Loop de Verificação do Quarkus

Execute antes de PRs, após grandes mudanças e pré-implantação.

Quando Ativar

• Antes de abrir um pull request para um serviço Quarkus
• Após refatoração importante ou atualizações de dependência
• Verificação pré-implantação para staging ou produção
• Executando o pipeline completo de build → lint → test → security scan → compilação nativa
• Validando se a cobertura de testes atende aos limites (80%+)
• Testando a compatibilidade da imagem nativa

Fase 1: Build

# Maven
mvn clean verify -DskipTests

# Gradle
./gradlew clean assemble -x test

Se o build falhar, pare e corrija os erros de compilação.

Fase 2: Análise Estática

Checkstyle, PMD, SpotBugs (Maven)

mvn checkstyle:check pmd:check spotbugs:check

SonarQube (se configurado)

mvn sonar:sonar \
  -Dsonar.projectKey=my-quarkus-project \
  -Dsonar.host.url=http://localhost:9000 \
  -Dsonar.login=${SONAR_TOKEN}

Problemas Comuns a Resolver

• Importações ou variáveis não utilizadas
• Métodos complexos (alta complexidade ciclomática)
• Potenciais desreferenciamentos de ponteiro nulo
• Problemas de segurança sinalizados pelo SpotBugs

Fase 3: Testes + Cobertura

# Run all tests
mvn clean test

# Generate coverage report
mvn jacoco:report

# Enforce coverage threshold (80%)
mvn jacoco:check

# Or with Gradle
./gradlew test jacocoTestReport jacocoTestCoverageVerification

Categorias de Teste

Testes Unitários

Teste a lógica do serviço com dependências mockadas:

@ExtendWith(MockitoExtension.class)
class UserServiceTest {
  @Mock UserRepository userRepository;
  @InjectMocks UserService userService;

  @Test
  void createUser_validInput_returnsUser() {
    var dto = new CreateUserDto("Alice", "alice@example.com");

    // Panache persist() is void — use doNothing + verify
    doNothing().when(userRepository).persist(any(User.class));

    User result = userService.create(dto);

    assertThat(result.name).isEqualTo("Alice");
    verify(userRepository).persist(any(User.class));
  }
}

Testes de Integração

Teste com banco de dados real (Testcontainers):

@QuarkusTest
@QuarkusTestResource(PostgresTestResource.class)
class UserRepositoryIntegrationTest {

  @Inject
  UserRepository userRepository;

  @Test
  @Transactional
  void findByEmail_existingUser_returnsUser() {
    User user = new User();
    user.name = "Alice";
    user.email = "alice@example.com";
    userRepository.persist(user);

    Optional<User> found = userRepository.findByEmail("alice@example.com");

    assertThat(found).isPresent();
    assertThat(found.get().name).isEqualTo("Alice");
  }
}

Testes de API

Teste endpoints REST com REST Assured:

@QuarkusTest
class UserResourceTest {

  @Test
  void createUser_validInput_returns201() {
    given()
        .contentType(ContentType.JSON)
        .body("""
            {"name": "Alice", "email": "alice@example.com"}
            """)
        .when().post("/api/users")
        .then()
        .statusCode(201)
        .body("name", equalTo("Alice"));
  }

  @Test
  void createUser_invalidEmail_returns400() {
    given()
        .contentType(ContentType.JSON)
        .body("""
            {"name": "Alice", "email": "invalid"}
            """)
        .when().post("/api/users")
        .then()
        .statusCode(400);
  }
}

Relatório de Cobertura

Verifique target/site/jacoco/index.html para cobertura detalhada:

• Cobertura geral de linhas (meta: 80%+)
• Cobertura de branches (meta: 70%+)
• Identifique caminhos críticos não cobertos

Fase 4: Verificação de Segurança

Vulnerabilidades de Dependência (Maven)

mvn org.owasp:dependency-check-maven:check

Revise target/dependency-check-report.html para CVEs.

Auditoria de Segurança Quarkus

# Check vulnerable extensions
mvn quarkus:audit

# List all extensions
mvn quarkus:list-extensions

OWASP ZAP (Testes de Segurança de API)

docker run -t ghcr.io/zaproxy/zaproxy:stable zap-api-scan.py \
  -t http://localhost:8080/q/openapi \
  -f openapi

Verificações Comuns de Segurança

• Todos os segredos em variáveis de ambiente (não no código)
• Validação de entrada em todos os endpoints
• Autenticação/autorização configurada
• CORS configurado corretamente
• Cabeçalhos de segurança definidos
• Senhas hasheadas com BCrypt
• Proteção contra injeção de SQL (consultas parametrizadas)
• Limitação de taxa em endpoints públicos

Fase 5: Compilação Nativa

Teste a compatibilidade da imagem nativa GraalVM:

# Construir executável nativo
mvn package -Dnative

# Ou com container

…