@tacuchi/agent-workflow-cli 25.1.2 → 25.3.0

package/dist/application/doctor/actions.js

@@ -0,0 +1,158 @@
+/**
+ * Quién recibe una acción, y en un solo lugar.
+ *
+ * Los proveedores sugieren (`finding.proposal`); acá se decide. Es una sola
+ * función a propósito: AC-08 promete que sólo los recursos atribuibles a
+ * Workline se modifican, y una promesa que se cumple en seis archivos distintos
+ * es seis lugares donde puede dejar de cumplirse. Los ajenos, los ambiguos y los
+ * que tienen una credencial embebida salen de acá con guía y sin acción, sin
+ * importar lo que el proveedor haya sugerido.
+ *
+ * También es donde nace el orden: `depends_on` se resuelve entre las acciones de
+ * la MISMA corrida, porque una dependencia sólo puede nombrar algo que también
+ * se va a ejecutar.
+ */
+import { custodyViolation } from "../../domain/doctor/auth.js";
+import { doctorOperation } from "../../domain/doctor/operations.js";
+/** El sano nunca lleva acción: no hay nada que reparar. */
+const REPAIRABLE_STATES = new Set(["warning", "blocking", "unverified"]);
+/**
+ * La categoría que admite UNA sola operación, y por qué esa.
+ *
+ * En `tools-auth` el recurso no es un archivo: es un secreto de una persona. La
+ * única acción admisible ahí es correr el flujo que su proveedor declaró —el que
+ * hereda la terminal, para que el valor vaya de la persona al programa sin pasar
+ * por el CLI—. Cualquier otra operación sobre esta categoría implicaría que el
+ * CLI escribe la credencial en algún lado, y entonces la custodia del secreto
+ * pasa a ser suya, que es exactamente lo que no puede pasar.
+ *
+ * Con el catálogo de hoy esto NO habilita nada: ningún proveedor real declara
+ * flujo, así que ninguna variable DSN recibe una acción. Lo que habilita es la
+ * maquinaria, probada con un doble.
+ */
+const CATEGORY_ONLY_OP = new Map([["tools-auth", "auth.flow"]]);
+export function annotateRepairs(findings) {
+    const eligible = new Set(findings.filter(isEligible).map((finding) => finding.id));
+    // Instalar el bundle en un host es la precondición de armar sus hooks: si las
+    // dos acciones entran al mismo lote, la de hooks va después. Se resuelve entre
+    // las acciones de ESTA corrida, no contra el catálogo, porque una dependencia
+    // que nombra algo que nadie va a ejecutar bloquea para siempre.
+    const installByHost = new Map();
+    for (const finding of findings) {
+        if (!eligible.has(finding.id))
+            continue;
+        if (finding.proposal?.op === "self.install-skill")
+            installByHost.set(finding.host, finding.id);
+    }
+    return findings.map((finding) => {
+        const { proposal, ...rest } = finding;
+        if (!eligible.has(finding.id))
+            return withoutAction(rest, finding);
+        const action = buildAction(finding, installByHost);
+        if (action === null)
+            return withoutAction(rest, finding);
+        return { ...rest, remediation: { ...finding.remediation, kind: "supported", action } };
+    });
+}
+/**
+ * El gate, y nada más que el gate.
+ *
+ * Cinco condiciones, y cada una es una forma distinta de que una acción no
+ * corresponda: nadie la sugirió, el recurso no es nuestro, el estado no tiene
+ * nada que reparar, la categoría no admite esa operación, o la evidencia dice
+ * que hay una credencial embebida — y sobre un archivo que guarda un secreto de
+ * otra persona no se escribe, aunque el recurso pareciera nuestro.
+ *
+ * La custodia de un flujo se comprueba acá TAMBIÉN, y no es una guarda repetida:
+ * las dos deciden cosas distintas. El proveedor de diagnóstico decide el ESTADO
+ * PUBLICADO —es el único que puede degradar su propio hallazgo a bloqueante con
+ * la razón, y por eso la persona se entera— y esta decide la ELEGIBILIDAD. Hacen
+ * falta las dos porque el proveedor de `tools-auth` es UN productor de
+ * sugerencias y este es el punto por donde pasa TODA acción: `flow` vive en la
+ * sugerencia compartida, así que cualquier proveedor de cualquier categoría podría
+ * adjuntar uno, y sellar un `argv` con una credencial adentro es el defecto más
+ * caro que este plan puede tener. Cada una tiene su propia prueba, así que
+ * ninguna tapa a la otra.
+ */
+function isEligible(finding) {
+    if (finding.proposal === undefined)
+        return false;
+    if (finding.ownership !== "ours")
+        return false;
+    if (!REPAIRABLE_STATES.has(finding.state))
+        return false;
+    const only = CATEGORY_ONLY_OP.get(finding.category);
+    if (only !== undefined && finding.proposal.op !== only)
+        return false;
+    return !hasEmbeddedCredentialEvidence(finding);
+}
+/** La evidencia que el proveedor de MCPs escribe cuando encuentra una credencial. */
+function hasEmbeddedCredentialEvidence(finding) {
+    return finding.evidence.some((line) => line.includes("credencial embebida"));
+}
+function buildAction(finding, installByHost) {
+    const hint = finding.proposal;
+    if (hint === undefined)
+        return null;
+    const spec = doctorOperation(hint.op);
+    // Una sugerencia que nombra una operación que el catálogo no declara se
+    // descarta en silencio hacia la guía manual: el catálogo es la autoridad sobre
+    // qué se puede ejecutar, y una acción sin especificación no tiene ni clases de
+    // efecto que aprobar.
+    if (spec === null)
+        return null;
+    // Un flujo que no puede preservar la custodia NO se vuelve acción, venga de
+    // donde venga. Es la misma regla del dominio, aplicada en el punto por donde
+    // toda acción pasa: acá no hay a quién explicarle la razón —eso lo hace el
+    // hallazgo del proveedor—, pero sí hay qué impedir.
+    if (hint.flow !== undefined && custodyViolation(hint.flow) !== null)
+        return null;
+    const dependsOn = [];
+    if (hint.op === "self.install-hooks") {
+        const install = installByHost.get(finding.host);
+        if (install !== undefined)
+            dependsOn.push(install);
+    }
+    return {
+        op: spec.op,
+        args: { ...hint.args },
+        // Las clases de la operación MÁS las que el flujo declara. Aprobar un lote
+        // que corre un flujo que sale a la red bajo una aprobación que sólo cubría
+        // `execute` sería una autorización que no autorizó lo que pasó.
+        effects: [...new Set([...spec.effects, ...(hint.flow?.effects ?? [])])],
+        depends_on: dependsOn,
+        expected: spec.expected,
+        // El `argv` queda SELLADO en la acción: aprobar un lote que ejecuta un
+        // comando es aprobar sus tokens exactos, y quien los corre no vuelve a
+        // resolverlos.
+        ...(hint.flow === undefined ? {} : { argv: [...hint.flow.argv] }),
+    };
+}
+/**
+ * Sin acción, y con la guía que ya traía.
+ *
+ * `kind` se degrada a `manual` sólo si había una sugerencia: un hallazgo que
+ * nunca propuso nada conserva el `none` o el `manual` que su proveedor decidió,
+ * porque «no hay acción segura» y «hay que hacerlo a mano» son respuestas
+ * distintas y el proveedor es el que sabe cuál es.
