@dewtech/dare-cli 2.17.0 → 3.1.0

package/templates/ide/cursor/templates/TASK-SPEC-template.md

@@ -1,141 +1,141 @@
-# TASK [ID]: [Título da Task]
-
-> **Complexidade:** LOW / MED / HIGH  
-> **Depends on:** [task-ids ou —]  
-> **Estimativa:** [X horas]
-
----
-
-## 1. OBJETIVO
-
-[Uma frase precisa do que esta task entrega. Deve ser verificável — termine com um estado observável, não uma ação.]
-
-Exemplo: _"Ao final desta task, o endpoint `POST /api/v1/users` aceita cadastro, valida unicidade de e-mail e retorna JWT."_
-
----
-
-## 2. CONTEXTO
-
-- **Fase no BLUEPRINT:** Fase [N] — [Nome da fase]
-- **Arquivos existentes relevantes:** [caminhos de arquivos que servem de referência ou serão modificados]
-- **Decisões do BLUEPRINT que afetam esta task:** [cite seção/decisão específica]
-
----
-
-## 3. ARQUIVOS A CRIAR / MODIFICAR
-
-| Ação | Caminho | Descrição |
-|------|---------|-----------|
-| CRIAR | `src/[módulo]/[arquivo]` | [o que contém] |
-| MODIFICAR | `src/[módulo]/[arquivo]` | [o que muda] |
-| CRIAR | `tests/[arquivo].test.[ext]` | Testes da feature |
-
----
-
-## 4. IMPLEMENTAÇÃO
-
-### Passo 1: [Nome do passo]
-[Descrição precisa do que fazer. Inclua assinaturas de função/struct se crítico.]
-
-```[lang]
-// Exemplo de padrão esperado
-```
-
-### Passo 2: [Nome do passo]
-[Descrição]
-
-### Passo 3: Testes
-- [ ] Teste do caminho feliz (`should_[comportamento]_when_[condição]`)
-- [ ] Teste de erro de validação (400 / erro de negócio)
-- [ ] Teste de autorização (401 / 403 quando aplicável)
-- [ ] Teste de edge case: [descrever]
-
----
-
-## 5. CONSIDERAÇÕES DE SEGURANÇA
-
-- [ ] **Input validation:** toda entrada do usuário validada no servidor antes de qualquer processamento
-- [ ] **Autenticação / Autorização:** verificar se o usuário tem permissão sobre o *recurso específico*, não só sobre a rota
-- [ ] **Dados sensíveis:** senhas, tokens e PII nunca aparecem em logs, responses de erro ou mensagens de exceção
-- [ ] **SQL / Command Injection:** usar ORM / prepared statements; nunca concatenar strings em queries
-- [ ] **Dependências novas:** se esta task adicionar uma dependência, verificar CVEs com `npm audit` / `cargo audit` / `pip-audit` antes de commitar
-- [ ] **Segredo em código:** nenhum token, chave ou credencial hardcoded — sempre via variável de ambiente
-
----
-
-## 6. VALIDATION GATES (RALPH LOOP)
-
-Execute **todos** antes de marcar a task como DONE. Se qualquer um falhar, leia o erro, corrija e reexecute.
-
-```bash
-# 1. Build — sem erros de compilação
-[comando de build da stack]
-
-# 2. Tests — todos passando, incluindo os novos
-[comando de test]
-
-# 3. Lint — sem warnings
-[comando de lint]
-
-# 4. Auditoria de dependências (se novas deps foram adicionadas nesta task)
-[npm audit --audit-level=high | cargo audit | pip-audit | composer audit]
-```
-
-> **Gate de segurança obrigatório:** se esta task adicionar dependências externas, `[audit-cmd]` não pode retornar CVE de nível HIGH ou CRITICAL.
-
----
-
-## 7. PADRÕES PROIBIDOS (ANTI-STUB / ANTI-MOCK)
-
-> Esta seção é **inegociável**. O comando `dare review` (v2.17+) escaneia o código modificado por esta task e reprova se encontrar qualquer padrão abaixo.
-
-### Em código de produção (qualquer arquivo **fora** de `*.test.*`, `*.spec.*`, `__tests__/`, `tests/`, `spec/`)
-
-- ❌ **TODO / FIXME / XXX / HACK** — qualquer um desses marcadores em comentário
-- ❌ **Função vazia** — `fn x() {}`, `function x() {}`, `def x(): pass`, `def x(): ...`
