@neetru/sdk 3.9.0 → 3.9.1

package/CHANGELOG.md

@@ -7,6 +7,19 @@ and this project adheres to [Semantic Versioning](https://semver.org/spec/v2.0.0
 
 ## [Unreleased]
 
+## [3.9.1] — 2026-10-26 (o build barra a CSP que deixa o App Router em branco)
+
+> **Por que PATCH.** É conserto de defeito (bug_0d2e0087). Atenção: o `next build` de um app com App Router passa a **falhar** quando a CSP do `headers()` bloqueia os scripts inline do Next (sem nonce, sem `'strict-dynamic'` e sem `'unsafe-inline'`). Essa CSP já deixava a página em branco no ar; agora o defeito aparece no build. As funções exportadas novas (`findCspInlineScriptBlocks`, `assertNeetruCspAllowsAppRouterScripts`, `hasNextAppRouter`) só somam.
+
+### Corrigido
+
+- **Deploy com sucesso e página em branco: uma CSP do `next.config` derrubava o App Router e nada no build percebia** (bug_0d2e0087c53945d4a8bc89eb6e3c379a, caso Zelo 2026-10-22). O `headers()` mandava `Content-Security-Policy: ... script-src 'self' ...`, sem `'unsafe-inline'` e sem nonce. O App Router põe `<script>` embutidos em toda página (`self.__next_f.push`, o payload do React Server Components). O navegador bloqueia esses scripts, a hidratação falha na raiz e o React desmonta a árvore. O servidor respondia 200 com o HTML inteiro, a sonda de saúde passava e o deploy ficava `success`.
+  - `withNeetruBuildGuard` agora embrulha o `headers()` do produto. Em app com App Router (pasta `app/` ou `src/app/`, a mesma regra do `findPagesDir` do Next), o `next build` **falha** quando alguma `Content-Security-Policy` bloqueia script embutido. A mensagem, em português, diz qual regra (`source`) e a linha a trocar (`troque: script-src 'self'` / `por: script-src 'self' 'unsafe-inline'`).
+  - Diretiva efetiva na ordem da CSP: `script-src-elem` → `script-src` → `default-src`. Passa com nonce, com `'strict-dynamic'` ou com `'unsafe-inline'`. `'unsafe-inline'` com hash `'sha…-'` ao lado **não** passa, porque o navegador ignora o `'unsafe-inline'` nesse caso.
+  - Não afeta: Pages Router puro, `Content-Security-Policy-Report-Only`, regras de `/api` e `/_next`, e produto sem `headers()` (o guard não cria a chave). Em `next dev` só avisa. `next start` lê o `routes-manifest.json` e não chama `headers()`, então nada muda em runtime.
+  - Regra pura exportada: `findCspInlineScriptBlocks`, `assertNeetruCspAllowsAppRouterScripts`, `hasNextAppRouter`.
+  - Limites: CSP montada no middleware ou em `<meta>` não passa por aqui. `'strict-dynamic'` sem nonce nenhum também bloquearia no navegador, mas passa no guard, como a proposta do bug pede (é a marca da configuração por nonce). Um `'nonce-…'` FIXO no `headers()` também passa no guard e ainda deixa a página em branco: o App Router lê o nonce do header `Content-Security-Policy` da REQUISIÇÃO (que o middleware põe), não da resposta que o `headers()` monta (conferido no `app-render.js` do Next 15.5.28). Esses casos ficam para a sonda pós-deploy do `/` (guarda 2 da proposta), que é do Core/agente e não faz parte desta mudança.
+
 ## [3.9.0] — 2026-10-11 (signOut deixa de falhar em silêncio)
 
 > **Por que MINOR e não PATCH.** O conteúdo é conserto de defeito, mas o tipo

package/README.md

@@ -175,6 +175,16 @@ Grava `.next/neetru-build-manifest.json` com o `NEXT_PUBLIC_NEETRU_ENV`/`_PRODUC
 
 Só disponível via `@neetru/sdk/build-guard` (não o barrel `.`) — é o único módulo do SDK com import estático de `node:fs`/`node:path`, mantido fora do bundle universal de propósito.
 
+**CSP que deixa a página em branco (não publicado ainda).** Em app com App Router (pasta `app/` ou `src/app/`), o guard embrulha o `headers()` do seu `next.config` e **falha o `next build`** se algum `Content-Security-Policy` bloquear script embutido: `script-src` (ou `script-src-elem`; sem os dois, o `default-src`) sem `'unsafe-inline'`, sem nonce e sem `'strict-dynamic'`. O App Router põe `<script>` embutidos em toda página (`self.__next_f.push`); com uma CSP dessas o navegador os bloqueia, a hidratação falha e a tela fica em branco, mesmo com o servidor respondendo 200 (caso Zelo, 2026-10-22). A mensagem de erro diz a linha a trocar:
+
+```
+1) headers() → source "/(.*)" → Content-Security-Policy
+   troque:  script-src 'self'
+   por:     script-src 'self' 'unsafe-inline'
+```
+
+Ficam de fora: Pages Router puro, `Content-Security-Policy-Report-Only`, regras de `/api` e `/_next`, e CSP montada no middleware ou em `<meta>` (o guard só enxerga o `headers()` do `next.config`). Em `next dev` só avisa no terminal.
+
 ## Exemplos por namespace
 
 ### Login OIDC — Authorization Code + PKCE (3.1.3)

package/dist/ai.cjs

@@ -82,7 +82,7 @@ function Z(t, e) {
 }
 function Q() {
   try {
-    return "3.9.0";
+    return "3.9.1";
   } catch {
     return;
   }

package/dist/ai.mjs

@@ -80,7 +80,7 @@ function Z(t, e) {
 }
 function Q() {
   try {
-    return "3.9.0";
+    return "3.9.1";
   } catch {
     return;
   }

package/dist/auth.cjs

@@ -156,7 +156,7 @@ function dr(n, e) {
 }
 function Et() {
   try {
-    return "3.9.0";
+    return "3.9.1";
   } catch {
     return;
   }

package/dist/auth.mjs

@@ -154,7 +154,7 @@ function dr(n, e) {
 }
 function Et() {
   try {
-    return "3.9.0";
+    return "3.9.1";
   } catch {
     return;
   }

package/dist/build-guard.cjs

@@ -1,7 +1,7 @@
 'use strict';
 
-var u = require('fs');
-var a = require('path');
+var a = require('fs');
+var l = require('path');
 
 function _interopNamespace(e) {
   if (e && e.__esModule) return e;
@@ -21,160 +21,264 @@ function _interopNamespace(e) {
   return Object.freeze(n);
 }
 
-var u__namespace = /*#__PURE__*/_interopNamespace(u);
 var a__namespace = /*#__PURE__*/_interopNamespace(a);
+var l__namespace = /*#__PURE__*/_interopNamespace(l);
 
