@hed-hog/core 0.0.387 → 0.0.393

package/hedhog/data/setting_group.yaml

@@ -71,7 +71,35 @@
         description:
           en: 'Base URLs for specific apps, formatted as "app=https://example.com" (one per tag). Used in transactional email links (e.g. password reset) when the request comes from that app, falling back to System URL otherwise.'
           pt: 'URLs base de apps específicos, no formato "app=https://exemplo.com" (uma por tag). Usadas em links de e-mails transacionais (ex.: redefinição de senha) quando a solicitação vem desse app, usando a URL do Sistema como alternativa.'
-        value: '["training=http://localhost:3001","class=https://localhost:3002","partners=http://localhost:3003"]'
+        value: '["training=http://localhost:3001","class=https://localhost:3002","partners=http://localhost:3003","admin=http://localhost:3200"]'
+        user_override: false
+        subgroup_id:
+          where:
+            slug: general-system
+      - slug: cors-allowed-origins
+        type: array
+        component: input-tags
+        name:
+          en: Extra CORS Origins
+          pt: Origens CORS Adicionais
+        description:
+          en: 'Extra origins allowed to call the API from a browser, added to CORS_ALLOWED_ORIGINS/CORS_ALLOWED_DOMAINS and applied without a restart. Already includes the published browser extension; add your own only if you build the extension yourself.'
+          pt: 'Origens adicionais autorizadas a chamar a API pelo navegador, somadas a CORS_ALLOWED_ORIGINS/CORS_ALLOWED_DOMAINS e aplicadas sem reiniciar. Já inclui a extensão de navegador publicada; acrescente as suas apenas se você mesmo compilar a extensão.'
+        value: '["chrome-extension://ojimnolpmeegaaindaaceiodhmlbaljn"]'
+        user_override: false
+        subgroup_id:
+          where:
+            slug: general-system
+      - slug: app-names
+        type: array
+        component: input-tags
+        name:
+          en: App Names
+          pt: Nomes dos Aplicativos
+        description:
+          en: 'Deprecated: no longer used. Transactional emails always show the System Name. Kept for backward compatibility.'
+          pt: 'Descontinuada: não é mais usada. E-mails transacionais sempre exibem o Nome do Sistema. Mantida por compatibilidade.'
+        value: '["training=Training","class=Class","partners=Partners","admin=Admin"]'
         user_override: false
         subgroup_id:
           where:
@@ -256,6 +284,42 @@
         subgroup_id:
           where:
             slug: mail-configuration
+      - slug: ai-default-provider
+        type: string
+        component: combobox
+        name:
+          en: Default AI Provider
+          pt: Provedor de IA Padrão
+        description:
+          en: Default AI provider used when a caller does not explicitly specify one
+          pt: Provedor de IA padrão usado quando quem chama não especifica um explicitamente
+        value: openai
+        user_override: false
+        relations:
+          setting_list:
+            - value: openai
+              order: 0
+            - value: gemini
+              order: 1
+            - value: deepseek
+              order: 2
+        subgroup_id:
+          where:
+            slug: ai-configuration
+      - slug: core-ai-prompts-link
+        type: string
+        component: link
+        name:
+          en: AI Prompts
+          pt: Prompts de IA
+        description:
+          en: View and edit the AI prompts used by the core module.
+          pt: Veja e edite os prompts de IA usados pelo modulo core.
+        value: /core/ai_instruction?module=core
+        user_override: false
+        subgroup_id:
+          where:
+            slug: ai-configuration
       - slug: ai-openai-profile-id
         type: string
         component: entity-picker
@@ -284,6 +348,20 @@
         subgroup_id:
           where:
             slug: ai-configuration
+      - slug: ai-deepseek-profile-id
+        type: string
+        component: entity-picker
+        name:
+          en: DeepSeek Profile
+          pt: Perfil DeepSeek
+        description:
+          en: Integration profile (type AI / DeepSeek) to use for DeepSeek features
+          pt: Perfil de integração (tipo IA / DeepSeek) a usar para recursos de DeepSeek
+        value: ''
+        user_override: false
+        subgroup_id:
+          where:
+            slug: ai-configuration
       - slug: mcp-enabled
         type: boolean
         component: switch
@@ -312,6 +390,34 @@
         subgroup_id:
           where:
             slug: mcp-configuration
+      - slug: richtext-ai-enabled
+        type: boolean
+        component: switch
+        name:
+          en: Enable AI in Rich Text Editor
+          pt: Habilitar IA no Editor de Texto
+        description:
+          en: Shows an AI button in the rich text editor toolbar (used across the admin), letting users rewrite the current content from a prompt.
+          pt: Exibe um botão de IA na barra de ferramentas do editor de texto rico (usado em todo o admin), permitindo reescrever o conteúdo atual a partir de um prompt.
+        value: false
+        user_override: false
+        subgroup_id:
+          where:
+            slug: richtext-ai-configuration
+      - slug: richtext-ai-profile-id
+        type: string
+        component: entity-picker
+        name:
+          en: AI Profile
+          pt: Perfil de IA
+        description:
+          en: Integration profile (type AI) used to rewrite rich text editor content from a prompt.
