@seifer-webapp-factory/authorization 0.1.0

package/dist/manifest.js

@@ -0,0 +1,100 @@
+/**
+ * authorization — de capability-MANIFEST (US-Z0801/Z0802).
+ *
+ * De machine-leesbare descriptor die de scaffolder leest om de module te assembleren, te wiren en te
+ * upgraden. Nieuw t.o.v. authentication: `requires.modules: ['authentication']` — de eerste
+ * module→module-afhankelijkheid. `backendRoutes` wordt uit de endpoint-catalogus afgeleid zodat
+ * manifest en contract niet kunnen driften. Bevat GEEN mechanisme: puur declaratief + een validator.
+ */
+import { AUTHZ_ENDPOINTS } from './contract/index.js';
+/**
+ * Backend-routes afgeleid uit de endpoint-catalogus (dedupliceerd: `/authz/roles` en `/authz/roles/:id`
+ * blijven apart, maar dubbele paden — bv. assignments POST+DELETE op hetzelfde pad — komen één keer voor).
+ */
+const backendRoutes = [...new Set(Object.values(AUTHZ_ENDPOINTS).map((ep) => ep.path))];
+/** De concrete manifest van de authorization-module. */
+export const authorizationManifest = {
+    name: 'authorization',
+    version: '0.1.0',
+    templateVersion: '0.1.0',
+    provides: {
+        routes: ['/admin/roles', '/admin/roles/:id', '/admin/access'],
+        backendRoutes,
+        capabilities: ['role.manage', 'role.assign', 'access.check', 'permission.list'],
+    },
+    requires: {
+        kits: {
+            backend: ['access-control', 'persistence', 'http-kernel', 'cache', 'audit-log', 'config', 'i18n'],
+            frontend: ['access-control', 'http-client', 'data', 'forms', 'notifications', 'i18n', 'app-kernel'],
+        },
+        ports: ['PolicyStore', 'SubjectProvider', 'Database', 'DesignSystem'],
+        modules: ['authentication'],
+    },
+    contract: './contract/index.ts',
+    config: undefined,
+    migrations: ['authz_roles', 'authz_permissions', 'authz_role_permissions', 'authz_role_assignments'],
+    surface: ['backend/templates/**', 'frontend/templates/**'],
+    mechanism: ['backend/src/**', 'frontend/src/**', 'contract/**'],
+};
+/** Zoekt de eerste dubbele waarde; geeft `undefined` als alles uniek is. */
+function findDuplicate(names) {
+    const seen = new Set();
+    for (const name of names) {
+        if (seen.has(name))
+            return name;
+        seen.add(name);
+    }
+    return undefined;
+}
+/**
+ * Valideert een capability-module-manifest. Naast de bekende checks (verplichte velden, geen dubbele
+ * kit binnen een stack) borgt deze variant dat een opgegeven `requires.modules` niet-leeg en uniek is
+ * (US-Z0801) — het is de basis voor de scaffolder-presence-check (US-Z0803).
+ */
+export function validateManifest(m) {
+    if (m.name.trim() === '')
+        throw new Error('Manifest ongeldig: "name" mag niet leeg zijn.');
+    if (m.version.trim() === '')
+        throw new Error('Manifest ongeldig: "version" mag niet leeg zijn.');
+    if (m.templateVersion.trim() === '')
+        throw new Error('Manifest ongeldig: "templateVersion" mag niet leeg zijn.');
+    if (m.provides.routes.length === 0)
+        throw new Error('Manifest ongeldig: "provides.routes" mag niet leeg zijn.');
+    if (m.provides.backendRoutes.length === 0)
+        throw new Error('Manifest ongeldig: "provides.backendRoutes" mag niet leeg zijn.');
+    if (m.provides.capabilities.length === 0)
+        throw new Error('Manifest ongeldig: "provides.capabilities" mag niet leeg zijn.');
+    if (m.requires.kits.backend.length === 0)
+        throw new Error('Manifest ongeldig: "requires.kits.backend" mag niet leeg zijn.');
+    if (m.requires.kits.frontend.length === 0)
+        throw new Error('Manifest ongeldig: "requires.kits.frontend" mag niet leeg zijn.');
+    if (m.requires.ports.length === 0)
+        throw new Error('Manifest ongeldig: "requires.ports" mag niet leeg zijn.');
+    if (m.contract.trim() === '')
+        throw new Error('Manifest ongeldig: "contract" mag niet leeg zijn.');
+    if (m.migrations.length === 0)
+        throw new Error('Manifest ongeldig: "migrations" mag niet leeg zijn.');
+    if (m.surface.length === 0)
+        throw new Error('Manifest ongeldig: "surface" mag niet leeg zijn.');
+    if (m.mechanism.length === 0)
+        throw new Error('Manifest ongeldig: "mechanism" mag niet leeg zijn.');
+    const dubbelBackend = findDuplicate(m.requires.kits.backend);
+    if (dubbelBackend !== undefined) {
+        throw new Error(`Manifest ongeldig: kit-naam "${dubbelBackend}" komt dubbel voor in requires.kits.backend.`);
+    }
+    const dubbelFrontend = findDuplicate(m.requires.kits.frontend);
+    if (dubbelFrontend !== undefined) {
+        throw new Error(`Manifest ongeldig: kit-naam "${dubbelFrontend}" komt dubbel voor in requires.kits.frontend.`);
+    }
+    if (m.requires.modules !== undefined) {
+        if (m.requires.modules.length === 0) {
+            throw new Error('Manifest ongeldig: "requires.modules" is aanwezig maar leeg.');
+        }
+        const dubbelModule = findDuplicate(m.requires.modules);
+        if (dubbelModule !== undefined) {
+            throw new Error(`Manifest ongeldig: module "${dubbelModule}" komt dubbel voor in requires.modules.`);
+        }
+    }
+    return m;
+}
+//# sourceMappingURL=manifest.js.map

