@jantstack/adonis-authz 2.5.0-alpha.1 → 2.5.0-alpha.3

package/build/src/openfga.d.ts

@@ -15,7 +15,7 @@ export type { HolderTypeMap, OpenFgaDriverOptions } from './drivers/openfga_driv
  * sobre el MISMO store y `modelId` que el driver `facts` de roles. Vive detrás
  * de esta puerta como el resto de lo que toca `@openfga/sdk`.
  */
-export { OpenFgaRelationsDriver } from './drivers/openfga_relations_driver.js';
+export { OpenFgaRelationsDriver, DEFAULT_LIST_OBJECTS_DEADLINE_MS, LIST_OBJECTS_DEADLINE_RATIO, RELATIONS_PURGE_WRITE_MAX } from './drivers/openfga_relations_driver.js';
 export type { OpenFgaRelationsDriverOptions } from './drivers/openfga_relations_driver.js';
 /**
  * El modelo (c2r) y la proyección del catálogo (3b-2a; desde 3b-2k · K2 es

package/build/src/openfga.d.ts.map

@@ -1 +1 @@
-{"version":3,"file":"openfga.d.ts","sourceRoot":"","sources":["../../src/openfga.ts"],"names":[],"mappings":"AAAA;;;;;;;;;GASG;AACH,OAAO,EACL,0BAA0B,EAC1B,qBAAqB,EACrB,iBAAiB,EACjB,cAAc,EACd,qBAAqB,EACrB,iBAAiB,EACjB,gBAAgB,EAChB,kBAAkB,GACnB,MAAM,6BAA6B,CAAA;AACpC,YAAY,EAAE,aAAa,EAAE,oBAAoB,EAAE,MAAM,6BAA6B,CAAA;AAEtF;;;;GAIG;AACH,OAAO,EAAE,sBAAsB,EAAE,MAAM,uCAAuC,CAAA;AAC9E,YAAY,EAAE,6BAA6B,EAAE,MAAM,uCAAuC,CAAA;AAE1F;;;;;;GAMG;AACH,OAAO,EACL,iBAAiB,EACjB,gBAAgB,EAChB,gBAAgB,EAChB,kBAAkB,EAClB,YAAY,EACZ,eAAe,EACf,2BAA2B,EAC3B,iBAAiB,EACjB,qBAAqB,EACrB,sBAAsB,EACtB,qBAAqB,EACrB,iBAAiB,EACjB,uBAAuB,EACvB,mBAAmB,EACnB,gBAAgB,EAChB,gBAAgB,EAChB,gBAAgB,EAChB,qBAAqB,EACrB,eAAe,EACf,qBAAqB,EACrB,4BAA4B,EAC5B,gCAAgC,EAChC,oBAAoB,EACpB,gBAAgB,EAChB,2BAA2B,GAC5B,MAAM,4BAA4B,CAAA;AACnC,YAAY,EACV,cAAc,EACd,iBAAiB,EACjB,UAAU,EACV,oBAAoB,EACpB,kBAAkB,EAClB,sBAAsB,GACvB,MAAM,4BAA4B,CAAA"}
+{"version":3,"file":"openfga.d.ts","sourceRoot":"","sources":["../../src/openfga.ts"],"names":[],"mappings":"AAAA;;;;;;;;;GASG;AACH,OAAO,EACL,0BAA0B,EAC1B,qBAAqB,EACrB,iBAAiB,EACjB,cAAc,EACd,qBAAqB,EACrB,iBAAiB,EACjB,gBAAgB,EAChB,kBAAkB,GACnB,MAAM,6BAA6B,CAAA;AACpC,YAAY,EAAE,aAAa,EAAE,oBAAoB,EAAE,MAAM,6BAA6B,CAAA;AAEtF;;;;GAIG;AACH,OAAO,EAAE,sBAAsB,EAAE,gCAAgC,EAAE,2BAA2B,EAAE,yBAAyB,EAAE,MAAM,uCAAuC,CAAA;AACxK,YAAY,EAAE,6BAA6B,EAAE,MAAM,uCAAuC,CAAA;AAE1F;;;;;;GAMG;AACH,OAAO,EACL,iBAAiB,EACjB,gBAAgB,EAChB,gBAAgB,EAChB,kBAAkB,EAClB,YAAY,EACZ,eAAe,EACf,2BAA2B,EAC3B,iBAAiB,EACjB,qBAAqB,EACrB,sBAAsB,EACtB,qBAAqB,EACrB,iBAAiB,EACjB,uBAAuB,EACvB,mBAAmB,EACnB,gBAAgB,EAChB,gBAAgB,EAChB,gBAAgB,EAChB,qBAAqB,EACrB,eAAe,EACf,qBAAqB,EACrB,4BAA4B,EAC5B,gCAAgC,EAChC,oBAAoB,EACpB,gBAAgB,EAChB,2BAA2B,GAC5B,MAAM,4BAA4B,CAAA;AACnC,YAAY,EACV,cAAc,EACd,iBAAiB,EACjB,UAAU,EACV,oBAAoB,EACpB,kBAAkB,EAClB,sBAAsB,GACvB,MAAM,4BAA4B,CAAA"}

package/build/src/openfga.js

@@ -14,7 +14,7 @@ export { OpenFgaAuthorizationDriver, provisionOpenFgaStore, assertHolderTypes, p
  * sobre el MISMO store y `modelId` que el driver `facts` de roles. Vive detrás
  * de esta puerta como el resto de lo que toca `@openfga/sdk`.
  */
-export { OpenFgaRelationsDriver } from './drivers/openfga_relations_driver.js';
+export { OpenFgaRelationsDriver, DEFAULT_LIST_OBJECTS_DEADLINE_MS, LIST_OBJECTS_DEADLINE_RATIO, RELATIONS_PURGE_WRITE_MAX } from './drivers/openfga_relations_driver.js';
 /**
  * El modelo (c2r) y la proyección del catálogo (3b-2a; desde 3b-2k · K2 es
  * el ÚNICO modelo: `openFgaAuthorizationModel` —el del modo `resolver`— y

