@mocoto/mahoraga 0.14.0 → 0.14.1

package/dist/analysts/shell/analysts/analyst-shell.js

@@ -1,13 +1,19 @@
+// SPDX-License-Identifier: MIT
 import { messages } from '../../../core/messages/index.js';
 import { criarAnalista, criarOcorrencia } from '../../../types/index.js';
+/**
+ * Analista de Shell Script
+ * Detecta práticas inseguras, comandos perigosos e má organização em scripts .sh, .bash, etc.
+ */
 export const analistaShell = criarAnalista({
     nome: 'analista-shell',
     categoria: 'infrastructure',
     descricao: 'Analisa scripts Shell em busca de comandos perigosos, insegurança e falta de boas práticas.',
     test: (relPath) => /\.(sh|bash|zsh|fish)$/i.test(relPath),
-    aplicar: async (src, relPath) => {
+    aplicar: (src, relPath) => {
         const ocorrencias = [];
         const linhas = src.split('\n');
+        // 1. Verificar Shebang (Boas Práticas)
         if (linhas.length > 0 && !linhas[0].startsWith('#!')) {
             ocorrencias.push(criarOcorrencia({
                 tipo: 'codigo-fragil',
@@ -18,6 +24,7 @@ export const analistaShell = criarAnalista({
                 sugestao: messages.AnalistaShellMensagens.missingShebangSugestao
             }));
         }
+        // 2. Verificar 'set -e' ou 'set -o pipefail' (Tratamento de Erros)
         const srcCompleto = src.toLowerCase();
         if (!srcCompleto.includes('set -e') && !srcCompleto.includes('set -o pipefail')) {
             ocorrencias.push(criarOcorrencia({
@@ -32,8 +39,11 @@ export const analistaShell = criarAnalista({
         linhas.forEach((linha, index) => {
             const numeroLinha = index + 1;
             const linhaTrim = linha.trim();
-            if (linhaTrim.startsWith('#'))
+            // Ignorar comentários
+            if (linhaTrim.startsWith('#')) {
                 return;
+            }
+            // 3. Uso de eval (Insegurança)
             if (/\beval\s+/.test(linha)) {
                 ocorrencias.push(criarOcorrencia({
                     tipo: 'vulnerabilidade-seguranca',
@@ -44,7 +54,10 @@ export const analistaShell = criarAnalista({
                     sugestao: messages.AnalistaShellMensagens.evalUsageSugestao
                 }));
             }
+            // 4. Variáveis não aspeadas (Fragilidade)
+            // Detecta patterns como $VAR sem aspas (ex: echo $USER, mas ignora em loops/condicionais complexas)
             if (/\$(\w+)\b/.test(linha) && !/["'].*\$\w+.*["']/.test(linha) && !/\$\(.*\)/.test(linha) && !/^\s*(for|while|if|case|read)\s+/.test(linhaTrim)) {
+                // Heurística simples: se a variável aparece sozinha ou em comando comum
                 if (/\b(echo|ls|cd|rm|cp|mv)\s+.*\$\w+/.test(linhaTrim)) {
                     ocorrencias.push(criarOcorrencia({
                         tipo: 'codigo-fragil',
@@ -56,6 +69,7 @@ export const analistaShell = criarAnalista({
                     }));
                 }
             }
+            // 5. Comandos perigosos (Segurança/Risco)
             if (/\brm\s+-rf\s+\/(\s|$|['"`])/.test(linha)) {
                 ocorrencias.push(criarOcorrencia({
                     tipo: 'vulnerabilidade-seguranca',
@@ -66,6 +80,7 @@ export const analistaShell = criarAnalista({
                     sugestao: messages.AnalistaShellMensagens.rmRfRootSugestao
                 }));
             }
+            // 6. curl/wget pipe to sh (Risco de Segurança)
             if (/(curl|wget).*(|\s)sh(\s|$)/.test(linha)) {
                 ocorrencias.push(criarOcorrencia({
                     tipo: 'vulnerabilidade-seguranca',
@@ -76,6 +91,7 @@ export const analistaShell = criarAnalista({
                     sugestao: messages.AnalistaShellMensagens.curlPipeShSugestao
                 }));
             }
+            // 7. Senhas em variáveis (Segurança)
             if (/\b(password|pass|secret|token|key)\b\s*=\s*['"].*['"]/i.test(linha)) {
                 ocorrencias.push(criarOcorrencia({
                     tipo: 'vulnerabilidade-seguranca',
@@ -86,6 +102,7 @@ export const analistaShell = criarAnalista({
                     sugestao: messages.AnalistaShellMensagens.hardcodedPasswordSugestao
                 }));
             }
+            // 8. Uso de sudo (Boas Práticas de Infra)
             if (/\bsudo\s+/.test(linha) && !relPath.includes('setup') && !relPath.includes('install')) {
                 ocorrencias.push(criarOcorrencia({
                     tipo: 'codigo-fragil',
@@ -101,4 +118,3 @@ export const analistaShell = criarAnalista({
     },
     global: false
 });
-//# sourceMappingURL=analyst-shell.js.map