package/dist/manifest.js.map

@@ -0,0 +1 @@
+{"version":3,"file":"manifest.js","sourceRoot":"","sources":["../manifest.ts"],"names":[],"mappings":"AAAA;;;;;;;GAOG;AACH,OAAO,EAAE,eAAe,EAAE,MAAM,qBAAqB,CAAC;AA4BtD;;;GAGG;AACH,MAAM,aAAa,GAAsB,CAAC,GAAG,IAAI,GAAG,CAAC,MAAM,CAAC,MAAM,CAAC,eAAe,CAAC,CAAC,GAAG,CAAC,CAAC,EAAE,EAAE,EAAE,CAAC,EAAE,CAAC,IAAI,CAAC,CAAC,CAAC,CAAC;AAE3G,wDAAwD;AACxD,MAAM,CAAC,MAAM,qBAAqB,GAAG;IACnC,IAAI,EAAE,eAAe;IACrB,OAAO,EAAE,OAAO;IAChB,eAAe,EAAE,OAAO;IACxB,QAAQ,EAAE;QACR,MAAM,EAAE,CAAC,cAAc,EAAE,kBAAkB,EAAE,eAAe,CAAC;QAC7D,aAAa;QACb,YAAY,EAAE,CAAC,aAAa,EAAE,aAAa,EAAE,cAAc,EAAE,iBAAiB,CAAC;KAChF;IACD,QAAQ,EAAE;QACR,IAAI,EAAE;YACJ,OAAO,EAAE,CAAC,gBAAgB,EAAE,aAAa,EAAE,aAAa,EAAE,OAAO,EAAE,WAAW,EAAE,QAAQ,EAAE,MAAM,CAAC;YACjG,QAAQ,EAAE,CAAC,gBAAgB,EAAE,aAAa,EAAE,MAAM,EAAE,OAAO,EAAE,eAAe,EAAE,MAAM,EAAE,YAAY,CAAC;SACpG;QACD,KAAK,EAAE,CAAC,aAAa,EAAE,iBAAiB,EAAE,UAAU,EAAE,cAAc,CAAC;QACrE,OAAO,EAAE,CAAC,gBAAgB,CAAC;KAC5B;IACD,QAAQ,EAAE,qBAAqB;IAC/B,MAAM,EAAE,SAAS;IACjB,UAAU,EAAE,CAAC,aAAa,EAAE,mBAAmB,EAAE,wBAAwB,EAAE,wBAAwB,CAAC;IACpG,OAAO,EAAE,CAAC,sBAAsB,EAAE,uBAAuB,CAAC;IAC1D,SAAS,EAAE,CAAC,gBAAgB,EAAE,iBAAiB,EAAE,aAAa,CAAC;CAC7B,CAAC;AAErC,4EAA4E;AAC5E,SAAS,aAAa,CAAC,KAAwB;IAC7C,MAAM,IAAI,GAAG,IAAI,GAAG,EAAU,CAAC;IAC/B,KAAK,MAAM,IAAI,IAAI,KAAK,EAAE,CAAC;QACzB,IAAI,IAAI,CAAC,GAAG,CAAC,IAAI,CAAC;YAAE,OAAO,IAAI,CAAC;QAChC,IAAI,CAAC,GAAG,CAAC,IAAI,CAAC,CAAC;IACjB,CAAC;IACD,OAAO,SAAS,CAAC;AACnB,CAAC;AAED;;;;GAIG;AACH,MAAM,UAAU,gBAAgB,CAAC,CAA2B;IAC1D,IAAI,CAAC,CAAC,IAAI,CAAC,IAAI,EAAE,KAAK,EAAE;QAAE,MAAM,IAAI,KAAK,CAAC,+CAA+C,CAAC,CAAC;IAC3F,IAAI,CAAC,CAAC,OAAO,CAAC,IAAI,EAAE,KAAK,EAAE;QAAE,MAAM,IAAI,KAAK,CAAC,kDAAkD,CAAC,CAAC;IACjG,IAAI,CAAC,CAAC,eAAe,CAAC,IAAI,EAAE,KAAK,EAAE;QAAE,MAAM,IAAI,KAAK,CAAC,0DAA0D,CAAC,CAAC;IACjH,IAAI,CAAC,CAAC,QAAQ,CAAC,MAAM,CAAC,MAAM,KAAK,CAAC;QAAE,MAAM,IAAI,KAAK,CAAC,0DAA0D,CAAC,CAAC;IAChH,IAAI,CAAC,CAAC,QAAQ,CAAC,aAAa,CAAC,MAAM,KAAK,CAAC;QAAE,MAAM,IAAI,KAAK,CAAC,iEAAiE,CAAC,CAAC;IAC9H,IAAI,CAAC,CAAC,QAAQ,CAAC,YAAY,CAAC,MAAM,KAAK,CAAC;QAAE,MAAM,IAAI,KAAK,CAAC,gEAAgE,CAAC,CAAC;IAC5H,IAAI,CAAC,CAAC,QAAQ,CAAC,IAAI,CAAC,OAAO,CAAC,MAAM,KAAK,CAAC;QAAE,MAAM,IAAI,KAAK,CAAC,gEAAgE,CAAC,CAAC;IAC5H,IAAI,CAAC,CAAC,QAAQ,CAAC,IAAI,CAAC,QAAQ,CAAC,MAAM,KAAK,CAAC;QAAE,MAAM,IAAI,KAAK,CAAC,iEAAiE,CAAC,CAAC;IAC9H,IAAI,CAAC,CAAC,QAAQ,CAAC,KAAK,CAAC,MAAM,KAAK,CAAC;QAAE,MAAM,IAAI,KAAK,CAAC,yDAAyD,CAAC,CAAC;IAC9G,IAAI,CAAC,CAAC,QAAQ,CAAC,IAAI,EAAE,KAAK,EAAE;QAAE,MAAM,IAAI,KAAK,CAAC,mDAAmD,CAAC,CAAC;IACnG,IAAI,CAAC,CAAC,UAAU,CAAC,MAAM,KAAK,CAAC;QAAE,MAAM,IAAI,KAAK,CAAC,qDAAqD,CAAC,CAAC;IACtG,IAAI,CAAC,CAAC,OAAO,CAAC,MAAM,KAAK,CAAC;QAAE,MAAM,IAAI,KAAK,CAAC,kDAAkD,CAAC,CAAC;IAChG,IAAI,CAAC,CAAC,SAAS,CAAC,MAAM,KAAK,CAAC;QAAE,MAAM,IAAI,KAAK,CAAC,oDAAoD,CAAC,CAAC;IAEpG,MAAM,aAAa,GAAG,aAAa,CAAC,CAAC,CAAC,QAAQ,CAAC,IAAI,CAAC,OAAO,CAAC,CAAC;IAC7D,IAAI,aAAa,KAAK,SAAS,EAAE,CAAC;QAChC,MAAM,IAAI,KAAK,CAAC,gCAAgC,aAAa,8CAA8C,CAAC,CAAC;IAC/G,CAAC;IACD,MAAM,cAAc,GAAG,aAAa,CAAC,CAAC,CAAC,QAAQ,CAAC,IAAI,CAAC,QAAQ,CAAC,CAAC;IAC/D,IAAI,cAAc,KAAK,SAAS,EAAE,CAAC;QACjC,MAAM,IAAI,KAAK,CAAC,gCAAgC,cAAc,+CAA+C,CAAC,CAAC;IACjH,CAAC;IAED,IAAI,CAAC,CAAC,QAAQ,CAAC,OAAO,KAAK,SAAS,EAAE,CAAC;QACrC,IAAI,CAAC,CAAC,QAAQ,CAAC,OAAO,CAAC,MAAM,KAAK,CAAC,EAAE,CAAC;YACpC,MAAM,IAAI,KAAK,CAAC,8DAA8D,CAAC,CAAC;QAClF,CAAC;QACD,MAAM,YAAY,GAAG,aAAa,CAAC,CAAC,CAAC,QAAQ,CAAC,OAAO,CAAC,CAAC;QACvD,IAAI,YAAY,KAAK,SAAS,EAAE,CAAC;YAC/B,MAAM,IAAI,KAAK,CAAC,8BAA8B,YAAY,yCAAyC,CAAC,CAAC;QACvG,CAAC;IACH,CAAC;IAED,OAAO,CAAC,CAAC;AACX,CAAC"}

