@jantstack/adonis-authz 2.4.0-alpha.1 → 2.4.0-alpha.10

package/build/commands/authz_scopes_relay.js

@@ -8,6 +8,56 @@ var __metadata = (this && this.__metadata) || function (k, v) {
     if (typeof Reflect === "object" && typeof Reflect.metadata === "function") return Reflect.metadata(k, v);
 };
 import { BaseCommand, flags } from '@adonisjs/core/ace';
+/**
+ * **La edad de la cola en el comando** (2.4.0-alpha.8; panel relay 2,
+ * cuestión 5), en una función PURA (patrón `requeueLines`): qué se imprime y
+ * si `--max-age` la convierte en salida ≠ 0.
+ *
+ *  - Sin cabeza con fecha (`pendingAgeMs === null`: cola vacía, solo
+ *    aparcadas, o una outbox de terceros sin `createdAt`) no se dice nada y
+ *    nunca se alarma.
+ *  - Con edad, se INFORMA siempre (es lo que faltaba en el B2 de COGNITIV:
+ *    diez pasadas con el store caído y nadie sabía desde cuándo).
+ *  - **Solo con umbral** (`--max-age=<ms>`) y edad POR ENCIMA es `exceeded`
+ *    (exit ≠ 0): sin umbral un cron no puede quedarse en rojo para siempre
+ *    por una cola que simplemente tiene backlog. Un umbral inválido lanza.
+ */
+export function queueAgeLines(queue, maxAgeMs, remaining = false) {
+    if (maxAgeMs !== undefined && !(Number.isInteger(maxAgeMs) && maxAgeMs >= 0)) {
+        throw new TypeError(`authz:scopes:relay: --max-age debe ser un entero >= 0 en milisegundos (llegó ${String(maxAgeMs)})`);
+    }
+    if (queue.pendingAgeMs === null || queue.oldestPendingAt === null) {
+        // «Cola vacía» y «no sé la edad» no son lo mismo (cierre alpha.8, 🟡 2 del
+        // auditor): con entradas pendientes y una outbox que no devuelve `createdAt`
+        // la alarma por edad no puede vigilar nada — y con `--max-age` eso es un
+        // fallo, no un silencio.
+        if (!remaining)
+            return { lines: [], exceeded: false };
+        const message = 'Hay entradas pendientes pero la outbox no devuelve `createdAt` (par de capacidad `createdAt` del contrato): ' +
+            'la edad de la cola es DESCONOCIDA y --max-age no puede vigilarla.';
+        return maxAgeMs === undefined
+            ? { lines: [{ level: 'warning', message }], exceeded: false }
+            : { lines: [{ level: 'error', message }], exceeded: true };
+    }
+    const since = queue.oldestPendingAt.toISOString();
+    if (maxAgeMs !== undefined && queue.pendingAgeMs > maxAgeMs) {
+        return {
+            exceeded: true,
+            lines: [
+                {
+                    level: 'error',
+                    message: `La entrada pendiente más antigua de la cola lleva ${queue.pendingAgeMs} ms sin aplicarse (desde ${since}), ` +
+                        `por encima de --max-age=${maxAgeMs}: la cola no avanza (¿el backend lleva caído desde entonces? un 503 no consume ` +
+                        'intento y no aparca nada). Mira `failures` de esta pasada.',
+                },
+            ],
+        };
+    }
+    return {
+        exceeded: false,
+        lines: [{ level: 'info', message: `Cabeza de la cola: pendiente desde ${since} (${queue.pendingAgeMs} ms; medida con el reloj de quien encoló).` }],
+    };
+}
 /**
  * Drena la OUTBOX del árbol de scopes y aplica los cambios al driver
  * (3b-2d; panel 2, cruce 4 · S5).
@@ -19,6 +69,29 @@ import { BaseCommand, flags } from '@adonisjs/core/ace';
  *   node ace authz:scopes:relay                 # drena
  *   node ace authz:scopes:relay --dry-run       # solo dice qué haría
  *   node ace authz:scopes:relay --limit 500     # una pasada acotada
+ *   node ace authz:scopes:relay --only=12,13    # SOLO esas entradas (2.4.0-alpha.5)
+ *   node ace authz:scopes:relay --wait-lease-ms=5000   # espera el lease hasta 5 s en vez de salir `busy` (2.4.0-alpha.8)
+ *   node ace authz:scopes:relay --max-age=300000       # exit ≠ 0 si la pendiente más antigua lleva > 5 min (2.4.0-alpha.8)
+ *
+ * **`--max-age`** (alpha.8, cuestión 5 del panel relay 2): el reporte lleva
+ * SIEMPRE la edad de la cabeza global de la cola (`queue.pendingAgeMs`, con
+ * el reloj de quien encoló) y se imprime; con umbral, superarlo es salida ≠ 0
+ * — la alarma que faltaba cuando el store está caído (un 503 no consume
+ * intento: `attempts` y `dead` se quedan a cero). Sin umbral solo informa.
+ *
+ * **`--only`** (alpha.5 · R1): releva solo los ids del recibo que devolvió
+ * `scopes.attached/moved/detached` (`{ queued }`). El orden por clave no se
+ * relaja: una entrada pedida que dependa de una anterior sin aplicar y no
+ * pedida sale «aplazada» (`depends-on:<id>`), nunca fuera de orden; `--only`
+ * vacío es un error, no «todo». La salida es POR ENTRADA (`entries`), y los
+ * ids que no estaban ni pendientes ni aparcados se dicen (`missing`).
+ *
+ * **Lo aparcado tapona por clave** (alpha.5 · R2a): un `attached`/`moved`
+ * que nombre un scope de una entrada APARCADA sale «aplazado» con
+ * `parked:<id>` en todas las pasadas hasta que alguien mire la aparcada; un
+ * `detached` de esa clave se aplica igual (una purga nunca queda bloqueada).
+ * Y un 503 del backend NO consume intento: la caída del store es común a
+ * todas las entradas y no dice nada de ninguna.
  *
  * Pensado para un supervisor (un bucle, un cron corto, un worker): la pasada
  * es REANUDABLE —lo que no entra sigue pendiente—. Un cambio que falla
@@ -49,13 +122,46 @@ export default class AuthzScopesRelay extends BaseCommand {
     static options = {
         startApp: true,
     };
+    /** `--only=12,13` o `--only=12 --only=13`: ids numéricos como número, el resto como cadena. */
+    static parseOnly(values) {
+        if (values === undefined)
+            return undefined;
+        return values
+            .flatMap((value) => String(value).split(','))
+            .map((value) => value.trim())
+            .filter((value) => value.length > 0)
+            .map((value) => (/^\d+$/.test(value) ? Number(value) : value));
+    }
     async run() {
         const { default: authorization } = await import('../services/main.js');
+        const only = AuthzScopesRelay.parseOnly(this.only);
+        if (only !== undefined && only.length === 0) {
+            this.logger.error('--only está vacío: relevar «nada» no es relevar «todo». Quita --only para drenar la cola entera.');
+            this.exitCode = 1;
+            return;
+        }
+        // alpha.10 · S7 (auditoría de sistema): el umbral se valida ANTES de tocar
+        // la cola. Hasta alpha.9 `queueAgeLines` lanzaba DESPUÉS de relevar: la
+        // pasada aplicaba y marcaba entradas y el comando reventaba con un
+        // TypeError sin decir qué había aplicado.
+        if (this.maxAge !== undefined && !(Number.isInteger(this.maxAge) && this.maxAge >= 0)) {
+            this.logger.error(`--max-age debe ser un entero >= 0 en milisegundos (llegó ${String(this.maxAge)}). No se ha relevado nada.`);
+            this.exitCode = 1;
+            return;
+        }
         const report = await authorization.relayScopeChanges({
             dryRun: this.dryRun === true,
             limit: this.limit,
             batchSize: this.batchSize,
+            only,
+            ...(this.waitLeaseMs === undefined ? {} : { waitForLeaseMs: this.waitLeaseMs }),
         });
+        // La EDAD de la cola, siempre; con `--max-age`, la alarma (2.4.0-alpha.8).
+        const age = queueAgeLines(report.queue, this.maxAge, report.remaining);
+        for (const line of age.lines)
+            this.logger[line.level](line.message);
+        if (age.exceeded)
+            this.exitCode = 1;
         const linea = (item) => {
             const { change } = item;
             const scope = (s) => `${s.type}:${s.uuid ?? ''}`;
@@ -68,6 +174,34 @@ export default class AuthzScopesRelay extends BaseCommand {
         for (const item of report.dead) {
             this.logger.error(`APARCADO tras agotar los intentos: ${linea(item)}${item.error ? ` — ${item.error}` : ''}`);
         }
+        // Cierre-2 · C2 (gemelo): un id PEDIDO aparcado más allá del primer lote de
+        // `dead` (acotado a `batchSize`) llega en `entries`; se nombra igual.
