Auditoria de Produção

Visão Geral

Uma habilidade que executa uma auditoria externa do estado implantado de um repositório publicado — URL ativa, sinais do GitHub, exposição de segredos, lacunas de RLS, idempotência de webhook, índices, observabilidade, injeção de prompt e outros dez modos de falha que projetos assistidos por IA rotineiramente perdem.

Isso é complementar às habilidades de segurança em sessão (security-review, estilo OWASP, VibeSec, Trail of Bits). Essas analisam o buffer do editor no momento da escrita. Esta analisa o produto implantado após o commit. Momento diferente, entradas diferentes, descobertas diferentes. Execute ambos para lançamentos sérios.

A habilidade envolve o motor de auditoria commit.show através da CLI pública (npx commitshow@0.3.23 audit . --json). Envelope JSON estável (schema_version: "1", apenas aditivo). Escreve um sidecar .commitshow/audit.{md,json} para que futuras sessões do agente possam ler o estado anterior sem reexecutar o motor.

Quando Usar Esta Habilidade

• Use quando o usuário perguntar "isso está pronto para produção", "o que quebraria em produção", "pontue meu projeto", "o que eu perdi", "audite meu repositório", "pronto para enviar".
• Use logo após mesclar um branch de funcionalidade para main (útil como um portão pré-implantação).
• Use antes de um lançamento público / postagem no Show HN / demonstração para investidores.
• Use quando git log mostrar >20 commits desde o último .commitshow/audit.md escrito.

Pular quando

• Durante a codificação ativa em sessão — use security-review / estilo OWASP para padrões de nível de linha. Esta habilidade é para revisão pós-merge / pré-envio.
• Para repositórios de bibliotecas / scaffolds — o motor lida melhor com formulários de aplicativos; bibliotecas recebem uma pontuação substituta parcial.
• Se .commitshow/audit.json já existir e tiver menos de 1 hora, leia-o em vez de reexecutar. A auditoria tem limite de taxa (anônimo: 20/IP/dia · 5/repo/dia · 2000/dia global).
• Dentro de um repositório privado / não-GitHub — a auditoria puxa sinais públicos do GitHub, portanto, repositórios privados retornam um erro not_found.

Como Funciona

Etapa 1: Executar a auditoria

Da raiz do repositório. A CLI é fixada em uma versão exata revisada para que futuras versões npm não sejam selecionadas silenciosamente. Como npx baixa e executa o código do pacote npm localmente com as permissões do usuário atual, execute-o apenas após o usuário aprovar explicitamente esta execução externa e apenas em um repositório onde os arquivos locais e as variáveis de ambiente sejam seguros para esse processo acessar. O diretório sidecar é criado antecipadamente, e o stderr é separado para que avisos de instalação/depreciação não corrompam o envelope JSON:

mkdir -p .commitshow
npx commitshow@0.3.23 audit . --json \
  > .commitshow/audit.json \
  2> .commitshow/audit.stderr.log

Isso também escreve um .commitshow/audit.md legível ao lado dele. Invocações subsequentes devem comparar com o audit.json anterior, se existir, para que você possa começar com "+5 desde a auditoria de ontem" em vez de apenas um número absoluto.

Se o usuário apontou para um URL remoto em vez de ., troque . pelo URL — mantenha o mesmo mkdir -p + pin de versão + divisão de stderr:

mkdir -p .commitshow
npx commitshow@0.3.23 audit github.com/owner/repo --json \
  > .commitshow/audit.json \
  2> .commitshow/audit.stderr.log

Etapa 2: Analisar o envelope

O envelope JSON é estável (schema_version: "1", apenas aditivo). Leia estes campos:

As preocupações são ordenadas por impacto na decisão, não por gravidade. A posição 1 é o item a ser destacado.

Etapa 3: Apresentar ao usuário

Comece com a pontuação + trajetória em uma frase, depois as principais preocupações. Não despeje o JSON completo. Formato:

Score: 82/100 (+5 since yesterday) · band: strong

Top concerns:
  ↓ [Security] No API rate limiting on /auth — IP cap missing
  ↓ [Infrastructure] webhook handler at api/stripe.ts — signature verified, but no
    idempotency-key check (replay attack window open)

Want me to fix the webhook idempotency gap first?

Regras:

• Use o item exato de concerns[].bullet — o motor de auditoria já escreveu texto orientado para ação.

…