@7n/rules-ci-azure 1.4.8 → 2.0.0

package/CHANGELOG.md

@@ -1,5 +1,26 @@
 # Changelog
 
+## [2.0.0] - 2026-07-27
+
+### Added
+
+- Generic ci.artifact@1 consumer: contains-step перевірка lint-кроку Azure Pipelines на будь-якій глибині, diagnostic-only
+
+### Changed
+
+- Маніфест плагіна переведено на universal slot bus (`requiresPluginApi: 2`, `slots.provides` з `rules.directory@1` замість `contributes.rules`) — spec 2026-07-27-universal-plugin-slots-lang-php-extraction, Фаза 2.
+
+### Fixed
+
+- Concern `ci_artifact/consume` перейменовано на `ci_artifact/consume_azure` — колізія імені з
+однойменним `consume`-концерном `@7n/rules-ci-github` глушила Azure-перевірку (перший власник
+виграє за іменем концерну), коли обидва CI-плагіни активні в одному consumer-репо
+(spec 2026-07-27-universal-plugin-slots-lang-php-extraction, Фаза 5 parity battery)
+
+### Removed
+
+- PHP-specific mixin-концерн `rules/php/lint_pipeline_php/**` видалено (Фаза 4 spec universal-plugin-slots-lang-php-extraction) — Azure lint-степ `php` тепер обслуговує generic `ci.artifact@1` consumer (contains-step, diagnostic-only) через contribution `@7n/rules-lang-php`
+
 ## [1.4.8] - 2026-07-24
 
 ### Changed

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@7n/rules-ci-azure",
-  "version": "1.4.8",
+  "version": "2.0.0",
   "description": "Плагін @7n/rules: канон Azure Pipelines (azure-pipelines.yml) — структура, lint-степ, VS Code",
   "keywords": [
     "azure-pipelines",
@@ -22,17 +22,24 @@
   "type": "module",
   "files": [
     "rules",
+    "slots",
     "CHANGELOG.md",
     "!**/*.test.mjs",
     "!**/*_test.rego",
     "!**/fixtures/**"
   ],
   "n-rules": {
+    "requiresPluginApi": 2,
     "capabilities": [
       "ci:azure"
     ],
-    "contributes": {
-      "rules": true
+    "slots": {
+      "provides": [
+        { "slot": "rules.directory", "version": 1, "id": "azure-rules", "resource": "./rules" }
+      ],
+      "consumes": [
+        { "slot": "ci.artifact", "versions": [1], "handler": "./slots/ci-artifact-consumer.mjs" }
+      ]
     }
   },
   "peerDependencies": {

package/rules/ci_artifact/consume_azure/collect-artifacts.mjs

@@ -0,0 +1,23 @@
+/**
+ * Тонка обгортка над `collectCiArtifactContributions`
+ * (`@7n/rules/scripts/lib/ci-artifact-collect.mjs`) з capability цього consumer-а (spec
+ * `2026-07-27-universal-plugin-slots-lang-php-extraction`, §7.3, Фаза 3). Спільна логіка
+ * (collect + collision-детекція) живе в `@7n/rules`'s `ci-artifact-collect.mjs` — той самий
+ * контракт, що й `@7n/rules-ci-github`, розрізняючись лише capability-фільтром.
+ */
+import { collectCiArtifactContributions } from '@7n/rules/scripts/lib/ci-artifact-collect.mjs'
+
+/** Capability, для якої релевантні contributions цього consumer-а. */
+const TARGET_CAPABILITY = 'ci:azure'
+
+/**
+ * @typedef {import('@7n/rules/scripts/lib/slot-contracts-ci.mjs').CiArtifactCandidate} ArtifactCandidate
+ */
+
+/**
+ * @param {string} cwd абсолютний корінь consumer-репо
+ * @returns {ReturnType<typeof collectCiArtifactContributions>} результат {@link collectCiArtifactContributions} для `ci:azure`
+ */
+export function collectArtifacts(cwd) {
+  return collectCiArtifactContributions(cwd, TARGET_CAPABILITY)
+}

package/rules/ci_artifact/consume_azure/concern.json

@@ -0,0 +1,5 @@
+{
+  "$schema": "https://unpkg.com/@7n/rules/schemas/concern.json",
+  "fixability": "config",
+  "lint": { "scope": "full" }
+}

