fix: tornar a preparação para assinatura rastreável e segura

[devmnsoft]

Motivation

• Corrigir perda de histórico e necessidades de privilégio mínimo na persistência de participantes, evitando DELETE direto e preservando evidência de operações.
• Garantir integridade do PDF publicado, uso idempotente de armazenamento e contabilização segura de cota.
• Implementar validações e concorrência otimista para evitar sobrescritas concorrentes e validar origens (paciente/representante) contra snapshot.
• Oferecer conferência de prontidão e editor de participantes funcional no Studio, mantendo invariantes do documento imutável.

Description

• Banco: adiciona migration incremental 027 que introduz revisão de composição (composition_revision), evidência de confirmação (hash, chave de operação), participantes revisionados, eventos append-only (odca.signature_preparation_events), função odca.patient_document_snapshot e RLS/privilégios mínimos para odca_app.
• API: evolui ContractStudioController com validações servidor-side detalhadas, endpoints para calcular SignatureReadiness, salvar preparação com revisão (criação vs atualização), confirmar idempotente com OperationId e reabrir com justificativa e registro de evento; fortalece leitura de preparação e resposta com metadados de prontidão.
• PDF/storage: torna a publicação do PDF determinística e recuperável (nome inclui renderer+hash parcial), escreve arquivo temporário por tentativa, reutiliza artefato existente apenas se o hash bater, e reserva/debita cota usando a cota efetiva e movimentos idempotentes; download revalida hash dentro de transação RLS.
• UI: atualiza view Razor Views/Studio/Version.cshtml e controller Web para editor completo de participantes (adicionar, editar, ordenar, remover, selecionar paciente/representante do snapshot, salvar rascunho, confirmar e reabrir) e mostra resultado da conferência de prontidão.
• Contratos/C# types: amplia src/Odca.Contracts/Studio com novos DTOs (ReopenSignaturePreparationRequest, SignatureReadinessResponse, etc.) e altera SaveSignaturePreparationRequest para suportar OperationId e operações de reabertura.
• Dependências/locks: sincroniza packages.lock.json para refletir versões exigidas pela infraestrutura (Dapper e IdentityModel atualizados), sem remover o modo de restore bloqueado do CI.
• Schema version: atualiza DatabaseSchema.CurrentVersion para 27 e adiciona snapshot release database/releases/odca-v027.sql e documentação de diagnóstico/roteiro em docs/execution/FINAL_DOCUMENT_JOURNEY.md.

Testing

• ✅ Validações locais de integridade textual e checksums das 27 migrations e igualdade entre database/odca.sql e database/releases/odca-v027.sql passaram.
• ✅ npm run build (assets web) executou com sucesso e validou 8 assets.
• ✅ Verificações estáticas e git diff --check/linters textuais passaram localmente antes do commit.
• ⚠️ dotnet restore Odca.sln --locked-mode, dotnet build e dotnet test não foram executados neste ambiente porque o SDK .NET 10.0.400 e runtime não estão instalados; tentativa de instalar o SDK falhou com HTTP 403 no instalador oficial, portanto as suites .NET/Integration/PostgreSQL (cenários com role odca_app, concorrência e recuperação) permanecem bloqueadas e documentadas como dependência de homologação.
• ⚠️ Testes que exigem PostgreSQL/Docker, execução real da API e inspeção visual/validação PDF em runtime não foram executados aqui e fazem parte do roteiro de homologação fornecido no PR.

---

Codex Task

[chatgpt-codex-connector]

Codex Review Summary

This comment shows the latest Codex review activity on this pull request.

Review	Status	Commit	Review trigger
🔒 Security Review	✅ Completed 2026-09-24T23:07:21.363815Z	c4679c1	PR opened

ℹ️ About Codex in GitHub

Your team has set up Codex to review pull requests in this repo. Reviews are triggered when you

• Open a pull request for review
• Mark a draft as ready
• Comment "@codex review" or "@codex security review".

Codex reacts with 👀 while any review is running, comments if it has suggestions, and reacts with 👍 once all reviews finish with no findings.