fix(preview): restaura preview do Lovable (CSP/X-Frame-Options/script tag)

[adm01-debug]

Sumário

O preview do Lovable sumiu após os PRs recentes de hardening de segurança. A causa é uma combinação de cabeçalhos que impedem o editor Lovable de iframar o app e carregar seu script de "Pick & Edit".

Causas-raiz

1. X-Frame-Options: SAMEORIGIN em public/_headers — bloqueia o iframe do editor Lovable (lovable.dev) e não suporta múltiplos origins.
2. CSP frame-ancestors 'self' em _headers e ausente no <meta> do index.html — bloqueia o embed do preview a partir dos domínios Lovable.
3. CSP <meta> mais restritiva que _headers — não autoriza cdn.gpteng.co nem *.lovable.app/*.lovableproject.com em script-src/connect-src, derrubando o script de edição.
4. Falta do <script src="https://cdn.gpteng.co/gptengineer.js"> no index.html — o "Pick & Edit" do editor Lovable depende desse script no app preview.

Mudanças

public/_headers

• Remove X-Frame-Options: SAMEORIGIN (redundante com frame-ancestors, que suporta lista).
• frame-ancestors agora autoriza *.lovable.app, *.lovableproject.com, *.lovable.dev e lovable.dev.
• frame-src e connect-src ampliados para o mesmo conjunto.
• Cross-Origin-Opener-Policy: same-origin → same-origin-allow-popups (o editor abre janelas auxiliares).
• Cross-Origin-Resource-Policy: same-site → cross-origin (assets servidos para o iframe Lovable).

index.html

• CSP via <meta> alinhada com _headers — script-src/connect-src agora autorizam cdn.gpteng.co e domínios Lovable.
• Adiciona frame-ancestors no <meta>.
• Adiciona <script src="https://cdn.gpteng.co/gptengineer.js" type="module"> exigido pelo "Pick & Edit".

Test plan

• Após merge/preview, abrir o projeto em lovable.dev e confirmar que o iframe de preview carrega.
• Verificar no DevTools do iframe que não há violações de CSP relacionadas a cdn.gpteng.co ou *.lovable.*.
• Confirmar que "Pick & Edit" no editor Lovable seleciona elementos no preview.
• Validar em produção (Cloudflare Pages) que X-Frame-Options não aparece mais e que frame-ancestors lista os domínios Lovable.
• Fumaça: rotas públicas (/, login) carregam normalmente.

https://claude.ai/code/session_01VQ68PUbvP3wB1AmtUh1WZE

---

Generated by Claude Code

Summary by CodeRabbit

• Chores
  • Atualizadas políticas de segurança e headers para habilitar integrações externas e compatibilidade de frame/cross-origin.
• New Features
  • Melhorias visuais e de fluxo em galerias de mídia (upload, preview, edição de meta, atualização em massa de alt text) e no upload seguro.
  • Painel de recomendações AI simplificado com botão de adicionar produtos.
• Bug Fixes / UX
  • Polimentos e correções de layout/feedback em múltiplas telas administrativas, formulários e fluxo de carrinho.

[coderabbitai]

Walkthrough

Atualiza políticas de segurança (CSP/COOP/CORP/X-Frame), adiciona um script externo obrigatório em HTML, e aplica múltiplas mudanças de lint/CI/scripts. Além disso, refatora/ajusta muitos componentes e hooks do painel administrativo, testes e utilitários (várias UX, importações, formatações e pequenas APIs internas).

Changes

Security & Headers

Layer / File(s)	Summary
Policy Definitions public/_headers	Substitui headers: remove X-Frame-Options, COOP → same-origin-allow-popups, CORP → cross-origin, mantém Cross-Origin-Embedder-Policy: credentialless.
CSP Update (meta) index.html	Meta CSP ampliada: script-src/connect-src passam a permitir https://*.lovable.dev e https://cdn.gpteng.co; adiciona frame-ancestors com domínios lovable.
Runtime Script Injection index.html	Adiciona <script type="module" src="https://cdn.gpteng.co/gptengineer.js"> ao body com comentário “IMPORTANT/DO NOT REMOVE”.

Tooling, CI, Linters & Hooks

Layer / File(s)	Summary
ESLint & Rules eslint.config.js	Adiciona eslint-plugin-unused-imports e ativa unused-imports/no-unused-imports: error; ajusta regras TS (no-explicit-any → warn, naming-convention permite leading underscore em mais seletores, eqeqeq null ignore).
Baseline & Hooks .eslint-baseline.json, .husky/pre-commit, .husky/pre-push, package.json	Zera baseline (totalErrors:0), pre-commit passa a rodar node scripts/check-eslint-baseline.mjs, pre-push usa npm run lint:baseline; lint-staged TS task reduzido para apenas prettier --write; adiciona eslint-plugin-unused-imports em devDependencies.
CI/Check Scripts scripts/check-edge-authorization.mjs, scripts/check-edge-structured-logging.mjs, scripts/typecheck-edge-functions.mjs	Excluem node_modules ao enumerar supabase/functions; typecheck-edge-functions.mjs agora usa fallback supabase/functions/deno.json quando ausente deno.json local.
Dev Utility scripts/merge-duplicate-imports.mjs	Novo CLI que funde imports duplicados (valor + import type) nos arquivos src/**/*.{ts,tsx}.

Application Security Surface (quick audit items)

Layer / File(s)	Summary
Headers + HTML public/_headers, index.html	Mudanças de CSP/COOP/CORP e inclusão de script externo exigem revisão de vetores: origem externa adicionada (lovable.dev, cdn.gpteng.co) e frame-ancestors modificado — verificar hardcoded URLs, segredos, e necessidade de integrity/SRI.
Runtime hooks & functions múltiplos arquivos listados abaixo	Várias chamadas a supabase.functions.invoke('secure-upload', ...) e integrações externas foram alteradas — revisar tratamento de erros, retries e controle de permissões (ex.: 403 handling).

E2E tests

Layer / File(s)	Summary
Test helpers / waits e2e/flows/14-favorites-remove-persistence.spec.ts	resolveRemoveButton agora espera visibilidade do locator antes de escolher fallback; lança erro descritivo caso não encontre.
Minor test formatting e2e/flows/19-favorites-api-intercept.spec.ts, e2e/flows/22-header-sticky.spec.ts	Remoção de comentários eslint-disable e pequenas quebras de linha; sem alteração de assertions/flows.

Admin UI & Feature DAG (large cohesive refactor group)

Layer / File(s)	Summary
Data shape / Hook API changes src/components/admin/products/image-gallery/useProductImageGallery.ts, src/components/admin/products/video-gallery/useProductVideoGallery.ts, src/components/admin/personalization/usePersonalizationData.ts, src/components/admin/suppliers-manager/useSuppliersManager.ts	Hooks reorganizados e formatados; useProductImageGallery adiciona bulkUpdateAltText e handleDragEnd; useProductVideoGallery e useSuppliersManager refatorados com parsing/serialização mais explícita; typecheck/returns preservados em grande parte.
Core implementation / mutations src/components/admin/ImageUploadButton.tsx, src/components/admin/connections/SecretField.tsx, src/components/admin/products/BulkImportDialog.tsx	Upload usa supabase.functions.invoke('secure-upload'), backoff/retry 403 handling, toasts; SecretField ganha draft scoping, abort controller, retry UX, modal gating; BulkImportDialog valida/enforce regras de SKU/nome/url e filtro de rows a importar.
Wiring / composition src/components/admin/products/image-gallery/*, src/components/admin/products/video-gallery/*, src/components/admin/ProductPersonalizationManager.tsx, src/components/admin/suppliers-manager/*, src/components/catalog/CatalogContent.tsx	Componentes decompondo UIs em hooks/subcomponentes (ImageGrid, ImageUploadArea, ProductImageGallery usa hook + subcomponentes); ProductPersonalizationManager extraí dados via usePersonalizationData; CatalogContent introduz VirtualFooter e useScrollableContainer.
Props / Public surface notes multiple files (see detailed summary)	Algumas assinaturas renomeadas para underscored params quando não usados (ex.: _register, _productId) e pequenas adições de handler props (updateExternalImageMeta); a maior parte das exportações mantém a forma pública.
UI/Styling / formatting muitos arquivos sob src/components/admin/...	Massiva reemissão de JSX/className, reorganização de imports (single quotes), substituição/ajuste de ícones lucide-react; comportamento preservado em maioria dos casos, com melhorias UX pontuais (spinners, toasts).

Other component-level tidy-ups & small features

Layer / File(s)	Summary
Minor prop/signature tweaks src/components/ai/AIRecommendationsPanel.tsx, src/components/ai/AIMockupAssistant.tsx, src/components/catalog/CatalogContent.tsx	AIRecommendationsPanel muda props públicos (passa a aceitar clientName/addedProductIds/onAddProduct); AIMockupAssistant renomeia prop para _onSuggestionApply (não usada); CatalogContent formaliza CatalogContentProps.
Formatting / import cleanup múltiplos arquivos listados em raw_summary	Vários componentes apenas reformatados, imports reorganizados ou ícones trocados sem alteração funcional relevante.

Estimated code review effort

🎯 4 (Complex) | ⏱️ ~45 minutes

✨ Finishing Touches

📝 Generate docstrings

• Create stacked PR
• Commit on current branch

[adm01-debug]

@coderabbitai review

---

Generated by Claude Code

[coderabbitai]

@adm01-debug Sure, I'll review the changes in this PR right away!

✅ Actions performed

Review triggered.

Note: CodeRabbit is an incremental review system and does not re-review already reviewed commits. This command is applicable only when automatic reviews are paused.

[coderabbitai]

Actionable comments posted: 1

🤖 Prompt for all review comments with AI agents

Verify each finding against the current code and only fix it if needed.

Inline comments:
In `@public/_headers`:
- Line 10: The Content-Security-Policy header in public/_headers currently
allows https://cdn.gpteng.co in script-src but omits it from connect-src; update
the CSP string in the Content-Security-Policy line to add https://cdn.gpteng.co
to the connect-src directive so runtime network calls to that origin are
permitted (modify the Content-Security-Policy header entry in public/_headers to
include https://cdn.gpteng.co within the connect-src list).

🪄 Autofix (Beta)

Fix all unresolved CodeRabbit comments on this PR:

• Push a commit to this branch (recommended)
• Create a new PR with the fixes

---

ℹ️ Review info

⚙️ Run configuration

Configuration used: defaults

Review profile: CHILL

Plan: Pro

Run ID: 26407c09-2583-4d5a-b62a-efd298917e8c

📥 Commits

Reviewing files that changed from the base of the PR and between b26a8c6 and bba0eef.

