Rotas e controle de acesso

Camadas de proteção

1. O layout _app exige uma sessão autenticada.
2. Cada rota aplica sua política antes de renderizar.
3. A navegação mostra somente áreas autorizadas.
4. Botões sensíveis também verificam permissões específicas.

Rota	Área	Política
/home	Dashboard	dashboard.view
/inbox	Atendimento	conversation.view e queue.view
/conversations	Histórico	conversation.history.view
/flows	Fluxos	flow.view
/flows/new	Novo fluxo	flow.create
/flows/:flowId/edit	Editar fluxo	flow.update
/sectors	Setores	queue.manage
/integrations	Integrações	integrations.view
/users	Usuários	users.view
/users/new	Novo usuário	users.create

Uma tentativa não autorizada é direcionada para /forbidden. Após o login, o usuário segue para a primeira rota permitida na ordem da barra lateral: Home, Atendimento, Histórico, Fluxos, Setores e Usuários. Integrações possui rota protegida, mas não participa dessa navegação nem da escolha da página inicial atual.

As ações usam permissões adicionais: assumir conversation.claim, responder conversation.reply, encaminhar conversation.transfer, devolver ao bot conversation.release, encerrar conversation.close, publicar ou desativar fluxo flow.publish, excluir fluxo flow.delete, editar usuário users.update, alterar seu estado users.status.manage e gerenciar cargo e acessos roles.manage.

Nota

Ocultar um controle melhora a experiência, mas não é uma barreira de segurança. A API deve validar a sessão e a autorização em toda operação protegida.