simplycms 0.4.0

package/dist/auth/accept-invite.d.ts

@@ -0,0 +1,38 @@
+import type { SimplyAuth } from './instance';
+import { type InviteRejection, type OwnerInviteStore } from './invite';
+/**
+ * Прийняття запрошення власника: токен із листа → пароль → робочий вхід.
+ *
+ * 🔴 Ланка, якої бракувало. `issueOwnerInvite` випускав посилання, а
+ * `verifyOwnerInvite` умів лише сказати «токен дійсний»; пароля власник не
+ * отримував ніде, тож перший адмін на чистому магазині був недосяжний.
+ *
+ * 🔴 Пароль пишеться НЕ вручну в `accounts`, а штатним `POST /reset-password`
+ * самого Better Auth. Це свідомий обхід чужої внутрішньої кухні: саме той
+ * ендпойнт уміє і створити credential-акаунт, коли його ще немає (наш
+ * запрошений власник), і перезаписати наявний, і робить це тим самим
+ * хешуванням, що й реєстрація. Копія цієї логіки в нас застаріла б мовчки —
+ * і виявилось би це неможливістю ввійти.
+ *
+ * Ціна прийому — одноразовий внутрішній verification-рядок BA: наш токен уже
+ * доведено спожитий, і ми обмінюємо його на токен, який розуміє BA. Він живе
+ * хвилину й гаситься самим ендпойнтом.
+ */
+/** Чому прийняття не відбулось — рівно ті випадки, які розрізняє UI. */
+export type AcceptInviteRejection = InviteRejection | 'password-rejected';
+export type AcceptOwnerInviteResult = {
+    readonly ok: true;
+    readonly userId: string;
+} | {
+    readonly ok: false;
+    readonly reason: AcceptInviteRejection;
+};
+export interface AcceptOwnerInviteInput {
+    readonly auth: SimplyAuth;
+    readonly store: OwnerInviteStore;
+    readonly email: string;
+    readonly token: string;
+    readonly password: string;
+    readonly now?: Date;
+}
+export declare function acceptOwnerInvite(input: AcceptOwnerInviteInput): Promise<AcceptOwnerInviteResult>;

package/dist/auth/authz.d.ts

@@ -0,0 +1,79 @@
+import type { ActorRole } from 'simplycms/db';
+/**
+ * Перший рубіж моделі безпеки B5″ — типізований authz у TS (Task 7, В2-К1а).
+ *
+ * 🔴 Рубежів два, і плутати їх не можна. ТУТ вирішується, чи операція взагалі
+ * дозволена цьому субʼєкту; РОЛЬ БД (`app_user`/`app_admin`, вмикається
+ * `SET LOCAL ROLE` у `withActor`) — другий рубіж, страхувальна сітка проти
+ * забутого `WHERE` у репозиторії. Другий рубіж не замінює першого: застосунок
+ * сам виставляє собі claims, тож проти скомпрометованого процесу RLS не
+ * захищає — це виміряно спайком B5.
+ */
+/** Доменна роль із `user_roles.role` (енам `app_role`). */
+export type AppRole = 'admin' | 'user';
+/**
+ * Вимір ДІЇ над рядками — дизайн-насіння зі спеки §8.
+ *
+ * 🔴 Тут навмисно ЛИШЕ місце, а не реалізація: `own` не фільтрує нічого сам —
+ * він каже викликачу, що запит зобовʼязаний звузитись до власних рядків
+ * (а RLS це продублює). Ролі персоналу (менеджер замовлень, контент-редактор)
+ * зʼявляться пізніше й розрізнятимуться саме цим виміром, а не набором
+ * операцій, — тому вимір заведено ЗАРАЗ, поки матриця мала.
+ */
+export type AuthScope = 'own' | 'any';
+/** Операції, які знає ядро. Список росте разом із serverFn-шаром К2/К3. */
+export type Operation = 'catalog.read' | 'catalog.write' | 'order.read' | 'order.create' | 'profile.read' | 'profile.update' | 'review.create' | 'review.moderate' | 'user.role.assign' | 'admin.access';
+/** Хто робить операцію. `userId: null` — анонім (гість вітрини). */
+export interface AuthzSubject {
+    readonly userId: string | null;
+    readonly roles: readonly AppRole[];
+}
+type Grants = Readonly<Partial<Record<AppRole, AuthScope>>>;
+/**
+ * Матриця «роль × операція → scope». Відсутній ключ ролі = заборонено.
+ *
+ * 🔴 Анонім у матриці НЕ фігурує окремим рядком: він не має жодної ролі, тож
+ * усе, крім явно публічного, йому закрите за побудовою. Публічне читання
+ * каталогу дає не ця матриця, а ГРАНТ на `app_user` (0002_grants.sql) —
+ * тримати «дозволено всім» у двох місцях означало б колись розійтись.
