agent-master-devsecops 3.9.0 → 5.1.0

package/.cursorignore

@@ -1,23 +0,0 @@
-# .cursorignore - Blindagem de Contexto e Redução de Tokens para Agentes de IA
-# Impede a indexação vetorial (RAG) de arquivos utilitários, testes internos e documentação estática,
-# reduzindo custos em até ~35.000 tokens por sessão sem apagar nenhum arquivo físico.
-
-# 1. Suíte de Testes Unitários (Executados via Node.js, não precisam poluir contexto da LLM)
-test/
-*.test.js
-
-# 2. Artefatos de Build e Bookmarklets de Browser
-dist/
-dist/**
-*.html
-
-# 3. Baselines de Benchmark Numérico
-benchmarks/
-*.baseline.json
-
-# 4. Manuais Manuais de Instalação para Humanos (A IA não deve indexar)
-docs/RULES 16.4 SETUP.md
-
-# 5. Scripts de Shell e PowerShell Auxiliares
-scripts/*.ps1
-scripts/*.sh

package/agents/compact/AGENT_ORCHESTRATOR_COMPACTO.md

@@ -1,53 +0,0 @@
-=== AGENT ORCHESTRATOR & SUÍTE MULTI-AGENTE (LOCAL HIGH-DENSITY EDITION v3.6) ===
-[DIRETIVA SUPREMA]: Você é o AGENT ORCHESTRATOR da Suíte Multi-Agente (Orchestrator, UI/UX, DevSecOps, QA, Scrum e SRE). Atue como Arquiteto Staff, Engenheiro Prescritivo, Especialista em Segurança e Auditor Cético.
-[COMPATIBILIDADE]: Otimizado para modelos locais (Ollama, vLLM, LM Studio) e nuvem. Siga rigorosamente sem desvios.
-[MANDATO PRESCRITIVO]: Proibido encerrar com perguntas passivas ("o que deseja fazer?"). Declare o feito e prescreva o próximo passo já engatilhado.
-
-[17 REGRAS DE OURO NORMATIVAS]:
-R1. TDD Obrigatório: Escreva ou valide testes unitários ANTES de modificar código de produção.
-R2. Branching por Ticket: Trabalhe sempre em branch dedicada exclusivamente com o identificador <TICKET> (ex: PROJ-065878). Nunca comite direto em main.
-R3. Pull Request & CI: Todo merge exige PR formal no GitHub com 100% dos checks de CI (TruffleHog, testes e validação) verdes.
-R4. Zero Segredos (TruffleHog): NUNCA comite credenciais, arquivos .env, tokens de API ou chaves privadas.
-R5. Defesa DevSecOps & OWASP: Imunidade a CWE-78 (Cmd Injection), CWE-79 (XSS), CWE-89 (SQLi), CWE-116 (Sanitização) e CWE-1333 (ReDoS).
-R6. Observabilidade Nativa: Exponha /metrics no padrão Prometheus 0.0.4 (CPU, Heap/RSS, latências) e telemetria de fluxo.
-R7. Protocolo Dual-Layer: Chat curto e objetivo com tópicos separados por LINHA EM BRANCO DUPLA (\n\n) e links markdown clicáveis.
-R8. Bíblia Confluence: Toda decisão arquitetural exige novo ADR canônico no Confluence sincronizado em tempo real.
-R9. Governança Jira: Título limpo no Jira (sem [KEY] no summary); mova cards para 'Em andamento' (WIP <= 2) antes de codificar; transição atômica de sprints (zero telas vazias).
-R10. Zero Alucinação de Ferramenta: Valide empiricamente as capacidades de APIs externas (Jira, Confluence, GitHub) antes de propor mutações de estado.
-R11. Integridade de Documentação: Preserve comentários, docstrings e contratos de API pré-existentes.
-R12. Segurança Operacional: NUNCA execute comandos destrutivos (rm -rf, git reset --hard não planejado, drop database).
-R13. Ceticismo Adversário (AGENT_QA.md): Audite diffs com frieza cética; forneça testes de quebra; vete quebras de governança ou da Tríade.
-R14. Filtro de Sanidade de Ideias: Ideias em docs/IDEAS.md devem ter conexão 100% direta com o domínio e stack real do projeto.
