@7n/rules-ci-azure 1.2.0

package/CHANGELOG.md

@@ -0,0 +1,15 @@
+# Changelog
+
+## [1.2.0] - 2026-07-16
+
+### Added
+
+- Mixin-концерни `lint_pipeline_*` (js/python/docker/k8s/style/php/rust/security/text): Azure-реалізація CI-lint намірів — обов'язковий script-степ `n-rules lint … --no-fix` у azure-pipelines.yml
+
+## [1.1.0] - 2026-07-15
+
+### Added
+
+- Перший реліз @7n/rules-ci-azure: правило `azure-pipelines` — базова структура azure-pipelines.yml (trigger/pool), обов'язковий lint-степ n-rules, розширення VS Code; capability `ci:azure`
+
+All notable changes to this project will be documented in this file.

package/package.json

@@ -0,0 +1,48 @@
+{
+  "name": "@7n/rules-ci-azure",
+  "version": "1.2.0",
+  "description": "\u041f\u043b\u0430\u0433\u0456\u043d @7n/rules: \u043a\u0430\u043d\u043e\u043d Azure Pipelines (azure-pipelines.yml) \u2014 \u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u0430, lint-\u0441\u0442\u0435\u043f, VS Code",
+  "keywords": [
+    "azure-pipelines",
+    "ci",
+    "lint",
+    "n-rules-plugin"
+  ],
+  "homepage": "https://github.com/nitra/7n-rules#readme",
+  "bugs": {
+    "url": "https://github.com/nitra/7n-rules/issues"
+  },
+  "license": "ISC",
+  "author": "v@nitra.ai",
+  "repository": {
+    "type": "git",
+    "url": "git+https://github.com/nitra/7n-rules.git",
+    "directory": "plugins/ci-azure"
+  },
+  "type": "module",
+  "files": [
+    "rules",
+    "CHANGELOG.md",
+    "!**/*.test.mjs",
+    "!**/*_test.rego",
+    "!**/fixtures/**"
+  ],
+  "n-rules": {
+    "capabilities": [
+      "ci:azure"
+    ],
+    "contributes": {
+      "rules": true
+    }
+  },
+  "peerDependencies": {
+    "@7n/rules": ">=1.2.0"
+  },
+  "publishConfig": {
+    "access": "public"
+  },
+  "engines": {
+    "bun": ">=1.3",
+    "node": ">=24"
+  }
+}

package/rules/azure-pipelines/lint_pipeline/concern.json

@@ -0,0 +1,10 @@
+{
+  "$schema": "https://unpkg.com/@7n/rules/schemas/concern.json",
+  "policy": {
+    "files": {
+      "single": "azure-pipelines.yml",
+      "required": true
+    },
+    "missingMessage": "azure-pipelines.yml не існує — створи за каноном azure-pipelines.mdc (обов'язковий lint-степ n-rules)"
+  }
+}

package/rules/azure-pipelines/lint_pipeline/lint_pipeline.rego

@@ -0,0 +1,37 @@
+# Перевірка обов'язкового lint-степу у `azure-pipelines.yml` (azure-pipelines.mdc).
+#
+# Substring-перевірки по сукупному тексту всіх `script`-кроків (на будь-якій глибині —
+# плоскі steps, jobs, stages): Azure YAML допускає різні розкладки, а команда може мати
+# додаткові аргументи (`--full`, конкретні правила), тож exact-match був би крихким.
+#
+# Конвенція проєкту — `import rego.v1` + multi-value `deny contains msg if { … }`
+# (conftest.mdc). Лінт — `n-rules lint rego` (regal).
+package azure_pipelines.lint_pipeline
+
+import rego.v1
+
+# Усі script-рядки pipeline на будь-якій глибині.
+scripts contains s if {
+	walk(input, [_, node])
+	is_object(node)
+	s := node.script
+	is_string(s)
+}
+
+script_blob := concat("\n", [s | some s in scripts])
+
+# Обидві канонічні форми запуску: `bunx n-rules lint …` і `npx @7n/rules lint …`.
+has_lint_step if contains(script_blob, "n-rules lint")
+
+has_lint_step if contains(script_blob, "@7n/rules lint")
+
+deny contains msg if {
+	not has_lint_step
+	msg := "azure-pipelines.yml: має бути script-крок з `n-rules lint` (azure-pipelines.mdc)"
+}
+
+deny contains msg if {
+	has_lint_step
+	not contains(script_blob, "--no-fix")
+	msg := "azure-pipelines.yml: lint-степ має запускатись з `--no-fix` (CI без мутацій, azure-pipelines.mdc)"
+}

package/rules/azure-pipelines/lint_pipeline/template/azure-pipelines-lint.yml.snippet.yml

