@orkastery/cli 0.5.6 → 0.6.0

package/dist/doctor.js

@@ -39,18 +39,23 @@ var __importStar = (this && this.__importStar) || (function () {
     };
 })();
 Object.defineProperty(exports, "__esModule", { value: true });
-exports.TETO_DO_DONO_DO_GIT = void 0;
+exports.CONTRATO_DO_DOCTOR = exports.TETO_DO_DONO_DO_GIT = void 0;
+exports.checarSeparacaoDaConducao = checarSeparacaoDaConducao;
 exports.manifestoForaDoRepositorio = manifestoForaDoRepositorio;
 exports.checarContas = checarContas;
 exports.checarChaveDeEmbedding = checarChaveDeEmbedding;
+exports.checarFonteDaDsn = checarFonteDaDsn;
+exports.checarDsnNoAmbiente = checarDsnNoAmbiente;
 exports.checarDonoDoGit = checarDonoDoGit;
 exports.checarOnboarding = checarOnboarding;
 exports.blocosDoRuntime = blocosDoRuntime;
 exports.checarRuntimeClaude = checarRuntimeClaude;
 exports.checarDespachoPeloCodex = checarDespachoPeloCodex;
+exports.checarSecurityScan = checarSecurityScan;
 exports.checar = checar;
 exports.relatorio = relatorio;
 exports.doctor = doctor;
+exports.doctorJson = doctorJson;
 const fs = __importStar(require("node:fs"));
 const path = __importStar(require("node:path"));
 const adapter = __importStar(require("./adapters/claude-bg"));
@@ -62,11 +67,16 @@ const onboarding_1 = require("./onboarding");
 const ratelimit_1 = require("./ratelimit");
 const slug_1 = require("./slug");
 const horario_1 = require("./horario");
+const executor_1 = require("./security-scan/executor");
+const detect_1 = require("./security-scan/detect");
+const tools_1 = require("./security-scan/tools");
+const types_1 = require("./security-scan/types");
 const util_1 = require("./util");
 const sessoes_inventario_1 = require("./sessoes-inventario");
 const estado_thread_1 = require("./estado-thread");
 const project_state_1 = require("./project-state");
 const runtime_ambiente_1 = require("./runtime-ambiente");
+const dsn_da_memoria_1 = require("./dsn-da-memoria");
 const runtime_profiles_1 = require("./runtime-profiles");
 const preflight_1 = require("./preflight");
 const setup_1 = require("./setup");
@@ -76,6 +86,41 @@ const worktree_local_1 = require("./worktree-local");
 const maquina_1 = require("./maquina");
 const doctor_rede_1 = require("./doctor-rede");
 const locale_1 = require("./locale");
+const real = (dir) => { try {
+    return fs.realpathSync(dir);
+}
+catch {
+    return path.resolve(dir);
+} };
+/**
+ * RM-064 T5: avisa quando o LLM que roda o doctor usa a mesma conta das fases vivas. Sessão de fase
+ * despachada pelo `ork` (com a identidade do despacho no ambiente) não é o condutor e não entra na comparação.
