@7n/rules-ci-github 1.2.0

package/CHANGELOG.md

@@ -0,0 +1,15 @@
+# Changelog
+
+## [1.2.0] - 2026-07-16
+
+### Added
+
+- Mixin-концерни з ядра: lint_*_yml для js/python/docker/k8s/style/php/rust/security/text, npm_publish_yml, rust/toolchain_cache, abie/clean_merged_ignore_branches — GitHub-реалізація CI-lint намірів доменних правил
+
+## [1.1.0] - 2026-07-15
+
+### Added
+
+- Перший реліз @7n/rules-ci-github: правило `ga` (канон GitHub Actions) винесено з ядра @7n/rules у плагін; capability `ci:github`
+
+All notable changes to this project will be documented in this file.

package/package.json

@@ -0,0 +1,49 @@
+{
+  "name": "@7n/rules-ci-github",
+  "version": "1.2.0",
+  "description": "\u041f\u043b\u0430\u0433\u0456\u043d @7n/rules: \u043a\u0430\u043d\u043e\u043d GitHub Actions (.github/workflows) \u2014 \u043e\u0431\u043e\u0432'\u044f\u0437\u043a\u043e\u0432\u0456 workflow, zizmor, VS Code",
+  "keywords": [
+    "github-actions",
+    "ci",
+    "lint",
+    "n-rules-plugin"
+  ],
+  "homepage": "https://github.com/nitra/7n-rules#readme",
+  "bugs": {
+    "url": "https://github.com/nitra/7n-rules/issues"
+  },
+  "license": "ISC",
+  "author": "v@nitra.ai",
+  "repository": {
+    "type": "git",
+    "url": "git+https://github.com/nitra/7n-rules.git",
+    "directory": "plugins/ci-github"
+  },
+  "type": "module",
+  "files": [
+    "rules",
+    "CHANGELOG.md",
+    "!**/*.test.mjs",
+    "!**/*_test.rego",
+    "!**/fixtures/**",
+    "!**/tests/**"
+  ],
+  "n-rules": {
+    "capabilities": [
+      "ci:github"
+    ],
+    "contributes": {
+      "rules": true
+    }
+  },
+  "peerDependencies": {
+    "@7n/rules": ">=1.2.0"
+  },
+  "publishConfig": {
+    "access": "public"
+  },
+  "engines": {
+    "bun": ">=1.3",
+    "node": ">=24"
+  }
+}

package/rules/abie/clean_merged_ignore_branches/clean_merged_ignore_branches.mdc

@@ -0,0 +1,19 @@
+## Rego: `ignore_branches` у `clean-merged-branch.yml`
+
+Rego-пакет: `abie.clean_merged_ignore_branches`
+
+Цільовий файл: `.github/workflows/clean-merged-branch.yml`.
+
+Перевіряє, що у workflow-файлі є крок з `uses: phpdocker-io/github-actions-delete-abandoned-branches` і що його `with.ignore_branches` містить обидва токени `dev` та `ua` (case-insensitive, пробіли навколо токенів обрізаються). Токени зчитуються з template-файлу `data.template.snippet` — зміна канону автоматично змінює вимоги.
+
+Канонічний snippet: [clean-merged-branch.yml.snippet.yml](./template/clean-merged-branch.yml.snippet.yml)
+
+```yaml title=".github/workflows/clean-merged-branch.yml (фрагмент)"
+      - uses: phpdocker-io/github-actions-delete-abandoned-branches@v2
+        with:
+          ignore_branches: "dev,ua,main"   # ✓ містить dev та ua
+```
+
+```yaml
+          ignore_branches: "main"          # ✗ не вистачає dev,ua
+```

package/rules/abie/clean_merged_ignore_branches/clean_merged_ignore_branches.rego

