[MatheusAndrade23]

Contexto

TIM-3596

apiKeyHeader aceitava apenas string | undefined. Agora também aceita uma lista de headers, no registerPermissionAuth (Fastify) e no expressRegisterPermissionAuth (Express).

Mudanças

• apiKeyHeader?: string | readonly string[]. Com lista, a requisição passa se qualquer chave enviada for válida; só recusa quando nenhuma é. As chaves são testadas na ordem da lista e para na primeira válida. Erros que não dependem da chave (validator indisponível, header de broker malformado) são lançados na hora. Se todas falharem, um 403 (chave válida sem permissão) tem prioridade sobre 401.
• Nomes de header normalizados para minúsculas ('Authorization' passa a funcionar).
• Retrocompatível: sem configuração, continua x-api-key.
• Erro no registro quando:
  • a lista é vazia;
  • a lista inclui o authorizationHeader e alguma rota usa acceptsSessionToken (o Bearer <jwt> seria lido como API key).
• assertHasPermission, o hook e o rate limit usam a mesma lista resolvida.
• Rate limit: o orçamento de cada chave enviada é verificado (credentialRateLimitKeys), para que uma chave aleatória extra num dos headers não fure o limite da chave válida.

Testes

• Fastify e Express: leitura por qualquer header da lista (case-insensitive), 401 para header fora da lista, lista vazia, conflito com session token.
• Fastify e Express: aceita quando uma das chaves é válida e recusa (401) só quando nenhuma é.
• Fastify: para na primeira chave válida, 503 não tenta a próxima, assertHasPermission standalone e rate limit bucketizando pela chave lida da lista.

[chatgpt-codex-connector]

Codex Review Summary

This comment shows the latest Codex review activity on this pull request.

Review	Status	Commit	Review trigger
📝 Code Review	✅ Completed 2026-10-07T15:25:00.135280Z	9e791b2	PR opened

ℹ️ About Codex in GitHub

Your team has set up Codex to review pull requests in this repo. Reviews are triggered when you

• Open a pull request for review
• Mark a draft as ready
• Comment "@codex review" or "@codex security review".

Codex reacts with 👀 while any review is running, comments if it has suggestions, and reacts with 👍 once all reviews finish with no findings.