects', { object: objectId, relation });
+        const subjects = [];
+        for (const t of tuples) {
+            if (t.validUntil && t.validUntil.getTime() <= now.getTime())
+                continue;
+            const subject = this.#userToSubject(t.user);
+            if (subject)
+                subjects.push(subject);
+            else
+                this.#warnUnparseable('listSubjects', t.user);
+        }
+        return { subjects };
+    }
+    /**
+     * **`membersOf` ⇒ 500 `E_AUTHZ_UNSUPPORTED`** (cara `whenFalse`): la
+     * membresía TRANSITIVA de un grupo sería `ListUsers`, que trunca al tope del
+     * servidor sin señal fiable. No hay userset transitivo enumerable aquí; se
+     * dice con 500 nombrándolo, jamás un userset a medias. Es el análogo del par
+     * `purgeRole` de la 3b. (El método existe en el prototipo para que el manager
+     * lo despache, pero la capacidad `membersOfNative: false` lo corta antes.)
+     */
+    async membersOf() {
+        throw new UnsupportedOperationError('membersOf', 'la membresía transitiva de un grupo', 'openfga', `En 'openfga' la transitiva sería 'ListUsers', que trunca al tope del servidor sin señal fiable. ` +
+            `Usa el driver 'database' (CTE recursiva) o 'listSubjects' para los hechos directos.`);
+    }
+    /* ── ORIGEN de reconcile (4-5): las tuplas de relación de la partición ──── */
+    /**
+     * **`enumerateRelations` — el ORIGEN de `authz:reconcile` de relaciones**
+     * (4-5). Lee el store ENTERO (`Read({})`) —la única forma de ver todo sin un
+     * filtro por `user` u `object`, que un `Read` por tipo-solo sin user
+     * rechazaría con 400— y devuelve SOLO las tuplas de relación de la partición
+     * pedida: tipo `group` o un tipo declarado en la config, DESCARTANDO las de
+     * `facts` (`scope`/`role`/`role_binding`, que no llevan la partición en el id
+     * con la forma `<key>|<uuid>` de relaciones —o cuyo tipo no está declarado—).
+     *
+     * `truncated`/paginación: `enumerateRelations` agota el `Read` (exhaustivo,
+     * como `listSubjects`/`purge*`), así que devuelve TODO en una página sin
+     * cursor —el reconcile itera hasta que no hay cursor—. Es el ORIGEN de una
+     * migración: una tupla que no llegara aquí desaparecería sin rastro — por eso
+     * la CADUCADA también llega, con su `expiresAt` (R-15), para que el destino
+     * la cuente en `skipped`.
+     */
+    async enumerateRelations(partition, _page) {
+        assertScope(partition);
+        const partitionKey = scopeKey(partition);
+        const relationTypes = new Set([FACTS_GROUP_TYPE, ...this.#config.objectTypes.map((t) => t.type)]);
+        const all = await this.#readAll('enumerateRelations', {});
+        const tuples = [];
+        for (const key of all) {
+            const parsed = this.#parseObjectId(key.object);
+            // No es una tupla de relación (facts: scope/role/role_binding, o un tipo
+            // no declarado): no la migra este puerto.
+            if (!parsed || !relationTypes.has(parsed.type))
+                continue;
+            if (parsed.partitionKey !== partitionKey)
+                continue; // otra partición: no cruza
+            const subject = this.#userToSubject(key.user);
+            if (!subject) {
+                this.#warnUnparseable('enumerateRelations', key.user);
+                continue;
+            }
+            tuples.push({
+                subject,
+                relation: key.relation,
+                object: { type: parsed.type, id: parsed.objectUuid },
+                partition,
+                expiresAt: key.validUntil,
+            });
+        }
+        return { tuples };
+    }
+    /* ── Purga (invariante 11): borra y DEMUESTRA cero, o lanza ─────────────── */
+    /**
+     * Borra TODAS las tuplas del objeto (cualquier relación) y demuestra cero.
+     * Barre las DOS ortografías del uuid de partición (🟡2, paridad con
+     * `database`): un motor que funda `aaa…` con `aaa-…` dejaría la fila del
+     * alias concediendo tras una purga «exitosa». Si tras borrar quedan tuplas
+     * ⇒ 500 `E_AUTHZ_PURGE_INCOMPLETE`.
+     */
+    async purgeObject(object, partition, options) {
+        this.#rejectTransaction('purgeObject', options);
+        assertScope(partition);
+        const objectIds = this.#partitionSpellings(partition).map((key) => this.#objectId(object.type, key, object.id));
+        for (const objectId of objectIds) {
+            await this.#purgeByFilter('purgeObject', { object: objectId }, `objeto ${objectId}`);
+        }
+    }
+    /**
+     * Borra TODAS las tuplas cuyo SUJETO es este subject en la partición, en
+     * cualquier tipo de objeto declarado, y demuestra cero. `Read` exige un
+     * filtro de objeto (un `Read` solo por `user` es un 400 del servidor), así
+     * que se recorre cada tipo declarado (`group` + los del consumidor) con
+     * `Read({ user, object: '<type>:' })`.
+     */
+    async purgeSubject(subject, partition, options) {
+        this.#rejectTransaction('purgeSubject', options);
+        assertScope(partition);
+        if (!isRelUserset(subject))
+            assertSubject(subject);
+        const partitionKeys = this.#partitionSpellings(partition);
+        const types = [FACTS_GROUP_TYPE, ...this.#config.objectTypes.map((t) => t.type)];
+        for (const partitionKey of partitionKeys) {
+            const user = this.#subjectUser(subject, partitionKey);
+            for (const type of types) {
+                await this.#purgeByFilter('purgeSubject', { user, object: `${type}:` }, `sujeto ${user} en '${type}'`);
+            }
+        }
+    }
+    /** Lee por filtro, borra en lotes, y RE-LEE para demostrar cero (o lanza). */
+    async #purgeByFilter(operation, filter, what) {
+        const keys = await this.#readAll(operation, filter);
+        for (let i = 0; i < keys.length; i += WRITE_BATCH_SIZE) {
+            await this.#guard(operation, () => this.client.deleteTuples(keys.slice(i, i + WRITE_BATCH_SIZE).map((k) => ({ user: k.user, relation: k.relation, object: k.object })), IGNORE_MISSING_DELETES));
+        }
+        if (keys.length === 0)
+            return;
+        // Demostración de cero: re-lee tras borrar (invariante 11).
