forlogic-core 2.2.1 → 2.2.2

package/dist/mind-map/components/MindMap.d.ts

@@ -0,0 +1,23 @@
+import * as React from 'react';
+import type { MindMapNode, MindMapProps } from '../types';
+/**
+ * Componente de mapa mental controlado/uncontrolled inspirado no FreeMind.
+ *
+ * @example
+ * ```tsx
+ * <MindMap defaultValue={{ id: 'root', text: 'Ideia Central' }} />
+ * ```
+ *
+ * Atalhos:
+ * - `Enter` cria um nó irmão
+ * - `Insert` ou `Tab` cria um filho
+ * - `Delete` remove o nó (e descendentes)
+ * - `F2` renomeia
+ * - `Espaço` colapsa/expande
+ * - `Ctrl+Z` / `Ctrl+Shift+Z` undo/redo
+ * - Setas para navegar
+ *
+ * Pan: arrastar o fundo. Zoom: `Ctrl/⌘ + scroll` ou botões da toolbar.
+ */
+export declare const MindMap: React.FC<MindMapProps>;
+export type { MindMapNode, MindMapProps };

package/dist/mind-map/components/MindMapConnection.d.ts

@@ -0,0 +1,12 @@
+import * as React from 'react';
+import type { MindMapLayoutNode } from '../types';
+interface MindMapConnectionProps {
+    parent: MindMapLayoutNode;
+    child: MindMapLayoutNode;
+}
+/**
+ * Renderiza uma curva Bézier conectando o pai a um filho. Usa coordenadas
+ * absolutas dentro do `<svg>` do canvas.
+ */
+export declare const MindMapConnection: React.FC<MindMapConnectionProps>;
+export {};

package/dist/mind-map/components/MindMapNodeView.d.ts

@@ -0,0 +1,24 @@
+import * as React from 'react';
+import type { MindMapLayoutNode, MindMapNode } from '../types';
+interface MindMapNodeViewProps {
+    layout: MindMapLayoutNode;
+    selected: boolean;
+    editing: boolean;
+    readOnly: boolean;
+    onSelect: () => void;
+    onStartEditing: () => void;
+    onFinishEditing: (newText: string | null) => void;
+    onToggle: () => void;
+    onDragStart?: (e: React.DragEvent) => void;
+    onDragOver?: (e: React.DragEvent) => void;
+    onDragLeave?: (e: React.DragEvent) => void;
+    onDrop?: (e: React.DragEvent) => void;
+    isDropTarget?: boolean;
+    renderNodeContent?: (node: MindMapNode) => React.ReactNode;
+}
+/**
+ * Renderiza a "caixa" de um nó do mapa mental: ícone opcional, texto, indicador
+ * de filhos colapsados e tooltip de nota.
+ */
+export declare const MindMapNodeView: React.FC<MindMapNodeViewProps>;
+export {};

package/dist/mind-map/components/MindMapToolbar.d.ts

@@ -0,0 +1,26 @@
+import * as React from 'react';
+interface MindMapToolbarProps {
+    canAddChild: boolean;
+    canAddSibling: boolean;
+    canDelete: boolean;
+    canUndo: boolean;
+    canRedo: boolean;
+    onAddChild: () => void;
+    onAddSibling: () => void;
+    onDelete: () => void;
+    onExpandAll: () => void;
+    onCollapseAll: () => void;
+    onFit: () => void;
+    onZoomIn: () => void;
+    onZoomOut: () => void;
+    onUndo: () => void;
+    onRedo: () => void;
+    onExportJson: () => void;
+    onExportImage: () => void;
+}
+/**
+ * Toolbar superior do MindMap. Botões agrupados por função: edição, visualização,
+ * histórico e exportação.
+ */
+export declare const MindMapToolbar: React.FC<MindMapToolbarProps>;
+export {};

