@mocoto/mahoraga 0.14.8 → 0.15.0

package/dist/analysts/github-actions/analysts/analyst-github-actions.js

@@ -1,4 +1,3 @@
-// SPDX-License-Identifier: MIT
 import { parseDocument } from 'yaml';
 import { messages } from '../../../core/messages/index.js';
 import { detectorDependenciasVulneraveis } from '../detectors/detector-dependencies-vulnerable.js';
@@ -9,7 +8,6 @@ import { detectorWorkflowSecurity } from '../detectors/detector-workflow-securit
 import { detectarJobsPassivos, detectorWorkflowEstrutura } from '../detectors/detector-workflow-structure.js';
 import { detectorWorkflowTriggerInseguro } from '../detectors/detector-workflow-trigger-unsafe.js';
 import { isOrgVerificada } from '../detectors/org-verified.js';
-/** Flag global temporária (resetada a cada execução) para indicar se o workflow precisa de histórico completo do git */
 let _workflowNeedsFullHistory = false;
 const detectoresRegistrados = [];
 export function registrarDetectorGithubActions(detector) {
@@ -54,7 +52,6 @@ export const analistaGithubActions = {
             }
         }
         catch {
-            // Basic regex fallback if YAML fails
         }
         return ocorrencias;
     }
@@ -70,7 +67,6 @@ export const analistaGithubActionsGlobal = {
         }
         const ores = [];
         const paths = ctx.arquivos.map(arquivo => arquivo.relPath);
-        // CODEOWNERS
         if (!paths.some(caminho => /CODEOWNERS/i.test(caminho))) {
             ores.push({
                 tipo: 'GITHUB_ACTIONS_CODEOWNERS_MISSING',
@@ -81,7 +77,6 @@ export const analistaGithubActionsGlobal = {
                 nivel: 'info'
             });
         }
-        // README
         const readme = ctx.arquivos?.find(arquivo => /README\.md/i.test(arquivo.relPath));
         const content = readme?.content ?? '';
         if (readme && !/Code of Conduct|Código de Conduta/i.test(content)) {
@@ -94,7 +89,6 @@ export const analistaGithubActionsGlobal = {
                 nivel: 'info'
             });
         }
-        // Stale Bot
         if (!paths.some(caminho => /stale/i.test(caminho))) {
             ores.push({
                 tipo: 'GITHUB_ACTIONS_STALE_BOT_MISSING',
@@ -105,7 +99,6 @@ export const analistaGithubActionsGlobal = {
                 nivel: 'info'
             });
         }
-        // Release
         if (!paths.some(caminho => /release|deploy/i.test(caminho))) {
             ores.push({
                 tipo: 'GITHUB_ACTIONS_RELEASE_AUTOMATION_MISSING',
@@ -116,7 +109,6 @@ export const analistaGithubActionsGlobal = {
                 nivel: 'info'
             });
         }
-        // Issue Templates
         if (!paths.some(caminho => /\.github\/ISSUE_TEMPLATE/i.test(caminho))) {
             ores.push({
                 tipo: 'GITHUB_ACTIONS_ISSUE_TEMPLATES_MISSING',
@@ -127,7 +119,6 @@ export const analistaGithubActionsGlobal = {
                 nivel: 'info'
             });
         }
-        // PR Template
         if (!paths.some(caminho => /pull_request_template/i.test(caminho))) {
             ores.push({
                 tipo: 'GITHUB_ACTIONS_PR_TEMPLATE_MISSING',
@@ -138,7 +129,6 @@ export const analistaGithubActionsGlobal = {
                 nivel: 'info'
             });
         }
-        // Semantic Versioning & Changelog
         const hasSemanticRelease = paths.some(caminho => /semantic-release|semrel/i.test(caminho));
         const hasChangelog = paths.some(caminho => /changelog/i.test(caminho));
         if (!hasSemanticRelease) {
@@ -161,7 +151,6 @@ export const analistaGithubActionsGlobal = {
                 nivel: 'info'
             });
         }
-        // License Headers
         const sourceFiles = ctx.arquivos.filter(arquivo => /\.(ts|js)$/.test(arquivo.relPath));
         const missingLicense = sourceFiles.filter(arquivo => !/SPDX-License-Identifier/i.test(arquivo.content || ''));
         if (missingLicense.length > sourceFiles.length / 2) {
@@ -177,16 +166,11 @@ export const analistaGithubActionsGlobal = {
         return ores;
     }
 };
-/**
- * Verifica se o workflow contém comandos git que exigem histórico completo.
- */
 function workflowRequerHistoricoCompleto(wf, raw) {
-    // Verificar no raw por comandos git conhecidos que precisam de histórico completo
     const gitCommandsQuePrecisamDeHistorico = /\b(git\s+(rev-parse|tag|describe|log|shortlog|diff|bisect|blame)|git\s+checkout\s+-b|git\s+fetch\s+--unshallow|git\s+clone\s+--depth)/gi;
