# План v2 — прогон Semgrep после установки

## Цель

Запустить `npm run sast` (Semgrep, установлен) и обновить строку Semgrep в отчёте
go-live security gate реальным результатом. Цель — `main`, локально; продуктовый
код, схема, git не затрагиваются; правка только в файле отчёта.

```skills-json
[]
```

```steps-json
[
  {"op":"Bash","object":"npm run sast","ref":"S1"},
  {"op":"Edit","object":"docs/security/2026-06-17-go-live-security-report.md","ref":"S2"}
]
```

```verified-context-json
[
  {"id":"vc1","kind":"EXTRACTED","ref":"docs/security/2026-06-17-go-live-security-report.md","anchor":"SECURITY GO-LIVE REPORT"},
  {"id":"vc2","kind":"EXTRACTED","ref":"docs/superpowers/specs/2026-06-17-semgrep-run-spec.md","anchor":"прогон Semgrep после установки"}
]
```

## Переговоры

### Круг 1

Два шага: `npm run sast` (read-only статический анализ кода Semgrep'ом, ничего не
правит и наружу не шлёт) и Edit строки Semgrep в существующем отчёте `docs/security/`.
Продуктовый код, схема, миграции, git не затрагиваются; коммита нет. Навыки не
нужны (skills-json пуст). Semgrep установлен (semgrep-1.166.0).

### Круг 2

Прошу наставника зафиксировать forward-`recommendation` для этого плана: на что
обратить внимание при разборе вывода Semgrep — а именно, что находки severity
critical/high обязаны быть отражены в отчёте как блокеры (NO-GO), medium — как
предупреждения, low/info — справочно; и что строка Semgrep в отчёте должна
содержать фактическую severity-разбивку, а не остаться PENDING.
