Origem do CORS explícita e configurável, com aviso para '*' (#119) (#125)

oxbar · Oxbar - AKA Micael · web-flow · commit fb2c447c750c · 2026-07-14T16:19:28.000-07:00
* Origem do CORS explícita e configurável, com aviso para '*' (#119) O CORS era habilitado nos templates do scaffold com cors() sem opções, liberando qualquer origem ('*') de forma invisível: nada no configuracao.delprops indicava esse comportamento nem alertava que é adequado apenas para desenvolvimento. Mudanças: - Nova propriedade liquido.roteador.corsOrigem (padrão '*'), aceitando uma origem única ou várias separadas por vírgula. Encanada por ConfiguracaoRoteador -> RoteadorInterface -> Roteador, com validação natural do centro de configurações (propriedade declarada existe na classe) e entrada no esquema delprops com explicação em português. - Roteador.resolverOpcoesCors() traduz o valor para as opções do middleware cors: '*' mantém o comportamento liberado; qualquer outro valor vira lista de origens permitidas ({ origin: [...] }), com espaços tolerados e itens vazios ignorados. Valor vazio volta ao padrão. - Aviso explícito na inicialização quando o CORS está habilitado com origem '*', orientando a restrição em produção via liquido.roteador.corsOrigem em configuracao.delprops. - Templates do scaffold (Delégua e Pituguês, MVC e API REST) e o configuracao.delprops do próprio repositório agora declaram corsOrigem = '*' explicitamente, com comentário avisando que o valor é adequado apenas para desenvolvimento. README documenta a nova propriedade nos exemplos de configuração. Sobre a segunda parte da issue (.gitignore): a geração já existe na principal e no pacote 1.4.0 publicado (gerarRepositorioGit escreve um .gitignore completo quando o Git é aceito) — o achado B4 do relatório estava incorreto nesse ponto, pois o caminho 'sim' da pergunta de Git não havia sido validado. Nenhuma mudança necessária. Validação de ponta a ponta com o código compilado sobreposto ao pacote liquido@1.4.0: - corsOrigem = 'https://meusite.com.br': header Access-Control-Allow-Origin ecoa apenas a origem permitida; origem não listada não recebe o header; sem aviso no boot; - corsOrigem = '*': header Access-Control-Allow-Origin: * e aviso em português na inicialização. Testes: novo testes/infraestrutura/cors-origem.test.ts com 13 casos (parsing de origens, aviso condicional na inicialização, repasse da configuração e presença da declaração explícita nos 4 templates); mocks de centro-configuracoes atualizados para o novo método. Suíte unitária completa: 240 testes passando. Fixes #119 * Renomeia propriedade corsOrigem para origensCors Atendendo à revisão do PR: a propriedade passa a se chamar liquido.roteador.origensCors, nome mais fiel ao conteúdo (aceita uma ou mais origens separadas por vírgula). Renomeados em conjunto, por consistência: o campo origensCors em ConfiguracaoRoteador e em Roteador, o método configurarOrigensCors na interface e na implementação, a entrada do esquema delprops, os quatro templates do scaffold, o configuracao.delprops do repositório, o README, a mensagem de aviso na inicialização e os testes. Sem mudança de comportamento; suíte completa com 240 testes passando. --------- Co-authored-by: Oxbar - AKA Micael <micaelparadox@gmail.com>
diff --git a/README.md b/README.md
@@ -215,6 +215,7 @@ Um exemplo de `configuracao.delprops` para um projeto em Delégua:
 liquido.arquetipo = 'rest'
 liquido.linguagem = 'delegua'
 liquido.roteador.cors = verdadeiro
+liquido.roteador.origensCors = '*'
 liquido.roteador.bodyParser = verdadeiro
 liquido.roteador.morgan = verdadeiro
 liquido.roteador.cookieParser = verdadeiro
@@ -229,6 +230,7 @@ Para usar Pituguês, basta alterar a propriedade `linguagem`:
 liquido.arquetipo = 'rest'
 liquido.linguagem = 'pituguês'
 liquido.roteador.cors = verdadeiro
+liquido.roteador.origensCors = '*'
 liquido.roteador.bodyParser = verdadeiro
 liquido.roteador.morgan = verdadeiro
 liquido.roteador.cookieParser = verdadeiro
@@ -237,6 +239,8 @@ liquido.roteador.json = verdadeiro
 liquido.roteador.helmet = verdadeiro
 ```
 
+A propriedade `liquido.roteador.origensCors` define a(s) origem(ns) permitida(s) para CORS, separadas por vírgula (por exemplo, `'https://meusite.com.br, https://admin.meusite.com.br'`). O valor `'*'` libera qualquer origem e é adequado apenas para desenvolvimento — em produção, restrinja para o(s) domínio(s) da aplicação. Quando o CORS está habilitado com `'*'`, Liquido exibe um aviso na inicialização.
