@7n/rules-ci-github 1.2.0

package/rules/ga/clean_ga_workflows/template/clean-ga-workflows.yml.snippet.yml

@@ -0,0 +1,26 @@
+name: Clean action for removing completed workflow runs
+
+on:
+  schedule:
+    - cron: '0 1 16 * *'
+
+  # Allow workflow to be manually run from the GitHub UI
+  workflow_dispatch: {}
+
+concurrency:
+  group: ${{ github.ref }}-${{ github.workflow }}
+  cancel-in-progress: true
+
+jobs:
+  cleanup_old_workflows:
+    runs-on: ubuntu-latest
+    permissions:
+      actions: write
+      contents: read
+    steps:
+      - name: Delete workflow runs
+        uses: dmvict/clean-workflow-runs@v1
+        with:
+          token: ${{ github.token }}
+          save_period: 31
+          save_min_runs_number: 0

package/rules/ga/clean_merged_branch/clean_merged_branch.mdc

@@ -0,0 +1,24 @@
+## Структура `clean-merged-branch.yml` — видалення злитих гілок
+
+Rego-пакет: `ga.clean_merged_branch`
+
+**Цільовий файл:** `.github/workflows/clean-merged-branch.yml`
+
+### Що перевіряється
+
+- `name` — точна відповідність значенню з template
+- `on.schedule[].cron` — має містити cron із template (`0 1 15 * *`)
+- `on.workflow_dispatch` — має бути об'єктом `{}`
+- `jobs.cleanup_old_branches` — job має існувати
+- `jobs.cleanup_old_branches.permissions` — кожне поле із template (`contents: write`, `pull-requests: read`)
+- `steps` — має бути рівно 2 кроки
+- `steps[0].id` — `delete_stuff`; `steps[0].uses` — `phpdocker-io/github-actions-delete-abandoned-branches@v2.0.3`
+- `steps[0].with.github_token`, `last_commit_age_days` — за template
+- `steps[0].with.ignore_branches` — має містити всі гілки з template (`main,dev`)
+- `steps[0].with.dry_run` — `no` (нормалізується: YAML 1.1 `no` → boolean `false` у conftest)
+- `steps[1].name` — за template; `steps[1].env.DELETED_BRANCHES` — за template
+- `steps[1].run` — містить `Deleted branches:` та `${DELETED_BRANCHES}`
+
+**Pin-aware `uses`:** SHA-пін того самого action (`owner/action@<40-hex SHA>`, з тег-коментарем `# vX` чи без) задовольняє канонічний тег із template. Якщо в репо вже SHA-пін (zizmor-політика ref-pin) — НЕ замінюй його тегом.
+
+Канон: [clean-merged-branch.yml.snippet.yml](./template/clean-merged-branch.yml.snippet.yml)

