Code Review — Segurança, Arquitetura e Boas Práticas

[MirandaSls]

Sobre esta revisão

Code review do projeto RevoAPP cobrindo 23 pontos organizados em 4 categorias: segurança crítica, arquitetura e padrões de projeto, bugs e semântica HTTP, e code smells de qualidade.

O arquivo CODE_REVIEW.md contém todos os comentários detalhados.

---

Resumo dos problemas encontrados

🔴 Segurança Crítica (5)

1. Senha em texto puro — user.ts:86 — sem hash (bcrypt/argon2)
2. @ts-ignore mascarando bug de segurança — user.ts:130 — comparação de senha quebrada em runtime
3. Log de credenciais em produção — user.ts:69 — console.log(body) expõe email e senha
4. URL hardcoded — user.ts:7 e event.ts:11 — deve vir de variável de ambiente
5. Ausência de autenticação — qualquer cliente pode modificar dados de qualquer usuário

🟠 Arquitetura e Padrões de Projeto (6)

6. Ausência de Service Layer — lógica de negócio misturada com handlers de rota (viola SRP)
7. PrismaClient instanciado múltiplas vezes — deve ser Singleton compartilhado
8. Violação do princípio DRY — productionURL duplicada em dois arquivos
9. Sem tratamento de erros — nenhum try/catch nas rotas, crash em exceptions do banco
10. Sem validação de input — campos do body usados sem validação (sugestão: zod)
11. Padrão Repository ausente — acoplamento direto com Prisma em toda a aplicação

🟡 Bugs e HTTP Semântico (6)

12. Status HTTP incorretos — GET /event/ retorna 302 (redirect) em vez de 200
13. Bug: forEach atribuído a variável — event.ts:329 — goalId sempre undefined
14. const reatribuída — Login/index.js:24 — TypeError em runtime
15. Comparação de resposta por string JSON — Login/index.js:13 — frágil e quebrável
16. Date() sem new — createEvent/index.js:14 — ignora o argumento, usa data atual
17. Rotas GET com efeitos colaterais — convites e amizades criados via GET (violação RFC 7231)

🔵 Code Smells e Qualidade (6)

18. Typos em nomes de modelo — sponsership, recevied, accepte_route, exixst
19. Mensagens de erro em português e inglês misturadas
20. Sem paginação em findMany — pode retornar milhares de registros
21. console.log de debug em produção — user.ts:454, event.ts:345
22. XMLHttpRequest vs Fetch — inconsistência tecnológica no frontend
23. indicadores.ts é código morto — funcionalidade idêntica a GET /user/, sem implementação real

---

Padrões de projeto sugeridos

• Service Layer — separar lógica de negócio dos handlers de rota
• Repository Pattern — desacoplar acesso ao banco da lógica de negócio
• Singleton — instância única do PrismaClient
• Middleware de autenticação JWT — proteger rotas autenticadas
• Schema Validation com Zod — validar inputs na fronteira da aplicação

PR mantido aberto para avaliação do professor @joaopauloaramuni

[Copilot]

Pull request overview

Adds a standalone CODE_REVIEW.md document to the repository to record a structured code review of RevoAPP, covering security, architecture/patterns, HTTP semantics/bugs, and general code quality findings.

Changes:

• Introduces CODE_REVIEW.md with 23 review points grouped by category.
• Includes suggested remediations and example snippets (bcrypt/JWT/env config/pagination/etc.).

---

💡 Add Copilot custom instructions for smarter, more guided reviews. Learn how to get started.