[P0][security-gate][INVIOLÁVEL] pre-push hook VERSIONADO: check-all local (1653 + Bandit/Zizmor/Semgrep) ANTES de push/PR — NUNCA removível

[FabioLeitao]

MANDATO DO OPERADOR (não-negociável)

Todos os testes + security scans rodam LOCAL, ANTES do push/PR. O ponto é NÃO depender do round-trip do GitHub (esperar minutos, falhar remoto, refazer). O tier local (Zizmor + Bandit + Semgrep + os 1653) foi montado exatamente pra isso. Esses gates NUNCA podem ser removidos.

Problema (evidência 03/jul)

• .git/hooks/ só tem pre-commit (framework leve) — NÃO existe pre-push que rode o check-all.sh.
• Cursor pushou [P3][security][hardening] api/rbac.py: hmac.compare_digest com API key não-ASCII → TypeError (500) #1150 rodando só 2 testes targeted (2 passed in 2.39s) — não os 1653 + security.
• A regra check-all-gate.mdc (alwaysApply: true, 'check-all before commit/PR') e never-weaken-security-gates.mdc existem — mas o enforcement era disciplina de agente OU um hook não-versionado em .git/hooks/ (untracked → some no silêncio, sem trilha, não compartilha entre clones T14/L14).

AC — tornar o gate MECÂNICO, VERSIONADO e INVIOLÁVEL

1. Commitar .githooks/pre-push (versionado, no repo) que roda ./scripts/check-all.sh --enforced (pre-commit + 1653 pytest + Bandit + Zizmor + Semgrep). Falhou → push abortado. Espelho .githooks/pre-push.ps1 se precisar no Windows do Cursor.
2. core.hooksPath=.githooks — setar num passo de setup idempotente (scripts/install-hooks.sh/.ps1) + documentar em AGENTS.md/CONTRIBUTING como passo obrigatório por clone. OU pre-commit default_install_hook_types: [pre-commit, pre-push] + stage pre-push rodando o gate.
3. TAMPER-EVIDENT (o 'nunca removível'): teste em tests/ (que roda no CI required Test (Python)) que ASSERTA que .githooks/pre-push existe, é executável, e invoca check-all. Se alguém deletar/enfraquecer o hook versionado → o CI required FALHA → PR não merge. O gate protege a si mesmo.
4. DOUTRINA: codificar em never-weaken-security-gates.mdc + AGENTS.md que remover/bypassar o pre-push local é PROIBIDO; mudança exige trailer Gate-Change-Approved-By: <operador> (paridade com o gate PII/ADR-0071). Bypass (--no-verify) só com aprovação explícita do operador, logada.

Fora de escopo

• NÃO enfraquecer nada 'pra ficar rápido'. O gate local é o ponto — velocidade vem de rodar local (sem round-trip remoto), não de pular teste.

Prioridade P0: é integridade de gate de segurança. Operador tratou como top.

[FabioLeitao]

Re-auditoria 03/jul (Claude, auditor RO) — estado REAL, verificado via git+gh

✅ FEITO (camada de regra/doc) — commit 22e3c780 (LOCAL, ahead 1, NÃO pushado, indevidamente na branch feat/rbac-hardening-1133-1134):

• .cursor/rules/local-check-all-mandatory-before-push.mdc — FORTE: alwaysApply: true, "HARD RULE", "GitHub CI is not a substitute", lista o que check-all inclui (~1600 pytest + Bandit + Zizmor), proíbe --skip-pre-commit / quick-test / "CI will catch it". ✅
• CLAUDE.md — executor roda check-all antes do push; auditor (Claude) flag [U0] se pushar sem. ✅

❌ FALTA — a MECÂNICA (núcleo desta issue; zero commits em qualquer ref):

• .githooks/pre-push — NÃO EXISTE. Sem o hook, o gate segue sendo só regra — nada bloqueia mecanicamente o push. É o furo original, intacto.
• scripts/install-hooks.sh (core.hooksPath=.githooks) — NÃO EXISTE.
• Teste tamper-evident (asserta que o hook existe + executável + invoca check-all; roda no CI-required Test (Python)) — NÃO EXISTE → o "nunca removível" não está garantido.
• docs/adr/ADR-0080-*.md (issue [ADR-0080][P0][INVIOLÁVEL] Commitar ADR: gate de validação LOCAL antes de QUALQUER push/PR — all-greens, zero regressões #1152) — NÃO COMMITADO.

⚠️ Processo:

• Gate misturado na branch de RBAC (scope creep) + não pushado (ahead 1).

AC restante (definitivo):

1. Branch DEDICADA pro gate (não misturar com RBAC). Cherry-pick o 22e3c780 (regra + CLAUDE.md) pra ela.
2. .githooks/pre-push (+ .ps1 espelho) rodando ./scripts/check-all.sh --enforced; falhou → push ABORTADO.
3. scripts/install-hooks.sh idempotente setando core.hooksPath=.githooks + doc obrigatório por clone em AGENTS.md/CONTRIBUTING.
4. Teste tamper-evident em tests/ (asserta hook existe + executável + invoca check-all; roda no CI-required).
5. Commitar docs/adr/ADR-0080-*.md (texto verbatim em [ADR-0080][P0][INVIOLÁVEL] Commitar ADR: gate de validação LOCAL antes de QUALQUER push/PR — all-greens, zero regressões #1152).
6. Esse PR roda check-all --enforced local verde ANTES do push (o próprio ponto). Commits que tocam gate: trailer Gate-Change-Approved-By: Fabio Tavares Leitão.

Até (2)+(3)+(4) existirem, o gate NÃO é inviolável — é só documentação.