+ */
+export declare const AUTHZ_MATRIX: Readonly<Record<Operation, Grants>>;
+/** Відмова authz. Окремий клас — щоб хендлер мапив її в 403, а не в 500. */
+export declare class AuthzError extends Error {
+    readonly operation: Operation | AppRole;
+    constructor(operation: Operation | AppRole);
+}
+/**
+ * Найширший scope, який дають субʼєкту його ролі, або `null` — заборонено.
+ */
+export declare function resolveGrant(subject: AuthzSubject, operation: Operation): AuthScope | null;
+/** Чи дозволена операція (без деталей scope). */
+export declare const can: (subject: AuthzSubject, operation: Operation) => boolean;
+/**
+ * Вимагає роль. Використовується там, де перевірка — саме про роль
+ * (наприклад, вхід в адмінку), а не про конкретну операцію.
+ *
+ * @throws AuthzError
+ */
+export declare function requireRole(subject: AuthzSubject, role: AppRole): asserts subject is AuthzSubject;
+/**
+ * Вимагає операцію й повертає scope, з яким її дозволено виконати.
+ *
+ * 🔴 Повертає саме scope, а не `void`: викликач мусить ПОБАЧИТИ, що йому
+ * дозволено лише `own`, і звузити запит. Функція, що повертала б `void`,
+ * зробила б різницю між `own` і `any` невидимою на місці виклику.
+ *
+ * @throws AuthzError
+ */
+export declare function requireOperation(subject: AuthzSubject, operation: Operation): AuthScope;
+/**
+ * Доменна роль → роль БД для `withActor` (другий рубіж).
+ *
+ * 🔴 Мапа однобічна й навмисно тупа: `app_admin` вмикається ЛИШЕ після того,
+ * як перший рубіж уже сказав «так». Викликати `withActor` з `app_admin`,
+ * оминувши `requireOperation`, — це і є той обхід, проти якого весь дизайн.
+ */
+export declare const dbRoleFor: (role: AppRole) => ActorRole;
+/** Роль БД для субʼєкта: адмін — якщо він адмін, інакше звичайний покупець. */
+export declare const dbRoleForSubject: (subject: AuthzSubject) => ActorRole;
+export {};

package/dist/auth/drizzle-proxy.d.ts

@@ -0,0 +1,13 @@
+/** Транзакції proxy-драйвер не підтримує — див. докблок нижче. */
+export type AuthDb = ReturnType<typeof createAuthDb>;
+/**
+ * Drizzle-інстанс для `drizzleAdapter`.
+ *
+ * 🔴 `drizzle-orm/pg-proxy` кидає на `db.transaction()`. Для нас це безпечно й
+ * перевірено: у `@better-auth/drizzle-adapter@1.7.1` усі виклики
+ * `db.transaction` стоять під `config.provider === 'mysql'`, а сам адаптер
+ * конфігурується з `transaction: false` (дефолт). Якщо апстрім це змінить,
+ * ми дізнаємось падінням тесту, а не тихою втратою атомарності — і це
+ * рівно та поведінка, якої ми хочемо від піну версії (B3).
+ */
+export declare function createAuthDb(): import("drizzle-orm/pg-proxy").PgRemoteDatabase<Record<string, never>>;

package/dist/auth/env.d.ts

@@ -0,0 +1,31 @@
+/**
+ * Контракт серверного env для auth-контуру (спека CLI v1 §7, Task 7).
+ *
+ * 🔴 Ключі читаються ЛИШЕ з `process.env` і ЛИШЕ в рантаймі — усередині
+ * фабрики інстансу, не на модуль-рівні. `VITE_`-префікса тут немає й бути не
+ * може: секрет підпису сесій у клієнтському бандлі — це вже не секрет.
+ * Наслідок той самий, що й у Supabase-фабрик: ротація секрету = перезапуск
+ * процесу, без перезбірки.
+ *
+ * Функції винесено з `./instance` навмисно: так контракт env перевіряється
+ * юнітом без інстансу Better Auth і без БД.
+ */
+/** Джерело змінних оточення (та сама форма, що в `db/client` і `supabase/keys`). */
+export interface AuthEnv {
+    readonly BETTER_AUTH_SECRET?: string;
+    readonly BETTER_AUTH_URL?: string;
+}
+/**
+ * Секрет підпису сесій і токенів.
+ *
+ * @throws Error якщо ключ відсутній або порожній — тихий фолбек на
+ * згенерований секрет зробив би всі сесії недійсними після кожного
+ * перезапуску, і діагноз виглядав би як «випадкові розлогіни».
