flowingts 0.0.0 → 0.19.0

package/dist/utils/mime.d.ts

@@ -0,0 +1,2 @@
+export declare function contentTypeFor(filename: string, extra?: Readonly<Record<string, string>>): string;
+//# sourceMappingURL=mime.d.ts.map

package/dist/utils/mime.d.ts.map

@@ -0,0 +1 @@
+{"version":3,"file":"mime.d.ts","sourceRoot":"","sources":["../../src/utils/mime.ts"],"names":[],"mappings":"AA+CA,wBAAgB,cAAc,CAAC,QAAQ,EAAE,MAAM,EAAE,KAAK,GAAE,QAAQ,CAAC,MAAM,CAAC,MAAM,EAAE,MAAM,CAAC,CAAM,GAAG,MAAM,CAKrG"}

package/dist/utils/mime.js

@@ -0,0 +1,52 @@
+/**
+ * Tipos de conteúdo por extensão, sem dependência (F-13). Cobre o que uma API e uma SPA servem; o resto
+ * sai como `application/octet-stream` (com `nosniff`, o navegador não tenta adivinhar). Acrescente tipos
+ * com a opção `mimeTypes` do `static()`/`sendFile()`.
+ */
+const TYPES = {
+    html: 'text/html',
+    htm: 'text/html',
+    css: 'text/css',
+    js: 'text/javascript',
+    mjs: 'text/javascript',
+    cjs: 'text/javascript',
+    json: 'application/json',
+    map: 'application/json',
+    webmanifest: 'application/manifest+json',
+    txt: 'text/plain',
+    md: 'text/markdown',
+    csv: 'text/csv',
+    xml: 'application/xml',
+    yaml: 'application/yaml',
+    yml: 'application/yaml',
+    svg: 'image/svg+xml',
+    png: 'image/png',
+    jpg: 'image/jpeg',
+    jpeg: 'image/jpeg',
+    gif: 'image/gif',
+    webp: 'image/webp',
+    avif: 'image/avif',
+    ico: 'image/x-icon',
+    woff: 'font/woff',
+    woff2: 'font/woff2',
+    ttf: 'font/ttf',
+    otf: 'font/otf',
+    pdf: 'application/pdf',
+    zip: 'application/zip',
+    gz: 'application/gzip',
+    wasm: 'application/wasm',
+    mp4: 'video/mp4',
+    webm: 'video/webm',
+    mp3: 'audio/mpeg',
+    wav: 'audio/wav',
+    ogg: 'audio/ogg',
+};
+/** Tipos de texto recebem `charset=utf-8`. */
+const TEXT = /^(text\/|application\/(json|manifest\+json|xml|yaml|javascript))|\+xml$|\+json$/;
+export function contentTypeFor(filename, extra = {}) {
+    const dot = filename.lastIndexOf('.');
+    const ext = dot === -1 ? '' : filename.slice(dot + 1).toLowerCase();
+    const type = extra[ext] ?? TYPES[ext] ?? 'application/octet-stream';
+    return TEXT.test(type) && !type.includes('charset') ? `${type}; charset=utf-8` : type;
+}
+//# sourceMappingURL=mime.js.map

package/dist/utils/mime.js.map

@@ -0,0 +1 @@
+{"version":3,"file":"mime.js","sourceRoot":"","sources":["../../src/utils/mime.ts"],"names":[],"mappings":"AAAA;;;;GAIG;AACH,MAAM,KAAK,GAA2B;IACpC,IAAI,EAAE,WAAW;IACjB,GAAG,EAAE,WAAW;IAChB,GAAG,EAAE,UAAU;IACf,EAAE,EAAE,iBAAiB;IACrB,GAAG,EAAE,iBAAiB;IACtB,GAAG,EAAE,iBAAiB;IACtB,IAAI,EAAE,kBAAkB;IACxB,GAAG,EAAE,kBAAkB;IACvB,WAAW,EAAE,2BAA2B;IACxC,GAAG,EAAE,YAAY;IACjB,EAAE,EAAE,eAAe;IACnB,GAAG,EAAE,UAAU;IACf,GAAG,EAAE,iBAAiB;IACtB,IAAI,EAAE,kBAAkB;IACxB,GAAG,EAAE,kBAAkB;IACvB,GAAG,EAAE,eAAe;IACpB,GAAG,EAAE,WAAW;IAChB,GAAG,EAAE,YAAY;IACjB,IAAI,EAAE,YAAY;IAClB,GAAG,EAAE,WAAW;IAChB,IAAI,EAAE,YAAY;IAClB,IAAI,EAAE,YAAY;IAClB,GAAG,EAAE,cAAc;IACnB,IAAI,EAAE,WAAW;IACjB,KAAK,EAAE,YAAY;IACnB,GAAG,EAAE,UAAU;IACf,GAAG,EAAE,UAAU;IACf,GAAG,EAAE,iBAAiB;IACtB,GAAG,EAAE,iBAAiB;IACtB,EAAE,EAAE,kBAAkB;IACtB,IAAI,EAAE,kBAAkB;IACxB,GAAG,EAAE,WAAW;IAChB,IAAI,EAAE,YAAY;IAClB,GAAG,EAAE,YAAY;IACjB,GAAG,EAAE,WAAW;IAChB,GAAG,EAAE,WAAW;CACjB,CAAC;AAEF,8CAA8C;AAC9C,MAAM,IAAI,GAAG,iFAAiF,CAAC;AAE/F,MAAM,UAAU,cAAc,CAAC,QAAgB,EAAE,KAAK,GAAqC,EAAE;IAC3F,MAAM,GAAG,GAAG,QAAQ,CAAC,WAAW,CAAC,GAAG,CAAC,CAAC;IACtC,MAAM,GAAG,GAAG,GAAG,KAAK,CAAC,CAAC,CAAC,CAAC,CAAC,EAAE,CAAC,CAAC,CAAC,QAAQ,CAAC,KAAK,CAAC,GAAG,GAAG,CAAC,CAAC,CAAC,WAAW,EAAE,CAAC;IACpE,MAAM,IAAI,GAAG,KAAK,CAAC,GAAG,CAAC,IAAI,KAAK,CAAC,GAAG,CAAC,IAAI,0BAA0B,CAAC;IACpE,OAAO,IAAI,CAAC,IAAI,CAAC,IAAI,CAAC,IAAI,CAAC,IAAI,CAAC,QAAQ,CAAC,SAAS,CAAC,CAAC,CAAC,CAAC,GAAG,IAAI,iBAAiB,CAAC,CAAC,CAAC,IAAI,CAAC;AACxF,CAAC"}

package/dist/utils/origin-match.d.ts

@@ -0,0 +1,58 @@
+/**
+ * Comparação de origens (CORS) e hosts (`allowedHosts`) segura por padrão.
+ *
+ * O risco não está no volume de código, e sim na semântica da comparação. Por isso:
+ * - **strings** são normalizadas com o parser nativo de URL e comparadas por igualdade, nunca por substring;
+ * - **curinga** (`https://*.exemplo.dev`, `*.exemplo.dev`) aceita só subdomínios, nunca o domínio
+ *   em si nem `exemplo.dev.atacante.com`;
+ * - **RegExp** precisa casar a string **inteira**, como se tivesse `^…$`, mesmo que o autor esqueça as
+ *   âncoras. As flags `g`, `y` e `m` são descartadas, então `lastIndex` e `^`/`$` por linha não interferem.
+ *
+ * Erros de configuração (string sem esquema, curinga mal posicionado) são lançados na criação do
+ * middleware ou do app, e não na primeira requisição.
+ */
+export type MatchRule = string | RegExp;
+/** Envolve a RegExp para casar a string inteira e descarta flags com estado ou por linha. */
+export declare function toFullMatch(rule: RegExp): RegExp;
+/** Normaliza uma origem (`Https://App.Exemplo.com:443/` → `https://app.exemplo.com`), ou `undefined` se inválida. */
+export declare function normalizeOrigin(value: string): string | undefined;
+/**
+ * Compila as regras de origem do CORS. Strings precisam do esquema (`https://app.exemplo.com`);
+ * `'null'` só casa com a origem `null` se estiver listada explicitamente.
+ */
+export declare function compileOriginMatcher(rules: readonly MatchRule[]): (origin: string) => boolean;
+/**
+ * Compila `allowedHosts`. Strings casam com o hostname ou com `host:porta`; `*.exemplo.dev` aceita só
+ * subdomínios; RegExp precisa casar o hostname inteiro.
+ */
+export declare function compileHostMatcher(rules: readonly MatchRule[]): (hostname: string, host: string) => boolean;
+/** Regra de host de uma rota (virtual host), já compilada. */
+export interface RouteHostRule {
+    /** Como foi escrita, para mensagens. */
+    label: string;
+    kind: 'exact' | 'wildcard' | 'regex';
+    /** Hostname (exato) ou domínio base (curinga); vazio em RegExp. */
+    base: string;
+    /** Chave da restrição no roteador: `api.exemplo.com`, `*.exemplo.dev` ou `re:/…/flags`. */
+    key: string;
+    test(hostname: string): boolean;
+}
+/**
+ * Compila a regra de host de `mount(X, { host })`/`group({ host })` (F-35), com as mesmas regras do
+ * `allowedHosts`: string exata (sem porta), `*.dominio` para subdomínios de qualquer profundidade (nunca o
+ * domínio em si), RegExp com casamento da string inteira.
+ */
+export declare function compileRouteHost(rule: MatchRule): RouteHostRule;
+/**
+ * Prioridade entre regras que casam com o mesmo host (F-35), usada **igual** pelo roteador e pelo OpenAPI:
+ * exato → curinga mais específico (mais rótulos no domínio base) → RegExp, na ordem de registro.
+ * Menor vence. Rotas sem host ficam por último (são o fallback).
+ */
+export declare function hostRank(rule: RouteHostRule, seq: number): number;
+export declare const NO_HOST_RANK: number;
+/**
+ * Uma regra de rota pode ser alcançada com este `allowedHosts`? (F-35)
+ * `'yes'` quando há interseção comprovada, `'no'` quando comprovadamente não há, `'unknown'` com RegExp.
+ */
+export declare function hostReachability(rule: RouteHostRule, allowed: readonly MatchRule[]): 'yes' | 'no' | 'unknown';
+//# sourceMappingURL=origin-match.d.ts.map

