@neetru/cli 2.28.6 → 2.28.8

package/dist/index.js

@@ -1,5 +1,5 @@
 #!/usr/bin/env node
-import { Command } from 'commander';
+import { Command, Option } from 'commander';
 import { log } from './utils/logger.js';
 import { CLI_VERSION } from './version.js';
 import { installTelemetryFlushHook, markCommandStart, markCommandEnd, } from './lib/telemetry.js';
@@ -149,7 +149,8 @@ program
     .option('--here', 'init no cwd atual (modo merge — preserva existentes)')
     .option('--path <path>', 'custom path target')
     .option('--force', 'sobrescreve arquivos existentes em conflito (cuidado!)')
-    .option('--yes', 'modo non-interactive (assume defaults, sai com erro se conflito sem flag)')
+    // -y padronizado com bootstrap (`-y, --yes`) — muscle-memory (auditoria UX 2026-09).
+    .option('-y, --yes', 'modo non-interactive (assume defaults, sai com erro se conflito sem flag)')
     .action(async (name, opts) => {
     const { runInit } = await import('./commands/init.js');
     await runInit({
@@ -235,11 +236,16 @@ authCmd
     .command('mfa-session')
     .description('Abre uma sessão MFA de 1h — troca um código TOTP fresco por um token de sessão ' +
     'salvo localmente; enquanto ativa, comandos destrutivos não re-promptam MFA.')
-    .option('--code <totp>', 'código TOTP de 6 dígitos (pula prompt interativo)')
+    // Flag TOTP canônica em todo o CLI: `--mfa-token`. `--code` e `--mfa` seguem
+    // aceitos como aliases OCULTOS (retrocompat de scripts) — auditoria UX 2026-09
+    // (o mesmo código TOTP tinha 3 nomes: --code aqui, --mfa no db, --mfa-token no resto).
+    .option('--mfa-token <totp>', 'código TOTP de 6 dígitos (pula prompt interativo)')
+    .addOption(new Option('--code <totp>').hideHelp())
+    .addOption(new Option('--mfa <totp>').hideHelp())
     .option('--json', 'saída em JSON')
     .action(async (opts) => {
     const { runAuthMfaSession } = await import('./commands/auth.js');
-    await runAuthMfaSession({ code: opts.code, json: !!opts.json });
+    await runAuthMfaSession({ code: opts.mfaToken ?? opts.code ?? opts.mfa, json: !!opts.json });
 });
 // ── neetru config ─────────────────────────────────────────────────────
 const configCmd = program
@@ -463,6 +469,31 @@ program
         json: !!opts.json,
     });
 });
+// ── neetru smoke ──────────────────────────────────────────────────────
+// Percorre as páginas do produto LOCAL (antes do deploy) e verifica alcance/
+// login/DB, mais um smoke básico de prod opcional. Abordagem LEVE: só HTTP GET
+// (fetch nativo) — SEM Playwright/headless browser (o CLI publicado no npm não
+// pode ganhar uma dep de ~300MB). Captura de erro de console fica pra um v2.
+program
+    .command('smoke')
+    .description('Percorre as páginas do produto LOCAL antes do deploy (alcance + login + DB) e um smoke de prod opcional')
+    .option('--base-url <url>', 'servidor dev LOCAL a percorrer', 'http://localhost:3000')
+    .option('--prod <url>', 'também roda um smoke básico de produção (GET / e health, espera 200)')
+    .option('--health-path <path>', 'endpoint de saúde/DB', '/api/health')
+    .option('--routes <csv>', 'rotas explícitas separadas por vírgula (sobrescreve a auto-descoberta)')
+    .option('--timeout <ms>', 'timeout por request em ms', (v) => Number.parseInt(v, 10), 10000)
+    .option('--json', 'saída em JSON de uma linha (machine-readable)')
+    .action(async (opts) => {
+    const { runSmoke } = await import('./commands/smoke.js');
+    await runSmoke({
+        baseUrl: opts.baseUrl,
+        prod: opts.prod,
+        healthPath: opts.healthPath,
+        routes: opts.routes,
+        timeout: opts.timeout,
+        json: !!opts.json,
+    });
+});
 // ── neetru status ─────────────────────────────────────────────────────
 // Default: saúde das superfícies públicas (control plane). Com --client-id,
 // delega ao status de workspace legado (backward-compat).
