fchek 1.0.0

package/skills/run.md

@@ -0,0 +1,135 @@
+# skill: fchek run — запуск кода и проверка результата
+
+## Что делает
+
+Запускает файл и возвращает `stdout`, `stderr`, `exit_code` в JSON.
+Это единственный способ **доказать** что код работает.
+Без этого — только предположение.
+
+## Поддерживаемые языки
+
+| Расширение | Рантайм |
+|---|---|
+| `.py` | python / python3 (авто-определение, игнорирует Windows Store alias) |
+| `.js` `.mjs` | node |
+| `.ts` `.tsx` | ts-node → npx ts-node |
+| `.rs` | cargo run (ищет Cargo.toml вверх) или rustc |
+| `.c` `.cpp` `.cc` | gcc/g++/clang++ → компиляция + запуск |
+| `.go` | go run |
+| `.cs` | **dotnet run** (ищет .csproj/.sln вверх по папкам) |
+| `.sh` | bash / WSL bash (Windows) |
+| `.rb` | ruby |
+| `.php` | php |
+
+## Синтаксис
+
+```bash
+fchek run <file> [args...] [--timeout=30000] [--stdin=<text>] [--no-color]
+```
+
+## Вывод JSON
+
+```json
+{
+  "status": "ok",
+  "command": "run",
+  "data": {
+    "file": "/project/main.py",
+    "lang": "python",
+    "exit_code": 0,
+    "success": true,
+    "timed_out": false,
+    "stdout": "result: 42\n",
+    "stderr": "",
+    "stdout_lines": 1,
+    "error": null,
+    "runner": "python"
+  }
+}
+```
+
+При ошибке компиляции (C/C++/Rust):
+```json
+{
+  "data": {
+    "compiled": false,
+    "exit_code": 1,
+    "success": false,
+    "stderr": "error: expected ';' after expression",
+    "error": "Compilation failed — see stderr"
+  }
+}
+```
+
+При таймауте:
+```json
+{
+  "data": {
+    "exit_code": null,
+    "success": false,
+    "timed_out": true,
+    "error": "Timed out after 30000ms — possible infinite loop or blocking I/O"
+  }
+}
+```
+
+## КАК AI ДОЛЖЕН ИСПОЛЬЗОВАТЬ ЭТО
+
+### ПРАВИЛО — это обязательно, не опционально
+
+**Перед тем как написать "готово", "исправил", "работает":**
+```bash
+fchek run <файл>
+```
+Только `"success": true` + `"exit_code": 0` = разрешено говорить "готово".
+
+### Алгоритм интерпретации
+
+```
+success: true  + exit_code: 0   → код работает ✓
+success: false + exit_code: 1   → ошибка в runtime → читай stderr
+success: false + compiled: false → ошибка компиляции → читай stderr
+success: false + timed_out: true → бесконечный цикл или deadlock
+error: "Runtime not found: python3" → fchek doctor → установи рантайм
+```
+
+### Сценарии
+
+```bash
+# Python
+fchek run main.py
+
+# С аргументами
+fchek run main.py arg1 arg2
+
+# С stdin
+fchek run parser.py --stdin="test input"
+
+# C++ (компилирует + запускает)
+fchek run main.cpp
+
+# Rust (ищет Cargo.toml вверх по дереву)
+fchek run src/main.rs
+
+# C# (ищет .csproj вверх по дереву, затем dotnet run)
+fchek run Program.cs
+
+# Ограничить время (полезно для серверов)
+fchek run server.py --timeout=5000
+```
+
+### C# — особенности
+
+`fchek run` ищет `.csproj` или `.sln` вверх по папкам (до 6 уровней).
+Если не найдено — возвращает ошибку с инструкцией создать проект:
+```
+dotnet new console -o MyApp
+```
+
+Требует: `dotnet` SDK установлен (`fchek doctor` покажет статус).
+
+## Платформа
+
+- Windows: C/C++ требует MinGW (`g++`). Если нет — понятная ошибка с ссылкой на установку.