+ */
+export declare function resolveAuthSecret(env: AuthEnv): string;
+/**
+ * Публічна база URL застосунку (потрібна для колбеків OAuth і посилань у
+ * листах). Опційна: без неї Better Auth виводить базу з самого запиту, чого
+ * достатньо для email/password-флоу.
+ */
+export declare const resolveAuthBaseUrl: (env: AuthEnv) => string | undefined;

package/dist/auth/hooks.d.ts

@@ -0,0 +1,63 @@
+import type { AppRole } from './authz';
+/**
+ * Порт `handle_new_user` у TS (B3′, Task 7) — те, що робив SQL-тригер
+ * `on_auth_user_created` на схемі GoTrue.
+ *
+ * 🔴 Інваріант `first_user_no_auto_admin` (аудит 2026-08-04) переїхав сюди
+ * РАЗОМ із логікою і мусить лишитись: перший signup НЕ стає адміном. Стара
+ * діра звалась «хто перший встиг» — реєстрація на свіжому магазині давала
+ * повний доступ будь-кому, хто випередив власника. Роль `admin` тепер видає
+ * ЛИШЕ invite власника (`./invite`) або наявний адмін. Тут ролі не
+ * обчислюються взагалі — вона константа, і саме тому діру неможливо
+ * відтворити «випадковою умовою».
+ */
+/** Роль КОЖНОГО новоствореного користувача. Винятків немає — див. вище. */
+export declare const SIGNUP_ROLE: AppRole;
+/** Мінімум, який Better Auth знає про щойно створеного користувача. */
+export interface NewAuthUser {
+    readonly id: string;
+    readonly email: string;
+    readonly name?: string | null;
+}
+/** Що саме треба записати в доменні таблиці магазину. */
+export interface UserProvisionPlan {
+    readonly userId: string;
+    readonly email: string;
+    readonly firstName: string | null;
+    readonly lastName: string | null;
+    readonly role: AppRole;
+}
+/** Запис плану в БД. Порт — щоб хук тестувався без Postgres. */
+export type ProvisionUser = (plan: UserProvisionPlan) => Promise<void>;
+/**
+ * Розбиває єдине `name` Better Auth на пару, яку чекає `profiles`.
+ *
+ * 🔴 Розрив моделей реальний: GoTrue тримав `first_name`/`last_name` у
+ * `raw_user_meta_data`, а BA має одне поле `name`. Розбиття по ПЕРШОМУ
+ * пробілу (решта — у прізвище) — свідомий компроміс: воно не «правильне» для
+ * всіх культур, зате зворотне (склеювання) завжди дає вихідний рядок.
+ */
+export declare function splitName(name?: string | null): {
+    firstName: string | null;
+    lastName: string | null;
+};
+/**
+ * ЧИСТА побудова плану провізії — рівно те, що можна довести юнітом без БД.
+ *
+ * Категорія покупця тут не обчислюється: у `profiles.category_id` їде
+ * категорія за замовчуванням (`user_categories.is_default`, сід `0003_seed`),
+ * і вибирає її сам INSERT підзапитом — інакше довелось би тягнути зайве
+ * читання й вирішувати, що робити з гонкою.
+ */
+export declare function buildUserProvision(user: NewAuthUser): UserProvisionPlan;
+/**
+ * `databaseHooks.user.create.after` для інстансу Better Auth.
+ *
+ * 🔴 Хук виконується ПІСЛЯ коміту створення користувача й окремою
+ * транзакцією, тобто атомарності «user + profile» немає. Це властивість
+ * `databaseHooks`, а не недогляд: єдиний спосіб дістати атомарність — вести
+ * весь signUp однією транзакцією, чого адаптер BA не дає. Наслідок треба
+ * знати: користувач без профілю можливий, якщо провізія впала, — і саме тому
+ * помилка звідси НЕ ковтається, а летить наверх, роблячи signUp невдалим.
+ */
+export declare const createUserCreateHook: (provisionUser: ProvisionUser) => (user: NewAuthUser) => Promise<void>;

package/dist/auth/index.d.ts

@@ -0,0 +1,33 @@
+/**
+ * `simplycms/auth` — серверний auth-контур v2 (B3′, Task 7, В2-К1а).
+ *
+ * 🔴 К1′б: контур ПІДКЛЮЧЕНО. GoTrue знесено — `src/start.ts` питає ролі
+ * звідси, роут `/api/auth/$` віддає запити хендлеру Better Auth, а клієнт
+ * вітрини живе на `better-auth/react`. Модулів `/auth/confirm` і
+ * `/auth/callback` більше немає.
