🚢 CI/CD e Deploy Profissional

📊 Taxa de Escape de Bugs — Com vs. Sem CI/CD em Projetos de Vibe Coding

⚙️ Workflow Completo para Projeto de Vibe Coding

Lint + Type check + Testes + Cobertura + SAST + Deploy — tudo em um arquivo

# .github/workflows/ci.yml
name: CI/CD Pipeline

on:
  push:
    branches: [main]
  pull_request:
    branches: [main]

jobs:
  # JOB 1: Qualidade de código
  quality:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4

      - uses: actions/setup-node@v4
        with:
          node-version: '22'
          cache: 'npm'         # Cache de dependências — builds 3x mais rápidos

      - run: npm ci             # Instala dependências de forma determinística

      - name: Lint e formatação
        run: npm run lint        # ESLint + Prettier check

      - name: TypeScript type check
        run: npx tsc --noEmit    # Verifica tipos sem gerar arquivos

      - name: Testes unitários + integração
        run: npm run test:coverage
        env:
          DATABASE_URL: ${{ secrets.TEST_DATABASE_URL }}
          NODE_ENV: test

      - name: Upload cobertura para Codecov
        uses: codecov/codecov-action@v4
        with:
          token: ${{ secrets.CODECOV_TOKEN }}
          fail_ci_if_error: true   # Falha se cobertura abaixo do threshold

  # JOB 2: Segurança (roda em paralelo com quality)
  security:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4

      - name: Semgrep SAST
        uses: semgrep/semgrep-action@v1
        with:
          config: >-
            p/security-audit
            p/secrets
            p/owasp-top-ten
            p/javascript

  # JOB 3: Deploy (só roda se quality E security passarem)
  deploy:
    needs: [quality, security]    # Gates obrigatórios
    runs-on: ubuntu-latest
    if: github.ref == 'refs/heads/main' && github.event_name == 'push'
    steps:
      - uses: actions/checkout@v4

      - name: Deploy to Vercel (produção)
        run: npx vercel --prod --token=${{ secrets.VERCEL_TOKEN }}
        env:
          VERCEL_ORG_ID: ${{ secrets.VERCEL_ORG_ID }}
          VERCEL_PROJECT_ID: ${{ secrets.VERCEL_PROJECT_ID }}

      - name: Notificar Sentry do novo deploy
        run: |
          curl -X POST "https://sentry.io/api/0/organizations/${{ secrets.SENTRY_ORG }}/releases/" \
            -H "Authorization: Bearer ${{ secrets.SENTRY_AUTH_TOKEN }}" \
            -d '{"version": "${{ github.sha }}", "projects": ["${{ secrets.SENTRY_PROJECT }}"]}'

🔍 Adicionando Snyk + Semgrep ao Pipeline

  # Adicione ao job 'security' no ci.yml existente:

  security:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4

      # Semgrep: padrões de código inseguro (OWASP, secrets)
      - name: Semgrep SAST
        uses: semgrep/semgrep-action@v1
        with:
          config: >-
            p/security-audit
            p/secrets
            p/owasp-top-ten
            p/javascript
        env:
          SEMGREP_APP_TOKEN: ${{ secrets.SEMGREP_APP_TOKEN }}

      # Snyk: vulnerabilidades em dependências (npm packages)
      - name: Snyk — dependências vulneráveis
        uses: snyk/actions/node@master
        with:
          args: --severity-threshold=high  # só bloqueia HIGH e CRITICAL
        env:
          SNYK_TOKEN: ${{ secrets.SNYK_TOKEN }}

      # CodeQL: análise profunda de fluxo de dados (GitHub nativo, gratuito)
      - uses: github/codeql-action/init@v3
        with:
          languages: javascript-typescript
          queries: security-extended
      - uses: github/codeql-action/analyze@v3

🚩 Implementação de Feature Flag em TypeScript

// src/lib/feature-flags.ts
type UserId = string;

interface FeatureFlags {
  newCheckoutFlow: boolean;
  aiRecommendations: boolean;
  betaDashboard: boolean;
}

// Flags simples por variável de ambiente (rollout global on/off)
export const flags: FeatureFlags = {
  newCheckoutFlow: process.env.FF_NEW_CHECKOUT === 'true',
  aiRecommendations: process.env.FF_AI_RECS === 'true',
  betaDashboard: process.env.FF_BETA_DASHBOARD === 'true',
};

// Flags com rollout percentual (por userId)
export function isInRollout(userId: UserId, flagName: string, percent: number): boolean {
  // Hash determinístico: mesmo user sempre cai no mesmo grupo
  const hash = userId.split('').reduce((acc, c) => acc + c.charCodeAt(0), 0);
  return (hash % 100) < percent;
}

// Uso no componente / handler
export function getCheckoutComponent(userId: UserId) {
  if (flags.newCheckoutFlow && isInRollout(userId, 'newCheckout', 25)) {
    return NewCheckout;  // 25% dos usuários veem o novo checkout
  }
  return OldCheckout;
}

🌲 Árvore de Decisão para Rollback Automático

📊 Ferramentas de Monitoramento — Stack Recomendado