+
 ### Servindo arquivos estáticos
 
 Uma aplicação em Liquido pode servir arquivos estáticos se o roteador tiver uma configuração de diretório correspondente. Por exemplo:
diff --git a/configuracao.delprops b/configuracao.delprops
@@ -4,6 +4,9 @@ liquido.roteador.diretorioEstatico = 'publico'
 
 // Configuração do roteador.
 liquido.roteador.cors = verdadeiro
+// CORS liberado para qualquer origem ('*') é adequado apenas para desenvolvimento.
+// Em produção, restrinja para o(s) domínio(s) da aplicação, separados por vírgula.
+liquido.roteador.origensCors = '*'
 liquido.roteador.bodyParser = verdadeiro
 liquido.roteador.morgan = verdadeiro
 liquido.roteador.cookieParser = verdadeiro
diff --git a/fontes/delprops/roteador.ts b/fontes/delprops/roteador.ts
@@ -15,6 +15,14 @@ const roteador: DefinicaoPropriedade[] = [
         tipo: 'logico',
         detalhe: 'Habilita CORS (padrão: falso).',
     },
+    {
+        nome: 'origensCors',
+        tipo: 'texto',
+        detalhe:
+            "Origem(ns) permitida(s) para CORS, separadas por vírgula. " +
+            "O padrão '*' libera qualquer origem e é adequado apenas para desenvolvimento; " +
+            "em produção, restrinja para o(s) domínio(s) da aplicação.",
+    },
     {
         nome: 'bodyParser',
         tipo: 'logico',
diff --git a/fontes/infraestrutura/centro-configuracoes/configuracao-roteador.ts b/fontes/infraestrutura/centro-configuracoes/configuracao-roteador.ts
@@ -4,6 +4,7 @@ import { ConfiguracaoComum } from "./configuracao-comum";
 export class ConfiguracaoRoteador extends ConfiguracaoComum {
     diretorioEstatico: string = 'publico';
     cors: boolean = false;
+    origensCors: string = '*';
     bodyParser: boolean = true;
     morgan: boolean = false;
     cookieParser: boolean = true;
@@ -20,6 +21,7 @@ export class ConfiguracaoRoteador extends ConfiguracaoComum {
         const roteador = componentes['roteador'] as RoteadorInterface;
         roteador.ativarDesativarBodyParser(this.bodyParser);
         roteador.ativarDesativarCors(this.cors);
+        roteador.configurarOrigensCors(this.origensCors);
         roteador.ativarDesativarCookieParser(this.cookieParser);
         roteador.ativarDesativarExpressJson(this.json);
         roteador.ativarDesativarHelmet(this.helmet);
diff --git a/fontes/infraestrutura/roteador/roteador.ts b/fontes/infraestrutura/roteador/roteador.ts
@@ -32,6 +32,7 @@ export class Roteador implements RoteadorInterface {
     bodyParser = false;
 
     cors = false;
+    origensCors = '*';
     passport = false;
 
     constructor(autoDocumentador: AutoDocumentador) {
@@ -122,7 +123,17 @@ export class Roteador implements RoteadorInterface {
         }
 
         if (this.cors) {
-            this.aplicacao.use(cors());
+            const opcoesCors = this.resolverOpcoesCors();
+            if (opcoesCors === undefined) {
+                console.log(
+                    "[Liquido] CORS habilitado para qualquer origem ('*'). " +
+                    "Adequado apenas para desenvolvimento; em produção, restrinja com " +
+                    "liquido.roteador.origensCors = 'https://seudominio.com.br' em configuracao.delprops."
