@neetru/sdk 3.8.1 → 3.9.1

package/dist/build-guard.cjs

@@ -1,7 +1,7 @@
 'use strict';
 
-var u = require('fs');
-var a = require('path');
+var a = require('fs');
+var l = require('path');
 
 function _interopNamespace(e) {
   if (e && e.__esModule) return e;
@@ -21,160 +21,264 @@ function _interopNamespace(e) {
   return Object.freeze(n);
 }
 
-var u__namespace = /*#__PURE__*/_interopNamespace(u);
 var a__namespace = /*#__PURE__*/_interopNamespace(a);
+var l__namespace = /*#__PURE__*/_interopNamespace(l);
 
 // src/build-guard.ts
-var l = class extends Error {
-  constructor(n) {
-    super(n), this.name = "NeetruBuildGuardError";
+var p = class extends Error {
+  constructor(t) {
+    super(t), this.name = "NeetruBuildGuardError";
   }
 };
-function p(e) {
+function g(e) {
   return e == null || e.trim() === "";
 }
 function k(e) {
   if (e.builtEnv !== "prod") return;
-  let n = [];
-  if (p(e.oidcClientId) && n.push("NEXT_PUBLIC_NEETRU_OIDC_CLIENT_ID"), p(e.productId) && n.push("NEXT_PUBLIC_NEETRU_PRODUCT_ID"), n.length === 0) return;
-  let t = n.length > 1;
-  throw new l(
+  let t = [];
+  if (g(e.oidcClientId) && t.push("NEXT_PUBLIC_NEETRU_OIDC_CLIENT_ID"), g(e.productId) && t.push("NEXT_PUBLIC_NEETRU_PRODUCT_ID"), t.length === 0) return;
+  let n = t.length > 1;
+  throw new p(
     [
       "[neetru-sdk] BUILD DE PRODU\xC7\xC3O ABORTADO (withNeetruBuildGuard).",
       "",
-      `Vari\xE1ve${t ? "is" : "l"} de ambiente obrigat\xF3ri${t ? "as" : "a"} ausente${t ? "s" : ""}/vazia${t ? "s" : ""} no build de produ\xE7\xE3o (NEXT_PUBLIC_NEETRU_ENV=prod):`,
-      ...n.map((r) => `  \u2022 ${r}`),
+      `Vari\xE1ve${n ? "is" : "l"} de ambiente obrigat\xF3ri${n ? "as" : "a"} ausente${n ? "s" : ""}/vazia${n ? "s" : ""} no build de produ\xE7\xE3o (NEXT_PUBLIC_NEETRU_ENV=prod):`,
+      ...t.map((r) => `  \u2022 ${r}`),
       "",
-      `Sem ${t ? "essas vari\xE1veis" : "essa vari\xE1vel"} o SDK n\xE3o consegue montar o client_id do login OIDC \u2014 o bot\xE3o "Entrar com Neetru" (NeetruLoginButton) N\xC3O redireciona e o login do produto quebra EM SIL\xCANCIO em produ\xE7\xE3o (incidente gestovendas 2026-09-06: workspace recriado perdeu a env var e shippou um build de prod com o client_id vazio).`,
+      `Sem ${n ? "essas vari\xE1veis" : "essa vari\xE1vel"} o SDK n\xE3o consegue montar o client_id do login OIDC \u2014 o bot\xE3o "Entrar com Neetru" (NeetruLoginButton) N\xC3O redireciona e o login do produto quebra EM SIL\xCANCIO em produ\xE7\xE3o (incidente gestovendas 2026-09-06: workspace recriado perdeu a env var e shippou um build de prod com o client_id vazio).`,
       "",
       "Como corrigir \u2014 defina no .env.production do produto (ou no ambiente do build de deploy):",
-      ...n.map((r) => `  ${r}=<valor real vindo do cat\xE1logo do produto no Core>`),
+      ...t.map((r) => `  ${r}=<valor real vindo do cat\xE1logo do produto no Core>`),
       "",
       "dev/workspace N\xC3O exigem essas vari\xE1veis (usam MockAuth/sandbox) \u2014 s\xF3 o build de produ\xE7\xE3o enfor\xE7a."
     ].join(`
 `)
   );
 }
-var f = ["pg", "drizzle-orm"], g = "*";
