ricardonevesbraga/flowgrammers-skills/pr-review-expert

# Ver diff no terminal
gh pr diff <PR_NUMBER>
 
# Obter metadados do PR (título, body, labels, issues vinculados)
gh pr view <PR_NUMBER> --json title,body,labels,assignees,milestone
 
# Listar arquivos alterados
gh pr diff <PR_NUMBER> --name-only
 
# Verificar status do CI
gh pr checks <PR_NUMBER>
 
# Baixar diff para arquivo para análise
gh pr diff <PR_NUMBER> > /tmp/pr-<PR_NUMBER>.diff

# Ver diff do MR
glab mr diff <MR_IID>
 
# Detalhes do MR como JSON
glab mr view <MR_IID> --output json
 
# Listar arquivos alterados
glab mr diff <MR_IID> --name-only
 
# Baixar diff
glab mr diff <MR_IID> > /tmp/mr-<MR_IID>.diff

PR=123
gh pr view $PR --json title,body,labels,milestone,assignees | jq .
gh pr diff $PR --name-only
gh pr diff $PR > /tmp/pr-$PR.diff

# Encontrar todos os arquivos que importam um módulo alterado
grep -r "from ['\"].*changed-module['\"]" src/ --include="*.ts" -l
grep -r "require(['\"].*changed-module" src/ --include="*.js" -l
 
# Python
grep -r "from changed_module import\|import changed_module" . --include="*.py" -l

# Verificar se os arquivos alterados abrangem múltiplos serviços (monorepo)
gh pr diff $PR --name-only | cut -d/ -f1-2 | sort -u

gh pr diff $PR --name-only | grep -E "types/|interfaces/|schemas/|models/"

DIFF=/tmp/pr-$PR.diff
 
# SQL Injection — interpolação de string de consulta bruta
grep -n "query\|execute\|raw(" $DIFF | grep -E '\$\{|f"|%s|format\('
 
# Segredos hardcoded
grep -nE "(password|secret|api_key|token|private_key)\s*=\s*['\"][^'\"]{8,}" $DIFF
 
# Padrão de chave AWS
grep -nE "AKIA[0-9A-Z]{16}" $DIFF
 
# Segredo JWT no código
grep -nE "jwt\.sign\(.*['\"][^'\"]{20,}['\"]" $DIFF
 
# Vetores XSS (para detectar e corrigir nos PRs revisados)
grep -n "innerHTML\s*=" $DIFF
 
# Padrões de bypass de auth
grep -n "bypass\|skip.*auth\|noauth\|TODO.*auth" $DIFF
 
# Algoritmos de hash inseguros
grep -nE "md5\(|sha1\(|createHash\(['\"]md5|createHash\(['\"]sha1" $DIFF
 
# eval / exec
grep -nE "\beval\(|\bexec\(|\bsubprocess\.call\(" $DIFF
 
# Poluição de protótipo
grep -n "__proto__\|constructor\[" $DIFF
 
# Risco de path traversal
grep -nE "path\.join\(.*req\.|readFile\(.*req\." $DIFF

# Contar arquivos fonte vs. de teste alterados
CHANGED_SRC=$(gh pr diff $PR --name-only | grep -vE "\.test\.|\.spec\.|__tests__")
CHANGED_TESTS=$(gh pr diff $PR --name-only | grep -E "\.test\.|\.spec\.|__tests__")
 
echo "Arquivos fonte alterados: $(echo "$CHANGED_SRC" | wc -w)"
echo "Arquivos de teste alterados:   $(echo "$CHANGED_TESTS" | wc -w)"
 
# Linhas de nova lógica vs. novas linhas de teste
LOGIC_LINES=$(grep "^+" /tmp/pr-$PR.diff | grep -v "^+++" | wc -l)
echo "Novas linhas adicionadas: $LOGIC_LINES"
 
# Executar cobertura localmente
npm test -- --coverage --changedSince=main 2>/dev/null | tail -20
pytest --cov --cov-report=term-missing 2>/dev/null | tail -20

# Mudanças de spec OpenAPI/Swagger
grep -n "openapi\|swagger" /tmp/pr-$PR.diff | head -20
 
# Remoções ou renomeações de rotas REST
grep "^-" /tmp/pr-$PR.diff | grep -E "router\.(get|post|put|delete|patch)\("
 
# Remoções de esquema GraphQL
grep "^-" /tmp/pr-$PR.diff | grep -E "^-\s*(type |field |Query |Mutation )"
 
# Remoções de interface TypeScript
grep "^-" /tmp/pr-$PR.diff | grep -E "^-\s*(export\s+)?(interface|type) "

# Arquivos de migração adicionados
gh pr diff $PR --name-only | grep -E "migrations?/|alembic/|knex/"
 
# Operações destrutivas
grep -E "DROP TABLE|DROP COLUMN|ALTER.*NOT NULL|TRUNCATE" /tmp/pr-$PR.diff
 
# Remoções de índice (risco de regressão de desempenho)
grep "DROP INDEX\|remove_index" /tmp/pr-$PR.diff

# Novas variáveis de ambiente referenciadas no código (podem estar faltando em prod)
grep "^+" /tmp/pr-$PR.diff | grep -oE "process\.env\.[A-Z_]+" | sort -u
 
# Variáveis de ambiente removidas (podem quebrar instâncias em execução)
grep "^-" /tmp/pr-$PR.diff | grep -oE "process\.env\.[A-Z_]+" | sort -u

