@baruk/core 0.3.1 → 0.5.0

package/dist/cjs/collection/branding.js

@@ -0,0 +1,330 @@
+"use strict";
+Object.defineProperty(exports, "__esModule", { value: true });
+exports.BRANDING_KEYS = exports.BrandingValidationError = void 0;
+exports.getTenantBranding = getTenantBranding;
+exports.senderFor = senderFor;
+exports.parseBrandingInput = parseBrandingInput;
+exports.updateTenantBranding = updateTenantBranding;
+const shared_1 = require("@baruk/shared");
+/**
+ * Padrão neutro do produto — deliberadamente SEM marca.
+ *
+ * Um tenant sem branding configurado não deve herdar a identidade de outro
+ * escritório nem a do Baruk: o cinza-azulado abaixo não pertence a marca
+ * nenhuma, e é o sinal visível de que falta configurar.
+ */
+const NEUTRAL_PRIMARY = '#2b3440';
+const NEUTRAL_ACCENT = '#4a5563';
+const NEUTRAL_BACKGROUND = '#eef1f4';
+const NEUTRAL_TEXT = '#2b3440';
+const NEUTRAL_MUTED = '#6b7684';
+/** Famílias que existem em qualquer cliente de e-mail — o fim de toda stack. */
+const UNIVERSAL_FALLBACK = `-apple-system,'Segoe UI',Helvetica,Arial,sans-serif`;
+/**
+ * Cor só entra se for hex válido.
+ *
+ * O valor vem de configuração editável e é interpolado dentro de um atributo
+ * `style` — aceitar texto livre deixaria o tenant injetar CSS, ou fechar o
+ * atributo e injetar markup, na mensagem que sai em nome dele.
+ */
+function safeColor(v, fallback) {
+    return typeof v === 'string' && /^#[0-9a-fA-F]{6}$/.test(v) ? v : fallback;
+}
+/** URL só entra se for https — evita `javascript:` e `data:` no `src`/`href`. */
+function safeUrl(v) {
+    if (typeof v !== 'string')
+        return null;
+    return /^https:\/\/[^\s"'<>]+$/i.test(v) ? v : null;
+}
+/**
+ * Logo só entra se for uma imagem que cliente de e-mail sabe desenhar.
+ *
+ * SVG é o formato em que os kits de marca vivem — e é justamente o que Gmail e
+ * Outlook não renderizam em e-mail. Aceitar o SVG produziria o pior resultado
+ * possível: um cabeçalho vazio, sem imagem e sem o nome que o fallback teria
+ * escrito. Rasterize antes; aqui, entra PNG ou JPG.
+ */
+function safeLogoUrl(v) {
+    const url = safeUrl(v);
+    if (!url)
+        return null;
+    const path = url.split(/[?#]/)[0] ?? '';
+    return /\.(png|jpe?g)$/i.test(path) ? url : null;
+}
+/**
+ * A stack de fontes vai para dentro de um atributo `style`.
+ *
+ * Aspas duplas, `;`, `{` e `}` deixariam o tenant fechar a declaração e escrever
+ * CSS próprio na mensagem que sai em nome dele. Sobram letras, dígitos, espaço,
+ * hífen, vírgula, ponto e aspa simples — o que um `font-family` legítimo usa.
+ */
+function safeFontFamily(v) {
+    if (typeof v !== 'string')
+        return UNIVERSAL_FALLBACK;
+    const t = v.trim().slice(0, 160);
+    if (!t || !/^[A-Za-z0-9 ,.'-]+$/.test(t))
+        return UNIVERSAL_FALLBACK;
+    // A queda universal é acrescentada sempre: uma stack que termina numa webfont
+    // vira Times New Roman no Outlook, e o e-mail perde a hierarquia inteira.
+    return `${t},${UNIVERSAL_FALLBACK}`;
+}
+function safeLogoKind(v) {
+    return v === 'lockup' ? 'lockup' : 'symbol';
+}
+function safeText(v, max = 160) {
+    if (typeof v !== 'string')
+        return null;
+    const t = v.trim().slice(0, max);
+    return t ? t : null;
+}
+async function getTenantBranding(tx) {
+    /*
+     * O tenant CORRENTE, e não "o primeiro que aparecer".
+     *
+     * A consulta era `SELECT display_name, settings FROM tenant LIMIT 1`, sem
+     * `WHERE`. Parecia segura porque toda leitura tenant-scoped deste produto
+     * passa por `withContext` — mas `tenant` é a tabela RAIZ e **não tem RLS**:
+     * ela é a fonte da própria fronteira, não uma linha protegida por ela. Sem
+     * `WHERE`, a política que protege todas as outras tabelas não protege esta, e
+     * o `LIMIT 1` devolve um escritório arbitrário.
+     *
+     * A consequência é a pior possível para uma régua de cobrança: o e-mail sai
+     * com o nome, a logomarca e as cores de OUTRO escritório. Nunca apareceu
+     * porque a base de produção tem um tenant operando — ou seja, o defeito estava
+     * esperando o segundo cliente.
+     *
+     * Sem contexto de tenant a consulta devolve zero linhas de propósito, e o
+     * branding cai no padrão NEUTRO — que não pertence a marca nenhuma. Um default
+     * que herda a marca do vizinho é o defeito, não o conserto.
+     */
+    const rows = await tx `
+    SELECT display_name, settings FROM tenant
+     WHERE id = NULLIF(current_setting('app.current_tenant', true), '')::uuid
+     LIMIT 1
+  `;
+    const row = rows[0];
+    const raw = (row?.settings?.branding ?? {});
+    const officeName = safeText(raw.officeName) ?? row?.display_name ?? 'Seu escritório contábil';
+    const primary = safeColor(raw.primaryColor, NEUTRAL_PRIMARY);
+    return {
+        officeName,
+        signatureName: safeText(raw.signatureName) ?? officeName,
+        tagline: safeText(raw.tagline, 120),
+        logoUrl: safeLogoUrl(raw.logoUrl),
+        logoKind: safeLogoKind(raw.logoKind),
+        primaryColor: primary,
+        // Secundária cai na primária: um tenant que configurou só uma cor fica
+        // coerente, em vez de ganhar um segundo tom que ninguém escolheu.
+        secondaryColor: safeColor(raw.secondaryColor, primary),
+        accentColor: safeColor(raw.accentColor, NEUTRAL_ACCENT),
+        backgroundColor: safeColor(raw.backgroundColor, NEUTRAL_BACKGROUND),
+        textColor: safeColor(raw.textColor, NEUTRAL_TEXT),
+        mutedColor: safeColor(raw.mutedColor, NEUTRAL_MUTED),
+        fontFamily: safeFontFamily(raw.fontFamily),
+        supportEmail: safeText(raw.supportEmail, 120),
+        supportPhone: safeText(raw.supportPhone, 40),
+        website: safeUrl(raw.website),
+        locale: 'pt-BR',
+    };
+}
+/**
+ * Remetente no formato `Nome <endereço>`.
+ *
+ * O endereço continua sendo o do domínio verificado no provider — trocá-lo
+ * quebraria a entrega. O que muda é o NOME exibido: as mensagens saíam como
+ * "Baruk Contábil" e assinavam "SC Organização Contábil", o que faz o cliente
+ * duvidar de quem está cobrando.
+ */
+function senderFor(branding, fallbackFrom) {
+    const address = /<([^>]+)>/.exec(fallbackFrom)?.[1] ?? fallbackFrom;
+    // Aspas e `<` no nome quebrariam o cabeçalho do e-mail.
+    const name = branding.officeName.replace(/["<>\\]/g, '').trim();
+    return name ? `${name} <${address}>` : fallbackFrom;
+}
+/**
+ * Erro de validação de marca.
+ *
+ * Estende `ValidationError` de propósito, em vez de ser um `Error` próprio: a
+ * borda HTTP já mapeia todo `AppError` para o status certo, e um erro fora
+ * dessa hierarquia sairia como 500 — culpando o servidor por um campo mal
+ * preenchido, e escondendo do formulário qual campo foi. O `field` viaja em
+ * `details` para a tela poder apontar a linha errada.
+ */
