chore: padroniza arquitetura Ciberfauna, elevação root na abertura e CI multi-arch no runner ARM

.gitea/ISSUE_TEMPLATE/bug.yml

@@ -0,0 +1,17 @@
+name: Relatar um problema
+description: Algo não funcionou como esperado
+labels: [bug]
+body:
+  - type: textarea
+    id: o-que
+    attributes: { label: "O que aconteceu?", description: "Passos, o que esperava e o que viu." }
+    validations: { required: true }
+  - type: input
+    id: sistema
+    attributes: { label: "Sistema operacional e versão do Guará", placeholder: "Windows 11 / guara 0.1.0" }
+  - type: input
+    id: midia
+    attributes: { label: "Tipo de mídia e sistema de arquivos", placeholder: "pendrive 32 GB, FAT32" }
+  - type: textarea
+    id: log
+    attributes: { label: "Saída do terminal (guara inspect / scan)", render: shell }

.gitea/PULL_REQUEST_TEMPLATE.md

@@ -0,0 +1,7 @@
+## O que muda e por quê
+
+## Checklist
+- [ ] `cargo fmt --all` e `cargo clippy --workspace --all-targets` sem avisos
+- [ ] `cargo test --workspace` passa
+- [ ] Nada neste PR escreve no dispositivo de origem
+- [ ] CHANGELOG atualizado (se houver mudança visível)

.gitea/workflows/ci.yml

@@ -1,26 +1,27 @@
 name: CI
 
 on:
-  # Mudança só de documentação não precisa de 6 jobs em 3 sistemas.
+  # Mudança só de documentação ou estado de ferramentas não precisa dos jobs de CI.
   push:
     branches: [main]
-    paths-ignore: ['**.md', 'docs/**', 'LICENSE*', '.gitignore', '.githooks/**', '.wolf/**', '.claude/**', 'scripts/release-notes.sh', '.gitea/workflows/release.yml']
+    paths-ignore: ['**.md', 'docs/**', 'LICENSE*', '.gitignore', '.githooks/**', '.wolf/**', '.claude/**', '.opencode/**', '.codex/**', '.cursor/**', '.superpowers/**', '.superset/**', '.gitea/ISSUE_TEMPLATE/**', 'scripts/release-notes.sh', 'scripts/release-upload.sh', '.gitea/workflows/release.yml']
   pull_request:
-    paths-ignore: ['**.md', 'docs/**', 'LICENSE*', '.gitignore', '.githooks/**', '.wolf/**', '.claude/**', 'scripts/release-notes.sh', '.gitea/workflows/release.yml']
+    paths-ignore: ['**.md', 'docs/**', 'LICENSE*', '.gitignore', '.githooks/**', '.wolf/**', '.claude/**', '.opencode/**', '.codex/**', '.cursor/**', '.superpowers/**', '.superset/**', '.gitea/ISSUE_TEMPLATE/**', 'scripts/release-notes.sh', 'scripts/release-upload.sh', '.gitea/workflows/release.yml']
 
 concurrency:
-  group: ci-${{ github.ref }}
+  group: ci-${{ gitea.ref }}
   cancel-in-progress: true
 
 env:
   CARGO_TERM_COLOR: always
   RUSTFLAGS: -D warnings
   # O runner mantém /opt/hostedtoolcache num volume que sobrevive entre jobs:
-  # a toolchain do rustup, o registry do cargo e o diretório target ficam ali,
-  # então nada disso é baixado ou recompilado do zero a cada execução. Cada job
+  # a toolchain do rustup, o registry do cargo, caches de npm/apt e o diretório
+  # target ficam ali, então nada disso é baixado ou recompilado do zero. Cada job
   # usa o seu próprio target (flags diferentes invalidariam o de outro job).
   CARGO_HOME: /opt/hostedtoolcache/cargo
   RUSTUP_HOME: /opt/hostedtoolcache/rustup
+  NPM_CONFIG_CACHE: /opt/hostedtoolcache/npm-cache
 