package/dist/analysts/shell/analysts/index.js

@@ -1,2 +1 @@
 export * from './analyst-shell.js';
-//# sourceMappingURL=index.js.map

package/dist/analysts/shell/corrections/correction-shell.js

@@ -1,3 +1,12 @@
+// SPDX-License-Identifier: MIT
+/**
+ * [CHAVE-INGLESA] Correções automáticas para Shell Script
+ *
+ * Fornece correções sugeridas para problemas comuns em Shell:
+ * - Quote variables
+ * - Replace eval
+ * - Add set -e
+ */
 import { messages } from '../../../core/messages/index.js';
 import { splitLines } from '../../../shared/helpers/index.js';
 import { criarOcorrencia } from '../../../types/index.js';
@@ -52,8 +61,9 @@ export const correctionShell = {
     descricao: 'Correções automáticas para Shell Script',
     test: (relPath) => /\.(sh|bash|zsh|fish)$/i.test(relPath),
     aplicar: (src, relPath) => {
-        if (!src)
+        if (!src) {
             return [];
+        }
         const correcoes = detectarCorrecoesShell(src, relPath);
         return correcoes.map(elem => criarOcorrencia({
             tipo: `correction-${elem.tipo}`,
@@ -65,4 +75,3 @@ export const correctionShell = {
         }));
     }
 };
-//# sourceMappingURL=correction-shell.js.map

package/dist/analysts/shell/corrections/index.js

@@ -1,2 +1,2 @@
+// SPDX-License-Identifier: MIT
 export * from './correction-shell.js';
-//# sourceMappingURL=index.js.map

