@hed-hog/core 0.0.397 → 0.0.399

package/hedhog/query/impersonation_grant.sql

@@ -0,0 +1,71 @@
+-- Simulacao de acesso ("simular login"): um operador abre uma sessao curta,
+-- auditada e nao renovavel como outro usuario.
+--
+-- Tabela de infra de auth: vive so aqui, sem YAML em hedhog/table (ver
+-- oauth_mobile_state_token.sql).
+--
+-- Usada por libraries/core/src/impersonation/impersonation.service.ts.
+--
+-- POR QUE impersonator_user_id E target_user_id SAO INTEGER SEM FOREIGN KEY:
+-- as tabelas marcadas mais abaixo ja tem uma FK para "user". Uma segunda FK faz
+-- o `prisma db pull` desambiguar os nomes das relacoes NOS DOIS LADOS, o que
+-- renomearia `user.user_session`, `user.access_log` e `user.user_activity` e
+-- quebraria UserService, packages/api-types e a tela de sessoes do admin. O nome
+-- do operador e resolvido por uma segunda consulta.
+CREATE TABLE IF NOT EXISTS impersonation_grant (
+  id                   SERIAL       PRIMARY KEY,
+  code_hash            VARCHAR(255) NOT NULL UNIQUE,
+  -- Sem FK de proposito — ver a nota no topo do arquivo.
+  impersonator_user_id INTEGER      NOT NULL,
+  target_user_id       INTEGER      NOT NULL,
+  -- Chave do app de destino ('admin', 'class', 'partners'), resolvida contra a
+  -- setting app-urls.
+  app                  VARCHAR(50)  NOT NULL,
+  reason               VARCHAR(255) NULL,
+  -- Preenchido no resgate: aponta para a user_session simulada que nasceu daqui.
+  session_id           INTEGER      NULL,
+  issued_ip            VARCHAR(64)  NULL,
+  issued_user_agent    TEXT         NULL,
+  redeemed_ip          VARCHAR(64)  NULL,
+  redeemed_user_agent  TEXT         NULL,
+  consumed_at          TIMESTAMPTZ  NULL,
+  ended_at             TIMESTAMPTZ  NULL,
+  expires_at           TIMESTAMPTZ  NOT NULL,
+  created_at           TIMESTAMPTZ  NOT NULL DEFAULT NOW()
+);
+
+CREATE INDEX IF NOT EXISTS idx_impersonation_grant_impersonator
+  ON impersonation_grant (impersonator_user_id, created_at DESC);
+
+CREATE INDEX IF NOT EXISTS idx_impersonation_grant_target
+  ON impersonation_grant (target_user_id, created_at DESC);
+
+CREATE INDEX IF NOT EXISTS idx_impersonation_grant_expires
+  ON impersonation_grant (expires_at);
+
+CREATE INDEX IF NOT EXISTS idx_impersonation_grant_session
+  ON impersonation_grant (session_id)
+  WHERE session_id IS NOT NULL;
+
+-- ---------------------------------------------------------------------------
+-- Indices das colunas de simulacao nas tabelas que TEM YAML.
+--
+-- As colunas em si vem de hedhog/table/{user_session,access_log,user_activity}.yaml
+-- e o CLI as cria; os indices NAO — o gerador nao emite indice para elas, e a
+-- semantica parcial (WHERE ... IS NOT NULL) nao e exprimivel em YAML.
+--
+-- Parciais de proposito: a esmagadora maioria das linhas nao tem simulacao
+-- nenhuma, entao um indice cheio numa coluna quase toda NULL seria bem maior sem
+-- servir a nenhuma consulta.
+-- ---------------------------------------------------------------------------
+CREATE INDEX IF NOT EXISTS "user_session_impersonator_user_id_idx"
+  ON "user_session" ("impersonator_user_id")
+  WHERE "impersonator_user_id" IS NOT NULL;
+
+CREATE INDEX IF NOT EXISTS "access_log_impersonator_user_id_idx"
+  ON "access_log" ("impersonator_user_id")
+  WHERE "impersonator_user_id" IS NOT NULL;
+
+CREATE INDEX IF NOT EXISTS "user_activity_actor_user_id_idx"
+  ON "user_activity" ("actor_user_id")
+  WHERE "actor_user_id" IS NOT NULL;