-function E(e) {
-  return Array.isArray(e) ? e.filter((n) => typeof n == "string") : [];
+var w = [
+  "script-src-elem",
+  "script-src",
+  "default-src"
+], E = /^\/(?:api|_next)(?:\/|$)/, m = /^'sha(?:256|384|512)-/;
+function N(e) {
+  let t = /* @__PURE__ */ new Map();
+  for (let n of e.split(";")) {
+    let r = n.trim().split(/\s+/).filter(Boolean);
+    if (r.length === 0) continue;
+    let o = r[0].toLowerCase();
+    t.has(o) || t.set(o, { raw: r.join(" "), sources: r.slice(1) });
+  }
+  return t;
+}
+function I(e, t) {
+  let n = t.filter((o) => {
+    let s = o.toLowerCase();
+    return s !== "'none'" && !m.test(s);
+  });
+  return n.some((o) => o.toLowerCase() === "'unsafe-inline'") || n.push("'unsafe-inline'"), n.length === 1 && n.unshift("'self'"), `${e === "default-src" ? "script-src" : e} ${n.join(" ")}`;
+}
+function C(e) {
+  let t = N(e), n = w.find((c) => t.has(c));
+  if (!n) return null;
+  let { raw: r, sources: o } = t.get(n), s = o.map((c) => c.toLowerCase());
+  if (s.some((c) => c.startsWith("'nonce-")) || s.includes("'strict-dynamic'")) return null;
+  let i = s.includes("'unsafe-inline'"), u = s.some((c) => m.test(c));
+  return i && !u ? null : {
+    directiveName: n,
+    directive: r,
+    suggestion: I(n, o),
+    unsafeInlineIgnoredByHash: i && u
+  };
+}
+function S(e) {
+  if (!Array.isArray(e)) return [];
+  let t = [];
+  for (let n of e) {
+    if (!n || typeof n != "object") continue;
+    let { source: r, headers: o } = n, s = typeof r == "string" ? r : "";
+    if (!E.test(s) && Array.isArray(o))
+      for (let i of o) {
+        if (!i || typeof i != "object") continue;
+        let { key: u, value: c } = i;
+        if (!(typeof u != "string" || typeof c != "string") && u.trim().toLowerCase() === "content-security-policy")
+          for (let d of c.split(",")) {
+            let f = C(d);
+            f && t.push({ source: s, headerKey: u.trim(), ...f });
+          }
+      }
+  }
+  return t;
+}
+function _(e) {
+  if (typeof e != "string" || e.trim() === "") return false;
+  try {
+    return a__namespace.existsSync(l__namespace.join(e, "app")) || a__namespace.existsSync(l__namespace.join(e, "src", "app"));
+  } catch {
+    return false;
+  }
+}
+function b(e) {
+  let t = S(e);
+  if (t.length === 0) return;
+  let n = [
+    "[neetru-sdk] BUILD ABORTADO (withNeetruBuildGuard): a Content-Security-Policy do headers() do next.config bloqueia os scripts embutidos do App Router.",
+    "",
+    "O App Router p\xF5e <script> embutidos em toda p\xE1gina (self.__next_f.push, com o payload do React Server Components). Com a CSP abaixo o navegador bloqueia esses scripts, a hidrata\xE7\xE3o falha e o React desmonta a \xE1rvore: o servidor responde 200 com o HTML certo e a tela fica EM BRANCO (incidente Zelo 2026-10-22).",
+    "",
+    `Linha${t.length > 1 ? "s" : ""} a trocar no next.config:`
+  ];
+  throw t.forEach((r, o) => {
