@neetru/cli 2.32.0 → 2.33.0

package/dist/commands/deploy.js

@@ -21,7 +21,7 @@ import * as fs from 'node:fs';
 import { promises as fsp } from 'node:fs';
 import { spawnSync } from 'node:child_process';
 import * as path from 'node:path';
-import inquirer from 'inquirer';
+import { carregarInquirer } from '../lib/inquirer-sob-demanda.js';
 import chalk from 'chalk';
 import ora from 'ora';
 import { log } from '../utils/logger.js';
@@ -576,7 +576,7 @@ async function pickProduct(opts, nonInteractive, cwd) {
     if (catalog.products.length === 0) {
         deployFail(opts.json, 'no_products', 'Nenhum produto público encontrado. Crie um via `neetru publish` antes.');
     }
-    const { slug } = await inquirer.prompt([
+    const { slug } = await (await carregarInquirer()).prompt([
         {
             type: 'list',
             name: 'slug',
@@ -601,7 +601,7 @@ export async function pickTarget(opts, nonInteractive, runtime) {
     // handler .ts, não um app Next.js. Recomendar "Workspace" aqui levava quem
     // aceita o padrão direto ao aviso do contrato (confirmação final do PR #74).
     const ehNext = runtime === 'nextjs';
-    const { target } = await inquirer.prompt([
+    const { target } = await (await carregarInquirer()).prompt([
         {
             type: 'list',
             name: 'target',
@@ -674,7 +674,7 @@ async function pickServer(opts, nonInteractive) {
     if (nonInteractive) {
         deployFail(opts.json, 'server_required', '--server <id> é obrigatório em modo não interativo.');
     }
-    const { serverId } = await inquirer.prompt([
+    const { serverId } = await (await carregarInquirer()).prompt([
         {
             type: 'list',
             name: 'serverId',
@@ -704,7 +704,7 @@ async function pickDomain(opts, nonInteractive, productSlug) {
     if (nonInteractive)
         return { domain };
     if (!domain) {
-        const { d } = await inquirer.prompt([
+        const { d } = await (await carregarInquirer()).prompt([
             {
                 type: 'input',
                 name: 'd',
@@ -1264,7 +1264,7 @@ async function runWorkspaceDeploy(opts, productSlug, envName, cwd, nonInteractiv
         if (sourceSizeBytes > WORKSPACE_SOURCE_GCS_THRESHOLD_BYTES) {
             log.dim(`  upload:    via GCS (source grande — acima de ${Math.round(WORKSPACE_SOURCE_GCS_THRESHOLD_BYTES / 1024)} KB)`);
         }
-        const { ok } = await inquirer.prompt([
+        const { ok } = await (await carregarInquirer()).prompt([
             { type: 'confirm', name: 'ok', message: 'Confirmar deploy?', default: true },
         ]);
         if (!ok) {
@@ -1730,7 +1730,7 @@ envFileTexto) {
         log.dim(`  ambiente:  ${envName}`);
         log.dim('  destino:   cloud-run (serviço dedicado)');
         log.dim(`  imagem:    ${imageUrl}`);
-        const { ok } = await inquirer.prompt([
+        const { ok } = await (await carregarInquirer()).prompt([
             { type: 'confirm', name: 'ok', message: 'Confirmar deploy?', default: true },
         ]);
         if (!ok) {
@@ -1886,7 +1886,7 @@ async function checkSchemaGate(cwd, opts) {
             log.error(msg);
         return false;
     }
-    const { continuar } = await inquirer.prompt([
+    const { continuar } = await (await carregarInquirer()).prompt([
         {
             type: 'confirm',
             name: 'continuar',
@@ -2095,7 +2095,7 @@ export async function runDeploy(opts) {
         log.dim(`  sha256:   ${artifact.artifactSha256.slice(0, 16)}…`);
         // Em prod o default do confirm é FALSE — Enter não deploya produção sem
         // uma decisão explícita (auditoria UX 2026-09).
-        const { ok } = await inquirer.prompt([
+        const { ok } = await (await carregarInquirer()).prompt([
             { type: 'confirm', name: 'ok', message: 'Confirmar deploy?', default: envName !== 'prod' },
         ]);
         if (!ok) {

