slop-ai-indo 1.1.0 → 1.2.0

package/DESIGN.md

@@ -69,6 +69,13 @@ Untuk aplikasi otomatisasi alur, diagram, atau kanvas multi-agent:
 * **Laravel / PHP:**
   * Kode PSR-12 bersih.
   * Hapus komentar redundan yang hanya mengulang nama fungsi.
+  * DILARANG membuat DocBlock/PHPDoc boilerplate (`/** ... */`) yang hanya memparafrase nama fungsi atau mengulang tipe data (seperti `/** Get all setup menus... @return Collection */`). Gunakan native type hint (PHP 8+). DocBlock HANYA diizinkan untuk tipe generic kompleks static analysis (PHPStan/Psalm) tanpa kalimat deskripsi hampa.
+  * Terapkan Skinny Controller: validasi wajib dipisah ke Form Request, logika bisnis diekstrak ke Action Class / Service Layer.
+  * Wajib bungkus response publik dengan API Resource (`JsonResource`) atau DTO; DILARANG mengembalikan Model Eloquent mentah ke JSON client.
+  * Gunakan Guard Clauses / Early Return untuk menjaga kedalaman indentasi logika maksimal 2 tingkat.
+  * Data Master & Konfigurasi: Wajib buatkan tabel database (Master / Lookup / Reference Tables) untuk data opsi, kategori, atau konfigurasi yang berpotensi dinamis agar mudah dirawat tanpa redeploy kode. Hardcode (Backed Enum / Config) HANYA untuk alur status tertutup (state machine) yang terikat langsung dengan percabangan logika kode.
+  * DILARANG menggunakan `protected $guarded = []`. Wajib deklarasikan `$fillable` secara eksplisit atau hanya passing `$request->validated()` untuk mencegah celah Mass Assignment.
+  * Migrasi Database: Foreign key wajib gunakan `$table->foreignId()->constrained()->cascadeOnDelete()` dan beri `->index()` pada kolom yang sering disaring/diurutkan (`status`, `slug`, `created_at`).
   * Blade/Inertia views menggunakan utilitas CSS dengan siku tajam (`rounded-sm` atau `rounded`, jangan `rounded-full`).
 * **Flutter:**
   * Widget menggunakan `RoundedRectangleBorder(borderRadius: BorderRadius.circular(4))`.
@@ -77,6 +84,10 @@ Untuk aplikasi otomatisasi alur, diagram, atau kanvas multi-agent:
 * **CSS / Tailwind:**
   * Gunakan `border-radius: 4px` atau `border-radius: 6px`.
   * Hindari class `rounded-2xl`, `rounded-3xl`, `rounded-full` kecuali untuk avatar pengguna berbentuk lingkaran.
+* **URL & Routing (Clean / Semantic URLs):**
+  * Wajib gunakan URL semantik RESTful dan slug (`/articles/{article:slug}`, `/users/{id}/edit`), DILARANG menggunakan query string untuk routing halaman atau identifier entitas (`?id=123`, `?page=settings`, `?action=delete`).
+  * Query string (`?`) HANYA diizinkan untuk filter opsional, pencarian, dan paginasi (`?category=tech&page=2`).
+  * Seluruh parameter URL wajib diproses via parameter binding (Prepared Statements / ORM) untuk proteksi mutlak dari SQL Injection dan IDOR.
 
 ---
 

package/lib/banner.mjs

@@ -15,7 +15,7 @@ export function banner() {
     ...LOGO,
     '',
     '  ' + pc.dim('Slop AI Indo: Rules for AI Coding Agents'),
-    '  ' + pc.dim('installer v1.0.2'),
+    '  ' + pc.dim('installer v1.2.0'),
     '',
   ].join('\n')
 }