package/dist/scaffolder/core/config.d.ts

@@ -0,0 +1,86 @@
+/**
+ * config — niveau 1 van de divergentie-ladder: CONFIGUREREN (US-Z1001).
+ *
+ * `resolveAuthzConfig(overrides)` legt het autorisatie-model, de enforcement-modus, de cache-TTL, de
+ * default-rollen en de first-admin over veilige defaults vast, gevalideerd met zod. Ongeldige waarden
+ * falen bij het opstarten met veld + reden (nooit halverwege een flow). Configureren is volledig
+ * upgrade-veilig: er wordt niets gematerialiseerd of geëjecteerd.
+ *
+ * De belangrijkste toggle is `model`: onder `'rbac'` valt de héle ReBAC-surface (relatie-resolvers,
+ * relatie-endpoint/pagina's) uit de te materialiseren set (US-Z0505 / US-Z1001), onder `'rbac+rebac'`
+ * blijft ze staan. `filterSurfaceByConfig` past dit toe op padniveau (paden met `rebac`/`relations`).
+ * Puur & deterministisch; geen module-globale mutable state.
+ */
+import { z } from 'zod';
+import type { FileDescriptor } from './ports.js';
+/**
+ * Het zod-schema voor het config-fragment. Elk veld heeft een default zodat een partieel override
+ * geldig is; `.strict()` weigert typefouten in sleutels.
+ */
+export declare const authzConfigSchema: z.ZodEffects<z.ZodObject<{
+    /** Het autorisatie-model. `'rbac'` = alleen rollen/permissies; `'rbac+rebac'` = ook relaties. */
+    model: z.ZodDefault<z.ZodEnum<["rbac", "rbac+rebac"]>>;
+    /** `'enforce'` blokkeert bij een deny; `'shadow'` logt alleen (voor gefaseerde uitrol). */
+    enforcementMode: z.ZodDefault<z.ZodEnum<["enforce", "shadow"]>>;
+    /** Levensduur van de gecachete decision/permissie-resolutie in seconden. */
+    cacheTtlSeconds: z.ZodDefault<z.ZodNumber>;
+    /** De rollen die de seed standaard aanmaakt. Mag niet leeg zijn en geen dubbele sleutels bevatten. */
+    defaultRoles: z.ZodDefault<z.ZodArray<z.ZodString, "atleastone">>;
+    /** Optioneel: het subject dat bij de seed de bootstrap-permissie (`authz.manage`) krijgt. */
+    firstAdminSubjectId: z.ZodOptional<z.ZodString>;
+}, "strict", z.ZodTypeAny, {
+    model: "rbac" | "rbac+rebac";
+    enforcementMode: "enforce" | "shadow";
+    cacheTtlSeconds: number;
+    defaultRoles: [string, ...string[]];
+    firstAdminSubjectId?: string | undefined;
+}, {
+    model?: "rbac" | "rbac+rebac" | undefined;
+    enforcementMode?: "enforce" | "shadow" | undefined;
+    cacheTtlSeconds?: number | undefined;
+    defaultRoles?: [string, ...string[]] | undefined;
+    firstAdminSubjectId?: string | undefined;
+}>, {
+    model: "rbac" | "rbac+rebac";
+    enforcementMode: "enforce" | "shadow";
+    cacheTtlSeconds: number;
+    defaultRoles: [string, ...string[]];
+    firstAdminSubjectId?: string | undefined;
+}, {
+    model?: "rbac" | "rbac+rebac" | undefined;
+    enforcementMode?: "enforce" | "shadow" | undefined;
+    cacheTtlSeconds?: number | undefined;
+    defaultRoles?: [string, ...string[]] | undefined;
+    firstAdminSubjectId?: string | undefined;
+}>;
+/** De effectieve, gevalideerde authz-config (output-type met defaults toegepast). */
+export type EffectiveAuthzConfig = z.infer<typeof authzConfigSchema>;
+/** De surface/routes die door de config uit de set vallen. */
+export interface AffectedSurface {
+    readonly removedRoutes: readonly string[];
+    readonly removedBackendRoutes: readonly string[];
+    /**
+     * De padpatronen die de ReBAC-surface identificeren. Onder `model: 'rbac'` worden bestanden waarvan
+     * het pad één van deze fragmenten bevat uit de te materialiseren set gefilterd (padniveau, want de
+     * concrete bestanden zijn niet statisch bekend).
+     */
+    readonly removedPathFragments: readonly string[];
+}
+/** Resultaat van `resolveAuthzConfig`: de effectieve config + de geraakte surface. */
+export interface ResolvedAuthzConfig {
+    readonly config: EffectiveAuthzConfig;
+    readonly affected: AffectedSurface;
+}
+/**
+ * Valideert en resolveet het config-fragment over de defaults.
+ *
+ * @throws AuthzConfigValidationError met veld + reden bij ongeldige/incompatibele waarden
+ */
+export declare function resolveAuthzConfig(overrides?: unknown): ResolvedAuthzConfig;
+/**
+ * Filtert een surface-set aan de hand van de geresolvede config: onder `model: 'rbac'` vallen de
+ * ReBAC-surface-bestanden (paden met `rebac`/`relations`) weg; onder `'rbac+rebac'` blijft alles staan.
+ * Pure functie — retourneert een nieuwe array, muteert de invoer niet.
+ */
+export declare function filterSurfaceByConfig(surfaceFiles: readonly FileDescriptor[], resolved: ResolvedAuthzConfig): FileDescriptor[];
+//# sourceMappingURL=config.d.ts.map

package/dist/scaffolder/core/config.d.ts.map

@@ -0,0 +1 @@
+{"version":3,"file":"config.d.ts","sourceRoot":"","sources":["../../../scaffolder/core/config.ts"],"names":[],"mappings":"AAAA;;;;;;;;;;;;GAYG;AACH,OAAO,EAAE,CAAC,EAAE,MAAM,KAAK,CAAC;AACxB,OAAO,KAAK,EAAE,cAAc,EAAE,MAAM,YAAY,CAAC;AAGjD;;;GAGG;AACH,eAAO,MAAM,iBAAiB;IAE1B,iGAAiG;;IAEjG,2FAA2F;;IAE3F,4EAA4E;;IAE5E,sGAAsG;;IAEtG,6FAA6F;;;;;;;;;;;;;;;;;;;;;;;;;;EAiB7F,CAAC;AAEL,qFAAqF;AACrF,MAAM,MAAM,oBAAoB,GAAG,CAAC,CAAC,KAAK,CAAC,OAAO,iBAAiB,CAAC,CAAC;AAErE,8DAA8D;AAC9D,MAAM,WAAW,eAAe;IAC9B,QAAQ,CAAC,aAAa,EAAE,SAAS,MAAM,EAAE,CAAC;IAC1C,QAAQ,CAAC,oBAAoB,EAAE,SAAS,MAAM,EAAE,CAAC;IACjD;;;;OAIG;IACH,QAAQ,CAAC,oBAAoB,EAAE,SAAS,MAAM,EAAE,CAAC;CAClD;AAED,sFAAsF;AACtF,MAAM,WAAW,mBAAmB;IAClC,QAAQ,CAAC,MAAM,EAAE,oBAAoB,CAAC;IACtC,QAAQ,CAAC,QAAQ,EAAE,eAAe,CAAC;CACpC;AASD;;;;GAIG;AACH,wBAAgB,kBAAkB,CAAC,SAAS,CAAC,EAAE,OAAO,GAAG,mBAAmB,CAqB3E;AAOD;;;;GAIG;AACH,wBAAgB,qBAAqB,CACnC,YAAY,EAAE,SAAS,cAAc,EAAE,EACvC,QAAQ,EAAE,mBAAmB,GAC5B,cAAc,EAAE,CAGlB"}

