@mocoto/mahoraga 0.14.1 → 0.14.3

package/dist/analysts/azure-pipelines/corrections/correction-azure.js

@@ -2,30 +2,33 @@
 import { messages } from '../../../core/messages/index.js';
 import { splitLines } from '../../../shared/helpers/index.js';
 import { criarOcorrencia } from '../../../types/index.js';
+function processarLinhaAzure(linha, numeroLinha, correcoes) {
+    if (/vmImage:\s*['"]?.*latest['"]?/i.test(linha)) {
+        correcoes.push({
+            tipo: 'azure-fix-latest-image',
+            original: linha,
+            sugerido: linha.replace(/latest/i, 'ubuntu-22.04'),
+            linha: numeroLinha,
+            confianca: 90
+        });
+    }
+    if (/(password|token|secret|key):\s*['"]?([^$({][a-zA-Z0-9_\-]{8,})['"]?/gi.test(linha)) {
+        const replaced = linha.replace(/['"][^'"]+['"]/, '$(SECRET_NAME)');
+        correcoes.push({
+            tipo: 'azure-use-variable',
+            original: linha,
+            sugerido: replaced,
+            linha: numeroLinha,
+            confianca: 90
+        });
+    }
+}
 export function detectarCorrecoesAzure(src, _relPath) {
     const correcoes = [];
     const linhas = splitLines(src);
     linhas.forEach((linha, index) => {
         const numeroLinha = index + 1;
-        if (/vmImage:\s*['"]?.*latest['"]?/i.test(linha)) {
-            correcoes.push({
-                tipo: 'azure-fix-latest-image',
-                original: linha,
-                sugerido: linha.replace(/latest/i, 'ubuntu-22.04'),
-                linha: numeroLinha,
-                confianca: 90
-            });
-        }
-        if (/(password|token|secret|key):\s*['"]?([^$({][a-zA-Z0-9_\-]{8,})['"]?/gi.test(linha)) {
-            const replaced = linha.replace(/['"][^'"]+['"]/, '$(SECRET_NAME)');
-            correcoes.push({
-                tipo: 'azure-use-variable',
-                original: linha,
-                sugerido: replaced,
-                linha: numeroLinha,
-                confianca: 90
-            });
-        }
+        processarLinhaAzure(linha, numeroLinha, correcoes);
     });
     if (!/task:\s*Cache@/i.test(src) && !/CacheBeta@/i.test(src)) {
         correcoes.push({

package/dist/analysts/azure-pipelines/detectors/detector-azure-performance.js

@@ -1,6 +1,26 @@
 // SPDX-License-Identifier: MIT
 import { messages } from '../../../core/messages/index.js';
 import { criarOcorrencia } from '../../../types/index.js';
+function detectarParallelDeployment(src, relPath, ocorrencias) {
+    if (/environment:/i.test(src) && /deploy/i.test(src)) {
+        const deployJobs = src.match(/- job:\s*\w+/g);
+        const deployStages = src.match(/- stage:\s*\w+/g);
+        const totalDeployUnits = (deployJobs ? deployJobs.length : 0) + (deployStages ? deployStages.length : 0);
+        if (totalDeployUnits > 1) {
+            const hasDependsOn = /dependsOn:/i.test(src);
+            if (!hasDependsOn) {
+                ocorrencias.push(criarOcorrencia({
+                    tipo: 'azure-pipelines-missing-parallel-deployment',
+                    nivel: 'info',
+                    mensagem: messages.RelatorioAzureMensagens.missingParallelDeployment,
+                    relPath,
+                    linha: 1,
+                    sugestao: messages.RelatorioAzureMensagens.missingParallelDeploymentSugestao,
+                }));
+            }
+        }
+    }
+}
 export const detectorAzurePerformance = {
     nome: 'detector-azure-performance',
     categoria: 'performance',
@@ -47,24 +67,7 @@ export const detectorAzurePerformance = {
             }));
         }
         // 4. Parallel deployment detection
-        if (/environment:/i.test(src) && /deploy/i.test(src)) {
-            const deployJobs = src.match(/- job:\s*\w+/g);
-            const deployStages = src.match(/- stage:\s*\w+/g);
-            const totalDeployUnits = (deployJobs ? deployJobs.length : 0) + (deployStages ? deployStages.length : 0);
-            if (totalDeployUnits > 1) {
-                const hasDependsOn = /dependsOn:/i.test(src);
-                if (!hasDependsOn) {
-                    ocorrencias.push(criarOcorrencia({
-                        tipo: 'azure-pipelines-missing-parallel-deployment',
-                        nivel: 'info',
-                        mensagem: messages.RelatorioAzureMensagens.missingParallelDeployment,
-                        relPath,
-                        linha: 1,
-                        sugestao: messages.RelatorioAzureMensagens.missingParallelDeploymentSugestao,
-                    }));
-                }
-            }
-        }
+        detectarParallelDeployment(src, relPath, ocorrencias);
         // 5. Large artifact staging
         const publishArtifacts = src.match(/task:\s*PublishBuildArtifacts@/gi);
         if (publishArtifacts && publishArtifacts.length > 3) {

