vert-core 1.0.13 → 1.0.15

checksums.yaml

@@ -1,7 +1,7 @@
 ---
 SHA256:
-  metadata.gz: efcc19b5c1872506cb9d75e59020db09984c94d24cd690709c26db3c4f966194
-  data.tar.gz: a21f57805634a5f6fbb14bfcf6513c92382309d2ee004f73c955e997a7f7b932
+  metadata.gz: c81e24d685ccd2412787e971650108ad2d507fea03121aecf9f74f442cdeee29
+  data.tar.gz: 6da8dfb2a6d8fcc3ed751a0d04958446e392417c4ed33d2a60ed4a5cbf870236
 SHA512:
-  metadata.gz: 8fe2af573b8f87f8ee20c65944a9aa1fc74c0f3ceab41ae355d627d41d294d1c90e195fd77c0ae2a2813d6bbdf8638ac6c5f724beee917b0d21e1527eb75c54e
-  data.tar.gz: 709adf6c940017b3cf322a35d810cedff4fe73126c5e3483668592cb21cfffb830d0889b09ddd791fd95c2bdbc7508cad129b4d67bfe3adbb68caf49fc5176e2
+  metadata.gz: d9c5b091cb5a213aa0b14cc27f31817617096d89ceb58bd74f327c56a422b7f17cd57681ad4a9f4cc010ce42b9002807ac6ae34bce5dae84e5ced185b62265db
+  data.tar.gz: 1ffaaf2ae131b78aa452abccf4ccacebaf454c594e8b9bff6d6b458c13c498ce06e5936df5bb8502f5945cf3f69e9f59d03ad71caf455e133529bac4de5d56b1

data/CHANGELOG.md

@@ -1,5 +1,50 @@
 # Changelog
 
+## [1.0.15] - 2026-05-24
+
+### Added
+
+- `Vert::Concerns::MultiTenant.multi_tenant_options(include_system_records: true)` — opt-in para que o `default_scope` inclua registros com `tenant_id IS NULL` (system records visíveis globalmente). Útil para `Role`, `Plan`, `Permission` catálogo e outros modelos com registros "globais" compartilhados entre tenants.
+  - Quando ativado, o scope vira `WHERE tenant_id = ? OR tenant_id IS NULL`.
+  - Quando ativado, `tenant_id` deixa de ser obrigatório na validação.
+
+### Fixed
+
+- **Bug crítico latente** — sem a opção `include_system_records`, o `default_scope` do `MultiTenant` escondia silenciosamente todos os registros com `tenant_id NULL` durante requests autenticadas. Isso quebrava qualquer associação `belongs_to` para system records (ex: `User#role` apontando para system role) retornando nil mesmo com `role_id` presente. Consequência: TODAS as Pundit policies que checavam `user.role` retornavam 403 mesmo para Proprietário do tenant.
+  - Workaround anterior (sem essa release): `Role.unscoped.find_by(id:)` em cada chamada.
+  - Com 1.0.15: declarar `multi_tenant_options include_system_records: true` no model e remover workarounds.
+
+### Migration guide
+
+```ruby
+# Antes (workaround):
+class User < ApplicationRecord
+  belongs_to :role, optional: true
+
+  def role
+    return super if association(:role).loaded?
+    @role_with_fallback ||= Role.unscoped.find_by(id: role_id)
+  end
+end
+
+# Depois (vert-core 1.0.15):
+class Role < ApplicationRecord
+  include Vert::Concerns::MultiTenant
+  multi_tenant_options include_system_records: true  # ← novo
+end
+
+class User < ApplicationRecord
+  belongs_to :role, optional: true
+  # Sem override — agora `user.role` carrega normalmente
+end
+```
+
+## [1.0.14] - 2026-05-24
+
+### Added
+
+- `Vert::Auth::JwtAuthenticatable#jwt_authenticated?` — helper que retorna `true` após `authenticate_jwt!` ter populado o payload com sucesso. Necessário durante o rollout para usar em `before_action :foo, if: :jwt_authenticated?` (callbacks que dependem de `Vert::Current` já populado).
+
 ## [1.0.13] - 2026-05-24
 