-R15. Imutabilidade & Segredos Compulsórios: Requisitos do fluxo são imutáveis e inquebráveis. Valide e obtenha ativamente todas as credenciais (GitHub, Jira, Confluence) com zero falhas silenciosas.
-R16. Gate Compulsório da Tríade & Onboarding Bimodal: Veto absoluto a prompts de desenvolvimento de software (criação de código, endpoints ou refatoração) enquanto a Tríade (Git + Jira + Confluence) não estiver 100% configurada, certificada e operando sem falhas e sem alucinações. Diante de comandos prematuros de código, recuse a execução e prescreva a conclusão do roteiro inicial da Tríade.
-R17. Integridade Inviolável de Saída: Proibido truncar ou comprimir código (banido "// resto do código aqui" ou omitir imports para poupar tokens). A saída deve ser sempre 100% completa, compilável e com qualidade máxima pronta para produção.
-
-[TRÍPLICE REGISTRO CONTÍNUO]:
-1. Git: Branch estrita <TICKET> (sem feature/fix/chore) -> Testes locais -> Commit no formato [<TICKET>] - <Ações breves em português> (banidos Conventional Commits e commits sem ticket, inclusive commit inicial [PROJ-1]) -> PR formal -> CI verde -> Merge.
-2. Jira: 'A fazer' -> 'Em andamento' -> Comentário Canônico (15 seções) -> 'Concluído' com transição contínua de sprint.
-3. Confluence: Registro contínuo de novos ADRs e SPECs sincronizados atomicamente.
-
-[MODOS DE OPERAÇÃO]:
-- modo: orchestrator: Coordenação central prescritiva, triagem e despacho de tarefas.
-- modo: uiux: Design de interface, UX/UI, Heurísticas de Nielsen, acessibilidade WCAG 2.1 AA e Design Tokens.
-- modo: devsecops: Implementação de código robusto, arquitetura limpa e esteiras CI/CD.
-- modo: qa: Auditoria adversária independente de PR e governança (autoridade de veto).
-- modo: scrum: Gestão ágil, melhoria contínua (PDCA/Ishikawa), higiene de backlog e fluxo Lean ininterrupto.
-- modo: sre: Observabilidade contínua (/metrics), telemetria e auto-remediação.
-- modo: full-dev: Loop autônomo contínuo: estuda ideia -> implementa -> testa -> registra na Tríade -> avança sem parar.
-
-[PROTOCOLO DE RESPOSTA IMEDIATA ANTI-LATÊNCIA & ZERO-FILLER TTFT]:
-- Zero Filler / Zero Preâmbulo: Proibido iniciar com confirmações conversacionais ou preâmbulos vazios ("Com certeza...", "Vou criar a classe..."). Vá direto à chamada de ferramenta ou código executável, cortando de 4 a 8 segundos de buffer.
-- Scaffolding Atômico em 1 Turno (Fast-Path): Ao criar funcionalidades (Entity, Repo, Service, Controller, Test), gere toda a stack em 1 turno atômico via `agent_scaffold_feature`. Banidos múltiplos roundtrips sequenciais de 5 turnos.
-- Hot-State Cache & Perfil MCP Compacto: Status de Git e Auth operam sob cache em memória TTL (zero spawn de processos no Windows). Utilize perfil MCP `fast_dev` para cortar 80% do payload de schemas.
-
-[PROTOCOLO DE SAÍDA NO CHAT]:
-• **Feito 1** ([Jira TICKET](url) · [Commit abc](url))
-  Descrição direta do feito comprovado por testes.
-
-• **Feito 2** ([Confluence ADR](url) · [PR #X](url))
-  Detalhe objetivo do teste ou entrega.
-
-• **Próxima Ação Prescrita (Em Andamento)**
-  Indicação direta da próxima etapa prioritária sem perguntas passivas.
-(Obrigatória linha em branco dupla entre tópicos)

package/scripts/a11y_auditor.js

@@ -1,187 +0,0 @@
-#!/usr/bin/env node
-/**
- * scripts/a11y_auditor.js
- * 
- * Auditor de Acessibilidade Digital & Design Tokens — WCAG 2.1 AA (AGENT_UIUX / AGENT_QA).
- * Inspeciona componentes HTML, JSX e TSX contra violações de acessibilidade, contraste,
- * semântica WAI-ARIA, foco visível e padrões de usabilidade (Heurísticas de Nielsen).
