Multi-Tenancy e Isolamento de Workspace

// Somente no servidor — nunca lê variáveis de ambiente ou headers do cliente
async function resolveCallerWorkspaceFromSupabase(userId: string) {
  const { data, error } = await supabase
    .from('workspace_members')
    .select('workspace_id, role')
    .eq('user_id', userId)
    .single();

  if (error || !data) throw new UnauthorizedError();
  return { workspaceId: data.workspace_id, role: data.role };
}

const { workspaceId, role } = await requireSettingsAccess(req, ['owner', 'admin']);
// workspaceId agora é confiável — use-o para todas as consultas subsequentes

// DESCONTINUADO — não use
const workspace = await readSingleWorkspace();

// CORRETO — resolva a partir do usuário autenticado
const { workspaceId } = await resolveCallerWorkspaceFromSupabase(userId);
const workspace = await getWorkspaceById(workspaceId);

export async function GET(req: NextRequest) {
  const { workspaceId, role } = await requireSettingsAccess(req, ['owner', 'admin', 'developer']);

  const settings = await db
    .select()
    .from(workspaceSettings)
    .where(eq(workspaceSettings.workspaceId, workspaceId))  // sempre escopado
    .limit(1);

  return Response.json(settings);
}

async function dispatchMessageViaMetaInSupabase(job: MessageJob) {
  // Credenciais buscadas a partir do workspace proprietário deste job
  const credentials = await getWorkspaceMetaCredentials(job.workspace_id);
  // os jobs do workspace A sempre usam o token Meta do workspace A
  return sendViaMetaAPI(credentials, job.payload);
}

// Exclusão de chave de API — sempre escopada ao workspace do chamador
await db.delete(apiKeys)
  .where(
    and(
      eq(apiKeys.id, keyId),
      eq(apiKeys.workspaceId, workspaceId)  // não é possível excluir chaves de outros workspaces
    )
  );