package/dist/utils/origin-match.d.ts.map

@@ -0,0 +1 @@
+{"version":3,"file":"origin-match.d.ts","sourceRoot":"","sources":["../../src/utils/origin-match.ts"],"names":[],"mappings":"AAAA;;;;;;;;;;;;GAYG;AAEH,MAAM,MAAM,SAAS,GAAG,MAAM,GAAG,MAAM,CAAC;AAExC,6FAA6F;AAC7F,wBAAgB,WAAW,CAAC,IAAI,EAAE,MAAM,GAAG,MAAM,CAEhD;AASD,qHAAqH;AACrH,wBAAgB,eAAe,CAAC,KAAK,EAAE,MAAM,GAAG,MAAM,GAAG,SAAS,CASjE;AAaD;;;GAGG;AACH,wBAAgB,oBAAoB,CAAC,KAAK,EAAE,SAAS,SAAS,EAAE,GAAG,CAAC,MAAM,EAAE,MAAM,KAAK,OAAO,CAsC7F;AAaD;;;GAGG;AACH,wBAAgB,kBAAkB,CAAC,KAAK,EAAE,SAAS,SAAS,EAAE,GAAG,CAAC,QAAQ,EAAE,MAAM,EAAE,IAAI,EAAE,MAAM,KAAK,OAAO,CA0B3G;AAED,8DAA8D;AAC9D,MAAM,WAAW,aAAa;IAC5B,wCAAwC;IACxC,KAAK,EAAE,MAAM,CAAC;IACd,IAAI,EAAE,OAAO,GAAG,UAAU,GAAG,OAAO,CAAC;IACrC,mEAAmE;IACnE,IAAI,EAAE,MAAM,CAAC;IACb,2FAA2F;IAC3F,GAAG,EAAE,MAAM,CAAC;IACZ,IAAI,CAAC,QAAQ,EAAE,MAAM,GAAG,OAAO,CAAC;CACjC;AAED;;;;GAIG;AACH,wBAAgB,gBAAgB,CAAC,IAAI,EAAE,SAAS,GAAG,aAAa,CAc/D;AAED;;;;GAIG;AACH,wBAAgB,QAAQ,CAAC,IAAI,EAAE,aAAa,EAAE,GAAG,EAAE,MAAM,GAAG,MAAM,CAIjE;AACD,eAAO,MAAM,YAAY,QAA0B,CAAC;AAEpD;;;GAGG;AACH,wBAAgB,gBAAgB,CAAC,IAAI,EAAE,aAAa,EAAE,OAAO,EAAE,SAAS,SAAS,EAAE,GAAG,KAAK,GAAG,IAAI,GAAG,SAAS,CAoB7G"}