package/rules/ci_artifact/consume_azure/consume_azure.mdc

@@ -0,0 +1,21 @@
+## Generic `ci.artifact@1` consumer (Azure Pipelines)
+
+Правило перевіряє CI-артефакти, які постачають language-плагіни (напр. майбутній
+`@7n/rules-lang-php`) через universal typed slot `ci.artifact@1` (mixin `@7n/rules-ci-azure`) —
+без жодного PHP чи іншого мовного literal у цьому пакеті.
+
+### Поведінка
+
+`mergeStrategy: "contains-step"`: серед `script`-кроків `azure-pipelines.yml` на БУДЬ-ЯКІЙ
+глибині (`steps`/`jobs`/`stages` вкладені довільно) має бути запуск canonical-команди
+(`n-rules <cmd>` або `@7n/rules <cmd>`, `<cmd>` — з `template` contribution-у) АБО загальний
+`n-rules lint --no-fix --full` / `@7n/rules lint --no-fix --full` (повний прогін покриває всі
+домени — окремий крок не потрібен). Обов'язковий read-only marker `--no-fix` десь у тому самому
+script-блобі.
+
+`mode: "patch-existing"` — `azure-pipelines.yml` належить окремому, самостійному концерну
+(структура pipeline-файлу); його відсутність — НЕ порушення цього generic-у, перевірка мовчки
+пропускається.
+
+v1 — diagnostic-only: payload `fix` завжди `false` (жоден consumer не приймає
+`fix: true`-descriptor для `mergeStrategy: "contains-step"`), T0-фіксу немає — лише violation.

package/rules/ci_artifact/consume_azure/docs/collect-artifacts.md

@@ -0,0 +1,22 @@
+---
+type: JS Module
+title: collect-artifacts.mjs
+resource: plugins/ci-azure/rules/ci_artifact/consume_azure/collect-artifacts.mjs
+docgen:
+  crc: 74241d83
+---
+
+Тонка обгортка над `collectCiArtifactContributions` (`@7n/rules/scripts/lib/ci-artifact-collect.mjs`) з capability цього consumer-а (spec `2026-07-27-universal-plugin-slots-lang-php-extraction`, §7.3). Спільна логіка (collect + collision-детекція) живе в `@7n/rules`'s `ci-artifact-collect.mjs` — той самий контракт, що й `@7n/rules-ci-github`, розрізняючись лише capability-фільтром.
+
+## Поведінка
+
+`collectArtifacts(cwd)` викликає `collectCiArtifactContributions(cwd, 'ci:azure')`.
+
+## Публічний API
+
+`collectArtifacts` — повертає `{ relevant, collisions, errors }` для `ci:azure`.
+
+## Гарантії поведінки
+
+* **Один consumer — одна capability**: `TARGET_CAPABILITY = 'ci:azure'` — фіксоване значення.
+* **Той самий контракт, що й GitHub-consumer**: обидва просто передають різну capability у спільний `collectCiArtifactContributions`.

package/rules/ci_artifact/consume_azure/docs/index.md

@@ -0,0 +1,10 @@
+---
+type: Directory Index
+title: plugins/ci-azure/rules/ci_artifact/consume_azure
+resource: plugins/ci-azure/rules/ci_artifact/consume_azure/
+---
+
+| Файл                                          | Тип       |
+| --------------------------------------------- | --------- |
+| [collect-artifacts.mjs](collect-artifacts.md) | JS Module |
+| [main.mjs](main.md)                           | JS Module |

