@brunosps00/dev-workflow 1.0.6 → 1.1.1

package/scaffold/en/commands/dw-secure-audit.md

@@ -1,7 +1,13 @@
 <system_instructions>
-You are the security audit orchestrator. Runs OWASP static review + supply-chain CVE/secret/IaC scanning + dependency outdated check + supply-chain compromise detection in one pass. Hard-gates downstream commands when CRITICAL or HIGH findings exist.
+You are the security audit orchestrator — the **Security Gate**. Runs OWASP static review + SAST
+(Semgrep, diff-focused on the generated code) + dedicated secret scanning (gitleaks) + supply-chain
+CVE/secret/IaC scanning (Trivy + native lockfile audit) + supply-chain compromise detection + outdated
+check, in one pass. Hard-gates downstream commands when any blocking finding exists.
 
-Auto-invoked by `/dw-review` and `/dw-generate-pr` for TS/Python/C#/Rust projects. Standalone invocation available for manual audit.
+It is **auto-invoked by `/dw-review` and `/dw-generate-pr`** (for TS/Python/C#/Rust), runs as an **explicit,
+named phase in `/dw-autopilot`** (after review + QA, before commit/PR), and is **runnable standalone** any
+time. `/dw-generate-pr` re-enforces the verdict as a final hard gate. All three keep gating on security —
+the standalone command and the named phase are additive, not a replacement.
 
 ## When to Use
 - Auto-invoked: `/dw-review` and `/dw-generate-pr` for supported languages.
@@ -10,7 +16,7 @@ Auto-invoked by `/dw-review` and `/dw-generate-pr` for TS/Python/C#/Rust project
 - Do NOT use as a substitute for human security review on high-stakes auth/payment code (use `security-review` skill PLUS this).
 
 ## Pipeline Position
-**Predecessor:** any time; auto-invoked by `/dw-review`, `/dw-generate-pr` | **Successor:** `/dw-bugfix` to address findings, or `/dw-commit` if APPROVED
+**Predecessor:** `/dw-review` + `/dw-qa` (the Security Gate runs after they pass) | **Successor:** `/dw-commit` / `/dw-generate-pr` if APPROVED, or `/dw-bugfix` to address findings. Can also run standalone any time.
 
 ## Modes
 
@@ -33,10 +39,20 @@ Auto-invoked by `/dw-review` and `/dw-generate-pr` for TS/Python/C#/Rust project
 
 ## Required Dependencies
 
-- **Trivy** — must be installed (via `npx @brunosps00/dev-workflow install-deps`).
+- **Trivy** — SCA / secrets / IaC (via `npx @brunosps00/dev-workflow install-deps`).
+- **Semgrep** — SAST layer (optional but recommended). If absent, the SAST layer is skipped and noted.
+- **gitleaks** — dedicated secret scan (optional but recommended). If absent, falls back to Trivy secrets.
 - **Context7 MCP** — for framework-version-specific security best practices.
 
-## Three Detection Layers
+All scanners are optional individually: a missing tool degrades that layer and is **reported** in the
+summary (the gate never crashes for a missing scanner), but the missing coverage is visible. Install via
+`npx @brunosps00/dev-workflow install-deps`.
+
+## Detection Layers
+
+**Diff focus (the generated code):** layers that support it scope to the diff against the PR base
+(`git merge-base HEAD origin/main`) so the gate concentrates on the code just written, without noise from
+pre-existing code. A `--full` periodic pass scans the whole tree.
 
 ### Layer 1: OWASP Static Review (via `security-review` skill)
 
@@ -72,6 +88,23 @@ Cross-references the dependency tree against:
 
 Output: `.dw/secure-audit/compromise-findings.md` per affected package: COMPROMISED / suspicious / clean.
 
+### Layer 4: SAST — Semgrep (semantic analysis of generated code)
+
+Deterministic, semantic static analysis of the **diff** (`--baseline-commit`), complementing the human-style
+Layer 1. Pinned rulesets: `p/security-audit`, `p/owasp-top-ten`, `p/secrets` (+ language packs as detected).
+Map Semgrep `ERROR`→HIGH (or CRITICAL for RCE/authn-bypass/SQLi CWEs), `WARNING`→MEDIUM, `INFO`→LOW. Apply
+the **fp-check** reachability discipline before a finding blocks (see `security-review/references/sast.md`).
+
+Output: `.dw/secure-audit/sast-findings.md`. If `semgrep` is absent: skipped + noted in the summary.
+
+### Layer 5: Dedicated secret scan — gitleaks
+
+`gitleaks protect --staged` (uncommitted) or `gitleaks detect --log-opts <base>..HEAD` (branch), `--redact`.
+Authoritative for the diff; complements Trivy secrets (dedupe by `file:line`). **Any hit = REJECTED, no ADR
+exception** — secrets are removed and rotated, not justified. See `security-review/references/secrets.md`.
+
+Output: `.dw/secure-audit/secret-findings.md`. If `gitleaks` is absent: falls back to Trivy secrets + noted.
+
 ### Plus: outdated check
 
 `npm outdated` / `pip list --outdated` / `dotnet list outdated` / `cargo outdated` to identify packages behind by minor or major versions.
@@ -84,9 +117,11 @@ All findings are classified into one of these tiers in `.dw/secure-audit/audit-s
 
 | Tier | Criteria | Block | Suggested Action |
 |------|----------|-------|------------------|
+| **SECRET** | Hardcoded credential/key/token (gitleaks or Trivy), survives allowlist | YES — **no ADR exception** | Remove from code + history, rotate, move to a secret store |
 | **COMPROMISED** | Package known to be malicious in this version range | YES | Immediate remove / pin to safe version |
-| **CRITICAL** | CVE CVSS ≥9.0 OR exploits in the wild OR auth bypass | YES | Update or replace within 24h |
-| **HIGH** | CVE CVSS 7.0–8.9 OR exploitable in current context | YES | Update or replace within 1 week |
+| **CRITICAL** | CVE CVSS ≥9.0 OR exploits in the wild OR auth bypass; OR SAST high-impact CWE (SQLi/RCE/authn-bypass/SSRF/deserialization) reachable | YES | Update/replace or fix within 24h |
+| **HIGH** | CVE CVSS 7.0–8.9 OR exploitable in context; OR Semgrep `ERROR` reachable (fp-check passed) | YES | Update/replace or fix within 1 week |
+| **MEDIUM / LOW** | CVE CVSS <7.0; OR Semgrep `WARNING`/`INFO`; OR unreachable finding downgraded by fp-check | NO (advisory) | Track and fix routinely |
 | **OUTDATED-MAJOR** | ≥1 major version behind (e.g., React 17 → 19) | NO | Plan migration in next quarter |
 | **OUTDATED-MINOR** | Minor/patch behind | NO | Update routinely |
 | **CLEAN** | No findings | NO | — |
@@ -94,19 +129,26 @@ All findings are classified into one of these tiers in `.dw/secure-audit/audit-s
 ## Hard Gates
 
