@mocoto/mahoraga 0.14.0 → 0.14.2

package/dist/analysts/github-actions/analysts/analyst-github-actions.js

@@ -1,5 +1,6 @@
-import { messages } from '../../../core/messages/index.js';
+// SPDX-License-Identifier: MIT
 import { parseDocument } from 'yaml';
+import { messages } from '../../../core/messages/index.js';
 import { detectorDependenciasVulneraveis } from '../detectors/detector-dependencies-vulnerable.js';
 import { detectarProblemasAcessibilidade } from '../detectors/detector-workflow-accessibility.js';
 import { detectarProblemasCompliance } from '../detectors/detector-workflow-compliance.js';
@@ -8,6 +9,7 @@ import { detectorWorkflowSecurity } from '../detectors/detector-workflow-securit
 import { detectarJobsPassivos, detectorWorkflowEstrutura } from '../detectors/detector-workflow-structure.js';
 import { detectorWorkflowTriggerInseguro } from '../detectors/detector-workflow-trigger-unsafe.js';
 import { isOrgVerificada } from '../detectors/org-verified.js';
+/** Flag global temporária (resetada a cada execução) para indicar se o workflow precisa de histórico completo do git */
 let _workflowNeedsFullHistory = false;
 const detectoresRegistrados = [];
 export function registrarDetectorGithubActions(detector) {
@@ -26,8 +28,8 @@ export const analistaGithubActions = {
         try {
             const doc = parseDocument(conteudo);
             const workflow = doc.toJS();
-            const problemas = await executarDetectoresNativos(workflow, conteudo);
-            const caminhos = contexto?.arquivos.map(arquivo => arquivo.relPath) || [];
+            const problemas = executarDetectoresNativos(workflow, conteudo);
+            const caminhos = contexto?.arquivos.map(arquivo => arquivo.relPath) ?? [];
             const plugResults = await Promise.all(detectoresRegistrados.map(diretorio => Promise.resolve(diretorio.testar(workflow, {
                 conteudo,
                 caminhos
@@ -44,14 +46,15 @@ export const analistaGithubActions = {
                     tipo: `GITHUB_ACTIONS_${caminho.tipo.toUpperCase().replace(/-/g, '_')}`,
                     mensagem: caminho.descricao,
                     relPath,
-                    linha: caminho.linha || 1,
+                    linha: caminho.linha ?? 1,
                     coluna: 1,
-                    sugestao: caminho.sugestao || '',
+                    sugestao: caminho.sugestao ?? '',
                     nivel: caminho.severidade === 'critica' || caminho.severidade === 'alta' ? 'erro' : caminho.severidade === 'media' ? 'aviso' : 'info'
                 });
             }
         }
         catch {
+            // Basic regex fallback if YAML fails
         }
         return ocorrencias;
     }
@@ -61,11 +64,13 @@ export const analistaGithubActionsGlobal = {
     categoria: 'workflows',
     descricao: 'Governança Global do GitHub',
     test: () => false,
-    async aplicar(_c, _p, _a, _f, ctx) {
-        if (!ctx)
+    aplicar(_c, _p, _a, _f, ctx) {
+        if (!ctx) {
             return [];
+        }
         const ores = [];
         const paths = ctx.arquivos.map(arquivo => arquivo.relPath);
+        // CODEOWNERS
         if (!paths.some(caminho => /CODEOWNERS/i.test(caminho))) {
             ores.push({
                 tipo: 'GITHUB_ACTIONS_CODEOWNERS_MISSING',
@@ -76,8 +81,9 @@ export const analistaGithubActionsGlobal = {
                 nivel: 'info'
             });
         }
-        const readme = ctx.arquivos?.find(arquivo => /README\.md/i.test(arquivo.relPath ?? ''));
-        const content = readme ? readme.content || '' : '';
+        // README
+        const readme = ctx.arquivos?.find(arquivo => /README\.md/i.test(arquivo.relPath));
+        const content = readme?.content ?? '';
         if (readme && !/Code of Conduct|Código de Conduta/i.test(content)) {
             ores.push({
                 tipo: 'GITHUB_ACTIONS_DOC_GOVERNANCE_MISSING',
