[eduardomatuella-costaapps]

Resumo

Preserva a área de notificações por tenant e separa ações locais de ações externas duráveis. MARK_READ/DISMISS usam recibos idempotentes; SEND_TEMPLATE/REPLY_COMMENT criam operação consultável, bloqueiam repetição concorrente com outra chave e mantêm timeout/resultado ambíguo como UNKNOWN. Só sucesso explícito pode marcar a notificação como lida.

A migration de notificações foi recomposta como v24, após M5.07 v21, M5.03 v22 e M5.05 v23. O worker não registra provider externo no runtime; ações externas permanecem 503/fail-closed. SEND_MESSAGE continua indisponível.

Refs #61. A issue permanece aberta enquanto validação MariaDB específica e gates externos de provider/identidade não estiverem satisfeitos.

Base e candidato

• Base: desktop/milestone-m5 em 8f83cb66be773655b756461e3c1d03f1e6f1ff40.
• Head: desktop/m5-06 em 99dcc3f285a1fadd5596cd2c573f6bc269275049.
• Código M5.06 revisto: 480b44cd6e405d55a1f7f8a15a1f6ef6a4f1b421.

Evidência local

• Node 24.22.2/npm 11.19.1 no código 480b44c: API typecheck passou; API focal passou 4/4 testes sintéticos e pulou 1 teste MariaDB; Web focal passou 3/3; migration-unit passou 9/9 com sequência v1–v24; diff-check passou.
• Revisão funcional PASS no SHA 480b44c. Security review não encontrou bloqueio no runtime atual; identificou condições antes de habilitar dispatch: revalidar membership/CONNECT do ator no worker, proteger texto persistido no payload durável e resolver o target de forma confiável.
• O schema local ca_meta_m5_06 é anterior à recomposição e permaneceu intacto. O teste MariaDB específico de M5.06 em banco novo não foi executado: a preparação do Compose descartável foi rejeitada pela revisão automática antes do início e nenhum serviço/schema temporário foi criado. Essa limitação está registrada em docs/delivery/M5/M5.06.md.
• Actions no novo head serão a evidência de PR. O job M2.08 MariaDB aplica a registry v1–v24 em serviço descartável; o teste específico M5.06 permanece Not confirmed até executá-lo com um schema fresco autorizado.

Limites

Nenhuma mensagem real, chamada Meta, credencial real ou dado de cliente foi usado. Origem operacional de MetaAppReviewNotifications, grants/capacidades atuais, resolução de destino e execução de provedor seguem Not confirmed. Não habilitar dispatch externo com as limitações de autorização e proteção de conteúdo registradas na revisão.