@fayz-ai/db 0.14.0 → 0.16.0

package/migrations/092_a_marca_tem_uma_grafia_so_e_uma_porta_so.sql

@@ -0,0 +1,159 @@
+-- ---------------------------------------------------------------------------
+-- 074_a_marca_tem_uma_grafia_so_e_uma_porta_so.sql — as quatro grafias da marca
+-- viram uma, e a porta para de mentir sobre a permissão que exige.
+--
+-- ── O que estava acontecendo ───────────────────────────────────────────────
+-- `app_config()` devolve DOIS campos que falam da mesma coisa: `branding`
+-- (de `tenant_branding()`, que lê o documento) e `settings` (de
+-- `tenant_settings()`, que agrega as chaves registradas). Medido no cluster,
+-- eles discordam:
+--
+--   synthetic-salon-network → settings diz "Synthetic Salon", branding diz NULL
+--   espaco-renova-rio       → os dois dizem NULL, e a tela mostra o nome certo
+--
+-- A causa é que a marca é escrita por `tenant_brand_patch`, que NÃO passa pelo
+-- registro, e o registro declara quatro chaves planas (`branding.app_name`,
+-- `.logo_url`, `.primary_color`, `.custom_domain`) que descrevem uma forma que
+-- o produto parou de gravar na 032. O registro descreve um formato morto, e
+-- `tenant_settings()` reporta esse formato morto como se fosse a verdade.
+--
+-- ── Quatro grafias, não três ───────────────────────────────────────────────
+-- A 032 documentou três (camadas, cobra, camelo) e o leitor tolera as três. Há
+-- uma QUARTA que ninguém previu: `branding.domain`, escrita pela migração do V1
+-- (`tenant_domains → jsonb:branding.domain`, no allowlist). Nenhum dos três
+-- leitores a conhece — então o domínio do Espaço Facial está gravado e
+-- invisível para o sistema inteiro, inclusive para a loja pública que deveria
+-- responder nele.
+--
+-- ── Por que a marca NÃO vira chave de registro ─────────────────────────────
+-- A saída óbvia seria registrar as chaves em camadas. Ela não cabe, e não é só
+-- pelo CHECK da coluna (`^[a-z][a-z0-9_]*(\.[a-z][a-z0-9_]*)*$` recusa
+-- `identity.logoUrl`): o registro existe para valores ESCALARES que se gravam
+-- sozinhos, um `tenant_setting_set` por vez, com checagem de tipo. A marca tem
+-- arrays (`voice.avoid`, `voice.ctas`) e uma semântica de fusão POR CAMADA que
+-- existe de propósito — é o que impede duas pessoas editando abas diferentes de
+-- apagarem o trabalho uma da outra.
+--
+-- Então a decisão é a inversa: a marca é um DOCUMENTO, com porta própria, e as
+-- quatro chaves planas no registro é que são o defeito. Elas saem.
+--
+-- ── A permissão que não existe ─────────────────────────────────────────────
+-- `tenant_brand_patch` exige `settings.edit`. Não há `settings.edit` no
+-- catálogo — só `settings.read` e `settings.manage`. A função só funciona
+-- porque `app.has_permission` casa o irmão `.manage` de qualquer permissão.
+-- Funciona por acidente: no dia em que essa regra de irmão apertar, editar a
+-- marca quebra para todo mundo, sem nada no código dizer por quê. Passa a
+-- exigir `settings.manage`, que é o que ela já exige de fato — e é a mesma
+-- permissão de `tenant_setting_set` e `tenant_plugin_set`, o que faz as três
+-- portas de configuração pedirem a mesma coisa.
+--
+-- Idempotente: a normalização é escrita de forma que rodar duas vezes não muda
+-- nada, porque depois da primeira não sobra grafia velha para mover.
+-- ---------------------------------------------------------------------------
+
+-- ─────────────────────────────────────────────────────────────────────────
+-- §1  Uma grafia só, nos dados
+--
+-- Camadas ganham de plano. Só move o que ainda não tem destino em camada, para
+-- que um tenant já normalizado (ou editado pela tela depois desta migração)
+-- nunca tenha o valor novo sobrescrito pelo antigo.
+-- ─────────────────────────────────────────────────────────────────────────
+
+UPDATE public.tenants t
+   SET settings = app.jsonb_set_path(
+         coalesce(t.settings, '{}'::jsonb),
+         ARRAY['branding'],
+         (
+           WITH b AS (SELECT coalesce(t.settings -> 'branding', '{}'::jsonb) AS d)
+           SELECT
+             -- Tira as grafias antigas depois de tê-las lido.
+             ((((((((b.d
+               - 'app_name') - 'appName')
+               - 'logo_url') - 'logoUrl')
+               - 'primary_color') - 'primaryColor')
+               - 'custom_domain') - 'customDomain') - 'domain'
+             -- E escreve cada valor no lugar em camadas, quando ele existe e o
+             -- lugar em camadas ainda está vazio.