+        const residue = await this.#readAll(operation, filter);
+        if (residue.length > 0) {
+            throw new PurgeIncompleteError(`${operation}: quedan ${residue.length} tuplas de ${what} tras el borrado ` +
+                `(${residue.slice(0, 3).map((k) => `${k.user}#${k.relation}@${k.object}`).join('; ')}). ` +
+                `No se confirma la purga.`);
+        }
+    }
+    /* ── Helpers ────────────────────────────────────────────────────────────── */
+    /** Las dos ortografías del uuid de partición, como claves de scope (🟡2). */
+    #partitionSpellings(partition) {
+        return [...new Set(scopeSpellings(partition).map((s) => scopeKey(s)))];
+    }
+    /**
+     * TODAS las tuplas que casan con el filtro, paginando `Read` hasta agotar el
+     * `continuation_token`. `Read` no tiene tope de resultados (a diferencia de
+     * `ListObjects`), así que es exhaustivo — por eso las purgas y `listSubjects`
+     * van por aquí, no por `ListObjects`.
+     */
+    async #readAll(operation, filter) {
+        const keys = [];
+        let continuationToken;
+        const seenTokens = new Set();
+        let pages = 0;
+        do {
+            const response = await this.#guard(operation, () => this.client.read(filter, {
+                pageSize: READ_PAGE_SIZE,
+                continuationToken,
+                consistency: this.#consistency,
+            }));
+            pages += 1;
+            for (const tuple of response.tuples ?? []) {
+                const key = tuple?.key;
+                if (!key?.user || !key?.relation || !key?.object) {
+                    this.#warnUnparseable(operation, JSON.stringify(key ?? null));
+                    continue;
+                }
+                // Con su caducidad (R-15): quien la lee decide si filtra (`listSubjects`),
+                // la emite (`enumerateRelations`) o la ignora (`purge*` borra TODO).
+                keys.push({
+                    user: key.user,
+                    relation: key.relation,
+                    object: key.object,
+                    validUntil: toExpiryDate(key.condition?.context?.valid_until),
+                });
+            }
+            continuationToken = response.continuation_token || undefined;
+            if (continuationToken) {
+                if (seenTokens.has(continuationToken)) {
+                    throw new AuthorizationBackendError('openfga-relations', operation, new Error(`el continuation_token se repite (página ${pages}); el servidor no avanza`));
+                }
+                if (pages >= MAX_READ_PAGES) {
+                    throw new AuthorizationBackendError('openfga-relations', operation, new Error(`más de ${MAX_READ_PAGES} páginas sin agotar el Read`));
+                }
+                seenTokens.add(continuationToken);
+            }
+        } while (continuationToken);
+        return keys;
+    }
+    #warnUnparseable(operation, detail) {
+        this.diagnostics.unparseableTuples += 1;
+        this.#logger.warn(`authz(openfga-relations): tupla no parseable en ${operation} (${detail}); ` +
