No changes made — request declined

.cursor/rules/cardapio-digital-padroes.mdc

@@ -0,0 +1,50 @@
+---
+description: Padrões e regras do projeto Cardápio Digital para evitar erros comuns
+globs: "**/*.{ts,tsx}"
+alwaysApply: true
+---
+
+# Padrões Cardápio Digital
+
+## React e Hooks
+
+1. **Hooks nunca condicionais**: `useState`, `useMemo`, `useCallback`, `useEffect` devem ser chamados incondicionalmente, antes de qualquer `return` antecipado.
+
+2. **setState em useEffect**: Evitar chamar `setState` diretamente no corpo síncrono do `useEffect`. Se necessário sincronizar com URL ou props, usar `queueMicrotask(() => setState(...))` para evitar cascading renders.
+
+3. **Dependências de useEffect**: Incluir todas as variáveis usadas dentro do effect. Para objetos, preferir o objeto completo (ex: `[previewRestaurant, products]`) em vez de propriedades específicas quando o linter exigir.
+
+4. **useMemo**: Para o React Compiler, usar dependências que correspondam ao que é efetivamente lido. Ex: `[restaurant]` em vez de `[restaurant?.template_slug]` quando o valor derivado depende do objeto inteiro.
+
+## Imagens
+
+- Usar `next/image` (`Image` de `next/image`) em vez de `<img>` para otimização e LCP.
+
+## Testes
+
+- Ao alterar preços em `lib/pricing.ts` ou `lib/restaurant-onboarding.ts`, atualizar `tests/onboarding-and-templates.test.ts` para refletir os valores corretos.
+
+## Banco de Dados
+
+- A tabela `templates` deve estar populada para `/dev/unlock` e Meus Templates. Seed em `supabase/migrations/009_templates_seed.sql`.
+
+## Antes de Commitar
+
+Executar: `npm run build && npm run lint && npm test`
+
+## Deploy e Verificação Google Search Console
+
+O Next.js trata URLs com `.html` como arquivos estáticos e retorna 404. Para verificação do Google:
+
+1. **Criar rota** em `app/api/google-verification/route.ts` que retorna o conteúdo exato do arquivo (ex: `google-site-verification: google1a0b3e572aae5f34.html`) com `Content-Type: text/html`.
+
+2. **Adicionar rewrite** no `next.config.mjs`:
+   ```js
+   async rewrites() {
+     return [{ source: '/googleXXXX.html', destination: '/api/google-verification' }]
+   }
+   ```
+
+3. **Opcional**: excluir `google*.html` no matcher do middleware para evitar interferência.
+
+4. **Verificar branch** na Vercel (Settings > Git > Production Branch). Se for `main`, fazer merge ou alterar a branch de produção.