@@ -767,20 +798,25 @@ serversCmd
 });
 // bug_c42fa12b (CRITICAL 26/05): force-cleanup é recovery quando VM stuck
 // em status='timeout_agent_register'/'falha_provisionamento' e flow normal
-// (deactivate/delete com MFA) não funciona — ex: MFA broken (bug_84e4dacb).
-// NÃO exige MFA por design — bypass intencional. Audit pesado + notification
-// staff garantem accountability pós-facto.
+// não funciona. P0.4 (2026-08-19, Core): a rota passou a exigir step-up MFA
+// incondicionalmente (deixou de ser bypass intencional) — este CLI nunca
+// tinha sido atualizado pra acompanhar (batia 401 sempre). Corrigido: exige
+// --mfa-token (ou sessão de 1h via `neetru auth mfa-session`), com --dry-run.
 serversCmd
     .command('force-cleanup <serverId>')
-    .description('Recovery — força limpeza de VM stuck (sem MFA). Audita + notifica staff.')
+    .description('Recovery — força limpeza de VM stuck (exige step-up MFA). Audita + notifica staff.')
     .requiredOption('--reason <text>', 'motivo (min 10 chars, paper-trail audit)')
     .option('--yes', 'pula a confirmação interativa (modo script)')
+    .option('--mfa-token <code>', 'código TOTP para step-up MFA (ou use `neetru auth mfa-session`)')
+    .option('--dry-run', 'valida e retorna o efeito sem aplicar (sem MFA)')
     .option('--json', 'saída em JSON')
     .action(async (id, opts) => {
     const { runServersForceCleanup } = await import('./commands/servers.js');
     await runServersForceCleanup(id, {
         reason: opts.reason,
         yes: !!opts.yes,
+        mfaToken: opts.mfaToken,
+        dryRun: !!opts.dryRun,
         json: !!opts.json,
     });
 });
@@ -1160,6 +1196,43 @@ productsCmd
     const { runProductsUnpublish } = await import('./commands/products.js');
     await runProductsUnpublish(slug, { json: !!opts.json });
 });
+// Alias amigável do controle de memória por inquilino (design §3.7): resolve a
+// VM do slug via --server/pickServer e delega ao mesmo core de `vm memory set`.
+const productsMemoryCmd = productsCmd
+    .command('memory')
+    .description('Controle de memória (RAM) do produto na VM (alias de `vm memory`)');
+productsMemoryCmd
+    .command('set <slug>')
+    .description('Define o teto de memória do produto na VM (guardrail de soma + step-up MFA)')
+    .option('--memory-max <mb>', 'teto systemd MemoryMax em MB (cgroup)')
+    .option('--max <mb>', 'alias de --memory-max')
+    .option('--max-old-space <mb>', 'NODE_OPTIONS --max-old-space-size em MB (heap V8)')
+    .option('--high <mb>', 'MemoryHigh em MB (throttle suave antes do OOM)')
+    .option('--restart', 'força restart do app após aplicar')
+    .option('--confirm-shrink', 'confirma reduzir abaixo do uso vivo (pode OOM o alvo)')
+    .option('--server <id>', 'VM alvo (default: resolve a VM compartilhada)')
+    .option('--reason <text>', 'motivo (paper-trail no audit do Core)')
+    .option('--mfa <code>', 'código TOTP para step-up MFA')
+    .option('--mfa-token <code>', 'alias de --mfa')
+    .option('-y, --yes', 'pula a confirmação interativa (em --json exige --mfa)')
+    .option('--json', 'saída em JSON')
+    .action(async (slug, opts) => {
+    const { runVmMemorySet } = await import('./commands/vm-memory.js');
+    await runVmMemorySet(slug, {
+        memoryMax: opts.memoryMax,
+        max: opts.max,
+        maxOldSpace: opts.maxOldSpace,
+        high: opts.high,
+        restart: !!opts.restart,
+        confirmShrink: !!opts.confirmShrink,
+        server: opts.server,
+        reason: opts.reason,
+        mfa: opts.mfa,
+        mfaToken: opts.mfaToken,
+        yes: !!opts.yes,
+        json: !!opts.json,
+    });
+});
 // ── neetru admin database (Phase A — plano de controle staff de bancos) ───────
 // D-1: renomeado de `neetru products db` → `neetru admin database`.
 //      Alias `neetru products db` emite aviso de remoção.