- * 
- * Em estrita conformidade com a persona AGENT_UIUX.md e diretrizes de inclusão digital.
- */
-
-'use strict';
-
-const fs = require('node:fs');
-const path = require('node:path');
-
-const WCAG_RULES = [
-  {
-    id: 'WCAG-1.1.1',
-    criterion: 'Non-text Content (Nível A)',
-    name: 'Imagem sem texto alternativo (alt)',
-    severity: 'CRÍTICA',
-    pattern: /<(?:img|Image)\b(?![^>]*\balt\s*=)[^>]*>/i,
-    issue: 'Elemento de imagem não possui o atributo "alt" para tecnologias assistivas.',
-    remediation: 'Adicione alt="Descrição da imagem" ou alt="" acompanhado de role="presentation" para imagens puramente decorativas.'
-  },
-  {
-    id: 'WCAG-4.1.2-BTN',
-    criterion: 'Name, Role, Value (Nível A)',
-    name: 'Botão interativo sem rótulo acessível',
-    severity: 'ALTA',
-    pattern: /<(?:button)\b(?![^>]*\b(?:aria-label|aria-labelledby|title)\s*=)[^>]*>\s*<(?:svg|i|span)\b[^>]*>\s*<\/(?:svg|i|span)>\s*<\/button>/i,
-    issue: 'Botão contendo apenas ícone sem aria-label, aria-labelledby ou texto acessível.',
-    remediation: 'Inclua aria-label="Ação do botão" ou texto acessível visível/oculto via classe sr-only.'
-  },
-  {
-    id: 'WCAG-1.3.1-INPUT',
-    criterion: 'Info and Relationships (Nível A)',
-    name: 'Campo de entrada (input) sem rótulo associado',
-    severity: 'CRÍTICA',
-    pattern: /<(?:input)\b(?![^>]*\b(?:type=["'](?:hidden|submit|button|image)["']))(?![^>]*\b(?:aria-label|aria-labelledby|id\s*=))[^>]*>/i,
-    issue: 'Elemento <input> não possui id para pareamento com <label htmlFor="..."> nem aria-label.',
-    remediation: 'Adicione um id único ao input pareado com <label htmlFor="id"> ou declare aria-label.'
-  },
-  {
-    id: 'WCAG-2.4.4-LINK',
-    criterion: 'Link Purpose (In Context) (Nível A)',
-    name: 'Link com texto vago ou não descritivo',
-    severity: 'MÉDIA',
-    pattern: /<a\b[^>]*>\s*(?:clique aqui|click here|saiba mais|read more|veja mais|link)\s*<\/a>/i,
-    issue: 'Texto de link ambíguo ("clique aqui", "saiba mais") que prejudica a navegação cega por links.',
-    remediation: 'Substitua por texto descritivo do destino (ex: "Consulte o catálogo de livros").'
-  },
-  {
-    id: 'WCAG-2.4.7-FOCUS',
-    criterion: 'Focus Visible (Nível AA)',
-    name: 'Supressão de contorno de foco sem anel acessível',
-    severity: 'ALTA',
-    pattern: /className=["'][^"']*\boutline-none\b(?![^"']*\b(?:focus-visible:|focus:ring|focus:border))[^"']*["']/i,
-    issue: 'Uso de outline-none sem definição de anel alternativo de foco (focus-visible / focus:ring).',
-    remediation: 'Mantenha o foco visível para usuários de teclado adicionando classes como "focus-visible:ring-2 focus-visible:ring-blue-500".'
-  },
-  {
-    id: 'WCAG-2.4.3-TABINDEX',
-    criterion: 'Focus Order (Nível A)',
-    name: 'Uso de tabindex positivo (anti-pattern)',
-    severity: 'MÉDIA',
-    pattern: /\btabIndex\s*=\s*(?:\{[1-9][0-9]*\}|["'][1-9][0-9]*["'])/i,
-    issue: 'tabindex maior que zero altera a ordem natural de tabulação do DOM.',
-    remediation: 'Utilize tabindex="0" para incluir o elemento no fluxo natural ou reorganize a ordem dos elementos no DOM.'
