@jantstack/adonis-authz 2.0.0-alpha.1 → 2.4.0-alpha.2

package/build/commands/authz_relations_reconcile.js

@@ -0,0 +1,313 @@
+var __decorate = (this && this.__decorate) || function (decorators, target, key, desc) {
+    var c = arguments.length, r = c < 3 ? target : desc === null ? desc = Object.getOwnPropertyDescriptor(target, key) : desc, d;
+    if (typeof Reflect === "object" && typeof Reflect.decorate === "function") r = Reflect.decorate(decorators, target, key, desc);
+    else for (var i = decorators.length - 1; i >= 0; i--) if (d = decorators[i]) r = (c < 3 ? d(r) : c > 3 ? d(target, key, r) : d(target, key)) || r;
+    return c > 3 && r && Object.defineProperty(target, key, r), r;
+};
+var __metadata = (this && this.__metadata) || function (k, v) {
+    if (typeof Reflect === "object" && typeof Reflect.metadata === "function") return Reflect.metadata(k, v);
+};
+import { BaseCommand, flags } from '@adonisjs/core/ace';
+/**
+ * **La pasada de relaciones bajo la ventana DURABLE** (L-1 · J1, juez del
+ * panel `{trx}`). `reconcileRelations` (`src/relations/`) no puede ver al
+ * manager de roles (regla 2 de pureza), así que la ventana la abre el
+ * comando, aquí, con la misma forma que `authz:reconcile` de roles:
+ *
+ *  - `--dry-run` **NO congela** (el verificador es read-only y está hecho
+ *    para un cron: un mecanismo de indisponibilidad no se dispara desde ahí);
+ *  - la pasada que ESCRIBE corre bajo `withFrozenWrites` con `kind:
+ *    'reconcile'` y la ventana del OPERADOR como contexto propio (el cutover:
+ *    corre dentro, no la toma, no la renueva, no la levanta); un freeze vivo
+ *    de OTRA pasada es 423;
+ *  - el reporte publica `frozen` —fence, lease y **`lapsed`**— y un lease
+ *    perdido a mitad significa que la pasada NO se certifica (exit ≠ 0).
+ *
+ * Durante la ventana TODA escritura del paquete responde 503 `E_AUTHZ_FROZEN`
+ * en la flota: las de roles y, desde L-1, las de relaciones
+ * (`RelationsManager` pasa la misma barrera). Función exportada para tener su
+ * caso sin montar un ace.
+ */
+export async function runRelationsReconcile(authorization, options) {
+    const { reconcileRelations } = await import('../src/relations/reconcile.js');
+    if (options.dryRun === true)
+        return reconcileRelations(options);
+    const reason = `authz:relations:reconcile${options.toKey ? ` --to=${options.toKey}` : ''}`;
+    return authorization.withFrozenWrites(reason, async (window) => {
+        const report = await reconcileRelations(options);
+        report.frozen = { durable: true, lapsed: await window.lapsed(), leaseMs: window.leaseMs, fence: window.fence };
+        return report;
+    }, { kind: 'reconcile', operatorAsContext: true });
+}
+/**
+ * Las líneas del reporte de `authz:relations:reconcile` y si la pasada es
+ * «limpia», en una función PURA (mismo patrón que `reconcileLines` de roles):
+ * es lo único del comando que DECIDE algo, y así tiene su caso sin montar un
+ * ace.
+ *
+ * Qué cuenta como deriva —y por tanto como exit ≠ 0—:
+ *  - **`modelDrift`** (siempre): un tipo de relación presente en el ORIGEN que
+ *    la config del DESTINO no declara. No cabe en su modelo fusionado, así que
+ *    esas tuplas nunca resolverían allí — es la deriva del presupuesto de
+ *    modelo compartido, no un detalle cosmético;
+ *  - en `--dry-run`, **cualquier cosa que la pasada haría** (escribir, borrar o
+ *    dejar `extra` sin `--prune`): es el verificador, y para eso está en CI.
+ *
+ * `extra` en una pasada que SÍ escribe (sin `--prune`) se AVISA —«repite con
+ * --prune»— pero no tumba: el operador eligió no podar. Es la misma cortesía
+ * que `authz:reconcile` de roles con la ventana del relay.
+ */
+export function relationsReconcileLines(report) {
+    const lines = [];
+    lines.push({
+        level: 'log',
+        message: `relaciones: escritas ${report.written}, actualizadas ${report.updated}, borradas ${report.deleted}, ` +
+            `iguales ${report.unchanged}, sobran ${report.extra}`,
+    });
+    // R-15: la caducada del origen es la pérdida DECLARADA de la migración (como
+    // `expired` en roles, 3b-8 · B2): se dice, no es deriva.
+    if (report.skipped.expired > 0) {
+        lines.push({
+            level: 'log',
+            message: `${report.skipped.expired} tupla(s) del origen estaban CADUCADAS al instante de la pasada y no se ` +
+                'migran (skipped.expired): no conceden nada y el destino no las necesita.',
+        });
+    }
+    // L-0: la tupla VIVA que el destino no declara (tipo o relación, F-05) no se
+    // escribió y se contó. No es una pérdida declarada como `expired` (que no
+    // concede nada): es una relación que no llegó ⇒ deriva, exit ≠ 0.
+    if (report.skipped.undeclared > 0) {
+        lines.push({
+            level: 'error',
+            message: `${report.skipped.undeclared} tupla(s) del origen NO se escribieron porque su tipo de objeto o su relación ` +
+                'no están declarados en defineRelationsConfig del DESTINO (skipped.undeclared, F-05 en el driver): ' +
+                'decláralos en el destino (y republica su modelo) y repite la pasada.',
+        });
+    }
+    for (const type of report.modelDrift) {
+        lines.push({
+            level: 'error',
+            message: `El tipo de objeto '${type}' está en el ORIGEN pero NO en la config de relaciones del DESTINO: ` +
+                'no cabe en su modelo fusionado y esas tuplas no resolverían allí. Declara el tipo en ' +
+                'defineRelationsConfig del destino (y republica su modelo) antes de migrarlas.',
+        });
+    }
+    // R-17: el seguro de borrado masivo. En una pasada REAL sin --allow-mass-delete
+    // esto ya habría lanzado 500 antes de llegar aquí; en --dry-run NO lanza y lo
+    // marca, así que el verificador tiene que sacarlo como deriva (exit ≠ 0).
+    if (report.massDelete) {
+        lines.push({
+            level: 'error',
+            message: `--prune borraría ${report.extra || report.deleted} tupla(s) del destino y el ORIGEN no aportó NI UNA ` +
+                'utilizable: la firma de un --from equivocado o de un store vacío. En una pasada real es 500 ' +
+                'E_AUTHZ_MASS_RECONCILE_REFUSED; si de verdad quieres vaciar el destino, --allow-mass-delete.',
+        });
+    }
+    if (report.extra > 0 && !report.dryRun) {
+        lines.push({
+            level: 'warning',
+            message: `${report.extra} tupla(s) del destino que el origen ya no respalda siguen ahí (no pasaste --prune): ` +
+                'repite con --prune si quieres borrarlas.',
+        });
+    }
+    // L-1 · J1: la garantía del freeze se DEMUESTRA (paridad con roles, 3b-7,
+    // juez C4). Un lease perdido a mitad = escrituras pudieron entrar durante la
+    // pasada y no aparecen en ningún contador ⇒ la pasada NO se certifica.
+    if (report.frozen) {
+        if (report.frozen.lapsed) {
+            lines.push({
+                level: 'error',
+                message: `El LEASE del freeze se perdió a MITAD de la pasada (fence ${report.frozen.fence}): otras escrituras de ` +
+                    'relaciones o de roles pudieron entrar mientras se reconciliaba y no están en estos contadores. ' +
+                    'La pasada NO se certifica: repite authz:relations:reconcile.',
+            });
+        }
+        else {
+            lines.push({
+                level: 'log',
+                message: `Escrituras congeladas durante la pasada (fence ${report.frozen.fence}` +
+                    `${report.frozen.leaseMs === null ? ', ventana del operador' : `, lease ${report.frozen.leaseMs} ms`}): ` +
+                    'la ventana aguantó entera.',
+            });
+        }
+    }
+    const cambios = report.written + report.updated + report.deleted + (report.dryRun ? report.extra : 0);
+    const clean = report.modelDrift.length === 0 &&
+        report.skipped.undeclared === 0 &&
+        !report.massDelete &&
+        !(report.frozen?.lapsed === true) &&
+        (!report.dryRun || cambios === 0);
+    return { lines, clean };
+}
+/**
+ * **`authz:relations:reconcile`** (Fase 4, lote 4-6) — migra las tuplas de
+ * RELACIÓN de un `RelationsDriver` a otro, idempotente y bidireccional, nunca
+ * silenciosa. Es el comando de plataforma que envuelve `reconcileRelations`
+ * (lote 4-5), análogo a `authz:reconcile` de roles pero para el puerto
+ * `RelationsDriver`.
+ *
+ *   node ace authz:relations:reconcile --to=openfga --dry-run   # el VERIFICADOR