package/dist/analysts/azure-pipelines/detectors/detector-azure-security.js

@@ -16,6 +16,30 @@ const SECRET_PATTERNS = [
     /(connection[_-]?string)\s*[:=]\s*['"][^'"]+['"]/gi,
     /(azure[_-]?devops[_-]?pat)\s*[:=]\s*['"][^'"]+['"]/gi,
 ];
+function detectarSecretVarsPlainText(src, relPath, ocorrencias) {
+    const variableLines = src.match(/^\s*variables\s*:\s*$/im);
+    if (!variableLines) {
+        return;
+    }
+    const varSection = src.slice(src.indexOf('variables:'));
+    const secretVars = varSection.match(/([a-zA-Z_]\w*)\s*:\s*['"][^'"]+['"]/g);
+    if (!secretVars) {
+        return;
+    }
+    for (const sv of secretVars) {
+        const varName = sv.split(':')[0].trim();
+        if (/(password|token|secret|key|connection)/i.test(varName)) {
+            ocorrencias.push(criarOcorrencia({
+                tipo: 'azure-pipelines-secret-variable-plaintext',
+                nivel: 'erro',
+                mensagem: `Variável '${varName}' definida em texto plano na seção variables`,
+                relPath,
+                linha: 1,
+                sugestao: 'Use um grupo de variáveis com proteção de segredo ou referencie como $(varName)',
+            }));
+        }
+    }
+}
 export const detectorAzureSecurity = {
     nome: 'detector-azure-security',
     categoria: 'seguranca',
@@ -148,26 +172,7 @@ export const detectorAzureSecurity = {
             }
         }
         // 10. Secret variable detection in plain text
-        const variableLines = src.match(/^\s*variables\s*:\s*$/im);
-        if (variableLines) {
-            const varSection = src.slice(src.indexOf('variables:'));
-            const secretVars = varSection.match(/([a-zA-Z_]\w*)\s*:\s*['"][^'"]+['"]/g);
-            if (secretVars) {
-                for (const sv of secretVars) {
-                    const varName = sv.split(':')[0].trim();
-                    if (/(password|token|secret|key|connection)/i.test(varName)) {
-                        ocorrencias.push(criarOcorrencia({
-                            tipo: 'azure-pipelines-secret-variable-plaintext',
-                            nivel: 'erro',
-                            mensagem: `Variável '${varName}' definida em texto plano na seção variables`,
-                            relPath,
-                            linha: 1,
-                            sugestao: 'Use um grupo de variáveis com proteção de segredo ou referencie como $(varName)',
-                        }));
-                    }
-                }
-            }
-        }
+        detectarSecretVarsPlainText(src, relPath, ocorrencias);
         return ocorrencias;
     }
 };

