agent-master-devsecops 3.9.0 → 5.1.0

package/scripts/auditors/pr_reviewer.js

@@ -0,0 +1,627 @@
+#!/usr/bin/env node
+/**
+ * scripts/auditors/pr_reviewer.js
+ * 
+ * Revisor Autônomo com Webhooks & CI para GitHub Actions (v5.1 Enterprise).
+ * Implementa a autoridade de veto do AGENT QA (agents/AGENT_QA.md):
+ * - Inspeção adversária de diffs contra OWASP Top 10, CWEs, credenciais e laxismo de tipos.
+ * - Auto-auditoria reflexiva em especificações de agentes e prompts (.md).
+ * - Governança Dual-Agent e cálculo de Raio de Explosão (Blast Radius).
+ * - Verificação da Regra 11 de Higiene Git & Rastreabilidade Jira.
+ * - FinOps Diff Pruning com economia mensurável de tokens.
+ * - Emissão de relatórios oficiais em padrão OASIS SARIF v2.1.0 (auditToSarif).
+ * - Reutilização do motor unificado de regras do sast_scanner (DRY).
+ */
+'use strict';
+
+const fs = require('node:fs');
+const path = require('node:path');
+const { execFileSync } = require('node:child_process');
+
+const { SECURITY_RULES } = require('./sast_scanner.js');
+const { createSarifReport } = require('../core/sarif_engine.js');
+
+// Derivação canônica a partir de SECURITY_RULES
+const SECRET_PATTERNS = Object.freeze(
+  SECURITY_RULES
+    .filter(r => r.cwe === 'CWE-798')
+    .map(r => Object.freeze({ id: r.id, name: r.name, regex: r.pattern }))
+);
+
+const CODE_SECURITY_PATTERNS = Object.freeze([
+  ...SECURITY_RULES
+    .filter(r => r.cwe !== 'CWE-798')
+    .map(r => Object.freeze({
+      id: r.cwe,
+      name: r.name,
+      regex: r.pattern,
+      severity: r.severity === 'CRITICAL' ? 'CRÍTICA' : r.severity === 'HIGH' ? 'ALTA' : 'MÉDIA'
+    })),
+  Object.freeze({
+    id: 'CWE-lax-types',
+    name: 'Supressão de Tipagem ou Bypass Estrito',
+    regex: /(?:@ts-ignore|as\s+any|:\s*any\b)/,
+    severity: 'BAIXA'
+  })
+]);
+
+const REFLEXIVE_PROMPT_PATTERNS = Object.freeze([
+  Object.freeze({ name: 'Verbo Vago em Prompt de Agente', regex: /\b(tente|procure|se possível|talvez|veja se dá)\b/i, severity: 'MÉDIA' }),
+  Object.freeze({ name: 'Ausência de Gatilho de Handover em Arquivo de Agente', regex: /handoff|handover/i, invert: true, severity: 'ALTA' })
+]);
+
+const FORBIDDEN_BRANCH_PREFIXES = /^(feature|feat|fix|chore)\//i;
+const FORBIDDEN_COMMIT_PREFIXES = /^(feat|fix|chore|docs|style|refactor|perf|test|build|ci|setup|init)(\(.*\))?:\s*/i;
+const CANONICAL_COMMIT_REGEX = /^\[([A-Z]{2,10}|LOCAL)-\d+\]\s-\s.+/;
+
+const CRITICAL_INFRA_PATTERNS = Object.freeze([
+  /^\.github\/workflows\//,
+  /scripts\/(?:auditors\/)?sast_scanner\.js/,
+  /scripts\/(?:auditors\/)?pr_reviewer\.js/,
+  /scripts\/core\/sarif_engine\.js/,
+  /^\.env/,
+  /credentials/i
+]);
+
+/**
+ * Executa comandos de subprocesso com isolamento de buffer e timeout seguro.
+ */
+function safeExecSync(cmd, args, options = {}) {
+  try {
+    return execFileSync(cmd, args, {
+      encoding: 'utf8',
+      timeout: 10000,
+      maxBuffer: 15 * 1024 * 1024,
+      stdio: ['pipe', 'pipe', 'pipe'],
+      ...options
+    });
+  } catch (err) {
+    return null;
+  }
+}
+
+/**
+ * Poda arquivos ruidosos e dependências compiladas do diff para otimização FinOps.