📒 Files selected for processing (2)

• index.html
• public/_headers

[adm01-debug]

@coderabbitai full review

---

Generated by Claude Code

[coderabbitai]

🧩 Analysis chain

🏁 Script executed:

#!/bin/bash
# Read the modified files
echo "=== public/_headers ==="
cat public/_headers

echo ""
echo "=== index.html ==="
cat index.html

Length of output: 8645

---

@adm01-debug Aqui está a revisão completa do PR #82:

---

Revisão de Segurança — PR #82

🔴 Crítico

1. Cross-Origin-Resource-Policy: cross-origin — Remoção de proteção contra leitura cross-origin

public/_headers, linha Cross-Origin-Resource-Policy:

- Cross-Origin-Resource-Policy: same-site
+ Cross-Origin-Resource-Policy: cross-origin

cross-origin permite que qualquer site leia os recursos desta origem via <img>, <script> etc. Isso derruba a proteção contra ataques de canal lateral (Spectre) que o COEP (credentialless) tentava oferecer. Para permitir o Lovable editor fazer embed, o correto seria usar frame-ancestors na CSP (já feito) sem precisar abrir o CORP inteiro. Recomendo reverter para same-site ou avaliar se cross-origin é realmente necessário para o caso de uso do editor.

---

2. Script de terceiro sem SRI (Supply Chain Attack)

index.html, linha do gptengineer.js:

<!-- ⚠️ Sem integrity — qualquer comprometimento do cdn.gpteng.co afeta sua app -->
<script src="https://cdn.gpteng.co/gptengineer.js" type="module"></script>

O script é carregado sem atributo integrity (Subresource Integrity). Se o CDN cdn.gpteng.co for comprometido, código malicioso executa diretamente na sua app. Para módulos ES (type="module") com CORS, o SRI funciona normalmente:

<script src="https://cdn.gpteng.co/gptengineer.js"
        type="module"
        integrity="sha384-HASH_AQUI"
        crossorigin="anonymous"></script>

Gere o hash atual com: curl -s https://cdn.gpteng.co/gptengineer.js | openssl dgst -sha384 -binary | openssl base64 -A

---

🟠 Alto

3. frame-ancestors no <meta> CSP é ignorado pelos browsers

index.html, dentro do <meta http-equiv="Content-Security-Policy">:

frame-ancestors 'self' https://*.lovable.app https://*.lovableproject.com https://*.lovable.dev https://lovable.dev;

A diretiva frame-ancestors não é suportada em <meta> CSP — a spec proíbe explicitamente. Os browsers ignoram silenciosamente. Essa linha dá falsa sensação de segurança. A proteção real vem apenas do frame-ancestors no _headers, que está correto. Remova a diretiva do meta tag para evitar confusão.

---

4. Inconsistência entre CSP do _headers e do <meta> quebra funcionalidades

Browsers aplicam ambos os CSPs (interseção = mais restritivo). As diferenças abaixo podem quebrar features silenciosamente:

Diretiva	_headers	index.html meta	Impacto
script-src	https://challenges.cloudflare.com ✅	❌ ausente	Cloudflare Turnstile/CAPTCHA bloqueado
connect-src	https://api.openai.com ✅	❌ ausente	Chamadas OpenAI bloqueadas
connect-src	https://generativelanguage.googleapis.com ✅	❌ ausente	Gemini bloqueado
connect-src	https://api.elevenlabs.io ✅	❌ ausente	ElevenLabs bloqueado
connect-src	https://api.cnpja.com ✅	❌ ausente	CNPJ lookup bloqueado
connect-src	❌ ausente	https://ip-api.com ✅	Não há cobertura no header real

Recomendação: Alinhe os dois CSPs completamente ou, preferencialmente, remova o <meta> CSP por inteiro (o comentário no HTML já documenta que os headers reais são servidos via _headers).

---

🟡 Médio

5. img-src http: — Mixed Content

img-src 'self' data: blob: https: http:;

Permite carregamento de imagens via HTTP puro. Risco de downgrade e exposição de dados em conexões não criptografadas. Se não há imagens via HTTP na app, remova http:.

---

✅ O que está correto

• Remoção do X-Frame-Options: SAMEORIGIN e substituição por frame-ancestors no CSP do _headers é a abordagem correta e moderna.
• A lista de domínios do Lovable no frame-ancestors está bem delimitada (*.lovable.app, *.lovableproject.com, *.lovable.dev, lovable.dev).
• HSTS com max-age=63072000; includeSubDomains; preload permanece intacto.
• COEP: credentialless é menos restritivo que require-corp, mas suficiente para o caso de uso.

---

Resumo de prioridade:

#	Item	Severidade
1	CORP: cross-origin desnecessariamente amplo	🔴 Crítico
2	gptengineer.js sem SRI	🔴 Crítico
3	frame-ancestors em meta CSP ignorado (falsa segurança)	🟠 Alto
4	Inconsistência meta/headers quebra features de IA	🟠 Alto
5	img-src http:	🟡 Médio

✅ Actions performed

Full review triggered.

[coderabbitai]

Actionable comments posted: 7

Note

Due to the large number of review comments, Critical severity comments were prioritized as inline comments.

Caution

Some comments are outside the diff and can’t be posted inline due to platform limitations.

⚠️ Outside diff range comments (15)

src/components/admin/PasswordResetApproval.tsx (1)

33-47: ⚠️ Potential issue | 🟠 Major | ⚡ Quick win

Falha de erro pode deixar o fluxo preso em “Processando...”

Se approveRequest/rejectRequest falhar, o código sai antes do cleanup e isProcessing pode permanecer true, travando o botão e o estado do modal. Coloque a lógica em try/finally (e trate erro no catch).

Patch sugerido

  const handleAction = async () => {
    if (!selectedRequest || !action) return;

    setIsProcessing(true);
-
-    if (action === 'approve') {
-      await approveRequest(selectedRequest.id, notes);
-    } else {
-      await rejectRequest(selectedRequest.id, notes);
-    }
-
-    setIsProcessing(false);
-    setSelectedRequest(null);
-    setAction(null);
-    setNotes('');
+    try {
+      if (action === 'approve') {
+        await approveRequest(selectedRequest.id, notes);
+      } else {
+        await rejectRequest(selectedRequest.id, notes);
+      }
+
+      setSelectedRequest(null);
+      setAction(null);
+      setNotes('');
+    } catch (error) {
+      console.error('Erro ao processar solicitação de reset de senha', error);
+    } finally {
+      setIsProcessing(false);
+    }
  };

As per coding guidelines, "**/*.{ts,tsx,js,jsx}: ... Promises sem await ou .catch()".

🤖 Prompt for AI Agents

Verify each finding against current code. Fix only still-valid issues, skip the
rest with a brief reason, keep changes minimal, and validate.

In `@src/components/admin/PasswordResetApproval.tsx` around lines 33 - 47, The
handleAction function can leave isProcessing true if approveRequest or
rejectRequest throws; wrap the await calls in a try/catch/finally: call
setIsProcessing(true) before the try, await approveRequest(...) or
rejectRequest(...) inside try, handle/log the error in catch (e.g., show user
feedback or console.error) and perform all cleanup (setIsProcessing(false),
setSelectedRequest(null), setAction(null), setNotes('')) in finally so cleanup
always runs regardless of failures.

src/components/auth/PasswordStrengthIndicator.tsx (1)

28-37: ⚠️ Potential issue | 🔴 Critical | ⚡ Quick win

Promise sem tratamento de erro.

A chamada checkPassword(debouncedPassword) não possui .catch() para lidar com falhas. Se a verificação de vazamento falhar (erro de rede, API indisponível, etc.), o erro não será tratado e o estado hasCheckedBreach ficará inconsistente. Isso pode fazer com que uma senha potencialmente vazada seja considerada segura pelo componente pai.

Como este é um componente de segurança crítico, falhas silenciosas são perigosas.

🛡️ Correção proposta para adicionar tratamento de erro

   useEffect(() => {
     if (debouncedPassword && debouncedPassword.length >= 8) {
-      checkPassword(debouncedPassword).then(() => {
-        setHasCheckedBreach(true);
-      });
+      checkPassword(debouncedPassword)
+        .then(() => {
+          setHasCheckedBreach(true);
+        })
+        .catch((error) => {
+          console.error('Erro ao verificar senha em vazamentos:', error);
+          // Mantém hasCheckedBreach como false em caso de erro
+          setHasCheckedBreach(false);
+        });
     } else {
       reset();
       setHasCheckedBreach(false);

Conforme diretriz de codificação: Promises sem await ou .catch() devem ser evitadas.

🤖 Prompt for AI Agents

Verify each finding against current code. Fix only still-valid issues, skip the
rest with a brief reason, keep changes minimal, and validate.

In `@src/components/auth/PasswordStrengthIndicator.tsx` around lines 28 - 37, The
useEffect currently calls checkPassword(debouncedPassword) without error
handling, so wrap the promise chain for checkPassword used in the useEffect (the
useEffect block referencing debouncedPassword, checkPassword, reset,
setHasCheckedBreach) to handle rejections: call checkPassword(...).then(() =>
setHasCheckedBreach(true)).catch(err => { reset(); setHasCheckedBreach(false);
/* optionally log or surface err */ }); and ensure the else branch behavior
remains the same; this ensures network/API failures don't leave hasCheckedBreach
true and resets state consistently.

src/components/common/EnhancedSpotlight.tsx (1)

23-38: ⚠️ Potential issue | 🟠 Major | ⚡ Quick win

Blindar localStorage para não quebrar a seleção em ambiente restrito

Se localStorage estiver indisponível (quota/privacy/sandbox), getItem/setItem pode lançar exceção e interromper o fluxo. Como addToRecent roda antes de item.action(), isso pode impedir a ação principal do item.

💡 Sugestão de ajuste

 useEffect(() => {
-  const stored = localStorage.getItem('spotlight-recent');
-  if (stored) {
-    try {
-      setRecentActions(JSON.parse(stored));
-    } catch {
-      // Ignore parse errors
-    }
-  }
+  try {
+    const stored = localStorage.getItem('spotlight-recent');
+    if (stored) {
+      setRecentActions(JSON.parse(stored));
+    }
+  } catch {
+    // Ignore storage/parse errors
+  }
 }, []);

 const addToRecent = (id: string) => {
-  const updated = [id, ...recentActions.filter((r) => r !== id)].slice(0, 5);
-  setRecentActions(updated);
-  localStorage.setItem('spotlight-recent', JSON.stringify(updated));
+  setRecentActions((prev) => {
+    const updated = [id, ...prev.filter((r) => r !== id)].slice(0, 5);
+    try {
+      localStorage.setItem('spotlight-recent', JSON.stringify(updated));
+    } catch {
+      // Ignore storage errors
+    }
+    return updated;
+  });
 };

🤖 Prompt for AI Agents

Verify each finding against current code. Fix only still-valid issues, skip the
rest with a brief reason, keep changes minimal, and validate.

In `@src/components/common/EnhancedSpotlight.tsx` around lines 23 - 38, Envolva o
acesso a localStorage em blocos try/catch e verifique se window.localStorage
existe para evitar exceções que quebrem a seleção; em useEffect (função
useEffect) capture erros ao chamar localStorage.getItem e ao parsear JSON, e em
addToRecent (função addToRecent) envolva localStorage.setItem em try/catch e
falhe silenciosamente (apenas atualize state via setRecentActions) se o write
lançar; mantenha o comportamento de fallback para recentActions (usar array
vazio se parse falhar) para garantir que item.action() não seja impedida por
erros de storage.

src/components/cart/CartUtilComponents.tsx (1)

63-74: ⚠️ Potential issue | 🟠 Major | 🏗️ Heavy lift

Memory leak: actionHistoryMap acumula entradas indefinidamente.

