@jantstack/adonis-authz 2.5.0-alpha.2 → 2.5.0-alpha.4

package/build/src/models/authz_permission.d.ts

@@ -75,6 +75,11 @@ declare const AuthzPermission_base: {
         <Model extends import("@adonisjs/lucid/types/model").LucidModel>(this: Model, event: "paginate", handler: import("@adonisjs/lucid/types/model").HooksHandler<import("@adonisjs/lucid/types/model").ModelPaginatorContract<InstanceType<Model>>, "paginate">): void;
         <Model extends import("@adonisjs/lucid/types/model").LucidModel, Event extends import("@adonisjs/lucid/types/model").EventsList>(this: Model, event: Event, handler: import("@adonisjs/lucid/types/model").HooksHandler<InstanceType<Model>, Event>): void;
     };
+    before: {
+        <Model extends import("@adonisjs/lucid/types/model").LucidModel, Event extends "find" | "fetch">(this: Model, event: Event, handler: import("@adonisjs/lucid/types/model").HooksHandler<import("@adonisjs/lucid/types/model").ModelQueryBuilderContract<Model>, Event>): void;
+        <Model extends import("@adonisjs/lucid/types/model").LucidModel>(this: Model, event: "paginate", handler: import("@adonisjs/lucid/types/model").HooksHandler<[import("@adonisjs/lucid/types/model").ModelQueryBuilderContract<Model>, import("@adonisjs/lucid/types/model").ModelQueryBuilderContract<Model>], "paginate">): void;
+        <Model extends import("@adonisjs/lucid/types/model").LucidModel, Event extends import("@adonisjs/lucid/types/model").EventsList>(this: Model, event: Event, handler: import("@adonisjs/lucid/types/model").HooksHandler<InstanceType<Model>, Event>): void;
+    };
     readonly booted: boolean;
     $columnsDefinitions: Map<string, import("@adonisjs/lucid/types/model").ModelColumnOptions>;
     $relationsDefinitions: Map<string, import("@adonisjs/lucid/types/relations").RelationshipsContract>;
@@ -111,11 +116,6 @@ declare const AuthzPermission_base: {
     };
     $defineProperty: <Model extends import("@adonisjs/lucid/types/model").LucidModel, Prop extends keyof Model>(this: Model, propertyName: Prop, defaultValue: Model[Prop], strategy: "inherit" | "define" | ((value: Model[Prop]) => Model[Prop])) => void;
     boot: () => void;
-    before: {
-        <Model extends import("@adonisjs/lucid/types/model").LucidModel, Event extends "find" | "fetch">(this: Model, event: Event, handler: import("@adonisjs/lucid/types/model").HooksHandler<import("@adonisjs/lucid/types/model").ModelQueryBuilderContract<Model>, Event>): void;
-        <Model extends import("@adonisjs/lucid/types/model").LucidModel>(this: Model, event: "paginate", handler: import("@adonisjs/lucid/types/model").HooksHandler<[import("@adonisjs/lucid/types/model").ModelQueryBuilderContract<Model>, import("@adonisjs/lucid/types/model").ModelQueryBuilderContract<Model>], "paginate">): void;
-        <Model extends import("@adonisjs/lucid/types/model").LucidModel, Event extends import("@adonisjs/lucid/types/model").EventsList>(this: Model, event: Event, handler: import("@adonisjs/lucid/types/model").HooksHandler<InstanceType<Model>, Event>): void;
-    };
     create: <T extends import("@adonisjs/lucid/types/model").LucidModel>(this: T, values: Partial<import("@adonisjs/lucid/types/model").ModelAttributes<InstanceType<T>>>, options?: import("@adonisjs/lucid/types/model").ModelAssignOptions) => Promise<InstanceType<T>>;
     createQuietly: <T extends import("@adonisjs/lucid/types/model").LucidModel>(this: T, values: Partial<import("@adonisjs/lucid/types/model").ModelAttributes<InstanceType<T>>>, options?: import("@adonisjs/lucid/types/model").ModelAssignOptions) => Promise<InstanceType<T>>;
     createMany: <T extends import("@adonisjs/lucid/types/model").LucidModel>(this: T, values: Partial<import("@adonisjs/lucid/types/model").ModelAttributes<InstanceType<T>>>[], options?: import("@adonisjs/lucid/types/model").ModelAssignOptions) => Promise<InstanceType<T>[]>;
@@ -162,4 +162,3 @@ export default class AuthzPermission extends AuthzPermission_base {
     updatedAt: DateTime;
 }
 export {};
-//# sourceMappingURL=authz_permission.d.ts.map

package/build/src/models/authz_permission.js

@@ -43,4 +43,3 @@ __decorate([
     column.dateTime({ autoCreate: true, autoUpdate: true, columnName: 'updated_at' }),
     __metadata("design:type", DateTime)
 ], AuthzPermission.prototype, "updatedAt", void 0);
-//# sourceMappingURL=authz_permission.js.map