.cursor/rules/zairyx.mdc

@@ -0,0 +1,60 @@
+---
+description: Contexto global da Zairyx para tarefas de codigo, auditoria e deploy
+globs: ['**/*.ts', '**/*.tsx', '**/*.mjs', '**/*.js', '**/*.sql']
+alwaysApply: true
+---
+
+# ZAIRYX - Contexto Operacional
+
+## Produto
+
+- Plataforma SaaS B2B de cardapio digital para operacoes reais de alimentacao no Brasil.
+- Fluxo principal: landing -> templates -> compra -> webhook Mercado Pago -> provisioning -> painel -> cardapio publico em r/[slug].
+- O termo preferido na interface e nos fluxos comerciais e delivery, nao restaurante, quando o contexto for venda do produto.
+- O sistema ja suporta multiplos cardapios por usuario. Nao reassumir modelo single-restaurant em telas, queries ou provisioning.
+
+## Stack real do projeto
+
+- Next.js 16 App Router + React 19 + TypeScript strict.
+- Tailwind CSS 4 + Radix UI + shadcn/ui.
+- Supabase Auth + Postgres + RLS.
+- Zustand para carrinho e estado local de compra.
+- Mercado Pago para checkout e webhook.
+- Upstash Redis para rate limit.
+- Cloudflare R2 para upload de imagens.
+- Playwright para E2E e tsx --test para testes unitarios.
+
+## Estrutura importante
+
+- app/api/checkout/criar-sessao/route.ts cria sessao de compra.
+- app/api/webhook/mercadopago/route.ts provisiona acesso apos pagamento.
+- app/meus-templates/page.tsx lista compras e cardapios do usuario.
+- app/painel/layout.tsx controla selecao do cardapio ativo.
+- middleware.ts e o middleware oficial do Next.js neste repositorio.
+- lib/supabase/client.ts, server.ts e admin.ts sao os pontos oficiais de acesso ao Supabase.
+
+## Regras de implementacao
+
+- Nao reintroduzir placeholders, fallbacks ficticios ou credenciais de exemplo em codigo de producao.
+- Nao criar fallback para Supabase URL/chave. Se faltar env, falhe explicitamente.
+- Nao usar Math.random para codigo sensivel, token ou identificador de seguranca.
+- Toda API publica deve considerar rate limit e validacao server-side.
+- Webhook Mercado Pago deve validar assinatura antes de processar o evento.
+- Nao alterar migrations antigas em supabase/migrations. Sempre criar nova migration.
+- Nao criar segundo client Supabase fora de lib/supabase.
+- Nao usar dados cross-tenant sem filtro por user_id, restaurant_id ou tenant_id.
+
+## Regras de codigo
+
+- Preferir imports com alias @/.
+- Formularios devem usar React Hook Form + Zod quando houver validacao de input.
+- APIs devem responder com NextResponse.json e mensagens claras em portugues.
+- Em componentes React, loading, erro e empty state precisam ser explicitos.
+- Manter compatibilidade com a organizacao atual de paginas, hooks, services e store.
+
+## Ambiente e deploy
+
+- Site publico principal: https://zairyx.com
+- O deploy de producao e feito pela Vercel a partir da branch main.
+- Scripts relevantes: npm run doctor, npm run lint, npm test, npm run build, npm run ship:all, npm run check.
+- O checker local em scripts/check.mjs e a CI em .github/workflows/ci.yml sao as referencias para auditoria pre-deploy.

.devcontainer/devcontainer.json

@@ -0,0 +1,22 @@
+// For format details, see https://aka.ms/devcontainer.json. For config options, see the
+// README at: https://github.com/devcontainers/templates/tree/main/src/alpine
+{
+	"name": "Alpine",
+	// Or use a Dockerfile or Docker Compose file. More info: https://containers.dev/guide/dockerfile
+	"image": "mcr.microsoft.com/devcontainers/base:alpine-3.22"
+
+	// Features to add to the dev container. More info: https://containers.dev/features.
+	// "features": {},
+
+	// Use 'forwardPorts' to make a list of ports inside the container available locally.
+	// "forwardPorts": [],
+
+	// Use 'postCreateCommand' to run commands after the container is created.
+	// "postCreateCommand": "uname -a",
+
+	// Configure tool-specific properties.
+	// "customizations": {},
+
+	// Uncomment to connect as root instead. More info: https://aka.ms/dev-containers-non-root.
+	// "remoteUser": "root"
+}

