[uaikauaa]

Resultado

Prepara a conexão futura com o Neon original sem acessá-lo. Remove ThreadLocal da emissão JWT e passa sessionId explicitamente; comprova revogação após nova JVM com a mesma chave, preservação de outra sessão e rejeição de replay.

Validação

• PR Etapa 3.5: vincular access tokens à sessão e fechar auditoria #29/SHA ba18f6c: quatro workflows success. Diferença 857/889 explicada: os .txt sobrescreveram resumos de testes aninhados (28 + 4); XMLs locais e CI totalizam 889.
• Maven clean verify: 893 testes, zero falhas/erros/skips.
• Chromium/Next/Spring/PostgreSQL/Mailpit: 3 testes reais passaram, com busca, paginação, vazio, formulário/erro real, CSV e recuperação com 2FA.
• SUPER_ADMIN, OPERADOR_GERAL e delegados: mutações válidas críticas e negativas, OS/estorno/financeiro/PDF, CONSULTA minimizada.
• Reinício com mesma chave: A revogada=401, B=200; refresh mantém UUID; replay rejeitado. Limitador distribuído e outbox com duas JVMs passaram.
• Build, lint, tipos E2E, TLS/SMTP local, auditor offline sanitizado e Compose sintético passaram. npm audit produção: zero.

Bloqueios explícitos — NO-GO para homologação definitiva

• Timing recuperação: 120 pares após warmup; medianas 13,835 vs 8,6162 ms; diferença pareada IC95% [4,9331; 5,5141] ms, p≈0,0001. Não é equivalência; mitigação revisada pendente.
• Configuração privada incompleta/divergente: outbox, URL pública, bootstrap, perfil/cookies/CORS e TLS efetivo requerem fechamento. Apenas presença e verificações booleanas foram publicadas.
• Identidade oficial Neon, autorização diagnóstica específica, backup cifrado restaurado e ensaio V25–V28 na cópia real ainda pendentes.
• PR docs: governança de segurança separada da Etapa 3.3 #26 permanece draft com falha histórica de Integração Real; localização da falha documentada, sem supor causa.

Relatório: docs/admin-rbac/stage4a-prehomologation.md.
Runbook: docs/admin-rbac/stage4a-neon-runbook.md.
Evidências: docs/admin-rbac/evidence-stage4a/.

O runbook cobre diagnóstico READ ONLY, TLS verify-full, backup/restore, constraints/históricos, migrations, escritores de startup, ativação/rollback, SUPER_ADMIN por convite com senha do titular e 2FA e transição da Geisa preservando o registro (novo login exigido pela revogação oficial).

Nenhum acesso SQL/backup/migration no Neon original, conta real, mudança de papel real, merge ou deploy foi feito. Manter draft. Cada operação futura exige autorização própria.