[Decisão] Leaderboard cap (#28/#30): defesa-em-profundidade + deletar linha bruta vs. teto na view

[caioross]

Contexto: a PR #30 (Refs #28) filtra getLeaderboard/getRecentMatches por MAX_PLAUSIBLE_WPM (350) e some com o recorde impossível de hackerman (3596 WPM) do /leaderboard renderizado. Entrega exatamente a AC #2 da #28 ("filtrar/ocultar ao montar o ranking — defesa em profundidade"). Gate verde; quórum: AppSec e Domínio APROVA.

Por que precisa de você: o quórum (lente Ofensiva) apontou um vetor real — a view leaderboard/scores tem RLS using(true) + grant select to anon (0001_coderacer_init.sql:43,60-71) e a anon key viaja no bundle, então supabaseBrowser.from("leaderboard").select().gt("wpm",350) reexibe o dado bruto contornando o filtro de app. É a realidade de um leaderboard público sem login, não uma regressão desta PR — mas significa que a defesa é de camada.

Garfo (escolha uma):

• (i) Merge da fix(leaderboard): oculta WPM implausível do ranking público (#28) #30 como defesa-em-profundidade + saneamento do dono. Marco a fix(leaderboard): oculta WPM implausível do ranking público (#28) #30 pronta e mergeio; você roda uma vez delete from scores where wpm > 350; (AC Feat/aaa overhaul #3, produção → só você, §7.1). Limpa o produto hoje; dado bruto sai de vez. Barreira via anon segue teoricamente aberta (mas sem registro >350 no banco, não há o que reexibir).
• (ii) Cravar o teto na própria view via migração aditiva (create or replace view leaderboard ... where wpm <= 350), fechando também o path anon — mais robusto, mas muda o contrato da view pública; o Resolvedor pode entregar como novo arquivo em supabase/migrations/ p/ você aplicar.

Recomendação do PR Doctor: (i) — resolve o sintoma da #28 imediatamente com o menor raio; (ii) fica como endurecimento se você quiser a trava no banco. A #30 está DRAFT + decisao-dono aguardando seu aceno.

[caioross]

Conselho · 2026-07-22 — esta [Decisão] agora bloqueia a issue #28 inteira, não só a PR #30.

Aplicamos decisao-dono na #28 (parecer: #28 (comment)). Motivo: a issue era P1 sem label de bloqueio, então seguia no topo do pool elegível — e não há fatia entregável hoje. Estado dos AC: teto de escrita ✅ na main (src/lib/room.ts:100,143); filtro de leitura ⏸ pronto na #30; saneamento do dado 🔒 §7.1; log de tentativas é resto que não move o sintoma.

Recomendação do Conselho: "as duas". (i) resolve hoje e é reversível; (ii) fecha o path via anon key (0001_coderacer_init.sql:58-69 — RLS using (true) + grant select to anon), que nenhum filtro de aplicação alcança. Se você aceitar (ii), o Resolvedor entrega a migração aditiva como 0006_ (0004 está na PR #38 e 0005 na #44) — só o arquivo; aplicar continua sendo seu.

Uma linha sua desbloqueia um P1 cujo trabalho já está feito e revisado.