 // src/build-guard.ts
-var l = class extends Error {
-  constructor(n) {
-    super(n), this.name = "NeetruBuildGuardError";
+var p = class extends Error {
+  constructor(t) {
+    super(t), this.name = "NeetruBuildGuardError";
   }
 };
-function p(e) {
+function g(e) {
   return e == null || e.trim() === "";
 }
 function k(e) {
   if (e.builtEnv !== "prod") return;
-  let n = [];
-  if (p(e.oidcClientId) && n.push("NEXT_PUBLIC_NEETRU_OIDC_CLIENT_ID"), p(e.productId) && n.push("NEXT_PUBLIC_NEETRU_PRODUCT_ID"), n.length === 0) return;
-  let t = n.length > 1;
-  throw new l(
+  let t = [];
+  if (g(e.oidcClientId) && t.push("NEXT_PUBLIC_NEETRU_OIDC_CLIENT_ID"), g(e.productId) && t.push("NEXT_PUBLIC_NEETRU_PRODUCT_ID"), t.length === 0) return;
+  let n = t.length > 1;
+  throw new p(
     [
       "[neetru-sdk] BUILD DE PRODU\xC7\xC3O ABORTADO (withNeetruBuildGuard).",
       "",
-      `Vari\xE1ve${t ? "is" : "l"} de ambiente obrigat\xF3ri${t ? "as" : "a"} ausente${t ? "s" : ""}/vazia${t ? "s" : ""} no build de produ\xE7\xE3o (NEXT_PUBLIC_NEETRU_ENV=prod):`,
-      ...n.map((r) => `  \u2022 ${r}`),
+      `Vari\xE1ve${n ? "is" : "l"} de ambiente obrigat\xF3ri${n ? "as" : "a"} ausente${n ? "s" : ""}/vazia${n ? "s" : ""} no build de produ\xE7\xE3o (NEXT_PUBLIC_NEETRU_ENV=prod):`,
+      ...t.map((r) => `  \u2022 ${r}`),
       "",
-      `Sem ${t ? "essas vari\xE1veis" : "essa vari\xE1vel"} o SDK n\xE3o consegue montar o client_id do login OIDC \u2014 o bot\xE3o "Entrar com Neetru" (NeetruLoginButton) N\xC3O redireciona e o login do produto quebra EM SIL\xCANCIO em produ\xE7\xE3o (incidente gestovendas 2026-09-06: workspace recriado perdeu a env var e shippou um build de prod com o client_id vazio).`,
+      `Sem ${n ? "essas vari\xE1veis" : "essa vari\xE1vel"} o SDK n\xE3o consegue montar o client_id do login OIDC \u2014 o bot\xE3o "Entrar com Neetru" (NeetruLoginButton) N\xC3O redireciona e o login do produto quebra EM SIL\xCANCIO em produ\xE7\xE3o (incidente gestovendas 2026-09-06: workspace recriado perdeu a env var e shippou um build de prod com o client_id vazio).`,
       "",
       "Como corrigir \u2014 defina no .env.production do produto (ou no ambiente do build de deploy):",
-      ...n.map((r) => `  ${r}=<valor real vindo do cat\xE1logo do produto no Core>`),
+      ...t.map((r) => `  ${r}=<valor real vindo do cat\xE1logo do produto no Core>`),
       "",
       "dev/workspace N\xC3O exigem essas vari\xE1veis (usam MockAuth/sandbox) \u2014 s\xF3 o build de produ\xE7\xE3o enfor\xE7a."
     ].join(`
 `)
   );
 }
-var f = ["pg", "drizzle-orm"], g = "*";
-function E(e) {
-  return Array.isArray(e) ? e.filter((n) => typeof n == "string") : [];
+var w = [
+  "script-src-elem",
+  "script-src",
+  "default-src"
+], E = /^\/(?:api|_next)(?:\/|$)/, m = /^'sha(?:256|384|512)-/;
+function N(e) {
+  let t = /* @__PURE__ */ new Map();
+  for (let n of e.split(";")) {
+    let r = n.trim().split(/\s+/).filter(Boolean);
+    if (r.length === 0) continue;
+    let o = r[0].toLowerCase();
+    t.has(o) || t.set(o, { raw: r.join(" "), sources: r.slice(1) });
+  }
+  return t;
+}
+function I(e, t) {
+  let n = t.filter((o) => {
+    let s = o.toLowerCase();
+    return s !== "'none'" && !m.test(s);
+  });
+  return n.some((o) => o.toLowerCase() === "'unsafe-inline'") || n.push("'unsafe-inline'"), n.length === 1 && n.unshift("'self'"), `${e === "default-src" ? "script-src" : e} ${n.join(" ")}`;
+}
+function C(e) {
+  let t = N(e), n = w.find((c) => t.has(c));
+  if (!n) return null;
+  let { raw: r, sources: o } = t.get(n), s = o.map((c) => c.toLowerCase());
+  if (s.some((c) => c.startsWith("'nonce-")) || s.includes("'strict-dynamic'")) return null;
+  let i = s.includes("'unsafe-inline'"), u = s.some((c) => m.test(c));
+  return i && !u ? null : {
+    directiveName: n,
+    directive: r,
+    suggestion: I(n, o),
+    unsafeInlineIgnoredByHash: i && u
+  };
+}
+function S(e) {
+  if (!Array.isArray(e)) return [];
+  let t = [];
+  for (let n of e) {
+    if (!n || typeof n != "object") continue;
+    let { source: r, headers: o } = n, s = typeof r == "string" ? r : "";
+    if (!E.test(s) && Array.isArray(o))
+      for (let i of o) {
+        if (!i || typeof i != "object") continue;
+        let { key: u, value: c } = i;
+        if (!(typeof u != "string" || typeof c != "string") && u.trim().toLowerCase() === "content-security-policy")
+          for (let d of c.split(",")) {
+            let f = C(d);
+            f && t.push({ source: s, headerKey: u.trim(), ...f });
+          }
+      }
+  }
+  return t;
+}
+function _(e) {
+  if (typeof e != "string" || e.trim() === "") return false;
+  try {
+    return a__namespace.existsSync(l__namespace.join(e, "app")) || a__namespace.existsSync(l__namespace.join(e, "src", "app"));
+  } catch {
+    return false;
+  }
+}
+function b(e) {
+  let t = S(e);
+  if (t.length === 0) return;
+  let n = [
+    "[neetru-sdk] BUILD ABORTADO (withNeetruBuildGuard): a Content-Security-Policy do headers() do next.config bloqueia os scripts embutidos do App Router.",
+    "",
+    "O App Router p\xF5e <script> embutidos em toda p\xE1gina (self.__next_f.push, com o payload do React Server Components). Com a CSP abaixo o navegador bloqueia esses scripts, a hidrata\xE7\xE3o falha e o React desmonta a \xE1rvore: o servidor responde 200 com o HTML certo e a tela fica EM BRANCO (incidente Zelo 2026-10-22).",
+    "",
+    `Linha${t.length > 1 ? "s" : ""} a trocar no next.config:`
+  ];
+  throw t.forEach((r, o) => {
+    n.push(""), n.push(`${o + 1}) headers() \u2192 source "${r.source}" \u2192 ${r.headerKey}`), r.directiveName === "default-src" ? (n.push(`   a CSP n\xE3o tem script-src, ent\xE3o quem decide os scripts \xE9 o: ${r.directive}`), n.push(`   acrescente:  ${r.suggestion}`)) : (n.push(`   troque:  ${r.directive}`), n.push(`   por:     ${r.suggestion}`), r.unsafeInlineIgnoredByHash && n.push("   (com um hash 'sha\u2026-' na lista, o navegador ignora o 'unsafe-inline' \u2014 por isso o hash sai)"));