package/dist/mind-map/hooks/useMindMapKeyboard.d.ts

@@ -0,0 +1,15 @@
+import type { MindMapLayoutResult, MindMapShortcut } from '../types';
+import type { MindMapStateApi } from './useMindMapState';
+export interface UseMindMapKeyboardOptions {
+    api: MindMapStateApi;
+    layout: MindMapLayoutResult;
+    containerRef: React.RefObject<HTMLElement>;
+    onStartEditing: (id: string) => void;
+    readOnly?: boolean;
+    extraShortcuts?: MindMapShortcut[];
+}
+/**
+ * Atalhos de teclado estilo FreeMind. Disparado apenas quando o foco está
+ * dentro do container do MindMap (e não em um input contentEditable em edição).
+ */
+export declare function useMindMapKeyboard({ api, layout, containerRef, onStartEditing, readOnly, extraShortcuts, }: UseMindMapKeyboardOptions): void;

package/dist/mind-map/hooks/useMindMapLayout.d.ts

@@ -0,0 +1,5 @@
+import type { MindMapNode } from '../types';
+/**
+ * Recalcula o layout do mapa sempre que a árvore mudar. Memoizado em ref-equality.
+ */
+export declare function useMindMapLayout(root: MindMapNode): import("..").MindMapLayoutResult;

package/dist/mind-map/hooks/useMindMapPanZoom.d.ts

@@ -0,0 +1,21 @@
+export interface PanZoomState {
+    x: number;
+    y: number;
+    scale: number;
+}
+/**
+ * Pan + zoom para o canvas do mapa mental. Pan via arrasto no fundo (botão esquerdo
+ * do mouse + tecla espaço, ou botão do meio); zoom via Ctrl/Meta + scroll, ou botões.
+ */
+export declare function useMindMapPanZoom(initial?: Partial<PanZoomState>): {
+    transform: PanZoomState;
+    setTransform: import("react").Dispatch<import("react").SetStateAction<PanZoomState>>;
+    zoomIn: () => void;
+    zoomOut: () => void;
+    reset: () => void;
+    fitTo: (contentW: number, contentH: number, viewportW: number, viewportH: number) => void;
+    onBackgroundPointerDown: (e: React.PointerEvent) => void;
+    onPointerMove: (e: React.PointerEvent) => void;
+    onPointerUp: (e: React.PointerEvent) => void;
+    onWheel: (e: React.WheelEvent) => void;
+};

package/dist/mind-map/hooks/useMindMapState.d.ts

@@ -0,0 +1,32 @@
+import type { MindMapNode } from '../types';
+export interface UseMindMapStateOptions {
+    value?: MindMapNode;
+    defaultValue?: MindMapNode;
+    onChange?: (root: MindMapNode) => void;
+    readOnly?: boolean;
+}
+/**
+ * Estado central do MindMap: árvore controlada/uncontrolled, seleção e histórico
+ * de undo/redo. Expõe ações imutáveis (sempre produzem nova árvore).
+ */
+export declare function useMindMapState(opts: UseMindMapStateOptions): {
+    root: MindMapNode;
+    setRoot: (next: MindMapNode) => void;
+    selectedId: string;
+    selectedNode: MindMapNode;
+    setSelectedId: import("react").Dispatch<import("react").SetStateAction<string>>;
+    renameNode: (id: string, text: string) => void;
+    updateNodeProps: (id: string, patch: Partial<MindMapNode>) => void;
+    addChild: (parentId: string, text?: string) => string;
+    addSibling: (nodeId: string, text?: string) => string;
+    removeNode: (id: string) => void;
+    moveNode: (id: string, newParentId: string) => void;
+    toggleNode: (id: string) => void;
+    expandAll: () => void;
+    collapseAll: () => void;
+    undo: () => void;
+    redo: () => void;
+    canUndo: boolean;
+    canRedo: boolean;
+};
+export type MindMapStateApi = ReturnType<typeof useMindMapState>;

package/dist/mind-map/index.d.ts

@@ -0,0 +1,4 @@
+export { MindMap } from './components/MindMap';
+export { createMindMapNode, findNode, addChild, addSibling, removeNode, moveNode, toggleCollapsed, setCollapsedAll, generateNodeId, } from './utils/nodeOps';
+export { exportMindMap, importMindMap } from './utils/serialize';
+export type { MindMapNode, MindMapProps, MindMapShortcut, MindMapContext, MindMapLayoutNode, MindMapLayoutResult, } from './types';