package/lib/linter.mjs

@@ -128,8 +128,8 @@ export const RULES = {
     id: 'R-31',
     name: 'Trivial / Redundant AI Comments',
     tier: 'Quality Lock',
-    description: 'Komentar kode klise yang hanya mengulang sintaks tanpa menjelaskan konteks "mengapa".',
-    fix: 'Hapus komentar yang sudah jelas dari nama variabel/fungsi; jelaskan alasan bisnis jika perlu.',
+    description: 'Komentar kode klise atau DocBlock boilerplate yang hanya mengulang sintaks atau memparafrase nama fungsi.',
+    fix: 'Hapus komentar atau DocBlock yang sudah jelas dari nama/tipe fungsi; jelaskan alasan bisnis jika perlu.',
     patterns: [
       /\/\/\s*(?:initialize|declare|declaration of)\s+(?:variable|state|data)\b/i,
       /\/\/\s*(?:this function|function to)\s+(?:handles?|calculates?|renders?|returns?)\b/i,
@@ -137,6 +137,9 @@ export const RULES = {
       /\/\/\s*handle\s+(?:click|submit|change|event)\b/i,
       /\/\/\s*import\s+(?:dependencies|modules|libraries|components)\b/i,
       /\/\/\s*constructor\b/i,
+      // DocBlock boilerplate / Signature echo:
+      /^\s*\*\s*(?:Get|Set|Handles?|Retrieves?|Returns?|Fetches?|Deletes?|Updates?)\s+(?:all\s+)?(?:the\s+)?[a-zA-Z0-9_\s/]+(?:\bfor\b|\bfrom\b|\bto\b|\bof\b|\bby\b|\binstance\b|\bmenus?\b|\bdata\b|\buser\b)[a-zA-Z0-9_\s/]*\.?\s*$/i,
+      /^\s*\*\s*@return\s+(?:void|Collection<int,\s*(?:object|mixed)>|mixed|object|array<string,\s*mixed>)\s*$/i,
     ],
     extensions: ['.js', '.mjs', '.cjs', '.ts', '.tsx', '.jsx', '.php', '.py', '.go', '.vue', '.svelte'],
   },

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "slop-ai-indo",
-  "version": "1.1.0",
+  "version": "1.2.0",
   "description": "Interactive installer for antislop skills and design standards (Bahasa Indonesia).",
   "type": "module",
   "bin": {

package/presets/default.md

@@ -69,6 +69,13 @@ Untuk aplikasi otomatisasi alur, diagram, atau kanvas multi-agent:
 * **Laravel / PHP:**
   * Kode PSR-12 bersih.
   * Hapus komentar redundan yang hanya mengulang nama fungsi.
+  * DILARANG membuat DocBlock/PHPDoc boilerplate (`/** ... */`) yang hanya memparafrase nama fungsi atau mengulang tipe data (seperti `/** Get all setup menus... @return Collection */`). Gunakan native type hint (PHP 8+). DocBlock HANYA diizinkan untuk tipe generic kompleks static analysis (PHPStan/Psalm) tanpa kalimat deskripsi hampa.
+  * Terapkan Skinny Controller: validasi wajib dipisah ke Form Request, logika bisnis diekstrak ke Action Class / Service Layer.
+  * Wajib bungkus response publik dengan API Resource (`JsonResource`) atau DTO; DILARANG mengembalikan Model Eloquent mentah ke JSON client.
+  * Gunakan Guard Clauses / Early Return untuk menjaga kedalaman indentasi logika maksimal 2 tingkat.
+  * Data Master & Konfigurasi: Wajib buatkan tabel database (Master / Lookup / Reference Tables) untuk data opsi, kategori, atau konfigurasi yang berpotensi dinamis agar mudah dirawat tanpa redeploy kode. Hardcode (Backed Enum / Config) HANYA untuk alur status tertutup (state machine) yang terikat langsung dengan percabangan logika kode.
+  * DILARANG menggunakan `protected $guarded = []`. Wajib deklarasikan `$fillable` secara eksplisit atau hanya passing `$request->validated()` untuk mencegah celah Mass Assignment.
+  * Migrasi Database: Foreign key wajib gunakan `$table->foreignId()->constrained()->cascadeOnDelete()` dan beri `->index()` pada kolom yang sering disaring/diurutkan (`status`, `slug`, `created_at`).
   * Blade/Inertia views menggunakan utilitas CSS dengan siku tajam (`rounded-sm` atau `rounded`, jangan `rounded-full`).
 * **Flutter:**
   * Widget menggunakan `RoundedRectangleBorder(borderRadius: BorderRadius.circular(4))`.
@@ -77,6 +84,10 @@ Untuk aplikasi otomatisasi alur, diagram, atau kanvas multi-agent:
 * **CSS / Tailwind:**
   * Gunakan `border-radius: 4px` atau `border-radius: 6px`.
   * Hindari class `rounded-2xl`, `rounded-3xl`, `rounded-full` kecuali untuk avatar pengguna berbentuk lingkaran.
+* **URL & Routing (Clean / Semantic URLs):**
+  * Wajib gunakan URL semantik RESTful dan slug (`/articles/{article:slug}`, `/users/{id}/edit`), DILARANG menggunakan query string untuk routing halaman atau identifier entitas (`?id=123`, `?page=settings`, `?action=delete`).
+  * Query string (`?`) HANYA diizinkan untuk filter opsional, pencarian, dan paginasi (`?category=tech&page=2`).
+  * Seluruh parameter URL wajib diproses via parameter binding (Prepared Statements / ORM) untuk proteksi mutlak dari SQL Injection dan IDOR.
 