+  }), n.push(
+    "",
+    "Sem 'unsafe-inline': use nonce por requisi\xE7\xE3o \u2014 o middleware gera o nonce e manda a CSP com 'nonce-<valor>' 'strict-dynamic' (https://nextjs.org/docs/app/guides/content-security-policy). CSP com nonce ou 'strict-dynamic' passa nesta checagem."
+  ), new p(n.join(`
+`));
+}
+function R(e) {
+  if (_(process.cwd()))
+    try {
+      b(e);
+    } catch (t) {
+      if (t instanceof p && process.env.NODE_ENV === "development") {
+        typeof console < "u" && console.warn(t.message);
+        return;
+      }
+      throw t;
+    }
 }
-function _(e, n, t) {
-  let r = [], o = n;
+var y = ["pg", "drizzle-orm"], h = "*";
+function v(e) {
+  return Array.isArray(e) ? e.filter((t) => typeof t == "string") : [];
+}
+function T(e, t, n) {
+  let r = [], o = t;
   for (; ; ) {
     r.push(o);
-    let i = a__namespace.dirname(o);
-    if (i === o) break;
-    o = i;
+    let s = l__namespace.dirname(o);
+    if (s === o) break;
+    o = s;
   }
-  r.includes(t) || r.push(t);
-  for (let i of r) {
-    let s = a__namespace.join(i, "node_modules", e, "package.json");
+  r.includes(n) || r.push(n);
+  for (let s of r) {
+    let i = l__namespace.join(s, "node_modules", e, "package.json");
     try {
-      if (u__namespace.existsSync(s)) return s;
+      if (a__namespace.existsSync(i)) return i;
     } catch {
     }
   }
   return null;
 }
-function m(e) {
+function B(e) {
   if (typeof e != "string" || e.trim() === "") return [];
-  let n = /* @__PURE__ */ new Set(), t = /* @__PURE__ */ new Set(), r = (o, i) => {
-    if (n.has(o)) return;
-    n.add(o);
-    let s = _(o, i, e);
-    if (!s) return;
+  let t = /* @__PURE__ */ new Set(), n = /* @__PURE__ */ new Set(), r = (o, s) => {
+    if (t.has(o)) return;
     t.add(o);
-    let d;
+    let i = T(o, s, e);
+    if (!i) return;
+    n.add(o);
+    let u;
     try {
-      d = JSON.parse(u__namespace.readFileSync(s, "utf8"));
+      u = JSON.parse(a__namespace.readFileSync(i, "utf8"));
     } catch {
       return;
     }
     let c = {
-      ...d.dependencies ?? {},
-      ...d.optionalDependencies ?? {}
-    }, b = a__namespace.dirname(s);
-    for (let v of Object.keys(c)) r(v, b);
+      ...u.dependencies ?? {},
+      ...u.optionalDependencies ?? {}
+    }, d = l__namespace.dirname(i);
+    for (let f of Object.keys(c)) r(f, d);
   };
   try {
-    for (let o of f) r(o, e);
+    for (let o of y) r(o, e);
   } catch {
     return [];
   }
-  return [...t].sort();
+  return [...n].sort();
 }
-function N(e) {
-  return e.map((n) => `./node_modules/${n}/**`);
+function x(e) {
+  return e.map((t) => `./node_modules/${t}/**`);
 }
-function h(e) {
-  let n = E(e);
-  for (let t of f)
-    n.includes(t) || n.push(t);
-  return n;
+function A(e) {
+  let t = v(e);
+  for (let n of y)
+    t.includes(n) || t.push(n);
+  return t;
 }
-function I(e, n) {
-  let t = {};
+function O(e, t) {
+  let n = {};
   if (e && typeof e == "object" && !Array.isArray(e))
-    for (let [o, i] of Object.entries(e))
-      t[o] = E(i);
-  if (n.length === 0) return t;
-  let r = [...t[g] ?? []];
-  for (let o of n)
+    for (let [o, s] of Object.entries(e))
+      n[o] = v(s);
+  if (t.length === 0) return n;
+  let r = [...n[h] ?? []];
+  for (let o of t)
     r.includes(o) || r.push(o);
-  return t[g] = r, t;
+  return n[h] = r, n;
 }
-function T(e, n = {}) {
-  let t = e.webpack, r = [];
+function P(e, t = {}) {
+  let n = e.webpack, r = e.headers, o = [];
   try {
-    r = N(m(process.cwd()));
+    o = x(B(process.cwd()));
   } catch {
-    r = [];
+    o = [];
   }
   return {
     ...e,
     // `serverExternalPackages` é reforço (não o conserto do caso webpackIgnore);
     // o `outputFileTracingIncludes` computado é o que realmente inclui o closure.
-    serverExternalPackages: h(e.serverExternalPackages),
-    outputFileTracingIncludes: I(
+    serverExternalPackages: A(e.serverExternalPackages),
+    outputFileTracingIncludes: O(
       e.outputFileTracingIncludes,
-      r
+      o
     ),
-    webpack(o, i) {
-      let s = typeof t == "function" ? t(o, i) : o;
+    // CSP x App Router (incidente Zelo 2026-10-22): só embrulha quando o produto
+    // TEM `headers()`. Sem ele não há CSP do next.config a checar, e o config
+    // continua sem a chave (não inventa um `headers` que o Next não pediu).
+    ...typeof r == "function" ? {
+      async headers(...s) {
+        let i = await r.apply(this, s);
+        return R(i), i;
+      }
+    } : {},
+    webpack(s, i) {
+      let u = typeof n == "function" ? n(s, i) : s;
       if (!i.dev && i.isServer) {
-        let d = {
+        let c = {
           builtEnv: process.env.NEXT_PUBLIC_NEETRU_ENV ?? null,
           productId: process.env.NEXT_PUBLIC_NEETRU_PRODUCT_ID ?? null,
           oidcClientId: process.env.NEXT_PUBLIC_NEETRU_OIDC_CLIENT_ID ?? null,
           builtAt: (/* @__PURE__ */ new Date()).toISOString()
         };
         try {
-          let c = a__namespace.resolve(process.cwd(), n.outputDir ?? ".next");
-          u__namespace.mkdirSync(c, { recursive: !0 }), u__namespace.writeFileSync(
-            a__namespace.join(c, "neetru-build-manifest.json"),
-            JSON.stringify(d, null, 2),
+          let d = l__namespace.resolve(process.cwd(), t.outputDir ?? ".next");
+          a__namespace.mkdirSync(d, { recursive: !0 }), a__namespace.writeFileSync(
+            l__namespace.join(d, "neetru-build-manifest.json"),
+            JSON.stringify(c, null, 2),
             "utf8"
           );
-        } catch (c) {
+        } catch (d) {
           typeof console < "u" && console.warn(
             "[neetru-sdk] withNeetruBuildGuard: falha ao gravar neetru-build-manifest.json (ignorado, build segue):",
-            c
+            d
           );
         }
-        k(d);
+        k(c);
       }
-      return s;
+      return u;
     }
   };
 }
 