 jobs:
   lint:
@@ -52,24 +53,16 @@ jobs:
     steps:
       - uses: actions/checkout@v7
       - uses: dtolnay/rust-toolchain@stable
-      - name: Cache dos pacotes das ferramentas de teste (.deb)
-        if: runner.os == 'Linux'
-        uses: actions/cache@v6
-        with:
-          path: ~/apt-cache-tools
-          key: apt-tools-${{ runner.os }}-${{ runner.arch }}-${{ env.ImageVersion }}-${{ hashFiles('scripts/apt-install.sh') }}
       - name: Ferramentas para imagens de teste (Linux)
         if: runner.os == 'Linux'
         timeout-minutes: 25
-        run: scripts/apt-install.sh ~/apt-cache-tools mtools dosfstools exfatprogs ntfs-3g e2fsprogs xfsprogs imagemagick zip
-      - name: Cache das imagens de referência
-        uses: actions/cache@v6
-        with:
-          path: target/testdata
-          key: testdata-${{ runner.os }}-${{ hashFiles('scripts/fetch-testdata.sh') }}
+        run: scripts/apt-install.sh /opt/hostedtoolcache/apt-cache/guara-tools mtools dosfstools exfatprogs ntfs-3g e2fsprogs xfsprogs imagemagick zip
       - name: Imagens de referência (BitLocker, FileVault 2, dfvfs, AFF4)
         shell: bash
-        run: scripts/fetch-testdata.sh
+        run: |
+          mkdir -p /opt/hostedtoolcache/guara-testdata target
+          ln -sfn /opt/hostedtoolcache/guara-testdata target/testdata
+          scripts/fetch-testdata.sh
       # Monta a imagem por loop (mount -o loop), o que exige um container
       # privilegiado. O runner do Gitea roda os jobs sem privilégio de propósito
       # (o CI de repositório público executa código de terceiros), então este
@@ -111,14 +104,9 @@ jobs:
       - uses: actions/setup-node@v7
         with:
           node-version: 22
-      - name: Cache dos pacotes do Tauri (.deb)
-        uses: actions/cache@v6
-        with:
-          path: ~/apt-cache
-          key: apt-tauri-${{ runner.os }}-${{ runner.arch }}-${{ env.ImageVersion }}-${{ hashFiles('scripts/apt-install.sh') }}
       - name: Dependências do Tauri
         timeout-minutes: 25
-        run: scripts/apt-install.sh ~/apt-cache libwebkit2gtk-4.1-dev libayatana-appindicator3-dev librsvg2-dev patchelf
+        run: scripts/apt-install.sh /opt/hostedtoolcache/apt-cache/tauri-native libwebkit2gtk-4.1-dev libayatana-appindicator3-dev librsvg2-dev patchelf
       - name: Gera os ícones
         run: npx --yes @tauri-apps/cli@2 icon apps/gui/src-tauri/icons/source.png -o apps/gui/src-tauri/icons
       - run: cargo check --manifest-path apps/gui/src-tauri/Cargo.toml

.gitea/workflows/release.yml

@@ -9,8 +9,9 @@ name: Release
 # hardware Apple e a uma conta de desenvolvedor, que este runner não tem.
 #
 # Segredos de usuário necessários: REGISTRY_TOKEN (não usado aqui, fica para o
-# registro de containers de outros projetos), TAURI_SIGNING_PRIVATE_KEY e
-# TAURI_SIGNING_PRIVATE_KEY_PASSWORD (assinam os pacotes para o atualizador).
+# registro de containers de outros projetos), GUARA_TAURI_SIGNING_PRIVATE_KEY e
+# GUARA_TAURI_SIGNING_PRIVATE_KEY_PASSWORD (assinam os pacotes para o
+# atualizador). Os nomes antigos, sem prefixo, continuam aceitos como fallback.
 on:
   push:
     tags: ['v*']
@@ -19,6 +20,8 @@ env:
   CARGO_TERM_COLOR: always
   CARGO_HOME: /opt/hostedtoolcache/cargo
   RUSTUP_HOME: /opt/hostedtoolcache/rustup
+  NPM_CONFIG_CACHE: /opt/hostedtoolcache/npm-cache
+  XWIN_CACHE_DIR: /opt/hostedtoolcache/xwin-cache
 