O Map em nível de módulo nunca remove carrinhos deletados ou arquivados. Mesmo com limite de 20 ações por carrinho (linha 68), o número de chaves (cart IDs) cresce ilimitadamente ao longo do tempo em produção, causando vazamento de memória.

🔧 Sugestões de correção

Opção 1: Adicionar TTL ou cleanup periódico para remover carrinhos inativos:

+const CART_HISTORY_TTL = 24 * 60 * 60 * 1000; // 24h
+const lastAccessMap = new Map<string, number>();
+
 export function recordAction(cartId: string, action: CartAction) {
+  lastAccessMap.set(cartId, Date.now());
   const list = actionHistoryMap.get(cartId) || [];
   list.unshift(action);
   if (list.length > 20) list.pop();
   actionHistoryMap.set(cartId, list);
 }
 
 export function getActionHistory(cartId: string): CartAction[] {
+  lastAccessMap.set(cartId, Date.now());
   return actionHistoryMap.get(cartId) || [];
 }
+
+// Cleanup periodicamente (chamar em useEffect do componente raiz ou similar)
+export function cleanupStaleCartHistory() {
+  const now = Date.now();
+  for (const [cartId, lastAccess] of lastAccessMap.entries()) {
+    if (now - lastAccess > CART_HISTORY_TTL) {
+      actionHistoryMap.delete(cartId);
+      lastAccessMap.delete(cartId);
+    }
+  }
+}

Opção 2: Mover para React state/context ao invés de módulo global, permitindo garbage collection natural quando componentes desmontam.

🤖 Prompt for AI Agents

Verify each finding against current code. Fix only still-valid issues, skip the
rest with a brief reason, keep changes minimal, and validate.

In `@src/components/cart/CartUtilComponents.tsx` around lines 63 - 74, The
module-level Map actionHistoryMap (used by recordAction and getActionHistory)
accumulates cartId keys indefinitely causing a memory leak; fix by adding
automatic cleanup: implement a TTL or last-access timestamp per cartId and prune
stale entries periodically (e.g., setInterval cleanup) or when recording an
action, remove entries older than the TTL, and update
recordAction/getActionHistory to maintain the timestamp so inactive carts are
purged; alternatively refactor to keep history in React state/context instead of
the module-level Map so entries are garbage-collected when components unmount.

src/components/bi/ClientHealthHero.tsx (1)

263-311: ⚠️ Potential issue | 🟡 Minor | ⚡ Quick win

Substituir <div> por <button> nos triggers de tooltip para restaurar acessibilidade via teclado.

Os três chips em linha 264, 283 e 302 usam <div> dentro de TooltipTrigger asChild, impedindo navegação via teclado (divs não são focáveis por padrão). Isso viola o padrão ARIA para tooltips, que requerem ativação por teclado e mouse.

Correção sugerida

-                      <div className="flex cursor-help items-start gap-2 rounded-lg border bg-background/60 p-2.5">
+                      <button
+                        type="button"
+                        aria-label="Detalhes da próxima ação"
+                        className="flex w-full cursor-help items-start gap-2 rounded-lg border bg-background/60 p-2.5 text-left"
+                      >
                         <Phone className="mt-0.5 h-3.5 w-3.5 shrink-0 text-primary" />
                         <div className="min-w-0">
                           <div className="text-[10px] font-medium uppercase tracking-wider text-muted-foreground">
                             Próxima ação
                           </div>
                           <div className="truncate text-xs font-semibold">
                             {health.nextActionLabel}
                           </div>
                         </div>
-                      </div>
+                      </button>

(Aplicar o mesmo padrão para "Janela ideal" e "Script sugerido".)

🤖 Prompt for AI Agents

Verify each finding against current code. Fix only still-valid issues, skip the
rest with a brief reason, keep changes minimal, and validate.

In `@src/components/bi/ClientHealthHero.tsx` around lines 263 - 311, The
TooltipTrigger elements using "asChild" currently wrap <div> chips (for Próxima
ação showing health.nextActionLabel, Janela ideal showing health.windowLabel,
and Script sugerido showing the "Ver abertura" chip); replace those outer <div>
elements with <button type="button"> to restore keyboard focusability and proper
ARIA interactions, keep all existing className, children, and event behavior,
and ensure you don't omit any attributes (e.g., className, onClick if present)
so the visual styling and behavior remain unchanged.

src/components/admin/products/sections/ProductSupplierSection.tsx (1)

94-113: ⚠️ Potential issue | 🟠 Major | ⚡ Quick win

Proteja estado saving com try/finally e aguarde promises nos handlers.

Três problemas:

1. handleAdd (linhas 94-116): Se addSource rejeitar, setSaving(false) não executa, travando a UI em loading.

2. setPreferred (linha 282) e removeSource (linha 314): Promises são chamadas sem await nem .catch(), gerando potenciais unhandled rejections. Mesmo com try/catch no hook, o padrão viola a diretriz de promises sem tratamento.

Diffs sugeridos

Linha 94-116 — envolver com try/finally:

     if (productId) {
       // Persisted mode
       setSaving(true);
       const input: SupplierSourceInput = {
         product_id: productId,
         supplier_id: form.supplier_id,
         supplier_name: form.supplier_name,
         supplier_sku: form.supplier_sku || null,
         cost_price: form.cost_price,
         sale_price: form.sale_price,
         lead_time_days: form.lead_time_days,
         stock_quantity: form.stock_quantity,
         min_order_quantity: form.min_order_quantity,
         is_preferred: sources.length === 0,
         is_active: true,
         notes: form.notes || null,
       };
-      const ok = await addSource(input);
-      setSaving(false);
+      let ok = false;
+      try {
+        ok = await addSource(input);
+      } finally {
+        setSaving(false);
+      }
       if (ok) {
         setForm(emptyForm);
         setDialogOpen(false);
       }

Linhas 282 e 314 — adicionar await:

-  onClick={() => setPreferred(src.id)}
+  onClick={async () => { await setPreferred(src.id); }}

-  onClick={() => removeSource(src.id)}
+  onClick={async () => { await removeSource(src.id); }}

🤖 Prompt for AI Agents

Verify each finding against current code. Fix only still-valid issues, skip the
rest with a brief reason, keep changes minimal, and validate.

In `@src/components/admin/products/sections/ProductSupplierSection.tsx` around
lines 94 - 113, The handlers are leaving saving state and asynchronous errors
unprotected: wrap the persisted-path in handleAdd so setSaving(true) is followed
by a try { await addSource(input); if (ok) ... } finally { setSaving(false); }
to guarantee setSaving(false) runs on rejection; likewise, ensure calls to
setPreferred(...) and removeSource(...) are awaited and errors handled (await
setPreferred(...); and await removeSource(...), or await with try/catch) so
their promises cannot produce unhandled rejections; update references to
addSource, setSaving, handleAdd, setPreferred, and removeSource accordingly.

src/components/admin/connections/SecretField.tsx (1)

261-286: ⚠️ Potential issue | 🟠 Major | ⚡ Quick win

Não persista o valor do segredo em texto puro no sessionStorage.

Aqui o rascunho grava e reidrata value completo da credencial. Para campo de segredo, isso amplia a superfície de vazamento (XSS/extensão/sessão compartilhada). Prefira persistir só metadados não sensíveis (mode, flags) e manter o segredo apenas em memória.

💡 Exemplo de ajuste (persistir apenas metadados)

-      const draft = JSON.parse(raw) as { value?: string; mode?: "set" | "rotate" };
-      if (draft.value && typeof draft.value === "string") {
-        setValue(draft.value);
+      const draft = JSON.parse(raw) as { mode?: "set" | "rotate" };
+      if (draft && typeof draft === "object") {
         setMode(draft.mode === "rotate" ? "rotate" : "set");
         setEditing(true);
         if (!scopedRaw) {
           try {
             sessionStorage.setItem(draftKey, raw);
             sessionStorage.removeItem(legacyDraftKey);
           } catch { /* ignore quota */ }
         }
       }
@@
-    if (editing && value.length > 0) {
-      try { sessionStorage.setItem(draftKey, JSON.stringify({ value, mode })); } catch { /* ignore quota */ }
+    if (editing) {
+      try { sessionStorage.setItem(draftKey, JSON.stringify({ mode })); } catch { /* ignore quota */ }
     } else {
       try { sessionStorage.removeItem(draftKey); } catch { /* ignore */ }
     }

🤖 Prompt for AI Agents

Verify each finding against current code. Fix only still-valid issues, skip the
rest with a brief reason, keep changes minimal, and validate.

In `@src/components/admin/connections/SecretField.tsx` around lines 261 - 286, The
current SecretField logic writes and reads the full secret string to
sessionStorage (using draftKey/legacyDraftKey and JSON with value), which risks
exposing credentials; change persistence so you never store the secret value
itself: when saving, persist only non-sensitive metadata (e.g., mode and a
boolean like hasValue) instead of value; on hydration (the block that currently
JSON.parse(raw) and calls setValue(...)), do not restore draft.value into
state—only restore mode/hasValue and keep the actual secret in memory (do not
call setValue from storage); keep the legacy migration behavior but ensure you
strip out any raw secret before writing the new scoped key (only copy metadata),
and continue to remove draftKey on cancel/success as now.

src/components/admin/suppliers-manager/useSuppliersManager.ts (1)

569-582: ⚠️ Potential issue | 🟠 Major | ⚡ Quick win

Promise sem tratamento de erro em handleCepLookup.

A função fetchAddressByCep é chamada com await mas não está envolta em try/catch. Se a requisição falhar (timeout, network error), o erro não será tratado e pode quebrar a experiência do usuário.

🛡️ Correção sugerida

  const handleCepLookup = async (cep: string) => {
    const masked = maskCep(cep);
    updateField('cep', masked);
    if (masked.replace(/\D/g, '').length === 8) {
+     try {
        const addr = await fetchAddressByCep(masked);
        if (addr) {
          if (addr.logradouro) updateField('logradouro', addr.logradouro);
          if (addr.bairro) updateField('bairro', addr.bairro);
          if (addr.localidade) updateField('cidade', addr.localidade);
          if (addr.uf) updateField('estado', addr.uf);
          toast.success('Endereço preenchido via CEP');
        }
+     } catch (err: unknown) {
+       logger.warn('[SuppliersManager] CEP lookup failed:', err);
+       // Silently fail - user can fill address manually
+     }
    }
  };

🤖 Prompt for AI Agents

Verify each finding against current code. Fix only still-valid issues, skip the
rest with a brief reason, keep changes minimal, and validate.

