@jantstack/adonis-authz 2.4.0-alpha.9 → 2.5.0-alpha.1

package/build/src/freeze.d.ts.map

@@ -1 +1 @@
-{"version":3,"file":"freeze.d.ts","sourceRoot":"","sources":["../../src/freeze.ts"],"names":[],"mappings":"AAKA;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;GAoDG;AAEH,2EAA2E;AAC3E,eAAO,MAAM,aAAa,IAAI,CAAA;AAE9B,wIAAwI;AACxI,eAAO,MAAM,uBAAuB,QAAS,CAAA;AAI7C,4EAA4E;AAC5E,MAAM,MAAM,UAAU,GAAG,UAAU,GAAG,WAAW,GAAG,UAAU,CAAA;AAE9D,iGAAiG;AACjG,MAAM,WAAW,WAAW;IAC1B,wEAAwE;IACxE,KAAK,EAAE,MAAM,CAAA;IACb,+DAA+D;IAC/D,MAAM,EAAE,MAAM,CAAA;CACf;AAED,oDAAoD;AACpD,MAAM,WAAW,SAAS;IACxB,MAAM,EAAE,MAAM,GAAG,IAAI,CAAA;IACrB,MAAM,EAAE,MAAM,GAAG,IAAI,CAAA;IACrB,OAAO,EAAE,MAAM,GAAG,IAAI,CAAA;IACtB,KAAK,EAAE,MAAM,CAAA;CACd;AAED,MAAM,WAAW,gBAAgB;IAC/B,iEAAiE;IACjE,MAAM,CAAC,EAAE,MAAM,CAAA;IACf;;;;OAIG;IACH,SAAS,CAAC,EAAE,MAAM,CAAA;CACnB;AAyCD;;;;GAIG;AACH,wBAAsB,aAAa,CAAC,OAAO,GAAE,gBAAqB,GAAG,OAAO,CAAC,SAAS,CAAC,CAkBtF;AAED,mHAAmH;AACnH,wBAAgB,YAAY,CAAC,GAAG,EAAE,SAAS,EAAE,KAAK,EAAE,MAAM,GAAG,OAAO,CAGnE;AAED,MAAM,WAAW,oBAAqB,SAAQ,gBAAgB;IAC5D,oFAAoF;IACpF,KAAK,EAAE,MAAM,CAAA;CACd;AAED;;;;;;;GAOG;AACH,wBAAsB,kBAAkB,CAAC,SAAS,EAAE,MAAM,EAAE,OAAO,EAAE,oBAAoB,GAAG,OAAO,CAAC,IAAI,CAAC,CAQxG;AAED;;;;;GAKG;AACH,wBAAsB,aAAa,CACjC,KAAK,EAAE;IAAE,MAAM,EAAE,MAAM,CAAC;IAAC,MAAM,EAAE,MAAM,CAAC;IAAC,OAAO,EAAE,MAAM,GAAG,IAAI,CAAC;IAAC,KAAK,EAAE,MAAM,CAAA;CAAE,EAChF,OAAO,GAAE,gBAAqB,GAC7B,OAAO,CAAC,WAAW,GAAG,IAAI,CAAC,CA8B7B;AAED;;;;;GAKG;AACH,wBAAsB,WAAW,CAC/B,KAAK,EAAE,WAAW,EAClB,KAAK,EAAE;IAAE,OAAO,EAAE,MAAM,CAAC;IAAC,KAAK,EAAE,MAAM,CAAA;CAAE,EACzC,OAAO,GAAE,gBAAqB,GAC7B,OAAO,CAAC,OAAO,CAAC,CAYlB;AAED;;;;;GAKG;AACH,wBAAsB,aAAa,CACjC,KAAK,EAAE,WAAW,EAClB,KAAK,EAAE;IAAE,KAAK,EAAE,MAAM,CAAA;CAAE,EACxB,OAAO,GAAE,gBAAqB,GAC7B,OAAO,CAAC;IAAE,QAAQ,EAAE,OAAO,CAAC;IAAC,MAAM,EAAE,OAAO,CAAA;CAAE,CAAC,CAejD;AAED,+EAA+E;AAC/E,wBAAgB,YAAY,CAAC,MAAM,EAAE,MAAM,GAAG,IAAI,GAAG,UAAU,GAAG,SAAS,CAG1E"}
+{"version":3,"file":"freeze.d.ts","sourceRoot":"","sources":["../../src/freeze.ts"],"names":[],"mappings":"AAWA;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;GAoDG;AAEH,2EAA2E;AAC3E,eAAO,MAAM,aAAa,IAAI,CAAA;AAE9B,wIAAwI;AACxI,eAAO,MAAM,uBAAuB,QAAS,CAAA;AAI7C,4EAA4E;AAC5E,MAAM,MAAM,UAAU,GAAG,UAAU,GAAG,WAAW,GAAG,UAAU,CAAA;AAE9D,iGAAiG;AACjG,MAAM,WAAW,WAAW;IAC1B,wEAAwE;IACxE,KAAK,EAAE,MAAM,CAAA;IACb,+DAA+D;IAC/D,MAAM,EAAE,MAAM,CAAA;CACf;AAED,oDAAoD;AACpD,MAAM,WAAW,SAAS;IACxB,MAAM,EAAE,MAAM,GAAG,IAAI,CAAA;IACrB,MAAM,EAAE,MAAM,GAAG,IAAI,CAAA;IACrB,OAAO,EAAE,MAAM,GAAG,IAAI,CAAA;IACtB,KAAK,EAAE,MAAM,CAAA;CACd;AAED,MAAM,WAAW,gBAAgB;IAC/B,iEAAiE;IACjE,MAAM,CAAC,EAAE,MAAM,CAAA;IACf;;;;OAIG;IACH,SAAS,CAAC,EAAE,MAAM,CAAA;CACnB;AAyCD;;;;GAIG;AACH,wBAAsB,aAAa,CAAC,OAAO,GAAE,gBAAqB,GAAG,OAAO,CAAC,SAAS,CAAC,CAkBtF;AAED,mHAAmH;AACnH,wBAAgB,YAAY,CAAC,GAAG,EAAE,SAAS,EAAE,KAAK,EAAE,MAAM,GAAG,OAAO,CAGnE;AAED,MAAM,WAAW,oBAAqB,SAAQ,gBAAgB;IAC5D,oFAAoF;IACpF,KAAK,EAAE,MAAM,CAAA;CACd;AAED;;;;;;;GAOG;AACH,wBAAsB,kBAAkB,CAAC,SAAS,EAAE,MAAM,EAAE,OAAO,EAAE,oBAAoB,GAAG,OAAO,CAAC,IAAI,CAAC,CAQxG;AAED,+GAA+G;AAC/G,eAAO,MAAM,cAAc,MAAM,CAAA;AAEjC,yFAAyF;AACzF,eAAO,MAAM,sBAAsB,cAAc,CAAA;AAEjD;;;;;;;;;;;;GAYG;AACH,wBAAgB,iBAAiB,CAAC,UAAU,GAAE,GAAqB,GAAG;IAAE,GAAG,EAAE,MAAM,CAAC;IAAC,QAAQ,EAAE,OAAO,EAAE,CAAA;CAAE,CAczG;AAED;;;;;GAKG;AACH,MAAM,MAAM,oBAAoB,GAC5B;IAAE,MAAM,EAAE,UAAU,CAAC;IAAC,KAAK,EAAE,WAAW,CAAA;CAAE,GAC1C;IAAE,MAAM,EAAE,MAAM,CAAC;IAAC,GAAG,EAAE,SAAS,CAAA;CAAE,GAClC;IAAE,MAAM,EAAE,kBAAkB,CAAC;IAAC,GAAG,EAAE,SAAS,CAAA;CAAE,CAAA;AAElD;;;;;;;;;GASG;AACH,wBAAsB,oBAAoB,CACxC,KAAK,EAAE;IAAE,MAAM,EAAE,MAAM,CAAC;IAAC,MAAM,EAAE,MAAM,CAAC;IAAC,OAAO,EAAE,MAAM,GAAG,IAAI,CAAC;IAAC,KAAK,EAAE,MAAM,CAAA;CAAE,EAChF,OAAO,GAAE,gBAAqB,EAC9B,OAAO,SAAI,GACV,OAAO,CAAC,oBAAoB,CAAC,CAwD/B;AAED,6GAA6G;AAC7G,wBAAsB,aAAa,CACjC,KAAK,EAAE;IAAE,MAAM,EAAE,MAAM,CAAC;IAAC,MAAM,EAAE,MAAM,CAAC;IAAC,OAAO,EAAE,MAAM,GAAG,IAAI,CAAC;IAAC,KAAK,EAAE,MAAM,CAAA;CAAE,EAChF,OAAO,GAAE,gBAAqB,GAC7B,OAAO,CAAC,WAAW,GAAG,IAAI,CAAC,CAG7B;AAED;;;;;GAKG;AACH,wBAAsB,WAAW,CAC/B,KAAK,EAAE,WAAW,EAClB,KAAK,EAAE;IAAE,OAAO,EAAE,MAAM,CAAC;IAAC,KAAK,EAAE,MAAM,CAAA;CAAE,EACzC,OAAO,GAAE,gBAAqB,GAC7B,OAAO,CAAC,OAAO,CAAC,CAYlB;AAED;;;;;GAKG;AACH,wBAAsB,aAAa,CACjC,KAAK,EAAE,WAAW,EAClB,KAAK,EAAE;IAAE,KAAK,EAAE,MAAM,CAAA;CAAE,EACxB,OAAO,GAAE,gBAAqB,GAC7B,OAAO,CAAC;IAAE,QAAQ,EAAE,OAAO,CAAC;IAAC,MAAM,EAAE,OAAO,CAAA;CAAE,CAAC,CA2BjD;AAED;;;;;;;;;GASG;AACH,wBAAgB,gBAAgB,CAAC,MAAM,EAAE,MAAM,GAAG,IAAI,GAAG,OAAO,CAE/D;AAED,uHAAuH;AACvH,wBAAgB,YAAY,CAAC,MAAM,EAAE,MAAM,GAAG,IAAI,GAAG,UAAU,GAAG,SAAS,CAK1E"}

package/build/src/freeze.js

@@ -1,7 +1,8 @@
 import db from '@adonisjs/lucid/services/db';
 import { guardSql, withDeadline } from './shared/backend_guard.js';
-import { AuthorizationBackendError, AuthorizationBackendTimeoutError, AuthorizationFrozenError } from './errors.js';
+import { AuthorizationBackendError, AuthorizationBackendTimeoutError, AuthorizationFrozenError, UnsupportedDialectError, } from './errors.js';
 import { CATALOG_VERSION_TABLE } from './catalog/catalog_cache.js';
+import { dialectOf, isMysqlDialect, isSqliteDialect } from './shared/sql_expiry.js';
 /**
  * El **freeze DURABLE** (3b-7; decisión del dueño del 2026-08-31 (3b):
  * B + E-analista). Primitivas SQL puras; la policy (quién congela, el
@@ -134,21 +135,64 @@ export async function assertNotFrozenRow(operation, options) {
     throw new AuthorizationFrozenError(`${operation}: el motor de autorización está congelado (${row.reason})${lift} y no acepta escrituras. ` +
         `Las lecturas siguen funcionando; reintenta esta escritura cuando la ventana termine.`);
 }
+/** El holder con el que se publica una fila con motivo y SIN holder (legada o a mano); también es su token. */
+export const UNKNOWN_HOLDER = '?';
+/** Prefijo del holder de la ventana del OPERADOR (`freeze()` con `kind: 'operator'`). */
+export const OPERATOR_HOLDER_PREFIX = 'operator:';
+/**
+ * `isOperatorHolder` en SQL, por motor (cierre-2 de alpha.10 · C3): los
+ * `OPERATOR_HOLDER_PREFIX.length` primeros CARACTERES de `freeze_holder` igual a
+ * `operator:`, sensible a mayúsculas y acentos. SQLite: `substr()` no hereda
+ * collation ⇒ `BINARY`. PostgreSQL: `COLLATE "C"` (byte a byte aunque la base
+ * declare otra). MySQL: la collation de la columna es la de la tabla (`_ai_ci` por
+ * defecto: `OPERATOR:` y `opérator:` serían iguales), así que se compara como
+ * BINARIO. El prefijo es ASCII, así que «9 caracteres» y «9 unidades UTF-16» (JS)
+ * coinciden siempre que la comparación sea verdadera. Sin `LIKE`: ni comodines ni
+ * collation. Cualquier otro dialecto ⇒ 500 `E_AUTHZ_UNSUPPORTED_DIALECT` ANTES de
+ * tocar la fila (re-ataque del cierre-2 · ⚪ 3: el `substr` de SQLite en MSSQL
+ * sería un error del motor envuelto como 503, que invita a reintentar para siempre).
