fix(rooms): mutações de sala param de responder ok:true sem confirmar a escrita (#56)

[caioross]

Contexto

Em src/app/api/rooms/[code]/route.ts, quatro das cinco actions faziam
await sb.from("rooms").update(...) sem desestruturar o error e retornavam
ok: true incondicionalmente. O supabase-js devolve { error } em falha do
PostgREST em vez de lançar — então constraint violada, RLS ou timeout viravam
"deu certo" na tela do líder, com a sala parada no lobby e nenhum log.

O cenário concreto da issue: a migração 0004_settings_allowlist.sql aguarda
aplicação pelo dono e adiciona constraints NOT VALID (não validam linhas
legadas, validam todo UPDATE novo). Sala antiga + mudança de linguagem =
UPDATE que falha e UI que confirma o que nunca aconteceu.

O que mudou e por quê

Arquivo	Mudança
src/lib/room.ts	roomUpdateOutcome({ error, rows }) — decisão pura: error ⇒ 500 + copy neutra · zero linhas confirmadas ⇒ 409 neutro · ≥1 linha ⇒ ok.
src/lib/room.test.ts	5 casos cobrindo os três ramos, a precedência do erro sobre a contagem e o não-vazamento de schema.
route.ts	applyRoomUpdate(sb, code, action, patch) — adaptador fino: encadeia .select("code"), loga o detalhe no servidor, devolve NextResponse de erro ou null. Aplicado em settings, start, reset e claim-leader.
route.ts (finish)	Passa a reportar o error, preservando flipped.length === 0 = "outro cliente já finalizou" ⇒ segue ok: true sem repersistir (AC 3 não regride).
route.ts (GET)	Deixa de devolver error.message do PostgREST ao cliente — useRoom.ts:84 exibe essa string em toast, ou seja, era schema na tela do jogador.

Duas decisões que valem destacar:

• 409 neutro em vez de "Sala não encontrada". getServerSupabase cai para a
  chave anon quando não há service_role; com RLS, "0 linhas" pode ser SELECT
  negado, não sala apagada. A resposta não afirma o que o servidor não sabe.
• A limpeza de kicked_ids no reset continua best-effort (inerte enquanto a
  0005 não for aplicada); só o reset em si passa a exigir confirmação.

Zero mudança de cliente: postAction já faz if (!json?.ok) fail(...) →
toast. As strings novas são copy de produto, no registro das existentes.

Escopo declarado (fora)

• persistMatch (route.ts:~166) engole error dos insert — colisão frontal
  com a PR refactor(persistencia): extrai buildMatchRow/buildScoreRows de persistMatch e cobre com Vitest (#50) #55, que está refatorando exatamente essa função. Segue a
  recomendação do Conselho: follow-up depois que a refactor(persistencia): extrai buildMatchRow/buildScoreRows de persistMatch e cobre com Vitest (#50) #55 mergear.
• src/app/api/rooms/route.ts (:29, :88) tem o mesmo vazamento de
  error.message — outra issue.
• Autorização de claim-leader (Segurança: claim-leader permite sequestro de liderança de qualquer sala (sem autorização) #6 / PR fix(security): exige sala estagnada para claim-leader (anti-sequestro) #12) não muda aqui: a action só passa
  a reportar falha de escrita. Esse hunk é o último do diff, descartável se a fix(security): exige sala estagnada para claim-leader (anti-sequestro) #12
  mergear antes.

Gate (rodado no worktree, resultado real)

Passo	Resultado
pnpm install --frozen-lockfile	✅
pnpm typecheck	✅
pnpm build	✅ (14 rotas, sem warning novo)
pnpm test	✅ 59 testes / 3 arquivos (era 54 — +5 novos)
node scripts/validate-persistence.mjs	✅ 72/72
validate-metrics.mjs	✅ 37/37
pnpm lint	N/A — sem config ESLint no repo; a CI não roda lint

Riscos

• Baixo/comportamental: falhas que antes eram invisíveis agora viram toast.
  É o objetivo da issue, mas é mudança observável em produção.
• Contenção de arquivo: route.ts está aberto em outras PRs (fix(anti-cheat): bloqueia drop na textarea da corrida — arrastar o snippet-alvo não digita mais (#61) #94, fix(anti-cheat): rejeita finish temporalmente impossível e 409 honesto (#34) #36, fix(security): exige sala estagnada para claim-leader (anti-sequestro) #12).
  O diff é cirúrgico e o rebase é assumido.
• Área sagrada intacta: nada aqui roda por keystroke. O round-trip extra do
  .select("code") custa uma ida ao banco por clique de líder, no lobby.

Segui o plano do Parecer do Conselho de 2026-07-24 na íntegra (função pura em
room.ts + adaptador na rota, 409 neutro, finish preservado, persistMatch
fora) — a única adaptação foi a renumeração das linhas, que mudaram com o merge
da action kick.

Solicito quórum (HANDBOOK §7)

Closes #56

[gemini-code-assist]

Caution

The consumer version of Gemini Code Assist on GitHub has been sunset. All code review activity has officially ceased.

[vercel]

The latest updates on your projects. Learn more about Vercel for GitHub.

Project	Deployment	Actions	Updated (UTC)
code-racer	Ready	Preview, Comment	Jul 26, 2026 5:45pm

[caioross]

✅ PR Doctor — APROVADA (rooms API / honestidade de escrita)

Diff lido inteiro. Decisão pura roomUpdateOutcome (em room.ts, testada — 5 casos) + helper applyRoomUpdate que só devolve sucesso quando a escrita é confirmada (.select("code") cobre erro do PostgREST e 0 linhas). Aplicado a settings/start/reset/claim-leader.

• finish tratado corretamente à parte: 0 linhas ali é o caminho feliz ("outro cliente já finalizou") e segue ok:true sem repersistir — só o error, antes descartado, vira falha honesta. ✔️
• Ganho de segurança: error.message do PostgREST não vai mais para o toast do cliente (useRoom.ts) — detalhe de schema fica no log do servidor, cliente recebe copy neutra. ✔️
• RLS-aware: 0 linhas → 409 "não foi possível confirmar" (não afirma "sala não encontrada", pois anon+RLS pode negar SELECT). Produção usa service_role → .select retorna a linha → ok. ✔️
• Autorização inalterada (claim-leader segue aberto, escopo Segurança: claim-leader permite sequestro de liderança de qualquer sala (sem autorização) #6/fix(security): exige sala estagnada para claim-leader (anti-sequestro) #12): só passa a reportar falha em vez de fingir sucesso.

CI + Vercel verdes. Closes #56. Squash-merge.