@jantstack/adonis-authz 2.5.0-alpha.3 → 2.5.0-alpha.4

package/build/commands/authz_catalog_diff.d.ts

@@ -25,4 +25,3 @@ export default class AuthzCatalogDiff extends BaseCommand {
     failOnShadows: boolean;
     run(): Promise<void>;
 }
-//# sourceMappingURL=authz_catalog_diff.d.ts.map

package/build/commands/authz_catalog_diff.js

@@ -63,4 +63,3 @@ __decorate([
     }),
     __metadata("design:type", Boolean)
 ], AuthzCatalogDiff.prototype, "failOnShadows", void 0);
-//# sourceMappingURL=authz_catalog_diff.js.map

package/build/commands/authz_catalog_prune_orphans.d.ts

@@ -75,4 +75,3 @@ export default class AuthzCatalogPruneOrphans extends BaseCommand {
     run(): Promise<void>;
 }
 export {};
-//# sourceMappingURL=authz_catalog_prune_orphans.d.ts.map

package/build/commands/authz_catalog_prune_orphans.js

@@ -132,4 +132,3 @@ __decorate([
     }),
     __metadata("design:type", Object)
 ], AuthzCatalogPruneOrphans.prototype, "allowMassPurge", void 0);
-//# sourceMappingURL=authz_catalog_prune_orphans.js.map

package/build/commands/authz_catalog_sync.d.ts

@@ -34,4 +34,3 @@ export default class AuthzCatalogSync extends BaseCommand {
     keepLinks: boolean | undefined;
     run(): Promise<void>;
 }
-//# sourceMappingURL=authz_catalog_sync.d.ts.map

package/build/commands/authz_catalog_sync.js

@@ -78,4 +78,3 @@ __decorate([
     flags.boolean({ description: 'Do not prune role→permission links missing from the spec' }),
     __metadata("design:type", Object)
 ], AuthzCatalogSync.prototype, "keepLinks", void 0);
-//# sourceMappingURL=authz_catalog_sync.js.map

package/build/commands/authz_freeze.d.ts

@@ -41,4 +41,3 @@ export default class AuthzFreeze extends BaseCommand {
     leaseMs: number | undefined;
     run(): Promise<void>;
 }
-//# sourceMappingURL=authz_freeze.d.ts.map

package/build/commands/authz_freeze.js

@@ -91,4 +91,3 @@ __decorate([
     }),
     __metadata("design:type", Object)
 ], AuthzFreeze.prototype, "leaseMs", void 0);
-//# sourceMappingURL=authz_freeze.js.map

package/build/commands/authz_reconcile.d.ts

@@ -108,4 +108,3 @@ export default class AuthzReconcile extends BaseCommand {
     maxTuples: number | undefined;
     run(): Promise<void>;
 }
-//# sourceMappingURL=authz_reconcile.d.ts.map

package/build/commands/authz_reconcile.js

@@ -453,4 +453,3 @@ __decorate([
     }),
     __metadata("design:type", Object)
 ], AuthzReconcile.prototype, "maxTuples", void 0);
-//# sourceMappingURL=authz_reconcile.js.map

package/build/commands/authz_relations_reconcile.d.ts

@@ -92,4 +92,3 @@ export default class AuthzRelationsReconcile extends BaseCommand {
     partitionUuid: string | undefined;
     run(): Promise<void>;
 }
-//# sourceMappingURL=authz_relations_reconcile.d.ts.map