-- ❌ **Stub explícito** — `throw new Error('not implemented')`, `unimplemented!()`, `todo!()`, `raise NotImplementedError`
-- ❌ **Retorno-fantasma** — `return null` / `return undefined` / `return {}` / `return []` como **única** statement de função pública declarada nesta task
-- ❌ **Mocks fora de testes** — `jest.fn()`, `sinon.stub()`, `mockReturnValue`, dados hardcoded fingindo ser do banco, fixtures injetadas em controllers/services
-- ❌ **Comentário de placeholder** — `// implement later`, `# placeholder`, `// stub`, `// FIXME implement`
-
-### Mocks são permitidos APENAS em
-
-- Arquivos de teste (`*.test.*`, `*.spec.*`, `__tests__/`, `tests/`, `spec/`)
-- Seeds / fixtures dentro de `database/seeders/`, `tests/fixtures/`
-- Helpers explicitamente marcados como auxiliares de teste
-
-### Verificação automática
-
-Antes de marcar a task como DONE, rode:
-
-```bash
-dare review <task-id>
-```
-
-Output esperado:
-
-```
-✅ task-XYZ: nenhum padrão proibido detectado em N arquivos modificados.
-```
-
-Se a review falhar, a task **não pode** ir para DONE — corrija os achados e re-rode.
-
----
-
-## 8. CRITÉRIOS DE DONE
-
-- [ ] Todos os 4 validation gates passaram sem erros (build + test + lint + audit)
-- [ ] Testes cobrem caminho feliz + erros enumerados + edge cases da seção 4
-- [ ] Considerações de segurança da seção 5 todas checadas
-- [ ] Arquivos listados na seção 3 criados/modificados conforme spec
-- [ ] **`dare review <task-id>` passou** (seção 7 — sem stubs, mocks, TODOs)
-- [ ] Cada validação declarada na spec tem teste demonstrando o erro real (não placeholder)
-- [ ] Cada edge case enumerado tem teste cobrindo
-- [ ] Endpoints retornam dados reais do banco/service, não hardcoded
-- [ ] `DARE/TASKS.md` atualizado com status `DONE`
-
----
-
-## 9. PRÓXIMA TASK SUGERIDA
-
-`[task-id]` — [título] _(desbloqueada após conclusão desta task)_
+# TASK [ID]: [Título da Task]
+
+> **Complexidade:** LOW / MED / HIGH  
+> **Depends on:** [task-ids ou —]  
+> **Estimativa:** [X horas]
+
+---
+
+## 1. OBJETIVO
+
+[Uma frase precisa do que esta task entrega. Deve ser verificável — termine com um estado observável, não uma ação.]
+
+Exemplo: _"Ao final desta task, o endpoint `POST /api/v1/users` aceita cadastro, valida unicidade de e-mail e retorna JWT."_
+
+---
+
+## 2. CONTEXTO
+
+- **Fase no BLUEPRINT:** Fase [N] — [Nome da fase]
+- **Arquivos existentes relevantes:** [caminhos de arquivos que servem de referência ou serão modificados]
+- **Decisões do BLUEPRINT que afetam esta task:** [cite seção/decisão específica]
+
+---
+
+## 3. ARQUIVOS A CRIAR / MODIFICAR
+
+| Ação | Caminho | Descrição |
+|------|---------|-----------|
+| CRIAR | `src/[módulo]/[arquivo]` | [o que contém] |
+| MODIFICAR | `src/[módulo]/[arquivo]` | [o que muda] |
+| CRIAR | `tests/[arquivo].test.[ext]` | Testes da feature |
+
+---
+
+## 4. IMPLEMENTAÇÃO
+
+### Passo 1: [Nome do passo]
+[Descrição precisa do que fazer. Inclua assinaturas de função/struct se crítico.]
+
+```[lang]
+// Exemplo de padrão esperado
+```
+
+### Passo 2: [Nome do passo]
+[Descrição]
+
+### Passo 3: Testes
+- [ ] Teste do caminho feliz (`should_[comportamento]_when_[condição]`)
+- [ ] Teste de erro de validação (400 / erro de negócio)
+- [ ] Teste de autorização (401 / 403 quando aplicável)
+- [ ] Teste de edge case: [descrever]
+
+---
+
+## 5. CONSIDERAÇÕES DE SEGURANÇA
+
+- [ ] **Input validation:** toda entrada do usuário validada no servidor antes de qualquer processamento
+- [ ] **Autenticação / Autorização:** verificar se o usuário tem permissão sobre o *recurso específico*, não só sobre a rota
