Package br.com.xadm.comum.seguranca

package br.com.xadm.comum.seguranca

Stack de autenticação compartilhada da casa (ADR 0019, decisão 0011). As duas portas de autenticação: Bearer estático em /api/** para integrações, e login Google nas views server-rendered (bypass em dev/test, fail-closed em prod). Reúne os filtros/fetchers do micronaut-security nativo, as regras de acesso e os handlers de rejeição.

Config por-app via AuthSettings (project-id/audience/cookie) — a lib não fixa o tenant. Extração conservadora e caracterizada (só byte-idêntico sobe; ver .ia/001-caracterizacao-auth-matriz.md no repo).

Class	Description
AuthException	Exceção de autenticação com code estável — ex.: "invalid_token", "invalid_session", "jwks_unavailable", "csrf_mismatch", "domain_not_allowed".
AuthSettings	Configurações de autenticação mapeadas do bloco auth: em application.yml.
AuthSupport	Contrato estável de autenticação das views: os atributos de request que o SessionAuthenticationFetcher popula após validar a sessão e que GlobalViewModel e CsrfTokens leem, o nome do cookie de sessão, e helpers idênticos entre apps.
CsrfTokens	Token CSRF dos forms de view.
FirebaseIdTokenValidator	Valida Firebase ID Tokens via JWKS público do Google.
FirebaseIdTokenValidator.FirebaseIdTokenClaims	Claims extraídos de um Firebase ID Token válido.
MicronautProfiles	Perfis efetivos do Micronaut.
SessionAuthenticationFetcher	AuthenticationFetcher nativo das views: lê o cookie xadm_session (JWT HS256 emitido pelo SessionTokenService) e, se válido, devolve uma Authentication com o papel ROLE_VIEW.
SessionTokenService	Emite e verifica JWTs HS256 usados como cookie de sessão das views.
SessionTokenService.SessionClaims	Claims de uma sessão válida.
SmokeReadOnlyFilter	Faz valer o "só-leitura" do principal de smoke: uma sessão com o papel SessionAuthenticationFetcher.ROLE_SMOKE só pode usar métodos seguros (GET/HEAD/OPTIONS); qualquer escrita vira 403 em RFC-7807.
SmokeSessionController	Seam do smoke de produção: troca uma credencial dedicada por um cookie de sessão, sem a dança do provedor.
StaticBearerTokenValidator	Valida o Bearer token estático configurado em app.api-token (API_BEARER_TOKEN).
XadmLoginController	Fluxo de login Google (Firebase) das views X-Adm, COMPARTILHADO — restrito a emails do domínio configurado (spec 006).
XadmLoginController.CallbackBody	Body do POST /login/callback.
XadmLoginRateLimitFilter	Rate limit COMPARTILHADO dos endpoints públicos que emitem sessão (piso de segurança): no máximo auth.login-rate-limit-per-minute (default 60) tentativas por IP por janela no POST /login/** e no POST /smoke/**.
XadmViewModel	ViewModelProcessor de referência da casa: injeta em TODO model de view server-render os globais que o kit/layout.jte (decisão 0025) espera — identidade da casa (appNome/clienteXadm), sessão (currentUserEmail/currentUserName/ csrfToken, dos atributos populados pelo SessionAuthenticationFetcher) e authEnabled (do AuthSettings, controla o bloco "Sair" do navbar).