+- Windows: `.sh` файлы запускаются через WSL bash → Git bash fallback.
+- `python3` алиас Microsoft Store игнорируется — используется настоящий Python.

package/skills/secrets.md

@@ -0,0 +1,170 @@
+# skill: fchek secrets — поиск секретов в коде
+
+## Что делает
+
+Сканирует код на наличие захардкоженных секретов: API ключи, пароли, токены, приватные ключи, connection strings.
+Использует gitleaks → trufflehog → встроенные regex (14 паттернов).
+Секреты в выводе **редактируются** — показываются первые 4 символа + хеш.
+
+## Синтаксис
+
+```bash
+fchek secrets <path> [--staged] [--full-history]
+```
+
+- `--staged` — только staged файлы (pre-commit hook)
+- `--full-history` — вся история git (медленно, но полно)
+
+> **C# проекты:** `fchek secrets` — единственная команда fchek которая полностью
+> работает на C#. Папки `bin/`, `obj/` и все `.dll`/`.exe`/`.pdb` файлы
+> **автоматически игнорируются** — шума от .NET артефактов нет.
+> Сканируй `.cs`, `appsettings.json`, `.env`, `*.config` файлы напрямую.
+
+## Вывод JSON
+
+### Чисто
+```json
+{
+  "status": "ok",
+  "command": "secrets",
+  "data": {
+    "verdict": "clean",
+    "total_findings": 0,
+    "summary": { "critical": 0, "high": 0, "other": 0 }
+  }
+}
+```
+
+### Найдены секреты
+```json
+{
+  "data": {
+    "verdict": "critical",
+    "total_findings": 2,
+    "summary": { "critical": 1, "high": 1, "other": 0 },
+    "findings": [
+      {
+        "file": "src/config.py",
+        "line": 12,
+        "pattern": "Stripe Key",
+        "severity": "critical",
+        "match_redacted": "sk_li***8f2a"
+      },
+      {
+        "file": "src/db.py",
+        "line": 5,
+        "pattern": "Database URL",
+        "severity": "high",
+        "match_redacted": "post***3b7c"
+      }
+    ]
+  }
+}
+```
+
+## Паттерны (встроенные)
+
+| Паттерн | Severity |
+|---|---|
+| AWS Access Key (AKIA...) | critical |
+| AWS Secret Key | critical |
+| Private Key (-----BEGIN...) | critical |
+| GitHub Token (ghp_...) | critical |
+| Stripe Key (sk_live_...) | critical |
+| Generic API Key | high |
+| Generic Secret/Password | high |
+| Database URL с паролем | high |
+| Slack Token | high |
+| Basic Auth в URL | high |
+| Bearer Token | medium |
+| Hex Secret (32+ chars) | medium |
+
+## Как AI должен использовать это
+
+### ПРАВИЛО — обязательно перед показом кода с:
+- SQL / ORM / database connections
+- HTTP клиентами с токенами (requests, axios, fetch)
+- Конфигурационными файлами
+- Auth / JWT / OAuth кодом
+- `.env` файлами
+
+```bash
+fchek secrets .
+```
+
+### Алгоритм
+
+```
+verdict = "clean"         → можно показывать код
+verdict = "issues_found"  → убери находки, потом показывай
+verdict = "critical"      → СТОП. Критические секреты.