package/build/src/models/authz_role.d.ts

@@ -77,6 +77,11 @@ declare const AuthzRole_base: {
         <Model extends import("@adonisjs/lucid/types/model").LucidModel>(this: Model, event: "paginate", handler: import("@adonisjs/lucid/types/model").HooksHandler<import("@adonisjs/lucid/types/model").ModelPaginatorContract<InstanceType<Model>>, "paginate">): void;
         <Model extends import("@adonisjs/lucid/types/model").LucidModel, Event extends import("@adonisjs/lucid/types/model").EventsList>(this: Model, event: Event, handler: import("@adonisjs/lucid/types/model").HooksHandler<InstanceType<Model>, Event>): void;
     };
+    before: {
+        <Model extends import("@adonisjs/lucid/types/model").LucidModel, Event extends "find" | "fetch">(this: Model, event: Event, handler: import("@adonisjs/lucid/types/model").HooksHandler<import("@adonisjs/lucid/types/model").ModelQueryBuilderContract<Model>, Event>): void;
+        <Model extends import("@adonisjs/lucid/types/model").LucidModel>(this: Model, event: "paginate", handler: import("@adonisjs/lucid/types/model").HooksHandler<[import("@adonisjs/lucid/types/model").ModelQueryBuilderContract<Model>, import("@adonisjs/lucid/types/model").ModelQueryBuilderContract<Model>], "paginate">): void;
+        <Model extends import("@adonisjs/lucid/types/model").LucidModel, Event extends import("@adonisjs/lucid/types/model").EventsList>(this: Model, event: Event, handler: import("@adonisjs/lucid/types/model").HooksHandler<InstanceType<Model>, Event>): void;
+    };
     readonly booted: boolean;
     $columnsDefinitions: Map<string, import("@adonisjs/lucid/types/model").ModelColumnOptions>;
     $relationsDefinitions: Map<string, import("@adonisjs/lucid/types/relations").RelationshipsContract>;
@@ -113,11 +118,6 @@ declare const AuthzRole_base: {
     };
     $defineProperty: <Model extends import("@adonisjs/lucid/types/model").LucidModel, Prop extends keyof Model>(this: Model, propertyName: Prop, defaultValue: Model[Prop], strategy: "inherit" | "define" | ((value: Model[Prop]) => Model[Prop])) => void;
     boot: () => void;
-    before: {
-        <Model extends import("@adonisjs/lucid/types/model").LucidModel, Event extends "find" | "fetch">(this: Model, event: Event, handler: import("@adonisjs/lucid/types/model").HooksHandler<import("@adonisjs/lucid/types/model").ModelQueryBuilderContract<Model>, Event>): void;
-        <Model extends import("@adonisjs/lucid/types/model").LucidModel>(this: Model, event: "paginate", handler: import("@adonisjs/lucid/types/model").HooksHandler<[import("@adonisjs/lucid/types/model").ModelQueryBuilderContract<Model>, import("@adonisjs/lucid/types/model").ModelQueryBuilderContract<Model>], "paginate">): void;
-        <Model extends import("@adonisjs/lucid/types/model").LucidModel, Event extends import("@adonisjs/lucid/types/model").EventsList>(this: Model, event: Event, handler: import("@adonisjs/lucid/types/model").HooksHandler<InstanceType<Model>, Event>): void;
-    };
     create: <T extends import("@adonisjs/lucid/types/model").LucidModel>(this: T, values: Partial<import("@adonisjs/lucid/types/model").ModelAttributes<InstanceType<T>>>, options?: import("@adonisjs/lucid/types/model").ModelAssignOptions) => Promise<InstanceType<T>>;
     createQuietly: <T extends import("@adonisjs/lucid/types/model").LucidModel>(this: T, values: Partial<import("@adonisjs/lucid/types/model").ModelAttributes<InstanceType<T>>>, options?: import("@adonisjs/lucid/types/model").ModelAssignOptions) => Promise<InstanceType<T>>;
     createMany: <T extends import("@adonisjs/lucid/types/model").LucidModel>(this: T, values: Partial<import("@adonisjs/lucid/types/model").ModelAttributes<InstanceType<T>>>[], options?: import("@adonisjs/lucid/types/model").ModelAssignOptions) => Promise<InstanceType<T>[]>;
@@ -170,4 +170,3 @@ export default class AuthzRole extends AuthzRole_base {
     updatedAt: DateTime;
 }
 export {};
-//# sourceMappingURL=authz_role.d.ts.map

package/build/src/models/authz_role.js

@@ -68,4 +68,3 @@ __decorate([
     column.dateTime({ autoCreate: true, autoUpdate: true, columnName: 'updated_at' }),
     __metadata("design:type", DateTime)
 ], AuthzRole.prototype, "updatedAt", void 0);
-//# sourceMappingURL=authz_role.js.map

