@justmpm/firebase-audit 0.5.16 → 0.5.18

package/README.md

@@ -46,7 +46,7 @@ Princípio gravado no README:
   // context("src/orders/delete.ts") → assinaturas sem implementação
   ```
   Proibido chamar via terminal (`spawn npx ai-tool`) ou via MCP dentro do código. Chamada direta = tipada, rápida, testável.
-- `@justmpm/supergrep` (v0.6.0, hoje só MCP) → acha candidatos `where()`, `orderBy()`, `requirePermission()` ignorando formatação/quebra de linha. Usar como **dependência** após a Etapa 0:
+- `@justmpm/supergrep` (^0.7.0, dependência direta) → acha candidatos `where()`, `orderBy()`, `requirePermission()` ignorando formatação/quebra de linha:
   ```ts
   import { executeFind } from "@justmpm/supergrep";
   // executeFind('where($FIELD, $OP, $VAL)') → candidatos
@@ -97,7 +97,7 @@ Exemplo de `Finding` (agente copia este formato):
   file: "src/orders/delete.ts",
   line: 42,
   message: 'Permission "orders.delete" usada mas não declarada no contrato.',
-  fingerprint: "FBA004:src/orders/delete.ts:orders.delete",
+  fingerprint: "FBA004:src/orders/delete.ts:42:orders.delete",
   evidence: [{ kind: "permission-call", summary: 'rbac.can("orders.delete")', confidence: "CONFIRMED" }],
   fix: 'Declarar "orders.delete" em firebase-audit.yaml ou corrigir o nome da chamada.',
 }
@@ -176,13 +176,15 @@ Limites assumidos: Emulator não prova índice (produção exige, ele deixa pass
 | FBA011 | Role referencia permission não declarada | ERROR | CONFIRMED |
 | FBA012 | Rule ampla vs contrato admin-only | WARNING | PROBABLE |
 | FBA013 | Role sem permissions | WARNING | CONFIRMED |
-| FBA014 | Create/update próprio em `admins/` sem gate de admin (auto-promoção) | WARNING | PROBABLE |
+| FBA014 | Create/update/write próprio em `admins/` sem gate de admin (auto-promoção) | WARNING | PROBABLE |
 | AUTH_ANON_ALLOWED | `auth != null` sozinho (anônimo passa) | INFO | PROBABLE |
-| STORAGE_* | Escrita aberta / curinga total / leitura aberta / anônimo (por bloco do match) | ERROR/WARNING/INFO | CONFIRMED/PROBABLE |
+| STORAGE_* | Escrita aberta (ERROR) / curinga total na raiz (WARNING) / curinga em pasta dedicada ou leitura aberta = vitrine a confirmar (INFO, prefira `get` sem `list`) / anônimo (INFO, por bloco do match) | ERROR/WARNING/INFO | CONFIRMED/PROBABLE |
 | APPCHECK_* | Carimbo observado / verificação manual (onRequest por rota) | INFO | CONFIRMED/PROBABLE |
 
 Detalhes que quebram se deixar pra depois: `write` = create+update+delete (guardar origem), `OR` nas Rules (`isAdmin() || public==true`), `resource` vs `request.resource`, `collectionGroup` com escopo próprio, `databaseId` nomeado desde o dia 1.
 
+`summary.implementedChecks` lista os checks FBA cobrados (10); `summary.checked` lista áreas olhadas (arquivos) — não confundir um com o outro.
+
 ### Decisões (porquês — não reverter sem discutir)
 
 1. **Static-first, Verifier como interface.** V1 entrega valor sem Emulator. Verifier entra depois sem reescrever o núcleo.
@@ -208,9 +210,11 @@ Detalhes que quebram se deixar pra depois: `write` = create+update+delete (guard
 
 ## 3. Plano de ação
 
-### Etapa 0 — Adaptar o supergrep (pré-requisito)
+### Etapa 0 — Adaptar o supergrep (pré-requisito) — ✅ concluída
+
+O supergrep já exporta `executeFind` como dependência direta (`^0.7.0`); o bloco abaixo é histórico, mantido como contexto:
 
