chore: govulncheck no pre-push e no ci para todos os modulos

[thnbi]

O que mudou

• Script scripts/govulncheck-modulos.sh roda o govulncheck em todo módulo Go versionado no repositório, inclusive com espaço no caminho, e reprova se não achar nenhum módulo
• Hook govulncheck no pre-push, disparado quando o push leva .go, go.mod ou go.sum
• CI passa a usar o mesmo script, cobrindo todos os módulos e não só o do servidor
• Teste do script no make test-scripts, conferindo os argumentos passados ao go

Por quê

• Dependência vulnerável não deve chegar ao GitHub: o PR feat: componente pulumi, stacks e smoke da stack dev em kind #28 só descobriu no CI
• No pre-push o commit local continua rápido e funciona sem rede
• Hook e CI usando o mesmo script não divergem de versão nem de módulo

Como testar

• make hooks para instalar o gatilho de pre-push
• pre-commit run govulncheck --hook-stage pre-push --all-files
• make test-scripts

Auto-review (checklist)

• Descrição clara (o que/por quê/como testar)
• PR pequeno e focado
• Casos limite considerados (ex.: vazio, 0, erro)
• Evidência de teste (manual ou automatizado)

[NicolasArthurDev]

Pequeno e correto. CI e hook usando o mesmo script é a escolha certa.

• Hook lento e dependente de rede. O go run govulncheck@v1.8.0 baixa a base de vulnerabilidades a cada execução, em todos os módulos, em todo commit que mexe em Go. Sem rede, o commit falha. Sugiro stages: [pre-push] no .pre-commit-config.yaml.
• Repositório sem nenhum módulo passa calado. O teste não cobre esse caso.
• O teste não confere os argumentos do go. O go falso só registra onde rodou. Trocar run govulncheck ./... por qualquer outra coisa continua passando.
• Menor: for gomod in $(git ls-files ...) quebra com caminho que tenha espaço. git ls-files -z com while read -d '' resolve.

[NicolasArthurDev]

Para aprovar: mover o hook do govulncheck para stages: [pre-push], para o commit não depender de rede, e cobrir no teste o repositório sem módulo e os argumentos passados ao go.

[NicolasArthurDev]

Valeu pelos ajustes, ficou muito bom! O hook no pre-push resolve a questão da rede sem perder a proteção, e o teste agora confere os argumentos, o caminho com espaço e o repositório sem módulo. A mensagem de erro quando não há go.mod também ficou bem clara. Aprovado.