@@ -1272,15 +1345,32 @@ adminDatabaseCmd
     await runDbDelete(id, { json: !!opts.json, force: !!opts.force });
 });
 // ── neetru admin sdk-credential ────────────────────────────────────────────
-// Gerencia credenciais OIDC (SDK) por produto — create / list / revoke.
+// Gerencia credenciais OIDC de MÁQUINA (M2M / client_credentials) por produto —
+// create / list / revoke. É credencial de SERVIDOR (backend do produto ↔ API do
+// Neetru via @neetru/sdk), NÃO login de usuário no browser (isso é `oidc-login`).
 // Resolve bug_599d2f033e024bc194aa07639cd26c84: bootstrap CI/IaC desbloqueado.
 // Internamente usa `oidc_clients/{clientId}` no Core (canônico pós-devkit).
 const adminSdkCredentialCmd = adminCmd
     .command('sdk-credential')
-    .description('Gerenciar credenciais OIDC (SDK) de produtos — create / list / revoke');
+    .description('Credenciais OIDC de MÁQUINA (M2M / client_credentials) de produtos — create / list / revoke. ' +
+    'Para LOGIN de usuário no browser use `neetru admin oidc-login`.');
 adminSdkCredentialCmd
     .command('create')
-    .description('[Staff] Criar credencial OIDC para produto — exibe clientSecret ONE-TIME')
+    .description('[Staff] Criar credencial de MÁQUINA (M2M / client_credentials) p/ servidor-a-servidor do ' +
+    'produto — exibe clientSecret ONE-TIME. NÃO serve p/ login de usuário no browser ' +
+    '(use `neetru admin oidc-login create`).')
+    .addHelpText('after', [
+    '',
+    'Qual comando usar:',
+    '  • sdk-credential create → credencial de SERVIDOR/máquina (M2M, grant client_credentials).',
+    '      Backend do produto falando com a API do Neetru via @neetru/sdk. SEM navegador, SEM usuário.',
+    '  • oidc-login create      → LOGIN de usuário final no browser (grant authorization_code).',
+    '      É o que autentica a pessoa que abre o produto. Use ESTE p/ resolver "o login quebrou".',
+    '',
+    'Incidente gestovendas (2026-09): credenciais de máquina foram criadas por engano tentando',
+    'consertar o login → ficaram mortas (nunca emitiram token) e o login continuou quebrado.',
+    '',
+].join('\n'))
     .requiredOption('--product-id <id>', 'ID do produto')
     .requiredOption('--name <label>', 'nome/label da credencial (ex: "Backend Prod")')
     .option('--scopes <escopos>', 'escopos separados por vírgula (ex: "entitlements.read,usage.write")')
@@ -1535,6 +1625,56 @@ vmCmd
         yes: !!opts.yes,
     });
 });
+// ── neetru vm memory ──────────────────────────────────────────────────
+// Controle gerenciado de memória (RAM) por inquilino na VM multi-tenant.
+// Origem: incidente OOM 2026-09-07 (PDV caiu; Suporte ajustou systemd à mão).
+// GUARDRAIL: a SOMA dos tetos + reserva ≤ RAM×0.90 — validado fail-closed no
+// Core; superfície sensível de infra → step-up MFA.
