BK-149 · Hardening de permissoes e arquivos runtime do social

Natureza deste arquivo

• Este backlog vivo registra o escopo funcional e documental do BK-149.
• O histórico final desta entrega fica em docs/changelog/2026/CL-2026-03-19-BK-149.md.

Status

• Estado do BK: concluído e regularizado documentalmente
• Responsável: codex
• Branch técnica em fechamento: vps/BK-149-hardening-social

Problema

• O fluxo social ainda usava padrões frágeis de 0777/0666 em diretórios, locks, states e runtimes de fallback.
• O endurecimento cego para 0755/0644 também quebraria os caminhos multi-worker compartilhados entre cron CLI e painel web.
• A política do relay ainda mantinha documentação ambígua sobre permissões frouxas.

Objetivo

• Diferenciar paths exclusivos do backend de paths multi-worker compartilhados.
• Endurecer o que é read-only sem quebrar a escrita cruzada legítima entre cron e painel.
• Registrar checklist operacional e rollback canônicos para o relay/runtime social.

Escopo entregue

• admin/cron/sync_facebook_events.php
• state/lock/shared runtime passaram a tentar 0664 com fallback explícito para 0666;
• diretórios compartilhados passaram a tentar 02775 com fallback explícito para 0777;
• artefatos read-only ficaram em 0644 / 0755;
• falhas de criação/permissão passaram a gerar error_log explícito.
• admin/cron/sync_facebook_page_events.php
• runtime do fallback browser passou a criar diretórios compartilhados com política alinhada;
• queue/sample usados pelo painel de approval agora recebem permissão de escrita compartilhada;
• falhas de persistência passaram a abortar com erro claro.
• docs/AI_CEREBRO_RELAY.md
• política base de permissões reescrita;
• checklist operacional e rollback registrados;
• 777 deixou de ser instrução padrão e virou rollback emergencial.

Fora de escopo

• Não houve mudança cega de owner/grupo.
• Não houve hardening global do projeto fora do fluxo social.
• Não houve refatoração grande dos crons.

Validações executadas

• php -l admin/cron/sync_facebook_events.php
• php -l admin/cron/sync_facebook_page_events.php
• git diff --check

Path List

• admin/cron/sync_facebook_events.php
• admin/cron/sync_facebook_page_events.php
• docs/AI_CEREBRO_RELAY.md
• docs/BACKLOG.md
• docs/CHANGELOG.md
• docs/LOCK.md
• docs/backlog/BK-149-hardening-permissoes-runtime-social.md
• docs/changelog/2026/CL-2026-03-19-BK-149.md