@neetru/cli 2.29.0 → 2.32.0

package/dist/commands/tenants.js

@@ -14,6 +14,7 @@ import { requireToken, handleApiError } from '../lib/cli-read.js';
 import { confirmDestructive, printWriteResult, } from '../lib/cli-write.js';
 import { renderTable, fmtTimestamp } from '../lib/render.js';
 import { pickProductId, pickTenant, promptChoice, promptText, resolveCustomer } from '../lib/pickers.js';
+import { DEFAULT_TENANT_ENVIRONMENT_ID, ESCOLHAS_AMBIENTE_TENANT, resolverAmbienteTenant, } from '../lib/envs.js';
 import { log } from '../utils/logger.js';
 function colorStatus(s) {
     if (!s)
@@ -52,11 +53,11 @@ export async function runTenantsList(opts) {
     }
     log.heading(`Tenants (${res.count})`);
     renderTable([
-        { header: 'ID', value: (r) => r.id, maxWidth: 22 },
+        { header: 'ID', value: (r) => r.id, identificador: true },
         { header: 'NOME', value: (r) => r.name ?? '—', maxWidth: 28 },
         { header: 'STATUS', value: (r) => colorStatus(r.status) },
-        { header: 'PRODUTO', value: (r) => r.productId ?? '—', maxWidth: 22 },
-        { header: 'ENV', value: (r) => r.environmentId ?? '—' },
+        { header: 'PRODUTO', value: (r) => r.productId ?? '—', identificador: true },
+        { header: 'ENV', value: (r) => r.environmentId ?? '—', identificador: true },
         { header: 'DOMÍNIO', value: (r) => r.primaryDomain ?? '—', maxWidth: 30 },
     ], res.tenants);
     console.log();
@@ -65,6 +66,7 @@ export async function runTenantsGet(id, opts) {
     const token = await requireToken(opts.json);
     const tenantId = await pickTenant(token, {
         fromFlag: id,
+        inputs: ['<id>'],
         json: opts.json,
         message: 'Tenant:',
     });
@@ -107,7 +109,7 @@ function warnTenantsCreateDeprecated(json) {
         return; // em modo machine não printa texto fora do JSON
     console.error(chalk.yellow('\n⚠  AVISO: `neetru tenants create` é para uso staff-only (cria tenant SEM OAuth client/secret).\n' +
         '   Para criar um ambiente completo (tenant + OAuth + secret), use:\n\n' +
-        '     neetru workspaces create --product <id> --env <dev|staging|prod>\n\n' +
+        '     neetru workspaces create --product <id> --env <dev-local|staging|prod>\n\n' +
         '   Se você é staff e sabe o que está fazendo, ignore este aviso.\n'));
 }
 export async function runTenantsCreate(opts) {
@@ -128,12 +130,16 @@ export async function runTenantsCreate(opts) {
         productId: product,
         token,
     });
-    const env = opts.env ??
-        (await promptChoice('Ambiente:', [
-            { name: 'dev', value: 'dev' },
-            { name: 'staging', value: 'staging' },
-            { name: 'prod', value: 'prod' },
-        ], { default: 'dev', json: opts.json }));
+    // bug_7dcb68e2666a43f69ef362d2cbff94ed: 'dev' nao existe no enum do Core
+    // (['dev-local','staging','prod']) e as rotas de tenant comparam por
+    // igualdade ESTRITA -> 400 validation_failed. O alfabeto agora vem de
+    // ../lib/envs.js, que tambem traduz o apelido historico 'dev' -> 'dev-local'.
+    const env = opts.env
+        ? resolverAmbienteTenant(opts.env, opts.json)
+        : (await promptChoice('Ambiente:', [...ESCOLHAS_AMBIENTE_TENANT], {
+            default: DEFAULT_TENANT_ENVIRONMENT_ID,
+            json: opts.json,
+        }));
     const spinner = opts.json ? null : ora({ text: 'Criando tenant…', color: 'blue' }).start();
     let res;
     try {
@@ -161,6 +167,7 @@ export async function runTenantsUpdate(id, opts) {
     const token = await requireToken(opts.json);
     const tenantId = await pickTenant(token, {
         fromFlag: id,
+        inputs: ['<id>'],
         json: opts.json,
         message: 'Tenant a atualizar:',
     });
@@ -172,12 +179,16 @@ export async function runTenantsUpdate(id, opts) {
         json: opts.json,
         message: 'Produto do tenant:',
     });
-    const env = opts.env ??
-        (await promptChoice('Ambiente:', [
-            { name: 'dev', value: 'dev' },
-            { name: 'staging', value: 'staging' },
-            { name: 'prod', value: 'prod' },
-        ], { default: 'dev', json: opts.json }));
+    // bug_7dcb68e2666a43f69ef362d2cbff94ed: 'dev' nao existe no enum do Core
+    // (['dev-local','staging','prod']) e as rotas de tenant comparam por
+    // igualdade ESTRITA -> 400 validation_failed. O alfabeto agora vem de
+    // ../lib/envs.js, que tambem traduz o apelido historico 'dev' -> 'dev-local'.
+    const env = opts.env
+        ? resolverAmbienteTenant(opts.env, opts.json)
+        : (await promptChoice('Ambiente:', [...ESCOLHAS_AMBIENTE_TENANT], {
+            default: DEFAULT_TENANT_ENVIRONMENT_ID,
+            json: opts.json,
+        }));
     const spinner = opts.json ? null : ora({ text: `Atualizando tenant ${tenantId}...`, color: 'blue' }).start();
     try {
         await apiRequest(`/api/cli/v1/tenants/${encodeURIComponent(tenantId)}`, {
@@ -204,6 +215,7 @@ async function runTenantsStatusChange(id, action, opts) {
     const token = await requireToken(opts.json);
     const tenantId = await pickTenant(token, {
         fromFlag: id,
+        inputs: ['<id>'],
         json: opts.json,
         message: action === 'suspend' ? 'Tenant a suspender:' : 'Tenant a reativar:',
     });