package/dist/commands/init.js

@@ -7,6 +7,7 @@ import ora from 'ora';
 // todo `neetru init --yes` (CI e scripts) e pelo 1º teste do init.test.ts,
 // que estourava o timeout de 10 s com a máquina carregada.
 import { log } from '../utils/logger.js';
+import { carregarInquirer } from '../lib/inquirer-sob-demanda.js';
 import { safeExit } from '../utils/safe-exit.js';
 /**
  * Inspeciona um diretório pra decidir se é projeto existente, vazio, ou
@@ -86,7 +87,7 @@ async function resolveTarget(name, cwd, opts) {
     }
     // ── Interactive ──────────────────────────────────────────────────────
     // Só aqui há pergunta: o inquirer é carregado agora (ver o topo do arquivo).
-    const { default: inquirer } = await import('inquirer');
+    const inquirer = await carregarInquirer();
     console.log();
     log.info(`Onde você quer inicializar o projeto "${name}"?`);
     console.log();

package/dist/commands/products.js

@@ -9,7 +9,7 @@
  * Saída: tabela (default) ou `--json`.
  */
 import chalk from 'chalk';
-import inquirer from 'inquirer';
+import { carregarInquirer } from '../lib/inquirer-sob-demanda.js';
 import ora from 'ora';
 import { apiRequest, CliApiError } from '../lib/api-client.js';
 import { config } from '../lib/config.js';
@@ -190,7 +190,7 @@ export async function runProductsCreate(opts) {
     const environmentsRequested = parseEnvCsv(opts.env, [...AMBIENTES_PEDIDOS_POR_PADRAO]);
     const interactive = !opts.yes && !opts.json && process.stdin.isTTY;
     if (interactive) {
-        const answers = await inquirer.prompt([
+        const answers = await (await carregarInquirer()).prompt([
             {
                 type: 'input',
                 name: 'name',

package/dist/commands/servers.d.ts

@@ -53,7 +53,36 @@ export declare function runServersDeactivate(id: string | undefined, opts: StepU
  */
 export interface ServersForceCleanupOptions extends StepUpOptions {
     reason: string;
+    /**
+     * core#732 (bug_90ec21cd): id numérico da instância no Google Cloud que o
+     * operador CONFERIU. Só faz falta quando o servidor não tem o id da VM
+     * registrado (`externalId`) e existe uma VM com o mesmo nome — o Core recusa
+     * com `vm_sem_externalid` e mostra o id visto + o comando de conferência.
+     * A CLI NUNCA preenche este id a partir da resposta: o operador digita.
+     */
+    confirmInstanceId?: string;
+}
+/**
+ * core#732: recusas da guarda de identidade da VM no force-cleanup. A mensagem
+ * do Core (com o id visto e o comando de conferência) vem antes; isto é o que
+ * fazer. Nenhum texto monta o comando com o id preenchido — de propósito.
+ */
+export declare const FORCE_CLEANUP_IDENTITY_GUIDANCE: Record<string, string>;
+/**
+ * Detalhes que o core#732 manda junto da recusa (`{ error: { …, instanceId?,
+ * instanceCreatedAt?, docCreatedAt?, outrosServidores?, comandoConferencia? } }`),
+ * só os campos conhecidos e com o tipo certo. Nunca vira comando com o id.
+ */
+export interface ForceCleanupIdentityDetails {
+    instanceId?: string;
+    instanceCreatedAt?: string;
+    docCreatedAt?: string;
+    outrosServidores?: string[];
+    comandoConferencia?: string;
 }
+export declare function forceCleanupIdentityDetails(raw: unknown): ForceCleanupIdentityDetails | undefined;
+/** Linhas legíveis dos detalhes (texto). Mostra o id VISTO, mas não monta comando com ele. */
+export declare function forceCleanupIdentityDetailLines(d: ForceCleanupIdentityDetails | undefined): string[];
 export declare function runServersForceCleanup(id: string, opts: ServersForceCleanupOptions): Promise<void>;
 export interface ServersDispatchOptions extends StepUpOptions {
     params?: string;