package/dist/utils/origin-match.js

@@ -0,0 +1,194 @@
+/**
+ * Comparação de origens (CORS) e hosts (`allowedHosts`) segura por padrão.
+ *
+ * O risco não está no volume de código, e sim na semântica da comparação. Por isso:
+ * - **strings** são normalizadas com o parser nativo de URL e comparadas por igualdade, nunca por substring;
+ * - **curinga** (`https://*.exemplo.dev`, `*.exemplo.dev`) aceita só subdomínios, nunca o domínio
+ *   em si nem `exemplo.dev.atacante.com`;
+ * - **RegExp** precisa casar a string **inteira**, como se tivesse `^…$`, mesmo que o autor esqueça as
+ *   âncoras. As flags `g`, `y` e `m` são descartadas, então `lastIndex` e `^`/`$` por linha não interferem.
+ *
+ * Erros de configuração (string sem esquema, curinga mal posicionado) são lançados na criação do
+ * middleware ou do app, e não na primeira requisição.
+ */
+/** Envolve a RegExp para casar a string inteira e descarta flags com estado ou por linha. */
+export function toFullMatch(rule) {
+    return new RegExp(`^(?:${rule.source})$`, rule.flags.replace(/[gym]/g, ''));
+}
+/** Normaliza uma origem (`Https://App.Exemplo.com:443/` → `https://app.exemplo.com`), ou `undefined` se inválida. */
+export function normalizeOrigin(value) {
+    if (value === 'null')
+        return 'null';
+    try {
+        const url = new URL(value);
+        if (url.origin === 'null')
+            return undefined;
+        return url.origin;
+    }
+    catch {
+        return undefined;
+    }
+}
+function parseWildcardOrigin(rule) {
+    const match = /^([a-z][a-z0-9+.-]*:)\/\/\*\.([^/:]+)(?::(\d+))?\/?$/i.exec(rule);
+    if (!match) {
+        throw new Error(`[flowing] invalid origin rule "${rule}": "*" is only allowed as the first label, e.g. "https://*.exemplo.dev".`);
+    }
+    const [, protocol, domain, port = ''] = match;
+    // Normaliza o domínio (maiúsculas, IDN → punycode) e a porta padrão do esquema.
+    const url = new URL(`${protocol}//x.${domain}${port ? `:${port}` : ''}`);
+    return { protocol: url.protocol, suffix: url.hostname.slice(1), port: url.port };
+}
+/**
+ * Compila as regras de origem do CORS. Strings precisam do esquema (`https://app.exemplo.com`);
+ * `'null'` só casa com a origem `null` se estiver listada explicitamente.
+ */
+export function compileOriginMatcher(rules) {
+    const exact = new Set();
+    const wildcards = [];
+    const patterns = [];
+    for (const rule of rules) {
+        if (rule instanceof RegExp) {
+            patterns.push(toFullMatch(rule));
+            continue;
+        }
+        if (rule === '*') {
+            throw new Error(`[flowing] cors: "*" inside a list is not allowed; use origin: '*' to allow any origin.`);
+        }
+        if (rule.includes('*')) {
+            wildcards.push(parseWildcardOrigin(rule));
+            continue;
+        }
+        const normalized = normalizeOrigin(rule);
+        if (!normalized) {
+            throw new Error(`[flowing] invalid origin rule "${rule}": use the full origin with scheme, e.g. "https://app.exemplo.com".`);
+        }
+        exact.add(normalized);
+    }
+    return (origin) => {
+        const normalized = normalizeOrigin(origin);
+        if (!normalized)
+            return false;
+        if (exact.has(normalized))
+            return true;
+        if (normalized !== 'null' && wildcards.length > 0) {
+            const url = new URL(normalized);
+            const matched = wildcards.some((w) => w.protocol === url.protocol && w.port === url.port && url.hostname.endsWith(w.suffix) && url.hostname.length > w.suffix.length);
+            if (matched)
+                return true;
+        }
+        return patterns.some((re) => re.test(normalized));
+    };
+}
+/** Normaliza um host de regra (`API.Exemplo.com:8443` → `api.exemplo.com:8443`; IDN → punycode). */
+function normalizeHostRule(rule) {
+    try {
+        const url = new URL(`http://${rule}`);
+        if (url.pathname !== '/' || url.search || url.username)
+            throw new Error('not a host');
+        return { hostname: url.hostname };
+    }
+    catch {
+        throw new Error(`[flowing] invalid allowedHosts rule "${rule}": use a host like "api.exemplo.com" or "*.exemplo.dev".`);
+    }
+}
+/**
+ * Compila `allowedHosts`. Strings casam com o hostname ou com `host:porta`; `*.exemplo.dev` aceita só
+ * subdomínios; RegExp precisa casar o hostname inteiro.
+ */
+export function compileHostMatcher(rules) {
+    const exact = new Set();
+    const suffixes = [];
+    const patterns = [];
+    for (const rule of rules) {
+        if (rule instanceof RegExp) {
+            patterns.push(toFullMatch(rule));
+        }
+        else if (rule.startsWith('*.')) {
+            suffixes.push(`.${normalizeHostRule(rule.slice(2)).hostname}`);
+        }
+        else if (rule.includes('*')) {
+            throw new Error(`[flowing] invalid allowedHosts rule "${rule}": "*" is only allowed as "*.domain".`);
+        }
+        else {
+            const { hostname } = normalizeHostRule(rule);
+            // Com porta, a regra exige a porta exata (mesmo a padrão); sem porta, aceita qualquer uma.
+            exact.add(rule.includes(':') ? rule.toLowerCase() : hostname);
+        }
+    }
+    return (hostname, host) => {
+        const h = hostname.toLowerCase();
+        const full = host.toLowerCase();
+        if (exact.has(h) || exact.has(full))
+            return true;
+        if (suffixes.some((s) => h.endsWith(s) && h.length > s.length))
+            return true;
+        return patterns.some((re) => re.test(h));
+    };
+}
+/**
+ * Compila a regra de host de `mount(X, { host })`/`group({ host })` (F-35), com as mesmas regras do
+ * `allowedHosts`: string exata (sem porta), `*.dominio` para subdomínios de qualquer profundidade (nunca o
+ * domínio em si), RegExp com casamento da string inteira.
+ */
+export function compileRouteHost(rule) {
+    if (rule instanceof RegExp) {
+        const re = toFullMatch(rule);
+        return { label: String(rule), kind: 'regex', base: '', key: `re:${re.source}/${re.flags}`, test: (h) => re.test(h) };
+    }
+    if (rule.startsWith('*.')) {
+        const base = normalizeHostRule(rule.slice(2)).hostname;
+        const suffix = `.${base}`;
+        return { label: rule, kind: 'wildcard', base, key: `*.${base}`, test: (h) => h.endsWith(suffix) && h.length > suffix.length };
+    }
+    if (rule.includes('*'))
+        throw new Error(`[flowing] invalid host rule "${rule}": "*" is only allowed as "*.domain".`);
+    if (rule.includes(':'))
+        throw new Error(`[flowing] invalid host rule "${rule}": use the hostname without the port.`);
+    const { hostname } = normalizeHostRule(rule);
+    return { label: rule, kind: 'exact', base: hostname, key: hostname, test: (h) => h === hostname };
+}
+/**
+ * Prioridade entre regras que casam com o mesmo host (F-35), usada **igual** pelo roteador e pelo OpenAPI:
+ * exato → curinga mais específico (mais rótulos no domínio base) → RegExp, na ordem de registro.
+ * Menor vence. Rotas sem host ficam por último (são o fallback).
+ */
+export function hostRank(rule, seq) {
+    if (rule.kind === 'exact')
+        return 0;
+    if (rule.kind === 'wildcard')
+        return 1_000_000 - rule.base.split('.').length * 1_000 + Math.min(seq, 999);
+    return 2_000_000 + seq;
+}
+export const NO_HOST_RANK = Number.MAX_SAFE_INTEGER;
+/**
+ * Uma regra de rota pode ser alcançada com este `allowedHosts`? (F-35)
+ * `'yes'` quando há interseção comprovada, `'no'` quando comprovadamente não há, `'unknown'` com RegExp.
+ */
+export function hostReachability(rule, allowed) {
+    if (rule.kind === 'regex')
+        return 'unknown';
+    let unknown = false;
+    for (const a of allowed) {
+        if (a instanceof RegExp) {
+            if (rule.kind === 'exact' && toFullMatch(a).test(rule.base))
+                return 'yes';
+            unknown = true;
+            continue;
+        }
+        if (a.startsWith('*.')) {
+            const c = normalizeHostRule(a.slice(2)).hostname;
+            if (rule.kind === 'exact' && rule.base.endsWith(`.${c}`))
+                return 'yes';
+            // Dois curingas se sobrepõem quando um domínio base está dentro do outro.
+            if (rule.kind === 'wildcard' && (c === rule.base || c.endsWith(`.${rule.base}`) || rule.base.endsWith(`.${c}`)))
+                return 'yes';
+            continue;
+        }
+        const host = normalizeHostRule(a).hostname; // `api.exemplo.com:8443` → `api.exemplo.com`
+        if (rule.test(host))
+            return 'yes';
+    }
+    return unknown ? 'unknown' : 'no';
+}
+//# sourceMappingURL=origin-match.js.map

