@tinya-code/gas-admin-ui 0.2.0-alpha.2 → 0.2.0-alpha.3

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@tinya-code/gas-admin-ui",
-  "version": "0.2.0-alpha.2",
+  "version": "0.2.0-alpha.3",
   "description": "Motor de render Angular para admin CRUD: declará ResourceSchema y el motor dibuja vistas, campos y widgets.",
   "repository": {
     "type": "git",

package/types/tinya-code-gas-admin-ui.d.ts

@@ -810,31 +810,46 @@ export interface AuthSchema {
   firebase?: FirebaseAuthConfig;
 }
 /**
- * Narrow surface the library uses from Firebase Auth.
- * Implemented by the consumer app; injected via FIREBASE_AUTH_ADAPTER token.
- * Keeping the interface thin avoids coupling to any specific Firebase version.
+ * URL base de la API (baseapi §2.3): es la URL directa del Web App de Apps
+ * Script; ahí se hace el `POST` del envelope `{ token, method, path, payload }`.
+ * OBLIGATORIO proporcionarlo en `app.config.ts`:
+ * `{ provide: API_URL, useValue: 'https://…' }` (Fase 3). Vacío = mismo origen.
+ */
+export declare const API_URL: InjectionToken<string>;
+/**
+ * Superficie mínima que `gas-admin-ui` usa de Firebase Auth.
+ * Implementada por la aplicación consumidora; inyectada vía `FIREBASE_AUTH_ADAPTER`.
+ * Mantener la interfaz fina evita acoplar la librería a una versión específica de Firebase.
  */
 interface FirebaseAuthAdapter {
   /**
-   * Opens a Google sign-in popup and resolves to the Firebase ID token.
-   * Rejects on cancellation or error.
+   * Abre un popup de Google sign-in y resuelve al ID token de Firebase.
+   * Rechaza si el usuario cancela o hay error.
    */
   signInWithGoogle(): Promise<string>;
   /**
-   * Signs in with email and password via Firebase and resolves to the ID token.
-   * Used when provider === 'password' AND firebase is configured (Firebase email auth).
+   * Inicia sesión con email y contraseña vía Firebase y resuelve al ID token.
+   * Se usa cuando provider === 'password' Y firebase está configurado (Firebase email auth).
    */
   signInWithEmailAndPassword(email: string, password: string): Promise<string>;
-  /** Signs out from Firebase (called alongside the app session clear). */
+  /**
+   * Cierra sesión en Firebase (llamado junto al clear de la sesión de la app).
+   */
   signOut(): Promise<void>;
+  /**
+   * Obtiene un ID token de Firebase FRESCO para usarlo en la cabecera
+   * `Authorization: Bearer <token>` de las peticiones REST.
+   *
+   * OPCIONAL: si el adaptador no lo implementa, `gas-admin-ui` envía el token
+   * de sesión almacenado tal cual (comportamiento actual). Implementarlo
+   * permite refrescar el ID token antes de cada petición REST, evitando
+   * errores "ID token inválido" tras la expiración de Firebase (1 hora).
+   *
+   * El adaptador decide cuándo refrescar (p. ej. `getIdToken(true)` de Firebase
+   * SDK fuerza la renovación; sin argumento devuelve el cacheado si aún es válido).
+   */
+  getIdToken?(): Promise<string>;
 }
-/**
- * URL base de la API (baseapi §2.3): es la URL directa del Web App de Apps
- * Script; ahí se hace el `POST` del envelope `{ token, method, path, payload }`.
- * OBLIGATORIO proporcionarlo en `app.config.ts`:
- * `{ provide: API_URL, useValue: 'https://…' }` (Fase 3). Vacío = mismo origen.
- */
-export declare const API_URL: InjectionToken<string>;
 /**
  * Token DI opcional para el adaptador de Firebase Auth.
  * Proporcionado por la aplicación consumidora cuando usa proveedores federados o Firebase Auth.
@@ -1123,6 +1138,8 @@ export declare class ApiService {
   private readonly driver;
   /** Fuentes que aporta el consumidor (`provideGasAdmin({ valueSources })`). */
   private readonly valueSources;
+  /** Adaptador opcional de Firebase Auth para refrescar el ID token antes de peticiones REST. */
+  private readonly firebaseAuthAdapter;
   /**
    * Acceso PEREZOSO a `ConfigService` (R2 · plan doc/context-sources-plan.md).
    *
@@ -1170,6 +1187,7 @@ export declare class ApiService {
   private buildSources;
   private sendGas;
   private sendRest;
+  private doRestRequest;
   private buildUrl;
   private withKey;
   static ɵfac: i0.ɵɵFactoryDeclaration<ApiService, never>;
@@ -1519,6 +1537,7 @@ export declare class Sidebar {
   private readonly notifications;
   readonly isAuthenticated: import("@angular/core").Signal<boolean>;
   readonly closingAllSessions: import("@angular/core").WritableSignal<boolean>;
+  readonly loggingOut: import("@angular/core").WritableSignal<boolean>;
   /**
    * R2.10 — el menú se corta dos veces: `isVisible` (permisos declarados
    * en el schema) y `canAccess` (auth.md §5.3, `access` de la sesión).
@@ -1526,6 +1545,8 @@ export declare class Sidebar {
    */
   readonly menuItems: import("@angular/core").Signal<MenuEntry[]>;
   closeAllSessions(): Promise<void>;
+  /** Cierra la sesión individual del usuario (sesión + Firebase) y va al login. */
+  closeSession(): Promise<void>;
   static ɵfac: i0.ɵɵFactoryDeclaration<Sidebar, never>;
   static ɵcmp: i0.ɵɵComponentDeclaration<Sidebar, "app-sidebar", never, {
     "open": {

package/fesm2022/tinya-code-gas-admin-ui-schema-catalog-CL4IZDce.mjs.map

@@ -1 +0,0 @@
-{"version":3,"file":"tinya-code-gas-admin-ui-schema-catalog-CL4IZDce.mjs","names":[],"sources":["../../../projects/gas-admin-ui/src/lib/core/models/api.model.ts","../../../projects/gas-admin-ui/src/lib/core/tokens.ts","../../../projects/gas-admin-ui/src/lib/core/services/auth.service.ts","../../../projects/gas-admin-ui/src/lib/core/interceptors/api-error.interceptor.ts","../../../projects/gas-admin-ui/src/lib/core/utils/context-resolver.ts","../../../projects/gas-admin-ui/src/lib/core/services/api.service.ts","../../../projects/gas-admin-ui/src/lib/core/services/config.service.ts","../../../projects/gas-admin-ui/src/lib/core/registry/schema-catalog.ts"],"sourcesContent":["/**\n * Contrato HTTP con el backend (doc/baseapi.md §8 «Errores»).\n *\n * El backend responde SIEMPRE HTTP 200; los errores viajan en el body\n * con `{ error: { status, message, errors?: [{ path, message }] } }`.\n * El interceptor (Fase 3) los convierte en `ApiError`.\n */\n\n/**\n * Un error con ruta del422 (auth.md §6): `path` para pintarlo en el campo y\n * `code` MAYUS_SNAKE (`VALIDATION_MIN_LENGTH`) para mapearlo sin leer texto.\n */\nexport interface ApiIssue {\n  /** Ruta del campo afectado (`faq[2].answer`, `sku`). */\n  path: string;\n  /** Mensaje en español, listo para pintar. */\n  message: string;\n  /** Código estable del validador (B11); el mensaje puede cambiar, el código no. */\n  code?: string;\n}\n\n/** Shape del body de error (doc/baseapi.md §8 «Errores»). */\nexport interface ApiErrorBody {\n  error: {\n    status: number;\n    message: string;\n    /** Ruta del campo afectado cuando el backend la envía (base.md §10). */\n    path?: string;\n    /**\n     * Código de sesión de §4.5 (R2.9): `AUTH_REQUIRED` · `AUTH_INVALID` ·\n     * `AUTH_EXPIRED` · `FORBIDDEN` · `RATE_LIMITED`. Aparece SÓLO en esas\n     * cinco respuestas — el sobre de error es aditivo (O7 / D10-5).\n     */\n    code?: string;\n    /**\n     * Errores de validación con ruta (base.md §5, guía §10): el 422 los manda\n     * ACÁ (`error.errors[]`), no en `path`. Sin modelarlos el form veía\n     * «Errores de validación» genérico y ningún campo se pintaba (D42).\n     */\n    errors?: ApiIssue[];\n  };\n}\n\n/** Error de API estandarizado que lanza el interceptor de errores. */\nexport class ApiError extends Error {\n  readonly status: number;\n  /** Ruta del campo que provocó el error (ej. `faq[2].answer`), si existe. */\n  readonly fieldPath?: string;\n  /** Código de sesión de §4.5 si el backend lo envió; `undefined` en el resto. */\n  readonly code?: string;\n  /** Issues con ruta (422); vacío cuando el error no trae `errors[]`. */\n  readonly issues: readonly ApiIssue[];\n\n  constructor(\n    status: number,\n    message: string,\n    fieldPath?: string,\n    code?: string,\n    issues: readonly ApiIssue[] = [],\n  ) {\n    super(message);\n    this.name = 'ApiError';\n    this.status = status;\n    this.fieldPath = fieldPath;\n    this.code = code;\n    this.issues = issues;\n  }\n}\n\n/**\n * `meta.renewedToken` (auth.md §3.2/§3.4): el back lo adjunta a la respuesta\n * cuando la vida del token bajó del umbral de renovación. Es el ÚNICO modo\n * de que el front se entere — el token nuevo no viaja en cabeceras ni en la\n * URL. Devuelve `null` cuando no hay renovación (que es lo normal).\n *\n * Vive acá y no en el `ApiService` porque lo consumen DOS servicios\n * (`ApiService` y `AuthService`) y éste modelo no importa a ninguno de los\n * dos: sin este archivo no hay ciclo de imports.\n */\nexport function renewedTokenOf(body: unknown): string | null {\n  if (body === null || typeof body !== 'object') return null;\n  const meta = (body as { meta?: unknown }).meta;\n  if (meta === null || typeof meta !== 'object') return null;\n  const token = (meta as { renewedToken?: unknown }).renewedToken;\n  return typeof token === 'string' && token !