Autenticazione e Controllo degli Accessi

// Chiamata durante la rimozione di un membro del workspace
await supabaseAdmin.auth.admin.signOut(userId, 'global');

export async function DELETE(req: NextRequest) {
  // Primo passo: stabilire workspace e ruolo dall'utente autenticato
  const { workspaceId, role } = await requireSettingsAccess(req, ['owner', 'admin']);
  // Solo owner e admin arrivano a questo punto
  // ...
}

// Creazione della chiave — hashing prima della memorizzazione
const rawKey = generateSecureToken();
const hashedKey = sha256(rawKey);
const keyPrefix = rawKey.slice(0, 8); // memorizzato per l'identificazione visuale

await db.insert(apiKeys).values({
  workspaceId,
  hashedKey,
  prefix: keyPrefix,
  expiresAt: options.expiresAt ?? null,
  createdBy: userId,
});

// Restituisce la chiave in chiaro una sola volta — non viene mai più memorizzata
return { key: rawKey, prefix: keyPrefix };

import { timingSafeEqual } from 'crypto';

function validateApiKey(providedKey: string, storedHash: string): boolean {
  const providedHash = sha256(providedKey);
  const a = Buffer.from(providedHash, 'hex');
  const b = Buffer.from(storedHash, 'hex');

  if (a.length !== b.length) return false;
  return timingSafeEqual(a, b);
}

if (key.expiresAt && key.expiresAt < new Date()) {
  throw new UnauthorizedError('API key has expired');
}

// Un developer nel workspace A non può eliminare le chiavi del workspace B
await db.delete(apiKeys)
  .where(
    and(
      eq(apiKeys.id, keyId),
      eq(apiKeys.workspaceId, workspaceId) // derivato dall'autenticazione, non dal corpo della richiesta
    )
  );