Auditoria Tradeive

CONTEXTO: Supabase + frontend estático. Multi-tenancy: cada empresa deveria ver apenas seus dados.

SINTOMAS OBSERVADOS (todos testados manualmente com login direto):

1. ADMIN VÊ USUÁRIOS DE OUTRA EMPRESA:
   - Login: admin@techcorp.demo → /admin/users.html
   - A lista mostra usuários da AcmeCorp e da plataforma (platform@tradeive.demo)
   - Deveria mostrar apenas usuários da TechCorp

2. FORNECEDORES MAPEADOS PARA EMPRESA ERRADA:
   - admin@officestore.demo → header mostra "Tech Supplies" (deveria ser Office Store)
   - vendas@officestore.demo → header mostra "Tech Supplies" (deveria ser Office Store)
   - admin@moveispremium.demo → header mostra "TRADEIVE" (deveria ser Móveis Premium)
   - admin@infotech.demo → "Tech Supplies" (deveria ser InfoTech Soluções)
   - ÚNICO CORRETO: comercial@moveispremium.demo → "Móveis Premium Ltda" ✅

3. TELA DE ACESSO NEGADO VAZA ADMIN ERRADO:
   - Login: aprovador.final@techcorp.demo → tela mostra "Contate admin@acmecorp.com.br"

INVESTIGAR:
1. Verificar tabela profiles/users no Supabase — qual é o company_id de cada usuário demo?
2. Corrigir os company_id errados via SQL UPDATE
3. Verificar se existem RLS policies — se não, criar
4. Na listagem de /admin/users.html: a query filtra por company_id?
5. Na tela de Acesso Negado: de onde vem o email do admin mostrado?

CONTEXTO: Tradeive usa perfis para controlar acesso. Cada página .html verifica o perfil do usuário logado via JS e redireciona se não autorizado. Auth é Supabase Auth com JWT.

SINTOMAS OBSERVADOS:

1. APROVADOR FINAL — SEM DASHBOARD:
   - Login: aprovador.final@techcorp.demo (senha Demo@2026!)
   - Redireciona para /approver/dashboard.html → "Acesso Negado — perfil approver_final"
   - O aprovador final deveria poder aprovar requisições

2. QUOTATION_RESP — NÃO PODE RESPONDER COTAÇÕES:
   - Login: cotacoes@infotech.demo (senha Demo@2026!)
   - /supplier/respond-quotation.html → "Acesso Negado"
   - Este perfil existe ESPECIFICAMENTE para responder cotações

INVESTIGAR:
1. No JS de /approver/dashboard.html: qual é a lista de perfis permitidos? Adicionar 'approver_final'
2. No JS de /supplier/respond-quotation.html: adicionar 'quotation_resp'
3. Buscar padrão: if (!allowedProfiles.includes(userProfile)) redirectToAccessDenied()
4. Verificar se há OUTROS perfis bloqueados de suas páginas

CONTEXTO: Supabase + frontend estático. Fluxo: Comprador vê requisição aprovada → clica "Criar Cotação" → modal abre com itens → seleciona fornecedores → cria cotação.

SINTOMAS OBSERVADOS:
- Login: comprador@techcorp.demo (senha Demo@2026!)
- Dashboard mostra SOL-2026-00042 em "Prontas para Cotação"
- Clico em "Criar Cotação" → modal abre com "0 itens" e "R$ 0,00"
- Os itens (Papel Sulfite A4 x20, Pasta Plástica A4 x1) NÃO aparecem
- Botão criar fica desabilitado

OBSERVAÇÃO ADICIONAL:
- Contador "Aprovadas Hoje" no dashboard aprovador CC mostra 0 após aprovar

⚠️ NOTA: A query usa select('*') — sintaxe correta. O problema NÃO é sintaxe.

INVESTIGAR:
1. Como o card_id é obtido? Vem da URL? Está correto?
2. Testar no SQL Editor: SELECT * FROM card_items WHERE card_id = '(id real)'
3. Pode ser que a requisição não tenha card_items no banco (seed data)
4. Contador: verificar se há registros em card_history para o dia atual
5. Possível problema de timezone (UTC vs local) no filtro de data

CONTEXTO: Frontend JS vanilla renderiza dados do Supabase com template literals. Dados vêm da API em JSON.

SINTOMAS OBSERVADOS (todos vistos diretamente na tela):

1. "UNDEFINED" PROPOSTAS:
   - Login: comprador@techcorp.demo → dashboard mostra "undefined propostas recebidas"
   - Links de cotação geram URLs /cotacao/undefined

2. PEDIDOS COM R$ 0,00:
   - Login: qualquer fornecedor → Pedidos Recentes todos R$ 0,00
   - Exemplos: PED-TRACE-001, PED-2026-00210, PED-ACM-0104

3. STATUS NÃO TRADUZIDOS:
   - Pedidos mostram: "in_preparation", "completed", "in_transit"

4. PEDIDO SEM TÍTULO:
   - PED-ACM-0104 aparece sem nome do produto

INVESTIGAR:
1. Buscar no JS onde "propostas" é renderizado — a variável é populada do response?
2. Verificar qual campo do response tem o valor do pedido (total_value? amount? total?)
3. Criar mapa de tradução no JS para status
4. Verificar campo title no banco para PED-ACM-0104

CONTEXTO: Supabase backend com tabelas de fornecedores, pedidos, cotações, performance.

SINTOMAS OBSERVADOS:

1. CATÁLOGO VAZIO:
   - Login: admin@infotech.demo → /supplier/respond-quotation.html
   - Mostra "Catálogo vazio" — itens da cotação não carregam
   - Endereço de entrega: "- /" com CEP em branco

2. CONTAGEM INCONSISTENTE:
   - Dashboard mostra "2 Pedidos Ativos"
   - Página /supplier/orders.html mostra 0 pedidos

3. PERFORMANCE SUSPEITA:
   - Dashboard mostra 4.5/5.0 com "0 avaliações"
   - Pode ser hardcoded no JS ou score real com count errado

INVESTIGAR:
1. De onde vêm os itens em respond-quotation? O quotation_id na URL existe?
2. O campo delivery_address é propagado na criação da cotação?
3. Comparar query do dashboard vs query da listagem de pedidos
4. O 4.5 vem do banco ou está hardcoded no HTML/JS?

CONTEXTO: Frontend HTML/JS estático. Melhorias visuais e de usabilidade — menor prioridade, executar DEPOIS dos prompts 1-6.

SINTOMAS OBSERVADOS:
1. LOGIN SEM FEEDBACK: clicar em "Entrar" não mostra loading/spinner — usuário não sabe se clicou
2. MENU LATERAL: apenas ícones sem labels de texto — difícil de entender pra novos usuários
3. ESTADOS VAZIOS: cards vazios sem call-to-action (ex: "Nenhuma requisição → Criar nova")
4. NOMES GENÉRICOS: Dashboard admin mostra "Fornecedor 1, Fornecedor 2" no Top 10
5. MENU FLYOUT: dashboard solicitante abre com menu expandido — deveria iniciar fechado em mobile
6. BADGES: "HOJE" repetidos sem contexto explicativo
7. TOOLTIPS: ícones de status sem tooltip no hover
8. LINK INACESSÍVEL: Menu "Requisições → Em Andamento" visível pro comprador mas sem permissão de acesso

AÇÃO: Ajustes de CSS e JS simples nos respectivos arquivos HTML. Sem mudança de lógica de negócio.