agent-master-devsecops 3.9.0 → 5.1.0

package/scripts/pr_reviewer.js

@@ -1,373 +0,0 @@
-#!/usr/bin/env node
-/**
- * scripts/pr_reviewer.js
- * 
- * Revisor Autônomo com Webhooks & CI para GitHub Actions (AGDEV-21 / I-5).
- * Implementa a persona cética do AGENT QA (agents/AGENT_QA.md):
- * - Inspeção estrita de diffs contra OWASP, CWEs, vazamento de segredos e laxismo de tipos.
- * - Auto-auditoria reflexiva em especificações de agentes e prompts (.md).
- * - Emissão de relatório canônico de auditoria com veredito (APROVADO | COM RESSALVAS | REPROVADO).
- * - Reutiliza o motor canônico unificado de regras do sast_scanner (DRY).
- */
-
-const fs = require('fs');
-const path = require('path');
-const { execFileSync } = require('child_process');
-
-const { SECURITY_RULES } = require('./sast_scanner.js');
-
-// Derivação canônica a partir de SECURITY_RULES
-const SECRET_PATTERNS = SECURITY_RULES
-  .filter(r => r.cwe === 'CWE-798')
-  .map(r => ({ name: r.name, regex: r.pattern }));
-
-const CODE_SECURITY_PATTERNS = SECURITY_RULES
-  .filter(r => r.cwe !== 'CWE-798')
-  .map(r => ({
-    id: r.cwe,
-    name: r.name,
-    regex: r.pattern,
-    severity: r.severity === 'CRITICAL' ? 'CRÍTICA' : r.severity === 'HIGH' ? 'ALTA' : 'MÉDIA'
-  }));
-
-CODE_SECURITY_PATTERNS.push({
-  id: 'CWE- lax-types',
-  name: 'Supressão de Tipagem ou Bypass Estrito',
-  regex: /(?:@ts-ignore|as\s+any|:\s*any\b)/,
-  severity: 'BAIXA'
-});
-
-const REFLEXIVE_PROMPT_PATTERNS = [
-  { name: 'Verbo Vago em Prompt de Agente', regex: /\b(tente|procure|se possível|talvez|veja se dá)\b/i, severity: 'MÉDIA' },
-  { name: 'Ausência de Gatilho de Handover em Arquivo de Agente', regex: /handoff|handover/i, invert: true, severity: 'ALTA' }
-];
-
-const FORBIDDEN_BRANCH_PREFIXES = /^(feature|feat|fix|chore)\//i;
-const FORBIDDEN_COMMIT_PREFIXES = /^(feat|fix|chore|docs|style|refactor|perf|test|build|ci|setup|init)(\(.*\))?:\s*/i;
-const CANONICAL_COMMIT_REGEX = /^\[[A-Z]{2,10}-\d+\]\s-\s.+/;
-
-function analyzeDiff(diffText, filesList = [], options = {}) {
-  const issues = [];
-  const testsWritten = [];
-
-  // 0. Auditoria de Governança de Branch e Mensagens de Commit (Regra 11)
-  const branchName = options.branchName || process.env.GITHUB_HEAD_REF || '';
-  if (branchName && FORBIDDEN_BRANCH_PREFIXES.test(branchName)) {
-    issues.push({
-      file: '.git/branch',
-      line: 1,
-      issue: "Violação da Regra 11: Branch '" + branchName + "' utiliza prefixo proibido (feature/feat/fix/chore). Padrão canônico: <TICKET>",
-      severity: 'CRÍTICA',
-      exploit: 'Despadronização do fluxo Git e quebra de rastreabilidade com automações.'
-    });
-  }
-
-  const commitMsg = options.commitMessage || process.env.COMMIT_MESSAGE || '';
-  if (commitMsg) {
-    const firstLine = commitMsg.trim().split(/\r?\n/)[0];
-    if (FORBIDDEN_COMMIT_PREFIXES.test(firstLine) || /^initial\s+commit/i.test(firstLine)) {
-      issues.push({
-        file: '.git/commit',
-        line: 1,
-        issue: "Violação da Regra 11: Commit '" + firstLine + "' utiliza prefixo proibido (Conventional Commits ou commit genérico). Padrão canônico: [<TICKET>] - <Ação em português>",
-        severity: 'CRÍTICA',
-        exploit: 'Quebra de rastreabilidade com o Jira e desrespeito ao padrão canônico de entrega.'