package/dist/scaffolder/core/config.js

@@ -0,0 +1,92 @@
+/**
+ * config — niveau 1 van de divergentie-ladder: CONFIGUREREN (US-Z1001).
+ *
+ * `resolveAuthzConfig(overrides)` legt het autorisatie-model, de enforcement-modus, de cache-TTL, de
+ * default-rollen en de first-admin over veilige defaults vast, gevalideerd met zod. Ongeldige waarden
+ * falen bij het opstarten met veld + reden (nooit halverwege een flow). Configureren is volledig
+ * upgrade-veilig: er wordt niets gematerialiseerd of geëjecteerd.
+ *
+ * De belangrijkste toggle is `model`: onder `'rbac'` valt de héle ReBAC-surface (relatie-resolvers,
+ * relatie-endpoint/pagina's) uit de te materialiseren set (US-Z0505 / US-Z1001), onder `'rbac+rebac'`
+ * blijft ze staan. `filterSurfaceByConfig` past dit toe op padniveau (paden met `rebac`/`relations`).
+ * Puur & deterministisch; geen module-globale mutable state.
+ */
+import { z } from 'zod';
+import { AuthzConfigValidationError } from './errors.js';
+/**
+ * Het zod-schema voor het config-fragment. Elk veld heeft een default zodat een partieel override
+ * geldig is; `.strict()` weigert typefouten in sleutels.
+ */
+export const authzConfigSchema = z
+    .object({
+    /** Het autorisatie-model. `'rbac'` = alleen rollen/permissies; `'rbac+rebac'` = ook relaties. */
+    model: z.enum(['rbac', 'rbac+rebac']).default('rbac'),
+    /** `'enforce'` blokkeert bij een deny; `'shadow'` logt alleen (voor gefaseerde uitrol). */
+    enforcementMode: z.enum(['enforce', 'shadow']).default('enforce'),
+    /** Levensduur van de gecachete decision/permissie-resolutie in seconden. */
+    cacheTtlSeconds: z.number().int().nonnegative().default(30),
+    /** De rollen die de seed standaard aanmaakt. Mag niet leeg zijn en geen dubbele sleutels bevatten. */
+    defaultRoles: z.array(z.string().min(1)).nonempty().default(['admin', 'member']),
+    /** Optioneel: het subject dat bij de seed de bootstrap-permissie (`authz.manage`) krijgt. */
+    firstAdminSubjectId: z.string().min(1).optional(),
+})
+    .strict()
+    .superRefine((cfg, ctx) => {
+    // Dubbele default-rollen zijn een configuratiefout: de seed zou dan twee keer dezelfde rol maken.
+    const seen = new Set();
+    for (const role of cfg.defaultRoles) {
+        if (seen.has(role)) {
+            ctx.addIssue({
+                code: z.ZodIssueCode.custom,
+                path: ['defaultRoles'],
+                message: `dubbele rol-sleutel "${role}" in defaultRoles.`,
+            });
+        }
+        seen.add(role);
+    }
+});
+/** De padfragmenten die een surface-bestand als ReBAC-only markeren (US-Z0505 toggle-poort). */
+const REBAC_PATH_FRAGMENTS = ['rebac', 'relations'];
+/** De routes/endpoints die uitsluitend bij het ReBAC-model horen. */
+const REBAC_ROUTES = ['/admin/access/relations'];
+const REBAC_BACKEND_ROUTES = ['/authz/relations'];
+/**
+ * Valideert en resolveet het config-fragment over de defaults.
+ *
+ * @throws AuthzConfigValidationError met veld + reden bij ongeldige/incompatibele waarden
+ */
+export function resolveAuthzConfig(overrides) {
+    const result = authzConfigSchema.safeParse(overrides ?? {});
+    if (!result.success) {
+        const violations = result.error.issues.map((issue) => ({
+            path: issue.path.length > 0 ? issue.path.join('.') : '(root)',
+            message: issue.message,
+        }));
+        throw new AuthzConfigValidationError(violations);
+    }
+    const config = result.data;
+    const rebacUit = config.model === 'rbac';
+    return {
+        config,
+        affected: {
+            removedRoutes: rebacUit ? [...REBAC_ROUTES] : [],
+            removedBackendRoutes: rebacUit ? [...REBAC_BACKEND_ROUTES] : [],
+            removedPathFragments: rebacUit ? [...REBAC_PATH_FRAGMENTS] : [],
+        },
+    };
+}
+/** True als een pad tot de ReBAC-surface hoort (bevat `rebac` of `relations`). */
+function isRebacSurface(path) {
+    return REBAC_PATH_FRAGMENTS.some((fragment) => path.includes(fragment));
+}
+/**
+ * Filtert een surface-set aan de hand van de geresolvede config: onder `model: 'rbac'` vallen de
+ * ReBAC-surface-bestanden (paden met `rebac`/`relations`) weg; onder `'rbac+rebac'` blijft alles staan.
+ * Pure functie — retourneert een nieuwe array, muteert de invoer niet.
+ */
+export function filterSurfaceByConfig(surfaceFiles, resolved) {
+    if (resolved.config.model === 'rbac+rebac')
+        return [...surfaceFiles];
+    return surfaceFiles.filter((file) => !isRebacSurface(file.path));
+}
+//# sourceMappingURL=config.js.map

package/dist/scaffolder/core/config.js.map

@@ -0,0 +1 @@
+{"version":3,"file":"config.js","sourceRoot":"","sources":["../../../scaffolder/core/config.ts"],"names":[],"mappings":"AAAA;;;;;;;;;;;;GAYG;AACH,OAAO,EAAE,CAAC,EAAE,MAAM,KAAK,CAAC;AAExB,OAAO,EAAE,0BAA0B,EAA6B,MAAM,aAAa,CAAC;AAEpF;;;GAGG;AACH,MAAM,CAAC,MAAM,iBAAiB,GAAG,CAAC;KAC/B,MAAM,CAAC;IACN,iGAAiG;IACjG,KAAK,EAAE,CAAC,CAAC,IAAI,CAAC,CAAC,MAAM,EAAE,YAAY,CAAC,CAAC,CAAC,OAAO,CAAC,MAAM,CAAC;IACrD,2FAA2F;IAC3F,eAAe,EAAE,CAAC,CAAC,IAAI,CAAC,CAAC,SAAS,EAAE,QAAQ,CAAC,CAAC,CAAC,OAAO,CAAC,SAAS,CAAC;IACjE,4EAA4E;IAC5E,eAAe,EAAE,CAAC,CAAC,MAAM,EAAE,CAAC,GAAG,EAAE,CAAC,WAAW,EAAE,CAAC,OAAO,CAAC,EAAE,CAAC;IAC3D,sGAAsG;IACtG,YAAY,EAAE,CAAC,CAAC,KAAK,CAAC,CAAC,CAAC,MAAM,EAAE,CAAC,GAAG,CAAC,CAAC,CAAC,CAAC,CAAC,QAAQ,EAAE,CAAC,OAAO,CAAC,CAAC,OAAO,EAAE,QAAQ,CAAC,CAAC;IAChF,6FAA6F;IAC7F,mBAAmB,EAAE,CAAC,CAAC,MAAM,EAAE,CAAC,GAAG,CAAC,CAAC,CAAC,CAAC,QAAQ,EAAE;CAClD,CAAC;KACD,MAAM,EAAE;KACR,WAAW,CAAC,CAAC,GAAG,EAAE,GAAG,EAAE,EAAE;IACxB,kGAAkG;IAClG,MAAM,IAAI,GAAG,IAAI,GAAG,EAAU,CAAC;IAC/B,KAAK,MAAM,IAAI,IAAI,GAAG,CAAC,YAAY,EAAE,CAAC;QACpC,IAAI,IAAI,CAAC,GAAG,CAAC,IAAI,CAAC,EAAE,CAAC;YACnB,GAAG,CAAC,QAAQ,CAAC;gBACX,IAAI,EAAE,CAAC,CAAC,YAAY,CAAC,MAAM;gBAC3B,IAAI,EAAE,CAAC,cAAc,CAAC;gBACtB,OAAO,EAAE,wBAAwB,IAAI,oBAAoB;aAC1D,CAAC,CAAC;QACL,CAAC;QACD,IAAI,CAAC,GAAG,CAAC,IAAI,CAAC,CAAC;IACjB,CAAC;AACH,CAAC,CAAC,CAAC;AAuBL,gGAAgG;AAChG,MAAM,oBAAoB,GAAG,CAAC,OAAO,EAAE,WAAW,CAAU,CAAC;AAE7D,qEAAqE;AACrE,MAAM,YAAY,GAAG,CAAC,yBAAyB,CAAU,CAAC;AAC1D,MAAM,oBAAoB,GAAG,CAAC,kBAAkB,CAAU,CAAC;AAE3D;;;;GAIG;AACH,MAAM,UAAU,kBAAkB,CAAC,SAAmB;IACpD,MAAM,MAAM,GAAG,iBAAiB,CAAC,SAAS,CAAC,SAAS,IAAI,EAAE,CAAC,CAAC;IAC5D,IAAI,CAAC,MAAM,CAAC,OAAO,EAAE,CAAC;QACpB,MAAM,UAAU,GAA2B,MAAM,CAAC,KAAK,CAAC,MAAM,CAAC,GAAG,CAAC,CAAC,KAAK,EAAE,EAAE,CAAC,CAAC;YAC7E,IAAI,EAAE,KAAK,CAAC,IAAI,CAAC,MAAM,GAAG,CAAC,CAAC,CAAC,CAAC,KAAK,CAAC,IAAI,CAAC,IAAI,CAAC,GAAG,CAAC,CAAC,CAAC,CAAC,QAAQ;YAC7D,OAAO,EAAE,KAAK,CAAC,OAAO;SACvB,CAAC,CAAC,CAAC;QACJ,MAAM,IAAI,0BAA0B,CAAC,UAAU,CAAC,CAAC;IACnD,CAAC;IAED,MAAM,MAAM,GAAG,MAAM,CAAC,IAAI,CAAC;IAC3B,MAAM,QAAQ,GAAG,MAAM,CAAC,KAAK,KAAK,MAAM,CAAC;IAEzC,OAAO;QACL,MAAM;QACN,QAAQ,EAAE;YACR,aAAa,EAAE,QAAQ,CAAC,CAAC,CAAC,CAAC,GAAG,YAAY,CAAC,CAAC,CAAC,CAAC,EAAE;YAChD,oBAAoB,EAAE,QAAQ,CAAC,CAAC,CAAC,CAAC,GAAG,oBAAoB,CAAC,CAAC,CAAC,CAAC,EAAE;YAC/D,oBAAoB,EAAE,QAAQ,CAAC,CAAC,CAAC,CAAC,GAAG,oBAAoB,CAAC,CAAC,CAAC,CAAC,EAAE;SAChE;KACF,CAAC;AACJ,CAAC;AAED,kFAAkF;AAClF,SAAS,cAAc,CAAC,IAAY;IAClC,OAAO,oBAAoB,CAAC,IAAI,CAAC,CAAC,QAAQ,EAAE,EAAE,CAAC,IAAI,CAAC,QAAQ,CAAC,QAAQ,CAAC,CAAC,CAAC;AAC1E,CAAC;AAED;;;;GAIG;AACH,MAAM,UAAU,qBAAqB,CACnC,YAAuC,EACvC,QAA6B;IAE7B,IAAI,QAAQ,CAAC,MAAM,CAAC,KAAK,KAAK,YAAY;QAAE,OAAO,CAAC,GAAG,YAAY,CAAC,CAAC;IACrE,OAAO,YAAY,CAAC,MAAM,CAAC,CAAC,IAAI,EAAE,EAAE,CAAC,CAAC,cAAc,CAAC,IAAI,CAAC,IAAI,CAAC,CAAC,CAAC;AACnE,CAAC"}