-exports.NEETRU_SQL_SERVER_EXTERNAL_PACKAGES = f;
-exports.NEETRU_SQL_TRACE_INCLUDE_KEY = g;
-exports.NeetruBuildGuardError = l;
+exports.NEETRU_SQL_SERVER_EXTERNAL_PACKAGES = y;
+exports.NEETRU_SQL_TRACE_INCLUDE_KEY = h;
+exports.NeetruBuildGuardError = p;
+exports.assertNeetruCspAllowsAppRouterScripts = b;
 exports.assertNeetruProdBuildEnv = k;
-exports.mergeOutputFileTracingIncludes = I;
-exports.mergeServerExternalPackages = h;
-exports.resolveSqlRuntimeClosure = m;
-exports.sqlClosureToTraceGlobs = N;
-exports.withNeetruBuildGuard = T;
+exports.findCspInlineScriptBlocks = S;
+exports.hasNextAppRouter = _;
+exports.mergeOutputFileTracingIncludes = O;
+exports.mergeServerExternalPackages = A;
+exports.resolveSqlRuntimeClosure = B;
+exports.sqlClosureToTraceGlobs = x;
+exports.withNeetruBuildGuard = P;

package/dist/build-guard.d.cts

@@ -36,6 +36,57 @@ declare class NeetruBuildGuardError extends Error {
  * reprova; retorna `void` quando passa.
  */
 declare function assertNeetruProdBuildEnv(resolved: Pick<NeetruBuildManifest, 'builtEnv' | 'productId' | 'oidcClientId'>): void;
+/**
+ * Uma regra de `headers()` do `next.config` (`{ source, headers: [{ key, value }] }`).
+ * Tipada frouxa de propósito: é config de produto, pode vir malformada, e quem
+ * valida o formato é o próprio Next logo depois. O guard só lê.
+ */
+interface NeetruHeaderRule {
+    source?: unknown;
+    headers?: unknown;
+    [key: string]: unknown;
+}
+/** Diretivas que decidem um `<script>` embutido, na ordem de precedência da CSP. */
+type InlineScriptDirectiveName = 'script-src-elem' | 'script-src' | 'default-src';
+/** Uma CSP de `headers()` que bloqueia os `<script>` embutidos do App Router. */
+interface NeetruCspInlineScriptBlock {
+    /** `source` da regra de `headers()` (ex.: `'/(.*)'`). */
+    source: string;
+    /** Nome do header como o produto escreveu (ex.: `'Content-Security-Policy'`). */
+    headerKey: string;
+    /** Diretiva efetiva para `<script>` embutido. `default-src` = a CSP não tem `script-src`. */
+    directiveName: InlineScriptDirectiveName;
+    /** A diretiva como está na CSP, espaços normalizados (ex.: `"script-src 'self'"`). */
+    directive: string;
+    /** Linha que resolve, pronta pra colar (ex.: `"script-src 'self' 'unsafe-inline'"`). */
+    suggestion: string;
+    /** `true` quando há `'unsafe-inline'`, mas um hash `'sha…-'` na lista faz o navegador ignorá-lo. */
+    unsafeInlineIgnoredByHash: boolean;
+}
+/**
+ * Checagem pura (sem I/O): lista cada `Content-Security-Policy` do retorno de
+ * `headers()` que bloqueia os `<script>` embutidos do App Router. Lista vazia =
+ * nada a reprovar. Nunca lança — entrada malformada é ignorada (o Next valida).
+ *
+ * - Só `Content-Security-Policy` (sem diferença de maiúscula). `…-Report-Only`
+ *   não bloqueia nada e fica de fora.
+ * - Valor com vírgula = várias políticas no mesmo header; TODAS valem no
+ *   navegador, então cada uma é checada.
+ * - Regras de `/api` e `/_next` ficam de fora (não servem página).
+ */
+declare function findCspInlineScriptBlocks(rules: unknown): NeetruCspInlineScriptBlock[];
+/**
+ * App Router presente? Mesma regra do `findPagesDir` do Next: pasta `app/` na
+ * raiz do projeto, ou `src/app/`. Só Pages Router → `false` (ali o Next não põe
+ * script EXECUTÁVEL embutido — o `__NEXT_DATA__` é `type="application/json"`).
+ */
+declare function hasNextAppRouter(projectDir: string): boolean;
+/**
+ * Lança `NeetruBuildGuardError` se alguma CSP de `headers()` bloquear os
+ * `<script>` embutidos do App Router, com a linha a trocar de cada uma. Não
+ * olha se o app TEM App Router — isso é do `withNeetruBuildGuard`.
+ */
+declare function assertNeetruCspAllowsAppRouterScripts(rules: unknown): void;
 /**
  * Formato mínimo de `next.config.mjs` que o wrapper precisa entender — só
  * o suficiente pra compor a chave `webpack` sem acoplar o SDK ao pacote
@@ -49,6 +100,7 @@ type MinimalWebpackContext = {
 };
 type MinimalNextConfig = Record<string, unknown> & {
     webpack?: (config: unknown, context: MinimalWebpackContext) => unknown;
+    headers?: (...args: unknown[]) => unknown;
     serverExternalPackages?: string[];
     outputFileTracingIncludes?: Record<string, string[]>;
 };
@@ -114,4 +166,4 @@ declare function mergeServerExternalPackages(existing: unknown): string[];
 declare function mergeOutputFileTracingIncludes(existing: unknown, globs: readonly string[]): Record<string, string[]>;
 declare function withNeetruBuildGuard<T extends MinimalNextConfig>(nextConfig: T, options?: WithNeetruBuildGuardOptions): T;
 
-export { NEETRU_SQL_SERVER_EXTERNAL_PACKAGES, NEETRU_SQL_TRACE_INCLUDE_KEY, NeetruBuildGuardError, type NeetruBuildManifest, type WithNeetruBuildGuardOptions, assertNeetruProdBuildEnv, mergeOutputFileTracingIncludes, mergeServerExternalPackages, resolveSqlRuntimeClosure, sqlClosureToTraceGlobs, withNeetruBuildGuard };
+export { NEETRU_SQL_SERVER_EXTERNAL_PACKAGES, NEETRU_SQL_TRACE_INCLUDE_KEY, NeetruBuildGuardError, type NeetruBuildManifest, type NeetruCspInlineScriptBlock, type NeetruHeaderRule, type WithNeetruBuildGuardOptions, assertNeetruCspAllowsAppRouterScripts, assertNeetruProdBuildEnv, findCspInlineScriptBlocks, hasNextAppRouter, mergeOutputFileTracingIncludes, mergeServerExternalPackages, resolveSqlRuntimeClosure, sqlClosureToTraceGlobs, withNeetruBuildGuard };

