@dewtech/dare-cli 2.17.0 → 3.1.0

package/templates/ide/antigravity/templates/TASK-SPEC-template.md

@@ -1,141 +1,141 @@
-# TASK [ID]: [Título da Task]
-
-> **Complexidade:** LOW / MED / HIGH  
-> **Depends on:** [task-ids ou —]  
-> **Estimativa:** [X horas]
-
----
-
-## 1. OBJETIVO
-
-[Uma frase precisa do que esta task entrega. Deve ser verificável — termine com um estado observável, não uma ação.]
-
-Exemplo: _"Ao final desta task, o endpoint `POST /api/v1/users` aceita cadastro, valida unicidade de e-mail e retorna JWT."_
-
----
-
-## 2. CONTEXTO
-
-- **Fase no BLUEPRINT:** Fase [N] — [Nome da fase]
-- **Arquivos existentes relevantes:** [caminhos de arquivos que servem de referência ou serão modificados]
-- **Decisões do BLUEPRINT que afetam esta task:** [cite seção/decisão específica]
-
----
-
-## 3. ARQUIVOS A CRIAR / MODIFICAR
-
-| Ação | Caminho | Descrição |
-|------|---------|-----------|
-| CRIAR | `src/[módulo]/[arquivo]` | [o que contém] |
-| MODIFICAR | `src/[módulo]/[arquivo]` | [o que muda] |
-| CRIAR | `tests/[arquivo].test.[ext]` | Testes da feature |
-
----
-
-## 4. IMPLEMENTAÇÃO
-
-### Passo 1: [Nome do passo]
-[Descrição precisa do que fazer. Inclua assinaturas de função/struct se crítico.]
-
-```[lang]
-// Exemplo de padrão esperado
-```
-
-### Passo 2: [Nome do passo]
-[Descrição]
-
-### Passo 3: Testes
-- [ ] Teste do caminho feliz (`should_[comportamento]_when_[condição]`)
-- [ ] Teste de erro de validação (400 / erro de negócio)
-- [ ] Teste de autorização (401 / 403 quando aplicável)
-- [ ] Teste de edge case: [descrever]
-
----
-
-## 5. CONSIDERAÇÕES DE SEGURANÇA
-
-- [ ] **Input validation:** toda entrada do usuário validada no servidor antes de qualquer processamento
-- [ ] **Autenticação / Autorização:** verificar se o usuário tem permissão sobre o *recurso específico*, não só sobre a rota
-- [ ] **Dados sensíveis:** senhas, tokens e PII nunca aparecem em logs, responses de erro ou mensagens de exceção
-- [ ] **SQL / Command Injection:** usar ORM / prepared statements; nunca concatenar strings em queries
-- [ ] **Dependências novas:** se esta task adicionar uma dependência, verificar CVEs com `npm audit` / `cargo audit` / `pip-audit` antes de commitar
-- [ ] **Segredo em código:** nenhum token, chave ou credencial hardcoded — sempre via variável de ambiente
-
----
-
-## 6. VALIDATION GATES (RALPH LOOP)
-
-Execute **todos** antes de marcar a task como DONE. Se qualquer um falhar, leia o erro, corrija e reexecute.
-
-```bash
-# 1. Build — sem erros de compilação
-[comando de build da stack]
-
-# 2. Tests — todos passando, incluindo os novos
-[comando de test]
-
-# 3. Lint — sem warnings
-[comando de lint]
-
-# 4. Auditoria de dependências (se novas deps foram adicionadas nesta task)
-[npm audit --audit-level=high | cargo audit | pip-audit | composer audit]
-```
-
-> **Gate de segurança obrigatório:** se esta task adicionar dependências externas, `[audit-cmd]` não pode retornar CVE de nível HIGH ou CRITICAL.
-
----
-
-## 7. PADRÕES PROIBIDOS (ANTI-STUB / ANTI-MOCK)
-
-> Esta seção é **inegociável**. O comando `dare review` (v2.17+) escaneia o código modificado por esta task e reprova se encontrar qualquer padrão abaixo.
