all good v2

Reviewed-on: #25

.gitea/workflows/deploy.yml

@@ -46,7 +46,6 @@ jobs:
             -Dsonar.javascript.lcov.reportPaths=coverage/lcov.info
 
       - name: 5. Dynamic Security Scan (OWASP ZAP)
-        if: github.event_name == 'push'
         run: |
           echo ">>> 1. Limpeza profunda do ambiente..."
           docker rm -f apex-sandbox zap-scanner || true
@@ -64,59 +63,65 @@ jobs:
           docker volume create zap-data
           
           echo ">>> 4. Executar OWASP ZAP (FULL SCAN + AJAX SPIDER)..."
-          # Desligamos a paragem automática do Linux para podermos analisar o erro do ZAP
           set +e 
           
-          # Removemos o -c zap-rules.conf que estava a provocar o crash
           docker run --user root --name zap-scanner \
             --network zap-net \
             -v zap-data:/zap/wrk/:rw \
             -t ghcr.io/zaproxy/zaproxy:stable zap-full-scan.py \
             -t http://apex-sandbox:3000 \
             -r report.html \
+            -J report.json \
             -j
             
-          # GUARDAMOS O CÓDIGO DE RESULTADO DO ZAP
-          ZAP_EXIT_CODE=$?
-          
-          # Voltamos a ligar a segurança do script Linux
           set -e
             
-          echo ">>> 5. Recolher o relatório HTML..."
+          echo ">>> 5. Recolher os relatórios..."
-          # Como o ZAP agora não crasha, o relatório vai existir garantidamente!
           docker cp zap-scanner:/zap/wrk/report.html qatests/report.html || true
+          docker cp zap-scanner:/zap/wrk/report.json qatests/report.json || true
           
           echo ">>> 6. Limpeza final dos contentores..."
           docker rm -f zap-scanner apex-sandbox || true
           docker network rm zap-net || true
           docker volume rm zap-data || true
 
-          echo ">>> 7. Veredicto Final da Segurança..."
+          echo ">>> 7. Veredicto Final da Segurança (Gatekeeper Policy)..."
-          # O ZAP devolve 1 para falhas graves, 2 para avisos, e 0 para sucesso.
+          if grep -qi 'Cross Site Scripting (Reflected)' qatests/report.html || grep -iE '"riskcode"\s*:\s*"3"|"risk"\s*:\s*"High"' qatests/report.json; then
-          if [ $ZAP_EXIT_CODE -eq 1 ]; then
+            echo "🚨 ALERTA CRÍTICO: O OWASP ZAP detetou uma vulnerabilidade de Injeção de Código (XSS)!"
-            echo "🚨 ALERTA CRÍTICO: OWASP ZAP encontrou falhas HIGH/CRITICAL! Pipeline bloqueada."
+            echo "🛑 Pipeline BLOQUEADA para proteger a Branch Principal e a Produção."
-            exit 1
-          elif [ $ZAP_EXIT_CODE -eq 2 ]; then
-            echo "⚠️ AVISO: ZAP encontrou alertas MEDIUM/LOW, mas a pipeline avança (Exit Code 0)."
-            exit 0
-          elif [ $ZAP_EXIT_CODE -eq 3 ]; then
-            echo "❌ ERRO: O OWASP ZAP crashou por má configuração."
             exit 1
           else
-            echo "✅ ZAP Scan concluído sem vulnerabilidades críticas."
+            echo "✅ ZAP Scan concluído. Nenhuma falha Crítica ou Alta encontrada."
             exit 0
           fi
 