package/dist/build-guard.d.ts

@@ -36,6 +36,57 @@ declare class NeetruBuildGuardError extends Error {
  * reprova; retorna `void` quando passa.
  */
 declare function assertNeetruProdBuildEnv(resolved: Pick<NeetruBuildManifest, 'builtEnv' | 'productId' | 'oidcClientId'>): void;
+/**
+ * Uma regra de `headers()` do `next.config` (`{ source, headers: [{ key, value }] }`).
+ * Tipada frouxa de propósito: é config de produto, pode vir malformada, e quem
+ * valida o formato é o próprio Next logo depois. O guard só lê.
+ */
+interface NeetruHeaderRule {
+    source?: unknown;
+    headers?: unknown;
+    [key: string]: unknown;
+}
+/** Diretivas que decidem um `<script>` embutido, na ordem de precedência da CSP. */
+type InlineScriptDirectiveName = 'script-src-elem' | 'script-src' | 'default-src';
+/** Uma CSP de `headers()` que bloqueia os `<script>` embutidos do App Router. */
+interface NeetruCspInlineScriptBlock {
+    /** `source` da regra de `headers()` (ex.: `'/(.*)'`). */
+    source: string;
+    /** Nome do header como o produto escreveu (ex.: `'Content-Security-Policy'`). */
+    headerKey: string;
+    /** Diretiva efetiva para `<script>` embutido. `default-src` = a CSP não tem `script-src`. */
+    directiveName: InlineScriptDirectiveName;
+    /** A diretiva como está na CSP, espaços normalizados (ex.: `"script-src 'self'"`). */
+    directive: string;
+    /** Linha que resolve, pronta pra colar (ex.: `"script-src 'self' 'unsafe-inline'"`). */
+    suggestion: string;
+    /** `true` quando há `'unsafe-inline'`, mas um hash `'sha…-'` na lista faz o navegador ignorá-lo. */
+    unsafeInlineIgnoredByHash: boolean;
+}
+/**
+ * Checagem pura (sem I/O): lista cada `Content-Security-Policy` do retorno de
+ * `headers()` que bloqueia os `<script>` embutidos do App Router. Lista vazia =
+ * nada a reprovar. Nunca lança — entrada malformada é ignorada (o Next valida).
+ *
+ * - Só `Content-Security-Policy` (sem diferença de maiúscula). `…-Report-Only`
+ *   não bloqueia nada e fica de fora.
+ * - Valor com vírgula = várias políticas no mesmo header; TODAS valem no
+ *   navegador, então cada uma é checada.
+ * - Regras de `/api` e `/_next` ficam de fora (não servem página).
+ */
+declare function findCspInlineScriptBlocks(rules: unknown): NeetruCspInlineScriptBlock[];
+/**
+ * App Router presente? Mesma regra do `findPagesDir` do Next: pasta `app/` na
+ * raiz do projeto, ou `src/app/`. Só Pages Router → `false` (ali o Next não põe
+ * script EXECUTÁVEL embutido — o `__NEXT_DATA__` é `type="application/json"`).
+ */
+declare function hasNextAppRouter(projectDir: string): boolean;
+/**
+ * Lança `NeetruBuildGuardError` se alguma CSP de `headers()` bloquear os
+ * `<script>` embutidos do App Router, com a linha a trocar de cada uma. Não
+ * olha se o app TEM App Router — isso é do `withNeetruBuildGuard`.
+ */
+declare function assertNeetruCspAllowsAppRouterScripts(rules: unknown): void;
 /**
  * Formato mínimo de `next.config.mjs` que o wrapper precisa entender — só
  * o suficiente pra compor a chave `webpack` sem acoplar o SDK ao pacote
@@ -49,6 +100,7 @@ type MinimalWebpackContext = {
 };
 type MinimalNextConfig = Record<string, unknown> & {
     webpack?: (config: unknown, context: MinimalWebpackContext) => unknown;
+    headers?: (...args: unknown[]) => unknown;
     serverExternalPackages?: string[];
     outputFileTracingIncludes?: Record<string, string[]>;
 };
@@ -114,4 +166,4 @@ declare function mergeServerExternalPackages(existing: unknown): string[];
 declare function mergeOutputFileTracingIncludes(existing: unknown, globs: readonly string[]): Record<string, string[]>;
 declare function withNeetruBuildGuard<T extends MinimalNextConfig>(nextConfig: T, options?: WithNeetruBuildGuardOptions): T;
 
-export { NEETRU_SQL_SERVER_EXTERNAL_PACKAGES, NEETRU_SQL_TRACE_INCLUDE_KEY, NeetruBuildGuardError, type NeetruBuildManifest, type WithNeetruBuildGuardOptions, assertNeetruProdBuildEnv, mergeOutputFileTracingIncludes, mergeServerExternalPackages, resolveSqlRuntimeClosure, sqlClosureToTraceGlobs, withNeetruBuildGuard };
+export { NEETRU_SQL_SERVER_EXTERNAL_PACKAGES, NEETRU_SQL_TRACE_INCLUDE_KEY, NeetruBuildGuardError, type NeetruBuildManifest, type NeetruCspInlineScriptBlock, type NeetruHeaderRule, type WithNeetruBuildGuardOptions, assertNeetruCspAllowsAppRouterScripts, assertNeetruProdBuildEnv, findCspInlineScriptBlocks, hasNextAppRouter, mergeOutputFileTracingIncludes, mergeServerExternalPackages, resolveSqlRuntimeClosure, sqlClosureToTraceGlobs, withNeetruBuildGuard };

package/dist/build-guard.mjs

@@ -1,149 +1,250 @@
-import * as u from 'fs';
-import * as a from 'path';
+import * as a from 'fs';
+import * as l from 'path';
 
