@hed-hog/core 0.0.387 → 0.0.393

package/src/leaked-password/seed/common-passwords.txt

@@ -0,0 +1,335 @@
+# Lista base de senhas notoriamente vazadas / triviais.
+#
+# ESCOPO: este arquivo é uma BASE CURADA, não o top-N do Have I Been Pwned. São
+# as senhas que aparecem em toda publicação anual de "senhas mais usadas", mais
+# os padrões brasileiros equivalentes. O gerador (build-seed-sql.mjs) expande
+# cada palavra-base com os sufixos/variações que dominam corpus de vazamento
+# (ano, sequência numérica, capitalização, leet), chegando a alguns milhares de
+# entradas — o suficiente para barrar o reuso óbvio.
+#
+# Cobertura real (centenas de milhões de hashes) vem do comando de import de
+# dump do Pwned Passwords; ver ../README.md.
+#
+# Formato: uma senha/palavra-base por linha. Linha com # é comentário.
+# Palavras marcadas com "=" no início entram SÓ como literal, sem expansão
+# (são senhas completas, não bases: expandir "123456" em "1234561990" só gera
+# ruído).
+
+# --- sequências numéricas e de teclado (literais, sem expansão) ---
+=123456
+=1234567
+=12345678
+=123456789
+=1234567890
+=12345
+=1234
+=123
+=111111
+=1111111
+=11111111
+=000000
+=00000000
+=121212
+=123123
+=123321
+=112233
+=102030
+=147258
+=159753
+=654321
+=7654321
+=87654321
+=987654321
+=9876543210
+=1q2w3e
+=1q2w3e4r
+=1q2w3e4r5t
+=1qaz2wsx
+=1qaz2wsx3edc
+=qwerty
+=qwertyui
+=qwertyuiop
+=qwerty123
+=qwe123
+=asdfgh
+=asdfghjkl
+=asdf1234
+=zxcvbn
+=zxcvbnm
+=qazwsx
+=qazwsxedc
+=poiuytrewq
+=mnbvcxz
+=abcdef
+=abcdefg
+=abcdefgh
+=abc123
+=a1b2c3
+=aaaaaa
+=aaaaaaaa
+=abcd1234
+=asdasd
+=asdfasdf
+=qweqwe
+=zaq12wsx
+=1a2b3c
+
+# --- clássicos em inglês (expandem) ---
+password
+passwd
+pass
+admin
+administrator
+root
+toor
+guest
+user
+test
+demo
+default
+login
+logon
+welcome
+letmein
+changeme
+secret
+master
+manager
+system
+service
+oracle
+postgres
+mysql
+sqlserver
+database
+backup
+temp
+public
+private
+access
+qwertz
+monkey
+dragon
+shadow
+sunshine
+princess
+football
+baseball
+basketball
+soccer
+hockey
+superman
+batman
+spiderman
+ironman
+starwars
+pokemon
+minecraft
+fortnite
+computer
+internet
+whatever
+freedom
+trustno
+hunter
+ranger
+killer
+hammer
+cheese
+cookie
+chocolate
+banana
+orange
+purple
+yellow
+silver
+golden
+diamond
+phoenix
+thunder
+tiger
+eagle
+falcon
+wolf
+bear
+lion
+snake
+angel
+devil
+heaven
+summer
+winter
+spring
+autumn
+flower
+butterfly
+rainbow
+forever
+iloveyou
+loveme
+lovely
+sweetie
+honey
+baby
+darling
+kisses
+friend
+family
+mother
+father
+michael
+jennifer
+jessica
+ashley
+daniel
+matthew
+joshua
+andrew
+nicole
+robert
+william
+thomas
+charlie
+george
+oliver
+harry
+jack
+liverpool
+chelsea
+arsenal
+barcelona
+juventus
+
+# --- padrões brasileiros (expandem) ---
+senha
+senhas
+minhasenha
+novasenha
+mudar
+mudarsenha
+alterar
+usuario
+administrador
+convidado
+teste
+padrao
+acesso
+entrar
+brasil
+brasileiro
+saopaulo
+riodejaneiro
+belohorizonte
+salvador
+fortaleza
+curitiba
+recife
+portoalegre
+manaus
+brasilia
+goiania
+flamengo
+corinthians
+palmeiras
+santos
+gremio
+internacional
+cruzeiro
+atletico
+vasco
+botafogo
+fluminense
+bahia
+sport
+ceara
+fortalezaec
+coritiba
+mengao
+timao
+verdao
+galo
+colorado
+tricolor
+jesus
+jesuscristo
+deus
+deusefiel
+deusnocomando
+amem
+familia
+familiaunida
+amomeufilho
+amominhafilha
+amomeuamor
+teamo
+teamomuito
+saudade
+felicidade
+esperanca
+liberdade
+vitoria
+guerreiro
+campeao
+maria
+joao
+jose
+ana
+pedro
+paulo
+lucas
+gabriel
+rafael
+felipe
+bruno
+carlos
+antonio
+francisco
+marcos
+luiz
+juliana
+fernanda
+patricia
+camila
+amanda
+leticia
+mariana
+carolina
+beatriz
+larissa
+cachorro
+gato
+amor
+coracao
+sorriso
+estrela
+sol
+lua
+mar
+praia
+festa
+carnaval
+samba
+futebol
+churrasco
+feijoada
+cerveja
+caipirinha
+motorista
+professor
+medico
+enfermeira
+policia
+bombeiro
+seguranca
+financeiro
+comercial
+vendas
+suporte
+empresa
+escritorio
+trabalho
+escola
+faculdade
+universidade
+hcode
+hedhog

