Foundation Stack: como um NuGet interno padronizou seis APIs sem virar prisão

Toda casa que cresce em microsserviços encontra o mesmo problema: cada serviço resolve identidade, JWT, CORS, CSP, rate limit e DI do seu jeito. O Foundation Stack nasceu para parar essa erosão silenciosa antes que ela virasse um inventário de incidentes.

A biblioteca é um NuGet interno consumido por mais de seis APIs. Ela publica métodos de extensão idiomáticos: AddIdentity, AddAuth, AddCors, AddSecurityHeaders, AddRateLimit. Cada um aceita opções tipadas e segue defaults seguros. O serviço consumidor escolhe quando sobrescrever, e isso é raro.

Decidir o que entra e o que fica de fora é a parte difícil. Entrou: identidade, JWT/OIDC com Entra ID, CORS, CSP/HSTS, rate limit e injeção de dependência canônica. Não entrou: regras de negócio, repositórios, validações de domínio. Padronização da plataforma, não da regra de negócio.

O resultado prático foi cortar dias de retrabalho a cada API nova e padronizar a auditoria de segurança por amostragem. Em vez de revisar seis configurações de CORS, revisamos uma. Em vez de seis políticas de rate limit, revisamos uma.