 // src/build-guard.ts
-var l = class extends Error {
-  constructor(n) {
-    super(n), this.name = "NeetruBuildGuardError";
+var p = class extends Error {
+  constructor(t) {
+    super(t), this.name = "NeetruBuildGuardError";
   }
 };
-function p(e) {
+function g(e) {
   return e == null || e.trim() === "";
 }
 function k(e) {
   if (e.builtEnv !== "prod") return;
-  let n = [];
-  if (p(e.oidcClientId) && n.push("NEXT_PUBLIC_NEETRU_OIDC_CLIENT_ID"), p(e.productId) && n.push("NEXT_PUBLIC_NEETRU_PRODUCT_ID"), n.length === 0) return;
-  let t = n.length > 1;
-  throw new l(
+  let t = [];
+  if (g(e.oidcClientId) && t.push("NEXT_PUBLIC_NEETRU_OIDC_CLIENT_ID"), g(e.productId) && t.push("NEXT_PUBLIC_NEETRU_PRODUCT_ID"), t.length === 0) return;
+  let n = t.length > 1;
+  throw new p(
     [
       "[neetru-sdk] BUILD DE PRODU\xC7\xC3O ABORTADO (withNeetruBuildGuard).",
       "",
-      `Vari\xE1ve${t ? "is" : "l"} de ambiente obrigat\xF3ri${t ? "as" : "a"} ausente${t ? "s" : ""}/vazia${t ? "s" : ""} no build de produ\xE7\xE3o (NEXT_PUBLIC_NEETRU_ENV=prod):`,
-      ...n.map((r) => `  \u2022 ${r}`),
+      `Vari\xE1ve${n ? "is" : "l"} de ambiente obrigat\xF3ri${n ? "as" : "a"} ausente${n ? "s" : ""}/vazia${n ? "s" : ""} no build de produ\xE7\xE3o (NEXT_PUBLIC_NEETRU_ENV=prod):`,
+      ...t.map((r) => `  \u2022 ${r}`),
       "",
-      `Sem ${t ? "essas vari\xE1veis" : "essa vari\xE1vel"} o SDK n\xE3o consegue montar o client_id do login OIDC \u2014 o bot\xE3o "Entrar com Neetru" (NeetruLoginButton) N\xC3O redireciona e o login do produto quebra EM SIL\xCANCIO em produ\xE7\xE3o (incidente gestovendas 2026-09-06: workspace recriado perdeu a env var e shippou um build de prod com o client_id vazio).`,
+      `Sem ${n ? "essas vari\xE1veis" : "essa vari\xE1vel"} o SDK n\xE3o consegue montar o client_id do login OIDC \u2014 o bot\xE3o "Entrar com Neetru" (NeetruLoginButton) N\xC3O redireciona e o login do produto quebra EM SIL\xCANCIO em produ\xE7\xE3o (incidente gestovendas 2026-09-06: workspace recriado perdeu a env var e shippou um build de prod com o client_id vazio).`,
       "",
       "Como corrigir \u2014 defina no .env.production do produto (ou no ambiente do build de deploy):",
-      ...n.map((r) => `  ${r}=<valor real vindo do cat\xE1logo do produto no Core>`),
+      ...t.map((r) => `  ${r}=<valor real vindo do cat\xE1logo do produto no Core>`),
       "",
       "dev/workspace N\xC3O exigem essas vari\xE1veis (usam MockAuth/sandbox) \u2014 s\xF3 o build de produ\xE7\xE3o enfor\xE7a."
     ].join(`
 `)
   );
 }
-var f = ["pg", "drizzle-orm"], g = "*";
-function E(e) {
-  return Array.isArray(e) ? e.filter((n) => typeof n == "string") : [];
+var w = [
+  "script-src-elem",
+  "script-src",
+  "default-src"
+], E = /^\/(?:api|_next)(?:\/|$)/, m = /^'sha(?:256|384|512)-/;
+function N(e) {
+  let t = /* @__PURE__ */ new Map();
+  for (let n of e.split(";")) {
+    let r = n.trim().split(/\s+/).filter(Boolean);
+    if (r.length === 0) continue;
+    let o = r[0].toLowerCase();
+    t.has(o) || t.set(o, { raw: r.join(" "), sources: r.slice(1) });
+  }
+  return t;
+}
+function I(e, t) {
+  let n = t.filter((o) => {
+    let s = o.toLowerCase();
+    return s !== "'none'" && !m.test(s);
+  });
+  return n.some((o) => o.toLowerCase() === "'unsafe-inline'") || n.push("'unsafe-inline'"), n.length === 1 && n.unshift("'self'"), `${e === "default-src" ? "script-src" : e} ${n.join(" ")}`;
+}
+function C(e) {
+  let t = N(e), n = w.find((c) => t.has(c));
+  if (!n) return null;
+  let { raw: r, sources: o } = t.get(n), s = o.map((c) => c.toLowerCase());
+  if (s.some((c) => c.startsWith("'nonce-")) || s.includes("'strict-dynamic'")) return null;
+  let i = s.includes("'unsafe-inline'"), u = s.some((c) => m.test(c));
+  return i && !u ? null : {
+    directiveName: n,
+    directive: r,
+    suggestion: I(n, o),
+    unsafeInlineIgnoredByHash: i && u
+  };
+}
+function S(e) {
+  if (!Array.isArray(e)) return [];
+  let t = [];
+  for (let n of e) {
+    if (!n || typeof n != "object") continue;
+    let { source: r, headers: o } = n, s = typeof r == "string" ? r : "";
+    if (!E.test(s) && Array.isArray(o))
+      for (let i of o) {
+        if (!i || typeof i != "object") continue;
+        let { key: u, value: c } = i;
+        if (!(typeof u != "string" || typeof c != "string") && u.trim().toLowerCase() === "content-security-policy")
+          for (let d of c.split(",")) {
+            let f = C(d);
+            f && t.push({ source: s, headerKey: u.trim(), ...f });
+          }
+      }
+  }
+  return t;
+}
+function _(e) {
+  if (typeof e != "string" || e.trim() === "") return false;
+  try {
+    return a.existsSync(l.join(e, "app")) || a.existsSync(l.join(e, "src", "app"));
+  } catch {
+    return false;
+  }
+}
+function b(e) {
+  let t = S(e);
+  if (t.length === 0) return;
+  let n = [
+    "[neetru-sdk] BUILD ABORTADO (withNeetruBuildGuard): a Content-Security-Policy do headers() do next.config bloqueia os scripts embutidos do App Router.",
+    "",
+    "O App Router p\xF5e <script> embutidos em toda p\xE1gina (self.__next_f.push, com o payload do React Server Components). Com a CSP abaixo o navegador bloqueia esses scripts, a hidrata\xE7\xE3o falha e o React desmonta a \xE1rvore: o servidor responde 200 com o HTML certo e a tela fica EM BRANCO (incidente Zelo 2026-10-22).",
+    "",
+    `Linha${t.length > 1 ? "s" : ""} a trocar no next.config:`
+  ];
+  throw t.forEach((r, o) => {
+    n.push(""), n.push(`${o + 1}) headers() \u2192 source "${r.source}" \u2192 ${r.headerKey}`), r.directiveName === "default-src" ? (n.push(`   a CSP n\xE3o tem script-src, ent\xE3o quem decide os scripts \xE9 o: ${r.directive}`), n.push(`   acrescente:  ${r.suggestion}`)) : (n.push(`   troque:  ${r.directive}`), n.push(`   por:     ${r.suggestion}`), r.unsafeInlineIgnoredByHash && n.push("   (com um hash 'sha\u2026-' na lista, o navegador ignora o 'unsafe-inline' \u2014 por isso o hash sai)"));