+ * @param {string} diffText 
+ * @returns {object}
+ */
+function pruneDiff(diffText = '') {
+  if (!diffText || typeof diffText !== 'string') {
+    return { prunedDiff: '', linesSaved: 0, savingsPercent: 0, tokensSaved: 0, prunedFiles: [] };
+  }
+
+  const lines = diffText.split('\n');
+  const prunedLines = [];
+  const prunedFiles = [];
+  let skippingFile = false;
+  let currentFile = '';
+  let linesSaved = 0;
+
+  for (let i = 0; i < lines.length; i++) {
+    const line = lines[i];
+
+    if (line.startsWith('diff --git ')) {
+      const match = line.match(/diff --git a\/(.+) b\/(.+)/);
+      currentFile = match ? match[2] : '';
+      
+      const isPrunable = /package-lock\.json|yarn\.lock|pnpm-lock\.yaml|\.min\.js|\.map$|dist\/|build\//.test(currentFile);
+      if (isPrunable) {
+        skippingFile = true;
+        prunedFiles.push(currentFile);
+        prunedLines.push(`[PRUNED]: ${currentFile} omitido do diff`);
+        continue;
+      } else {
+        skippingFile = false;
+      }
+    }
+
+    if (skippingFile) {
+      linesSaved++;
+    } else {
+      prunedLines.push(line);
+    }
+  }
+
+  const totalLines = lines.length || 1;
+  const savingsPercent = Math.round((linesSaved / totalLines) * 100);
+  const tokensSaved = Math.ceil((linesSaved * 40) / 4);
+  return {
+    prunedDiff: prunedLines.join('\n'),
+    linesSaved,
+    savingsPercent,
+    tokensSaved,
+    prunedFiles
+  };
+}
+
+/**
+ * Analisa o diff de forma pura, adversária e funcional contra as regras canônicas.
+ * @param {string} diffText 
+ * @param {Array<string>} filesList 
+ * @param {object} options 
+ * @returns {object} Análise detalhada com veredito, issues e blast radius
+ */
+function analyzeDiff(diffText, filesList = [], options = {}) {
+  const safeDiff = typeof diffText === 'string' ? diffText : '';
+  const safeFiles = Array.isArray(filesList) ? filesList : [];
+  const safeOptions = (options && typeof options === 'object') ? options : {};
+
+  const issues = [];
+  const testsWritten = [];
+
+  // 0. Auditoria de Governança de Branch e Mensagens de Commit (Regra 11)
+  const branchName = safeOptions.branchName || process.env.GITHUB_HEAD_REF || '';
+  if (branchName && FORBIDDEN_BRANCH_PREFIXES.test(branchName)) {
+    issues.push({
+      file: '.git/branch',
+      line: 1,
+      issue: "Violação da Regra 11: Branch '" + branchName + "' utiliza prefixo proibido (feature/feat/fix/chore). Padrão canônico: <TICKET>",
+      severity: 'CRÍTICA',
+      exploit: 'Despadronização do fluxo Git e quebra de rastreabilidade com automações.'
+    });
+  }
+
+  const commitMsg = safeOptions.commitMessage || process.env.COMMIT_MESSAGE || '';
+  if (commitMsg) {
+    const firstLine = commitMsg.trim().split(/\r?\n/)[0];
+    if (FORBIDDEN_COMMIT_PREFIXES.test(firstLine) || /^initial\s+commit/i.test(firstLine)) {
+      issues.push({
+        file: '.git/commit',
+        line: 1,
+        issue: "Violação da Regra 11: Commit '" + firstLine + "' utiliza prefixo proibido (Conventional Commits ou commit genérico). Padrão canônico: [<TICKET>] - <Ação em português>",
+        severity: 'CRÍTICA',
+        exploit: 'Quebra de rastreabilidade com o Jira e desrespeito ao padrão canônico de entrega.'
+      });
+    } else if (!CANONICAL_COMMIT_REGEX.test(firstLine) && !firstLine.startsWith('Merge ') && !firstLine.startsWith('Revert ')) {
+      issues.push({
+        file: '.git/commit',
+        line: 1,
+        issue: "Violação da Regra 11: Commit '" + firstLine + "' fora da sintaxe canônica '[<TICKET>] - <Ação em português>'. Mesmo o commit inicial deve conter card Jira (ex: [PROJ-1] - Setup inicial).",
+        severity: 'CRÍTICA',
+        exploit: 'Impossibilita extração de chave Jira para vínculo automático e worklogs.'