@@ -0,0 +1,81 @@
+# Перевірка `clean-merged-branch.yml` для abie-проєктів (abie.mdc).
+#
+# Канон надходить через --data: { "template": { "snippet": ... } }
+# Структура --data сформована з template/clean-merged-branch.yml.snippet.yml.
+# Action-маркер (`uses:` substring) і required branches (parsed з template's
+# `ignore_branches`) читаються з template. ga.clean_merged_branch перевіряє
+# повний канон workflow окремо; цей пакет — лише abie-specific шар.
+package abie.clean_merged_ignore_branches
+
+import rego.v1
+
+# Експектації з template's step (першого з steps).
+expected_step := step if some step in data.template.snippet.jobs.cleanup_old_branches.steps
+
+target_action_marker := expected_step.uses
+
+required_branches := parsed_ignore_tokens(expected_step.with.ignore_branches)
+
+step_missing_msg := sprintf(
+	"clean-merged-branch.yml: не знайдено крок з uses: %s (abie.mdc)",
+	[target_action_marker],
+)
+
+ignore_branches_missing_msg := sprintf(
+	"clean-merged-branch.yml: не знайдено with.ignore_branches у кроці %s (abie.mdc)",
+	[target_action_marker],
+)
+
+# ── deny ─────────────────────────────────────────────────────────────────
+
+deny contains step_missing_msg if {
+	count(target_steps) == 0
+}
+
+deny contains ignore_branches_missing_msg if {
+	count(target_steps) > 0
+	not has_ignore_branches_value
+}
+
+deny contains msg if {
+	count(target_steps) > 0
+	ignore_branches_value != ""
+	missing := required_branches - parsed_ignore_tokens(ignore_branches_value)
+	count(missing) > 0
+	msg := sprintf(
+		"clean-merged-branch.yml: ignore_branches має містити %v (зараз: %q; не вистачає: %v) (abie.mdc)",
+		[concat(",", sort(required_branches)), ignore_branches_value, concat(",", sort(missing))],
+	)
+}
+
+# ── helpers ──────────────────────────────────────────────────────────────
+
+target_steps contains step if {
+	some job in object.get(input, "jobs", {})
+	some step in object.get(job, "steps", [])
+	uses := object.get(step, "uses", "")
+	is_string(uses)
+	contains(uses, target_action_marker)
+}
+
+has_ignore_branches_value if {
+	some step in target_steps
+	v := object.get(object.get(step, "with", {}), "ignore_branches", null)
+	is_string(v)
+}
+
+default ignore_branches_value := ""
+
+ignore_branches_value := values[0] if {
+	values := [v |
+		some step in target_steps
+		v := object.get(object.get(step, "with", {}), "ignore_branches", null)
+		is_string(v)
+	]
+	count(values) > 0
+}
+
+parsed_ignore_tokens(value) := {lower(trim_space(part)) |
+	some part in split(value, ",")
+	trim_space(part) != ""
+}

package/rules/abie/clean_merged_ignore_branches/concern.json

@@ -0,0 +1,8 @@
+{
+  "$schema": "https://unpkg.com/@7n/rules/schemas/concern.json",
+  "policy": {
+    "files": {
+      "single": ".github/workflows/clean-merged-branch.yml"
+    }
+  }
+}

package/rules/abie/clean_merged_ignore_branches/docs/fix-clean_merged_ignore_branches.md

@@ -0,0 +1,30 @@
+---
+type: JS Module
+title: fix-clean_merged_ignore_branches.mjs
+resource: plugins/ci-github/rules/abie/clean_merged_ignore_branches/fix-clean_merged_ignore_branches.mjs
+docgen:
+  crc: f3646572
+  model: openai-codex/gpt-5.5
+  score: 100
+  issues: judge:inaccurate:0.99
+  judgeModel: openai-codex/gpt-5.4-mini
+---
+
+## Огляд
+
+`patterns` визначає набір шляхів репозиторію, які правило має враховувати під час перевірки. Воно свідомо не охоплює `.git` і `.github`, щоб не аналізувати службові дані Git та конфігурацію GitHub. Правило працює read-only: лише повідомляє про невідповідність очікуваній структурі, не змінюючи файли чи зовнішні сховища.
+
+## Поведінка
+
+1. `patterns` визначає правило виправлення, яке забезпечує наявність workflow для очищення merged branches.
+
+2. Правило орієнтується на шаблонний стан файлу `.github/workflows/clean-merged-branch.yml`, щоб уніфікувати поведінку репозиторіїв щодо прибирання вже злитих гілок.
+
+3. Під час перевірки свідомо не обходить службові шляхи `.github` і `.git`, окрім цільового workflow-файлу, який є предметом виправлення.
+
+4. `patterns` лише описує очікуване виправлення й не виконує самостійного запису у файлову систему чи інші сховища.
+
+## Гарантії поведінки
+
+- Read-only: не виконує операцій запису (ФС/БД).
+- Свідомо пропускає шляхи: `.github`, `.git`.

