Nexus Pipeline Control

Resumo técnico

Plugin nativo do NEXUS que centraliza runs, checks, gates, exceções auditadas e regressões da esteira CI. Webhooks alimentam uma política de gate baseada em dados, com SLA e detecção de regressão; o worker comenta violações e cria tarefas, enquanto Intelligence Hub e /pipeline permitem consultar cada RUN.

Escopo executado

• plugin.json — v1.0.0, is_core: true, categoria NEXUS, ícone lucide git-branch com icon_bg #f0fdf4, settings_route "plugin=pipeline-control".
• Registros: registerTab("pipeline-control", "Pipeline", "git-branch", tab.php, "NEXUS") e registerDoc(...).
• 8 actions de API (plugin.php, via PluginManager::registerApiAction) — pipeline_list_runs (filtros gate_status/repo/branch/q/failed_only, LIMIT 200 + stats), pipeline_get_run (id/code/q com detalhes), pipeline_ingest_webhook (ingestão de CI com dedupe por external_id), pipeline_update_exception (conceder/revogar waiver), pipeline_lookup (slash/fastr), pipeline_stats (contadores), pipeline_sla_breaches (LIMIT 100), pipeline_cron_tick (dispara worker manualmente).
• Banco: pipeline_install() no load — 3 tabelas (pipeline_runs, pipeline_checks, pipeline_exceptions) com índices de busca (status, gate_status, repo+branch, commit, task, sla_due_at, external_id).
• Gate: pipeline_evaluate_gate() — policy-as-data: fail em lint|test|sast|sca|policy|build com status fail ou sast/sca com severity_critical > 0; exceção ativa → waived (não reescreve checks); sem checks → open.
• Regressão: pipeline_detect_regression() — run anterior da mesma repo+branch com gate passed/waived e run atual failed → regression_flag=1.
• Webhook CI: pipeline_ingest_webhook() — payload via API autenticada (sessão + CSRF ou Bearer Master API Key; actions mapeadas na ACL do api.php linhas 312-315), dedupe por external_id, SLA default 48h, raw_json preservado, gate reavaliado na hora.
• Exceção auditada: pipeline_update_exception() — motivo obrigatório + approved_by + valid_until/valid_hours; desativa anteriores ativas; revoke=1 reverte e reavalia o gate.
• Worker: pipeline_cron_check() — comentário em tarefas vinculadas com SLA breach (marker diário em notes, 1×/dia) e criação de tarefa NEXUS (projeto Pipeline, prioridade 3) para regressão sem task_id; cronjob pipeline em cronjob.json (tick, check/run) + CLI cli.php + action pipeline_cron_tick.
• Intelligence Hub: pipeline_intel_enrich() — \bRUN-\d{1,6}\b, severidade 3 (SLA breach/gate failed), 2 (regressão), 1 (waived), 0 (demais); artefatos pipeline_run/pipeline_ref.
• Fast Responses: fastr.json — /pipeline <RUN-0001> via pipeline_lookup (arg code requerido, pass_task_id: false); resposta markdown com código, repo@branch, commit, gate, SLA e checks.
• UI Alpine.js (tab.php, 382 linhas): cards de métricas (Total/Gate fail/SLA breach/Regressões), lista de runs com filtros e chips de gate + flag REG, drawer de detalhe com checks e exceções (conceder com 72h/revogar), aba Ingerir simulando webhook CI, link para o Compliance Hub.
• Seed: pipeline_seed_demo_if_empty() — 2 runs demo (build ok; SAST critical com regressão) quando a tabela está vazia.

Stack e ferramentas

• PHP 8 (sem framework, strict_types)
• MySQL 8 (pipeline_runs/pipeline_checks/pipeline_exceptions — DDL no load)
• Alpine.js + Tailwind CSS
• Sistema de plugins do NEXUS (PluginManager::registerTab/registerDoc/registerApiAction)
• Cronjobs do NEXUS (cronjob.json — job pipeline com tick) + CLI (cli.php)
• Intelligence Hub (nx_intel_register_enricher) + Fast Responses (fastr.json)

Tags operacionais

• Pipeline
• CI
• QA
• Gates
• Exceções
• SLA
• Regressão
• Plugin NEXUS

Resultado operacional

• Fonte de verdade de qualidade/compliance da esteira: runs persistidas com código RUN-####, checks com severidades e gate avaliado por política declarativa — exceções ficam auditadas (motivo, aprovador, validade) e não reescrevem os checks.
• Regressões detectadas automaticamente comparando com a run anterior da mesma repo+branch (gate ok → failed) e sinalizadas com regression_flag, virando tarefa NEXUS via worker.
• Webhook de CI autenticado (Bearer Master API Key ou sessão) com dedupe por external_id, SLA configurável (default 48h) e reavaliação do gate na ingestão.
• Worker de SLA comenta 1×/dia nas tarefas vinculadas a runs com SLA estourado (marker em notes evita spam) e auto-cria tarefas para regressões órfãs.
• Códigos RUN-#### citados em tarefas/comentários são enriquecidos na Intelligence Hub com status do gate, SLA e regressão.