+
+ЕСЛИ findings не пустой:
+  → смотри findings[].file и findings[].line
+  → замени значение на os.environ.get("KEY_NAME")
+  → запусти снова → убедись verdict = "clean"
+```
+
+### Как правильно исправить
+
+```python
+# ❌ Запрещено — показывать такой код нельзя
+DB_URL = "postgresql://admin:pass123@host:5432/db"
+
+# ✅ Правильно
+import os
+DB_URL = os.environ.get("DATABASE_URL")
+```
+
+```javascript
+// ❌
+const apiKey = "sk_live_AbCdEf123456"
+
+// ✅
+const apiKey = process.env.STRIPE_SECRET_KEY
+```
+
+```rust
+// ❌
+let db_url = "postgresql://admin:pass@host/db";
+
+// ✅
+let db_url = std::env::var("DATABASE_URL").expect("DATABASE_URL not set");
+```
+
+```csharp
+// ❌ — C# connection string захардкожен
+var connStr = "Server=prod.db;Database=app;User=admin;Password=Secret123;";
+
+// ✅ — из конфига (appsettings.json) или env
+var connStr = configuration.GetConnectionString("DefaultConnection");
+// или
+var connStr = Environment.GetEnvironmentVariable("DB_CONNECTION_STRING");
+```
+
+```csharp
+// ❌ — C# connection string с паролем
+var connStr = "Server=prod.db;Database=app;User=admin;Password=Secret123;";
+
+// ✅ — из конфига / environment
+var connStr = configuration.GetConnectionString("DefaultConnection");
+// или
+var connStr = Environment.GetEnvironmentVariable("DB_CONNECTION_STRING");
+```
+
+## Инструменты
+
+По умолчанию используются встроенные regex (работает без установки).
+Для production-проектов установить gitleaks:
+
+```bash
+# Windows
+winget install gitleaks
+
+# Linux/macOS
+brew install gitleaks
+# или
+apt install gitleaks
+```
+
+`fchek doctor` покажет статус gitleaks и trufflehog.

package/skills/security.md

@@ -0,0 +1,360 @@
+# security.md — Безопасность кода
+
+Читай этот файл когда пишешь код с авторизацией, базами данных, API, конфигами.
+
+---
+
+## КОГДА ЗАПУСКАТЬ fchek secrets
+
+Запускай `fchek secrets .` **до любого коммита** если задача касается чего-то из таблицы:
+
+| Признак | Почему опасно |
+|---|---|
+| SQL запросы или ORM | Connection strings с паролями |
+| HTTP клиенты (requests, axios, fetch) | Bearer tokens, API keys в коде |
+| Конфигурационные файлы (.env, appsettings, config.yml) | Секреты вместо ссылок |
+| Auth, JWT, OAuth | Private keys, client secrets |
+| Переменные окружения в коде | Прямые значения вместо `os.getenv` |
+| Docker / docker-compose | Secrets через ENV напрямую |
+| CI/CD конфиги (.github/workflows, .gitlab-ci) | Tokens в yaml |
+| Новые зависимости с внешним API | Ключи могут попасть в тестах |
+| Любое изменение конфига с `password`, `secret`, `key` | Самоочевидно |
+
+**Правило:** сомневаешься — запускай. Занимает 2 секунды.
+
+---
+
+## КАК ЧИТАТЬ ВЫВОД fchek secrets
+
+```bash
+fchek secrets .
+```
+
+### Вывод: `verdict: "clean"` → продолжай
+
+```json
+{
+  "status": "ok",
+  "data": {
+    "verdict": "clean",
+    "total_findings": 0,
+    "summary": {"critical": 0, "high": 0, "other": 0}
+  }
+}
+```
+**Действие:** код безопасен, можно коммитить.