+ */
+function withoutAction(rest, original) {
+    if (original.proposal === undefined) {
+        return { ...rest, remediation: { ...original.remediation, action: null } };
+    }
+    const spec = doctorOperation(original.proposal.op);
+    const guidance = original.remediation.guidance.length > 0
+        ? original.remediation.guidance
+        : spec === null
+            ? []
+            : [spec.verb(original.proposal.args)];
+    return {
+        ...rest,
+        remediation: {
+            kind: original.remediation.kind === "none" ? "none" : "manual",
+            action: null,
+            guidance,
+        },
+    };
+}
+//# sourceMappingURL=actions.js.map

package/dist/application/doctor/actions.js.map

@@ -0,0 +1 @@
+{"version":3,"file":"actions.js","sourceRoot":"","sources":["../../../src/application/doctor/actions.ts"],"names":[],"mappings":"AAAA;;;;;;;;;;;;;GAaG;AACH,OAAO,EAAE,gBAAgB,EAAE,MAAM,6BAA6B,CAAC;AAE/D,OAAO,EAAE,eAAe,EAAE,MAAM,mCAAmC,CAAC;AAEpE,2DAA2D;AAC3D,MAAM,iBAAiB,GAAG,IAAI,GAAG,CAAC,CAAC,SAAS,EAAE,UAAU,EAAE,YAAY,CAAC,CAAC,CAAC;AAEzE;;;;;;;;;;;;;GAaG;AACH,MAAM,gBAAgB,GAAgC,IAAI,GAAG,CAAC,CAAC,CAAC,YAAY,EAAE,WAAW,CAAC,CAAC,CAAC,CAAC;AAE7F,MAAM,UAAU,eAAe,CAAC,QAAkC;IAChE,MAAM,QAAQ,GAAG,IAAI,GAAG,CAAC,QAAQ,CAAC,MAAM,CAAC,UAAU,CAAC,CAAC,GAAG,CAAC,CAAC,OAAO,EAAE,EAAE,CAAC,OAAO,CAAC,EAAE,CAAC,CAAC,CAAC;IACnF,8EAA8E;IAC9E,+EAA+E;IAC/E,8EAA8E;IAC9E,gEAAgE;IAChE,MAAM,aAAa,GAAG,IAAI,GAAG,EAAkB,CAAC;IAChD,KAAK,MAAM,OAAO,IAAI,QAAQ,EAAE,CAAC;QAC/B,IAAI,CAAC,QAAQ,CAAC,GAAG,CAAC,OAAO,CAAC,EAAE,CAAC;YAAE,SAAS;QACxC,IAAI,OAAO,CAAC,QAAQ,EAAE,EAAE,KAAK,oBAAoB;YAAE,aAAa,CAAC,GAAG,CAAC,OAAO,CAAC,IAAI,EAAE,OAAO,CAAC,EAAE,CAAC,CAAC;IACjG,CAAC;IAED,OAAO,QAAQ,CAAC,GAAG,CAAC,CAAC,OAAO,EAAE,EAAE;QAC9B,MAAM,EAAE,QAAQ,EAAE,GAAG,IAAI,EAAE,GAAG,OAAO,CAAC;QACtC,IAAI,CAAC,QAAQ,CAAC,GAAG,CAAC,OAAO,CAAC,EAAE,CAAC;YAAE,OAAO,aAAa,CAAC,IAAI,EAAE,OAAO,CAAC,CAAC;QACnE,MAAM,MAAM,GAAG,WAAW,CAAC,OAAO,EAAE,aAAa,CAAC,CAAC;QACnD,IAAI,MAAM,KAAK,IAAI;YAAE,OAAO,aAAa,CAAC,IAAI,EAAE,OAAO,CAAC,CAAC;QACzD,OAAO,EAAE,GAAG,IAAI,EAAE,WAAW,EAAE,EAAE,GAAG,OAAO,CAAC,WAAW,EAAE,IAAI,EAAE,WAAW,EAAE,MAAM,EAAE,EAAE,CAAC;IACzF,CAAC,CAAC,CAAC;AACL,CAAC;AAED;;;;;;;;;;;;;;;;;;;GAmBG;AACH,SAAS,UAAU,CAAC,OAAsB;IACxC,IAAI,OAAO,CAAC,QAAQ,KAAK,SAAS;QAAE,OAAO,KAAK,CAAC;IACjD,IAAI,OAAO,CAAC,SAAS,KAAK,MAAM;QAAE,OAAO,KAAK,CAAC;IAC/C,IAAI,CAAC,iBAAiB,CAAC,GAAG,CAAC,OAAO,CAAC,KAAK,CAAC;QAAE,OAAO,KAAK,CAAC;IACxD,MAAM,IAAI,GAAG,gBAAgB,CAAC,GAAG,CAAC,OAAO,CAAC,QAAQ,CAAC,CAAC;IACpD,IAAI,IAAI,KAAK,SAAS,IAAI,OAAO,CAAC,QAAQ,CAAC,EAAE,KAAK,IAAI;QAAE,OAAO,KAAK,CAAC;IACrE,OAAO,CAAC,6BAA6B,CAAC,OAAO,CAAC,CAAC;AACjD,CAAC;AAED,qFAAqF;AACrF,SAAS,6BAA6B,CAAC,OAAsB;IAC3D,OAAO,OAAO,CAAC,QAAQ,CAAC,IAAI,CAAC,CAAC,IAAI,EAAE,EAAE,CAAC,IAAI,CAAC,QAAQ,CAAC,qBAAqB,CAAC,CAAC,CAAC;AAC/E,CAAC;AAED,SAAS,WAAW,CAClB,OAAsB,EACtB,aAA0C;IAE1C,MAAM,IAAI,GAAG,OAAO,CAAC,QAAQ,CAAC;IAC9B,IAAI,IAAI,KAAK,SAAS;QAAE,OAAO,IAAI,CAAC;IACpC,MAAM,IAAI,GAAG,eAAe,CAAC,IAAI,CAAC,EAAE,CAAC,CAAC;IACtC,wEAAwE;IACxE,+EAA+E;IAC/E,+EAA+E;IAC/E,sBAAsB;IACtB,IAAI,IAAI,KAAK,IAAI;QAAE,OAAO,IAAI,CAAC;IAC/B,4EAA4E;IAC5E,6EAA6E;IAC7E,2EAA2E;IAC3E,oDAAoD;IACpD,IAAI,IAAI,CAAC,IAAI,KAAK,SAAS,IAAI,gBAAgB,CAAC,IAAI,CAAC,IAAI,CAAC,KAAK,IAAI;QAAE,OAAO,IAAI,CAAC;IAEjF,MAAM,SAAS,GAAa,EAAE,CAAC;IAC/B,IAAI,IAAI,CAAC,EAAE,KAAK,oBAAoB,EAAE,CAAC;QACrC,MAAM,OAAO,GAAG,aAAa,CAAC,GAAG,CAAC,OAAO,CAAC,IAAI,CAAC,CAAC;QAChD,IAAI,OAAO,KAAK,SAAS;YAAE,SAAS,CAAC,IAAI,CAAC,OAAO,CAAC,CAAC;IACrD,CAAC;IAED,OAAO;QACL,EAAE,EAAE,IAAI,CAAC,EAAE;QACX,IAAI,EAAE,EAAE,GAAG,IAAI,CAAC,IAAI,EAAE;QACtB,2EAA2E;QAC3E,2EAA2E;QAC3E,gEAAgE;QAChE,OAAO,EAAE,CAAC,GAAG,IAAI,GAAG,CAAC,CAAC,GAAG,IAAI,CAAC,OAAO,EAAE,GAAG,CAAC,IAAI,CAAC,IAAI,EAAE,OAAO,IAAI,EAAE,CAAC,CAAC,CAAC,CAAC;QACvE,UAAU,EAAE,SAAS;QACrB,QAAQ,EAAE,IAAI,CAAC,QAAQ;QACvB,uEAAuE;QACvE,uEAAuE;QACvE,eAAe;QACf,GAAG,CAAC,IAAI,CAAC,IAAI,KAAK,SAAS,CAAC,CAAC,CAAC,EAAE,CAAC,CAAC,CAAC,EAAE,IAAI,EAAE,CAAC,GAAG,IAAI,CAAC,IAAI,CAAC,IAAI,CAAC,EAAE,CAAC;KAClE,CAAC;AACJ,CAAC;AAED;;;;;;;GAOG;AACH,SAAS,aAAa,CACpB,IAAqC,EACrC,QAAuB;IAEvB,IAAI,QAAQ,CAAC,QAAQ,KAAK,SAAS,EAAE,CAAC;QACpC,OAAO,EAAE,GAAG,IAAI,EAAE,WAAW,EAAE,EAAE,GAAG,QAAQ,CAAC,WAAW,EAAE,MAAM,EAAE,IAAI,EAAE,EAAE,CAAC;IAC7E,CAAC;IACD,MAAM,IAAI,GAAG,eAAe,CAAC,QAAQ,CAAC,QAAQ,CAAC,EAAE,CAAC,CAAC;IACnD,MAAM,QAAQ,GACZ,QAAQ,CAAC,WAAW,CAAC,QAAQ,CAAC,MAAM,GAAG,CAAC;QACtC,CAAC,CAAC,QAAQ,CAAC,WAAW,CAAC,QAAQ;QAC/B,CAAC,CAAC,IAAI,KAAK,IAAI;YACb,CAAC,CAAC,EAAE;YACJ,CAAC,CAAC,CAAC,IAAI,CAAC,IAAI,CAAC,QAAQ,CAAC,QAAQ,CAAC,IAAI,CAAC,CAAC,CAAC;IAC5C,OAAO;QACL,GAAG,IAAI;QACP,WAAW,EAAE;YACX,IAAI,EAAE,QAAQ,CAAC,WAAW,CAAC,IAAI,KAAK,MAAM,CAAC,CAAC,CAAC,MAAM,CAAC,CAAC,CAAC,QAAQ;YAC9D,MAAM,EAAE,IAAI;YACZ,QAAQ;SACT;KACF,CAAC;AACJ,CAAC"}

package/dist/application/doctor/apply.js

@@ -0,0 +1,399 @@