 The verdict is one of:
-- **APPROVED** — no CRITICAL or HIGH or COMPROMISED findings. Verdict file `.dw/secure-audit/audit-summary.md` status: APPROVED.
-- **REJECTED** — ≥1 CRITICAL, HIGH, or COMPROMISED finding without explicit ADR or remediation in flight. Verdict file status: REJECTED.
+- **APPROVED** — no SECRET, COMPROMISED, CRITICAL, or HIGH findings. Verdict file `.dw/secure-audit/audit-summary.md` status: APPROVED. (MEDIUM/LOW/outdated may be present as advisory.)
+- **REJECTED** — ≥1 SECRET (always), or ≥1 COMPROMISED/CRITICAL/HIGH without explicit ADR or remediation in flight. Verdict file status: REJECTED.
+
+**Rigoroso threshold:** SECRET and COMPROMISED always block. CRITICAL/HIGH (CVE or reachable SAST) block unless an ADR justifies acceptance. MEDIUM/LOW and outdated are advisory. A SECRET is the one tier with **no ADR escape** — rotate, don't justify.
 
 **`/dw-review` and `/dw-generate-pr` enforce:** if the project's language is supported AND the most recent `.dw/secure-audit/audit-summary.md` is missing OR REJECTED, those commands themselves return REJECTED. No exception. No bypass flag.
 
 ## Mode 1: Default (`/dw-secure-audit`)
 
 1. **Detect stack**: check for package.json / requirements.txt / *.csproj / Cargo.toml.
-2. **Run all three layers in parallel** (where possible):
-   - OWASP static (via `security-review` skill).
+2. **Run all detection layers in parallel** (where possible):
+   - OWASP static (via `security-review` skill) — diff-focused.
+   - SAST — Semgrep on the diff (`--baseline-commit`).
+   - Dedicated secret scan — gitleaks on the diff.
    - Trivy + lockfile audit.
    - Supply-chain compromise check.
 3. **Run outdated check.**
+   **fp-check:** before finalizing, run reachability validation on each blocking SAST/OWASP finding
+   (see `security-review` SKILL.md); downgrade provably-unreachable ones to advisory with a logged reason.
+   Secrets are exempt from downgrade.
 4. **Aggregate findings** per classification tier.
 5. **Write summary** at `.dw/secure-audit/audit-summary.md`:
 
@@ -118,14 +160,26 @@ The verdict is one of:
 ## Tier Summary
 | Tier | Count | Detail |
 |------|-------|--------|
+| SECRET | N | <list> |
 | COMPROMISED | N | <list> |
 | CRITICAL | N | <list> |
 | HIGH | N | <list> |
+| MEDIUM/LOW (advisory) | N | <list> |
 | OUTDATED-MAJOR | N | <list> |
 | OUTDATED-MINOR | N | <list> |
 
+## Scanners
+| Layer | Tool | Status |
+|-------|------|--------|
+| OWASP | security-review | run |
+| SAST | semgrep | run / skipped (not installed) |
+| Secrets | gitleaks | run / fallback to trivy (not installed) |
+| SCA/IaC | trivy | run |
+
 ## Layer reports
 - OWASP findings: `owasp-findings.md`
+- SAST findings: `sast-findings.md`
+- Secret findings: `secret-findings.md`
 - Trivy findings: `trivy-findings.md`
 - Lockfile findings: `lockfile-findings.md`
 - Compromise findings: `compromise-findings.md`
@@ -164,7 +218,7 @@ For each user-approved remediation:
 ## Mode 4: CI mode (`/dw-secure-audit --scan-only`)
 
 Minimal output:
-- Runs all three layers.
+- Runs all detection layers.
 - Writes findings to disk.
 - Exits with code 0 if APPROVED, 1 if REJECTED.
 - No remediation planning.
@@ -182,8 +236,9 @@ For pre-merge CI gates.
 ## Constitution Gate
 
 <critical>
-- A CRITICAL or COMPROMISED finding without an ADR justifying explicit acceptance → verdict cannot be APPROVED.
-- Constitution principle violations (security-related principles like P-009 server-side auth, P-010 secrets-in-repo) escalate findings — a `severity: info` principle violation surfaced here becomes a HIGH classification.
+- A SECRET finding → verdict cannot be APPROVED, EVER (no ADR escape). Rotate and remove.
+- A CRITICAL/HIGH/COMPROMISED finding (CVE or reachable SAST) without an ADR justifying explicit acceptance → verdict cannot be APPROVED.
+- Constitution principle violations (security principles like P-009 server-side auth, P-010 secrets-in-repo, P-011 no high-severity SAST) escalate findings — a `severity: info` principle violation surfaced here becomes a HIGH classification.
 </critical>
 