package/rules/ga/clean_merged_branch/clean_merged_branch.rego

@@ -0,0 +1,163 @@
+# Перевірка `.github/workflows/clean-merged-branch.yml` (ga.mdc).
+#
+# Канон надходить через --data: { "template": { "snippet": ... } }
+# Структура --data сформована з template/clean-merged-branch.yml.snippet.yml.
+package ga.clean_merged_branch
+
+import rego.v1
+
+# ── Аліаси ─────────────────────────────────────────────────────────────────
+
+gha_on := input["true"]
+
+steps := input.jobs.cleanup_old_branches.steps
+
+step0 := steps[0]
+
+step1 := steps[1]
+
+expected_name := data.template.snippet.name
+
+expected_cron := data.template.snippet.on.schedule[0].cron
+
+expected_step0 := data.template.snippet.jobs.cleanup_old_branches.steps[0]
+
+expected_step1 := data.template.snippet.jobs.cleanup_old_branches.steps[1]
+
+expected_perms := data.template.snippet.jobs.cleanup_old_branches.permissions
+
+# ── deny rules ─────────────────────────────────────────────────────────────
+
+deny contains msg if {
+	input.name != expected_name
+	msg := sprintf("clean-merged-branch.yml: name має бути %q (ga.mdc)", [expected_name])
+}
+
+deny contains msg if {
+	not has_expected_cron
+	msg := sprintf("clean-merged-branch.yml: on.schedule має містити cron: '%s' (ga.mdc)", [expected_cron])
+}
+
+deny contains msg if {
+	not is_object(object.get(gha_on, "workflow_dispatch", null))
+	msg := "clean-merged-branch.yml: має бути workflow_dispatch: {} (ga.mdc)"
+}
+
+deny contains msg if {
+	not input.jobs.cleanup_old_branches
+	msg := "clean-merged-branch.yml: jobs.cleanup_old_branches відсутній (ga.mdc)"
+}
+
+deny contains msg if {
+	some permission, expected in expected_perms
+	object.get(input.jobs.cleanup_old_branches.permissions, permission, null) != expected
+	msg := sprintf("clean-merged-branch.yml: permissions.%s має бути %s (ga.mdc)", [permission, expected])
+}
+
+deny contains msg if {
+	count(steps) < 2
+	msg := "clean-merged-branch.yml: steps має містити 2 кроки як у template (ga.mdc)"
+}
+
+# ── Step 0 (delete_stuff) ──────────────────────────────────────────────────
+
+deny contains msg if {
+	step0.id != expected_step0.id
+	msg := sprintf("clean-merged-branch.yml: перший крок має id: %s (ga.mdc)", [expected_step0.id])
+}
+
+deny contains msg if {
+	actual := step0.uses
+	not uses_satisfies(actual, expected_step0.uses)
+	msg := sprintf("clean-merged-branch.yml: перший крок має uses: %s (ga.mdc)", [expected_step0.uses])
+}
+
+deny contains msg if {
+	step0.with.github_token != expected_step0.with.github_token
+	msg := sprintf(
+		"clean-merged-branch.yml: with.github_token має бути %s (ga.mdc)",
+		[expected_step0.with.github_token],
+	)
+}
+
+deny contains msg if {
+	step0.with.last_commit_age_days != expected_step0.with.last_commit_age_days
+	msg := sprintf(
+		"clean-merged-branch.yml: with.last_commit_age_days має бути %d (ga.mdc)",
+		[expected_step0.with.last_commit_age_days],
+	)
+}
+
+deny contains msg if {
+	not ignore_branches_subset
+	msg := sprintf(
+		"clean-merged-branch.yml: with.ignore_branches має містити %s (ga.mdc)",
+		[expected_step0.with.ignore_branches],
+	)
+}
+
+# YAML 1.1 quirk: `dry_run: no` парситься як boolean false у Go-yaml (conftest).
+# Template (від `yaml` npm) читає `no` як рядок, тому нормалізуємо обидві форми.
+deny contains msg if {
+	normalize_dry_run(step0.with.dry_run) != normalize_dry_run(expected_step0.with.dry_run) # noqa: rules-style-no-equality-with-false
+	msg := "clean-merged-branch.yml: with.dry_run має бути no (ga.mdc)"
+}
+
+# ── Step 1 (Get output) ────────────────────────────────────────────────────
+
+deny contains msg if {
+	step1.name != expected_step1.name
+	msg := sprintf("clean-merged-branch.yml: другий крок має name: %s (ga.mdc)", [expected_step1.name])
+}
+
+deny contains msg if {
+	step1.env.DELETED_BRANCHES != expected_step1.env.DELETED_BRANCHES
+	msg := "clean-merged-branch.yml: env.DELETED_BRANCHES має бути як у template (ga.mdc)"
+}
+
+deny contains msg if {
+	not echo_deleted_branches
+	msg := "clean-merged-branch.yml: run має echo Deleted branches як у template (ga.mdc)"
+}
+
+# ── helpers ────────────────────────────────────────────────────────────────
+
+# `uses:` з input задовольняє канонічний `owner/action@tag`: точний збіг…
+uses_satisfies(actual, expected) if actual == expected
+
+# …або той самий action-slug і ref — повний 40-hex commit SHA (zizmor ref-pin).
+# SHA-пін відповідної версії задовольняє вимогу тега — не даунгрейдимо до тега.
+uses_satisfies(actual, expected) if {
+	slug := split(expected, "@")[0]
+	startswith(actual, concat("", [slug, "@"]))
+	parts := split(actual, "@")
+	regex.match(`^[0-9a-fA-F]{40}$`, parts[count(parts) - 1])
+}
+
+has_expected_cron if {
+	gha_on.schedule[_].cron == expected_cron
+}
+
+# Кожна гілка з template-літералу (через кому) має бути присутня у actual.
+ignore_branches_subset if {
+	required_branches := split(expected_step0.with.ignore_branches, ",")
+	actual := step0.with.ignore_branches
+	every b in required_branches {
+		contains(actual, trim_space(b))
+	}
+}
+
+echo_deleted_branches if {
+	# Звіряємо substring "echo "Deleted branches: …${DELETED_BRANCHES}…"" — формується з template run.
+	contains(step1.run, "Deleted branches:")
+	contains(step1.run, "${DELETED_BRANCHES}")
+}
+
+normalize_dry_run(false) := false
+
+normalize_dry_run(value) := false if lower(sprintf("%v", [value])) == "no"
+
+normalize_dry_run(value) := value if {
+	value != false # noqa: equals-pattern-matching
+	lower(sprintf("%v", [value])) != "no"
+}

