ganbatte-os 0.2.41 → 0.2.42

package/.gos/skills/validate-plan/SKILL.md

@@ -1,6 +1,6 @@
 ---
 name: validate-plan
-description: Valida implementacao pos-execute. Para cada task em validacao, re-roda visual gate curto (anatomia + tokens), confronta diff staged contra Componentes mapeados, confere checklist do plano. Auto-marca concluido o que passa. Fecha plano quando todas as tasks fecham E backend pendings ClickUp estao concluidas.
+description: Valida implementacao pos-execute (etapa validate/Senior). Para cada task em validacao, re-roda visual gate curto + verifica criterios de aceite, e CORRIGE gaps deixados pelo Junior antes de concluir. Confronta diff contra Componentes mapeados, confere checklist do plano. Auto-marca concluido o que passa. Fecha plano quando todas as tasks fecham E backend pendings locais estao concluidas.
 argument-hint: "<PLAN-NNN-slug> [NOTAS=...]"
 allowedTools: [Read, Glob, Grep, Bash, Edit, Agent, AskUserQuestion]
 sourceDocs:
@@ -21,7 +21,7 @@ metadata:
   category: validation
 ---
 
-Voce esta executando como **Revisor de Planos** via skill `validate-plan`. Fecha o ciclo `*plan -> *execute-plan -> *validate-plan`. Ambiente recomendado: Opus 4.7 (revisor); funciona em qualquer IDE.
+Voce esta executando como **Revisor de Planos (Senior)** via skill `validate-plan`. Fecha o ciclo `*plan -> *execute-plan -> *validate-plan`. Etapa **validate** — resolver o modelo com `node .gos/scripts/tools/model-router.js get validate` (default `claude-opus-4-8`). Diferente de um revisor passivo: o Senior AUDITA e **corrige os GAPs** que o Junior deixou (edita o codigo, re-verifica) antes de concluir.
 
 ## Input
 
@@ -35,7 +35,7 @@ Formato esperado:
 
 1. Resolver paths via `.gos-local/plan-paths.json`. Ausente -> abortar.
 2. Localizar `<dirs.planos>/<PLAN-NNN-slug>/plan.md`. Ausente -> abortar.
-3. Ler `plan.md` por completo: frontmatter + Componentes mapeados + Plano de execucao + Checklist de aceite + Backend pendings.
+3. Ler `plan.md` por completo: frontmatter + Componentes mapeados + Plano de execucao + Checklist de aceite + Backend pendings. Ler tambem `spec.md` (criterios de aceite globais + contrato) — e o padrao contra o qual o Senior audita.
 4. Listar arquivos staged: `git diff --staged --name-only`. Vazio -> warning visivel ("nenhuma alteracao staged; *execute-plan rodou?") mas NAO aborta — pode validar plano que ja foi commitado, comparando com `git log` desde `validated_at` ou `created_at`.
 5. Ler `<dirs.progress>` (progress.txt). Confirmar que `plan_active` casa com o argumento; se outro plano estiver ativo, perguntar antes de prosseguir.
 
@@ -57,17 +57,16 @@ Para cada `T-NNN-NN-*.md` em `validacao`:
       - **Comportamentos**: para cada `interaction_target:` da task, grep do handler/estado no diff. Para cada `override_target:` da task, grep das classes/props da decisao.
    c) Output: append em `tasks/T-NNN-NN.notes.md` na secao `## Validate run <iso>`.
 2. **Confronto diff x mapeamento**: arquivos alterados pela task estao listados em "Componentes mapeados" do plano? Arquivos fora do mapeamento -> warning (nao falha por padrao).
-3. **Checklist da task (DoD)**: ler `## Criterios de aceitacao` da task. Itens nao marcados (`[ ]`) = falha automatica.
-4. **Triagem da falha (regra: backend nao impacta frontend)**: quando algum item falha, **classificar a causa-raiz** antes de decidir o estado:
-   - Causa **frontend** (componente faltando, classe errada, handler ausente, anatomia divergente, token errado, comportamento mapeado sem implementacao no diff): **falha real do frontend** -> mantem `validacao`, registra em `T-NNN-NN.notes.md`.
-   - Causa **backend** (smoke falha por ACL/visibilidade/permissao por perfil; dados ausentes no DB; endpoint nao retorna o shape esperado; coluna `-` por seed incompleto fora do escopo da task; perfil/role sem acesso ao recurso): **NAO e falha do frontend**. Acao:
+3. **Criterios de aceite da task**: ler `## Critérios de aceite` da task. Rodar cada criterio (comando + resultado esperado, ou evidencia no diff). Item nao atendido (`[ ]` / comando falha) = gap a resolver.
+4. **Triagem da falha + correcao de GAP pelo Senior**: quando algum criterio/gate falha, **classificar a causa-raiz**:
+   - Causa **frontend** (componente faltando, classe errada, handler ausente, anatomia divergente, token errado, comportamento/criterio mapeado sem implementacao no diff): **GAP do Junior**. O Senior **corrige** direto (Edit/Agent) — implementa o que falta, re-roda o gate + o criterio, e so entao conclui. Anti-falso-positivo: re-verificar apos a correcao, nunca auto-declarar. Registrar a correcao em `T-NNN-NN.notes.md`. Se o gap for grande demais para correcao cirurgica (exige re-execucao ampla): manter `validacao`, registrar e instruir `*execute-plan --task T-NNN-NN`.
+   - Causa **backend** (smoke falha por ACL/visibilidade/permissao por perfil; dados ausentes no DB; endpoint nao retorna o shape esperado; coluna `-` por seed incompleto fora do escopo da task; perfil/role sem acesso ao recurso): **NAO e gap do frontend**. Acao:
      a) Marcar a task como `concluido` se o codigo frontend esta correto (passou nas 3 dimensoes do gate curto).
-     b) Abrir/atualizar entrada em `## Backend pendings` do `plan.md` descrevendo o gap (ex.: `acl-lideranca-projetos-detalhe`, `seed-area-projeto`, `endpoint-projetos-detalhes-by-perfil`).
-     c) Criar/atualizar task ClickUp via `mcp__clickup__clickup_create_task` (assignee `112010775`, list `clickup.backend_list_id`). Gravar `ClickUp ID` na tabela.
-     d) Registrar em `T-NNN-NN.notes.md` secao `## Validate run <iso>` o motivo da reclassificacao.
-   - Causa **ambigua** (nao da pra decidir entre fe/be sem investigacao adicional): mantem `validacao` E abre task ClickUp investigativa. NAO bloquear o plano por ambiguidade.
+     b) Abrir/atualizar entrada LOCAL em `## Backend pendings` do `plan.md` descrevendo o gap (`gap-key`, ex.: `acl-lideranca-projetos-detalhe`). Gap grande -> criar plano-irmao `PLAN-NNN-backend-<slug>` e referenciar na coluna.
+     c) Registrar em `T-NNN-NN.notes.md` secao `## Validate run <iso>` o motivo da reclassificacao.
+   - Causa **ambigua** (nao da pra decidir entre fe/be sem investigacao adicional): mantem `validacao` E registra alerta ao usuario em `T-NNN-NN.notes.md`. NAO bloquear o plano por ambiguidade.
 