     if (gitCommandsQuePrecisamDeHistorico.test(raw)) {
         return true;
     }
-    // Verificar nas ações steps por comandos que indicam necessidade de histórico
     const jobs = wf.jobs ? Object.values(wf.jobs) : [];
     const allSteps = jobs.flatMap(job => job.steps ?? []);
     for (const step of allSteps) {
@@ -202,18 +186,14 @@ function executarDetectoresNativos(wf, raw) {
         return probs;
     }
     _workflowNeedsFullHistory = workflowRequerHistoricoCompleto(wf, raw);
-    // Handle various snippet styles for tests
     const candidates = Array.isArray(wf) ? wf : [wf];
     for (const item of candidates) {
         if (typeof item === 'object' && item !== null) {
             analisarEstrutura(item, probs);
         }
     }
-    // Compliance checks
     probs.push(...detectarProblemasCompliance(wf, raw));
-    // Accessibility checks
     probs.push(...detectarProblemasAcessibilidade(wf));
-    // Passive jobs check
     if (typeof wf === 'object' && 'jobs' in wf) {
         const wfJobs = wf.jobs;
         if (wfJobs) {
@@ -228,7 +208,6 @@ function executarDetectoresNativos(wf, raw) {
             }
         }
     }
-    // Final check for raw string patterns (like sudo)
     if (/sudo\s+/.test(raw)) {
         probs.push({
             tipo: 'uso-sudo',
@@ -246,7 +225,6 @@ function executarDetectoresNativos(wf, raw) {
     return probs;
 }
 function analisarEstrutura(wf, probs) {
-    // Workflow sem nome
     if (!wf.name) {
         probs.push({
             tipo: 'workflow-sem-nome',
@@ -254,7 +232,6 @@ function analisarEstrutura(wf, probs) {
             severidade: 'baixa'
         });
     }
-    // Container (Root level for snippets)
     if (wf.container && typeof wf.container === 'string') {
         probs.push({
             tipo: 'container-sem-user',
@@ -262,7 +239,6 @@ function analisarEstrutura(wf, probs) {
             severidade: 'media'
         });
     }
-    // Strategy
     if (wf.strategy?.matrix && wf.strategy['fail-fast'] === undefined) {
         probs.push({
             tipo: 'matrix-sem-fail-fast',
@@ -270,7 +246,6 @@ function analisarEstrutura(wf, probs) {
             severidade: 'baixa'
         });
     }
-    // Detect Secrets in generic maps (for environment snippets in tests)
     for (const [chave, valor] of Object.entries(wf)) {
         if (/(KEY|TOKEN|SECRET|PASSWORD)/i.test(chave) && valor && typeof valor !== 'object' && (typeof valor !== 'string' || !valor.includes('${{'))) {
             probs.push({
@@ -280,7 +255,6 @@ function analisarEstrutura(wf, probs) {
             });
         }
     }
-    // Jobs
     if (wf.jobs) {
         const jobEntries = Object.entries(wf.jobs);
         for (const [id, job] of jobEntries) {
@@ -298,7 +272,6 @@ function analisarEstrutura(wf, probs) {
                     severidade: 'media'
                 });
             }
-            // --- v0.4.5: Job sem nome descritivo ---
             if (/^(job\d+|step\d+|build\d*|test\d*|j\d+)$/i.test(id) && !job.name) {
                 probs.push({
                     tipo: 'job-sem-nome',
@@ -311,9 +284,7 @@ function analisarEstrutura(wf, probs) {
                 for (const string of job.steps) {
                     analisarStep(string, probs);
                 }
-                // --- v0.4.5: Steps sem nome ---
                 analisarStepsSemNome(job.steps, probs);
-                // --- v0.7.0: Jobs muito longos ---
                 if (job.steps.length > 15) {
                     probs.push({
                         tipo: 'job-longo',
@@ -324,27 +295,21 @@ function analisarEstrutura(wf, probs) {
                 }
             }
         }
-        // --- v0.4.5: Build sem parallelismo ---
         analisarParalelismo(jobEntries, probs);
-        // --- v0.4.5: Download desnecessário de artifacts ---
         analisarDownloadArtifacts(jobEntries, probs);
-        // --- v0.4.5: Múltiplas instalações de dependências ---
         analisarMultiplasInstalacoesDeps(jobEntries, probs);
     }
-    // Se forem passos diretos na raiz (snippet)
     if (wf.steps && Array.isArray(wf.steps)) {
         for (const string of wf.steps) {
             analisarStep(string, probs);
         }
         analisarStepsSemNome(wf.steps, probs);
     }
-    // Direct steps (if snippet is a list)
     if (wf.uses || wf.run) {
         analisarStep(wf, probs);
     }
 }
 function analisarStep(string, probs) {
