Sistema de autenticação completo com JWT, refresh tokens e RBAC

Implemente um sistema de autenticação e autorização completo para [NOME DO PROJETO], construído com [NODE.JS/PYTHON] e [FRAMEWORK: NestJS/Fastify/FastAPI/Django].

**Requisitos:**
- Métodos de login: [EMAIL+SENHA, GOOGLE OAUTH, MAGIC LINK]
- Roles: [LISTA DE ROLES com permissões]
- Multi-tenant: [SIM/NÃO] — cada workspace tem seus membros
- Sessões simultâneas: [SIM/NÃO] — múltiplos dispositivos

**1) Fluxo de Autenticação JWT:**
- Access token: duração de [15 minutos], payload mínimo (userId, role, tenantId)
- Refresh token: duração de [7 dias], rotação a cada uso (RTR)
- Token storage: httpOnly cookies (não localStorage)
- Fluxo de renovação silenciosa (interceptor no frontend)
- Blacklist de refresh tokens revogados (Redis)

**2) Registro e Onboarding:**
- Signup com validação de email (token de confirmação)
- Verificação de força de senha (zxcvbn)
- Rate limiting em endpoints de auth (5 tentativas/15min)
- Convite de membros por email com token temporário

**3) OAuth 2.0 (Google):**
- Fluxo Authorization Code com PKCE
- Vinculação de conta OAuth com conta existente
- Primeiro login: criar conta automaticamente
- Scopes mínimos necessários

**4) RBAC (Role-Based Access Control):**
- Tabela de permissões: `role → resource → action (create/read/update/delete)`
- Middleware de autorização reutilizável
- Guard/decorator por endpoint: `@Roles('admin', 'editor')`
- Permissões no nível de recurso (ex: só edita seus próprios posts)
- Resposta 403 com mensagem útil

**5) Segurança:**
- Proteção contra CSRF (SameSite cookies + token)
- Brute force protection (progressive delays)
- Account lockout após [NÚMERO] tentativas
- Auditoria de login (IP, dispositivo, geolocalização)
- Logout de todos os dispositivos
- Password reset seguro (token único, expira em 1h)

**6) Código Completo:**
- Models/schemas do banco de dados
- Middleware de autenticação e autorização
- Controllers/routes de auth (register, login, refresh, logout, reset-password)
- Testes unitários e de integração para cada fluxo

Use [BCRYPT/ARGON2] para hashing de senhas. Considere conformidade com LGPD.