package/build/src/models/authz_role_permission.d.ts

@@ -75,6 +75,11 @@ declare const AuthzRolePermission_base: {
         <Model extends import("@adonisjs/lucid/types/model").LucidModel>(this: Model, event: "paginate", handler: import("@adonisjs/lucid/types/model").HooksHandler<import("@adonisjs/lucid/types/model").ModelPaginatorContract<InstanceType<Model>>, "paginate">): void;
         <Model extends import("@adonisjs/lucid/types/model").LucidModel, Event extends import("@adonisjs/lucid/types/model").EventsList>(this: Model, event: Event, handler: import("@adonisjs/lucid/types/model").HooksHandler<InstanceType<Model>, Event>): void;
     };
+    before: {
+        <Model extends import("@adonisjs/lucid/types/model").LucidModel, Event extends "find" | "fetch">(this: Model, event: Event, handler: import("@adonisjs/lucid/types/model").HooksHandler<import("@adonisjs/lucid/types/model").ModelQueryBuilderContract<Model>, Event>): void;
+        <Model extends import("@adonisjs/lucid/types/model").LucidModel>(this: Model, event: "paginate", handler: import("@adonisjs/lucid/types/model").HooksHandler<[import("@adonisjs/lucid/types/model").ModelQueryBuilderContract<Model>, import("@adonisjs/lucid/types/model").ModelQueryBuilderContract<Model>], "paginate">): void;
+        <Model extends import("@adonisjs/lucid/types/model").LucidModel, Event extends import("@adonisjs/lucid/types/model").EventsList>(this: Model, event: Event, handler: import("@adonisjs/lucid/types/model").HooksHandler<InstanceType<Model>, Event>): void;
+    };
     readonly booted: boolean;
     $columnsDefinitions: Map<string, import("@adonisjs/lucid/types/model").ModelColumnOptions>;
     $relationsDefinitions: Map<string, import("@adonisjs/lucid/types/relations").RelationshipsContract>;
@@ -111,11 +116,6 @@ declare const AuthzRolePermission_base: {
     };
     $defineProperty: <Model extends import("@adonisjs/lucid/types/model").LucidModel, Prop extends keyof Model>(this: Model, propertyName: Prop, defaultValue: Model[Prop], strategy: "inherit" | "define" | ((value: Model[Prop]) => Model[Prop])) => void;
     boot: () => void;
-    before: {
-        <Model extends import("@adonisjs/lucid/types/model").LucidModel, Event extends "find" | "fetch">(this: Model, event: Event, handler: import("@adonisjs/lucid/types/model").HooksHandler<import("@adonisjs/lucid/types/model").ModelQueryBuilderContract<Model>, Event>): void;
-        <Model extends import("@adonisjs/lucid/types/model").LucidModel>(this: Model, event: "paginate", handler: import("@adonisjs/lucid/types/model").HooksHandler<[import("@adonisjs/lucid/types/model").ModelQueryBuilderContract<Model>, import("@adonisjs/lucid/types/model").ModelQueryBuilderContract<Model>], "paginate">): void;
-        <Model extends import("@adonisjs/lucid/types/model").LucidModel, Event extends import("@adonisjs/lucid/types/model").EventsList>(this: Model, event: Event, handler: import("@adonisjs/lucid/types/model").HooksHandler<InstanceType<Model>, Event>): void;
-    };
     create: <T extends import("@adonisjs/lucid/types/model").LucidModel>(this: T, values: Partial<import("@adonisjs/lucid/types/model").ModelAttributes<InstanceType<T>>>, options?: import("@adonisjs/lucid/types/model").ModelAssignOptions) => Promise<InstanceType<T>>;
     createQuietly: <T extends import("@adonisjs/lucid/types/model").LucidModel>(this: T, values: Partial<import("@adonisjs/lucid/types/model").ModelAttributes<InstanceType<T>>>, options?: import("@adonisjs/lucid/types/model").ModelAssignOptions) => Promise<InstanceType<T>>;
     createMany: <T extends import("@adonisjs/lucid/types/model").LucidModel>(this: T, values: Partial<import("@adonisjs/lucid/types/model").ModelAttributes<InstanceType<T>>>[], options?: import("@adonisjs/lucid/types/model").ModelAssignOptions) => Promise<InstanceType<T>[]>;
@@ -152,4 +152,3 @@ export default class AuthzRolePermission extends AuthzRolePermission_base {
     createdAt: DateTime;
 }
 export {};
-//# sourceMappingURL=authz_role_permission.d.ts.map

package/build/src/models/authz_role_permission.js

@@ -32,4 +32,3 @@ __decorate([
     column.dateTime({ autoCreate: true, columnName: 'created_at' }),
     __metadata("design:type", DateTime)
 ], AuthzRolePermission.prototype, "createdAt", void 0);
-//# sourceMappingURL=authz_role_permission.js.map