+ */
+function checarSeparacaoDaConducao(raiz, inventario, env = process.env) {
+    const runtime = env.CLAUDECODE ? 'claude-bg' : env.CODEX_THREAD_ID ? 'codex' : null;
+    if (!runtime || (0, runtime_ambiente_1.sessaoDespachada)(env))
+        return null;
+    const dirAtual = runtime === 'claude-bg' ? env.CLAUDE_CONFIG_DIR : env.CODEX_HOME;
+    let perfil = null;
+    try {
+        if (dirAtual) {
+            const p = (0, runtime_profiles_1.lerPerfisComContas)(raiz).perfis.find((x) => x.runtime === runtime &&
+                real(((0, runtime_profiles_1.perfilDeDespacho)(x).configDir ?? (0, runtime_profiles_1.perfilDeDespacho)(x).codexHome)) === real(dirAtual));
+            perfil = p?.id ?? null;
+        }
+    }
+    catch { /* o check de contas relata o store inválido; aqui não inventamos perfil */ }
+    const fases = inventario.sessoes.filter((s) => s.viva && s.runtime === runtime && s.perfil === perfil && s.vinculos.length > 0)
+        .flatMap((s) => s.vinculos.map((v) => `${v.thread}:${v.fase}`));
+    const conta = perfil ?? (0, locale_1.msg)().doctor.contaDoAmbiente;
+    return {
+        nome: 'separacao da conducao',
+        nivel: fases.length ? 'warn' : 'ok',
+        detalhe: fases.length ? (0, locale_1.msg)().doctor.condutorCompartilha(runtime, conta, fases.slice(0, 3).join(', '))
+            : (0, locale_1.msg)().doctor.condutorSeparado(runtime, conta),
+        correcao: fases.length ? (0, locale_1.msg)().doctor.condutorCompartilhaCorrecao : undefined,
+    };
+}
 /**
  * Ensaio de 03/10/2026 (RM-049): o manifesto e achado subindo a partir do diretorio atual. Um
  * `orkastery.yaml` de uma pasta acima do repositorio (um `ork init` rodado por engano no HOME) era
@@ -182,7 +227,8 @@ function checarChaveDeEmbedding(carregado, env = process.env) {
             correcao: (0, locale_1.msg)().doctor.embeddingSemVariavelCorrecao };
     }
     const valor = (env[variavel] ?? '').trim();
-    const dsn = carregado.manifesto.memory.database_url_env ? (env[carregado.manifesto.memory.database_url_env] ?? '') : '';
+    // RM-069: a DSN da fonte declarada (a variavel ou o arquivo da pasta de segredos), pelo resolvedor unico.
+    const dsn = (0, dsn_da_memoria_1.resolverDsn)(carregado.manifesto.memory, { env }).dsn;
     if (valor !== '' && !(0, orkmind_1.chaveDeEmbeddingAceita)(valor, dsn)) {
         return { nome, nivel: 'fail', detalhe: (0, locale_1.msg)().doctor.embeddingRecusada(variavel), correcao: (0, locale_1.msg)().doctor.embeddingRecusadaCorrecao(variavel) };
     }
@@ -191,6 +237,47 @@ function checarChaveDeEmbedding(carregado, env = process.env) {
     }
     return { nome, nivel: 'warn', detalhe: (0, locale_1.msg)().doctor.embeddingAusente(variavel), correcao: (0, locale_1.msg)().doctor.embeddingAusenteCorrecao(variavel) };
 }
+/**
+ * RM-069 (G5): de onde vem a DSN da memoria, a variavel pelo NOME ou o arquivo pelo rotulo com `~`, nunca o valor. So
+ * com `memory.mode: orkmind` e uma fonte declarada; a falha e aviso, porque memoria degradada nao bloqueia despacho.
+ */
+function checarFonteDaDsn(carregado, env = process.env) {
+    const memoria = carregado.manifesto.memory;
+    if (memoria.mode !== 'orkmind')
+        return null;
+    const r = (0, dsn_da_memoria_1.resolverDsn)(memoria, { env });
+    const nome = 'fonte da DSN';
+    if (r.fonte === 'nenhuma')
+        return null;
+    if (r.fonte === 'ambiente') {
+        return r.falha
+            ? { nome, nivel: 'warn', detalhe: (0, locale_1.msg)().doctor.dsnVariavelAusente(r.rotulo), correcao: (0, locale_1.msg)().doctor.dsnVariavelAusenteCorrecao(r.rotulo) }
+            : { nome, nivel: 'ok', detalhe: (0, locale_1.msg)().doctor.dsnDaVariavel(r.rotulo) };
+    }
+    if (!r.falha)
+        return { nome, nivel: 'ok', detalhe: (0, locale_1.msg)().doctor.dsnDoArquivo(r.rotulo, r.permissao ?? '') };
+    return { nome, nivel: 'warn', detalhe: (0, locale_1.msg)().doctor.dsnArquivoFalhou(r.rotulo, r.falha, (0, locale_1.msg)().doctor.dsnCausa(r.causa ?? '', r.permissao ?? '')),
+        correcao: (0, locale_1.msg)().doctor.dsnArquivoCorrecao(r.falha, r.rotulo) };
+}
+/**
+ * RM-069 (G6, D8): a DSN no ambiente DESTE processo, pelo NOME da variavel, nunca o valor. Numa sessao despachada, as
+ * variaveis com a DSN do projeto e toda URL com senha: o agente as le com `env`. Fora dela, so com a fonte de arquivo
+ * lida, as variaveis que repetem a DSN do arquivo. Nos outros casos (fonte de ambiente fora do despacho), nenhum check.