package/dist/analysts/shell/detectors/detector-shell-security.js

@@ -1,6 +1,8 @@
+// SPDX-License-Identifier: MIT
 import { messages } from '../../../core/messages/index.js';
 import { splitLines } from '../../../shared/helpers/index.js';
 import { criarOcorrencia } from '../../../types/index.js';
+// ─── Plugin Registration System ───────────────────────────────────────────────
 const detectoresRegistrados = [];
 export function registrarDetectorShell(detector) {
     detectoresRegistrados.push(detector);
@@ -14,12 +16,15 @@ export const detectorShellSecurity = {
     descricao: 'Detecta vulnerabilidades, más práticas e problemas de portabilidade em Shell Script',
     test: (relPath) => /\.(sh|bash|zsh|fish)$/i.test(relPath),
     aplicar: async (src, relPath) => {
-        if (!src)
+        if (!src) {
             return [];
+        }
         const ocorrencias = [];
         const linhas = splitLines(src);
         const _srcCompleto = src.toLowerCase();
         const shebang = linhas.length > 0 ? linhas[0] : '';
+        // ── Security ────────────────────────────────────────────────────────────────
+        // Shebang
         if (linhas.length > 0 && !shebang.startsWith('#!')) {
             ocorrencias.push(criarOcorrencia({
                 tipo: 'shell-missing-shebang',
@@ -30,6 +35,7 @@ export const detectorShellSecurity = {
                 sugestao: messages.DetectorShellMensagens.missingShebangSugestao
             }));
         }
+        // set -e / pipefail
         if (!/set\s+(-e|-o\s+pipefail)/.test(src)) {
             ocorrencias.push(criarOcorrencia({
                 tipo: 'shell-missing-set-e',
@@ -40,6 +46,7 @@ export const detectorShellSecurity = {
                 sugestao: messages.DetectorShellMensagens.missingSetESugestao
             }));
         }
+        // pipefail only (set -e present, -o pipefail missing)
         if (/set\s+-e/.test(src) && !/set\s+-o\s+pipefail/.test(src)) {
             ocorrencias.push(criarOcorrencia({
                 tipo: 'shell-unsafe-pipefail',
@@ -54,8 +61,10 @@ export const detectorShellSecurity = {
         linhas.forEach((linha, index) => {
             const numeroLinha = index + 1;
             const linhaTrim = linha.trim();
-            if (linhaTrim.startsWith('#'))
+            if (linhaTrim.startsWith('#')) {
                 return;
+            }
+            // ── Security: eval ──────────────────────────────────────────────────────
             if (/\beval\s+/.test(linha)) {
                 ocorrencias.push(criarOcorrencia({
                     tipo: 'shell-eval-usage',
@@ -66,6 +75,7 @@ export const detectorShellSecurity = {
                     sugestao: messages.DetectorShellMensagens.evalUsageSugestao
                 }));
             }
+            // ── Security: rm -rf / ───────────────────────────────────────────────────
             if (/\brm\s+-rf\s+\/(\s|$)/.test(linha)) {
                 ocorrencias.push(criarOcorrencia({
                     tipo: 'shell-rm-rf-root',
@@ -76,6 +86,7 @@ export const detectorShellSecurity = {
                     sugestao: messages.DetectorShellMensagens.rmRfRootSugestao
                 }));
             }
+            // ── Security: curl|sh ──────────────────────────────────────────────────
             if (/(curl|wget).*\|\s*(ba)?sh/.test(linha)) {
                 ocorrencias.push(criarOcorrencia({
                     tipo: 'shell-curl-pipe-sh',
@@ -86,6 +97,7 @@ export const detectorShellSecurity = {
                     sugestao: messages.DetectorShellMensagens.curlPipeShSugestao
                 }));
             }
+            // ── Security: Hardcoded credentials ────────────────────────────────────
             if (/\b(password|pass|secret|token)\b\s*=\s*['"].*['"]/i.test(linha)) {
                 ocorrencias.push(criarOcorrencia({
                     tipo: 'shell-hardcoded-password',
@@ -96,6 +108,7 @@ export const detectorShellSecurity = {
                     sugestao: messages.DetectorShellMensagens.hardcodedPasswordSugestao
                 }));
             }
+            // ── Security: Unquoted variables ────────────────────────────────────────
             if (/\b(echo|ls|cd|rm|cp|mv)\s+.*\$\w+/.test(linha) && !/["'].*\$\w+.*["']/.test(linha)) {
                 ocorrencias.push(criarOcorrencia({
                     tipo: 'shell-unquoted-variable',
@@ -106,6 +119,7 @@ export const detectorShellSecurity = {
                     sugestao: messages.DetectorShellMensagens.unquotedVariableSugestao
                 }));
             }
+            // ── Security: sudo ──────────────────────────────────────────────────────
             if (/\bsudo\s+/.test(linha) && !relPath.includes('setup') && !relPath.includes('install')) {
                 ocorrencias.push(criarOcorrencia({
                     tipo: 'shell-sudo-usage',
@@ -116,6 +130,7 @@ export const detectorShellSecurity = {
                     sugestao: messages.DetectorShellMensagens.sudoUsageSugestao
                 }));
             }
+            // ── Security: cd without check ──────────────────────────────────────────
             if (/^\s*cd\s+\S+/.test(linha) && !/cd\s+\S+\s*(;|&&|\|\|)/.test(linha) && !linha.includes('|| exit') && !linha.includes('|| return') && !linha.includes('|| true')) {