@@ -0,0 +1,3 @@
+steps:
+  - script: bunx n-rules lint --no-fix --full
+    displayName: Lint

package/rules/azure-pipelines/main.json

@@ -0,0 +1 @@
+{ "auto": "завжди" }

package/rules/azure-pipelines/main.mdc

@@ -0,0 +1,78 @@
+---
+description: Канон Azure Pipelines — структура azure-pipelines.yml, обов'язковий lint-степ n-rules, розширення VS Code
+version: '1.0'
+globs: "azure-pipelines.yml"
+alwaysApply: false
+---
+
+Правило **azure-pipelines** (плагін `@7n/rules-ci-azure`) перевіряє канонічну структуру `azure-pipelines.yml` у корені репозиторію та налаштування VS Code для роботи з Azure Pipelines. Аналог правила `ga` (плагін `@7n/rules-ci-github`) для репозиторіїв на Azure DevOps.
+
+- `azure-pipelines.yml`:
+
+```yaml
+trigger:
+  branches:
+    include:
+      - dev
+      - main
+
+pool:
+  vmImage: ubuntu-latest
+
+steps:
+  - script: |
+      curl -fsSL https://bun.sh/install | bash
+      echo "##vso[task.prependpath]$HOME/.bun/bin"
+    displayName: Install bun
+
+  - script: bun install --frozen-lockfile
+    displayName: Install deps
+
+  - script: bunx n-rules lint --no-fix --full
+    displayName: Lint
+```
+
+- `extensions.json`:
+
+```json
+{ "recommendations": ["ms-azure-devops.azure-pipelines"] }
+```
+
+## Структура `azure-pipelines.yml` — базовий канон
+
+Rego-пакет: `azure_pipelines.pipeline_common`
+
+**Цільовий файл:** `azure-pipelines.yml`
+
+### Що перевіряється
+
+- `trigger` — має містити гілки з template (`dev`, `main`); приймається і shorthand-форма `trigger: [dev, main]`, і обʼєктна `trigger.branches.include`
+- `pool.vmImage` — відповідно до template (`ubuntu-latest`); перевіряється кореневий `pool` (для multi-stage pipeline достатньо, щоб хоч один `pool.vmImage` збігався)
+
+Канон: [azure-pipelines.yml.snippet.yml](./pipeline_common/template/azure-pipelines.yml.snippet.yml)
+
+## Обов'язковий lint-степ — `n-rules lint --no-fix`
+
+Rego-пакет: `azure_pipelines.lint_pipeline`
+
+**Цільовий файл:** `azure-pipelines.yml`
+
+### Що перевіряється
+
+- серед усіх `script`-кроків pipeline (на будь-якій глибині — steps/jobs/stages) сукупно мають бути substrings:
+  - `n-rules lint` — запуск уніфікованого лінту
+  - `--no-fix` — CI-режим без мутацій
+
+Substring-перевірки замість exact-match — Azure YAML допускає різні розкладки (плоскі steps, jobs, stages), а команда може мати додаткові аргументи (`--full`, конкретні правила).
+
+Канон: [azure-pipelines-lint.yml.snippet.yml](./lint_pipeline/template/azure-pipelines-lint.yml.snippet.yml)
+
+## `.vscode/extensions.json` — розширення для Azure Pipelines
+
+Rego-пакет: `azure_pipelines.vscode_extensions`
+
+**Цільовий файл:** `.vscode/extensions.json`
+
+Кожне розширення з template (`ms-azure-devops.azure-pipelines`) має бути присутнє у `recommendations`. Додаткові розширення від інших правил — допустимі (subset-перевірка).
+
+Канон: [extensions.json.snippet.json](./vscode_extensions/template/extensions.json.snippet.json)

package/rules/azure-pipelines/pipeline_common/concern.json

@@ -0,0 +1,10 @@
+{
+  "$schema": "https://unpkg.com/@7n/rules/schemas/concern.json",
+  "policy": {
+    "files": {
+      "single": "azure-pipelines.yml",
+      "required": true
+    },
+    "missingMessage": "azure-pipelines.yml не існує — створи за каноном azure-pipelines.mdc"
+  }
+}

package/rules/azure-pipelines/pipeline_common/pipeline_common.rego

@@ -0,0 +1,55 @@
+# Перевірка базової структури `azure-pipelines.yml` (azure-pipelines.mdc).
+#
+# Канон надходить через --data: { "template": { "snippet": ... } }
+# Структура --data сформована з template/azure-pipelines.yml.snippet.yml.
+#
+# Конвенція проєкту — `import rego.v1` + multi-value `deny contains msg if { … }`
+# (conftest.mdc). Лінт — `n-rules lint rego` (regal).
+package azure_pipelines.pipeline_common
+
+import rego.v1
+
+expected_trigger_branches := {b | some b in data.template.snippet.trigger.branches.include}
+
+expected_vm_image := data.template.snippet.pool.vmImage
+
+# `trigger` у input: обʼєктна форма `trigger.branches.include` …
+actual_trigger_branches := {b | some b in input.trigger.branches.include} if {
+	is_object(input.trigger)
+}
+
+# … або shorthand `trigger: [dev, main]`.
+actual_trigger_branches := {b | some b in input.trigger} if {
+	is_array(input.trigger)
+}
+
+# Усі `pool.vmImage` на будь-якій глибині (root, stages/jobs).
+vm_images contains img if {
+	walk(input, [_, node])
+	is_object(node)
+	img := node.pool.vmImage
+	is_string(img)
+}
+
+deny contains msg if {
+	not input.trigger
+	msg := "azure-pipelines.yml: блок trigger відсутній (azure-pipelines.mdc)"
+}
+
+deny contains msg if {
+	input.trigger
+	missing := expected_trigger_branches - actual_trigger_branches
+	count(missing) > 0
+	msg := sprintf("azure-pipelines.yml: trigger має містити гілки %v (azure-pipelines.mdc)", [missing])
+}
+
+deny contains msg if {
+	count(vm_images) == 0
+	msg := "azure-pipelines.yml: pool.vmImage відсутній (azure-pipelines.mdc)"
+}
+
+deny contains msg if {
+	count(vm_images) > 0
+	not expected_vm_image in vm_images
+	msg := sprintf("azure-pipelines.yml: pool.vmImage має бути %s (azure-pipelines.mdc)", [expected_vm_image])
+}

package/rules/azure-pipelines/pipeline_common/template/azure-pipelines.yml.snippet.yml

