Revisor de PRs

O Moldapé usa o nos-revisor (ADR-0010). A configuração do projeto fica em .revisor.json, na raiz do monorepo.

O que ele verifica aqui

Regra	Risco coberto	Achados atuais (check --all)
route-guard	R-02, R-03: escritas de catálogo, uploads, cache e pedidos exigem requireAdmin	57
secret-in-log	R-13: cookies e tokens em log	4
public-env-secret	NEXT_PUBLIC_DATABASE_URL nos exemplos e no compose	3
layer-boundary	Casos de uso importando presentation/	2
auth-bypass	R-01: PAYMENT_BYPASS_TOKEN	1
unverified-webhook	R-01: /api/webhook	1
dev-migration-in-deploy	R-07: migrate dev no build do web	1
missing-script	R-06: pnpm run healthcheck no pipeline	1

Os 70 achados são verdadeiros: nenhum falso positivo na varredura de outubro de 2026.

Rodar localmente

# com o repositório nos-revisor ao lado do moldape-v2
node ../nos-revisor/bin/nos-revisor.mjs check           # só o que mudou em relação a origin/main
node ../nos-revisor/bin/nos-revisor.mjs check --all     # repositório inteiro
ANTHROPIC_API_KEY=... node ../nos-revisor/bin/nos-revisor.mjs review   # + IA

Ligar no Bitbucket Pipelines

1. Publique o repositório nos-revisor no Bitbucket da Nós Tecnologia (ou em um registro npm privado como @nos-tecnologia/revisor).

2. Em Repository settings → Repository variables do moldape-v2, crie como secured: BITBUCKET_TOKEN (Repository Access Token com Pull requests: Write), ANTHROPIC_API_KEY (opcional) e, se o revisor estiver em repositório privado, REVISOR_GIT_TOKEN.

3. Substitua o bitbucket-pipelines.yml (que hoje tem passos quebrados) por:

   image: node:20
   
   definitions:
     steps:
       - step: &revisor
           name: nos-revisor
           clone:
             depth: full
           script:
             - git fetch origin "+refs/heads/${BITBUCKET_PR_DESTINATION_BRANCH}:refs/remotes/origin/${BITBUCKET_PR_DESTINATION_BRANCH}"
             - git clone --depth 1 "https://x-token-auth:${REVISOR_GIT_TOKEN}@bitbucket.org/<workspace>/nos-revisor.git" /tmp/nos-revisor
             - node /tmp/nos-revisor/bin/nos-revisor.mjs review
       - step: &qualidade
           name: Lint e testes
           caches: [node]
           script:
             - corepack enable
             - pnpm install --frozen-lockfile
             - pnpm run lint
             - pnpm run test
   
   pipelines:
     pull-requests:
       '**':
         - parallel:
             - step: *revisor
             - step: *qualidade
     branches:
       main:
         - step: *qualidade

4. Em Branch restrictions, marque Require passing builds para main e develop.

Regra do escoteiro

No modo PR, um problema antigo só bloqueia quando alguém altera a linha dele. Por isso não há baseline no Moldapé: cada PR que toca uma rota de catálogo precisa corrigir o guard daquela rota.

Quando o revisor erra

• Falso positivo de regra: // revisor-ignore <regra> -- motivo na linha anterior, e registre o caso para ajustar a regra no nos-revisor.
• Comentário ruim da IA: responda no próprio PR. Se a IA errou por causa da documentação, corrija a documentação.