In `@src/components/admin/suppliers-manager/useSuppliersManager.ts` around lines
569 - 582, Envolva a chamada assíncrona a fetchAddressByCep dentro de um bloco
try/catch dentro de handleCepLookup para capturar falhas de rede/timeout;
mantenha o mascaramento e updateField('cep', masked) antes do try, então dentro
do try faça const addr = await fetchAddressByCep(masked) e atualize os campos
via updateField('logradouro'|'bairro'|'cidade'|'estado') e toast.success como já
feito; no catch utilize toast.error para informar ao usuário do problema e
opcionalmente registre o erro (ex.: console.error) sem propagar a exceção para
evitar quebrar a UI.

src/components/admin/suppliers-manager/SupplierFormDialog.tsx (1)

670-682: ⚠️ Potential issue | 🟡 Minor | ⚡ Quick win

Timeout de busca sem cleanup ao desmontar.

O setTimeout em carrierSearchTimeout.current (linhas 673-674) não é limpo quando o componente desmontar. O clearTimeout antes do novo setTimeout apenas evita timeouts anteriores—não protege contra a execução do callback após unmount.

Se o componente desmontar antes dos 400ms, searchCarriers() ainda executará e tentará atualizar estado em componente desmontado.

Adicione um useEffect com cleanup no SupplierFormDialog ou no hook consumidor para garantir clearTimeout(carrierSearchTimeout.current) ao desmontar.

🤖 Prompt for AI Agents

Verify each finding against current code. Fix only still-valid issues, skip the
rest with a brief reason, keep changes minimal, and validate.

In `@src/components/admin/suppliers-manager/SupplierFormDialog.tsx` around lines
670 - 682, The debounced carrier search timer stored in
carrierSearchTimeout.current in SupplierFormDialog can fire after unmount and
call searchCarriers; add a useEffect cleanup that clears
carrierSearchTimeout.current on unmount to prevent callbacks running against an
unmounted component. Specifically, in the SupplierFormDialog component (or its
consuming hook) add useEffect(() => { return () => { if
(carrierSearchTimeout.current) clearTimeout(carrierSearchTimeout.current); }; },
[]); so any pending setTimeout started by the onChange handler (which calls
searchCarriers) is cleared when the component unmounts.

src/components/admin/products/kit-components/ComponentMediaManager.tsx (1)

57-63: ⚠️ Potential issue | 🟠 Major | 🏗️ Heavy lift

Troca de capa não é atômica e pode deixar estado inconsistente.

Se alguma chamada falhar entre os updates de Lines 57-63, o componente pode ficar sem capa definida (ou com múltiplas em cenários de concorrência). O ideal é um endpoint único/transacional para “set cover”.

🤖 Prompt for AI Agents

Verify each finding against current code. Fix only still-valid issues, skip the
rest with a brief reason, keep changes minimal, and validate.

In `@src/components/admin/products/kit-components/ComponentMediaManager.tsx`
around lines 57 - 63, The current client code in ComponentMediaManager iterates
currentCovers and calls updateComponentMedia for each then calls
updateComponentMedia(item.id) which is not atomic and can leave the component
without a single cover if a call fails; replace this with a single transactional
backend operation (e.g., a new endpoint like setComponentMediaCover or set_cover
on the Component/Media service) that accepts the component id and target media
id and, inside a DB transaction, clears existing is_cover flags and sets the
chosen media's is_cover=true; then update the client to call that single
endpoint instead of the loop over updateComponentMedia (referencing
updateComponentMedia, currentCovers, media, item.id, and ComponentMediaManager)
so the change is applied atomically and error handling/toast remains meaningful.

src/components/catalog/CatalogHeader.tsx (2)

30-46: ⚠️ Potential issue | 🟡 Minor | ⚡ Quick win

O atalho / só tenta focar o input desktop.

searchRef aponta apenas para o wrapper de Line 91. Em telas < sm, o handler ainda procura esse input, que fica oculto, enquanto o campo visível de Line 105-106 nunca é considerado. Resultado: o atalho deixa de funcionar justamente no layout mobile/narrow.

Also applies to: 91-106

🤖 Prompt for AI Agents

Verify each finding against current code. Fix only still-valid issues, skip the
rest with a brief reason, keep changes minimal, and validate.

In `@src/components/catalog/CatalogHeader.tsx` around lines 30 - 46, The keyboard
handler (inside the useEffect) only queries searchRef for an input, which points
to the desktop wrapper and misses the mobile search input, so the "/" shortcut
fails on narrow screens; update the handler to focus the first visible search
input instead: either add a dedicated ref for the mobile input (e.g.,
mobileSearchRef) and try mobileSearchRef.current?.focus() before falling back to
searchRef.current, or query all matching inputs (e.g.,
searchRef.current?.querySelectorAll('input') or document.querySelectorAll within
the component) and choose the one that is visible (check offsetParent !== null
or getClientRects().length > 0) and call focus(); keep the existing guards for
input/textarea/contentEditable and retain adding/removing the event listener in
useEffect.

---

8-17: ⚠️ Potential issue | 🔴 Critical | ⚡ Quick win

Corrija o destructuring do prop hasNextPage.

CatalogHeaderProps declara hasNextPage (linha 12), mas a função desestrutura _hasNextPage (linha 23). Isso quebra o contrato de tipos: quem chamar o componente passará hasNextPage, mas a função não vai receber. O padrão com underscore não suprime validação de tipos em props obrigatórios. Remova hasNextPage da interface se não é usado, ou desestruture sem o underscore.

🤖 Prompt for AI Agents

Verify each finding against current code. Fix only still-valid issues, skip the
rest with a brief reason, keep changes minimal, and validate.

In `@src/components/catalog/CatalogHeader.tsx` around lines 8 - 17, A propriedade
hasNextPage declarada em CatalogHeaderProps não corresponde ao nome usado no
destructuring dentro do componente (o código usa _hasNextPage), então corrija o
mismatch: abra o componente CatalogHeader (onde ocorre o destructuring dos
props) e renomeie _hasNextPage para hasNextPage para corresponder à interface
CatalogHeaderProps, ou alternativamente remova hasNextPage da interface se
realmente não for necessária; garanta que todas as referências internas (por
exemplo dentro da função CatalogHeader e em quaisquer usos de
hasNextPage/_hasNextPage) usem o mesmo identificador para manter a tipagem
consistente.

src/components/catalog/CatalogContent.tsx (2)

125-145: ⚠️ Potential issue | 🟠 Major | ⚡ Quick win

Evite disparos duplicados de onLoadMore() no scroll.

Hoje basta o usuário ficar na faixa < 500px do fim para handleScroll chamar onLoadMore() a cada evento até isLoadingMore propagar de volta. Isso abre espaço para paginação duplicada e requests concorrentes desnecessárias. Coloque uma trava local/in-flight guard antes de chamar o loader.

💡 Exemplo de ajuste

 function useScrollableContainer(hasMore: boolean, isLoadingMore: boolean, onLoadMore?: () => void) {
   const parentRef = useRef<HTMLDivElement>(null);
+  const loadRequestedRef = useRef(false);
   const [showScrollTop, setShowScrollTop] = useState(false);

   const handleScroll = useCallback(() => {
     if (!parentRef.current) return;
     const { scrollTop, scrollHeight, clientHeight } = parentRef.current;
     setShowScrollTop(scrollTop > 400);
-    if (hasMore && !isLoadingMore && onLoadMore && scrollHeight - scrollTop - clientHeight < 500)
-      onLoadMore();
+    if (
+      hasMore &&
+      !isLoadingMore &&
+      onLoadMore &&
+      !loadRequestedRef.current &&
+      scrollHeight - scrollTop - clientHeight < 500
+    ) {
+      loadRequestedRef.current = true;
+      onLoadMore();
+    }
   }, [hasMore, isLoadingMore, onLoadMore]);

+  useEffect(() => {
+    if (!isLoadingMore) loadRequestedRef.current = false;
+  }, [isLoadingMore]);
+
   useEffect(() => {
     const el = parentRef.current;
     if (!el) return;
     el.addEventListener('scroll', handleScroll, { passive: true });
     return () => el.removeEventListener('scroll', handleScroll);

🤖 Prompt for AI Agents

Verify each finding against current code. Fix only still-valid issues, skip the
rest with a brief reason, keep changes minimal, and validate.

In `@src/components/catalog/CatalogContent.tsx` around lines 125 - 145, The scroll
handler currently can call onLoadMore repeatedly while the scroll position
remains within 500px and before the isLoadingMore prop flips; add a local
in-flight guard in useScrollableContainer (e.g., isLoadingRef via useRef) and
update handleScroll to check hasMore && !isLoadingMore && !isLoadingRef.current
before invoking onLoadMore; when invoking, set isLoadingRef.current = true and
then either await the returned Promise (if onLoadMore returns one) and clear the
flag in finally, or clear the flag when the external isLoadingMore prop becomes
false (use a useEffect that resets isLoadingRef.current when isLoadingMore
switches to false) so duplicate requests are prevented.

---

22-49: ⚠️ Potential issue | 🔴 Critical | ⚡ Quick win

Remova ou corrija o destructuring de handleFavoriteProduct.

A interface define handleFavoriteProduct, mas a função desestrutura _handleFavoriteProduct (linha 502). O underscore nunca é usado no componente e causa mismatch de tipo. Remova inteiramente do interface e da assinatura da função, ou use o nome correto sem underscore.

🤖 Prompt for AI Agents

Verify each finding against current code. Fix only still-valid issues, skip the
rest with a brief reason, keep changes minimal, and validate.

In `@src/components/catalog/CatalogContent.tsx` around lines 22 - 49, The
CatalogContentProps interface declares handleFavoriteProduct but the component
destructures _handleFavoriteProduct (unused underscore) causing a type mismatch;
fix by making the prop name consistent: rename the destructured
_handleFavoriteProduct to handleFavoriteProduct in the CatalogContent component
(and any internal references), or alternatively remove handleFavoriteProduct
from CatalogContentProps and the component signature if it should not
exist—ensure all call sites, prop forwarding and the isFavorite/toggleFavorite
usage align with the chosen name so TypeScript types and runtime props match.

src/components/admin/products/image-gallery/ProductImageGallery.tsx (1)

119-126: ⚠️ Potential issue | 🟠 Major | ⚡ Quick win

Promises em handleRemove/bulkDelete não são aguardadas no confirmação de exclusão.

O diálogo fecha via setDeleteConfirm(null) imediatamente após disparar handleRemove() ou bulkDelete() sem await, criando risco de rejeição não tratada. Se a deleção falhar, a falha será silenciosa.

Observação: A sugestão de fazer onConfirm assíncrona tem problema de tipo — ConfirmDeleteDialog espera () => void, não () => Promise<void>. Para aplicar a correção, você precisará também atualizar o tipo da prop em ConfirmDeleteDialog.tsx (linha 14) para aceitar callbacks assíncronos, ou usar .catch() para capturar rejeições:

onConfirm={() => {
  const promise = (g.deleteConfirm?.type === 'single' && g.deleteConfirm.url)
    ? g.handleRemove(g.deleteConfirm.url)
    : g.bulkDelete();
  
  promise?.catch(err => console.error('Erro na exclusão:', err));
  g.setDeleteConfirm(null);
}}

🤖 Prompt for AI Agents

Verify each finding against current code. Fix only still-valid issues, skip the
rest with a brief reason, keep changes minimal, and validate.

