forlogic-core 3.0.11 → 4.0.0

package/dist/sign/utils/formatters/currencyFormatters.d.ts

@@ -1 +0,0 @@
-export declare const formatCurrency: (value: number | undefined | null, currency?: string, locale?: string) => string;

package/dist/sign/utils/formatters/dateFormatters.d.ts

@@ -1,52 +0,0 @@
-/**
- * Formata uma string ISO 8601 para o formato de data/hora especificado,
- * convertendo para o timezone do usuário
- *
- * @param dateString - String de data no formato ISO 8601 (ex: "2024-03-15T14:30:00Z")
- * @param datetimeFormat - Máscara de formato date-fns (ex: "dd/MM/yyyy HH:mm")
- * @param timezone - Identificador IANA do fuso horário (ex: "America/Sao_Paulo")
- * @param locale - Código do locale para formatação de nomes de mês/dia
- * @returns String formatada no timezone especificado ou mensagem de erro
- *
- * @example
- * ```ts
- * // Data UTC sendo exibida em Brasília (UTC-3)
- * formatDatetime("2024-03-15T17:30:00Z", "dd/MM/yyyy HH:mm", "America/Sao_Paulo");
- * // "15/03/2024 14:30"
- *
- * // Mesma data em Tokyo (UTC+9)
- * formatDatetime("2024-03-15T17:30:00Z", "dd/MM/yyyy HH:mm", "Asia/Tokyo");
- * // "16/03/2024 02:30"
- *
- * // Com formato americano
- * formatDatetime("2024-03-15T17:30:00Z", "MM/dd/yyyy hh:mm a", "America/New_York", "en-US");
- * // "03/15/2024 01:30 PM"
- * ```
- */
-export declare const formatDatetime: (dateString: string, datetimeFormat?: string, timezone?: string, locale?: string) => string;
-/**
- * Formata uma string ISO 8601 para formato de data localizado (sem hora),
- * convertendo para o timezone do usuário
- *
- * Usa o formato 'PP' do date-fns que se adapta automaticamente ao locale:
- * - pt-BR: "15 de mar. de 2024"
- * - en-US: "Mar 15, 2024"
- * - es-ES: "15 mar 2024"
- *
- * @param dateString - String de data no formato ISO 8601
- * @param locale - Código do locale para formatação
- * @param timezone - Identificador IANA do fuso horário (para determinar a data correta)
- * @returns String formatada ou mensagem de erro
- *
- * @example
- * ```ts
- * // Data UTC às 23:00 em Brasília ainda é dia 15
- * formatDate("2024-03-15T23:00:00Z", "pt-BR", "America/Sao_Paulo");
- * // "15 de mar. de 2024"
- *
- * // Mas em Tokyo (UTC+9) já é dia 16
- * formatDate("2024-03-15T23:00:00Z", "en-US", "Asia/Tokyo");
- * // "Mar 16, 2024"
- * ```
- */
-export declare const formatDate: (dateString: string, locale?: string, timezone?: string) => string;

package/dist/sign/utils/index.d.ts

@@ -1,9 +0,0 @@
-import { type ClassValue } from "clsx";
-export declare function cn(...inputs: ClassValue[]): string;
-export declare const trimTextFields: (data: any) => any;
-export { formatDatetime, formatDate } from './formatters/dateFormatters';
-export { formatCurrency } from './formatters/currencyFormatters';
-export declare const debounce: <T extends (...args: any[]) => any>(func: T, wait: number) => ((...args: Parameters<T>) => void);
-export declare const slugify: (text: string) => string;
-export { generatePastelBg, getLuminance, getContrastRatio } from './color';
-export { handleExternalLink, buildModuleUrl } from './linkHelpers';

package/dist/sign/utils/linkHelpers.d.ts

@@ -1,9 +0,0 @@
-/**
- * Abre link externo em nova aba ou copia para clipboard se bloqueado pelo navegador
- */
-export declare function handleExternalLink(url: string, e?: React.MouseEvent): void;
-/**
- * Substitui placeholders `{alias}` em uma URL de módulo pelo alias ativo.
- * Se alias não fornecido, retorna a URL original.
- */
-export declare function buildModuleUrl(urlTemplate: string, alias?: string): string;