package/build/src/openfga.js.map

@@ -1 +1 @@
-{"version":3,"file":"openfga.js","sourceRoot":"","sources":["../../src/openfga.ts"],"names":[],"mappings":"AAAA;;;;;;;;;GASG;AACH,OAAO,EACL,0BAA0B,EAC1B,qBAAqB,EACrB,iBAAiB,EACjB,cAAc,EACd,qBAAqB,EACrB,iBAAiB,EACjB,gBAAgB,EAChB,kBAAkB,GACnB,MAAM,6BAA6B,CAAA;AAGpC;;;;GAIG;AACH,OAAO,EAAE,sBAAsB,EAAE,MAAM,uCAAuC,CAAA;AAG9E;;;;;;GAMG;AACH,OAAO,EACL,iBAAiB,EACjB,gBAAgB,EAChB,gBAAgB,EAChB,kBAAkB,EAClB,YAAY,EACZ,eAAe,EACf,2BAA2B,EAC3B,iBAAiB,EACjB,qBAAqB,EACrB,sBAAsB,EACtB,qBAAqB,EACrB,iBAAiB,EACjB,uBAAuB,EACvB,mBAAmB,EACnB,gBAAgB,EAChB,gBAAgB,EAChB,gBAAgB,EAChB,qBAAqB,EACrB,eAAe,EACf,qBAAqB,EACrB,4BAA4B,EAC5B,gCAAgC,EAChC,oBAAoB,EACpB,gBAAgB,EAChB,2BAA2B,GAC5B,MAAM,4BAA4B,CAAA"}
+{"version":3,"file":"openfga.js","sourceRoot":"","sources":["../../src/openfga.ts"],"names":[],"mappings":"AAAA;;;;;;;;;GASG;AACH,OAAO,EACL,0BAA0B,EAC1B,qBAAqB,EACrB,iBAAiB,EACjB,cAAc,EACd,qBAAqB,EACrB,iBAAiB,EACjB,gBAAgB,EAChB,kBAAkB,GACnB,MAAM,6BAA6B,CAAA;AAGpC;;;;GAIG;AACH,OAAO,EAAE,sBAAsB,EAAE,gCAAgC,EAAE,2BAA2B,EAAE,yBAAyB,EAAE,MAAM,uCAAuC,CAAA;AAGxK;;;;;;GAMG;AACH,OAAO,EACL,iBAAiB,EACjB,gBAAgB,EAChB,gBAAgB,EAChB,kBAAkB,EAClB,YAAY,EACZ,eAAe,EACf,2BAA2B,EAC3B,iBAAiB,EACjB,qBAAqB,EACrB,sBAAsB,EACtB,qBAAqB,EACrB,iBAAiB,EACjB,uBAAuB,EACvB,mBAAmB,EACnB,gBAAgB,EAChB,gBAAgB,EAChB,gBAAgB,EAChB,qBAAqB,EACrB,eAAe,EACf,qBAAqB,EACrB,4BAA4B,EAC5B,gCAAgC,EAChC,oBAAoB,EACpB,gBAAgB,EAChB,2BAA2B,GAC5B,MAAM,4BAA4B,CAAA"}

package/build/src/relations/check_many.d.ts

@@ -2,7 +2,7 @@ import type { RelObject } from '../types.js';
 /** Objetos por lote de `checkMany`. Es el tope de `batchCheck` del servidor FGA (50), para que un lote sea UNA request. */
 export declare const RELATIONS_CHECK_MANY_MAX = 50;
 /** `objects` es un array con 1..RELATIONS_CHECK_MANY_MAX elementos, o 422 (`E_AUTHZ_CHECK_MANY_BATCH`) sin tocar nada. */
-export declare function assertCheckManyObjects(objects: unknown): asserts objects is RelObject[];
+export declare function assertCheckManyObjects(objects: unknown, operation?: 'checkMany' | 'decideMany' | string): asserts objects is RelObject[];
 /**
  * Los objetos DISTINTOS del lote (por `type:id`, en orden de primera aparición)
  * y, por posición del lote, el índice del distinto que la responde. Con

package/build/src/relations/check_many.d.ts.map

@@ -1 +1 @@
-{"version":3,"file":"check_many.d.ts","sourceRoot":"","sources":["../../../src/relations/check_many.ts"],"names":[],"mappings":"AAgBA,OAAO,KAAK,EAAE,SAAS,EAAE,MAAM,aAAa,CAAA;AAE5C,2HAA2H;AAC3H,eAAO,MAAM,wBAAwB,KAAK,CAAA;AAE1C,0HAA0H;AAC1H,wBAAgB,sBAAsB,CAAC,OAAO,EAAE,OAAO,GAAG,OAAO,CAAC,OAAO,IAAI,SAAS,EAAE,CAevF;AAED;;;;GAIG;AACH,wBAAgB,eAAe,CAAC,OAAO,EAAE,SAAS,EAAE,GAAG;IAAE,QAAQ,EAAE,SAAS,EAAE,CAAC;IAAC,KAAK,EAAE,MAAM,EAAE,CAAA;CAAE,CAehG;AAED,iFAAiF;AACjF,wBAAgB,gBAAgB,CAAC,KAAK,EAAE,MAAM,EAAE,EAAE,OAAO,EAAE,OAAO,EAAE,GAAG,OAAO,EAAE,CAE/E"}
+{"version":3,"file":"check_many.d.ts","sourceRoot":"","sources":["../../../src/relations/check_many.ts"],"names":[],"mappings":"AAgBA,OAAO,KAAK,EAAE,SAAS,EAAE,MAAM,aAAa,CAAA;AAE5C,2HAA2H;AAC3H,eAAO,MAAM,wBAAwB,KAAK,CAAA;AAE1C,0HAA0H;AAC1H,wBAAgB,sBAAsB,CAAC,OAAO,EAAE,OAAO,EAAE,SAAS,GAAE,WAAW,GAAG,YAAY,GAAG,MAAoB,GAAG,OAAO,CAAC,OAAO,IAAI,SAAS,EAAE,CAiBrJ;AAED;;;;GAIG;AACH,wBAAgB,eAAe,CAAC,OAAO,EAAE,SAAS,EAAE,GAAG;IAAE,QAAQ,EAAE,SAAS,EAAE,CAAC;IAAC,KAAK,EAAE,MAAM,EAAE,CAAA;CAAE,CAehG;AAED,iFAAiF;AACjF,wBAAgB,gBAAgB,CAAC,KAAK,EAAE,MAAM,EAAE,EAAE,OAAO,EAAE,OAAO,EAAE,GAAG,OAAO,EAAE,CAE/E"}