In `@src/components/admin/products/image-gallery/ProductImageGallery.tsx` around
lines 119 - 126, The confirmation handler triggers g.handleRemove(...) or
g.bulkDelete() but doesn't await or handle their returned Promises before
calling g.setDeleteConfirm(null), risking unhandled rejections; fix by either
updating ConfirmDeleteDialog's onConfirm prop type (in ConfirmDeleteDialog.tsx)
from () => void to () => Promise<void> and making the onConfirm implementation
async and await the call to g.handleRemove/g.bulkDelete before
g.setDeleteConfirm(null), or if you prefer not to change the prop type, capture
the returned promise and attach .catch(...) to handle errors (e.g., const p =
...; p?.catch(err => /* log/handle */); g.setDeleteConfirm(null)); ensure you
update the signatures in ConfirmDeleteDialog and usages
(ProductImageGallery.tsx) consistently.

🟡 Minor comments (15)

src/components/admin/security/keys/McpKeyRow.tsx-20-27 (1)

20-27: ⚠️ Potential issue | 🟡 Minor | ⚡ Quick win

Tratar datas inválidas para evitar texto NaN na UI

Em Line 22 e Line 32, se expiresAt/date vier inválida do backend, getTime() vira NaN e o componente pode renderizar expira em NaNd / há NaNd.

💡 Patch sugerido

 function formatExpiresIn(expiresAt: string | null): string | null {
   if (!expiresAt) return null;
-  const ms = new Date(expiresAt).getTime() - Date.now();
+  const expiresTs = new Date(expiresAt).getTime();
+  if (!Number.isFinite(expiresTs)) return null;
+  const ms = expiresTs - Date.now();
   if (ms <= 0) return 'expirada';
   const days = Math.floor(ms / (24 * 60 * 60 * 1000));
   if (days === 0) return 'expira hoje';
   if (days === 1) return 'expira em 1d';
   return `expira em ${days}d`;
 }
 
 function formatRelative(date: string | null): string {
   if (!date) return 'nunca usada';
-  const ms = Date.now() - new Date(date).getTime();
+  const usedTs = new Date(date).getTime();
+  if (!Number.isFinite(usedTs)) return 'nunca usada';
+  const ms = Date.now() - usedTs;
   if (ms < 60_000) return 'há instantes';
   const m = Math.floor(ms / 60_000);
   if (m < 60) return `há ${m}min`;
   const h = Math.floor(m / 60);
   if (h < 24) return `há ${h}h`;
   const d = Math.floor(h / 24);
   return `há ${d}d`;
 }

Also applies to: 30-39

🤖 Prompt for AI Agents

Verify each finding against current code. Fix only still-valid issues, skip the
rest with a brief reason, keep changes minimal, and validate.

In `@src/components/admin/security/keys/McpKeyRow.tsx` around lines 20 - 27,
formatExpiresIn can produce NaN-based strings when expiresAt is an invalid date;
update it to validate the parsed date before using getTime(): create a Date
object (e.g., const expires = new Date(expiresAt)), get its timestamp (const
expiresTs = expires.getTime()), return null or a safe fallback if
Number.isNaN(expiresTs) or !isFinite(expiresTs), then compute ms = expiresTs -
Date.now() and proceed as before. Apply the same validation pattern to the other
date-formatting logic in this file that calls getTime() (the analogous formatter
around lines 30-39) so invalid backend dates don't render "NaN" in the UI.

src/components/admin/suppliers-manager/useSuppliersManager.ts-53-53 (1)

53-53: ⚠️ Potential issue | 🟡 Minor | ⚡ Quick win

Falta cleanup do timeout ao desmontar o hook.

O carrierSearchTimeout ref é usado para debounce mas não há useEffect com cleanup para limpar o timeout quando o componente desmonta. Isso pode causar setState em componente desmontado.

🛡️ Correção sugerida

Adicionar um useEffect de cleanup:

  const carrierSearchTimeout = useRef<ReturnType<typeof setTimeout>>();
  const logoInputRef = useRef<HTMLInputElement>(null);

+ useEffect(() => {
+   return () => {
+     if (carrierSearchTimeout.current) {
+       clearTimeout(carrierSearchTimeout.current);
+     }
+   };
+ }, []);
+
  const searchCarriers = useCallback(async (term: string) => {

🤖 Prompt for AI Agents

Verify each finding against current code. Fix only still-valid issues, skip the
rest with a brief reason, keep changes minimal, and validate.

In `@src/components/admin/suppliers-manager/useSuppliersManager.ts` at line 53, O
ref carrierSearchTimeout usado em useSuppliersManager está sendo usado para
debounce mas não é limpo ao desmontar o hook; adicione um useEffect que no
cleanup chame clearTimeout(carrierSearchTimeout.current) (e defina
carrierSearchTimeout.current = undefined) para garantir que o timeout seja
cancelado ao desmontar o componente e evitar setState em componente desmontado;
também limpe qualquer timeout anterior antes de criar um novo dentro da lógica
de debounce onde carrierSearchTimeout é setado.

src/components/admin/products/ProductMaterialsSection.tsx-262-270 (1)

262-270: ⚠️ Potential issue | 🟡 Minor | ⚡ Quick win

_visibleGroups está sendo ignorado no render da árvore.

Você calcula grupos filtrados/ordenados, mas na MaterialGroupTree passa groups bruto. Isso pode quebrar a UX de filtro por grupo e ordenação.

💡 Ajuste sugerido

- const _visibleGroups = [...groups]
+ const visibleGroups = [...groups]
    .filter(
      (g) =>
        !search ||
        g.group_name.toLowerCase().includes(searchLower) ||
        (filteredTypesByGroup[g.group_id]?.length || 0) > 0,
    )
    .sort((a, b) => a.group_name.localeCompare(b.group_name, 'pt-BR'));

  ...

  <MaterialGroupTree
-   groups={groups}
+   groups={visibleGroups}
    typesByGroup={typesByGroup}
    filteredTypesByGroup={filteredTypesByGroup}

Also applies to: 361-365

🤖 Prompt for AI Agents

Verify each finding against current code. Fix only still-valid issues, skip the
rest with a brief reason, keep changes minimal, and validate.

In `@src/components/admin/products/ProductMaterialsSection.tsx` around lines 262 -
270, You computed a filtered/sorted list _visibleGroups but still pass the raw
groups into the MaterialGroupTree, so the UI ignores the filtering/sorting;
update the render to pass _visibleGroups (not groups) into the MaterialGroupTree
prop(s) that accept group lists (and any other component call at the second
occurrence around the other block at lines 361-365) so the tree uses the
filtered/ordered data (ensure any dependent logic using filteredTypesByGroup
continues to work with _visibleGroups).

src/components/admin/products/sections/engraving/useEngravingWizard.ts-319-324 (1)

319-324: ⚠️ Potential issue | 🟡 Minor | ⚡ Quick win

Evite propagar NaN em max_colors.

Na Line [320]-[323], parseInt pode retornar NaN e esse valor entra em max_colors. Melhor normalizar para null quando a conversão falhar.

Diff sugerido

     max_colors:
       tech?.max_cores != null
-        ? typeof tech.max_cores === 'string'
-          ? parseInt(tech.max_cores, 10)
-          : tech.max_cores
+        ? (() => {
+            const parsed =
+              typeof tech.max_cores === 'string' ? parseInt(tech.max_cores, 10) : tech.max_cores;
+            return Number.isFinite(parsed) ? parsed : null;
+          })()
         : null,

🤖 Prompt for AI Agents

Verify each finding against current code. Fix only still-valid issues, skip the
rest with a brief reason, keep changes minimal, and validate.

In `@src/components/admin/products/sections/engraving/useEngravingWizard.ts`
around lines 319 - 324, O campo max_colors está recebendo o resultado de
parseInt(tech.max_cores) sem tratar NaN; altere a expressão que calcula
max_colors (onde aparece tech?.max_cores) para testar o resultado da conversão e
atribuir null quando parseInt falhar (por exemplo use const parsed = typeof
tech.max_cores === 'string' ? parseInt(tech.max_cores, 10) : tech.max_cores;
then set max_colors = Number.isFinite(parsed) ? parsed : null), ajustando a
lógica dentro do hook/useEngravingWizard onde max_colors é construído.

src/components/compare/ExportComparisonButton.tsx-62-77 (1)

62-77: ⚠️ Potential issue | 🟡 Minor | ⚡ Quick win

busy é liberado antes do fim real da exportação PNG.

toBlob roda por callback; então o finally em Line 76 executa antes de concluir o download. Isso pode liberar o botão cedo e gerar exportações duplicadas.

💡 Patch sugerido

-      canvas.toBlob((blob) => {
-        if (!blob) return;
-        const url = URL.createObjectURL(blob);
-        const a = document.createElement('a');
-        a.href = url;
-        a.download = `comparacao-${new Date().toISOString().slice(0, 10)}.png`;
-        a.click();
-        URL.revokeObjectURL(url);
-        toast.success('PNG exportado');
-      });
+      const blob = await new Promise<Blob | null>((resolve) => canvas.toBlob(resolve));
+      if (!blob) {
+        toast.error('Falha ao exportar PNG');
+        return;
+      }
+      const url = URL.createObjectURL(blob);
+      const a = document.createElement('a');
+      a.href = url;
+      a.download = `comparacao-${new Date().toISOString().slice(0, 10)}.png`;
+      a.click();
+      URL.revokeObjectURL(url);
+      toast.success('PNG exportado');

🤖 Prompt for AI Agents

Verify each finding against current code. Fix only still-valid issues, skip the
rest with a brief reason, keep changes minimal, and validate.

In `@src/components/compare/ExportComparisonButton.tsx` around lines 62 - 77, The
export flow marks busy via setBusy but releases it in the finally block while
canvas.toBlob runs asynchronously, causing setBusy(false) to run before the
export completes; change the logic so the code awaits the toBlob callback (e.g.,
convert canvas.toBlob callback into a Promise) and only call setBusy(false)
after the blob handling finishes (including URL.createObjectURL, a.click,
URL.revokeObjectURL and toast.success/toast.error). Ensure you also handle the
null-blob case and call toast.error and setBusy(false) from that path; update
the code around canvas.toBlob, the blob callback, setBusy, and toast usage to
reflect the awaited completion.

src/components/compare/ComparisonHighlights.tsx-120-124 (1)

120-124: ⚠️ Potential issue | 🟡 Minor | ⚡ Quick win

Tooltip de worst fica semanticamente errado em higher-is-better.

Em mode='higher-is-better', o “worst” é o menor valor, mas o tooltip fixo em Line 123 diz “Valor mais alto”.

💡 Patch sugerido

    worst: {
      bg: 'bg-destructive/10 border-destructive/30',
      text: 'text-destructive',
      icon: AlertTriangle,
-      tooltip: 'Valor mais alto',
+      tooltip: mode === 'lower-is-better' ? 'Valor mais alto' : 'Valor mais baixo',
    },

🤖 Prompt for AI Agents

Verify each finding against current code. Fix only still-valid issues, skip the
rest with a brief reason, keep changes minimal, and validate.

