@7n/rules-ci-azure 1.4.0 → 1.4.1

package/CHANGELOG.md

@@ -1,5 +1,11 @@
 # Changelog
 
+## [1.4.1] - 2026-07-18
+
+### Fixed
+
+- service_deploy_pipeline під реальну efes-форму: template-параметр покриває сервіс за префіксом glob-а (`run/nexus/**` ↔ modulePath `run/nexus`, було — хибний deny на всіх extends-пайплайнах); plan-гейт вимагається лише за наявності lint-джоб (утилітарні service-scoped pipelines типу gen:schema — поза каноном); команди читаються і з кроків `task: Bash@3` (`inputs.script`) — у rego і в автомігратора
+
 ## [1.4.0] - 2026-07-18
 
 ### Added

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@7n/rules-ci-azure",
-  "version": "1.4.0",
+  "version": "1.4.1",
   "description": "Плагін @7n/rules: канон Azure Pipelines (azure-pipelines.yml) — структура, lint-степ, VS Code",
   "keywords": [
     "azure-pipelines",

package/rules/azure-pipelines/service_deploy_pipeline/docs/fix-service_deploy_pipeline.md

@@ -3,7 +3,7 @@ type: JS Module
 title: fix-service_deploy_pipeline.mjs
 resource: plugins/ci-azure/rules/azure-pipelines/service_deploy_pipeline/fix-service_deploy_pipeline.mjs
 docgen:
-  crc: 7841b82d
+  crc: 6d6df549
   model: openai-codex/gpt-5.4-mini
   tier: cloud-min
   score: 100

package/rules/azure-pipelines/service_deploy_pipeline/fix-service_deploy_pipeline.mjs

@@ -33,6 +33,7 @@ import { collectPathScopedFiles } from '@7n/rules/scripts/lib/lint-surface/path-
 import { domainKey } from '@7n/rules/scripts/lib/lint-surface/ci-plan.mjs'
 
 const WS_RE = /\s+/u
+const GLOB_SUFFIX_RE = /\/\*+$/u
 
 /** Канонічні prep-кроки, якщо в pipeline немає власного зразка. */
 const CANONICAL_PREP = [
@@ -45,7 +46,8 @@ const CANONICAL_PREP = [
 ]
 
 /**
- * Текст команди кроку (`script:` або `bash:`), '' якщо крок не командний.
+ * Текст команди кроку (`script:`, `bash:` або task-форма `inputs.script`),
+ * '' якщо крок не командний.
  * @param {unknown} step крок джоби (plain JS)
  * @returns {string} команда або ''
  */
@@ -54,9 +56,29 @@ function stepCmd(step) {
   const s = /** @type {Record<string, unknown>} */ (step)
   if (typeof s.script === 'string') return s.script
   if (typeof s.bash === 'string') return s.bash
+  const inputs = s.inputs
+  if (
+    inputs &&
+    typeof inputs === 'object' &&
+    typeof (/** @type {Record<string, unknown>} */ (inputs).script) === 'string'
+  ) {
+    return /** @type {string} */ (/** @type {Record<string, unknown>} */ (inputs).script)
+  }
   return ''
 }
 
+/**
+ * Шлях-суфікс до тексту команди всередині кроку (для `setIn`): `['script']`,
+ * `['bash']` або `['inputs', 'script']` (task-форма).
+ * @param {Record<string, unknown>} step крок джоби (plain JS)
+ * @returns {string[]} суфікс шляху
+ */
+function stepCmdPath(step) {
+  if (typeof step.script === 'string') return ['script']
+  if (typeof step.bash === 'string') return ['bash']
+  return ['inputs', 'script']
+}
+
 /**
  * Розбирає команду `n-rules lint …`/`n-rules ci plan …` токенами (без regex —
  * стійко до багаторядкових script-ів і без бектрекінгу).
@@ -272,8 +294,7 @@ function patchDomainLintJob(doc, base, j, found) {
   }
   const cmd = stepCmd(steps[found.stepIndex])
   if (!cmd.includes('--no-fix')) {
-    const key = typeof steps[found.stepIndex].script === 'string' ? 'script' : 'bash'
-    doc.setIn([...base, 'steps', found.stepIndex, key], `${cmd.trimEnd()} --no-fix`)
+    doc.setIn([...base, 'steps', found.stepIndex, ...stepCmdPath(steps[found.stepIndex])], `${cmd.trimEnd()} --no-fix`)
     changed = true
   }
   const checkoutIdx = steps.findIndex(s => s && typeof s === 'object' && 'checkout' in s)
@@ -385,11 +406,16 @@ function analyzePipeline(doc) {
       .map(x => ({ seq: x.seq, job: x.job, path: x.found.path }))
   )
 