package/dist/analysts/azure-pipelines/detectors/detector-azure-structure.js

@@ -2,6 +2,44 @@
 import { parseDocument } from 'yaml';
 import { messages } from '../../../core/messages/index.js';
 import { criarOcorrencia } from '../../../types/index.js';
+function processarJobsAzure(jobs, relPath, ocorrencias) {
+    const jobNames = jobs.map(j => j.job ?? '').filter(Boolean);
+    for (const job of jobs) {
+        if (job.dependsOn && !jobNames.includes(job.dependsOn)) {
+            ocorrencias.push(criarOcorrencia({
+                tipo: 'azure-job-orfao',
+                nivel: 'erro',
+                mensagem: `Job '${job.job ?? job.displayName}' depende de '${job.dependsOn}' que não existe`,
+                relPath, linha: 1,
+                sugestao: 'Verifique se o nome do job no dependsOn está correto',
+            }));
+        }
+    }
+    if (jobs.length > 3 && jobs.every(j => !j.dependsOn || jobNames.indexOf(j.dependsOn) === jobNames.indexOf(j.job ?? '') - 1)) {
+        const hasParallel = jobs.some(j => !j.dependsOn && j !== jobs[0]);
+        if (!hasParallel) {
+            ocorrencias.push(criarOcorrencia({
+                tipo: 'azure-sem-paralelismo',
+                nivel: 'info',
+                mensagem: 'Pipeline com jobs estritamente sequenciais',
+                relPath, linha: 1,
+                sugestao: 'Considere paralelizar jobs independentes',
+            }));
+        }
+    }
+    for (const job of jobs) {
+        if (job.job && !job.displayName) {
+            ocorrencias.push(criarOcorrencia({
+                tipo: 'azure-missing-job-displayname',
+                nivel: 'info',
+                mensagem: messages.RelatorioAzureMensagens.missingJobDisplayName,
+                relPath,
+                linha: 1,
+                sugestao: messages.RelatorioAzureMensagens.missingJobDisplayNameSugestao,
+            }));
+        }
+    }
+}
 export const detectorAzureEstrutura = {
     nome: 'detector-azure-estrutura',
     categoria: 'workflows',
@@ -15,48 +53,9 @@ export const detectorAzureEstrutura = {
         try {
             const doc = parseDocument(src);
             const pipeline = doc.toJS();
-            if (!pipeline) {
-                return ocorrencias;
-            }
             const jobs = pipeline.jobs;
             if (jobs && Array.isArray(jobs)) {
-                const jobNames = jobs.map(j => j.job ?? '').filter(Boolean);
-                for (const job of jobs) {
-                    if (job.dependsOn && !jobNames.includes(job.dependsOn)) {
-                        ocorrencias.push(criarOcorrencia({
-                            tipo: 'azure-job-orfao',
-                            nivel: 'erro',
-                            mensagem: `Job '${job.job ?? job.displayName}' depende de '${job.dependsOn}' que não existe`,
-                            relPath, linha: 1,
-                            sugestao: 'Verifique se o nome do job no dependsOn está correto',
-                        }));
-                    }
-                }
-                if (jobs.length > 3 && jobs.every(j => !j.dependsOn || jobNames.indexOf(j.dependsOn) === jobNames.indexOf(j.job ?? '') - 1)) {
-                    const hasParallel = jobs.some(j => !j.dependsOn && j !== jobs[0]);
-                    if (!hasParallel) {
-                        ocorrencias.push(criarOcorrencia({
-                            tipo: 'azure-sem-paralelismo',
-                            nivel: 'info',
-                            mensagem: 'Pipeline com jobs estritamente sequenciais',
-                            relPath, linha: 1,
-                            sugestao: 'Considere paralelizar jobs independentes',
-                        }));
-                    }
-                }
-                // Display name conventions
-                for (const job of jobs) {
-                    if (job.job && !job.displayName) {
-                        ocorrencias.push(criarOcorrencia({
-                            tipo: 'azure-missing-job-displayname',
-                            nivel: 'info',
-                            mensagem: messages.RelatorioAzureMensagens.missingJobDisplayName,
-                            relPath,
-                            linha: 1,
-                            sugestao: messages.RelatorioAzureMensagens.missingJobDisplayNameSugestao,
-                        }));
-                    }
-                }
+                processarJobsAzure(jobs, relPath, ocorrencias);
             }
             const container = pipeline;
             const containers = container.resources?.containers;