@@ -88,6 +94,7 @@ export const analistaGithubActionsGlobal = {
                 nivel: 'info'
             });
         }
+        // Stale Bot
         if (!paths.some(caminho => /stale/i.test(caminho))) {
             ores.push({
                 tipo: 'GITHUB_ACTIONS_STALE_BOT_MISSING',
@@ -98,6 +105,7 @@ export const analistaGithubActionsGlobal = {
                 nivel: 'info'
             });
         }
+        // Release
         if (!paths.some(caminho => /release|deploy/i.test(caminho))) {
             ores.push({
                 tipo: 'GITHUB_ACTIONS_RELEASE_AUTOMATION_MISSING',
@@ -108,6 +116,7 @@ export const analistaGithubActionsGlobal = {
                 nivel: 'info'
             });
         }
+        // Issue Templates
         if (!paths.some(caminho => /\.github\/ISSUE_TEMPLATE/i.test(caminho))) {
             ores.push({
                 tipo: 'GITHUB_ACTIONS_ISSUE_TEMPLATES_MISSING',
@@ -118,6 +127,7 @@ export const analistaGithubActionsGlobal = {
                 nivel: 'info'
             });
         }
+        // PR Template
         if (!paths.some(caminho => /pull_request_template/i.test(caminho))) {
             ores.push({
                 tipo: 'GITHUB_ACTIONS_PR_TEMPLATE_MISSING',
@@ -128,6 +138,7 @@ export const analistaGithubActionsGlobal = {
                 nivel: 'info'
             });
         }
+        // Semantic Versioning & Changelog
         const hasSemanticRelease = paths.some(caminho => /semantic-release|semrel/i.test(caminho));
         const hasChangelog = paths.some(caminho => /changelog/i.test(caminho));
         if (!hasSemanticRelease) {
@@ -150,6 +161,7 @@ export const analistaGithubActionsGlobal = {
                 nivel: 'info'
             });
         }
+        // License Headers
         const sourceFiles = ctx.arquivos.filter(arquivo => /\.(ts|js)$/.test(arquivo.relPath));
         const missingLicense = sourceFiles.filter(arquivo => !/SPDX-License-Identifier/i.test(arquivo.content || ''));
         if (missingLicense.length > sourceFiles.length / 2) {
@@ -165,33 +177,43 @@ export const analistaGithubActionsGlobal = {
         return ores;
     }
 };
+/**
+ * Verifica se o workflow contém comandos git que exigem histórico completo.
+ */
 function workflowRequerHistoricoCompleto(wf, raw) {
+    // Verificar no raw por comandos git conhecidos que precisam de histórico completo
     const gitCommandsQuePrecisamDeHistorico = /\b(git\s+(rev-parse|tag|describe|log|shortlog|diff|bisect|blame)|git\s+checkout\s+-b|git\s+fetch\s+--unshallow|git\s+clone\s+--depth)/gi;
     if (gitCommandsQuePrecisamDeHistorico.test(raw)) {
         return true;
     }
-    const jobs = wf?.jobs ? Object.values(wf.jobs) : [];
-    const allSteps = jobs.flatMap(job => job?.steps || []);
+    // Verificar nas ações steps por comandos que indicam necessidade de histórico
+    const jobs = wf.jobs ? Object.values(wf.jobs) : [];
+    const allSteps = jobs.flatMap(job => job.steps ?? []);
     for (const step of allSteps) {
-        if (step?.run && gitCommandsQuePrecisamDeHistorico.test(step.run)) {
+        if (step.run && gitCommandsQuePrecisamDeHistorico.test(step.run)) {
             return true;
         }
     }
     return false;
 }
-async function executarDetectoresNativos(wf, raw) {
+function executarDetectoresNativos(wf, raw) {
     const probs = [];
-    if (!wf)
+    if (!wf) {
         return probs;
+    }
     _workflowNeedsFullHistory = workflowRequerHistoricoCompleto(wf, raw);
+    // Handle various snippet styles for tests
     const candidates = Array.isArray(wf) ? wf : [wf];
     for (const item of candidates) {
         if (typeof item === 'object' && item !== null) {
             analisarEstrutura(item, probs);
         }
     }
+    // Compliance checks
     probs.push(...detectarProblemasCompliance(wf, raw));
+    // Accessibility checks
     probs.push(...detectarProblemasAcessibilidade(wf));
+    // Passive jobs check
