@things-factory/auth-base 10.1.142 → 10.1.146

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@things-factory/auth-base",
-  "version": "10.1.142",
+  "version": "10.1.146",
   "main": "dist-server/index.js",
   "browser": "dist-client/index.js",
   "things-factory": true,
@@ -34,9 +34,9 @@
     "@reduxjs/toolkit": "^2.2.5",
     "@simplewebauthn/browser": "^13.0.0",
     "@simplewebauthn/server": "^13.0.0",
-    "@things-factory/email-base": "^10.1.142",
+    "@things-factory/email-base": "^10.1.146",
     "@things-factory/env": "^10.1.20",
-    "@things-factory/shell": "^10.1.142",
+    "@things-factory/shell": "^10.1.146",
     "@things-factory/utils": "^10.1.20",
     "@types/webappsec-credential-management": "^0.6.9",
     "jsonwebtoken": "^9.0.0",
@@ -48,5 +48,5 @@
     "passport-jwt": "^4.0.0",
     "passport-local": "^1.0.0"
   },
-  "gitHead": "73522201151b0156168b0eeea15f2962cda0bd8f"
+  "gitHead": "7aeb3de935ec913d271866b27d931b2278259c13"
 }

package/tests/privilege-rejection.test.ts

@@ -94,9 +94,9 @@ describe('privilege rejection carries why (ADR-0103 decision 1)', () => {
     expect(license).toContain('licensed')
   })
 
-  it('every sentence key is in all five languages', () => {
+  it('every sentence key is in all six languages', () => {
     const keys = ['error.x not allowed from this address', 'error.x not licensed', 'error.x refused for this request', 'error.ownership not allowed from this address']
-    for (const lng of ['en', 'ko', 'ja', 'zh', 'ms']) {
+    for (const lng of ['en', 'ko', 'ja', 'zh', 'ms', 'es']) {
       const dict = require(`../translations/${lng}.json`)
       for (const key of keys) expect([lng, key, typeof dict[key]]).toEqual([lng, key, 'string'])
     }

package/tests/privilege-sync-db.test.ts

@@ -0,0 +1,58 @@
+/**
+ * The privilege sync is boot-time writing, and boot-time writing takes its turn (shell `inBootTurn`).
+ *
+ * On sqlite every transaction shares one connection. Another module's boot transaction (work-shift's
+ * baseline) that began while the sync's insert was open failed with "cannot start a transaction within a
+ * transaction", and its rollback took the insert with it — so the same privilege was missing again on
+ * the next boot, and the collision repeated every boot (`contact/query`, operato-plant, 2026-10-10).
+ */
+import { inBootTurn } from '@things-factory/shell'
+
+import { closeAuthDatabase, Domain, getRepository, openAuthDatabase, resetAuthDatabase } from './db'
+import { loadCompiled } from './compiled'
+
+const { synchronizePrivileges } = loadCompiled('service/privilege/privilege-sync')
+const { Privilege } = loadCompiled('service/privilege/privilege')
+
+const pause = (ms: number) => new Promise(resolve => setTimeout(resolve, ms))
+
+beforeAll(async () => {
+  await openAuthDatabase()
+})
+
+beforeEach(async () => {
+  await resetAuthDatabase()
+})
+
+afterAll(async () => {
+  await closeAuthDatabase()
+})
+
+test('adds what is missing and leaves what is there', async () => {
+  await getRepository(Privilege).save({ category: 'contact', name: 'mutation' })
+
+  expect(await synchronizePrivileges([['contact', 'mutation'], ['contact', 'query']])).toEqual(['contact/query'])
+  expect(await getRepository(Privilege).countBy({ category: 'contact' })).toBe(2)
+})
+
+test('another boot job that fails does not take the sync with it', async () => {
+  const dataSource = await openAuthDatabase()
+
+  /*
+   * A boot job of another module, in its turn: it holds a transaction for a while and then fails. On
+   * sqlite TypeORM shares one query runner, so a save that starts meanwhile rides inside that
+   * transaction — and goes when it rolls back.
