@seifer-webapp-factory/authorization 0.1.0

package/backend/templates/persistence/pg-policy-store.ts

@@ -0,0 +1,193 @@
+/**
+ * US-Z0601 — Postgres-backed {@link PolicyStore} bovenop de persistence-kit-{@link Pool}. De store
+ * bevat GEEN policy-logica (default-deny, escalatie, cyclusdetectie): dat zit in de kit + services. Hier
+ * enkel CRUD over de `authz_*`-tabellen. Rol-permissies staan genormaliseerd in `authz_role_permissions`
+ * en worden per rol via `array_agg` geaggregeerd tot `StoredRole.permissions`.
+ */
+import type { Pool, Row } from '@seifer-webapp-factory/kits/backend/persistence';
+import type { RelationEdge } from '@seifer-webapp-factory/kits/backend/access-control';
+import type {
+  CreateRoleInput,
+  PolicyStore,
+  StoredRelation,
+  StoredRole,
+  UpdateRolePatch,
+} from '../../src/index.js';
+
+/** Rij-vorm van een rol inclusief geaggregeerde permissie-sleutels. */
+type RoleRow = Row & {
+  id: string;
+  key: string;
+  name: string;
+  parentRoleId: string | null;
+  permissions: string[];
+};
+
+type RelationRow = Row & { from: string; relation: string; to: string };
+
+/**
+ * Selecteert rollen mét hun permissies (LEFT JOIN + array_agg). `array_remove(..., NULL)` zorgt dat
+ * een rol zonder permissies een lege array `{}` oplevert i.p.v. `{NULL}`.
+ */
+const ROLE_SELECT = `
+  SELECT r.id,
+         r.key,
+         r.name,
+         r.parent_role_id AS "parentRoleId",
+         COALESCE(array_remove(array_agg(rp.permission_key), NULL), '{}') AS permissions
+  FROM authz_roles r
+  LEFT JOIN authz_role_permissions rp ON rp.role_id = r.id
+`;
+
+function toStoredRole(r: RoleRow): StoredRole {
+  return {
+    id: r.id,
+    key: r.key,
+    name: r.name,
+    permissions: r.permissions,
+    parentRoleId: r.parentRoleId,
+  };
+}
+
+export function pgPolicyStore(pool: Pool): PolicyStore {
+  /** Vervangt de permissie-rijen van een rol door de opgegeven set (idempotent per sleutel). */
+  async function replacePermissions(roleId: string, permissions: string[]): Promise<void> {
+    await pool.execute('DELETE FROM authz_role_permissions WHERE role_id = $1', [roleId]);
+    for (const key of permissions) {
+      // Zorg dat de permissie-sleutel in de catalogus-tabel bestaat (US-Z0203 sync), dan koppel de rol.
+      await pool.execute(
+        'INSERT INTO authz_permissions (key, description) VALUES ($1, $1) ON CONFLICT (key) DO NOTHING',
+        [key],
+      );
+      await pool.execute(
+        `INSERT INTO authz_role_permissions (role_id, permission_key)
+         VALUES ($1, $2) ON CONFLICT (role_id, permission_key) DO NOTHING`,
+        [roleId, key],
+      );
+    }
+  }
+
+  async function getById(id: string): Promise<StoredRole | null> {
+    const { rows } = await pool.execute<RoleRow>(`${ROLE_SELECT} WHERE r.id = $1 GROUP BY r.id`, [id]);
+    return rows[0] ? toStoredRole(rows[0]) : null;
+  }
+
+  return {
+    async listRoles(): Promise<StoredRole[]> {
+      const { rows } = await pool.execute<RoleRow>(`${ROLE_SELECT} GROUP BY r.id ORDER BY r.key`);
+      return rows.map(toStoredRole);
+    },
+
+    getRole(id: string): Promise<StoredRole | null> {
+      return getById(id);
+    },
+
+    async getRoleByKey(key: string): Promise<StoredRole | null> {
+      const { rows } = await pool.execute<RoleRow>(`${ROLE_SELECT} WHERE r.key = $1 GROUP BY r.id`, [key]);
+      return rows[0] ? toStoredRole(rows[0]) : null;
+    },
+
+    async createRole(input: CreateRoleInput): Promise<StoredRole> {
+      // De store kent de id toe (gen_random_uuid, PG13+); de app levert geen id mee.
+      const { rows } = await pool.execute<Row & { id: string }>(
+        `INSERT INTO authz_roles (id, key, name, parent_role_id)
+         VALUES (gen_random_uuid()::text, $1, $2, $3)
+         RETURNING id`,
+        [input.key, input.name, input.parentRoleId],
+      );
+      const id = rows[0]!.id;
+      await replacePermissions(id, input.permissions);
+      const created = await getById(id);
+      return created!;
+    },
+
+    async updateRole(id: string, patch: UpdateRolePatch): Promise<StoredRole> {
+      // COALESCE laat afwezige velden ongemoeid; de CASE-vlag onderscheidt "niet gewijzigd" van "→ null".
+      if (patch.name !== undefined || patch.parentRoleId !== undefined) {
+        await pool.execute(
+          `UPDATE authz_roles SET
+             name           = COALESCE($2, name),
+             parent_role_id = CASE WHEN $3 THEN $4 ELSE parent_role_id END
+           WHERE id = $1`,
+          [id, patch.name ?? null, patch.parentRoleId !== undefined, patch.parentRoleId ?? null],
+        );
+      }
+      if (patch.permissions !== undefined) {
+        await replacePermissions(id, patch.permissions);
+      }
+      const updated = await getById(id);
+      return updated!;
+    },
+
+    async deleteRole(id: string): Promise<void> {
+      // Verwijder afhankelijke rijen eerst zodat er geen wees-koppelingen achterblijven.
+      await pool.execute('DELETE FROM authz_role_assignments WHERE role_id = $1', [id]);
+      await pool.execute('DELETE FROM authz_role_permissions WHERE role_id = $1', [id]);
+      await pool.execute('UPDATE authz_roles SET parent_role_id = NULL WHERE parent_role_id = $1', [id]);
+      await pool.execute('DELETE FROM authz_roles WHERE id = $1', [id]);
+    },
+
+    async rolesForSubject(subjectId: string): Promise<StoredRole[]> {
+      const { rows } = await pool.execute<RoleRow>(
+        `SELECT r.id,
+                r.key,
+                r.name,
+                r.parent_role_id AS "parentRoleId",
+                COALESCE(array_remove(array_agg(rp.permission_key), NULL), '{}') AS permissions
+         FROM authz_roles r
+         JOIN authz_role_assignments a ON a.role_id = r.id AND a.subject_id = $1
+         LEFT JOIN authz_role_permissions rp ON rp.role_id = r.id
+         GROUP BY r.id
+         ORDER BY r.key`,
+        [subjectId],
+      );
+      return rows.map(toStoredRole);
+    },
+
+    async assignRole(subjectId: string, roleId: string): Promise<boolean> {
+      // Idempotent: bij een bestaande toewijzing verandert er niets → rowCount 0 → `false`.
+      const { rowCount } = await pool.execute(
+        `INSERT INTO authz_role_assignments (subject_id, role_id, scope, granted_at, granted_by)
+         VALUES ($1, $2, NULL, now(), $1)
+         ON CONFLICT (subject_id, role_id) DO NOTHING`,
+        [subjectId, roleId],
+      );
+      return rowCount > 0;
+    },
+
+    async revokeRole(subjectId: string, roleId: string): Promise<boolean> {
+      const { rowCount } = await pool.execute(
+        'DELETE FROM authz_role_assignments WHERE subject_id = $1 AND role_id = $2',
+        [subjectId, roleId],
+      );
+      return rowCount > 0;
+    },
+
+    async writeRelation(relation: StoredRelation): Promise<void> {
+      await pool.execute(
+        `INSERT INTO authz_relations (subject_id, relation, object_type, object_id)
+         VALUES ($1, $2, $3, $4)
+         ON CONFLICT (subject_id, relation, object_type, object_id) DO NOTHING`,
+        [relation.subjectId, relation.relation, relation.objectType, relation.objectId],
+      );
+    },
+
+    async removeRelation(relation: StoredRelation): Promise<void> {
+      await pool.execute(
+        `DELETE FROM authz_relations
+         WHERE subject_id = $1 AND relation = $2 AND object_type = $3 AND object_id = $4`,
+        [relation.subjectId, relation.relation, relation.objectType, relation.objectId],
+      );
+    },
+
+    async relationsFrom(node: string): Promise<RelationEdge[]> {
+      const { rows } = await pool.execute<RelationRow>(
+        `SELECT subject_id AS "from", relation, object_id AS "to"
+         FROM authz_relations
+         WHERE subject_id = $1`,
+        [node],
+      );
+      return rows.map((r) => ({ from: r.from, relation: r.relation, to: r.to }));
+    },
+  };
+}

