// Use variáveis de ambiente para chaves
const API_KEY = process.env.API_KEY;

// Use funções seguras para hash
const hash = await bcrypt.hash(password, 10);

// Use salt para senhas
const salt = crypto.randomBytes(16);
const hash = crypto.pbkdf2Sync(password, salt, 10000, 64, 'sha512');

// Não armazene dados sensíveis em texto plano
const userData = {
  id: 1,
  name: 'John Doe',
  // Não armazene senhas ou tokens
  // password: '123456' // ❌
};

// Valide todos os inputs
function validateInput(input) {
  if (typeof input !== 'string') {
    throw new Error('Input deve ser uma string');
  }
  if (input.length > MAX_LENGTH) {
    throw new Error('Input muito longo');
  }
  return input;
}

// Sanitize dados
const sanitizedInput = DOMPurify.sanitize(userInput);

// Valide parâmetros de algoritmos quânticos
function validateQuantumParams(params) {
  if (params.numQubits > MAX_QUBITS) {
    throw new Error('Número de qubits excede o limite');
  }
  if (!isValidGate(params.gate)) {
    throw new Error('Porta quântica inválida');
  }
  return params;
}

// Use níveis apropriados de log
logger.info('Operação iniciada');
logger.warn('Aviso de segurança');
logger.error('Erro crítico');

// Inclua contexto relevante
logger.info('Algoritmo executado', {
  algorithm: 'Grover',
  qubits: 4,
  timestamp: new Date()
});

// Monitore operações críticas
const metrics = {
  startTime: Date.now(),
  operation: 'quantum_calculation',
  parameters: {
    qubits: numQubits,
    gates: gateCount
  }
};

// Registre métricas
metricsCollector.record(metrics);

// Escape outputs HTML
const safeHtml = escapeHtml(userInput);

// Use CSP (Content Security Policy)
app.use(helmet.contentSecurityPolicy({
  directives: {
    defaultSrc: ["'self'"],
    scriptSrc: ["'self'", "'unsafe-inline'"],
    styleSrc: ["'self'", "'unsafe-inline'"]
  }
}));

// Use tokens CSRF
app.use(csrf({ cookie: true }));

// Inclua token em requisições
const response = await fetch('/api/endpoint', {
  method: 'POST',
  headers: {
    'X-CSRF-Token': csrfToken
  }
});

// Evite eval() e new Function()
// ❌ eval(userInput);
// ❌ new Function(userInput);

// Use alternativas seguras
const result = safeEval(userInput);

// Use JWT para autenticação
const token = jwt.sign(
  { userId: user.id },
  process.env.JWT_SECRET,
  { expiresIn: '1h' }
);

// Verifique tokens
const decoded = jwt.verify(token, process.env.JWT_SECRET);

// Implemente RBAC (Role-Based Access Control)
function checkPermission(user, resource) {
  const roles = user.roles;
  const permissions = getPermissions(roles);
  return permissions.includes(resource);
}