package/rules/ci_artifact/consume_azure/docs/main.md

@@ -0,0 +1,39 @@
+---
+type: JS Module
+title: main.mjs
+resource: plugins/ci-azure/rules/ci_artifact/consume_azure/main.mjs
+docgen:
+  crc: 8cefa299
+  model: openai-codex/gpt-5.4-mini
+  tier: cloud-min
+  score: 100
+  issues: judge-refine:kept-original,judge:inaccurate:0.98
+  judgeModel: openai-codex/gpt-5.4-mini
+---
+
+## Огляд
+
+Для активного `ci:azure` у `package.json` знаходить придатний до виконання опис артефактів і одразу показує проблеми колекції, якщо вони є. Далі для кожного артефакта з цього опису звіряє вміст цільового файлу з вимогами перевірки та у `lint` повідомляє лише про фактичні невідповідності.
+
+## Поведінка
+
+1. Перевіряє, чи для активного `ci:azure` у `package.json` є придатний до виконання опис артефактів, і одразу фіксує проблеми колекції, якщо вони є.
+2. Для кожного релевантного артефакта звіряє очікувану поведінку з поточним вмістом цільового файлу та позначає лише реальні невідповідності.
+3. Якщо для внеску неможливо відновити канонічну команду, повідомляє про шаблонну помилку на цільовому файлі й не продовжує перевірку цього випадку.
+4. Якщо перевірка не застосовується до поточного файлу, мовчки пропускає його; це свідомо покриває ситуацію, коли потрібний pipeline-файл лежить в іншому concern і його відсутність не є порушенням тут.
+5. Повертає підсумок перевірки через `lint` без змін у файловій системі чи базі даних.
+
+## Публічний API
+
+- lint — Detector generic-consumer-а слоту `ci.artifact@1` для `ci:azure` (spec §7.3, Фаза 3):
+перевіряє наявність канонічного lint-кроку (АБО загального full-lint fallback-у) на будь-якій
+глибині `azure-pipelines.yml` — без жодного PHP/lang-specific literal тут (v1 diagnostic-only,
+`fix: false` — немає T0-фіксу, лише порушення).
+
+## Сценарії використання
+
+- `plugins/ci-azure/rules/ci_artifact/consume_azure/tests/consume.test.mjs` (ci-azure ci.artifact consumer) — patch-existing: pipeline відсутній → 0 violations (окремий концерн azure-pipelines); contains-step: canonical крок відсутній на будь-якій глибині → violation; contains-step: canonical крок на глибині stages→jobs→steps знаходиться; contains-step: canonical крок на голому jobs→steps (без stages) знаходиться; приймає загальний full-lint fallback замість domain-команди; ще 4
+
+## Гарантії поведінки
+
+- Власних операцій запису (ФС/БД) у файлі немає; виклики імпортованих модулів можуть писати.

package/rules/ci_artifact/consume_azure/main.mjs

@@ -0,0 +1,68 @@
+/** @see ./docs/main.md */
+import { reportCiArtifactCollectionDiagnostics } from '@7n/rules/scripts/lib/ci-artifact-collect.mjs'
+import { createViolationReporter } from '@7n/rules/scripts/lib/lint-surface/violation-reporter.mjs'
+
+// `slots/` — публікується разом з пакетом (spec §7.3); `package.json#files` цього плагіна
+// доповнить оркестратор інтеграції (Фаза 3 явно НЕ чіпає plugin manifests, spec-задача).
+import { diagnoseArtifact, loadCanonicalCommand } from '../../../slots/ci-artifact-consumer.mjs'
+import { collectArtifacts } from './collect-artifacts.mjs'
+
+/**
+ * Діагностує ОДИН artifact (`mergeStrategy: "contains-step"`) проти поточного стану
+ * `targetPath`. Винесено з {@link lint} — та сама причина.
+ * @param {ReturnType<typeof createViolationReporter>} reporter репортер порушень
+ * @param {{ cwd: string }} ctx контекст лінту (лише `cwd` тут потрібен)
+ * @param {import('./collect-artifacts.mjs').ArtifactCandidate} candidate одна валідна (без колізій) contribution
+ * @returns {Promise<void>}
+ */
+async function reportArtifact(reporter, ctx, { contribution, descriptor }) {
+  const commandResult = await loadCanonicalCommand(contribution, descriptor)
+  if (!commandResult.ok) {
+    reporter.fail(`ci.artifact "${descriptor.artifactId}" (${contribution.pluginName}): ${commandResult.reason}`, {
+      reason: 'template-error',
+      file: descriptor.targetPath
+    })
+    return
+  }
+
+  const diag = await diagnoseArtifact({
+    cwd: ctx.cwd,
+    targetPath: descriptor.targetPath,
+    command: commandResult.command
+  })
+  // patch-existing: pipeline-файл належить ІНШОМУ, окремому концерну (azure-pipelines) — його
+  // відсутність не порушення ЦЬОГО concern-а, generic consumer мовчки пропускає (spec §7.1).
+  if (!diag.applicable) return
+
+  for (const v of diag.violations) {
+    reporter.fail(
+      `${descriptor.targetPath}: ${v} (contribution "${descriptor.artifactId}" від ${contribution.pluginName})`,
+      {
+        reason: 'artifact-mismatch',
+        file: descriptor.targetPath,
+        data: {
+          kind: 'artifact-mismatch',
+          artifactId: descriptor.artifactId,
+          contributorPlugin: contribution.pluginName,
+          contributionId: contribution.id
+        }
+      }
+    )
+  }
+}
+
+/**
+ * Detector generic-consumer-а слоту `ci.artifact@1` для `ci:azure` (spec §7.3, Фаза 3):
+ * перевіряє наявність канонічного lint-кроку (АБО загального full-lint fallback-у) на будь-якій
+ * глибині `azure-pipelines.yml` — без жодного PHP/lang-specific literal тут (v1 diagnostic-only,
+ * `fix: false` — немає T0-фіксу, лише порушення).
+ * @param {import('@7n/rules/scripts/lib/lint-surface/types.mjs').LintContext} ctx контекст лінту
+ * @returns {Promise<import('@7n/rules/scripts/lib/lint-surface/types.mjs').LintResult>} результат перевірки
+ */
+export async function lint(ctx) {
+  const reporter = createViolationReporter(ctx)
+  const collected = await collectArtifacts(ctx.cwd)
+  reportCiArtifactCollectionDiagnostics(reporter, collected)
+  for (const candidate of collected.relevant) await reportArtifact(reporter, ctx, candidate)
+  return reporter.result()
+}