-
-### Em código de produção (qualquer arquivo **fora** de `*.test.*`, `*.spec.*`, `__tests__/`, `tests/`, `spec/`)
-
-- ❌ **TODO / FIXME / XXX / HACK** — qualquer um desses marcadores em comentário
-- ❌ **Função vazia** — `fn x() {}`, `function x() {}`, `def x(): pass`, `def x(): ...`
-- ❌ **Stub explícito** — `throw new Error('not implemented')`, `unimplemented!()`, `todo!()`, `raise NotImplementedError`
-- ❌ **Retorno-fantasma** — `return null` / `return undefined` / `return {}` / `return []` como **única** statement de função pública declarada nesta task
-- ❌ **Mocks fora de testes** — `jest.fn()`, `sinon.stub()`, `mockReturnValue`, dados hardcoded fingindo ser do banco, fixtures injetadas em controllers/services
-- ❌ **Comentário de placeholder** — `// implement later`, `# placeholder`, `// stub`, `// FIXME implement`
-
-### Mocks são permitidos APENAS em
-
-- Arquivos de teste (`*.test.*`, `*.spec.*`, `__tests__/`, `tests/`, `spec/`)
-- Seeds / fixtures dentro de `database/seeders/`, `tests/fixtures/`
-- Helpers explicitamente marcados como auxiliares de teste
-
-### Verificação automática
-
-Antes de marcar a task como DONE, rode:
-
-```bash
-dare review <task-id>
-```
-
-Output esperado:
-
-```
-✅ task-XYZ: nenhum padrão proibido detectado em N arquivos modificados.
-```
-
-Se a review falhar, a task **não pode** ir para DONE — corrija os achados e re-rode.
-
----
-
-## 8. CRITÉRIOS DE DONE
-
-- [ ] Todos os 4 validation gates passaram sem erros (build + test + lint + audit)
-- [ ] Testes cobrem caminho feliz + erros enumerados + edge cases da seção 4
-- [ ] Considerações de segurança da seção 5 todas checadas
-- [ ] Arquivos listados na seção 3 criados/modificados conforme spec
-- [ ] **`dare review <task-id>` passou** (seção 7 — sem stubs, mocks, TODOs)
-- [ ] Cada validação declarada na spec tem teste demonstrando o erro real (não placeholder)
-- [ ] Cada edge case enumerado tem teste cobrindo
-- [ ] Endpoints retornam dados reais do banco/service, não hardcoded
-- [ ] `DARE/TASKS.md` atualizado com status `DONE`
-
----
-
-## 9. PRÓXIMA TASK SUGERIDA
-
-`[task-id]` — [título] _(desbloqueada após conclusão desta task)_
+# TASK [ID]: [Título da Task]
+
+> **Complexidade:** LOW / MED / HIGH  
+> **Depends on:** [task-ids ou —]  
+> **Estimativa:** [X horas]
+
+---
+
+## 1. OBJETIVO
+
+[Uma frase precisa do que esta task entrega. Deve ser verificável — termine com um estado observável, não uma ação.]
+
+Exemplo: _"Ao final desta task, o endpoint `POST /api/v1/users` aceita cadastro, valida unicidade de e-mail e retorna JWT."_
+
+---
+
+## 2. CONTEXTO
+
+- **Fase no BLUEPRINT:** Fase [N] — [Nome da fase]
+- **Arquivos existentes relevantes:** [caminhos de arquivos que servem de referência ou serão modificados]
+- **Decisões do BLUEPRINT que afetam esta task:** [cite seção/decisão específica]
+
+---
+
+## 3. ARQUIVOS A CRIAR / MODIFICAR
+
+| Ação | Caminho | Descrição |
+|------|---------|-----------|
+| CRIAR | `src/[módulo]/[arquivo]` | [o que contém] |
+| MODIFICAR | `src/[módulo]/[arquivo]` | [o que muda] |
+| CRIAR | `tests/[arquivo].test.[ext]` | Testes da feature |
+
+---
+
+## 4. IMPLEMENTAÇÃO
+
+### Passo 1: [Nome do passo]
+[Descrição precisa do que fazer. Inclua assinaturas de função/struct se crítico.]
+
+```[lang]
+// Exemplo de padrão esperado
+```
+
+### Passo 2: [Nome do passo]
+[Descrição]
+
+### Passo 3: Testes
+- [ ] Teste do caminho feliz (`should_[comportamento]_when_[condição]`)
+- [ ] Teste de erro de validação (400 / erro de negócio)
+- [ ] Teste de autorização (401 / 403 quando aplicável)
+- [ ] Teste de edge case: [descrever]
+
+---
+
+## 5. CONSIDERAÇÕES DE SEGURANÇA
+
+- [ ] **Input validation:** toda entrada do usuário validada no servidor antes de qualquer processamento
+- [ ] **Autenticação / Autorização:** verificar se o usuário tem permissão sobre o *recurso específico*, não só sobre a rota
+- [ ] **Dados sensíveis:** senhas, tokens e PII nunca aparecem em logs, responses de erro ou mensagens de exceção
+- [ ] **SQL / Command Injection:** usar ORM / prepared statements; nunca concatenar strings em queries
+- [ ] **Dependências novas:** se esta task adicionar uma dependência, verificar CVEs com `npm audit` / `cargo audit` / `pip-audit` antes de commitar
+- [ ] **Segredo em código:** nenhum token, chave ou credencial hardcoded — sempre via variável de ambiente
+
+---
+
+## 6. VALIDATION GATES (RALPH LOOP)
+
+Execute **todos** antes de marcar a task como DONE. Se qualquer um falhar, leia o erro, corrija e reexecute.
