@jantstack/adonis-authz 2.0.0-alpha.1 → 2.4.0-alpha.2

package/build/src/errors.d.ts

@@ -252,12 +252,17 @@ export declare class PurgeIncompleteError extends Exception {
     static code: string;
 }
 /**
- * `openfga:import` sobre un store con tuplas y sin `--reconcile`. En FGA la
- * condición no es parte de la clave: escribir "ignorando duplicados" sobre
- * una tupla existente dejaba la caducidad vieja (o ninguna) y reportaba
- * éxito (S7). 409: el estado del destino no es el que el comando espera.
+ * Una escritura del driver `openfga` chocó una y otra vez con otra
+ * transacción sobre las MISMAS tuplas (3b-2f · R3). FGA responde
+ * `Aborted` (HTTP 409) cuando dos `Write` transaccionales tocan una tupla a
+ * la vez, y responde `write_failed_due_to_invalid_input` cuando la tupla ya
+ * existía: las dos dicen "otro escritor llegó antes", y el driver las trata
+ * releyendo y re-aplicando. Si tras varias vueltas el store sigue en
+ * conflicto, el llamante se entera con un **409** —el estado del destino no
+ * es el que esta escritura esperaba, y reintentar es lo correcto—, nunca con
+ * un 503 "el backend no respondió": respondió, y dijo exactamente qué pasa.
  */
-export declare class StoreNotEmptyError extends Exception {
+export declare class WriteConflictError extends Exception {
     static status: number;
     static code: string;
 }
@@ -342,6 +347,32 @@ export declare class UnsupportedOperationError extends Exception {
     static status: number;
     static code: string;
     constructor(method: string, primitive: string, driver: string, hint?: string);
+    /**
+     * **Puerta 1 de `{ transaction }`** (L-2, panel `{trx}` (C)): la operación
+     * pidió escribir en la transacción del consumidor y el driver activo no
+     * declara `transactionalWrites: true`. 500 y no 422 por precedente
+     * (`membersOf`, `purgeRole`): no es una pregunta mal formada, es un
+     * despliegue que no casa con lo que se le pidió. La letra lleva la salida.
+     */
+    static transactional(operation: string, driver: string, port: 'roles' | 'relations'): UnsupportedOperationError;
+    /**
+     * **El mismo rechazo, dicho por el DRIVER `openfga`** (L-5, defensa en
+     * profundidad como F-05 en L-0): `manager.driver()` es la salida documentada
+     * de las barreras y con `{ transaction }` entraría por aquí saltándose la
+     * puerta 1; el driver no puede intentar un `Write` que finja ir en la
+     * transacción del consumidor. Misma clase, mismo `code`, misma letra; la
+     * frase final dice que no hay salida por el driver — la alternativa que SÍ
+     * existe para el ÁRBOL es la outbox de scopes (encola en tu transacción);
+     * para HECHOS y relaciones no hay outbox (descartada por el panel `{trx}`:
+     * fail-open medido).
+     */
+    static transactionalDriver(operation: string, driver: string, port: 'roles' | 'relations'): UnsupportedOperationError;
+    /**
+     * La API de delegación no admite `{ transaction }` (L-2, §1.4 del veredicto):
+     * escribe el catálogo por `withAuthzCatalogWrite`, que ES el serializador
+     * entre procesos (invariante 14); moverla al commit del consumidor lo anula.
+     */
+    static transactionalCatalog(operation: string): UnsupportedOperationError;
 }
 /**
  * Una vista de `forRequest()` se usó para LEER después de `maxAgeMs` (2D ·
@@ -363,4 +394,258 @@ export declare class NoDescendantsResolverError extends Exception {
     static status: number;
     static code: string;
 }
+/**
+ * `pruneOrphanRoles({ force: true })` iba a purgar una fracción del catálogo
+ * local que solo tiene sentido si el ÁRBOL se ha quedado ciego (3b-0b · AA2,
+ * auditor 3b-0): TODOS los owners distintos huérfanos, o más del 50 % de los
+ * roles locales. Esa es exactamente la firma de un `resolveChain` filtrado
+ * por el tenant de la petición —patrón normal en multi-tenant— o corriendo
+ * sin contexto (un comando, una réplica atrasada): devuelve `null` para
+ * todo, así que TODO rol local parece huérfano y una pasada con `--force` se
+ * lleva el catálogo local de todos los tenants. 500 y no 422 porque el
+ * error está en el despliegue, no en la pregunta; el barrido legítimo de una
+ * poda grande de verdad pasa con `allowMassPurge: true`
+ * (`--allow-mass-purge`), que es una decisión humana, no un default.
+ */
+export declare class MassPurgeRefusedError extends Exception {
+    static status: number;
+    static code: string;
+}
+/**
+ * Un `purgeRole` falló a mitad del barrido de `prune-orphans`.
+ *
+ * La purga NO es transaccional entre roles: cada `purgeRole` es atómico, pero
+ * si el tercero revienta, los dos primeros ya están borrados. El valor de
+ * retorno —que es donde vivía la lista— nunca llega a producirse, así que
+ * quien recoge el error necesita saber **qué se fue** y **qué queda**, o la
+ * frase del CHANGELOG es papel mojado (tester 3b-1 §6.2).
+ *
+ * Por eso este error lleva `purged` y `skipped` con la misma forma que el
+ * valor de retorno, y envuelve el error del driver como `cause` en vez de
+ * dejarlo escapar crudo: la abstracción no filtra.
+ *
+ * Recuperación: los `role_purged` ya notificados nombran lo mismo que
+ * `purged`, y la siguiente pasada recoge el resto (los huérfanos que quedan
+ * lo siguen siendo).
+ */
+export declare class PruneInterruptedError extends Exception {
+    readonly purged: ReadonlyArray<{
+        uuid: string;
+        slug: string;
+        scopeType: string;
+        owner: string;
+    }>;
+    readonly skipped: ReadonlyArray<{
+        role: {
+            uuid: string;
+            slug: string;
+            scopeType: string;
+            owner: string;
+        };
+        reason: string;
+    }>;
+    static status: number;
+    static code: string;
+    constructor(message: string, purged: ReadonlyArray<{
+        uuid: string;
+        slug: string;
+        scopeType: string;
+        owner: string;
+    }>, skipped: ReadonlyArray<{
+        role: {
+            uuid: string;
+            slug: string;
+            scopeType: string;
+            owner: string;
+        };
+        reason: string;
+    }>, options?: ErrorOptions);
+}
+/**
+ * `readLocalRoles()` (el barrido de `prune-orphans`) encontró más roles
+ * locales que su cota `maxLocalRoles` (3b-0b · AB2, auditor 3b-0 ⚪): la
+ * lectura es UNA consulta sin `LIMIT`, así que un catálogo local enorme la
+ * convierte en amplificación. 500 y nunca una lista parcial —truncar aquí
+ * sería decidir a ciegas qué se purga—: se sube la cota a sabiendas.
+ */
+export declare class TooManyLocalRolesError extends Exception {
+    static status: number;
+    static code: string;
+}
+/**
+ * El catálogo no cabe en un authorization model de OpenFGA (3b-2a · A3): el
+ * modo `facts` publica cada permiso como cuatro relaciones del modelo y el
+ * servidor tiene un techo de 262.144 bytes. **Cuántos permisos son esos bytes
+ * depende de tu catálogo** (3b-4 · C3): ~450 con slugs realistas
+ * (`recurso:accion`) y tres holder types, 691 si los permisos se llaman
+ * `p0`…`pN`, 272 con slugs de 40 caracteres. La tabla y de qué depende están
+ * en `FACTS_MODEL_MAX_BYTES`; el mensaje del error dice los bytes REALES y
+ * cuántos permisos tenía el catálogo que se intentó publicar.
