@baruk/core 0.3.1 → 0.4.2

package/dist/clients/repository.js

@@ -1,4 +1,33 @@
-import { NotFoundError, uuidv7 } from '@baruk/shared';
+import { ConflictError, NotFoundError, uuidv7 } from '@baruk/shared';
+import { toE164OrNull } from '../contacts/phone.js';
+export function contactabilityOf(input) {
+    const email = input.email?.trim() ? 'ready' : 'missing';
+    const phone = input.phone?.trim() ? 'ready' : 'missing';
+    return { email, phone, reachable: email === 'ready' || phone === 'ready' };
+}
+/**
+ * Normalização de contato.
+ *
+ * E-mail vira minúsculo e sem espaços — a coluna é `citext`, mas quem lê o dado
+ * fora do banco não herda essa insensibilidade. Telefone guarda só dígitos e um
+ * `+` inicial: máscara é apresentação, e comparar "(62) 99999-9999" com
+ * "+5562999999999" é o tipo de divergência que só aparece quando a mensagem não
+ * chega.
+ */
+export function normalizeEmail(v) {
+    const t = v?.trim().toLowerCase();
+    return t ? t : null;
+}
+export function normalizePhone(v) {
+    if (!v)
+        return null;
+    const trimmed = v.trim();
+    const plus = trimmed.startsWith('+');
+    const digits = trimmed.replace(/\D/g, '');
+    if (!digits)
+        return null;
+    return plus ? `+${digits}` : digits;
+}
 function mapRow(r) {
     return {
         id: r.id,
@@ -6,30 +35,58 @@ function mapRow(r) {
         clientType: r.client_type,
         displayName: r.display_name,
         documentNumber: r.document_number,
+        email: r.email ?? null,
+        phone: r.phone ?? null,
         status: r.status,
         createdAt: r.created_at.toISOString(),
+        contactability: contactabilityOf({ email: r.email, phone: r.phone }),
     };
 }
+/**
+ * Traduz a violação de documento duplicado.
+ *
+ * O banco impede dois clientes com o mesmo CPF/CNPJ no tenant — regra correta,
+ * e o escritório precisa saber que foi ISSO. Sem tradução, a rota devolvia 500
+ * genérico: quem cadastrava via um "erro interno" onde havia um cadastro já
+ * existente, e não tinha como descobrir.
+ */
+function asDuplicateDocument(err) {
+    const e = err;
+    if (e?.code === '23505' && (e.constraint_name ?? '').includes('document')) {
+        throw new ConflictError('Já existe um cliente com este CPF/CNPJ neste escritório.');
+    }
+}
 export async function createClient(tx, input) {
     // tenant_id vem da GUC — nunca do input. A WITH CHECK da RLS recusa qualquer
     // tentativa de gravar fora do tenant corrente.
-    const rows = await tx `
-    INSERT INTO client (id, tenant_id, client_type, display_name, document_number, created_by)
-    VALUES (
-      ${uuidv7()},
-      current_setting('app.current_tenant')::uuid,
-      ${input.clientType ?? 'pj'},
-      ${input.displayName},
-      ${input.documentNumber ?? null},
-      ${input.createdBy ?? null}
-    )
-    RETURNING id, tenant_id, client_type, display_name, document_number, status, created_at
-  `;
-    return mapRow(rows[0]);
+    try {
+        const rows = await tx `
+      INSERT INTO client (id, tenant_id, client_type, display_name, document_number,
+                          email, phone, phone_e164, created_by)
+      VALUES (
+        ${uuidv7()},
+        current_setting('app.current_tenant')::uuid,
+        ${input.clientType ?? 'pj'},
+        ${input.displayName},
+        ${input.documentNumber ?? null},
+        ${normalizeEmail(input.email)},
+        ${normalizePhone(input.phone)},
+        ${toE164OrNull(input.phone)},
+        ${input.createdBy ?? null}
+      )
+      RETURNING id, tenant_id, client_type, display_name, document_number, email, phone,
+                status, created_at
+    `;
+        return mapRow(rows[0]);
+    }
+    catch (err) {
+        asDuplicateDocument(err);
+        throw err;
+    }
 }
 export async function listClients(tx) {
     const rows = await tx `
-    SELECT id, tenant_id, client_type, display_name, document_number, status, created_at
+    SELECT id, tenant_id, client_type, display_name, document_number, email, phone, status, created_at
     FROM client
     WHERE deleted_at IS NULL
     ORDER BY created_at DESC
@@ -38,7 +95,7 @@ export async function listClients(tx) {
 }
 export async function getClient(tx, id) {
     const rows = await tx `
-    SELECT id, tenant_id, client_type, display_name, document_number, status, created_at
+    SELECT id, tenant_id, client_type, display_name, document_number, email, phone, status, created_at
     FROM client
     WHERE id = ${id} AND deleted_at IS NULL
   `;
@@ -64,7 +121,7 @@ export async function listClientsPaged(tx, filter = {}) {
     const offset = filter.offset ?? 0;
     const like = filter.search ? `%${filter.search}%` : null;
     const rows = await tx `
-    SELECT id, tenant_id, client_type, display_name, document_number, status, created_at,
+    SELECT id, tenant_id, client_type, display_name, document_number, email, phone, status, created_at,
            count(*) OVER() AS total
     FROM client
     WHERE deleted_at IS NULL
@@ -77,14 +134,25 @@ export async function listClientsPaged(tx, filter = {}) {
     return { items: rows.map((r) => mapRow(r)), total };
 }
 export async function updateClient(tx, id, input) {
+    // Corrigir um documento para um que já existe cai na mesma violação — e o
+    // escritório precisa da mesma explicação, não de um 500.
     // Casts explícitos: parâmetros NULL sem tipo quebram COALESCE ("could not
     // determine data type of parameter") no PostgreSQL.
-    const rows = await tx `
+    try {
+        const rows = await tx `
     UPDATE client SET
       display_name = COALESCE(${input.displayName ?? null}::text, display_name),
       legal_name   = COALESCE(${input.legalName ?? null}::text, legal_name),
-      email        = COALESCE(${input.email ?? null}::citext, email),
-      phone        = COALESCE(${input.phone ?? null}::text, phone),
+      document_number = COALESCE(${input.documentNumber ?? null}::text, document_number),
+      email        = COALESCE(${normalizeEmail(input.email)}::citext, email),
+      phone        = COALESCE(${normalizePhone(input.phone)}::text, phone),
+      -- Derivado, nunca digitado. A coluna phone guarda o que o operador
+      -- escreveu e continua sendo dele; phone_e164 e a forma que os providers
+      -- exigem. So e recalculado quando o telefone vem no corpo: ausente
+      -- preserva o valor, e um telefone que nao parseia zera o canonico em vez
+      -- de manter um E.164 velho apontando para outro numero.
+      phone_e164   = CASE WHEN ${input.phone ?? null}::text IS NULL THEN phone_e164
+                          ELSE ${toE164OrNull(input.phone)}::text END,
       status       = COALESCE(${input.status ?? null}::text, status),
       updated_by   = ${input.updatedBy ?? null}::uuid,
       updated_at   = now(),
@@ -92,7 +160,12 @@ export async function updateClient(tx, id, input) {
     WHERE id = ${id} AND deleted_at IS NULL
     RETURNING id
   `;
-    return rows.count;
+        return rows.count;
+    }
+    catch (err) {
+        asDuplicateDocument(err);
+        throw err;
+    }
 }
 export async function softDeleteClient(tx, id, deletedBy) {
     const rows = await tx `