+   */
+  const other = inBootTurn(() =>
+    dataSource.transaction(async tx => {
+      await tx.getRepository(Domain).save({ name: 'boot-job', subdomain: 'boot-job' })
+      await pause(30)
+      throw new Error('the other boot job failed')
+    })
+  ).catch(() => undefined)
+  const sync = synchronizePrivileges([['contact', 'query']])
+
+  await Promise.all([other, sync])
+  expect(await getRepository(Domain).countBy({ subdomain: 'boot-job' })).toBe(0)
+  expect(await getRepository(Privilege).countBy({ category: 'contact', name: 'query' })).toBe(1)
+})

package/translations/es.json

@@ -0,0 +1,254 @@
+{
+  "error.auth error": "error de autenticación. {message}",
+  "error.authn verification failed": "no se pudo verificar la credencial del usuario.",
+  "error.confirm password not matched": "la nueva contraseña y la confirmación no coinciden",
+  "error.domain mismatch": "el certificado no corresponde a este dominio",
+  "error.domain not allowed": "el usuario no tiene permitido el dominio `{subdomain}`",
+  "error.email already exists": "el correo electrónico ya lo usa otro usuario",
+  "error.failed to find x": "no se encontró {x}",
+  "error.invalid username": "nombre de usuario no válido: {username}",
+  "error.ownership required": "¡no autorizado! se requiere la propiedad del dominio o del sistema",
+  "error.password should be supported": "se debe proporcionar una contraseña inicial o una contraseña predeterminada",
+  "error.password should match the rule": "la contraseña debe cumplir la siguiente regla. ${rule}",
+  "error.password used in the past": "contraseña usada anteriormente",
+  "error.role-name-stands-inherited": "ya se muestra aquí un rol llamado {name}, definido en {domain}. cree en este dominio uno propio con ese nombre solo si es lo que pretende hacer.",
+  "error.role-name-taken-here": "este dominio ya tiene un rol llamado {name}.",
+  "error.subdomain not found": "dominio no encontrado",
+  "error.token or password is invalid": "el token o la contraseña no son válidos",
+  "error.unavailable-domain": "dominio no disponible",
+  "error.user credential not found": "no se encontró la credencial del usuario. Debe registrar el dispositivo para usar la autenticación biométrica.",
+  "error.user credential registration failed": "el registro no se completó. se canceló en el dispositivo o no se pudo conectar con el servidor.",
+  "error.user credential registration not allowed": "no se pudo registrar este dispositivo. el registro superó el tiempo de espera o la credencial ya está registrada.",
+  "error.user duplicated": "ya existe una cuenta de usuario con el mismo correo electrónico o ID de usuario.",
+  "error.user not activated": "el usuario no está activado",
+  "error.user not found": "usuario no encontrado",
+  "error.user or verification token not found": "no se encontró el usuario o el token de verificación",
+  "error.user validation failed": "no se pudo validar el usuario",
+  "error.username already exists": "el nombre de usuario ya lo usa otro usuario",
+  "error.x is not a member of y": "{x} no es miembro de {y}",
+  "error.x privilege required": "¡no autorizado! se requiere el privilegio {x}",
+  "error.role-not-assignable-here": "este dominio no puede asignar los roles {roles}.",
+  "error.x not allowed from this address": "¡no autorizado! {x} no está permitido desde esta dirección",
+  "error.x not licensed": "¡no autorizado! {x} no tiene licencia en esta instalación",
+  "error.x refused for this request": "¡no autorizado! {x} se ha denegado para esta solicitud",
+  "error.ownership not allowed from this address": "¡no autorizado! la propiedad no se tiene en cuenta desde esta dirección",
+  "field.appliance_id": "ID del dispositivo",
+  "field.brand": "marca",
+  "field.password": "contraseña",
+  "field.privileges": "privilegios",
+  "field.token": "token",
+  "field.user": "usuario",
+  "field.user_account": "cuenta de usuario",
+  "field.user_type": "tipo de usuario",
+  "label.partner": "socio",
+  "privilege.allows.accounting.mutation": "registrar, corregir y cerrar comprobantes",