package/build/commands/authz_relations_reconcile.js

@@ -9,6 +9,7 @@ var __metadata = (this && this.__metadata) || function (k, v) {
 };
 import { BaseCommand, flags } from '@adonisjs/core/ace';
 import { RELATION_USERSET_RESIDUE_DELETE } from '../src/relations/define_relations_config.js';
+import { denyReachLine } from '../src/relations/deny_reach.js';
 import { RelationConfigError } from '../src/errors.js';
 // Plan 2.5 · lote B · B7: la vía pública vive en su subpath (`src/relations_reconcile.ts`,
 // `@jantstack/adonis-authz/relations/reconcile`); este módulo es el COMANDO y la importa de allí.
@@ -84,6 +85,34 @@ export function relationsReconcileLines(report) {
                 `el deny concedería lo que el origen niega. Receta: ${refusal.recipe}`,
         });
     }
+    // Lote RC · sublote (8): el DETECTOR del alcance de los denies (solo si la pasada lo pidió: `--dry-run`). Una línea por
+    // hallazgo con su prefijo ESTABLE (punto 7) y su receta: «deny con alcance ENCOGIDO» / «deny HUÉRFANO» (persistida →
+    // servida) y «línea base RANCIA» (servida → persistida, firma (8 · rancia)) son deriva (exit ≠ 0). Sin línea base y con
+    // denies vivos sin juzgar, la línea «alcance de denies: SIN línea base y N deny(s) vivos sin juzgar» y exit 0 (firma
+    // (8 · `--dry-run`), g2: el runbook no persiste la config y no cambia). Sin nada de eso, UNA línea que dice qué se comparó.
+    if (report.denyReach !== undefined) {
+        const { baseline, findings, stale, unjudged } = report.denyReach;
+        for (const finding of [...findings, ...stale]) {
+            lines.push({ level: 'error', message: `${denyReachLine(finding)} (lado: ${finding.sides.join(', ')})` });
+        }
+        if (baseline === 'none' && unjudged > 0) {
+            lines.push({
+                level: 'warning',
+                message: `alcance de denies: SIN línea base y ${unjudged} deny(s) vivos sin juzgar (no hay config persistida en authz_relations_config): ` +
+                    `solo se buscaron huérfanos, y un estrechamiento de su alcance NO se ve sin línea base. Si usas deny, persistir la config es ` +
+                    `paso obligatorio de release: adóptala una vez con saveRelationsConfig(spec, { establishBaseline: true }) y vigila con ` +
+                    `checkRelationsConfigDenyReach (el detector de un solo driver).`,
+            });
+        }
+        else if (findings.length === 0 && stale.length === 0) {
+            lines.push({
+                level: 'log',
+                message: baseline === 'persisted'
+                    ? 'alcance de denies: ningún deny vivo de la partición encogió ni quedó huérfano entre la config persistida (línea base) y la que sirve este proceso, y la línea base no es más estrecha que lo servido.'
+                    : 'alcance de denies: SIN línea base (no hay config persistida en authz_relations_config) y ningún deny vivo en la partición que juzgar.',
+            });
+        }
+    }
     // R-15: la caducada del origen es la pérdida DECLARADA de la migración (como
     // `expired` en roles, 3b-8 · B2): se dice, no es deriva.
     if (report.skipped.expired > 0) {
@@ -137,7 +166,9 @@ export function relationsReconcileLines(report) {
                 level: 'error',
                 message: detail.reason === 'userset-unsupported'
                     ? `sin migrar ${what}. Es un residuo pre-2.5 (B3) del store de ORIGEN: el destino no lo admite por ninguna puerta y ningún --prune lo toca. Bórrala a mano (los tres motores): ${RELATION_USERSET_RESIDUE_DELETE} y repite la pasada.`
-                    : `sin migrar ${what}. Es un dato del store de ORIGEN, no una pregunta: corrígela o bórrala a mano (SQL/SDK) y repite la pasada.`,
+                    : detail.reason === 'invalid-condition'
+                        ? `sin migrar ${what}. Es una tupla cuya condición el paquete no escribe ni sabe leer (L11): no se migra como permanente ni como caducada. Revísala y corrígela o bórrala a mano (SDK/CLI de OpenFGA) y repite la pasada.`
+                        : `sin migrar ${what}. Es un dato del store de ORIGEN, no una pregunta: corrígela o bórrala a mano (SQL/SDK) y repite la pasada.`,
             });
             continue;
         }
@@ -164,11 +195,13 @@ export function relationsReconcileLines(report) {
             level: 'error',
             message: detail.reason === 'userset-unsupported'
                 ? `sobra ${what}. Es un residuo pre-2.5 (B3) del DESTINO: --prune ${verdict} lo borra${detail.pruned === false ? '' : 'ría'} (nunca un DELETE de plataforma sobre una fila que la API no admite). Bórrala a mano (los tres motores): ${RELATION_USERSET_RESIDUE_DELETE} y repite la pasada.`
-                : detail.reason === 'deny-conditional'
-                    ? `sobra ${what}. Es un deny CONDICIONAL del DESTINO (con caducidad, escrito fuera del paquete) que el driver destino no puede rehacer permanente (openfga no reemplaza la misma clave en un Write, M5): niega solo mientras viva (si ya venció, no niega nada) y su partición queda NEGADA (línea «partición NEGADA»: cero escrituras en ella).`
-                    : detail.reason === 'undeclared'
-                        ? `sobra ${what}. Es una fila del DESTINO cuya relación (o tipo) el destino YA NO declara (F-05): --prune ${verdict} la borra${detail.pruned === false ? '' : 'ría'} (unrelate la rechaza por F-05 y la pasada no insiste: nunca un DELETE de plataforma). Sigue ahí: retírala a mano (SQL/SDK) o vuelve a declarar la relación en el destino (y re-guarda su config persistida) y repite la pasada.`
-                        : `sobra ${what}. Es un dato del DESTINO fuera de la gramática: --prune ${verdict} la borra${detail.pruned === false ? '' : 'ría'} (ningún driver del paquete la admite en unrelate, R-16, y la pasada no se la pide a nadie: nunca un DELETE de plataforma). Sigue ahí: corrígela o bórrala a mano (SQL/SDK) y repite la pasada.`,
+                : detail.reason === 'invalid-condition'
+                    ? `sobra ${what}. Es una tupla del DESTINO con una condición que el paquete no escribe ni sabe leer (L11): presente e intocable —--prune ${verdict} la borra${detail.pruned === false ? '' : 'ría'}, y su clave no se reescribe desde el origen—. Revísala y bórrala a mano (SDK/CLI de OpenFGA) y repite la pasada.`
+                    : detail.reason === 'deny-conditional'
+                        ? `sobra ${what}. Es un deny CONDICIONAL del DESTINO (con caducidad, escrito fuera del paquete) que el driver destino no puede rehacer permanente (openfga no reemplaza la misma clave en un Write, M5): niega solo mientras viva (si ya venció, no niega nada) y su partición queda NEGADA (línea «partición NEGADA»: cero escrituras en ella).`
+                        : detail.reason === 'undeclared'
+                            ? `sobra ${what}. Es una fila del DESTINO cuya relación (o tipo) el destino YA NO declara (F-05): --prune ${verdict} la borra${detail.pruned === false ? '' : 'ría'} (unrelate la rechaza por F-05 y la pasada no insiste: nunca un DELETE de plataforma). Sigue ahí: retírala a mano (SQL/SDK) o vuelve a declarar la relación en el destino (y re-guarda su config persistida) y repite la pasada.`
+                            : `sobra ${what}. Es un dato del DESTINO fuera de la gramática: --prune ${verdict} la borra${detail.pruned === false ? '' : 'ría'} (ningún driver del paquete la admite en unrelate, R-16, y la pasada no se la pide a nadie: nunca un DELETE de plataforma). Sigue ahí: corrígela o bórrala a mano (SQL/SDK) y repite la pasada.`,
         });
     }
     // Cierre 5 de D2 (decisión del dueño §2026-10-16 (10), opción A): la PARTICIÓN NEGADA — ≥ 1 `renewal-unsafe` o
@@ -182,7 +215,7 @@ export function relationsReconcileLines(report) {
         const later = evolves.length > 0 ? ` OJO, ese estado EVOLUCIONA: ${evolves.slice(0, 5).join('; ')}${evolves.length > 5 ? '; …' : ''}.` : '';
         lines.push({
             level: 'error',
-            message: `partición NEGADA ${refusal.partition}: ${causes.length} causa(s) que el destino no puede escribir en una escritura — ` +
+            message: `partición NEGADA ${refusal.partition}: ${causes.length} causa(s) por las que la pasada no puede escribir en ella sin conceder de más (una ventana entre dos Write, una tupla que el paquete no sabe leer, o una cadena de grupos anidados más larga que el techo del destino) — ` +
                 `${causes.slice(0, 5).join('; ')}${causes.length > 5 ? '; …' : ''}. Cero escrituras y cero borrados en esta partición ` +
                 `(también en la pasada real${report.prune === true ? ' y con --prune' : ''}): su destino queda COMO ESTABA, con la deriva ` +
                 `previa a la vista (por escribir ${refusal.pending.write}, por renovar ${refusal.pending.update}, por borrar ` +
@@ -287,6 +320,8 @@ export function relationsReconcileLines(report) {
         pendingRenewals === 0 &&
         (report.partitionsRefused?.length ?? 0) === 0 &&
         (report.denyRefused?.length ?? 0) === 0 &&
+        (report.denyReach?.findings.length ?? 0) === 0 &&
+        (report.denyReach?.stale.length ?? 0) === 0 &&
         !(report.massDelete && !massDeleteLifted) &&
         !(report.frozen?.lapsed === true) &&
         (!report.dryRun || cambios === 0);
@@ -461,6 +496,19 @@ export default class AuthzRelationsReconcile extends BaseCommand {
         else {
             this.logger.info(`Config del destino: leída de authz_relations_config (${toConfig.objectTypes.length} tipo(s)): la deriva del modelo se vigila.`);
         }
+        // Lote RC · sublote (8): el DETECTOR del alcance de los denies, solo en el verificador (`--dry-run`): línea base = la
+        // config persistida (`toConfig`), config nueva = la que SIRVE este proceso (`relations.config`). Sin `relations.config`
+        // en el proceso no hay con qué comparar: se dice (punto 7) y la pasada sigue.
+        let denyReach;
+        if (this.dryRun === true) {
+            const current = this.app.config?.get('authorization')?.relations?.config;
+            if (current && Array.isArray(current.objectTypes)) {
+                denyReach = { baseline: toConfig, current };
+            }
+            else {
+                this.logger.info('alcance de denies: NO se vigila en esta pasada (este proceso no tiene relations.config en config/authorization.ts con el que comparar).');
+            }
+        }
         // L-1 · J1: la pasada que ESCRIBE corre bajo la ventana durable del
         // manager de roles (la misma fila `id = 2`, toda la flota); `--dry-run` no.
         // Los drivers los construye `runRelationsReconcile`, DESPUÉS del guard.
@@ -475,6 +523,7 @@ export default class AuthzRelationsReconcile extends BaseCommand {
                 toKey: this.to,
                 fromKey,
                 ...(toConfig ? { toConfig } : {}),
+                ...(denyReach ? { denyReach } : {}),
             });
         }
         catch (error) {
@@ -583,4 +632,3 @@ __decorate([
     flags.string({ description: 'Partition (tenant) scope uuid; required with --partition-type' }),
     __metadata("design:type", Object)
 ], AuthzRelationsReconcile.prototype, "partitionUuid", void 0);
-//# sourceMappingURL=authz_relations_reconcile.js.map