== '' ? token : null;\n}\n","import { InjectionToken } from '@angular/core';\n\n/**\n * URL base de la API (baseapi §2.3): es la URL directa del Web App de Apps\n * Script; ahí se hace el `POST` del envelope `{ token, method, path, payload }`.\n * OBLIGATORIO proporcionarlo en `app.config.ts`:\n * `{ provide: API_URL, useValue: 'https://…' }` (Fase 3). Vacío = mismo origen.\n */\nexport const API_URL = new InjectionToken<string>('API_URL');\n\nimport type { FirebaseAuthAdapter } from './adapters/firebase-auth.adapter';\n\n/**\n * Token DI opcional para el adaptador de Firebase Auth.\n * Proporcionado por la aplicación consumidora cuando usa proveedores federados o Firebase Auth.\n */\nexport const FIREBASE_AUTH_ADAPTER = new InjectionToken<FirebaseAuthAdapter>(\n  'gas.admin.firebaseAuthAdapter',\n);\n\n/**\n * Driver de transporte HTTP del motor.\n *\n * Vive acá (capa de infraestructura) y NO en `ResourceSchema` (capa de dominio)\n * porque es una decisión de red, no de modelo de datos. Cambiar el driver\n * no debería requerir tocar ningún schema de recursos.\n *\n * - `'gas'` (default): tunnel `POST text/plain` con envelope\n *   `{ token, method, path, payload }` — contrato de Google Apps Script.\n * - `'rest'`: verbos HTTP reales (`GET`, `POST`, `PUT`, `DELETE`) con\n *   `Authorization: Bearer <token>` en cabeceras y params en la URL (GET/DELETE)\n *   o en el body JSON (POST/PUT/PATCH).\n *\n * Se fija en `provideGasAdmin({ driver })`. Sin declaración explícita el\n * motor usa `'gas'` — cero impacto para consumidores existentes.\n */\nexport const API_DRIVER = new InjectionToken<'gas' | 'rest'>('gas.admin.driver');\n\n/**\n * Registro de FUENTES DE CONTEXTO para marcadores en paths de endpoints.\n *\n * Cada clave es el nombre de una fuente — `{ <fuente> }` o\n * `{ <fuente>.<ruta.anidada> }` dentro de un path declarado en\n * `ResourceEndpoints` — y cada valor es un getter sin argumentos que devuelve\n * el dato ACTUAL en el momento de la petición (no al registrar).\n *\n * El motor ya aporta dos fuentes construidas y éstas NO se declaran acá:\n *\n * - `auth`  → la sesión que dueña `AuthService` (usuario y token).\n * - `config` → el mapa global que puebla `ConfigService` desde los singletons.\n *\n * Este registro es sólo para fuentes que aporta el consumidor, para que el\n * motor no conozca nombres de dominio: qué campo se lee lo decide el schema,\n * no el engine.\n *\n * Un marcador que apunte a una fuente no registrada, o a un valor ausente,\n * revienta con un error que nombra el path y el marcador — jamás se manda un\n * segmento vacío al backend.\n */\nexport type ValueSources = Readonly<Record<string, () => unknown>>;\n\nexport const VALUE_SOURCES = new InjectionToken<ValueSources>('gas.admin.valueSources');\n\n","import { HttpClient, HttpHeaders } from '@angular/common/http';\nimport { computed, inject, Service, signal } from '@angular/core';\nimport { Router } from '@angular/router';\nimport { catchError, from, map, Observable, of, switchMap, tap, throwError } from 'rxjs';\n\nimport type { FieldSchema, ResourceSchema } from '../models/schema.model';\nimport { renewedTokenOf } from '../models/api.model';\nimport { API_DRIVER, API_URL, FIREBASE_AUTH_ADAPTER } from '../tokens';\nimport { getAuth } from '../registry/schema-catalog';\n\n\n/**\n * Sesión del admin (auth.md §5.2) — **única dueña** del token y del usuario.\n *\n * Qué vive acá y por qué:\n *\n *  - **Señales** `user` / `token` / `isAuthenticated` / `role`: el único\n *    estado que el resto de la app lee (guards, menú, interceptor).\n *  - **`login()` / `logout()` / `logoutAll()` / `restore()`**: operaciones de sesión.\n *    El `AuthService` NO inyecta `ApiService` — sólo `HttpClient` — porque\n *    `ApiService` inyecta a éste para leer el token, y un ciclo de DI en\n *    Angular es un error en tiempo de arranque, no un warning.\n *  - **`applyAuthCode()` (R2.9): EL único intérprete de la tabla de §4.5.**\n *    Ningún otro archivo decide qué pasa ante `AUTH_*` o `FORBIDDEN`.\n *  - **Almacenamiento (R2.12): `sessionStorage`, siempre.** `rememberMe`\n *    no puede usar `localStorage` porque D10-3 lo negó — ver más abajo.\n *\n * La sesión arranca desde el storage y `restore()` la revalida contra\n * `/auth/me` en el initializer: un usuario desactivado mientras la pestaña\n * estaba abierta cae al primer reload, no en mitad de una edición.\n */\n\n/** Usuario tal y como lo sirve `publicUser_` (lista blanca, R2.17). */\nexport interface SessionUser {\n  id?: string;\n  email?: string;\n  name?: string;\n  role?: string;\n  active?: boolean;\n  last_login_at?: string;\n  created_at?: string;\n}\n\n/** Los cinco códigos de §4.5. El resto de errores no son de sesión. */\nexport type AuthErrorCode =\n  'AUTH_REQUIRED' | 'AUTH_INVALID' | 'AUTH_EXPIRED' | 'FORBIDDEN' | 'RATE_LIMITED';\n\n/** Ruta de login: fuera del shell para que ningún guard la proteja. */\nexport const LOGIN_PATH = '/login';\n\n/**\n * Claves del `sessionStorage`. Exportadas porque **la sesión se restaura\n * desde ahí en el constructor**: un test que quiera una sesión arrancando\n * tiene que sembrarlas antes de inyectar el servicio, y el que las use con\n * otro nombre quebraría el restore en silencio.\n */\nexport const SESSION_TOKEN_KEY = 'admin.session.token';\nexport const SESSION_USER_KEY = 'admin.session.user';\n\ninterface LoginResponse {\n  token: string;\n  user: SessionUser;\n}\ninterface MeResponse {\n  user: SessionUser;\n}\n\n@Service()\nexport class AuthService {\n  private readonly http = inject(HttpClient);\n  private readonly apiUrl = inject(API_URL);\n  private readonly router = inject(Router);\n  private readonly firebaseAdapter = inject(FIREBASE_AUTH_ADAPTER, { optional: true });\n  private readonly driver = inject(API_DRIVER, { optional: true }) ?? 'gas';\n\n  /**\n   * D10-3: **sólo `sessionStorage`.** La opción «recordarme» con\n   * `localStorage` quedó denegada en §9.3 — muere con la pestaña ⇒ cero\n   * token legible por un XSS futuro. `authSchema.rememberMe` es `false`\n   * por la misma razón: declarar `true` sería prometer un storage que\n   * este servicio no usa.\n   *\n   * Nunca en la URL ni en el cuerpo de un GET (§5.4): el token sólo viaja\n   * dentro del envelope `{ token, method, path, payload }`.\n   */\n  private readonly storage: Storage = sessionStorage;\n\n  private readonly _user = signal<SessionUser | null>(null);\n  private readonly _token = signal<string | null>(null);\n  /** Ruta previa a un `AUTH_EXPIRED`, para volver tras reloguear (§4.5). */\n  private readonly _returnUrl = signal<string | null>(null);\n\n  readonly user = this._user.asReadonly();\n  readonly token = this._token.asReadonly();\n  readonly returnUrl = this._returnUrl.asReadonly();\n  /** Sólo hay sesión con token Y usuario: uno sin el otro es estado corrupto. */\n  readonly isAuthenticated = computed(() => this._token() !== null && this._user() !== null);\n  readonly role = computed(() => this._user()?.role ?? '');\n\n  constructor() {\n    const token = this.storage.getItem(SESSION_TOKEN_KEY);\n    if (token !== null && token !== '') this._token.set(token);\n    const raw = this.storage.getItem(SESSION_USER_KEY);\n    if (raw !== null && raw !== '') {\n      try {\n        this._user.set(JSON.parse(raw) as SessionUser);\n      } catch {\n        // JSON corrupto ⇒ no hay sesión que restaurar; storage sucio.\n        this.storage.removeItem(SESSION_USER_KEY);\n        this.storage.removeItem(SESSION_TOKEN_KEY);\n        this._token.set(null);\n      }\n    }\n  }\n\n  // ── Sesión ───────────────────────────────────────────────────────────────\n\n  login(email: string, password: string): Observable<SessionUser> {\n    return this.post<LoginResponse>('/auth/login', { email, password }).pipe(\n      map((res) => {\n        this.open(res.token, res.user);\n        const renewed = renewedTokenOf(res);\n        if (renewed !== null) this.applyRenewedToken(renewed);\n        return res.user;\n      }),\n    );\n  }\n\n  /**\n   * Inicia sesión con Google mediante el adaptador de Firebase y canjea\n   * el ID token contra el backend.\n   */\n  loginWithGoogle(): Observable<SessionUser> {\n    if (!this.firebaseAdapter) {\n      return throwError(() => new Error('[gas-admin-ui] FIREBASE_AUTH_ADAPTER is not provided.'));\n    }\n    return from(this.firebaseAdapter.signInWithGoogle()).pipe(\n      switchMap((idToken) => this.exchangeFirebaseToken(idToken)),\n    );\n  }\n\n  /**\n   * Inicia sesión con correo y contraseña en Firebase y canjea el ID token\n   * resultante contra el backend.\n   */\n  loginWithFirebasePassword(email: string, password: string): Observable<SessionUser> {\n    if (!this.firebaseAdapter) {\n      return throwError(() => new Error('[gas-admin-ui] FIREBASE_AUTH_ADAPTER is not provided.'));\n    }\n    return from(this.firebaseAdapter.signInWithEmailAndPassword(email, password)).pipe(\n      switchMap((idToken) => this.exchangeFirebaseToken(idToken)),\n    );\n  }\n\n  /**\n   * Canjea un token de identidad de Firebase por la sesión propia de la app,\n   * manteniendo idéntico el contrato del envelope y almacenamiento en sessionStorage.