@brunosps00/dev-workflow 1.0.6 → 1.1.1

package/scaffold/pt-br/commands/dw-secure-audit.md

@@ -1,7 +1,13 @@
 <system_instructions>
-Você é o orquestrador de security audit. Roda OWASP static review + supply-chain CVE/secret/IaC scanning + outdated check + supply-chain compromise detection em uma passada. Hard-gates comandos downstream quando há findings CRITICAL ou HIGH.
+Você é o orquestrador de security audit — o **Security Gate**. Roda OWASP static review + SAST (Semgrep,
+focado no diff do código gerado) + secret scan dedicado (gitleaks) + supply-chain CVE/secret/IaC (Trivy +
+native lockfile audit) + supply-chain compromise detection + outdated check, em uma passada. Hard-gates
+comandos downstream quando há qualquer finding bloqueante.
 
-Auto-invocado por `/dw-review` e `/dw-generate-pr` em projetos TS/Python/C#/Rust. Invocação standalone disponível pra audit manual.
+É **auto-invocado por `/dw-review` e `/dw-generate-pr`** (em TS/Python/C#/Rust), roda como **fase explícita e
+nomeada no `/dw-autopilot`** (após review + QA, antes de commit/PR), e é **executável standalone** a qualquer
+momento. O `/dw-generate-pr` re-enforça o verdict como hard gate final. Os três continuam gating em segurança
+— o comando standalone e a fase nomeada são aditivos, não substituem.
 
 ## Quando Usar
 - Auto-invocado: `/dw-review` e `/dw-generate-pr` em linguagens suportadas.
@@ -10,7 +16,7 @@ Auto-invocado por `/dw-review` e `/dw-generate-pr` em projetos TS/Python/C#/Rust
 - NÃO use como substituto pra review humano em código auth/payment de alto risco (use skill `security-review` JUNTO com este).
 
 ## Posição no Pipeline
-**Antecessor:** qualquer momento; auto-invocado por `/dw-review`, `/dw-generate-pr` | **Sucessor:** `/dw-bugfix` pra atacar findings, ou `/dw-commit` se APROVADO
+**Antecessor:** `/dw-review` + `/dw-qa` (o Security Gate roda depois deles passarem) | **Sucessor:** `/dw-commit` / `/dw-generate-pr` se APROVADO, ou `/dw-bugfix` pra atacar findings. Também roda standalone a qualquer momento.
 
 ## Modos
 
@@ -33,10 +39,20 @@ Auto-invocado por `/dw-review` e `/dw-generate-pr` em projetos TS/Python/C#/Rust
 
 ## Dependências Necessárias
 
-- **Trivy** — deve estar instalado (via `npx @brunosps00/dev-workflow install-deps`).
+- **Trivy** — SCA / secrets / IaC (via `npx @brunosps00/dev-workflow install-deps`).
+- **Semgrep** — camada SAST (opcional mas recomendado). Se ausente, a camada SAST é pulada e anotada.
+- **gitleaks** — secret scan dedicado (opcional mas recomendado). Se ausente, cai pro Trivy secrets.
 - **Context7 MCP** — pra best practices específicas de versão.
 
-## Três Camadas de Detecção
+Todos os scanners são opcionais individualmente: uma tool ausente degrada aquela camada e é **reportada**
+no summary (o gate nunca quebra por falta de scanner), mas a cobertura faltante fica visível. Instale via
+`npx @brunosps00/dev-workflow install-deps`.
+
+## Camadas de Detecção
+
+**Foco no diff (código gerado):** camadas que suportam isso focam no diff contra a base do PR
+(`git merge-base HEAD origin/main`), concentrando o gate no código recém-escrito, sem ruído do código
+pré-existente. Um pass periódico `--full` varre a árvore inteira.
 
 ### Camada 1: OWASP Static Review (via skill `security-review`)
 
@@ -72,6 +88,23 @@ Cruza dependency tree contra:
 
 Output: `.dw/secure-audit/compromise-findings.md` por pacote afetado: COMPROMISED / suspicious / clean.
 