+            `se ignora en la enumeración (total: ${this.diagnostics.unparseableTuples})`);
+    }
+}
+/** ¿El error huele a timeout de red/axios? (mismo criterio que el driver de roles). */
+function isTimeoutLike(error) {
+    let current = error;
+    for (let depth = 0; current && depth < 6; depth++) {
+        const code = String(current.code ?? '');
+        if (code === 'ECONNABORTED' || code === 'ETIMEDOUT' || /timeout/i.test(String(current.message ?? ''))) {
+            return true;
+        }
+        current = current.cause;
+    }
+    return false;
+}
+//# sourceMappingURL=openfga_relations_driver.js.map

package/build/src/drivers/openfga_relations_driver.js.map

@@ -0,0 +1 @@
+{"version":3,"file":"openfga_relations_driver.js","sourceRoot":"","sources":["../../../src/drivers/openfga_relations_driver.ts"],"names":[],"mappings":"AAAA;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;GAgCG;AACH,OAAO,EACL,aAAa,EACb,qBAAqB,EACrB,kCAAkC,EAClC,mCAAmC,GACpC,MAAM,cAAc,CAAA;AAErB,OAAO,EACL,yBAAyB,EACzB,gCAAgC,EAChC,wBAAwB,EACxB,oBAAoB,EACpB,oBAAoB,EACpB,yBAAyB,GAC1B,MAAM,cAAc,CAAA;AACrB,OAAO,EAAE,WAAW,EAAE,aAAa,EAAE,gBAAgB,EAAE,eAAe,EAAE,QAAQ,EAAE,cAAc,EAAE,MAAM,gBAAgB,CAAA;AACxH,OAAO,EAAE,OAAO,EAAE,WAAW,EAAE,MAAM,aAAa,CAAA;AAElD,OAAO,EAAE,kBAAkB,EAAE,WAAW,EAAE,YAAY,EAAE,MAAM,cAAc,CAAA;AAC5E,OAAO,EAAE,YAAY,EAAE,MAAM,aAAa,CAAA;AAiB1C,OAAO,EACL,iBAAiB,EACjB,sBAAsB,EACtB,gBAAgB,GAEjB,MAAM,oBAAoB,CAAA;AAC3B,OAAO,EAAE,sBAAsB,EAAE,MAAM,yCAAyC,CAAA;AAGhF,MAAM,CAAC,MAAM,kBAAkB,GAAG,KAAK,CAAA;AACvC,wFAAwF;AACxF,MAAM,gBAAgB,GAAG,GAAG,CAAA;AAC5B,wDAAwD;AACxD,MAAM,cAAc,GAAG,GAAG,CAAA;AAC1B;;;;GAIG;AACH,MAAM,cAAc,GAAG,MAAM,CAAA;AAC7B;;;;;;;;;GASG;AACH,MAAM,wBAAwB,GAAG,KAAK,CAAA;AAEtC;;;;;GAKG;AACH,MAAM,uBAAuB,GAAG;IAC9B,QAAQ,EAAE,EAAE,iBAAiB,EAAE,mCAAmC,CAAC,MAAM,EAAE;CAC5E,CAAA;AACD,qFAAqF;AACrF,MAAM,sBAAsB,GAAG;IAC7B,QAAQ,EAAE,EAAE,gBAAgB,EAAE,kCAAkC,CAAC,MAAM,EAAE;CAC1E,CAAA;AAuCD,MAAM,OAAO,sBAAsB;IACjC;;;;;;;;;;;;;;;;;;;;;;OAsBG;IACM,YAAY,GAAgC,MAAM,CAAC,MAAM,CAAC;QACjE,oBAAoB,EAAE,IAAI;QAC1B,oBAAoB,EAAE,KAAK;QAC3B,eAAe,EAAE,IAAI;QACrB,eAAe,EAAE,KAAK;QACtB,kBAAkB,EAAE,IAAI;QACxB,qBAAqB,EAAE,IAAI;QAC3B,eAAe,EAAE,IAAI;QACrB,uEAAuE;QACvE,qEAAqE;QACrE,wEAAwE;QACxE,wEAAwE;QACxE,0EAA0E;QAC1E,sEAAsE;QACtE,uEAAuE;QACvE,sEAAsE;QACtE,sEAAsE;QACtE,0EAA0E;QAC1E,mEAAmE;QACnE,uEAAuE;QACvE,uEAAuE;QACvE,yDAAyD;QACzD,mBAAmB,EAAE,KAAK;KAC3B,CAAC,CAAA;IAEe,MAAM,CAAgB;IAC9B,OAAO,CAAiB;IACxB,QAAQ,CAA+B;IACvC,IAAI,CAAO;IACX,YAAY,CAAe;IAC3B,WAAW,CAAwB;IACnC,UAAU,CAAQ;IAClB,YAAY,CAA2B;IACvC,eAAe,CAAQ;IACvB,OAAO,CAAiC;IAExC,WAAW,GAAG,EAAE,iBAAiB,EAAE,CAAC,EAAE,CAAA;IAE/C,YAAY,MAAuB,EAAE,OAAsC;QACzE,IAAI,CAAC,OAAO,GAAG,MAAM,CAAA;QACrB,IAAI,CAAC,QAAQ,GAAG,OAAO,CAAA;QACvB,IAAI,CAAC,IAAI,GAAG,OAAO,CAAC,GAAG,IAAI,WAAW,CAAA;QACtC,IAAI,CAAC,YAAY,GAAG,OAAO,CAAC,WAAW,CAAA;QACvC,IAAI,CAAC,WAAW,GAAG,MAAM,CAAC,WAAW,CAAC,MAAM,CAAC,OAAO,CAAC,OAAO,CAAC,WAAW,CAAC,CAAC,GAAG,CAAC,CAAC,CAAC,KAAK,EAAE,GAAG,CAAC,EAAE,EAAE,CAAC,CAAC,GAAG,EAAE,KAAK,CAAC,CAAC,CAAC,CAAA;QAC9G,IAAI,CAAC,UAAU,GAAG,OAAO,CAAC,SAAS,IAAI,kBAAkB,CAAA;QACzD,IAAI,CAAC,YAAY;YACf,OAAO,CAAC,WAAW,KAAK,kBAAkB;gBACxC,CAAC,CAAC,qBAAqB,CAAC,eAAe;gBACvC,CAAC,CAAC,qBAAqB,CAAC,iBAAiB,CAAA;QAC7C,IAAI,CAAC,eAAe,GAAG,OAAO,CAAC,qBAAqB,IAAI,wBAAwB,CAAA;QAChF,IAAI,CAAC,OAAO,GAAG,OAAO,CAAC,MAAM,IAAI,OAAO,CAAA;QACxC,IAAI,CAAC,MAAM,GAAG,IAAI,aAAa,CAAC;YAC9B,MAAM,EAAE,OAAO,CAAC,MAAM;YACtB,OAAO,EAAE,OAAO,CAAC,OAAO;YACxB,oBAAoB,EAAE,OAAO,CAAC,OAAO;YACrC,WAAW,EAAE,EAAE,OAAO,EAAE,IAAI,CAAC,UAAU,EAAE;YACzC,WAAW,EAAE,EAAE,QAAQ,EAAE,CAAC,EAAE;SAC7B,CAAC,CAAA;IACJ,CAAC;IAED;;;;;;OAMG;IACH,SAAS,CAAC,GAAU;QAClB,IAAI,CAAC,OAAO,CAAC,GAAG,CAAC,EAAE,CAAC;YAClB,MAAM,IAAI,wBAAwB,CAAC,yDAAyD,OAAO,GAAG,GAAG,CAAC,CAAA;QAC5G,CAAC;QACD,MAAM,IAAI,GAAG,IAAI,sBAAsB,CAAC,IAAI,CAAC,OAAO,EAAE,EAAE,GAAG,IAAI,CAAC,QAAQ,EAAE,GAAG,EAAE,CAAC,CAC/E;QAAC,IAA6C,CAAC,MAAM,GAAG,IAAI,CAAC,MAAM,CAAA;QACpE,OAAO,IAAI,CAAA;IACb,CAAC;IAED,sIAAsI;IACtI,aAAa,CAAC,EAAQ;QACpB,OAAO,EAAE,YAAY,EAAE,EAAE,CAAC,WAAW,EAAE,EAAE,CAAA;IAC3C,CAAC;IAED,+EAA+E;IAE/E,KAAK,CAAC,MAAM,CAAI,SAAiB,EAAE,EAAoB;QACrD,IAAI,CAAC;YACH,OAAO,MAAM,EAAE,EAAE,CAAA;QACnB,CAAC;QAAC,OAAO,KAAK,EAAE,CAAC;YACf,qEAAqE;YACrE,IAAI,KAAK,YAAY,oBAAoB,IAAI,KAAK,YAAY,oBAAoB;gBAAE,MAAM,KAAK,CAAA;YAC/F,IAAI,aAAa,CAAC,KAAK,CAAC,EAAE,CAAC;gBACzB,MAAM,IAAI,gCAAgC,CAAC,mBAAmB,EAAE,SAAS,EAAE,IAAI,CAAC,UAAU,EAAE,KAAK,CAAC,CAAA;YACpG,CAAC;YACD,MAAM,IAAI,yBAAyB,CAAC,mBAAmB,EAAE,SAAS,EAAE,KAAK,CAAC,CAAA;QAC5E,CAAC;IACH,CAAC;IAED,+EAA+E;IAE/E,mDAAmD;IACnD,SAAS,CAAC,UAAkB,EAAE,YAAoB,EAAE,UAAkB;QACpE,4EAA4E;QAC5E,4EAA4E;QAC5E,0EAA0E;QAC1E,6EAA6E;QAC7E,oEAAoE;QACpE,gBAAgB,CAAC,qBAAqB,UAAU,GAAG,EAAE,UAAU,CAAC,CAAA;QAChE,MAAM,EAAE,GAAG,GAAG,UAAU,IAAI,YAAY,IAAI,UAAU,EAAE,CAAA;QACxD,iBAAiB,CAAC,UAAU,EAAE,EAAE,CAAC,CAAA;QACjC,OAAO,EAAE,CAAA;IACX,CAAC;IAED;;;;OAIG;IACH,YAAY,CAAC,OAAmB,EAAE,YAAoB;QACpD,IAAI,YAAY,CAAC,OAAO,CAAC,EAAE,CAAC;YAC1B,MAAM,MAAM,GAAG,IAAI,CAAC,SAAS,CAAC,OAAO,CAAC,MAAM,CAAC,IAAI,EAAE,YAAY,EAAE,OAAO,CAAC,MAAM,CAAC,EAAE,CAAC,CAAA;YACnF,OAAO,GAAG,MAAM,IAAI,OAAO,CAAC,QAAQ,EAAE,CAAA;QACxC,CAAC;QACD,MAAM,OAAO,GAAG,IAAI,CAAC,YAAY,CAAC,OAAO,CAAC,IAAI,CAAC,CAAA;QAC/C,IAAI,CAAC,OAAO,EAAE,CAAC;YACb,MAAM,IAAI,oBAAoB,CAC5B,gBAAgB,OAAO,CAAC,IAAI,4DAA4D;gBACtF,gBAAgB,MAAM,CAAC,IAAI,CAAC,IAAI,CAAC,YAAY,CAAC,CAAC,IAAI,CAAC,IAAI,CAAC,IAAI,SAAS,IAAI,CAC7E,CAAA;QACH,CAAC;QACD,OAAO,GAAG,OAAO,IAAI,OAAO,CAAC,IAAI,EAAE,CAAA;IACrC,CAAC;IAED;;;;;;;;OAQG;IACH,cAAc,CAAC,MAAc;QAC3B,MAAM,KAAK,GAAG,MAAM,CAAC,OAAO,CAAC,GAAG,CAAC,CAAA;QACjC,IAAI,KAAK,IAAI,CAAC;YAAE,OAAO,IAAI,CAAA;QAC3B,MAAM,IAAI,GAAG,MAAM,CAAC,KAAK,CAAC,CAAC,EAAE,KAAK,CAAC,CAAA;QACnC,MAAM,IAAI,GAAG,MAAM,CAAC,KAAK,CAAC,KAAK,GAAG,CAAC,CAAC,CAAA;QACpC,MAAM,GAAG,GAAG,IAAI,CAAC,WAAW,CAAC,GAAG,CAAC,CAAA;QACjC,IAAI,GAAG,GAAG,CAAC;YAAE,OAAO,IAAI,CAAA;QACxB,MAAM,YAAY,GAAG,IAAI,CAAC,KAAK,CAAC,CAAC,EAAE,GAAG,CAAC,CAAA;QACvC,MAAM,UAAU,GAAG,IAAI,CAAC,KAAK,CAAC,GAAG,GAAG,CAAC,CAAC,CAAA;QACtC,IAAI,CAAC,YAAY,IAAI,CAAC,UAAU;YAAE,OAAO,IAAI,CAAA;QAC7C,OAAO,EAAE,IAAI,EAAE,YAAY,EAAE,UAAU,EAAE,CAAA;IAC3C,CAAC;IAED,iGAAiG;IACjG,cAAc,CAAC,IAAY;QACzB,MAAM,IAAI,GAAG,IAAI,CAAC,OAAO,CAAC,GAAG,CAAC,CAAA;QAC9B,IAAI,IAAI,IAAI,CAAC,EAAE,CAAC;YACd,MAAM,MAAM,GAAG,IAAI,CAAC,cAAc,CAAC,IAAI,CAAC,KAAK,CAAC,CAAC,EAAE,IAAI,CAAC,CAAC,CAAA;YACvD,MAAM,QAAQ,GAAG,IAAI,CAAC,KAAK,CAAC,IAAI,GAAG,CAAC,CAAC,CAAA;YACrC,IAAI