package/hedhog/query/oauth_authorize_pkce.sql

@@ -0,0 +1,58 @@
+-- OAuth authorization code + PKCE: a API como PROVEDORA de identidade.
+--
+-- Tabelas de infra de auth: vivem so aqui, sem YAML em hedhog/table (ver
+-- oauth_mobile_state_token.sql).
+--
+-- Usadas por libraries/core/src/authorize/authorize.service.ts e
+-- libraries/core/src/pairing/pairing.service.ts.
+--
+-- A ordem interna importa: oauth_authorization_code.client_id aponta para
+-- oauth_app_client.client_id. A FK para "user" resolve porque os arquivos de
+-- hedhog/query sao anexados DEPOIS de todos os CREATE TABLE (ver docs/YAML-SPEC.md
+-- secao 7).
+CREATE TABLE IF NOT EXISTS oauth_app_client (
+  id             SERIAL PRIMARY KEY,
+  client_id      VARCHAR(100) NOT NULL UNIQUE,
+  name           VARCHAR(255) NOT NULL,
+  -- 'public' = sem client_secret, PKCE obrigatorio (o caso de uma extensao, que
+  -- nao consegue guardar segredo).
+  client_type    VARCHAR(20)  NOT NULL DEFAULT 'public',
+  -- Allowlist de URIs exatas, uma por linha. A comparacao e igualdade de string:
+  -- parsing de origin quebraria para esquemas nao-http.
+  redirect_uris  TEXT         NOT NULL,
+  scopes         TEXT         NOT NULL DEFAULT 'vaults',
+  -- Reservado: hoje NAO pula a tela de consent. Pular economizaria um clique e
+  -- custaria um authorize silencioso disparavel por qualquer pagina.
+  is_first_party BOOLEAN      NOT NULL DEFAULT TRUE,
+  enabled        BOOLEAN      NOT NULL DEFAULT TRUE,
+  created_at     TIMESTAMPTZ  NOT NULL DEFAULT NOW(),
+  updated_at     TIMESTAMPTZ  NOT NULL DEFAULT NOW()
+);
+
+-- Authorization codes de vida curta (60s), consumidos atomicamente uma unica vez.
+CREATE TABLE IF NOT EXISTS oauth_authorization_code (
+  id                    BIGSERIAL PRIMARY KEY,
+  -- Guardamos so o hash: um dump do banco nao permite trocar codes por tokens.
+  code_hash             VARCHAR(255) NOT NULL UNIQUE,
+  client_id             VARCHAR(100) NOT NULL,
+  user_id               INTEGER      NOT NULL REFERENCES "user"(id) ON DELETE CASCADE,
+  redirect_uri          TEXT         NOT NULL,
+  scope                 TEXT         NOT NULL,
+  code_challenge        VARCHAR(255) NOT NULL,
+  code_challenge_method VARCHAR(10)  NOT NULL DEFAULT 'S256',
+  expires_at            TIMESTAMPTZ  NOT NULL,
+  consumed_at           TIMESTAMPTZ  NULL,
+  created_at            TIMESTAMPTZ  NOT NULL DEFAULT NOW()
+);
+
+CREATE INDEX IF NOT EXISTS idx_oauth_authorization_code_expires_at
+  ON oauth_authorization_code (expires_at);
+
+CREATE INDEX IF NOT EXISTS idx_oauth_authorization_code_client
+  ON oauth_authorization_code (client_id);
+
+-- NOTA: o repositorio de referencia semeia aqui um oauth_app_client para a
+-- extensao "HedHog Vaults" (client_id 'hedhog-extension', scope 'vaults'). Esse
+-- seed NAO foi trazido de proposito: e dado de aplicacao, nao estrutura; depende
+-- da library `vaults`; e o proprio redirect_uri de la ja mudou depois daquela
+-- migration. Cada instalacao cadastra os proprios clients.

