H-03: GraphQL Playground e IDE acessível em produção

[ElioNeto]

🟠 Alto | Segurança | API/GraphQL

Problema

GET /graphql/playground e GET /graphql retornam o Playground interativo. Qualquer um pode executar queries arbitrárias.

Impacto

Ferramenta de desenvolvimento exposta em produção. Atacante pode explorar schema GraphQL, fazer queries profundas, enumerar dados.

Evidência

src/api/mod.rs:491-493: playground registrado sem verificação de ambiente.

Recomendação

Desabilitar playground quando env!("PROFILE") != "debug" ou via config graphql_playground_enabled: bool.

Validação

GET /graphql/playground em modo release → deve retornar 404.

Prioridade: Alta

[ElioNeto]

Resolved via merged PR(s). Fix was implemented and merged to main.