package/dist/analysts/azure-pipelines/scorers/scorer-azure.js

@@ -1,6 +1,15 @@
 // SPDX-License-Identifier: MIT
 import { messages } from '../../../core/messages/index.js';
 import { splitLines } from '../../../shared/helpers/index.js';
+function detectarVulnerableTask(srcCompleto) {
+    return Object.keys({
+        'Npm@1': 'Npm@1',
+        'NuGetCommand@2': 'NuGetCommand@2',
+        'DotNetCoreCLI@1': 'DotNetCoreCLI@1',
+        'VSBuild@1': 'VSBuild@1',
+        'VsTest@1': 'VsTest@1',
+    }).some(task => new RegExp(`task:\\s*${task.replace(/[.*+?^${}()|[\]\\]/g, '\\$&')}`, 'i').test(srcCompleto));
+}
 export function pontuarAzure(src, _relPath) {
     let score = 0;
     const maxScore = 100;
@@ -16,13 +25,7 @@ export function pontuarAzure(src, _relPath) {
     else {
         issues.push(messages.RelatorioAzureMensagens.vulnerableTask);
     }
-    const isVulnerableTask = Object.keys({
-        'Npm@1': 'Npm@1',
-        'NuGetCommand@2': 'NuGetCommand@2',
-        'DotNetCoreCLI@1': 'DotNetCoreCLI@1',
-        'VSBuild@1': 'VSBuild@1',
-        'VsTest@1': 'VsTest@1',
-    }).some(task => new RegExp(`task:\\s*${task.replace(/[.*+?^${}()|[\]\\]/g, '\\$&')}`, 'i').test(srcCompleto));
+    const isVulnerableTask = detectarVulnerableTask(srcCompleto);
     if (!isVulnerableTask) {
         score += 5;
         strengths.push('Tasks com versões seguras');

package/dist/analysts/circleci/analysts/analyst-circleci.js

@@ -3,6 +3,23 @@ import { parseDocument } from 'yaml';
 import { detectorCircleCIPerformance } from '../detectors/detector-circleci-performance.js';
 import { detectorCircleCISecurity, obterDetectoresCircleCI } from '../detectors/detector-circleci-security.js';
 import { detectorCircleCIEstrutura } from '../detectors/detector-circleci-structure.js';
+function processarJobsCircleCI(jobs, relPath, ocorrencias) {
+    if (!jobs) {
+        return;
+    }
+    for (const [jobName, job] of Object.entries(jobs)) {
+        if (job.steps && job.steps.length > 20) {
+            ocorrencias.push({
+                tipo: 'CIRCLECI_JOB_TOO_MANY_STEPS',
+                mensagem: `Job '${jobName}' possui muitos steps (${job.steps.length})`,
+                relPath,
+                linha: 1,
+                nivel: 'info',
+                sugestao: 'Agrupe steps repetitivos em "commands" para maior legibilidade'
+            });
+        }
+    }
+}
 export const analistaCircleCI = {
     nome: 'circleci',
     categoria: 'workflows',
@@ -14,7 +31,11 @@ export const analistaCircleCI = {
             const securityResults = await Promise.resolve(detectorCircleCISecurity.aplicar(conteudo, relPath, null, _fc, contexto));
             const performanceResults = await Promise.resolve(detectorCircleCIPerformance.aplicar(conteudo, relPath, null, _fc, contexto));
             const structureResults = await Promise.resolve(detectorCircleCIEstrutura.aplicar(conteudo, relPath, null, _fc, contexto));
-            ocorrencias.push(...securityResults, ...performanceResults, ...structureResults);
+            for (const r of [securityResults, performanceResults, structureResults]) {
+                if (r) {
+                    ocorrencias.push(...(Array.isArray(r) ? r : [r]));
+                }
+            }
             // Run registered plugins
             const caminhos = contexto?.arquivos.map(arquivo => arquivo.relPath) ?? [];
             const plugResults = await Promise.all(obterDetectoresCircleCI().map(d => Promise.resolve(d.testar({ content: conteudo }, { conteudo, caminhos })).catch(() => [])));
@@ -32,33 +53,18 @@ export const analistaCircleCI = {
             }
             const doc = parseDocument(conteudo);
             const config = doc.toJS();
-            if (config) {
-                const configData = config;
-                if (configData.version && parseFloat(String(configData.version)) < 2.1) {
-                    ocorrencias.push({
-                        tipo: 'CIRCLECI_OBSOLETE_VERSION',
-                        mensagem: `Versão do CircleCI (${configData.version}) está obsoleta`,
-                        relPath,
-                        linha: 1,
-                        nivel: 'aviso',
-                        sugestao: 'Atualize para a versão 2.1 para usar Orbs, Commands e outras melhorias modernas'
-                    });
-                }
-                if (configData.jobs) {
-                    for (const [jobName, job] of Object.entries(configData.jobs)) {
-                        if (job.steps && job.steps.length > 20) {
-                            ocorrencias.push({
-                                tipo: 'CIRCLECI_JOB_TOO_MANY_STEPS',
-                                mensagem: `Job '${jobName}' possui muitos steps (${job.steps.length})`,
-                                relPath,
-                                linha: 1,
-                                nivel: 'info',
-                                sugestao: 'Agrupe steps repetitivos em "commands" para maior legibilidade'
-                            });
-                        }
-                    }
-                }
+            const configData = config;
+            if (configData.version && parseFloat(String(configData.version)) < 2.1) {
+                ocorrencias.push({
+                    tipo: 'CIRCLECI_OBSOLETE_VERSION',
+                    mensagem: `Versão do CircleCI (${configData.version}) está obsoleta`,
+                    relPath,
+                    linha: 1,
+                    nivel: 'aviso',
+                    sugestao: 'Atualize para a versão 2.1 para usar Orbs, Commands e outras melhorias modernas'
+                });
             }
+            processarJobsCircleCI(configData.jobs, relPath, ocorrencias);
         }
         catch {
             // Falha silenciosa no parse