                 ocorrencias.push(criarOcorrencia({
                     tipo: 'shell-cd-without-check',
@@ -126,6 +141,7 @@ export const detectorShellSecurity = {
                     sugestao: messages.DetectorShellMensagens.unsafeCdWithoutCheckSugestao
                 }));
             }
+            // ── Security: /tmp without mktemp ───────────────────────────────────────
             if (/["']\/tmp\/\w+\.\w+["']/.test(linha) || />\s*\/tmp\/\w+/.test(linha)) {
                 ocorrencias.push(criarOcorrencia({
                     tipo: 'shell-unsafe-tmp-file',
@@ -136,6 +152,7 @@ export const detectorShellSecurity = {
                     sugestao: messages.DetectorShellMensagens.unsafeTmpFileSugestao
                 }));
             }
+            // ── Security: Insecure permissions ──────────────────────────────────────
             if (/\bchmod\s+777\b/.test(linha) || /\bumask\s+000\b/.test(linha)) {
                 ocorrencias.push(criarOcorrencia({
                     tipo: 'shell-insecure-permissions',
@@ -146,6 +163,7 @@ export const detectorShellSecurity = {
                     sugestao: messages.DetectorShellMensagens.insecurePermissionsSugestao
                 }));
             }
+            // ── Security: Dangerous flags ──────────────────────────────────────────
             if (/\bchown\s+-R\s+\//.test(linha) || /\brm\s+-rf\s+\/\*/.test(linha)) {
                 ocorrencias.push(criarOcorrencia({
                     tipo: 'shell-dangerous-flags',
@@ -156,6 +174,7 @@ export const detectorShellSecurity = {
                     sugestao: messages.DetectorShellMensagens.dangerousFlagsSugestao
                 }));
             }
+            // ── Security: read without -r ──────────────────────────────────────────
             if (/^\s*read\s+(?!-r)/.test(linha) && /^\s*read\s+\w+/.test(linha)) {
                 ocorrencias.push(criarOcorrencia({
                     tipo: 'shell-read-without-r',
@@ -166,17 +185,22 @@ export const detectorShellSecurity = {
                     sugestao: messages.DetectorShellMensagens.unsafeReadWithoutRSugestao
                 }));
             }
+            // ── Best Practices: Missing local in function ────────────────────────────
             if (/^\s*\w+\s*\(\)\s*\{/.test(linha) || (/^\s*function\s+\w+\s*\{/.test(linha) && linhas.slice(index + 1).some(l => /^\s*local\s+\w+/.test(l)))) {
+                // Check if next lines have variables without local
                 const _inFunc = true;
                 let braceCount = 0;
                 for (let j = index + 1; j < Math.min(index + 30, linhas.length); j++) {
                     const fl = linhas[j].trim();
-                    if (fl.includes('{'))
+                    if (fl.includes('{')) {
                         braceCount++;
-                    if (fl.includes('}'))
+                    }
+                    if (fl.includes('}')) {
                         braceCount--;
-                    if (braceCount < 0)
+                    }
+                    if (braceCount < 0) {
                         break;
+                    }
                     if (/^\s*(\w+)=/.test(fl) && !/^\s*local\s+/.test(fl) && !/^\s*(for|while|if|case|read|done|then|else|elif|fi|esac|do)\b/.test(fl) && !fl.startsWith('#')) {
                         const varName = fl.match(/^\s*(\w+)=/)?.[1];
                         if (varName && varName.toUpperCase() !== varName && varName !== 'I') {
@@ -192,6 +216,7 @@ export const detectorShellSecurity = {
                     }
                 }
             }
+            // ── Best Practices: Local var with UPPERCASE ────────────────────────────
             if (/^\s*local\s+[A-Z_]+\w*=/.test(linha)) {
                 ocorrencias.push(criarOcorrencia({
                     tipo: 'shell-uppercase-local-var',
@@ -202,6 +227,7 @@ export const detectorShellSecurity = {
                     sugestao: messages.DetectorShellMensagens.uppercaseLocalVarSugestao
                 }));
             }
+            // ── Best Practices: Backtick command substitution ──────────────────────
             if (/`[^`]+`/.test(linha)) {
                 ocorrencias.push(criarOcorrencia({
                     tipo: 'shell-backtick-cmd-sub',
@@ -212,6 +238,7 @@ export const detectorShellSecurity = {
                     sugestao: messages.DetectorShellMensagens.backtickCmdSubSugestao
                 }));
             }
+            // ── Best Practices: [ vs [[ (only in Bash scripts) ─────────────────────
             if (!isSh && /^\s*\[[^\]]+\]/.test(linha) && !/^\s*\[\[/.test(linha) && !linha.includes('"$') && !/\[\s*-[a-z]\s+\S+\s*\]/.test(linha)) {
                 ocorrencias.push(criarOcorrencia({
                     tipo: 'shell-double-bracket-missing',
@@ -222,6 +249,7 @@ export const detectorShellSecurity = {
                     sugestao: messages.DetectorShellMensagens.doubleBracketMissingSugestao
                 }));
             }
+            // ── Best Practices: let / expr vs $(( )) ────────────────────────────────
             if (/^\s*let\s+/.test(linha) || /^\s*expr\s+/.test(linha)) {
                 ocorrencias.push(criarOcorrencia({
                     tipo: 'shell-unsafe-arithmetic-eval',
@@ -232,6 +260,7 @@ export const detectorShellSecurity = {