+import { redactSensitiveText } from "../../domain/redaction.js";
+import { withCwdLock } from "../lock-service.js";
+import { prepareDoctorBatch, } from "./prepare.js";
+import { runDoctor } from "./report.js";
+export async function applyDoctorBatch(ctx, input, deps = {}) {
+    if (input.approval === undefined || input.approval.length === 0) {
+        return {
+            ok: false,
+            rejection: {
+                code: "APPROVAL_REQUIRED",
+                message: "no se ejecuta ninguna reparación sin la aprobación de su vista previa",
+                candidates: [],
+                action: "corré `aw doctor prepare --select …`, leé la vista previa y aprobá su digest",
+            },
+        };
+    }
+    const approved = { ...input, approval: input.approval };
+    const locked = await withCwdLock(ctx.fs, ctx.paths, () => runUnderLock(ctx, approved, deps));
+    if ("error" in locked) {
+        return {
+            ok: false,
+            rejection: {
+                code: "LOCK_BUSY",
+                message: locked.error,
+                candidates: [],
+                action: "esperá a que se libere el lock del workspace y volvé a aplicar",
+            },
+        };
+    }
+    return locked;
+}
+async function runUnderLock(ctx, 
+// `approval` ya quedó comprobado por el llamador; el tipo lo dice acá para que
+// el rechazo pueda nombrar los DOS digests sin un `?? ""` que inventaría uno.
+input, deps) {
+    // 1 — la propuesta se computa OTRA VEZ, desde el estado vivo.
+    const prepared = await prepareDoctorBatch(ctx, input, deps);
+    if (!prepared.ok) {
+        // Un rechazo de selección puede significar dos cosas muy distintas: que la
+        // persona escribió mal el id, o que el recurso YA está arreglado y su
+        // hallazgo desapareció. La segunda es un reintento del mismo digest sobre
+        // algo que ya no tiene nada que hacer, y responder un error ahí haría que
+        // repetir una aprobación se lea como un fallo.
+        const settled = await alreadySettled(ctx, input, deps);
+        if (settled !== null)
+            return { ok: true, result: settled };
+        return {
+            ok: false,
+            rejection: { ...prepared.rejection, candidates: prepared.rejection.candidates },
+        };
+    }
+    if (prepared.kind === "listing") {
+        return {
+            ok: false,
+            rejection: {
+                code: "APPROVAL_REQUIRED",
+                message: "no hay ninguna acción seleccionada: una aprobación sin selección no aprueba nada",
+                candidates: [],
+                action: "repetí la corrida con los mismos `--select` que produjeron ese digest",
+            },
+        };
+    }
+    const proposal = prepared.proposal;
+    // 2 — lo aprobado tiene que ser lo que se aplicaría. Los DOS digests viajan en
+    // el rechazo: sin ellos la persona no puede saber si cambió el estado o si
+    // aprobó otra vista previa.
+    if (proposal.digest !== input.approval) {
+        return {
+            ok: false,
+            rejection: {
+                code: "EVIDENCE_MISSING",
+                // Los dos digests van en el MENSAJE y no sólo en `candidates`, porque la
+                // proyección humana de un rechazo imprime el código y el mensaje y nada
+                // más: dejarlos únicamente en los detalles los publicaba en el JSON y los
+                // escondía en la terminal, que es donde la persona está parada cuando
+                // esto pasa. Y sin los dos no puede distinguir «aprobé otra vista previa»
+                // de «el estado se movió».
+                message: `lo aprobado no es lo que se aplicaría: cambió el lote, o cambió alguno de los archivos que se leyeron para decidirlo (aprobado ${input.approval}, vigente ${proposal.digest}). Volvé a correr \`prepare\`, leé la vista previa vigente y aprobá ese digest`,
+                candidates: [input.approval, proposal.digest],
+                action: "volvé a correr `prepare`, leé la vista previa vigente y aprobá ese digest",
+            },
+        };
+    }
+    // 3 — recién acá se toca la máquina.
+    return { ok: true, result: await execute(ctx, input, proposal.batch, proposal.digest, deps) };
+}
+/**
+ * Si el lote aprobado ya no tiene nada que hacer, decilo — y no como un error.
+ *
+ * Sólo cuenta como `already` cuando el hallazgo YA NO ESTÁ y su categoría se
+ * pudo comprobar en este host. La ausencia de un hallazgo prueba algo únicamente
+ * cuando alguien miró: si la cobertura de esa categoría quedó `unavailable` o
+ * `skipped`, el recurso puede estar igual de roto y nadie lo sabe, y ahí `already`
+ * sería exactamente la mentira que este modelo existe para no decir.
