@7n/rules-ci-github 1.2.0

package/rules/ga/lint_ga/lint_ga.rego

@@ -0,0 +1,132 @@
+# Перевірка `.github/workflows/lint-ga.yml` (ga.mdc).
+#
+# Канон надходить через --data: { "template": { "snippet": ... } }
+# Структура --data сформована з template/lint-ga.yml.snippet.yml.
+package ga.lint_ga
+
+import rego.v1
+
+# ── Аліаси ─────────────────────────────────────────────────────────────────
+
+gha_on := input["true"]
+
+job := input.jobs["lint-ga"]
+
+job_uses_set contains job.steps[_].uses
+
+job_run_blob := concat("\n", [run |
+	run := job.steps[_].run
+])
+
+expected_name := data.template.snippet.name
+
+expected_push_branches := {b | some b in data.template.snippet.on.push.branches}
+
+expected_pr_branches := {b | some b in data.template.snippet.on.pull_request.branches}
+
+expected_push_paths := {p | some p in data.template.snippet.on.push.paths}
+
+expected_runs_on := data.template.snippet.jobs["lint-ga"]["runs-on"]
+
+expected_perms := data.template.snippet.jobs["lint-ga"].permissions
+
+# Required `uses:` зі template — фільтруємо тільки кроки що мають `uses`.
+expected_uses_set contains u if {
+	some step in data.template.snippet.jobs["lint-ga"].steps
+	u := object.get(step, "uses", "")
+	u != ""
+}
+
+# Required `run:` substrings — collected from steps with `run`.
+expected_run_blob := concat("\n", [r |
+	some step in data.template.snippet.jobs["lint-ga"].steps
+	r := object.get(step, "run", "")
+	r != ""
+])
+
+# ── deny rules ─────────────────────────────────────────────────────────────
+
+deny contains msg if {
+	input.name != expected_name
+	msg := sprintf("lint-ga.yml: name має бути %q (ga.mdc)", [expected_name])
+}
+
+deny contains msg if {
+	not branches_superset_of(gha_on.push.branches, expected_push_branches)
+	msg := "lint-ga.yml: on.push.branches має містити dev і main (ga.mdc)"
+}
+
+deny contains msg if {
+	not branches_superset_of(gha_on.pull_request.branches, expected_pr_branches)
+	msg := "lint-ga.yml: on.pull_request.branches має містити dev і main (ga.mdc)"
+}
+
+deny contains msg if {
+	not paths_superset_of(gha_on.push.paths, expected_push_paths)
+	msg := "lint-ga.yml: on.push.paths має містити .github/actions/** і .github/workflows/** (ga.mdc)"
+}
+
+deny contains msg if {
+	not job
+	msg := "lint-ga.yml: jobs.lint-ga відсутній (ga.mdc)"
+}
+
+deny contains msg if {
+	job["runs-on"] != expected_runs_on
+	msg := sprintf("lint-ga.yml: runs-on має бути %s (ga.mdc)", [expected_runs_on])
+}
+
+deny contains msg if {
+	job.permissions.contents != expected_perms.contents
+	msg := sprintf("lint-ga.yml: permissions.contents має бути %s (ga.mdc)", [expected_perms.contents])
+}
+
+deny contains msg if {
+	count(job.steps) == 0
+	msg := "lint-ga.yml: jobs.lint-ga.steps відсутні (ga.mdc)"
+}
+
+deny contains msg if {
+	some required_use in expected_uses_set
+	not job_has_use_satisfying(required_use)
+	msg := sprintf("lint-ga.yml: має бути uses: %s (ga.mdc)", [required_use])
+}
+
+deny contains msg if {
+	expected_run_blob != ""
+	not contains(job_run_blob, "open-policy-agent/conftest")
+	msg := "lint-ga.yml: має бути крок Install conftest (ga.mdc)"
+}
+
+deny contains msg if {
+	expected_run_blob != ""
+	not contains(job_run_blob, "n-rules lint ga --no-fix")
+	msg := "lint-ga.yml: має бути крок run: n-rules lint ga --no-fix (ga.mdc)"
+}
+
+# ── helpers ────────────────────────────────────────────────────────────────
+
+# `uses:` з input задовольняє канонічний `owner/action@tag`: точний збіг…
+uses_satisfies(actual, expected) if actual == expected
+
+# …або той самий action-slug і ref — повний 40-hex commit SHA (zizmor ref-pin).
+# SHA-пін відповідної версії задовольняє вимогу тега — не даунгрейдимо до тега.
+uses_satisfies(actual, expected) if {
+	slug := split(expected, "@")[0]
+	startswith(actual, concat("", [slug, "@"]))
+	parts := split(actual, "@")
+	regex.match(`^[0-9a-fA-F]{40}$`, parts[count(parts) - 1])
+}
+
+job_has_use_satisfying(required) if {
+	some u in job_uses_set
+	uses_satisfies(u, required)
+}
+
+branches_superset_of(actual, expected) if {
+	expected & {b | some b in actual} == expected
+}
+
+paths_superset_of(actual, expected) if {
+	expected & {p | some p in actual} == expected
+}