+    n.push(""), n.push(`${o + 1}) headers() \u2192 source "${r.source}" \u2192 ${r.headerKey}`), r.directiveName === "default-src" ? (n.push(`   a CSP n\xE3o tem script-src, ent\xE3o quem decide os scripts \xE9 o: ${r.directive}`), n.push(`   acrescente:  ${r.suggestion}`)) : (n.push(`   troque:  ${r.directive}`), n.push(`   por:     ${r.suggestion}`), r.unsafeInlineIgnoredByHash && n.push("   (com um hash 'sha\u2026-' na lista, o navegador ignora o 'unsafe-inline' \u2014 por isso o hash sai)"));
+  }), n.push(
+    "",
+    "Sem 'unsafe-inline': use nonce por requisi\xE7\xE3o \u2014 o middleware gera o nonce e manda a CSP com 'nonce-<valor>' 'strict-dynamic' (https://nextjs.org/docs/app/guides/content-security-policy). CSP com nonce ou 'strict-dynamic' passa nesta checagem."
+  ), new p(n.join(`
+`));
+}
+function R(e) {
+  if (_(process.cwd()))
+    try {
+      b(e);
+    } catch (t) {
+      if (t instanceof p && process.env.NODE_ENV === "development") {
+        typeof console < "u" && console.warn(t.message);
+        return;
+      }
+      throw t;
+    }
 }
-function _(e, n, t) {
-  let r = [], o = n;
+var y = ["pg", "drizzle-orm"], h = "*";
+function v(e) {
+  return Array.isArray(e) ? e.filter((t) => typeof t == "string") : [];
+}
+function T(e, t, n) {
+  let r = [], o = t;
   for (; ; ) {
     r.push(o);
-    let i = a__namespace.dirname(o);
-    if (i === o) break;
-    o = i;
+    let s = l__namespace.dirname(o);
+    if (s === o) break;
+    o = s;
   }
-  r.includes(t) || r.push(t);
-  for (let i of r) {
-    let s = a__namespace.join(i, "node_modules", e, "package.json");
+  r.includes(n) || r.push(n);
+  for (let s of r) {
+    let i = l__namespace.join(s, "node_modules", e, "package.json");
     try {
-      if (u__namespace.existsSync(s)) return s;
+      if (a__namespace.existsSync(i)) return i;
     } catch {
     }
   }
   return null;
 }
-function m(e) {
+function B(e) {
   if (typeof e != "string" || e.trim() === "") return [];
-  let n = /* @__PURE__ */ new Set(), t = /* @__PURE__ */ new Set(), r = (o, i) => {
-    if (n.has(o)) return;
-    n.add(o);
-    let s = _(o, i, e);
-    if (!s) return;
+  let t = /* @__PURE__ */ new Set(), n = /* @__PURE__ */ new Set(), r = (o, s) => {
+    if (t.has(o)) return;
     t.add(o);
-    let d;
+    let i = T(o, s, e);
+    if (!i) return;
+    n.add(o);
+    let u;
     try {
-      d = JSON.parse(u__namespace.readFileSync(s, "utf8"));
+      u = JSON.parse(a__namespace.readFileSync(i, "utf8"));
     } catch {
       return;
     }
     let c = {
-      ...d.dependencies ?? {},
-      ...d.optionalDependencies ?? {}
-    }, b = a__namespace.dirname(s);
-    for (let v of Object.keys(c)) r(v, b);
+      ...u.dependencies ?? {},
+      ...u.optionalDependencies ?? {}
+    }, d = l__namespace.dirname(i);
+    for (let f of Object.keys(c)) r(f, d);
   };
   try {
-    for (let o of f) r(o, e);
+    for (let o of y) r(o, e);
   } catch {
     return [];
   }
-  return [...t].sort();
+  return [...n].sort();
 }
-function N(e) {
-  return e.map((n) => `./node_modules/${n}/**`);
+function x(e) {
+  return e.map((t) => `./node_modules/${t}/**`);
 }
-function h(e) {
-  let n = E(e);
-  for (let t of f)
-    n.includes(t) || n.push(t);
-  return n;
+function A(e) {
