Sistema RBAC (Role-Based Access Control)

Cada usuario tem exatamente UM cargo. O cargo define suas permissoes no sistema. O Portal possui 6 cargos hierarquicos.

Cargos

Matriz de Permissoes Completa

Implementacao Tecnica

Backend (NestJS)

Guards aplicados nos controllers:

// Proteger endpoint para Coord/Admin
@UseGuards(AuthGuard, RolesGuard)
@Roles('COORDENADOR', 'ADMINISTRADOR')
@Post('approve')
approve(@Body() dto: ApproveRejectDto) { ... }

// Proteger endpoint apenas para Admin
@UseGuards(AuthGuard, RolesGuard)
@Roles('ADMINISTRADOR')
@Patch(':id/cargo')
updateCargo(...) { ... }

// Proteger endpoint para Porta-Voz, Coord e Admin
@UseGuards(AuthGuard, RolesGuard)
@Roles('PORTA_VOZ', 'COORDENADOR', 'ADMINISTRADOR')
@Post('comunicados')
createComunicado(...) { ... }

// Proteger endpoint apenas para Super Admin
@UseGuards(AuthGuard, RolesGuard)
@Roles('SUPER_ADMIN')
@Post('nucleos')
createNucleo(...) { ... }

Frontend (Next.js)

Sidebar filtra itens de menu pelo cargo do usuario:

const visibleItems = menuItems.filter(
  (item) => item.roles.includes(cargo)
);

O cargo PORTA_VOZ tem acesso aos menus de comunicacao (Comunicados, Enquetes, Emails) e ao Assistente IA, mas nao aos menus administrativos (Membros, Aprovacoes, Configuracoes).

Banco (RLS)

Row Level Security garante isolamento no nivel do banco. Mesmo que um endpoint seja acessado diretamente, o usuario so ve dados do seu nucleo.

Super Admin e Multi-tenant

O Super Admin nao tem nucleo_id fixo. Ao selecionar um nucleo no dropdown do header, o frontend envia X-Tenant-ID no header de todas as requisicoes, permitindo que o backend aplique o contexto multi-tenant correto.