Checklist — Vingadores: Doutor Destino

Checklist das 15 produções essenciais (14 filmes e 1 série) para assistir antes da estreia de Vingadores: Doutor Destino (Avengers: Doomsday), em 17/12/2026. Funcionalidades:

• contagem regressiva até a estreia (00:00, horário de Brasília);
• cadastro e login simples, sem senha (nome, e-mail e WhatsApp), com sessão por cookie, consentimento LGPD e exclusão do perfil;
• marcação de "assistido" com data editável e ordem em que cada título foi visto;
• progresso salvo no Postgres (Neon) e em cache no localStorage.

A lista oficial está em ListadefilmeseseriesparaVingadoresDoomsday.md.

Stack

• Frontend: HTML, CSS e JavaScript puros em public/drdestino/, sem framework e sem etapa de build.
• Backend: handlers Node no formato de Vercel Functions em api/.
• Banco: Postgres no Neon, provisionado pelo Marketplace da Vercel (recurso marvel-doutor-destino-db), acessado com @neondatabase/serverless.

Estrutura

public/drdestino/     Site estático (index.html, app.js, style.css, assets/)
api/auth.js          Cadastro, login, logout, aceite de privacidade, exclusão do perfil
api/movies.js        GET/POST/DELETE /api/movies (progresso do usuário logado)
api/_lib/db.js       Conexão com o Neon e definição do esquema
api/_lib/session.js  Criação, leitura e remoção de sessões (cookie httpOnly)
api/_lib/login-limit.js  Limite de tentativas de login por e-mail e por IP
scripts/migrate.js   Aplica o esquema no banco (npm run db:migrate / db:migrate:prod)
server.js            Servidor HTTP local: serve public/ e roteia /api/*
selos/               Kit original dos selos "Desenvolvido por Nexum ID" (não publicado)
favicon/             Kit dos ícones da marca, versão colorida com fundo branco (não publicado; ver
                     LEIA-ME.md). A app usa favicon.svg, favicon.ico, apple-touch-icon.png e
                     android-chrome-192.png, copiados para public/drdestino/assets/icons/ como
                     nexum-branco.*; ao trocar o ícone, use nomes novos (cache de 1 ano)
vercel.json          Configuração de deploy (diretório public/, headers e cache)

Arquivos em api/_lib/ começam com _ para que a Vercel não os publique como funções.

Rodando localmente

Requer Node.js 22 ou superior e a Vercel CLI logada no time do projeto.

npm install
vercel link --project marvel-doutor-destino
vercel env pull .env.local --yes
npm run db:migrate
npm run dev

O app sobe em http://localhost:3000/drdestino (use a variável PORT para trocar a porta), e o servidor mostra no terminal qual banco está usando.

Banco de desenvolvimento. O .env.local (do vercel env pull) aponta para o banco de produção. Para testar sem tocar nos dados reais, crie uma branch no Neon (Vercel → Storage → marvel-doutor-destino-db → Open in Neon → Branches; de preferência schema only) e crie na raiz o arquivo .env.development.local com a linha DATABASE_URL=<connection string da branch>. O server.js e o npm run db:migrate leem esse arquivo antes do .env.local, e o vercel env pull não o sobrescreve. Ambos ficam fora do Git (.env*).

Sem o .env.development.local, o ambiente local usa o banco de produção. Apague os dados de teste depois de testar.

Sessão e autenticação

• Login e cadastro criam uma sessão: um token aleatório de 32 bytes vai para o cookie md_session (HttpOnly, SameSite=Lax, Secure na Vercel, validade de 30 dias), e só o hash SHA-256 do token fica na tabela sessions.
• As rotas de progresso identificam o usuário apenas pela sessão. Qualquer userId enviado pelo cliente é ignorado.
• O logout apaga a sessão no banco e expira o cookie.
• A API não envia cabeçalhos CORS: ela só é usada pela própria página, na mesma origem.
• Login: e-mail + WhatsApp. E-mail inexistente e WhatsApp errado recebem a mesma resposta (401, "E-mail ou WhatsApp não conferem."), para não revelar quem tem cadastro. Cada falha fica em login_attempts; com 5 falhas do mesmo e-mail ou 20 do mesmo IP em 15 minutos, o login responde 429 até a janela passar. Um login certo zera as falhas daquele e-mail.

Privacidade (LGPD)

• O cadastro exige marcar o aceite da Política de Privacidade (o botão só é liberado com a caixa marcada) e a API recusa com 400 um cadastro sem privacy_accepted: true. O aceite fica em users.privacy_accepted_at.
• A caixa "Quero receber novidades da Nexum.iD" é opcional e vem desmarcada; grava users.marketing_opt_in e marketing_opt_in_at.
• Quem se cadastrou antes do aviso (privacy_accepted_at IS NULL) vê, depois de entrar, um aviso único com as mesmas duas caixas. Pode aceitar (action: "accept_privacy") ou sair.
• "Excluir perfil", no menu do usuário, apaga o registro em users após confirmação; o ON DELETE CASCADE remove o progresso e as sessões.

Coluna/tabela	Conteúdo
users.privacy_accepted_at	Data do aceite da política
users.marketing_opt_in, marketing_opt_in_at	Opt-in de comunicações e a data
login_attempts	Falhas de login (e-mail, IP, data), apagadas após 1 dia

Depois de mudar o esquema em api/_lib/db.js, rode npm run db:migrate (branch de desenvolvimento) e npm run db:migrate:prod (produção) antes do deploy.

以上为 README 的开头部分。其余内容请阅读原文。 查看完整 README ↗