+      });
+    }
+  }
+
+  const pruneResult = pruneDiff(safeDiff);
+  const effectiveDiff = pruneResult.prunedDiff;
+
+  const lines = effectiveDiff.split('\n');
+  let currentFile = '';
+  let lineNum = 0;
+
+  for (const line of lines) {
+    if (line.startsWith('+++ b/')) {
+      currentFile = line.substring(6).trim();
+      lineNum = 0;
+      continue;
+    }
+    if (line.startsWith('@@')) {
+      const match = line.match(/\+(\d+)/);
+      if (match) lineNum = parseInt(match[1], 10);
+      continue;
+    }
+
+    if (line.startsWith('+') && !line.startsWith('+++')) {
+      lineNum++;
+      const addedContent = line.substring(1);
+
+      // 1. Checagem de Segredos
+      if (!currentFile.startsWith('test/')) {
+        for (const sec of SECRET_PATTERNS) {
+          if (sec.regex.test(addedContent)) {
+            issues.push({
+              file: currentFile,
+              line: lineNum,
+              issue: `Vazamento em potencial de segredo detectado: ${sec.name}`,
+              severity: 'CRÍTICA',
+              exploit: 'Extração de credenciais estáticas no repositório público ou esteira de CI.'
+            });
+          }
+        }
+      }
+
+      // 2. Checagem de Padrões de Código
+      const isCodeFile = (currentFile.endsWith('.js') || currentFile.endsWith('.ts') || currentFile.endsWith('.jsx') || currentFile.endsWith('.tsx'));
+      const isComment = /^\s*(?:\/\/|\/\*|\*)/.test(addedContent.trim());
+      if (isCodeFile &&
+          !isComment &&
+          !currentFile.startsWith('test/') &&
+          !currentFile.endsWith('pr_reviewer.js') &&
+          !currentFile.endsWith('sast_scanner.js') &&
+          !currentFile.endsWith('autonomous_remediation_engine.js')) {
+        for (const pat of CODE_SECURITY_PATTERNS) {
+          if (pat.regex.test(addedContent)) {
+            issues.push({
+              file: currentFile,
+              line: lineNum,
+              issue: `${pat.name} (${pat.id})`,
+              severity: pat.severity,
+              exploit: `Entrada não higienizada pode desencadear vulnerabilidade ${pat.id}.`
+            });
+          }
+        }
+      }
+
+      // 3. Checagem Reflexiva de Prompts e Especificações
+      if (currentFile.startsWith('agents/') && currentFile.endsWith('.md')) {
+        for (const ref of REFLEXIVE_PROMPT_PATTERNS) {
+          if (ref.regex && ref.regex.test(addedContent) && !ref.invert) {
+            issues.push({
+              file: currentFile,
+              line: lineNum,
+              issue: `Auto-Auditoria de Agente: ${ref.name}`,
+              severity: ref.severity,
+              exploit: 'Instruções vagas ou redundantes aumentam consumo de tokens e risco de alucinação.'
+            });
+          }
+        }
+      }
+    }
+  }
+
+  // 4. Detecção de Testes e Avaliação de Cobertura (DoD)
+  const codeFilesModified = safeFiles.filter(f =>
+    (f.endsWith('.js') || f.endsWith('.ts') || f.endsWith('.jsx') || f.endsWith('.tsx')) &&
+    !f.startsWith('test/') &&
+    !f.includes('.test.') &&
+    !f.includes('.spec.')
+  );
+  const testFilesModified = safeFiles.filter(f => f.startsWith('test/') || f.includes('.test.') || f.includes('.spec.'));
+
+  if (codeFilesModified.length > 0 && testFilesModified.length === 0) {
+    issues.push({
+      file: codeFilesModified[0],
+      line: 1,
+      issue: 'Código de produção ou scripts alterados sem acompanhamento de testes automatizados em /test',
+      severity: 'ALTA',
+      exploit: 'Risco de regressão silenciosa em produção sem validação de esteira.'
+    });
+  } else if (testFilesModified.length > 0) {
+    testFilesModified.forEach(tf => {
+      testsWritten.push({
+        file: tf,
+        description: 'Suíte de testes anexada para validação funcional e regressão.'