package/rules/ci_artifact/main.json

@@ -0,0 +1 @@
+{ "auto": "завжди" }

package/rules/ci_artifact/main.mdc

@@ -0,0 +1,16 @@
+---
+description: Generic-споживач ci.artifact@1 — CI-артефакти, які декларують активні мовні плагіни (required-file/patch-existing), матеріалізуються й перевіряються CI-плагіном провайдера
+version: '1.0'
+alwaysApply: false
+---
+
+Правило `ci_artifact` — generic-споживач slot-у `ci.artifact@1` (spec
+`2026-07-27-universal-plugin-slots-lang-php-extraction`). Мовні плагіни (напр.
+`@7n/rules-lang-php`) декларують CI-артефакти декларативно — descriptor + template; це правило
+матеріалізує їх для свого CI-провайдера: перевіряє наявність/канонічність цільових файлів
+(`required-file`), домерджує provider-specific патчі до чинних generic-артефактів
+(`patch-existing`) і, де дозволено descriptor-ом (`fix: true`), виконує детермінований T0-фікс.
+
+Правило активне завжди при встановленому CI-плагіні: без активних contributions воно — тихий
+no-op (zero-touch), тому мовний плагін не потребує CI-плагіна і навпаки. Колізія `artifactId`
+між двома плагінами — помилка з provenance обох сторін, без тихого перезапису.