In `@src/components/compare/ComparisonHighlights.tsx` around lines 120 - 124, The
tooltip for the "worst" variant is hardcoded to "Valor mais alto" which is
incorrect when mode='higher-is-better' (worst should be the smaller value);
update the construction of the highlights/variants object in the
ComparisonHighlights component so the tooltip for the 'worst' entry is
conditional on the mode (e.g., if mode === 'higher-is-better' set tooltip to
"Valor mais baixo", otherwise "Valor mais alto"), ensuring you use the existing
symbols like the 'worst' key and the component prop 'mode' to locate and change
the value.

src/components/compare/ComparisonHighlights.tsx-147-155 (1)

147-155: ⚠️ Potential issue | 🟡 Minor | ⚡ Quick win

Render de indicadores está inconsistente (showIndicator) e o diff pode sair com sinal errado.

Hoje pode aparecer (+-valor) em higher-is-better, e a seta de “best” continua aparecendo mesmo com showIndicator={false}.

💡 Patch sugerido

-            {type === 'best' && diff === 0 && <TrendingUp className="h-3 w-3 text-success" />}
+            {showIndicator && type === 'best' && diff === 0 && (
+              <TrendingUp className="h-3 w-3 text-success" />
+            )}
             {type !== 'best' && diff > 0 && (
               <span className="text-xs text-muted-foreground">
-                (+{mode === 'lower-is-better' ? formatValue(diff) : formatValue(-diff)})
+                (+{formatValue(diff)})
               </span>
             )}

🤖 Prompt for AI Agents

Verify each finding against current code. Fix only still-valid issues, skip the
rest with a brief reason, keep changes minimal, and validate.

In `@src/components/compare/ComparisonHighlights.tsx` around lines 147 - 155, The
indicator rendering and diff sign logic are inconsistent: ensure the "best"
arrow (TrendingUp) respects showIndicator by adding showIndicator to its
condition (currently only checks type === 'best' && diff === 0), and fix the
displayed diff sign by computing a signed value (e.g., let signed = mode ===
'lower-is-better' ? diff : -diff), then render a prefixed sign (use '+' when
signed > 0) with formatValue(Math.abs(signed)) in the diff span; update the JSX
in ComparisonHighlights (references: showIndicator, Icon, TrendingUp, type,
diff, mode, formatValue) accordingly so the arrow hides when showIndicator is
false and the diff never shows a "+-" combination.

src/components/bi/BIAiCopilot.tsx-100-102 (1)

100-102: ⚠️ Potential issue | 🟡 Minor | ⚡ Quick win

Acesso a seas.topClientMonths sem verificação de null.

Se o hook useClientSeasonality ainda não carregou os dados ou retornou erro, seas.topClientMonths pode ser undefined, causando erro em .map().

🛡️ Adicionar fallback

         seasonality: {
-          topClientMonths: seas.topClientMonths.map(
+          topClientMonths: (seas.topClientMonths ?? []).map(
             (m) => `${m.monthLabel} (${Math.round(m.sharePercent)}%)`,
           ),

🤖 Prompt for AI Agents

Verify each finding against current code. Fix only still-valid issues, skip the
rest with a brief reason, keep changes minimal, and validate.

In `@src/components/bi/BIAiCopilot.tsx` around lines 100 - 102, O acesso a
seas.topClientMonths pode falhar se useClientSeasonality ainda não retornou
dados; altere a construção em BIAiCopilot (onde topClientMonths é mapeado) para
usar um fallback seguro (ex.: usar seas?.topClientMonths ?? [] ou optional
chaining antes do .map) garantindo que topClientMonths seja iterável vazio
quando undefined, e mantenha a mesma formatação `${m.monthLabel}
(${Math.round(m.sharePercent)}%)` para cada item.

src/components/ai/AIMockupAssistant.tsx-296-301 (1)

296-301: ⚠️ Potential issue | 🟡 Minor | ⚡ Quick win

aria-label="Carregando" incorreto para botão de envio.

O aria-label está fixo como "Carregando", mas o botão é para enviar mensagens. Isso prejudica a acessibilidade.

♿ Correção de acessibilidade

               <Button
                 type="submit"
                 size="icon"
-                aria-label="Carregando"
+                aria-label={isLoading ? 'Carregando' : 'Enviar mensagem'}
                 className="h-10 w-10 shrink-0 bg-primary text-white hover:bg-primary/90"
                 disabled={!input.trim() || isLoading}
               >

🤖 Prompt for AI Agents

Verify each finding against current code. Fix only still-valid issues, skip the
rest with a brief reason, keep changes minimal, and validate.

In `@src/components/ai/AIMockupAssistant.tsx` around lines 296 - 301, O aria-label
do botão de envio no componente AIMockupAssistant está sempre "Carregando";
altere a prop aria-label no JSX do Button (a linha onde Button recebe
type="submit" size="icon" disabled={!input.trim() || isLoading}) para refletir o
estado: use "Carregando" quando isLoading for true e "Enviar mensagem" (ou
"Enviar") quando isLoading for false (p.ex. condicionalmente setando
aria-label={isLoading ? "Carregando" : "Enviar mensagem"}) para corrigir a
acessibilidade.

src/components/ai/AIRecommendationsPanel.tsx-192-236 (1)

192-236: ⚠️ Potential issue | 🟡 Minor | ⚡ Quick win

Falta um estado explícito para resposta vazia.

Quando a IA responde sem itens e sem insights, o painel expandido fica só com header/refresh porque a lista só renderiza com length > 0. Isso parece falha silenciosa em vez de “nenhuma recomendação encontrada”.

🤖 Prompt for AI Agents

Verify each finding against current code. Fix only still-valid issues, skip the
rest with a brief reason, keep changes minimal, and validate.

In `@src/components/ai/AIRecommendationsPanel.tsx` around lines 192 - 236, The
panel currently only renders recommendations when (recommendations?.length ?? 0)
> 0, so when the AI returns an empty recommendations array and no insights the
expanded panel shows only header/refresh; update AIRecommendationsPanel to
explicitly handle an empty-response state by checking for a non-error,
non-loading response with recommendations?.length === 0 (or visibleRecs.length
=== 0 when recommendations exist but filtered out) and render a “no
recommendations found” message; modify the conditional block that uses
recommendations, visibleRecs and the visibleRecs.length check to include this
explicit empty state and reuse productNameById, scoreColorClass and onAddProduct
logic paths as needed.

src/components/ai/AIRecommendationsPanel.tsx-91-107 (1)

91-107: ⚠️ Potential issue | 🟡 Minor | ⚡ Quick win

fetchRecommendations é async mas chamado sem await em handleGenerate.

A função fetchRecommendations (hook) é assíncrona (async), mas em handleGenerate (linha 93) ela é chamada sem await. Embora a função trate erros internamente via try-catch e toast, deixar uma Promise "flutuante" é má prática e pode dificultar debugging. Para melhor clareza, faça handleGenerate async ou adicione .catch():

// Opção 1: async/await
const handleGenerate = useCallback(async () => {
  if (!clientName?.trim() || catalog.length === 0) return;
  await fetchRecommendations(...);
}, [clientName, catalog, fetchRecommendations]);

// Opção 2: .catch() explícito
fetchRecommendations(...).catch(() => {});

Nota: clearCache é síncrono, sem issue.

🤖 Prompt for AI Agents

Verify each finding against current code. Fix only still-valid issues, skip the
rest with a brief reason, keep changes minimal, and validate.

In `@src/components/ai/AIRecommendationsPanel.tsx` around lines 91 - 107, O
handleGenerate chama a função assíncrona fetchRecommendations sem await,
deixando uma Promise "flutuante"; torne handleGenerate assíncrona (mude sua
assinatura em useCallback para async) e aguarde await fetchRecommendations(...)
para propagar/esperar erros corretamente, mantendo as mesmas dependências
[clientName, catalog, fetchRecommendations]; não esqueça de atualizar
handleRefresh (que já depende de handleGenerate) para continuar chamando
handleGenerate normalmente; alternativa aceitável é encadear .catch(...) ao
chamar fetchRecommendations se preferir não tornar handleGenerate async.

src/components/admin/ProductPersonalizationManager.tsx-109-114 (1)

109-114: ⚠️ Potential issue | 🟡 Minor | ⚡ Quick win

Bloqueie códigos e nomes só com espaços.

As validações atuais aceitam strings como ' '. Isso permite criar componente/localização visualmente vazios, mas persistidos no banco. Faça trim() antes de validar e antes de montar o payload.

💡 Ajuste sugerido

 const handleAddComponent = () => {
-  if (!selectedProduct || !newComponent.code || !newComponent.name) return;
+  const componentCode = newComponent.code.trim().toUpperCase();
+  const componentName = newComponent.name.trim();
+  if (!selectedProduct || !componentCode || !componentName) return;
   addComponentMutation.mutate(
     {
       product_id: selectedProduct,
-      component_code: newComponent.code.toUpperCase(),
-      component_name: newComponent.name,
+      component_code: componentCode,
+      component_name: componentName,
     },
@@
 const handleAddLocation = () => {
-  if (!selectedComponentId || !newLocation.code || !newLocation.name) return;
+  const locationCode = newLocation.code.trim().toUpperCase();
+  const locationName = newLocation.name.trim();
+  if (!selectedComponentId || !locationCode || !locationName) return;
   addLocationMutation.mutate(
     {
       component_id: selectedComponentId,
-      location_code: newLocation.code.toUpperCase(),
-      location_name: newLocation.name,
+      location_code: locationCode,
+      location_name: locationName,

Also applies to: 126-131

🤖 Prompt for AI Agents

Verify each finding against current code. Fix only still-valid issues, skip the
rest with a brief reason, keep changes minimal, and validate.

In `@src/components/admin/ProductPersonalizationManager.tsx` around lines 109 -
114, As validações atuais aceitam strings compostas só por espaços; antes de
checar e antes de montar o payload, faça trim() em newComponent.code e
newComponent.name (por exemplo ao validar `if (!selectedProduct ||
!newComponent.code || !newComponent.name)`) e use as versões trimmed ao chamar
addComponentMutation.mutate (e no bloco análogo nas linhas 126-131). Garanta que
você substitui as referências por valores .trim() quando validar e ao atribuir
component_code/component_name no objeto enviado a addComponentMutation.mutate (e
no outro mutation equivalente).

src/components/admin/ProductPersonalizationManager.tsx-132-134 (1)

132-134: ⚠️ Potential issue | 🟡 Minor | ⚡ Quick win

Valide NaN antes de enviar números para as mutations.

Inputs type="number" permitem estados transitórios como -, ., 1e enquanto o usuário digita. Nesses casos, parseFloat()/parseInt() retornam NaN e o payload é enviado para a mutation, quebrando serialização ou gravando dados inválidos.

💡 Solução sugerida

Crie helpers com validação Number.isFinite():

const toOptionalNumber = (value: string) => {
  const trimmed = value.trim();
  if (!trimmed) return undefined;
  const parsed = Number(trimmed);
  return Number.isFinite(parsed) ? parsed : undefined;
};

const toOptionalInteger = (value: string) => {
  const parsed = toOptionalNumber(value);
  return parsed !== undefined ? Math.trunc(parsed) : undefined;
};

const toNullableNumber = (value: string) => toOptionalNumber(value) ?? null;

Aplicar em linhas 132-134, 158 e 535-567.