+ */
+async function alreadySettled(ctx, input, deps) {
+    const select = [...(input.select ?? [])];
+    if (select.length === 0)
+        return null;
+    const report = await runDoctor(ctx, input, deps);
+    const settled = [];
+    for (const id of select) {
+        const how = settlementOf(report, id);
+        if (how === null)
+            return null;
+        settled.push(how);
+    }
+    return {
+        status: "already",
+        digest: input.approval,
+        actions: select.map((id, index) => ({
+            finding_id: id,
+            op: "—",
+            host: id.split("/")[0] ?? "—",
+            resource: id,
+            // `skipped` y no `applied`: en esta corrida NO se ejecutó nada. Decir
+            // «aplicada» sobre una acción que nadie corrió dejaba la proyección
+            // afirmando «✔ <id>» debajo de un «Resumen: 0 aplicadas», que es la clase
+            // de contradicción que hace dudar del informe entero.
+            status: "skipped",
+            reason: "no se ejecutó: el recurso ya no reporta el problema",
+            recheck: "resolved",
+            recheck_detail: settled[index] ?? "el recurso ya no reporta el problema",
+        })),
+        summary: {
+            applied: 0,
+            failed: 0,
+            skipped: select.length,
+            blocked: 0,
+            resolved: select.length,
+        },
+        exit_code: 0,
+        reason: "nada que hacer: los recursos aprobados ya no reportan el problema",
+    };
+}
+/**
+ * Por qué este recurso ya está saldado, o `null` si no lo está.
+ *
+ * Dos formas de estarlo, y las dos hacen falta. Un hallazgo que DESAPARECIÓ es
+ * la obvia. La otra es el hallazgo que sigue ahí y ya no tiene nada que hacer:
+ * los proveedores emiten el sano en vez de callarse —«no estaba mal» y «nadie
+ * miró» son respuestas distintas—, así que arreglar el recurso a mano entre la
+ * vista previa y la aprobación NO lo hace desaparecer, lo vuelve `healthy`. Sin
+ * esta segunda forma, repetir una aprobación sobre algo que ya está bien
+ * devolvía `SELECTION_NOT_ACTIONABLE` con salida 1: un error sobre un recurso
+ * sano, y la promesa de que un reintento idéntico responde `already` sólo se
+ * cumplía cuando el recurso dejaba de existir.
+ *
+ * Y las dos exigen lo mismo: que la categoría se haya COMPROBADO en este host.
+ * La ausencia de un hallazgo prueba algo únicamente cuando alguien miró; si la
+ * cobertura quedó `unavailable` o `skipped`, el recurso puede estar igual de
+ * roto y nadie lo sabe.
+ */
+function settlementOf(report, id) {
+    const finding = report.findings.find((candidate) => candidate.id === id);
+    if (finding !== undefined) {
+        const inert = finding.state === "healthy" && finding.remediation.action === null;
+        if (!inert)
+            return null;
+    }
+    const covered = coverageFor(report, id);
+    if (!covered.ok)
+        return null;
+    return finding === undefined
+        ? `el hallazgo ya no aparece y su categoría se comprobó en esta corrida (${covered.where})`
+        : `el recurso ya reporta sano y no propone ninguna acción (${covered.where})`;
+}
+/**
+ * Si alguien miró la categoría de este hallazgo en su host, y dónde lo dice.
+ *
+ * La misma pregunta la hacen dos caminos —el `already` y la recomprobación de
+ * una acción cuyo hallazgo desapareció—, así que vive una sola vez. Un id que no
+ * nombra host y categoría falla CERRADO: no se puede afirmar cobertura sobre algo
+ * que no se puede ubicar.
+ */
+function coverageFor(report, id) {
+    const parts = id.split("/");
+    const host = parts[0];
+    const category = parts[1];
+    if (host === undefined || category === undefined || parts.length < 3) {
+        return { ok: false, why: `el id '${id}' no nombra host y categoría` };
+    }
+    const entries = report.coverage.filter((entry) => entry.category === category && (entry.host === host || entry.host === "workspace"));
+    const checked = entries.find((entry) => entry.state === "checked");
+    if (checked !== undefined)
+        return { ok: true, where: `${category} en ${checked.host}` };
+    const gap = entries[0];
+    return {
+        ok: false,
+        why: gap === undefined
+            ? `la categoría ${category} no declaró cobertura para ${host}`
+            : `la cobertura de ${category} en ${gap.host} quedó ${gap.state}: ${gap.reason ?? "sin razón declarada"}`,
+    };
+}
+/**
+ * El orden topológico ya viene del lote; acá se respeta y se registra.
+ *
+ * Una acción fallida no detiene al lote: marca `skipped` a todo lo que dependía
+ * de ella —transitivamente, porque el dependiente de un omitido también queda
+ * sin su precondición— y deja seguir a las independientes. Eso es lo que hace
+ * que el resultado parcial sirva: la persona ve exactamente hasta dónde llegó.
+ */
+async function execute(ctx, input, batch, digest, deps) {
+    const executor = deps.executor ?? realExecutor;
+    const reports = [];
+    const failed = new Map();
+    for (const action of batch.actions) {
+        const blocker = action.depends_on.find((id) => failed.has(id));
+        if (blocker !== undefined) {
+            failed.set(action.finding_id, `quedó sin su precondición: ${blocker}`);
+            reports.push({
+                ...identity(action),
+                status: "skipped",
+                reason: `no se ejecutó porque ${blocker} no aplicó`,
+                recheck: "unverified",
+                recheck_detail: "no se recomprobó: la acción no llegó a correr",
+            });
+            continue;
+        }
+        const outcome = await run(executor, action, ctx);
+        if (outcome.status !== "applied") {
+            failed.set(action.finding_id, outcome.detail);
+            reports.push({
+                ...identity(action),
+                status: outcome.status,
+                reason: outcome.detail,
+                recheck: outcome.status === "blocked" ? "blocked" : "unverified",
+                recheck_detail: outcome.status === "blocked"
+                    ? "la operación se declaró bloqueada: el recurso queda como estaba"
+                    : "no se recomprobó: la acción no aplicó",
+            });
+            continue;
+        }
+        const recheck = await recheckOf(ctx, input, action, deps);
+        reports.push({ ...identity(action), status: "applied", reason: null, ...recheck });
+    }
+    return summarize(digest, reports);
+}
+function identity(action) {
+    return {
+        finding_id: action.finding_id,
+        op: action.op,
+        host: action.host,
+        resource: action.resource,
+    };
+}
+/** Un ejecutor que lanza es una acción FALLIDA, nunca una corrida caída. */
+async function run(executor, action, ctx) {
+    try {
+        return await executor(action, ctx);
+    }
+    catch (error) {
+        // El mensaje de una excepción es el único texto de este resultado que no
+        // viene del informe ya redactado, y `run` existe justamente para atrapar lo
+        // que nadie previó — así que puede traer cualquier cosa. El comando devuelve
+        // siempre `ok:true` (el veredicto va en el exit code), y la última línea de
+        // defensa del CLI sólo redacta la rama de error: acá no hay nadie más abajo.
+        return {
+            status: "failed",
+            detail: redactSensitiveText(`la operación lanzó: ${messageOf(error)}`),
+        };
+    }
+}
+/**
+ * La recomprobación: el MISMO proveedor releyendo el recurso.
+ *
+ * Nunca se deduce del resultado de la operación. Una operación que devolvió
+ * «apliqué» y un recurso que quedó sano son dos hechos distintos, y presentar el
+ * primero como el segundo es exactamente la validación omitida que AC-12
+ * prohíbe. Y una recomprobación que no corrió o que falló queda `unverified`,
+ * jamás `resolved`.
