[P0][cursor-rules][ADR-0080] Endurecer TODAS as regras de push/PR/merge — matar linguagem advisory que deixa 'suspeitar' que o gate local é opcional

[FabioLeitao]

Auditoria das .cursor/rules/ contra o ADR-0080 (issue #1152). Achado sistêmico: várias regras usam linguagem ADVISORY pro gate local — foi essa frouxidão que deixou o executor rodar só testes targeted (2 passed in 2.39s) e pushar. Corrigir cada uma pra MANDATÓRIA e inequívoca.

Achados + fixes (por regra)

1. check-all-gate.mdc () — linha 9: "Prefer existing scripts... when it saves tokens or time" = advisory + condicional. É O BURACO. Um agente 'suspeita' que dá pra pular pra economizar tempo. → Adicionar no TOPO um mandato incondicional: "check-all.sh --enforced DEVE passar ALL-GREEN antes de QUALQUER push/PR. Não é condicional a tokens/tempo/complexidade. Pular/reduzir = violação do ADR-0080." A linha --skip-pre-commit (Quick iterations) é só pra iteração local, NUNCA pra push/PR — deixar explícito.
2. never-weaken-security-gates.mdc — forte (MUST NOT bypass, --no-verify proibido), MAS enumera os gates como PII/secrets/history/CODEOWNERS/signed-commit e NÃO lista o gate de check-all/pre-push local. → Adicionar explicitamente o gate de validação LOCAL (check-all/pre-push) à lista de gates protegidos.
3. pre-commit-ruff.mdc — linha 33: "Recommend pre-commit before push" = advisory; e cobre só o bundle leve (Ruff+guards), não os 1653+scans. → "Recommend" → "MUST"; deixar claro que pre-commit é o piso, o gate completo é o check-all.
4. git-pr-sync-before-advice.mdc — linha 32: "run check-all (or agreed subset)" → matar o "or agreed subset" pra push/PR de código (subset só pra docs-only via lint-only).
5. agent-autonomous-merge-and-lab-ops.mdc — chaveia em "CI green, mergeable" → reforça CI-reliance. → merge-autônomo DEVE também exigir que o check-all local rodou verde ANTES do push que abriu a PR, não só CI-green.
6. execution-priority-and-pr-batching.mdc — linha 43 (check-all OU lint-only pra docs) OK pra docs-only; garantir que não vaza pra push de código.

Regra transversal (adicionar/referenciar em todas as acima)

• ADR-0080 é supremo. Gate local disparado/pulado = STOP + escalar ao operador (paridade com never-weaken-security-gates).
• Mudar/remover qualquer gate = trailer Gate-Change-Approved-By: <operador>.

AC

• Editar as 6 regras acima com linguagem MANDATÓRIA (MUST/NEVER, sem 'prefer/recommend/when-saves-time/or-subset' pro gate de push/PR).
• Cross-link todas ao ADR-0080 e ao #1151 (pre-push versionado).
• Claude (auditor RO) vai verificar cada push/PR contra isto — non-compliance é flag imediato.

[FabioLeitao]

CORREÇÃO DE RUMO (ordem do operador, 03/jul) — NADA de novas regras always-on

VERIFICADO: local-check-all-mandatory-before-push.mdc está com alwaysApply: true (linha 3, commit 22e3c780). Já existem ~40 regras always-on — cada uma carrega em TODA sessão. Somar mais é torrar contexto/memória = fazer merda. REMOVER o always-on desta.

É pra ser STRONG CONTEXTUAL behavior, NÃO always-on: a lei é forte (MUST/NEVER), mas carrega contextualmente (alwaysApply: false + description/globs que puxam a regra quando o agente vai commitar/push/PR), não em toda sessão.

Esta issue muda de abordagem:

• NÃO criar novas regras alwaysApply: true. Elas carregam em TODA sessão → torram contexto/memória. As always-on que já existiam bastam até segunda ordem. O operador não mandou ligar nada em always-on — mandou obedecer.
• A regra nova que o Cursor criou — .cursor/rules/local-check-all-mandatory-before-push.mdc com alwaysApply: true — VIOLA isso (é always-on nova). → DEMOVER: deletar e fundir o conteúdo na check-all-gate.mdc (que JÁ é always-on), OU setar alwaysApply: false. Não somar ao conjunto always-on.
• O ENFORCEMENT real é MECÂNICO: o .githooks/pre-push ([P0][security-gate][INVIOLÁVEL] pre-push hook VERSIONADO: check-all local (1653 + Bandit/Zizmor/Semgrep) ANTES de push/PR — NUNCA removível #1151). É um arquivo que roda no push — não carrega contexto de LLM. É o fix certo, e o que faz obedecer de verdade.

AC revisado (mínimo, sem bloat):

1. Demover a regra always-on nova (fundir na check-all-gate.mdc já-always-on, ou alwaysApply:false).
2. Endurecer a check-all-gate.mdc IN PLACE (ela já é always-on) — trocar o "prefer... when it saves time" por MUST incondicional pro gate de push/PR. Zero regra nova.
3. NÃO churnar as outras 5 regras criando always-on; se precisar referência, ponteiro curto, não regra nova.
4. Tudo que faz cumprir de verdade = a trava mecânica do [P0][security-gate][INVIOLÁVEL] pre-push hook VERSIONADO: check-all local (1653 + Bandit/Zizmor/Semgrep) ANTES de push/PR — NUNCA removível #1151 (hook + install + tamper-test), não regra.

Regra de ouro: obediência = TRAVA mecânica + a always-on que já existe, endurecida no lugar. NÃO proliferar always-on.