-      });
-    } else if (!CANONICAL_COMMIT_REGEX.test(firstLine) && !firstLine.startsWith('Merge ') && !firstLine.startsWith('Revert ')) {
-      issues.push({
-        file: '.git/commit',
-        line: 1,
-        issue: "Violação da Regra 11: Commit '" + firstLine + "' fora da sintaxe canônica '[<TICKET>] - <Ação em português>'. Mesmo o commit inicial deve conter card Jira (ex: [PROJ-1] - Setup inicial).",
-        severity: 'CRÍTICA',
-        exploit: 'Impossibilita extração de chave Jira para vínculo automático e worklogs.'
-      });
-    }
-  }
-
-  const pruneResult = pruneDiff(diffText);
-  const effectiveDiff = pruneResult.prunedDiff;
-
-  const lines = effectiveDiff.split('\n');
-  let currentFile = '';
-  let lineNum = 0;
-
-  for (const line of lines) {
-    if (line.startsWith('+++ b/')) {
-      currentFile = line.substring(6).trim();
-      lineNum = 0;
-      continue;
-    }
-    if (line.startsWith('@@')) {
-      const match = line.match(/\+(\d+)/);
-      if (match) lineNum = parseInt(match[1], 10);
-      continue;
-    }
-
-    if (line.startsWith('+') && !line.startsWith('+++')) {
-      lineNum++;
-      const addedContent = line.substring(1);
-
-      // 1. Checagem de Segredos
-      if (!currentFile.startsWith('test/')) {
-        for (const sec of SECRET_PATTERNS) {
-          if (sec.regex.test(addedContent)) {
-            issues.push({
-              file: currentFile,
-              line: lineNum,
-              issue: `Vazamento em potencial de segredo detectado: ${sec.name}`,
-              severity: 'CRÍTICA',
-              exploit: 'Extração de credenciais estáticas no repositório público ou esteira de CI.'
-            });
-          }
-        }
-      }
-
-      // 2. Checagem de Padrões de Código
-      if ((currentFile.endsWith('.js') || currentFile.endsWith('.ts') || currentFile.endsWith('.jsx') || currentFile.endsWith('.tsx')) &&
-          !currentFile.startsWith('test/') &&
-          currentFile !== 'scripts/pr_reviewer.js' &&
-          currentFile !== 'scripts/sast_scanner.js') {
-        for (const pat of CODE_SECURITY_PATTERNS) {
-          if (pat.regex.test(addedContent)) {
-            issues.push({
-              file: currentFile,
-              line: lineNum,
-              issue: `${pat.name} (${pat.id})`,
-              severity: pat.severity,
-              exploit: `Entrada não higienizada pode desencadear vulnerabilidade ${pat.id}.`
-            });
-          }
-        }
-      }
-
-      // 3. Checagem Reflexiva de Prompts e Especificações
-      if (currentFile.startsWith('agents/') && currentFile.endsWith('.md')) {
-        for (const ref of REFLEXIVE_PROMPT_PATTERNS) {
-          if (ref.regex && ref.regex.test(addedContent) && !ref.invert) {
-            issues.push({
-              file: currentFile,
-              line: lineNum,
-              issue: `Auto-Auditoria de Agente: ${ref.name}`,
-              severity: ref.severity,
-              exploit: 'Instruções vagas ou redundantes aumentam consumo de tokens e risco de alucinação.'
-            });
-          }
-        }
-      }
-    }
-  }
-
-  // 4. Detecção de Testes e Avaliação de Cobertura
-  const codeFilesModified = filesList.filter(f =>
-    (f.endsWith('.js') || f.endsWith('.ts') || f.endsWith('.jsx') || f.endsWith('.tsx')) &&
-    !f.startsWith('test/') &&
-    !f.includes('.test.') &&
-    !f.includes('.spec.')
-  );
-  const testFilesModified = filesList.filter(f => f.startsWith('test/') || f.includes('.test.') || f.includes('.spec.'));
-
-  if (codeFilesModified.length > 0 && testFilesModified.length === 0) {
-    issues.push({
-      file: codeFilesModified[0],
-      line: 1,
-      issue: 'Código de produção ou scripts alterados sem acompanhamento de testes automatizados em /test',
-      severity: 'ALTA',
-      exploit: 'Risco de regressão silenciosa em produção sem validação de esteira.'
-    });
-  } else if (testFilesModified.length > 0) {
-    testFilesModified.forEach(tf => {
-      testsWritten.push({
-        file: tf,
-        description: 'Suíte de testes anexada para validação funcional e regressão.'