\n   */\n  private exchangeFirebaseToken(idToken: string): Observable<SessionUser> {\n    const endpoint = getAuth()?.firebase?.exchangeEndpoint ?? '/auth/firebase';\n    return this.post<LoginResponse>(endpoint, { idToken }).pipe(\n      map((res) => {\n        this.open(res.token, res.user);\n        const renewed = renewedTokenOf(res);\n        if (renewed !== null) this.applyRenewedToken(renewed);\n        return res.user;\n      }),\n    );\n  }\n\n  /**\n   * Revocación best-effort (§9.7): se pide al back que ponga el `sid` en la\n   * lista de revocados, pero **la sesión local se ciere haya o no respuesta**.\n   * Un logout que «falla» por red y deja al usuario dentro es peor que uno\n   * que deja una sesión muerta en el servidor.\n   */\n  logout(): Observable<void> {\n    return this.post<{ loggedOut?: boolean }>('/auth/logout').pipe(\n      tap({\n        next: () => {\n          this.clear();\n          void this.firebaseAdapter?.signOut();\n        },\n        error: () => {\n          this.clear();\n          void this.firebaseAdapter?.signOut();\n        },\n      }),\n      map(() => undefined),\n    );\n  }\n\n\n  /** Revoca las sesiones del usuario en todos sus dispositivos. */\n  logoutAll(): Observable<{ effectiveWithinSeconds: number }> {\n    return this.post<{ sessionsRevoked: boolean; effectiveWithinSeconds: number }>(\n      '/auth/logout-all',\n    ).pipe(\n      tap(() => {\n        this.clear();\n        this.goLogin();\n      }),\n      map((res) => ({ effectiveWithinSeconds: res.effectiveWithinSeconds })),\n    );\n  }\n\n  /** Revalida la sesión restaurada contra `/auth/me`; sin token ⇒ sin viaje. */\n  restore(): Observable<void> {\n    if (this._token() === null) return of(undefined);\n    return this.post<MeResponse>('/auth/me').pipe(\n      tap((res) => {\n        this.open(this._token(), res.user);\n      }),\n      // El interceptor ya interpretó el `AUTH_*` (R2.9) antes de llegar\n      // acá: esto sólo evita que un fallo rompa el arranque de la app.\n      catchError(() => of(undefined)),\n      map(() => undefined),\n    );\n  }\n\n  /**\n   * Renovación deslizante (§3.2): el back manda `meta.renewedToken` cuando\n   * la vida del token bajó del umbral. Se persiste el MISMO día que el\n   * token original — el `sid` no cambia, sólo se emite una firma nueva.\n   */\n  applyRenewedToken(token: string): void {\n    if (token === '' || this._token() === null) return;\n    this._token.set(token);\n    this.storage.setItem(SESSION_TOKEN_KEY, token);\n  }\n\n  // ── R2.9 · la tabla de §4.5, en un solo sitio ───────────────────────────\n\n  /**\n   * ÚNICO intérprete de los códigos de sesión (auth.md §4.5 / §5.2).\n   * El interceptor `apiErrorInterceptor` lo llama y nada más: cualquier\n   * archivo que decida «si ve AUTH_EXPIRED hago X» está fuera de contrato.\n   *\n   * | Código          | Qué hace                                    |\n   * | --------------- | ------------------------------------------- |\n   * | `AUTH_REQUIRED` | limpia sesión y va a login                  |\n   * | `AUTH_INVALID`  | limpia sesión y va a login                  |\n   * | `AUTH_EXPIRED`  | guarda la ruta previa, limpia, va a login   |\n   * | `FORBIDDEN`     | **no** cierra sesión (el usuario sigue dentro) |\n   * | `RATE_LIMITED`  | no hace nada: lo espera el formulario       |\n   */\n  applyAuthCode(code: string | undefined): void {\n    switch (code) {\n      case 'AUTH_EXPIRED':\n        // La ruta previa se guarda ANTES de borrar: después de limpiar no\n        // queda desde dónde navegar (y `router.url` ya cambió al llegar).\n        this._returnUrl.set(this.currentUrl());\n        this.clear();\n        this.goLogin();\n        break;\n      case 'AUTH_REQUIRED':\n      case 'AUTH_INVALID':\n        // «La sesión terminó» — no hay vuelta atrás que conservar.\n        this.clear();\n        this.goLogin();\n        break;\n      case 'FORBIDDEN':\n      case 'RATE_LIMITED':\n        // Decisión explícita de NO tocar la sesión: §4.5 exige que el\n        // usuario vea «sin permiso» o «espera» **siguiendo dentro**.\n        break;\n      default:\n        // No es un código de sesión: nada que interpretar.\n        break;\n    }\n  }\n\n  // ── Helpers ──────────────────────────────────────────────────────────────\n\n  /** ¿El rol de la sesión cubre `required`? (mínimo: admin ≥ staff, §4.4) */\n  hasRole(required: string): boolean {\n    if (required === '' || required === 'session') return this.isAuthenticated();\n    const role = this.role();\n    if (role === 'admin') return true;\n    return role !== '' && role === required;\n  }\n\n  /**\n   * §5.3 — el ÚNICO criterio de visibilidad del front (menú, rutas y\n   * botones). `requires` viene del vocabulario de §4.4: `public` no pide\n   * sesión; todo lo demás sí; `roles` estrecha.\n   *\n   * Es **pura decisión de UI**. El back re-verifica `accessLevel` en cada\n   * petición (R2.6), así que filtrar acá no protege nada: sólo evita\n   * enseñarle a alguien un botón que le va a devolver 403.\n   */\n  canAccess(access?: { requires?: string; roles?: string[] }): boolean {\n    const requires = access?.requires ?? 'session';\n    if (requires === 'public') return true;\n    if (!this.isAuthenticated()) return false;\n\n    // §4.4 escribe el requerimiento como `role:admin`; §5.3 como\n    // `roles: ['admin']`. Se aceptan las dos formas en lugar de elegir una:\n    // son el mismo dato visto desde el nivel de acceso y desde el recurso.\n    const role = requires.startsWith('role:') ? requires.slice('role:'.length) : '';\n    const required = role === '' ? (access?.roles ?? []) : [role];\n    if (required.length === 0) return true;\n    return required.some((one) => this.hasRole(one));\n  }\n\n  // ── R7.5 · Consumo de políticas en UI (F10) ───────────────────────────────\n\n  /**\n   * Evalúa si el usuario puede ejecutar una operación específica según\n   * `policies.access.operations` del recurso (B8 · R7.4a).\n   *\n   * El override por operación tiene prioridad sobre el umbral del grupo.\n   * Si no hay override, se usa el umbral `policies.access.read` o\n   * `policies.access.write` según la operación.\n   *\n   * Fallback a `permissions` (legacy) si `policies` no existe: mientras\n   * los schemas locales no tengan `policies`, se mantiene compatibilidad.\n   *\n   * Es **pura decisión de UI**. El back vuelve a verificar en cada petición\n   * (24-crud), así que esto sólo evita mostrar botones que darían 403.\n   */\n  canDoOperation(\n    schema: ResourceSchema,\n    operation: 'list' | 'get' | 'create' | 'update' | 'remove',\n  ): boolean {\n    // R7.5: intentar policies primero\n    const ops = schema.policies?.access?.operations;\n    if (ops && ops[operation]) {\n      return this.meetsLevel(ops[operation]);\n    }\n\n    // Sin override en policies: usar el umbral del grupo\n    if (schema.policies?.access) {\n      const isWrite = operation === 'create' || operation === 'update' || operation === 'remove';\n      const groupLevel = isWrite ? schema.policies.access.write : schema.policies.access.read;\n      return this.meetsLevel(groupLevel ?? 'admin');\n    }\n\n    // Fallback a permissions (legacy, R7.5 transición)\n    const perms = schema.permissions;\n    if (perms) {\n      const permMap: Record<string, boolean | undefined> = {\n        list: true, // list no tiene en permissions, siempre true si no hay policies\n        get: true,\n        create: perms.create,\n        update: perms.update,\n        remove: perms.remove,\n      };\n      return permMap[operation] !== false;\n    }\n\n    // Sin policies ni permissions: UX optimista (§5.3 legacy) — el back es\n    // la autoridad y responde 403 si el rol no alcanza.\n    return true;\n  }\n\n  /**\n   * Evalúa si el usuario puede leer un campo según `field.access.read`\n   * (B8 · R7.4b).\n   *\n   * Es **pura decisión de UI**. El back vuelve a filtrar la respuesta en\n   * cada petición (24-crud), así que esto sólo evita mostrar datos que el\n   * usuario no debería ver.\n   */\n  canReadField(field: FieldSchema): boolean {\n    if (!field.access || !field.access.read) return true; // sin restricción ⇒ visible\n    return this.meetsLevel(field.access.read);\n  }\n\n  /**\n   * Evalúa si el usuario puede escribir un campo según `field.access.write`\n   * (B8 · R7.4b).\n   *\n   * Es **pura decisión de UI**. El back rechaza la escritura con 422 si el\n   * usuario no tiene permiso, así que esto sólo pone el campo en\n   * solo-lectura en el frontend.