Autenticação e Controle de Acesso

// Chamado durante a remoção de membro do workspace
await supabaseAdmin.auth.admin.signOut(userId, 'global');

export async function DELETE(req: NextRequest) {
  // Primeiro: estabelece o workspace e o papel a partir do usuário autenticado
  const { workspaceId, role } = await requireSettingsAccess(req, ['owner', 'admin']);
  // Somente owners e admins chegam a este ponto
  // ...
}

// Criação de chave — faz o hash antes de armazenar
const rawKey = generateSecureToken();
const hashedKey = sha256(rawKey);
const keyPrefix = rawKey.slice(0, 8); // armazenado para identificação de exibição

await db.insert(apiKeys).values({
  workspaceId,
  hashedKey,
  prefix: keyPrefix,
  expiresAt: options.expiresAt ?? null,
  createdBy: userId,
});

// Retorna a chave em texto puro uma única vez — nunca armazenada novamente
return { key: rawKey, prefix: keyPrefix };

import { timingSafeEqual } from 'crypto';

function validateApiKey(providedKey: string, storedHash: string): boolean {
  const providedHash = sha256(providedKey);
  const a = Buffer.from(providedHash, 'hex');
  const b = Buffer.from(storedHash, 'hex');

  if (a.length !== b.length) return false;
  return timingSafeEqual(a, b);
}

if (key.expiresAt && key.expiresAt < new Date()) {
  throw new UnauthorizedError('API key has expired');
}

// Um developer no workspace A não pode excluir chaves do workspace B
await db.delete(apiKeys)
  .where(
    and(
      eq(apiKeys.id, keyId),
      eq(apiKeys.workspaceId, workspaceId) // derivado da autenticação, não do corpo da requisição
    )
  );