 ---
 

package/skills/slop-ai-indo/VERSION

@@ -1 +1 @@
-1.1.0
+1.2.0

package/skills/slop-ai-indo-backend/SKILL.md

@@ -67,13 +67,92 @@ allowed-tools: Read Write Edit Glob Grep
 - **Alasan:** Rawan terunggah ke version control publik dan dieksploitasi penyerang.
 - **Solusi:** Wajib membaca rahasia dari environment variables (`.env`, secret manager). Berikan nilai default hanya untuk lingkungan development lokal non-sensitif.
 
----
-
-## Delivery Gate: Evaluasi Backend Mandatori
-
-Sebelum menyerahkan kode backend ke pengguna, agen wajib memverifikasi:
-1. [ ] Apakah semua endpoint memvalidasi input sebelum memprosesnya?
-2. [ ] Apakah semua kueri database menggunakan parameter binding?
-3. [ ] Apakah ada blok `catch` kosong atau error yang ditelan tanpa log?
-4. [ ] Apakah relasi database terbebas dari query N+1?
-5. [ ] Apakah mutasi data penting dibungkus dalam transaksi database?
+### B-09: Desain URL Spageti & Identifier di Query String (Ugly Query-String URLs)
+
+- **Ciri:** Menggunakan query string acak-acakan (`?`) untuk routing halaman atau identifier entitas utama, seperti `/article.php?id=123`, `/dashboard?page=settings`, atau `/users?action=edit&id=5`.
+- **Alasan:**
+  1. Desain usang yang merusak SEO, keterbacaan manusia, dan estetika enterprise.
+  2. Mengekspos identifier database mentah yang mempermudah serangan manipulasi parameter (IDOR / Insecure Direct Object Reference).
+  3. Mengundang celah SQL Injection akibat kebiasaan mengambil parameter GET secara ceroboh lalu disambung langsung ke query database tanpa sanitasi.
+- **Solusi:**
+  - Wajib gunakan Clean / Pretty URLs semantik berbasis RESTful path dan slug:
+    - Gunakan slug atau Route Model Binding: `/articles/{article:slug}` (misal: `/articles/panduan-keamanan-web`) alih-alih `?id=123`.
+    - Gunakan pola RESTful: `/users/{user}/edit` alih-alih `?action=edit&id=5`.
+    - Gunakan UUID atau public identifier untuk endpoint publik jika ID numerik tidak boleh ditebak.
+  - Query string (`?`) HANYA diizinkan untuk parameter opsional non-routing: penyaringan (filter), pengurutan (sort), pencarian (search), dan paginasi (misal: `/products?category=elektronik&sort=termurah&page=2`).
+  - Seluruh parameter (baik path param maupun query param) wajib diproses dengan validasi skema dan prepared statements / ORM parameter binding (Eloquent, Prisma, dll.) untuk menjamin keamanan mutlak dari SQL Injection.
+
+### B-10: Fat Controller & Percampuran Tanggung Jawab (Fat Controller Antipattern)
+
+- **Ciri:** Menumpuk seluruh logika di dalam satu method controller (100+ baris): validasi inline `$request->validate([...])`, manipulasi database berlapis, upload berkas, pengiriman email/notifikasi, dan format data sekaligus.
+- **Alasan:** Melanggar prinsip Single Responsibility (SRP). Kode menjadi spageti, rapuh, tidak dapat digunakan kembali (reusable), dan mustahil diuji secara terisolasi via unit testing.
