Tasks - API é uma aplicação backend robusta para gerenciamento de tarefas e usuários em um ambiente empresarial. Esta API oferece funcionalidades para autenticação, gerenciamento de empresas, usuários e tarefas, com controle de acesso baseado em funções.

Para acessar a documentação da API, execute a aplicação e navegue até:

http://localhost:{YOUR_PORT}/doc

• Instalação
• Executar Projeto
• Executar com Docker Compose
• Executar Tests
• Autenticação e Autorização
• Gestão de Empresas (Tenants)
• Gestão de Usuários
• Gestão de Tarefas
• Diagrama de Entidade-Relacionamento
• Segurança e Performance
• Códigos de Erro por Entidade

$ npm install
$ npm run seed # Executar seed do banco de dados

A aplicação utiliza diversas variáveis de ambiente para configurar parâmetros essenciais. A seguir, estão listadas as variáveis necessárias:

Exemplo de arquivo .env:

PORT=3000
NODE_ENV=development
MYSQL_PASSWORD=seu_password_mysql
MYSQL_ROOT_PASSWORD=seu_root_password_mysql
MYSQL_DATABASE=tasks_db
MYSQL_USER=usuario_mysql
DATABASE_URL=mysql://usuario_mysql:seu_password_mysql@localhost:3306/tasks_db
PASSPHASE=sua_passphrase_secreta
SECRET_KEY=sua_chave_secreta
PRIVATE_KEY="-----BEGIN ENCRYPTED PRIVATE KEY-----..."
PUBLIC_KEY="-----BEGIN ENCRYPTED PRIVATE KEY-----..."

Para gerar o par de chaves RSA necessárias para a autenticação JWT, utilize o Makefile incluído no projeto. Siga os passos abaixo:

1. Configurar os Parâmetros no Makefile

   As variáveis KEY_NAME e KEY_DIR no Makefile determinam o nome e o diretório onde as chaves serão armazenadas. Por padrão, estão configuradas da seguinte forma:

   KEY_NAME=task-jwt
   KEY_DIR=keys

   Você pode ajustar esses valores conforme necessário antes de gerar as chaves.

2. Executar a Geração das Chaves

   Abra o terminal na raiz do projeto e execute o comando:

   make 
   # or
   make generate_keys

   Este comando executa a tarefa generate_keys, que realiza os seguintes passos:

   • Cria o diretório definido em KEY_DIR se ele não existir.
   • Solicita ao usuário que insira uma passphrase para proteger a chave privada.
   • Gera uma chave privada RSA de 4096 bits protegida pela passphrase fornecida.
   • Gera a chave pública correspondente.

# development
$ npm run start

# watch mode
$ npm run start:dev

# production mode
$ npm run start:prod

Para executar a aplicação utilizando Docker Compose, siga os passos abaixo:

1. Instale o Docker e o Docker Compose: Certifique-se de que o Docker e o Docker Compose estão instalados em sua máquina. Você pode baixar o Docker aqui.

2. Configurar variáveis de ambiente: Crie um arquivo .env na raiz do projeto com as variáveis de ambiente necessárias.

3. Construir e iniciar os containers:

   $ docker-compose up --build

   Isso irá construir as imagens necessárias e iniciar os containers definidos no docker-compose.yml.

4. Acessar a aplicação: A API estará disponível em http://localhost:3000 ou na porta definida no seu docker-compose.yml.

# unit tests
$ npm run test

# e2e tests
$ npm run test:e2e

# test coverage
$ npm run test:cov

• Permissões: SUPER_ADMIN - Tem Acesso a tudo!

• Descrição: Autentica o usuário e retorna um token JWT.
• Acesso: Público
• Permissões: Qualquer usuário pode acessar para realizar login.

• Descrição: Retorna as informações do usuário autenticado.
• Acesso: Privado
• Permissões:
  • ADMIN: Pode acessar.
  • USER: Pode acessar.

• Descrição: Cria uma nova empresa.
• Acesso: Privado
• Permissões:
  • ADMIN: Pode criar empresas.
  • USER: Não tem permissão.

• Descrição: Lista todas as empresas.
• Acesso: Privado
• Permissões:
  • ADMIN: Pode listar todas as empresas.
  • USER: Não tem permissão ou pode ver apenas sua própria empresa, dependendo das regras de negócio.

• Descrição: Visualiza detalhes de uma empresa específica.
• Acesso: Privado
• Permissões:
  • ADMIN: Pode visualizar qualquer empresa.
  • USER: Pode visualizar apenas a empresa à qual está associado.

• Descrição: Atualiza dados de uma empresa.
• Acesso: Privado
• Permissões:
  • ADMIN: Pode atualizar qualquer empresa.
  • USER: Não tem permissão.

• Descrição: Exclui uma empresa.
• Acesso: Privado
• Permissões:
  • ADMIN: Pode excluir empresas.
  • USER: Não tem permissão.

