@neetru/cli 2.29.0 → 2.31.0

package/dist/lib/product-docs/templates.js

@@ -0,0 +1,245 @@
+/**
+ * Modelos EMBUTIDOS dos docs de produto (PROTOCOLO_DOCS_PRODUTOS_SAAS §7.2/§7.4).
+ *
+ * Cada seção ganha um comentário `<!-- o que escrever aqui -->` que não aparece
+ * na leitura. Os modelos de `adr`, `plano` (rfc / spec-feature), `norma`
+ * (politica-acao) e o modelo de ameaças têm como base os de
+ * `neetru-zelo/docs/design/modelos/`, reescritos nas seções fixas do §7.4.
+ */
+import { serializeFrontmatter } from './frontmatter.js';
+import { THREAT_MODEL_SECTIONS } from './structure.js';
+export function renderDoc(spec) {
+    const fm = {
+        title: spec.title,
+        description: spec.description,
+        product: spec.product,
+        category: spec.category,
+        subcategory: spec.subcategory,
+        type: spec.type,
+        status: spec.status,
+        date: spec.date,
+    };
+    if (spec.updated)
+        fm.updated = spec.updated;
+    fm.owner = spec.owner ?? 'produto';
+    fm.audience = spec.audience;
+    if (spec.adr !== undefined)
+        fm.adr = spec.adr;
+    if (spec.order !== undefined)
+        fm.order = spec.order;
+    const parts = [serializeFrontmatter(fm), '', `# ${spec.title}`, '', `> ${spec.lead}`, ''];
+    for (const sec of spec.sections) {
+        parts.push(`## ${sec.title}`, '', `<!-- ${sec.hint}${sec.required ? ' (seção obrigatória)' : ''} -->`, '');
+        const extra = spec.extra?.[sec.title];
+        if (extra)
+            parts.push(extra, '');
+    }
+    return parts.join('\n').replace(/\n{3,}/g, '\n\n').trimEnd() + '\n';
+}
+// ─── extras dos modelos de base (zelo) ──────────────────────────────────────
+export const ADR_EXTRA = {
+    'Alternativas consideradas': [
+        '### Opção A — <nome>',
+        '',
+        '- Prós:',
+        '- Contras:',
+        '- Custo e risco:',
+        '- Trade-off:',
+        '',
+        '### Opção B — <nome>',
+        '',
+        '- Prós:',
+        '- Contras:',
+        '- Custo e risco:',
+        '- Trade-off:',
+    ].join('\n'),
+    'Consequências': [
+        '- Positivas:',
+        '- Negativas e dívida assumida:',
+        '- Como reverter:',
+        '- Onde a decisão passa a viver:',
+        '',
+        '| Requisito | Teste ou smoke que prova | Status |',
+        '|---|---|---|',
+        '| | | |',
+    ].join('\n'),
+};
+export const PLANO_RFC_EXTRA = {
+    Proposta: [
+        '- Fluxo:',
+        '- Contrato (entrada, saída, erros):',
+        '- Estados e transições:',
+        '- Dados que trafegam:',
+        '',
+        '| Frente | O que muda | Risco |',
+        '|---|---|---|',
+        '| Interface | | |',
+        '| Servidor | | |',
+        '| Core | | |',
+    ].join('\n'),
+    'Fases e critérios de aceite': ['- Rollout:', '- Rollback:', '- [ ] Critério verificável (teste, contrato, smoke)'].join('\n'),
+    'Decisões pendentes': ['- [ ] Dono: …', '- [ ] Core: …'].join('\n'),
+};
+export const PLANO_SPEC_EXTRA = {
+    Proposta: [
+        '- Resultado esperado (mensurável quando possível):',
+        '- Faz:',
+        '- Contrato e interface (entradas, saídas, erros, idempotência):',
+        '- Estados e transições (quem dispara, timeout, o que é auditado):',
+        '- Observabilidade (como saber que funcionou, sem dado pessoal):',
