@luanpdd/kit-mcp 1.7.0 → 1.9.0

package/kit/skills/supabase-auth-ssr/SKILL.md

@@ -0,0 +1,260 @@
+---
+name: supabase-auth-ssr
+description: Use ao bootstrap Next.js v16 + Supabase Auth — @supabase/ssr, getAll/setAll APENAS, NUNCA auth-helpers-nextjs, proxy completo com getUser e redirects.
+---
+
+# Supabase — Auth SSR (Next.js v16+)
+
+## Quando usar
+
+LLM carrega esta skill quando bootstrap ou auditar autenticação Supabase em Next.js v16+ (App Router) com SSR. Trigger phrases:
+
+- "Next.js + Supabase auth"
+- "@supabase/ssr"
+- "createServerClient", "createBrowserClient"
+- "middleware.ts auth", "proxy auth"
+- "cookies getAll setAll"
+- "Supabase auth Next.js v16"
+
+## Regras absolutas
+
+**WARNING — NEVER use auth-helpers-nextjs.** O pacote `@supabase/auth-helpers-nextjs` está **DEPRECATED** e **quebra em Next.js v16+** (cookies API mudou). **SEMPRE** use `@supabase/ssr`.
+
+**Outras regras:**
+
+- **Padrão exclusivo `getAll`/`setAll`** para cookies — **NUNCA** `get`/`set`/`remove` individuais. Os métodos individuais não funcionam corretamente com middleware/Server Actions em Next.js v16+.
+- **Browser client e Server client são distintos:**
+  - Browser (`createBrowserClient`) → para Client Components ("use client")
+  - Server (`createServerClient`) → para Server Components, Route Handlers, Server Actions
+- **Middleware (`middleware.ts`) obrigatório** para refresh de sessão SSR. Deve chamar `supabase.auth.getUser()` em cada request.
+- **Auth method order** — após `createServerClient` mas **ANTES** de `getUser()`, NÃO chamar nada que produza response intermediário. Os cookies precisam fluir corretamente.
+- **`NEXT_PUBLIC_*` apenas para anon key** (`NEXT_PUBLIC_SUPABASE_URL`, `NEXT_PUBLIC_SUPABASE_ANON_KEY`). **NUNCA** `NEXT_PUBLIC_SUPABASE_SERVICE_ROLE_KEY` — service_role bypassa RLS e seria exposto ao cliente (anti-pitfall B6).
+- **Single serverClient factory** — não criar múltiplos clients em layouts (race condition na refresh de token — B13).
+
+## Patterns canônicos
+
+### Browser client — Client Components
+
+```ts
+// utils/supabase/client.ts — PT-BR: client para Client Components
+import { createBrowserClient } from '@supabase/ssr'
+
+export function createClient() {
+  return createBrowserClient(
+    process.env.NEXT_PUBLIC_SUPABASE_URL!,
+    process.env.NEXT_PUBLIC_SUPABASE_ANON_KEY!
+  )
+}
+```
+
+```tsx
+// PT-BR: uso em Client Component
+'use client'
+import { createClient } from '@/utils/supabase/client'
+
+export function LogoutButton() {
+  const supabase = createClient()
+  return <button onClick={() => supabase.auth.signOut()}>Sair</button>
+}
+```
+
+### Server client — Server Components / Server Actions
+
+```ts
+// utils/supabase/server.ts — PT-BR: client para Server Components/Actions/Route Handlers
+import { createServerClient } from '@supabase/ssr'
+import { cookies } from 'next/headers'
+
+export async function createClient() {
+  const cookieStore = await cookies()
+
+  return createServerClient(
+    process.env.NEXT_PUBLIC_SUPABASE_URL!,
+    process.env.NEXT_PUBLIC_SUPABASE_ANON_KEY!,
+    {
+      cookies: {
+        getAll() {
+          return cookieStore.getAll()
+        },
+        setAll(cookiesToSet) {
+          try {
+            cookiesToSet.forEach(({ name, value, options }) =>
+              cookieStore.set(name, value, options)
+            )
+          } catch {
+            // PT-BR: ok ignorar — chamado em Server Component (sem permissão de set)
+            // se proxy faz refresh, sessão fica saudável mesmo sem set aqui
+          }
+        },
+      },
+    }
+  )
+}
+```
+
+```tsx