 ## Anti-patterns
@@ -198,8 +253,10 @@ For pre-merge CI gates.
 
 ```
 .dw/secure-audit/
-├── audit-summary.md           # verdict + tier summary
+├── audit-summary.md           # verdict + tier summary + scanner status
 ├── owasp-findings.md          # Layer 1
+├── sast-findings.md           # Layer 4 (Semgrep)
+├── secret-findings.md         # Layer 5 (gitleaks, redacted)
 ├── trivy-findings.md          # Layer 2 (SCA + secrets + IaC)
 ├── lockfile-findings.md       # Layer 2 (native auditor)
 ├── compromise-findings.md     # Layer 3

package/scaffold/en/commands/dw-update.md

@@ -79,6 +79,7 @@ The `update` command overwrites managed files and PRESERVES:
 - `.dw/rules/` (user rules)
 - `.dw/spec/` (in-progress PRDs and tasks)
 - `.dw/intel/` (codebase index from `/dw-intel --build`)
+- project-derived docs such as `.dw/constitution.md`, `.dw/rules/concerns.md`, and frontend `DESIGN.md`
 
 The `update` command also runs the GSD migration step automatically — if a project has legacy `.planning/` (from prior GSD usage), the contents are migrated to `.dw/intel/`, `.dw/spec/active-session.md`, `.dw/spec/quick/`, etc., and `.planning/` is renamed to `.planning.gsd-archive-<DATE>/` for inspection. The `.claude/commands/gsd/`, `.claude/agents/gsd-*.md`, `.claude/hooks/gsd-*.js`, and `.claude/gsd-file-manifest.json` files are removed during the migration.
 
@@ -96,9 +97,23 @@ Present to the user:
 - Detected language (`DETECTED_LANG`)
 - Previous version → new version
 - Summary of what the `update` output showed (files copied, wrappers generated, MCPs configured)
+- The `Post-update agent actions` printed by the CLI
 - Any warnings or errors
 
-### 6. Suggest Next Step
+### 6. Run Post-Update Agent Actions (Required)
+
+<critical>The CLI cannot execute slash commands or inspect product-specific design authority by itself. When the update output prints `Post-update agent actions`, treat that list as work for this agent to run now, unless the user explicitly asked for "update files only".</critical>
+
+Run listed commands in this order:
+
+1. `/dw-analyze-project` when listed — refreshes project-derived docs. This is the command that creates or refreshes `.dw/rules/`, offers `.dw/constitution.md`, writes `.dw/rules/concerns.md`, and for frontend projects synthesizes `DESIGN.md` from existing design tokens when no design authority exists.
+2. `/dw-intel --build` when listed — rebuilds the queryable codebase index after rules/docs refresh.
+3. `/dw-harness-audit` — validates commands, wrappers, agents, MCPs, and gates after managed files changed.
+4. `/dw-skill-health` — audits refreshed bundled skills and agents for bloat, overlap, and stale references.
+
+If `/dw-analyze-project` asks clarification or approval questions, ask them and continue. Do not fabricate `DESIGN.md`, `concerns.md`, or constitution content directly inside `/dw-update`; delegate to the command that owns those artifacts.
+
+### 7. Suggest Next Step
 
 If commands/skills were updated, remind the user:
 - Restart the agent session (or reload skills) so the new instructions take effect — skills are usually loaded at session start

package/scaffold/en/templates/constitution-template.md

@@ -80,12 +80,17 @@ mode: defaults | custom
 **P-009 — Server-side authorization on every state-changing endpoint** (severity: info)
 **Rule:** Any endpoint that creates, updates, or deletes data must verify caller authorization on the server. UI-level gating (hidden buttons, disabled forms) is not security.
 **Why:** Browsers are untrusted (see `dw-testing-discipline/references/security-boundary.md`). UI gating is convenience; only server checks protect data.
-**Enforcement:** `dw-code-review` and `dw-security-check` require an explicit auth check (decorator, middleware, or in-handler assertion) on POST/PUT/PATCH/DELETE routes.
+**Enforcement:** `dw-review` and the `dw-secure-audit` Security Gate require an explicit auth check (decorator, middleware, or in-handler assertion) on POST/PUT/PATCH/DELETE routes.
 
-**P-010 — Secrets never enter the repository** (severity: info)
+**P-010 — Secrets never enter the repository** (severity: high)
 **Rule:** No API keys, passwords, signing keys, tokens, or production endpoints checked into source. `.env.example` documents shape only.
 **Why:** Repository history is permanent. A secret committed once is leaked even if reverted next commit.
-**Enforcement:** `dw-security-check` runs Trivy + secret scanners on the diff.
+**Enforcement:** the `dw-secure-audit` Security Gate runs gitleaks + Trivy secret scanners on the diff. Any hit blocks — with **no ADR exception** (rotate, don't justify).
+
+**P-011 — No high-severity SAST finding ships unreviewed** (severity: high)
+**Rule:** Generated/changed code must pass the SAST layer (Semgrep) of the Security Gate. A reachable high-severity finding (SQLi, command/code injection, SSRF, insecure deserialization, authn bypass) blocks unless an ADR justifies acceptance.
+**Why:** AI-generated code reproduces insecure patterns at scale; deterministic SAST on the diff catches what review by reading misses.
+**Enforcement:** `dw-secure-audit` runs Semgrep on the diff (`--baseline-commit`); findings survive an fp-check reachability validation before blocking.
 
 ---
 

package/scaffold/en/templates/functional-doc/playwright.flow.mjs.tpl

@@ -0,0 +1,17 @@
+// Functional-doc flow module. Driven by .dw/scripts/functional-doc/run-playwright-flow.mjs
+// through the Playwright Node API, so video is captured with page.screencast (works both
+// for a launched browser and over connectOverCDP). No imports are needed here — the runner
+// injects page, context, expect, baseURL and the step()/shot() helpers.
+
+export default async function flow({ page, expect, baseURL, step, shot }) {
+  await step("Open target route", async () => {
+    await page.goto(`${baseURL}{{routePath}}`);
+    await expect(page).toHaveURL(new RegExp("{{routeRegex}}"));
+  });
+
+{{testSteps}}
+
+  await step("Record final context", async () => {
+    await expect(page.locator("body")).toBeVisible();
+  });
+}

package/scaffold/pt-br/agent-instructions.md

@@ -72,7 +72,7 @@ Antes de escolher um comando da Trigger Map, dimensione o escopo real da mudanç
 - **`.dw/constitution.md`**: princípios com `severity: high` ou `critical` bloqueiam PRs / techspecs sem um ADR justificando o desvio. Constitution ausente? Os comandos auto-instalam defaults em `severity: info` (não-bloqueante) e seguem — ausência nunca bloqueia.