+- **Solusi:**
+  - Terapkan pola **Skinny Controller**: Controller hanya berperan sebagai pengatur lalu lintas HTTP (terima request -> delegasikan ke Action/Service -> kembalikan Response).
+  - Ekstrak validasi ke **Dedicated Form Request** (misal: `StoreOrderRequest`, `UpdateProfileRequest`) dengan deklarasi aturan yang rapi.
+  - Ekstrak proses bisnis dan mutasi data ke **Action Class** (misal: `CreateOrderAction`, `ProcessPaymentAction`) dengan satu method publik (`execute()` atau `handle()`).
+
+### B-11: Kebocoran Model Mentah ke Response Publik (Raw Model Response Leaks)
+
+- **Ciri:** Mengembalikan model database secara langsung ke response client: `return response()->json($user)` atau `return $order`.
+- **Alasan:**
+  1. **Celah Keamanan & Kebocoran Privasi:** Kolom internal database seperti `remember_token`, hash password lama, IP address audit, atau kolom terhapus (`deleted_at`) dapat bocor tanpa sengaja jika `$hidden` model tidak lengkap.
+  2. **Kontrak API Rapuh:** Perubahan nama kolom database langsung merusak aplikasi mobile atau frontend client.
+  3. **Format Tidak Konsisten:** Format tanggal (ISO 8601 vs timestamp) dan penamaan atribut menjadi tidak seragam antar-endpoint.
+- **Solusi:**
+  - Wajib membungkus setiap response entitas dengan **API Resource** (seperti Laravel `JsonResource`) atau Data Transfer Object (DTO).
+  - Deklarasikan secara eksplisit field apa saja yang diizinkan keluar ke publik:
+    ```php
+    return OrderResource::make($order);
+    ```
+
+### B-12: Percabangan Piramida Bersarang (Arrow Anti-Pattern vs Guard Clauses)
+
+- **Ciri:** Struktur `if-else` bertingkat yang menjorok dalam (3 hingga 5 level nesting kurung kurawal), seperti `if ($user) { if ($active) { if ($hasStock) { ... } } }`.
+- **Alasan:** Membebani beban kognitif pembaca (*cyclomatic complexity* tinggi) dan menyembunyikan logika utama ("happy path") di balik tumpukan kurung kurawal.
+- **Solusi:**
+  - Gunakan **Guard Clauses / Early Return**: Periksa kondisi kegagalan atau pengecualian di baris awal fungsi, lalu segera `return` atau `throw exception`.
+  - Batasi kedalaman indentasi logika maksimal **2 tingkat**. Happy path harus berjalan lurus di tingkat terluar fungsi.
+
+### B-13: Data Master & Opsi Dinamis Dihardcode (Hardcoded Master Data vs Database Tables)
+
+- **Ciri:** Menuliskan array opsi, kategori produk, daftar status non-standar, role pengguna, tarif, atau konfigurasi aplikasi langsung di dalam kode program (misal: `$categories = ['Elektronik', 'Pakaian', 'Makanan']` di controller, atau opsi form hardcoded di template Blade/View).
+- **Alasan:**
+  1. **Beban Maintenance Berat:** Setiap kali ada penambahan opsi atau perubahan nilai, developer harus mengubah file kode program, membuat commit baru, dan melakukan deployment ulang.