+          pt: Perfil de integração (tipo IA) usado para reescrever o conteúdo do editor de texto rico a partir de um prompt.
+        value: ''
+        user_override: false
+        subgroup_id:
+          where:
+            slug: richtext-ai-configuration
 - slug: authentication
   icon: lock-password
   name:
@@ -406,6 +512,34 @@
         subgroup_id:
           where:
             slug: password-policy
+      - slug: password-block-leaked
+        type: boolean
+        component: switch
+        name:
+          en: Block Leaked Passwords
+          pt: Bloquear Senhas Vazadas
+        description:
+          en: Reject passwords found in the known-breach corpus, and warn about vault secrets that use one
+          pt: Recusar senhas encontradas no corpus de vazamentos conhecidos e avisar sobre segredos do cofre que usam alguma
+        value: true
+        user_override: false
+        subgroup_id:
+          where:
+            slug: password-policy
+      - slug: password-max-age-days
+        type: number
+        component: input-number
+        name:
+          en: Password Maximum Age (days)
+          pt: Idade Máxima da Senha (dias)
+        description:
+          en: Days after which a stored password is flagged as outdated in the vaults. Use 0 to disable the check.
+          pt: Dias após os quais uma senha guardada é sinalizada como desatualizada nos cofres. Use 0 para desativar a verificação.
+        value: 180
+        user_override: false
+        subgroup_id:
+          where:
+            slug: password-policy
       - slug: email-host-whitelist
         type: array
         name:
@@ -573,6 +707,20 @@
         subgroup_id:
           where:
             slug: session-management
+      - slug: impersonation-session-minutes
+        type: number
+        component: input-number
+        name:
+          en: Simulated Session Lifetime
+          pt: Duração da Sessão Simulada
+        description:
+          en: Minutes an access simulation session stays valid. It is never refreshed, so this is the hard limit.
+          pt: Minutos que uma sessão de simulação de acesso continua válida. Ela nunca é renovada, então este é o limite absoluto.
+        value: 30
+        user_override: false
+        subgroup_id:
+          where:
+            slug: session-management
 - slug: localization
   icon: world
   name:
@@ -992,6 +1140,158 @@
               order: 1
             - value: email
               order: 2
+            - value: User.Read
+              order: 3
+            - value: offline_access
+              order: 4
+            - value: Calendars.Read
+              order: 5
+            - value: OnlineMeetings.Read
+              order: 6
+            - value: Chat.Read
+              order: 7
+            - value: ChannelMessage.Read
+              order: 8
+            - value: Team.ReadBasic.All
+              order: 9
+            - value: Presence.Read
+              order: 10
+            - value: User.ReadBasic.All
+              order: 11
+            - value: Calendars.ReadWrite
+              order: 12
+            - value: OnlineMeetings.ReadWrite
+              order: 13
+            - value: OnlineMeetingRecording.Read.All
+              order: 14
+        subgroup_id:
+          where:
+            slug: microsoft-entra-id
+      - slug: microsoft-graph-app-only-enabled
+        type: boolean
+        component: switch
+        name:
+          en: Enable tenant-wide (app-only) Microsoft Graph access
+          pt: Acesso Microsoft Graph da organização (app-only)
+        description:
+          en: Allow the Microsoft integration to read data across the whole tenant using application permissions (client credentials), in addition to per-user delegated access. Requires admin consent in Entra.
+          pt: Permite que a integração Microsoft leia dados de toda a organização usando permissões de aplicativo (client credentials), além do acesso delegado por usuário. Exige consentimento do administrador no Entra.
+        value: 'false'
+        user_override: false
+        subgroup_id:
+          where:
+            slug: microsoft-entra-id
+      - slug: microsoft-graph-chat-subscriptions-enabled
+        type: boolean
+        component: switch
+        name:
+          en: Subscribe to Teams chat/channel messages (protected API)
+          pt: Assinar mensagens de chat/canal do Teams (API protegida)
+        description:
+          en: Create org-wide change-notification subscriptions for Teams chat and channel messages. These are protected APIs that require an approved request to Microsoft and appropriate licensing; leave off until approved.
+          pt: Cria assinaturas de change notification para mensagens de chat e canal do Teams em toda a organização. São APIs protegidas que exigem pedido aprovado pela Microsoft e licenciamento adequado; deixe desligado até aprovar.
+        value: 'false'
+        user_override: false
+        subgroup_id:
+          where:
+            slug: microsoft-entra-id
+      - slug: microsoft-meeting-organizer-mode
+        type: string
+        component: radio
+        name:
+          en: Teams meeting organizer
+          pt: Organizador das reuniões Teams
+        description:
+          en: 'Who organizes the meetings this system schedules: "app" uses a fixed service account via application permissions (the instructor does not need a connected account); "delegated" uses the connected Microsoft account of whoever requested the meeting.'
