@jantstack/adonis-authz 2.0.0-alpha.1 → 2.4.0-alpha.2

package/build/src/relations/manager.js

@@ -0,0 +1,213 @@
+/**
+ * `RelationsManager` — la fachada de ReBAC (Fase 4, lote 4-2).
+ *
+ * Es el análogo de `AuthorizationManager` para el puerto `RelationsDriver`:
+ * aplica la POLICY antes de tocar el driver y despacha la auditoría después.
+ * Lo que fija este lote:
+ *
+ *  - **F-05 (cierre del 🔴 del auditor)**: `relate`/`unrelate` con un
+ *    `object.type` o una `relation` que NO estén declarados en
+ *    `defineRelationsConfig` ⇒ 422 ANTES de llamar al driver. Junto con ⚪4
+ *    (un tipo reservado no se puede declarar) hace IMPOSIBLE que un `relate`
+ *    componga el id de un `role_binding` real y escale a `roles.authorize`.
+ *  - **R-13**: `assertWrite` PURO (obligatorio aquí, a diferencia de
+ *    `roles/`): si rechaza, nada toca el driver.
+ *  - `actor` en `onRelationWrite` (auditoría del consumidor sin
+ *    `AsyncLocalStorage`).
+ *  - `membersOf` como método OPCIONAL DISTINTO de `listSubjects`: si el driver
+ *    no lo trae (`membersOfNative: false`) ⇒ 500 `E_AUTHZ_UNSUPPORTED`
+ *    nombrándolo, jamás un `skip`.
+ *
+ * Pureza (regla 2): solo depende del puerto, los errores, la gramática
+ * compartida y `defineRelationsConfig`. Nada de `manager`/`drivers/*`.
+ */
+import { ActorRequiredError, AuthorizationConfigError, UnsupportedOperationError } from '../errors.js';
+import { assertScope, assertSubject, assertRelationId, assertExpiresAt } from '../identity.js';
+import { isClock, systemClock } from '../clock.js';
+import { assertNotFrozenRow } from '../freeze.js';
+import { isRelUserset } from '../types.js';
+import { assertRelationDeclared } from './define_relations_config.js';
+export class RelationsManager {
+    #driver;
+    #config;
+    #options;
+    constructor(driver, config, options = {}) {
+        if (options.clock !== undefined) {
+            if (!isClock(options.clock)) {
+                throw new AuthorizationConfigError(`RelationsManager: clock debe ser una función () => Date (llegó ${typeof options.clock})`);
+            }
+            if (typeof driver.withClock !== 'function') {
+                throw new AuthorizationConfigError(`RelationsManager: el driver de relaciones no implementa withClock(now) y la config declara clock: ` +
+                    `sin él la caducidad de las relaciones se decidiría con otro reloj que el declarado.`);
+            }
+            driver = driver.withClock(options.clock);
+        }
+        if (options.requireTransactionalWrites === true && driver.capabilities?.transactionalWrites !== true) {
+            throw new AuthorizationConfigError(`requireTransactionalWrites está en true y el driver de relaciones '${options.driverName ?? 'relations'}' ` +
+                `declara transactionalWrites: ${driver.capabilities ? String(driver.capabilities.transactionalWrites) : 'nada (sin capabilities)'}: ` +
+                `no puede inscribir relate/unrelate/purge* en la transacción del consumidor («los dos o ninguno»), así que ` +
+                `el RelationsManager no se construye. Usa un driver que la declare (database) o quita el flag ` +
+                `(relations.requireTransactionalWrites, o el del raíz).`);
+        }
+        this.#driver = driver;
+        this.#config = config;
+        this.#options = options;
+    }
+    /**
+     * **Puerta 1 de `{ transaction }`** (L-2, siempre activa): una escritura con
+     * `{ transaction }` a un driver que no declara `transactionalWrites: true`
+     * es 500 `E_AUTHZ_UNSUPPORTED` nombrando driver y operación, ANTES de la
+     * barrera, de F-05 y del driver (cero llamadas). Encolar ≠ escribir: aquí
+     * la transacción ESCRIBE la tupla dentro de ella, no hay outbox.
+     */
+    #assertTransactional(options, operation) {
+        if (options?.transaction === undefined || options.transaction === null)
+            return;
+        if (this.#driver.capabilities?.transactionalWrites === true)
+            return;
+        throw UnsupportedOperationError.transactional(`relations.${operation}`, this.#options.driverName ?? 'relations', 'relations');
+    }
+    /** El driver crudo — salida documentada de las barreras (plataforma y tests). */
+    driver() {
+        return this.#driver;
+    }
+    /**
+     * **F-05**: rechaza un tipo/relación no declarado ANTES de tocar el driver.
+     * La gramática de identidad no basta: `role_binding`/`assignee` son
+     * gramaticalmente válidos y en el store compartido componen el id de un
+     * binding real. Es la MISMA función que aplican los dos drivers (L-0,
+     * `assertRelationDeclared`): el manager corta primero; el driver es la red
+     * para quien entra por `manager.driver()` o por `reconcileRelations`.
+     */
+    #assertDeclared(object, relation) {
+        assertRelationDeclared(this.#config, object, relation);
+    }
+    /**
+     * **R-16**: el `object.id` con la gramática estricta de relaciones ANTES del
+     * driver ⇒ 422 `E_AUTHZ_INVALID_IDENTITY`. `#assertDeclared` solo valida el
+     * TIPO (F-05): un `object.id` con un `|`/`#`/`:`/espacio se colaba y en
+     * `openfga` se ESCRIBÍA (invisibilidad de enumeración y pérdida en
+     * `reconcile`) o salía como 503 mal clasificado. Se valida aquí (una vez) y
+     * en cada driver (defensa en profundidad).
+     */
+    #assertObjectId(object) {
+        assertRelationId(`el id del objeto '${object?.type}'`, object?.id);
+    }
+    #assertActor(options) {
+        if (this.#options.requireActor && !options?.actor) {
+            throw new ActorRequiredError(`Escritura de relación sin 'actor' y la config exige uno (requireActor).`);
+        }
+    }
+    /**
+     * **La barrera del freeze, la MISMA que la de roles** (L-1 · J1, juez del
+     * panel `{trx}`): hasta L-1 no había una sola referencia al freeze en
+     * `relations/`, así que durante un cutover las escrituras de roles recibían
+     * 503 y las de relaciones ENTRABAN, y `authz:relations:reconcile`
+     * certificaba un estado que podía cambiar debajo. Es la fila `id = 2` de
+     * `authz_catalog_version` leída por la conexión del motor (`assertNotFrozenRow`,
+     * `src/freeze.ts` — raíz de `src/`, así que la regla 2 de pureza se cumple),
+     * delante de las CUATRO escrituras y antes de validar nada: 503
+     * `E_AUTHZ_FROZEN` reintentable. Las lecturas no pasan por aquí.
+     * `manager.driver()` sigue siendo la salida documentada.
+     */
+    #assertNotFrozen(operation) {
+        return assertNotFrozenRow(`relations.${operation}`, {
+            driver: 'relations',
+            nowMs: (this.#options.clock ?? systemClock)().getTime(),
+            timeoutMs: this.#options.freezeTimeoutMs,
+        });
+    }
+    async relate(subject, relation, object, partition, options) {
+        this.#assertTransactional(options, 'relate');
+        await this.#assertNotFrozen('relate');
+        this.#assertDeclared(object, relation);
+        this.#assertObjectId(object);
+        this.#assertActor(options);
+        assertScope(partition);
+        this.#assertSubject(subject, partition);
+        // R-15: `expiresAt` en sus tres estados legales (omitido / null / Date
+        // válida); cualquier otra cosa es 422 ANTES del driver (invariante 5).
+        assertExpiresAt(options?.expiresAt);
+        const ref = { operation: 'relate', subject, relation, object, partition };
+        if (options && 'expiresAt' in options)
+            ref.expiresAt = options.expiresAt;
+        this.#options.assertWrite?.(ref);
+        await this.#driver.relate(subject, relation, object, partition, options);
+        this.#options.onRelationWrite?.({ ...ref, actor: options?.actor });
+    }
+    async unrelate(subject, relation, object, partition, options) {
+        this.#assertTransactional(options, 'unrelate');
+        await this.#assertNotFrozen('unrelate');
+        this.#assertDeclared(object, relation);
+        this.#assertObjectId(object);
+        this.#assertActor(options);
+        assertScope(partition);
+        this.#assertSubject(subject, partition);
+        const ref = { operation: 'unrelate', subject, relation, object, partition };
+        this.#options.assertWrite?.(ref);
+        await this.#driver.unrelate(subject, relation, object, partition, options);
+        this.#options.onRelationWrite?.({ ...ref, actor: options?.actor });
+    }
+    async check(subject, relation, object, partition) {
+        assertScope(partition);
+        this.#assertObjectId(object);
+        return this.#driver.check(subject, relation, object, partition);
+    }
+    async listObjects(subject, relation, objectType, partition, page) {
+        assertScope(partition);
+        return this.#driver.listObjects(subject, relation, objectType, partition, page);
+    }
+    async listSubjects(relation, object, partition, page) {
+        assertScope(partition);
+        this.#assertObjectId(object);
+        return this.#driver.listSubjects(relation, object, partition, page);
+    }
+    async purgeObject(object, partition, options) {
+        this.#assertTransactional(options, 'purgeObject');
+        await this.#assertNotFrozen('purgeObject');
+        assertScope(partition);
+        this.#assertObjectId(object);
+        return this.#driver.purgeObject(object, partition, options);
+    }
+    async purgeSubject(subject, partition, options) {
+        this.#assertTransactional(options, 'purgeSubject');
+        await this.#assertNotFrozen('purgeSubject');
+        assertScope(partition);
+        return this.#driver.purgeSubject(subject, partition, options);
+    }
+    /**
+     * Membresía TRANSITIVA de un grupo (a través de usersets anidados) —
+     * DISTINTA de `listSubjects`, que da los hechos DIRECTOS. Solo la trae el
+     * driver `database` (`membersOfNative: true`); en `openfga` es 500
+     * `E_AUTHZ_UNSUPPORTED` nombrándola (la transitiva sería `ListUsers`, que
+     * trunca), jamás un `skip`.
+     */
+    async membersOf(object, relation, partition, page) {
+        assertScope(partition);
+        if (!this.#driver.membersOf || !this.#driver.capabilities?.membersOfNative) {
+            throw new UnsupportedOperationError('membersOf', 'la membresía transitiva de un grupo', 'relations', `Solo el driver 'database' la resuelve (CTE recursiva); en 'openfga' la transitiva sería ` +
+                `'ListUsers', que trunca. Usa 'listSubjects' para los hechos directos.`);
+        }
+        return this.#driver.membersOf(object, relation, partition, page);
+    }
+    /** ORIGEN de `authz:reconcile` de relaciones. 500 `E_AUTHZ_UNSUPPORTED` si el driver no lo trae. */
+    async enumerateRelations(partition, page) {
+        assertScope(partition);
+        if (!this.#driver.enumerateRelations || !this.#driver.capabilities?.enumerateRelations) {
+            throw new UnsupportedOperationError('enumerateRelations', 'ser origen de authz:reconcile de relaciones', 'relations');
+        }
+        return this.#driver.enumerateRelations(partition, page);
+    }
+    #assertSubject(subject, partition) {
+        if (isRelUserset(subject)) {
+            // El userset (`group:g#member`) también se ancla a la partición; su
+            // objeto se valida como cualquier otro objeto declarado (tipo + id, R-16).
+            this.#assertDeclared(subject.object, subject.relation);
+            this.#assertObjectId(subject.object);
+            assertScope(partition);
+            return;
+        }
+        assertSubject(subject);
+    }
+}
+//# sourceMappingURL=manager.js.map

