# Subir com config de prod
docker compose -f docker-compose.prod.yml up -d --build

# Rodar dev normalmente (sem mudança)
docker compose up -d --build

// respondWithToken() agora seta cookie httpOnly em vez de retornar o token no body
return response()->json(['token_type' => 'bearer', 'expires_in' => ..., 'user' => ...])
    ->cookie('pacs_access_token', $token, $ttlMinutes, '/', null,
        env('SESSION_SECURE_COOKIE', false),  // false em dev (HTTP), true em prod (HTTPS)
        true,   // httpOnly — JS nunca acessa
        false, 'Lax'
    );

// logout() limpa o cookie via Set-Cookie
return response()->json([...])->withoutCookie('pacs_access_token');

// Lê o JWT do cookie httpOnly e promove para Authorization: Bearer
// Permite que o guard JWT (tymon/jwt-auth) valide o token sem nenhuma mudança
if (!$request->bearerToken() && $token = $request->cookie('pacs_access_token')) {
    $request->headers->set('Authorization', 'Bearer ' . $token);
}

'supports_credentials' => true,                             // obrigatório para withCredentials
'allowed_origins' => [env('FRONTEND_URL', 'http://localhost:3000')],  // não pode ser '*'

export const apiClient = axios.create({
  baseURL: API_BASE_URL,
  withCredentials: true,  // browser envia pacs_access_token automaticamente
});
// Interceptor de Authorization: Bearer removido — não é mais necessário

# antes — docker/orthanc-cors-proxy/nginx.conf
add_header Access-Control-Allow-Origin * always;

add_header Access-Control-Allow-Origin "${ALLOWED_ORIGIN}" always;

orthanc-cors-proxy:
  volumes:
    - ./docker/orthanc-cors-proxy/nginx.conf.template:/etc/nginx/nginx.conf.template:ro
  environment:
    - ALLOWED_ORIGIN=${ALLOWED_ORIGIN:-http://localhost:3001}
  command: >
    sh -c "envsubst '$$ALLOWED_ORIGIN' < /etc/nginx/nginx.conf.template > /etc/nginx/nginx.conf && nginx -g 'daemon off;'"

orthanc-cors-proxy:
  environment:
    - ALLOWED_ORIGIN=${ALLOWED_ORIGIN}

ALLOWED_ORIGIN=http://localhost:3001   # produção: https://viewer.seudominio.com.br

postgres:
  ports:
    - "5432:5432"   # exposto ao host — desnecessário em prod

redis:
  ports:
    - "6379:6379"   # exposto ao host — sem auth

redis:
  command: >
    sh -c "redis-server $${REDIS_PASSWORD:+--requirepass $$REDIS_PASSWORD}"
  healthcheck:
    test: ["CMD", "sh", "-c", "redis-cli $${REDIS_PASSWORD:+-a $$REDIS_PASSWORD} ping"]

backend:
  build:
    dockerfile: ./docker/php/Dockerfile.prod
  volumes: !reset          # remove bind mount do código
    - pacs_storage:/app/pacs_mount

frontend:
  build:
    dockerfile: ./docker/nextjs/Dockerfile.prod
    args:
      NEXT_PUBLIC_API_BASE_URL: ${NEXT_PUBLIC_API_BASE_URL}
      NEXT_PUBLIC_OHIF_VIEWER_URL: ${NEXT_PUBLIC_OHIF_VIEWER_URL}
  volumes: !reset []       # remove bind mount do código e node_modules

worker:
  build:
    dockerfile: ./docker/python/Dockerfile.prod
  volumes: !reset          # remove bind mount do código
    - pacs_storage:/app/storage

# docker-compose.prod.yml
backend:
  command: php artisan octane:start --server=roadrunner --host=0.0.0.0 --port=8000 --workers=auto

Internet :443/:80
  → pacs_caddy (Caddy 2 Alpine — TLS automático via Let's Encrypt)
      → frontend:3000          (app.suaempresa.com.br)
      → backend:8000           (api.suaempresa.com.br)
      → ohif:80                (viewer.suaempresa.com.br)
      → orthanc-cors-proxy:80  (viewer.suaempresa.com.br/dicom-proxy/*)

caddy:
  image: caddy:2-alpine
  container_name: pacs_caddy
  ports:
    - "80:80"
    - "443:443"
    - "443:443/udp"
  volumes:
    - ./docker/caddy/Caddyfile:/etc/caddy/Caddyfile:ro
    - caddy_data:/data
    - caddy_config:/config
  environment:
    - ACME_EMAIL=${ACME_EMAIL}

ACME_EMAIL=seuemail@suaempresa.com.br
NEXT_PUBLIC_API_BASE_URL=https://api.suaempresa.com.br/api
NEXT_PUBLIC_OHIF_VIEWER_URL=https://viewer.suaempresa.com.br
ALLOWED_ORIGIN=https://viewer.suaempresa.com.br

Route::post('/login', [AuthController::class, 'login'])->middleware('throttle:10,1');
// 10 tentativas por minuto por IP — após isso, retorna 429 Too Many Requests

// Dev (atual)
const nextConfig: NextConfig = {
  allowedDevOrigins: ["localhost", "127.0.0.1", "0.0.0.0", "172.17.0.1"]
};

// Prod — remover a chave inteira, não tem efeito em next start
const nextConfig: NextConfig = {};

# docker-compose.prod.yml
backend:
  deploy:
    resources:
      limits:
        cpus: '2'
        memory: 1G

worker:
  deploy:
    resources:
      limits:
        cpus: '1'
        memory: 512M

# Re-enfileira todos os estudos do Orthanc não indexados
docker exec pacs_backend php artisan pacs:requeue

# Só os estudos sem modalidade indexada
docker exec pacs_backend php artisan pacs:requeue --only-missing-modalities

FROM ohif/app:latest
COPY docker/ohif/app-config.prod.js /usr/share/nginx/html/app-config.js
RUN rm -f /usr/share/nginx/html/app-config.js.gz

# ERRADO — volumes ficam vazios
backend:
  volumes: !reset
    - pacs_storage:/app/pacs_mount

# CORRETO — substitui os bind mounts do dev pelo volume nomeado
backend:
  volumes: !override
    - pacs_storage:/app/pacs_mount

1. ✅ docker-compose.prod.yml base (items 3, 4, 8, 9)
2. ✅ Dockerfiles de produção para backend, frontend e worker (items 6, 7)
3. ✅ Cookie httpOnly — AuthController, SetBearerFromCookie, client.ts, cors.php (item 1)
4. ✅ CORS do nginx proxy → variável de ambiente (item 2)
5. ✅ Rate limiting no login (item 11)
6. ✅ Caddy em Docker como reverse proxy com TLS automático (item 10)
7. ✅ Gerar e configurar secrets fortes (item 5) — feito no servidor, não em código
8. Backup, resource limits, health checks (items 14-16)