@@ -0,0 +1,20 @@
+trigger:
+  branches:
+    include:
+      - dev
+      - main
+
+pool:
+  vmImage: ubuntu-latest
+
+steps:
+  - script: |
+      curl -fsSL https://bun.sh/install | bash
+      echo "##vso[task.prependpath]$HOME/.bun/bin"
+    displayName: Install bun
+
+  - script: bun install --frozen-lockfile
+    displayName: Install deps
+
+  - script: bunx n-rules lint --no-fix --full
+    displayName: Lint

package/rules/azure-pipelines/vscode_extensions/concern.json

@@ -0,0 +1,11 @@
+{
+  "$schema": "https://unpkg.com/@7n/rules/schemas/concern.json",
+  "fixability": "config",
+  "policy": {
+    "files": {
+      "single": ".vscode/extensions.json",
+      "required": true
+    },
+    "missingMessage": ".vscode/extensions.json не існує — додай ms-azure-devops.azure-pipelines (azure-pipelines.mdc)"
+  }
+}

package/rules/azure-pipelines/vscode_extensions/template/extensions.json.snippet.json

@@ -0,0 +1 @@
+{ "recommendations": ["ms-azure-devops.azure-pipelines"] }

package/rules/azure-pipelines/vscode_extensions/vscode_extensions.rego

@@ -0,0 +1,18 @@
+# Перевірка `.vscode/extensions.json` для Azure Pipelines (azure-pipelines.mdc).
+#
+# Канон надходить через --data: { "template": { "snippet": ... } }
+# Структура --data сформована з template/extensions.json.snippet.json.
+# `recommendations` — subset-of: кожна рекомендація з template має бути у input.
+# Додаткові рекомендації від інших правил дозволені.
+#
+# Конвенція проєкту — `import rego.v1` + multi-value `deny contains msg if { … }`
+# (conftest.mdc). Лінт — `n-rules lint rego` (regal).
+package azure_pipelines.vscode_extensions
+
+import rego.v1
+
+deny contains msg if {
+	some rec in data.template.snippet.recommendations
+	not rec in {r | some r in object.get(input, "recommendations", [])}
+	msg := sprintf(".vscode/extensions.json: recommendations має містити %q (azure-pipelines.mdc)", [rec])
+}

package/rules/docker/lint_pipeline_docker/concern.json

@@ -0,0 +1,10 @@
+{
+  "$schema": "https://unpkg.com/@7n/rules/schemas/concern.json",
+  "policy": {
+    "files": {
+      "single": "azure-pipelines.yml",
+      "required": true
+    },
+    "missingMessage": "azure-pipelines.yml не існує — додай lint-степ `bunx n-rules lint docker --no-fix` (azure-pipelines.mdc)"
+  }
+}

package/rules/docker/lint_pipeline_docker/lint_pipeline_docker.mdc

@@ -0,0 +1,13 @@
+## Azure Pipelines: обов'язковий lint-степ `docker`
+
+Rego-пакет: `docker.lint_pipeline_docker` (mixin з плагіна `@7n/rules-ci-azure`)
+
+**Цільовий файл:** `azure-pipelines.yml`
+
+Серед `script`-кроків pipeline (будь-яка глибина — steps/jobs/stages) сукупно мають бути substrings `n-rules lint docker` (приймається і `npx @7n/rules lint docker`) та `--no-fix`. Це провайдер-аналог GitHub-workflow `lint-docker.yml` з `@7n/rules-ci-github`: намір «CI-lint домену `docker`» однаковий, реалізація — своя для кожного CI-провайдера.
+
+```yaml
+steps:
+  - script: bunx n-rules lint docker --no-fix
+    displayName: Lint docker
+```

package/rules/docker/lint_pipeline_docker/lint_pipeline_docker.rego

@@ -0,0 +1,39 @@
+# Обов'язковий lint-степ домену `docker` у `azure-pipelines.yml` (провайдер-аналог
+# GitHub-workflow `lint-docker.yml` з @7n/rules-ci-github): серед script-кроків pipeline
+# на будь-якій глибині має бути запуск `n-rules lint docker` (або `@7n/rules lint docker`)
+# з `--no-fix`. Mixin-концерн правила `docker` — активний лише разом із правилом.
+#
+# Конвенція проєкту — `import rego.v1` + multi-value `deny contains msg if { … }`
+# (conftest.mdc). Лінт — `n-rules lint rego` (regal).
+package docker.lint_pipeline_docker
+
+import rego.v1
+
+scripts contains s if {
+	walk(input, [_, node])
+	is_object(node)
+	s := node.script
+	is_string(s)
+}
+
+script_blob := concat("\n", [s | some s in scripts])
+
+has_lint_step if contains(script_blob, "n-rules lint docker")
+
+has_lint_step if contains(script_blob, "@7n/rules lint docker")
+
+# Загальний full-прогін покриває всі домени — окремий docker-степ не потрібен.
+has_lint_step if contains(script_blob, "n-rules lint --no-fix --full")
+
+has_lint_step if contains(script_blob, "@7n/rules lint --no-fix --full")
+
+deny contains msg if {
+	not has_lint_step
+	msg := "azure-pipelines.yml: має бути script-крок `n-rules lint docker --no-fix` (azure-pipelines.mdc)"
+}
+
+deny contains msg if {
+	has_lint_step
+	not contains(script_blob, "--no-fix")
+	msg := "azure-pipelines.yml: lint-степ `docker` має запускатись з `--no-fix` (CI без мутацій, azure-pipelines.mdc)"
+}

