qaify-playwright-reporter 0.3.1 → 0.4.1

package/README.md

@@ -78,15 +78,21 @@ Catatan:
 
 Untuk aplikasi yang repo FE dan BE-nya terpisah dan belum memasang Playwright, Qaify bisa mengaudit keduanya dari satu **repo runner**. Repo FE dan BE tidak diubah sama sekali.
 
-1. Buat repo kosong (mis. `qaify-runner`), lalu jalankan `npx qaify-playwright-reporter init-runner` di dalamnya. Perintah ini menulis `.github/workflows/qaify-audit.yml`.
+1. Pilih repo runner: repo kosong (mis. `qaify-runner`) atau repo aplikasinya sendiri. Jalankan `npx qaify-playwright-reporter init-runner` di dalamnya. Perintah ini menulis `.github/workflows/qaify-audit.yml`.
 2. Pasang GitHub App Qaify di repo runner, repo FE, dan repo BE.
-3. Di repo runner, isi secret `QA_FACTORY_TOKEN` (token reporter repo runner), variable `QA_FACTORY_URL`, dan secret `CLAUDE_CODE_OAUTH_TOKEN`.
+3. Di repo runner, isi secret `QA_FACTORY_TOKEN` (token reporter repo runner), dan variable `QA_FACTORY_URL`. Secret `CLAUDE_CODE_OAUTH_TOKEN` bersifat opsional.
+
+   - Tanpa secret itu, audit berjalan **tanpa AI** (`qaify audit-static`): build, test, `composer audit` / `npm audit`, route GET publik BE, dan smoke test Playwright FE (desktop + mobile, screenshot setiap halaman untuk lampiran laporan PDF). Smoke test juga memeriksa elemen yang meluap, gambar rusak, tombol yang tertutup elemen lain, error JavaScript, request API, dan aset yang gagal. Setiap jenis masalah difoto lagi dengan kotak merah di elemennya atau banner berisi pesan errornya. Temuan smoke diberi halaman dan berkas sumber bila bisa ditebak (route FE → komponen halaman, route BE → method controller). Request FE yang gagal dipetakan ke controller BE, dan route BE yang error dihubungkan ke halaman FE yang memanggilnya.
+   - Dengan secret itu, Claude yang mengaudit. Hasilnya lebih dalam, termasuk logika bisnis dan kontrak API.
+   - Mode bisa dipaksa lewat variable `QA_FACTORY_AUDIT_MODE` (`static` / `claude`).
 4. Di Qaify → **Aplikasi**, tambahkan aplikasi (repo FE, BE, runner), lalu klik **Audit sekarang**.
 