-    // Pinning - only for non-verified orgs
     if (string.uses && /@v\d+/.test(string.uses)) {
         const actionRef = string.uses.split('@')[0];
         if (!isOrgVerificada(actionRef)) {
@@ -355,7 +320,6 @@ function analisarStep(string, probs) {
             });
         }
     }
-    // Upload
     if (string.uses?.includes('upload-artifact') && string.with?.path?.includes('.env')) {
         probs.push({
             tipo: 'upload-sensivel',
@@ -363,7 +327,6 @@ function analisarStep(string, probs) {
             severidade: 'critica'
         });
     }
-    // Env
     if (string.env) {
         for (const [chave, valor] of Object.entries(string.env)) {
             if (/(KEY|TOKEN|SECRET|PASSWORD)/i.test(chave) && valor && typeof valor !== 'object' && (typeof valor !== 'string' || !valor.includes('${{'))) {
@@ -375,7 +338,6 @@ function analisarStep(string, probs) {
             }
         }
     }
-    // Injection
     if (string.run && /\$\{\{\s*github\.event\./.test(string.run)) {
         probs.push({
             tipo: 'script-injection',
@@ -383,7 +345,6 @@ function analisarStep(string, probs) {
             severidade: 'alta'
         });
     }
-    // --- v0.4.5: Docker build sem layer caching ---
     if (string.uses && /docker\/build-push-action/.test(string.uses)) {
         const hasCacheFrom = string.with?.['cache-from'] !== undefined;
         const hasCacheTo = string.with?.['cache-to'] !== undefined;
@@ -396,11 +357,9 @@ function analisarStep(string, probs) {
             });
         }
     }
-    // --- v0.4.5: Checkout com fetch-depth: 0 desnecessário ---
     if (string.uses && /actions\/checkout/.test(string.uses) && string.with) {
         const fd = string.with['fetch-depth'];
         if (fd === 0 || fd === '0') {
-            // Não emitir se já foi identificado que o workflow precisa de histórico completo
             if (!_workflowNeedsFullHistory) {
                 probs.push({
                     tipo: 'fetch-depth-desnecessario',
@@ -442,17 +401,12 @@ const ACTIONS_AUTO_EXPLICATIVAS = [
     'softprops/action-gh-release',
     'cypress-io/github-action',
 ];
-/**
- * v0.4.5: Detecta steps sem campo 'name'
- * Não reporta para actions bem conhecidas e auto-explicativas
- */
 function analisarStepsSemNome(steps, probs) {
     for (const string of steps) {
         if (string.name) {
             continue;
         }
         if (string.uses || string.run) {
-            // Pular actions auto-explicativas (não precisam de name)
             if (string.uses && ACTIONS_AUTO_EXPLICATIVAS.some(action => string.uses?.startsWith(action))) {
                 continue;
             }
@@ -466,16 +420,10 @@ function analisarStepsSemNome(steps, probs) {
         }
     }
 }
-/**
- * v0.4.5: Detecta jobs que poderiam rodar em paralelo mas têm 'needs' desnecessário
- * Heurística: se todos os jobs têm 'needs' formando uma cadeia linear, sugere paralelismo
- * Exceção: workflows de release/deploy são intrinsecamente sequenciais
- */
 function analisarParalelismo(jobEntries, probs) {
     if (jobEntries.length < 3) {
         return;
     }
-    // Check if this is a release/deploy workflow (sequential by nature)
     const workflowName = jobEntries[0]?.[1]?.name?.toLowerCase() ?? '';
     const jobNames = jobEntries.map(([, j]) => j.name?.toLowerCase() ?? '').join(' ');
     const isReleaseWorkflow = /release|deploy|publish|ship/i.test(workflowName) || /release|deploy|publish|ship/i.test(jobNames);
@@ -488,7 +436,6 @@ function analisarParalelismo(jobEntries, probs) {
             totalWithNeeds++;
         }
     }
-    // Se todos os jobs (exceto o primeiro) dependem do anterior em cadeia linear
     if (totalWithNeeds === jobEntries.length - 1) {
         probs.push({
             tipo: 'build-sem-parallelismo',
@@ -498,9 +445,6 @@ function analisarParalelismo(jobEntries, probs) {
         });
     }
 }
-/**
- * v0.4.5: Detecta múltiplos download-artifact em jobs diferentes
- */
 function analisarDownloadArtifacts(jobEntries, probs) {
     let downloadCount = 0;
     for (const [, job] of jobEntries) {
@@ -522,9 +466,6 @@ function analisarDownloadArtifacts(jobEntries, probs) {
         });
     }
 }
-/**
- * v0.4.5: Detecta npm ci/npm install em múltiplos jobs sem cache compartilhado
- */
 function analisarMultiplasInstalacoesDeps(jobEntries, probs) {
     let installCount = 0;
     let hasCacheStep = false;