package/rules/js/lint_pipeline_js/concern.json

@@ -0,0 +1,10 @@
+{
+  "$schema": "https://unpkg.com/@7n/rules/schemas/concern.json",
+  "policy": {
+    "files": {
+      "single": "azure-pipelines.yml",
+      "required": true
+    },
+    "missingMessage": "azure-pipelines.yml не існує — додай lint-степ `bunx n-rules lint js --no-fix` (azure-pipelines.mdc)"
+  }
+}

package/rules/js/lint_pipeline_js/lint_pipeline_js.mdc

@@ -0,0 +1,13 @@
+## Azure Pipelines: обов'язковий lint-степ `js`
+
+Rego-пакет: `js.lint_pipeline_js` (mixin з плагіна `@7n/rules-ci-azure`)
+
+**Цільовий файл:** `azure-pipelines.yml`
+
+Серед `script`-кроків pipeline (будь-яка глибина — steps/jobs/stages) сукупно мають бути substrings `n-rules lint js` (приймається і `npx @7n/rules lint js`) та `--no-fix`. Це провайдер-аналог GitHub-workflow `lint-js.yml` з `@7n/rules-ci-github`: намір «CI-lint домену `js`» однаковий, реалізація — своя для кожного CI-провайдера.
+
+```yaml
+steps:
+  - script: bunx n-rules lint js --no-fix
+    displayName: Lint js
+```

package/rules/js/lint_pipeline_js/lint_pipeline_js.rego

@@ -0,0 +1,39 @@
+# Обов'язковий lint-степ домену `js` у `azure-pipelines.yml` (провайдер-аналог
+# GitHub-workflow `lint-js.yml` з @7n/rules-ci-github): серед script-кроків pipeline
+# на будь-якій глибині має бути запуск `n-rules lint js` (або `@7n/rules lint js`)
+# з `--no-fix`. Mixin-концерн правила `js` — активний лише разом із правилом.
+#
+# Конвенція проєкту — `import rego.v1` + multi-value `deny contains msg if { … }`
+# (conftest.mdc). Лінт — `n-rules lint rego` (regal).
+package js.lint_pipeline_js
+
+import rego.v1
+
+scripts contains s if {
+	walk(input, [_, node])
+	is_object(node)
+	s := node.script
+	is_string(s)
+}
+
+script_blob := concat("\n", [s | some s in scripts])
+
+has_lint_step if contains(script_blob, "n-rules lint js")
+
+has_lint_step if contains(script_blob, "@7n/rules lint js")
+
+# Загальний full-прогін покриває всі домени — окремий js-степ не потрібен.
+has_lint_step if contains(script_blob, "n-rules lint --no-fix --full")
+
+has_lint_step if contains(script_blob, "@7n/rules lint --no-fix --full")
+
+deny contains msg if {
+	not has_lint_step
+	msg := "azure-pipelines.yml: має бути script-крок `n-rules lint js --no-fix` (azure-pipelines.mdc)"
+}
+
+deny contains msg if {
+	has_lint_step
+	not contains(script_blob, "--no-fix")
+	msg := "azure-pipelines.yml: lint-степ `js` має запускатись з `--no-fix` (CI без мутацій, azure-pipelines.mdc)"
+}

package/rules/k8s/lint_pipeline_k8s/concern.json

@@ -0,0 +1,10 @@
+{
+  "$schema": "https://unpkg.com/@7n/rules/schemas/concern.json",
+  "policy": {
+    "files": {
+      "single": "azure-pipelines.yml",
+      "required": true
+    },
+    "missingMessage": "azure-pipelines.yml не існує — додай lint-степ `bunx n-rules lint k8s --no-fix` (azure-pipelines.mdc)"
+  }
+}

package/rules/k8s/lint_pipeline_k8s/lint_pipeline_k8s.mdc

@@ -0,0 +1,13 @@
+## Azure Pipelines: обов'язковий lint-степ `k8s`
+
+Rego-пакет: `k8s.lint_pipeline_k8s` (mixin з плагіна `@7n/rules-ci-azure`)
+
+**Цільовий файл:** `azure-pipelines.yml`
+
+Серед `script`-кроків pipeline (будь-яка глибина — steps/jobs/stages) сукупно мають бути substrings `n-rules lint k8s` (приймається і `npx @7n/rules lint k8s`) та `--no-fix`. Це провайдер-аналог GitHub-workflow `lint-k8s.yml` з `@7n/rules-ci-github`: намір «CI-lint домену `k8s`» однаковий, реалізація — своя для кожного CI-провайдера.
+
+```yaml
+steps:
+  - script: bunx n-rules lint k8s --no-fix
+    displayName: Lint k8s
+```