-   **Tudo bate** -> `*progress status T-NNN-NN concluido` (auto-marca; rollback humano via `*progress status T-NNN-NN pendente --rollback` se necessario).
+   **Tudo bate (ou gap corrigido e re-verificado)** -> `*progress status T-NNN-NN concluido` (auto-marca; rollback humano via `*progress status T-NNN-NN pendente --rollback` se necessario).
 
 ## Fechamento do plano
 
@@ -78,12 +77,14 @@ Apos o loop:
 2.1. **Cobertura de drift map**: ler `## Drift map` (e `<plano>/drift-map.md` se existir). Cada linha tem override implementado OU task `concluido` cobrindo? Linha sem encaminhamento -> plano permanece em `validacao` (registrar em `T-NNN-NN.notes.md` da task mais proxima).
 2.2. **Cleanup legado**: para cada task com frontmatter `cleanup_target: <path>`, confirmar que o arquivo foi removido. Comando: `git log --diff-filter=D --name-only --since=<plan.created_at> -- <path>` deve retornar match OU `git diff --staged --name-only --diff-filter=D` contem `<path>`. Falha -> task volta a `validacao` (nao auto-conclui).
 3. **Checklist do plano**: ler `## Checklist de aceite` em `plan.md`. Itens nao marcados -> plano permanece em `validacao` mesmo se todas as tasks fecharam.
-4. **Backend pendings**: ler `## Backend pendings`. Para cada linha com `ClickUp ID`:
-   - Consultar `mcp__clickup__clickup_get_task <ID>`.
-   - Se status != `concluido`/`closed` -> bloqueio ainda ativo.
-   - Atualizar coluna `Status` da tabela com o estado atual do ClickUp.
+3.1. **Auditoria de seguranca**: invocar `security-review PLAN-NNN-<slug>` (ou `--staged`). Findings `CRITICAL`/`HIGH` -> viram task de correcao; o Senior corrige (loop) OU plano permanece em `validacao` ate resolver. `MEDIUM`/`LOW` registrados, nao bloqueiam.
+3.2. **Auditoria de performance**: invocar `perf-review PLAN-NNN-<slug>`. Findings de alto impacto -> task de otimizacao (nao bloqueia o fechamento salvo se for regressao clara introduzida pelo plano). Registrar os demais.
+3.3. **Doc-sync gate** (`libraries/doc-sync-policy.md`): ler `## Impacto documental` do `plan.md`/`spec.md`. Cada doc listada tem alteracao correspondente no diff (regra de negocio/RLS/permissao/seed/contrato tocada => doc atualizada)? Item nao resolvido -> plano permanece em `validacao`.
+4. **Backend pendings (local)**: ler `## Backend pendings`. Para cada linha:
+   - Se tem plano-irmao `PLAN-NNN-backend-<slug>`: ler o status dele no `progress.txt`.
+   - Atualizar a coluna `Status` local (`aberto`/`em-andamento`/`concluido`).
 5. **Decisao**:
-   - Todas tasks `concluido` + cobertura de comportamento + cobertura de overrides + checklist do plano marcado + backend pendings todos `concluido` no ClickUp -> marcar `plan.md` frontmatter `validated_at: <iso>` + `*progress status PLAN-NNN-<slug> concluido`.
+   - Todas tasks `concluido` + cobertura de comportamento + cobertura de overrides + checklist do plano marcado + **seguranca sem CRITICAL/HIGH aberto** + **doc-sync resolvido** + backend pendings locais todos `concluido` -> marcar `plan.md` frontmatter `validated_at: <iso>` + `*progress status PLAN-NNN-<slug> concluido`.
    - Caso contrario -> manter `validacao`, listar bloqueios.
 6. **Push**: NAO. Commit ja foi preparado por `*execute-plan`. Push e ato consciente humano (`git push`).
 
