Cartero

Cartero现在是一个Go CLI，内置无需配置的工作区数据库，取代了旧版依赖MongoDB的运行时。

当前实现提供：

• 由Cobra和Lip Gloss驱动的精美终端体验
• 通过cartero serve运行的本地管理Web UI和安全测试页面
• 默认安全的战役验证和预览命令
• 位于.cartero/cartero.sqlite的嵌入式SQLite工作区存储
• 用于模板种子、克隆导入、受众同步、分析导出和交互记录的第一方插件
• 从CSV、JSON、SARIF和JSONL导入规范化发现
• 单向旧版Mongo导出迁移到当前工作区
• 单元测试、CLI测试和一致性测试，带有冒烟测试工作流
• 使用GoReleaser、Docker和GitHub Actions实现可重现打包

工作区模型

Cartero将本地状态保存在活动工作区内：

• .cartero/cartero.sqlite：嵌入式SQLite状态存储
• plugins/：同步的插件清单
• drafts/：由审查消息生成的战役草稿
• exports/：分析导出

没有需要安装或管理的外部数据库。现有的基于Bolt的工作区在首次打开时会自动迁移到SQLite。

快速开始

make bootstrap
make build

./dist/cartero --plain workspace init
./dist/cartero init campaign.yaml
./dist/cartero --plain validate -f campaign.yaml
./dist/cartero --plain preview -f campaign.yaml
./dist/cartero serve --addr 127.0.0.1:8080
./dist/cartero --plain template list
./dist/cartero --plain finding list
./dist/cartero --plain plugin list

从嵌套目录或外部shell会话运行时，使用--root /path/to/workspace强制解析工作区。

命令

cartero workspace init       引导嵌入式工作区
cartero workspace status     显示数据库和工作区计数
cartero init                 编写启动战役文件
cartero preview              渲染样式化的就绪概览并保存快照
cartero validate             检查战役定义并保存快照
cartero serve                运行本地管理UI和安全测试页面
cartero template list        浏览种子模板库
cartero template show        详细检查模板
cartero audience import      将CSV段落导入工作区
cartero audience list        列出已存储的受众成员
cartero import clone         将审查消息转换为安全草案战役
cartero finding import       将外部发现规范化到工作区
cartero finding list         列出已导入的发现
cartero migrate mongo-export 将旧版Mongo导出文件导入SQLite
cartero event record         记录交互遥测
cartero event list           列出已存储的交互事件
cartero report export        将工作区分析导出为JSON或CSV
cartero plugin list          显示已安装的插件清单
cartero plugin sync          同步内置插件清单和模板种子数据
cartero doctor               检查本地工作区健康状况
cartero version              打印构建元数据

内置插件

该仓库包含以下第一方插件：

• local-preview
• template-library
• clone-importer
• analytics-export
• audience-sync
• engagement-recorder

其清单位于plugins/，其合约在PLUGIN.md中有文档说明。

战役模型

战役是描述意识演练计划的YAML文件。Cartero验证结构并强制执行本地安全控制：

• capture_credentials必须保持false
• allow_external_links必须保持false
• 标记为high风险的演练需要经理批准

从configs/campaign.example.yaml开始。

发现与迁移

Cartero可以将外部扫描器输出与用于战役和事件的同一本地工作区关联起来：

./dist/cartero --plain finding import --file scans/nuclei.jsonl --source nightly-nuclei
./dist/cartero --plain finding list --tool nuclei
./dist/cartero --plain migrate mongo-export --path legacy-export

旧版迁移路径导入旧版Mongo导出文件（人员与命中），并将旧凭据工件转换为经过编辑的发现，而不是向前携带原始提交值。

开发

make fmt
make vet
make test
make smoke

CI通过ci.yml在推送和拉取请求时运行。标记版本由release.yml使用.goreleaser.yaml打包。