package/dist/clients/repository.js.map

@@ -1 +1 @@
-{"version":3,"file":"repository.js","sourceRoot":"","sources":["../../src/clients/repository.ts"],"names":[],"mappings":"AAAA,OAAO,EAAE,aAAa,EAAE,MAAM,EAAE,MAAM,eAAe,CAAC;AA2BtD,SAAS,MAAM,CAAC,CAQf;IACC,OAAO;QACL,EAAE,EAAE,CAAC,CAAC,EAAE;QACR,QAAQ,EAAE,CAAC,CAAC,SAAS;QACrB,UAAU,EAAE,CAAC,CAAC,WAAW;QACzB,WAAW,EAAE,CAAC,CAAC,YAAY;QAC3B,cAAc,EAAE,CAAC,CAAC,eAAe;QACjC,MAAM,EAAE,CAAC,CAAC,MAAM;QAChB,SAAS,EAAE,CAAC,CAAC,UAAU,CAAC,WAAW,EAAE;KACtC,CAAC;AACJ,CAAC;AAED,MAAM,CAAC,KAAK,UAAU,YAAY,CAAC,EAAM,EAAE,KAAwB;IACjE,6EAA6E;IAC7E,+CAA+C;IAC/C,MAAM,IAAI,GAAG,MAAM,EAAE,CAAA;;;QAGf,MAAM,EAAE;;QAER,KAAK,CAAC,UAAU,IAAI,IAAI;QACxB,KAAK,CAAC,WAAW;QACjB,KAAK,CAAC,cAAc,IAAI,IAAI;QAC5B,KAAK,CAAC,SAAS,IAAI,IAAI;;;GAG5B,CAAC;IACF,OAAO,MAAM,CAAC,IAAI,CAAC,CAAC,CAAU,CAAC,CAAC;AAClC,CAAC;AAED,MAAM,CAAC,KAAK,UAAU,WAAW,CAAC,EAAM;IACtC,MAAM,IAAI,GAAG,MAAM,EAAE,CAAA;;;;;GAKpB,CAAC;IACF,OAAO,IAAI,CAAC,GAAG,CAAC,CAAC,CAAC,EAAE,EAAE,CAAC,MAAM,CAAC,CAAU,CAAC,CAAC,CAAC;AAC7C,CAAC;AAED,MAAM,CAAC,KAAK,UAAU,SAAS,CAAC,EAAM,EAAE,EAAU;IAChD,MAAM,IAAI,GAAG,MAAM,EAAE,CAAA;;;iBAGN,EAAE;GAChB,CAAC;IACF,IAAI,CAAC,IAAI,CAAC,CAAC,CAAC;QAAE,MAAM,IAAI,aAAa,CAAC,wBAAwB,CAAC,CAAC;IAChE,OAAO,MAAM,CAAC,IAAI,CAAC,CAAC,CAAU,CAAC,CAAC;AAClC,CAAC;AAED;;;GAGG;AACH,MAAM,CAAC,KAAK,UAAU,YAAY,CAAC,EAAM,EAAE,EAAU,EAAE,WAAmB;IACxE,MAAM,IAAI,GAAG,MAAM,EAAE,CAAA;;yBAEE,WAAW;iBACnB,EAAE;;GAEhB,CAAC;IACF,OAAO,IAAI,CAAC,KAAK,CAAC;AACpB,CAAC;AAWD,MAAM,CAAC,KAAK,UAAU,gBAAgB,CACpC,EAAM,EACN,SAA4B,EAAE;IAE9B,MAAM,KAAK,GAAG,IAAI,CAAC,GAAG,CAAC,MAAM,CAAC,KAAK,IAAI,EAAE,EAAE,GAAG,CAAC,CAAC;IAChD,MAAM,MAAM,GAAG,MAAM,CAAC,MAAM,IAAI,CAAC,CAAC;IAClC,MAAM,IAAI,GAAG,MAAM,CAAC,MAAM,CAAC,CAAC,CAAC,IAAI,MAAM,CAAC,MAAM,GAAG,CAAC,CAAC,CAAC,IAAI,CAAC;IACzD,MAAM,IAAI,GAAG,MAAM,EAAE,CAA2B;;;;;aAKrC,MAAM,CAAC,MAAM,IAAI,IAAI,8BAA8B,MAAM,CAAC,MAAM,IAAI,IAAI;aACxE,IAAI,wCAAwC,IAAI,6BAA6B,IAAI;;YAElF,KAAK,WAAW,MAAM;GAC/B,CAAC;IACF,MAAM,KAAK,GAAG,IAAI,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,MAAM,CAAC,IAAI,CAAC,CAAC,CAAC,CAAC,KAAK,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC;IAClD,OAAO,EAAE,KAAK,EAAE,IAAI,CAAC,GAAG,CAAC,CAAC,CAAC,EAAE,EAAE,CAAC,MAAM,CAAC,CAAU,CAAC,CAAC,EAAE,KAAK,EAAE,CAAC;AAC/D,CAAC;AAWD,MAAM,CAAC,KAAK,UAAU,YAAY,CAAC,EAAM,EAAE,EAAU,EAAE,KAAwB;IAC7E,0EAA0E;IAC1E,oDAAoD;IACpD,MAAM,IAAI,GAAG,MAAM,EAAE,CAAA;;gCAES,KAAK,CAAC,WAAW,IAAI,IAAI;gCACzB,KAAK,CAAC,SAAS,IAAI,IAAI;gCACvB,KAAK,CAAC,KAAK,IAAI,IAAI;gCACnB,KAAK,CAAC,KAAK,IAAI,IAAI;gCACnB,KAAK,CAAC,MAAM,IAAI,IAAI;uBAC7B,KAAK,CAAC,SAAS,IAAI,IAAI;;;iBAG7B,EAAE;;GAEhB,CAAC;IACF,OAAO,IAAI,CAAC,KAAK,CAAC;AACpB,CAAC;AAED,MAAM,CAAC,KAAK,UAAU,gBAAgB,CAAC,EAAM,EAAE,EAAU,EAAE,SAAyB;IAClF,MAAM,IAAI,GAAG,MAAM,EAAE,CAAA;yDACkC,SAAS,IAAI,IAAI;iBACzD,EAAE;;GAEhB,CAAC;IACF,OAAO,IAAI,CAAC,KAAK,CAAC;AACpB,CAAC;AAED,iFAAiF;AACjF,MAAM,CAAC,KAAK,UAAU,sBAAsB,CAAC,EAAM,EAAE,cAAsB;IACzE,MAAM,IAAI,GAAG,MAAM,EAAE,CAAkB;;8BAEX,cAAc;GACzC,CAAC;IACF,OAAO,IAAI,CAAC,CAAC,CAAC,EAAE,EAAE,IAAI,IAAI,CAAC;AAC7B,CAAC"}
+{"version":3,"file":"repository.js","sourceRoot":"","sources":["../../src/clients/repository.ts"],"names":[],"mappings":"AAAA,OAAO,EAAE,aAAa,EAAE,aAAa,EAAE,MAAM,EAAE,MAAM,eAAe,CAAC;AACrE,OAAO,EAAE,YAAY,EAAE,MAAM,sBAAsB,CAAC;AAwCpD,MAAM,UAAU,gBAAgB,CAAC,KAGhC;IACC,MAAM,KAAK,GAAwB,KAAK,CAAC,KAAK,EAAE,IAAI,EAAE,CAAC,CAAC,CAAC,OAAO,CAAC,CAAC,CAAC,SAAS,CAAC;IAC7E,MAAM,KAAK,GAAwB,KAAK,CAAC,KAAK,EAAE,IAAI,EAAE,CAAC,CAAC,CAAC,OAAO,CAAC,CAAC,CAAC,SAAS,CAAC;IAC7E,OAAO,EAAE,KAAK,EAAE,KAAK,EAAE,SAAS,EAAE,KAAK,KAAK,OAAO,IAAI,KAAK,KAAK,OAAO,EAAE,CAAC;AAC7E,CAAC;AAED;;;;;;;;GAQG;AACH,MAAM,UAAU,cAAc,CAAC,CAA4B;IACzD,MAAM,CAAC,GAAG,CAAC,EAAE,IAAI,EAAE,CAAC,WAAW,EAAE,CAAC;IAClC,OAAO,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,IAAI,CAAC;AACtB,CAAC;AAED,MAAM,UAAU,cAAc,CAAC,CAA4B;IACzD,IAAI,CAAC,CAAC;QAAE,OAAO,IAAI,CAAC;IACpB,MAAM,OAAO,GAAG,CAAC,CAAC,IAAI,EAAE,CAAC;IACzB,MAAM,IAAI,GAAG,OAAO,CAAC,UAAU,CAAC,GAAG,CAAC,CAAC;IACrC,MAAM,MAAM,GAAG,OAAO,CAAC,OAAO,CAAC,KAAK,EAAE,EAAE,CAAC,CAAC;IAC1C,IAAI,CAAC,MAAM;QAAE,OAAO,IAAI,CAAC;IACzB,OAAO,IAAI,CAAC,CAAC,CAAC,IAAI,MAAM,EAAE,CAAC,CAAC,CAAC,MAAM,CAAC;AACtC,CAAC;AAWD,SAAS,MAAM,CAAC,CAUf;IACC,OAAO;QACL,EAAE,EAAE,CAAC,CAAC,EAAE;QACR,QAAQ,EAAE,CAAC,CAAC,SAAS;QACrB,UAAU,EAAE,CAAC,CAAC,WAAW;QACzB,WAAW,EAAE,CAAC,CAAC,YAAY;QAC3B,cAAc,EAAE,CAAC,CAAC,eAAe;QACjC,KAAK,EAAE,CAAC,CAAC,KAAK,IAAI,IAAI;QACtB,KAAK,EAAE,CAAC,CAAC,KAAK,IAAI,IAAI;QACtB,MAAM,EAAE,CAAC,CAAC,MAAM;QAChB,SAAS,EAAE,CAAC,CAAC,UAAU,CAAC,WAAW,EAAE;QACrC,cAAc,EAAE,gBAAgB,CAAC,EAAE,KAAK,EAAE,CAAC,CAAC,KAAK,EAAE,KAAK,EAAE,CAAC,CAAC,KAAK,EAAE,CAAC;KACrE,CAAC;AACJ,CAAC;AAED;;;;;;;GAOG;AACH,SAAS,mBAAmB,CAAC,GAAY;IACvC,MAAM,CAAC,GAAG,GAAkD,CAAC;IAC7D,IAAI,CAAC,EAAE,IAAI,KAAK,OAAO,IAAI,CAAC,CAAC,CAAC,eAAe,IAAI,EAAE,CAAC,CAAC,QAAQ,CAAC,UAAU,CAAC,EAAE,CAAC;QAC1E,MAAM,IAAI,aAAa,CAAC,0DAA0D,CAAC,CAAC;IACtF,CAAC;AACH,CAAC;AAED,MAAM,CAAC,KAAK,UAAU,YAAY,CAAC,EAAM,EAAE,KAAwB;IACjE,6EAA6E;IAC7E,+CAA+C;IAC/C,IAAI,CAAC;QACH,MAAM,IAAI,GAAG,MAAM,EAAE,CAAA;;;;UAIf,MAAM,EAAE;;UAER,KAAK,CAAC,UAAU,IAAI,IAAI;UACxB,KAAK,CAAC,WAAW;UACjB,KAAK,CAAC,cAAc,IAAI,IAAI;UAC5B,cAAc,CAAC,KAAK,CAAC,KAAK,CAAC;UAC3B,cAAc,CAAC,KAAK,CAAC,KAAK,CAAC;UAC3B,YAAY,CAAC,KAAK,CAAC,KAAK,CAAC;UACzB,KAAK,CAAC,SAAS,IAAI,IAAI;;;;KAI5B,CAAC;QACF,OAAO,MAAM,CAAC,IAAI,CAAC,CAAC,CAAU,CAAC,CAAC;IAClC,CAAC;IAAC,OAAO,GAAG,EAAE,CAAC;QACb,mBAAmB,CAAC,GAAG,CAAC,CAAC;QACzB,MAAM,GAAG,CAAC;IACZ,CAAC;AACH,CAAC;AAED,MAAM,CAAC,KAAK,UAAU,WAAW,CAAC,EAAM;IACtC,MAAM,IAAI,GAAG,MAAM,EAAE,CAAA;;;;;GAKpB,CAAC;IACF,OAAO,IAAI,CAAC,GAAG,CAAC,CAAC,CAAC,EAAE,EAAE,CAAC,MAAM,CAAC,CAAU,CAAC,CAAC,CAAC;AAC7C,CAAC;AAED,MAAM,CAAC,KAAK,UAAU,SAAS,CAAC,EAAM,EAAE,EAAU;IAChD,MAAM,IAAI,GAAG,MAAM,EAAE,CAAA;;;iBAGN,EAAE;GAChB,CAAC;IACF,IAAI,CAAC,IAAI,CAAC,CAAC,CAAC;QAAE,MAAM,IAAI,aAAa,CAAC,wBAAwB,CAAC,CAAC;IAChE,OAAO,MAAM,CAAC,IAAI,CAAC,CAAC,CAAU,CAAC,CAAC;AAClC,CAAC;AAED;;;GAGG;AACH,MAAM,CAAC,KAAK,UAAU,YAAY,CAAC,EAAM,EAAE,EAAU,EAAE,WAAmB;IACxE,MAAM,IAAI,GAAG,MAAM,EAAE,CAAA;;yBAEE,WAAW;iBACnB,EAAE;;GAEhB,CAAC;IACF,OAAO,IAAI,CAAC,KAAK,CAAC;AACpB,CAAC;AAWD,MAAM,CAAC,KAAK,UAAU,gBAAgB,CACpC,EAAM,EACN,SAA4B,EAAE;IAE9B,MAAM,KAAK,GAAG,IAAI,CAAC,GAAG,CAAC,MAAM,CAAC,KAAK,IAAI,EAAE,EAAE,GAAG,CAAC,CAAC;IAChD,MAAM,MAAM,GAAG,MAAM,CAAC,MAAM,IAAI,CAAC,CAAC;IAClC,MAAM,IAAI,GAAG,MAAM,CAAC,MAAM,CAAC,CAAC,CAAC,IAAI,MAAM,CAAC,MAAM,GAAG,CAAC,CAAC,CAAC,IAAI,CAAC;IACzD,MAAM,IAAI,GAAG,MAAM,EAAE,CAA2B;;;;;aAKrC,MAAM,CAAC,MAAM,IAAI,IAAI,8BAA8B,MAAM,CAAC,MAAM,IAAI,IAAI;aACxE,IAAI,wCAAwC,IAAI,6BAA6B,IAAI;;YAElF,KAAK,WAAW,MAAM;GAC/B,CAAC;IACF,MAAM,KAAK,GAAG,IAAI,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,MAAM,CAAC,IAAI,CAAC,CAAC,CAAC,CAAC,KAAK,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC;IAClD,OAAO,EAAE,KAAK,EAAE,IAAI,CAAC,GAAG,CAAC,CAAC,CAAC,EAAE,EAAE,CAAC,MAAM,CAAC,CAAU,CAAC,CAAC,EAAE,KAAK,EAAE,CAAC;AAC/D,CAAC;AAkBD,MAAM,CAAC,KAAK,UAAU,YAAY,CAAC,EAAM,EAAE,EAAU,EAAE,KAAwB;IAC7E,0EAA0E;IAC1E,yDAAyD;IACzD,0EAA0E;IAC1E,oDAAoD;IACpD,IAAI,CAAC;QACH,MAAM,IAAI,GAAG,MAAM,EAAE,CAAA;;gCAEO,KAAK,CAAC,WAAW,IAAI,IAAI;gCACzB,KAAK,CAAC,SAAS,IAAI,IAAI;mCACpB,KAAK,CAAC,cAAc,IAAI,IAAI;gCAC/B,cAAc,CAAC,KAAK,CAAC,KAAK,CAAC;gCAC3B,cAAc,CAAC,KAAK,CAAC,KAAK,CAAC;;;;;;iCAM1B,KAAK,CAAC,KAAK,IAAI,IAAI;iCACnB,YAAY,CAAC,KAAK,CAAC,KAAK,CAAC;gCAC1B,KAAK,CAAC,MAAM,IAAI,IAAI;uBAC7B,KAAK,CAAC,SAAS,IAAI,IAAI;;;iBAG7B,EAAE;;GAEhB,CAAC;QACA,OAAO,IAAI,CAAC,KAAK,CAAC;IACpB,CAAC;IAAC,OAAO,GAAG,EAAE,CAAC;QACb,mBAAmB,CAAC,GAAG,CAAC,CAAC;QACzB,MAAM,GAAG,CAAC;IACZ,CAAC;AACH,CAAC;AAED,MAAM,CAAC,KAAK,UAAU,gBAAgB,CACpC,EAAM,EACN,EAAU,EACV,SAAyB;IAEzB,MAAM,IAAI,GAAG,MAAM,EAAE,CAAA;yDACkC,SAAS,IAAI,IAAI;iBACzD,EAAE;;GAEhB,CAAC;IACF,OAAO,IAAI,CAAC,KAAK,CAAC;AACpB,CAAC;AAED,iFAAiF;AACjF,MAAM,CAAC,KAAK,UAAU,sBAAsB,CAC1C,EAAM,EACN,cAAsB;IAEtB,MAAM,IAAI,GAAG,MAAM,EAAE,CAAkB;;8BAEX,cAAc;GACzC,CAAC;IACF,OAAO,IAAI,CAAC,CAAC,CAAC,EAAE,EAAE,IAAI,IAAI,CAAC;AAC7B,CAAC"}