package/backend/templates/persistence/seed.ts

@@ -0,0 +1,60 @@
+/**
+ * US-Z0702 — Bootstrap-seed. Legt de default-rollen aan en borgt dat er precies één beheer-rol met
+ * `authz.manage` bestaat die aan de first-admin wordt toegewezen. Zonder deze bootstrap zou geen enkele
+ * mutatie mogelijk zijn (de beheer-endpoints vereisen `authz.manage`) — management mag nooit
+ * onbereikbaar zijn. De seed is idempotent: bestaande rollen/toewijzingen worden niet gedupliceerd.
+ */
+import type { PolicyStore } from '../../src/index.js';
+import { AUTHZ_MANAGE } from '../../../contract/index.js';
+
+/** Een default-rol zoals de host die in de config declareert. */
+export interface DefaultRoleSeed {
+  key: string;
+  name: string;
+  permissions: string[];
+}
+
+export interface SeedDefaultsOptions {
+  /** De rollen die bij een verse installatie moeten bestaan (uit de config, US-Z0603). */
+  defaultRoles: DefaultRoleSeed[];
+  /** Het subject dat de eerste beheer-rol krijgt (bootstrap, US-Z0702). */
+  firstAdminSubjectId: string;
+}
+
+/** Zet de default-rollen klaar en wijst een beheer-rol toe aan de first-admin. */
+export async function seedDefaults(store: PolicyStore, opts: SeedDefaultsOptions): Promise<void> {
+  // 1) Maak elke default-rol aan die nog niet bestaat (idempotent op `key`).
+  for (const def of opts.defaultRoles) {
+    const existing = await store.getRoleByKey(def.key);
+    if (existing === null) {
+      await store.createRole({
+        key: def.key,
+        name: def.name,
+        permissions: def.permissions,
+        parentRoleId: null,
+      });
+    }
+  }
+
+  // 2) Borg een beheer-rol met `authz.manage`. Bestaat er al één (via de defaults), gebruik die;
+  //    anders promoveer/creëer een `admin`-rol zodat de bootstrap nooit zonder beheer-rol eindigt.
+  const roles = await store.listRoles();
+  let adminRole = roles.find((r) => r.permissions.includes(AUTHZ_MANAGE)) ?? null;
+  if (adminRole === null) {
+    const byKey = await store.getRoleByKey('admin');
+    adminRole =
+      byKey !== null
+        ? await store.updateRole(byKey.id, {
+            permissions: [...new Set([...byKey.permissions, AUTHZ_MANAGE])],
+          })
+        : await store.createRole({
+            key: 'admin',
+            name: 'Beheerder',
+            permissions: [AUTHZ_MANAGE],
+            parentRoleId: null,
+          });
+  }
+
+  // 3) Wijs de beheer-rol toe aan de first-admin (idempotent: assignRole geeft `false` als het al bestond).
+  await store.assignRole(opts.firstAdminSubjectId, adminRole.id);
+}

