simplycms 0.4.0

package/dist/auth/index.js.map

@@ -0,0 +1 @@
+{"version":3,"sources":["../../src/auth/drizzle-proxy.ts","../../src/auth/env.ts","../../src/auth/hooks.ts","../../src/auth/invite-email.ts","../../src/auth/provision.ts","../../src/auth/send-email.ts","../../src/auth/instance.ts","../../src/auth/invite.ts","../../src/auth/accept-invite.ts","../../src/auth/invite-store.ts","../../src/auth/session.ts","../../src/auth/authz.ts"],"names":["sql","result","withActor","randomBytes","users","verifications","userRoles","eq"],"mappings":";;;;;;;;;AA2BA,IAAM,SAAA,GAAY,WAAA;AASlB,IAAM,SAAA,GAAY,CAAC,MAAA,KAA4B,MAAA,KAAW,SAAA;AAenD,SAAS,YAAA,GAAe;AAC7B,EAAA,OAAO,OAAA,CAAQ,OAAOA,IAAAA,EAAK,MAAA,EAAQ,MAAA,KAAW;AAC5C,IAAA,MAAM,IAAA,GAAO,MAAM,SAAA,CAAU,EAAE,MAAM,SAAA,EAAU,EAAG,OAAO,GAAA,EAAK,MAAA,KAAW;AAIvE,MAAA,IAAI,SAAA,CAAU,MAAM,CAAA,EAAG;AACrB,QAAA,MAAMC,OAAAA,GAAS,MAAM,MAAA,CAAO,KAAA,CAAiB;AAAA,UAC3C,IAAA,EAAMD,IAAAA;AAAA,UACN,MAAA,EAAQ,MAAA;AAAA,UACR,OAAA,EAAS;AAAA,SACV,CAAA;AACD,QAAA,OAAOC,OAAAA,CAAO,IAAA;AAAA,MAChB;AACA,MAAA,MAAM,MAAA,GAAS,MAAM,MAAA,CAAO,KAAA,CAAM,EAAE,IAAA,EAAMD,IAAAA,EAAK,MAAA,EAAQ,MAAA,EAAQ,CAAA;AAC/D,MAAA,OAAO,MAAA,CAAO,IAAA;AAAA,IAChB,CAAC,CAAA;AACD,IAAA,OAAO,EAAE,IAAA,EAAK;AAAA,EAChB,CAAC,CAAA;AACH;;;AC5CO,SAAS,kBAAkB,GAAA,EAAsB;AAEtD,EAAA,MAAM,MAAA,GAAS,IAAI,kBAAA,IAAsB,MAAA;AAEzC,EAAA,IAAI,CAAC,MAAA,EAAQ;AACX,IAAA,MAAM,IAAI,KAAA;AAAA,MACR;AAAA,KAGF;AAAA,EACF;AAEA,EAAA,OAAO,MAAA;AACT;AAOO,IAAM,kBAAA,GAAqB,CAAC,GAAA,KACjC,GAAA,CAAI,eAAA,IAAmB;;;AC/BlB,IAAM,WAAA,GAAuB;AA6B7B,SAAS,UAAU,IAAA,EAGxB;AACA,EAAA,MAAM,OAAA,GAAA,CAAW,IAAA,IAAQ,EAAA,EAAI,IAAA,EAAK;AAClC,EAAA,IAAI,CAAC,OAAA,EAAS,OAAO,EAAE,SAAA,EAAW,IAAA,EAAM,UAAU,IAAA,EAAK;AAEvD,EAAA,MAAM,KAAA,GAAQ,OAAA,CAAQ,OAAA,CAAQ,GAAG,CAAA;AACjC,EAAA,IAAI,UAAU,EAAA,EAAI,OAAO,EAAE,SAAA,EAAW,OAAA,EAAS,UAAU,IAAA,EAAK;AAC9D,EAAA,OAAO;AAAA,IACL,SAAA,EAAW,OAAA,CAAQ,KAAA,CAAM,CAAA,EAAG,KAAK,CAAA;AAAA,IACjC,UAAU,OAAA,CAAQ,KAAA,CAAM,QAAQ,CAAC,CAAA,CAAE,MAAK,IAAK;AAAA,GAC/C;AACF;AAUO,SAAS,mBAAmB,IAAA,EAAsC;AACvE,EAAA,MAAM,EAAE,SAAA,EAAW,QAAA,EAAS,GAAI,SAAA,CAAU,KAAK,IAAI,CAAA;AACnD,EAAA,OAAO;AAAA,IACL,QAAQ,IAAA,CAAK,EAAA;AAAA,IACb,OAAO,IAAA,CAAK,KAAA;AAAA,IACZ,SAAA;AAAA,IACA,QAAA;AAAA,IACA,IAAA,EAAM;AAAA,GACR;AACF;AAYO,IAAM,oBAAA,GACX,CAAC,aAAA,KACD,OAAO,IAAA,KAAqC;AAC1C,EAAA,MAAM,aAAA,CAAc,kBAAA,CAAmB,IAAI,CAAC,CAAA;AAC9C;;;ACxEF,IAAM,aAAa,CAAC,KAAA,KAClB,MACG,OAAA,CAAQ,IAAA,EAAM,OAAO,CAAA,CACrB,OAAA,CAAQ,IAAA,EAAM,MAAM,EACpB,OAAA,CAAQ,IAAA,EAAM,MAAM,CAAA,CACpB,OAAA,CAAQ,MAAM,QAAQ,CAAA;AAG3B,IAAM,KAAA,GAAQ,CAAC,KAAA,KACb,IAAA,CAAK,GAAA,CAAI,GAAG,IAAA,CAAK,KAAA,CAAM,KAAA,GAAQ,IAAS,CAAC,CAAA;AAUpC,SAAS,kBAAkB,KAAA,EAAsC;AACtE,EAAA,MAAM,GAAA,GAAM,KAAA,CAAM,KAAA,CAAM,KAAK,CAAA;AAC7B,EAAA,MAAM,OAAA,GAAU,CAAA,qHAAA,EAAyB,KAAA,CAAM,SAAS,CAAA,CAAA;AACxD,EAAA,MAAM,IAAA,GACJ,CAAA,sLAAA,EAAqC,KAAA,CAAM,SAAS,CAAA;;AAAA;AAAA,EACC,MAAM,GAAG;;AAAA,gKAAA,EAC7B,GAAG,CAAA,yTAAA,CAAA;AAEtC,EAAA,MAAM,IAAA,GACJ,CAAA,yLAAA,EAAwC,UAAA,CAAW,KAAA,CAAM,SAAS,CAAC,CAAA,qBAAA,EACpD,UAAA,CAAW,KAAA,CAAM,GAAG,CAAC,CAAA,kSAAA,EACA,GAAG,CAAA,wBAAA,CAAA;AAEzC,EAAA,OAAO,EAAE,EAAA,EAAI,KAAA,CAAM,EAAA,EAAI,OAAA,EAAS,MAAM,IAAA,EAAK;AAC7C;AAeO,SAAS,yBACd,KAAA,EACa;AACb,EAAA,MAAM,OAAA,GAAU,CAAA,6FAAA,EAAqB,KAAA,CAAM,SAAS,CAAA,CAAA;AACpD,EAAA,MAAM,IAAA,GACJ,CAAA,mSAAA,EACI,KAAA,CAAM,SAAS,CAAA;;AAAA;AAAA,EACJ,MAAM,GAAG;;AAAA,yZAAA,CAAA;AAE1B,EAAA,MAAM,IAAA,GACJ,CAAA,iMAAA,EAA2C,UAAA,CAAW,KAAA,CAAM,SAAS,CAAC,CAAA,qBAAA,EACvD,UAAA,CAAW,KAAA,CAAM,GAAG,CAAC,CAAA,kHAAA,CAAA;AAEtC,EAAA,OAAO,EAAE,EAAA,EAAI,KAAA,CAAM,EAAA,EAAI,OAAA,EAAS,MAAM,IAAA,EAAK;AAC7C;ACtEO,IAAM,iBAAA,GAAmC,OAAO,IAAA,KAAS;AAC9D,EAAA,MAAME,UAAU,EAAE,IAAA,EAAM,WAAA,EAAY,EAAG,OAAO,EAAA,KAAO;AACnD,IAAA,MAAM,EAAA,CAAG,MAAA,CAAO,QAAQ,CAAA,CAAE,MAAA,CAAO;AAAA,MAC/B,QAAQ,IAAA,CAAK,MAAA;AAAA,MACb,OAAO,IAAA,CAAK,KAAA;AAAA,MACZ,WAAW,IAAA,CAAK,SAAA;AAAA,MAChB,UAAU,IAAA,CAAK,QAAA;AAAA;AAAA;AAAA;AAAA,MAIf,UAAA,EAAY,GAAA,CAAA,gEAAA;AAAA,KACb,CAAA;AAID,IAAA,MAAM,EAAA,CACH,MAAA,CAAO,SAAS,CAAA,CAChB,OAAO,EAAE,MAAA,EAAQ,IAAA,CAAK,MAAA,EAAQ,IAAA,EAAM,IAAA,CAAK,IAAA,EAAM,EAC/C,mBAAA,EAAoB;AAAA,EACzB,CAAC,CAAA;AACH,CAAA;;;ACbO,IAAM,iBAAA,GAAmC,OAAO,OAAA,KAAY;AACjE,EAAA,OAAA,CAAQ,IAAA;AAAA,IACN,CAAA,kRAAA,EACW,OAAA,CAAQ,EAAE,CAAA,4BAAA,EAAW,QAAQ,OAAO,CAAA;AAAA,EAAM,QAAQ,IAAI,CAAA;AAAA,GACnE;AACF;;;ACFA,IAAM,UAAA,GAAa,EAAE,KAAA,EAAO,QAAA,EAAU,UAAU,aAAA,EAAc;AA0BvD,SAAS,UAAA,CAAW,IAAA,GAAiB,EAAC,EAAG;AAC9C,EAAA,MAAM,SAAA,GAAY,KAAK,SAAA,IAAa,iBAAA;AACpC,EAAA,MAAM,SAAA,GAAY,KAAK,SAAA,IAAa,WAAA;AAEpC,EAAA,OAAO,UAAA,CAAW;AAAA,IAChB,MAAA,EAAQ,IAAA,CAAK,MAAA,IAAU,iBAAA,CAAkB,QAAQ,GAAG,CAAA;AAAA,IACpD,OAAA,EAAS,IAAA,CAAK,OAAA,IAAW,kBAAA,CAAmB,QAAQ,GAAG,CAAA;AAAA,IACvD,QAAA,EACE,IAAA,CAAK,QAAA,IACL,cAAA,CAAe,cAAa,EAAG;AAAA,MAC7B,QAAA,EAAU,IAAA;AAAA,MACV,MAAA,EAAQ,UAAA;AAAA;AAAA;AAAA;AAAA,MAIR,SAAA,EAAW;AAAA,KACZ,CAAA;AAAA,IACH,gBAAA,EAAkB;AAAA,MAChB,OAAA,EAAS,IAAA;AAAA;AAAA;AAAA;AAAA;AAAA,MAKT,iBAAA,EAAmB,OAAO,EAAE,IAAA,EAAM,KAAI,KAAM;AAC1C,QAAA,MAAM,SAAA;AAAA,UACJ,yBAAyB,EAAE,EAAA,EAAI,KAAK,KAAA,EAAO,GAAA,EAAK,WAAW;AAAA,SAC7D;AAAA,MACF;AAAA,KACF;AAAA,IACA,QAAA,EAAU;AAAA,MACR,QAAA,EAAU;AAAA;AAAA;AAAA;AAAA;AAAA;AAAA,QAMR,UAAA,EAAY;AAAA;AACd,KACF;AAAA,IACA,aAAA,EAAe;AAAA,MACb,IAAA,EAAM;AAAA,QACJ,MAAA,EAAQ;AAAA,UACN,KAAA,EAAO,oBAAA,CAAqB,IAAA,CAAK,aAAA,IAAiB,iBAAiB;AAAA;AACrE;AACF;AACF,GACD,CAAA;AACH;AAKA,IAAI,QAAA;AAMG,SAAS,OAAA,GAAsB;AACpC,EAAA,QAAA,KAAa,UAAA,EAAW;AACxB,EAAA,OAAO,QAAA;AACT;AAGO,SAAS,SAAA,GAAkB;AAChC,EAAA,QAAA,GAAW,MAAA;AACb;ACnFA,IAAM,iBAAiB,EAAA,GAAK,IAAA;AAGrB,IAAM,gBAAA,GAAmB,CAAC,KAAA,KAC/B,CAAA,aAAA,EAAgB,MAAM,IAAA,EAAK,CAAE,aAAa,CAAA;AAE5C,IAAM,SAAA,GAAY,CAAC,KAAA,KACjB,UAAA,CAAW,QAAQ,EAAE,MAAA,CAAO,KAAK,CAAA,CAAE,MAAA,CAAO,KAAK,CAAA;AA2BjD,eAAsB,iBACpB,KAAA,EAC4B;AAC5B,EAAA,MAAM,KAAA,GAAQ,KAAA,CAAM,KAAA,CAAM,IAAA,GAAO,WAAA,EAAY;AAC7C,EAAA,MAAM,KAAA,GAAQ,MAAM,KAAA,IAAS,cAAA;AAC7B,EAAA,MAAM,GAAA,GAAM,KAAA,CAAM,GAAA,oBAAO,IAAI,IAAA,EAAK;AAElC,EAAA,MAAM,QAAA,GAAW,MAAM,KAAA,CAAM,KAAA,CAAM,kBAAkB,KAAK,CAAA;AAC1D,EAAA,MAAM,MAAA,GACJ,QAAA,IAAa,MAAM,KAAA,CAAM,KAAA,CAAM,WAAW,EAAE,KAAA,EAAO,IAAA,EAAM,KAAA,EAAO,CAAA;AAElE,EAAA,MAAM,QAAQ,KAAA,CAAM,KAAA,IAAS,YAAY,EAAE,CAAA,CAAE,SAAS,WAAW,CAAA;AACjE,EAAA,MAAM,KAAA,CAAM,MAAM,UAAA,CAAW;AAAA,IAC3B,UAAA,EAAY,iBAAiB,KAAK,CAAA;AAAA,IAClC,SAAA,EAAW,UAAU,KAAK,CAAA;AAAA,IAC1B,WAAW,IAAI,IAAA,CAAK,GAAA,CAAI,OAAA,KAAY,KAAK;AAAA,GAC1C,CAAA;AAKD,EAAA,MAAM,KAAA,CAAM,KAAA,CAAM,cAAA,CAAe,MAAM,CAAA;AAEvC,EAAA,MAAM,GAAA,GACJ,CAAA,EAAG,KAAA,CAAM,OAAA,CAAQ,QAAQ,KAAA,EAAO,EAAE,CAAC,CAAA,mBAAA,EACzB,mBAAmB,KAAK,CAAC,CAAA,OAAA,EAAU,kBAAA,CAAmB,KAAK,CAAC,CAAA,CAAA;AAExE,EAAA,MAAM,KAAA,CAAM,SAAA;AAAA,IACV,iBAAA,CAAkB;AAAA,MAChB,EAAA,EAAI,KAAA;AAAA,MACJ,GAAA;AAAA,MACA,SAAA,EAAW,MAAM,SAAA,IAAa,WAAA;AAAA,MAC9B;AAAA,KACD;AAAA,GACH;AAEA,EAAA,OAAO,EAAE,MAAA,EAAQ,OAAA,EAAS,QAAA,KAAa,MAAM,GAAA,EAAI;AACnD;AAmBA,eAAsB,kBAAkB,KAAA,EAKH;AACnC,EAAA,MAAM,KAAA,GAAQ,KAAA,CAAM,KAAA,CAAM,IAAA,GAAO,WAAA,EAAY;AAC7C,EAAA,MAAM,GAAA,GAAM,KAAA,CAAM,GAAA,oBAAO,IAAI,IAAA,EAAK;AAElC,EAAA,MAAM,SAAS,MAAM,KAAA,CAAM,MAAM,YAAA,CAAa,gBAAA,CAAiB,KAAK,CAAC,CAAA;AACrE,EAAA,IAAI,CAAC,MAAA,EAAQ,OAAO,EAAE,EAAA,EAAI,KAAA,EAAO,QAAQ,WAAA,EAAY;AACrD,EAAA,IAAI,MAAA,CAAO,SAAA,CAAU,OAAA,EAAQ,IAAK,IAAI,OAAA,EAAQ;AAC5C,IAAA,OAAO,EAAE,EAAA,EAAI,KAAA,EAAO,MAAA,EAAQ,SAAA,EAAU;AAExC,EAAA,MAAM,SAAS,MAAA,CAAO,IAAA,CAAK,UAAU,KAAA,CAAM,KAAK,GAAG,KAAK,CAAA;AACxD,EAAA,MAAM,QAAA,GAAW,MAAA,CAAO,IAAA,CAAK,MAAA,CAAO,WAAW,KAAK,CAAA;AACpD,EAAA,IAAI,OAAO,MAAA,KAAW,QAAA,CAAS,UAAU,CAAC,eAAA,CAAgB,QAAQ,QAAQ,CAAA;AACxE,IAAA,OAAO,EAAE,EAAA,EAAI,KAAA,EAAO,MAAA,EAAQ,UAAA,EAAW;AAEzC,EAAA,MAAM,MAAA,GAAS,MAAM,KAAA,CAAM,KAAA,CAAM,kBAAkB,KAAK,CAAA;AACxD,EAAA,OAAO,MAAA,GAAS,EAAE,EAAA,EAAI,IAAA,EAAM,MAAA,KAAW,EAAE,EAAA,EAAI,KAAA,EAAO,MAAA,EAAQ,WAAA,EAAY;AAC1E;;;ACnGA,IAAM,eAAA,GAAkB,GAAA;AAExB,eAAsB,kBACpB,KAAA,EACkC;AAGlC,EAAA,MAAM,QAAA,GAAW,MAAM,iBAAA,CAAkB;AAAA,IACvC,OAAO,KAAA,CAAM,KAAA;AAAA,IACb,OAAO,KAAA,CAAM,KAAA;AAAA,IACb,OAAO,KAAA,CAAM,KAAA;AAAA,IACb,KAAK,KAAA,CAAM;AAAA,GACZ,CAAA;AACD,EAAA,IAAI,CAAC,SAAS,EAAA,EAAI,OAAO,EAAE,EAAA,EAAI,KAAA,EAAO,MAAA,EAAQ,QAAA,CAAS,MAAA,EAAO;AAE9D,EAAA,MAAM,OAAA,GAAU,MAAM,KAAA,CAAM,IAAA,CAAK,QAAA;AACjC,EAAA,MAAM,aAAA,GAAgBC,WAAAA,CAAY,EAAE,CAAA,CAAE,SAAS,WAAW,CAAA;AAC1D,EAAA,MAAM,OAAA,CAAQ,gBAAgB,uBAAA,CAAwB;AAAA,IACpD,UAAA,EAAY,kBAAkB,aAAa,CAAA,CAAA;AAAA,IAC3C,OAAO,QAAA,CAAS,MAAA;AAAA,IAChB,SAAA,EAAW,IAAI,IAAA,CAAA,CAAM,KAAA,CAAM,GAAA,wBAAW,IAAA,EAAK,EAAG,OAAA,EAAQ,GAAI,eAAe;AAAA,GAC1E,CAAA;AAED,EAAA,MAAM,QAAA,GAAW,MAAM,KAAA,CAAM,IAAA,CAAK,IAAI,aAAA,CAAc;AAAA,IAClD,MAAM,EAAE,WAAA,EAAa,KAAA,CAAM,QAAA,EAAU,OAAO,aAAA,EAAc;AAAA,IAC1D,UAAA,EAAY;AAAA,GACb,CAAA;AACD,EAAA,IAAI,CAAC,SAAS,EAAA,EAAI,OAAO,EAAE,EAAA,EAAI,KAAA,EAAO,QAAQ,mBAAA,EAAoB;AAIlE,EAAA,MAAM,OAAA,CAAQ,eAAA,CAAgB,UAAA,CAAW,QAAA,CAAS,MAAA,EAAQ;AAAA,IACxD,aAAA,EAAe;AAAA,GAChB,CAAA;AAED,EAAA,OAAO,EAAE,EAAA,EAAI,IAAA,EAAM,MAAA,EAAQ,SAAS,MAAA,EAAO;AAC7C;ACpEO,IAAM,gBAAA,GAAqC;AAAA,EAChD,MAAM,kBAAkB,KAAA,EAAO;AAC7B,IAAA,OAAOD,UAAU,EAAE,IAAA,EAAM,WAAA,EAAY,EAAG,OAAO,EAAA,KAAO;AACpD,MAAA,MAAM,IAAA,GAAO,MAAM,EAAA,CAChB,MAAA,CAAO,EAAE,EAAA,EAAIE,KAAAA,CAAM,EAAA,EAAI,CAAA,CACvB,IAAA,CAAKA,KAAK,CAAA,CAGV,KAAA,CAAM,EAAA,CAAGJ,GAAAA,CAAAA,MAAAA,EAAYI,KAAAA,CAAM,KAAK,CAAA,CAAA,CAAA,EAAK,KAAA,CAAM,IAAA,EAAK,CAAE,WAAA,EAAa,CAAC,CAAA,CAChE,KAAA,CAAM,CAAC,CAAA;AACV,MAAA,OAAO,IAAA,CAAK,CAAC,CAAA,EAAG,EAAA,IAAM,IAAA;AAAA,IACxB,CAAC,CAAA;AAAA,EACH,CAAA;AAAA,EAEA,MAAM,UAAA,CAAW,EAAE,KAAA,EAAO,MAAK,EAAG;AAChC,IAAA,OAAOF,UAAU,EAAE,IAAA,EAAM,WAAA,EAAY,EAAG,OAAO,EAAA,KAAO;AACpD,MAAA,MAAM,OAAO,MAAM,EAAA,CAChB,OAAOE,KAAK,CAAA,CAGZ,OAAO,EAAE,KAAA,EAAO,MAAM,aAAA,EAAe,KAAA,EAAO,CAAA,CAC5C,SAAA,CAAU,EAAE,EAAA,EAAIA,KAAAA,CAAM,IAAI,CAAA;AAC7B,MAAA,OAAO,IAAA,CAAK,CAAC,CAAA,CAAE,EAAA;AAAA,IACjB,CAAC,CAAA;AAAA,EACH,CAAA;AAAA,EAEA,MAAM,UAAA,CAAW,EAAE,UAAA,EAAY,SAAA,EAAW,WAAU,EAAG;AACrD,IAAA,MAAMF,UAAU,EAAE,IAAA,EAAM,WAAA,EAAY,EAAG,OAAO,EAAA,KAAO;AAGnD,MAAA,MAAM,EAAA,CACH,OAAOG,aAAa,CAAA,CACpB,MAAM,EAAA,CAAGA,aAAAA,CAAc,UAAA,EAAY,UAAU,CAAC,CAAA;AACjD,MAAA,MAAM,EAAA,CACH,MAAA,CAAOA,aAAa,CAAA,CACpB,MAAA,CAAO,EAAE,UAAA,EAAY,KAAA,EAAO,SAAA,EAAW,SAAA,EAAW,CAAA;AAAA,IACvD,CAAC,CAAA;AAAA,EACH,CAAA;AAAA,EAEA,MAAM,aAAa,UAAA,EAAY;AAC7B,IAAA,OAAOH,UAAU,EAAE,IAAA,EAAM,WAAA,EAAY,EAAG,OAAO,EAAA,KAAO;AAIpD,MAAA,MAAM,IAAA,GAAO,MAAM,EAAA,CAChB,MAAA,CAAOG,aAAa,CAAA,CACpB,KAAA,CAAM,EAAA,CAAGA,aAAAA,CAAc,UAAA,EAAY,UAAU,CAAC,EAC9C,SAAA,CAAU;AAAA,QACT,WAAWA,aAAAA,CAAc,KAAA;AAAA,QACzB,WAAWA,aAAAA,CAAc;AAAA,OAC1B,CAAA;AACH,MAAA,OAAO,IAAA,CAAK,CAAC,CAAA,IAAK,IAAA;AAAA,IACpB,CAAC,CAAA;AAAA,EACH,CAAA;AAAA,EAEA,MAAM,eAAe,MAAA,EAAQ;AAC3B,IAAA,MAAMH,UAAU,EAAE,IAAA,EAAM,WAAA,EAAY,EAAG,OAAO,EAAA,KAAO;AACnD,MAAA,MAAM,EAAA,CACH,MAAA,CAAOI,SAAS,CAAA,CAChB,MAAA,CAAO,EAAE,MAAA,EAAQ,IAAA,EAAM,OAAA,EAAS,CAAA,CAChC,mBAAA,CAAoB;AAAA,QACnB,MAAA,EAAQ,CAACA,SAAAA,CAAU,MAAA,EAAQA,UAAU,IAAI;AAAA,OAC1C,CAAA;AAAA,IACL,CAAC,CAAA;AAAA,EACH;AACF;AAGO,IAAM,WAAA,GAAc,YACzBJ,SAAAA,CAAU,EAAE,MAAM,WAAA,EAAY,EAAG,OAAO,EAAA,KAAO;AAC7C,EAAA,MAAM,IAAA,GAAO,MAAM,EAAA,CAChB,MAAA,CAAO,EAAE,EAAA,EAAII,SAAAA,CAAU,IAAI,CAAA,CAC3B,KAAKA,SAAS,CAAA,CACd,MAAM,EAAA,CAAGA,SAAAA,CAAU,MAAM,OAAO,CAAC,CAAA,CACjC,KAAA,CAAM,CAAC,CAAA;AACV,EAAA,OAAO,KAAK,MAAA,GAAS,CAAA;AACvB,CAAC;AC1DH,eAAsB,cAAc,MAAA,EAAoC;AACtE,EAAA,OAAOJ,UAAU,EAAE,IAAA,EAAM,YAAY,MAAA,EAAO,EAAG,OAAO,EAAA,KAAO;AAC3D,IAAA,MAAM,OAAO,MAAM,EAAA,CAChB,OAAO,EAAE,IAAA,EAAMI,UAAU,IAAA,EAAM,CAAA,CAC/B,IAAA,CAAKA,SAAS,CAAA,CACd,KAAA,CAAMC,GAAGD,SAAAA,CAAU,MAAA,EAAQ,MAAM,CAAC,CAAA;AAErC,IAAA,OAAO,IAAA,CAAK,GAAA,CAAI,CAAC,GAAA,KAAQ,IAAI,IAAI,CAAA;AAAA,EACnC,CAAC,CAAA;AACH;AAQA,eAAsB,mBACpB,OAAA,EACgC;AAChC,EAAA,MAAM,OAAA,GAAU,MAAM,OAAA,EAAQ,CAAE,IAAI,UAAA,CAAW,EAAE,SAAS,CAAA;AAC1D,EAAA,IAAI,CAAC,SAAS,OAAO,IAAA;AAErB,EAAA,MAAM,EAAE,MAAK,GAAI,OAAA;AACjB,EAAA,OAAO;AAAA,IACL,QAAQ,IAAA,CAAK,EAAA;AAAA,IACb,OAAO,IAAA,CAAK,KAAA;AAAA,IACZ,IAAA,EAAM,KAAK,IAAA,IAAQ,IAAA;AAAA,IACnB,KAAA,EAAO,MAAM,aAAA,CAAc,IAAA,CAAK,EAAE;AAAA,GACpC;AACF;AAGA,eAAsB,eAAe,OAAA,EAAoC;AACvE,EAAA,MAAM,OAAA,GAAU,MAAM,kBAAA,CAAmB,OAAO,CAAA;AAChD,EAAA,OAAO,OAAA,EAAS,KAAA,CAAM,QAAA,CAAS,OAAO,CAAA,IAAK,KAAA;AAC7C;;;ACVO,IAAM,YAAA,GAAoD;AAAA,EAC/D,cAAA,EAAgB,EAAE,IAAA,EAAM,KAAA,EAAO,OAAO,KAAA,EAAM;AAAA,EAC5C,eAAA,EAAiB,EAAE,KAAA,EAAO,KAAA,EAAM;AAAA,EAChC,YAAA,EAAc,EAAE,IAAA,EAAM,KAAA,EAAO,OAAO,KAAA,EAAM;AAAA,EAC1C,cAAA,EAAgB,EAAE,IAAA,EAAM,KAAA,EAAO,OAAO,KAAA,EAAM;AAAA,EAC5C,cAAA,EAAgB,EAAE,IAAA,EAAM,KAAA,EAAO,OAAO,KAAA,EAAM;AAAA,EAC5C,gBAAA,EAAkB,EAAE,IAAA,EAAM,KAAA,EAAO,OAAO,KAAA,EAAM;AAAA,EAC9C,eAAA,EAAiB,EAAE,IAAA,EAAM,KAAA,EAAO,OAAO,KAAA,EAAM;AAAA,EAC7C,iBAAA,EAAmB,EAAE,KAAA,EAAO,KAAA,EAAM;AAAA,EAClC,kBAAA,EAAoB,EAAE,KAAA,EAAO,KAAA,EAAM;AAAA,EACnC,cAAA,EAAgB,EAAE,KAAA,EAAO,KAAA;AAC3B;AAGO,IAAM,UAAA,GAAN,cAAyB,KAAA,CAAM;AAAA,EACpC,YAAqB,SAAA,EAAgC;AACnD,IAAA,KAAA,CAAM,CAAA,gIAAA,EAAyC,SAAS,CAAA,CAAA,CAAG,CAAA;AADxC,IAAA,IAAA,CAAA,SAAA,GAAA,SAAA;AAEnB,IAAA,IAAA,CAAK,IAAA,GAAO,YAAA;AAAA,EACd;AACF;AAGA,IAAM,KAAA,GAAmC,EAAE,GAAA,EAAK,CAAA,EAAG,KAAK,CAAA,EAAE;AAKnD,SAAS,YAAA,CACd,SACA,SAAA,EACkB;AAClB,EAAA,MAAM,MAAA,GAAS,aAAa,SAAS,CAAA;AACrC,EAAA,IAAI,IAAA,GAAyB,IAAA;AAC7B,EAAA,KAAA,MAAW,IAAA,IAAQ,QAAQ,KAAA,EAAO;AAChC,IAAA,MAAM,KAAA,GAAQ,OAAO,IAAI,CAAA;AACzB,IAAA,IAAI,KAAA,KAAU,SAAS,IAAA,IAAQ,KAAA,CAAM,KAAK,CAAA,GAAI,KAAA,CAAM,IAAI,CAAA,CAAA,EAAI,IAAA,GAAO,KAAA;AAAA,EACrE;AACA,EAAA,OAAO,IAAA;AACT;AAGO,IAAM,MAAM,CAAC,OAAA,EAAuB,cACzC,YAAA,CAAa,OAAA,EAAS,SAAS,CAAA,KAAM;AAQhC,SAAS,WAAA,CACd,SACA,IAAA,EACiC;AACjC,EAAA,IAAI,CAAC,QAAQ,KAAA,CAAM,QAAA,CAAS,IAAI,CAAA,EAAG,MAAM,IAAI,UAAA,CAAW,IAAI,CAAA;AAC9D;AAWO,SAAS,gBAAA,CACd,SACA,SAAA,EACW;AACX,EAAA,MAAM,KAAA,GAAQ,YAAA,CAAa,OAAA,EAAS,SAAS,CAAA;AAC7C,EAAA,IAAI,CAAC,KAAA,EAAO,MAAM,IAAI,WAAW,SAAS,CAAA;AAC1C,EAAA,OAAO,KAAA;AACT;AASO,IAAM,SAAA,GAAY,CAAC,IAAA,KACxB,IAAA,KAAS,UAAU,WAAA,GAAc;AAG5B,IAAM,gBAAA,GAAmB,CAAC,OAAA,KAC/B,OAAA,CAAQ,MAAM,QAAA,CAAS,OAAO,IAAI,WAAA,GAAc","file":"index.js","sourcesContent":["import { drizzle } from 'drizzle-orm/pg-proxy';\nimport { withActor } from 'simplycms/db';\n\n/**\n * Міст «Better Auth → Postgres» через `withActor` (Task 7, В2-К1а).\n *\n * 🔴 Чому proxy-драйвер, а не звичайний `drizzle(pool)`. Контракт B5″ каже:\n * зʼєднання беруться ЛИШЕ через `withActor` (голий пул повертає обидва тихі\n * режими відмови, тому імпорт `simplycms/db/client` — помилка лінту). Але\n * `drizzleAdapter` хоче ОДИН довгоживучий db-обʼєкт, а `withActor` живе рівно\n * одну транзакцію. `drizzle-orm/pg-proxy` знімає протиріччя: він не тримає\n * зʼєднання взагалі, а віддає кожен згенерований SQL у колбек — тож кожен\n * запит адаптера стає власною короткою транзакцією під `app_admin`.\n *\n * Ціна відома й прийнята: одна транзакція на запит замість однієї на\n * операцію. Це auth-шлях (реєстрація, вхід, читання сесії), а не гаряча\n * траєкторія каталогу; вимірювана ціна тут дешевша за четверту роль БД або\n * за дірку в лінт-зоні.\n *\n * 🔴 Роль — `app_admin`, бо саме їй видані гранти на таблиці Better Auth\n * (0002_grants.sql, §6): контракт v2 знає рівно дві акторські ролі. Шлях\n * мусить лишатись ВУЗЬКИМ — це не привід відкривати `app_admin` запиту\n * загалом, і поза цим модулем `app_admin` вмикається лише після\n * `requireOperation` (див. `./authz`).\n */\n\n/** Роль, під якою виконуються ВСІ запити auth-контуру. */\nconst AUTH_ROLE = 'app_admin' as const;\n\n/**\n * Драйвер pg-proxy кличе колбек із `method`, і форма відповіді від нього\n * ЗАЛЕЖИТЬ: для `'execute'` рядки віддаються як обʼєкти, для решти (`'all'`,\n * `'values'`, `'get'`) drizzle сам мапить їх за ПОЗИЦІЄЮ колонки, тобто чекає\n * масиви. Помилка тут не падає — вона тихо дає `undefined` у кожному полі,\n * тому режим вибирається явно, а не «як вийде».\n */\nconst arrayMode = (method: string): boolean => method !== 'execute';\n\n/** Транзакції proxy-драйвер не підтримує — див. докблок нижче. */\nexport type AuthDb = ReturnType<typeof createAuthDb>;\n\n/**\n * Drizzle-інстанс для `drizzleAdapter`.\n *\n * 🔴 `drizzle-orm/pg-proxy` кидає на `db.transaction()`. Для нас це безпечно й\n * перевірено: у `@better-auth/drizzle-adapter@1.7.1` усі виклики\n * `db.transaction` стоять під `config.provider === 'mysql'`, а сам адаптер\n * конфігурується з `transaction: false` (дефолт). Якщо апстрім це змінить,\n * ми дізнаємось падінням тесту, а не тихою втратою атомарності — і це\n * рівно та поведінка, якої ми хочемо від піну версії (B3).\n */\nexport function createAuthDb() {\n  return drizzle(async (sql, params, method) => {\n    const rows = await withActor({ role: AUTH_ROLE }, async (_db, client) => {\n      // 🔴 Дві гілки, а не один обʼєкт із `rowMode: undefined`: у типах `pg`\n      // масивний режим — ОКРЕМИЙ перевантажений виклик (`QueryArrayConfig`),\n      // і опційне поле в спільному літералі не типізується взагалі.\n      if (arrayMode(method)) {\n        const result = await client.query<unknown[]>({\n          text: sql,\n          values: params,\n          rowMode: 'array',\n        });\n        return result.rows;\n      }\n      const result = await client.query({ text: sql, values: params });\n      return result.rows as unknown[];\n    });\n    return { rows };\n  });\n}\n","/**\n * Контракт серверного env для auth-контуру (спека CLI v1 §7, Task 7).\n *\n * 🔴 Ключі читаються ЛИШЕ з `process.env` і ЛИШЕ в рантаймі — усередині\n * фабрики інстансу, не на модуль-рівні. `VITE_`-префікса тут немає й бути не\n * може: секрет підпису сесій у клієнтському бандлі — це вже не секрет.