@fayz-ai/db 0.16.0 → 0.18.0

package/migrations/123_um_writer_para_a_tabela_que_ja_tem_a_forma_certa.sql

@@ -0,0 +1,197 @@
+-- Um writer para a tabela que já tem a forma certa.
+--
+-- O porte tem 19 tabelas novas para transportar — caixa de entrada de NF-e,
+-- remessa bancária, comissão a pagar, ordem de produção, chamada de garçom — e
+-- todas foram DESENHADAS para este transporte: as colunas do destino têm o nome
+-- que o de-para produz, porque foram escritas olhando a origem.
+--
+-- Escrever dezenove writers de upsert quase idênticos custaria duas mil linhas
+-- e criaria dezenove lugares onde a mesma regra pode divergir. O motor já tem o
+-- precedente do contrário: `upsert_facet` serve dezesseis tabelas de origem com
+-- uma função só, lendo o alvo do `writer_args`.
+--
+-- Este é o mesmo movimento para o caso do upsert inteiro.
+--
+-- ── O que o torna seguro ────────────────────────────────────────────────────
+--
+-- SQL dinâmico a partir de jsonb é superfície de injeção, e a resposta não é
+-- "os dados vêm de lugar confiável" — isso é uma propriedade que se perde numa
+-- refatoração. As travas são estruturais:
+--
+--   1. O alvo tem de existir (`to_regclass`) E ser `target_table` de alguma
+--      linha da `migration.allowlist`. A allowlist é congelada por gatilho e só
+--      muda por arquivo de migration, então o conjunto de tabelas que este
+--      writer alcança é o conjunto que alguém escreveu num arquivo revisado.
+--
+--   2. Toda chave da linha é confrontada com `information_schema.columns` do
+--      alvo. O que casa vira coluna; o que não casa vai para `metadata` — não é
+--      descartado, e não vira identificador.
+--
+--   3. A coerção de tipo é do Postgres, não minha: `jsonb_populate_record`
+--      converte pelo ROWTYPE do destino. Texto que não é data falha ali, com o
+--      nome da coluna, em vez de virar nulo em silêncio.
+--
+--   4. Só as colunas que a linha traz entram no INSERT. As outras recebem o
+--      DEFAULT da tabela — que é o contrário de `jsonb_populate_record` sozinho,
+--      que preencheria tudo com nulo e apagaria os defaults.
+--
+-- ── O que ele NÃO faz ───────────────────────────────────────────────────────
+--
+-- Não traduz vocabulário, não deriva coluna, não recusa por regra de negócio.
+-- Tabela que precisa de qualquer uma dessas três coisas ganha writer próprio —
+-- é o caso de `upsert_appointment` (mapa de status), `upsert_clinical_session`
+-- (sete palavras fechadas) e `upsert_agenda_schedule` (dia inteiro vira faixa).
+-- Este writer é para a tabela que só precisa atravessar.
+--
+-- Idempotente.
+
+DO $$
+DECLARE v_def text;
+BEGIN
+  SELECT pg_get_constraintdef(oid) INTO v_def
+    FROM pg_constraint WHERE conname = 'allowlist_writer_check';
+  IF v_def IS NULL OR strpos(v_def, 'by_shape') > 0 THEN RETURN; END IF;
+  ALTER TABLE migration.allowlist DROP CONSTRAINT allowlist_writer_check;
+  EXECUTE replace(
+    'ALTER TABLE migration.allowlist ADD CONSTRAINT allowlist_writer_check ' || v_def,
+    '''person''::text', '''person''::text, ''by_shape''::text');
+END $$;
+
+CREATE OR REPLACE FUNCTION migration.upsert_by_shape(
+  p_tenant uuid, p_id uuid, p_row jsonb, p_args jsonb DEFAULT '{}'::jsonb
+) RETURNS jsonb
+LANGUAGE plpgsql SECURITY DEFINER SET search_path TO ''
+AS $function$
+DECLARE
+  v_target   text := p_args ->> 'target';
+  v_reg      regclass;
+  v_meta     jsonb := coalesce(p_row -> 'metadata', '{}'::jsonb);
+  v_cols     text[];
+  v_usadas   text[] := ARRAY[]::text[];
+  v_extra    jsonb := '{}'::jsonb;
+  v_payload  jsonb := '{}'::jsonb;
+  v_tem_meta boolean;
+  v_tem_unit boolean;
+  v_tem_upd  boolean;
+  v_unit     uuid;
+  v_lista    text;
+  v_select   text;
+  v_set      text;
+  v_existing uuid;
+  v_created  boolean := false;
+  v_falta    text;
+  k          text;
+  v_standalone boolean := migration._standalone();
+BEGIN
+  IF v_standalone THEN PERFORM migration._assert_fence(p_tenant); PERFORM set_config('migration.writer', 'on', true); END IF;
+
+  IF p_id IS NULL THEN
+    RETURN jsonb_build_object('status', 'quarantined', 'kind', 'state', 'reason', 'a row needs an id');
+  END IF;
+
+  -- Trava 1: o alvo existe e está declarado na allowlist.
