Auditar Fluxos de Trabalho do Repositório

O que Auditar Fluxos de Trabalho do Repositório faz?

Use o auditor livre de dependências. Lidere com evidências e distinga um achado de prova de autoria, intenção, comprometimento ou explorabilidade.

Fluxo de Trabalho

1. Resolva o diretório exato do repositório. Não escaneie fora do escopo declarado pelo usuário.
2. Leia references/commands.md e execute a auditoria somente leitura primeiro.
3. Resuma achados críticos e altos, o caminho de workflow/evento que aciona cada achado e a remediação segura documentada.
4. Gere um patch apenas quando o usuário solicitar uma correção ou patch. O comando fix emite texto de diff unificado e nunca edita o repositório alvo.
5. Revise cada patch proposto antes de recomendar a aplicação. Destaque alterações que exigem julgamento do proprietário do repositório.

Guardrails

• Nunca instale um perfil de defesa, edite configurações do repositório, faça commit, push, merge, feche issues ou altere permissões sem uma solicitação explícita separada.
• Não rotule um contribuidor, conta, pull request ou commit como malicioso com base em achados heurísticos.
• Trate o código de saída 2 de --fail-on como um resultado de limite de política, não uma falha de auditoria.
• Mantenha a saída SARIF ou JSON privada quando contiver caminhos de workflow ou detalhes de segurança sensíveis.
• Se o alvo não for um repositório Git, explique o contexto de proveniência reduzido em vez de inventar uma identidade de repositório.

Saída

Retorne: escopo da auditoria, contagens de achados, achados priorizados, locais de evidência, opções de remediação, limitações e se um patch foi gerado.