     if (typeof wf === 'object' && 'jobs' in wf) {
         const wfJobs = wf.jobs;
         if (wfJobs) {
@@ -206,6 +228,7 @@ async function executarDetectoresNativos(wf, raw) {
             }
         }
     }
+    // Final check for raw string patterns (like sudo)
     if (/sudo\s+/.test(raw)) {
         probs.push({
             tipo: 'uso-sudo',
@@ -223,6 +246,7 @@ async function executarDetectoresNativos(wf, raw) {
     return probs;
 }
 function analisarEstrutura(wf, probs) {
+    // Workflow sem nome
     if (!wf.name) {
         probs.push({
             tipo: 'workflow-sem-nome',
@@ -230,6 +254,7 @@ function analisarEstrutura(wf, probs) {
             severidade: 'baixa'
         });
     }
+    // Container (Root level for snippets)
     if (wf.container && typeof wf.container === 'string') {
         probs.push({
             tipo: 'container-sem-user',
@@ -237,6 +262,7 @@ function analisarEstrutura(wf, probs) {
             severidade: 'media'
         });
     }
+    // Strategy
     if (wf.strategy?.matrix && wf.strategy['fail-fast'] === undefined) {
         probs.push({
             tipo: 'matrix-sem-fail-fast',
@@ -244,8 +270,9 @@ function analisarEstrutura(wf, probs) {
             severidade: 'baixa'
         });
     }
+    // Detect Secrets in generic maps (for environment snippets in tests)
     for (const [chave, valor] of Object.entries(wf)) {
-        if (/(KEY|TOKEN|SECRET|PASSWORD)/i.test(chave) && valor && typeof valor !== 'object' && !String(valor).includes('${{')) {
+        if (/(KEY|TOKEN|SECRET|PASSWORD)/i.test(chave) && valor && typeof valor !== 'object' && (typeof valor !== 'string' || !valor.includes('${{'))) {
             probs.push({
                 tipo: 'env-sensivel',
                 descricao: `Secret hardcoded em ${chave}`,
@@ -253,24 +280,26 @@ function analisarEstrutura(wf, probs) {
             });
         }
     }
+    // Jobs
     if (wf.jobs) {
         const jobEntries = Object.entries(wf.jobs);
         for (const [id, job] of jobEntries) {
-            if (job?.strategy?.matrix && job.strategy['fail-fast'] === undefined) {
+            if (job.strategy?.matrix && job.strategy['fail-fast'] === undefined) {
                 probs.push({
                     tipo: 'matrix-sem-fail-fast',
                     descricao: `Job ${id} sem fail-fast`,
                     severidade: 'baixa'
                 });
             }
-            if (job?.container && typeof job.container === 'string') {
+            if (job.container && typeof job.container === 'string') {
                 probs.push({
                     tipo: 'container-sem-user',
                     descricao: 'Container rodando como root',
                     severidade: 'media'
                 });
             }
-            if (/^(job\d+|step\d+|build\d*|test\d*|j\d+)$/i.test(id) && !job?.name) {
+            // --- v0.4.5: Job sem nome descritivo ---
+            if (/^(job\d+|step\d+|build\d*|test\d*|j\d+)$/i.test(id) && !job.name) {
                 probs.push({
                     tipo: 'job-sem-nome',
                     descricao: `Job '${id}' usa ID genérico sem campo 'name'`,
@@ -278,10 +307,13 @@ function analisarEstrutura(wf, probs) {
                     sugestao: 'Usar nomes semânticos como build-backend, test-integration'
                 });
             }
-            if (job?.steps) {
-                for (const string of job.steps)
+            if (job.steps) {
+                for (const string of job.steps) {
                     analisarStep(string, probs);
+                }
+                // --- v0.4.5: Steps sem nome ---
                 analisarStepsSemNome(job.steps, probs);
+                // --- v0.7.0: Jobs muito longos ---
                 if (job.steps.length > 15) {
                     probs.push({
                         tipo: 'job-longo',
@@ -292,21 +324,27 @@ function analisarEstrutura(wf, probs) {
