@baruk/core 0.3.1 → 0.5.0

package/.baruk-provenance.json

@@ -0,0 +1,10 @@
+{
+  "schema": "baruk.provenance/1",
+  "package": "@baruk/core",
+  "version": "0.5.0",
+  "commit": "6c740b6ced28f9f0b83d6f739eb27c4b2574aea8",
+  "repository": "WellingtonOliveira12/baruk-platform",
+  "workflowRef": "WellingtonOliveira12/baruk-ecosystem/.github/workflows/package-release-control.yml@refs/heads/main",
+  "runId": "34290559008",
+  "builtAt": "2026-09-08T23:26:29.877Z"
+}

package/CHANGELOG.md

@@ -5,8 +5,135 @@ Versionamento: [SemVer](https://semver.org/lang/pt-BR/).
 
 ## [Unreleased]
 
+## [0.5.0] — 2026-09-08
+
+### Adicionado
+
+- **`privacyEmail` por produto em `LegalProductProfile`** (opcional). O canal de privacidade
+  vivia só em `LegalCompanyProfile`, compartilhado — e um produto com domínio próprio
+  anunciava, nos cinco lugares em que a política dá um endereço de privacidade, a caixa de
+  outro domínio. O titular de dados que escrevesse para o endereço do produto não seria
+  atendido por ninguém, e um canal que não recebe transforma um prazo legal em silêncio.
+
+  Ausente, o comportamento é o de antes, byte a byte. Um encarregado nominal
+  (`company.dpo`) continua tendo precedência onde já tinha. O canal em branco (`''` ou só
+  espaços) cai para o da controladora: em branco não é um canal, é a ausência de um.
+
+- **`LEGAL_PENDING_MARKER` e `hasPendingDecision(doc)`.** Quem publica passa a ter como
+  MEDIR que um documento carrega decisão não tomada, em vez de lembrar.
+
+### Corrigido
+
+- **`trialDays` ganha três estados: `N`, `0` e `null`.** A frase do resumo da cobrança foi
+  escrita para um número maior que zero. Com `0` ela produzia "São 0 dias de teste sem
+  cartão" e "O teste dura 0 dias" — texto que está **publicado** em
+  `barukconnect.com/legal/cobranca`. Zero não é uma duração curta: é a ausência da oferta,
+  e agora a política a afirma com palavras. `null` é a terceira coisa — decisão que o
+  titular ainda não tomou — e rende o marcador no lugar do número, nunca um valor plausível.
+
+  `LEGAL_VERSION` sobe para `1.2.0`. **`LEGAL_EFFECTIVE_DATE` NÃO muda**, e
+  `LEGAL_REVIEW_STATUS` continua `pending`: nada aqui promove estado jurídico.
+
+### Compatibilidade
+
+Para `trialDays > 0` e sem `privacyEmail` — o caso de Baruk App, Baruk Office, Baruk Hub e
+Dental Plataforma — o texto dos nove documentos é **idêntico ao anterior**, provado contra a
+implementação de `HEAD` por oráculo de equivalência. A única diferença é o carimbo
+`version` do conjunto.
+
+> Uma primeira versão desta mudança derivava as três frases de uma metade comum e, com
+> isso, reescreveu o resumo da cobrança dos quatro produtos que não estavam mudando —
+> "é assinatura mensal que renova sozinha e que você cancela" virou "a assinatura é
+> mensal, renova sozinha e você cancela". Mesma promessa, outra frase, dois deles com a
+> política já publicada. A frase original está ancorada por teste literal.
+
+## [0.4.2] — 2026-09-03
+
+### Corrigido
+
+- **`.baruk-provenance.json` entra no `files`.** O `write-provenance.mjs` grava a
+  provenance dentro do pacote antes do `pack`, mas o `files` deste manifesto não a
+  listava — e o npm descarta em silêncio o que não está na allowlist. O pacote publicado
+  prometia rastreabilidade e não a carregava.
+
+  É o `PME-IC-13`, e ele já havia acontecido uma vez. Aqui custou uma Release
+  Authorization: a `v0.4.1` foi certificada, autorizada e **reprovada no rebuild**
+  obrigatório do Package Release Control. `@baruk/shared` passou no mesmo run, porque o
+  `files` dele já incluía a provenance.
+
+  Um teste passou a vigiar os dois pacotes publicáveis, e a lista que ele vigia é
+  conferida contra a do `build-release-request.mjs` — para que um pacote novo não nasça
+  fora do guard.
+
+### Sem mudança de código
+
+A canonicalização da capability de comunicação, descrita na 0.4.0, vale integralmente.
+As versões 0.4.0 e 0.4.1 nunca foram publicadas.
+
+## [0.4.1] — 2026-09-02
+
+Sem mudança de código em relação à 0.4.0: **apenas o número da versão**.
+
+A 0.4.0 nunca foi publicada. A tag `v0.4.0` tem uma Release Authorization
+**revogada**, e a resolução de autorização do control-plane é
+`<candidato>/<tag>.json` — uma tag, um arquivo. Emitir uma autorização nova para
+`v0.4.0` exigiria sobrescrever o registro revogado, e revogação é fato de
+governança: não se reescreve.
+
+A saída é publicar sob uma tag que ainda não tem registro. O conteúdo é o mesmo
+da 0.4.0 — a canonicalização descrita ali vale integralmente para esta versão.
+
+## [0.4.0] — 2026-09-02
+
+### Mudado
+
+- **A capability de e-mail transacional deixou de ser implementada aqui.**
+  `packages/core/src/mail/` passou a ser **re-export** de
+  [`@baruk/communication`](https://www.npmjs.com/package/@baruk/communication),
+  que é a fonte canônica de `cap.communication.transactional-email`.
+
+  Existiam duas implementações. Oito dos nove arquivos eram idênticos byte a
+  byte, e o nono **já havia divergido**: o engine aceitava remetente com nome de
+  exibição (_name-addr_, RFC 5322) e esta cópia não. Era o começo previsível de
+  duas cópias — uma recebe a correção, a outra não, e ninguém percebe até um
+  consumidor receber o comportamento antigo.
+
+### Adicionado
+
+- Dependência `@baruk/communication@^0.2.0` — zero dependências de runtime,
+  21 kB.
+- Aceitação de `Nome <caixa@dominio>` no remetente, herdada da capability. Quem
+  já usava endereço puro não muda nada.
+
+### Compatibilidade
+
+**Nenhum consumidor muda uma linha.** Os caminhos de import foram preservados e
+o barrel exporta os mesmos **522 símbolos** — conferidos um a um contra a versão
+anterior. `sc-organizacao-contabil` e `baruk-connect` foram exercitados contra o
+barrel compilado.
+
+### Fronteira
+
+O guard `communication-provider-boundary` ficou **mais forte**: o endereço do
+provider passou de "existe exatamente uma vez neste repositório" para **"não
+existe"**. Antes era preciso um _segundo_ cliente para ele reagir; agora o
+primeiro reprova.
+
+### O que NÃO saiu daqui
+
+`auth-templates.ts` (casca HTML com a marca), `transactional-outbound.ts`
+(adapter dos fluxos de identidade) e `sanitize.ts` — este último apesar do nome
+e do lugar, porque `subscription-billing` e `pricing-engine` o usam para log.
+
 ## [0.3.1] — 2026-08-02
 
+### Consumidores
+
+- Baruk App (`apps/web`), Dental Plataforma e Baruk Connect consomem
+  `@baruk/core/legal`. Dental e Connect resolvem pelo registry (`^0.3.1`) e
+  eliminaram as cópias locais dos documentos. O Baruk Office ainda não publica
+  documentos legais — ver `docs/architecture/CORE_SHARED_MODULES.md`.
+
 ### Adicionado
 