+  "privilege.allows.accounting.query": "ver comprobantes y saldos de cuentas",
+  "privilege.allows.activity-instance.mutation": "iniciar, traspasar y finalizar o cancelar trabajos",
+  "privilege.allows.activity-instance.query": "ver trabajos en curso y finalizados",
+  "privilege.allows.activity.mutation": "definir y cambiar tipos de actividad y sus pasos",
+  "privilege.allows.ai-assistant.mutation": "pedir al asistente que realice trabajos",
+  "privilege.allows.ai-assistant.query": "ver las conversaciones con el asistente",
+  "privilege.allows.ai-inference.query": "ver los resultados de inferencia de los modelos entrenados",
+  "privilege.allows.attachment.mutation": "subir y eliminar archivos",
+  "privilege.allows.attachment.query": "abrir archivos subidos",
+  "privilege.allows.bizplace.mutation": "registrar y cambiar centros de negocio",
+  "privilege.allows.bizplace.query": "ver los centros de negocio y sus direcciones",
+  "privilege.allows.board-ai.mutation": "hacer que la IA cree tableros",
+  "privilege.allows.board-ai.query": "ver los tableros redactados por la IA",
+  "privilege.allows.board-import.mutation": "importar tableros desde archivos externos",
+  "privilege.allows.board-import.query": "ver el historial de importación de tableros",
+  "privilege.allows.board-template.mutation": "crear y cambiar plantillas de tablero",
+  "privilege.allows.board-template.query": "ver las plantillas de tablero",
+  "privilege.allows.board.mutation": "crear, editar y eliminar tableros",
+  "privilege.allows.board.query": "abrir tableros",
+  "privilege.allows.company.mutation": "cambiar la información de la empresa",
+  "privilege.allows.company.query": "ver la información de la empresa",
+  "privilege.allows.connection.mutation": "crear, cambiar y eliminar conexiones — aquí se guardan las credenciales",
+  "privilege.allows.connection.query": "ver las conexiones con otros sistemas y su estado",
+  "privilege.allows.contact_point.mutation": "registrar y cambiar datos de contacto",
+  "privilege.allows.contact_point.query": "ver los datos de contacto de los socios",
+  "privilege.allows.data-archive.mutation": "mover datos al archivo y recuperarlos",
+  "privilege.allows.data-archive.query": "ver los datos archivados",
+  "privilege.allows.data-ooc.mutation": "tratar los valores fuera de control y registrar el motivo",
+  "privilege.allows.data-ooc.query": "ver los valores fuera de los límites de control",
+  "privilege.allows.data-sample.mutation": "registrar muestras e introducir mediciones",
+  "privilege.allows.data-sample.query": "ver las muestras y sus mediciones",
+  "privilege.allows.data-set-history.query": "ver cuándo y cómo se cambió un conjunto de datos",
+  "privilege.allows.data-set.mutation": "crear conjuntos de datos y cambiar sus campos",
+  "privilege.allows.data-set.query": "ver los conjuntos de datos y la disposición de sus campos",
+  "privilege.allows.data-summary.query": "ver valores resumidos por período y campo",
+  "privilege.allows.department.mutation": "crear, cambiar y mover departamentos",
+  "privilege.allows.department.query": "ver los departamentos y quién pertenece a ellos",
+  "privilege.allows.disposition.mutation": "decidir una disposición y enviarla a aprobación — aquí se decide el desecho y el reproceso",
+  "privilege.allows.disposition.query": "ver qué disposición se dio a los artículos no conformes",
+  "privilege.allows.employee.mutation": "registrar empleados y cambiar sus asignaciones",
+  "privilege.allows.employee.query": "ver la plantilla de empleados y sus asignaciones",
+  "privilege.allows.env-var.mutation": "añadir y cambiar variables de entorno — esto cambia el funcionamiento del servidor",
+  "privilege.allows.env-var.query": "ver los nombres y valores de las variables de entorno",
+  "privilege.allows.equipment-state.mutation": "cambiar el estado del equipo y registrar por qué se detuvo",
+  "privilege.allows.equipment-state.query": "ver si el equipo está en marcha o detenido",
+  "privilege.allows.figure.mutation": "crear y cambiar modelos de figura",