package/dist/commands/upgrade.d.ts

@@ -8,5 +8,14 @@ export interface UpgradeReport {
     upgradeAvailable: boolean;
     message: string;
 }
+/**
+ * Compara duas versões semver: >0 se `a` for maior, <0 se menor, 0 se iguais.
+ *
+ * Sem dependência de propósito — a CLI não carrega `semver` e este caso não
+ * justifica puxar um pacote. Pré-lançamento (`1.2.3-rc.1`) é tratado como
+ * MENOR que o lançamento (`1.2.3`), que é a regra do semver e é a que importa
+ * aqui: um rc nunca deve pedir upgrade sobre o estável de mesmo número.
+ */
+export declare function compareSemver(a: string, b: string): number;
 export declare function fetchLatest(fetchImpl?: typeof fetch): Promise<string | null>;
 export declare function runUpgrade(opts?: UpgradeOptions): Promise<void>;

package/dist/commands/upgrade.js

@@ -14,6 +14,34 @@
 import chalk from 'chalk';
 import { CLI_VERSION } from '../version.js';
 const NPM_REGISTRY = 'https://registry.npmjs.org/@neetru/cli';
+/**
+ * Compara duas versões semver: >0 se `a` for maior, <0 se menor, 0 se iguais.
+ *
+ * Sem dependência de propósito — a CLI não carrega `semver` e este caso não
+ * justifica puxar um pacote. Pré-lançamento (`1.2.3-rc.1`) é tratado como
+ * MENOR que o lançamento (`1.2.3`), que é a regra do semver e é a que importa
+ * aqui: um rc nunca deve pedir upgrade sobre o estável de mesmo número.
+ */
+export function compareSemver(a, b) {
+    const parse = (v) => {
+        const [nucleo = '', pre = ''] = v.replace(/^v/, '').split('-', 2);
+        const nums = nucleo.split('.').map((n) => Number.parseInt(n, 10) || 0);
+        return { nums: [nums[0] ?? 0, nums[1] ?? 0, nums[2] ?? 0], pre };
+    };
+    const pa = parse(a);
+    const pb = parse(b);
+    for (let i = 0; i < 3; i++) {
+        if (pa.nums[i] !== pb.nums[i])
+            return pa.nums[i] - pb.nums[i];
+    }
+    if (pa.pre === pb.pre)
+        return 0;
+    if (pa.pre === '')
+        return 1; // lançamento > pré-lançamento
+    if (pb.pre === '')
+        return -1;
+    return pa.pre < pb.pre ? -1 : 1;
+}
 export async function fetchLatest(fetchImpl = fetch) {
     const ctrl = new AbortController();
     const timer = setTimeout(() => ctrl.abort(), 5000);
@@ -37,7 +65,22 @@ export async function runUpgrade(opts = {}) {
     catch {
         networkError = true;
     }
-    const upgradeAvailable = latest !== null && latest !== CLI_VERSION;
+    // 2026-10-12: era `latest !== CLI_VERSION`, e isso mandava quem estava
+    // ADIANTE voltar atrás.
+    //
+    // Caso real e vivo: a 2.31.0 está publicada no npm desde 2026-10-09, mas o
+    // dist-tag `latest` aponta para a 2.29.0 (trava deliberada do dono — a
+    // varredura de segredo da 2.30.0 é fail-closed e pararia o deploy de quem
+    // ainda carrega chave no bundle do navegador). Quem instalou a 2.31.0 lia
+    // "Versão 2.29.0 disponível. Atualize com: npm install -g @neetru/cli@latest"
+    // e, obedecendo, fazia DOWNGRADE — perdendo os consertos que tinha.
+    //
+    // A comparação agora é por precedência semver: só sugere quando `latest` é
+    // de fato MAIOR. Quando é menor, a mensagem diz a verdade (você está à
+    // frente) em vez de mandar voltar.
+    const comparado = latest !== null ? compareSemver(latest, CLI_VERSION) : 0;
+    const upgradeAvailable = latest !== null && comparado > 0;
+    const estaAdiante = latest !== null && comparado < 0;
     let message;
     if (networkError || latest === null) {
         message = 'Não foi possível verificar latest (offline?). Tente mais tarde.';
@@ -45,6 +88,12 @@ export async function runUpgrade(opts = {}) {
     else if (upgradeAvailable) {
         message = `Versão ${latest} disponível. Atualize com: npm install -g @neetru/cli@latest`;
     }
+    else if (estaAdiante) {
+        // Não mandar voltar: quem está à frente perderia conserto ao "atualizar".
+        message =
+            `Você está na ${CLI_VERSION}, à frente da tag latest (${latest}). ` +
+                'Nada a fazer — instalar a latest seria um downgrade.';
+    }
     else {
         message = `Você já está na latest (${CLI_VERSION}).`;
     }

package/dist/commands/vm-memory.js

@@ -123,6 +123,7 @@ export async function runVmMemoryStatus(serverIdArg, opts) {
     const token = await requireToken(opts.json);
     const serverId = await pickServer(token, {
         fromFlag: serverIdArg ?? opts.server,
+        inputs: ['<serverId>', '--server'],
         json: opts.json,
         message: 'VM alvo:',
         capacity: true,

package/dist/commands/webhooks.d.ts

@@ -17,6 +17,8 @@ export interface WebhooksUnregisterOptions {
     yes?: boolean;
     force?: boolean;
     json?: boolean;
+    /** `--mfa-token <código>` — TOTP do step-up MFA (dispensado com sessão de 1h). */
+    mfaToken?: string;
 }
 export declare function runWebhooksUnregister(opts: WebhooksUnregisterOptions): Promise<void>;
 export interface WebhooksTestOptions {