package/build/commands/authz_scopes_relay.d.ts

@@ -94,4 +94,3 @@ export default class AuthzScopesRelay extends BaseCommand {
     static parseOnly(values: string[] | undefined): Array<string | number> | undefined;
     run(): Promise<void>;
 }
-//# sourceMappingURL=authz_scopes_relay.d.ts.map

package/build/commands/authz_scopes_relay.js

@@ -252,8 +252,23 @@ export default class AuthzScopesRelay extends BaseCommand {
         // Qué fue de cada entrada, una a una (`entries`): la pasada no es atómica
         // y un contador no permite retomar nada. Lo aparcado ya se dijo arriba.
         for (const entry of report.entries) {
-            if (entry.status === 'applied')
-                this.logger.log(`aplicado: ${linea(entry)}`);
+            if (entry.status === 'applied') {
+                // Asentar · cierre 1 (auditor ⚪ 8): la auditoría dice el padre APLICADO, no solo el encolado.
+                if (entry.reason === 'superseded') {
+                    this.logger.warning(`aplicado SIN arista (superseded: el nodo ya no existe y su detached está en la cola): ${linea(entry)}`);
+                }
+                else if (entry.reason === 'consumer-parent' && entry.appliedParent) {
+                    // Asentar · cierre 2 (C1-1 (b), firma del dueño 2026-10-21; O-1 del re-ataque): exit ≠ 0. La carrera S1 y una
+                    // caché rancia con dos movimientos del nodo dentro de su TTL son INDISTINGUIBLES para el relay, y un cron no lee
+                    // avisos: la carrera hace saltar la alarma una vez; la caché, cada vez que pase.
+                    this.logger.warning(`aplicado con el padre del CONSUMIDOR ${entry.appliedParent.type}:${entry.appliedParent.uuid ?? ''} ` +
+                        `(no el encolado; otra entrada del nodo lo respalda): ${linea(entry)} — sale ≠ 0: comprueba que el resolutor ` +
+                        'del relay lee lo CONFIRMADO, sin caché ni réplica atrasada (authz:reconcile --dry-run lo contrasta)');
+                    this.exitCode = 1;
+                }
+                else
+                    this.logger.log(`aplicado: ${linea(entry)}`);
+            }
             if (entry.status === 'deferred') {
                 const motivo = entry.reason?.startsWith('parked:')
                     ? `aplazado por APARCADO (${entry.reason}): no se aplica hasta que alguien mire esa entrada`
@@ -267,8 +282,38 @@ export default class AuthzScopesRelay extends BaseCommand {
         notEvaluatedLines();
         if (report.failures.length > 0) {
             for (const item of report.failures) {
-                this.logger.error(`falló #${item.id} (${item.change.op} ` +
-                    `${item.change.child.type}:${item.change.child.uuid ?? ''}): ${item.error}` +
+                const target = `#${item.id} (${item.change.op} ${item.change.child.type}:${item.change.child.uuid ?? ''})`;
+                // Cierre-2 de L11 (⚪ C2; punto 7): el fallo de DESPLIEGUE tiene su prefijo ESTABLE —el backend SÍ respondió, lo
+                // que no cuadra es el despliegue con la config—; «el backend no respondió» queda para el 503 de verdad. Desde R3
+                // la marca la ponen también el store/modelo inexistente, las credenciales (401/403) y el 4xx desconocido.
+                if (item.deployment === true) {
+                    this.logger.error(`fallo de DESPLIEGUE ${target}: ${item.error} — el despliegue no es el que espera la config (modelo fijado, ` +
+                        'store, credenciales o un 4xx del servidor): este fallo NO consume intento (corrige el despliegue —' +
+                        'openfga:provision publica el modelo de la config— y repite)');
+                    continue;
+                }
+                // Cierre de R3 (⚪ R3-A7; punto 7): la carrera y el límite de resolución son transitorios, pero el backend SÍ
+                // respondió — cada uno con su prefijo ESTABLE.
+                if (item.transient && item.code === 'E_AUTHZ_WRITE_CONFLICT') {
+                    this.logger.error(`CARRERA en ${target}: ${item.error} — otro escritor (p. ej. un grant concurrente) tocó las mismas tuplas: ` +
+                        'este fallo NO consume intento (la pasada siguiente relee y re-aplica)');
+                    continue;
+                }
+                if (item.transient && item.code === 'E_AUTHZ_RESOLUTION_LIMIT') {
+                    this.logger.error(`límite de RESOLUCIÓN en ${target}: ${item.error} — el backend respondió que el grafo excede lo que ` +
+                        'resuelve (ver «Limits» en el README): este fallo NO consume intento');
+                    continue;
+                }
+                // Lote «antes de RC» · F4 (⚪ RC-2 del auditor de R3; punto 7): un deadline vencido —el timeout del cliente, o un
+                // 504 / `deadline_exceeded` de una ESCRITURA, que es indeterminada desde el cierre de R3— no es «el backend no
+                // respondió»: con un 504 SÍ respondió (o un proxy), y la escritura pudo aplicarse. Prefijo ESTABLE propio.
+                if (item.transient && item.code === 'E_AUTHZ_BACKEND_TIMEOUT') {
+                    this.logger.error(`PLAZO VENCIDO en ${target}: ${item.error} — venció el deadline (timeout del cliente, o un 504/deadline_exceeded ` +
+                        'del servidor o de un proxy): si era una escritura pudo aplicarse o no (INDETERMINADA); la pasada siguiente ' +
+                        'relee el store y re-aplica: este fallo NO consume intento');
+                    continue;
+                }
+                this.logger.error(`falló ${target}: ${item.error}` +
                     (item.transient ? ' — el backend no respondió: este fallo NO consume intento' : ''));
             }
             this.logger.warning('Lo que DEPENDE de un cambio fallido no se adelanta (el orden del árbol importa: aparece como «aplazado»), ' +
@@ -341,4 +386,3 @@ __decorate([
     }),
     __metadata("design:type", Object)
 ], AuthzScopesRelay.prototype, "maxAge", void 0);
-//# sourceMappingURL=authz_scopes_relay.js.map