+ *   node ace authz:relations:reconcile --to=openfga             # migra
+ *   node ace authz:relations:reconcile --to=openfga --prune     # y borra lo que el origen ya no respalda
+ *
+ * `--to`/`--from` nombran claves de `relations.drivers` en
+ * `config/authorization.ts` (NO las de `drivers` de roles): las relaciones
+ * tienen su propio puerto y sus propios drivers. La factory del driver
+ * `openfga` de relaciones entra por el subpath `/openfga` DENTRO de ella, así
+ * que este comando NUNCA importa el SDK (pureza).
+ *
+ * **Solo migra HECHOS de relación**: no hay árbol ni catálogo en `relations/`,
+ * así que —a diferencia de `authz:reconcile` de roles— no hay fases de marcador
+ * de raíz, proyección ni árbol. La migración es **POR partición**
+ * (mono-tenant: `APP_SCOPE`, el default); para migrar otra partición se pasan
+ * `--partition-type`/`--partition-uuid`, y migrar TODAS es iterar por el
+ * consumidor (una migración de tenant es un caso natural).
+ *
+ * **`--dry-run` es el verificador y es read-only por contrato** (como el de
+ * roles, S18): mismo recorrido, cero escrituras, los mismos números; NO hay
+ * `--fix`. Además vigila la **deriva del modelo fusionado** (`modelDrift`): un
+ * tipo del origen que el destino no declara sale como error.
+ *
+ * Es una operación de PLATAFORMA: no lleva actor, no se expone por HTTP.
+ */
+export default class AuthzRelationsReconcile extends BaseCommand {
+    static commandName = 'authz:relations:reconcile';
+    static description = 'Rebuild (or verify, with --dry-run) the relation tuples of one RelationsDriver from another';
+    static options = {
+        startApp: true,
+    };
+    async run() {
+        if (!this.to) {
+            this.logger.error("Falta --to: 'node ace authz:relations:reconcile --to=openfga'. Es la clave del driver DESTINO en " +
+                '`relations.drivers` de config/authorization.ts.');
+            this.exitCode = 1;
+            return;
+        }
+        const config = this.app.config.get('authorization');
+        const factories = config?.relations?.drivers ?? {};
+        const keys = Object.keys(factories);
+        if (keys.length === 0) {
+            this.logger.error('No hay `relations.drivers` en config/authorization.ts: declara los drivers de relaciones (por clave) ' +
+                'para poder migrar sus tuplas.');
+            this.exitCode = 1;
+            return;
+        }
+        // El ORIGEN: `--from` si se pasa; si no, el ÚNICO que no es el destino.
+        let fromKey = this.from;
+        if (!fromKey) {
+            const candidates = keys.filter((k) => k !== this.to);
+            if (candidates.length !== 1) {
+                this.logger.error(`No se puede elegir el ORIGEN solo: hay ${candidates.length} candidatos (${candidates.join(', ') || 'ninguno'}). ` +
+                    'Nómbralo con --from=<clave>: de dónde salen las tuplas decide lo que queda escrito.');
+                this.exitCode = 1;
+                return;
+            }
+            fromKey = candidates[0];
+        }
+        if (!factories[this.to]) {
+            this.logger.error(`El destino '${this.to}' no es una clave de relations.drivers (${keys.join(', ')}).`);
+            this.exitCode = 1;
+            return;
+        }
+        if (!factories[fromKey]) {
+            this.logger.error(`El origen '${fromKey}' no es una clave de relations.drivers (${keys.join(', ')}).`);
+            this.exitCode = 1;
+            return;
+        }
+        // La partición (mono-tenant por defecto). El reconcile es POR partición.
+        const partition = this.partitionType && this.partitionType !== 'app'
+            ? { type: this.partitionType, uuid: this.partitionUuid ?? '' }
+            : { type: 'app', uuid: null };
+        // La config del DESTINO, para vigilar la deriva del modelo fusionado en
+        // --dry-run: es la persistida (una sola en el store compartido).
+        const { readRelationsConfig } = await import('../src/relations_config_store.js');
+        const toConfig = await readRelationsConfig().catch(() => undefined);
+        const from = await factories[fromKey]();
+        const to = await factories[this.to]();
+        // L-1 · J1: la pasada que ESCRIBE corre bajo la ventana durable del
+        // manager de roles (la misma fila `id = 2`, toda la flota); `--dry-run` no.
+        const { default: authorization } = await import('../services/main.js');
+        let report;
+        try {
+            report = await runRelationsReconcile(authorization, {
+                from,
+                to,
+                partition,
+                dryRun: this.dryRun === true,
+                prune: this.prune === true,
+                allowMassDelete: this.allowMassDelete === true,
+                toKey: this.to,
+                ...(toConfig ? { toConfig } : {}),
+            });
+        }
+        catch (error) {
+            // R-17: el seguro de borrado masivo (500) sale como error de comando, no
+            // como stack crudo. `--allow-mass-delete` es la salida humana.
+            if (error?.code === 'E_AUTHZ_MASS_RECONCILE_REFUSED') {
+                this.logger.error(String(error.message ?? error));
+                this.exitCode = 1;
+                return;
+            }
+            // L-1 · J1: un freeze vivo de OTRA pasada (423): dos migraciones no se
+            // pisan; el mensaje nombra al dueño y cómo se levanta.
+            if (error?.code === 'E_AUTHZ_FREEZE_HELD') {
+                this.logger.error(String(error.message ?? error));
+                this.exitCode = 1;
+                return;
+            }
+            throw error;
+        }
+        const { lines, clean } = relationsReconcileLines(report);
+        for (const { level, message } of lines)
+            this.logger[level](message);
+        const resumen = `escritas ${report.written}, actualizadas ${report.updated}, borradas ${report.deleted}, ` +
+            `iguales ${report.unchanged}, sobran ${report.extra}, caducadas omitidas ${report.skipped.expired}, ` +
+            `no declaradas en el destino ${report.skipped.undeclared}`;
+        if (report.dryRun) {
+            if (clean) {
+                this.logger.success(`Sin deriva: '${this.to}' coincide con '${fromKey}' (${resumen}).`);
+                return;
+            }
+            this.logger.error(`DERIVA con '${this.to}': ${resumen}. No se ha escrito nada (--dry-run).`);
+            this.exitCode = 1;
+            return;
+        }
+        this.logger.success(`Relaciones de '${this.to}' reconciliadas desde '${fromKey}': ${resumen}.`);
+        if (!clean) {
+            this.logger.warning('Queda algo que esta pasada no arregla sola (mira las líneas de arriba).');
+            this.exitCode = 1;
+        }
+    }
+}
+__decorate([
+    flags.string({ description: 'Destination driver: a key of `relations.drivers` in config/authorization.ts' }),
+    __metadata("design:type", Object)
+], AuthzRelationsReconcile.prototype, "to", void 0);
+__decorate([
+    flags.string({ description: 'Source driver (a key of `relations.drivers`); required when more than one is registered' }),
+    __metadata("design:type", Object)
+], AuthzRelationsReconcile.prototype, "from", void 0);
+__decorate([
+    flags.boolean({ name: 'dry-run', description: 'Report what it would do and write nothing (this is the verifier)' }),
+    __metadata("design:type", Object)
+], AuthzRelationsReconcile.prototype, "dryRun", void 0);
+__decorate([
+    flags.boolean({ description: 'Also delete the tuples the source no longer backs (leftovers)' }),
+    __metadata("design:type", Object)
+], AuthzRelationsReconcile.prototype, "prune", void 0);
+__decorate([
+    flags.boolean({
+        name: 'allow-mass-delete',
+        description: 'Allow --prune to empty the destination when the source has no usable tuple (mass-delete safeguard)',
+    }),
+    __metadata("design:type", Object)
+], AuthzRelationsReconcile.prototype, "allowMassDelete", void 0);
+__decorate([
+    flags.string({ name: 'partition-type', description: 'Partition (tenant) scope type to migrate; default: app (mono-tenant)' }),
+    __metadata("design:type", Object)
+], AuthzRelationsReconcile.prototype, "partitionType", void 0);
+__decorate([
+    flags.string({ name: 'partition-uuid', description: 'Partition (tenant) scope uuid; required with --partition-type' }),
+    __metadata("design:type", Object)
+], AuthzRelationsReconcile.prototype, "partitionUuid", void 0);
+//# sourceMappingURL=authz_relations_reconcile.js.map