package/slots/ci-artifact-consumer.mjs

@@ -0,0 +1,127 @@
+/**
+ * Generic consumer слоту `ci.artifact@1` для `@7n/rules-ci-azure` (spec
+ * `2026-07-27-universal-plugin-slots-lang-php-extraction`, §7.3, Фаза 3).
+ *
+ * `mergeStrategy: "contains-step"` — Azure Pipelines YAML — на відміну від GitHub-adapter-а
+ * (structural deep merge) тут перевіряється лише НАЯВНІСТЬ канонічного lint-кроку десь у дереві
+ * (`steps`/`jobs`/`stages` на будь-якій глибині — топологія Azure pipeline вкладена довільно:
+ * `stages[].jobs[].steps[]`, `jobs[].steps[]`, голий `steps[]`). Канонічна команда (з
+ * `template`) АБО загальний full-lint (`n-rules lint --no-fix --full` /
+ * `@7n/rules lint --no-fix --full`, provider-level policy — той самий fallback, що вже є у
+ * чинному `lint_pipeline_php.rego`) — обидва варіанти покривають concern; обов'язковий
+ * read-only marker `--no-fix` десь у тому самому script-блобі.
+ *
+ * `template` — YAML з одним полем `script` (canonical command WITHOUT `--no-fix`, напр.
+ * `n-rules lint php`); provider сам конструює `n-rules <cmd>`/`@7n/rules <cmd>` варіанти —
+ * бінарний prefix є provider-know-how, не частиною descriptor-а (spec §2 рішення Б: лише
+ * consumer-adapter матеріалізує contribution).
+ *
+ * v1 — DIAGNOSTIC-ONLY: `fix: false` у payload (spec §7.3, "у v1 зберігає чинну поведінку
+ * fix: false") — модуль НЕ експортує T0 apply-функцію; consumer лише детектує.
+ *
+ * Default export сумісний з `loadSlotConsumer` (spec §3.3): стабільний `id` + `validate(payload)`.
+ */
+import { existsSync, readFileSync } from 'node:fs'
+import { join } from 'node:path'
+
+import { resolveArtifactTemplatePath, validateCiArtifactPayload } from '@7n/rules/plugin-api'
+
+/** Provider-level fallback: загальний full-lint покриває будь-який домен (спека §7.3, як у lint_pipeline_php.rego). */
+const FULL_LINT_MARKERS = ['n-rules lint --no-fix --full', '@7n/rules lint --no-fix --full']
+const NO_FIX_MARKER = '--no-fix'
+
+/**
+ * Збирає всі `script:`-текстові поля Azure pipeline на будь-якій глибині (`steps`/`jobs`/`stages`
+ * вкладені довільно — обходимо ВЕСЬ document tree, а не лише відомі ключі, той самий підхід, що
+ * `lint_pipeline_php.rego`'s `walk(input, [_, node])`).
+ * @param {unknown} node поточний вузол дерева
+ * @param {string[]} out акумулятор script-текстів (мутується)
+ * @returns {void}
+ */
+function collectScripts(node, out) {
+  if (Array.isArray(node)) {
+    for (const el of node) collectScripts(el, out)
+    return
+  }
+  if (node === null || typeof node !== 'object') return
+  if (typeof node.script === 'string') out.push(node.script)
+  for (const v of Object.values(node)) collectScripts(v, out)
+}
+
+/**
+ * Провайдер-варіанти canonical-команди (`n-rules <cmd>` / `@7n/rules <cmd>`) — ім'я бінарника
+ * лишається provider-know-how, не частиною descriptor-а.
+ * @param {string} command суфікс команди з template (`script`-поле, без `--no-fix`)
+ * @returns {string[]} варіанти маркера
+ */
+function commandVariants(command) {
+  return [`n-rules ${command}`, `@7n/rules ${command}`]
+}
+
+/**
+ * Читає й парсить canonical template (YAML `{ script: "<domain command>" }`) contribution-у за
+ * безпечним шляхом.
+ * @param {{ packageRoot: string, resourcePath: string | null }} contribution provenance
+ * @param {import('@7n/rules/plugin-api').CiArtifactDescriptor} descriptor валідований payload
+ * @returns {Promise<{ ok: true, command: string } | { ok: false, reason: string }>} результат
+ */
+export async function loadCanonicalCommand(contribution, descriptor) {
+  const resolved = resolveArtifactTemplatePath(contribution, descriptor)
+  if (!resolved.ok) return { ok: false, reason: resolved.reason }
+  if (!resolved.exists) return { ok: false, reason: `template не знайдено (${resolved.absPath})` }
+  const { parse } = await import('yaml')
+  const parsed = parse(readFileSync(resolved.absPath, 'utf8'))
+  if (!parsed || typeof parsed.script !== 'string' || parsed.script === '') {
+    return { ok: false, reason: `template "${resolved.absPath}" має мати непорожнє поле "script"` }
+  }
+  return { ok: true, command: parsed.script }
+}
+
+/**
+ * Діагностує один `ci.artifact@1` artifact (mergeStrategy `contains-step`) проти поточного
+ * стану `targetPath` (`patch-existing`-семантика: файл, якого немає, — no-op, spec §7.1 —
+ * pipeline-файл належить іншому, окремому концерну azure-pipelines, не цьому generic-у).
+ * @param {{ cwd: string, targetPath: string, command: string }} args вхід
+ * @returns {{ applicable: boolean, violations: string[] }} `applicable: false` — файл відсутній, generic concern мовчки пропускає
+ */
+export async function diagnoseArtifact({ cwd, targetPath, command }) {
+  const absTarget = join(cwd, targetPath)
+  if (!existsSync(absTarget)) return { applicable: false, violations: [] }
+  const { parse } = await import('yaml')
+  let doc
+  try {
+    doc = parse(readFileSync(absTarget, 'utf8'))
+  } catch {
+    return { applicable: true, violations: [`${targetPath}: не парситься як YAML`] }
+  }
+  const scripts = []
+  collectScripts(doc, scripts)
+  const blob = scripts.join('\n')
+
+  const domainMarkers = commandVariants(command)
+  const hasLintStep = [...domainMarkers, ...FULL_LINT_MARKERS].some(m => blob.includes(m))
+  if (!hasLintStep) {
+    return {
+      applicable: true,
+      violations: [`${targetPath}: має бути script-крок з "${command}" або full-lint (--no-fix --full)`]
+    }
+  }
+  if (!blob.includes(NO_FIX_MARKER)) {
+    return { applicable: true, violations: [`${targetPath}: lint-крок має запускатись з "${NO_FIX_MARKER}"`] }
+  }
+  return { applicable: true, violations: [] }
+}
+
+/** `loadSlotConsumer`-сумісний default export (spec §3.3): стабільний `id` + `validate(payload)`. */
+export default {
+  id: 'ci-azure-artifact',
+  /**
+   * @param {unknown} payload сирий (розпарсений) `ci.artifact@1` payload
+   * @returns {boolean} true — валідний payload; v1 додатково вимагає `mergeStrategy: "contains-step"` та `fix: false` (diagnostic-only, spec §7.3)
+   */
+  validate(payload) {
+    const result = validateCiArtifactPayload(payload)
+    if (!result.ok) return false
+    return result.descriptor.mergeStrategy === 'contains-step' && result.descriptor.fix === false
+  }
+}