package/dist/utils/origin-match.js.map

@@ -0,0 +1 @@
+{"version":3,"file":"origin-match.js","sourceRoot":"","sources":["../../src/utils/origin-match.ts"],"names":[],"mappings":"AAAA;;;;;;;;;;;;GAYG;AAIH,6FAA6F;AAC7F,MAAM,UAAU,WAAW,CAAC,IAAY;IACtC,OAAO,IAAI,MAAM,CAAC,OAAO,IAAI,CAAC,MAAM,IAAI,EAAE,IAAI,CAAC,KAAK,CAAC,OAAO,CAAC,QAAQ,EAAE,EAAE,CAAC,CAAC,CAAC;AAC9E,CAAC;AASD,qHAAqH;AACrH,MAAM,UAAU,eAAe,CAAC,KAAa;IAC3C,IAAI,KAAK,KAAK,MAAM;QAAE,OAAO,MAAM,CAAC;IACpC,IAAI,CAAC;QACH,MAAM,GAAG,GAAG,IAAI,GAAG,CAAC,KAAK,CAAC,CAAC;QAC3B,IAAI,GAAG,CAAC,MAAM,KAAK,MAAM;YAAE,OAAO,SAAS,CAAC;QAC5C,OAAO,GAAG,CAAC,MAAM,CAAC;IACpB,CAAC;IAAC,MAAM,CAAC;QACP,OAAO,SAAS,CAAC;IACnB,CAAC;AACH,CAAC;AAED,SAAS,mBAAmB,CAAC,IAAY;IACvC,MAAM,KAAK,GAAG,uDAAuD,CAAC,IAAI,CAAC,IAAI,CAAC,CAAC;IACjF,IAAI,CAAC,KAAK,EAAE,CAAC;QACX,MAAM,IAAI,KAAK,CAAC,kCAAkC,IAAI,0EAA0E,CAAC,CAAC;IACpI,CAAC;IACD,MAAM,CAAC,EAAE,QAAQ,EAAE,MAAM,EAAE,IAAI,GAAG,EAAE,CAAC,GAAG,KAAK,CAAC;IAC9C,gFAAgF;IAChF,MAAM,GAAG,GAAG,IAAI,GAAG,CAAC,GAAG,QAAQ,OAAO,MAAM,GAAG,IAAI,CAAC,CAAC,CAAC,IAAI,IAAI,EAAE,CAAC,CAAC,CAAC,EAAE,EAAE,CAAC,CAAC;IACzE,OAAO,EAAE,QAAQ,EAAE,GAAG,CAAC,QAAQ,EAAE,MAAM,EAAE,GAAG,CAAC,QAAQ,CAAC,KAAK,CAAC,CAAC,CAAC,EAAE,IAAI,EAAE,GAAG,CAAC,IAAI,EAAE,CAAC;AACnF,CAAC;AAED;;;GAGG;AACH,MAAM,UAAU,oBAAoB,CAAC,KAA2B;IAC9D,MAAM,KAAK,GAAG,IAAI,GAAG,EAAU,CAAC;IAChC,MAAM,SAAS,GAAqB,EAAE,CAAC;IACvC,MAAM,QAAQ,GAAa,EAAE,CAAC;IAE9B,KAAK,MAAM,IAAI,IAAI,KAAK,EAAE,CAAC;QACzB,IAAI,IAAI,YAAY,MAAM,EAAE,CAAC;YAC3B,QAAQ,CAAC,IAAI,CAAC,WAAW,CAAC,IAAI,CAAC,CAAC,CAAC;YACjC,SAAS;QACX,CAAC;QACD,IAAI,IAAI,KAAK,GAAG,EAAE,CAAC;YACjB,MAAM,IAAI,KAAK,CAAC,wFAAwF,CAAC,CAAC;QAC5G,CAAC;QACD,IAAI,IAAI,CAAC,QAAQ,CAAC,GAAG,CAAC,EAAE,CAAC;YACvB,SAAS,CAAC,IAAI,CAAC,mBAAmB,CAAC,IAAI,CAAC,CAAC,CAAC;YAC1C,SAAS;QACX,CAAC;QACD,MAAM,UAAU,GAAG,eAAe,CAAC,IAAI,CAAC,CAAC;QACzC,IAAI,CAAC,UAAU,EAAE,CAAC;YAChB,MAAM,IAAI,KAAK,CAAC,kCAAkC,IAAI,qEAAqE,CAAC,CAAC;QAC/H,CAAC;QACD,KAAK,CAAC,GAAG,CAAC,UAAU,CAAC,CAAC;IACxB,CAAC;IAED,OAAO,CAAC,MAAM,EAAE,EAAE;QAChB,MAAM,UAAU,GAAG,eAAe,CAAC,MAAM,CAAC,CAAC;QAC3C,IAAI,CAAC,UAAU;YAAE,OAAO,KAAK,CAAC;QAC9B,IAAI,KAAK,CAAC,GAAG,CAAC,UAAU,CAAC;YAAE,OAAO,IAAI,CAAC;QACvC,IAAI,UAAU,KAAK,MAAM,IAAI,SAAS,CAAC,MAAM,GAAG,CAAC,EAAE,CAAC;YAClD,MAAM,GAAG,GAAG,IAAI,GAAG,CAAC,UAAU,CAAC,CAAC;YAChC,MAAM,OAAO,GAAG,SAAS,CAAC,IAAI,CAC5B,CAAC,CAAC,EAAE,EAAE,CACJ,CAAC,CAAC,QAAQ,KAAK,GAAG,CAAC,QAAQ,IAAI,CAAC,CAAC,IAAI,KAAK,GAAG,CAAC,IAAI,IAAI,GAAG,CAAC,QAAQ,CAAC,QAAQ,CAAC,CAAC,CAAC,MAAM,CAAC,IAAI,GAAG,CAAC,QAAQ,CAAC,MAAM,GAAG,CAAC,CAAC,MAAM,CAAC,MAAM,CACjI,CAAC;YACF,IAAI,OAAO;gBAAE,OAAO,IAAI,CAAC;QAC3B,CAAC;QACD,OAAO,QAAQ,CAAC,IAAI,CAAC,CAAC,EAAE,EAAE,EAAE,CAAC,EAAE,CAAC,IAAI,CAAC,UAAU,CAAC,CAAC,CAAC;IACpD,CAAC,CAAC;AACJ,CAAC;AAED,oGAAoG;AACpG,SAAS,iBAAiB,CAAC,IAAY;IACrC,IAAI,CAAC;QACH,MAAM,GAAG,GAAG,IAAI,GAAG,CAAC,UAAU,IAAI,EAAE,CAAC,CAAC;QACtC,IAAI,GAAG,CAAC,QAAQ,KAAK,GAAG,IAAI,GAAG,CAAC,MAAM,IAAI,GAAG,CAAC,QAAQ;YAAE,MAAM,IAAI,KAAK,CAAC,YAAY,CAAC,CAAC;QACtF,OAAO,EAAE,QAAQ,EAAE,GAAG,CAAC,QAAQ,EAAE,CAAC;IACpC,CAAC;IAAC,MAAM,CAAC;QACP,MAAM,IAAI,KAAK,CAAC,wCAAwC,IAAI,0DAA0D,CAAC,CAAC;IAC1H,CAAC;AACH,CAAC;AAED;;;GAGG;AACH,MAAM,UAAU,kBAAkB,CAAC,KAA2B;IAC5D,MAAM,KAAK,GAAG,IAAI,GAAG,EAAU,CAAC;IAChC,MAAM,QAAQ,GAAa,EAAE,CAAC;IAC9B,MAAM,QAAQ,GAAa,EAAE,CAAC;IAE9B,KAAK,MAAM,IAAI,IAAI,KAAK,EAAE,CAAC;QACzB,IAAI,IAAI,YAAY,MAAM,EAAE,CAAC;YAC3B,QAAQ,CAAC,IAAI,CAAC,WAAW,CAAC,IAAI,CAAC,CAAC,CAAC;QACnC,CAAC;aAAM,IAAI,IAAI,CAAC,UAAU,CAAC,IAAI,CAAC,EAAE,CAAC;YACjC,QAAQ,CAAC,IAAI,CAAC,IAAI,iBAAiB,CAAC,IAAI,CAAC,KAAK,CAAC,CAAC,CAAC,CAAC,CAAC,QAAQ,EAAE,CAAC,CAAC;QACjE,CAAC;aAAM,IAAI,IAAI,CAAC,QAAQ,CAAC,GAAG,CAAC,EAAE,CAAC;YAC9B,MAAM,IAAI,KAAK,CAAC,wCAAwC,IAAI,uCAAuC,CAAC,CAAC;QACvG,CAAC;aAAM,CAAC;YACN,MAAM,EAAE,QAAQ,EAAE,GAAG,iBAAiB,CAAC,IAAI,CAAC,CAAC;YAC7C,2FAA2F;YAC3F,KAAK,CAAC,GAAG,CAAC,IAAI,CAAC,QAAQ,CAAC,GAAG,CAAC,CAAC,CAAC,CAAC,IAAI,CAAC,WAAW,EAAE,CAAC,CAAC,CAAC,QAAQ,CAAC,CAAC;QAChE,CAAC;IACH,CAAC;IAED,OAAO,CAAC,QAAQ,EAAE,IAAI,EAAE,EAAE;QACxB,MAAM,CAAC,GAAG,QAAQ,CAAC,WAAW,EAAE,CAAC;QACjC,MAAM,IAAI,GAAG,IAAI,CAAC,WAAW,EAAE,CAAC;QAChC,IAAI,KAAK,CAAC,GAAG,CAAC,CAAC,CAAC,IAAI,KAAK,CAAC,GAAG,CAAC,IAAI,CAAC;YAAE,OAAO,IAAI,CAAC;QACjD,IAAI,QAAQ,CAAC,IAAI,CAAC,CAAC,CAAC,EAAE,EAAE,CAAC,CAAC,CAAC,QAAQ,CAAC,CAAC,CAAC,IAAI,CAAC,CAAC,MAAM,GAAG,CAAC,CAAC,MAAM,CAAC;YAAE,OAAO,IAAI,CAAC;QAC5E,OAAO,QAAQ,CAAC,IAAI,CAAC,CAAC,EAAE,EAAE,EAAE,CAAC,EAAE,CAAC,IAAI,CAAC,CAAC,CAAC,CAAC,CAAC;IAC3C,CAAC,CAAC;AACJ,CAAC;AAcD;;;;GAIG;AACH,MAAM,UAAU,gBAAgB,CAAC,IAAe;IAC9C,IAAI,IAAI,YAAY,MAAM,EAAE,CAAC;QAC3B,MAAM,EAAE,GAAG,WAAW,CAAC,IAAI,CAAC,CAAC;QAC7B,OAAO,EAAE,KAAK,EAAE,MAAM,CAAC,IAAI,CAAC,EAAE,IAAI,EAAE,OAAO,EAAE,IAAI,EAAE,EAAE,EAAE,GAAG,EAAE,MAAM,EAAE,CAAC,MAAM,IAAI,EAAE,CAAC,KAAK,EAAE,EAAE,IAAI,EAAE,CAAC,CAAC,EAAE,EAAE,CAAC,EAAE,CAAC,IAAI,CAAC,CAAC,CAAC,EAAE,CAAC;IACvH,CAAC;IACD,IAAI,IAAI,CAAC,UAAU,CAAC,IAAI,CAAC,EAAE,CAAC;QAC1B,MAAM,IAAI,GAAG,iBAAiB,CAAC,IAAI,CAAC,KAAK,CAAC,CAAC,CAAC,CAAC,CAAC,QAAQ,CAAC;QACvD,MAAM,MAAM,GAAG,IAAI,IAAI,EAAE,CAAC;QAC1B,OAAO,EAAE,KAAK,EAAE,IAAI,EAAE,IAAI,EAAE,UAAU,EAAE,IAAI,EAAE,GAAG,EAAE,KAAK,IAAI,EAAE,EAAE,IAAI,EAAE,CAAC,CAAC,EAAE,EAAE,CAAC,CAAC,CAAC,QAAQ,CAAC,MAAM,CAAC,IAAI,CAAC,CAAC,MAAM,GAAG,MAAM,CAAC,MAAM,EAAE,CAAC;IAChI,CAAC;IACD,IAAI,IAAI,CAAC,QAAQ,CAAC,GAAG,CAAC;QAAE,MAAM,IAAI,KAAK,CAAC,gCAAgC,IAAI,uCAAuC,CAAC,CAAC;IACrH,IAAI,IAAI,CAAC,QAAQ,CAAC,GAAG,CAAC;QAAE,MAAM,IAAI,KAAK,CAAC,gCAAgC,IAAI,uCAAuC,CAAC,CAAC;IACrH,MAAM,EAAE,QAAQ,EAAE,GAAG,iBAAiB,CAAC,IAAI,CAAC,CAAC;IAC7C,OAAO,EAAE,KAAK,EAAE,IAAI,EAAE,IAAI,EAAE,OAAO,EAAE,IAAI,EAAE,QAAQ,EAAE,GAAG,EAAE,QAAQ,EAAE,IAAI,EAAE,CAAC,CAAC,EAAE,EAAE,CAAC,CAAC,KAAK,QAAQ,EAAE,CAAC;AACpG,CAAC;AAED;;;;GAIG;AACH,MAAM,UAAU,QAAQ,CAAC,IAAmB,EAAE,GAAW;IACvD,IAAI,IAAI,CAAC,IAAI,KAAK,OAAO;QAAE,OAAO,CAAC,CAAC;IACpC,IAAI,IAAI,CAAC,IAAI,KAAK,UAAU;QAAE,OAAO,SAAS,GAAG,IAAI,CAAC,IAAI,CAAC,KAAK,CAAC,GAAG,CAAC,CAAC,MAAM,GAAG,KAAK,GAAG,IAAI,CAAC,GAAG,CAAC,GAAG,EAAE,GAAG,CAAC,CAAC;IAC1G,OAAO,SAAS,GAAG,GAAG,CAAC;AACzB,CAAC;AACD,MAAM,CAAC,MAAM,YAAY,GAAG,MAAM,CAAC,gBAAgB,CAAC;AAEpD;;;GAGG;AACH,MAAM,UAAU,gBAAgB,CAAC,IAAmB,EAAE,OAA6B;IACjF,IAAI,IAAI,CAAC,IAAI,KAAK,OAAO;QAAE,OAAO,SAAS,CAAC;IAC5C,IAAI,OAAO,GAAG,KAAK,CAAC;IACpB,KAAK,MAAM,CAAC,IAAI,OAAO,EAAE,CAAC;QACxB,IAAI,CAAC,YAAY,MAAM,EAAE,CAAC;YACxB,IAAI,IAAI,CAAC,IAAI,KAAK,OAAO,IAAI,WAAW,CAAC,CAAC,CAAC,CAAC,IAAI,CAAC,IAAI,CAAC,IAAI,CAAC;gBAAE,OAAO,KAAK,CAAC;YAC1E,OAAO,GAAG,IAAI,CAAC;YACf,SAAS;QACX,CAAC;QACD,IAAI,CAAC,CAAC,UAAU,CAAC,IAAI,CAAC,EAAE,CAAC;YACvB,MAAM,CAAC,GAAG,iBAAiB,CAAC,CAAC,CAAC,KAAK,CAAC,CAAC,CAAC,CAAC,CAAC,QAAQ,CAAC;YACjD,IAAI,IAAI,CAAC,IAAI,KAAK,OAAO,IAAI,IAAI,CAAC,IAAI,CAAC,QAAQ,CAAC,IAAI,CAAC,EAAE,CAAC;gBAAE,OAAO,KAAK,CAAC;YACvE,0EAA0E;YAC1E,IAAI,IAAI,CAAC,IAAI,KAAK,UAAU,IAAI,CAAC,CAAC,KAAK,IAAI,CAAC,IAAI,IAAI,CAAC,CAAC,QAAQ,CAAC,IAAI,IAAI,CAAC,IAAI,EAAE,CAAC,IAAI,IAAI,CAAC,IAAI,CAAC,QAAQ,CAAC,IAAI,CAAC,EAAE,CAAC,CAAC;gBAAE,OAAO,KAAK,CAAC;YAC9H,SAAS;QACX,CAAC;QACD,MAAM,IAAI,GAAG,iBAAiB,CAAC,CAAC,CAAC,CAAC,QAAQ,CAAC,CAAC,6CAA6C;QACzF,IAAI,IAAI,CAAC,IAAI,CAAC,IAAI,CAAC;YAAE,OAAO,KAAK,CAAC;IACpC,CAAC;IACD,OAAO,OAAO,CAAC,CAAC,CAAC,SAAS,CAAC,CAAC,CAAC,IAAI,CAAC;AACpC,CAAC"}