                 }
             }
         }
+        // --- v0.4.5: Build sem parallelismo ---
         analisarParalelismo(jobEntries, probs);
+        // --- v0.4.5: Download desnecessário de artifacts ---
         analisarDownloadArtifacts(jobEntries, probs);
+        // --- v0.4.5: Múltiplas instalações de dependências ---
         analisarMultiplasInstalacoesDeps(jobEntries, probs);
     }
+    // Se forem passos diretos na raiz (snippet)
     if (wf.steps && Array.isArray(wf.steps)) {
-        for (const string of wf.steps)
+        for (const string of wf.steps) {
             analisarStep(string, probs);
+        }
         analisarStepsSemNome(wf.steps, probs);
     }
-    if (wf.uses || wf.run)
+    // Direct steps (if snippet is a list)
+    if (wf.uses || wf.run) {
         analisarStep(wf, probs);
+    }
 }
 function analisarStep(string, probs) {
-    if (!string)
-        return;
+    // Pinning - only for non-verified orgs
     if (string.uses && /@v\d+/.test(string.uses)) {
         const actionRef = string.uses.split('@')[0];
         if (!isOrgVerificada(actionRef)) {
@@ -317,6 +355,7 @@ function analisarStep(string, probs) {
             });
         }
     }
+    // Upload
     if (string.uses?.includes('upload-artifact') && string.with?.path?.includes('.env')) {
         probs.push({
             tipo: 'upload-sensivel',
@@ -324,9 +363,10 @@ function analisarStep(string, probs) {
             severidade: 'critica'
         });
     }
+    // Env
     if (string.env) {
         for (const [chave, valor] of Object.entries(string.env)) {
-            if (/(KEY|TOKEN|SECRET|PASSWORD)/i.test(chave) && valor && typeof valor !== 'object' && !String(valor).includes('${{')) {
+            if (/(KEY|TOKEN|SECRET|PASSWORD)/i.test(chave) && valor && typeof valor !== 'object' && (typeof valor !== 'string' || !valor.includes('${{'))) {
                 probs.push({
                     tipo: 'env-sensivel',
                     descricao: `Env ${chave} hardcoded`,
@@ -335,6 +375,7 @@ function analisarStep(string, probs) {
             }
         }
     }
+    // Injection
     if (string.run && /\$\{\{\s*github\.event\./.test(string.run)) {
         probs.push({
             tipo: 'script-injection',
@@ -342,6 +383,7 @@ function analisarStep(string, probs) {
             severidade: 'alta'
         });
     }
+    // --- v0.4.5: Docker build sem layer caching ---
     if (string.uses && /docker\/build-push-action/.test(string.uses)) {
         const hasCacheFrom = string.with?.['cache-from'] !== undefined;
         const hasCacheTo = string.with?.['cache-to'] !== undefined;
@@ -354,9 +396,11 @@ function analisarStep(string, probs) {
             });
         }
     }
+    // --- v0.4.5: Checkout com fetch-depth: 0 desnecessário ---
     if (string.uses && /actions\/checkout/.test(string.uses) && string.with) {
         const fd = string.with['fetch-depth'];
         if (fd === 0 || fd === '0') {
+            // Não emitir se já foi identificado que o workflow precisa de histórico completo
             if (!_workflowNeedsFullHistory) {
                 probs.push({
                     tipo: 'fetch-depth-desnecessario',
@@ -398,11 +442,17 @@ const ACTIONS_AUTO_EXPLICATIVAS = [
     'softprops/action-gh-release',
     'cypress-io/github-action',
 ];
+/**
+ * v0.4.5: Detecta steps sem campo 'name'
+ * Não reporta para actions bem conhecidas e auto-explicativas
+ */
 function analisarStepsSemNome(steps, probs) {
     for (const string of steps) {
-        if (!string || string.name)
+        if (string.name) {
             continue;
+        }
         if (string.uses || string.run) {
+            // Pular actions auto-explicativas (não precisam de name)
             if (string.uses && ACTIONS_AUTO_EXPLICATIVAS.some(action => string.uses?.startsWith(action))) {
                 continue;
             }
@@ -416,19 +466,29 @@ function analisarStepsSemNome(steps, probs) {