                     sugestao: messages.DetectorShellMensagens.unsafeArithmeticEvalSugestao
                 }));
             }
+            // ── Best Practices: function keyword ────────────────────────────────────
             if (/^\s*function\s+\w+\s*(\{|\(|$)/.test(linha)) {
                 ocorrencias.push(criarOcorrencia({
                     tipo: 'shell-function-decl-style',
@@ -242,12 +271,14 @@ export const detectorShellSecurity = {
                     sugestao: messages.DetectorShellMensagens.functionDeclStyleSugestao
                 }));
             }
+            // ── Best Practices: Case without default ────────────────────────────────
             if (/^\s*case\s+.+\s+in/.test(linha)) {
                 let hasDefault = false;
                 for (let j = index + 1; j < linhas.length; j++) {
                     const cl = linhas[j].trim();
-                    if (cl === 'esac')
+                    if (cl === 'esac') {
                         break;
+                    }
                     if (/^\s*\*\)/.test(cl)) {
                         hasDefault = true;
                         break;
@@ -264,6 +295,7 @@ export const detectorShellSecurity = {
                     }));
                 }
             }
+            // ── Best Practices: Empty then/else block ───────────────────────────────
             if (/\bthen\s*$/.test(linha) || /\belse\s*$/.test(linha)) {
                 let empty = false;
                 for (let j = index + 1; j < Math.min(index + 5, linhas.length); j++) {
@@ -272,8 +304,9 @@ export const detectorShellSecurity = {
                         empty = true;
                         break;
                     }
-                    if (el && !el.startsWith('#'))
+                    if (el && !el.startsWith('#')) {
                         break;
+                    }
                 }
                 if (empty) {
                     ocorrencias.push(criarOcorrencia({
@@ -286,6 +319,7 @@ export const detectorShellSecurity = {
                     }));
                 }
             }
+            // ── Portability: Bashism in sh script ──────────────────────────────────
             if (isSh) {
                 if (/^\s*function\s/.test(linha) || /\[\[/.test(linha) || /<\<\</.test(linha) || /\$\{.*\/\/.*\}/.test(linha) || /\$\{.*,.*\}/.test(linha) || /\$\{!/.test(linha) || /shopt\s/.test(linha)) {
                     ocorrencias.push(criarOcorrencia({
@@ -298,6 +332,7 @@ export const detectorShellSecurity = {
                     }));
                 }
             }
+            // ── Portability: Platform-specific path ─────────────────────────────────
             if (/\/(usr\/bin|usr\/local\/bin|bin|sbin)\//.test(linha) && !linha.startsWith('#')) {
                 ocorrencias.push(criarOcorrencia({
                     tipo: 'shell-platform-specific-path',
@@ -308,6 +343,7 @@ export const detectorShellSecurity = {
                     sugestao: messages.DetectorShellMensagens.platformSpecificPathSugestao
                 }));
             }
+            // ── Portability: Unquoted array expansion ──────────────────────────────
             if (/\$\{\w+\[@\]\}/.test(linha) && !/["'].*\$\{\w+\[@\]\}.*["']/.test(linha)) {
                 ocorrencias.push(criarOcorrencia({
                     tipo: 'shell-missing-quote-arrays',
@@ -318,6 +354,7 @@ export const detectorShellSecurity = {
                     sugestao: messages.DetectorShellMensagens.missingQuoteArraysSugestao
                 }));
             }
+            // ── Performance: Useless cat ──────────────────────────────────────────
             if (/\bcat\s+\S+\s*\|\s*/.test(linha) && !/\bcat\s+.*\|cat\b/.test(linha)) {
                 ocorrencias.push(criarOcorrencia({
                     tipo: 'shell-useless-cat',
@@ -328,6 +365,7 @@ export const detectorShellSecurity = {
                     sugestao: messages.DetectorShellMensagens.uselessCatSugestao
                 }));
             }
+            // ── Performance: Loop over ls ──────────────────────────────────────────
             if (/for\s+\w+\s+in\s+\$\(ls\)/.test(linha) || /for\s+\w+\s+in\s+`ls`/.test(linha)) {
                 ocorrencias.push(criarOcorrencia({
                     tipo: 'shell-loop-over-command-output',
@@ -338,6 +376,7 @@ export const detectorShellSecurity = {
                     sugestao: messages.DetectorShellMensagens.loopOverCommandOutputSugestao
                 }));
             }
+            // ── Performance: Temp file could be pipe ───────────────────────────────
             if (/>\s*\S+\.tmp\b/.test(linha) && /<\s*\S+\.tmp\b/.test(linha)) {
                 ocorrencias.push(criarOcorrencia({
                     tipo: 'shell-pipe-over-tempfile',
@@ -349,6 +388,7 @@ export const detectorShellSecurity = {
                 }));
             }
         });
+        // Run registered plugin detectors
         for (const detector of detectoresRegistrados) {
             try {
                 const resultado = await detector.testar(src, { relPath, linhas });
@@ -357,9 +397,9 @@ export const detectorShellSecurity = {
                 }
             }
             catch {
+                // Silently skip plugin errors
             }
         }
         return ocorrencias;
     }
 };
-//# sourceMappingURL=detector-shell-security.js.map