• Descrição: Registra um usuário em uma empresa.
• Acesso: Privado
• Permissões:
  • ADMIN: Pode registrar usuários em qualquer empresa.
  • USER: Não tem permissão.

• Descrição: Lista todos os usuários de uma empresa.
• Acesso: Privado
• Permissões:
  • ADMIN: Pode listar usuários de qualquer empresa.
  • USER: Pode listar usuários apenas da sua própria empresa.

• Descrição: Visualiza detalhes de um usuário específico.
• Acesso: Privado
• Permissões:
  • ADMIN: Pode visualizar qualquer usuário.
  • USER: Pode visualizar apenas seus próprios dados.

• Descrição: Atualiza dados de um usuário.
• Acesso: Privado
• Permissões:
  • ADMIN: Pode atualizar qualquer usuário.
  • USER: Pode atualizar apenas seus próprios dados.

• Descrição: Exclui um usuário.
• Acesso: Privado
• Permissões:
  • ADMIN: Pode excluir qualquer usuário.
  • USER: Não tem permissão.

• Descrição: Cria uma nova tarefa para uma empresa.
• Acesso: Privado
• Permissões:
  • ADMIN: Pode criar tarefas em qualquer empresa.
  • USER: Pode criar tarefas apenas na empresa à qual está associado.

• Descrição: Lista todas as tarefas de uma empresa.
• Acesso: Privado
• Permissões:
  • ADMIN: Pode listar tarefas de qualquer empresa.
  • USER: Pode listar tarefas apenas da sua própria empresa.

• Descrição: Visualiza detalhes de uma tarefa específica.
• Acesso: Privado
• Permissões:
  • ADMIN: Pode visualizar qualquer tarefa.
  • USER: Pode visualizar tarefas da sua empresa.

• Descrição: Atualiza uma tarefa.
• Acesso: Privado
• Permissões:
  • ADMIN: Pode atualizar qualquer tarefa.
  • USER: Pode atualizar tarefas atribuídas a si ou conforme regras da empresa.

• Descrição: Exclui uma tarefa.
• Acesso: Privado
• Permissões:
  • ADMIN: Pode excluir qualquer tarefa.
  • USER: Não tem permissão ou conforme políticas da empresa.

• Autenticação e Autorização:

  • Todas as rotas privadas implementam middleware de autenticação para verificar a validade do token JWT.
  • A autorização é implementada para garantir que os usuários só acessem recursos aos quais têm permissão.

• Proteção contra Ataques:

  • Implementação de mecanismos de prevenção contra ataques comuns, como injeção de SQL, XSS e CSRF.

• Gestão de Senhas:

  • As senhas dos usuários são armazenadas de forma segura utilizando hashing bcrypt.

• Validação de Dados:

  • Todos os inputs são validados para evitar dados maliciosos e garantir a integridade das informações.

A aplicação implementa um sistema robusto de autenticação e autorização utilizando tokens JWT (JSON Web Tokens). O fluxo de autenticação envolve a geração de um token no momento do login, que encapsula as informações do usuário e suas permissões. Esse token é então enviado nas requisições subsequentes para validar a identidade e as permissões do usuário.

Gerenciamento de JWT:

• Geração de Tokens:

  • Chave Secreta e Chaves Pública/Privada: Utilizo chaves configuradas via variáveis de ambiente para assinar os tokens, garantindo que apenas a aplicação possa gerar e verificar a autenticidade dos tokens.

  • Algoritmo de Assinatura: Utilizo o algoritmo HS256 para assinar os tokens, proporcionando uma camada adicional de segurança.

  • Tempo de Expiração: Tempo de expiração de 1 hora para os tokens, limitando a janela de oportunidade para uso indevido em caso de comprometimento.

  • Codificação: Asseguro que os tokens sejam codificados em utf-8 para compatibilidade e segurança na transmissão.

• Verificação de Tokens:

  • Validação da Assinatura: Verifica a assinatura do token utilizando a chave pública, garantindo que o token não foi adulterado.
  • Algoritmos Permitidos: Restringe a verificação aos algoritmos especificados para evitar ataques de troca de algoritmo.
  • Retorno Tipado: Retorna os dados decodificados do token com tipagem forte, facilitando o uso seguro das informações contidas no token.

• Encerramento Gracioso:

  • Gestão de Conexões: Implementação de procedimentos para finalizar conexões de maneira ordenada durante a manutenção ou em caso de falhas, evitando estados inconsistentes e potencial exposição a ataques durante o processo de shutdown.

• Otimização de Consultas:

  • As consultas ao banco de dados são otimizadas para reduzir a latência e melhorar o tempo de resposta.

• Escalabilidade:

  • A aplicação está preparada para escalar horizontalmente, suportando aumento de carga através de containers Docker.

A seguir estão os códigos de erro organizados por entidade, incluindo seus identificadores, descrições e códigos de status HTTP correspondentes.