package/build/commands/authz_scopes_requeue.d.ts

@@ -77,4 +77,3 @@ export default class AuthzScopesRequeue extends BaseCommand {
     static parseIds(values: string[] | undefined): Array<string | number> | undefined;
     run(): Promise<void>;
 }
-//# sourceMappingURL=authz_scopes_requeue.d.ts.map

package/build/commands/authz_scopes_requeue.js

@@ -90,7 +90,20 @@ export function requeueLines(input) {
     const relay = report.relay;
     let clean = true;
     for (const entry of relay.entries) {
-        if (entry.status === 'applied')
+        // Asentar · cierre 2 (gemelo del relay, C1-1): el padre APLICADO cuando no es el encolado, con su línea propia. No
+        // cambia `clean`: aquí hay un operador delante, y es justo la salida de una aparcada por DRIFT (re-notificar el
+        // padre actual y reencolar) la que termina en esta línea.
+        if (entry.status === 'applied' && entry.reason === 'consumer-parent' && entry.appliedParent) {
+            lines.push({
+                level: 'warning',
+                message: `aplicada con el padre del CONSUMIDOR ${entry.appliedParent.type}:${entry.appliedParent.uuid ?? ''} ` +
+                    `(no el encolado; otra entrada del nodo lo respalda): ${linea(entry)}`,
+            });
+        }
+        else if (entry.status === 'applied' && entry.reason === 'superseded') {
+            lines.push({ level: 'warning', message: `aplicada SIN arista (superseded: el nodo ya no existe y su detached está en la cola): ${linea(entry)}` });
+        }
+        else if (entry.status === 'applied')
             lines.push({ level: 'log', message: `aplicada: ${linea(entry)}` });
         else if (entry.status === 'deferred') {
             clean = false;
@@ -227,4 +240,3 @@ __decorate([
     }),
     __metadata("design:type", Object)
 ], AuthzScopesRequeue.prototype, "waitLeaseMs", void 0);
-//# sourceMappingURL=authz_scopes_requeue.js.map

package/build/commands/authz_unfreeze.d.ts

@@ -42,4 +42,3 @@ export default class AuthzUnfreeze extends BaseCommand {
     fence: number | undefined;
     run(): Promise<void>;
 }
-//# sourceMappingURL=authz_unfreeze.d.ts.map

package/build/commands/authz_unfreeze.js

@@ -154,4 +154,3 @@ __decorate([
     }),
     __metadata("design:type", Object)
 ], AuthzUnfreeze.prototype, "fence", void 0);
-//# sourceMappingURL=authz_unfreeze.js.map

package/build/commands/main.d.ts

@@ -14,4 +14,3 @@ export { OpenFgaProvision, AuthzCatalogDiff, AuthzCatalogSync, AuthzCatalogPrune
 export declare function getMetaData(): Promise<CommandMetaData[]>;
 /** Contrato de loader de ace (`LoadersContract.getCommand`): la clase, o `null` si el nombre no es nuestro. */
 export declare function getCommand(metaData: CommandMetaData): Promise<any>;
-//# sourceMappingURL=main.d.ts.map

package/build/commands/main.js

@@ -59,4 +59,3 @@ export function getMetaData() {
 export function getCommand(metaData) {
     return loader.getCommand(metaData);
 }
-//# sourceMappingURL=main.js.map