+ * Se comprueba en `syncAuthzCatalog` ANTES de escribir: si se escribiera
+ * primero, el catálogo quedaría en la base sin poder proyectarse nunca y el
+ * store sin poder regenerarse. 500 porque es config de despliegue —el techo
+ * del servidor es del pliego de infraestructura—, no una pregunta inválida.
+ */
+export declare class ModelTooLargeError extends Exception {
+    static status: number;
+    static code: string;
+}
+/**
+ * La config de relaciones ReBAC (Fase 4) no se puede FUSIONAR en el modelo
+ * `facts`. Es 422 (pregunta inválida del que declara la config), no 500: un
+ * tipo de objeto de relaciones que duplica un tipo o una familia de
+ * relaciones reservados del modelo `facts` (`scope`/`role`/`role_binding`/
+ * `deny_binding`/`group`, o `can_<P>`/`permits_<P>`/`denied_<P>`/`assignee`/
+ * `parent`/`rooted`), o una relación cuyo nombre choca con un permiso del
+ * catálogo (F-04), invalidaría el modelo compartido. Lo detecta el GENERADOR y
+ * lanza el PAQUETE —nunca el 400 opaco del servidor—, porque en el store
+ * compartido los ids de `facts` y los de relaciones viven en el mismo espacio
+ * (⚪4 del auditor, cierre por construcción del 🔴).
+ */
+export declare class RelationConfigError extends Exception {
+    static status: number;
+    static code: string;
+}
+/**
+ * El árbol materializado del store no es un árbol (3b-2b, cruce 8). El
+ * paquete escribe UNA arista `scope:<hijo>#parent@scope:<padre>` por nodo y
+ * la sustituye entera en cada `moved`, así que encontrar dos padres para el
+ * mismo scope significa que alguien MÁS está escribiendo ahí. No se
+ * "arregla": con dos padres la herencia ya está trayendo hechos de otra rama
+ * y elegir uno de los dos sería adivinar cuál de las dos concesiones vivas es
+ * la buena. 500 y se denuncia; lo reconstruye `authz:reconcile`.
+ */
+export declare class ScopeTreeDriftError extends Exception {
+    static status: number;
+    static code: string;
+}
+/**
+ * El motor está CONGELADO por una operación de plataforma (`authz:reconcile`
+ * o la ventana de cutover de `authz:freeze`).
+ *
+ * Desde 3b-7 el freeze es DURABLE (la fila `id = 2` de
+ * `authz_catalog_version`): mientras está vivo, las ESCRITURAS del manager
+ * (`grant`/`revoke`/`deny`/`removeDeny`, las tres `scopes.*`, la API de
+ * delegación, el barrido de huérfanos y el relay) responden con este 503 **en
+ * todos los procesos que comparten esas tablas**, y las LECTURAS siguen
+ * funcionando: una migración que copia hechos de un backend a otro no puede
+ * competir con quien los está escribiendo —lo que entre entre la lectura del
+ * origen y la escritura del destino se pierde sin que nadie lo cuente— y
+ * dejar de leer sería tirar la aplicación entera por una operación de
+ * plataforma.
+ *
+ * **503 y REINTENTABLE** (`retryable: true`): no es una pregunta inválida ni
+ * un fallo del backend, es una ventana de mantenimiento acotada (por el
+ * lease, o por el `authz:unfreeze` del operador). El llamante puede
+ * reintentar tal cual; un 409 diría «tu estado no es el que esperaba» y un
+ * 422 «no vuelvas a intentarlo», y ninguna de las dos es cierta aquí.
+ */
+export declare class AuthorizationFrozenError extends Exception {
+    static status: number;
+    static code: string;
+    /** Reintentar tal cual es lo correcto en cuanto termine la ventana. */
+    readonly retryable = true;
+}
+/**
+ * Ya hay un freeze VIVO de otro dueño (3b-7, auditor A1.3).
+ *
+ * `freeze()` no puede ser idempotente entre procesos: dos `authz:reconcile`
+ * simultáneos que compartieran la fila se levantarían la barrera el uno al
+ * otro al terminar el primero — dos pasadas pisándose con el README diciendo
+ * que no puede pasar. El segundo dueño recibe este 423 con el motivo y el
+ * holder del freeze vivo; la excepción a propósito es el freeze de OPERADOR,
+ * que `reconcile` reconoce como su propio contexto (el cutover, F6) en vez
+ * de chocar con él.
+ */
+export declare class FreezeHeldError extends Exception {
+    static status: number;
+    static code: string;
+}
+/**
+ * `authz:reconcile --prune` iba a borrar hechos del destino con un ORIGEN
+ * VACÍO (3b-3a; mismo patrón que `E_AUTHZ_MASS_PURGE_REFUSED`, 3b-0b · AA2).
+ *
+ * `--to=openfga` hace del store un espejo de `authz_assignments`/
+ * `authz_denies`, así que un origen sin una sola fila de hechos y un destino
+ * lleno significa casi siempre que **los hechos los está escribiendo el otro
+ * driver** (el store ES la fuente cuando `openfga` está activo) o que la
+ * conexión mira a la base equivocada. Con `--prune` eso se lleva por delante
+ * todo lo concedido, y sin manera de reconstruirlo. 500 antes de escribir
+ * nada, `allowMassDelete: true` (`--allow-mass-delete`) es la decisión
+ * humana, y `--dry-run` no lanza: lo marca en el reporte.
+ */
+export declare class MassReconcileRefusedError extends Exception {
+    static status: number;
+    static code: string;
+}
+/**
+ * **El volcado del destino no cabe en la cota declarada** (3b-3b · B5).
+ *
+ * Reconciliar exige comparar contra el estado ENTERO del destino: sin esa
+ * foto no se puede saber qué sobra, y «lo que sobra» es la mitad del trabajo
+ * (las aristas que el consumidor ya no respalda, el nodo con dos padres, la
+ * basura de una versión anterior). El ORIGEN sí se lee por lotes con cursor;
+ * el destino no, y por eso hay una cota.
+ *
+ * Se declara en vez de esconderse: por encima de `maxTuples` la pasada se
+ * niega **antes de escribir nada**, con la cifra y la salida (subir la cota,
+ * o migrar por particiones, que hoy el paquete NO trae). Un OOM a mitad de
+ * migración deja el destino con las escrituras de MENOS que ya se aplicaron
+ * y sin reporte; esto no deja nada.
+ */
+export declare class ReconcileTooLargeError extends Exception {
+    static status: number;
+    static code: string;
+}
+/**
+ * El driver se ha pedido en `hierarchy: 'facts'` —el árbol vive en el store
+ * de FGA— sin `scopes.outbox` y sin aceptar el riesgo por escrito (3b-2d,
+ * cruce 4 · S5). En ese montaje el paquete escribe la arista en FGA dentro
+ * de la transacción del consumidor y un `rollback` posterior NO la deshace:
+ * SQL dice un padre y FGA otro, FGA es quien decide, y la aplicación —que
+ * lista y audita contra SQL— no puede ver la escalada. No es un mal uso: el
+ * uso correcto fuga, sin crash, con un simple rollback.
+ *
+ * 500 y al construir, no al escribir: un puerto opcional que nadie declara
+ * no mitiga nada, y descubrirlo en la primera escritura de un tenant es
+ * tarde. `acceptScopeDriftRisk: true` es la salida explícita para quien
+ * mueve el árbol solo desde la plataforma y lo asume por escrito.