\n * Наслідок той самий, що й у Supabase-фабрик: ротація секрету = перезапуск\n * процесу, без перезбірки.\n *\n * Функції винесено з `./instance` навмисно: так контракт env перевіряється\n * юнітом без інстансу Better Auth і без БД.\n */\n\n/** Джерело змінних оточення (та сама форма, що в `db/client` і `supabase/keys`). */\nexport interface AuthEnv {\n  readonly BETTER_AUTH_SECRET?: string;\n  readonly BETTER_AUTH_URL?: string;\n}\n\n/**\n * Секрет підпису сесій і токенів.\n *\n * @throws Error якщо ключ відсутній або порожній — тихий фолбек на\n * згенерований секрет зробив би всі сесії недійсними після кожного\n * перезапуску, і діагноз виглядав би як «випадкові розлогіни».\n */\nexport function resolveAuthSecret(env: AuthEnv): string {\n  // `||`, а не `??`: оголошена-але-порожня змінна — це відсутній ключ.\n  const secret = env.BETTER_AUTH_SECRET || undefined;\n\n  if (!secret) {\n    throw new Error(\n      '[simplycms/auth] Відсутня змінна оточення BETTER_AUTH_SECRET — ' +\n        'нема чим підписувати сесії. Контракт серверного env — спека CLI v1 ' +\n        '§7 (лише process.env, лише в рантаймі).',\n    );\n  }\n\n  return secret;\n}\n\n/**\n * Публічна база URL застосунку (потрібна для колбеків OAuth і посилань у\n * листах). Опційна: без неї Better Auth виводить базу з самого запиту, чого\n * достатньо для email/password-флоу.\n */\nexport const resolveAuthBaseUrl = (env: AuthEnv): string | undefined =>\n  env.BETTER_AUTH_URL || undefined;\n","import type { AppRole } from './authz';\n\n/**\n * Порт `handle_new_user` у TS (B3′, Task 7) — те, що робив SQL-тригер\n * `on_auth_user_created` на схемі GoTrue.\n *\n * 🔴 Інваріант `first_user_no_auto_admin` (аудит 2026-08-04) переїхав сюди\n * РАЗОМ із логікою і мусить лишитись: перший signup НЕ стає адміном. Стара\n * діра звалась «хто перший встиг» — реєстрація на свіжому магазині давала\n * повний доступ будь-кому, хто випередив власника. Роль `admin` тепер видає\n * ЛИШЕ invite власника (`./invite`) або наявний адмін. Тут ролі не\n * обчислюються взагалі — вона константа, і саме тому діру неможливо\n * відтворити «випадковою умовою».\n */\n\n/** Роль КОЖНОГО новоствореного користувача. Винятків немає — див. вище. */\nexport const SIGNUP_ROLE: AppRole = 'user';\n\n/** Мінімум, який Better Auth знає про щойно створеного користувача. */\nexport interface NewAuthUser {\n  readonly id: string;\n  readonly email: string;\n  readonly name?: string | null;\n}\n\n/** Що саме треба записати в доменні таблиці магазину. */\nexport interface UserProvisionPlan {\n  readonly userId: string;\n  readonly email: string;\n  readonly firstName: string | null;\n  readonly lastName: string | null;\n  readonly role: AppRole;\n}\n\n/** Запис плану в БД. Порт — щоб хук тестувався без Postgres. */\nexport type ProvisionUser = (plan: UserProvisionPlan) => Promise<void>;\n\n/**\n * Розбиває єдине `name` Better Auth на пару, яку чекає `profiles`.\n *\n * 🔴 Розрив моделей реальний: GoTrue тримав `first_name`/`last_name` у\n * `raw_user_meta_data`, а BA має одне поле `name`. Розбиття по ПЕРШОМУ\n * пробілу (решта — у прізвище) — свідомий компроміс: воно не «правильне» для\n * всіх культур, зате зворотне (склеювання) завжди дає вихідний рядок.\n */\nexport function splitName(name?: string | null): {\n  firstName: string | null;\n  lastName: string | null;\n} {\n  const trimmed = (name ?? '').trim();\n  if (!trimmed) return { firstName: null, lastName: null };\n\n  const space = trimmed.indexOf(' ');\n  if (space === -1) return { firstName: trimmed, lastName: null };\n  return {\n    firstName: trimmed.slice(0, space),\n    lastName: trimmed.slice(space + 1).trim() || null,\n  };\n}\n\n/**\n * ЧИСТА побудова плану провізії — рівно те, що можна довести юнітом без БД.\n *\n * Категорія покупця тут не обчислюється: у `profiles.category_id` їде\n * категорія за замовчуванням (`user_categories.is_default`, сід `0003_seed`),\n * і вибирає її сам INSERT підзапитом — інакше довелось би тягнути зайве\n * читання й вирішувати, що робити з гонкою.\n */\nexport function buildUserProvision(user: NewAuthUser): UserProvisionPlan {\n  const { firstName, lastName } = splitName(user.name);\n  return {\n    userId: user.id,\n    email: user.email,\n    firstName,\n    lastName,\n    role: SIGNUP_ROLE,\n  };\n}\n\n/**\n * `databaseHooks.user.create.after` для інстансу Better Auth.\n *\n * 🔴 Хук виконується ПІСЛЯ коміту створення користувача й окремою\n * транзакцією, тобто атомарності «user + profile» немає. Це властивість\n * `databaseHooks`, а не недогляд: єдиний спосіб дістати атомарність — вести\n * весь signUp однією транзакцією, чого адаптер BA не дає. Наслідок треба\n * знати: користувач без профілю можливий, якщо провізія впала, — і саме тому\n * помилка звідси НЕ ковтається, а летить наверх, роблячи signUp невдалим.\n */\nexport const createUserCreateHook =\n  (provisionUser: ProvisionUser) =>\n  async (user: NewAuthUser): Promise<void> => {\n    await provisionUser(buildUserProvision(user));\n  };\n","/**\n * Рендер листа-запрошення власника (Task 7, В2-К1а).\n *\n * 🔴 Виділено чистою функцією саме тому, що ДОСТАВКА недосяжна: SMTP у цьому\n * оточенні немає, лист шле колбек магазину. Рендер же — єдина частина, яку\n * можна довести машинно, і вона доводиться юнітом: посилання ціле, токен не\n * загубився, HTML-версія не ламається на лапках в імені магазину.\n */\n\n/** Готовий лист — те, що колбек магазину віддає своєму транспорту. */\nexport interface InviteEmail {\n  readonly to: string;\n  readonly subject: string;\n  readonly text: string;\n  readonly html: string;\n}\n\n/** Колбек доставки. Реалізує магазин; ядро транспорту не знає. */\nexport type SendInviteEmail = (message: InviteEmail) => Promise<void>;\n\n/** Мінімальне екранування — лист збирається конкатенацією, не шаблонізатором. */\nconst escapeHtml = (value: string): string =>\n  value\n    .replace(/&/g, '&amp;')\n    .replace(/</g, '&lt;')\n    .replace(/>/g, '&gt;')\n    .replace(/\"/g, '&quot;');\n\n/** Скільки годин лишилось жити токену — для тексту листа. */\nconst hours = (ttlMs: number): number =>\n  Math.max(1, Math.round(ttlMs / 3_600_000));\n\nexport interface InviteEmailInput {\n  readonly to: string;\n  readonly url: string;\n  readonly storeName: string;\n  readonly ttlMs: number;\n}\n\n/** Збирає лист. Мова — українська: це лист власнику магазину, не UI-рядок. */\nexport function renderInviteEmail(input: InviteEmailInput): InviteEmail {\n  const ttl = hours(input.ttlMs);\n  const subject = `Запрошення власника — ${input.storeName}`;\n  const text =\n    `Вас запрошено власником магазину «${input.storeName}».\\n\\n` +\n    `Щоб задати пароль і увійти, відкрийте посилання:\\n${input.url}\\n\\n` +\n    `Посилання одноразове й дійсне ${ttl} год. Якщо ви не чекали цього ` +\n    `листа — просто проігноруйте його.`;\n  const html =\n    `<p>Вас запрошено власником магазину «${escapeHtml(input.storeName)}».</p>` +\n    `<p><a href=\"${escapeHtml(input.url)}\">Задати пароль і увійти</a></p>` +\n    `<p>Посилання одноразове й дійсне ${ttl} год.</p>`;\n\n  return { to: input.to, subject, text, html };\n}\n\nexport interface ResetPasswordEmailInput {\n  readonly to: string;\n  readonly url: string;\n  readonly storeName: string;\n}\n\n/**\n * Лист скидання пароля (К1′б).\n *\n * Живе поруч із запрошенням навмисно: обидва — листи auth-контуру з ОДНИМ\n * одноразовим посиланням, і спільне екранування тут дешевше за другий модуль\n * із власною копією тих самих чотирьох `replace`.\n */\nexport function renderResetPasswordEmail(\n  input: ResetPasswordEmailInput,\n): InviteEmail {\n  const subject = `Скидання пароля — ${input.storeName}`;\n  const text =\n    `Ви (або хтось інший) попросили скинути пароль у магазині ` +\n    `«${input.storeName}».\\n\\nЩоб задати новий пароль, відкрийте ` +\n    `посилання:\\n${input.url}\\n\\nЯкщо ви цього не робили — просто ` +\n    `проігноруйте лист, пароль лишиться попереднім.`;\n  const html =\n    `<p>Запит на скидання пароля в магазині «${escapeHtml(input.storeName)}».</p>` +\n    `<p><a href=\"${escapeHtml(input.url)}\">Задати новий пароль</a></p>`;\n\n  return { to: input.to, subject, text, html };\n}\n","import { sql } from 'drizzle-orm';\nimport { withActor } from 'simplycms/db';\nimport { profiles, userRoles } from 'simplycms/schema';\nimport type { ProvisionUser } from './hooks';\n\n/**\n * Реалізація порту провізії на Postgres (Task 7, В2-К1а).