+  v_reg := to_regclass(v_target);
+  IF v_reg IS NULL THEN
+    RETURN jsonb_build_object('status', 'quarantined', 'kind', 'state',
+      'reason', format('the by_shape writer needs a target that exists; got %L', coalesce(v_target, '<null>')));
+  END IF;
+  IF NOT EXISTS (SELECT 1 FROM migration.allowlist a WHERE a.target_table = v_target) THEN
+    RETURN jsonb_build_object('status', 'quarantined', 'kind', 'state',
+      'reason', format('%s is not a target_table of any allowlist row — this writer only reaches what the de-para declares', v_target));
+  END IF;
+
+  -- Trava 2: as colunas reais do destino.
+  SELECT array_agg(a.attname ORDER BY a.attnum) INTO v_cols
+    FROM pg_attribute a
+   WHERE a.attrelid = v_reg AND a.attnum > 0 AND NOT a.attisdropped;
+
+  v_tem_meta := 'metadata'   = ANY (v_cols);
+  v_tem_unit := 'unit_id'    = ANY (v_cols);
+  v_tem_upd  := 'updated_at' = ANY (v_cols);
+
+  FOR k IN SELECT jsonb_object_keys(p_row) LOOP
+    IF k IN ('id', 'tenant_id', 'metadata') THEN CONTINUE; END IF;
+    IF k = ANY (v_cols) THEN
+      v_usadas := v_usadas || k;
+      v_payload := v_payload || jsonb_build_object(k, p_row -> k);
+    ELSE
+      -- Nem coluna nem descarte: o que não casa vira metadata, e continua
+      -- legível para quem for conferir o porte depois.
+      v_extra := v_extra || jsonb_build_object(k, p_row -> k);
+    END IF;
+  END LOOP;
+
+  IF v_tem_meta THEN
+    v_meta := v_meta || CASE WHEN v_extra = '{}'::jsonb THEN '{}'::jsonb
+                             ELSE jsonb_build_object('migration', jsonb_build_object('unmapped', v_extra)) END;
+  END IF;
+
+  -- Coluna obrigatória sem valor e sem default é recusa de VALOR, com o nome
+  -- dela — e não um erro de constraint no meio do lote.
+  SELECT string_agg(a.attname, ', ') INTO v_falta
+    FROM pg_attribute a
+   WHERE a.attrelid = v_reg AND a.attnum > 0 AND NOT a.attisdropped
+     AND a.attnotnull
+     AND NOT EXISTS (SELECT 1 FROM pg_attrdef d WHERE d.adrelid = a.attrelid AND d.adnum = a.attnum)
+     AND a.attname <> ALL (v_usadas)
+     AND a.attname NOT IN ('id', 'tenant_id');
+  IF v_falta IS NOT NULL THEN
+    RETURN jsonb_build_object('status', 'quarantined', 'kind', 'value',
+      'reason', format('%s requires %s, and the de-para did not map it', v_target, v_falta));
+  END IF;
+
+  EXECUTE format('SELECT tenant_id FROM %s WHERE id = $1', v_reg) INTO v_existing USING p_id;
+  IF v_existing IS NOT NULL AND v_existing <> p_tenant THEN
+    RETURN jsonb_build_object('status', 'quarantined', 'kind', 'tenant',
+      'reason', format('%s %s already exists in another tenant', v_target, p_id));
+  END IF;
+
+  v_payload := v_payload || jsonb_build_object('id', p_id, 'tenant_id', p_tenant);
+  IF v_tem_meta THEN v_payload := v_payload || jsonb_build_object('metadata', v_meta); END IF;
+
+  v_lista  := (SELECT string_agg(quote_ident(x), ', ') FROM unnest(
+                 v_usadas || ARRAY['id', 'tenant_id'] ||
+                 CASE WHEN v_tem_meta THEN ARRAY['metadata'] ELSE ARRAY[]::text[] END) x);
+  v_select := (SELECT string_agg('r.' || quote_ident(x), ', ') FROM unnest(
+                 v_usadas || ARRAY['id', 'tenant_id'] ||
+                 CASE WHEN v_tem_meta THEN ARRAY['metadata'] ELSE ARRAY[]::text[] END) x);
+  v_set    := (SELECT string_agg(format('%I = EXCLUDED.%I', x, x), ', ')
+                 FROM unnest(v_usadas) x WHERE x <> 'created_at');
+  IF v_tem_meta THEN
+    v_set := coalesce(v_set || ', ', '') ||
+             format('metadata = migration._merge_meta(%s.metadata, EXCLUDED.metadata)', v_reg::text);
+  END IF;
+  IF v_tem_upd THEN
+    v_set := coalesce(v_set || ', ', '') || 'updated_at = now()';
+  END IF;
+
+  -- `jsonb_populate_record` contra o ROWTYPE do destino: a coerção é do
+  -- Postgres. Só as colunas que a linha trouxe entram, para as outras ficarem
+  -- com o DEFAULT da tabela.
