care-api/.gitea

🚀 Gitea Actions - StackWorkflow v2.2

Sistema completo de auditoria automatizada via CI/CD pipeline integrado com Gemini e Cursor.

📁 Workflows Disponíveis

1. ⚡ Quick Security Scan

Arquivo: quick-audit.yml Trigger: Push e Pull Request Duração: ~30 segundos Foco: Vulnerabilidades críticas

# Executa em:
- Push (exceto README, docs)
- Pull Request (exceto README, docs)

# Detecta:
- SQL Injection crítico
- XSS direto
- Eval() perigoso
- Secrets expostos

Quality Gate: Bloqueia se > 5 vulnerabilidades críticas

2. 🛡️ Automated Security & Quality Audit

Arquivo: automated-audit.yml Trigger: Push/PR para main, manual, agendado Duração: ~2-5 minutos Foco: Análise completa com scores

# Executa em:
- Push/PR para main/master/develop
- Agendado diário (02:00 UTC)
- Manual (workflow_dispatch)

# Análise:
- Pre-scan de vulnerabilidades
- Auditoria de segurança completa
- Auditoria de qualidade completa
- Relatório consolidado

Quality Gates:

• Segurança ≥ 70/100
• Qualidade ≥ 60/100

3. 📊 Manual Audit

Arquivo: scheduled-audit.yml (renomeado para manual) Trigger: Manual (workflow_dispatch apenas) Duração: ~3-7 minutos Foco: Análise completa sob demanda

# Executa:
- Manual: workflow_dispatch (botão Gitea)
- Via comando `/avaliar` StackWorkflow
- Sem agendamentos automáticos

# Features:
- Análise de tendências (commits, contributors)
- Métricas históricas
- Issues automáticas se score < 50
- Retenção de 90 dias

🎯 Fluxo Completo de CI/CD

graph TD
    A[Git Push] --> B{Tipo?}
    B -->|Push Qualquer| C[⚡ Quick Scan]
    B -->|Push Main| D[🛡️ Full Audit]
    B -->|PR| E[⚡ Quick + Comment]

    C --> F{Críticas > 5?}
    F -->|Sim| G[🔴 Block Build]
    F -->|Não| H[✅ Continue]

    D --> I[Pre-scan]
    I --> J[Security Audit]
    I --> K[Quality Audit]
    J --> L[Consolidate]
    K --> L
    L --> M[PR Comment]

    N[📊 Manual Trigger] --> O[Comprehensive Audit]
    O --> P{Score < 50?}
    P -->|Sim| Q[📋 Create Issue]
    P -->|Não| R[📊 Archive Report]

📊 Sistema de Scoring

Segurança (0-100)

Score = 100 - (SQL_Issues × 20) - (XSS_Issues × 15) - (Secrets × 25) - (PublicEndpoints × 10)

Qualidade (0-100)

Score = 100 - (LongFunctions × 5) - (NestedLoops × 10) - (TODOs × 2)

Classificação

• 🟢 90-100: Excelente
• 🟡 70-89: Bom
• 🟠 50-69: Médio
• 🔴 0-49: Crítico

📋 Artifacts Gerados

Quick Scan

• quick-scan-report: Relatório rápido (7 dias)

Full Audit

• security-audit-report: Análise de segurança (30 dias)
• quality-audit-report: Análise de qualidade (30 dias)
• consolidated-audit-report: Relatório consolidado (90 dias)

Manual Audit

• manual-audit-report-[run_number]: Análise completa com tendências (90 dias)

🔧 Configuração

Variáveis de Ambiente

# .gitea/workflows/automated-audit.yml
env:
  MIN_SECURITY_SCORE: 70    # Mínimo segurança
  MIN_QUALITY_SCORE: 60     # Mínimo qualidade
  REPORTS_DIR: reports       # Diretório relatórios

# .gitea/workflows/quick-audit.yml
env:
  CRITICAL_THRESHOLD: 5      # Máximo vulnerabilidades críticas

Personalização por Projeto

Edite os thresholds nos workflows conforme necessário:

# Para projetos mais restritivos
MIN_SECURITY_SCORE: 90
CRITICAL_THRESHOLD: 0

# Para projetos em desenvolvimento
MIN_SECURITY_SCORE: 50
CRITICAL_THRESHOLD: 10

🎯 Integração com StackWorkflow

Fluxo Recomendado

1. Push código → Actions executam automaticamente
2. Review relatórios nos artifacts
3. Se aprovado → Merge para main
4. Se reprovado → Executar /avaliar local para correções
5. Push correções → Re-executar Actions

Comandos Locais

# Após receber relatório de falha
/avaliar  # Lê relatórios + implementa correções

# Para auditoria manual
cd .gemini && gemini
> /avaliar

# Cursor audit
Ctrl+Alt+A

📈 Monitorização e Tendências

Métricas Tracked

• Scores históricos (segurança/qualidade)
• Vulnerabilidades por tipo ao longo do tempo
• Atividade de desenvolvimento (commits, contributors)
• Tempo de resolução de issues críticas

Relatórios de Tendências

• Manual: Execução sob demanda via /avaliar
• On-Demand: Análise quando necessário
• Triggered: Baseado em eventos de desenvolvimento

🚨 Alertas e Notificações

Issues Automáticas

Criadas quando score manual < 50:

• Labels: security, quality, critical, automated-audit
• Assignees: Automático baseado em CODEOWNERS
• Priority: Alta (críticas)

PR Comments

• Quick scan: Status rápido com breakdown
• Full audit: Análise completa com next steps
• Links: Diretos para artifacts

🔐 Segurança das Actions

Permissões Mínimas

permissions:
  contents: read       # Ler código
  pull-requests: write # Comentar PRs
  issues: write        # Criar issues críticas

Dados Sensíveis

• Secrets não expostos: Apenas nomes de arquivos, não conteúdo
• Logs sanitizados: Credenciais mascaradas automaticamente
• Artifacts seguros: Apenas relatórios, não código

⚙️ Troubleshooting

Actions Falhando

# Verificar logs específicos
1. Ir para Actions tab no Gitea
2. Selecionar execução falhada
3. Expandir step com erro
4. Verificar output detalhado

Falsos Positivos

# Ajustar thresholds temporariamente
MIN_SECURITY_SCORE: 50  # Baixar temporariamente
CRITICAL_THRESHOLD: 10  # Aumentar temporariamente

Performance Issues

# Excluir pastas pesadas do scan
! -path "./large_folder/*"
! -path "./data/*"
! -path "./uploads/*"

🎉 Melhores Práticas

Para Desenvolvedores

1. Executar quick scan local antes de push
2. Revisar artifacts antes de mergear PRs
3. Corrigir vulnerabilidades críticas imediatamente
4. Usar /avaliar para correções automáticas

Para DevOps

1. Executar audits manuais quando necessário via /avaliar
2. Ajustar thresholds baseado no projeto
3. Configurar notificações para issues críticas
4. Arquivar relatórios históricos importantes

---

Powered by: StackWorkflow v2.2 Adversarial System Integration: Gitea Actions + Gemini CLI + Cursor AI Documentation: Complete workflow automation