,CAAC,MAAM,IAAI,CAAC,QAAQ;gBAAE,OAAO,IAAI,CAAA;YACrC,OAAO,EAAE,MAAM,EAAE,EAAE,IAAI,EAAE,MAAM,CAAC,IAAI,EAAE,EAAE,EAAE,MAAM,CAAC,UAAU,EAAE,EAAE,QAAQ,EAAE,CAAA;QAC3E,CAAC;QACD,MAAM,KAAK,GAAG,IAAI,CAAC,OAAO,CAAC,GAAG,CAAC,CAAA;QAC/B,IAAI,KAAK,IAAI,CAAC;YAAE,OAAO,IAAI,CAAA;QAC3B,MAAM,KAAK,GAAG,IAAI,CAAC,WAAW,CAAC,IAAI,CAAC,KAAK,CAAC,CAAC,EAAE,KAAK,CAAC,CAAC,CAAA;QACpD,MAAM,IAAI,GAAG,IAAI,CAAC,KAAK,CAAC,KAAK,GAAG,CAAC,CAAC,CAAA;QAClC,IAAI,CAAC,KAAK,IAAI,CAAC,IAAI,IAAI,IAAI,KAAK,GAAG,IAAI,IAAI,CAAC,QAAQ,CAAC,GAAG,CAAC;YAAE,OAAO,IAAI,CAAA;QACtE,OAAO,EAAE,IAAI,EAAE,KAAK,EAAE,IAAI,EAAE,CAAA;IAC9B,CAAC;IAED,+EAA+E;IAE/E;;;;;;;;;OASG;IACH;;;;;;;;;;OAUG;IACH,kBAAkB,CAAC,SAAiB,EAAE,OAA+C;QACnF,IAAI,OAAO,EAAE,WAAW,KAAK,SAAS,IAAI,OAAO,CAAC,WAAW,KAAK,IAAI;YAAE,OAAM;QAC9E,MAAM,yBAAyB,CAAC,mBAAmB,CAAC,aAAa,SAAS,EAAE,EAAE,SAAS,EAAE,WAAW,CAAC,CAAA;IACvG,CAAC;IAED,KAAK,CAAC,MAAM,CACV,OAAmB,EACnB,QAAgB,EAChB,MAAiB,EACjB,SAAmB,EACnB,OAA8B;QAE9B,IAAI,CAAC,kBAAkB,CAAC,QAAQ,EAAE,OAAO,CAAC,CAAA;QAC1C,2EAA2E;QAC3E,4EAA4E;QAC5E,0EAA0E;QAC1E,0EAA0E;QAC1E,sBAAsB,CAAC,IAAI,CAAC,OAAO,EAAE,MAAM,EAAE,QAAQ,CAAC,CAAA;QACtD,WAAW,CAAC,SAAS,CAAC,CAAA;QACtB,eAAe,CAAC,OAAO,EAAE,SAAS,CAAC,CAAA;QACnC,MAAM,YAAY,GAAG,QAAQ,CAAC,SAAS,CAAC,CAAA;QACxC,MAAM,QAAQ,GAAG,IAAI,CAAC,SAAS,CAAC,MAAM,CAAC,IAAI,EAAE,YAAY,EAAE,MAAM,CAAC,EAAE,CAAC,CAAA;QACrE,MAAM,IAAI,GAAG,IAAI,CAAC,YAAY,CAAC,OAAO,EAAE,YAAY,CAAC,CAAA;QACrD,MAAM,GAAG,GAAG,EAAE,IAAI,EAAE,QAAQ,EAAE,MAAM,EAAE,QAAQ,EAAE,CAAA;QAChD,MAAM,GAAG,GAAG,IAAI,CAAC,IAAI,EAAE,CAAA;QACvB,MAAM,OAAO,GAAG,MAAM,IAAI,CAAC,UAAU,CAAC,QAAQ,EAAE,GAAG,CAAC,CAAA;QACpD,MAAM,QAAQ,GAAG,OAAO,CAAC,CAAC,CAAC,OAAO,CAAC,UAAU,CAAC,CAAC,CAAC,IAAI,CAAA;QACpD,MAAM,SAAS,GAAG,kBAAkB,CAAC,QAAQ,EAAE,OAAO,EAAE,SAAS,EAAE,GAAG,CAAC,CAAA;QACvE,IAAI,OAAO,IAAI,WAAW,CAAC,QAAQ,EAAE,SAAS,CAAC;YAAE,OAAM;QACvD,MAAM,KAAK,GAAG,SAAS;YACrB,CAAC,CAAC,EAAE,GAAG,GAAG,EAAE,SAAS,EAAE,EAAE,IAAI,EAAE,sBAAsB,EAAE,OAAO,EAAE,EAAE,WAAW,EAAE,SAAS,CAAC,WAAW,EAAE,EAAE,EAAE,EAAE;YAC5G,CAAC,CAAC,GAAG,CAAA;QACP,IAAI,OAAO,EAAE,CAAC;YACZ,MAAM,IAAI,CAAC,MAAM,CAAC,QAAQ,EAAE,GAAG,EAAE,CAAC,IAAI,CAAC,MAAM,CAAC,KAAK,CAAC,EAAE,OAAO,EAAE,CAAC,GAAG,CAAC,EAAE,EAAE,sBAAsB,CAAC,CAAC,CAAA;QAClG,CAAC;QACD,MAAM,IAAI,CAAC,MAAM,CAAC,QAAQ,EAAE,GAAG,EAAE,CAAC,IAAI,CAAC,MAAM,CAAC,KAAK,CAAC,EAAE,MAAM,EAAE,CAAC,KAAK,CAAC,EAAE,EAAE,uBAAuB,CAAC,CAAC,CAAA;IACpG,CAAC;IAED,iGAAiG;IACjG,KAAK,CAAC,UAAU,CACd,SAAiB,EACjB,GAAuD;QAEvD,MAAM,QAAQ,GAAG,MAAM,IAAI,CAAC,MAAM,CAAC,SAAS,EAAE,GAAG,EAAE,CAAC,IAAI,CAAC,MAAM,CAAC,IAAI,CAAC,GAAG,EAAE,EAAE,WAAW,EAAE,IAAI,CAAC,YAAY,EAAE,CAAC,CAAC,CAAA;QAC9G,MAAM,KAAK,GAAG,CAAC,QAAQ,CAAC,MAAM,IAAI,EAAE,CAAC,CAAC,GAAG,CAAC,CAAC,CAAC,EAAE,EAAE,CAAC,CAAC,CAAC,GAAU,CAAC,CAAC,IAAI,CACjE,CAAC,CAAC,EAAE,EAAE,CAAC,CAAC,EAAE,IAAI,KAAK,GAAG,CAAC,IAAI,IAAI,CAAC,EAAE,QAAQ,KAAK,GAAG,CAAC,QAAQ,IAAI,CAAC,EAAE,MAAM,KAAK,GAAG,CAAC,MAAM,CACxF,CAAA;QACD,IAAI,CAAC,KAAK;YAAE,OAAO,IAAI,CAAA;QACvB,OAAO,EAAE,GAAG,GAAG,EAAE,UAAU,EAAE,YAAY,CAAC,KAAK,CAAC,SAAS,EAAE,OAAO,EAAE,WAAW,CAAC,EAAE,CAAA;IACpF,CAAC;IAED,KAAK,CAAC,QAAQ,CACZ,OAAmB,EACnB,QAAgB,EAChB,MAAiB,EACjB,SAAmB,EACnB,OAA8B;QAE9B,IAAI,CAAC,kBAAkB,CAAC,UAAU,EAAE,OAAO,CAAC,CAAA;QAC5C,8EAA8E;QAC9E,wDAAwD;QACxD,sBAAsB,CAAC,IAAI,CAAC,OAAO,EAAE,MAAM,EAAE,QAAQ,CAAC,CAAA;QACtD,WAAW,CAAC,SAAS,CAAC,CAAA;QACtB,MAAM,YAAY,GAAG,QAAQ,CAAC,SAAS,CAAC,CAAA;QACxC,MAAM,QAAQ,GAAG,IAAI,CAAC,SAAS,CAAC,MAAM,CAAC,IAAI,EAAE,YAAY,EAAE,MAAM,CAAC,EAAE,CAAC,CAAA;QACrE,MAAM,IAAI,GAAG,IAAI,CAAC,YAAY,CAAC,OAAO,EAAE,YAAY,CAAC,CAAA;QACrD,MAAM,IAAI,CAAC,MAAM,CAAC,UAAU,EAAE,GAAG,EAAE;QACjC,gEAAgE;QAChE,IAAI,CAAC,MAAM,CAAC,KAAK,CAAC,EAAE,OAAO,EAAE,CAAC,EAAE,IAAI,EAAE,QAAQ,EAAE,MAAM,EAAE,QAAQ,EAAE,CAAC,EAAE,EAAE,sBAAsB,CAAC,CAC/F,CAAA;IACH,CAAC;IAED,+EAA+E;IAE/E,0EAA0E;IAC1E,KAAK,CAAC,KAAK,CAAC,OAAmB,EAAE,QAAgB,EAAE,MAAiB,EAAE,SAAmB;QACvF,WAAW,CAAC,SAAS,CAAC,CAAA;QACtB,MAAM,YAAY,GAAG,QAAQ,CAAC,SAAS,CAAC,CAAA;QACxC,MAAM,QAAQ,GAAG,IAAI,CAAC,SAAS,CAAC,MAAM,CAAC,IAAI,EAAE,YAAY,EAAE,MAAM,CAAC,EAAE,CAAC,CAAA;QACrE,MAAM,IAAI,GAAG,IAAI,CAAC,YAAY,CAAC,OAAO,EAAE,YAAY,CAAC,CAAA;QACrD,MAAM,OAAO,GAAG,IAAI,CAAC,aAAa,CAAC,IAAI,CAAC,IAAI,EAAE,CAAC,CAAA;QAC/C,MAAM,QAAQ,GAAG,MAAM,IAAI,CAAC,MAAM,CAAC,OAAO,EAAE,GAAG,EAAE,CAC/C,IAAI,CAAC,MAAM,CAAC,KAAK,CAAC,EAAE,IAAI,EAAE,QAAQ,EAAE,MAAM,EAAE,QAAQ,EAAE,OAAO,EAAE,EAAE,EAAE,WAAW,EAAE,IAAI,CAAC,YAAY,EAAE,CAAC,CACrG,CAAA;QACD,OAAO,QAAQ,CAAC,OAAO,KAAK,IAAI,CAAA;IAClC,CAAC;IAED;;;;;;;;;;OAUG;IACH,KAAK,CAAC,WAAW,CACf,OAAmB,EACnB,QAAgB,EAChB,UAAkB,EAClB,SAAmB,EACnB,KAAoB;QAEpB,WAAW,CAAC,SAAS,CAAC,CAAA;QACtB,MAAM,YAAY,GAAG,QAAQ,CAAC,SAAS,CAAC,CAAA;QACxC,MAAM,IAAI,GAAG,IAAI,CAAC,YAAY,CAAC,OAAO,EAAE,YAAY,CAAC,CAAA;QACrD,MAAM,OAAO,GAAG,IAAI,CAAC,aAAa,CAAC,IAAI,CAAC,IAAI,EAAE,CAAC,CAAA;QAC/C,MAAM,QAAQ,GAAG,MAAM,IAAI,CAAC,MAAM,CAAC,aAAa,EAAE,GAAG,EAAE,CACrD,IAAI,CAAC,MAAM,CAAC,WAAW,CAAC,EAAE,IAAI,EAAE,QAAQ,EAAE,IAAI,EAAE,UAAU,EAAE,OAAO,EAAE,EAAE,EAAE,WAAW,EAAE,IAAI,CAAC,YAAY,EAAE,CAAC,CAC3G,CAAA;QACD,MAAM,GAAG,GAAG,QAAQ,CAAC,OAAO,IAAI,EAAE,CAAA;QAClC,MAAM,SAAS,GAAG,GAAG,CAAC,MAAM,IAAI,IAAI,CAAC,eAAe,CAAA;QACpD,MAAM,OAAO,GAAgB,EAAE,CAAA;QAC/B,KAAK,MAAM,IAAI,IAAI,GAAG,EAAE,CAAC;YACvB,MAAM,MAAM,GAAG,IAAI,CAAC,cAAc,CAAC,IAAI,CAAC,CAAA;YACxC,IAAI,CAAC,MAAM,IAAI,MAAM,CAAC,IAAI,KAAK,UAAU,EAAE,CAAC;gBAC1C,IAAI,CAAC,gBAAgB,CAAC,aAAa,EAAE,IAAI,CAAC,CAAA;gBAC1C,SAAQ;YACV,CAAC;YACD,IAAI,MAAM,CAAC,YAAY,KAAK,YAAY;gBAAE,SAAQ,CAAC,2BAA2B;YAC9E,OAAO,CAAC,IAAI,CAAC,EAAE,IAAI,EAAE,UAAU,EAAE,EAAE,EAAE,MAAM,CAAC,UAAU,EAAE,CAAC,CAAA;QAC3D,CAAC;QACD,OAAO,CAAC,IAAI,CAAC,CAAC,CAAC,EAAE,CAAC,EAAE,EAAE,CAAC,CAAC,CAAC,CAAC,EAAE,GAAG,CAAC,CAAC,EAAE,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,EAAE,GAAG,CAAC,CAAC,EAAE,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,CAAA;QAChE,OAAO,SAAS,CAAC,CAAC,CAAC,EAAE,OAAO,EAAE,SAAS,EAAE,IAAI,EAAE,CAAC,CAAC,CAAC,EAAE,OAAO,EAAE,CAAA;IAC/D,CAAC;IAED;;;;;OAKG;IACH,KAAK,CAAC,YAAY,CAChB,QAAgB,EAChB,MAAiB,EACjB,SAAmB,EACnB,KAAoB;QAEpB,WAAW,CAAC,SAAS,CAAC,CAAA;QACtB,MAAM,YAAY,GAAG,QAAQ,CAAC,SAAS,CAAC,CAAA;QACxC,MAAM,QAAQ,GAAG,IAAI,CAAC,SAAS,CAAC,MAAM,CAAC,IAAI,EAAE,YAAY,EAAE,MAAM,CAAC,EAAE,CAAC,CAAA;QACrE,2EAA2E;QAC3E,yEAAyE;QACzE,mEAAmE;QACnE,MAAM,GAAG,GAAG,IAAI,CAAC,IAAI,EAAE,CAAA;QACvB,MAAM,MAAM,GAAG,MAAM,IAAI,CAAC,QAAQ,CAAC,cAAc,EAAE,EAAE,MAAM,EAAE,QAAQ,EAAE,QAAQ,EAAE,CAAC,CAAA;QAClF,MAAM,QAAQ,GAAiB,EAAE,CAAA;QACjC,KAAK,MAAM,CAAC,IAAI,MAAM,EAAE,CAAC;YACvB,IAAI