package/build/src/relations/check_many.js

@@ -17,15 +17,17 @@ import { CheckManyBatchError } from '../errors.js';
 /** Objetos por lote de `checkMany`. Es el tope de `batchCheck` del servidor FGA (50), para que un lote sea UNA request. */
 export const RELATIONS_CHECK_MANY_MAX = 50;
 /** `objects` es un array con 1..RELATIONS_CHECK_MANY_MAX elementos, o 422 (`E_AUTHZ_CHECK_MANY_BATCH`) sin tocar nada. */
-export function assertCheckManyObjects(objects) {
+export function assertCheckManyObjects(objects, operation = 'checkMany') {
+    // Lote D · D9: `decideMany` tiene las MISMAS garantías que `checkMany` (tope, `[]`, forma), con la misma clase y el
+    // mismo `code`; el mensaje nombra la operación.
     if (!Array.isArray(objects)) {
-        throw new CheckManyBatchError(`checkMany: 'objects' tiene que ser un array de objetos (llegó ${typeof objects}).`);
+        throw new CheckManyBatchError(`${operation}: 'objects' tiene que ser un array de objetos (llegó ${typeof objects}).`);
     }
     if (objects.length === 0) {
-        throw new CheckManyBatchError('checkMany: el lote está VACÍO. Un lote sin objetos no es una pregunta (y `[]` ⇒ `[]` se leería como «todo denegado»): pasa al menos un objeto.');
+        throw new CheckManyBatchError(`${operation}: el lote está VACÍO. Un lote sin objetos no es una pregunta (y \`[]\` ⇒ \`[]\` se leería como «todo denegado»): pasa al menos un objeto.`);
     }
     if (objects.length > RELATIONS_CHECK_MANY_MAX) {
-        throw new CheckManyBatchError(`checkMany: el lote tiene ${objects.length} objetos y el tope es ${RELATIONS_CHECK_MANY_MAX} (RELATIONS_CHECK_MANY_MAX, ` +
+        throw new CheckManyBatchError(`${operation}: el lote tiene ${objects.length} objetos y el tope es ${RELATIONS_CHECK_MANY_MAX} (RELATIONS_CHECK_MANY_MAX, ` +
             `= el tope de batchCheck del servidor): trocea en el llamante. No se ha preguntado nada.`);
     }
 }

package/build/src/relations/check_many.js.map

@@ -1 +1 @@
-{"version":3,"file":"check_many.js","sourceRoot":"","sources":["../../../src/relations/check_many.ts"],"names":[],"mappings":"AAAA;;;;;;;;;;;;;;GAcG;AACH,OAAO,EAAE,mBAAmB,EAAE,MAAM,cAAc,CAAA;AAGlD,2HAA2H;AAC3H,MAAM,CAAC,MAAM,wBAAwB,GAAG,EAAE,CAAA;AAE1C,0HAA0H;AAC1H,MAAM,UAAU,sBAAsB,CAAC,OAAgB;IACrD,IAAI,CAAC,KAAK,CAAC,OAAO,CAAC,OAAO,CAAC,EAAE,CAAC;QAC5B,MAAM,IAAI,mBAAmB,CAAC,iEAAiE,OAAO,OAAO,IAAI,CAAC,CAAA;IACpH,CAAC;IACD,IAAI,OAAO,CAAC,MAAM,KAAK,CAAC,EAAE,CAAC;QACzB,MAAM,IAAI,mBAAmB,CAC3B,gJAAgJ,CACjJ,CAAA;IACH,CAAC;IACD,IAAI,OAAO,CAAC,MAAM,GAAG,wBAAwB,EAAE,CAAC;QAC9C,MAAM,IAAI,mBAAmB,CAC3B,4BAA4B,OAAO,CAAC,MAAM,yBAAyB,wBAAwB,8BAA8B;YACvH,yFAAyF,CAC5F,CAAA;IACH,CAAC;AACH,CAAC;AAED;;;;GAIG;AACH,MAAM,UAAU,eAAe,CAAC,OAAoB;IAClD,MAAM,IAAI,GAAG,IAAI,GAAG,EAAkB,CAAA;IACtC,MAAM,QAAQ,GAAgB,EAAE,CAAA;IAChC,MAAM,KAAK,GAAa,EAAE,CAAA;IAC1B,KAAK,MAAM,MAAM,IAAI,OAAO,EAAE,CAAC;QAC7B,MAAM,GAAG,GAAG,GAAG,MAAM,CAAC,IAAI,IAAI,MAAM,CAAC,EAAE,EAAE,CAAA;QACzC,IAAI,EAAE,GAAG,IAAI,CAAC,GAAG,CAAC,GAAG,CAAC,CAAA;QACtB,IAAI,EAAE,KAAK,SAAS,EAAE,CAAC;YACrB,EAAE,GAAG,QAAQ,CAAC,MAAM,CAAA;YACpB,IAAI,CAAC,GAAG,CAAC,GAAG,EAAE,EAAE,CAAC,CAAA;YACjB,QAAQ,CAAC,IAAI,CAAC,MAAM,CAAC,CAAA;QACvB,CAAC;QACD,KAAK,CAAC,IAAI,CAAC,EAAE,CAAC,CAAA;IAChB,CAAC;IACD,OAAO,EAAE,QAAQ,EAAE,KAAK,EAAE,CAAA;AAC5B,CAAC;AAED,iFAAiF;AACjF,MAAM,UAAU,gBAAgB,CAAC,KAAe,EAAE,OAAkB;IAClE,OAAO,KAAK,CAAC,GAAG,CAAC,CAAC,EAAE,EAAE,EAAE,CAAC,OAAO,CAAC,EAAE,CAAC,CAAC,CAAA;AACvC,CAAC"}
+{"version":3,"file":"check_many.js","sourceRoot":"","sources":["../../../src/relations/check_many.ts"],"names":[],"mappings":"AAAA;;;;;;;;;;;;;;GAcG;AACH,OAAO,EAAE,mBAAmB,EAAE,MAAM,cAAc,CAAA;AAGlD,2HAA2H;AAC3H,MAAM,CAAC,MAAM,wBAAwB,GAAG,EAAE,CAAA;AAE1C,0HAA0H;AAC1H,MAAM,UAAU,sBAAsB,CAAC,OAAgB,EAAE,YAAiD,WAAW;IACnH,oHAAoH;IACpH,gDAAgD;IAChD,IAAI,CAAC,KAAK,CAAC,OAAO,CAAC,OAAO,CAAC,EAAE,CAAC;QAC5B,MAAM,IAAI,mBAAmB,CAAC,GAAG,SAAS,wDAAwD,OAAO,OAAO,IAAI,CAAC,CAAA;IACvH,CAAC;IACD,IAAI,OAAO,CAAC,MAAM,KAAK,CAAC,EAAE,CAAC;QACzB,MAAM,IAAI,mBAAmB,CAC3B,GAAG,SAAS,2IAA2I,CACxJ,CAAA;IACH,CAAC;IACD,IAAI,OAAO,CAAC,MAAM,GAAG,wBAAwB,EAAE,CAAC;QAC9C,MAAM,IAAI,mBAAmB,CAC3B,GAAG,SAAS,mBAAmB,OAAO,CAAC,MAAM,yBAAyB,wBAAwB,8BAA8B;YAC1H,yFAAyF,CAC5F,CAAA;IACH,CAAC;AACH,CAAC;AAED;;;;GAIG;AACH,MAAM,UAAU,eAAe,CAAC,OAAoB;IAClD,MAAM,IAAI,GAAG,IAAI,GAAG,EAAkB,CAAA;IACtC,MAAM,QAAQ,GAAgB,EAAE,CAAA;IAChC,MAAM,KAAK,GAAa,EAAE,CAAA;IAC1B,KAAK,MAAM,MAAM,IAAI,OAAO,EAAE,CAAC;QAC7B,MAAM,GAAG,GAAG,GAAG,MAAM,CAAC,IAAI,IAAI,MAAM,CAAC,EAAE,EAAE,CAAA;QACzC,IAAI,EAAE,GAAG,IAAI,CAAC,GAAG,CAAC,GAAG,CAAC,CAAA;QACtB,IAAI,EAAE,KAAK,SAAS,EAAE,CAAC;YACrB,EAAE,GAAG,QAAQ,CAAC,MAAM,CAAA;YACpB,IAAI,CAAC,GAAG,CAAC,GAAG,EAAE,EAAE,CAAC,CAAA;YACjB,QAAQ,CAAC,IAAI,CAAC,MAAM,CAAC,CAAA;QACvB,CAAC;QACD,KAAK,CAAC,IAAI,CAAC,EAAE,CAAC,CAAA;IAChB,CAAC;IACD,OAAO,EAAE,QAAQ,EAAE,KAAK,EAAE,CAAA;AAC5B,CAAC;AAED,iFAAiF;AACjF,MAAM,UAAU,gBAAgB,CAAC,KAAe,EAAE,OAAkB;IAClE,OAAO,KAAK,CAAC,GAAG,CAAC,CAAC,EAAE,EAAE,EAAE,CAAC,OAAO,CAAC,EAAE,CAAC,CAAC,CAAA;AACvC,CAAC"}

