@hed-hog/core 0.0.387 → 0.0.393

package/hedhog/table/access_log.yaml

@@ -25,7 +25,14 @@ columns:
   - name: mcp_prompt
     type: text
     isNullable: true
+  # Operador por tras de um acesso simulado. INT puro, SEM FK: uma segunda FK
+  # para `user` renomearia a relacao `user.access_log` no prisma db pull e
+  # quebraria AccessLogService.list. O nome sai de uma segunda consulta.
+  - name: impersonator_user_id
+    type: int
+    isNullable: true
   - type: created_at
 indexes:
   - fields: [user_id]
   - fields: [created_at]
+  - fields: [impersonator_user_id]

package/hedhog/table/ai_agent.yaml

@@ -6,6 +6,7 @@ columns:
     enum:
       - openai
       - gemini
+      - deepseek
     default: openai
   - name: model
     isNullable: true

package/hedhog/table/ai_instruction.yaml

@@ -10,6 +10,7 @@ columns:
       - agent
       - tool
       - output
+      - task
     default: system
   - name: name
     length: 200
@@ -29,6 +30,20 @@ columns:
   - name: version
     type: int
     default: 1
+  - name: model
+    length: 100
+    isNullable: true
+  - name: temperature
+    type: decimal
+    precision: 4
+    scale: 2
+    isNullable: true
+  - name: max_tokens
+    type: int
+    isNullable: true
+  - name: is_locked
+    type: boolean
+    default: false
   - type: created_at
   - type: updated_at
 indices:

package/hedhog/table/file.yaml

@@ -19,5 +19,13 @@ columns:
     type: int
     unsigned: true
     default: 0
+  # Tira o arquivo das duas rotas que servem por id sem autenticacao
+  # (GET /file/open/:id e GET /file/image/:id). O caminho autenticado
+  # PUT /file/open/:id -> token -> GET /file/open/:token continua valendo, e e
+  # por ele que o admin exibe anexo sensivel. Existe porque id de arquivo e
+  # sequencial: sem isso, um formulario de vaga com curriculos e enumeravel.
+  - name: is_private
+    type: boolean
+    default: false
   - type: created_at
   - type: updated_at

package/hedhog/table/leaked_password.yaml

@@ -0,0 +1,18 @@
+columns:
+  - type: pk
+  # SHA-1 da senha em claro, 20 bytes. SHA-1 porque e o formato em que os corpus
+  # publicos de vazamento (Pwned Passwords) sao distribuidos — aqui ele e
+  # identificador de item de lista publica, nao protecao de senha. As senhas do
+  # sistema continuam em hash de senha proprio e as do cofre em Argon2id+AES-GCM.
+  - name: hash
+    type: bytes
+    isUnique: true
+  # Quantas vezes o hash apareceu nos vazamentos conhecidos, quando o dump
+  # informa. 0 = desconhecido (caso do seed base, que vem de lista curada).
+  - name: occurrences
+    type: int
+    default: 0
+  - type: created_at
+
+indices:
+  - columns: [occurrences]