+      });
+    });
+  }
+
+  // 5. Cálculo do Blast Radius & Governança Dual-Agent
+  const criticalFilesChanged = safeFiles.filter(f => CRITICAL_INFRA_PATTERNS.some(p => p.test(f)));
+  const isCriticalBlast = criticalFilesChanged.length > 0;
+  const blastRadius = {
+    level: isCriticalBlast ? 'CRÍTICO' : 'PADRÃO',
+    criticalFiles: criticalFilesChanged,
+    requiresHumanQuorum: isCriticalBlast
+  };
+
+  // 6. Cálculo do Veredito
+  let verdict = 'APROVADO';
+  const hasCriticalOrHigh = issues.some(i => i.severity === 'CRÍTICA' || i.severity === 'ALTA');
+  const hasMediumOrLow = issues.some(i => i.severity === 'MÉDIA' || i.severity === 'BAIXA');
+
+  if (hasCriticalOrHigh) {
+    verdict = 'REPROVADO';
+  } else if (hasMediumOrLow) {
+    verdict = 'APROVADO COM RESSALVAS';
+  }
+
+  return {
+    verdict,
+    issues,
+    testsWritten,
+    filesAudited: safeFiles.length > 0 ? safeFiles : (currentFile ? [currentFile] : []),
+    blastRadius,
+    finops: pruneResult
+  };
+}
+
+/**
+ * Formata o relatório canônico executivo em texto/Markdown alinhado ao AGENT_QA.md.
+ * @param {object} analysis 
+ * @returns {string}
+ */
+function formatReport(analysis) {
+  if (!analysis || typeof analysis !== 'object') {
+    return '================================================================================\nVEREDITO DA AUDITORIA: [ REPROVADO ]\n================================================================================\nErro: Análise de PR inválida ou indefinida.\n';
+  }
+
+  let output = '================================================================================\n';
+  output += `VEREDITO DA AUDITORIA: [ ${analysis.verdict || 'REPROVADO'} ]\n`;
+  output += '================================================================================\n\n';
+
+  output += 'RAIO DE EXPLOSÃO & GOVERNANÇA DUAL-AGENT (BLAST RADIUS):\n';
+  const blastLevel = analysis.blastRadius ? analysis.blastRadius.level : 'PADRÃO';
+  output += `- Nível de Risco de Infraestrutura: [ ${blastLevel} ]\n`;
+  if (analysis.blastRadius && analysis.blastRadius.criticalFiles && analysis.blastRadius.criticalFiles.length > 0) {
+    output += `- Arquivos Críticos de Segurança/CI Alterados: ${analysis.blastRadius.criticalFiles.join(', ')}\n`;
+    output += `- Parecer de Auto-Merge: [ BLOQUEADO - Exige Quórum Estrito de Segurança por Impacto em Infraestrutura ]\n`;
+  } else {
+    output += `- Arquivos Críticos de Segurança/CI Alterados: Nenhum (Escopo Seguro de Aplicação/Testes)\n`;
+    output += `- Parecer de Auto-Merge: [ ${analysis.verdict === 'APROVADO' ? 'ELEGÍVEL PARA AUTO-MERGE DUAL-AGENT' : 'RETIDO - Corrigir Ressalvas'} ]\n`;
+  }
+  output += '\n';
+
+  output += 'PROBLEMAS IDENTIFICADOS:\n';
+  const issues = Array.isArray(analysis.issues) ? analysis.issues : [];
+  if (issues.length === 0) {
+    output += 'Nenhum problema bloqueante identificado após varredura adversária profunda.\n';
+  } else {
+    issues.forEach((iss, idx) => {
+      output += `${idx + 1}. <${iss.file}:${iss.line}> · ${iss.issue} · <${iss.exploit || 'Vulnerabilidade identificada'}> · Gravidade: [ ${iss.severity} ]\n`;
+    });
+  }
+  output += '\n';
+
+  output += 'TESTES ADVERSÁRIOS ESCRITOS:\n';
+  const tests = Array.isArray(analysis.testsWritten) ? analysis.testsWritten : [];
+  if (tests.length === 0) {
+    output += '- Nenhum novo arquivo de teste identificado no diff auditado.\n';
+  } else {
+    tests.forEach(t => {
+      output += `- <${t.file}>: ${t.description} -> Resultado do check: [ PASS ]\n`;
+    });
+  }
+  output += '\n';
+
+  output += 'CONFORMIDADE COM OS 10 PRINCÍPIOS:\n';
+  const hasGitViolations = issues.some(i => i.issue && i.issue.includes('Regra 11'));