+        if (only !== undefined) {
+            const listed = new Set(report.dead.map((item) => String(item.id)));
+            for (const entry of report.entries) {
+                if (entry.status !== 'dead' || listed.has(String(entry.id)))
+                    continue;
+                this.logger.error(`APARCADO tras agotar los intentos: ${linea(entry)}${entry.reason ? ` — ${entry.reason}` : ''}`);
+                this.exitCode = 1;
+            }
+        }
+        // Cierre-2 · C2: `missing` (no está en la cola) ≠ `notEvaluated` (PENDIENTE y
+        // la pasada no llegó: alcanzó --limit). Hasta el cierre-2 los dos salían como
+        // «no estaba ni pendiente ni aparcado … o no existe», con exit 0.
+        const notEvaluated = only === undefined ? [] : (report.notEvaluated ?? []);
+        const limite = this.limit === undefined ? 'el --limit por defecto' : `--limit=${this.limit}`;
+        const rama = report.dryRun ? '--dry-run' : 'pasada que aplica';
+        const notEvaluatedLines = () => {
+            if (notEvaluated.length === 0)
+                return;
+            for (const id of notEvaluated) {
+                this.logger.error(`#${id} está PENDIENTE y esta pasada NO lo evaluó (${rama}): alcanzó ${limite} antes de llegar a él. ` +
+                    (report.dryRun ? 'No se sabe si se aplicaría.' : 'No se ha aplicado: el cambio no ha aterrizado.'));
+            }
+            this.logger.error(`${notEvaluated.length} de los ids pedidos NO se evaluaron por el límite de la pasada ` +
+                `(${notEvaluated.map((id) => `#${id}`).join(', ')}): repite con un --limit mayor (o sin él).`);
+            this.exitCode = 1;
+        };
         if (report.dead.length > 0) {
             this.logger.warning('Una entrada aparcada NO se va a aplicar sola: el árbol del backend está divergente en ese nodo. ' +
                 'Revísala en la cola (el consumidor puede volver a notificar el cambio) o reconcilia.');
@@ -81,28 +215,61 @@ export default class AuthzScopesRelay extends BaseCommand {
         if (report.dryRun) {
             for (const item of report.wouldApply)
                 this.logger.log(`pendiente: ${linea(item)}`);
+            // Cierre del auditor de alpha.10 · R3 (gemelo de S6 en --dry-run): con
+            // `--only` la pregunta es «¿qué fue de LO PEDIDO?» también aquí. Hasta el
+            // cierre esta rama retornaba antes del bloque S6 y `--dry-run --only=999`
+            // (errata) decía «La outbox del árbol está vacía» en verde sin nombrar el id.
+            // Misma letra por id que la pasada que aplica; el resumen dice su rama.
+            if (only !== undefined) {
+                for (const id of report.missing) {
+                    this.logger.warning(`#${id} no estaba ni pendiente ni aparcado: ya lo aplicó otra pasada, o no existe.`);
+                }
+                notEvaluatedLines();
+            }
             if (report.wouldApply.length === 0) {
                 if (report.dead.length > 0)
                     this.exitCode = 1;
-                else
+                if (only !== undefined) {
+                    if (report.missing.length > 0 && notEvaluated.length === 0) {
+                        this.logger.warning(`--dry-run: ninguno de los ids pedidos está pendiente (${report.missing.map((id) => `#${id}`).join(', ')}: ` +
+                            'ni pendientes ni aparcados). No hay nada de LO PEDIDO que propagar; si no los aplicó otra pasada, revisa los ids.');
+                    }
+                    return;
+                }
+                if (report.dead.length === 0)
                     this.logger.success('La outbox del árbol está vacía: nada que propagar.');
                 return;
             }
             this.logger.warning(`${report.wouldApply.length} cambio(s) del árbol sin propagar. No se ha aplicado nada: repite sin --dry-run. ` +
                 `Mientras tanto el backend decide con el árbol VIEJO.`);
+            // alpha.10 · S5: lo APARCADO es exit ≠ 0 «mientras exista» (README), haya
+            // o no pendientes. Hasta alpha.9 un cron con --dry-run perdía la
+            // divergencia permanente justo cuando además había tráfico.
+            if (report.dead.length > 0)
+                this.exitCode = 1;
             return;
         }
-        // Qué se aplicó, uno a uno: la pasada no es atómica y un contador no
-        // permite retomar nada.
-        for (const item of report.applied)
-            this.logger.log(`aplicado: ${linea(item)}`);
-        for (const item of report.deferred) {
-            this.logger.warning(`aplazado: ${linea(item)}${item.error ? ` — ${item.error}` : ''}`);
+        // Qué fue de cada entrada, una a una (`entries`): la pasada no es atómica
+        // y un contador no permite retomar nada. Lo aparcado ya se dijo arriba.
+        for (const entry of report.entries) {
+            if (entry.status === 'applied')
+                this.logger.log(`aplicado: ${linea(entry)}`);
+            if (entry.status === 'deferred') {
+                const motivo = entry.reason?.startsWith('parked:')
+                    ? `aplazado por APARCADO (${entry.reason}): no se aplica hasta que alguien mire esa entrada`
+                    : `aplazado (${entry.reason ?? 'depende de una entrada anterior sin aplicar'}): corre el relay completo`;
+                this.logger.warning(`${motivo}: ${linea(entry)}`);
+            }
+        }
+        for (const id of report.missing) {
+            this.logger.warning(`#${id} no estaba ni pendiente ni aparcado: ya lo aplicó otra pasada, o no existe.`);
         }
+        notEvaluatedLines();
         if (report.failures.length > 0) {
             for (const item of report.failures) {
                 this.logger.error(`falló #${item.id} (${item.change.op} ` +
-                    `${item.change.child.type}:${item.change.child.uuid ?? ''}): ${item.error}`);
+                    `${item.change.child.type}:${item.change.child.uuid ?? ''}): ${item.error}` +
+                    (item.transient ? ' — el backend no respondió: este fallo NO consume intento' : ''));
             }
             this.logger.warning('Lo que DEPENDE de un cambio fallido no se adelanta (el orden del árbol importa: aparece como «aplazado»), ' +
                 'pero el resto de la cola sí avanza. Arregla la causa y vuelve a ejecutar; retoma donde lo dejó. ' +
@@ -112,6 +279,25 @@ export default class AuthzScopesRelay extends BaseCommand {
         }
         if (report.dead.length > 0)
             this.exitCode = 1;
+        // alpha.10 · S6: con `--only` la pregunta es «¿aterrizó LO QUE PEDÍ?», no
+        // «¿está vacía la cola?». Hasta alpha.9 un id aplazado (o una errata)
+        // imprimía «La outbox del árbol está vacía» en verde: el script de alta de
+        // tenant daba por relevado un cambio que no había aterrizado.
