@mocoto/mahoraga 0.14.5 → 0.14.7

package/dist/cli/commands/command-perf.js

@@ -13,7 +13,7 @@ async function obterCommit() {
     try {
         // usar helper seguro
         const { executarShellSeguro } = await import('../../core/utils/index.js');
-        return executarShellSeguro('git rev-parse --short HEAD', {
+        return executarShellSeguro('git', ['rev-parse', '--short', 'HEAD'], {
             stdio: ['ignore', 'pipe', 'ignore']
         }).toString().trim();
     }

package/dist/cli/commands/command-update.js

@@ -38,9 +38,10 @@ export function comandoAtualizar(aplicarFlagsGlobais) {
                 log.aviso(CliAtualizarExtraMensagens.guardianBaselineAlterado);
                 log.info(CliAtualizarExtraMensagens.recomendadoGuardianDiff);
             }
-            const cmd = opts.global ? 'npm install -g mahoraga@latest' : 'npm install mahoraga@latest';
+            const cmd = opts.global ? 'npm install -g @mocoto/mahoraga@latest' : 'npm install @mocoto/mahoraga@latest';
             logSistema.atualizacaoExecutando(cmd);
-            executarShellSeguro(cmd, {
+            const npmArgs = opts.global ? ['install', '-g', '@mocoto/mahoraga@latest'] : ['install', '@mocoto/mahoraga@latest'];
+            executarShellSeguro('npm', npmArgs, {
                 stdio: 'inherit'
             });
             logSistema.atualizacaoSucesso();

package/dist/core/messages/en/core/formatters-messages.js

@@ -13,6 +13,7 @@ export const FormattersMensagens = {
 };
 export const ExecSafeMensagens = {
     safeModeBloqueado: 'Command execution disabled in SAFE_MODE. Set SUKUNA_ALLOW_EXEC=1 to allow it.',
+    binarioNaoPermitido: (bin) => `Binary '${bin}' is not in the allowed list.`,
 };
 export const WorkerExecutorMensagens = {
     timeoutTecnica: (nome, ms) => `Timeout: technique '${nome}' exceeded ${ms}ms`,

package/dist/core/messages/ja/core/formatters-messages.js

@@ -13,6 +13,7 @@ export const FormattersMensagens = {
 };
 export const ExecSafeMensagens = {
     safeModeBloqueado: 'SAFE_MODEではコマンド実行が無効です。許可するには SUKUNA_ALLOW_EXEC=1 を設定してください。',
+    binarioNaoPermitido: (bin) => `バイナリ '${bin}' は許可リストに含まれていません。`,
 };
 export const WorkerExecutorMensagens = {
     timeoutTecnica: (nome, ms) => `タイムアウト: 手法 '${nome}' が ${ms}ms を超えました`,

package/dist/core/messages/pt/core/formatters-messages.js

@@ -21,6 +21,7 @@ export const FormattersMensagens = {
 };
 export const ExecSafeMensagens = {
     safeModeBloqueado: 'Execução de comandos desabilitada em SAFE_MODE. Defina SUKUNA_ALLOW_EXEC=1 para permitir.',
+    binarioNaoPermitido: (bin) => `Binário '${bin}' não está na lista de permitidos.`,
 };
 export const WorkerExecutorMensagens = {
     timeoutTecnica: (nome, ms) => `Timeout: tecnica '${nome}' excedeu ${ms}ms`,

package/dist/core/messages/zh/core/formatters-messages.js

@@ -13,6 +13,7 @@ export const FormattersMensagens = {
 };
 export const ExecSafeMensagens = {
     safeModeBloqueado: 'SAFE_MODE下命令执行已禁用。设置 SUKUNA_ALLOW_EXEC=1 以允许。',
+    binarioNaoPermitido: (bin) => `二进制文件 '${bin}' 不在允许列表中。`,
 };
 export const WorkerExecutorMensagens = {
     timeoutTecnica: (nome, ms) => `超时: 技术 '${nome}' 已超过 ${ms}ms`,