@@ -95,9 +96,10 @@ Resumo em 4 blocos:
 [validate-plan] PLAN-NNN-<slug>
 
 tasks concluidas:   <N>  (T-..., T-...)
+gaps corrigidos:    <G>  (T-... pelo Senior)
 tasks pendentes:    <M>  (T-..., T-...)
-bloqueada-backend:  <K>  (T-...:CU-..., ...)
-backend pendings:   <X>  abertas no ClickUp / <Y> concluidas
+bloqueada-backend:  <K>  (T-...:<gap-key>, ...)
+backend pendings:   <X>  abertas (local) / <Y> concluidas
 
 plano: <concluido | validacao>
 proximo passo: <git push | resolver bloqueios | re-rodar visual gate em T-...>
@@ -112,24 +114,21 @@ Se `validate-plan` detectar que uma task em `validacao` claramente NAO foi imple
 
 ## Regras criticas
 
-- **Auto-conclusao e default**: tudo que passa em checklist + visual gate curto + diff vira `concluido` automaticamente. Rollback humano sempre disponivel.
-- **Backend nao impacta status de tasks frontend**: smoke ou e2e que falha por ACL/visibilidade/dados/endpoint NAO mantem task frontend em `validacao` — reclassifica como `concluido` (codigo OK) + abre/atualiza `Backend pendings` + ClickUp. O fechamento do plano fica bloqueado pelo ClickUp do backend, NAO pela task frontend.
+- **Senior corrige gaps**: gap de frontend deixado pelo Junior e CORRIGIDO aqui (Edit/Agent) e re-verificado, nao apenas sinalizado. Auto-conclusao apos correcao + re-verificacao. Rollback humano sempre disponivel.
+- **Backend nao impacta status de tasks frontend**: smoke ou e2e que falha por ACL/visibilidade/dados/endpoint NAO mantem task frontend em `validacao` — reclassifica como `concluido` (codigo OK) + abre/atualiza `Backend pendings` local. O fechamento do plano fica bloqueado pelo pending local do backend, NAO pela task frontend.
 - **Sem push automatico**: commit ja preparado pelo `*execute-plan`, push e manual.
 - **State machine respeitada**: tasks `bloqueada-backend` ficam intocadas — backend tem que fechar primeiro.
-- **Backend pendings via ClickUp MCP**: se MCP indisponivel, registra warning e mantem plano em `validacao` ate humano confirmar manualmente.
+- **Backend pendings locais**: o plano so fecha quando os pendings (e planos-irmaos de backend) estao `concluido` no tracking local.
 
 ## Model guidance
 
-| Escopo | Modelo |
-|--------|--------|
-| Validacao curta de plano com poucas tasks | `sonnet` |
-| Plano grande (10+ tasks, varios componentes) | `opus` |
-| Visual gate curto (2 dimensoes, sem Figma MCP) | inherit |
+Etapa **validate** (Senior). Resolver o modelo com `node .gos/scripts/tools/model-router.js get validate` (default `claude-opus-4-8`). O Senior tem capacidade de auditar E corrigir gaps — usar o modelo mais capaz da etapa; nao rebaixar para modelo de execucao.
 
 ## Instructions
 
 1. NUNCA pular checklist do plano — itens nao marcados bloqueiam fechamento.
-2. NUNCA marcar `concluido` sem visual gate curto rodado e gravado em `T-NNN-NN.notes.md`.
-3. Backend pendings via ClickUp MCP sao vinculantes — plano so fecha quando todos `concluido`.
-4. Resolver TODOS os paths via `plan-paths.json`.
+2. NUNCA marcar `concluido` sem visual gate curto + criterios de aceite rodados e gravados em `T-NNN-NN.notes.md`.
+3. Backend pendings locais sao vinculantes — plano so fecha quando todos `concluido`.
+4. Gap de frontend do Junior: o Senior corrige e re-verifica antes de concluir (sem falso-positivo).
+5. Resolver TODOS os paths via `plan-paths.json`.
 5. Output final: 4-block summary + comando exato de proximo passo (push manual, ou comandos para resolver bloqueios).

package/.gos/squads/code-quality/README.md

@@ -0,0 +1,20 @@
+# Code Quality Squad
+
+Squad de qualidade de código em **nível de desenvolvimento**: segurança, performance e anti-over-engineering. Não é org-health/DORA — é review de código.
+
+## Escopo
+
+- Segurança: vulnerabilidades conhecidas (React/Next/TS/Node/Deno/Supabase RLS+edge/Cloudflare D1/Workers) — `security-review`.
+- Performance: cache, filas, background, cron, N+1, views/materialized, paginação, over-fetch — `perf-review`.
+- Anti-over-engineering: o que deletar, ladder YAGNI→reuso→stdlib→native→dep→1 linha — `simplify-review`.
+
+## Quando roda
+
+- **Fechamento de plano**: `validate-plan` delega `security-review` + `perf-review` antes de concluir (CRITICAL/HIGH bloqueiam).
+- **Sob demanda**: `*security-review`, `*perf-review`, `*simplify-review`.
+
+## Catálogos
+
+- `libraries/security-audit-playbook.md`
+- `libraries/performance-audit-playbook.md`
+- `libraries/lazy-dev-policy.md`

package/.gos/squads/code-quality/squad.yaml

@@ -0,0 +1,32 @@
+name: code-quality
+version: "1.0.0"
+short-title: "Code Quality Squad"
+description: "Squad de qualidade de codigo em nivel de desenvolvimento: seguranca, performance e anti-over-engineering. Nao e org-health/DORA — e review de codigo."
+slashPrefix: "code-quality"
+
+components:
+  agents:
+    - security-auditor.md
+    - perf-optimizer.md
+    - qa.md
+  skills:
+    - security-review
+    - perf-review
+    - simplify-review
+  workflows:
+    - wf-code-quality.yaml
+
+routing_matrix:
+  seguranca:
+    primary: security-auditor
+    triggers: ["seguranca", "vulnerabilidade", "rls", "auth", "secret", "*security-review"]
+  performance:
+    primary: perf-optimizer
+    triggers: ["performance", "otimizar", "lento", "n+1", "cache", "paginacao", "*perf-review"]
+  over_engineering:
+    primary: qa
+    triggers: ["over-engineering", "simplificar", "o que deletar", "*simplify-review"]
+
+notes: >
+  Acionada no fechamento de plano (validate-plan delega security-review + perf-review)
+  e sob demanda. Foco CODIGO (React/Next/TS/Node/Deno/Supabase/D1), nao metricas de org.