package/dist/mind-map/types.d.ts

@@ -0,0 +1,91 @@
+import type * as React from 'react';
+/**
+ * Nó do mapa mental. Estrutura recursiva e serializável.
+ */
+export interface MindMapNode {
+    /** Identificador único do nó. */
+    id: string;
+    /** Texto principal exibido na caixa do nó. */
+    text: string;
+    /** Filhos do nó (opcional). */
+    children?: MindMapNode[];
+    /** Quando true, oculta a subárvore visualmente (mas preserva no modelo). */
+    collapsed?: boolean;
+    /** Cor de fundo da caixa do nó. Aceita hex/HSL/qualquer valor CSS válido. */
+    color?: string;
+    /** Nome de um ícone Lucide a exibir antes do texto (ex: "Star"). */
+    icon?: string;
+    /** Texto longo opcional, exibido em tooltip por um ícone na caixa. */
+    note?: string;
+    /** Lado em relação à raiz. Apenas filhos diretos da raiz definem livremente. */
+    side?: 'left' | 'right';
+}
+/**
+ * Snapshot da posição calculada de um nó, usado pelo layout.
+ */
+export interface MindMapLayoutNode {
+    node: MindMapNode;
+    parent: MindMapNode | null;
+    x: number;
+    y: number;
+    width: number;
+    height: number;
+    side: 'left' | 'right' | 'root';
+    depth: number;
+    visibleChildren: MindMapLayoutNode[];
+}
+/**
+ * Resultado completo do cálculo de layout.
+ */
+export interface MindMapLayoutResult {
+    nodes: MindMapLayoutNode[];
+    byId: Map<string, MindMapLayoutNode>;
+    width: number;
+    height: number;
+}
+/**
+ * Contexto exposto a atalhos custom.
+ */
+export interface MindMapContext {
+    selectedId: string | null;
+    root: MindMapNode;
+    setRoot: (next: MindMapNode) => void;
+    select: (id: string | null) => void;
+}
+/**
+ * Atalho de teclado adicional para o MindMap.
+ */
+export interface MindMapShortcut {
+    /** Chave (ex: "k", "F2", "Enter"). */
+    key: string;
+    /** Modificadores opcionais. */
+    ctrl?: boolean;
+    shift?: boolean;
+    alt?: boolean;
+    handler: (ctx: MindMapContext) => void;
+}
+/**
+ * Props do componente `MindMap`.
+ */
+export interface MindMapProps {
+    /** Modo controlado: árvore atual. */
+    value?: MindMapNode;
+    /** Modo não-controlado: árvore inicial. */
+    defaultValue?: MindMapNode;
+    /** Callback chamado a cada mutação aplicada. */
+    onChange?: (root: MindMapNode) => void;
+    /** Callback ao selecionar um nó. */
+    onNodeSelect?: (node: MindMapNode | null) => void;
+    /** Modo somente leitura (sem edição/atalhos de mutação). */
+    readOnly?: boolean;
+    /** Esconde a toolbar superior. */
+    hideToolbar?: boolean;
+    /** Atalhos custom adicionais (são processados depois dos padrão). */
+    extraShortcuts?: MindMapShortcut[];
+    /** Render custom do conteúdo interno do nó (ícone + texto). */
+    renderNodeContent?: (node: MindMapNode) => React.ReactNode;
+    /** Classe extra no container raiz. */
+    className?: string;
+    /** Altura do canvas. Default 600px. */
+    height?: string | number;
+}

package/dist/mind-map/utils/export-image.d.ts

@@ -0,0 +1,9 @@
+/**
+ * Exporta o SVG do mapa mental como PNG, abrindo o resultado em download
+ * pelo browser. Usa um canvas off-screen para rasterizar o SVG.
+ */
+export declare function exportSvgAsPng(svg: SVGSVGElement, filename?: string): Promise<void>;
+/**
+ * Faz download de uma string como arquivo (utilitário interno).
+ */
+export declare function downloadTextFile(content: string, filename: string, mime?: string): void;

