| # CODEBASE AUDIT |
|
|
| ## Resumo executivo |
| Status: **Amarelo** — a base de Next.js + Prisma + NextAuth está estruturada, com hashing de senha, validação por Zod, rate limit e fluxo de upload assinado para áudios. Ainda faltam camadas críticas: a geração de planos via IA é só placeholder, o driver de armazenamento cai para modo local inseguro, não há verificação de consentimento nem RBAC fino no backend, e os fluxos de teste/CI dependem de dependências não instaladas (não executadas nesta auditoria). |
|
|
| ## Mapa de arquitetura |
| - **Stack principal**: Next.js 15 (App Router) com React 19 RC, TypeScript, Tailwind/shadcn, NextAuth (credenciais + Prisma adapter), Prisma/PostgreSQL, AWS SDK para S3 (presign) e Playwright/Vitest. |
| - **Rotas de página**: `/` (landing), `/login`, `/register`, `/dashboard` (layout com subpáginas `settings`, `students`, `recordings`, `plans`), `/capture` (fluxo móvel). Todas protegidas por middleware exceto landing/auth. |
| - **APIs App Router**: |
| - **Autenticação**: `/api/auth/[...nextauth]` (NextAuth), `/api/auth/register` (cria org+usuário ADMIN, bcrypt, rate limit). |
| - **Estudantes/consentimento**: `/api/students` (GET/POST), `/api/students/[id]` (GET/PATCH/DELETE), `/api/students/[id]/consent` (GET último consentimento). |
| - **Gravações**: `/api/storage/sign-upload` (presign de upload), `/api/storage/sign-download` (presign de download), `/api/recordings` (GET/POST registro no DB). |
| - **Planos**: `/api/plans/generate` retorna 501 (ainda não implementado). |
| - **Modelos de dados (Prisma)**: Organization ↔ Membership ↔ User (roles ADMIN/TEACHER); Student (código único por org, nome/notas opcionais) ↔ Consent (audioAllowed/shareForResearch, signedByUserId) ↔ Recording (orgId/studentId/storageKey/mime/duração, autor); Plan (orgId, autor, needs/plan em JSON). |
| - **Fluxo de áudio**: página `/capture` usa MediaRecorder, valida MIME/tamanho (10MB), obtém URL assinada, envia para storage e registra gravação. Storage provider tenta S3 com presign Put/Get; se faltar config, usa driver "local" sem autenticação (URL query) e cache em memória. |
| - **Geração de planos (IA)**: schema `ActivityPlan` definido com Zod, mas endpoint devolve 501; não há chamadas ao OpenAI nem persistência de planos. |
|
|
| ## Achados de segurança e privacidade |
| - **Positivos**: senhas hashadas com bcrypt; rate limiting em memória para login/registro/geração; validação por Zod em todas as rotas expostas; chaves de objeto de áudio incluem org/estudante; download verifica prefixo da org; códigos de estudante únicos por organização (pseudonimização). |
| - **Riscos/ausências**: |
| - **Consentimento apenas no cliente**: APIs de upload/gravação não checam consentimento nem se shareForResearch foi negado; qualquer membro autenticado da org pode gravar. |
| - **RBAC frouxo**: enum de papéis existe, mas APIs não usam `requireRole`; TEACHER pode criar/alterar estudantes, gravar e baixar áudios sem restrição. |
| - **Armazenamento local inseguro**: fallback automático para driver local gera URLs públicas sem assinatura/expiração; risco de exposição de áudio se variáveis S3 faltarem. |
| - **Geração de planos sem guardrails**: endpoint retorna 501, sem validação de entrada/saída efetiva nem isolamento de chave OpenAI; potencial risco ao implementar sem checagens. |
| - **Faltam constraints**: Membership não tem unicidade (usuário pode repetir na mesma org), Consent não garante único registro atual por estudante, Recording não impõe size/mime no backend além do enum; cascades não definidas. |
| - **Proteções adicionais**: rate limit não persistente (multi-instância vulnerável), logs de erro podem vazar stack traces, não há scrubbing de dados sensíveis em logs. |
| - **Uploads**: validação de tamanho/tipo só no sign-upload; download aceita qualquer key com prefixo org (sem checar MIME/expiração). Nenhum antivírus ou checagem de duração. |
| - **Tests/CI dependem de deps não instaladas**: não executados nesta auditoria (restrição solicitada); risco de regressões ocultas. |
|
|
| ## Testes e CI |
| - **Scripts**: lint/build/test (Vitest) e test:e2e (Playwright) configurados em `package.json`; Prisma seed configurado. |
| - **Configurações**: Vitest em ambiente Node com alias `@`; Playwright usa Chromium e `E2E_BASE_URL`; CI GitHub Actions roda `npm ci`, lint, vitest e build (sem e2e). |
| - **Estado atual**: Dependências não instaladas por orientação; nenhum teste/lint/build executado nesta auditoria. |
|
|
| ## Top 10 correções priorizadas (menor esforço → maior) |
| 1. Acrescentar checagem de consentimento (audioAllowed/shareForResearch) em `/api/storage/sign-upload` e `/api/recordings` para bloquear uploads sem autorização. |
| 2. Aplicar RBAC com `requireRole` nas rotas de estudantes/gravações/planos (ex.: apenas ADMIN cria/edita; TEACHER apenas lê/grava quando autorizado). |
| 3. Endurecer driver local de storage: habilitar somente em dev, adicionar token/HMAC com expiração ou remover fallback automático em produção. |
| 4. Adicionar endpoint para registrar/atualizar consentimento (POST/PATCH em `/api/students/[id]/consent`) com auditoria de quem assinou e data. |
| 5. Implementar validação adicional de uploads: reconfirmar MIME/tamanho no backend, rejeitar keys fora do padrão e registrar logs de auditoria. |
| 6. Definir constraints adicionais no Prisma (unicidade Membership por org/usuário; cascades ou ON DELETE RESTRICT onde fizer sentido; índice para Recording). Migrar DB conforme ajustes. |
| 7. Implementar geração de planos IA com schema `ActivityPlan`, chamada server-side ao OpenAI Responses API, e persistir planos vinculados à org/usuário. |
| 8. Persistir rate limiting (Redis/Upstash) e aumentar janelas para fluxos sensíveis (auth/upload), com métricas básicas de abuso. |
| 9. Ajustar storage S3 para exigir envs completos em produção (bucket/region/credenciais) e considerar criptografia/expiração curta para URLs. |
| 10. Criar cobertura automatizada (Vitest/Playwright) para consentimento, RBAC e upload, e condicionar e2e a variável de ambiente (ex.: `E2E_RUN`). |
|
|
