Keep the storefront CMS usable when the platform GitHub token expires

[vitorrgg]

Contexto

O CMS (/admin) do store 1024 (tiasonia) quebrou em 19/08 com "Repo "tiasonia/tiasonia" not found". A mensagem engana: é o hasWriteAccess() do Decap traduzindo um 401 Bad credentials do GitHub. O gh_token (ghu_, user-to-server) devolvido por ecomplus.app/api/github-installations expirou e não é renovado — nem refazendo o OAuth completo do GitHub App (reproduzido: POST /api/github-callback com 2xx não regrava o token). O proxy da plataforma (/api/{store}/git/github) injeta a mesma credencial morta, então não havia caminho de recuperação nenhum.

O que muda

O storefront deixa de confiar cegamente no token da plataforma e ganha uma cadeia com fallback:

1. Sonda o gh_token (GET /user) antes de usá-lo;
2. Se morto/ausente, cai para o proxy GitHub da própria loja (/_api, função feeds, com GITHUB_TOKEN do env) usando o token do SSO — a sonda bate em /_api/repos/{repo}, validando auth da loja + PAT + acesso ao repo de uma vez;
3. Se nada autentica, mensagem explícita em pt-BR em vez do "Repo not found" do Decap.

O proxy da loja existia mas nunca poderia ter funcionado — faltavam consumidores para expor os defeitos:

• Header Authorization lido com slice(7) ("Bearer "), mas o Decap manda token *** (não configurável) → 1 caractere do access token era cortado;
• Query string descartada (req.path) → ?ref={branch} perdido, leituras sempre na branch padrão (erro silencioso);
• Content-Length em unidades UTF-16 → commits com as mensagens padrão (aspas curvas “”) rejeitados pelo fetch;
• Sem rota para /user, /repos/:o/:r bare (o hasWriteAccess() lê permissions.push dali) e /search/** (notas de entrada);
• /repos/:o/:r/pulls bare (Decap lista/cria PRs do editorial workflow ali) não casava com o rewrite {git,contents,...}/**;
• O proxy esperava o catálogo inteiro ser buscado antes de responder — e a promise de módulo, uma vez rejeitada, deixava a função em 500 permanente. Agora responde antes e independente do catálogo.

/user responde com o usuário autenticado da loja (autoria correta nos commits) e o endpoint do repo reporta permissions.push — o acesso de escrita é concedido pelo edit_storefront da Store API, não pela permissão do dono do GITHUB_TOKEN.

Como validar

Loja com GITHUB_TOKEN (PAT fine-grained: Contents RW, Pull requests RW, Metadata R) no env do grupo many, CLI atualizado (regenera o firebase.json com os rewrites) e deploy de many + ssr. O /admin deve autenticar mesmo com o gh_token da plataforma expirado. Sem GITHUB_TOKEN, deve exibir a mensagem de credencial expirada em vez de "Repo not found".

Atenção na revisão

• Semântica de **//*/* nos rewrites do Firebase Hosting (mantive ambos por segurança);
• Popup de login do Decap no fluxo de fallback reusa o handshake existente, mas nunca rodou com api_root próprio;
• Sem teste automatizado deste caminho — não há infra de teste no storefront na main para pendurar.

Não corrige a causa raiz (backend do ecomplus.app não renova nem regrava o ghu_) — tratada em issue separada.

🤖 Generated with Claude Code

[vitorrgg]

Revisão adversarial feita sobre a versão inicial; achados corrigidos nos 2 últimos commits:

• Segurança (crítico): o proxy encaminhava qualquer sub-rota de qualquer repo com o PAT da loja, gated só por edit_storefront — e o rewrite restritivo de hosting não protege a URL direta da função. Agora o próprio proxy pina o {owner}/{repo} ao GITHUB_REPO e restringe sub-rotas às que o Decap usa (git, contents, issues, branches, pulls, commits; /search/issues só escopado ao repo).
• Regressão: o desvio do proxy antes do bloco CORS do serve-feeds removia o comportamento adicionado em 85bdcae (preflight caía em 406). CORS + OPTIONS agora respondidos pelo próprio proxy.
• Resiliência: falha transitória de rede no probe descartava token válido — agora só 401/403 invalidam.
• Cache-Control: private, no-store nas respostas autenticadas e guarda contra unhandled rejection da promise do catálogo.

Validação: 20 testes de unidade em packages/feeds/tests/ (sem script de teste no pacote — CI inalterado; rodar com npx vitest run packages/feeds/tests) cobrindo os requests reais do Decap 3, a matriz do ACL e o Content-Length multibyte; mais smoke read-only contra a API real do GitHub confirmando preservação de ?ref (shas distintos por branch) e injeção de permissions.push. Não exercitado: o fluxo do popup de login no navegador — recomendo deploy de validação numa loja antes da release.