+  let t = v(e);
+  for (let n of y)
+    t.includes(n) || t.push(n);
+  return t;
 }
-function I(e, n) {
-  let t = {};
+function O(e, t) {
+  let n = {};
   if (e && typeof e == "object" && !Array.isArray(e))
-    for (let [o, i] of Object.entries(e))
-      t[o] = E(i);
-  if (n.length === 0) return t;
-  let r = [...t[g] ?? []];
-  for (let o of n)
+    for (let [o, s] of Object.entries(e))
+      n[o] = v(s);
+  if (t.length === 0) return n;
+  let r = [...n[h] ?? []];
+  for (let o of t)
     r.includes(o) || r.push(o);
-  return t[g] = r, t;
+  return n[h] = r, n;
 }
-function T(e, n = {}) {
-  let t = e.webpack, r = [];
+function P(e, t = {}) {
+  let n = e.webpack, r = e.headers, o = [];
   try {
-    r = N(m(process.cwd()));
+    o = x(B(process.cwd()));
   } catch {
-    r = [];
+    o = [];
   }
   return {
     ...e,
     // `serverExternalPackages` é reforço (não o conserto do caso webpackIgnore);
     // o `outputFileTracingIncludes` computado é o que realmente inclui o closure.
-    serverExternalPackages: h(e.serverExternalPackages),
-    outputFileTracingIncludes: I(
+    serverExternalPackages: A(e.serverExternalPackages),
+    outputFileTracingIncludes: O(
       e.outputFileTracingIncludes,
-      r
+      o
     ),
-    webpack(o, i) {
-      let s = typeof t == "function" ? t(o, i) : o;
+    // CSP x App Router (incidente Zelo 2026-10-22): só embrulha quando o produto
+    // TEM `headers()`. Sem ele não há CSP do next.config a checar, e o config
+    // continua sem a chave (não inventa um `headers` que o Next não pediu).
+    ...typeof r == "function" ? {
+      async headers(...s) {
+        let i = await r.apply(this, s);
+        return R(i), i;
+      }
+    } : {},
+    webpack(s, i) {
+      let u = typeof n == "function" ? n(s, i) : s;
       if (!i.dev && i.isServer) {
-        let d = {
+        let c = {
           builtEnv: process.env.NEXT_PUBLIC_NEETRU_ENV ?? null,
           productId: process.env.NEXT_PUBLIC_NEETRU_PRODUCT_ID ?? null,
           oidcClientId: process.env.NEXT_PUBLIC_NEETRU_OIDC_CLIENT_ID ?? null,
           builtAt: (/* @__PURE__ */ new Date()).toISOString()
         };
         try {
-          let c = a__namespace.resolve(process.cwd(), n.outputDir ?? ".next");
-          u__namespace.mkdirSync(c, { recursive: !0 }), u__namespace.writeFileSync(
-            a__namespace.join(c, "neetru-build-manifest.json"),
-            JSON.stringify(d, null, 2),
+          let d = l__namespace.resolve(process.cwd(), t.outputDir ?? ".next");
+          a__namespace.mkdirSync(d, { recursive: !0 }), a__namespace.writeFileSync(
+            l__namespace.join(d, "neetru-build-manifest.json"),
+            JSON.stringify(c, null, 2),
             "utf8"
           );
-        } catch (c) {
+        } catch (d) {
           typeof console < "u" && console.warn(
             "[neetru-sdk] withNeetruBuildGuard: falha ao gravar neetru-build-manifest.json (ignorado, build segue):",
-            c
+            d
           );
         }
-        k(d);
+        k(c);
       }
-      return s;
+      return u;
     }
   };
 }
 