+    ].join('\n'),
+    'Fora de escopo': '- Não faz:',
+    'Fases e critérios de aceite': ['- [ ] Teste:', '- [ ] Contrato:', '- [ ] Smoke:'].join('\n'),
+    Riscos: [
+        '- Offline e nova tentativa:',
+        '- Credencial inválida (401):',
+        '- Parâmetro ausente ou fora do intervalo:',
+        '- Concorrência e duplicidade:',
+        '- Dado velho:',
+        '- Privacidade e segurança (o que é coletado, o que nunca é):',
+    ].join('\n'),
+};
+export const NORMA_POLITICA_EXTRA = {
+    Regras: [
+        '| Parâmetro | Tipo | Obrigatório | Valores aceitos | Validação |',
+        '|---|---|---|---|---|',
+        '| | | | | |',
+    ].join('\n'),
+    'Como é verificado': [
+        '- [ ] Fora da lista permitida → recusado',
+        '- [ ] Parâmetro inválido → recusado antes de executar',
+        '- [ ] Expirado → não executa',
+        '- [ ] Resultado registrado na trilha de auditoria',
+    ].join('\n'),
+};
+export const THREAT_EXTRA = {
+    'Ameaças': [
+        '| # | Categoria | Ameaça | Como exploraria | Impacto | Probabilidade | Risco |',
+        '|---|---|---|---|---|---|---|',
+        '| 1 | Falsificação de identidade | | | | | |',
+        '| 2 | Adulteração | | | | | |',
+        '| 3 | Repúdio | | | | | |',
+        '| 4 | Vazamento de informação | | | | | |',
+        '| 5 | Negação de serviço | | | | | |',
+        '| 6 | Elevação de privilégio | | | | | |',
+    ].join('\n'),
+    'Mitigações': [
+        '| # | Mitigação | Tipo (prevenir, detectar, responder) | Onde implementa | Regra dura? |',
+        '|---|---|---|---|---|',
+        '| | | | | |',
+    ].join('\n'),
+};
+export { THREAT_MODEL_SECTIONS };
+// ─── README / CHANGELOG / index ─────────────────────────────────────────────
+export function renderReadme(name) {
+    return [
+        `# ${name}`,
+        '',
+        '## O que é',
+        '',
+        '<!-- Em 2 ou 3 frases: o problema que o produto resolve e para quem. Detalhes em docs/produto/VISAO_DO_PRODUTO.md. -->',
+        '',
+        '## Como rodar local',
+        '',
+        '```bash',
+        'npm install',
+        'npm run dev',
+        '```',
+        '',
+        '<!-- Variáveis de ambiente de desenvolvimento, banco local (`neetru dev up`) e como logar. -->',
+        '',
+        '## Como fazer deploy',
+        '',
+        '```bash',
+        'neetru deploy --env staging',
+        'neetru deploy --env prod',
+        '```',
+        '',
+        'O passo a passo completo está em [docs/runbooks/RUNBOOK_DEPLOY.md](docs/runbooks/RUNBOOK_DEPLOY.md).',
+        '',
+        '## Documentação',
+        '',
+        'Comece por [docs/index.md](docs/index.md). Antes de abrir PR, rode `neetru docs check`.',
+        '',
+    ].join('\n');
+}
+export function renderChangelog(seed) {
+    const head = [
+        '# Registro de mudanças',
+        '',
+        'Formato [Keep a Changelog](https://keepachangelog.com/pt-BR/), em PT-BR. A versão é a do `package.json`.',
+        'Cada linha é escrita para quem usa o produto; commit e PR entre parênteses no fim.',
+        '',
+        '## [Não lançado]',
+        '',
+        `## [${seed.version}] — ${seed.date}`,
+        '',
+    ];
+    // Produto que já tem versões lançadas: nada de "primeira versão" — o
+    // registro só começa agora, e o histórico anterior está no git.
