forlogic-core 2.2.2 → 2.2.3

package/docs/WORKSPACE_KNOWLEDGE.md

@@ -70,10 +70,44 @@ supabase.from('tabela').select('*');
 |-------|---------|
 | Schema obrigatório | `.schema('...')` em toda query Supabase |
 | Sem DELETE físico | Soft delete com `deleted_at` |
+| **Sem acesso anon** | RLS policies devem usar `TO authenticated` — **nunca** conceder acesso ao role `anon` sem justificativa documentada |
 | Lib-first | Usar `forlogic-core` antes de criar componente |
 | Import do Supabase | `getSupabaseClient()` de `forlogic-core` |
 | Import de i18n | `useTranslation` de `forlogic-core`, nunca de `react-i18next` |
 | Sem hardcoded admin | Nunca localStorage/sessionStorage para roles |
+| **PK Override** | `VITE_SUPABASE_PK_OVERRIDE` **obrigatória** no `.env` — nunca remover. Ver `@Admin docs/design-system/patterns/feature-flags.md` |
+
+### Política de acesso `anon` no Supabase
+
+**Por padrão, nenhuma tabela, function ou storage policy deve conceder acesso ao role `anon`.**
+
+Todas as policies devem usar `TO authenticated` e validar o JWT do tenant:
+
+```sql
+-- ✅ CORRETO
+CREATE POLICY "select" ON schema.tabela
+FOR SELECT TO authenticated
+USING (((SELECT auth.jwt()) ->> 'alias'::text) = alias);
+
+-- ❌ ERRADO — nunca usar anon
+CREATE POLICY "select" ON schema.tabela
+FOR SELECT TO anon, authenticated
+USING (true);
+```
+
+**Exceções são permitidas apenas quando:**
+
+1. A funcionalidade é **intencionalmente pública** (ex: validação de certificado, página de candidatura externa)
+2. A exceção está **documentada na migration SQL** com comentário `-- ANON: <motivo>`
+3. A exceção está **registrada no `@security-memory`** do projeto
+
+**Funções `SECURITY DEFINER`:** por padrão, revogar permissão de `anon`:
+
+```sql
+REVOKE EXECUTE ON FUNCTION schema.minha_funcao FROM anon;
+-- Manter apenas authenticated
+GRANT EXECUTE ON FUNCTION schema.minha_funcao TO authenticated;
+```
 
 ---
 

package/docs/design-system/patterns/feature-flags.md

@@ -10,6 +10,7 @@
 | `VITE_SHOW_EDIT_PROFILE` | Exibe "Editar Perfil" no menu do usuário (foto e idioma) | Não exibe |
 | `VITE_WIKI_URL` | Exibe botão "Wiki" no header da aplicação. O valor é a URL que será aberta ao clicar | Não exibe |
 | `VITE_SHOW_ADMIN_REPORTS` | Exibe relatórios administrativos | `"false"` |
+| `VITE_SUPABASE_PK_OVERRIDE` | **Obrigatória.** Publishable key correta do Supabase. Ver [seção abaixo](#vite_supabase_pk_override). | — |
 
 ## Uso
 
@@ -19,6 +20,62 @@ VITE_I18N_DEBUG_MODE=false
 VITE_IS_QUALIEX=true
 VITE_WIKI_URL=https://wiki.example.com
 VITE_SHOW_ADMIN_REPORTS=false
+VITE_SUPABASE_PK_OVERRIDE="sb_publishable_w-TKU0hE4bjM_uOgt3fK1g_ewrXKJ8J"
 ```
 
 Variáveis Vite precisam do prefixo `VITE_` para serem expostas ao cliente.
+
+---
+
+## `VITE_SUPABASE_PK_OVERRIDE`
+
+### Problema
+
+O Supabase desativou as legacy API keys (formato JWT `eyJhbGci...`). A integração Supabase do Lovable **sobrescreve automaticamente** `VITE_SUPABASE_PUBLISHABLE_KEY` no `.env` com a legacy anon key a cada prompt, causando `401 Unauthorized` em todas as requests.
+
+### Solução
+
+A lib `forlogic-core` implementa um mecanismo de override:
+
+1. Se `VITE_SUPABASE_PK_OVERRIDE` existir no `.env` → a lib usa essa key (ignora `VITE_SUPABASE_PUBLISHABLE_KEY`)
+2. Se não existir → usa `VITE_SUPABASE_PUBLISHABLE_KEY` normalmente
+3. Se a key ativa for uma JWT legada → exibe banner vermelho no preview (DEV) + erro no console
+
+O Lovable **nunca toca** em `VITE_SUPABASE_PK_OVERRIDE` porque só auto-popula estas 3 variáveis:
+- `VITE_SUPABASE_URL`
+- `VITE_SUPABASE_PUBLISHABLE_KEY`
+- `VITE_SUPABASE_PROJECT_ID`
+
+### Configuração obrigatória
+
+**Todo projeto consumidor** que aponta para o Supabase `ccjfvpnndclajkleyqkc` deve adicionar no `.env`:
+
+```env
+VITE_SUPABASE_PK_OVERRIDE="sb_publishable_w-TKU0hE4bjM_uOgt3fK1g_ewrXKJ8J"
+```
+
+### Como funciona internamente
+
+```text
+VITE_SUPABASE_PK_OVERRIDE existe?
+  ├─ SIM → usar ela (ignora VITE_SUPABASE_PUBLISHABLE_KEY)
+  │        console.info: "✅ Usando VITE_SUPABASE_PK_OVERRIDE..."
+  └─ NÃO → usar VITE_SUPABASE_PUBLISHABLE_KEY
+       ├─ Formato sb_publishable_* → OK
+       └─ Formato eyJ* (JWT legada) → ⛔ Erro
+            ├─ console.error com diagnóstico completo
+            └─ Banner vermelho fixo no topo (apenas DEV)
+```
+
+### Arquivos relevantes na lib
+
+| Arquivo | Responsabilidade |
+|---------|-----------------|
+| `lib/supabase/legacyKeyGuard.ts` | `resolvePublishableKey()`, `isLegacyAnonKey()`, `warnIfLegacyKey()` |
+| `lib/supabase/SupabaseSingleton.ts` | Usa `resolvePublishableKey()` para a key do client |
+| `lib/supabase/publicClient.ts` | Idem para o client público |
+| `lib/providers/CoreProviders.tsx` | Renderiza `LegacyKeyBanner` em DEV |
+
+### ⚠️ Nunca remova esta variável do `.env`
+
+Mesmo que o Lovable corrija a integração no futuro, a presença do override não causa nenhum efeito colateral negativo — é um fallback seguro.

package/docs/design-system/patterns/vite-tailwind-setup.md

@@ -46,3 +46,4 @@ export default {
 - [ ] `forlogicTailwindPreset` no tailwind.config.ts
 - [ ] `forlogicContentPaths` no content
 - [ ] Variáveis CSS definidas no index.css (--primary, --background, etc.)
+- [ ] `VITE_SUPABASE_PK_OVERRIDE` no `.env` com a publishable key correta (ver `feature-flags.md`)

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "forlogic-core",
-  "version": "2.2.2",
+  "version": "2.2.3",
   "type": "module",
   "main": "dist/index.js",
   "module": "dist/index.esm.js",