+ *
+ * Corre con el ALCANCE de la corrida —los mismos `--host`, `--only` y
+ * `--skip-native` que la persona pidió— y no con opciones inventadas acá. No es
+ * cosmético: `--skip-native` existe porque inspeccionar los MCP nativos LANZA los
+ * servidores del host, y una recomprobación que lo descartara volvería a hacer,
+ * una vez por acción aplicada, exactamente la sonda que la persona declinó.
+ *
+ * Y pide VERIFICAR, no sólo releer: eso es lo que hace que «quedó resuelto»
+ * dependa de la observación del proveedor y no del código de salida del programa.
+ * La autorización con la que verifica es EXACTAMENTE la que la persona dio en la
+ * invocación, nunca más: pedir un vacío significa «verificá hasta donde puedas
+ * sin permisos extra», y cada proveedor degrada lo que no alcance diciéndolo.
+ *
+ * Y no se amplía con las clases de la acción, aunque estén aprobadas. Una acción
+ * aprobada con `network_external` autoriza a ESA acción a salir de la máquina, no
+ * a la relectura del entorno entero: la verificación de un informe no tiene
+ * alcance por sujeto, así que sumar esa clase acá conectaría contra todas las
+ * credenciales registradas para recomprobar una.
+ */
+async function recheckOf(ctx, input, action, deps) {
+    if (deps.recheck === false) {
+        return { recheck: "unverified", recheck_detail: "la recomprobación quedó desactivada" };
+    }
+    const verify = [...(input.verify ?? [])];
+    let report;
+    try {
+        report = await runDoctor(ctx, { ...input, verify }, deps);
+    }
+    catch (error) {
+        return {
+            recheck: "unverified",
+            recheck_detail: redactSensitiveText(`la recomprobación no pudo correr: ${messageOf(error)}`),
+        };
+    }
+    const finding = report.findings.find((candidate) => candidate.id === action.finding_id);
+    if (finding === undefined) {
+        // Que el hallazgo no esté NO prueba nada por sí solo: prueba algo cuando
+        // alguien miró. Si la categoría de ese hallazgo quedó sin comprobar en este
+        // host —un proveedor que se cayó durante la relectura se lleva TODOS sus
+        // hallazgos—, declarar `resolved` sería exactamente la validación omitida
+        // presentada como superada que AC-12 prohíbe.
+        const covered = coverageFor(report, action.finding_id);
+        return covered.ok
+            ? {
+                recheck: "resolved",
+                recheck_detail: `el hallazgo ya no aparece en el informe (${covered.where})`,
+            }
+            : {
+                recheck: "unverified",
+                recheck_detail: `el hallazgo no aparece, pero nadie lo comprobó: ${covered.why}`,
+            };
+    }
+    return { ...classify(finding.state), recheck_detail: `el informe lo reporta ${finding.state}` };
+}
+function classify(state) {
+    if (state === "healthy")
+        return { recheck: "resolved" };
+    if (state === "unverified")
+        return { recheck: "unverified" };
+    if (state === "blocking")
+        return { recheck: "blocked" };
+    return { recheck: "pending" };
+}
+/**
+ * El veredicto del lote, y el exit code sale de él.
+ *
+ * `completed` exige las dos cosas: que todas aplicaran Y que todas se
+ * recomprobaran resueltas. Un lote donde todo aplicó pero algo quedó `pending`
+ * no está completo — el recurso sigue reportando el problema, y llamarlo
+ * completo sería declarar resuelto algo que nadie verificó.
+ */
+function summarize(digest, actions) {
+    const count = (status) => actions.filter((action) => action.status === status).length;
+    const applied = count("applied");
+    const resolved = actions.filter((action) => action.recheck === "resolved").length;
+    const summary = {
+        applied,
+        failed: count("failed"),
+        skipped: count("skipped"),
+        blocked: count("blocked"),
+        resolved,
+    };
+    if (applied === 0) {
