BRYAN CASTRO APRESENTA
Sete capítulos: quem eu sou, como construo sistemas, como penso segurança, os jogos, as ferramentas, os projetos e o contato.
19 ANOS · RIO DE JANEIROComeçou cedo, movido por curiosidade e por fóruns antigos de programação.
Desenvolvedor full-stack na Caixa, CEO e desenvolvedor da BFL Studio e, nas horas livres, professor de quem está começando.
Interface, servidor, dados e infraestrutura. O sistema inteiro, do primeiro commit ao servidor no ar.
Gosto de resolver problema de verdade: interface que respeita o usuário, backend que não cai, e código que o eu do futuro não odeie. Aceitando conversas sobre projetos web, produtos e comunidades dev.
Aprender do zero
devia ser menos doloroso.
Por isso eu ensino.
Castro School · GamesOff · site da BFL Studio
Castro School
GamesOff
VAKAR · Castro School · GamesOff
Como um projeto sai da ideia e chega ao ar.
Entender quem usa, o que precisa ser resolvido e o que não pode quebrar.
Escopo curto, prioridades claras e o que fica para a versão seguinte.
Interface, regras, dados e infraestrutura definidos antes da primeira tela.
Componentes pequenos, APIs explícitas e entrada validada nas bordas.
Fluxos principais testados no navegador, no celular e no desktop.
Prévia protegida antes de publicar, depois HTTPS em produção.
Medir o que pesa, corrigir e começar de novo pelo problema.
Interfaces e componentes em React e TypeScript, responsivos do celular ao ultrawide. Foco visível, respeito ao movimento reduzido e integração com APIs que continua de pé quando o navegador bloqueia armazenamento.
export function readPref<T>(key: string, fallback: T): T {
try {
const raw = localStorage.getItem(key);
return raw ? (JSON.parse(raw) as T) : fallback;
} catch {
// modo privado ou WebView sem armazenamento: a interface segue
return fallback;
}
}APIs pequenas e explícitas, autenticação OAuth2 com state validado, regras de negócio isoladas e integrações com serviços externos. Só passa o que foi listado; erro vira resposta clara.
const ALLOWED = new Set(['page', 'q', 'sort']);
export function parseQuery(url: URL) {
if (url.search.length > 2048) throw new HttpError(414);
const out: Record<string, string> = {};
for (const [k, v] of url.searchParams)
if (ALLOWED.has(k)) out[k] = v.slice(0, 200);
return out; // o resto nem chega ao serviço
}Modelagem antes da tabela: o que precisa persistir, quem lê e quem escreve. MongoDB e PostgreSQL no stack. Chave primária pensada para a consulta mais comum e nenhuma SQL montada com texto do usuário.
create table lesson_progress (
user_id uuid not null references users(id),
lesson_id text not null,
done_at timestamptz not null default now(),
primary key (user_id, lesson_id)
);
-- a aplicação nunca concatena texto do usuário na SQL
select lesson_id from lesson_progress where user_id = $1;Servidores Linux, containers Docker, HTTPS em todas as rotas e deploy estático na Cloudflare.
FROM node:22-alpine
WORKDIR /app
COPY package*.json ./
RUN npm ci --omit=dev
COPY . .
USER node
HEALTHCHECK CMD wget -qO- http://localhost:3000/health || exit 1
CMD ["node", "server.js"]
Ver o sistema pelo outro lado.
Com autorização, método e registro.
Como eu conduzo uma verificação de segurança, da autorização ao reteste.
O que pode ser verificado, por quem e até quando, por escrito. Fora disso, nada é tocado.
Ambiente de laboratório isolado, ferramentas conferidas e o hash dos arquivos originais guardado antes de tudo.
Levantar o que o sistema expõe publicamente: cabeçalhos, certificados, rotas e versões.
Comparar o que foi encontrado com boas práticas e configurações recomendadas.
Confirmar cada ponto sem causar dano, só no ambiente combinado.
Cada ponto com evidência, impacto e como reproduzir.
Corrigir a causa, não o sintoma, e registrar o que mudou.
Repetir a verificação original. Só fecha quando o resultado se mantém.
O ambiente onde eu verifico sistemas: escopo, checklist, scripts e relatórios no mesmo lugar. Abra os arquivos, digite help no terminal ou teste um arquivo seu nas abas Integridade e Metadados. Tudo roda no seu aparelho; nada é enviado.
LABORATÓRIO somente leiturasem redeamostras próprias
SHA-256 calculado no seu navegador, como o sha256sum. O arquivo não sai do aparelho.
# nenhum arquivo ainda
Lê EXIF, GPS, XMP, ICC e blocos de texto de uma imagem JPEG, PNG ou WebP, e gera uma cópia sem eles. Tudo no aparelho.