+             || jsonb_strip_nulls(jsonb_build_object(
+                  'identity', jsonb_strip_nulls(jsonb_build_object(
+                    'name', coalesce(nullif(b.d #>> '{identity,name}', ''),
+                                     nullif(b.d ->> 'app_name', ''), nullif(b.d ->> 'appName', '')),
+                    'logoUrl', coalesce(nullif(b.d #>> '{identity,logoUrl}', ''),
+                                        nullif(b.d ->> 'logo_url', ''), nullif(b.d ->> 'logoUrl', '')),
+                    'customDomain', coalesce(nullif(b.d #>> '{identity,customDomain}', ''),
+                                             nullif(b.d ->> 'custom_domain', ''), nullif(b.d ->> 'customDomain', ''),
+                                             -- A quarta grafia, da migração do V1.
+                                             nullif(b.d ->> 'domain', ''))
+                  ))
+                ))
+             -- `tokens` é escrito à parte porque `||` funde RASO: mandar
+             -- {tokens:{color:{...}}} trocaria `tokens` inteiro e levaria a
+             -- fonte junto.
+             || CASE
+                  WHEN coalesce(nullif(b.d #>> '{tokens,color,primary}', ''),
+                                nullif(b.d ->> 'primary_color', ''), nullif(b.d ->> 'primaryColor', '')) IS NULL
+                  THEN '{}'::jsonb
+                  ELSE jsonb_build_object('tokens',
+                         app.jsonb_set_path(coalesce(b.d -> 'tokens', '{}'::jsonb),
+                           ARRAY['color','primary'],
+                           to_jsonb(coalesce(nullif(b.d #>> '{tokens,color,primary}', ''),
+                                             nullif(b.d ->> 'primary_color', ''), nullif(b.d ->> 'primaryColor', '')))))
+                END
+           FROM b
+         ))
+ WHERE t.settings -> 'branding' ?| ARRAY['app_name','appName','logo_url','logoUrl',
+                                         'primary_color','primaryColor',
+                                         'custom_domain','customDomain','domain'];
+
+-- ─────────────────────────────────────────────────────────────────────────
+-- §2  As quatro chaves planas saem do registro
+--
+-- Elas descrevem um formato que o produto parou de gravar, e a presença delas é
+-- o que faz `tenant_settings()` reportar um recorte que contradiz
+-- `tenant_branding()`. A marca continua em `app_config().branding`, que é a
+-- resposta do documento inteiro.
+-- ─────────────────────────────────────────────────────────────────────────
+
+DELETE FROM app.tenant_setting_keys
+ WHERE key IN ('branding.app_name', 'branding.logo_url', 'branding.primary_color', 'branding.custom_domain');
+
+-- ─────────────────────────────────────────────────────────────────────────
+-- §3  A porta pede a permissão que existe
+-- ─────────────────────────────────────────────────────────────────────────
+
+CREATE OR REPLACE FUNCTION public.tenant_brand_patch(p_patch jsonb)
+RETURNS jsonb
+LANGUAGE plpgsql
+SECURITY DEFINER
+SET search_path TO ''
+AS $function$
+DECLARE v_tenant uuid := app.current_tenant_id();
+BEGIN
+  IF v_tenant IS NULL THEN
+    RAISE EXCEPTION 'tenant_brand_patch: sem tenant na sessão' USING ERRCODE = '42501';
+  END IF;
+  -- `settings.manage`, a mesma de `tenant_setting_set` e `tenant_plugin_set`.
+  -- Antes pedia `settings.edit`, que não existe no catálogo e só passava porque
+  -- `app.has_permission` casa o irmão `.manage` — funcionava por acidente.
+  IF NOT app.has_permission('settings.manage', NULL::uuid) THEN
+    RAISE EXCEPTION 'tenant_brand_patch: exige settings.manage' USING ERRCODE = '42501';
+  END IF;
+
+  UPDATE public.tenants t
+     SET settings = jsonb_set(
+           coalesce(t.settings, '{}'::jsonb),
+           '{branding}',
+           -- `||` funde raso, e é o que se quer POR CAMADA: mandar
+           -- {"voice":{...}} troca a voz inteira e não toca em tokens. Mandar
+           -- {"tokens":{"color":{...}}} trocaria `tokens` inteiro, então a tela
+           -- manda a camada `tokens` completa quando mexe em qualquer cor.