+        return {
+            status: "failed",
+            digest,
+            actions,
+            summary,
+            exit_code: 1,
+            reason: "ninguna acción del lote llegó a aplicarse",
+        };
+    }
+    if (applied === actions.length && resolved === actions.length) {
+        return {
+            status: "completed",
+            digest,
+            actions,
+            summary,
+            exit_code: 0,
+            reason: "todas las acciones aplicaron y su recomprobación las declara resueltas",
+        };
+    }
+    return {
+        status: "partial",
+        digest,
+        actions,
+        summary,
+        exit_code: 1,
+        reason: `${applied} de ${actions.length} aplicaron; el resto falló, quedó omitido o sin recomprobación concluyente`,
+    };
+}
+function messageOf(error) {
+    return error instanceof Error ? error.message : String(error);
+}
+/**
+ * El ejecutor real: cada operación llama a la función que YA sabe escribir.
+ *
+ * Se construye un `ParsedArgs` explícito para las que lo esperan, campo por
+ * campo — nunca parseando una cadena. El `verb` del catálogo existe para
+ * MOSTRAR; ejecutar una reparación pasando su texto a un shell sería una
+ * inyección esperando el nombre de recurso equivocado, y los nombres de este
+ * informe vienen de archivos que escribió otra persona.
+ */
+export const realExecutor = async (action, ctx) => {
+    const { runDoctorRepair } = await import("./repair-runner.js");
+    return runDoctorRepair(action, ctx);
+};
+//# sourceMappingURL=apply.js.map

package/dist/application/doctor/apply.js.map

@@ -0,0 +1 @@
+{"version":3,"file":"apply.js","sourceRoot":"","sources":["../../../src/application/doctor/apply.ts"],"names":[],"mappings":"AA4BA,OAAO,EAAE,mBAAmB,EAAE,MAAM,2BAA2B,CAAC;AAChE,OAAO,EAAE,WAAW,EAAE,MAAM,oBAAoB,CAAC;AACjD,OAAO,EAIL,kBAAkB,GACnB,MAAM,cAAc,CAAC;AACtB,OAAO,EAAsB,SAAS,EAAE,MAAM,aAAa,CAAC;AAyE5D,MAAM,CAAC,KAAK,UAAU,gBAAgB,CACpC,GAAe,EACf,KAAuB,EACvB,OAAwB,EAAE;IAE1B,IAAI,KAAK,CAAC,QAAQ,KAAK,SAAS,IAAI,KAAK,CAAC,QAAQ,CAAC,MAAM,KAAK,CAAC,EAAE,CAAC;QAChE,OAAO;YACL,EAAE,EAAE,KAAK;YACT,SAAS,EAAE;gBACT,IAAI,EAAE,mBAAmB;gBACzB,OAAO,EAAE,uEAAuE;gBAChF,UAAU,EAAE,EAAE;gBACd,MAAM,EAAE,8EAA8E;aACvF;SACF,CAAC;IACJ,CAAC;IAED,MAAM,QAAQ,GAAG,EAAE,GAAG,KAAK,EAAE,QAAQ,EAAE,KAAK,CAAC,QAAQ,EAAE,CAAC;IACxD,MAAM,MAAM,GAAG,MAAM,WAAW,CAAC,GAAG,CAAC,EAAE,EAAE,GAAG,CAAC,KAAK,EAAE,GAAG,EAAE,CAAC,YAAY,CAAC,GAAG,EAAE,QAAQ,EAAE,IAAI,CAAC,CAAC,CAAC;IAC7F,IAAI,OAAO,IAAI,MAAM,EAAE,CAAC;QACtB,OAAO;YACL,EAAE,EAAE,KAAK;YACT,SAAS,EAAE;gBACT,IAAI,EAAE,WAAW;gBACjB,OAAO,EAAE,MAAM,CAAC,KAAK;gBACrB,UAAU,EAAE,EAAE;gBACd,MAAM,EAAE,gEAAgE;aACzE;SACF,CAAC;IACJ,CAAC;IACD,OAAO,MAAM,CAAC;AAChB,CAAC;AAED,KAAK,UAAU,YAAY,CACzB,GAAe;AACf,+EAA+E;AAC/E,8EAA8E;AAC9E,KAA8C,EAC9C,IAAqB;IAErB,8DAA8D;IAC9D,MAAM,QAAQ,GAAG,MAAM,kBAAkB,CAAC,GAAG,EAAE,KAAK,EAAE,IAAI,CAAC,CAAC;IAC5D,IAAI,CAAC,QAAQ,CAAC,EAAE,EAAE,CAAC;QACjB,2EAA2E;QAC3E,sEAAsE;QACtE,0EAA0E;QAC1E,0EAA0E;QAC1E,+CAA+C;QAC/C,MAAM,OAAO,GAAG,MAAM,cAAc,CAAC,GAAG,EAAE,KAAK,EAAE,IAAI,CAAC,CAAC;QACvD,IAAI,OAAO,KAAK,IAAI;YAAE,OAAO,EAAE,EAAE,EAAE,IAAI,EAAE,MAAM,EAAE,OAAO,EAAE,CAAC;QAC3D,OAAO;YACL,EAAE,EAAE,KAAK;YACT,SAAS,EAAE,EAAE,GAAG,QAAQ,CAAC,SAAS,EAAE,UAAU,EAAE,QAAQ,CAAC,SAAS,CAAC,UAAU,EAAE;SAChF,CAAC;IACJ,CAAC;IACD,IAAI,QAAQ,CAAC,IAAI,KAAK,SAAS,EAAE,CAAC;QAChC,OAAO;YACL,EAAE,EAAE,KAAK;YACT,SAAS,EAAE;gBACT,IAAI,EAAE,mBAAmB;gBACzB,OAAO,EAAE,kFAAkF;gBAC3F,UAAU,EAAE,EAAE;gBACd,MAAM,EAAE,uEAAuE;aAChF;SACF,CAAC;IACJ,CAAC;IAED,MAAM,QAAQ,GAAG,QAAQ,CAAC,QAAQ,CAAC;IACnC,+EAA+E;IAC/E,2EAA2E;IAC3E,4BAA4B;IAC5B,IAAI,QAAQ,CAAC,MAAM,KAAK,KAAK,CAAC,QAAQ,EAAE,CAAC;QACvC,OAAO;YACL,EAAE,EAAE,KAAK;YACT,SAAS,EAAE;gBACT,IAAI,EAAE,kBAAkB;gBACxB,yEAAyE;gBACzE,wEAAwE;gBACxE,0EAA0E;gBAC1E,sEAAsE;gBACtE,0EAA0E;gBAC1E,2BAA2B;gBAC3B,OAAO,EAAE,kIAAkI,KAAK,CAAC,QAAQ,aAAa,QAAQ,CAAC,MAAM,gFAAgF;gBACrQ,UAAU,EAAE,CAAC,KAAK,CAAC,QAAQ,EAAE,QAAQ,CAAC,MAAM,CAAC;gBAC7C,MAAM,EAAE,2EAA2