package/build/src/openfga.d.ts

@@ -15,7 +15,7 @@ export type { HolderTypeMap, OpenFgaDriverOptions } from './drivers/openfga_driv
  * sobre el MISMO store y `modelId` que el driver `facts` de roles. Vive detrás
  * de esta puerta como el resto de lo que toca `@openfga/sdk`.
  */
-export { OpenFgaRelationsDriver, DEFAULT_LIST_OBJECTS_DEADLINE_MS, LIST_OBJECTS_DEADLINE_RATIO } from './drivers/openfga_relations_driver.js';
+export { OpenFgaRelationsDriver, DEFAULT_LIST_OBJECTS_DEADLINE_MS, LIST_OBJECTS_DEADLINE_RATIO, RELATIONS_PURGE_WRITE_MAX } from './drivers/openfga_relations_driver.js';
 export type { OpenFgaRelationsDriverOptions } from './drivers/openfga_relations_driver.js';
 /**
  * El modelo (c2r) y la proyección del catálogo (3b-2a; desde 3b-2k · K2 es
@@ -24,6 +24,5 @@ export type { OpenFgaRelationsDriverOptions } from './drivers/openfga_relations_
  * JSON y cadenas—, pero se publica por esta misma puerta: es material de
  * OpenFGA y solo lo usa quien lo elige.
  */
-export { openFgaFactsModel, factsRelationsOf, factsRelationMap, factsCatalogTuples, factsTupleId, factsModelBytes, assertFactsModelPublishable, assertFgaObjectId, FACTS_MODEL_MAX_BYTES, FACTS_MODEL_WARN_RATIO, FGA_MAX_RELATION_NAME, FGA_MAX_OBJECT_ID, FACTS_MAX_RESOLVE_DEPTH, FGA_MAX_BATCH_CHECK, factsScopeObject, factsParentTuple, FACTS_SCOPE_TYPE, FACTS_PARENT_RELATION, factsRootTuples, FACTS_ROOTED_RELATION, factsRelationTypeDefinitions, assertRelationsConfigPublishable, RESERVED_FACTS_TYPES, FACTS_GROUP_TYPE, FACTS_GROUP_MEMBER_RELATION, } from './drivers/openfga_facts.js';
-export type { FactsRelations, FactsCatalogTuple, FactsTuple, FactsRelationsConfig, RelationObjectType, RelationObjectRelation, } from './drivers/openfga_facts.js';
-//# sourceMappingURL=openfga.d.ts.map
+export { openFgaFactsModel, factsRelationsOf, factsRelationMap, factsCatalogTuples, factsTupleId, factsModelBytes, assertFactsModelPublishable, assertFgaObjectId, FACTS_MODEL_MAX_BYTES, FACTS_MODEL_WARN_RATIO, FGA_MAX_RELATION_NAME, FGA_MAX_OBJECT_ID, FACTS_MAX_RESOLVE_DEPTH, FGA_MAX_BATCH_CHECK, factsScopeObject, factsParentTuple, FACTS_SCOPE_TYPE, FACTS_PARENT_RELATION, factsRootTuples, FACTS_ROOTED_RELATION, factsRelationTypeDefinitions, assertRelationsConfigPublishable, RESERVED_FACTS_TYPES, FACTS_GROUP_TYPE, FACTS_GROUP_MEMBER_RELATION, factsModelDifferences, } from './drivers/openfga_facts.js';
+export type { FactsModelComparison, FactsModelDifference, FactsModelSlice, FactsRelations, FactsCatalogTuple, FactsTuple, FactsRelationsConfig, RelationObjectType, RelationObjectRelation, } from './drivers/openfga_facts.js';

package/build/src/openfga.js

@@ -14,7 +14,7 @@ export { OpenFgaAuthorizationDriver, provisionOpenFgaStore, assertHolderTypes, p
  * sobre el MISMO store y `modelId` que el driver `facts` de roles. Vive detrás
  * de esta puerta como el resto de lo que toca `@openfga/sdk`.
  */
-export { OpenFgaRelationsDriver, DEFAULT_LIST_OBJECTS_DEADLINE_MS, LIST_OBJECTS_DEADLINE_RATIO } from './drivers/openfga_relations_driver.js';
+export { OpenFgaRelationsDriver, DEFAULT_LIST_OBJECTS_DEADLINE_MS, LIST_OBJECTS_DEADLINE_RATIO, RELATIONS_PURGE_WRITE_MAX } from './drivers/openfga_relations_driver.js';
 /**
  * El modelo (c2r) y la proyección del catálogo (3b-2a; desde 3b-2k · K2 es
  * el ÚNICO modelo: `openFgaAuthorizationModel` —el del modo `resolver`— y
@@ -22,5 +22,7 @@ export { OpenFgaRelationsDriver, DEFAULT_LIST_OBJECTS_DEADLINE_MS, LIST_OBJECTS_
  * JSON y cadenas—, pero se publica por esta misma puerta: es material de
  * OpenFGA y solo lo usa quien lo elige.
  */
-export { openFgaFactsModel, factsRelationsOf, factsRelationMap, factsCatalogTuples, factsTupleId, factsModelBytes, assertFactsModelPublishable, assertFgaObjectId, FACTS_MODEL_MAX_BYTES, FACTS_MODEL_WARN_RATIO, FGA_MAX_RELATION_NAME, FGA_MAX_OBJECT_ID, FACTS_MAX_RESOLVE_DEPTH, FGA_MAX_BATCH_CHECK, factsScopeObject, factsParentTuple, FACTS_SCOPE_TYPE, FACTS_PARENT_RELATION, factsRootTuples, FACTS_ROOTED_RELATION, factsRelationTypeDefinitions, assertRelationsConfigPublishable, RESERVED_FACTS_TYPES, FACTS_GROUP_TYPE, FACTS_GROUP_MEMBER_RELATION, } from './drivers/openfga_facts.js';
-//# sourceMappingURL=openfga.js.map
+export { openFgaFactsModel, factsRelationsOf, factsRelationMap, factsCatalogTuples, factsTupleId, factsModelBytes, assertFactsModelPublishable, assertFgaObjectId, FACTS_MODEL_MAX_BYTES, FACTS_MODEL_WARN_RATIO, FGA_MAX_RELATION_NAME, FGA_MAX_OBJECT_ID, FACTS_MAX_RESOLVE_DEPTH, FGA_MAX_BATCH_CHECK, factsScopeObject, factsParentTuple, FACTS_SCOPE_TYPE, FACTS_PARENT_RELATION, factsRootTuples, FACTS_ROOTED_RELATION, factsRelationTypeDefinitions, assertRelationsConfigPublishable, RESERVED_FACTS_TYPES, FACTS_GROUP_TYPE, FACTS_GROUP_MEMBER_RELATION, 
+// L11 (lote «antes de RC»): la comparación modelo servido ↔ config, la que usan las dos puertas y la relectura de
+// `openfga:provision`.
+factsModelDifferences, } from './drivers/openfga_facts.js';