+const vmMemoryCmd = vmCmd
+    .command('memory')
+    .description('Controle de memória (RAM) por inquilino na VM');
+vmMemoryCmd
+    .command('status [serverId]')
+    .alias('list')
+    .description('Lista os inquilinos da VM: teto, uso vivo, folga + reserva/livre/RAM total')
+    .option('--server <id>', 'VM alvo (alternativa ao argumento posicional)')
+    .option('--json', 'saída em JSON')
+    .action(async (serverId, opts) => {
+    const { runVmMemoryStatus } = await import('./commands/vm-memory.js');
+    await runVmMemoryStatus(serverId, { server: opts.server, json: !!opts.json });
+});
+vmMemoryCmd
+    .command('set <slug>')
+    .description('Define o teto de memória de um inquilino (guardrail de soma + step-up MFA)')
+    .option('--memory-max <mb>', 'teto systemd MemoryMax em MB (cgroup)')
+    .option('--max <mb>', 'alias de --memory-max')
+    .option('--max-old-space <mb>', 'NODE_OPTIONS --max-old-space-size em MB (heap V8)')
+    .option('--high <mb>', 'MemoryHigh em MB (throttle suave antes do OOM)')
+    .option('--restart', 'força restart do app após aplicar (default: só se max-old-space muda)')
+    .option('--confirm-shrink', 'confirma reduzir abaixo do uso vivo (pode OOM o alvo)')
+    .option('--server <id>', 'VM alvo (default: resolve a VM compartilhada)')
+    .option('--reason <text>', 'motivo (paper-trail no audit do Core)')
+    .option('--mfa <code>', 'código TOTP para step-up MFA (ou use `neetru auth mfa-session`)')
+    .option('--mfa-token <code>', 'alias de --mfa')
+    .option('-y, --yes', 'pula a confirmação interativa (em --json exige --mfa)')
+    .option('--json', 'saída em JSON')
+    .action(async (slug, opts) => {
+    const { runVmMemorySet } = await import('./commands/vm-memory.js');
+    await runVmMemorySet(slug, {
+        memoryMax: opts.memoryMax,
+        max: opts.max,
+        maxOldSpace: opts.maxOldSpace,
+        high: opts.high,
+        restart: !!opts.restart,
+        confirmShrink: !!opts.confirmShrink,
+        server: opts.server,
+        reason: opts.reason,
+        mfa: opts.mfa,
+        mfaToken: opts.mfaToken,
+        yes: !!opts.yes,
+        json: !!opts.json,
+    });
+});
 // ── neetru validate ───────────────────────────────────────────────────
 program
     .command('validate')
@@ -1841,11 +1981,16 @@ dbMigrationsCmd
 dbMigrationsCmd
     .command('confirm <migrationId>')
     .description('Confirmar migração destrutiva (POST /api/cli/v1/db/migrations/[id]/confirm — exige MFA)')
-    .requiredOption('--mfa <token>', 'código TOTP step-up MFA')
+    // Era `requiredOption('--mfa')` — o commander rejeitava ANTES de rodar, matando
+    // o caminho de sessão MFA de 1h (`neetru auth mfa-session`) que o resolveStepUp
+    // promete honrar. Agora `option`: resolveStepUp faz o fail-closed (sessão → --mfa-token
+    // → erro acionável). Flag canônica `--mfa-token`; `--mfa` fica como alias oculto. (auditoria UX 2026-09)
+    .option('--mfa-token <token>', 'código TOTP step-up MFA (ou use `neetru auth mfa-session`)')
+    .addOption(new Option('--mfa <token>').hideHelp())
     .option('--json', 'saída em JSON')
     .action(async (migrationId, opts) => {
     const { runDbMigrationsConfirm } = await import('./commands/db.js');
-    await runDbMigrationsConfirm(migrationId, { mfa: opts.mfa, json: !!opts.json });
+    await runDbMigrationsConfirm(migrationId, { mfa: opts.mfaToken ?? opts.mfa, json: !!opts.json });
 });
 // bug_728fa11c fix: cancela migração presa em awaiting_confirmation ou pending.
 dbMigrationsCmd
@@ -1871,14 +2016,16 @@ dbMigrationsCmd
 dbMigrationsCmd
     .command('resolve <migrationId>')
     .description('Destravar migração pending/partially_applied/failed redundante (POST /api/cli/v1/db/migrations/[id]/resolve)')
-    .option('--force', 'atestar manualmente sem prova de redundância por hash (exige --mfa ou sessão MFA)')
-    .option('--mfa <token>', 'código TOTP step-up MFA (necessário com --force)')
+    .option('--force', 'atestar manualmente sem prova de redundância por hash (exige --mfa-token ou sessão MFA)')
+    // Flag canônica `--mfa-token`; `--mfa` como alias oculto (retrocompat). (auditoria UX 2026-09)
+    .option('--mfa-token <token>', 'código TOTP step-up MFA (necessário com --force; ou use `neetru auth mfa-session`)')
+    .addOption(new Option('--mfa <token>').hideHelp())
     .option('--json', 'saída em JSON')
     .action(async (migrationId, opts) => {
     const { runDbMigrationsResolve } = await import('./commands/db.js');
     await runDbMigrationsResolve(migrationId, {
         force: !!opts.force,
-        mfa: opts.mfa,
+        mfa: opts.mfaToken ?? opts.mfa,
         json: !!opts.json,
     });
 });
@@ -1896,11 +2043,139 @@ dbCmd
 dbCmd
     .command('restore <dbId>')
     .description('Restaurar banco a partir de backup (POST /api/cli/v1/db/[id]/restore — exige MFA)')
-    .requiredOption('--mfa <token>', 'código TOTP step-up MFA (obrigatório — operação destrutiva)')
+    // Automação (auditoria UX 2026-09): --backup-id/--yes tornam o restore scriptável;
+    // em --json ambos são obrigatórios (fail-closed, nunca trava no inquirer).
