Corrige quatro defeitos de runtime do worker e dos scripts operacionais

Os quatro apareceram ao exercitar o layout de runtime da imagem — apenas
node_modules de produção, src, scripts e migrations — e nenhum aparecia na
suíte de testes nem no build. Os dois primeiros formavam uma armadilha mútua.

1. O CLI do `tsx` cria processo filho (PIDs medidos: 20840 contra 21096).
   O SIGTERM do `docker stop` pararia no pai, o worker nunca rodaria o
   handler, o lock esperaria o TTL de 120s e o `stop_grace_period` só
   atrasaria um SIGKILL. Passa a ser `node --import tsx`, mesmo processo.
2. Top-level await nos scripts falha com `--import tsx`, porque sem
   `"type": "module"` o esbuild gera CJS. `migrate`, `worker`, `seed-staging`,
   `flag`, `cleanup` e `check-bucket` não executariam: a migração não rodaria
   e o worker não subiria. `runScript`/`runWithDb` resolvem sem mudar o
   module type do projeto.
3. `import "server-only"` em `worker-loop.ts`: o pacote lança fora do bundler
   do Next, e o worker morria no start.
4. `@react-pdf/renderer` carregado no import de `process-job.ts` falha com
   ERR_PACKAGE_PATH_NOT_EXPORTED ao resolver a hifenização fora do bundler,
   derrubando worker e cleanup. O PDF sai sob demanda no download, então o
   import passou a ser tardio, dentro do ramo que o usa.

Além disso:

- O loop do worker saiu do script para `worker-loop.ts`, testável sem subir
  processo. O script cuida só de sinais, cadência e bootstrap.
- Desligamento gracioso espera o tick corrente para o `finally` liberar o
  lock. Um job que ainda não começou fica `queued`: nada pela metade.
- Heartbeat por tick, lido pelo healthcheck do contêiner. Processo vivo mas
  travado passa em qualquer verificação de PID.
- O worker recusa iniciar com migration pendente, e relê o contexto do dono a
  cada job: papel e feature flag podem ter mudado desde o enfileiramento.
- `verify-config`, `check-bucket`, `seed-staging` e `smoke-staging` novos. O
  smoke tem fase autenticada que só roda com credencial fornecida pela
  operação e, sem ela, reporta PENDENTE em vez de aprovado.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

scripts/set-flag.ts

@@ -1,30 +1,37 @@
-import path from "node:path";
-import { createFileDb } from "../src/infra/db/pglite";
-import { createPostgresDb } from "../src/infra/db/postgres";
+import { bootstrapScript, describeTarget, runWithDb } from "./_bootstrap";
 
 const workspaceId = process.argv[2];
-const enabled = process.argv[3] !== "off";
-if (!workspaceId) {
+const action = process.argv[3];
+if (!workspaceId || !action || !["on", "off"].includes(action)) {
   console.error("uso: npm run flag -- <workspace_id> on|off");
   process.exit(1);
 }
-const databaseUrl = process.env.DATABASE_URL;
-const db = databaseUrl ? createPostgresDb(databaseUrl) : await createFileDb(path.join(process.cwd(), ".data", "pglite"));
-await db.withService(async (query) => {
-  await query.query(
-    `insert into public.workspace_module_flags (workspace_id, module_key, enabled)
-     values ($1, 'spreadsheet_adapter', $2)
-     on conflict (workspace_id, module_key) do update set enabled = excluded.enabled, updated_at = now()`,
-    [workspaceId, enabled],
-  );
-  await query.query(
-    `insert into public.audit_log (workspace_id, actor_id, action, resource_type, resource_id, result, metadata)
-     select $1, m.user_id, 'module.flag_changed', 'workspace', $1, 'success', jsonb_build_object('enabled', $2::boolean)
-     from public.workspace_members m
-     where m.workspace_id = $1 and m.role = 'owner'
-     limit 1`,
-    [workspaceId, enabled],
+const enabled = action === "on";
+
+bootstrapScript("set-flag");
+
+runWithDb("set-flag", async (db) => {
+  const existing = await db.withService((query) =>
+    query.query<{ name: string }>(`select name from public.workspaces where id = $1`, [workspaceId]),
   );
+  if (!existing[0]) {
+    throw new Error(`workspace ${workspaceId} não existe em ${describeTarget()}. Nada foi alterado.`);
+  }
+  await db.withService(async (query) => {
+    await query.query(
+      `insert into public.workspace_module_flags (workspace_id, module_key, enabled)
+       values ($1, 'spreadsheet_adapter', $2)
+       on conflict (workspace_id, module_key) do update set enabled = excluded.enabled, updated_at = now()`,
+      [workspaceId, enabled],
+    );
+    await query.query(
+      `insert into public.audit_log (workspace_id, actor_id, action, resource_type, resource_id, result, metadata)
+       select $1, m.user_id, 'module.flag_changed', 'workspace', $1, 'success', jsonb_build_object('enabled', $2::boolean)
+       from public.workspace_members m
+       where m.workspace_id = $1 and m.role = 'owner'
+       limit 1`,
+      [workspaceId, enabled],
+    );
+  });
+  console.log(`spreadsheet_adapter ${enabled ? "ligado" : "desligado"} para "${existing[0].name}" (${workspaceId})`);
 });
-console.log(`spreadsheet_adapter ${enabled ? "ligado" : "desligado"}`);
-await db.close();