package/dist/core/parsing/langs/typescript.js

@@ -1,15 +1,35 @@
 // SPDX-License-Identifier: MIT
-import { createRequire } from 'module';
+import { parse as babelParse } from '@babel/parser';
 import { getCurrentParsingFile, logCore, wrapMinimal } from '../utils.js';
-const localRequire = createRequire(import.meta.url);
-/** Analisa código TypeScript usando parser nativo TSC */
+/**
+ * Analisa código TypeScript/TSX.
+ * Nota de migração (TS 7 / compilador nativo em Go): o compilador TypeScript
+ * não expõe mais a API programática (ts.createSourceFile etc.). Usamos o
+ * @babel/parser (já dependência do projeto) para obter o AST de forma estável
+ * e compatível com o TS 7.
+ */
 export function parseComTypeScript(codigo, tsx = false) {
     try {
-        const ts = localRequire('typescript');
-        const sf = ts.createSourceFile(tsx ? 'file.tsx' : 'file.ts', codigo, ts.ScriptTarget.Latest, false, tsx ? ts.ScriptKind.TSX : ts.ScriptKind.TS);
+        // Lista de plugins alinhada aos demais parsers do projeto (babel 8).
+        // Tipada como string[] para acomodar plugins que deixaram de figurar no
+        // enum ParserPlugin do babel 8 (passaram a ser comportamento padrão).
+        const plugins = [
+            'decorators-legacy', 'classProperties', 'classPrivateProperties',
+            'classPrivateMethods', 'optionalChaining', 'nullishCoalescingOperator',
+            'topLevelAwait', 'importAttributes'
+        ];
+        if (tsx) {
+            plugins.unshift('jsx');
+        }
+        plugins.unshift('typescript');
+        const ast = babelParse(codigo, {
+            sourceType: 'unambiguous',
+            errorRecovery: true,
+            plugins: plugins
+        });
         return wrapMinimal(tsx ? 'tsx-tsc' : 'ts-tsc', {
-            kind: sf.kind,
-            statements: sf.statements.length
+            kind: 'SourceFile',
+            statements: ast.program.body.length
         });
     }
     catch (erro) {

package/dist/core/utils/exec-safe.js

@@ -1,31 +1,71 @@
 // SPDX-License-Identifier: MIT
-import { execSync } from 'node:child_process';
+import { execFileSync } from 'node:child_process';
+import path from 'node:path';
 import { config } from '../config/index.js';
 import { getMessages } from '../messages/index.js';
 /**
- * Executa um comando shell de forma segura.
- * Bloqueia a execução quando SAFE_MODE está ativo e ALLOW_EXEC não está habilitado.
- * @param cmd - Comando shell a executar
- * @param opts - Opções do execSync do Node.js
- * @returns Buffer ou string com a saída do comando
- * @throws Error se SAFE_MODE estiver ativo sem ALLOW_EXEC
+ * Allowlist de binários que o CLI pode executar externamente.
+ * Apenas comandos essenciais para operação do ferramenta são permitidos.
+ * Isso substitui a abordagem anterior de blacklist de caracteres shell,
+ * eliminando o vetor de injeção por shell intermediário.
+ */
+const BINARIOS_PERMITIDOS = new Set([
+    'git',
+    'npm',
+    'npx',
+    'node',
+    'pnpm',
+    'yarn',
+    'corepack',
+]);
+/**
+ * Valida que o binário está na allowlist.
+ * @param bin - Caminho ou nome do binário
+ * @throws Error se o binário não for permitido
  */
-export function executarShellSeguro(cmd, opts = {}) {
-    // only block if SAFE_MODE is explicitly true and ALLOW_EXEC is falsy
+function validarBinario(bin) {
+    const nome = path.basename(bin);
+    if (!BINARIOS_PERMITIDOS.has(nome)) {
+        throw new Error(getMessages().ExecSafeMensagens.binarioNaoPermitido(bin));
+    }
+}
+function verificarSafeMode() {
     if (config.SAFE_MODE && !config.ALLOW_EXEC) {
         throw new Error(getMessages().ExecSafeMensagens.safeModeBloqueado);
     }
-    return execSync(cmd, opts);
+}
+/**
+ * Executa um binário de forma segura sem shell intermediário.
+ *
+ * Bloqueia a execução quando SAFE_MODE está ativo e ALLOW_EXEC não está habilitado.
+ * Valida o binário contra uma allowlist de comandos permitidos.
+ * Força `shell: false` para eliminar o risco de injeção de comandos.
+ *
+ * @param bin - Binário a executar (ex: 'git', 'npm')
+ * @param args - Argumentos do binário (array de strings)
+ * @param opts - Opções adicionais do child_process
+ * @returns Buffer ou string com a saída do comando
+ * @throws Error se SAFE_MODE estiver ativo sem ALLOW_EXEC,
+ *         se o binário não estiver na allowlist,
+ *         ou se a execução falhar
+ */
+export function executarShellSeguro(bin, args = [], opts = {}) {
+    validarBinario(bin);
+    verificarSafeMode();
+    return execFileSync(bin, args, { ...opts, shell: false });
 }
 /**
  * Versão assíncrona do `executarShellSeguro`.
  * Wrapper async que delega ao sync, útil em contextos que já utilizam await.
- * @param cmd - Comando shell a executar
- * @param opts - Opções do execSync do Node.js
+ *
+ * @param bin - Binário a executar (ex: 'git', 'npm')
+ * @param args - Argumentos do binário (array de strings)
+ * @param opts - Opções adicionais do child_process
  * @returns Promise resolvida com Buffer ou string da saída do comando
- * @throws Error se SAFE_MODE estiver ativo sem ALLOW_EXEC
+ * @throws Error se SAFE_MODE estiver ativo sem ALLOW_EXEC,
+ *         se o binário não estiver na allowlist,
+ *         ou se a execução falhar
  */
-export function executarShellSeguroAsync(cmd, opts = {}) {
-    // wrapper assíncrono que delega ao sync (usado onde já há await)
-    return executarShellSeguro(cmd, opts);
+export function executarShellSeguroAsync(bin, args = [], opts = {}) {
+    return executarShellSeguro(bin, args, opts);
 }

