easyvibegate 0.4.4

package/LICENSE

@@ -0,0 +1,21 @@
+MIT License
+
+Copyright (c) 2026 VibeGate contributors
+
+Permission is hereby granted, free of charge, to any person obtaining a copy
+of this software and associated documentation files (the "Software"), to deal
+in the Software without restriction, including without limitation the rights
+to use, copy, modify, merge, publish, distribute, sublicense, and/or sell
+copies of the Software, and to permit persons to whom the Software is
+furnished to do so, subject to the following conditions:
+
+The above copyright notice and this permission notice shall be included in all
+copies or substantial portions of the Software.
+
+THE SOFTWARE IS PROVIDED "AS IS", WITHOUT WARRANTY OF ANY KIND, EXPRESS OR
+IMPLIED, INCLUDING BUT NOT LIMITED TO THE WARRANTIES OF MERCHANTABILITY,
+FITNESS FOR A PARTICULAR PURPOSE AND NONINFRINGEMENT. IN NO EVENT SHALL THE
+AUTHORS OR COPYRIGHT HOLDERS BE LIABLE FOR ANY CLAIM, DAMAGES OR OTHER
+LIABILITY, WHETHER IN AN ACTION OF CONTRACT, TORT OR OTHERWISE, ARISING FROM,
+OUT OF OR IN CONNECTION WITH THE SOFTWARE OR THE USE OR OTHER DEALINGS IN THE
+SOFTWARE.

package/README.en.md

@@ -0,0 +1,123 @@
+# 🛡 EasyVibeGate
+
+![license: MIT](https://img.shields.io/badge/license-MIT-brightgreen) ![node](https://img.shields.io/badge/node-%3E%3D18-blue) ![lang](https://img.shields.io/badge/lang-ru%20%7C%20en-informational)
+
+🇷🇺 Русская версия: [README.md](README.md)
+
+**A security scanner for vibe-coded apps. It checks common risks and shows evidence where it can get it.**
+
+Most scanners grep your code and say *"you might have leaked a key."* EasyVibeGate also goes to the running backend: for **Supabase/Firebase** it walks in with the public key and shows which tables are readable by anyone, with the exact `curl` — plus SQL to close it. It is honest about coverage: every check reports whether it actually ran, so a failed or skipped check is never shown as a green "all clear".
+
+> ⚠️ **Not published to npm yet** — `npx easyvibegate` will work after publishing.
+> Today, install straight from GitHub: `npx github:valedol190387/easyvibegate`
+> (it fetches the repo and builds itself).
+>
+> Status: **v0.4, early.** Best-supported stack: **Next.js + Supabase**. Code review runs on any stack; the live backend probe is read-only and Supabase/Firebase-focused. Not a penetration test.
+
+## How to run
+
+Three ways — pick whichever suits you.
+
+### Option 1. Via an AI agent (easiest)
+
+If you use **Cursor, Claude Code, or Codex**, you don't need to type anything in a terminal. Open the project in your agent and paste this prompt:
+
+```
+Check this project's security with EasyVibeGate and explain the result in plain language.
+
+1. Run at the project root:  npx github:valedol190387/easyvibegate . --no-wizard --deps
+   (After the npm release the short form is: npx easyvibegate . --no-wizard --deps)
+   (Add  --url <my-app-url> --i-own-this  only if this is my project
+    and I allow the live backend probe.)
+2. Open and read the file:  easyvibegate-report/ai-fix-prompt.md
+3. Explain in plain language: what was found, how serious it is, most urgent first.
+4. Propose concrete fixes, but do NOT change code without my confirmation.
+```
+
+The agent runs it, reads the report, and explains the findings. You can also just say: "run EasyVibeGate and tell me what's wrong."
+
+### Option 2. One command in the terminal
+
+```bash
+npx github:valedol190387/easyvibegate
+```
+
+Run it inside your project. (After the npm release: `npx easyvibegate`.) A friendly wizard asks a few plain yes/no questions, tells you what's wrong in plain language, and writes a ready-to-use fix plan. No install, no config, no runtime deps.
+
+### Option 3. In CI (GitHub Actions)
+
+Add `.github/workflows/easyvibegate.yml`:
+
+```yaml
+name: EasyVibeGate
+on: [push, pull_request]
+jobs:
+  security:
+    runs-on: ubuntu-latest
+    steps:
+      - uses: actions/checkout@v4
+      - uses: actions/setup-node@v4
+        with: { node-version: 20 }
+      - run: npx github:valedol190387/easyvibegate . --ci
+```
+
+Exit codes: `2` = critical, `1` = warnings, `3` = a check failed to run, `0` = clean.