package/.gos/squads/code-quality/workflows/wf-code-quality.yaml

@@ -0,0 +1,19 @@
+workflow:
+  id: wf-code-quality
+  name: "Code Quality Pipeline"
+  entry_agent: security-auditor
+  type: sequential
+
+phases:
+  - id: security
+    name: "Security Audit"
+    owner: security-auditor
+    goal: "Auditar vulnerabilidades (RLS/edge/D1/secrets/injection/authz) contra security-audit-playbook. CRITICAL/HIGH viram task de correcao."
+  - id: performance
+    name: "Performance Audit"
+    owner: perf-optimizer
+    goal: "Auditar cache/filas/cron/N+1/views/paginacao/over-fetch contra performance-audit-playbook. Alto impacto vira task de otimizacao."
+  - id: simplify
+    name: "Simplify Review"
+    owner: qa
+    goal: "Review de over-engineering (lazy-dev-policy): o que deletar. net: -N linhas possiveis."

package/.gos/squads/design-delivery/README.md

@@ -7,4 +7,4 @@ Squad para sair de design ou codigo bruto gerado por IA ate backlog pronto para
 - Figma frame -> React/Next.js
 - Figma Make -> triagem -> integracao
 - Google Stitch -> triagem -> refactor -> hardening
-- backlog -> sprint -> ClickUp
+- plano por tela -> tasks com criterios de aceite -> validacao

package/.gos/squads/design-delivery/squad.yaml

@@ -1,7 +1,7 @@
 name: design-delivery
 version: "1.0.0"
 short-title: "Design Delivery Squad"
-description: "Converte design e output de ferramentas generativas em codigo pronto para sprint e sincronizacao com ClickUp."
+description: "Converte design e output de ferramentas generativas em codigo pronto para producao (plano, execucao e validacao)."
 slashPrefix: "design-delivery"
 
 components:
@@ -11,6 +11,7 @@ components:
     - dev.md
     - sm.md
     - po.md
+    - qa.md
     - devops.md
   workflows:
     - wf-design-delivery.yaml
@@ -25,6 +26,6 @@ routing_matrix:
   stitch_code:
     primary: dev
     triggers: ["google stitch", "stitch", "codigo gerado pelo stitch"]
-  sprint_sync:
+  plan_pipeline:
     primary: sm
-    triggers: ["criar sprint", "subir clickup", "sync clickup"]
+    triggers: ["plano de tela", "planejar entrega", "quebrar em tasks"]

package/.gos/squads/design-delivery/workflows/wf-design-delivery.yaml

@@ -18,10 +18,10 @@ phases:
     owner: dev
     goal: "Transformar o material em codigo reutilizavel para React ou Next.js."
   - id: planning
-    name: "Sprint Planning"
+    name: "Plan Pipeline"
     owner: sm
-    goal: "Gerar backlog, prioridades e entregaveis de sprint."
-  - id: sync
-    name: "ClickUp Sync"
-    owner: devops
-    goal: "Criar ou atualizar sprint no ClickUp."
+    goal: "Gerar plano por tela, tasks com criterios de aceite e ordem backend-first."
+  - id: quality
+    name: "Quality Gate"
+    owner: qa
+    goal: "Auditar seguranca e performance; validar criterios de aceite antes de fechar."

package/.gos/templates/planTemplate.md

@@ -143,14 +143,23 @@ Decisões possíveis:
 
 ## Backend pendings
 
-> Gaps detectados confrontando Postman/regras-de-negocio com a necessidade da tela. Cada item vira task ClickUp atribuída ao Douglas (default) ou ao `ASSIGNEE` informado. Vazio = backend completo para esta tela.
+> Gaps detectados confrontando Postman/regras-de-negocio com a necessidade da tela. Tracking **local** (sem serviço externo). Vazio = backend completo para esta tela.
 
+> Coluna `Backend plan` referencia o plano-irmão `PLAN-NNN-backend-<slug>` quando o gap é grande o bastante para virar plano próprio; senão fica `-` (gap resolvido inline). Coluna `Status` é local: `aberto` / `em-andamento` / `concluido`.
 > Coluna `Bloqueia tasks` lista os T-IDs frontend cujo frontmatter declara `depends_on_backend:` apontando para a `gap-key` desta linha (ex.: `migration-20260501150000`).
-> Coluna `Bypass frontend` declara COMO o frontend entrega sem o backend pronto (fallback, mock, toast "em breve", cast + null-coalesce). Sem bypass declarado, a tarefa frontend fica `bloqueada-backend`. **Princípio: frontend nunca bloqueado por gap de backend — sempre há bypass OU a task é explicitamente bloqueada.**
+> Coluna `Bypass frontend` declara COMO o frontend entrega sem o backend pronto (fallback, mock, toast "em breve", cast + null-coalesce). Sem bypass declarado, a tarefa frontend fica `bloqueada-backend`. **Princípio: frontend nunca bloqueado por gap de backend — sempre há bypass OU a task é explicitamente bloqueada. Execução prioriza backend-first para destravar.**
 
-| gap-key | Gap | Bypass frontend | Endpoint/Coleção esperada | ClickUp ID | Status | Bloqueia tasks |
-|---------|-----|-----------------|---------------------------|------------|--------|----------------|
-|         |     |                 |                           |            |        |                |
+| gap-key | Gap | Bypass frontend | Endpoint/Coleção esperada | Backend plan | Status | Bloqueia tasks |
+|---------|-----|-----------------|---------------------------|--------------|--------|----------------|
+|         |     |                 |                           |              |        |                |
+
+## Impacto documental
+
+> Item 2 / `libraries/doc-sync-policy.md`. Docs que MUDAM com esta entrega (regras de negócio, fluxos, permissões, auditorias, seeds, ADRs, guias, contratos de API). `validate-plan` bloqueia o fechamento se um item aqui não foi atualizado no diff. Vazio = entrega não toca regra de negócio nem documentação.
+
+| Doc impactada | O que atualizar | Motivo (regra criada/alterada/removida) |
+|---------------|-----------------|------------------------------------------|
+|               |                 |                                          |
 