+    const body = seed.maduro
+        ? ['### Alterado', '', '- Início do registro de mudanças neste formato. O histórico das versões anteriores está no git (`git log`).', '']
+        : ['### Adicionado', '', '- Primeira versão do produto.', ''];
+    return [...head, ...body].join('\n');
+}
+/** Link markdown seguro para caminhos com espaço/parênteses. */
+function mdHref(rel) {
+    return rel
+        .split('/')
+        .map((seg) => encodeURIComponent(seg).replace(/\(/g, '%28').replace(/\)/g, '%29'))
+        .join('/');
+}
+export function renderIndex(opts) {
+    const fm = serializeFrontmatter({
+        title: `Documentação do ${opts.name}`,
+        description: `Porta de entrada da documentação do ${opts.name}: o que existe em cada pasta e por onde começar.`,
+        product: opts.product,
+        category: 'Documentação',
+        subcategory: 'indices',
+        type: 'indice',
+        status: 'draft',
+        date: opts.today,
+        updated: opts.today,
+        owner: 'produto',
+        audience: 'dev-produto',
+    });
+    const lines = [
+        fm,
+        '',
+        `# Documentação do ${opts.name}`,
+        '',
+        '> Para quem desenvolve e opera o produto. Segue o protocolo de documentação de produtos SaaS da Neetru (versão 1).',
+        '',
+        '## Por onde começar',
+        '',
+        '<!-- Ordem de leitura sugerida para quem chega ao produto. -->',
+        '',
+    ];
+    for (const g of opts.groups) {
+        if (!g.files.length)
+            continue;
+        lines.push(`## ${g.label}`, '');
+        if (g.nota)
+            lines.push(`> ${g.nota}`, '');
+        for (const f of g.files) {
+            lines.push(`- [${f.title.replace(/[[\]]/g, '')}](${mdHref(f.rel)})${f.nomeForaDaRegra ? ' — nome fora da regra' : ''}`);
+        }
+        lines.push('');
+    }
+    lines.push('## Como manter', '', '- Doc novo: `neetru docs new <tipo> "<título>"` (cria na pasta certa, com nome e frontmatter do protocolo).', '- Antes de abrir PR: `neetru docs check --changed`.', '- Publicar no Core: `neetru docs sync` (ou `docs.publishOnDeploy: true` no neetru.config.json para publicar no deploy de produção).', '');
+    return lines.join('\n');
+}
+export const FOLDER_LABEL = {
+    produto: 'Produto',
+    arquitetura: 'Arquitetura',
+    api: 'API',
+    decisoes: 'Decisões',
+    runbooks: 'Runbooks',
+    guias: 'Guias',
+    integracoes: 'Integrações',
+    seguranca: 'Segurança',
+    usuario: 'Ajuda ao usuário',
+    planos: 'Planos',
