Quality Gates

Bloqueie merges e deploys até que lint, testes, typecheck e auditoria de segurança passem em código Node.js 24 TypeScript.

Receita

Cartão de receita de referência rápida - pronto para copiar e colar.

steps:
  - run: npm ci
  - run: npm run lint
  - run: npm run typecheck
  - run: npm run test
  - run: npm audit --audit-level=high
  - run: npm run build

Quando usar isso: Antes de qualquer deploy para staging ou produção. Quality gates são inegociáveis para APIs Node de produção.

Exemplo de Trabalho

{
  "scripts": {
    "lint": "eslint src --max-warnings 0",
    "typecheck": "tsc -p tsconfig.json --noEmit",
    "test": "vitest run --coverage",
    "test:unit": "vitest run --project unit",
    "test:integration": "vitest run --project integration",
    "build": "tsc -p tsconfig.json",
    "audit:ci": "npm audit --audit-level=high",
    "gates": "npm run lint && npm run typecheck && npm run test && npm run audit:ci && npm run build"
  }
}

# .github/workflows/ci.yml (excerto)
jobs:
  gates:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4
      - uses: actions/setup-node@v4
        with:
          node-version: "24"
          cache: npm
      - run: npm ci
      - run: npm run gates
 
  docker-scan:
    needs: gates
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4
      - run: docker build -t api:ci .
      - uses: aquasecurity/trivy-action@master
        with:
          image-ref: api:ci
          severity: CRITICAL,HIGH
          exit-code: 1

O que isso demonstra:

• Script gates único que desenvolvedores locais executam antes do push
• --max-warnings 0 trata avisos de lint como falhas
• Escaneamento Trivy na imagem Docker após os gates da aplicação passarem

Mergulho Profundo

Ordem e Custo dos Gates

Gate ESLint

// excerto de eslint.config.js
export default [
  {
    rules: {
      "no-console": "error",
      "@typescript-eslint/no-floating-promises": "error",
    },
  },
];

Proíbe console.log em src/; use logging estruturado.

Gate Typecheck

{
  "scripts": {
    "typecheck": "tsc -p tsconfig.json --noEmit"
  }
}

Execute em CI mesmo se build emitir tipos. --noEmit é mais rápido para feedback de PR.

Limite de Cobertura (Opcional)

// vitest.config.ts
export default {
  test: {
    coverage: {
      thresholds: {
        lines: 80,
        functions: 80,
        branches: 70,
      },
    },
  },
};

Comece com cobertura diferente nos arquivos alterados se os limites do repositório completo forem muito rigorosos inicialmente.

Proteção de Branch

Configure no GitHub:

• Exigir status check gates (e docker-scan para branches de release)
• Exigir revisão de PR
• Descartar aprovações desatualizadas em novos commits

Armadilhas

• Ruído do npm audit em dependências transitivas - bloqueia todo PR. Correção: audit-level=high, Renovate para atualizações, ou playbook npm audit fix.
• Pular typecheck quando build executa tsc - build pode pular arquivos estritos. Correção: job typecheck explícito.
• Lintar apenas arquivos alterados em CI - branch principal diverge. Correção: lintar todo src/ em cada execução (rápido o suficiente).
• Testes de integração sem contêineres de serviço - CI instável. Correção: contêineres de serviço postgres/redis no workflow.
• Escaneamento Docker apenas no main - Dockerfile vulnerável em merges de PR. Correção: escanear no PR quando Dockerfile muda.
• Sem lockfile - npm ci falha ou audit é sem sentido. Correção: impor package-lock.json no repositório.

Alternativas

FAQs

Relacionados

• Princípios Básicos de CI/CD - estrutura do pipeline
• GitHub Actions para Node - configuração do workflow
• Typecheck em CI - gates TypeScript
• Princípios Básicos de Linting - configuração ESLint
• Melhores Práticas de CI/CD - checklist da seção

Versões da Stack: Esta página foi escrita para Node.js 24.18.0 (Active LTS), npm 10+, TypeScript 5.6+, Express 5, Fastify 5 e NestJS 11.