dev-security-patterns

Security Patterns — Software Complexo

JWT — Autenticação

// Geração
const accessToken = jwt.sign(
  { userId: user.id, role: user.role },
  process.env.JWT_SECRET!,
  { expiresIn: '15m' }   // curto
)
const refreshToken = jwt.sign(
  { userId: user.id },
  process.env.JWT_REFRESH_SECRET!,
  { expiresIn: '7d' }
)

// Validação em middleware
const verifyToken = (req, res, next) => {
  const token = req.headers.authorization?.split(' ')[1]
  if (!token) return res.status(401).json({ error: { code: 'UNAUTHORIZED', requestId: req.requestId } })
  try {
    req.user = jwt.verify(token, process.env.JWT_SECRET!)
    next()
  } catch {
    return res.status(401).json({ error: { code: 'UNAUTHORIZED', requestId: req.requestId } })
  }
}

Regras: Access token 15min. Refresh token 7 dias com rotação. Nunca localStorage — usar httpOnly cookie. Secret mínimo 256 bits.

Autorização — RBAC

const requireRole = (...roles: string[]) => (req, res, next) => {
  if (!roles.includes(req.user.role)) {
    return res.status(403).json({ error: { code: 'FORBIDDEN', requestId: req.requestId } })
  }
  next()
}

// Uso
router.delete('/users/:id', verifyToken, requireRole('admin'), deleteUser)

Row Level Security (RLS — Supabase/Postgres)

-- Habilitar RLS
ALTER TABLE orders ENABLE ROW LEVEL SECURITY;

-- Usuário vê apenas seus dados
CREATE POLICY "user_own_orders" ON orders
  FOR ALL USING (auth.uid() = user_id);

-- Admin vê tudo — papel vem de app_metadata (só o servidor escreve)
CREATE POLICY "admin_all_orders" ON orders
  FOR ALL USING ((auth.jwt() -> 'app_metadata' ->> 'role') = 'admin');

RLS é a última linha de defesa — aplicar em todas as tabelas com dados de usuário.

• auth.jwt() ->> 'role' (claim de topo) é o papel do Postgres (authenticated/anon), não o papel da aplicação — política escrita assim nunca casa.
• Nunca autorizar por user_metadata (raw_user_meta_data): o próprio usuário edita esse campo pela API de auth e se dá qualquer papel. Papel de aplicação mora em app_metadata ou numa tabela de papéis.
• "RLS ativo" não prova nada: RLS ligado sem policy nega tudo; RLS com USING (true) libera tudo. Leia a policy.
• Bucket do Storage é tabela também (storage.objects) — USING (true) ali expõe todos os arquivos.