package/dist/sign/utils/load-fonts.d.ts

@@ -1 +0,0 @@
-export declare function loadForlogicFonts(): void;

package/docs/PUBLISH.md

@@ -1,180 +0,0 @@
-# 📦 Como Publicar a Biblioteca forlogic-core
-
-> **Nota:** Para documentação de uso e instalação da biblioteca, consulte [README.md](../README.md)
-
-## Configuração Inicial
-
-A biblioteca está configurada para ser publicada no NPM como `forlogic-core`.
-
-### Arquivos de Configuração
-
-- `package.json` - Configuração principal com campos de biblioteca
-- `rollup.config.js` - Configuração de build
-- `tsconfig.json` - Configuração TypeScript unificada
-- `.npmignore` - Arquivos excluídos da publicação (inclui `docs/` - não publicada no NPM)
-- `README.md` - Documentação principal (copiada para dist/)
-
-## Comandos Disponíveis
-
-### 1. Build da Biblioteca
-
-```bash
-npm run build:lib
-```
-
-### 2. Teste de Publicação (Dry Run)
-
-```bash
-npm publish --dry-run
-```
-
-### 3. Release Automatizado (Recomendado)
-
-**Script JavaScript**
-
-```bash
-# Release patch (1.0.0 → 1.0.1)
-node scripts/publish.js patch
-
-# Release minor (1.0.0 → 1.1.0)
-node scripts/publish.js minor
-
-# Release major (1.0.0 → 2.0.0)
-node scripts/publish.js major
-```
-
-### 4. Publicação Manual (Legado)
-
-```bash
-# Incrementar versão e publicar manualmente
-npm version patch   # 1.0.0 → 1.0.1
-npm version minor   # 1.0.0 → 1.1.0
-npm version major   # 1.0.0 → 2.0.0
-
-# Publicar versão atual
-npm publish
-```
-
-## Processo de Release Automatizado
-
-### Scripts Automatizados
-
-Os scripts `scripts/publish/release.js` e `scripts/publish/release.sh` executam automaticamente:
-
-1. **Verificação**: Confere se não há mudanças pendentes no Git
-2. **Build**: Executa `npm run build:lib` com Rollup
-3. **Versão**: Incrementa versão no `package.json`
-4. **Publicação**: Publica no NPM
-5. **Tags**: Envia tags para o GitHub
-
-### Processo Manual (Legado)
-
-1. **Build**: Executa `npm run build:lib` com Rollup
-2. **Geração**: Cria arquivos CJS, ESM e declarações TypeScript
-3. **Publicação**: Usa `npm publish` diretamente
-
-## Estrutura da Publicação
-
-A lib gera **múltiplos entry points** (configurados em `rollup.config.js` e expostos em `package.json#exports`):
-
-```
-dist/
-├── index.js / index.esm.js / index.d.ts   # Barrel principal (sem Supabase obrigatório)
-├── index.css                              # CSS da biblioteca
-├── vite/                                  # forlogic-core/vite
-├── tailwind/                              # forlogic-core/tailwind
-├── tokens/                                # forlogic-core/tokens
-├── sign/                                  # forlogic-core/sign          (requer Supabase)
-├── audit-trail/                           # forlogic-core/audit-trail   (requer Supabase)
