# .gitignore padrão para projeto Node.js/React

# Dependências
node_modules/
package-lock.json (se usar yarn)
yarn.lock (se usar npm)

# Variáveis de ambiente e segredos
.env
.env.local
.env.development
.env.production
.env.test

# Arquivos de build
build/
dist/
.next/
out/

# Logs e temporários
*.log
npm-debug.log*
yarn-debug.log*
.DS_Store
Thumbs.db

# IDEs e editores
.vscode/
.idea/
*.swp
*.swo

# Testes e cobertura
coverage/
.nyc_output/

# Específico do sistema operacional
.DS_Store
Thumbs.db

// Exemplo de middleware de autenticação (Node.js/Express)
const jwt = require('jsonwebtoken');

function authenticateToken(req, res, next) {
 const authHeader = req.headers['authorization'];
 const token = authHeader && authHeader.split(' ')[1];
 
 if (!token) {
 return res.status(401).json({ error: 'Token não fornecido' });
 }
 
 jwt.verify(token, process.env.JWT_SECRET, (err, user) => {
 if (err) {
 return res.status(403).json({ error: 'Token inválido' });
 }
 req.user = user; // Adiciona info do usuário à requisição
 next();
 });
}

// Uso em rotas
app.get('/api/pedidos', authenticateToken, async (req, res) => {
 // req.user contém informações do usuário autenticado
 const userId = req.user.id;
 
 // Autorização: buscar apenas pedidos deste usuário
 const pedidos = await db.query(
 'SELECT * FROM pedidos WHERE user_id = ?', 
 [userId]
 );
 
 res.json(pedidos);
});

// Validação com Joi (Node.js)
const Joi = require('joi');

const userSchema = Joi.object({
  username: Joi.string()
    .alphanum()
    .min(3)
    .max(30)
    .required(),
  email: Joi.string()
    .email()
    .required(),
  age: Joi.number()
    .integer()
    .min(13)
    .max(120)
    .required(),
  bio: Joi.string()
    .max(500)
    .optional()
});

app.post('/api/users', async (req, res) => {
  // Validar dados recebidos
  const { error, value } = userSchema.validate(req.body);
  
  if (error) {
    return res.status(400).json({ 
      error: 'Dados inválidos', 
      details: error.details 
    });
  }
  
  // value contém os dados validados
  const { username, email, age, bio } = value;
  
  // Sanitizar o campo bio (pode conter HTML)
  const DOMPurify = require('isomorphic-dompurify');
  const cleanBio = DOMPurify.sanitize(bio || '');
  
  // Inserir no banco usando prepared statement
  await db.query(
    'INSERT INTO users (username, email, age, bio) VALUES (?, ?, ?, ?)',
    [username, email, age, cleanBio]
  );
  
  res.status(201).json({ message: 'Usuário criado com sucesso' });
});

// Node.js/Express com helmet
const express = require('express');
const helmet = require('helmet');

const app = express();

// Helmet configura múltiplos cabeçalhos de segurança
app.use(helmet({
  contentSecurityPolicy: {
    directives: {
      defaultSrc: ["'self'"],
      scriptSrc: ["'self'", "https://apis.google.com"],
      styleSrc: ["'self'", "'unsafe-inline'"],
      imgSrc: ["'self'", "data:", "https:"],
      connectSrc: ["'self'", "https://api.example.com"],
      fontSrc: ["'self'", "https://fonts.gstatic.com"],
      objectSrc: ["'none'"],
      upgradeInsecureRequests: []
    }
  },
  hsts: {
    maxAge: 31536000,
    includeSubDomains: true,
    preload: true
  }
}));

// Ou manualmente (Apache .htaccess)
Header set X-Content-Type-Options "nosniff"
Header set X-Frame-Options "SAMEORIGIN"
Header set Content-Security-Policy "default-src 'self';"