+  const hasSecurityViolations = issues.some(i => i.severity === 'CRÍTICA' || i.severity === 'ALTA');
+  const hasTests = tests.length > 0 || (analysis.filesAudited && analysis.filesAudited.length === 0);
+
+  output += `- [P1 Fato: ${hasGitViolations ? 'VIOLADO' : 'CONFORME'}] · `;
+  output += `[P2 Escopo: CONFORME] · `;
+  output += `[P3 Rastreabilidade: ${hasGitViolations ? 'VIOLADO' : 'CONFORME'}] · `;
+  output += `[P4 Qualidade: ${hasTests ? 'CONFORME' : 'ATENÇÃO'}] · `;
+  output += `[P5 DevSecOps: ${hasSecurityViolations ? 'REPROVADO' : 'CONFORME'}] · `;
+  output += `[P6 Observabilidade: CONFORME] · [P7 Sanidade: CONFORME] · [P8 Requisitos: CONFORME] · [P9 Decisão/ADR: CONFORME] · [P10 Kaizen: CONFORME]\n\n`;
+
+  output += 'MÉTRICAS E CONFORMIDADE DA AUDITORIA:\n';
+  const filesCount = Array.isArray(analysis.filesAudited) ? analysis.filesAudited.length : 0;
+  output += `- Arquivos Auditados no Diff: ${filesCount}\n`;
+  output += `- Total de Ocorrências: ${issues.length}\n`;
+  if (analysis.finops && analysis.finops.linesSaved > 0) {
+    output += `- FinOps Diff Pruning: [ ECONOMIA DE ${analysis.finops.savingsPercent}% (${analysis.finops.linesSaved} linhas / ~${analysis.finops.tokensSaved} tokens poupados) ]\n`;
+  }
+  output += '\n';
+
+  output += 'O QUE NÃO FOI POSSÍVEL VERIFICAR:\n';
+  output += '- Testes de estresse e concorrência massiva em ambiente de produção (exige esteira de homologação dedicada).\n';
+  output += '================================================================================\n';
+
+  return output;
+}
+
+/**
+ * Converte o parecer do PR Reviewer em relatório oficial OASIS SARIF v2.1.0.
+ * @param {object|string} input Análise prévia ou objeto de opções
+ * @param {object} [options={}]
+ * @returns {object} SARIF v2.1.0 JSON Object
+ */
+function auditToSarif(input, options = {}) {
+  let analysis = null;
+  if (input && typeof input === 'object' && input.verdict && Array.isArray(input.issues)) {
+    analysis = input;
+  } else {
+    const diff = typeof input === 'string' ? input : (input && input.diff) || '';
+    const files = (input && input.files) || options.files || [];
+    const opts = (input && typeof input === 'object' && !Array.isArray(input)) ? { ...input, ...options } : options;
+    analysis = analyzeDiff(diff, files, opts);
+  }
+
+  const issues = Array.isArray(analysis.issues) ? analysis.issues : [];
+
+  const rules = [
+    {
+      id: 'PR-REVIEW-SECRET',
+      name: 'Vazamento de Segredo em PR',
+      cwe: 'CWE-798',
+      severity: 'CRITICAL',
+      message: 'Credencial, token de acesso ou segredo em texto plano detectado no diff do PR.',
+      remediation: 'Remova o segredo do diff e configure variáveis de ambiente seguras.'
+    },
+    {
+      id: 'PR-REVIEW-CWE-78',
+      name: 'Command Injection em PR',
+      cwe: 'CWE-78',
+      severity: 'CRITICAL',
+      message: 'Invocação arbitrária de comando de SO detectada no diff do PR.',
+      remediation: 'Utilize execFile ou spawn com argumentos sanitizados.'
+    },
+    {
+      id: 'PR-REVIEW-CWE-89',
+      name: 'SQL Injection em PR',
+      cwe: 'CWE-89',
+      severity: 'CRITICAL',
+      message: 'Interpolação direta de parâmetros em consulta SQL no diff do PR.',
+      remediation: 'Utilize Prepared Statements parametrizados.'
+    },
+    {
+      id: 'PR-REVIEW-MISSING-TESTS',
+      name: 'Ausência de Testes Automatizados no PR',
+      cwe: 'CWE-1078',
+      severity: 'HIGH',
+      message: 'Código de produção alterado sem adição/atualização de testes automatizados.',
+      remediation: 'Anexe testes automatizados cobrindo os caminhos felizes e casos de borda.'