package/dist/analysts/circleci/corrections/correction-circleci.js

@@ -2,30 +2,32 @@
 import { messages } from '../../../core/messages/index.js';
 import { splitLines } from '../../../shared/helpers/index.js';
 import { criarOcorrencia } from '../../../types/index.js';
+function processarLinhaCircleCI(linha, numeroLinha, correcoes) {
+    if (/\bimage:\s*[^\s@]+:latest\b/.test(linha)) {
+        correcoes.push({
+            tipo: 'circleci-fix-latest-image',
+            original: linha,
+            sugerido: linha.replace(/:latest\b/, ':3.18'),
+            linha: numeroLinha,
+            confianca: 90
+        });
+    }
+    if (/\b(TOKEN|SECRET|PASSWORD|KEY|ACCESS_KEY)\b.*:\s*['"][^'"]+['"]/i.test(linha) && !/\$/.test(linha)) {
+        const replaced = linha.replace(/['"][^'"]+['"]/, '"$VAR_NAME"');
+        correcoes.push({
+            tipo: 'circleci-use-context',
+            original: linha,
+            sugerido: replaced,
+            linha: numeroLinha,
+            confianca: 90
+        });
+    }
+}
 export function detectarCorrecoesCircleCI(src, _relPath) {
     const correcoes = [];
     const linhas = splitLines(src);
     linhas.forEach((linha, index) => {
-        const numeroLinha = index + 1;
-        if (/\bimage:\s*[^\s@]+:latest\b/.test(linha)) {
-            correcoes.push({
-                tipo: 'circleci-fix-latest-image',
-                original: linha,
-                sugerido: linha.replace(/:latest\b/, ':3.18'),
-                linha: numeroLinha,
-                confianca: 90
-            });
-        }
-        if (/\b(TOKEN|SECRET|PASSWORD|KEY|ACCESS_KEY)\b.*:\s*['"][^'"]+['"]/i.test(linha) && !/\$/.test(linha)) {
-            const replaced = linha.replace(/['"][^'"]+['"]/, '"$VAR_NAME"');
-            correcoes.push({
-                tipo: 'circleci-use-context',
-                original: linha,
-                sugerido: replaced,
-                linha: numeroLinha,
-                confianca: 90
-            });
-        }
+        processarLinhaCircleCI(linha, index + 1, correcoes);
     });
     if (!/save_cache:/.test(src) && !/restore_cache:/.test(src)) {
         const firstJobLine = linhas.findIndex(l => /steps:/.test(l));