package/build/commands/authz_relations_reconcile.js.map

@@ -0,0 +1 @@
+{"version":3,"file":"authz_relations_reconcile.js","sourceRoot":"","sources":["../../commands/authz_relations_reconcile.ts"],"names":[],"mappings":";;;;;;;;;AAAA,OAAO,EAAE,WAAW,EAAE,KAAK,EAAE,MAAM,oBAAoB,CAAA;AAKvD;;;;;;;;;;;;;;;;;;;GAmBG;AACH,MAAM,CAAC,KAAK,UAAU,qBAAqB,CACzC,aAA6D,EAC7D,OAAuD;IAEvD,MAAM,EAAE,kBAAkB,EAAE,GAAG,MAAM,MAAM,CAAC,+BAA+B,CAAC,CAAA;IAC5E,IAAI,OAAO,CAAC,MAAM,KAAK,IAAI;QAAE,OAAO,kBAAkB,CAAC,OAAO,CAAC,CAAA;IAC/D,MAAM,MAAM,GAAG,4BAA4B,OAAO,CAAC,KAAK,CAAC,CAAC,CAAC,SAAS,OAAO,CAAC,KAAK,EAAE,CAAC,CAAC,CAAC,EAAE,EAAE,CAAA;IAC1F,OAAO,aAAa,CAAC,gBAAgB,CACnC,MAAM,EACN,KAAK,EAAE,MAAM,EAAE,EAAE;QACf,MAAM,MAAM,GAAG,MAAM,kBAAkB,CAAC,OAAO,CAAC,CAAA;QAChD,MAAM,CAAC,MAAM,GAAG,EAAE,OAAO,EAAE,IAAI,EAAE,MAAM,EAAE,MAAM,MAAM,CAAC,MAAM,EAAE,EAAE,OAAO,EAAE,MAAM,CAAC,OAAO,EAAE,KAAK,EAAE,MAAM,CAAC,KAAK,EAAE,CAAA;QAC9G,OAAO,MAAM,CAAA;IACf,CAAC,EACD,EAAE,IAAI,EAAE,WAAW,EAAE,iBAAiB,EAAE,IAAI,EAAE,CAC/C,CAAA;AACH,CAAC;AAED;;;;;;;;;;;;;;;;;GAiBG;AACH,MAAM,UAAU,uBAAuB,CAAC,MAAgC;IAItE,MAAM,KAAK,GAA+E,EAAE,CAAA;IAE5F,KAAK,CAAC,IAAI,CAAC;QACT,KAAK,EAAE,KAAK;QACZ,OAAO,EACL,wBAAwB,MAAM,CAAC,OAAO,kBAAkB,MAAM,CAAC,OAAO,cAAc,MAAM,CAAC,OAAO,IAAI;YACtG,WAAW,MAAM,CAAC,SAAS,YAAY,MAAM,CAAC,KAAK,EAAE;KACxD,CAAC,CAAA;IAEF,6EAA6E;IAC7E,yDAAyD;IACzD,IAAI,MAAM,CAAC,OAAO,CAAC,OAAO,GAAG,CAAC,EAAE,CAAC;QAC/B,KAAK,CAAC,IAAI,CAAC;YACT,KAAK,EAAE,KAAK;YACZ,OAAO,EACL,GAAG,MAAM,CAAC,OAAO,CAAC,OAAO,0EAA0E;gBACnG,0EAA0E;SAC7E,CAAC,CAAA;IACJ,CAAC;IAED,6EAA6E;IAC7E,0EAA0E;IAC1E,kEAAkE;IAClE,IAAI,MAAM,CAAC,OAAO,CAAC,UAAU,GAAG,CAAC,EAAE,CAAC;QAClC,KAAK,CAAC,IAAI,CAAC;YACT,KAAK,EAAE,OAAO;YACd,OAAO,EACL,GAAG,MAAM,CAAC,OAAO,CAAC,UAAU,gFAAgF;gBAC5G,oGAAoG;gBACpG,sEAAsE;SACzE,CAAC,CAAA;IACJ,CAAC;IAED,KAAK,MAAM,IAAI,IAAI,MAAM,CAAC,UAAU,EAAE,CAAC;QACrC,KAAK,CAAC,IAAI,CAAC;YACT,KAAK,EAAE,OAAO;YACd,OAAO,EACL,sBAAsB,IAAI,sEAAsE;gBAChG,uFAAuF;gBACvF,+EAA+E;SAClF,CAAC,CAAA;IACJ,CAAC;IAED,gFAAgF;IAChF,8EAA8E;IAC9E,0EAA0E;IAC1E,IAAI,MAAM,CAAC,UAAU,EAAE,CAAC;QACtB,KAAK,CAAC,IAAI,CAAC;YACT,KAAK,EAAE,OAAO;YACd,OAAO,EACL,oBAAoB,MAAM,CAAC,KAAK,IAAI,MAAM,CAAC,OAAO,qDAAqD;gBACvG,8FAA8F;gBAC9F,8FAA8F;SACjG,CAAC,CAAA;IACJ,CAAC;IAED,IAAI,MAAM,CAAC,KAAK,GAAG,CAAC,IAAI,CAAC,MAAM,CAAC,MAAM,EAAE,CAAC;QACvC,KAAK,CAAC,IAAI,CAAC;YACT,KAAK,EAAE,SAAS;YAChB,OAAO,EACL,GAAG,MAAM,CAAC,KAAK,sFAAsF;gBACrG,0CAA0C;SAC7C,CAAC,CAAA;IACJ,CAAC;IAED,0EAA0E;IAC1E,6EAA6E;IAC7E,uEAAuE;IACvE,IAAI,MAAM,CAAC,MAAM,EAAE,CAAC;QAClB,IAAI,MAAM,CAAC,MAAM,CAAC,MAAM,EAAE,CAAC;YACzB,KAAK,CAAC,IAAI,CAAC;gBACT,KAAK,EAAE,OAAO;gBACd,OAAO,EACL,6DAA6D,MAAM,CAAC,MAAM,CAAC,KAAK,yBAAyB;oBACzG,iGAAiG;oBACjG,8DAA8D;aACjE,CAAC,CAAA;QACJ,CAAC;aAAM,CAAC;YACN,KAAK,CAAC,IAAI,CAAC;gBACT,KAAK,EAAE,KAAK;gBACZ,OAAO,EACL,kDAAkD,MAAM,CAAC,MAAM,CAAC,KAAK,EAAE;oBACvE,GAAG,MAAM,CAAC,MAAM,CAAC,OAAO,KAAK,IAAI,CAAC,CAAC,CAAC,wBAAwB,CAAC,CAAC,CAAC,WAAW,MAAM,CAAC,MAAM,CAAC,OAAO,KAAK,KAAK;oBACzG,4BAA4B;aAC/B,CAAC,CAAA;QACJ,CAAC;IACH,CAAC;IAED,MAAM,OAAO,GAAG,MAAM,CAAC,OAAO,GAAG,MAAM,CAAC,OAAO,GAAG,MAAM,CAAC,OAAO,GAAG,CAAC,MAAM,CAAC,MAAM,CAAC,CAAC,CAAC,MAAM,CAAC,KAAK,CAAC,CAAC,CAAC,CAAC,CAAC,CAAA;IACrG,MAAM,KAAK,GACT,MAAM,CAAC,UAAU,CAAC,MAAM,KAAK,CAAC;QAC9B,MAAM,CAAC,OAAO,CAAC,UAAU,KAAK,CAAC;QAC/B,CAAC,MAAM,CAAC,UAAU;QAClB,CAAC,CAAC,MAAM,CAAC,MAAM,EAAE,MAAM,KAAK,IAAI,CAAC;QACjC,CAAC,CAAC,MAAM,CAAC,MAAM,IAAI,OAAO,KAAK,CAAC,CAAC,CAAA;IACnC,OAAO,EAAE,KAAK,EAAE,KAAK,EAAE,CAAA;AACzB,CAAC;AAED;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;GA8BG;AACH,MAAM,CAAC,OAAO,OAAO,uBAAwB,SAAQ,WAAW;IAC9D,MAAM,CAAC,WAAW,GAAG,2BAA2B,CAAA;IAChD,MAAM,CAAC,WAAW,GAAG,6FAA6F,CAAA;IAElH,MAAM,CAAC,OAAO,GAAmB;QAC/B,QAAQ,EAAE,IAAI;KACf,CAAA;IA0BD,KAAK,CAAC,GAAG;QACP,IAAI,CAAC,IAAI,CAAC,EAAE,EAAE,CAAC;YACb,IAAI,CAAC,MAAM,CAAC,KAAK,CACf,mGAAmG;gBACjG,iDAAiD,CACpD,CAAA;YACD,IAAI,CAAC,QAAQ,GAAG,CAAC,CAAA;YACjB,OAAM;QACR,CAAC;QAED,MAAM,MAAM,GAAG,IAAI,CAAC,GAAG,CAAC,MAAM,CAAC,GAAG,CAAC,eAAe,CAAQ,CAAA;QAC1D,MAAM,SAAS,GAA8B,MAAM,EAAE,SAAS,EAAE,OAAO,IAAI,EAAE,CAAA;QAC7E,MAAM,IAAI,GAAG,MAAM,CAAC,IAAI,CAAC,SAAS,CAAC,CAAA;QACnC,IAAI,IAAI,CAAC,MAAM,KAAK,CAAC,EAAE,CAAC