BATCH-193: Segurança do `interface` — listagem sem SQL injection e excluir/status com CSRF

Execução da req-189 (itens A1 e A2 da req-181).

Status: complete.

Entregas

Commits

• f3511524 (código e InterfaceSegurancaReq189Test); commit seguinte com docs e SDD.

Validação

• InterfaceSegurancaReq189Test: 5 testes, 43 asserções. O interface.php roda em processo isolado com dublês. No código antigo, o SELECT senha do request entraria no ORDER BY.

• Suíte PHP completa: 1257 testes OK. Vitest: 449 OK. docs:audit: 268 docs, 0 avisos.

• Lab (project:sync-core [REDACTED]):

  • ?opcao=status sem token ou com token errado → redireciona e o produto continua Ativo;

  • com o token da sessão → Inativo, e volta a Ativo;

  • botões da edição saem com _csrf_token;

  • AJAX da listagem: busca normal e com apóstrofo (d'Ouro, antes erro de SQL) devolvem o produto;

  • injeção por columns[1][data], columnsExtraSearch e termo zzz' OR '1'='1 volta vazia, sem erro e sem vazamento.

Observações

• Links de excluir/status montados à mão em módulos de projeto (fora dos botões do interface) passam a ser recusados sem o token. Devem usar interface_url_csrf() ou window.interfaceUrlCsrf(), como a doc descreve.

• O project:update-all do Lab ficou bloqueado por duas migrações do site com a mesma versão 20260928120000: remove_legacy_checkout_variables (e-commerce, já commitada e aplicada) e add_social_post_idempotency_key (outro agente, não commitada). A segunda precisa ser renumerada por quem a criou. Por isso a validação deste lote usou project:sync-core.