 Alur di workflow:
 
 ```bash
 qaify audit-context --audit <id> --dir "$WORK"   # clone apps/fe + apps/be, lalu cabut token clone
+qaify audit-static --dir "$WORK" --out claude.json   # mode static: tanpa AI
+# atau mode claude:
 qaify audit-schema --out schema.json --instructions instructions.txt
 claude -p …                                      # Bash + Playwright MCP: jalankan BE/FE, jelajahi UI, tulis temuan
 qaify audit-submit --audit <id> --results claude.json --evidence "$WORK/evidence" --context "$WORK/context.json"

package/dist/audit-static.d.ts

@@ -0,0 +1,136 @@
+import type { AuditFinding, AuditPage } from './audit.js';
+/** usage.model untuk audit tanpa AI; dipakai backend/PDF untuk menampilkan mode audit. */
+export declare const STATIC_MODEL = "qaify-static";
+export interface ShellResult {
+    code: number;
+    output: string;
+}
+export interface Shell {
+    run(cmd: string, opts: {
+        cwd: string;
+        timeoutMs: number;
+        env?: NodeJS.ProcessEnv;
+    }): Promise<ShellResult>;
+    /** Proses latar (server dev); kembalian menghentikannya. */
+    background(cmd: string, opts: {
+        cwd: string;
+        logFile: string;
+        env?: NodeJS.ProcessEnv;
+    }): () => void;
+}
+/** Subset Playwright yang dipakai smoke test (playwright-core di runner, palsu di test). */
+export interface BrowserLike {
+    newContext(opts: {
+        viewport: {
+            width: number;
+            height: number;
+        };
+    }): Promise<ContextLike>;
+    close(): Promise<void>;
+}
+export interface ContextLike {
+    newPage(): Promise<PageLike>;
+    close(): Promise<void>;
+}
+export interface PageLike {
+    on(event: 'console' | 'pageerror' | 'response' | 'requestfailed', fn: (arg: any) => void): void;
+    goto(url: string, opts: {
+        waitUntil: 'networkidle';
+        timeout: number;
+    }): Promise<unknown>;
+    url(): string;
+    evaluate(expression: string): Promise<unknown>;
+    screenshot(opts: {
+        path: string;
+    }): Promise<unknown>;
+    locator(selector: string): {
+        count(): Promise<number>;
+        first(): {
+            fill(value: string): Promise<void>;
+            press(key: string): Promise<void>;
+        };
+    };
+    waitForLoadState(state: 'networkidle', opts: {
+        timeout: number;
+    }): Promise<void>;
+}
+export interface StaticDeps {
+    shell: Shell;
+    fetch: typeof fetch;
+    /** null = playwright-core tidak tersedia; smoke FE dilewati. */
+    launch: () => Promise<BrowserLike | null>;
+    log: (msg: string) => void;
+}
+/** Request FE (method + path) → berkas controller BE yang melayaninya. */
+export type ApiLocator = (method: string, path: string) => Promise<SourceLocation | null>;
+export interface StaticAudit {
+    summary: Record<'fe' | 'be', {
+        score: number;
+        verdict: string;
+        booted: boolean;
+        notes: string;
+    }>;
+    findings: AuditFinding[];
+    pages: AuditPage[];
+}
+/** Berkas sumber (relatif root repo) yang paling mungkin terkait temuan. */
+export interface SourceLocation {
+    file: string;
+    line?: number;
+}
+/** Folder kerja hasil audit-context: apps/fe, apps/be, context.json, evidence/. */
+export declare function auditStatic(dir: string, deps: StaticDeps): Promise<StaticAudit>;
+/** Bentuk keluaran `claude -p --output-format json` agar parseAuditOutput / audit-submit tidak berubah. */
+export declare function toAuditOutput(audit: StaticAudit, durationMs: number): string;
+/**
+ * Jelajah link same-origin (BFS) di desktop, lalu ulangi halaman yang sama di mobile.
+ * Setiap halaman difoto polos (galeri laporan); setiap jenis masalah difoto lagi dengan tanda (kotak merah di elemen,
+ * atau banner pesan error) sebagai bukti temuannya.
+ * locate: route → berkas sumber halaman (best effort) untuk kolom file temuan dan galeri.
+ * api: request XHR/fetch yang gagal → controller BE (related_files).
+ */
+export declare function smokeUi(browser: BrowserLike, baseUrl: string, evidenceDir: string, login: Login | null, log?: (msg: string) => void, locate?: (path: string) => Promise<SourceLocation | null>, api?: ApiLocator): Promise<{
+    findings: AuditFinding[];
+    pages: number;
+    loggedIn: boolean;
+    visited: AuditPage[];
+    calls: Map<string, Set<string>>;
+}>;
+/** Test gagal / error dari laporan JUnit PHPUnit / Pest. */
+export declare function parseJunit(xml: string, root?: string): AuditFinding[];
+/** `composer audit --format=json` → satu temuan per advisory. */
+export declare function parseComposerAudit(output: string): AuditFinding[];
+/** `npm audit --json` (npm 7+) → satu temuan per paket berseverity high/critical. */
+export declare function parseNpmAudit(output: string): AuditFinding[];
+/** URI route GET tanpa parameter dan tanpa middleware autentikasi dari `route:list --json`. */
+export declare function pickSmokeRoutes(output: string): string[];
+/** URI → action (mis. App\Http\Controllers\ProdukController@index) dari `route:list --json`. */
+export declare function routeActions(output: string): Map<string, string>;
+/**
+ * Request FE (method + path, mis. GET /api/produk/12) → action route BE dari `route:list --json`.
+ * {param} cocok dengan satu segmen, {param?} opsional; bila beberapa cocok, route dengan segmen statis terbanyak menang.
+ */
+export declare function matchRoute(output: string, method: string, path: string): string | null;
+/** Action controller → berkas (PSR-4 App\ → app/) + baris method-nya; controller invokable → __invoke. */
+export declare function controllerLocation(root: string, action: string): Promise<SourceLocation | null>;
+/**
+ * Path halaman FE → komponen yang merender (best effort, tanpa menjalankan kode):
+ * 1. definisi route Vue Router / React Router (`path: '/produk'`, `path="/produk"`, termasuk :param dan child relatif)
+ *    → komponen dari import('…') / import X from '…' di dekatnya, atau baris definisi route bila komponen tak ketemu;
+ * 2. routing berbasis berkas (pages/, app/ ala Nuxt / Next).
+ */
+export declare function resolveRouteFile(root: string, path: string): Promise<SourceLocation | null>;
+export declare function scoreRepo(findings: AuditFinding[], booted: boolean): number;
+export interface Login {
+    email: string;
+    password: string;
+}
+/** Akun login dari catatan aplikasi, mis. "Login admin@pos.test / password". */
+export declare function parseLogin(instructions: string): Login | null;
+/** Variabel VITE_* berisi URL http diarahkan ke BE lokal; path (mis. /api) dipertahankan. */
+export declare function localApiEnv(example: string): string;
+/** Ganti / tambah KEY=VALUE di isi file .env. */
+export declare function setEnv(content: string, values: Record<string, string>): string;
+export declare const defaultShell: Shell;
+/** playwright-core dipasang global di runner bersama qaify; Google Chrome sudah ada di ubuntu-latest. */
+export declare function defaultLaunch(): Promise<BrowserLike | null>;