+    relatorios: 'Relatórios',
+};
+//# sourceMappingURL=templates.js.map

package/dist/lib/product-docs/templates.js.map

@@ -0,0 +1 @@
+{"version":3,"file":"templates.js","sourceRoot":"","sources":["../../../src/lib/product-docs/templates.ts"],"names":[],"mappings":"AAAA;;;;;;;GAOG;AACH,OAAO,EAAE,oBAAoB,EAAe,MAAM,kBAAkB,CAAC;AACrE,OAAO,EAAE,qBAAqB,EAAgB,MAAM,gBAAgB,CAAC;AAwBrE,MAAM,UAAU,SAAS,CAAC,IAAa;IACrC,MAAM,EAAE,GAAW;QACjB,KAAK,EAAE,IAAI,CAAC,KAAK;QACjB,WAAW,EAAE,IAAI,CAAC,WAAW;QAC7B,OAAO,EAAE,IAAI,CAAC,OAAO;QACrB,QAAQ,EAAE,IAAI,CAAC,QAAQ;QACvB,WAAW,EAAE,IAAI,CAAC,WAAW;QAC7B,IAAI,EAAE,IAAI,CAAC,IAAI;QACf,MAAM,EAAE,IAAI,CAAC,MAAM;QACnB,IAAI,EAAE,IAAI,CAAC,IAAI;KAChB,CAAC;IACF,IAAI,IAAI,CAAC,OAAO;QAAE,EAAE,CAAC,OAAO,GAAG,IAAI,CAAC,OAAO,CAAC;IAC5C,EAAE,CAAC,KAAK,GAAG,IAAI,CAAC,KAAK,IAAI,SAAS,CAAC;IACnC,EAAE,CAAC,QAAQ,GAAG,IAAI,CAAC,QAAQ,CAAC;IAC5B,IAAI,IAAI,CAAC,GAAG,KAAK,SAAS;QAAE,EAAE,CAAC,GAAG,GAAG,IAAI,CAAC,GAAG,CAAC;IAC9C,IAAI,IAAI,CAAC,KAAK,KAAK,SAAS;QAAE,EAAE,CAAC,KAAK,GAAG,IAAI,CAAC,KAAK,CAAC;IAEpD,MAAM,KAAK,GAAG,CAAC,oBAAoB,CAAC,EAAE,CAAC,EAAE,EAAE,EAAE,KAAK,IAAI,CAAC,KAAK,EAAE,EAAE,EAAE,EAAE,KAAK,IAAI,CAAC,IAAI,EAAE,EAAE,EAAE,CAAC,CAAC;IAC1F,KAAK,MAAM,GAAG,IAAI,IAAI,CAAC,QAAQ,EAAE,CAAC;QAChC,KAAK,CAAC,IAAI,CAAC,MAAM,GAAG,CAAC,KAAK,EAAE,EAAE,EAAE,EAAE,QAAQ,GAAG,CAAC,IAAI,GAAG,GAAG,CAAC,QAAQ,CAAC,CAAC,CAAC,sBAAsB,CAAC,CAAC,CAAC,EAAE,MAAM,EAAE,EAAE,CAAC,CAAC;QAC3G,MAAM,KAAK,GAAG,IAAI,CAAC,KAAK,EAAE,CAAC,GAAG,CAAC,KAAK,CAAC,CAAC;QACtC,IAAI,KAAK;YAAE,KAAK,CAAC,IAAI,CAAC,KAAK,EAAE,EAAE,CAAC,CAAC;IACnC,CAAC;IACD,OAAO,KAAK,CAAC,IAAI,CAAC,IAAI,CAAC,CAAC,OAAO,CAAC,SAAS,EAAE,MAAM,CAAC,CAAC,OAAO,EAAE,GAAG,IAAI,CAAC;AACtE,CAAC;AAED,+EAA+E;AAE/E,MAAM,CAAC,MAAM,SAAS,GAA2B;IAC/C,2BAA2B,EAAE;QAC3B,sBAAsB;QACtB,EAAE;QACF,SAAS;QACT,YAAY;QACZ,kBAAkB;QAClB,cAAc;QACd,EAAE;QACF,sBAAsB;QACtB,EAAE;QACF,SAAS;QACT,YAAY;QACZ,kBAAkB;QAClB,cAAc;KACf,CAAC,IAAI,CAAC,IAAI,CAAC;IACZ,eAAe,EAAE;QACf,cAAc;QACd,gCAAgC;QAChC,kBAAkB;QAClB,iCAAiC;QACjC,EAAE;QACF,mDAAmD;QACnD,eAAe;QACf,SAAS;KACV,CAAC,IAAI,CAAC,IAAI,CAAC;CACb,CAAC;AAEF,MAAM,CAAC,MAAM,eAAe,GAA2B;IACrD,QAAQ,EAAE;QACR,UAAU;QACV,qCAAqC;QACrC,yBAAyB;QACzB,uBAAuB;QACvB,EAAE;QACF,iCAAiC;QACjC,eAAe;QACf,mBAAmB;QACnB,kBAAkB;QAClB,cAAc;KACf,CAAC,IAAI,CAAC,IAAI,CAAC;IACZ,6BAA6B,EAAE,CAAC,YAAY,EAAE,aAAa,EAAE,qDAAqD,CAAC,CAAC,IAAI,CAAC,IAAI,CAAC;IAC9H,oBAAoB,EAAE,CAAC,eAAe,EAAE,eAAe,CAAC,CAAC,IAAI,CAAC,IAAI,CAAC;CACpE,CAAC;AAEF,MAAM,CAAC,MAAM,gBAAgB,GAA2B;IACtD,QAAQ,EAAE;QACR,oDAAoD;QACpD,QAAQ;QACR,iEAAiE;QACjE,mEAAmE;QACnE,iEAAiE;KAClE,CAAC,IAAI,CAAC,IAAI,CAAC;IACZ,gBAAgB,