菜单
Cria um endpoint REST completo no padrão do projeto — atualiza a especificação OpenAPI antes do código, implementa validação, autorização RBAC e RLS, segue o envelope de resposta padrão e escreve os testes de integração. Use ao adicionar qualquer rota à API.
用 Codex 或 Claude 帮你安装 复制这段 Prompt，粘贴到 Codex、Claude 或其他助手里，让它检查 Skill 页面并帮你完成安装。
基于 SOC 职业分类
Orquestra o ciclo completo de um incremento no modelo SSD — situar, planejar, construir, verificar, revisar, consolidar. Use no início de qualquer incremento não-trivial; é a skill que conduz o agente principal pelos 6 passos do capítulo 24 do Manual.
Escreve uma migração SQL versionada, progressiva e reversível, com o cuidado redobrado que o banco PostgreSQL exige em produção. Use ao adicionar tabela, evoluir schema, criar política RLS, ou semear dado de taxonomia.
Cria uma tabela PostgreSQL no padrão obrigatório do projeto — chave dupla, carimbos temporais, territorialização, RLS, índices apropriados e migração versionada. Use ao adicionar qualquer tabela a um domínio existente ou novo.
Cria a estrutura completa de um módulo de domínio no backend — fronteira pública, regras de negócio, acesso a dados — no padrão modular do projeto. Use ao introduzir um novo domínio D16–D20 ou ao extrair um domínio existente do código atual.
Escreve a política de Row Level Security para uma tabela territorializada ou com dado pessoal, garantindo isolamento por microrregião como regra de banco. Use ao criar qualquer tabela com `microrregiao_id` ou com classificação Pessoal/Sensível.
Aplica a checklist de revisão de segurança (capítulo 31 do Manual + regras `seguranca.md` e `lgpd.md`) sobre um incremento. Use após qualquer mudança em endpoints, políticas de banco, schema, ou código de autenticação/autorização — sempre via subagente `revisor-seguranca` para preservar isolamento.
| name | novo-endpoint |
| description | Cria um endpoint REST completo no padrão do projeto — atualiza a especificação OpenAPI antes do código, implementa validação, autorização RBAC e RLS, segue o envelope de resposta padrão e escreve os testes de integração. Use ao adicionar qualquer rota à API. |
docs/catalogo-endpoints.md. Confirmar o domínio em docs/catalogo-dominios.md.services/api/openapi.yaml com:
/v1/<recurso> no pluralsecurity declarando o regime (público / autenticado / autorizado)services/backend/<dominio>/:
requireCapability('<cap>') ou equivalente. Verificação antes de qualquer efeito.regras.ts do módulo. Nunca na camada de transporte.repositorio.ts. Confia na RLS do banco como última linha de defesa.dados e paginacao (em coleção).*.integration.test.ts:
revisor-seguranca e — se há dado pessoal — revisor-lgpd.// services/backend/d11-demandas/rota.ts
import { z } from "zod";
import { requireCapability } from "@/lib/auth";
import { CategoriasDemanda } from "@/packages/taxonomias";
import { registrarDemanda } from "./regras";
const Entrada = z.object({
titulo: z.string().min(3).max(200),
area: z.enum(CategoriasDemanda),
microrregiao_id: z.string().uuid(),
});
export async function POST(req: Request) {
const session = await requireCapability("registrar:demanda");
const dados = Entrada.parse(await req.json());
const demanda = await registrarDemanda({
autor_uuid: session.uuid,
...dados,
});
return envelope({ dados: demanda }, 201);
}
console.log em lugar de logger estruturado.Spec OpenAPI atualizada, código implementado em camadas, testes de integração verdes, código de erro documentado. Aprovação dos revisores antes do merge.