package/dist/commands/servers.js

@@ -12,6 +12,7 @@ import { apiRequest, CliApiError } from '../lib/api-client.js';
 import { requireToken, handleApiError } from '../lib/cli-read.js';
 import { confirmDestructive, printWriteResult, resolveStepUp, } from '../lib/cli-write.js';
 import { renderTable } from '../lib/render.js';
+import { carregarInquirer } from '../lib/inquirer-sob-demanda.js';
 import { pickServer, promptText, promptChoice } from '../lib/pickers.js';
 import { AGENT_COMMAND_ALLOWLIST, AGENT_COMMAND_CHOICES, commandRequiresMfa, } from '../lib/agent-commands.js';
 import { log } from '../utils/logger.js';
@@ -341,6 +342,73 @@ export async function runServersDeactivate(id, opts) {
     }
     printWriteResult(res.dryRun ? res : { serverId: res.serverId, status: res.status }, `Servidor ${res.serverId} → ${res.status}`, opts.json);
 }
+/** Formato que a rota do Core aceita (id numérico da instância no GCP). */
+const INSTANCE_ID_RE = /^[1-9][0-9]{0,19}$/;
+/**
+ * core#732: recusas da guarda de identidade da VM no force-cleanup. A mensagem
+ * do Core (com o id visto e o comando de conferência) vem antes; isto é o que
+ * fazer. Nenhum texto monta o comando com o id preenchido — de propósito.
+ */
+export const FORCE_CLEANUP_IDENTITY_GUIDANCE = {
+    vm_sem_externalid: 'Este servidor não tem o id da VM registrado, e existe no Google Cloud uma VM com o mesmo nome — ' +
+        'pode ser OUTRA VM (nome reaproveitado). Nada foi apagado. Rode o comando de conferência acima; se a VM ' +
+        'for mesmo a deste servidor, repita o force-cleanup com --confirm-instance-id <id que você conferiu>. ' +
+        'A CLI não preenche esse id por você.',
+    vm_confirmacao_nao_confere: 'O id passado em --confirm-instance-id não é o da VM que o Core leu (a mensagem acima mostra os dois). ' +
+        'Nada foi apagado. Confira de novo antes de repetir.',
+    vm_id_divergente: 'O Google Cloud devolveu outra instância ao ler o id registrado deste servidor. Nada foi apagado — ' +
+        'fale com o Dev Core antes de tentar de novo.',
+    vm_leitura_falhou: 'Não deu para ler a VM no Google Cloud agora. Nada foi apagado. Tente de novo em alguns minutos; ' +
+        'se continuar, fale com o Dev Core.',
+    // core#732 rodada 2: a confirmação do id NÃO destrava este caso — nada de
+    // orientar "repita com o id".
+    vm_nome_em_uso_por_outro_servidor: 'Outro servidor registrado e ativo usa uma VM com o mesmo nome e zona — a VM pode ser dele. Nada foi apagado, ' +
+        'e NÃO adianta confirmar o id: o Core recusa este caso mesmo com --confirm-instance-id. Confira de qual servidor ' +
+        'é a VM e registre o id dela no servidor certo antes de excluir (fale com o Dev Core).',
+};
+export function forceCleanupIdentityDetails(raw) {
+    if (!raw || typeof raw !== 'object')
+        return undefined;
+    const r = raw;
+    const texto = (v) => (typeof v === 'string' && v.trim() ? v.trim() : undefined);
+    const out = {};
+    const instanceId = texto(r.instanceId);
+    const instanceCreatedAt = texto(r.instanceCreatedAt);
+    const docCreatedAt = texto(r.docCreatedAt);
+    const comandoConferencia = texto(r.comandoConferencia);
+    const outros = Array.isArray(r.outrosServidores)
+        ? r.outrosServidores.map(texto).filter((x) => !!x)
+        : [];
+    if (instanceId)
+        out.instanceId = instanceId;
+    if (instanceCreatedAt)
+        out.instanceCreatedAt = instanceCreatedAt;
+    if (docCreatedAt)
+        out.docCreatedAt = docCreatedAt;
+    if (outros.length > 0)
+        out.outrosServidores = outros;
+    if (comandoConferencia)
+        out.comandoConferencia = comandoConferencia;
+    return Object.keys(out).length > 0 ? out : undefined;
+}
+/** Linhas legíveis dos detalhes (texto). Mostra o id VISTO, mas não monta comando com ele. */
+export function forceCleanupIdentityDetailLines(d) {
+    if (!d)
+        return [];
+    const linhas = [];
+    if (d.outrosServidores) {
+        linhas.push(`Outro(s) servidor(es) ativo(s) com o mesmo nome e zona: ${d.outrosServidores.join(', ')}`);
+    }
+    if (d.instanceId)
+        linhas.push(`VM vista no Google Cloud: id ${d.instanceId}`);
+    if (d.instanceCreatedAt || d.docCreatedAt) {
+        linhas.push(`Criação da VM: ${d.instanceCreatedAt ?? '?'} · criação deste servidor: ${d.docCreatedAt ?? '?'} ` +
+            '(a VM do próprio servidor nasce segundos depois dele; diferença grande indica VM recriada)');
+    }
+    if (d.comandoConferencia)