package/dist/utils/path.d.ts

@@ -0,0 +1,10 @@
+/** Junta prefixo e caminho com exatamente uma barra entre eles: `('/users/', 'id')` → `/users/id`. */
+export declare function joinPaths(prefix: string, path: string): string;
+/**
+ * Parâmetros de um path na sintaxe do find-my-way (`/:org/users/:id(^\\d+)`, `/files/*`), em ordem (F-29).
+ * Lança erro para parâmetro sem nome (`/:`), nome repetido, regex sem fechamento e `*` fora do fim.
+ */
+export declare function pathParams(path: string): string[];
+/** Forma canônica de um path para comparar rotas: sem barra final, como o roteador (`ignoreTrailingSlash`). */
+export declare function canonicalPath(path: string): string;
+//# sourceMappingURL=path.d.ts.map

package/dist/utils/path.d.ts.map

@@ -0,0 +1 @@
+{"version":3,"file":"path.d.ts","sourceRoot":"","sources":["../../src/utils/path.ts"],"names":[],"mappings":"AAAA,sGAAsG;AACtG,wBAAgB,SAAS,CAAC,MAAM,EAAE,MAAM,EAAE,IAAI,EAAE,MAAM,GAAG,MAAM,CAI9D;AAID;;;GAGG;AACH,wBAAgB,UAAU,CAAC,IAAI,EAAE,MAAM,GAAG,MAAM,EAAE,CAmCjD;AAED,+GAA+G;AAC/G,wBAAgB,aAAa,CAAC,IAAI,EAAE,MAAM,GAAG,MAAM,CAElD"}

package/dist/utils/path.js

@@ -0,0 +1,60 @@
+/** Junta prefixo e caminho com exatamente uma barra entre eles: `('/users/', 'id')` → `/users/id`. */
+export function joinPaths(prefix, path) {
+    const p = prefix.replace(/\/$/, '');
+    const s = path.startsWith('/') ? path : `/${path}`;
+    return `${p}${s}` || '/';
+}
+const NAME_END = new Set(['/', '-', '.', '(']);
+/**
+ * Parâmetros de um path na sintaxe do find-my-way (`/:org/users/:id(^\\d+)`, `/files/*`), em ordem (F-29).
+ * Lança erro para parâmetro sem nome (`/:`), nome repetido, regex sem fechamento e `*` fora do fim.
+ */
+export function pathParams(path) {
+    const names = [];
+    for (let i = 0; i < path.length; i++) {
+        const ch = path[i];
+        if (ch === '*') {
+            if (i !== path.length - 1)
+                throw new Error(`invalid path "${path}": "*" is only allowed at the end`);
+            names.push('*');
+            continue;
+        }
+        if (ch !== ':')
+            continue;
+        if (path[i + 1] === ':') {
+            i++;
+            continue;
+        } // `::` é um ':' literal
+        let j = i + 1;
+        while (j < path.length && !NAME_END.has(path[j]))
+            j++;
+        const name = path.slice(i + 1, j);
+        if (!name)
+            throw new Error(`invalid path "${path}": parameter without a name`);
+        if (names.includes(name))
+            throw new Error(`invalid path "${path}": parameter "${name}" is repeated`);
+        names.push(name);
+        if (path[j] === '(') {
+            let depth = 0;
+            for (; j < path.length; j++) {
+                if (path[j] === '\\') {
+                    j++;
+                    continue;
+                }
+                if (path[j] === '(')
+                    depth++;
+                else if (path[j] === ')' && --depth === 0)
+                    break;
+            }
+            if (depth !== 0)
+                throw new Error(`invalid path "${path}": unterminated regex for "${name}"`);
+        }
+        i = j - (path[j] === ')' ? 0 : 1);
+    }
+    return names;
+}
+/** Forma canônica de um path para comparar rotas: sem barra final, como o roteador (`ignoreTrailingSlash`). */
+export function canonicalPath(path) {
+    return path.length > 1 && path.endsWith('/') ? path.slice(0, -1) : path;
+}
+//# sourceMappingURL=path.js.map