         }
     }
 }
+/**
+ * v0.4.5: Detecta jobs que poderiam rodar em paralelo mas têm 'needs' desnecessário
+ * Heurística: se todos os jobs têm 'needs' formando uma cadeia linear, sugere paralelismo
+ * Exceção: workflows de release/deploy são intrinsecamente sequenciais
+ */
 function analisarParalelismo(jobEntries, probs) {
-    if (jobEntries.length < 3)
+    if (jobEntries.length < 3) {
         return;
-    const workflowName = jobEntries[0]?.[1]?.name?.toLowerCase() || '';
-    const jobNames = jobEntries.map(([, j]) => j?.name?.toLowerCase() || '').join(' ');
+    }
+    // Check if this is a release/deploy workflow (sequential by nature)
+    const workflowName = jobEntries[0]?.[1]?.name?.toLowerCase() ?? '';
+    const jobNames = jobEntries.map(([, j]) => j.name?.toLowerCase() ?? '').join(' ');
     const isReleaseWorkflow = /release|deploy|publish|ship/i.test(workflowName) || /release|deploy|publish|ship/i.test(jobNames);
-    if (isReleaseWorkflow)
+    if (isReleaseWorkflow) {
         return;
+    }
     let totalWithNeeds = 0;
     for (const [, job] of jobEntries) {
-        if (job?.needs)
+        if (job.needs) {
             totalWithNeeds++;
+        }
     }
+    // Se todos os jobs (exceto o primeiro) dependem do anterior em cadeia linear
     if (totalWithNeeds === jobEntries.length - 1) {
         probs.push({
             tipo: 'build-sem-parallelismo',
@@ -438,14 +498,19 @@ function analisarParalelismo(jobEntries, probs) {
         });
     }
 }
+/**
+ * v0.4.5: Detecta múltiplos download-artifact em jobs diferentes
+ */
 function analisarDownloadArtifacts(jobEntries, probs) {
     let downloadCount = 0;
     for (const [, job] of jobEntries) {
-        if (!job?.steps)
+        if (!job.steps) {
             continue;
+        }
         for (const string of job.steps) {
-            if (string.uses && /download-artifact/.test(string.uses))
+            if (string.uses && /download-artifact/.test(string.uses)) {
                 downloadCount++;
+            }
         }
     }
     if (downloadCount >= 3) {
@@ -457,13 +522,17 @@ function analisarDownloadArtifacts(jobEntries, probs) {
         });
     }
 }
+/**
+ * v0.4.5: Detecta npm ci/npm install em múltiplos jobs sem cache compartilhado
+ */
 function analisarMultiplasInstalacoesDeps(jobEntries, probs) {
     let installCount = 0;
     let hasCacheStep = false;
     let hasSetupNodeWithCache = false;
     for (const [, job] of jobEntries) {
-        if (!job?.steps)
+        if (!job.steps) {
             continue;
+        }
         let jobHasInstall = false;
         for (const string of job.steps) {
             if (string.run && /\b(npm\s+(ci|install)|yarn\s+install|pnpm\s+install)\b/.test(string.run)) {
@@ -476,8 +545,9 @@ function analisarMultiplasInstalacoesDeps(jobEntries, probs) {
                 hasSetupNodeWithCache = true;
             }
         }
-        if (jobHasInstall)
+        if (jobHasInstall) {
             installCount++;
+        }
     }
     if (installCount >= 2 && !hasCacheStep && !hasSetupNodeWithCache) {
         probs.push({
@@ -488,4 +558,3 @@ function analisarMultiplasInstalacoesDeps(jobEntries, probs) {
         });
     }
 }
-//# sourceMappingURL=analyst-github-actions.js.map

package/dist/analysts/github-actions/analysts/index.js

@@ -1,3 +1,2 @@
 export * from './analyst-github-actions.js';
 export * from './analyst-github-actions-security-hardening.js';
-//# sourceMappingURL=index.js.map

package/dist/analysts/github-actions/corrections/autofix-engine.js

@@ -1,14 +1,27 @@
-import { getMessages } from '../../../core/messages/index.js';
 import { parseDocument } from 'yaml';
+import { getMessages } from '../../../core/messages/index.js';
 const { AnalistaGithubActionsMensagens } = getMessages();
+/**
+ * Motor de Auto-fix para GitHub Actions
+ * Utiliza a biblioteca 'yaml' para mutar o documento preservando a formatação.