.env.example

@@ -0,0 +1,87 @@
+# =============================================
+# CARDAPIO DIGITAL - EXEMPLO DE AMBIENTE
+# Copie para .env.local e preencha os valores reais.
+# Para instalar rapido em ambiente local, mantenha sandbox.
+# =============================================
+
+# === SITE ===
+# Para checkout Mercado Pago em localhost, use HTTPS e rode: npm run dev:https
+NEXT_PUBLIC_SITE_URL=https://localhost:3000
+NEXT_PUBLIC_APP_URL=https://localhost:3000
+
+# === VERCEL ===
+VERCEL_TOKEN=
+
+# === SUPABASE ===
+NEXT_PUBLIC_SUPABASE_URL=https://seu-projeto.supabase.co
+NEXT_PUBLIC_SUPABASE_ANON_KEY=eyJ...sua-anon-key
+SUPABASE_SERVICE_ROLE_KEY=eyJ...sua-service-role-key
+
+# === MERCADO PAGO - CONTROLE DE AMBIENTE ===
+# sandbox = usa credenciais de teste e mostra aviso visual no painel
+# production = usa credenciais reais
+MERCADO_PAGO_ENV=sandbox
+NEXT_PUBLIC_MERCADO_PAGO_ENV=sandbox
+
+# === MERCADO PAGO - SANDBOX ===
+MERCADO_PAGO_TEST_ACCESS_TOKEN=TEST-sua-access-token-de-teste
+MERCADO_PAGO_TEST_PUBLIC_KEY=TEST-sua-public-key-de-teste
+NEXT_PUBLIC_MERCADO_PAGO_TEST_PUBLIC_KEY=TEST-sua-public-key-de-teste
+MERCADO_PAGO_TEST_SELLER_ID=TESTUSER796097820704191816
+MERCADO_PAGO_TEST_BUYER_ID=TESTUSER5736431075969203028
+
+# === MERCADO PAGO - PRODUCAO ===
+# Preencha apenas quando estiver pronto para cobrar clientes reais.
+MERCADO_PAGO_ACCESS_TOKEN=APP_USR-seu-access-token-real
+MERCADO_PAGO_PUBLIC_KEY=APP_USR-sua-public-key-real
+NEXT_PUBLIC_MERCADO_PAGO_PUBLIC_KEY=APP_USR-sua-public-key-real
+
+# Compatibilidade com integracoes antigas
+MP_ACCESS_TOKEN=
+
+# Segredo opcional para validar notificacoes do Mercado Pago
+MP_WEBHOOK_SECRET=
+
+# === CRON JOB ===
+CRON_SECRET=gere-uma-chave-forte-aqui
+
+# === ADMIN / AUTOMACOES ===
+ADMIN_SECRET_KEY=gere-uma-chave-forte-diferente-da-cron
+OWNER_EMAIL=voce@seudominio.com
+INTERNAL_API_SECRET=gere-uma-chave-forte-para-webhooks-internos
+
+# === DESENVOLVIMENTO LOCAL ===
+# Ative apenas quando precisar liberar rotas de desenvolvimento no ambiente local.
+# ALLOW_DEV_UNLOCK: API (unlock-all-templates). NEXT_PUBLIC_ALLOW_DEV_UNLOCK: botão em Meus Templates.
+ALLOW_DEV_UNLOCK=false
+NEXT_PUBLIC_ALLOW_DEV_UNLOCK=false
+
+# === IA / EMAIL ===
+GROQ_API_KEY=
+RESEND_API_KEY=
+RESEND_FROM_DOMAIN=seu-dominio.com
+
+# === STORAGE R2 ===
+R2_ACCOUNT_ID=
+R2_ACCESS_KEY_ID=
+R2_SECRET_ACCESS_KEY=
+R2_BUCKET=
+R2_PUBLIC_URL=
+
+# === GOOGLE SEARCH CONSOLE (Painel SEO Admin) ===
+# 1. Crie Service Account: https://console.cloud.google.com/iam-admin/serviceaccounts
+# 2. Gere chave JSON e copie client_email e private_key
+# 3. No Search Console, adicione o email da service account como usuario
+# 4. Habilite a API: https://console.cloud.google.com/apis/library/searchconsole.googleapis.com
+GOOGLE_SERVICE_ACCOUNT_EMAIL=
+GOOGLE_SERVICE_ACCOUNT_PRIVATE_KEY=
+GOOGLE_SITE_URL=https://www.zairyx.com
+
+# === UTILITARIOS DE MIGRACAO / INSPECAO ===
+SUPABASE_PROJECT_REF=
+SUPABASE_MANAGEMENT_TOKEN=
+
+# === OBSERVACOES ===
+# 1. Em producao, altere MERCADO_PAGO_ENV e NEXT_PUBLIC_MERCADO_PAGO_ENV para production.
+# 2. Configure o webhook do Mercado Pago apontando para /api/webhook/subscriptions e /api/webhook/mercadopago.
+# 3. Rode npm run doctor antes de subir o projeto ou publicar na hospedagem.