 ## Mock strategy
 

package/.gos/templates/specTemplate.md

@@ -0,0 +1,68 @@
+---
+id: SPEC-<NNN>-<slug>
+plan_id: PLAN-<NNN>-<slug>
+tela: <nome da tela>
+stack_ref: docs/stack.md@<sha-curto>
+created_at: <iso>
+---
+
+# Spec — <Título da tela>
+
+> **Spec completa de desenvolvimento**. Deriva de `plan.md` + `context.md` + tasks e é o contrato que o **Junior executa** e o **Senior audita**. Responde O QUE / ONDE / COMO / POR QUE e fecha com critérios de aceite verificáveis. Sem placeholders: seção sem resposta = spec incompleta.
+
+## POR QUE (motivação)
+
+<Problema/necessidade que a entrega resolve. Referência a PRD/ticket/decisão de produto. O que muda quando isto existir.>
+
+## O QUE (escopo)
+
+<Descrição precisa do entregável: telas, componentes, comportamentos, dados. O que está DENTRO e o que está FORA do escopo (lista explícita de out-of-scope).>
+
+**Fora de escopo:**
+- <item que parece relacionado mas NÃO deve ser tocado>
+
+## Contrato backend / frontend
+
+> Item 9: decidir se o backend pronto atende ANTES de detalhar o frontend.
+
+- **Backend existente atende?** <sim | não | parcial>
+  - **Se sim**: o que usar (endpoint/coleção Postman | tabela | regra-de-negócio), por quê, onde e como consumir.
+  - **Se não/parcial**: gaps listados em `plan.md` `## Backend pendings`. Gap grande → plano-irmão `PLAN-NNN-backend-<slug>` executado ANTES do frontend dependente (backend-first).
+- **Padrão de fetching**: <server component | server action | client + cache>
+- **Auth/authz requerida**: <sim/não> — provider e regras (RLS/policy) de `docs/stack.md`.
+
+## ONDE (arquivos e rotas)
+
+> Referência a `context.md` `## Arquivos relevantes`. Caminhos concretos.
+
+- Rota: `<src/app/.../page.tsx>`
+- Arquivos-chave: `<lista com função de cada um>`
+
+## COMO (abordagem técnica)
+
+<Passo a passo da implementação em nível de spec: estrutura de pastas/rotas, fetching, composição de componentes, estado e interatividade, estados visuais (skeleton/empty/error/loading). Referência ao `## Plano de execução` do plano.>
+
+## Segurança e performance (checagens obrigatórias)
+
+> Auditadas por `security-review` / `perf-review` no fechamento.
+
+- **Segurança**: <RLS/policy aplicável, authz de endpoint/edge, validação Zod no boundary, sem secret no client>.
+- **Performance**: <cache estratégico, paginação por filtro/search, evitar N+1/over-fetch, trabalho não-realtime em fila/cron>.
+
+## Impacto documental
+
+> Item 2. Docs que MUDAM com esta entrega (regras de negócio, fluxos, permissões, seeds, ADR, guias). Atualizar no mesmo PR.
+
+- <doc impactada 1 — o que atualizar>
+
+## Critérios de aceite (globais)
+
+> Verificáveis (comando + resultado esperado). Cada task herda os que lhe cabem em `## Critérios de aceite (DoD)`. Se um critério falhar: loop de correção até passar (execute) / correção do Senior (validate). Anti-falso-positivo: re-verificar, nunca auto-declarar.
+
+- [ ] <critério 1 — comando + resultado esperado>
+- [ ] <critério 2>
+- [ ] `tsc --noEmit` exit 0
+- [ ] Estados loading/empty/error/success implementados
+- [ ] Segurança: sem findings críticos em `security-review`
+- [ ] Performance: sem findings críticos em `perf-review`
+- [ ] Documentação impactada atualizada (seção acima)

package/.gos/templates/taskTemplate.md

@@ -55,16 +55,19 @@ Nenhuma seção pode ficar com placeholder. Se não há resposta para uma das 4,
 - [ ] Passo 2
 - [ ] Passo 3
 
-## Critérios de aceitação (DoD)
+## Critérios de aceite (DoD)
 
-- [ ] Implementação atende `valida_em` do plano
+> Cada critério é **machine-checkable** (comando + resultado esperado) OU verificável por evidência no diff. `execute-plan` roda estes critérios ao concluir a task (loop de correção: OK → segue; inconclusivo → bypass + alerta; falha → corrige até passar, teto 3). `validate-plan` (Senior) re-verifica e corrige gaps. Derivados do `spec.md` (critérios globais) + `valida_em` do plano.
+
+- [ ] Implementação atende `valida_em` do plano e o critério correspondente do `spec.md`
 - [ ] **Visual gate aprovado** (relatório em `T-NNN-NN.notes.md` com 5 seções: anatomia, tokens, variants, densidade, comportamentos)
 - [ ] **Comportamentos**: cada `interaction_target` declarado tem handler/estado implementado e observável no diff
 - [ ] **Overrides**: cada `override_target` declarado foi aplicado conforme decisão (a/b/c) registrada em `## Page-level overrides`
 - [ ] **Cleanup**: quando `cleanup_target:` declarado, arquivo foi removido (`git diff --staged` mostra deleção)
-- [ ] Tests/CI verdes
-- [ ] Sem regressões
-- [ ] <métrica específica>
+- [ ] `tsc --noEmit` exit 0 (ou comando de typecheck da stack)
+- [ ] Tests/CI verdes: `<comando de teste da stack>` → passa
+- [ ] Sem regressões nos fluxos de `## Tabela de regressão` do plano
+- [ ] <critério específico da task — comando + resultado esperado>
 