package/dist/node.loader.js

@@ -197,7 +197,6 @@ const aliases = {
     "@reports": "./src/reports/index",
     "@reports/compliance": "./src/reports/compliance/index",
     "@scripts": "./src/scripts/index",
-    "@sdk": "./src/sdk/index",
     "@shared": "./src/shared/index",
     "@shared/data-processing": "./src/shared/data-processing/index",
     "@shared/formatters": "./src/shared/formatters/index",

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@mocoto/mahoraga",
-  "version": "0.14.5",
+  "version": "0.14.7",
   "type": "module",
   "description": "C.L.I modular para análise, diagnóstico e manutenção de projetos JavaScript/TypeScript e multi-stack leve",
   "author": "rei macaco",
@@ -116,46 +116,39 @@
     "THIRD-PARTY-NOTICES.txt"
   ],
   "dependencies": {
-    "@babel/parser": "^8.0.0",
-    "@babel/traverse": "^8.0.0",
-    "@babel/types": "^8.0.0",
+    "@babel/parser": "^8.0.4",
+    "@babel/traverse": "^8.0.4",
+    "@babel/types": "^8.0.4",
     "chalk": "^5.6.2",
     "commander": "^15.0.0",
     "dotenv": "^17.4.2",
     "fast-xml-parser": "^5.9.3",
     "htmlparser2": "^12.0.0",
-    "marked": "^18.0.5",
+    "marked": "^18.0.6",
     "micromatch": "^4.0.8",
     "minimatch": "^10.2.5",
     "openpgp": "^6.3.1",
     "ora": "^9.4.1",
     "p-limit": "^7.3.0",
+    "postcss": "^8.5.16",
     "postcss-sass": "^0.5.0",
     "postcss-scss": "^4.0.9",
     "xxhashjs": "^0.2.2",
-    "yaml": "^2.9.0",
-    "postcss": "^8.5.16"
+    "yaml": "^2.9.0"
   },
   "devDependencies": {
     "@types/micromatch": "^4.0.10",
-    "@types/node": "^26.1.0",
-    "@typescript-eslint/eslint-plugin": "^8.62.1",
-    "@typescript-eslint/parser": "^8.62.1",
+    "@types/node": "^26.1.1",
     "@vitest/coverage-istanbul": "^4.1.8",
     "@vitest/coverage-v8": "^4.1.8",
     "autoprefixer": "^10.5.2",
-    "eslint": "^10.6.0",
-    "eslint-import-resolver-typescript": "^4.4.5",
-    "eslint-plugin-import-x": "^4.17.1",
-    "eslint-plugin-simple-import-sort": "^13.0.0",
-    "eslint-plugin-unused-imports": "^4.4.1",
     "husky": "^9.1.7",
     "license-checker-rseidelsohn": "^5.0.1",
     "lint-staged": "^17.0.8",
     "rimraf": "^6.1.3",
-    "tsc-alias": "^1.8.17",
+    "tsc-alias": "^1.9.0",
     "tsx": "^4.23.0",
-    "typescript": "^6.0.3",
+    "typescript": "^7.0.2",
     "vitest": "^4.1.8"
   },
   "lint-staged": {

package/dist/index.js

@@ -1,2 +0,0 @@
-// SPDX-License-Identifier: MIT
-export { analyzeFile, analyzeProject } from './sdk/analyzer.js';

