ci: add quality and security gate

Author: alpesdigital-adm

.github/workflows/ci.yml

@@ -0,0 +1,85 @@
+name: CI
+
+on:
+  push:
+    branches:
+      - main
+  pull_request:
+
+permissions:
+  contents: read
+
+concurrency:
+  group: ci-${{ github.workflow }}-${{ github.ref }}
+  cancel-in-progress: true
+
+jobs:
+  quality:
+    name: Quality and security
+    runs-on: ubuntu-latest
+    timeout-minutes: 20
+
+    env:
+      CI: true
+      APOLLO_API_ENVIRONMENT: production
+      APOLLO_V2_PERSISTENCE: postgres
+      V2_DATABASE_URL: postgresql://apollo:apollo-ci@127.0.0.1:5432/apollo_v2?schema=public
+
+    services:
+      postgres:
+        image: postgres:16-alpine
+        env:
+          POSTGRES_DB: apollo_v2
+          POSTGRES_USER: apollo
+          POSTGRES_PASSWORD: apollo-ci
+        ports:
+          - 5432:5432
+        options: >-
+          --health-cmd "pg_isready -U apollo -d apollo_v2"
+          --health-interval 10s
+          --health-timeout 5s
+          --health-retries 10
+
+    steps:
+      - name: Check out repository
+        uses: actions/checkout@df4cb1c069e1874edd31b4311f1884172cec0e10 # v6
+
+      - name: Set up Node.js
+        uses: actions/setup-node@48b55a011bda9f5d6aeb4c2d9c7362e8dae4041e # v6
+        with:
+          node-version: 22
+          cache: npm
+          cache-dependency-path: package-lock.json
+
+      - name: Prepare integration environment
+        run: touch .env
+
+      - name: Install locked dependencies
+        run: npm ci
+
+      - name: Audit dependencies
+        run: npm run security:audit
+
+      - name: Typecheck
+        run: npm run typecheck
+
+      - name: Run unit and contract tests
+        run: npm test
+
+      - name: Validate public API contracts
+        run: npm run api:v1:validate
+
+      - name: Validate database schema and migrations
+        run: npm run db:v2:validate
+
+      - name: Apply database migrations
+        run: npm run db:v2:migrate:deploy
+
+      - name: Build production application
+        run: npm run build
+
+      - name: Run Prisma integration tests
+        run: npm run test:integration:prisma
+
+      - name: Run public API integration tests
+        run: npm run test:integration:api

README.md

@@ -4,7 +4,7 @@ Editor de vídeo local que automatiza a edição usando IA. Recebe vídeo bruto,
 
 ## Stack
 
-- **Next.js 14** — Interface e API
+- **Next.js 16 + React 19** — Interface e API
 - **Remotion 4.0.434** — Renderização programática de vídeo
 - **Whisper API** (OpenAI) — Transcrição com timestamps
 - **Claude API** (Anthropic) — Análise de conteúdo e cenas
@@ -21,7 +21,7 @@ Upload → Normalização → Transcrição → Análise IA → Revisão → Ren
 
 ### Pré-requisitos
 
-- Node.js v20+
+- Node.js 22 recomendado (mínimo 20.9)
 - FFmpeg instalado globalmente
 - Chaves API: OpenAI + Anthropic
 
@@ -52,6 +52,22 @@ npm run remotion:dev     # Remotion na porta 3001
 
 Acesse: http://localhost:3333
 
+## Validação contínua
+
+O workflow de CI roda em pushes para `main` e em pull requests. Ele usa instalação
+determinística pelo `package-lock.json` e bloqueia a integração quando falham:
+
+- auditoria de dependências a partir de severidade baixa;
+- typecheck, testes unitários e contratos públicos;
+- validação e aplicação das migrations em Postgres 16;
+- build de produção e testes de integração Prisma/API.
+
+Para executar a auditoria localmente:
+
+```bash
+npm run security:audit
+```
+
 ## Formatos
 