package/rules/ga/clean_merged_branch/concern.json

@@ -0,0 +1,10 @@
+{
+  "$schema": "https://unpkg.com/@7n/rules/schemas/concern.json",
+  "policy": {
+    "files": {
+      "single": ".github/workflows/clean-merged-branch.yml",
+      "required": true
+    },
+    "missingMessage": ".github/workflows/clean-merged-branch.yml не існує — створи за каноном ga.mdc"
+  }
+}

package/rules/ga/clean_merged_branch/docs/fix-clean_merged_branch.md

@@ -0,0 +1,27 @@
+---
+type: JS Module
+title: fix-clean_merged_branch.mjs
+resource: plugins/ci-github/rules/ga/clean_merged_branch/fix-clean_merged_branch.mjs
+docgen:
+  crc: e78a4923
+  model: openai-codex/gpt-5.4-mini
+  score: 100
+  issues: judge:inaccurate:0.98
+  judgeModel: openai-codex/gpt-5.4-mini
+---
+
+## Огляд
+
+`patterns` звіряє шаблонну конфігурацію з відповідними файлами репозиторію, щоб підтримувати узгодженість між шаблоном і робочим станом. Працює лише на читання, не торкається `.github` і `.git`, і не змінює файлову систему чи базу даних.
+
+## Поведінка
+
+1. `patterns` формує набір правил для узгодження шаблонної конфігурації з цільовим workflow-файлом `.github/workflows/clean-merged-branch.yml`.
+2. `patterns` використовує це правило як частину автоматизованого вирівнювання між шаблоном і робочим репозиторієм, щоб підтримувати однакову поведінку в потрібному workflow.
+3. `patterns` свідомо не охоплює шляхи `.github` і `.git`, щоб не зачіпати службові та внутрішні дані репозиторію.
+4. `patterns` працює read-only: лише описує, що треба зіставити, і не записує зміни у файлову систему чи базу даних.
+
+## Гарантії поведінки
+
+- Read-only: не виконує операцій запису (ФС/БД).
+- Свідомо пропускає шляхи: `.github`, `.git`.

package/rules/ga/clean_merged_branch/docs/index.md

@@ -0,0 +1,9 @@
+---
+type: Directory Index
+title: plugins/ci-github/rules/ga/clean_merged_branch
+resource: plugins/ci-github/rules/ga/clean_merged_branch/
+---
+
+| Файл                                                      | Тип       |
+| --------------------------------------------------------- | --------- |
+| [fix-clean_merged_branch.mjs](fix-clean_merged_branch.md) | JS Module |

package/rules/ga/clean_merged_branch/fix-clean_merged_branch.mjs

@@ -0,0 +1,8 @@
+import { createTemplateFixPattern } from '@7n/rules/scripts/lib/fix/template-deep-merge.mjs'
+
+export const patterns = [
+  createTemplateFixPattern({
+    id: 'ga-clean_merged_branch-template',
+    targetPath: '.github/workflows/clean-merged-branch.yml'
+  })
+]

package/rules/ga/clean_merged_branch/template/clean-merged-branch.yml.snippet.yml