+          pt: 'Quem organiza as reuniões agendadas pelo sistema: "app" usa uma conta de serviço fixa com permissões de aplicativo (o instrutor não precisa ter conta conectada); "delegated" usa a conta Microsoft conectada de quem pediu a reunião.'
+        value: app
+        user_override: false
+        relations:
+          setting_list:
+            - value: app
+              order: 0
+            - value: delegated
+              order: 1
+        subgroup_id:
+          where:
+            slug: microsoft-entra-id
+      - slug: microsoft-meeting-service-account
+        type: string
+        component: input-text
+        name:
+          en: Teams meeting service account (UPN)
+          pt: Conta de serviço das reuniões (UPN)
+        description:
+          en: UPN of the mailbox that organizes and records the meetings when the organizer is "app". Needs a Teams license, a policy allowing cloud recording, and an Application Access Policy granting this app access to it.
+          pt: UPN da caixa que organiza e grava as reuniões quando o organizador é "app". Precisa de licença do Teams, política que permita gravação na nuvem e uma Application Access Policy dando acesso a este aplicativo.
+        value: ""
+        user_override: false
+        subgroup_id:
+          where:
+            slug: microsoft-entra-id
+      - slug: microsoft-meeting-recording-poll-hours
+        type: number
+        component: input-number
+        name:
+          en: Recording lookup window (hours)
+          pt: Janela de busca da gravação (horas)
+        description:
+          en: How long after a meeting ends the system keeps looking for its recording before giving up and marking it unavailable.
+          pt: Por quanto tempo, após o fim da reunião, o sistema continua procurando a gravação antes de desistir e marcá-la como indisponível.
+        value: '48'
+        user_override: false
+        subgroup_id:
+          where:
+            slug: microsoft-entra-id
+      - slug: microsoft-meeting-recording-purge-mode
+        type: string
+        component: radio
+        name:
+          en: OneDrive recording cleanup
+          pt: Limpeza da gravação no OneDrive
+        description:
+          en: 'What to do with the recording in the organizer''s OneDrive once it is safely imported: nothing, log only, recycle bin, or permanent delete. The recycle bin still uses the account quota for up to 93 days.'
+          pt: 'O que fazer com a gravação no OneDrive do organizador depois de importada com segurança: nada, só registrar no log, mandar para a lixeira ou excluir em definitivo. A lixeira ainda consome a cota por até 93 dias.'
+        value: disabled
+        user_override: false
+        relations:
+          setting_list:
+            - value: disabled
+              order: 0
+            - value: dry_run
+              order: 1
+            - value: recycle_bin
+              order: 2
+            - value: permanent
+              order: 3
+        subgroup_id:
+          where:
+            slug: microsoft-entra-id
+      - slug: microsoft-meeting-recording-purge-grace-days
+        type: number
+        component: input-number
+        name:
+          en: Cleanup grace period (days)
+          pt: Carência antes da limpeza (dias)
+        description:
+          en: How long to wait after a successful import before deleting the recording from OneDrive. The window exists so a failed transcoding or a wrong import can still be redone from the original.
+          pt: Quanto tempo esperar após uma importação bem-sucedida antes de apagar a gravação do OneDrive. A janela existe para que uma transcodificação falha ou um import errado ainda possam ser refeitos a partir do original.
+        value: '7'
+        user_override: false
+        subgroup_id:
+          where:
+            slug: microsoft-entra-id
+      - slug: microsoft-meeting-recording-folder
+        type: string
+        component: input-text
+        name:
+          en: OneDrive recordings folder
+          pt: Pasta das gravações no OneDrive
+        description:
+          en: Name of the folder where Teams drops recordings in the organizer's OneDrive. The name follows the tenant language, and nothing outside this folder is ever deleted.
+          pt: Nome da pasta onde o Teams deposita as gravações no OneDrive do organizador. O nome acompanha o idioma da organização, e nada fora dessa pasta é apagado.
+        value: Recordings
+        user_override: false
         subgroup_id:
           where:
             slug: microsoft-entra-id
@@ -1957,6 +2257,20 @@
         subgroup_id:
           where:
             slug: image-optimization
+      - slug: image-resize-allowed-widths
+        type: string
+        component: input-text
+        name:
+          en: Allowed Resize Widths (px)
+          pt: Larguras Permitidas de Redimensionamento (px)
+        description:
+          en: 'JSON list of widths the public image endpoint may render via ?w=. Any other width serves the original file. An allowlist is required because the endpoint is public: an arbitrary width means arbitrary CPU per request.'
+          pt: 'Lista JSON de larguras que o endpoint público de imagens pode gerar via ?w=. Qualquer outra largura serve o arquivo original. A lista é obrigatória porque o endpoint é público: uma largura arbitrária significa CPU arbitrária por requisição.'
+        value: '[64,128,320,400,480,640,896,1200]'
+        user_override: false
+        subgroup_id:
+          where:
+            slug: image-optimization
       - slug: image-cache-ttl-seconds
         type: number
         component: input-number