+ */
+function checarDsnNoAmbiente(carregado, env = process.env) {
+    const despachada = (0, runtime_ambiente_1.sessaoDespachada)(env);
+    const r = (0, dsn_da_memoria_1.resolverDsn)(carregado.manifesto.memory, { env });
+    if (!despachada && !(r.fonte === 'arquivo' && r.dsn))
+        return null;
+    const nome = 'DSN no ambiente';
+    const doProjeto = r.dsn ? (0, dsn_da_memoria_1.variaveisComDsn)(env, r.dsn) : [];
+    const comSenha = despachada ? (0, dsn_da_memoria_1.variaveisComUrlComSenha)(env).filter((n) => !doProjeto.includes(n)) : [];
+    if (doProjeto.length === 0 && comSenha.length === 0) {
+        return { nome, nivel: 'ok', detalhe: despachada ? (0, locale_1.msg)().doctor.dsnSessaoLimpa : (0, locale_1.msg)().doctor.dsnProcessoLimpo };
+    }
+    return { nome, nivel: 'warn', detalhe: despachada ? (0, locale_1.msg)().doctor.dsnNaSessao(doProjeto, comSenha) : (0, locale_1.msg)().doctor.dsnNoProcesso(doProjeto),
+        correcao: (0, locale_1.msg)().doctor.dsnNoAmbienteCorrecao };
+}
 /** Acima disso a conferencia do dono do `.git` fica parcial (aviso), para o doctor nao pesar. */
 exports.TETO_DO_DONO_DO_GIT = 200_000;
 /**
@@ -407,12 +494,33 @@ function checarDespachoPeloCodex(carregado, codex, sonda) {
                     : undefined,
     };
 }
+/**
+ * Check `security scan` (spec section 11): only when `verify.security_scan` is declared. `ok` with Docker (CLI and daemon);
+ * without it, `ok` only when every loop-category tool for the detected stacks has an acceptable native binary (pip-audit
+ * and govulncheck have none, so a Python or Go repo always lands on `warn`). Never `fail`: a missing scanner is the
+ * `unavailable` of the ship gate, not a broken machine. The probe is injectable so tests never touch a real Docker.
+ */
+function checarSecurityScan(carregado, probe = (0, executor_1.defaultProbe)()) {
+    if (!carregado || carregado.manifesto.verify.security_scan === undefined)
+        return null;
+    const nome = 'security scan';
+    const m = (0, locale_1.msg)().doctor;
+    const tools = (0, tools_1.toolsFor)((0, detect_1.detectStacks)(carregado.raiz).map(s => s.stack), (0, tools_1.loadTools)());
+    const faltando = tools.filter(t => types_1.LOOP_CATEGORIES.includes(t.category) && (0, executor_1.chooseExecutor)(t, probe).kind === 'unavailable');
+    if (probe.dockerCli() && probe.dockerDaemon())
+        return { nome, nivel: 'ok', detalhe: m.securityScanDocker };
+    if (faltando.length === 0)
+        return { nome, nivel: 'ok', detalhe: m.securityScanNativo };
+    const lista = faltando.map(t => `${t.category}/${t.name}`).join(', ');
+    const nativos = [...new Set(tools.filter(t => t.native && !t.install).map(t => t.native.bin))].join(', ');
+    return { nome, nivel: 'warn', detalhe: m.securityScanSemFerramenta(lista), correcao: m.securityScanCorrecao(nativos) };
+}
 /**
  * Roda todos os checks a partir do diretorio informado. RM-031: `analisadores` e o check do grafo
  * (`checarAnalisadoresDoGrafo` do CLI do grafo), que o `index.ts` passa: fora da familia do grafo so
  * ele e o worker do MCP a abrem (fronteira do KG1), e o doctor nao a importa.