+- [ ] **Dados sensíveis:** senhas, tokens e PII nunca aparecem em logs, responses de erro ou mensagens de exceção
+- [ ] **SQL / Command Injection:** usar ORM / prepared statements; nunca concatenar strings em queries
+- [ ] **Dependências novas:** se esta task adicionar uma dependência, verificar CVEs com `npm audit` / `cargo audit` / `pip-audit` antes de commitar
+- [ ] **Segredo em código:** nenhum token, chave ou credencial hardcoded — sempre via variável de ambiente
+
+---
+
+## 6. VALIDATION GATES (RALPH LOOP)
+
+Execute **todos** antes de marcar a task como DONE. Se qualquer um falhar, leia o erro, corrija e reexecute.
+
+```bash
+# 1. Build — sem erros de compilação
+[comando de build da stack]
+
+# 2. Tests — todos passando, incluindo os novos
+[comando de test]
+
+# 3. Lint — sem warnings
+[comando de lint]
+
+# 4. Auditoria de dependências (se novas deps foram adicionadas nesta task)
+[npm audit --audit-level=high | cargo audit | pip-audit | composer audit]
+```
+
+> **Gate de segurança obrigatório:** se esta task adicionar dependências externas, `[audit-cmd]` não pode retornar CVE de nível HIGH ou CRITICAL.
+
+---
+
+## 7. PADRÕES PROIBIDOS (ANTI-STUB / ANTI-MOCK)
+
+> Esta seção é **inegociável**. O comando `dare review` (v2.17+) escaneia o código modificado por esta task e reprova se encontrar qualquer padrão abaixo.
+
+### Em código de produção (qualquer arquivo **fora** de `*.test.*`, `*.spec.*`, `__tests__/`, `tests/`, `spec/`)
+
+- ❌ **TODO / FIXME / XXX / HACK** — qualquer um desses marcadores em comentário
+- ❌ **Função vazia** — `fn x() {}`, `function x() {}`, `def x(): pass`, `def x(): ...`
+- ❌ **Stub explícito** — `throw new Error('not implemented')`, `unimplemented!()`, `todo!()`, `raise NotImplementedError`
+- ❌ **Retorno-fantasma** — `return null` / `return undefined` / `return {}` / `return []` como **única** statement de função pública declarada nesta task
+- ❌ **Mocks fora de testes** — `jest.fn()`, `sinon.stub()`, `mockReturnValue`, dados hardcoded fingindo ser do banco, fixtures injetadas em controllers/services
+- ❌ **Comentário de placeholder** — `// implement later`, `# placeholder`, `// stub`, `// FIXME implement`
+
+### Mocks são permitidos APENAS em
+
+- Arquivos de teste (`*.test.*`, `*.spec.*`, `__tests__/`, `tests/`, `spec/`)
+- Seeds / fixtures dentro de `database/seeders/`, `tests/fixtures/`
+- Helpers explicitamente marcados como auxiliares de teste
+
+### Verificação automática
+
+Antes de marcar a task como DONE, rode:
+
+```bash
+dare review <task-id>
+```
+
+Output esperado:
+
+```
+✅ task-XYZ: nenhum padrão proibido detectado em N arquivos modificados.
+```
+
+Se a review falhar, a task **não pode** ir para DONE — corrija os achados e re-rode.
+
+---
+
+## 8. CRITÉRIOS DE DONE
+
+- [ ] Todos os 4 validation gates passaram sem erros (build + test + lint + audit)
+- [ ] Testes cobrem caminho feliz + erros enumerados + edge cases da seção 4
+- [ ] Considerações de segurança da seção 5 todas checadas
+- [ ] Arquivos listados na seção 3 criados/modificados conforme spec
+- [ ] **`dare review <task-id>` passou** (seção 7 — sem stubs, mocks, TODOs)
+- [ ] Cada validação declarada na spec tem teste demonstrando o erro real (não placeholder)
+- [ ] Cada edge case enumerado tem teste cobrindo
+- [ ] Endpoints retornam dados reais do banco/service, não hardcoded
+- [ ] `DARE/TASKS.md` atualizado com status `DONE`
+
+---
+
+## 9. PRÓXIMA TASK SUGERIDA
+
+`[task-id]` — [título] _(desbloqueada após conclusão desta task)_