\n   */\n  canWriteField(field: FieldSchema): boolean {\n    if (!field.access || !field.access.write) return true; // sin restricción ⇒ editable\n    return this.meetsLevel(field.access.write);\n  }\n\n  /**\n   * Verifica si el rol actual cumple un nivel de acceso dado.\n   * Usa la misma jerarquía que `ACCESS_ROLE_RANK` del back (11-auth):\n   * admin ≥ staff.\n   */\n  private meetsLevel(level: string): boolean {\n    if (level === 'public') return true;\n    if (level === 'session') return this.isAuthenticated();\n    if (level.startsWith('role:')) {\n      const requiredRole = level.slice('role:'.length);\n      return this.hasRole(requiredRole);\n    }\n    // fallback conservador: nivel desconocido ⇒ sólo admin\n    return this.hasRole('admin');\n  }\n\n  private open(token: string | null, user: SessionUser | null): void {\n    if (token !== null && token !== '') this._token.set(token);\n    this._user.set(user);\n    if (token !== null && token !== '') this.storage.setItem(SESSION_TOKEN_KEY, token);\n    if (user !== null) this.storage.setItem(SESSION_USER_KEY, JSON.stringify(user));\n  }\n\n  /**\n   * Borra token **y** usuario (§5.4) — en ese orden de importancia: un token\n   * sin usuario no autentica, pero un usuario sin token engaña al menú.\n   */\n  /**\n   * Ruta previa guardada por un `AUTH_EXPIRED` (§4.5), **consumida**: se\n   * devuelve una sola vez y se borra. Sin el consume, cada login futuro\n   * volvería a la misma URL vieja aunque el usuario hubiera llegado al\n   * login desde el menú.\n   */\n  consumeReturnUrl(): string | null {\n    const url = this._returnUrl();\n    this._returnUrl.set(null);\n    return url;\n  }\n\n  private clear(): void {\n    this._token.set(null);\n    this._user.set(null);\n    this.storage.removeItem(SESSION_TOKEN_KEY);\n    this.storage.removeItem(SESSION_USER_KEY);\n  }\n\n  private goLogin(): void {\n    if (this.currentUrl().startsWith(LOGIN_PATH)) return;\n    // Angular rechaza la promesa cuando no hay ruta que empate (NG04002).\n    // Navegar es un efecto, no una operación cuyo resultado alguien espere:\n    // el catch evita una rejection sin handler en arranques y en tests.\n    void this.router.navigate([LOGIN_PATH]).catch(() => undefined);\n  }\n\n  private currentUrl(): string {\n    return this.router.url;\n  }\n\n  private buildUrl(path: string): string {\n    const base = this.apiUrl ? this.apiUrl.replace(/\\/+$/, '') : '';\n    const cleanPath = path.startsWith('/') ? path : `/${path}`;\n    return `${base}${cleanPath}`;\n  }\n\n  private envelope(path: string, payload: Record<string, unknown> = {}) {\n    return { token: this._token(), method: 'POST' as const, path, payload };\n  }\n\n  /**\n   * Despacho dual-driver para peticiones de autenticación:\n   *\n   * - **`gas` (default)**: `POST` a `API_URL` con cuerpo `text/plain` y envelope\n   *   `{ token, method: 'POST', path, payload }`.\n   * - **`rest`**: llamadas REST reales:\n   *   - `/auth/me`: `GET` a `${apiUrl}/auth/me` con `Authorization: Bearer ${token}`.\n   *   - resto (`/auth/login`, `/auth/firebase`, `/auth/logout`, etc.): `POST` con\n   *     `Content-Type: application/json` y payload directo como body JSON. Si existe\n   *     token activo, se adjunta en cabecera `Authorization`.\n   */\n  private buildAuthRequest<T>(\n    path: string,\n    payload: Record<string, unknown> = {},\n  ): Observable<T> {\n    if (this.driver === 'rest') {\n      const url = this.buildUrl(path);\n      let headers = new HttpHeaders();\n      const token = this._token();\n      if (token) {\n        headers = headers.set('Authorization', `Bearer ${token}`);\n      }\n\n      if (path === '/auth/me') {\n        return this.http.get<T>(url, { headers });\n      }\n\n      headers = headers.set('Content-Type', 'application/json');\n      return this.http.post<T>(url, payload, { headers });\n    }\n\n    return this.http.post<T>(this.apiUrl, this.envelope(path, payload), {\n      headers: { 'Content-Type': 'text/plain' },\n    });\n  }\n\n  private post<T>(path: string, payload: Record<string, unknown> = {}): Observable<T> {\n    return this.buildAuthRequest<T>(path, payload);\n  }\n}\n","import { HttpErrorResponse, HttpInterceptorFn, HttpResponse } from '@angular/common/http';\nimport { inject } from '@angular/core';\nimport { catchError, map, throwError } from 'rxjs';\n\nimport { ApiError } from '../models/api.model';\nimport type { ApiErrorBody } from '../models/api.model';\nimport { AuthService } from '../services/auth.service';\n\n/**\n * Mensaje humano para un error HTTP real (§2).\n *\n * El backend siempre responde 200 con el error dentro del body —eso ya\n * viene en español—, así que esto sólo cubre lo que el transporte falla:\n * red caída, proxy y 5xx. Sin esto el usuario ve el texto crudo de Angular\n * («Http failure response for http://…»), que es inglés técnico.\n */\nfunction httpMessage(status: number): string {\n  switch (status) {\n    case 0:\n      return 'No se pudo conectar con el servidor. Revisa tu conexión.';\n    case 401:\n      return 'Tu sesión ha expirado. Vuelve a iniciar sesión.';\n    case 403:\n      return 'No tienes permisos para realizar esta acción.';\n    case 404:\n      return 'No se encontró el recurso solicitado.';\n    case 409:\n      return 'El registro cambió o ya existe. Recarga la página y vuelve a intentarlo.';\n    case 413:\n      return 'El archivo es demasiado grande.';\n    case 422:\n      return 'Los datos enviados no son válidos.';\n    default:\n      if (status >= 500) {\n        return 'El servidor tuvo un problema. Vuelve a intentarlo en unos segundos.';\n      }\n      return status >= 400 ? 'No se pudo completar la operación.' : 'Error inesperado.';\n  }\n}\n\nfunction isErrorBody(body: unknown): body is ApiErrorBody {\n  if (typeof body !== 'object' || body === null) {\n    return false;\n  }\n  const error = (body as ApiErrorBody).error;\n  return typeof error === 'object' && error !== null && typeof error.message === 'string';\n}\n\n/**\n * El backend responde SIEMPRE HTTP 200 y pone los errores en el body\n * (api.md §7), así que se detectan en el canal de **éxito** y se relanzan\n * como `ApiError` (con `fieldPath` cuando el backend envía `path`).\n * Los errores HTTP reales (red caída, proxy) también se normalizan.\n *\n * **R2.9 — paso dos de dos.** Éste archivo es el ÚNICO punto donde el\n * sobre de error se abre; lo que decide qué ocurre con un `AUTH_*` es\n * `AuthService.applyAuthCode` (la tabla de §4.5). Aquí sólo se le entrega\n * el código y se propaga el `ApiError` con él — un segundo sitio que\n * «interprete» el código sería una regla duplicada y, a la larga, una que\n * se contradiga con la primera.\n */\nexport const apiErrorInterceptor: HttpInterceptorFn = (req, next) => {\n  const auth = inject(AuthService);\n\n  return next(req).pipe(\n    map((event) => {\n      if (event instanceof HttpResponse && isErrorBody(event.body)) {\n        const { status, message, path, code, errors } = event.body.error;\n        // R2.9: ésta es la ÚNICA llamada a la tabla de §4.5.\n        auth.applyAuthCode(code);\n        // `errors[]` es el422 con rutas (D42): va entero al ApiError para que\n        // `ErrorMapperService` lo convierta en `serverErrors[prefix + key]`.\n        throw new ApiError(status, message, path, code, errors ?? []);\n      }\n      return event;\n    }),\n    catchError((err: unknown) => {\n      if (err instanceof ApiError) {\n        return throwError(() => err);\n      }\n      if (err instanceof HttpErrorResponse) {\n        return throwError(() => new ApiError(err.status, httpMessage(err.status)));\n      }\n      return throwError(() => err);\n    }),\n  );\n};\n","/**\n * Resolución de marcadores de contexto en paths de endpoints.\n *\n * Plan `doc/context-sources-plan.md` · Fase 2. Lógica PURA: ni HTTP ni DI —\n * recibe un path y un mapa de getters de fuentes y devuelve el path ya\n * resuelto, o revienta.\n *\n * Reglas del contrato (R1–R4 del plan):\n *\n * - `{<fuente>}` / `{<fuente>.<ruta.anidada>}` → valor de la fuente en el\n *   momento de la llamada (los getters se evalúan SOLO si hay marcadores).\n * - Cada valor se codifica como segmento de URL (`encodeURIComponent`).\n * - **Fail loud**: fuente no registrada, valor ausente/vacío, valor no\n *   escalar o `{key}` sin resolver ⇒ error que nombra el path y el marcador.\n *   Jamás se devuelve un segmento vacío ni el texto literal del marcador.\n * - Sin marcadores ⇒ el path vuelve intacto y ninguna fuente se evalúa.\n *\n * OJO con `interpolateTemplate` (R3): su semántica «ausente ⇒ cadena vacía»\n * es correcta para acciones y fuentes de datos, pero acá sería un 404 mudo.\n * Por eso la lectura y la validación viven en este fichero y ese helper no\n * se toca.\n */\n\n/** `{nombre}` o `{nombre.ruta.anidada}` — misma forma que usa el interpolador. */\nconst MARKER = /\\{([a-zA-Z0-9_.]+)\\}/g;\n\n/**\n * Resuelve los marcadores de `path` contra `sources`.\n *\n * @param path Path declarado en `ResourceEndpoints`, tal cual vino del schema.