-Hoje o supergrep só exporta `startMcpServer`. O `find` core está preso em `src/tools/find.ts`.
+~~Hoje o supergrep só exporta `startMcpServer`. O `find` core está preso em `src/tools/find.ts`.~~
 
 1. Exportar `executeFind(pattern, options)` e `getTree()` em `src/index.ts` do supergrep.
 2. Publicar `@justmpm/supergrep` minor nova.
@@ -237,7 +241,7 @@ Hoje o supergrep só exporta `startMcpServer`. O `find` core está preso em `src
 
 ### Etapa 4 — 10 checks + CLI
 
-- Implementar FBA001–FBA010 com `fingerprint` estável pra CI (`FBA001:firestore.rules:orders:write`).
+- Implementar FBA001–FBA004, FBA009–FBA014 com `fingerprint` estável pra CI (v2: path + target normalizado + hash da condição, ex: `FBA001:firestore.rules:orders:write:<hash>`).
 - Regressão com fixtures.
 
 ### Etapa 5 — V2 contrato + V3 emulator + V4 drift

package/dist/{chunk-DXYPKVMR.js → chunk-4EL5FUQG.js}

@@ -226,6 +226,16 @@ function make(rule, severity, confidence, message, fingerprint, opts = {}) {
 function checksAdminPower(cond, condRaw, rule, helperDetailed) {
   const isInvertedAdmin = /admin\s*==\s*false/i.test(cond) || /admin\s*!=\s*true/i.test(cond) || /admin\s*!==\s*true/i.test(cond) || /!\s*request\.auth\.token\.admin\b/i.test(cond) || /!\s*\(\s*request\.auth\.token\.admin\b/i.test(cond) || /!\s*\([^()]*admin\s*==\s*true/i.test(cond) || /!\s*\([^()]*==\s*['"]admin['"]/i.test(cond);
   const normClaim = (c) => c.toLowerCase().replace(/[_-]/g, "");
+  for (const target of [condRaw, cond]) {
+    const negCall = /!\s*\(?\s*((?:[A-Za-z_][A-Za-z0-9_]*\.)*[A-Za-z_][A-Za-z0-9_]*)\s*\(/.exec(target) ?? /((?:[A-Za-z_][A-Za-z0-9_]*\.)*[A-Za-z_][A-Za-z0-9_]*)\s*\([^()]*\)\s*(==\s*false|!=\s*true|!==\s*true)/.exec(target);
+    if (!negCall) continue;
+    const dotted = negCall[1];
+    const simple = dotted.split(".").pop();
+    const fn = helperDetailed.get(simple) ?? helperDetailed.get(simple.toLowerCase());
+    const body = fn ? fn.body : "";
+    const bodyHasAdmin = /token\.admin\b/i.test(body) || /token\.get\(\s*['"]admin['"]/i.test(body) || /==\s*['"]admin['"]/i.test(body) || /request\.auth\.token/i.test(body);
+    if (bodyHasAdmin || /^request\.auth\.token\b/i.test(dotted)) return false;
+  }
   const isAdminCall = /\bisadmin\s*\(([^)]*)\)/i.exec(condRaw) ?? /\bisadmin\s*\(([^)]*)\)/i.exec(cond);
   let isAdminBodyHasAdmin = false;
   if (isAdminCall) {
@@ -260,7 +270,7 @@ function branchHasCallerDocGate(branch) {
   const re = /\b(?:exists|get)\s*\(/gi;
   let m;
   while ((m = re.exec(branch)) !== null) {
-    if (/!\s*(?:firestore\.)?$/.test(branch.slice(0, m.index))) continue;
+    if (/![\s(]*(?:firestore\.)?$/.test(branch.slice(0, m.index))) continue;
     let depth = 0;
     const start = m.index + m[0].length;
     let end = -1;
@@ -567,7 +577,7 @@ async function runChecks(model, rootDir, opts = {}) {
   for (const rule of model.rules) {
     const segments = rule.path.split("/").filter((s) => s.length > 0).map((s) => s.toLowerCase());
     const adminIdx = segments.indexOf("admins");
-    if (adminIdx === -1 || adminIdx + 1 >= segments.length) continue;
+    if (adminIdx === -1 || adminIdx + 2 !== segments.length) continue;
     const ruleOps = new Set(rule.operations.flatMap(expandOp));
     const escalating = ["create", "write", "update"].filter((o) => ruleOps.has(o));
     if (escalating.length === 0) continue;
@@ -1338,16 +1348,18 @@ async function scan(rootDir, opts = {}) {
           }
           if (ops.has("read") || ops.has("get") || ops.has("list")) {
             if (wildcard) {
+              const scope = storageScopeOf(m.matchPath);
+              const enumerates = ops.has("read") || ops.has("list");
               findings.push({
                 rule: "STORAGE_ALL_PATHS_OPEN",
-                severity: "WARNING",