+ */
+export declare class ScopeDriftUnguardedError extends Exception {
+    static status: number;
+    static code: string;
+}
+/**
+ * **F-05, la frontera de ESCRITURA de relaciones (Fase 4, cierre del 🔴 del
+ * auditor).** `relate`/`unrelate` recibieron un `object.type` que NO está
+ * declarado en `defineRelationsConfig`. Es 422 ANTES de tocar el driver: en el
+ * store COMPARTIDO los tipos de `facts` (`role_binding`, `scope`, `role`)
+ * viven en el MISMO espacio de ids, y la composición
+ * `<type>:<scopeKey(partition)>|<id>` reproduce byte a byte el id de un
+ * `role_binding` real. Sin este corte, `relate(evil, assignee,
+ * {type:'role_binding', id:<roleUuid>}, S)` escribía la tupla del binding y
+ * `check(evil, can_<P>, S)` devolvía `true` (escalada a `roles.authorize`,
+ * medida por el auditor). Junto con ⚪4 (un tipo reservado no se puede
+ * declarar) la colisión deja de existir en vez de vigilarse. **Desde L-0 el
+ * mismo 422 lo lanzan también los dos drivers** en `relate`/`unrelate`, antes
+ * de tocar el backend (`assertRelationDeclared`, una sola función): el
+ * manager cortaba, pero `manager.driver()` y `reconcileRelations` entran por
+ * el driver y la escalada seguía abierta por ahí (panel `{trx}`, 🔴 2).
+ */
+export declare class RelationTypeUnknownError extends Exception {
+    static status: number;
+    static code: string;
+}
+/**
+ * **F-05, cara de la RELACIÓN.** El `object.type` está declarado, pero la
+ * `relation` no es una de las suyas en `defineRelationsConfig`. Mismo 422
+ * antes de tocar el driver —y, desde L-0, también en el driver antes de tocar
+ * el backend—: una relación no declarada podría, en un futuro modelo, mapear a
+ * una relación propia de `facts` (hoy `document#assignee` en `openfga` salía
+ * como un 503 mal clasificado del servidor).
+ */
+export declare class RelationUnknownError extends Exception {
+    static status: number;
+    static code: string;
+}
 //# sourceMappingURL=errors.d.ts.map

package/build/src/errors.d.ts.map

@@ -1 +1 @@
-{"version":3,"file":"errors.d.ts","sourceRoot":"","sources":["../../src/errors.ts"],"names":[],"mappings":"AAAA,OAAO,EAAE,SAAS,EAAE,MAAM,2BAA2B,CAAA;AAErD;;;;;;;;;;;;;;;;;;;;;;;;;GAyBG;AACH,qBAAa,yBAA0B,SAAQ,SAAS;IACtD,MAAM,CAAC,MAAM,SAAM;IACnB,MAAM,CAAC,IAAI,SAAgC;gBAE/B,MAAM,EAAE,MAAM,EAAE,SAAS,EAAE,MAAM,EAAE,KAAK,EAAE,OAAO;CAG9D;AAED;;;;;GAKG;AACH,qBAAa,gCAAiC,SAAQ,yBAAyB;IAC7E,MAAM,CAAC,IAAI,SAA4B;gBAE3B,MAAM,EAAE,MAAM,EAAE,SAAS,EAAE,MAAM,EAAE,SAAS,EAAE,MAAM,EAAE,KAAK,CAAC,EAAE,OAAO;CAIlF;AAED;;;;GAIG;AACH,qBAAa,kBAAmB,SAAQ,SAAS;IAC/C,MAAM,CAAC,MAAM,SAAM;IACnB,MAAM,CAAC,IAAI,SAA4B;gBAE3B,SAAS,EAAE,MAAM,EAAE,KAAK,EAAE,OAAO;CAG9C;AAED;;;;;GAKG;AACH,qBAAa,oBAAqB,SAAQ,SAAS;IACjD,MAAM,CAAC,MAAM,SAAM;IACnB,MAAM,CAAC,IAAI,SAA6B;CACzC;AAED;;;;GAIG;AACH,qBAAa,gBAAiB,SAAQ,SAAS;IAC7C,MAAM,CAAC,MAAM,SAAM;IACnB,MAAM,CAAC,IAAI,SAAyB;CACrC;AAED;;;;GAIG;AACH,qBAAa,wBAAyB,SAAQ,SAAS;IACrD,MAAM,CAAC,MAAM,SAAM;IACnB,MAAM,CAAC,IAAI,SAAmB;CAC/B;AAED;;;;GAIG;AACH,qBAAa,0BAA2B,SAAQ,SAAS;IACvD,MAAM,CAAC,MAAM,SAAM;IACnB,MAAM,CAAC,IAAI,SAAqB;CACjC;AAED;;;;;;GAMG;AACH,qBAAa,iBAAkB,SAAQ,SAAS;IAC9C,MAAM,CAAC,MAAM,SAAM;IACnB,MAAM,CAAC,IAAI,SAA0B;CACtC;AAED;;;;;;GAMG;AACH,qBAAa,oBAAqB,SAAQ,SAAS;IACjD,MAAM,CAAC,MAAM,SAAM;IACnB,MAAM,CAAC,IAAI,SAA8B;CAC1C;AAED;;;;GAIG;AACH,qBAAa,gBAAiB,SAAQ,SAAS;IAC7C,MAAM,CAAC,MAAM,SAAM;IACnB,MAAM,CAAC,IAAI,SAAyB;gBAExB,UAAU,EAAE,MAAM,EAAE,SAAS,CAAC,EAAE,MAAM;CAOnD;AAED;;;;;;GAMG;AACH,qBAAa,mBAAoB,SAAQ,SAAS;IAChD,MAAM,CAAC,MAAM,SAAM;IACnB,MAAM,CAAC,IAAI,SAA6B;CACzC;AAED;;;;;;;;;;;GAWG;AACH,qBAAa,kBAAmB,SAAQ,SAAS;IAC/C,MAAM,CAAC,MAAM,SAAM;IACnB,MAAM,CAAC,IAAI,SAA2B;CACvC;AAED;;;;;;;;;GASG;AACH,qBAAa,wBAAyB,SAAQ,SAAS;IACrD,MAAM,CAAC,MAAM,SAAM;IACnB,MAAM,CAAC,IAAI,SAAmC;CAC/C;AAED;;;;;GAKG;AACH,qBAAa,kBAAmB,SAAQ,SAAS;IAC/C,MAAM,CAAC,MAAM,SAAM;IACnB,MAAM,CAAC,IAAI,SAA2B;CACvC;AAED;;;;;;GAMG;AACH,qBAAa,wBAAyB,SAAQ,SAAS;IACrD,MAAM,CAAC,MAAM,SAAM;IACnB,MAAM,CAAC,IAAI,SAAmC;CAC/C;AAED;;;;;;;GAOG;AACH,qBAAa,2BAA4B,SAAQ,SAAS;IACxD,MAAM,CAAC,MAAM,SAAM;IACnB,MAAM,CAAC