+ */
+export function operatorHolderSql(connection = db.connection()) {
+    const length = OPERATOR_HOLDER_PREFIX.length;
+    if (isMysqlDialect(connection)) {
+        return { sql: `CAST(SUBSTRING(freeze_holder, 1, ${length}) AS BINARY) = CAST(? AS BINARY)`, bindings: [OPERATOR_HOLDER_PREFIX] };
+    }
+    if (dialectOf(connection).startsWith('postgres')) {
+        return { sql: `substr(freeze_holder, 1, ${length}) COLLATE "C" = ?`, bindings: [OPERATOR_HOLDER_PREFIX] };
+    }
+    if (isSqliteDialect(connection)) {
+        return { sql: `substr(freeze_holder, 1, ${length}) = ?`, bindings: [OPERATOR_HOLDER_PREFIX] };
+    }
+    throw new UnsupportedDialectError(`freeze: dialecto '${dialectOf(connection)}' sin observación en la suite (hoy: PostgreSQL, MySQL 8 y SQLite)`);
+}
 /**
  * Toma el freeze si NADIE lo sostiene vivo (condicional y atómico: dos
- * `acquire` a la vez acaban en exactamente uno). Devuelve el token, o `null`
- * si hay un freeze vivo de otro dueño (el llamante decide si eso es 423 o un
- * contexto que reconoce).
+ * `acquire` a la vez acaban en exactamente uno). Una fila con el lease VENCIDO
+ * se toma encima (el dueño murió: la flota vuelve sola) **salvo que sea una
+ * ventana de OPERADOR** (cierre del auditor de alpha.10 · R2): esa exclusión va
+ * DENTRO del `WHERE` del mismo `UPDATE`, en los tres motores. Hasta el cierre
+ * vivía en `freeze()` como «leo la fila, compruebo, tomo», y con un reloj que
+ * cruzaba el vencimiento entre la comprobación y el UPDATE la pasada pisaba la
+ * ventana del operador sin 503 — el TOCTOU que el atómico existe para cerrar.
  */
-export async function acquireFreeze(input, options = {}) {
+export async function acquireFreezeOutcome(input, options = {}, attempt = 0) {
     const { driver, timeoutMs } = opts(options);
+    // Fuera de `freezeSql`: un dialecto no soportado es config (500), no un backend caído (503).
+    const operator = operatorHolderSql();
     const updated = await freezeSql(driver, 'freeze.acquire', timeoutMs, () => db
         .from(CATALOG_VERSION_TABLE)
         .where('id', FREEZE_ROW_ID)
         .where((q) => {
-        // Libre, o con el lease VENCIDO (un dueño muerto no bloquea la toma).
+        // Libre, o con el lease VENCIDO (un dueño muerto no bloquea la toma)…
         q.whereNull('freeze_reason').orWhere((expired) => {
-            expired.whereNotNull('freeze_until_ms').andWhere('freeze_until_ms', '<=', input.nowMs);
+            expired
+                .whereNotNull('freeze_until_ms')
+                .andWhere('freeze_until_ms', '<=', input.nowMs)
+                // …salvo la ventana del OPERADOR vencida: es evidencia, no espacio libre (R2).
+                .andWhere((notOperator) => {
+                // La regla ÚNICA (`isOperatorHolder`), sin `LIKE`: comparación EXACTA de prefijo (cierre-2 · C3).
+                notOperator.whereNull('freeze_holder').orWhereRaw(`NOT (${operator.sql})`, operator.bindings);
+            });
         });
     })
         .update({
@@ -159,17 +203,36 @@ export async function acquireFreeze(input, options = {}) {
         updated_at: new Date(input.nowMs),
     }));
     if (Number(updated) === 0) {
-        // O hay un freeze vivo, o la fila no existe: distinguirlo es leerla.
+        // O hay un freeze vivo, o una ventana de operador vencida, o la fila no existe: distinguirlo es leerla.
         const row = await readFreezeRow(options);
         if (freezeIsLive(row, input.nowMs))
-            return null;
-        // Carrera minúscula (se liberó entre el UPDATE y el SELECT): reintenta una vez.
-        return acquireFreeze(input, options);
+            return { status: 'held', row };
+        if (row.reason !== null && freezeKindOf(row.holder) === 'operator')
+            return { status: 'expired-operator', row };
+        // Carrera minúscula (se liberó entre el UPDATE y el SELECT): reintenta UNA vez.
+        // Cierre-2 · C3: tras el reintento, una fila que NO está viva no es `held` (su
+        // letra dice «VIVO»). Con la regla única del prefijo esta rama solo la alcanza
+        // una fila que cambió dos veces entre UPDATE y SELECT: 503 reintentable que lo dice.
+        if (attempt >= 1) {
+            const error = new AuthorizationBackendError(driver, 'freeze.acquire', new Error('la fila del freeze cambió entre el UPDATE condicional y su relectura dos veces seguidas'));
+            error.message =
+                `${driver}: no se pudo tomar el freeze: la fila (${row.holder ?? 'sin holder'}, fence ${row.fence}) NO está viva ` +
+                    `y aun así el UPDATE condicional no casó dos veces seguidas — otro proceso la está cambiando a la vez ` +
+                    `(rama «contención tras reintento», no «freeze VIVO»). Reintenta.`;
+            throw error;
+        }
+        return acquireFreezeOutcome(input, options, attempt + 1);
     }
     const row = await readFreezeRow(options);
+    // Otro acquire ganó justo después (no debería: el nuestro dejó la fila viva).
     if (row.holder !== input.holder)
-        return null; // otro acquire ganó justo después (no debería: el nuestro dejó la fila viva)
-    return { fence: row.fence, holder: input.holder };
+        return { status: 'held', row };
+    return { status: 'acquired', token: { fence: row.fence, holder: input.holder } };
+}
+/** `acquireFreezeOutcome` reducido a «el token o `null`» (lo usan los casos que siembran una fila ajena). */
+export async function acquireFreeze(input, options = {}) {
+    const outcome = await acquireFreezeOutcome(input, options);
+    return outcome.status === 'acquired' ? outcome.token : null;
 }
 /**
  * Renueva el lease, CONDICIONAL por token y solo si aún no venció
@@ -197,7 +260,16 @@ export async function renewFreeze(token, input, options = {}) {
 export async function releaseFreeze(token, input, options = {}) {
     const { driver, timeoutMs } = opts(options);
     const row = await readFreezeRow(options);
-    const mine = row.fence === token.fence && row.holder === token.holder;
+    // La fila SIN holder (legada o escrita a mano) se publica como `UNKNOWN_HOLDER`
+    // en `freezeStatus()`/`lastFreezeStatus()`, así que ese es su token: sin esto
+    // `authz:unfreeze` no casaba nunca y repetía su aviso para siempre (cierre del
+    // auditor de alpha.10 · ⚪ 5). `freeze()` jamás escribe ese holder.
+    // Cierre-2 · C4: `'?'` publica DOS filas —holder NULL y holder LITERAL `'?'` (a
+    // mano)—, así que el token casa las dos (`IS NULL OR = '?'`); casar solo NULL
+    // dejaba la literal sin salida y `authz:unfreeze` en bucle con exit 1. Sigue
+    // atado al fence y nunca casa un holder real.
+    const unknownHolder = token.holder === UNKNOWN_HOLDER;
+    const mine = row.fence === token.fence && (unknownHolder ? row.holder === null || row.holder === UNKNOWN_HOLDER : row.holder === token.holder);
     const lapsed = !mine || (row.untilMs !== null && row.untilMs <= input.nowMs);
     if (!mine)
         return { released: false, lapsed };
@@ -205,13 +277,30 @@ export async function releaseFreeze(token, input, options = {}) {
         .from(CATALOG_VERSION_TABLE)
         .where('id', FREEZE_ROW_ID)
         .where('freeze_fence', token.fence)
-        .where('freeze_holder', token.holder)
+        .where((q) => unknownHolder ? q.whereNull('freeze_holder').orWhere('freeze_holder', UNKNOWN_HOLDER) : q.where('freeze_holder', token.holder))
         .update({ freeze_reason: null, freeze_holder: null, freeze_until_ms: null, updated_at: new Date(input.nowMs) }));
     return { released: Number(updated) > 0, lapsed };
 }
-/** El `kind` que el holder lleva escrito (`operator:123:ab…` → `operator`). */
+/**
+ * **La regla ÚNICA del prefijo de operador** (cierre-2 de alpha.10 · C3): los
+ * `OPERATOR_HOLDER_PREFIX.length` primeros caracteres del holder son EXACTAMENTE
+ * `operator:` — sensible a mayúsculas y a acentos, sin comodines. La MISMA
+ * comparación va en el `WHERE` de `acquireFreezeOutcome` (`operatorHolderSql`) y
+ * aquí; hasta el cierre-2 el SQL usaba `LIKE` (insensible a mayúsculas en SQLite y
+ * en MySQL `_ci`) y JS partía por `:`, así que un holder `OPERATOR:…` caducado era
+ * «de operador» para el UPDATE y `unknown` para JS ⇒ 423 «VIVO» sobre una fila
+ * caducada, distinto por motor.
