@7n/rules-ci-azure 1.4.0 → 1.4.2

package/CHANGELOG.md

@@ -1,5 +1,17 @@
 # Changelog
 
+## [1.4.2] - 2026-07-18
+
+### Changed
+
+- fix-service_deploy_pipeline: `parseNRulesCmd`/`relevantDomains` перенесено в спільний `@7n/rules/scripts/lib/lint-surface/ci-plan.mjs` (jscpd-дублікат із ci-github), без зміни поведінки
+
+## [1.4.1] - 2026-07-18
+
+### Fixed
+
+- service_deploy_pipeline під реальну efes-форму: template-параметр покриває сервіс за префіксом glob-а (`run/nexus/**` ↔ modulePath `run/nexus`, було — хибний deny на всіх extends-пайплайнах); plan-гейт вимагається лише за наявності lint-джоб (утилітарні service-scoped pipelines типу gen:schema — поза каноном); команди читаються і з кроків `task: Bash@3` (`inputs.script`) — у rego і в автомігратора
+
 ## [1.4.0] - 2026-07-18
 
 ### Added

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@7n/rules-ci-azure",
-  "version": "1.4.0",
+  "version": "1.4.2",
   "description": "Плагін @7n/rules: канон Azure Pipelines (azure-pipelines.yml) — структура, lint-степ, VS Code",
   "keywords": [
     "azure-pipelines",

package/rules/azure-pipelines/service_deploy_pipeline/docs/fix-service_deploy_pipeline.md

@@ -3,9 +3,8 @@ type: JS Module
 title: fix-service_deploy_pipeline.mjs
 resource: plugins/ci-azure/rules/azure-pipelines/service_deploy_pipeline/fix-service_deploy_pipeline.mjs
 docgen:
-  crc: 7841b82d
+  crc: 0080ec86
   model: openai-codex/gpt-5.4-mini
-  tier: cloud-min
   score: 100
   issues: judge:inaccurate:0.99
   judgeModel: openai-codex/gpt-5.4-mini

package/rules/azure-pipelines/service_deploy_pipeline/fix-service_deploy_pipeline.mjs

@@ -23,16 +23,14 @@
  * Template-розкладка (`- template:`) не мігрується — фіксеру не видно
  * розгорнутих джоб.
  */
-import { readFileSync, writeFileSync, existsSync, statSync } from 'node:fs'
-import { join, resolve } from 'node:path'
+import { readFileSync, writeFileSync, existsSync } from 'node:fs'
+import { join } from 'node:path'
 
 import { parseDocument } from 'yaml'
 
-import { loadEnabledLintRules, computeActiveDomains } from '@7n/rules/scripts/lib/lint-surface/run-detectors.mjs'
-import { collectPathScopedFiles } from '@7n/rules/scripts/lib/lint-surface/path-scope.mjs'
-import { domainKey } from '@7n/rules/scripts/lib/lint-surface/ci-plan.mjs'
+import { domainKey, parseNRulesCmd, relevantDomains } from '@7n/rules/scripts/lib/lint-surface/ci-plan.mjs'
 
-const WS_RE = /\s+/u
+const GLOB_SUFFIX_RE = /\/\*+$/u
 
 /** Канонічні prep-кроки, якщо в pipeline немає власного зразка. */
 const CANONICAL_PREP = [
@@ -45,7 +43,8 @@ const CANONICAL_PREP = [
 ]
 
 /**
- * Текст команди кроку (`script:` або `bash:`), '' якщо крок не командний.
+ * Текст команди кроку (`script:`, `bash:` або task-форма `inputs.script`),
+ * '' якщо крок не командний.
  * @param {unknown} step крок джоби (plain JS)
  * @returns {string} команда або ''
  */
@@ -54,35 +53,27 @@ function stepCmd(step) {
   const s = /** @type {Record<string, unknown>} */ (step)
   if (typeof s.script === 'string') return s.script
   if (typeof s.bash === 'string') return s.bash
+  const inputs = s.inputs
+  if (
+    inputs &&
+    typeof inputs === 'object' &&
+    typeof (/** @type {Record<string, unknown>} */ (inputs).script) === 'string'
+  ) {
+    return /** @type {string} */ (/** @type {Record<string, unknown>} */ (inputs).script)
+  }
   return ''
 }
 
