Evaluate per-session admin terminate endpoint (vs. only bulk TerminateAllSessions)

[pedrosakuma]

Context

Follow-up from research done for pedrosakuma/B3TradingPlatform#793. Currently the only admin-surfaced session termination found in source is EntryPointListener.TerminateAllSessions (bulk daily reset / operator-triggered full reset). No per-session admin terminate endpoint was found.

What to investigate

• Confirm whether a per-session (per-firm, per-SessionId) admin terminate endpoint exists or is planned. If not, evaluate whether adding one would be useful: it would let operators force a targeted session roll (e.g. to recover a genuinely wedged session) without the blast radius of TerminateAllSessions hitting every connected firm.
• If added, confirm what CloseKind/persistence semantics it should use (likely same as SuspendedTimeout/KeepaliveLapsed — state removed, journal removed or preserved per operator intent).

Why this matters

A narrower admin action reduces operational risk when a single firm's session needs a forced reset, versus today's only bulk option. This surfaced as an evidence gap during the #793 RFC research pass; it's a venue-side feature question, not a trading-side reconciliation change.

Non-goals

Not proposing to change ConnectSessionRollReactor/trading-side reconciliation. This is scoped to whether/how B3MatchingPlatform should expose a targeted admin action.

cc @pedrosakuma
Refs pedrosakuma/B3TradingPlatform#793

[pedrosakuma]

Orquestração\n\nPrioridade: P3 — decisão de produto após #613/#614. É uma melhoria operacional útil, mas não reduz o risco sistêmico de restart nem deve competir com a validação de persistência.\n\nEntregáveis/aceite:\n- Confirmar a superfície administrativa atual e os consumidores/autorização disponíveis.\n- Definir contrato mínimo para terminate por sessão/firma, incluindo auditoria, idempotência e CloseKind/semântica de persistência.\n- Só implementar após evidência de necessidade operacional; caso contrário, fechar como wontfix ou manter como RFC documentado.\n\nDependências: recomendações de #613 e #614; não bloquear #615.

[pedrosakuma]

Investigação iniciada\n\nA superfície administrativa e a semântica de terminate por sessão estão sendo mapeadas. A decisão de implementação será tomada após #613/#614.

[pedrosakuma]

Resultado da investigação\n\nConfirmado: não existe endpoint targeted; hoje a superfície administrativa só encerra em bulk. A implementação direta é bloqueada por decisões de contrato e segurança: admin HTTP é network-gated/no-token, /sessions/{id} usa conn-* em vez do FIXP SessionId, e terminate terminal pode apagar journal/snapshot e remover ownership de ordens resting.\n\nRecomendação: não implementar um generic terminate ainda. Especificar primeiro um force-disconnect/recover por FIXP SessionId, com firma como guard, semântica de persistência explícita, auditoria estruturada e decisão sobre CoD/ordens resting. Se o requisito for terminal terminate, criar CloseKind.OperatorTerminate explícito em vez de reutilizar semânticas existentes. Issue permanece em decisão de produto, P3.

[pedrosakuma]

Status\n\nInvestigação concluída: gap real, mas implementação não deve começar sem contrato para identidade (FIXP SessionId vs conn-*), autorização HTTP, auditoria, semântica de persistência e efeito sobre CoD/ordens resting. Próximo RFC recomendado: force-disconnect/recover targeted, preservando estado por padrão; terminal terminate exigiria CloseKind.OperatorTerminate explícito. Mantida em P3 para decisão de produto.