package/dist/scaffolder/core/errors.d.ts

@@ -0,0 +1,46 @@
+/**
+ * Fouttypes voor de authorization-scaffolder. Draag altijd genoeg context voor een expliciete
+ * melding (paden, poorten, modules, velden, versies), maar NOOIT invoerwaarden of secrets.
+ * Deterministisch: geen timestamps/random. Alle meldingen zijn Nederlandstalig.
+ */
+/**
+ * Geworpen door `materializeAuthzModule` wanneer te materialiseren surface-bestanden al in het
+ * project bestaan en `overwrite` niet gezet is. Benoemt ALLE conflicterende paden; er wordt niets
+ * (ook niet gedeeltelijk) weggeschreven — een gedivergeerd projectbestand wordt nooit stil overschreven.
+ */
+export declare class AuthzMaterializationConflictError extends Error {
+    readonly paths: readonly string[];
+    constructor(paths: readonly string[]);
+}
+/**
+ * Geworpen wanneer het project een door het manifest vereiste requires-port niet levert. De
+ * materialisatie weigert dan te starten (US-Z0803 AC3), zodat er geen half-gewirede surface achterblijft.
+ */
+export declare class MissingRequiredPortError extends Error {
+    readonly missing: readonly string[];
+    constructor(missing: readonly string[]);
+}
+/**
+ * Geworpen door `checkRequiredModules` wanneer een door het manifest vereiste capability-module
+ * (US-Z0803: de eerste module→module-afhankelijkheid) niet aanwezig is in de assemblage. De
+ * scaffolder weigert te assembleren; benoemt ÁLLE ontbrekende modules. Bevat geen invoerwaarden.
+ */
+export declare class MissingRequiredModuleError extends Error {
+    readonly missing: readonly string[];
+    constructor(missing: readonly string[]);
+}
+/** Eén config-validatie-overtreding: pad naar het veld + reden (Nederlands). */
+export interface AuthzConfigViolation {
+    readonly path: string;
+    readonly message: string;
+}
+/**
+ * Geworpen door `resolveAuthzConfig` wanneer het config-fragment ongeldig is (onbekend model,
+ * negatieve TTL, lege rol-set, ...). Faalt bij het opstarten met veld + reden (US-Z1001), niet
+ * halverwege een flow. Bevat geen secret-waarden.
+ */
+export declare class AuthzConfigValidationError extends Error {
+    readonly violations: readonly AuthzConfigViolation[];
+    constructor(violations: readonly AuthzConfigViolation[]);
+}
+//# sourceMappingURL=errors.d.ts.map

package/dist/scaffolder/core/errors.d.ts.map

@@ -0,0 +1 @@
+{"version":3,"file":"errors.d.ts","sourceRoot":"","sources":["../../../scaffolder/core/errors.ts"],"names":[],"mappings":"AAAA;;;;GAIG;AAEH;;;;GAIG;AACH,qBAAa,iCAAkC,SAAQ,KAAK;IAC1D,QAAQ,CAAC,KAAK,EAAE,SAAS,MAAM,EAAE,CAAC;gBAEtB,KAAK,EAAE,SAAS,MAAM,EAAE;CAQrC;AAED;;;GAGG;AACH,qBAAa,wBAAyB,SAAQ,KAAK;IACjD,QAAQ,CAAC,OAAO,EAAE,SAAS,MAAM,EAAE,CAAC;gBAExB,OAAO,EAAE,SAAS,MAAM,EAAE;CAOvC;AAED;;;;GAIG;AACH,qBAAa,0BAA2B,SAAQ,KAAK;IACnD,QAAQ,CAAC,OAAO,EAAE,SAAS,MAAM,EAAE,CAAC;gBAExB,OAAO,EAAE,SAAS,MAAM,EAAE;CAQvC;AAED,gFAAgF;AAChF,MAAM,WAAW,oBAAoB;IACnC,QAAQ,CAAC,IAAI,EAAE,MAAM,CAAC;IACtB,QAAQ,CAAC,OAAO,EAAE,MAAM,CAAC;CAC1B;AAED;;;;GAIG;AACH,qBAAa,0BAA2B,SAAQ,KAAK;IACnD,QAAQ,CAAC,UAAU,EAAE,SAAS,oBAAoB,EAAE,CAAC;gBAEzC,UAAU,EAAE,SAAS,oBAAoB,EAAE;CAMxD"}

package/dist/scaffolder/core/errors.js

@@ -0,0 +1,60 @@
+/**
+ * Fouttypes voor de authorization-scaffolder. Draag altijd genoeg context voor een expliciete
+ * melding (paden, poorten, modules, velden, versies), maar NOOIT invoerwaarden of secrets.
+ * Deterministisch: geen timestamps/random. Alle meldingen zijn Nederlandstalig.
+ */
+/**
+ * Geworpen door `materializeAuthzModule` wanneer te materialiseren surface-bestanden al in het
+ * project bestaan en `overwrite` niet gezet is. Benoemt ALLE conflicterende paden; er wordt niets
+ * (ook niet gedeeltelijk) weggeschreven — een gedivergeerd projectbestand wordt nooit stil overschreven.
+ */
+export class AuthzMaterializationConflictError extends Error {
+    paths;
+    constructor(paths) {
+        super(`Materialisatie gestopt: ${paths.length} surface-bestand(en) bestaan al en zouden overschreven ` +
+            `worden zonder overwrite-vlag: ${paths.join(', ')}`);
+        this.name = 'AuthzMaterializationConflictError';
+        this.paths = paths;
+    }
+}
+/**
+ * Geworpen wanneer het project een door het manifest vereiste requires-port niet levert. De
+ * materialisatie weigert dan te starten (US-Z0803 AC3), zodat er geen half-gewirede surface achterblijft.
+ */
+export class MissingRequiredPortError extends Error {
+    missing;
+    constructor(missing) {
+        super(`Materialisatie geweigerd: de host levert niet alle vereiste ports. Ontbrekend: ${missing.join(', ')}`);
+        this.name = 'MissingRequiredPortError';
+        this.missing = missing;
+    }
+}
+/**
+ * Geworpen door `checkRequiredModules` wanneer een door het manifest vereiste capability-module
+ * (US-Z0803: de eerste module→module-afhankelijkheid) niet aanwezig is in de assemblage. De
+ * scaffolder weigert te assembleren; benoemt ÁLLE ontbrekende modules. Bevat geen invoerwaarden.
+ */
+export class MissingRequiredModuleError extends Error {
+    missing;
+    constructor(missing) {
+        super(`Assemblage geweigerd: deze module vereist andere capability-module(s) die niet aanwezig zijn. ` +
+            `Ontbrekend: ${missing.join(', ')}`);
+        this.name = 'MissingRequiredModuleError';
+        this.missing = missing;
+    }
+}
+/**
+ * Geworpen door `resolveAuthzConfig` wanneer het config-fragment ongeldig is (onbekend model,
+ * negatieve TTL, lege rol-set, ...). Faalt bij het opstarten met veld + reden (US-Z1001), niet
+ * halverwege een flow. Bevat geen secret-waarden.
+ */
+export class AuthzConfigValidationError extends Error {
+    violations;
+    constructor(violations) {
+        const summary = violations.map((v) => `${v.path}: ${v.message}`).join('; ');
+        super(`Ongeldige authz-config: ${summary}`);
+        this.name = 'AuthzConfigValidationError';
+        this.violations = violations;
+    }
+}
+//# sourceMappingURL=errors.js.map