+
+## What to do with the result
+
+Open `easyvibegate-report/ai-fix-prompt.md` and paste it into your AI assistant (Cursor, Claude Code, Windsurf). For security fixes, pick a **strong model — Claude Fable or Opus**, not a small "fast" one. Rotate any leaked key immediately.
+
+## What it checks
+
+### Level 0 — code review (any stack, read-only, zero install)
+- **Hardcoded secrets** — OpenAI / Anthropic / AWS / Stripe / GitHub / Google keys, private keys, Supabase `service_role`/secret keys.
+- **Secrets shipped to the browser** — real secrets behind `NEXT_PUBLIC_` / `VITE_` / `REACT_APP_`.
+- **Dangerous config** — open CORS, debug mode, `eval`, string-interpolated SQL, JWT `alg:none`.
+- **Missing RLS** — migrations that create tables but never `ENABLE ROW LEVEL SECURITY` (per-table analysis).
+- **.env / git hygiene** — via real git semantics: a committed `.env` is critical.
+- **Endpoint inventory** — routes listed as live-probe targets (no false "no auth" claims).
+
+### Level 1 — dependency audit
+npm / pnpm / yarn audit. A registry error is reported as "failed", never "clean".
+
+### Level 2 — live probe (read-only, own apps only, with your confirmation)
+- **Supabase / Firebase** — walk in with the public key and list which tables/buckets are readable by anyone, with a reproducing `curl`. Sensitive-looking table names (users, payments…) are critical; public content is flagged "confirm intent".
+- **Any backend, best-effort** — hit discovered endpoints with no login; with two test accounts (`--idor-tokens a,b`), diff responses to spot candidate cross-user access (IDOR). Warnings to verify, not proof — the tool never writes.
+
+## Scoring & coverage
+
+- **One gate policy everywhere** (CI, JSON, badge, console): `fail` — a critical finding; `incomplete` — nothing critical, but a check failed / ran partially / is unsupported; `pass` — everything ran and is clean.
+- **Score:** 0–100. An `incomplete` run is **never a green badge**.
+- **Coverage line:** "Checks: N ok · M failed · K skipped".
+- **Exit codes (every mode, not just `--ci`):** `2` critical, `1` warnings, `3` a check did not complete, `0` clean.
+- Reports record the scanned path, version and timestamp, so reports from different projects never get mixed up.
+
+## Suppressing noise
+
+`easyvibegate.config.json`:
+
+```json
+{ "ignore": ["generic_secret:src/fixtures/sample.ts"], "ignorePaths": ["tests/", "docs/"] }
+```
+
+Or inline, on or above the flagged line: `// easyvibegate-ignore`.
+
+## As an AI-agent skill
+
+`skills/easyvibegate/SKILL.md` makes EasyVibeGate a skill your agent can run and reason about. Copy it into your agent's skills dir, e.g. `cp -r skills/easyvibegate ~/.claude/skills/easyvibegate`.
+
+## Honest limitations
+
+EasyVibeGate is a **linter for common vibe-coding holes, not a penetration test.** Zero findings does not mean you are safe. The static layer cannot know whether an endpoint enforces access control — only the live probe can, and only against a running app you own. Never point the live probe at systems you do not own.
+
+## Language
+
+Interface is **Russian by default**; use `--lang en` for English. Security findings themselves stay in technical English so they hand off cleanly to your AI agent.
+
+## Contributing
+
+Issues and PRs welcome. Build with `pnpm install && pnpm build`; CLI entry is `dist/cli/index.js`; tests: `pnpm test`. New checks live under `src/engine/checkers/`; UI strings under `src/engine/i18n.ts`.
+
+## License
+
+MIT — see [LICENSE](LICENSE).

package/README.md

@@ -0,0 +1,144 @@
+# 🛡 EasyVibeGate
+
+![license: MIT](https://img.shields.io/badge/license-MIT-brightgreen) ![node](https://img.shields.io/badge/node-%3E%3D18-blue) ![lang](https://img.shields.io/badge/lang-ru%20%7C%20en-informational)
+
+🇬🇧 English version: [README.en.md](README.en.md)
+
+**Проверка безопасности для приложений, собранных «на вайбе». Находит частые дыры и показывает доказательства там, где может.**
+
+Большинство сканеров просто грепают код и говорят «возможно, ты слил ключ». EasyVibeGate идёт дальше: для **Supabase/Firebase** заходит публичным ключом и показывает, какие таблицы читаются кем угодно, с готовым `curl` и SQL для починки. И он честен про покрытие: каждая проверка сообщает, реально ли она выполнилась, поэтому упавшая или пропущенная проверка **никогда не выдаётся за зелёное «всё чисто»**.