;YACtB,IAAI,CAAC,MAAM,CAAC,KAAK,CACf,uGAAuG;gBACrG,+BAA+B,CAClC,CAAA;YACD,IAAI,CAAC,QAAQ,GAAG,CAAC,CAAA;YACjB,OAAM;QACR,CAAC;QAED,wEAAwE;QACxE,IAAI,OAAO,GAAG,IAAI,CAAC,IAAI,CAAA;QACvB,IAAI,CAAC,OAAO,EAAE,CAAC;YACb,MAAM,UAAU,GAAG,IAAI,CAAC,MAAM,CAAC,CAAC,CAAC,EAAE,EAAE,CAAC,CAAC,KAAK,IAAI,CAAC,EAAE,CAAC,CAAA;YACpD,IAAI,UAAU,CAAC,MAAM,KAAK,CAAC,EAAE,CAAC;gBAC5B,IAAI,CAAC,MAAM,CAAC,KAAK,CACf,0CAA0C,UAAU,CAAC,MAAM,gBAAgB,UAAU,CAAC,IAAI,CAAC,IAAI,CAAC,IAAI,SAAS,KAAK;oBAChH,qFAAqF,CACxF,CAAA;gBACD,IAAI,CAAC,QAAQ,GAAG,CAAC,CAAA;gBACjB,OAAM;YACR,CAAC;YACD,OAAO,GAAG,UAAU,CAAC,CAAC,CAAC,CAAA;QACzB,CAAC;QACD,IAAI,CAAC,SAAS,CAAC,IAAI,CAAC,EAAE,CAAC,EAAE,CAAC;YACxB,IAAI,CAAC,MAAM,CAAC,KAAK,CAAC,eAAe,IAAI,CAAC,EAAE,2CAA2C,IAAI,CAAC,IAAI,CAAC,IAAI,CAAC,IAAI,CAAC,CAAA;YACvG,IAAI,CAAC,QAAQ,GAAG,CAAC,CAAA;YACjB,OAAM;QACR,CAAC;QACD,IAAI,CAAC,SAAS,CAAC,OAAO,CAAC,EAAE,CAAC;YACxB,IAAI,CAAC,MAAM,CAAC,KAAK,CAAC,cAAc,OAAO,2CAA2C,IAAI,CAAC,IAAI,CAAC,IAAI,CAAC,IAAI,CAAC,CAAA;YACtG,IAAI,CAAC,QAAQ,GAAG,CAAC,CAAA;YACjB,OAAM;QACR,CAAC;QAED,yEAAyE;QACzE,MAAM,SAAS,GACb,IAAI,CAAC,aAAa,IAAI,IAAI,CAAC,aAAa,KAAK,KAAK;YAChD,CAAC,CAAC,EAAE,IAAI,EAAE,IAAI,CAAC,aAAa,EAAE,IAAI,EAAE,IAAI,CAAC,aAAa,IAAI,EAAE,EAAE;YAC9D,CAAC,CAAC,EAAE,IAAI,EAAE,KAAc,EAAE,IAAI,EAAE,IAAI,EAAE,CAAA;QAE1C,wEAAwE;QACxE,iEAAiE;QACjE,MAAM,EAAE,mBAAmB,EAAE,GAAG,MAAM,MAAM,CAAC,kCAAkC,CAAC,CAAA;QAChF,MAAM,QAAQ,GAAG,MAAM,mBAAmB,EAAE,CAAC,KAAK,CAAC,GAAG,EAAE,CAAC,SAAS,CAAC,CAAA;QAEnE,MAAM,IAAI,GAAG,MAAM,SAAS,CAAC,OAAO,CAAC,EAAE,CAAA;QACvC,MAAM,EAAE,GAAG,MAAM,SAAS,CAAC,IAAI,CAAC,EAAE,CAAC,EAAE,CAAA;QAErC,oEAAoE;QACpE,4EAA4E;QAC5E,MAAM,EAAE,OAAO,EAAE,aAAa,EAAE,GAAG,MAAM,MAAM,CAAC,qBAAqB,CAAC,CAAA;QAEtE,IAAI,MAAM,CAAA;QACV,IAAI,CAAC;YACH,MAAM,GAAG,MAAM,qBAAqB,CAAC,aAAa,EAAE;gBAClD,IAAI;gBACJ,EAAE;gBACF,SAAS;gBACT,MAAM,EAAE,IAAI,CAAC,MAAM,KAAK,IAAI;gBAC5B,KAAK,EAAE,IAAI,CAAC,KAAK,KAAK,IAAI;gBAC1B,eAAe,EAAE,IAAI,CAAC,eAAe,KAAK,IAAI;gBAC9C,KAAK,EAAE,IAAI,CAAC,EAAE;gBACd,GAAG,CAAC,QAAQ,CAAC,CAAC,CAAC,EAAE,QAAQ,EAAE,CAAC,CAAC,CAAC,EAAE,CAAC;aAClC,CAAC,CAAA;QACJ,CAAC;QAAC,OAAO,KAAU,EAAE,CAAC;YACpB,yEAAyE;YACzE,+DAA+D;YAC/D,IAAI,KAAK,EAAE,IAAI,KAAK,gCAAgC,EAAE,CAAC;gBACrD,IAAI,CAAC,MAAM,CAAC,KAAK,CAAC,MAAM,CAAC,KAAK,CAAC,OAAO,IAAI,KAAK,CAAC,CAAC,CAAA;gBACjD,IAAI,CAAC,QAAQ,GAAG,CAAC,CAAA;gBACjB,OAAM;YACR,CAAC;YACD,uEAAuE;YACvE,uDAAuD;YACvD,IAAI,KAAK,EAAE,IAAI,KAAK,qBAAqB,EAAE,CAAC;gBAC1C,IAAI,CAAC,MAAM,CAAC,KAAK,CAAC,MAAM,CAAC,KAAK,CAAC,OAAO,IAAI,KAAK,CAAC,CAAC,CAAA;gBACjD,IAAI,CAAC,QAAQ,GAAG,CAAC,CAAA;gBACjB,OAAM;YACR,CAAC;YACD,MAAM,KAAK,CAAA;QACb,CAAC;QAED,MAAM,EAAE,KAAK,EAAE,KAAK,EAAE,GAAG,uBAAuB,CAAC,MAAM,CAAC,CAAA;QACxD,KAAK,MAAM,EAAE,KAAK,EAAE,OAAO,EAAE,IAAI,KAAK;YAAE,IAAI,CAAC,MAAM,CAAC,KAAK,CAAC,CAAC,OAAO,CAAC,CAAA;QAEnE,MAAM,OAAO,GACX,YAAY,MAAM,CAAC,OAAO,kBAAkB,MAAM,CAAC,OAAO,cAAc,MAAM,CAAC,OAAO,IAAI;YAC1F,WAAW,MAAM,CAAC,SAAS,YAAY,MAAM,CAAC,KAAK,wBAAwB,MAAM,CAAC,OAAO,CAAC,OAAO,IAAI;YACrG,+BAA+B,MAAM,CAAC,OAAO,CAAC,UAAU,EAAE,CAAA;QAC5D,IAAI,MAAM,CAAC,MAAM,EAAE,CAAC;YAClB,IAAI,KAAK,EAAE,CAAC;gBACV,IAAI,CAAC,MAAM,CAAC,OAAO,CAAC,gBAAgB,IAAI,CAAC,EAAE,mBAAmB,OAAO,MAAM,OAAO,IAAI,CAAC,CAAA;gBACvF,OAAM;YACR,CAAC;YACD,IAAI,CAAC,MAAM,CAAC,KAAK,CAAC,eAAe,IAAI,CAAC,EAAE,MAAM,OAAO,sCAAsC,CAAC,CAAA;YAC5F,IAAI,CAAC,QAAQ,GAAG,CAAC,CAAA;YACjB,OAAM;QACR,CAAC;QACD,IAAI,CAAC,MAAM,CAAC,OAAO,CAAC,kBAAkB,IAAI,CAAC,EAAE,0BAA0B,OAAO,MAAM,OAAO,GAAG,CAAC,CAAA;QAC/F,IAAI,CAAC,KAAK,EAAE,CAAC;YACX,IAAI,CAAC,MAAM,CAAC,OAAO,CAAC,yEAAyE,CAAC,CAAA;YAC9F,IAAI,CAAC,QAAQ,GAAG,CAAC,CAAA;QACnB,CAAC;IACH,CAAC;;AA3IO;IADP,KAAK,CAAC,MAAM,CAAC,EAAE,WAAW,EAAE,6EAA6E,EAAE,CAAC;;mDAC/E;AAGtB;IADP,KAAK,CAAC,MAAM,CAAC,EAAE,WAAW,EAAE,yFAAyF,EAAE,CAAC;;qDACzF;AAGxB;IADP,KAAK,CAAC,OAAO,CAAC,EAAE,IAAI,EAAE,SAAS,EAAE,WAAW,EAAE,kEAAkE,EAAE,CAAC;;uDACjF;AAG3B;IADP,KAAK,CAAC,OAAO,CAAC,EAAE,WAAW,EAAE,+DAA+D,EAAE,CAAC;;sDAC9D;AAM1B;IAJP,KAAK,CAAC,OAAO,CAAC;QACb,IAAI,EAAE,mBAAmB;QACzB,WAAW,EAAE,oGAAoG;KAClH,CAAC;;gEAC0C;AAGpC;IADP,KAAK,CAAC,MAAM,CAAC,EAAE,IAAI,EAAE,gBAAgB,EAAE,WAAW,EAAE,sEAAsE,EAAE,CAAC;;8DACrF;AAGjC;IADP,KAAK,CAAC,MAAM,CAAC,EAAE,IAAI,EAAE,gBAAgB,EAAE,WAAW,EAAE,+DAA+D,EAAE,CAAC;;8DAC9E"}