+class BrandingValidationError extends shared_1.ValidationError {
+    field;
+    constructor(field, message) {
+        super(message, { field });
+        this.field = field;
+    }
+}
+exports.BrandingValidationError = BrandingValidationError;
+function strictColor(field, v) {
+    if (typeof v !== 'string' || !/^#[0-9a-fA-F]{6}$/.test(v)) {
+        throw new BrandingValidationError(field, `${field}: use uma cor no formato #RRGGBB.`);
+    }
+    return v;
+}
+function strictText(field, v, max) {
+    if (typeof v !== 'string') {
+        throw new BrandingValidationError(field, `${field}: texto inválido.`);
+    }
+    const t = v.trim();
+    if (!t)
+        throw new BrandingValidationError(field, `${field}: não pode ficar em branco.`);
+    if (t.length > max) {
+        throw new BrandingValidationError(field, `${field}: máximo de ${max} caracteres.`);
+    }
+    return t;
+}
+function strictHttpsUrl(field, v) {
+    const t = typeof v === 'string' ? v.trim() : '';
+    if (!/^https:\/\/[^\s"'<>]+$/i.test(t)) {
+        throw new BrandingValidationError(field, `${field}: informe uma URL https válida.`);
+    }
+    return t;
+}
+function strictLogoUrl(v) {
+    const url = strictHttpsUrl('logoUrl', v);
+    const path = url.split(/[?#]/)[0] ?? '';
+    if (!/\.(png|jpe?g)$/i.test(path)) {
+        // A recusa é específica de propósito: SVG é o formato em que os kits de
+        // marca vivem, e é exatamente o que Gmail e Outlook não desenham. Aceitar
+        // produziria um cabeçalho vazio — sem imagem e sem o nome que o fallback
+        // teria escrito.
+        throw new BrandingValidationError('logoUrl', 'logoUrl: a logomarca precisa ser .png, .jpg ou .jpeg. SVG não é renderizado por clientes de e-mail — rasterize antes.');
+    }
+    return url;
+}
+function strictFontFamily(v) {
+    const t = strictText('fontFamily', v, 160);
+    if (!/^[A-Za-z0-9 ,.'-]+$/.test(t)) {
+        throw new BrandingValidationError('fontFamily', 'fontFamily: use apenas letras, dígitos, espaço, vírgula, ponto, hífen e aspa simples. A stack vai para dentro de um atributo style, e os demais caracteres permitiriam escrever CSS na mensagem.');
+    }
+    return t;
+}
+/** Campos de cor, para não repetir a lista em dois lugares. */
+const COLOR_FIELDS = [
+    'primaryColor',
+    'secondaryColor',
+    'accentColor',
+    'backgroundColor',
+    'textColor',
+    'mutedColor',
+];
+/**
+ * Valida a entrada e devolve o objeto a persistir em `tenant.settings.branding`.
+ *
+ * Só as chaves PRESENTES na entrada aparecem no resultado — quem manda três
+ * campos altera três campos. `null` vira ausência do campo no armazenado, que é
+ * como o leitor representa "não configurado".
+ */
+function parseBrandingInput(input) {
+    const out = {};
+    const set = (k, v) => {
+        if (v !== null)
+            out[k] = v;
+    };
+    if ('officeName' in input) {
+        set('officeName', input.officeName === null ? null : strictText('officeName', input.officeName, 160));
+    }
+    if ('signatureName' in input) {
+        set('signatureName', input.signatureName === null ? null : strictText('signatureName', input.signatureName, 160));
+    }
+    if ('tagline' in input) {
+        set('tagline', input.tagline === null ? null : strictText('tagline', input.tagline, 120));
+    }
+    if ('logoUrl' in input) {
+        set('logoUrl', input.logoUrl === null ? null : strictLogoUrl(input.logoUrl));
+    }
+    if ('logoKind' in input) {
+        if (input.logoKind === null)
+            set('logoKind', null);
+        else if (input.logoKind === 'symbol' || input.logoKind === 'lockup')
+            out.logoKind = input.logoKind;
+        else
+            throw new BrandingValidationError('logoKind', "logoKind: use 'symbol' ou 'lockup'.");
+    }
+    for (const field of COLOR_FIELDS) {
+        if (field in input) {
+            const v = input[field];
+            set(field, v === null ? null : strictColor(field, v));
+        }
+    }
+    if ('fontFamily' in input) {
+        set('fontFamily', input.fontFamily === null ? null : strictFontFamily(input.fontFamily));
+    }
+    if ('supportEmail' in input) {
+        if (input.supportEmail === null)
+            set('supportEmail', null);
+        else {
+            const t = strictText('supportEmail', input.supportEmail, 120);
+            if (!/^[^@\s]+@[^@\s]+\.[^@\s]+$/.test(t)) {
+                throw new BrandingValidationError('supportEmail', 'supportEmail: e-mail inválido.');
+            }
+            out.supportEmail = t;
+        }
+    }
+    if ('supportPhone' in input) {
+        set('supportPhone', input.supportPhone === null ? null : strictText('supportPhone', input.supportPhone, 40));
+    }
+    if ('website' in input) {
+        set('website', input.website === null ? null : strictHttpsUrl('website', input.website));
+    }
+    return out;
+}
+/**
+ * Chaves que a marca ocupa dentro de `tenant.settings.branding`. Serve para o
+ * `null` REMOVER a chave em vez de gravar um nulo que o leitor teria de
+ * distinguir de ausente.
+ */
+exports.BRANDING_KEYS = [
+    'officeName',
+    'signatureName',
+    'tagline',
+    'logoUrl',
+    'logoKind',
+    ...COLOR_FIELDS,
+    'fontFamily',
+    'supportEmail',
+    'supportPhone',
+    'website',
+];
+/**
+ * Grava a marca do tenant CORRENTE.
+ *
+ * Dois pontos que a implementação não pode perder de vista:
+ *
+ * 1. **`tenant` não tem RLS.** É a tabela raiz — a fonte da fronteira, não uma
+ *    linha protegida por ela. Por isso o `WHERE` amarra na GUC e a função NÃO
+ *    aceita `tenantId` por parâmetro: parâmetro é pedido do chamador, e pedido
+ *    do chamador não é fronteira. Sem contexto, zero linhas e erro.
+ *
+ * 2. **O merge acontece no banco, não na aplicação.** `settings` guarda mais
+ *    que a marca. Ler-modificar-escrever perderia a escrita concorrente de
+ *    outra chave; `jsonb ||` resolve dentro da própria instrução.
+ */
+async function updateTenantBranding(tx, input) {
+    const patch = parseBrandingInput(input);
+    const removals = Object.entries(input)
+        .filter(([k, v]) => v === null && exports.BRANDING_KEYS.includes(k))
+        .map(([k]) => k);
+    const rows = await tx `
+    UPDATE tenant
+       SET settings = jsonb_set(
+             settings,
+             '{branding}',
+             (COALESCE(settings -> 'branding', '{}'::jsonb) - ${removals}::text[])
+               || ${tx.json(patch)}::jsonb,
+             true
+           ),
+           updated_at = now()
+     WHERE id = NULLIF(current_setting('app.current_tenant', true), '')::uuid
+       AND deleted_at IS NULL
+    RETURNING id
+  `;
+    if (!rows[0]) {
+        throw new BrandingValidationError('tenant', 'Sem contexto de escritório: a marca não pode ser gravada.');
+    }
+    return getTenantBranding(tx);
+}
+//# sourceMappingURL=branding.js.map