-  // Сервісний каталог: із plan-джоби → з легасі lint-джоби → перший paths.include.
+  // Сервісний каталог: із plan-джоби → з легасі lint-джоби → перший paths.include
+  // (glob-суфікс /**, /* зрізається: `run/nexus/**` → `run/nexus`).
   const planPath = (Array.isArray(planJob?.steps) ? planJob.steps : [])
     .map(s => parseNRulesCmd(stepCmd(s), 'n-rules ci plan')?.path)
     .find(Boolean)
-  const servicePath = planPath ?? legacy[0]?.path ?? servicePaths.find(p => typeof p === 'string')
+  const firstTriggerPath = servicePaths
+    .filter(p => typeof p === 'string')
+    .map(p => p.replace(GLOB_SUFFIX_RE, ''))
+    .find(p => p !== '' && !p.includes('*'))
+  const servicePath = planPath ?? legacy[0]?.path ?? firstTriggerPath
   if (typeof servicePath !== 'string') return null
 
   return { seqs, allJobs, planJob, legacy, servicePath }

package/rules/azure-pipelines/service_deploy_pipeline/service_deploy_pipeline.rego

@@ -45,10 +45,14 @@ template_refs contains t if {
 	is_string(object.get(t, "template", 0))
 }
 
+# Параметр-каталог покриває сервіс: точний збіг АБО glob paths.include
+# починається з нього (`run/nexus/**` ↔ modulePath `run/nexus`).
 template_covers_service if {
 	some t in template_refs
 	some v in object.get(t, "parameters", {})
-	v in service_paths
+	is_string(v)
+	some p in service_paths
+	startswith(p, v)
 }
 
 plan_jobs contains j if {
@@ -74,6 +78,17 @@ lint_cmds contains cmd if {
 
 check_jobs contains cmd.job if some cmd in lint_cmds
 
+# Чи є в pipeline lint-гейт узагалі (domain-style або легасі `lint --path` без
+# домену) — утилітарні service-scoped pipelines (gen:schema тощо) без lint-джоб
+# каноном plan-гейта не зобовʼязані.
+has_lint_jobs if count(lint_cmds) > 0
+
+has_lint_jobs if {
+	some j in all_jobs
+	some r in job_cmds(j)
+	regex.match(`n-rules lint\s+--path\s`, r)
+}
+
 # Граф dependsOn і транзитивна досяжність (ланцюг deploy → build → перевірки).
 needs_graph[name] := depends_of(j) if {
 	some j in all_jobs
@@ -102,6 +117,7 @@ job_by_name[name] := j if {
 deny contains msg if {
 	is_service_pipeline
 	count(all_jobs) > 0
+	has_lint_jobs
 	count(plan_jobs) == 0
 	not template_covers_service
 	msg := "service-pipeline: немає job `plan` з кроком `bunx n-rules ci plan --path <svc> --azure` (azure-pipelines.mdc: сервіс-канон)"
@@ -134,7 +150,7 @@ deny contains msg if {
 	some r in plan_runs
 	m := regex.find_all_string_submatch_n(`n-rules ci plan\s+--path\s+(\S+)`, r, 1)
 	count(m) > 0
-	not m[0][1] in service_paths
+	not path_covers_service(m[0][1])
 	msg := sprintf("service-pipeline: `ci plan --path %s` ∉ trigger.paths.include — план рахується не для того каталогу (azure-pipelines.mdc)", [m[0][1]])
 }
 
@@ -166,7 +182,7 @@ deny contains msg if {
 deny contains msg if {
 	is_service_pipeline
 	some cmd in lint_cmds
-	not cmd.path in service_paths
+	not path_covers_service(cmd.path)
 	msg := sprintf("%s: `lint %s --path %s` ∉ trigger.paths.include — лінтиться інший каталог (azure-pipelines.mdc)", [cmd.job, cmd.domain, cmd.path])
 }
 
@@ -241,7 +257,14 @@ depends_of(job) := [n] if {
 
 depends_of(job) := object.get(job, "dependsOn", []) if is_array(object.get(job, "dependsOn", []))
 
-# Команда кроку: `script:` або `bash:`.
+# Каталог `--path` покривається trigger.paths.include: точний збіг або glob із
+# суфіксом (`run/nexus/**` покриває `run/nexus`).
+path_covers_service(p) if {
+	some sp in service_paths
+	startswith(sp, p)
+}
+
+# Команда кроку: `script:`, `bash:` або task-форма (`task: Bash@3` → `inputs.script`).
 step_cmd(step) := s if {
 	s := object.get(step, "script", "")
 	s != ""
@@ -253,9 +276,17 @@ step_cmd(step) := s if {
 	s != ""
 }
 
+step_cmd(step) := s if {
+	object.get(step, "script", "") == ""
+	object.get(step, "bash", "") == ""
+	s := object.get(object.get(step, "inputs", {}), "script", "")
+	s != ""
+}
+
 step_cmd(step) := "" if {
 	object.get(step, "script", "") == ""
 	object.get(step, "bash", "") == ""
+	object.get(object.get(step, "inputs", {}), "script", "") == ""
 }
 
 job_cmds(job) := [c |