@danhachuel/leadmaster 0.1.18 → 0.1.19

package/CHANGELOG.md

@@ -37,6 +37,45 @@ normaliza para a forma canônica (ex.: `0.1.0`).
    falha se `process.stdin.resume();` desaparecer, se `.unref()` aparecer, se o
    ciclo de vida vinculado for removido ou se os handlers globais sumirem.
 
+## [0.1.19] — 2026-11-09
+
+### Adicionado
+
+- **`POST /api/config`** — alias do `PUT /api/config` (frontend continua usando
+  PUT; clientes externos podem usar POST, como na especificação da tela de
+  Ferramentas).
+- **Prevenção de erros (Nielsen) — trim automático:** todo texto do payload de
+  configuração recebe `strip()` antes de gravar (recursivo, inclui arrays e
+  objetos aninhados) — espaço acidental em API Key ou URL não vira falha
+  misteriosa depois.
+- **Validação de payload (422):** seção que é objeto no padrão (`llm`,
+  `extratores`, `integracoes`, `agentes`, `webhook`, `perfil`) recebendo valor
+  escalar é rejeitada com mensagem acionável, em vez de corromper o
+  `config.json` e a UI.
+- **Ícone de olho no campo de API Key** (`CampoSecreto` em Ferramentas):
+  alterna visibilidade da chave (von Restorff) — conferir/colar sem apagar o
+  campo. Continua com placeholder mascarado e aviso "deixe vazio para manter".
+- **Testes (`backend/tests/test_config.py`)** — 7 novos testes de
+  `GET/POST/PUT /api/config`: estrutura padrão, segredos nunca expostos ( GET
+  devolve vazio + `_configurado` e o corpo cru não contém a chave),
+  persistência + trim, segredo vazio não apaga o atual, PUT funcional,
+  payload inválido → 422 e trim em arrays aninhados.
+  Suíte completa: **51 passed**.
+
+### Auditoria
+
+- **Tela de Ferramentas:** auditada contra a especificação — a página
+  (`frontend/src/pages/Ferramentas.tsx`, rota `/ferramentas` já no menu) já
+  cobria LLM (provedor/base URL/modelo/API Key), Extratores (Maps, igmapper,
+  templates em accordion, CNPJ/Scrapling), Perfil e o botão gradiente "Salvar
+  configurações" com toast. Gaps entregues acima: POST, trim, validação, olho.
+- **Integrações:** a seção cobre **OpenOutreach** (disparo) e **pipecat**
+  (atendimento por voz), que são as integrações do produto. **YouTube/Meta não
+  foram implementados** — o AGENTS.md (§1) é explícito: produção/upload de
+  vídeos **não faz parte** do LeadMaster (o storage já remove chaves desses
+  sistemas em migração). Se o pipeline de vídeos entrar no roadmap um dia, será
+  como novo módulo com decisão de produto registrada.
+
 ## [0.1.18] — 2026-11-09
 
 ### Adicionado

package/backend/main.py

@@ -558,13 +558,53 @@ def buscar_cnpj(dados: CnpjSearchIn):
 
 @app.get("/api/config")
 def obter_config():
+    """Configuração local (config.json) — segredos NUNCA são expostos (regra do
+    AGENTS.md): campo devolvido vazio + flag `<campo>_configurado`."""
+    return storage.redact_config(storage.get_config())
+
+
+def _validar_patch(patch: dict) -> None:
+    """Rejeita payload que quebraria a estrutura da config.
+
+    Seções que são objetos no padrão (llm, extratores, integracoes...) precisam
+    continuar objetos — um valor escalar no lugar corromperia o arquivo e a UI.
+    Nenhum campo é obrigatório: o app roda com os defaults e valida credenciais
+    apenas no momento da ação (regra do AGENTS.md — sem travas de pré-registo).
+    """
+    for chave, valor in patch.items():
+        padrao = storage.DEFAULT_CONFIG.get(chave)
+        if isinstance(padrao, dict) and not isinstance(valor, dict):
+            raise HTTPException(422, f"O campo '{chave}' deve ser um objeto com os subcampos.")
+
+
+def _aparar_textos(valor):
+    """Nielsen (prevenção de erros): trim automático em textos antes de salvar —
+    espaços acidentais no início/fim (copiar-e-colar de chaves) não quebram a
+    credencial nem disparam falsos "inválido" depois."""
+    if isinstance(valor, str):
+        return valor.strip()
+    if isinstance(valor, dict):
+        return {k: _aparar_textos(v) for k, v in valor.items()}
+    if isinstance(valor, list):
+        return [_aparar_textos(v) for v in valor]
+    return valor
+
+
+def _salvar_config(patch: dict):
+    _validar_patch(patch)
+    storage.update_config(_aparar_textos(patch))
     return storage.redact_config(storage.get_config())
 
 
 @app.put("/api/config")
+@app.post("/api/config")
 def salvar_config(patch: dict):
-    storage.update_config(patch)
-    return storage.redact_config(storage.get_config())
+    """Salva a configuração em config.json (merge profundo, atômico, sob lock).
+
+    POST e PUT são equivalentes (o frontend usa PUT). Segredos vazios mantêm o
+    valor atual; textos recebem trim automático. Devolve a config mascarada.
+    """
+    return _salvar_config(patch)
 