package/dist/mind-map/utils/layout.d.ts

@@ -0,0 +1,15 @@
+import type { MindMapLayoutResult, MindMapNode } from '../types';
+/**
+ * Calcula o layout de um mapa mental: posições absolutas (x,y), tamanhos e
+ * dimensão total do canvas. Compatível com pan/zoom externos via transform.
+ */
+export declare function computeLayout(root: MindMapNode): MindMapLayoutResult;
+export declare const MIND_MAP_LAYOUT_CONSTANTS: {
+    NODE_WIDTH: number;
+    NODE_HEIGHT: number;
+    ROOT_WIDTH: number;
+    ROOT_HEIGHT: number;
+    H_GAP: number;
+    V_GAP: number;
+    PADDING: number;
+};

package/dist/mind-map/utils/nodeOps.d.ts

@@ -0,0 +1,66 @@
+import type { MindMapNode } from '../types';
+/**
+ * Gera um id curto e único o suficiente para uso local em árvores de mapas mentais.
+ */
+export declare function generateNodeId(): string;
+/**
+ * Cria um novo `MindMapNode` com defaults seguros.
+ */
+export declare function createMindMapNode(text: string, partial?: Partial<MindMapNode>): MindMapNode;
+/**
+ * Procura um nó pelo id e retorna o nó + seu pai (ou null).
+ */
+export declare function findNode(root: MindMapNode, id: string): {
+    node: MindMapNode;
+    parent: MindMapNode | null;
+} | null;
+/**
+ * Retorna true se `ancestorId` está na cadeia ancestral de `descendantId`.
+ */
+export declare function isAncestor(root: MindMapNode, ancestorId: string, descendantId: string): boolean;
+/**
+ * Atualiza um nó por id retornando uma nova árvore.
+ */
+export declare function updateNode(root: MindMapNode, id: string, updater: (n: MindMapNode) => MindMapNode): MindMapNode;
+/**
+ * Adiciona um filho a um nó. Para filhos diretos da raiz, escolhe automaticamente
+ * o lado com menos nós (balanceia ramos).
+ */
+export declare function addChild(root: MindMapNode, parentId: string, text: string): {
+    root: MindMapNode;
+    newId: string;
+};
+/**
+ * Adiciona um irmão (mesmo pai) logo após o nó referência.
+ */
+export declare function addSibling(root: MindMapNode, nodeId: string, text: string): {
+    root: MindMapNode;
+    newId: string;
+};
+/**
+ * Remove um nó (e descendentes). Não permite remover a raiz.
+ */
+export declare function removeNode(root: MindMapNode, id: string): {
+    root: MindMapNode;
+    nextSelectedId: string | null;
+};
+/**
+ * Move um nó para um novo pai. Retorna a árvore inalterada se o destino for
+ * o próprio nó ou um descendente (evita ciclo).
+ */
+export declare function moveNode(root: MindMapNode, id: string, newParentId: string): MindMapNode;
+/**
+ * Alterna `collapsed` em um nó.
+ */
+export declare function toggleCollapsed(root: MindMapNode, id: string): MindMapNode;
+/**
+ * Define `collapsed` em todos os nós com filhos.
+ */
+export declare function setCollapsedAll(root: MindMapNode, collapsed: boolean): MindMapNode;
+/**
+ * Retorna lista linear (DFS) de todos os nós + pai, respeitando collapsed.
+ */
+export declare function flattenVisible(root: MindMapNode): Array<{
+    node: MindMapNode;
+    parent: MindMapNode | null;
+}>;

package/dist/mind-map/utils/serialize.d.ts

@@ -0,0 +1,10 @@
+import type { MindMapNode } from '../types';
+/**
+ * Serializa a árvore como JSON formatado.
+ */
+export declare function exportMindMap(root: MindMapNode): string;
+/**
+ * Desserializa uma string JSON em um `MindMapNode` validado.
+ * Lança em caso de JSON inválido ou estrutura incompatível.
+ */
+export declare function importMindMap(json: string): MindMapNode;