package/build/commands/authz_scopes_relay.d.ts

@@ -0,0 +1,47 @@
+import { BaseCommand } from '@adonisjs/core/ace';
+import { CommandOptions } from '@adonisjs/core/types/ace';
+/**
+ * Drena la OUTBOX del árbol de scopes y aplica los cambios al driver
+ * (3b-2d; panel 2, cruce 4 · S5).
+ *
+ * Con `scopes.outbox` declarada, `authorization.scopes.attached/moved/
+ * detached` no escriben en el backend: encolan el cambio DENTRO de la
+ * transacción del consumidor. Este comando es quien lo propaga.
+ *
+ *   node ace authz:scopes:relay                 # drena
+ *   node ace authz:scopes:relay --dry-run       # solo dice qué haría
+ *   node ace authz:scopes:relay --limit 500     # una pasada acotada
+ *
+ * Pensado para un supervisor (un bucle, un cron corto, un worker): la pasada
+ * es REANUDABLE —lo que no entra sigue pendiente—. Un cambio que falla
+ * **aplaza lo que depende de él** (todo cambio posterior que nombre alguno de
+ * sus scopes) y deja pasar el resto: hasta 3b-2h paraba la pasada entera, y
+ * eso convertía una entrada irreparable en un tapón permanente para todos los
+ * tenants (3b-2h · 🔴 2). Sale con código ≠ 0 si algo falló o hay entradas
+ * APARCADAS, para que el supervisor se entere.
+ *
+ * **Escritor ÚNICO**: si la outbox sabe dar lease (`sqlScopeOutbox` lo hace),
+ * una segunda pasada simultánea no hace nada y lo dice. Sin lease, no lances
+ * dos a la vez: la rezagada re-aplica cambios viejos sobre el árbol nuevo.
+ *
+ * **Lo que este comando no puede arreglar**: entre el commit del consumidor
+ * y la pasada hay un lag (segundos) en el que el backend decide con el árbol
+ * VIEJO. Es un fail-open temporal —el tenant antiguo conserva acceso tras un
+ * `moved`, los denies heredados no aplican tras un `attached`—. No hay 2PC.
+ * Un ciclo más corto acorta esa ventana **mientras la cola avance**: lo que
+ * falla o se aparca no está acotado por el ciclo y hay que mirarlo.
+ *
+ * Es una operación de PLATAFORMA (como `authz:catalog:prune-orphans`): se
+ * salta `requireActor`/`requireWithin` porque la policy ya se juzgó al
+ * ENCOLAR, con el árbol y la sesión de aquel momento. No se expone por HTTP.
+ */
+export default class AuthzScopesRelay extends BaseCommand {
+    static commandName: string;
+    static description: string;
+    static options: CommandOptions;
+    dryRun: boolean | undefined;
+    limit: number | undefined;
+    batchSize: number | undefined;
+    run(): Promise<void>;
+}
+//# sourceMappingURL=authz_scopes_relay.d.ts.map