package/hedhog/data/setting_subgroup.yaml

@@ -373,3 +373,11 @@
   description:
     en: Model Context Protocol configuration
     pt: Configuração do servidor MCP
+
+- slug: richtext-ai-configuration
+  name:
+    en: Rich Text AI
+    pt: IA no Editor de Texto
+  description:
+    en: AI-assisted rewriting for the shared rich text editor used across the admin
+    pt: Reescrita assistida por IA para o editor de texto rico compartilhado usado no admin

package/hedhog/frontend/app/_lib/hooks/use-core-access.test.tsx.ejs

@@ -0,0 +1,125 @@
+import { describe, it, expect, vi, beforeEach } from 'vitest';
+import { renderHook, waitFor } from '@testing-library/react';
+import { type ReactNode } from 'react';
+
+// useCoreAccess combina useApp().request/accessToken com useQuery real, igual ao
+// padrão de use-finance-access.test.tsx. A lógica determinística real está na
+// derivação de roleSlugs/canManageUserPermissions a partir da resposta.
+const { mockRequest, appState } = vi.hoisted(() => ({
+  mockRequest: vi.fn(),
+  appState: { accessToken: undefined as string | undefined },
+}));
+vi.mock('@hed-hog/next-app-provider', async () => {
+  const rq = await vi.importActual<typeof import('@tanstack/react-query')>(
+    '@tanstack/react-query',
+  );
+  return {
+    useApp: () => ({ request: mockRequest, accessToken: appState.accessToken }),
+    useQuery: rq.useQuery,
+  };
+});
+
+import { QueryClient, QueryClientProvider } from '@tanstack/react-query';
+import { useCoreAccess } from './use-core-access';
+
+function makeWrapper() {
+  const client = new QueryClient({
+    defaultOptions: { queries: { retry: false } },
+  });
+  return function Wrapper({ children }: { children: ReactNode }) {
+    return <QueryClientProvider client={client}>{children}</QueryClientProvider>;
+  };
+}
+
+describe('useCoreAccess', () => {
+  beforeEach(() => {
+    mockRequest.mockReset();
+    appState.accessToken = 'tok';
+  });
+
+  it('não dispara a query sem accessToken (enabled=false)', () => {
+    appState.accessToken = undefined;
+    const { result } = renderHook(() => useCoreAccess(), {
+      wrapper: makeWrapper(),
+    });
+
+    expect(mockRequest).not.toHaveBeenCalled();
+    expect(result.current.isLoading).toBe(false);
+    expect(result.current.roleSlugs).toEqual([]);
+    expect(result.current.canManageUserPermissions).toBe(false);
+  });
+
+  it('canManageUserPermissions é true para admin', async () => {
+    mockRequest.mockResolvedValue({ data: { roles: [{ slug: 'admin' }] } });
+    const { result } = renderHook(() => useCoreAccess(), {
+      wrapper: makeWrapper(),
+    });
+
+    await waitFor(() => expect(result.current.roleSlugs).toEqual(['admin']));
+    expect(result.current.canManageUserPermissions).toBe(true);
+  });
+
+  it('canManageUserPermissions é true para admin-user-permission', async () => {
+    mockRequest.mockResolvedValue({
+      data: { roles: [{ slug: 'admin-user-permission' }] },
+    });
+    const { result } = renderHook(() => useCoreAccess(), {
+      wrapper: makeWrapper(),
+    });
+
+    await waitFor(() =>