+ */
+export function isOperatorHolder(holder) {
+    return typeof holder === 'string' && holder.slice(0, OPERATOR_HOLDER_PREFIX.length) === OPERATOR_HOLDER_PREFIX;
+}
+/** El `kind` que el holder lleva escrito (`operator:123:ab…` → `operator`); el de operador, por `isOperatorHolder`. */
 export function freezeKindOf(holder) {
-    const prefix = holder?.split(':', 1)[0];
-    return prefix === 'operator' || prefix === 'reconcile' || prefix === 'platform' ? prefix : 'unknown';
+    if (isOperatorHolder(holder))
+        return 'operator';
+    if (typeof holder !== 'string' || !holder.includes(':'))
+        return 'unknown';
+    const prefix = holder.slice(0, holder.indexOf(':'));
+    return prefix === 'reconcile' || prefix === 'platform' ? prefix : 'unknown';
 }
 //# sourceMappingURL=freeze.js.map

package/build/src/freeze.js.map

@@ -1 +1 @@
-{"version":3,"file":"freeze.js","sourceRoot":"","sources":["../../src/freeze.ts"],"names":[],"mappings":"AAAA,OAAO,EAAE,MAAM,6BAA6B,CAAA;AAC5C,OAAO,EAAE,QAAQ,EAAE,YAAY,EAAE,MAAM,2BAA2B,CAAA;AAClE,OAAO,EAAE,yBAAyB,EAAE,gCAAgC,EAAE,wBAAwB,EAAE,MAAM,aAAa,CAAA;AACnH,OAAO,EAAE,qBAAqB,EAAE,MAAM,4BAA4B,CAAA;AAElE;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;GAoDG;AAEH,2EAA2E;AAC3E,MAAM,CAAC,MAAM,aAAa,GAAG,CAAC,CAAA;AAE9B,wIAAwI;AACxI,MAAM,CAAC,MAAM,uBAAuB,GAAG,MAAM,CAAA;AAE7C,MAAM,yBAAyB,GAAG,KAAK,CAAA;AAgCvC,SAAS,IAAI,CAAC,OAAyB;IACrC,OAAO,EAAE,MAAM,EAAE,OAAO,CAAC,MAAM,IAAI,QAAQ,EAAE,SAAS,EAAE,OAAO,CAAC,SAAS,IAAI,yBAAyB,EAAE,CAAA;AAC1G,CAAC;AAED;;;;;;;GAOG;AACH,SAAS,SAAS,CAAI,MAAc,EAAE,SAAiB,EAAE,SAAiB,EAAE,EAAoB;IAC9F,OAAO,YAAY,CACjB,QAAQ,CAAC,MAAM,EAAE,SAAS,EAAE,SAAS,EAAE,EAAE,CAAC,EAC1C,SAAS,EACT,GAAG,EAAE,CAAC,IAAI,gCAAgC,CAAC,MAAM,EAAE,SAAS,EAAE,SAAS,CAAC,CACzE,CAAA;AACH,CAAC;AAED,SAAS,UAAU,CAAC,MAAc;IAChC,MAAM,KAAK,GAAG,IAAI,yBAAyB,CACzC,MAAM,EACN,YAAY,EACZ,IAAI,KAAK,CAAC,oBAAoB,aAAa,OAAO,qBAAqB,EAAE,CAAC,CAC3E,CAAA;IACD,KAAK,CAAC,OAAO;QACX,GAAG,MAAM,4CAA4C,qBAAqB,UAAU,aAAa,KAAK;YACtG,kHAAkH;YAClH,uFAAuF,CAAA;IACzF,OAAO,KAAK,CAAA;AACd,CAAC;AAED,SAAS,IAAI,CAAC,GAAY;IACxB,IAAI,GAAG,KAAK,IAAI,IAAI,GAAG,KAAK,SAAS;QAAE,OAAO,IAAI,CAAA;IAClD,MAAM,KAAK,GAAG,OAAO,GAAG,KAAK,QAAQ,CAAC,CAAC,CAAC,GAAG,CAAC,CAAC,CAAC,MAAM,CAAC,GAAG,CAAC,CAAA;IACzD,OAAO,MAAM,CAAC,QAAQ,CAAC,KAAK,CAAC,CAAC,CAAC,CAAC,KAAK,CAAC,CAAC,CAAC,IAAI,CAAA;AAC9C,CAAC;AAED;;;;GAIG;AACH,MAAM,CAAC,KAAK,UAAU,aAAa,CAAC,UAA4B,EAAE;IAChE,MAAM,EAAE,MAAM,EAAE,SAAS,EAAE,GAAG,IAAI,CAAC,OAAO,CAAC,CAAA;IAC3C,MAAM,IAAI,GAAU,MAAM,SAAS,CAAC,MAAM,EAAE,aAAa,EAAE,SAAS,EAAE,GAAG,EAAE,CACzE,EAAE;SACC,IAAI,CAAC,qBAAqB,CAAC;SAC3B,KAAK,CAAC,IAAI,EAAE,aAAa,CAAC;SAC1B,MAAM,CAAC,eAAe,EAAE,eAAe,EAAE,iBAAiB,EAAE,cAAc,CAAC,CAC/E,CAAA;IACD,IAAI,IAAI,CAAC,MAAM,KAAK,CAAC;QAAE,MAAM,UAAU,CAAC,MAAM,CAAC,CAAA;IAC/C,MAAM,GAAG,GAAG,IAAI,CAAC,CAAC,CAAC,CAAA;IACnB,MAAM,KAAK,GAAG,IAAI,CAAC,GAAG,CAAC,YAAY,CAAC,CAAA;IACpC,IAAI,KAAK,KAAK,IAAI;QAAE,MAAM,UAAU,CAAC,MAAM,CAAC,CAAA;IAC5C,OAAO;QACL,MAAM,EAAE,GAAG,CAAC,aAAa,KAAK,IAAI,IAAI,GAAG,CAAC,aAAa,KAAK,SAAS,CAAC,CAAC,CAAC,IAAI,CAAC,CAAC,CAAC,MAAM,CAAC,GAAG,CAAC,aAAa,CAAC;QACxG,MAAM,EAAE,GAAG,CAAC,aAAa,KAAK,IAAI,IAAI,GAAG,CAAC,aAAa,KAAK,SAAS,CAAC,CAAC,CAAC,IAAI,CAAC,CAAC,CAAC,MAAM,CAAC,GAAG,CAAC,aAAa,CAAC;QACxG,OAAO,EAAE,IAAI,CAAC,GAAG,CAAC,eAAe,CAAC;QAClC,KAAK;KACN,CAAA;AACH,CAAC;AAED,mHAAmH;AACnH,MAAM,UAAU,YAAY,CAAC,GAAc,EAAE,KAAa;IACxD,IAAI,GAAG,CAAC,MAAM,KAAK,IAAI;QAAE,OAAO,KAAK,CAAA;IACrC,OAAO,GAAG,CAAC,OAAO,KAAK,IAAI,IAAI,GAAG,CAAC,OAAO,GAAG,KAAK,CAAA;AACpD,CAAC;AAOD;;;;;;;GAOG;AACH,MAAM,CAAC,KAAK,UAAU,kBAAkB,CAAC,SAAiB,EAAE,OAA6B;IACvF,MAAM,GAAG,GAAG,MAAM,aAAa,CAAC,OAAO,CAAC,CAAA;IACxC,IAAI,CAAC,YAAY,CAAC,GAAG,EAAE,OAAO,CAAC,KAAK,CAAC;QAAE,OAAM;IAC7C,MAAM,IAAI,GAAG,YAAY,CAAC,GAAG,CAAC,MAAM,CAAC,KAAK,UAAU,CAAC,CAAC,CAAC,8BAA8B,CAAC,CAAC,CAAC,EAAE,CAAA;IAC1F,MAAM,IAAI,wBAAwB,CAChC,GAAG,SAAS,8CAA8C,GAAG,CAAC,MAAM,IAAI,IAAI,2BAA2B;QACrG,sFAAsF,CACzF,CAAA;AACH,CAAC;AAED;;;;;GAKG;AACH,MAAM,CAAC,KAAK,UAAU,aAAa,CACjC,KAAgF,EAChF,UAA4B,EAAE;IAE9B,MAAM,EAAE,MAAM,EAAE,SAAS,EAAE,GAAG,IAAI,CAAC,OAAO,CAAC,CAAA;IAC3C,MAAM,OAAO,GAAG,MAAM,SAAS,CAAC,MAAM,EAAE,gBAAgB,EAAE,SAAS,EAAE,GAAG,EAAE,CACxE,EAAE;SACC,IAAI,CAAC,qBAAqB,CAAC;SAC3B,KAAK,CAAC,IAAI,EAAE,aAAa,CAAC;SAC1B,KAAK,CAAC,CAAC,CAAM,EAAE,EAAE;QAChB,sEAAsE;QACtE,CAAC,CAAC,SAAS,CAAC,eAAe,CAAC,CAAC,OAAO,CAAC,CAAC,OAAY,EAAE,EAAE;YACpD,OAAO,CAAC,YAAY,CAAC,iBAAiB,CAAC,CAAC,QAAQ,CAAC,iBAAiB,EAAE,IAAI,EAAE,KAAK,CAAC,KAAK,CAAC,CAAA;QACxF,CAAC,CAAC,CAAA;IACJ,CAAC,CAAC;SACD,MAAM,CAAC;QACN,aAAa,EAAE,KAAK,CAAC,MAAM;QAC3B,aAAa,EAAE,KAAK,CAAC,MAAM;QAC3B,eAAe,EAAE,KAAK,CAAC,OAAO;QAC9B,YAAY,EAAE,EAAE,CAAC,GAAG,CAAC,kBAAkB,CAAC;QACxC,UAAU,EAAE,IAAI,IAAI,CAAC,KAAK,CAAC,KAAK,CAAC;KAClC,CAAC,CACL,CAAA;IACD,IAAI,MAAM,CAAC,OAAO,CAAC,KAAK,CAAC,EAAE,CAAC;QAC1B,qEAAqE;QACrE,MAAM,GAAG,GAAG,MAAM,aAAa,CAAC,OAAO,CAAC,CAAA;QACxC,IAAI,YAAY,CAAC,GAAG,EAAE,KAAK,CAAC,KAAK,CAAC;YAAE,OAAO,IAAI,CAAA;QAC/C,gFAAgF;QAChF,OAAO,aAAa,CAAC,KAAK,EAAE,OAAO,CAAC,CAAA;IACtC,CAAC;IACD,MAAM,GAAG,GAAG,MAAM,aAAa,CAAC,OAAO,CAAC,CAAA;IACxC,IAAI,GAAG,CAAC,MAAM,KAAK,KAAK,CAAC,MAAM;QAAE,OAAO,IAAI,CAAA,CAAC,6EAA6E;IAC1H,OAAO,EAAE,KAAK,EAAE,GAAG,CAAC,KAAK,EAAE,MAAM,EAAE,KAAK,CAAC,MAAM,EAAE,CAAA;AACnD,CAAC;AAED;;;;;GAKG;AACH,MAAM,CAAC,KAAK,UAAU,WAAW,CAC/B,KAAkB,EAClB,KAAyC,EACzC,UAA4B,EAAE;IAE9B,MAAM,EAAE,MAAM,EAAE,SAAS,EAAE,GAAG,IAAI,CAAC,OAAO,CAAC,CAAA;IAC3C,MAAM,OAAO,GAAG,MAAM,SAAS,CAAC,MAAM,EAAE,cAAc,EAAE,SAAS,EAAE,GAAG,EAAE,CACtE,EAAE;SACC,IAAI,CAAC,qBAAqB,CAAC;SAC3B,KAAK,CAAC,IAAI,EAAE,aAAa,CAAC;SAC1B,KAAK,CAAC,cAAc,EAAE,KAAK,CAAC,KAAK,CAAC;SAClC,KAAK,CAAC,eAAe,EAAE,KAAK,CAAC,MAAM,CAAC;SACpC,KAAK,CAAC,iBAAiB,EAAE,GAAG,EAAE,KAAK,CAAC,KAAK,CAAC;SAC1C,MAAM,CAAC,EAAE,eAAe,EAAE,KAAK,CAAC,OAAO,EAAE,UAAU,EAAE,IAAI,IAAI,CAAC,KAAK,CAAC,KAAK,CAAC,EAAE,CAAC,CACjF,CAAA;IACD,OAAO,MAAM,CAAC,OAAO,CAAC,GAAG,CAAC,CAAA;AAC5B,CAAC;AAED;;;;;GAKG;AACH,MAAM,CAAC,KAAK,UAAU,aAAa,CACjC,KAAkB,EAClB,KAAwB,EACxB,UAA4B,EAAE;IAE9B,MAAM,EAAE,MAAM,EAAE,SAAS,EAAE,GAAG,IAAI,CAAC,OAAO,CAAC,CAAA;IAC3C,MAAM,GAAG,GAAG,MAAM,aAAa,CAAC,OAAO,CAAC,CAAA;IACxC,MAAM,IAAI,GAAG,GAAG,CAAC,KAAK,KAAK,KAAK,CAAC,KAAK,IAAI,GAAG,CAAC,MAAM,KAAK,KAAK,CAAC,MAAM,CAAA;IACrE,MAAM,MAAM,GAAG,CAAC,IAAI,IAAI,CAAC,GAAG,CAAC,OAAO,KAAK,IAAI,IAAI,GAAG,CAAC,OAAO,IAAI,KAAK,CAAC,KAAK,CAAC,CAAA;IAC5E,IAAI,CAAC,IAAI;QAAE,OAAO,EAAE,QAAQ,EAAE,KAAK,EAAE,MAAM,EAAE,CAAA;IAC7C,MAAM,OAAO,GAAG,MAAM,SAAS,CAAC,MAAM,EAAE,gBAAgB,EAAE,SAAS,EAAE,GAAG,EAAE,CACxE,EAAE;SACC,IAAI,CAAC,qBAAqB,CAAC;SAC3B,KAAK,CAAC,IAAI,EAAE,aAAa,CAAC;SAC1B,KAAK,CAAC,cAAc,EAAE,KAAK,CAAC,KAAK,CAAC;SAClC,KAAK,CAAC,eAAe,EAAE,KAAK,CAAC,MAAM,CAAC;SACpC,MAAM,CAAC,EAAE,aAAa,EAAE,IAAI,EAAE,aAAa,EAAE,IAAI,EAAE,eAAe,EAAE,IAAI,EAAE,UAAU,EAAE,IAAI,IAAI,CAAC,KAAK,CAAC,KAAK,CAAC,EAAE,CAAC,CAClH,CAAA;IACD,OAAO,EAAE,QAAQ,EAAE,MAAM,CAAC,OAAO,CAAC,GAAG,CAAC,EAAE,MAAM,EAAE,CAAA;AAClD,CAAC;AAED,+EAA+E;AAC/E,MAAM,UAAU,YAAY,CAAC,MAAqB;IAChD,MAAM,MAAM,GAAG,MAAM,EAAE,KAAK,CAAC,GAAG,EAAE,CAAC,CAAC,CAAC,CAAC,CAAC,CAAA;IACvC,OAAO,MAAM,KAAK,UAAU,IAAI,MAAM,KAAK,WAAW,IAAI,MAAM,KAAK,UAAU,CAAC,CAAC,CAAC,MAAM,CAAC,CAAC,CAAC,SAAS,CAAA;AACtG,CAAC"}
+{"version":3,"file":"freeze.js","sourceRoot":"","sources":["../../src/freeze.ts"],"names":[],"mappings":"AAAA,OAAO,EAAE,MAAM,6BAA6B,CAAA;AAC5C,OAAO,EAAE,QAAQ,EAAE,YAAY,EAAE,MAAM,2BAA2B,CAAA;AAClE,OAAO,EACL,yBAAyB,EACzB,gCAAgC,EAChC,wBAAwB,EACxB,uBAAuB,GACxB,MAAM,aAAa,CAAA;AACpB,OAAO,EAAE,qBAAqB,EAAE,MAAM,4BAA4B,CAAA;AAClE,OAAO,EAAE,SAAS,EAAE,cAAc,EAAE,eAAe,EAAE,MAAM,wBAAwB,CAAA;AAEnF;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;GAoDG;AAEH,2EAA2E;AAC3E,MAAM,CAAC,MAAM,aAAa,GAAG,CAAC,CAAA;AAE9B,wIAAwI;AACxI,MAAM,CAAC,MAAM,uBAAuB,GAAG,MAAM,CAAA;AAE7C,MAAM,yBAAyB,GAAG,KAAK,CAAA;AAgCvC,SAAS,IAAI,CAAC,OAAyB;IACrC,OAAO,EAAE,MAAM,EAAE,OAAO,CAAC,MAAM,IAAI,QAAQ,EAAE,SAAS,EAAE,OAAO,CAAC,SAAS,IAAI,yBAAyB,EAAE,CAAA;AAC1G,CAAC;AAED;;;;;;;GAOG;AACH,SAAS,SAAS,CAAI,MAAc,EAAE,SAAiB,EAAE,SAAiB,EAAE,EAAoB;IAC9F,OAAO,YAAY,CACjB,QAAQ,CAAC,MAAM,EAAE,SAAS,EAAE,SAAS,EAAE,EAAE,CAAC,EAC1C,SAAS,EACT,GAAG,EAAE,CAAC,IAAI,gCAAgC,CAAC,MAAM,EAAE,SAAS,EAAE,SAAS,CAAC,CACzE,CAAA;AACH,CAAC;AAED,SAAS,UAAU,CAAC,MAAc;IAChC,MAAM,KAAK,GAAG,IAAI,yBAAyB,CACzC,MAAM,EACN,YAAY,EACZ,IAAI,KAAK,CAAC,oBAAoB,aAAa,OAAO,qBAAqB,EAAE,CAAC,CAC3E,CAAA;IACD,KAAK,CAAC,OAAO;QACX,GAAG,MAAM,4CAA4C,qBAAqB,UAAU,aAAa,KAAK;YACtG,kHAAkH;YAClH,uFAAuF,CAAA;IACzF,OAAO,KAAK,CAAA;AACd,CAAC;AAED,SAAS,IAAI,CAAC,GAAY;IACxB,IAAI,GAAG,KAAK,IAAI,IAAI,GAAG,KAAK,SAAS;QAAE,OAAO,IAAI,CAAA;IAClD,MAAM,KAAK,GAAG,OAAO,GAAG,KAAK,QAAQ,CAAC,CAAC,CAAC,GAAG,CAAC,CAAC,CAAC,MAAM,CAAC,GAAG,CAAC,CAAA;IACzD,OAAO,MAAM,CAAC,QAAQ,CAAC,KAAK,CAAC,CAAC,CAAC,CAAC,KAAK,CAAC,CAAC,CAAC,IAAI,CAAA;AAC9C,CAAC;AAED;;;;GAIG;AACH,MAAM,CAAC,KAAK,UAAU,aAAa,CAAC,UAA4B,EAAE;IAChE,MAAM,EAAE,MAAM,EAAE,SAAS,EAAE,GAAG,IAAI,CAAC,OAAO,CAAC,CAAA;IAC3C,MAAM,IAAI,GAAU,MAAM,SAAS,CAAC,MAAM,EAAE,aAAa,EAAE,SAAS,EAAE,GAAG,EAAE,CACzE,EAAE;SACC,IAAI,CAAC,qBAAqB,CAAC;SAC3B,KAAK,CAAC,IAAI,EAAE,aAAa,CAAC;SAC1B,MAAM,CAAC,eAAe,EAAE,eAAe,EAAE,iBAAiB,EAAE,cAAc,CAAC,CAC/E,CAAA;IACD,IAAI,IAAI,CAAC,MAAM,KAAK,CAAC;QAAE,MAAM,UAAU,CAAC,MAAM,CAAC,CAAA;IAC/C,MAAM,GAAG,GAAG,IAAI,CAAC,CAAC,CAAC,CAAA;IACnB,MAAM,KAAK,GAAG,IAAI,CAAC,GAAG,CAAC,YAAY,CAAC,CAAA;IACpC,IAAI,KAAK,KAAK,IAAI;QAAE,MAAM,UAAU,CAAC,MAAM,CAAC,CAAA;IAC5C,OAAO;QACL,MAAM,EAAE,GAAG,CAAC,aAAa,KAAK,IAAI,IAAI,GAAG,CAAC,aAAa,KAAK,SAAS,CAAC,CAAC,CAAC,IAAI,CAAC,CAAC,CAAC,MAAM,CAAC,GAAG,CAAC,aAAa,CAAC;QACxG,MAAM,EAAE,GAAG,CAAC,aAAa,KAAK,IAAI,IAAI,GAAG,CAAC,aAAa,KAAK,SAAS,CAAC,CAAC,CAAC,IAAI,CAAC,CAAC,CAAC,MAAM,CAAC,GAAG,CAAC,aAAa,CAAC;QACxG,OAAO,EAAE,IAAI,CAAC,GAAG,CAAC,eAAe,CAAC;QAClC,KAAK;KACN,CAAA;AACH,CAAC;AAED,mHAAmH;AACnH,MAAM,UAAU,YAAY,CAAC,GAAc,EAAE,KAAa;IACxD,IAAI,GAAG,CAAC,MAAM,KAAK,IAAI;QAAE,OAAO,KAAK,CAAA;IACrC,OAAO,GAAG,CAAC,OAAO,KAAK,IAAI,IAAI,GAAG,CAAC,OAAO,GAAG,KAAK,CAAA;AACpD,CAAC;AAOD;;;;;;;GAOG;AACH,MAAM,CAAC,KAAK,UAAU,kBAAkB,CAAC,SAAiB,EAAE,OAA6B;IACvF,MAAM,GAAG,GAAG,MAAM,aAAa,CAAC,OAAO,CAAC,CAAA;IACxC,IAAI,CAAC,YAAY,CAAC,GAAG,EAAE,OAAO,CAAC,KAAK,CAAC;QAAE,OAAM;IAC7C,MAAM,IAAI,GAAG,YAAY,CAAC,GAAG,CAAC,MAAM,CAAC,KAAK,UAAU,CAAC,CAAC,CAAC,8BAA8B,CAAC,CAAC,CAAC,EAAE,CAAA;IAC1F,MAAM,IAAI,wBAAwB,CAChC,GAAG,SAAS,8CAA8C,GAAG,CAAC,MAAM,IAAI,IAAI,2BAA2B;QACrG,sFAAsF,CACzF,CAAA;AACH,CAAC;AAED,+GAA+G;AAC/G,MAAM,CAAC,MAAM,cAAc,GAAG,GAAG,CAAA;AAEjC,yFAAyF;AACzF,MAAM,CAAC,MAAM,sBAAsB,GAAG,WAAW,CAAA;AAEjD;;;;;;;;;;;;GAYG;AACH,MAAM,UAAU,iBAAiB,CAAC,aAAkB,EAAE,CAAC,UAAU,EAAE;IACjE,MAAM,MAAM,GAAG,sBAAsB,CAAC,MAAM,CAAA;IAC5C,IAAI,cAAc,CAAC,UAAU,CAAC,EAAE,CAAC;QAC/B,OAAO,EAAE,GAAG,EAAE,oCAAoC,MAAM,kCAAkC,EAAE,QAAQ,EAAE,CAAC,sBAAsB,CAAC,EAAE,CAAA;IAClI,CAAC;IACD,IAAI,SAAS,CAAC,UAAU,CAAC,CAAC,UAAU,CAAC,UAAU,CAAC,EAAE,CAAC;QACjD,OAAO,EAAE,GAAG,EAAE,4BAA4B,MAAM,mBAAmB,EAAE,QAAQ,EAAE,CAAC,sBAAsB,CAAC,EAAE,CAAA;IAC3G,CAAC;IACD,IAAI,eAAe,CAAC,UAAU,CAAC,EAAE,CAAC;QAChC,OAAO,EAAE,GAAG,EAAE,4BAA4B,MAAM,OAAO,EAAE,QAAQ,EAAE,CAAC,sBAAsB,CAAC,EAAE,CAAA;IAC/F,CAAC;IACD,MAAM,IAAI,uBAAuB,CAC/B,qBAAqB,SAAS,CAAC,UAAU,CAAC,mEAAmE,CAC9G,CAAA;AACH,CAAC;AAaD;;;;;;;;;GASG;AACH,MAAM,CAAC,KAAK,UAAU,oBAAoB,CACxC,KAAgF,EAChF,UAA4B,EAAE,EAC9B,OAAO,GAAG,CAAC;IAEX,MAAM,EAAE,MAAM,EAAE,SAAS,EAAE,GAAG,IAAI,CAAC,OAAO,CAAC,CAAA;IAC3C,6FAA6F;IAC7F,MAAM,QAAQ,GAAG,iBAAiB,EAAE,CAAA;IACpC,MAAM,OAAO,GAAG,MAAM,SAAS,CAAC,MAAM,EAAE,gBAAgB,EAAE,SAAS,EAAE,GAAG,EAAE,CACxE,EAAE;SACC,IAAI,CAAC,qBAAqB,CAAC;SAC3B,KAAK,CAAC,IAAI,EAAE,aAAa,CAAC;SAC1B,KAAK,CAAC,CAAC,CAAM,EAAE,EAAE;QAChB,sEAAsE;QACtE,CAAC,CAAC,SAAS,CAAC,eAAe,CAAC,CAAC,OAAO,CAAC,CAAC,OAAY,EAAE,EAAE;YACpD,OAAO;iBACJ,YAAY,CAAC,iBAAiB,CAAC;iBAC/B,QAAQ,CAAC,iBAAiB,EAAE,IAAI,EAAE,KAAK,CAAC,KAAK,CAAC;gBAC/C,+EAA+E;iBAC9E,QAAQ,CAAC,CAAC,WAAgB,EAAE,EAAE;gBAC7B,kGAAkG;gBAClG,WAAW,CAAC,SAAS,CAAC,eAAe,CAAC,CAAC,UAAU,CAAC,QAAQ,QAAQ,CAAC,GAAG,GAAG,EAAE,QAAQ,CAAC,QAAQ,CAAC,CAAA;YAC/F,CAAC,CAAC,CAAA;QACN,CAAC,CAAC,CAAA;IACJ,CAAC,CAAC;SACD,MAAM,CAAC;QACN,aAAa,EAAE,KAAK,CAAC,MAAM;QAC3B,aAAa,EAAE,KAAK,CAAC,MAAM;QAC3B,eAAe,EAAE,KAAK,CAAC,OAAO;QAC9B,YAAY,EAAE,EAAE,CAAC,GAAG,CAAC,kBAAkB,CAAC;QACxC,UAAU,EAAE,IAAI,IAAI,CAAC,KAAK,CAAC,KAAK,CAAC;KAClC,CAAC,CACL,CAAA;IACD,IAAI,MAAM,CAAC,OAAO,CAAC,KAAK,CAAC,EAAE,CAAC;QAC1B,wGAAwG;QACxG,MAAM,GAAG,GAAG,MAAM,aAAa,CAAC,OAAO,CAAC,CAAA;QACxC,IAAI,YAAY,CAAC,GAAG,EAAE,KAAK,CAAC,KAAK,CAAC;YAAE,OAAO,EAAE,MAAM,EAAE,MAAM,EAAE,GAAG,EAAE,CAAA;QAClE,IAAI,GAAG,CAAC,MAAM,KAAK,IAAI,IAAI,YAAY,CAAC,GAAG,CAAC,MAAM,CAAC,KAAK,UAAU;YAAE,OAAO,EAAE,MAAM,EAAE,kBAAkB,EAAE,GAAG,EAAE,CAAA;QAC9G,gFAAgF;QAChF,+EAA+E;QAC/E,+EAA+E;QAC/E,qFAAqF;QACrF,IAAI,OAAO,IAAI,CAAC,EAAE,CAAC;YACjB,MAAM,KAAK,GAAG,IAAI,yBAAyB,CACzC,MAAM,EACN,gBAAgB,EAChB,IAAI,KAAK,CAAC,yFAAyF,CAAC,CACrG,CAAA;YACD,KAAK,CAAC,OAAO;gBACX,GAAG,MAAM,0CAA0C,GAAG,CAAC,MAAM,IAAI,YAAY,WAAW,GAAG,CAAC,KAAK,iBAAiB;oBAClH,uGAAuG;oBACvG,kEAAkE,CAAA;YACpE,MAAM,KAAK,CAAA;QACb,CAAC;QACD,OAAO,oBAAoB,CAAC,KAAK,EAAE,OAAO,EAAE,OAAO,GAAG,CAAC,CAAC,CAAA;IAC1D,CAAC;IACD,MAAM,GAAG,GAAG,MAAM,aAAa,CAAC,OAAO,CAAC,CAAA;IACxC,8EAA8E;IAC9E,IAAI,GAAG,CAAC,MAAM,KAAK,KAAK,CAAC,MAAM;QAAE,OAAO,EAAE,MAAM,EAAE,MAAM,EAAE,GAAG,EAAE,CAAA;IAC/D,OAAO,EAAE,MAAM,EAAE,UAAU,EAAE,KAAK,EAAE,EAAE,KAAK,EAAE,GAAG,CAAC,KAAK,EAAE,MAAM,EAAE,KAAK,CAAC,MAAM,EAAE,EAAE,CAAA;AAClF,CAAC;AAED,6GAA6G;AAC7G,MAAM,CAAC,KAAK,UAAU,aAAa,CACjC,KAAgF,EAChF,UAA4B,EAAE;IAE9B,MAAM,OAAO,GAAG,MAAM,oBAAoB,CAAC,KAAK,EAAE,OAAO,CAAC,CAAA;IAC1D,OAAO,OAAO,CAAC,MAAM,KAAK,UAAU,CAAC,CAAC,CAAC,OAAO,CAAC,KAAK,CAAC,CAAC,CAAC,IAAI,CAAA;AAC7D,CAAC;AAED;;;;;GAKG;AACH,MAAM,CAAC,KAAK,UAAU,WAAW,CAC/B,KAAkB,EAClB,KAAyC,EACzC,UAA4B,EAAE;IAE9B,MAAM,EAAE,MAAM,EAAE,SAAS,EAAE,GAAG,IAAI,CAAC,OAAO,CAAC,CAAA;IAC3C,MAAM,OAAO,GAAG,MAAM,SAAS,CAAC,MAAM,EAAE,cAAc,EAAE,SAAS,EAAE,GAAG,EAAE,CACtE,EAAE;SACC,IAAI,CAAC,qBAAqB,CAAC;SAC3B,KAAK,CAAC,IAAI,EAAE,aAAa,CAAC;SAC1B,KAAK,CAAC,cAAc,EAAE,KAAK,CAAC,KAAK,CAAC;SAClC,KAAK,CAAC,eAAe,EAAE,KAAK,CAAC,MAAM,CAAC;SACpC,KAAK,CAAC,iBAAiB,EAAE,GAAG,EAAE,KAAK,CAAC,KAAK,CAAC;SAC1C,MAAM,CAAC,EAAE,eAAe,EAAE,KAAK,CAAC,OAAO,EAAE,UAAU,EAAE,IAAI,IAAI,CAAC,KAAK,CAAC,KAAK,CAAC,EAAE,CAAC,CACjF,CAAA;IACD,OAAO,MAAM,CAAC,OAAO,CAAC,GAAG,CAAC,CAAA;AAC5B,CAAC;AAED;;;;;GAKG;AACH,MAAM,CAAC,KAAK,UAAU,aAAa,CACjC,KAAkB,EAClB,KAAwB,EACxB,UAA4B,EAAE;IAE9B,MAAM,EAAE,MAAM,EAAE,SAAS,EAAE,GAAG,IAAI,CAAC,OAAO,CAAC,CAAA;IAC3C,MAAM,GAAG,GAAG,MAAM,aAAa,CAAC,OAAO,CAAC,CAAA;IACxC,gFAAgF;IAChF,8EAA8E;IAC9E,+EAA+E;IAC/E,mEAAmE;IACnE,gFAAgF;IAChF,8EAA8E;IAC9E,6EAA6E;IAC7E,8CAA8C;IAC9C,MAAM,aAAa,GAAG,KAAK,CAAC,MAAM,KAAK,cAAc,CAAA;IACrD,MAAM,IAAI,GACR,GAAG,CAAC,KAAK,KAAK,KAAK,CAAC,KAAK,IAAI,CAAC,aAAa,CAAC,CAAC,CAAC,GAAG,CAAC,MAAM,KAAK,IAAI,IAAI,GAAG,CAAC,MAAM,KAAK,cAAc,CAAC,CAAC,CAAC,GAAG,CAAC,MAAM,KAAK,KAAK,CAAC,MAAM,CAAC,CAAA;IACnI,MAAM,MAAM,GAAG,CAAC,IAAI,IAAI,CAAC,GAAG,CAAC,OAAO,KAAK,IAAI,IAAI,GAAG,CAAC,OAAO,IAAI,KAAK,CAAC,KAAK,CAAC,CAAA;IAC5E,IAAI,CAAC,IAAI;QAAE,OAAO,EAAE,QAAQ,EAAE,KAAK,EAAE,MAAM,EAAE,CAAA;IAC7C,MAAM,OAAO,GAAG,MAAM,SAAS,CAAC,MAAM,EAAE,gBAAgB,EAAE,SAAS,EAAE,GAAG,EAAE,CACxE,EAAE;SACC,IAAI,CAAC,qBAAqB,CAAC;SAC3B,KAAK,CAAC,IAAI,EAAE,aAAa,CAAC;SAC1B,KAAK,CAAC,cAAc,EAAE,KAAK,CAAC,KAAK,CAAC;SAClC,KAAK,CAAC,CAAC,CAAM,EAAE,EAAE,CAChB,aAAa,CAAC,CAAC,CAAC,CAAC,CAAC,SAAS,CAAC,eAAe,CAAC,CAAC,OAAO,CAAC,eAAe,EAAE,cAAc,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,KAAK,CAAC,eAAe,EAAE,KAAK,CAAC,MAAM,CAAC,CAC/H;SACA,MAAM,CAAC,EAAE,aAAa,EAAE,IAAI,EAAE,aAAa,EAAE,IAAI,EAAE,eAAe,EAAE,IAAI,EAAE,UAAU,EAAE,IAAI,IAAI,CAAC,KAAK,CAAC,KAAK,CAAC,EAAE,CAAC,CAClH,CAAA;IACD,OAAO,EAAE,QAAQ,EAAE,MAAM,CAAC,OAAO,CAAC,GAAG,CAAC,EAAE,MAAM,EAAE,CAAA;AAClD,CAAC;AAED;;;;;;;;;GASG;AACH,MAAM,UAAU,gBAAgB,CAAC,MAAqB;IACpD,OAAO,OAAO,MAAM,KAAK,QAAQ,IAAI,MAAM,CAAC,KAAK,CAAC,CAAC,EAAE,sBAAsB,CAAC,MAAM,CAAC,KAAK,sBAAsB,CAAA;AAChH,CAAC;AAED,uHAAuH;AACvH,MAAM,UAAU,YAAY,CAAC,MAAqB;IAChD,IAAI,gBAAgB,CAAC,MAAM,CAAC;QAAE,OAAO,UAAU,CAAA;IAC/C,IAAI,OAAO,MAAM,KAAK,QAAQ,IAAI,CAAC,MAAM,CAAC,QAAQ,CAAC,GAAG,CAAC;QAAE,OAAO,SAAS,CAAA;IACzE,MAAM,MAAM,GAAG,MAAM,CAAC,KAAK,CAAC,CAAC,EAAE,MAAM,CAAC,OAAO,CAAC,GAAG,CAAC,CAAC,CAAA;IACnD,OAAO,MAAM,KAAK,WAAW,IAAI,MAAM,KAAK,UAAU,CAAC,CAAC,CAAC,MAAM,CAAC,CAAC,CAAC,SAAS,CAAA;AAC7E,CAAC"}

package/build/src/identity.d.ts

@@ -97,6 +97,36 @@ export declare function isValidRelationId(value: unknown): value is string;
  * 422 aquí, antes de serializarse a nada.
  */
 export declare function scopeKey(scope: ScopeRef): string;
+/**
+ * **Las formas que PostgreSQL funde con `uuid` — y solo esas** (cierre-3 del
+ * lote A, decisión del dueño 2026-10-15 (3)): dado el uuid de un scope tal
+ * como lo escribió el llamante, la ortografía CANÓNICA (8-4-4-4-12) con la
+ * que un motor pudo fundirlo, o `[]` si no es alias de nada (ya es canónica,
+ * o no es un uuid, o es una forma que ningún motor del README funde).
+ *
+ * Es la regla del FAN-OUT de roles (`scopeSpellings`: la purga sin cadena
+ * de `scopes.detached`, `revoke`/`removeDeny`), y es a propósito MÁS
+ * ESTRECHA que `isNonCanonicalUuid`, la del 422 de las particiones de
+ * relaciones: son DOS propósitos. Rechazar de más (422 por `-<32hex>`) es
+ * inocuo, el llamante lo ve y lo corrige; purgar de más NO lo es, porque la
+ * canónica que se añade puede ser un scope VIVO de otro tenant en un
+ * consumidor con ids de texto elegibles por el usuario (🟡 C2-1/C2-2 del
+ * re-ataque al cierre-2: hasta el cierre-3 `scopeSpellings` usaba la ancha y
+ * `a0e-<hex de la víctima>` arrastraba a la víctima a la purga). Expandir
+ * una forma que ningún motor funde es coste sin beneficio: nunca hay hechos
+ * canónicos que sean «suyos».
+ *
+ * **Formas de más de 36 caracteres** (⚪ C2-4): PG funde también `4×8`
+ * (39 caracteres, el ejemplo literal de su doc), pero `IDENTITY_LIMITS.uuid`
+ * es 36 —la columna publicada— y `assertScope` la rechaza ANTES de llegar
+ * aquí con 422 `E_AUTHZ_INVALID_IDENTITY`: ruidoso y visible para el
+ * consumidor, nunca una purga a medias en silencio. El conjunto de este
+ * fan-out es, por tanto, «lo que PG funde Y cabe en 36».
+ *
+ * La inversa NO existe: dada la canónica no se enumeran sus alias (serían
+ * 2^7 ortografías); el fan-out va siempre de alias ⇒ canónica.