+  2. **Integritas Relasi Rapuh:** Data yang di-hardcode tidak memiliki integritas referensial (Foreign Key) di database, sehingga rawan inkonsistensi saat data berubah.
+- **Solusi:**
+  - **Wajib buatkan Tabel Database (Master / Lookup / Reference Tables)** jika data berpotensi bertambah, diubah, atau dikelola oleh admin/operasional tanpa perlu campur tangan developer (misal: kategori produk, tipe transaksi, tarif biaya, master menu/permission dinamis, setting aplikasi).
+  - **Pengecualian (Boleh Hardcode / Gunakan Enum):**
+    Data HANYA boleh di-hardcode (sebaiknya dibungkus Backed Enum atau config terisolasi) jika:
+    1. Merupakan alur status tertutup (*fixed state machine*) yang logika percabangan kodenya bergantung langsung padanya (misal: alur transaksi `Pending -> Paid -> Shipped -> Completed`).
+    2. Merupakan standar baku teknis yang permanen (misal: kode mata uang ISO, gender L/P, HTTP status code).
+
+### B-14: Celah Keamanan Mass Assignment (Lazy Guarded Antipattern vs Explicit Fillable)
+
+- **Ciri:** Menuliskan `protected $guarded = [];` di model Eloquent atau ORM sejenis tanpa proteksi atribut.
+- **Alasan:** Membuka celah eskalasi hak akses (*privilege escalation*). Jika penyerang menyuntikkan parameter seperti `role=admin`, `is_verified=true`, atau `balance=999999` di payload request, database akan langsung menyimpannya tanpa hambatan saat controller memanggil `Model::create($request->all())` atau `update()`.
+- **Solusi:**
+  - **DILARANG KERAS** menggunakan `protected $guarded = [];`.
+  - Wajib mendeklarasikan array `$fillable` secara eksplisit hanya untuk kolom yang memang diizinkan diisi oleh pengguna publik:
+    ```php
+    protected $fillable = ['name', 'email', 'phone'];
+    ```
+  - Selalu passing data yang sudah divalidasi dari Form Request: `User::create($request->validated());`.
+
+### B-15: Migrasi Database Tanpa Indeks & Foreign Key Rapuh (Missing Indexes & Weak Constraints)
+
+- **Ciri:** Membuat relasi database hanya dengan kolom integer biasa tanpa constraint (`$table->unsignedBigInteger('user_id')` tanpa relasi), serta tidak menambahkan index pada kolom yang sering disaring atau diurutkan.
+- **Alasan:**
+  1. Data menjadi yatim (*orphan*): jika user dihapus, data anaknya tertinggal tanpa relasi yang jelas.
+  2. Saat tabel membesar hingga puluhan ribu baris, query pencarian menjadi lambat drastis karena database terpaksa melakukan *Full Table Scan*.
+- **Solusi:**
+  - Wajib deklarasikan relasi Foreign Key yang tegas:
+    ```php
+    $table->foreignId('user_id')->constrained()->cascadeOnDelete();
+    ```
+  - Wajib tambahkan `->index()` pada kolom yang sering dipakai di klausa `where`, `order by`, atau relasi pencarian (misal: `status`, `slug`, `type`, `created_at`):
+    ```php
+    $table->string('slug')->unique();
+    $table->string('status')->index();
+    ```
+
+---