package/build/commands/openfga_provision.d.ts

@@ -83,6 +83,16 @@ export default class OpenFgaProvision extends BaseCommand {
      */
     prepare(): Promise<void>;
     run(): Promise<void>;
+    /**
+     * **La RELECTURA de lo publicado** (lote «antes de RC» · L11, diseño 1.3 D del analista; condición de aceptación C12 del
+     * tester): tras `writeAuthorizationModel` se LEE el modelo por su id y se compara ENTERO (`slice: 'all'`) con el que
+     * genera la config. Ancla el canonicalizador de L11 contra el servidor REAL en cada publicación: un servidor que
+     * serialice distinto (otra versión, un campo nuevo) se descubre en el despliegue, no con un 500 en la primera petición
+     * de producción. Si la relectura falla o difiere: exit 1, prefijo ESTABLE «provision RELECTURA FALLIDA:» (punto 7) y la
+     * letra que no miente (H11 c): el modelo YA está publicado en el store, y NO hay que fijarlo — por eso la línea
+     * `OPENFGA_MODEL_ID=` NO se imprime. Devuelve si se puede fijar.
+     */
+    private reread;
     /**
      * **La guarda contra la MUTILACIÓN del modelo** (plan 2.5 · lote D · D2; analista §4.6, juez ronda 2 · R2-4 c y H3;
      * cierre 1 de D2 · 🟡 3 y 🟠 2). `openfga:provision --store-id` publica desde la config del PROCESO: si ese proceso ya
@@ -174,4 +184,3 @@ export declare function countLiveDenies(client: any, dropped: string[]): Promise
     count: number;
     read: number;
 }>;
-//# sourceMappingURL=openfga_provision.d.ts.map

package/build/commands/openfga_provision.js

@@ -105,7 +105,7 @@ export default class OpenFgaProvision extends BaseCommand {
         }
         const { OpenFgaClient } = await import('@openfga/sdk');
         // El subpath `/openfga` es la única puerta al SDK (D9).
-        const { openFgaFactsModel, provisionOpenFgaStore, assertFactsModelPublishable } = await import('../src/openfga.js');
+        const { openFgaFactsModel, provisionOpenFgaStore, assertFactsModelPublishable, factsModelDifferences } = await import('../src/openfga.js');
         // Los holders del consumidor viven en SU config, no en el paquete.
         const holderTypes = config?.holderTypes ?? {};
         // Los PERMISOS del modelo (c2r) salen de los catálogos del config. Se
@@ -130,7 +130,8 @@ export default class OpenFgaProvision extends BaseCommand {
             // esto salía como error crudo del SDK con una request ya hecha (⚪ N1
             // del auditor de alpha.4). Cero requests si no es publicable.
             assertFactsModelPublishable(holderTypes, permissions, undefined, relations);
-            const client = new OpenFgaClient({ apiUrl, storeId: this.storeId });
+            // Injerto 15 del juez (H12): sin reintentos a escondidas (desde el SDK 0.9.6 un cliente sin `retryParams` reintenta).
+            const client = new OpenFgaClient({ apiUrl, storeId: this.storeId, retryParams: { maxRetry: 0 } });
             const next = openFgaFactsModel(holderTypes, permissions, relations);
             // Lote D · D2: la guarda contra la MUTILACIÓN del modelo (R2-4 c / H3) — ANTES de escribir nada. Cierre 1 de D2:
             // juzga el ESTADO del store (🟡 3) y devuelve las relaciones que hay que RE-CONTAR justo antes de publicar (🟠 2).
@@ -147,6 +148,8 @@ export default class OpenFgaProvision extends BaseCommand {
             if (relations)
                 this.logger.info(`Tipos de relación fusionados: ${relations.objectTypes.map((t) => t.type).join(', ')}`);
             this.logger.log(`OPENFGA_STORE_ID=${this.storeId}`);
+            if (!(await this.reread(OpenFgaClient, factsModelDifferences, apiUrl, this.storeId, model.authorization_model_id, holderTypes, relations)))
+                return;
             this.logger.log(`OPENFGA_MODEL_ID=${model.authorization_model_id}`);
             return;
         }
@@ -158,8 +161,46 @@ export default class OpenFgaProvision extends BaseCommand {
         this.logger.log('Añade al .env (junto a AUTHZ_DRIVER=openfga):');
         this.logger.log(`OPENFGA_URL=${apiUrl}`);
         this.logger.log(`OPENFGA_STORE_ID=${storeId}`);
+        if (!(await this.reread(OpenFgaClient, factsModelDifferences, apiUrl, storeId, modelId, holderTypes, relations)))
+            return;
         this.logger.log(`OPENFGA_MODEL_ID=${modelId}`);
     }
+    /**
+     * **La RELECTURA de lo publicado** (lote «antes de RC» · L11, diseño 1.3 D del analista; condición de aceptación C12 del
+     * tester): tras `writeAuthorizationModel` se LEE el modelo por su id y se compara ENTERO (`slice: 'all'`) con el que
+     * genera la config. Ancla el canonicalizador de L11 contra el servidor REAL en cada publicación: un servidor que
+     * serialice distinto (otra versión, un campo nuevo) se descubre en el despliegue, no con un 500 en la primera petición
+     * de producción. Si la relectura falla o difiere: exit 1, prefijo ESTABLE «provision RELECTURA FALLIDA:» (punto 7) y la
+     * letra que no miente (H11 c): el modelo YA está publicado en el store, y NO hay que fijarlo — por eso la línea
+     * `OPENFGA_MODEL_ID=` NO se imprime. Devuelve si se puede fijar.
+     */
+    async reread(OpenFgaClient, factsModelDifferences, apiUrl, storeId, modelId, holderTypes, relations) {
+        let differences;
+        try {
+            const client = new OpenFgaClient({ apiUrl, storeId, authorizationModelId: modelId, retryParams: { maxRetry: 0 } });
+            const response = await client.readAuthorizationModel();
+            differences = factsModelDifferences(response?.authorization_model, { holderTypes, relations, slice: 'all' }).differences.map((d) => d.path);
+        }
+        catch (error) {
+            this.logger.error(`provision RELECTURA FALLIDA: el modelo ${modelId} SE PUBLICÓ en el store ${storeId}, pero no se pudo releer y ` +
+                `comparar con el que genera la config (${String(error?.message ?? error)}). NO lo fijes (OPENFGA_MODEL_ID): los ` +
+                'drivers lo comparan al arrancar y, sin esta comprobación, podrían negarse a servir. Repite el comando cuando el ' +
+                'servidor responda.');
+            this.exitCode = 1;
+            return false;
+        }
+        if (differences.length === 0) {
+            // Punto 7 de CLAUDE.md (cierre de L11, 🟡-1 del tester): la rama de éxito también dice que corrió, con prefijo ESTABLE.
+            this.logger.success(`provision RELECTURA OK: el modelo ${modelId} releído del store ${storeId} es IGUAL (entero) al que genera la config; ya se puede fijar.`);
+            return true;
+        }
+        this.logger.error(`provision RELECTURA FALLIDA: el modelo ${modelId} SE PUBLICÓ en el store ${storeId}, pero lo que el servidor devuelve ` +
+            `NO es igual al que genera la config (L11): ${differences.slice(0, 20).join('; ')}${differences.length > 20 ? ' …' : ''}. ` +
+            'NO lo fijes (OPENFGA_MODEL_ID): los drivers openfga lo compararían igual al arrancar y responderían 500 E_AUTHZ_CONFIG. ' +
+            'Suele ser un servidor de otra versión que serializa el modelo distinto: compruébalo (CI prueba OpenFGA v1.19.0) y repórtalo.');
+        this.exitCode = 1;
+        return false;
+    }
     /**
      * **La guarda contra la MUTILACIÓN del modelo** (plan 2.5 · lote D · D2; analista §4.6, juez ronda 2 · R2-4 c y H3;
      * cierre 1 de D2 · 🟡 3 y 🟠 2). `openfga:provision --store-id` publica desde la config del PROCESO: si ese proceso ya
@@ -411,4 +452,3 @@ export async function countLiveDenies(client, dropped) {
     } while (continuationToken);
     return { live, count, read };
 }
-//# sourceMappingURL=openfga_provision.js.map