 - **Legal Center compartilhado** em `@baruk/core/legal`: perfil societário

package/dist/audit/repository.d.ts

@@ -3,13 +3,45 @@ export interface AuditRow {
     id: string;
     actorType: string;
     actorId: string | null;
+    /** Nome de quem praticou o ato, quando ele é membro DESTA organização. */
+    actorName: string | null;
+    /** E-mail do mesmo — a desambiguação quando dois homônimos existem. */
+    actorEmail: string | null;
+    /**
+     * `staff` | `service` | `client_portal`, ou `null` quando não há usuário por
+     * trás (cron, webhook, migração) ou quando o ator não é membro daqui.
+     *
+     * É este campo — e não `actor_type` — que distingue pessoa de automação:
+     * `audit_log.actor_type` grava `user` para qualquer autenticação por sessão,
+     * inclusive a da identidade de automação.
+     */
+    actorUserType: string | null;
     action: string;
     resourceType: string;
     resourceId: string | null;
     result: string;
     occurredAt: string;
 }
-/** Lista a trilha de auditoria do tenant corrente (RLS já isola). Somente leitura. */
+/**
+ * Lista a trilha de auditoria do tenant corrente (RLS já isola). Somente leitura.
+ *
+ * ## Por que o ator vem por `membership`, e não direto de a tabela "user"
+ *
+ * a tabela "user" é entidade GLOBAL: não tem RLS. Um `JOIN "user" ON u.id = a.actor_id`
+ * leria qualquer pessoa do ecossistema, e bastaria um `actor_id` de outra
+ * organização para esta tela imprimir o nome de alguém que a SC não conhece.
+ *
+ * O join passa por `membership` do tenant corrente. Ator que não é membro daqui
+ * volta como `null` — e a tela o chama de "Sistema", que é honesto: para esta
+ * organização, aquele ato não tem rosto.
+ *
+ * ## O que este enriquecimento NÃO é
+ *
+ * Não é reescrita da trilha. `audit_log` continua append-only e nenhuma linha
+ * histórica muda: `actor_type` segue gravado como sempre esteve. Isto é
+ * projeção de LEITURA — o mesmo registro, dito de forma que quem audita
+ * entenda.
+ */
 export declare function listAudit(tx: Tx, filter?: {
     action?: string;
     resourceType?: string;

package/dist/audit/repository.d.ts.map

@@ -1 +1 @@
-{"version":3,"file":"repository.d.ts","sourceRoot":"","sources":["../../src/audit/repository.ts"],"names":[],"mappings":"AAAA,OAAO,KAAK,EAAE,EAAE,EAAE,MAAM,iBAAiB,CAAC;AAE1C,MAAM,WAAW,QAAQ;IACvB,EAAE,EAAE,MAAM,CAAC;IACX,SAAS,EAAE,MAAM,CAAC;IAClB,OAAO,EAAE,MAAM,GAAG,IAAI,CAAC;IACvB,MAAM,EAAE,MAAM,CAAC;IACf,YAAY,EAAE,MAAM,CAAC;IACrB,UAAU,EAAE,MAAM,GAAG,IAAI,CAAC;IAC1B,MAAM,EAAE,MAAM,CAAC;IACf,UAAU,EAAE,MAAM,CAAC;CACpB;AAED,sFAAsF;AACtF,wBAAsB,SAAS,CAC7B,EAAE,EAAE,EAAE,EACN,MAAM,GAAE;IAAE,MAAM,CAAC,EAAE,MAAM,CAAC;IAAC,YAAY,CAAC,EAAE,MAAM,CAAC;IAAC,KAAK,CAAC,EAAE,MAAM,CAAC;IAAC,MAAM,CAAC,EAAE,MAAM,CAAA;CAAO,GACvF,OAAO,CAAC;IAAE,KAAK,EAAE,QAAQ,EAAE,CAAC;IAAC,KAAK,EAAE,MAAM,CAAA;CAAE,CAAC,CA4B/C"}
+{"version":3,"file":"repository.d.ts","sourceRoot":"","sources":["../../src/audit/repository.ts"],"names":[],"mappings":"AAAA,OAAO,KAAK,EAAE,EAAE,EAAE,MAAM,iBAAiB,CAAC;AAE1C,MAAM,WAAW,QAAQ;IACvB,EAAE,EAAE,MAAM,CAAC;IACX,SAAS,EAAE,MAAM,CAAC;IAClB,OAAO,EAAE,MAAM,GAAG,IAAI,CAAC;IACvB,0EAA0E;IAC1E,SAAS,EAAE,MAAM,GAAG,IAAI,CAAC;IACzB,uEAAuE;IACvE,UAAU,EAAE,MAAM,GAAG,IAAI,CAAC;IAC1B;;;;;;;OAOG;IACH,aAAa,EAAE,MAAM,GAAG,IAAI,CAAC;IAC7B,MAAM,EAAE,MAAM,CAAC;IACf,YAAY,EAAE,MAAM,CAAC;IACrB,UAAU,EAAE,MAAM,GAAG,IAAI,CAAC;IAC1B,MAAM,EAAE,MAAM,CAAC;IACf,UAAU,EAAE,MAAM,CAAC;CACpB;AAED;;;;;;;;;;;;;;;;;;;GAmBG;AACH,wBAAsB,SAAS,CAC7B,EAAE,EAAE,EAAE,EACN,MAAM,GAAE;IAAE,MAAM,CAAC,EAAE,MAAM,CAAC;IAAC,YAAY,CAAC,EAAE,MAAM,CAAC;IAAC,KAAK,CAAC,EAAE,MAAM,CAAC;IAAC,MAAM,CAAC,EAAE,MAAM,CAAA;CAAO,GACvF,OAAO,CAAC;IAAE,KAAK,EAAE,QAAQ,EAAE,CAAC;IAAC,KAAK,EAAE,MAAM,CAAA;CAAE,CAAC,CAqD/C"}

package/dist/audit/repository.js

@@ -1,14 +1,45 @@
-/** Lista a trilha de auditoria do tenant corrente (RLS já isola). Somente leitura. */
+/**
+ * Lista a trilha de auditoria do tenant corrente (RLS já isola). Somente leitura.
+ *
+ * ## Por que o ator vem por `membership`, e não direto de a tabela "user"
+ *
+ * a tabela "user" é entidade GLOBAL: não tem RLS. Um `JOIN "user" ON u.id = a.actor_id`
+ * leria qualquer pessoa do ecossistema, e bastaria um `actor_id` de outra
+ * organização para esta tela imprimir o nome de alguém que a SC não conhece.
+ *
+ * O join passa por `membership` do tenant corrente. Ator que não é membro daqui
+ * volta como `null` — e a tela o chama de "Sistema", que é honesto: para esta
+ * organização, aquele ato não tem rosto.
+ *
+ * ## O que este enriquecimento NÃO é
+ *
+ * Não é reescrita da trilha. `audit_log` continua append-only e nenhuma linha
+ * histórica muda: `actor_type` segue gravado como sempre esteve. Isto é
+ * projeção de LEITURA — o mesmo registro, dito de forma que quem audita
+ * entenda.
+ */
 export async function listAudit(tx, filter = {}) {
     const limit = Math.min(filter.limit ?? 30, 100);
     const offset = filter.offset ?? 0;
     const rows = await tx `
-    SELECT id, actor_type, actor_id, action, resource_type, resource_id, result,
-           occurred_at, count(*) OVER() AS total
-    FROM audit_log
-    WHERE (${filter.action ?? null}::text IS NULL OR action = ${filter.action ?? null})
-      AND (${filter.resourceType ?? null}::text IS NULL OR resource_type = ${filter.resourceType ?? null})
-    ORDER BY occurred_at DESC
+    SELECT a.id, a.actor_type, a.actor_id, a.action, a.resource_type, a.resource_id,
+           a.result, a.occurred_at,
+           u.full_name AS actor_name,
+           u.email     AS actor_email,
+           u.user_type AS actor_user_type,
+           count(*) OVER() AS total
+    FROM audit_log a
+    -- A membership é o portão: sem ela o nome de alguém de outra organização
+    -- entraria nesta tela. A tabela "user" é global e não tem RLS para barrar
+    -- isso sozinha.
+    LEFT JOIN membership m
+           ON m.user_id = a.actor_id
+          AND m.tenant_id = current_setting('app.current_tenant', true)::uuid
+    LEFT JOIN "user" u
+           ON u.id = m.user_id
+    WHERE (${filter.action ?? null}::text IS NULL OR a.action = ${filter.action ?? null})
+      AND (${filter.resourceType ?? null}::text IS NULL OR a.resource_type = ${filter.resourceType ?? null})
+    ORDER BY a.occurred_at DESC
     LIMIT ${limit} OFFSET ${offset}
   `;
     const total = rows[0] ? Number(rows[0].total) : 0;
@@ -18,6 +49,9 @@ export async function listAudit(tx, filter = {}) {
             id: r.id,
             actorType: r.actor_type,
             actorId: r.actor_id,
+            actorName: r.actor_name,
+            actorEmail: r.actor_email,
+            actorUserType: r.actor_user_type,
             action: r.action,
             resourceType: r.resource_type,
             resourceId: r.resource_id,