package/hedhog/table/mail_delivery_event.yaml

@@ -0,0 +1,76 @@
+# Evento de entrega devolvido pelo provedor de e-mail (SES via SNS, por ora).
+#
+# Motivo: ate aqui "enviado" significava apenas "o provedor aceitou". O chamado
+# 202608-000020 teve tres mensagens aceitas pelo SES, cada uma com MessageId de
+# sucesso, e nenhuma chegou a caixa alguma - sem esta tabela nao havia como
+# saber disso, nem por que. O `diagnostic_code` e a resposta literal do servidor
+# destinatario, que e o que responde "por que nao chegou".
+columns:
+  - type: pk
+  # Nullable de proposito: um evento pode chegar de um envio anterior a coluna
+  # provider_message_id existir, ou de um e-mail que saiu por fora do Hub.
+  # Descartar seria jogar fora justamente a evidencia de que algo escapou.
+  - type: fk
+    name: mail_sent_id
+    isNullable: true
+    references:
+      table: mail_sent
+      column: id
+      onDelete: set null
+      onUpdate: cascade
+  # Chave de juncao com mail_sent.provider_message_id.
+  - name: provider_message_id
+    type: varchar
+    length: 255
+  # O provedor reporta por destinatario: uma mensagem para tres pessoas pode
+  # ser entregue a duas e voltar da terceira.
+  - name: recipient_email
+    type: varchar
+    length: 255
+    isNullable: true
+  # varchar e nao enum: o SES ja tem sete tipos e acrescenta outros sem aviso,
+  # e um valor novo nao pode derrubar a ingestao do webhook.
+  - name: event_type
+    type: varchar
+    length: 32
+  - name: bounce_type
+    type: varchar
+    length: 64
+    isNullable: true
+  - name: bounce_subtype
+    type: varchar
+    length: 64
+    isNullable: true
+  - name: diagnostic_code
+    type: text
+    isNullable: true
+  - name: reporting_mta
+    type: varchar
+    length: 255
+    isNullable: true
+  # Notificacao crua, para o que o schema nao previu.
+  - name: payload
+    type: json
+    isNullable: true
+  # Horario do provedor, nao o nosso: o SNS reentrega e o nosso relogio diria
+  # quando processamos, nao quando aconteceu.
+  - name: occurred_at
+    type: timestamp
+  - type: created_at
+  - type: updated_at
+indices:
+  - columns:
+      - provider_message_id
+  - columns:
+      - mail_sent_id
+  - columns:
+      - event_type
+      - occurred_at
+  # O SNS reentrega quando a resposta demora; sem esta chave o mesmo bounce
+  # viraria uma linha nova a cada tentativa.
+  - columns:
+      - provider_message_id
+      - recipient_email
+      - event_type
+      - occurred_at
+    isUnique: true

package/hedhog/table/mail_layout.yaml

@@ -0,0 +1,35 @@
+columns:
+  - type: pk
+  - type: slug
+  - name: is_default
+    type: boolean
+    default: false
+    comment: "Layout applied to every mail that does not skip or override it"
+  - name: wrapper
+    type: text
+    comment: "Full HTML document with {{{header}}} / {{{content}}} / {{{footer}}} tokens. Structural (CSS) and therefore not translatable."
+  - name: name
+    type: locale_varchar
+    length: 255
+    locale:
+      en: Name
+      pt: Nome
+  - name: header
+    type: locale_text
+    isNullable: true
+    locale:
+      en: Header
+      pt: Cabeçalho
+  - name: footer
+    type: locale_text
+    isNullable: true
+    locale:
+      en: Footer
+      pt: Rodapé
+  - type: created_at
+  - type: updated_at
+
+indices:
+  - columns: [is_default]
+    isUnique: true
+    where: is_default = true

package/hedhog/table/mail_sent.yaml

@@ -17,5 +17,28 @@ columns:
     isNullable: true
   - name: body
     type: text
+  # Id devolvido pelo provedor (MessageId do SES, messageId do nodemailer).
+  # Sem ele nao ha como cruzar um envio nosso com o evento de entrega/bounce
+  # do provedor - foi essa lacuna que deixou "enviado sem erro, nunca chegou"
+  # sem resposta possivel.
+  - name: provider_message_id
+    length: 255
+    isNullable: true
+  # Desfecho consolidado dos eventos de mail_delivery_event, para a listagem do
+  # log nao precisar agregar a tabela de eventos a cada linha.
+  # delivered | bounced | complained | rejected
+  - name: delivery_status
+    type: varchar
+    length: 32
+    isNullable: true
+  - name: delivery_updated_at
+    type: timestamp
+    isNullable: true
   - type: created_at
   - type: updated_at
+indices:
+  # Coluna de lookup do webhook de entrega: o provedor so conhece o MessageId.
+  - columns:
+      - provider_message_id
+  - columns:
+      - delivery_status