package/dist/analysts/shell/detectors/index.js

@@ -1,2 +1,2 @@
+// SPDX-License-Identifier: MIT
 export * from './detector-shell-security.js';
-//# sourceMappingURL=index.js.map

package/dist/analysts/shell/index.js

@@ -1,5 +1,10 @@
+// SPDX-License-Identifier: MIT
+/**
+ * [BUSCA] Analistas de Shell Script
+ *
+ * Analisa scripts Shell em busca de comandos perigosos, insegurança e falta de boas práticas.
+ */
 export * from './analysts/analyst-shell.js';
 export * from './corrections/index.js';
 export * from './detectors/index.js';
 export * from './scorers/index.js';
-//# sourceMappingURL=index.js.map

package/dist/analysts/shell/scorers/index.js

@@ -1,2 +1,2 @@
+// SPDX-License-Identifier: MIT
 export * from './scorer-shell.js';
-//# sourceMappingURL=index.js.map

package/dist/analysts/shell/scorers/scorer-shell.js

@@ -1,3 +1,14 @@
+// SPDX-License-Identifier: MIT
+/**
+ * [GRAFICO] Pontuador de qualidade Shell Script
+ *
+ * Avalia a qualidade do Shell baseado em:
+ * - Segurança
+ * - Error handling
+ * - Boas práticas
+ * - Portabilidade
+ * - Performance
+ */
 import { splitLines } from '../../../shared/helpers/index.js';
 export function pontuarShell(src, _relPath) {
     let score = 0;
@@ -6,6 +17,7 @@ export function pontuarShell(src, _relPath) {
     const strengths = [];
     const linhas = splitLines(src);
     const srcCompleto = src;
+    // Shebang (10 pontos)
     if (linhas.length > 0 && linhas[0].startsWith('#!')) {
         score += 10;
         strengths.push('Shebang presente');
@@ -13,6 +25,7 @@ export function pontuarShell(src, _relPath) {
     else {
         issues.push('Shebang ausente');
     }
+    // set -e / pipefail (15 pontos)
     if (/set\s+(-e|-o\s+pipefail)/.test(srcCompleto)) {
         score += 15;
         strengths.push('Error handling configurado');
@@ -20,6 +33,7 @@ export function pontuarShell(src, _relPath) {
     else {
         issues.push('Sem set -e / pipefail');
     }
+    // No eval (15 pontos)
     if (!/\beval\s+/.test(srcCompleto)) {
         score += 15;
         strengths.push('Sem eval');
@@ -27,6 +41,7 @@ export function pontuarShell(src, _relPath) {
     else {
         issues.push('eval detectado');
     }
+    // No curl|sh (10 pontos)
     if (!/(curl|wget).*\|\s*(ba)?sh/.test(srcCompleto)) {
         score += 10;
         strengths.push('Sem curl|sh');
@@ -34,7 +49,8 @@ export function pontuarShell(src, _relPath) {
     else {
         issues.push('curl|sh detectado');
     }
-    const hardcodedPasswords = (srcCompleto.match(/\b(password|pass|secret|token)\b\s*=\s*['"]/gi) || []).length;
+    // No hardcoded passwords (10 pontos)
+    const hardcodedPasswords = (srcCompleto.match(/\b(password|pass|secret|token)\b\s*=\s*['"]/gi) ?? []).length;
     if (hardcodedPasswords === 0) {
         score += 10;
         strengths.push('Sem senhas hardcoded');
@@ -42,7 +58,8 @@ export function pontuarShell(src, _relPath) {
     else {
         issues.push(`${hardcodedPasswords} senha(s) hardcoded`);
     }
-    const unquotedVars = (srcCompleto.match(/\b(echo|ls|cd|rm|cp|mv)\s+.*\$\w+/g) || []).filter(linha => !/["'].*\$\w+.*["']/.test(linha)).length;
+    // Quoted variables (10 pontos)
+    const unquotedVars = (srcCompleto.match(/\b(echo|ls|cd|rm|cp|mv)\s+.*\$\w+/g) ?? []).filter(linha => !/["'].*\$\w+.*["']/.test(linha)).length;
     if (unquotedVars === 0) {
         score += 10;