package/dist/scaffolder/core/errors.js.map

@@ -0,0 +1 @@
+{"version":3,"file":"errors.js","sourceRoot":"","sources":["../../../scaffolder/core/errors.ts"],"names":[],"mappings":"AAAA;;;;GAIG;AAEH;;;;GAIG;AACH,MAAM,OAAO,iCAAkC,SAAQ,KAAK;IACjD,KAAK,CAAoB;IAElC,YAAY,KAAwB;QAClC,KAAK,CACH,2BAA2B,KAAK,CAAC,MAAM,yDAAyD;YAC9F,iCAAiC,KAAK,CAAC,IAAI,CAAC,IAAI,CAAC,EAAE,CACtD,CAAC;QACF,IAAI,CAAC,IAAI,GAAG,mCAAmC,CAAC;QAChD,IAAI,CAAC,KAAK,GAAG,KAAK,CAAC;IACrB,CAAC;CACF;AAED;;;GAGG;AACH,MAAM,OAAO,wBAAyB,SAAQ,KAAK;IACxC,OAAO,CAAoB;IAEpC,YAAY,OAA0B;QACpC,KAAK,CACH,kFAAkF,OAAO,CAAC,IAAI,CAAC,IAAI,CAAC,EAAE,CACvG,CAAC;QACF,IAAI,CAAC,IAAI,GAAG,0BAA0B,CAAC;QACvC,IAAI,CAAC,OAAO,GAAG,OAAO,CAAC;IACzB,CAAC;CACF;AAED;;;;GAIG;AACH,MAAM,OAAO,0BAA2B,SAAQ,KAAK;IAC1C,OAAO,CAAoB;IAEpC,YAAY,OAA0B;QACpC,KAAK,CACH,gGAAgG;YAC9F,eAAe,OAAO,CAAC,IAAI,CAAC,IAAI,CAAC,EAAE,CACtC,CAAC;QACF,IAAI,CAAC,IAAI,GAAG,4BAA4B,CAAC;QACzC,IAAI,CAAC,OAAO,GAAG,OAAO,CAAC;IACzB,CAAC;CACF;AAQD;;;;GAIG;AACH,MAAM,OAAO,0BAA2B,SAAQ,KAAK;IAC1C,UAAU,CAAkC;IAErD,YAAY,UAA2C;QACrD,MAAM,OAAO,GAAG,UAAU,CAAC,GAAG,CAAC,CAAC,CAAC,EAAE,EAAE,CAAC,GAAG,CAAC,CAAC,IAAI,KAAK,CAAC,CAAC,OAAO,EAAE,CAAC,CAAC,IAAI,CAAC,IAAI,CAAC,CAAC;QAC5E,KAAK,CAAC,2BAA2B,OAAO,EAAE,CAAC,CAAC;QAC5C,IAAI,CAAC,IAAI,GAAG,4BAA4B,CAAC;QACzC,IAAI,CAAC,UAAU,GAAG,UAAU,CAAC;IAC/B,CAAC;CACF"}

package/dist/scaffolder/core/extend.d.ts

@@ -0,0 +1,86 @@
+import type { PermissionCatalog, PermissionDescriptor } from '../../contract/index.js';
+/**
+ * Definieert een additieve permissie-catalogus-extensie. Valideert de entries via het contract's
+ * `mergeCatalog` (weigert dubbele sleutels fail-fast) en weigert het overschrijven van een
+ * gereserveerde bootstrap-sleutel. Retourneert een bevroren catalogus — pure data.
+ *
+ * @throws Error als een entry een lege of gereserveerde sleutel heeft, of bij dubbele sleutels
+ */
+export declare function definePermissionExtension(entries: readonly PermissionDescriptor[]): PermissionCatalog;
+/**
+ * De context die een post-decision-hook krijgt. Bewust ZONDER policy-interne details of secrets: een
+ * hook mag audit/telemetrie doen op de uitkomst, maar krijgt nooit de reden-interne policy-evaluatie
+ * (security-invariant, US-Z1002).
+ */
+export interface PolicyDecisionContext {
+    readonly subjectId: string;
+    /** De gecheckte action of permissie-sleutel. */
+    readonly action: string;
+    /** De uitkomst van de beslissing. */
+    readonly allowed: boolean;
+    /** Optionele resource waarop de beslissing sloeg (type/id), voor ReBAC/ownership. */
+    readonly resource?: {
+        readonly id: string;
+        readonly type?: string;
+    };
+    /** Tijdstip van de beslissing, geïnjecteerd door de caller (geen Date.now → deterministisch/testbaar). */
+    readonly at: string;
+}
+/** Een post-decision-hook. Mag async zijn; een fout hierin mag de beslissing niet beïnvloeden. */
+export type PolicyHook = (ctx: PolicyDecisionContext) => void | Promise<void>;
+/** Uitkomst van het draaien van alle hooks. */
+export interface PolicyHookRunResult {
+    /** Namen van hooks die (geslaagd) gedraaid hebben, in registratievolgorde. */
+    readonly ran: readonly string[];
+    /** Hooks die faalden, met hun foutmelding — de beslissing is desondanks gerespecteerd. */
+    readonly failed: readonly {
+        readonly name: string;
+        readonly error: string;
+    }[];
+}
+/** Een per-instantie post-decision-hook-registry. */
+export interface PolicyHookRegistry {
+    /** Registreert een hook onder een unieke naam. */
+    register(name: string, hook: PolicyHook): void;
+    /** De geregistreerde hooknamen in registratievolgorde. */
+    list(): readonly string[];
+    /**
+     * Draait alle hooks precies één keer in registratievolgorde. Vangt fouten per hook op zodat een
+     * falende/trage hook de kern-beslissing niet breekt; retourneert wat er liep en wat faalde.
+     */
+    run(ctx: PolicyDecisionContext): Promise<PolicyHookRunResult>;
+}
+/**
+ * Maakt een verse, geïsoleerde post-decision-hook-registry. Factory (geen module-globale mutable state):
+ * elke app-factory/aanroep krijgt zijn eigen registry, wat SSR/hydratie-veilig is.
+ */
+export declare function createPolicyHookRegistry(): PolicyHookRegistry;
+/**
+ * De invoer voor een custom relatie-resolver. `resolve` beantwoordt: heeft `subjectId` de relatie
+ * `relation` met het object van type `objectType` en id `objectId`? Puur; mag async zijn.
+ */
+export interface RelationResolverSpec {
+    /** De relatie-naam, bv. `owner` of `member`. */
+    readonly relation: string;
+    /** Het objecttype waarop de relatie slaat, bv. `document`. */
+    readonly objectType: string;
+    /** De resolutie-functie (waar/onwaar). Geïnjecteerd → geen fs/mechanisme hier. */
+    readonly resolve: (input: RelationResolverInput) => boolean | Promise<boolean>;
+}
+/** De invoer die een relatie-resolver bij een check krijgt. */
+export interface RelationResolverInput {
+    readonly subjectId: string;
+    readonly objectId: string;
+}
+/** Een bevroren, benoemde relatie-resolver-descriptor die het mechanisme kan registreren. */
+export interface RelationResolverDescriptor extends RelationResolverSpec {
+    /** Samengestelde, unieke naam: `objectType#relation`. */
+    readonly name: string;
+}
+/**
+ * Definieert een named custom ReBAC-relatie-resolver (bevroren descriptor).
+ *
+ * @throws Error bij een lege relatie-naam of een leeg objecttype
+ */
+export declare function defineRelationResolver(spec: RelationResolverSpec): RelationResolverDescriptor;
+//# sourceMappingURL=extend.d.ts.map