package/build/src/relations/manager.js.map

@@ -0,0 +1 @@
+{"version":3,"file":"manager.js","sourceRoot":"","sources":["../../../src/relations/manager.ts"],"names":[],"mappings":"AAAA;;;;;;;;;;;;;;;;;;;;;;GAsBG;AACH,OAAO,EAAE,kBAAkB,EAAE,wBAAwB,EAAE,yBAAyB,EAAE,MAAM,cAAc,CAAA;AACtG,OAAO,EAAE,WAAW,EAAE,aAAa,EAAE,gBAAgB,EAAE,eAAe,EAAE,MAAM,gBAAgB,CAAA;AAC9F,OAAO,EAAE,OAAO,EAAE,WAAW,EAAE,MAAM,aAAa,CAAA;AAClD,OAAO,EAAE,kBAAkB,EAAE,MAAM,cAAc,CAAA;AAejD,OAAO,EAAE,YAAY,EAAE,MAAM,aAAa,CAAA;AAC1C,OAAO,EAAE,sBAAsB,EAAE,MAAM,8BAA8B,CAAA;AAsCrE,MAAM,OAAO,gBAAgB;IAClB,OAAO,CAAiB;IACxB,OAAO,CAAiB;IACxB,QAAQ,CAAyB;IAE1C,YAAY,MAAuB,EAAE,MAAuB,EAAE,UAAmC,EAAE;QACjG,IAAI,OAAO,CAAC,KAAK,KAAK,SAAS,EAAE,CAAC;YAChC,IAAI,CAAC,OAAO,CAAC,OAAO,CAAC,KAAK,CAAC,EAAE,CAAC;gBAC5B,MAAM,IAAI,wBAAwB,CAChC,kEAAkE,OAAO,OAAO,CAAC,KAAK,GAAG,CAC1F,CAAA;YACH,CAAC;YACD,IAAI,OAAO,MAAM,CAAC,SAAS,KAAK,UAAU,EAAE,CAAC;gBAC3C,MAAM,IAAI,wBAAwB,CAChC,oGAAoG;oBAClG,qFAAqF,CACxF,CAAA;YACH,CAAC;YACD,MAAM,GAAG,MAAM,CAAC,SAAS,CAAC,OAAO,CAAC,KAAK,CAAC,CAAA;QAC1C,CAAC;QACD,IAAI,OAAO,CAAC,0BAA0B,KAAK,IAAI,IAAI,MAAM,CAAC,YAAY,EAAE,mBAAmB,KAAK,IAAI,EAAE,CAAC;YACrG,MAAM,IAAI,wBAAwB,CAChC,sEAAsE,OAAO,CAAC,UAAU,IAAI,WAAW,IAAI;gBACzG,gCAAgC,MAAM,CAAC,YAAY,CAAC,CAAC,CAAC,MAAM,CAAC,MAAM,CAAC,YAAY,CAAC,mBAAmB,CAAC,CAAC,CAAC,CAAC,yBAAyB,IAAI;gBACrI,4GAA4G;gBAC5G,+FAA+F;gBAC/F,wDAAwD,CAC3D,CAAA;QACH,CAAC;QACD,IAAI,CAAC,OAAO,GAAG,MAAM,CAAA;QACrB,IAAI,CAAC,OAAO,GAAG,MAAM,CAAA;QACrB,IAAI,CAAC,QAAQ,GAAG,OAAO,CAAA;IACzB,CAAC;IAED;;;;;;OAMG;IACH,oBAAoB,CAAC,OAA+C,EAAE,SAAiB;QACrF,IAAI,OAAO,EAAE,WAAW,KAAK,SAAS,IAAI,OAAO,CAAC,WAAW,KAAK,IAAI;YAAE,OAAM;QAC9E,IAAI,IAAI,CAAC,OAAO,CAAC,YAAY,EAAE,mBAAmB,KAAK,IAAI;YAAE,OAAM;QACnE,MAAM,yBAAyB,CAAC,aAAa,CAC3C,aAAa,SAAS,EAAE,EACxB,IAAI,CAAC,QAAQ,CAAC,UAAU,IAAI,WAAW,EACvC,WAAW,CACZ,CAAA;IACH,CAAC;IAED,iFAAiF;IACjF,MAAM;QACJ,OAAO,IAAI,CAAC,OAAO,CAAA;IACrB,CAAC;IAED;;;;;;;OAOG;IACH,eAAe,CAAC,MAAiB,EAAE,QAAgB;QACjD,sBAAsB,CAAC,IAAI,CAAC,OAAO,EAAE,MAAM,EAAE,QAAQ,CAAC,CAAA;IACxD,CAAC;IAED;;;;;;;OAOG;IACH,eAAe,CAAC,MAAiB;QAC/B,gBAAgB,CAAC,qBAAqB,MAAM,EAAE,IAAI,GAAG,EAAE,MAAM,EAAE,EAAE,CAAC,CAAA;IACpE,CAAC;IAED,YAAY,CAAC,OAA8B;QACzC,IAAI,IAAI,CAAC,QAAQ,CAAC,YAAY,IAAI,CAAC,OAAO,EAAE,KAAK,EAAE,CAAC;YAClD,MAAM,IAAI,kBAAkB,CAC1B,yEAAyE,CAC1E,CAAA;QACH,CAAC;IACH,CAAC;IAED;;;;;;;;;;;OAWG;IACH,gBAAgB,CAAC,SAAiB;QAChC,OAAO,kBAAkB,CAAC,aAAa,SAAS,EAAE,EAAE;YAClD,MAAM,EAAE,WAAW;YACnB,KAAK,EAAE,CAAC,IAAI,CAAC,QAAQ,CAAC,KAAK,IAAI,WAAW,CAAC,EAAE,CAAC,OAAO,EAAE;YACvD,SAAS,EAAE,IAAI,CAAC,QAAQ,CAAC,eAAe;SACzC,CAAC,CAAA;IACJ,CAAC;IAED,KAAK,CAAC,MAAM,CACV,OAAmB,EACnB,QAAgB,EAChB,MAAiB,EACjB,SAAmB,EACnB,OAA8B;QAE9B,IAAI,CAAC,oBAAoB,CAAC,OAAO,EAAE,QAAQ,CAAC,CAAA;QAC5C,MAAM,IAAI,CAAC,gBAAgB,CAAC,QAAQ,CAAC,CAAA;QACrC,IAAI,CAAC,eAAe,CAAC,MAAM,EAAE,QAAQ,CAAC,CAAA;QACtC,IAAI,CAAC,eAAe,CAAC,MAAM,CAAC,CAAA;QAC5B,IAAI,CAAC,YAAY,CAAC,OAAO,CAAC,CAAA;QAC1B,WAAW,CAAC,SAAS,CAAC,CAAA;QACtB,IAAI,CAAC,cAAc,CAAC,OAAO,EAAE,SAAS,CAAC,CAAA;QACvC,uEAAuE;QACvE,uEAAuE;QACvE,eAAe,CAAC,OAAO,EAAE,SAAS,CAAC,CAAA;QACnC,MAAM,GAAG,GAAgB,EAAE,SAAS,EAAE,QAAQ,EAAE,OAAO,EAAE,QAAQ,EAAE,MAAM,EAAE,SAAS,EAAE,CAAA;QACtF,IAAI,OAAO,IAAI,WAAW,IAAI,OAAO;YAAE,GAAG,CAAC,SAAS,GAAG,OAAO,CAAC,SAAS,CAAA;QACxE,IAAI,CAAC,QAAQ,CAAC,WAAW,EAAE,CAAC,GAAG,CAAC,CAAA;QAChC,MAAM,IAAI,CAAC,OAAO,CAAC,MAAM,CAAC,OAAO,EAAE,