+        if (only !== undefined) {
+            const deferred = report.entries.filter((entry) => entry.status === 'deferred');
+            if (deferred.length > 0) {
+                this.logger.error(`${deferred.length} de los ids pedidos NO se ha aplicado (aplazado, arriba el motivo): ` +
+                    `${deferred.map((entry) => `#${entry.id}`).join(', ')}. El cambio no ha aterrizado en el backend.`);
+                this.exitCode = 1;
+            }
+            if (report.applied.length === 0) {
+                if (deferred.length === 0 && notEvaluated.length === 0 && report.missing.length > 0) {
+                    this.logger.warning(`Ninguno de los ids pedidos se ha aplicado en esta pasada (${report.missing.map((id) => `#${id}`).join(', ')}: ` +
+                        'ni pendientes ni aparcados). Si no los aplicó otra pasada, revisa los ids.');
+                }
+                return;
+            }
+        }
         if (report.applied.length === 0) {
             if (report.dead.length === 0)
                 this.logger.success('La outbox del árbol está vacía: nada que propagar.');
@@ -125,7 +311,6 @@ export default class AuthzScopesRelay extends BaseCommand {
 }
 __decorate([
     flags.boolean({
-        name: 'dry-run',
         description: 'List the pending tree changes without applying any of them',
     }),
     __metadata("design:type", Object)
@@ -135,7 +320,25 @@ __decorate([
     __metadata("design:type", Object)
 ], AuthzScopesRelay.prototype, "limit", void 0);
 __decorate([
-    flags.number({ name: 'batch-size', description: 'How many pending changes to read per round trip' }),
+    flags.number({ description: 'How many pending changes to read per round trip' }),
     __metadata("design:type", Object)
 ], AuthzScopesRelay.prototype, "batchSize", void 0);
+__decorate([
+    flags.array({
+        description: 'Apply ONLY these outbox ids (the receipt of scopes.*), comma-separated or repeated; dependencies are deferred, never skipped',
+    }),
+    __metadata("design:type", Object)
+], AuthzScopesRelay.prototype, "only", void 0);
+__decorate([
+    flags.number({
+        description: 'Wait up to this many ms for the relay lease instead of reporting busy at once (default 0; needs a pool >= 2)',
+    }),
+    __metadata("design:type", Object)
+], AuthzScopesRelay.prototype, "waitLeaseMs", void 0);
+__decorate([
+    flags.number({
+        description: 'Exit ≠ 0 if the oldest pending entry of the whole queue is older than this many ms (without it the age is only reported)',
+    }),
+    __metadata("design:type", Object)
+], AuthzScopesRelay.prototype, "maxAge", void 0);
 //# sourceMappingURL=authz_scopes_relay.js.map

package/build/commands/authz_scopes_relay.js.map

@@ -1 +1 @@
-{"version":3,"file":"authz_scopes_relay.js","sourceRoot":"","sources":["../../commands/authz_scopes_relay.ts"],"names":[],"mappings":";;;;;;;;;AAAA,OAAO,EAAE,WAAW,EAAE,KAAK,EAAE,MAAM,oBAAoB,CAAA;AAGvD;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;GAkCG;AACH,MAAM,CAAC,OAAO,OAAO,gBAAiB,SAAQ,WAAW;IACvD,MAAM,CAAC,WAAW,GAAG,oBAAoB,CAAA;IACzC,MAAM,CAAC,WAAW,GAAG,8EAA8E,CAAA;IAEnG,MAAM,CAAC,OAAO,GAAmB;QAC/B,QAAQ,EAAE,IAAI;KACf,CAAA;IAcD,KAAK,CAAC,GAAG;QACP,MAAM,EAAE,OAAO,EAAE,aAAa,EAAE,GAAG,MAAM,MAAM,CAAC,qBAAqB,CAAC,CAAA;QACtE,MAAM,MAAM,GAAG,MAAM,aAAa,CAAC,iBAAiB,CAAC;YACnD,MAAM,EAAE,IAAI,CAAC,MAAM,KAAK,IAAI;YAC5B,KAAK,EAAE,IAAI,CAAC,KAAK;YACjB,SAAS,EAAE,IAAI,CAAC,SAAS;SAC1B,CAAC,CAAA;QAEF,MAAM,KAAK,GAAG,CAAC,IAA6D,EAAE,EAAE;YAC9E,MAAM,EAAE,MAAM,EAAE,GAAG,IAAI,CAAA;YACvB,MAAM,KAAK,GAAG,CAAC,CAAM,EAAE,EAAE,CAAC,GAAG,CAAC,CAAC,IAAI,IAAI,CAAC,CAAC,IAAI,IAAI,EAAE,EAAE,CAAA;YACrD,MAAM,OAAO,GAAG,MAAM,CAAC,EAAE,KAAK,UAAU,CAAC,CAAC,CAAC,EAAE,CAAC,CAAC,CAAC,MAAM,KAAK,CAAC,MAAM,CAAC,MAAM,CAAC,EAAE,CAAA;YAC5E,MAAM,QAAQ,GAAG,IAAI,CAAC,QAAQ,CAAC,CAAC,CAAC,uBAAuB,IAAI,CAAC,QAAQ,GAAG,CAAC,CAAC,CAAC,EAAE,CAAA;YAC7E,OAAO,IAAI,IAAI,CAAC,EAAE,IAAI,MAAM,CAAC,EAAE,IAAI,KAAK,CAAC,MAAM,CAAC,KAAK,CAAC,GAAG,OAAO,GAAG,QAAQ,EAAE,CAAA;QAC/E,CAAC,CAAA;QAED,gEAAgE;QAChE,wEAAwE;QACxE,KAAK,MAAM,IAAI,IAAI,MAAM,CAAC,IAAI,EAAE,CAAC;YAC/B,IAAI,CAAC,MAAM,CAAC,KAAK,CAAC,sCAAsC,KAAK,CAAC,IAAI,CAAC,GAAG,IAAI,CAAC,KAAK,CAAC,CAAC,CAAC,MAAM,IAAI,CAAC,KAAK,EAAE,CAAC,CAAC,CAAC,EAAE,EAAE,CAAC,CAAA;QAC/G,CAAC;QACD,IAAI,MAAM,CAAC,IAAI,CAAC,MAAM,GAAG,CAAC,EAAE,CAAC;YAC3B,IAAI,CAAC,MAAM,CAAC,OAAO,CACjB,kGAAkG;gBAChG,sFAAsF,CACzF,CAAA;QACH,CAAC;QAED,IAAI,MAAM,CAAC,IAAI,EAAE,CAAC;YAChB,IAAI,CAAC,MAAM,CAAC,IAAI,CAAC,yGAAyG,CAAC,CAAA;YAC3H,IAAI,MAAM,CAAC,IAAI,CAAC,MAAM,GAAG,CAAC;gBAAE,IAAI,CAAC,QAAQ,GAAG,CAAC,CAAA;YAC7C,OAAM;QACR,CAAC;QAED,IAAI,MAAM,CAAC,MAAM,EAAE,CAAC;YAClB