Autenticação

A autenticação é fim-a-fim: o cliente (Android / iOS) coleta as credenciais, chama /v1/auth/login, recebe um access token (JWT) e um refresh token via cookie, e usa o JWT no header Authorization de todas as chamadas seguintes. O backend Go valida o token a cada requisição autenticada (assinatura + versão da senha + permissões da rota).

Visão geral do fluxo

┌─────────────┐   1. POST /v1/auth/login (username, password, company_id?)
│  Mobile App │──────────────────────────────────────────────►  ┌──────────────────┐
│ (Android /  │                                                  │  Go API (Fiber)  │
│   iOS)      │◄──────── 2. { token, expiration } + cookie ──────│  modules/auth    │
└──────┬──────┘                Set-Cookie: refresh_token         └──────────┬───────┘
       │                                                                    │
       │ 3. Persiste: jwt_token, perms_user, company_id, user_id            │
       │                                                                    │
       │ 4. GET /v1/<qualquer> com Authorization: Bearer <jwt>              │
       ├───────────────────────────────────────────────────────────────────►│
       │                                                                    │
       │             middleware: Authenticator → permissões → handler       │
       │◄───────────────────────────────────────────────────── 200 { data } │
       │                                                                    │
       │ 5. Quando JWT expira (~20 min) → POST /v1/auth/refresh             │
       │    (envia cookie refresh_token + body opcional)                    │
       └───────────────────────────────────────────────────────────────────►│
                                                                            │
                                          ◄── { token, expiration } novos ──┘

1 · Endpoints e regras de token

Declarações em src/modules/auth/routers/routers.go:

2 · TTLs e ambientes

3 · Claims do JWT

Geradas em middleware.GenerateToken e validadas em middleware.ValidadeToken:

4 · Extração do token (ordem)

Função middleware.ExtractToken aceita o token de mais de uma origem:

1. Authorization: Bearer <jwt> (preferencial — usado pelo mobile em todas as chamadas).
2. Authorization: <jwt> sem prefixo (tolerado, mesmo normalizador).
3. Cookie refresh_token — apenas para /v1/auth/refresh e /v1/auth/company/change.

O normalizador remove aspas, ignora "null"/"undefined" literais e faz TrimSpace. Caso típico iOS: garantir que o header não venha como "Bearer null" quando o Keychain está vazio.

5 · Login passo-a-passo (backend)

Implementação em src/modules/auth/services/login.go:

6 · Resposta de sucesso

HTTP/1.1 200 OK
Set-Cookie: refresh_token=eyJhbGc...; Path=/; HttpOnly; SameSite=Lax
Content-Type: application/json

{
  "token": "eyJhbGc...<access JWT>",
  "expiration": 1735689600
}

7 · Refresh e troca de empresa

Tanto POST /v1/auth/refresh quanto PATCH /v1/auth/company/change reaproveitam o serviço Login com Refresh: true:

• Valida o token recebido (do header ou do cookie refresh_token).
• Reconstrói AuthLogin{ Username, CompanyId, Refresh: true, ... } a partir das claims.
• No refresh, mantém o companie_id da claim atual.
• Na troca de empresa, usa o company_id do body — o backend revalida o vínculo no Elastic antes de reemitir.
• Por Refresh: true, o passo 3 (verificação de senha) é pulado — não há credencial nesses fluxos.

8 · Pipeline de autorização (após login)

Toda rota com Autentication: true passa por:

techlog → audit → FormatModel → Authenticator → permissões → RateLimit → Handler

O Authenticator (middleware.Authenticator):

1. Extrai o token (ordem acima).
2. Parseia com JWT_Secret (HMAC-SHA256).
3. Revalida o pwdv contra o hash atual no Elastic.
4. Popula c.Locals("tokenClaims") com *authModel.Auth.
5. Em caso de falha: 401 { "erro": "..." }.

Em seguida o middleware de permissão (src/services/auth.go) valida:

• Sectors — auth.Type ∈ route.Sectors (ex.: "T").
• Serviços contratados da empresa cobrem route.Permissions.
• Permissões usuário/setor com Operator AND ou OR.
• PermissionRestricted — bloqueio explícito.

9 · Como o mobile usa tudo isso

10 · API legada (em descomissionamento)

O backend antigo (api.monisat.online) usava três headers fixos por requisição:

Client-Id: <client_id>
User-Id:   <user_id>
Token:     <token estático>

Esse modelo persiste apenas em chamadas listadas no doc Migração legacy → v1. Todos os módulos novos do mobile já usam exclusivamente o Bearer JWT da v1.

Erros comuns

Arquivos-fonte