+
+```bash
+# 1. Build — sem erros de compilação
+[comando de build da stack]
+
+# 2. Tests — todos passando, incluindo os novos
+[comando de test]
+
+# 3. Lint — sem warnings
+[comando de lint]
+
+# 4. Auditoria de dependências (se novas deps foram adicionadas nesta task)
+[npm audit --audit-level=high | cargo audit | pip-audit | composer audit]
+```
+
+> **Gate de segurança obrigatório:** se esta task adicionar dependências externas, `[audit-cmd]` não pode retornar CVE de nível HIGH ou CRITICAL.
+
+---
+
+## 7. PADRÕES PROIBIDOS (ANTI-STUB / ANTI-MOCK)
+
+> Esta seção é **inegociável**. O comando `dare review` (v2.17+) escaneia o código modificado por esta task e reprova se encontrar qualquer padrão abaixo.
+
+### Em código de produção (qualquer arquivo **fora** de `*.test.*`, `*.spec.*`, `__tests__/`, `tests/`, `spec/`)
+
+- ❌ **TODO / FIXME / XXX / HACK** — qualquer um desses marcadores em comentário
+- ❌ **Função vazia** — `fn x() {}`, `function x() {}`, `def x(): pass`, `def x(): ...`
+- ❌ **Stub explícito** — `throw new Error('not implemented')`, `unimplemented!()`, `todo!()`, `raise NotImplementedError`
+- ❌ **Retorno-fantasma** — `return null` / `return undefined` / `return {}` / `return []` como **única** statement de função pública declarada nesta task
+- ❌ **Mocks fora de testes** — `jest.fn()`, `sinon.stub()`, `mockReturnValue`, dados hardcoded fingindo ser do banco, fixtures injetadas em controllers/services
+- ❌ **Comentário de placeholder** — `// implement later`, `# placeholder`, `// stub`, `// FIXME implement`
+
+### Mocks são permitidos APENAS em
+
+- Arquivos de teste (`*.test.*`, `*.spec.*`, `__tests__/`, `tests/`, `spec/`)
+- Seeds / fixtures dentro de `database/seeders/`, `tests/fixtures/`
+- Helpers explicitamente marcados como auxiliares de teste
+
+### Verificação automática
+
+Antes de marcar a task como DONE, rode:
+
+```bash
+dare review <task-id>
+```
+
+Output esperado:
+
+```
+✅ task-XYZ: nenhum padrão proibido detectado em N arquivos modificados.
+```
+
+Se a review falhar, a task **não pode** ir para DONE — corrija os achados e re-rode.
+
+---
+
+## 8. CRITÉRIOS DE DONE
+
+- [ ] Todos os 4 validation gates passaram sem erros (build + test + lint + audit)
+- [ ] Testes cobrem caminho feliz + erros enumerados + edge cases da seção 4
+- [ ] Considerações de segurança da seção 5 todas checadas
+- [ ] Arquivos listados na seção 3 criados/modificados conforme spec
+- [ ] **`dare review <task-id>` passou** (seção 7 — sem stubs, mocks, TODOs)
+- [ ] Cada validação declarada na spec tem teste demonstrando o erro real (não placeholder)
+- [ ] Cada edge case enumerado tem teste cobrindo
+- [ ] Endpoints retornam dados reais do banco/service, não hardcoded
+- [ ] `DARE/TASKS.md` atualizado com status `DONE`
+
+---
+
+## 9. PRÓXIMA TASK SUGERIDA
+
+`[task-id]` — [título] _(desbloqueada após conclusão desta task)_

package/templates/ide/claude/.claude/commands/dare-ax.md

@@ -0,0 +1,131 @@
+# /dare-ax
+
+Audita ou bootstrapa um projeto DARE com foco em **Agent Experience (AX)** — os sinais estruturados que agentes de código (Claude Code, Cursor, Antigravity) precisam para trabalhar sem refactor desnecessário.