,KAAK,MAAM,IAAI,IAAI,MAAM,CAAC,UAAU;gBAAE,IAAI,CAAC,MAAM,CAAC,GAAG,CAAC,cAAc,KAAK,CAAC,IAAI,CAAC,EAAE,CAAC,CAAA;YAClF,IAAI,MAAM,CAAC,UAAU,CAAC,MAAM,KAAK,CAAC,EAAE,CAAC;gBACnC,IAAI,MAAM,CAAC,IAAI,CAAC,MAAM,GAAG,CAAC;oBAAE,IAAI,CAAC,QAAQ,GAAG,CAAC,CAAA;;oBACxC,IAAI,CAAC,MAAM,CAAC,OAAO,CAAC,oDAAoD,CAAC,CAAA;gBAC9E,OAAM;YACR,CAAC;YACD,IAAI,CAAC,MAAM,CAAC,OAAO,CACjB,GAAG,MAAM,CAAC,UAAU,CAAC,MAAM,mFAAmF;gBAC5G,sDAAsD,CACzD,CAAA;YACD,OAAM;QACR,CAAC;QAED,qEAAqE;QACrE,wBAAwB;QACxB,KAAK,MAAM,IAAI,IAAI,MAAM,CAAC,OAAO;YAAE,IAAI,CAAC,MAAM,CAAC,GAAG,CAAC,aAAa,KAAK,CAAC,IAAI,CAAC,EAAE,CAAC,CAAA;QAE9E,KAAK,MAAM,IAAI,IAAI,MAAM,CAAC,QAAQ,EAAE,CAAC;YACnC,IAAI,CAAC,MAAM,CAAC,OAAO,CAAC,aAAa,KAAK,CAAC,IAAI,CAAC,GAAG,IAAI,CAAC,KAAK,CAAC,CAAC,CAAC,MAAM,IAAI,CAAC,KAAK,EAAE,CAAC,CAAC,CAAC,EAAE,EAAE,CAAC,CAAA;QACxF,CAAC;QAED,IAAI,MAAM,CAAC,QAAQ,CAAC,MAAM,GAAG,CAAC,EAAE,CAAC;YAC/B,KAAK,MAAM,IAAI,IAAI,MAAM,CAAC,QAAQ,EAAE,CAAC;gBACnC,IAAI,CAAC,MAAM,CAAC,KAAK,CACf,UAAU,IAAI,CAAC,EAAE,KAAK,IAAI,CAAC,MAAM,CAAC,EAAE,GAAG;oBACrC,GAAG,IAAI,CAAC,MAAM,CAAC,KAAK,CAAC,IAAI,IAAI,IAAI,CAAC,MAAM,CAAC,KAAK,CAAC,IAAI,IAAI,EAAE,MAAM,IAAI,CAAC,KAAK,EAAE,CAC9E,CAAA;YACH,CAAC;YACD,IAAI,CAAC,MAAM,CAAC,OAAO,CACjB,4GAA4G;gBAC1G,kGAAkG;gBAClG,8FAA8F,CACjG,CAAA;YACD,IAAI,CAAC,QAAQ,GAAG,CAAC,CAAA;YACjB,OAAM;QACR,CAAC;QAED,IAAI,MAAM,CAAC,IAAI,CAAC,MAAM,GAAG,CAAC;YAAE,IAAI,CAAC,QAAQ,GAAG,CAAC,CAAA;QAC7C,IAAI,MAAM,CAAC,OAAO,CAAC,MAAM,KAAK,CAAC,EAAE,CAAC;YAChC,IAAI,MAAM,CAAC,IAAI,CAAC,MAAM,KAAK,CAAC;gBAAE,IAAI,CAAC,MAAM,CAAC,OAAO,CAAC,oDAAoD,CAAC,CAAA;YACvG,OAAM;QACR,CAAC;QACD,IAAI,CAAC,MAAM,CAAC,OAAO,CAAC,GAAG,MAAM,CAAC,OAAO,CAAC,MAAM,8CAA8C,CAAC,CAAA;QAC3F,IAAI,MAAM,CAAC,SAAS,EAAE,CAAC;YACrB,IAAI,CAAC,MAAM,CAAC,OAAO,CAAC,mGAAmG,CAAC,CAAA;QAC1H,CAAC;IACH,CAAC;;AAzFO;IAJP,KAAK,CAAC,OAAO,CAAC;QACb,IAAI,EAAE,SAAS;QACf,WAAW,EAAE,4DAA4D;KAC1E,CAAC;;gDACiC;AAG3B;IADP,KAAK,CAAC,MAAM,CAAC,EAAE,WAAW,EAAE,gEAAgE,EAAE,CAAC;;+CAC/D;AAGzB;IADP,KAAK,CAAC,MAAM,CAAC,EAAE,IAAI,EAAE,YAAY,EAAE,WAAW,EAAE,iDAAiD,EAAE,CAAC;;mDAChE"}
+{"version":3,"file":"authz_scopes_relay.js","sourceRoot":"","sources":["../../commands/authz_scopes_relay.ts"],"names":[],"mappings":";;;;;;;;;AAAA,OAAO,EAAE,WAAW,EAAE,KAAK,EAAE,MAAM,oBAAoB,CAAA;AAIvD;;;;;;;;;;;;;GAaG;AACH,MAAM,UAAU,aAAa,CAC3B,KAAsB,EACtB,QAA4B,EAC5B,YAAqB,KAAK;IAE1B,IAAI,QAAQ,KAAK,SAAS,IAAI,CAAC,CAAC,MAAM,CAAC,SAAS,CAAC,QAAQ,CAAC,IAAI,QAAQ,IAAI,CAAC,CAAC,EAAE,CAAC;QAC7E,MAAM,IAAI,SAAS,CAAC,gFAAgF,MAAM,CAAC,QAAQ,CAAC,GAAG,CAAC,CAAA;IAC1H,CAAC;IACD,IAAI,KAAK,CAAC,YAAY,KAAK,IAAI,IAAI,KAAK,CAAC,eAAe,KAAK,IAAI,EAAE,CAAC;QAClE,2EAA2E;QAC3E,6EAA6E;QAC7E,yEAAyE;QACzE,yBAAyB;QACzB,IAAI,CAAC,SAAS;YAAE,OAAO,EAAE,KAAK,EAAE,EAAE,EAAE,QAAQ,EAAE,KAAK,EAAE,CAAA;QACrD,MAAM,OAAO,GACX,8GAA8G;YAC9G,mEAAmE,CAAA;QACrE,OAAO,QAAQ,KAAK,SAAS;YAC3B,CAAC,CAAC,EAAE,KAAK,EAAE,CAAC,EAAE,KAAK,EAAE,SAAS,EAAE,OAAO,EAAE,CAAC,EAAE,QAAQ,EAAE,KAAK,EAAE;YAC7D,CAAC,CAAC,EAAE,KAAK,EAAE,CAAC,EAAE,KAAK,EAAE,OAAO,EAAE,OAAO,EAAE,CAAC,EAAE,QAAQ,EAAE,IAAI,EAAE,CAAA;IAC9D,CAAC;IACD,MAAM,KAAK,GAAG,KAAK,CAAC,eAAe,CAAC,WAAW,EAAE,CAAA;IACjD,IAAI,QAAQ,KAAK,SAAS,IAAI,KAAK,CAAC,YAAY,GAAG,QAAQ,EAAE,CAAC;QAC5D,OAAO;YACL,QAAQ,EAAE,IAAI;YACd,KAAK,EAAE;gBACL;oBACE,KAAK,EAAE,OAAO;oBACd,OAAO,EACL,qDAAqD,KAAK,CAAC,YAAY,4BAA4B,KAAK,KAAK;wBAC7G,2BAA2B,QAAQ,iFAAiF;wBACpH,4DAA4D;iBAC/D;aACF;SACF,CAAA;IACH,CAAC;IACD,OAAO;QACL,QAAQ,EAAE,KAAK;QACf,KAAK,EAAE,CAAC,EAAE,KAAK,EAAE,MAAM,EAAE,OAAO,EAAE,sCAAsC,KAAK,KAAK,KAAK,CAAC,YAAY,4CAA4C,EAAE,CAAC;KACpJ,CAAA;AACH,CAAC;AAED;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;GAyDG;AACH,MAAM,CAAC,OAAO,OAAO,gBAAiB,SAAQ,WAAW;IACvD,MAAM,CAAC,WAAW,GAAG,oBAAoB,CAAA;IACzC,MAAM,CAAC,WAAW,GAAG,8EAA8E,CAAA;IAEnG,MAAM,CAAC,OAAO,GAAmB;QAC/B,QAAQ,EAAE,IAAI;KACf,CAAA;IA4BD,+FAA+F;IAC/F,MAAM,CAAC,SAAS,CAAC,MAA4B;QAC3C,IAAI,MAAM,KAAK,SAAS;YAAE,OAAO,SAAS,CAAA;QAC1C,OAAO,MAAM;aACV,OAAO,CAAC,CAAC,KAAK,EAAE,EAAE,CAAC,MAAM,CAAC,KAAK,CAAC,CAAC,KAAK,CAAC,GAAG,CAAC,CAAC;aAC5C,GAAG,CAAC,CAAC,KAAK,EAAE,EAAE,CAAC,KAAK,CAAC,IAAI,EAAE,CAAC;aAC5B,MAAM,CAAC,CAAC,KAAK,EAAE,EAAE,CAAC,KAAK,CAAC,MAAM,GAAG,CAAC,CAAC;aACnC,GAAG,CAAC,CAAC,KAAK,EAAE,EAAE,CAAC,CAAC,OAAO,CAAC,IAAI,CAAC,KAAK,CAAC,CAAC,CAAC,CAAC,MAAM,CAAC,KAAK,CAAC,CAAC,CAAC,CAAC,KAAK,CAAC,CAAC,CAAA;IAClE,CAAC;IAED,KAAK,CAAC,GAAG;QACP,MAAM,EAAE,OAAO,EAAE,aAAa,EAAE,GAAG,MAAM,MAAM,CAAC,qBAAqB,CAAC,CAAA;QACtE,MAAM,IAAI,GAAG,gBAAgB,CAAC,SAAS,CAAC,IAAI,CAAC,IAAI,CAAC,CAAA;QAClD,IAAI,IAAI,KAAK,SAAS,IAAI,IAAI,CAAC,MAAM,KAAK,CAAC,EAAE,CAAC;YAC5C,IAAI,CAAC,MAAM,CAAC,KAAK,CAAC,kGAAkG,CAAC,CAAA;YACrH,IAAI,CAAC,QAAQ,GAAG,CAAC,CAAA;YACjB,OAAM;QACR,CAAC;QACD,2EAA2E;QAC3E,wEAAwE;QACxE,mEAAmE;QACnE,0CAA0C;QAC1C,IAAI,IAAI,CAAC,MAAM,KAAK,SAAS,IAAI,CAAC,CAAC,MAAM,CAAC,SAAS,CAAC,IAAI,CAAC,MAAM,CAAC,IAAI,IAAI,CAAC,MAAM,IAAI,CAAC,CAAC,EAAE,CAAC;YACtF,IAAI,CAAC,MAAM,CAAC,KAAK,CACf,4DAA4D,MAAM,CAAC,IAAI,CAAC,MAAM,CAAC,4BAA4B,CAC5G,CAAA;YACD,IAAI,CAAC,QAAQ,GAAG,CAAC,CAAA;YACjB,OAAM;QACR,CAAC;QACD,MAAM,MAAM,GAAG,MAAM,aAAa,CAAC,iBAAiB,CAAC;YACnD,MAAM,EAAE,IAAI,CAAC,MAAM,KAAK,IAAI;YAC5B,KAAK,EAAE,IAAI,CAAC,KAAK;YACjB,SAAS,EAAE,IAAI,CAAC,SAAS;YACzB,IAAI;YACJ,GAAG,CAAC,IAAI,CAAC,WAAW,KAAK,SAAS,CAAC,CAAC,CAAC,EAAE,CAAC,CAAC,CAAC,EAAE,cAAc,EAAE,IAAI,CAAC,WAAW,EAAE,CAAC;SAChF,CAAC,CAAA;QAEF,2EAA2E;QAC3E,MAAM,GAAG,GAAG,aAAa,CAAC,MAAM,CAAC,KAAK,EAAE,IAAI,CAAC,MAAM,EAAE,MAAM,CAAC,SAAS,CAAC,CAAA;QACtE,KAAK,MAAM,IAAI,IAAI,GAAG,CAAC,KAAK;YAAE,IAAI,CAAC,MAAM,CAAC,IAAI,CAAC,KAAK,CAAC,CAAC,IAAI,CAAC,OAAO,CAAC,CAAA;QACnE,IAAI,GAAG,CAAC,QAAQ;YAAE,IAAI,CAAC,QAAQ,GAAG,CAAC,CAAA;QAEnC,MAAM,KAAK,GAAG,CAAC,IAA6D,EAAE,EAAE;YAC9E,MAAM,EAAE,MAAM,EAAE,GAAG,IAAI,CAAA;YACvB,MAAM,KAAK,GAAG,CAAC,CAAM,EAAE,EAAE,CAAC,GAAG,CAAC,CAAC,IAAI,IAAI,CAAC,CAAC,IAAI,IAAI,EAAE,EAAE,CAAA;YACrD,MAAM,OAAO,GAAG,MAAM,CAAC,EAAE,KAAK,UAAU,CAAC,CAAC,CAAC,EAAE,CAAC,CAAC,CAAC,MAAM,KAAK,CAAC,MAAM,CAAC,MAAM,CAAC,EAAE,CAAA;YAC5E,MAAM,QAAQ,GAAG,IAAI,CAAC,QAAQ,CAAC,CAAC,CAAC,uBAAuB,IAAI,CAAC,QAAQ,GAAG,CAAC,CAAC,CAAC,EAAE,CAAA;YAC7E,OAAO,IAAI,IAAI,CAAC,EAAE,IAAI,MAAM,CAAC,EAAE,IAAI,KAAK,CAAC,MAAM,CAAC,KAAK,CAAC,GAAG,OAAO,GAAG,QAAQ,EAAE,CAAA;QAC/E,CAAC,CAAA;QAED,gEAAgE;QAChE,wEAAwE;QACxE,KAAK,MAAM,IAAI,IAAI,MAAM,CAAC,IAAI,EAAE,CAAC;YAC/B,IAAI,CAAC,MAAM,CAAC,KAAK,CAAC,sCAAsC,KAAK,CAAC,IAAI,CAAC,GAAG,IAAI,CAAC,KAAK,CAAC,CAAC,CAAC,MAAM,IAAI,CAAC,KAAK,EAAE,CAAC,CAAC,CAAC,EAAE,EAAE,CAAC,CAAA;QAC/G,CAAC;QACD,4EAA4E;QAC5E,sEAAsE;QACtE,IAAI,IAAI,KAAK,SAAS,EAAE,CAAC;YACvB,MAAM,MAAM,GAAG,IAAI,GAAG,CAAC,MAAM,CAAC,IAAI,CAAC,GAAG,CAAC,CAAC,IAAI,EAAE,EAAE,CAAC,MAAM,CAAC,IAAI,CAAC,EAAE,CAAC,CAAC,CAAC,CAAA;YAClE,KAAK,MAAM,KAAK,IAAI,MAAM,CAAC,OAAO,EAAE,CAAC;gBACnC,IAAI,KAAK,CAAC,MAAM,KAAK,MAAM,IAAI,MAAM,CAAC,GAAG,CAAC,MAAM,CAAC,KAAK,CAAC,EAAE,CAAC,CAAC;oBAAE,SAAQ;gBACrE,IAAI,CAAC,MAAM,CAAC,KAAK,CAAC,sCAAsC,KAAK,CAAC,KAAK,CAAC,GAAG,KAAK,CAAC,MAAM,CAAC,CAAC,CAAC,MAAM,KAAK,CAAC,MAAM,EAAE,CAAC,CAAC,CAAC,EAAE,EAAE,CAAC,CAAA;gBAClH,IAAI,CAAC,QAAQ,GAAG,CAAC,CAAA;YACnB,CAAC;QACH,CAAC;QACD,8EAA8E;QAC9E,8EAA8E;QAC9E,kEAAkE;QAClE,MAAM,YAAY,GAAG,IAAI,KAAK,SAAS,CAAC,CAAC,CAAC,EAAE,CAAC,CAAC,CAAC,CAAC,MAAM,CAAC,YAAY,IAAI,EAAE,CAAC,CAAA;QAC1E,MAAM,MAAM,GAAG,IAAI,CAAC,KAAK,KAAK,SAAS,CAAC,CAAC,CAAC,wBAAwB,CAAC,CAAC,CAAC,WAAW,IAAI,CAAC,KAAK,EAAE,CAAA;QAC5F,MAAM,IAAI,GAAG,MAAM,CAAC,MAAM,CAAC,CAAC,CAAC,WAAW,CAAC,CAAC,CAAC,mBAAmB,CAAA;QAC9D,MAAM,iBAAiB,GAAG,GAAG,EAAE;YAC7B,IAAI,YAAY,CAAC,MAAM,KAAK,CAAC;gBAAE,OAAM;YACrC,KAAK,MAAM,EAAE,IAAI,YAAY,EAAE,CAAC;gBAC9B,IAAI,CAAC,MAAM,CAAC,KAAK,CACf,IAAI,EAAE,+CAA+C,IAAI,cAAc,MAAM,yBAAyB;oBACpG,CAAC,MAAM,CAAC,MAAM,CAAC,CAAC,CAAC,6BAA6B,CAAC,CAAC,CAAC,gDAAgD,CAAC,CACrG,CAAA;YACH,CAAC;YACD,IAAI,CAAC,MAAM,CAAC,KAAK,CACf,GAAG,YAAY,CAAC,MAAM,iEAAiE;gBACrF,IAAI,YAAY,CAAC,GAAG,CAAC,CAAC,EAAE,EAAE,EAAE,CAAC,IAAI,EAAE,EAAE,CAAC,CAAC,IAAI,CAAC,IAAI,CAAC,4CAA4C,CAChG,CAAA;YACD,IAAI,CAAC,QAAQ,GAAG,CAAC,CAAA;QACnB,CAAC,CAAA;QACD,IAAI,MAAM,CAAC,IAAI,CAAC,MAAM,GAAG,CAAC,EAAE,CAAC;YAC3B,IAAI,CAAC,MAAM,CAAC,OAAO,CACjB,kGAAkG;gBAChG,sFAAsF,CACzF,CAAA;QACH,CAAC;QAED,IAAI,MAAM,CAAC,IAAI,EAAE,CAAC;YAChB,IAAI,CAAC,MAAM,CAAC,IAAI,CAAC,yGAAyG,CAAC,CAAA;YAC3H,IAAI,MAAM,CAAC,IAAI,CAAC,MAAM,GAAG,CAAC;gBAAE,IAAI,CAAC,QAAQ,GAAG,CAAC,CAAA;YAC7C,OAAM;QACR,CAAC;QAED,IAAI,MAAM,CAAC,MAAM,EAAE,CAAC;YAClB,KAAK,MAAM,IAAI,IAAI,MAAM,CAAC,UAAU;gBAAE,IAAI,CAAC,MAAM,CAAC,GAAG,CAAC,cAAc,KAAK,CAAC,IAAI,CAAC,EAAE,CAAC,CAAA;YAClF,uEAAuE;YACvE,0EAA0E;YAC1E,0EAA0E;YAC1E,8EAA8E;YAC9E,wEAAwE;YACxE,IAAI,IAAI,KAAK,SAAS,EAAE,CAAC;gBACvB,KAAK,MAAM,EAAE,IAAI,MAAM,CAAC,OAAO,EAAE,CAAC;oBAChC,IAAI,CAAC,MAAM,CAAC,OAAO,CAAC,IAAI,EAAE,6EAA6E,CAAC,CAAA;gBAC1G,CAAC;gBACD,iBAAiB,EAAE,CAAA;YACrB,CAAC;YACD,IAAI,MAAM,CAAC,UAAU,CAAC,MAAM,KAAK,CAAC,EAAE,CAAC;gBACnC,IAAI,MAAM,CAAC,IAAI,CAAC,MAAM,GAAG,CAAC;oBAAE,IAAI,CAAC,QAAQ,GAAG,CAAC,CAAA;gBAC7C,IAAI,IAAI,KAAK,SAAS,EAAE,CAAC;oBACvB,IAAI,MAAM,CAAC,OAAO,CAAC,MAAM,GAAG,CAAC,IAAI,YAAY,CAAC,MAAM,KAAK,CAAC,EAAE,CAAC;wBAC3D,IAAI,CAAC,MAAM,CAAC,OAAO,CACjB,yDAAyD,MAAM,CAAC,OAAO,CAAC,GAAG,CAAC,CAAC,EAAE,EAAE,EAAE,CAAC,IAAI,EAAE,EAAE,CAAC,CAAC,IAAI,CAAC,IAAI,CAAC,IAAI;4BAC1G,mHAAmH,CACtH,CAAA;oBACH,CAAC;oBACD,OAAM;gBACR,CAAC;gBACD,IAAI,MAAM,CAAC,IAAI,CAAC,MAAM,KAAK,CAAC;oBAAE,IAAI,CAAC,MAAM,CAAC,OAAO,CAAC,oDAAoD,CAAC,CAAA;gBACvG,OAAM;YACR,CAAC;YACD,IAAI,CAAC,MAAM,CAAC,OAAO,CACjB,GAAG,MAAM,CAAC,UAAU,CAAC,MAAM,mFAAmF;gBAC5G,sDAAsD,CACzD,CAAA;YACD,0EAA0E;YAC1E,iEAAiE;YACjE,4DAA4D;YAC5D,IAAI,MAAM,CAAC,IAAI,CAAC,MAAM,GAAG,CAAC;gBAAE,IAAI,CAAC,QAAQ,GAAG,CAAC,CAAA;YAC7C,OAAM;QACR,CAAC;QAED,0EAA0E;QAC1E,wEAAwE;QACxE,KAAK,MAAM,KAAK,IAAI,MAAM,CAAC,OAAO,EAAE,CAAC;YACnC,IAAI,KAAK,CAAC,MAAM,KAAK,SAAS;gBAAE,IAAI,CAAC,MAAM,CAAC,GAAG,CAAC,aAAa,KAAK,CAAC,KAAK,CAAC,EAAE,CAAC,CAAA;YAC5E,IAAI,KAAK,CAAC,MAAM,KAAK,UAAU,EAAE,CAAC;gBAChC,MAAM,MAAM,GAAG,KAAK,CAAC,MAAM,EAAE,UAAU,CAAC,SAAS,CAAC;oBAChD,CAAC,CAAC,0BAA0B,KAAK,CAAC,MAAM,oDAAoD;oBAC5F,CAAC,CAAC,aAAa,KAAK,CAAC,MAAM,IAAI,6CAA6C,4BAA4B,CAAA;gBAC1G,IAAI,CAAC,MAAM,CAAC,OAAO,CAAC,GAAG,MAAM,KAAK,KAAK,CAAC,KAAK,CAAC,EAAE,CAAC,CAAA;YACnD,CAAC;QACH,CAAC;QACD,KAAK,MAAM,EAAE,IAAI,MAAM,CAAC,OAAO,EAAE,CAAC;YAChC,IAAI,CAAC,MAAM,CAAC,OAAO,CAAC,IAAI,EAAE,6EAA6E,CAAC,CAAA;QAC1G,CAAC;QACD,iBAAiB,EAAE,CAAA;QAEnB,IAAI,MAAM,CAAC,QAAQ,CAAC,MAAM,GAAG,CAAC,EAAE,CAAC;YAC/B,KAAK,MAAM,IAAI,IAAI,MAAM,CAAC,QAAQ,EAAE,CAAC;gBACnC,IAAI,CAAC,MAAM,CAAC,KAAK,CACf,UAAU,IAAI,CAAC,EAAE,KAAK,IAAI,CAAC,MAAM,CAAC,EAAE,GAAG;oBACrC,GAAG,IAAI,CAAC,MAAM,CAAC,KAAK,CAAC,IAAI,IAAI,IAAI,CAAC,MAAM,CAAC,KAAK,CAAC,IAAI,IAAI,EAAE,MAAM,IAAI,CAAC,KAAK,EAAE;oBAC3E,CAAC,IAAI,CAAC,SAAS,CAAC,CAAC,CAAC,2DAA2D,CAAC,CAAC,CAAC,EAAE,CAAC,CACtF,CAAA;YACH,CAAC;YACD,IAAI,CAAC,MAAM,CAAC,OAAO,CACjB,4GAA4G;gBAC1G,kGAAkG;gBAClG,8FAA8F,CACjG,CAAA;YACD,IAAI,CAAC,QAAQ,GAAG,CAAC,CAAA;YACjB,OAAM;QACR,CAAC;QAED,IAAI,MAAM,CAAC,IAAI,CAAC,MAAM,GAAG,CAAC;YAAE,IAAI,CAAC,QAAQ,GAAG,CAAC,CAAA;QAC7C,0EAA0E;QAC1E,sEAAsE;QACtE,2EAA2E;QAC3E,8DAA8D;QAC9D,IAAI,IAAI,KAAK,SAAS,EAAE,CAAC;YACvB,MAAM,QAAQ,GAAG,MAAM,CAAC,OAAO,CAAC,MAAM,CAAC,CAAC,KAAK,EAAE,EAAE,CAAC,KAAK,CAAC,MAAM,KAAK,UAAU,CAAC,CAAA;YAC9E,IAAI,QAAQ,CAAC,MAAM,GAAG,CAAC,EAAE,CAAC;gBACxB,IAAI,CAAC,MAAM,CAAC,KAAK,CACf,GAAG,QAAQ,CAAC,MAAM,sEAAsE;oBACtF,GAAG,QAAQ,CAAC,GAAG,CAAC,CAAC,KAAK,EAAE,EAAE,CAAC,IAAI,KAAK,CAAC,EAAE,EAAE,CAAC,CAAC,IAAI,CAAC,IAAI,CAAC,6CAA6C,CACrG,CAAA;gBACD,IAAI,CAAC,QAAQ,GAAG,CAAC,CAAA;YACnB,CAAC;YACD,IAAI,MAAM,CAAC,OAAO,CAAC,MAAM,KAAK,CAAC,EAAE,CAAC;gBAChC,IAAI,QAAQ,CAAC,MAAM,KAAK,CAAC,IAAI,YAAY,CAAC,MAAM,KAAK,CAAC,IAAI,MAAM,CAAC,OAAO,CAAC,MAAM,GAAG,CAAC,EAAE,CAAC;oBACpF,IAAI,CAAC,MAAM,CAAC,OAAO,CACjB,6DAA6D,MAAM,CAAC,OAAO,CAAC,GAAG,CAAC,CAAC,EAAE,EAAE,EAAE,CAAC,IAAI,EAAE,EAAE,CAAC,CAAC,IAAI,CAAC,IAAI,CAAC,IAAI;wBAC9G,4EAA4E,CAC/E,CAAA;gBACH,CAAC;gBACD,OAAM;YACR,CAAC;QACH,CAAC;QACD,IAAI,MAAM,CAAC,OAAO,CAAC,MAAM,KAAK,CAAC,EAAE,CAAC;YAChC,IAAI,MAAM,CAAC,IAAI,CAAC,MAAM,KAAK,CAAC;gBAAE,IAAI,CAAC,MAAM,CAAC,OAAO,CAAC,oDAAoD,CAAC,CAAA;YACvG,OAAM;QACR,CAAC;QACD,IAAI,CAAC,MAAM,CAAC,OAAO,CAAC,GAAG,MAAM,CAAC,OAAO,CAAC,MAAM,8CAA8C,CAAC,CAAA;QAC3F,IAAI,MAAM,CAAC,SAAS,EAAE,CAAC;YACrB,IAAI,CAAC,MAAM,CAAC,OAAO,CAAC,mGAAmG,CAAC,CAAA;QAC1H,CAAC;IACH,CAAC;;AAhOO;IAHP,KAAK,CAAC,OAAO,CAAC;QACb,WAAW,EAAE,4DAA4D;KAC1E,CAAC;;gDACiC;AAG3B;IADP,KAAK,CAAC,MAAM,CAAC,EAAE,WAAW,EAAE,gEAAgE,EAAE,CAAC;;+CAC/D;AAGzB;IADP,KAAK,CAAC,MAAM,CAAC,EAAE,WAAW,EAAE,iDAAiD,EAAE,CAAC;;mDAC5C;AAK7B;IAHP,KAAK,CAAC,KAAK,CAAC;QACX,WAAW,EAAE,8HAA8H;KAC5I,CAAC;;8CACgC;AAK1B;IAHP,KAAK,CAAC,MAAM,CAAC;QACZ,WAAW,EAAE,8GAA8G;KAC5H,CAAC;;qDACqC;AAK/B;IAHP,KAAK,CAAC,MAAM,CAAC;QACZ,WAAW,EAAE,0HAA0H;KACxI,CAAC;;gDACgC"}

package/build/commands/authz_scopes_requeue.d.ts

@@ -0,0 +1,80 @@
+import { BaseCommand } from '@adonisjs/core/ace';
+import { CommandOptions } from '@adonisjs/core/types/ace';
+import type { ScopeRequeueConflict, ScopeRequeueReport } from '../src/types.js';
+/**
+ * Las líneas del comando y si la ejecución es «limpia», en una función PURA
+ * (mismo patrón que `reconcileLines`/`orphanLines`): es lo único del comando
+ * que decide algo, y así tiene su caso sin montar un ace.
+ *
+ *  - `refused`: el manager se NEGÓ (500 `E_AUTHZ_REQUEUE_REFUSED`). Se imprime
+ *    el DIFF entero —cada aparcada y cada entrada APLICADA posterior que
+ *    reaplicarla revertiría— y se sale ≠ 0, con las dos salidas: `--force`
+ *    (que entra igual, con este mismo diff delante) y `authz:reconcile`.
+ *  - `report`: se reencoló. Con `forced` y `overrides`, el diff se imprime
+ *    como AVISO: forzar no es un éxito mudo.
+ *  - `report.relay` (con `--apply`, 2.4.0-alpha.8): la pasada que relevó SOLO
+ *    lo reencolado, bajo el mismo lease. `busy` ⇒ NO se reencoló nada (todo o
+ *    nada) y se sale ≠ 0 con la letra («otra pasada tiene el lease; reintenta,
+ *    o `requeue` sin `--apply`»); cada entrada dice si se aplicó, falló o quedó
+ *    aplazada, y solo es limpio si TODO lo reencolado se aplicó.
+ */
+export declare function requeueLines(input: {
+    refused?: ScopeRequeueConflict[];
+    report?: ScopeRequeueReport;
+}): {
+    lines: Array<{
+        level: 'log' | 'warning' | 'error' | 'success';
+        message: string;
+    }>;
+    clean: boolean;
+};
+/**
+ * **Devuelve entradas APARCADAS de la outbox a la cola** (2.4.0-alpha.5 · R2b;
+ * panel relay, cuestión 2).