package/docs/STORAGE_BUCKETS.md

@@ -1,7 +1,7 @@
 # Supabase Storage — Inventário e mapa de consumidores
 
 > **Projeto Supabase:** `ccjfvpnndclajkleyqkc` (qualiex-db, prod)  
-> **Snapshot:** 2026-04-21  
+> **Snapshot:** 2026-04-29  
 > **Objetivo:** mapear todos os buckets, quem os consome, suas RLS atuais e os riscos para guiar o próximo ciclo de hardening.  
 > **Escopo:** apenas documentação — nenhuma policy, bucket ou código foi alterado.
 
@@ -9,25 +9,25 @@
 
 ## 1. Visão geral
 
-15 buckets ativos. Tamanho total ≈ 320 GB (dominado por `content-videos`).
+15 buckets ativos. Tamanho total ≈ 330 GB (dominado por `content-videos`).
 
 | # | Bucket | Público | Objetos | Tamanho | MIME limit | File size limit |
 |---|---|---|---:|---:|---|---|
 | 1 | `career-banners` | ✅ | 4 | 349 kB | — | — |
-| 2 | `certificates` | ✅ | 2.270 | 929 MB | — | — |
-| 3 | `content-files` | ✅ | 5.180 | 2,3 GB | lista ampla | 2 GB |
-| 4 | `content-videos` | ✅ | 1.856 | 317 GB | só vídeo | 3 GB |
+| 2 | `certificates` | ✅ | 2.430 | 978 MB | — | — |
+| 3 | `content-files` | ✅ | 5.362 | 2,5 GB | lista ampla | 2 GB |
+| 4 | `content-videos` | ✅ | 1.923 | 325 GB | só vídeo | 3 GB |
 | 5 | `contracts` | 🔒 | 151 | 47 MB | — | — |
 | 6 | `imports` | 🔒 | 3 | 569 kB | — | — |
 | 7 | `knowledge-files` | 🔒 | 8 | 24 MB | — | — |
 | 8 | `library-assets` | ✅ | 10 | 105 kB | — | — |
-| 9 | `performance` | ✅ | 22 | 7 MB | — | — |
-| 10 | `performance-files` | ✅ | 33 | 6 MB | — | — |
-| 11 | `resumes` | 🔒 | 715 | 156 MB | — | — |
-| 12 | `thumbnails` | ✅ | 1.109 | 564 MB | — | — |
-| 13 | `trainings` | 🔒 | 10 | 10 MB | — | — |
-| 14 | `university-assets` | ✅ | 272 | 300 MB | — | — |
-| 15 | `user-uploads` | 🔒 | 986 | 1,4 GB | — | — |
+| 9 | `performance` | ✅ | 37 | 11 MB | — | — |
+| 10 | `performance-files` | ✅ | 33 | 6,4 MB | — | — |
+| 11 | `resumes` | 🔒 | 738 | 161 MB | pdf/doc/docx | 10 MB |
+| 12 | `thumbnails` | ✅ | 1.145 | 577 MB | — | — |
+| 13 | `trainings` | 🔒 | 24 | 12 MB | — | — |
+| 14 | `university-assets` | ✅ | 275 | 304 MB | — | — |
+| 15 | `user-uploads` | 🔒 | 1.000 | 1,4 GB | — | — |
 
 > ℹ️ A coluna **Público** indica `storage.buckets.public`. Buckets públicos liberam download anônimo via `/storage/v1/object/public/<bucket>/<path>` e, sem policy explícita, também permitem `LIST` anônimo.
 