+      expect(result.current.roleSlugs).toEqual(['admin-user-permission']),
+    );
+    expect(result.current.canManageUserPermissions).toBe(true);
+  });
+
+  it('canManageUserPermissions é false para admin-user (deliberadamente excluído)', async () => {
+    mockRequest.mockResolvedValue({ data: { roles: [{ slug: 'admin-user' }] } });
+    const { result } = renderHook(() => useCoreAccess(), {
+      wrapper: makeWrapper(),
+    });
+
+    await waitFor(() =>
+      expect(result.current.roleSlugs).toEqual(['admin-user']),
+    );
+    expect(result.current.canManageUserPermissions).toBe(false);
+  });
+
+  it('canManageUserPermissions é false para outros papéis admin-*', async () => {
+    mockRequest.mockResolvedValue({
+      data: { roles: [{ slug: 'admin-mail' }, { slug: 'admin-access' }] },
+    });
+    const { result } = renderHook(() => useCoreAccess(), {
+      wrapper: makeWrapper(),
+    });
+
+    await waitFor(() =>
+      expect(result.current.roleSlugs).toEqual(['admin-mail', 'admin-access']),
+    );
+    expect(result.current.canManageUserPermissions).toBe(false);
+  });
+
+  it('filtra roles sem slug (vazio/undefined) da lista final', async () => {
+    mockRequest.mockResolvedValue({
+      data: { roles: [{ slug: '' }, { slug: undefined }, { slug: 'user' }] },
+    });
+    const { result } = renderHook(() => useCoreAccess(), {
+      wrapper: makeWrapper(),
+    });
+
+    await waitFor(() => expect(result.current.roleSlugs).toEqual(['user']));
+    expect(result.current.canManageUserPermissions).toBe(false);
+  });
+
+  it('sem roles na resposta devolve lista vazia', async () => {
+    mockRequest.mockResolvedValue({ data: { roles: [] } });
+    const { result } = renderHook(() => useCoreAccess(), {
+      wrapper: makeWrapper(),
+    });
+
+    await waitFor(() => expect(mockRequest).toHaveBeenCalled());
+    await waitFor(() => expect(result.current.isLoading).toBe(false));
+    expect(result.current.roleSlugs).toEqual([]);
+    expect(result.current.canManageUserPermissions).toBe(false);
+  });
+});

package/hedhog/frontend/app/_lib/hooks/use-core-access.ts.ejs

@@ -0,0 +1,29 @@
+import { useApp, useQuery } from '@hed-hog/next-app-provider';
+
+type Role = { slug?: string };
+
+export function useCoreAccess() {
+  const { request, accessToken } = useApp();
+
+  const { data, isLoading } = useQuery<{ roles: Role[] }>({
+    queryKey: ['core-roles', accessToken],
+    enabled: !!accessToken,
+    queryFn: async () => {
+      const response = await request<{ roles: Role[] }>({ url: '/auth/roles' });
+      return response.data;
+    },
+  });
+
+  const roleSlugs = (data?.roles ?? []).map((r) => r.slug || '').filter(Boolean);
+
+  return {
+    isLoading,
+    roleSlugs,
+    // Conceder/revogar papeis de outra conta e escalonamento de privilegio, entao
+    // exige o papel dedicado admin-user-permission. admin-user administra apenas
+    // o cadastro do usuario e é deliberadamente excluido daqui.
+    canManageUserPermissions:
+      roleSlugs.includes('admin') ||
+      roleSlugs.includes('admin-user-permission'),
+  };
+}