 /**
- * Розбирає команду `n-rules lint …`/`n-rules ci plan …` токенами (без regex —
- * стійко до багаторядкових script-ів і без бектрекінгу).
- * @param {string} cmd повний текст команди кроку
- * @param {string} marker підрядок-початок (`n-rules lint` | `n-rules ci plan`)
- * @returns {{ domain: string|null, path: string|null }|null} розбір або null, якщо маркера немає
+ * Шлях-суфікс до тексту команди всередині кроку (для `setIn`): `['script']`,
+ * `['bash']` або `['inputs', 'script']` (task-форма).
+ * @param {Record<string, unknown>} step крок джоби (plain JS)
+ * @returns {string[]} суфікс шляху
  */
-function parseNRulesCmd(cmd, marker) {
-  const at = cmd.indexOf(marker)
-  if (at === -1) return null
-  const tokens = cmd
-    .slice(at + marker.length)
-    .split(WS_RE)
-    .filter(Boolean)
-  let domain = null
-  let path = null
-  for (let i = 0; i < tokens.length; i++) {
-    const t = tokens[i]
-    if (t === '--path') {
-      path = tokens[i + 1] ?? null
-      i++
-      continue
-    }
-    if (!t.startsWith('-') && domain === null && path === null) domain = t
-  }
-  return { domain, path }
+function stepCmdPath(step) {
+  if (typeof step.script === 'string') return ['script']
+  if (typeof step.bash === 'string') return ['bash']
+  return ['inputs', 'script']
 }
 
 /**
@@ -169,27 +160,6 @@ function buildLintJob(domain, servicePath, prep) {
   }
 }
 
-/**
- * Релевантні домени сервісу: enabled-правила, чиї per-file glob-и матчать
- * бодай один файл піддерева (та сама таблиця, що `ci plan` по не-дельті).
- * @param {string} cwd корінь consumer-репо
- * @param {string} servicePath каталог сервісу
- * @returns {Promise<string[]>} відсортовані rule-id
- */
-async function relevantDomains(cwd, servicePath) {
-  const abs = resolve(cwd, servicePath)
-  if (!existsSync(abs) || !statSync(abs).isDirectory()) return []
-  const files = await collectPathScopedFiles(cwd, servicePath)
-  const { byRule, enabledSet } = await loadEnabledLintRules({ cwd })
-  const active = computeActiveDomains(byRule, enabledSet, files)
-  return active
-    .entries()
-    .filter(([, st]) => st.triggered)
-    .map(([id]) => id)
-    .toArray()
-    .toSorted((a, b) => a.localeCompare(b))
-}
-
 /**
  * Розбір lint-команди джоби: `{ legacy, domain, path, stepIndex }` або null.
  * @param {Array<Record<string, unknown>>} steps кроки джоби (plain JS)
@@ -272,8 +242,7 @@ function patchDomainLintJob(doc, base, j, found) {
   }
   const cmd = stepCmd(steps[found.stepIndex])
   if (!cmd.includes('--no-fix')) {
-    const key = typeof steps[found.stepIndex].script === 'string' ? 'script' : 'bash'
-    doc.setIn([...base, 'steps', found.stepIndex, key], `${cmd.trimEnd()} --no-fix`)
+    doc.setIn([...base, 'steps', found.stepIndex, ...stepCmdPath(steps[found.stepIndex])], `${cmd.trimEnd()} --no-fix`)
     changed = true
   }
   const checkoutIdx = steps.findIndex(s => s && typeof s === 'object' && 'checkout' in s)
@@ -385,11 +354,16 @@ function analyzePipeline(doc) {
       .map(x => ({ seq: x.seq, job: x.job, path: x.found.path }))
   )
 
-  // Сервісний каталог: із plan-джоби → з легасі lint-джоби → перший paths.include.
+  // Сервісний каталог: із plan-джоби → з легасі lint-джоби → перший paths.include
+  // (glob-суфікс /**, /* зрізається: `run/nexus/**` → `run/nexus`).
   const planPath = (Array.isArray(planJob?.steps) ? planJob.steps : [])
     .map(s => parseNRulesCmd(stepCmd(s), 'n-rules ci plan')?.path)
     .find(Boolean)
-  const servicePath = planPath ?? legacy[0]?.path ?? servicePaths.find(p => typeof p === 'string')
+  const firstTriggerPath = servicePaths
+    .filter(p => typeof p === 'string')
+    .map(p => p.replace(GLOB_SUFFIX_RE, ''))
+    .find(p => p !== '' && !p.includes('*'))
+  const servicePath = planPath ?? legacy[0]?.path ?? firstTriggerPath
   if (typeof servicePath !== 'string') return null
 
   return { seqs, allJobs, planJob, legacy, servicePath }

package/rules/azure-pipelines/service_deploy_pipeline/service_deploy_pipeline.rego