-exports.NEETRU_SQL_SERVER_EXTERNAL_PACKAGES = f;
-exports.NEETRU_SQL_TRACE_INCLUDE_KEY = g;
-exports.NeetruBuildGuardError = l;
+exports.NEETRU_SQL_SERVER_EXTERNAL_PACKAGES = y;
+exports.NEETRU_SQL_TRACE_INCLUDE_KEY = h;
+exports.NeetruBuildGuardError = p;
+exports.assertNeetruCspAllowsAppRouterScripts = b;
 exports.assertNeetruProdBuildEnv = k;
-exports.mergeOutputFileTracingIncludes = I;
-exports.mergeServerExternalPackages = h;
-exports.resolveSqlRuntimeClosure = m;
-exports.sqlClosureToTraceGlobs = N;
-exports.withNeetruBuildGuard = T;
+exports.findCspInlineScriptBlocks = S;
+exports.hasNextAppRouter = _;
+exports.mergeOutputFileTracingIncludes = O;
+exports.mergeServerExternalPackages = A;
+exports.resolveSqlRuntimeClosure = B;
+exports.sqlClosureToTraceGlobs = x;
+exports.withNeetruBuildGuard = P;

package/dist/build-guard.d.cts

@@ -36,6 +36,57 @@ declare class NeetruBuildGuardError extends Error {
  * reprova; retorna `void` quando passa.
  */
 declare function assertNeetruProdBuildEnv(resolved: Pick<NeetruBuildManifest, 'builtEnv' | 'productId' | 'oidcClientId'>): void;
+/**
+ * Uma regra de `headers()` do `next.config` (`{ source, headers: [{ key, value }] }`).
+ * Tipada frouxa de propósito: é config de produto, pode vir malformada, e quem
+ * valida o formato é o próprio Next logo depois. O guard só lê.
+ */
+interface NeetruHeaderRule {
+    source?: unknown;
+    headers?: unknown;
+    [key: string]: unknown;
+}
+/** Diretivas que decidem um `<script>` embutido, na ordem de precedência da CSP. */
+type InlineScriptDirectiveName = 'script-src-elem' | 'script-src' | 'default-src';
+/** Uma CSP de `headers()` que bloqueia os `<script>` embutidos do App Router. */
+interface NeetruCspInlineScriptBlock {
+    /** `source` da regra de `headers()` (ex.: `'/(.*)'`). */
+    source: string;
+    /** Nome do header como o produto escreveu (ex.: `'Content-Security-Policy'`). */
+    headerKey: string;
+    /** Diretiva efetiva para `<script>` embutido. `default-src` = a CSP não tem `script-src`. */
+    directiveName: InlineScriptDirectiveName;
+    /** A diretiva como está na CSP, espaços normalizados (ex.: `"script-src 'self'"`). */
+    directive: string;
+    /** Linha que resolve, pronta pra colar (ex.: `"script-src 'self' 'unsafe-inline'"`). */
+    suggestion: string;
+    /** `true` quando há `'unsafe-inline'`, mas um hash `'sha…-'` na lista faz o navegador ignorá-lo. */
+    unsafeInlineIgnoredByHash: boolean;
+}
+/**
+ * Checagem pura (sem I/O): lista cada `Content-Security-Policy` do retorno de
+ * `headers()` que bloqueia os `<script>` embutidos do App Router. Lista vazia =
+ * nada a reprovar. Nunca lança — entrada malformada é ignorada (o Next valida).
+ *
+ * - Só `Content-Security-Policy` (sem diferença de maiúscula). `…-Report-Only`
+ *   não bloqueia nada e fica de fora.
+ * - Valor com vírgula = várias políticas no mesmo header; TODAS valem no
+ *   navegador, então cada uma é checada.
+ * - Regras de `/api` e `/_next` ficam de fora (não servem página).
+ */
+declare function findCspInlineScriptBlocks(rules: unknown): NeetruCspInlineScriptBlock[];
+/**
+ * App Router presente? Mesma regra do `findPagesDir` do Next: pasta `app/` na
+ * raiz do projeto, ou `src/app/`. Só Pages Router → `false` (ali o Next não põe
+ * script EXECUTÁVEL embutido — o `__NEXT_DATA__` é `type="application/json"`).
+ */
+declare function hasNextAppRouter(projectDir: string): boolean;
+/**
+ * Lança `NeetruBuildGuardError` se alguma CSP de `headers()` bloquear os
+ * `<script>` embutidos do App Router, com a linha a trocar de cada uma. Não
+ * olha se o app TEM App Router — isso é do `withNeetruBuildGuard`.
+ */
+declare function assertNeetruCspAllowsAppRouterScripts(rules: unknown): void;
 /**
  * Formato mínimo de `next.config.mjs` que o wrapper precisa entender — só
  * o suficiente pra compor a chave `webpack` sem acoplar o SDK ao pacote
@@ -49,6 +100,7 @@ type MinimalWebpackContext = {
 };
 type MinimalNextConfig = Record<string, unknown> & {
     webpack?: (config: unknown, context: MinimalWebpackContext) => unknown;
+    headers?: (...args: unknown[]) => unknown;
     serverExternalPackages?: string[];
     outputFileTracingIncludes?: Record<string, string[]>;
 };
@@ -114,4 +166,4 @@ declare function mergeServerExternalPackages(existing: unknown): string[];
 declare function mergeOutputFileTracingIncludes(existing: unknown, globs: readonly string[]): Record<string, string[]>;
 declare function withNeetruBuildGuard<T extends MinimalNextConfig>(nextConfig: T, options?: WithNeetruBuildGuardOptions): T;
 