package/dist/analysts/github-actions/corrections/autofix-engine.js

@@ -1,27 +1,15 @@
 import { parseDocument } from 'yaml';
 import { getMessages } from '../../../core/messages/index.js';
 const { AnalistaGithubActionsMensagens } = getMessages();
-/**
- * Motor de Auto-fix para GitHub Actions
- * Utiliza a biblioteca 'yaml' para mutar o documento preservando a formatação.
- */
 export class AutofixEngine {
-    /**
-     * Aplica uma lista de mutadores a um conteúdo YAML
-     * @param content O conteúdo original do arquivo YAML
-     * @param fixers Lista de funções de correção que operam na AST (Document)
-     * @returns O conteúdo corrigido
-     */
     aplicarFixes(content, fixers) {
         if (!content || fixers.length === 0) {
             return content;
         }
         const doc = parseDocument(content);
-        // Se o documento tiver erros de parse, não aplicamos correções para evitar corromper
         if (doc.errors.length > 0) {
             return content;
         }
-        // Executa cada mutador na AST
         for (const fix of fixers) {
             try {
                 fix(doc);
@@ -32,10 +20,6 @@ export class AutofixEngine {
         }
         return doc.toString();
     }
-    /**
-     * Converte o método corrigir de DeteccaoCustom para um formato compatível com o motor
-     * @param detecoes Lista de detecções que possuem método corrigir
-     */
     extrairFixers(detecoes) {
         return detecoes.filter(diretorio => typeof diretorio.corrigir === 'function').map(diretorio => diretorio.corrigir);
     }

package/dist/analysts/github-actions/corrections/correction-workflow.js

@@ -1,13 +1,3 @@
-// @mahoraga-disable ml-deep-nesting
-// SPDX-License-Identifier: MIT
-/**
- * [CHAVE-INGLESA] Correções automáticas para GitHub Actions
- *
- * Fornece correções sugeridas para problemas comuns em workflows:
- * - SHA pinning
- * - Secrets context
- * - Permissions
- */
 import { messages } from '../../../core/messages/index.js';
 import { splitLines } from '../../../shared/helpers/index.js';
 import { criarOcorrencia } from '../../../types/index.js';

package/dist/analysts/github-actions/corrections/index.js

@@ -1,3 +1,2 @@
-// SPDX-License-Identifier: MIT
 export * from './autofix-engine.js';
 export * from './correction-workflow.js';

package/dist/analysts/github-actions/detectors/detector-dependencies-vulnerable.js