+ */
+export declare function pgFusedSpellings(uuid: string): string[];
 /**
  * **Las ORTOGRAFÍAS de un scope con las que hay que limpiar cuando ya no hay
  * cadena con la que canonizar** (3b-2h · 🟠 3, auditor R2).
@@ -114,17 +144,98 @@ export declare function scopeKey(scope: ScopeRef): string;
  * fail-closed; en escritura era fail-OPEN.
  *
  * La salida es no elegir: una purga sin cadena limpia la ortografía del
- * llamante **y** la canónica de la que puede ser alias. Solo se expande el
- * alias SIN guiones (32 hex ⇒ también la forma 8-4-4-4-12), que es la única
- * que un motor produce fundiendo —PostgreSQL canoniza CON guiones; el alias
- * por mayúsculas ya muere en la puerta (`assertScope`)—; así el consumidor
- * que guarda sus uuids con guiones (el caso normal) no paga NADA, y el que
- * los guarda sin guiones sigue purgando su clave y, además, una que nunca
- * tiene hechos. Normalizar en vez de expandir no vale: sin la fila no se sabe
- * cuál de las dos es la buena, y elegir mal deja los hechos vivos, que es el
- * fallo que se está cerrando.
+ * llamante **y** la canónica de la que puede ser alias. **La regla de «¿de
+ * qué canónica puede ser alias?» es `pgFusedSpellings`**: exactamente lo que
+ * el tipo `uuid` de PostgreSQL funde (sin guiones, `8-4-4-16`, `8-8-8-8`,
+ * `12-4-4-12`…, medido), ni una forma más. Hasta el cierre-2 del lote A solo
+ * se expandía la forma SIN guiones y `8-4-4-16` dejaba la canónica viva
+ * (🟠 R1); el cierre-2 pasó a `isNonCanonicalUuid`, que es MÁS ANCHA que lo
+ * que PG funde (`-<32hex>`, `<32hex>-`, `a0e-ebc99…`, `--`: ids legales de
+ * la gramática que PG rechaza), y eso ampliaba el alcance de una purga sin
+ * cadena a scopes VIVOS ajenos (🟡 C2-1); el cierre-3 separa las dos reglas
+ * por propósito. El alias por mayúsculas ya muere en la puerta
+ * (`assertScope`). Así el consumidor que guarda sus uuids canónicos (el caso
+ * normal) no paga NADA, y el que los guarda de otra forma sigue purgando su
+ * clave y, además, la canónica. Normalizar en vez de expandir no vale: sin
+ * la fila no se sabe cuál de las dos es la buena, y elegir mal deja los
+ * hechos vivos, que es el fallo que se está cerrando.
+ *
+ * Esta función es PURA (no mira el árbol). Quien la consume es UN solo punto
+ * de paso, `canonicalScopeTargets` (`backend_guard.ts`; lo usan
+ * `scopes.detached` sin cadena en el manager y el fan-out de
+ * `revoke`/`removeDeny` en los dos drivers, 3b-8 · A4), que además DESCARTA
+ * toda ortografía que el resolutor reconozca como scope VIVO distinto del
+ * pedido (cierre-3 · 🟡 C2-2/C2-3): nunca se purga un scope vivo que no es
+ * el que se pidió.
  */
 export declare function scopeSpellings(scope: ScopeRef): ScopeRef[];
+/** ¿Es un uuid canónico escrito SIN guiones (32 hex en minúsculas)? */
+export declare function isDashlessUuid(value: unknown): value is string;
+/** La forma 8-4-4-4-12 de un uuid de 32 hex (la ortografía CANÓNICA). */
+export declare function dashedUuid(dashless: string): string;
+/**
+ * **¿Es una ortografía NO canónica de un uuid?** (D4 + cierre 🟠 A2 del
+ * auditor del lote A, decisión del dueño 2026-10-15): todo valor que, sin
+ * guiones, sea 32 hex y NO esté exactamente en la forma 8-4-4-4-12. Cubre el
+ * 32 hex sin guiones (lo único que D4 cerraba) Y cualquier otra colocación de
+ * guiones —`8-4-4-16`, cuatro grupos, la canónica sin su último guion…—.
+ *
+ * **Es la regla ANCHA, y se usa SOLO para el 422 de las particiones de
+ * relaciones** (`assertPartition`; cierre-3 del lote A, decisión del dueño
+ * 2026-10-15 (3)): es un SUPERCONJUNTO de lo que el tipo `uuid` de
+ * PostgreSQL funde —incluye `-<32hex>`, `<32hex>-`, `a0e-ebc99…` o `8--24`,
+ * que PG rechaza con «invalid input syntax» (medido, PG 18)— y ahí ser más
+ * ancha es inocuo: un 422 de más lo ve y lo corrige el llamante, y una
+ * partición que «parece un uuid» sin serlo tampoco merece ser una clave
+ * distinta de la canónica. Lo que PG funde DE VERDAD es `pgFusedSpellings`,
+ * la regla del fan-out de ROLES, donde expandir de más sí cuesta (purgar un
+ * scope vivo ajeno). Un valor que sin guiones no sea 32 hex (31, 33, un
+ * carácter no hex, `_`/`.`) NO es un uuid y es un id legal.
+ * Es la MISMA función que usa el detector de la receta del README, por
+ * construcción (el `upgrade_recipe.spec` lo mide: lo que `assertPartition`
+ * rechaza, el detector lo lista).
+ */
+export declare function isNonCanonicalUuid(value: unknown): value is string;
+/**
+ * **La partición de una relación se escribe en la forma CANÓNICA 8-4-4-4-12,
+ * o es 422** (D4, decisión del dueño 2026-10-14; `panel-tenencia-2-juez.md`
+ * §5; ampliado el 2026-10-15 a toda ortografía no canónica, 🟠 A2).
+ * `assertScope` vale para un scope de ROLES porque ahí la identidad la
+ * canoniza la cadena del resolutor (invariante 17) y, donde no hay cadena,
+ * `scopeSpellings` barre la ortografía del llamante y la canónica de la que
+ * puede ser alias, con SU regla (`pgFusedSpellings`, lo que PG funde de
+ * verdad: cierre-3). En RELACIONES no hay cadena con
+ * la que canonizar: la clave de partición es un string comparado byte a
+ * byte, así que `unit|aaaa…` (32 hex) y `unit|aaaa-…` eran DOS particiones,
+ * la purga canónica no veía la otra y, con el 422, las tuplas viejas sin
+ * guiones quedaban inalcanzables para siempre (tester H5). Y la clase no era
+ * solo «sin guiones»: PostgreSQL funde también `8-4-4-16`, cuatro grupos de
+ * ocho, la canónica sin un guion… (🟠 A2) — cualquier colocación de guiones
+ * sobre los mismos 32 hex —, así que la regla es «32 hex sin guiones y no
+ * exactamente 8-4-4-4-12 ⇒ 422» (`isNonCanonicalUuid`). La regla es una sola
+ * y va en un solo sitio: toda operación que recibe una partición —manager,
+ * los dos drivers, el doble publicado y `reconcileRelations`— pasa por aquí
+ * (o por `partitionKey`, que la llama), y la guardia de superficie
+ * (`tests/guard_surface.spec.ts`, columna `partition`) lo sondea en cada
+ * operación con las DOS formas (sin guiones y `8-4-4-16`). Las filas escritas
+ * antes de 2.5.0 con una ortografía no canónica se detectan, se listan y se
+ * BORRAN con la receta del README («Upgrading to 2.5.0», fail-closed por
+ * defecto: eran concesiones invisibles a la purga canónica); re-clavarlas es
+ * el paso opt-in `--rekey`. La ejecuta `tests/upgrade_recipe.spec.ts` en los
+ * tres motores, con las dos ramas.
+ *
+ * Un id de partición que no sea un uuid sigue valiendo (`[a-z0-9._-]{1,36}`:
+ * 32 caracteres no todos hex, 31 o 33 hex…). Los ids de OBJETO y de SUJETO
+ * no se rechazan: se comparan byte a byte y el README lo declara.
+ */
+export declare function assertPartition(partition: ScopeRef): void;
+/**
+ * La clave de partición de una RELACIÓN: `scopeKey` con la regla de
+ * `assertPartition` delante. Es lo que los dos drivers de relaciones (y el
+ * doble) usan para componer `partition_key` / el id de objeto del store: no
+ * hay camino hacia el backend que no pase por aquí.
+ */
+export declare function partitionKey(partition: ScopeRef): string;
 /**
  * La inversa de `scopeKey` para claves que vienen de la BASE (el owner de un
  * rol): `app` ⇒ la raíz; `<tipo>|<uuid>` ⇒ el scope; cualquier otra forma

package/build/src/identity.d.ts.map

@@ -1 +1 @@
