adaptador-planilhas/docs/spreadsheet-adapter/02-auth-workspace-permissions.md

Autenticação, workspace, permissões e RLS

Fluxo

1. Supabase Auth (getUser) quando NEXT_PUBLIC_SUPABASE_URL e a anon key existem.
2. Workspace ativo no cookie elo_pro_workspace_id, validado contra workspace_members.
3. Fora de produção, ADAPTER_DEV_AUTH=1 aceita um cookie assinado sem senha, só para identidades já existentes no banco.
4. A flag workspace_module_flags.module_key = spreadsheet_adapter precisa estar ligada.
5. Logout chama supabase.auth.signOut() e apaga o cookie local de desenvolvimento.
6. src/proxy.ts só redireciona quem não tem cookie de sessão. A autorização real continua no servidor.

Não existe formulário de senha, tabela de credencial ou refresh token do Adaptador. Superadmin (profiles.is_superadmin) não ganha bypass dentro do módulo.

Fonte do workspace

O identificador vem do cookie de plataforma ou da sessão de desenvolvimento. Consultas usam o valor já validado no servidor. Payload do browser não escolhe o tenant.

Matriz

Ação	Owner/Admin	Gestor/Agent
Usar módulo habilitado	Sim	Sim
Operar fonte, mapa, prévia, processo e download	Sim	Sim
Enviar modelo	Sim	Só se allow_non_admin_model_upload
Excluir modelo e alterar a flag de upload	Sim	Não

RLS

migrations/0003_rls.sql liga e força RLS. O aplicativo faz set local role app_user e app.user_id. Funções security definer resolvem membership, flag, upload e job ativo sem vazamento entre workspaces. A conexão de serviço (worker, seed, flag, limpeza) não passa por app_user e permanece só no servidor.

Testes

tests/integration/rls.test.ts cobre leitura/escrita cruzada, insert bloqueado por RLS, flag desligada mesmo com contexto mentiroso e agent impedido de gravar settings. tests/integration/journey.test.ts cobre agent sem upload, upload após a setting e exclusão negada.