package/dist/sdk/analyzer.js

@@ -1,88 +0,0 @@
-// SPDX-License-Identifier: MIT
-import path from 'node:path';
-import { executarInquisicao, scanRepository } from '../core/execution/index.js';
-import { decifrarSintaxe } from '../core/parsing/index.js';
-import { asTecnicas } from '../types/index.js';
-const EXTENSOES_COM_AST = new Set([
-    '.js', '.jsx', '.ts', '.tsx', '.mjs', '.cjs',
-    '.css', '.scss', '.html', '.xml', '.svg',
-    '.py', '.go', '.rs', '.php', '.sh',
-    '.yaml', '.yml', '.json',
-]);
-function extensaoRelevante(relPath) {
-    const ext = path.extname(relPath).toLowerCase();
-    return EXTENSOES_COM_AST.has(ext);
-}
-async function carregarTecnicas() {
-    const { registroAnalistas } = await import('../analysts/registry/index.js');
-    return asTecnicas(registroAnalistas);
-}
-function tecnicasParaArquivo(tecnicas, relPath) {
-    return tecnicas.filter(t => {
-        if (t.global) {
-            return false;
-        }
-        if (!t.test) {
-            return extensaoRelevante(relPath);
-        }
-        return t.test(relPath);
-    });
-}
-const AST_SENTINEL = {};
-export async function analyzeFile(filePath, content, baseDir) {
-    const inicio = performance.now();
-    const relPath = baseDir ? path.relative(baseDir, filePath) : path.basename(filePath);
-    if (!extensaoRelevante(relPath)) {
-        return { ocorrencias: [], arquivo: relPath, tempoMs: 0 };
-    }
-    const ext = path.extname(filePath).toLowerCase();
-    const parsed = await decifrarSintaxe(content, ext, { relPath });
-    const ast = parsed ? AST_SENTINEL : null;
-    const tecnicas = await carregarTecnicas();
-    const tecnicasFile = tecnicasParaArquivo(tecnicas, relPath);
-    if (tecnicasFile.length === 0) {
-        return { ocorrencias: [], arquivo: relPath, tempoMs: performance.now() - inicio };
-    }
-    const ocorrencias = [];
-    for (const tecnica of tecnicasFile) {
-        try {
-            const resultado = await tecnica.aplicar(content, relPath, ast, filePath);
-            if (Array.isArray(resultado)) {
-                ocorrencias.push(...resultado);
-            }
-            else if (resultado) {
-                ocorrencias.push(resultado);
-            }
-        }
-        catch {
-            // Silencia erros por analista
-        }
-    }
-    return {
-        ocorrencias,
-        arquivo: relPath,
-        tempoMs: performance.now() - inicio,
-    };
-}
-export async function analyzeProject(projectDir, opts) {
-    const inicio = performance.now();
-    const fileEntries = await scanRepository(projectDir, {
-        includeContent: true,
-    });
-    const entries = Object.values(fileEntries);
-    const fileEntriesComAst = entries.map(f => ({ ...f, ast: undefined }));
-    let filteredEntries = fileEntriesComAst;
-    if (opts?.fast) {
-        filteredEntries = fileEntriesComAst.filter(fe => {
-            const rel = fe.relPath || '';
-            return !rel.includes('node_modules') && !rel.includes('.test.') && !rel.includes('.spec.');
-        });
-    }
-    const tecnicas = await carregarTecnicas();
-    const resultadoExecucao = await executarInquisicao(filteredEntries, tecnicas, projectDir, null, { verbose: false, compact: true, fast: opts?.fast });
-    return {
-        ocorrencias: resultadoExecucao.ocorrencias,
-        totalArquivos: entries.length,
-        tempoMs: performance.now() - inicio,
-    };
-}

package/dist/sdk/index.js

@@ -1,2 +0,0 @@
-export { analyzeFile, analyzeProject } from './analyzer.js';
-export { MahoragaSDK } from './sdk-legacy.js';

package/dist/sdk/sdk-legacy.js

@@ -1,36 +0,0 @@
-// SPDX-License-Identifier: MIT
-import { analistaGithubActions, analistaGithubActionsGlobal, registrarDetectorGithubActions } from '../analysts/github-actions/index.js';
-/**
- * Mahoraga SDK Principal
- * Fornece acesso programático aos analistas e sistema de plugins
- */
-export const MahoragaSDK = {
-    /**
-     * Analisa um conteúdo de workflow individual
-     */
-    async analisarGithubActions(conteudo, relPath = '.github/workflows/main.yml') {
-        try {
-            const res = await analistaGithubActions.aplicar(conteudo, relPath, null, undefined, undefined);
-            return Array.isArray(res) ? res : [];
-        }
-        catch {
-            return [];
-        }
-    },
-    /**
-     * Analisa um repositório completo (Contexto global)
-     */
-    async analisarRepositorio(contexto) {
-        try {
-            const res = await analistaGithubActionsGlobal.aplicar('', '', null, undefined, contexto);
-            return Array.isArray(res) ? res : [];
-        }
-        catch {
-            return [];
-        }
-    },
-    /**
-     * Registra um novo plugin de detector
-     */
-    registrarDetector: registrarDetectorGithubActions
-};

package/dist/types/sdk/analyzer.js

@@ -1 +0,0 @@
-export {};

package/dist/types/sdk/index.js

@@ -1 +0,0 @@
-export * from './analyzer.js';