Revisão de Código OSS

Propósito e intenção do usuário: a ferramenta OSS Code Review analisa repositórios para avaliar conformidade de licenças, postura de segurança, risco de licenças e qualidade de software em projetos OSS. Usuários-alvo incluem mantenedores de software, engenheiros de segurança, equipes de governança e praticantes de CI/CD que avaliam uma dependência candidata, um PR ou uma nova versão. É usada durante checagens pré-fusão, aplicação de políticas ou auditorias periódicas para apresentar achados acionáveis antes que as alterações entrem em produção.
Lógica central e recursos: gera um SBOM (Software Bill of Materials), detecta licenças via mapeamentos compatíveis com SPDX e corrige vulnerabilidades a partir de avisos públicos. Calcula uma pontuação de risco e destaca componentes de alta prioridade. Funções obrigatórias: acesso ao repositório, analizadores por linguagem, motor de regras e relatórios exportáveis. Capacidades avançadas (opcionais): modelos de políticas personalizáveis, varreduras incrementais/parciais, integração com CI, orientação de remediação e painéis entre repositórios. Valor único: governança integrada — tríade de licenças, postura de segurança e sinais de manutenibilidade em um único fluxo, reduzindo o tempo de ciclo de conformidade.
Entradas e saídas: Entradas: repository_url (string, obrigatório), target_branch (string, opcional, padrão: main), access_token (string, opcional), authentication_type (string, opcional), languages (array, ex. [JavaScript, Python]), include_paths (array, opcional). Saídas: summary_report (objeto) com risk_score e issues, licenses_map (objeto), remediation_steps (array) e SBOM opcional (JSON tipo SPDX). Validação: o repositório deve ser acessível, tokens válidos e parsers suportem as línguas detectadas; caso contrário, resultados parciais com diagnósticos.
Algoritmos e cálculos: geração de SBOM; detecção de licenças via SPDX; construção do grafo de dependências; correspondência de vulnerabilidades com CVE; heurísticas de manutenibilidade. Risk_score é combinação ponderada: 0,4*risco_licenca + 0,5*risco_segurança + 0,1*risco_manutencao, arredondado para inteiro. Saídas incluem bandeiras de risco por componente e remediações sugeridas.
Erros e casos de borda: tratamento de entradas ausentes ou inválidas, repositórios privados, tokens expirados, limites de API e indisponibilidade de dados externos. Suporte de idioma incompleto resulta em varreduras parciais com diagnósticos. Repositórios privados requerem tokens válidos; falhas de rede produzem códigos de erro estruturados e avisos, não mensagens de UI.
Indústria/Localização: segue padrões SPDX e formatos SBOM. Suporta ecossistemas OSS comuns e provedores de hospedagem Git (GitHub, GitLab, Bitbucket). Localização textual; métricas numéricas utilizam escala 0–100 com rótulos em inglês.
Assunções & Exclusões: assume dados de repositório acessíveis e advisories atualizados; exclui execução de código, análise dinâmica ou alterações de código incorporadas. Não é verificação legal de licenças; expõe violações de políticas para revisão humana e gating CI.