Autorização (RBAC e guards)

// Autenticacao coloca req.user. Autorizacao decide a acao.
// Guard/middleware: role ou permissao explicita — nao so "tem user".

type Role = "user" | "editor" | "admin";

function requireRoles(...roles: Role[]) {
  return (req: any, res: any, next: any) => {
    if (!req.user) return res.status(401).json({ erro: "nao autenticado" });
    if (!roles.some((r) => req.user.roles.includes(r))) {
      return res.status(403).json({ erro: "proibido" });
    }
    next();
  };
}

// Rota sensivel: precisa ser editor OU admin.
app.delete("/posts/:id", requireRoles("editor", "admin"), apagarPost);

// IDOR: alem do role, o recurso precisa pertencer ao user (ou admin).
async function apagarPost(req: any, res: any) {
  const post = await posts.byId(req.params.id);
  if (!post) return res.status(404).end();
  const dono = post.authorId === req.user.id;
  const admin = req.user.roles.includes("admin");
  if (!dono && !admin) return res.status(403).end();
  await posts.apagar(post.id);
  res.status(204).end();
}