package/dist/scaffolder/core/extend.d.ts.map

@@ -0,0 +1 @@
+{"version":3,"file":"extend.d.ts","sourceRoot":"","sources":["../../../scaffolder/core/extend.ts"],"names":[],"mappings":"AAiBA,OAAO,KAAK,EAAE,iBAAiB,EAAE,oBAAoB,EAAE,MAAM,yBAAyB,CAAC;AAOvF;;;;;;GAMG;AACH,wBAAgB,yBAAyB,CACvC,OAAO,EAAE,SAAS,oBAAoB,EAAE,GACvC,iBAAiB,CAcnB;AAID;;;;GAIG;AACH,MAAM,WAAW,qBAAqB;IACpC,QAAQ,CAAC,SAAS,EAAE,MAAM,CAAC;IAC3B,gDAAgD;IAChD,QAAQ,CAAC,MAAM,EAAE,MAAM,CAAC;IACxB,qCAAqC;IACrC,QAAQ,CAAC,OAAO,EAAE,OAAO,CAAC;IAC1B,qFAAqF;IACrF,QAAQ,CAAC,QAAQ,CAAC,EAAE;QAAE,QAAQ,CAAC,EAAE,EAAE,MAAM,CAAC;QAAC,QAAQ,CAAC,IAAI,CAAC,EAAE,MAAM,CAAA;KAAE,CAAC;IACpE,0GAA0G;IAC1G,QAAQ,CAAC,EAAE,EAAE,MAAM,CAAC;CACrB;AAED,kGAAkG;AAClG,MAAM,MAAM,UAAU,GAAG,CAAC,GAAG,EAAE,qBAAqB,KAAK,IAAI,GAAG,OAAO,CAAC,IAAI,CAAC,CAAC;AAE9E,+CAA+C;AAC/C,MAAM,WAAW,mBAAmB;IAClC,8EAA8E;IAC9E,QAAQ,CAAC,GAAG,EAAE,SAAS,MAAM,EAAE,CAAC;IAChC,0FAA0F;IAC1F,QAAQ,CAAC,MAAM,EAAE,SAAS;QAAE,QAAQ,CAAC,IAAI,EAAE,MAAM,CAAC;QAAC,QAAQ,CAAC,KAAK,EAAE,MAAM,CAAA;KAAE,EAAE,CAAC;CAC/E;AAED,qDAAqD;AACrD,MAAM,WAAW,kBAAkB;IACjC,kDAAkD;IAClD,QAAQ,CAAC,IAAI,EAAE,MAAM,EAAE,IAAI,EAAE,UAAU,GAAG,IAAI,CAAC;IAC/C,0DAA0D;IAC1D,IAAI,IAAI,SAAS,MAAM,EAAE,CAAC;IAC1B;;;OAGG;IACH,GAAG,CAAC,GAAG,EAAE,qBAAqB,GAAG,OAAO,CAAC,mBAAmB,CAAC,CAAC;CAC/D;AAED;;;GAGG;AACH,wBAAgB,wBAAwB,IAAI,kBAAkB,CA4B7D;AAID;;;GAGG;AACH,MAAM,WAAW,oBAAoB;IACnC,gDAAgD;IAChD,QAAQ,CAAC,QAAQ,EAAE,MAAM,CAAC;IAC1B,8DAA8D;IAC9D,QAAQ,CAAC,UAAU,EAAE,MAAM,CAAC;IAC5B,kFAAkF;IAClF,QAAQ,CAAC,OAAO,EAAE,CAAC,KAAK,EAAE,qBAAqB,KAAK,OAAO,GAAG,OAAO,CAAC,OAAO,CAAC,CAAC;CAChF;AAED,+DAA+D;AAC/D,MAAM,WAAW,qBAAqB;IACpC,QAAQ,CAAC,SAAS,EAAE,MAAM,CAAC;IAC3B,QAAQ,CAAC,QAAQ,EAAE,MAAM,CAAC;CAC3B;AAED,6FAA6F;AAC7F,MAAM,WAAW,0BAA2B,SAAQ,oBAAoB;IACtE,yDAAyD;IACzD,QAAQ,CAAC,IAAI,EAAE,MAAM,CAAC;CACvB;AAED;;;;GAIG;AACH,wBAAgB,sBAAsB,CAAC,IAAI,EAAE,oBAAoB,GAAG,0BAA0B,CAa7F"}

package/dist/scaffolder/core/extend.js

@@ -0,0 +1,94 @@
+/**
+ * extend — niveau 2 van de divergentie-ladder: UITBREIDEN (additief, upgrade-veilig) — US-Z1002.
+ *
+ * Biedt drie additieve uitbreidingspunten die de autorisatie-surface honoreert zonder eject:
+ *   1. `definePermissionExtension` — voegt app-permissies additief toe aan de permissie-catalogus,
+ *      gevalideerd via het contract's `mergeCatalog` (dubbele sleutels = fout, bootstrap-sleutel
+ *      `authz.manage` is gereserveerd).
+ *   2. `createPolicyHookRegistry` — een per-instantie registry van post-decision-hooks die ná een
+ *      autorisatiebeslissing draaien (audit/telemetrie); een falende/trage hook laat de beslissing
+ *      zelf onaangetast. De hook-context bevat NOOIT policy-interne details of secrets.
+ *   3. `defineRelationResolver` — een named custom ReBAC-relatie-resolver-descriptor (bv. `owner`,
+ *      `member`) die het access-control-mechanisme achter de `rbac+rebac`-toggle kan registreren.
+ *
+ * Alles is pure data / factory-gemaakte registries: geen module-globale mutable state, geen fs.
+ * Omdat de uitbreidingen additief zijn, blijft de upgrade fully upgrade-safe.
+ */
+import { AUTHZ_MANAGE, mergeCatalog } from '../../contract/index.js';
+// --- 1. Permissie-catalogus-extensie -----------------------------------------------------------
+/** De permissie-sleutels die de module zelf bezit en die een extensie niet mag overschrijven. */
+const RESERVED_PERMISSION_KEYS = new Set([AUTHZ_MANAGE]);
+/**
+ * Definieert een additieve permissie-catalogus-extensie. Valideert de entries via het contract's
+ * `mergeCatalog` (weigert dubbele sleutels fail-fast) en weigert het overschrijven van een
+ * gereserveerde bootstrap-sleutel. Retourneert een bevroren catalogus — pure data.
+ *
+ * @throws Error als een entry een lege of gereserveerde sleutel heeft, of bij dubbele sleutels
+ */
+export function definePermissionExtension(entries) {
+    for (const entry of entries) {
+        if (entry.key.trim() === '') {
+            throw new Error('Permissie-extensie ongeldig: "key" mag niet leeg zijn.');
+        }
+        if (RESERVED_PERMISSION_KEYS.has(entry.key)) {
+            throw new Error(`Permissie-extensie ongeldig: "${entry.key}" is een gereserveerde bootstrap-sleutel en mag niet worden overschreven.`);
+        }
+    }
+    // mergeCatalog dedupliceert/valideert en gooit fail-fast bij dubbele sleutels binnen de extensie.
+    const merged = mergeCatalog(entries);
+    return Object.freeze(merged.map((descriptor) => Object.freeze({ ...descriptor })));
+}
+/**
+ * Maakt een verse, geïsoleerde post-decision-hook-registry. Factory (geen module-globale mutable state):
+ * elke app-factory/aanroep krijgt zijn eigen registry, wat SSR/hydratie-veilig is.
+ */
+export function createPolicyHookRegistry() {
+    const hooks = [];
+    return {
+        register(name, hook) {
+            if (name.trim() === '')
+                throw new Error('Policy-hook ongeldig: "name" mag niet leeg zijn.');
+            if (hooks.some((h) => h.name === name)) {
+                throw new Error(`Policy-hook ongeldig: naam "${name}" is al geregistreerd.`);
+            }
+            hooks.push({ name, hook });
+        },
+        list() {
+            return hooks.map((h) => h.name);
+        },
+        async run(ctx) {
+            const ran = [];
+            const failed = [];
+            for (const { name, hook } of hooks) {
+                try {
+                    await hook(ctx);
+                    ran.push(name);
+                }
+                catch (err) {
+                    failed.push({ name, error: err instanceof Error ? err.message : String(err) });
+                }
+            }
+            return { ran, failed };
+        },
+    };
+}
+/**
+ * Definieert een named custom ReBAC-relatie-resolver (bevroren descriptor).
+ *
+ * @throws Error bij een lege relatie-naam of een leeg objecttype
+ */
+export function defineRelationResolver(spec) {
+    if (spec.relation.trim() === '') {
+        throw new Error('Relatie-resolver ongeldig: "relation" mag niet leeg zijn.');
+    }
+    if (spec.objectType.trim() === '') {
+        throw new Error('Relatie-resolver ongeldig: "objectType" mag niet leeg zijn.');
+    }
+    return Object.freeze({
+        name: `${spec.objectType}#${spec.relation}`,
+        relation: spec.relation,
+        objectType: spec.objectType,
+        resolve: spec.resolve,
+    });
+}
+//# sourceMappingURL=extend.js.map