+ *
+ *   node ace authz:scopes:requeue --id=12            # una
+ *   node ace authz:scopes:requeue --id=12,13         # varias (o --id repetido)
+ *   node ace authz:scopes:requeue --id=12 --force    # aunque revierta lo aplicado después (diff impreso)
+ *   node ace authz:scopes:requeue --id=12 --apply    # y la aplica en la MISMA llamada (2.4.0-alpha.8)
+ *   node ace authz:scopes:requeue --id=12 --apply --wait-lease-ms=5000   # esperando el lease si el cron lo tiene
+ *
+ * Una entrada aparcada (`sqlScopeOutbox({ maxAttempts })`, 5 por defecto)
+ * no se reintenta sola: el relay la reporta en cada pasada y sale ≠ 0. Cuando
+ * el operador arregla la causa —el padre que faltaba vuelve, el store se
+ * reconcilia— este comando la devuelve a `pending()` con **`attempts =
+ * maxAttempts − 1`**: entra a la primera si está arreglada y vuelve a
+ * aparcarse en UNA sola pasada si no (así un requeue automatizado de lo
+ * irreparable no es un grifo de aplazamiento para el resto del scope).
+ *
+ * **La sonda anti-reversión es del manager y no tiene excepción**: si después
+ * de la aparcada se APLICÓ otra entrada sobre la misma clave de scope,
+ * reencolarla reaplicaría el cambio viejo por encima del nuevo —un `moved`
+ * viejo tras el nuevo deja el store con el padre VIEJO y un solo padre—. El
+ * comando imprime ese diff y sale ≠ 0. **`--force` existe SOLO aquí**
+ * (decisión del dueño del 2026-09-09 (2)): imprime el diff y entra igual. Nunca
+ * en una ruta alcanzable por HTTP.
+ *
+ * **`--apply` (2.4.0-alpha.8)**: reencola Y releva SOLO esas entradas en la
+ * misma llamada, bajo UN lease (medido: sin esto la reencolada volvía con su
+ * id original y la siguiente pasada `only` del tenant salía `depends-on`; el
+ * incidente no se cerraba con un comando). Explícito, jamás por defecto: el
+ * comando pasa a ESCRIBIR en el backend. No compone con `--force` (500). Pasa
+ * la barrera del freeze. Con el lease tomado por otra pasada NO reencola nada
+ * y sale ≠ 0 (`--wait-lease-ms` espera, acotado).
+ *
+ * Es una operación de PLATAFORMA (como `authz:scopes:relay`): sin actor, sin
+ * `within`, y no se expone por HTTP.
+ */
+export default class AuthzScopesRequeue extends BaseCommand {
+    static commandName: string;
+    static description: string;
+    static options: CommandOptions;
+    id: string[] | undefined;
+    force: boolean | undefined;
+    apply: boolean | undefined;
+    waitLeaseMs: number | undefined;
+    /** `--id=12,13` o `--id=12 --id=13`: ids numéricos como número, el resto como cadena. */
+    static parseIds(values: string[] | undefined): Array<string | number> | undefined;
+    run(): Promise<void>;
+}
+//# sourceMappingURL=authz_scopes_requeue.d.ts.map

package/build/commands/authz_scopes_requeue.d.ts.map

@@ -0,0 +1 @@
+{"version":3,"file":"authz_scopes_requeue.d.ts","sourceRoot":"","sources":["../../commands/authz_scopes_requeue.ts"],"names":[],"mappings":"AAAA,OAAO,EAAE,WAAW,EAAS,MAAM,oBAAoB,CAAA;AACvD,OAAO,EAAE,cAAc,EAAE,MAAM,0BAA0B,CAAA;AACzD,OAAO,KAAK,EAA0B,oBAAoB,EAAE,kBAAkB,EAAE,MAAM,iBAAiB,CAAA;AAYvG;;;;;;;;;;;;;;;;GAgBG;AACH,wBAAgB,YAAY,CAAC,KAAK,EAAE;IAAE,OAAO,CAAC,EAAE,oBAAoB,EAAE,CAAC;IAAC,MAAM,CAAC,EAAE,kBAAkB,CAAA;CAAE,GAAG;IACtG,KAAK,EAAE,KAAK,CAAC;QAAE,KAAK,EAAE,KAAK,GAAG,SAAS,GAAG,OAAO,GAAG,SAAS,CAAC;QAAC,OAAO,EAAE,MAAM,CAAA;KAAE,CAAC,CAAA;IACjF,KAAK,EAAE,OAAO,CAAA;CACf,CAqFA;AAED;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;GAoCG;AACH,MAAM,CAAC,OAAO,OAAO,kBAAmB,SAAQ,WAAW;IACzD,MAAM,CAAC,WAAW,SAAyB;IAC3C,MAAM,CAAC,WAAW,SAAkH;IAEpI,MAAM,CAAC,OAAO,EAAE,cAAc,CAE7B;IAKO,EAAE,EAAE,MAAM,EAAE,GAAG,SAAS,CAAA;IAKxB,KAAK,EAAE,OAAO,GAAG,SAAS,CAAA;IAK1B,KAAK,EAAE,OAAO,GAAG,SAAS,CAAA;IAK1B,WAAW,EAAE,MAAM,GAAG,SAAS,CAAA;IAEvC,yFAAyF;IACzF,MAAM,CAAC,QAAQ,CAAC,MAAM,EAAE,MAAM,EAAE,GAAG,SAAS,GAAG,KAAK,CAAC,MAAM,GAAG,MAAM,CAAC,GAAG,SAAS;IAS3E,GAAG;CAuBV"}

package/build/commands/authz_scopes_requeue.js

@@ -0,0 +1,230 @@
+var __decorate = (this && this.__decorate) || function (decorators, target, key, desc) {
+    var c = arguments.length, r = c < 3 ? target : desc === null ? desc = Object.getOwnPropertyDescriptor(target, key) : desc, d;
+    if (typeof Reflect === "object" && typeof Reflect.decorate === "function") r = Reflect.decorate(decorators, target, key, desc);
+    else for (var i = decorators.length - 1; i >= 0; i--) if (d = decorators[i]) r = (c < 3 ? d(r) : c > 3 ? d(target, key, r) : d(target, key)) || r;
+    return c > 3 && r && Object.defineProperty(target, key, r), r;
+};
+var __metadata = (this && this.__metadata) || function (k, v) {
+    if (typeof Reflect === "object" && typeof Reflect.metadata === "function") return Reflect.metadata(k, v);
+};
+import { BaseCommand, flags } from '@adonisjs/core/ace';
+/** Una entrada de la cola, en una línea (misma forma que en `authz:scopes:relay`). */
+function linea(item) {
+    const { change } = item;
+    const scope = (s) => `${s.type}:${s.uuid ?? ''}`;
+    const destino = change.op === 'detached' ? '' : ` → ${scope(change.parent)}`;
+    const intentos = item.attempts ? ` (intentos: ${item.attempts})` : '';
+    const causa = item.lastError ? ` — ${item.lastError}` : '';
+    return `#${item.id} ${change.op} ${scope(change.child)}${destino}${intentos}${causa}`;
+}
+/**
+ * Las líneas del comando y si la ejecución es «limpia», en una función PURA
+ * (mismo patrón que `reconcileLines`/`orphanLines`): es lo único del comando
+ * que decide algo, y así tiene su caso sin montar un ace.
+ *
+ *  - `refused`: el manager se NEGÓ (500 `E_AUTHZ_REQUEUE_REFUSED`). Se imprime
+ *    el DIFF entero —cada aparcada y cada entrada APLICADA posterior que
+ *    reaplicarla revertiría— y se sale ≠ 0, con las dos salidas: `--force`
+ *    (que entra igual, con este mismo diff delante) y `authz:reconcile`.
+ *  - `report`: se reencoló. Con `forced` y `overrides`, el diff se imprime
+ *    como AVISO: forzar no es un éxito mudo.
+ *  - `report.relay` (con `--apply`, 2.4.0-alpha.8): la pasada que relevó SOLO
+ *    lo reencolado, bajo el mismo lease. `busy` ⇒ NO se reencoló nada (todo o
+ *    nada) y se sale ≠ 0 con la letra («otra pasada tiene el lease; reintenta,
+ *    o `requeue` sin `--apply`»); cada entrada dice si se aplicó, falló o quedó
+ *    aplazada, y solo es limpio si TODO lo reencolado se aplicó.
