Neosrate

Cada request passa pelo SecurityFilter que extrai o token do header Authorization, valida assinatura HMAC256 via Auth0 SDK e injeta o UserDetails no SecurityContext. CSRF desabilitado — sem cookie de sessão. Token carrega userId, username e email como claims, sem roundtrip ao banco para identificar o caller.

Imagens de perfil, fotos de comunidade e mídia de posts vão direto para S3 — banco guarda só o file_path. S3Service valida tipo de arquivo (JPEG, PNG, GIF, MP4) antes do upload e usa naming com timestamp para evitar colisão. Novos usuários e comunidades recebem imagem padrão via cópia server-side no próprio S3, sem trafegar o arquivo.

Deleção de usuário ou comunidade limpa todas as tabelas relacionadas (posts, comentários, likes, memberships, perfil) via chamadas sequenciais aos repositories dentro de um único @Transactional. A ordem é explícita e rastreável.

Auth vive em quatro chaves no localStorage (authenticated, token, userId, username). No carregamento da app, o token é decodificado com jwt-decode para checar expiração sem roundtrip ao servidor. Estado de autenticação propagado por props onde necessário.

Posts usam paginação no servidor: maxPerPagecresce +10 a cada “carregar mais”, API retorna só o slice necessário. Comentários são fetched de uma vez e fatiados no cliente: comments.filter(c => c.postId === id).slice(0, maxComments).