  */
-function checar(dirInicial = process.cwd(), nomesHerdados = (0, runtime_ambiente_1.nomesDeProviderAtivos)(), lerCrontab = doctor_pulse_cron_1.lerCrontabDoSistema, conferirAuthDoClaude = () => adapter.conferirAuth(null), analisadores) {
+function checar(dirInicial = process.cwd(), nomesHerdados = (0, runtime_ambiente_1.nomesDeProviderAtivos)(), lerCrontab = doctor_pulse_cron_1.lerCrontabDoSistema, conferirAuthDoClaude = () => adapter.conferirAuth(null), analisadores, forja) {
     const checks = [];
     const major = versaoNode();
     checks.push({
@@ -450,6 +558,9 @@ function checar(dirInicial = process.cwd(), nomesHerdados = (0, runtime_ambiente
     // Fatia 2 do ensaio da 0.5.0 (P1): o manifesto e lido antes dos runtimes, porque e o setup dos
     // modos permitidos que diz se o `claude` e obrigatorio; a ordem das linhas do relatorio nao muda.
     const carregado = (0, manifest_1.carregarManifesto)(dirInicial);
+    const scan = checarSecurityScan(carregado);
+    if (scan)
+        checks.push(scan);
     const claude = adapter.disponivel();
     const v = claude ? adapter.versao() : null;
     checks.push(checarRuntimeClaude(carregado, claude, v, claude && !temPerfilAtivo(carregado, 'claude-bg') ? conferirAuthDoClaude() : null));
@@ -596,10 +707,19 @@ function checar(dirInicial = process.cwd(), nomesHerdados = (0, runtime_ambiente
             detalhe: estado.pedido === 'orkmind' && estado.efetivo === 'files'
                 ? (0, locale_1.msg)().doctor.regimeDegradado(estado.motivo, estado.detalhe)
                 : estado.efetivo === 'orkmind'
-                    ? (0, locale_1.msg)().doctor.regimeOrkmind(estado.tenant, estado.variavel)
+                    ? estado.fonteDaDsn === 'arquivo'
+                        ? (0, locale_1.msg)().doctor.regimeOrkmindPorArquivo(estado.tenant, estado.arquivoDaDsn ?? '')
+                        : (0, locale_1.msg)().doctor.regimeOrkmind(estado.tenant, estado.variavel)
                     : (0, locale_1.msg)().doctor.memoriaFiles,
             correcao: estado.pedido === 'orkmind' && estado.efetivo === 'files' ? estado.correcao : undefined,
         });
+        // RM-069: a fonte da DSN e a DSN no ambiente, so quando ha o que dizer (fonte declarada ou sessao despachada).
+        const fonteDaDsn = checarFonteDaDsn(context.loaded);
+        if (fonteDaDsn)
+            checks.push(fonteDaDsn);
+        const dsnNoAmbiente = checarDsnNoAmbiente(context.loaded);
+        if (dsnNoAmbiente)
+            checks.push(dsnNoAmbiente);
         checks.push(checarChaveDeEmbedding(context.loaded));
         // Bloco B3: a fila de rate limit e estado do mundo, nao detalhe interno. Uma fase
         // esperando janela e uma fase que NAO esta rodando, e quem olha o doctor precisa
@@ -638,11 +758,22 @@ function checar(dirInicial = process.cwd(), nomesHerdados = (0, runtime_ambiente
         const cronDoPulse = (0, doctor_pulse_cron_1.checarCronDoPulse)(path.join(dirEstadoProjeto, 'monitor'), (0, estado_thread_1.raizDoEstado)(carregado.raiz), lerCrontab);
         if (cronDoPulse)
             checks.push(cronDoPulse);
+        // RM-063 (fatia 3, H4): a falha do transporte do pulse (e o desvio para o outro host configurado) aparece aqui.