# Padrões de consulta N+1 (chamadas de banco de dados dentro de loops)
grep -n "\.find\|\.findOne\|\.query\|db\." /tmp/pr-$PR.diff | grep "^+" | head -20
# Em seguida verifique o contexto ao redor para loops forEach/map/for
 
# Novas dependências pesadas
grep "^+" /tmp/pr-$PR.diff | grep -E '"[a-z@].*":\s*"[0-9^~]' | head -20
 
# Loops ilimitados
grep -n "while (true\|while(true" /tmp/pr-$PR.diff | grep "^+"
 
# await ausente (promises acidentalmente sequenciais)
grep -n "await.*await" /tmp/pr-$PR.diff | grep "^+" | head -10
 
# Alocações grandes em memória
grep -n "new Array([0-9]\{4,\}\|Buffer\.alloc" /tmp/pr-$PR.diff | grep "^+"

# Extrair referências de ticket do body do PR
gh pr view $PR --json body | jq -r '.body' | \
  grep -oE "(PROJ-[0-9]+|[A-Z]+-[0-9]+|https://linear\.app/[^)\"]+)" | sort -u
 
# Verificar se o ticket Jira existe (requer JIRA_API_TOKEN)
TICKET="PROJ-123"
curl -s -u "user@company.com:$JIRA_API_TOKEN" \
  "https://your-org.atlassian.net/rest/api/3/issue/$TICKET" | \
  jq '{key, summary: .fields.summary, status: .fields.status.name}'

## Lista de Verificação de Revisão de Código
 
### Escopo e Contexto
-[ ] O título do PR descreve com precisão a mudança
-[ ] A descrição do PR explica o POR QUÊ, não apenas o O QUÊ
-[ ] O ticket Jira/Linear vinculado existe e corresponde ao escopo
-[ ] Sem mudanças não relacionadas (scope creep)
-[ ] Mudanças disruptivas documentadas no body do PR
 
### Raio de Impacto
-[ ] Identificados todos os arquivos que importam módulos alterados
-[ ] Dependências entre serviços verificadas
-[ ] Tipos/interfaces/esquemas compartilhados revisados para quebras
-[ ] Novas variáveis de ambiente documentadas em .env.example
-[ ] Migrações de banco de dados são reversíveis (têm down() / rollback)
 
### Segurança
-[ ] Sem segredos ou chaves de API hardcoded
-[ ] Consultas SQL usam entradas parametrizadas (sem interpolação de string)
-[ ] Entradas de usuário validadas/sanitizadas antes do uso
-[ ] Verificações de auth/autorização em todos os novos endpoints
-[ ] Sem vetores XSS (manipulação insegura de innerHTML)
-[ ] Novas dependências verificadas quanto a CVEs conhecidos
-[ ] Sem dados sensíveis nos logs (PII, tokens, senhas)
-[ ] Uploads de arquivo validados (tipo, tamanho, content-type)
-[ ] CORS configurado corretamente para novos endpoints
 
### Testes
-[ ] Novas funções públicas têm testes unitários
-[ ] Casos extremos cobertos (vazio, nulo, valores máximos)
-[ ] Caminhos de erro testados (não apenas o caminho feliz)
-[ ] Testes de integração para mudanças de endpoint de API
-[ ] Sem testes deletados sem motivo claro
-[ ] Nomes de testes descrevem claramente o que verificam
 
### Mudanças Disruptivas
-[ ] Sem endpoints de API removidos sem aviso de depreciação
-[ ] Sem campos obrigatórios adicionados a respostas de API existentes
-[ ] Sem colunas de banco de dados removidas sem plano de migração em duas fases
-[ ] Sem variáveis de ambiente removidas que possam estar definidas em produção
-[ ] Compatível retroativamente para consumidores de API externos
 
### Desempenho
-[ ] Sem padrões de consulta N+1 introduzidos
-[ ] Índices de banco de dados adicionados para novos padrões de consulta
-[ ] Sem loops ilimitados em conjuntos de dados potencialmente grandes
-[ ] Sem novas dependências pesadas sem justificativa
-[ ] Operações assíncronas corretamente aguardadas
-[ ] Cache considerado para operações repetidas caras
 
### Qualidade do Código
-[ ] Sem código morto ou importações não utilizadas
-[ ] Tratamento de erros presente (sem blocos catch vazios)
-[ ] Consistente com padrões e convenções existentes
-[ ] Lógica complexa tem comentários explicativos
-[ ] Sem TODOs não resolvidos (ou rastreados em ticket)

## Revisão do PR: [Título do PR] (#NÚMERO)
 
Raio de Impacto: ALTO — altera lib/auth usada por 5 serviços
Segurança: 1 achado (severidade média)
Testes: Delta de cobertura +2%
Mudanças Disruptivas: Nenhuma detectada
 
--- DEVE CORRIGIR (Bloqueante) ---
 
1. Risco de SQL Injection em src/db/users.ts:42
   Interpolação de string bruta na cláusula WHERE.
   Correção: db.query("SELECT * WHERE id = $1", [userId])
 
--- DEVERIA CORRIGIR (Não bloqueante) ---
 
2. Verificação de auth ausente em POST /api/admin/reset
   Sem verificação de papel antes de operação destrutiva.
 
--- SUGESTÕES ---
 
3. Padrão N+1 em src/services/reports.ts:88
   findUser() chamado dentro de results.map() — agrupe com findManyUsers(ids)
 
--- ESTÁ BOM ---
- Cobertura de testes para novo fluxo de auth é completa
- Migração de banco de dados tem método down() adequado para rollback
- Tratamento de erros consistente com o resto da base de código