-  },
-  {
-    id: 'WCAG-3.1.1-LANG',
-    criterion: 'Language of Page (Nível A)',
-    name: 'Documento HTML sem atributo de idioma (lang)',
-    severity: 'ALTA',
-    pattern: /<html\b(?![^>]*\blang\s*=)[^>]*>/i,
-    issue: 'Tag <html> sem atributo lang, impedindo sintetizadores de voz de carregar a pronúncia correta.',
-    remediation: 'Declare o idioma principal do documento: <html lang="pt-BR">.'
-  }
-];
-
-class A11yAuditor {
-  constructor(rules = WCAG_RULES) {
-    this.rules = rules;
-  }
-
-  auditCode(code, filename = 'component.tsx') {
-    const lines = code.split('\n');
-    const violations = [];
-
-    // 1. Varredura por linha para regras com correspondência em linha única
-    lines.forEach((line, index) => {
-      const lineNum = index + 1;
-      for (const rule of this.rules) {
-        if (rule.pattern.test(line)) {
-          violations.push({
-            ruleId: rule.id,
-            wcagCriterion: rule.criterion,
-            name: rule.name,
-            severity: rule.severity,
-            line: lineNum,
-            snippet: line.trim().slice(0, 100),
-            issue: rule.issue,
-            remediation: rule.remediation
-          });
-        }
-      }
-    });
-
-    // 2. Varredura no bloco completo (para tags multilinhas)
-    for (const rule of this.rules) {
-      if (rule.pattern.global) {
-        const matches = code.matchAll(rule.pattern);
-        for (const match of matches) {
-          const charIndex = match.index || 0;
-          const lineNum = code.slice(0, charIndex).split('\n').length;
-          if (!violations.some(v => v.ruleId === rule.id && v.line === lineNum)) {
-            violations.push({
-              ruleId: rule.id,
-              wcagCriterion: rule.criterion,
-              name: rule.name,
-              severity: rule.severity,
-              line: lineNum,
-              snippet: match[0].trim().slice(0, 100),
-              issue: rule.issue,
-              remediation: rule.remediation
-            });
-          }
-        }
-      }
-    }
-
-    const criticalCount = violations.filter(v => v.severity === 'CRÍTICA').length;
-    const highCount = violations.filter(v => v.severity === 'ALTA').length;
-    const mediumCount = violations.filter(v => v.severity === 'MÉDIA').length;
-
-    let verdict = 'APROVADO';
-    if (criticalCount > 0 || highCount > 0) {
-      verdict = 'REPROVADO';
-    } else if (mediumCount > 0) {
-      verdict = 'COM RESSALVAS';
-    }
-
-    return {
-      filename,
-      wcagTarget: 'WCAG 2.1 Nível AA',
-      verdict,
-      status: verdict === 'APROVADO' ? 'PASSED' : 'FAILED',
-      summary: {
-        totalViolations: violations.length,
-        criticalCount,
-        highCount,
-        mediumCount
-      },
-      violations
-    };
-  }
-
-  formatReport(audit) {
-    let md = `## ♿ Relatório de Auditoria de Acessibilidade (WCAG 2.1 AA — AGENT UI/UX)\n\n`;
-    md += `**Alvo:** \`${audit.filename}\` | **Veredito:** ${audit.verdict === 'APROVADO' ? '✅ APROVADO' : audit.verdict === 'REPROVADO' ? '❌ REPROVADO' : '⚠️ COM RESSALVAS'}\n\n`;
-    md += `### 📊 Sumário Executivo de Inclusão\n`;
-    md += `- **Violações Críticas (Impede Leitor de Tela):** ${audit.summary.criticalCount}\n`;
-    md += `- **Violações Altas (Navegação/Foco):** ${audit.summary.highCount}\n`;
-    md += `- **Ressalvas Médias:** ${audit.summary.mediumCount}\n\n`;
-
-    if (audit.violations.length > 0) {
-      md += `### ⚠️ Apontamentos de Acessibilidade Detectados\n\n`;
-      md += `| Linha | Critério WCAG | Severidade | Problema | Remediação Recomendada |\n`;
-      md += `| :---: | :--- | :---: | :--- | :--- |\n`;
-      for (const v of audit.violations) {
-        md += `| ${v.line} | **${v.wcagCriterion}** (${v.ruleId}) | **${v.severity}** | ${v.issue} | ${v.remediation} |\n`;
-      }
-      md += '\n';
-    } else {
-      md += `> 🌟 **Componente Acessível:** Nenhuma violação detectada. O componente atende às diretrizes WCAG 2.1 AA.\n\n`;
-    }
-
-    return md;
-  }
-}
-
-module.exports = {
-  A11yAuditor,
-  WCAG_RULES
-};

package/scripts/ast_skeletonizer.js

@@ -1,220 +0,0 @@
-/**
- * scripts/ast_skeletonizer.js
- * 
- * Extrator Canônico de Esqueleto de Código & Contratos de Interface (Rule 9 — Work Loop).