 ## Riscos & Rollback
 

package/AGENTS.md

@@ -32,8 +32,6 @@ Este repo existe para acelerar design-to-code e entrega de sprint.
 | **interface-design** | `/gos:skills:interface-design` | Design de interface com metodologia intent-first |
 | **react-best-practices** | `/gos:skills:react-best-practices` | Otimizacao de performance React/Next.js |
 | **react-doctor** | `/gos:skills:react-doctor` | Diagnostico de saude de componentes React |
-| **sprint-planner** | `/gos:skills:sprint-planner` | Planejamento completo de sprint |
-| **clickup** | `/gos:skills:clickup` | Gestao de tarefas e sprints no ClickUp |
 | **plan-to-tasks** | `/gos:skills:plan-to-tasks` | Converte plano em tasks acionaveis |
 | **agent-teams** | `/gos:skills:agent-teams` | Coordena multiplos agentes em time |
 | **git-ssh-setup** | `/gos:skills:git-ssh-setup` | Configura identidade SSH para o workspace |

package/CLAUDE.md

@@ -1,11 +1,11 @@
 # ganbatte-os Context
 
-ganbatte-os e uma distribuicao enxuta do framework operacional ganbatte-os para:
+ganbatte-os e uma distribuicao enxuta do framework operacional ganbatte-os, focada em DESENVOLVIMENTO:
 
+- prototipacao de ideias
 - converter design em codigo
-- organizar squads de entrega
-- planejar sprint
-- sincronizar backlog no ClickUp
+- implementacao, otimizacao e seguranca
+- organizar squads de desenvolvimento
 
 Priorize React e Next.js. Quando houver input vindo de Figma Make ou Stitch, trate o codigo como material de triagem antes de integrar ao projeto final.
 
@@ -30,6 +30,13 @@ Todo texto gerado deve passar por correcao ortografica e remocao de padroes de I
 - **Humanizacao**: Skill `/humanizer` remove padroes de escrita artificial (26 patterns)
 - **Referencia**: `libraries/content/ai-writing-patterns.md` (taxonomia de padroes)
 
+## Qualidade de Codigo (seguranca, performance, docs)
+
+- **Seguranca**: `security-review` audita vulnerabilidades conhecidas (React/Next/TS/Node/Deno/Supabase RLS+edge/D1). Roda no fechamento do `validate-plan` e sob demanda (`*security-review`). CRITICAL/HIGH bloqueiam o fechamento do plano. Catalogo: `libraries/security-audit-playbook.md`.
+- **Performance**: `perf-review` audita cache, filas, background, cron, N+1, views/materialized, paginacao, over-fetch (Supabase e D1). Roda no fechamento e sob demanda (`*perf-review`). Catalogo: `libraries/performance-audit-playbook.md`.
+- **Documentacao sempre sincronizada** (`libraries/doc-sync-policy.md`): regra de negocio criada/alterada/removida => atualizar docs impactadas (regras-de-negocio, fluxos, permissoes, ADR, seeds, contratos) no mesmo PR. `plan.md` `## Impacto documental` declara; `validate-plan` bloqueia o fechamento se algo ficou dessincronizado.
+- **Anti-over-engineering** (`libraries/lazy-dev-policy.md`): escrever so o necessario — reuso > stdlib > native > dep > 1 linha > minimo. Nunca cortar validacao/seguranca/a11y.
+
 ## Comandos do Workspace
 
 | Comando | O que faz |
@@ -40,7 +47,6 @@ Todo texto gerado deve passar por correcao ortografica e remocao de padroes de I
 | `npm run gos:version` | Versao e atualizacoes |
 | `npm run sync:ides` | Regenera IDE adapters |
 | `npm run check:ides` | Valida IDE adapters |
-| `npm run clickup` | CLI ClickUp |
 
 ## Slash Commands
 
@@ -48,14 +54,24 @@ Todo texto gerado deve passar por correcao ortografica e remocao de padroes de I
 gos-master | architect | dev | devops | po | qa | sm | squad-creator | ux-design-expert
 
 ### Skills (invoke via /gos:skills:{slug})
-design-to-code | figma-implement-design | figma-make-analyzer | make-code-triage | make-version-diff | component-dedup | frontend-dev | interface-design | react-best-practices | react-doctor | sprint-planner | clickup | plan-to-tasks | agent-teams | git-ssh-setup | humanizer | weekly-update | slack-review | stack-profiler | plan-blueprint | progress-tracker | execute-plan | validate-plan | audit-screenshots
+design-to-code | figma-implement-design | figma-make-analyzer | make-code-triage | make-version-diff | component-dedup | frontend-dev | interface-design | react-best-practices | react-doctor | plan-to-tasks | agent-teams | git-ssh-setup | humanizer | stack-profiler | plan-blueprint | progress-tracker | execute-plan | validate-plan | audit-screenshots | security-review | perf-review | simplify-review
 
 ### IDEs suportadas (npm run sync:ides gera adapters)
 Claude Code | Cursor | Gemini CLI | Qwen Code | Antigravity | Opencode | Kilo Code | **Codex IDE Extension** (ambiente de execucao, comando primario `*execute-plan`)
 