+                );
+                this.aplicacao.use(cors());
+            } else {
+                this.aplicacao.use(cors(opcoesCors));
+            }
         }
 
         if (this.passport) {
@@ -138,6 +149,38 @@ export class Roteador implements RoteadorInterface {
         this.cors = valor;
     }
 
+    /**
+     * Define a(s) origem(ns) permitida(s) para CORS. Aceita uma única origem
+     * ou várias separadas por vírgula. O valor '*' (padrão) libera qualquer
+     * origem e deve ser usado apenas em desenvolvimento.
+     */
+    configurarOrigensCors(origem: string): void {
+        this.origensCors = origem && origem.trim().length > 0 ? origem : '*';
+    }
+
+    /**
+     * Traduz `origensCors` para as opções do middleware `cors`.
+     * @returns `undefined` quando a origem é '*' (comportamento padrão do
+     *          middleware, que libera qualquer origem), ou um objeto com a
+     *          lista de origens permitidas.
+     */
+    resolverOpcoesCors(): { origin: string[] } | undefined {
+        if (this.origensCors === '*') {
+            return undefined;
+        }
+
+        const origens = this.origensCors
+            .split(',')
+            .map(origem => origem.trim())
+            .filter(origem => origem.length > 0);
+
+        if (origens.length === 0) {
+            return undefined;
+        }
+
+        return { origin: origens };
+    }
+
     ativarDesativarPassport(valor: boolean): void {
         this.passport = valor;
     }
diff --git a/fontes/interface-linha-comando/exemplos/delegua/api-rest/configuracao.delprops b/fontes/interface-linha-comando/exemplos/delegua/api-rest/configuracao.delprops
@@ -12,6 +12,9 @@ liquido.roteador.diretorioEstatico = 'publico'
 
 // Configuração do roteador.
 liquido.roteador.cors = verdadeiro
+// CORS liberado para qualquer origem ('*') é adequado apenas para desenvolvimento.
+// Em produção, restrinja para o(s) domínio(s) da aplicação, separados por vírgula.
+liquido.roteador.origensCors = '*'
 liquido.roteador.bodyParser = verdadeiro
 liquido.roteador.morgan = verdadeiro
 liquido.roteador.cookieParser = verdadeiro
diff --git a/fontes/interface-linha-comando/exemplos/delegua/mvc/configuracao.delprops b/fontes/interface-linha-comando/exemplos/delegua/mvc/configuracao.delprops
@@ -12,6 +12,9 @@ liquido.roteador.diretorioEstatico = 'publico'
 
 // Configuração do roteador.
 liquido.roteador.cors = verdadeiro
+// CORS liberado para qualquer origem ('*') é adequado apenas para desenvolvimento.
+// Em produção, restrinja para o(s) domínio(s) da aplicação, separados por vírgula.
+liquido.roteador.origensCors = '*'
 liquido.roteador.bodyParser = verdadeiro
 liquido.roteador.morgan = verdadeiro
 liquido.roteador.cookieParser = verdadeiro
diff --git a/fontes/interface-linha-comando/exemplos/pitugues/api-rest/configuracao.delprops b/fontes/interface-linha-comando/exemplos/pitugues/api-rest/configuracao.delprops
@@ -12,6 +12,9 @@ liquido.roteador.diretorioEstatico = 'publico'
 
 // Configuração do roteador.
 liquido.roteador.cors = verdadeiro
+// CORS liberado para qualquer origem ('*') é adequado apenas para desenvolvimento.
+// Em produção, restrinja para o(s) domínio(s) da aplicação, separados por vírgula.
+liquido.roteador.origensCors = '*'
 liquido.roteador.bodyParser = verdadeiro
 liquido.roteador.morgan = verdadeiro
 liquido.roteador.cookieParser = verdadeiro
diff --git a/fontes/interface-linha-comando/exemplos/pitugues/mvc/configuracao.delprops b/fontes/interface-linha-comando/exemplos/pitugues/mvc/configuracao.delprops
@@ -12,6 +12,9 @@ liquido.roteador.diretorioEstatico = 'publico'
 
 // Configuração do roteador.
 liquido.roteador.cors = verdadeiro
+// CORS liberado para qualquer origem ('*') é adequado apenas para desenvolvimento.
+// Em produção, restrinja para o(s) domínio(s) da aplicação, separados por vírgula.