E;aACpF;SACF,CAAC;IACJ,CAAC;IAED,qCAAqC;IACrC,OAAO,EAAE,EAAE,EAAE,IAAI,EAAE,MAAM,EAAE,MAAM,OAAO,CAAC,GAAG,EAAE,KAAK,EAAE,QAAQ,CAAC,KAAK,EAAE,QAAQ,CAAC,MAAM,EAAE,IAAI,CAAC,EAAE,CAAC;AAChG,CAAC;AAED;;;;;;;;GAQG;AACH,KAAK,UAAU,cAAc,CAC3B,GAAe,EACf,KAA8C,EAC9C,IAAqB;IAErB,MAAM,MAAM,GAAG,CAAC,GAAG,CAAC,KAAK,CAAC,MAAM,IAAI,EAAE,CAAC,CAAC,CAAC;IACzC,IAAI,MAAM,CAAC,MAAM,KAAK,CAAC;QAAE,OAAO,IAAI,CAAC;IACrC,MAAM,MAAM,GAAG,MAAM,SAAS,CAAC,GAAG,EAAE,KAAK,EAAE,IAAI,CAAC,CAAC;IAEjD,MAAM,OAAO,GAAa,EAAE,CAAC;IAC7B,KAAK,MAAM,EAAE,IAAI,MAAM,EAAE,CAAC;QACxB,MAAM,GAAG,GAAG,YAAY,CAAC,MAAM,EAAE,EAAE,CAAC,CAAC;QACrC,IAAI,GAAG,KAAK,IAAI;YAAE,OAAO,IAAI,CAAC;QAC9B,OAAO,CAAC,IAAI,CAAC,GAAG,CAAC,CAAC;IACpB,CAAC;IAED,OAAO;QACL,MAAM,EAAE,SAAS;QACjB,MAAM,EAAE,KAAK,CAAC,QAAQ;QACtB,OAAO,EAAE,MAAM,CAAC,GAAG,CAAC,CAAC,EAAE,EAAE,KAAK,EAAE,EAAE,CAAC,CAAC;YAClC,UAAU,EAAE,EAAE;YACd,EAAE,EAAE,GAAG;YACP,IAAI,EAAE,EAAE,CAAC,KAAK,CAAC,GAAG,CAAC,CAAC,CAAC,CAAC,IAAI,GAAG;YAC7B,QAAQ,EAAE,EAAE;YACZ,sEAAsE;YACtE,oEAAoE;YACpE,0EAA0E;YAC1E,sDAAsD;YACtD,MAAM,EAAE,SAAkB;YAC1B,MAAM,EAAE,qDAAqD;YAC7D,OAAO,EAAE,UAAmB;YAC5B,cAAc,EAAE,OAAO,CAAC,KAAK,CAAC,IAAI,sCAAsC;SACzE,CAAC,CAAC;QACH,OAAO,EAAE;YACP,OAAO,EAAE,CAAC;YACV,MAAM,EAAE,CAAC;YACT,OAAO,EAAE,MAAM,CAAC,MAAM;YACtB,OAAO,EAAE,CAAC;YACV,QAAQ,EAAE,MAAM,CAAC,MAAM;SACxB;QACD,SAAS,EAAE,CAAC;QACZ,MAAM,EAAE,mEAAmE;KAC5E,CAAC;AACJ,CAAC;AAED;;;;;;;;;;;;;;;;;GAiBG;AACH,SAAS,YAAY,CAAC,MAAoB,EAAE,EAAU;IACpD,MAAM,OAAO,GAAG,MAAM,CAAC,QAAQ,CAAC,IAAI,CAAC,CAAC,SAAS,EAAE,EAAE,CAAC,SAAS,CAAC,EAAE,KAAK,EAAE,CAAC,CAAC;IACzE,IAAI,OAAO,KAAK,SAAS,EAAE,CAAC;QAC1B,MAAM,KAAK,GAAG,OAAO,CAAC,KAAK,KAAK,SAAS,IAAI,OAAO,CAAC,WAAW,CAAC,MAAM,KAAK,IAAI,CAAC;QACjF,IAAI,CAAC,KAAK;YAAE,OAAO,IAAI,CAAC;IAC1B,CAAC;IACD,MAAM,OAAO,GAAG,WAAW,CAAC,MAAM,EAAE,EAAE,CAAC,CAAC;IACxC,IAAI,CAAC,OAAO,CAAC,EAAE;QAAE,OAAO,IAAI,CAAC;IAC7B,OAAO,OAAO,KAAK,SAAS;QAC1B,CAAC,CAAC,yEAAyE,OAAO,CAAC,KAAK,GAAG;QAC3F,CAAC,CAAC,2DAA2D,OAAO,CAAC,KAAK,GAAG,CAAC;AAClF,CAAC;AAED;;;;;;;GAOG;AACH,SAAS,WAAW,CAClB,MAAoB,EACpB,EAAU;IAEV,MAAM,KAAK,GAAG,EAAE,CAAC,KAAK,CAAC,GAAG,CAAC,CAAC;IAC5B,MAAM,IAAI,GAAG,KAAK,CAAC,CAAC,CAAC,CAAC;IACtB,MAAM,QAAQ,GAAG,KAAK,CAAC,CAAC,CAAC,CAAC;IAC1B,IAAI,IAAI,KAAK,SAAS,IAAI,QAAQ,KAAK,SAAS,IAAI,KAAK,CAAC,MAAM,GAAG,CAAC,EAAE,CAAC;QACrE,OAAO,EAAE,EAAE,EAAE,KAAK,EAAE,GAAG,EAAE,UAAU,EAAE,8BAA8B,EAAE,CAAC;IACxE,CAAC;IACD,MAAM,OAAO,GAAG,MAAM,CAAC,QAAQ,CAAC,MAAM,CACpC,CAAC,KAAK,EAAE,EAAE,CAAC,KAAK,CAAC,QAAQ,KAAK,QAAQ,IAAI,CAAC,KAAK,CAAC,IAAI,KAAK,IAAI,IAAI,KAAK,CAAC,IAAI,KAAK,WAAW,CAAC,CAC9F,CAAC;IACF,MAAM,OAAO,GAAG,OAAO,CAAC,IAAI,CAAC,CAAC,KAAK,EAAE,EAAE,CAAC,KAAK,CAAC,KAAK,KAAK,SAAS,CAAC,CAAC;IACnE,IAAI,OAAO,KAAK,SAAS;QAAE,OAAO,EAAE,EAAE,EAAE,IAAI,EAAE,KAAK,EAAE,GAAG,QAAQ,OAAO,OAAO,CAAC,IAAI,EAAE,EAAE,CAAC;IACxF,MAAM,GAAG,GAAG,OAAO,CAAC,CAAC,CAAC,CAAC;IACvB,OAAO;QACL,EAAE,EAAE,KAAK;QACT,GAAG,EACD,GAAG,KAAK,SAAS;YACf,CAAC,CAAC,gBAAgB,QAAQ,8BAA8B,IAAI,EAAE;YAC9D,CAAC,CAAC,mBAAmB,QAAQ,OAAO,GAAG,CAAC,IAAI,UAAU,GAAG,CAAC,KAAK,KAAK,GAAG,CAAC,MAAM,IAAI,qBAAqB,EAAE;KAC9G,CAAC;AACJ,CAAC;AAED;;;;;;;GAOG;AACH,KAAK,UAAU,OAAO,CACpB,GAAe,EACf,KAAuB,EACvB,KAAkB,EAClB,MAAc,EACd,IAAqB;IAErB,MAAM,QAAQ,GAAG,IAAI,CAAC,QAAQ,IAAI,YAAY,CAAC;IAC/C,MAAM,OAAO,GAAyB,EAAE,CAAC;IACzC,MAAM,MAAM,GAAG,IAAI,GAAG,EAAkB,CAAC;IAEzC,KAAK,MAAM,MAAM,IAAI,KAAK,CAAC,OAAO,EAAE,CAAC;QACnC,MAAM,OAAO,GAAG,MAAM,CAAC,UAAU,CAAC,IAAI,CAAC,CAAC,EAAE,EAAE,EAAE,CAAC,MAAM,CAAC,GAAG,CAAC,EAAE,CAAC,CAAC,CAAC;QAC/D,IAAI,OAAO,KAAK,SAAS,EAAE,CAAC;YAC1B,MAAM,CAAC,GAAG,CAAC,MAAM,CAAC,UAAU,EAAE,8BAA8B,OAAO,EAAE,CAAC,CAAC;YACvE,OAAO,CAAC,IAAI,CAAC;gBACX,GAAG,QAAQ,CAAC,MAAM,CAAC;gBACnB,MAAM,EAAE,SAAS;gBACjB,MAAM,EAAE,wBAAwB,OAAO,YAAY;gBACnD,OAAO,EAAE,YAAY;gBACrB,cAAc,EAAE,+CAA+C;aAChE,CAAC,CAAC;YACH,SAAS;QACX,CAAC;QAED,MAAM,OAAO,GAAG,MAAM,GAAG,CAAC,QAAQ,EAAE,MAAM,EAAE,GAAG,CAAC,CAAC;QACjD,IAAI,OAAO,CAAC,MAAM,KAAK,SAAS,EAAE,CAAC;YACjC,MAAM,CAAC,GAAG,CAAC,MAAM,CAAC,UAAU,EAAE,OAAO,CAAC,MAAM,CAAC,CAAC;YAC9C,OAAO,CAAC,IAAI,CAAC;gBACX,GAAG,QAAQ,CAAC,MAAM,CAAC;