+        linhas.push(`Para conferir (só leitura): ${d.comandoConferencia}`);
+    return linhas;
+}
 export async function runServersForceCleanup(id, opts) {
     if (!id || !/^[a-zA-Z0-9_-]{1,64}$/.test(id)) {
         log.error('serverId inválido. Uso: neetru servers force-cleanup <serverId> --reason="<motivo min 10 chars>"');
@@ -350,6 +418,16 @@ export async function runServersForceCleanup(id, opts) {
         log.error('--reason obrigatório com pelo menos 10 caracteres (paper-trail audit).');
         safeExit(1);
     }
+    // `--confirm-instance-id ""` (ou só espaços) é RECUSADO — não vira "flag não passada".
+    const confirmInstanceId = opts.confirmInstanceId === undefined ? undefined : opts.confirmInstanceId.trim();
+    if (confirmInstanceId !== undefined && !INSTANCE_ID_RE.test(confirmInstanceId)) {
+        const msg = '--confirm-instance-id deve ser o id numérico da VM no Google Cloud (o que você conferiu no comando de conferência).';
+        if (opts.json)
+            console.log(JSON.stringify({ ok: false, error: 'invalid_param', message: msg }));
+        else
+            log.error(msg);
+        safeExit(1);
+    }
     const token = await requireToken(opts.json);
     // Double-confirm (digitar o ID) — dry-run não aplica nada, então pula: nada
     // destrutivo acontece, não faz sentido travar numa confirmação interativa.
@@ -368,8 +446,12 @@ export async function runServersForceCleanup(id, opts) {
         }
         console.log(chalk.yellow.bold('\n⚠  FORCE-CLEANUP é IRREVERSÍVEL.'));
         console.log(chalk.dim('   Server stuck em provisioning/timeout que está bloqueando o pipeline.'));
-        console.log(chalk.dim('   Audit pesado + notification all staff serão gerados.\n'));
-        const inquirer = (await import('inquirer')).default;
+        console.log(chalk.dim('   Audit pesado + notification all staff serão gerados.'));
+        if (confirmInstanceId) {
+            console.log(chalk.dim(`   VM a apagar: a instância de id ${confirmInstanceId}, conferida por você.`));
+        }
+        console.log('');
+        const inquirer = await carregarInquirer();
         const ans = await inquirer.prompt([
             {
                 type: 'input',
@@ -395,12 +477,28 @@ export async function runServersForceCleanup(id, opts) {
             body: {
                 reason: opts.reason.trim(),
                 confirm: 'I-UNDERSTAND-FORCE-CLEANUP',
+                ...(confirmInstanceId ? { confirmInstanceId } : {}),
             },
         });
         spinner?.stop();
     }
     catch (error) {
         spinner?.fail('Falha no force-cleanup.');
+        // core#732: a guarda de identidade da VM recusou — nada foi apagado. Mostra
+        // a mensagem do Core (id visto + comando de conferência) e o que fazer. Sem
+        // nova tentativa automática e sem montar o comando com o id: o operador
+        // confere e digita.
+        if (error instanceof CliApiError && FORCE_CLEANUP_IDENTITY_GUIDANCE[error.code]) {
+            const guidance = FORCE_CLEANUP_IDENTITY_GUIDANCE[error.code];
+            const details = forceCleanupIdentityDetails(error.details);
+            if (opts.json) {
+                console.log(JSON.stringify({ ok: false, error: error.code, message: error.message, guidance, ...(details ? { details } : {}) }));
+            }
+            else {
+                log.error([error.message, ...forceCleanupIdentityDetailLines(details), guidance].join('\n  '));
+            }
+            safeExit(1);
+        }
         handleApiError(error, opts.json);
     }
     if (opts.json) {
@@ -413,6 +511,16 @@ export async function runServersForceCleanup(id, opts) {
     }
     log.success(`Server ${res.serverId} force-cleanup concluído.`);
     log.dim(`  Status anterior: ${res.previousStatus} (há ${res.ageMinutes}min)`);
+    if (res.vmIdentidade) {
+        const identidade = {
+            'confere:externalId': 'conferida pelo id registrado no servidor',
+            'confere:confirmacao': 'conferida pelo id que você confirmou',
+            'ausente:id_ausente': 'a VM registrada já não existia',
+            'ausente:nome_ausente': 'não havia VM com o nome do servidor',
+            'ausente:nome_de_outro_servidor': 'a VM com esse nome é de OUTRO servidor — não foi tocada',
+        };
+        log.dim(`  Identidade da VM: ${identidade[res.vmIdentidade] ?? res.vmIdentidade}`);
+    }
     if (res.vmDeleted) {
         log.dim('  VM GCP: deletada com sucesso.');
     }