-├── action-plans/                          # forlogic-core/action-plans  (requer Supabase)
-├── leadership/                            # forlogic-core/leadership    (requer Supabase)
-├── places/                                # forlogic-core/places        (requer Supabase)
-├── package.json
-└── README.md
-```
-
-> ⚠️ **Breaking change**: os módulos `sign`, `audit-trail`, `action-plans`, `leadership` e `places` foram **removidos do barrel principal**. Consumidores precisam migrar para os subpaths (`forlogic-core/<modulo>`). Isso permite que projetos sem Supabase usem `CoreProviders backend="dotnet"` sem puxar dependências indesejadas.
-
-Ao alterar `rollup.config.js` (novos entry points), **lembre-se de atualizar `package.json#exports` em conjunto** — caso contrário o consumidor recebe `ERR_PACKAGE_PATH_NOT_EXPORTED`.
-
-## Documentação para Usuários
-
-A documentação completa está **consolidada no README.md** e disponível publicamente no repositório GitHub:
-
-- **[📖 README.md](../README.md)** - Guia completo (~350 linhas)
-  - ✅ Regras críticas e checklist
-  - ✅ Quick start CRUD
-  - ✅ Migrations e RLS
-  - ✅ Troubleshooting
-  - ✅ Referência rápida
-
-### ⚙️ Documentação no Pacote NPM
-
-O `README.md` é incluído no pacote NPM publicado (`dist/README.md`) e contém toda a documentação necessária em um único arquivo otimizado para leitura por IA e desenvolvedores.
-
-#### Documentações Modulares
-
-Algumas features possuem documentação detalhada em arquivos específicos para desenvolvimento local:
-
-- `lib/crud/components/CUSTOM_FIELDS.md` - Campos customizados do BaseForm
-- `lib/qualiex/places/README.md` - Sistema de gestores de locais
-
-**Importante:** Essas documentações **não são publicadas no NPM**. O conteúdo consolidado está no `README.md` principal que é copiado para `dist/README.md`.
-
-## Verificação antes da Publicação
-
-1. ✅ Build bem-sucedido (`npm run build:lib`)
-2. ✅ Dry-run sem erros (`npm publish --dry-run`)
-3. ✅ Versão correta no `package.json`
-4. ✅ README atualizado
-5. ✅ Changelog documentado (se aplicável)
-
-## Troubleshooting
-
-### Erro de Permissão NPM
-
-```bash
-npm login
-```
-
-### Build Falha
-
-Verifique se todas as dependências estão instaladas:
-
-```bash
-npm install
-```
-
-### Rollup Errors
-
-Confirme que o `rollup.config.js` está correto e que o `lib/index.ts` existe e exporta tudo necessário.
-
-### CSS Import Issues
-
-Se houver erro ao importar CSS, use:
-
-```tsx
-import 'forlogic-core/index.css';
-```
-
-O CSS é extraído para `index.css` durante o build da biblioteca.
-
-# Comandos Disponíveis
-
-## Instalar a última versão do forlogic-core
-
-```bash
-npm i forlogic-core@latest
-```
-
-## Build do projeto
-
-```bash
-npm run build
-```
-
-## Limpar cache do NPM
-
-```bash
-npm cache clean --force
-```