package/dist/backend/src/index.d.ts

@@ -0,0 +1,10 @@
+/**
+ * authorization — backend mechanisme (pinned dependency). Flow-services + poorten die de
+ * `access-control`-kit orkestreren. De HTTP-laag, pg-adapters, migraties en seed zijn materialiseerbare
+ * surface (backend/templates), geen onderdeel van dit mechanisme.
+ */
+export * from './ports.js';
+export { RoleService, AssignmentService, PermissionResolver, AuthorizationPdp, RelationService } from './services.js';
+export type { Actor } from './services.js';
+export { buildRbac, effectivePermissions, toRbacDefinition } from './policy.js';
+//# sourceMappingURL=index.d.ts.map

package/dist/backend/src/index.d.ts.map

@@ -0,0 +1 @@
+{"version":3,"file":"index.d.ts","sourceRoot":"","sources":["../../../backend/src/index.ts"],"names":[],"mappings":"AAAA;;;;GAIG;AACH,cAAc,YAAY,CAAC;AAC3B,OAAO,EAAE,WAAW,EAAE,iBAAiB,EAAE,kBAAkB,EAAE,gBAAgB,EAAE,eAAe,EAAE,MAAM,eAAe,CAAC;AACtH,YAAY,EAAE,KAAK,EAAE,MAAM,eAAe,CAAC;AAC3C,OAAO,EAAE,SAAS,EAAE,oBAAoB,EAAE,gBAAgB,EAAE,MAAM,aAAa,CAAC"}

package/dist/backend/src/index.js

@@ -0,0 +1,9 @@
+/**
+ * authorization — backend mechanisme (pinned dependency). Flow-services + poorten die de
+ * `access-control`-kit orkestreren. De HTTP-laag, pg-adapters, migraties en seed zijn materialiseerbare
+ * surface (backend/templates), geen onderdeel van dit mechanisme.
+ */
+export * from './ports.js';
+export { RoleService, AssignmentService, PermissionResolver, AuthorizationPdp, RelationService } from './services.js';
+export { buildRbac, effectivePermissions, toRbacDefinition } from './policy.js';
+//# sourceMappingURL=index.js.map

package/dist/backend/src/index.js.map

@@ -0,0 +1 @@
+{"version":3,"file":"index.js","sourceRoot":"","sources":["../../../backend/src/index.ts"],"names":[],"mappings":"AAAA;;;;GAIG;AACH,cAAc,YAAY,CAAC;AAC3B,OAAO,EAAE,WAAW,EAAE,iBAAiB,EAAE,kBAAkB,EAAE,gBAAgB,EAAE,eAAe,EAAE,MAAM,eAAe,CAAC;AAEtH,OAAO,EAAE,SAAS,EAAE,oBAAoB,EAAE,gBAAgB,EAAE,MAAM,aAAa,CAAC"}

package/dist/backend/src/policy.d.ts

@@ -0,0 +1,13 @@
+import type { Rbac, RbacDefinition } from '@seifer-webapp-factory/kits/backend/access-control';
+import type { StoredRole } from './ports.js';
+/** Zet opgeslagen rollen om naar een kit-RBAC-definitie (key = rol-naam, parent → `includes`). */
+export declare function toRbacDefinition(roles: StoredRole[]): RbacDefinition;
+/**
+ * Bouwt een {@link Rbac} en vertaalt kit-fouten naar contract-fouten: een cyclische hiërarchie →
+ * `role_cycle`, een dangling parent → `permission_unknown`-achtige `role_not_found`. Fail-fast, zodat
+ * een ongeldige hiërarchie nooit als geldig model wordt geladen.
+ */
+export declare function buildRbac(roles: StoredRole[]): Rbac;
+/** Effectieve permissies (incl. geërfde via hiërarchie) voor een set rol-sleutels. */
+export declare function effectivePermissions(roles: StoredRole[], roleKeys: string[]): Set<string>;
+//# sourceMappingURL=policy.d.ts.map