package/rules/ga/lint_ga/template/lint-ga.yml.snippet.yml

@@ -0,0 +1,41 @@
+name: Lint GA
+
+on:
+  push:
+    branches:
+      - dev
+      - main
+    paths:
+      - '.github/actions/**'
+      - '.github/workflows/**'
+  pull_request:
+    branches:
+      - dev
+      - main
+
+concurrency:
+  group: ${{ github.ref }}-${{ github.workflow }}
+  cancel-in-progress: true
+
+jobs:
+  lint-ga:
+    runs-on: ubuntu-latest
+    permissions:
+      contents: read
+    steps:
+      - uses: actions/checkout@v6
+        with:
+          persist-credentials: false
+
+      - uses: ./.github/actions/setup-bun-deps
+
+      - uses: astral-sh/setup-uv@v8.0.0
+
+      - name: Install conftest
+        run: >-
+          curl -fsSL
+          https://github.com/open-policy-agent/conftest/releases/download/v0.62.0/conftest_0.62.0_Linux_x86_64.tar.gz
+          | sudo tar -xz -C /usr/local/bin conftest
+
+      - name: Lint GA
+        run: bunx n-rules lint ga --no-fix

package/rules/ga/main.json

@@ -0,0 +1 @@
+{ "auto": "завжди" }

package/rules/ga/main.mdc

@@ -0,0 +1,17 @@
+---
+description: Правила форматів для .github/workflows
+version: '1.10'
+globs: ".github/workflows/*.yml"
+alwaysApply: false
+---
+
+Правило **ga** перевіряє структуру `.github/workflows/`, наявність обов'язкових workflow-файлів і їх відповідність канонам, а також налаштування VS Code та zizmor для роботи з GitHub Actions.
+
+- [settings.json.snippet.json](./vscode_settings/template/settings.json.snippet.json)
+- [git-ai.yml.snippet.yml](./git_ai/template/git-ai.yml.snippet.yml)
+- [clean-ga-workflows.yml.snippet.yml](./clean_ga_workflows/template/clean-ga-workflows.yml.snippet.yml)
+- [lint-ga.yml.snippet.yml](./lint_ga/template/lint-ga.yml.snippet.yml)
+- [zizmor.yml.snippet.yml](./zizmor_yml/template/zizmor.yml.snippet.yml)
+- [clean-merged-branch.yml.snippet.yml](./clean_merged_branch/template/clean-merged-branch.yml.snippet.yml)
+- [extensions.json.snippet.json](./vscode_extensions/template/extensions.json.snippet.json)
+- [uses-min-versions.snippet.json](./workflow_common/template/uses-min-versions.snippet.json)

package/rules/ga/vscode_extensions/concern.json

@@ -0,0 +1,11 @@
+{
+  "$schema": "https://unpkg.com/@7n/rules/schemas/concern.json",
+  "fixability": "config",
+  "policy": {
+    "files": {
+      "single": ".vscode/extensions.json",
+      "required": true
+    },
+    "missingMessage": ".vscode/extensions.json не існує — додай github.vscode-github-actions (ga.mdc)"
+  }
+}