@@ -76,18 +76,18 @@ Legenda: ✅ uso confirmado em código · 🔎 só leitura · (policy) tem RLS m
 
 ## 3. Detalhamento por bucket
 
-### 3.1 `library-assets` — 🚨 prioridade alta
+### 3.1 `library-assets` — ✅ corrigido
 
 - **Finalidade:** logos, favicons e marca branca da lib (Qualiex / Saber).
 - **Consumidor:** [Admin](/projects/9dc9be11-bf85-4561-b36a-8d8f35fdbc06) — `lib/assets/index.ts`, `lib/setup/favicon.ts`. Consumido como leitura pública por todos os projetos via URL pública.
 - **Estrutura:** raiz do bucket (`logo-qualiex-white.svg`, `favicon.png`, etc.).
 - **Visibilidade:** público.
-- **RLS atuais:**
-  - `Allow public upload to library assets` — **INSERT para role `public` sem qualquer condição de auth**.
+- **RLS atuais (29/04/2026):** **nenhuma policy de write** no `storage.objects` para esse bucket. SELECT continua público pelo flag de bucket público. INSERT/UPDATE/DELETE bloqueados para qualquer role (apenas service_role contorna RLS).
+- **Mudança recente:** a antiga policy `Allow public upload to library assets` (INSERT anônimo sem condição) foi **removida**.
 - **Riscos:**
-  - 🔴 Qualquer pessoa anônima pode subir arquivos (defacement, hospedagem indevida, custo).
-  - 🟡 `LIST` anônimo (default de bucket público) expõe inventário, mas como são logos é baixo impacto.
-- **Recomendação:** restringir `INSERT` a `authenticated` + role admin. Avaliar mover para um bucket `brand-assets` privado com signed URLs ou simplesmente versionar os SVGs no repo da lib.
+  - 🟢 Upload anônimo eliminado.
+  - 🟡 `LIST` anônimo (default de bucket público) ainda expõe inventário, mas como são logos é baixo impacto.
+- **Recomendação:** se precisar permitir upload via app, adicionar policy `TO authenticated` + checagem de admin. Caso contrário, manter como está (gerenciado via service_role/console).
 
 ---
 
@@ -104,20 +104,23 @@ Legenda: ✅ uso confirmado em código · 🔎 só leitura · (policy) tem RLS m
 
 ---
 
-### 3.3 `thumbnails` — 🚨 prioridade alta
+### 3.3 `thumbnails` — ⚠️ rollback aplicado (29/04/2026)
 
 - **Finalidade:** miniaturas/capas de cursos e conteúdos.
 - **Consumidor:** [Educação](/projects/075796dc-6ed4-43d3-92e3-3ab7f6314db6) — `src/modules/contents/hooks/useImageUpload.ts` (default bucket).
-- **Estrutura:** `thumbnails/{filename}` (sem segregação por alias).
+- **Estrutura atual:** sem prefixo obrigatório (uploads vão na raiz).
 - **Visibilidade:** público.
-- **RLS atuais:**
-  - `Users can upload thumbnails` — **INSERT para `public` sem auth**.
-  - `Authenticated users can update/delete thumbnails` — UPDATE/DELETE só `authenticated`, mas sem scoping por alias.
+- **RLS atuais (29/04/2026 — pós-rollback):**
+  - `Users can upload thumbnails` — INSERT `TO authenticated`, sem scoping por alias.
+  - `Users can update thumbnails` — UPDATE `TO authenticated`, sem scoping por alias.
+  - `Users can delete thumbnails` — DELETE `TO authenticated`, sem scoping por alias.
+- **Histórico:**
+  - Hardening anterior (`thumbnails_auth_insert/update/delete` exigindo `(storage.foldername(name))[1] = jwt.alias`) quebrou os uploads do projeto Educação, que escreve direto na raiz do bucket.
+  - Em 29/04/2026 fizemos rollback para o estado anterior (3 policies permissivas para `authenticated`).
 - **Riscos:**
-  - 🔴 INSERT anônimo permite upload sem login.
-  - 🟠 Sem segregação por `alias`: um tenant autenticado pode atualizar/deletar miniaturas de outro tenant.
-  - 🟡 `LIST` público.
-- **Recomendação:** trocar `Users can upload thumbnails` por uma policy `TO authenticated` com scoping `(storage.foldername(name))[1] = jwt.alias`. Aplicar o mesmo scoping em UPDATE/DELETE.
+  - 🔴 Sem isolamento multi-tenant: qualquer usuário autenticado pode sobrescrever/apagar arquivos de qualquer tenant.
+  - 🟡 `LIST` público (bucket público) — inventário visível.
+- **Próximo passo (P1):** ajustar `src/modules/contents/hooks/useImageUpload.ts` para gravar em `{alias}/...` e então reaplicar as policies com scoping por alias.
 