package/build/configure.d.ts

@@ -18,4 +18,3 @@ import type Configure from '@adonisjs/core/commands/configure';
  * nada distinto.
  */
 export declare function configure(command: Configure): Promise<void>;
-//# sourceMappingURL=configure.d.ts.map

package/build/configure.js

@@ -76,4 +76,3 @@ export async function configure(command) {
     }
     command.logger.info('Siguiente paso: node ace migration:run');
 }
-//# sourceMappingURL=configure.js.map

package/build/index.d.ts

@@ -50,7 +50,7 @@ export type { SqlScopeOutboxOptions } from './src/scope_outbox.js';
  * obligaría a importar ese SDK — acoplando el call-site al backend que este
  * paquete existe para abstraer.
  */
-export { AuthorizationBackendError, AuthorizationBackendTimeoutError, ScopeResolverError, InvalidIdentityError, InvalidSlugError, AuthorizationConfigError, AuthorizationInternalError, UnknownScopeError, NoScopeResolverError, UnknownRoleError, UnknownPermissionError, CatalogConflictError, RoleIsNotAccessError, ScopeCycleError, PurgeIncompleteError, WriteConflictError, RenewalUnsafeError, RenewalRacedError, ActorRequiredError, CheckManyBatchError, NotWithinError, WithinRequiredError, WithinRootForbiddenError, TooManyScopesError, TooManyLocalRolesError, MassPurgeRefusedError, PruneInterruptedError, UnsupportedDialectError, ScopeTooDeepError, ScopeDepthLimitError, ScopeRequeueRefusedError, UnsupportedOperationError, NoDescendantsResolverError, ViewExpiredError, RoleNotVisibleError, AmbiguousRoleError, RoleImmutableError, RoleLevelAboveOwnerError, RoleNotAssignableAtError, PermissionNotDelegableError, RankExceededError, ModelTooLargeError, RelationConfigError, RelationConfigUnknownKeyError, RelationTypeUnknownError, RelationUnknownError, RelationUsersetUnsupportedError, RelationNotDenyableError, RelationDenyExpiryError, MembersOfDenyLimitError, ScopeTreeDriftError, ScopeDriftUnguardedError, AuthorizationFrozenError, FreezeHeldError, MassReconcileRefusedError, DenyMigrationRefusedError, StaleSourceRefusedError, OperatorWindowExpiredError, ReconcileTooLargeError, markPartialWrite, isPartialWrite, } from './src/errors.js';
+export { AuthorizationBackendError, AuthorizationBackendTimeoutError, ResolutionLimitError, ScopeResolverError, InvalidIdentityError, InvalidSlugError, AuthorizationConfigError, AuthorizationInternalError, UnknownScopeError, NoScopeResolverError, UnknownRoleError, UnknownPermissionError, CatalogConflictError, RoleIsNotAccessError, ScopeCycleError, PurgeIncompleteError, WriteConflictError, RenewalUnsafeError, RenewalRacedError, ActorRequiredError, CheckManyBatchError, NotWithinError, WithinRequiredError, WithinRootForbiddenError, TooManyScopesError, TooManyLocalRolesError, MassPurgeRefusedError, PruneInterruptedError, UnsupportedDialectError, ScopeTooDeepError, ScopeDepthLimitError, GroupDepthLimitError, ScopeRequeueRefusedError, UnsupportedOperationError, NoDescendantsResolverError, ViewExpiredError, RoleNotVisibleError, AmbiguousRoleError, RoleImmutableError, RoleLevelAboveOwnerError, RoleNotAssignableAtError, PermissionNotDelegableError, RankExceededError, ModelTooLargeError, RelationConfigError, RelationConfigUnknownKeyError, RelationTypeUnknownError, RelationUnknownError, RelationUsersetUnsupportedError, RelationNotDenyableError, RelationDenyExpiryError, MembersOfDenyLimitError, InvalidRelationPageError, ScopeTreeDriftError, ScopeDriftUnguardedError, AuthorizationFrozenError, FreezeHeldError, MassReconcileRefusedError, DenyMigrationRefusedError, DenyReachRefusedError, StaleSourceRefusedError, OperatorWindowExpiredError, ReconcileTooLargeError, markPartialWrite, isPartialWrite, } from './src/errors.js';
 /**
  * Validación de identidad y de slugs (422). La aplica el manager en cada
  * llamada y los drivers por defensa en profundidad; se exporta para que un
@@ -72,9 +72,12 @@ export type { RelationsManagerOptions } from './src/relations/manager.js';
 export { relationTupleKey, relationSubjectKey } from './src/relations/tuple_key.js';
 export type { RelationTupleKind, RelationTupleIdentity } from './src/relations/tuple_key.js';
 export { RELATIONS_CHECK_MANY_MAX } from './src/relations/check_many.js';
-export type { RelationsReconcileReport, RelationsReconcileDetail, RelationsPartitionRefusal } from './src/relations/reconcile.js';
-export { saveRelationsConfig, readRelationsConfig, readRelationsConfigSpec, } from './src/relations_config_store.js';
-export type { RelationsConfigStoreOptions } from './src/relations_config_store.js';
+export { RELATIONS_ENUMERATE_DEFAULT_LIMIT, RELATIONS_ENUMERATE_MAX_LIMIT } from './src/relations/page.js';
+export { RELATIONS_GROUP_DEPTH_MEASURED, GROUP_DEPTH_CONFIG_MAX, GROUP_DEPTH_MAX_NODES, GROUP_DEPTH_MAX_READS, GROUP_DEPTH_MAX_TUPLES, GROUP_DEPTH_DEADLINE_MS, GROUP_DEPTH_CALIBRATION_BACKOFF_MS, GROUP_DEPTH_RECALIBRATION_MIN_INTERVAL_MS, } from './src/relations/group_depth.js';
+export type { RelationsReconcileReport, RelationsReconcileDetail, RelationsPartitionRefusal, RelationsPartitionRefusalReason } from './src/relations/reconcile.js';
+export { saveRelationsConfig, readRelationsConfig, readRelationsConfigSpec, checkRelationsConfigDenyReach, } from './src/relations_config_store.js';
+export type { RelationsConfigStoreOptions, SaveRelationsConfigOptions, RelationsConfigDenyReachCheck } from './src/relations_config_store.js';
+export type { DenyReachFinding, DenyReachReason } from './src/relations/deny_reach.js';
 export { DatabaseRelationsDriver, RELATIONS_MEMBERS_DENY_CHECK_MAX } from './src/drivers/database_relations_driver.js';
 export type { DatabaseRelationsDriverOptions } from './src/drivers/database_relations_driver.js';
 export { resolveGrantExpiry, isActiveExpiry, sameInstant } from './src/expiry.js';
@@ -106,4 +109,3 @@ export { default as AuthzAssignment } from './src/models/authz_assignment.js';
 export { default as AuthzDeny } from './src/models/authz_deny.js';
 export { withAuthzScopes } from './src/traits/authz_scopes.js';
 export { hasUuid } from './src/traits/has_uuid.js';
-//# sourceMappingURL=index.d.ts.map