package/dist/utils/path.js.map

@@ -0,0 +1 @@
+{"version":3,"file":"path.js","sourceRoot":"","sources":["../../src/utils/path.ts"],"names":[],"mappings":"AAAA,sGAAsG;AACtG,MAAM,UAAU,SAAS,CAAC,MAAc,EAAE,IAAY;IACpD,MAAM,CAAC,GAAG,MAAM,CAAC,OAAO,CAAC,KAAK,EAAE,EAAE,CAAC,CAAC;IACpC,MAAM,CAAC,GAAG,IAAI,CAAC,UAAU,CAAC,GAAG,CAAC,CAAC,CAAC,CAAC,IAAI,CAAC,CAAC,CAAC,IAAI,IAAI,EAAE,CAAC;IACnD,OAAO,GAAG,CAAC,GAAG,CAAC,EAAE,IAAI,GAAG,CAAC;AAC3B,CAAC;AAED,MAAM,QAAQ,GAAG,IAAI,GAAG,CAAC,CAAC,GAAG,EAAE,GAAG,EAAE,GAAG,EAAE,GAAG,CAAC,CAAC,CAAC;AAE/C;;;GAGG;AACH,MAAM,UAAU,UAAU,CAAC,IAAY;IACrC,MAAM,KAAK,GAAa,EAAE,CAAC;IAC3B,KAAK,IAAI,CAAC,GAAG,CAAC,EAAE,CAAC,GAAG,IAAI,CAAC,MAAM,EAAE,CAAC,EAAE,EAAE,CAAC;QACrC,MAAM,EAAE,GAAG,IAAI,CAAC,CAAC,CAAC,CAAC;QACnB,IAAI,EAAE,KAAK,GAAG,EAAE,CAAC;YACf,IAAI,CAAC,KAAK,IAAI,CAAC,MAAM,GAAG,CAAC;gBAAE,MAAM,IAAI,KAAK,CAAC,iBAAiB,IAAI,mCAAmC,CAAC,CAAC;YACrG,KAAK,CAAC,IAAI,CAAC,GAAG,CAAC,CAAC;YAChB,SAAS;QACX,CAAC;QACD,IAAI,EAAE,KAAK,GAAG;YAAE,SAAS;QACzB,IAAI,IAAI,CAAC,CAAC,GAAG,CAAC,CAAC,KAAK,GAAG,EAAE,CAAC;YACxB,CAAC,EAAE,CAAC;YACJ,SAAS;QACX,CAAC,CAAC,wBAAwB;QAC1B,IAAI,CAAC,GAAG,CAAC,GAAG,CAAC,CAAC;QACd,OAAO,CAAC,GAAG,IAAI,CAAC,MAAM,IAAI,CAAC,QAAQ,CAAC,GAAG,CAAC,IAAI,CAAC,CAAC,CAAE,CAAC;YAAE,CAAC,EAAE,CAAC;QACvD,MAAM,IAAI,GAAG,IAAI,CAAC,KAAK,CAAC,CAAC,GAAG,CAAC,EAAE,CAAC,CAAC,CAAC;QAClC,IAAI,CAAC,IAAI;YAAE,MAAM,IAAI,KAAK,CAAC,iBAAiB,IAAI,6BAA6B,CAAC,CAAC;QAC/E,IAAI,KAAK,CAAC,QAAQ,CAAC,IAAI,CAAC;YAAE,MAAM,IAAI,KAAK,CAAC,iBAAiB,IAAI,iBAAiB,IAAI,eAAe,CAAC,CAAC;QACrG,KAAK,CAAC,IAAI,CAAC,IAAI,CAAC,CAAC;QACjB,IAAI,IAAI,CAAC,CAAC,CAAC,KAAK,GAAG,EAAE,CAAC;YACpB,IAAI,KAAK,GAAG,CAAC,CAAC;YACd,OAAO,CAAC,GAAG,IAAI,CAAC,MAAM,EAAE,CAAC,EAAE,EAAE,CAAC;gBAC5B,IAAI,IAAI,CAAC,CAAC,CAAC,KAAK,IAAI,EAAE,CAAC;oBACrB,CAAC,EAAE,CAAC;oBACJ,SAAS;gBACX,CAAC;gBACD,IAAI,IAAI,CAAC,CAAC,CAAC,KAAK,GAAG;oBAAE,KAAK,EAAE,CAAC;qBACxB,IAAI,IAAI,CAAC,CAAC,CAAC,KAAK,GAAG,IAAI,EAAE,KAAK,KAAK,CAAC;oBAAE,MAAM;YACnD,CAAC;YACD,IAAI,KAAK,KAAK,CAAC;gBAAE,MAAM,IAAI,KAAK,CAAC,iBAAiB,IAAI,8BAA8B,IAAI,GAAG,CAAC,CAAC;QAC/F,CAAC;QACD,CAAC,GAAG,CAAC,GAAG,CAAC,IAAI,CAAC,CAAC,CAAC,KAAK,GAAG,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC;IACpC,CAAC;IACD,OAAO,KAAK,CAAC;AACf,CAAC;AAED,+GAA+G;AAC/G,MAAM,UAAU,aAAa,CAAC,IAAY;IACxC,OAAO,IAAI,CAAC,MAAM,GAAG,CAAC,IAAI,IAAI,CAAC,QAAQ,CAAC,GAAG,CAAC,CAAC,CAAC,CAAC,IAAI,CAAC,KAAK,CAAC,CAAC,EAAE,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,IAAI,CAAC;AAC1E,CAAC"}

package/dist/utils/query.d.ts

@@ -0,0 +1,28 @@
+/** Padrão do `node:querystring`: limita o custo de queries gigantes (S-06). */
+export declare const DEFAULT_MAX_QUERY_KEYS = 1000;
+export type ParsedQuery = Record<string, string | string[]>;
+/**
+ * Converte `URLSearchParams` em objeto (B-07):
+ * - chaves repetidas viram array (`?tag=a&tag=b` → `{ tag: ['a', 'b'] }`);
+ * - `__proto__`, `constructor` e `prototype` são descartadas (S-08);
+ * - pares além de `maxKeys` são ignorados (S-06).
+ *
+ * Usa `URLSearchParams` (WHATWG) em vez do `node:querystring`, que é legado.
+ */
+export declare function parseQuery(params: URLSearchParams, maxKeys?: number): ParsedQuery;
+/**
+ * Parser de query próprio (F-26): recebe a query sem o `?` e devolve um objeto. Use para sintaxes que o parser padrão
+ * não entende, como `?filter[status]=ativo` com o `qs`. Os limites (número de chaves, profundidade) passam a ser do
+ * parser: o `queryMaxKeys` vale só para o padrão.
+ */
+export type QueryParser = (rawQuery: string) => Record<string, unknown>;
+/** Erro de um parser de query próprio: vira 400, sem expor a mensagem original. */
+export declare class InvalidQueryError extends Error {
+    readonly name = "InvalidQueryError";
+}
+/**
+ * Roda um parser próprio e passa o resultado pelo mesmo filtro de chaves perigosas do padrão, de forma recursiva:
+ * um parser mal configurado não reabre o S-08.
+ */
+export declare function parseCustomQuery(parser: QueryParser, search: string): Record<string, unknown>;
+//# sourceMappingURL=query.d.ts.map

