forlogic-core 2.4.14 → 2.5.1

package/.note/memory/security/react-router-dom-v7-migration.md

@@ -0,0 +1,29 @@
+---
+name: react-router-dom v7 migration + peer dependency
+description: forlogic-core 2.5.0 bumpou react-router-dom 6→7 e moveu pra peerDependencies — consumidores precisam alinhar a própria versão antes de atualizar
+type: feature
+---
+
+## O que mudou (forlogic-core 2.5.0)
+
+- `react-router-dom`: `6.30.1` → `7.18.1`.
+- Saiu de `dependencies` e virou `peerDependencies` — o app consumidor agora é responsável por instalar a versão compatível.
+
+## Por que isso quebra apps que não atualizarem
+
+`react-router-dom` era dependência normal mas já tratada como externa no build (`rollup.config.js#externalDeps`) — ou seja, o app sempre precisou fornecer a própria instância em runtime. O problema: sem ser peer, o npm não avisava sobre incompatibilidade de versão, só instalava as duas cópias silenciosamente. Um app ainda em v6 + lib pedindo v7 = duas instâncias de React Router no bundle = contexto de `<Router>` não bate entre os hooks da lib (`useNavigate`, `useLocation`, etc. usados em `lib/components/layout/*`, `lib/crud/*`, `lib/auth/*`) e o `<BrowserRouter>` do app.
+
+## Checklist pra IA/dev atualizando um app consumidor
+
+1. Checar `package.json` do app: `react-router-dom` precisa ser `^7.18.1` (ou compatível) **antes** de subir `forlogic-core` pra `>=2.5.0`.
+2. Se o app usa só API declarativa (`Routes`, `Route`, `Link`, `Navigate`, `Outlet`, `useNavigate`, `useLocation`, `useParams`, `useSearchParams`, `BrowserRouter`) — migração 6→7 tende a ser troca de versão sem mudança de código.
+3. Se o app usa **data router** (`createBrowserRouter`, loaders, actions, `<Form>`) — revisar changelog oficial do react-router v7, há mudanças de API nesse modo que a lib não usa e portanto não foi validado aqui.
+4. Rodar `npm ls react-router-dom` no app depois do install — se aparecer mais de uma versão resolvida (não deduped), o conflito não foi resolvido.
+
+## Risco aceito relacionado: GHSA-qwww-vcr4-c8h2 (high)
+
+react-router (core, 7.12.0–8.2.0) tem CVE alto de CSRF bypass em "RSC Mode". Fix é `react-router@8.3.0`, mas:
+- `react-router-dom` (pacote usado aqui) não tem release 8.x.
+- `react-router@8.3.0` exige React `>=19.2.7` — ver [[react19-migration-roadmap]].
+
+Não corrigido porque não exploitável no padrão de uso desta lib (sem RSC, sem actions/loaders, sem SSR — só roteamento client-side declarativo). `npm audit` vai continuar acusando "2 high" nesse pacote; é esperado até a migração pra React 19 + react-router v8 acontecer.

package/.note/memory/security/react19-migration-roadmap.md

@@ -0,0 +1,32 @@
+---
+name: React 19 migration roadmap
+description: Levantamento do que falta pra migrar forlogic-core (e consumidores) pra React 19 — hoje não priorizado, só documentado
+type: feature
+---
+
+Disparado pela investigação de [[react-router-dom-v7-migration]]: `react-router@8.3.0` (fix do CVE GHSA-qwww-vcr4-c8h2) exige peer `react >=19.2.7`. Não implementado ainda — decisão foi manter React 18 + aceitar o risco documentado do CVE.
+
+## Levantamento (2026-07-24)
+
+**Código da lib (`lib/`, `src/`) já está limpo pra React 19:**
+- Sem `ReactDOM.render`/`hydrate` (já usa `createRoot` desde `src/main.tsx`).
+- Sem `defaultProps`, sem `propTypes`, sem string refs, sem `findDOMNode`, sem legacy context (`contextTypes`/`getChildContext`).
+- Único class component é `lib/components/ErrorBoundary.tsx` (error boundary padrão, continua suportado no 19).
+
+**Dependências diretas — já suportam React 19 na versão atualmente instalada** (não precisam de bump de major):
+`@radix-ui/*`, `@tiptap/react@3.20.1`, `@dnd-kit/core@6.3.1`, `vaul@1.1.2`, `sonner@1.7.4`, `cmdk@1.1.1`, `react-hook-form@7.71.2`, `react-resizable-panels@3.0.6`, `recharts@3.8.0`, `react-day-picker@9.14.0`.
+
+**Bloqueio conhecido:** `next-themes@0.3.0` — peer trava em `react ^16.8||^17||^18`, precisa bump (checar versão que adiciona suporte a 19 antes de migrar).
+
+**Bloqueio estrutural (fora do código):** `react` e `react-dom` estão em `dependencies` desta lib, não `peerDependencies` — mesmo problema de duplicação silenciosa que motivou mover `react-router-dom` pra peer (ver [[react-router-dom-v7-migration]]). Bump pra 19 sem resolver isso quebra qualquer app consumidor ainda em React 18, sem aviso de instalação.
+
+**Router:** migrar de `react-router-dom` (sem release 8.x) pra `react-router@8.3.0` + subpath `react-router/dom` — não é só bump de versão, é troca de pacote/imports em ~34 arquivos.
+
+## Escopo de uma migração real (não iniciada)
+
+1. Mover `react`/`react-dom` pra `peerDependencies` (independente do React 19, já deveria ser assim).
+2. Bump `next-themes` pra versão com suporte a 19.
+3. Trocar `react-router-dom` → `react-router` + `react-router/dom` em todos os imports (`lib/` e `src/`).
+4. Bump `react`/`react-dom`/`@types/react`/`@types/react-dom` pra `^19`.
+5. Validar visualmente todos os componentes do `/ds` (design system doc site) — mudanças de comportamento de render mesmo sem erro de compilação.
+6. Coordenar com os apps consumidores (Forlogic/Qualiex) — eles precisam estar prontos pra React 19 antes desse release, senão quebram no update.

package/dist/config/environments.d.ts

@@ -40,6 +40,12 @@ export interface EnvironmentConfig {
      * Vazio (`''`) = app na raiz. Sem barra no final.
      */
     appBasePath: string;
+    /**
+     * URL do app V4 (Angular) do módulo common, COM barra final
+     * (ex.: `https://apps4.qualiex.com/common/`). Usado para redirecionar de volta
+     * ao V4 as unidades SEM a flag `has_common_v5` ao trocar de unidade.
+     */
+    commonV4AppUrl: string;
 }
 /**
  * Override parcial injetado em runtime pelo app consumidor (ex.: a partir de um

package/dist/config/index.d.ts

@@ -49,6 +49,11 @@ export declare const getQualiexApiUrl: () => string;
 export declare const getIdentApiUrlOverride: () => string;
 /** Override explícito da base do login-api (`''` = derivar da common-v4). */
 export declare const getLoginApiUrlOverride: () => string;
+/**
+ * URL do app V4 (Angular) do módulo common, COM barra final. Destino do redirect
+ * de unidades SEM a flag `has_common_v5` ao trocar de unidade no V5.
+ */
+export declare const getCommonV4AppUrl: () => string;
 export declare const QUERY_KEYS: {
     readonly crud: (entity: string) => readonly [string];
     readonly list: (entity: string, filters?: Record<string, any>) => readonly [string, "list", Record<string, any>];