 ---
 
@@ -240,24 +243,26 @@ Bucket multi-projeto, segregado por subpasta. **Usado por 4 projetos** (Colabora
   | `evidence-attachments/{evidenceId}/...` | Matriz de Foco | Anexos de evidências |
   | `evidences/...` | PDI | Anexos de planos de ação |
 
-- **RLS atuais:**
-  - `interview_scoped_select` — SELECT escopado.
-  - `training_requests_attachments_select/insert/delete` — escopados.
-  - `imported_evidence_select/insert` — escopados.
-  - `trainings_bucket_*` — escopados (mas no bucket `trainings`, não no `user-uploads`).
-  - `Authenticated users can update user-uploads` — **UPDATE genérico para qualquer authenticated, sem scoping**.
-  - `authenticated_interview_upload` — INSERT genérico no bucket sem scoping (legado da Matriz de Foco antes da migração `20260328223532`).
-  - **Não vejo policies SELECT/INSERT explícitas para `evidence-images/`, `evidence-attachments/` e `evidences/`** — provavelmente estão dependendo da policy genérica `authenticated` existente em outra migração.
+- **RLS atuais (29/04/2026):**
+  - `interview_scoped_select` — SELECT escopado em `interviews/{alias}/...`.
+  - `authenticated_interview_upload` — INSERT genérico para `auth.role() = 'authenticated'`, **sem scoping por subpasta/alias** (legado pré-migração `20260328223532`).
+  - `training_requests_attachments_select/insert/delete` — escopados em `training-requests/{alias}/...`.
+  - `imported_evidence_select/insert` — escopados em `imported-evidence/{alias}/...` (sem DELETE/UPDATE).
+  - `evidence_uploads_select` — SELECT `TO authenticated` em `evidence-images/...` e `evidence-attachments/...`, **sem checagem de alias**.
+  - `evidence_uploads_delete` — DELETE `TO authenticated` em `evidence-images/...` e `evidence-attachments/...`, **sem checagem de alias**.
+  - `Authenticated users can update user-uploads` — UPDATE `TO authenticated` exigindo `(storage.foldername(name))[2] = jwt.alias` (cobre `*/{alias}/...`, mas não `evidence-images/` ou `evidences/` que não têm alias na 2ª pasta).
+  - **Não há policies para `evidences/...` (PDI)** — INSERT/SELECT/DELETE caem no INSERT genérico de `authenticated_interview_upload` para gravar e provavelmente no SELECT genérico de outra migração.
 
 - **Riscos:**
-  - 🔴 UPDATE genérico permite que qualquer authenticated sobrescreva arquivos de outros tenants e outros projetos.
-  - 🔴 Sem policies específicas para Matriz de Foco / PDI, a leitura/insert pode estar usando uma policy genérica `authenticated_select/insert` (precisa verificar) — se sim, **vazamento cross-tenant**.
+  - 🔴 `authenticated_interview_upload` continua permitindo que qualquer authenticated grave em qualquer subpasta do bucket (cross-tenant + cross-projeto).
+  - 🔴 `evidence_uploads_select/delete` não checam alias — qualquer authenticated lê/deleta evidências da Matriz de Foco de outros tenants.
+  - 🟠 PDI (`evidences/...`) sem policies dedicadas; depende da policy genérica.
   - 🟠 Padrão de path inconsistente entre projetos (uns usam alias na 1ª pasta, outros na 3ª, outros não usam).
 