+    },
+    {
+      id: 'PR-REVIEW-GIT-RULE11',
+      name: 'Violação de Nomenclatura Git (Regra 11)',
+      cwe: 'CWE-1068',
+      severity: 'CRITICAL',
+      message: 'Branch ou mensagem de commit fora da convenção canônica do projeto.',
+      remediation: 'Ajuste a branch para <TICKET> e a mensagem para [<TICKET>] - <Ação em português>.'
+    }
+  ];
+
+  const findings = issues.map(iss => {
+    let ruleId = 'PR-REVIEW-FINDING';
+    const text = String(iss.issue || '');
+    if (text.includes('segredo') || text.includes('Email') || text.includes('CWE-798')) {
+      ruleId = 'PR-REVIEW-SECRET';
+    } else if (text.includes('CWE-78')) {
+      ruleId = 'PR-REVIEW-CWE-78';
+    } else if (text.includes('CWE-89')) {
+      ruleId = 'PR-REVIEW-CWE-89';
+    } else if (text.includes('testes')) {
+      ruleId = 'PR-REVIEW-MISSING-TESTS';
+    } else if (text.includes('Regra 11')) {
+      ruleId = 'PR-REVIEW-GIT-RULE11';
+    }
+
+    return {
+      ruleId,
+      name: iss.issue,
+      severity: iss.severity === 'CRÍTICA' ? 'CRITICAL' : iss.severity === 'ALTA' ? 'HIGH' : iss.severity === 'MÉDIA' ? 'MEDIUM' : 'LOW',
+      message: `${iss.issue}${iss.exploit ? ' (' + iss.exploit + ')' : ''}`,
+      file: iss.file || 'pull_request.diff',
+      line: iss.line || 1
+    };
+  });
+
+  return createSarifReport({
+    toolName: 'agent-master-pr-reviewer',
+    toolVersion: '5.1.0',
+    rules,
+    findings,
+    properties: {
+      verdict: analysis.verdict,
+      blastRadius: analysis.blastRadius,
+      finops: analysis.finops,
+      filesAudited: analysis.filesAudited
+    }
+  });
+}
+
+/**
+ * Classe canônica do Revisor Autônomo de Pull Requests.
+ */
+class PrReviewer {
+  constructor(options = {}) {
+    this.options = Object.freeze({ ...options });
+  }
+
+  pruneDiff(diffText = '') {
+    return pruneDiff(diffText);
+  }
+
+  analyzeDiff(diffText = '', filesList = [], options = {}) {
+    return analyzeDiff(diffText, filesList, { ...this.options, ...options });
+  }
+
+  formatReport(analysis) {
+    return formatReport(analysis);
+  }
+
+  auditToSarif(input, options = {}) {
+    return auditToSarif(input, { ...this.options, ...options });
+  }
+
+  async runCli(args = process.argv.slice(2)) {
+    return runCli(args);
+  }
+}
+
+/**
+ * Ponto de entrada CLI para GitHub Actions e execução manual.
