fix: validacao de formulario, auth fail-closed, loop de confirmacao, hardening e docs (achados da revisao final)

- Fix 1 (critico): cliente_form.html agora tem required/type por campo
  (date/number) e o router captura DataError/IntegrityError em
  criar/editar, reexibindo o form com erro_gravacao em vez de 500.
- Fix 2 (importante): auth.py falha fechado quando ADMIN_USER/
  ADMIN_PASSWORD nao estao configurados (nao tenta mais compare_digest
  com string vazia).
- Fix 3 (importante): avisos de codigo duplicado e DV invalido agora
  carregam a flag de confirmacao um do outro adiante, quebrando o loop
  quando ambos disparam no mesmo cliente.
- Fix 4 (menor): corrige precedencia 'or 42' -> 'and 42' no lambda de
  teste de criar_cliente.
- Fix 5 (menor): desabilita /docs, /redoc, /openapi.json no FastAPI().
- Fix 6 (menor): comentario explicando o valor de Prorrogacao no fixture
  de teste de chaves.
- Fix 7 (menor): .env.example usa host.docker.internal por padrao,
  docker-compose.yml ganha extra_hosts para Linux, README.md novo com
  quickstart real.

Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>

app/auth.py

@@ -15,6 +15,13 @@ def exigir_login(credenciais: HTTPBasicCredentials = Depends(_security)) -> str:
     usuario_esperado = os.environ.get("ADMIN_USER", "")
     senha_esperada = os.environ.get("ADMIN_PASSWORD", "")
 
+    if not usuario_esperado or not senha_esperada:
+        raise HTTPException(
+            status_code=status.HTTP_401_UNAUTHORIZED,
+            detail="Usuário ou senha inválidos.",
+            headers={"WWW-Authenticate": "Basic"},
+        )
+
     usuario_ok = secrets.compare_digest(credenciais.username, usuario_esperado)
     senha_ok = secrets.compare_digest(credenciais.password, senha_esperada)
 

app/main.py

@@ -9,7 +9,7 @@ from fastapi.staticfiles import StaticFiles
 from .auth import exigir_login
 from .routers import chave_manual, clientes, contatos
 
-app = FastAPI(title="Painel de Clientes")
+app = FastAPI(title="Painel de Clientes", docs_url=None, redoc_url=None, openapi_url=None)
 app.mount("/static", StaticFiles(directory="app/static"), name="static")
 app.include_router(clientes.router)
 app.include_router(contatos.router)

app/routers/clientes.py

@@ -6,6 +6,7 @@ Rotas de gestão de CLIENTE: listar/buscar, criar, editar, ver detalhe
 from typing import Optional
 from urllib.parse import urlencode
 
+import pymysql
 from fastapi import APIRouter, Depends, Form, Request
 from fastapi.responses import HTMLResponse, RedirectResponse
 from fastapi.templating import Jinja2Templates
@@ -59,12 +60,17 @@ async def criar(request: Request, usuario: str = Depends(exigir_login)):
     form = dict((await request.form()))
     dados = _ler_form_cliente(form)
     confirmar_duplicado = form.get("confirmar_codigo_duplicado") == "1"
+    confirmar_dv = form.get("confirmar_dv_invalido") == "1"
 
     if not confirmar_duplicado and db_clientes.codigo_em_uso(dados["CODIGO"]):
         return templates.TemplateResponse(
             request,
             "cliente_form.html",
-            {"cliente": None, "dados": dados, "campos": db_clientes.CAMPOS_CLIENTE, "aviso_codigo_duplicado": True},
+            {
+                "cliente": None, "dados": dados, "campos": db_clientes.CAMPOS_CLIENTE,
+                "aviso_codigo_duplicado": True,
+                "confirmar_codigo_duplicado": confirmar_duplicado, "confirmar_dv_invalido": confirmar_dv,
+            },
         )
 
     documento_normalizado, formato_valido, tipo = normalizar_documento(dados["CNPJ"])
@@ -73,14 +79,25 @@ async def criar(request: Request, usuario: str = Depends(exigir_login)):
         dv_invalido = not (
             validar_dv_cpf(documento_normalizado) if tipo == "CPF" else validar_dv_cnpj(documento_normalizado)
         )
-    if dv_invalido and form.get("confirmar_dv_invalido") != "1":
+    if dv_invalido and not confirmar_dv:
         return templates.TemplateResponse(
             request,
             "cliente_form.html",
-            {"cliente": None, "dados": dados, "campos": db_clientes.CAMPOS_CLIENTE, "aviso_dv_invalido": True},
+            {
+                "cliente": None, "dados": dados, "campos": db_clientes.CAMPOS_CLIENTE,
+                "aviso_dv_invalido": True,
+                "confirmar_codigo_duplicado": confirmar_duplicado, "confirmar_dv_invalido": confirmar_dv,
+            },
         )
 