package/src/mail/dto/preview.dto.ts

@@ -0,0 +1,50 @@
+import { Type } from 'class-transformer';
+import {
+  IsBoolean,
+  IsObject,
+  IsOptional,
+  IsString,
+  ValidateNested,
+} from 'class-validator';
+
+/**
+ * Layout enviado inline pelo editor do admin, para pre-visualizar alteracoes
+ * ainda nao salvas. Quando ausente, o preview usa o layout padrao do banco.
+ */
+export class PreviewLayoutDTO {
+  @IsString()
+  @IsOptional()
+  wrapper?: string;
+
+  @IsString()
+  @IsOptional()
+  header?: string;
+
+  @IsString()
+  @IsOptional()
+  footer?: string;
+}
+
+export class PreviewDTO {
+  @IsString()
+  @IsOptional()
+  subject?: string;
+
+  @IsString()
+  @IsOptional()
+  body?: string;
+
+  @IsObject()
+  @IsOptional()
+  variables?: Record<string, string>;
+
+  /** `false` renderiza o corpo sem o layout base. */
+  @IsBoolean()
+  @IsOptional()
+  use_layout?: boolean;
+
+  @ValidateNested()
+  @Type(() => PreviewLayoutDTO)
+  @IsOptional()
+  layout?: PreviewLayoutDTO;
+}

package/src/mail/dto/send.dto.ts

@@ -1,5 +1,5 @@
 import { getLocaleText } from '@hed-hog/api-locale';
-import { IsNotEmpty, IsObject, IsString } from 'class-validator';
+import { IsNotEmpty, IsNumber, IsObject, IsOptional, IsString } from 'class-validator';
 
 export class SendTemplatedMailDTO {
   @IsString({ message: (args) => getLocaleText('validation.stringRequired', args.value) })
@@ -12,4 +12,61 @@ export class SendTemplatedMailDTO {
 