🤖 Prompt for AI Agents

Verify each finding against current code. Fix only still-valid issues, skip the
rest with a brief reason, keep changes minimal, and validate.

In `@src/components/admin/ProductPersonalizationManager.tsx` around lines 132 -
134, The current conversion using parseFloat on
newLocation.maxWidth/newLocation.maxHeight/newLocation.maxArea can produce NaN
for transient numeric inputs; add small helpers (e.g., toOptionalNumber,
toOptionalInteger, toNullableNumber) that trim, parse to Number, and return
undefined for non-finite values (or null where needed) and replace parseFloat
usages when building max_width_cm, max_height_cm, max_area_cm2 and the other
occurrences mentioned (the blocks referencing newLocation.* and the later
numeric fields around the other mutation payloads) to ensure only finite numbers
or undefined/null are sent to the mutations.

src/components/admin/products/video-gallery/VideoMetaEditor.tsx-64-70 (1)

64-70: ⚠️ Potential issue | 🟡 Minor | ⚡ Quick win

Incompatibilidade de tipo: null vs undefined.

O tipo de onSave espera title?: string (ou seja, string | undefined), mas o código passa null quando o valor está vazio. Isso pode causar comportamento inesperado em runtime se o consumidor verificar === undefined.

🐛 Correção sugerida

          onClick={() =>
            onSave({
-             title: title.trim() || null,
-             description: description.trim() || null,
+             title: title.trim() || undefined,
+             description: description.trim() || undefined,
              video_type: videoType,
            })
          }

🤖 Prompt for AI Agents

Verify each finding against current code. Fix only still-valid issues, skip the
rest with a brief reason, keep changes minimal, and validate.

In `@src/components/admin/products/video-gallery/VideoMetaEditor.tsx` around lines
64 - 70, O problema é que VideoMetaEditor está passando null para
title/description, enquanto onSave espera title?: string (undefined); altere a
chamada em onClick para não usar null — passe undefined quando vazio (por
exemplo, use title.trim() || undefined e description.trim() || undefined) ou
omita as chaves correspondentes; mantenha video_type como está e preserve o uso
de onSave para compatibilidade de tipo.

src/components/admin/products/video-gallery/useProductVideoGallery.ts-522-527 (1)

522-527: ⚠️ Potential issue | 🟡 Minor | ⚡ Quick win

Catch vazio engole erros silenciosamente.

O bloco catch {} vazio na linha 526 faz com que falhas individuais de regeneração de thumbnail sejam completamente ignoradas. O usuário não saberá quais vídeos falharam.

🐛 Sugestão: logar ou notificar falhas

    for (const video of withoutThumb) {
      try {
        await regenerateThumbnail(video);
        successCount++;
-     } catch {}
+     } catch (err) {
+       logger.warn(`Falha ao regenerar thumbnail para vídeo ${video.id}:`, err);
+     }
    }

🤖 Prompt for AI Agents

Verify each finding against current code. Fix only still-valid issues, skip the
rest with a brief reason, keep changes minimal, and validate.

In `@src/components/admin/products/video-gallery/useProductVideoGallery.ts` around
lines 522 - 527, O loop que chama regenerateThumbnail sobre cada item em
withoutThumb engole erros com um catch vazio — altere o catch para capturar o
erro (e.g. catch (err)) e registar/propagar a falha: logue um erro identificando
o vídeo que falhou (usar alguma propriedade do objeto video para identificar),
incremente um contador de falhas ou adicione o vídeo a um array failedVideos
para notificação ao usuário, e continue o loop; mantenha successCount++ apenas
no try quando for bem-sucedido.

[coderabbitai]

⚠️ Potential issue | 🔴 Critical | ⚡ Quick win

🧩 Analysis chain

🏁 Script executed:

find . -name "index.html" -type f | head -20

Repository: adm01-debug/Promo_Gifts

Length of output: 80

---

🏁 Script executed:

cat -n ./index.html | sed -n '100,105p'

Repository: adm01-debug/Promo_Gifts

Length of output: 365

---

Script remoto da CDN sem SRI abre risco de supply chain.

Na linha 103, a alteração de https://cdn.gpteng.co/gptengineer.js executará com o mesmo trust da aplicação. Como o script é obrigatório (indicado pelo comentário), adicione integrity com hash publicado pelo fornecedor e crossorigin="anonymous":

Sugestão de correção

-    <script src="https://cdn.gpteng.co/gptengineer.js" type="module"></script>
+    <script
+      src="https://cdn.gpteng.co/gptengineer.js"
+      type="module"
+      integrity="sha384-<hash-publicado-pelo-fornecedor>"
+      crossorigin="anonymous"
+    ></script>

🤖 Prompt for AI Agents

Verify each finding against current code. Fix only still-valid issues, skip the
rest with a brief reason, keep changes minimal, and validate.

In `@index.html` around lines 102 - 103, O script remoto <script
src="https://cdn.gpteng.co/gptengineer.js"> está a ser incluído sem SRI e sem
atributo CORS; adicione ao elemento script o atributo integrity com o hash SRI
fornecido pelo fornecedor e adicione crossorigin="anonymous" (mantendo o mesmo
src e o comentário que indica que o script é obrigatório) para mitigar riscos de
supply chain e permitir verificação de integridade do ficheiro.

[coderabbitai]

⚠️ Potential issue | 🔴 Critical | ⚡ Quick win

Conflito entre importação type-only e uso como valor.

Activity é importado como type Activity (type-only import), mas na linha 57 é usado em icon: typeof Activity, que requer Activity como valor em runtime. Imports type-only são apagados na transpilação e não podem ser usados com typeof.

🔧 Correção: remover `type` do import

-import { type Activity, AlertTriangle, AlertOctagon, CheckCircle2, RefreshCw, Webhook, Clock, XCircle } from "lucide-react";
+import { Activity, AlertTriangle, AlertOctagon, CheckCircle2, RefreshCw, Webhook, Clock, XCircle } from "lucide-react";

📝 Committable suggestion

‼️ IMPORTANT
Carefully review the code before committing. Ensure that it accurately replaces the highlighted code, contains no missing lines, and has no issues with indentation. Thoroughly test & benchmark the code to ensure it meets the requirements.

Suggested change

	import { type Activity, AlertTriangle, AlertOctagon, CheckCircle2, RefreshCw, Webhook, Clock, XCircle } from "lucide-react";
	import { Activity, AlertTriangle, AlertOctagon, CheckCircle2, RefreshCw, Webhook, Clock, XCircle } from "lucide-react";

🤖 Prompt for AI Agents

Verify each finding against current code. Fix only still-valid issues, skip the
rest with a brief reason, keep changes minimal, and validate.

In `@src/components/admin/connections/ConnectionsPulseBar.tsx` at line 12, The
import for Activity was declared as a type-only import but is used as a runtime
value in the icon declaration (icon: typeof Activity); remove the type-only
qualifier so Activity is imported as a value (change "import { type Activity,
... }" to import Activity as a value) so typeof Activity is valid at runtime and
preserve the other lucide-react imports (AlertTriangle, CheckCircle2, etc.)
unchanged.

[coderabbitai]

⚠️ Potential issue | 🔴 Critical | ⚡ Quick win

🧩 Analysis chain

🏁 Script executed:

#!/bin/bash
# Verificar a estrutura de erro do supabase.functions.invoke em outros arquivos
rg -n "error\.context" --type=ts --type=tsx -C2

Repository: adm01-debug/Promo_Gifts

Length of output: 95

---

🏁 Script executed:

# Buscar error.context em arquivos TypeScript
rg -n "error\.context" --type=ts -C2

Repository: adm01-debug/Promo_Gifts

Length of output: 483

---

🏁 Script executed:

# Ler o arquivo específico mencionado para entender o contexto completo
cat -n src/components/admin/ImageUploadButton.tsx | head -100

Repository: adm01-debug/Promo_Gifts

Length of output: 3944

---

🏁 Script executed:

# Procurar pela função supabase.functions.invoke para entender como os erros são estruturados
rg -n "supabase\.functions\.invoke" -A5 -B5 --type=ts

Repository: adm01-debug/Promo_Gifts

Length of output: 50380

---

🏁 Script executed:

# Procurar por definições de tipo de erro ou FunctionsHttpError
rg -n "FunctionsHttpError|FunctionError|error.*context" --type=ts | head -30

Repository: adm01-debug/Promo_Gifts

Length of output: 3228

---

🏁 Script executed:

# Procurar especificamente por context?.context em todo codebase
rg -n "context\?\.context" --type=ts

Repository: adm01-debug/Promo_Gifts

Length of output: 193

---

🏁 Script executed:

# Buscar por definições de tipo ou interfaces que descrevem erro
rg -n "interface.*[Ee]rror|type.*[Ee]rror" src/ --type=ts | head -20

Repository: adm01-debug/Promo_Gifts

Length of output: 1942

---

🏁 Script executed:

# Verificar como error.status é usado na mesma função (linha 67)
sed -n '60,100p' src/components/admin/ImageUploadButton.tsx

Repository: adm01-debug/Promo_Gifts

Length of output: 1352

---

🏁 Script executed:

# Buscar extractFunctionErrorMessage para entender estrutura de erro
cat -n src/lib/external-db/invoke.ts | head -80

Repository: adm01-debug/Promo_Gifts

Length of output: 4322

---

Remover o context aninhado duplicado na verificação de erro.

A estrutura error.context?.context?.status está incorreta. Baseado na tipagem usada em todo o codebase (Error & { context?: Response }), o acesso correto é error.context?.status. O duplo context?.context é um typo.

Padrão encontrado em outras partes do código

• extractFunctionErrorMessage (invoke.ts): maybeContext.context instanceof Response
• useSecretsManager: const ctx = (error as { context?: Response }).context
• Testes: error: { message: 'Bad Gateway', context: { status: 502 } }

Alterar linha 80 para:

if (error.status === 403 || error.context?.status === 403) {

🤖 Prompt for AI Agents

Verify each finding against current code. Fix only still-valid issues, skip the
rest with a brief reason, keep changes minimal, and validate.

In `@src/components/admin/ImageUploadButton.tsx` around lines 80 - 82, In
ImageUploadButton.tsx update the error check to remove the duplicated nested
context access: locate the conditional in the component (the block that
currently reads error.status === 403 || error.context?.context?.status === 403)
and change it to use the codebase convention Error & { context?: Response } by
checking error.status === 403 || error.context?.status === 403 so the check uses
the top-level context property correctly.

