Multi-Tenancy e Isolamento dei Workspace

// Solo lato server — non legge mai variabili d'ambiente o header del client
async function resolveCallerWorkspaceFromSupabase(userId: string) {
  const { data, error } = await supabase
    .from('workspace_members')
    .select('workspace_id, role')
    .eq('user_id', userId)
    .single();

  if (error || !data) throw new UnauthorizedError();
  return { workspaceId: data.workspace_id, role: data.role };
}

const { workspaceId, role } = await requireSettingsAccess(req, ['owner', 'admin']);
// workspaceId è ora considerato attendibile — usarlo per tutte le query successive

// DEPRECATA — non utilizzare
const workspace = await readSingleWorkspace();

// CORRETTA — risolvere dall'utente autenticato
const { workspaceId } = await resolveCallerWorkspaceFromSupabase(userId);
const workspace = await getWorkspaceById(workspaceId);

export async function GET(req: NextRequest) {
  const { workspaceId, role } = await requireSettingsAccess(req, ['owner', 'admin', 'developer']);

  const settings = await db
    .select()
    .from(workspaceSettings)
    .where(eq(workspaceSettings.workspaceId, workspaceId))  // sempre con ambito definito
    .limit(1);

  return Response.json(settings);
}

async function dispatchMessageViaMetaInSupabase(job: MessageJob) {
  // Credenziali recuperate dal workspace che possiede questo job
  const credentials = await getWorkspaceMetaCredentials(job.workspace_id);
  // i job del workspace A usano sempre il token Meta del workspace A
  return sendViaMetaAPI(credentials, job.payload);
}

// Eliminazione di una API key — sempre con ambito limitato al workspace del chiamante
await db.delete(apiKeys)
  .where(
    and(
      eq(apiKeys.id, keyId),
      eq(apiKeys.workspaceId, workspaceId)  // non è possibile eliminare chiavi di altri workspace
    )
  );