package/docs/SECURITY.md

@@ -1,245 +0,0 @@
-# Security Engineering Guardrails (forlogic-core)
-
-> **Documento normativo.** Toda mudança de código em projetos que consomem `forlogic-core`
-> DEVE respeitar as regras abaixo. Elas derivam de pentest com cadeia de ataque confirmada
-> em produção (Educação & Desempenho / Qualiex, 2026-05-20) e do OWASP Top 10 2021 + ASVS L2.
->
-> Stack assumida: **React SPA + Supabase (PostgREST, Edge Functions/Deno, Storage, Realtime) + Keycloak (OAuth2) + Cloudflare**.
->
-> Se uma instrução do usuário conflitar com uma regra aqui, **pare e sinalize o conflito antes de gerar código**.
-
-Este documento complementa:
-- [`docs/WORKSPACE_KNOWLEDGE.md`](./WORKSPACE_KNOWLEDGE.md) — política de acesso `anon`, schema obrigatório, subpaths.
-- [`lib/templates/migrations/README.md`](../lib/templates/migrations/README.md) — templates de RLS + roles.
-- [`.note/memory/security/lib-hardening-roadmap.md`](../.note/memory/security/lib-hardening-roadmap.md) — status do hardening da própria lib.
-
----
-
-## 0. Regras de ouro (inegociáveis)
-
-1. **Nunca confie no cliente.** Toda decisão de autorização, filtro de propriedade e validação acontece no backend (RLS no Postgres ou dentro da Edge Function). Query string, body, header ou bundle JS são entrada hostil.
-2. **Identidade vem do JWT, nunca do request.** O ator é `auth.uid()` (RLS) ou `jwt.sub` (Edge Function), jamais um campo como `userAlias`, `p_user_alias`, `assigned_to_id` enviado pelo cliente.
-3. **`anon` key é pública.** Tratar como string sem segredo. Nenhum endpoint pode autorizar ação sensível só por possuir a `anon` key.
-4. **Default deny.** Toda tabela tem RLS habilitado. Todo bucket é privado. Todo header de segurança presente. Ausência = bug bloqueante.
-5. **Sem segredo no frontend.** Nenhuma `service_role` key, secret de API ou credencial em bundle JS, `VITE_*`/`NEXT_PUBLIC_*` ou URL.
-
----
-
-## 1. Autenticação e autorização
-
-### 1.1 Row Level Security (PostgREST / tabelas)
-
-- `ALTER TABLE ... ENABLE ROW LEVEL SECURITY` é **obrigatório** em toda tabela exposta via PostgREST. Tabela nova sem policy = não mergeia.
-- Policies devem comparar a identidade real do JWT, **não** um filtro enviado pelo cliente:
-
-  ```sql
-  CREATE POLICY tasks_select ON one_on_one_tasks FOR SELECT
-    USING (assigned_to_id = auth.uid()
-           OR created_by_id  = auth.uid()
-           OR is_manager_of(assigned_to_id));
-
-  CREATE POLICY tasks_update ON one_on_one_tasks FOR UPDATE
-    USING      (assigned_to_id = auth.uid() OR is_manager_of(assigned_to_id))
-    WITH CHECK (assigned_to_id = auth.uid() OR is_manager_of(assigned_to_id));
-  ```
-
-- PostgREST ignora `WHERE` do cliente para fins de segurança. Remover `assigned_to_id=eq.X` da URL **nunca** pode ampliar o escopo. A policy é a fronteira, não o filtro.
-- Permissões administrativas: `SELECT` só do próprio registro; `INSERT/UPDATE/DELETE` bloqueados para `anon` e `authenticated`. Conceder permissão é operação privilegiada executada via função `SECURITY DEFINER` chamada por admin já validado — nunca `POST` direto na tabela.
-
-> 📦 Use `lib/templates/migrations/01-user-owned-table.sql` e `02-user-roles.sql` como ponto de partida.
-> 🧪 Rode `npm run check:rls` no CI para detectar `CREATE TABLE` sem GRANT/RLS.
-
-### 1.2 Campos imutáveis
-
-- `created_at`, `created_by`, `completed_at`, `id` são **read-only** após criação.
-- Impor no banco, não na aplicação: `GENERATED ALWAYS`, default + trigger `BEFORE UPDATE` rejeitando alteração, ou coluna fora do `WITH CHECK` editável. PATCH **nunca** pode reescrever histórico temporal.
