POST /me/time/start

— POST /me/time/start. 201 Entry; 400/404/409/500/502/503.

Motivo: iniciar timer 1-active-per-user COM guard ABAC cross-tenant (B-005, piso §5). A rota vive sob /me/* — não tem teamId no path, logo não passa pelo RequireTeamMembership. Sem o guard abaixo, qualquer JWT válido gravava um time-entry contra uma task de OUTRO tenant só chutando/vazando o UUID. A cadeia é de três elos, nesta ordem, e nenhum aceita dado do corpo: 1. TaskTeam — o team_id sai da linha da task no DB local (nunca do body). 2. IsTeamMember — o caller precisa ser membro DESSE team; memberships vivem no axuz_api (bounded context), então a checagem é cross-service e fail-closed (sem client wirado = 503, erro de rede = 502). 3. Start — o INSERT ainda reamarra task↔team via WHERE EXISTS (última linha de defesa, sobrevive a refactor do handler).

Retorno: 201 Entry; 400 body/task_id inválido; 404 task inexistente, deletada OU de outro team (mesma resposta pros três — não vaza existência); 409 já há timer ativo; 500 falha de DB; 502 falha ao consultar o axuz_api; 503 guard não configurado. Efeito: 1 SELECT (TaskTeam) + 1 GET HTTP cross-service (cacheado no client) + 1 SELECT (Active) + 1 INSERT guardado.

{}

curl -sS -X POST 'https://api-workspace.axuz.net/me/time/start' \
  -H "Authorization: Bearer $AXUZ_TOKEN" \
  -H "Content-Type: application/json" \
  -d '{}'

const res = await fetch("https://api-workspace.axuz.net/me/time/start", {
  method: 'POST',
  headers: {
    Authorization: `Bearer ${process.env.AXUZ_TOKEN}`,
    'Content-Type': 'application/json',
  },
  body: JSON.stringify({}),
});
if (!res.ok) throw new Error(`HTTP ${res.status}: ${await res.text()}`);
console.log(await res.json());

import os
import requests

res = requests.request(
    "POST",
    "https://api-workspace.axuz.net/me/time/start",
    headers={
        "Authorization": f"Bearer {os.environ['AXUZ_TOKEN']}",
    },
    json={},
    timeout=30,
)
res.raise_for_status()
print(res.json())