@hed-hog/core 0.0.387 → 0.0.390

package/src/leaked-password/seed/common-passwords.txt

@@ -0,0 +1,335 @@
+# Lista base de senhas notoriamente vazadas / triviais.
+#
+# ESCOPO: este arquivo é uma BASE CURADA, não o top-N do Have I Been Pwned. São
+# as senhas que aparecem em toda publicação anual de "senhas mais usadas", mais
+# os padrões brasileiros equivalentes. O gerador (build-seed-sql.mjs) expande
+# cada palavra-base com os sufixos/variações que dominam corpus de vazamento
+# (ano, sequência numérica, capitalização, leet), chegando a alguns milhares de
+# entradas — o suficiente para barrar o reuso óbvio.
+#
+# Cobertura real (centenas de milhões de hashes) vem do comando de import de
+# dump do Pwned Passwords; ver ../README.md.
+#
+# Formato: uma senha/palavra-base por linha. Linha com # é comentário.
+# Palavras marcadas com "=" no início entram SÓ como literal, sem expansão
+# (são senhas completas, não bases: expandir "123456" em "1234561990" só gera
+# ruído).
+
+# --- sequências numéricas e de teclado (literais, sem expansão) ---
+=123456
+=1234567
+=12345678
+=123456789
+=1234567890
+=12345
+=1234
+=123
+=111111
+=1111111
+=11111111
+=000000
+=00000000
+=121212
+=123123
+=123321
+=112233
+=102030
+=147258
+=159753
+=654321
+=7654321
+=87654321
+=987654321
+=9876543210
+=1q2w3e
+=1q2w3e4r
+=1q2w3e4r5t
+=1qaz2wsx
+=1qaz2wsx3edc
+=qwerty
+=qwertyui
+=qwertyuiop
+=qwerty123
+=qwe123
+=asdfgh
+=asdfghjkl
+=asdf1234
+=zxcvbn
+=zxcvbnm
+=qazwsx
+=qazwsxedc
+=poiuytrewq
+=mnbvcxz
+=abcdef
+=abcdefg
+=abcdefgh
+=abc123
+=a1b2c3
+=aaaaaa
+=aaaaaaaa
+=abcd1234
+=asdasd
+=asdfasdf
+=qweqwe
+=zaq12wsx
+=1a2b3c
+
+# --- clássicos em inglês (expandem) ---
+password
+passwd
+pass
+admin
+administrator
+root
+toor
+guest
+user
+test
+demo
+default
+login
+logon
+welcome
+letmein
+changeme
+secret
+master
+manager
+system
+service
+oracle
+postgres
+mysql
+sqlserver
+database
+backup
+temp
+public
+private
+access
+qwertz
+monkey
+dragon
+shadow
+sunshine
+princess
+football
+baseball
+basketball
+soccer
+hockey
+superman
+batman
+spiderman
+ironman
+starwars
+pokemon
+minecraft
+fortnite
+computer
+internet
+whatever
+freedom
+trustno
+hunter
+ranger
+killer
+hammer
+cheese
+cookie
+chocolate
+banana
+orange
+purple
+yellow
+silver
+golden
+diamond
+phoenix
+thunder
+tiger
+eagle
+falcon
+wolf
+bear
+lion
+snake
+angel
+devil
+heaven
+summer
+winter
+spring
+autumn
+flower
+butterfly
+rainbow
+forever
+iloveyou
+loveme
+lovely
+sweetie
+honey
+baby
+darling
+kisses
+friend
+family
+mother
+father
+michael
+jennifer
+jessica
+ashley
+daniel
+matthew
+joshua
+andrew
+nicole
+robert
+william
+thomas
+charlie
+george
+oliver
+harry
+jack
+liverpool
+chelsea
+arsenal
+barcelona
+juventus
+
+# --- padrões brasileiros (expandem) ---
+senha
+senhas
+minhasenha
+novasenha
+mudar
+mudarsenha
+alterar
+usuario
+administrador
+convidado
+teste
+padrao
+acesso
+entrar
+brasil
+brasileiro
+saopaulo
+riodejaneiro
+belohorizonte
+salvador
+fortaleza
+curitiba
+recife
+portoalegre
+manaus
+brasilia
+goiania
+flamengo
+corinthians
+palmeiras
+santos
+gremio
+internacional
+cruzeiro
+atletico
+vasco
+botafogo
+fluminense
+bahia
+sport
+ceara
+fortalezaec
+coritiba
+mengao
+timao
+verdao
+galo
+colorado
+tricolor
+jesus
+jesuscristo
+deus
+deusefiel
+deusnocomando
+amem
+familia
+familiaunida
+amomeufilho
+amominhafilha
+amomeuamor
+teamo
+teamomuito
+saudade
+felicidade
+esperanca
+liberdade
+vitoria
+guerreiro
+campeao
+maria
+joao
+jose
+ana
+pedro
+paulo
+lucas
+gabriel
+rafael
+felipe
+bruno
+carlos
+antonio
+francisco
+marcos
+luiz
+juliana
+fernanda
+patricia
+camila
+amanda
+leticia
+mariana
+carolina
+beatriz
+larissa
+cachorro
+gato
+amor
+coracao
+sorriso
+estrela
+sol
+lua
+mar
+praia
+festa
+carnaval
+samba
+futebol
+churrasco
+feijoada
+cerveja
+caipirinha
+motorista
+professor
+medico
+enfermeira
+policia
+bombeiro
+seguranca
+financeiro
+comercial
+vendas
+suporte
+empresa
+escritorio
+trabalho
+escola
+faculdade
+universidade
+hcode
+hedhog