\n * @param sources Getters por nombre de fuente (`auth`, `config`, `valueSources`…).\n * @returns El path con cada marcador sustituido y codificado.\n * @throws Error nombrando path y marcador ante cualquier valor irresoluble.\n */\nexport function resolveEndpointPath(\n  path: string,\n  sources: Readonly<Record<string, () => unknown>>,\n): string {\n  if (!path.includes('{')) return path;\n  return path.replace(MARKER, (marker, nombre: string) =>\n    sustituir(path, marker, nombre, sources),\n  );\n}\n\n/** Sustituye UN marcador. `path` completo sólo viaja para el mensaje de error. */\nfunction sustituir(\n  path: string,\n  marker: string,\n  nombre: string,\n  sources: Readonly<Record<string, () => unknown>>,\n): string {\n  if (nombre === 'key') {\n    throw new Error(\n      `[gas-admin-ui] path '${path}': ${marker} llegó sin resolver — ` +\n        `la clave sólo la sustituyen get/update/remove antes de resolver el contexto.`,\n    );\n  }\n\n  const punto = nombre.indexOf('.');\n  const fuente = punto === -1 ? nombre : nombre.slice(0, punto);\n  const getter = sources[fuente];\n  if (typeof getter !== 'function') {\n    throw new Error(\n      `[gas-admin-ui] path '${path}': no se pudo resolver ${marker} — ` +\n        `la fuente '${fuente}' no está registrada.`,\n    );\n  }\n\n  // El getter se evalúa acá y sólo acá: si revienta, su error se propaga.\n  const valor = punto === -1 ? getter() : leerRuta(getter(), nombre.slice(punto + 1));\n\n  if (valor === undefined || valor === null) {\n    throw new Error(\n      `[gas-admin-ui] path '${path}': no se pudo resolver ${marker} — sin valor para '${nombre}'.`,\n    );\n  }\n  if (typeof valor === 'object') {\n    throw new Error(\n      `[gas-admin-ui] path '${path}': no se pudo resolver ${marker} — ` +\n        `el valor de '${fuente}' no es un segmento de URL (no es escalar).`,\n    );\n  }\n\n  const texto = String(valor);\n  if (texto === '') {\n    throw new Error(\n      `[gas-admin-ui] path '${path}': no se pudo resolver ${marker} — valor vacío en '${fuente}'.`,\n    );\n  }\n  return encodeURIComponent(texto);\n}\n\n/** Lectura profunda `a.b.c` sobre el valor de la fuente; inexistente ⇒ `undefined`. */\nfunction leerRuta(valor: unknown, ruta: string): unknown {\n  let actual: unknown = valor;\n  for (const paso of ruta.split('.')) {\n    if (actual === null || typeof actual !== 'object') return undefined;\n    actual = (actual as Record<string, unknown>)[paso];\n  }\n  return actual;\n}\n","import { HttpClient, HttpHeaders, HttpParams } from '@angular/common/http';\nimport { inject, Injector, Service } from '@angular/core';\nimport { map, Observable, tap, throwError } from 'rxjs';\n\nimport { renewedTokenOf } from '../models/api.model';\nimport type { ResourceEndpoints } from '../models/schema.model';\nimport { API_DRIVER, API_URL, VALUE_SOURCES } from '../tokens';\nimport type { ValueSources } from '../tokens';\nimport { resolveEndpointPath } from '../utils/context-resolver';\nimport { ConfigService } from './config.service';\nimport { AuthService } from './auth.service';\n\n/** Métodos que entiende el envelope del backend (baseapi §2.3). */\nexport type EnvelopeMethod = 'GET' | 'POST' | 'PUT' | 'PATCH' | 'DELETE';\n\n/**\n * CRUD genérico sobre el contrato v2 (baseapi §2.3) con soporte dual-driver:\n *\n * - **`gas` (default)**: TODA llamada a la API es un `POST` a `API_URL` con cuerpo\n *   `text/plain` y el JSON `{ token, method, path, payload }`.\n * - **`rest`**: Verbos HTTP reales (`GET`, `POST`, `PUT`, `PATCH`, `DELETE`) hacia\n *   `${API_URL}${path}` con `Authorization: Bearer ${token}`. `payload` va como query\n *   params en GET/DELETE (aplanando objetos anidados como `params`) o como body JSON\n *   en POST/PUT/PATCH.\n */\n@Service()\nexport class ApiService {\n  private readonly http = inject(HttpClient);\n  private readonly apiUrl = inject(API_URL);\n  private readonly auth = inject(AuthService);\n  private readonly driver = inject(API_DRIVER, { optional: true }) ?? 'gas';\n  /** Fuentes que aporta el consumidor (`provideGasAdmin({ valueSources })`). */\n  private readonly valueSources: ValueSources = inject(VALUE_SOURCES, { optional: true }) ?? {};\n  /**\n   * Acceso PEREZOSO a `ConfigService` (R2 · plan doc/context-sources-plan.md).\n   *\n   * `config` es fuente construida del motor, pero inyectarla en el constructor\n   * formaría un ciclo: `ConfigService` inyecta `ApiService` (opcional) para\n   * cargar los singletons ⇒ NG0200 en el arranque. Se pide en el momento de la\n   * petición, cuando ambos servicios ya están vivos. Si no existe (TestBed\n   * parcial), devuelve `null` y el resolver falla ruidoso con «sin valor».\n   */\n  private readonly injector = inject(Injector);\n\n  /**\n   * Listado. El backend envuelve la respuesta cuando la operación declara\n   * `shape.envelope: 'list'` (F5) ⇒ `{ items, nextCursor, total }` (R6.4);\n   * la UI consume `T[]` en todos lados (F7-3) y este es el ÚNICO punto que\n   * habla de listas, así que el desenvolvimiento vive acá. `nextCursor` es\n   * el token de la página siguiente y `null` en la última — éste servicio\n   * lo descarta hoy porque la lista no pagina todavía (backlog-ui-ux).\n   * Un listado sin envelope (arreglo plano, el contrato histórico) pasa\n   * tal cual.\n   *\n   * `payload` sólo lo usa una fuente declarada (F8 · R6.5): `{ view, params }`\n   * pide el listado filtrado por una vista y sus parámetros. Sin él, la\n   * llamada es la de siempre — la lectura llana del recurso.\n   */\n  list<T>(endpoint: ResourceEndpoints, payload?: Record<string, unknown>): Observable<T[]> {\n    return this.send<unknown>(endpoint.list, 'GET', payload).pipe(map((raw) => unwrapList<T>(raw)));\n  }\n\n  /** `key` solo aplica a colecciones (`{key}` en la plantilla); los singleton no la llevan. */\n  get<T>(endpoint: ResourceEndpoints, key?: string): Observable<T> {\n    return this.send<T>(this.withKey(endpoint.get, key), 'GET');\n  }\n\n  create<T>(endpoint: ResourceEndpoints, payload: Record<string, unknown>): Observable<T> {\n    return this.send<T>(endpoint.create, 'POST', payload);\n  }\n\n  update<T>(\n    endpoint: ResourceEndpoints,\n    key: string | undefined,\n    payload: Record<string, unknown>,\n  ): Observable<T> {\n    return this.send<T>(this.withKey(endpoint.update, key), 'PUT', payload);\n  }\n\n  remove(endpoint: ResourceEndpoints, key?: string): Observable<void> {\n    return this.send<void>(this.withKey(endpoint.remove, key), 'DELETE');\n  }\n\n  /**\n   * Operación genérica sobre una ruta ya resuelta: reorder de colección\n   * (`PUT /admin/x` con `{ reorder: … }`), `/admin/schema`,\n   * `/admin/upload-signature`, etc.\n   */\n  request<T>(\n    method: EnvelopeMethod,\n    path: string | undefined,\n    payload?: Record<string, unknown>,\n  ): Observable<T> {\n    return this.send<T>(path, method, payload);\n  }\n\n  private send<T>(\n    path: string | undefined,\n    method: EnvelopeMethod,\n    payload?: Record<string, unknown>,\n  ): Observable<T> {\n    if (!path) {\n      return throwError(() => new Error('Operación no disponible para este recurso'));\n    }\n\n    // Resolución de marcadores de contexto ANTES del despacho (plan Fase 3):\n    // un solo punto para todas las operaciones y para ambos drivers. Sin\n    // marcadores el path vuelve intacto y ninguna fuente se evalúa.\n    let resolvedPath: string;\n    try {\n      resolvedPath = resolveEndpointPath(path, this.buildSources());\n    } catch (error) {\n      // Fail loud por el CANAL de errores (no como throw síncrono): el\n      // consumidor lo trata como cualquier otro fallo de petición y JAMÁS\n      // sale un request con un segmento vacío o el marcador literal.\n      return throwError(() => error);\n    }\n\n    const request$ =\n      this.driver === 'rest'\n        ? this.sendRest<T>(resolvedPath, method, payload)\n        : this.sendGas<T>(resolvedPath, method, payload);\n\n    return request$.pipe(\n      // Renovación deslizante (§3.2): si el back adjuntó `meta.renewedToken`\n      // se adopta YA, con lo que la siguiente petición ya va firmada nueva.\n      tap((res) => {\n        const renewed = renewedTokenOf(res);\n        if (renewed !== null) this.auth.applyRenewedToken(renewed);\n      }),\n    );\n  }\n\n  /**\n   * Fuentes de contexto de ESTA petición: getters, no valores — se evalúan\n   * sólo si el path trae marcadores.\n   *\n   * Las construidas del motor (`auth`, `config`) van ÚLTIMAS: el motor es\n   * dueño de sus fuentes y el registro del consumidor no las pisa.\n   */\n  private buildSources(): Readonly<Record<string, () => unknown>> {\n    return {\n      ...this.valueSources,\n      auth: () => ({ user: this.auth.user(), token: this.auth.token() }),\n      config: () => this.injector.get(ConfigService, null)?.globalConfig() ?? null,\n    };\n  }\n\n  private sendGas<T>(\n    path: string,\n    method: EnvelopeMethod,\n    payload?: Record<string, unknown>,\n  ): Observable<T> {\n    // Token de la SESIÓN, leído en cada petición (R2.8): no hay credencial\n    // fija que inyectar en el arranque.