QAAQ,EAAE,MAAM,EAAE,SAAS,EAAE,OAAO,CAAC,CAAA;QACxE,IAAI,CAAC,QAAQ,CAAC,eAAe,EAAE,CAAC,EAAE,GAAG,GAAG,EAAE,KAAK,EAAE,OAAO,EAAE,KAAK,EAAE,CAAC,CAAA;IACpE,CAAC;IAED,KAAK,CAAC,QAAQ,CACZ,OAAmB,EACnB,QAAgB,EAChB,MAAiB,EACjB,SAAmB,EACnB,OAA8B;QAE9B,IAAI,CAAC,oBAAoB,CAAC,OAAO,EAAE,UAAU,CAAC,CAAA;QAC9C,MAAM,IAAI,CAAC,gBAAgB,CAAC,UAAU,CAAC,CAAA;QACvC,IAAI,CAAC,eAAe,CAAC,MAAM,EAAE,QAAQ,CAAC,CAAA;QACtC,IAAI,CAAC,eAAe,CAAC,MAAM,CAAC,CAAA;QAC5B,IAAI,CAAC,YAAY,CAAC,OAAO,CAAC,CAAA;QAC1B,WAAW,CAAC,SAAS,CAAC,CAAA;QACtB,IAAI,CAAC,cAAc,CAAC,OAAO,EAAE,SAAS,CAAC,CAAA;QACvC,MAAM,GAAG,GAAgB,EAAE,SAAS,EAAE,UAAU,EAAE,OAAO,EAAE,QAAQ,EAAE,MAAM,EAAE,SAAS,EAAE,CAAA;QACxF,IAAI,CAAC,QAAQ,CAAC,WAAW,EAAE,CAAC,GAAG,CAAC,CAAA;QAChC,MAAM,IAAI,CAAC,OAAO,CAAC,QAAQ,CAAC,OAAO,EAAE,QAAQ,EAAE,MAAM,EAAE,SAAS,EAAE,OAAO,CAAC,CAAA;QAC1E,IAAI,CAAC,QAAQ,CAAC,eAAe,EAAE,CAAC,EAAE,GAAG,GAAG,EAAE,KAAK,EAAE,OAAO,EAAE,KAAK,EAAE,CAAC,CAAA;IACpE,CAAC;IAED,KAAK,CAAC,KAAK,CAAC,OAAmB,EAAE,QAAgB,EAAE,MAAiB,EAAE,SAAmB;QACvF,WAAW,CAAC,SAAS,CAAC,CAAA;QACtB,IAAI,CAAC,eAAe,CAAC,MAAM,CAAC,CAAA;QAC5B,OAAO,IAAI,CAAC,OAAO,CAAC,KAAK,CAAC,OAAO,EAAE,QAAQ,EAAE,MAAM,EAAE,SAAS,CAAC,CAAA;IACjE,CAAC;IAED,KAAK,CAAC,WAAW,CACf,OAAmB,EACnB,QAAgB,EAChB,UAAkB,EAClB,SAAmB,EACnB,IAAmB;QAEnB,WAAW,CAAC,SAAS,CAAC,CAAA;QACtB,OAAO,IAAI,CAAC,OAAO,CAAC,WAAW,CAAC,OAAO,EAAE,QAAQ,EAAE,UAAU,EAAE,SAAS,EAAE,IAAI,CAAC,CAAA;IACjF,CAAC;IAED,KAAK,CAAC,YAAY,CAChB,QAAgB,EAChB,MAAiB,EACjB,SAAmB,EACnB,IAAmB;QAEnB,WAAW,CAAC,SAAS,CAAC,CAAA;QACtB,IAAI,CAAC,eAAe,CAAC,MAAM,CAAC,CAAA;QAC5B,OAAO,IAAI,CAAC,OAAO,CAAC,YAAY,CAAC,QAAQ,EAAE,MAAM,EAAE,SAAS,EAAE,IAAI,CAAC,CAAA;IACrE,CAAC;IAED,KAAK,CAAC,WAAW,CAAC,MAAiB,EAAE,SAAmB,EAAE,OAAoC;QAC5F,IAAI,CAAC,oBAAoB,CAAC,OAAO,EAAE,aAAa,CAAC,CAAA;QACjD,MAAM,IAAI,CAAC,gBAAgB,CAAC,aAAa,CAAC,CAAA;QAC1C,WAAW,CAAC,SAAS,CAAC,CAAA;QACtB,IAAI,CAAC,eAAe,CAAC,MAAM,CAAC,CAAA;QAC5B,OAAO,IAAI,CAAC,OAAO,CAAC,WAAW,CAAC,MAAM,EAAE,SAAS,EAAE,OAAO,CAAC,CAAA;IAC7D,CAAC;IAED,KAAK,CAAC,YAAY,CAAC,OAAmB,EAAE,SAAmB,EAAE,OAAoC;QAC/F,IAAI,CAAC,oBAAoB,CAAC,OAAO,EAAE,cAAc,CAAC,CAAA;QAClD,MAAM,IAAI,CAAC,gBAAgB,CAAC,cAAc,CAAC,CAAA;QAC3C,WAAW,CAAC,SAAS,CAAC,CAAA;QACtB,OAAO,IAAI,CAAC,OAAO,CAAC,YAAY,CAAC,OAAO,EAAE,SAAS,EAAE,OAAO,CAAC,CAAA;IAC/D,CAAC;IAED;;;;;;OAMG;IACH,KAAK,CAAC,SAAS,CACb,MAAiB,EACjB,QAAgB,EAChB,SAAmB,EACnB,IAAmB;QAEnB,WAAW,CAAC,SAAS,CAAC,CAAA;QACtB,IAAI,CAAC,IAAI,CAAC,OAAO,CAAC,SAAS,IAAI,CAAC,IAAI,CAAC,OAAO,CAAC,YAAY,EAAE,eAAe,EAAE,CAAC;YAC3E,MAAM,IAAI,yBAAyB,CACjC,WAAW,EACX,qCAAqC,EACrC,WAAW,EACX,0FAA0F;gBACxF,uEAAuE,CAC1E,CAAA;QACH,CAAC;QACD,OAAO,IAAI,CAAC,OAAO,CAAC,SAAS,CAAC,MAAM,EAAE,QAAQ,EAAE,SAAS,EAAE,IAAI,CAAC,CAAA;IAClE,CAAC;IAED,oGAAoG;IACpG,KAAK,CAAC,kBAAkB,CAAC,SAAmB,EAAE,IAAmB;QAC/D,WAAW,CAAC,SAAS,CAAC,CAAA;QACtB,IAAI,CAAC,IAAI,CAAC,OAAO,CAAC,kBAAkB,IAAI,CAAC,IAAI,CAAC,OAAO,CAAC,YAAY,EAAE,kBAAkB,EAAE,CAAC;YACvF,MAAM,IAAI,yBAAyB,CACjC,oBAAoB,EACpB,6CAA6C,EAC7C,WAAW,CACZ,CAAA;QACH,CAAC;QACD,OAAO,IAAI,CAAC,OAAO,CAAC,kBAAkB,CAAC,SAAS,EAAE,IAAI,CAAC,CAAA;IACzD,CAAC;IAED,cAAc,CAAC,OAAmB,EAAE,SAAmB;QACrD,IAAI,YAAY,CAAC,OAAO,CAAC,EAAE,CAAC;YAC1B,oEAAoE;YACpE,2EAA2E;YAC3E,IAAI,CAAC,eAAe,CAAC,OAAO,CAAC,MAAM,EAAE,OAAO,CAAC,QAAQ,CAAC,CAAA;YACtD,IAAI,CAAC,eAAe,CAAC,OAAO,CAAC,MAAM,CAAC,CAAA;YACpC,WAAW,CAAC,SAAS,CAAC,CAAA;YACtB,OAAM;QACR,CAAC;QACD,aAAa,CAAC,OAAO,CAAC,CAAA;IACxB,CAAC;CACF"}