   @IsObject({ message: (args) => getLocaleText('validation.objectRequired', args.value) })
   variables: Record<string, string>;
+
+  /**
+   * Slug do perfil de integração de e-mail a usar neste envio.
+   * Quando ausente, vale o perfil global do setting `mail-integration-profile-id`.
+   */
+  @IsOptional()
+  @IsString({ message: (args) => getLocaleText('validation.stringRequired', args.value) })
+  profileSlug?: string;
+
+  /**
+   * Endereco para onde a resposta do destinatario deve voltar.
+   *
+   * Sem isto a resposta cai no `from` do perfil, que nao carrega nenhuma
+   * identificacao do assunto tratado. E o que permite ao SAC endereçar cada
+   * chamado (`<protocolo>@dominio-de-resposta`) e reconhecer a resposta na
+   * entrada.
+   */
+  @IsOptional()
+  @IsString({ message: (args) => getLocaleText('validation.stringRequired', args.value) })
+  replyTo?: string;
+
+  /**
+   * Chave do app de origem (ex.: "class"). Nao afeta mais a marca —
+   * `{{brandName}}` vem sempre de `system-name`.
+   */
+  @IsOptional()
+  @IsString({ message: (args) => getLocaleText('validation.stringRequired', args.value) })
+  app?: string;
+
+  /**
+   * Destinatario, quando o chamador ja o conhece.
+   *
+   * Serve so para pular a busca do usuario pelo e-mail na hora de descobrir o
+   * idioma de preferencia; omitir nao muda o resultado.
+   */
+  @IsOptional()
+  @IsNumber({}, { message: (args) => getLocaleText('validation.numberRequired', args.value) })
+  userId?: number;
 }
+
+/**
+ * Resultado de `MailService.sendTemplatedMail`.
+ *
+ * `sent: false` cobre tanto o aborto por configuração ausente quanto qualquer
+ * falha do provedor: os dois são tratados internamente e não lançam, então o
+ * retorno é a única forma de o chamador saber que nada saiu.
+ *
+ * Deliberadamente um objeto único em vez de união discriminada: as libraries
+ * compilam com `strictNullChecks: false`, e nessa configuração o `if (r.sent)`
+ * não estreita a união no ponto de uso.
+ */
+export type SendTemplatedMailResult = {
+  sent: boolean;
+  /** Id devolvido pelo provedor quando `sent` é `true`. */
+  providerMessageId?: string | null;
+  reason?: 'mail-not-configured' | 'send-failed' | 'template-locale-missing';
+  error?: string;
+};