 - **`.dw/spec/<prd>/tasks-validation.md`**: auto-gerado no fim do `/dw-plan tasks`. Qualquer dimensão FAIL bloqueia approval do usuário até resolver ou override explícito.
 - **Verification**: `/dw-generate-pr` exige `dw-verify` PASS fresco (testes + lint + build) depois do último edit.
-- **Segurança**: projetos TS / Python / C# / Rust precisam passar `/dw-secure-audit` (Trivy + OWASP + lockfile audit) antes do PR abrir.
+- **Segurança**: projetos TS / Python / C# / Rust precisam passar `/dw-secure-audit` (OWASP + Semgrep + gitleaks + Trivy + lockfile audit) antes do PR abrir.
 
 ## Escape Hatches — NÃO auto-trigger
 

package/scaffold/pt-br/commands/dw-analyze-project.md

@@ -767,6 +767,27 @@ Se após as heurísticas nada cruzar a barra (codebase pequeno, churn baixo, sem
 
 **Cadência de refresh:** usuários re-rodam `/dw-analyze-project` quando rules ficam desatualizadas. O Passo 9 atualiza seções auto mantendo entradas preservadas. Não existe comando separado só de refresh.
 
+### Passo 10: Autoridade de design (DESIGN.md) — só projetos frontend
+
+Rode quando um frontend for detectado (React/Vue/Angular/Svelte/Tailwind/CSS), para que a grounding
+question 1 do `dw-ui-discipline` ("de onde vêm as decisões de design?") tenha uma autoridade do projeto
+para seguir. Isso fecha o loop que hoje a grounding apenas *lê*.
+
+1. **Cheque uma autoridade existente primeiro.** Se `DESIGN.md`, `BRAND.md` ou `STYLE_GUIDE.md` já existe
+   na raiz do projeto (ou do módulo frontend), NÃO sobrescreva — registre a localização e pare.
+2. **Detecte design tokens** em ordem de prioridade: `theme`/`@theme` do Tailwind (cores, fontFamily,
+   spacing, radius), CSS custom properties em `globals.css`/`theme.css`/`tokens.css`, theme exports de
+   MUI/Chakra, `components.json` do shadcn, theme do Storybook. Leia os valores reais — não invente.
+3. **Se houver tokens:** sintetize `DESIGN.md` na raiz do frontend capturando o que o projeto JÁ usa —
+   paleta (com os valores hex/oklch reais e nomes dos tokens), tipografia (famílias, escala, pesos),
+   escala de spacing/radius e convenções de componente observadas. Inicie com:
+   `> Gerado por /dw-analyze-project a partir de tokens existentes em <data>. Cure antes de tratar como canon.`
+4. **Se não houver tokens:** NÃO fabrique paleta. Recomende bootstrap a partir de
+   `dw-ui-discipline/references/curated-defaults.md` e registre essa recomendação no índice de rules.
+5. Referencie o novo `DESIGN.md` a partir de `.dw/rules/<módulo-frontend>.md` para os comandos downstream acharem.
+
+Este passo é aditivo e reversível; nunca edita código de componente, só documenta o que existe.
+
 ## Checklist de Qualidade
 
 - [ ] Estrutura do repositório escaneada
@@ -797,6 +818,7 @@ Se após as heurísticas nada cruzar a barra (codebase pequeno, churn baixo, sem
 - [ ] Convenções de teste documentadas (framework, padrões, cobertura)
 - [ ] Step 8 (constitution) oferecido e resolvido (A/B/C)
 - [ ] Step 9 (mapa de concerns) apresentou candidatos, aguardou aprovação, escreveu `.dw/rules/concerns.md` (ou anotou que não há sinais)
+- [ ] Passo 10 (autoridade de design) rodou para projetos frontend: autoridade existente respeitada, ou `DESIGN.md` gerado a partir de tokens reais, ou bootstrap via curated-defaults recomendado
 - [ ] Blocos com marker preserved em concerns.md mantidos verbatim no refresh
 
 ## Exemplo de Uso

package/scaffold/pt-br/commands/dw-autopilot.md

@@ -152,10 +152,11 @@ Quando `autopilot-state.json status=plan_complete`, invoque formalmente:
 O goal e dono desta sequencia:
 
 1. `/dw-run <prd-path>`
-2. `/dw-review <prd-path>` (review completo: cobertura, qualidade, convencoes, seguranca, constitution, verify)
+2. `/dw-review <prd-path>` (review completo: cobertura, qualidade, convencoes, constitution, verify)
 3. `/dw-qa <prd-path>`
 4. `/dw-qa --fix <prd-path>` se QA encontrou bugs Open
 5. `/dw-review <prd-path>` novamente apos QA/fixes
+6. **Security Gate** — o `/dw-review` pós-QA (passo 5) aciona o `/dw-secure-audit`, produzindo um `.dw/secure-audit/audit-summary.md` fresco. Este passo **garante** que o verdict é APROVADO: se ausente/desatualizado/REPROVADO, rode `/dw-secure-audit <prd-path>` standalone, depois volte pro `/dw-bugfix` por finding e re-cheque. Findings SECRET sempre bloqueiam (sem escape de ADR). Não force um segundo scan completo quando já existe um summary APROVADO fresco.
 
 <critical>Nao substitua os reviews do goal por `/dw-review --coverage-only`. O goal de qualidade do autopilot exige `/dw-review` completo antes do QA e depois dos fixes de QA.</critical>
 
@@ -175,6 +176,7 @@ Antes de `/dw-commit`, verifique:
 - `.dw/goals/autopilot-<prd-slug>/status.json` esta completo.
 - `<prd-path>/QA/review-consolidated.md` existe a partir do review final pos-QA.
 - `<prd-path>/QA/qa-report.md` e `<prd-path>/QA/bugs.md` existem.
+- **Security Gate passou:** `.dw/secure-audit/audit-summary.md` existe, esta fresco (pos-ultima-edicao) e status APROVADO. Se ausente/desatualizado/REPROVADO → PARE (nao commite).
 - `autopilot-state.json` registra artefatos de planejamento e o goal completo.
 
 Se algo estiver faltando, PARE e re-execute o comando formal ausente. Nao faca commit parcial.

package/scaffold/pt-br/commands/dw-functional-doc.md

@@ -114,7 +114,7 @@ Arquivos mínimos:
 - `case-matrix.md`
 - `e2e-runbook.md`
 - `manifest.json`
-- `scripts/*.spec.ts`
+- `scripts/*.flow.mjs`
 - `captions/*.srt`
 
 Se houver execução:
@@ -291,8 +291,16 @@ Se já existir no workspace um script de shell funcional (ex: `record-human-tour
 ## Scripts utilitários
 
 Use os utilitários do workspace quando fizer sentido:
-- `node .dw/scripts/dw-functional-doc/generate-dossier.mjs --target <URL> [--lang en|pt-br] [--project <nome>] [--base-url <url>]`
-- `node .dw/scripts/dw-functional-doc/run-playwright-flow.mjs --flow-dir <caminho> [--browser-name chromium|firefox] [--video-resolution fullhd|1920x1080]`
+- `node .dw/scripts/functional-doc/generate-dossier.mjs --target <URL> [--lang en|pt-br] [--project <nome>] [--base-url <url>]`
+- `node .dw/scripts/functional-doc/run-playwright-flow.mjs --flow-dir <caminho> [--video-resolution fullhd|1920x1080] [--list-only]`
+
+O runner dirige o Playwright pela API Node e grava vídeo com `page.screencast` (único mecanismo que
+funciona via CDP). Ele gera `scripts/<slug>.flow.mjs` — um módulo ESM simples que exporta