,IAAI,SAAqC;CACjD;AAED;;;;;GAKG;AACH,qBAAa,iBAAkB,SAAQ,SAAS;IAC9C,MAAM,CAAC,MAAM,SAAM;IACnB,MAAM,CAAC,IAAI,SAA0B;CACtC;AAED;;;;;;GAMG;AACH,qBAAa,oBAAqB,SAAQ,SAAS;IACjD,MAAM,CAAC,MAAM,SAAM;IACnB,MAAM,CAAC,IAAI,SAA6B;CACzC;AAED,8EAA8E;AAC9E,qBAAa,sBAAuB,SAAQ,SAAS;IACnD,MAAM,CAAC,MAAM,SAAM;IACnB,MAAM,CAAC,IAAI,SAA+B;gBAE9B,IAAI,EAAE,MAAM;CAGzB;AAED;;;;;;GAMG;AACH,qBAAa,oBAAqB,SAAQ,SAAS;IACjD,MAAM,CAAC,MAAM,SAAM;IACnB,MAAM,CAAC,IAAI,SAA+B;gBAE9B,IAAI,EAAE,OAAO;CAQ1B;AAED;;;;;GAKG;AACH,qBAAa,eAAgB,SAAQ,SAAS;IAC5C,MAAM,CAAC,MAAM,SAAM;IACnB,MAAM,CAAC,IAAI,SAAwB;CACpC;AAED;;;;GAIG;AACH,qBAAa,oBAAqB,SAAQ,SAAS;IACjD,MAAM,CAAC,MAAM,SAAM;IACnB,MAAM,CAAC,IAAI,SAA6B;CACzC;AAED;;;;;GAKG;AACH,qBAAa,kBAAmB,SAAQ,SAAS;IAC/C,MAAM,CAAC,MAAM,SAAM;IACnB,MAAM,CAAC,IAAI,SAA4B;CACxC;AAED;;;;GAIG;AACH,qBAAa,kBAAmB,SAAQ,SAAS;IAC/C,MAAM,CAAC,MAAM,SAAM;IACnB,MAAM,CAAC,IAAI,SAA2B;CACvC;AAED;;;;;;;GAOG;AACH,qBAAa,cAAe,SAAQ,SAAS;IAC3C,MAAM,CAAC,MAAM,SAAM;IACnB,MAAM,CAAC,IAAI,SAAuB;CACnC;AAED;;;;GAIG;AACH,qBAAa,mBAAoB,SAAQ,SAAS;IAChD,MAAM,CAAC,MAAM,SAAM;IACnB,MAAM,CAAC,IAAI,SAA4B;CACxC;AAED;;;;;;GAMG;AACH,qBAAa,wBAAyB,SAAQ,SAAS;IACrD,MAAM,CAAC,MAAM,SAAM;IACnB,MAAM,CAAC,IAAI,SAAkC;CAC9C;AAED;;;;;;GAMG;AACH,qBAAa,kBAAmB,SAAQ,SAAS;IAC/C,MAAM,CAAC,MAAM,SAAM;IACnB,MAAM,CAAC,IAAI,SAA4B;CACxC;AAED;;;;GAIG;AACH,qBAAa,uBAAwB,SAAQ,SAAS;IACpD,MAAM,CAAC,MAAM,SAAM;IACnB,MAAM,CAAC,IAAI,SAAgC;CAC5C;AAED;;;;;GAKG;AACH,qBAAa,iBAAkB,SAAQ,SAAS;IAC9C,MAAM,CAAC,MAAM,SAAM;IACnB,MAAM,CAAC,IAAI,SAA2B;CACvC;AAED;;;;;GAKG;AACH,qBAAa,yBAA0B,SAAQ,SAAS;IACtD,MAAM,CAAC,MAAM,SAAM;IACnB,MAAM,CAAC,IAAI,SAAwB;gBAEvB,MAAM,EAAE,MAAM,EAAE,SAAS,EAAE,MAAM,EAAE,MAAM,EAAE,MAAM,EAAE,IAAI,CAAC,EAAE,MAAM;CAM7E;AAED;;;;;;GAMG;AACH,qBAAa,gBAAiB,SAAQ,SAAS;IAC7C,MAAM,CAAC,MAAM,SAAM;IACnB,MAAM,CAAC,IAAI,SAAyB;CACrC;AAED;;;;GAIG;AACH,qBAAa,0BAA2B,SAAQ,SAAS;IACvD,MAAM,CAAC,MAAM,SAAM;IACnB,MAAM,CAAC,IAAI,SAAoC;CAChD"}
+{"version":3,"file":"errors.d.ts","sourceRoot":"","sources":["../../src/errors.ts"],"names":[],"mappings":"AAAA,OAAO,EAAE,SAAS,EAAE,MAAM,2BAA2B,CAAA;AAErD;;;;;;;;;;;;;;;;;;;;;;;;;GAyBG;AACH,qBAAa,yBAA0B,SAAQ,SAAS;IACtD,MAAM,CAAC,MAAM,SAAM;IACnB,MAAM,CAAC,IAAI,SAAgC;gBAE/B,MAAM,EAAE,MAAM,EAAE,SAAS,EAAE,MAAM,EAAE,KAAK,EAAE,OAAO;CAG9D;AAED;;;;;GAKG;AACH,qBAAa,gCAAiC,SAAQ,yBAAyB;IAC7E,MAAM,CAAC,IAAI,SAA4B;gBAE3B,MAAM,EAAE,MAAM,EAAE,SAAS,EAAE,MAAM,EAAE,SAAS,EAAE,MAAM,EAAE,KAAK,CAAC,EAAE,OAAO;CAIlF;AAED;;;;GAIG;AACH,qBAAa,kBAAmB,SAAQ,SAAS;IAC/C,MAAM,CAAC,MAAM,SAAM;IACnB,MAAM,CAAC,IAAI,SAA4B;gBAE3B,SAAS,EAAE,MAAM,EAAE,KAAK,EAAE,OAAO;CAG9C;AAED;;;;;GAKG;AACH,qBAAa,oBAAqB,SAAQ,SAAS;IACjD,MAAM,CAAC,MAAM,SAAM;IACnB,MAAM,CAAC,IAAI,SAA6B;CACzC;AAED;;;;GAIG;AACH,qBAAa,gBAAiB,SAAQ,SAAS;IAC7C,MAAM,CAAC,MAAM,SAAM;IACnB,MAAM,CAAC,IAAI,SAAyB;CACrC;AAED;;;;GAIG;AACH,qBAAa,wBAAyB,SAAQ,SAAS;IACrD,MAAM,CAAC,MAAM,SAAM;IACnB,MAAM,CAAC,IAAI,SAAmB;CAC/B;AAED;;;;GAIG;AACH,qBAAa,0BAA2B,SAAQ,SAAS;IACvD,MAAM,CAAC,MAAM,SAAM;IACnB,MAAM,CAAC,IAAI,SAAqB;CACjC;AAED;;;;;;GAMG;AACH,qBAAa,iBAAkB,SAAQ,SAAS;IAC9C,MAAM,CAAC,MAAM,SAAM;IACnB,MAAM,CAAC,IAAI,SAA0B;CACtC;AAED;;;;;;GAMG;AACH,qBAAa,oBAAqB,SAAQ,SAAS;IACjD,MAAM,CAAC,MAAM,SAAM;IACnB,MAAM,CAAC,IAAI,SAA8B;CAC1C;AAED;;;;GAIG;AACH,qBAAa,gBAAiB,SAAQ,SAAS;IAC7C,MAAM,CAAC,MAAM,SAAM;IACnB,MAAM,CAAC,IAAI,SAAyB;gBAExB,UAAU,EAAE,MAAM,EAAE,SAAS,CAAC,EAAE,MAAM;CAOnD;AAED;;;;;;GAMG;AACH,qBAAa,mBAAoB,SAAQ,SAAS;IAChD,MAAM,CAAC,MAAM,SAAM;IACnB,MAAM,CAAC,IAAI,SAA6B;CACzC;AAED;;;;;;;;;;;GAWG;AACH,qBAAa,kBAAmB,SAAQ,SAAS;IAC/C,MAAM,CAAC,MAAM,SAAM;IACnB,MAAM,CAAC,IAAI,SAA2B;CACvC;AAED;;;;;;;;;GASG;AACH,qBAAa,wBAAyB,SAAQ,SAAS;IACrD,MAAM,CAAC,MAAM,SAAM;IACnB,MAAM,CAAC,IAAI,SAAmC;CAC/C;AAED;;;;;GAKG;AACH,qBAAa,kBAAmB,SAAQ,SAAS;IAC/C,MAAM,CAAC,MAAM,SAAM;IACnB,MAAM,CAAC,IAAI,SAA2B;CACvC;AAED;;;;;;GAMG;AACH,qBAAa,wBAAyB,SAAQ,SAAS;IACrD,MAAM,CAAC,MAAM,SAAM;IACnB,MAAM,CAAC,IAAI,SAAmC;CAC/C;AAED;;;;;;;GAOG;AACH,qBAAa,2BAA4B,SAAQ,SAAS;IACxD,MAAM,CAAC,MAAM,SAAM;IACnB,MAAM,CAAC,IAAI,SAAqC;CACjD;AAED;;;;;GAKG;AACH,qBAAa,iBAAkB,SAAQ,SAAS;IAC9C,MAAM,CAAC,MAAM,SAAM;IACnB,MAAM,CAAC,IAAI,SAA0B;CACtC;AAED;;;;;;GAMG;AACH,qBAAa,oBAAqB,SAAQ,SAAS;IACjD,MAAM,CAAC,MAAM,SAAM;IACnB,MAAM,CAAC,IAAI,SAA6B;CACzC;AAED,8EAA8E;AAC9E,qBAAa,sBAAuB,SAAQ,SAAS;IACnD,MAAM,CAAC,MAAM,SAAM;IACnB,MAAM,CAAC,IAAI,SAA+B;gBAE9B,IAAI,EAAE,MAAM;CAGzB;AAED;;;;;;GAMG;AACH,qBAAa,oBAAqB,SAAQ,SAAS;IACjD,MAAM,CAAC,MAAM,SAAM;IACnB,MAAM,CAAC,IAAI,SAA+B;gBAE9B,IAAI,EAAE,OAAO;CAQ1B;AAED;;;;;GAKG;AACH,qBAAa,eAAgB,SAAQ,SAAS;IAC5C,MAAM,CAAC,MAAM,SAAM;IACnB,MAAM,CAAC,IAAI,SAAwB;CACpC;AAED;;;;GAIG;AACH,qBAAa,oBAAqB,SAAQ,SAAS;IACjD,MAAM,CAAC,MAAM,SAAM;IACnB,MAAM,CAAC,IAAI,SAA6B;CACzC;AAED;;;;;;;;;;GAUG;AACH,qBAAa,kBAAmB,SAAQ,SAAS;IAC/C,MAAM,CAAC,MAAM,SAAM;IACnB,MAAM,CAAC,IAAI,SAA2B;CACvC;AAED;;;;GAIG;AACH,qBAAa,kBAAmB,SAAQ,SAAS;IAC/C,MAAM,CAAC,MAAM,SAAM;IACnB,MAAM,CAAC,IAAI,SAA2B;CACvC;AAED;;;;;;;GAOG;AACH,qBAAa,cAAe,SAAQ,SAAS;IAC3C,MAAM,CAAC,MAAM,SAAM;IACnB,MAAM,CAAC,IAAI,SAAuB;CACnC;AAED;;;;GAIG;AACH,qBAAa,mBAAoB,SAAQ,SAAS;IAChD,MAAM,CAAC,MAAM,SAAM;IACnB,MAAM,CAAC,IAAI,SAA4B;CACxC;AAED;;;;;;GAMG;AACH,qBAAa,wBAAyB,SAAQ,SAAS;IACrD,MAAM,CAAC,MAAM,SAAM;IACnB,MAAM,CAAC,IAAI,SAAkC;CAC9C;AAED;;;;;;GAMG;AACH,qBAAa,kBAAmB,SAAQ,SAAS;IAC/C,MAAM,CAAC,MAAM,SAAM;IACnB,MAAM,CAAC,IAAI,SAA4B;CACxC;AAED;;;;GAIG;AACH,qBAAa,uBAAwB,SAAQ,SAAS;IACpD,MAAM,CAAC,MAAM,SAAM;IACnB,MAAM,CAAC,IAAI,SAAgC;CAC5C;AAED;;;;;GAKG;AACH,qBAAa,iBAAkB,SAAQ,SAAS;IAC9C,MAAM,CAAC,MAAM,SAAM;IACnB,MAAM,CAAC,IAAI,SAA2B;CACvC;AAED;;;;;GAKG;AACH,qBAAa,yBAA0B,SAAQ,SAAS;IACtD,MAAM,CAAC,MAAM,SAAM;IACnB,MAAM,CAAC,IAAI,SAAwB;gBAEvB,MAAM,EAAE,MAAM,EAAE,SAAS,EAAE,MAAM,EAAE,MAAM,EAAE,MAAM,EAAE,IAAI,CAAC,EAAE,MAAM;IAO5E;;;;;;OAMG;IACH,MAAM,CAAC,aAAa,CAAC,SAAS,EAAE,MAAM,EAAE,MAAM,EAAE,MAAM,EAAE,IAAI,EAAE,OAAO,GAAG,WAAW,GAAG,yBAAyB;IAa/G;;;;;;;;;;OAUG;IACH,MAAM,CAAC,mBAAmB,CAAC,SAAS,EAAE,MAAM,EAAE,MAAM,EAAE,MAAM,EAAE,IAAI,EAAE,OAAO,GAAG,WAAW,GAAG,yBAAyB;IASrH;;;;OAIG;IACH,MAAM,CAAC,oBAAoB,CAAC,SAAS,EAAE,MAAM,GAAG,yBAAyB;CAS1E;AAED;;;;;;GAMG;AACH,qBAAa,gBAAiB,SAAQ,SAAS;IAC7C,MAAM,CAAC,MAAM,SAAM;IACnB,MAAM,CAAC,IAAI,SAAyB;CACrC;AAED;;;;GAIG;AACH,qBAAa,0BAA2B,SAAQ,SAAS;IACvD,MAAM,CAAC,MAAM,SAAM;IACnB,MAAM,CAAC,IAAI,SAAoC;CAChD;AAED;;;;;;;;;;;;GAYG;AACH,qBAAa,qBAAsB,SAAQ,SAAS;IAClD,MAAM,CAAC,MAAM,SAAM;IACnB,MAAM,CAAC,IAAI,SAA+B;CAC3C;AAED;;;;;;;;;;;;;;;;GAgBG;AACH,qBAAa,qBAAsB,SAAQ,SAAS;IAMhD,QAAQ,CAAC,MAAM,EAAE,aAAa,CAAC;QAAE,IAAI,EAAE,MAAM,CAAC;QAAC,IAAI,EAAE,MAAM,CAAC;QAAC,SAAS,EAAE,MAAM,CAAC;QAAC,KAAK,EAAE,MAAM,CAAA;KAAE,CAAC;IAChG,QAAQ,CAAC,OAAO,EAAE,aAAa,CAAC;QAAE,IAAI,EAAE;YAAE,IAAI,EAAE,MAAM,CAAC;YAAC,IAAI,EAAE,MAAM,CAAC;YAAC,SAAS,EAAE,MAAM,CAAC;YAAC,KAAK,EAAE,MAAM,CAAA;SAAE,CAAC;QAAC,MAAM,EAAE,MAAM,CAAA;KAAE,CAAC;IAN7H,MAAM,CAAC,MAAM,SAAM;IACnB,MAAM,CAAC,IAAI,SAA8B;gBAGvC,OAAO,EAAE,MAAM,EACN,MAAM,EAAE,aAAa,CAAC;QAAE,IAAI,EAAE,MAAM,CAAC;QAAC,IAAI,EAAE,MAAM,CAAC;QAAC,SAAS,EAAE,MAAM,CAAC;QAAC,KAAK,EAAE,MAAM,CAAA;KAAE,CAAC,EACvF,OAAO,EAAE,aAAa,CAAC;QAAE,IAAI,EAAE;YAAE,IAAI,EAAE,MAAM,CAAC;YAAC,IAAI,EAAE,MAAM,CAAC;YAAC,SAAS,EAAE,MAAM,CAAC;YAAC,KAAK,EAAE,MAAM,CAAA;SAAE,CAAC;QAAC,MAAM,EAAE,MAAM,CAAA;KAAE,CAAC,EAC3H,OAAO,CAAC,EAAE,YAAY;CAIzB;AAED;;;;;;GAMG;AACH,qBAAa,sBAAuB,SAAQ,SAAS;IACnD,MAAM,CAAC,MAAM,SAAM;IACnB,MAAM,CAAC,IAAI,SAAiC;CAC7C;AAED;;;;;;;;;;;;;GAaG;AACH,qBAAa,kBAAmB,SAAQ,SAAS;IAC/C,MAAM,CAAC,MAAM,SAAM;IACnB,MAAM,CAAC,IAAI,SAA4B;CACxC;AAED;;;;;;;;;;;GAWG;AACH,qBAAa,mBAAoB,SAAQ,SAAS;IAChD,MAAM,CAAC,MAAM,SAAM;IACnB,MAAM,CAAC,IAAI,SAA4B;CACxC;AAED;;;;;;;;GAQG;AACH,qBAAa,mBAAoB,SAAQ,SAAS;IAChD,MAAM,CAAC,MAAM,SAAM;IACnB,MAAM,CAAC,IAAI,SAA6B;CACzC;AAED;;;;;;;;;;;;;;;;;;;;GAoBG;AACH,qBAAa,wBAAyB,SAAQ,SAAS;IACrD,MAAM,CAAC,MAAM,SAAM;IACnB,MAAM,CAAC,IAAI,SAAmB;IAE9B,uEAAuE;IACvE,QAAQ,CAAC,SAAS,QAAO;CAC1B;AAED;;;;;;;;;;GAUG;AACH,qBAAa,eAAgB,SAAQ,SAAS;IAC5C,MAAM,CAAC,MAAM,SAAM;IACnB,MAAM,CAAC,IAAI,SAAwB;CACpC;AAED;;;;;;;;;;;;GAYG;AACH,qBAAa,yBAA0B,SAAQ,SAAS;IACtD,MAAM,CAAC,MAAM,SAAM;IACnB,MAAM,CAAC,IAAI,SAAmC;CAC/C;AAED;;;;;;;;;;;;;;GAcG;AACH,qBAAa,sBAAuB,SAAQ,SAAS;IACnD,MAAM,CAAC,MAAM,SAAM;IACnB,MAAM,CAAC,IAAI,SAAgC;CAC5C;AAED;;;;;;;;;;;;;GAaG;AACH,qBAAa,wBAAyB,SAAQ,SAAS;IACrD,MAAM,CAAC,MAAM,SAAM;IACnB,MAAM,CAAC,IAAI,SAAkC;CAC9C;AAED;;;;;;;;;;;;;;;;GAgBG;AACH,qBAAa,wBAAyB,SAAQ,SAAS;IACrD,MAAM,CAAC,MAAM,SAAM;IACnB,MAAM,CAAC,IAAI,SAAkC;CAC9C;AAED;;;;;;;GAOG;AACH,qBAAa,oBAAqB,SAAQ,SAAS;IACjD,MAAM,CAAC,MAAM,SAAM;IACnB,MAAM,CAAC,IAAI,SAA6B;CACzC"}