package/build/src/reconcile.d.ts

@@ -34,4 +34,3 @@ export declare function reconcileMaxTuples(value: number | undefined): number;
 export declare function emptyReconcileCounts(): ReconcileCounts;
 export declare function emptyReconcilePhases(): Record<ReconcileFamily, ReconcileCounts>;
 export declare function sumReconcilePhases(phases: Record<ReconcileFamily, ReconcileCounts>): ReconcileCounts;
-//# sourceMappingURL=reconcile.d.ts.map

package/build/src/reconcile.js

@@ -66,4 +66,3 @@ export function sumReconcilePhases(phases) {
     }
     return total;
 }
-//# sourceMappingURL=reconcile.js.map

package/build/src/relation_partition_trigger.d.ts

@@ -5,4 +5,3 @@ export declare function relationPartitionTrigger(dialect: string): string[];
 /** Las sentencias para soltar el trigger (y, en PG, su función) en el `down()`. */
 export declare function relationPartitionTriggerDrops(dialect: string): string[];
 export {};
-//# sourceMappingURL=relation_partition_trigger.d.ts.map

package/build/src/relation_partition_trigger.js

@@ -90,4 +90,3 @@ export function relationPartitionTriggerDrops(dialect) {
         'DROP TRIGGER IF EXISTS authz_relations_partition_bu',
     ];
 }
-//# sourceMappingURL=relation_partition_trigger.js.map

package/build/src/relations/check_many.d.ts

@@ -2,7 +2,7 @@ import type { RelObject } from '../types.js';
 /** Objetos por lote de `checkMany`. Es el tope de `batchCheck` del servidor FGA (50), para que un lote sea UNA request. */
 export declare const RELATIONS_CHECK_MANY_MAX = 50;
 /** `objects` es un array con 1..RELATIONS_CHECK_MANY_MAX elementos, o 422 (`E_AUTHZ_CHECK_MANY_BATCH`) sin tocar nada. */
-export declare function assertCheckManyObjects(objects: unknown): asserts objects is RelObject[];
+export declare function assertCheckManyObjects(objects: unknown, operation?: 'checkMany' | 'decideMany' | string): asserts objects is RelObject[];
 /**
  * Los objetos DISTINTOS del lote (por `type:id`, en orden de primera aparición)
  * y, por posición del lote, el índice del distinto que la responde. Con
@@ -14,4 +14,3 @@ export declare function distinctObjects(objects: RelObject[]): {
 };
 /** Reparte las respuestas de los objetos DISTINTOS a las posiciones del lote. */
 export declare function expandByPosition(index: number[], answers: boolean[]): boolean[];
-//# sourceMappingURL=check_many.d.ts.map

package/build/src/relations/check_many.js

@@ -17,15 +17,17 @@ import { CheckManyBatchError } from '../errors.js';
 /** Objetos por lote de `checkMany`. Es el tope de `batchCheck` del servidor FGA (50), para que un lote sea UNA request. */
 export const RELATIONS_CHECK_MANY_MAX = 50;
 /** `objects` es un array con 1..RELATIONS_CHECK_MANY_MAX elementos, o 422 (`E_AUTHZ_CHECK_MANY_BATCH`) sin tocar nada. */
-export function assertCheckManyObjects(objects) {
+export function assertCheckManyObjects(objects, operation = 'checkMany') {
+    // Lote D · D9: `decideMany` tiene las MISMAS garantías que `checkMany` (tope, `[]`, forma), con la misma clase y el
+    // mismo `code`; el mensaje nombra la operación.
     if (!Array.isArray(objects)) {
-        throw new CheckManyBatchError(`checkMany: 'objects' tiene que ser un array de objetos (llegó ${typeof objects}).`);
+        throw new CheckManyBatchError(`${operation}: 'objects' tiene que ser un array de objetos (llegó ${typeof objects}).`);
     }
     if (objects.length === 0) {
-        throw new CheckManyBatchError('checkMany: el lote está VACÍO. Un lote sin objetos no es una pregunta (y `[]` ⇒ `[]` se leería como «todo denegado»): pasa al menos un objeto.');
+        throw new CheckManyBatchError(`${operation}: el lote está VACÍO. Un lote sin objetos no es una pregunta (y \`[]\` ⇒ \`[]\` se leería como «todo denegado»): pasa al menos un objeto.`);
     }
     if (objects.length > RELATIONS_CHECK_MANY_MAX) {
-        throw new CheckManyBatchError(`checkMany: el lote tiene ${objects.length} objetos y el tope es ${RELATIONS_CHECK_MANY_MAX} (RELATIONS_CHECK_MANY_MAX, ` +
+        throw new CheckManyBatchError(`${operation}: el lote tiene ${objects.length} objetos y el tope es ${RELATIONS_CHECK_MANY_MAX} (RELATIONS_CHECK_MANY_MAX, ` +
             `= el tope de batchCheck del servidor): trocea en el llamante. No se ha preguntado nada.`);
     }
 }
@@ -54,4 +56,3 @@ export function distinctObjects(objects) {
 export function expandByPosition(index, answers) {
     return index.map((at) => answers[at]);
 }
-//# sourceMappingURL=check_many.js.map