@@ -1,15 +1,3 @@
-// @mahoraga-disable ml-deep-nesting
-// SPDX-License-Identifier: MIT
-/**
- * [BUSCA] Detector de Dependências Vulneráveis para GitHub Actions
- *
- * Detecta dependências potencialmente vulneráveis em workflows:
- * - Actions com CVEs conhecidos (base de dados de vulnerabilidades)
- * - Actions que não usam SHA pinning (facilmente exploráveis)
- * - Versões desatualizadas de actions com patches de segurança
- * - Dependências npm/yarn com versões conhecidamente vulneráveis
- * - Uso de actions de forks sem verificação
- */
 import { messages } from '../../../core/messages/index.js';
 import { splitLines } from '../../../shared/helpers/index.js';
 import { isOrgVerificada } from './org-verified.js';
@@ -71,10 +59,8 @@ const CVES_CONHECIDOS = [{
         severidade: 'baixa',
         fix: 'Atualizar para actions/setup-python@v5'
     }];
-// Actions frequentemente usadas em forks maliciosos
 const FORK_SUSPEITO_PATTERNS = [/^[a-zA-Z0-9-]+\/[a-zA-Z0-9-]+@[a-f0-9]{40}$/,
-    // Fork com SHA longo não oficial
-    /^[a-zA-Z0-9-]+-[a-zA-Z0-9-]+-[a-zA-Z0-9-]+@/ // Padrão de nome de fork suspeito
+    /^[a-zA-Z0-9-]+-[a-zA-Z0-9-]+-[a-zA-Z0-9-]+@/
 ];
 const VERSOES_VULNERAVEIS_NPM = {
     'serialize-javascript': {
@@ -108,7 +94,6 @@ function verificarActionVulneravel(uses, linha, relPath) {
         return null;
     }
     const [, actionRef, version] = match;
-    // Verificar CVEs conhecidos
     for (const cve of CVES_CONHECIDOS) {
         if (actionRef === cve.action) {
             const versaoNum = parseInt(version.replace(/^v/, ''), 10);
@@ -125,8 +110,6 @@ function verificarActionVulneravel(uses, linha, relPath) {
             }
         }
     }
-    // Verificar fork suspeito - APENAS se NÃO for de organização verificada
-    // SHA pinning em actions de orgs verificadas é boa prática de segurança
     if (!isOrgVerificada(actionRef)) {
         for (const pattern of FORK_SUSPEITO_PATTERNS) {
             if (pattern.test(uses)) {
@@ -145,10 +128,8 @@ function verificarActionVulneravel(uses, linha, relPath) {
 }
 function verificarDependenciasNpm(runCommand, linha, relPath) {
     for (const [dep, info] of Object.entries(VERSOES_VULNERAVEIS_NPM)) {
-        // Detectar require/import de versões vulneráveis
         if (new RegExp(`${dep}@?[\\s'\"<>=]`).test(runCommand)) {
             if (runCommand.includes(`npm install ${dep}`) || runCommand.includes(`npm i ${dep}`)) {
-                // Se instala sem versão específica, não sabemos a versão, mas vale avisar
                 return criarOcorrencia({
                     tipo: 'dependencia-npm-vulneravel',
                     nivel: 'info',
@@ -158,7 +139,6 @@ function verificarDependenciasNpm(runCommand, linha, relPath) {
                     sugestao: info.fix
                 });
             }
-            // Extrair versão do package.json se mencionado
             const versionMatch = runCommand.match(new RegExp(`${dep}@([\\d^~<>]+)`));
             if (versionMatch) {
                 return criarOcorrencia({
@@ -188,7 +168,6 @@ export const detectorDependenciasVulneraveis = {
         for (let indice = 0; indice < linhas.length; indice++) {
             const linha = linhas[indice];
             const numeroLinha = indice + 1;
-            // --- 1. Actions com CVEs conhecidos ---
             const usesMatch = linha.match(/uses:\s*([a-zA-Z0-9-]+\/[a-zA-Z0-9-]+@[\w.]+)/);
             if (usesMatch) {
                 const ocorrencia = verificarActionVulneravel(usesMatch[1], numeroLinha, relPath);
@@ -196,7 +175,6 @@ export const detectorDependenciasVulneraveis = {
                     ocorrencias.push(ocorrencia);
                 }
             }
-            // --- 2. Dependências npm vulneráveis em run commands ---
             if (linha.match(/run:\s*['"]?npm/)) {
                 const npmOcorrencia = verificarDependenciasNpm(linha, numeroLinha, relPath);
                 if (npmOcorrencia) {
@@ -204,7 +182,6 @@ export const detectorDependenciasVulneraveis = {
                 }
             }
         }
-        // --- 3. Verificar falta de audit step em workflows com instalação de deps ---
         const hasInstallStep = /npm\s+(install|i\b)|yarn\s+install|pnpm\s+install/i.test(src);
         const hasAuditStep = /\b(npm\s+audit|yarn\s+audit|pnpm\s+audit|snyk|trivy)\b/i.test(src);
         if (hasInstallStep && !hasAuditStep) {
@@ -217,8 +194,6 @@ export const detectorDependenciasVulneraveis = {
                 sugestao: messages.AnalistaGithubActionsMensagens.workflowInstallsDepsWithoutAuditSugestao
             }));
         }
-        // --- 4. Verificar se actions de checkout têm persist-credentials: true (padrão perigoso) ---
-        // Reportar apenas uma vez por workflow, e ignorar workflows que claramente precisam de escrita
         const isReleaseOrDeployWorkflow = /release|deploy|publish|tag|changelog/i.test(src);
         const checkoutsWithoutPersistFalse = [];
         for (let indice = 0; indice < linhas.length; indice++) {