package/dist/collection/branding.d.ts

@@ -0,0 +1,72 @@
+import type { Tx } from '../db/client.js';
+/**
+ * Identidade do escritório para a comunicação transacional.
+ *
+ * Mora em `tenant.settings.branding` (jsonb que já existia) — sem tabela nem
+ * migration. Nenhuma marca está no código: o que aparece no e-mail vem do tenant
+ * que está enviando, e um escritório novo entra por configuração.
+ *
+ * Os valores canônicos de cada marca vivem no **Brand OS**
+ * (`frameworks/brand-os/brands/<marca>/creative-engine/brand-kit.json`), que é a
+ * fonte de verdade da identidade. Este módulo consome; não redefine.
+ */
+/**
+ * O que o asset de logo É, do ponto de vista do manual de marca.
+ *
+ * A distinção não é cosmética: um **lockup** já contém o nome do escritório
+ * desenhado; um **símbolo** não. Renderizar os dois do mesmo jeito ou repete o
+ * nome duas vezes no cabeçalho, ou deixa a mensagem sem nome quando o leitor
+ * bloqueia imagens. O tenant declara qual dos dois enviou.
+ */
+export type LogoKind = 'symbol' | 'lockup';
+export interface TenantBranding {
+    officeName: string;
+    /** Assinatura do rodapé; cai em `officeName` quando não definida. */
+    signatureName: string;
+    /** Frase curta da marca. Só aparece se o tenant configurar. */
+    tagline: string | null;
+    /**
+     * Logomarca para o cabeçalho — ou seja, o asset que fica sobre `primaryColor`.
+     * Um kit de marca sério tem versão clara e escura; o tenant aponta a que
+     * combina com o fundo que ele mesmo escolheu.
+     *
+     * Formato: PNG ou JPG em URL pública. **SVG não serve** — Gmail e Outlook não
+     * o renderizam em e-mail. Ausente é estado válido: o cabeçalho vira
+     * tipográfico, nunca uma marca inventada.
+     */
+    logoUrl: string | null;
+    logoKind: LogoKind;
+    primaryColor: string;
+    /** Usada em detalhes; cai na primária quando ausente. */
+    secondaryColor: string;
+    /** Destaque pontual (valor, borda do card). */
+    accentColor: string;
+    /** Fundo da página do e-mail (fora do cartão branco). */
+    backgroundColor: string;
+    /** Cor do texto corrido. */
+    textColor: string;
+    /** Cor de apoio: rodapé, rótulos, texto secundário. */
+    mutedColor: string;
+    /**
+     * Stack de fontes do corpo. Webfont não carrega no Outlook, então a stack
+     * precisa terminar em famílias que todo cliente tem — quem configurar só o
+     * nome da fonte da marca recebe a queda automática.
+     */
+    fontFamily: string;
+    supportEmail: string | null;
+    supportPhone: string | null;
+    /** Site do escritório. Corresponde ao `websiteUrl` do vocabulário de marca. */
+    website: string | null;
+    locale: 'pt-BR';
+}
+export declare function getTenantBranding(tx: Tx): Promise<TenantBranding>;
+/**
+ * Remetente no formato `Nome <endereço>`.
+ *
+ * O endereço continua sendo o do domínio verificado no provider — trocá-lo
+ * quebraria a entrega. O que muda é o NOME exibido: as mensagens saíam como
+ * "Baruk Contábil" e assinavam "SC Organização Contábil", o que faz o cliente
+ * duvidar de quem está cobrando.
+ */
+export declare function senderFor(branding: TenantBranding, fallbackFrom: string): string;
+//# sourceMappingURL=branding.d.ts.map

package/dist/collection/branding.d.ts.map

@@ -0,0 +1 @@
+{"version":3,"file":"branding.d.ts","sourceRoot":"","sources":["../../src/collection/branding.ts"],"names":[],"mappings":"AAAA,OAAO,KAAK,EAAE,EAAE,EAAE,MAAM,iBAAiB,CAAC;AAE1C;;;;;;;;;;GAUG;AAEH;;;;;;;GAOG;AACH,MAAM,MAAM,QAAQ,GAAG,QAAQ,GAAG,QAAQ,CAAC;AAE3C,MAAM,WAAW,cAAc;IAC7B,UAAU,EAAE,MAAM,CAAC;IACnB,qEAAqE;IACrE,aAAa,EAAE,MAAM,CAAC;IACtB,+DAA+D;IAC/D,OAAO,EAAE,MAAM,GAAG,IAAI,CAAC;IACvB;;;;;;;;OAQG;IACH,OAAO,EAAE,MAAM,GAAG,IAAI,CAAC;IACvB,QAAQ,EAAE,QAAQ,CAAC;IACnB,YAAY,EAAE,MAAM,CAAC;IACrB,yDAAyD;IACzD,cAAc,EAAE,MAAM,CAAC;IACvB,+CAA+C;IAC/C,WAAW,EAAE,MAAM,CAAC;IACpB,yDAAyD;IACzD,eAAe,EAAE,MAAM,CAAC;IACxB,4BAA4B;IAC5B,SAAS,EAAE,MAAM,CAAC;IAClB,uDAAuD;IACvD,UAAU,EAAE,MAAM,CAAC;IACnB;;;;OAIG;IACH,UAAU,EAAE,MAAM,CAAC;IACnB,YAAY,EAAE,MAAM,GAAG,IAAI,CAAC;IAC5B,YAAY,EAAE,MAAM,GAAG,IAAI,CAAC;IAC5B,+EAA+E;IAC/E,OAAO,EAAE,MAAM,GAAG,IAAI,CAAC;IACvB,MAAM,EAAE,OAAO,CAAC;CACjB;AA4ED,wBAAsB,iBAAiB,CAAC,EAAE,EAAE,EAAE,GAAG,OAAO,CAAC,cAAc,CAAC,CAmDvE;AAED;;;;;;;GAOG;AACH,wBAAgB,SAAS,CAAC,QAAQ,EAAE,cAAc,EAAE,YAAY,EAAE,MAAM,GAAG,MAAM,CAKhF"}