package/build/src/errors.js

@@ -270,14 +270,19 @@ export class PurgeIncompleteError extends Exception {
     static code = 'E_AUTHZ_PURGE_INCOMPLETE';
 }
 /**
- * `openfga:import` sobre un store con tuplas y sin `--reconcile`. En FGA la
- * condición no es parte de la clave: escribir "ignorando duplicados" sobre
- * una tupla existente dejaba la caducidad vieja (o ninguna) y reportaba
- * éxito (S7). 409: el estado del destino no es el que el comando espera.
- */
-export class StoreNotEmptyError extends Exception {
+ * Una escritura del driver `openfga` chocó una y otra vez con otra
+ * transacción sobre las MISMAS tuplas (3b-2f · R3). FGA responde
+ * `Aborted` (HTTP 409) cuando dos `Write` transaccionales tocan una tupla a
+ * la vez, y responde `write_failed_due_to_invalid_input` cuando la tupla ya
+ * existía: las dos dicen "otro escritor llegó antes", y el driver las trata
+ * releyendo y re-aplicando. Si tras varias vueltas el store sigue en
+ * conflicto, el llamante se entera con un **409** —el estado del destino no
+ * es el que esta escritura esperaba, y reintentar es lo correcto—, nunca con
+ * un 503 "el backend no respondió": respondió, y dijo exactamente qué pasa.
+ */
+export class WriteConflictError extends Exception {
     static status = 409;
-    static code = 'E_AUTHZ_STORE_NOT_EMPTY';
+    static code = 'E_AUTHZ_WRITE_CONFLICT';
 }
 /**
  * `config.requireActor: true` y una escritura llegó sin `actor` (2.1, B7).
@@ -363,6 +368,58 @@ export class UnsupportedOperationError extends Exception {
         super(`${primitive} necesita '${method}' y el driver '${driver}' no lo implementa: es un método opcional del ` +
             `puerto (2.1) que este driver tiene que añadir para usar esta primitiva.` + (hint ? ` ${hint}` : ''));
     }
+    /**
+     * **Puerta 1 de `{ transaction }`** (L-2, panel `{trx}` (C)): la operación
+     * pidió escribir en la transacción del consumidor y el driver activo no
+     * declara `transactionalWrites: true`. 500 y no 422 por precedente
+     * (`membersOf`, `purgeRole`): no es una pregunta mal formada, es un
+     * despliegue que no casa con lo que se le pidió. La letra lleva la salida.
+     */
+    static transactional(operation, driver, port) {
+        const error = new UnsupportedOperationError('transactionalWrites', operation, driver);
+        error.message =
+            `${operation}: se pidió escribir en la transacción del consumidor ({ transaction }) y el driver '${driver}' ` +
+                `declara transactionalWrites: false (o no la declara): no puede inscribir la escritura en tu transacción ` +
+                `(«los dos o ninguno» sería falso; en openfga una tupla no entra en una transacción SQL). No se ha tocado el ` +
+                `driver. Salidas: usa el driver 'database' para ${port === 'roles' ? 'los hechos' : 'las relaciones'}, o ` +
+                `declara requireTransactionalWrites: true en config/authorization.ts` +
+                `${port === 'relations' ? ' (o en relations.requireTransactionalWrites)' : ''} para que esto falle al ARRANCAR ` +
+                `en vez de en esta ruta. Sin { transaction } la misma llamada entra.`;
+        return error;
+    }
+    /**
+     * **El mismo rechazo, dicho por el DRIVER `openfga`** (L-5, defensa en
+     * profundidad como F-05 en L-0): `manager.driver()` es la salida documentada
+     * de las barreras y con `{ transaction }` entraría por aquí saltándose la
+     * puerta 1; el driver no puede intentar un `Write` que finja ir en la
+     * transacción del consumidor. Misma clase, mismo `code`, misma letra; la
+     * frase final dice que no hay salida por el driver — la alternativa que SÍ
+     * existe para el ÁRBOL es la outbox de scopes (encola en tu transacción);
+     * para HECHOS y relaciones no hay outbox (descartada por el panel `{trx}`:
+     * fail-open medido).
