feat: implement advanced access control system with user blocking, rate limiting, and enhanced login security; update UI components for improved user experience and documentation

packages/backend/convex/autenticacao.ts

@@ -1,13 +1,47 @@
 import { v } from "convex/values";
 import { mutation, query } from "./_generated/server";
 import { hashPassword, verifyPassword, generateToken, validarMatricula, validarSenha } from "./auth/utils";
+import { registrarLogin } from "./logsLogin";
+import { Id } from "./_generated/dataModel";
 
 /**
- * Login do usuário
+ * Helper para verificar se usuário está bloqueado
+ */
+async function verificarBloqueioUsuario(ctx: any, usuarioId: Id<"usuarios">) {
+  const bloqueio = await ctx.db
+    .query("bloqueiosUsuarios")
+    .withIndex("by_usuario", (q) => q.eq("usuarioId", usuarioId))
+    .filter((q: any) => q.eq(q.field("ativo"), true))
+    .first();
+
+  return bloqueio !== null;
+}
+
+/**
+ * Helper para verificar rate limiting por IP
+ */
+async function verificarRateLimitIP(ctx: any, ipAddress: string) {
+  // Últimas 15 minutos
+  const dataLimite = Date.now() - 15 * 60 * 1000;
+  
+  const tentativas = await ctx.db
+    .query("logsLogin")
+    .withIndex("by_ip", (q: any) => q.eq("ipAddress", ipAddress))
+    .filter((q: any) => q.gte(q.field("timestamp"), dataLimite))
+    .collect();
+
+  const falhas = tentativas.filter((t: any) => !t.sucesso).length;
+  
+  // Bloquear se 5 ou mais tentativas falhas em 15 minutos
+  return falhas >= 5;
+}
+
+/**
+ * Login do usuário (aceita matrícula OU email)
  */
 export const login = mutation({
   args: {
-    matricula: v.string(),
+    matriculaOuEmail: v.string(), // Aceita matrícula ou email
     senha: v.string(),
     ipAddress: v.optional(v.string()),
     userAgent: v.optional(v.string()),
@@ -36,46 +70,83 @@ export const login = mutation({
     })
   ),
   handler: async (ctx, args) => {
-    // Validar matrícula
-    if (!validarMatricula(args.matricula)) {
-      return {
-        sucesso: false as const,
-        erro: "Matrícula inválida. Use apenas números.",
-      };
+    // Verificar rate limiting por IP
+    if (args.ipAddress) {
+      const ipBloqueado = await verificarRateLimitIP(ctx, args.ipAddress);
+      if (ipBloqueado) {
+        await registrarLogin(ctx, {
+          matriculaOuEmail: args.matriculaOuEmail,
+          sucesso: false,
+          motivoFalha: "rate_limit_excedido",
+          ipAddress: args.ipAddress,
+          userAgent: args.userAgent,
+        });
+
+        return {
+          sucesso: false as const,
+          erro: "Muitas tentativas de login. Tente novamente em 15 minutos.",
+        };
+      }
     }
 
+    // Determinar se é email ou matrícula
+    const isEmail = args.matriculaOuEmail.includes("@");
+
     // Buscar usuário
-    const usuario = await ctx.db
-      .query("usuarios")
-      .withIndex("by_matricula", (q) => q.eq("matricula", args.matricula))
-      .first();
+    let usuario;
+    if (isEmail) {
+      usuario = await ctx.db
+        .query("usuarios")
+        .withIndex("by_email", (q) => q.eq("email", args.matriculaOuEmail))
+        .first();
+    } else {
+      usuario = await ctx.db
+        .query("usuarios")
+        .withIndex("by_matricula", (q) => q.eq("matricula", args.matriculaOuEmail))
+        .first();
+    }
 
     if (!usuario) {
-      // Log de tentativa de acesso negado
-      await ctx.db.insert("logsAcesso", {
-        usuarioId: "" as any, // Não temos ID
-        tipo: "acesso_negado",
+      await registrarLogin(ctx, {
+        matriculaOuEmail: args.matriculaOuEmail,
+        sucesso: false,
+        motivoFalha: "usuario_inexistente",
         ipAddress: args.ipAddress,
         userAgent: args.userAgent,
-        detalhes: `Tentativa de login com matrícula inexistente: ${args.matricula}`,
-        timestamp: Date.now(),
       });
 
       return {
         sucesso: false as const,
-        erro: "Matrícula ou senha incorreta.",
+        erro: "Credenciais incorretas.",
+      };
+    }
+
+    // Verificar se usuário está bloqueado
+    if (usuario.bloqueado || (await verificarBloqueioUsuario(ctx, usuario._id))) {
+      await registrarLogin(ctx, {
+        usuarioId: usuario._id,
+        matriculaOuEmail: args.matriculaOuEmail,
+        sucesso: false,
+        motivoFalha: "usuario_bloqueado",
+        ipAddress: args.ipAddress,
+        userAgent: args.userAgent,
+      });
+
+      return {
+        sucesso: false as const,
+        erro: "Usuário bloqueado. Entre em contato com o TI.",
       };
     }
 