\n    const body = { token: this.auth.token(), method, path, payload: payload ?? {} };\n    return this.http.post<T>(this.apiUrl, body, { headers: { 'Content-Type': 'text/plain' } });\n  }\n\n  private sendRest<T>(\n    path: string,\n    method: EnvelopeMethod,\n    payload?: Record<string, unknown>,\n  ): Observable<T> {\n    const url = this.buildUrl(path);\n    let headers = new HttpHeaders();\n    const token = this.auth.token();\n    if (token) {\n      headers = headers.set('Authorization', `Bearer ${token}`);\n    }\n\n    if (method === 'GET' || method === 'DELETE') {\n      const params = toHttpParams(payload);\n      return this.http.request<T>(method, url, { headers, params });\n    }\n\n    headers = headers.set('Content-Type', 'application/json');\n    return this.http.request<T>(method, url, { headers, body: payload ?? {} });\n  }\n\n  private buildUrl(path: string): string {\n    const base = this.apiUrl ? this.apiUrl.replace(/\\/+$/, '') : '';\n    const cleanPath = path.startsWith('/') ? path : `/${path}`;\n    return `${base}${cleanPath}`;\n  }\n\n  private withKey(path: string | undefined, key?: string): string | undefined {\n    if (!path) {\n      return undefined;\n    }\n    return path.includes('{key}') ? path.replace('{key}', encodeURIComponent(key ?? '')) : path;\n  }\n}\n\n/**\n * Convierte un payload en HttpParams para peticiones GET y DELETE en modo REST.\n * Si un valor es un objeto plano (ej: `{ view: 'calendar', params: { orden: 'es' } }`),\n * lo aplana un nivel para que sus claves viajen como query params reales\n * en lugar de serializarse como `params=[object Object]`.\n */\nfunction toHttpParams(payload?: Record<string, unknown>): HttpParams {\n  let params = new HttpParams();\n  if (!payload) {\n    return params;\n  }\n\n  for (const [key, value] of Object.entries(payload)) {\n    if (value === undefined || value === null) {\n      continue;\n    }\n    if (typeof value === 'object' && !Array.isArray(value)) {\n      for (const [nestedKey, nestedValue] of Object.entries(value as Record<string, unknown>)) {\n        if (nestedValue !== undefined && nestedValue !== null) {\n          params = params.set(nestedKey, String(nestedValue));\n        }\n      }\n    } else if (Array.isArray(value)) {\n      for (const item of value) {\n        if (item !== undefined && item !== null) {\n          params = params.append(key, String(item));\n        }\n      }\n    } else {\n      params = params.set(key, String(value));\n    }\n  }\n  return params;\n}\n\n/** `{ items, nextCursor, total }` (F5/R6.4) → `T[]`; arreglo plano → tal cual; otro ⇒ []. */\nfunction unwrapList<T>(raw: unknown): T[] {\n  if (Array.isArray(raw)) {\n    return raw as T[];\n  }\n  if (raw !== null && typeof raw === 'object') {\n    const items = (raw as { items?: unknown }).items;\n    if (Array.isArray(items)) {\n      return items as T[];\n    }\n  }\n  return [];\n}\n","import { inject, Service, signal } from '@angular/core';\nimport { catchError, firstValueFrom, forkJoin, of } from 'rxjs';\n\nimport { ApiService } from './api.service';\nimport type { ResourceEndpoints } from '../models/schema.model';\n\n/**\n * Servicio global de configuración: reúne los singletons declarativos y los\n * deja disponibles para interpolación de plantillas (enlaces públicos,\n * mensajes para compartir).\n *\n * Es genérico a propósito: NO conoce ningún singleton concreto. Los\n * endpoints los inyecta `app.config.ts` con `provideAppInitializer`,\n * derivándolos del registry — agregar un singleton de configuración nuevo\n * = declarar su schema, sin tocar este fichero (refactormotor.md §1 — el\n * schema es el único plano de control).\n *\n * No hay efectos en el constructor: la carga es explícita (`load`), así un\n * TestBed que sólo provee un ApiService parcial no recibe una llamada\n * síncrona a `get` durante la construcción.\n */\n@Service()\nexport class ConfigService {\n  private readonly api = inject(ApiService, { optional: true });\n\n  /** Mapa reactivo de configuración global (p. ej. `public_base_url`). */\n  readonly globalConfig = signal<Record<string, unknown>>({\n    // Fallback genérico: el origen actual. Lo que declare el singleton\n    // (p. ej. `share_message_template`) lo pone el backend, no el front.\n    public_base_url: typeof window !== 'undefined' ? window.location.origin : '',\n  });\n\n  /** Endpoints conocidos; los guarda `load` para que `ensureLoaded` pueda reintentar. */\n  private endpoints: readonly ResourceEndpoints[] = [];\n\n  /**\n   * `true` cuando la última carga terminó SIN fallos. Si algún singleton\n   * falló (o ninguno respondió), queda `false` y el próximo punto crítico\n   * vuelve a intentar: no hay estado «cargado a medias para siempre».\n   */\n  private loaded = false;\n\n  /** Carga en curso: `ensureLoaded` la reutiliza en vez de duplicar viajes. */\n  private inFlight: Promise<void> | null = null;\n\n  /**\n   * Carga todos los endpoints de configuración recibidos. Silenciosa: un\n   * singleton que falle o que devuelva vacío no rompe nada, simplemente no\n   * aporta claves (y deja `loaded = false` para poder reintentar).\n   */\n  load(endpoints: readonly ResourceEndpoints[]): void {\n    this.endpoints = endpoints;\n    void this.ensure();\n  }\n\n  /**\n   * Garantiza la config global antes de un punto que la necesita.\n   *\n   * El load del bootstrap NO es bloqueante y sólo intenta una vez: si la app\n   * arrancó sin sesión (el 401 de los singletons se traga en el `catchError`)\n   * o la red tardó, la sesión seguía con la config vacía y, por ejemplo, el\n   * mensaje de `copy-share` degradaba a «sólo la URL» (R8.7). Acá el reintento\n   * corre con la sesión ya iniciada y responde bien; si ya se cargó, es un\n   * no-op síncrono.\n   */\n  ensureLoaded(): Promise<void> {\n    return this.ensure();\n  }\n\n  private ensure(): Promise<void> {\n    if (this.loaded) return Promise.resolve();\n    if (this.inFlight) return this.inFlight;\n    if (!this.api || typeof this.api.get !== 'function' || this.endpoints.length === 0) {\n      return Promise.resolve();\n    }\n\n    this.inFlight = firstValueFrom(\n      forkJoin(\n        this.endpoints.map((endpoint) =>\n          this.api!.get<Record<string, unknown>>(endpoint).pipe(\n            // `null` marca el fallo: con `of({})` un singleton caído era\n            // indistinguible de uno realmente vacío y la carga quedaría\n            // «hecha» sin datos.\n            catchError(() => of(null)),\n          ),\n        ),\n      ),\n    ).then((blocks) => {\n      this.inFlight = null;\n      blocks.forEach((data) => {\n        if (data && typeof data === 'object' && Object.keys(data).length > 0) {\n          this.globalConfig.update((current) => ({ ...current, ...data }));\n        }\n      });\n      this.loaded = blocks.every((data) => data !== null);\n    });\n\n    return this.inFlight;\n  }\n\n  /**\n   * Contexto de datos para interpolar plantillas del schema\n   * (`urlTemplate`, `shareTextTemplate`, `postCreate.description`, …).\n   *\n   * Sólo aporta datos y la base pública — la FORMA de la URL pública\n   * (`/p/{ref}`) la declara el propio schema en su `urlTemplate`; este\n   * servicio no decide cómo se arma el enlace.\n   */\n  buildInterpolationContext(record: Record<string, unknown>): Record<string, unknown> {\n    const config = this.globalConfig();\n    const baseUrl = String(config['public_base_url'] || window.location.origin).replace(/\\/+$/, '');\n\n    return {\n      ...config,\n      ...record,\n      public_base_url: baseUrl,\n    };\n  }\n}\n","import {\n  EnvironmentProviders,\n  InjectionToken,\n  Provider,\n  inject,\n  provideAppInitializer,\n} from '@angular/core';\nimport { provideHttpClient, withInterceptors } from '@angular/common/http';\n\nimport { apiErrorInterceptor } from '../interceptors/api-error.interceptor';\nimport { AuthService } from '../services/auth.service';\nimport { ConfigService } from '../services/config.service';\nimport type { AuthSchema, ResourceSchema } from '../models/schema.model';\nimport type { FirebaseAuthAdapter } from '../adapters/firebase-auth.adapter';\nimport { API_DRIVER, FIREBASE_AUTH_ADAPTER, VALUE_SOURCES } from '../tokens';\nimport type { ValueSources } from '../tokens';\n\n\n/**\n * Catálogo de schemas del consumidor (F1 · G-F2).\n *\n * Antes de la extracción el motor importaba `getSchema` del\n * `schemas/registry.ts` de la app. Ese acoplamiento se rompe con un\n * catálogo a nivel módulo: el consumidor llama\n * `provideGasAdmin({ schemas, auth })` en su `app.config.ts` y el motor\n * resuelve en runtime con la MISMA semántica que antes (un solo catálogo\n * por aplicación, seteado una vez en el bootstrap).