Update routes/users.py

routes/users.py

@@ -50,6 +50,23 @@ def get_cached_admin_status(user_id: str) -> bool:
     user_info = response.json()[0]
     return user_info.get("is_admin", False)
 
+# Nova função para verificar permissões de usuário
+async def get_user_permissions(user_id: str) -> Dict[str, bool]:
+    """Obtém as permissões de um usuário"""
+    user_data_url = f"{SUPABASE_URL}/rest/v1/User?id=eq.{user_id}&select=is_admin,view_users,manage_users"
+    
+    async with aiohttp.ClientSession() as session:
+        async with session.get(user_data_url, headers=SUPABASE_HEADERS) as response:
+            if response.status != 200 or not await response.json():
+                return {"is_admin": False, "view_users": False, "manage_users": False}
+            
+            user_info = (await response.json())[0]
+            return {
+                "is_admin": user_info.get("is_admin", False),
+                "view_users": user_info.get("view_users", False),
+                "manage_users": user_info.get("manage_users", False)
+            }
+
 async def verify_admin_token(user_token: str) -> str:
     """Verifica se o token pertence a um administrador de forma assíncrona"""
     headers = {
@@ -75,13 +92,54 @@ async def verify_admin_token(user_token: str) -> str:
     
     return user_id
 
+# Nova função para verificar token e retornar ID do usuário e permissões
+async def verify_token_with_permissions(user_token: str, required_permission: Optional[str] = None) -> Dict[str, Any]:
+    """Verifica o token e retorna ID do usuário e suas permissões"""
+    headers = {
+        "Authorization": f"Bearer {user_token}",
+        "apikey": SUPABASE_KEY,
+        "Content-Type": "application/json"
+    }
+    
+    async with aiohttp.ClientSession() as session:
+        async with session.get(f"{SUPABASE_URL}/auth/v1/user", headers=headers) as response:
+            if response.status != 200:
+                raise HTTPException(status_code=401, detail="Token inválido ou expirado")
+            
+            user_data = await response.json()
+            user_id = user_data.get("id")
+            if not user_id:
+                raise HTTPException(status_code=400, detail="ID do usuário não encontrado")
+    
+    # Obter permissões do usuário
+    permissions = await get_user_permissions(user_id)
+    
+    # Verificar se é admin
+    is_admin = permissions.get("is_admin", False)
+    
+    # Verificar permissão específica, se requisitada
+    if required_permission:
+        has_permission = permissions.get(required_permission, False)
+        if not has_permission:
+            raise HTTPException(
+                status_code=403, 
+                detail=f"Acesso negado: permissão '{required_permission}' necessária"
+            )
+    
+    return {
+        "user_id": user_id,
+        "is_admin": is_admin,
+        "permissions": permissions
+    }
+
 async def get_recent_users(limit: int = 50, search: Optional[str] = None, page: int = 0) -> Dict[str, Any]:
     """Obtém os usuários mais recentes da plataforma, com filtro opcional por nome e paginação"""
     try:
         offset = page * limit
         limit_plus_one = limit + 1
         
-        query = f"{SUPABASE_URL}/rest/v1/User?select=id,name,avatar,role,blurhash&order=created_at.desc&limit={limit_plus_one}&offset={offset}"
+        # Adicionada condição para filtrar apenas usuários não-admin
+        query = f"{SUPABASE_URL}/rest/v1/User?select=id,name,avatar,role,blurhash&is_admin=eq.false&order=created_at.desc&limit={limit_plus_one}&offset={offset}"
         
         if search:
             search_term = search.replace("'", "''")
@@ -124,7 +182,9 @@ async def get_recent_users_endpoint(
     com suporte a busca por nome e paginação.
     """
     try:
-        user_id = await verify_admin_token(user_token)
+        # Verificar se o usuário tem permissão para visualizar usuários
+        user_info = await verify_token_with_permissions(user_token, "view_users")
+        
         result = await get_recent_users(limit, search, page)
         
         return {
@@ -151,8 +211,9 @@ async def update_user(
     Usa a chave de serviço para bypassar RLS do Supabase.
     """
     try:
-        # Verificar se o usuário é um administrador
-        admin_id = await verify_admin_token(user_token)
+        # Verificar se o usuário tem permissão para gerenciar usuários
+        user_info = await verify_token_with_permissions(user_token, "manage_users")
+        admin_id = user_info["user_id"]
         
         # Validar os parâmetros da requisição
         user_id = request.get("user_id")
@@ -232,7 +293,7 @@ async def delete_feed(
     try:
         await verify_admin_token(user_token)
 
-        feed_id = request.feed_id  # <- AQUI!
+        feed_id = request.feed_id
 
         headers = SUPABASE_ROLE_HEADERS.copy()
         headers["Accept"] = "application/json"
@@ -312,7 +373,8 @@ async def get_user_name(
     incluindo seus feeds e uma imagem de portfólio para cada feed.
     """
     try:
-        await verify_admin_token(user_token)
+        # Verificar se o usuário tem permissão para visualizar usuários
+        user_info = await verify_token_with_permissions(user_token, "view_users")
 
         # Buscar informações básicas do usuário
         user_query = f"{SUPABASE_URL}/rest/v1/User?select=name,avatar,role,fee&id=eq.{user_id}"