package/build/commands/authz_scopes_relay.d.ts.map

@@ -0,0 +1 @@
+{"version":3,"file":"authz_scopes_relay.d.ts","sourceRoot":"","sources":["../../commands/authz_scopes_relay.ts"],"names":[],"mappings":"AAAA,OAAO,EAAE,WAAW,EAAS,MAAM,oBAAoB,CAAA;AACvD,OAAO,EAAE,cAAc,EAAE,MAAM,0BAA0B,CAAA;AAEzD;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;GAkCG;AACH,MAAM,CAAC,OAAO,OAAO,gBAAiB,SAAQ,WAAW;IACvD,MAAM,CAAC,WAAW,SAAuB;IACzC,MAAM,CAAC,WAAW,SAAiF;IAEnG,MAAM,CAAC,OAAO,EAAE,cAAc,CAE7B;IAMO,MAAM,EAAE,OAAO,GAAG,SAAS,CAAA;IAG3B,KAAK,EAAE,MAAM,GAAG,SAAS,CAAA;IAGzB,SAAS,EAAE,MAAM,GAAG,SAAS,CAAA;IAE/B,GAAG;CAkFV"}

package/build/commands/authz_scopes_relay.js

@@ -0,0 +1,141 @@
+var __decorate = (this && this.__decorate) || function (decorators, target, key, desc) {
+    var c = arguments.length, r = c < 3 ? target : desc === null ? desc = Object.getOwnPropertyDescriptor(target, key) : desc, d;
+    if (typeof Reflect === "object" && typeof Reflect.decorate === "function") r = Reflect.decorate(decorators, target, key, desc);
+    else for (var i = decorators.length - 1; i >= 0; i--) if (d = decorators[i]) r = (c < 3 ? d(r) : c > 3 ? d(target, key, r) : d(target, key)) || r;
+    return c > 3 && r && Object.defineProperty(target, key, r), r;
+};
+var __metadata = (this && this.__metadata) || function (k, v) {
+    if (typeof Reflect === "object" && typeof Reflect.metadata === "function") return Reflect.metadata(k, v);
+};
+import { BaseCommand, flags } from '@adonisjs/core/ace';
+/**
+ * Drena la OUTBOX del árbol de scopes y aplica los cambios al driver
+ * (3b-2d; panel 2, cruce 4 · S5).
+ *
+ * Con `scopes.outbox` declarada, `authorization.scopes.attached/moved/
+ * detached` no escriben en el backend: encolan el cambio DENTRO de la
+ * transacción del consumidor. Este comando es quien lo propaga.
+ *
+ *   node ace authz:scopes:relay                 # drena
+ *   node ace authz:scopes:relay --dry-run       # solo dice qué haría
+ *   node ace authz:scopes:relay --limit 500     # una pasada acotada
+ *
+ * Pensado para un supervisor (un bucle, un cron corto, un worker): la pasada
+ * es REANUDABLE —lo que no entra sigue pendiente—. Un cambio que falla
+ * **aplaza lo que depende de él** (todo cambio posterior que nombre alguno de
+ * sus scopes) y deja pasar el resto: hasta 3b-2h paraba la pasada entera, y
+ * eso convertía una entrada irreparable en un tapón permanente para todos los
+ * tenants (3b-2h · 🔴 2). Sale con código ≠ 0 si algo falló o hay entradas
+ * APARCADAS, para que el supervisor se entere.
+ *
+ * **Escritor ÚNICO**: si la outbox sabe dar lease (`sqlScopeOutbox` lo hace),
+ * una segunda pasada simultánea no hace nada y lo dice. Sin lease, no lances
+ * dos a la vez: la rezagada re-aplica cambios viejos sobre el árbol nuevo.
+ *
+ * **Lo que este comando no puede arreglar**: entre el commit del consumidor
+ * y la pasada hay un lag (segundos) en el que el backend decide con el árbol
+ * VIEJO. Es un fail-open temporal —el tenant antiguo conserva acceso tras un
+ * `moved`, los denies heredados no aplican tras un `attached`—. No hay 2PC.
+ * Un ciclo más corto acorta esa ventana **mientras la cola avance**: lo que
+ * falla o se aparca no está acotado por el ciclo y hay que mirarlo.
+ *
+ * Es una operación de PLATAFORMA (como `authz:catalog:prune-orphans`): se
+ * salta `requireActor`/`requireWithin` porque la policy ya se juzgó al
+ * ENCOLAR, con el árbol y la sesión de aquel momento. No se expone por HTTP.
+ */
+export default class AuthzScopesRelay extends BaseCommand {
+    static commandName = 'authz:scopes:relay';
+    static description = 'Drain the scope-tree outbox and apply the pending tree changes to the driver';
+    static options = {
+        startApp: true,
+    };
+    async run() {
+        const { default: authorization } = await import('../services/main.js');
+        const report = await authorization.relayScopeChanges({
+            dryRun: this.dryRun === true,
+            limit: this.limit,
+            batchSize: this.batchSize,
+        });
+        const linea = (item) => {
+            const { change } = item;
+            const scope = (s) => `${s.type}:${s.uuid ?? ''}`;
+            const destino = change.op === 'detached' ? '' : ` → ${scope(change.parent)}`;
+            const intentos = item.attempts ? ` (intentos previos: ${item.attempts})` : '';
+            return `#${item.id} ${change.op} ${scope(change.child)}${destino}${intentos}`;
+        };
+        // Lo APARCADO se dice siempre, aplique o no esta pasada: es una
+        // divergencia permanente del árbol del backend, no un incidente pasado.
+        for (const item of report.dead) {
+            this.logger.error(`APARCADO tras agotar los intentos: ${linea(item)}${item.error ? ` — ${item.error}` : ''}`);
+        }
+        if (report.dead.length > 0) {
+            this.logger.warning('Una entrada aparcada NO se va a aplicar sola: el árbol del backend está divergente en ese nodo. ' +
+                'Revísala en la cola (el consumidor puede volver a notificar el cambio) o reconcilia.');
+        }
+        if (report.busy) {
+            this.logger.info('Otra pasada del relay tiene el lease de la cola: esta no ha aplicado nada (el relay es escritor único).');
+            if (report.dead.length > 0)
+                this.exitCode = 1;
+            return;
+        }
+        if (report.dryRun) {
+            for (const item of report.wouldApply)
+                this.logger.log(`pendiente: ${linea(item)}`);
+            if (report.wouldApply.length === 0) {
+                if (report.dead.length > 0)
+                    this.exitCode = 1;
+                else
+                    this.logger.success('La outbox del árbol está vacía: nada que propagar.');
+                return;
+            }
+            this.logger.warning(`${report.wouldApply.length} cambio(s) del árbol sin propagar. No se ha aplicado nada: repite sin --dry-run. ` +
+                `Mientras tanto el backend decide con el árbol VIEJO.`);
+            return;
+        }
+        // Qué se aplicó, uno a uno: la pasada no es atómica y un contador no
+        // permite retomar nada.
+        for (const item of report.applied)
+            this.logger.log(`aplicado: ${linea(item)}`);
+        for (const item of report.deferred) {
+            this.logger.warning(`aplazado: ${linea(item)}${item.error ? ` — ${item.error}` : ''}`);
+        }
+        if (report.failures.length > 0) {
+            for (const item of report.failures) {
+                this.logger.error(`falló #${item.id} (${item.change.op} ` +
+                    `${item.change.child.type}:${item.change.child.uuid ?? ''}): ${item.error}`);
+            }
+            this.logger.warning('Lo que DEPENDE de un cambio fallido no se adelanta (el orden del árbol importa: aparece como «aplazado»), ' +
+                'pero el resto de la cola sí avanza. Arregla la causa y vuelve a ejecutar; retoma donde lo dejó. ' +
+                'Agotados los intentos que declare tu outbox, una entrada irreparable se APARCA y se reporta.');
+            this.exitCode = 1;
+            return;
+        }
+        if (report.dead.length > 0)
+            this.exitCode = 1;
+        if (report.applied.length === 0) {
+            if (report.dead.length === 0)
+                this.logger.success('La outbox del árbol está vacía: nada que propagar.');
+            return;
+        }
+        this.logger.success(`${report.applied.length} cambio(s) del árbol propagado(s) al driver.`);
+        if (report.remaining) {
+            this.logger.warning('Quedan cambios pendientes (se alcanzó el límite de la pasada o hay aplazados): vuelve a ejecutar.');
+        }
+    }
+}
+__decorate([
+    flags.boolean({
+        name: 'dry-run',
+        description: 'List the pending tree changes without applying any of them',
+    }),
+    __metadata("design:type", Object)
+], AuthzScopesRelay.prototype, "dryRun", void 0);
+__decorate([
+    flags.number({ description: 'Stop after applying this many changes (the rest stays pending)' }),
+    __metadata("design:type", Object)
+], AuthzScopesRelay.prototype, "limit", void 0);
+__decorate([
+    flags.number({ name: 'batch-size', description: 'How many pending changes to read per round trip' }),
+    __metadata("design:type", Object)
+], AuthzScopesRelay.prototype, "batchSize", void 0);
+//# sourceMappingURL=authz_scopes_relay.js.map