package/dist/collection/branding.js

@@ -0,0 +1,136 @@
+/**
+ * Padrão neutro do produto — deliberadamente SEM marca.
+ *
+ * Um tenant sem branding configurado não deve herdar a identidade de outro
+ * escritório nem a do Baruk: o cinza-azulado abaixo não pertence a marca
+ * nenhuma, e é o sinal visível de que falta configurar.
+ */
+const NEUTRAL_PRIMARY = '#2b3440';
+const NEUTRAL_ACCENT = '#4a5563';
+const NEUTRAL_BACKGROUND = '#eef1f4';
+const NEUTRAL_TEXT = '#2b3440';
+const NEUTRAL_MUTED = '#6b7684';
+/** Famílias que existem em qualquer cliente de e-mail — o fim de toda stack. */
+const UNIVERSAL_FALLBACK = `-apple-system,'Segoe UI',Helvetica,Arial,sans-serif`;
+/**
+ * Cor só entra se for hex válido.
+ *
+ * O valor vem de configuração editável e é interpolado dentro de um atributo
+ * `style` — aceitar texto livre deixaria o tenant injetar CSS, ou fechar o
+ * atributo e injetar markup, na mensagem que sai em nome dele.
+ */
+function safeColor(v, fallback) {
+    return typeof v === 'string' && /^#[0-9a-fA-F]{6}$/.test(v) ? v : fallback;
+}
+/** URL só entra se for https — evita `javascript:` e `data:` no `src`/`href`. */
+function safeUrl(v) {
+    if (typeof v !== 'string')
+        return null;
+    return /^https:\/\/[^\s"'<>]+$/i.test(v) ? v : null;
+}
+/**
+ * Logo só entra se for uma imagem que cliente de e-mail sabe desenhar.
+ *
+ * SVG é o formato em que os kits de marca vivem — e é justamente o que Gmail e
+ * Outlook não renderizam em e-mail. Aceitar o SVG produziria o pior resultado
+ * possível: um cabeçalho vazio, sem imagem e sem o nome que o fallback teria
+ * escrito. Rasterize antes; aqui, entra PNG ou JPG.
+ */
+function safeLogoUrl(v) {
+    const url = safeUrl(v);
+    if (!url)
+        return null;
+    const path = url.split(/[?#]/)[0] ?? '';
+    return /\.(png|jpe?g)$/i.test(path) ? url : null;
+}
+/**
+ * A stack de fontes vai para dentro de um atributo `style`.
+ *
+ * Aspas duplas, `;`, `{` e `}` deixariam o tenant fechar a declaração e escrever
+ * CSS próprio na mensagem que sai em nome dele. Sobram letras, dígitos, espaço,
+ * hífen, vírgula, ponto e aspa simples — o que um `font-family` legítimo usa.
+ */
+function safeFontFamily(v) {
+    if (typeof v !== 'string')
+        return UNIVERSAL_FALLBACK;
+    const t = v.trim().slice(0, 160);
+    if (!t || !/^[A-Za-z0-9 ,.'-]+$/.test(t))
+        return UNIVERSAL_FALLBACK;
+    // A queda universal é acrescentada sempre: uma stack que termina numa webfont
+    // vira Times New Roman no Outlook, e o e-mail perde a hierarquia inteira.
+    return `${t},${UNIVERSAL_FALLBACK}`;
+}
+function safeLogoKind(v) {
+    return v === 'lockup' ? 'lockup' : 'symbol';
+}
+function safeText(v, max = 160) {
+    if (typeof v !== 'string')
+        return null;
+    const t = v.trim().slice(0, max);
+    return t ? t : null;
+}
+export async function getTenantBranding(tx) {
+    /*
+     * O tenant CORRENTE, e não "o primeiro que aparecer".
+     *
+     * A consulta era `SELECT display_name, settings FROM tenant LIMIT 1`, sem
+     * `WHERE`. Parecia segura porque toda leitura tenant-scoped deste produto
+     * passa por `withContext` — mas `tenant` é a tabela RAIZ e **não tem RLS**:
+     * ela é a fonte da própria fronteira, não uma linha protegida por ela. Sem
+     * `WHERE`, a política que protege todas as outras tabelas não protege esta, e
+     * o `LIMIT 1` devolve um escritório arbitrário.
+     *
+     * A consequência é a pior possível para uma régua de cobrança: o e-mail sai
+     * com o nome, a logomarca e as cores de OUTRO escritório. Nunca apareceu
+     * porque a base de produção tem um tenant operando — ou seja, o defeito estava
+     * esperando o segundo cliente.
+     *
+     * Sem contexto de tenant a consulta devolve zero linhas de propósito, e o
+     * branding cai no padrão NEUTRO — que não pertence a marca nenhuma. Um default
+     * que herda a marca do vizinho é o defeito, não o conserto.
+     */
+    const rows = await tx `
+    SELECT display_name, settings FROM tenant
+     WHERE id = NULLIF(current_setting('app.current_tenant', true), '')::uuid
+     LIMIT 1
+  `;
+    const row = rows[0];
+    const raw = (row?.settings?.branding ?? {});
+    const officeName = safeText(raw.officeName) ?? row?.display_name ?? 'Seu escritório contábil';
+    const primary = safeColor(raw.primaryColor, NEUTRAL_PRIMARY);
+    return {
+        officeName,
+        signatureName: safeText(raw.signatureName) ?? officeName,
+        tagline: safeText(raw.tagline, 120),
+        logoUrl: safeLogoUrl(raw.logoUrl),
+        logoKind: safeLogoKind(raw.logoKind),
+        primaryColor: primary,
+        // Secundária cai na primária: um tenant que configurou só uma cor fica
+        // coerente, em vez de ganhar um segundo tom que ninguém escolheu.
+        secondaryColor: safeColor(raw.secondaryColor, primary),
+        accentColor: safeColor(raw.accentColor, NEUTRAL_ACCENT),
+        backgroundColor: safeColor(raw.backgroundColor, NEUTRAL_BACKGROUND),
+        textColor: safeColor(raw.textColor, NEUTRAL_TEXT),
+        mutedColor: safeColor(raw.mutedColor, NEUTRAL_MUTED),
+        fontFamily: safeFontFamily(raw.fontFamily),
+        supportEmail: safeText(raw.supportEmail, 120),
+        supportPhone: safeText(raw.supportPhone, 40),
+        website: safeUrl(raw.website),
+        locale: 'pt-BR',
+    };
+}
+/**
+ * Remetente no formato `Nome <endereço>`.
+ *
+ * O endereço continua sendo o do domínio verificado no provider — trocá-lo
+ * quebraria a entrega. O que muda é o NOME exibido: as mensagens saíam como
+ * "Baruk Contábil" e assinavam "SC Organização Contábil", o que faz o cliente
+ * duvidar de quem está cobrando.
+ */
+export function senderFor(branding, fallbackFrom) {
+    const address = /<([^>]+)>/.exec(fallbackFrom)?.[1] ?? fallbackFrom;
+    // Aspas e `<` no nome quebrariam o cabeçalho do e-mail.
+    const name = branding.officeName.replace(/["<>\\]/g, '').trim();
+    return name ? `${name} <${address}>` : fallbackFrom;
+}
+//# sourceMappingURL=branding.js.map