package/dist/analysts/circleci/detectors/detector-circleci-performance.js

@@ -2,6 +2,28 @@
 import { messages } from '../../../core/messages/index.js';
 import { criarOcorrencia } from '../../../types/index.js';
 const MSG = messages.RelatorioCircleciMensagens;
+function analisarJobsSequenciais(src, relPath, ocorrencias) {
+    const jobSections = src.split(/^jobs:/m);
+    if (jobSections.length <= 1) {
+        return 0;
+    }
+    const jobsBlock = jobSections[1].split(/^workflows:|^orbs:|^commands:|^executors:/m)[0];
+    const jobNames = jobsBlock.match(/^\s{2}\w[^:]+:/gm);
+    const jobCountEstimate = jobNames ? jobNames.length : 0;
+    if (jobCountEstimate > 2) {
+        const needsCount = (jobsBlock.match(/needs:/g) ?? []).length;
+        if (needsCount >= jobCountEstimate - 1) {
+            ocorrencias.push(criarOcorrencia({
+                tipo: 'circleci-sequential-test-jobs',
+                nivel: 'info',
+                mensagem: typeof MSG.sequentialTestJobs === 'function' ? (MSG.sequentialTestJobs)() : MSG.sequentialTestJobs,
+                relPath, linha: 1,
+                sugestao: typeof MSG.sequentialTestJobsSugestao === 'function' ? (MSG.sequentialTestJobsSugestao)() : MSG.sequentialTestJobsSugestao
+            }));
+        }
+    }
+    return jobCountEstimate;
+}
 export const detectorCircleCIPerformance = {
     nome: 'detector-circleci-performance',
     categoria: 'performance',
@@ -73,25 +95,7 @@ export const detectorCircleCIPerformance = {
             }));
         }
         // 6. Sequential test jobs analysis
-        let jobCountEstimate = 0;
-        const jobSections = src.split(/^jobs:/m);
-        if (jobSections.length > 1) {
-            const jobsBlock = jobSections[1].split(/^workflows:|^orbs:|^commands:|^executors:/m)[0];
-            const jobNames = jobsBlock.match(/^\s{2}\w[^:]+:/gm);
-            jobCountEstimate = jobNames ? jobNames.length : 0;
-            if (jobCountEstimate > 2) {
-                const needsCount = (jobsBlock.match(/needs:/g) ?? []).length;
-                if (needsCount >= jobCountEstimate - 1) {
-                    ocorrencias.push(criarOcorrencia({
-                        tipo: 'circleci-sequential-test-jobs',
-                        nivel: 'info',
-                        mensagem: typeof MSG.sequentialTestJobs === 'function' ? (MSG.sequentialTestJobs)() : MSG.sequentialTestJobs,
-                        relPath, linha: 1,
-                        sugestao: typeof MSG.sequentialTestJobsSugestao === 'function' ? (MSG.sequentialTestJobsSugestao)() : MSG.sequentialTestJobsSugestao
-                    }));
-                }
-            }
-        }
+        const jobCountEstimate = analisarJobsSequenciais(src, relPath, ocorrencias);
         // 7. Single executor type for all jobs
         const executorTypes = new Set();
         const machineMatch = src.match(/machine:/g);