+           coalesce(t.settings -> 'branding', '{}'::jsonb) || coalesce(p_patch, '{}'::jsonb)
+         ),
+         updated_at = now()
+   WHERE t.id = v_tenant;
+
+  RETURN coalesce(app.brand_of(v_tenant), '{}'::jsonb);
+END $function$;
+
+COMMENT ON FUNCTION public.tenant_brand_patch(jsonb) IS
+  'A ÚNICA porta de escrita da marca. Funde por camada (identity / tokens / voice) para que duas pessoas em abas diferentes não apaguem o trabalho uma da outra. A marca é um documento, não um conjunto de chaves registradas — por isso não passa por tenant_setting_set.';

package/migrations/093_a_marca_carrega_o_tema_inteiro.sql

@@ -0,0 +1,179 @@
+-- ---------------------------------------------------------------------------
+-- 075_a_marca_carrega_o_tema_inteiro.sql — a marca do inquilino deixa de ser
+-- uma cor e passa a ser o tema (#280, ADR 0023).
+--
+-- ── O que a tela mostrou ───────────────────────────────────────────────────
+-- Medido no sistema que o Espaço Facial usa hoje
+-- (https://sistema.espacofacial.com.br), lendo as variáveis da página:
+--
+--   --primary            31 50% 72%   o bege
+--   --background         40 33% 97%   o papel
+--   rail (elemento)      #121212      preto
+--   item ativo do rail   #242424 com o texto em #DBB994
+--   --radius             0.75rem
+--   logo                 um SVG BRANCO, em .../tenant-appearance/1/logo-….svg
+--
+-- Nosso documento de marca carregava `tokens.color` e `tokens.font`. Com isso,
+-- o Espaço Facial recebia o bege e herdava o rail do aplicativo: a marca
+-- chegava pela metade, e a metade que faltava era justamente a que dá a
+-- impressão de "é o meu sistema".
+--
+-- O V1 já tinha resolvido: `software_profiles.theme` guarda um tema inteiro por
+-- perfil, com camadas `rail` / `surface` / `emphasis` / `status` / `chart` /
+-- `radius`. Esta migração traz o mesmo recorte para o documento de marca, no
+-- vocabulário que o `SaasTheme` do shell já consome — o que o banco grava é o
+-- que a casca já sabe pintar, sem tradutor no meio.
+--
+-- ── Duas artes, não uma ────────────────────────────────────────────────────
+-- A logo do Espaço Facial é branca. Sobre papel ela some; sobre o rail preto
+-- ela aparece. Um contrato com um campo só obriga a escolher qual dos dois
+-- fundos vai ficar errado, então `identity` ganha `logoDarkUrl` (fundo escuro)
+-- ao lado de `logoUrl` (fundo claro). O ÍCONE quadrado (`markUrl`) não precisa
+-- do par: o ladrilho que o desenha leva o próprio fundo escuro para qualquer
+-- superfície, então a arte clara serve no rail, no popover e no seletor
+-- pós-login. Só o wordmark tem duas versões, porque ele é desenhado direto
+-- sobre o fundo de quem o hospeda.
+--
+-- ── E `app_config().branding` passa a devolver o documento ─────────────────
+-- Ele devolvia `tenant_branding()`, que é o recorte ACHATADO de seis campos.
+-- Enquanto isso o shell lia o tema de `tenants.settings.branding` direto pela
+-- store da organização — dois leitores da mesma marca, com formas diferentes,
+-- que é a mesma família de defeito que a 074 fechou. Agora os dois recebem
+-- `app.brand_of`, o documento em camadas.
+--
+-- `tenant_branding()` fica, sem mudar de forma: as páginas públicas e o
+-- switcher leem os seis campos achatados dela e não devem ser mexidos por uma
+-- migração de tema.
+--
+-- Idempotente: substitui duas funções.
+-- ---------------------------------------------------------------------------
+
+CREATE OR REPLACE FUNCTION app.brand_of(p_tenant uuid)
+RETURNS jsonb
+LANGUAGE plpgsql
+STABLE SECURITY DEFINER
+SET search_path TO ''
+AS $function$
+DECLARE t record; b jsonb;
+BEGIN
+  SELECT x.id, x.name, x.slug, x.logo_url, x.settings INTO t
+    FROM public.tenants x WHERE x.id = p_tenant;
+  IF t.id IS NULL THEN RETURN NULL; END IF;
+
+  b := coalesce(t.settings -> 'branding', '{}'::jsonb);
+
+  RETURN jsonb_strip_nulls(jsonb_build_object(
+    'identity', jsonb_build_object(
+      'name',      coalesce(app.brand_token(b, '{identity,name}', 'app_name', 'appName'), t.name),
+      'tagline',   app.brand_token(b, '{identity,tagline}', 'tagline', 'tagline'),
+      'mission',   app.brand_token(b, '{identity,mission}', 'mission', 'mission'),
+      'logoUrl',   coalesce(app.brand_token(b, '{identity,logoUrl}', 'logo_url', 'logoUrl'), t.logo_url),
+      -- A arte para fundo escuro. Sem ela o rail preto recebe uma logo clara,
+      -- ou — no caso do Espaço Facial, cuja logo é branca — recebe um retângulo
+      -- invisível sobre papel.