package/dist/backend/src/policy.d.ts.map

@@ -0,0 +1 @@
+{"version":3,"file":"policy.d.ts","sourceRoot":"","sources":["../../../backend/src/policy.ts"],"names":[],"mappings":"AAMA,OAAO,KAAK,EAAE,IAAI,EAAE,cAAc,EAAkB,MAAM,oDAAoD,CAAC;AAE/G,OAAO,KAAK,EAAE,UAAU,EAAE,MAAM,YAAY,CAAC;AAE7C,kGAAkG;AAClG,wBAAgB,gBAAgB,CAAC,KAAK,EAAE,UAAU,EAAE,GAAG,cAAc,CAapE;AAED;;;;GAIG;AACH,wBAAgB,SAAS,CAAC,KAAK,EAAE,UAAU,EAAE,GAAG,IAAI,CAQnD;AAED,sFAAsF;AACtF,wBAAgB,oBAAoB,CAAC,KAAK,EAAE,UAAU,EAAE,EAAE,QAAQ,EAAE,MAAM,EAAE,GAAG,GAAG,CAAC,MAAM,CAAC,CAOzF"}

package/dist/backend/src/policy.js

@@ -0,0 +1,49 @@
+/**
+ * Interne policy-helper: bouwt het kit-RBAC-model uit opgeslagen rollen en lost effectieve permissies
+ * op. Voegt GEEN mechanisme toe — het composeert `createRbac` (US-0501) van de access-control-kit. De
+ * kit detecteert cycli en onbekende rollen fail-fast; hier vertalen we die naar contract-foutcodes.
+ */
+import { createRbac, RoleCycleError, UnknownRoleError } from '@seifer-webapp-factory/kits/backend/access-control';
+import { AuthzError } from '../../contract/index.js';
+/** Zet opgeslagen rollen om naar een kit-RBAC-definitie (key = rol-naam, parent → `includes`). */
+export function toRbacDefinition(roles) {
+    const keyById = new Map();
+    for (const role of roles)
+        keyById.set(role.id, role.key);
+    const definitions = roles.map((role) => {
+        const parentKey = role.parentRoleId === null ? undefined : keyById.get(role.parentRoleId);
+        return {
+            name: role.key,
+            permissions: role.permissions,
+            includes: parentKey ? [parentKey] : [],
+        };
+    });
+    return { roles: definitions };
+}
+/**
+ * Bouwt een {@link Rbac} en vertaalt kit-fouten naar contract-fouten: een cyclische hiërarchie →
+ * `role_cycle`, een dangling parent → `permission_unknown`-achtige `role_not_found`. Fail-fast, zodat
+ * een ongeldige hiërarchie nooit als geldig model wordt geladen.
+ */
+export function buildRbac(roles) {
+    try {
+        return createRbac(toRbacDefinition(roles));
+    }
+    catch (error) {
+        if (error instanceof RoleCycleError)
+            throw new AuthzError('role_cycle', 'cyclische rol-hiërarchie');
+        if (error instanceof UnknownRoleError)
+            throw new AuthzError('role_not_found', 'onbekende bovenliggende rol');
+        throw error;
+    }
+}
+/** Effectieve permissies (incl. geërfde via hiërarchie) voor een set rol-sleutels. */
+export function effectivePermissions(roles, roleKeys) {
+    const rbac = buildRbac(roles);
+    const known = new Set(rbac.roleNames);
+    // Onbekende rol-sleutels stil overslaan i.p.v. crashen: een subject met een verwijderde rol houdt
+    // simpelweg minder permissies over (fail-closed, geen impliciete toegang).
+    const present = roleKeys.filter((key) => known.has(key));
+    return rbac.resolve(present);
+}
+//# sourceMappingURL=policy.js.map

package/dist/backend/src/policy.js.map

@@ -0,0 +1 @@
+{"version":3,"file":"policy.js","sourceRoot":"","sources":["../../../backend/src/policy.ts"],"names":[],"mappings":"AAAA;;;;GAIG;AACH,OAAO,EAAE,UAAU,EAAE,cAAc,EAAE,gBAAgB,EAAE,MAAM,oDAAoD,CAAC;AAElH,OAAO,EAAE,UAAU,EAAE,MAAM,yBAAyB,CAAC;AAGrD,kGAAkG;AAClG,MAAM,UAAU,gBAAgB,CAAC,KAAmB;IAClD,MAAM,OAAO,GAAG,IAAI,GAAG,EAAkB,CAAC;IAC1C,KAAK,MAAM,IAAI,IAAI,KAAK;QAAE,OAAO,CAAC,GAAG,CAAC,IAAI,CAAC,EAAE,EAAE,IAAI,CAAC,GAAG,CAAC,CAAC;IAEzD,MAAM,WAAW,GAAqB,KAAK,CAAC,GAAG,CAAC,CAAC,IAAI,EAAE,EAAE;QACvD,MAAM,SAAS,GAAG,IAAI,CAAC,YAAY,KAAK,IAAI,CAAC,CAAC,CAAC,SAAS,CAAC,CAAC,CAAC,OAAO,CAAC,GAAG,CAAC,IAAI,CAAC,YAAY,CAAC,CAAC;QAC1F,OAAO;YACL,IAAI,EAAE,IAAI,CAAC,GAAG;YACd,WAAW,EAAE,IAAI,CAAC,WAAW;YAC7B,QAAQ,EAAE,SAAS,CAAC,CAAC,CAAC,CAAC,SAAS,CAAC,CAAC,CAAC,CAAC,EAAE;SACvC,CAAC;IACJ,CAAC,CAAC,CAAC;IACH,OAAO,EAAE,KAAK,EAAE,WAAW,EAAE,CAAC;AAChC,CAAC;AAED;;;;GAIG;AACH,MAAM,UAAU,SAAS,CAAC,KAAmB;IAC3C,IAAI,CAAC;QACH,OAAO,UAAU,CAAC,gBAAgB,CAAC,KAAK,CAAC,CAAC,CAAC;IAC7C,CAAC;IAAC,OAAO,KAAK,EAAE,CAAC;QACf,IAAI,KAAK,YAAY,cAAc;YAAE,MAAM,IAAI,UAAU,CAAC,YAAY,EAAE,0BAA0B,CAAC,CAAC;QACpG,IAAI,KAAK,YAAY,gBAAgB;YAAE,MAAM,IAAI,UAAU,CAAC,gBAAgB,EAAE,6BAA6B,CAAC,CAAC;QAC7G,MAAM,KAAK,CAAC;IACd,CAAC;AACH,CAAC;AAED,sFAAsF;AACtF,MAAM,UAAU,oBAAoB,CAAC,KAAmB,EAAE,QAAkB;IAC1E,MAAM,IAAI,GAAG,SAAS,CAAC,KAAK,CAAC,CAAC;IAC9B,MAAM,KAAK,GAAG,IAAI,GAAG,CAAC,IAAI,CAAC,SAAS,CAAC,CAAC;IACtC,kGAAkG;IAClG,2EAA2E;IAC3E,MAAM,OAAO,GAAG,QAAQ,CAAC,MAAM,CAAC,CAAC,GAAG,EAAE,EAAE,CAAC,KAAK,CAAC,GAAG,CAAC,GAAG,CAAC,CAAC,CAAC;IACzD,OAAO,IAAI,CAAC,OAAO,CAAC,OAAO,CAAC,CAAC;AAC/B,CAAC"}