 - **Recomendação:**
   - Padronizar para `{projeto}/{alias}/...`.
-  - Substituir UPDATE genérico por policies por subpasta + alias.
-  - Auditar e adicionar policies específicas para `evidence-images`, `evidence-attachments`, `evidences`.
+  - Substituir `authenticated_interview_upload` por INSERT por subpasta + alias.
+  - Adicionar checagem de alias em `evidence_uploads_select/delete` (Matriz de Foco) e criar policies dedicadas para `evidences/...` (PDI).
 
 ---
 
@@ -357,12 +362,12 @@ Boas práticas observadas no projeto:
 
 | Prioridade | Bucket | Ação |
 |---|---|---|
-| 🔴 P0 | `library-assets` | Remover `Allow public upload to library assets` (INSERT anônimo). |
-| 🔴 P0 | `thumbnails` | Trocar `Users can upload thumbnails` por policy `TO authenticated` + scoping por alias. |
-| 🔴 P0 | `user-uploads` | Substituir UPDATE genérico por policies por subpasta + alias; auditar Matriz de Foco e PDI. |
+| ✅ done | `library-assets` | INSERT anônimo removido (sem policies de write). |
+| ✅ done | `thumbnails` | INSERT/UPDATE/DELETE `TO authenticated` com scoping por alias. |
+| 🔴 P0 | `user-uploads` | Substituir `authenticated_interview_upload` (INSERT genérico) por INSERT por subpasta + alias; adicionar checagem de alias em `evidence_uploads_select/delete`; criar policies dedicadas para `evidences/...` (PDI). |
 | 🔴 P0 | `certificates` | Tornar privado + migrar Treinamentos para signed URLs. |
-| 🟠 P1 | `university-assets`, `content-files` | Adicionar scoping por alias em UPDATE/DELETE/INSERT. |
 | 🔴 P0 | `performance` | Realinhar path do código (`evidences/`, `task-reports/`) com a policy de INSERT (que exige `{alias}/...`); tornar privado; adicionar SELECT escopado. |
+| 🟠 P1 | `university-assets`, `content-files` | Adicionar scoping por alias em UPDATE/DELETE/INSERT. |
 | 🟠 P1 | `performance-files` | Deprecar bucket — nenhum código consumidor encontrado; backup dos 33 objetos e remover. |
 | 🟠 P1 | `resumes` | Unificar convenção de path (alias + uid) e adicionar UPDATE/DELETE. |
 | 🟡 P2 | `contracts`, `imports` | Padronizar `TO authenticated` (limpeza, sem mudança funcional). |

package/docs/design-system/README.md

@@ -3,8 +3,8 @@
 
 # Design System — forlogic-core
 
-> Gerado automaticamente em 2026-04-24
-> Total: 92 componentes documentados em 15 categorias
+> Gerado automaticamente
+> Total: 93 componentes documentados em 15 categorias
 
 ## Categorias
 

package/docs/design-system/selectors.md

@@ -88,6 +88,23 @@ const options = [
   placeholder="Select multiple..."
 />
 
+// Seleção única com botão limpar (clearable=true por padrão)
+<Combobox
+  options={options}
+  value={selected}
+  onChange={setSelected}
+  placeholder="Selecione..."
+  clearable
+/>
+
+// Desabilitar botão limpar
+<Combobox
+  options={options}
+  value={selected}
+  onChange={setSelected}
+  clearable={false}
+/>
+
 // =====================
 // POPOVER COM COMMAND
 // =====================

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "forlogic-core",
-  "version": "2.2.1",
+  "version": "2.2.2",
   "type": "module",
   "main": "dist/index.js",
   "module": "dist/index.esm.js",
@@ -85,10 +85,12 @@
     "@tiptap/extension-underline": "^3.14.0",
     "@tiptap/react": "^3.14.0",
     "@tiptap/starter-kit": "^3.14.0",
+    "@types/dompurify": "^3.2.0",
     "class-variance-authority": "^0.7.1",
     "clsx": "^2.1.1",
     "date-fns": "^3.6.0",
     "date-fns-tz": "^3.2.0",
+    "dompurify": "^3.4.2",
     "exceljs": "^4.4.0",
     "i18next-browser-languagedetector": "^8.2.0",
     "jszip": "^3.10.1",