+    .option('--backup-id <id>', 'ID do backup a restaurar (pula o prompt; obrigatório em --json)')
+    .option('-y, --yes', 'pula a confirmação textual "RESTAURAR" (obrigatório em --json)')
+    // Flag canônica `--mfa-token`; `--mfa` como alias oculto (retrocompat).
+    .option('--mfa-token <token>', 'código TOTP step-up MFA (obrigatório — operação destrutiva)')
+    .addOption(new Option('--mfa <token>').hideHelp())
     .option('--json', 'saída em JSON')
     .action(async (dbId, opts) => {
     const { runDbRestore } = await import('./commands/db.js');
-    await runDbRestore(dbId, { mfa: opts.mfa, json: !!opts.json });
+    await runDbRestore(dbId, {
+        mfa: opts.mfaToken ?? opts.mfa,
+        backupId: opts.backupId,
+        yes: !!opts.yes,
+        json: !!opts.json,
+    });
+});
+// ── neetru db move ────────────────────────────────────────────────────
+// Relocação ATÔMICA de um banco de produto entre VMs (Fase 2 / PR #423).
+// GRUPO com subcomando default `start` (mesmo padrão de `neetru promote`):
+//   `neetru db move --product <slug> --to <serverId>` cai em `start`.
+// Só reporta SUCESSO quando o Core confirma o cutover VERIFICADO (state `done`);
+// rollback é reportado explicitamente como "produto seguiu na origem".
+const dbMoveCmd = dbCmd
+    .command('move')
+    .description('Relocar (mover) o banco de um produto entre VMs — atômico, com rollback e prova de dados');
+dbMoveCmd
+    .command('start', { isDefault: true })
+    .description('Iniciar a relocação de um banco (POST /api/cli/v1/db/[id]/relocate — destrutivo, exige MFA)')
+    .option('--product <slug>', 'produto cujo banco será movido (slug ou id)')
+    .option('--db <dbId>', 'dbId explícito (pdb_…) — dispensa a resolução por produto')
+    .option('--env <env>', 'ambiente do banco, para desambiguar quando o produto tem mais de um')
+    .option('--to <serverId>', 'VM destino (obrigatório)')
+    .option('--reason <text>', 'motivo (obrigatório fora de --dry-run; vai pro audit)')
+    .option('--strategy <s>', 'snapshot_quiesce (padrão) | logical_stream', 'snapshot_quiesce')
+    .option('--manual-cutover', 'pausa em verifying_target aguardando `db move confirm`')
+    .option('--max-quiesce-ms <n>', 'teto do congelamento da origem (padrão 15000, máx 60000)')
+    .option('--dry-run', 'só roda o preflight (não provisiona nada, sem MFA)')
+    .option('--no-watch', 'não acompanha a máquina de estados (só dispara e imprime o migrationId)')
+    .option('-y, --yes', 'pula a confirmação interativa (modo script)')
+    .option('--mfa-token <code>', 'código TOTP step-up MFA (ou use `neetru auth mfa-session`)')
+    .option('--json', 'saída em JSON estruturado')
+    .action(async (opts) => {
+    const { runDbMoveStart } = await import('./commands/db-move.js');
+    await runDbMoveStart({
+        product: opts.product,
+        db: opts.db,
+        env: opts.env,
+        to: opts.to,
+        reason: opts.reason,
+        strategy: opts.strategy,
+        manualCutover: !!opts.manualCutover,
+        maxQuiesceMs: opts.maxQuiesceMs,
+        dryRun: !!opts.dryRun,
+        watch: opts.watch !== false,
+        yes: !!opts.yes,
+        mfaToken: opts.mfaToken,
+        json: !!opts.json,
+    });
+});
+dbMoveCmd
+    .command('status <migrationId>')
+    .description('Estado da relocação + verifyReport + gates (GET /api/cli/v1/db/relocate/[id])')
+    .option('--json', 'saída em JSON')
+    .action(async (migrationId, opts) => {
+    const { runDbMoveStatus } = await import('./commands/db-move.js');
+    await runDbMoveStatus(migrationId, { json: !!opts.json });
+});
+dbMoveCmd
+    .command('confirm <migrationId>')
+    .description('Liberar o cutover manual (POST /api/cli/v1/db/relocate/[id]/confirm — exige MFA)')
