feat: add authentication and RBAC

- packages/database: schema Prisma (users/sessions/roles/permissions/
  user_roles/role_permissions/audit_logs/password_reset_tokens), migration
  inicial e seed (permissoes+perfis+bootstrap super_admin com senha
  aleatoria em FIRST_LOGIN.txt). Decisao de ORM (Prisma) documentada em
  docs/ARCHITECTURE.md
- packages/shared: catalogo de permissoes (fonte unica usada por seed e API)
- apps/api: NestJS 11 + Fastify
  - autenticacao: Argon2id, access JWT + refresh token opaco com rotacao,
    cookies HttpOnly/SameSite=Lax, change/forgot/reset password
  - rate limiting progressivo de login via Redis (bloqueio crescente por IP)
  - RBAC reforcado no backend (PermissionsGuard), protecao contra
    auto-elevacao de privilegio
  - auditoria (audit_logs) nas acoes sensiveis, com redacao de segredos
  - health checks reais (postgres+redis), swagger desabilitavel, logs
    estruturados JSON com request_id de correlacao, filtro global de
    excecoes sem vazar erro cru
- infrastructure/docker/api.Dockerfile: build multi-stage do monorepo pnpm
- docker-compose.yml: servico api na rede interna, sem porta publicada

Testado via containers reais: login, /me, refresh, change-password,
rate limit (7 tentativas -> 429), RBAC (nega/permite), bloqueio de
auto-elevacao (403), audit log populado, health checks, lint e testes
unitarios passando.

packages/database/prisma/seed.ts

@@ -0,0 +1,104 @@
+import { writeFileSync, chmodSync, existsSync } from 'node:fs';
+import { resolve } from 'node:path';
+import * as argon2 from 'argon2';
+import { PrismaClient } from '@prisma/client';
+import { PERMISSIONS, DEFAULT_ROLE_PERMISSIONS } from '../../shared/src/permissions';
+import { generateStrongPassword } from '../../shared/src/generate-password';
+
+const prisma = new PrismaClient();
+
+// Caminho do arquivo mostrado uma única vez com a senha do super_admin
+// (agente.md seção 70). Nunca versionado (.gitignore).
+const FIRST_LOGIN_PATH = resolve(__dirname, '../../../FIRST_LOGIN.txt');
+
+async function seedPermissions() {
+  for (const key of PERMISSIONS) {
+    await prisma.permission.upsert({
+      where: { key },
+      update: {},
+      create: { key },
+    });
+  }
+}
+
+async function seedRoles() {
+  const allPermissions = await prisma.permission.findMany();
+  const permissionByKey = new Map(allPermissions.map((p) => [p.key, p.id]));
+
+  for (const [roleName, permissionKeys] of Object.entries(DEFAULT_ROLE_PERMISSIONS)) {
+    const role = await prisma.role.upsert({
+      where: { name: roleName },
+      update: {},
+      create: { name: roleName, isSystem: true, description: `Perfil padrão: ${roleName}` },
+    });
+
+    for (const key of permissionKeys) {
+      const permissionId = permissionByKey.get(key);
+      if (!permissionId) continue;
+      await prisma.rolePermission.upsert({
+        where: { roleId_permissionId: { roleId: role.id, permissionId } },
+        update: {},
+        create: { roleId: role.id, permissionId },
+      });
+    }
+  }
+}
+
+async function seedSuperAdmin() {
+  const existing = await prisma.user.findFirst({
+    where: { roles: { some: { role: { name: 'super_admin' } } } },
+  });
+  if (existing) {
+    console.log('[seed] super_admin já existe, pulando bootstrap de senha.');
+    return;
+  }
+
+  const superAdminRole = await prisma.role.findUniqueOrThrow({ where: { name: 'super_admin' } });
+  const password = generateStrongPassword();
+  const passwordHash = await argon2.hash(password, { type: argon2.argon2id });
+
+  const user = await prisma.user.create({
+    data: {
+      name: 'Super Admin',
+      email: 'admin@b2bcall.local',
+      passwordHash,
+      mustChangePassword: true,
+      roles: { create: { roleId: superAdminRole.id } },
+    },
+  });
+
+  const content = [
+    'B2BCall - credenciais do primeiro acesso',
+    '==========================================',
+    '',
+    `Usuário: ${user.email}`,
+    `Senha:   ${password}`,
+    '',
+    'Este arquivo é gerado UMA ÚNICA VEZ na primeira instalação.',
+    'A troca de senha será exigida no primeiro login.',
+    'Remova este arquivo do servidor após o primeiro acesso.',
+    '',
+  ].join('\n');
+
+  writeFileSync(FIRST_LOGIN_PATH, content, { mode: 0o600 });
+  chmodSync(FIRST_LOGIN_PATH, 0o600);
+  console.log(`[seed] super_admin criado. Credenciais em ${FIRST_LOGIN_PATH}`);
+}
+
+async function main() {
+  if (existsSync(FIRST_LOGIN_PATH)) {
+    console.log('[seed] FIRST_LOGIN.txt já existe — não sobrescrevendo (evita vazar/perder credencial ativa).');
+  }
+  await seedPermissions();
+  await seedRoles();
+  await seedSuperAdmin();
+}
+
+main()
+  .catch((err) => {
+    console.error(err);
+    process.exitCode = 1;
+  })
+  .finally(async () => {
+    await prisma.$disconnect();
+  });