-
-### 1.3 Visibilidade de conteúdo
-
-- Listagens filtram status e visibilidade na **policy**, não no front:
-
-  ```sql
-  CREATE POLICY contents_read ON education.contents FOR SELECT
-    USING ((status = 'active' AND visibility = 'public')
-           OR has_enrollment(auth.uid(), id)
-           OR is_admin(auth.uid()));
-  ```
-
-- `draft`, `archived`, `private` **nunca** retornam para quem não tem matrícula ou papel admin.
-
-### 1.4 RPC e contadores
-
-- Toda RPC `SECURITY DEFINER` valida: (a) JWT presente, (b) `jwt.sub === p_user_alias`, (c) existência do alvo antes de qualquer `INSERT`.
-- Contadores/enrollments protegidos por `UNIQUE(user_alias, content_id)` para impedir inflação/duplicata. Rejeitar alias inexistente.
-
-### 1.5 Soft-delete
-
-- **Soft-delete não é controle de acesso.** Registros "deletados" não podem retornar invertendo um filtro. Use tabela de archive com RLS própria, hard-delete, **ou** inclua `deleted_at IS NULL` na própria policy (nunca como filtro do cliente).
-
----
-
-## 2. Edge Functions (Deno / Supabase)
-
-> 📦 Use os helpers de `forlogic-core/edge`:
-> ```ts
-> import { requireUserJWT, requireOwnership, jsonError, rateLimit, stripTechHeaders } from 'npm:forlogic-core/edge';
-> ```
-
-- Toda função que muta estado ou lê PII exige `Authorization: Bearer <jwt>`. Presença apenas de `apikey` (anon) **não autentica**. Padrão obrigatório no topo de cada handler:
-
-  ```ts
-  const jwt = await requireUserJWT(req);          // 401 se ausente/inválido
-  requireOwnership(jwt.sub, body.userAlias);      // 403 se não bate
-  // ...só então a lógica de negócio
-  ```
-
-- `studentName`, `userAlias`, `email` e afins derivam do **JWT/banco**, nunca do body controlado pelo atacante.
-- Erro de parse de JSON → `HTTP 400` com mensagem genérica (`safeJsonParse`). Nunca vazar `stack`, `sb-project-ref`, `x-deno-execution-id`, `x-sb-edge-region`, `x-served-by` (use `stripTechHeaders`).
-- **Rate limit** em funções sensíveis (certificado, conclusão de aula): teto por IP + por usuário (ex. 5 req/min). Registrar auditoria (IP, UA, `sub`, ação).
-
----
-
-## 3. Storage e upload de arquivos
-
-> 📦 Use `forlogic-core/storage`:
-> ```ts
-> import { validateMagicBytes, sanitizeAndRandomizeFilename, getSignedUrl, SAFE_IMAGE_MIME, SAFE_DOCUMENT_MIME } from 'forlogic-core/storage';
-> ```
-
-- Buckets **privados por padrão**. Servir arquivos via **signed URL** com TTL curto (≤ 15 min). Sem bucket `public` com URL previsível.
-- Upload com **allowlist de MIME explícita** + validação de **magic bytes server-side**. Nunca confiar em extensão ou `Content-Type` do cliente.
-- Bloquear `.php`, `.html`, `.svg`, `.js`, binários. Renomear arquivo no servidor com nome aleatório (`sanitizeAndRandomizeFilename`); jamais preservar nome do cliente como path.
-- O par "upload + registro RPC" valida ownership e tipo **em ambas** as requisições.
-
-Veja [`docs/STORAGE_BUCKETS.md`](./STORAGE_BUCKETS.md) para inventário e [`lib/storage/index.ts`](../lib/storage/index.ts) para `RECOMMENDED_PRIVATE_BUCKETS`.
-
----
-
-## 4. Headers HTTP e configuração de borda
-
-> 📦 A lib já entrega defaults seguros via `lib/vite/security-headers.ts` (dev) e `lib/vite/csp-policy.ts`. Em produção, replicar na borda (Cloudflare / Nginx).
-
-- **CORS:** `Access-Control-Allow-Origin` com allowlist explícita (`https://educacao.sabergestao.com.br`, `https://desempenho.sabergestao.com.br`, etc). **Nunca `*`** em API autenticada. Métodos `TRACE` e `CONNECT` bloqueados.
-- **CSP** obrigatória em todas as páginas:
-
-  ```