+  }), n.push(
+    "",
+    "Sem 'unsafe-inline': use nonce por requisi\xE7\xE3o \u2014 o middleware gera o nonce e manda a CSP com 'nonce-<valor>' 'strict-dynamic' (https://nextjs.org/docs/app/guides/content-security-policy). CSP com nonce ou 'strict-dynamic' passa nesta checagem."
+  ), new p(n.join(`
+`));
+}
+function R(e) {
+  if (_(process.cwd()))
+    try {
+      b(e);
+    } catch (t) {
+      if (t instanceof p && process.env.NODE_ENV === "development") {
+        typeof console < "u" && console.warn(t.message);
+        return;
+      }
+      throw t;
+    }
 }
-function _(e, n, t) {
-  let r = [], o = n;
+var y = ["pg", "drizzle-orm"], h = "*";
+function v(e) {
+  return Array.isArray(e) ? e.filter((t) => typeof t == "string") : [];
+}
+function T(e, t, n) {
+  let r = [], o = t;
   for (; ; ) {
     r.push(o);
-    let i = a.dirname(o);
-    if (i === o) break;
-    o = i;
+    let s = l.dirname(o);
+    if (s === o) break;
+    o = s;
   }
-  r.includes(t) || r.push(t);
-  for (let i of r) {
-    let s = a.join(i, "node_modules", e, "package.json");
+  r.includes(n) || r.push(n);
+  for (let s of r) {
+    let i = l.join(s, "node_modules", e, "package.json");
     try {
-      if (u.existsSync(s)) return s;
+      if (a.existsSync(i)) return i;
     } catch {
     }
   }
   return null;
 }
-function m(e) {
+function B(e) {
   if (typeof e != "string" || e.trim() === "") return [];
-  let n = /* @__PURE__ */ new Set(), t = /* @__PURE__ */ new Set(), r = (o, i) => {
-    if (n.has(o)) return;
-    n.add(o);
-    let s = _(o, i, e);
-    if (!s) return;
+  let t = /* @__PURE__ */ new Set(), n = /* @__PURE__ */ new Set(), r = (o, s) => {
+    if (t.has(o)) return;
     t.add(o);
-    let d;
+    let i = T(o, s, e);
+    if (!i) return;
+    n.add(o);
+    let u;
     try {
-      d = JSON.parse(u.readFileSync(s, "utf8"));
+      u = JSON.parse(a.readFileSync(i, "utf8"));
     } catch {
       return;
     }
     let c = {
-      ...d.dependencies ?? {},
-      ...d.optionalDependencies ?? {}
-    }, b = a.dirname(s);
-    for (let v of Object.keys(c)) r(v, b);
+      ...u.dependencies ?? {},
+      ...u.optionalDependencies ?? {}
+    }, d = l.dirname(i);
+    for (let f of Object.keys(c)) r(f, d);
   };
   try {
-    for (let o of f) r(o, e);
+    for (let o of y) r(o, e);
   } catch {
     return [];
   }
-  return [...t].sort();
+  return [...n].sort();
 }
-function N(e) {
-  return e.map((n) => `./node_modules/${n}/**`);
+function x(e) {
+  return e.map((t) => `./node_modules/${t}/**`);
 }
-function h(e) {
-  let n = E(e);
-  for (let t of f)
-    n.includes(t) || n.push(t);
-  return n;
+function A(e) {
+  let t = v(e);
+  for (let n of y)
+    t.includes(n) || t.push(n);
+  return t;
 }
-function I(e, n) {
-  let t = {};
+function O(e, t) {
+  let n = {};
   if (e && typeof e == "object" && !Array.isArray(e))
-    for (let [o, i] of Object.entries(e))
-      t[o] = E(i);
-  if (n.length === 0) return t;
-  let r = [...t[g] ?? []];
-  for (let o of n)
+    for (let [o, s] of Object.entries(e))
+      n[o] = v(s);
+  if (t.length === 0) return n;
+  let r = [...n[h] ?? []];
+  for (let o of t)
     r.includes(o) || r.push(o);
-  return t[g] = r, t;
+  return n[h] = r, n;
 }
-function T(e, n = {}) {
-  let t = e.webpack, r = [];
+function P(e, t = {}) {
+  let n = e.webpack, r = e.headers, o = [];
   try {
-    r = N(m(process.cwd()));
+    o = x(B(process.cwd()));
   } catch {
-    r = [];
+    o = [];
   }
   return {
     ...e,
     // `serverExternalPackages` é reforço (não o conserto do caso webpackIgnore);
     // o `outputFileTracingIncludes` computado é o que realmente inclui o closure.
-    serverExternalPackages: h(e.serverExternalPackages),
-    outputFileTracingIncludes: I(
+    serverExternalPackages: A(e.serverExternalPackages),
+    outputFileTracingIncludes: O(
       e.outputFileTracingIncludes,
-      r
+      o
     ),
-    webpack(o, i) {
-      let s = typeof t == "function" ? t(o, i) : o;
+    // CSP x App Router (incidente Zelo 2026-10-22): só embrulha quando o produto
+    // TEM `headers()`. Sem ele não há CSP do next.config a checar, e o config
+    // continua sem a chave (não inventa um `headers` que o Next não pediu).
+    ...typeof r == "function" ? {
+      async headers(...s) {
+        let i = await r.apply(this, s);
+        return R(i), i;
+      }
+    } : {},
+    webpack(s, i) {
+      let u = typeof n == "function" ? n(s, i) : s;
       if (!i.dev && i.isServer) {
-        let d = {
+        let c = {
           builtEnv: process.env.NEXT_PUBLIC_NEETRU_ENV ?? null,
           productId: process.env.NEXT_PUBLIC_NEETRU_PRODUCT_ID ?? null,
           oidcClientId: process.env.NEXT_PUBLIC_NEETRU_OIDC_CLIENT_ID ?? null,
           builtAt: (/* @__PURE__ */ new Date()).toISOString()
         };
         try {
-          let c = a.resolve(process.cwd(), n.outputDir ?? ".next");
-          u.mkdirSync(c, { recursive: !0 }), u.writeFileSync(
-            a.join(c, "neetru-build-manifest.json"),
-            JSON.stringify(d, null, 2),
+          let d = l.resolve(process.cwd(), t.outputDir ?? ".next");
+          a.mkdirSync(d, { recursive: !0 }), a.writeFileSync(
+            l.join(d, "neetru-build-manifest.json"),
+            JSON.stringify(c, null, 2),
             "utf8"
           );
-        } catch (c) {
+        } catch (d) {
           typeof console < "u" && console.warn(
             "[neetru-sdk] withNeetruBuildGuard: falha ao gravar neetru-build-manifest.json (ignorado, build segue):",
-            c
+            d
           );
         }
-        k(d);
+        k(c);
       }
-      return s;
+      return u;
     }
   };
 }
 