package/rules/ga/vscode_extensions/docs/fix-vscode_extensions.md

@@ -0,0 +1,25 @@
+---
+type: JS Module
+title: fix-vscode_extensions.mjs
+resource: plugins/ci-github/rules/ga/vscode_extensions/fix-vscode_extensions.mjs
+docgen:
+  crc: b6cffd44
+  model: omlx/gemma-4-e4b-it-OptiQ-4bit
+  tier: local-min
+  score: 100
+  issues: judge:inaccurate:0.99
+  judgeModel: openai-codex/gpt-5.4-mini
+---
+
+## Огляд
+
+Файл сканує код розширення VS Code на наявність типових помилок. Він застосовує виправлення до знайдених зразків відповідно до визначеної логіки.
+
+## Поведінка
+
+1. Виявляє зразки, що потребують виправлення у розширень VS Code.
+2. Застосовує виправлення, використовуючи логіку, визначену в скрипті `../../../scripts/lib/fix/vscode-ext-add.mjs`.
+
+## Гарантії поведінки
+
+- Read-only: не виконує операцій запису (ФС/БД).

package/rules/ga/vscode_extensions/docs/index.md

@@ -0,0 +1,11 @@
+---
+type: Directory Index
+title: plugins/ci-github/rules/ga/vscode_extensions
+resource: plugins/ci-github/rules/ga/vscode_extensions/
+---
+
+# plugins/ci-github/rules/ga/vscode_extensions
+
+| Файл                                                  | Тип       |
+| ----------------------------------------------------- | --------- |
+| [fix-vscode_extensions.mjs](fix-vscode_extensions.md) | JS Module |

package/rules/ga/vscode_extensions/fix-vscode_extensions.mjs

@@ -0,0 +1 @@
+export { patterns } from '@7n/rules/scripts/lib/fix/vscode-ext-add.mjs'

package/rules/ga/vscode_extensions/template/extensions.json.snippet.json

@@ -0,0 +1 @@
+{ "recommendations": ["github.vscode-github-actions"] }

package/rules/ga/vscode_extensions/vscode_extensions.mdc

@@ -0,0 +1,9 @@
+## `.vscode/extensions.json` — розширення для GitHub Actions
+
+Rego-пакет: `ga.vscode_extensions`
+
+**Цільовий файл:** `.vscode/extensions.json`
+
+Кожне розширення з template має бути присутнє у `recommendations`. Додаткові розширення від інших правил — допустимі (subset-перевірка).
+
+Канон: [extensions.json.snippet.json](./template/extensions.json.snippet.json)

package/rules/ga/vscode_extensions/vscode_extensions.rego

@@ -0,0 +1,18 @@
+# Перевірка `.vscode/extensions.json` для GitHub Actions (ga.mdc).
+#
+# Канон надходить через --data: { "template": { "snippet": ... } }
+# Структура --data сформована з template/extensions.json.snippet.json.
+# `recommendations` — subset-of: кожна рекомендація з template має бути у input.
+# Додаткові рекомендації від інших правил дозволені.
+#
+# Конвенція проєкту — `import rego.v1` + multi-value `deny contains msg if { … }`
+# (.cursor/rules/conftest.mdc). Лінт — `bun run lint-rego` (regal).
+package ga.vscode_extensions
+
+import rego.v1
+
+deny contains msg if {
+	some rec in data.template.snippet.recommendations
+	not rec in {r | some r in object.get(input, "recommendations", [])}
+	msg := sprintf(".vscode/extensions.json: recommendations має містити %q (ga.mdc)", [rec])
+}

package/rules/ga/vscode_settings/concern.json

@@ -0,0 +1,11 @@
+{
+  "$schema": "https://unpkg.com/@7n/rules/schemas/concern.json",
+  "fixability": "config",
+  "policy": {
+    "files": {
+      "single": ".vscode/settings.json",
+      "required": true
+    },
+    "missingMessage": ".vscode/settings.json не існує — додай [github-actions-workflow].editor.defaultFormatter (ga.mdc)"
+  }
+}