EAAE,YAAY;IAC9B,6BAA6B,EAAE,CAAC,cAAc,EAAE,iBAAiB,EAAE,cAAc,CAAC,CAAC,IAAI,CAAC,IAAI,CAAC;IAC7F,MAAM,EAAE;QACN,6BAA6B;QAC7B,8BAA8B;QAC9B,2CAA2C;QAC3C,+BAA+B;QAC/B,eAAe;QACf,8DAA8D;KAC/D,CAAC,IAAI,CAAC,IAAI,CAAC;CACb,CAAC;AAEF,MAAM,CAAC,MAAM,oBAAoB,GAA2B;IAC1D,MAAM,EAAE;QACN,kEAAkE;QAClE,uBAAuB;QACvB,aAAa;KACd,CAAC,IAAI,CAAC,IAAI,CAAC;IACZ,mBAAmB,EAAE;QACnB,0CAA0C;QAC1C,uDAAuD;QACvD,8BAA8B;QAC9B,mDAAmD;KACpD,CAAC,IAAI,CAAC,IAAI,CAAC;CACb,CAAC;AAEF,MAAM,CAAC,MAAM,YAAY,GAA2B;IAClD,SAAS,EAAE;QACT,gFAAgF;QAChF,+BAA+B;QAC/B,8CAA8C;QAC9C,+BAA+B;QAC/B,2BAA2B;QAC3B,2CAA2C;QAC3C,sCAAsC;QACtC,0CAA0C;KAC3C,CAAC,IAAI,CAAC,IAAI,CAAC;IACZ,YAAY,EAAE;QACZ,0FAA0F;QAC1F,uBAAuB;QACvB,aAAa;KACd,CAAC,IAAI,CAAC,IAAI,CAAC;CACb,CAAC;AAEF,OAAO,EAAE,qBAAqB,EAAE,CAAC;AAEjC,+EAA+E;AAE/E,MAAM,UAAU,YAAY,CAAC,IAAY;IACvC,OAAO;QACL,KAAK,IAAI,EAAE;QACX,EAAE;QACF,YAAY;QACZ,EAAE;QACF,wHAAwH;QACxH,EAAE;QACF,qBAAqB;QACrB,EAAE;QACF,SAAS;QACT,aAAa;QACb,aAAa;QACb,KAAK;QACL,EAAE;QACF,gGAAgG;QAChG,EAAE;QACF,sBAAsB;QACtB,EAAE;QACF,SAAS;QACT,6BAA6B;QAC7B,0BAA0B;QAC1B,KAAK;QACL,EAAE;QACF,sGAAsG;QACtG,EAAE;QACF,iBAAiB;QACjB,EAAE;QACF,yFAAyF;QACzF,EAAE;KACH,CAAC,IAAI,CAAC,IAAI,CAAC,CAAC;AACf,CAAC;AAED,MAAM,UAAU,eAAe,CAAC,IAAwD;IACtF,MAAM,IAAI,GAAG;QACX,wBAAwB;QACxB,EAAE;QACF,0GAA0G;QAC1G,oFAAoF;QACpF,EAAE;QACF,kBAAkB;QAClB,EAAE;QACF,OAAO,IAAI,CAAC,OAAO,OAAO,IAAI,CAAC,IAAI,EAAE;QACrC,EAAE;KACH,CAAC;IACF,qEAAqE;IACrE,gEAAgE;IAChE,MAAM,IAAI,GAAG,IAAI,CAAC,MAAM;QACtB,CAAC,CAAC,CAAC,cAAc,EAAE,EAAE,EAAE,6GAA6G,EAAE,EAAE,CAAC;QACzI,CAAC,CAAC,CAAC,gBAAgB,EAAE,EAAE,EAAE,+BAA+B,EAAE,EAAE,CAAC,CAAC;IAChE,OAAO,CAAC,GAAG,IAAI,EAAE,GAAG,IAAI,CAAC,CAAC,IAAI,CAAC,IAAI,CAAC,CAAC;AACvC,CAAC;AAUD,gEAAgE;AAChE,SAAS,MAAM,CAAC,GAAW;IACzB,OAAO,GAAG;SACP,KAAK,CAAC,GAAG,CAAC;SACV,GAAG,CAAC,CAAC,GAAG,EAAE,EAAE,CAAC,kBAAkB,CAAC,GAAG,CAAC,CAAC,OAAO,CAAC,KAAK,EAAE,KAAK,CAAC,CAAC,OAAO,CAAC,KAAK,EAAE,KAAK,CAAC,CAAC;SACjF,IAAI,CAAC,GAAG,CAAC,CAAC;AACf,CAAC;AAED,MAAM,UAAU,WAAW,CAAC,IAA4E;IACtG,MAAM,EAAE,GAAG,oBAAoB,CAAC;QAC9B,KAAK,EAAE,mBAAmB,IAAI,CAAC,IAAI,EAAE;QACrC,WAAW,EAAE,uCAAuC,IAAI,CAAC,IAAI,kDAAkD;QAC/G,OAAO,EAAE,IAAI,CAAC,OAAO;QACrB,QAAQ,EAAE,cAAc;QACxB,WAAW,EAAE,SAAS;QACtB,IAAI,EAAE,QAAQ;QACd,MAAM,EAAE,OAAO;QACf,IAAI,EAAE,IAAI,CAAC,KAAK;QAChB,OAAO,EAAE,IAAI,CAAC,KAAK;QACnB,KAAK,EAAE,SAAS;QAChB,QAAQ,EAAE,aAAa;KACxB,CAAC,CAAC;IACH,MAAM,KAAK,GAAG;QACZ,EAAE;QACF,EAAE;QACF,qBAAqB,IAAI,CAAC,IAAI,EAAE;QAChC,EAAE;QACF,oHAAoH;QACpH,EAAE;QACF,qBAAqB;QACrB,EAAE;QACF,gEAAgE;QAChE,EAAE;KACH,CAAC;IACF,KAAK,MAAM,CAAC,IAAI,IAAI,CAAC,MAAM,EAAE,CAAC;QAC5B,IAAI,CAAC,CAAC,CAAC,KAAK,CAAC,MAAM;YAAE,SAAS;QAC9B,KAAK,CAAC,IAAI,CAAC,MAAM,CAAC,CAAC,KAAK,EAAE,EAAE,EAAE,CAAC,CAAC;QAChC,IAAI,CAAC,CAAC,IAAI;YAAE,KAAK,CAAC,IAAI,CAAC,KAAK,CAAC,CAAC,IAAI,EAAE,EAAE,EAAE,CAAC,CAAC;QAC1C,KAAK,MAAM,CAAC,IAAI,CAAC,CAAC,KAAK,EAAE,CAAC;YACxB,KAAK,CAAC,IAAI,CAAC,MAAM,CAAC,CAAC,KAAK,CAAC,OAAO,CAAC,QAAQ,EAAE,EAAE,CAAC,KAAK,MAAM,CAAC,CAAC,CAAC,GAAG,CAAC,IAAI,CAAC,CAAC,eAAe,CAAC,CAAC,CAAC,uBAAuB,CAAC,CAAC,CAAC,EAAE,EAAE,CAAC,CAAC;QAC1H,CAAC;QACD,KAAK,CAAC,IAAI,CAAC,EAAE,CAAC,CAAC;IACjB,CAAC;IACD,KAAK,CAAC,IAAI,CACR,gBAAgB,EAChB,EAAE,EACF,6GAA6G,EAC7G,qDAAqD,EACrD,qIAAqI,EACrI,EAAE,CACH,CAAC;IACF,OAAO,KAAK,CAAC,IAAI,CAAC,IAAI,CAAC,CAAC;AAC1B,CAAC;AAED,MAAM,CAAC,MAAM,YAAY,GAA2B;IAClD,OAAO,EAAE,SAAS;IAClB,WAAW,EAAE,aAAa;IAC1B,GAAG,EAAE,KAAK;IACV,QAAQ,EAAE,UAAU;IACpB,QAAQ,EAAE,UAAU;IACpB,KAAK,EAAE,OAAO;IACd,WAAW,EAAE,aAAa;IAC1B,SAAS,EAAE,WAAW;IACtB,OAAO,EAAE,kBAAkB;IAC3B,MAAM,EAAE,QAAQ;IAChB,UAAU,EAAE,YAAY;CACzB,CAAC"}

package/dist/lib/public-secret-scan.d.ts

@@ -0,0 +1,76 @@
+export interface SecretPattern {
+    id: 'nrt_key' | 'npk_key' | 'private_key';
+    label: string;
+    re: RegExp;
+}
+export declare const PUBLIC_SECRET_PATTERNS: readonly SecretPattern[];
+/** Prefixos de env que os bundlers injetam no código do navegador/app. */
+export declare const PUBLIC_ENV_PREFIXES: readonly ["NEXT_PUBLIC_", "EXPO_PUBLIC_", "VITE_", "REACT_APP_", "PUBLIC_"];
+export declare function isKnownPublicValue(value: string): boolean;
+export declare function isPublicSensitiveEnvName(name: string): boolean;
+/** Até 8 caracteres iniciais (nunca mais que 1/4 do valor) + máscara. */
+export declare function maskSecret(value: string): string;
+/** Normaliza o nome de membro do tar: `\` → `/`, sem `./` nem `/` iniciais. */
+export declare function normalizeEntryPath(p: string): string;
+export declare function isPublicArtifactPath(relPath: string, stack?: string): boolean;
+/** Arquivos maiores que isso não são varridos (e são reportados como não varridos). */
+export declare const MAX_SCAN_FILE_BYTES: number;
+export declare function isScannableFile(relPath: string): boolean;
+export interface PublicSecretFinding {
+    /** Caminho relativo dentro do pacote. */
+    file: string;
+    /** `nrt_key` | `npk_key` | `private_key` | `public_env:<NOME>`. */
+    pattern: string;
+    /** Descrição PT-BR do padrão. */
+    label: string;
+    /** Prévia MASCARADA (nunca o segredo inteiro). */
+    preview: string;
+}
+export interface PublicEnvSecret {
+    name: string;
+    value: string;
+}
+export interface ScanContext {