package/dist/backend/src/ports.d.ts

@@ -0,0 +1,90 @@
+/**
+ * Requires-ports die de host injecteert (US-Z0601/Z0602). De mechanisme-services zijn puur: geen HTTP,
+ * geen SQL van zichzelf — ze krijgen deze poorten via de constructor. De default-adapters (pg) leven
+ * als materialiseerbare surface (backend/templates), niet hier.
+ */
+import type { RelationEdge } from '@seifer-webapp-factory/kits/backend/access-control';
+/** Een opgeslagen rol (US-Z0201). `parentRoleId` draagt de rol-hiërarchie (US-Z0202). */
+export interface StoredRole {
+    id: string;
+    key: string;
+    name: string;
+    permissions: string[];
+    parentRoleId: string | null;
+}
+export interface CreateRoleInput {
+    key: string;
+    name: string;
+    permissions: string[];
+    parentRoleId: string | null;
+}
+export interface UpdateRolePatch {
+    name?: string;
+    permissions?: string[];
+    parentRoleId?: string | null;
+}
+/** ReBAC-tuple (US-Z0501) — subject staat via `relation` tot een object. */
+export interface StoredRelation {
+    subjectId: string;
+    relation: string;
+    objectType: string;
+    objectId: string;
+}
+/**
+ * US-Z0601 — De policy-store: rollen, rol↔permissie, rol-toewijzingen en (optioneel) ReBAC-relaties.
+ * De default-adapter draait over `persistence`; een host kan naar een bestaand schema wijzen. De store
+ * bevat GEEN policy-logica (default-deny, escalatie, cyclus) — die zit in de kit + services.
+ */
+export interface PolicyStore {
+    listRoles(): Promise<StoredRole[]>;
+    getRole(id: string): Promise<StoredRole | null>;
+    getRoleByKey(key: string): Promise<StoredRole | null>;
+    createRole(input: CreateRoleInput): Promise<StoredRole>;
+    updateRole(id: string, patch: UpdateRolePatch): Promise<StoredRole>;
+    deleteRole(id: string): Promise<void>;
+    /** Rollen die aan een subject zijn toegewezen (US-Z0301/Z0305). */
+    rolesForSubject(subjectId: string): Promise<StoredRole[]>;
+    /** Wijst een rol toe; geeft `false` als de toewijzing al bestond (idempotent, geen dubbel). */
+    assignRole(subjectId: string, roleId: string): Promise<boolean>;
+    /** Trekt een rol in; geeft `false` als er niets was om in te trekken (idempotent). */
+    revokeRole(subjectId: string, roleId: string): Promise<boolean>;
+    /** ReBAC (US-Z0501) — alleen gebruikt wanneer `model: 'rbac+rebac'`. */
+    writeRelation(relation: StoredRelation): Promise<void>;
+    removeRelation(relation: StoredRelation): Promise<void>;
+    /** Directe relatie-edges vanaf een node, voor de kit-`RebacChecker` (US-Z0502). */
+    relationsFrom(node: string): Promise<RelationEdge[]>;
+}
+/** Het geauthenticeerde subject (identiteit) — de module→module-seam met authentication (US-Z0602). */
+export interface AuthzSubjectIdentity {
+    id: string;
+}
+/**
+ * US-Z0602 — Leest het geauthenticeerde subject uit de sessie/context (het `Subject` dat de
+ * authentication-module plaatst). De host injecteert dit; `null` = geen geauthenticeerd subject
+ * (leidt tot default-deny / `unauthenticated`). `subjectId` is bewust GEEN harde cross-module-FK.
+ */
+export interface SubjectProvider<Ctx = unknown> {
+    current(context: Ctx): Promise<AuthzSubjectIdentity | null>;
+}
+/** Opgeloste effectieve permissies + rollen van een subject (US-Z0401). */
+export interface ResolvedAccess {
+    subjectId: string;
+    roleKeys: string[];
+    permissions: string[];
+}
+/**
+ * US-Z0402 — Short-TTL cache van opgeloste permissies. De resolver invalideert expliciet bij elke
+ * mutatie (grant/revoke/role-change) zodat een revoke prompt doorwerkt (geen stale grants).
+ */
+export interface PermissionCache {
+    get(subjectId: string): Promise<ResolvedAccess | null>;
+    set(subjectId: string, value: ResolvedAccess): Promise<void>;
+    invalidate(subjectId: string): Promise<void>;
+    /** Volledige leegmaak — gebruikt bij een role-change die iedereen kan raken. */
+    clear(): Promise<void>;
+}
+/** Klok-poort zodat services deterministisch te testen zijn (event-timestamps, US-Z0103). */
+export interface Clock {
+    now(): Date;
+}
+//# sourceMappingURL=ports.d.ts.map