package/rules/abie/clean_merged_ignore_branches/docs/index.md

@@ -0,0 +1,9 @@
+---
+type: Directory Index
+title: npm/rules/abie/clean_merged_ignore_branches
+resource: npm/rules/abie/clean_merged_ignore_branches/
+---
+
+| Файл                                                                        | Тип       |
+| --------------------------------------------------------------------------- | --------- |
+| [fix-clean_merged_ignore_branches.mjs](fix-clean_merged_ignore_branches.md) | JS Module |

package/rules/abie/clean_merged_ignore_branches/fix-clean_merged_ignore_branches.mjs

@@ -0,0 +1,8 @@
+import { createTemplateFixPattern } from '@7n/rules/scripts/lib/fix/template-deep-merge.mjs'
+
+export const patterns = [
+  createTemplateFixPattern({
+    id: 'abie-clean_merged_ignore_branches-template',
+    targetPath: '.github/workflows/clean-merged-branch.yml'
+  })
+]

package/rules/abie/clean_merged_ignore_branches/template/clean-merged-branch.yml.snippet.yml

@@ -0,0 +1,9 @@
+# abie-specific шар поверх ga.clean_merged_branch:
+# у `clean-merged-branch.yml` крок phpdocker-io/github-actions-delete-abandoned-branches
+# має містити `ignore_branches: dev,ua` (обовʼязкові гілки для abie-проєктів).
+jobs:
+  cleanup_old_branches:
+    steps:
+      - uses: phpdocker-io/github-actions-delete-abandoned-branches
+        with:
+          ignore_branches: dev,ua

package/rules/docker/lint_docker_yml/concern.json

@@ -0,0 +1,11 @@
+{
+  "$schema": "https://unpkg.com/@7n/rules/schemas/concern.json",
+  "fixability": "config",
+  "policy": {
+    "files": {
+      "single": ".github/workflows/lint-docker.yml",
+      "required": true
+    },
+    "missingMessage": ".github/workflows/lint-docker.yml не існує — створи за каноном правила (mixin @7n/rules-ci-github)"
+  }
+}

package/rules/docker/lint_docker_yml/docs/fix-lint_docker_yml.md

@@ -0,0 +1,30 @@
+---
+type: JS Module
+title: fix-lint_docker_yml.mjs
+resource: plugins/ci-github/rules/docker/lint_docker_yml/fix-lint_docker_yml.mjs
+docgen:
+  crc: cbc93b9d
+  model: openai-codex/gpt-5.5
+  score: 100
+  issues: judge:inaccurate:0.98
+  judgeModel: openai-codex/gpt-5.4-mini
+---
+
+## Огляд
+
+`patterns` визначає поведінку правила для обходу проєкту без змін у файловій системі чи зовнішніх сховищах. Службові директорії `.github` і `.git` свідомо не входять до перевірюваних шляхів, щоб правило працювало лише з релевантним кодом проєкту.
+
+## Поведінка
+
+1. `patterns` визначає правило автоматичного виправлення для workflow перевірки Docker.
+
+2. `patterns` забезпечує наявність стандартного файлу `.github/workflows/lint-docker.yml`, щоб проєкт мав єдиний CI-контроль Docker-конфігурації.
+
+3. `patterns` працює як read-only опис виправлення: сам модуль не змінює файлову систему чи зовнішні сховища.
+
+4. Під час супровідного обходу шляхів свідомо не аналізуються `.github` і `.git`, щоб не змішувати службові директорії з основним кодом проєкту.
+
+## Гарантії поведінки
+
+- Read-only: не виконує операцій запису (ФС/БД).
+- Свідомо пропускає шляхи: `.github`, `.git`.