package/hedhog/table/mail_var.yaml

@@ -10,3 +10,7 @@ columns:
   - name: name
   - type: created_at
   - type: updated_at
+
+indices:
+  - columns: [mail_id, name]
+    isUnique: true

package/hedhog/table/setting.yaml

@@ -33,6 +33,7 @@ columns:
       - switch
       - checkbox
       - entity-picker
+      - link
     default: input-text
   - name: value
     length: 1023

package/hedhog/table/system_incident.yaml

@@ -0,0 +1,59 @@
+columns:
+  - type: pk
+  # Origem no formato "<modulo>.<area>", ex.: core.mail, legacy.reconcile.
+  - name: source
+    type: varchar
+    length: 120
+  # Identificador estavel da falha, ex.: mail_send_failed.
+  - name: code
+    type: varchar
+    length: 120
+  - name: severity
+    type: enum
+    values:
+      - warning
+      - error
+      - critical
+    default: error
+  - name: message
+    type: text
+  - name: context
+    type: json
+    isNullable: true
+  # Hash de (source, code, chave de agrupamento). E o que impede uma falha
+  # repetitiva de virar milhares de linhas: repeticao vira contador.
+  - name: fingerprint
+    type: varchar
+    length: 64
+    isUnique: true
+  - name: occurrences
+    type: int
+    default: 1
+  - name: first_seen_at
+    type: datetime
+  - name: last_seen_at
+    type: datetime
+  # Ultima vez que este incidente gerou aviso; base do cooldown.
+  - name: notified_at
+    type: datetime
+    isNullable: true
+  - name: resolved_at
+    type: datetime
+    isNullable: true
+  - name: resolved_by
+    type: fk
+    isNullable: true
+    references:
+      table: user
+      column: id
+      onDelete: SET NULL
+      onUpdate: CASCADE
+  - type: created_at
+  - type: updated_at
+
+indices:
+  - columns: [source]
+  - columns: [code]
+  - columns: [severity]
+  - columns: [resolved_at]
+  - columns: [last_seen_at]

package/hedhog/table/user_activity.yaml

@@ -8,6 +8,15 @@ columns:
       onDelete: CASCADE
   - name: action
     type: text
+  # Quem provocou a atividade, quando nao foi o proprio usuario (hoje: simulacao
+  # de acesso). INT puro, SEM FK: uma segunda FK para `user` renomearia a relacao
+  # `user.user_activity` no prisma db pull e quebraria getUserIncludeClause.
+  - name: actor_user_id
+    type: int
+    isNullable: true
   - type: created_at
   - type: updated_at
 
+indices:
+  - columns: [actor_user_id]
+

package/hedhog/table/user_device.yaml

@@ -0,0 +1,52 @@
+# Dispositivos ja vistos por usuario, usada por AuthService para decidir se um
+# login vem de um dispositivo desconhecido (e-mail auth-login-new-device).
+#
+# Existe porque a checagem anterior olhava o historico de `user_session`, que
+# `clearExpiredSessions` poda por `session-retention-days`: um dispositivo parado
+# alguns meses sumia do historico e era reanunciado como novo.
+columns:
+  - type: pk
+  - name: user_id
+    type: fk
+    references:
+      table: user
+      column: id
+      onDelete: CASCADE
+      onUpdate: CASCADE
+  # sha256 hex de `b:<browser_id>` ou, na falta dele, `u:<user_agent>`.
+  # Ver buildDeviceKey em libraries/core/src/utils/device-key.ts.
+  - name: device_key
+    type: varchar
+    length: 64
+  # browser_id e user_agent ficam gravados crus so para diagnostico: quem decide
+  # a identidade e a device_key.
+  - name: browser_id
+    type: varchar
+    isNullable: true
+  - name: user_agent
+    type: text
+    isNullable: true
+  - name: browser_name
+    type: varchar
+    length: 64
+    isNullable: true
+  - name: os_name
+    type: varchar
+    length: 64
+    isNullable: true
+  - name: last_ip
+    type: varchar
+    length: 45
+    isNullable: true
+  - name: last_seen_at
+    type: timestamptz
+  - type: created_at
+  - type: updated_at
+
+indices:
+  # A unica que importa no caminho de login: "este usuario ja usou este
+  # dispositivo?". Unica porque o upsert do registro depende dela.
+  - columns: [user_id, device_key]
+    isUnique: true
+  # Para uma futura poda de dispositivos ha muito nao usados.
+  - columns: [last_seen_at]