-export { NEETRU_SQL_SERVER_EXTERNAL_PACKAGES, NEETRU_SQL_TRACE_INCLUDE_KEY, NeetruBuildGuardError, type NeetruBuildManifest, type WithNeetruBuildGuardOptions, assertNeetruProdBuildEnv, mergeOutputFileTracingIncludes, mergeServerExternalPackages, resolveSqlRuntimeClosure, sqlClosureToTraceGlobs, withNeetruBuildGuard };
+export { NEETRU_SQL_SERVER_EXTERNAL_PACKAGES, NEETRU_SQL_TRACE_INCLUDE_KEY, NeetruBuildGuardError, type NeetruBuildManifest, type NeetruCspInlineScriptBlock, type NeetruHeaderRule, type WithNeetruBuildGuardOptions, assertNeetruCspAllowsAppRouterScripts, assertNeetruProdBuildEnv, findCspInlineScriptBlocks, hasNextAppRouter, mergeOutputFileTracingIncludes, mergeServerExternalPackages, resolveSqlRuntimeClosure, sqlClosureToTraceGlobs, withNeetruBuildGuard };

package/dist/build-guard.d.ts

@@ -36,6 +36,57 @@ declare class NeetruBuildGuardError extends Error {
  * reprova; retorna `void` quando passa.
  */
 declare function assertNeetruProdBuildEnv(resolved: Pick<NeetruBuildManifest, 'builtEnv' | 'productId' | 'oidcClientId'>): void;
+/**
+ * Uma regra de `headers()` do `next.config` (`{ source, headers: [{ key, value }] }`).
+ * Tipada frouxa de propósito: é config de produto, pode vir malformada, e quem
+ * valida o formato é o próprio Next logo depois. O guard só lê.
+ */
+interface NeetruHeaderRule {
+    source?: unknown;
+    headers?: unknown;
+    [key: string]: unknown;
+}
+/** Diretivas que decidem um `<script>` embutido, na ordem de precedência da CSP. */
+type InlineScriptDirectiveName = 'script-src-elem' | 'script-src' | 'default-src';
+/** Uma CSP de `headers()` que bloqueia os `<script>` embutidos do App Router. */
+interface NeetruCspInlineScriptBlock {
+    /** `source` da regra de `headers()` (ex.: `'/(.*)'`). */
+    source: string;
+    /** Nome do header como o produto escreveu (ex.: `'Content-Security-Policy'`). */
+    headerKey: string;
+    /** Diretiva efetiva para `<script>` embutido. `default-src` = a CSP não tem `script-src`. */
+    directiveName: InlineScriptDirectiveName;
+    /** A diretiva como está na CSP, espaços normalizados (ex.: `"script-src 'self'"`). */
+    directive: string;
+    /** Linha que resolve, pronta pra colar (ex.: `"script-src 'self' 'unsafe-inline'"`). */
+    suggestion: string;
+    /** `true` quando há `'unsafe-inline'`, mas um hash `'sha…-'` na lista faz o navegador ignorá-lo. */
+    unsafeInlineIgnoredByHash: boolean;
+}
+/**
+ * Checagem pura (sem I/O): lista cada `Content-Security-Policy` do retorno de
+ * `headers()` que bloqueia os `<script>` embutidos do App Router. Lista vazia =
+ * nada a reprovar. Nunca lança — entrada malformada é ignorada (o Next valida).