package/dist/analysts/circleci/detectors/detector-circleci-security.js

@@ -13,6 +13,83 @@ function _isProblemaWorkflowArray(val) {
     return Array.isArray(val);
 }
 const MSG = messages.RelatorioCircleciMensagens;
+function processarLinhaSegurancaCircleCI(linha, index, linhas, relPath, ocorrencias) {
+    const numeroLinha = index + 1;
+    if (/\b(TOKEN|SECRET|PASSWORD|KEY|ACCESS_KEY)\b.*:\s*['"][^'"]+['"]/i.test(linha) && !/\$/.test(linha)) {
+        ocorrencias.push(criarOcorrencia({
+            tipo: 'circleci-hardcoded-secret',
+            nivel: 'erro',
+            mensagem: typeof MSG.hardcodedKeyInConfig === 'function' ? (MSG.hardcodedKeyInConfig)() : MSG.hardcodedKeyInConfig,
+            relPath,
+            linha: numeroLinha,
+            sugestao: typeof MSG.hardcodedKeyInConfigSugestao === 'function' ? (MSG.hardcodedKeyInConfigSugestao)() : MSG.hardcodedKeyInConfigSugestao
+        }));
+    }
+    if (/\bimage:\s*[^\s@]+:latest\b/.test(linha) || (/\bimage:\s*[^\s@:]+$/.test(linha.trim()) && linha.includes('image:'))) {
+        ocorrencias.push(criarOcorrencia({
+            tipo: 'circleci-image-latest',
+            nivel: 'aviso',
+            mensagem: 'Uso de imagem :latest ou sem tag específica',
+            relPath,
+            linha: numeroLinha,
+            sugestao: 'Use um digest (SHA) ou uma versão fixa para garantir segurança e reprodutibilidade'
+        }));
+    }
+    if (/resource_class\s*:\s*(medium|small)\s*$/.test(linha)) {
+        ocorrencias.push(criarOcorrencia({
+            tipo: 'circleci-default-resource-class',
+            nivel: 'info',
+            mensagem: typeof MSG.missingResourceClass === 'function' ? (MSG.missingResourceClass)() : MSG.missingResourceClass,
+            relPath,
+            linha: numeroLinha,
+            sugestao: typeof MSG.missingResourceClassSugestao === 'function' ? (MSG.missingResourceClassSugestao)() : MSG.missingResourceClassSugestao
+        }));
+    }
+    if (/context\s*:/.test(linha)) {
+        const nextLines = linhas.slice(index + 1, index + 5);
+        const hasBranchFilter = nextLines.some(l => /branches\s*:/.test(l));
+        if (!hasBranchFilter) {
+            ocorrencias.push(criarOcorrencia({
+                tipo: 'circleci-context-no-branch-restriction',
+                nivel: 'aviso',
+                mensagem: typeof MSG.unsafeContextUsage === 'function' ? (MSG.unsafeContextUsage)() : MSG.unsafeContextUsage,
+                relPath,
+                linha: numeroLinha,
+                sugestao: typeof MSG.unsafeContextUsageSugestao === 'function' ? (MSG.unsafeContextUsageSugestao)() : MSG.unsafeContextUsageSugestao
+            }));
+        }
+    }
+    if (/fingerprint\s*:\s*['"][^'"]+['"]/.test(linha) || /\bkey\s*:\s*['"][A-Za-z0-9+/]{20,}['"]/.test(linha)) {
+        ocorrencias.push(criarOcorrencia({
+            tipo: 'circleci-hardcoded-fingerprint',
+            nivel: 'erro',
+            mensagem: typeof MSG.hardcodedKeyInConfig === 'function' ? (MSG.hardcodedKeyInConfig)() : MSG.hardcodedKeyInConfig,
+            relPath,
+            linha: numeroLinha,
+            sugestao: typeof MSG.hardcodedKeyInConfigSugestao === 'function' ? (MSG.hardcodedKeyInConfigSugestao)() : MSG.hardcodedKeyInConfigSugestao
+        }));
+    }
+    if (/checkout\s*:/.test(linha) && /path\s*:/.test(linha)) {
+        ocorrencias.push(criarOcorrencia({
+            tipo: 'circleci-custom-checkout-path',
+            nivel: 'info',
+            mensagem: typeof MSG.dangerousCheckoutPath === 'function' ? (MSG.dangerousCheckoutPath)() : MSG.dangerousCheckoutPath,
+            relPath,
+            linha: numeroLinha,
+            sugestao: typeof MSG.dangerousCheckoutPathSugestao === 'function' ? (MSG.dangerousCheckoutPathSugestao)() : MSG.dangerousCheckoutPathSugestao
+        }));
+    }
+    if (/\bsudo\s+/.test(linha)) {
+        ocorrencias.push(criarOcorrencia({
+            tipo: 'circleci-sudo-usage',
+            nivel: 'aviso',
+            mensagem: typeof MSG.sudoWithoutPasswordless === 'function' ? (MSG.sudoWithoutPasswordless)() : MSG.sudoWithoutPasswordless,
+            relPath,
+            linha: numeroLinha,
+            sugestao: typeof MSG.sudoWithoutPasswordlessSugestao === 'function' ? (MSG.sudoWithoutPasswordlessSugestao)() : MSG.sudoWithoutPasswordlessSugestao
+        }));
+    }
+}
 export const detectorCircleCISecurity = {
     nome: 'detector-circleci-security',
     categoria: 'security',
@@ -25,88 +102,7 @@ export const detectorCircleCISecurity = {
         const ocorrencias = [];
         const linhas = splitLines(src);
         linhas.forEach((linha, index) => {
-            const numeroLinha = index + 1;
-            // 1. Secrets hardcoded em environment
-            if (/\b(TOKEN|SECRET|PASSWORD|KEY|ACCESS_KEY)\b.*:\s*['"][^'"]+['"]/i.test(linha) && !/\$/.test(linha)) {