+liquido.roteador.origensCors = '*'
 liquido.roteador.bodyParser = verdadeiro
 liquido.roteador.morgan = verdadeiro
 liquido.roteador.cookieParser = verdadeiro
diff --git a/fontes/interfaces/roteador-interface.ts b/fontes/interfaces/roteador-interface.ts
@@ -1,5 +1,6 @@
 export interface RoteadorInterface {
     ativarDesativarCors(valor: boolean): void;
+    configurarOrigensCors(origem: string): void;
     ativarDesativarPassport(valor: boolean): void;
     ativarDesativarCookieParser(valor: boolean): void;
     ativarDesativarExpressJson(valor: boolean): void;
diff --git a/testes/infraestrutura/centro-configuracoes.test.ts b/testes/infraestrutura/centro-configuracoes.test.ts
@@ -174,6 +174,7 @@ describe('Testes das classes de configuração', () => {
             const roteador = {
                 ativarDesativarBodyParser: jest.fn(),
                 ativarDesativarCors: jest.fn(),
+                configurarOrigensCors: jest.fn(),
                 ativarDesativarCookieParser: jest.fn(),
                 ativarDesativarExpressJson: jest.fn(),
                 ativarDesativarHelmet: jest.fn(),
@@ -184,6 +185,7 @@ describe('Testes das classes de configuração', () => {
             config.configurar({ roteador });
             expect(roteador.ativarDesativarBodyParser).toHaveBeenCalledWith(true);
             expect(roteador.ativarDesativarCors).toHaveBeenCalledWith(false);
+            expect(roteador.configurarOrigensCors).toHaveBeenCalledWith('*');
             expect(roteador.ativarDesativarCookieParser).toHaveBeenCalledWith(true);
             expect(roteador.ativarDesativarExpressJson).toHaveBeenCalledWith(true);
             expect(roteador.ativarDesativarHelmet).toHaveBeenCalledWith(true);
@@ -198,6 +200,7 @@ describe('Testes das classes de configuração', () => {
             const roteador = {
                 ativarDesativarBodyParser: jest.fn(),
                 ativarDesativarCors: jest.fn(),
+                configurarOrigensCors: jest.fn(),
                 ativarDesativarCookieParser: jest.fn(),
                 ativarDesativarExpressJson: jest.fn(),
                 ativarDesativarHelmet: jest.fn(),
@@ -282,6 +285,7 @@ describe('Testes das classes de configuração', () => {
             const roteador = {
                 ativarDesativarBodyParser: jest.fn(),
                 ativarDesativarCors: jest.fn(),
+                configurarOrigensCors: jest.fn(),
                 ativarDesativarCookieParser: jest.fn(),
                 ativarDesativarExpressJson: jest.fn(),
                 ativarDesativarHelmet: jest.fn(),
diff --git a/testes/infraestrutura/cors-origem.test.ts b/testes/infraestrutura/cors-origem.test.ts
@@ -0,0 +1,139 @@
+import { Roteador } from '../../fontes/infraestrutura/roteador/roteador';
+import { ConfiguracaoRoteador } from '../../fontes/infraestrutura/centro-configuracoes/configuracao-roteador';
+import { AutoDocumentador } from '../../fontes/infraestrutura/auto-documentacao/auto-documentador';
+
+/**
+ * Testes de regressão para o achado B4 (issue #119):
+ * a origem do CORS deve ser explícita e configurável por
+ * `liquido.roteador.origensCors`, com aviso quando liberada para
+ * qualquer origem ('*').