package/slots/docs/ci-artifact-consumer.md

@@ -0,0 +1,32 @@
+---
+type: JS Module
+title: ci-artifact-consumer.mjs
+resource: plugins/ci-azure/slots/ci-artifact-consumer.mjs
+docgen:
+  crc: 68401129
+---
+
+Generic consumer слоту `ci.artifact@1` для `@7n/rules-ci-azure` (spec `2026-07-27-universal-plugin-slots-lang-php-extraction`, §7.3). Перевіряє Azure Pipelines lint-кроки будь-якого language-плагіна — без жодного PHP чи іншого мовного literal у цьому пакеті.
+
+## Поведінка
+
+`mergeStrategy: "contains-step"` — на відміну від GitHub-adapter-а (structural deep merge) тут перевіряється лише наявність канонічного lint-кроку десь у дереві (`steps`/`jobs`/`stages` на будь-якій глибині — топологія Azure pipeline вкладена довільно: `stages[].jobs[].steps[]`, `jobs[].steps[]`, голий `steps[]`). Канонічна команда (з `template`) АБО загальний full-lint (`n-rules lint --no-fix --full` / `@7n/rules lint --no-fix --full`, той самий provider-level fallback, що вже є у чинному `lint_pipeline_php.rego`) — обидва варіанти покривають concern; обов'язковий read-only marker `--no-fix` десь у тому самому script-блобі.
+
+`template` — YAML з одним полем `script` (canonical command БЕЗ `--no-fix`, напр. `n-rules lint php`); provider сам конструює `n-rules <cmd>`/`@7n/rules <cmd>` варіанти — бінарний префікс лишається provider-know-how, не частиною descriptor-а.
+
+1. **`loadCanonicalCommand(contribution, descriptor)`** резолвить безпечний шлях `template`, читає й парсить `{ script }`.
+2. **`diagnoseArtifact({ cwd, targetPath, command })`** обходить весь document tree (`collectScripts`), збирає всі `script`-поля в один текстовий рядок і перевіряє наявність canonical/fallback маркера та `--no-fix`. Файл відсутній → `{ applicable: false, violations: [] }` (`patch-existing`-семантика: pipeline-файл належить окремому концерну, spec §7.1).
+
+v1 — diagnostic-only: модуль не експортує T0 apply-функцію (`fix: false` у payload).
+
+## Публічний API
+
+`loadCanonicalCommand` — читає й парсить canonical-команду з template одного artifact-у.
+`diagnoseArtifact` — діагностує наявність canonical/fallback lint-кроку й `--no-fix`.
+Default export — `loadSlotConsumer`-сумісний `{ id: 'ci-azure-artifact', validate(payload) }`; `validate` додатково вимагає `mergeStrategy: "contains-step"` і `fix: false`.
+
+## Гарантії поведінки
+
+* **Будь-яка глибина**: `collectScripts` обходить ВЕСЬ document tree рекурсивно, не покладаючись на конкретні ключі (`steps`/`jobs`/`stages`).
+* **Fallback завжди доступний**: загальний full-lint команда приймається замість domain-specific — окремий per-domain крок не обов'язковий.
+* **Diagnostic-only**: жодного T0-фіксу в v1 — лише violation-повідомлення.