package/build/src/relations/reconcile.d.ts

@@ -0,0 +1,111 @@
+import type { Clock } from '../clock.js';
+import type { RelationsDriver, ScopeRef } from '../types.js';
+import type { RelationsConfig } from './define_relations_config.js';
+export interface RelationsReconcileOptions {
+    /** El driver del que se LEEN las tuplas (origen). Necesita `enumerateRelations`. */
+    from: RelationsDriver;
+    /** El driver al que se ESCRIBEN (destino). Necesita `enumerateRelations` para ver lo que sobra. */
+    to: RelationsDriver;
+    /** La partición a migrar (mono-tenant: `APP_SCOPE`). El reconcile es POR partición. */
+    partition: ScopeRef;
+    /** Solo reporta lo que HARÍA; cero escrituras (read-only por contrato, como el de roles). */
+    dryRun?: boolean;
+    /** Borra del destino las tuplas que el origen ya no respalda. Sin él, solo añade. */
+    prune?: boolean;
+    /**
+     * **El seguro de borrado masivo** (R-17): con `prune` y un ORIGEN sin una
+     * sola tupla utilizable, borrar TODO el destino es 500
+     * `E_AUTHZ_MASS_RECONCILE_REFUSED` (la firma de un `--from` equivocado o de un
+     * store vacío). `allowMassDelete: true` (`--allow-mass-delete`) es la decisión
+     * humana de vaciarlo de verdad; `--dry-run` no lanza, lo marca en `massDelete`.
+     * Paridad con el seguro de `authz:reconcile` de roles.
+     */
+    allowMassDelete?: boolean;
+    /**
+     * La config del DESTINO. Dos usos: vigilar la deriva del modelo fusionado
+     * (un tipo del origen que el destino NO declara se reporta en `modelDrift`)
+     * y **embudar F-05 ANTES del driver** (L-0): la tupla cuyo tipo o relación
+     * el destino no declara se descarta aquí y se cuenta en
+     * `skipped.undeclared`, de modo que `--dry-run` y la pasada real dan los
+     * MISMOS números. Sin ella, la embuda el 422 del propio driver del destino
+     * (la misma función, `assertRelationDeclared`) y se cuenta igual — pero
+     * `--dry-run` no puede anticiparla (la reporta como `written`).
+     */
+    toConfig?: RelationsConfig;
+    /**
+     * El reloj que decide qué tupla del ORIGEN está CADUCADA (R-15): una caducada
+     * no se migra —se cuenta en `skipped.expired`— y no respalda nada en el
+     * destino. Default `systemClock`; inyectable para el juez.
+     */
+    now?: Clock;
+}
+export interface RelationsReconcileReport {
+    /** ¿Fue `--dry-run` (sin escrituras)? */
+    dryRun: boolean;
+    /** Tuplas nuevas escritas en el destino (o que se escribirían, en `--dry-run`). */
+    written: number;
+    /** Tuplas que sobraban en el destino y se borraron (solo con `prune`; o que se borrarían). */
+    deleted: number;
+    /**
+     * Tuplas que estaban en el destino con OTRA caducidad y se reescribieron con
+     * la del origen (R-15; delete+write en ambos drivers, nunca un `Ignore` a
+     * ciegas que se quedara la caducidad vieja — la lección S7 de la 3b).
+     */
+    updated: number;
+    /** Tuplas que ya estaban exactamente igual (misma clave y misma caducidad). */
+    unchanged: number;
+    /**
+     * Tuplas del destino que el origen ya no respalda y que NO se borraron por
+     * no pasar `--prune` (deriva recuperable; con `prune` pasan a `deleted`).
+     */
+    extra: number;
+    /**
+     * Deriva del modelo fusionado del destino (`--dry-run`): tipos de relación
+     * del origen que la config del destino no declara. Vacío si no aplica.
+     */
+    modelDrift: string[];
+    /**
+     * **El seguro de borrado masivo se disparó** (R-17): `prune` iba a borrar
+     * tuplas y el ORIGEN no aportó ni una utilizable. En una pasada real es 500
+     * (salvo `allowMassDelete`); en `--dry-run` NO lanza y esto lo marca.
+     */
+    massDelete: boolean;
+    /**
+     * Lo que el origen ENUMERÓ y no se migró, con su motivo:
+     *  - `expired` (R-15) = tuplas caducadas al instante de la pasada. Es la
+     *    pérdida DECLARADA de la migración (como `expired` en `authz:reconcile`
+     *    de roles, 3b-8 · B2): se cuenta, no clava el exit 1. Un origen que las
+     *    filtrara antes de enumerarlas las haría desaparecer sin rastro; por eso
+     *    tienen que LLEGAR.
+     *  - `undeclared` (L-0) = tuplas VIVAS cuyo `object.type` o `relation` el
+     *    DESTINO no declara (F-05): no se escriben —hasta L-0 `modelDrift` las
+     *    reportaba y `to.relate` las escribía igual, por el driver— y se cuentan
+     *    aquí. Es una relación viva que no llegó, así que SÍ es deriva
+     *    (exit ≠ 0 en el comando): declárala en el destino y repite la pasada.
+     */
+    skipped: {
+        expired: number;
+        undeclared: number;
+    };
+    /**
+     * **La ventana durable bajo la que corrió la pasada que ESCRIBE** (L-1 ·
+     * J1; paridad con `report.frozen` de `authz:reconcile` de roles). La pone
+     * `runRelationsReconcile` (el comando), no esta función —que no ve al
+     * manager de roles—; ausente en `--dry-run` (el verificador no congela) y
+     * cuando se llama a `reconcileRelations` a pelo. `lapsed: true` = el lease
+     * se perdió a mitad ⇒ la pasada NO se certifica (exit ≠ 0).
+     */
+    frozen?: {
+        durable: true;
+        lapsed: boolean;
+        leaseMs: number | null;
+        fence: number;
+    };
+}
+/**
+ * Migra las tuplas de relación de `from` a `to` en `partition`. Idempotente
+ * (una segunda pasada no escribe nada) y bidireccional (funciona en cualquier
+ * sentido). Nunca silenciosa: devuelve `written`/`deleted`/`unchanged`/`extra`.
+ */
+export declare function reconcileRelations(options: RelationsReconcileOptions): Promise<RelationsReconcileReport>;
+//# sourceMappingURL=reconcile.d.ts.map