package/dist/audit/repository.js.map

@@ -1 +1 @@
-{"version":3,"file":"repository.js","sourceRoot":"","sources":["../../src/audit/repository.ts"],"names":[],"mappings":"AAaA,sFAAsF;AACtF,MAAM,CAAC,KAAK,UAAU,SAAS,CAC7B,EAAM,EACN,SAAsF,EAAE;IAExF,MAAM,KAAK,GAAG,IAAI,CAAC,GAAG,CAAC,MAAM,CAAC,KAAK,IAAI,EAAE,EAAE,GAAG,CAAC,CAAC;IAChD,MAAM,MAAM,GAAG,MAAM,CAAC,MAAM,IAAI,CAAC,CAAC;IAClC,MAAM,IAAI,GAAG,MAAM,EAAE,CAEpB;;;;aAIU,MAAM,CAAC,MAAM,IAAI,IAAI,8BAA8B,MAAM,CAAC,MAAM,IAAI,IAAI;aACxE,MAAM,CAAC,YAAY,IAAI,IAAI,qCAAqC,MAAM,CAAC,YAAY,IAAI,IAAI;;YAE5F,KAAK,WAAW,MAAM;GAC/B,CAAC;IACF,MAAM,KAAK,GAAG,IAAI,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,MAAM,CAAC,IAAI,CAAC,CAAC,CAAC,CAAC,KAAK,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC;IAClD,OAAO;QACL,KAAK;QACL,KAAK,EAAE,IAAI,CAAC,GAAG,CAAC,CAAC,CAAC,EAAE,EAAE,CAAC,CAAC;YACtB,EAAE,EAAE,CAAC,CAAC,EAAE;YACR,SAAS,EAAE,CAAC,CAAC,UAAU;YACvB,OAAO,EAAE,CAAC,CAAC,QAAQ;YACnB,MAAM,EAAE,CAAC,CAAC,MAAM;YAChB,YAAY,EAAE,CAAC,CAAC,aAAa;YAC7B,UAAU,EAAE,CAAC,CAAC,WAAW;YACzB,MAAM,EAAE,CAAC,CAAC,MAAM;YAChB,UAAU,EAAE,CAAC,CAAC,WAAW,CAAC,WAAW,EAAE;SACxC,CAAC,CAAC;KACJ,CAAC;AACJ,CAAC"}
+{"version":3,"file":"repository.js","sourceRoot":"","sources":["../../src/audit/repository.ts"],"names":[],"mappings":"AA0BA;;;;;;;;;;;;;;;;;;;GAmBG;AACH,MAAM,CAAC,KAAK,UAAU,SAAS,CAC7B,EAAM,EACN,SAAsF,EAAE;IAExF,MAAM,KAAK,GAAG,IAAI,CAAC,GAAG,CAAC,MAAM,CAAC,KAAK,IAAI,EAAE,EAAE,GAAG,CAAC,CAAC;IAChD,MAAM,MAAM,GAAG,MAAM,CAAC,MAAM,IAAI,CAAC,CAAC;IAClC,MAAM,IAAI,GAAG,MAAM,EAAE,CAYpB;;;;;;;;;;;;;;;;aAgBU,MAAM,CAAC,MAAM,IAAI,IAAI,gCAAgC,MAAM,CAAC,MAAM,IAAI,IAAI;aAC1E,MAAM,CAAC,YAAY,IAAI,IAAI,uCAAuC,MAAM,CAAC,YAAY,IAAI,IAAI;;YAE9F,KAAK,WAAW,MAAM;GAC/B,CAAC;IACF,MAAM,KAAK,GAAG,IAAI,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,MAAM,CAAC,IAAI,CAAC,CAAC,CAAC,CAAC,KAAK,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC;IAClD,OAAO;QACL,KAAK;QACL,KAAK,EAAE,IAAI,CAAC,GAAG,CAAC,CAAC,CAAC,EAAE,EAAE,CAAC,CAAC;YACtB,EAAE,EAAE,CAAC,CAAC,EAAE;YACR,SAAS,EAAE,CAAC,CAAC,UAAU;YACvB,OAAO,EAAE,CAAC,CAAC,QAAQ;YACnB,SAAS,EAAE,CAAC,CAAC,UAAU;YACvB,UAAU,EAAE,CAAC,CAAC,WAAW;YACzB,aAAa,EAAE,CAAC,CAAC,eAAe;YAChC,MAAM,EAAE,CAAC,CAAC,MAAM;YAChB,YAAY,EAAE,CAAC,CAAC,aAAa;YAC7B,UAAU,EAAE,CAAC,CAAC,WAAW;YACzB,MAAM,EAAE,CAAC,CAAC,MAAM;YAChB,UAAU,EAAE,CAAC,CAAC,WAAW,CAAC,WAAW,EAAE;SACxC,CAAC,CAAC;KACJ,CAAC;AACJ,CAAC"}

package/dist/auth/password-reset.d.ts

@@ -1,4 +1,4 @@
-import type { Db } from '../db/client.js';
+import type { Db, Queryable } from '../db/client.js';
 interface Nower {
     now(): number;
 }
@@ -11,10 +11,39 @@ export declare function requestPasswordReset(db: Db, email: string, clock?: Nowe
     token: string;
     userId: string;
 } | null>;
+/**
+ * Emite o token de primeiro acesso para um usuário recém-convidado (chamado
+ * por `inviteUser`, já dentro do contexto do tenant que convidou). Mesmo
+ * mecanismo de `requestPasswordReset`, com `purpose='activation'` e TTL maior
+ * — e o `tenant_id` guardado no token, porque `resetPassword` roda sem sessão
+ * autenticada e precisa reabrir o contexto de RLS certo para ativar a
+ * membership.
+ */
+export declare function createActivationToken(db: Queryable, input: {
+    userId: string;
+    tenantId: string;
+}, clock?: Nower): Promise<{
+    token: string;
+}>;
 /**
  * Redefine a senha usando um token válido (não usado, não expirado). Marca o
  * token como usado, limpa `must_change_password` e revoga sessões anteriores.
+ * Quando o token é de ativação (`purpose='activation'`), também ativa o
+ * usuário e a membership que o convite deixou em `invited`.
+ */
+/**
+ * O token ainda vale? **Não consome.**
+ *
+ * Existe para a tela de ativação decidir o que mostrar antes de o usuário
+ * digitar. Sem isto, quem clicava num convite antigo preenchia senha, confirmava
+ * e só então descobria que o link não servia — e a tela seguia oferecendo o
+ * formulário como se a próxima tentativa pudesse dar certo.
+ *
+ * Devolve só um booleano. Não distingue inexistente de expirado de já usado:
+ * os três levam à mesma ação do usuário, e detalhar transformaria isto num
+ * oráculo para quem tenta adivinhar token.
  */
+export declare function isResetTokenValid(db: Queryable, token: string, clock?: Nower): Promise<boolean>;
 export declare function resetPassword(db: Db, token: string, newPassword: string, clock?: Nower): Promise<boolean>;
 export {};
 //# sourceMappingURL=password-reset.d.ts.map