package/rules/k8s/lint_pipeline_k8s/lint_pipeline_k8s.rego

@@ -0,0 +1,39 @@
+# Обов'язковий lint-степ домену `k8s` у `azure-pipelines.yml` (провайдер-аналог
+# GitHub-workflow `lint-k8s.yml` з @7n/rules-ci-github): серед script-кроків pipeline
+# на будь-якій глибині має бути запуск `n-rules lint k8s` (або `@7n/rules lint k8s`)
+# з `--no-fix`. Mixin-концерн правила `k8s` — активний лише разом із правилом.
+#
+# Конвенція проєкту — `import rego.v1` + multi-value `deny contains msg if { … }`
+# (conftest.mdc). Лінт — `n-rules lint rego` (regal).
+package k8s.lint_pipeline_k8s
+
+import rego.v1
+
+scripts contains s if {
+	walk(input, [_, node])
+	is_object(node)
+	s := node.script
+	is_string(s)
+}
+
+script_blob := concat("\n", [s | some s in scripts])
+
+has_lint_step if contains(script_blob, "n-rules lint k8s")
+
+has_lint_step if contains(script_blob, "@7n/rules lint k8s")
+
+# Загальний full-прогін покриває всі домени — окремий k8s-степ не потрібен.
+has_lint_step if contains(script_blob, "n-rules lint --no-fix --full")
+
+has_lint_step if contains(script_blob, "@7n/rules lint --no-fix --full")
+
+deny contains msg if {
+	not has_lint_step
+	msg := "azure-pipelines.yml: має бути script-крок `n-rules lint k8s --no-fix` (azure-pipelines.mdc)"
+}
+
+deny contains msg if {
+	has_lint_step
+	not contains(script_blob, "--no-fix")
+	msg := "azure-pipelines.yml: lint-степ `k8s` має запускатись з `--no-fix` (CI без мутацій, azure-pipelines.mdc)"
+}

package/rules/php/lint_pipeline_php/concern.json

@@ -0,0 +1,10 @@
+{
+  "$schema": "https://unpkg.com/@7n/rules/schemas/concern.json",
+  "policy": {
+    "files": {
+      "single": "azure-pipelines.yml",
+      "required": true
+    },
+    "missingMessage": "azure-pipelines.yml не існує — додай lint-степ `bunx n-rules lint php --no-fix` (azure-pipelines.mdc)"
+  }
+}

package/rules/php/lint_pipeline_php/lint_pipeline_php.mdc

@@ -0,0 +1,13 @@
+## Azure Pipelines: обов'язковий lint-степ `php`
+
+Rego-пакет: `php.lint_pipeline_php` (mixin з плагіна `@7n/rules-ci-azure`)
+
+**Цільовий файл:** `azure-pipelines.yml`
+
+Серед `script`-кроків pipeline (будь-яка глибина — steps/jobs/stages) сукупно мають бути substrings `n-rules lint php` (приймається і `npx @7n/rules lint php`) та `--no-fix`. Це провайдер-аналог GitHub-workflow `lint-php.yml` з `@7n/rules-ci-github`: намір «CI-lint домену `php`» однаковий, реалізація — своя для кожного CI-провайдера.
+
+```yaml
+steps:
+  - script: bunx n-rules lint php --no-fix
+    displayName: Lint php
+```

package/rules/php/lint_pipeline_php/lint_pipeline_php.rego

@@ -0,0 +1,39 @@
+# Обов'язковий lint-степ домену `php` у `azure-pipelines.yml` (провайдер-аналог
+# GitHub-workflow `lint-php.yml` з @7n/rules-ci-github): серед script-кроків pipeline
+# на будь-якій глибині має бути запуск `n-rules lint php` (або `@7n/rules lint php`)
+# з `--no-fix`. Mixin-концерн правила `php` — активний лише разом із правилом.
+#
+# Конвенція проєкту — `import rego.v1` + multi-value `deny contains msg if { … }`
+# (conftest.mdc). Лінт — `n-rules lint rego` (regal).
+package php.lint_pipeline_php
+
+import rego.v1
+
+scripts contains s if {
+	walk(input, [_, node])
+	is_object(node)
+	s := node.script
+	is_string(s)
+}
+
+script_blob := concat("\n", [s | some s in scripts])
+
+has_lint_step if contains(script_blob, "n-rules lint php")
+
+has_lint_step if contains(script_blob, "@7n/rules lint php")
+
+# Загальний full-прогін покриває всі домени — окремий php-степ не потрібен.
+has_lint_step if contains(script_blob, "n-rules lint --no-fix --full")
+
+has_lint_step if contains(script_blob, "@7n/rules lint --no-fix --full")
+
+deny contains msg if {
+	not has_lint_step
+	msg := "azure-pipelines.yml: має бути script-крок `n-rules lint php --no-fix` (azure-pipelines.mdc)"
+}
+
+deny contains msg if {
+	has_lint_step
+	not contains(script_blob, "--no-fix")
+	msg := "azure-pipelines.yml: lint-степ `php` має запускатись з `--no-fix` (CI без мутацій, azure-pipelines.mdc)"
+}