+ */
 export class AutofixEngine {
+    /**
+     * Aplica uma lista de mutadores a um conteúdo YAML
+     * @param content O conteúdo original do arquivo YAML
+     * @param fixers Lista de funções de correção que operam na AST (Document)
+     * @returns O conteúdo corrigido
+     */
     aplicarFixes(content, fixers) {
-        if (!content || fixers.length === 0)
+        if (!content || fixers.length === 0) {
             return content;
+        }
         const doc = parseDocument(content);
+        // Se o documento tiver erros de parse, não aplicamos correções para evitar corromper
         if (doc.errors.length > 0) {
             return content;
         }
+        // Executa cada mutador na AST
         for (const fix of fixers) {
             try {
                 fix(doc);
@@ -19,9 +32,12 @@ export class AutofixEngine {
         }
         return doc.toString();
     }
+    /**
+     * Converte o método corrigir de DeteccaoCustom para um formato compatível com o motor
+     * @param detecoes Lista de detecções que possuem método corrigir
+     */
     extrairFixers(detecoes) {
         return detecoes.filter(diretorio => typeof diretorio.corrigir === 'function').map(diretorio => diretorio.corrigir);
     }
 }
 export const autofixEngine = new AutofixEngine();
-//# sourceMappingURL=autofix-engine.js.map

package/dist/analysts/github-actions/corrections/correction-workflow.js

@@ -1,3 +1,12 @@
+// SPDX-License-Identifier: MIT
+/**
+ * [CHAVE-INGLESA] Correções automáticas para GitHub Actions
+ *
+ * Fornece correções sugeridas para problemas comuns em workflows:
+ * - SHA pinning
+ * - Secrets context
+ * - Permissions
+ */
 import { messages } from '../../../core/messages/index.js';
 import { splitLines } from '../../../shared/helpers/index.js';
 import { criarOcorrencia } from '../../../types/index.js';
@@ -43,8 +52,9 @@ export const correctionWorkflow = {
     descricao: 'Correções automáticas para GitHub Actions',
     test: (relPath) => /\.github\/workflows\/.*\.ya?ml$/i.test(relPath),
     aplicar: (src, relPath) => {
-        if (!src)
+        if (!src) {
             return [];
+        }
         const correcoes = detectarCorrecoesWorkflow(src, relPath);
         return correcoes.map(elem => criarOcorrencia({
             tipo: `correction-${elem.tipo}`,
@@ -61,4 +71,3 @@ export const correctionWorkflow = {
         }));
     }
 };
-//# sourceMappingURL=correction-workflow.js.map

package/dist/analysts/github-actions/corrections/index.js

@@ -1,3 +1,3 @@
+// SPDX-License-Identifier: MIT
 export * from './autofix-engine.js';
 export * from './correction-workflow.js';
-//# sourceMappingURL=index.js.map

package/dist/analysts/github-actions/detectors/detector-dependencies-vulnerable.js

@@ -1,7 +1,18 @@
+// SPDX-License-Identifier: MIT
+/**
+ * [BUSCA] Detector de Dependências Vulneráveis para GitHub Actions
+ *
+ * Detecta dependências potencialmente vulneráveis em workflows:
+ * - Actions com CVEs conhecidos (base de dados de vulnerabilidades)
+ * - Actions que não usam SHA pinning (facilmente exploráveis)
+ * - Versões desatualizadas de actions com patches de segurança
+ * - Dependências npm/yarn com versões conhecidamente vulneráveis
+ * - Uso de actions de forks sem verificação
+ */
 import { messages } from '../../../core/messages/index.js';
 import { splitLines } from '../../../shared/helpers/index.js';
-import { criarOcorrencia } from '../../../types/index.js';
 import { isOrgVerificada } from './org-verified.js';
+import { criarOcorrencia } from '../../../types/index.js';
 const CVES_CONHECIDOS = [{
         action: 'actions/checkout',
         versions: '<v3',
@@ -59,8 +70,10 @@ const CVES_CONHECIDOS = [{
         severidade: 'baixa',
         fix: 'Atualizar para actions/setup-python@v5'
     }];
+// Actions frequentemente usadas em forks maliciosos
 const FORK_SUSPEITO_PATTERNS = [/^[a-zA-Z0-9-]+\/[a-zA-Z0-9-]+@[a-f0-9]{40}$/,
-    /^[a-zA-Z0-9-]+-[a-zA-Z0-9-]+-[a-zA-Z0-9-]+@/
+    // Fork com SHA longo não oficial
+    /^[a-zA-Z0-9-]+-[a-zA-Z0-9-]+-[a-zA-Z0-9-]+@/ // Padrão de nome de fork suspeito
 ];
 const VERSOES_VULNERAVEIS_NPM = {
     'serialize-javascript': {
@@ -90,9 +103,11 @@ const VERSOES_VULNERAVEIS_NPM = {
 };
 function verificarActionVulneravel(uses, linha, relPath) {