-{"version":3,"file":"identity.d.ts","sourceRoot":"","sources":["../../src/identity.ts"],"names":[],"mappings":"AAEA,OAAO,KAAK,EAAE,mBAAmB,EAAE,SAAS,EAAE,QAAQ,EAAE,UAAU,EAAE,MAAM,YAAY,CAAA;AAEtF;;;;;;;;;;;;;;;;;;;;;;GAsBG;AAEH;;;;;GAKG;AACH,eAAO,MAAM,eAAe;;;;EAI1B,CAAA;AAEF;;;;GAIG;AACH,eAAO,MAAM,aAAa,yCAAyC,CAAA;AAgBnE,uGAAuG;AACvG,wBAAgB,iBAAiB,CAAC,IAAI,EAAE,MAAM,EAAE,KAAK,EAAE,OAAO,GAAG,OAAO,CAAC,KAAK,IAAI,MAAM,CAMvF;AAED,uFAAuF;AACvF,wBAAgB,aAAa,CAAC,KAAK,EAAE,OAAO,GAAG,KAAK,IAAI,MAAM,CAE7D;AAoDD,gFAAgF;AAChF,wBAAgB,aAAa,CAAC,OAAO,EAAE,UAAU,GAAG,IAAI,CAMvD;AAED;;;;;GAKG;AACH,wBAAgB,WAAW,CAAC,KAAK,EAAE,QAAQ,GAAG,IAAI,CAqBjD;AAED,qDAAqD;AACrD,wBAAgB,eAAe,CAAC,SAAS,EAAE,MAAM,GAAG,IAAI,CAEvD;AAED;;;;;GAKG;AACH,eAAO,MAAM,iBAAiB,KAAK,CAAA;AAEnC;;;;;;;;;;;;;;;;;;;;GAoBG;AACH,wBAAgB,gBAAgB,CAAC,IAAI,EAAE,MAAM,EAAE,KAAK,EAAE,OAAO,GAAG,OAAO,CAAC,KAAK,IAAI,MAAM,CAEtF;AAED,uFAAuF;AACvF,wBAAgB,iBAAiB,CAAC,KAAK,EAAE,OAAO,GAAG,KAAK,IAAI,MAAM,CAOjE;AAID;;;;;;;;;;GAUG;AACH,wBAAgB,QAAQ,CAAC,KAAK,EAAE,QAAQ,GAAG,MAAM,CAIhD;AAKD;;;;;;;;;;;;;;;;;;;;;;;;;;GA0BG;AACH,wBAAgB,cAAc,CAAC,KAAK,EAAE,QAAQ,GAAG,QAAQ,EAAE,CAM1D;AAED;;;;;GAKG;AACH,wBAAgB,YAAY,CAAC,GAAG,EAAE,MAAM,GAAG,QAAQ,GAAG,IAAI,CAMzD;AAWD;;;;;GAKG;AACH,eAAO,MAAM,cAAc,EAAE,WAAW,CAAC,MAAM,CAQ7C,CAAA;AAEF;;;;;GAKG;AACH,eAAO,MAAM,sBAAsB,EAAE,SAAS,MAAM,EAAmD,CAAA;AAEvG;;;;;;;;;;;;GAYG;AACH,eAAO,MAAM,oBAAoB,EAAE,WAAW,CAAC,MAAM,CAE7B,CAAA;AAExB;;;;;;GAMG;AACH,eAAO,MAAM,eAAe,QAAgE,CAAA;AAE5F,MAAM,MAAM,QAAQ,GAAG,KAAK,GAAG,SAAS,CAAA;AAExC,uFAAuF;AACvF,wBAAgB,eAAe,CAAC,IAAI,EAAE,QAAQ,EAAE,IAAI,EAAE,OAAO,GAAG,OAAO,CAAC,IAAI,IAAI,MAAM,CAsCrF;AAED;;;;GAIG;AACH,wBAAgB,cAAc,CAAC,IAAI,EAAE,MAAM,GAAG,MAAM,CAEnD;AAED,8EAA8E;AAC9E,wBAAgB,sBAAsB,CAAC,IAAI,EAAE,QAAQ,EAAE,KAAK,EAAE,QAAQ,CAAC,MAAM,CAAC,GAAG,IAAI,CAapF;AAED,oGAAoG;AACpG,wBAAgB,YAAY,CAAC,KAAK,EAAE,QAAQ,GAAG,OAAO,CAOrD;AAED,wBAAgB,gBAAgB,CAAC,SAAS,EAAE,OAAO,GAAG,SAAS,IAAI,MAAM,CAOxE;AAED,wBAAgB,WAAW,CAAC,IAAI,EAAE,QAAQ,EAAE,IAAI,EAAE,MAAM,GAAG,OAAO,CAOjE;AAED;;;GAGG;AACH,wBAAgB,kBAAkB,CAAC,IAAI,EAAE,SAAS,GAAG,mBAAmB,CAyBvE;AAED;;;;;;GAMG;AACH,wBAAgB,aAAa,CAAC,KAAK,EAAE,QAAQ,EAAE,GAAG,MAAM,EAAE,EAAE,CAG3D;AAID;;;;;GAKG;AACH,wBAAgB,eAAe,CAAC,KAAK,EAAE,OAAO,GAAG,OAAO,CAAC,KAAK,IAAI,IAAI,GAAG,IAAI,GAAG,SAAS,CAQxF;AAED,MAAM,WAAW,aAAa;IAC5B,OAAO,CAAC,EAAE,UAAU,CAAA;IACpB,KAAK,CAAC,EAAE,QAAQ,CAAA;IAChB,SAAS,CAAC,EAAE,MAAM,CAAA;IAClB,oEAAoE;IACpE,IAAI,CAAC,EAAE,SAAS,CAAA;IAChB;;;;OAIG;IACH,QAAQ,CAAC,EAAE,OAAO,CAAA;IAClB,UAAU,CAAC,EAAE,MAAM,CAAA;IACnB,qEAAqE;IACrE,SAAS,CAAC,EAAE,OAAO,CAAA;CACpB;AAED;;;;GAIG;AACH,wBAAgB,cAAc,CAAC,KAAK,EAAE,aAAa,GAAG,IAAI,CAQzD"}
+{"version":3,"file":"identity.d.ts","sourceRoot":"","sources":["../../src/identity.ts"],"names":[],"mappings":"AAEA,OAAO,KAAK,EAAE,mBAAmB,EAAE,SAAS,EAAE,QAAQ,EAAE,UAAU,EAAE,MAAM,YAAY,CAAA;AAEtF;;;;;;;;;;;;;;;;;;;;;;GAsBG;AAEH;;;;;GAKG;AACH,eAAO,MAAM,eAAe;;;;EAI1B,CAAA;AAEF;;;;GAIG;AACH,eAAO,MAAM,aAAa,yCAAyC,CAAA;AAgBnE,uGAAuG;AACvG,wBAAgB,iBAAiB,CAAC,IAAI,EAAE,MAAM,EAAE,KAAK,EAAE,OAAO,GAAG,OAAO,CAAC,KAAK,IAAI,MAAM,CAMvF;AAED,uFAAuF;AACvF,wBAAgB,aAAa,CAAC,KAAK,EAAE,OAAO,GAAG,KAAK,IAAI,MAAM,CAE7D;AAoDD,gFAAgF;AAChF,wBAAgB,aAAa,CAAC,OAAO,EAAE,UAAU,GAAG,IAAI,CAMvD;AAED;;;;;GAKG;AACH,wBAAgB,WAAW,CAAC,KAAK,EAAE,QAAQ,GAAG,IAAI,CAqBjD;AAED,qDAAqD;AACrD,wBAAgB,eAAe,CAAC,SAAS,EAAE,MAAM,GAAG,IAAI,CAEvD;AAED;;;;;GAKG;AACH,eAAO,MAAM,iBAAiB,KAAK,CAAA;AAEnC;;;;;;;;;;;;;;;;;;;;GAoBG;AACH,wBAAgB,gBAAgB,CAAC,IAAI,EAAE,MAAM,EAAE,KAAK,EAAE,OAAO,GAAG,OAAO,CAAC,KAAK,IAAI,MAAM,CAEtF;AAED,uFAAuF;AACvF,wBAAgB,iBAAiB,CAAC,KAAK,EAAE,OAAO,GAAG,KAAK,IAAI,MAAM,CAOjE;AAID;;;;;;;;;;GAUG;AACH,wBAAgB,QAAQ,CAAC,KAAK,EAAE,QAAQ,GAAG,MAAM,CAIhD;AAoBD;;;;;;;;;;;;;;;;;;;;;;;;;;;;GA4BG;AACH,wBAAgB,gBAAgB,CAAC,IAAI,EAAE,MAAM,GAAG,MAAM,EAAE,CAGvD;AAED;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;GAwCG;AACH,wBAAgB,cAAc,CAAC,KAAK,EAAE,QAAQ,GAAG,QAAQ,EAAE,CAK1D;AAED,uEAAuE;AACvE,wBAAgB,cAAc,CAAC,KAAK,EAAE,OAAO,GAAG,KAAK,IAAI,MAAM,CAE9D;AAED,yEAAyE;AACzE,wBAAgB,UAAU,CAAC,QAAQ,EAAE,MAAM,GAAG,MAAM,CAEnD;AAOD;;;;;;;;;;;;;;;;;;;;;GAqBG;AACH,wBAAgB,kBAAkB,CAAC,KAAK,EAAE,OAAO,GAAG,KAAK,IAAI,MAAM,CAGlE;AAED;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;GA+BG;AACH,wBAAgB,eAAe,CAAC,SAAS,EAAE,QAAQ,GAAG,IAAI,CAYzD;AAED;;;;;GAKG;AACH,wBAAgB,YAAY,CAAC,SAAS,EAAE,QAAQ,GAAG,MAAM,CAGxD;AAED;;;;;GAKG;AACH,wBAAgB,YAAY,CAAC,GAAG,EAAE,MAAM,GAAG,QAAQ,GAAG,IAAI,CAMzD;AAWD;;;;;GAKG;AACH,eAAO,MAAM,cAAc,EAAE,WAAW,CAAC,MAAM,CAQ7C,CAAA;AAEF;;;;;GAKG;AACH,eAAO,MAAM,sBAAsB,EAAE,SAAS,MAAM,EAAmD,CAAA;AAEvG;;;;;;;;;;;;GAYG;AACH,eAAO,MAAM,oBAAoB,EAAE,WAAW,CAAC,MAAM,CAE7B,CAAA;AAExB;;;;;;GAMG;AACH,eAAO,MAAM,eAAe,QAAgE,CAAA;AAE5F,MAAM,MAAM,QAAQ,GAAG,KAAK,GAAG,SAAS,CAAA;AAExC,uFAAuF;AACvF,wBAAgB,eAAe,CAAC,IAAI,EAAE,QAAQ,EAAE,IAAI,EAAE,OAAO,GAAG,OAAO,CAAC,IAAI,IAAI,MAAM,CAsCrF;AAED;;;;GAIG;AACH,wBAAgB,cAAc,CAAC,IAAI,EAAE,MAAM,GAAG,MAAM,CAEnD;AAED,8EAA8E;AAC9E,wBAAgB,sBAAsB,CAAC,IAAI,EAAE,QAAQ,EAAE,KAAK,EAAE,QAAQ,CAAC,MAAM,CAAC,GAAG,IAAI,CAapF;AAED,oGAAoG;AACpG,wBAAgB,YAAY,CAAC,KAAK,EAAE,QAAQ,GAAG,OAAO,CAOrD;AAED,wBAAgB,gBAAgB,CAAC,SAAS,EAAE,OAAO,GAAG,SAAS,IAAI,MAAM,CAOxE;AAED,wBAAgB,WAAW,CAAC,IAAI,EAAE,QAAQ,EAAE,IAAI,EAAE,MAAM,GAAG,OAAO,CAOjE;AAED;;;GAGG;AACH,wBAAgB,kBAAkB,CAAC,IAAI,EAAE,SAAS,GAAG,mBAAmB,CAyBvE;AAED;;;;;;GAMG;AACH,wBAAgB,aAAa,CAAC,KAAK,EAAE,QAAQ,EAAE,GAAG,MAAM,EAAE,EAAE,CAG3D;AAID;;;;;GAKG;AACH,wBAAgB,eAAe,CAAC,KAAK,EAAE,OAAO,GAAG,OAAO,CAAC,KAAK,IAAI,IAAI,GAAG,IAAI,GAAG,SAAS,CAQxF;AAED,MAAM,WAAW,aAAa;IAC5B,OAAO,CAAC,EAAE,UAAU,CAAA;IACpB,KAAK,CAAC,EAAE,QAAQ,CAAA;IAChB,SAAS,CAAC,EAAE,MAAM,CAAA;IAClB,oEAAoE;IACpE,IAAI,CAAC,EAAE,SAAS,CAAA;IAChB;;;;OAIG;IACH,QAAQ,CAAC,EAAE,OAAO,CAAA;IAClB,UAAU,CAAC,EAAE,MAAM,CAAA;IACnB,qEAAqE;IACrE,SAAS,CAAC,EAAE,OAAO,CAAA;CACpB;AAED;;;;GAIG;AACH,wBAAgB,cAAc,CAAC,KAAK,EAAE,aAAa,GAAG,IAAI,CAQzD"}

package/build/src/identity.js

@@ -199,6 +199,54 @@ export function scopeKey(scope) {
 }
 /** Un uuid canónico escrito SIN guiones: 32 dígitos hexadecimales. */
 const DASHLESS_UUID = /^[0-9a-f]{32}$/;
+/**
+ * **Lo que el tipo `uuid` de PostgreSQL FUNDE de verdad**: 32 hex con, como
+ * mucho, UN guion detrás de cada grupo de cuatro. Es la letra de la doc
+ * (postgresql.org/docs/current/datatype-uuid.html, «PostgreSQL also accepts
+ * the following alternative forms for input: […] omitting some or all
+ * hyphens, adding a hyphen after any group of four digits») y está MEDIDO
+ * contra PostgreSQL 18 (`select '<forma>'::uuid`, cierre-3 del lote A):
+ * funde la canónica, `32 hex`, `8-4-4-16`, `8-8-8-8`, `12-4-4-12`, `8-24` y
+ * `4×8` (39 caracteres); RECHAZA `-<32hex>`, `<32hex>-`, `a0e-ebc99…` (guion
+ * tras tres) y `8--24` (dos guiones seguidos) con «invalid input syntax for
+ * type uuid». Mayúsculas y llaves también las funde, pero no pasan
+ * `assertScope` (minúsculas, `[a-z0-9._-]`).
+ */
+const PG_FUSED_UUID = /^([0-9a-f]{4}-?){7}[0-9a-f]{4}$/;
+/**
+ * **Las formas que PostgreSQL funde con `uuid` — y solo esas** (cierre-3 del
+ * lote A, decisión del dueño 2026-10-15 (3)): dado el uuid de un scope tal
+ * como lo escribió el llamante, la ortografía CANÓNICA (8-4-4-4-12) con la
+ * que un motor pudo fundirlo, o `[]` si no es alias de nada (ya es canónica,
+ * o no es un uuid, o es una forma que ningún motor del README funde).
+ *
+ * Es la regla del FAN-OUT de roles (`scopeSpellings`: la purga sin cadena
+ * de `scopes.detached`, `revoke`/`removeDeny`), y es a propósito MÁS
+ * ESTRECHA que `isNonCanonicalUuid`, la del 422 de las particiones de
+ * relaciones: son DOS propósitos. Rechazar de más (422 por `-<32hex>`) es
+ * inocuo, el llamante lo ve y lo corrige; purgar de más NO lo es, porque la
+ * canónica que se añade puede ser un scope VIVO de otro tenant en un
+ * consumidor con ids de texto elegibles por el usuario (🟡 C2-1/C2-2 del
+ * re-ataque al cierre-2: hasta el cierre-3 `scopeSpellings` usaba la ancha y
+ * `a0e-<hex de la víctima>` arrastraba a la víctima a la purga). Expandir
+ * una forma que ningún motor funde es coste sin beneficio: nunca hay hechos
+ * canónicos que sean «suyos».