+`async function flow({ page, context, expect, baseURL, step, shot })`, não um spec `@playwright/test`,
+então dispensa o `playwright.config.*` do projeto. O browser é escolhido por `.dw/scripts/lib/resolve-browser.mjs`
+(resiliente no WSL: Chromium headless full por padrão; defina `BROWSER_TEST` com o caminho do exe do browser do Windows para dirigi-lo via CDP — em NAT rode `npx @brunosps00/dev-workflow setup-wsl-browser` uma vez para o cdp-relay.exe + regra Hyper-V, em mirrored funciona direto);
+veja a seção "Browser on WSL" de `dw-testing-discipline/references/playwright-recipes.md`. Só Chromium —
+`screencast`/CDP não suportam Firefox/WebKit.
 
 ## Critérios de completude
 

package/scaffold/pt-br/commands/dw-generate-pr.md

@@ -15,11 +15,11 @@
     |-------|---------|
     | `dw-verify` | **SEMPRE** — invocada antes do `git push`. Sem VERIFICATION REPORT PASS na sessão após a última edição de código, o PR **NÃO** pode ser criado. |
     | `dw-git-discipline` | **SEMPRE** — valida naming de branch (`<tipo>/<escopo>` kebab-case), histórico atomic-commit (cada commit single-intent, mensagem conventional), tempo de vida da branch (flag se >7 dias) e escopo da PR (sugere split se diff > ~400 linhas). Descrição da PR segue summary + test plan, não dump de `git log`. |
-    | `/dw-secure-audit` | **SEMPRE para projetos TS/Python/C#/Rust** — `security-check.md` com status ≠ REJECTED é obrigatório para projetos em linguagem suportada. |
+    | `/dw-secure-audit` | **SEMPRE para projetos TS/Python/C#/Rust** — um `.dw/secure-audit/audit-summary.md` fresco com status ≠ REJECTED é obrigatório para projetos em linguagem suportada. |
 
     <critical>Hard gate 1 (verify): se a sessão atual não tem um VERIFICATION REPORT PASS de `dw-verify` produzido APÓS a última edição/commit, PARAR e invocar `dw-verify` antes de prosseguir. PR é um artefato permanente — exige o maior rigor de verificação.</critical>
 
-    <critical>Hard gate 2 (security): para projetos TS/Python/C#/Rust, se `{{PRD_PATH}}/security-check.md` não existir OU tiver status REJECTED, PARAR e invocar `/dw-secure-audit` antes de prosseguir. Vulnerabilidades HIGH/CRITICAL NÃO podem chegar ao PR. Para outras linguagens (Go, Java, etc.), este gate é pulado com nota.</critical>
+    <critical>Hard gate 2 (security): para projetos TS/Python/C#/Rust, se `.dw/secure-audit/audit-summary.md` não existir, estiver desatualizado (anterior à última edição) OU tiver status REJECTED, PARAR e invocar `/dw-secure-audit` antes de prosseguir. Findings SECRET e vulnerabilidades HIGH/CRITICAL NÃO podem chegar ao PR. Para outras linguagens (Go, Java, etc.), este gate é pulado com nota.</critical>
 
     ## Uso
 

package/scaffold/pt-br/commands/dw-help.md

@@ -17,41 +17,45 @@ Use `/dw-autopilot "desejo"` como gateway pra maior parte do trabalho. Comandos
 
 | Comando | Quando |
 |---------|--------|
-| `/dw-autopilot "desejo"` | Entry point padrão em duas invocações. Primeira roda plan e para; segunda retoma via `/dw-goal`, commit e PR. |
+| `/dw-autopilot "desejo"` | Entry point padrão em duas invocações. Primeira roda plan e para; segunda retoma via `/dw-goal`, Security Gate, commit e PR. |
 | `/dw-bugfix "descrição"` | Bug ou error report. Fix cirúrgico ou rota pra PRD. |
 | `/dw-help [palavra-chave]` | Esta tela. Passe palavra-chave pra atalhos. `--advanced` revela comandos internos. |
 
-## Tier 2 — Pipeline granular (7)
+## Tier 2 — Pipeline granular (9)
 
 | Comando | O que |
 |---------|-------|
 | `/dw-brainstorm "ideia"` | Refina ideia antes do PRD. Flags: `--onepager`, `--council`, `--research`, `--refactor`. |
 | `/dw-plan "feature"` | PRD → TechSpec → Tasks sequencial com checkpoints. Stages: `prd`, `techspec`, `tasks`. |
 | `/dw-run [task-id]` | Executa todas tasks pendentes ou uma específica. Flag `--resume`. |
-| `/dw-review` | Level 2 (cobertura PRD) + Level 3 (qualidade). Flags: `--coverage-only`, `--code-only`. |
-| `/dw-qa` | QA mode-aware (UI / API auto-detect). Flags: `--fix`, `--api`, `--ai`. |
+| `/dw-review` | Level 2 (cobertura PRD) + Level 3 (qualidade/segurança). Flags: `--coverage-only`, `--code-only`, `--bugfix <slug>`. |
+| `/dw-qa` | QA mode-aware (UI / API auto-detect). Flags: `--fix`, `--api`, `--ai`, `--uat`, `--bugfix <slug>`. |
+| `/dw-pause` | Salva estado da sessão, decisões, bloqueios, todos e open loops em `.dw/STATE.md`. |
+| `/dw-resume` | Lê `.dw/STATE.md`, mostra um TLDR e sugere o próximo comando `dw-*`. |
 | `/dw-commit` | Commits atômicos Conventional pra trabalho pendente. |
 | `/dw-generate-pr [target]` | Push branch, draft do PR body, abre browser. |
 
-## Tier 3 — Especialidade (8)
+## Tier 3 — Especialidade (10)
 
 | Comando | O que |
 |---------|-------|
-| `/dw-analyze-project` | Scan do repo, escreve `.dw/rules/` + oferece gerar `.dw/constitution.md`. |
-| `/dw-redesign-ui "target"` | Audit, propõe 2-3 direções, entrega. Enforça UI grounding + WCAG. |
-| `/dw-functional-doc` | Mapeia screens + flows em doc funcional validado com Playwright. |
+| `/dw-analyze-project` | Scan do repo, escreve `.dw/rules/`, oferece `.dw/constitution.md`, gera `.dw/rules/concerns.md` e sintetiza `DESIGN.md` em frontend quando há tokens. |
+| `/dw-redesign-ui "target"` | Audit, propõe 2-3 direções, entrega. Enforça UI grounding + WCAG; pode rodar o detector determinístico do impeccable. |
+| `/dw-functional-doc` | Mapeia screens + flows em doc funcional validado com Playwright; usa resolução de browser resiliente no WSL. |
 | `/dw-context-budget` | Audita contexto de commands, skills, agentes, instrucoes e MCPs. |
 | `/dw-harness-audit` | Pontua saude da instalacao: wrappers, agentes, MCPs e gates. |
 | `/dw-skill-health` | Audita skills e agentes por bloat, duplicacao e referencias quebradas. |
 | `/dw-new-project` | Bootstrap por entrevista (stack + infra + docker-compose + CI). |
 | `/dw-dockerize` | Detecta stack, propõe Dockerfile + docker-compose pra dev/prod. |
+| `/dw-install-azure-skills` | Opt-in: skills Azure + Microsoft Learn MCP. Seleção interativa de categorias. |
+| `/dw-install-aws-skills` | Opt-in: skills AWS + AWS MCP Server. Requer `uv`, AWS CLI e credenciais. |
 
 ## Workflow em resumo
 
-`/dw-autopilot "desejo"` roda planejamento primeiro e para. Reinvoque para retomar via `/dw-goal`, commit e PR. Passo a passo:
+`/dw-autopilot "desejo"` roda planejamento primeiro e para. Reinvoque para retomar via `/dw-goal`, Security Gate, commit e PR. Passo a passo:
 