package/dist/analysts/github-actions/detectors/detector-workflow-accessibility.js

@@ -1,11 +1,3 @@
-// SPDX-License-Identifier: MIT
-/**
- * Detector de Acessibilidade para GitHub Actions
- *
- * Detecta problemas de acessibilidade/usabilidade em workflows:
- * - Steps sem nome descritivo
- * - Jobs sem timeout configurado
- */
 import { messages } from '../../../core/messages/index.js';
 import { criarOcorrencia } from '../../../types/index.js';
 export const detectorWorkflowAcessibilidade = {

package/dist/analysts/github-actions/detectors/detector-workflow-compliance.js

@@ -1,15 +1,3 @@
-// @mahoraga-disable ml-deep-nesting
-// SPDX-License-Identifier: MIT
-/**
- * [BUSCA] Detector de Compliance para GitHub Actions
- *
- * Detecta problemas de compliance em workflows:
- * - Licenças incompatíveis em actions
- * - Actions de fontes não verificadas
- * - Políticas de retenção de artifacts
- * - Actions depreciadas
- * - Uso de actions de forks não oficiais
- */
 import { isOrgVerificada } from './org-verified.js';
 import { criarOcorrencia } from '../../../types/index.js';
 const ACTIONS_DEPRECIADAS = new Map([