+ *
+ * 🔴 `./drizzle-proxy` і `./provision` тут НЕ реекспортуються: перший —
+ * деталь того, як адаптер BA дістає транзакцію, другий уже прибінджений
+ * дефолтом усередині `createAuth`. Назовні виходить рівно те, що споживач
+ * мусить назвати сам: інстанс, порти, чисті функції — і `ownerInviteStore`,
+ * бо invite нікуди не прибінджений і без сховища не запускається.
+ */
+export { createAuth, getAuth, resetAuth } from './instance';
+export type { AuthDeps, SimplyAuth } from './instance';
+export { resolveAuthSecret, resolveAuthBaseUrl } from './env';
+export type { AuthEnv } from './env';
+export { buildUserProvision, createUserCreateHook, splitName, SIGNUP_ROLE, } from './hooks';
+export type { NewAuthUser, ProvisionUser, UserProvisionPlan } from './hooks';
+export { acceptOwnerInvite } from './accept-invite';
+export type { AcceptInviteRejection, AcceptOwnerInviteInput, AcceptOwnerInviteResult, } from './accept-invite';
+export { issueOwnerInvite, verifyOwnerInvite, inviteIdentifier, } from './invite';
+export type { InviteRejection, IssueOwnerInviteInput, OwnerInviteResult, OwnerInviteStore, VerifyOwnerInviteResult, } from './invite';
+export { ownerInviteStore, hasAnyAdmin } from './invite-store';
+export { renderInviteEmail, renderResetPasswordEmail } from './invite-email';
+export type { InviteEmail, InviteEmailInput, ResetPasswordEmailInput, SendInviteEmail, } from './invite-email';
+export { stubSendAuthEmail } from './send-email';
+export type { SendAuthEmail } from './send-email';
+export { isAdminRequest, readSessionSubject, readUserRoles } from './session';
+export type { SessionSubject } from './session';
+export { AUTHZ_MATRIX, AuthzError, can, dbRoleFor, dbRoleForSubject, requireOperation, requireRole, resolveGrant, } from './authz';
+export type { AppRole, AuthScope, AuthzSubject, Operation } from './authz';

package/dist/auth/index.js

@@ -0,0 +1,348 @@
+import { betterAuth } from 'better-auth';
+import { drizzleAdapter } from 'better-auth/adapters/drizzle';
+import { verifications, accounts, sessions, users, userRoles, profiles } from 'simplycms/schema';
+import { drizzle } from 'drizzle-orm/pg-proxy';
+import { withActor } from 'simplycms/db';
+import { eq, sql } from 'drizzle-orm';
+import { randomBytes, timingSafeEqual, createHash } from 'crypto';
+
+// src/auth/instance.ts
+var AUTH_ROLE = "app_admin";
+var arrayMode = (method) => method !== "execute";
+function createAuthDb() {
+  return drizzle(async (sql3, params, method) => {
+    const rows = await withActor({ role: AUTH_ROLE }, async (_db, client) => {
+      if (arrayMode(method)) {
+        const result2 = await client.query({
+          text: sql3,
+          values: params,
+          rowMode: "array"
+        });
+        return result2.rows;
+      }
+      const result = await client.query({ text: sql3, values: params });
+      return result.rows;
+    });
+    return { rows };
+  });
+}
+
+// src/auth/env.ts
+function resolveAuthSecret(env) {
+  const secret = env.BETTER_AUTH_SECRET || void 0;
+  if (!secret) {
+    throw new Error(
+      "[simplycms/auth] \u0412\u0456\u0434\u0441\u0443\u0442\u043D\u044F \u0437\u043C\u0456\u043D\u043D\u0430 \u043E\u0442\u043E\u0447\u0435\u043D\u043D\u044F BETTER_AUTH_SECRET \u2014 \u043D\u0435\u043C\u0430 \u0447\u0438\u043C \u043F\u0456\u0434\u043F\u0438\u0441\u0443\u0432\u0430\u0442\u0438 \u0441\u0435\u0441\u0456\u0457. \u041A\u043E\u043D\u0442\u0440\u0430\u043A\u0442 \u0441\u0435\u0440\u0432\u0435\u0440\u043D\u043E\u0433\u043E env \u2014 \u0441\u043F\u0435\u043A\u0430 CLI v1 \xA77 (\u043B\u0438\u0448\u0435 process.env, \u043B\u0438\u0448\u0435 \u0432 \u0440\u0430\u043D\u0442\u0430\u0439\u043C\u0456)."
