authzplan

type Atom struct {
	Kind AtomKind
	// ParentType — тип предка, на котором лежит факт; пустая строка означает сам
	// объект. Путь выражен ТИПОМ, а не последовательностью указателей: в этой
	// модели у типа не бывает двух указателей на один и тот же тип предка, и это
	// проверяется (`assertOnePointerPerParentType`), а не предполагается.
	ParentType string
	// Relation — имя отношения. У AtomFact это имя факта, у AtomBinding — ГЛАГОЛ,
	// который обязана давать роль привязки. Он не равен спрошенному отношению
	// всегда: `v_addtargets` выводится в модели от `v_update`, и привязку надо
	// спрашивать про `v_update`. Подставить сюда спрошенное имя значило бы молча
	// отказывать держателю права, которое модель ему даёт.
	Relation string
	Origin   string // откуда терм пришёл — для отчёта и для падения пробы
}

type AtomKind int

type Census struct {
	Types           int
	Declarations    int
	VerbTypes       int
	VerbDeclaration int
	Pointers        int
	Conditions      int
}

type DirectSubject struct {
	Type      string // тип субъекта либо тип-указатель: user, service_account, group, cluster…
	Wildcard  bool   // `user:*`
	Userset   string // `group#member` → "member"
	Condition string // `user with mfa_fresh` → "mfa_fresh"
}

type Model struct {
	Types      []*ModelType
	Conditions []string

	// pointers — имена отношений-указателей, ВЫВЕДЕННЫЕ из текста: указателем
	// считается ровно то отношение, через которое хоть одно объявление ходит
	// формой `X from <указатель>`. Признак выводится, а не выписывается: список
	// имён в этом файле был бы вторым местом об одном предмете.
	// Pointers — тип → имена его указателей на предка. Экспортировано: цепь
	// областей есть ЧАСТЬ разобранной модели, и всякий, кто по ней ходит
	// (вычисление предков, проверка выразимости, замер), обязан ходить по ЭТОЙ
	// карте, а не строить свою из тех же объявлений.
	Pointers map[string]map[string]bool
	// contains filtered or unexported fields
}

type ModelType struct {
	Name      string
	Relations []*Relation
	// contains filtered or unexported fields
}

type Plan struct {
	Type     string
	Relation string
	Atoms    []Atom

	// Conditioned — записи прямых списков, несущие условие на кортеже (`with
	// mfa_fresh`). У формы E места под условие НЕТ: её факт — строка, у строки
	// нет контекста запроса, и CEL она не исполняет. Поэтому такие записи
	// называются поимённо и выносятся в исход (в), а не растворяются в атоме.
	Conditioned []string

	// Unclassified — термы, которые компилятор НЕ отнёс ни к одному виду.
	// Непустой список означает, что план неполон и вердикт по нему давать нельзя.
	Unclassified []string
}

type Relation struct {
	Owner *ModelType
	Name  string
	Terms []Term
	Raw   string
	Line  int
}

type Term struct {
	Kind        TermKind
	Direct      []DirectSubject
	Computed    string
	TTURelation string
	TTUPointer  string
	Raw         string
}

type TermKind int