package/dist/cjs/collection/branding.js.map

@@ -0,0 +1 @@
+{"version":3,"file":"branding.js","sourceRoot":"","sources":["../../../src/collection/branding.ts"],"names":[],"mappings":";;;AA4IA,8CAmDC;AAUD,8BAKC;AAmID,gDA2DC;AAkCD,oDA2BC;AAzcD,0CAAgD;AAkEhD;;;;;;GAMG;AACH,MAAM,eAAe,GAAG,SAAS,CAAC;AAClC,MAAM,cAAc,GAAG,SAAS,CAAC;AACjC,MAAM,kBAAkB,GAAG,SAAS,CAAC;AACrC,MAAM,YAAY,GAAG,SAAS,CAAC;AAC/B,MAAM,aAAa,GAAG,SAAS,CAAC;AAEhC,gFAAgF;AAChF,MAAM,kBAAkB,GAAG,qDAAqD,CAAC;AAEjF;;;;;;GAMG;AACH,SAAS,SAAS,CAAC,CAAU,EAAE,QAAgB;IAC7C,OAAO,OAAO,CAAC,KAAK,QAAQ,IAAI,mBAAmB,CAAC,IAAI,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,QAAQ,CAAC;AAC7E,CAAC;AAED,iFAAiF;AACjF,SAAS,OAAO,CAAC,CAAU;IACzB,IAAI,OAAO,CAAC,KAAK,QAAQ;QAAE,OAAO,IAAI,CAAC;IACvC,OAAO,yBAAyB,CAAC,IAAI,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,IAAI,CAAC;AACtD,CAAC;AAED;;;;;;;GAOG;AACH,SAAS,WAAW,CAAC,CAAU;IAC7B,MAAM,GAAG,GAAG,OAAO,CAAC,CAAC,CAAC,CAAC;IACvB,IAAI,CAAC,GAAG;QAAE,OAAO,IAAI,CAAC;IACtB,MAAM,IAAI,GAAG,GAAG,CAAC,KAAK,CAAC,MAAM,CAAC,CAAC,CAAC,CAAC,IAAI,EAAE,CAAC;IACxC,OAAO,iBAAiB,CAAC,IAAI,CAAC,IAAI,CAAC,CAAC,CAAC,CAAC,GAAG,CAAC,CAAC,CAAC,IAAI,CAAC;AACnD,CAAC;AAED;;;;;;GAMG;AACH,SAAS,cAAc,CAAC,CAAU;IAChC,IAAI,OAAO,CAAC,KAAK,QAAQ;QAAE,OAAO,kBAAkB,CAAC;IACrD,MAAM,CAAC,GAAG,CAAC,CAAC,IAAI,EAAE,CAAC,KAAK,CAAC,CAAC,EAAE,GAAG,CAAC,CAAC;IACjC,IAAI,CAAC,CAAC,IAAI,CAAC,qBAAqB,CAAC,IAAI,CAAC,CAAC,CAAC;QAAE,OAAO,kBAAkB,CAAC;IACpE,8EAA8E;IAC9E,0EAA0E;IAC1E,OAAO,GAAG,CAAC,IAAI,kBAAkB,EAAE,CAAC;AACtC,CAAC;AAED,SAAS,YAAY,CAAC,CAAU;IAC9B,OAAO,CAAC,KAAK,QAAQ,CAAC,CAAC,CAAC,QAAQ,CAAC,CAAC,CAAC,QAAQ,CAAC;AAC9C,CAAC;AAED,SAAS,QAAQ,CAAC,CAAU,EAAE,GAAG,GAAG,GAAG;IACrC,IAAI,OAAO,CAAC,KAAK,QAAQ;QAAE,OAAO,IAAI,CAAC;IACvC,MAAM,CAAC,GAAG,CAAC,CAAC,IAAI,EAAE,CAAC,KAAK,CAAC,CAAC,EAAE,GAAG,CAAC,CAAC;IACjC,OAAO,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,IAAI,CAAC;AACtB,CAAC;AAEM,KAAK,UAAU,iBAAiB,CAAC,EAAM;IAC5C;;;;;;;;;;;;;;;;;;OAkBG;IACH,MAAM,IAAI,GAAG,MAAM,EAAE,CAAsE;;;;GAI1F,CAAC;IACF,MAAM,GAAG,GAAG,IAAI,CAAC,CAAC,CAAC,CAAC;IACpB,MAAM,GAAG,GAAG,CAAC,GAAG,EAAE,QAAQ,EAAE,QAAQ,IAAI,EAAE,CAA4B,CAAC;IAEvE,MAAM,UAAU,GAAG,QAAQ,CAAC,GAAG,CAAC,UAAU,CAAC,IAAI,GAAG,EAAE,YAAY,IAAI,yBAAyB,CAAC;IAC9F,MAAM,OAAO,GAAG,SAAS,CAAC,GAAG,CAAC,YAAY,EAAE,eAAe,CAAC,CAAC;IAE7D,OAAO;QACL,UAAU;QACV,aAAa,EAAE,QAAQ,CAAC,GAAG,CAAC,aAAa,CAAC,IAAI,UAAU;QACxD,OAAO,EAAE,QAAQ,CAAC,GAAG,CAAC,OAAO,EAAE,GAAG,CAAC;QACnC,OAAO,EAAE,WAAW,CAAC,GAAG,CAAC,OAAO,CAAC;QACjC,QAAQ,EAAE,YAAY,CAAC,GAAG,CAAC,QAAQ,CAAC;QACpC,YAAY,EAAE,OAAO;QACrB,uEAAuE;QACvE,kEAAkE;QAClE,cAAc,EAAE,SAAS,CAAC,GAAG,CAAC,cAAc,EAAE,OAAO,CAAC;QACtD,WAAW,EAAE,SAAS,CAAC,GAAG,CAAC,WAAW,EAAE,cAAc,CAAC;QACvD,eAAe,EAAE,SAAS,CAAC,GAAG,CAAC,eAAe,EAAE,kBAAkB,CAAC;QACnE,SAAS,EAAE,SAAS,CAAC,GAAG,CAAC,SAAS,EAAE,YAAY,CAAC;QACjD,UAAU,EAAE,SAAS,CAAC,GAAG,CAAC,UAAU,EAAE,aAAa,CAAC;QACpD,UAAU,EAAE,cAAc,CAAC,GAAG,CAAC,UAAU,CAAC;QAC1C,YAAY,EAAE,QAAQ,CAAC,GAAG,CAAC,YAAY,EAAE,GAAG,CAAC;QAC7C,YAAY,EAAE,QAAQ,CAAC,GAAG,CAAC,YAAY,EAAE,EAAE,CAAC;QAC5C,OAAO,EAAE,OAAO,CAAC,GAAG,CAAC,OAAO,CAAC;QAC7B,MAAM,EAAE,OAAO;KAChB,CAAC;AACJ,CAAC;AAED;;;;;;;GAOG;AACH,SAAgB,SAAS,CAAC,QAAwB,EAAE,YAAoB;IACtE,MAAM,OAAO,GAAG,WAAW,CAAC,IAAI,CAAC,YAAY,CAAC,EAAE,CAAC,CAAC,CAAC,IAAI,YAAY,CAAC;IACpE,wDAAwD;IACxD,MAAM,IAAI,GAAG,QAAQ,CAAC,UAAU,CAAC,OAAO,CAAC,UAAU,EAAE,EAAE,CAAC,CAAC,IAAI,EAAE,CAAC;IAChE,OAAO,IAAI,CAAC,CAAC,CAAC,GAAG,IAAI,KAAK,OAAO,GAAG,CAAC,CAAC,CAAC,YAAY,CAAC;AACtD,CAAC;AA2CD;;;;;;;;GAQG;AACH,MAAa,uBAAwB,SAAQ,wBAAe;IACjD,KAAK,CAAS;IACvB,YAAY,KAAa,EAAE,OAAe;QACxC,KAAK,CAAC,OAAO,EAAE,EAAE,KAAK,EAAE,CAAC,CAAC;QAC1B,IAAI,CAAC,KAAK,GAAG,KAAK,CAAC;IACrB,CAAC;CACF;AAND,0DAMC;AAED,SAAS,WAAW,CAAC,KAAa,EAAE,CAAU;IAC5C,IAAI,OAAO,CAAC,KAAK,QAAQ,IAAI,CAAC,mBAAmB,CAAC,IAAI,CAAC,CAAC,CAAC,EAAE,CAAC;QAC1D,MAAM,IAAI,uBAAuB,CAAC,KAAK,EAAE,GAAG,KAAK,mCAAmC,CAAC,CAAC;IACxF,CAAC;IACD,OAAO,CAAC,CAAC;AACX,CAAC;AAED,SAAS,UAAU,CAAC,KAAa,EAAE,CAAU,EAAE,GAAW;IACxD,IAAI,OAAO,CAAC,KAAK,QAAQ,EAAE,CAAC;QAC1B,MAAM,IAAI,uBAAuB,CAAC,KAAK,EAAE,GAAG,KAAK,mBAAmB,CAAC,CAAC;IACxE,CAAC;IACD,MAAM,CAAC,GAAG,CAAC,CAAC,IAAI,EAAE,CAAC;IACnB,IAAI,CAAC,CAAC;QAAE,MAAM,IAAI,uBAAuB,CAAC,KAAK,EAAE,GAAG,KAAK,6BAA6B,CAAC,CAAC;IACxF,IAAI,CAAC,CAAC,MAAM,GAAG,GAAG,EAAE,CAAC;QACnB,MAAM,IAAI,uBAAuB,CAAC,KAAK,EAAE,GAAG,KAAK,eAAe,GAAG,cAAc,CAAC,CAAC;IACrF,CAAC;IACD,OAAO,CAAC,CAAC;AACX,CAAC;AAED,SAAS,cAAc,CAAC,KAAa,EAAE,CAAU;IAC/C,MAAM,CAAC,GAAG,OAAO,CAAC,KAAK,QAAQ,CAAC,CAAC,CAAC,CAAC,CAAC,IAAI,EAAE,CAAC,CAAC,CAAC,EAAE,CAAC;IAChD,IAAI,CAAC,yBAAyB,CAAC,IAAI,CAAC,CAAC,CAAC,EAAE,CAAC;QACvC,MAAM,IAAI,uBAAuB,CAAC,KAAK,EAAE,GAAG,KAAK,iCAAiC,CAAC,CAAC;IACtF,CAAC;IACD,OAAO,CAAC,CAAC;AACX,CAAC;AAED,SAAS,aAAa,CAAC,CAAU;IAC/B,MAAM,GAAG,GAAG,cAAc,CAAC,SAAS,EAAE,CAAC,CAAC,CAAC;IACzC,MAAM,IAAI,GAAG,GAAG,CAAC,KAAK,CAAC,MAAM,CAAC,CAAC,CAAC,CAAC,IAAI,EAAE,CAAC;IACxC,IAAI,CAAC,iBAAiB,CAAC,IAAI,CAAC,IAAI,CAAC,EAAE,CAAC;QAClC,wEAAwE;QACxE,0EAA0E;QAC1E,yEAAyE;QACzE,iBAAiB;QACjB,MAAM,IAAI,uBAAuB,CAC/B,SAAS,EACT,uHAAuH,CACxH,CAAC;IACJ,CAAC;IACD,OAAO,GAAG,CAAC;AACb,CAAC;AAED,SAAS,gBAAgB,CAAC,CAAU;IAClC,MAAM,CAAC,GAAG,UAAU,CAAC,YAAY,EAAE,CAAC,EAAE,GAAG,CAAC,CAAC;IAC3C,IAAI,CAAC,qBAAqB,CAAC,IAAI,CAAC,CAAC,CAAC,EAAE,CAAC;QACnC,MAAM,IAAI,uBAAuB,CAC/B,YAAY,EACZ,kMAAkM,CACnM,CAAC;IACJ,CAAC;IACD,OAAO,CAAC,CAAC;AACX,CAAC;AAED,+DAA+D;AAC/D,MAAM,YAAY,GAAG;IACnB,cAAc;IACd,gBAAgB;IAChB,aAAa;IACb,iBAAiB;IACjB,WAAW;IACX,YAAY;CACJ,CAAC;AAEX;;;;;;GAMG;AACH,SAAgB,kBAAkB,CAAC,KAAoB;IACrD,MAAM,GAAG,GAA4B,EAAE,CAAC;IACxC,MAAM,GAAG,GAAG,CAAC,CAAS,EAAE,CAAU,EAAQ,EAAE;QAC1C,IAAI,CAAC,KAAK,IAAI;YAAE,GAAG,CAAC,CAAC,CAAC,GAAG,CAAC,CAAC;IAC7B,CAAC,CAAC;IAEF,IAAI,YAAY,IAAI,KAAK,EAAE,CAAC;QAC1B,GAAG,CACD,YAAY,EACZ,KAAK,CAAC,UAAU,KAAK,IAAI,CAAC,CAAC,CAAC,IAAI,CAAC,CAAC,CAAC,UAAU,CAAC,YAAY,EAAE,KAAK,CAAC,UAAU,EAAE,GAAG,CAAC,CACnF,CAAC;IACJ,CAAC;IACD,IAAI,eAAe,IAAI,KAAK,EAAE,CAAC;QAC7B,GAAG,CACD,eAAe,EACf,KAAK,CAAC,aAAa,KAAK,IAAI,CAAC,CAAC,CAAC,IAAI,CAAC,CAAC,CAAC,UAAU,CAAC,eAAe,EAAE,KAAK,CAAC,aAAa,EAAE,GAAG,CAAC,CAC5F,CAAC;IACJ,CAAC;IACD,IAAI,SAAS,IAAI,KAAK,EAAE,CAAC;QACvB,GAAG,CAAC,SAAS,EAAE,KAAK,CAAC,OAAO,KAAK,IAAI,CAAC,CAAC,CAAC,IAAI,CAAC,CAAC,CAAC,UAAU,CAAC,SAAS,EAAE,KAAK,CAAC,OAAO,EAAE,GAAG,CAAC,CAAC,CAAC;IAC5F,CAAC;IACD,IAAI,SAAS,IAAI,KAAK,EAAE,CAAC;QACvB,GAAG,CAAC,SAAS,EAAE,KAAK,CAAC,OAAO,KAAK,IAAI,CAAC,CAAC,CAAC,IAAI,CAAC,CAAC,CAAC,aAAa,CAAC,KAAK,CAAC,OAAO,CAAC,CAAC,CAAC;IAC/E,CAAC;IACD,IAAI,UAAU,IAAI,KAAK,EAAE,CAAC;QACxB,IAAI,KAAK,CAAC,QAAQ,KAAK,IAAI;YAAE,GAAG,CAAC,UAAU,EAAE,IAAI,CAAC,CAAC;aAC9C,IAAI,KAAK,CAAC,QAAQ,KAAK,QAAQ,IAAI,KAAK,CAAC,QAAQ,KAAK,QAAQ;YACjE,GAAG,CAAC,QAAQ,GAAG,KAAK,CAAC,QAAQ,CAAC;;YAC3B,MAAM,IAAI,uBAAuB,CAAC,UAAU,EAAE,qCAAqC,CAAC,CAAC;IAC5F,CAAC;IACD,KAAK,MAAM,KAAK,IAAI,YAAY,EAAE,CAAC;QACjC,IAAI,KAAK,IAAI,KAAK,EAAE,CAAC;YACnB,MAAM,CAAC,GAAG,KAAK,CAAC,KAAK,CAAC,CAAC;YACvB,GAAG,CAAC,KAAK,EAAE,CAAC,KAAK,IAAI,CAAC,CAAC,CAAC,IAAI,CAAC,CAAC,CAAC,WAAW,CAAC,KAAK,EAAE,CAAC,CAAC,CAAC,CAAC;QACxD,CAAC;IACH,CAAC;IACD,IAAI,YAAY,IAAI,KAAK,EAAE,CAAC;QAC1B,GAAG,CAAC,YAAY,EAAE,KAAK,CAAC,UAAU,KAAK,IAAI,CAAC,CAAC,CAAC,IAAI,CAAC,CAAC,CAAC,gBAAgB,CAAC,KAAK,CAAC,UAAU,CAAC,CAAC,CAAC;IAC3F,CAAC;IACD,IAAI,cAAc,IAAI,KAAK,EAAE,CAAC;QAC5B,IAAI,KAAK,CAAC,YAAY,KAAK,IAAI;YAAE,GAAG,CAAC,cAAc,EAAE,IAAI,CAAC,CAAC;aACtD,CAAC;YACJ,MAAM,CAAC,GAAG,UAAU,CAAC,cAAc,EAAE,KAAK,CAAC,YAAY,EAAE,GAAG,CAAC,CAAC;YAC9D,IAAI,CAAC,4BAA4B,CAAC,IAAI,CAAC,CAAC,CAAC,EAAE,CAAC;gBAC1C,MAAM,IAAI,uBAAuB,CAAC,cAAc,EAAE,gCAAgC,CAAC,CAAC;YACtF,CAAC;YACD,GAAG,CAAC,YAAY,GAAG,CAAC,CAAC;QACvB,CAAC;IACH,CAAC;IACD,IAAI,cAAc,IAAI,KAAK,EAAE,CAAC;QAC5B,GAAG,CACD,cAAc,EACd,KAAK,CAAC,YAAY,KAAK,IAAI,CAAC,CAAC,CAAC,IAAI,CAAC,CAAC,CAAC,UAAU,CAAC,cAAc,EAAE,KAAK,CAAC,YAAY,EAAE,EAAE,CAAC,CACxF,CAAC;IACJ,CAAC;IACD,IAAI,SAAS,IAAI,KAAK,EAAE,CAAC;QACvB,GAAG,CAAC,SAAS,EAAE,KAAK,CAAC,OAAO,KAAK,IAAI,CAAC,CAAC,CAAC,IAAI,CAAC,CAAC,CAAC,cAAc,CAAC,SAAS,EAAE,KAAK,CAAC,OAAO,CAAC,CAAC,CAAC;IAC3F,CAAC;IACD,OAAO,GAAG,CAAC;AACb,CAAC;AAED;;;;GAIG;AACU,QAAA,aAAa,GAAsB;IAC9C,YAAY;IACZ,eAAe;IACf,SAAS;IACT,SAAS;IACT,UAAU;IACV,GAAG,YAAY;IACf,YAAY;IACZ,cAAc;IACd,cAAc;IACd,SAAS;CACV,CAAC;AAEF;;;;;;;;;;;;;GAaG;AACI,KAAK,UAAU,oBAAoB,CAAC,EAAM,EAAE,KAAoB;IACrE,MAAM,KAAK,GAAG,kBAAkB,CAAC,KAAK,CAAC,CAAC;IACxC,MAAM,QAAQ,GAAG,MAAM,CAAC,OAAO,CAAC,KAAK,CAAC;SACnC,MAAM,CAAC,CAAC,CAAC,CAAC,EAAE,CAAC,CAAC,EAAE,EAAE,CAAC,CAAC,KAAK,IAAI,IAAI,qBAAa,CAAC,QAAQ,CAAC,CAAC,CAAC,CAAC;SAC3D,GAAG,CAAC,CAAC,CAAC,CAAC,CAAC,EAAE,EAAE,CAAC,CAAC,CAAC,CAAC;IAEnB,MAAM,IAAI,GAAG,MAAM,EAAE,CAAkB;;;;;gEAKuB,QAAQ;oBACpD,EAAE,CAAC,IAAI,CAAC,KAAc,CAAC;;;;;;;GAOxC,CAAC;IACF,IAAI,CAAC,IAAI,CAAC,CAAC,CAAC,EAAE,CAAC;QACb,MAAM,IAAI,uBAAuB,CAC/B,QAAQ,EACR,2DAA2D,CAC5D,CAAC;IACJ,CAAC;IACD,OAAO,iBAAiB,CAAC,EAAE,CAAC,CAAC;AAC/B,CAAC"}