+// PT-BR: uso em Server Component
+import { createClient } from '@/utils/supabase/server'
+
+export default async function Dashboard() {
+  const supabase = await createClient()
+  const { data: { user } } = await supabase.auth.getUser()
+  if (!user) return <p>Não autenticado</p>
+  return <p>Olá, {user.email}</p>
+}
+```
+
+### Middleware — refresh de sessão (obrigatório)
+
+```ts
+// middleware.ts — PT-BR: proxy obrigatório para refresh de sessão SSR
+import { createServerClient } from '@supabase/ssr'
+import { NextResponse, type NextRequest } from 'next/server'
+
+export async function middleware(request: NextRequest) {
+  let supabaseResponse = NextResponse.next({ request })
+
+  const supabase = createServerClient(
+    process.env.NEXT_PUBLIC_SUPABASE_URL!,
+    process.env.NEXT_PUBLIC_SUPABASE_ANON_KEY!,
+    {
+      cookies: {
+        getAll() {
+          return request.cookies.getAll()
+        },
+        setAll(cookiesToSet) {
+          cookiesToSet.forEach(({ name, value }) =>
+            request.cookies.set(name, value)
+          )
+          supabaseResponse = NextResponse.next({ request })
+          cookiesToSet.forEach(({ name, value, options }) =>
+            supabaseResponse.cookies.set(name, value, options)
+          )
+        },
+      },
+    }
+  )
+
+  // PT-BR: ATENÇÃO — não execute código entre createServerClient e getUser()
+  // (qualquer cookie set/get fora desse path quebra refresh silencioso)
+  const { data: { user } } = await supabase.auth.getUser()
+
+  // PT-BR: redirect para /login se sem user
+  if (!user && !request.nextUrl.pathname.startsWith('/login')) {
+    const url = request.nextUrl.clone()
+    url.pathname = '/login'
+    return NextResponse.redirect(url)
+  }
+
+  // PT-BR: IMPORTANTE — sempre retornar supabaseResponse (cookies precisam fluir)
+  return supabaseResponse
+}
+
+export const config = {
+  matcher: [
+    '/((?!_next/static|_next/image|favicon.ico|.*\\.(?:svg|png|jpg|jpeg|gif|webp)$).*)',
+  ],
+}
+```
+
+### Login com email/senha (Server Action)
+
+```ts
+// app/login/actions.ts
+'use server'
+import { createClient } from '@/utils/supabase/server'
+import { redirect } from 'next/navigation'
+
+export async function loginAction(formData: FormData) {
+  const supabase = await createClient()
+  const { error } = await supabase.auth.signInWithPassword({
+    email: formData.get('email') as string,
+    password: formData.get('password') as string,
+  })
+  if (error) return { error: error.message }
+  redirect('/dashboard')
+}
+```
+
+## Anti-patterns
+
+### Anti-pattern 1: Importar de `@supabase/auth-helpers-nextjs`
+
+**Errado:**
+```ts
+import { createMiddlewareClient } from '@supabase/auth-helpers-nextjs'
+import { createClientComponentClient } from '@supabase/auth-helpers-nextjs'
+```
+
+**Por quê:** `@supabase/auth-helpers-nextjs` está **DEPRECATED**. Quebra em Next.js v16+ (cookies API mudou). Não recebe mais updates de segurança.
+
+**Certo:**
+```ts
+import { createServerClient, createBrowserClient } from '@supabase/ssr'
+```
+
+### Anti-pattern 2: `cookies: { get, set, remove }` (individual)
+
+**Errado:**
+```ts
+{
+  cookies: {
+    get(name: string) { return cookieStore.get(name) },
+    set(name: string, value: string) { cookieStore.set(name, value) },
+    remove(name: string) { cookieStore.remove(name) },
+  }
+}
+```
+
+**Por quê:** cookie methods individuais quebram em middleware quando há múltiplos cookies sendo set/get em uma única request. `getAll`/`setAll` são chamados em batch e preservam ordem.
+
+**Certo:** ver pattern "Server client" e "Middleware" acima.