package/dist/scaffolder/core/extend.js.map

@@ -0,0 +1 @@
+{"version":3,"file":"extend.js","sourceRoot":"","sources":["../../../scaffolder/core/extend.ts"],"names":[],"mappings":"AAAA;;;;;;;;;;;;;;;GAeG;AACH,OAAO,EAAE,YAAY,EAAE,YAAY,EAAE,MAAM,yBAAyB,CAAC;AAGrE,kGAAkG;AAElG,iGAAiG;AACjG,MAAM,wBAAwB,GAAwB,IAAI,GAAG,CAAC,CAAC,YAAY,CAAC,CAAC,CAAC;AAE9E;;;;;;GAMG;AACH,MAAM,UAAU,yBAAyB,CACvC,OAAwC;IAExC,KAAK,MAAM,KAAK,IAAI,OAAO,EAAE,CAAC;QAC5B,IAAI,KAAK,CAAC,GAAG,CAAC,IAAI,EAAE,KAAK,EAAE,EAAE,CAAC;YAC5B,MAAM,IAAI,KAAK,CAAC,wDAAwD,CAAC,CAAC;QAC5E,CAAC;QACD,IAAI,wBAAwB,CAAC,GAAG,CAAC,KAAK,CAAC,GAAG,CAAC,EAAE,CAAC;YAC5C,MAAM,IAAI,KAAK,CACb,iCAAiC,KAAK,CAAC,GAAG,2EAA2E,CACtH,CAAC;QACJ,CAAC;IACH,CAAC;IACD,kGAAkG;IAClG,MAAM,MAAM,GAAG,YAAY,CAAC,OAAO,CAAC,CAAC;IACrC,OAAO,MAAM,CAAC,MAAM,CAAC,MAAM,CAAC,GAAG,CAAC,CAAC,UAAU,EAAE,EAAE,CAAC,MAAM,CAAC,MAAM,CAAC,EAAE,GAAG,UAAU,EAAE,CAAC,CAAC,CAAC,CAAC;AACrF,CAAC;AA6CD;;;GAGG;AACH,MAAM,UAAU,wBAAwB;IACtC,MAAM,KAAK,GAA8C,EAAE,CAAC;IAE5D,OAAO;QACL,QAAQ,CAAC,IAAI,EAAE,IAAI;YACjB,IAAI,IAAI,CAAC,IAAI,EAAE,KAAK,EAAE;gBAAE,MAAM,IAAI,KAAK,CAAC,kDAAkD,CAAC,CAAC;YAC5F,IAAI,KAAK,CAAC,IAAI,CAAC,CAAC,CAAC,EAAE,EAAE,CAAC,CAAC,CAAC,IAAI,KAAK,IAAI,CAAC,EAAE,CAAC;gBACvC,MAAM,IAAI,KAAK,CAAC,+BAA+B,IAAI,wBAAwB,CAAC,CAAC;YAC/E,CAAC;YACD,KAAK,CAAC,IAAI,CAAC,EAAE,IAAI,EAAE,IAAI,EAAE,CAAC,CAAC;QAC7B,CAAC;QACD,IAAI;YACF,OAAO,KAAK,CAAC,GAAG,CAAC,CAAC,CAAC,EAAE,EAAE,CAAC,CAAC,CAAC,IAAI,CAAC,CAAC;QAClC,CAAC;QACD,KAAK,CAAC,GAAG,CAAC,GAAG;YACX,MAAM,GAAG,GAAa,EAAE,CAAC;YACzB,MAAM,MAAM,GAAsC,EAAE,CAAC;YACrD,KAAK,MAAM,EAAE,IAAI,EAAE,IAAI,EAAE,IAAI,KAAK,EAAE,CAAC;gBACnC,IAAI,CAAC;oBACH,MAAM,IAAI,CAAC,GAAG,CAAC,CAAC;oBAChB,GAAG,CAAC,IAAI,CAAC,IAAI,CAAC,CAAC;gBACjB,CAAC;gBAAC,OAAO,GAAG,EAAE,CAAC;oBACb,MAAM,CAAC,IAAI,CAAC,EAAE,IAAI,EAAE,KAAK,EAAE,GAAG,YAAY,KAAK,CAAC,CAAC,CAAC,GAAG,CAAC,OAAO,CAAC,CAAC,CAAC,MAAM,CAAC,GAAG,CAAC,EAAE,CAAC,CAAC;gBACjF,CAAC;YACH,CAAC;YACD,OAAO,EAAE,GAAG,EAAE,MAAM,EAAE,CAAC;QACzB,CAAC;KACF,CAAC;AACJ,CAAC;AA6BD;;;;GAIG;AACH,MAAM,UAAU,sBAAsB,CAAC,IAA0B;IAC/D,IAAI,IAAI,CAAC,QAAQ,CAAC,IAAI,EAAE,KAAK,EAAE,EAAE,CAAC;QAChC,MAAM,IAAI,KAAK,CAAC,2DAA2D,CAAC,CAAC;IAC/E,CAAC;IACD,IAAI,IAAI,CAAC,UAAU,CAAC,IAAI,EAAE,KAAK,EAAE,EAAE,CAAC;QAClC,MAAM,IAAI,KAAK,CAAC,6DAA6D,CAAC,CAAC;IACjF,CAAC;IACD,OAAO,MAAM,CAAC,MAAM,CAAC;QACnB,IAAI,EAAE,GAAG,IAAI,CAAC,UAAU,IAAI,IAAI,CAAC,QAAQ,EAAE;QAC3C,QAAQ,EAAE,IAAI,CAAC,QAAQ;QACvB,UAAU,EAAE,IAAI,CAAC,UAAU;QAC3B,OAAO,EAAE,IAAI,CAAC,OAAO;KACtB,CAAC,CAAC;AACL,CAAC"}