Documentação de Apoio às 7 Fases

Você é um especialista sênior em segurança de aplicações Next.js e TypeScript.
Execute a correção da vulnerabilidade SEC-01 no repositório TecFinControlVolut.

OBJETIVO:
Remover a chave secreta JWT hardcoded padrão e implementar validação fail-fast de inicialização (startup check).

PASSOS ESPECÍFICOS:
1. Em src/lib/auth.ts:
   - Remova a constante DEFAULT_SECRET.
   - Na função getSecretKey(), exija process.env.AUTH_SECRET || process.env.JWT_SECRET.
   - Se ausente ou com menos de 32 caracteres, lance: throw new Error("[SEGURANÇA] A variável de ambiente AUTH_SECRET é obrigatória e deve ter pelo menos 32 caracteres.");
2. Em src/middleware.ts:
   - Remova a constante DEFAULT_SECRET e aplique validação idêntica.
3. Em docker-compose.yml:
   - Altere ${AUTH_SECRET:-...} para ${AUTH_SECRET:?Variável AUTH_SECRET obrigatória}.
4. Em .env.example:
   - Substitua por instrução para gerar chave forte via openssl rand -base64 32.
5. Crie teste em scripts/test-sec01.ts comprovando que chaves curtas abortam e que tokens legados são rejeitados.

Você é um especialista sênior em segurança de bancos de dados relacionais e Prisma ORM.
Execute a correção da vulnerabilidade SEC-02 no repositório TecFinControlVolut.

OBJETIVO:
Blindar o isolamento multi-tenant na Server Action unpairTransferAction em src/actions/transfer-actions.ts.

PASSOS ESPECÍFICOS:
1. Abra src/actions/transfer-actions.ts.
2. Na função unpairTransferAction, modifique o bloco where da busca reciprocal:
   bankAccount: { entity: { familyId: session.familyId } }
3. Envolva as atualizações das duas transações dentro de um db.$transaction atômico.
4. Crie script de teste em scripts/test-sec02.ts comprovando que contas de outros tenants jamais são afetadas.

Você é um arquiteto sênior de software e segurança em Next.js e TypeScript.
Execute a correção da vulnerabilidade SEC-03 no repositório TecFinControlVolut.

OBJETIVO:
Implementar Role-Based Access Control (RBAC) no backend protegendo operações administrativas contra usuários MEMBER.

PASSOS ESPECÍFICOS:
1. Em src/lib/auth.ts: exporte requireAdmin(): Promise<SessionPayload> que valida session.role === "ADMIN".
2. Em src/actions/account-actions.ts: exija requireAdmin() em deleteAccountAction.
3. Em src/actions/entity-actions.ts: exija requireAdmin() em deleteEntityAction.
4. Em src/actions/closing-actions.ts: exija requireAdmin() em reopenClosingAction e generateClosingAction.
5. Em src/actions/category-actions.ts e transfer-actions.ts: exija requireAdmin() nas ações de exclusão.
6. Crie teste em scripts/test-sec03.ts comprovando que usuários MEMBER recebem erro de permissão.

Você é um especialista sênior em segurança de software e controle de acesso em bancos relacionais.
Execute a correção da vulnerabilidade SEC-04 no repositório TecFinControlVolut.

OBJETIVO:
Mitigar vulnerabilidades de IDOR na vinculação de categorias e tipos de transferência contábil.

PASSOS ESPECÍFICOS:
1. Em src/actions/transaction-actions.ts:
   - Em createTransactionAction e updateTransactionAction: busque db.category.findFirst({ where: { id: categoryId, familyId: session.familyId } }). Se nulo, retorne erro.
2. Em src/actions/transfer-actions.ts:
   - Em createTransferAction e pairTransactionsAction: valide que transferTypeId pertence à família ou tem isSystemDefault: true.
3. Crie teste em scripts/test-sec04.ts comprovando que o Tenant A não consegue utilizar IDs do Tenant B.

Você é um engenheiro de software sênior com especialização em segurança e mitigação de CWE-1236.
Execute a correção da vulnerabilidade SEC-05 no repositório TecFinControlVolut.

OBJETIVO:
Sanitizar inputs de texto inseridos em planilhas Excel geradas pelo ExcelJS em src/lib/closings/excel-generator.ts.

PASSOS ESPECÍFICOS:
1. Abra src/lib/closings/excel-generator.ts.
2. Adicione sanitizeSpreadsheetText(value: string | null | undefined): string que adiciona apóstrofo (') no início caso comece com =, +, -, @, \t ou \r.
3. Aplique nas colunas de descrição e notas em todas as abas.
4. Mantenha intactas as fórmulas legítimas do sistema como { formula: "SUM(...)" }.
5. Crie teste em scripts/test-sec05.ts validando que payloads de fórmula são escapados.

Você é um especialista sênior em infraestrutura Docker e segurança de banco de dados.
Execute a correção da vulnerabilidade SEC-06 no repositório TecFinControlVolut.

OBJETIVO:
Saneamento de credenciais padrão e senhas fixas em docker-compose.yml, .env.example e prisma/seed.ts.

PASSOS ESPECÍFICOS:
1. Em docker-compose.yml: exija POSTGRES_PASSWORD: ${POSTGRES_PASSWORD:?Defina no .env}.
2. Em prisma/seed.ts: adicione trava bloqueando execução se NODE_ENV === "production" e torne a senha parametrizável via SEED_ADMIN_PASSWORD.
3. Em .env.example: substitua senhas estáticas por instruções de senhas seguras.

Você é um especialista sênior em segurança web e manipulação de arquivos binários no Node.js.
Execute a correção da vulnerabilidade SEC-07 no repositório TecFinControlVolut.

OBJETIVO:
Implementar validação estrita de magic bytes para WebP e adicionar cabeçalhos defensivos na rota de entrega de anexos.

PASSOS ESPECÍFICOS:
1. Em src/lib/storage.ts: valide bytes RIFF (0-3) e WEBP (8-11) em detectMimeType e remova o fallback cego por extensão.
2. Em src/app/api/attachments/[id]/route.ts: adicione X-Content-Type-Options: nosniff e Content-Security-Policy: default-src 'none'; sandbox.
3. Crie teste em scripts/test-sec07.ts comprovando rejeição de arquivos falsos com extensão .webp.