 ### Added

data/lib/vert/auth/jwt_authenticatable.rb

@@ -170,6 +170,13 @@ module Vert
         @jwt_payload
       end
 
+      # True após `authenticate_jwt!` ter populado o payload com sucesso.
+      # Útil para `before_action :foo, if: :jwt_authenticated?` em callbacks
+      # que dependem de Vert::Current já populado.
+      def jwt_authenticated?
+        @jwt_payload.present?
+      end
+
       # Override no serviço para retornar o registro User correspondente
       # ao `sub` do JWT.
       def current_jwt_user

data/lib/vert/concerns/multi_tenant.rb

@@ -2,22 +2,55 @@
 
 module Vert
   module Concerns
+    # MultiTenant
+    # -----------
+    # Adiciona escopo automático por `tenant_id` baseado em `Vert::Current.tenant_id`.
+    #
+    # ## Uso básico
+    #   class Order < ApplicationRecord
+    #     include Vert::Concerns::MultiTenant
+    #   end
+    #
+    # ## System records (tenant_id NULL)
+    #
+    # Alguns modelos têm registros "globais" que devem ser visíveis em todos
+    # os tenants — ex: `Role` system, `Plan`, `Permission` catálogo. Esses
+    # registros são identificados por `tenant_id IS NULL`.
+    #
+    # Por default, o `default_scope` filtra `where(tenant_id = current)`, o que
+    # exclui esses registros silenciosamente quando há tenant ativo. Para
+    # incluí-los, use o opt-in:
+    #
+    #   class Role < ApplicationRecord
+    #     include Vert::Concerns::MultiTenant
+    #     multi_tenant_options include_system_records: true
+    #   end
+    #
+    # Com essa opção, o default_scope passa a ser:
+    #   where("tenant_id = ? OR tenant_id IS NULL", Vert::Current.tenant_id)
+    #
+    # Aplica-se também à validação: `tenant_id` deixa de ser obrigatório.
+    #
+    # ## Bypass manual
+    #
+    # Para queries específicas que precisam ignorar o escopo:
+    #
+    #   Order.unscoped.where(id: external_id)
+    #   Order.unscoped_for_tenant(other_tenant_id).find(id)
     module MultiTenant
       extend ActiveSupport::Concern
 
-      included do
-        validates :tenant_id, presence: true, if: :require_tenant_id?
-        default_scope do
-          if Vert::Current.tenant_id.present?
-            where(tenant_id: Vert::Current.tenant_id)
-          else
-            all
-          end
+      class_methods do
+        # Configura comportamento do MultiTenant. Aceita:
+        #   - include_system_records: true  → default_scope inclui tenant_id NULL
+        def multi_tenant_options(include_system_records: false)
+          @multi_tenant_include_system_records = include_system_records
+        end
+
+        def multi_tenant_include_system_records?
+          @multi_tenant_include_system_records == true
         end
-        before_validation :set_tenant_id, on: :create
-      end
 
-      class_methods do
         def unscoped_for_tenant(tenant_id)
           unscoped.where(tenant_id: tenant_id)
         end
@@ -31,9 +64,30 @@ module Vert
         end
       end
 
+      included do
+        validates :tenant_id, presence: true, if: :require_tenant_id?
+
+        default_scope do
+          current_tenant = Vert::Current.tenant_id
+          if current_tenant.present?
+            if multi_tenant_include_system_records?
+              where("#{table_name}.tenant_id = ? OR #{table_name}.tenant_id IS NULL", current_tenant)
+            else
+              where(tenant_id: current_tenant)
+            end
+          else
+            all
+          end
+        end
+
+        before_validation :set_tenant_id, on: :create
+      end
+
       private
 
       def require_tenant_id?
+        return false if self.class.multi_tenant_include_system_records?
+
         true
       end
 

data/lib/vert/version.rb

@@ -1,5 +1,5 @@
 # frozen_string_literal: true
 
 module Vert
-  VERSION = "1.0.13"
+  VERSION = "1.0.15"
 end

metadata

@@ -1,13 +1,13 @@
 --- !ruby/object:Gem::Specification
 name: vert-core
 version: !ruby/object:Gem::Version
-  version: 1.0.13
+  version: 1.0.15
 platform: ruby
 authors:
 - Vert Team
 bindir: exe
 cert_chain: []
-date: 2026-05-24 00:00:00.000000000 Z
+date: 2026-05-25 00:00:00.000000000 Z
 dependencies:
 - !ruby/object:Gem::Dependency
   name: activesupport