-  Content-Security-Policy: default-src 'self';
-    script-src 'self' 'nonce-{random}';
-    style-src 'self' 'unsafe-inline' fonts.googleapis.com;
-    img-src 'self' data: https:;
-    connect-src 'self' *.supabase.co wss://*.supabase.co;
-    frame-ancestors 'none'; object-src 'none'; base-uri 'self';
-  ```
-
-- **Clickjacking:** `X-Frame-Options: DENY` + `frame-ancestors 'none'` em todos os domínios.
-- **Cookies:** `SameSite=Strict`/`Lax` salvo necessidade cross-site comprovada. `HttpOnly; Secure` sempre. Evitar `SameSite=None`.
-- Manter: HSTS, `X-Content-Type-Options: nosniff`, `Referrer-Policy`, COOP, CORP.
-
----
-
-## 5. Sessão, tokens e segredos
-
-- **JWT fora do `localStorage`.** Storage baseado em cookie `HttpOnly; Secure; SameSite=Strict`. Token de sessão não pode ser legível por `localStorage.getItem()`. Alternativa mínima: `sessionStorage` com expiração curta + refresh em background.
-  - *Status na lib:* breaking change planejado para `v2.0.0` (Bloco 3). Hoje o `TokenManager` ainda usa `localStorage`; opte por `securityMode="strict"` para receber warnings.
-- **API key fora da URL.** Em WebSocket/Realtime, passar via `Sec-WebSocket-Protocol`, nunca em query string (vaza em logs, proxy, CDN, referrer). A lib já remove `apikey=` de qualquer URL no `SupabaseSingleton`.
-- **Segredos só em env do servidor / Supabase secrets.** Nunca em código, nunca em `VITE_*`.
-  - Exceção documentada: `VITE_SUPABASE_PK_OVERRIDE` (publishable key, pública por definição).
-
----
-
-## 6. Exposição de informação
-
-> 📦 Use `import { generateId } from 'forlogic-core'` (UUID v4 via `crypto.randomUUID()`).
-
-- **IDs:** UUID v4 ou nanoid. **Proibido** `Date.now()` / timestamp Unix como identificador.
-- **PostgREST:** desabilitar hints de schema em produção (`--no-hint`/env), restringir `db-extra-search-path`. Respostas de erro não revelam nomes de tabela/schema.
-- **Erros genéricos para o cliente**; detalhe técnico só em log interno. A lib já sanitiza via `sanitizeErrorMessage` em `ErrorService`.
-
----
-
-## 7. Baseline OWASP Top 10 2021 (checklist de aceite)
-
-Ordem por incidência neste ecossistema:
-
-| # | Item | Foco |
-|---|------|------|
-| **A01** | Broken Access Control | Falha dominante. Autorização no servidor, ownership via JWT, default deny, RLS habilitado. Sem IDOR. |
-| **A02** | Cryptographic Failures | Sem segredo no front; token em cookie seguro; key fora da URL; TLS/HSTS; nada sensível em log. |
-| **A03** | Injection | Queries parametrizadas; nunca concatenar input em SQL ou `filter` PostgREST dinâmico; validar entrada por schema (zod) no servidor; escapar saída. |
-| **A04** | Insecure Design | Modelar abuso, não só caminho feliz. Validar existência, rate limit, idempotência, `UNIQUE`. |
-| **A05** | Security Misconfiguration | CORS restrito, CSP, anti-clickjacking, sem hints de schema, sem headers técnicos, buckets privados, cookies sãos. |
-| **A06** | Vulnerable Components | Fixar versões; `npm audit`/dependabot; remover libs ociosas. |
-| **A07** | Authentication Failures | Exigir JWT válido em endpoint sensível; nunca autenticar por `anon`; validar expiração/assinatura; rate limit em auth. |
-| **A08** | Software & Data Integrity | Campos imutáveis no banco; audit trail protegido; magic bytes em upload. |
-| **A09** | Logging & Monitoring | Logar ações sensíveis (quem, quando, IP, UA) sem vazar PII; sem log silencioso de falha de autorização. |
-| **A10** | SSRF | Fetch server-side com URL derivada de input passa por allowlist; sem requisição a IP interno/metadata. |
-
----
-
-## 8. Definition of Done de segurança (checklist de PR)
