Auditoria de segurança

Funcionalidade BB-F-036 · requisito RF-BB-036 · versão documentada 2.0.1 · código 9c73feb3e357a1216011eaf64bf4b5d944827087.

Finalidade

Manter scanners de segredos, código, dependências e banco ativos e bloquear vulnerabilidade alta ou crítica.

Atores

Pessoa responsável pelo projeto, IA com posse confirmada e automações explicitamente autorizadas.

Pré-condições

Repositório e raiz corretos, versão instalada e configuração compatível. Para operações de escrita, exige-se autorização vigente, branch adequada e acesso ao recurso envolvido; consultas não conferem permissão adicional.

Fluxo principal

Executar scanners fixados por versão e hash; conferir código, histórico e pacote do front; avaliar OSV e RLS; reportar achados e falhar os controles correspondentes.

Validações

Não se desliga scanner para entregar; exceção exige decisão e ADR; dependência e configuração sensível passam pelo modelo de revisão.

Alternativas e erros

Achado, download inválido ou retorno de scanner reprovado bloqueia CI; erro de acesso não equivale a auditoria limpa.

Permissões

Leitura usa permissões mínimas do repositório. Operações locais respeitam a posse e worktree; escrita no GitHub exige acesso explícito. Esta funcionalidade não concede novas permissões a visitantes nem substitui decisões exigidas pelo fluxo.

Resultados

Resultado esperado: Manter scanners de segredos, código, dependências e banco ativos e bloquear vulnerabilidade alta ou crítica. O retorno e os arquivos afetados são conferidos pelos cenários rastreados abaixo; falha impede considerar a operação concluída.

Referência da implementação

Os símbolos abaixo compõem o inventário real do módulo, incluindo auxiliares internos; não representam APIs públicas independentes.

seguranca.sh

Implementação revisada.

Cenários e rastreabilidade

• .bigbang/tests/test_bb_esteira.py:test_respostas_viram_labels
• .bigbang/tests/test_bb_esteira.py:test_padroes_da_especificacao
• .bigbang/tests/test_bb_esteira.py:test_edicao_so_aplica_o_que_mudou
• .bigbang/tests/test_bb_esteira.py:test_dependencia_nao_cria_label_por_numero
• .bigbang/tests/test_bb_esteira.py:test_severidade
• .bigbang/tests/test_bb_esteira.py:test_epico_pronto
• .bigbang/tests/test_bb_esteira.py:test_recusa_cada_falta
• .bigbang/tests/test_bb_esteira.py:test_sensivel_com_stride_passa
• .bigbang/tests/test_bb_esteira.py:test_tarefas_e_dependencias
• .bigbang/tests/test_bb_esteira.py:test_slug
• .bigbang/tests/test_bb_esteira.py:test_modelo_de_branches
• .bigbang/tests/test_bb_esteira.py:test_issue_da_branch
• .bigbang/tests/test_bb_esteira.py:test_titulo_conventional
• .bigbang/tests/test_bb_esteira.py:test_classificacao
• .bigbang/tests/test_bb_esteira.py:test_versao_informada_confere
• .bigbang/tests/test_bb_esteira.py:test_arquivo_de_versao
• .bigbang/tests/test_bb_esteira.py:test_secao_nova_com_rascunho
• .bigbang/tests/test_bb_esteira.py:test_idempotente_e_arquivo_novo
• .bigbang/tests/test_bb_esteira.py:test_so_manutencao
• .bigbang/tests/test_bb_esteira.py:test_artefato
• .bigbang/tests/test_bb_esteira.py:test_zonas_sensiveis
• .bigbang/tests/test_bb_esteira.py:test_retirada_do_decorador_da_propria_tarefa
• .bigbang/tests/test_bb_esteira.py:test_test_failing_vira_test
• .bigbang/tests/test_bb_esteira.py:test_qualquer_outra_mudanca_e_sensivel
• .bigbang/tests/test_bb_esteira.py:test_matriz_com_runner_fixo
• .bigbang/tests/test_bb_esteira.py:test_nomes_da_candidata_e_de_producao
• .bigbang/tests/test_bb_esteira.py:test_android
• .bigbang/tests/test_bb_esteira.py:test_osv_so_alta_e_critica
• .bigbang/tests/test_bb_esteira.py:test_tabelas_sem_rls

Requisitos · Matriz de rastreabilidade · Referência CLI

Fontes rastreadas

• .bigbang/esteira/nucleo/scripts/seguranca.sh
• .bigbang/esteira/perfis/deploy/scripts/.shellcheckrc
• .bigbang/esteira/perfis/compilado/scripts/.shellcheckrc
• .bigbang/esteira/nucleo/scripts/.shellcheckrc
• .bigbang/scripts/.shellcheckrc
• .gitleaksignore