package/build/src/relations/define_relations_config.d.ts

@@ -1,4 +1,58 @@
-import type { RelObject } from '../types.js';
+import type { RelObject, RelUserset, RelationDecision } from '../types.js';
+/**
+ * **El ÚNICO userset que el modelo admite como sujeto** (plan 2.5 · lote B · B3):
+ * `group#member`. El generador del modelo fusionado emite, para CADA relación de
+ * dominio, `[<holders> with not_expired, group#member]` y nada más; `group` es el
+ * tipo BUILT-IN (`declared.set('group', …)` abajo) y el consumidor no lo declara.
+ */
+export declare const RELATION_USERSET_TYPE = "group";
+export declare const RELATION_USERSET_RELATION = "member";
+/**
+ * **El prefijo de la relación ALMACENADA de un deny** (plan 2.5 · lote D · D1): `deny(u, viewer, doc)` escribe la
+ * tupla `doc#denied_viewer@u` —en `authz_relations` (`database`) y en el store (`openfga`)—. Es el MISMO prefijo que
+ * la familia del deny de roles (`FACTS_DENIED_PREFIX`) y está en `RESERVED_SLUG_PREFIXES`: ninguna relación de dominio
+ * puede empezar por él (⚪4), así que el nombre público y el almacenado nunca colisionan.
+ */
+export declare const RELATION_DENY_PREFIX = "denied_";
+/**
+ * **La cota de una relación DENEGABLE** (D1, juez ronda 2 · fila D: «≤ 43 caracteres»): `denied_<rel>` tiene que caber
+ * en los 50 de FGA (y en la columna `relation` de `authz_relations`), así que una relación de un tipo con `deny`
+ * mide como mucho `50 − 'denied_'.length` = 43. DERIVADA, como `MAX_SLUG_LENGTH`. En un tipo SIN `deny` la cota sigue
+ * siendo 50 (D-18: una cota global sería una ruptura para quien no usa el deny).
+ */
+export declare const DENIABLE_RELATION_NAME_MAX: number;
+/**
+ * **El opt-in del deny, en DOS FASES** (D10, decisión del dueño 2026-10-14; auditor R2-2): un solo interruptor no
+ * tiene secuencia segura con pods de dos versiones (un pod nuevo escribe un deny y uno viejo —o uno con el `modelId`
+ * viejo— no lo mira). Por eso son dos valores y dos despliegues:
+ *
+ *  - `'read'` (fase 1): el modelo publicado declara `denied_<rel>` (`<rel> … but not denied_<rel>`) y TODAS las
+ *    lecturas lo honran; `deny()` sobre ese tipo es 422 `E_AUTHZ_RELATION_NOT_DENYABLE` (todavía no se escriben).
+ *    `removeDeny`/`listDenies` sí funcionan (retirar el opt-in tiene que ser reversible).
+ *  - `'write'` (fase 2): además se aceptan escrituras de deny.
+ *
+ * El runbook: (1) toda la flota en ≥ 2.5.0-alpha.3 con el tipo en `'read'`, el modelo publicado y todos los pods
+ * fijados al `modelId` nuevo; (2) verificar; (3) un SEGUNDO despliegue pasa a `'write'`. `deny: true` no existe a
+ * propósito (422 nombrando las dos fases): sería el interruptor único que R2-2 descartó.
+ */
+export type RelationDenyPhase = 'read' | 'write';
+/**
+ * **Listas blancas por nivel de la spec** (plan 2.5 · lote B · B2; linaje L5,
+ * propiedad universal «ninguna clave de una spec de config se descarta»).
+ * Una clave que no está en la lista de SU nivel es 422
+ * `E_AUTHZ_RELATION_CONFIG_UNKNOWN_KEY` nombrando la ruta (`objectTypes[1].deny`)
+ * y la lista. Hasta `2.5.0-alpha.1` la config congelada copiaba solo lo que
+ * conocía y tiraba el resto en silencio (tester H3, medido: `deny: true` y
+ * `denny: 1` desaparecían): un typo era una entrada inerte, y el lote D (deny)
+ * habría nacido con la clave `deny` leída por un proceso viejo como «nada».
+ * Las claves del lote D entran AQUÍ, en el mismo commit que su efecto.
+ */
+export declare const RELATIONS_SPEC_KEYS: Readonly<{
+    root: readonly ["objectTypes", "holderTypes", "database"];
+    objectType: readonly ["type", "relations", "deny"];
+    relation: readonly ["name", "includes"];
+    database: readonly ["membersOf"];
+}>;
 /** Una relación de un tipo de objeto (`document#viewer`), con sus `includes` de un nivel. */
 export interface RelationObjectRelationSpec {
     /** El nombre de la relación (`owner`, `editor`, `viewer`). */
@@ -17,6 +71,12 @@ export interface RelationObjectTypeSpec {
     type: string;
     /** Sus relaciones, en orden de declaración. */
     relations: readonly RelationObjectRelationSpec[];
+    /**
+     * **Opt-in del deny para este tipo** (plan 2.5 · lote D, D10: dos fases, ver `RelationDenyPhase`). Ausente = el tipo
+     * no se puede denegar (`deny()` ⇒ 422) y su modelo es byte a byte el de 2.4.0-alpha.10 (D-29). Con `'read'` o
+     * `'write'` cada relación del tipo mide ≤ `DENIABLE_RELATION_NAME_MAX` (43) y el modelo publica `denied_<rel>`.
+     */
+    deny?: RelationDenyPhase;
 }
 /** Opciones específicas del driver `database`. */
 export interface RelationsDatabaseOptions {
@@ -101,9 +161,135 @@ export declare function assertRelationDeclared(config: RelationsConfig, object:
 export declare function assertObjectTypeDeclared(config: RelationsConfig, object: RelObject | {
     type: string;
 }): void;
+/**
+ * **B3 · el userset del SUJETO: F-05 (par) y, además, `group#member` y solo
+ * `group#member`** (plan 2.5 · lote B; auditor [N 9] de la ronda 1, analista
+ * B(2); patrón F-05 `assertRelationDeclared`: UNA función, misma clase, mismo