 ```
-/dw-brainstorm → /dw-plan → /dw-goal → /dw-commit → /dw-generate-pr
+/dw-brainstorm → /dw-plan → /dw-goal → /dw-secure-audit → /dw-commit → /dw-generate-pr
 ```
 
 ## Comandos avançados / internos
@@ -74,10 +78,10 @@ Auto-invocados por comandos primários mas disponíveis standalone.
 |---------|-------|--------------|
 | `/dw-adr "decisão"` | Registra um ADR em `.dw/spec/<prd>/adrs/`. | `/dw-plan techspec --council`, desvios de constitution |
 | `/dw-intel "pergunta"` | Query de codebase intel; `--build` (re)indexa `.dw/intel/`. | `/dw-plan`, `/dw-review`, `/dw-bugfix` |
-| `/dw-secure-audit` | OWASP + Trivy + lockfile + supply-chain scan. Hard gate. Flags: `--scan-only`, `--plan`, `--execute`. | `/dw-review`, `/dw-generate-pr` |
+| `/dw-secure-audit` | OWASP + Semgrep SAST + gitleaks secrets + Trivy SCA/IaC + lockfile + supply-chain scan. Hard gate. Flags: `--scan-only`, `--plan`, `--execute`. | `/dw-review`, `/dw-autopilot`, `/dw-generate-pr` |
 | `/dw-goal "<objetivo>"` | Contrato de objetivo duravel com `.dw/goals/`; faz ponte com `/goal` nativo do Codex quando disponivel. | `/dw-autopilot` apos planejamento |
 | `/dw-find-skills "query"` | Busca npx skills ecosystem, valida, instala. | manual ao estender bundle |
-| `/dw-update` | Atualiza dev-workflow pro último release npm com snapshot rollback. | manutenção manual |
+| `/dw-update` | Atualiza dev-workflow pro último release npm com snapshot rollback, depois roda ações pós-update listadas (`/dw-analyze-project`, `/dw-intel --build`, `/dw-harness-audit`, `/dw-skill-health`) quando aplicável. | manutenção manual |
 | `/dw-subtask-start "goal"` | Cria um input packet minimo para subagente. | parent antes de delegar |
 | `/dw-subtask-complete <slug>` | Registra handoff estruturado da sessao child. | subagente / sessao child |
 | `/dw-subtask-resume` | Consome e arquiva handoffs pendentes para sintese do parent. | parent apos delegacao |
@@ -91,6 +95,8 @@ Auto-invocados por comandos primários mas disponíveis standalone.
 | `bug`, `erro`, `quebrado`, `fix` | `/dw-bugfix` |
 | `run`, `executa`, `implementa` | `/dw-run` |
 | `goal`, `objetivo`, `long-running`, `retomar autopilot` | `/dw-goal` ou `/dw-autopilot` se `autopilot-state.json` existir |
+| `pausa`, `salvar estado`, `encerrar sessão` | `/dw-pause` |
+| `retomar`, `continuar`, `onde paramos` | `/dw-resume` |
 | `review`, `qualidade`, `audit code` | `/dw-review` |
 | `qa`, `test plan`, `e2e` | `/dw-qa` |
 | `commit`, `git` | `/dw-commit` |
@@ -102,15 +108,21 @@ Auto-invocados por comandos primários mas disponíveis standalone.
 | `intel`, `onde está`, `o que usa` | `/dw-intel` (ou `--build`) |
 | `contexto`, `tokens`, `agente lento` | `/dw-context-budget` |
 | `harness`, `install`, `wrappers`, `agentes` | `/dw-harness-audit` |
+| `update`, `upgrade`, `latest`, `pós-update` | `/dw-update` |
+| `design.md`, `autoridade de design`, `mapa de concerns` | `/dw-analyze-project` (também listado como ação pós-update quando ausente) |
 | `subagent`, `subtask`, `handoff`, `delegate`, `delegar` | `/dw-subtask-start` ou `/dw-subtask-resume` |
 | `skills`, `skill health`, `bloat` | `/dw-skill-health` |
 | `analyze`, `rules`, `convenções` | `/dw-analyze-project` |
 | `constitution`, `princípios` | `/dw-analyze-project` (Step 8) |
 | `security`, `vulnerabilidades`, `cve`, `deps` | `/dw-secure-audit` |
+| `secret`, `sast`, `semgrep`, `gitleaks`, `trivy` | `/dw-secure-audit` |
 | `adr`, `decisão` | `/dw-adr` |
 | `docker`, `compose`, `container` | `/dw-dockerize` |
 | `new project`, `bootstrap`, `scaffold` | `/dw-new-project` |
 | `functional doc`, `screen map` | `/dw-functional-doc` |
+| `wsl`, `browser`, `playwright browser`, `cdp` | `npx @brunosps00/dev-workflow setup-wsl-browser` quando WSL NAT precisa dirigir o browser real do Windows |
+| `azure`, `microsoft learn`, `azure skills` | `/dw-install-azure-skills` |
+| `aws`, `aws mcp`, `aws skills` | `/dw-install-aws-skills` |
 | `incident`, `outage`, `postmortem`, `sev-1` | (Skill `dw-incident-response` auto-invocada de `/dw-bugfix`) |
 | `eval`, `llm`, `ai feature`, `rag` | (Skill `dw-llm-eval` invocada de `/dw-plan`, `/dw-review`, `/dw-qa --ai`) |
 
@@ -119,10 +131,10 @@ Sem match: surface padrão + nota.
 ## FAQ
 
 **P: Onde começo com uma nova feature?**
-- `/dw-autopilot "o que voce quer"`. Primeira invocacao roda PRD → TechSpec → Tasks e para; segunda invocacao retoma via `/dw-goal`, commit e PR.
+- `/dw-autopilot "o que voce quer"`. Primeira invocacao roda PRD → TechSpec → Tasks e para; segunda invocacao retoma via `/dw-goal`, Security Gate, commit e PR.
 