package/dist/commands/webhooks.js

@@ -2,7 +2,7 @@ import chalk from 'chalk';
 import ora from 'ora';
 import { apiRequest } from '../lib/api-client.js';
 import { requireToken, handleApiError } from '../lib/cli-read.js';
-import { confirmDestructive } from '../lib/cli-write.js';
+import { confirmDestructive, resolveStepUp } from '../lib/cli-write.js';
 import { renderTable } from '../lib/render.js';
 import { log } from '../utils/logger.js';
 const ALL_EVENTS = [
@@ -69,7 +69,7 @@ export async function runWebhooksList(opts) {
     }
     log.heading(`Webhooks — ${res.productId} (${res.count})`);
     renderTable([
-        { header: 'ID', value: (e) => e.id, maxWidth: 24 },
+        { header: 'ID', value: (e) => e.id, identificador: true },
         { header: 'URL', value: (e) => e.url, maxWidth: 48 },
         { header: 'EVENTOS', value: (e) => e.events.join(', '), maxWidth: 36 },
         { header: 'SECRET', value: (e) => (e.hasSecret ? chalk.green('sim') : chalk.yellow('não')) },
@@ -85,10 +85,16 @@ export async function runWebhooksUnregister(opts) {
     // Gate igual ao resto das destrutivas: confirmDestructive (y/N, bypass
     // --yes/--force, fail-closed em --json/não-TTY exigindo --yes).
     await confirmDestructive(`Remover o webhook ${opts.id} do produto ${opts.productId}? Apaga a config e o histórico de entregas (irreversível).`, { yes: opts.yes, force: opts.force, json: opts.json });
+    // A7 (2026-10-13): o Core exige step-up MFA neste DELETE desde 2026-08-20
+    // (`requireCliStepUpMfa` em `webhooks/[id]/route.ts`, commit 7d37208d). O
+    // comando nunca mandou o cabeçalho — 401 `mfa_required` sempre, com ou sem
+    // `neetru auth mfa-session`. Mesmo caminho dos outros destrutivos: `--mfa-token`
+    // → sessão de 1h → prompt TOTP (fail-closed em --json/não-TTY).
+    const { headers } = await resolveStepUp({ mfaToken: opts.mfaToken, json: opts.json });
     const spinner = opts.json ? null : ora({ text: 'Removendo webhook…', color: 'yellow' }).start();
     let res;
     try {
-        res = await apiRequest(`/api/cli/v1/webhooks/${encodeURIComponent(opts.id)}?productId=${encodeURIComponent(opts.productId)}`, { method: 'DELETE', token });
+        res = await apiRequest(`/api/cli/v1/webhooks/${encodeURIComponent(opts.id)}?productId=${encodeURIComponent(opts.productId)}`, { method: 'DELETE', token, headers });
         spinner?.stop();
     }
     catch (error) {