\n *\n * Роль — `app_admin`: політики `profiles_admin_all` і `user_roles_admin_all`\n * дозволяють запис саме їй, а покупець свій профіль лише читає й редагує\n * (0002_grants.sql, §4). Це той самий вузький auth-шлях, що й у\n * `./drizzle-proxy`.\n */\nexport const provisionUserInDb: ProvisionUser = async (plan) => {\n  await withActor({ role: 'app_admin' }, async (db) => {\n    await db.insert(profiles).values({\n      userId: plan.userId,\n      email: plan.email,\n      firstName: plan.firstName,\n      lastName: plan.lastName,\n      // 🔴 Підзапитом, а не окремим SELECT: категорія за замовчуванням\n      // читається В ТІЙ САМІЙ транзакції, тож між читанням і записом ніхто\n      // не встигне перемкнути прапорець `is_default`.\n      categoryId: sql`(select id from public.user_categories where is_default limit 1)`,\n    });\n\n    // `onConflictDoNothing` — повторна провізія (ретрай хука після мережевого\n    // збою) не має падати на унікальності `(user_id, role)`.\n    await db\n      .insert(userRoles)\n      .values({ userId: plan.userId, role: plan.role })\n      .onConflictDoNothing();\n  });\n};\n","import type { InviteEmail } from './invite-email';\n\n/**\n * Канал доставки листів auth-контуру (К1′б).\n *\n * 🔴 SMTP тут НЕ реалізується — рішення власника: доставку він налаштовує й\n * перевіряє локально. Ядро зобовʼязане лише КЛИКАТИ канал у всіх точках, де\n * лист має піти, щоб магазину лишалося підставити одну функцію, а не шукати\n * місця виклику.\n */\nexport type SendAuthEmail = (message: InviteEmail) => Promise<void>;\n\n/**\n * Заглушка за замовчуванням: пише лист у лог замість відправки.\n *\n * 🔴 TODO(К6): підмінити реальним транспортом магазину. Мовчки ковтати лист\n * не можна — посилання для скидання пароля й запрошення власника тоді\n * зникали б безслідно, і діагноз виглядав би як «пошта не приходить».\n * Лог лишає їх видимими в консолі сервера.\n */\nexport const stubSendAuthEmail: SendAuthEmail = async (message) => {\n  console.warn(\n    '[simplycms/auth] Лист НЕ надіслано (транспорт не налаштовано). ' +\n      `Кому: ${message.to}. Тема: ${message.subject}.\\n${message.text}`,\n  );\n};\n","import { betterAuth } from 'better-auth';\nimport { drizzleAdapter } from 'better-auth/adapters/drizzle';\nimport { accounts, sessions, users, verifications } from 'simplycms/schema';\nimport { createAuthDb } from './drizzle-proxy';\nimport { resolveAuthBaseUrl, resolveAuthSecret } from './env';\nimport { createUserCreateHook, type ProvisionUser } from './hooks';\nimport { renderResetPasswordEmail } from './invite-email';\nimport { provisionUserInDb } from './provision';\nimport { stubSendAuthEmail, type SendAuthEmail } from './send-email';\n\n/**\n * Інстанс Better Auth серверного контуру v2 (B3′, Task 7).\n *\n * 🔴 Контур ще НЕ підключений до `start.ts`, роутів і клієнта — це К1′б.\n * Тут будується робочий серверний auth ПОРУЧ із чинним GoTrue-флоу, який\n * лишається недоторканим.\n *\n * 🔴 Плагінів — нуль (B3: CVE-поверхня). Кожен плагін BA додає роути й\n * таблиці; ставити їх «про запас» означає розширювати поверхню атаки на\n * функціональність, якою ніхто не користується.\n */\n\n/** Схема, яку бачить адаптер. Ключі — імена МОДЕЛЕЙ (див. `usePlural`). */\nconst authSchema = { users, sessions, accounts, verifications };\n\n/** Що можна підмінити ззовні — рівно стільки, скільки треба тестам. */\nexport interface AuthDeps {\n  /**\n   * DB-адаптер Better Auth. За замовчуванням — drizzle над pg-proxy через\n   * `withActor`. Юніт-тести підставляють `better-auth/adapters/memory` — саме\n   * цим DoD спеки «BA тестується без Docker» виконується фактом.\n   */\n  readonly database?: Parameters<typeof betterAuth>[0]['database'];\n  /** Провізія `profiles`+`user_roles`. За замовчуванням — запис у Postgres. */\n  readonly provisionUser?: ProvisionUser;\n  readonly secret?: string;\n  readonly baseURL?: string;\n  /**\n   * Канал доставки листів. За замовчуванням — заглушка з логом\n   * (`./send-email`): SMTP лишається справою магазину, ядро лише КЛИЧЕ канал.\n   */\n  readonly sendEmail?: SendAuthEmail;\n  /** Назва магазину в темі листа. */\n  readonly storeName?: string;\n}\n\n/**\n * Створює інстанс. Env читається ТУТ, у рантаймі — не на модуль-рівні.\n */\nexport function createAuth(deps: AuthDeps = {}) {\n  const sendEmail = deps.sendEmail ?? stubSendAuthEmail;\n  const storeName = deps.storeName ?? 'SimplyCMS';\n\n  return betterAuth({\n    secret: deps.secret ?? resolveAuthSecret(process.env),\n    baseURL: deps.baseURL ?? resolveAuthBaseUrl(process.env),\n    database:\n      deps.database ??\n      drizzleAdapter(createAuthDb(), {\n        provider: 'pg',\n        schema: authSchema,\n        // 🔴 Обовʼязково: наші таблиці названі в МНОЖИНІ (узгоджено з доменною\n        // схемою), а BA за замовчуванням шукає `user`/`session` — без цього\n        // прапорця адаптер падає на першому ж запиті.\n        usePlural: true,\n      }),\n    emailAndPassword: {\n      enabled: true,\n      // 🔴 Колбек прибіндований ЗАВЖДИ, навіть коли транспорт — заглушка.\n      // Інакше `requestPasswordReset` мовчки повертав би 200 без жодного\n      // сліду, і «лист не прийшов» неможливо було б відрізнити від\n      // «магазин не налаштував пошту».\n      sendResetPassword: async ({ user, url }) => {\n        await sendEmail(\n          renderResetPasswordEmail({ to: user.email, url, storeName }),\n        );\n      },\n    },\n    advanced: {\n      database: {\n        // 🔴 `'uuid'` — єдине значення, коректне для ОБОХ адаптерів. Драйвер\n        // drizzle-pg оголошує `supportsUUIDs`, тож id генерує сама БД\n        // (`gen_random_uuid()` дефолтом колонки, як описано в `schema/auth`);\n        // memory-адаптер UUID не підтримує, і BA згенерує його в JS. Значення\n        // `false` зламало б саме memory-контур — користувач лишався б без id.\n        generateId: 'uuid',\n      },\n    },\n    databaseHooks: {\n      user: {\n        create: {\n          after: createUserCreateHook(deps.provisionUser ?? provisionUserInDb),\n        },\n      },\n    },\n  });\n}\n\n/** Тип готового інстансу — для сигнатур споживачів К1′б. */\nexport type SimplyAuth = ReturnType<typeof createAuth>;\n\nlet instance: SimplyAuth | undefined;\n\n/**\n * Інстанс процесу (лінива синглтон-фабрика) — той самий контракт «рестарт\n * замість гарячої ротації», що й у пулу `simplycms/db`.\n */\nexport function getAuth(): SimplyAuth {\n  instance ??= createAuth();\n  return instance;\n}\n\n/** Скидає синглтон (teardown тестів, перемикання env). */\nexport function resetAuth(): void {\n  instance = undefined;\n}\n","import { createHash, randomBytes, timingSafeEqual } from 'node:crypto';\nimport { renderInviteEmail, type SendInviteEmail } from './invite-email';\n\n/**\n * Invite власника — заміна механіки `inviteUserByEmail` (Task 7, В2-К1а).\n *\n * 🔴 Що змінилось по суті. У GoTrue лист будував сам Supabase за шаблоном\n * `supabase/templates/invite.html`, і перевірити рендер було нічим. Тепер\n * токен випускаємо МИ, лист рендеримо МИ (`./invite-email`), а шле його\n * колбек магазину — тож усе, крім SMTP-доставки, стає юніт-тестовним.\n * SMTP лишається боргом оточення (доводиться в власника).\n *\n * 🔴 У БД лягає лише SHA-256 токена. Дамп таблиці `verifications` не має\n * давати дійсного посилання: цим invite відрізняється від «просто рядка з\n * секретом».\n */\n\n/** Порт сховища. Реалізація на Postgres — `./invite-store`. */\nexport interface OwnerInviteStore {\n  findUserIdByEmail(email: string): Promise<string | null>;\n  createUser(input: { email: string; name: string }): Promise<string>;\n  storeToken(input: {\n    identifier: string;\n    valueHash: string;\n    expiresAt: Date;\n  }): Promise<void>;\n  consumeToken(\n    identifier: string,\n  ): Promise<{ valueHash: string; expiresAt: Date } | null>;\n  grantAdminRole(userId: string): Promise<void>;\n}\n\nconst DEFAULT_TTL_MS = 24 * 3_600_000;\n\n/** Ключ запису у `verifications`. Пошта — у нижньому регістрі: вона й є ключ. */\nexport const inviteIdentifier = (email: string): string =>\n  `owner-invite:${email.trim().toLowerCase()}`;\n\nconst hashToken = (token: string): string =>\n  createHash('sha256').update(token).digest('hex');\n\nexport interface IssueOwnerInviteInput {\n  readonly store: OwnerInviteStore;\n  readonly sendEmail: SendInviteEmail;\n  readonly email: string;\n  readonly siteUrl: string;\n  readonly storeName?: string;\n  readonly ttlMs?: number;\n  readonly now?: Date;\n  /** Тільки для тестів: детермінований токен замість випадкового. */\n  readonly token?: string;\n}\n\nexport interface OwnerInviteResult {\n  readonly userId: string;\n  /** `false` — користувач уже існував: повторний invite його не дублює. */\n  readonly created: boolean;\n  readonly url: string;\n}\n\n/**\n * Випускає запрошення. Ідемпотентно щодо КОРИСТУВАЧА: повторний виклик на ту\n * саму пошту не створює другого рядка `users` і не дублює роль — він лише\n * перевипускає токен. Саме так поводився старий `owner:invite` (гілка\n * `email_exists`), і саме цю поведінку власник очікує від «надішли ще раз».