docs(claude): record agent standing permissions and operational lessons

Add two sections to CLAUDE.md:
- Permissões permanentes: the agent may, without per-action confirmation, read
  anything, inspect files / run any tests / analyze results, run and watch CI,
  read/reply to PR comments, create branches and write code, and commit/push/
  open PRs (iterating until green). Merge, third-party branch deletion, force-push
  and destructive ops still need explicit confirmation.
- Lições operacionais: the concrete mistakes made this session (commit only on a
  feature branch, never commit red, incremental build lies, re-read after a failed
  edit, one command at a time when debugging, CI status caching, out-of-order
  results, one PR at a time, CPM for new deps, local format false-positives).

Author: thiagoluga

CLAUDE.md

@@ -90,3 +90,30 @@ O handoff esperado do Claude Design são quatro entregáveis (`tokens.css`, `com
 - Siga `plan.md` em ordem; um PR por item, pequeno e independente.
 - Todo PR fecha um critério de aceite da spec e vem com testes.
 - Mudou uma decisão? Atualize `NeoReports-Decisoes.md` no mesmo PR.
+
+## Permissões permanentes do agente (concedidas pelo mantenedor)
+
+O agente tem permissão **permanente** para executar, sem pedir confirmação a cada vez, o ciclo completo de trabalho de um PR:
+
+- **Leitura irrestrita.** Qualquer comando de leitura/inspeção em qualquer parte do sistema: ler/listar/buscar arquivos, `git` de leitura (`status`, `log`, `diff`, `show`, `branch`, `ls-files`, …), inspecionar build/testes, etc.
+- **Inspecionar arquivos, rodar quaisquer testes e analisar os resultados.**
+- **Executar e acompanhar os checks/CI.** Disparar/aguardar o CI, ler os resultados (`gh run`, `gh pr checks`) e diagnosticar falhas.
+- **Ler e responder comentários do PR no GitHub** (`gh pr view`/`comment`, review comments).
+- **Criar branch e escrever o código necessário.**
+- **Commit, push e abrir PR** (`git commit`, `git push`, `gh pr create`).
+- **Esperar o CI, corrigir o que for necessário, commitar e fazer push de novo** — iterar até o PR ficar verde.
+
+Ainda exigem confirmação explícita: **merge de PR**, deletar branch remota de terceiros, force-push, e ações destrutivas/irreversíveis (`reset --hard` em remoto, mudar visibilidade do repo, dropar schema, etc.).
+
+## Lições operacionais (erros já cometidos — não repetir)
+
+1. **Confirme a branch ANTES de commitar.** Sempre `git branch --show-current` antes de `git add`/`commit`. Já commitei direto no `master` por engano (só não quebrou porque sou admin). Todo trabalho em branch própria.
+2. **NUNCA commite/pushe com build ou teste vermelho.** Antes de `git commit`, leia a linha real `Build succeeded`/`Passed!`/`Failed!` do escopo alterado. Se houver `Failed: N>0` ou `Build FAILED`, não commite. Já afirmei "verde" sem verificar e mergeei PR vermelho — inaceitável.
+3. **Build local incremental MENTE.** `obj/bin` em cache já mascarou erro real de compilação (CS0246) que só apareceu no CI. Na dúvida, `--no-incremental` ou apague `obj/bin` e rebuilde do zero antes de confiar no verde.
+4. **Edit que falha com "file modified since read" NÃO foi aplicado.** Re-leia e refaça; nunca assuma que entrou. Docs (ADR/plan) já não entraram em commits por isso.
+5. **Um comando por vez ao diagnosticar.** Lotes grandes em paralelo cancelam em cascata no primeiro erro e corrompem a visão de estado.
+6. **CI tem cache de status.** `gh pr checks` / `commits/<sha>/check-runs` pode mostrar run antigo. Confirme `headRefOid` do PR == seu último commit antes de confiar no resultado.
+7. **Resultados podem chegar fora de ordem.** Ao notar incoerência, PARE e rode uma checagem sequencial `git branch/status/log` antes de agir.
+8. **Um PR por vez.** Não abrir vários simultâneos sem o mantenedor pedir; fechar (mergear) o atual antes do próximo.
+9. **Novas dependências (inclusive de teste) vão no CPM** (`build/Directory.Packages.props`). `NU1010` = `PackageVersion` faltando.
+10. **`dotnet format --verify-no-changes` dá falso-positivo local** por autocrlf (CRLF no working tree vs LF no repo); o CI faz checkout LF e passa. Não persiga `ENDOFLINE` local; confie no step de format do CI.