package/dist/analysts/github-actions/detectors/detector-workflow-performance.js

@@ -1,13 +1,3 @@
-// @mahoraga-disable ml-deep-nesting
-// SPDX-License-Identifier: MIT
-/**
- * [BUSCA] Detector de Performance para GitHub Actions
- *
- * Detecta problemas de performance em workflows:
- * - Falta de compressão de artefatos
- * - Passos redundantes
- * - Estratégia de matrix ineficiente
- */
 import { criarOcorrencia } from '../../../types/index.js';
 export const detectorWorkflowPerformance = {
     nome: 'detector-workflow-performance',
@@ -27,7 +17,6 @@ export const detectorWorkflowPerformance = {
         const jobsWithNpmCi = new Set();
         linhas.forEach((linha, index) => {
             const numeroLinha = index + 1;
-            // Track job context - jobs are at root level under 'jobs:'
             if (/^jobs:\s*$/.test(linha)) {
                 inJobsSection = true;
                 return;
@@ -35,7 +24,6 @@ export const detectorWorkflowPerformance = {
             if (inJobsSection && /^\w[\w-]*:\s*$/.test(linha) && !linha.startsWith(' ') && !linha.startsWith('\t')) {
                 currentJob = linha.trim().replace(':', '');
             }
-            // 1. Artifact Compression
             if (/\bzips?\s+.*upload-artifact/i.test(src) || /tar\s+.*upload-artifact/i.test(src)) {
                 if (!ocorrencias.some(ocorrencia => ocorrencia.tipo === 'workflow-manual-artifact-compression')) {
                     ocorrencias.push(criarOcorrencia({
@@ -48,7 +36,6 @@ export const detectorWorkflowPerformance = {
                     }));
                 }
             }
-            // 2. Redundant Steps - track checkouts per job
             if (/uses:\s*actions\/checkout/.test(linha)) {
                 if (currentJob) {
                     jobsWithCheckout.set(currentJob, (jobsWithCheckout.get(currentJob) ?? 0) + 1);
@@ -60,7 +47,6 @@ export const detectorWorkflowPerformance = {
             if (/\bnpm\s+ci\b/.test(linha) && currentJob) {
                 jobsWithNpmCi.add(currentJob);
             }
-            // 3. Matrix efficiency
             if (/matrix:/.test(linha)) {
                 const matrixContent = src.slice(src.indexOf(linha));
                 const itemsMatch = matrixContent.match(/\[(.*?)\]/g);
@@ -76,7 +62,6 @@ export const detectorWorkflowPerformance = {
                     }));
                 }
             }
-            // 5. Retry Policy
             if (/\b(npm install|curl|wget|apt-get install)\b/.test(linha) && !/retry|continue-on-error/i.test(src)) {
                 ocorrencias.push(criarOcorrencia({
                     tipo: 'workflow-missing-retry',
@@ -87,7 +72,6 @@ export const detectorWorkflowPerformance = {
                     sugestao: 'Adicione mecanismos de retry para evitar falhas intermitentes de rede'
                 }));
             }
-            // 6. Clean-up
             if (/\b(mkdir|touch|cp|dd)\b/.test(linha) && !/\b(rm|clean|delete|prune)\b/i.test(src)) {
                 if (!ocorrencias.some(ocorrencia => ocorrencia.tipo === 'workflow-missing-cleanup')) {
                     ocorrencias.push(criarOcorrencia({
@@ -101,7 +85,6 @@ export const detectorWorkflowPerformance = {
                 }
             }
         });
-        // Only flag redundant checkout if multiple checkouts in SAME job (not across different jobs)
         let hasRedundantCheckoutInSameJob = false;
         for (const [, count] of jobsWithCheckout) {
             if (count > 1) {
@@ -119,7 +102,6 @@ export const detectorWorkflowPerformance = {
                 sugestao: 'Consolidar steps para evitar múltiplos checkouts no mesmo job'
             }));
         }
-        // Only flag redundant npm install if both npm install AND npm ci exist in the SAME job
         let hasRedundantNpmInstall = false;
         for (const job of jobsWithNpmInstall) {
             if (jobsWithNpmCi.has(job)) {

package/dist/analysts/github-actions/detectors/detector-workflow-security.js

@@ -1,16 +1,3 @@
-// @mahoraga-disable ml-deep-nesting
-// SPDX-License-Identifier: MIT
-/**
- * [BUSCA] Detector de segurança GitHub Actions
- *
- * Detecta vulnerabilidades em workflows:
- * - Script injection
- * - Missing SHA pinning
- * - Hardcoded secrets
- * - sudo usage
- * - pull_request_target
- * - Missing permissions
- */
 import { messages } from '../../../core/messages/index.js';
 import { splitLines } from '../../../shared/helpers/index.js';
 import { isOrgVerificada } from './org-verified.js';