gBACnB,MAAM,EAAE,OAAO,CAAC,MAAM;gBACtB,MAAM,EAAE,OAAO,CAAC,MAAM;gBACtB,OAAO,EAAE,OAAO,CAAC,MAAM,KAAK,SAAS,CAAC,CAAC,CAAC,SAAS,CAAC,CAAC,CAAC,YAAY;gBAChE,cAAc,EACZ,OAAO,CAAC,MAAM,KAAK,SAAS;oBAC1B,CAAC,CAAC,iEAAiE;oBACnE,CAAC,CAAC,uCAAuC;aAC9C,CAAC,CAAC;YACH,SAAS;QACX,CAAC;QAED,MAAM,OAAO,GAAG,MAAM,SAAS,CAAC,GAAG,EAAE,KAAK,EAAE,MAAM,EAAE,IAAI,CAAC,CAAC;QAC1D,OAAO,CAAC,IAAI,CAAC,EAAE,GAAG,QAAQ,CAAC,MAAM,CAAC,EAAE,MAAM,EAAE,SAAS,EAAE,MAAM,EAAE,IAAI,EAAE,GAAG,OAAO,EAAE,CAAC,CAAC;IACrF,CAAC;IAED,OAAO,SAAS,CAAC,MAAM,EAAE,OAAO,CAAC,CAAC;AACpC,CAAC;AAED,SAAS,QAAQ,CAAC,MAAyB;IACzC,OAAO;QACL,UAAU,EAAE,MAAM,CAAC,UAAU;QAC7B,EAAE,EAAE,MAAM,CAAC,EAAE;QACb,IAAI,EAAE,MAAM,CAAC,IAAI;QACjB,QAAQ,EAAE,MAAM,CAAC,QAAQ;KAC1B,CAAC;AACJ,CAAC;AAED,4EAA4E;AAC5E,KAAK,UAAU,GAAG,CAChB,QAA8B,EAC9B,MAAyB,EACzB,GAAe;IAEf,IAAI,CAAC;QACH,OAAO,MAAM,QAAQ,CAAC,MAAM,EAAE,GAAG,CAAC,CAAC;IACrC,CAAC;IAAC,OAAO,KAAK,EAAE,CAAC;QACf,yEAAyE;QACzE,4EAA4E;QAC5E,6EAA6E;QAC7E,4EAA4E;QAC5E,6EAA6E;QAC7E,OAAO;YACL,MAAM,EAAE,QAAQ;YAChB,MAAM,EAAE,mBAAmB,CAAC,uBAAuB,SAAS,CAAC,KAAK,CAAC,EAAE,CAAC;SACvE,CAAC;IACJ,CAAC;AACH,CAAC;AAED;;;;;;;;;;;;;;;;;;;;;;;;;;GA0BG;AACH,KAAK,UAAU,SAAS,CACtB,GAAe,EACf,KAAuB,EACvB,MAAyB,EACzB,IAAqB;IAErB,IAAI,IAAI,CAAC,OAAO,KAAK,KAAK,EAAE,CAAC;QAC3B,OAAO,EAAE,OAAO,EAAE,YAAY,EAAE,cAAc,EAAE,qCAAqC,EAAE,CAAC;IAC1F,CAAC;IACD,MAAM,MAAM,GAAG,CAAC,GAAG,CAAC,KAAK,CAAC,MAAM,IAAI,EAAE,CAAC,CAAC,CAAC;IACzC,IAAI,MAAoB,CAAC;IACzB,IAAI,CAAC;QACH,MAAM,GAAG,MAAM,SAAS,CAAC,GAAG,EAAE,EAAE,GAAG,KAAK,EAAE,MAAM,EAAE,EAAE,IAAI,CAAC,CAAC;IAC5D,CAAC;IAAC,OAAO,KAAK,EAAE,CAAC;QACf,OAAO;YACL,OAAO,EAAE,YAAY;YACrB,cAAc,EAAE,mBAAmB,CAAC,qCAAqC,SAAS,CAAC,KAAK,CAAC,EAAE,CAAC;SAC7F,CAAC;IACJ,CAAC;IACD,MAAM,OAAO,GAAG,MAAM,CAAC,QAAQ,CAAC,IAAI,CAAC,CAAC,SAAS,EAAE,EAAE,CAAC,SAAS,CAAC,EAAE,KAAK,MAAM,CAAC,UAAU,CAAC,CAAC;IACxF,IAAI,OAAO,KAAK,SAAS,EAAE,CAAC;QAC1B,yEAAyE;QACzE,4EAA4E;QAC5E,yEAAyE;QACzE,0EAA0E;QAC1E,8CAA8C;QAC9C,MAAM,OAAO,GAAG,WAAW,CAAC,MAAM,EAAE,MAAM,CAAC,UAAU,CAAC,CAAC;QACvD,OAAO,OAAO,CAAC,EAAE;YACf,CAAC,CAAC;gBACE,OAAO,EAAE,UAAU;gBACnB,cAAc,EAAE,4CAA4C,OAAO,CAAC,KAAK,GAAG;aAC7E;YACH,CAAC,CAAC;gBACE,OAAO,EAAE,YAAY;gBACrB,cAAc,EAAE,mDAAmD,OAAO,CAAC,GAAG,EAAE;aACjF,CAAC;IACR,CAAC;IACD,OAAO,EAAE,GAAG,QAAQ,CAAC,OAAO,CAAC,KAAK,CAAC,EAAE,cAAc,EAAE,yBAAyB,OAAO,CAAC,KAAK,EAAE,EAAE,CAAC;AAClG,CAAC;AAED,SAAS,QAAQ,CAAC,KAAyB;IACzC,IAAI,KAAK,KAAK,SAAS;QAAE,OAAO,EAAE,OAAO,EAAE,UAAU,EAAE,CAAC;IACxD,IAAI,KAAK,KAAK,YAAY;QAAE,OAAO,EAAE,OAAO,EAAE,YAAY,EAAE,CAAC;IAC7D,IAAI,KAAK,KAAK,UAAU;QAAE,OAAO,EAAE,OAAO,EAAE,SAAS,EAAE,CAAC;IACxD,OAAO,EAAE,OAAO,EAAE,SAAS,EAAE,CAAC;AAChC,CAAC;AAED;;;;;;;GAOG;AACH,SAAS,SAAS,CAAC,MAAc,EAAE,OAA6B;IAC9D,MAAM,KAAK,GAAG,CAAC,MAA0B,EAAU,EAAE,CACnD,OAAO,CAAC,MAAM,CAAC,CAAC,MAAM,EAAE,EAAE,CAAC,MAAM,CAAC,MAAM,KAAK,MAAM,CAAC,CAAC,MAAM,CAAC;IAC9D,MAAM,OAAO,GAAG,KAAK,CAAC,SAAS,CAAC,CAAC;IACjC,MAAM,QAAQ,GAAG,OAAO,CAAC,MAAM,CAAC,CAAC,MAAM,EAAE,EAAE,CAAC,MAAM,CAAC,OAAO,KAAK,UAAU,CAAC,CAAC,MAAM,CAAC;IAClF,MAAM,OAAO,GAAG;QACd,OAAO;QACP,MAAM,EAAE,KAAK,CAAC,QAAQ,CAAC;QACvB,OAAO,EAAE,KAAK,CAAC,SAAS,CAAC;QACzB,OAAO,EAAE,KAAK,CAAC,SAAS,CAAC;QACzB,QAAQ;KACT,CAAC;IAEF,IAAI,OAAO,KAAK,CAAC,EAAE,CAAC;QAClB,OAAO;YACL,MAAM,EAAE,QAAQ;YAChB,MAAM;YACN,OAAO;YACP,OAAO;YACP,SAAS,EAAE,CAAC;YACZ,MAAM,EAAE,2CAA2C;SACpD,CAAC;IACJ,CAAC;IACD,IAAI,OAAO,KAAK,OAAO,CAAC,MAAM,IAAI,QAAQ,KAAK,OAAO,CAAC,MAAM,EAAE,CAAC;QAC9D,OAAO;YACL,MAAM,EAAE,WAAW;YACnB,MAAM;YACN,OAAO;YACP,OAAO;YACP,SAAS,EAAE,CAAC;YACZ,MAAM,EAAE,wEAAwE;SACjF,CAAC;IACJ,CAAC;IACD,OAAO;QACL,MAAM,EAAE,SAAS;QACjB,MAAM;QACN,OAAO;QACP,OAAO;QACP,SAAS,EAAE,CAAC;QACZ,MAAM,EAAE,GAAG,OAAO,OAAO,OAAO,CAAC,MAAM,4EAA4E;KACpH,CAAC;AACJ,CAAC;AAED,SAAS,SAAS,CAAC,KAAc;IAC/B,OAAO,KAAK,YAAY,KAAK,CAAC,CAAC,CAAC,KAAK,CAAC,OAAO,CAAC,CAAC,CAAC,MAAM,CAAC,KAAK,CAAC,CAAC;AAChE,CAAC;AAED;;;;;;;;GAQG;AACH,MAAM,CAAC,MAAM,YAAY,GAAyB,KAAK,EAAE,MAAM,EAAE,GAAG,EAAE,EAAE;IACtE,MAAM,EAAE,eAAe,EAAE,GAAG,MAAM,MAAM,CAAC,oBAAoB,CAAC,CAAC;IAC/D,OAAO,eAAe,CAAC,MAAM,EAAE,GAAG,CAAC,CAAC;AACtC,CAAC,CAAC"}