+  "privilege.allows.figure.query": "ver los modelos de figura y cómo están construidos",
+  "privilege.allows.inspection.mutation": "introducir resultados de inspección y evaluarlos",
+  "privilege.allows.inspection.query": "ver las especificaciones y los resultados de inspección",
+  "privilege.allows.job-order.mutation": "emitir, cambiar y cerrar órdenes de trabajo",
+  "privilege.allows.job-order.query": "ver las órdenes de trabajo y su avance",
+  "privilege.allows.kpi.mutation": "crear indicadores y cambiar sus objetivos y fórmulas",
+  "privilege.allows.kpi.query": "ver los indicadores y su evolución frente al objetivo",
+  "privilege.allows.label-studio.mutation": "configurar la conexión con Label Studio y enviarle trabajo",
+  "privilege.allows.label-studio.query": "ver el trabajo intercambiado con Label Studio",
+  "privilege.allows.labeling.mutation": "aplicar y cambiar etiquetas",
+  "privilege.allows.labeling.query": "ver las tareas de etiquetado y sus resultados",
+  "privilege.allows.maintenance.mutation": "planificar el mantenimiento e informar de lo realizado",
+  "privilege.allows.maintenance.query": "ver los planes de mantenimiento y lo realizado",
+  "privilege.allows.menu.mutation": "cambiar el menú y su orden — esto cambia las pantallas que ven otras personas",
+  "privilege.allows.mes-outbox.mutation": "configurar destinos y reenviar lo que falló",
+  "privilege.allows.mes-outbox.query": "ver si se acumulan los mensajes a sistemas externos",
+  "privilege.allows.mlflow.mutation": "configurar la conexión con MLflow y registrar modelos",
+  "privilege.allows.mlflow.query": "ver los experimentos y modelos registrados en MLflow",
+  "privilege.allows.mlops.mutation": "crear pipelines y ejecutar entrenamientos y despliegues",
+  "privilege.allows.mlops.query": "ver las ejecuciones de pipelines de entrenamiento y despliegue",
+  "privilege.allows.ops-master.mutation": "cambiar las reglas de operación — la programación se basa en estos valores",
+  "privilege.allows.ops-master.query": "ver las reglas de operación, como los días laborables y no laborables",
+  "privilege.allows.order.mutation": "recibir, cambiar y cancelar pedidos",
+  "privilege.allows.order.query": "ver los pedidos y sus líneas",
+  "privilege.allows.organization.mutation": "cambiar la estructura de la organización",
+  "privilege.allows.organization.query": "ver la estructura de la organización",
+  "privilege.allows.partner.mutation": "registrar socios y desvincularlos",
+  "privilege.allows.partner.query": "ver los socios y cómo están vinculados sus dominios",
+  "privilege.allows.privilege.query": "ver los privilegios declarados en esta implantación",
+  "privilege.allows.process-instance.query": "ver hasta dónde ha avanzado una ejecución de proceso",
+  "privilege.allows.process.mutation": "crear procesos y cambiar sus pasos",
+  "privilege.allows.process.query": "ver las definiciones de procesos y sus pasos",
+  "privilege.allows.production-report.mutation": "informar de la producción y emitir correcciones",
+  "privilege.allows.production-report.query": "ver los informes de producción y sus correcciones",
+  "privilege.allows.scenario.mutation": "crear escenarios e iniciarlos y detenerlos",
+  "privilege.allows.scenario.query": "ver los escenarios de integración y sus ejecuciones",
+  "privilege.allows.schedule.mutation": "elaborar y mover la programación",
+  "privilege.allows.schedule.query": "ver la programación de producción",
+  "privilege.allows.security.mutation": "cambiar la configuración de seguridad — esto cambia quién puede acceder al sistema",
+  "privilege.allows.security.query": "ver la configuración de seguridad, como las restricciones de dirección",
+  "privilege.allows.setting.mutation": "cambiar la configuración del sistema",
+  "privilege.allows.setting.query": "ver la configuración del sistema",
+  "privilege.allows.state-register.mutation": "cambiar ese registro — la siguiente ejecución se reanuda desde él",
+  "privilege.allows.state-register.query": "ver hasta dónde ha procesado una integración",
+  "privilege.allows.station.mutation": "asignar estaciones y enviarles directivas de trabajo",