\n *\n * `provideGasAdmin` se ejecuta al evaluarse el `app.config` (módulo), y\n * todo uso del catálogo (guards, componentes, rutas dinámicas) ocurre en\n * runtime posterior al bootstrap — el orden es determinístico.\n */\n\nlet catalog: readonly ResourceSchema[] = [];\nlet authCatalog: AuthSchema | undefined;\n\n/** Fija el catálogo (uso interno de `provideGasAdmin`; testable directo). */\nexport function setSchemaCatalog(\n  schemas: readonly ResourceSchema[],\n  auth?: AuthSchema,\n): void {\n  catalog = schemas;\n  authCatalog = auth;\n}\n\n/** Busca un schema por `id`; `undefined` si no existe. */\nexport function getSchema(id: string): ResourceSchema | undefined {\n  return catalog.find((schema) => schema.id === id);\n}\n\n/** Catálogo completo en orden (menú lateral). */\nexport function allSchemas(): readonly ResourceSchema[] {\n  return catalog;\n}\n\n/** Declaración de la pantalla de login; `undefined` sin `auth` en config. */\nexport function getAuth(): AuthSchema | undefined {\n  return authCatalog;\n}\n\n/** Token DI del catálogo (para inyectarlo donde un `inject()` es posible). */\nexport const GAS_SCHEMAS = new InjectionToken<readonly ResourceSchema[]>(\n  'gas.admin.schemas',\n);\n\n/** Configuración del motor. */\nexport interface GasAdminConfig {\n  /** Catálogo ordenado de recursos (menú + rutas + resolución `getSchema`). */\n  schemas: readonly ResourceSchema[];\n  /** Declaración de la pantalla de login (opcional: sin ella, sin `/login`). */\n  auth?: AuthSchema;\n  /**\n   * Driver de transporte HTTP.\n   *\n   * - `'gas'` (default): tunnel `POST text/plain` con envelope Apps Script.\n   * - `'rest'`: verbos HTTP reales con `Authorization: Bearer` en cabeceras.\n   *\n   * Sin declaración el motor usa `'gas'` — cero impacto en consumidores existentes.\n   */\n  driver?: 'gas' | 'rest';\n  /**\n   * Fuentes de contexto que el consumidor aporta para marcadores en paths de\n   * endpoints: `{ <fuente> }` / `{ <fuente>.<ruta> }` se resuelven en el\n   * momento de la petición contra este registro más las fuentes construidas\n   * `auth` (sesión) y `config` (config global).\n   *\n   * Opcional: sin él, sólo existen `auth` y `config`. Declararlo no cambia\n   * ningún path que no lleve marcadores — cero impacto en schemas existentes.\n   */\n  valueSources?: ValueSources;\n}\n\n/**\n * Wiring completo del motor: catálogo + HTTP con el interceptor de\n * errores del envelope + loaders de config y sesión en el bootstrap\n * (antes en el `app.config` del consumidor).\n *\n * El consumidor conserva `provideRouter` y `{ provide: API_URL, ... }`\n * (su environment decide la URL del Web App).\n */\nexport function provideGasAdmin(\n  config: GasAdminConfig,\n): (Provider | EnvironmentProviders)[] {\n  setSchemaCatalog(config.schemas, config.auth);\n  // Singletons de configuración: los declara el catálogo, no el servicio.\n  // Un singleton nuevo con `endpoint.get` se carga solo.\n  const configEndpoints = () =>\n    config.schemas.flatMap((schema) =>\n      schema.kind === 'singleton' && schema.endpoint?.get\n        ? [{ get: schema.endpoint.get }]\n        : [],\n    );\n  return [\n    { provide: GAS_SCHEMAS, useValue: config.schemas },\n    // Driver de transporte: 'gas' por defecto para cero breaking changes.\n    { provide: API_DRIVER, useValue: config.driver ?? 'gas' },\n    // Fuentes de contexto del consumidor: vacío por defecto ⇒ sólo `auth` y\n    // `config`, que el motor arma por su cuenta en cada petición.\n    { provide: VALUE_SOURCES, useValue: config.valueSources ?? {} },\n    // Sin `authInterceptor` en modo GAS: el token viaja en el cuerpo del envelope\n    // (baseapi §2.3, criterio 11: ninguna cabecera custom).\n    // En modo REST el token viaja como cabecera `Authorization` dentro de ApiService.\n    provideHttpClient(withInterceptors([apiErrorInterceptor])),\n    // Carga de config en bootstrap (fuera del constructor del servicio):\n    // un singleton que falle no rompe el arranque.\n    provideAppInitializer(() => inject(ConfigService).load(configEndpoints())),\n    // Sesión (R2.12): revalida contra `/auth/me` el token que restauró el\n    // AuthService de `sessionStorage`. Corre ANTES del primer guard.\n    provideAppInitializer(() => inject(AuthService).restore()),\n  ];\n}\n\n/**\n * Registra una implementación concreta de FirebaseAuthAdapter en el árbol de DI.\n * Usar junto con provideGasAdmin() en app.config.ts al configurar proveedores federados\n * (como 'google') o autenticación por Firebase.\n *\n * @example\n * // app.config.ts\n * provideGasAdmin({ schemas, auth }),\n * provideFirebaseAdapter(new MyFirebaseAuthAdapter(getAuth(firebaseApp))),\n */\nexport function provideFirebaseAdapter(adapter: FirebaseAuthAdapter): Provider {\n  return { provide: FIREBASE_AUTH_ADAPTER, useValue: adapter };\n}\n\n"],"mappings":";;;;;AA4CA,IAAa,WAAb,cAA8B,MAAK;CACxB;CAEA;CAEA;CAEA;CAET,YACE,QACA,SACA,WACA,MACA,SAA8B,CAAA,GAAE;EAEhC,MAAM,OAAO;EACb,KAAK,OAAO;EACZ,KAAK,SAAS;EACd,KAAK,YAAY;EACjB,KAAK,OAAO;EACZ,KAAK,SAAS;CAChB;AACD;AAYD,SAAgB,eAAe,MAAa;CAC1C,IAAI,SAAS,QAAQ,OAAO,SAAS,UAAU,OAAO;CACtD,MAAM,OAAQ,KAA4B;CAC1C,IAAI,SAAS,QAAQ,OAAO,SAAS,UAAU,OAAO;CACtD,MAAM,QAAS,KAAoC;CACnD,OAAO,OAAO,UAAU,YAAY,UAAU,KAAK,QAAQ;AAC7D;AC7EA,MAAa,UAAU,IAAI,eAAuB,SAAS;AAQ3D,MAAa,wBAAwB,IAAI,eACvC,+BAA+B;AAmBjC,MAAa,aAAa,IAAI,eAA+B,kBAAkB;AAyB/E,MAAa,gBAAgB,IAAI,eAA6B,wBAAwB;ACbtF,MAAa,aAAa;AAQ1B,MAAa,oBAAoB;AACjC,MAAa,mBAAmB;AAWhC,IAAa,cAAb,MAAa,YAAW;CACL,OAAO,OAAO,UAAU;CACxB,SAAS,OAAO,OAAO;CACvB,SAAS,OAAO,MAAM;CACtB,kBAAkB,OAAO,uBAAuB,EAAE,UAAU,KAAI,CAAE;CAClE,SAAS,OAAO,YAAY,EAAE,UAAU,KAAI,CAAE,KAAK;CAYnD,UAAmB;CAEnB,QAAQ,OAA2B,MAAK,GAAA,YAAA,CAAA,EAAA,WAAA,QAAA,CAAA,+BAAA,CAAA,CAAA;CACxC,SAAS,OAAsB,MAAK,GAAA,YAAA,CAAA,EAAA,WAAA,SAAA,CAAA,+BAAA,CAAA,CAAA;CAEpC,aAAa,OAAsB,MAAK,GAAA,YAAA,CAAA,EAAA,WAAA,aAAA,CAAA,+BAAA,CAAA,CAAA;CAEhD,OAAO,KAAK,MAAM,WAAU;CAC5B,QAAQ,KAAK,OAAO,WAAU;CAC9B,YAAY,KAAK,WAAW,WAAU;CAEtC,kBAAkB,eAAe,KAAK,OAAM,MAAO,QAAQ,KAAK,MAAK,MAAO,MAAK,GAAA,YAAA,CAAA,EAAA,WAAA,kBAAA,CAAA,+BAAA,CAAA,CAAA;CACjF,OAAO,eAAe,KAAK,MAAK,CAAE,EAAE,QAAQ,IAAG,GAAA,YAAA,CAAA,EAAA,WAAA,OAAA,CAAA,+BAAA,CAAA,CAAA;CAExD,cAAA;EACE,MAAM,QAAQ,KAAK,QAAQ,QAAQ,iBAAiB;EACpD,IAAI,UAAU,QAAQ,UAAU,IAAI,KAAK,OAAO,IAAI,KAAK;EACzD,MAAM,MAAM,KAAK,QAAQ,QAAQ,gBAAgB;EACjD,IAAI,QAAQ,QAAQ,QAAQ,IAC1B,IAAI;GACF,KAAK,MAAM,IAAI,KAAK,MAAM,GAAG,CAAgB;EAC/C,QAAQ;GAEN,KAAK,QAAQ,WAAW,gBAAgB;GACxC,KAAK,QAAQ,WAAW,iBAAiB;GACzC,KAAK,OAAO,IAAI,IAAI;EACtB;CAEJ;CAIA,MAAM,OAAe,UAAgB;EACnC,OAAO,KAAK,KAAoB,eAAe;GAAE;GAAO;EAAQ,CAAE,CAAC,CAAC,KAClE,KAAK,QAAO;GACV,KAAK,KAAK,IAAI,OAAO,IAAI,IAAI;GAC7B,MAAM,UAAU,eAAe,GAAG;GAClC,IAAI,YAAY,MAAM,KAAK,kBAAkB,OAAO;GACpD,OAAO,IAAI;EACb,CAAC,CAAC;CAEN;CAMA,kBAAe;EACb,IAAI,CAAC,KAAK,iBACR,OAAO,iCAAiB,IAAI,MAAM,uDAAuD,CAAC;EAE5F,OAAO,KAAK,KAAK,gBAAgB,iBAAgB,CAAE,CAAC,CAAC,KACnD,WAAW,YAAY,KAAK,sBAAsB,OAAO,CAAC,CAAC;CAE/D;CAMA,0BAA0B,OAAe,UAAgB;EACvD,IAAI,CAAC,KAAK,iBACR,OAAO,iCAAiB,IAAI,MAAM,uDAAuD,CAAC;EAE5F,OAAO,KAAK,KAAK,gBAAgB,2BAA2B,OAAO,QAAQ,CAAC,CAAC,CAAC,KAC5E,WAAW,YAAY,KAAK,sBAAsB,OAAO,CAAC,CAAC;CAE/D;CAMQ,sBAAsB,SAAe;EAC3C,MAAM,WAAW,QAAO,CAAE,EAAE,UAAU,oBAAoB;EAC1D,OAAO,KAAK,KAAoB,UAAU,EAAE,QAAO,CAAE,CAAC,CAAC,KACrD,KAAK,QAAO;GACV,KAAK,KAAK,IAAI,OAAO,IAAI,IAAI;GAC7B,MAAM,UAAU,eAAe,GAAG;GAClC,IAAI,YAAY,MAAM,KAAK,kBAAkB,OAAO;GACpD,OAAO,IAAI;EACb,CAAC,CAAC;CAEN;CAQA,SAAM;EACJ,OAAO,KAAK,KAA8B,cAAc,CAAC,CAAC,KACxD,IAAI;GACF,YAAW;IACT,KAAK,MAAK;IACV,AAAK,KAAK,iBAAiB,QAAO;GACpC;GACA,aAAY;IACV,KAAK,MAAK;IACV,AAAK,KAAK,iBAAiB,QAAO;GACpC;EACD,CAAA,GACD,UAAU,MAAS,CAAC;CAExB;CAIA,YAAS;EACP,OAAO,KAAK,KACV,kBAAkB,CACnB,CAAC,KACA,UAAS;GACP,KAAK,MAAK;GACV,KAAK,QAAO;EACd,CAAC,GACD,KAAK,SAAS,EAAE,wBAAwB,IAAI,uBAAsB,EAAG,CAAC;CAE1E;CAGA,UAAO;EACL,IAAI,KAAK,OAAM,MAAO,MAAM,OAAO,GAAG,MAAS;EAC/C,OAAO,KAAK,KAAiB,UAAU,CAAC,CAAC,KACvC,KAAK,QAAO;GACV,KAAK,KAAK,KAAK,OAAM,GAAI,IAAI,IAAI;EACnC,CAAC,GAGD,iBAAiB,GAAG,MAAS,CAAC,GAC9B,UAAU,MAAS,CAAC;CAExB;CAOA,kBAAkB,OAAa;EAC7B,IAAI,UAAU,MAAM,KAAK,OAAM,MAAO,MAAM;EAC5C,KAAK,OAAO,IAAI,KAAK;EACrB,KAAK,QAAQ,QAAQ,mBAAmB,KAAK;CAC/C;CAiBA,cAAc,MAAwB;EACpC,QAAQ,MAAR;GACE,KAAK;IAGH,KAAK,WAAW,IAAI,KAAK,WAAU,CAAE;IACrC,KAAK,MAAK;IACV,KAAK,QAAO;IACZ;GACF,KAAK;GACL,KAAK;IAEH,KAAK,MAAK;IACV,KAAK,QAAO;EAUhB;CACF;CAKA,QAAQ,UAAgB;EACtB,IAAI,aAAa,MAAM,aAAa,WAAW,OAAO,KAAK,gBAAe;EAC1E,MAAM,OAAO,KAAK,KAAI;EACtB,IAAI,SAAS,SAAS,OAAO;EAC7B,OAAO,SAAS,MAAM,SAAS;CACjC;CAWA,UAAU,QAAgD;EACxD,MAAM,WAAW,QAAQ,YAAY;EACrC,IAAI,aAAa,UAAU,OAAO;EAClC,IAAI,CAAC,KAAK,gBAAe,GAAI,OAAO;EAKpC,MAAM,OAAO,SAAS,WAAW,OAAO,IAAI,SAAS,MAAM,CAAc,IAAI;EAC7E,MAAM,WAAW,SAAS,KAAM,QAAQ,SAAS,CAAA,IAAM,CAAC,IAAI;EAC5D,IAAI,SAAS,WAAW,GAAG,OAAO;EAClC,OAAO,SAAS,MAAM,QAAQ,KAAK,QAAQ,GAAG,CAAC;CACjD;CAkBA,eACE,QACA,WAA0D;EAG1D,MAAM,MAAM,OAAO,UAAU,QAAQ;EACrC,IAAI,OAAO,IAAI,YACb,OAAO,KAAK,WAAW,IAAI,UAAU;EAIvC,IAAI,OAAO,UAAU,QAAQ;GAE3B,MAAM,aADU,cAAc,YAAY,cAAc,YAAY,cAAc,WACrD,OAAO,SAAS,OAAO,QAAQ,OAAO,SAAS,OAAO;GACnF,OAAO,KAAK,WAAW,cAAc,OAAO;EAC9C;EAGA,MAAM,QAAQ,OAAO;EACrB,IAAI,OAQF,OAAO;GANL,MAAM;GACN,KAAK;GACL,QAAQ,MAAM;GACd,QAAQ,MAAM;GACd,QAAQ,MAAM;EAET,EAAQ,eAAe;EAKhC,OAAO;CACT;CAUA,aAAa,OAAkB;EAC7B,IAAI,CAAC,MAAM,UAAU,CAAC