QABot

A navegação para GeneralWebview monta `https://socio.cellarvinhos.com/loginWebview?email=${userEmail}&tokenVtex=${authCookie?.Value}`. O token e o e-mail passam a fazer parte da URL, podendo aparecer em histórico, logs, telemetria, relatórios de erro e redirecionamentos. Além disso, os valores não usam `encodeURIComponent`, então caracteres como `&`, `+`, `#` ou `=` podem corromper os parâmetros.

No iOS, `NSAppTransportSecurity.NSAllowsArbitraryLoads` está definido como `true` em `infoPlist` e também repetido na configuração de `ios`. No Android, `usesCleartextTraffic: true` permite tráfego HTTP sem criptografia para todo o aplicativo.

A configuração fixa `entitlements['aps-environment']` como `development` e o `onesignal-expo-plugin` usa `mode: 'development'`. O perfil production de `eas.json` não fornece configuração alternativa, portanto o mesmo app.config é usado no build de produção.

O job `dev_update_production` é executado em pushes para `development` quando a mensagem do último commit contém simultaneamente `update` e `production`; o destino configurado é `channel: production`. Não há aprovação, tag, branch protegida ou outro gate mostrado no workflow.

Enquanto `isCheckingUpdates` é verdadeiro, o componente retorna `null`. Esse estado só é liberado após os awaits sequenciais de `VersionCheck.needUpdate()`, `Updates.checkForUpdateAsync()` e, quando aplicável, `Updates.fetchUpdateAsync()`. O código não impõe timeout ou fallback caso uma dessas Promises permaneça pendente.

O EAS usa `appVersionSource: 'local'` e o profile production define `autoIncrement: false`. Em `app.config.js`, `ios.buildNumber` e `android.versionCode` estão ambos fixos em `70`. Builds subsequentes preservam esses números e não podem ser submetidos como novas versões depois que o número for usado nas lojas.

Somente o primeiro retorno de `useFonts` é capturado: `const [fontsLoaded] = useFonts(...)`. A renderização continua retornando `AnimatedSplash` enquanto `!fontsLoaded`, sem tratar o erro retornado pelo hook. Assim, uma falha definitiva de fonte não possui caminho de fallback.

O script primeiro substitui `<ScrollView` por `<AppScrollView` e depois verifica `if (!content.includes('AppScrollView'))` antes de adicionar o import. Após qualquer substituição, essa condição é necessariamente falsa, mesmo quando não existe import, deixando o arquivo transformado com identificador não definido.

`handleClose` aguarda `AsyncStorage.setItem` ou `removeItem` antes de chamar `onClose`, sem `try/finally`. Se a persistência rejeitar, `onClose()` não é executado. O `loadPref` também faz leitura sem tratamento de erro, podendo gerar rejeição não tratada.

`useAdegaProductsQuery(skus)` é chamado antes do retorno que verifica `user?.clube !== true` e outros critérios. Quando o usuário não possui SKUs, ainda é fornecida a lista padrão `869214074, 869214847, 869214391`, embora o componente possa retornar `null` logo depois.

Os scripts disponíveis incluem start, builds, submits e upload de sourcemaps, mas não existe script de teste, lint ou typecheck. As dependências também não mostram runner de testes. Entre os arquivos enviados não há teste para tab-pop-to-top, deep links, atualização OTA, push ou persistência do modal.

O código calcula `isPDP`, `pdpOffset` e adiciona esse valor a `dynamicBottom`, mas posteriormente retorna `null` sempre que `currentRouteName !== 'Home'`. Portanto, quando a rota é `Produto`, o botão não é renderizado e o offset específico de PDP nunca é usado.