package/dist/auth/password-reset.d.ts.map

@@ -1 +1 @@
-{"version":3,"file":"password-reset.d.ts","sourceRoot":"","sources":["../../src/auth/password-reset.ts"],"names":[],"mappings":"AACA,OAAO,KAAK,EAAE,EAAE,EAAE,MAAM,iBAAiB,CAAC;AAM1C,UAAU,KAAK;IACb,GAAG,IAAI,MAAM,CAAC;CACf;AAGD;;;;GAIG;AACH,wBAAsB,oBAAoB,CACxC,EAAE,EAAE,EAAE,EACN,KAAK,EAAE,MAAM,EACb,KAAK,GAAE,KAAkB,GACxB,OAAO,CAAC;IAAE,KAAK,EAAE,MAAM,CAAC;IAAC,MAAM,EAAE,MAAM,CAAA;CAAE,GAAG,IAAI,CAAC,CAcnD;AAED;;;GAGG;AACH,wBAAsB,aAAa,CACjC,EAAE,EAAE,EAAE,EACN,KAAK,EAAE,MAAM,EACb,WAAW,EAAE,MAAM,EACnB,KAAK,GAAE,KAAkB,GACxB,OAAO,CAAC,OAAO,CAAC,CAsBlB"}
+{"version":3,"file":"password-reset.d.ts","sourceRoot":"","sources":["../../src/auth/password-reset.ts"],"names":[],"mappings":"AACA,OAAO,KAAK,EAAE,EAAE,EAAE,SAAS,EAAM,MAAM,iBAAiB,CAAC;AAsBzD,UAAU,KAAK;IACb,GAAG,IAAI,MAAM,CAAC;CACf;AAGD;;;;GAIG;AACH,wBAAsB,oBAAoB,CACxC,EAAE,EAAE,EAAE,EACN,KAAK,EAAE,MAAM,EACb,KAAK,GAAE,KAAkB,GACxB,OAAO,CAAC;IAAE,KAAK,EAAE,MAAM,CAAC;IAAC,MAAM,EAAE,MAAM,CAAA;CAAE,GAAG,IAAI,CAAC,CAmBnD;AAED;;;;;;;GAOG;AACH,wBAAsB,qBAAqB,CACzC,EAAE,EAAE,SAAS,EACb,KAAK,EAAE;IAAE,MAAM,EAAE,MAAM,CAAC;IAAC,QAAQ,EAAE,MAAM,CAAA;CAAE,EAC3C,KAAK,GAAE,KAAkB,GACxB,OAAO,CAAC;IAAE,KAAK,EAAE,MAAM,CAAA;CAAE,CAAC,CAkB5B;AAED;;;;;GAKG;AACH;;;;;;;;;;;GAWG;AACH,wBAAsB,iBAAiB,CACrC,EAAE,EAAE,SAAS,EACb,KAAK,EAAE,MAAM,EACb,KAAK,GAAE,KAAkB,GACxB,OAAO,CAAC,OAAO,CAAC,CASlB;AAED,wBAAsB,aAAa,CACjC,EAAE,EAAE,EAAE,EACN,KAAK,EAAE,MAAM,EACb,WAAW,EAAE,MAAM,EACnB,KAAK,GAAE,KAAkB,GACxB,OAAO,CAAC,OAAO,CAAC,CA0DlB"}

package/dist/auth/password-reset.js

@@ -1,7 +1,23 @@
 import { uuidv7 } from '@baruk/shared';
+import { withContext } from '../db/context.js';
+import { appendAudit } from '../audit/audit.js';
 import { hashPassword } from './password.js';
 import { generateSessionToken, hashToken } from './session-token.js';
-const RESET_TTL_MS = 60 * 60 * 1000; // 1h
+/**
+ * 24h para o link de recuperação.
+ *
+ * Era 1h. O trade-off é real — janela maior é janela maior se a caixa de e-mail
+ * for comprometida —, mas 1h não sobrevive ao uso: quem pede recuperação nem
+ * sempre está com o e-mail aberto, e a API hiberna, então a primeira tentativa
+ * do dia ainda gasta segundos no cold start. Link vencido faz o usuário pedir
+ * outro, e o custo de segurança disso é maior que o da janela: cada reenvio é
+ * mais um link vivo circulando por e-mail.
+ *
+ * O que limita o dano continua valendo: uso único, invalidação no consumo e
+ * revogação das sessões anteriores.
+ */
+const RESET_TTL_MS = 24 * 60 * 60 * 1000;
+const ACTIVATION_TTL_MS = 7 * 24 * 60 * 60 * 1000; // 7 dias — convite, e-mail pode demorar a ser aberto.
 const REAL_CLOCK = { now: () => Date.now() };
 /**
  * Solicita reset. Retorna o token EM CLARO (para compor o link do e-mail) e o
@@ -18,37 +34,149 @@ export async function requestPasswordReset(db, email, clock = REAL_CLOCK) {
     const { token, tokenHash } = generateSessionToken();
     const now = clock.now();
     await db `
-    INSERT INTO password_reset (id, user_id, token_hash, expires_at)
-    VALUES (${uuidv7()}, ${user.id}, ${tokenHash}, ${new Date(now + RESET_TTL_MS)})
+    INSERT INTO password_reset (id, user_id, token_hash, purpose, expires_at)
+    VALUES (${uuidv7()}, ${user.id}, ${tokenHash}, 'reset', ${new Date(now + RESET_TTL_MS)})
   `;
+    await auditBestEffort(db, user.id, {
+        action: 'password_reset_requested',
+        resourceType: 'user',
+        resourceId: user.id,
+    });
     return { token, userId: user.id };
 }
+/**
+ * Emite o token de primeiro acesso para um usuário recém-convidado (chamado
+ * por `inviteUser`, já dentro do contexto do tenant que convidou). Mesmo
+ * mecanismo de `requestPasswordReset`, com `purpose='activation'` e TTL maior
+ * — e o `tenant_id` guardado no token, porque `resetPassword` roda sem sessão
+ * autenticada e precisa reabrir o contexto de RLS certo para ativar a
+ * membership.
+ */
+export async function createActivationToken(db, input, clock = REAL_CLOCK) {
+    const { token, tokenHash } = generateSessionToken();
+    const now = clock.now();
+    // Reemitir invalida o convite anterior: um usuário tem no máximo um convite
+    // vivo por vez. Sem isto, cada reenvio deixava mais um token válido por 7
+    // dias — e um link que vazou (encaminhado, colado num chat, capturado numa
+    // screenshot) continuaria abrindo a conta mesmo depois de reemitido.
+    await db `
+    UPDATE password_reset SET used_at = now()
+     WHERE user_id = ${input.userId} AND purpose = 'activation' AND used_at IS NULL
+  `;
+    await db `
+    INSERT INTO password_reset (id, user_id, token_hash, purpose, tenant_id, expires_at)
+    VALUES (${uuidv7()}, ${input.userId}, ${tokenHash}, 'activation', ${input.tenantId}, ${new Date(now + ACTIVATION_TTL_MS)})
+  `;
+    return { token };
+}
 /**
  * Redefine a senha usando um token válido (não usado, não expirado). Marca o
  * token como usado, limpa `must_change_password` e revoga sessões anteriores.
+ * Quando o token é de ativação (`purpose='activation'`), também ativa o
+ * usuário e a membership que o convite deixou em `invited`.
  */
+/**
+ * O token ainda vale? **Não consome.**
+ *
+ * Existe para a tela de ativação decidir o que mostrar antes de o usuário
+ * digitar. Sem isto, quem clicava num convite antigo preenchia senha, confirmava
+ * e só então descobria que o link não servia — e a tela seguia oferecendo o
+ * formulário como se a próxima tentativa pudesse dar certo.
+ *
+ * Devolve só um booleano. Não distingue inexistente de expirado de já usado:
+ * os três levam à mesma ação do usuário, e detalhar transformaria isto num
+ * oráculo para quem tenta adivinhar token.
+ */
+export async function isResetTokenValid(db, token, clock = REAL_CLOCK) {
+    const rows = await db `
+    SELECT id FROM password_reset
+     WHERE token_hash = ${hashToken(token)}
+       AND used_at IS NULL
+       AND expires_at > ${new Date(clock.now())}
+     LIMIT 1
+  `;
+    return rows.length > 0;
+}
 export async function resetPassword(db, token, newPassword, clock = REAL_CLOCK) {
     if (newPassword.length < 8)
         return false;
     const th = hashToken(token);
     const rows = await db `
-    SELECT id, user_id FROM password_reset
+    SELECT id, user_id, purpose, tenant_id FROM password_reset
     WHERE token_hash = ${th} AND used_at IS NULL AND expires_at > ${new Date(clock.now())}
   `;
     const reset = rows[0];
-    if (!reset)
+    if (!reset) {
+        // Token existe mas expirou/já foi usado (distinto de token nunca emitido,
+        // que não é auditável — não há usuário a quem atribuir a tentativa).
+        const stale = await db `
+      SELECT user_id FROM password_reset WHERE token_hash = ${th}
+    `;
+        if (stale[0]) {
+            await auditBestEffort(db, stale[0].user_id, {
+                action: 'password_reset_failed',
+                resourceType: 'user',
+                resourceId: stale[0].user_id,
+            });
+        }
         return false;
+    }
     await db.begin(async (tx) => {
-        await tx `
-      INSERT INTO user_credential (user_id, password_hash, must_change_password)
-      VALUES (${reset.user_id}, ${hashPassword(newPassword)}, false)
-      ON CONFLICT (user_id) DO UPDATE
-        SET password_hash = EXCLUDED.password_hash, must_change_password = false, updated_at = now()
-    `;
+        // Upsert via função SECURITY DEFINER (0024) — o papel de app só tem INSERT
+        // em user_credential (anti account-takeover, 0011); trocar uma senha já
+        // existente exige essa porta estreita e nomeada, nunca um UPDATE genérico.
+        await tx `SELECT set_user_password(${reset.user_id}, ${hashPassword(newPassword)}, false)`;
         await tx `UPDATE password_reset SET used_at = now() WHERE id = ${reset.id}`;
         // Revoga sessões anteriores (uso único de fato).
         await tx `UPDATE user_session SET revoked_at = now() WHERE user_id = ${reset.user_id} AND revoked_at IS NULL`;
+        if (reset.purpose === 'activation' && reset.tenant_id) {
+            await tx `UPDATE "user" SET status = 'active' WHERE id = ${reset.user_id} AND status = 'invited'`;
+            await tx `select set_config('app.current_tenant', ${reset.tenant_id}, true)`;
+            await tx `select set_config('app.current_user', ${reset.user_id}, true)`;
+            await tx `
+        UPDATE membership SET status = 'active', updated_at = now()
+        WHERE user_id = ${reset.user_id} AND tenant_id = ${reset.tenant_id} AND status = 'invited'
+      `;
+            await appendAudit(tx, {
+                actorId: reset.user_id,
+                action: 'activation_completed',
+                resourceType: 'user',
+                resourceId: reset.user_id,
+            });
+        }
+        else {
+            await auditWithinResolvedTenant(tx, reset.user_id, {
+                action: 'password_reset_completed',
+                resourceType: 'user',
+                resourceId: reset.user_id,
+            });
+        }
     });
     return true;
 }
+/**
+ * Auditoria best-effort para ações globais (login ainda não escolheu tenant,
+ * ou nem há sessão). Só grava se o usuário tiver exatamente uma membership
+ * ativa resolvível — mesmo critério de auto-seleção usado em `login()`. Sem
+ * isso, a ação simplesmente não é auditada (não há tenant_id para a RLS de
+ * `audit_log` aceitar a linha) — comportamento documentado, não um bug.
+ */
+async function auditBestEffort(db, userId, entry) {
+    const memberships = await db `
+    SELECT tenant_id FROM membership WHERE user_id = ${userId} AND status = 'active' AND deleted_at IS NULL
+  `;
+    if (memberships.length !== 1)
+        return;
+    await withContext(db, { tenantId: memberships[0].tenant_id, userId }, (tx) => appendAudit(tx, { ...entry, actorId: userId }));
+}
+async function auditWithinResolvedTenant(tx, userId, entry) {
+    const memberships = await tx `
+    SELECT tenant_id FROM membership WHERE user_id = ${userId} AND status = 'active' AND deleted_at IS NULL
+  `;
+    if (memberships.length !== 1)
+        return;
+    await tx `select set_config('app.current_tenant', ${memberships[0].tenant_id}, true)`;
+    await tx `select set_config('app.current_user', ${userId}, true)`;
+    await appendAudit(tx, { ...entry, actorId: userId });
+}
 //# sourceMappingURL=password-reset.js.map