+
+---
+
+### Вывод: `verdict: "issues_found"` → исправь перед показом
+
+```json
+{
+  "data": {
+    "verdict": "issues_found",
+    "total_findings": 1,
+    "findings": [
+      {
+        "file": "src/config.py",
+        "line": 8,
+        "pattern": "Generic API Key",
+        "severity": "high",
+        "match_redacted": "apik***3f2b"
+      }
+    ]
+  }
+}
+```
+**Действие:**
+1. Открой `findings[0].file` строку `findings[0].line`
+2. Замени захардкоженное значение на переменную окружения
+3. Запусти `fchek secrets .` снова
+4. Показывай код только после `verdict: "clean"`
+
+---
+
+### Вывод: `verdict: "critical"` → СТОП
+
+```json
+{
+  "data": {
+    "verdict": "critical",
+    "total_findings": 2,
+    "summary": {"critical": 1, "high": 1, "other": 0},
+    "findings": [
+      {
+        "file": "src/stripe.py",
+        "line": 3,
+        "pattern": "Stripe Key",
+        "severity": "critical",
+        "match_redacted": "sk_li***8f2a"
+      }
+    ]
+  }
+}
+```
+**Действие:**
+1. СТОП — не показывай, не коммить этот код
+2. Исправь все `severity: "critical"` немедленно
+3. Запусти снова → получи `verdict: "clean"`
+4. Если ключ уже попал в историю git — предупреди пользователя: ключ нужно отозвать
+
+---
+
+## ПРИМЕРЫ ИСПРАВЛЕНИЯ ПО ЯЗЫКАМ
+
+### Python
+
+```python
+# ❌ Запрещено
+import stripe
+stripe.api_key = "sk_live_AbCdEf123456"
+
+DB_URL = "postgresql://admin:SuperSecret123@prod.db:5432/app"
+```
+
+```python
+# ✅ Обязательно
+import os
+import stripe
+stripe.api_key = os.environ.get("STRIPE_SECRET_KEY")
+
+DB_URL = os.environ.get("DATABASE_URL")
+```
+
+```python
+# ❌ Запрещено — даже в тестах
+def test_connection():
+    db = connect("postgres://test:password123@localhost/testdb")
+```
+
+```python
+# ✅ Обязательно — даже в тестах
+import os
+def test_connection():
+    db = connect(os.environ.get("TEST_DATABASE_URL", "postgres://localhost/testdb"))
+```
+
+---
+
+### JavaScript / TypeScript
+
+```javascript
+// ❌ Запрещено
+const apiKey = "sk_live_AbCdEf123456";
+const dbUrl = "mongodb://admin:pass@cluster.mongodb.net/app";
+```
+
+```javascript
+// ✅ Обязательно
+const apiKey = process.env.STRIPE_SECRET_KEY;
+const dbUrl = process.env.MONGODB_URI;
+```
+
+```typescript
+// ❌ Запрещено
+const config = {
+  jwtSecret: "my-super-secret-jwt-key-12345"
+};
+```
+
+```typescript
+// ✅ Обязательно
+const config = {
+  jwtSecret: process.env.JWT_SECRET ?? (() => { throw new Error("JWT_SECRET not set") })()
+};
+```
+
+---
+
+### C#
+
+```csharp
+// ❌ Запрещено
+var connStr = "Server=prod.db;Database=app;User=admin;Password=Secret123;";
+var apiKey = "sk_live_AbCdEf123456";
+```
+
+```csharp
+// ✅ Обязательно — из конфига (appsettings.json)
+var connStr = _configuration.GetConnectionString("DefaultConnection");
+
+// ✅ Или из переменных окружения
+var connStr = Environment.GetEnvironmentVariable("DB_CONNECTION_STRING");
+var apiKey  = Environment.GetEnvironmentVariable("STRIPE_SECRET_KEY");
+```
+
+```csharp
+// ✅ С использованием IOptions<T>
+public class StripeOptions
+{
+    public string SecretKey { get; set; } = string.Empty;
+}
+// appsettings.json: { "Stripe": { "SecretKey": "" } }  ← пустое, в env vars
+// docker / deploy: STRIPE__SECRETKEY=sk_live_...
+```
+
+---
+
+### Rust
+
+```rust
+// ❌ Запрещено
+let db_url = "postgresql://admin:pass@host/db";
+let api_key = "sk_live_AbCdEf123456";
+```
+
+```rust
+// ✅ Обязательно
+let db_url  = std::env::var("DATABASE_URL")
+    .expect("DATABASE_URL must be set");
+let api_key = std::env::var("STRIPE_SECRET_KEY")
+    .expect("STRIPE_SECRET_KEY must be set");
+```
+
+```rust
+// ✅ С дефолтом для разработки (только non-production)
+#[cfg(not(feature = "production"))]
+let db_url = std::env::var("DATABASE_URL")
+    .unwrap_or_else(|_| "postgresql://localhost/dev".to_string());
+```
+
+---
+
+## SQL INJECTION — параметризованные запросы
+
+Никогда не собирай SQL строку конкатенацией или f-strings.