package/build/commands/authz_scopes_relay.js.map

@@ -0,0 +1 @@
+{"version":3,"file":"authz_scopes_relay.js","sourceRoot":"","sources":["../../commands/authz_scopes_relay.ts"],"names":[],"mappings":";;;;;;;;;AAAA,OAAO,EAAE,WAAW,EAAE,KAAK,EAAE,MAAM,oBAAoB,CAAA;AAGvD;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;GAkCG;AACH,MAAM,CAAC,OAAO,OAAO,gBAAiB,SAAQ,WAAW;IACvD,MAAM,CAAC,WAAW,GAAG,oBAAoB,CAAA;IACzC,MAAM,CAAC,WAAW,GAAG,8EAA8E,CAAA;IAEnG,MAAM,CAAC,OAAO,GAAmB;QAC/B,QAAQ,EAAE,IAAI;KACf,CAAA;IAcD,KAAK,CAAC,GAAG;QACP,MAAM,EAAE,OAAO,EAAE,aAAa,EAAE,GAAG,MAAM,MAAM,CAAC,qBAAqB,CAAC,CAAA;QACtE,MAAM,MAAM,GAAG,MAAM,aAAa,CAAC,iBAAiB,CAAC;YACnD,MAAM,EAAE,IAAI,CAAC,MAAM,KAAK,IAAI;YAC5B,KAAK,EAAE,IAAI,CAAC,KAAK;YACjB,SAAS,EAAE,IAAI,CAAC,SAAS;SAC1B,CAAC,CAAA;QAEF,MAAM,KAAK,GAAG,CAAC,IAA6D,EAAE,EAAE;YAC9E,MAAM,EAAE,MAAM,EAAE,GAAG,IAAI,CAAA;YACvB,MAAM,KAAK,GAAG,CAAC,CAAM,EAAE,EAAE,CAAC,GAAG,CAAC,CAAC,IAAI,IAAI,CAAC,CAAC,IAAI,IAAI,EAAE,EAAE,CAAA;YACrD,MAAM,OAAO,GAAG,MAAM,CAAC,EAAE,KAAK,UAAU,CAAC,CAAC,CAAC,EAAE,CAAC,CAAC,CAAC,MAAM,KAAK,CAAC,MAAM,CAAC,MAAM,CAAC,EAAE,CAAA;YAC5E,MAAM,QAAQ,GAAG,IAAI,CAAC,QAAQ,CAAC,CAAC,CAAC,uBAAuB,IAAI,CAAC,QAAQ,GAAG,CAAC,CAAC,CAAC,EAAE,CAAA;YAC7E,OAAO,IAAI,IAAI,CAAC,EAAE,IAAI,MAAM,CAAC,EAAE,IAAI,KAAK,CAAC,MAAM,CAAC,KAAK,CAAC,GAAG,OAAO,GAAG,QAAQ,EAAE,CAAA;QAC/E,CAAC,CAAA;QAED,gEAAgE;QAChE,wEAAwE;QACxE,KAAK,MAAM,IAAI,IAAI,MAAM,CAAC,IAAI,EAAE,CAAC;YAC/B,IAAI,CAAC,MAAM,CAAC,KAAK,CAAC,sCAAsC,KAAK,CAAC,IAAI,CAAC,GAAG,IAAI,CAAC,KAAK,CAAC,CAAC,CAAC,MAAM,IAAI,CAAC,KAAK,EAAE,CAAC,CAAC,CAAC,EAAE,EAAE,CAAC,CAAA;QAC/G,CAAC;QACD,IAAI,MAAM,CAAC,IAAI,CAAC,MAAM,GAAG,CAAC,EAAE,CAAC;YAC3B,IAAI,CAAC,MAAM,CAAC,OAAO,CACjB,kGAAkG;gBAChG,sFAAsF,CACzF,CAAA;QACH,CAAC;QAED,IAAI,MAAM,CAAC,IAAI,EAAE,CAAC;YAChB,IAAI,CAAC,MAAM,CAAC,IAAI,CAAC,yGAAyG,CAAC,CAAA;YAC3H,IAAI,MAAM,CAAC,IAAI,CAAC,MAAM,GAAG,CAAC;gBAAE,IAAI,CAAC,QAAQ,GAAG,CAAC,CAAA;YAC7C,OAAM;QACR,CAAC;QAED,IAAI,MAAM,CAAC,MAAM,EAAE,CAAC;YAClB,KAAK,MAAM,IAAI,IAAI,MAAM,CAAC,UAAU;gBAAE,IAAI,CAAC,MAAM,CAAC,GAAG,CAAC,cAAc,KAAK,CAAC,IAAI,CAAC,EAAE,CAAC,CAAA;YAClF,IAAI,MAAM,CAAC,UAAU,CAAC,MAAM,KAAK,CAAC,EAAE,CAAC;gBACnC,IAAI,MAAM,CAAC,IAAI,CAAC,MAAM,GAAG,CAAC;oBAAE,IAAI,CAAC,QAAQ,GAAG,CAAC,CAAA;;oBACxC,IAAI,CAAC,MAAM,CAAC,OAAO,CAAC,oDAAoD,CAAC,CAAA;gBAC9E,OAAM;YACR,CAAC;YACD,IAAI,CAAC,MAAM,CAAC,OAAO,CACjB,GAAG,MAAM,CAAC,UAAU,CAAC,MAAM,mFAAmF;gBAC5G,sDAAsD,CACzD,CAAA;YACD,OAAM;QACR,CAAC;QAED,qEAAqE;QACrE,wBAAwB;QACxB,KAAK,MAAM,IAAI,IAAI,MAAM,CAAC,OAAO;YAAE,IAAI,CAAC,MAAM,CAAC,GAAG,CAAC,aAAa,KAAK,CAAC,IAAI,CAAC,EAAE,CAAC,CAAA;QAE9E,KAAK,MAAM,IAAI,IAAI,MAAM,CAAC,QAAQ,EAAE,CAAC;YACnC,IAAI,CAAC,MAAM,CAAC,OAAO,CAAC,aAAa,KAAK,CAAC,IAAI,CAAC,GAAG,IAAI,CAAC,KAAK,CAAC,CAAC,CAAC,MAAM,IAAI,CAAC,KAAK,EAAE,CAAC,CAAC,CAAC,EAAE,EAAE,CAAC,CAAA;QACxF,CAAC;QAED,IAAI,MAAM,CAAC,QAAQ,CAAC,MAAM,GAAG,CAAC,EAAE,CAAC;YAC/B,KAAK,MAAM,IAAI,IAAI,MAAM,CAAC,QAAQ,EAAE,CAAC;gBACnC,IAAI,CAAC,MAAM,CAAC,KAAK,CACf,UAAU,IAAI,CAAC,EAAE,KAAK,IAAI,CAAC,MAAM,CAAC,EAAE,GAAG;oBACrC,GAAG,IAAI,CAAC,MAAM,CAAC,KAAK,CAAC,IAAI,IAAI,IAAI,CAAC,MAAM,CAAC,KAAK,CAAC,IAAI,IAAI,EAAE,MAAM,IAAI,CAAC,KAAK,EAAE,CAC9E,CAAA;YACH,CAAC;YACD,IAAI,CAAC,MAAM,CAAC,OAAO,CACjB,4GAA4G;gBAC1G,kGAAkG;gBAClG,8FAA8F,CACjG,CAAA;YACD,IAAI,CAAC,QAAQ,GAAG,CAAC,CAAA;YACjB,OAAM;QACR,CAAC;QAED,IAAI,MAAM,CAAC,IAAI,CAAC,MAAM,GAAG,CAAC;YAAE,IAAI,CAAC,QAAQ,GAAG,CAAC,CAAA;QAC7C,IAAI,MAAM,CAAC,OAAO,CAAC,MAAM,KAAK,CAAC,EAAE,CAAC;YAChC,IAAI,MAAM,CAAC,IAAI,CAAC,MAAM,KAAK,CAAC;gBAAE,IAAI,CAAC,MAAM,CAAC,OAAO,CAAC,oDAAoD,CAAC,CAAA;YACvG,OAAM;QACR,CAAC;QACD,IAAI,CAAC,MAAM,CAAC,OAAO,CAAC,GAAG,MAAM,CAAC,OAAO,CAAC,MAAM,8CAA8C,CAAC,CAAA;QAC3F,IAAI,MAAM,CAAC,SAAS,EAAE,CAAC;YACrB,IAAI,CAAC,MAAM,CAAC,OAAO,CAAC,mGAAmG,CAAC,CAAA;QAC1H,CAAC;IACH,CAAC;;AAzFO;IAJP,KAAK,CAAC,OAAO,CAAC;QACb,IAAI,EAAE,SAAS;QACf,WAAW,EAAE,4DAA4D;KAC1E,CAAC;;gDACiC;AAG3B;IADP,KAAK,CAAC,MAAM,CAAC,EAAE,WAAW,EAAE,gEAAgE,EAAE,CAAC;;+CAC/D;AAGzB;IADP,KAAK,CAAC,MAAM,CAAC,EAAE,IAAI,EAAE,YAAY,EAAE,WAAW,EAAE,iDAAiD,EAAE,CAAC;;mDAChE"}