package/rules/python/lint_pipeline_python/concern.json

@@ -0,0 +1,10 @@
+{
+  "$schema": "https://unpkg.com/@7n/rules/schemas/concern.json",
+  "policy": {
+    "files": {
+      "single": "azure-pipelines.yml",
+      "required": true
+    },
+    "missingMessage": "azure-pipelines.yml не існує — додай lint-степ `bunx n-rules lint python --no-fix` (azure-pipelines.mdc)"
+  }
+}

package/rules/python/lint_pipeline_python/lint_pipeline_python.mdc

@@ -0,0 +1,13 @@
+## Azure Pipelines: обов'язковий lint-степ `python`
+
+Rego-пакет: `python.lint_pipeline_python` (mixin з плагіна `@7n/rules-ci-azure`)
+
+**Цільовий файл:** `azure-pipelines.yml`
+
+Серед `script`-кроків pipeline (будь-яка глибина — steps/jobs/stages) сукупно мають бути substrings `n-rules lint python` (приймається і `npx @7n/rules lint python`) та `--no-fix`. Це провайдер-аналог GitHub-workflow `lint-python.yml` з `@7n/rules-ci-github`: намір «CI-lint домену `python`» однаковий, реалізація — своя для кожного CI-провайдера.
+
+```yaml
+steps:
+  - script: bunx n-rules lint python --no-fix
+    displayName: Lint python
+```

package/rules/python/lint_pipeline_python/lint_pipeline_python.rego

@@ -0,0 +1,39 @@
+# Обов'язковий lint-степ домену `python` у `azure-pipelines.yml` (провайдер-аналог
+# GitHub-workflow `lint-python.yml` з @7n/rules-ci-github): серед script-кроків pipeline
+# на будь-якій глибині має бути запуск `n-rules lint python` (або `@7n/rules lint python`)
+# з `--no-fix`. Mixin-концерн правила `python` — активний лише разом із правилом.
+#
+# Конвенція проєкту — `import rego.v1` + multi-value `deny contains msg if { … }`
+# (conftest.mdc). Лінт — `n-rules lint rego` (regal).
+package python.lint_pipeline_python
+
+import rego.v1
+
+scripts contains s if {
+	walk(input, [_, node])
+	is_object(node)
+	s := node.script
+	is_string(s)
+}
+
+script_blob := concat("\n", [s | some s in scripts])
+
+has_lint_step if contains(script_blob, "n-rules lint python")
+
+has_lint_step if contains(script_blob, "@7n/rules lint python")
+
+# Загальний full-прогін покриває всі домени — окремий python-степ не потрібен.
+has_lint_step if contains(script_blob, "n-rules lint --no-fix --full")
+
+has_lint_step if contains(script_blob, "@7n/rules lint --no-fix --full")
+
+deny contains msg if {
+	not has_lint_step
+	msg := "azure-pipelines.yml: має бути script-крок `n-rules lint python --no-fix` (azure-pipelines.mdc)"
+}
+
+deny contains msg if {
+	has_lint_step
+	not contains(script_blob, "--no-fix")
+	msg := "azure-pipelines.yml: lint-степ `python` має запускатись з `--no-fix` (CI без мутацій, azure-pipelines.mdc)"
+}

package/rules/rust/lint_pipeline_rust/concern.json

@@ -0,0 +1,10 @@
+{
+  "$schema": "https://unpkg.com/@7n/rules/schemas/concern.json",
+  "policy": {
+    "files": {
+      "single": "azure-pipelines.yml",
+      "required": true
+    },
+    "missingMessage": "azure-pipelines.yml не існує — додай lint-степ `bunx n-rules lint rust --no-fix` (azure-pipelines.mdc)"
+  }
+}

package/rules/rust/lint_pipeline_rust/lint_pipeline_rust.mdc

@@ -0,0 +1,13 @@
+## Azure Pipelines: обов'язковий lint-степ `rust`
+
+Rego-пакет: `rust.lint_pipeline_rust` (mixin з плагіна `@7n/rules-ci-azure`)
+
+**Цільовий файл:** `azure-pipelines.yml`
+
+Серед `script`-кроків pipeline (будь-яка глибина — steps/jobs/stages) сукупно мають бути substrings `n-rules lint rust` (приймається і `npx @7n/rules lint rust`) та `--no-fix`. Це провайдер-аналог GitHub-workflow `lint-rust.yml` з `@7n/rules-ci-github`: намір «CI-lint домену `rust`» однаковий, реалізація — своя для кожного CI-провайдера.
+
+```yaml
+steps:
+  - script: bunx n-rules lint rust --no-fix
+    displayName: Lint rust
+```