package/dist/analysts/github-actions/detectors/detector-workflow-structure.js

@@ -1,17 +1,3 @@
-// @mahoraga-disable ml-deep-nesting
-// SPDX-License-Identifier: MIT
-/**
- * [BUSCA] Detector de Estrutura para GitHub Actions
- *
- * Detecta problemas estruturais em workflows:
- * - Jobs órfãos (needs referencia job inexistente)
- * - Over-provisioning (runs-on excessivo)
- * - Under-provisioning (runs-on insuficiente)
- * - Workflows duplicados (nomes de jobs duplicados)
- * - Features depreciadas do GitHub Actions
- * - Jobs passivos (sem operações significativas)
- * - Steps frágeis (continue-on-error sem condição)
- */
 import { parseDocument } from 'yaml';
 import { splitLines } from '../../../shared/helpers/index.js';
 import { criarOcorrencia } from '../../../types/index.js';
@@ -63,7 +49,6 @@ export const detectorWorkflowEstrutura = {
             const jobs = workflow.jobs ?? {};
             const jobNames = Object.keys(jobs);
             for (const [jobId, job] of Object.entries(jobs)) {
-                // --- 1. Jobs órfãos (needs referencia job inexistente) ---
                 if (job.needs) {
                     const needsList = Array.isArray(job.needs) ? job.needs : [job.needs];
                     for (const need of needsList) {
@@ -79,7 +64,6 @@ export const detectorWorkflowEstrutura = {
                         }
                     }
                 }
-                // --- 2. Over-provisioning (runs-on excessivo) ---
                 const runsOn = job['runs-on'];
                 if (typeof runsOn === 'string') {
                     if (SELF_HOSTED_MARKERS.some(metrica => runsOn.toLowerCase().includes(metrica)) && !job.name) {
@@ -103,7 +87,6 @@ export const detectorWorkflowEstrutura = {
                         }));
                     }
                 }
-                // Over-provisioning de container grande
                 if (typeof job.container === 'object' && job.container !== null) {
                     const image = job.container.image;
                     if (image && (image.includes('large') || image.includes('xlarge'))) {
@@ -117,7 +100,6 @@ export const detectorWorkflowEstrutura = {
                         }));
                     }
                 }
-                // --- 3. Under-provisioning ---
                 const hasHeavyOps = job.steps?.some(string => {
                     const run = string.run ?? '';
                     const uses = string.uses ?? '';
@@ -134,7 +116,6 @@ export const detectorWorkflowEstrutura = {
                     }));
                 }
             }
-            // --- 4. Workflows duplicados (nomes de jobs duplicados) ---
             const seenNames = new Set();
             for (const [, job] of Object.entries(jobs)) {
                 if (!job.name) {
@@ -153,7 +134,6 @@ export const detectorWorkflowEstrutura = {
                 }
                 seenNames.add(displayName);
             }
-            // --- 5. Features depreciadas do GitHub Actions ---
             for (const dep of DEPRECATED_FEATURES) {
                 if (dep.pattern.test(src)) {
                     ocorrencias.push(criarOcorrencia({
@@ -166,7 +146,6 @@ export const detectorWorkflowEstrutura = {
                     }));
                 }
             }
-            // --- 6. Steps com continue-on-error sem if condition ---
             for (let indice = 0; indice < linhas.length; indice++) {
                 if (/continue-on-error:\s*true/i.test(linhas[indice])) {
                     const hasIfCondition = /if:/.test(linhas[indice]) || indice > 0 && /if:/.test(linhas[indice - 1]);
@@ -182,7 +161,6 @@ export const detectorWorkflowEstrutura = {
                     }
                 }
             }
-            // --- 7. Jobs passivos (sem operações significativas) ---
             for (const [jobId, job] of Object.entries(jobs)) {
                 if (detectarJobsPassivos(job)) {
                     ocorrencias.push(criarOcorrencia({
@@ -197,7 +175,6 @@ export const detectorWorkflowEstrutura = {
             }
         }
         catch {
-            // Fallback para análise por regex se o YAML parsing falhar
             for (const dep of DEPRECATED_FEATURES) {
                 if (dep.pattern.test(src)) {
                     ocorrencias.push(criarOcorrencia({