\n */\nexport async function issueOwnerInvite(\n  input: IssueOwnerInviteInput,\n): Promise<OwnerInviteResult> {\n  const email = input.email.trim().toLowerCase();\n  const ttlMs = input.ttlMs ?? DEFAULT_TTL_MS;\n  const now = input.now ?? new Date();\n\n  const existing = await input.store.findUserIdByEmail(email);\n  const userId =\n    existing ?? (await input.store.createUser({ email, name: email }));\n\n  const token = input.token ?? randomBytes(32).toString('base64url');\n  await input.store.storeToken({\n    identifier: inviteIdentifier(email),\n    valueHash: hashToken(token),\n    expiresAt: new Date(now.getTime() + ttlMs),\n  });\n\n  // Роль закріплюється НЕ хуком signUp (той дає рівно `user` — інваріант\n  // `first_user_no_auto_admin`), а саме тут: invite власника і є єдиний\n  // легальний шлях до `admin` на чистому магазині.\n  await input.store.grantAdminRole(userId);\n\n  const url =\n    `${input.siteUrl.replace(/\\/$/, '')}/auth/invite` +\n    `?email=${encodeURIComponent(email)}&token=${encodeURIComponent(token)}`;\n\n  await input.sendEmail(\n    renderInviteEmail({\n      to: email,\n      url,\n      storeName: input.storeName ?? 'SimplyCMS',\n      ttlMs,\n    }),\n  );\n\n  return { userId, created: existing === null, url };\n}\n\n/** Чому запрошення не прийнято — рівно ті випадки, які має розрізняти UI. */\nexport type InviteRejection = 'not-found' | 'expired' | 'mismatch';\n\nexport type VerifyOwnerInviteResult =\n  | { readonly ok: true; readonly userId: string }\n  | { readonly ok: false; readonly reason: InviteRejection };\n\n/**\n * Перевіряє токен і СПОЖИВАЄ його (одноразовість).\n *\n * 🔴 Порівняння хешів — `timingSafeEqual`, а не `===`: обидва рядки однакової\n * довжини й повністю контрольовані зловмисником, тобто це класичний випадок,\n * де побайтове раннє повернення тече в тайминг.\n *\n * Прив'язку пароля робить К1′б: тут доводиться лише «токен дійсний і це той\n * самий користувач».\n */\nexport async function verifyOwnerInvite(input: {\n  store: OwnerInviteStore;\n  email: string;\n  token: string;\n  now?: Date;\n}): Promise<VerifyOwnerInviteResult> {\n  const email = input.email.trim().toLowerCase();\n  const now = input.now ?? new Date();\n\n  const record = await input.store.consumeToken(inviteIdentifier(email));\n  if (!record) return { ok: false, reason: 'not-found' };\n  if (record.expiresAt.getTime() <= now.getTime())\n    return { ok: false, reason: 'expired' };\n\n  const actual = Buffer.from(hashToken(input.token), 'hex');\n  const expected = Buffer.from(record.valueHash, 'hex');\n  if (actual.length !== expected.length || !timingSafeEqual(actual, expected))\n    return { ok: false, reason: 'mismatch' };\n\n  const userId = await input.store.findUserIdByEmail(email);\n  return userId ? { ok: true, userId } : { ok: false, reason: 'not-found' };\n}\n","import { randomBytes } from 'node:crypto';\nimport type { SimplyAuth } from './instance';\nimport {\n  verifyOwnerInvite,\n  type InviteRejection,\n  type OwnerInviteStore,\n} from './invite';\n\n/**\n * Прийняття запрошення власника: токен із листа → пароль → робочий вхід.\n *\n * 🔴 Ланка, якої бракувало. `issueOwnerInvite` випускав посилання, а\n * `verifyOwnerInvite` умів лише сказати «токен дійсний»; пароля власник не\n * отримував ніде, тож перший адмін на чистому магазині був недосяжний.\n *\n * 🔴 Пароль пишеться НЕ вручну в `accounts`, а штатним `POST /reset-password`\n * самого Better Auth. Це свідомий обхід чужої внутрішньої кухні: саме той\n * ендпойнт уміє і створити credential-акаунт, коли його ще немає (наш\n * запрошений власник), і перезаписати наявний, і робить це тим самим\n * хешуванням, що й реєстрація. Копія цієї логіки в нас застаріла б мовчки —\n * і виявилось би це неможливістю ввійти.\n *\n * Ціна прийому — одноразовий внутрішній verification-рядок BA: наш токен уже\n * доведено спожитий, і ми обмінюємо його на токен, який розуміє BA. Він живе\n * хвилину й гаситься самим ендпойнтом.\n */\n\n/** Чому прийняття не відбулось — рівно ті випадки, які розрізняє UI. */\nexport type AcceptInviteRejection = InviteRejection | 'password-rejected';\n\nexport type AcceptOwnerInviteResult =\n  | { readonly ok: true; readonly userId: string }\n  | { readonly ok: false; readonly reason: AcceptInviteRejection };\n\nexport interface AcceptOwnerInviteInput {\n  readonly auth: SimplyAuth;\n  readonly store: OwnerInviteStore;\n  readonly email: string;\n  readonly token: string;\n  readonly password: string;\n  readonly now?: Date;\n}\n\n/** Скільки живе внутрішній обмінний токен BA. Хвилини вистачає з запасом. */\nconst EXCHANGE_TTL_MS = 60_000;\n\nexport async function acceptOwnerInvite(\n  input: AcceptOwnerInviteInput,\n): Promise<AcceptOwnerInviteResult> {\n  // 🔴 Спершу СПОЖИТИ наш токен і лише потім чіпати пароль: інакше невдала\n  // спроба пароля лишала б запрошення живим, а це вже підбір за посиланням.\n  const verified = await verifyOwnerInvite({\n    store: input.store,\n    email: input.email,\n    token: input.token,\n    now: input.now,\n  });\n  if (!verified.ok) return { ok: false, reason: verified.reason };\n\n  const context = await input.auth.$context;\n  const exchangeToken = randomBytes(32).toString('base64url');\n  await context.internalAdapter.createVerificationValue({\n    identifier: `reset-password:${exchangeToken}`,\n    value: verified.userId,\n    expiresAt: new Date((input.now ?? new Date()).getTime() + EXCHANGE_TTL_MS),\n  });\n\n  const response = await input.auth.api.resetPassword({\n    body: { newPassword: input.password, token: exchangeToken },\n    asResponse: true,\n  });\n  if (!response.ok) return { ok: false, reason: 'password-rejected' };\n\n  // Перехід за одноразовим посиланням і є доказом володіння поштою — саме\n  // тому `issueOwnerInvite` заводив користувача з `emailVerified: false`.\n  await context.internalAdapter.updateUser(verified.userId, {\n    emailVerified: true,\n  });\n\n  return { ok: true, userId: verified.userId };\n}\n","import { eq, sql } from 'drizzle-orm';\nimport { withActor } from 'simplycms/db';\nimport { userRoles, users, verifications } from 'simplycms/schema';\nimport type { OwnerInviteStore } from './invite';\n\n/**\n * Сховище invite власника на Postgres (Task 7, В2-К1а).\n *\n * Роль — `app_admin`: гранти на таблиці Better Auth і на `user_roles` видані\n * саме їй (0002_grants.sql, §5-§6). Той самий вузький auth-шлях, що й у\n * `./provision`.\n */\nexport const ownerInviteStore: OwnerInviteStore = {\n  async findUserIdByEmail(email) {\n    return withActor({ role: 'app_admin' }, async (db) => {\n      const rows = await db\n        .select({ id: users.id })\n        .from(users)\n        // Пошта в БД зберігається як введена, а порівнюємо ми регістро-\n        // незалежно — інакше `Owner@site` і `owner@site` дали б двох власників.\n        .where(eq(sql`lower(${users.email})`, email.trim().toLowerCase()))\n        .limit(1);\n      return rows[0]?.id ?? null;\n    });\n  },\n\n  async createUser({ email, name }) {\n    return withActor({ role: 'app_admin' }, async (db) => {\n      const rows = await db\n        .insert(users)\n        // `emailVerified: false` — власник підтвердить пошту самим фактом\n        // переходу за одноразовим посиланням із листа.\n        .values({ email, name, emailVerified: false })\n        .returning({ id: users.id });\n      return rows[0].id;\n    });\n  },\n\n  async storeToken({ identifier, valueHash, expiresAt }) {\n    await withActor({ role: 'app_admin' }, async (db) => {\n      // Старий токен тієї ж пошти знищується: «надішли ще раз» мусить робити\n      // попереднє посилання недійсним, інакше в обігу живуть два ключі.\n      await db\n        .delete(verifications)\n        .where(eq(verifications.identifier, identifier));\n      await db\n        .insert(verifications)\n        .values({ identifier, value: valueHash, expiresAt });\n    });\n  },\n\n  async consumeToken(identifier) {\n    return withActor({ role: 'app_admin' }, async (db) => {\n      // DELETE … RETURNING — атомарне «прочитати й погасити» в одному\n      // стейтменті: два паралельні переходи за посиланням не можуть обидва\n      // побачити токен дійсним.