+  IF v_set IS NULL OR v_set = '' THEN
+    EXECUTE format('INSERT INTO %s (%s) SELECT %s FROM jsonb_populate_record(null::%s, $1) r ON CONFLICT (id) DO NOTHING',
+                   v_reg, v_lista, v_select, v_reg) USING v_payload;
+  ELSE
+    EXECUTE format('INSERT INTO %s (%s) SELECT %s FROM jsonb_populate_record(null::%s, $1) r ON CONFLICT (id) DO UPDATE SET %s',
+                   v_reg, v_lista, v_select, v_reg, v_set) USING v_payload;
+  END IF;
+  v_created := v_existing IS NULL;
+
+  IF v_tem_unit THEN
+    BEGIN v_unit := (p_row ->> 'unit_id')::uuid; EXCEPTION WHEN OTHERS THEN v_unit := NULL; END;
+    PERFORM migration._set_unit(v_target, p_id, v_unit);
+  END IF;
+
+  IF v_standalone THEN
+    PERFORM migration._audit(p_tenant, v_target, p_id,
+      jsonb_build_object('reason', CASE WHEN v_created THEN 'created' ELSE 'updated' END));
+  END IF;
+  RETURN jsonb_build_object('status', 'migrated', 'target_id', p_id,
+    'reason', CASE WHEN v_created THEN 'created' ELSE 'updated' END);
+END $function$;
+
+COMMENT ON FUNCTION migration.upsert_by_shape(uuid, uuid, jsonb, jsonb) IS
+  'Upsert genérico para a tabela de destino cujas colunas já têm o nome que o de-para produz. O alvo vem de writer_args.target e tem de ser target_table de alguma linha da allowlist.';
+
+REVOKE ALL ON FUNCTION migration.upsert_by_shape(uuid, uuid, jsonb, jsonb) FROM PUBLIC, anon, authenticated;
+GRANT EXECUTE ON FUNCTION migration.upsert_by_shape(uuid, uuid, jsonb, jsonb) TO service_role;

package/migrations/124_o_updated_at_so_pode_ser_atribuido_uma_vez.sql

@@ -0,0 +1,155 @@
+-- O `updated_at` só pode ser atribuído uma vez.
+--
+-- `upsert_by_shape` (123) montava o SET do ON CONFLICT com duas atribuições da
+-- mesma coluna quando a linha de origem trazia `updated_at`:
+--
+--     updated_at = EXCLUDED.updated_at   (porque a coluna veio mapeada)
+--     updated_at = now()                 (porque a tabela tem a coluna)
+--
+-- O Postgres recusa: `42601: multiple assignments to same column "updated_at"`.
+-- A primeira onda com o writer genérico devolveu 170 notas fiscais em
+-- quarentena por isso — e, em cascata, os 915 itens, pagamentos e duplicatas
+-- que dependiam delas.
+--
+-- ── E a correção não é escolher `now()` ─────────────────────────────────────
+--
+-- Quando a origem TRAZ `updated_at`, é ele que vale: o porte está copiando uma
+-- linha que mudou lá em 2025, e carimbar `now()` faria toda a história chegar
+-- com a data da migração. O espelho D-1 depende disso — é por `updated_at` que
+-- o cursor decide o que releu.