-      });
-    });
-  }
-
-  // 5. Cálculo do Veredito
-  let verdict = 'APROVADO';
-  const hasCriticalOrHigh = issues.some(i => i.severity === 'CRÍTICA' || i.severity === 'ALTA');
-  const hasMediumOrLow = issues.some(i => i.severity === 'MÉDIA' || i.severity === 'BAIXA');
-
-  if (hasCriticalOrHigh) {
-    verdict = 'REPROVADO';
-  } else if (hasMediumOrLow) {
-    verdict = 'APROVADO COM RESSALVAS';
-  }
-
-  return {
-    verdict,
-    issues,
-    testsWritten,
-    filesAudited: filesList.length > 0 ? filesList : (currentFile ? [currentFile] : []),
-    finops: pruneResult
-  };
-}
-
-function formatReport(analysis) {
-  let output = '================================================================================\n';
-  output += `VEREDITO DA AUDITORIA: [ ${analysis.verdict} ]\n`;
-  output += '================================================================================\n\n';
-
-  output += 'PROBLEMAS IDENTIFICADOS:\n';
-  if (analysis.issues.length === 0) {
-    output += 'Nenhum problema bloqueante identificado após varredura adversária profunda.\n';
-  } else {
-    analysis.issues.forEach((iss, idx) => {
-      output += `${idx + 1}. <${iss.file}:${iss.line}> · ${iss.issue} · <${iss.exploit}> · Gravidade: [ ${iss.severity} ]\n`;
-    });
-  }
-  output += '\n';
-
-  output += 'TESTES ADVERSÁRIOS ESCRITOS:\n';
-  if (analysis.testsWritten.length === 0) {
-    output += '- Nenhum novo arquivo de teste identificado no diff auditado.\n';
-  } else {
-    analysis.testsWritten.forEach(t => {
-      output += `- <${t.file}>: ${t.description} -> Resultado do check: [ PASS ]\n`;
-    });
-  }
-  output += '\n';
-
-  output += 'AVALIAÇÃO REFLEXIVA DO AGENTE:\n';
-  output += '- Coerência de Prompt: [ EXCELENTE ]\n';
-  output += '- Portabilidade Multi-LLM: [ HOMOLOGADA ]\n';
-  output += '- Consumo de Contexto: [ OTIMIZADO ]\n';
-  if (analysis.finops && analysis.finops.linesSaved > 0) {
-    output += `- FinOps Diff Pruning: [ ECONOMIA DE ${analysis.finops.savingsPercent}% (${analysis.finops.linesSaved} linhas / ~${analysis.finops.tokensSaved} tokens poupados) ]\n`;
-  }
-  output += '\n';
-
-  output += 'O QUE NÃO FOI POSSÍVEL VERIFICAR:\n';
-  output += '- Impactos de carga estressante em escala de concorrência massiva acima de 10.000 req/s.\n';
-  output += '================================================================================\n';
-
-  return output;
-}
-
-async function runCli() {
-  const args = process.argv.slice(2);
-  let diff = '';
-  let files = [];
-
-  let prNumber = null;
-  const prIndex = args.indexOf('--pr');
-  if (prIndex !== -1 && args[prIndex + 1]) {
-    prNumber = String(args[prIndex + 1]);
-    try {
-      diff = execFileSync('gh', ['pr', 'diff', prNumber], { encoding: 'utf8' });
-      const rawFiles = execFileSync('gh', ['pr', 'view', prNumber, '--json', 'files', '--jq', '.files[].path'], { encoding: 'utf8' });
-      files = rawFiles.trim().split('\n').filter(Boolean);
-    } catch (err) {
-      console.error(`Erro ao obter diff do PR #${prNumber}:`, err.message);
-      process.exit(1);
-    }
-  } else {
-    try {
-      diff = execFileSync('git', ['diff', 'origin/main...HEAD'], { encoding: 'utf8' });
-      const rawFiles = execFileSync('git', ['diff', '--name-only', 'origin/main...HEAD'], { encoding: 'utf8' });
-      files = rawFiles.trim().split('\n').filter(Boolean);
-    } catch (_) {
-      try {