+## Model routing por etapa (Junior executa, Senior audita)
+
+Regra persistida: planos, tasks e spec sao criados pensando que um **Junior executa** e um **Senior audita**. O modelo/provider de cada etapa e **configuravel** e resolvido por `.gos/scripts/tools/model-router.js`:
+
+- **plan** (Senior): cria plano + tasks + spec. Default `claude-opus-4-8`.
+- **execute** (Junior): analisa plano/tasks/spec e implementa. Default `claude-sonnet-5` (aceita Codex e modelos mais baratos adequados).
+- **validate** (Senior): audita a execucao e corrige qualquer GAP deixado pelo Junior. Default `claude-opus-4-8`.
+
+Precedencia: `.gos-local/models.json` (override local por dev/projeto) → `.gos/config.json` campo `stageModels` (default versionado). `gos init` gera o `.gos-local/models.json`. Consulta: `node .gos/scripts/tools/model-router.js get <plan|execute|validate>`.
+
 ## Plan Pipeline (stack-aware)
 
-Pipeline padronizado para criacao de planos por tela. Toda tela = 1 plano. Stack-of-record (`docs/stack.md`) e contrato — alteracoes de stack exigem ADR. Divisao de trabalho: **Opus 4.7 planeja, Codex IDE executa**.
+Pipeline padronizado para criacao de planos por tela. Toda tela = 1 plano. Stack-of-record (`docs/stack.md`) e contrato — alteracoes de stack exigem ADR. Divisao de trabalho: **Senior (etapa plan) planeja, Junior (etapa execute) implementa, Senior (etapa validate) audita** — modelos definidos em `stageModels` (ver acima).
 
 | Comando | Skill | IDE / Modelo | Funcao |
 |---------|-------|--------------|--------|
@@ -65,7 +81,7 @@ Pipeline padronizado para criacao de planos por tela. Toda tela = 1 plano. Stack
 | `*validate-plan <PLAN-NNN>` | `validate-plan` | Opus 4.7 (revisor) | Valida pos-execute; auto-marca concluido tasks que passam em checklist + visual gate curto + diff |
 | `*progress [show|set|status]` | `progress-tracker` | qualquer | Memoria L1 + state machine de status |
 
-State machine: `pendente -> em-andamento -> validacao -> concluido`. Estado lateral `bloqueada-backend` (introduzido pelo `*execute-plan` quando task tem `depends_on_backend:` em aberto no ClickUp; libera quando ClickUp fecha). `concluido` marcado automaticamente pelo `*validate-plan` quando passa em checklist + visual gate curto + diff + cobertura de `interaction_target`/`override_target`.
+State machine: `pendente -> em-andamento -> validacao -> concluido`. Estado lateral `bloqueada-backend` (introduzido pelo `*execute-plan` quando task tem `depends_on_backend:` com gap de backend ainda em aberto no tracking local; libera quando o pending local fecha). `concluido` marcado automaticamente pelo `*validate-plan` quando passa em checklist + visual gate curto + diff + cobertura de `interaction_target`/`override_target`.
 
 **Politica Figma vs Storybook**: story define API/anatomia do componente; em conflito visual cosmetico (bg, border, padding, radius), Figma da pagina vence — divergencia e registrada em `## Page-level overrides` do plano com decisao a/b/c (a=className, b=variant nova, c=excecao documentada). Sem essa disciplina, refinamentos da pagina viram retrabalho no fim (caso PLAN-005: 54 deltas em 26 rodadas).
 
@@ -73,7 +89,7 @@ State machine: `pendente -> em-andamento -> validacao -> concluido`. Estado late
 
 **Cleanup de starter legado (Fase 1.6)**: `.gos-local/plan-paths.json` campo `legacy_starter_dirs: ["src/figma-make/", ...]` faz `*plan` emitir tasks `T-NN-cleanup-legacy-<slug>` automaticamente para arquivos do starter. Sem o campo, comportamento atual preservado.
 
-**Schema/contrato gate (Fase 2.4)**: `.gos-local/plan-paths.json` campo `backend_schema_files: [...]` (Postman + Prisma) faz `*plan` validar contrato antes de emitir tasks frontend; gaps viram task ClickUp + entrada em `## Backend pendings`.
+**Schema/contrato gate (Fase 2.4)**: `.gos-local/plan-paths.json` campo `backend_schema_files: [...]` (Postman + Prisma) faz `*plan` validar contrato antes de emitir tasks frontend; gaps viram entrada local em `## Backend pendings` (e plano-irmao `PLAN-NNN-backend-<slug>` quando grandes).
 
 **Skill `*audit-screenshots`**: conversacional. Recebe N prints anotados em uma sessao, resolve cada print -> tela -> Figma frame via `docs/figma-screen-map.md`, compara, e ao fechar emite UM plano de correcao com tasks pendentes (sem executar). Acoplado ao mesmo template — output e input valido para `*execute-plan`/`*validate-plan`.
 

package/GEMINI.md

@@ -1,12 +1,12 @@
 # ganbatte-os For Gemini CLI
 
-Use este projeto como um kit de design-to-code e sprint ops.
+Use este projeto como um kit de desenvolvimento: design-to-code, implementacao, otimizacao e seguranca.
 
 ## Prioridades
 
 - Figma, Figma Make e Stitch para React/Next.js
-- planejamento de sprint
-- ClickUp
+- planejamento por tela (plano + tasks com criterios de aceite)
+- auditoria de seguranca e performance
 - revisao de qualidade antes de entrega
 
 ## Fontes principais

package/LICENSE

@@ -1,6 +1,6 @@
 MIT License
 
-Copyright (c) 2026 Douglas Oliveira
+Copyright (c) 2026 Douglas Oliveira (https://github.com/imdouglasoliveira)
 
 Permission is hereby granted, free of charge, to any person obtaining a copy
 of this software and associated documentation files (the "Software"), to deal

package/README.md

@@ -1,6 +1,6 @@
 # ganbatte-os
 
-Framework operacional para design-to-code, squads de entrega e sprint sync com ClickUp.
+Framework operacional de desenvolvimento: prototipacao, design-to-code, implementacao, otimizacao e seguranca.
 