+    // Era `requiredOption('--mfa')` — matava a sessão MFA de 1h que runDbMoveConfirm
+    // (resolveStepUp) honra. Agora `option`; flag canônica `--mfa-token`, `--mfa` alias oculto. (auditoria UX 2026-09)
+    .option('--mfa-token <token>', 'código TOTP step-up MFA (ou use `neetru auth mfa-session`)')
+    .addOption(new Option('--mfa <token>').hideHelp())
+    .option('--no-watch', 'não acompanha a máquina de estados após confirmar')
+    .option('--json', 'saída em JSON')
+    .action(async (migrationId, opts) => {
+    const { runDbMoveConfirm } = await import('./commands/db-move.js');
+    await runDbMoveConfirm(migrationId, { mfa: opts.mfaToken ?? opts.mfa, watch: opts.watch !== false, json: !!opts.json });
+});
+dbMoveCmd
+    .command('abort <migrationId>')
+    .description('Abortar a relocação — dispara o rollback SEGURO do estado atual (POST /api/cli/v1/db/relocate/[id]/abort — exige MFA)')
+    .requiredOption('--reason <text>', 'motivo do abort (vai pro audit)')
+    .option('-y, --yes', 'pula a confirmação interativa (modo script)')
+    .option('--mfa-token <code>', 'código TOTP step-up MFA (ou use `neetru auth mfa-session`)')
+    .option('--no-watch', 'não acompanha o rollback até um estado terminal (só dispara)')
+    .option('--json', 'saída em JSON')
+    .action(async (migrationId, opts) => {
+    const { runDbMoveAbort } = await import('./commands/db-move.js');
+    await runDbMoveAbort(migrationId, {
+        reason: opts.reason,
+        yes: !!opts.yes,
+        mfaToken: opts.mfaToken,
+        watch: opts.watch !== false,
+        json: !!opts.json,
+    });
+});
+// ── neetru db move decommission ───────────────────────────────────────
+// Comando SEPARADO e explícito que DROPA a ORIGEM de um move JÁ concluído
+// (fecha a janela de rollback). É o único caminho que destrói a origem —
+// gated por MFA e recusado client-side se o ledger ainda não aponta pro
+// destino (espelho da INV-DESTROY). O Core é a autoridade final.
+dbMoveCmd
+    .command('decommission <migrationId>')
+    .description('Descomissionar (DROPAR) a origem de um move concluído — fecha o rollback (POST /api/cli/v1/db/relocate/[id]/decommission — exige MFA)')
+    .requiredOption('--reason <text>', 'motivo do descomissionamento (vai pro audit)')
+    .option('-y, --yes', 'pula a confirmação interativa (modo script)')
+    .option('--mfa-token <code>', 'código TOTP step-up MFA (ou use `neetru auth mfa-session`)')
+    .option('--json', 'saída em JSON')
+    .action(async (migrationId, opts) => {
+    const { runDbMoveDecommission } = await import('./commands/db-move.js');
+    await runDbMoveDecommission(migrationId, {
+        reason: opts.reason,
+        yes: !!opts.yes,
+        mfaToken: opts.mfaToken,
+        json: !!opts.json,
+    });
+});
+// ── neetru db where ───────────────────────────────────────────────────
+// READ-ONLY: onde o banco de um produto VIVE hoje (VM/serverId + endpoint).
+// Complementa `neetru db status <dbId>` (que exige o dbId) aceitando --product.
+dbCmd
+    .command('where')
+    .description('Mostrar em qual VM o banco de um produto vive hoje (GET /api/cli/v1/db)')
+    .option('--product <slug>', 'produto (slug ou id)')
+    .option('--db <dbId>', 'dbId explícito (pdb_…)')
+    .option('--env <env>', 'filtrar por ambiente')
+    .option('--json', 'saída em JSON estruturado')
+    .action(async (opts) => {
+    const { runDbWhere } = await import('./commands/db-move.js');
+    await runDbWhere({ product: opts.product, db: opts.db, env: opts.env, json: !!opts.json });
 });
 // ── neetru db hosts ───────────────────────────────────────────────────
 // Alias: também acessível via `neetru db-hosts` (top-level).