package/src/mail/dto/preview.dto.ts

@@ -0,0 +1,50 @@
+import { Type } from 'class-transformer';
+import {
+  IsBoolean,
+  IsObject,
+  IsOptional,
+  IsString,
+  ValidateNested,
+} from 'class-validator';
+
+/**
+ * Layout enviado inline pelo editor do admin, para pre-visualizar alteracoes
+ * ainda nao salvas. Quando ausente, o preview usa o layout padrao do banco.
+ */
+export class PreviewLayoutDTO {
+  @IsString()
+  @IsOptional()
+  wrapper?: string;
+
+  @IsString()
+  @IsOptional()
+  header?: string;
+
+  @IsString()
+  @IsOptional()
+  footer?: string;
+}
+
+export class PreviewDTO {
+  @IsString()
+  @IsOptional()
+  subject?: string;
+
+  @IsString()
+  @IsOptional()
+  body?: string;
+
+  @IsObject()
+  @IsOptional()
+  variables?: Record<string, string>;
+
+  /** `false` renderiza o corpo sem o layout base. */
+  @IsBoolean()
+  @IsOptional()
+  use_layout?: boolean;
+
+  @ValidateNested()
+  @Type(() => PreviewLayoutDTO)
+  @IsOptional()
+  layout?: PreviewLayoutDTO;
+}

package/src/mail/dto/send.dto.ts

@@ -1,5 +1,5 @@
 import { getLocaleText } from '@hed-hog/api-locale';
-import { IsNotEmpty, IsObject, IsString } from 'class-validator';
+import { IsNotEmpty, IsObject, IsOptional, IsString } from 'class-validator';
 
 export class SendTemplatedMailDTO {
   @IsString({ message: (args) => getLocaleText('validation.stringRequired', args.value) })
@@ -12,4 +12,17 @@ export class SendTemplatedMailDTO {
 
   @IsObject({ message: (args) => getLocaleText('validation.objectRequired', args.value) })
   variables: Record<string, string>;
+
+  /**
+   * Slug do perfil de integração de e-mail a usar neste envio.
+   * Quando ausente, vale o perfil global do setting `mail-integration-profile-id`.
+   */
+  @IsOptional()
+  @IsString({ message: (args) => getLocaleText('validation.stringRequired', args.value) })
+  profileSlug?: string;
+
+  /** Chave do app de origem (ex.: "class"), usada para resolver o nome de marca via a setting `app-names`. */
+  @IsOptional()
+  @IsString({ message: (args) => getLocaleText('validation.stringRequired', args.value) })
+  app?: string;
 }