\n      const rows = await db\n        .delete(verifications)\n        .where(eq(verifications.identifier, identifier))\n        .returning({\n          valueHash: verifications.value,\n          expiresAt: verifications.expiresAt,\n        });\n      return rows[0] ?? null;\n    });\n  },\n\n  async grantAdminRole(userId) {\n    await withActor({ role: 'app_admin' }, async (db) => {\n      await db\n        .insert(userRoles)\n        .values({ userId, role: 'admin' })\n        .onConflictDoNothing({\n          target: [userRoles.userId, userRoles.role],\n        });\n    });\n  },\n};\n\n/** Чи є в магазині хоч один адмін — потрібно CLI, щоб не слати invite двічі. */\nexport const hasAnyAdmin = async (): Promise<boolean> =>\n  withActor({ role: 'app_admin' }, async (db) => {\n    const rows = await db\n      .select({ id: userRoles.id })\n      .from(userRoles)\n      .where(eq(userRoles.role, 'admin'))\n      .limit(1);\n    return rows.length > 0;\n  });\n","import { eq } from 'drizzle-orm';\nimport { withActor } from 'simplycms/db';\nimport { userRoles } from 'simplycms/schema';\nimport type { AppRole, AuthzSubject } from './authz';\nimport { getAuth } from './instance';\n\n/**\n * Ідентичність запиту для серверного контуру (К1′б).\n *\n * 🔴 Тут зшиваються дві половини, які до цього жили окремо: сесію дає Better\n * Auth, а доменні ролі — таблиця `user_roles`. Ролі НЕ кладуться в сесійний\n * токен свідомо: відкликана роль мусить діяти з наступного ж запиту, а не\n * після протермінування cookie.\n */\n\n/** Субʼєкт authz із даними, які потрібні UI (пошта, імʼя). */\nexport interface SessionSubject extends AuthzSubject {\n  readonly userId: string;\n  readonly email: string;\n  readonly name: string | null;\n}\n\n/**\n * Ролі користувача з `user_roles`.\n *\n * 🔴 Актор — `app_user` із його ж `userId`, а не `app_admin`. Політика\n * `user_roles_select_own` віддає під нею рівно рядки цього користувача, тож\n * питання «які в мене ролі» не потребує підвищених прав: перевіряти невідоме\n * правами адміна означало б відповідати на нього ще до того, як він заданий.\n */\nexport async function readUserRoles(userId: string): Promise<AppRole[]> {\n  return withActor({ role: 'app_user', userId }, async (db) => {\n    const rows = await db\n      .select({ role: userRoles.role })\n      .from(userRoles)\n      .where(eq(userRoles.userId, userId));\n\n    return rows.map((row) => row.role);\n  });\n}\n\n/**\n * Сесія Better Auth із заголовків запиту → субʼєкт authz.\n *\n * Без cookie або з протермінованою сесією повертає `null` — викликач сам\n * вирішує, що це означає (редірект, 401 чи анонімний перегляд).\n */\nexport async function readSessionSubject(\n  headers: Headers,\n): Promise<SessionSubject | null> {\n  const session = await getAuth().api.getSession({ headers });\n  if (!session) return null;\n\n  const { user } = session;\n  return {\n    userId: user.id,\n    email: user.email,\n    name: user.name || null,\n    roles: await readUserRoles(user.id),\n  };\n}\n\n/** Чи має власник цієї сесії роль `admin`. Без сесії — `false`. */\nexport async function isAdminRequest(headers: Headers): Promise<boolean> {\n  const subject = await readSessionSubject(headers);\n  return subject?.roles.includes('admin') ?? false;\n}\n","import type { ActorRole } from 'simplycms/db';\n\n/**\n * Перший рубіж моделі безпеки B5″ — типізований authz у TS (Task 7, В2-К1а).\n *\n * 🔴 Рубежів два, і плутати їх не можна. ТУТ вирішується, чи операція взагалі\n * дозволена цьому субʼєкту; РОЛЬ БД (`app_user`/`app_admin`, вмикається\n * `SET LOCAL ROLE` у `withActor`) — другий рубіж, страхувальна сітка проти\n * забутого `WHERE` у репозиторії. Другий рубіж не замінює першого: застосунок\n * сам виставляє собі claims, тож проти скомпрометованого процесу RLS не\n * захищає — це виміряно спайком B5.\n */\n\n/** Доменна роль із `user_roles.role` (енам `app_role`). */\nexport type AppRole = 'admin' | 'user';\n\n/**\n * Вимір ДІЇ над рядками — дизайн-насіння зі спеки §8.\n *\n * 🔴 Тут навмисно ЛИШЕ місце, а не реалізація: `own` не фільтрує нічого сам —\n * він каже викликачу, що запит зобовʼязаний звузитись до власних рядків\n * (а RLS це продублює). Ролі персоналу (менеджер замовлень, контент-редактор)\n * зʼявляться пізніше й розрізнятимуться саме цим виміром, а не набором\n * операцій, — тому вимір заведено ЗАРАЗ, поки матриця мала.\n */\nexport type AuthScope = 'own' | 'any';\n\n/** Операції, які знає ядро. Список росте разом із serverFn-шаром К2/К3. */\nexport type Operation =\n  | 'catalog.read'\n  | 'catalog.write'\n  | 'order.read'\n  | 'order.create'\n  | 'profile.read'\n  | 'profile.update'\n  | 'review.create'\n  | 'review.moderate'\n  | 'user.role.assign'\n  | 'admin.access';\n\n/** Хто робить операцію. `userId: null` — анонім (гість вітрини). */\nexport interface AuthzSubject {\n  readonly userId: string | null;\n  readonly roles: readonly AppRole[];\n}\n\ntype Grants = Readonly<Partial<Record<AppRole, AuthScope>>>;\n\n/**\n * Матриця «роль × операція → scope». Відсутній ключ ролі = заборонено.\n *\n * 🔴 Анонім у матриці НЕ фігурує окремим рядком: він не має жодної ролі, тож\n * усе, крім явно публічного, йому закрите за побудовою. Публічне читання\n * каталогу дає не ця матриця, а ГРАНТ на `app_user` (0002_grants.sql) —\n * тримати «дозволено всім» у двох місцях означало б колись розійтись.\n */\nexport const AUTHZ_MATRIX: Readonly<Record<Operation, Grants>> = {\n  'catalog.read': { user: 'any', admin: 'any' },\n  'catalog.write': { admin: 'any' },\n  'order.read': { user: 'own', admin: 'any' },\n  'order.create': { user: 'own', admin: 'any' },\n  'profile.read': { user: 'own', admin: 'any' },\n  'profile.update': { user: 'own', admin: 'any' },\n  'review.create': { user: 'own', admin: 'any' },\n  'review.moderate': { admin: 'any' },\n  'user.role.assign': { admin: 'any' },\n  'admin.access': { admin: 'any' },\n};\n\n/** Відмова authz. Окремий клас — щоб хендлер мапив її в 403, а не в 500. */\nexport class AuthzError extends Error {\n  constructor(readonly operation: Operation | AppRole) {\n    super(`[simplycms/auth] Операція заборонена: ${operation}.`);\n    this.name = 'AuthzError';\n  }\n}\n\n/** `any` перекриває `own`; порядок потрібен для субʼєкта з кількома ролями. */\nconst WIDER: Record<AuthScope, number> = { own: 0, any: 1 };\n\n/**\n * Найширший scope, який дають субʼєкту його ролі, або `null` — заборонено.\n */\nexport function resolveGrant(\n  subject: AuthzSubject,\n  operation: Operation,\n): AuthScope | null {\n  const grants = AUTHZ_MATRIX[operation];\n  let best: AuthScope | null = null;\n  for (const role of subject.roles) {\n    const scope = grants[role];\n    if (scope && (best === null || WIDER[scope] > WIDER[best])) best = scope;\n  }\n  return best;\n}\n\n/** Чи дозволена операція (без деталей scope). */\nexport const can = (subject: AuthzSubject, operation: Operation): boolean =>\n  resolveGrant(subject, operation) !== null;\n\n/**\n * Вимагає роль. Використовується там, де перевірка — саме про роль\n * (наприклад, вхід в адмінку), а не про конкретну операцію.\n *\n * @throws AuthzError\n */\nexport function requireRole(\n  subject: AuthzSubject,\n  role: AppRole,\n): asserts subject is AuthzSubject {\n  if (!subject.roles.includes(role)) throw new AuthzError(role);\n}\n\n/**\n * Вимагає операцію й повертає scope, з яким її дозволено виконати.\n *\n * 🔴 Повертає саме scope, а не `void`: викликач мусить ПОБАЧИТИ, що йому\n * дозволено лише `own`, і звузити запит. Функція, що повертала б `void`,\n * зробила б різницю між `own` і `any` невидимою на місці виклику.\n *\n * @throws AuthzError\n */\nexport function requireOperation(\n  subject: AuthzSubject,\n  operation: Operation,\n): AuthScope {\n  const scope = resolveGrant(subject, operation);\n  if (!scope) throw new AuthzError(operation);\n  return scope;\n}\n\n/**\n * Доменна роль → роль БД для `withActor` (другий рубіж).\n *\n * 🔴 Мапа однобічна й навмисно тупа: `app_admin` вмикається ЛИШЕ після того,\n * як перший рубіж уже сказав «так». Викликати `withActor` з `app_admin`,\n * оминувши `requireOperation`, — це і є той обхід, проти якого весь дизайн.\n */\nexport const dbRoleFor = (role: AppRole): ActorRole =>\n  role === 'admin' ? 'app_admin' : 'app_user';\n\n/** Роль БД для субʼєкта: адмін — якщо він адмін, інакше звичайний покупець. */\nexport const dbRoleForSubject = (subject: AuthzSubject): ActorRole =>\n  subject.roles.includes('admin') ? 'app_admin' : 'app_user';\n"]}