+### Camada 4: SAST — Semgrep (análise semântica do código gerado)
+
+Análise estática semântica e determinística do **diff** (`--baseline-commit`), complementando a Camada 1.
+Rulesets fixados: `p/security-audit`, `p/owasp-top-ten`, `p/secrets` (+ packs de linguagem detectados).
+Mapeie Semgrep `ERROR`→HIGH (ou CRITICAL pra CWEs RCE/authn-bypass/SQLi), `WARNING`→MEDIUM, `INFO`→LOW.
+Aplique a disciplina **fp-check** (reachability) antes de um finding bloquear (ver `security-review/references/sast.md`).
+
+Output: `.dw/secure-audit/sast-findings.md`. Se `semgrep` ausente: pulado + anotado no summary.
+
+### Camada 5: Secret scan dedicado — gitleaks
+
+`gitleaks protect --staged` (não-commitado) ou `gitleaks detect --log-opts <base>..HEAD` (branch), `--redact`.
+Autoritativo no diff; complementa Trivy secrets (dedupe por `file:line`). **Qualquer hit = REPROVADO, sem
+exceção de ADR** — secrets são removidos e rotacionados, não justificados. Ver `security-review/references/secrets.md`.
+
+Output: `.dw/secure-audit/secret-findings.md`. Se `gitleaks` ausente: cai pro Trivy secrets + anotado.
+
 ### Plus: outdated check
 
 `npm outdated` / `pip list --outdated` / `dotnet list outdated` / `cargo outdated` pra identificar pacotes atrás em minor ou major.
@@ -84,9 +117,11 @@ Todos os findings são classificados num desses tiers em `.dw/secure-audit/audit
 
 | Tier | Critério | Bloqueia | Ação Sugerida |
 |------|----------|----------|---------------|
+| **SECRET** | Credencial/chave/token hardcoded (gitleaks ou Trivy), sobrevive ao allowlist | SIM — **sem exceção de ADR** | Remover do código + histórico, rotacionar, mover pra secret store |
 | **COMPROMISED** | Pacote conhecido como malicioso nessa faixa de versão | SIM | Remover imediato / pin pra versão segura |
-| **CRITICAL** | CVE CVSS ≥9.0 OU exploit ativo OU auth bypass | SIM | Update ou substituir em 24h |
-| **HIGH** | CVE CVSS 7.0–8.9 OU exploitável no contexto atual | SIM | Update ou substituir em 1 semana |
+| **CRITICAL** | CVE CVSS ≥9.0 OU exploit ativo OU auth bypass; OU SAST de CWE alto-impacto (SQLi/RCE/authn-bypass/SSRF/deserialization) alcançável | SIM | Update/substituir ou corrigir em 24h |
+| **HIGH** | CVE CVSS 7.0–8.9 OU exploitável no contexto; OU Semgrep `ERROR` alcançável (fp-check passou) | SIM | Update/substituir ou corrigir em 1 semana |
+| **MEDIUM / LOW** | CVE CVSS <7.0; OU Semgrep `WARNING`/`INFO`; OU finding inalcançável rebaixado pelo fp-check | NÃO (advisory) | Rastrear e corrigir rotineiramente |
 | **OUTDATED-MAJOR** | ≥1 major version atrás (ex: React 17 → 19) | NÃO | Planejar migração próximo trimestre |
 | **OUTDATED-MINOR** | Minor/patch atrás | NÃO | Update rotineiro |
 | **CLEAN** | Sem findings | NÃO | — |
@@ -94,19 +129,26 @@ Todos os findings são classificados num desses tiers em `.dw/secure-audit/audit
 ## Hard Gates
 
 Verdict é um de:
-- **APROVADO** — sem CRITICAL, HIGH ou COMPROMISED. Arquivo verdict `.dw/secure-audit/audit-summary.md` status: APROVADO.
-- **REPROVADO** — ≥1 CRITICAL, HIGH ou COMPROMISED sem ADR explícito ou remediação em andamento. Status: REPROVADO.
+- **APROVADO** — sem SECRET, COMPROMISED, CRITICAL ou HIGH. Arquivo verdict `.dw/secure-audit/audit-summary.md` status: APROVADO. (MEDIUM/LOW/outdated podem aparecer como advisory.)
+- **REPROVADO** — ≥1 SECRET (sempre), ou ≥1 COMPROMISED/CRITICAL/HIGH sem ADR explícito ou remediação em andamento. Status: REPROVADO.
+
+**Limiar Rigoroso:** SECRET e COMPROMISED sempre bloqueiam. CRITICAL/HIGH (CVE ou SAST alcançável) bloqueiam salvo ADR justificando aceitação. MEDIUM/LOW e outdated são advisory. SECRET é o único tier **sem escape via ADR** — rotacione, não justifique.
 