     // Verificar se usuário está ativo
     if (!usuario.ativo) {
-      await ctx.db.insert("logsAcesso", {
+      await registrarLogin(ctx, {
         usuarioId: usuario._id,
-        tipo: "acesso_negado",
+        matriculaOuEmail: args.matriculaOuEmail,
+        sucesso: false,
+        motivoFalha: "usuario_inativo",
         ipAddress: args.ipAddress,
         userAgent: args.userAgent,
-        detalhes: "Tentativa de login com usuário inativo",
-        timestamp: Date.now(),
       });
 
       return {
@@ -84,25 +155,79 @@ export const login = mutation({
       };
     }
 
+    // Verificar tentativas de login (bloqueio temporário)
+    const tentativasRecentes = usuario.tentativasLogin || 0;
+    const ultimaTentativa = usuario.ultimaTentativaLogin || 0;
+    const tempoDecorrido = Date.now() - ultimaTentativa;
+    const TEMPO_BLOQUEIO = 30 * 60 * 1000; // 30 minutos
+
+    // Se tentou 5 vezes e ainda não passou o tempo de bloqueio
+    if (tentativasRecentes >= 5 && tempoDecorrido < TEMPO_BLOQUEIO) {
+      await registrarLogin(ctx, {
+        usuarioId: usuario._id,
+        matriculaOuEmail: args.matriculaOuEmail,
+        sucesso: false,
+        motivoFalha: "bloqueio_temporario",
+        ipAddress: args.ipAddress,
+        userAgent: args.userAgent,
+      });
+
+      const minutosRestantes = Math.ceil((TEMPO_BLOQUEIO - tempoDecorrido) / 60000);
+      return {
+        sucesso: false as const,
+        erro: `Conta temporariamente bloqueada. Tente novamente em ${minutosRestantes} minutos.`,
+      };
+    }
+
+    // Resetar tentativas se passou o tempo de bloqueio
+    if (tempoDecorrido > TEMPO_BLOQUEIO) {
+      await ctx.db.patch(usuario._id, {
+        tentativasLogin: 0,
+        ultimaTentativaLogin: Date.now(),
+      });
+    }
+
     // Verificar senha
     const senhaValida = await verifyPassword(args.senha, usuario.senhaHash);
 
     if (!senhaValida) {
-      await ctx.db.insert("logsAcesso", {
-        usuarioId: usuario._id,
-        tipo: "acesso_negado",
-        ipAddress: args.ipAddress,
-        userAgent: args.userAgent,
-        detalhes: "Senha incorreta",
-        timestamp: Date.now(),
+      // Incrementar tentativas
+      const novasTentativas = tempoDecorrido > TEMPO_BLOQUEIO ? 1 : tentativasRecentes + 1;
+      
+      await ctx.db.patch(usuario._id, {
+        tentativasLogin: novasTentativas,
+        ultimaTentativaLogin: Date.now(),
       });
 
-      return {
-        sucesso: false as const,
-        erro: "Matrícula ou senha incorreta.",
-      };
+      await registrarLogin(ctx, {
+        usuarioId: usuario._id,
+        matriculaOuEmail: args.matriculaOuEmail,
+        sucesso: false,
+        motivoFalha: "senha_incorreta",
+        ipAddress: args.ipAddress,
+        userAgent: args.userAgent,
+      });
+
+      const tentativasRestantes = 5 - novasTentativas;
+      if (tentativasRestantes > 0) {
+        return {
+          sucesso: false as const,
+          erro: `Credenciais incorretas. ${tentativasRestantes} tentativas restantes.`,
+        };
+      } else {
+        return {
+          sucesso: false as const,
+          erro: "Conta bloqueada por 30 minutos devido a múltiplas tentativas falhas.",
+        };
+      }
     }
 
+    // Login bem-sucedido! Resetar tentativas
+    await ctx.db.patch(usuario._id, {
+      tentativasLogin: 0,
+      ultimaTentativaLogin: undefined,
+    });
+
     // Buscar role do usuário
     const role = await ctx.db.get(usuario.roleId);
     if (!role) {
@@ -135,6 +260,14 @@ export const login = mutation({
     });
 
     // Log de login bem-sucedido
+    await registrarLogin(ctx, {
+      usuarioId: usuario._id,
+      matriculaOuEmail: args.matriculaOuEmail,
+      sucesso: true,
+      ipAddress: args.ipAddress,
+      userAgent: args.userAgent,
+    });
+
     await ctx.db.insert("logsAcesso", {
       usuarioId: usuario._id,
       tipo: "login",