package/rules/docker/lint_docker_yml/docs/index.md

@@ -0,0 +1,9 @@
+---
+type: Directory Index
+title: npm/rules/docker/lint_docker_yml
+resource: npm/rules/docker/lint_docker_yml/
+---
+
+| Файл                                              | Тип       |
+| ------------------------------------------------- | --------- |
+| [fix-lint_docker_yml.mjs](fix-lint_docker_yml.md) | JS Module |

package/rules/docker/lint_docker_yml/fix-lint_docker_yml.mjs

@@ -0,0 +1,5 @@
+import { createTemplateFixPattern } from '@7n/rules/scripts/lib/fix/template-deep-merge.mjs'
+
+export const patterns = [
+  createTemplateFixPattern({ id: 'docker-lint_docker_yml-template', targetPath: '.github/workflows/lint-docker.yml' })
+]

package/rules/docker/lint_docker_yml/lint_docker_yml.mdc

@@ -0,0 +1,14 @@
+## Перевірка `.github/workflows/lint-docker.yml`
+
+Rego-пакет: `docker.lint_docker_yml`
+
+Цільовий файл: `.github/workflows/lint-docker.yml`
+
+Перевіряє, що CI-workflow lint-docker відповідає канонічному сніпету:
+
+- `on.push.paths` містить усі три glob-маски: `**/Dockerfile`, `**/*.Dockerfile`, `**/*.dockerfile`
+- присутні кроки `uses: actions/checkout@v6` та `uses: ./.github/actions/setup-bun-deps`
+- крок install hadolint містить рядок із версією `v2.12.0` (substring-перевірка)
+- крок lint містить `n-rules lint docker --no-fix`
+
+Канонічний шаблон: [lint-docker.yml.snippet.yml](./template/lint-docker.yml.snippet.yml)

package/rules/docker/lint_docker_yml/lint_docker_yml.rego

@@ -0,0 +1,79 @@
+# Перевірка `.github/workflows/lint-docker.yml` (docker.mdc).
+#
+# Канон надходить через --data: { "template": { "snippet": ... } }
+# Структура --data сформована з template/lint-docker.yml.snippet.yml.
+# Path-маркери, hadolint версія (substring "v2.12.0" у run), setup-bun-deps
+# composite, `n-rules lint docker --no-fix` substring — все читається з template's snippet.
+# Універсальні workflow-перевірки — у `ga.workflow_common`.
+package docker.lint_docker_yml
+
+import rego.v1
+
+# Очікувані літерали з template.
+expected_paths := {p | some p in data.template.snippet.on.push.paths}
+
+# Required uses set — з template's steps.
+expected_uses_set contains u if {
+	some step in data.template.snippet.jobs["lint-docker"].steps
+	u := object.get(step, "uses", "")
+	u != ""
+}
+
+# Required run substrings — collected per-step з template.
+expected_run_substrings contains r if {
+	some step in data.template.snippet.jobs["lint-docker"].steps
+	r := object.get(step, "run", "")
+	r != ""
+}
+
+# Аліаси на input.
+all_step_uses contains u if {
+	some job in object.get(input, "jobs", {})
+	some step in object.get(job, "steps", [])
+	u := object.get(step, "uses", "")
+	u != ""
+}
+
+all_run_text := concat("\n", [run_text |
+	some job in object.get(input, "jobs", {})
+	some step in object.get(job, "steps", [])
+	run_text := step_run_to_text(step)
+])
+
+# conftest парсить YAML 1.1, тож канонічний `on:` без лапок стає булевим ключем
+# `true` (як у `ga.lint_ga`). Тому читаємо через `input["true"]`.
+push_paths_set := {p |
+	some p in object.get(object.get(object.get(input, "true", {}), "push", {}), "paths", [])
+}
+
+# ── deny: on.push.paths subset-of ──────────────────────────────────────
+
+deny contains msg if {
+	some required in expected_paths
+	not required in push_paths_set
+	msg := sprintf("lint-docker.yml: on.push.paths має містити %q (docker.mdc)", [required])
+}
+
+# ── deny: required uses present ────────────────────────────────────────
+
+deny contains msg if {
+	some required_use in expected_uses_set
+	not required_use in all_step_uses
+	msg := sprintf("lint-docker.yml: відсутній крок `uses: %s` (docker.mdc)", [required_use])
+}
+
+# ── deny: required run substrings ──────────────────────────────────────
+
+deny contains msg if {
+	some required_run in expected_run_substrings
+	not contains(all_run_text, required_run)
+	msg := sprintf("lint-docker.yml: жоден крок run не містить %q (docker.mdc)", [required_run])
+}
+
+# ── helpers ────────────────────────────────────────────────────────────
+
+step_run_to_text(step) := step.run if is_string(step.run)
+
+else := concat("\n", [s | some s in step.run]) if is_array(step.run)
+
+else := ""