 **`/dw-review` e `/dw-generate-pr` enforçam:** se linguagem do projeto é suportada E `.dw/secure-audit/audit-summary.md` mais recente está faltando OU REPROVADO, esses comandos retornam REPROVADO. Sem exceção. Sem flag bypass.
 
 ## Modo 1: Default (`/dw-secure-audit`)
 
 1. **Detectar stack**: checar package.json / requirements.txt / *.csproj / Cargo.toml.
-2. **Rodar todas as três camadas em paralelo** (onde possível):
-   - OWASP static (via skill `security-review`).
+2. **Rodar todas as camadas de detecção em paralelo** (onde possível):
+   - OWASP static (via skill `security-review`) — focado no diff.
+   - SAST — Semgrep no diff (`--baseline-commit`).
+   - Secret scan dedicado — gitleaks no diff.
    - Trivy + lockfile audit.
    - Supply-chain compromise check.
 3. **Rodar outdated check.**
+   **fp-check:** antes de finalizar, rode validação de reachability em cada finding SAST/OWASP bloqueante
+   (ver `security-review` SKILL.md); rebaixe os comprovadamente inalcançáveis pra advisory com razão logada.
+   Secrets são isentos de rebaixamento.
 4. **Agregar findings** por tier.
 5. **Escrever summary** em `.dw/secure-audit/audit-summary.md`:
 
@@ -118,14 +160,26 @@ Verdict é um de:
 ## Resumo por Tier
 | Tier | Contagem | Detalhe |
 |------|----------|---------|
+| SECRET | N | <lista> |
 | COMPROMISED | N | <lista> |
 | CRITICAL | N | <lista> |
 | HIGH | N | <lista> |
+| MEDIUM/LOW (advisory) | N | <lista> |
 | OUTDATED-MAJOR | N | <lista> |
 | OUTDATED-MINOR | N | <lista> |
 
+## Scanners
+| Camada | Tool | Status |
+|--------|------|--------|
+| OWASP | security-review | rodou |
+| SAST | semgrep | rodou / pulado (não instalado) |
+| Secrets | gitleaks | rodou / fallback trivy (não instalado) |
+| SCA/IaC | trivy | rodou |
+
 ## Relatórios das camadas
 - OWASP: `owasp-findings.md`
+- SAST: `sast-findings.md`
+- Secrets: `secret-findings.md`
 - Trivy: `trivy-findings.md`
 - Lockfile: `lockfile-findings.md`
 - Compromise: `compromise-findings.md`
@@ -164,7 +218,7 @@ Pra cada remediação aprovada:
 ## Modo 4: CI (`/dw-secure-audit --scan-only`)
 
 Output mínimo:
-- Roda todas as três camadas.
+- Roda todas as camadas de detecção.
 - Escreve findings em disco.
 - Exit code 0 se APROVADO, 1 se REPROVADO.
 - Sem planejamento.
@@ -182,8 +236,9 @@ Pra gates pre-merge em CI.
 ## Constitution Gate
 
 <critical>
-- CRITICAL ou COMPROMISED finding sem ADR justificando aceitação explícita → verdict não pode ser APROVADO.
-- Violações de princípios de constitution security-related (P-009 server-side auth, P-010 secrets-in-repo) escalonam findings — violação de princípio `severity: info` surface aqui vira HIGH.
+- Finding SECRET → verdict NUNCA pode ser APROVADO (sem escape via ADR). Rotacione e remova.
+- Finding CRITICAL/HIGH/COMPROMISED (CVE ou SAST alcançável) sem ADR justificando aceitação explícita → verdict não pode ser APROVADO.
+- Violações de princípios de constitution security-related (P-009 server-side auth, P-010 secrets-in-repo, P-011 sem SAST high-severity) escalonam findings — violação de princípio `severity: info` surface aqui vira HIGH.
 </critical>
 