package/build/src/relations/reconcile.d.ts.map

@@ -0,0 +1 @@
+{"version":3,"file":"reconcile.d.ts","sourceRoot":"","sources":["../../../src/relations/reconcile.ts"],"names":[],"mappings":"AA6BA,OAAO,KAAK,EAAE,KAAK,EAAE,MAAM,aAAa,CAAA;AAGxC,OAAO,KAAK,EAA6B,eAAe,EAAE,QAAQ,EAAE,MAAM,aAAa,CAAA;AACvF,OAAO,KAAK,EAAE,eAAe,EAAE,MAAM,8BAA8B,CAAA;AAkBnE,MAAM,WAAW,yBAAyB;IACxC,oFAAoF;IACpF,IAAI,EAAE,eAAe,CAAA;IACrB,mGAAmG;IACnG,EAAE,EAAE,eAAe,CAAA;IACnB,uFAAuF;IACvF,SAAS,EAAE,QAAQ,CAAA;IACnB,6FAA6F;IAC7F,MAAM,CAAC,EAAE,OAAO,CAAA;IAChB,qFAAqF;IACrF,KAAK,CAAC,EAAE,OAAO,CAAA;IACf;;;;;;;OAOG;IACH,eAAe,CAAC,EAAE,OAAO,CAAA;IACzB;;;;;;;;;OASG;IACH,QAAQ,CAAC,EAAE,eAAe,CAAA;IAC1B;;;;OAIG;IACH,GAAG,CAAC,EAAE,KAAK,CAAA;CACZ;AAED,MAAM,WAAW,wBAAwB;IACvC,yCAAyC;IACzC,MAAM,EAAE,OAAO,CAAA;IACf,mFAAmF;IACnF,OAAO,EAAE,MAAM,CAAA;IACf,8FAA8F;IAC9F,OAAO,EAAE,MAAM,CAAA;IACf;;;;OAIG;IACH,OAAO,EAAE,MAAM,CAAA;IACf,+EAA+E;IAC/E,SAAS,EAAE,MAAM,CAAA;IACjB;;;OAGG;IACH,KAAK,EAAE,MAAM,CAAA;IACb;;;OAGG;IACH,UAAU,EAAE,MAAM,EAAE,CAAA;IACpB;;;;OAIG;IACH,UAAU,EAAE,OAAO,CAAA;IACnB;;;;;;;;;;;;OAYG;IACH,OAAO,EAAE;QAAE,OAAO,EAAE,MAAM,CAAC;QAAC,UAAU,EAAE,MAAM,CAAA;KAAE,CAAA;IAChD;;;;;;;OAOG;IACH,MAAM,CAAC,EAAE;QAAE,OAAO,EAAE,IAAI,CAAC;QAAC,MAAM,EAAE,OAAO,CAAC;QAAC,OAAO,EAAE,MAAM,GAAG,IAAI,CAAC;QAAC,KAAK,EAAE,MAAM,CAAA;KAAE,CAAA;CACnF;AA8BD;;;;GAIG;AACH,wBAAsB,kBAAkB,CAAC,OAAO,EAAE,yBAAyB,GAAG,OAAO,CAAC,wBAAwB,CAAC,CA8G9G"}