package/dist/utils/query.d.ts.map

@@ -0,0 +1 @@
+{"version":3,"file":"query.d.ts","sourceRoot":"","sources":["../../src/utils/query.ts"],"names":[],"mappings":"AAEA,+EAA+E;AAC/E,eAAO,MAAM,sBAAsB,OAAO,CAAC;AAE3C,MAAM,MAAM,WAAW,GAAG,MAAM,CAAC,MAAM,EAAE,MAAM,GAAG,MAAM,EAAE,CAAC,CAAC;AAE5D;;;;;;;GAOG;AACH,wBAAgB,UAAU,CAAC,MAAM,EAAE,eAAe,EAAE,OAAO,SAAyB,GAAG,WAAW,CAYjG;AAED;;;;GAIG;AACH,MAAM,MAAM,WAAW,GAAG,CAAC,QAAQ,EAAE,MAAM,KAAK,MAAM,CAAC,MAAM,EAAE,OAAO,CAAC,CAAC;AAgBxE,mFAAmF;AACnF,qBAAa,iBAAkB,SAAQ,KAAK;IAC1C,SAAkB,IAAI,uBAAuB;CAC9C;AAED;;;GAGG;AACH,wBAAgB,gBAAgB,CAAC,MAAM,EAAE,WAAW,EAAE,MAAM,EAAE,MAAM,GAAG,MAAM,CAAC,MAAM,EAAE,OAAO,CAAC,CAU7F"}

package/dist/utils/query.js

@@ -0,0 +1,67 @@
+const UNSAFE_KEYS = new Set(['__proto__', 'constructor', 'prototype']);
+/** Padrão do `node:querystring`: limita o custo de queries gigantes (S-06). */
+export const DEFAULT_MAX_QUERY_KEYS = 1000;
+/**
+ * Converte `URLSearchParams` em objeto (B-07):
+ * - chaves repetidas viram array (`?tag=a&tag=b` → `{ tag: ['a', 'b'] }`);
+ * - `__proto__`, `constructor` e `prototype` são descartadas (S-08);
+ * - pares além de `maxKeys` são ignorados (S-06).
+ *
+ * Usa `URLSearchParams` (WHATWG) em vez do `node:querystring`, que é legado.
+ */
+export function parseQuery(params, maxKeys = DEFAULT_MAX_QUERY_KEYS) {
+    const out = {};
+    let count = 0;
+    for (const [key, value] of params) {
+        if (count++ >= maxKeys)
+            break;
+        if (UNSAFE_KEYS.has(key))
+            continue;
+        const prev = out[key];
+        if (prev === undefined)
+            out[key] = value;
+        else if (Array.isArray(prev))
+            prev.push(value);
+        else
+            out[key] = [prev, value];
+    }
+    return out;
+}
+/** Chaves que reabririam prototype pollution (S-08) num objeto aninhado. */
+function dropUnsafe(value, seen, depth) {
+    if (typeof value !== 'object' || value === null)
+        return value;
+    if (seen.has(value) || depth > 32)
+        return undefined;
+    seen.add(value);
+    if (Array.isArray(value))
+        return value.map((v) => dropUnsafe(v, seen, depth + 1));
+    const out = {};
+    for (const key of Object.keys(value)) {
+        if (UNSAFE_KEYS.has(key))
+            continue;
+        out[key] = dropUnsafe(value[key], seen, depth + 1);
+    }
+    return out;
+}
+/** Erro de um parser de query próprio: vira 400, sem expor a mensagem original. */
+export class InvalidQueryError extends Error {
+    name = 'InvalidQueryError';
+}
+/**
+ * Roda um parser próprio e passa o resultado pelo mesmo filtro de chaves perigosas do padrão, de forma recursiva:
+ * um parser mal configurado não reabre o S-08.
+ */
+export function parseCustomQuery(parser, search) {
+    let parsed;
+    try {
+        parsed = parser(search.startsWith('?') ? search.slice(1) : search);
+    }
+    catch {
+        throw new InvalidQueryError('query parser failed');
+    }
+    if (typeof parsed !== 'object' || parsed === null || Array.isArray(parsed))
+        throw new InvalidQueryError('query parser returned a non-object');
+    return dropUnsafe(parsed, new WeakSet(), 0);
+}
+//# sourceMappingURL=query.js.map

package/dist/utils/query.js.map

@@ -0,0 +1 @@
+{"version":3,"file":"query.js","sourceRoot":"","sources":["../../src/utils/query.ts"],"names":[],"mappings":"AAAA,MAAM,WAAW,GAAG,IAAI,GAAG,CAAC,CAAC,WAAW,EAAE,aAAa,EAAE,WAAW,CAAC,CAAC,CAAC;AAEvE,+EAA+E;AAC/E,MAAM,CAAC,MAAM,sBAAsB,GAAG,IAAI,CAAC;AAI3C;;;;;;;GAOG;AACH,MAAM,UAAU,UAAU,CAAC,MAAuB,EAAE,OAAO,GAAG,sBAAsB;IAClF,MAAM,GAAG,GAAgB,EAAE,CAAC;IAC5B,IAAI,KAAK,GAAG,CAAC,CAAC;IACd,KAAK,MAAM,CAAC,GAAG,EAAE,KAAK,CAAC,IAAI,MAAM,EAAE,CAAC;QAClC,IAAI,KAAK,EAAE,IAAI,OAAO;YAAE,MAAM;QAC9B,IAAI,WAAW,CAAC,GAAG,CAAC,GAAG,CAAC;YAAE,SAAS;QACnC,MAAM,IAAI,GAAG,GAAG,CAAC,GAAG,CAAC,CAAC;QACtB,IAAI,IAAI,KAAK,SAAS;YAAE,GAAG,CAAC,GAAG,CAAC,GAAG,KAAK,CAAC;aACpC,IAAI,KAAK,CAAC,OAAO,CAAC,IAAI,CAAC;YAAE,IAAI,CAAC,IAAI,CAAC,KAAK,CAAC,CAAC;;YAC1C,GAAG,CAAC,GAAG,CAAC,GAAG,CAAC,IAAI,EAAE,KAAK,CAAC,CAAC;IAChC,CAAC;IACD,OAAO,GAAG,CAAC;AACb,CAAC;AASD,4EAA4E;AAC5E,SAAS,UAAU,CAAC,KAAc,EAAE,IAAqB,EAAE,KAAa;IACtE,IAAI,OAAO,KAAK,KAAK,QAAQ,IAAI,KAAK,KAAK,IAAI;QAAE,OAAO,KAAK,CAAC;IAC9D,IAAI,IAAI,CAAC,GAAG,CAAC,KAAK,CAAC,IAAI,KAAK,GAAG,EAAE;QAAE,OAAO,SAAS,CAAC;IACpD,IAAI,CAAC,GAAG,CAAC,KAAK,CAAC,CAAC;IAChB,IAAI,KAAK,CAAC,OAAO,CAAC,KAAK,CAAC;QAAE,OAAO,KAAK,CAAC,GAAG,CAAC,CAAC,CAAC,EAAE,EAAE,CAAC,UAAU,CAAC,CAAC,EAAE,IAAI,EAAE,KAAK,GAAG,CAAC,CAAC,CAAC,CAAC;IAClF,MAAM,GAAG,GAA4B,EAAE,CAAC;IACxC,KAAK,MAAM,GAAG,IAAI,MAAM,CAAC,IAAI,CAAC,KAAK,CAAC,EAAE,CAAC;QACrC,IAAI,WAAW,CAAC,GAAG,CAAC,GAAG,CAAC;YAAE,SAAS;QACnC,GAAG,CAAC,GAAG,CAAC,GAAG,UAAU,CAAE,KAAiC,CAAC,GAAG,CAAC,EAAE,IAAI,EAAE,KAAK,GAAG,CAAC,CAAC,CAAC;IAClF,CAAC;IACD,OAAO,GAAG,CAAC;AACb,CAAC;AAED,mFAAmF;AACnF,MAAM,OAAO,iBAAkB,SAAQ,KAAK;IACxB,IAAI,GAAG,mBAAmB,CAAC;CAC9C;AAED;;;GAGG;AACH,MAAM,UAAU,gBAAgB,CAAC,MAAmB,EAAE,MAAc;IAClE,IAAI,MAAe,CAAC;IACpB,IAAI,CAAC;QACH,MAAM,GAAG,MAAM,CAAC,MAAM,CAAC,UAAU,CAAC,GAAG,CAAC,CAAC,CAAC,CAAC,MAAM,CAAC,KAAK,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,MAAM,CAAC,CAAC;IACrE,CAAC;IAAC,MAAM,CAAC;QACP,MAAM,IAAI,iBAAiB,CAAC,qBAAqB,CAAC,CAAC;IACrD,CAAC;IACD,IAAI,OAAO,MAAM,KAAK,QAAQ,IAAI,MAAM,KAAK,IAAI,IAAI,KAAK,CAAC,OAAO,CAAC,MAAM,CAAC;QACxE,MAAM,IAAI,iBAAiB,CAAC,oCAAoC,CAAC,CAAC;IACpE,OAAO,UAAU,CAAC,MAAM,EAAE,IAAI,OAAO,EAAE,EAAE,CAAC,CAA4B,CAAC;AACzE,CAAC"}