 jobs:
   release:
@@ -50,7 +53,7 @@ jobs:
     needs: release
     runs-on: ubuntu-latest
     env:
-      CARGO_TARGET_DIR: /opt/hostedtoolcache/cargo-target/guara-release-cli
+      CARGO_TARGET_DIR: /opt/hostedtoolcache/cargo-target/guara-release-cli-${{ matrix.platform }}
     strategy:
       fail-fast: false
       matrix:
@@ -64,9 +67,7 @@ jobs:
           targets: ${{ matrix.target }}
       - name: Linker desta plataforma
         if: ${{ matrix.apt != '' }}
-        run: |
-          apt-get update -qq
-          apt-get install -y -qq ${{ matrix.apt }}
+        run: scripts/apt-install.sh /opt/hostedtoolcache/apt-cache/cli-x86_64 ${{ matrix.apt }}
       - name: Compila e empacota
         run: scripts/package-cli.sh "${{ gitea.ref_name }}" "${{ matrix.platform }}" "${{ matrix.target }}" | tee packages.txt
       - name: Anexa à release
@@ -80,28 +81,47 @@ jobs:
     needs: release
     runs-on: ubuntu-latest
     env:
-      CARGO_TARGET_DIR: /opt/hostedtoolcache/cargo-target/guara-release-gui
-      TAURI_SIGNING_PRIVATE_KEY: ${{ secrets.TAURI_SIGNING_PRIVATE_KEY }}
-      TAURI_SIGNING_PRIVATE_KEY_PASSWORD: ${{ secrets.TAURI_SIGNING_PRIVATE_KEY_PASSWORD }}
+      CARGO_TARGET_DIR: /opt/hostedtoolcache/cargo-target/guara-release-gui-${{ matrix.platform }}
+      TAURI_SIGNING_PRIVATE_KEY: ${{ secrets.GUARA_TAURI_SIGNING_PRIVATE_KEY || secrets.TAURI_SIGNING_PRIVATE_KEY }}
+      TAURI_SIGNING_PRIVATE_KEY_PASSWORD: ${{ secrets.GUARA_TAURI_SIGNING_PRIVATE_KEY_PASSWORD || secrets.TAURI_SIGNING_PRIVATE_KEY_PASSWORD }}
     strategy:
       fail-fast: false
       matrix:
-        platform: [linux, windows]
+        platform: [linux-aarch64, linux-x86_64, windows]
     steps:
       - uses: actions/checkout@v7
       - uses: dtolnay/rust-toolchain@stable
       - uses: actions/setup-node@v7
         with:
           node-version: 22
-      - name: Dependências do Tauri (Linux)
-        if: matrix.platform == 'linux'
+      - name: Dependências do Tauri (Linux aarch64)
+        if: matrix.platform == 'linux-aarch64'
         timeout-minutes: 25
-        run: scripts/apt-install.sh ~/apt-cache libwebkit2gtk-4.1-dev libayatana-appindicator3-dev librsvg2-dev patchelf
+        run: scripts/apt-install.sh /opt/hostedtoolcache/apt-cache/tauri-native libwebkit2gtk-4.1-dev libayatana-appindicator3-dev librsvg2-dev patchelf
+      - name: Dependências do Tauri (Linux x86_64)
+        if: matrix.platform == 'linux-x86_64'
+        timeout-minutes: 25
+        run: |
+          if [ "$(uname -m)" = aarch64 ]; then
+            dpkg --add-architecture amd64
+            . /etc/os-release
+            if [ "${ID:-}" = ubuntu ]; then
+              if [ -f /etc/apt/sources.list.d/ubuntu.sources ]; then
+                grep -q '^Architectures:' /etc/apt/sources.list.d/ubuntu.sources || sed -i '/^Types: deb/a Architectures: arm64' /etc/apt/sources.list.d/ubuntu.sources
+                printf 'Types: deb\nURIs: http://archive.ubuntu.com/ubuntu/\nSuites: %s %s-updates %s-security\nComponents: main universe\nArchitectures: amd64\nSigned-By: /usr/share/keyrings/ubuntu-archive-keyring.gpg\n' "$VERSION_CODENAME" "$VERSION_CODENAME" "$VERSION_CODENAME" >/etc/apt/sources.list.d/amd64.sources
+              elif [ -f /etc/apt/sources.list ]; then
+                sed -i 's/^deb http/deb [arch=arm64] http/' /etc/apt/sources.list
+                printf 'deb [arch=amd64] http://archive.ubuntu.com/ubuntu/ %s main universe\ndeb [arch=amd64] http://archive.ubuntu.com/ubuntu/ %s-updates main universe\ndeb [arch=amd64] http://archive.ubuntu.com/ubuntu/ %s-security main universe\n' "$VERSION_CODENAME" "$VERSION_CODENAME" "$VERSION_CODENAME" >/etc/apt/sources.list.d/amd64.list
+              fi
+            fi
+            scripts/apt-install.sh /opt/hostedtoolcache/apt-cache/tauri-amd64 gcc-x86-64-linux-gnu g++-x86-64-linux-gnu pkg-config patchelf file squashfs-tools qemu-user libglib2.0-bin libwebkit2gtk-4.1-dev:amd64 libayatana-appindicator3-dev:amd64 librsvg2-dev:amd64
+          else
+            scripts/apt-install.sh /opt/hostedtoolcache/apt-cache/tauri-native libwebkit2gtk-4.1-dev libayatana-appindicator3-dev librsvg2-dev patchelf
+          fi
       - name: Ferramentas para compilação cruzada (Windows)
         if: matrix.platform == 'windows'
         run: |
-          apt-get update -qq
-          apt-get install -y -qq nsis lld llvm clang
+          scripts/apt-install.sh /opt/hostedtoolcache/apt-cache/tauri-win nsis lld llvm clang
           command -v cargo-xwin >/dev/null || cargo install cargo-xwin --locked
       - name: Compila e empacota
         run: scripts/build-gui.sh "${{ matrix.platform }}"