+--
+-- `now()` fica para quando a origem não diz: aí a única verdade disponível é
+-- "chegou agora".
+--
+-- Idempotente.
+
+CREATE OR REPLACE FUNCTION migration.upsert_by_shape(
+  p_tenant uuid, p_id uuid, p_row jsonb, p_args jsonb DEFAULT '{}'::jsonb
+) RETURNS jsonb
+LANGUAGE plpgsql SECURITY DEFINER SET search_path TO ''
+AS $function$
+DECLARE
+  v_target   text := p_args ->> 'target';
+  v_reg      regclass;
+  v_meta     jsonb := coalesce(p_row -> 'metadata', '{}'::jsonb);
+  v_cols     text[];
+  v_usadas   text[] := ARRAY[]::text[];
+  v_extra    jsonb := '{}'::jsonb;
+  v_payload  jsonb := '{}'::jsonb;
+  v_tem_meta boolean;
+  v_tem_unit boolean;
+  v_tem_upd  boolean;
+  v_unit     uuid;
+  v_lista    text;
+  v_select   text;
+  v_set      text;
+  v_existing uuid;
+  v_created  boolean := false;
+  v_falta    text;
+  k          text;
+  v_standalone boolean := migration._standalone();
+BEGIN
+  IF v_standalone THEN PERFORM migration._assert_fence(p_tenant); PERFORM set_config('migration.writer', 'on', true); END IF;
+
+  IF p_id IS NULL THEN
+    RETURN jsonb_build_object('status', 'quarantined', 'kind', 'state', 'reason', 'a row needs an id');
+  END IF;
+
+  v_reg := to_regclass(v_target);
+  IF v_reg IS NULL THEN
+    RETURN jsonb_build_object('status', 'quarantined', 'kind', 'state',
+      'reason', format('the by_shape writer needs a target that exists; got %L', coalesce(v_target, '<null>')));
+  END IF;
+  IF NOT EXISTS (SELECT 1 FROM migration.allowlist a WHERE a.target_table = v_target) THEN
+    RETURN jsonb_build_object('status', 'quarantined', 'kind', 'state',
+      'reason', format('%s is not a target_table of any allowlist row — this writer only reaches what the de-para declares', v_target));
+  END IF;
+
+  SELECT array_agg(a.attname ORDER BY a.attnum) INTO v_cols
+    FROM pg_attribute a
+   WHERE a.attrelid = v_reg AND a.attnum > 0 AND NOT a.attisdropped;
+
+  v_tem_meta := 'metadata'   = ANY (v_cols);
+  v_tem_unit := 'unit_id'    = ANY (v_cols);
+  v_tem_upd  := 'updated_at' = ANY (v_cols);
+
+  FOR k IN SELECT jsonb_object_keys(p_row) LOOP
+    IF k IN ('id', 'tenant_id', 'metadata') THEN CONTINUE; END IF;
+    IF k = ANY (v_cols) THEN
+      v_usadas := v_usadas || k;
+      v_payload := v_payload || jsonb_build_object(k, p_row -> k);
+    ELSE
+      v_extra := v_extra || jsonb_build_object(k, p_row -> k);
+    END IF;
+  END LOOP;
+
+  IF v_tem_meta THEN
+    v_meta := v_meta || CASE WHEN v_extra = '{}'::jsonb THEN '{}'::jsonb
+                             ELSE jsonb_build_object('migration', jsonb_build_object('unmapped', v_extra)) END;
+  END IF;
+
+  SELECT string_agg(a.attname, ', ') INTO v_falta
+    FROM pg_attribute a
+   WHERE a.attrelid = v_reg AND a.attnum > 0 AND NOT a.attisdropped
+     AND a.attnotnull
+     AND NOT EXISTS (SELECT 1 FROM pg_attrdef d WHERE d.adrelid = a.attrelid AND d.adnum = a.attnum)
+     AND a.attname <> ALL (v_usadas)
+     AND a.attname NOT IN ('id', 'tenant_id');
+  IF v_falta IS NOT NULL THEN
+    RETURN jsonb_build_object('status', 'quarantined', 'kind', 'value',
+      'reason', format('%s requires %s, and the de-para did not map it', v_target, v_falta));
+  END IF;
+
+  EXECUTE format('SELECT tenant_id FROM %s WHERE id = $1', v_reg) INTO v_existing USING p_id;
+  IF v_existing IS NOT NULL AND v_existing <> p_tenant THEN
+    RETURN jsonb_build_object('status', 'quarantined', 'kind', 'tenant',
+      'reason', format('%s %s already exists in another tenant', v_target, p_id));
+  END IF;
+
+  v_payload := v_payload || jsonb_build_object('id', p_id, 'tenant_id', p_tenant);
+  IF v_tem_meta THEN v_payload := v_payload || jsonb_build_object('metadata', v_meta); END IF;
+
+  v_lista  := (SELECT string_agg(quote_ident(x), ', ') FROM unnest(
+                 v_usadas || ARRAY['id', 'tenant_id'] ||
+                 CASE WHEN v_tem_meta THEN ARRAY['metadata'] ELSE ARRAY[]::text[] END) x);
+  v_select := (SELECT string_agg('r.' || quote_ident(x), ', ') FROM unnest(
+                 v_usadas || ARRAY['id', 'tenant_id'] ||
+                 CASE WHEN v_tem_meta THEN ARRAY['metadata'] ELSE ARRAY[]::text[] END) x);
+  -- `created_at` fica de fora porque criação não se reescreve. `updated_at` sai
+  -- daqui e volta logo abaixo — ou com o valor da ORIGEM, ou com `now()` quando
+  -- a origem não diz. Atribuir as duas coisas é o erro 42601 que esta migration
+  -- existe para corrigir.