+      'logoDarkUrl', app.brand_token(b, '{identity,logoDarkUrl}', 'logo_dark_url', 'logoDarkUrl'),
+      -- O ícone quadrado, numa versão só: a arte CLARA. Sem ele o rail
+      -- recolhido corta o wordmark no meio e "Espaço Facial" chega na tela como
+      -- "aço". Uma versão basta porque o ladrilho que a desenha leva o próprio
+      -- fundo escuro para qualquer superfície — duas versões seriam dois
+      -- arquivos entregues pela casa, e um deles envelhecendo.
+      'markUrl',   app.brand_token(b, '{identity,markUrl}', 'mark_url', 'markUrl'),
+      'faviconUrl',app.brand_token(b, '{identity,faviconUrl}', 'favicon_url', 'faviconUrl'),
+      'customDomain', app.brand_token(b, '{identity,customDomain}', 'custom_domain', 'customDomain')
+    ),
+    'tokens', jsonb_strip_nulls(jsonb_build_object(
+      'color', jsonb_strip_nulls(jsonb_build_object(
+        'primary', app.brand_token(b, '{tokens,color,primary}', 'primary_color', 'primaryColor'),
+        'accent',  app.brand_token(b, '{tokens,color,accent}',  'accent_color',  'accentColor')
+      )),
+      'font', jsonb_strip_nulls(jsonb_build_object(
+        'heading', app.brand_token(b, '{tokens,font,heading}', 'heading_font', 'headingFont'),
+        'body',    app.brand_token(b, '{tokens,font,body}',    'body_font',    'bodyFont')
+      )),
+      -- O papel e a tinta sobre ele.
+      'surface', b #> '{tokens,surface}',
+      -- O rail. Mesmo vocabulário de `SaasTheme.sidebar`, de propósito.
+      'rail',    b #> '{tokens,rail}',
+      'radius',  b #>> '{tokens,radius}'
+    )),
+    'voice', jsonb_strip_nulls(jsonb_build_object(
+      'tone',     app.brand_token(b, '{voice,tone}', 'tone_of_voice', 'toneOfVoice'),
+      'lexicon',  b #> '{voice,lexicon}',
+      'avoid',    b #> '{voice,avoid}',
+      'ctas',     b #> '{voice,ctas}',
+      'hashtags', b #> '{voice,hashtags}'
+    ))
+  ));
+END $function$;
+
+COMMENT ON FUNCTION app.brand_of(uuid) IS
+  'A marca do inquilino como DOCUMENTO em três camadas: identity (quem é, com uma arte por fundo), tokens (como se parece — cor, papel, rail, raio, tipo) e voice (como fala). É o que o shell pinta e o que o agente lê. `tenant_branding()` continua devolvendo o recorte achatado de seis campos para o switcher e as páginas públicas.';
+
+-- `app_config().branding` passa a devolver o documento, não o recorte.
+CREATE OR REPLACE FUNCTION public.app_config()
+RETURNS jsonb
+LANGUAGE plpgsql
+STABLE SECURITY DEFINER
+SET search_path TO ''
+AS $function$
+DECLARE
+  v_tenant uuid := app.current_tenant_id();
+  v_staff  text;
+BEGIN
+  -- `platform` e o schema do control-admin: existe no cluster que hospeda a
+  -- plataforma e NAO na cadeia canonica, onde esta funcao e reconstruida do
+  -- zero. Chamar direto compila (o corpo de plpgsql so resolve nomes na
+  -- primeira execucao) e estoura na primeira chamada com "schema platform
+  -- does not exist" — que e o pedagio de `search_path` vazio ja pago na
+  -- 060. Perguntar antes deixa a mesma definicao servir aos dois: sem o
+  -- schema, ninguem e staff, e o control-admin simplesmente nao e oferecido.
+  IF pg_catalog.to_regproc('platform.staff_role(uuid)') IS NOT NULL THEN
+    EXECUTE 'SELECT platform.staff_role($1)' INTO v_staff USING (SELECT auth.uid());
+  END IF;
+
+  IF v_tenant IS NULL THEN
+    RETURN jsonb_build_object('tenant_id', NULL, 'plugins', '[]'::jsonb, 'nav', '[]'::jsonb, 'apps', '[]'::jsonb);
+  END IF;
+
+  RETURN jsonb_build_object(
+    'tenant_id', v_tenant,
+    -- O documento (075). Era o recorte achatado de `tenant_branding()`, e o
+    -- shell lia o tema por outro caminho — dois leitores, duas formas.