 **P: Tenho que usar `/dw-autopilot`?**
-- Não. Pipeline granular dá controle a cada step, com `/dw-goal` quando quiser executar run/review/QA/review como objetivo duravel.
+- Não. Pipeline granular dá controle a cada step, com `/dw-goal` quando quiser executar run/review/QA/review como objetivo duravel, seguido por `/dw-secure-audit`, `/dw-commit` e `/dw-generate-pr`.
 
 **P: Só quero corrigir um bug.**
 - `/dw-bugfix "<descrição>"`. Tria, 3 perguntas, fixa ou roteia.
@@ -133,6 +145,9 @@ Sem match: surface padrão + nota.
 **P: Onde features AI são avaliadas?**
 - Skill `dw-llm-eval` auto-invocada de `/dw-plan tasks`, `/dw-review`, `/dw-qa --ai`.
 
+**P: Onde entra segurança?**
+- `/dw-review` auto-invoca `/dw-secure-audit` para stacks suportadas; `/dw-autopilot` trata como gate nomeado antes de commit/PR; `/dw-generate-pr` reforça o summary aprovado mais recente.
+
 **P: O que aconteceu com outros comandos?**
 - v1.0.0 consolidou a surface antiga de comandos. Mergers: create-prd/techspec/tasks → `/dw-plan`; run-task/run-plan → `/dw-run`; code-review/review-implementation → `/dw-review`; run-qa/fix-qa → `/dw-qa`; security-check/deps-audit → `/dw-secure-audit`; map-codebase → `/dw-intel --build`; deep-research e refactoring-analysis → `/dw-brainstorm --research/--refactor`. Removidos: revert-task (use `git revert` direto).
 

package/scaffold/pt-br/commands/dw-qa.md

@@ -83,7 +83,7 @@ Quando disponíveis em `./.agents/skills/`, invocadas operacionalmente:
 
 1. **Pre-flight**: confirmar que dev server do projeto pode rodar. Confirmar `.dw/spec/<prd>/` tem PRD + TechSpec + tasks.
 2. **Mapear FRs para test plan**: pra cada FR, identificar fluxo user-facing que exercita.
-3. **Dirigir Playwright MCP** (ou fallback pra Playwright local per `dw-testing-discipline/references/playwright-recipes.md`):
+3. **Dirigir Playwright MCP** (se indisponível ou bloqueado — comum no WSL — use o fallback local resiliente `node .dw/scripts/lib/capture-screenshots.mjs`, que escolhe o browser via `.dw/scripts/lib/resolve-browser.mjs`; veja a seção "Browser on WSL" de `dw-testing-discipline/references/playwright-recipes.md`):
    - Happy paths pra cada FR.
    - Edge cases (boundary inputs, falha de rede, erros de validação).
    - Fluxos negativos (ações não autorizadas, input malformado).

package/scaffold/pt-br/commands/dw-redesign-ui.md

@@ -56,12 +56,12 @@ Utilize ferramentas de diagnóstico conforme o framework do projeto:
 ## Comportamento Obrigatório
 
 1. Identifique o alvo: página, componente ou rota que será redesenhada.
-2. **AUDITAR**: leia a implementação atual, identifique stack CSS (Tailwind, CSS Modules, styled-components, etc.), capture screenshot usando `dw-testing-discipline`/playwright-recipes se disponível, rode react-doctor se projeto React.
+2. **AUDITAR**: leia a implementação atual, identifique stack CSS (Tailwind, CSS Modules, styled-components, etc.), capture o screenshot do estado-antes (Playwright MCP, ou `node .dw/scripts/lib/capture-screenshots.mjs` como fallback resiliente no WSL), rode react-doctor se projeto React.
 3. Faça 3 a 5 perguntas sobre objetivos do redesign: direção de estilo, constraints de marca, inspirações, público-alvo, dispositivos prioritários.
 4. **PROPOR**: apresente 2 a 3 direções de design depois de passar pelo hard-gate de `dw-ui-discipline` (brand authorities ou curated defaults; surface job sentence; state matrix enumerada; scene sentence). Cada direção lista paleta de cores, par tipográfico, estilo de layout e racional. Self-check de cada direção contra os 14 anti-slop patterns. Para CADA direção, descreva explicitamente o layout mobile (<=768px) e o layout desktop (>=1024px), incluindo como os elementos se reorganizam, empilham ou escondem entre breakpoints.
 5. Espere aprovação explícita do usuário antes de implementar.
 6. **IMPLEMENTAR**: aplique o design escolhido com abordagem mobile-first — implemente primeiro o layout mobile e depois adicione media queries/breakpoints para tablet e desktop. Respeite a stack existente. Use `vercel-react-best-practices` para React/Next.js. Mantenha a metodologia CSS do projeto.
-7. **VALIDAR**: capture estado depois em AMBAS as resoluções (mobile e desktop), compare antes/depois, verifique acessibilidade contra `dw-ui-discipline/references/accessibility-floor.md` (WCAG 2.2 AA — não-negociável: contraste, focus-visible, keyboard nav, ARIA, sem traps), rode react-doctor `--diff` se React. Use `dw-testing-discipline/references/playwright-recipes.md` para capturar screenshots em viewport 375px (mobile) e 1440px (desktop).