package/hedhog/query/oauth_mobile_state_token.sql

@@ -0,0 +1,30 @@
+-- Estado do fluxo OAuth mobile, duravel entre replicas da API.
+--
+-- Tabela de infra de auth: vive so aqui, sem YAML em hedhog/table, porque nao e
+-- entidade de negocio e nao tem CRUD administravel. hedhog/table e para o que
+-- ganha scaffolding.
+--
+-- O `state` opaco nao pode viver em memoria de processo: com mais de uma replica,
+-- o callback do provedor cai em qualquer pod. O token e gravado com hash, amarrado
+-- a provider + redirect_uri + flow_type, e consumido uma unica vez (consumed_at)
+-- antes de expirar (expires_at).
+--
+-- Usada por libraries/core/src/oauth/oauth.service.ts.
+CREATE TABLE IF NOT EXISTS oauth_mobile_state_token (
+  id BIGSERIAL PRIMARY KEY,
+  token_hash VARCHAR(255) NOT NULL UNIQUE,
+  provider VARCHAR(100) NOT NULL,
+  redirect_uri TEXT NOT NULL,
+  flow_type VARCHAR(20) NOT NULL,
+  expires_at TIMESTAMPTZ NOT NULL,
+  consumed_at TIMESTAMPTZ NULL,
+  created_at TIMESTAMPTZ NOT NULL DEFAULT NOW()
+);
+
+-- Lookup do callback: casa o state com o par provider + redirect_uri.
+CREATE INDEX IF NOT EXISTS idx_oauth_mobile_state_token_provider_redirect
+  ON oauth_mobile_state_token (provider, redirect_uri);
+
+-- Varredura de expirados.
+CREATE INDEX IF NOT EXISTS idx_oauth_mobile_state_token_expires_at
+  ON oauth_mobile_state_token (expires_at);

package/hedhog/query/oauth_web_ref_token.sql

@@ -0,0 +1,25 @@
+-- Referencia curta de uso unico para o retorno do OAuth web (Microsoft Entra ID).
+--
+-- Tabela de infra de auth: vive so aqui, sem YAML em hedhog/table (ver
+-- oauth_mobile_state_token.sql).
+--
+-- A API troca o authorization code (~2KB) do provedor no servidor, guarda o perfil
+-- resultante cifrado sob um id curto e opaco, e devolve so esse id ao front-end,
+-- que o resgata. Modelada a partir de oauth_mobile_state_token, pelo mesmo motivo:
+-- ser duravel entre replicas.
+--
+-- Usada por libraries/core/src/oauth/oauth.service.ts.
+CREATE TABLE IF NOT EXISTS oauth_web_ref_token (
+  id BIGSERIAL PRIMARY KEY,
+  token_hash VARCHAR(255) NOT NULL UNIQUE,
+  provider VARCHAR(100) NOT NULL,
+  flow_type VARCHAR(20) NOT NULL,
+  app_origin TEXT NULL,
+  profile_enc TEXT NOT NULL,
+  expires_at TIMESTAMPTZ NOT NULL,
+  consumed_at TIMESTAMPTZ NULL,
+  created_at TIMESTAMPTZ NOT NULL DEFAULT NOW()
+);
+
+CREATE INDEX IF NOT EXISTS idx_oauth_web_ref_token_expires_at
+  ON oauth_web_ref_token (expires_at);

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@hed-hog/core",
-  "version": "0.0.397",
+  "version": "0.0.399",
   "license": "MIT",
   "main": "dist/index.js",
   "types": "dist/index.d.ts",
@@ -45,13 +45,13 @@
     "speakeasy": "^2.0.0",
     "ua-parser-js": "^2.0.10",
     "uuid": "^11.1.0",
+    "@hed-hog/vault-crypto": "0.0.1",
     "@hed-hog/api-prisma": "0.0.7",
-    "@hed-hog/api-locale": "0.0.15",
+    "@hed-hog/api-types": "0.0.2",
     "@hed-hog/api-mail": "0.0.11",
-    "@hed-hog/vault-crypto": "0.0.1",
-    "@hed-hog/api": "0.0.9",
+    "@hed-hog/api-locale": "0.0.15",
     "@hed-hog/api-pagination": "0.0.8",
-    "@hed-hog/api-types": "0.0.2"
+    "@hed-hog/api": "0.0.9"
   },
   "exports": {
     ".": {

package/src/file/file.service.ts

@@ -1197,7 +1197,29 @@ export class FileService implements OnModuleInit {
     name: string,
     buffer?: Buffer,
   ): Promise<string> {
-    if (mimetype && mimetype.startsWith('image/')) return mimetype;
+    if (mimetype && mimetype.startsWith('image/')) {
+      // O mimetype que chega do navegador vem da EXTENSÃO do arquivo, não do
+      // conteúdo: um PNG renomeado para `.svg` é anunciado como `image/svg+xml`.
+      // Gravar isso faz o endpoint de imagem servir bytes PNG sob Content-Type
+      // de SVG e, com o `nosniff` que a API envia, o navegador não corrige
+      // sozinho — a imagem simplesmente não renderiza, sem erro nenhum.
+      // Com os bytes em mãos, quem decide é a assinatura do arquivo.
+      if (buffer) {
+        const sniffed =
+          await this.imageOptimizationService.detectImageMimetype(buffer);
+        // Só sobrepõe quando o sniffing reconheceu o formato: um `null` significa
+        // que o sharp não entendeu o buffer, e aí o declarado ainda é o melhor
+        // palpite disponível.
+        if (sniffed && sniffed !== mimetype) {
+          this.logger.warn(
+            `Upload "${name}" foi anunciado como ${mimetype}, mas os bytes são ${sniffed}. Persistindo o tipo real.`,
+          );
+          return sniffed;
+        }
+      }
+
+      return mimetype;
+    }
     // Tipos concretos não-imagem (video, pdf, ...) são mantidos como estão.
     if (mimetype && mimetype !== 'application/octet-stream') return mimetype;
 