+    'branding',  coalesce(app.brand_of(v_tenant), '{}'::jsonb),
+    'settings',  public.tenant_settings(),
+    'plugins', coalesce((
+      SELECT jsonb_agg(jsonb_build_object(
+               'plugin', t.plugin_id,
+               'facet',  nullif(t.facet, ''),
+               'status', CASE
+                           WHEN t.expires_at IS NOT NULL AND t.expires_at <= now() THEN 'disabled'
+                           ELSE t.status
+                         END,
+               'source', t.source,
+               'config', t.config,
+               'expires_at', t.expires_at
+             ) ORDER BY t.plugin_id, t.facet)
+        FROM app.tenant_plugins t
+       WHERE t.tenant_id = v_tenant
+    ), '[]'::jsonb),
+    'apps', coalesce((
+      SELECT jsonb_agg(x ORDER BY x ->> 'house', x ->> 'name')
+        FROM (
+          SELECT jsonb_build_object('id', a.id, 'name', a.name, 'icon', a.icon,
+                   'accent_color', a.accent_color, 'url', a.url, 'house', false) AS x
+            FROM app.tenant_apps ta JOIN app.apps a ON a.id = ta.app_id
+           WHERE ta.tenant_id = v_tenant AND ta.status = 'active' AND a.active
+          UNION ALL
+          SELECT jsonb_build_object('id', a.id, 'name', a.name, 'icon', a.icon,
+                   'accent_color', a.accent_color, 'url', a.url, 'house', true) AS x
+            FROM app.apps a
+           WHERE v_staff IS NOT NULL AND a.id = 'control-admin' AND a.active AND a.url IS NOT NULL
+        ) apps
+    ), '[]'::jsonb),
+    'nav', coalesce((
+      SELECT jsonb_agg(jsonb_build_object('key', n.entry_key, 'hidden', n.hidden, 'label', n.label,
+               'section', n.section, 'position', n.position) ORDER BY n.entry_key)
+        FROM app.tenant_nav n WHERE n.tenant_id = v_tenant
+    ), '[]'::jsonb)
+  );
+END $function$;

package/migrations/094_a_porta_do_dominio_aprende_a_grafia_nova.sql

@@ -0,0 +1,55 @@
+-- ---------------------------------------------------------------------------
+-- 076_a_porta_do_dominio_aprende_a_grafia_nova.sql — conserto de um defeito que
+-- a 074 introduziu.
+--
+-- A 074 normalizou as quatro grafias da marca numa só e moveu o domínio
+-- customizado para `branding.identity.customDomain`. `app.brand_token` tolera
+-- as três leituras, então tudo que passa por ele continuou funcionando.
+--
+-- `public.tenant_branding_public` NÃO passa por ele: ela procura o tenant com
+-- um `WHERE lower(settings #>> '{branding,custom_domain}') = ...`, a grafia
+-- plana, escrita à mão. Depois da normalização essa chave não existe mais em
+-- conta nenhuma, e a função passou a não achar ninguém.
+--
+-- O que isso quebrou: **a porta do domínio**. É a função anônima que responde
+-- "de quem é este endereço" antes de haver sessão — o que faz
+-- `sistema.espacofacial.com.br` abrir já na conta certa, e o que dá marca à
+-- loja pública e à tela de login. Ela falha em silêncio: o `EXCEPTION WHEN
+-- OTHERS` devolve um objeto de nulos, que lê como "domínio não cadastrado".
+--
+-- Passa a procurar pelas três grafias, na mesma ordem de desempate do
+-- `app.brand_token`: camadas primeiro, porque é para onde tudo caminhou.
+--
+-- Idempotente: substitui uma função.
+-- ---------------------------------------------------------------------------
+
+CREATE OR REPLACE FUNCTION public.tenant_branding_public(p_slug text DEFAULT NULL::text, p_domain text DEFAULT NULL::text)
+RETURNS jsonb
+LANGUAGE plpgsql
+STABLE SECURITY DEFINER
+SET search_path TO ''
+AS $function$
+DECLARE v_tenant uuid; v_domain text := lower(btrim(coalesce(p_domain, '')));
+BEGIN
+  IF nullif(btrim(coalesce(p_slug, '')), '') IS NOT NULL THEN
+    SELECT t.id INTO v_tenant FROM public.tenants t WHERE t.slug = lower(btrim(p_slug));
+  ELSIF v_domain <> '' THEN
+    SELECT t.id INTO v_tenant
+      FROM public.tenants t
+     WHERE lower(coalesce(
+             -- A grafia em camadas (074), que é onde o domínio mora agora.
+             t.settings #>> '{branding,identity,customDomain}',
+             -- E as duas antigas, para um pool que ainda não normalizou.