,CAAC,CAAC,UAAU,IAAI,CAAC,CAAC,UAAU,CAAC,OAAO,EAAE,IAAI,GAAG,CAAC,OAAO,EAAE;gBAAE,SAAQ;YACrE,MAAM,OAAO,GAAG,IAAI,CAAC,cAAc,CAAC,CAAC,CAAC,IAAI,CAAC,CAAA;YAC3C,IAAI,OAAO;gBAAE,QAAQ,CAAC,IAAI,CAAC,OAAO,CAAC,CAAA;;gBAC9B,IAAI,CAAC,gBAAgB,CAAC,cAAc,EAAE,CAAC,CAAC,IAAI,CAAC,CAAA;QACpD,CAAC;QACD,OAAO,EAAE,QAAQ,EAAE,CAAA;IACrB,CAAC;IAED;;;;;;;OAOG;IACH,KAAK,CAAC,SAAS;QACb,MAAM,IAAI,yBAAyB,CACjC,WAAW,EACX,qCAAqC,EACrC,SAAS,EACT,kGAAkG;YAChG,qFAAqF,CACxF,CAAA;IACH,CAAC;IAED,+EAA+E;IAE/E;;;;;;;;;;;;;;;OAeG;IACH,KAAK,CAAC,kBAAkB,CAAC,SAAmB,EAAE,KAAoB;QAChE,WAAW,CAAC,SAAS,CAAC,CAAA;QACtB,MAAM,YAAY,GAAG,QAAQ,CAAC,SAAS,CAAC,CAAA;QACxC,MAAM,aAAa,GAAG,IAAI,GAAG,CAAS,CAAC,gBAAgB,EAAE,GAAG,IAAI,CAAC,OAAO,CAAC,WAAW,CAAC,GAAG,CAAC,CAAC,CAAC,EAAE,EAAE,CAAC,CAAC,CAAC,IAAI,CAAC,CAAC,CAAC,CAAA;QACzG,MAAM,GAAG,GAAG,MAAM,IAAI,CAAC,QAAQ,CAAC,oBAAoB,EAAE,EAAE,CAAC,CAAA;QACzD,MAAM,MAAM,GAAoB,EAAE,CAAA;QAClC,KAAK,MAAM,GAAG,IAAI,GAAG,EAAE,CAAC;YACtB,MAAM,MAAM,GAAG,IAAI,CAAC,cAAc,CAAC,GAAG,CAAC,MAAM,CAAC,CAAA;YAC9C,yEAAyE;YACzE,0CAA0C;YAC1C,IAAI,CAAC,MAAM,IAAI,CAAC,aAAa,CAAC,GAAG,CAAC,MAAM,CAAC,IAAI,CAAC;gBAAE,SAAQ;YACxD,IAAI,MAAM,CAAC,YAAY,KAAK,YAAY;gBAAE,SAAQ,CAAC,2BAA2B;YAC9E,MAAM,OAAO,GAAG,IAAI,CAAC,cAAc,CAAC,GAAG,CAAC,IAAI,CAAC,CAAA;YAC7C,IAAI,CAAC,OAAO,EAAE,CAAC;gBACb,IAAI,CAAC,gBAAgB,CAAC,oBAAoB,EAAE,GAAG,CAAC,IAAI,CAAC,CAAA;gBACrD,SAAQ;YACV,CAAC;YACD,MAAM,CAAC,IAAI,CAAC;gBACV,OAAO;gBACP,QAAQ,EAAE,GAAG,CAAC,QAAQ;gBACtB,MAAM,EAAE,EAAE,IAAI,EAAE,MAAM,CAAC,IAAI,EAAE,EAAE,EAAE,MAAM,CAAC,UAAU,EAAE;gBACpD,SAAS;gBACT,SAAS,EAAE,GAAG,CAAC,UAAU;aAC1B,CAAC,CAAA;QACJ,CAAC;QACD,OAAO,EAAE,MAAM,EAAE,CAAA;IACnB,CAAC;IAED,+EAA+E;IAE/E;;;;;;OAMG;IACH,KAAK,CAAC,WAAW,CAAC,MAAiB,EAAE,SAAmB,EAAE,OAAoC;QAC5F,IAAI,CAAC,kBAAkB,CAAC,aAAa,EAAE,OAAO,CAAC,CAAA;QAC/C,WAAW,CAAC,SAAS,CAAC,CAAA;QACtB,MAAM,SAAS,GAAG,IAAI,CAAC,mBAAmB,CAAC,SAAS,CAAC,CAAC,GAAG,CAAC,CAAC,GAAG,EAAE,EAAE,CAChE,IAAI,CAAC,SAAS,CAAC,MAAM,CAAC,IAAI,EAAE,GAAG,EAAE,MAAM,CAAC,EAAE,CAAC,CAC5C,CAAA;QACD,KAAK,MAAM,QAAQ,IAAI,SAAS,EAAE,CAAC;YACjC,MAAM,IAAI,CAAC,cAAc,CAAC,aAAa,EAAE,EAAE,MAAM,EAAE,QAAQ,EAAE,EAAE,UAAU,QAAQ,EAAE,CAAC,CAAA;QACtF,CAAC;IACH,CAAC;IAED;;;;;;OAMG;IACH,KAAK,CAAC,YAAY,CAAC,OAAmB,EAAE,SAAmB,EAAE,OAAoC;QAC/F,IAAI,CAAC,kBAAkB,CAAC,cAAc,EAAE,OAAO,CAAC,CAAA;QAChD,WAAW,CAAC,SAAS,CAAC,CAAA;QACtB,IAAI,CAAC,YAAY,CAAC,OAAO,CAAC;YAAE,aAAa,CAAC,OAAO,CAAC,CAAA;QAClD,MAAM,aAAa,GAAG,IAAI,CAAC,mBAAmB,CAAC,SAAS,CAAC,CAAA;QACzD,MAAM,KAAK,GAAG,CAAC,gBAAgB,EAAE,GAAG,IAAI,CAAC,OAAO,CAAC,WAAW,CAAC,GAAG,CAAC,CAAC,CAAC,EAAE,EAAE,CAAC,CAAC,CAAC,IAAI,CAAC,CAAC,CAAA;QAChF,KAAK,MAAM,YAAY,IAAI,aAAa,EAAE,CAAC;YACzC,MAAM,IAAI,GAAG,IAAI,CAAC,YAAY,CAAC,OAAO,EAAE,YAAY,CAAC,CAAA;YACrD,KAAK,MAAM,IAAI,IAAI,KAAK,EAAE,CAAC;gBACzB,MAAM,IAAI,CAAC,cAAc,CACvB,cAAc,EACd,EAAE,IAAI,EAAE,MAAM,EAAE,GAAG,IAAI,GAAG,EAAE,EAC5B,UAAU,IAAI,QAAQ,IAAI,GAAG,CAC9B,CAAA;YACH,CAAC;QACH,CAAC;IACH,CAAC;IAED,8EAA8E;IAC9E,KAAK,CAAC,cAAc,CAClB,SAAiB,EACjB,MAA4D,EAC5D,IAAY;QAEZ,MAAM,IAAI,GAAG,MAAM,IAAI,CAAC,QAAQ,CAAC,SAAS,EAAE,MAAM,CAAC,CAAA;QACnD,KAAK,IAAI,CAAC,GAAG,CAAC,EAAE,CAAC,GAAG,IAAI,CAAC,MAAM,EAAE,CAAC,IAAI,gBAAgB,EAAE,CAAC;YACvD,MAAM,IAAI,CAAC,MAAM,CAAC,SAAS,EAAE,GAAG,EAAE,CAChC,IAAI,CAAC,MAAM,CAAC,YAAY,CACtB,IAAI,CAAC,KAAK,CAAC,CAAC,EAAE,CAAC,GAAG,gBAAgB,CAAC,CAAC,GAAG,CAAC,CAAC,CAAC,EAAE,EAAE,CAAC,CAAC,EAAE,IAAI,EAAE,CAAC,CAAC,IAAI,EAAE,QAAQ,EAAE,CAAC,CAAC,QAAQ,EAAE,MAAM,EAAE,CAAC,CAAC,MAAM,EAAE,CAAC,CAAC,EAC1G,sBAAsB,CACvB,CACF,CAAA;QACH,CAAC;QACD,IAAI,IAAI,CAAC,MAAM,KAAK,CAAC;YAAE,OAAM;QAC7B,4DAA4D;QAC5D,MAAM,OAAO,GAAG,MAAM,IAAI,CAAC,QAAQ,CAAC,SAAS,EAAE,MAAM,CAAC,CAAA;QACtD,IAAI,OAAO,CAAC,MAAM,GAAG,CAAC,EAAE,CAAC;YACvB,MAAM,IAAI,oBAAoB,CAC5B,GAAG,SAAS,YAAY,OAAO,CAAC,MAAM,cAAc,IAAI,mBAAmB;gBACzE,IAAI,OAAO,CAAC,KAAK,CAAC,CAAC,EAAE,CAAC,CAAC,CAAC,GAAG,CAAC,CAAC,CAAC,EAAE,EAAE,CAAC,GAAG,CAAC,CAAC,IAAI,IAAI,CAAC,CAAC,QAAQ,IAAI,CAAC,CAAC,MAAM,EAAE,CAAC,CAAC,IAAI,CAAC,IAAI,CAAC,KAAK;gBACzF,0BAA0B,CAC7B,CAAA;QACH,CAAC;IACH,CAAC;IAED,+EAA+E;IAE/E,6EAA6E;IAC7E,mBAAmB,CAAC,SAAmB;QACrC,OAAO,CAAC,GAAG,IAAI,GAAG,CAAC,cAAc,CAAC,SAAS,CAAC,CAAC,GAAG,CAAC,CAAC,CAAC,EAAE,EAAE,CAAC,QAAQ,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,CAAA;IACxE,CAAC;IAED;;;;;OAKG;IACH,KAAK,CAAC,QAAQ,CACZ,SAAiB,EACjB,MAA6D;QAE7D,MAAM,IAAI,GAA0B,EAAE,CAAA;QACtC,IAAI,iBAAqC,CAAA;QACzC,MAAM,UAAU,GAAG,IAAI,GAAG,EAAU,CAAA;QACpC,IAAI,KAAK,GAAG,CAAC,CAAA;QACb,GAAG,CAAC;YACF,MAAM,QAAQ,GAAG,MAAM,IAAI,CAAC,MAAM,CAAC,SAAS,EAAE,GAAG,EAAE,CACjD,IAAI,CAAC,MAAM,CAAC,IAAI,CAAC,MAAM,EAAE;gBACvB,QAAQ,EAAE,cAAc;gBACxB,iBAAiB;gBACjB,WAAW,EAAE,IAAI,CAAC,YAAY;aAC/B,CAAC,CACH,CAAA;YACD,KAAK,IAAI,CAAC,CAAA;YACV,KAAK,MAAM,KAAK,IAAI,QAAQ,CAAC,MAAM,IAAI,EAAE,EAAE,CAAC;gBAC1C,MAAM,GAAG,GAAQ,KAAK,EAAE,GAAG,CAAA;gBAC3B,IAAI,CAAC,GAAG,EAAE,IAAI,IAAI,CAAC,GAAG,EAAE,QAAQ,IAAI,CAAC,GAAG,EAAE,MAAM,EAAE,CAAC;oBACjD,IAAI,CAAC,gBAAgB,CAAC,SAAS,EAAE,IAAI,CAAC,SAAS,CAAC,GAAG,IAAI,IAAI,CAAC,CAAC,CAAA;oBAC7D,SAAQ;gBACV,CAAC;gBACD,2EAA2E;gBAC3E,qEAAqE;gBACrE,IAAI,CAAC,IAAI,CAAC;oBACR,IAAI,EAAE,GAAG,CAAC,IAAI;oBACd,QAAQ,EAAE,GAAG,CAAC,QAAQ;oBACtB,MAAM,EAAE,GAAG,CAAC,MAAM;oBAClB,UAAU,EAAE,YAAY,CAAC,GAAG,CAAC,SAAS,EAAE,OAAO,EAAE,WAAW,CAAC;iBAC9D,CAAC,CAAA;YACJ,CAAC;YACD,iBAAiB,GAAG,QAAQ,CAAC,kBAAkB,IAAI,SAAS,CAAA;YAC5D,IAAI,iBAAiB,EAAE,CAAC;gBACtB,IAAI,UAAU,CAAC,GAAG,CAAC,iBAAiB,CAAC,EAAE,CAAC;oBACtC,MAAM,IAAI,yBAAyB,CACjC,mBAAmB,EACnB,SAAS,EACT,IAAI,KAAK,CAAC,2CAA2C,KAAK,0BAA0B,CAAC,CACtF,CAAA;gBACH,CAAC;gBACD,IAAI,KAAK,IAAI,cAAc,EAAE,CAAC;oBAC5B,MAAM,IAAI,yBAAyB,CACjC,mBAAmB,EACnB,SAAS,EACT,IAAI,KAAK,CAAC,UAAU,cAAc,6BAA6B,CAAC,CACjE,CAAA;gBACH,CAAC;gBACD,UAAU,CAAC,GAAG,CAAC,iBAAiB,CAAC,CAAA;YACnC,CAAC;QACH,CAAC,QAAQ,iBAAiB,EAAC;QAC3B,OAAO,IAAI,CAAA;IACb,CAAC;IAED,gBAAgB,CAAC,SAAiB,EAAE,MAAc;QAChD,IAAI,CAAC,WAAW,CAAC,iBAAiB,IAAI,CAAC,CAAA;QACvC,IAAI,CAAC,OAAO,CAAC,IAAI,CACf,mDAAmD,SAAS,KAAK,MAAM,KAAK;YAC1E,uCAAuC,IAAI,CAAC,WAAW,CAAC,iBAAiB,GAAG,CAC/E,CAAA;IACH,CAAC;CACF;AAED,uFAAuF;AACvF,SAAS,aAAa,CAAC,KAAc;IACnC,IAAI,OAAO,GAAQ,KAAK,CAAA;IACxB,KAAK,IAAI,KAAK,GAAG,CAAC,EAAE,OAAO,IAAI,KAAK,GAAG,CAAC,EAAE,KAAK,EAAE,EAAE,CAAC;QAClD,MAAM,IAAI,GAAG,MAAM,CAAC,OAAO,CAAC,IAAI,IAAI,EAAE,CAAC,CAAA;QACvC,IAAI,IAAI,KAAK,cAAc,IAAI,IAAI,KAAK,WAAW,IAAI,UAAU,CAAC,IAAI,CAAC,MAAM,CAAC,OAAO,CAAC,OAAO,IAAI,EAAE,CAAC,CAAC,EAAE,CAAC;YACtG,OAAO,IAAI,CAAA;QACb,CAAC;QACD,OAAO,GAAG,OAAO,CAAC,KAAK,CAAA;IACzB,CAAC;IACD,OAAO,KAAK,CAAA;AACd,CAAC"}