package/hedhog/table/user_presence.yaml

@@ -0,0 +1,36 @@
+# Unified presence per user: app heartbeat (real-time, this application) merged
+# with Microsoft Teams presence (when the Teams integration is configured). One
+# row per user, upserted by the heartbeat endpoint and by the Microsoft presence
+# processor.
+columns:
+  - type: pk
+  - name: user_id
+    type: fk
+    references:
+      table: user
+      column: id
+      onDelete: CASCADE
+      onUpdate: CASCADE
+  # Last time the user's browser pinged the heartbeat endpoint (app presence).
+  - name: last_heartbeat_at
+    type: timestamptz
+    isNullable: true
+  # Latest Microsoft Teams presence (Available/Busy/Away/DoNotDisturb/Offline/...).
+  - name: teams_availability
+    type: varchar
+    length: 64
+    isNullable: true
+  - name: teams_activity
+    type: varchar
+    length: 64
+    isNullable: true
+  - name: teams_updated_at
+    type: timestamptz
+    isNullable: true
+  - type: created_at
+  - type: updated_at
+
+indices:
+  - columns: [user_id]
+    isUnique: true
+  - columns: [last_heartbeat_at]

package/hedhog/table/user_session.yaml

@@ -16,5 +16,24 @@ columns:
     isNullable: true
   - name: expires_at
     type: datetime
+  # Sessao aberta por outro usuario via simulacao de acesso. INT puro, SEM FK:
+  # esta tabela ja tem uma FK para `user`, e uma segunda faria o prisma db pull
+  # renomear `user.user_session` (foi o que aconteceu com user_change_log), o que
+  # quebraria UserService.findUserById e a tela de sessoes do admin. O nome do
+  # operador sai de uma segunda consulta.
+  - name: impersonator_user_id
+    type: int
+    isNullable: true
+  - name: impersonation_reason
+    type: varchar
+    length: 255
+    isNullable: true
   - type: created_at
-  - type: updated_at
+  - type: updated_at
+
+# A FK user_id nasceu sem indice, entao toda consulta por usuario (listagem de
+# sessoes, revogacao em massa) fazia seq scan. O prefixo user_id deste indice
+# composto ja cobre esses casos.
+indices:
+  - columns: [user_id, browser_id]
+  - columns: [impersonator_user_id]

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@hed-hog/core",
-  "version": "0.0.387",
+  "version": "0.0.393",
   "license": "MIT",
   "main": "dist/index.js",
   "types": "dist/index.d.ts",
@@ -20,8 +20,10 @@
     "@nestjs/event-emitter": "*",
     "@nestjs/jwt": "^11",
     "@nestjs/mapped-types": "*",
+    "@nestjs/platform-socket.io": "^11",
     "@nestjs/schedule": "^6.0.1",
     "@nestjs/throttler": "^6.4.0",
+    "@nestjs/websockets": "^11",
     "@simplewebauthn/server": "^13.2.2",
     "argon2": "^0.44.0",
     "axios": "^1.9.0",
@@ -37,13 +39,16 @@
     "qrcode": "^1.5.4",
     "redis": "4.7.1",
     "rxjs": "^7.8.2",
+    "@sentry/nestjs": "10.70.0",
+    "socket.io": "^4.8.1",
     "sharp": "^0.34.2",
     "speakeasy": "^2.0.0",
     "ua-parser-js": "^2.0.10",
     "uuid": "^11.1.0",
     "@hed-hog/api-prisma": "0.0.6",
+    "@hed-hog/api-mail": "0.0.10",
+    "@hed-hog/vault-crypto": "0.0.1",
     "@hed-hog/api-types": "0.0.1",
-    "@hed-hog/api-mail": "0.0.9",
     "@hed-hog/api-pagination": "0.0.7",
     "@hed-hog/api-locale": "0.0.14",
     "@hed-hog/api": "0.0.8"