+  v_set := (SELECT string_agg(format('%I = EXCLUDED.%I', x, x), ', ')
+              FROM unnest(v_usadas) x WHERE x NOT IN ('created_at', 'updated_at'));
+  IF v_tem_meta THEN
+    v_set := coalesce(v_set || ', ', '') ||
+             format('metadata = migration._merge_meta(%s.metadata, EXCLUDED.metadata)', v_reg::text);
+  END IF;
+  IF v_tem_upd THEN
+    v_set := coalesce(v_set || ', ', '') ||
+             CASE WHEN 'updated_at' = ANY (v_usadas)
+                  THEN 'updated_at = EXCLUDED.updated_at'
+                  ELSE 'updated_at = now()' END;
+  END IF;
+
+  IF v_set IS NULL OR v_set = '' THEN
+    EXECUTE format('INSERT INTO %s (%s) SELECT %s FROM jsonb_populate_record(null::%s, $1) r ON CONFLICT (id) DO NOTHING',
+                   v_reg, v_lista, v_select, v_reg) USING v_payload;
+  ELSE
+    EXECUTE format('INSERT INTO %s (%s) SELECT %s FROM jsonb_populate_record(null::%s, $1) r ON CONFLICT (id) DO UPDATE SET %s',
+                   v_reg, v_lista, v_select, v_reg, v_set) USING v_payload;
+  END IF;
+  v_created := v_existing IS NULL;
+
+  IF v_tem_unit THEN
+    BEGIN v_unit := (p_row ->> 'unit_id')::uuid; EXCEPTION WHEN OTHERS THEN v_unit := NULL; END;
+    PERFORM migration._set_unit(v_target, p_id, v_unit);
+  END IF;
+
+  IF v_standalone THEN
+    PERFORM migration._audit(p_tenant, v_target, p_id,
+      jsonb_build_object('reason', CASE WHEN v_created THEN 'created' ELSE 'updated' END));
+  END IF;
+  RETURN jsonb_build_object('status', 'migrated', 'target_id', p_id,
+    'reason', CASE WHEN v_created THEN 'created' ELSE 'updated' END);
+END $function$;

package/migrations/125_a_data_que_fecha_nao_e_a_data_que_so_lembra.sql

@@ -0,0 +1,160 @@
+-- ============================================================================
+-- 125 — A DATA QUE FECHA NÃO É A DATA QUE SÓ LEMBRA.
+--
+-- O V1 guarda as duas coisas na mesma tabela e as separa por UMA coluna,
+-- `holidays.is_holiday`, que o formulário chama de *Tipo*:
+--
+--   Feriado            "Afeta agenda e funcionamento"
+--   Data Comemorativa  "Usada no módulo de marketing"
+--
+-- O V2 herdou a tabela e PERDEU a coluna: o ETL trouxe 179 linhas para o Espaço
+-- Facial sem nenhum traço de `is_holiday` (o `metadata.migration` guarda só o
+-- batch e a origem). Sem ela, "Dia do Sorvete" e "Independência do Brasil" são
+-- a mesma coisa para quem lê a tabela — e uma agenda que tratasse as duas
+-- igualmente fecharia a casa no Dia do Sorvete ou abriria no dia 7 de setembro.