+7. **VALIDAR**: capture estado depois em AMBAS as resoluções (mobile e desktop), compare antes/depois, verifique acessibilidade contra `dw-ui-discipline/references/accessibility-floor.md` (WCAG 2.2 AA — não-negociável: contraste, focus-visible, keyboard nav, ARIA, sem traps), rode react-doctor `--diff` se React. Capture screenshots em 375px (mobile) e 1440px (desktop) — `node .dw/scripts/lib/capture-screenshots.mjs --url <url> --widths 375,1440` é o caminho resiliente no WSL; veja a seção "Browser on WSL" de `dw-testing-discipline/references/playwright-recipes.md`.
 8. **PERSISTIR CONTRATO**: se o usuário aprovou uma direção, gere `design-contract.md` no diretório do PRD (`.dw/spec/prd-[nome]/design-contract.md`) com: direção aprovada, paleta de cores, par tipográfico, regras de layout, regras de acessibilidade e regras de componentes. Este contrato será lido por `dw-run-task` e `dw-run-plan` para garantir consistência visual.
 
 ## Inteligência do Codebase

package/scaffold/pt-br/commands/dw-review.md

@@ -44,9 +44,10 @@ Quando disponíveis em `./.agents/skills/`, são invocadas como apoio analítico
 
 - `dw-review-rigor`: **SEMPRE** — aplica de-duplication (mesmo pattern em N arquivos = 1 finding), severity ordering (critical → high → medium → low), verify-before-flag, skip-what-linter-catches, signal-over-volume. A tabela "Problemas Encontrados" segue essa disciplina.
 - `dw-verify`: **SEMPRE** — invocada antes de emitir `APROVADO` ou `APROVADO COM RESSALVAS`. Sem VERIFICATION REPORT PASS (test + lint + build), verdict não pode ser APROVADO.
-- `dw-secure-audit`: **SEMPRE para projetos TS/Python/C#/Rust** — security gate. Se projeto usa linguagem suportada e `secure-audit.md` recente está ausente OU REJECTED, verdict é **REPROVADO** — sem exceção.
+- `dw-secure-audit` (**Security Gate**): **SEMPRE para projetos TS/Python/C#/Rust** — acionado aqui e o verdict é enforced. Se a linguagem é suportada e `.dw/secure-audit/audit-summary.md` fresco está ausente OU REPROVADO, o verdict do review é **REPROVADO** — sem exceção. O mesmo gate também é comando standalone (`/dw-secure-audit`) e fase explícita no `/dw-autopilot`. Agora soma Semgrep SAST (diff) + gitleaks secrets sobre OWASP/Trivy/SCA.
+- `security-review`: a skill OWASP nível-diff que o gate usa (injection, authz, secrets, SSRF, crypto — só HIGH CONFIDENCE).
 - `dw-simplification`: use quando diff toca código denso — aplica Chesterton's Fence, protocolo de refactor preservando comportamento, métricas de complexidade.
-- `dw-ui-discipline`: use quando diff toca UI — roda os 14 visual-slop patterns + accessibility floor.
+- `dw-ui-discipline`: use quando diff toca UI — roda os 14 visual-slop patterns + accessibility floor. Para um gate determinístico, rode também `node .dw/scripts/lib/ui-slop-detect.mjs <paths-ui-alterados> --fail-on error` (wrapper sobre o detector do impeccable); trate findings bloqueantes como **REJECTED** e reporte os warnings.
 - `dw-testing-discipline`: use quando diff toca testes — aplica catálogo de 25 anti-patterns + 6 agent guardrails (quando testes foram agent-authored).
 - `dw-llm-eval`: **OBRIGATÓRIO quando diff toca código de feature AI/LLM**. Reference dataset + ≥2 oracle rungs + judge calibration (se rung 4 usado) + eval run results DEVEM estar no PR. Faltando → REPROVADO.
 - `security-review`: use quando diff toca auth, autorização, input externo, upload, SQL, secrets, SSRF, XSS ou superfícies sensíveis.
@@ -161,9 +162,10 @@ Se FALTANDO > 0, o veredicto sugere revisitar `/dw-plan tasks` pra escopar ou `/
    - Rodar dw-verify pra produzir VERIFICATION REPORT (test + lint + build GREEN).
    - Sem PASS, verdict não pode ser APROVADO.
 
-8. **Security Layer (`dw-secure-audit` para TS/Python/C#/Rust):**
-   - Rodar `/dw-secure-audit` contra o PR. Scan mais recente deve estar presente e não REPROVADO.
-   - Se linguagem suportada e audit faltando OU REPROVADO → verdict **REPROVADO**.
+8. **Security Gate (`dw-secure-audit` para TS/Python/C#/Rust):**
+   - Acione `/dw-secure-audit` contra o diff (OWASP + Semgrep SAST + gitleaks + Trivy/SCA + supply-chain). Ele produz/atualiza `.dw/secure-audit/audit-summary.md`.
+   - Scan mais recente deve estar presente, fresco (pós-última-edição) e não REPROVADO. Se linguagem suportada e audit ausente OU REPROVADO → verdict do review **REPROVADO**. Findings SECRET sempre bloqueiam (sem escape de ADR).
+   - O mesmo gate também roda standalone (`/dw-secure-audit`) e é fase explícita no `/dw-autopilot`; `/dw-generate-pr` re-enforça o verdict antes do PR.
 
 ### Output