@@ -2530,10 +2805,18 @@ webhooksCmd
     .command('unregister <id>')
     .description('Remover endpoint de webhook')
     .requiredOption('--product-id <id>', 'ID do produto')
+    .option('--yes', 'pula a confirmação interativa (necessário em --json/CI)')
+    .option('--force', 'alias de --yes')
     .option('--json', 'saída em JSON')
     .action(async (id, opts) => {
     const { runWebhooksUnregister } = await import('./commands/webhooks.js');
-    await runWebhooksUnregister({ id, productId: opts.productId, json: !!opts.json });
+    await runWebhooksUnregister({
+        id,
+        productId: opts.productId,
+        yes: !!opts.yes,
+        force: !!opts.force,
+        json: !!opts.json,
+    });
 });
 webhooksCmd
     .command('test <id>')
@@ -2600,6 +2883,64 @@ domainsCmd
     const { runDomainsRetry } = await import('./commands/domains.js');
     await runDomainsRetry({ product: opts.product, sub: opts.sub, json: !!opts.json });
 });
+// ── neetru mobile ───────────────────────────────────────────────────
+// Devs/IAs registram/listam/revogam Apps Mobile (iOS/Android) do produto
+// atual (lido de neetru.config.json no cwd). Dev-facing, self-service —
+// igual `db`/`domains` pra init/list; revoke é destrutivo top-tier (admin
+// only + step-up MFA), igual `servers deactivate`. Contrato: PR #482 do
+// neetru-core (POST/GET/DELETE /api/cli/v1/products/{slug}/mobile-apps).
+function collectFlag(value, previous) {
+    return [...previous, value];
+}
+const mobileCmd = program
+    .command('mobile')
+    .description('Gerenciar Apps Mobile (iOS/Android) do produto');
+mobileCmd
+    .command('init')
+    .description('Registrar um app mobile (iOS/Android) do produto atual')
+    .requiredOption('--platform <ios|android>', 'plataforma do app: ios ou android')
+    .option('--bundle-id <id>', 'Bundle ID do app (obrigatório se --platform ios)')
+    .option('--team-id <id>', 'Apple Team ID, 10 caracteres (obrigatório se --platform ios)')
+    .option('--package-name <name>', 'package name do app (obrigatório se --platform android)')
+    .option('--sha-fingerprint <fp>', 'SHA-256 fingerprint do cert de assinatura (repetível; obrigatório se --platform android)', collectFlag, [])
+    .requiredOption('--redirect-uri <url>', 'Redirect URI https:// (Universal Link/App Link) — nunca custom scheme')
+    .option('--name <label>', 'nome/label opcional do app')
+    .option('--json', 'saída em JSON')
+    .action(async (opts) => {
+    const { runMobileInit } = await import('./commands/mobile.js');
+    await runMobileInit({
+        platform: opts.platform,
+        bundleId: opts.bundleId,
+        teamId: opts.teamId,
+        packageName: opts.packageName,
+        shaFingerprints: opts.shaFingerprint,
+        redirectUri: opts.redirectUri,
+        name: opts.name,
+        json: !!opts.json,
+    });
+});
+mobileCmd
+    .command('list')
+    .description('Listar apps mobile registrados do produto atual')
+    .option('--json', 'saída em JSON')
+    .action(async (opts) => {
+    const { runMobileList } = await import('./commands/mobile.js');
+    await runMobileList({ json: !!opts.json });
+});
+mobileCmd
+    .command('revoke <appId>')
+    .description('Revogar um app mobile — mata sessões ativas imediatamente (admin + step-up MFA)')
+    .option('--yes', 'pula confirmação interativa (obrigatório em --json/sem TTY)')
+    .option('--mfa-token <code>', 'código TOTP para step-up MFA (senão usa sessão de 1h ou prompt)')
+    .option('--json', 'saída em JSON')
+    .action(async (appId, opts) => {
+    const { runMobileRevoke } = await import('./commands/mobile.js');
+    await runMobileRevoke(appId, {
+        yes: !!opts.yes,
+        mfaToken: opts.mfaToken,
+        json: !!opts.json,
+    });
+});
 // ── neetru chat ─────────────────────────────────────────────────────
 // Canal leve dev/IA → operador do Core (histórico rolante de 24h) — alternativa
 // ao bug-report pra perguntas/avisos rápidos.