package/dist/index.js

@@ -854,6 +854,7 @@ serversCmd
     .option('--yes', 'pula a confirmação interativa (modo script)')
     .option('--mfa-token <code>', 'código TOTP para step-up MFA (ou use `neetru auth mfa-session`)')
     .option('--dry-run', 'valida e retorna o efeito sem aplicar (sem MFA)')
+    .option('--confirm-instance-id <id>', 'id numérico da VM no Google Cloud que você conferiu — só quando o Core pedir (servidor sem o id da VM registrado)')
     .option('--json', 'saída em JSON')
     .action(async (id, opts) => {
     const { runServersForceCleanup } = await import('./commands/servers.js');
@@ -862,6 +863,7 @@ serversCmd
         yes: !!opts.yes,
         mfaToken: opts.mfaToken,
         dryRun: !!opts.dryRun,
+        confirmInstanceId: opts.confirmInstanceId,
         json: !!opts.json,
     });
 });
@@ -2281,6 +2283,60 @@ dbMoveCmd
         json: !!opts.json,
     });
 });
+// ── neetru db frontdoor ───────────────────────────────────────────────
+// Porta de entrada PRIVADA de um banco Postgres em VM para um app em OUTRA VM,
+// sem mover o banco (Core #727, bug_5c0e7738). O Core prepara o PgBouncer na
+// VM do banco, testa a partir da VM do app e na própria VM do banco, e só então
+// grava o novo endereço. `enable` repetido RETOMA a mesma operação.
+const dbFrontdoorCmd = dbCmd
+    .command('frontdoor')
+    .description('Porta de entrada privada do banco para um app em outra VM da rede interna (sem mover o banco)');
+dbFrontdoorCmd
+    .command('enable <dbId>')
+    .description('Ligar a porta de entrada para a VM do app (POST /api/cli/v1/db/[id]/frontdoor — exige MFA; repetir retoma)')
+    .requiredOption('--app-server <serverId>', 'VM onde o app roda ou vai rodar (recebe a liberação na rede interna)')
+    .requiredOption('--reason <text>', 'motivo (vai para o registro de auditoria)')
+    .option('--dry-run', 'só confere os requisitos (não altera nada, sem MFA)')
+    .option('-y, --yes', 'pula a confirmação interativa (modo script)')
+    .option('--mfa-token <code>', 'código TOTP step-up MFA (ou use `neetru auth mfa-session`)')
+    .option('--json', 'saída em JSON estruturado')
+    .action(async (dbId, opts) => {
+    const { runDbFrontdoorEnable } = await import('./commands/db-frontdoor.js');
+    await runDbFrontdoorEnable(dbId, {
+        appServer: opts.appServer,
+        reason: opts.reason,
+        dryRun: !!opts.dryRun,
+        yes: !!opts.yes,
+        mfaToken: opts.mfaToken,
+        json: !!opts.json,
+    });
+});
+dbFrontdoorCmd
+    .command('status <dbId>')
+    .description('Estado da porta de entrada e da última operação (GET /api/cli/v1/db/[id]/frontdoor)')
+    .option('--json', 'saída em JSON')
+    .action(async (dbId, opts) => {
+    const { runDbFrontdoorStatus } = await import('./commands/db-frontdoor.js');
+    await runDbFrontdoorStatus(dbId, { json: !!opts.json });
+});
+dbFrontdoorCmd
+    .command('disable <dbId>')
+    .description('Desligar a porta de entrada — o app volta ao endereço local da VM do banco (POST /api/cli/v1/db/[id]/frontdoor/disable — exige MFA)')
+    .requiredOption('--reason <text>', 'motivo (vai para o registro de auditoria)')
+    .option('--force', 'obrigatório para desligar uma porta ligada (o desfazer normal) ou quando não se sabe onde o app roda: o app volta ao endereço local da VM do banco e, se ele roda em outra VM, fica sem banco')
+    .option('-y, --yes', 'pula a confirmação interativa (modo script)')
+    .option('--mfa-token <code>', 'código TOTP step-up MFA (ou use `neetru auth mfa-session`)')
+    .option('--json', 'saída em JSON')
+    .action(async (dbId, opts) => {
+    const { runDbFrontdoorDisable } = await import('./commands/db-frontdoor.js');
+    await runDbFrontdoorDisable(dbId, {
+        reason: opts.reason,
+        force: !!opts.force,
+        yes: !!opts.yes,
+        mfaToken: opts.mfaToken,
+        json: !!opts.json,
+    });
+});
 // ── neetru db where ───────────────────────────────────────────────────
 // READ-ONLY: onde o banco de um produto VIVE hoje (VM/serverId + endpoint).
 // Complementa `neetru db status <dbId>` (que exige o dbId) aceitando --product.