@@ -0,0 +1,37 @@
+name: Clean abandoned branches
+
+on:
+  # Run daily at midnight
+  schedule:
+    - cron: '0 1 15 * *'
+
+  # Allow workflow to be manually run from the GitHub UI
+  workflow_dispatch: {}
+
+concurrency:
+  group: ${{ github.ref }}-${{ github.workflow }}
+  cancel-in-progress: true
+
+jobs:
+  cleanup_old_branches:
+    runs-on: ubuntu-latest
+    permissions:
+      contents: write
+      pull-requests: read
+    steps:
+      - id: delete_stuff
+        name: Delete those pesky dead branches
+        uses: phpdocker-io/github-actions-delete-abandoned-branches@v2.0.3
+        with:
+          github_token: ${{ github.token }}
+          last_commit_age_days: 90
+          ignore_branches: main,dev
+          # Action CLI accepts only yes/no. Go-yaml in conftest parses `no` as
+          # boolean false, so the Rego policy normalizes both forms.
+          dry_run: no
+
+      - name: Get output
+        env:
+          DELETED_BRANCHES: ${{ steps.delete_stuff.outputs.deleted_branches }}
+        run: |
+          echo "Deleted branches: ${DELETED_BRANCHES}"

package/rules/ga/docs/index.md

@@ -0,0 +1,11 @@
+---
+type: Directory Index
+title: plugins/ci-github/rules/ga
+resource: plugins/ci-github/rules/ga/
+---
+
+# plugins/ci-github/rules/ga
+
+| Файл                | Тип       |
+| ------------------- | --------- |
+| [main.mjs](main.md) | JS Module |

package/rules/ga/git_ai/concern.json

@@ -0,0 +1,11 @@
+{
+  "$schema": "https://unpkg.com/@7n/rules/schemas/concern.json",
+  "fixability": "config",
+  "policy": {
+    "files": {
+      "single": ".github/workflows/git-ai.yml",
+      "required": true
+    },
+    "missingMessage": ".github/workflows/git-ai.yml не існує — створи за каноном ga.mdc"
+  }
+}

package/rules/ga/git_ai/docs/fix-git_ai.md

@@ -0,0 +1,30 @@
+---
+type: JS Module
+title: fix-git_ai.mjs
+resource: plugins/ci-github/rules/ga/git_ai/fix-git_ai.mjs
+docgen:
+  crc: 1823ea17
+  model: openai-codex/gpt-5.5
+  score: 100
+  issues: judge:inaccurate:0.98
+  judgeModel: openai-codex/gpt-5.4-mini
+---
+
+## Огляд
+
+`patterns` визначає шаблони пошуку для перевірки проєктних файлів і свідомо не охоплює службові шляхи `.github` та `.git`.
+
+Модуль має read-only поведінку без запису у файлову систему чи базу даних, щоб перевірка лише виявляла релевантні збіги й не змінювала стан репозиторію.
+
+## Поведінка
+
+1. `patterns` визначає автоматичне виправлення для підтримки стандартного workflow Git AI у репозиторії.
+
+2. `patterns` забезпечує наявність очікуваного файлу `.github/workflows/git-ai.yml`, щоб перевірка правила могла запропонувати єдиний канонічний варіант налаштування.
+
+3. Під час пошуку цільових файлів свідомо пропускаються службові шляхи `.github` і `.git`, щоб не аналізувати технічні директорії як звичайний проєктний код.
+
+## Гарантії поведінки
+
+- Read-only: не виконує операцій запису (ФС/БД).
+- Свідомо пропускає шляхи: `.github`, `.git`.

package/rules/ga/git_ai/docs/index.md

@@ -0,0 +1,9 @@
+---
+type: Directory Index
+title: plugins/ci-github/rules/ga/git_ai
+resource: plugins/ci-github/rules/ga/git_ai/
+---
+
+| Файл                            | Тип       |
+| ------------------------------- | --------- |
+| [fix-git_ai.mjs](fix-git_ai.md) | JS Module |

package/rules/ga/git_ai/fix-git_ai.mjs

@@ -0,0 +1,5 @@
+import { createTemplateFixPattern } from '@7n/rules/scripts/lib/fix/template-deep-merge.mjs'
+
+export const patterns = [
+  createTemplateFixPattern({ id: 'ga-git_ai-template', targetPath: '.github/workflows/git-ai.yml' })
+]

package/rules/ga/git_ai/git_ai.mdc

@@ -0,0 +1,19 @@
+## Структура `git-ai.yml` — автоматичний запуск git-ai після мержу PR
+
+Rego-пакет: `ga.git_ai`
+
+**Цільовий файл:** `.github/workflows/git-ai.yml`
+
+### Що перевіряється
+
+- `name` — точна відповідність значенню з template (`Git AI`)
+- `on.pull_request.types` — має містити `closed`
+- `jobs.git-ai` — job має існувати
+- `jobs.git-ai.if` — містить `github.event.pull_request.merged == true`
+- `jobs.git-ai.permissions.contents` — за template (`write`)
+- `steps[*].run` (сукупно) — містить substring `https://usegitai.com/install.sh` (інсталяція)
+- `steps[*].run` (сукупно) — містить substring `git-ai ci github run` (запуск)
+
+Substring-перевірки замість exact-match через крихкість multi-line `run:` блоків.
+
+Канон: [git-ai.yml.snippet.yml](./template/git-ai.yml.snippet.yml)