package/src/access-log/access-log.controller.ts

@@ -24,6 +24,7 @@ export class AccessLogController {
       createdAtFrom: query.createdAtFrom,
       createdAtTo: query.createdAtTo,
       type: query.type,
+      simulated: query.simulated,
     });
   }
 }

package/src/access-log/access-log.interceptor.ts

@@ -26,12 +26,18 @@ export class AccessLogInterceptor implements NestInterceptor {
     return next.handle().pipe(
       tap(() => {
         const userId: number | undefined = request.auth?.sub;
-        const forwarded = request.headers['x-forwarded-for'] as string | undefined;
-        const ip: string = forwarded ? forwarded.split(',')[0].trim() : (request.ip ?? '');
+        // Numa simulacao de acesso o `sub` e o ALVO; sem gravar o operador, o
+        // log ficaria indistinguivel de um acesso genuino do usuario.
+        const impersonatorUserId: number | undefined =
+          request.auth?.imp === true ? request.auth?.act : undefined;
+        // request.ip já resolve o IP real do cliente respeitando `trust proxy` (main.ts):
+        // ler x-forwarded-for na mão aqui pegava o primeiro valor da lista, que é
+        // exatamente o mais fácil de forjar pelo próprio cliente.
+        const ip: string = request.ip ?? '';
         const userAgent: string = (request.headers['user-agent'] as string) ?? '';
         const method: string = request.method ?? '';
 
-        this.accessLogService.recordHttp({ userId, ip, userAgent, method, path });
+        this.accessLogService.recordHttp({ userId, ip, userAgent, method, path, impersonatorUserId });
       }),
     );
   }

package/src/access-log/access-log.service.spec.ts

@@ -78,6 +78,7 @@ describe('AccessLogService', () => {
           user_agent: 'UA',
           method: 'GET',
           path: '/api/x',
+          impersonator_user_id: null,
         },
       });
     });
@@ -89,7 +90,32 @@ describe('AccessLogService', () => {
       service.recordHttp({ method: 'POST', path: '/x' });
 
       expect(prisma.access_log.create).toHaveBeenCalledWith({
-        data: { user_id: null, ip: null, user_agent: null, method: 'POST', path: '/x' },
+        data: {
+          user_id: null,
+          ip: null,
+          user_agent: null,
+          method: 'POST',
+          path: '/x',
+          impersonator_user_id: null,
+        },
+      });
+    });
+
+    it('grava o operador quando o acesso e simulado', () => {
+      const { service, prisma } = makeService();
+      prisma.access_log.create.mockResolvedValue({});
+
+      // `userId` continua sendo o ALVO; o operador entra numa coluna propria,
+      // senao o log fica indistinguivel de um acesso genuino do usuario.
+      service.recordHttp({
+        userId: 3,
+        method: 'GET',
+        path: '/api/x',
+        impersonatorUserId: 42,
+      });
+
+      expect(prisma.access_log.create).toHaveBeenCalledWith({
+        data: expect.objectContaining({ user_id: 3, impersonator_user_id: 42 }),
       });
     });
 