-    novo_id = db_clientes.criar_cliente(dados)
+    try:
+        novo_id = db_clientes.criar_cliente(dados)
+    except (pymysql.err.DataError, pymysql.err.IntegrityError) as exc:
+        return templates.TemplateResponse(
+            request,
+            "cliente_form.html",
+            {"cliente": None, "dados": dados, "campos": db_clientes.CAMPOS_CLIENTE, "erro_gravacao": str(exc)},
+        )
     return _redirect_com_mensagem(f"/clientes/{novo_id}", "Cliente criado.")
 
 
@@ -133,7 +150,14 @@ async def editar(request: Request, cliente_id: int, usuario: str = Depends(exigi
             {"cliente": {"ID": cliente_id}, "dados": dados, "campos": db_clientes.CAMPOS_CLIENTE, "aviso_codigo_duplicado": True},
         )
 
-    db_clientes.atualizar_cliente(cliente_id, dados)
+    try:
+        db_clientes.atualizar_cliente(cliente_id, dados)
+    except (pymysql.err.DataError, pymysql.err.IntegrityError) as exc:
+        return templates.TemplateResponse(
+            request,
+            "cliente_form.html",
+            {"cliente": {"ID": cliente_id}, "dados": dados, "campos": db_clientes.CAMPOS_CLIENTE, "erro_gravacao": str(exc)},
+        )
     return _redirect_com_mensagem(f"/clientes/{cliente_id}", "Cliente atualizado.")
 
 

app/templates/cliente_form.html

@@ -9,6 +9,7 @@
       <form method="post">
         {% for campo, valor in dados.items() %}<input type="hidden" name="{{ campo }}" value="{{ valor }}">{% endfor %}
         <input type="hidden" name="confirmar_codigo_duplicado" value="1">
+        <input type="hidden" name="confirmar_dv_invalido" value="{{ '1' if (aviso_dv_invalido or confirmar_dv_invalido) else '' }}">
         <button type="submit">Cadastrar mesmo assim</button>
       </form>
     </div>
@@ -19,14 +20,26 @@
       <form method="post">
         {% for campo, valor in dados.items() %}<input type="hidden" name="{{ campo }}" value="{{ valor }}">{% endfor %}
         <input type="hidden" name="confirmar_dv_invalido" value="1">
+        <input type="hidden" name="confirmar_codigo_duplicado" value="{{ '1' if (aviso_codigo_duplicado or confirmar_codigo_duplicado) else '' }}">
         <button type="submit">Cadastrar mesmo assim</button>
       </form>
     </div>
   {% endif %}
+  {% if erro_gravacao %}
+    <div class="mensagem danger">
+      Não foi possível salvar: {{ erro_gravacao }}
+    </div>
+  {% endif %}
   <form method="post">
     {% for campo in campos %}
       <label for="{{ campo }}">{{ campo }}</label>
-      <input type="text" id="{{ campo }}" name="{{ campo }}" value="{{ dados[campo] if dados else '' }}">
+      {% if campo in ["DATA_CONTRATO", "VENCIMENTO_CONTRATO"] %}
+        <input type="date" id="{{ campo }}" name="{{ campo }}" value="{{ dados[campo] if dados else '' }}" required>
+      {% elif campo in ["IMPLANTACAO", "MENSALIDADE", "JUROS_MORA", "JUROS_MULTA"] %}
+        <input type="number" step="0.01" id="{{ campo }}" name="{{ campo }}" value="{{ dados[campo] if dados else '' }}" required>
+      {% else %}
+        <input type="text" id="{{ campo }}" name="{{ campo }}" value="{{ dados[campo] if dados else '' }}" required>
+      {% endif %}
     {% endfor %}
     <button type="submit">Salvar</button>
   </form>