+
+### Anti-pattern 3: `NEXT_PUBLIC_SUPABASE_SERVICE_ROLE_KEY`
+
+**Errado:**
+```bash
+# .env.local
+NEXT_PUBLIC_SUPABASE_SERVICE_ROLE_KEY=eyJhbG...
+```
+
+**Por quê:** `NEXT_PUBLIC_*` é **público** no client bundle. `service_role` bypassa RLS — vazamento = banco totalmente exposto.
+
+**Certo:**
+```bash
+# .env.local
+NEXT_PUBLIC_SUPABASE_URL=https://xxx.supabase.co
+NEXT_PUBLIC_SUPABASE_ANON_KEY=eyJhbG...   # ok público
+SUPABASE_SERVICE_ROLE_KEY=eyJhbG...         # privado — sem NEXT_PUBLIC_
+```
+
+Use `service_role` apenas em código server-side que NUNCA é embarcado no bundle client (Route Handlers, Server Actions com `'use server'`, Edge Functions).
+
+### Anti-pattern 4: Múltiplos serverClient em layouts (race condition)
+
+**Errado:**
+```tsx
+// app/layout.tsx
+const supabase1 = await createClient()
+const { user } = await supabase1.auth.getUser()
+// ...
+// app/(dashboard)/layout.tsx
+const supabase2 = await createClient()   // ⚠ outro client na mesma request
+const { user } = await supabase2.auth.getUser()
+```
+
+**Por quê:** múltiplos `createServerClient` na mesma request podem corromper cookies de refresh de token. Issue [supabase/ssr#68](https://github.com/supabase/ssr/issues/68) — race condition documentada.
+
+**Certo:** middleware faz o refresh **uma vez por request**. Layouts apenas leem o user via `getUser()` que retorna cached:
+```tsx
+// app/layout.tsx — middleware já fez o refresh
+const supabase = await createClient()
+const { data: { user } } = await supabase.auth.getUser()
+```
+
+## Ver também
+
+- [supabase-rls-policies](../supabase-rls-policies/SKILL.md) — RLS aplicado quando user autenticado consulta tabelas
+- [supabase-edge-functions](../supabase-edge-functions/SKILL.md) — Edge Functions usando service_role server-side
+- [supabase-realtime](../supabase-realtime/SKILL.md) — Realtime exige usuário autenticado para canais privados
+- [glossário](../_shared-supabase/glossary.md) — termos PT-BR↔EN + comandos CLI

package/kit/skills/supabase-cron-queues/SKILL.md

@@ -0,0 +1,266 @@
+---
+name: supabase-cron-queues
+description: Use ao orquestrar background jobs — pg_cron + pgmq + pg_net pattern cron → pgmq → Edge Function. Sem dep externa. Postgres 15.6.1.143+.
+---
+
+# Supabase — Cron + Queues (background jobs)
+
+## Quando usar
+
+LLM carrega esta skill quando implementar background jobs, scheduled tasks ou queues em Supabase **sem dependência externa** (Inngest, Trigger.dev, etc.). Trigger phrases:
+
+- "pg_cron", "supabase cron job"
+- "pgmq", "Postgres Message Queue"
+- "pg_net", "HTTP from database"
+- "background job Supabase"
+- "scheduled task Supabase"
+
+## Regras absolutas
+
+- **Extensions necessárias:**
+  - **`pg_cron`** — jobs scheduled (cron syntax)
+  - **`pgmq`** — Postgres Message Queue (requer Postgres **15.6.1.143+**)
+  - **`pg_net`** — HTTP requests do banco (recomendado v0.10.0+)
+- **Pattern canônico:** **`cron → pgmq → Edge Function`** — `pg_cron` enfileira mensagens em `pgmq`, Edge Function consome (via cron ou polling).
+- **Jobs `pg_cron` curtos** (< 10 min) — jobs longos bloqueiam scheduler. Para jobs longos, enfileire em `pgmq` e processe via Edge Function.
+- **`pgmq.send`** para enfileirar; **`pgmq.read` + `pgmq.archive`** para consumir. Visibility timeout previne double processing.
+- **`pg_net` é async** — `net.http_post` retorna `request_id`, response chega em `net._http_response`. Não bloqueia caller.
