Como validar CPF em marketplaces de produtos digitais (cursos, e-books)

const express = require("express");
const axios = require("axios");
const crypto = require("crypto");

const app = express();
app.use(express.json());

const CPFHUB_API_URL = "https://api.cpfhub.io/cpf";
const CPFHUB_API_KEY = "SUA_CHAVE_DE_API";
const REQUEST_TIMEOUT = 10000; // 10 segundos

// Simulação de banco de dados
const compradores = new Map();
const produtores = new Map();
const compras = new Map();
const cpfsRegistrados = new Set();

function limparCpf(cpf) {
    return cpf.replace(/\D/g, "");
}

async function consultarCpf(cpf) {
    const cpfLimpo = limparCpf(cpf);

    try {
    const response = await axios.get(`${CPFHUB_API_URL}/${cpfLimpo}`, {
    headers: {
    "x-api-key": CPFHUB_API_KEY,
    Accept: "application/json",
    },
    timeout: REQUEST_TIMEOUT,
    });

    if (response.data.success) {
    return response.data.data;
    }
    return null;
    } catch (error) {
    if (error.code === "ECONNABORTED") {
    throw new Error("Timeout na consulta de CPF");
    }
    if (error.response) {
    const { status } = error.response;
    if (status === 401) throw new Error("API key inválida");
    if (status === 404) return null;
    }
    throw new Error("Erro na consulta de CPF");
    }
}

// Cadastro de comprador
app.post("/api/comprador/cadastro", async (req, res) => {
    const { nome, email, cpf } = req.body;

    if (!cpf || !nome || !email) {
    return res.status(400).json({
    erro: "Nome, email e CPF são obrigatórios",
    });
    }

    const cpfLimpo = limparCpf(cpf);

    if (cpfsRegistrados.has(cpfLimpo)) {
    return res.status(409).json({
    erro: "Este CPF já está cadastrado na plataforma",
    });
    }

    try {
    const dados = await consultarCpf(cpfLimpo);
    if (!dados) {
    return res.status(422).json({
    erro: "CPF não encontrado na base de dados",
    });
    }

    const id = crypto.randomUUID();

    compradores.set(id, {
    id,
    nome: dados.name,
    email,
    cpf: cpfLimpo,
    dataNascimento: dados.birthDate,
    genero: dados.gender,
    tipo: "COMPRADOR",
    verificado: true,
    criadoEm: new Date().toISOString(),
    });

    cpfsRegistrados.add(cpfLimpo);

    res.json({
    sucesso: true,
    compradorId: id,
    nome: dados.name,
    });
    } catch (error) {
    res.status(503).json({ erro: error.message });
    }
});

// Cadastro de produtor (validação mais rigorosa)
app.post("/api/produtor/cadastro", async (req, res) => {
    const { nome, email, cpf, nomeTitularBanco } = req.body;

    if (!cpf || !nome || !email || !nomeTitularBanco) {
    return res.status(400).json({
    erro: "Nome, email, CPF e nome do titular bancário são obrigatórios",
    });
    }

    const cpfLimpo = limparCpf(cpf);

    if (cpfsRegistrados.has(cpfLimpo)) {
    return res.status(409).json({
    erro: "Este CPF já está cadastrado na plataforma",
    });
    }

    try {
    const dados = await consultarCpf(cpfLimpo);
    if (!dados) {
    return res.status(422).json({
    erro: "CPF não encontrado na base de dados",
    });
    }