package/dist/backend/src/ports.d.ts.map

@@ -0,0 +1 @@
+{"version":3,"file":"ports.d.ts","sourceRoot":"","sources":["../../../backend/src/ports.ts"],"names":[],"mappings":"AAAA;;;;GAIG;AACH,OAAO,KAAK,EAAE,YAAY,EAAE,MAAM,oDAAoD,CAAC;AAEvF,yFAAyF;AACzF,MAAM,WAAW,UAAU;IACzB,EAAE,EAAE,MAAM,CAAC;IACX,GAAG,EAAE,MAAM,CAAC;IACZ,IAAI,EAAE,MAAM,CAAC;IACb,WAAW,EAAE,MAAM,EAAE,CAAC;IACtB,YAAY,EAAE,MAAM,GAAG,IAAI,CAAC;CAC7B;AAED,MAAM,WAAW,eAAe;IAC9B,GAAG,EAAE,MAAM,CAAC;IACZ,IAAI,EAAE,MAAM,CAAC;IACb,WAAW,EAAE,MAAM,EAAE,CAAC;IACtB,YAAY,EAAE,MAAM,GAAG,IAAI,CAAC;CAC7B;AAED,MAAM,WAAW,eAAe;IAC9B,IAAI,CAAC,EAAE,MAAM,CAAC;IACd,WAAW,CAAC,EAAE,MAAM,EAAE,CAAC;IACvB,YAAY,CAAC,EAAE,MAAM,GAAG,IAAI,CAAC;CAC9B;AAED,4EAA4E;AAC5E,MAAM,WAAW,cAAc;IAC7B,SAAS,EAAE,MAAM,CAAC;IAClB,QAAQ,EAAE,MAAM,CAAC;IACjB,UAAU,EAAE,MAAM,CAAC;IACnB,QAAQ,EAAE,MAAM,CAAC;CAClB;AAED;;;;GAIG;AACH,MAAM,WAAW,WAAW;IAC1B,SAAS,IAAI,OAAO,CAAC,UAAU,EAAE,CAAC,CAAC;IACnC,OAAO,CAAC,EAAE,EAAE,MAAM,GAAG,OAAO,CAAC,UAAU,GAAG,IAAI,CAAC,CAAC;IAChD,YAAY,CAAC,GAAG,EAAE,MAAM,GAAG,OAAO,CAAC,UAAU,GAAG,IAAI,CAAC,CAAC;IACtD,UAAU,CAAC,KAAK,EAAE,eAAe,GAAG,OAAO,CAAC,UAAU,CAAC,CAAC;IACxD,UAAU,CAAC,EAAE,EAAE,MAAM,EAAE,KAAK,EAAE,eAAe,GAAG,OAAO,CAAC,UAAU,CAAC,CAAC;IACpE,UAAU,CAAC,EAAE,EAAE,MAAM,GAAG,OAAO,CAAC,IAAI,CAAC,CAAC;IAEtC,mEAAmE;IACnE,eAAe,CAAC,SAAS,EAAE,MAAM,GAAG,OAAO,CAAC,UAAU,EAAE,CAAC,CAAC;IAC1D,+FAA+F;IAC/F,UAAU,CAAC,SAAS,EAAE,MAAM,EAAE,MAAM,EAAE,MAAM,GAAG,OAAO,CAAC,OAAO,CAAC,CAAC;IAChE,sFAAsF;IACtF,UAAU,CAAC,SAAS,EAAE,MAAM,EAAE,MAAM,EAAE,MAAM,GAAG,OAAO,CAAC,OAAO,CAAC,CAAC;IAEhE,wEAAwE;IACxE,aAAa,CAAC,QAAQ,EAAE,cAAc,GAAG,OAAO,CAAC,IAAI,CAAC,CAAC;IACvD,cAAc,CAAC,QAAQ,EAAE,cAAc,GAAG,OAAO,CAAC,IAAI,CAAC,CAAC;IACxD,mFAAmF;IACnF,aAAa,CAAC,IAAI,EAAE,MAAM,GAAG,OAAO,CAAC,YAAY,EAAE,CAAC,CAAC;CACtD;AAED,uGAAuG;AACvG,MAAM,WAAW,oBAAoB;IACnC,EAAE,EAAE,MAAM,CAAC;CACZ;AAED;;;;GAIG;AACH,MAAM,WAAW,eAAe,CAAC,GAAG,GAAG,OAAO;IAC5C,OAAO,CAAC,OAAO,EAAE,GAAG,GAAG,OAAO,CAAC,oBAAoB,GAAG,IAAI,CAAC,CAAC;CAC7D;AAED,2EAA2E;AAC3E,MAAM,WAAW,cAAc;IAC7B,SAAS,EAAE,MAAM,CAAC;IAClB,QAAQ,EAAE,MAAM,EAAE,CAAC;IACnB,WAAW,EAAE,MAAM,EAAE,CAAC;CACvB;AAED;;;GAGG;AACH,MAAM,WAAW,eAAe;IAC9B,GAAG,CAAC,SAAS,EAAE,MAAM,GAAG,OAAO,CAAC,cAAc,GAAG,IAAI,CAAC,CAAC;IACvD,GAAG,CAAC,SAAS,EAAE,MAAM,EAAE,KAAK,EAAE,cAAc,GAAG,OAAO,CAAC,IAAI,CAAC,CAAC;IAC7D,UAAU,CAAC,SAAS,EAAE,MAAM,GAAG,OAAO,CAAC,IAAI,CAAC,CAAC;IAC7C,gFAAgF;IAChF,KAAK,IAAI,OAAO,CAAC,IAAI,CAAC,CAAC;CACxB;AAED,6FAA6F;AAC7F,MAAM,WAAW,KAAK;IACpB,GAAG,IAAI,IAAI,CAAC;CACb"}