package/build/src/relations/reconcile.js

@@ -0,0 +1,200 @@
+/**
+ * **`authz:reconcile` de relaciones** (Fase 4, lote 4-5) — migra las tuplas de
+ * relación de un `RelationsDriver` a otro, idempotente y bidireccional, nunca
+ * silenciosa. Es el análogo de `manager.reconcile` de roles, pero para el
+ * puerto `RelationsDriver`: solo hay HECHOS de relación (no árbol ni catálogo),
+ * así que es más simple —lee el ORIGEN por `enumerateRelations`, lee el DESTINO
+ * ENTERO (la única forma de ver lo que SOBRA), y aplica writes y —con
+ * `prune`— deletes—.
+ *
+ * **La lección M1/M3/T4 de la 3b** (el agujero del 3b-4·C1): un contrato que
+ * solo cruza `report.skipped` se pasa PERDIENDO datos. El verificador de
+ * verdad es el CENSO (`src/testing/relations_reconcile_contract.ts`): busca
+ * cada hecho sembrado en el destino UNO A UNO por el camino DIRECTO
+ * (`listSubjects`), no le pregunta al origen lleno. Un tramo omisivo o una
+ * pérdida de `subject_relation` (un userset migrado como holder) o de
+ * partición se ve ROJA ahí, no en los contadores.
+ *
+ * Pureza (regla 2): este módulo vive en `src/relations/` y solo depende del
+ * puerto (`../types.js`), los errores y la config de relaciones. NO importa
+ * `manager` ni `drivers/*`: los drivers concretos los inyecta el llamante (la
+ * plataforma), como `manager.reconcile` recibe el destino por su clave.
+ */
+import { MassReconcileRefusedError, RelationTypeUnknownError, RelationUnknownError, UnsupportedOperationError, } from '../errors.js';
+import { systemClock } from '../clock.js';
+import { isActiveExpiry, sameInstant } from '../expiry.js';
+import { isRelUserset } from '../types.js';
+/** La clave estable de una tupla de relación (partición + objeto + relación + sujeto). */
+function subjectKey(subject) {
+    if (isRelUserset(subject))
+        return `${subject.object.type}:${subject.object.id}#${subject.relation}`;
+    return `${subject.type}:${subject.uuid}`;
+}
+function scopeKeyOf(scope) {
+    return scope.type === 'app' ? 'app' : `${scope.type}|${scope.uuid}`;
+}
+function tupleKey(tuple) {
+    return `${scopeKeyOf(tuple.partition)}|${tuple.object.type}:${tuple.object.id}#${tuple.relation}@${subjectKey(tuple.subject)}`;
+}
+/** Enumera TODAS las tuplas de una partición de un driver (paginando el cursor). */
+async function enumerateAll(driver, partition, role) {
+    if (!driver.enumerateRelations || !driver.capabilities?.enumerateRelations) {
+        throw new UnsupportedOperationError('enumerateRelations', `ser ${role} de authz:reconcile de relaciones`, 'relations', `El driver ${role} no sabe enumerar sus tuplas (capacidad 'enumerateRelations': false). ` +
+            `Sin poder leer ${role === 'destino' ? 'el destino no se ve qué sobra' : 'el origen no hay nada que migrar'}.`);
+    }
+    const out = [];
+    const seen = new Set();
+    let after;
+    let pages = 0;
+    do {
+        const page = await driver.enumerateRelations(partition, after ? { after } : undefined);
+        out.push(...page.tuples);
+        after = page.cursor || undefined;
+        if (after) {
+            if (seen.has(after))
+                throw new Error(`enumerateRelations (${role}): el cursor '${after}' se repite; no avanza`);
+            seen.add(after);
+            if (++pages > 100_000)
+                throw new Error(`enumerateRelations (${role}): más de 100000 páginas sin agotar`);
+        }
+    } while (after);
+    return out;
+}
+/**
+ * Migra las tuplas de relación de `from` a `to` en `partition`. Idempotente
+ * (una segunda pasada no escribe nada) y bidireccional (funciona en cualquier
+ * sentido). Nunca silenciosa: devuelve `written`/`deleted`/`unchanged`/`extra`.
+ */
+export async function reconcileRelations(options) {
+    const { from, to, partition, dryRun = false, prune = false, allowMassDelete = false, toConfig } = options;
+    const now = (options.now ?? systemClock)();
+    const enumerated = await enumerateAll(from, partition, 'origen');
+    const destTuples = await enumerateAll(to, partition, 'destino');
+    // R-15: la caducada LLEGA del origen (el puerto lo exige) y aquí se DESCARTA
+    // contándola: no se migra ni respalda nada en el destino. Decidido con UN
+    // `now` para toda la pasada.
+    // L-0: la tupla cuyo tipo o relación el DESTINO no declara (F-05) se
+    // descarta AQUÍ cuando hay `toConfig` —antes del driver, así `--dry-run` y la
+    // pasada real dan los mismos números— y tampoco respalda nada en el destino
+    // (una que ya estuviera allí es `extra`, y `--prune` la barre). El tipo se
+    // reporta además en `modelDrift` (deriva del modelo fusionado).
+    const skipped = { expired: 0, undeclared: 0 };
+    const modelDrift = [];
+    const sourceTuples = [];
+    for (const tuple of enumerated) {
+        if (!isActiveExpiry(tuple.expiresAt ?? null, now)) {
+            skipped.expired += 1;
+            continue;
+        }
+        if (toConfig && !declaredIn(toConfig, tuple.object.type)) {
+            skipped.undeclared += 1;
+            if (!modelDrift.includes(tuple.object.type))
+                modelDrift.push(tuple.object.type);
+            continue;
+        }
+        if (toConfig && !toConfig.isDeclared(tuple.object.type, tuple.relation)) {
+            skipped.undeclared += 1;
+            continue;
+        }
+        sourceTuples.push(tuple);
+    }
+    const sourceByKey = new Map();
+    for (const tuple of sourceTuples)
+        sourceByKey.set(tupleKey(tuple), tuple);
+    const destByKey = new Map();
+    for (const tuple of destTuples)
+        destByKey.set(tupleKey(tuple), tuple);
+    const toWrite = [];
+    const toUpdate = [];
+    let unchanged = 0;
+    for (const [key, tuple] of sourceByKey) {
+        const present = destByKey.get(key);
+        if (!present)
+            toWrite.push(tuple);
+        // Misma clave, OTRA caducidad ⇒ se reescribe con la del origen (R-15).
+        else if (!sameInstant(present.expiresAt ?? null, tuple.expiresAt ?? null))
+            toUpdate.push(tuple);
+        else
+            unchanged += 1;
+    }
+    const toDelete = destTuples.filter((tuple) => !sourceByKey.has(tupleKey(tuple)));
+    // **El seguro de borrado masivo** (R-17, paridad con `authz:reconcile` de
+    // roles / AA2). `prune` + un ORIGEN sin una sola tupla utilizable + un destino
+    // con tuplas que borrar es la firma de un `--from` equivocado o de un store
+    // vacío: vaciar el destino entero se rechaza con 500 antes de tocar nada,
+    // salvo `allowMassDelete`. En `--dry-run` no lanza, lo marca. «Utilizable» =
+    // una tupla VIVA del origen que cabe en el destino (las que `skipped`
+    // recoge no migran, así que no cuentan como respaldo).
+    const usableSource = sourceTuples.length;
+    const massDelete = prune && toDelete.length > 0 && usableSource === 0;
+    if (massDelete && !dryRun && !allowMassDelete) {
+        throw new MassReconcileRefusedError(`authz:relations:reconcile --prune borraría ${toDelete.length} tupla(s) de relación del destino y el ` +
+            `ORIGEN no ha aportado NI UNA utilizable (${enumerated.length} leídas` +
+            `${toConfig ? ', todas de tipos que el destino no declara' : ''}` +
+            `${skipped.expired ? `, ${skipped.expired} caducada(s)` : ''}). Eso es la firma de un --from ` +
+            `equivocado o de un store vacío, no de un destino que sobra: esta pasada dejaría la partición sin ` +
+            `una sola relación. Comprueba el --from y el store; si de verdad quieres vaciarlo, --allow-mass-delete.`);
+    }
+    let written = toWrite.length;
+    let updated = toUpdate.length;
+    if (!dryRun) {
+        // La caducidad viaja EXPLÍCITA (`Date` la fija, `null` la quita): un
+        // `relate` sin opciones PRESERVARÍA la del destino (invariante 10).
+        // L-0: el DRIVER del destino aplica F-05 (`assertRelationDeclared`), así que
+        // sin `toConfig` —o con una que no coincida con la del driver— es SU 422 el
+        // que embuda la tupla no declarada: se cuenta en `skipped.undeclared` y se
+        // descuenta de `written`/`updated`. Nunca un throw a mitad de pasada por
+        // una tupla que el reporte puede contar, y nunca un silencio.
+        for (const tuple of toWrite) {
+            if (await relateOrSkip(to, tuple))
+                continue;
+            skipped.undeclared += 1;
+            written -= 1;
+        }
+        for (const tuple of toUpdate) {
+            if (await relateOrSkip(to, tuple))
+                continue;
+            skipped.undeclared += 1;
+            updated -= 1;
+        }
+        if (prune) {
+            for (const tuple of toDelete) {
+                await to.unrelate(tuple.subject, tuple.relation, tuple.object, tuple.partition);
+            }
+        }
+    }
+    return {
+        dryRun,
+        written,
+        updated,
+        deleted: prune ? toDelete.length : 0,
+        unchanged,
+        extra: prune ? 0 : toDelete.length,
+        modelDrift,
+        massDelete,
+        skipped,
+    };
+}
+/** ¿El tipo de objeto cabe en el modelo fusionado del destino? (`group` es built-in: `hasType` lo incluye.) */
+function declaredIn(config, objectType) {
+    return config.hasType(objectType);
+}
+/**
+ * Escribe la tupla en el destino; `false` si el DRIVER la rechazó por F-05
+ * (tipo o relación no declarados: 422 `E_AUTHZ_RELATION_TYPE_UNKNOWN` /
+ * `E_AUTHZ_RELATION_UNKNOWN`). Cualquier otro error se propaga tal cual.
+ */
+async function relateOrSkip(to, tuple) {
+    try {
+        await to.relate(tuple.subject, tuple.relation, tuple.object, tuple.partition, {
+            expiresAt: tuple.expiresAt ?? null,
+        });
+        return true;
+    }
+    catch (error) {
+        if (error instanceof RelationTypeUnknownError || error instanceof RelationUnknownError)
+            return false;
+        throw error;
+    }
+}
+//# sourceMappingURL=reconcile.js.map