+- **Idempotência** — Edge Function consumer deve ser idempotente (mesma mensagem pode ser entregue 2× em retry).
+- **Cleanup** — sem `pgmq.archive` ou `pgmq.delete`, mensagem reaparece após visibility timeout (re-processed).
+
+## Patterns canônicos
+
+### Setup das extensions + criar fila
+
+```sql
+-- PT-BR: habilitar extensions (uma vez por projeto)
+create extension if not exists pg_cron;
+create extension if not exists pgmq;
+create extension if not exists pg_net;
+
+-- PT-BR: criar fila pgmq
+select pgmq.create('email_jobs');
+
+-- PT-BR: opcional — criar fila com retention customizado
+-- select pgmq.create_partitioned('large_jobs');
+```
+
+### Pattern canônico — `cron → pgmq → Edge Function`
+
+```sql
+-- PT-BR: 1. cron job a cada 5 min enfileira pendências em pgmq
+select cron.schedule(
+  'enqueue-pending-emails',
+  '*/5 * * * *',                    -- a cada 5 min
+  $$
+  insert into pgmq.q_email_jobs (message)
+  select jsonb_build_object(
+    'user_id', id,
+    'kind', 'reminder',
+    'enqueued_at', now()
+  )
+  from public.users
+  where pending_email = true
+  limit 1000;                       -- batch limitado
+  $$
+);
+
+-- PT-BR: 2. cron job a cada minuto despara processamento via Edge Function
+select cron.schedule(
+  'process-email-queue',
+  '*/1 * * * *',                    -- a cada minuto
+  $$
+  select net.http_post(
+    url := 'https://<project-ref>.supabase.co/functions/v1/process-emails',
+    headers := jsonb_build_object(
+      'Content-Type', 'application/json',
+      'Authorization', 'Bearer ' || current_setting('supabase.functions_token', true)
+    ),
+    body := '{}'::jsonb
+  );
+  $$
+);
+```
+
+### Edge Function consumer — pgmq.read + archive
+
+```ts
+// supabase/functions/process-emails/index.ts
+// PT-BR: consume da fila pgmq, processa, archive
+import { createClient } from 'npm:@supabase/supabase-js@2'
+
+Deno.serve(async () => {
+  const supabase = createClient(
+    Deno.env.get('SUPABASE_URL')!,
+    Deno.env.get('SUPABASE_SECRET_KEYS')!
+  )
+
+  // PT-BR: pegar até 10 mensagens com visibility timeout 30s
+  const { data: msgs, error } = await supabase.rpc('pgmq_read', {
+    queue_name: 'email_jobs',
+    vt: 30,                           // visibility timeout em segundos
+    qty: 10,                          // máximo por chamada
+  })
+
+  if (error || !msgs?.length) {
+    return new Response('no jobs', { status: 200 })
+  }
+
+  for (const m of msgs) {
+    try {
+      // PT-BR: processar mensagem (idempotente!)
+      await sendEmail(m.message.user_id, m.message.kind)
+
+      // PT-BR: archive remove da fila e move para arquivo
+      await supabase.rpc('pgmq_archive', {
+        queue_name: 'email_jobs',
+        msg_id: m.msg_id,
+      })
+    } catch (err) {
+      // PT-BR: erro — não archive; visibility timeout expira e mensagem reaparece
+      console.error('processing error', m.msg_id, err)
+    }
+  }
+
+  return new Response(`processed ${msgs.length}`)
+})
+```
+
+### Job cron simples — sem queue (cuidado: < 10 min)
+
+```sql
+-- PT-BR: ok para tarefas leves e rápidas (cleanup, agregação)
+select cron.schedule(
+  'cleanup-old-sessions',
+  '0 3 * * *',                       -- 3am diário
+  $$
+  delete from public.sessions where expires_at < now() - interval '30 days';
+  $$
+);
+```
+
+### Listar e remover jobs cron
+
+```sql
+-- PT-BR: listar todos os jobs
+select * from cron.job;
+
+-- PT-BR: remover job
+select cron.unschedule('process-email-queue');
+```
+
+### `pg_net.http_post` async
+
+```sql
+-- PT-BR: dispara HTTP request, retorna request_id imediatamente
+select net.http_post(
+  url := 'https://api.example.com/webhook',
+  headers := jsonb_build_object('Authorization', 'Bearer xxx'),
+  body := jsonb_build_object('event', 'task_completed'),
+  timeout_milliseconds := 5000
+);
+
+-- PT-BR: response chega em net._http_response (consultar depois)
+select * from net._http_response order by created desc limit 10;
+```
+
+## Anti-patterns
+
+### Anti-pattern 1: Job cron longo (> 10 min)
+
+**Errado:**
+```sql
+select cron.schedule(
+  'heavy-batch-process',
+  '0 * * * *',
+  $$ select pg_sleep(900); ... $$    -- ⚠ 15 min em pg_cron
+);
+```
+
+**Por quê:** `pg_cron` worker bloqueia outros jobs enquanto roda. Se job > 10 min ou trava, scheduler atrasa cascata. Em retry após failure, pode trancar inteiramente.