+             t.settings #>> '{branding,custom_domain}',
+             t.settings #>> '{branding,customDomain}'
+           )) = v_domain
+     ORDER BY t.created_at
+     LIMIT 1;
+  END IF;
+  RETURN app.branding_of(v_tenant) - 'error';
+EXCEPTION WHEN OTHERS THEN
+  RETURN jsonb_build_object('tenant_id', NULL, 'name', NULL, 'slug', NULL, 'logo_url', NULL, 'primary_color', NULL, 'custom_domain', NULL);
+END $function$;
+
+COMMENT ON FUNCTION public.tenant_branding_public(text, text) IS
+  'De quem é este endereço — a porta ANÔNIMA do domínio, respondida antes de haver sessão. É o que faz um domínio próprio abrir já na conta certa, e o que dá marca à loja pública e à tela de login. Aceita as três grafias do domínio; camadas primeiro.';

package/migrations/095_o_aplicativo_tem_um_preset_que_a_conta_estende.sql

@@ -0,0 +1,98 @@
+-- ---------------------------------------------------------------------------
+-- 077_o_aplicativo_tem_um_preset_que_a_conta_estende.sql — o rail curado de
+-- cada Control vira dado, e a conta passa a ESTENDÊ-LO em vez de recriá-lo.
+--
+-- ── O defeito que isto fecha ───────────────────────────────────────────────
+-- O aplicativo central monta o rail a partir dos plugins ativos da conta, e
+-- para um restaurante isso deu QUINZE linhas planas: Pedidos, Agenda, Cozinha,
+-- Salão, Estoque, CRM, Marketing, Reservas, Financeiro, Automações, Cardápio,
+-- Comunicação, Análises… O ChefControl resolveu isso há muito tempo com SETE
+-- rubricas e filhos dentro — "Operação" abriga Pedidos, Cozinha, Clientes e
+-- Reservas; "Produtos" abriga Cardápio e Estoque.
+--
+-- Esse desenho é conhecimento de produto, validado em cliente. Jogá-lo fora e
+-- deixar cada conta remontar a partir de plugins soltos é pedir a ela que
+-- redescubra o que já sabíamos — e foi exatamente o que aconteceu.
+--
+-- ── O que o preset é, e o que ele NÃO é ────────────────────────────────────
+-- Ele é o ponto de PARTIDA do aplicativo: a árvore do menu e a moldura do
+-- shell, como o ofício pede. Ele não é o que a conta tem — isso é
+-- `app.tenant_plugins`, e uma rubrica cujos filhos todos estão desligados
+-- simplesmente não desenha.
+--
+-- As três camadas, e a ordem delas:
+--
+--   1. `app.apps.preset`      o aplicativo — a árvore curada do ofício
+--   2. `app.tenant_plugins`   a conta — o que dela está ligado
+--   3. `app.tenant_nav`       a conta de novo — a diferença que ela pediu
+--
+-- ── Por que uma coluna e não uma tabela ────────────────────────────────────
+-- O preset é lido inteiro, sempre junto, e só o aplicativo escreve nele — não
+-- há consulta que queira uma rubrica sozinha, nem escrita concorrente que peça
+-- linhas. Uma tabela aqui daria um JOIN e uma montagem em árvore a cada boot
+-- para responder o que um documento responde de uma vez.
+--
+-- Idempotente: uma coluna com IF NOT EXISTS e UPDATEs por id.
+-- ---------------------------------------------------------------------------
+
+ALTER TABLE app.apps ADD COLUMN IF NOT EXISTS preset jsonb NOT NULL DEFAULT '{}'::jsonb;
+
+COMMENT ON COLUMN app.apps.preset IS
+  'O ponto de partida deste aplicativo: `shell` (layout, navegação de módulo, moldura) e `nav` (a árvore curada do ofício, com rubricas e filhos). A conta ESTENDE isto — o que ela tem vem de app.tenant_plugins e a diferença que ela pediu, de app.tenant_nav.';
+
+-- ── ChefControl ────────────────────────────────────────────────────────────
+-- Sete rubricas. A ordem é a da operação: primeiro o que acontece durante o
+-- serviço, depois o que se olha entre um serviço e outro.