+     */
+    static transactionalDriver(operation, driver, port) {
+        const error = UnsupportedOperationError.transactional(operation, driver, port);
+        error.message +=
+            ` Rechazado por el DRIVER '${driver}' (no por el manager): entrar por manager.driver() no es una salida — ` +
+                `una tupla del store no puede inscribirse en tu transacción ni fingirlo. Para el ÁRBOL de scopes la salida ` +
+                `que existe es scopes.outbox (encola en tu transacción y authz:scopes:relay aplica); para hechos y relaciones no hay outbox.`;
+        return error;
+    }
+    /**
+     * La API de delegación no admite `{ transaction }` (L-2, §1.4 del veredicto):
+     * escribe el catálogo por `withAuthzCatalogWrite`, que ES el serializador
+     * entre procesos (invariante 14); moverla al commit del consumidor lo anula.
+     */
+    static transactionalCatalog(operation) {
+        const error = new UnsupportedOperationError('transactionalWrites', operation, 'catalog');
+        error.message =
+            `${operation}: { transaction } no se admite en la API de delegación: el catálogo se escribe por ` +
+                `withAuthzCatalogWrite (cerrojo de la fila de versión + bump como última sentencia, invariante 14), que es el ` +
+                `serializador del catálogo entre procesos; inscribirlo en tu transacción lo anularía. Solo grant/revoke/deny/` +
+                `removeDeny (hechos) y relate/unrelate/purge* (relaciones) admiten { transaction }.`;
+        return error;
+    }
 }
 /**
  * Una vista de `forRequest()` se usó para LEER después de `maxAgeMs` (2D ·
@@ -384,4 +441,236 @@ export class NoDescendantsResolverError extends Exception {
     static status = 500;
     static code = 'E_AUTHZ_NO_DESCENDANTS_RESOLVER';
 }
+/**
+ * `pruneOrphanRoles({ force: true })` iba a purgar una fracción del catálogo
+ * local que solo tiene sentido si el ÁRBOL se ha quedado ciego (3b-0b · AA2,
+ * auditor 3b-0): TODOS los owners distintos huérfanos, o más del 50 % de los
+ * roles locales. Esa es exactamente la firma de un `resolveChain` filtrado
+ * por el tenant de la petición —patrón normal en multi-tenant— o corriendo
+ * sin contexto (un comando, una réplica atrasada): devuelve `null` para
+ * todo, así que TODO rol local parece huérfano y una pasada con `--force` se
+ * lleva el catálogo local de todos los tenants. 500 y no 422 porque el
+ * error está en el despliegue, no en la pregunta; el barrido legítimo de una
+ * poda grande de verdad pasa con `allowMassPurge: true`
+ * (`--allow-mass-purge`), que es una decisión humana, no un default.
+ */
+export class MassPurgeRefusedError extends Exception {
+    static status = 500;
+    static code = 'E_AUTHZ_MASS_PURGE_REFUSED';
+}
+/**
+ * Un `purgeRole` falló a mitad del barrido de `prune-orphans`.
+ *
+ * La purga NO es transaccional entre roles: cada `purgeRole` es atómico, pero
+ * si el tercero revienta, los dos primeros ya están borrados. El valor de
+ * retorno —que es donde vivía la lista— nunca llega a producirse, así que
+ * quien recoge el error necesita saber **qué se fue** y **qué queda**, o la
+ * frase del CHANGELOG es papel mojado (tester 3b-1 §6.2).
+ *
+ * Por eso este error lleva `purged` y `skipped` con la misma forma que el
+ * valor de retorno, y envuelve el error del driver como `cause` en vez de
+ * dejarlo escapar crudo: la abstracción no filtra.
+ *
+ * Recuperación: los `role_purged` ya notificados nombran lo mismo que
+ * `purged`, y la siguiente pasada recoge el resto (los huérfanos que quedan
+ * lo siguen siendo).
+ */
+export class PruneInterruptedError extends Exception {
+    purged;
+    skipped;
+    static status = 500;
+    static code = 'E_AUTHZ_PRUNE_INTERRUPTED';
+    constructor(message, purged, skipped, options) {
+        super(message, options);
+        this.purged = purged;
+        this.skipped = skipped;
+    }
+}
+/**
+ * `readLocalRoles()` (el barrido de `prune-orphans`) encontró más roles
+ * locales que su cota `maxLocalRoles` (3b-0b · AB2, auditor 3b-0 ⚪): la
+ * lectura es UNA consulta sin `LIMIT`, así que un catálogo local enorme la
+ * convierte en amplificación. 500 y nunca una lista parcial —truncar aquí
+ * sería decidir a ciegas qué se purga—: se sube la cota a sabiendas.
+ */
+export class TooManyLocalRolesError extends Exception {
+    static status = 500;
+    static code = 'E_AUTHZ_TOO_MANY_LOCAL_ROLES';
+}
+/**
+ * El catálogo no cabe en un authorization model de OpenFGA (3b-2a · A3): el
+ * modo `facts` publica cada permiso como cuatro relaciones del modelo y el
+ * servidor tiene un techo de 262.144 bytes. **Cuántos permisos son esos bytes
+ * depende de tu catálogo** (3b-4 · C3): ~450 con slugs realistas
+ * (`recurso:accion`) y tres holder types, 691 si los permisos se llaman
+ * `p0`…`pN`, 272 con slugs de 40 caracteres. La tabla y de qué depende están
+ * en `FACTS_MODEL_MAX_BYTES`; el mensaje del error dice los bytes REALES y
+ * cuántos permisos tenía el catálogo que se intentó publicar.
+ * Se comprueba en `syncAuthzCatalog` ANTES de escribir: si se escribiera
+ * primero, el catálogo quedaría en la base sin poder proyectarse nunca y el
+ * store sin poder regenerarse. 500 porque es config de despliegue —el techo
+ * del servidor es del pliego de infraestructura—, no una pregunta inválida.
+ */
+export class ModelTooLargeError extends Exception {
+    static status = 500;
+    static code = 'E_AUTHZ_MODEL_TOO_LARGE';
+}
+/**
+ * La config de relaciones ReBAC (Fase 4) no se puede FUSIONAR en el modelo
+ * `facts`. Es 422 (pregunta inválida del que declara la config), no 500: un
+ * tipo de objeto de relaciones que duplica un tipo o una familia de
+ * relaciones reservados del modelo `facts` (`scope`/`role`/`role_binding`/
+ * `deny_binding`/`group`, o `can_<P>`/`permits_<P>`/`denied_<P>`/`assignee`/
+ * `parent`/`rooted`), o una relación cuyo nombre choca con un permiso del
+ * catálogo (F-04), invalidaría el modelo compartido. Lo detecta el GENERADOR y
+ * lanza el PAQUETE —nunca el 400 opaco del servidor—, porque en el store
+ * compartido los ids de `facts` y los de relaciones viven en el mismo espacio
+ * (⚪4 del auditor, cierre por construcción del 🔴).
+ */
+export class RelationConfigError extends Exception {
+    static status = 422;
+    static code = 'E_AUTHZ_RELATION_CONFIG';
+}
+/**
+ * El árbol materializado del store no es un árbol (3b-2b, cruce 8). El
+ * paquete escribe UNA arista `scope:<hijo>#parent@scope:<padre>` por nodo y
+ * la sustituye entera en cada `moved`, así que encontrar dos padres para el
+ * mismo scope significa que alguien MÁS está escribiendo ahí. No se
+ * "arregla": con dos padres la herencia ya está trayendo hechos de otra rama
+ * y elegir uno de los dos sería adivinar cuál de las dos concesiones vivas es
+ * la buena. 500 y se denuncia; lo reconstruye `authz:reconcile`.
+ */
+export class ScopeTreeDriftError extends Exception {
+    static status = 500;
+    static code = 'E_AUTHZ_SCOPE_TREE_DRIFT';
+}
+/**
+ * El motor está CONGELADO por una operación de plataforma (`authz:reconcile`
+ * o la ventana de cutover de `authz:freeze`).