package/src/mail/mail-template.spec.ts

@@ -0,0 +1,274 @@
+import { describe, it, expect } from '@jest/globals';
+import { DEFAULT_MAIL_LAYOUT, renderMailTemplate, resolveMailAssetUrl } from '@hed-hog/api-mail';
+
+// Testes do renderizador de e-mail moram aqui (e nao em packages/api-mail)
+// porque o api-mail nao tem jest configurado; o jest do core resolve o pacote.
+
+describe('renderMailTemplate', () => {
+  it('devolve string vazia quando nao ha corpo', () => {
+    expect(renderMailTemplate({ subject: 'Oi', body: '' })).toBe('');
+    expect(renderMailTemplate({ subject: 'Oi', body: '   ' })).toBe('');
+    expect(renderMailTemplate({ subject: 'Oi' })).toBe('');
+  });
+
+  it('devolve documentos HTML completos intactos, sem envolver', () => {
+    const doc = '<!DOCTYPE html><html><body>Ja pronto</body></html>';
+    expect(renderMailTemplate({ subject: 'Oi', body: doc })).toBe(doc);
+
+    const noDoctype = '<html lang="pt"><body>Ja pronto</body></html>';
+    expect(renderMailTemplate({ subject: 'Oi', body: noDoctype })).toBe(
+      noDoctype,
+    );
+  });
+
+  it('usa o layout embutido quando nenhum layout e informado', () => {
+    const html = renderMailTemplate({
+      subject: 'Bem-vindo',
+      body: '<p>Ola</p>',
+    });
+
+    expect(html).toContain('<!DOCTYPE html>');
+    expect(html).toContain('class="panel-accent"');
+    expect(html).toContain('<p>Ola</p>');
+    expect(html).toContain('HedHog');
+    // Nenhum token pode sobrar no HTML final.
+    expect(html).not.toContain('{{{content}}}');
+    expect(html).not.toContain('{{subject}}');
+  });
+
+  it('escapa o assunto no title e no header', () => {
+    const html = renderMailTemplate({
+      subject: '<script>alert(1)</script>',
+      body: '<p>Ola</p>',
+    });
+
+    expect(html).toContain('&lt;script&gt;alert(1)&lt;/script&gt;');
+    expect(html).not.toContain('<title><script>');
+  });
+
+  it('resolve {{subject}} dentro do header', () => {
+    const html = renderMailTemplate({
+      subject: 'Assunto X',
+      body: 'corpo',
+      layout: {
+        wrapper: '<html><body>{{{header}}}|{{{content}}}</body></html>',
+        header: '<h1>{{subject}}</h1>',
+        footer: '',
+      },
+    });
+
+    expect(html).toContain('<h1>Assunto X</h1>');
+  });
+
+  it('preserva $& e $1 no conteudo do usuario', () => {
+    // Regressao: String.replace(string, string) interpretaria esses padroes
+    // como referencias de captura e corromperia o HTML silenciosamente.
+    const body = "<p>Total: $1,00 e $& e $` e $'</p>";
+    const html = renderMailTemplate({
+      subject: 'Cobranca',
+      body,
+      layout: {
+        wrapper: '<html><body>{{{content}}}</body></html>',
+        header: '',
+        footer: '',
+      },
+    });
+
+    expect(html).toBe(`<html><body>${body}</body></html>`);
+  });
+
+  it('preserva $& tambem no header e no footer', () => {
+    const html = renderMailTemplate({
+      subject: 'x',
+      body: 'corpo',
+      layout: {
+        wrapper: '<html>{{{header}}}|{{{content}}}|{{{footer}}}</html>',
+        header: 'H$&H',
+        footer: 'F$1F',
+      },
+    });
+
+    expect(html).toBe('<html>H$&H|corpo|F$1F</html>');
+  });
+
+  it('nao reinterpreta tokens presentes no corpo do usuario', () => {
+    // O conteudo entra por ultimo justamente para isto: um corpo que contenha
+    // "{{{footer}}}" e texto, nao um slot a preencher.
+    const html = renderMailTemplate({
+      subject: 'x',
+      body: 'texto {{{footer}}} literal',
+      layout: {
+        wrapper: '<html>{{{content}}}|{{{footer}}}</html>',
+        header: '',
+        footer: 'RODAPE',
+      },
+    });
+
+    expect(html).toBe('<html>texto {{{footer}}} literal|RODAPE</html>');
+  });
+
+  it('devolve o corpo sem envelope quando o wrapper esta vazio', () => {
+    expect(
+      renderMailTemplate({
+        subject: 'x',
+        body: '<p>solto</p>',
+        layout: { wrapper: '', header: 'H', footer: 'F' },
+      }),
+    ).toBe('<p>solto</p>');
+  });
+
+  it('respeita header e footer vazios salvos pelo admin', () => {
+    const html = renderMailTemplate({
+      subject: 'x',
+      body: 'corpo',
+      layout: {
+        wrapper: '<html>[{{{header}}}]{{{content}}}[{{{footer}}}]</html>',
+        header: '',
+        footer: '',
+      },
+    });
+
+    expect(html).toBe('<html>[]corpo[]</html>');
+  });
+
+  it('substitui brandName, lang e year', () => {
+    const html = renderMailTemplate({