+                severity: scope.isRoot ? "WARNING" : "INFO",
                 confidence: "PROBABLE",
-                message: `Storage com leitura aberta em curinga total (${where}). Vale para tudo \u2014 se a inten\xE7\xE3o era s\xF3 logo, restrinja a /logos/{id}.`,
+                message: scope.isRoot ? `Storage com leitura aberta em curinga total na raiz (${where}). Vale para o bucket inteiro \u2014 pelo OR, anula as pastas privadas dos outros blocos. Restrinja a pastas expl\xEDcitas (ex: /logos/{logoId}) com get: if true e write restrito.` : `Storage com leitura aberta em curinga da pasta ${scope.folder} (${where}). Pode ser vitrine proposital \u2014 mas o =** libera tudo abaixo da pasta${enumerates ? " e allow read/list permite enumerar" : ""}; para vitrine segura prefira allow get (sem list). Confirme que o write segue restrito.`,
                 fingerprint: `STORAGE_ALL_PATHS_OPEN:${m.fpPath}:${normalizeTarget(m.target)}:${key}`,
                 file: relStorage,
                 line: m.line,
                 evidence: [{ id: evId("all"), kind: "storage-public", summary: `${m.matchPath} allow ${m.target}`, confidence: "PROBABLE", location: { file: relStorage, start: { line: m.line, column: 0 } } }],
-                fix: "Troque o curinga total por pastas expl\xEDcitas (ex: /logos/{logoId}) com get: if true e write restrito."
+                fix: scope.isRoot ? "Troque o curinga total por pastas expl\xEDcitas (ex: /logos/{logoId}) com get: if true e write restrito." : "Para vitrine, troque allow read por allow get (sem list) na pasta p\xFAblica; valide no Emulator."
               });
             } else {
               const enumerates = ops.has("read") || ops.has("list");
@@ -1355,7 +1367,7 @@ async function scan(rootDir, opts = {}) {
                 rule: "STORAGE_PUBLIC_READ",
                 severity: "INFO",
                 confidence: "PROBABLE",
-                message: enumerates ? `Storage com leitura aberta (${where}). Pode ser vitrine proposital \u2014 mas allow read/list permite enumerar a pasta; para vitrine segura prefira allow get. Confirme que o write segue restrito.` : `Storage com leitura aberta (${where}). Pode ser vitrine proposital (logos) \u2014 confirme que o write segue restrito.`,
+                message: enumerates ? `Storage com leitura aberta (${where}). Pode ser vitrine proposital \u2014 mas allow read/list permite enumerar a pasta; para vitrine segura prefira allow get. Confirme que o write segue restrito.` : `Storage com leitura aberta (${where}). Pode ser vitrine proposital \u2014 confirme que o write segue restrito.`,
                 fingerprint: `STORAGE_PUBLIC_READ:${m.fpPath}:${normalizeTarget(m.target)}:${key}`,
                 file: relStorage,
                 line: m.line,
@@ -1505,6 +1517,7 @@ async function scan(rootDir, opts = {}) {
       infos,
       passedChecks,
       totalChecks,
+      implementedChecks: [...IMPLEMENTED_CHECKS],
       infra,
       checked,
       skipped,
@@ -1616,6 +1629,16 @@ function findNoAuthBranch(effective) {
   }
   return void 0;
 }
+function storageScopeOf(matchPath) {
+  const segs = matchPath.split("/").filter((s) => s.length > 0);
+  let rest = segs;
+  if (rest.length >= 3 && rest[0] === "b" && rest[2] === "o") rest = rest.slice(3);
+  const wildIdx = rest.findIndex((s) => /\{\s*\w+\s*=\s*\*\*\s*\}/.test(s));
+  const prefix = wildIdx === -1 ? rest : rest.slice(0, wildIdx);
+  const meaningful = prefix.filter((s) => !/^\{.*\}$/.test(s) && !/^\(.*\)$/.test(s));
+  if (meaningful.length === 0) return { isRoot: true, folder: "/" };
+  return { isRoot: false, folder: `/${meaningful.join("/")}/` };
+}
 function parseStorageAllows(clean) {
   const text = clean.replace(/\r\n?/g, "\n");
   const out = [];