package/rules/docker/lint_docker_yml/template/lint-docker.yml.snippet.yml

@@ -0,0 +1,41 @@
+name: Lint Docker
+
+on:
+  push:
+    branches:
+      - dev
+      - main
+    paths:
+      - '**/Dockerfile'
+      - '**/*.Dockerfile'
+      - '**/*.dockerfile'
+
+  pull_request:
+    branches:
+      - dev
+      - main
+
+concurrency:
+  group: ${{ github.ref }}-${{ github.workflow }}
+  cancel-in-progress: true
+
+jobs:
+  lint-docker:
+    runs-on: ubuntu-latest
+    permissions:
+      contents: read
+    steps:
+      - uses: actions/checkout@v6
+        with:
+          persist-credentials: false
+
+      - name: Install hadolint
+        run: |
+          curl -sSL -o /tmp/hadolint https://github.com/hadolint/hadolint/releases/download/v2.12.0/hadolint-Linux-x86_64
+          chmod +x /tmp/hadolint
+          sudo mv /tmp/hadolint /usr/local/bin/hadolint
+
+      - uses: ./.github/actions/setup-bun-deps
+
+      - name: Lint Docker
+        run: bunx n-rules lint docker --no-fix

package/rules/ga/clean_ga_workflows/clean_ga_workflows.mdc

@@ -0,0 +1,20 @@
+## Структура `clean-ga-workflows.yml` — видалення завершених workflow runs
+
+Rego-пакет: `ga.clean_ga_workflows`
+
+**Цільовий файл:** `.github/workflows/clean-ga-workflows.yml`
+
+### Що перевіряється
+
+- `name` — точна відповідність значенню з template
+- `on.schedule[].cron` — має містити cron із template (`0 1 16 * *`)
+- `on.workflow_dispatch` — має бути об'єктом `{}`
+- `jobs.cleanup_old_workflows` — job має існувати
+- `jobs.cleanup_old_workflows.runs-on` — відповідно до template (`ubuntu-latest`)
+- `jobs.cleanup_old_workflows.permissions` — `actions: write`, `contents: read`
+- `steps[0].name` і `steps[0].uses` — відповідно до template (`dmvict/clean-workflow-runs@v1`)
+- `steps[0].with` — `token`, `save_period`, `save_min_runs_number` як у template
+
+**Pin-aware `uses`:** SHA-пін того самого action (`owner/action@<40-hex SHA>`, з тег-коментарем `# vX` чи без) задовольняє канонічний тег із template. Якщо в репо вже SHA-пін (zizmor-політика ref-pin) — НЕ замінюй його тегом.
+
+Канон: [clean-ga-workflows.yml.snippet.yml](./template/clean-ga-workflows.yml.snippet.yml)