package/src/mail/mail-template.spec.ts

@@ -0,0 +1,197 @@
+import { describe, it, expect } from '@jest/globals';
+import { DEFAULT_MAIL_LAYOUT, renderMailTemplate } from '@hed-hog/api-mail';
+
+// Testes do renderizador de e-mail moram aqui (e nao em packages/api-mail)
+// porque o api-mail nao tem jest configurado; o jest do core resolve o pacote.
+
+describe('renderMailTemplate', () => {
+  it('devolve string vazia quando nao ha corpo', () => {
+    expect(renderMailTemplate({ subject: 'Oi', body: '' })).toBe('');
+    expect(renderMailTemplate({ subject: 'Oi', body: '   ' })).toBe('');
+    expect(renderMailTemplate({ subject: 'Oi' })).toBe('');
+  });
+
+  it('devolve documentos HTML completos intactos, sem envolver', () => {
+    const doc = '<!DOCTYPE html><html><body>Ja pronto</body></html>';
+    expect(renderMailTemplate({ subject: 'Oi', body: doc })).toBe(doc);
+
+    const noDoctype = '<html lang="pt"><body>Ja pronto</body></html>';
+    expect(renderMailTemplate({ subject: 'Oi', body: noDoctype })).toBe(
+      noDoctype,
+    );
+  });
+
+  it('usa o layout embutido quando nenhum layout e informado', () => {
+    const html = renderMailTemplate({
+      subject: 'Bem-vindo',
+      body: '<p>Ola</p>',
+    });
+
+    expect(html).toContain('<!DOCTYPE html>');
+    expect(html).toContain('class="panel-accent"');
+    expect(html).toContain('<p>Ola</p>');
+    expect(html).toContain('HedHog');
+    // Nenhum token pode sobrar no HTML final.
+    expect(html).not.toContain('{{{content}}}');
+    expect(html).not.toContain('{{subject}}');
+  });
+
+  it('escapa o assunto no title e no header', () => {
+    const html = renderMailTemplate({
+      subject: '<script>alert(1)</script>',
+      body: '<p>Ola</p>',
+    });
+
+    expect(html).toContain('&lt;script&gt;alert(1)&lt;/script&gt;');
+    expect(html).not.toContain('<title><script>');
+  });
+
+  it('resolve {{subject}} dentro do header', () => {
+    const html = renderMailTemplate({
+      subject: 'Assunto X',
+      body: 'corpo',
+      layout: {
+        wrapper: '<html><body>{{{header}}}|{{{content}}}</body></html>',
+        header: '<h1>{{subject}}</h1>',
+        footer: '',
+      },
+    });
+
+    expect(html).toContain('<h1>Assunto X</h1>');
+  });
+
+  it('preserva $& e $1 no conteudo do usuario', () => {
+    // Regressao: String.replace(string, string) interpretaria esses padroes
+    // como referencias de captura e corromperia o HTML silenciosamente.
+    const body = "<p>Total: $1,00 e $& e $` e $'</p>";
+    const html = renderMailTemplate({
+      subject: 'Cobranca',
+      body,
+      layout: {
+        wrapper: '<html><body>{{{content}}}</body></html>',
+        header: '',
+        footer: '',
+      },
+    });
+
+    expect(html).toBe(`<html><body>${body}</body></html>`);
+  });
+
+  it('preserva $& tambem no header e no footer', () => {
+    const html = renderMailTemplate({
+      subject: 'x',
+      body: 'corpo',
+      layout: {
+        wrapper: '<html>{{{header}}}|{{{content}}}|{{{footer}}}</html>',
+        header: 'H$&H',
+        footer: 'F$1F',
+      },
+    });
+
+    expect(html).toBe('<html>H$&H|corpo|F$1F</html>');
+  });
+
+  it('nao reinterpreta tokens presentes no corpo do usuario', () => {
+    // O conteudo entra por ultimo justamente para isto: um corpo que contenha
+    // "{{{footer}}}" e texto, nao um slot a preencher.
+    const html = renderMailTemplate({
+      subject: 'x',
+      body: 'texto {{{footer}}} literal',
+      layout: {
+        wrapper: '<html>{{{content}}}|{{{footer}}}</html>',
+        header: '',
+        footer: 'RODAPE',
+      },
+    });
+
+    expect(html).toBe('<html>texto {{{footer}}} literal|RODAPE</html>');
+  });
+
+  it('devolve o corpo sem envelope quando o wrapper esta vazio', () => {
+    expect(
+      renderMailTemplate({
+        subject: 'x',
+        body: '<p>solto</p>',
+        layout: { wrapper: '', header: 'H', footer: 'F' },
+      }),
+    ).toBe('<p>solto</p>');
+  });
+
+  it('respeita header e footer vazios salvos pelo admin', () => {
+    const html = renderMailTemplate({
+      subject: 'x',
+      body: 'corpo',
+      layout: {
+        wrapper: '<html>[{{{header}}}]{{{content}}}[{{{footer}}}]</html>',
+        header: '',
+        footer: '',
+      },
+    });
+
+    expect(html).toBe('<html>[]corpo[]</html>');
+  });
+
+  it('substitui brandName, lang e year', () => {
+    const html = renderMailTemplate({
+      subject: 'x',
+      body: 'corpo',
+      brandName: 'Acme',
+      lang: 'pt',
+      layout: {
+        wrapper: '<html lang="{{lang}}">{{brandName}} {{year}} {{{content}}}</html>',
+        header: '',
+        footer: '',
+      },
+    });
+
+    expect(html).toContain('lang="pt"');
+    expect(html).toContain('Acme');
+    expect(html).toContain(String(new Date().getFullYear()));
+  });
+
+  it('escapa brandName vindo do setting', () => {
+    const html = renderMailTemplate({
+      subject: 'x',
+      body: 'corpo',
+      brandName: 'A & B <b>',
+      layout: {
+        wrapper: '<html>{{brandName}}{{{content}}}</html>',
+        header: '',
+        footer: '',
+      },
+    });
+
+    expect(html).toContain('A &amp; B &lt;b&gt;');
+  });
+
+  it('aceita {{content}} alem de {{{content}}}', () => {
+    const html = renderMailTemplate({
+      subject: 'x',
+      body: 'corpo',
+      layout: { wrapper: '<html>{{content}}</html>', header: '', footer: '' },
+    });
+
+    expect(html).toBe('<html>corpo</html>');
+  });
+
+  it('usa o assunto como marca de fallback quando nao ha assunto', () => {
+    const html = renderMailTemplate({
+      body: 'corpo',
+      brandName: 'Acme',
+      layout: {
+        wrapper: '<html>{{subject}}|{{{content}}}</html>',
+        header: '',
+        footer: '',
+      },
+    });
+
+    expect(html).toBe('<html>Acme|corpo</html>');
+  });
+
+  it('DEFAULT_MAIL_LAYOUT expoe os tres slots', () => {
+    expect(DEFAULT_MAIL_LAYOUT.wrapper).toContain('{{{content}}}');
+    expect(DEFAULT_MAIL_LAYOUT.wrapper).toContain('{{{header}}}');
+    expect(DEFAULT_MAIL_LAYOUT.wrapper).toContain('{{{footer}}}');
+    expect(DEFAULT_MAIL_LAYOUT.header).toContain('{{brandName}}');
+  });
+});

package/src/mail/mail.controller.ts

@@ -1,6 +1,5 @@
 import { DeleteDTO, Role } from '@hed-hog/api';
 import { Locale } from '@hed-hog/api-locale';
-import { renderMailTemplate } from '@hed-hog/api-mail';
 import { Pagination } from '@hed-hog/api-pagination';
 import {
     Body,
@@ -20,6 +19,7 @@ import {
 import { Response } from 'express';
 import { CreateDTO } from './dto/create.dto';
 import { ImportDTO } from './dto/import.dto';
+import { PreviewDTO } from './dto/preview.dto';
 import { TestMailDTO } from './dto/test-mail.dto';
 import { UpdateDTO } from './dto/update.dto';
 import { MailService } from './mail.service';
@@ -57,7 +57,9 @@ export class MailController {
   ) {
     const locale = queryLocale || decoratorLocale;
     const mail = await this.mailService.get(locale, id);
-    const html = renderMailTemplate({
+    // Passa pelo preview para que o arquivo baixado use o mesmo layout base do
+    // envio real, e nao uma segunda renderizacao que diverge com o tempo.
+    const { html } = await this.mailService.preview(locale, {
       subject: mail.subject,
       body: mail.body,
     });
@@ -66,6 +68,11 @@ export class MailController {
     res.send(html);
   }
 
+  @Post('preview')
+  async preview(@Locale() decoratorLocale: string, @Body() data: PreviewDTO, @Query('locale') queryLocale?: string) {
+    return this.mailService.preview(queryLocale || decoratorLocale, data);
+  }
+
   @Post()
   async create(@Body() data: CreateDTO) {
     return this.mailService.create(data);