package/rules/ga/git_ai/git_ai.rego

@@ -0,0 +1,76 @@
+# Перевірка `.github/workflows/git-ai.yml` (ga.mdc).
+#
+# Канон надходить через --data: { "template": { "snippet": ... } }
+# Структура --data сформована з template/git-ai.yml.snippet.yml.
+# Substring-перевірки (`if:`, `run:` блоки) — на основі ключових фраз з template
+# steps, бо повний multi-line `run:` дуже крихкий для exact-match.
+package ga.git_ai
+
+import rego.v1
+
+# ── Аліаси ─────────────────────────────────────────────────────────────────
+
+gha_on := input["true"]
+
+job := input.jobs["git-ai"]
+
+job_run_blob := concat("\n", [run |
+	run := job.steps[_].run
+])
+
+expected_name := data.template.snippet.name
+
+expected_types := {t | some t in data.template.snippet.on.pull_request.types}
+
+expected_if := data.template.snippet.jobs["git-ai"].if
+
+expected_perms := data.template.snippet.jobs["git-ai"].permissions
+
+# Substring-маркери з template `run:` блоків — ключові команди, наявність яких
+# гарантує що workflow робить очікувані дії. Конкретний multi-line — не порівнюємо.
+install_substring := "https://usegitai.com/install.sh"
+
+run_substring := "git-ai ci github run"
+
+# ── deny rules ─────────────────────────────────────────────────────────────
+
+deny contains msg if {
+	input.name != expected_name
+	msg := sprintf("git-ai.yml: name має бути %q (ga.mdc)", [expected_name])
+}
+
+deny contains msg if {
+	not "closed" in {t | some t in gha_on.pull_request.types}
+	msg := "git-ai.yml: on.pull_request.types має містити closed (ga.mdc)"
+}
+
+deny contains msg if {
+	not job
+	msg := "git-ai.yml: jobs.git-ai відсутній (ga.mdc)"
+}
+
+deny contains msg if {
+	not contains(job_if_str, expected_if)
+	msg := sprintf("git-ai.yml: job має містити if: %s (ga.mdc)", [expected_if])
+}
+
+deny contains msg if {
+	job.permissions.contents != expected_perms.contents
+	msg := sprintf("git-ai.yml: permissions.contents має бути %s (ga.mdc)", [expected_perms.contents])
+}
+
+deny contains msg if {
+	not contains(job_run_blob, install_substring)
+	msg := "git-ai.yml: має встановлювати git-ai через curl | bash (ga.mdc)"
+}
+
+deny contains msg if {
+	not contains(job_run_blob, run_substring)
+	msg := sprintf("git-ai.yml: має виконувати %s (ga.mdc)", [run_substring])
+}
+
+# ── helpers ────────────────────────────────────────────────────────────────
+
+default job_if_str := ""
+
+job_if_str := sprintf("%v", [job.if])

package/rules/ga/git_ai/template/git-ai.yml.snippet.yml

@@ -0,0 +1,30 @@
+name: Git AI
+
+on:
+  pull_request:
+    types: [closed]
+
+concurrency:
+  group: ${{ github.ref }}-${{ github.workflow }}
+  cancel-in-progress: true
+
+jobs:
+  git-ai:
+    if: github.event.pull_request.merged == true
+    runs-on: ubuntu-latest
+    permissions:
+      contents: write
+
+    steps:
+      - name: Install git-ai
+        run: |
+          curl -fsSL https://usegitai.com/install.sh | bash
+          echo "$HOME/.git-ai/bin" >> $GITHUB_PATH
+      - name: Run git-ai
+        id: run-git-ai
+        env:
+          GITHUB_TOKEN: ${{ secrets.GITHUB_TOKEN }}
+        run: |
+          git config --global user.name "github-actions[bot]"
+          git config --global user.email "github-actions[bot]@users.noreply.github.com"
+          git-ai ci github run