         strengths.push('Variáveis corretamente aspeadas');
@@ -51,6 +68,7 @@ export function pontuarShell(src, _relPath) {
         score += Math.max(0, 10 - unquotedVars * 3);
         issues.push(`${unquotedVars} variável(is) sem aspas`);
     }
+    // No rm -rf / (10 pontos)
     if (!/\brm\s+-rf\s+\/(\s|$)/.test(srcCompleto)) {
         score += 10;
         strengths.push('Sem rm -rf /');
@@ -58,7 +76,9 @@ export function pontuarShell(src, _relPath) {
     else {
         issues.push('rm -rf / detectado!');
     }
-    const cds = srcCompleto.match(/^\s*cd\s+\S+/gm) || [];
+    // ── Security (enhanced) ──────────────────────────────────────────────────
+    // cd with check (5 pontos)
+    const cds = srcCompleto.match(/^\s*cd\s+\S+/gm) ?? [];
     const cdsChecked = cds.filter(c => /cd\s+\S+\s*(;|&&|\|\|)/.test(c) || c.includes('|| exit') || c.includes('|| return')).length;
     if (cds.length === 0 || cdsChecked === cds.length) {
         score += 5;
@@ -67,6 +87,7 @@ export function pontuarShell(src, _relPath) {
     else {
         issues.push(`${cds.length - cdsChecked} cd(s) sem verificação`);
     }
+    // mktemp usage (5 pontos)
     if (/\bmktemp\b/.test(srcCompleto) || !/\/tmp\/\w+\.\w+/.test(srcCompleto)) {
         score += 5;
         strengths.push('Sem arquivos tmp inseguros');
@@ -74,6 +95,7 @@ export function pontuarShell(src, _relPath) {
     else {
         issues.push('Uso inseguro de /tmp');
     }
+    // Permissions (5 pontos)
     if (!/\bchmod\s+777\b/.test(srcCompleto) && !/\bumask\s+000\b/.test(srcCompleto)) {
         score += 5;
         strengths.push('Permissões seguras');
@@ -81,7 +103,8 @@ export function pontuarShell(src, _relPath) {
     else {
         issues.push('Permissões inseguras (chmod 777/umask 000)');
     }
-    const reads = srcCompleto.match(/^\s*read\s+/gm) || [];
+    // read -r (5 pontos)
+    const reads = srcCompleto.match(/^\s*read\s+/gm) ?? [];
     const readsWithR = reads.filter(r => /^\s*read\s+-r/.test(r)).length;
     if (reads.length === 0 || readsWithR === reads.length) {
         score += 5;
@@ -90,8 +113,10 @@ export function pontuarShell(src, _relPath) {
     else {
         issues.push(`${reads.length - readsWithR} read(s) sem -r`);
     }
-    const functions = (srcCompleto.match(/(\w+)\s*\(\s*\)/g) || []).length;
-    const locals = (srcCompleto.match(/\blocal\s+/g) || []).length;
+    // ── Best Practices ───────────────────────────────────────────────────────
+    // local variables (10 pontos)
+    const functions = (srcCompleto.match(/(\w+)\s*\(\s*\)/g) ?? []).length;
+    const locals = (srcCompleto.match(/\blocal\s+/g) ?? []).length;
     if (functions === 0 || locals >= functions) {
         score += 10;
         strengths.push('Variáveis locais escopadas');
@@ -100,6 +125,7 @@ export function pontuarShell(src, _relPath) {
         score += Math.max(0, 10 - (functions - locals) * 3);
         issues.push(`${functions - locals} função(ões) sem local variables`);
     }
+    // No backticks (5 pontos)
     if (!/`[^`]+`/.test(srcCompleto)) {
         score += 5;
         strengths.push('Sem crases');
@@ -107,6 +133,7 @@ export function pontuarShell(src, _relPath) {
     else {
         issues.push('Substituição com crases');
     }
+    // [[ instead of [ (5 pontos)
     if (!/^\s*\[[^\]]+\]/.test(srcCompleto) || /\[\[/.test(srcCompleto)) {
         score += 5;
         strengths.push('Uso de [[ para testes');