-                ocorrencias.push(criarOcorrencia({
-                    tipo: 'circleci-hardcoded-secret',
-                    nivel: 'erro',
-                    mensagem: typeof MSG.hardcodedKeyInConfig === 'function' ? (MSG.hardcodedKeyInConfig)() : MSG.hardcodedKeyInConfig,
-                    relPath,
-                    linha: numeroLinha,
-                    sugestao: typeof MSG.hardcodedKeyInConfigSugestao === 'function' ? (MSG.hardcodedKeyInConfigSugestao)() : MSG.hardcodedKeyInConfigSugestao
-                }));
-            }
-            // 2. Uso de imagem :latest
-            if (/\bimage:\s*[^\s@]+:latest\b/.test(linha) || (/\bimage:\s*[^\s@:]+$/.test(linha.trim()) && linha.includes('image:'))) {
-                ocorrencias.push(criarOcorrencia({
-                    tipo: 'circleci-image-latest',
-                    nivel: 'aviso',
-                    mensagem: 'Uso de imagem :latest ou sem tag específica',
-                    relPath,
-                    linha: numeroLinha,
-                    sugestao: 'Use um digest (SHA) ou uma versão fixa para garantir segurança e reprodutibilidade'
-                }));
-            }
-            // 3. Resource class analysis
-            if (/resource_class\s*:\s*(medium|small)\s*$/.test(linha)) {
-                ocorrencias.push(criarOcorrencia({
-                    tipo: 'circleci-default-resource-class',
-                    nivel: 'info',
-                    mensagem: typeof MSG.missingResourceClass === 'function' ? (MSG.missingResourceClass)() : MSG.missingResourceClass,
-                    relPath,
-                    linha: numeroLinha,
-                    sugestao: typeof MSG.missingResourceClassSugestao === 'function' ? (MSG.missingResourceClassSugestao)() : MSG.missingResourceClassSugestao
-                }));
-            }
-            // 4. Context usage without branch restriction
-            if (/context\s*:/.test(linha)) {
-                const nextLines = linhas.slice(index + 1, index + 5);
-                const hasBranchFilter = nextLines.some(l => /branches\s*:/.test(l));
-                if (!hasBranchFilter) {
-                    ocorrencias.push(criarOcorrencia({
-                        tipo: 'circleci-context-no-branch-restriction',
-                        nivel: 'aviso',
-                        mensagem: typeof MSG.unsafeContextUsage === 'function' ? (MSG.unsafeContextUsage)() : MSG.unsafeContextUsage,
-                        relPath,
-                        linha: numeroLinha,
-                        sugestao: typeof MSG.unsafeContextUsageSugestao === 'function' ? (MSG.unsafeContextUsageSugestao)() : MSG.unsafeContextUsageSugestao
-                    }));
-                }
-            }
-            // 5. Hardcoded key/fingerprint
-            if (/fingerprint\s*:\s*['"][^'"]+['"]/.test(linha) || /\bkey\s*:\s*['"][A-Za-z0-9+/]{20,}['"]/.test(linha)) {
-                ocorrencias.push(criarOcorrencia({
-                    tipo: 'circleci-hardcoded-fingerprint',
-                    nivel: 'erro',
-                    mensagem: typeof MSG.hardcodedKeyInConfig === 'function' ? (MSG.hardcodedKeyInConfig)() : MSG.hardcodedKeyInConfig,
-                    relPath,
-                    linha: numeroLinha,
-                    sugestao: typeof MSG.hardcodedKeyInConfigSugestao === 'function' ? (MSG.hardcodedKeyInConfigSugestao)() : MSG.hardcodedKeyInConfigSugestao
-                }));
-            }
-            // 6. Dangerous checkout path
-            if (/checkout\s*:/.test(linha) && /path\s*:/.test(linha)) {
-                ocorrencias.push(criarOcorrencia({
-                    tipo: 'circleci-custom-checkout-path',
-                    nivel: 'info',
-                    mensagem: typeof MSG.dangerousCheckoutPath === 'function' ? (MSG.dangerousCheckoutPath)() : MSG.dangerousCheckoutPath,
-                    relPath,
-                    linha: numeroLinha,
-                    sugestao: typeof MSG.dangerousCheckoutPathSugestao === 'function' ? (MSG.dangerousCheckoutPathSugestao)() : MSG.dangerousCheckoutPathSugestao
-                }));
-            }
-            // 7. Sudo usage
-            if (/\bsudo\s+/.test(linha)) {
-                ocorrencias.push(criarOcorrencia({
-                    tipo: 'circleci-sudo-usage',
-                    nivel: 'aviso',
-                    mensagem: typeof MSG.sudoWithoutPasswordless === 'function' ? (MSG.sudoWithoutPasswordless)() : MSG.sudoWithoutPasswordless,
-                    relPath,
-                    linha: numeroLinha,
-                    sugestao: typeof MSG.sudoWithoutPasswordlessSugestao === 'function' ? (MSG.sudoWithoutPasswordlessSugestao)() : MSG.sudoWithoutPasswordlessSugestao
-                }));
-            }
+            processarLinhaSegurancaCircleCI(linha, index, linhas, relPath, ocorrencias);
         });
         return ocorrencias;
     }