-      - name: 6. Production Deployment
+      - name: 6. Deploy em Produção (SSH)
         if: github.event_name == 'push'
-        run: |
+        uses: appleboy/ssh-action@master
-          docker rm -f portal-corporativo || true
+        with:
-          docker run -d -p 3000:3000 --name portal-corporativo apex-solutions:latest
+          host: ${{ secrets.SSH_HOST }}
-          sleep 5
+          username: ${{ secrets.SSH_USER }}
-          docker cp qatests/report.html portal-corporativo:/usr/src/app/frontend/zap-report.html || true
+          key: ${{ secrets.SSH_PRIVATE_KEY }}
+          script: |
+            set -e 
+            
+            echo ">>> 1. A navegar para a pasta do projeto no servidor..."
+            cd /storage/docker/website-secure
+            
+            echo ">>> 2. A transferir o código aprovado (git pull)..."
+            git pull origin main
+            
+            echo ">>> 3. A compilar a imagem Docker de Produção..."
+            docker build -f backend/Dockerfile -t apex-solutions:prod .
+            
+            echo ">>> 4. A substituir o contentor em execução..."
+            docker rm -f portal-corporativo || true
+            docker run -d -p 3000:3000 --name portal-corporativo --restart unless-stopped apex-solutions:prod
+            
+            echo "✅ Deploy concluído com sucesso! A aplicação está no ar."
 
       - name: 7. Archive ZAP Report
-        if: always() && github.event_name == 'push' 
+        if: always()
         uses: actions/upload-artifact@v3
         with:
           name: owasp-zap-report

backend/server.js

@@ -13,31 +13,18 @@ app.use(cors());
 app.use(express.json());
 app.use(express.urlencoded({ extended: true }));
 
+
+
 // Serve a pasta frontend
 app.use(express.static(path.join(__dirname, '../frontend'), { extensions: ['html'] }));
 
-// Rotas das 4 páginas estáticas
+// Rotas das páginas estáticas (A rota '/' original foi comentada para não dar conflito com a do ZAP)
-app.get('/', (req, res) => res.sendFile(path.join(__dirname, '../frontend/index.html')));
+// app.get('/', (req, res) => res.sendFile(path.join(__dirname, '../frontend/index.html'))); 
 app.get('/about', (req, res) => res.sendFile(path.join(__dirname, '../frontend/about.html')));
 app.get('/careers', (req, res) => res.sendFile(path.join(__dirname, '../frontend/careers.html')));
 app.get('/contact', (req, res) => res.sendFile(path.join(__dirname, '../frontend/contact.html')));
 
-// ==========================================
+// O eval() FOI REMOVIDO DAQUI PARA O SONARQUBE NÃO BLOQUEAR!
-// ROTA VULNERÁVEL (Armadilha infalível para o OWASP ZAP)
-// ==========================================
-app.get('/api/search', (req, res) => {
-    const termo = req.query.q || '';
-    // A vulnerabilidade crítica: devolver o input diretamente no HTML
-    res.send(`
-        <html>
-            <head><title>Resultados</title></head>
-            <body>
-                <h1>Resultados para: ${termo}</h1>
-                <a href="/">Voltar</a>
-            </body>
-        </html>
-    `);
-});
 
 // Configuração do transporte de E-mail (Mocks de teste vs Produção)
 let transporter;

frontend/index.html

@@ -3,7 +3,7 @@
 <head>
     <meta charset="UTF-8">
     <meta name="viewport" content="width=device-width, initial-scale=1.0">
-    <title>Home | Apex Solutions branch sec</title>
+    <title>Home | Apex Solutions</title>
     <script src="https://cdn.tailwindcss.com"></script>
     <style>
         html { scroll-behavior: smooth; } /* Animação suave ao clicar no link de serviços */
@@ -33,7 +33,7 @@
             <div class="max-w-7xl mx-auto px-4 sm:px-6 lg:px-8 py-24 lg:py-32">
                 <h1 class="text-4xl tracking-tight font-extrabold text-gray-900 sm:text-5xl md:text-6xl">
                     <span class="block">Innovative Solutions for</span>
-                    <span class="block text-blue-600">Modern Businesses</span>
+                    <span class="block text-blue-600">Modern website-secure</span>
                 </h1>
                 <p class="mt-6 max-w-2xl text-lg text-gray-500 leading-relaxed">
                     At Apex Solutions, we deliver high-quality business consulting, technology services, and strategic insights. We help organizations across the globe achieve their goals through operational excellence and digital transformation.
@@ -93,12 +93,12 @@
             </div>
         </div>
     </main>
-<div style="display: none;">
+    <!--<div style="display: none;">
         <form action="/api/search" method="GET">
             <input type="text" name="q" value="teste">
             <button type="submit">Pesquisar</button>
         </form>
-    </div>
+    </div>-->
     <footer class="bg-slate-900 text-slate-400 py-12 text-center">
         <p>&copy; 2026 Apex Solutions. All rights reserved.</p>
     </footer>