# nenhuma imagem ainda
Cabeçalhos de uma resposta HTTP, como saem de curl -sI. As amostras são do servidor de teste do laboratório, antes e depois da correção. Cole outra para comparar.
Escolha uma etapa para ver por que ela existe e rodar o comando dela.
# uma requisição ao servidor de teste do laboratório, fase por fase
#!/usr/bin/env bash
# confere se as amostras continuam idênticas ao que foi registrado
set -euo pipefail
cd "$(dirname "$0")/../amostras"
if sha256sum --check --quiet SHA256SUMS; then
echo "integridade: OK"
else
echo "integridade: DIVERGENTE" >&2; exit 1
fiimport re, sys
# cabeçalhos que toda resposta do site precisa ter
EXIGIDOS = {
"strict-transport-security": "só HTTPS, mesmo no primeiro acesso",
"content-security-policy": "de onde a página pode carregar scripts",
"x-content-type-options": "o navegador não adivinha o tipo",
"referrer-policy": "links externos não recebem o endereço",
"permissions-policy": "câmera, microfone e localização fechados",
}
def ler(caminho):
linhas = open(caminho, encoding="utf-8").read().splitlines()[1:]
return [(k.strip().lower(), v.strip())
for k, v in (l.split(":", 1) for l in linhas if ":" in l)]
def verificar(caminho) -> int:
cab = ler(caminho)
nomes, csp = {k for k, _ in cab}, dict(cab).get("content-security-policy", "")
faltas = 0
for h, motivo in EXIGIDOS.items():
faltas += h not in nomes
print(("ok " if h in nomes else "FALTA ") + f"{h:27} {motivo}")
if "x-frame-options" not in nomes and "frame-ancestors" not in csp:
faltas += 1
print("FALTA " + f"{'x-frame-options':27} a página pode ser embutida")
for k, v in cab:
if k == "x-powered-by" or (k == "server" and re.search(r"\d", v)):
print("AVISO " + f"{k:27} expõe a tecnologia: {v}")
if k == "set-cookie":
for f in ("secure", "httponly", "samesite"):
if f not in v.lower():
print("AVISO " + f"{'set-cookie':27} cookie sem {f}")
return 1 if faltas else 0
sys.exit(verificar(sys.argv[1]))Ambientes isolados para testar, servidor de teste local e o laboratório de metadados.
Validação de entrada, cabeçalhos restritivos, segredos fora do código e autenticação comparada em tempo constante.
HTTP, TLS, DNS e o caminho de uma requisição até o servidor.
ExifTool, MAT2, ImageMagick, OpenSSL, dig, ss e sha256sum.
Bash e Python para verificações repetíveis, como as da aba Scripts.
Verificação só em ambiente e arquivos próprios, sempre com escopo escrito.
THE ASHEN ORPHANAGE
Premissa, tom e referências.
A versão jogável mais simples da ideia.
O que o jogador faz, e por quê.
Cenas, nós e scripts na Godot.
Ambientação, luz e som.
Jogar, anotar e ajustar.
Exportar e testar de novo.
Dois produtos web que eu criei e mantenho, do código ao servidor.
Ensinar programação sem curso enrolado, com exemplos reais e progresso visível.
Parar de perder promoção boa por não abrir oito lojas diferentes.
As ferramentas do meu dia a dia, em cinco grupos ao longo do arco. Escolha uma flecha para ver onde ela entra.
Dois projetos no ar. Um ensina, o outro economiza.
ESCOLA PRA DEVS INICIANTESCASTRODo que está no ar ao que está em produção. Cada carta é um trabalho real.
Trilhas de HTML até Rust, com progresso salvo.
Promoções de Steam, Epic, GOG e mais num painel só.
Criando experiências digitais.
Conteúdo, produção audiovisual e comunicação digital.
Experiências interativas e projetos de entretenimento.
Aplicativos, sistemas e soluções digitais.
制作中Suspense e terror narrativo, com foco em atmosfera.
Tecnologia, criatividade e produção digital.
Uma estrutura formada por três divisões.
E eu sou CEO e desenvolvedor.
BFL STUDIOCriando experiências digitais.
Tecnologia · Desenvolvimento · Soluções Digitais
Ideias que viram projetos bem construídos. Cofundadores: Felipe Hanri e Lucas Henrique.
ORVEConteúdo e comunicação digitalVAKARJogos e entretenimentoQORUSoftware e soluções digitais
Capturas dos projetos e cenas do portfólio. Uma seleção diferente a cada visita.
Um arqueiro Quincy contra os Hollows de Hueco Mundo. Cinco fases até o portão do castelo.