- * "From other modules, read only what they expose (types, function signatures, schemas), never their inner code."
- * 
- * Remove corpos de métodos e implementações internas de classes, gerando um esqueleto com alta
- * densidade semântica para prompts de agentes, economizando entre 80% e 92% de tokens de contexto.
- * Suporta JavaScript/TypeScript, Java e Python.
- */
-
-'use strict';
-
-class AstSkeletonizer {
-  constructor(options = {}) {
-    this.charsPerToken = options.charsPerToken || 3.8;
-  }
-
-  estimateTokens(text = '') {
-    if (!text) return 0;
-    return Math.max(1, Math.ceil(text.length / this.charsPerToken));
-  }
-
-  /**
-   * Esqueletiza código Java (Remove corpos de métodos mantendo anotações, assinaturas e interfaces)
-   */
-  skeletonizeJava(code = '') {
-    const lines = code.split(/\r?\n/);
-    const resultLines = [];
-    let insideMethodBody = false;
-    let braceDepth = 0;
-
-    for (let i = 0; i < lines.length; i++) {
-      const line = lines[i];
-      const trimmed = line.trim();
-
-      if (!insideMethodBody) {
-        if (trimmed.startsWith('package ') || trimmed.startsWith('import ') || trimmed.startsWith('@') ||
-            trimmed.startsWith('//') || trimmed.startsWith('/*') || trimmed.startsWith('*') ||
-            trimmed.includes('class ') || trimmed.includes('interface ') || trimmed.includes('enum ') ||
-            trimmed === '' || trimmed === '}') {
-          resultLines.push(line);
-          continue;
-        }
-
-        const isMethodSignature = /\b(public|protected|private|static|final|default)\b.*\(.*\).*/.test(trimmed);
-        if (isMethodSignature) {
-          if (trimmed.endsWith('{')) {
-            const signature = line.substring(0, line.lastIndexOf('{')).trimEnd();
-            resultLines.push(`${signature} { /* implementation omitted */ }`);
-            insideMethodBody = true;
-            braceDepth = 1;
-            continue;
-          } else if (trimmed.endsWith(';')) {
-            resultLines.push(line);
-            continue;
-          }
-        }
-
-        resultLines.push(line);
-      } else {
-        for (const char of line) {
-          if (char === '{') braceDepth++;
-          if (char === '}') braceDepth--;
-        }
-        if (braceDepth <= 0) {
-          insideMethodBody = false;
-          braceDepth = 0;
-        }
-      }
-    }
-
-    return resultLines.join('\n');
-  }
-
-  /**
-   * Esqueletiza código JS/TS (Mantém exports, interfaces, types e assinaturas, remove corpos de função)
-   */
-  skeletonizeJsTs(code = '') {
-    const lines = code.split(/\r?\n/);
-    const resultLines = [];
-    let insideFunction = false;
-    let braceDepth = 0;
-
-    for (let i = 0; i < lines.length; i++) {
-      const line = lines[i];
-      const trimmed = line.trim();
-
-      if (!insideFunction) {
-        // Preserva imports, declarações de classe, interfaces, types e comentários
-        if (trimmed.startsWith('import ') || trimmed.startsWith('export type ') || trimmed.startsWith('export interface ') ||
-            trimmed.startsWith('type ') || trimmed.startsWith('interface ') || trimmed.startsWith('//') ||
-            trimmed.startsWith('/*') || trimmed.startsWith('*') || (trimmed.startsWith('const ') && trimmed.includes('require(')) ||
-            trimmed.includes('class ') || trimmed === '' || trimmed === '}') {
-          resultLines.push(line);
-          continue;
-        }
-
-        // Detecta funções soltas ou métodos de classe com abertura de chaves
-        const isFuncOrMethod = /\b(function|async|get|set|static)\b|\b[\w$]+\s*\([^)]*\)\s*[:\w\s<>]*\{/.test(trimmed);
-        if (isFuncOrMethod && trimmed.includes('{')) {
-          const lastBrace = line.lastIndexOf('{');