package/dist/lib/api-client.d.ts

@@ -16,7 +16,14 @@ export declare class CliApiError extends Error {
      * por quem faz vários envios em sequência (ex.: `neetru docs sync`).
      */
     readonly retryAfterSeconds?: number;
-    constructor(status: number, code: string, message: string, correlationId?: string, retryAfterSeconds?: number);
+    /**
+     * Campos EXTRAS do erro canônico `{ error: { code, message, ...detalhes } }`
+     * (ex.: core#732 — `instanceId`, `instanceCreatedAt`, `docCreatedAt`,
+     * `outrosServidores`, `comandoConferencia` no force-cleanup). Ausente quando
+     * o corpo só traz `code`/`message`. Quem usa valida o tipo de cada campo.
+     */
+    readonly details?: Readonly<Record<string, unknown>>;
+    constructor(status: number, code: string, message: string, correlationId?: string, retryAfterSeconds?: number, details?: Readonly<Record<string, unknown>>);
 }
 /** `Retry-After` em segundos (aceita número ou data HTTP). undefined se ausente/ilegível. */
 export declare function parseRetryAfter(value: string | null | undefined, now?: number): number | undefined;

package/dist/lib/api-client.js

@@ -17,13 +17,22 @@ export class CliApiError extends Error {
      * por quem faz vários envios em sequência (ex.: `neetru docs sync`).
      */
     retryAfterSeconds;
-    constructor(status, code, message, correlationId, retryAfterSeconds) {
+    /**
+     * Campos EXTRAS do erro canônico `{ error: { code, message, ...detalhes } }`
+     * (ex.: core#732 — `instanceId`, `instanceCreatedAt`, `docCreatedAt`,
+     * `outrosServidores`, `comandoConferencia` no force-cleanup). Ausente quando
+     * o corpo só traz `code`/`message`. Quem usa valida o tipo de cada campo.
+     */
+    details;
+    constructor(status, code, message, correlationId, retryAfterSeconds, details) {
         super(message);
         this.name = 'CliApiError';
         this.status = status;
         this.code = code;
         this.correlationId = correlationId;
         this.retryAfterSeconds = retryAfterSeconds;
+        if (details && Object.keys(details).length > 0)
+            this.details = details;
     }
 }
 /** `Retry-After` em segundos (aceita número ou data HTTP). undefined se ausente/ilegível. */
@@ -182,6 +191,7 @@ export async function apiRequest(path, opts = {}) {
         const errBody = parsed;
         let code = `http_${response.status}`;
         let message = `Erro HTTP ${response.status}`;
+        let details;
         if (errBody?.error) {
             if (typeof errBody.error === 'string') {
                 // Formato RFC. Auditoria cli/v1 2026-09-29: o 401 do `requireCliAuth`
@@ -196,6 +206,12 @@ export async function apiRequest(path, opts = {}) {
                 // Formato interno Neetru
                 code = errBody.error.code ?? code;
                 message = errBody.error.message ?? message;
+                // Campos além de `code`/`message` (core#732): vão em `details`, crus.
+                const { code: _c, message: _m, ...extras } = errBody.error;
+                void _c;
+                void _m;
+                if (Object.keys(extras).length > 0)
+                    details = extras;
             }
         }
         else if (typeof parsed === 'string' && parsed.trim() !== '') {
@@ -242,7 +258,7 @@ export async function apiRequest(path, opts = {}) {
         }
         // LABS #6 (2026-09-28): captura o x-correlation-id do Core p/ o rodapé do erro.
         const correlationId = response.headers.get('x-correlation-id') ?? undefined;
-        throw new CliApiError(response.status, code, message, correlationId, parseRetryAfter(response.headers.get('retry-after')));
+        throw new CliApiError(response.status, code, message, correlationId, parseRetryAfter(response.headers.get('retry-after')), details);
     }
     return parsed;
 }