package/dist/auth/password-reset.js.map

@@ -1 +1 @@
-{"version":3,"file":"password-reset.js","sourceRoot":"","sources":["../../src/auth/password-reset.ts"],"names":[],"mappings":"AAAA,OAAO,EAAE,MAAM,EAAE,MAAM,eAAe,CAAC;AAEvC,OAAO,EAAE,YAAY,EAAE,MAAM,eAAe,CAAC;AAC7C,OAAO,EAAE,oBAAoB,EAAE,SAAS,EAAE,MAAM,oBAAoB,CAAC;AAErE,MAAM,YAAY,GAAG,EAAE,GAAG,EAAE,GAAG,IAAI,CAAC,CAAC,KAAK;AAK1C,MAAM,UAAU,GAAU,EAAE,GAAG,EAAE,GAAG,EAAE,CAAC,IAAI,CAAC,GAAG,EAAE,EAAE,CAAC;AAEpD;;;;GAIG;AACH,MAAM,CAAC,KAAK,UAAU,oBAAoB,CACxC,EAAM,EACN,KAAa,EACb,QAAe,UAAU;IAEzB,MAAM,KAAK,GAAG,MAAM,EAAE,CAAkC;kDACR,KAAK;GACpD,CAAC;IACF,MAAM,IAAI,GAAG,KAAK,CAAC,CAAC,CAAC,CAAC;IACtB,IAAI,CAAC,IAAI,IAAI,IAAI,CAAC,MAAM,KAAK,UAAU;QAAE,OAAO,IAAI,CAAC;IAErD,MAAM,EAAE,KAAK,EAAE,SAAS,EAAE,GAAG,oBAAoB,EAAE,CAAC;IACpD,MAAM,GAAG,GAAG,KAAK,CAAC,GAAG,EAAE,CAAC;IACxB,MAAM,EAAE,CAAA;;cAEI,MAAM,EAAE,KAAK,IAAI,CAAC,EAAE,KAAK,SAAS,KAAK,IAAI,IAAI,CAAC,GAAG,GAAG,YAAY,CAAC;GAC9E,CAAC;IACF,OAAO,EAAE,KAAK,EAAE,MAAM,EAAE,IAAI,CAAC,EAAE,EAAE,CAAC;AACpC,CAAC;AAED;;;GAGG;AACH,MAAM,CAAC,KAAK,UAAU,aAAa,CACjC,EAAM,EACN,KAAa,EACb,WAAmB,EACnB,QAAe,UAAU;IAEzB,IAAI,WAAW,CAAC,MAAM,GAAG,CAAC;QAAE,OAAO,KAAK,CAAC;IACzC,MAAM,EAAE,GAAG,SAAS,CAAC,KAAK,CAAC,CAAC;IAC5B,MAAM,IAAI,GAAG,MAAM,EAAE,CAAmC;;yBAEjC,EAAE,yCAAyC,IAAI,IAAI,CAAC,KAAK,CAAC,GAAG,EAAE,CAAC;GACtF,CAAC;IACF,MAAM,KAAK,GAAG,IAAI,CAAC,CAAC,CAAC,CAAC;IACtB,IAAI,CAAC,KAAK;QAAE,OAAO,KAAK,CAAC;IAEzB,MAAM,EAAE,CAAC,KAAK,CAAC,KAAK,EAAE,EAAE,EAAE,EAAE;QAC1B,MAAM,EAAE,CAAA;;gBAEI,KAAK,CAAC,OAAO,KAAK,YAAY,CAAC,WAAW,CAAC;;;KAGtD,CAAC;QACF,MAAM,EAAE,CAAA,wDAAwD,KAAK,CAAC,EAAE,EAAE,CAAC;QAC3E,iDAAiD;QACjD,MAAM,EAAE,CAAA,8DAA8D,KAAK,CAAC,OAAO,yBAAyB,CAAC;IAC/G,CAAC,CAAC,CAAC;IACH,OAAO,IAAI,CAAC;AACd,CAAC"}
+{"version":3,"file":"password-reset.js","sourceRoot":"","sources":["../../src/auth/password-reset.ts"],"names":[],"mappings":"AAAA,OAAO,EAAE,MAAM,EAAE,MAAM,eAAe,CAAC;AAEvC,OAAO,EAAE,WAAW,EAAE,MAAM,kBAAkB,CAAC;AAC/C,OAAO,EAAE,WAAW,EAAE,MAAM,mBAAmB,CAAC;AAChD,OAAO,EAAE,YAAY,EAAE,MAAM,eAAe,CAAC;AAC7C,OAAO,EAAE,oBAAoB,EAAE,SAAS,EAAE,MAAM,oBAAoB,CAAC;AAErE;;;;;;;;;;;;GAYG;AACH,MAAM,YAAY,GAAG,EAAE,GAAG,EAAE,GAAG,EAAE,GAAG,IAAI,CAAC;AACzC,MAAM,iBAAiB,GAAG,CAAC,GAAG,EAAE,GAAG,EAAE,GAAG,EAAE,GAAG,IAAI,CAAC,CAAC,sDAAsD;AAKzG,MAAM,UAAU,GAAU,EAAE,GAAG,EAAE,GAAG,EAAE,CAAC,IAAI,CAAC,GAAG,EAAE,EAAE,CAAC;AAEpD;;;;GAIG;AACH,MAAM,CAAC,KAAK,UAAU,oBAAoB,CACxC,EAAM,EACN,KAAa,EACb,QAAe,UAAU;IAEzB,MAAM,KAAK,GAAG,MAAM,EAAE,CAAkC;kDACR,KAAK;GACpD,CAAC;IACF,MAAM,IAAI,GAAG,KAAK,CAAC,CAAC,CAAC,CAAC;IACtB,IAAI,CAAC,IAAI,IAAI,IAAI,CAAC,MAAM,KAAK,UAAU;QAAE,OAAO,IAAI,CAAC;IAErD,MAAM,EAAE,KAAK,EAAE,SAAS,EAAE,GAAG,oBAAoB,EAAE,CAAC;IACpD,MAAM,GAAG,GAAG,KAAK,CAAC,GAAG,EAAE,CAAC;IACxB,MAAM,EAAE,CAAA;;cAEI,MAAM,EAAE,KAAK,IAAI,CAAC,EAAE,KAAK,SAAS,cAAc,IAAI,IAAI,CAAC,GAAG,GAAG,YAAY,CAAC;GACvF,CAAC;IACF,MAAM,eAAe,CAAC,EAAE,EAAE,IAAI,CAAC,EAAE,EAAE;QACjC,MAAM,EAAE,0BAA0B;QAClC,YAAY,EAAE,MAAM;QACpB,UAAU,EAAE,IAAI,CAAC,EAAE;KACpB,CAAC,CAAC;IACH,OAAO,EAAE,KAAK,EAAE,MAAM,EAAE,IAAI,CAAC,EAAE,EAAE,CAAC;AACpC,CAAC;AAED;;;;;;;GAOG;AACH,MAAM,CAAC,KAAK,UAAU,qBAAqB,CACzC,EAAa,EACb,KAA2C,EAC3C,QAAe,UAAU;IAEzB,MAAM,EAAE,KAAK,EAAE,SAAS,EAAE,GAAG,oBAAoB,EAAE,CAAC;IACpD,MAAM,GAAG,GAAG,KAAK,CAAC,GAAG,EAAE,CAAC;IAExB,4EAA4E;IAC5E,0EAA0E;IAC1E,2EAA2E;IAC3E,qEAAqE;IACrE,MAAM,EAAE,CAAA;;uBAEa,KAAK,CAAC,MAAM;GAChC,CAAC;IAEF,MAAM,EAAE,CAAA;;cAEI,MAAM,EAAE,KAAK,KAAK,CAAC,MAAM,KAAK,SAAS,mBAAmB,KAAK,CAAC,QAAQ,KAAK,IAAI,IAAI,CAAC,GAAG,GAAG,iBAAiB,CAAC;GACzH,CAAC;IACF,OAAO,EAAE,KAAK,EAAE,CAAC;AACnB,CAAC;AAED;;;;;GAKG;AACH;;;;;;;;;;;GAWG;AACH,MAAM,CAAC,KAAK,UAAU,iBAAiB,CACrC,EAAa,EACb,KAAa,EACb,QAAe,UAAU;IAEzB,MAAM,IAAI,GAAG,MAAM,EAAE,CAAkB;;0BAEf,SAAS,CAAC,KAAK,CAAC;;0BAEhB,IAAI,IAAI,CAAC,KAAK,CAAC,GAAG,EAAE,CAAC;;GAE5C,CAAC;IACF,OAAO,IAAI,CAAC,MAAM,GAAG,CAAC,CAAC;AACzB,CAAC;AAED,MAAM,CAAC,KAAK,UAAU,aAAa,CACjC,EAAM,EACN,KAAa,EACb,WAAmB,EACnB,QAAe,UAAU;IAEzB,IAAI,WAAW,CAAC,MAAM,GAAG,CAAC;QAAE,OAAO,KAAK,CAAC;IACzC,MAAM,EAAE,GAAG,SAAS,CAAC,KAAK,CAAC,CAAC;IAC5B,MAAM,IAAI,GAAG,MAAM,EAAE,CAEpB;;yBAEsB,EAAE,yCAAyC,IAAI,IAAI,CAAC,KAAK,CAAC,GAAG,EAAE,CAAC;GACtF,CAAC;IACF,MAAM,KAAK,GAAG,IAAI,CAAC,CAAC,CAAC,CAAC;IACtB,IAAI,CAAC,KAAK,EAAE,CAAC;QACX,0EAA0E;QAC1E,qEAAqE;QACrE,MAAM,KAAK,GAAG,MAAM,EAAE,CAAuB;8DACa,EAAE;KAC3D,CAAC;QACF,IAAI,KAAK,CAAC,CAAC,CAAC,EAAE,CAAC;YACb,MAAM,eAAe,CAAC,EAAE,EAAE,KAAK,CAAC,CAAC,CAAC,CAAC,OAAO,EAAE;gBAC1C,MAAM,EAAE,uBAAuB;gBAC/B,YAAY,EAAE,MAAM;gBACpB,UAAU,EAAE,KAAK,CAAC,CAAC,CAAC,CAAC,OAAO;aAC7B,CAAC,CAAC;QACL,CAAC;QACD,OAAO,KAAK,CAAC;IACf,CAAC;IAED,MAAM,EAAE,CAAC,KAAK,CAAC,KAAK,EAAE,EAAE,EAAE,EAAE;QAC1B,2EAA2E;QAC3E,wEAAwE;QACxE,2EAA2E;QAC3E,MAAM,EAAE,CAAA,4BAA4B,KAAK,CAAC,OAAO,KAAK,YAAY,CAAC,WAAW,CAAC,UAAU,CAAC;QAC1F,MAAM,EAAE,CAAA,wDAAwD,KAAK,CAAC,EAAE,EAAE,CAAC;QAC3E,iDAAiD;QACjD,MAAM,EAAE,CAAA,8DAA8D,KAAK,CAAC,OAAO,yBAAyB,CAAC;QAE7G,IAAI,KAAK,CAAC,OAAO,KAAK,YAAY,IAAI,KAAK,CAAC,SAAS,EAAE,CAAC;YACtD,MAAM,EAAE,CAAA,kDAAkD,KAAK,CAAC,OAAO,yBAAyB,CAAC;YACjG,MAAM,EAAE,CAAA,2CAA2C,KAAK,CAAC,SAAS,SAAS,CAAC;YAC5E,MAAM,EAAE,CAAA,yCAAyC,KAAK,CAAC,OAAO,SAAS,CAAC;YACxE,MAAM,EAAE,CAAA;;0BAEY,KAAK,CAAC,OAAO,oBAAoB,KAAK,CAAC,SAAS;OACnE,CAAC;YACF,MAAM,WAAW,CAAC,EAAE,EAAE;gBACpB,OAAO,EAAE,KAAK,CAAC,OAAO;gBACtB,MAAM,EAAE,sBAAsB;gBAC9B,YAAY,EAAE,MAAM;gBACpB,UAAU,EAAE,KAAK,CAAC,OAAO;aAC1B,CAAC,CAAC;QACL,CAAC;aAAM,CAAC;YACN,MAAM,yBAAyB,CAAC,EAAE,EAAE,KAAK,CAAC,OAAO,EAAE;gBACjD,MAAM,EAAE,0BAA0B;gBAClC,YAAY,EAAE,MAAM;gBACpB,UAAU,EAAE,KAAK,CAAC,OAAO;aAC1B,CAAC,CAAC;QACL,CAAC;IACH,CAAC,CAAC,CAAC;IACH,OAAO,IAAI,CAAC;AACd,CAAC;AAED;;;;;;GAMG;AACH,KAAK,UAAU,eAAe,CAC5B,EAAM,EACN,MAAc,EACd,KAAyD;IAEzD,MAAM,WAAW,GAAG,MAAM,EAAE,CAAyB;uDACA,MAAM;GAC1D,CAAC;IACF,IAAI,WAAW,CAAC,MAAM,KAAK,CAAC;QAAE,OAAO;IACrC,MAAM,WAAW,CAAC,EAAE,EAAE,EAAE,QAAQ,EAAE,WAAW,CAAC,CAAC,CAAE,CAAC,SAAS,EAAE,MAAM,EAAE,EAAE,CAAC,EAAE,EAAE,EAAE,CAC5E,WAAW,CAAC,EAAE,EAAE,EAAE,GAAG,KAAK,EAAE,OAAO,EAAE,MAAM,EAAE,CAAC,CAC/C,CAAC;AACJ,CAAC;AAED,KAAK,UAAU,yBAAyB,CACtC,EAAM,EACN,MAAc,EACd,KAAyD;IAEzD,MAAM,WAAW,GAAG,MAAM,EAAE,CAAyB;uDACA,MAAM;GAC1D,CAAC;IACF,IAAI,WAAW,CAAC,MAAM,KAAK,CAAC;QAAE,OAAO;IACrC,MAAM,EAAE,CAAA,2CAA2C,WAAW,CAAC,CAAC,CAAE,CAAC,SAAS,SAAS,CAAC;IACtF,MAAM,EAAE,CAAA,yCAAyC,MAAM,SAAS,CAAC;IACjE,MAAM,WAAW,CAAC,EAAE,EAAE,EAAE,GAAG,KAAK,EAAE,OAAO,EAAE,MAAM,EAAE,CAAC,CAAC;AACvD,CAAC"}