package/dist/{chunk-PVB6GT4F.js → chunk-JOM45NO4.js}

@@ -1,6 +1,6 @@
 import {
   scan
-} from "./chunk-DXYPKVMR.js";
+} from "./chunk-4EL5FUQG.js";
 import {
   verify
 } from "./chunk-CSMT4PIP.js";

package/dist/cli.js

@@ -1,7 +1,7 @@
 #!/usr/bin/env node
 import {
   scan
-} from "./chunk-DXYPKVMR.js";
+} from "./chunk-4EL5FUQG.js";
 import "./chunk-7J3ADEBW.js";
 
 // src/cli.ts
@@ -84,7 +84,7 @@ Uso: firebase-audit scan|check|verify|drift [--json] ...`);
   const { resolve: resolveRoot } = await import("path");
   const rootDir = cwdArg ? resolveRoot(process.cwd(), cwdArg) : process.cwd();
   if (cmd === "verify") {
-    const { scan: scanForVerify } = await import("./scan-6HV5HFKH.js");
+    const { scan: scanForVerify } = await import("./scan-FMH76BG3.js");
     const { verify } = await import("./verify-GQSR4FQL.js");
     const { resolve: resolveVerify } = await import("path");
     const coverageArg = getArg("coverage");

package/dist/index.d.ts

@@ -773,6 +773,9 @@ interface ScanSummary {
     passedChecks: number;
     /** Total de checks FBA implementados. */
     totalChecks: number;
+    /** Quais são os checks FBA (ordem de IMPLEMENTED_CHECKS): `checked[]`
+     * lista ÁREAS olhadas (arquivos), este lista os CHECKS cobrados. */
+    implementedChecks: string[];
     /** Infra nomeada (fora dos checks FBA): cada item diz qual e por quê. */
     infra: {
         rule: string;

package/dist/index.js

@@ -1,7 +1,7 @@
 import {
   createMcpServer,
   startMcpServer
-} from "./chunk-PVB6GT4F.js";
+} from "./chunk-JOM45NO4.js";
 import {
   AccessOriginSchema,
   AuditYamlSchema,
@@ -34,7 +34,7 @@ import {
   runChecks,
   scan,
   validateClaimSamples
-} from "./chunk-DXYPKVMR.js";
+} from "./chunk-4EL5FUQG.js";
 import {
   buildFullPath,
   conditionKeyForFingerprint,