package/build/index.js

@@ -43,7 +43,7 @@ export { sqlScopeOutbox } from './src/scope_outbox.js';
  * obligaría a importar ese SDK — acoplando el call-site al backend que este
  * paquete existe para abstraer.
  */
-export { AuthorizationBackendError, AuthorizationBackendTimeoutError, ScopeResolverError, InvalidIdentityError, InvalidSlugError, AuthorizationConfigError, AuthorizationInternalError, UnknownScopeError, NoScopeResolverError, UnknownRoleError, UnknownPermissionError, CatalogConflictError, RoleIsNotAccessError, ScopeCycleError, PurgeIncompleteError, WriteConflictError, RenewalUnsafeError, RenewalRacedError, ActorRequiredError, CheckManyBatchError, NotWithinError, WithinRequiredError, WithinRootForbiddenError, TooManyScopesError, TooManyLocalRolesError, MassPurgeRefusedError, PruneInterruptedError, UnsupportedDialectError, ScopeTooDeepError, ScopeDepthLimitError, ScopeRequeueRefusedError, UnsupportedOperationError, NoDescendantsResolverError, ViewExpiredError, RoleNotVisibleError, AmbiguousRoleError, RoleImmutableError, RoleLevelAboveOwnerError, RoleNotAssignableAtError, PermissionNotDelegableError, RankExceededError, ModelTooLargeError, RelationConfigError, RelationConfigUnknownKeyError, RelationTypeUnknownError, RelationUnknownError, RelationUsersetUnsupportedError, RelationNotDenyableError, RelationDenyExpiryError, MembersOfDenyLimitError, ScopeTreeDriftError, ScopeDriftUnguardedError, AuthorizationFrozenError, FreezeHeldError, MassReconcileRefusedError, DenyMigrationRefusedError, StaleSourceRefusedError, OperatorWindowExpiredError, ReconcileTooLargeError, 
+export { AuthorizationBackendError, AuthorizationBackendTimeoutError, ResolutionLimitError, ScopeResolverError, InvalidIdentityError, InvalidSlugError, AuthorizationConfigError, AuthorizationInternalError, UnknownScopeError, NoScopeResolverError, UnknownRoleError, UnknownPermissionError, CatalogConflictError, RoleIsNotAccessError, ScopeCycleError, PurgeIncompleteError, WriteConflictError, RenewalUnsafeError, RenewalRacedError, ActorRequiredError, CheckManyBatchError, NotWithinError, WithinRequiredError, WithinRootForbiddenError, TooManyScopesError, TooManyLocalRolesError, MassPurgeRefusedError, PruneInterruptedError, UnsupportedDialectError, ScopeTooDeepError, ScopeDepthLimitError, GroupDepthLimitError, ScopeRequeueRefusedError, UnsupportedOperationError, NoDescendantsResolverError, ViewExpiredError, RoleNotVisibleError, AmbiguousRoleError, RoleImmutableError, RoleLevelAboveOwnerError, RoleNotAssignableAtError, PermissionNotDelegableError, RankExceededError, ModelTooLargeError, RelationConfigError, RelationConfigUnknownKeyError, RelationTypeUnknownError, RelationUnknownError, RelationUsersetUnsupportedError, RelationNotDenyableError, RelationDenyExpiryError, MembersOfDenyLimitError, InvalidRelationPageError, ScopeTreeDriftError, ScopeDriftUnguardedError, AuthorizationFrozenError, FreezeHeldError, MassReconcileRefusedError, DenyMigrationRefusedError, DenyReachRefusedError, StaleSourceRefusedError, OperatorWindowExpiredError, ReconcileTooLargeError, 
 // Cierre de alpha.3 (invariante 13 en purgas multi-request): un driver de
 // relaciones de terceros marca con `markPartialWrite` el fallo que llega
 // DESPUÉS de haber borrado parte; el manager notifica `indeterminate: true`.
@@ -66,10 +66,18 @@ export { RelationsManager } from './src/relations/manager.js';
 // Plan 2.5 · lote A: la clave PURA de una tupla (P3, con `kind` desde el primer día) y el tope de `checkMany` (P4).
 export { relationTupleKey, relationSubjectKey } from './src/relations/tuple_key.js';
 export { RELATIONS_CHECK_MANY_MAX } from './src/relations/check_many.js';
+// Lote «antes de RC» · 7.4: la página de `enumerate*` (default y techo; por encima se recorta con cursor).
+export { RELATIONS_ENUMERATE_DEFAULT_LIMIT, RELATIONS_ENUMERATE_MAX_LIMIT } from './src/relations/page.js';
+// Lote «antes de RC» · R1: las cotas de la anidación de grupos (la fila de «Limits»); la regla vive en los drivers.
+export { RELATIONS_GROUP_DEPTH_MEASURED, GROUP_DEPTH_CONFIG_MAX, GROUP_DEPTH_MAX_NODES, 
+// Cierre de R1 (🟠 1 del auditor): el presupuesto de la comprobación de una arista en openfga.
+GROUP_DEPTH_MAX_READS, GROUP_DEPTH_MAX_TUPLES, GROUP_DEPTH_DEADLINE_MS, 
+// Cierre-2 de R1 (D5): la espera tras una calibración fallida y la cota de la re-calibración tras un 503 de profundidad.
+GROUP_DEPTH_CALIBRATION_BACKOFF_MS, GROUP_DEPTH_RECALIBRATION_MIN_INTERVAL_MS, } from './src/relations/group_depth.js';
 // La config de relaciones PERSISTIDA (🟡3): API de PLATAFORMA (bajo el gate de
 // versión, invariante 14). La CONSUME `authz:relations:reconcile` (config del
 // destino, para la deriva del modelo fusionado en --dry-run).
-export { saveRelationsConfig, readRelationsConfig, readRelationsConfigSpec, } from './src/relations_config_store.js';
+export { saveRelationsConfig, readRelationsConfig, readRelationsConfigSpec, checkRelationsConfigDenyReach, } from './src/relations_config_store.js';
 // El driver `database` de relaciones (el consumidor lo cablea en
 // `relations.drivers` de config/authorization.ts). El driver `openfga` de
 // relaciones NO sale de aquí: vive en el subpath `/openfga` (peer opcional).
@@ -100,4 +108,3 @@ export { default as AuthzAssignment } from './src/models/authz_assignment.js';
 export { default as AuthzDeny } from './src/models/authz_deny.js';
 export { withAuthzScopes } from './src/traits/authz_scopes.js';
 export { hasUuid } from './src/traits/has_uuid.js';
-//# sourceMappingURL=index.js.map