+ */
+export function requeueLines(input) {
+    const lines = [];
+    const diff = (level, conflict) => {
+        lines.push({
+            level,
+            message: `${level === 'error' ? 'NEGADO' : 'FORZADO'}: ${linea(conflict.parked)} está APARCADA y hay ` +
+                `${conflict.applied.length} entrada(s) APLICADA(s) después sobre la misma clave de scope. Reencolarla las REVERTIRÍA ` +
+                `(el store quedaría con un árbol que nunca existió, y con UN solo padre nada lo delata):`,
+        });
+        for (const applied of conflict.applied)
+            lines.push({ level, message: `    revertiría ${linea(applied)}` });
+        if (conflict.truncated) {
+            lines.push({
+                level,
+                message: `    … y más: solo se listan las primeras ${conflict.applied.length} aplicadas posteriores sobre esa clave; el diff está CORTADO.`,
+            });
+        }
+    };
+    if (input.refused !== undefined) {
+        for (const conflict of input.refused)
+            diff('error', conflict);
+        lines.push({
+            level: 'warning',
+            message: 'No se ha reencolado NADA (todo o nada). Para recalcular el store con el árbol de HOY: ' +
+                'node ace authz:reconcile --to=<driver>. Si de verdad quieres revertir esas entradas, repite con --force: ' +
+                'imprime este mismo diff y entra igual.',
+        });
+        return { lines, clean: false };
+    }
+    const report = input.report;
+    if (report.relay?.busy) {
+        lines.push({
+            level: 'error',
+            message: 'Otra pasada del relay tiene el lease de la cola: con --apply no se ha reencolado NADA (todo o nada: reencolar y no ' +
+                'aplicar dejaría la entrada con un solo intento, que la siguiente pasada gastaría). Reintenta (--wait-lease-ms espera ' +
+                'a que la suelten), o reencola sin --apply y deja que la próxima pasada la aplique.',
+        });
+        return { lines, clean: false };
+    }
+    if (report.forced)
+        for (const conflict of report.overrides)
+            diff('warning', conflict);
+    for (const item of report.requeued)
+        lines.push({ level: 'log', message: `reencolada: ${linea(item)}` });
+    if (report.relay === undefined) {
+        lines.push({
+            level: 'success',
+            message: `${report.requeued.length} entrada(s) devuelta(s) a la cola con attempts = maxAttempts − 1: si la causa sigue rota ` +
+                'vuelve(n) a aparcarse en UNA pasada; si la arreglaste, entra(n) a la primera. Corre node ace authz:scopes:relay.',
+        });
+        return { lines, clean: true };
+    }
+    // --apply: qué fue de cada reencolada en la pasada que corrió bajo el mismo lease.
+    const relay = report.relay;
+    let clean = true;
+    for (const entry of relay.entries) {
+        if (entry.status === 'applied')
+            lines.push({ level: 'log', message: `aplicada: ${linea(entry)}` });
+        else if (entry.status === 'deferred') {
+            clean = false;
+            lines.push({ level: 'warning', message: `aplazada (${entry.reason ?? 'depende de una entrada anterior'}): ${linea(entry)} — no se ha aplicado` });
+        }
+        else if (entry.status === 'failed') {
+            clean = false;
+            lines.push({ level: 'error', message: `falló: ${linea(entry)} — ${entry.reason ?? ''}` });
+        }
+        else if (entry.status === 'dead') {
+            clean = false;
+            lines.push({ level: 'error', message: `sigue APARCADA: ${linea(entry)}${entry.reason ? ` — ${entry.reason}` : ''}` });
+        }
+    }
+    if (relay.applied.length !== report.requeued.length)
+        clean = false;
+    if (relay.remaining) {
+        lines.push({
+            level: 'warning',
+            message: 'Quedan entradas pendientes en la cola (--apply releva SOLO lo reencolado; lo que dependía de ello sigue aplazado): ' +
+                'corre node ace authz:scopes:relay, o releva su recibo con --only.',
+        });
+    }
+    lines.push({
+        level: clean ? 'success' : 'warning',
+        message: clean
+            ? `${relay.applied.length} entrada(s) reencolada(s) y aplicada(s) en la misma pasada.`
+            : `${relay.applied.length} de ${report.requeued.length} reencolada(s) aplicada(s): mira las líneas de arriba (la causa sigue rota, o el backend no respondió).`,
+    });
+    return { lines, clean };
+}
+/**
+ * **Devuelve entradas APARCADAS de la outbox a la cola** (2.4.0-alpha.5 · R2b;
+ * panel relay, cuestión 2).
+ *
+ *   node ace authz:scopes:requeue --id=12            # una
+ *   node ace authz:scopes:requeue --id=12,13         # varias (o --id repetido)
+ *   node ace authz:scopes:requeue --id=12 --force    # aunque revierta lo aplicado después (diff impreso)
+ *   node ace authz:scopes:requeue --id=12 --apply    # y la aplica en la MISMA llamada (2.4.0-alpha.8)
+ *   node ace authz:scopes:requeue --id=12 --apply --wait-lease-ms=5000   # esperando el lease si el cron lo tiene
+ *
+ * Una entrada aparcada (`sqlScopeOutbox({ maxAttempts })`, 5 por defecto)
+ * no se reintenta sola: el relay la reporta en cada pasada y sale ≠ 0. Cuando
+ * el operador arregla la causa —el padre que faltaba vuelve, el store se
+ * reconcilia— este comando la devuelve a `pending()` con **`attempts =
+ * maxAttempts − 1`**: entra a la primera si está arreglada y vuelve a
+ * aparcarse en UNA sola pasada si no (así un requeue automatizado de lo
+ * irreparable no es un grifo de aplazamiento para el resto del scope).
+ *
+ * **La sonda anti-reversión es del manager y no tiene excepción**: si después
+ * de la aparcada se APLICÓ otra entrada sobre la misma clave de scope,
+ * reencolarla reaplicaría el cambio viejo por encima del nuevo —un `moved`
+ * viejo tras el nuevo deja el store con el padre VIEJO y un solo padre—. El
+ * comando imprime ese diff y sale ≠ 0. **`--force` existe SOLO aquí**
+ * (decisión del dueño del 2026-09-09 (2)): imprime el diff y entra igual. Nunca
+ * en una ruta alcanzable por HTTP.
+ *
+ * **`--apply` (2.4.0-alpha.8)**: reencola Y releva SOLO esas entradas en la
+ * misma llamada, bajo UN lease (medido: sin esto la reencolada volvía con su
+ * id original y la siguiente pasada `only` del tenant salía `depends-on`; el
+ * incidente no se cerraba con un comando). Explícito, jamás por defecto: el
+ * comando pasa a ESCRIBIR en el backend. No compone con `--force` (500). Pasa
+ * la barrera del freeze. Con el lease tomado por otra pasada NO reencola nada
+ * y sale ≠ 0 (`--wait-lease-ms` espera, acotado).
+ *
+ * Es una operación de PLATAFORMA (como `authz:scopes:relay`): sin actor, sin
+ * `within`, y no se expone por HTTP.
+ */
+export default class AuthzScopesRequeue extends BaseCommand {
+    static commandName = 'authz:scopes:requeue';
+    static description = 'Return parked scope-tree outbox entries to the queue (refuses to revert later applied changes unless --force)';
+    static options = {
+        startApp: true,
+    };
+    /** `--id=12,13` o `--id=12 --id=13`: ids numéricos como número, el resto como cadena. */
+    static parseIds(values) {
+        if (values === undefined)
+            return undefined;
+        return values
+            .flatMap((value) => String(value).split(','))
+            .map((value) => value.trim())
+            .filter((value) => value.length > 0)
+            .map((value) => (/^\d+$/.test(value) ? Number(value) : value));
+    }
+    async run() {
+        const ids = AuthzScopesRequeue.parseIds(this.id);
+        if (ids === undefined || ids.length === 0) {
+            this.logger.error('Falta --id: di QUÉ entradas aparcadas reencolar (las que reporta authz:scopes:relay). Sin ids no se reencola nada.');
+            this.exitCode = 1;
+            return;
+        }
+        const { default: authorization } = await import('../services/main.js');
+        let result;
+        try {
+            const report = await authorization.requeueScopeChanges(ids, {
+                force: this.force === true,
+                apply: this.apply === true,
+                ...(this.waitLeaseMs === undefined ? {} : { waitForLeaseMs: this.waitLeaseMs }),
+            });
+            result = requeueLines({ report });
+        }
+        catch (error) {
+            if (error?.code !== 'E_AUTHZ_REQUEUE_REFUSED')
+                throw error;
+            result = requeueLines({ refused: error.conflicts });
+        }
+        for (const line of result.lines)
+            this.logger[line.level](line.message);
+        if (!result.clean)
+            this.exitCode = 1;
+    }
+}
+__decorate([
+    flags.array({
+        description: 'Outbox ids to requeue (the parked entries the relay reports), comma-separated or repeated',
+    }),
+    __metadata("design:type", Object)
+], AuthzScopesRequeue.prototype, "id", void 0);
+__decorate([
+    flags.boolean({
+        description: 'Requeue even if a later APPLIED entry shares a scope key (the diff is printed; the store WILL be reverted)',
+    }),
+    __metadata("design:type", Object)
+], AuthzScopesRequeue.prototype, "force", void 0);
+__decorate([
+    flags.boolean({
+        description: 'Also relay ONLY the requeued entries in the same call, under one lease (writes to the backend; not with --force)',
+    }),
+    __metadata("design:type", Object)
+], AuthzScopesRequeue.prototype, "apply", void 0);
+__decorate([
+    flags.number({
+        description: 'With --apply: wait up to this many ms for the relay lease instead of failing at once (pool >= 2)',
+    }),
+    __metadata("design:type", Object)
+], AuthzScopesRequeue.prototype, "waitLeaseMs", void 0);
+//# sourceMappingURL=authz_scopes_requeue.js.map