package/dist/backend/src/ports.js

@@ -0,0 +1,2 @@
+export {};
+//# sourceMappingURL=ports.js.map

package/dist/backend/src/ports.js.map

@@ -0,0 +1 @@
+{"version":3,"file":"ports.js","sourceRoot":"","sources":["../../../backend/src/ports.ts"],"names":[],"mappings":""}

package/dist/backend/src/services.d.ts

@@ -0,0 +1,81 @@
+import { type AuthzEventSink, type CheckRequest, type CheckResponse, type PermissionCatalog, type Role } from '../../contract/index.js';
+import type { Clock, CreateRoleInput, PermissionCache, PolicyStore, ResolvedAccess, UpdateRolePatch } from './ports.js';
+/** Actor-context: wie voert de mutatie uit en welke effectieve permissies heeft die (escalatie-guard). */
+export interface Actor {
+    id: string;
+    permissions: ReadonlySet<string>;
+}
+interface RoleDeps {
+    store: PolicyStore;
+    catalog: PermissionCatalog;
+    events: AuthzEventSink;
+    clock: Clock;
+}
+/** US-Z0201/0202/0203 — rollenbeheer (CRUD + hiërarchie + catalogus-sync). */
+export declare class RoleService {
+    #private;
+    constructor(deps: RoleDeps);
+    list(): Promise<Role[]>;
+    create(actor: Actor, input: CreateRoleInput): Promise<Role>;
+    update(actor: Actor, id: string, patch: UpdateRolePatch): Promise<Role>;
+    remove(actor: Actor, id: string): Promise<void>;
+    /** US-Z0203 — de code-declared catalogus is de bron; management vereist `authz.manage` (surface-guard). */
+    permissions(): PermissionCatalog;
+}
+interface AssignDeps {
+    store: PolicyStore;
+    cache: PermissionCache;
+    events: AuthzEventSink;
+    clock: Clock;
+}
+/** US-Z0301/0302/0303 — rol-toewijzing met escalation- en self-lockout-guards. */
+export declare class AssignmentService {
+    #private;
+    constructor(deps: AssignDeps);
+    subjectRoles(subjectId: string): Promise<Role[]>;
+    assign(actor: Actor, subjectId: string, roleId: string): Promise<void>;
+    revoke(actor: Actor, subjectId: string, roleId: string): Promise<void>;
+}
+/** US-Z0401/0402 — resolveert een subject naar effectieve permissies, met cache + invalidatie. */
+export declare class PermissionResolver {
+    #private;
+    constructor(deps: {
+        store: PolicyStore;
+        cache: PermissionCache;
+    });
+    resolve(subjectId: string): Promise<ResolvedAccess>;
+    has(subjectId: string, permission: string): Promise<boolean>;
+}
+/** US-Z0403 — Policy Decision Point: default-deny beslissing + veilige reden voor /authz/check. */
+export declare class AuthorizationPdp {
+    #private;
+    constructor(deps: {
+        resolver: PermissionResolver;
+        store: PolicyStore;
+        rebacEnabled: boolean;
+    });
+    check(subjectId: string, request: CheckRequest): Promise<CheckResponse>;
+}
+interface RelationDeps {
+    store: PolicyStore;
+    rebacEnabled: boolean;
+}
+/** US-Z0501 — ReBAC-relatietuples schrijven/verwijderen (achter config-toggle). */
+export declare class RelationService {
+    #private;
+    constructor(deps: RelationDeps);
+    write(relation: {
+        subjectId: string;
+        relation: string;
+        objectType: string;
+        objectId: string;
+    }): Promise<void>;
+    remove(relation: {
+        subjectId: string;
+        relation: string;
+        objectType: string;
+        objectId: string;
+    }): Promise<void>;
+}
+export {};
+//# sourceMappingURL=services.d.ts.map