package-lock.json

@@ -11,7 +11,6 @@
       "dependencies": {
         "cors": "^2.8.5",
         "express": "^4.18.2",
-        "lodash": "4.17.15",
         "nodemailer": "^8.0.11"
       },
       "devDependencies": {
@@ -1308,9 +1307,6 @@
         "arm64"
       ],
       "dev": true,
-      "libc": [
-        "glibc"
-      ],
       "license": "MIT",
       "optional": true,
       "os": [
@@ -1325,9 +1321,6 @@
         "arm64"
       ],
       "dev": true,
-      "libc": [
-        "musl"
-      ],
       "license": "MIT",
       "optional": true,
       "os": [
@@ -1342,9 +1335,6 @@
         "loong64"
       ],
       "dev": true,
-      "libc": [
-        "glibc"
-      ],
       "license": "MIT",
       "optional": true,
       "os": [
@@ -1359,9 +1349,6 @@
         "loong64"
       ],
       "dev": true,
-      "libc": [
-        "musl"
-      ],
       "license": "MIT",
       "optional": true,
       "os": [
@@ -1376,9 +1363,6 @@
         "ppc64"
       ],
       "dev": true,
-      "libc": [
-        "glibc"
-      ],
       "license": "MIT",
       "optional": true,
       "os": [
@@ -1393,9 +1377,6 @@
         "riscv64"
       ],
       "dev": true,
-      "libc": [
-        "glibc"
-      ],
       "license": "MIT",
       "optional": true,
       "os": [
@@ -1410,9 +1391,6 @@
         "riscv64"
       ],
       "dev": true,
-      "libc": [
-        "musl"
-      ],
       "license": "MIT",
       "optional": true,
       "os": [
@@ -1427,9 +1405,6 @@
         "s390x"
       ],
       "dev": true,
-      "libc": [
-        "glibc"
-      ],
       "license": "MIT",
       "optional": true,
       "os": [
@@ -1444,9 +1419,6 @@
         "x64"
       ],
       "dev": true,
-      "libc": [
-        "glibc"
-      ],
       "license": "MIT",
       "optional": true,
       "os": [
@@ -1461,9 +1433,6 @@
         "x64"
       ],
       "dev": true,
-      "libc": [
-        "musl"
-      ],
       "license": "MIT",
       "optional": true,
       "os": [
@@ -3900,12 +3869,6 @@
         "node": ">=8"
       }
     },
-    "node_modules/lodash": {
-      "version": "4.17.15",
-      "resolved": "https://registry.npmjs.org/lodash/-/lodash-4.17.15.tgz",
-      "integrity": "sha512-8xOcRHvCjnocdS5cpwXQXVzmmh5e5+saE2QGoeQmbKmRS6J3VQppPOIt0MnmE+4xlZoumy0GPG0D0MVIQbNA1A==",
-      "license": "MIT"
-    },
     "node_modules/lru-cache": {
       "version": "5.1.1",
       "resolved": "https://registry.npmjs.org/lru-cache/-/lru-cache-5.1.1.tgz",

package.json

@@ -18,6 +18,7 @@
     "cors": "^2.8.5",
     "express": "^4.18.2",
     "nodemailer": "^8.0.11"
+
   },
   "devDependencies": {
     "jest": "^30.4.2",

tests/core.test.js

@@ -36,15 +36,6 @@ describe('Enterprise Application Flow & API Validation', () => {
             expect(response.status).toBe(404);
         });
 
-        // NOVO TESTE: Valida a nossa armadilha para o OWASP ZAP (corrigido para /api/search)
-        it('Should reflect the search query in the HTML response (/api/search) - Vulnerable to XSS', async () => {
-            const maliciousPayload = '<script>alert("ZAP")</script>';
-            const response = await request(app).get(`/api/search?q=${maliciousPayload}`);
-            
-            expect(response.status).toBe(200);
-            // Verifica se o payload é refletido exatamente como entrou (confirmando a vulnerabilidade)
-            expect(response.text).toContain(`Resultados para: ${maliciousPayload}`);
-        });
     });
 
     // ==========================================