package/build/commands/authz_unfreeze.d.ts

@@ -0,0 +1,37 @@
+import { BaseCommand } from '@adonisjs/core/ace';
+import { CommandOptions } from '@adonisjs/core/types/ace';
+import type { FreezeStatus } from '../src/manager.js';
+/**
+ * Qué hacer con el freeze vivo, en una función PURA (mismo patrón que
+ * `reconcileLines`): es la única decisión del comando y así tiene su caso
+ * sin montar un ace.
+ *
+ * Reglas:
+ *  - Sin freeze vivo ⇒ no-op en verde (idempotente: descongelar lo
+ *    descongelado no es un incidente).
+ *  - Freeze de OPERADOR ⇒ se levanta (este comando es su otra mitad).
+ *  - Freeze de OTRO dueño (`reconcile`, `platform`) ⇒ NO se levanta sin
+ *    `--fence`: levantar la barrera de una pasada viva es exactamente el
+ *    A1.3 que el token cierra. `--fence=<n>` es la decisión humana explícita
+ *    («ese proceso murió sin lease»), y tiene que coincidir con el fence
+ *    vivo — un fence viejo no levanta la ventana de otro.
+ */
+export declare function unfreezePlan(status: FreezeStatus | null, fence: number | undefined): {
+    action: 'noop' | 'lift' | 'refuse';
+    message: string;
+};
+/**
+ * **Cierra la ventana de cutover** (3b-7): levanta el freeze de operador que
+ * abrió `authz:freeze`. La otra mitad de ese comando; ver su docblock.
+ *
+ *   node ace authz:unfreeze              # levanta la ventana del operador
+ *   node ace authz:unfreeze --fence=7    # decisión humana: levanta ESE freeze aunque no sea de operador
+ */
+export default class AuthzUnfreeze extends BaseCommand {
+    static commandName: string;
+    static description: string;
+    static options: CommandOptions;
+    fence: number | undefined;
+    run(): Promise<void>;
+}
+//# sourceMappingURL=authz_unfreeze.d.ts.map

package/build/commands/authz_unfreeze.d.ts.map

@@ -0,0 +1 @@
+{"version":3,"file":"authz_unfreeze.d.ts","sourceRoot":"","sources":["../../commands/authz_unfreeze.ts"],"names":[],"mappings":"AAAA,OAAO,EAAE,WAAW,EAAS,MAAM,oBAAoB,CAAA;AACvD,OAAO,EAAE,cAAc,EAAE,MAAM,0BAA0B,CAAA;AACzD,OAAO,KAAK,EAAE,YAAY,EAAE,MAAM,mBAAmB,CAAA;AAErD;;;;;;;;;;;;;;GAcG;AACH,wBAAgB,YAAY,CAC1B,MAAM,EAAE,YAAY,GAAG,IAAI,EAC3B,KAAK,EAAE,MAAM,GAAG,SAAS,GACxB;IAAE,MAAM,EAAE,MAAM,GAAG,MAAM,GAAG,QAAQ,CAAC;IAAC,OAAO,EAAE,MAAM,CAAA;CAAE,CA0BzD;AAED;;;;;;GAMG;AACH,MAAM,CAAC,OAAO,OAAO,aAAc,SAAQ,WAAW;IACpD,MAAM,CAAC,WAAW,SAAmB;IACrC,MAAM,CAAC,WAAW,SAAqF;IAEvG,MAAM,CAAC,OAAO,EAAE,cAAc,CAE7B;IAKO,KAAK,EAAE,MAAM,GAAG,SAAS,CAAA;IAE3B,GAAG;CAqBV"}