+    );
+  }
+  return secret;
+}
+var resolveAuthBaseUrl = (env) => env.BETTER_AUTH_URL || void 0;
+
+// src/auth/hooks.ts
+var SIGNUP_ROLE = "user";
+function splitName(name) {
+  const trimmed = (name ?? "").trim();
+  if (!trimmed) return { firstName: null, lastName: null };
+  const space = trimmed.indexOf(" ");
+  if (space === -1) return { firstName: trimmed, lastName: null };
+  return {
+    firstName: trimmed.slice(0, space),
+    lastName: trimmed.slice(space + 1).trim() || null
+  };
+}
+function buildUserProvision(user) {
+  const { firstName, lastName } = splitName(user.name);
+  return {
+    userId: user.id,
+    email: user.email,
+    firstName,
+    lastName,
+    role: SIGNUP_ROLE
+  };
+}
+var createUserCreateHook = (provisionUser) => async (user) => {
+  await provisionUser(buildUserProvision(user));
+};
+
+// src/auth/invite-email.ts
+var escapeHtml = (value) => value.replace(/&/g, "&amp;").replace(/</g, "&lt;").replace(/>/g, "&gt;").replace(/"/g, "&quot;");
+var hours = (ttlMs) => Math.max(1, Math.round(ttlMs / 36e5));
+function renderInviteEmail(input) {
+  const ttl = hours(input.ttlMs);
+  const subject = `\u0417\u0430\u043F\u0440\u043E\u0448\u0435\u043D\u043D\u044F \u0432\u043B\u0430\u0441\u043D\u0438\u043A\u0430 \u2014 ${input.storeName}`;
+  const text = `\u0412\u0430\u0441 \u0437\u0430\u043F\u0440\u043E\u0448\u0435\u043D\u043E \u0432\u043B\u0430\u0441\u043D\u0438\u043A\u043E\u043C \u043C\u0430\u0433\u0430\u0437\u0438\u043D\u0443 \xAB${input.storeName}\xBB.
+
+\u0429\u043E\u0431 \u0437\u0430\u0434\u0430\u0442\u0438 \u043F\u0430\u0440\u043E\u043B\u044C \u0456 \u0443\u0432\u0456\u0439\u0442\u0438, \u0432\u0456\u0434\u043A\u0440\u0438\u0439\u0442\u0435 \u043F\u043E\u0441\u0438\u043B\u0430\u043D\u043D\u044F:
+${input.url}
+
+\u041F\u043E\u0441\u0438\u043B\u0430\u043D\u043D\u044F \u043E\u0434\u043D\u043E\u0440\u0430\u0437\u043E\u0432\u0435 \u0439 \u0434\u0456\u0439\u0441\u043D\u0435 ${ttl} \u0433\u043E\u0434. \u042F\u043A\u0449\u043E \u0432\u0438 \u043D\u0435 \u0447\u0435\u043A\u0430\u043B\u0438 \u0446\u044C\u043E\u0433\u043E \u043B\u0438\u0441\u0442\u0430 \u2014 \u043F\u0440\u043E\u0441\u0442\u043E \u043F\u0440\u043E\u0456\u0433\u043D\u043E\u0440\u0443\u0439\u0442\u0435 \u0439\u043E\u0433\u043E.`;
+  const html = `<p>\u0412\u0430\u0441 \u0437\u0430\u043F\u0440\u043E\u0448\u0435\u043D\u043E \u0432\u043B\u0430\u0441\u043D\u0438\u043A\u043E\u043C \u043C\u0430\u0433\u0430\u0437\u0438\u043D\u0443 \xAB${escapeHtml(input.storeName)}\xBB.</p><p><a href="${escapeHtml(input.url)}">\u0417\u0430\u0434\u0430\u0442\u0438 \u043F\u0430\u0440\u043E\u043B\u044C \u0456 \u0443\u0432\u0456\u0439\u0442\u0438</a></p><p>\u041F\u043E\u0441\u0438\u043B\u0430\u043D\u043D\u044F \u043E\u0434\u043D\u043E\u0440\u0430\u0437\u043E\u0432\u0435 \u0439 \u0434\u0456\u0439\u0441\u043D\u0435 ${ttl} \u0433\u043E\u0434.</p>`;
+  return { to: input.to, subject, text, html };
+}
+function renderResetPasswordEmail(input) {
+  const subject = `\u0421\u043A\u0438\u0434\u0430\u043D\u043D\u044F \u043F\u0430\u0440\u043E\u043B\u044F \u2014 ${input.storeName}`;
+  const text = `\u0412\u0438 (\u0430\u0431\u043E \u0445\u0442\u043E\u0441\u044C \u0456\u043D\u0448\u0438\u0439) \u043F\u043E\u043F\u0440\u043E\u0441\u0438\u043B\u0438 \u0441\u043A\u0438\u043D\u0443\u0442\u0438 \u043F\u0430\u0440\u043E\u043B\u044C \u0443 \u043C\u0430\u0433\u0430\u0437\u0438\u043D\u0456 \xAB${input.storeName}\xBB.