+ *
+ * **Formas de más de 36 caracteres** (⚪ C2-4): PG funde también `4×8`
+ * (39 caracteres, el ejemplo literal de su doc), pero `IDENTITY_LIMITS.uuid`
+ * es 36 —la columna publicada— y `assertScope` la rechaza ANTES de llegar
+ * aquí con 422 `E_AUTHZ_INVALID_IDENTITY`: ruidoso y visible para el
+ * consumidor, nunca una purga a medias en silencio. El conjunto de este
+ * fan-out es, por tanto, «lo que PG funde Y cabe en 36».
+ *
+ * La inversa NO existe: dada la canónica no se enumeran sus alias (serían
+ * 2^7 ortografías); el fan-out va siempre de alias ⇒ canónica.
+ */
+export function pgFusedSpellings(uuid) {
+    if (typeof uuid !== 'string' || !PG_FUSED_UUID.test(uuid) || CANONICAL_UUID.test(uuid))
+        return [];
+    return [dashedUuid(uuid.replace(/-/g, ''))];
+}
 /**
  * **Las ORTOGRAFÍAS de un scope con las que hay que limpiar cuando ya no hay
  * cadena con la que canonizar** (3b-2h · 🟠 3, auditor R2).
@@ -216,23 +264,127 @@ const DASHLESS_UUID = /^[0-9a-f]{32}$/;
  * fail-closed; en escritura era fail-OPEN.
  *
  * La salida es no elegir: una purga sin cadena limpia la ortografía del
- * llamante **y** la canónica de la que puede ser alias. Solo se expande el
- * alias SIN guiones (32 hex ⇒ también la forma 8-4-4-4-12), que es la única
- * que un motor produce fundiendo —PostgreSQL canoniza CON guiones; el alias
- * por mayúsculas ya muere en la puerta (`assertScope`)—; así el consumidor
- * que guarda sus uuids con guiones (el caso normal) no paga NADA, y el que
- * los guarda sin guiones sigue purgando su clave y, además, una que nunca
- * tiene hechos. Normalizar en vez de expandir no vale: sin la fila no se sabe
- * cuál de las dos es la buena, y elegir mal deja los hechos vivos, que es el
- * fallo que se está cerrando.
+ * llamante **y** la canónica de la que puede ser alias. **La regla de «¿de
+ * qué canónica puede ser alias?» es `pgFusedSpellings`**: exactamente lo que
+ * el tipo `uuid` de PostgreSQL funde (sin guiones, `8-4-4-16`, `8-8-8-8`,
+ * `12-4-4-12`…, medido), ni una forma más. Hasta el cierre-2 del lote A solo
+ * se expandía la forma SIN guiones y `8-4-4-16` dejaba la canónica viva
+ * (🟠 R1); el cierre-2 pasó a `isNonCanonicalUuid`, que es MÁS ANCHA que lo
+ * que PG funde (`-<32hex>`, `<32hex>-`, `a0e-ebc99…`, `--`: ids legales de
+ * la gramática que PG rechaza), y eso ampliaba el alcance de una purga sin
+ * cadena a scopes VIVOS ajenos (🟡 C2-1); el cierre-3 separa las dos reglas
+ * por propósito. El alias por mayúsculas ya muere en la puerta
+ * (`assertScope`). Así el consumidor que guarda sus uuids canónicos (el caso
+ * normal) no paga NADA, y el que los guarda de otra forma sigue purgando su
+ * clave y, además, la canónica. Normalizar en vez de expandir no vale: sin
+ * la fila no se sabe cuál de las dos es la buena, y elegir mal deja los
+ * hechos vivos, que es el fallo que se está cerrando.
+ *
+ * Esta función es PURA (no mira el árbol). Quien la consume es UN solo punto
+ * de paso, `canonicalScopeTargets` (`backend_guard.ts`; lo usan
+ * `scopes.detached` sin cadena en el manager y el fan-out de
+ * `revoke`/`removeDeny` en los dos drivers, 3b-8 · A4), que además DESCARTA
+ * toda ortografía que el resolutor reconozca como scope VIVO distinto del
+ * pedido (cierre-3 · 🟡 C2-2/C2-3): nunca se purga un scope vivo que no es
+ * el que se pidió.
  */
 export function scopeSpellings(scope) {
     assertScope(scope);
     const uuid = scope.uuid;
-    if (uuid === null || !DASHLESS_UUID.test(uuid))
+    if (uuid === null)
         return [scope];
-    const dashed = `${uuid.slice(0, 8)}-${uuid.slice(8, 12)}-${uuid.slice(12, 16)}-${uuid.slice(16, 20)}-${uuid.slice(20)}`;
-    return [scope, { type: scope.type, uuid: dashed }];
+    return [scope, ...pgFusedSpellings(uuid).map((canonical) => ({ type: scope.type, uuid: canonical }))];
+}
+/** ¿Es un uuid canónico escrito SIN guiones (32 hex en minúsculas)? */
+export function isDashlessUuid(value) {
+    return typeof value === 'string' && DASHLESS_UUID.test(value);
+}
+/** La forma 8-4-4-4-12 de un uuid de 32 hex (la ortografía CANÓNICA). */
+export function dashedUuid(dashless) {
+    return `${dashless.slice(0, 8)}-${dashless.slice(8, 12)}-${dashless.slice(12, 16)}-${dashless.slice(16, 20)}-${dashless.slice(20)}`;
+}
+/* ── Partición de RELACIONES (D4, plan 2.5 · lote A) ───────────────────── */
+/** La ortografía CANÓNICA de un uuid: exactamente 8-4-4-4-12, minúsculas. */
+const CANONICAL_UUID = /^[0-9a-f]{8}-[0-9a-f]{4}-[0-9a-f]{4}-[0-9a-f]{4}-[0-9a-f]{12}$/;
+/**
+ * **¿Es una ortografía NO canónica de un uuid?** (D4 + cierre 🟠 A2 del
+ * auditor del lote A, decisión del dueño 2026-10-15): todo valor que, sin
+ * guiones, sea 32 hex y NO esté exactamente en la forma 8-4-4-4-12. Cubre el
+ * 32 hex sin guiones (lo único que D4 cerraba) Y cualquier otra colocación de
+ * guiones —`8-4-4-16`, cuatro grupos, la canónica sin su último guion…—.
+ *
+ * **Es la regla ANCHA, y se usa SOLO para el 422 de las particiones de
+ * relaciones** (`assertPartition`; cierre-3 del lote A, decisión del dueño
+ * 2026-10-15 (3)): es un SUPERCONJUNTO de lo que el tipo `uuid` de
+ * PostgreSQL funde —incluye `-<32hex>`, `<32hex>-`, `a0e-ebc99…` o `8--24`,
+ * que PG rechaza con «invalid input syntax» (medido, PG 18)— y ahí ser más
+ * ancha es inocuo: un 422 de más lo ve y lo corrige el llamante, y una
+ * partición que «parece un uuid» sin serlo tampoco merece ser una clave
+ * distinta de la canónica. Lo que PG funde DE VERDAD es `pgFusedSpellings`,
+ * la regla del fan-out de ROLES, donde expandir de más sí cuesta (purgar un
+ * scope vivo ajeno). Un valor que sin guiones no sea 32 hex (31, 33, un
+ * carácter no hex, `_`/`.`) NO es un uuid y es un id legal.
+ * Es la MISMA función que usa el detector de la receta del README, por
+ * construcción (el `upgrade_recipe.spec` lo mide: lo que `assertPartition`
+ * rechaza, el detector lo lista).
+ */
+export function isNonCanonicalUuid(value) {
+    if (typeof value !== 'string')
+        return false;
+    return DASHLESS_UUID.test(value.replace(/-/g, '')) && !CANONICAL_UUID.test(value);
+}
+/**
+ * **La partición de una relación se escribe en la forma CANÓNICA 8-4-4-4-12,
+ * o es 422** (D4, decisión del dueño 2026-10-14; `panel-tenencia-2-juez.md`
+ * §5; ampliado el 2026-10-15 a toda ortografía no canónica, 🟠 A2).
+ * `assertScope` vale para un scope de ROLES porque ahí la identidad la
+ * canoniza la cadena del resolutor (invariante 17) y, donde no hay cadena,
+ * `scopeSpellings` barre la ortografía del llamante y la canónica de la que
+ * puede ser alias, con SU regla (`pgFusedSpellings`, lo que PG funde de
+ * verdad: cierre-3). En RELACIONES no hay cadena con
+ * la que canonizar: la clave de partición es un string comparado byte a
+ * byte, así que `unit|aaaa…` (32 hex) y `unit|aaaa-…` eran DOS particiones,
+ * la purga canónica no veía la otra y, con el 422, las tuplas viejas sin
+ * guiones quedaban inalcanzables para siempre (tester H5). Y la clase no era
+ * solo «sin guiones»: PostgreSQL funde también `8-4-4-16`, cuatro grupos de
+ * ocho, la canónica sin un guion… (🟠 A2) — cualquier colocación de guiones
+ * sobre los mismos 32 hex —, así que la regla es «32 hex sin guiones y no
+ * exactamente 8-4-4-4-12 ⇒ 422» (`isNonCanonicalUuid`). La regla es una sola
+ * y va en un solo sitio: toda operación que recibe una partición —manager,
+ * los dos drivers, el doble publicado y `reconcileRelations`— pasa por aquí
+ * (o por `partitionKey`, que la llama), y la guardia de superficie
+ * (`tests/guard_surface.spec.ts`, columna `partition`) lo sondea en cada
+ * operación con las DOS formas (sin guiones y `8-4-4-16`). Las filas escritas
+ * antes de 2.5.0 con una ortografía no canónica se detectan, se listan y se
+ * BORRAN con la receta del README («Upgrading to 2.5.0», fail-closed por
+ * defecto: eran concesiones invisibles a la purga canónica); re-clavarlas es
+ * el paso opt-in `--rekey`. La ejecuta `tests/upgrade_recipe.spec.ts` en los
+ * tres motores, con las dos ramas.
+ *
+ * Un id de partición que no sea un uuid sigue valiendo (`[a-z0-9._-]{1,36}`:
+ * 32 caracteres no todos hex, 31 o 33 hex…). Los ids de OBJETO y de SUJETO
+ * no se rechazan: se comparan byte a byte y el README lo declara.
+ */
+export function assertPartition(partition) {
+    assertScope(partition);
+    if (partition.uuid !== null && isNonCanonicalUuid(partition.uuid)) {
+        const canonical = dashedUuid(partition.uuid.replace(/-/g, ''));
+        throw new InvalidIdentityError(`Partición inválida: el uuid '${partition.uuid}' del scope '${partition.type}' no está en la forma canónica ` +
+            `8-4-4-4-12 (${partition.uuid.includes('-') ? 'guiones mal colocados' : 'sin guiones, 32 hex'}). ` +
+            `Las particiones de relaciones se comparan byte a byte y no se canonizan: escríbelo como '${canonical}'. ` +
+            `Las tuplas escritas con una ortografía no canónica antes de 2.5.0 se detectan y se borran con la receta ` +
+            `del README («Upgrading to 2.5.0»; re-clavarlas es el paso opt-in --rekey).`);
+    }
+}
+/**
+ * La clave de partición de una RELACIÓN: `scopeKey` con la regla de
+ * `assertPartition` delante. Es lo que los dos drivers de relaciones (y el
+ * doble) usan para componer `partition_key` / el id de objeto del store: no
+ * hay camino hacia el backend que no pase por aquí.
+ */
+export function partitionKey(partition) {
+    assertPartition(partition);
+    return scopeKey(partition);
 }
 /**
  * La inversa de `scopeKey` para claves que vienen de la BASE (el owner de un