+    stack?: string;
+    envSecrets: readonly PublicEnvSecret[];
+}
+export interface ScanResult {
+    findings: PublicSecretFinding[];
+    scannedFiles: number;
+    /** Arquivos públicos grandes demais para varrer (caminhos). */
+    skippedLarge: string[];
+}
+/** Varre um conteúdo de arquivo. Dedup por (arquivo, padrão). */
+export declare function scanContent(file: string, content: Buffer | string, envSecrets: readonly PublicEnvSecret[]): PublicSecretFinding[];
+/** Parser mínimo de .env (KEY=VALUE, aspas simples/duplas, comentários). */
+export declare function parseDotenv(content: string): Record<string, string>;
+/** Arquivos .env que o bundler lê num build de produção (o `.env*` NÃO viaja no tarball). */
+export declare const BUILD_ENV_FILES: readonly [".env", ".env.production", ".env.local", ".env.production.local"];
+/**
+ * Coleta envs públicas com nome sensível a partir do ambiente do build:
+ * `.env*` do projeto, `--env-file` e `process.env` do CLI (o build roda com ele).
+ */
+export declare function collectPublicEnvSecrets(cwd: string, envFile?: string, processEnv?: NodeJS.ProcessEnv): Promise<PublicEnvSecret[]>;
+/**
+ * Lê um .tar.gz em streaming e chama `onFile` para cada arquivo regular que
+ * `want(nome, tamanho)` aceitar. Arquivos não desejados são pulados sem buffer.
+ */
+export declare function walkTarGz(tarPath: string, want: (name: string, size: number) => boolean, onFile: (name: string, data: Buffer) => void): Promise<void>;
+/** Varre o tarball de deploy (o que de fato vai pro GCS). */
+export declare function scanTarballForPublicSecrets(tarPath: string, ctx: ScanContext): Promise<ScanResult>;
+/** Varre as pastas públicas no disco (target=cloud-run, onde não há tarball). */
+export declare function scanDirectoryForPublicSecrets(root: string, ctx: ScanContext): Promise<ScanResult>;
+export declare const ALLOW_PUBLIC_SECRET_FLAG = "--allow-public-secret";
+/** Motivo mínimo do override (evita `--allow-public-secret x`). */
+export declare const MIN_OVERRIDE_REASON_LENGTH = 10;
+export declare function formatFindingsMessage(findings: readonly PublicSecretFinding[]): string;
+export interface PublicSecretOverrideRecord {
+    reason: string;
+    findings: Array<{
+        file: string;
+        pattern: string;
+    }>;
+    at: string;
+}
+/** Registro do override — só caminho e tipo de padrão, NUNCA o valor. */
+export declare function buildOverrideRecord(reason: string, findings: readonly PublicSecretFinding[], now?: Date): PublicSecretOverrideRecord;