package/dist/cjs/collection/channel-accounts.js

@@ -0,0 +1,137 @@
+"use strict";
+/**
+ * Contas de canal do escritório, para o motor compartilhado.
+ *
+ * Moram em `tenant.settings.channels` (jsonb que já existia) — sem tabela nem
+ * migration, pela mesma razão que o branding mora lá: o Office resolve
+ * configuração de tenant por esse caminho, e um segundo mecanismo para a mesma
+ * coisa é uma divergência esperando acontecer.
+ *
+ * **Nenhum valor de credencial passa por aqui.** O que o tenant configura é o
+ * NOME lógico do segredo no cofre (`credentialRef`); quem resolve o valor é a
+ * borda do adapter, com o resolvedor que o processo injeta.
+ */
+Object.defineProperty(exports, "__esModule", { value: true });
+exports.createTenantChannelAccountStore = createTenantChannelAccountStore;
+exports.collectionSenderFallback = collectionSenderFallback;
+const communication_bridge_js_1 = require("./communication-bridge.js");
+const STATUSES = new Set(['not_configured', 'pending_validation', 'active', 'paused', 'error']);
+function text(v, max = 200) {
+    if (typeof v !== 'string')
+        return undefined;
+    const t = v.trim();
+    return t && t.length <= max ? t : undefined;
+}
+/**
+ * Metadados sem segredo, e a checagem é por ALLOWLIST de chave.
+ *
+ * Filtrar por "o que parece segredo" deixaria passar o que não parece — e o
+ * `meta` de um canal é jsonb editável por quem configura o tenant, então
+ * qualquer coisa pode ter sido colada ali. Só o que o adapter precisa entra.
+ */
+const META_ALLOWED = new Set(['phoneNumberId', 'wabaId', 'businessId', 'region']);
+function meta(v) {
+    if (typeof v !== 'object' || v === null)
+        return undefined;
+    const out = {};
+    for (const [k, raw] of Object.entries(v)) {
+        if (!META_ALLOWED.has(k))
+            continue;
+        const value = text(raw, 120);
+        if (value)
+            out[k] = value;
+    }
+    return Object.keys(out).length > 0 ? out : undefined;
+}
+/**
+ * Store de contas do tenant corrente.
+ *
+ * **A amarra é a GUC da sessão, não o parâmetro.**
+ *
+ * A versão anterior consultava `WHERE id = ctx.tenantId` e depois comparava
+ * `row.id !== ctx.tenantId` — uma comparação que nunca pode falhar, porque o
+ * `WHERE` já usou o mesmo valor. Ela parecia ser a tranca contra "pedir o tenant
+ * errado dentro da transação certa" e não era nenhuma tranca: bastava um
+ * chamador passar um contexto alheio para ler a configuração de canal de outro
+ * escritório, `credentialRef` inclusive.
+ *
+ * `tenant` é a tabela RAIZ e não tem RLS — ela define a fronteira, não é
+ * protegida por ela —, então a política que cobre todas as outras tabelas não
+ * cobria esta consulta. A correção é exigir que o tenant PEDIDO seja o mesmo da
+ * sessão: quem quiser ler a configuração de outro escritório precisa abrir a
+ * transação dele, que é justamente o que a fronteira significa.
+ */
+function createTenantChannelAccountStore(tx) {
+    return {
+        async find(ctx, channel) {
+            if (ctx.product !== communication_bridge_js_1.SC_PRODUCT)
+                return null;
+            const rows = await tx `
+        SELECT id, settings FROM tenant
+         WHERE id = ${ctx.tenantId}
+           AND id = NULLIF(current_setting('app.current_tenant', true), '')::uuid
+         LIMIT 1
+      `;
+            const row = rows[0];
+            if (!row)
+                return null;
+            const channels = (row.settings?.channels ?? {});
+            const raw = channels[channel];
+            if (!raw)
+                return null;
+            const senderId = text(raw.senderId);
+            const credentialRef = text(raw.credentialRef);
+            // Sem remetente ou sem referência de credencial não há conta utilizável.
+            // Devolver uma conta pela metade faria o motor tentar e o provider recusar,
+            // gastando uma tentativa da régua para descobrir o que já se sabia aqui.
+            if (!senderId || !credentialRef)
+                return null;
+            const status = text(raw.status);
+            return {
+                channel,
+                tenantId: ctx.tenantId,
+                product: ctx.product,
+                brand: ctx.brand,
+                senderId,
+                displayName: text(raw.displayName, 120),
+                credentialRef,
+                // Estado desconhecido nunca vira `active`: configuração que ninguém
+                // reconhece não autoriza envio.
+                status: status && STATUSES.has(status) ? status : 'not_configured',
+                meta: meta(raw.meta),
+            };
+        },
+    };
+}
+/**
+ * Fallback de plataforma da cobrança — **e-mail apenas**.
+ *
+ * Existe porque a SC já entrega e-mail em produção hoje pela chave da
+ * plataforma, e desligar isso para exigir configuração por escritório pararia a
+ * régua de quem está cobrando agora. Removê-lo não é hardening, é interrupção de
+ * serviço.
+ *
+ * O que muda em relação ao que o Codex reprovou é o que sai na mensagem: o NOME
+ * exibido passa a ser o do escritório que está cobrando, sempre. O endereço
+ * continua sendo o do domínio verificado — trocá-lo quebraria a entrega —, mas
+ * quem lê vê "SC Organização Contábil", não uma marca alheia.
+ *
+ * Nada de WhatsApp nem SMS aqui, e a proibição não é por omissão: o motor recusa
+ * fallback nesses canais por construção (`sender-profile.ts`). Um número de
+ * telefone compartilhado entre marcas é o caminho para uma marca ser bloqueada
+ * pelo comportamento de outra.
+ */
+function collectionSenderFallback(branding, platformEmail) {
+    // O endereço vem do remetente base configurado; `senderFor` já sabe extrair só
+    // o endereço de um `Nome <end@dominio>`.
+    const address = /<([^>]+)>/.exec(platformEmail.senderId)?.[1] ?? platformEmail.senderId;
+    const displayName = branding.officeName.replace(/["<>\\]/g, '').trim() || undefined;
+    return {
+        email: {
+            senderId: address,
+            credentialRef: platformEmail.credentialRef,
+            displayNameFor: () => displayName,
+        },
+    };
+}
+//# sourceMappingURL=channel-accounts.js.map