@@ -114,6 +141,7 @@ export function pontuarShell(src, _relPath) {
     else {
         issues.push('[ usado em vez de [[');
     }
+    // $(( )) for arithmetic (5 pontos)
     if (!/\blet\s+/.test(srcCompleto) && !/^\s*expr\s+/.test(srcCompleto)) {
         score += 5;
         strengths.push('Uso de $(( )) para aritmética');
@@ -121,6 +149,7 @@ export function pontuarShell(src, _relPath) {
     else {
         issues.push('let/expr usado em vez de $(( ))');
     }
+    // POSIX function style (5 pontos)
     if (!/^\s*function\s+\w+\s*\{/.test(srcCompleto)) {
         score += 5;
         strengths.push('Sintaxe POSIX de função');
@@ -128,6 +157,8 @@ export function pontuarShell(src, _relPath) {
     else {
         issues.push('Palavra-chave function usada');
     }
+    // ── Portability ──────────────────────────────────────────────────────────
+    // No bashisms in sh scripts (10 pontos)
     const shebang = linhas.length > 0 ? linhas[0] : '';
     if (!/\/bin\/sh(\s|$)/.test(shebang) || !/\b(function|\[\[|<<<|shopt)\b/.test(srcCompleto)) {
         score += 10;
@@ -136,7 +167,8 @@ export function pontuarShell(src, _relPath) {
     else {
         issues.push('Bashisms em script sh');
     }
-    const hardPaths = (srcCompleto.match(/\/(usr\/bin|usr\/local\/bin|bin|sbin)\//g) || []).length;
+    // command -v for paths (5 pontos)
+    const hardPaths = (srcCompleto.match(/\/(usr\/bin|usr\/local\/bin|bin|sbin)\//g) ?? []).length;
     if (hardPaths === 0) {
         score += 5;
         strengths.push('Sem caminhos de plataforma fixos');
@@ -145,6 +177,7 @@ export function pontuarShell(src, _relPath) {
         score += Math.max(0, 5 - hardPaths);
         issues.push(`${hardPaths} caminho(s) de plataforma fixos`);
     }
+    // Quoted array expansion (5 pontos)
     if (!/\$\{\w+\[@\]\}/.test(srcCompleto) || /"\$\{\w+\[@\]\}"/.test(srcCompleto)) {
         score += 5;
         strengths.push('Arrays com aspas');
@@ -152,6 +185,8 @@ export function pontuarShell(src, _relPath) {
     else {
         issues.push('Expansão de array sem aspas');
     }
+    // ── Performance ─────────────────────────────────────────────────────────
+    // No useless cat (5 pontos)
     if (!/\bcat\s+\S+\s*\|\s*/.test(srcCompleto)) {
         score += 5;
         strengths.push('Sem cat inútil');
@@ -159,6 +194,7 @@ export function pontuarShell(src, _relPath) {
     else {
         issues.push('cat | command detectado');
     }
+    // No loop over ls (5 pontos)
     if (!/for\s+\w+\s+in\s+\$\(ls\)/.test(srcCompleto) && !/for\s+\w+\s+in\s+`ls`/.test(srcCompleto)) {
         score += 5;
         strengths.push('Glob em vez de ls');
@@ -166,6 +202,7 @@ export function pontuarShell(src, _relPath) {
     else {
         issues.push('Loop sobre ls');
     }
+    // Pipes instead of temp files (5 pontos)
     if (/>\s*\S+\.tmp\b/.test(srcCompleto) && /<\s*\S+\.tmp\b/.test(srcCompleto)) {
         issues.push('Arquivo tmp usado em vez de pipe');
     }
@@ -173,6 +210,7 @@ export function pontuarShell(src, _relPath) {
         score += 5;
         strengths.push('Pipes em vez de tmp files');
     }
+    // Sudo score (5 pontos)
     if (!/\bsudo\s+/.test(srcCompleto)) {
         score += 5;
         strengths.push('Sem sudo');
@@ -194,4 +232,3 @@ export const pontuadorShell = {
     descricao: 'Pontua qualidade de Shell Script',
     pontuar: pontuarShell
 };
-//# sourceMappingURL=scorer-shell.js.map