package/dist/utils/request-target.d.ts

@@ -0,0 +1,31 @@
+/** Valida um valor de header `Host`/`X-Forwarded-Host` (S-09). */
+export declare function isValidHost(value: string | undefined): value is string;
+/** `host` sem a porta: `api.exemplo.com:8080` → `api.exemplo.com`, `[::1]:3000` → `[::1]`. */
+export declare function hostnameOf(host: string): string;
+/**
+ * Extrai path e query do request-target **sem** deixar o cliente escolher o host (S-09).
+ *
+ * - `//evil.com/x` continua sendo o path `//evil.com/x`; não vira uma URL relativa ao protocolo.
+ * - `http://outro/x` (absolute-form, usado por proxies) só tem o path e a query aproveitados.
+ * - Segmentos `.` e `..` são normalizados como no WHATWG URL.
+ */
+export declare function parseRequestTarget(raw: string | undefined): URL;
+/** Path e query do request-target, como strings (`search` inclui o `?`, ou é `''`). */
+export interface RequestTarget {
+    pathname: string;
+    search: string;
+}
+/**
+ * O mesmo resultado de {@link parseRequestTarget} (S-09), sem criar um objeto `URL` no caso comum
+ * (F-41): para um path simples, já normalizado, o URL não mudaria nada, e basta cortar a string no `?`.
+ * Qualquer outro caso (absolute-form, `%`, `\\`, `//`, segmentos `.`/`..`, caracteres especiais) usa o
+ * caminho completo, com exatamente o comportamento de antes.
+ */
+export declare function splitRequestTarget(raw: string | undefined): RequestTarget;
+/**
+ * Escolhe o valor de um header encaminhado (`X-Forwarded-For`, `-Host`, `-Proto`) segundo `trustProxy`:
+ * - `true`: confia em toda a cadeia e usa o primeiro valor (o cliente original);
+ * - `n` (número): confia em `n` proxies e usa o valor adicionado pelo mais externo deles.
+ */
+export declare function pickForwarded(header: string | string[] | undefined, trust: boolean | number): string | undefined;
+//# sourceMappingURL=request-target.d.ts.map

package/dist/utils/request-target.d.ts.map

@@ -0,0 +1 @@
+{"version":3,"file":"request-target.d.ts","sourceRoot":"","sources":["../../src/utils/request-target.ts"],"names":[],"mappings":"AAGA,kEAAkE;AAClE,wBAAgB,WAAW,CAAC,KAAK,EAAE,MAAM,GAAG,SAAS,GAAG,KAAK,IAAI,MAAM,CAEtE;AAED,8FAA8F;AAC9F,wBAAgB,UAAU,CAAC,IAAI,EAAE,MAAM,GAAG,MAAM,CAE/C;AAED;;;;;;GAMG;AACH,wBAAgB,kBAAkB,CAAC,GAAG,EAAE,MAAM,GAAG,SAAS,GAAG,GAAG,CAa/D;AAED,uFAAuF;AACvF,MAAM,WAAW,aAAa;IAC5B,QAAQ,EAAE,MAAM,CAAC;IACjB,MAAM,EAAE,MAAM,CAAC;CAChB;AAaD;;;;;GAKG;AACH,wBAAgB,kBAAkB,CAAC,GAAG,EAAE,MAAM,GAAG,SAAS,GAAG,aAAa,CAWzE;AAED;;;;GAIG;AACH,wBAAgB,aAAa,CAAC,MAAM,EAAE,MAAM,GAAG,MAAM,EAAE,GAAG,SAAS,EAAE,KAAK,EAAE,OAAO,GAAG,MAAM,GAAG,MAAM,GAAG,SAAS,CAShH"}

package/dist/utils/request-target.js

@@ -0,0 +1,80 @@
+/** `host[:port]`: nome (letras, dígitos, `.` e `-`) ou IPv6 entre colchetes, com porta opcional. */
+const VALID_HOST = /^(?:[A-Za-z0-9](?:[A-Za-z0-9.-]{0,251}[A-Za-z0-9])?|\[[0-9A-Fa-f:.]{2,45}\])(?::\d{1,5})?$/;
+/** Valida um valor de header `Host`/`X-Forwarded-Host` (S-09). */
+export function isValidHost(value) {
+    return typeof value === 'string' && VALID_HOST.test(value);
+}
+/** `host` sem a porta: `api.exemplo.com:8080` → `api.exemplo.com`, `[::1]:3000` → `[::1]`. */
+export function hostnameOf(host) {
+    return host.startsWith('[') ? host.slice(0, host.indexOf(']') + 1) : host.split(':')[0];
+}
+/**
+ * Extrai path e query do request-target **sem** deixar o cliente escolher o host (S-09).
+ *
+ * - `//evil.com/x` continua sendo o path `//evil.com/x`; não vira uma URL relativa ao protocolo.
+ * - `http://outro/x` (absolute-form, usado por proxies) só tem o path e a query aproveitados.
+ * - Segmentos `.` e `..` são normalizados como no WHATWG URL.
+ */
+export function parseRequestTarget(raw) {
+    let target = raw || '/';
+    if (/^[a-z][a-z0-9+.-]*:\/\//i.test(target)) {
+        try {
+            const abs = new URL(target);
+            target = abs.pathname + abs.search;
+        }
+        catch {
+            target = '/';
+        }
+    }
+    if (!target.startsWith('/'))
+        target = `/${target}`;
+    // Base fixa concatenada (e não como segundo argumento): `//x` nunca é lido como host.
+    return new URL(`http://localhost${target}`);
+}
+/**
+ * Caracteres de path que o WHATWG URL mantém exatamente como estão. Ficam de fora, e vão para o
+ * caminho completo com `URL`: `%` (decodificação), `\\` (vira `/`), aspas, espaços, `#`, `<`, `>`,
+ * `{`, `}`, `^`, `|`, `` ` `` e não-ASCII.
+ */
+const SIMPLE_PATH = /^\/[A-Za-z0-9\-._~/:@!$&()*+,;=]*$/;
+/** Query com caracteres que o URL não reescreve (sem `'`, que ele codifica em URLs especiais). */
+const SIMPLE_QUERY = /^[A-Za-z0-9\-._~/:@!$&()*+,;=?%]*$/;
+/** `//`, ou um segmento `.`/`..`: o URL normalizaria, então vai para o caminho completo. */
+const NEEDS_NORMALIZATION = /\/\/|(?:^|\/)\.\.?(?:\/|$)/;
+/**
+ * O mesmo resultado de {@link parseRequestTarget} (S-09), sem criar um objeto `URL` no caso comum
+ * (F-41): para um path simples, já normalizado, o URL não mudaria nada, e basta cortar a string no `?`.
+ * Qualquer outro caso (absolute-form, `%`, `\\`, `//`, segmentos `.`/`..`, caracteres especiais) usa o
+ * caminho completo, com exatamente o comportamento de antes.
+ */
+export function splitRequestTarget(raw) {
+    const target = raw || '/';
+    const q = target.indexOf('?');
+    const path = q === -1 ? target : target.slice(0, q);
+    const query = q === -1 ? '' : target.slice(q + 1);
+    if (SIMPLE_PATH.test(path) && !NEEDS_NORMALIZATION.test(path) && SIMPLE_QUERY.test(query)) {
+        // O URL descarta o `?` final sem query (`/a?` → search `''`).
+        return { pathname: path, search: query ? `?${query}` : '' };
+    }
+    const url = parseRequestTarget(raw);
+    return { pathname: url.pathname, search: url.search };
+}
+/**
+ * Escolhe o valor de um header encaminhado (`X-Forwarded-For`, `-Host`, `-Proto`) segundo `trustProxy`:
+ * - `true`: confia em toda a cadeia e usa o primeiro valor (o cliente original);
+ * - `n` (número): confia em `n` proxies e usa o valor adicionado pelo mais externo deles.
+ */
+export function pickForwarded(header, trust) {
+    if (!trust || header === undefined)
+        return undefined;
+    const list = (Array.isArray(header) ? header.join(',') : header)
+        .split(',')
+        .map((v) => v.trim())
+        .filter(Boolean);
+    if (list.length === 0)
+        return undefined;
+    if (trust === true)
+        return list[0];
+    return list[Math.max(0, list.length - trust)];
+}
+//# sourceMappingURL=request-target.js.map