package/dist/collection/branding.js.map

@@ -0,0 +1 @@
+{"version":3,"file":"branding.js","sourceRoot":"","sources":["../../src/collection/branding.ts"],"names":[],"mappings":"AAiEA;;;;;;GAMG;AACH,MAAM,eAAe,GAAG,SAAS,CAAC;AAClC,MAAM,cAAc,GAAG,SAAS,CAAC;AACjC,MAAM,kBAAkB,GAAG,SAAS,CAAC;AACrC,MAAM,YAAY,GAAG,SAAS,CAAC;AAC/B,MAAM,aAAa,GAAG,SAAS,CAAC;AAEhC,gFAAgF;AAChF,MAAM,kBAAkB,GAAG,qDAAqD,CAAC;AAEjF;;;;;;GAMG;AACH,SAAS,SAAS,CAAC,CAAU,EAAE,QAAgB;IAC7C,OAAO,OAAO,CAAC,KAAK,QAAQ,IAAI,mBAAmB,CAAC,IAAI,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,QAAQ,CAAC;AAC7E,CAAC;AAED,iFAAiF;AACjF,SAAS,OAAO,CAAC,CAAU;IACzB,IAAI,OAAO,CAAC,KAAK,QAAQ;QAAE,OAAO,IAAI,CAAC;IACvC,OAAO,yBAAyB,CAAC,IAAI,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,IAAI,CAAC;AACtD,CAAC;AAED;;;;;;;GAOG;AACH,SAAS,WAAW,CAAC,CAAU;IAC7B,MAAM,GAAG,GAAG,OAAO,CAAC,CAAC,CAAC,CAAC;IACvB,IAAI,CAAC,GAAG;QAAE,OAAO,IAAI,CAAC;IACtB,MAAM,IAAI,GAAG,GAAG,CAAC,KAAK,CAAC,MAAM,CAAC,CAAC,CAAC,CAAC,IAAI,EAAE,CAAC;IACxC,OAAO,iBAAiB,CAAC,IAAI,CAAC,IAAI,CAAC,CAAC,CAAC,CAAC,GAAG,CAAC,CAAC,CAAC,IAAI,CAAC;AACnD,CAAC;AAED;;;;;;GAMG;AACH,SAAS,cAAc,CAAC,CAAU;IAChC,IAAI,OAAO,CAAC,KAAK,QAAQ;QAAE,OAAO,kBAAkB,CAAC;IACrD,MAAM,CAAC,GAAG,CAAC,CAAC,IAAI,EAAE,CAAC,KAAK,CAAC,CAAC,EAAE,GAAG,CAAC,CAAC;IACjC,IAAI,CAAC,CAAC,IAAI,CAAC,qBAAqB,CAAC,IAAI,CAAC,CAAC,CAAC;QAAE,OAAO,kBAAkB,CAAC;IACpE,8EAA8E;IAC9E,0EAA0E;IAC1E,OAAO,GAAG,CAAC,IAAI,kBAAkB,EAAE,CAAC;AACtC,CAAC;AAED,SAAS,YAAY,CAAC,CAAU;IAC9B,OAAO,CAAC,KAAK,QAAQ,CAAC,CAAC,CAAC,QAAQ,CAAC,CAAC,CAAC,QAAQ,CAAC;AAC9C,CAAC;AAED,SAAS,QAAQ,CAAC,CAAU,EAAE,GAAG,GAAG,GAAG;IACrC,IAAI,OAAO,CAAC,KAAK,QAAQ;QAAE,OAAO,IAAI,CAAC;IACvC,MAAM,CAAC,GAAG,CAAC,CAAC,IAAI,EAAE,CAAC,KAAK,CAAC,CAAC,EAAE,GAAG,CAAC,CAAC;IACjC,OAAO,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,IAAI,CAAC;AACtB,CAAC;AAED,MAAM,CAAC,KAAK,UAAU,iBAAiB,CAAC,EAAM;IAC5C;;;;;;;;;;;;;;;;;;OAkBG;IACH,MAAM,IAAI,GAAG,MAAM,EAAE,CAAsE;;;;GAI1F,CAAC;IACF,MAAM,GAAG,GAAG,IAAI,CAAC,CAAC,CAAC,CAAC;IACpB,MAAM,GAAG,GAAG,CAAC,GAAG,EAAE,QAAQ,EAAE,QAAQ,IAAI,EAAE,CAA4B,CAAC;IAEvE,MAAM,UAAU,GAAG,QAAQ,CAAC,GAAG,CAAC,UAAU,CAAC,IAAI,GAAG,EAAE,YAAY,IAAI,yBAAyB,CAAC;IAC9F,MAAM,OAAO,GAAG,SAAS,CAAC,GAAG,CAAC,YAAY,EAAE,eAAe,CAAC,CAAC;IAE7D,OAAO;QACL,UAAU;QACV,aAAa,EAAE,QAAQ,CAAC,GAAG,CAAC,aAAa,CAAC,IAAI,UAAU;QACxD,OAAO,EAAE,QAAQ,CAAC,GAAG,CAAC,OAAO,EAAE,GAAG,CAAC;QACnC,OAAO,EAAE,WAAW,CAAC,GAAG,CAAC,OAAO,CAAC;QACjC,QAAQ,EAAE,YAAY,CAAC,GAAG,CAAC,QAAQ,CAAC;QACpC,YAAY,EAAE,OAAO;QACrB,uEAAuE;QACvE,kEAAkE;QAClE,cAAc,EAAE,SAAS,CAAC,GAAG,CAAC,cAAc,EAAE,OAAO,CAAC;QACtD,WAAW,EAAE,SAAS,CAAC,GAAG,CAAC,WAAW,EAAE,cAAc,CAAC;QACvD,eAAe,EAAE,SAAS,CAAC,GAAG,CAAC,eAAe,EAAE,kBAAkB,CAAC;QACnE,SAAS,EAAE,SAAS,CAAC,GAAG,CAAC,SAAS,EAAE,YAAY,CAAC;QACjD,UAAU,EAAE,SAAS,CAAC,GAAG,CAAC,UAAU,EAAE,aAAa,CAAC;QACpD,UAAU,EAAE,cAAc,CAAC,GAAG,CAAC,UAAU,CAAC;QAC1C,YAAY,EAAE,QAAQ,CAAC,GAAG,CAAC,YAAY,EAAE,GAAG,CAAC;QAC7C,YAAY,EAAE,QAAQ,CAAC,GAAG,CAAC,YAAY,EAAE,EAAE,CAAC;QAC5C,OAAO,EAAE,OAAO,CAAC,GAAG,CAAC,OAAO,CAAC;QAC7B,MAAM,EAAE,OAAO;KAChB,CAAC;AACJ,CAAC;AAED;;;;;;;GAOG;AACH,MAAM,UAAU,SAAS,CAAC,QAAwB,EAAE,YAAoB;IACtE,MAAM,OAAO,GAAG,WAAW,CAAC,IAAI,CAAC,YAAY,CAAC,EAAE,CAAC,CAAC,CAAC,IAAI,YAAY,CAAC;IACpE,wDAAwD;IACxD,MAAM,IAAI,GAAG,QAAQ,CAAC,UAAU,CAAC,OAAO,CAAC,UAAU,EAAE,EAAE,CAAC,CAAC,IAAI,EAAE,CAAC;IAChE,OAAO,IAAI,CAAC,CAAC,CAAC,GAAG,IAAI,KAAK,OAAO,GAAG,CAAC,CAAC,CAAC,YAAY,CAAC;AACtD,CAAC"}

package/dist/collection/channel-accounts.d.ts

@@ -0,0 +1,57 @@
+/**
+ * Contas de canal do escritório, para o motor compartilhado.
+ *
+ * Moram em `tenant.settings.channels` (jsonb que já existia) — sem tabela nem
+ * migration, pela mesma razão que o branding mora lá: o Office resolve
+ * configuração de tenant por esse caminho, e um segundo mecanismo para a mesma
+ * coisa é uma divergência esperando acontecer.
+ *
+ * **Nenhum valor de credencial passa por aqui.** O que o tenant configura é o
+ * NOME lógico do segredo no cofre (`credentialRef`); quem resolve o valor é a
+ * borda do adapter, com o resolvedor que o processo injeta.
+ */
+import type { Tx } from '../db/client.js';
+import type { ChannelAccountStore, SenderFallbackPolicy } from '../communication/index.js';
+import type { TenantBranding } from './branding.js';
+/**
+ * Store de contas do tenant corrente.
+ *
+ * **A amarra é a GUC da sessão, não o parâmetro.**
+ *
+ * A versão anterior consultava `WHERE id = ctx.tenantId` e depois comparava
+ * `row.id !== ctx.tenantId` — uma comparação que nunca pode falhar, porque o
+ * `WHERE` já usou o mesmo valor. Ela parecia ser a tranca contra "pedir o tenant
+ * errado dentro da transação certa" e não era nenhuma tranca: bastava um
+ * chamador passar um contexto alheio para ler a configuração de canal de outro
+ * escritório, `credentialRef` inclusive.
+ *
+ * `tenant` é a tabela RAIZ e não tem RLS — ela define a fronteira, não é
+ * protegida por ela —, então a política que cobre todas as outras tabelas não
+ * cobria esta consulta. A correção é exigir que o tenant PEDIDO seja o mesmo da
+ * sessão: quem quiser ler a configuração de outro escritório precisa abrir a
+ * transação dele, que é justamente o que a fronteira significa.
+ */
+export declare function createTenantChannelAccountStore(tx: Tx): ChannelAccountStore;
+/**
+ * Fallback de plataforma da cobrança — **e-mail apenas**.
+ *
+ * Existe porque a SC já entrega e-mail em produção hoje pela chave da
+ * plataforma, e desligar isso para exigir configuração por escritório pararia a
+ * régua de quem está cobrando agora. Removê-lo não é hardening, é interrupção de
+ * serviço.
+ *
+ * O que muda em relação ao que o Codex reprovou é o que sai na mensagem: o NOME
+ * exibido passa a ser o do escritório que está cobrando, sempre. O endereço
+ * continua sendo o do domínio verificado — trocá-lo quebraria a entrega —, mas
+ * quem lê vê "SC Organização Contábil", não uma marca alheia.
+ *
+ * Nada de WhatsApp nem SMS aqui, e a proibição não é por omissão: o motor recusa
+ * fallback nesses canais por construção (`sender-profile.ts`). Um número de
+ * telefone compartilhado entre marcas é o caminho para uma marca ser bloqueada
+ * pelo comportamento de outra.
+ */
+export declare function collectionSenderFallback(branding: TenantBranding, platformEmail: {
+    senderId: string;
+    credentialRef: string;
+}): SenderFallbackPolicy;
+//# sourceMappingURL=channel-accounts.d.ts.map