package/build/src/relations/define_relations_config.d.ts

@@ -1,4 +1,4 @@
-import type { RelObject, RelUserset } from '../types.js';
+import type { RelObject, RelUserset, RelationDecision } from '../types.js';
 /**
  * **El ÚNICO userset que el modelo admite como sujeto** (plan 2.5 · lote B · B3):
  * `group#member`. El generador del modelo fusionado emite, para CADA relación de
@@ -7,6 +7,35 @@ import type { RelObject, RelUserset } from '../types.js';
  */
 export declare const RELATION_USERSET_TYPE = "group";
 export declare const RELATION_USERSET_RELATION = "member";
+/**
+ * **El prefijo de la relación ALMACENADA de un deny** (plan 2.5 · lote D · D1): `deny(u, viewer, doc)` escribe la
+ * tupla `doc#denied_viewer@u` —en `authz_relations` (`database`) y en el store (`openfga`)—. Es el MISMO prefijo que
+ * la familia del deny de roles (`FACTS_DENIED_PREFIX`) y está en `RESERVED_SLUG_PREFIXES`: ninguna relación de dominio
+ * puede empezar por él (⚪4), así que el nombre público y el almacenado nunca colisionan.
+ */
+export declare const RELATION_DENY_PREFIX = "denied_";
+/**
+ * **La cota de una relación DENEGABLE** (D1, juez ronda 2 · fila D: «≤ 43 caracteres»): `denied_<rel>` tiene que caber
+ * en los 50 de FGA (y en la columna `relation` de `authz_relations`), así que una relación de un tipo con `deny`
+ * mide como mucho `50 − 'denied_'.length` = 43. DERIVADA, como `MAX_SLUG_LENGTH`. En un tipo SIN `deny` la cota sigue
+ * siendo 50 (D-18: una cota global sería una ruptura para quien no usa el deny).
+ */
+export declare const DENIABLE_RELATION_NAME_MAX: number;
+/**
+ * **El opt-in del deny, en DOS FASES** (D10, decisión del dueño 2026-10-14; auditor R2-2): un solo interruptor no
+ * tiene secuencia segura con pods de dos versiones (un pod nuevo escribe un deny y uno viejo —o uno con el `modelId`
+ * viejo— no lo mira). Por eso son dos valores y dos despliegues:
+ *
+ *  - `'read'` (fase 1): el modelo publicado declara `denied_<rel>` (`<rel> … but not denied_<rel>`) y TODAS las
+ *    lecturas lo honran; `deny()` sobre ese tipo es 422 `E_AUTHZ_RELATION_NOT_DENYABLE` (todavía no se escriben).
+ *    `removeDeny`/`listDenies` sí funcionan (retirar el opt-in tiene que ser reversible).
+ *  - `'write'` (fase 2): además se aceptan escrituras de deny.
+ *
+ * El runbook: (1) toda la flota en ≥ 2.5.0-alpha.3 con el tipo en `'read'`, el modelo publicado y todos los pods
+ * fijados al `modelId` nuevo; (2) verificar; (3) un SEGUNDO despliegue pasa a `'write'`. `deny: true` no existe a
+ * propósito (422 nombrando las dos fases): sería el interruptor único que R2-2 descartó.
+ */
+export type RelationDenyPhase = 'read' | 'write';
 /**
  * **Listas blancas por nivel de la spec** (plan 2.5 · lote B · B2; linaje L5,
  * propiedad universal «ninguna clave de una spec de config se descarta»).
@@ -19,10 +48,10 @@ export declare const RELATION_USERSET_RELATION = "member";
  * Las claves del lote D entran AQUÍ, en el mismo commit que su efecto.
  */
 export declare const RELATIONS_SPEC_KEYS: Readonly<{
-    root: readonly ["objectTypes", "holderTypes", "database"];
-    objectType: readonly ["type", "relations"];
+    root: readonly ["objectTypes", "holderTypes", "database", "maxGroupDepth"];
+    objectType: readonly ["type", "relations", "deny"];
     relation: readonly ["name", "includes"];
-    database: readonly ["membersOf"];
+    database: readonly ["membersOf", "enforceGroupDepth"];
 }>;
 /** Una relación de un tipo de objeto (`document#viewer`), con sus `includes` de un nivel. */
 export interface RelationObjectRelationSpec {
@@ -42,6 +71,12 @@ export interface RelationObjectTypeSpec {
     type: string;
     /** Sus relaciones, en orden de declaración. */
     relations: readonly RelationObjectRelationSpec[];
+    /**
+     * **Opt-in del deny para este tipo** (plan 2.5 · lote D, D10: dos fases, ver `RelationDenyPhase`). Ausente = el tipo
+     * no se puede denegar (`deny()` ⇒ 422) y su modelo es byte a byte el de 2.4.0-alpha.10 (D-29). Con `'read'` o
+     * `'write'` cada relación del tipo mide ≤ `DENIABLE_RELATION_NAME_MAX` (43) y el modelo publica `denied_<rel>`.
+     */
+    deny?: RelationDenyPhase;
 }
 /** Opciones específicas del driver `database`. */
 export interface RelationsDatabaseOptions {
@@ -52,6 +87,15 @@ export interface RelationsDatabaseOptions {
      * `database`.
      */
     membersOf?: boolean;
+    /**
+     * **El límite de anidación de grupos en `database`, OPT-IN** (lote «antes de RC» · R1, decisión del dueño 2026-10-17