+      subject: 'x',
+      body: 'corpo',
+      brandName: 'Acme',
+      lang: 'pt',
+      layout: {
+        wrapper: '<html lang="{{lang}}">{{brandName}} {{year}} {{{content}}}</html>',
+        header: '',
+        footer: '',
+      },
+    });
+
+    expect(html).toContain('lang="pt"');
+    expect(html).toContain('Acme');
+    expect(html).toContain(String(new Date().getFullYear()));
+  });
+
+  it('escapa brandName vindo do setting', () => {
+    const html = renderMailTemplate({
+      subject: 'x',
+      body: 'corpo',
+      brandName: 'A & B <b>',
+      layout: {
+        wrapper: '<html>{{brandName}}{{{content}}}</html>',
+        header: '',
+        footer: '',
+      },
+    });
+
+    expect(html).toContain('A &amp; B &lt;b&gt;');
+  });
+
+  it('aceita {{content}} alem de {{{content}}}', () => {
+    const html = renderMailTemplate({
+      subject: 'x',
+      body: 'corpo',
+      layout: { wrapper: '<html>{{content}}</html>', header: '', footer: '' },
+    });
+
+    expect(html).toBe('<html>corpo</html>');
+  });
+
+  it('usa o assunto como marca de fallback quando nao ha assunto', () => {
+    const html = renderMailTemplate({
+      body: 'corpo',
+      brandName: 'Acme',
+      layout: {
+        wrapper: '<html>{{subject}}|{{{content}}}</html>',
+        header: '',
+        footer: '',
+      },
+    });
+
+    expect(html).toBe('<html>Acme|corpo</html>');
+  });
+
+  it('DEFAULT_MAIL_LAYOUT expoe os tres slots', () => {
+    expect(DEFAULT_MAIL_LAYOUT.wrapper).toContain('{{{content}}}');
+    expect(DEFAULT_MAIL_LAYOUT.wrapper).toContain('{{{header}}}');
+    expect(DEFAULT_MAIL_LAYOUT.wrapper).toContain('{{{footer}}}');
+    expect(DEFAULT_MAIL_LAYOUT.header).toContain('{{{brandMark}}}');
+  });
+
+  it('usa o selo de texto com a cor de marca quando nao ha logo', () => {
+    const html = renderMailTemplate({
+      subject: 'Bem-vindo',
+      body: '<p>Ola</p>',
+      brandName: 'Acme',
+      primaryColor: '#ff760c',
+      primaryForeground: '#ffffff',
+    });
+
+    expect(html).toContain('class="brand"');
+    expect(html).toContain('background:#ff760c');
+    expect(html).toContain('color:#ffffff');
+    expect(html).toContain('>Acme<');
+    // A cor tambem tempera o acento do painel e os links do corpo.
+    expect(html).toContain('background:#ff760c;"></div>');
+  });
+
+  it('usa a imagem do logo quando configurado, no lugar do selo de texto', () => {
+    const html = renderMailTemplate({
+      subject: 'Bem-vindo',
+      body: '<p>Ola</p>',
+      brandName: 'Acme',
+      logoUrl: 'https://cdn.example.com/logo.svg',
+    });
+
+    expect(html).toContain('<img src="https://cdn.example.com/logo.svg"');
+    expect(html).toContain('alt="Acme"');
+    expect(html).not.toContain('class="brand"');
+  });
+
+  it('ignora o logo quando a URL nao e publica, caindo no selo de texto', () => {
+    // Regressao do bug: com API_URL ausente, `image-url` = `/logo.svg` virava
+    // `http://localhost:3100/logo.svg` e o destinatario recebia um <img>
+    // quebrado, mostrando so o alt.
+    const html = renderMailTemplate({
+      subject: 'Bem-vindo',
+      body: '<p>Ola</p>',
+      brandName: 'Acme',
+      logoUrl: 'http://localhost:3100/logo.svg',
+    });
+
+    expect(html).not.toContain('<img');
+    expect(html).toContain('class="brand"');
+    expect(html).toContain('>Acme<');
+  });
+
+  it('cai para as cores padrao quando nenhuma e informada', () => {
+    const html = renderMailTemplate({ subject: 'x', body: 'corpo' });
+
+    expect(html).toContain('#111827');
+    expect(html).toContain('#ffffff');
+  });
+});
+
+describe('resolveMailAssetUrl', () => {
+  it('mantem URLs ja absolutas ou data: intactas', () => {
+    expect(resolveMailAssetUrl('https://cdn.example.com/logo.svg', 'http://localhost:3100')).toBe(
+      'https://cdn.example.com/logo.svg',
+    );
+    expect(resolveMailAssetUrl('data:image/png;base64,abc', 'http://localhost:3100')).toBe(
+      'data:image/png;base64,abc',
+    );
+  });
+
+  it('resolve caminhos relativos contra a base informada', () => {
+    expect(resolveMailAssetUrl('/logo.svg', 'http://localhost:3100')).toBe(
+      'http://localhost:3100/logo.svg',
+    );
+    expect(resolveMailAssetUrl('/logo.svg', 'http://localhost:3100/')).toBe(
+      'http://localhost:3100/logo.svg',
+    );
+  });
+
+  it('devolve string vazia quando a URL esta vazia', () => {
+    expect(resolveMailAssetUrl('', 'http://localhost:3100')).toBe('');
+  });
+});