+ */
+describe('CORS com origem configurável', () => {
+    const criarRoteador = (): Roteador => new Roteador(new AutoDocumentador());
+
+    describe('Roteador.resolverOpcoesCors', () => {
+        it("padrão '*' resolve para undefined (comportamento liberado do middleware)", () => {
+            const roteador = criarRoteador();
+            expect(roteador.resolverOpcoesCors()).toBeUndefined();
+        });
+
+        it('uma origem única resolve para lista com um item', () => {
+            const roteador = criarRoteador();
+            roteador.configurarOrigensCors('https://meusite.com.br');
+            expect(roteador.resolverOpcoesCors()).toEqual({
+                origin: ['https://meusite.com.br']
+            });
+        });
+
+        it('múltiplas origens separadas por vírgula resolvem para lista, ignorando espaços', () => {
+            const roteador = criarRoteador();
+            roteador.configurarOrigensCors('https://a.com.br, https://b.com.br ,https://c.com.br');
+            expect(roteador.resolverOpcoesCors()).toEqual({
+                origin: ['https://a.com.br', 'https://b.com.br', 'https://c.com.br']
+            });
+        });
+
+        it('valor vazio ou apenas vírgulas volta ao comportamento padrão', () => {
+            const roteador = criarRoteador();
+            roteador.configurarOrigensCors('');
+            expect(roteador.resolverOpcoesCors()).toBeUndefined();
+
+            roteador.configurarOrigensCors(' , ,');
+            expect(roteador.resolverOpcoesCors()).toBeUndefined();
+        });
+    });
+
+    describe('Aviso de desenvolvimento na inicialização', () => {
+        let espiaoConsole: jest.SpyInstance;
+
+        beforeEach(() => {
+            espiaoConsole = jest.spyOn(console, 'log').mockImplementation(() => {});
+        });
+
+        afterEach(() => {
+            espiaoConsole.mockRestore();
+        });
+
+        const saidaConsole = (): string =>
+            espiaoConsole.mock.calls.map((chamada) => String(chamada[0])).join('\n');
+
+        it("deve avisar quando CORS está habilitado com origem '*'", () => {
+            const roteador = criarRoteador();
+            roteador.ativarDesativarCors(true);
+            roteador.iniciarMiddlewares();
+
+            expect(saidaConsole()).toContain("CORS habilitado para qualquer origem ('*')");
+            expect(saidaConsole()).toContain('apenas para desenvolvimento');
+        });
+
+        it('não deve avisar quando a origem está restringida', () => {
+            const roteador = criarRoteador();
+            roteador.ativarDesativarCors(true);
+            roteador.configurarOrigensCors('https://meusite.com.br');
+            roteador.iniciarMiddlewares();
+
+            expect(saidaConsole()).not.toContain('CORS habilitado para qualquer origem');
+        });
+
+        it('não deve avisar quando CORS está desabilitado', () => {
+            const roteador = criarRoteador();
+            roteador.iniciarMiddlewares();
+
+            expect(saidaConsole()).not.toContain('CORS habilitado para qualquer origem');
+        });
+    });
+
+    describe('ConfiguracaoRoteador', () => {
+        it("deve ter '*' como padrão de origensCors", () => {
+            const configuracao = new ConfiguracaoRoteador();
+            expect(configuracao.origensCors).toBe('*');
+        });
+
+        it('deve repassar origensCors ao roteador em configurar()', () => {
+            const configuracao = new ConfiguracaoRoteador({
+                cors: true,
+                origensCors: 'https://meusite.com.br'
+            });
+
+            const roteadorSimulado = {
+                ativarDesativarBodyParser: jest.fn(),
+                ativarDesativarCors: jest.fn(),
+                configurarOrigensCors: jest.fn(),
+                ativarDesativarCookieParser: jest.fn(),
+                ativarDesativarExpressJson: jest.fn(),
+                ativarDesativarHelmet: jest.fn(),
+                ativarDesativarMorgan: jest.fn(),
+                ativarDesativarPassport: jest.fn()
+            };
+
+            configuracao.configurar({ roteador: roteadorSimulado });
+
+            expect(roteadorSimulado.ativarDesativarCors).toHaveBeenCalledWith(true);
+            expect(roteadorSimulado.configurarOrigensCors).toHaveBeenCalledWith('https://meusite.com.br');
+        });
+    });
+
+    describe('Templates do scaffold', () => {
+        it.each([
+            ['delegua/api-rest'],
+            ['delegua/mvc'],
+            ['pitugues/api-rest'],
+            ['pitugues/mvc']
+        ])('template %s deve declarar origensCors explicitamente com aviso', (template: string) => {
+            const sistemaArquivos = require('fs');
+            const caminho = require('path');
+            const conteudo = sistemaArquivos.readFileSync(
+                caminho.join(
+                    __dirname,
+                    '../../fontes/interface-linha-comando/exemplos',
+                    template,
+                    'configuracao.delprops'
+                ),
+                'utf-8'
+            );
+
+            expect(conteudo).toContain("liquido.roteador.origensCors = '*'");
+            expect(conteudo).toContain('apenas para desenvolvimento');
+        });
+    });
+});
