Autorização e capacidades

// ERRADO: confere o papel, e nao o dono.
action ver_pedido_errado(usuario, id):
    given usuario["papel"] isnt "cliente":
        trigger "sem permissao"
    yield buscar(id)          // qualquer id, de qualquer um

// CERTO: a consulta carrega o dono. A autorizacao vira uma
// condicao do WHERE, e nao um 'given' que alguem pode esquecer.
action ver_pedido(usuario, id):
    pedido := buscar_do_dono(id, usuario["id"])
    given pedido is void:
        // 404, e nao 403: dizer "existe, mas nao e seu" ja entrega
        // que aquele id existe.
        trigger "nao encontrado"
    yield pedido

action buscar(id):
    yield {"id": id, "dono": 99}

action buscar_do_dono(id, dono):
    p := buscar(id)
    yield p given p["dono"] is dono otherwise void

monitor:
    ver_pedido({"id": 7, "papel": "cliente"}, 1234)
    assert no
handle Error as e:
    out "o pedido de outro dono nao e alcancavel"

steady PERMISSOES := {
    "leitor": ["pedido:ler"],
    "editor": ["pedido:ler", "pedido:escrever"],
    "admin":  ["pedido:ler", "pedido:escrever", "pedido:apagar",
               "usuario:gerir"]
}

action pode(papel, permissao):
    yield permissao in (PERMISSOES[papel] ?? [])

// O padrao e NEGAR: um papel desconhecido nao ganha nada. A lista
// vazia do '??' e o que garante isso — sem ela, indexar um vault
// sem a chave levantaria, e um 'monitor' mal colocado viraria um
// 'permitido'.
assert pode("admin", "usuario:gerir")
assert pode("leitor", "pedido:apagar") is no
assert pode("papel-que-nao-existe", "pedido:ler") is no

// E a separacao de funcoes: quem aprova nao e quem solicita.
action aprovar(solicitante, aprovador, valor):
    given solicitante is aprovador:
        trigger "quem solicita nao aprova"
    given pode(aprovador["papel"], "pedido:escrever") is no:
        trigger "sem permissao"
    yield {"aprovado": yes, "valor": valor}

monitor:
    ana := {"id": 1, "papel": "editor"}
    aprovar(ana, ana, 10000)
    assert no
handle Error as e:
    out $"recusado: {e.message}"

adopt Arcane.Capacidade as Cap

// 'limites()' devolve a lista em EXECUCAO. Um modulo que
// prometesse contencao sem dizer o que alcanca seria usado onde
// nao pode, e a descoberta viria por incidente.
out $"capacidades deste arquivo: {len(Cap.limites())}"

// A fronteira e o 'adopt': um modulo fora da lista e recusado pelo
// NOME da capacidade que falta — e nao com "erro de import".