 ## Anti-patterns
@@ -198,8 +253,10 @@ Pra gates pre-merge em CI.
 
 ```
 .dw/secure-audit/
-├── audit-summary.md           # verdict + resumo de tiers
+├── audit-summary.md           # verdict + resumo de tiers + status dos scanners
 ├── owasp-findings.md          # Camada 1
+├── sast-findings.md           # Camada 4 (Semgrep)
+├── secret-findings.md         # Camada 5 (gitleaks, redacted)
 ├── trivy-findings.md          # Camada 2 (SCA + secrets + IaC)
 ├── lockfile-findings.md       # Camada 2 (native auditor)
 ├── compromise-findings.md     # Camada 3

package/scaffold/pt-br/commands/dw-update.md

@@ -80,6 +80,7 @@ O comando `update` sobrescreve arquivos gerenciados e PRESERVA:
 - `.dw/rules/` (rules do usuário)
 - `.dw/spec/` (PRDs e tasks em andamento)
 - `.dw/intel/` (índice de codebase do `/dw-intel --build`)
+- docs derivados do projeto como `.dw/constitution.md`, `.dw/rules/concerns.md` e `DESIGN.md` em frontend
 
 O comando `update` também roda o passo de migração GSD automaticamente — se o projeto tem `.planning/` legado (de uso prévio do GSD), o conteúdo é migrado para `.dw/intel/`, `.dw/spec/active-session.md`, `.dw/spec/quick/`, etc., e `.planning/` é renomeado para `.planning.gsd-archive-<DATA>/` para inspeção. Os arquivos `.claude/commands/gsd/`, `.claude/agents/gsd-*.md`, `.claude/hooks/gsd-*.js` e `.claude/gsd-file-manifest.json` são removidos durante a migração.
 
@@ -97,9 +98,23 @@ Apresente ao usuário:
 - Idioma detectado (`DETECTED_LANG`)
 - Versão anterior → nova versão
 - Resumo do que o output do `update` mostrou (arquivos copiados, wrappers gerados, MCPs configurados)
+- As `Post-update agent actions` impressas pelo CLI
 - Quaisquer avisos ou erros
 
-### 6. Sugerir Próximo Passo
+### 6. Executar Ações de Agente Pós-Update (Obrigatório)
+
+<critical>O CLI não consegue executar slash commands nem inspecionar sozinho a autoridade de design específica do produto. Quando o output do update imprimir `Post-update agent actions`, trate essa lista como trabalho para este agente executar agora, exceto se o usuário pediu explicitamente "só atualize os arquivos".</critical>
+
+Rode os comandos listados nesta ordem:
+
+1. `/dw-analyze-project` quando listado — refresca docs derivados do projeto. Este é o comando que cria ou atualiza `.dw/rules/`, oferece `.dw/constitution.md`, escreve `.dw/rules/concerns.md` e, em projetos frontend, sintetiza `DESIGN.md` a partir dos tokens existentes quando não há autoridade de design.
+2. `/dw-intel --build` quando listado — reconstrói o índice queryable do codebase depois do refresh de rules/docs.
+3. `/dw-harness-audit` — valida commands, wrappers, agentes, MCPs e gates depois que arquivos gerenciados mudaram.
+4. `/dw-skill-health` — audita bundled skills e agentes atualizados por bloat, sobreposição e referências antigas.
+
+Se `/dw-analyze-project` fizer perguntas de esclarecimento ou aprovação, faça-as e continue. Não fabrique `DESIGN.md`, `concerns.md` ou constitution diretamente dentro de `/dw-update`; delegue para o comando dono desses artefatos.
+
+### 7. Sugerir Próximo Passo
 
 Se comandos/skills foram atualizados, lembre o usuário:
 - Reinicie a sessão do agente (ou recarregue skills) para que as instruções novas tenham efeito — skills costumam ser carregadas no início da sessão

package/scaffold/pt-br/templates/constitution-template.md

@@ -80,12 +80,17 @@ mode: defaults | custom
 **P-009 — Authorization server-side em todo endpoint que altera estado** (severity: info)
 **Regra:** Endpoint que cria, atualiza ou deleta dado deve verificar autorização do caller no servidor. Gating em UI (botões escondidos, formulários disabled) não é segurança.
 **Why:** Browsers são untrusted (ver `dw-testing-discipline/references/security-boundary.md`). Gating em UI é conveniência; só checks server-side protegem dado.
-**Enforcement:** `dw-code-review` e `dw-security-check` exigem check de auth explícito (decorator, middleware ou assertion in-handler) em rotas POST/PUT/PATCH/DELETE.