package/skills/slop-ai-indo-code/SKILL.md

@@ -47,11 +47,37 @@ allowed-tools: Read Write Edit Glob Grep
 - **Alasan:** TODO yang samar adalah polusi teks. Itu hanya perasaan ("ini bisa lebih baik") bukan tugas nyata (apa dan mengapa).
 - **Solusi:** Hapus. Pertahankan TODO hanya jika menyebutkan tugas spesifik dengan konteks yang cukup untuk dieksekusi.
 
-### Mengulang Signature Fungsi (Signature Echo)
-
-- **Ciri:** Dokumentasi yang hanya mengulang tanda tangan fungsi, seperti blok JSDoc yang mengulang `@param price The price.` dan `@returns Total price.` untuk fungsi yang nama dan parameternya sudah menjelaskan hal tersebut.
-- **Alasan:** Menambah panjang file tanpa menambah pemahaman.
-- **Solusi:** Sederhanakan atau hapus pengulangan tersebut. Pertahankan dokumentasi yang menjelaskan aturan bisnis, edge case, asumsi, algoritma, batasan, efek samping, atau implikasi keamanan.
+### Mengulang Signature Fungsi (Signature Echo) & DocBlock Slop
+
+- **Ciri:** Dokumentasi atau DocBlock (`/** ... */`, JSDoc, PHPDoc, TSDoc) yang hanya memparafrase nama method/fungsi dalam bahasa Inggris atau mengulang type hint bawaan bahasa (misal di PHP 8+, TypeScript, Dart).
+  Contoh DocBlock Slop yang dilarang:
+  ```php
+  /**
+   * Get all Setup / Setting menus authorized for the current user.
+   *
+   * @return Collection<int, object>
+   */
+  public function getSetupMenus(): Collection
+  ```
+  atau di TypeScript/JS:
+  ```typescript
+  /**
+   * Process payment for the user
+   * @param amount The payment amount
+   * @returns Promise of payment result
+   */
+  async function processPayment(amount: number): Promise<PaymentResult>
+  ```
+- **Alasan:** Menambah baris kode (visual noise) 2 hingga 3 kali lipat tanpa memberikan pemahaman teknis baru. Di era bahasa bertipe modern (PHP 8+, TypeScript, Go, Dart), nama fungsi yang deskriptif dan native type hint sudah menjadi dokumentasi hidup (*self-documenting*) yang divalidasi oleh compiler/interpreter.
+- **Solusi:**
+  - Hapus DocBlock sepenuhnya jika nama fungsi dan tipe data sudah jelas secara native:
+    ```php
+    public function getSetupMenus(): Collection
+    ```
+  - **Kapan DocBlock Diizinkan?**
+    HANYA jika:
+    1. Menyediakan anotasi generic untuk static analysis (PHPStan / Psalm) yang tidak didukung sintaks native bahasa (misal: `/** @return Collection<int, SettingMenu> */` tanpa deskripsi basa-basi di atasnya).
+    2. Menjelaskan **MENGAPA** (alasan bisnis, edge-case tidak wajar, workaround bug dependensi/pihak ketiga, atau pertimbangan konkurensi/keamanan).
 
 ### Emoji Dekoratif
 

package/skills/slop-ai-indo-human/contrast-mcp.py

@@ -8,7 +8,7 @@ import sys
 
 PROTOCOL_VERSION = "2024-11-05"
 SERVER_NAME = "antislop-contrast"
-SERVER_VERSION = "1.0.2"
+SERVER_VERSION = "1.2.0"
 
 TOOLS = [
     {

package/skills/slop-ai-indo-test/SKILL.md

@@ -53,12 +53,3 @@ allowed-tools: Read Write Edit Glob Grep
 - **Solusi:** Setiap tes harus independen (*hermetic*). Gunakan database transaction rollback per test (`RefreshDatabase` di Laravel, isolated schema di Postgres/SQLite) dan bersihkan mocks setelah setiap test case (`beforeEach`/`afterEach`).
 
 ---
-
-## Delivery Gate: Evaluasi Testing Mandatori
-
-Sebelum menyerahkan test code ke pengguna, agen wajib memverifikasi:
-1. [ ] Apakah ada asersi hampa (`expect(true).toBe(true)`) di test suite?
-2. [ ] Apakah ada tes yang mencakup skenario gagal / invalid input?
-3. [ ] Apakah semua panggilan eksternal (API/SMS/Payment) diisolasi dengan mock/fakes?
-4. [ ] Apakah tes deterministik dan tidak bergantung pada jam real-time atau internet live?
-5. [ ] Apakah seluruh tes berhasil lolos saat dijalankan secara berurutan maupun terisolasi?