package/dist/collection/channel-accounts.d.ts.map

@@ -0,0 +1 @@
+{"version":3,"file":"channel-accounts.d.ts","sourceRoot":"","sources":["../../src/collection/channel-accounts.ts"],"names":[],"mappings":"AAAA;;;;;;;;;;;GAWG;AAEH,OAAO,KAAK,EAAE,EAAE,EAAE,MAAM,iBAAiB,CAAC;AAC1C,OAAO,KAAK,EAEV,mBAAmB,EAEnB,oBAAoB,EACrB,MAAM,2BAA2B,CAAC;AACnC,OAAO,KAAK,EAAE,cAAc,EAAE,MAAM,eAAe,CAAC;AAuCpD;;;;;;;;;;;;;;;;;GAiBG;AACH,wBAAgB,+BAA+B,CAAC,EAAE,EAAE,EAAE,GAAG,mBAAmB,CA2C3E;AAED;;;;;;;;;;;;;;;;;GAiBG;AACH,wBAAgB,wBAAwB,CACtC,QAAQ,EAAE,cAAc,EACxB,aAAa,EAAE;IAAE,QAAQ,EAAE,MAAM,CAAC;IAAC,aAAa,EAAE,MAAM,CAAA;CAAE,GACzD,oBAAoB,CAatB"}

package/dist/collection/channel-accounts.js

@@ -0,0 +1,133 @@
+/**
+ * Contas de canal do escritório, para o motor compartilhado.
+ *
+ * Moram em `tenant.settings.channels` (jsonb que já existia) — sem tabela nem
+ * migration, pela mesma razão que o branding mora lá: o Office resolve
+ * configuração de tenant por esse caminho, e um segundo mecanismo para a mesma
+ * coisa é uma divergência esperando acontecer.
+ *
+ * **Nenhum valor de credencial passa por aqui.** O que o tenant configura é o
+ * NOME lógico do segredo no cofre (`credentialRef`); quem resolve o valor é a
+ * borda do adapter, com o resolvedor que o processo injeta.
+ */
+import { SC_PRODUCT } from './communication-bridge.js';
+const STATUSES = new Set(['not_configured', 'pending_validation', 'active', 'paused', 'error']);
+function text(v, max = 200) {
+    if (typeof v !== 'string')
+        return undefined;
+    const t = v.trim();
+    return t && t.length <= max ? t : undefined;
+}
+/**
+ * Metadados sem segredo, e a checagem é por ALLOWLIST de chave.
+ *
+ * Filtrar por "o que parece segredo" deixaria passar o que não parece — e o
+ * `meta` de um canal é jsonb editável por quem configura o tenant, então
+ * qualquer coisa pode ter sido colada ali. Só o que o adapter precisa entra.
+ */
+const META_ALLOWED = new Set(['phoneNumberId', 'wabaId', 'businessId', 'region']);
+function meta(v) {
+    if (typeof v !== 'object' || v === null)
+        return undefined;
+    const out = {};
+    for (const [k, raw] of Object.entries(v)) {
+        if (!META_ALLOWED.has(k))
+            continue;
+        const value = text(raw, 120);
+        if (value)
+            out[k] = value;
+    }
+    return Object.keys(out).length > 0 ? out : undefined;
+}
+/**
+ * Store de contas do tenant corrente.
+ *
+ * **A amarra é a GUC da sessão, não o parâmetro.**
+ *
+ * A versão anterior consultava `WHERE id = ctx.tenantId` e depois comparava
+ * `row.id !== ctx.tenantId` — uma comparação que nunca pode falhar, porque o
+ * `WHERE` já usou o mesmo valor. Ela parecia ser a tranca contra "pedir o tenant
+ * errado dentro da transação certa" e não era nenhuma tranca: bastava um
+ * chamador passar um contexto alheio para ler a configuração de canal de outro
+ * escritório, `credentialRef` inclusive.
+ *
+ * `tenant` é a tabela RAIZ e não tem RLS — ela define a fronteira, não é
+ * protegida por ela —, então a política que cobre todas as outras tabelas não
+ * cobria esta consulta. A correção é exigir que o tenant PEDIDO seja o mesmo da
+ * sessão: quem quiser ler a configuração de outro escritório precisa abrir a
+ * transação dele, que é justamente o que a fronteira significa.
+ */
+export function createTenantChannelAccountStore(tx) {
+    return {
+        async find(ctx, channel) {
+            if (ctx.product !== SC_PRODUCT)
+                return null;
+            const rows = await tx `
+        SELECT id, settings FROM tenant
+         WHERE id = ${ctx.tenantId}
+           AND id = NULLIF(current_setting('app.current_tenant', true), '')::uuid
+         LIMIT 1
+      `;
+            const row = rows[0];
+            if (!row)
+                return null;
+            const channels = (row.settings?.channels ?? {});
+            const raw = channels[channel];
+            if (!raw)
+                return null;
+            const senderId = text(raw.senderId);
+            const credentialRef = text(raw.credentialRef);
+            // Sem remetente ou sem referência de credencial não há conta utilizável.
+            // Devolver uma conta pela metade faria o motor tentar e o provider recusar,
+            // gastando uma tentativa da régua para descobrir o que já se sabia aqui.
+            if (!senderId || !credentialRef)
+                return null;
+            const status = text(raw.status);
+            return {
+                channel,
+                tenantId: ctx.tenantId,
+                product: ctx.product,
+                brand: ctx.brand,
+                senderId,
+                displayName: text(raw.displayName, 120),
+                credentialRef,
+                // Estado desconhecido nunca vira `active`: configuração que ninguém
+                // reconhece não autoriza envio.
+                status: status && STATUSES.has(status) ? status : 'not_configured',
+                meta: meta(raw.meta),
+            };
+        },
+    };
+}
+/**
+ * Fallback de plataforma da cobrança — **e-mail apenas**.
+ *
+ * Existe porque a SC já entrega e-mail em produção hoje pela chave da
+ * plataforma, e desligar isso para exigir configuração por escritório pararia a
+ * régua de quem está cobrando agora. Removê-lo não é hardening, é interrupção de
+ * serviço.
+ *
+ * O que muda em relação ao que o Codex reprovou é o que sai na mensagem: o NOME
+ * exibido passa a ser o do escritório que está cobrando, sempre. O endereço
+ * continua sendo o do domínio verificado — trocá-lo quebraria a entrega —, mas
+ * quem lê vê "SC Organização Contábil", não uma marca alheia.
+ *
+ * Nada de WhatsApp nem SMS aqui, e a proibição não é por omissão: o motor recusa
+ * fallback nesses canais por construção (`sender-profile.ts`). Um número de
+ * telefone compartilhado entre marcas é o caminho para uma marca ser bloqueada
+ * pelo comportamento de outra.
+ */
+export function collectionSenderFallback(branding, platformEmail) {
+    // O endereço vem do remetente base configurado; `senderFor` já sabe extrair só
+    // o endereço de um `Nome <end@dominio>`.
+    const address = /<([^>]+)>/.exec(platformEmail.senderId)?.[1] ?? platformEmail.senderId;
+    const displayName = branding.officeName.replace(/["<>\\]/g, '').trim() || undefined;
+    return {
+        email: {
+            senderId: address,
+            credentialRef: platformEmail.credentialRef,
+            displayNameFor: () => displayName,
+        },
+    };
+}
+//# sourceMappingURL=channel-accounts.js.map

