release: ci-shared develop → main — lista única de CVE (chave desligada) + G2 docstring-inerte #76

Merged

tarcisio merged 4 commits from release/2026-10-09-cve-g2 into main

2026-10-09 09:46:44 -03:00

tmf-ia commented

2026-10-09 08:41:56 -03:00

Owner

Release do ci-shared: develop → main (09/10/2026, 2ª)

PR	Issue	O quê	Efeito nos produtos
#74	INFRA-68190	O gate de audit lê a lista única de CVE do ORG, atrás da chave `cve_lista_unica`	Nenhum: a chave vem `false` por padrão e o comportamento legado não muda
#75	INFRA-67958	PR só de docstring, provado AST-inerte, pula os jobs de código no `ci.yml` e no `ci-base.yml`	Só em PR que mexe apenas em docstring de `.py`. Na dúvida, roda o CI completo. O `changes` do `ci-base` passa a usar a `python_image`

Risco e conferência depois do merge

#75: o job changes do ci-base trocou a imagem node:20-slim pela tmf-ci-python imutável. Depois do merge, confira o 1º PR de um produto do ci-base (HelpCor, Hub ou TMF9) e um do ci.yml (DANI). Nos dois, o changes tem de sair verde com o code certo.
Prova pendente do #75 em runner real: um PR de teste num consumidor, só com docstring, mais os 2 casos negativos.
#74 não muda nada até um produto ligar a chave. Antes disso, alguém grava CVE_OS_EXCECOES_TOKEN no Infisical (gated).
Rollback: reverter o merge na main.

🤖 Generated with Claude Code

https://claude.ai/code/session_017QrAM1chSgVpSwDrKJVLVn

## Release do ci-shared: develop → main (09/10/2026, 2ª) | PR | Issue | O quê | Efeito nos produtos | |---|---|---|---| | #74 | INFRA-68190 | O gate de audit lê a lista única de CVE do ORG, atrás da chave `cve_lista_unica` | **Nenhum**: a chave vem `false` por padrão e o comportamento legado não muda | | #75 | INFRA-67958 | PR só de docstring, provado AST-inerte, pula os jobs de código no `ci.yml` e no `ci-base.yml` | Só em PR que mexe apenas em docstring de `.py`. Na dúvida, roda o CI completo. O `changes` do `ci-base` passa a usar a `python_image` | ## Risco e conferência depois do merge - **#75:** o job `changes` do `ci-base` trocou a imagem `node:20-slim` pela `tmf-ci-python` imutável. Depois do merge, confira o 1º PR de um produto do `ci-base` (HelpCor, Hub ou TMF9) e um do `ci.yml` (DANI). Nos dois, o `changes` tem de sair verde com o `code` certo. - Prova pendente do #75 em runner real: um PR de teste num consumidor, só com docstring, mais os 2 casos negativos. - **#74** não muda nada até um produto ligar a chave. Antes disso, alguém grava `CVE_OS_EXCECOES_TOKEN` no Infisical (gated). - Rollback: reverter o merge na main. 🤖 Generated with [Claude Code](https://claude.com/claude-code) https://claude.ai/code/session_017QrAM1chSgVpSwDrKJVLVn

tmf-ia added 4 commits

2026-10-09 08:41:57 -03:00

feat(gate): auditar_deps lê a lista única de CVE do ORG, atrás da chave cve_lista_unica (padrão false) [INFRA-68190, INFRA-68311]

PR checks (ci-shared) / testes (pull_request) Successful in 4m0s

Details

37d8c3b5d6

Consolidação, sobre a develop atual, dos commits e91e158, a5cfac2, 5cc98cc, 4b168c0 e 6f31d96 da
branch fix/INFRA-68190-politica-cve-global (03/10, nunca virou PR). O README foi fatiado em docs/
depois disso; a seção foi para docs/guia-de-adocao.md.

- auditar_deps.py: lista única do ORG pela URL crua, falha fechada; só HIGH/CRITICAL com correção;
  dependente npm herda a supressão da causa-raiz; aviso de cópia redundante; pip-audit sem
  relatório vira 'INFRA: ambiente não resolvido' com stderr completo
- chave cve_lista_unica (padrão false = legado inalterado) e cve_lista_unica_url no schema, no
  exemplo e no ci.yml
- testes: test_lista_unica.py e test_pip_ambiente_nao_resolvido.py

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_017QrAM1chSgVpSwDrKJVLVn

Merge pull request 'feat(gate): auditar_deps lê a lista única de CVE do ORG atrás de cve_lista_unica [INFRA-68190]' (#74 ) from fix/INFRA-68190-lista-unica-v2 into develop

PR checks (ci-shared) / testes (push) Successful in 4m18s

Details

e01167963b

feat(ci): PR só de docstring provado AST-inerte pula os jobs de código [INFRA-67958]

PR checks (ci-shared) / testes (pull_request) Successful in 3m41s

Details

a104fdebbb

G2 versionado no ci-shared (scripts/ci/docstring_inerte.py, stdlib ast,
lógica do conferir-docstring.py do tmf_ia reimplementada, sem import).
O job changes do ci.yml e do ci-base.yml chama o mesmo script com os
arquivos que ficaram fora do docs_regex: code=false só se todos forem .py
modificados no lugar e provados AST-inertes; qualquer dúvida = code=true.
Prova impressa arquivo a arquivo no log.

ci-base.yml: changes passa a rodar na python_image (a node-ci é slim, sem
python3) e busca o ci-shared na mesma ref do uses: (continue-on-error;
sem script = code=true). Dispensar CI não autoriza merge sem revisão (R6).

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_017QrAM1chSgVpSwDrKJVLVn

Merge pull request 'feat(ci): PR só de docstring provado AST-inerte pula os jobs de código [INFRA-67958]' (#75 ) from feat/INFRA-67958-g2-docstring-inerte into develop

PR checks (ci-shared) / testes (push) Successful in 3m41s

Details

PR checks (ci-shared) / testes (pull_request) Successful in 3m55s

Details

9195634a9a

tmf-ia requested review from tarcisio

2026-10-09 08:41:57 -03:00