+
+\u0429\u043E\u0431 \u0437\u0430\u0434\u0430\u0442\u0438 \u043D\u043E\u0432\u0438\u0439 \u043F\u0430\u0440\u043E\u043B\u044C, \u0432\u0456\u0434\u043A\u0440\u0438\u0439\u0442\u0435 \u043F\u043E\u0441\u0438\u043B\u0430\u043D\u043D\u044F:
+${input.url}
+
+\u042F\u043A\u0449\u043E \u0432\u0438 \u0446\u044C\u043E\u0433\u043E \u043D\u0435 \u0440\u043E\u0431\u0438\u043B\u0438 \u2014 \u043F\u0440\u043E\u0441\u0442\u043E \u043F\u0440\u043E\u0456\u0433\u043D\u043E\u0440\u0443\u0439\u0442\u0435 \u043B\u0438\u0441\u0442, \u043F\u0430\u0440\u043E\u043B\u044C \u043B\u0438\u0448\u0438\u0442\u044C\u0441\u044F \u043F\u043E\u043F\u0435\u0440\u0435\u0434\u043D\u0456\u043C.`;
+  const html = `<p>\u0417\u0430\u043F\u0438\u0442 \u043D\u0430 \u0441\u043A\u0438\u0434\u0430\u043D\u043D\u044F \u043F\u0430\u0440\u043E\u043B\u044F \u0432 \u043C\u0430\u0433\u0430\u0437\u0438\u043D\u0456 \xAB${escapeHtml(input.storeName)}\xBB.</p><p><a href="${escapeHtml(input.url)}">\u0417\u0430\u0434\u0430\u0442\u0438 \u043D\u043E\u0432\u0438\u0439 \u043F\u0430\u0440\u043E\u043B\u044C</a></p>`;
+  return { to: input.to, subject, text, html };
+}
+var provisionUserInDb = async (plan) => {
+  await withActor({ role: "app_admin" }, async (db) => {
+    await db.insert(profiles).values({
+      userId: plan.userId,
+      email: plan.email,
+      firstName: plan.firstName,
+      lastName: plan.lastName,
+      // 🔴 Підзапитом, а не окремим SELECT: категорія за замовчуванням
+      // читається В ТІЙ САМІЙ транзакції, тож між читанням і записом ніхто
+      // не встигне перемкнути прапорець `is_default`.
+      categoryId: sql`(select id from public.user_categories where is_default limit 1)`
+    });
+    await db.insert(userRoles).values({ userId: plan.userId, role: plan.role }).onConflictDoNothing();
+  });
+};
+
+// src/auth/send-email.ts
+var stubSendAuthEmail = async (message) => {
+  console.warn(
+    `[simplycms/auth] \u041B\u0438\u0441\u0442 \u041D\u0415 \u043D\u0430\u0434\u0456\u0441\u043B\u0430\u043D\u043E (\u0442\u0440\u0430\u043D\u0441\u043F\u043E\u0440\u0442 \u043D\u0435 \u043D\u0430\u043B\u0430\u0448\u0442\u043E\u0432\u0430\u043D\u043E). \u041A\u043E\u043C\u0443: ${message.to}. \u0422\u0435\u043C\u0430: ${message.subject}.
+${message.text}`
+  );
+};
+
+// src/auth/instance.ts
+var authSchema = { users, sessions, accounts, verifications };
+function createAuth(deps = {}) {
+  const sendEmail = deps.sendEmail ?? stubSendAuthEmail;
+  const storeName = deps.storeName ?? "SimplyCMS";
+  return betterAuth({
+    secret: deps.secret ?? resolveAuthSecret(process.env),
+    baseURL: deps.baseURL ?? resolveAuthBaseUrl(process.env),
+    database: deps.database ?? drizzleAdapter(createAuthDb(), {
+      provider: "pg",
+      schema: authSchema,
+      // 🔴 Обовʼязково: наші таблиці названі в МНОЖИНІ (узгоджено з доменною
+      // схемою), а BA за замовчуванням шукає `user`/`session` — без цього
+      // прапорця адаптер падає на першому ж запиті.
+      usePlural: true
+    }),
+    emailAndPassword: {
+      enabled: true,
+      // 🔴 Колбек прибіндований ЗАВЖДИ, навіть коли транспорт — заглушка.
+      // Інакше `requestPasswordReset` мовчки повертав би 200 без жодного
+      // сліду, і «лист не прийшов» неможливо було б відрізнити від
+      // «магазин не налаштував пошту».