package/dist/mcp-cli.js

@@ -1,8 +1,8 @@
 #!/usr/bin/env node
 import {
   startMcpServer
-} from "./chunk-PVB6GT4F.js";
-import "./chunk-DXYPKVMR.js";
+} from "./chunk-JOM45NO4.js";
+import "./chunk-4EL5FUQG.js";
 import "./chunk-7J3ADEBW.js";
 import "./chunk-CSMT4PIP.js";
 import "./chunk-LD3F73XI.js";

package/dist/mcp.js

@@ -1,8 +1,8 @@
 import {
   createMcpServer,
   startMcpServer
-} from "./chunk-PVB6GT4F.js";
-import "./chunk-DXYPKVMR.js";
+} from "./chunk-JOM45NO4.js";
+import "./chunk-4EL5FUQG.js";
 import "./chunk-7J3ADEBW.js";
 import "./chunk-CSMT4PIP.js";
 import "./chunk-LD3F73XI.js";

package/dist/{scan-6HV5HFKH.js → scan-FMH76BG3.js}

@@ -1,6 +1,6 @@
 import {
   scan
-} from "./chunk-DXYPKVMR.js";
+} from "./chunk-4EL5FUQG.js";
 import "./chunk-7J3ADEBW.js";
 export {
   scan

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@justmpm/firebase-audit",
-  "version": "0.5.16",
+  "version": "0.5.18",
   "description": "Auditor de consistência e segurança para projetos Firebase: código + Rules + índices + contrato vs comportamento. Static-first, nunca inventa certeza.",
   "keywords": [
     "firebase",

package/skill/SKILL.md

@@ -19,11 +19,12 @@ Skill para agentes usarem o `@justmpm/firebase-audit` do jeito certo.
 - Nunca dizer "unused" — apenas NOT_OBSERVED
 - Claims: 1000 bytes max, sem chaves OIDC reservadas, só controle de acesso
 - AppCheck é carimbo do app oficial — não prova usuário nem tenant
-- Logo pública (`get: if true` em `/logos/`) pode ser vitrine proposital — cofre é `write: if true` ou curinga total aberto
+- Logo pública (`get: if true` em `/logos/`) pode ser vitrine proposital — cofre é `write: if true` ou curinga total na raiz; curinga em pasta dedicada com leitura aberta é vitrine INFO (prefira `get` sem `list`), não cofre
 - Storage resolve funções auxiliares do `.rules` antes de acusar (portaria com auth dentro não é "sem auth", inclui `let` do rules v2); helper não declarado vira PROBABLE com o nome na mensagem, nunca silêncio
 - Storage tolera CRLF (arquivo Windows) e path `/(unknown)` nunca repete fingerprint (sufixo de linha só no degenerado)
 - Regra com `auth != null && exists(admins/uid)` diz "login + documento via exists()", não "qualquer autenticado" — sem claim/provider, anônimo com login passa no conjunto se obtiver o doc
-- FBA014: `allow create/update` próprio em `admins/` sem claim/papel de admin nem doc-gate é auto-promoção provável (caso cadastro que escreve `role: 'admin'`) — doc-gate só vale amarrado ao uid em todo ramo de `||`; confirme o signup e o Emulator; `users/{uid}` + campo role e `admin` singular estão fora do escopo estático
+- FBA014: `allow create/update/write` próprio em `admins/` sem claim/papel de admin nem doc-gate é auto-promoção provável (caso cadastro que escreve `role: 'admin'`) — doc-gate só vale amarrado ao uid em todo ramo de `||`; confirme o signup e o Emulator; `users/{uid}` + campo role, `admin` singular e `if false` (deny) estão fora do escopo estático
+- `summary.implementedChecks` lista os checks FBA cobrados; `summary.checked` lista áreas olhadas (arquivos) — 10 checks, não 10 arquivos
 - Storage avalia disjunção por ramo (`auth || tamanho` acusa o ramo sem auth) e `return false` via helper é deny silencioso, igual ao `if false`
 - Seeds/fixtures com Admin SDK moram em `scripts/` ou `server/`, nunca em `src/` (senão o scan acusa FBA003 de propósito)