package/templates/shared/docker-compose.yml

@@ -1,41 +1,41 @@
-services:
-  app:
-    build: .
-    ports:
-      - "${PORT:-3000}:3000"
-    env_file: .env
-    depends_on:
-      db:
-        condition: service_healthy
-    networks:
-      - app-network
-
-  db:
-    image: postgres:16-alpine
-    environment:
-      POSTGRES_DB: ${DB_NAME:-{{PROJECT_NAME}}}
-      POSTGRES_USER: ${DB_USER:-postgres}
-      POSTGRES_PASSWORD: ${DB_PASS:-postgres}
-    volumes:
-      - db_data:/var/lib/postgresql/data
-    healthcheck:
-      test: ["CMD-SHELL", "pg_isready -U ${DB_USER:-postgres}"]
-      interval: 10s
-      timeout: 5s
-      retries: 5
-    networks:
-      - app-network
-
-  redis:
-    image: redis:7-alpine
-    volumes:
-      - redis_data:/data
-    networks:
-      - app-network
-
-networks:
-  app-network:
-
-volumes:
-  db_data:
-  redis_data:
+services:
+  app:
+    build: .
+    ports:
+      - "${PORT:-3000}:3000"
+    env_file: .env
+    depends_on:
+      db:
+        condition: service_healthy
+    networks:
+      - app-network
+
+  db:
+    image: postgres:16-alpine
+    environment:
+      POSTGRES_DB: ${DB_NAME:-{{PROJECT_NAME}}}
+      POSTGRES_USER: ${DB_USER:-postgres}
+      POSTGRES_PASSWORD: ${DB_PASS:-postgres}
+    volumes:
+      - db_data:/var/lib/postgresql/data
+    healthcheck:
+      test: ["CMD-SHELL", "pg_isready -U ${DB_USER:-postgres}"]
+      interval: 10s
+      timeout: 5s
+      retries: 5
+    networks:
+      - app-network
+
+  redis:
+    image: redis:7-alpine
+    volumes:
+      - redis_data:/data
+    networks:
+      - app-network
+
+networks:
+  app-network:
+
+volumes:
+  db_data:
+  redis_data:

package/templates/stacks/go-gin/.dare/skills.yml

@@ -0,0 +1,11 @@
+version: 1
+skills:
+  - id: skill-go-gin-api
+    source: skill-go-gin-api
+    description: Gin + sqlc + swag + pgx Layered Design
+  - id: dare-ax
+    source: dare-ax
+    description: Agent eXperience invariants (llms.txt, OpenAPI, --json, rate limit)
+  - id: dare-layered-design
+    source: dare-layered-design
+    description: Handler → Service → Repository → Model 4-layer architecture

package/templates/stacks/go-gin/.env.example

@@ -0,0 +1,24 @@
+# Application
+APP_PORT=8000
+LOG_LEVEL=info
+
+# Database
+DATABASE_URL=postgres://user:pass@localhost:5432/myapi?sslmode=disable
+
+# JWT auth
+JWT_SECRET=replace-me-in-prod
+JWT_EXP_HOURS=1
+
+# Password hashing
+BCRYPT_COST=12
+
+# Rate limit (token bucket per IP)
+RATE_LIMIT_PER_SEC=10
+RATE_LIMIT_BURST=20
+
+# CORS — comma-separated origins
+CORS_ORIGINS=http://localhost:3000
+
+# LLM
+LLM_PROVIDER=dummy
+# OPENAI_API_KEY=

package/templates/stacks/go-gin/.github/workflows/dare-ci.yml

@@ -0,0 +1,42 @@
+name: DARE CI
+
+on:
+  push:
+    branches: [main]
+  pull_request:
+    branches: [main]
+
+jobs:
+  audit:
+    name: govulncheck
+    runs-on: ubuntu-latest
+    steps:
+      - uses: actions/checkout@v4
+      - uses: actions/setup-go@v5
+        with:
+          go-version: "1.22"
+      - run: go install golang.org/x/vuln/cmd/govulncheck@latest
+      - run: govulncheck ./...
+
+  lint:
+    name: golangci-lint
+    runs-on: ubuntu-latest
+    steps:
+      - uses: actions/checkout@v4
+      - uses: actions/setup-go@v5
+        with:
+          go-version: "1.22"
+      - uses: golangci/golangci-lint-action@v6
+        with:
+          version: v1.61
+
+  test:
+    name: go test
+    runs-on: ubuntu-latest
+    steps:
+      - uses: actions/checkout@v4
+      - uses: actions/setup-go@v5
+        with:
+          go-version: "1.22"
+      - run: go mod download
+      - run: go test ./...

