Segurança/Multiplayer: action start não exige status = lobby — um POST reinicia corrida em andamento (route.ts:147-164) #131

Contexto

A action start (src/app/api/rooms/[code]/route.ts:147-164) só verifica isLeader. Ela não
exige que a sala esteja em lobby — o update é incondicional no status:

const res = await applyRoomUpdate(sb, code, "start", {
  status: "racing", snippet, start_at: startAt, results: null
});

Ou seja: start postado no meio de uma corrida em andamento sorteia um snippet novo, zera
results e joga start_at para Date.now() + COUNTDOWN_MS (4 s no futuro), para todo mundo que
está digitando.

Como reproduzir (anônimo, sem login)

1. GET /api/rooms lista as salas públicas com o código (src/app/api/rooms/route.ts).
2. GET /api/rooms/<code> faz select("*") e devolve leader_id em claro.
3. Com a corrida rolando: POST /api/rooms/<code> {"action":"start","playerId":"<leader_id>"}.

O passo 3 nem precisa de sequestro quando a sala é sua; e a #6 (claim-leader sem autorização, já
decisao-dono) dá o passo 2 de graça em qualquer sala.

Por que é bug próprio, e não parte da #34

Independe de anti-cheat: hoje, na main, um start no meio da corrida já destrói a partida em
andamento de todos os jogadores da sala (snippet trocado embaixo dos dedos, results zerado). O
custo disso sobe se a #34 entrar com um filtro que descarta linha por tempo decorrido: start_at no
futuro faz o finish seguinte ver elapsed = 0 e apagar todos os resultados honestos, com a
sala flipando para finished com results: [] (achado das três lentes no quórum da PR #119, SHA
2247d44).

Acceptance criteria

• start só transiciona a partir de lobby — update condicional (.eq("status", "lobby"), no
  mesmo padrão do finish, que já usa .eq("status", "racing")), não checagem lida antes.
• start numa sala em racing/finished responde erro honesto (409) sem tocar snippet,
  start_at nem results.
• Revanche continua funcionando: o caminho real do produto é reset (→ lobby) e só então
  start — confirmar no fluxo de useRoom/RoomView que nenhum caminho legítimo chama start
  direto de finished.
• Teste em src/lib/room.test.ts (ou espelho em scripts/validate-persistence.mjs) cobrindo
  start fora de lobby.

Achado pelo PR Doctor durante o quórum da PR #119 (rodada de 2026-08-05).