-        diff = execFileSync('git', ['diff', 'HEAD~1'], { encoding: 'utf8' });
-        const rawFiles = execFileSync('git', ['diff', '--name-only', 'HEAD~1'], { encoding: 'utf8' });
-        files = rawFiles.trim().split('\n').filter(Boolean);
-      } catch (__) {
-        diff = '';
-        files = [];
-      }
-    }
-  }
-
-  const analysis = analyzeDiff(diff, files);
-  const report = formatReport(analysis);
-  console.log(report);
-
-  if (args.includes('--comment') && prNumber) {
-    try {
-      execFileSync('gh', ['pr', 'comment', prNumber, '--body', report], { encoding: 'utf8' });
-      console.log(`[PR Reviewer] Parecer do AGENT_QA publicado como comentário no PR #${prNumber}.`);
-    } catch (commentErr) {
-      console.warn(`[PR Reviewer] Aviso ao comentar no PR #${prNumber}:`, commentErr.message);
-    }
-  }
-
-  if (analysis.verdict === 'REPROVADO') {
-    process.exit(1);
-  }
-
-  if ((args.includes('--auto-merge') || process.env.AUTO_MERGE === 'true') && prNumber && analysis.verdict === 'APROVADO') {
-    try {
-      console.log(`[PR Reviewer] ⚡ Parecer APROVADO pelo AGENT_QA! Executando auto-merge autônomo no PR #${prNumber}...`);
-      try {
-        execFileSync('gh', ['pr', 'merge', prNumber, '--auto', '--merge'], { encoding: 'utf8' });
-        console.log(`[PR Reviewer] ✅ Auto-merge agendado com sucesso para o PR #${prNumber}.`);
-      } catch (autoErr) {
-        execFileSync('gh', ['pr', 'merge', prNumber, '--merge'], { encoding: 'utf8' });
-        console.log(`[PR Reviewer] ✅ PR #${prNumber} mergeado diretamente com sucesso na branch main.`);
-      }
-    } catch (mergeErr) {
-      console.warn(`[PR Reviewer] Aviso ao tentar auto-merge do PR #${prNumber}:`, mergeErr.message);
-    }
-  }
-}
-
-if (require.main === module) {
-  runCli().catch(err => {
-    console.error(err);
-    process.exit(1);
-  });
-}
-
-
-function pruneDiff(diffText = '') {
-  if (!diffText || typeof diffText !== 'string') {
-    return { prunedDiff: '', linesSaved: 0, prunedFiles: [] };
-  }
-
-  const lines = diffText.split('\n');
-  const prunedLines = [];
-  const prunedFiles = [];
-  let skippingFile = false;
-  let currentFile = '';
-  let linesSaved = 0;
-
-  for (let i = 0; i < lines.length; i++) {
-    const line = lines[i];
-
-    if (line.startsWith('diff --git ')) {
-      const match = line.match(/diff --git a\/(.+) b\/(.+)/);
-      currentFile = match ? match[2] : '';
-      
-      const isPrunable = /package-lock\.json|yarn\.lock|pnpm-lock\.yaml|\.min\.js|\.map$|dist\/|build\//.test(currentFile);
-      if (isPrunable) {
-        skippingFile = true;
-        prunedFiles.push(currentFile);
-        prunedLines.push(`[PRUNED]: ${currentFile} omitido do diff`);
-        continue;
-      } else {
-        skippingFile = false;
-      }
-    }
-
-    if (skippingFile) {
-      linesSaved++;
-    } else {
-      prunedLines.push(line);
-    }
-  }
-
-  return {
-    prunedDiff: prunedLines.join('\n'),
-    linesSaved,
-    prunedFiles
-  };
-}
-
-module.exports = {
-  pruneDiff,
-  FORBIDDEN_BRANCH_PREFIXES,
-  FORBIDDEN_COMMIT_PREFIXES,
-  CANONICAL_COMMIT_REGEX,
-  analyzeDiff,
-  formatReport
-};

package/scripts/sast_scanner.js

@@ -1,180 +0,0 @@
-/**
- * SAST & Secret Detection Engine — Shift-Left DevSecOps
- * Scanner estático nativo de vulnerabilidades OWASP Top 10, CWEs e segredos em texto plano.
- * Em estrita conformidade com a Regra 5, Regra 12 e NIST SSDF SP 800-218.