package/templates/stacks/go-gin/README.md.tpl

@@ -0,0 +1,38 @@
+# {{projectName}}
+
+DARE-shaped Go API on Gin. Layered Design (Handler → Service → Repository → Model).
+
+## Setup
+
+```bash
+cp .env.example .env
+docker compose up -d postgres
+go mod tidy
+go install github.com/sqlc-dev/sqlc/cmd/sqlc@latest
+go install github.com/swaggo/swag/cmd/swag@latest
+sqlc generate
+swag init -g cmd/server/main.go -o docs
+go run ./cmd/server
+```
+
+## Endpoints
+
+- `POST /auth/login` — exchange email/password for JWT
+- `GET /auth/me` — current user (Bearer JWT)
+- `GET /users` — list users (paginated)
+- `POST /users` — create user (admin only)
+- `GET /ws` — WebSocket echo
+- `GET /openapi.json` — OpenAPI surface
+- `GET /swagger/index.html` — Swagger UI (after `swag init`)
+
+## Commands
+
+- `go run ./cmd/server` — dev server (port 8000)
+- `go test ./...` — tests
+- `golangci-lint run` — lint
+- `govulncheck ./...` — vuln scan
+- `sqlc generate` — regenerate type-safe DB code
+
+## DARE Method
+
+See `.dare/skills.yml` for installed skills, `llms.txt` for agent context.

package/templates/stacks/go-gin/cmd/server/main.go.tpl

@@ -0,0 +1,78 @@
+// {{projectName}} — Gin API entrypoint.
+//
+// @title           {{projectName}}
+// @version         0.1.0
+// @description     DARE-shaped Gin API.
+// @BasePath        /
+package main
+
+import (
+	"context"
+	"encoding/json"
+	"fmt"
+	"log"
+	"net/http"
+	"os"
+
+	"github.com/gin-gonic/gin"
+	"github.com/joho/godotenv"
+
+	"{{moduleName}}/internal/config"
+	"{{moduleName}}/internal/db"
+	"{{moduleName}}/internal/handler"
+	"{{moduleName}}/internal/middleware"
+	"{{moduleName}}/internal/repository"
+	"{{moduleName}}/internal/service"
+)
+
+func main() {
+	_ = godotenv.Load()
+
+	cfg, err := config.FromEnv()
+	if err != nil {
+		log.Fatalf("config: %v", err)
+	}
+
+	pool, err := db.Connect(context.Background(), cfg.DatabaseURL)
+	if err != nil {
+		log.Fatalf("db: %v", err)
+	}
+	defer pool.Close()
+
+	repo := repository.NewUsersRepository(pool)
+	svcAuth := service.NewAuthService(repo, cfg)
+	svcUsers := service.NewUsersService(repo, cfg)
+
+	r := gin.New()
+	r.Use(gin.Recovery())
+	r.Use(middleware.RateLimit(cfg.RateLimitPerSec, cfg.RateLimitBurst))
+	r.Use(middleware.CORS(cfg.CORSOrigins))
+
+	r.GET("/healthz", func(c *gin.Context) { c.JSON(http.StatusOK, gin.H{"status": "ok"}) })
+	r.GET("/openapi.json", func(c *gin.Context) {
+		b, _ := os.ReadFile("openapi.json")
+		var v any
+		_ = json.Unmarshal(b, &v)
+		c.JSON(http.StatusOK, v)
+	})
+
+	auth := handler.NewAuthHandler(svcAuth, svcUsers, cfg)
+	r.POST("/auth/login", auth.Login)
+
+	protected := r.Group("/", middleware.JWT(cfg))
+	{
+		protected.GET("/auth/me", auth.Me)
+		users := handler.NewUsersHandler(svcUsers)
+		protected.GET("/users", users.List)
+		protected.POST("/users", users.Create)
+	}
+
+	ws := handler.NewWSHandler()
+	r.GET("/ws", ws.Handle)
+
+	addr := fmt.Sprintf(":%d", cfg.AppPort)
+	log.Printf("listening on %s", addr)
+	if err := r.Run(addr); err != nil {
+		log.Fatal(err)
+	}
+}

package/templates/stacks/go-gin/db/migrations/0001_create_users.down.sql

@@ -0,0 +1,2 @@
+DROP INDEX IF EXISTS ix_users_email;
+DROP TABLE IF EXISTS users;