package/rules/ga/clean_ga_workflows/clean_ga_workflows.rego

@@ -0,0 +1,112 @@
+# Перевірка `.github/workflows/clean-ga-workflows.yml` (ga.mdc).
+#
+# Канон надходить через --data: { "template": { "snippet": ... } }
+# Структура --data сформована з template/clean-ga-workflows.yml.snippet.yml
+# (повний YAML канон). Path-and-value перевірки — у цьому rego (per-concern
+# field-by-field з .data.template.snippet.<path>); жодних inline literals.
+package ga.clean_ga_workflows
+
+import rego.v1
+
+# ── Аліаси на input ────────────────────────────────────────────────────────
+# GHA YAML quirk: ключ `on:` — YAML 1.1 boolean `true`, у conftest серіалізується
+# як рядковий ключ "true". Template (через --data JSON) має ключ "on".
+
+gha_on := input["true"]
+
+step0 := input.jobs.cleanup_old_workflows.steps[0]
+
+# Експектації з template.
+expected_name := data.template.snippet.name
+
+expected_cron := data.template.snippet.on.schedule[0].cron
+
+expected_step0 := data.template.snippet.jobs.cleanup_old_workflows.steps[0]
+
+expected_perms := data.template.snippet.jobs.cleanup_old_workflows.permissions
+
+expected_runs_on := data.template.snippet.jobs.cleanup_old_workflows["runs-on"]
+
+# ── deny rules ─────────────────────────────────────────────────────────────
+
+deny contains msg if {
+	input.name != expected_name
+	msg := sprintf("clean-ga-workflows.yml: name має бути %q (ga.mdc)", [expected_name])
+}
+
+deny contains msg if {
+	not has_expected_cron
+	msg := sprintf("clean-ga-workflows.yml: on.schedule має містити cron: '%s' (ga.mdc)", [expected_cron])
+}
+
+deny contains msg if {
+	not is_object(object.get(gha_on, "workflow_dispatch", null))
+	msg := "clean-ga-workflows.yml: має бути workflow_dispatch: {} (ga.mdc)"
+}
+
+deny contains msg if {
+	not input.jobs.cleanup_old_workflows
+	msg := "clean-ga-workflows.yml: jobs.cleanup_old_workflows відсутній (ga.mdc)"
+}
+
+deny contains msg if {
+	job := input.jobs.cleanup_old_workflows
+	job["runs-on"] != expected_runs_on
+	msg := sprintf("clean-ga-workflows.yml: runs-on має бути %s (ga.mdc)", [expected_runs_on])
+}
+
+deny contains msg if {
+	perms := input.jobs.cleanup_old_workflows.permissions
+	not perms_match(perms, expected_perms)
+	msg := "clean-ga-workflows.yml: permissions мають бути actions: write, contents: read (ga.mdc)"
+}
+
+deny contains msg if {
+	step0.name != expected_step0.name
+	msg := sprintf("clean-ga-workflows.yml: перший крок має мати name: %s (ga.mdc)", [expected_step0.name])
+}
+
+deny contains msg if {
+	actual := step0.uses
+	not uses_satisfies(actual, expected_step0.uses)
+	msg := sprintf("clean-ga-workflows.yml: перший крок має uses: %s (ga.mdc)", [expected_step0.uses])
+}
+
+deny contains msg if {
+	not step0_with_canonical
+	msg := "clean-ga-workflows.yml: with має містити token/save_period/save_min_runs_number як у template (ga.mdc)"
+}
+
+deny contains msg if {
+	step0.with.save_period != expected_step0.with.save_period
+	msg := sprintf("clean-ga-workflows.yml: with.save_period має бути %d (ga.mdc)", [expected_step0.with.save_period])
+}
+
+# ── helpers ────────────────────────────────────────────────────────────────
+
+# `uses:` з input задовольняє канонічний `owner/action@tag`: точний збіг…
+uses_satisfies(actual, expected) if actual == expected
+
+# …або той самий action-slug і ref — повний 40-hex commit SHA (zizmor ref-pin).
+# SHA-пін відповідної версії задовольняє вимогу тега — не даунгрейдимо до тега.
+uses_satisfies(actual, expected) if {
+	slug := split(expected, "@")[0]
+	startswith(actual, concat("", [slug, "@"]))
+	parts := split(actual, "@")
+	regex.match(`^[0-9a-fA-F]{40}$`, parts[count(parts) - 1])
+}
+
+has_expected_cron if {
+	gha_on.schedule[_].cron == expected_cron
+}
+
+perms_match(actual, expected) if {
+	actual.actions == expected.actions
+	actual.contents == expected.contents
+}
+
+step0_with_canonical if {
+	step0.with.token == expected_step0.with.token
+	step0.with.save_period == expected_step0.with.save_period
+	step0.with.save_min_runs_number == expected_step0.with.save_min_runs_number
+}