package/dist/cjs/collection/channel-accounts.js.map

@@ -0,0 +1 @@
+{"version":3,"file":"channel-accounts.js","sourceRoot":"","sources":["../../../src/collection/channel-accounts.ts"],"names":[],"mappings":";AAAA;;;;;;;;;;;GAWG;;AAkEH,0EA2CC;AAoBD,4DAgBC;AAvID,uEAAuD;AAUvD,MAAM,QAAQ,GAAG,IAAI,GAAG,CAAC,CAAC,gBAAgB,EAAE,oBAAoB,EAAE,QAAQ,EAAE,QAAQ,EAAE,OAAO,CAAC,CAAC,CAAC;AAEhG,SAAS,IAAI,CAAC,CAAU,EAAE,GAAG,GAAG,GAAG;IACjC,IAAI,OAAO,CAAC,KAAK,QAAQ;QAAE,OAAO,SAAS,CAAC;IAC5C,MAAM,CAAC,GAAG,CAAC,CAAC,IAAI,EAAE,CAAC;IACnB,OAAO,CAAC,IAAI,CAAC,CAAC,MAAM,IAAI,GAAG,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,SAAS,CAAC;AAC9C,CAAC;AAED;;;;;;GAMG;AACH,MAAM,YAAY,GAAG,IAAI,GAAG,CAAC,CAAC,eAAe,EAAE,QAAQ,EAAE,YAAY,EAAE,QAAQ,CAAC,CAAC,CAAC;AAElF,SAAS,IAAI,CAAC,CAAU;IACtB,IAAI,OAAO,CAAC,KAAK,QAAQ,IAAI,CAAC,KAAK,IAAI;QAAE,OAAO,SAAS,CAAC;IAC1D,MAAM,GAAG,GAA2B,EAAE,CAAC;IACvC,KAAK,MAAM,CAAC,CAAC,EAAE,GAAG,CAAC,IAAI,MAAM,CAAC,OAAO,CAAC,CAA4B,CAAC,EAAE,CAAC;QACpE,IAAI,CAAC,YAAY,CAAC,GAAG,CAAC,CAAC,CAAC;YAAE,SAAS;QACnC,MAAM,KAAK,GAAG,IAAI,CAAC,GAAG,EAAE,GAAG,CAAC,CAAC;QAC7B,IAAI,KAAK;YAAE,GAAG,CAAC,CAAC,CAAC,GAAG,KAAK,CAAC;IAC5B,CAAC;IACD,OAAO,MAAM,CAAC,IAAI,CAAC,GAAG,CAAC,CAAC,MAAM,GAAG,CAAC,CAAC,CAAC,CAAC,GAAG,CAAC,CAAC,CAAC,SAAS,CAAC;AACvD,CAAC;AAED;;;;;;;;;;;;;;;;;GAiBG;AACH,SAAgB,+BAA+B,CAAC,EAAM;IACpD,OAAO;QACL,KAAK,CAAC,IAAI,CAAC,GAAG,EAAE,OAAmB;YACjC,IAAI,GAAG,CAAC,OAAO,KAAK,oCAAU;gBAAE,OAAO,IAAI,CAAC;YAE5C,MAAM,IAAI,GAAG,MAAM,EAAE,CAA4D;;sBAEjE,GAAG,CAAC,QAAQ;;;OAG3B,CAAC;YACF,MAAM,GAAG,GAAG,IAAI,CAAC,CAAC,CAAC,CAAC;YACpB,IAAI,CAAC,GAAG;gBAAE,OAAO,IAAI,CAAC;YAEtB,MAAM,QAAQ,GAAG,CAAC,GAAG,CAAC,QAAQ,EAAE,QAAQ,IAAI,EAAE,CAA+B,CAAC;YAC9E,MAAM,GAAG,GAAG,QAAQ,CAAC,OAAO,CAAC,CAAC;YAC9B,IAAI,CAAC,GAAG;gBAAE,OAAO,IAAI,CAAC;YAEtB,MAAM,QAAQ,GAAG,IAAI,CAAC,GAAG,CAAC,QAAQ,CAAC,CAAC;YACpC,MAAM,aAAa,GAAG,IAAI,CAAC,GAAG,CAAC,aAAa,CAAC,CAAC;YAC9C,yEAAyE;YACzE,4EAA4E;YAC5E,yEAAyE;YACzE,IAAI,CAAC,QAAQ,IAAI,CAAC,aAAa;gBAAE,OAAO,IAAI,CAAC;YAE7C,MAAM,MAAM,GAAG,IAAI,CAAC,GAAG,CAAC,MAAM,CAAC,CAAC;YAEhC,OAAO;gBACL,OAAO;gBACP,QAAQ,EAAE,GAAG,CAAC,QAAQ;gBACtB,OAAO,EAAE,GAAG,CAAC,OAAO;gBACpB,KAAK,EAAE,GAAG,CAAC,KAAK;gBAChB,QAAQ;gBACR,WAAW,EAAE,IAAI,CAAC,GAAG,CAAC,WAAW,EAAE,GAAG,CAAC;gBACvC,aAAa;gBACb,oEAAoE;gBACpE,gCAAgC;gBAChC,MAAM,EACJ,MAAM,IAAI,QAAQ,CAAC,GAAG,CAAC,MAAM,CAAC,CAAC,CAAC,CAAE,MAAmC,CAAC,CAAC,CAAC,gBAAgB;gBAC1F,IAAI,EAAE,IAAI,CAAC,GAAG,CAAC,IAAI,CAAC;aACrB,CAAC;QACJ,CAAC;KACF,CAAC;AACJ,CAAC;AAED;;;;;;;;;;;;;;;;;GAiBG;AACH,SAAgB,wBAAwB,CACtC,QAAwB,EACxB,aAA0D;IAE1D,+EAA+E;IAC/E,yCAAyC;IACzC,MAAM,OAAO,GAAG,WAAW,CAAC,IAAI,CAAC,aAAa,CAAC,QAAQ,CAAC,EAAE,CAAC,CAAC,CAAC,IAAI,aAAa,CAAC,QAAQ,CAAC;IACxF,MAAM,WAAW,GAAG,QAAQ,CAAC,UAAU,CAAC,OAAO,CAAC,UAAU,EAAE,EAAE,CAAC,CAAC,IAAI,EAAE,IAAI,SAAS,CAAC;IAEpF,OAAO;QACL,KAAK,EAAE;YACL,QAAQ,EAAE,OAAO;YACjB,aAAa,EAAE,aAAa,CAAC,aAAa;YAC1C,cAAc,EAAE,GAAG,EAAE,CAAC,WAAW;SAClC;KACF,CAAC;AACJ,CAAC"}

package/dist/cjs/collection/channel.js

@@ -0,0 +1,17 @@
+"use strict";
+/**
+ * Vocabulário de canal da régua de cobrança.
+ *
+ * **Só o vocabulário.** Este arquivo já carregou uma abstração de canal inteira
+ * — `CollectionChannel`, `CollectionMessage`, `resolveChannel` e um adapter de
+ * e-mail — e foi por ela que a cobrança tinha um SEGUNDO caminho de envio,
+ * paralelo ao motor compartilhado, com idempotência própria que não era gravada
+ * em lugar nenhum. Cron e rota manual usavam vias diferentes e não se
+ * enxergavam.
+ *
+ * O caminho de entrega agora é um só: `communication/`. O que restou aqui é o
+ * nome do canal que a política do escritório declara por etapa, que é dado de
+ * régua e não tem nada a ver com provider.
+ */
+Object.defineProperty(exports, "__esModule", { value: true });
+//# sourceMappingURL=channel.js.map