package/hedhog/frontend/app/_lib/hooks/use-impersonation-access.test.ts.ejs

@@ -0,0 +1,71 @@
+import { beforeEach, describe, expect, it, vi } from 'vitest';
+import { QueryClient, QueryClientProvider } from '@tanstack/react-query';
+import { renderHook, waitFor } from '@testing-library/react';
+import { createElement, type ReactNode } from 'react';
+
+const { appState } = vi.hoisted(() => ({
+  appState: {
+    request: vi.fn(),
+    accessToken: 'token-123',
+    impersonation: null as unknown,
+  },
+}));
+
+vi.mock('@hed-hog/next-app-provider', async () => {
+  const actual =
+    await vi.importActual<typeof import('@tanstack/react-query')>(
+      '@tanstack/react-query'
+    );
+  return {
+    useApp: () => appState,
+    useQuery: actual.useQuery,
+  };
+});
+
+import { useImpersonationAccess } from './use-impersonation-access';
+
+const renderWithRoles = async (slugs: string[]) => {
+  appState.request = vi.fn().mockResolvedValue({
+    data: { roles: slugs.map((slug) => ({ slug })) },
+  });
+
+  // Um client por render: cache compartilhado vazaria papéis de um teste para
+  // o outro.
+  const queryClient = new QueryClient({
+    defaultOptions: { queries: { retry: false } },
+  });
+  const wrapper = ({ children }: { children: ReactNode }) =>
+    createElement(QueryClientProvider, { client: queryClient }, children);
+
+  const { result } = renderHook(() => useImpersonationAccess(), { wrapper });
+  await waitFor(() => expect(result.current.isLoading).toBe(false));
+
+  return result;
+};
+
+describe('useImpersonationAccess', () => {
+  beforeEach(() => {
+    appState.impersonation = null;
+  });
+
+  it('libera para admin', async () => {
+    const result = await renderWithRoles(['admin']);
+    expect(result.current.canSimulateAccess).toBe(true);
+  });
+
+  it('libera para admin-impersonation', async () => {
+    const result = await renderWithRoles(['admin-impersonation']);
+    expect(result.current.canSimulateAccess).toBe(true);
+  });
+
+  it('nega para admin-user, que administra o cadastro mas não simula acesso', async () => {
+    const result = await renderWithRoles(['admin-user']);
+    expect(result.current.canSimulateAccess).toBe(false);
+  });
+
+  it('nega dentro de uma simulação — não existe simulação aninhada', async () => {
+    appState.impersonation = { target: { id: 1, name: 'Aluna' } };
+    const result = await renderWithRoles(['admin']);
+    expect(result.current.canSimulateAccess).toBe(false);
+  });
+});

package/hedhog/frontend/app/_lib/hooks/use-impersonation-access.ts.ejs

@@ -0,0 +1,32 @@
+import { useApp, useQuery } from '@hed-hog/next-app-provider';
+
+type Role = { slug?: string };
+
+/**
+ * Quem pode abrir uma simulação de acesso. Só decide a VISIBILIDADE do botão —
+ * a autorização de verdade é o RoleGuard sobre `POST /impersonation/start`.
+ */
+export function useImpersonationAccess() {
+  const { request, accessToken, impersonation } = useApp();
+
+  const { data, isLoading } = useQuery<{ roles: Role[] }>({
+    queryKey: ['impersonation-roles', accessToken],
+    enabled: !!accessToken,
+    queryFn: async () => {
+      const response = await request<{ roles: Role[] }>({ url: '/auth/roles' });
+      return response.data;
+    },
+  });
+
+  const roleSlugs = (data?.roles ?? []).map((r) => r.slug || '').filter(Boolean);
+
+  return {
+    isLoading,
+    roleSlugs,
+    canSimulateAccess:
+      // Dentro de uma simulação não se abre outra: o backend recusa e o botão
+      // só criaria uma expectativa falsa.
+      !impersonation &&
+      (roleSlugs.includes('admin') || roleSlugs.includes('admin-impersonation')),
+  };
+}