+ * `code` y mismo mensaje por cualquier puerta). Hasta `2.5.0-alpha.1` un
+ * `{ object: document, relation: viewer }` como sujeto pasaba F-05 (tipo y
+ * relación declarados) y después: `database` guardaba la fila INERTE (ningún
+ * holder la alcanza: la expansión de principales solo baja por `group#member`)
+ * y `openfga` componía `document:<key>|<id>#viewer` como `user`, que el modelo
+ * fusionado no admite ⇒ 400 del servidor ⇒ 503 mal clasificado (invariante 5:
+ * una pregunta inválida es 422, no una caída). La aplican el `RelationsManager`
+ * (`#assertSubject`), los DOS drivers (`#subjectColumns` / `#subjectUser`) y el
+ * doble publicado, en TODA operación que recibe sujeto —`relate`/`unrelate`/
+ * `check`/`checkMany`/`listObjects`/`purgeSubject`—, ANTES de tocar el backend
+ * (cero `INSERT`, cero `Write`/`Read`/`Check`). La guardia de superficie lo
+ * sondea como variante de F-05 (`usersetUnsupported`) con un mutante por capa.
+ */
+export declare function assertUsersetSubject(config: RelationsConfig, subject: RelUserset): void;
+/**
+ * **La mitad de B3 que no necesita config**: `group#member` y solo `group#member`
+ * (cierre 1 del lote B · 🟠 2). Es la regla que `reconcileRelations` aplica en el
+ * PLAN a cada tupla ENUMERADA —del origen y del destino— también cuando no hay
+ * `toConfig` (sin config no se puede juzgar F-05 del par, pero la forma del
+ * userset sí): así un residuo pre-2.5 se clasifica ANTES del driver, con los
+ * mismos números en `--dry-run` y en la pasada real. **En el plan la FORMA va
+ * ANTES que F-05** (cierre 2 · 🟡 N2): un residuo B3 es inadmisible con
+ * cualquier config, así que un userset de tipo/relación no declarados sigue
+ * siendo residuo (`usersetUnsupported`, con receta) y nunca `undeclared` (cuyo
+ * consejo «decláralo» no lo arreglaría). En la API (`assertUsersetSubject`,
+ * la pregunta del llamante) el orden sigue siendo F-05 → forma: los dos son
+ * 422 y ninguno escribe.
+ */
+export declare function assertSupportedUserset(subject: RelUserset): void;
+/**
+ * **El residuo pre-2.5 de B3 y cómo se borra** (cierre 1 del lote B · 🟠 1/🟠 2,
+ * ⚪ 12): una fila de `authz_relations` escrita ANTES de 2.5.0 con un sujeto
+ * userset ≠ `group#member`. La API ya no la admite (ni `relate`, ni `unrelate`,
+ * ni `purgeSubject(userset)`), el reconcile la LISTA con este motivo y **nunca
+ * la borra por vía de plataforma** (decisión del coordinador, 2026-10-15: la
+ * misma regla que toda tupla del destino fuera de gramática — se lista, exit
+ * ≠ 0, se borra a mano). Las dos sentencias valen en los tres motores
+ * (`subject_relation <> ''` excluye los holders, también los `NULL` de antes
+ * de L-4b: `NULL <> ''` es NULL ⇒ falso); `upgrade_recipe.spec` las EJECUTA y
+ * el README §Upgrading las publica literalmente.
+ */
+export declare const RELATION_USERSET_RESIDUE_WHERE = "subject_relation <> '' AND NOT (subject_type = 'group' AND subject_relation = 'member')";
+export declare const RELATION_USERSET_RESIDUE_SELECT = "SELECT uuid, partition_key, object_type, object_uuid, relation, subject_type, subject_uuid, subject_relation FROM authz_relations WHERE subject_relation <> '' AND NOT (subject_type = 'group' AND subject_relation = 'member');";
+export declare const RELATION_USERSET_RESIDUE_DELETE = "DELETE FROM authz_relations WHERE subject_relation <> '' AND NOT (subject_type = 'group' AND subject_relation = 'member');";
 /**
  * Valida y congela la config de relaciones. Config inválida ⇒ 422
  * `E_AUTHZ_RELATION_CONFIG` (misma clase que el gate del modelo del lote 4-1).
  */
 export declare function defineRelationsConfig(spec: RelationsConfigSpec): RelationsConfig;
+/** La fase del opt-in del deny de un tipo (`undefined` = sin opt-in; `group` nunca). */
+export declare function denyPhaseOf(config: Pick<RelationsConfig, 'objectTypes'>, objectType: string): RelationDenyPhase | undefined;
+/** ¿Algún tipo de la config declara el opt-in (en cualquier fase)? Decide D14 (`modelId` fijado obligatorio en `openfga`). */
+export declare function hasDenyTypes(config: Pick<RelationsConfig, 'objectTypes'>): boolean;
+/** La relación ALMACENADA del deny de `relation` (`viewer` ⇒ `denied_viewer`). */
+export declare function deniedRelationOf(relation: string): string;
+/**
+ * **La consulta del README §Upgrading que cuenta los denies VIVOS de relaciones** (plan 2.5 · lote D · D2; D12/S17: no
+ * hay rollback por debajo de 2.5 con denies vivos — antes de volver atrás tiene que dar 0). Portable a los tres motores
+ * (`substr` existe en SQLite, PostgreSQL y MySQL; `LIKE 'denied\_%'` no: SQLite no tiene escape por defecto). La ejecutan
+ * `tests/upgrade_recipe.spec.ts` (los cuatro modos, contra el README byte a byte) y el paso 21 del runbook.
+ */
+export declare const RELATION_DENIES_COUNT_SQL = "SELECT count(*) AS n FROM authz_relations WHERE substr(relation, 1, 7) = 'denied_';";
+/**
+ * **La relación ALMACENADA, leída de vuelta: nombre público + `kind`** (plan 2.5 · lote D · D2; el reconcile con