[coderabbitai]

⚠️ Potential issue | 🔴 Critical | ⚡ Quick win

🧩 Analysis chain

🏁 Script executed:

head -70 src/components/admin/products/kit-components/ComponentMediaManager.tsx | cat -n

Repository: adm01-debug/Promo_Gifts

Length of output: 2835

---

🏁 Script executed:

grep -n "_productId\|_componentName" src/components/admin/products/kit-components/ComponentMediaManager.tsx

Repository: adm01-debug/Promo_Gifts

Length of output: 162

---

🏁 Script executed:

wc -l src/components/admin/products/kit-components/ComponentMediaManager.tsx && tail -100 src/components/admin/products/kit-components/ComponentMediaManager.tsx | cat -n

Repository: adm01-debug/Promo_Gifts

Length of output: 5053

---

🏁 Script executed:

cd src/components/admin/products/kit-components && cat -n ComponentMediaManager.tsx | sed -n '54,68p'

Repository: adm01-debug/Promo_Gifts

Length of output: 699

---

Type mismatch na assinatura do componente.

A interface Props define productId e componentName, mas a desestruturação usa _productId e _componentName. TypeScript vai rejeitar essa assinatura.

✅ Correção sugerida

-export function ComponentMediaManager({ componentId, _productId, _componentName }: Props) {
+export function ComponentMediaManager({
+  componentId,
+  productId: _productId,
+  componentName: _componentName,
+}: Props) {

📝 Committable suggestion

‼️ IMPORTANT
Carefully review the code before committing. Ensure that it accurately replaces the highlighted code, contains no missing lines, and has no issues with indentation. Thoroughly test & benchmark the code to ensure it meets the requirements.

Suggested change

	export function ComponentMediaManager({ componentId, _productId, _componentName }: Props) {
	export function ComponentMediaManager({
	componentId,
	productId: _productId,
	componentName: _componentName,
	}: Props) {

🤖 Prompt for AI Agents

Verify each finding against current code. Fix only still-valid issues, skip the
rest with a brief reason, keep changes minimal, and validate.

In `@src/components/admin/products/kit-components/ComponentMediaManager.tsx` at
line 26, A assinatura de ComponentMediaManager está desestruturando props com
nomes diferentes (_productId, _componentName) do que a interface Props declara
(productId, componentName), causando erro de tipo; atualize a desestruturação em
ComponentMediaManager para usar os nomes corretos (productId, componentName) ou
ajuste a interface Props para corresponder aos nomes usados, garantindo
consistência entre a interface Props e a função ComponentMediaManager
(referências relevantes: Props, ComponentMediaManager, productId, componentName,
componentId).

[coderabbitai]

⚠️ Potential issue | 🔴 Critical | ⚡ Quick win

🧩 Analysis chain

🏁 Script executed:

find . -name "PrintAreasManager.tsx" -type f 2>/dev/null

Repository: adm01-debug/Promo_Gifts

Length of output: 136

---

🏁 Script executed:

cat -n ./src/components/admin/products/kit-components/PrintAreasManager.tsx | head -50

Repository: adm01-debug/Promo_Gifts

Length of output: 1898

---

🏁 Script executed:

cat -n ./src/components/admin/products/kit-components/PrintAreasManager.tsx | grep -E "(componentName|_componentName)" | head -20

Repository: adm01-debug/Promo_Gifts

Length of output: 124

---

🏁 Script executed:

cat -n ./src/components/admin/products/kit-components/PrintAreasManager.tsx | tail -n +1 | head -100 | grep -A 5 -B 5 "type\|interface"

Repository: adm01-debug/Promo_Gifts

Length of output: 524

---

🏁 Script executed:

cat -n ./src/components/admin/products/kit-components/PrintAreasManager.tsx | grep -E "(await|catch|\.then\(|async|setInterval|addEventListener)" | head -30

Repository: adm01-debug/Promo_Gifts

Length of output: 485

---

🏁 Script executed:

wc -l ./src/components/admin/products/kit-components/PrintAreasManager.tsx

Repository: adm01-debug/Promo_Gifts

Length of output: 140

---

🏁 Script executed:

cat -n ./src/components/admin/products/kit-components/PrintAreasManager.tsx | grep -E "(http|https|api|token|secret|key|password|AUTH|API_)" | head -20

Repository: adm01-debug/Promo_Gifts

Length of output: 246

---

Desestruturação de props incompatível com tipo de parâmetro.

A função desestrutura _componentName (linha 34), mas o tipo declara componentName (linha 37). Isso gera erro de TypeScript em compilação — a propriedade não será encontrada durante desestruturação.

Use alias para corrigir:

Correção

 export function PrintAreasManager({
   componentId,
-  _componentName,
+  componentName: _componentName,
 }: {
   componentId: string;
   componentName: string;
 }) {

📝 Committable suggestion

‼️ IMPORTANT
Carefully review the code before committing. Ensure that it accurately replaces the highlighted code, contains no missing lines, and has no issues with indentation. Thoroughly test & benchmark the code to ensure it meets the requirements.

Suggested change

	export function PrintAreasManager({
	componentId,
	_componentName,
	}: {
	componentId: string;
	componentName: string;
	}) {
	export function PrintAreasManager({
	componentId,
	componentName: _componentName,
	}: {
	componentId: string;
	componentName: string;
	}) {

🤖 Prompt for AI Agents

Verify each finding against current code. Fix only still-valid issues, skip the
rest with a brief reason, keep changes minimal, and validate.

In `@src/components/admin/products/kit-components/PrintAreasManager.tsx` around
lines 32 - 38, A desestruturação em PrintAreasManager usa _componentName
enquanto o tipo do parâmetro declara componentName, causando erro de TypeScript;
corrija alinhando os nomes — ou altere a desestruturação para usar componentName
em vez de _componentName, ou atualize a assinatura tipada para aceitar
_componentName: string (ou use um alias na desestruturação, por exemplo
componentName: _componentName) — verifique e atualize a função PrintAreasManager
e a declaração do objeto de props (componentId, componentName/_componentName)
para que nomes e tipos coincidam.

[coderabbitai]

⚠️ Potential issue | 🔴 Critical | ⚡ Quick win

🧩 Analysis chain

🏁 Script executed:

#!/bin/bash
# Verificação rápida do mismatch entre interface e desestruturação
rg -n -C2 "interface AnimatedCounterProps|duration\\?:|export function AnimatedCounter|_duration" src/components/common/MicroInteractions.tsx

Repository: adm01-debug/Promo_Gifts

Length of output: 402

---

🏁 Script executed:

sed -n '103,130p' src/components/common/MicroInteractions.tsx | cat -n

Repository: adm01-debug/Promo_Gifts

Length of output: 979

---

🏁 Script executed:

rg -n "_duration|duration" src/components/common/MicroInteractions.tsx

Repository: adm01-debug/Promo_Gifts

Length of output: 531

---

_duration não existe em AnimatedCounterProps e não é utilizado no componente

Linha 105 desestrutura _duration, mas a interface define duration. Além disso, _duration não é usado no corpo da função — o componente ignora completamente o parâmetro de duração. TypeScript vai falhar na compilação.

Renomeie para duration: _duration = 1 e passe o valor para a animação:

Diff

 export function AnimatedCounter({
   value,
-  _duration = 1,
+  duration: _duration = 1,
   className,
   formatFn = (v) => v.toLocaleString('pt-BR'),
 }: AnimatedCounterProps) {
   return (
-    <motion.span className={className} initial={{ opacity: 0 }} animate={{ opacity: 1 }}>
+    <motion.span
+      className={className}
+      initial={{ opacity: 0 }}
+      animate={{ opacity: 1 }}
+      transition={{ duration: _duration }}
+    >
       <motion.span initial={{ opacity: 0 }} animate={{ opacity: 1 }} key={value}>
         {formatFn(value)}
       </motion.span>
     </motion.span>
   );
 }

🤖 Prompt for AI Agents

Verify each finding against current code. Fix only still-valid issues, skip the
rest with a brief reason, keep changes minimal, and validate.

In `@src/components/common/MicroInteractions.tsx` around lines 103 - 108, The prop
name in AnimatedCounter's signature is incorrect and unused: change the
destructuring from `_duration` to `duration: _duration = 1` so it matches the
AnimatedCounterProps `duration` property, then pass `_duration` into the
animation/tween logic inside the AnimatedCounter component (where the value is
animated) so the duration is actually applied; update any references to the
animation library/handler (e.g., the effect or tween call inside
AnimatedCounter) to use `_duration` for timing and ensure TypeScript compiles.

[coderabbitai]

⚠️ Potential issue | 🔴 Critical | ⚡ Quick win

🧩 Analysis chain

🏁 Script executed:

#!/bin/bash
# Verifica definição da interface e destructuring usado no componente
rg -n -C2 "interface Props|formatCurrency|_formatCurrency|export function ExportComparisonButton" src/components/compare/ExportComparisonButton.tsx

Repository: adm01-debug/Promo_Gifts

Length of output: 452

---

_formatCurrency não existe em Props — quebra de tipagem TypeScript.

O destructuring na linha 24 tenta desestruturar _formatCurrency, mas a interface Props (linha 18) define apenas formatCurrency. TypeScript vai falhar na compilação com "Property '_formatCurrency' does not exist on type 'Props'".

Renomeie para formatCurrency: _formatCurrency se a intenção é manter a convenção interna de _, ou use formatCurrency diretamente se não há razão para o underscore.

Patch sugerido

 export function ExportComparisonButton({
   products,
   targetSelector = '#compare-export-area',
-  _formatCurrency,
+  formatCurrency: _formatCurrency,
 }: Props) {

📝 Committable suggestion

‼️ IMPORTANT
Carefully review the code before committing. Ensure that it accurately replaces the highlighted code, contains no missing lines, and has no issues with indentation. Thoroughly test & benchmark the code to ensure it meets the requirements.

Suggested change

	export function ExportComparisonButton({
	products,
	targetSelector = '#compare-export-area',
	_formatCurrency,
	}: Props) {
	export function ExportComparisonButton({
	products,
	targetSelector = '#compare-export-area',
	formatCurrency: _formatCurrency,
	}: Props) {

🤖 Prompt for AI Agents

Verify each finding against current code. Fix only still-valid issues, skip the
rest with a brief reason, keep changes minimal, and validate.

In `@src/components/compare/ExportComparisonButton.tsx` around lines 21 - 25, A
desestruturação em ExportComparisonButton está usando `_formatCurrency` mas a
interface Props só declara `formatCurrency`, causando erro de tipagem; corrija a
assinatura para pegar a propriedade correta renomeando ao desestruturar (por
exemplo `formatCurrency: _formatCurrency`) ou removendo o underscore e usando
`formatCurrency` diretamente para que o nome corresponda à propriedade definida
em Props.

[adm01-debug]

🚪 Fechando — feature obsoleta.

Decisão de produto registrada na sessão de 08/05/2026: o Lovable foi descontinuado e está sendo migrado pro Supabase próprio na Fase 3 da auditoria (docs/AUDITORIA_2026-05-07.md). Restaurar o preview do Lovable é trabalho desperdiçado — a feature inteira sai junto na Fase 3.

Diff também está muito defasado em relação ao main atual (+28.981/−17.361 em 423 arquivos, criado em 30/abr).

Se algum fragmento desse PR for valioso isoladamente (ex: hardening de CSP que faz sentido manter), a recomendação é abrir um novo PR específico, não rebasear este.

— Claude (sessão de housekeeping de PRs, 08/05/2026)