+      sendResetPassword: async ({ user, url }) => {
+        await sendEmail(
+          renderResetPasswordEmail({ to: user.email, url, storeName })
+        );
+      }
+    },
+    advanced: {
+      database: {
+        // 🔴 `'uuid'` — єдине значення, коректне для ОБОХ адаптерів. Драйвер
+        // drizzle-pg оголошує `supportsUUIDs`, тож id генерує сама БД
+        // (`gen_random_uuid()` дефолтом колонки, як описано в `schema/auth`);
+        // memory-адаптер UUID не підтримує, і BA згенерує його в JS. Значення
+        // `false` зламало б саме memory-контур — користувач лишався б без id.
+        generateId: "uuid"
+      }
+    },
+    databaseHooks: {
+      user: {
+        create: {
+          after: createUserCreateHook(deps.provisionUser ?? provisionUserInDb)
+        }
+      }
+    }
+  });
+}
+var instance;
+function getAuth() {
+  instance ??= createAuth();
+  return instance;
+}
+function resetAuth() {
+  instance = void 0;
+}
+var DEFAULT_TTL_MS = 24 * 36e5;
+var inviteIdentifier = (email) => `owner-invite:${email.trim().toLowerCase()}`;
+var hashToken = (token) => createHash("sha256").update(token).digest("hex");
+async function issueOwnerInvite(input) {
+  const email = input.email.trim().toLowerCase();
+  const ttlMs = input.ttlMs ?? DEFAULT_TTL_MS;
+  const now = input.now ?? /* @__PURE__ */ new Date();
+  const existing = await input.store.findUserIdByEmail(email);
+  const userId = existing ?? await input.store.createUser({ email, name: email });
+  const token = input.token ?? randomBytes(32).toString("base64url");
+  await input.store.storeToken({
+    identifier: inviteIdentifier(email),
+    valueHash: hashToken(token),
+    expiresAt: new Date(now.getTime() + ttlMs)
+  });
+  await input.store.grantAdminRole(userId);
+  const url = `${input.siteUrl.replace(/\/$/, "")}/auth/invite?email=${encodeURIComponent(email)}&token=${encodeURIComponent(token)}`;
+  await input.sendEmail(
+    renderInviteEmail({
+      to: email,
+      url,
+      storeName: input.storeName ?? "SimplyCMS",
+      ttlMs
+    })
+  );
+  return { userId, created: existing === null, url };
+}
+async function verifyOwnerInvite(input) {
+  const email = input.email.trim().toLowerCase();
+  const now = input.now ?? /* @__PURE__ */ new Date();
+  const record = await input.store.consumeToken(inviteIdentifier(email));
+  if (!record) return { ok: false, reason: "not-found" };
+  if (record.expiresAt.getTime() <= now.getTime())
+    return { ok: false, reason: "expired" };
+  const actual = Buffer.from(hashToken(input.token), "hex");
+  const expected = Buffer.from(record.valueHash, "hex");
+  if (actual.length !== expected.length || !timingSafeEqual(actual, expected))
+    return { ok: false, reason: "mismatch" };
+  const userId = await input.store.findUserIdByEmail(email);
+  return userId ? { ok: true, userId } : { ok: false, reason: "not-found" };
+}
+
+// src/auth/accept-invite.ts
+var EXCHANGE_TTL_MS = 6e4;
+async function acceptOwnerInvite(input) {
+  const verified = await verifyOwnerInvite({
+    store: input.store,
+    email: input.email,
+    token: input.token,
+    now: input.now
+  });
+  if (!verified.ok) return { ok: false, reason: verified.reason };
+  const context = await input.auth.$context;
+  const exchangeToken = randomBytes(32).toString("base64url");
+  await context.internalAdapter.createVerificationValue({
+    identifier: `reset-password:${exchangeToken}`,
+    value: verified.userId,
+    expiresAt: new Date((input.now ?? /* @__PURE__ */ new Date()).getTime() + EXCHANGE_TTL_MS)
+  });
+  const response = await input.auth.api.resetPassword({
+    body: { newPassword: input.password, token: exchangeToken },
+    asResponse: true
+  });
+  if (!response.ok) return { ok: false, reason: "password-rejected" };
+  await context.internalAdapter.updateUser(verified.userId, {
+    emailVerified: true
+  });
+  return { ok: true, userId: verified.userId };
+}
+var ownerInviteStore = {
+  async findUserIdByEmail(email) {
+    return withActor({ role: "app_admin" }, async (db) => {
+      const rows = await db.select({ id: users.id }).from(users).where(eq(sql`lower(${users.email})`, email.trim().toLowerCase())).limit(1);
+      return rows[0]?.id ?? null;
+    });
+  },
+  async createUser({ email, name }) {