+ * `kind`). Es el PUNTO DE PASO ÚNICO de `enumerateRelations(Many)` en los dos drivers y en el doble: `denied_viewer`
+ * ⇒ `{ relation: 'viewer', kind: 'deny' }`; cualquier otra ⇒ `{ relation, kind: 'allow' }`. Inequívoco porque el
+ * prefijo está en `RESERVED_SLUG_PREFIXES` (ninguna relación de dominio puede empezar por `denied_`). Hasta D2 los
+ * drivers emitían `relation: 'denied_viewer'` sin `kind`, y `reconcileRelations` lo contaba como relación NO
+ * declarada (`skipped.undeclared`): una migración `database → openfga` no llevaba los denies.
+ */
+export declare function storedRelationKind(stored: string): {
+    relation: string;
+    kind: 'allow' | 'deny';
+};
+/**
+ * **`down*(R)`: las relaciones cuyo hecho DIRECTO satisface `R`** (R y todo lo que incluye, transitivamente). Es el
+ * PUNTO DE PASO ÚNICO del grafo de `includes` hacia abajo (lote D: antes lo reimplementaban `#expandDown` del driver
+ * `database` y el doble; con el deny hacen falta las dos direcciones en tres sitios y, calculadas tres veces,
+ * divergen). En el retículo del contrato: `down*(viewer) = {viewer, editor, owner}`.
+ */
+export declare function relationsDown(config: Pick<RelationsConfig, 'objectTypes'>, objectType: string, relation: string): string[];
+/**
+ * **`up*(R)`: las relaciones que INCLUYEN a `R`** (R y todo lo que la incluye, transitivamente). Un deny en cualquiera
+ * de ellas CORTA un grant de `R` (D5, corte de camino): `up*(owner) = {owner, editor, viewer}` ⇒ un deny en `editor`
+ * anula entero un grant de `owner`.
+ */
+export declare function relationsUp(config: Pick<RelationsConfig, 'objectTypes'>, objectType: string, relation: string): string[];
+/**
+ * **D5 · CORTE DE CAMINO, la regla ÚNICA** (decisión del dueño 2026-10-14; tester §2.1, la tabla T1 de 64 estados):
+ * `check(s, Q, o) = T` sii existe un grant `T ∈ A ∩ down*(Q)` tal que `up*(T) ∩ D = ∅`, con `A` = las relaciones con
+ * allow vivo que alcanzan al sujeto (directo o por `group#member`, anidado) y `D` = las relaciones con deny que lo
+ * alcanzan igual. Es EXACTAMENTE lo que el modelo FGA evalúa en el servidor (`X = (this ∨ I…) but not denied_X`,
+ * `denied_X = this ∨ denied_P` por cada `P ⊇ X`), y es la función que usan el driver `database`, el doble y el
+ * oráculo de la suite: tres copias divergirían (L8).
+ */
+export declare function cutPathAllows(config: Pick<RelationsConfig, 'objectTypes'>, objectType: string, relation: string, allowed: ReadonlySet<string>, denied: ReadonlySet<string>): boolean;
+/** Las relaciones del deny que `decideMany`/`check` tienen que leer para `R`: `up*(down*(R))` (D9, definición AMPLIA). */
+export declare function deniableAbove(config: Pick<RelationsConfig, 'objectTypes'>, objectType: string, relation: string): string[];
+/**
+ * **D9 · `decideMany` AMPLIO, la regla ÚNICA** (decisión del dueño 2026-10-14; juez ronda 2 §4): `allow` si `check`
+ * concede (el deny ya está aplicado dentro del objeto por corte de camino); si no, `deny` si el sujeto tiene un deny
+ * vivo sobre ALGUNA relación de `up*(down*(R))` en el objeto; si no, `none`. Más amplia que `check` a propósito
+ * (fail-closed en la cadena del llamante): un `viewer` heredado con un deny(`editor`) en el hijo da `deny`.
+ */
+export declare function decideFrom(config: Pick<RelationsConfig, 'objectTypes'>, objectType: string, relation: string, allowed: ReadonlySet<string>, denied: ReadonlySet<string>): RelationDecision;
+/**
+ * **La puerta de ESCRITURA del deny** (D10/D-17): `deny()` solo entra sobre un tipo en fase `'write'`; sin opt-in, en
+ * `'read'` o sobre `group` ⇒ 422 `E_AUTHZ_RELATION_NOT_DENYABLE`. La aplican el manager, los dos drivers y el doble,
+ * DESPUÉS de F-05 (un tipo no declarado sigue siendo `E_AUTHZ_RELATION_TYPE_UNKNOWN`). `removeDeny`/`listDenies` NO
+ * pasan por aquí: aceptan cualquier tipo declarado (D8/R2-4 b: retirar el opt-in tiene que ser reversible).
+ */
+export declare function assertRelationDenyable(config: Pick<RelationsConfig, 'objectTypes'>, object: {
+    type: string;
+}, relation: string): void;
+/**
+ * **El comodín `*` no es un sujeto de deny** (D-17): un deny a «todos» sería un apagado del objeto que nadie
+ * auditaría como tal. Hoy la gramática de holder ya rechaza `*` (422 `E_AUTHZ_INVALID_IDENTITY`); esta guarda lo dice
+ * con el código del deny ANTES de la gramática, para que un cambio de la gramática no lo abra en silencio.
+ */
+export declare function assertDenySubject(subject: unknown): void;
+/**
+ * **D3: el deny no caduca en v1.** `expiresAt` en las opciones de `deny`/`removeDeny` —incluso `null`, que en `relate`
+ * significa «quitar la caducidad»— es 422 `E_AUTHZ_DENY_EXPIRY_UNSUPPORTED` ANTES de tocar el backend, con la razón
+ * medida (M5). La clave PRESENTE es lo que se rechaza: un `null` aceptado sería una puerta para que la siguiente
+ * versión la lea como «permanente» sin que nadie lo decidiera.
+ */
+export declare function assertDenyNoExpiry(options: unknown): void;
 //# sourceMappingURL=define_relations_config.d.ts.map