+  "privilege.allows.station.query": "ver las estaciones y quién está asignado a ellas",
+  "privilege.allows.terminology.mutation": "cambiar los términos que se muestran en pantalla y sus traducciones",
+  "privilege.allows.tutorial.mutation": "crear y cambiar tutoriales",
+  "privilege.allows.twin.mutation": "crear y cambiar gemelos, e iniciarlos y detenerlos",
+  "privilege.allows.twin.query": "ver los gemelos y la disposición de sus emplazamientos",
+  "privilege.allows.user.mutation": "invitar usuarios, conceder roles y bloquear cuentas — aquí se decide quién puede hacer qué",
+  "privilege.allows.user.query": "ver la lista de usuarios y los roles de cada persona",
+  "privilege.allows.webhook.mutation": "crear webhooks y cambiar el destino de sus envíos",
+  "privilege.allows.webhook.query": "ver los webhooks y lo que han enviado",
+  "privilege.allows.work-shift.mutation": "crear y cambiar horarios de turnos",
+  "privilege.allows.worker.mutation": "registrar trabajadores y cambiar su asignación",
+  "privilege.allows.worker.query": "ver los trabajadores y dónde están asignados",
+  "privilege.category.accounting": "contabilidad",
+  "privilege.category.activity": "definición de actividades de trabajo",
+  "privilege.category.activity-instance": "trabajo en curso",
+  "privilege.category.ai-assistant": "asistente de IA",
+  "privilege.category.ai-inference": "inferencia de IA",
+  "privilege.category.attachment": "archivo adjunto",
+  "privilege.category.bizplace": "centro de negocio",
+  "privilege.category.board": "tablero",
+  "privilege.category.board-ai": "IA de tableros",
+  "privilege.category.board-import": "importación de tableros",
+  "privilege.category.board-template": "plantilla de tablero",
+  "privilege.category.company": "empresa",
+  "privilege.category.connection": "conexión del sistema",
+  "privilege.category.contact_point": "punto de contacto",
+  "privilege.category.data-archive": "archivo de datos",
+  "privilege.category.data-ooc": "datos fuera de control",
+  "privilege.category.data-sample": "muestra de datos",
+  "privilege.category.data-set": "conjunto de datos",
+  "privilege.category.data-set-history": "historial del conjunto de datos",
+  "privilege.category.data-summary": "resumen de datos",
+  "privilege.category.department": "departamento",
+  "privilege.category.disposition": "disposición de no conformidades",
+  "privilege.category.employee": "empleado",
+  "privilege.category.env-var": "variable de entorno",
+  "privilege.category.equipment-state": "estado del equipo",
+  "privilege.category.figure": "modelo de figura",
+  "privilege.category.inspection": "inspección",
+  "privilege.category.job-order": "orden de trabajo",
+  "privilege.category.kpi": "indicador de rendimiento",
+  "privilege.category.label-studio": "conexión con Label Studio",
+  "privilege.category.labeling": "etiquetado de datos",
+  "privilege.category.maintenance": "mantenimiento",
+  "privilege.category.menu": "menú",
+  "privilege.category.mes-outbox": "bandeja de salida MES",
+  "privilege.category.mlflow": "conexión con MLflow",
+  "privilege.category.mlops": "MLOps",
+  "privilege.category.ops-master": "datos maestros de operación",
+  "privilege.category.order": "pedido",
+  "privilege.category.organization": "organización",
+  "privilege.category.partner": "socio",
+  "privilege.category.privilege": "lista de privilegios",
+  "privilege.category.process": "definición de procesos",
+  "privilege.category.process-instance": "ejecución de procesos",
+  "privilege.category.production-report": "informe de producción",
+  "privilege.category.scenario": "escenario de integración",
+  "privilege.category.schedule": "programación de producción",
+  "privilege.category.security": "seguridad",
+  "privilege.category.setting": "configuración",
+  "privilege.category.state-register": "registro de estado de integración",
+  "privilege.category.station": "estación",
+  "privilege.category.system": "configuración del sistema",
+  "privilege.category.terminology": "terminología",
+  "privilege.category.tutorial": "tutorial",