package/build/src/relations/reconcile.js.map

@@ -0,0 +1 @@
+{"version":3,"file":"reconcile.js","sourceRoot":"","sources":["../../../src/relations/reconcile.ts"],"names":[],"mappings":"AAAA;;;;;;;;;;;;;;;;;;;;;GAqBG;AACH,OAAO,EACL,yBAAyB,EACzB,wBAAwB,EACxB,oBAAoB,EACpB,yBAAyB,GAC1B,MAAM,cAAc,CAAA;AACrB,OAAO,EAAE,WAAW,EAAE,MAAM,aAAa,CAAA;AAEzC,OAAO,EAAE,cAAc,EAAE,WAAW,EAAE,MAAM,cAAc,CAAA;AAC1D,OAAO,EAAE,YAAY,EAAE,MAAM,aAAa,CAAA;AAI1C,0FAA0F;AAC1F,SAAS,UAAU,CAAC,OAAmB;IACrC,IAAI,YAAY,CAAC,OAAO,CAAC;QAAE,OAAO,GAAG,OAAO,CAAC,MAAM,CAAC,IAAI,IAAI,OAAO,CAAC,MAAM,CAAC,EAAE,IAAI,OAAO,CAAC,QAAQ,EAAE,CAAA;IACnG,OAAO,GAAG,OAAO,CAAC,IAAI,IAAI,OAAO,CAAC,IAAI,EAAE,CAAA;AAC1C,CAAC;AAED,SAAS,UAAU,CAAC,KAAe;IACjC,OAAO,KAAK,CAAC,IAAI,KAAK,KAAK,CAAC,CAAC,CAAC,KAAK,CAAC,CAAC,CAAC,GAAG,KAAK,CAAC,IAAI,IAAI,KAAK,CAAC,IAAI,EAAE,CAAA;AACrE,CAAC;AAED,SAAS,QAAQ,CAAC,KAAoB;IACpC,OAAO,GAAG,UAAU,CAAC,KAAK,CAAC,SAAS,CAAC,IAAI,KAAK,CAAC,MAAM,CAAC,IAAI,IAAI,KAAK,CAAC,MAAM,CAAC,EAAE,IAAI,KAAK,CAAC,QAAQ,IAAI,UAAU,CAC3G,KAAK,CAAC,OAAO,CACd,EAAE,CAAA;AACL,CAAC;AAiGD,oFAAoF;AACpF,KAAK,UAAU,YAAY,CAAC,MAAuB,EAAE,SAAmB,EAAE,IAA0B;IAClG,IAAI,CAAC,MAAM,CAAC,kBAAkB,IAAI,CAAC,MAAM,CAAC,YAAY,EAAE,kBAAkB,EAAE,CAAC;QAC3E,MAAM,IAAI,yBAAyB,CACjC,oBAAoB,EACpB,OAAO,IAAI,mCAAmC,EAC9C,WAAW,EACX,aAAa,IAAI,wEAAwE;YACvF,kBAAkB,IAAI,KAAK,SAAS,CAAC,CAAC,CAAC,+BAA+B,CAAC,CAAC,CAAC,kCAAkC,GAAG,CACjH,CAAA;IACH,CAAC;IACD,MAAM,GAAG,GAAoB,EAAE,CAAA;IAC/B,MAAM,IAAI,GAAG,IAAI,GAAG,EAAU,CAAA;IAC9B,IAAI,KAAyB,CAAA;IAC7B,IAAI,KAAK,GAAG,CAAC,CAAA;IACb,GAAG,CAAC;QACF,MAAM,IAAI,GAAG,MAAM,MAAM,CAAC,kBAAkB,CAAC,SAAS,EAAE,KAAK,CAAC,CAAC,CAAC,EAAE,KAAK,EAAE,CAAC,CAAC,CAAC,SAAS,CAAC,CAAA;QACtF,GAAG,CAAC,IAAI,CAAC,GAAG,IAAI,CAAC,MAAM,CAAC,CAAA;QACxB,KAAK,GAAG,IAAI,CAAC,MAAM,IAAI,SAAS,CAAA;QAChC,IAAI,KAAK,EAAE,CAAC;YACV,IAAI,IAAI,CAAC,GAAG,CAAC,KAAK,CAAC;gBAAE,MAAM,IAAI,KAAK,CAAC,uBAAuB,IAAI,iBAAiB,KAAK,wBAAwB,CAAC,CAAA;YAC/G,IAAI,CAAC,GAAG,CAAC,KAAK,CAAC,CAAA;YACf,IAAI,EAAE,KAAK,GAAG,OAAO;gBAAE,MAAM,IAAI,KAAK,CAAC,uBAAuB,IAAI,qCAAqC,CAAC,CAAA;QAC1G,CAAC;IACH,CAAC,QAAQ,KAAK,EAAC;IACf,OAAO,GAAG,CAAA;AACZ,CAAC;AAED;;;;GAIG;AACH,MAAM,CAAC,KAAK,UAAU,kBAAkB,CAAC,OAAkC;IACzE,MAAM,EAAE,IAAI,EAAE,EAAE,EAAE,SAAS,EAAE,MAAM,GAAG,KAAK,EAAE,KAAK,GAAG,KAAK,EAAE,eAAe,GAAG,KAAK,EAAE,QAAQ,EAAE,GAAG,OAAO,CAAA;IACzG,MAAM,GAAG,GAAG,CAAC,OAAO,CAAC,GAAG,IAAI,WAAW,CAAC,EAAE,CAAA;IAE1C,MAAM,UAAU,GAAG,MAAM,YAAY,CAAC,IAAI,EAAE,SAAS,EAAE,QAAQ,CAAC,CAAA;IAChE,MAAM,UAAU,GAAG,MAAM,YAAY,CAAC,EAAE,EAAE,SAAS,EAAE,SAAS,CAAC,CAAA;IAE/D,6EAA6E;IAC7E,0EAA0E;IAC1E,6BAA6B;IAC7B,qEAAqE;IACrE,8EAA8E;IAC9E,4EAA4E;IAC5E,2EAA2E;IAC3E,gEAAgE;IAChE,MAAM,OAAO,GAAG,EAAE,OAAO,EAAE,CAAC,EAAE,UAAU,EAAE,CAAC,EAAE,CAAA;IAC7C,MAAM,UAAU,GAAa,EAAE,CAAA;IAC/B,MAAM,YAAY,GAAoB,EAAE,CAAA;IACxC,KAAK,MAAM,KAAK,IAAI,UAAU,EAAE,CAAC;QAC/B,IAAI,CAAC,cAAc,CAAC,KAAK,CAAC,SAAS,IAAI,IAAI,EAAE,GAAG,CAAC,EAAE,CAAC;YAClD,OAAO,CAAC,OAAO,IAAI,CAAC,CAAA;YACpB,SAAQ;QACV,CAAC;QACD,IAAI,QAAQ,IAAI,CAAC,UAAU,CAAC,QAAQ,EAAE,KAAK,CAAC,MAAM,CAAC,IAAI,CAAC,EAAE,CAAC;YACzD,OAAO,CAAC,UAAU,IAAI,CAAC,CAAA;YACvB,IAAI,CAAC,UAAU,CAAC,QAAQ,CAAC,KAAK,CAAC,MAAM,CAAC,IAAI,CAAC;gBAAE,UAAU,CAAC,IAAI,CAAC,KAAK,CAAC,MAAM,CAAC,IAAI,CAAC,CAAA;YAC/E,SAAQ;QACV,CAAC;QACD,IAAI,QAAQ,IAAI,CAAC,QAAQ,CAAC,UAAU,CAAC,KAAK,CAAC,MAAM,CAAC,IAAI,EAAE,KAAK,CAAC,QAAQ,CAAC,EAAE,CAAC;YACxE,OAAO,CAAC,UAAU,IAAI,CAAC,CAAA;YACvB,SAAQ;QACV,CAAC;QACD,YAAY,CAAC,IAAI,CAAC,KAAK,CAAC,CAAA;IAC1B,CAAC;IAED,MAAM,WAAW,GAAG,IAAI,GAAG,EAAyB,CAAA;IACpD,KAAK,MAAM,KAAK,IAAI,YAAY;QAAE,WAAW,CAAC,GAAG,CAAC,QAAQ,CAAC,KAAK,CAAC,EAAE,KAAK,CAAC,CAAA;IACzE,MAAM,SAAS,GAAG,IAAI,GAAG,EAAyB,CAAA;IAClD,KAAK,MAAM,KAAK,IAAI,UAAU;QAAE,SAAS,CAAC,GAAG,CAAC,QAAQ,CAAC,KAAK,CAAC,EAAE,KAAK,CAAC,CAAA;IAErE,MAAM,OAAO,GAAoB,EAAE,CAAA;IACnC,MAAM,QAAQ,GAAoB,EAAE,CAAA;IACpC,IAAI,SAAS,GAAG,CAAC,CAAA;IACjB,KAAK,MAAM,CAAC,GAAG,EAAE,KAAK,CAAC,IAAI,WAAW,EAAE,CAAC;QACvC,MAAM,OAAO,GAAG,SAAS,CAAC,GAAG,CAAC,GAAG,CAAC,CAAA;QAClC,IAAI,CAAC,OAAO;YAAE,OAAO,CAAC,IAAI,CAAC,KAAK,CAAC,CAAA;QACjC,uEAAuE;aAClE,IAAI,CAAC,WAAW,CAAC,OAAO,CAAC,SAAS,IAAI,IAAI,EAAE,KAAK,CAAC,SAAS,IAAI,IAAI,CAAC;YAAE,QAAQ,CAAC,IAAI,CAAC,KAAK,CAAC,CAAA;;YAC1F,SAAS,IAAI,CAAC,CAAA;IACrB,CAAC;IACD,MAAM,QAAQ,GAAoB,UAAU,CAAC,MAAM,CAAC,CAAC,KAAK,EAAE,EAAE,CAAC,CAAC,WAAW,CAAC,GAAG,CAAC,QAAQ,CAAC,KAAK,CAAC,CAAC,CAAC,CAAA;IAEjG,0EAA0E;IAC1E,+EAA+E;IAC/E,4EAA4E;IAC5E,0EAA0E;IAC1E,6EAA6E;IAC7E,sEAAsE;IACtE,uDAAuD;IACvD,MAAM,YAAY,GAAG,YAAY,CAAC,MAAM,CAAA;IACxC,MAAM,UAAU,GAAG,KAAK,IAAI,QAAQ,CAAC,MAAM,GAAG,CAAC,IAAI,YAAY,KAAK,CAAC,CAAA;IACrE,IAAI,UAAU,IAAI,CAAC,MAAM,IAAI,CAAC,eAAe,EAAE,CAAC;QAC9C,MAAM,IAAI,yBAAyB,CACjC,8CAA8C,QAAQ,CAAC,MAAM,yCAAyC;YACpG,4CAA4C,UAAU,CAAC,MAAM,SAAS;YACtE,GAAG,QAAQ,CAAC,CAAC,CAAC,4CAA4C,CAAC,CAAC,CAAC,EAAE,EAAE;YACjE,GAAG,OAAO,CAAC,OAAO,CAAC,CAAC,CAAC,KAAK,OAAO,CAAC,OAAO,cAAc,CAAC,CAAC,CAAC,EAAE,kCAAkC;YAC9F,mGAAmG;YACnG,wGAAwG,CAC3G,CAAA;IACH,CAAC;IAED,IAAI,OAAO,GAAG,OAAO,CAAC,MAAM,CAAA;IAC5B,IAAI,OAAO,GAAG,QAAQ,CAAC,MAAM,CAAA;IAC7B,IAAI,CAAC,MAAM,EAAE,CAAC;QACZ,qEAAqE;QACrE,oEAAoE;QACpE,6EAA6E;QAC7E,4EAA4E;QAC5E,2EAA2E;QAC3E,yEAAyE;QACzE,8DAA8D;QAC9D,KAAK,MAAM,KAAK,IAAI,OAAO,EAAE,CAAC;YAC5B,IAAI,MAAM,YAAY,CAAC,EAAE,EAAE,KAAK,CAAC;gBAAE,SAAQ;YAC3C,OAAO,CAAC,UAAU,IAAI,CAAC,CAAA;YACvB,OAAO,IAAI,CAAC,CAAA;QACd,CAAC;QACD,KAAK,MAAM,KAAK,IAAI,QAAQ,EAAE,CAAC;YAC7B,IAAI,MAAM,YAAY,CAAC,EAAE,EAAE,KAAK,CAAC;gBAAE,SAAQ;YAC3C,OAAO,CAAC,UAAU,IAAI,CAAC,CAAA;YACvB,OAAO,IAAI,CAAC,CAAA;QACd,CAAC;QACD,IAAI,KAAK,EAAE,CAAC;YACV,KAAK,MAAM,KAAK,IAAI,QAAQ,EAAE,CAAC;gBAC7B,MAAM,EAAE,CAAC,QAAQ,CAAC,KAAK,CAAC,OAAO,EAAE,KAAK,CAAC,QAAQ,EAAE,KAAK,CAAC,MAAM,EAAE,KAAK,CAAC,SAAS,CAAC,CAAA;YACjF,CAAC;QACH,CAAC;IACH,CAAC;IAED,OAAO;QACL,MAAM;QACN,OAAO;QACP,OAAO;QACP,OAAO,EAAE,KAAK,CAAC,CAAC,CAAC,QAAQ,CAAC,MAAM,CAAC,CAAC,CAAC,CAAC;QACpC,SAAS;QACT,KAAK,EAAE,KAAK,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,QAAQ,CAAC,MAAM;QAClC,UAAU;QACV,UAAU;QACV,OAAO;KACR,CAAA;AACH,CAAC;AAED,+GAA+G;AAC/G,SAAS,UAAU,CAAC,MAAuB,EAAE,UAAkB;IAC7D,OAAO,MAAM,CAAC,OAAO,CAAC,UAAU,CAAC,CAAA;AACnC,CAAC;AAED;;;;GAIG;AACH,KAAK,UAAU,YAAY,CAAC,EAAmB,EAAE,KAAoB;IACnE,IAAI,CAAC;QACH,MAAM,EAAE,CAAC,MAAM,CAAC,KAAK,CAAC,OAAO,EAAE,KAAK,CAAC,QAAQ,EAAE,KAAK,CAAC,MAAM,EAAE,KAAK,CAAC,SAAS,EAAE;YAC5E,SAAS,EAAE,KAAK,CAAC,SAAS,IAAI,IAAI;SACnC,CAAC,CAAA;QACF,OAAO,IAAI,CAAA;IACb,CAAC;IAAC,OAAO,KAAK,EAAE,CAAC;QACf,IAAI,KAAK,YAAY,wBAAwB,IAAI,KAAK,YAAY,oBAAoB;YAAE,OAAO,KAAK,CAAA;QACpG,MAAM,KAAK,CAAA;IACb,CAAC;AACH,CAAC"}