+UPDATE app.apps SET preset = $$
+{
+  "shell": { "layout": "sidebar", "moduleNav": "sidebar", "contentFrame": true, "navChildConnector": true },
+  "nav": [
+    { "route": "/orders", "label": "Operação", "icon": "Utensils", "position": 10, "children": [
+      { "route": "/orders", "label": "Pedidos", "icon": "ClipboardList" },
+      { "route": "/kitchen", "label": "Cozinha", "icon": "ChefHat" },
+      { "route": "/clients", "label": "Clientes", "icon": "Users" },
+      { "route": "/reservations", "label": "Reservas", "icon": "CalendarClock" },
+      { "route": "/tables", "label": "Mesas", "icon": "MapPin" }
+    ]},
+    { "route": "/delivery", "label": "Delivery", "icon": "Bike", "position": 15 },
+    { "route": "/menu", "label": "Produtos", "icon": "Package", "position": 20, "children": [
+      { "route": "/menu", "label": "Cardápio", "icon": "UtensilsCrossed" },
+      { "route": "/inventory", "label": "Estoque", "icon": "Boxes" }
+    ]},
+    { "route": "/financial", "label": "Financeiro", "icon": "DollarSign", "position": 30 },
+    { "route": "/workforce", "label": "RH", "icon": "UsersRound", "position": 35 },
+    { "route": "/company", "label": "Cadastros", "icon": "Database", "position": 40, "children": [
+      { "route": "/staff", "label": "Equipe", "icon": "UserCog" }
+    ]},
+    { "route": "/analytics", "label": "Relatórios", "icon": "BarChart3", "position": 41 }
+  ]
+}
+$$::jsonb WHERE id = 'resto';
+
+-- ── StudioControl ──────────────────────────────────────────────────────────
+-- O estúdio nunca desenhou rail à mão: ele ORDENA os plugins, e a agenda vem
+-- primeiro porque o dia dele é uma agenda. O preset guarda só isso.
+UPDATE app.apps SET preset = $$
+{
+  "shell": { "layout": "sidebar", "moduleNav": "tabs", "contentFrame": true },
+  "order": ["agenda", "crm", "financial", "inventory", "marketing", "workforce", "reports"]
+}
+$$::jsonb WHERE id = 'beauty';
+
+-- ── StoreControl ───────────────────────────────────────────────────────────
+UPDATE app.apps SET preset = $$
+{
+  "shell": { "layout": "sidebar", "moduleNav": "tabs", "contentFrame": true },
+  "order": ["shop", "orders", "inventory", "crm", "marketing", "financial", "reports"]
+}
+$$::jsonb WHERE id = 'shop';
+
+-- ── FullControl ────────────────────────────────────────────────────────────
+-- O ERP não tem ofício, então não tem rubrica de ofício: a ordem é a do
+-- dinheiro e da venda.
+UPDATE app.apps SET preset = $$
+{
+  "shell": { "layout": "sidebar", "moduleNav": "sidebar", "contentFrame": true, "navChildConnector": true },
+  "order": ["crm", "conversations", "financial", "inventory", "marketing", "automations", "reports"]
+}
+$$::jsonb WHERE id = 'full';

package/migrations/096_o_sublinhado_tambem_e_nome_de_modulo.sql

@@ -0,0 +1,100 @@
+-- ---------------------------------------------------------------------------
+-- 078_o_sublinhado_tambem_e_nome_de_modulo.sql — o id de plugin passa a aceitar
+-- a mesma grafia que a facet ao lado dele já aceita, e o preset volta pro arquivo.
+-- ---------------------------------------------------------------------------
+-- `app.tenant_plugins` recusava `custom_forms`:
+--
+--     new row for relation "tenant_plugins" violates check constraint
+--     "tenant_plugins_plugin_id_check"
+--
+-- Não é política, é divergência. Na MESMA tabela, uma linha acima, `facet` já
+-- aceita sublinhado (`^[a-z][a-z0-9_-]*$`), e `tenant_setting_keys.reader`
+-- aceita `plugin:[a-z][a-z0-9_-]*` — quer dizer: o banco já sabia escrever
+-- `plugin:custom_forms` num lugar e recusava `custom_forms` no outro.
+--
+-- Das 29 fábricas de plugin publicadas hoje, `custom_forms` é a ÚNICA com
+-- sublinhado. Duas saídas existiam:
+--
+--   renomear pro hífen  →  44 arquivos, mais as linhas já gravadas em
+--                          `app.permissions`, `role_permissions` e nos ids de
+--                          ferramenta do agente (`custom_forms.list-templates`)
+--   alargar a checagem  →  três linhas, e o id volta a ser o do manifesto
+--
+-- A segunda, porque o defeito é da checagem: ela nunca encontrou o catálogo que
+-- existe. Alargar não abre espaço pra lixo — a forma continua fechada e
+-- continua minúscula; só reconhece o separador que o resto do schema já usa.
+--
+-- O preço honesto: `custom-forms` e `custom_forms` passam a ser dois ids
+-- válidos e DIFERENTES. Quem escreve é `tenant_plugin_set`, e o que ela grava é
+-- o id do manifesto — não há duas grafias em circulação, há uma, e agora ela
+-- cabe.
