[Ph20sr]

O que entra

Gestão de chaves de API para PHP/PDO.

• KeyFormat: prefixo, id público, segredo base62 sem viés de módulo e checksum CRC32; parse, mask e scanPattern
• ApiKeys: create (o segredo aparece uma única vez), verify (com escopo opcional), revoke, rotate com período de carência, list e find
• Só o hash fica no banco (HMAC-SHA256 com pepper opcional), comparado com hash_equals
• Verification: motivo da rejeição para log e httpStatus() (401 ou 403)
• ApiKey::can(): escopos com curinga (invoices:*, *)
• CI do GitHub Actions (PHP 8.1 a 8.3)

Testes

10 testes com SQLite em memória e relógio controlado.