package/rules/ga/clean_ga_workflows/concern.json

@@ -0,0 +1,10 @@
+{
+  "$schema": "https://unpkg.com/@7n/rules/schemas/concern.json",
+  "policy": {
+    "files": {
+      "single": ".github/workflows/clean-ga-workflows.yml",
+      "required": true
+    },
+    "missingMessage": ".github/workflows/clean-ga-workflows.yml не існує — створи за каноном ga.mdc"
+  }
+}

package/rules/ga/clean_ga_workflows/docs/fix-clean_ga_workflows.md

@@ -0,0 +1,33 @@
+---
+type: JS Module
+title: fix-clean_ga_workflows.mjs
+resource: plugins/ci-github/rules/ga/clean_ga_workflows/fix-clean_ga_workflows.mjs
+docgen:
+  crc: f149bf34
+  model: openai-codex/gpt-5.5
+  tier: cloud-avg
+  score: 100
+  issues: judge:inaccurate:0.99
+  judgeModel: openai-codex/gpt-5.4-mini
+---
+
+## Огляд
+
+`patterns` визначає, які шляхи правило свідомо не розглядає як цільові для перевірки: `.github` і `.git` пропускаються, щоб службові каталоги репозиторію не змішувалися з робочим кодом.
+
+Правило працює read-only: не записує у файлову систему чи бази даних.
+
+## Поведінка
+
+1. `patterns` визначає правило автоматичного виправлення для workflow очищення GitHub Actions.
+
+2. Правило гарантує наявність очікуваного файлу `.github/workflows/clean-ga-workflows.yml` на основі затвердженого шаблону.
+
+3. Виправлення працює як read-only опис дії: саме по собі не записує зміни у файлову систему чи зовнішні сховища.
+
+4. Під час застосування загальних перевірок свідомо не розглядаються службові шляхи `.github` і `.git`, щоб не аналізувати інфраструктурні каталоги як звичайний код.
+
+## Гарантії поведінки
+
+- Read-only: не виконує операцій запису (ФС/БД).
+- Свідомо пропускає шляхи: `.github`, `.git`.

package/rules/ga/clean_ga_workflows/docs/index.md

@@ -0,0 +1,9 @@
+---
+type: Directory Index
+title: plugins/ci-github/rules/ga/clean_ga_workflows
+resource: plugins/ci-github/rules/ga/clean_ga_workflows/
+---
+
+| Файл                                                    | Тип       |
+| ------------------------------------------------------- | --------- |
+| [fix-clean_ga_workflows.mjs](fix-clean_ga_workflows.md) | JS Module |

package/rules/ga/clean_ga_workflows/fix-clean_ga_workflows.mjs

@@ -0,0 +1,8 @@
+import { createTemplateFixPattern } from '@7n/rules/scripts/lib/fix/template-deep-merge.mjs'
+
+export const patterns = [
+  createTemplateFixPattern({
+    id: 'ga-clean_ga_workflows-template',
+    targetPath: '.github/workflows/clean-ga-workflows.yml'
+  })
+]