+-- ---------------------------------------------------------------------------
+
+ALTER TABLE app.tenant_plugins     DROP CONSTRAINT IF EXISTS tenant_plugins_plugin_id_check;
+ALTER TABLE app.plan_grants        DROP CONSTRAINT IF EXISTS plan_grants_plugin_id_check;
+ALTER TABLE app.vertical_defaults  DROP CONSTRAINT IF EXISTS vertical_defaults_plugin_id_check;
+
+ALTER TABLE app.tenant_plugins
+  ADD CONSTRAINT tenant_plugins_plugin_id_check CHECK (plugin_id ~ '^[a-z][a-z0-9_-]*$');
+ALTER TABLE app.plan_grants
+  ADD CONSTRAINT plan_grants_plugin_id_check CHECK (plugin_id ~ '^[a-z][a-z0-9_-]*$');
+ALTER TABLE app.vertical_defaults
+  ADD CONSTRAINT vertical_defaults_plugin_id_check CHECK (plugin_id ~ '^[a-z][a-z0-9_-]*$');
+
+-- ── O preset volta pro arquivo ─────────────────────────────────────────────
+-- A 077 criou `app.apps.preset` e semeou os quatro aplicativos, mas a porta que
+-- ENTREGA o preset foi aplicada só no cluster — o arquivo nunca a escreveu. Um
+-- banco novo ganharia a coluna e nenhum cliente a leria. Repetida aqui inteira,
+-- que é como uma função volta a ter dono.
+CREATE OR REPLACE FUNCTION public.app_config()
+RETURNS jsonb
+LANGUAGE plpgsql
+STABLE SECURITY DEFINER
+SET search_path TO ''
+AS $function$
+DECLARE
+  v_tenant uuid := app.current_tenant_id();
+  v_staff  text;
+BEGIN
+  -- `platform` e o schema do control-admin: existe no cluster que hospeda a
+  -- plataforma e NAO na cadeia canonica, onde esta funcao e reconstruida do
+  -- zero. Chamar direto compila (o corpo de plpgsql so resolve nomes na
+  -- primeira execucao) e estoura na primeira chamada com "schema platform
+  -- does not exist" — que e o pedagio de `search_path` vazio ja pago na
+  -- 060. Perguntar antes deixa a mesma definicao servir aos dois: sem o
+  -- schema, ninguem e staff, e o control-admin simplesmente nao e oferecido.
+  IF pg_catalog.to_regproc('platform.staff_role(uuid)') IS NOT NULL THEN
+    EXECUTE 'SELECT platform.staff_role($1)' INTO v_staff USING (SELECT auth.uid());
+  END IF;
+
+  IF v_tenant IS NULL THEN
+    RETURN jsonb_build_object('tenant_id', NULL, 'plugins', '[]'::jsonb, 'nav', '[]'::jsonb, 'apps', '[]'::jsonb);
+  END IF;
+
+  RETURN jsonb_build_object(
+    'tenant_id', v_tenant,
+    'branding',  coalesce(app.brand_of(v_tenant), '{}'::jsonb),
+    'settings',  public.tenant_settings(),
+    -- Todas as linhas, inclusive as desligadas: a regra no cliente é aditiva, e
+    -- uma linha ausente cai no padrão do manifesto — que é LIGADO.
+    'plugins', coalesce((
+      SELECT jsonb_agg(jsonb_build_object('plugin', t.plugin_id, 'facet', nullif(t.facet, ''),
+               'status', CASE WHEN t.expires_at IS NOT NULL AND t.expires_at <= now() THEN 'disabled' ELSE t.status END,
+               'source', t.source, 'config', t.config, 'expires_at', t.expires_at)
+             ORDER BY t.plugin_id, t.facet)
+        FROM app.tenant_plugins t WHERE t.tenant_id = v_tenant), '[]'::jsonb),
+    'apps', coalesce((
+      SELECT jsonb_agg(x ORDER BY x ->> 'house', x ->> 'name') FROM (
+        SELECT jsonb_build_object('id', a.id, 'name', a.name, 'icon', a.icon, 'accent_color', a.accent_color,
+                 'url', a.url, 'house', false, 'preset', a.preset) AS x
+          FROM app.tenant_apps ta JOIN app.apps a ON a.id = ta.app_id
+         WHERE ta.tenant_id = v_tenant AND ta.status = 'active' AND a.active
+        UNION ALL
+        SELECT jsonb_build_object('id', a.id, 'name', a.name, 'icon', a.icon, 'accent_color', a.accent_color,
+                 'url', a.url, 'house', true, 'preset', a.preset) AS x
+          FROM app.apps a WHERE v_staff IS NOT NULL AND a.id = 'control-admin' AND a.active AND a.url IS NOT NULL) apps), '[]'::jsonb),
+    'nav', coalesce((
+      SELECT jsonb_agg(jsonb_build_object('key', n.entry_key, 'hidden', n.hidden, 'label', n.label,
+               'section', n.section, 'position', n.position) ORDER BY n.entry_key)
+        FROM app.tenant_nav n WHERE n.tenant_id = v_tenant), '[]'::jsonb));
+END $function$;