+**Enforcement:** `dw-review` e o Security Gate `dw-secure-audit` exigem check de auth explícito (decorator, middleware ou assertion in-handler) em rotas POST/PUT/PATCH/DELETE.
 
-**P-010 — Secrets nunca entram no repositório** (severity: info)
+**P-010 — Secrets nunca entram no repositório** (severity: high)
 **Regra:** Nenhuma API key, password, signing key, token ou endpoint de produção commitado em source. `.env.example` documenta forma apenas.
 **Why:** Histórico de repositório é permanente. Um secret commitado uma vez está vazado mesmo que revertido no commit seguinte.
-**Enforcement:** `dw-security-check` roda Trivy + secret scanners no diff.
+**Enforcement:** o Security Gate `dw-secure-audit` roda gitleaks + Trivy no diff. Qualquer hit bloqueia — **sem exceção de ADR** (rotacione, não justifique).
+
+**P-011 — Nenhum finding SAST high-severity passa sem revisão** (severity: high)
+**Regra:** Código gerado/alterado deve passar na camada SAST (Semgrep) do Security Gate. Um finding high-severity alcançável (SQLi, command/code injection, SSRF, deserialization insegura, authn bypass) bloqueia salvo ADR justificando aceitação.
+**Why:** Código gerado por IA reproduz padrões inseguros em escala; SAST determinístico no diff pega o que o review por leitura perde.
+**Enforcement:** `dw-secure-audit` roda Semgrep no diff (`--baseline-commit`); findings sobrevivem a uma validação fp-check de reachability antes de bloquear.
 
 ---
 

package/scaffold/pt-br/templates/functional-doc/playwright.flow.mjs.tpl

@@ -0,0 +1,17 @@
+// Módulo de fluxo do functional-doc. Executado por .dw/scripts/functional-doc/run-playwright-flow.mjs
+// através da API Node do Playwright, para que o vídeo seja gravado com page.screencast (funciona tanto
+// com browser lançado quanto via connectOverCDP). Não precisa de imports aqui — o runner injeta
+// page, context, expect, baseURL e os helpers step()/shot().
+
+export default async function flow({ page, expect, baseURL, step, shot }) {
+  await step("Abrir rota alvo", async () => {
+    await page.goto(`${baseURL}{{routePath}}`);
+    await expect(page).toHaveURL(new RegExp("{{routeRegex}}"));
+  });
+
+{{testSteps}}
+
+  await step("Registrar contexto final", async () => {
+    await expect(page.locator("body")).toBeVisible();
+  });
+}

package/scaffold/scripts/cdp-relay/Cargo.toml

@@ -0,0 +1,16 @@
+[package]
+name = "cdp-relay"
+version = "0.1.0"
+edition = "2021"
+description = "Tiny TCP forwarder so WSL can reach a Windows browser's CDP debug port in NAT mode. Built on Windows by dev-workflow; no runtime dependency."
+
+[[bin]]
+name = "cdp-relay"
+path = "src/main.rs"
+
+[profile.release]
+opt-level = "z"
+lto = true
+strip = true
+panic = "abort"
+codegen-units = 1

package/scaffold/scripts/cdp-relay/src/main.rs

@@ -0,0 +1,49 @@
+//! cdp-relay — a tiny TCP forwarder.
+//!
+//! Listens on 0.0.0.0:<listen> and forwards every connection to 127.0.0.1:<target>.
+//! dev-workflow runs this on the Windows side so WSL (NAT networking) can reach a Windows
+//! browser's CDP remote-debugging port, which Chromium binds to loopback only. std-only:
+//! no crates, no runtime — a single static .exe built with the user's Windows `cargo`.
+
+use std::env;
+use std::io;
+use std::net::{Shutdown, TcpListener, TcpStream};
+use std::thread;
+
+fn pump(mut from: TcpStream, mut to: TcpStream) {
+    let _ = io::copy(&mut from, &mut to);
+    // Signal EOF to the peer so the other direction can finish cleanly.
+    let _ = to.shutdown(Shutdown::Write);
+}
+
