Conector Scardua — recebe da API da FLS e entrega no Oracle do cliente

Servico que roda dentro da rede da Comercial Scardua e faz a ponte entre a
API publica da FLS (na VPS) e o Oracle privado (10.16.x), inalcancavel pela
internet.

Fluxo: Holmes -> API na VPS (trata e cifra) -> ESTE conector (abre e valida)
-> Oracle.

Recebimento:
- app/v1/compras.py: POST /v1/compras/dados
- app/services/cripto.py: abre o envelope AES-256-GCM + RSA-OAEP-SHA256 com a
  chave privada. O GCM autentica: corpo adulterado levanta InvalidTag em vez
  de devolver lixo
- app/schemas.py: modulo folha (so pydantic) com a config e o contrato
  PayloadCompras, que espelha o da API. Fora de sincronia devolve 422 de
  proposito, pra falhar explicito em vez de gravar dado torto

Seguranca:
- app/seguranca.py: header X-Token com compare_digest (nao vaza por tempo de
  resposta) + allowlist de IP da VPS
- .gitignore barra configs.json.*, *.bak-*, *.pem e *.key

Config:
- app/config.py e so o carregamento do configs.json
- o bloco "vps" guarda chave privada, token e ips permitidos

Estado: ainda NAO persiste. Recebe, valida e descarta (persistido: false).
O INSERT no Oracle e a proxima fase, e tem que ser MERGE por id_processo
porque o Holmes reentrega webhook.

Docs em docs/ — arquitetura, a decisao do conector (opcao A, com as
alternativas descartadas), deploy e problemas conhecidos.

Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>

README.md

@@ -0,0 +1,40 @@
+# Conector Scardua
+
+Serviço que roda **dentro da rede da Comercial Scardua** e faz a ponte entre a
+API pública da FLS (na VPS) e o **Oracle privado** do cliente (`10.16.x`).
+
+Recebe o payload **cifrado**, abre com a chave privada, valida e — quando a fase 2
+entrar — grava no Oracle.
+
+> ⚠️ **Este repositório mudou de papel.** Ele era a API que roda na VPS; essa
+> parte migrou pro repositório da API (ver [docs/arquitetura.md](docs/arquitetura.md)).
+> Aqui ficou o conector.
+
+## Onde ele fica no fluxo
+
+```
+Holmes --webhook--> [API na VPS da FLS] --cifra e envia--> [ESTE conector] --> [Oracle do cliente]
+                     público, TLS                          rede privada do cliente
+```
+
+## Documentação
+
+| Doc | Assunto |
+|-----|---------|
+| [docs/arquitetura.md](docs/arquitetura.md) | Visão, atores e as duas pontas do sistema |
+| [docs/conector.md](docs/conector.md) | A decisão do conector e por quê (fechada) |
+| [docs/deploy.md](docs/deploy.md) | Como subir no servidor do cliente |
+| [docs/known-issues.md](docs/known-issues.md) | Problemas conhecidos e TODOs |
+| [CLAUDE.md](CLAUDE.md) | Guia rápido do código |
+
+## Rodar local (Windows)
+
+Precisa do `configs.json` na raiz — veja `configs.example.json`.
+
+```
+uvicorn main:app --reload --port 8000
+```
+
+## Stack
+
+Python ≥3.10 · FastAPI + Uvicorn · Pydantic v2 · cryptography (RSA-OAEP + AES-GCM) · oracledb (thin mode)