 ---
 
@@ -8,7 +8,7 @@ Framework operacional para design-to-code, squads de entrega e sprint sync com C
 [![NPM Home](https://img.shields.io/badge/NPM-Registry-red)](https://www.npmjs.com/package/ganbatte-os)
 ![Node >= 18](https://img.shields.io/badge/Node.js-%3E%3D18-green)
 
-O **ganbatte-os** organiza agentes de IA, skills e squads num workspace pronto para uso. Ele orquestra o ciclo completo de desenvolvimento conectando Figma, ClickUp e as principais IDEs de IA (Claude Code, Gemini, Cursor, etc). Baseado nos padrões do framework `.a8z-OS`.
+O **ganbatte-os** organiza agentes de IA, skills e squads num workspace pronto para uso. Ele orquestra o ciclo completo de desenvolvimento — da prototipacao à implementação, otimização e segurança — conectando Figma e as principais IDEs de IA (Claude Code, Gemini, Cursor, etc). Baseado nos padrões do framework `.a8z-OS`.
 
 ## Quick Start
 
@@ -52,7 +52,6 @@ Após rodar o install, o framework criará uma estrutura limpa na sua raiz:
 | `npm run gos:rescue` | `gos rescue` | Lista/recupera stashes acumulados de updates falhos |
 | `npm run sync:ides` | — | Regenera apenas os IDE adapters (`.claude/`, `.qwen/`, `.gemini/`, `.cursor/`, `.agents/`) |
 | `npm run check:ides` | — | Valida que adapters estão consistentes com `.gos/skills/registry.json` |
-| `npm run clickup` | — | CLI ClickUp |
 
 ## Atualizar o ganbatte-os
 
@@ -210,8 +209,8 @@ O `ganbatte-os` utiliza uma estrutura **encapsulada** para manter seu projeto li
 ## Funcionalidades Principais
 
 - **Design-to-Code**: Pipeline automatizado para converter frames do Figma em componentes React/Next.js de alta fidelidade.
-- **Squads de Entrega**: Agentes especializados (SM, PO, Dev, QA) que trabalham de forma coordenada.
-- **Sincronização ClickUp**: Conecta seu workspace diretamente ao ClickUp para automação de status e tarefas.
+- **Pipeline de Planos**: Plano por tela com `spec.md`, tasks com critérios de aceite e loop de correção automática (Opus planeja, modelo barato executa, Opus valida).
+- **Auditoria de Segurança e Performance**: Verificação sistemática de vulnerabilidades (RLS, authz, secrets) e otimização (cache, filas, N+1, paginação) em Supabase e D1.
 - **Multi-IDE Multi-Tenant**: Configurações automáticas para as melhores ferramentas de IA do mercado.
 
 ## Agentes Disponíveis
@@ -242,13 +241,12 @@ O `ganbatte-os` utiliza uma estrutura **encapsulada** para manter seu projeto li
 | **interface-design** | `/gos:skills:interface-design` | Design de interface com metodologia intent-first |
 | **react-best-practices** | `/gos:skills:react-best-practices` | Otimizacao de performance React/Next.js |
 | **react-doctor** | `/gos:skills:react-doctor` | Diagnostico de saude de componentes React |
-| **sprint-planner** | `/gos:skills:sprint-planner` | Planejamento completo de sprint |
-| **clickup** | `/gos:skills:clickup` | Gestao de tarefas e sprints no ClickUp |
 | **plan-to-tasks** | `/gos:skills:plan-to-tasks` | Converte plano em tasks acionaveis |
 | **agent-teams** | `/gos:skills:agent-teams` | Coordena multiplos agentes em time |
 | **git-ssh-setup** | `/gos:skills:git-ssh-setup` | Configura identidade SSH para o workspace |
 | **humanizer** | `/gos:skills:humanizer` | Remove padroes de IA do texto (two-pass audit + soul injection) |
-| **weekly-update** | `/gos:skills:weekly-update` | Resumo semanal de tasks ClickUp → humaniza → posta no Slack (requer aprovacao) |
+| **security-review** | `/gos:skills:security-review` | Auditoria de seguranca (RLS, authz, secrets, injection) |
+| **perf-review** | `/gos:skills:perf-review` | Auditoria de performance (cache, filas, N+1, paginacao) |
 | **stack-profiler** | `/gos:skills:stack-profiler` | Mantem `docs/stack.md` como stack-of-record canonica do projeto |
 | **plan-blueprint** | `/gos:skills:plan-blueprint` | Cria plano por tela (1 tela = 1 plano) seguindo a stack |
 | **progress-tracker** | `/gos:skills:progress-tracker` | Memoria L1 (`progress.txt`) + state machine de status |

package/package.json

@@ -1,7 +1,7 @@
 {
   "name": "ganbatte-os",
-  "version": "0.2.41",
-  "description": "Framework operacional para design-to-code, squads de entrega e sprint sync com ClickUp.",
+  "version": "0.2.42",
+  "description": "Framework operacional de desenvolvimento: prototipacao, design-to-code, implementacao, otimizacao e seguranca.",
   "bin": {
     "gos": ".gos/scripts/cli/gos-cli.js"
   },
@@ -11,7 +11,6 @@
     "gos:doctor": "node .gos/scripts/cli/gos-cli.js doctor",
     "gos:version": "node .gos/scripts/cli/gos-cli.js version",
     "gos:rescue": "node .gos/scripts/cli/gos-cli.js rescue",
-    "clickup": "node .gos/scripts/tools/clickup.js",
     "sync:ides": "node .gos/scripts/integrations/setup-ide-adapters.js",
     "check:ides": "node .gos/scripts/integrations/check-ide-compat.js",
     "doctor": "node .gos/scripts/cli/gos-cli.js doctor"