+fn handle(client: TcpStream, target_port: u16) -> io::Result<()> {
+    client.set_nodelay(true).ok();
+    let upstream = TcpStream::connect(("127.0.0.1", target_port))?;
+    upstream.set_nodelay(true).ok();
+
+    let client_rx = client.try_clone()?;
+    let upstream_rx = upstream.try_clone()?;
+    // client -> upstream
+    thread::spawn(move || pump(client, upstream));
+    // upstream -> client
+    thread::spawn(move || pump(upstream_rx, client_rx));
+    Ok(())
+}
+
+fn main() {
+    let args: Vec<String> = env::args().collect();
+    if args.len() < 3 {
+        eprintln!("usage: cdp-relay <listen_port> <target_port>");
+        std::process::exit(2);
+    }
+    let listen_port: u16 = args[1].parse().expect("invalid listen port");
+    let target_port: u16 = args[2].parse().expect("invalid target port");
+
+    let listener = TcpListener::bind(("0.0.0.0", listen_port)).expect("bind failed");
+    for stream in listener.incoming() {
+        if let Ok(client) = stream {
+            // One connection failing must not take down the relay.
+            let _ = handle(client, target_port);
+        }
+    }
+}

package/scaffold/scripts/functional-doc/generate-dossier.mjs

@@ -628,7 +628,7 @@ function toTitleCase(value) {
 function buildPlaywrightSteps(features, heading, s) {
   const safeHeading = heading.replace(/"/g, '\\"');
   const steps = [
-    `  await test.step("${s.validateInitialLoad}", async () => {`,
+    `  await step("${s.validateInitialLoad}", async () => {`,
     `    await expect(page.getByText(/${escapeRegex(safeHeading)}/i).first()).toBeVisible();`,
     `  });`,
   ];
@@ -636,8 +636,8 @@ function buildPlaywrightSteps(features, heading, s) {
   const firstEdge = features.flatMap((feature) => feature.cases).find((item) => item.type === "edge-case");
   if (firstEdge) {
     steps.push(
-      `  await test.step("${s.recordEdgeCase}", async () => {`,
-      `    await page.screenshot({ path: "evidence-edge-case.png", fullPage: true });`,
+      `  await step("${s.recordEdgeCase}", async () => {`,
+      `    await shot("edge-case");`,
       `  });`,
     );
   }
@@ -645,7 +645,7 @@ function buildPlaywrightSteps(features, heading, s) {
   const firstError = features.flatMap((feature) => feature.cases).find((item) => item.type === "error");
   if (firstError) {
     steps.push(
-      `  await test.step("${s.recordErrorCase}", async () => {`,
+      `  await step("${s.recordErrorCase}", async () => {`,
       `    await expect(page.locator("body")).toBeVisible();`,
       `  });`,
     );
@@ -715,7 +715,7 @@ function buildManifest({ projectRoot, target, targetType, routePath, baseUrl, ha
       features: path.join(outputRoot, "features.md"),
       caseMatrix: path.join(outputRoot, "case-matrix.md"),
       e2eRunbook: path.join(outputRoot, "e2e-runbook.md"),
-      script: path.join(outputRoot, "scripts", `${slugify(routePath || target)}.spec.ts`),
+      script: path.join(outputRoot, "scripts", `${slugify(routePath || target)}.flow.mjs`),
       captions: path.join(outputRoot, "captions", `${slugify(routePath || target)}.srt`),
     },
     blockers: hasPlaywright ? [] : ["Playwright configuration not detected"],
@@ -786,10 +786,8 @@ function main() {
   );
 
   writeFile(
-    path.join(outputRoot, "scripts", `${slugify(routePath || target)}.spec.ts`),
-    renderTemplate(path.join(templatesRoot, "playwright.spec.ts.tpl"), {
-      baseUrl,
-      testTitle: s.flowTest(routePath || target),
+    path.join(outputRoot, "scripts", `${slugify(routePath || target)}.flow.mjs`),
+    renderTemplate(path.join(templatesRoot, "playwright.flow.mjs.tpl"), {
       routePath,
       routeRegex: escapeRegex(routePath || "/"),
       testSteps: buildPlaywrightSteps(features, heading, s),