+--
+-- `kind` NÃO resolve isso: national|state|city|company é ALCANCE GEOGRÁFICO, e
+-- de fato as 177 linhas importadas estão todas em 'national', comemorativas
+-- inclusive. São eixos ortogonais.
+--
+-- ── O backfill, e o que ele deliberadamente não decide ──────────────────────
+--
+-- Marca como fechamento APENAS o que é feriado nacional por lei (Lei 662/1949,
+-- 6.802/1980 e 14.759/2024, mais a Sexta-feira Santa). Tudo o mais nasce
+-- comemorativo.
+--
+-- Carnaval, Quarta-feira de Cinzas e Corpus Christi ficam de FORA de propósito:
+-- são ponto facultativo, não feriado — quem fecha nesses dias é a casa, e o V1
+-- deixava isso por linha. Adivinhar aqui fecharia três dias do ano de 179
+-- tenants sem ninguém ter pedido. A tela permite virar a chave numa linha.
+--
+-- Idempotente: o UPDATE só toca linhas que ainda estão no padrão.
+-- ============================================================================
+
+ALTER TABLE public.holidays
+  ADD COLUMN IF NOT EXISTS closes boolean NOT NULL DEFAULT true;
+
+COMMENT ON COLUMN public.holidays.closes IS
+  'true = fecha/altera o funcionamento (o "Feriado" do V1); false = data comemorativa, só marketing.';
+
+-- Os nomes exatos com que o calendário oficial do V1 escreve os feriados
+-- nacionais. Comparação sem acento e sem caixa: a mesma data chega escrita
+-- "Nossa Senhora Aparecida" e "Nossa Senhora da Aparecida" no mesmo tenant.
+DO $$
+DECLARE
+  v_fechamentos text[] := ARRAY[
+    'confraternizacao universal',
+    'tiradentes',
+    'dia do trabalho',
+    'dia do trabalhador',
+    'sexta-feira santa',
+    'independencia do brasil',
+    'nossa senhora aparecida',
+    'nossa senhora da aparecida',
+    'finados',
+    'proclamacao da republica',
+    'consciencia negra',
+    'natal'
+  ];
+BEGIN
+  -- `translate` e não `unaccent`: a extensão não está garantida em todo pool, e
+  -- um corpo com search_path vazio só estoura na PRIMEIRA chamada.
+  UPDATE public.holidays h
+     SET closes = false
+   WHERE h.closes                      -- só o que ainda está no padrão
+     AND translate(lower(btrim(h.name)), 'áàâãéêíóôõúüç', 'aaaaeeiooouuc') <> ALL (v_fechamentos);
+END $$;
+
+-- ---------------------------------------------------------------------------
+-- A porta por onde a agenda lê. Sem `closes` aqui, o eixo existiria na tabela e
+-- não chegaria a tela nenhuma.
+-- ---------------------------------------------------------------------------
+-- DROP antes: `CREATE OR REPLACE` não muda a forma do RETURNS TABLE, e uma
+-- coluna nova é forma nova.
+DROP FUNCTION IF EXISTS public.holidays_for_unit(uuid, date, date);
+CREATE FUNCTION public.holidays_for_unit(p_unit uuid, p_from date, p_to date)
+RETURNS TABLE (id uuid, occurs_on date, name text, kind text, unit_id uuid,
+               recurring boolean, description text, closes boolean)
+LANGUAGE sql STABLE SET search_path = ''
+AS $$
+  WITH years AS (
+    SELECT generate_series(extract(year FROM p_from)::int, extract(year FROM p_to)::int) AS y
+  ),
+  scoped AS (
+    SELECT h.* FROM public.holidays h
+     WHERE h.tenant_id = app.current_tenant_id()
+       AND h.is_active
+       AND (h.unit_id IS NULL OR h.unit_id = p_unit)
+       AND (p_unit IS NULL OR EXISTS (SELECT 1 FROM app.units u WHERE u.tenant_id = h.tenant_id AND u.id = p_unit))
+  )
+  SELECT s.id, s.date AS occurs_on, s.name, s.kind, s.unit_id, s.recurring, s.description, s.closes
+    FROM scoped s
+   WHERE NOT s.recurring AND s.date BETWEEN p_from AND p_to
+  UNION ALL
+  SELECT s.id, (s.date + make_interval(years => (y.y - extract(year FROM s.date)::int)))::date,
+         s.name, s.kind, s.unit_id, s.recurring, s.description, s.closes
+    FROM scoped s CROSS JOIN years y
+   WHERE s.recurring
+     AND (s.date + make_interval(years => (y.y - extract(year FROM s.date)::int)))::date BETWEEN p_from AND p_to
+   ORDER BY 2, 3;
+$$;
+
+-- O DROP leva as concessões junto, e o padrão do Postgres é EXECUTE para
+-- PUBLIC — o que abriria o calendário da casa ao anon.