package/dist/auth/instance.d.ts

@@ -0,0 +1,60 @@
+import { betterAuth } from 'better-auth';
+import { type ProvisionUser } from './hooks';
+import { type SendAuthEmail } from './send-email';
+/** Що можна підмінити ззовні — рівно стільки, скільки треба тестам. */
+export interface AuthDeps {
+    /**
+     * DB-адаптер Better Auth. За замовчуванням — drizzle над pg-proxy через
+     * `withActor`. Юніт-тести підставляють `better-auth/adapters/memory` — саме
+     * цим DoD спеки «BA тестується без Docker» виконується фактом.
+     */
+    readonly database?: Parameters<typeof betterAuth>[0]['database'];
+    /** Провізія `profiles`+`user_roles`. За замовчуванням — запис у Postgres. */
+    readonly provisionUser?: ProvisionUser;
+    readonly secret?: string;
+    readonly baseURL?: string;
+    /**
+     * Канал доставки листів. За замовчуванням — заглушка з логом
+     * (`./send-email`): SMTP лишається справою магазину, ядро лише КЛИЧЕ канал.
+     */
+    readonly sendEmail?: SendAuthEmail;
+    /** Назва магазину в темі листа. */
+    readonly storeName?: string;
+}
+/**
+ * Створює інстанс. Env читається ТУТ, у рантаймі — не на модуль-рівні.
+ */
+export declare function createAuth(deps?: AuthDeps): import("better-auth").Auth<{
+    secret: string;
+    baseURL: string | undefined;
+    database: any;
+    emailAndPassword: {
+        enabled: true;
+        sendResetPassword: ({ user, url }: {
+            user: import("better-auth").User;
+            url: string;
+            token: string;
+        }) => Promise<void>;
+    };
+    advanced: {
+        database: {
+            generateId: "uuid";
+        };
+    };
+    databaseHooks: {
+        user: {
+            create: {
+                after: (user: import("./hooks").NewAuthUser) => Promise<void>;
+            };
+        };
+    };
+}>;
+/** Тип готового інстансу — для сигнатур споживачів К1′б. */
+export type SimplyAuth = ReturnType<typeof createAuth>;
+/**
+ * Інстанс процесу (лінива синглтон-фабрика) — той самий контракт «рестарт
+ * замість гарячої ротації», що й у пулу `simplycms/db`.
+ */
+export declare function getAuth(): SimplyAuth;
+/** Скидає синглтон (teardown тестів, перемикання env). */
+export declare function resetAuth(): void;

package/dist/auth/invite-email.d.ts

@@ -0,0 +1,38 @@
+/**
+ * Рендер листа-запрошення власника (Task 7, В2-К1а).
+ *
+ * 🔴 Виділено чистою функцією саме тому, що ДОСТАВКА недосяжна: SMTP у цьому
+ * оточенні немає, лист шле колбек магазину. Рендер же — єдина частина, яку
+ * можна довести машинно, і вона доводиться юнітом: посилання ціле, токен не
+ * загубився, HTML-версія не ламається на лапках в імені магазину.
+ */
+/** Готовий лист — те, що колбек магазину віддає своєму транспорту. */
+export interface InviteEmail {
+    readonly to: string;
+    readonly subject: string;
+    readonly text: string;
+    readonly html: string;
+}
+/** Колбек доставки. Реалізує магазин; ядро транспорту не знає. */
+export type SendInviteEmail = (message: InviteEmail) => Promise<void>;
+export interface InviteEmailInput {
+    readonly to: string;
+    readonly url: string;
+    readonly storeName: string;
+    readonly ttlMs: number;
+}
+/** Збирає лист. Мова — українська: це лист власнику магазину, не UI-рядок. */
+export declare function renderInviteEmail(input: InviteEmailInput): InviteEmail;
+export interface ResetPasswordEmailInput {
+    readonly to: string;
+    readonly url: string;
+    readonly storeName: string;
+}
+/**
+ * Лист скидання пароля (К1′б).
+ *
+ * Живе поруч із запрошенням навмисно: обидва — листи auth-контуру з ОДНИМ
+ * одноразовим посиланням, і спільне екранування тут дешевше за другий модуль
+ * із власною копією тих самих чотирьох `replace`.
+ */
+export declare function renderResetPasswordEmail(input: ResetPasswordEmailInput): InviteEmail;

package/dist/auth/invite-store.d.ts

@@ -0,0 +1,11 @@
+import type { OwnerInviteStore } from './invite';
+/**
+ * Сховище invite власника на Postgres (Task 7, В2-К1а).
+ *
+ * Роль — `app_admin`: гранти на таблиці Better Auth і на `user_roles` видані
+ * саме їй (0002_grants.sql, §5-§6). Той самий вузький auth-шлях, що й у
+ * `./provision`.
+ */
+export declare const ownerInviteStore: OwnerInviteStore;
+/** Чи є в магазині хоч один адмін — потрібно CLI, щоб не слати invite двічі. */
+export declare const hasAnyAdmin: () => Promise<boolean>;

package/dist/auth/invite.d.ts

@@ -0,0 +1,83 @@
+import { type SendInviteEmail } from './invite-email';
+/**
+ * Invite власника — заміна механіки `inviteUserByEmail` (Task 7, В2-К1а).
+ *
+ * 🔴 Що змінилось по суті. У GoTrue лист будував сам Supabase за шаблоном
+ * `supabase/templates/invite.html`, і перевірити рендер було нічим. Тепер
+ * токен випускаємо МИ, лист рендеримо МИ (`./invite-email`), а шле його
+ * колбек магазину — тож усе, крім SMTP-доставки, стає юніт-тестовним.
+ * SMTP лишається боргом оточення (доводиться в власника).
+ *
+ * 🔴 У БД лягає лише SHA-256 токена. Дамп таблиці `verifications` не має
+ * давати дійсного посилання: цим invite відрізняється від «просто рядка з
+ * секретом».
+ */
+/** Порт сховища. Реалізація на Postgres — `./invite-store`. */
+export interface OwnerInviteStore {
+    findUserIdByEmail(email: string): Promise<string | null>;
+    createUser(input: {
+        email: string;
+        name: string;
+    }): Promise<string>;
+    storeToken(input: {
+        identifier: string;
+        valueHash: string;
+        expiresAt: Date;
+    }): Promise<void>;
+    consumeToken(identifier: string): Promise<{
+        valueHash: string;
+        expiresAt: Date;
+    } | null>;
+    grantAdminRole(userId: string): Promise<void>;
+}
+/** Ключ запису у `verifications`. Пошта — у нижньому регістрі: вона й є ключ. */
+export declare const inviteIdentifier: (email: string) => string;
+export interface IssueOwnerInviteInput {
+    readonly store: OwnerInviteStore;
+    readonly sendEmail: SendInviteEmail;
+    readonly email: string;
+    readonly siteUrl: string;
+    readonly storeName?: string;
+    readonly ttlMs?: number;
+    readonly now?: Date;
+    /** Тільки для тестів: детермінований токен замість випадкового. */
+    readonly token?: string;
+}
+export interface OwnerInviteResult {
+    readonly userId: string;
+    /** `false` — користувач уже існував: повторний invite його не дублює. */
+    readonly created: boolean;
+    readonly url: string;
+}
+/**
+ * Випускає запрошення. Ідемпотентно щодо КОРИСТУВАЧА: повторний виклик на ту
+ * саму пошту не створює другого рядка `users` і не дублює роль — він лише
+ * перевипускає токен. Саме так поводився старий `owner:invite` (гілка
+ * `email_exists`), і саме цю поведінку власник очікує від «надішли ще раз».
+ */
+export declare function issueOwnerInvite(input: IssueOwnerInviteInput): Promise<OwnerInviteResult>;
+/** Чому запрошення не прийнято — рівно ті випадки, які має розрізняти UI. */
+export type InviteRejection = 'not-found' | 'expired' | 'mismatch';
+export type VerifyOwnerInviteResult = {
+    readonly ok: true;
+    readonly userId: string;
+} | {
+    readonly ok: false;
+    readonly reason: InviteRejection;
+};
+/**
+ * Перевіряє токен і СПОЖИВАЄ його (одноразовість).
+ *
+ * 🔴 Порівняння хешів — `timingSafeEqual`, а не `===`: обидва рядки однакової
+ * довжини й повністю контрольовані зловмисником, тобто це класичний випадок,
+ * де побайтове раннє повернення тече в тайминг.
+ *
+ * Прив'язку пароля робить К1′б: тут доводиться лише «токен дійсний і це той
+ * самий користувач».
+ */
+export declare function verifyOwnerInvite(input: {
+    store: OwnerInviteStore;
+    email: string;
+    token: string;
+    now?: Date;
+}): Promise<VerifyOwnerInviteResult>;

package/dist/auth/provision.d.ts

@@ -0,0 +1,10 @@
+import type { ProvisionUser } from './hooks';
+/**
+ * Реалізація порту провізії на Postgres (Task 7, В2-К1а).
+ *
+ * Роль — `app_admin`: політики `profiles_admin_all` і `user_roles_admin_all`
+ * дозволяють запис саме їй, а покупець свій профіль лише читає й редагує
+ * (0002_grants.sql, §4). Це той самий вузький auth-шлях, що й у
+ * `./drizzle-proxy`.
+ */
+export declare const provisionUserInDb: ProvisionUser;