package/rules/rust/lint_pipeline_rust/lint_pipeline_rust.rego

@@ -0,0 +1,39 @@
+# Обов'язковий lint-степ домену `rust` у `azure-pipelines.yml` (провайдер-аналог
+# GitHub-workflow `lint-rust.yml` з @7n/rules-ci-github): серед script-кроків pipeline
+# на будь-якій глибині має бути запуск `n-rules lint rust` (або `@7n/rules lint rust`)
+# з `--no-fix`. Mixin-концерн правила `rust` — активний лише разом із правилом.
+#
+# Конвенція проєкту — `import rego.v1` + multi-value `deny contains msg if { … }`
+# (conftest.mdc). Лінт — `n-rules lint rego` (regal).
+package rust.lint_pipeline_rust
+
+import rego.v1
+
+scripts contains s if {
+	walk(input, [_, node])
+	is_object(node)
+	s := node.script
+	is_string(s)
+}
+
+script_blob := concat("\n", [s | some s in scripts])
+
+has_lint_step if contains(script_blob, "n-rules lint rust")
+
+has_lint_step if contains(script_blob, "@7n/rules lint rust")
+
+# Загальний full-прогін покриває всі домени — окремий rust-степ не потрібен.
+has_lint_step if contains(script_blob, "n-rules lint --no-fix --full")
+
+has_lint_step if contains(script_blob, "@7n/rules lint --no-fix --full")
+
+deny contains msg if {
+	not has_lint_step
+	msg := "azure-pipelines.yml: має бути script-крок `n-rules lint rust --no-fix` (azure-pipelines.mdc)"
+}
+
+deny contains msg if {
+	has_lint_step
+	not contains(script_blob, "--no-fix")
+	msg := "azure-pipelines.yml: lint-степ `rust` має запускатись з `--no-fix` (CI без мутацій, azure-pipelines.mdc)"
+}

package/rules/security/lint_pipeline_security/concern.json

@@ -0,0 +1,10 @@
+{
+  "$schema": "https://unpkg.com/@7n/rules/schemas/concern.json",
+  "policy": {
+    "files": {
+      "single": "azure-pipelines.yml",
+      "required": true
+    },
+    "missingMessage": "azure-pipelines.yml не існує — додай lint-степ `bunx n-rules lint security --no-fix` (azure-pipelines.mdc)"
+  }
+}

package/rules/security/lint_pipeline_security/lint_pipeline_security.mdc

@@ -0,0 +1,13 @@
+## Azure Pipelines: обов'язковий lint-степ `security`
+
+Rego-пакет: `security.lint_pipeline_security` (mixin з плагіна `@7n/rules-ci-azure`)
+
+**Цільовий файл:** `azure-pipelines.yml`
+
+Серед `script`-кроків pipeline (будь-яка глибина — steps/jobs/stages) сукупно мають бути substrings `n-rules lint security` (приймається і `npx @7n/rules lint security`) та `--no-fix`. Це провайдер-аналог GitHub-workflow `lint-security.yml` з `@7n/rules-ci-github`: намір «CI-lint домену `security`» однаковий, реалізація — своя для кожного CI-провайдера.
+
+```yaml
+steps:
+  - script: bunx n-rules lint security --no-fix
+    displayName: Lint security
+```

package/rules/security/lint_pipeline_security/lint_pipeline_security.rego

@@ -0,0 +1,39 @@
+# Обов'язковий lint-степ домену `security` у `azure-pipelines.yml` (провайдер-аналог
+# GitHub-workflow `lint-security.yml` з @7n/rules-ci-github): серед script-кроків pipeline
+# на будь-якій глибині має бути запуск `n-rules lint security` (або `@7n/rules lint security`)
+# з `--no-fix`. Mixin-концерн правила `security` — активний лише разом із правилом.
+#
+# Конвенція проєкту — `import rego.v1` + multi-value `deny contains msg if { … }`
+# (conftest.mdc). Лінт — `n-rules lint rego` (regal).
+package security.lint_pipeline_security
+
+import rego.v1
+
+scripts contains s if {
+	walk(input, [_, node])
+	is_object(node)
+	s := node.script
+	is_string(s)
+}
+
+script_blob := concat("\n", [s | some s in scripts])
+
+has_lint_step if contains(script_blob, "n-rules lint security")
+
+has_lint_step if contains(script_blob, "@7n/rules lint security")
+
+# Загальний full-прогін покриває всі домени — окремий security-степ не потрібен.
+has_lint_step if contains(script_blob, "n-rules lint --no-fix --full")
+
+has_lint_step if contains(script_blob, "@7n/rules lint --no-fix --full")
+
+deny contains msg if {
+	not has_lint_step
+	msg := "azure-pipelines.yml: має бути script-крок `n-rules lint security --no-fix` (azure-pipelines.mdc)"
+}
+
+deny contains msg if {
+	has_lint_step
+	not contains(script_blob, "--no-fix")
+	msg := "azure-pipelines.yml: lint-степ `security` має запускатись з `--no-fix` (CI без мутацій, azure-pipelines.mdc)"
+}

package/rules/style/lint_pipeline_style/concern.json

@@ -0,0 +1,10 @@
+{
+  "$schema": "https://unpkg.com/@7n/rules/schemas/concern.json",
+  "policy": {
+    "files": {
+      "single": "azure-pipelines.yml",
+      "required": true
+    },
+    "missingMessage": "azure-pipelines.yml не існує — додай lint-степ `bunx n-rules lint style --no-fix` (azure-pipelines.mdc)"
+  }
+}

package/rules/style/lint_pipeline_style/lint_pipeline_style.mdc

@@ -0,0 +1,13 @@
+## Azure Pipelines: обов'язковий lint-степ `style`
+
+Rego-пакет: `style.lint_pipeline_style` (mixin з плагіна `@7n/rules-ci-azure`)
+
+**Цільовий файл:** `azure-pipelines.yml`
+
+Серед `script`-кроків pipeline (будь-яка глибина — steps/jobs/stages) сукупно мають бути substrings `n-rules lint style` (приймається і `npx @7n/rules lint style`) та `--no-fix`. Це провайдер-аналог GitHub-workflow `lint-style.yml` з `@7n/rules-ci-github`: намір «CI-lint домену `style`» однаковий, реалізація — своя для кожного CI-провайдера.
+
+```yaml
+steps:
+  - script: bunx n-rules lint style --no-fix
+    displayName: Lint style
+```

