39 Skills · 15 Agents · 3 Real Scenarios

Escopo IN: Web Push (Chrome, Firefox, Edge, Safari 16.4+), iOS via APNs, 4 tipos de alerta, consentimento LGPD, histórico 30 dias

Escopo OUT: Android Push (fase 2), push de marketing, analytics de abertura, SMS/e-mail

Slice 1 — Permissão Web
DADO que o usuário está logado pela primeira vez QUANDO abre o dashboard ENTÃO aparece prompt nativo do browser pedindo permissão
DADO que o usuário concede permissão QUANDO o sistema registra o device ENTÃO o push token é salvo no backend associado ao user_id e ao device fingerprint

Slice 2 — Permissão iOS
DADO que o usuário instala o app QUANDO chega na tela de onboarding ENTÃO o sistema exibe tela explicativa antes do prompt nativo iOS
Dependência: Certificado APNs configurado; endpoint POST /api/devices/register com campo platform

Regra de Negócio RN-04: Badge de device deve ser gerenciado com refresh automático. Erro APNs BadDeviceToken → marcar device como inativo. Safari 16.4+ requer user gesture para registrar Service Worker.

✓ Vertical slices · ✓ DADO/QUANDO/ENTÃO · ✓ Prioridade calculada · ✓ APNs BadDeviceToken · ✓ Safari 16.4 · ✓ LGPD · ✓ Dependências explícitas

Passo 1 — Parsear SARIF:

jq '.runs[].results[] | {rule:.ruleId, level:.level, file:.locations[0].physicalLocation.artifactLocation.uri, line:.locations[0].physicalLocation.region.startLine}' semgrep.sarif

Tabela de 3 perguntas por finding:

| Pergunta          | TP se                          | FP se                        |
|-------------------|--------------------------------|------------------------------|
| Input controlado? | req.body, query, params        | literal hardcoded, constante |
| Sink real?        | eval, exec, innerHTML, raw SQL | mock/teste/comentário        |
| Mitigação?        | nenhuma visível                | ORM parametrizado, escape    |
Decisão: 2/3 TP → True Positive | 2/3 FP → False Positive

Anti-bias: 3 FPs consecutivos sem leitura de código = PARAR. "Parece FP" sem evidência = NI, nunca FP.

Suppression gate (mandatory): Before any // nosemgrep — explicit approval: "I confirm this finding is FP because [evidence]. I authorize suppression." Silence = blocked.

✓ jq SARIF · ✓ Tabela TP/FP · ✓ Anti-bias · ✓ Suppression gate · ✓ Fix diffs com owner+esforço · ✓ Triage stats · ✓ Handoff para variant-analysis

🔴 Crítico — F1: IDOR em fromAccountId

PoC executável:

TOKEN=$(curl -s -X POST /api/login \
  -d '{"email":"a@test.com","password":"..."}' | jq -r .token)
# Usar fromAccountId do user_B com token de user_A
curl -X POST /api/transfer \
  -H "Authorization: Bearer $TOKEN" \
  -d '{"fromAccountId":"<conta_de_B>","amount":1000}'
# Esperado: 403 | Vulnerável: 200 + débito na conta de B

Fix obrigatório:

// middleware/ownership.ts
export const assertAccountOwnership = async (req, res, next) => {
  const account = await db.account.findUnique({ where: { id: req.body.fromAccountId }});
  if (!account || account.ownerId !== req.user.sub)
    return res.status(403).json({ error: 'FORBIDDEN' });
  next();
};

🔴 Crítico — F2: Race Condition no saldo
Dois requests simultâneos leem mesmo saldo → double-spend. Fix: SELECT ... FOR UPDATE ou transação atômica.

✓ OWASP labels · ✓ PoC curl executável · ✓ Fix com código · ✓ Go/No-Go explícito · ✓ Race condition identificada

Passo 1 — Isolamento: Camada = API (não UI, não infra). Funciona local → integração/dado quebra.

Hipóteses rankeadas:
H1 (alta): Prisma retorna null, código acessa .id sem null-check
H2 (média): Redis retorna null em cache miss, código deserializa null
H3 (baixa): Request body malformado em edge case de produção

Evidence Ledger:

| Evidência                    | Status  | Apoia  |
|------------------------------|---------|--------|
| Stack trace com linha exata  | PENDING | H1,H2,H3 |
| Logs Redis em 5% das req.   | PENDING | H2 |
| Prisma findUnique sem ?      | PENDING | H1 |

Root cause: Não confirmada. "Esta frase tem 'provavelmente' implícito — não é root cause confirmada sem evidência direta."

Fix por H1 (mais provável):

// ANTES — acessa .id sem verificar se order existe
const order = await prisma.order.findUnique({ where: { id } });
return order.id; // 💥 se null

// DEPOIS
const order = await prisma.order.findUnique({ where: { id } });
if (!order) throw new NotFoundError(`Order ${id} not found`);
return order.id;

✓ Isolation step · ✓ Hipóteses rankeadas · ✓ Evidence Ledger · ✓ Recusa "provavelmente" sem evidência · ✓ Fix por hipótese · ✓ Teste de regressão pronto

PO → Spec com 2 slices, critérios DADO/QUANDO/ENTÃO, LIMIT 10k documentado

Orchestrator → Cortou 8 skills irrelevantes (UI/UX, Frontend, SEO...), entregou context pack YAML ao Backend

Backend → database.js + auth.js + tasks-export.js — JWT obrigatório, query parametrizada, LIMIT 10k

QA → 12 testes: auth 401, 0 tasks, N tasks, filtro, IDOR, CSV escaping — 12/12 passando

Security → detectou CSV injection que o QA havia perdido — fórmulas Excel em títulos de tasks

Reviewer → APROVADO + commit message com trailers de trade-off

✓ Código real · ✓ 12/12 testes · ✓ IDOR bloqueado · ✓ CSV injection detectado pela chain · ✓ Gate aprovado