package/dist/commands/workspaces.js

@@ -2,12 +2,22 @@
  * `neetru workspaces create|advance|list|get|open` — control plane de
  * workspaces (runtime shared `neetru-workspaces`).
  *
- * Endpoints:
+ * Endpoints (conferidos contra o Core em 2026-10-12):
  *   POST /api/cli/v1/workspaces                  (create)
  *   POST /api/cli/v1/workspaces/{id}/advance     (advance — promove bundle)
- *   GET  /api/cli/v1/workspaces                  (list — filtros productId/env/status)
- *   GET  /api/cli/v1/workspaces/{id}             (get)
+ *   GET  /api/cli/v1/tenants                     (list — filtros product/status;
+ *                                                 env filtrado aqui, normalizado)
+ *   GET  /api/cli/v1/tenants/{id}                (get)
  *   (open) NÃO chama API — só monta a URL do painel e abre o browser.
+ *
+ * Este cabeçalho documentava `GET /workspaces` e `GET /workspaces/{id}`, e o
+ * código chamava `/tenants`. Conferido: `GET /workspaces/{id}` NÃO EXISTE no
+ * Core (só `advance` e `retry`). E `GET /workspaces` exige papel
+ * admin/operator/viewer, esconde os arquivados e devolve a lista em `items` —
+ * trocar a rota aqui deixaria a lista vazia e daria 403 a credencial
+ * `billing`, que hoje lista. Por isso a leitura FICA em `/tenants`; as colunas
+ * TIER e PRODUTO (slug), que nunca preenchiam, passam a vir do próprio
+ * `/tenants` no Core (mudança aditiva lá, sem quebrar ninguém aqui).
  */
 import * as fs from 'node:fs/promises';
 import * as path from 'node:path';
@@ -19,6 +29,8 @@ import { config } from '../lib/config.js';
 import { requireToken, handleApiError, printWriteResult } from '../lib/cli-write.js';
 import { renderTable, fmtTimestamp } from '../lib/render.js';
 import { pickProductId, pickProductSlug, pickWorkspace, resolveProductIdentifier, isInteractive, promptChoice, promptText, resolveCustomer, } from '../lib/pickers.js';
+import { DEFAULT_TENANT_ENVIRONMENT_ID, ESCOLHAS_AMBIENTE_TENANT, resolverAmbienteTenant, erroAmbienteTenantInvalido, normalizarAmbienteTenant, } from '../lib/envs.js';
+import { exitWithCliError } from '../lib/cli-error.js';
 import { log } from '../utils/logger.js';
 import { safeExit } from '../utils/safe-exit.js';
 /** Formata o erro 400 "Nenhum customer ativo" de forma acionável. */
@@ -53,12 +65,18 @@ export async function runWorkspacesCreate(opts) {
         productId: product,
         token,
     });
-    const env = opts.env ??
-        (await promptChoice('Ambiente:', [
-            { name: 'dev', value: 'dev' },
-            { name: 'staging', value: 'staging' },
-            { name: 'prod', value: 'prod' },
-        ], { default: 'dev', json: opts.json }));
