kit

Gerenciador de registro de ferramentas — gerencia toolchains de desenvolvedor a partir de registros baseados em git, sobreposto ao mise.

O que é

kit resolve versões de ferramentas em múltiplos registros, gera configuração do mise, verifica somas de verificação SHA-256 contra artefatos de lançamento dos editores, verifica assinaturas cosign onde editores assinam binários puros e automatiza o rastreamento de atualizações upstream por meio de uma arquitetura de CI de três pipelines.

Inicialização

Instalar

Se você ainda não tem Rust, o caminho mais rápido é mise:

mise use --global rust
cargo install nomograph-kit

Ou use rustup:

curl --proto '=https' --tlsv1.2 -sSf https://sh.rustup.rs | sh
cargo install nomograph-kit

O binário chama-se kit.

Início rápido

kit setup --registry https://gitlab.com/your/registry.git
kit sync
kit status

Comandos

Registros

Um registro é um repositório git com definições TOML por ferramenta:

tools/
  _meta.toml        # metadados do registro + política de merge
  gh.toml           # um arquivo por ferramenta
  muxr.toml
  ...

Cada definição de ferramenta é autocontida:

[tool]
name = "gh"
source = "github"
repo = "cli/cli"
version = "2.89.0"
tag_prefix = "v"
bin = "gh"
tier = "high"
aqua = "cli/cli"

[tool.assets]
macos-arm64 = "gh_{version}_macOS_arm64.zip"
linux-x64 = "gh_{version}_linux_amd64.tar.gz"

[tool.checksum]
file = "gh_{version}_checksums.txt"
format = "sha256"

[tool.signature]
method = "github-attestation"

Fontes: github, gitlab, npm, crates, direct, rustup, brew

A fonte brew delega a instalação ao backend brew: do mise (nenhum CLI brew local necessário em CI). kit rastreia versões através da API do formulae.brew.sh e emite entradas name = "brew:<formula>@<version>" no mise.toml.

O inteligente kit add consulta upstream e preenche automaticamente:

kit add jq jqlang/jq              # GitHub
kit add muxr nomograph/muxr --gitlab  # GitLab (resolve project_id)
kit add claude-code --npm @anthropic-ai/claude-code
kit add cargo-nextest --crates
kit add chafa --brew              # Fórmula Homebrew (fórmula padrão é o nome da ferramenta)
kit add go121 --brew [email protected]     # Fórmula Homebrew com nome de fórmula explícito

Níveis de confiança

Cada ferramenta possui um nível que controla a política de merge:

Os níveis são definidos por ferramenta na definição TOML. O _meta.toml do registro define quais níveis fazem merge automático:

[policy]
auto_merge_tiers = ["own", "low"]
auto_merge_bump = ["patch", "minor"]
auto_merge_requires_checksum = true

Multi-registro

Configure múltiplos registros em ~/.config/kit/config.toml. O primeiro registro vence quando ferramentas se sobrepõem. Fixações locais sobrescrevem.

[[registry]]
name = "nomograph"
url = "https://gitlab.com/nomograph/kits.git"

[[registry]]
name = "personal"
url = "https://gitlab.com/you/kits.git"

Separe registros por limite de confiança. Por exemplo, mantenha suas próprias ferramentas em um registro e ferramentas de terceiros em outro. Cada registro tem seu próprio pipeline, política de merge e cadência de atualização.

Projeto-local

kit descobre kit.toml subindo a partir do diretório de trabalho. Quando encontrado, as ferramentas escopam para aquele projeto:

• .kit.lock ao lado de kit.toml (comitado no git)
• .mise.toml mesclado com marcadores # kit:begin / # kit:end
• Ferramentas do usuário fora dos marcadores nunca são tocadas

Pipeline CI

kit alimenta uma arquitetura de supply chain de três pipelines através do componente CI kit-registry:

include:
  - component: gitlab.com/nomograph/pipeline/kit-registry@v3
    inputs:
      kit_version: "0.10.1"
      mr_assignee: "andunn"

Sense (agendado, somente leitura)

kit sense consulta lançamentos upstream, baixa ativos, verifica somas de verificação e verifica bases de dados de avisos. Classifica cada descoberta por risco (nível de bump, nível, status de checksum). Nunca falha em deriva de versão — deriva é o que ele detecta.

Evaluate (após sense)

kit evaluate aplica regras determinísticas (aprova automaticamente patches limpos, rejeita incompatibilidades de checksum) e opcionalmente invoca um LLM para casos de borda (bumps maiores, checksums ausentes, avisos).

Apply (após evaluate)

kit apply atualiza arquivos TOML de ferramentas no disco e particiona as atualizações em dois grupos por elegibilidade de merge automático:

• auto_merge_group — atualizações elegíveis conforme política do registro (nível certo, bump certo, checksums verificados)
• review_group — todo o resto (nível errado, bumps maiores, sinalizado pelo avaliador, checksums não verificados)

O componente CI cria um branch e MR separado para cada grupo. O MR de auto-merge se mescla após o pipeline de verify passar. O MR de revisão permanece aberto para revisão humana.

Verify (no MR)

kit verify-registry revalida todas as definições de ferramenta e reverifica somas de verificação. Executa em cada MR como uma porta de merge.

Segurança

O que kit realmente faz no caminho de verificação:

• Validação de entrada: todos os campos validados contra padrões de regex estritos
• Prevenção de injeção TOML: configuração mise construída via API toml_edit
• Detecção de alteração de checksum para mesma versão: parada forçada
• Confirmação de migração de registro: impede troca silenciosa entre registros
• Verificação Cosign: correspondência de identidade de certificado ancorada (apenas ativos binários puros; arquivos recorrem a checksums)
• Restrição de URL de registro: apenas https:// e git@
• Rejeição de links simbólicos: registros maliciosos não podem escapar do diretório tools/
• Apenas HTTPS: todos os clientes HTTP impõem TLS

O que kit não faz: verificação de checksum fora de banda (checksums são obtidos do mesmo lançamento que o ativo), verificação de assinatura de conteúdo de arquivo, ou substituição de revisão humana para níveis que fazem merge automático.

Aposentado em 2026-06-16

kit está aposentado, substituído por mise (jdx/mise). Pins de ferramentas agora vivem em mise.toml versionado + um mise.lock comitado (sha256 por plataforma + proveniência): a baseline de máquina em dunn.dev/harness, configurações por ambiente (ex. nomograph/keaton). Atualizações fluem via Renovate (com um customManager para backends gitlab:) + uma auditoria de proveniência CI sobre diffs de mise.lock — a intenção de instalador verificado + auto-bump do kit, em um host estável. Registro de migração: nomograph/keaton -> campaigns/harness/sessions/baseline.md (2026-06-16).

Licença

MIT — Nomograph