+
+> ⚠️ **Пакет ещё не опубликован в npm.** Команда `npx easyvibegate` заработает после публикации.
+> Сейчас рабочий способ — установка прямо из GitHub: `npx github:valedol190387/easyvibegate`
+> (скачает репозиторий и соберёт его сам).
+>
+> Статус: **v0.4, ранняя версия.** Лучше всего поддержан стек **Next.js + Supabase**. Осмотр кода работает на любом стеке; живой пробинг бэкенда — только чтение и заточен под Supabase/Firebase. Это не пентест.
+
+## 🇷🇺 Простыми словами
+
+**Что это.** Проверка безопасности для приложений, собранных «на вайбе» с помощью ИИ (Cursor, Lovable, Bolt, Replit и т.п.). ИИ пишет код, который работает, но часто оставляет дыры: ключи прямо в коде, открытую всем базу данных, доступ к чужим данным. EasyVibeGate их находит и подсказывает, что чинить.
+
+**Зачем.** Чтобы никто не скачал твою базу пользователей и не подделал данные через консоль браузера (F12).
+
+**Как пользоваться — 3 шага:**
+1. В папке своего проекта запусти одну команду (или попроси ИИ-агента — см. ниже).
+2. Ответь на пару вопросов «да / нет».
+3. Получишь понятный отчёт и готовый план починки — вставь его в свой ИИ (Cursor/Claude), и он всё исправит.
+
+Разбираться в том, что внутри, не нужно: сложное — под капотом, снаружи одна команда и вопросы «да / нет».
+
+## Как запустить
+
+Три способа — выбери удобный.
+
+### Способ 1. Через ИИ-агента (самый простой)
+
+Если ты пользуешься **Cursor, Claude Code или Codex** — руками в терминал вводить ничего не надо. Открой проект в агенте и вставь ему такой промт:
+
+```
+Проверь безопасность этого проекта с помощью EasyVibeGate и объясни результат простыми словами.
+
+1. Запусти в корне проекта:  npx github:valedol190387/easyvibegate . --no-wizard --deps
+   (После публикации в npm короткая форма: npx easyvibegate . --no-wizard --deps)
+   (Добавь  --url <адрес-моего-приложения> --i-own-this  только если это мой проект
+    и я разрешаю живую проверку бэкенда.)
+2. Открой и изучи файл:  easyvibegate-report/ai-fix-prompt.md
+3. Объясни простыми словами: что нашлось, насколько это опасно, самое срочное — первым.
+4. Предложи конкретные исправления, но НЕ меняй код без моего подтверждения.
+```
+
+Агент сам всё запустит, прочитает отчёт и объяснит выводы. Можно так же просто сказать: «запусти EasyVibeGate и скажи, что не так».
+
+### Способ 2. Одной командой в терминале
+
+```bash
+npx github:valedol190387/easyvibegate
+```
+
+Запусти внутри своего проекта. (После публикации в npm будет короче: `npx easyvibegate`.) Дружелюбный мастер задаст пару вопросов «да/нет», понятным языком расскажет, что не так, и создаст готовый план починки. Ни установки, ни настройки, ни зависимостей.
+
+### Способ 3. В CI (GitHub Actions)
+
+Добавь `.github/workflows/easyvibegate.yml`:
+
+```yaml
+name: EasyVibeGate
+on: [push, pull_request]
+jobs:
+  security:
+    runs-on: ubuntu-latest
+    steps:
+      - uses: actions/checkout@v4
+      - uses: actions/setup-node@v4
+        with: { node-version: 20 }
+      - run: npx github:valedol190387/easyvibegate . --ci
+```
+
+Коды выхода: `2` — есть критичное, `1` — предупреждения, `3` — проверка не завершилась, `0` — чисто.
+
+## Что делать с результатом
+
+Открой `easyvibegate-report/ai-fix-prompt.md` и вставь его в свой ИИ-помощник (Cursor, Claude Code, Windsurf). Для починки безопасности бери **сильную модель — Claude Fable или Opus**, а не маленькую «быструю»: иначе что-то пропустит. Любой утёкший ключ — сразу меняй (rotate).
+
+## Что проверяет
+
+### Уровень 0 — осмотр кода (любой стек, только чтение, без установки)
+- **Секреты в коде** — ключи OpenAI / Anthropic / AWS / Stripe / GitHub / Google, приватные ключи, `service_role` и секретные ключи Supabase.
+- **Секреты во фронте** — настоящие секреты за префиксами `NEXT_PUBLIC_` / `VITE_` / `REACT_APP_`.