-          const signature = line.substring(0, lastBrace).trimEnd();
-          resultLines.push(`${signature} { /* implementation */ }`);
-
-          // Checa se a função abriu e fechou na mesma linha
-          let lineDepth = 0;
-          for (let c = lastBrace; c < line.length; c++) {
-            if (line[c] === '{') lineDepth++;
-            if (line[c] === '}') lineDepth--;
-          }
-          if (lineDepth > 0) {
-            insideFunction = true;
-            braceDepth = lineDepth;
-          }
-          continue;
-        }
-
-        resultLines.push(line);
-      } else {
-        for (const char of line) {
-          if (char === '{') braceDepth++;
-          if (char === '}') braceDepth--;
-        }
-        if (braceDepth <= 0) {
-          insideFunction = false;
-          braceDepth = 0;
-        }
-      }
-    }
-
-    return resultLines.join('\n');
-  }
-
-  /**
-   * Esqueletiza código Python (Mantém defs, classes e docstrings; substitui corpos por ...)
-   */
-  skeletonizePython(code = '') {
-    const lines = code.split(/\r?\n/);
-    const resultLines = [];
-    let insideFunction = false;
-    let functionIndent = 0;
-
-    for (let i = 0; i < lines.length; i++) {
-      const line = lines[i];
-      const trimmed = line.trim();
-      const currentIndent = (line.match(/^\s*/) || [''])[0].length;
-
-      if (insideFunction) {
-        if (trimmed === '') continue;
-        if (currentIndent <= functionIndent && !trimmed.startsWith('#')) {
-          insideFunction = false;
-        } else {
-          // Preserva docstring de 1 linha logo após o def se houver
-          if ((trimmed.startsWith('"""') || trimmed.startsWith("'''")) && !resultLines[resultLines.length - 1].includes('...')) {
-            resultLines.push(line);
-            resultLines.push(' '.repeat(functionIndent + 4) + '...');
-          }
-          continue;
-        }
-      }
-
-      if (trimmed.startsWith('def ') && trimmed.endsWith(':')) {
-        resultLines.push(line);
-        insideFunction = true;
-        functionIndent = currentIndent;
-
-        // Se a próxima linha for docstring, será tratada na iteração seguinte; caso contrário insere ...
-        const nextLine = lines[i + 1] ? lines[i + 1].trim() : '';
-        if (!nextLine.startsWith('"""') && !nextLine.startsWith("'''")) {
-          resultLines.push(' '.repeat(functionIndent + 4) + '...');
-        }
-        continue;
-      }
-
-      resultLines.push(line);
-    }
-
-    return resultLines.join('\n');
-  }
-
-  skeletonize(code = '', language = 'javascript') {
-    const lang = String(language).toLowerCase().trim();
-    let skeleton = '';
-
-    if (lang === 'java' || lang === 'jvm') {
-      skeleton = this.skeletonizeJava(code);
-    } else if (lang.includes('python') || lang.includes('py')) {
-      skeleton = this.skeletonizePython(code);
-    } else {
-      skeleton = this.skeletonizeJsTs(code);
-    }
-
-    const originalTokens = this.estimateTokens(code);
-    const skeletonTokens = this.estimateTokens(skeleton);
-    const tokensSaved = Math.max(0, originalTokens - skeletonTokens);
-    const reductionPercent = originalTokens > 0 ? Math.round((tokensSaved / originalTokens) * 100) : 0;
-
-    return {
-      language: lang,
-      originalLines: code.split(/\r?\n/).length,
-      skeletonLines: skeleton.split(/\r?\n/).length,
-      originalTokens,
-      skeletonTokens,
-      tokensSaved,
-      reductionPercent,
-      skeletonCode: skeleton
-    };
-  }
-}
-
-function extractCodeSkeleton(code, language = 'javascript') {
-  const skeletonizer = new AstSkeletonizer();
-  return skeletonizer.skeletonize(code, language);
-}
-
-module.exports = {
-  AstSkeletonizer,
-  extractCodeSkeleton
-};