+     * (5): «`database` SIN límite por defecto —no tiene techo técnico—, opt-in con mando explícito aparte del número»).
+     * `true` ⇒ el driver `database` rechaza con 422 `E_AUTHZ_GROUP_DEPTH_LIMIT` la arista `group#member` que deje una
+     * cadena más larga que `maxGroupDepth` (que entonces es OBLIGATORIO y numérico: 500 al arrancar si no). Mando aparte
+     * a propósito (V2-4 del auditor): el `maxGroupDepth` que pones para tu CI `openfga` NO activa el gate en tu producción
+     * `database`. Default `false`.
+     */
+    enforceGroupDepth?: boolean;
 }
 /** La config que declara el consumidor. */
 export interface RelationsConfigSpec {
@@ -65,12 +109,26 @@ export interface RelationsConfigSpec {
     holderTypes?: readonly string[];
     /** Opciones del driver `database` (donde vive `membersOf`). */
     database?: RelationsDatabaseOptions;
+    /**
+     * **El techo de anidación de grupos que declara la APP** (lote «antes de RC» · R1, decisiones del dueño 2026-10-17 (5)
+     * y (5-bis)): saltos `group⊂group` del camino MÁS LARGO. Cada driver declara su techo — `openfga` lo CALIBRA contra
+     * el servidor al primer uso (22 en OpenFGA v1.19 por defecto) y lo aplica SIEMPRE; `database` no tiene ninguno salvo
+     * `database.enforceGroupDepth` —; este valor solo puede BAJAR el de `openfga` (uno mayor que el calibrado ⇒ 500
+     * `E_AUTHZ_CONFIG` al calibrar, con las dos cifras) y es EL número en `database` con el opt-in. Entero 1..97 o `false`
+     * (apaga el de `openfga`, de forma explícita); cualquier otro valor ⇒ 500 al ARRANCAR. El paquete no lee variables de
+     * entorno: valida la tuya (`Env.schema.number.optional()`) y pásala aquí.
+     */
+    maxGroupDepth?: number | false;
 }
 /** La config ya validada y CONGELADA que consulta el manager de relaciones. */
 export interface RelationsConfig {
     readonly objectTypes: readonly RelationObjectTypeSpec[];
     /** ¿`membersOf` está habilitado (opción de `database`)? */
     readonly membersOf: boolean;
+    /** R1: el techo de anidación de grupos declarado por la app (`undefined` = el del driver; `false` = apagado explícito). */
+    readonly maxGroupDepth?: number | false;
+    /** R1: ¿el driver `database` aplica `maxGroupDepth`? (opt-in, `database.enforceGroupDepth`). */
+    readonly enforceGroupDepth?: boolean;
     /** ¿Existe el tipo de objeto? (F-05, cara del tipo). */
     hasType(objectType: string): boolean;
     /** ¿La relación está declarada para ese tipo? (F-05, cara de la relación). */
@@ -179,4 +237,81 @@ export declare const RELATION_USERSET_RESIDUE_DELETE = "DELETE FROM authz_relati
  * `E_AUTHZ_RELATION_CONFIG` (misma clase que el gate del modelo del lote 4-1).
  */
 export declare function defineRelationsConfig(spec: RelationsConfigSpec): RelationsConfig;
-//# sourceMappingURL=define_relations_config.d.ts.map
+/** La fase del opt-in del deny de un tipo (`undefined` = sin opt-in; `group` nunca). */
+export declare function denyPhaseOf(config: Pick<RelationsConfig, 'objectTypes'>, objectType: string): RelationDenyPhase | undefined;
+/** ¿Algún tipo de la config declara el opt-in (en cualquier fase)? Decide D14 (`modelId` fijado obligatorio en `openfga`). */
+export declare function hasDenyTypes(config: Pick<RelationsConfig, 'objectTypes'>): boolean;
+/** La relación ALMACENADA del deny de `relation` (`viewer` ⇒ `denied_viewer`). */
+export declare function deniedRelationOf(relation: string): string;
+/**
+ * **La consulta del README §Upgrading que cuenta los denies VIVOS de relaciones** (plan 2.5 · lote D · D2; D12/S17: no
+ * hay rollback por debajo de 2.5 con denies vivos — antes de volver atrás tiene que dar 0). Portable a los tres motores
+ * (`substr` existe en SQLite, PostgreSQL y MySQL; `LIKE 'denied\_%'` no: SQLite no tiene escape por defecto). La ejecutan
+ * `tests/upgrade_recipe.spec.ts` (los cuatro modos, contra el README byte a byte) y el paso 21 del runbook.
+ */
+export declare const RELATION_DENIES_COUNT_SQL = "SELECT count(*) AS n FROM authz_relations WHERE substr(relation, 1, 7) = 'denied_';";
+/**
+ * **La relación ALMACENADA, leída de vuelta: nombre público + `kind`** (plan 2.5 · lote D · D2; el reconcile con
+ * `kind`). Es el PUNTO DE PASO ÚNICO de `enumerateRelations(Many)` en los dos drivers y en el doble: `denied_viewer`
+ * ⇒ `{ relation: 'viewer', kind: 'deny' }`; cualquier otra ⇒ `{ relation, kind: 'allow' }`. Inequívoco porque el
+ * prefijo está en `RESERVED_SLUG_PREFIXES` (ninguna relación de dominio puede empezar por `denied_`). Hasta D2 los
+ * drivers emitían `relation: 'denied_viewer'` sin `kind`, y `reconcileRelations` lo contaba como relación NO