package/templates/stacks/go-gin/db/migrations/0001_create_users.up.sql

@@ -0,0 +1,12 @@
+CREATE EXTENSION IF NOT EXISTS "uuid-ossp";
+
+CREATE TABLE IF NOT EXISTS users (
+    id          UUID PRIMARY KEY DEFAULT uuid_generate_v4(),
+    email       VARCHAR(254) NOT NULL UNIQUE,
+    password    VARCHAR(255) NOT NULL,
+    role        VARCHAR(16) NOT NULL DEFAULT 'USER',
+    created_at  TIMESTAMPTZ NOT NULL DEFAULT NOW(),
+    updated_at  TIMESTAMPTZ NOT NULL DEFAULT NOW()
+);
+
+CREATE INDEX IF NOT EXISTS ix_users_email ON users (email);

package/templates/stacks/go-gin/db/queries/users.sql

@@ -0,0 +1,23 @@
+-- name: FindUserByEmail :one
+SELECT id, email, password, role, created_at, updated_at
+FROM users
+WHERE email = $1;
+
+-- name: GetUserByID :one
+SELECT id, email, password, role, created_at, updated_at
+FROM users
+WHERE id = $1;
+
+-- name: ListUsers :many
+SELECT id, email, password, role, created_at, updated_at
+FROM users
+ORDER BY created_at DESC
+LIMIT $1 OFFSET $2;
+
+-- name: CountUsers :one
+SELECT COUNT(*) FROM users;
+
+-- name: CreateUser :one
+INSERT INTO users (id, email, password, role)
+VALUES ($1, $2, $3, $4)
+RETURNING id, email, password, role, created_at, updated_at;

package/templates/stacks/go-gin/gitignore

@@ -0,0 +1,7 @@
+/bin/
+/vendor/
+.env
+.env.local
+*.log
+.DS_Store
+docs/

package/templates/stacks/go-gin/go.mod.tpl

@@ -0,0 +1,17 @@
+module {{moduleName}}
+
+go 1.22
+
+require (
+	github.com/caarlos0/env/v11 v11.2.2
+	github.com/gin-gonic/gin v1.10.0
+	github.com/go-playground/validator/v10 v10.22.0
+	github.com/golang-jwt/jwt/v5 v5.2.1
+	github.com/google/uuid v1.6.0
+	github.com/gorilla/websocket v1.5.3
+	github.com/jackc/pgx/v5 v5.7.1
+	github.com/joho/godotenv v1.5.1
+	github.com/stretchr/testify v1.9.0
+	golang.org/x/crypto v0.28.0
+	golang.org/x/time v0.7.0
+)

package/templates/stacks/go-gin/internal/config/config.go

@@ -0,0 +1,41 @@
+// Package config — runtime configuration from environment via caarlos0/env.
+package config
+
+import (
+	"strings"
+
+	"github.com/caarlos0/env/v11"
+)
+
+type Config struct {
+	AppPort          int      `env:"APP_PORT" envDefault:"8000"`
+	DatabaseURL      string   `env:"DATABASE_URL,required"`
+	JWTSecret        string   `env:"JWT_SECRET" envDefault:"replace-me-in-prod"`
+	JWTExpHours      int      `env:"JWT_EXP_HOURS" envDefault:"1"`
+	BcryptCost       int      `env:"BCRYPT_COST" envDefault:"12"`
+	RateLimitPerSec  int      `env:"RATE_LIMIT_PER_SEC" envDefault:"10"`
+	RateLimitBurst   int      `env:"RATE_LIMIT_BURST" envDefault:"20"`
+	CORSOriginsRaw   string   `env:"CORS_ORIGINS" envDefault:"http://localhost:3000"`
+	LLMProvider      string   `env:"LLM_PROVIDER" envDefault:"dummy"`
+	CORSOrigins      []string `env:"-"`
+}
+
+func FromEnv() (*Config, error) {
+	cfg := &Config{}
+	if err := env.Parse(cfg); err != nil {
+		return nil, err
+	}
+	cfg.CORSOrigins = splitAndTrim(cfg.CORSOriginsRaw)
+	return cfg, nil
+}
+
+func splitAndTrim(s string) []string {
+	parts := strings.Split(s, ",")
+	out := make([]string, 0, len(parts))
+	for _, p := range parts {
+		if t := strings.TrimSpace(p); t != "" {
+			out = append(out, t)
+		}
+	}
+	return out
+}