    // Verificação rigorosa: nome da API deve corresponder ao titular bancário
    const nomeApi = dados.nameUpper || dados.name.toUpperCase();
    const nomeBanco = nomeTitularBanco.toUpperCase().trim();

    const primeiroPalavraApi = nomeApi.split(" ")[0];
    const primeiroPalavraBanco = nomeBanco.split(" ")[0];
    const ultimaPalavraApi = nomeApi.split(" ").pop();
    const ultimaPalavraBanco = nomeBanco.split(" ").pop();

    if (
    primeiroPalavraApi !== primeiroPalavraBanco ||
    ultimaPalavraApi !== ultimaPalavraBanco
    ) {
    return res.status(422).json({
    erro: "O nome no CPF não corresponde ao titular da conta bancária",
    detalhe:
    "O primeiro e último nome devem ser idênticos para garantir " +
    "que os repasses financeiros cheguem ao titular correto.",
    });
    }

    const id = crypto.randomUUID();

    produtores.set(id, {
    id,
    nome: dados.name,
    nomeUpper: dados.nameUpper,
    email,
    cpf: cpfLimpo,
    dataNascimento: dados.birthDate,
    genero: dados.gender,
    nomeTitularBanco,
    tipo: "PRODUTOR",
    verificado: true,
    criadoEm: new Date().toISOString(),
    });

    cpfsRegistrados.add(cpfLimpo);

    res.json({
    sucesso: true,
    produtorId: id,
    nome: dados.name,
    mensagem: "Cadastro de produtor verificado com sucesso",
    });
    } catch (error) {
    res.status(503).json({ erro: error.message });
    }
});

// Compra de produto digital
app.post("/api/compra", async (req, res) => {
    const { compradorId, produtoId, valorTotal } = req.body;

    const comprador = compradores.get(compradorId);
    if (!comprador) {
    return res.status(404).json({ erro: "Comprador não encontrado" });
    }

    if (!comprador.verificado) {
    return res.status(403).json({
    erro: "CPF do comprador precisa ser verificado",
    });
    }

    // Para compras acima de R$ 500, revalida o CPF
    const LIMITE_REVALIDACAO = 500;
    if (valorTotal > LIMITE_REVALIDACAO) {
    try {
    const dadosAtuais = await consultarCpf(comprador.cpf);
    if (!dadosAtuais) {
    return res.status(422).json({
    erro: "Falha na revalidação de CPF para compra de alto valor",
    });
    }
    } catch (error) {
    return res.status(503).json({
    erro: "Não foi possível revalidar o CPF. Tente novamente.",
    });
    }
    }

    // Verifica se já comprou este produto
    const compraExistente = [...compras.values()].find(
    (c) => c.compradorId === compradorId && c.produtoId === produtoId
    );

    if (compraExistente) {
    return res.status(409).json({
    erro: "Você já adquiriu este produto",
    compraId: compraExistente.id,
    });
    }

    const compraId = `COMPRA-${Date.now()}`;

    // Gera chave de acesso vinculada ao CPF (anti-pirataria)
    const chaveAcesso = crypto
    .createHash("sha256")
    .update(`${comprador.cpf}-${produtoId}-${compraId}`)
    .digest("hex")
    .substring(0, 32);

    compras.set(compraId, {
    id: compraId,
    compradorId,
    cpfComprador: comprador.cpf,
    produtoId,
    valorTotal,
    chaveAcesso,
    status: "ATIVO",
    criadoEm: new Date().toISOString(),
    });

    res.json({
    sucesso: true,
    compraId,
    chaveAcesso,
    mensagem: "Compra realizada. Acesso liberado.",
    });
});

// Verificar acesso ao produto (anti-pirataria)
app.get("/api/acesso/:compraId", (req, res) => {
    const { compraId } = req.params;
    const { chaveAcesso } = req.query;

    const compra = compras.get(compraId);
    if (!compra) {
    return res.status(404).json({ erro: "Compra não encontrada" });
    }

    if (compra.chaveAcesso !== chaveAcesso) {
    return res.status(403).json({ erro: "Chave de acesso inválida" });
    }

    if (compra.status !== "ATIVO") {
    return res.status(403).json({
    erro: "Acesso desativado",
    motivo: compra.status,
    });
    }

    res.json({
    sucesso: true,
    produtoId: compra.produtoId,
    cpfMascarado:
    compra.cpfComprador.substring(0, 3) +
    ".***.***-" +
    compra.cpfComprador.substring(9),
    });
});

app.listen(3000, () => {
    console.log("Servidor rodando na porta 3000");
});