revisao-seguranca

name	revisao-seguranca
description	Aplica a checklist de revisão de segurança (capítulo 31 do Manual + regras `seguranca.md` e `lgpd.md`) sobre um incremento. Use após qualquer mudança em endpoints, políticas de banco, schema, ou código de autenticação/autorização — sempre via subagente `revisor-seguranca` para preservar isolamento.

Procedimento

A skill é chamada pelo subagente revisor-seguranca (read-only) com o diff do incremento como entrada. Para cada item, registra um achado com:

• severidade (critica / alta / media / baixa)
• arquivo + linha
• descrição do problema
• correção recomendada

Checklist

Autenticação

• Identidade verificada antes de qualquer efeito em endpoint autorizado.
• Senhas armazenadas como hash forte (bcrypt/argon2). Nenhuma operação retorna ou loga senha.
• Tokens JWT com expiração curta (minutos). Renovação revogável.
• MFA exigido para P4 (Coordenação Geral) e P5 (Administração).

Autorização (RBAC)

• Todo endpoint não-público chama requireCapability('<cap>') apropriada.
• Capabilities são as do enum em roles.ts; sem invenção.
• A capability exigida corresponde à operação (operação destrutiva exige cap forte).

Territorialização (RLS)

• Toda tabela com microrregiao_id (ou similar) tem ENABLE ROW LEVEL SECURITY.
• Política USING cobre SELECT; WITH CHECK cobre INSERT/UPDATE.
• Nenhuma política tem USING (true).
• Teste de integração confirma isolamento entre microrregiões.

Validação em 3 camadas

• Validação de entrada na API (zod, joi ou equivalente) — tipo, formato, obrigatoriedade, taxonomia.
• Constraints no banco (NOT NULL, CHECK, FK, UNIQUE).
• Mensagem de erro padrão (envelope erro) sem vazar detalhe técnico.

Exposição de dado pessoal

• Endpoint não retorna campos Pessoal/Sensível quando não-solicitados.
• Endpoint público (/publico/*) serve apenas colunas Público.
• Resposta usa uuid público, não id interno.
• Logger estruturado não imprime PII em texto claro.

Segredos

• Nenhum token, senha ou string de conexão em código, log, arquivo versionado.
• .mcp.json usa ${VARIAVEL}, não literais.
• .env está em .gitignore; .env.example documenta sem valores.

Eventos (idempotência)

• Consumidor de evento é idempotente — processar o mesmo evento 2× não duplica efeito.
• Identificador de evento registrado para deduplicação.

Auditoria

• Ações sensíveis (aprovações, alterações de dado pessoal, mudanças de permissão) registram em auditoria.registro_auditoria.
• Registro inclui: identidade, ação, recurso, instante, território, estado antes/depois.

Saída

Se achados existem:

ACHADOS DE SEGURANÇA
- [CRÍTICA] services/api/atores/rota.ts:42
  Endpoint POST /atores não verifica capability antes de criar.
  Correção: adicionar `requireCapability('cadastrar:ator')` na linha 38.

- [ALTA] db/migracoes/0043_atores.sql:88
  Tabela atores.contato com `email TEXT` (Pessoal) sem RLS.
  Correção: aplicar skill `politica-rls` e gerar migração 0044.

- [MÉDIA] services/backend/d05-eventos/regras.ts:120
  console.log(usuario.email) — PII em log.
  Correção: trocar por logger.info({ usuario_uuid: usuario.uuid }).

Se nada encontrado:

INCREMENTO APROVADO NA REVISÃO DE SEGURANÇA.
Nenhum achado em RBAC, RLS, validação, exposição, segredos, eventos ou auditoria.

Antipatterns na própria revisão

• Aprovar incremento "porque parece OK" sem percorrer o checklist.
• Marcar achado como baixa sem justificativa.
• Sugerir correção que viola outro princípio do projeto.

Limite de papel

Esta skill não escreve código. Apenas aponta achados e sugere correção. A implementação volta para o engenheiro-api ou arquiteto-dados.