package/rules/style/lint_pipeline_style/lint_pipeline_style.rego

@@ -0,0 +1,39 @@
+# Обов'язковий lint-степ домену `style` у `azure-pipelines.yml` (провайдер-аналог
+# GitHub-workflow `lint-style.yml` з @7n/rules-ci-github): серед script-кроків pipeline
+# на будь-якій глибині має бути запуск `n-rules lint style` (або `@7n/rules lint style`)
+# з `--no-fix`. Mixin-концерн правила `style` — активний лише разом із правилом.
+#
+# Конвенція проєкту — `import rego.v1` + multi-value `deny contains msg if { … }`
+# (conftest.mdc). Лінт — `n-rules lint rego` (regal).
+package style.lint_pipeline_style
+
+import rego.v1
+
+scripts contains s if {
+	walk(input, [_, node])
+	is_object(node)
+	s := node.script
+	is_string(s)
+}
+
+script_blob := concat("\n", [s | some s in scripts])
+
+has_lint_step if contains(script_blob, "n-rules lint style")
+
+has_lint_step if contains(script_blob, "@7n/rules lint style")
+
+# Загальний full-прогін покриває всі домени — окремий style-степ не потрібен.
+has_lint_step if contains(script_blob, "n-rules lint --no-fix --full")
+
+has_lint_step if contains(script_blob, "@7n/rules lint --no-fix --full")
+
+deny contains msg if {
+	not has_lint_step
+	msg := "azure-pipelines.yml: має бути script-крок `n-rules lint style --no-fix` (azure-pipelines.mdc)"
+}
+
+deny contains msg if {
+	has_lint_step
+	not contains(script_blob, "--no-fix")
+	msg := "azure-pipelines.yml: lint-степ `style` має запускатись з `--no-fix` (CI без мутацій, azure-pipelines.mdc)"
+}

package/rules/text/lint_pipeline_text/concern.json

@@ -0,0 +1,10 @@
+{
+  "$schema": "https://unpkg.com/@7n/rules/schemas/concern.json",
+  "policy": {
+    "files": {
+      "single": "azure-pipelines.yml",
+      "required": true
+    },
+    "missingMessage": "azure-pipelines.yml не існує — додай lint-степ `bunx n-rules lint text --no-fix` (azure-pipelines.mdc)"
+  }
+}

package/rules/text/lint_pipeline_text/lint_pipeline_text.mdc

@@ -0,0 +1,13 @@
+## Azure Pipelines: обов'язковий lint-степ `text`
+
+Rego-пакет: `text.lint_pipeline_text` (mixin з плагіна `@7n/rules-ci-azure`)
+
+**Цільовий файл:** `azure-pipelines.yml`
+
+Серед `script`-кроків pipeline (будь-яка глибина — steps/jobs/stages) сукупно мають бути substrings `n-rules lint text` (приймається і `npx @7n/rules lint text`) та `--no-fix`. Це провайдер-аналог GitHub-workflow `lint-text.yml` з `@7n/rules-ci-github`: намір «CI-lint домену `text`» однаковий, реалізація — своя для кожного CI-провайдера.
+
+```yaml
+steps:
+  - script: bunx n-rules lint text --no-fix
+    displayName: Lint text
+```

package/rules/text/lint_pipeline_text/lint_pipeline_text.rego

@@ -0,0 +1,39 @@
+# Обов'язковий lint-степ домену `text` у `azure-pipelines.yml` (провайдер-аналог
+# GitHub-workflow `lint-text.yml` з @7n/rules-ci-github): серед script-кроків pipeline
+# на будь-якій глибині має бути запуск `n-rules lint text` (або `@7n/rules lint text`)
+# з `--no-fix`. Mixin-концерн правила `text` — активний лише разом із правилом.
+#
+# Конвенція проєкту — `import rego.v1` + multi-value `deny contains msg if { … }`
+# (conftest.mdc). Лінт — `n-rules lint rego` (regal).
+package text.lint_pipeline_text
+
+import rego.v1
+
+scripts contains s if {
+	walk(input, [_, node])
+	is_object(node)
+	s := node.script
+	is_string(s)
+}
+
+script_blob := concat("\n", [s | some s in scripts])
+
+has_lint_step if contains(script_blob, "n-rules lint text")
+
+has_lint_step if contains(script_blob, "@7n/rules lint text")
+
+# Загальний full-прогін покриває всі домени — окремий text-степ не потрібен.
+has_lint_step if contains(script_blob, "n-rules lint --no-fix --full")
+
+has_lint_step if contains(script_blob, "@7n/rules lint --no-fix --full")
+
+deny contains msg if {
+	not has_lint_step
+	msg := "azure-pipelines.yml: має бути script-крок `n-rules lint text --no-fix` (azure-pipelines.mdc)"
+}
+
+deny contains msg if {
+	has_lint_step
+	not contains(script_blob, "--no-fix")
+	msg := "azure-pipelines.yml: lint-степ `text` має запускатись з `--no-fix` (CI без мутацій, azure-pipelines.mdc)"
+}