+ *
+ * Desde 3b-7 el freeze es DURABLE (la fila `id = 2` de
+ * `authz_catalog_version`): mientras está vivo, las ESCRITURAS del manager
+ * (`grant`/`revoke`/`deny`/`removeDeny`, las tres `scopes.*`, la API de
+ * delegación, el barrido de huérfanos y el relay) responden con este 503 **en
+ * todos los procesos que comparten esas tablas**, y las LECTURAS siguen
+ * funcionando: una migración que copia hechos de un backend a otro no puede
+ * competir con quien los está escribiendo —lo que entre entre la lectura del
+ * origen y la escritura del destino se pierde sin que nadie lo cuente— y
+ * dejar de leer sería tirar la aplicación entera por una operación de
+ * plataforma.
+ *
+ * **503 y REINTENTABLE** (`retryable: true`): no es una pregunta inválida ni
+ * un fallo del backend, es una ventana de mantenimiento acotada (por el
+ * lease, o por el `authz:unfreeze` del operador). El llamante puede
+ * reintentar tal cual; un 409 diría «tu estado no es el que esperaba» y un
+ * 422 «no vuelvas a intentarlo», y ninguna de las dos es cierta aquí.
+ */
+export class AuthorizationFrozenError extends Exception {
+    static status = 503;
+    static code = 'E_AUTHZ_FROZEN';
+    /** Reintentar tal cual es lo correcto en cuanto termine la ventana. */
+    retryable = true;
+}
+/**
+ * Ya hay un freeze VIVO de otro dueño (3b-7, auditor A1.3).
+ *
+ * `freeze()` no puede ser idempotente entre procesos: dos `authz:reconcile`
+ * simultáneos que compartieran la fila se levantarían la barrera el uno al
+ * otro al terminar el primero — dos pasadas pisándose con el README diciendo
+ * que no puede pasar. El segundo dueño recibe este 423 con el motivo y el
+ * holder del freeze vivo; la excepción a propósito es el freeze de OPERADOR,
+ * que `reconcile` reconoce como su propio contexto (el cutover, F6) en vez
+ * de chocar con él.
+ */
+export class FreezeHeldError extends Exception {
+    static status = 423;
+    static code = 'E_AUTHZ_FREEZE_HELD';
+}
+/**
+ * `authz:reconcile --prune` iba a borrar hechos del destino con un ORIGEN
+ * VACÍO (3b-3a; mismo patrón que `E_AUTHZ_MASS_PURGE_REFUSED`, 3b-0b · AA2).
+ *
+ * `--to=openfga` hace del store un espejo de `authz_assignments`/
+ * `authz_denies`, así que un origen sin una sola fila de hechos y un destino
+ * lleno significa casi siempre que **los hechos los está escribiendo el otro
+ * driver** (el store ES la fuente cuando `openfga` está activo) o que la
+ * conexión mira a la base equivocada. Con `--prune` eso se lleva por delante
+ * todo lo concedido, y sin manera de reconstruirlo. 500 antes de escribir
+ * nada, `allowMassDelete: true` (`--allow-mass-delete`) es la decisión
+ * humana, y `--dry-run` no lanza: lo marca en el reporte.
+ */
+export class MassReconcileRefusedError extends Exception {
+    static status = 500;
+    static code = 'E_AUTHZ_MASS_RECONCILE_REFUSED';
+}
+/**
+ * **El volcado del destino no cabe en la cota declarada** (3b-3b · B5).
+ *
+ * Reconciliar exige comparar contra el estado ENTERO del destino: sin esa
+ * foto no se puede saber qué sobra, y «lo que sobra» es la mitad del trabajo
+ * (las aristas que el consumidor ya no respalda, el nodo con dos padres, la
+ * basura de una versión anterior). El ORIGEN sí se lee por lotes con cursor;
+ * el destino no, y por eso hay una cota.
+ *
+ * Se declara en vez de esconderse: por encima de `maxTuples` la pasada se
+ * niega **antes de escribir nada**, con la cifra y la salida (subir la cota,
+ * o migrar por particiones, que hoy el paquete NO trae). Un OOM a mitad de
+ * migración deja el destino con las escrituras de MENOS que ya se aplicaron
+ * y sin reporte; esto no deja nada.
+ */
+export class ReconcileTooLargeError extends Exception {
+    static status = 500;
+    static code = 'E_AUTHZ_RECONCILE_TOO_LARGE';
+}
+/**
+ * El driver se ha pedido en `hierarchy: 'facts'` —el árbol vive en el store
+ * de FGA— sin `scopes.outbox` y sin aceptar el riesgo por escrito (3b-2d,
+ * cruce 4 · S5). En ese montaje el paquete escribe la arista en FGA dentro
+ * de la transacción del consumidor y un `rollback` posterior NO la deshace:
+ * SQL dice un padre y FGA otro, FGA es quien decide, y la aplicación —que
+ * lista y audita contra SQL— no puede ver la escalada. No es un mal uso: el
+ * uso correcto fuga, sin crash, con un simple rollback.
+ *
+ * 500 y al construir, no al escribir: un puerto opcional que nadie declara
+ * no mitiga nada, y descubrirlo en la primera escritura de un tenant es
+ * tarde. `acceptScopeDriftRisk: true` es la salida explícita para quien
+ * mueve el árbol solo desde la plataforma y lo asume por escrito.
+ */
+export class ScopeDriftUnguardedError extends Exception {
+    static status = 500;
+    static code = 'E_AUTHZ_SCOPE_DRIFT_UNGUARDED';
+}
+/**
+ * **F-05, la frontera de ESCRITURA de relaciones (Fase 4, cierre del 🔴 del
+ * auditor).** `relate`/`unrelate` recibieron un `object.type` que NO está
+ * declarado en `defineRelationsConfig`. Es 422 ANTES de tocar el driver: en el
+ * store COMPARTIDO los tipos de `facts` (`role_binding`, `scope`, `role`)
+ * viven en el MISMO espacio de ids, y la composición
+ * `<type>:<scopeKey(partition)>|<id>` reproduce byte a byte el id de un
+ * `role_binding` real. Sin este corte, `relate(evil, assignee,
+ * {type:'role_binding', id:<roleUuid>}, S)` escribía la tupla del binding y
+ * `check(evil, can_<P>, S)` devolvía `true` (escalada a `roles.authorize`,
+ * medida por el auditor). Junto con ⚪4 (un tipo reservado no se puede
+ * declarar) la colisión deja de existir en vez de vigilarse. **Desde L-0 el
+ * mismo 422 lo lanzan también los dos drivers** en `relate`/`unrelate`, antes
+ * de tocar el backend (`assertRelationDeclared`, una sola función): el
+ * manager cortaba, pero `manager.driver()` y `reconcileRelations` entran por
+ * el driver y la escalada seguía abierta por ahí (panel `{trx}`, 🔴 2).
+ */
+export class RelationTypeUnknownError extends Exception {
+    static status = 422;
+    static code = 'E_AUTHZ_RELATION_TYPE_UNKNOWN';
+}
+/**
+ * **F-05, cara de la RELACIÓN.** El `object.type` está declarado, pero la
+ * `relation` no es una de las suyas en `defineRelationsConfig`. Mismo 422
+ * antes de tocar el driver —y, desde L-0, también en el driver antes de tocar
+ * el backend—: una relación no declarada podría, en un futuro modelo, mapear a
+ * una relación propia de `facts` (hoy `document#assignee` en `openfga` salía
+ * como un 503 mal clasificado del servidor).
+ */
+export class RelationUnknownError extends Exception {
+    static status = 422;
+    static code = 'E_AUTHZ_RELATION_UNKNOWN';
+}
 //# sourceMappingURL=errors.js.map