-export { f as NEETRU_SQL_SERVER_EXTERNAL_PACKAGES, g as NEETRU_SQL_TRACE_INCLUDE_KEY, l as NeetruBuildGuardError, k as assertNeetruProdBuildEnv, I as mergeOutputFileTracingIncludes, h as mergeServerExternalPackages, m as resolveSqlRuntimeClosure, N as sqlClosureToTraceGlobs, T as withNeetruBuildGuard };
+export { y as NEETRU_SQL_SERVER_EXTERNAL_PACKAGES, h as NEETRU_SQL_TRACE_INCLUDE_KEY, p as NeetruBuildGuardError, b as assertNeetruCspAllowsAppRouterScripts, k as assertNeetruProdBuildEnv, S as findCspInlineScriptBlocks, _ as hasNextAppRouter, O as mergeOutputFileTracingIncludes, A as mergeServerExternalPackages, B as resolveSqlRuntimeClosure, x as sqlClosureToTraceGlobs, P as withNeetruBuildGuard };

package/dist/catalog.cjs

@@ -108,7 +108,7 @@ function G(t, e) {
 }
 function M() {
   try {
-    return "3.9.0";
+    return "3.9.1";
   } catch {
     return;
   }

package/dist/catalog.mjs

@@ -106,7 +106,7 @@ function G(t, e) {
 }
 function M() {
   try {
-    return "3.9.0";
+    return "3.9.1";
   } catch {
     return;
   }

package/dist/checkout.cjs

@@ -108,7 +108,7 @@ function F(t, e) {
 }
 function M() {
   try {
-    return "3.9.0";
+    return "3.9.1";
   } catch {
     return;
   }

package/dist/checkout.mjs

@@ -106,7 +106,7 @@ function F(t, e) {
 }
 function M() {
   try {
-    return "3.9.0";
+    return "3.9.1";
   } catch {
     return;
   }

package/dist/db.cjs

@@ -152,7 +152,7 @@ function kt(r, e) {
 }
 function qe() {
   try {
-    return "3.9.0";
+    return "3.9.1";
   } catch {
     return;
   }

package/dist/db.mjs

@@ -150,7 +150,7 @@ function kt(r, e) {
 }
 function qe() {
   try {
-    return "3.9.0";
+    return "3.9.1";
   } catch {
     return;
   }

package/dist/index.cjs

@@ -156,7 +156,7 @@ function kr(n, e) {
 }
 function Ut() {
   try {
-    return "3.9.0";
+    return "3.9.1";
   } catch {
     return;
   }
@@ -6927,7 +6927,7 @@ function pi(n) {
 
 // src/index.ts
 ve();
-var Wa = "3.9.0";
+var Wa = "3.9.1";
 
 exports.DEFAULT_BASE_URL = We;
 exports.DEV_FIXTURE_USER = qe;

package/dist/index.d.cts

@@ -246,6 +246,6 @@ declare function detectNonServerRuntime(): NonServerRuntime | null;
  */
 
 /** Versão do SDK — exportada explicitamente pra detecção em runtime. */
-declare const VERSION: "3.9.0";
+declare const VERSION: "3.9.1";
 
 export { type AuthenticateProductRequestOptions, type HeadersSource, NEETRU_OIDC_ISSUER, type NonServerRuntime, type ProductRequestAuth, VERSION, type VerifiedAccessToken, type VerifyAccessTokenOptions, accessTokenErrorToHttp, authenticateProductRequest, checkCoreVersionCompat, detectNonServerRuntime, readBearerToken, readCookie, verifyAccessToken };

package/dist/index.d.ts

@@ -246,6 +246,6 @@ declare function detectNonServerRuntime(): NonServerRuntime | null;
  */
 
 /** Versão do SDK — exportada explicitamente pra detecção em runtime. */
-declare const VERSION: "3.9.0";
+declare const VERSION: "3.9.1";
 
 export { type AuthenticateProductRequestOptions, type HeadersSource, NEETRU_OIDC_ISSUER, type NonServerRuntime, type ProductRequestAuth, VERSION, type VerifiedAccessToken, type VerifyAccessTokenOptions, accessTokenErrorToHttp, authenticateProductRequest, checkCoreVersionCompat, detectNonServerRuntime, readBearerToken, readCookie, verifyAccessToken };

package/dist/index.mjs

@@ -154,7 +154,7 @@ function kr(n, e) {
 }
 function Ut() {
   try {
-    return "3.9.0";
+    return "3.9.1";
   } catch {
     return;
   }
@@ -6925,6 +6925,6 @@ function pi(n) {
 
 // src/index.ts
 ve();
-var Wa = "3.9.0";
+var Wa = "3.9.1";
 
 export { We as DEFAULT_BASE_URL, qe as DEV_FIXTURE_USER, me as MockAi, de as MockAuth, Oe as MockCheckout, ut as MockDb, fe as MockEntitlements, le as MockNotifications, pe as MockSupport, ue as MockUsage, ce as MockWebhooks, ir as NEETRU_OIDC_ISSUER, Qe as NEETRU_SENTINEL_KEY, $ as NeetruAuthRequiredError, v as NeetruDbError, c as NeetruError, Wa as VERSION, pi as accessTokenErrorToHttp, ui as authenticateProductRequest, ne as checkCoreVersionCompat, dt as createAiNamespace, st as createCheckoutNamespace, rr as createNeetruClient, ot as createNeetruDb, lt as createNotificationsNamespace, at as createWebhooksNamespace, J as detectNonServerRuntime, ci as getServerNeetruClient, Xr as increment, Q as isFieldSentinel, en as isIncrementSentinel, Zt as isServerTimestampSentinel, lr as readBearerToken, dr as readCookie, Jr as serverTimestamp, ar as verifyAccessToken, Lo as verifyWebhookRequest, wn as verifyWebhookSignature };

package/dist/notifications.cjs

@@ -108,7 +108,7 @@ function Y(t, e) {
 }
 function q() {
   try {
-    return "3.9.0";
+    return "3.9.1";
   } catch {
     return;
   }

package/dist/notifications.mjs

@@ -106,7 +106,7 @@ function Y(t, e) {
 }
 function q() {
   try {
-    return "3.9.0";
+    return "3.9.1";
   } catch {
     return;
   }

package/dist/support.cjs

@@ -112,7 +112,7 @@ function Q(e, t) {
 }
 function $() {
   try {
-    return "3.9.0";
+    return "3.9.1";
   } catch {
     return;
   }

package/dist/support.mjs

@@ -110,7 +110,7 @@ function Q(e, t) {
 }
 function $() {
   try {
-    return "3.9.0";
+    return "3.9.1";
   } catch {
     return;
   }

package/dist/telemetry.cjs

@@ -108,7 +108,7 @@ function B(e, t) {
 }
 function P() {
   try {
-    return "3.9.0";
+    return "3.9.1";
   } catch {
     return;
   }

package/dist/telemetry.mjs

@@ -106,7 +106,7 @@ function B(e, t) {
 }
 function P() {
   try {
-    return "3.9.0";
+    return "3.9.1";
   } catch {
     return;
   }

package/dist/usage.cjs

@@ -108,7 +108,7 @@ function V(e, t) {
 }
 function q() {
   try {
-    return "3.9.0";
+    return "3.9.1";
   } catch {
     return;
   }

package/dist/usage.mjs

@@ -106,7 +106,7 @@ function V(e, t) {
 }
 function q() {
   try {
-    return "3.9.0";
+    return "3.9.1";
   } catch {
     return;
   }

package/dist/webhooks.cjs

@@ -108,7 +108,7 @@ function X(t, e) {
 }
 function $() {
   try {
-    return "3.9.0";
+    return "3.9.1";
   } catch {
     return;
   }

package/dist/webhooks.mjs

@@ -106,7 +106,7 @@ function X(t, e) {
 }
 function $() {
   try {
-    return "3.9.0";
+    return "3.9.1";
   } catch {
     return;
   }

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@neetru/sdk",
-  "version": "3.9.0",
+  "version": "3.9.1",
   "description": "Neetru SDK 3.0 — biblioteca runtime universal (browser/Node/Edge) para consumir o ecossistema Neetru. Paths canonical /api/sdk/v1/*, productId obrigatório, Idempotency-Key em mutations, WebCrypto signatures, baseUrl allowlist fail-closed.",
   "type": "module",
   "main": "./dist/index.cjs",