package/build/src/relations_config_store.d.ts

@@ -0,0 +1,22 @@
+import type { RelationsConfig, RelationsConfigSpec } from './relations/define_relations_config.js';
+export interface RelationsConfigStoreOptions {
+    connection?: string;
+    timeoutMs?: number;
+}
+/**
+ * **Guarda (persiste) la config de relaciones** bajo el gate de versión: la
+ * valida (⚪4/F-05 de config), la serializa a JSON y hace UPSERT de la fila
+ * `id=1` dentro de `withAuthzCatalogWrite` —que sube la versión compartida como
+ * última sentencia (invariante 14): un sync en otro proceso la ve en la
+ * siguiente pregunta—. Devuelve la config congelada.
+ */
+export declare function saveRelationsConfig(spec: RelationsConfigSpec, options?: RelationsConfigStoreOptions): Promise<RelationsConfig>;
+/** Lee el spec persistido (o `null` si no hay relaciones declaradas — opt-in). */
+export declare function readRelationsConfigSpec(options?: RelationsConfigStoreOptions): Promise<RelationsConfigSpec | null>;
+/**
+ * Lee la config persistida ya VALIDADA (o `null`). Es lo que hace 🟡3: un
+ * proceso SIN `defineRelationsConfig` en memoria recupera aquí los tipos de
+ * relación de la base, así que el modelo que republique los lleva.
+ */
+export declare function readRelationsConfig(options?: RelationsConfigStoreOptions): Promise<RelationsConfig | null>;
+//# sourceMappingURL=relations_config_store.d.ts.map

package/build/src/relations_config_store.d.ts.map

@@ -0,0 +1 @@
+{"version":3,"file":"relations_config_store.d.ts","sourceRoot":"","sources":["../../src/relations_config_store.ts"],"names":[],"mappings":"AA4BA,OAAO,KAAK,EAAE,eAAe,EAAE,mBAAmB,EAAE,MAAM,wCAAwC,CAAA;AAMlG,MAAM,WAAW,2BAA2B;IAC1C,UAAU,CAAC,EAAE,MAAM,CAAA;IACnB,SAAS,CAAC,EAAE,MAAM,CAAA;CACnB;AAMD;;;;;;GAMG;AACH,wBAAsB,mBAAmB,CACvC,IAAI,EAAE,mBAAmB,EACzB,OAAO,GAAE,2BAAgC,GACxC,OAAO,CAAC,eAAe,CAAC,CAc1B;AAED,kFAAkF;AAClF,wBAAsB,uBAAuB,CAC3C,OAAO,GAAE,2BAAgC,GACxC,OAAO,CAAC,mBAAmB,GAAG,IAAI,CAAC,CAMrC;AAED;;;;GAIG;AACH,wBAAsB,mBAAmB,CACvC,OAAO,GAAE,2BAAgC,GACxC,OAAO,CAAC,eAAe,GAAG,IAAI,CAAC,CAGjC"}