+    // bug_7dcb68e2666a43f69ef362d2cbff94ed: o prompt oferecia 'dev' e usava 'dev'
+    // como padrão, mas POST /api/cli/v1/workspaces compara por igualdade ESTRITA
+    // contra ['dev-local','staging','prod'] e devolve 400 validation_failed —
+    // ou seja, aceitar o default sugerido pela própria ferramenta não criava
+    // workspace nenhum. O alfabeto agora vem de ../lib/envs.js e um `--env dev`
+    // digitado à mão é traduzido para o token canônico em vez de ir cru.
+    const env = opts.env
+        ? resolverAmbienteTenant(opts.env, opts.json)
+        : (await promptChoice('Ambiente:', [...ESCOLHAS_AMBIENTE_TENANT], {
+            default: DEFAULT_TENANT_ENVIRONMENT_ID,
+            json: opts.json,
+        }));
     // Bug #40: detecta tenant ativo existente para produto+env antes de criar.
     if (!opts.forceDuplicate) {
         const dupSpinner = opts.json
@@ -270,7 +288,20 @@ export async function runWorkspacesList(opts) {
         res = await apiRequest(`/api/cli/v1/tenants${qs ? `?${qs}` : ''}`, { token });
         rows = res.workspaces ?? res.tenants ?? [];
         if (opts.env) {
-            rows = rows.filter((r) => (r.env ?? r.environmentId) === opts.env);
+            // 5a copia do defeito do `--env` (2026-10-12). O conserto anterior
+            // centralizou o alfabeto e corrigiu os quatro comandos de ESCRITA — este
+            // filtro de LEITURA ficou comparando cru. Resultado: `--env dev` devolvia
+            // ZERO linhas em silencio, porque o Core grava `dev-local` e `dev` nunca
+            // casa. Zero resultado e indistinguivel de "nao existe nenhum".
+            const alvo = normalizarAmbienteTenant(opts.env);
+            if (alvo === null) {
+                spinner?.stop();
+                // bug_89d2497e: mesmo erro tipado dos comandos de escrita — com
+                // `--json`, sai o JSON com os valores válidos em vez de só stderr.
+                exitWithCliError(erroAmbienteTenantInvalido(opts.env), opts.json);
+                return;
+            }
+            rows = rows.filter((r) => (r.env ?? r.environmentId) === alvo);
         }
         spinner?.stop();
     }
@@ -284,7 +315,7 @@ export async function runWorkspacesList(opts) {
     }
     log.heading(`Workspaces (${rows.length})`);
     renderTable([
-        { header: 'ID', value: (r) => r.id ?? r.workspaceId ?? '—', maxWidth: 24 },
+        { header: 'ID', value: (r) => r.id ?? r.workspaceId ?? '—', identificador: true },
         { header: 'PRODUTO', value: (r) => r.productSlug ?? r.productId ?? '—', maxWidth: 22 },
         { header: 'ENV', value: (r) => r.env ?? r.environmentId ?? '—', maxWidth: 10 },
         { header: 'TIER', value: (r) => r.tier ?? r.resourceTier ?? '—', maxWidth: 12 },