package/rules/ga/lint_ga/concern.json

@@ -0,0 +1,10 @@
+{
+  "$schema": "https://unpkg.com/@7n/rules/schemas/concern.json",
+  "policy": {
+    "files": {
+      "single": ".github/workflows/lint-ga.yml",
+      "required": true
+    },
+    "missingMessage": ".github/workflows/lint-ga.yml не існує — створи за каноном ga.mdc"
+  }
+}

package/rules/ga/lint_ga/docs/fix-lint_ga.md

@@ -0,0 +1,32 @@
+---
+type: JS Module
+title: fix-lint_ga.mjs
+resource: plugins/ci-github/rules/ga/lint_ga/fix-lint_ga.mjs
+docgen:
+  crc: 7f4ab512
+  model: openai-codex/gpt-5.5
+  score: 100
+  issues: judge:inaccurate:0.98
+  judgeModel: openai-codex/gpt-5.4-mini
+---
+
+## Огляд
+
+`patterns` описує перевірку очікуваного вмісту для `.github/workflows/lint-ga.yml`, щоб lint workflow для Google Analytics залишався узгодженим із шаблоном.
+
+Секція має read-only призначення: вона фіксує очікувану поведінку без запису у файлову систему чи базу даних. Під час загального обходу свідомо не враховуються службові шляхи `.github` і `.git`.
+
+## Поведінка
+
+1. `patterns` оголошує правило автоматичного виправлення для workflow lint-перевірки Google Analytics.
+
+2. `patterns` забезпечує приведення `.github/workflows/lint-ga.yml` до очікуваного шаблонного стану, щоб CI мав стабільну перевірку GA-правил.
+
+3. `patterns` не виконує запис самостійно: воно лише описує доступне виправлення для зовнішнього механізму застосування.
+
+4. `patterns` свідомо не охоплює службові шляхи `.github` і `.git` як вхідні області для загального обходу, окрім цільового workflow-файлу, який має бути синхронізований із шаблоном.
+
+## Гарантії поведінки
+
+- Read-only: не виконує операцій запису (ФС/БД).
+- Свідомо пропускає шляхи: `.github`, `.git`.

package/rules/ga/lint_ga/docs/index.md

@@ -0,0 +1,9 @@
+---
+type: Directory Index
+title: plugins/ci-github/rules/ga/lint_ga
+resource: plugins/ci-github/rules/ga/lint_ga/
+---
+
+| Файл                              | Тип       |
+| --------------------------------- | --------- |
+| [fix-lint_ga.mjs](fix-lint_ga.md) | JS Module |

package/rules/ga/lint_ga/fix-lint_ga.mjs

@@ -0,0 +1,5 @@
+import { createTemplateFixPattern } from '@7n/rules/scripts/lib/fix/template-deep-merge.mjs'
+
+export const patterns = [
+  createTemplateFixPattern({ id: 'ga-lint_ga-template', targetPath: '.github/workflows/lint-ga.yml' })
+]

package/rules/ga/lint_ga/lint_ga.mdc

@@ -0,0 +1,21 @@
+## Структура `lint-ga.yml` — CI-лінт GitHub Actions файлів
+
+Rego-пакет: `ga.lint_ga`
+
+**Цільовий файл:** `.github/workflows/lint-ga.yml`
+
+### Що перевіряється
+
+- `name` — точна відповідність значенню з template (`Lint GA`)
+- `on.push.branches` — superset: містить `dev` і `main`
+- `on.pull_request.branches` — superset: містить `dev` і `main`
+- `on.push.paths` — superset: містить `.github/actions/**` і `.github/workflows/**`
+- `jobs.lint-ga` — job має існувати
+- `jobs.lint-ga.runs-on` — за template (`ubuntu-latest`)
+- `jobs.lint-ga.permissions.contents` — `read`
+- `jobs.lint-ga.steps` — не порожній
+- `steps[*].uses` — кожен `uses:` з template має бути присутнім у кроках; SHA-пін того самого action (`owner/action@<40-hex SHA>`, з тег-коментарем `# vX` чи без) задовольняє канонічний тег — НЕ замінюй наявний SHA-пін тегом
+- `steps[*].run` (сукупно) — містить `open-policy-agent/conftest` (Install conftest)
+- `steps[*].run` (сукупно) — містить `n-rules lint ga --no-fix`
+
+Канон: [lint-ga.yml.snippet.yml](./template/lint-ga.yml.snippet.yml)