     const match = uses.match(/^([a-zA-Z0-9-]+\/[a-zA-Z0-9-]+)@(.+)$/);
-    if (!match)
+    if (!match) {
         return null;
+    }
     const [, actionRef, version] = match;
+    // Verificar CVEs conhecidos
     for (const cve of CVES_CONHECIDOS) {
         if (actionRef === cve.action) {
             const versaoNum = parseInt(version.replace(/^v/, ''), 10);
@@ -109,6 +124,8 @@ function verificarActionVulneravel(uses, linha, relPath) {
             }
         }
     }
+    // Verificar fork suspeito - APENAS se NÃO for de organização verificada
+    // SHA pinning em actions de orgs verificadas é boa prática de segurança
     if (!isOrgVerificada(actionRef)) {
         for (const pattern of FORK_SUSPEITO_PATTERNS) {
             if (pattern.test(uses)) {
@@ -127,8 +144,10 @@ function verificarActionVulneravel(uses, linha, relPath) {
 }
 function verificarDependenciasNpm(runCommand, linha, relPath) {
     for (const [dep, info] of Object.entries(VERSOES_VULNERAVEIS_NPM)) {
+        // Detectar require/import de versões vulneráveis
         if (new RegExp(`${dep}@?[\\s'\"<>=]`).test(runCommand)) {
             if (runCommand.includes(`npm install ${dep}`) || runCommand.includes(`npm i ${dep}`)) {
+                // Se instala sem versão específica, não sabemos a versão, mas vale avisar
                 return criarOcorrencia({
                     tipo: 'dependencia-npm-vulneravel',
                     nivel: 'info',
@@ -138,6 +157,7 @@ function verificarDependenciasNpm(runCommand, linha, relPath) {
                     sugestao: info.fix
                 });
             }
+            // Extrair versão do package.json se mencionado
             const versionMatch = runCommand.match(new RegExp(`${dep}@([\\d^~<>]+)`));
             if (versionMatch) {
                 return criarOcorrencia({
@@ -159,13 +179,15 @@ export const detectorDependenciasVulneraveis = {
     descricao: 'Detecta dependências vulneráveis em GitHub Actions',
     test: (relPath) => /\.github\/workflows\/.*\.ya?ml$/i.test(relPath),
     aplicar: (src, relPath) => {
-        if (!src)
+        if (!src) {
             return [];
+        }
         const ocorrencias = [];
         const linhas = splitLines(src);
         for (let indice = 0; indice < linhas.length; indice++) {
             const linha = linhas[indice];
             const numeroLinha = indice + 1;
+            // --- 1. Actions com CVEs conhecidos ---
             const usesMatch = linha.match(/uses:\s*([a-zA-Z0-9-]+\/[a-zA-Z0-9-]+@[\w.]+)/);
             if (usesMatch) {
                 const ocorrencia = verificarActionVulneravel(usesMatch[1], numeroLinha, relPath);
@@ -173,6 +195,7 @@ export const detectorDependenciasVulneraveis = {
                     ocorrencias.push(ocorrencia);
                 }
             }
+            // --- 2. Dependências npm vulneráveis em run commands ---
             if (linha.match(/run:\s*['"]?npm/)) {
                 const npmOcorrencia = verificarDependenciasNpm(linha, numeroLinha, relPath);
                 if (npmOcorrencia) {
@@ -180,6 +203,7 @@ export const detectorDependenciasVulneraveis = {
                 }
             }
         }
+        // --- 3. Verificar falta de audit step em workflows com instalação de deps ---
         const hasInstallStep = /npm\s+(install|i\b)|yarn\s+install|pnpm\s+install/i.test(src);
         const hasAuditStep = /\b(npm\s+audit|yarn\s+audit|pnpm\s+audit|snyk|trivy)\b/i.test(src);
         if (hasInstallStep && !hasAuditStep) {
@@ -192,6 +216,8 @@ export const detectorDependenciasVulneraveis = {
                 sugestao: messages.AnalistaGithubActionsMensagens.workflowInstallsDepsWithoutAuditSugestao
             }));
         }
+        // --- 4. Verificar se actions de checkout têm persist-credentials: true (padrão perigoso) ---
+        // Reportar apenas uma vez por workflow, e ignorar workflows que claramente precisam de escrita
         const isReleaseOrDeployWorkflow = /release|deploy|publish|tag|changelog/i.test(src);
         const checkoutsWithoutPersistFalse = [];
         for (let indice = 0; indice < linhas.length; indice++) {
@@ -215,4 +241,3 @@ export const detectorDependenciasVulneraveis = {
         return ocorrencias;
     }
 };
-//# sourceMappingURL=detector-dependencies-vulnerable.js.map