package/dist/collection/channel-accounts.js.map

@@ -0,0 +1 @@
+{"version":3,"file":"channel-accounts.js","sourceRoot":"","sources":["../../src/collection/channel-accounts.ts"],"names":[],"mappings":"AAAA;;;;;;;;;;;GAWG;AAUH,OAAO,EAAE,UAAU,EAAE,MAAM,2BAA2B,CAAC;AAUvD,MAAM,QAAQ,GAAG,IAAI,GAAG,CAAC,CAAC,gBAAgB,EAAE,oBAAoB,EAAE,QAAQ,EAAE,QAAQ,EAAE,OAAO,CAAC,CAAC,CAAC;AAEhG,SAAS,IAAI,CAAC,CAAU,EAAE,GAAG,GAAG,GAAG;IACjC,IAAI,OAAO,CAAC,KAAK,QAAQ;QAAE,OAAO,SAAS,CAAC;IAC5C,MAAM,CAAC,GAAG,CAAC,CAAC,IAAI,EAAE,CAAC;IACnB,OAAO,CAAC,IAAI,CAAC,CAAC,MAAM,IAAI,GAAG,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,SAAS,CAAC;AAC9C,CAAC;AAED;;;;;;GAMG;AACH,MAAM,YAAY,GAAG,IAAI,GAAG,CAAC,CAAC,eAAe,EAAE,QAAQ,EAAE,YAAY,EAAE,QAAQ,CAAC,CAAC,CAAC;AAElF,SAAS,IAAI,CAAC,CAAU;IACtB,IAAI,OAAO,CAAC,KAAK,QAAQ,IAAI,CAAC,KAAK,IAAI;QAAE,OAAO,SAAS,CAAC;IAC1D,MAAM,GAAG,GAA2B,EAAE,CAAC;IACvC,KAAK,MAAM,CAAC,CAAC,EAAE,GAAG,CAAC,IAAI,MAAM,CAAC,OAAO,CAAC,CAA4B,CAAC,EAAE,CAAC;QACpE,IAAI,CAAC,YAAY,CAAC,GAAG,CAAC,CAAC,CAAC;YAAE,SAAS;QACnC,MAAM,KAAK,GAAG,IAAI,CAAC,GAAG,EAAE,GAAG,CAAC,CAAC;QAC7B,IAAI,KAAK;YAAE,GAAG,CAAC,CAAC,CAAC,GAAG,KAAK,CAAC;IAC5B,CAAC;IACD,OAAO,MAAM,CAAC,IAAI,CAAC,GAAG,CAAC,CAAC,MAAM,GAAG,CAAC,CAAC,CAAC,CAAC,GAAG,CAAC,CAAC,CAAC,SAAS,CAAC;AACvD,CAAC;AAED;;;;;;;;;;;;;;;;;GAiBG;AACH,MAAM,UAAU,+BAA+B,CAAC,EAAM;IACpD,OAAO;QACL,KAAK,CAAC,IAAI,CAAC,GAAG,EAAE,OAAmB;YACjC,IAAI,GAAG,CAAC,OAAO,KAAK,UAAU;gBAAE,OAAO,IAAI,CAAC;YAE5C,MAAM,IAAI,GAAG,MAAM,EAAE,CAA4D;;sBAEjE,GAAG,CAAC,QAAQ;;;OAG3B,CAAC;YACF,MAAM,GAAG,GAAG,IAAI,CAAC,CAAC,CAAC,CAAC;YACpB,IAAI,CAAC,GAAG;gBAAE,OAAO,IAAI,CAAC;YAEtB,MAAM,QAAQ,GAAG,CAAC,GAAG,CAAC,QAAQ,EAAE,QAAQ,IAAI,EAAE,CAA+B,CAAC;YAC9E,MAAM,GAAG,GAAG,QAAQ,CAAC,OAAO,CAAC,CAAC;YAC9B,IAAI,CAAC,GAAG;gBAAE,OAAO,IAAI,CAAC;YAEtB,MAAM,QAAQ,GAAG,IAAI,CAAC,GAAG,CAAC,QAAQ,CAAC,CAAC;YACpC,MAAM,aAAa,GAAG,IAAI,CAAC,GAAG,CAAC,aAAa,CAAC,CAAC;YAC9C,yEAAyE;YACzE,4EAA4E;YAC5E,yEAAyE;YACzE,IAAI,CAAC,QAAQ,IAAI,CAAC,aAAa;gBAAE,OAAO,IAAI,CAAC;YAE7C,MAAM,MAAM,GAAG,IAAI,CAAC,GAAG,CAAC,MAAM,CAAC,CAAC;YAEhC,OAAO;gBACL,OAAO;gBACP,QAAQ,EAAE,GAAG,CAAC,QAAQ;gBACtB,OAAO,EAAE,GAAG,CAAC,OAAO;gBACpB,KAAK,EAAE,GAAG,CAAC,KAAK;gBAChB,QAAQ;gBACR,WAAW,EAAE,IAAI,CAAC,GAAG,CAAC,WAAW,EAAE,GAAG,CAAC;gBACvC,aAAa;gBACb,oEAAoE;gBACpE,gCAAgC;gBAChC,MAAM,EACJ,MAAM,IAAI,QAAQ,CAAC,GAAG,CAAC,MAAM,CAAC,CAAC,CAAC,CAAE,MAAmC,CAAC,CAAC,CAAC,gBAAgB;gBAC1F,IAAI,EAAE,IAAI,CAAC,GAAG,CAAC,IAAI,CAAC;aACrB,CAAC;QACJ,CAAC;KACF,CAAC;AACJ,CAAC;AAED;;;;;;;;;;;;;;;;;GAiBG;AACH,MAAM,UAAU,wBAAwB,CACtC,QAAwB,EACxB,aAA0D;IAE1D,+EAA+E;IAC/E,yCAAyC;IACzC,MAAM,OAAO,GAAG,WAAW,CAAC,IAAI,CAAC,aAAa,CAAC,QAAQ,CAAC,EAAE,CAAC,CAAC,CAAC,IAAI,aAAa,CAAC,QAAQ,CAAC;IACxF,MAAM,WAAW,GAAG,QAAQ,CAAC,UAAU,CAAC,OAAO,CAAC,UAAU,EAAE,EAAE,CAAC,CAAC,IAAI,EAAE,IAAI,SAAS,CAAC;IAEpF,OAAO;QACL,KAAK,EAAE;YACL,QAAQ,EAAE,OAAO;YACjB,aAAa,EAAE,aAAa,CAAC,aAAa;YAC1C,cAAc,EAAE,GAAG,EAAE,CAAC,WAAW;SAClC;KACF,CAAC;AACJ,CAAC"}

package/dist/collection/channel.d.ts

@@ -0,0 +1,24 @@
+/**
+ * Vocabulário de canal da régua de cobrança.
+ *
+ * **Só o vocabulário.** Este arquivo já carregou uma abstração de canal inteira
+ * — `CollectionChannel`, `CollectionMessage`, `resolveChannel` e um adapter de
+ * e-mail — e foi por ela que a cobrança tinha um SEGUNDO caminho de envio,
+ * paralelo ao motor compartilhado, com idempotência própria que não era gravada
+ * em lugar nenhum. Cron e rota manual usavam vias diferentes e não se
+ * enxergavam.
+ *
+ * O caminho de entrega agora é um só: `communication/`. O que restou aqui é o
+ * nome do canal que a política do escritório declara por etapa, que é dado de
+ * régua e não tem nada a ver com provider.
+ */
+/**
+ * Canal declarado por etapa da régua.
+ *
+ * Subconjunto de `ChannelKey` do motor. `sms` ainda não aparece porque a régua
+ * não tem como declará-lo hoje — está registrado como dívida não bloqueante, e
+ * alargar o tipo sem alargar a validação da política gravaria passo que o motor
+ * aceita e a tela não sabe exibir.
+ */
+export type CollectionChannelKey = 'email' | 'whatsapp' | 'notification';
+//# sourceMappingURL=channel.d.ts.map

package/dist/collection/channel.d.ts.map

@@ -0,0 +1 @@
+{"version":3,"file":"channel.d.ts","sourceRoot":"","sources":["../../src/collection/channel.ts"],"names":[],"mappings":"AAAA;;;;;;;;;;;;;GAaG;AAEH;;;;;;;GAOG;AACH,MAAM,MAAM,oBAAoB,GAAG,OAAO,GAAG,UAAU,GAAG,cAAc,CAAC"}

package/dist/collection/channel.js

@@ -0,0 +1,16 @@
+/**
+ * Vocabulário de canal da régua de cobrança.
+ *
+ * **Só o vocabulário.** Este arquivo já carregou uma abstração de canal inteira
+ * — `CollectionChannel`, `CollectionMessage`, `resolveChannel` e um adapter de
+ * e-mail — e foi por ela que a cobrança tinha um SEGUNDO caminho de envio,
+ * paralelo ao motor compartilhado, com idempotência própria que não era gravada
+ * em lugar nenhum. Cron e rota manual usavam vias diferentes e não se
+ * enxergavam.
+ *
+ * O caminho de entrega agora é um só: `communication/`. O que restou aqui é o
+ * nome do canal que a política do escritório declara por etapa, que é dado de
+ * régua e não tem nada a ver com provider.
+ */
+export {};
+//# sourceMappingURL=channel.js.map