package/build/providers/authz_provider.d.ts

@@ -43,4 +43,3 @@ export default class AuthzProvider {
     constructor(app: ApplicationService);
     register(): void;
 }
-//# sourceMappingURL=authz_provider.d.ts.map

package/build/providers/authz_provider.js

@@ -84,4 +84,3 @@ export default class AuthzProvider {
         });
     }
 }
-//# sourceMappingURL=authz_provider.js.map

package/build/services/main.d.ts

@@ -7,4 +7,3 @@ import type { AuthorizationManager } from '../src/manager.js';
  */
 declare let authorization: AuthorizationManager;
 export { authorization as default };
-//# sourceMappingURL=main.d.ts.map

package/build/services/main.js

@@ -10,4 +10,3 @@ await app.booted(async () => {
     authorization = await app.container.make('authz.manager');
 });
 export { authorization as default };
-//# sourceMappingURL=main.js.map

package/build/services/relations.d.ts

@@ -11,4 +11,3 @@ import type { RelationsManager } from '../src/relations/manager.js';
  */
 declare let relations: RelationsManager;
 export { relations as default };
-//# sourceMappingURL=relations.d.ts.map

package/build/services/relations.js

@@ -14,4 +14,3 @@ await app.booted(async () => {
     relations = await app.container.make('authz.relations');
 });
 export { relations as default };
-//# sourceMappingURL=relations.js.map

package/build/src/catalog/catalog.d.ts

@@ -286,4 +286,3 @@ export declare function runCatalogDiff(catalogs: CatalogSource[], options?: {
 export declare function syncCatalogs(catalogs: CatalogSource[], options?: SyncCatalogOptions): Promise<{
     count: number;
 } & CatalogSyncReport>;
-//# sourceMappingURL=catalog.d.ts.map

package/build/src/catalog/catalog.js

@@ -856,4 +856,3 @@ export async function syncCatalogs(catalogs, options = {}) {
     }
     return { count, shadowedByGlobal, assignableAtViolations };
 }
-//# sourceMappingURL=catalog.js.map

package/build/src/catalog/catalog_cache.d.ts

@@ -304,6 +304,19 @@ export declare class CatalogCache {
      * vuelve a intentarlo.
      */
     view(): Promise<CatalogView>;
+    /**
+     * **La foto para una ESCRITURA** (lote C · carreras, resolución 2 del juez = K4): contrasta la versión con la fila
+     * SIEMPRE, ignore o no la ventana `{ everyMs }`. Con `'always'` es exactamente `view()`. La ventana es para DECIDIR
+     * (invariante 14: una pregunta puede responder con un catálogo de hasta `everyMs` de antigüedad); una escritura del driver
+     * deja ESTADO en el store que no caduca —el barrido de `moved`, el settle, la proyección—, y con un memo rancio un rol
+     * recién definido en otro proceso no se barre (fail-open persistente medido, K4). Coste: el SELECT por PK de `'always'`.
+     *
+     * **Nunca se suma a una comprobación ni a una carga EN VUELO** (asentar · cierre 2, ⚪ 6 / O-6 del auditor): la que ya
+     * estaba en marcha pudo leer la fila ANTES de la escritura que precede a esta llamada (la propia, o la de otro proceso
+     * que la escritura acaba de observar) y serviría esa foto. Se espera la carga en vuelo y se lee la versión otra vez;
+     * una carga que arranca DESPUÉS de esta llamada sí se comparte (ya es posterior).
+     */
+    freshView(): Promise<CatalogView>;
     /**
      * Olvida la foto de ESTE memo. La siguiente pregunta recarga. Es un bump
      * de generación, no un `#view = null`: una carga en vuelo capturó la
@@ -321,4 +334,3 @@ export declare class CatalogCache {
  * disfrazado de dato.
  */
 export declare function parseAssignableAt(slug: string, raw: unknown): readonly ScopeType[] | null;
-//# sourceMappingURL=catalog_cache.d.ts.map