+ * declarada (`skipped.undeclared`): una migración `database → openfga` no llevaba los denies.
+ */
+export declare function storedRelationKind(stored: string): {
+    relation: string;
+    kind: 'allow' | 'deny';
+};
+/**
+ * **`down*(R)`: las relaciones cuyo hecho DIRECTO satisface `R`** (R y todo lo que incluye, transitivamente). Es el
+ * PUNTO DE PASO ÚNICO del grafo de `includes` hacia abajo (lote D: antes lo reimplementaban `#expandDown` del driver
+ * `database` y el doble; con el deny hacen falta las dos direcciones en tres sitios y, calculadas tres veces,
+ * divergen). En el retículo del contrato: `down*(viewer) = {viewer, editor, owner}`.
+ */
+export declare function relationsDown(config: Pick<RelationsConfig, 'objectTypes'>, objectType: string, relation: string): string[];
+/**
+ * **`up*(R)`: las relaciones que INCLUYEN a `R`** (R y todo lo que la incluye, transitivamente). Un deny en cualquiera
+ * de ellas CORTA un grant de `R` (D5, corte de camino): `up*(owner) = {owner, editor, viewer}` ⇒ un deny en `editor`
+ * anula entero un grant de `owner`.
+ */
+export declare function relationsUp(config: Pick<RelationsConfig, 'objectTypes'>, objectType: string, relation: string): string[];
+/**
+ * **D5 · CORTE DE CAMINO, la regla ÚNICA** (decisión del dueño 2026-10-14; tester §2.1, la tabla T1 de 64 estados):
+ * `check(s, Q, o) = T` sii existe un grant `T ∈ A ∩ down*(Q)` tal que `up*(T) ∩ D = ∅`, con `A` = las relaciones con
+ * allow vivo que alcanzan al sujeto (directo o por `group#member`, anidado) y `D` = las relaciones con deny que lo
+ * alcanzan igual. Es EXACTAMENTE lo que el modelo FGA evalúa en el servidor (`X = (this ∨ I…) but not denied_X`,
+ * `denied_X = this ∨ denied_P` por cada `P ⊇ X`), y es la función que usan el driver `database`, el doble y el
+ * oráculo de la suite: tres copias divergirían (L8).
+ */
+export declare function cutPathAllows(config: Pick<RelationsConfig, 'objectTypes'>, objectType: string, relation: string, allowed: ReadonlySet<string>, denied: ReadonlySet<string>): boolean;
+/** Las relaciones del deny que `decideMany`/`check` tienen que leer para `R`: `up*(down*(R))` (D9, definición AMPLIA). */
+export declare function deniableAbove(config: Pick<RelationsConfig, 'objectTypes'>, objectType: string, relation: string): string[];
+/**
+ * **D9 · `decideMany` AMPLIO, la regla ÚNICA** (decisión del dueño 2026-10-14; juez ronda 2 §4): `allow` si `check`
+ * concede (el deny ya está aplicado dentro del objeto por corte de camino); si no, `deny` si el sujeto tiene un deny
+ * vivo sobre ALGUNA relación de `up*(down*(R))` en el objeto; si no, `none`. Más amplia que `check` a propósito
+ * (fail-closed en la cadena del llamante): un `viewer` heredado con un deny(`editor`) en el hijo da `deny`.
+ */
+export declare function decideFrom(config: Pick<RelationsConfig, 'objectTypes'>, objectType: string, relation: string, allowed: ReadonlySet<string>, denied: ReadonlySet<string>): RelationDecision;
+/**
+ * **La puerta de ESCRITURA del deny** (D10/D-17): `deny()` solo entra sobre un tipo en fase `'write'`; sin opt-in, en
+ * `'read'` o sobre `group` ⇒ 422 `E_AUTHZ_RELATION_NOT_DENYABLE`. La aplican el manager, los dos drivers y el doble,
+ * DESPUÉS de F-05 (un tipo no declarado sigue siendo `E_AUTHZ_RELATION_TYPE_UNKNOWN`). `removeDeny`/`listDenies` NO
+ * pasan por aquí: aceptan cualquier tipo declarado (D8/R2-4 b: retirar el opt-in tiene que ser reversible).
+ */
+export declare function assertRelationDenyable(config: Pick<RelationsConfig, 'objectTypes'>, object: {
+    type: string;
+}, relation: string): void;
+/**
+ * **El comodín `*` no es un sujeto de deny** (D-17): un deny a «todos» sería un apagado del objeto que nadie
+ * auditaría como tal. Hoy la gramática de holder ya rechaza `*` (422 `E_AUTHZ_INVALID_IDENTITY`); esta guarda lo dice
+ * con el código del deny ANTES de la gramática, para que un cambio de la gramática no lo abra en silencio.
+ */
+export declare function assertDenySubject(subject: unknown): void;
+/**
+ * **D3: el deny no caduca en v1.** `expiresAt` en las opciones de `deny`/`removeDeny` —incluso `null`, que en `relate`
+ * significa «quitar la caducidad»— es 422 `E_AUTHZ_DENY_EXPIRY_UNSUPPORTED` ANTES de tocar el backend, con la razón
+ * medida (M5). La clave PRESENTE es lo que se rechaza: un `null` aceptado sería una puerta para que la siguiente
+ * versión la lea como «permanente» sin que nadie lo decidiera.
+ */
+export declare function assertDenyNoExpiry(options: unknown): void;