package/slots/docs/index.md

@@ -0,0 +1,9 @@
+---
+type: Directory Index
+title: plugins/ci-azure/slots
+resource: plugins/ci-azure/slots/
+---
+
+| Файл | Тип |
+| --- | --- |
+| [ci-artifact-consumer.mjs](ci-artifact-consumer.md) | JS Module |

package/rules/php/lint_pipeline_php/concern.json

@@ -1,10 +0,0 @@
-{
-  "$schema": "https://unpkg.com/@7n/rules/schemas/concern.json",
-  "policy": {
-    "files": {
-      "single": "azure-pipelines.yml",
-      "required": true
-    },
-    "missingMessage": "azure-pipelines.yml не існує — додай lint-степ `bunx n-rules lint php --no-fix` (azure-pipelines.mdc)"
-  }
-}

package/rules/php/lint_pipeline_php/lint_pipeline_php.mdc

@@ -1,13 +0,0 @@
-## Azure Pipelines: обов'язковий lint-степ `php`
-
-Rego-пакет: `php.lint_pipeline_php` (mixin з плагіна `@7n/rules-ci-azure`)
-
-**Цільовий файл:** `azure-pipelines.yml`
-
-Серед `script`-кроків pipeline (будь-яка глибина — steps/jobs/stages) сукупно мають бути substrings `n-rules lint php` (приймається і `npx @7n/rules lint php`) та `--no-fix`. Це провайдер-аналог GitHub-workflow `lint-php.yml` з `@7n/rules-ci-github`: намір «CI-lint домену `php`» однаковий, реалізація — своя для кожного CI-провайдера.
-
-```yaml
-steps:
-  - script: bunx n-rules lint php --no-fix
-    displayName: Lint php
-```

package/rules/php/lint_pipeline_php/lint_pipeline_php.rego

@@ -1,39 +0,0 @@
-# Обов'язковий lint-степ домену `php` у `azure-pipelines.yml` (провайдер-аналог
-# GitHub-workflow `lint-php.yml` з @7n/rules-ci-github): серед script-кроків pipeline
-# на будь-якій глибині має бути запуск `n-rules lint php` (або `@7n/rules lint php`)
-# з `--no-fix`. Mixin-концерн правила `php` — активний лише разом із правилом.
-#
-# Конвенція проєкту — `import rego.v1` + multi-value `deny contains msg if { … }`
-# (conftest.mdc). Лінт — `n-rules lint rego` (regal).
-package php.lint_pipeline_php
-
-import rego.v1
-
-scripts contains s if {
-	walk(input, [_, node])
-	is_object(node)
-	s := node.script
-	is_string(s)
-}
-
-script_blob := concat("\n", [s | some s in scripts])
-
-has_lint_step if contains(script_blob, "n-rules lint php")
-
-has_lint_step if contains(script_blob, "@7n/rules lint php")
-
-# Загальний full-прогін покриває всі домени — окремий php-степ не потрібен.
-has_lint_step if contains(script_blob, "n-rules lint --no-fix --full")
-
-has_lint_step if contains(script_blob, "@7n/rules lint --no-fix --full")
-
-deny contains msg if {
-	not has_lint_step
-	msg := "azure-pipelines.yml: має бути script-крок `n-rules lint php --no-fix` (azure-pipelines.mdc)"
-}
-
-deny contains msg if {
-	has_lint_step
-	not contains(script_blob, "--no-fix")
-	msg := "azure-pipelines.yml: lint-степ `php` має запускатись з `--no-fix` (CI без мутацій, azure-pipelines.mdc)"
-}