- */
-
-const fs = require('node:fs');
-const path = require('node:path');
-
-const SECURITY_RULES = [
-  {
-    id: 'DEVSEC-CWE-78',
-    cwe: 'CWE-78',
-    name: 'Command Injection',
-    severity: 'CRITICAL',
-    pattern: /(?:child_process\s*\.\s*exec\s*\(|execSync\s*\(|system\s*\(|popen\s*\(|`[^`]*\$\{.*?\}[^`]*`\s*(?:\|\||&&)?\s*exec)/i,
-    message: 'Execução de comando via shell detectada. Utilize execFile ou spawn com argumentos em array sanitizados.',
-    remediation: 'Substitua child_process.exec por child_process.execFile ou spawn sem invocação de shell intermediário.'
-  },
-  {
-    id: 'DEVSEC-CWE-89',
-    cwe: 'CWE-89',
-    name: 'SQL Injection',
-    severity: 'CRITICAL',
-    pattern: /\b(?:SELECT|INSERT|UPDATE|DELETE|DROP)\b\s+[\s\S]*?['"`]\s*\+\s*[a-zA-Z0-9_$]|\b(?:SELECT\b[\s\S]*?\bFROM\b|INSERT\s+INTO\b|DELETE\s+FROM\b)[\s\S]*?\$\{.*?\}|\$\{.*?\}[\s\S]*?\b(?:WHERE|VALUES)\b|\b(?:SELECT|INSERT|UPDATE|DELETE|DROP)\b[^;]*?\+\s*[a-zA-Z0-9_$]/i,
-    message: 'Interpolação dinâmica de parâmetros em instrução SQL detectada.',
-    remediation: 'Utilize consultas parametrizadas (Prepared Statements) ou query builders com bind de parâmetros.'
-  },
-  {
-    id: 'DEVSEC-CWE-1333',
-    cwe: 'CWE-1333',
-    name: 'ReDoS (Regular Expression Denial of Service)',
-    severity: 'HIGH',
-    pattern: /\/([^\/\\]*(\([^\(\)]*[\+\*][^\(\)]*\)[\+\*])[^\/\\]*)\/[gimsuy]*/,
-    message: 'Expressão regular com quantificadores aninhados propensa a catastrophic backtracking exponencial.',
-    remediation: 'Refatore a regex para eliminar quantificadores aninhados ou substitua por autômato linear / busca determinística.'
-  },
-  {
-    id: 'DEVSEC-CWE-79',
-    cwe: 'CWE-79',
-    name: 'Cross-Site Scripting (XSS)',
-    severity: 'HIGH',
-    pattern: /(?:innerHTML\s*=|dangerouslySetInnerHTML\s*=|document\s*\.\s*write\s*\()/i,
-    message: 'Atribuição insegura de HTML direto no DOM sem sanitização contextual.',
-    remediation: 'Utilize textContent ou bibliotecas canônicas de sanitização estrita (DOMPurify).'
-  },
-  {
-    id: 'DEVSEC-CWE-798-SECRET',
-    cwe: 'CWE-798',
-    name: 'Hardcoded Credentials & API Keys',
-    severity: 'CRITICAL',
-    pattern: /(?:(?:AKIA[0-9A-Z]{16})|(?:gh[pousr]_[A-Za-z0-9_]{30,255})|(?:xox[baprs]-[0-9a-zA-Z]{10,48})|(?:-----BEGIN\s+PRIVATE\s+KEY-----)|(?:(?:api[_-]?key|secret|password|auth[_-]?token)\s*[:=]\s*['"][A-Za-z0-9_\-\.+=]{16,}['"]))/i,
-    message: 'Credencial, token de acesso ou chave privada em texto plano embutida no código-fonte.',
-    remediation: 'Remova imediatamente o segredo, revogue a credencial e carregue via variáveis de ambiente seguras (process.env).'
-  },
-  {
-    id: 'DEVSEC-CWE-798-EMAIL',
-    cwe: 'CWE-798',
-    name: 'Hardcoded Email or Fallback Credential',
-    severity: 'CRITICAL',
-    pattern: /(?:(?:email|user|account)\s*(?:[:=]|\|\|)\s*['"][a-zA-Z0-9._%+-]+@(gmail|hotmail|outlook|yahoo|[a-zA-Z0-9.-]+)\.[a-zA-Z]{2,}['"])/i,
-    message: 'Endereço de email hardcoded ou utilizado como fallback no código-fonte.',
-    remediation: 'Remova o email estático e obtenha o valor exclusivamente de process.env (ex: process.env.ATLASSIAN_EMAIL).'