+
+### Python
+
+```python
+# ❌ SQL injection — никогда
+user_id = request.args.get("id")
+query = f"SELECT * FROM users WHERE id = {user_id}"
+cursor.execute(query)
+
+# ❌ Тоже запрещено
+query = "SELECT * FROM users WHERE name = '" + name + "'"
+```
+
+```python
+# ✅ Параметризованный запрос
+cursor.execute("SELECT * FROM users WHERE id = %s", (user_id,))
+
+# ✅ SQLAlchemy
+result = session.execute(
+    select(User).where(User.id == user_id)
+)
+```
+
+### JavaScript
+
+```javascript
+// ❌ SQL injection
+const query = `SELECT * FROM users WHERE id = ${userId}`;
+db.query(query);
+```
+
+```javascript
+// ✅ node-postgres
+db.query('SELECT * FROM users WHERE id = $1', [userId]);
+
+// ✅ Prisma (ORM — безопасен по умолчанию)
+const user = await prisma.user.findUnique({ where: { id: userId } });
+```
+
+### C#
+
+```csharp
+// ❌ SQL injection
+var query = $"SELECT * FROM Users WHERE Id = {userId}";
+```
+
+```csharp
+// ✅ Dapper
+var user = await db.QueryFirstOrDefaultAsync<User>(
+    "SELECT * FROM Users WHERE Id = @Id",
+    new { Id = userId }
+);
+
+// ✅ EF Core (LINQ — безопасен по умолчанию)
+var user = await context.Users.FindAsync(userId);
+```
+
+### Rust
+
+```rust
+// ❌ SQL injection
+let query = format!("SELECT * FROM users WHERE id = {}", user_id);
+```
+
+```rust
+// ✅ sqlx
+let user = sqlx::query_as::<_, User>(
+    "SELECT * FROM users WHERE id = ?"
+)
+.bind(user_id)
+.fetch_one(&pool)
+.await?;
+```
+
+---
+
+## ЧТО НЕ ЛОГИРОВАТЬ
+
+Запрещено передавать в любые `log`, `print`, `console.log`, `Logger.Log`, `tracing::info!`:
+
+| Запрещено логировать | Причина |
+|---|---|
+| Пароли и хеши паролей | Утечка в файлы логов |
+| API ключи и токены | Rotated токены в логах — уязвимость |
+| JWT токены (полностью) | Payload декодируется — данные пользователя |
+| Cookie значения (session_id) | Hijacking через логи |
+| Credit card номера | PCI DSS нарушение |
+| SSN / паспортные данные | GDPR / HIPAA нарушение |
+| Private keys | Самоочевидно |
+| Connection strings | Пароль в строке |
+| Request headers: Authorization | Bearer token |
+
+### Примеры:
+
+```python
+# ❌ Запрещено
+logger.info(f"User logged in with token: {jwt_token}")
+logger.debug(f"DB connection: {db_url}")
+```
+
+```python
+# ✅ Правильно
+logger.info(f"User {user.id} logged in")
+logger.debug(f"DB connection established (host: {db_host})")
+```
+
+```javascript
+// ❌ Запрещено
+console.log('Auth header:', req.headers.authorization);
+
+// ✅ Правильно
+console.log('Auth header present:', !!req.headers.authorization);
+```
+
+```csharp
+// ❌ Запрещено
+_logger.LogDebug("Connection string: {ConnectionString}", connStr);
+
+// ✅ Правильно
+_logger.LogDebug("Database connected to host: {Host}", dbHost);
+```
+
+---
+
+## Чеклист перед коммитом с auth/db кодом
+
+Проверь каждый пункт:
+
+- [ ] `fchek secrets .` → `verdict: "clean"`
+- [ ] Connection strings читаются из `os.environ` / `process.env` / `std::env::var` / `GetConnectionString`
+- [ ] `.env` файл в `.gitignore`
+- [ ] Нет захардкоженных секретов в тестах
+- [ ] SQL запросы используют параметры, не конкатенацию строк
+- [ ] Ничего чувствительного не передаётся в логи