Segurança/API: language e difficulty entram no banco sem allowlist e vazam para matches/scores #35

O buraco

As duas rotas de sala gravam language e difficulty direto no banco, sem allowlist:

• src/app/api/rooms/route.ts:58-59 (criar sala) — language: settings.language || "javascript", difficulty: settings.difficulty || "medium".
• src/app/api/rooms/[code]/route.ts:48-49 (action settings) — language: s.language || room.language, idem difficulty.

Qualquer string passa: nome inventado, 2 MB de lixo, caracteres de controle. maxPlayers é o único campo validado (Math.min(Math.max(...), 12)) — os outros dois entram crus.

Por que importa (não fica preso na sala)

O persistMatch copia room.language e room.difficulty para matches e scores ([code]/route.ts:110-131), que alimentam o leaderboard global público e seus filtros. Ou seja: um POST direto na API injeta linguagem/dificuldade arbitrária no ranking que todo mundo vê. As colunas são text not null sem CHECK (supabase/migrations/0001_coderacer_init.sql), então o banco aceita.

Efeitos:

• Poluição do dado público — o filtro por linguagem do leaderboard ganha entradas fantasma; a UI renderiza a string do banco.
• Storage abuse — nenhum limite de tamanho em nenhuma camada: um language de megabytes é gravado e depois replicado por Realtime para todos os clientes da sala (a rooms tem replica identity full, 0002_realtime_rooms.sql).
• Divergência silenciosa — pickSnippet normaliza na hora de sortear o snippet (snippets.ts:2721-2733), então a sala joga em JavaScript enquanto a coluna diz outra coisa. O dado do ranking mente sem ninguém notar.

O React escapa a string, então não é XSS — é integridade de dado e abuso de armazenamento.

Acceptance criteria

• Validação de fronteira nas duas rotas: language só é aceito se pertencer às linguagens suportadas de src/lib/languages.ts; difficulty só se for easy|medium|hard.
• Valor inválido → 400 com mensagem clara (não silenciosamente trocado pelo default): a rota é a fronteira, e falhar alto revela cliente quebrado ou ataque. Ausente/undefined continua caindo no default de hoje (javascript/medium) — não quebre o fluxo legítimo.
• Reuso, sem lista nova: a normalização já existe em src/lib/languages.ts / normalizeLang (usada por pickSnippet). Exporte um isValidLang / isValidDifficulty puros e chame das duas rotas — uma fonte de verdade, nunca duas listas para dessincronizar.
• Cinto e suspensório no banco: nova migration aditiva e idempotente em supabase/migrations/ (p.ex. 0004_) com CHECK de difficulty in ('easy','medium','hard') e um teto de comprimento em language nas 3 tabelas (rooms, matches, scores), via alter table ... add constraint if not exists / bloco do $$ guardado. Agente só cria o arquivo — o dono aplica (CLAUDE.md / HANDBOOK §8).
• validate-persistence.mjs cobre os validadores puros: linguagem/dificuldade válida passa · inválida rejeita · ausente cai no default.
• Fluxo real intacto: criar sala pelas 14 linguagens do modal e trocar dificuldade no lobby continua funcionando.

Fora de escopo (não faça aqui)

Rate limiting em POST /api/rooms (criação ilimitada de salas → spam na home pública). É um problema real e adjacente, mas exige escolher mecanismo (KV/Upstash = dependência/serviço novo → HANDBOOK §7.1, decisão do dono). Fica registrado para uma rodada futura; não puxe para dentro desta issue.

Área de quórum

Toca src/app/api/rooms/** + migration aditiva → HANDBOOK §7.2: PR non-draft com a linha exata Solicito quórum (HANDBOOK §7).