package/build/src/relations/define_relations_config.d.ts.map

@@ -1 +1 @@
-{"version":3,"file":"define_relations_config.d.ts","sourceRoot":"","sources":["../../../src/relations/define_relations_config.ts"],"names":[],"mappings":"AAoBA,OAAO,KAAK,EAAE,SAAS,EAAE,MAAM,aAAa,CAAA;AAQ5C,6FAA6F;AAC7F,MAAM,WAAW,0BAA0B;IACzC,8DAA8D;IAC9D,IAAI,EAAE,MAAM,CAAA;IACZ;;;;;OAKG;IACH,QAAQ,CAAC,EAAE,SAAS,MAAM,EAAE,CAAA;CAC7B;AAED,wEAAwE;AACxE,MAAM,WAAW,sBAAsB;IACrC,8BAA8B;IAC9B,IAAI,EAAE,MAAM,CAAA;IACZ,+CAA+C;IAC/C,SAAS,EAAE,SAAS,0BAA0B,EAAE,CAAA;CACjD;AAED,kDAAkD;AAClD,MAAM,WAAW,wBAAwB;IACvC;;;;;OAKG;IACH,SAAS,CAAC,EAAE,OAAO,CAAA;CACpB;AAED,2CAA2C;AAC3C,MAAM,WAAW,mBAAmB;IAClC,4CAA4C;IAC5C,WAAW,EAAE,SAAS,sBAAsB,EAAE,CAAA;IAC9C;;;;OAIG;IACH,WAAW,CAAC,EAAE,SAAS,MAAM,EAAE,CAAA;IAC/B,+DAA+D;IAC/D,QAAQ,CAAC,EAAE,wBAAwB,CAAA;CACpC;AAED,+EAA+E;AAC/E,MAAM,WAAW,eAAe;IAC9B,QAAQ,CAAC,WAAW,EAAE,SAAS,sBAAsB,EAAE,CAAA;IACvD,2DAA2D;IAC3D,QAAQ,CAAC,SAAS,EAAE,OAAO,CAAA;IAC3B,wDAAwD;IACxD,OAAO,CAAC,UAAU,EAAE,MAAM,GAAG,OAAO,CAAA;IACpC,8EAA8E;IAC9E,UAAU,CAAC,UAAU,EAAE,MAAM,EAAE,QAAQ,EAAE,MAAM,GAAG,OAAO,CAAA;CAC1D;AAMD;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;GAkCG;AACH,wBAAgB,sBAAsB,CACpC,MAAM,EAAE,eAAe,EACvB,MAAM,EAAE,SAAS,GAAG;IAAE,IAAI,EAAE,MAAM,CAAA;CAAE,EACpC,QAAQ,EAAE,MAAM,GACf,IAAI,CAeN;AAED;;;;;;;;GAQG;AACH,wBAAgB,wBAAwB,CAAC,MAAM,EAAE,eAAe,EAAE,MAAM,EAAE,SAAS,GAAG;IAAE,IAAI,EAAE,MAAM,CAAA;CAAE,GAAG,IAAI,CAc5G;AAED;;;GAGG;AACH,wBAAgB,qBAAqB,CAAC,IAAI,EAAE,mBAAmB,GAAG,eAAe,CA0IhF"}
+{"version":3,"file":"define_relations_config.d.ts","sourceRoot":"","sources":["../../../src/relations/define_relations_config.ts"],"names":[],"mappings":"AA4BA,OAAO,KAAK,EAAE,SAAS,EAAE,UAAU,EAAE,gBAAgB,EAAE,MAAM,aAAa,CAAA;AAE1E;;;;;GAKG;AACH,eAAO,MAAM,qBAAqB,UAAU,CAAA;AAC5C,eAAO,MAAM,yBAAyB,WAAW,CAAA;AAKjD;;;;;GAKG;AACH,eAAO,MAAM,oBAAoB,YAAY,CAAA;AAE7C;;;;;GAKG;AACH,eAAO,MAAM,0BAA0B,QAAkD,CAAA;AAEzF;;;;;;;;;;;;;GAaG;AACH,MAAM,MAAM,iBAAiB,GAAG,MAAM,GAAG,OAAO,CAAA;AAMhD;;;;;;;;;;GAUG;AACH,eAAO,MAAM,mBAAmB;;;;;EAK9B,CAAA;AA0FF,6FAA6F;AAC7F,MAAM,WAAW,0BAA0B;IACzC,8DAA8D;IAC9D,IAAI,EAAE,MAAM,CAAA;IACZ;;;;;OAKG;IACH,QAAQ,CAAC,EAAE,SAAS,MAAM,EAAE,CAAA;CAC7B;AAED,wEAAwE;AACxE,MAAM,WAAW,sBAAsB;IACrC,8BAA8B;IAC9B,IAAI,EAAE,MAAM,CAAA;IACZ,+CAA+C;IAC/C,SAAS,EAAE,SAAS,0BAA0B,EAAE,CAAA;IAChD;;;;OAIG;IACH,IAAI,CAAC,EAAE,iBAAiB,CAAA;CACzB;AAED,kDAAkD;AAClD,MAAM,WAAW,wBAAwB;IACvC;;;;;OAKG;IACH,SAAS,CAAC,EAAE,OAAO,CAAA;CACpB;AAED,2CAA2C;AAC3C,MAAM,WAAW,mBAAmB;IAClC,4CAA4C;IAC5C,WAAW,EAAE,SAAS,sBAAsB,EAAE,CAAA;IAC9C;;;;OAIG;IACH,WAAW,CAAC,EAAE,SAAS,MAAM,EAAE,CAAA;IAC/B,+DAA+D;IAC/D,QAAQ,CAAC,EAAE,wBAAwB,CAAA;CACpC;AAED,+EAA+E;AAC/E,MAAM,WAAW,eAAe;IAC9B,QAAQ,CAAC,WAAW,EAAE,SAAS,sBAAsB,EAAE,CAAA;IACvD,2DAA2D;IAC3D,QAAQ,CAAC,SAAS,EAAE,OAAO,CAAA;IAC3B,wDAAwD;IACxD,OAAO,CAAC,UAAU,EAAE,MAAM,GAAG,OAAO,CAAA;IACpC,8EAA8E;IAC9E,UAAU,CAAC,UAAU,EAAE,MAAM,EAAE,QAAQ,EAAE,MAAM,GAAG,OAAO,CAAA;CAC1D;AAMD;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;GAkCG;AACH,wBAAgB,sBAAsB,CACpC,MAAM,EAAE,eAAe,EACvB,MAAM,EAAE,SAAS,GAAG;IAAE,IAAI,EAAE,MAAM,CAAA;CAAE,EACpC,QAAQ,EAAE,MAAM,GACf,IAAI,CAeN;AAED;;;;;;;;GAQG;AACH,wBAAgB,wBAAwB,CAAC,MAAM,EAAE,eAAe,EAAE,MAAM,EAAE,SAAS,GAAG;IAAE,IAAI,EAAE,MAAM,CAAA;CAAE,GAAG,IAAI,CAc5G;AAED;;;;;;;;;;;;;;;;GAgBG;AACH,wBAAgB,oBAAoB,CAAC,MAAM,EAAE,eAAe,EAAE,OAAO,EAAE,UAAU,GAAG,IAAI,CAGvF;AAED;;;;;;;;;;;;;GAaG;AACH,wBAAgB,sBAAsB,CAAC,OAAO,EAAE,UAAU,GAAG,IAAI,CAShE;AAED;;;;;;;;;;;GAWG;AACH,eAAO,MAAM,8BAA8B,4FACyF,CAAA;AACpI,eAAO,MAAM,+BAA+B,qOACkI,CAAA;AAC9K,eAAO,MAAM,+BAA+B,+HAAyE,CAAA;AAErH;;;GAGG;AACH,wBAAgB,qBAAqB,CAAC,IAAI,EAAE,mBAAmB,GAAG,eAAe,CA+MhF;AAID,wFAAwF;AACxF,wBAAgB,WAAW,CAAC,MAAM,EAAE,IAAI,CAAC,eAAe,EAAE,aAAa,CAAC,EAAE,UAAU,EAAE,MAAM,GAAG,iBAAiB,GAAG,SAAS,CAE3H;AAED,8HAA8H;AAC9H,wBAAgB,YAAY,CAAC,MAAM,EAAE,IAAI,CAAC,eAAe,EAAE,aAAa,CAAC,GAAG,OAAO,CAElF;AAED,kFAAkF;AAClF,wBAAgB,gBAAgB,CAAC,QAAQ,EAAE,MAAM,GAAG,MAAM,CAEzD;AAED;;;;;GAKG;AACH,eAAO,MAAM,yBAAyB,wFAAwF,CAAA;AAE9H;;;;;;;GAOG;AACH,wBAAgB,kBAAkB,CAAC,MAAM,EAAE,MAAM,GAAG;IAAE,QAAQ,EAAE,MAAM,CAAC;IAAC,IAAI,EAAE,OAAO,GAAG,MAAM,CAAA;CAAE,CAI/F;AAED;;;;;GAKG;AACH,wBAAgB,aAAa,CAAC,MAAM,EAAE,IAAI,CAAC,eAAe,EAAE,aAAa,CAAC,EAAE,UAAU,EAAE,MAAM,EAAE,QAAQ,EAAE,MAAM,GAAG,MAAM,EAAE,CAe1H;AAED;;;;GAIG;AACH,wBAAgB,WAAW,CAAC,MAAM,EAAE,IAAI,CAAC,eAAe,EAAE,aAAa,CAAC,EAAE,UAAU,EAAE,MAAM,EAAE,QAAQ,EAAE,MAAM,GAAG,MAAM,EAAE,CAcxH;AAED;;;;;;;GAOG;AACH,wBAAgB,aAAa,CAC3B,MAAM,EAAE,IAAI,CAAC,eAAe,EAAE,aAAa,CAAC,EAC5C,UAAU,EAAE,MAAM,EAClB,QAAQ,EAAE,MAAM,EAChB,OAAO,EAAE,WAAW,CAAC,MAAM,CAAC,EAC5B,MAAM,EAAE,WAAW,CAAC,MAAM,CAAC,GAC1B,OAAO,CAMT;AAED,0HAA0H;AAC1H,wBAAgB,aAAa,CAAC,MAAM,EAAE,IAAI,CAAC,eAAe,EAAE,aAAa,CAAC,EAAE,UAAU,EAAE,MAAM,EAAE,QAAQ,EAAE,MAAM,GAAG,MAAM,EAAE,CAM1H;AAGD;;;;;GAKG;AACH,wBAAgB,UAAU,CACxB,MAAM,EAAE,IAAI,CAAC,eAAe,EAAE,aAAa,CAAC,EAC5C,UAAU,EAAE,MAAM,EAClB,QAAQ,EAAE,MAAM,EAChB,OAAO,EAAE,WAAW,CAAC,MAAM,CAAC,EAC5B,MAAM,EAAE,WAAW,CAAC,MAAM,CAAC,GAC1B,gBAAgB,CAGlB;AAED;;;;;GAKG;AACH,wBAAgB,sBAAsB,CAAC,MAAM,EAAE,IAAI,CAAC,eAAe,EAAE,aAAa,CAAC,EAAE,MAAM,EAAE;IAAE,IAAI,EAAE,MAAM,CAAA;CAAE,EAAE,QAAQ,EAAE,MAAM,GAAG,IAAI,CAarI;AAED;;;;GAIG;AACH,wBAAgB,iBAAiB,CAAC,OAAO,EAAE,OAAO,GAAG,IAAI,CAOxD;AAED;;;;;GAKG;AACH,wBAAgB,kBAAkB,CAAC,OAAO,EAAE,OAAO,GAAG,IAAI,CAUzD"}