,MAAM,OAAO,MAAM,OAAO;EAChD,OAAO,KAAK,WAAW,MAAM,OAAO,IAAI;CAC1C;CAUA,cAAc,OAAkB;EAC9B,IAAI,CAAC,MAAM,UAAU,CAAC,MAAM,OAAO,OAAO,OAAO;EACjD,OAAO,KAAK,WAAW,MAAM,OAAO,KAAK;CAC3C;CAOQ,WAAW,OAAa;EAC9B,IAAI,UAAU,UAAU,OAAO;EAC/B,IAAI,UAAU,WAAW,OAAO,KAAK,gBAAe;EACpD,IAAI,MAAM,WAAW,OAAO,GAAG;GAC7B,MAAM,eAAe,MAAM,MAAM,CAAc;GAC/C,OAAO,KAAK,QAAQ,YAAY;EAClC;EAEA,OAAO,KAAK,QAAQ,OAAO;CAC7B;CAEQ,KAAK,OAAsB,MAAwB;EACzD,IAAI,UAAU,QAAQ,UAAU,IAAI,KAAK,OAAO,IAAI,KAAK;EACzD,KAAK,MAAM,IAAI,IAAI;EACnB,IAAI,UAAU,QAAQ,UAAU,IAAI,KAAK,QAAQ,QAAQ,mBAAmB,KAAK;EACjF,IAAI,SAAS,MAAM,KAAK,QAAQ,QAAQ,kBAAkB,KAAK,UAAU,IAAI,CAAC;CAChF;CAYA,mBAAgB;EACd,MAAM,MAAM,KAAK,WAAU;EAC3B,KAAK,WAAW,IAAI,IAAI;EACxB,OAAO;CACT;CAEQ,QAAK;EACX,KAAK,OAAO,IAAI,IAAI;EACpB,KAAK,MAAM,IAAI,IAAI;EACnB,KAAK,QAAQ,WAAW,iBAAiB;EACzC,KAAK,QAAQ,WAAW,gBAAgB;CAC1C;CAEQ,UAAO;EACb,IAAI,KAAK,WAAU,CAAE,CAAC,WAAA,QAAqB,GAAG;EAI9C,AAAK,KAAK,OAAO,SAAS,CAAC,UAAU,CAAC,CAAC,CAAC,YAAY,MAAS;CAC/D;CAEQ,aAAU;EAChB,OAAO,KAAK,OAAO;CACrB;CAEQ,SAAS,MAAY;EAG3B,OAAO,GAFM,KAAK,SAAS,KAAK,OAAO,QAAQ,QAAQ,EAAE,IAAI,KAC3C,KAAK,WAAW,GAAG,IAAI,OAAO,IAAI;CAEtD;CAEQ,SAAS,MAAc,UAAmC,CAAA,GAAE;EAClE,OAAO;GAAE,OAAO,KAAK,OAAM;GAAI,QAAQ;GAAiB;GAAM;EAAO;CACvE;CAaQ,iBACN,MACA,UAAmC,CAAA,GAAE;EAErC,IAAI,KAAK,WAAW,QAAQ;GAC1B,MAAM,MAAM,KAAK,SAAS,IAAI;GAC9B,IAAI,UAAU,IAAI,YAAW;GAC7B,MAAM,QAAQ,KAAK,OAAM;GACzB,IAAI,OACF,UAAU,QAAQ,IAAI,iBAAiB,UAAU,OAAO;GAG1D,IAAI,SAAS,YACX,OAAO,KAAK,KAAK,IAAO,KAAK,EAAE,QAAO,CAAE;GAG1C,UAAU,QAAQ,IAAI,gBAAgB,kBAAkB;GACxD,OAAO,KAAK,KAAK,KAAQ,KAAK,SAAS,EAAE,QAAO,CAAE;EACpD;EAEA,OAAO,KAAK,KAAK,KAAQ,KAAK,QAAQ,KAAK,SAAS,MAAM,OAAO,GAAG,EAClE,SAAS,EAAE,gBAAgB,aAAY,EACxC,CAAA;CACH;CAEQ,KAAQ,MAAc,UAAmC,CAAA,GAAE;EACjE,OAAO,KAAK,iBAAoB,MAAM,OAAO;CAC/C;CApaW,OAAA,OAAA,GAAA,mBAAA;EAAA,YAAA;EAAA,SAAA;EAAA,UAAA;EAAA,MAAA;EAAW,MAAA,CAAA;EAAA,QAAA,GAAA,gBAAA;CAAA,CAAA;CAAX,OAAA,QAAA,GAAA,mBAAA;EAAA,YAAA;EAAA,SAAA;EAAA,UAAA;EAAA,MAAA;CAAW,CAAA;;AAAX,GAAA,yBAAA;CAAA,YAAA;CAAA,SAAA;CAAA,UAAA;CAAA,MAAA;CAAW,YAAA,CAAA,EADvB,MAAA,QAAA,CAAA;;;ACnDD,SAAS,YAAY,QAAc;CACjC,QAAQ,QAAR;EACE,KAAK,GACH,OAAO;EACT,KAAK,KACH,OAAO;EACT,KAAK,KACH,OAAO;EACT,KAAK,KACH,OAAO;EACT,KAAK,KACH,OAAO;EACT,KAAK,KACH,OAAO;EACT,KAAK,KACH,OAAO;EACT;GACE,IAAI,UAAU,KACZ,OAAO;GAET,OAAO,UAAU,MAAM,uCAAuC;CAClE;AACF;AAEA,SAAS,YAAY,MAAa;CAChC,IAAI,OAAO,SAAS,YAAY,SAAS,MACvC,OAAO;CAET,MAAM,QAAS,KAAsB;CACrC,OAAO,OAAO,UAAU,YAAY,UAAU,QAAQ,OAAO,MAAM,YAAY;AACjF;AAeA,MAAa,uBAA0C,KAAK,SAAQ;CAClE,MAAM,OAAO,OAAO,WAAW;CAE/B,OAAO,KAAK,GAAG,CAAC,CAAC,KACf,KAAK,UAAS;EACZ,IAAI,iBAAiB,gBAAgB,YAAY,MAAM,IAAI,GAAG;GAC5D,MAAM,EAAE,QAAQ,SAAS,MAAM,MAAM,WAAW,MAAM,KAAK;GAE3D,KAAK,cAAc,IAAI;GAGvB,MAAM,IAAI,SAAS,QAAQ,SAAS,MAAM,MAAM,UAAU,CAAA,CAAE;EAC9D;EACA,OAAO;CACT,CAAC,GACD,YAAY,QAAgB;EAC1B,IAAI,eAAe,UACjB,OAAO,iBAAiB,GAAG;EAE7B,IAAI,eAAe,mBACjB,OAAO,iBAAiB,IAAI,SAAS,IAAI,QAAQ,YAAY,IAAI,MAAM,CAAC,CAAC;EAE3E,OAAO,iBAAiB,GAAG;CAC7B,CAAC,CAAC;AAEN;AC9DA,MAAM,SAAS;AAUf,SAAgB,oBACd,MACA,SAAgD;CAEhD,IAAI,CAAC,KAAK,SAAS,GAAG,GAAG,OAAO;CAChC,OAAO,KAAK,QAAQ,SAAS,QAAQ,WACnC,UAAU,MAAM,QAAQ,QAAQ,OAAO,CAAC;AAE5C;AAGA,SAAS,UACP,MACA,QACA,QACA,SAAgD;CAEhD,IAAI,WAAW,OACb,MAAM,IAAI,MACR,wBAAwB,KAAI,KAAM,OAAM,mGACwC;CAIpF,MAAM,QAAQ,OAAO,QAAQ,GAAG;CAChC,MAAM,SAAS,UAAU,KAAK,SAAS,OAAO,MAAM,GAAG,KAAK;CAC5D,MAAM,SAAS,QAAQ;CACvB,IAAI,OAAO,WAAW,YACpB,MAAM,IAAI,MACR,wBAAwB,KAAI,yBAA0B,OAAM,gBAC5C,OAAM,sBAAuB;CAKjD,MAAM,QAAQ,UAAU,KAAK,OAAM,IAAK,SAAS,OAAM,GAAI,OAAO,MAAM,QAAQ,CAAC,CAAC;CAElF,IAAI,UAAU,UAAa,UAAU,MACnC,MAAM,IAAI,MACR,wBAAwB,KAAI,yBAA0B,OAAM,qBAAsB,OAAM,GAAI;CAGhG,IAAI,OAAO,UAAU,UACnB,MAAM,IAAI,MACR,wBAAwB,KAAI,yBAA0B,OAAM,kBAC1C,OAAM,4CAA6C;CAIzE,MAAM,QAAQ,OAAO,KAAK;CAC1B,IAAI,UAAU,IACZ,MAAM,IAAI,MACR,wBAAwB,KAAI,yBAA0B,OAAM,qBAAsB,OAAM,GAAI;CAGhG,OAAO,mBAAmB,KAAK;AACjC;AAGA,SAAS,SAAS,OAAgB,MAAY;CAC5C,IAAI,SAAkB;CACtB,KAAK,MAAM,QAAQ,KAAK,MAAM,GAAG,GAAG;EAClC,IAAI,WAAW,QAAQ,OAAO,WAAW,UAAU,OAAO;EAC1D,SAAU,OAAmC;CAC/C;CACA,OAAO;AACT;AC1EA,IAAa,aAAb,MAAa,WAAU;CACJ,OAAO,OAAO,UAAU;CACxB,SAAS,OAAO,OAAO;CACvB,OAAO,OAAO,WAAW;CACzB,SAAS,OAAO,YAAY,EAAE,UAAU,KAAI,CAAE,KAAK;CAEnD,eAA6B,OAAO,eAAe,EAAE,UAAU,KAAI,CAAE,KAAK,CAAA;CAU1E,WAAW,OAAO,QAAQ;CAgB3C,KAAQ,UAA6B,SAAiC;EACpE,OAAO,KAAK,KAAc,SAAS,MAAM,OAAO,OAAO,CAAC,CAAC,KAAK,KAAK,QAAQ,WAAc,GAAG,CAAC,CAAC;CAChG;CAGA,IAAO,UAA6B,KAAY;EAC9C,OAAO,KAAK,KAAQ,KAAK,QAAQ,SAAS,KAAK,GAAG,GAAG,KAAK;CAC5D;CAEA,OAAU,UAA6B,SAAgC;EACrE,OAAO,KAAK,KAAQ,SAAS,QAAQ,QAAQ,OAAO;CACtD;CAEA,OACE,UACA,KACA,SAAgC;EAEhC,OAAO,KAAK,KAAQ,KAAK,QAAQ,SAAS,QAAQ,GAAG,GAAG,OAAO,OAAO;CACxE;CAEA,OAAO,UAA6B,KAAY;EAC9C,OAAO,KAAK,KAAW,KAAK,QAAQ,SAAS,QAAQ,GAAG,GAAG,QAAQ;CACrE;CAOA,QACE,QACA,MACA,SAAiC;EAEjC,OAAO,KAAK,KAAQ,MAAM,QAAQ,OAAO;CAC3C;CAEQ,KACN,MACA,QACA,SAAiC;EAEjC,IAAI,CAAC,MACH,OAAO,iCAAiB,IAAI,MAAM,2CAA2C,CAAC;EAMhF,IAAI;EACJ,IAAI;GACF,eAAe,oBAAoB,MAAM,KAAK,aAAY,CAAE;EAC9D,SAAS,OAAO;GAId,OAAO,iBAAiB,KAAK;EAC/B;EAOA,QAJE,KAAK,WAAW,SACZ,KAAK,SAAY,cAAc,QAAQ,OAAO,IAC9C,KAAK,QAAW,cAAc,QAAQ,OAAO,EAE5C,CAAS,KAGd,KAAK,QAAO;GACV,MAAM,UAAU,eAAe,GAAG;GAClC,IAAI,YAAY,MAAM,KAAK,KAAK,kBAAkB,OAAO;EAC3D,CAAC,CAAC;CAEN;CASQ,eAAY;EAClB,OAAO;GACL,GAAG,KAAK;GACR,aAAa;IAAE,MAAM,KAAK,KAAK,KAAI;IAAI,OAAO,KAAK,KAAK,MAAK;GAAE;GAC/D,cAAc,KAAK,SAAS,IAAI,eAAe,IAAI,CAAC,EAAE,aAAY,KAAM;EACzE;CACH;CAEQ,QACN,MACA,QACA,SAAiC;EAIjC,MAAM,OAAO;GAAE,OAAO,KAAK,KAAK,MAAK;GAAI;GAAQ;GAAM,SAAS,WAAW,CAAA;EAAE;EAC7E,OAAO,KAAK,KAAK,KAAQ,KAAK,QAAQ,MAAM,EAAE,SAAS,EAAE,gBAAgB,aAAY,EAAE,CAAE;CAC3F;CAEQ,SACN,MACA,QACA,SAAiC;EAEjC,MAAM,MAAM,KAAK,SAAS,IAAI;EAC9B,IAAI,UAAU,IAAI,YAAW;EAC7B,MAAM,QAAQ,KAAK,KAAK,MAAK;EAC7B,IAAI,OACF,UAAU,QAAQ,IAAI,iBAAiB,UAAU,OAAO;EAG1D,IAAI,WAAW,SAAS,WAAW,UAAU;GAC3C,MAAM,SAAS,aAAa,OAAO;GACnC,OAAO,KAAK,KAAK,QAAW,QAAQ,KAAK;IAAE;IAAS;GAAM,CAAE;EAC9D;EAEA,UAAU,QAAQ,IAAI,gBAAgB,kBAAkB;EACxD,OAAO,KAAK,KAAK,QAAW,QAAQ,KAAK;GAAE;GAAS,MAAM,WAAW,CAAA;EAAE,CAAE;CAC3E;CAEQ,SAAS,MAAY;EAG3B,OAAO,GAFM,KAAK,SAAS,KAAK,OAAO,QAAQ,QAAQ,EAAE,IAAI,KAC3C,KAAK,WAAW,GAAG,IAAI,OAAO,IAAI;CAEtD;CAEQ,QAAQ,MAA0B,KAAY;EACpD,IAAI,CAAC,MACH;EAEF,OAAO,KAAK,SAAS,OAAO,IAAI,KAAK,QAAQ,SAAS,mBAAmB,OAAO,EAAE,CAAC,IAAI;CACzF;CArKW,OAAA,OAAA,GAAA,mBAAA;EAAA,YAAA;EAAA,SAAA;EAAA,UAAA;EAAA,MAAA;EAAU,MAAA,CAAA;EAAA,QAAA,GAAA,gBAAA;CAAA,CAAA;CAAV,OAAA,QAAA,GAAA,mBAAA;EAAA,YAAA;EAAA,SAAA;EAAA,UAAA;EAAA,MAAA;CAAU,CAAA;;AAAV,GAAA,yBAAA;CAAA,YAAA;CAAA,SAAA;CAAA,UAAA;CAAA,MAAA;CAAU,YAAA,CAAA,EADtB,MAAA,QAAA,CAAA;;AA+KD,SAAS,aAAa,SAAiC;CACrD,IAAI,SAAS,IAAI,WAAU;CAC3B,IAAI,CAAC,SACH,OAAO;CAGT,KAAK,MAAM,CAAC,KAAK,UAAU,OAAO,QAAQ,OAAO,GAAG;EAClD,IAAI,UAAU,UAAa,UAAU,MACnC;EAEF,IAAI,OAAO,UAAU,YAAY,CAAC,MAAM,QAAQ,KAAK,GACnD;QAAK,MAAM,CAAC,WAAW,gBAAgB,OAAO,QAAQ,KAAgC,GACpF,IAAI,gBAAgB,UAAa,gBAAgB,MAC/C,SAAS,OAAO,IAAI,WAAW,OAAO,WAAW,CAAC;EAEtD,OACK,IAAI,MAAM,QAAQ,KAAK,GAC5B;QAAK,MAAM,QAAQ,OACjB,IAAI,SAAS,UAAa,SAAS,MACjC,SAAS,OAAO,OAAO,KAAK,OAAO,IAAI,CAAC;EAE5C,OAEA,SAAS,OAAO,IAAI,KAAK,OAAO,KAAK,CAAC;CAE1C;CACA,OAAO;AACT;AAGA,SAAS,WAAc,KAAY;CACjC,IAAI,MAAM,QAAQ,GAAG,GACnB,OAAO;CAET,IAAI,QAAQ,QAAQ,OAAO,QAAQ,UAAU;EAC3C,MAAM,QAAS,IAA4B;EAC3C,IAAI,MAAM,QAAQ,KAAK,GACrB,OAAO;CAEX;CACA,OAAO,CAAA;AACT;AC3NA,IAAa,gBAAb,MAAa,cAAa;CACP,MAAM,OAAO,YAAY,EAAE,UAAU,KAAI,CAAE;CAGnD,eAAe,OAAgC,EAGtD,iBAAiB,OAAO,WAAW,cAAc,OAAO,SAAS,SAAS,GAC3E,GAAC,GAAA,YAAA,CAAA,EAAA,WAAA,eAAA,CAAA,+BAAA,CAAA,CAAA;CAGM,YAA0C,CAAA;CAO1C,SAAS;CAGT,WAAiC;CAOzC,KAAK,WAAuC;EAC1C,KAAK,YAAY;EACjB,AAAK,KAAK,OAAM;CAClB;CAYA,eAAY;EACV,OAAO,KAAK,OAAM;CACpB;CAEQ,SAAM;EACZ,IAAI,KAAK,QAAQ,OAAO,QAAQ,QAAO;EACvC,IAAI,KAAK,UAAU,OAAO,KAAK;EAC/B,IAAI,CAAC,KAAK,OAAO,OAAO,KAAK,IAAI,QAAQ,cAAc,KAAK,UAAU,WAAW,GAC/E,OAAO,QAAQ,QAAO;EAGxB,KAAK,WAAW,eACd,SACE,KAAK,UAAU,KAAK,aAClB,KAAK,IAAK,IAA6B,QAAQ,CAAC,CAAC,KAI/C,iBAAiB,GAAG,IAAI,CAAC,CAAC,CAC3B,CACF,CACF,CACF,CAAC,MAAM,WAAU;GAChB,KAAK,WAAW;GAChB,OAAO,SAAS,SAAQ;IACtB,IAAI,QAAQ,OAAO,SAAS,YAAY,OAAO,KAAK,IAAI,CAAC,CAAC,SAAS,GACjE,KAAK,aAAa,QAAQ,aAAa;KAAE,GAAG;KAAS,GAAG;IAAI,EAAG;GAEnE,CAAC;GACD,KAAK,SAAS,OAAO,OAAO,SAAS,SAAS,IAAI;EACpD,CAAC;EAED,OAAO,KAAK;CACd;CAUA,0BAA0B,QAA+B;EACvD,MAAM,SAAS,KAAK,aAAY;EAChC,MAAM,UAAU,OAAO,OAAO,sBAAsB,OAAO,SAAS,MAAM,CAAC,CAAC,QAAQ,QAAQ,EAAE;EAE9F,OAAO;GACL,GAAG;GACH,GAAG;GACH,iBAAiB;EAClB;CACH;CA/FW,OAAA,OAAA,GAAA,mBAAA;EAAA,YAAA;EAAA,SAAA;EAAA,UAAA;EAAA,MAAA;EAAa,MAAA,CAAA;EAAA,QAAA,GAAA,gBAAA;CAAA,CAAA;CAAb,OAAA,QAAA,GAAA,mBAAA;EAAA,YAAA;EAAA,SAAA;EAAA,UAAA;EAAA,MAAA;CAAa,CAAA;;AAAb,GAAA,yBAAA;CAAA,YAAA;CAAA,SAAA;CAAA,UAAA;CAAA,MAAA;CAAa,YAAA,CAAA,EADzB,MAAA,QAAA,CAAA;;ACYD,IAAI,UAAqC,CAAA;AACzC,IAAI;AAGJ,SAAgB,iBACd,SACA,MAAiB;CAEjB,UAAU;CACV,cAAc;AAChB;AAGA,SAAgB,UAAU,IAAU;CAClC,OAAO,QAAQ,MAAM,WAAW,OAAO,OAAO,EAAE;AAClD;AAGA,SAAgB,aAAU;CACxB,OAAO;AACT;AAGA,SAAgB,UAAO;CACrB,OAAO;AACT;AAGA,MAAa,cAAc,IAAI,eAC7B,mBAAmB;AAsCrB,SAAgB,gBACd,QAAsB;CAEtB,iBAAiB,OAAO,SAAS,OAAO,IAAI;CAG5C,MAAM,wBACJ,OAAO,QAAQ,SAAS,WACtB,OAAO,SAAS,eAAe,OAAO,UAAU,MAC5C,CAAC,EAAE,KAAK,OAAO,SAAS,IAAG,CAAE,IAC7B,CAAA,CAAE;CAEV,OAAO;EACL;GAAE,SAAS;GAAa,UAAU,OAAO;EAAO;EAEhD;GAAE,SAAS;GAAY,UAAU,OAAO,UAAU;EAAK;EAGvD;GAAE,SAAS;GAAe,UAAU,OAAO,gBAAgB,CAAA;EAAE;EAI7D,kBAAkB,iBAAiB,CAAC,mBAAmB,CAAC,CAAC;EAGzD,4BAA4B,OAAO,aAAa,CAAC,CAAC,KAAK,gBAAe,CAAE,CAAC;EAGzE,4BAA4B,OAAO,WAAW,CAAC,CAAC,QAAO,CAAE;CAC1D;AACH;AAYA,SAAgB,uBAAuB,SAA4B;CACjE,OAAO;EAAE,SAAS;EAAuB,UAAU;CAAO;AAC5D"}