package/dist/cjs/collection/channel.js.map

@@ -0,0 +1 @@
+{"version":3,"file":"channel.js","sourceRoot":"","sources":["../../../src/collection/channel.ts"],"names":[],"mappings":";AAAA;;;;;;;;;;;;;GAaG"}

package/dist/cjs/collection/clearance-store.js

@@ -0,0 +1,74 @@
+"use strict";
+Object.defineProperty(exports, "__esModule", { value: true });
+exports.createClientClearanceStore = createClientClearanceStore;
+exports.setClientClearance = setClientClearance;
+exports.clearanceSummary = clearanceSummary;
+/**
+ * Liberação lida da ficha do cliente.
+ *
+ * `recipientRef` é o id do cliente — a mesma referência que o consentimento e a
+ * idempotência usam. A liberação é do CLIENTE, não do canal: quem confere o
+ * cadastro confere a pessoa, e um escritório que liberou o e-mail e não o
+ * WhatsApp está descrevendo qual canal quer usar, não quem já foi conferido.
+ * Se um dia a distinção por canal for necessária, ela entra aqui sem mexer no
+ * motor.
+ */
+function createClientClearanceStore(tx) {
+    return {
+        async find(recipientRef, _channel) {
+            const rows = await tx `
+        SELECT communication_cleared_at
+          FROM client
+         WHERE id = ${recipientRef} AND deleted_at IS NULL
+      `;
+            // Cliente inexistente ou apagado não é "liberado por omissão": é um
+            // destinatário que o sistema não conhece, e o motor deve pular.
+            const at = rows[0]?.communication_cleared_at ?? null;
+            return { cleared: at !== null, clearedAt: at?.toISOString() ?? null };
+        },
+    };
+}
+/**
+ * Libera (ou revoga) um cliente para comunicação externa.
+ *
+ * Revogar é possível e deliberado: um endereço que voltou errado precisa poder
+ * sair da régua sem que alguém tenha de apagar o e-mail do cadastro — apagar o
+ * dado para parar o envio destrói a informação de contato junto.
+ */
+async function setClientClearance(tx, input) {
+    const rows = await tx `
+    UPDATE client
+       SET communication_cleared_at = ${input.cleared ? new Date() : null},
+           communication_cleared_by = ${input.cleared ? input.actorId : null},
+           updated_at = now()
+     WHERE id = ${input.clientId} AND deleted_at IS NULL
+    RETURNING id, communication_cleared_at
+  `;
+    const row = rows[0];
+    if (!row)
+        throw new Error('Cliente não encontrado neste escritório.');
+    return {
+        clientId: row.id,
+        cleared: row.communication_cleared_at !== null,
+        clearedAt: row.communication_cleared_at?.toISOString() ?? null,
+    };
+}
+async function clearanceSummary(tx) {
+    const [r] = await tx `
+    SELECT count(*)::int AS total,
+           count(*) FILTER (WHERE communication_cleared_at IS NOT NULL)::int AS cleared,
+           count(*) FILTER (WHERE communication_cleared_at IS NULL
+                              AND email IS NOT NULL)::int AS pending_email
+      FROM client
+     WHERE deleted_at IS NULL AND status = 'active'
+  `;
+    const total = r?.total ?? 0;
+    const cleared = r?.cleared ?? 0;
+    return {
+        total,
+        cleared,
+        pending: total - cleared,
+        pendingWithEmail: r?.pending_email ?? 0,
+    };
+}
+//# sourceMappingURL=clearance-store.js.map

package/dist/cjs/collection/clearance-store.js.map

@@ -0,0 +1 @@
+{"version":3,"file":"clearance-store.js","sourceRoot":"","sources":["../../../src/collection/clearance-store.ts"],"names":[],"mappings":";;AAcA,gEAcC;AAeD,gDAmBC;AAUD,4CAiBC;AArFD;;;;;;;;;GASG;AACH,SAAgB,0BAA0B,CAAC,EAAM;IAC/C,OAAO;QACL,KAAK,CAAC,IAAI,CAAC,YAAoB,EAAE,QAAoB;YACnD,MAAM,IAAI,GAAG,MAAM,EAAE,CAA6C;;;sBAGlD,YAAY;OAC3B,CAAC;YACF,oEAAoE;YACpE,gEAAgE;YAChE,MAAM,EAAE,GAAG,IAAI,CAAC,CAAC,CAAC,EAAE,wBAAwB,IAAI,IAAI,CAAC;YACrD,OAAO,EAAE,OAAO,EAAE,EAAE,KAAK,IAAI,EAAE,SAAS,EAAE,EAAE,EAAE,WAAW,EAAE,IAAI,IAAI,EAAE,CAAC;QACxE,CAAC;KACF,CAAC;AACJ,CAAC;AAQD;;;;;;GAMG;AACI,KAAK,UAAU,kBAAkB,CACtC,EAAM,EACN,KAAqE;IAErE,MAAM,IAAI,GAAG,MAAM,EAAE,CAAyD;;wCAExC,KAAK,CAAC,OAAO,CAAC,CAAC,CAAC,IAAI,IAAI,EAAE,CAAC,CAAC,CAAC,IAAI;wCACjC,KAAK,CAAC,OAAO,CAAC,CAAC,CAAC,KAAK,CAAC,OAAO,CAAC,CAAC,CAAC,IAAI;;kBAE1D,KAAK,CAAC,QAAQ;;GAE7B,CAAC;IACF,MAAM,GAAG,GAAG,IAAI,CAAC,CAAC,CAAC,CAAC;IACpB,IAAI,CAAC,GAAG;QAAE,MAAM,IAAI,KAAK,CAAC,0CAA0C,CAAC,CAAC;IACtE,OAAO;QACL,QAAQ,EAAE,GAAG,CAAC,EAAE;QAChB,OAAO,EAAE,GAAG,CAAC,wBAAwB,KAAK,IAAI;QAC9C,SAAS,EAAE,GAAG,CAAC,wBAAwB,EAAE,WAAW,EAAE,IAAI,IAAI;KAC/D,CAAC;AACJ,CAAC;AAUM,KAAK,UAAU,gBAAgB,CAAC,EAAM;IAC3C,MAAM,CAAC,CAAC,CAAC,GAAG,MAAM,EAAE,CAA6D;;;;;;;GAOhF,CAAC;IACF,MAAM,KAAK,GAAG,CAAC,EAAE,KAAK,IAAI,CAAC,CAAC;IAC5B,MAAM,OAAO,GAAG,CAAC,EAAE,OAAO,IAAI,CAAC,CAAC;IAChC,OAAO;QACL,KAAK;QACL,OAAO;QACP,OAAO,EAAE,KAAK,GAAG,OAAO;QACxB,gBAAgB,EAAE,CAAC,EAAE,aAAa,IAAI,CAAC;KACxC,CAAC;AACJ,CAAC"}