package/dist/lib/inquirer-sob-demanda.d.ts

@@ -0,0 +1,14 @@
+/**
+ * `inquirer` sob demanda (P115, 2026-10-18; o `db.ts` já fazia o mesmo desde
+ * o bug_b1e9af59, e o `init.ts` desde o P112).
+ *
+ * O `inquirer` é o pacote mais caro de carregar a frio no grafo da CLI: ~0,31 s
+ * sozinho e ~1 s com a máquina carregada (medido no P115). Quem o importa no
+ * topo faz TODO caminho do comando pagar a carga — inclusive `--json`,
+ * `--yes` e os não interativos, que nunca perguntam nada. Os comandos carregam
+ * o inquirer por aqui, só no ponto em que vão perguntar.
+ *
+ * A guarda `guarda-inquirer-sob-demanda.test.ts` impede import estático novo
+ * do inquirer em `src/`.
+ */
+export declare function carregarInquirer(): Promise<typeof import('inquirer').default>;

package/dist/lib/inquirer-sob-demanda.js

@@ -0,0 +1,18 @@
+/**
+ * `inquirer` sob demanda (P115, 2026-10-18; o `db.ts` já fazia o mesmo desde
+ * o bug_b1e9af59, e o `init.ts` desde o P112).
+ *
+ * O `inquirer` é o pacote mais caro de carregar a frio no grafo da CLI: ~0,31 s
+ * sozinho e ~1 s com a máquina carregada (medido no P115). Quem o importa no
+ * topo faz TODO caminho do comando pagar a carga — inclusive `--json`,
+ * `--yes` e os não interativos, que nunca perguntam nada. Os comandos carregam
+ * o inquirer por aqui, só no ponto em que vão perguntar.
+ *
+ * A guarda `guarda-inquirer-sob-demanda.test.ts` impede import estático novo
+ * do inquirer em `src/`.
+ */
+export async function carregarInquirer() {
+    const { default: inquirer } = await import('inquirer');
+    return inquirer;
+}
+//# sourceMappingURL=inquirer-sob-demanda.js.map

package/dist/lib/pickers.js

@@ -1,5 +1,5 @@
 import chalk from 'chalk';
-import inquirer from 'inquirer';
+import { carregarInquirer } from './inquirer-sob-demanda.js';
 import { apiRequest } from './api-client.js';
 import { handleApiError } from './api-error.js';
 import { adviseCommand, declaredInputs } from '../cli-kit/command-context.js';
@@ -76,6 +76,8 @@ export async function resolveOrPick(opts) {
             : `Múltiplos candidatos encontrados, e este comando não recebe ${sujeito} por argumento: ` +
                 `rode num terminal interativo para escolher.\nDisponiveis:\n${available}`, opts.json);
     }
+    // Só aqui o picker pergunta: o inquirer é carregado agora (P115).
+    const inquirer = await carregarInquirer();
     const choices = items.map((item) => ({
         name: opts.format(item),
         value: opts.getId(item),
@@ -107,7 +109,7 @@ export async function promptText(message, opts = {}) {
             return '';
         failInput(`Informe ${message}`, opts.json);
     }
-    const answer = await inquirer.prompt([
+    const answer = await (await carregarInquirer()).prompt([
         {
             type: 'input',
             name: 'value',
@@ -131,7 +133,7 @@ export async function promptChoice(message, choices, opts = {}) {
             return opts.default;
         failInput(`Escolha ${message}`, opts.json);
     }
-    const answer = await inquirer.prompt([
+    const answer = await (await carregarInquirer()).prompt([
         {
             type: 'list',
             name: 'picked',

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@neetru/cli",
-  "version": "2.32.0",
+  "version": "2.33.0",
   "type": "module",
   "description": "Neetru Developer Kit — scaffold, AI assistant, publish, build e deploy de produtos SaaS Neetru via Core (VM-based agents)",
   "keywords": [