+
+**Certo:** cron enfileira; Edge Function processa pesado:
+```sql
+-- cron: leve (só enfileira)
+select cron.schedule('enqueue-heavy', '0 * * * *', $$
+  insert into pgmq.q_heavy_jobs (message) select ...;
+$$);
+-- Edge Function: pesado (consome com timeout próprio)
+```
+
+### Anti-pattern 2: HTTP síncrono direto de pg_cron
+
+**Errado:**
+```sql
+select cron.schedule('call-api', '*/1 * * * *', $$
+  -- ⚠ pg_net é async, mas user pode tentar sync com loops
+  select net.http_get('https://api.example.com/long');
+$$);
+```
+
+**Por quê:** HTTP requests podem demorar segundos a minutos. Se response demora, próxima execução do cron empilha. Em alta latência, scheduler fica trancado.
+
+**Certo:** enfileire em pgmq + Edge Function processa:
+```sql
+-- cron: enfileira
+insert into pgmq.q_api_calls (message) values ('{"endpoint": "/long"}');
+-- Edge Function: chama API com timeout próprio + archive
+```
+
+### Anti-pattern 3: `pgmq.read` sem `archive` ou `delete`
+
+**Errado:**
+```ts
+const { data: msgs } = await supabase.rpc('pgmq_read', { queue_name: 'jobs', vt: 30, qty: 10 })
+for (const m of msgs) {
+  await processJob(m.message)
+  // ⚠ esqueceu pgmq_archive
+}
+```
+
+**Por quê:** após visibility timeout (30s), mensagem reaparece — mesmo job rodado novamente. Em loop, leva a re-processing infinito.
+
+**Certo:**
+```ts
+for (const m of msgs) {
+  try {
+    await processJob(m.message)
+    await supabase.rpc('pgmq_archive', { queue_name: 'jobs', msg_id: m.msg_id })
+  } catch (err) {
+    // PT-BR: NÃO archive; mensagem retorna após vt para retry
+  }
+}
+```
+
+### Anti-pattern 4: Edge Function não-idempotente
+
+**Errado:**
+```ts
+async function processJob(msg) {
+  await sendEmail(msg.user_id)              // ⚠ envia email mesmo se já enviado
+  await chargeCard(msg.amount)              // ⚠ cobra mesmo se já cobrado
+}
+```
+
+**Por quê:** retries entregam mesma mensagem 2×+. Sem idempotência, side effects duplicam — usuário recebe 2 emails ou é cobrado 2×.
+
+**Certo:** rastreie estado:
+```ts
+async function processJob(msg) {
+  const { data: existing } = await supabase
+    .from('email_log')
+    .select('id')
+    .eq('msg_id', msg.id)
+    .single()
+  if (existing) return                     // já processado
+  await sendEmail(msg.user_id)
+  await supabase.from('email_log').insert({ msg_id: msg.id })
+}
+```
+
+## Ver também
+
+- [supabase-edge-functions](../supabase-edge-functions/SKILL.md) — Edge Functions consumindo pgmq
+- [supabase-database-functions](../supabase-database-functions/SKILL.md) — funções com `set search_path = ''` chamadas em cron
+- [supabase-migrations](../supabase-migrations/SKILL.md) — extensions criadas em migrations
+- [glossário](../_shared-supabase/glossary.md) — pg_cron, pgmq, pg_net