+
+## Como usar
+
+```
+/dare-ax                          # audita projeto atual
+/dare-ax init                     # cria llms.txt + .env.example + ajustes mínimos
+/dare-ax openapi                  # valida ou gera openapi.json
+/dare-ax cli                      # adiciona --json em comandos CLI faltantes
+```
+
+## Os três planos AX
+
+### 1. Discovery — agente acha o que precisa
+
+- `llms.txt` na raiz com descrição, comandos, endpoints
+- `README.md` com bootstrap em 5 minutos
+- Estrutura de pastas previsível (`src/`, `tests/`, `docs/`, `DARE/`)
+
+### 2. Usage — agente consegue operar
+
+- `openapi.json` em `/openapi.json` (HTTP)
+- Flag `--json` em todos os CLIs
+- `Dockerfile` + `docker-compose.yml` validados
+- `.env.example` versionado
+
+### 3. Defense — agente não quebra produção
+
+- Rate limit (rack-attack, express-rate-limit, tower-governor, slowapi)
+- Validação de input (FormRequests, Pydantic, Zod, serde+validator)
+- Secrets só via env
+- `llms.txt` sem credenciais (scan no CI)
+
+## Métricas obrigatórias
+
+| ID | Métrica | Como verificar |
+|---|---|---|
+| M-01 | `llms.txt` existe e é válido (sem secrets, seções obrigatórias) | grep + parse |
+| M-02 | `openapi.json` ou `public/openapi.json` existe | `test -f` |
+| M-03 | CLI suporta `--json` | `cli --help \| grep '\-\-json'` |
+| M-04 | Rate limit configurado | grep pelo middleware da stack |
+
+Falha em CI se M-01 ou M-04 falharem em produção.
+
+## O que fazer
+
+### Passo 1: Auditar o projeto
+
+Confira na ordem:
+1. Existe `llms.txt`? Está atualizado?
+2. Existe `openapi.json` se o projeto expõe HTTP?
+3. Todos os CLIs aceitam `--json`?
+4. Existe rate limit em endpoints autenticados públicos?
+5. `.env.example` está versionado sem valores reais?
+
+### Passo 2: Gerar `llms.txt` se faltar
+
+Use este template — preencha apenas com comandos e endpoints que **existem de verdade**:
+
+```
+# <nome-do-projeto>
+
+> <descrição em 1-2 frases>
+
+## Stack
+- <linguagem + framework>
+- <banco>
+- <cache/fila>
+
+## Bootstrap
+- `make setup`
+- `make dev`
+- `make test`
+
+## Endpoints
+- `GET /healthz`
+- `GET /openapi.json`
+- `POST /api/login`
+
+## Docs
+- DARE/DESIGN.md
+- DARE/BLUEPRINT.md
+- docs/RUNBOOK.md
+```
+
+### Passo 3: Validar / gerar OpenAPI
+
+- **Node/NestJS** — `@nestjs/swagger`
+- **FastAPI** — automático em `/openapi.json`
+- **Rails** — `grape-swagger` ou `rswag`
+- **Rust/Axum** — `utoipa` + `utoipa-swagger-ui`
+- **Laravel** — `darkaonline/l5-swagger`
+
+### Passo 4: Adicionar `--json` no CLI
+
+Para cada comando:
+- Imprime JSON puro em stdout (sem cores ANSI, sem prompt)
+- Exit code 0 em sucesso, ≠ 0 em erro
+- Schema documentado no `llms.txt`
+
+### Passo 5: Configurar rate limit
+
+Adicione middleware específico da stack para todos os endpoints públicos. Padrão recomendado:
+- Login: 5 req / 15 min por IP + por usuário
+- API geral: 100 req / min por usuário autenticado
+
+## Antipatterns a evitar
+
+| AP | Por que evitar |
+|---|---|
+| Docs fora do código | Divergem |
+| OpenAPI à mão | Desatualiza |
+| CLI sem `--json` | Parsing regex frágil |
+| Rate limit só em dev | Produção vira target |
+| `llms.txt` com secrets | Credencial exposta |
+| CORS `*` em prod | Origem qualquer |
+
+## Saída esperada
+
+Reporte numerado dos 4 checks (M-01 a M-04). Para cada falha, mostre:
+- O que falta
+- Como corrigir (com comando concreto da stack)
+- Quem deve aprovar antes do CI travar release
+
+$ARGUMENTS
+
+---
+
+Skill MIT — parte do DARE Method.