Conector Scardua — recebe da API da FLS e entrega no Oracle do cliente

Servico que roda dentro da rede da Comercial Scardua e faz a ponte entre a
API publica da FLS (na VPS) e o Oracle privado (10.16.x), inalcancavel pela
internet.

Fluxo: Holmes -> API na VPS (trata e cifra) -> ESTE conector (abre e valida)
-> Oracle.

Recebimento:
- app/v1/compras.py: POST /v1/compras/dados
- app/services/cripto.py: abre o envelope AES-256-GCM + RSA-OAEP-SHA256 com a
  chave privada. O GCM autentica: corpo adulterado levanta InvalidTag em vez
  de devolver lixo
- app/schemas.py: modulo folha (so pydantic) com a config e o contrato
  PayloadCompras, que espelha o da API. Fora de sincronia devolve 422 de
  proposito, pra falhar explicito em vez de gravar dado torto

Seguranca:
- app/seguranca.py: header X-Token com compare_digest (nao vaza por tempo de
  resposta) + allowlist de IP da VPS
- .gitignore barra configs.json.*, *.bak-*, *.pem e *.key

Config:
- app/config.py e so o carregamento do configs.json
- o bloco "vps" guarda chave privada, token e ips permitidos

Estado: ainda NAO persiste. Recebe, valida e descarta (persistido: false).
O INSERT no Oracle e a proxima fase, e tem que ser MERGE por id_processo
porque o Holmes reentrega webhook.

Docs em docs/ — arquitetura, a decisao do conector (opcao A, com as
alternativas descartadas), deploy e problemas conhecidos.

Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>

app/middleware.py

@@ -0,0 +1,45 @@
+import re
+
+from fastapi import Request, status
+from fastapi.responses import Response
+
+BLOCKED_PATHS = {
+    "/",
+    "/metrics",
+    "/security.txt",
+    "/.env",
+    "/wp-admin",
+    "/wp-login.php",
+    "/admin",
+    "/config",
+    "/actuator",
+    "/nice%20ports%2C/Trinity.txt.bak",
+}
+
+BLOCKED_UA_PATTERNS = re.compile(
+    r"(nmap|nikto|masscan|zgrab|censys|shodan|nuclei|httpx|gobuster|dirbuster)",
+    re.IGNORECASE,
+)
+
+
+async def block_scanners(request: Request, call_next):
+    path = request.url.path
+    ua = request.headers.get("user-agent", "")
+
+    if (
+        path.startswith("/v1/")
+        or path.startswith("/v2/")
+        or path in ("/health", "/dados_retorno", "/token")
+    ):
+        return await call_next(request)
+
+    if path in BLOCKED_PATHS or path.endswith((".bak", ".env", ".git", ".php")):
+        return Response(status_code=status.HTTP_403_FORBIDDEN)
+
+    if BLOCKED_UA_PATTERNS.search(ua):
+        return Response(status_code=status.HTTP_403_FORBIDDEN)
+
+    if not ua:
+        return Response(status_code=status.HTTP_403_FORBIDDEN)
+
+    return await call_next(request)