package/src/integration-profile/integration-profile.service.ts

@@ -165,18 +165,30 @@ export class IntegrationProfileService {
     const items = Array.isArray(result.data) ? result.data : [];
     if (items.length > 0) {
       const ids = items.map((p: any) => p.id as number);
-      const counts = await this.prismaService.$queryRaw<
-        { id: number; uses_count: bigint }[]
-      >`
+      const usageTables = await this.getExistingUsageTables();
+
+      const counts =
+        usageTables.length === 0
+          ? []
+          : await this.prismaService.$queryRawUnsafe<
+              { id: number; uses_count: bigint }[]
+            >(
+              `
         SELECT
           ip.id,
           (
-            COALESCE((SELECT COUNT(*)::int FROM campaign       WHERE integration_profile_id = ip.id), 0) +
-            COALESCE((SELECT COUNT(*)::int FROM webhook_action WHERE integration_profile_id = ip.id), 0)
+            ${usageTables
+              .map(
+                (table) =>
+                  `COALESCE((SELECT COUNT(*)::int FROM ${table} WHERE integration_profile_id = ip.id), 0)`,
+              )
+              .join(' + ')}
           ) AS uses_count
         FROM integration_profile ip
-        WHERE ip.id = ANY(${ids}::int[])
-      `;
+        WHERE ip.id = ANY($1::int[])
+      `,
+              ids,
+            );
 
       const countMap = new Map(
         counts.map((r) => [r.id, Number(r.uses_count)]),
@@ -196,6 +208,51 @@ export class IntegrationProfileService {
     return result;
   }
 
+  /**
+   * Tabelas que referenciam um perfil de integração, para o contador `uses_count`.
+   *
+   * Nem toda instalação tem todas: `campaign` vem de uma library de marketing que
+   * pode não estar instalada, enquanto `webhook_action` é do core. O Postgres
+   * valida os nomes de relação ao analisar a query, então citar uma tabela ausente
+   * não devolve zero — derruba o `$queryRaw` inteiro com 42P01 e, com ele, toda a
+   * listagem de perfis (500, sem nenhum perfil visível na tela).
+   */
+  private static readonly USAGE_TABLES = ['campaign', 'webhook_action'];
+
+  /** Cacheado: o conjunto de tabelas só muda com migration, não entre requests. */
+  private existingUsageTables: string[] | null = null;
+
+  private async getExistingUsageTables(): Promise<string[]> {
+    if (this.existingUsageTables) return this.existingUsageTables;
+
+    const rows = await this.prismaService.$queryRaw<{ table_name: string }[]>`
+      SELECT table_name
+      FROM information_schema.tables
+      WHERE table_schema = 'public'
+        AND table_name = ANY(${IntegrationProfileService.USAGE_TABLES}::text[])
+    `;
+
+    const found = new Set(rows.map((r) => r.table_name));
+
+    // Filtrar a constante (em vez de usar o retorno do banco direto) mantém os
+    // nomes interpolados na query restritos a esta lista fixa.
+    this.existingUsageTables = IntegrationProfileService.USAGE_TABLES.filter(
+      (table) => found.has(table),
+    );
+
+    const missing = IntegrationProfileService.USAGE_TABLES.filter(
+      (table) => !found.has(table),
+    );
+
+    if (missing.length > 0) {
+      this.logger.log(
+        `uses_count ignora tabela(s) ausente(s) nesta instalação: ${missing.join(', ')}.`,
+      );
+    }
+
+    return this.existingUsageTables;
+  }
+
   /**
    * Resolve o config do perfil de integração ATIVO para um par tipo/provider — uso
    * server-side por serviços que precisam das credenciais (ex.: InfraScaler do