+- **Опасные конфиги** — открытый CORS, включённый debug, `eval`, сборка SQL строками, JWT `alg:none`.
+- **Таблицы без RLS** — миграции создают таблицы, но не включают `ENABLE ROW LEVEL SECURITY` (анализ по каждой таблице).
+- **Гигиена .env / git** — через настоящую семантику git: закоммиченный `.env` — критично.
+- **Инвентарь эндпоинтов** — список маршрутов как цели для живой проверки (без ложных обвинений).
+
+### Уровень 1 — зависимости
+Аудит пакетов через npm / pnpm / yarn. Ошибка реестра честно помечается как «не удалось», а не «чисто».
+
+### Уровень 2 — живой пробинг (только чтение, только твои приложения, с подтверждением)
+- **Supabase / Firebase** — заходим публичным ключом и показываем, какие таблицы/бакеты читаются кем угодно, с воспроизводящим `curl`. Таблицы с «чувствительными» именами (users, payments…) — критично; публичный контент — «подтверди намеренность».
+- **Любой бэкенд, best-effort** — дёргаем найденные эндпоинты без входа; с двумя тест-аккаунтами (`--idor-tokens a,b`) сравниваем ответы на предмет доступа к чужому (IDOR). Это подсказки для проверки, а не доказательство; инструмент никогда не пишет.
+
+## Оценка и статусы
+
+- **Итог — одна политика для всего** (CI, JSON, бейдж, консоль): `fail` — есть критичное; `incomplete` — критичного нет, но какая-то проверка упала / выполнилась частично / не поддержана; `pass` — всё проверено и чисто.
+- **Балл:** 0–100. При `incomplete` бейдж **никогда не зелёный**.
+- **Покрытие:** строка «Проверки: N выполнено · M с ошибкой · K пропущено».
+- **Коды выхода (всегда, не только с `--ci`):** `2` критичное, `1` предупреждения, `3` проверка не завершилась, `0` чисто.
+- Отчёт записывает проверенный путь, версию и время, поэтому отчёты разных проектов не путаются.
+
+## Подавление ложных срабатываний
+
+Файл `easyvibegate.config.json`:
+
+```json
+{
+  "ignore": ["generic_secret:src/fixtures/sample.ts"],
+  "ignorePaths": ["tests/", "docs/"]
+}
+```
+
+Или прямо в строке (на самой строке или над ней): `// easyvibegate-ignore`.
+
+## Как запустить как skill (Cursor / Claude Code / Windsurf)
+
+Файл `skills/easyvibegate/SKILL.md` делает EasyVibeGate навыком для ИИ-агента. Скопируй папку в каталог навыков агента, например: `cp -r skills/easyvibegate ~/.claude/skills/easyvibegate`.
+
+## Честные ограничения
+
+EasyVibeGate — **линтер частых дыр вайб-кодинга, а не пентест.** Ноль находок не значит «безопасно». Статический слой не знает, проверяет ли эндпоинт доступ — это может подтвердить только живая проверка на запущенном приложении, которым ты владеешь. Никогда не направляй живую проверку на чужие системы.
+
+Что именно анализатор SQL знает про себя:
+
+- **Порядок миграций внутри одной папки — настоящий**, и `DISABLE ROW LEVEL SECURITY` в более поздней миграции даёт критичную находку. **Порядок между разными папками — догадка**: если противоречащие друг другу команды лежат в разных каталогах, находка выдаётся как предупреждение «порядок неясен» — независимо от того, какая папка оказалась последней при сортировке.
+- **DDL внутри `DO $$ … $$` считается выполненным**, если он безусловный. Любая команда под `IF … THEN` (`ENABLE`, `DISABLE`, `CREATE`, `DROP`) даёт предупреждение «состояние RLS не подтверждено»: выполнится ли ветка, статически не узнать, и утверждать обратное — в любую сторону — значит врать. Вложенные `IF` учитываются, `-- end if` в комментарии условие не закрывает. Если у тебя идемпотентная обёртка `IF NOT EXISTS`, проверь состояние в базе и при желании подави находку через `easyvibegate.config.json`.
+
+## Язык
+
+Интерфейс по умолчанию **русский**; английский — флагом `--lang en`. Сами находки остаются на техническом английском, чтобы их удобно было передать ИИ-агенту.
+
+## Участие
+
+Issues и PR приветствуются. Сборка: `pnpm install && pnpm build`; точка входа CLI — `dist/cli/index.js`; тесты — `pnpm test`. Новые проверки лежат в `src/engine/checkers/`, строки интерфейса — в `src/engine/i18n.ts`.
+
+## Лицензия
+
+MIT — см. [LICENSE](LICENSE).