 - **Vertical (9:16)** — Shorts, Reels, TikTok

TODO.md

@@ -411,7 +411,10 @@
 - [ ] Provisionar object storage em desenvolvimento isolado.
 - [ ] Provisionar workflow durável em desenvolvimento isolado.
 - [ ] Criar seeds mínimos para workspace, projeto, source e OutputSpec.
-- [ ] Configurar lint, typecheck, unit, integration, golden e E2E no CI.
+- [x] Configurar audit, typecheck, unit, migration check, contract gate, build e integrações Postgres/API no CI. Evidência: `.github/workflows/ci.yml`.
+- [ ] Configurar lint no CI após selecionar regras e corrigir o baseline da v1.
+- [ ] Configurar golden tests no CI após existir fixture/render determinístico.
+- [ ] Configurar E2E no CI após existir jornada vertical F0 executável.
 - [ ] Criar telemetria comum com trace, job, workspace e project IDs.
 - [ ] Fazer upload de fixture, normalizar, criar plano estático e renderizar proxy.
 - [ ] Reconstruir o proxy usando apenas banco, object storage e manifest.
@@ -2296,7 +2299,7 @@ Pendências deliberadas:
 
 ### Slice F0-007 — Upgrade seguro de Next.js e React
 
-**Status:** concluído em 12 de julho de 2026; ainda não commitado.
+**Status:** concluído e publicado em 12 de julho de 2026 no commit `c350181`.
 
 Entregas:
 
@@ -2325,5 +2328,45 @@ Evidências:
 Pendências deliberadas:
 
 - migrar aliases/externals de Remotion/FFmpeg para Turbopack antes de remover `--webpack`;
-- adicionar `npm audit` como gate formal de CI;
 - atualizar TypeScript/Prisma e demais libs somente em slices próprios, com seus testes de migração.
+
+### Slice F0-008 — Gate de qualidade e segurança no CI
+
+**Status:** concluído em 12 de julho de 2026; ainda não commitado.
+
+Entregas:
+
+- workflow GitHub Actions para pushes em `main` e pull requests;
+- permissões mínimas `contents: read` e cancelamento de execuções obsoletas da mesma referência;
+- actions oficiais fixadas por commit SHA, com indicação da major usada;
+- Node.js 22 e instalação determinística via `npm ci`/`package-lock.json`;
+- `npm audit --audit-level=low` como gate bloqueante e comando local `security:audit`;
+- typecheck, testes unitários, contratos públicos e migration/schema check;
+- Postgres 16 efêmero com health check e migration deploy real;
+- build de produção seguido pelas integrações Prisma e API pública;
+- documentação do gate e runtime recomendado no README.
+
+Critério de falha:
+
+- qualquer comando retorna status diferente de zero e bloqueia o job;
+- nenhuma credencial externa é necessária: banco e credenciais de integração são efêmeros;
+- o job possui timeout de 20 minutos e não publica artifacts nem recebe permissão de escrita.
+
+Evidências locais:
+
+- reinstalação limpa com `npm ci` aprovada;
+- YAML válido e workflow aprovado pelo `actionlint` 1.7.12;
+- `npm audit --audit-level=low`: zero vulnerabilidades;
+- 32 testes, typecheck, contratos e migration check aprovados;
+- migration deploy real, build Next 16 e integrações Prisma/API aprovados.
+
+Risco identificado:
+
+- `npm ci` alerta que `fluent-ffmpeg@2.1.3` não possui mais suporte; a substituição por um adapter mantido ou por chamadas diretas ao FFmpeg deve ocorrer antes de promover o media worker a produção.
+
+Pendências deliberadas:
+
+- lint depende da seleção de regras e correção do baseline legado;
+- golden depende de fixture e render determinísticos;
+- E2E depende da primeira jornada vertical completa;
+- configurar a proteção da branch no GitHub para exigir o check `quality` é uma ação administrativa após a publicação do workflow.

package.json

@@ -12,6 +12,7 @@
     "start": "next start -p 3333",
     "typecheck": "tsc --noEmit",
     "test": "node --disable-warning=MODULE_TYPELESS_PACKAGE_JSON --test",
+    "security:audit": "npm audit --audit-level=low",
     "test:integration:prisma": "node --disable-warning=MODULE_TYPELESS_PACKAGE_JSON --env-file=.env --test tests/v2/prisma-project-repository.integration.mjs",
     "test:integration:api": "node --disable-warning=MODULE_TYPELESS_PACKAGE_JSON --env-file=.env --test tests/v2/public-project-api.integration.mjs",
     "api:v1:validate": "node --disable-warning=MODULE_TYPELESS_PACKAGE_JSON scripts/verify-public-contracts.mjs",