package/dist/auth/service.d.ts

@@ -20,6 +20,8 @@ export interface LoginResult {
     memberships: MembershipView[];
     /** Preenchido quando o usuário tem exatamente um tenant (auto-seleção). */
     activeTenantId: string | null;
+    /** Senha provisória/de convite — a UI deve forçar a troca antes de liberar o resto. */
+    mustChangePassword: boolean;
 }
 /** Contexto autenticado e já resolvido a um tenant (o que a API injeta por request). */
 export interface AuthContext {
@@ -29,17 +31,39 @@ export interface AuthContext {
     permissions: Set<string>;
     /** Para usuários de portal: o client ao qual estão restritos (row-scope). */
     clientId?: string;
+    /** Quando true, `makeAuthGuard` bloqueia toda rota que não seja isenta explicitamente. */
+    mustChangePassword: boolean;
 }
 interface Nower {
     now(): number;
 }
-/** Cria (ou atualiza) um usuário staff com senha local. Usado pelo seed. */
+/**
+ * Cria (ou atualiza) um usuário staff com senha local. Usado pelos seeds.
+ *
+ * **A senha de um usuário que já existe é preservada por padrão.** Um seed de
+ * inicialização é, por natureza, algo que pode rodar de novo — em um deploy, em
+ * uma reconstrução de ambiente, na mão de alguém investigando. Se ele redefinir
+ * a senha em silêncio, quem administra o ambiente perde o acesso sem receber
+ * erro nenhum, e a causa é invisível: o seed "funcionou".
+ *
+ * Foi exatamente essa a armadilha encontrada em 2026-08-12, quando o
+ * `SEED_ADMIN_PASSWORD` do serviço divergiu do valor guardado no cofre. Rodar
+ * `db:seed` com o ambiente errado teria trocado a senha do administrador sem
+ * um aviso sequer.
+ *
+ * Para redefinir deliberadamente, passe `overwritePassword: true` — o nome
+ * torna a intenção explícita em quem chama, que é onde ela deve estar.
+ */
 export declare function upsertUserWithPassword(db: Db, input: {
     email: string;
     fullName: string;
     password: string;
     userType?: UserType;
-}): Promise<AuthUser>;
+    /** Redefine a senha de um usuário já existente. Default: `false`. */
+    overwritePassword?: boolean;
+}): Promise<AuthUser & {
+    passwordWasSet: boolean;
+}>;
 /** Login com e-mail/senha. Emite sessão; auto-seleciona tenant se houver só um. */
 export declare function login(db: Db, input: {
     email: string;
@@ -55,6 +79,27 @@ export declare function selectTenant(db: Db, input: {
 /**
  * Resolve uma sessão ativa em contexto autenticado (o que o middleware da API
  * chama por request). Exige tenant ativo já selecionado.
+ *
+ * ## Por que a membership é reconferida a cada requisição
+ *
+ * `selectTenant` conferia a membership; `authenticate` não. Quem já estava
+ * dentro continuava dentro: revogar o acesso de alguém fechava a porta e não
+ * tirava ninguém da sala.
+ *
+ * Medido em 2026-09-06, contra o stack local, com o token de uma sessão já
+ * amarrada ao tenant:
+ *
+ *     POST /v1/auth/select-tenant  -> 403  (a revogação valia)
+ *     GET  /v1/clients             -> 200  (e não valia)
+ *
+ * Em produção havia três sessões nessa condição, de uma conta revogada às 13:00
+ * do mesmo dia, com validade até as 21:56. Para o escritório o efeito é direto:
+ * revogar o acesso de quem sai da equipe só surtiria efeito quando a sessão
+ * dele expirasse — até doze horas depois.
+ *
+ * A conferência custa um JOIN na consulta que já existe: nenhuma ida a mais ao
+ * banco. E é fail-closed — sem membership ativa, 403, independentemente do que
+ * o `user_role` ainda diga.
  */
 export declare function authenticate(db: Db, token: string, clock?: Nower): Promise<AuthContext>;
 /** Memberships da sessão atual (para o seletor de tenant, antes de escolher um). */
@@ -66,5 +111,18 @@ export declare function sessionProducts(db: Db, token: string): Promise<{
 }>;
 /** Revoga a sessão (logout). */
 export declare function logout(db: Db, token: string): Promise<void>;
+/**
+ * Troca de senha em sessão autenticada (exige a senha atual — distinto do
+ * fluxo de token de `resetPassword`). Cobre tanto a troca voluntária quanto a
+ * troca obrigatória de `must_change_password`; a sessão corrente permanece
+ * válida (não é o cenário de "conta pode estar comprometida" do reset).
+ */
+export declare function changePassword(db: Db, auth: {
+    userId: string;
+    tenantId: string;
+}, input: {
+    currentPassword: string;
+    newPassword: string;
+} & AuditContext): Promise<void>;
 export {};
 //# sourceMappingURL=service.d.ts.map