+        const transporte = (0, doctor_pulse_cron_1.checarTransporteDoPulse)(path.join(dirEstadoProjeto, 'monitor'));
+        if (transporte)
+            checks.push(transporte);
         checks.push(checarContas(carregado.raiz));
         // I-33 (D7): umask e permissoes do estado, na mesma regra do sensor (sem bits 0o022).
         checks.push(...(0, preflight_1.sondasDeAmbiente)(carregado.raiz));
+        // A forja do remoto (identidade, alcance, TLS, CLI, login, servidor, escopo, projeto, capacidades): so com o
+        // manifesto valido, e so quando a entrada do CLI a passa, como os analisadores.
+        if (forja && carregado.erros.length === 0)
+            checks.push(...forja(carregado));
         {
             const inventario = (0, sessoes_inventario_1.inventariarSessoes)(carregado.raiz, { global: true, todas: true });
+            const separacao = checarSeparacaoDaConducao(carregado.raiz, inventario);
+            if (separacao)
+                checks.push(separacao);
             // Fatia 2 do ensaio da 0.5.0 (P1): binario ausente e fonte ausente, dita no detalhe.
             const ausentes = inventario.fontes.filter((f) => f.ausente).map((f) => f.origem);
             checks.push({
@@ -692,8 +823,35 @@ function relatorio(checks) {
     return linhas.join('\n');
 }
 /** Executa o doctor e devolve o codigo de saida (0 = pronto). */
-function doctor(dirInicial = process.cwd(), nomesHerdados = (0, runtime_ambiente_1.nomesDeProviderAtivos)(), analisadores) {
-    const checks = checar(dirInicial, nomesHerdados, undefined, undefined, analisadores);
+function doctor(dirInicial = process.cwd(), nomesHerdados = (0, runtime_ambiente_1.nomesDeProviderAtivos)(), analisadores, forja) {
+    const checks = checar(dirInicial, nomesHerdados, undefined, undefined, analisadores, forja);
     const falhas = checks.filter((c) => c.nivel === 'fail').length;
     return { texto: relatorio(checks), codigo: falhas > 0 ? 1 : 0 };
 }
+exports.CONTRATO_DO_DOCTOR = 'ork.doctor/v1';
+function doctorJson(dirInicial = process.cwd(), nomesHerdados = (0, runtime_ambiente_1.nomesDeProviderAtivos)(), analisadores, lerCrontab = doctor_pulse_cron_1.lerCrontabDoSistema, forja) {
+    const checks = checar(dirInicial, nomesHerdados, lerCrontab, undefined, analisadores, forja);
+    const falhas = checks.filter((c) => c.nivel === 'fail').length;
+    const avisos = checks.filter((c) => c.nivel === 'warn').length;
+    let carregado = null;
+    try {
+        carregado = (0, manifest_1.carregarManifesto)(dirInicial);
+    }
+    catch {
+        carregado = null;
+    }
+    let batida = null;
+    if (carregado && !carregado.erros.length) {
+        const raiz = (0, estado_thread_1.raizDoEstado)(carregado.raiz);
+        try {
+            batida = (0, doctor_pulse_cron_1.batidaNoDoctor)(path.join(raiz, manifest_1.DIR_ESTADO, 'monitor'), raiz, { projeto: carregado.manifesto.project.name,
+                maquina: (0, maquina_1.nomeDaMaquina)(), ler: lerCrontab });
+        }
+        catch {
+            batida = null;
+        }
+    }
+    return { codigo: falhas > 0 ? 1 : 0, json: { contrato: exports.CONTRATO_DO_DOCTOR, consultadoEm: new Date().toISOString(),
+            veredito: falhas > 0 ? 'bloqueado' : 'pronto', falhas, avisos, projeto: carregado?.manifesto.project.name ?? null,
+            maquina: (0, maquina_1.nomeDaMaquina)(), checks, forja: forja ? 'medida' : 'nao-medida', batida } };
+}