@@ -115,7 +141,12 @@ describe('AccessLogService', () => {
       service.recordMcp({ userId: 9, mcpTool: 'search', mcpPrompt: 'q' });
 
       expect(prisma.access_log.create).toHaveBeenCalledWith({
-        data: { user_id: 9, mcp_tool: 'search', mcp_prompt: 'q' },
+        data: {
+          user_id: 9,
+          mcp_tool: 'search',
+          mcp_prompt: 'q',
+          impersonator_user_id: null,
+        },
       });
     });
   });

package/src/access-log/access-log.service.ts

@@ -10,12 +10,15 @@ interface RecordHttpData {
   userAgent?: string;
   method: string;
   path: string;
+  /** Operador por tras de um acesso simulado; `userId` continua sendo o alvo. */
+  impersonatorUserId?: number;
 }
 
 interface RecordMcpData {
   userId?: number;
   mcpTool: string;
   mcpPrompt?: string;
+  impersonatorUserId?: number;
 }
 
 type AccessLogListParams = {
@@ -30,6 +33,7 @@ type AccessLogListParams = {
   createdAtFrom?: string;
   createdAtTo?: string;
   type?: 'http' | 'mcp' | 'all';
+  simulated?: 'all' | 'only' | 'exclude';
 };
 
 @Injectable()
@@ -52,6 +56,7 @@ export class AccessLogService {
           user_agent: data.userAgent ?? null,
           method: data.method,
           path: data.path,
+          impersonator_user_id: data.impersonatorUserId ?? null,
         },
       })
       .catch((e) => this.logger.warn(`Failed to persist HTTP access log: ${e.message}`));
@@ -64,6 +69,7 @@ export class AccessLogService {
           user_id: data.userId ?? null,
           mcp_tool: data.mcpTool,
           mcp_prompt: data.mcpPrompt ?? null,
+          impersonator_user_id: data.impersonatorUserId ?? null,
         },
       })
       .catch((e) => this.logger.warn(`Failed to persist MCP access log: ${e.message}`));
@@ -102,6 +108,12 @@ export class AccessLogService {
       where.mcp_tool = { not: null };
     }
 
+    if (params.simulated === 'only') {
+      where.impersonator_user_id = { not: null };
+    } else if (params.simulated === 'exclude') {
+      where.impersonator_user_id = null;
+    }
+
     const result = await this.pagination.paginate(this.prisma.access_log, {
       ...params,
       fields: params.fields ?? '',
@@ -113,6 +125,24 @@ export class AccessLogService {
       },
     });
 
+    // `impersonator_user_id` e INT puro, sem FK (senao o db pull renomearia a
+    // relacao `user.access_log`), entao o nome do operador vem de uma consulta
+    // separada sobre os ids desta pagina.
+    const impersonatorIds = Array.from(
+      new Set(
+        (result.data as any[])
+          .map((log) => log.impersonator_user_id)
+          .filter((id): id is number => typeof id === 'number'),
+      ),
+    );
+    const impersonators = impersonatorIds.length
+      ? await this.prisma.user.findMany({
+          where: { id: { in: impersonatorIds } },
+          select: { id: true, name: true, photo_id: true },
+        })
+      : [];
+    const impersonatorById = new Map(impersonators.map((user) => [user.id, user]));
+
     const data = (result.data as any[]).map((log) => {
       const ua = log.user_agent ? new UAParser(log.user_agent).getResult() : null;
       const geo = log.ip ? geoip.lookup(log.ip) : null;
@@ -124,6 +154,14 @@ export class AccessLogService {
         os_version: ua?.os?.version ?? null,
         country: geo?.country ?? null,
         city: geo?.city ?? null,
+        impersonator:
+          typeof log.impersonator_user_id === 'number'
+            ? (impersonatorById.get(log.impersonator_user_id) ?? {
+                id: log.impersonator_user_id,
+                name: '',
+                photo_id: null,
+              })
+            : null,
       };
     });
 

package/src/access-log/dto/query-access-log.dto.ts

@@ -20,4 +20,9 @@ export class QueryAccessLogDto {
   @IsOptional()
   @IsIn(['http', 'mcp', 'all'])
   type?: 'http' | 'mcp' | 'all';
+
+  /** Filtra acessos feitos durante uma simulacao de acesso. */
+  @IsOptional()
+  @IsIn(['all', 'only', 'exclude'])
+  simulated?: 'all' | 'only' | 'exclude';
 }