Merge pull request 'owasp zap config v14' (#19) from teste-bloqueio into main

Reviewed-on: #19

.gitea/workflows/deploy.yml

@@ -64,46 +64,40 @@ jobs:
           docker volume create zap-data
           
           echo ">>> 4. Executar OWASP ZAP (FULL SCAN + AJAX SPIDER)..."
-          # Desligamos a paragem automática do Linux para podermos analisar o erro do ZAP
+          # Desligamos a paragem automática do Linux
           set +e 
           
-          # Removemos o -c zap-rules.conf que estava a provocar o crash
+          # Adicionámos o -J report.json para criar um ficheiro legível por máquina
           docker run --user root --name zap-scanner \
             --network zap-net \
             -v zap-data:/zap/wrk/:rw \
             -t ghcr.io/zaproxy/zaproxy:stable zap-full-scan.py \
             -t http://apex-sandbox:3000 \
             -r report.html \
+            -J report.json \
             -j
             
-          # GUARDAMOS O CÓDIGO DE RESULTADO DO ZAP
+          # Voltamos a ligar a paragem de segurança
-          ZAP_EXIT_CODE=$?
-          
-          # Voltamos a ligar a segurança do script Linux
           set -e
             
-          echo ">>> 5. Recolher o relatório HTML..."
+          echo ">>> 5. Recolher os relatórios..."
-          # Como o ZAP agora não crasha, o relatório vai existir garantidamente!
+          # Agora extraímos os dois ficheiros (HTML para humanos, JSON para a pipeline)
           docker cp zap-scanner:/zap/wrk/report.html qatests/report.html || true
+          docker cp zap-scanner:/zap/wrk/report.json qatests/report.json || true
           
           echo ">>> 6. Limpeza final dos contentores..."
           docker rm -f zap-scanner apex-sandbox || true
           docker network rm zap-net || true
           docker volume rm zap-data || true
 
-          echo ">>> 7. Veredicto Final da Segurança..."
+          echo ">>> 7. Veredicto Final da Segurança (Gatekeeper Policy)..."
-          # O ZAP devolve 1 para falhas graves, 2 para avisos, e 0 para sucesso.
+          # Lemos o JSON report diretamente. Se contiver a palavra "High" ou "Critical", bloqueamos!
-          if [ $ZAP_EXIT_CODE -eq 1 ]; then
+          if grep -q '"risk": "High"' qatests/report.json || grep -q '"risk": "Critical"' qatests/report.json; then
-            echo "🚨 ALERTA CRÍTICO: OWASP ZAP encontrou falhas HIGH/CRITICAL! Pipeline bloqueada."
+            echo "🚨 ALERTA CRÍTICO: O OWASP ZAP detetou vulnerabilidades de risco HIGH/CRITICAL (ex: XSS)!"
-            exit 1
+            echo "🛑 Pipeline BLOQUEADA para proteger o ambiente de Produção."
-          elif [ $ZAP_EXIT_CODE -eq 2 ]; then
-            echo "⚠️ AVISO: ZAP encontrou alertas MEDIUM/LOW, mas a pipeline avança (Exit Code 0)."
-            exit 0
-          elif [ $ZAP_EXIT_CODE -eq 3 ]; then
-            echo "❌ ERRO: O OWASP ZAP crashou por má configuração."
             exit 1
           else
-            echo "✅ ZAP Scan concluído sem vulnerabilidades críticas."
+            echo "✅ ZAP Scan concluído. Nenhuma falha Crítica ou Alta encontrada."
             exit 0
           fi