# Versões mínimas fixadas por segurança (ver auditoria de 2026-08-15):
# - fastapi 0.115.6 traz starlette >=0.40.0, que corrige um DoS por
#   consumo de memória não limitado ao parsear multipart/form-data
#   (GHSA-f96h-pmfr-66vw / equivalente ao CVE-2024-47874) — POST /login
#   é uma rota pré-autenticação, então esse endpoint é alcançável por
#   qualquer visitante, autenticado ou não.
# - python-multipart 0.0.9 tinha várias vulnerabilidades de DoS (boundary
#   malformado, headers de parte sem limite, preambulo/epílogo sem
#   limite) corrigidas em versões posteriores — pinado na última estável.
# - jinja2 3.1.6 corrige escapes do sandbox (baixo risco aqui, já que o
#   painel não renderiza template vindo de entrada do usuário, mas sem
#   custo de compatibilidade manter em dia).
fastapi==0.115.6
uvicorn[standard]==0.30.6
jinja2==3.1.6
python-multipart==0.0.20
PyMySQL==1.1.1
python-dotenv==1.0.1
httpx==0.27.2
# SSO para o GTI Fiscal (app/sso.py): asserção JWT assinada com Ed25519.
PyJWT==2.14.0
cryptography==50.0.1