@@ -45,10 +45,14 @@ template_refs contains t if {
 	is_string(object.get(t, "template", 0))
 }
 
+# Параметр-каталог покриває сервіс: точний збіг АБО glob paths.include
+# починається з нього (`run/nexus/**` ↔ modulePath `run/nexus`).
 template_covers_service if {
 	some t in template_refs
 	some v in object.get(t, "parameters", {})
-	v in service_paths
+	is_string(v)
+	some p in service_paths
+	startswith(p, v)
 }
 
 plan_jobs contains j if {
@@ -74,6 +78,17 @@ lint_cmds contains cmd if {
 
 check_jobs contains cmd.job if some cmd in lint_cmds
 
+# Чи є в pipeline lint-гейт узагалі (domain-style або легасі `lint --path` без
+# домену) — утилітарні service-scoped pipelines (gen:schema тощо) без lint-джоб
+# каноном plan-гейта не зобовʼязані.
+has_lint_jobs if count(lint_cmds) > 0
+
+has_lint_jobs if {
+	some j in all_jobs
+	some r in job_cmds(j)
+	regex.match(`n-rules lint\s+--path\s`, r)
+}
+
 # Граф dependsOn і транзитивна досяжність (ланцюг deploy → build → перевірки).
 needs_graph[name] := depends_of(j) if {
 	some j in all_jobs
@@ -102,6 +117,7 @@ job_by_name[name] := j if {
 deny contains msg if {
 	is_service_pipeline
 	count(all_jobs) > 0
+	has_lint_jobs
 	count(plan_jobs) == 0
 	not template_covers_service
 	msg := "service-pipeline: немає job `plan` з кроком `bunx n-rules ci plan --path <svc> --azure` (azure-pipelines.mdc: сервіс-канон)"
@@ -134,7 +150,7 @@ deny contains msg if {
 	some r in plan_runs
 	m := regex.find_all_string_submatch_n(`n-rules ci plan\s+--path\s+(\S+)`, r, 1)
 	count(m) > 0
-	not m[0][1] in service_paths
+	not path_covers_service(m[0][1])
 	msg := sprintf("service-pipeline: `ci plan --path %s` ∉ trigger.paths.include — план рахується не для того каталогу (azure-pipelines.mdc)", [m[0][1]])
 }
 
@@ -166,7 +182,7 @@ deny contains msg if {
 deny contains msg if {
 	is_service_pipeline
 	some cmd in lint_cmds
-	not cmd.path in service_paths
+	not path_covers_service(cmd.path)
 	msg := sprintf("%s: `lint %s --path %s` ∉ trigger.paths.include — лінтиться інший каталог (azure-pipelines.mdc)", [cmd.job, cmd.domain, cmd.path])
 }
 
@@ -241,7 +257,14 @@ depends_of(job) := [n] if {
 
 depends_of(job) := object.get(job, "dependsOn", []) if is_array(object.get(job, "dependsOn", []))
 
-# Команда кроку: `script:` або `bash:`.
+# Каталог `--path` покривається trigger.paths.include: точний збіг або glob із
+# суфіксом (`run/nexus/**` покриває `run/nexus`).
+path_covers_service(p) if {
+	some sp in service_paths
+	startswith(sp, p)
+}
+
+# Команда кроку: `script:`, `bash:` або task-форма (`task: Bash@3` → `inputs.script`).
 step_cmd(step) := s if {
 	s := object.get(step, "script", "")
 	s != ""
@@ -253,9 +276,17 @@ step_cmd(step) := s if {
 	s != ""
 }
 
+step_cmd(step) := s if {
+	object.get(step, "script", "") == ""
+	object.get(step, "bash", "") == ""
+	s := object.get(object.get(step, "inputs", {}), "script", "")
+	s != ""
+}
+
 step_cmd(step) := "" if {
 	object.get(step, "script", "") == ""
 	object.get(step, "bash", "") == ""
+	object.get(object.get(step, "inputs", {}), "script", "") == ""
 }
 
 job_cmds(job) := [c |