+REVOKE ALL ON FUNCTION public.holidays_for_unit(uuid, date, date) FROM PUBLIC;
+REVOKE ALL ON FUNCTION public.holidays_for_unit(uuid, date, date) FROM anon;
+GRANT EXECUTE ON FUNCTION public.holidays_for_unit(uuid, date, date) TO authenticated, service_role;
+
+-- ---------------------------------------------------------------------------
+-- E o writer do ETL, para que a próxima carga traga o eixo em vez de perdê-lo
+-- de novo. `closes` ausente no payload mantém o que está gravado: uma casa que
+-- virou a chave à mão não a perde na reimportação.
+-- ---------------------------------------------------------------------------
+CREATE OR REPLACE FUNCTION migration.upsert_holiday(p_tenant uuid, p_id uuid, p_row jsonb, p_args jsonb DEFAULT '{}'::jsonb)
+RETURNS jsonb LANGUAGE plpgsql SECURITY DEFINER SET search_path = ''
+AS $$
+DECLARE
+  v_meta jsonb := coalesce(p_row -> 'metadata', '{}'::jsonb);
+  v_kind text := coalesce(p_args ->> 'kind', 'company');
+  v_date date;
+  v_name text := nullif(btrim(coalesce(p_row ->> 'name', '')), '');
+  v_existing_tenant uuid;
+  v_created boolean := false;
+  v_standalone boolean := migration._standalone();
+BEGIN
+  IF v_standalone THEN PERFORM migration._assert_fence(p_tenant); PERFORM set_config('migration.writer', 'on', true); END IF;
+  BEGIN
+    v_date := (p_row ->> 'date')::date;
+  EXCEPTION WHEN OTHERS THEN
+    RETURN jsonb_build_object('status', 'quarantined', 'kind', 'value', 'reason', format('%L is not a date', p_row ->> 'date'));
+  END;
+  IF p_id IS NULL OR v_date IS NULL OR v_name IS NULL THEN
+    RETURN jsonb_build_object('status', 'quarantined', 'kind', 'state', 'reason', 'a holiday needs an id, a date and a name');
+  END IF;
+  IF v_kind NOT IN ('national', 'state', 'city', 'company') THEN
+    RETURN jsonb_build_object('status', 'quarantined', 'kind', 'value', 'reason', format('unknown holiday kind %L', v_kind));
+  END IF;
+  SELECT tenant_id INTO v_existing_tenant FROM public.holidays WHERE id = p_id;
+  IF v_existing_tenant IS NOT NULL AND v_existing_tenant <> p_tenant THEN
+    RETURN jsonb_build_object('status', 'quarantined', 'kind', 'tenant', 'reason', format('holiday %s already exists in another tenant', p_id));
+  END IF;
+  IF v_existing_tenant IS NULL THEN
+    INSERT INTO public.holidays (id, tenant_id, unit_id, date, name, kind, recurring, description, is_active, closes, metadata)
+    VALUES (p_id, p_tenant, (p_row ->> 'unit_id')::uuid, v_date, v_name, v_kind,
+            coalesce((p_row ->> 'recurring')::boolean, false), p_row ->> 'description',
+            coalesce((p_row ->> 'is_active')::boolean, true),
+            coalesce((p_row ->> 'closes')::boolean, true), v_meta);
+    v_created := true;
+  ELSE
+    UPDATE public.holidays SET
+      unit_id = CASE WHEN p_row ? 'unit_id' THEN (p_row ->> 'unit_id')::uuid ELSE unit_id END,
+      date = v_date, name = v_name, kind = v_kind,
+      recurring = CASE WHEN p_row ? 'recurring' THEN coalesce((p_row ->> 'recurring')::boolean, false) ELSE recurring END,
+      description = CASE WHEN p_row ? 'description' THEN p_row ->> 'description' ELSE description END,
+      closes = CASE WHEN p_row ? 'closes' THEN coalesce((p_row ->> 'closes')::boolean, true) ELSE closes END,
+      metadata = migration._merge_meta(metadata, v_meta)
+    WHERE id = p_id;
+  END IF;
+  IF v_standalone THEN PERFORM migration._audit(p_tenant, 'public.holidays', p_id, jsonb_build_object('reason', CASE WHEN v_created THEN 'created' ELSE 'updated' END)); END IF;
+  RETURN jsonb_build_object('status', 'migrated', 'target_id', p_id, 'reason', CASE WHEN v_created THEN 'created' ELSE 'updated' END);
+END $$;

package/migrations/126_o_telefone_procurado_nao_tem_parenteses.sql

@@ -0,0 +1,62 @@
+-- ============================================================================
+-- 126 — O TELEFONE PROCURADO NÃO TEM PARÊNTESES.