package/dist/auth/service.d.ts.map

@@ -1 +1 @@
-{"version":3,"file":"service.d.ts","sourceRoot":"","sources":["../../src/auth/service.ts"],"names":[],"mappings":"AAAA,OAAO,EAA6C,KAAK,QAAQ,EAAE,MAAM,eAAe,CAAC;AACzF,OAAO,KAAK,EAAE,YAAY,EAAE,MAAM,eAAe,CAAC;AAClD,OAAO,KAAK,EAAE,EAAE,EAAE,MAAM,iBAAiB,CAAC;AAK1C,OAAO,EAAuB,KAAK,aAAa,EAAE,MAAM,2BAA2B,CAAC;AAMpF,MAAM,WAAW,QAAQ;IACvB,EAAE,EAAE,MAAM,CAAC;IACX,KAAK,EAAE,MAAM,CAAC;IACd,QAAQ,EAAE,MAAM,CAAC;IACjB,QAAQ,EAAE,QAAQ,CAAC;CACpB;AAED,MAAM,WAAW,cAAc;IAC7B,QAAQ,EAAE,MAAM,CAAC;IACjB,UAAU,EAAE,MAAM,CAAC;IACnB,UAAU,EAAE,MAAM,CAAC;IACnB,MAAM,EAAE,MAAM,CAAC;CAChB;AAED,MAAM,WAAW,WAAW;IAC1B,KAAK,EAAE,MAAM,CAAC;IACd,IAAI,EAAE,QAAQ,CAAC;IACf,WAAW,EAAE,cAAc,EAAE,CAAC;IAC9B,2EAA2E;IAC3E,cAAc,EAAE,MAAM,GAAG,IAAI,CAAC;CAC/B;AAED,wFAAwF;AACxF,MAAM,WAAW,WAAW;IAC1B,MAAM,EAAE,MAAM,CAAC;IACf,QAAQ,EAAE,QAAQ,CAAC;IACnB,QAAQ,EAAE,MAAM,CAAC;IACjB,WAAW,EAAE,GAAG,CAAC,MAAM,CAAC,CAAC;IACzB,6EAA6E;IAC7E,QAAQ,CAAC,EAAE,MAAM,CAAC;CACnB;AAED,UAAU,KAAK;IACb,GAAG,IAAI,MAAM,CAAC;CACf;AAGD,4EAA4E;AAC5E,wBAAsB,sBAAsB,CAC1C,EAAE,EAAE,EAAE,EACN,KAAK,EAAE;IAAE,KAAK,EAAE,MAAM,CAAC;IAAC,QAAQ,EAAE,MAAM,CAAC;IAAC,QAAQ,EAAE,MAAM,CAAC;IAAC,QAAQ,CAAC,EAAE,QAAQ,CAAA;CAAE,GAChF,OAAO,CAAC,QAAQ,CAAC,CAoBnB;AAED,mFAAmF;AACnF,wBAAsB,KAAK,CACzB,EAAE,EAAE,EAAE,EACN,KAAK,EAAE;IAAE,KAAK,EAAE,MAAM,CAAC;IAAC,QAAQ,EAAE,MAAM,CAAA;CAAE,GAAG,YAAY,EACzD,KAAK,GAAE,KAAkB,GACxB,OAAO,CAAC,WAAW,CAAC,CAkDtB;AAED,qFAAqF;AACrF,wBAAsB,eAAe,CAAC,EAAE,EAAE,EAAE,EAAE,MAAM,EAAE,MAAM,GAAG,OAAO,CAAC,cAAc,EAAE,CAAC,CAkBvF;AAED,0EAA0E;AAC1E,wBAAsB,YAAY,CAChC,EAAE,EAAE,EAAE,EACN,KAAK,EAAE;IAAE,KAAK,EAAE,MAAM,CAAC;IAAC,QAAQ,EAAE,MAAM,CAAA;CAAE,GAAG,YAAY,GACxD,OAAO,CAAC,WAAW,CAAC,CA2BtB;AAED;;;GAGG;AACH,wBAAsB,YAAY,CAChC,EAAE,EAAE,EAAE,EACN,KAAK,EAAE,MAAM,EACb,KAAK,GAAE,KAAkB,GACxB,OAAO,CAAC,WAAW,CAAC,CAmBtB;AA2BD,oFAAoF;AACpF,wBAAsB,kBAAkB,CAAC,EAAE,EAAE,EAAE,EAAE,KAAK,EAAE,MAAM,GAAG,OAAO,CAAC,cAAc,EAAE,CAAC,CAGzF;AAED,wFAAwF;AACxF,wBAAsB,eAAe,CACnC,EAAE,EAAE,EAAE,EACN,KAAK,EAAE,MAAM,GACZ,OAAO,CAAC;IAAE,QAAQ,EAAE,QAAQ,CAAC;IAAC,QAAQ,EAAE,aAAa,EAAE,CAAA;CAAE,CAAC,CAM5D;AAED,gCAAgC;AAChC,wBAAsB,MAAM,CAAC,EAAE,EAAE,EAAE,EAAE,KAAK,EAAE,MAAM,GAAG,OAAO,CAAC,IAAI,CAAC,CAEjE"}
+{"version":3,"file":"service.d.ts","sourceRoot":"","sources":["../../src/auth/service.ts"],"names":[],"mappings":"AAAA,OAAO,EAKL,KAAK,QAAQ,EACd,MAAM,eAAe,CAAC;AACvB,OAAO,KAAK,EAAE,YAAY,EAAE,MAAM,eAAe,CAAC;AAClD,OAAO,KAAK,EAAE,EAAE,EAAE,MAAM,iBAAiB,CAAC;AAK1C,OAAO,EAAuB,KAAK,aAAa,EAAE,MAAM,2BAA2B,CAAC;AAMpF,MAAM,WAAW,QAAQ;IACvB,EAAE,EAAE,MAAM,CAAC;IACX,KAAK,EAAE,MAAM,CAAC;IACd,QAAQ,EAAE,MAAM,CAAC;IACjB,QAAQ,EAAE,QAAQ,CAAC;CACpB;AAED,MAAM,WAAW,cAAc;IAC7B,QAAQ,EAAE,MAAM,CAAC;IACjB,UAAU,EAAE,MAAM,CAAC;IACnB,UAAU,EAAE,MAAM,CAAC;IACnB,MAAM,EAAE,MAAM,CAAC;CAChB;AAED,MAAM,WAAW,WAAW;IAC1B,KAAK,EAAE,MAAM,CAAC;IACd,IAAI,EAAE,QAAQ,CAAC;IACf,WAAW,EAAE,cAAc,EAAE,CAAC;IAC9B,2EAA2E;IAC3E,cAAc,EAAE,MAAM,GAAG,IAAI,CAAC;IAC9B,uFAAuF;IACvF,kBAAkB,EAAE,OAAO,CAAC;CAC7B;AAED,wFAAwF;AACxF,MAAM,WAAW,WAAW;IAC1B,MAAM,EAAE,MAAM,CAAC;IACf,QAAQ,EAAE,QAAQ,CAAC;IACnB,QAAQ,EAAE,MAAM,CAAC;IACjB,WAAW,EAAE,GAAG,CAAC,MAAM,CAAC,CAAC;IACzB,6EAA6E;IAC7E,QAAQ,CAAC,EAAE,MAAM,CAAC;IAClB,0FAA0F;IAC1F,kBAAkB,EAAE,OAAO,CAAC;CAC7B;AAED,UAAU,KAAK;IACb,GAAG,IAAI,MAAM,CAAC;CACf;AAGD;;;;;;;;;;;;;;;;GAgBG;AACH,wBAAsB,sBAAsB,CAC1C,EAAE,EAAE,EAAE,EACN,KAAK,EAAE;IACL,KAAK,EAAE,MAAM,CAAC;IACd,QAAQ,EAAE,MAAM,CAAC;IACjB,QAAQ,EAAE,MAAM,CAAC;IACjB,QAAQ,CAAC,EAAE,QAAQ,CAAC;IACpB,qEAAqE;IACrE,iBAAiB,CAAC,EAAE,OAAO,CAAC;CAC7B,GACA,OAAO,CAAC,QAAQ,GAAG;IAAE,cAAc,EAAE,OAAO,CAAA;CAAE,CAAC,CAkCjD;AAED,mFAAmF;AACnF,wBAAsB,KAAK,CACzB,EAAE,EAAE,EAAE,EACN,KAAK,EAAE;IAAE,KAAK,EAAE,MAAM,CAAC;IAAC,QAAQ,EAAE,MAAM,CAAA;CAAE,GAAG,YAAY,EACzD,KAAK,GAAE,KAAkB,GACxB,OAAO,CAAC,WAAW,CAAC,CAoDtB;AAED,qFAAqF;AACrF,wBAAsB,eAAe,CAAC,EAAE,EAAE,EAAE,EAAE,MAAM,EAAE,MAAM,GAAG,OAAO,CAAC,cAAc,EAAE,CAAC,CAkBvF;AAED,0EAA0E;AAC1E,wBAAsB,YAAY,CAChC,EAAE,EAAE,EAAE,EACN,KAAK,EAAE;IAAE,KAAK,EAAE,MAAM,CAAC;IAAC,QAAQ,EAAE,MAAM,CAAA;CAAE,GAAG,YAAY,GACxD,OAAO,CAAC,WAAW,CAAC,CA4BtB;AAED;;;;;;;;;;;;;;;;;;;;;;;;GAwBG;AACH,wBAAsB,YAAY,CAChC,EAAE,EAAE,EAAE,EACN,KAAK,EAAE,MAAM,EACb,KAAK,GAAE,KAAkB,GACxB,OAAO,CAAC,WAAW,CAAC,CAiCtB;AA8BD,oFAAoF;AACpF,wBAAsB,kBAAkB,CAAC,EAAE,EAAE,EAAE,EAAE,KAAK,EAAE,MAAM,GAAG,OAAO,CAAC,cAAc,EAAE,CAAC,CAGzF;AAED,wFAAwF;AACxF,wBAAsB,eAAe,CACnC,EAAE,EAAE,EAAE,EACN,KAAK,EAAE,MAAM,GACZ,OAAO,CAAC;IAAE,QAAQ,EAAE,QAAQ,CAAC;IAAC,QAAQ,EAAE,aAAa,EAAE,CAAA;CAAE,CAAC,CAM5D;AAED,gCAAgC;AAChC,wBAAsB,MAAM,CAAC,EAAE,EAAE,EAAE,EAAE,KAAK,EAAE,MAAM,GAAG,OAAO,CAAC,IAAI,CAAC,CAEjE;AAED;;;;;GAKG;AACH,wBAAsB,cAAc,CAClC,EAAE,EAAE,EAAE,EACN,IAAI,EAAE;IAAE,MAAM,EAAE,MAAM,CAAC;IAAC,QAAQ,EAAE,MAAM,CAAA;CAAE,EAC1C,KAAK,EAAE;IAAE,eAAe,EAAE,MAAM,CAAC;IAAC,WAAW,EAAE,MAAM,CAAA;CAAE,GAAG,YAAY,GACrE,OAAO,CAAC,IAAI,CAAC,CAyBf"}