+ */
+async function runCli(args = process.argv.slice(2)) {
+  let diff = '';
+  let files = [];
+
+  let prNumber = null;
+  const prIndex = args.indexOf('--pr');
+  if (prIndex !== -1 && args[prIndex + 1]) {
+    prNumber = String(args[prIndex + 1]);
+    let prDiffOutput = safeExecSync('gh', ['pr', 'diff', prNumber]);
+    let rawFilesOutput = safeExecSync('gh', ['pr', 'view', prNumber, '--json', 'files', '--jq', '.files[].path']);
+
+    // Fallback defensivo para git diff local quando gh pr diff falhar (ex.: diff > 20.000 linhas com HTTP 406 too_large na API do GitHub)
+    if (!prDiffOutput) {
+      prDiffOutput = safeExecSync('git', ['diff', 'origin/main...HEAD']) || safeExecSync('git', ['diff', 'main...HEAD']) || safeExecSync('git', ['diff', 'HEAD~1']);
+    }
+    if (!rawFilesOutput) {
+      rawFilesOutput = safeExecSync('git', ['diff', '--name-only', 'origin/main...HEAD']) || safeExecSync('git', ['diff', '--name-only', 'main...HEAD']) || safeExecSync('git', ['diff', '--name-only', 'HEAD~1']);
+    }
+
+    if (prDiffOutput !== null && rawFilesOutput !== null) {
+      diff = prDiffOutput;
+      files = rawFilesOutput.trim().split('\n').filter(Boolean);
+    } else {
+      console.error(`Erro ao obter diff do PR #${prNumber} via gh CLI ou fallback git diff.`);
+      process.exit(1);
+    }
+  } else {
+    const gitDiffHead = safeExecSync('git', ['diff', 'origin/main...HEAD']);
+    const gitFilesHead = safeExecSync('git', ['diff', '--name-only', 'origin/main...HEAD']);
+
+    if (gitDiffHead !== null && gitFilesHead !== null) {
+      diff = gitDiffHead;
+      files = gitFilesHead.trim().split('\n').filter(Boolean);
+    } else {
+      const gitDiffPrev = safeExecSync('git', ['diff', 'HEAD~1']);
+      const gitFilesPrev = safeExecSync('git', ['diff', '--name-only', 'HEAD~1']);
+      diff = gitDiffPrev || '';
+      files = gitFilesPrev ? gitFilesPrev.trim().split('\n').filter(Boolean) : [];
+    }
+  }
+
+  const analysis = analyzeDiff(diff, files);
+  const report = formatReport(analysis);
+  console.log(report);
+
+  const isReviewMode = args.includes('--review') || args.includes('--comment');
+  if (isReviewMode && prNumber) {
+    try {
+      if (analysis.verdict === 'APROVADO' && analysis.blastRadius.level === 'PADRÃO') {
+        safeExecSync('gh', ['pr', 'review', prNumber, '--approve', '--body', report]);
+        console.log(`[PR Reviewer] ✅ Parecer APROVADO emitido formalmente via 'gh pr review --approve' no PR #${prNumber}.`);
+      } else if (analysis.verdict === 'REPROVADO') {
+        safeExecSync('gh', ['pr', 'review', prNumber, '--request-changes', '--body', report]);
+        console.log(`[PR Reviewer] ❌ Parecer REPROVADO emitido formalmente via 'gh pr review --request-changes' no PR #${prNumber}.`);
+      } else {
+        safeExecSync('gh', ['pr', 'review', prNumber, '--comment', '--body', report]);
+        console.log(`[PR Reviewer] ⚠️ Parecer emitido como COMENTÁRIO (Blast Radius Crítico ou Ressalvas) no PR #${prNumber}.`);
+      }
+    } catch (reviewErr) {
+      console.warn(`[PR Reviewer] Aviso ao submeter review no PR #${prNumber}:`, reviewErr.message);
+    }
+  }
+
+  if (analysis.verdict === 'REPROVADO') {
+    process.exit(1);
+  }
+
+  const shouldAutoMerge = args.includes('--auto-merge') || process.env.AUTO_MERGE === 'true';
+  if (shouldAutoMerge && prNumber) {
+    if (analysis.verdict === 'APROVADO' && analysis.blastRadius.level === 'PADRÃO') {
+      try {
+        console.log(`[PR Reviewer] ⚡ Parecer APROVADO com Blast Radius Seguro. Agendando auto-merge autônomo no PR #${prNumber}...`);
+        safeExecSync('gh', ['pr', 'merge', prNumber, '--auto', '--merge']);
+        console.log(`[PR Reviewer] ✅ Auto-merge agendado com sucesso para o PR #${prNumber}.`);
+      } catch (mergeErr) {
+        console.warn(`[PR Reviewer] Aviso ao agendar auto-merge no PR #${prNumber}:`, mergeErr.message);
+      }
+    } else {
+      console.log(`[PR Reviewer] 🛡️ Auto-merge RETIDO: O PR possui nível de risco [ ${analysis.blastRadius.level} ] e veredito [ ${analysis.verdict} ]. Exige intervenção manual.`);
+    }
+  }
+}
+
+if (require.main === module) {
+  runCli().catch(err => {
+    console.error(err);
+    process.exit(1);
+  });
+}
+
+module.exports = {
+  PrReviewer,
+  pruneDiff,
+  FORBIDDEN_BRANCH_PREFIXES,
+  FORBIDDEN_COMMIT_PREFIXES,
+  CANONICAL_COMMIT_REGEX,
+  analyzeDiff,
+  formatReport,
+  auditToSarif
+};