 
 @app.post("/api/config/test/llm")

package/backend/tests/test_config.py

@@ -0,0 +1,90 @@
+"""Testes das rotas de configuração — GET/POST/PUT /api/config.
+
+Valida a estrutura padrão, o sigulo absoluto dos segredos (regra do
+AGENTS.md: GET nunca expõe chaves), a persistência em config.json, o trim
+automático de textos (prevenção de erros — Nielsen) e a rejeição de payloads
+quebrados. LEADMASTER_HOME em diretório temporário.
+"""
+
+from fastapi.testclient import TestClient
+
+import main
+from services import storage
+
+
+def _client(tmp_path, monkeypatch):
+    monkeypatch.setenv("LEADMASTER_HOME", str(tmp_path))
+    return TestClient(main.app)
+
+
+def test_get_retorna_estrutura_padrao(tmp_path, monkeypatch):
+    with _client(tmp_path, monkeypatch) as client:
+        c = client.get("/api/config").json()
+        for secao in ("llm", "extratores", "integracoes", "agentes", "webhook", "perfil"):
+            assert secao in c
+        assert c["llm"]["base_url"]  # default do OpenAI-compat
+        assert c["llm"]["api_key"] == ""  # nunca exposto
+        assert c["extratores"]["google_maps_cli"] == ""
+        assert c["integracoes"]["openoutreach"]["enabled"] is False
+
+
+def test_get_nunca_expõe_segredos(tmp_path, monkeypatch):
+    with _client(tmp_path, monkeypatch) as client:
+        client.post("/api/config", json={"llm": {"api_key": "sk-super-secreta"}})
+        corpo = client.get("/api/config").json()
+        assert corpo["llm"]["api_key"] == ""
+        assert corpo["llm"]["api_key_configurado"] is True
+        # Nem o corpo cru da resposta pode conter a chave.
+        assert "sk-super-secreta" not in client.get("/api/config").text
+
+
+def test_post_persiste_e_aplica_trim(tmp_path, monkeypatch):
+    with _client(tmp_path, monkeypatch) as client:
+        r = client.post(
+            "/api/config",
+            json={"llm": {"base_url": "  https://api.exemplo.com/v1  ", "api_key": "  sk-123  "}},
+        )
+        assert r.status_code == 200
+        gravado = storage.get_config()["llm"]
+        assert gravado["base_url"] == "https://api.exemplo.com/v1"  # trim aplicado
+        assert gravado["api_key"] == "sk-123"
+        # Round-trip pelo GET (mascarado) confirma a persistência.
+        get = client.get("/api/config").json()
+        assert get["llm"]["base_url"] == "https://api.exemplo.com/v1"
+        assert get["llm"]["api_key_configurado"] is True
+
+
+def test_post_segredo_vazio_mantem_atual(tmp_path, monkeypatch):
+    with _client(tmp_path, monkeypatch) as client:
+        client.post("/api/config", json={"llm": {"api_key": "sk-original"}})
+        client.post("/api/config", json={"llm": {"api_key": "", "modelo": "gpt-4o"}})
+        gravado = storage.get_config()["llm"]
+        assert gravado["api_key"] == "sk-original"  # vazio não apaga
+        assert gravado["modelo"] == "gpt-4o"
+
+
+def test_put_continua_funcionando(tmp_path, monkeypatch):
+    with _client(tmp_path, monkeypatch) as client:
+        r = client.put("/api/config", json={"extratores": {"igmapper_cli": "  C:\\ferramentas\\igmapper.exe  "}})
+        assert r.status_code == 200
+        assert storage.get_config()["extratores"]["igmapper_cli"] == "C:\\ferramentas\\igmapper.exe"
+
+
+def test_payload_invalido_422(tmp_path, monkeypatch):
+    with _client(tmp_path, monkeypatch) as client:
+        # Lista no lugar de objeto: rejeitado pelo FastAPI.
+        assert client.post("/api/config", json=["nao", "e", "objeto"]).status_code == 422
+        # Seção que deve ser objeto recebendo escalar: rejeitado pela validação.
+        r = client.post("/api/config", json={"llm": "string-no-lugar-de-objeto"})
+        assert r.status_code == 422
+        assert "objeto" in r.json()["detail"]
+        # A configuração anterior (padrão) permanece íntegra.
+        assert storage.get_config()["llm"]["base_url"] != "string-no-lugar-de-objeto"
+
+
+def test_post_trim_em_arrays_e_aninhados(tmp_path, monkeypatch):
+    with _client(tmp_path, monkeypatch) as client:
+        client.post("/api/config", json={"webhook": {"url": "  https://hook.exemplo.com/x  ", "eventos": ["  lead.criado  "]}})
+        wh = storage.get_config()["webhook"]
+        assert wh["url"] == "https://hook.exemplo.com/x"
+        assert wh["eventos"][0] == "lead.criado"