package/dist/auth/send-email.d.ts

@@ -0,0 +1,19 @@
+import type { InviteEmail } from './invite-email';
+/**
+ * Канал доставки листів auth-контуру (К1′б).
+ *
+ * 🔴 SMTP тут НЕ реалізується — рішення власника: доставку він налаштовує й
+ * перевіряє локально. Ядро зобовʼязане лише КЛИКАТИ канал у всіх точках, де
+ * лист має піти, щоб магазину лишалося підставити одну функцію, а не шукати
+ * місця виклику.
+ */
+export type SendAuthEmail = (message: InviteEmail) => Promise<void>;
+/**
+ * Заглушка за замовчуванням: пише лист у лог замість відправки.
+ *
+ * 🔴 TODO(К6): підмінити реальним транспортом магазину. Мовчки ковтати лист
+ * не можна — посилання для скидання пароля й запрошення власника тоді
+ * зникали б безслідно, і діагноз виглядав би як «пошта не приходить».
+ * Лог лишає їх видимими в консолі сервера.
+ */
+export declare const stubSendAuthEmail: SendAuthEmail;

package/dist/auth/session.d.ts

@@ -0,0 +1,33 @@
+import type { AppRole, AuthzSubject } from './authz';
+/**
+ * Ідентичність запиту для серверного контуру (К1′б).
+ *
+ * 🔴 Тут зшиваються дві половини, які до цього жили окремо: сесію дає Better
+ * Auth, а доменні ролі — таблиця `user_roles`. Ролі НЕ кладуться в сесійний
+ * токен свідомо: відкликана роль мусить діяти з наступного ж запиту, а не
+ * після протермінування cookie.
+ */
+/** Субʼєкт authz із даними, які потрібні UI (пошта, імʼя). */
+export interface SessionSubject extends AuthzSubject {
+    readonly userId: string;
+    readonly email: string;
+    readonly name: string | null;
+}
+/**
+ * Ролі користувача з `user_roles`.
+ *
+ * 🔴 Актор — `app_user` із його ж `userId`, а не `app_admin`. Політика
+ * `user_roles_select_own` віддає під нею рівно рядки цього користувача, тож
+ * питання «які в мене ролі» не потребує підвищених прав: перевіряти невідоме
+ * правами адміна означало б відповідати на нього ще до того, як він заданий.
+ */
+export declare function readUserRoles(userId: string): Promise<AppRole[]>;
+/**
+ * Сесія Better Auth із заголовків запиту → субʼєкт authz.
+ *
+ * Без cookie або з протермінованою сесією повертає `null` — викликач сам
+ * вирішує, що це означає (редірект, 401 чи анонімний перегляд).
+ */
+export declare function readSessionSubject(headers: Headers): Promise<SessionSubject | null>;
+/** Чи має власник цієї сесії роль `admin`. Без сесії — `false`. */
+export declare function isAdminRequest(headers: Headers): Promise<boolean>;

package/dist/cart-ui/CartButton.d.ts

@@ -0,0 +1 @@
+export declare function CartButton(): import("react").JSX.Element;

package/dist/cart-ui/CartButton.js

@@ -0,0 +1,4 @@
+export { CartButton } from '../chunk-HW3CZJDX.js';
+import '../chunk-PZ5AY32C.js';
+//# sourceMappingURL=CartButton.js.map
+//# sourceMappingURL=CartButton.js.map

package/dist/cart-ui/CartButton.js.map

@@ -0,0 +1 @@
+{"version":3,"sources":[],"names":[],"mappings":"","file":"CartButton.js"}

package/dist/cart-ui/CartDrawer.d.ts

@@ -0,0 +1 @@
+export declare function CartDrawer(): import("react").JSX.Element | null;

package/dist/cart-ui/CartDrawer.js

@@ -0,0 +1,6 @@
+export { CartDrawer } from '../chunk-2ZOJ3BRO.js';
+import '../chunk-ZS26TLLE.js';
+import '../chunk-3XVESNZC.js';
+import '../chunk-PZ5AY32C.js';
+//# sourceMappingURL=CartDrawer.js.map
+//# sourceMappingURL=CartDrawer.js.map

package/dist/cart-ui/CartDrawer.js.map

@@ -0,0 +1 @@
+{"version":3,"sources":[],"names":[],"mappings":"","file":"CartDrawer.js"}

package/dist/cart-ui/CartItem.d.ts

@@ -0,0 +1,6 @@
+import { type CartItem as CartItemType } from 'simplycms/react-query';
+interface CartItemProps {
+    item: CartItemType;
+}
+export declare function CartItem({ item }: CartItemProps): import("react").JSX.Element;
+export {};

package/dist/cart-ui/CartItem.js

@@ -0,0 +1,5 @@
+export { CartItem } from '../chunk-ZS26TLLE.js';
+import '../chunk-3XVESNZC.js';
+import '../chunk-PZ5AY32C.js';
+//# sourceMappingURL=CartItem.js.map
+//# sourceMappingURL=CartItem.js.map

package/dist/cart-ui/CartItem.js.map

@@ -0,0 +1 @@
+{"version":3,"sources":[],"names":[],"mappings":"","file":"CartItem.js"}

package/dist/cart-ui/CartItemView.d.ts

@@ -0,0 +1,7 @@
+import { type CartItem as CartItemType } from 'simplycms/react-query';
+export interface CartItemViewProps {
+    item: CartItemType;
+    onChangeQuantity: (quantity: number) => void;
+    onRemove: () => void;
+}
+export declare function CartItemView({ item, onChangeQuantity, onRemove, }: CartItemViewProps): import("react").JSX.Element;

package/dist/cart-ui/CartItemView.js

@@ -0,0 +1,4 @@
+export { CartItemView } from '../chunk-3XVESNZC.js';
+import '../chunk-PZ5AY32C.js';
+//# sourceMappingURL=CartItemView.js.map
+//# sourceMappingURL=CartItemView.js.map

package/dist/cart-ui/CartItemView.js.map

@@ -0,0 +1 @@
+{"version":3,"sources":[],"names":[],"mappings":"","file":"CartItemView.js"}

package/dist/cart-ui/index.d.ts

@@ -0,0 +1,5 @@
+export { CartButton } from './CartButton';
+export { CartDrawer } from './CartDrawer';
+export { CartItem } from './CartItem';
+export { CartItemView } from './CartItemView';
+export type { CartItemViewProps } from './CartItemView';

package/dist/cart-ui/index.js

@@ -0,0 +1,7 @@
+export { CartButton } from '../chunk-HW3CZJDX.js';
+export { CartDrawer } from '../chunk-2ZOJ3BRO.js';
+export { CartItem } from '../chunk-ZS26TLLE.js';
+export { CartItemView } from '../chunk-3XVESNZC.js';
+import '../chunk-PZ5AY32C.js';
+//# sourceMappingURL=index.js.map
+//# sourceMappingURL=index.js.map

package/dist/cart-ui/index.js.map

@@ -0,0 +1 @@
+{"version":3,"sources":[],"names":[],"mappings":"","file":"index.js"}

package/dist/catalog-ui/ActiveFilters.d.ts

@@ -0,0 +1,28 @@
+interface ActiveFilter {
+    key: string;
+    label: string;
+    value: string;
+    type: 'option' | 'range' | 'price';
+    optionId?: string;
+}
+interface ActiveFiltersProps {
+    filters: ActiveFilter[];
+    onRemoveFilter: (filter: ActiveFilter) => void;
+    onClearAll: () => void;
+    /** Render a Badge component. Receives props: variant, className, children */
+    renderBadge?: (props: {
+        variant: string;
+        className?: string;
+        children: React.ReactNode;
+    }) => React.ReactNode;
+    /** Render a Button component. Receives props: variant, size, onClick, className, children */
+    renderButton?: (props: {
+        variant: string;
+        size: string;
+        onClick: () => void;
+        className?: string;
+        children: React.ReactNode;
+    }) => React.ReactNode;
+}
+export type { ActiveFilter };
+export declare function ActiveFilters({ filters, onRemoveFilter, onClearAll, renderBadge, renderButton, }: ActiveFiltersProps): import("react").JSX.Element | null;

package/dist/catalog-ui/ActiveFilters.js

@@ -0,0 +1,4 @@
+export { ActiveFilters } from '../chunk-LS3LMIS4.js';
+import '../chunk-PZ5AY32C.js';
+//# sourceMappingURL=ActiveFilters.js.map
+//# sourceMappingURL=ActiveFilters.js.map

package/dist/catalog-ui/ActiveFilters.js.map

@@ -0,0 +1 @@
+{"version":3,"sources":[],"names":[],"mappings":"","file":"ActiveFilters.js"}

package/dist/catalog-ui/FilterSidebar.d.ts

@@ -0,0 +1,31 @@
+interface ProductForCounting {
+    propertyValues: Array<{
+        property_id: string;
+        option_id?: string | null;
+    }>;
+}
+/** Тип значення фільтра */
+export type FilterValue = boolean | number | string[] | undefined;
+interface FilterSidebarProps {
+    sectionId?: string;
+    filters: Record<string, FilterValue>;
+    onFilterChange: (filters: Record<string, FilterValue>) => void;
+    priceRange?: {
+        min: number;
+        max: number;
+    };
+    numericPropertyRanges?: Record<string, {
+        min: number;
+        max: number;
+    }>;
+    products?: ProductForCounting[];
+    /** Render UI components - the host app should provide these */
+    renderButton?: (props: Record<string, unknown>) => React.ReactNode;
+    renderCheckbox?: (props: Record<string, unknown>) => React.ReactNode;
+    renderLabel?: (props: Record<string, unknown>) => React.ReactNode;
+    renderSlider?: (props: Record<string, unknown>) => React.ReactNode;
+    renderInput?: (props: Record<string, unknown>) => React.ReactNode;
+    renderAccordion?: (props: Record<string, unknown>) => React.ReactNode;
+}
+export declare function FilterSidebar({ sectionId, filters, onFilterChange, priceRange, numericPropertyRanges, products, }: FilterSidebarProps): import("react").JSX.Element | null;
+export {};

package/dist/catalog-ui/FilterSidebar.js

@@ -0,0 +1,4 @@
+export { FilterSidebar } from '../chunk-P6OAVA6S.js';
+import '../chunk-PZ5AY32C.js';
+//# sourceMappingURL=FilterSidebar.js.map
+//# sourceMappingURL=FilterSidebar.js.map

package/dist/catalog-ui/FilterSidebar.js.map

@@ -0,0 +1 @@
+{"version":3,"sources":[],"names":[],"mappings":"","file":"FilterSidebar.js"}

package/dist/catalog-ui/ModificationSelector.d.ts

@@ -0,0 +1,25 @@
+type StockStatus = 'in_stock' | 'out_of_stock' | 'on_order';
+export interface ModificationStockInfo {
+    totalQuantity: number;
+    isAvailable: boolean;
+}
+interface Modification {
+    id: string;
+    name: string;
+    slug: string;
+    stock_status?: StockStatus | null;
+    sku?: string | null;
+}
+interface ModificationSelectorProps {
+    modifications: Modification[];
+    selectedId: string;
+    onSelect: (id: string) => void;
+    formatPrice: (price: number) => string;
+    prices?: Record<string, {
+        price: number;
+        oldPrice: number | null;
+    }>;
+    stockByModification?: Record<string, ModificationStockInfo>;
+}
+export declare function ModificationSelector({ modifications, selectedId, onSelect, formatPrice, prices, stockByModification, }: ModificationSelectorProps): import("react").JSX.Element | null;
+export {};

package/dist/catalog-ui/ModificationSelector.js

@@ -0,0 +1,4 @@
+export { ModificationSelector } from '../chunk-5GOKOB4W.js';
+import '../chunk-PZ5AY32C.js';
+//# sourceMappingURL=ModificationSelector.js.map
+//# sourceMappingURL=ModificationSelector.js.map

package/dist/catalog-ui/ModificationSelector.js.map

@@ -0,0 +1 @@
+{"version":3,"sources":[],"names":[],"mappings":"","file":"ModificationSelector.js"}