+  "privilege.category.twin": "gemelo digital",
+  "privilege.category.user": "usuario",
+  "privilege.category.webhook": "webhook",
+  "privilege.category.work-shift": "turno de trabajo",
+  "privilege.category.worker": "trabajador",
+  "privilege.name.mutation": "edición",
+  "privilege.name.query": "lectura",
+  "text.account is reactivated": "la cuenta se ha reactivado",
+  "text.delete account succeed": "cuenta eliminada correctamente",
+  "text.inactive user": "usuario inactivo",
+  "text.invalid verification token": "token de verificación no válido",
+  "text.invitation email sent": "correo de invitación enviado",
+  "text.password changed successfully": "contraseña cambiada correctamente",
+  "text.password reset email sent": "correo de restablecimiento de contraseña enviado",
+  "text.password reset succeed": "contraseña restablecida correctamente",
+  "text.pattern_atleast_1_digit": "al menos 1 dígito",
+  "text.pattern_atleast_1_lowercase": "al menos 1 letra minúscula",
+  "text.pattern_atleast_1_special": "al menos 1 carácter especial(!@#$%^&*())",
+  "text.pattern_atleast_1_uppercase": "al menos 1 letra mayúscula",
+  "text.pattern_minimum_charaters": "mínimo {length} caracteres",
+  "text.pattern_not_allowed": "no se permiten caracteres repetidos",
+  "text.profile changed successfully": "perfil cambiado correctamente",
+  "text.result": "resultado",
+  "text.signout successfully": "sesión cerrada correctamente",
+  "text.user activated successfully": "usuario activado correctamente",
+  "text.user credential registered successfully": "el registro del dispositivo se ha completado correctamente. Ya puede usar la autenticación biométrica.",
+  "text.user inactivated successfully": "usuario desactivado correctamente",
+  "text.user registered successfully": "usuario registrado correctamente. busque el correo electrónico para activar la cuenta",
+  "text.verification email sent": "correo de verificación enviado",
+  "privilege.description": "{name} de {category}",
+  "error.access-request-names-nothing": "una solicitud de acceso indica una categoría y un privilegio.",
+  "error.access-request-unknown-privilege": "no existe el privilegio {privilege}.",
+  "error.access-request-already-holds": "ya tiene {privilege}.",
+  "error.access-request-not-by-role": "aquí un rol no daría acceso a {privilege}, así que no se puede solicitar.",
+  "error.access-request-not-withdrawable": "no tiene ninguna solicitud pendiente que retirar.",
+  "error.access-decision-access-request-not-found": "la solicitud de acceso no se encuentra en este dominio.",
+  "error.access-decision-request-not-pending": "la solicitud ya se ha resuelto, retirado o ha caducado.",
+  "error.access-decision-own-request": "no puede resolver su propia solicitud.",
+  "error.access-decision-requester-unavailable": "el solicitante está bloqueado, inactivo o ya no pertenece a este dominio.",
+  "error.access-decision-deny-needs-reason": "un rechazo necesita un motivo.",
+  "error.access-decision-already-holds": "el solicitante ya tiene este privilegio.",
+  "error.access-decision-role-required": "seleccione el rol que se va a conceder.",
+  "error.access-decision-role-not-assignable": "este dominio no puede asignar ese rol.",
+  "error.access-decision-role-does-not-grant": "ese rol no tiene el privilegio solicitado.",
+  "access-request.notify.asked.title": "solicitud de acceso",
+  "access-request.notify.asked.body": "{name} solicita {privilege}.",
+  "access-request.notify.granted.title": "acceso concedido",
+  "access-request.notify.granted.body": "ahora tiene {privilege} (rol: {role}).",
+  "access-request.notify.denied.title": "solicitud de acceso rechazada",
+  "access-request.notify.denied.body": "{privilege}: {reason}",
+  "error.access-request-needs-reason": "indique por qué lo necesita.",
+  "error.access-request-same-reason-as-denied": "se rechazó hace poco por el mismo motivo ({reason}). indique qué ha cambiado.",
+  "error.role-belongs-to-parent": "{roles}: un rol del dominio principal. solo quien decide los roles allí puede concederlo o quitarlo."
+}