+    return withActor({ role: "app_admin" }, async (db) => {
+      const rows = await db.insert(users).values({ email, name, emailVerified: false }).returning({ id: users.id });
+      return rows[0].id;
+    });
+  },
+  async storeToken({ identifier, valueHash, expiresAt }) {
+    await withActor({ role: "app_admin" }, async (db) => {
+      await db.delete(verifications).where(eq(verifications.identifier, identifier));
+      await db.insert(verifications).values({ identifier, value: valueHash, expiresAt });
+    });
+  },
+  async consumeToken(identifier) {
+    return withActor({ role: "app_admin" }, async (db) => {
+      const rows = await db.delete(verifications).where(eq(verifications.identifier, identifier)).returning({
+        valueHash: verifications.value,
+        expiresAt: verifications.expiresAt
+      });
+      return rows[0] ?? null;
+    });
+  },
+  async grantAdminRole(userId) {
+    await withActor({ role: "app_admin" }, async (db) => {
+      await db.insert(userRoles).values({ userId, role: "admin" }).onConflictDoNothing({
+        target: [userRoles.userId, userRoles.role]
+      });
+    });
+  }
+};
+var hasAnyAdmin = async () => withActor({ role: "app_admin" }, async (db) => {
+  const rows = await db.select({ id: userRoles.id }).from(userRoles).where(eq(userRoles.role, "admin")).limit(1);
+  return rows.length > 0;
+});
+async function readUserRoles(userId) {
+  return withActor({ role: "app_user", userId }, async (db) => {
+    const rows = await db.select({ role: userRoles.role }).from(userRoles).where(eq(userRoles.userId, userId));
+    return rows.map((row) => row.role);
+  });
+}
+async function readSessionSubject(headers) {
+  const session = await getAuth().api.getSession({ headers });
+  if (!session) return null;
+  const { user } = session;
+  return {
+    userId: user.id,
+    email: user.email,
+    name: user.name || null,
+    roles: await readUserRoles(user.id)
+  };
+}
+async function isAdminRequest(headers) {
+  const subject = await readSessionSubject(headers);
+  return subject?.roles.includes("admin") ?? false;
+}
+
+// src/auth/authz.ts
+var AUTHZ_MATRIX = {
+  "catalog.read": { user: "any", admin: "any" },
+  "catalog.write": { admin: "any" },
+  "order.read": { user: "own", admin: "any" },
+  "order.create": { user: "own", admin: "any" },
+  "profile.read": { user: "own", admin: "any" },
+  "profile.update": { user: "own", admin: "any" },
+  "review.create": { user: "own", admin: "any" },
+  "review.moderate": { admin: "any" },
+  "user.role.assign": { admin: "any" },
+  "admin.access": { admin: "any" }
+};
+var AuthzError = class extends Error {
+  constructor(operation) {
+    super(`[simplycms/auth] \u041E\u043F\u0435\u0440\u0430\u0446\u0456\u044F \u0437\u0430\u0431\u043E\u0440\u043E\u043D\u0435\u043D\u0430: ${operation}.`);
+    this.operation = operation;
+    this.name = "AuthzError";
+  }
+};
+var WIDER = { own: 0, any: 1 };
+function resolveGrant(subject, operation) {
+  const grants = AUTHZ_MATRIX[operation];
+  let best = null;
+  for (const role of subject.roles) {
+    const scope = grants[role];
+    if (scope && (best === null || WIDER[scope] > WIDER[best])) best = scope;
+  }
+  return best;
+}
+var can = (subject, operation) => resolveGrant(subject, operation) !== null;
+function requireRole(subject, role) {
+  if (!subject.roles.includes(role)) throw new AuthzError(role);
+}
+function requireOperation(subject, operation) {
+  const scope = resolveGrant(subject, operation);
+  if (!scope) throw new AuthzError(operation);
+  return scope;
+}
+var dbRoleFor = (role) => role === "admin" ? "app_admin" : "app_user";
+var dbRoleForSubject = (subject) => subject.roles.includes("admin") ? "app_admin" : "app_user";
+
+export { AUTHZ_MATRIX, AuthzError, SIGNUP_ROLE, acceptOwnerInvite, buildUserProvision, can, createAuth, createUserCreateHook, dbRoleFor, dbRoleForSubject, getAuth, hasAnyAdmin, inviteIdentifier, isAdminRequest, issueOwnerInvite, ownerInviteStore, readSessionSubject, readUserRoles, renderInviteEmail, renderResetPasswordEmail, requireOperation, requireRole, resetAuth, resolveAuthBaseUrl, resolveAuthSecret, resolveGrant, splitName, stubSendAuthEmail, verifyOwnerInvite };
+//# sourceMappingURL=index.js.map
+//# sourceMappingURL=index.js.map