+ *
+ * - Só `Content-Security-Policy` (sem diferença de maiúscula). `…-Report-Only`
+ *   não bloqueia nada e fica de fora.
+ * - Valor com vírgula = várias políticas no mesmo header; TODAS valem no
+ *   navegador, então cada uma é checada.
+ * - Regras de `/api` e `/_next` ficam de fora (não servem página).
+ */
+declare function findCspInlineScriptBlocks(rules: unknown): NeetruCspInlineScriptBlock[];
+/**
+ * App Router presente? Mesma regra do `findPagesDir` do Next: pasta `app/` na
+ * raiz do projeto, ou `src/app/`. Só Pages Router → `false` (ali o Next não põe
+ * script EXECUTÁVEL embutido — o `__NEXT_DATA__` é `type="application/json"`).
+ */
+declare function hasNextAppRouter(projectDir: string): boolean;
+/**
+ * Lança `NeetruBuildGuardError` se alguma CSP de `headers()` bloquear os
+ * `<script>` embutidos do App Router, com a linha a trocar de cada uma. Não
+ * olha se o app TEM App Router — isso é do `withNeetruBuildGuard`.
+ */
+declare function assertNeetruCspAllowsAppRouterScripts(rules: unknown): void;
 /**
  * Formato mínimo de `next.config.mjs` que o wrapper precisa entender — só
  * o suficiente pra compor a chave `webpack` sem acoplar o SDK ao pacote
@@ -49,6 +100,7 @@ type MinimalWebpackContext = {
 };
 type MinimalNextConfig = Record<string, unknown> & {
     webpack?: (config: unknown, context: MinimalWebpackContext) => unknown;
+    headers?: (...args: unknown[]) => unknown;
     serverExternalPackages?: string[];
     outputFileTracingIncludes?: Record<string, string[]>;
 };
@@ -114,4 +166,4 @@ declare function mergeServerExternalPackages(existing: unknown): string[];
 declare function mergeOutputFileTracingIncludes(existing: unknown, globs: readonly string[]): Record<string, string[]>;
 declare function withNeetruBuildGuard<T extends MinimalNextConfig>(nextConfig: T, options?: WithNeetruBuildGuardOptions): T;
 
-export { NEETRU_SQL_SERVER_EXTERNAL_PACKAGES, NEETRU_SQL_TRACE_INCLUDE_KEY, NeetruBuildGuardError, type NeetruBuildManifest, type WithNeetruBuildGuardOptions, assertNeetruProdBuildEnv, mergeOutputFileTracingIncludes, mergeServerExternalPackages, resolveSqlRuntimeClosure, sqlClosureToTraceGlobs, withNeetruBuildGuard };
+export { NEETRU_SQL_SERVER_EXTERNAL_PACKAGES, NEETRU_SQL_TRACE_INCLUDE_KEY, NeetruBuildGuardError, type NeetruBuildManifest, type NeetruCspInlineScriptBlock, type NeetruHeaderRule, type WithNeetruBuildGuardOptions, assertNeetruCspAllowsAppRouterScripts, assertNeetruProdBuildEnv, findCspInlineScriptBlocks, hasNextAppRouter, mergeOutputFileTracingIncludes, mergeServerExternalPackages, resolveSqlRuntimeClosure, sqlClosureToTraceGlobs, withNeetruBuildGuard };