-
-Antes de marcar qualquer tarefa como concluída, confirme cada item **ou justifique a exceção**:
-
-- [ ] Toda tabela tocada tem RLS habilitado e policy testada (positivo **e** negativo).
-- [ ] Toda decisão de autorização usa `auth.uid()` / `jwt.sub`, não input do cliente.
-- [ ] Edge Function valida JWT e ownership **antes** da lógica de negócio.
-- [ ] Bucket envolvido é privado; arquivos servidos via signed URL; upload com allowlist de MIME + magic bytes.
-- [ ] Headers de resposta: CORS allowlist, CSP, `X-Frame-Options`/`frame-ancestors`, sem headers técnicos vazados.
-- [ ] Nenhum segredo em código/bundle/URL; token de sessão fora de `localStorage` (ou tracking issue aberta).
-- [ ] IDs são UUID/nanoid; sem timestamp como identificador.
-- [ ] Entradas validadas por schema no servidor; saídas escapadas (XSS).
-- [ ] Campos imutáveis impostos no banco; ação sensível gera log de auditoria.
-- [ ] Caso de abuso (mass exploit, IDOR, escalation) considerado e mitigado.
-- [ ] `npm run check:rls` passa.
-
----
-
-## 9. Rastreabilidade pentest → regra
-
-| ID | Achado | Regra que previne |
-|----|--------|-------------------|
-| C1 | `generate-certificate` sem auth | §2 JWT+ownership, §1.1 |
-| C2 | `complete-lesson` sem auth | §2 JWT+ownership |
-| C3 | Bypass painel de Gestão | §1.1 RLS em permissions, default deny |
-| C4 | Upload + bucket público | §3 inteiro |
-| H1 | IDOR `one_on_one_tasks` | §1.1 policies, §0.1 |
-| H2 | Cursos privados/inativos vazados | §1.3 |
-| H3 | Inflação de matrículas | §1.4 |
-| M1 | CORS wildcard | §4 CORS |
-| M2 | CSP ausente | §4 CSP |
-| M3 | JWT em `localStorage` | §5 |
-| M4 | Clickjacking | §4 anti-clickjacking |
-| B1 | Error disclosure | §2 erro genérico, §6 |
-| B2 | `SameSite=None` | §4 cookies |
-| B3 | Timestamp como ID | §6 IDs |
-| B4 | API key na URL | §5 |
-| B5 | Deletadas + campos imutáveis | §1.2, §1.5 |
-| I1 | Schema via error hints | §6 PostgREST |
-
----
-
-## 10. O que a lib (`forlogic-core`) já entrega
-
-| Helper / Default | Onde | Cobre |
-|------------------|------|-------|
-| `generateId()` (UUID v4) | `forlogic-core` (barrel) | §6 B3 |
-| `sanitizeErrorMessage` + `ErrorService` | interno | §2 B1, §6 |
-| `SupabaseSingleton` (remove `apikey` da URL, bloqueia `/auth/v1/user`) | interno | §5 B4 |
-| `securityMode="strict"` em `CoreProviders` | opt-in | §0, §2, §5 |
-| Subpath `forlogic-core/edge` (`requireUserJWT`, `requireOwnership`, `rateLimit`, `stripTechHeaders`, `safeJsonParse`, `jsonError`) | `npm:forlogic-core/edge` | §2 |
-| Subpath `forlogic-core/storage` (`validateMagicBytes`, `sanitizeAndRandomizeFilename`, `getSignedUrl`, `SAFE_*_MIME`, `RECOMMENDED_PRIVATE_BUCKETS`) | `forlogic-core/storage` | §3 |
-| Subpath `forlogic-core/validation` (schemas zod compartilhados) | `forlogic-core/validation` | §1.1, A03 |
-| Templates SQL (`01-user-owned-table.sql`, `02-user-roles.sql`) | `lib/templates/migrations/` | §1.1, §1.4 |
-| `scripts/check-rls.ts` + `npm run check:rls` | CI | §1.1 |
-| `lib/vite/security-headers.ts` (COOP/CORP, bloqueio TRACE/CONNECT, `Vary: Origin`, X-Frame DENY) | dev server | §4 |
-
-Itens **fora de escopo** da lib (responsabilidade do projeto):
-- RLS de tabelas específicas do produto.
-- Configuração Cloudflare / WAF / rate-limit de borda.
-- Endpoint próprio para emitir cookie `HttpOnly` (necessário para mover JWT do `localStorage`).
-- Hardening do Keycloak.
-- `--no-hint` no PostgREST.
-
----
-
-*Origem: Pentest Educação & Desempenho / Qualiex (ForLogic) · 2026-05-20 · 17 achados confirmados. PTES + OWASP Top 10 2021 + ASVS L2.*