package/dist/backend/src/services.d.ts.map

@@ -0,0 +1 @@
+{"version":3,"file":"services.d.ts","sourceRoot":"","sources":["../../../backend/src/services.ts"],"names":[],"mappings":"AAUA,OAAO,EAGL,KAAK,cAAc,EACnB,KAAK,YAAY,EACjB,KAAK,aAAa,EAClB,KAAK,iBAAiB,EACtB,KAAK,IAAI,EACV,MAAM,yBAAyB,CAAC;AAEjC,OAAO,KAAK,EACV,KAAK,EACL,eAAe,EACf,eAAe,EACf,WAAW,EACX,cAAc,EAEd,eAAe,EAChB,MAAM,YAAY,CAAC;AAMpB,0GAA0G;AAC1G,MAAM,WAAW,KAAK;IACpB,EAAE,EAAE,MAAM,CAAC;IACX,WAAW,EAAE,WAAW,CAAC,MAAM,CAAC,CAAC;CAClC;AAED,UAAU,QAAQ;IAChB,KAAK,EAAE,WAAW,CAAC;IACnB,OAAO,EAAE,iBAAiB,CAAC;IAC3B,MAAM,EAAE,cAAc,CAAC;IACvB,KAAK,EAAE,KAAK,CAAC;CACd;AAED,8EAA8E;AAC9E,qBAAa,WAAW;;gBAMV,IAAI,EAAE,QAAQ;IAOpB,IAAI,IAAI,OAAO,CAAC,IAAI,EAAE,CAAC;IAIvB,MAAM,CAAC,KAAK,EAAE,KAAK,EAAE,KAAK,EAAE,eAAe,GAAG,OAAO,CAAC,IAAI,CAAC;IAoB3D,MAAM,CAAC,KAAK,EAAE,KAAK,EAAE,EAAE,EAAE,MAAM,EAAE,KAAK,EAAE,eAAe,GAAG,OAAO,CAAC,IAAI,CAAC;IAiBvE,MAAM,CAAC,KAAK,EAAE,KAAK,EAAE,EAAE,EAAE,MAAM,GAAG,OAAO,CAAC,IAAI,CAAC;IAMrD,2GAA2G;IAC3G,WAAW,IAAI,iBAAiB;CA4BjC;AAED,UAAU,UAAU;IAClB,KAAK,EAAE,WAAW,CAAC;IACnB,KAAK,EAAE,eAAe,CAAC;IACvB,MAAM,EAAE,cAAc,CAAC;IACvB,KAAK,EAAE,KAAK,CAAC;CACd;AAED,kFAAkF;AAClF,qBAAa,iBAAiB;;gBAMhB,IAAI,EAAE,UAAU;IAOtB,YAAY,CAAC,SAAS,EAAE,MAAM,GAAG,OAAO,CAAC,IAAI,EAAE,CAAC;IAIhD,MAAM,CAAC,KAAK,EAAE,KAAK,EAAE,SAAS,EAAE,MAAM,EAAE,MAAM,EAAE,MAAM,GAAG,OAAO,CAAC,IAAI,CAAC;IActE,MAAM,CAAC,KAAK,EAAE,KAAK,EAAE,SAAS,EAAE,MAAM,EAAE,MAAM,EAAE,MAAM,GAAG,OAAO,CAAC,IAAI,CAAC;CAsB7E;AAED,kGAAkG;AAClG,qBAAa,kBAAkB;;gBAIjB,IAAI,EAAE;QAAE,KAAK,EAAE,WAAW,CAAC;QAAC,KAAK,EAAE,eAAe,CAAA;KAAE;IAK1D,OAAO,CAAC,SAAS,EAAE,MAAM,GAAG,OAAO,CAAC,cAAc,CAAC;IAWnD,GAAG,CAAC,SAAS,EAAE,MAAM,EAAE,UAAU,EAAE,MAAM,GAAG,OAAO,CAAC,OAAO,CAAC;CAGnE;AAUD,mGAAmG;AACnG,qBAAa,gBAAgB;;gBAIf,IAAI,EAAE;QAAE,QAAQ,EAAE,kBAAkB,CAAC;QAAC,KAAK,EAAE,WAAW,CAAC;QAAC,YAAY,EAAE,OAAO,CAAA;KAAE;IAKvF,KAAK,CAAC,SAAS,EAAE,MAAM,EAAE,OAAO,EAAE,YAAY,GAAG,OAAO,CAAC,aAAa,CAAC;CAgB9E;AAED,UAAU,YAAY;IACpB,KAAK,EAAE,WAAW,CAAC;IACnB,YAAY,EAAE,OAAO,CAAC;CACvB;AAED,mFAAmF;AACnF,qBAAa,eAAe;;gBAId,IAAI,EAAE,YAAY;IAKxB,KAAK,CAAC,QAAQ,EAAE;QAAE,SAAS,EAAE,MAAM,CAAC;QAAC,QAAQ,EAAE,MAAM,CAAC;QAAC,UAAU,EAAE,MAAM,CAAC;QAAC,QAAQ,EAAE,MAAM,CAAA;KAAE,GAAG,OAAO,CAAC,IAAI,CAAC;IAK7G,MAAM,CAAC,QAAQ,EAAE;QAAE,SAAS,EAAE,MAAM,CAAC;QAAC,QAAQ,EAAE,MAAM,CAAC;QAAC,UAAU,EAAE,MAAM,CAAC;QAAC,QAAQ,EAAE,MAAM,CAAA;KAAE,GAAG,OAAO,CAAC,IAAI,CAAC;CAQrH"}