-  },
-  {
-    id: 'DEVSEC-CWE-798-TENANT-DOMAIN',
-    cwe: 'CWE-798',
-    name: 'Hardcoded Atlassian Tenant Domain',
-    severity: 'CRITICAL',
-    pattern: /https?:\/\/[a-zA-Z0-9-]+\.atlassian\.net/i,
-    message: 'Domínio privado de tenant Atlassian hardcoded no código.',
-    remediation: 'Substitua por variável de ambiente dinâmica (ex: process.env.ATLASSIAN_DOMAIN).'
-  },
-  {
-    id: 'DEVSEC-CWE-798-EXTERNAL-FILE',
-    cwe: 'CWE-798',
-    name: 'External Account File Reference',
-    severity: 'CRITICAL',
-    pattern: /['"][^'"]*(?:Atlassian Account|Railway Account|Token\.txt|Account\.txt)['"]/i,
-    message: 'Leitura de arquivo de credenciais externo ou fora do escopo do repositório.',
-    remediation: 'Elimine acessos a arquivos locais de conta. Utilize variáveis de ambiente ou .env protegido por .gitignore.'
-  },
-  {
-    id: 'DEVSEC-CWE-95',
-    cwe: 'CWE-95',
-    name: 'Dynamic Code Evaluation',
-    severity: 'CRITICAL',
-    pattern: /\beval\s*\(|\bnew\s+Function\s*\(/,
-    message: 'Uso de eval() ou new Function() que permite execução arbitrária de código.',
-    remediation: 'Substitua por parsers seguros de JSON ou mapeamentos estáticos de funções.'
-  }
-];
-
-class SastScanner {
-  constructor(rules = SECURITY_RULES) {
-    this.rules = rules;
-  }
-
-  scanCode(code, filename = 'snippet.js') {
-    const findings = [];
-    const lines = code.split('\n');
-
-    for (let lineIdx = 0; lineIdx < lines.length; lineIdx++) {
-      const lineText = lines[lineIdx];
-
-      for (const rule of this.rules) {
-        if (rule.pattern.test(lineText)) {
-          findings.push({
-            ruleId: rule.id,
-            name: rule.name,
-            cwe: rule.cwe,
-            severity: rule.severity,
-            filename,
-            line: lineIdx + 1,
-            snippet: lineText.trim().substring(0, 100),
-            message: rule.message,
-            remediation: rule.remediation
-          });
-        }
-      }
-    }
-
-    const hasCritical = findings.some(f => f.severity === 'CRITICAL');
-    const hasHigh = findings.some(f => f.severity === 'HIGH');
-    const status = (hasCritical || hasHigh) ? 'FAILED' : (findings.length > 0 ? 'WARNING' : 'PASSED');
-
-    return {
-      status,
-      filename,
-      totalFindings: findings.length,
-      criticalCount: findings.filter(f => f.severity === 'CRITICAL').length,
-      highCount: findings.filter(f => f.severity === 'HIGH').length,
-      mediumCount: findings.filter(f => f.severity === 'MEDIUM').length,
-      findings
-    };
-  }
-
-  scanDirectory(dirPath, extensions = ['.js', '.ts', '.jsx', '.tsx', '.json', '.md']) {
-    let allFindings = [];
-    let filesScanned = 0;
-
-    const walk = (dir) => {
-      const entries = fs.readdirSync(dir, { withFileTypes: true });
-      for (const entry of entries) {
-        const fullPath = path.join(dir, entry.name);
-        if (entry.isDirectory()) {
-          if (!['node_modules', '.git', 'dist', 'build', '.gemini'].includes(entry.name)) {
-            walk(fullPath);
-          }
-        } else if (entry.isFile()) {
-          const ext = path.extname(entry.name);
-          if (extensions.includes(ext)) {
-            filesScanned++;
-            const content = fs.readFileSync(fullPath, 'utf8');
-            const result = this.scanCode(content, path.relative(dirPath, fullPath));
-            if (result.findings.length > 0) {
-              allFindings.push(...result.findings);
-            }
-          }
-        }
-      }
-    };
-
-    walk(dirPath);
-
-    return {
-      filesScanned,
-      totalFindings: allFindings.length,
-      criticalCount: allFindings.filter(f => f.severity === 'CRITICAL').length,
-      highCount: allFindings.filter(f => f.severity === 'HIGH').length,
-      findings: allFindings,
-      status: allFindings.some(f => f.severity === 'CRITICAL' || f.severity === 'HIGH') ? 'FAILED' : 'PASSED'
-    };
-  }
-}
-
-module.exports = {
-  SastScanner,
-  SECURITY_RULES
-};