+--
+-- O V1 procura cliente por NOME, TELEFONE OU CPF ("a busca pede pelo menos 2
+-- caracteres e procura por nome, telefone ou CPF"). O V2 procura só por nome —
+-- e a recepção, com a cliente ao telefone, digita o número e não acha ninguém.
+--
+-- Por que não bastou trocar a consulta: dos 120.808 contatos do Espaço Facial,
+-- 100.322 têm o telefone GRAVADO COM FORMATO — "(21) 99999-9999" — e 19.689 em
+-- dígitos puros. Quem digita "21999999999" não casa com o primeiro grupo; quem
+-- digita "(21)" não casa com o segundo. Comparar texto com texto aqui é uma
+-- loteria sobre como o dado foi digitado anos atrás.
+--
+-- `phone_digits` é a mesma informação sem a pontuação, calculada pelo banco.
+-- GERADA, não copiada: uma coluna que alguém precisa lembrar de atualizar
+-- envelhece em silêncio, e uma busca que envelhece devolve "não encontrado"
+-- para quem está cadastrado.
+--
+-- `document_number` não precisa disto — os 114.476 preenchidos já estão em
+-- dígitos puros neste tenant.
+--
+-- ── Custo ──────────────────────────────────────────────────────────────────
+--
+-- Coluna gerada REESCREVE a tabela (565 MB, 123.483 linhas) com ACCESS
+-- EXCLUSIVE: `public.people` fica indisponível por dezenas de segundos. É uma
+-- janela curta, mas é uma janela — vale rodar fora do horário de balcão.
+--
+-- Os índices de trigrama são o outro lado: hoje CADA TECLA da busca faz varredura
+-- sequencial em 123 mil linhas, porque `ilike '%texto%'` não usa índice comum.
+-- `extensions.gin_trgm_ops` qualificado de propósito: a extensão não mora em
+-- `public`, e um nome sem esquema só falha na primeira chamada.
+-- ============================================================================
+
+ALTER TABLE public.people
+  ADD COLUMN IF NOT EXISTS phone_digits text
+  GENERATED ALWAYS AS (nullif(regexp_replace(coalesce(phone, ''), '[^0-9]', '', 'g'), '')) STORED;
+
+COMMENT ON COLUMN public.people.phone_digits IS
+  'O telefone só com dígitos, gerado a partir de `phone`. É por onde a busca procura.';
+
+CREATE INDEX IF NOT EXISTS people_phone_digits_trgm
+  ON public.people USING gin (phone_digits extensions.gin_trgm_ops);
+
+CREATE INDEX IF NOT EXISTS people_document_number_trgm
+  ON public.people USING gin (document_number extensions.gin_trgm_ops);
+
+CREATE INDEX IF NOT EXISTS people_name_trgm
+  ON public.people USING gin (name extensions.gin_trgm_ops);
+
+-- A VISTA MASCARADA TAMBÉM PRECISA SABER DA COLUNA NOVA.
+--
+-- `public.people` é a única tabela com leitura mascarada (`v_people`), e a
+-- vista é GERADA: coluna acrescentada à tabela e ausente da vista chega ao
+-- cliente como "não existe esse campo" — não como erro. O portão N16d do pgTAP
+-- existe exatamente para isto, e foi ele que pegou.
+DO $$
+BEGIN
+  IF to_regprocedure('app.masked_view_refresh(regclass,text,text)') IS NOT NULL
+     AND EXISTS (SELECT 1 FROM app.masked_views WHERE table_name = 'people') THEN
+    PERFORM app.masked_view_refresh('public.people', 'person', 'person');
+  END IF;
+END $$;