package/rules/ga/vscode_settings/docs/fix-vscode_settings.md

@@ -0,0 +1,26 @@
+---
+type: JS Module
+title: fix-vscode_settings.mjs
+resource: plugins/ci-github/rules/ga/vscode_settings/fix-vscode_settings.mjs
+docgen:
+  crc: 712711ff
+  model: openai-codex/gpt-5.4-mini
+  score: 100
+  issues: judge:inaccurate:0.97
+  judgeModel: openai-codex/gpt-5.4-mini
+---
+
+## Огляд
+
+`patterns` перевіряє та впорядковує `.vscode/settings.json` на відповідність очікуваному проєктному формату, спираючись на `settings.json`. Це потрібно, щоб редакторні налаштування залишалися в передбачуваному стані без ручних правок.
+
+## Поведінка
+
+1. `patterns` визначає набір правил для узгодження `.vscode/settings.json` з очікуваним шаблоном проєкту.
+2. `patterns` потрібен, щоб автоматично тримати налаштування редактора в погодженому стані без ручного редагування кожного разу.
+3. `patterns` працює лише з конфігурацією `.vscode/settings.json`; інших шляхів або файлів у межах цього модуля не охоплює.
+4. `patterns` не виконує записів у файлову систему чи базу даних і не покладається на кешування.
+
+## Гарантії поведінки
+
+- Read-only: не виконує операцій запису (ФС/БД).

package/rules/ga/vscode_settings/docs/index.md

@@ -0,0 +1,9 @@
+---
+type: Directory Index
+title: plugins/ci-github/rules/ga/vscode_settings
+resource: plugins/ci-github/rules/ga/vscode_settings/
+---
+
+| Файл                                              | Тип       |
+| ------------------------------------------------- | --------- |
+| [fix-vscode_settings.mjs](fix-vscode_settings.md) | JS Module |

package/rules/ga/vscode_settings/fix-vscode_settings.mjs

@@ -0,0 +1,5 @@
+import { createTemplateFixPattern } from '@7n/rules/scripts/lib/fix/template-deep-merge.mjs'
+
+export const patterns = [
+  createTemplateFixPattern({ id: 'ga-vscode_settings-template', targetPath: '.vscode/settings.json' })
+]

package/rules/ga/vscode_settings/template/settings.json.snippet.json

@@ -0,0 +1 @@
+{ "[github-actions-workflow]": { "editor.defaultFormatter": "oxc.oxc-vscode" } }

package/rules/ga/vscode_settings/vscode_settings.mdc

@@ -0,0 +1,9 @@
+## `.vscode/settings.json` — налаштування форматування GitHub Actions workflow
+
+Rego-пакет: `ga.vscode_settings`
+
+**Цільовий файл:** `.vscode/settings.json`
+
+Перевіряє 2-рівневу структуру: для кожного `<block-key>` з template кожен `<leaf-key>` у відповідному блоці input має точно відповідати очікуваному значенню. Ключі можуть містити дужки та крапки (VS Code-конвенція, наприклад `[github-actions-workflow]`).
+
+Канон: [settings.json.snippet.json](./template/settings.json.snippet.json)

package/rules/ga/vscode_settings/vscode_settings.rego

@@ -0,0 +1,22 @@
+# Перевірка `.vscode/settings.json` для GitHub Actions workflow (ga.mdc).
+#
+# Канон надходить через --data: { "template": { "snippet": ... } }
+# Структура --data сформована з template/settings.json.snippet.json.
+# Snippet — 2-рівнева мапа: <language-block-key>.<setting-key> = <expected>
+# (VS Code-конвенція: ключі типу `[github-actions-workflow]` і `editor.defaultFormatter`
+# — це літеральні string-keys із дужками/крапкою, не вкладені обʼєкти).
+#
+# Конвенція проєкту — `import rego.v1` + multi-value `deny contains msg if { … }`
+# (.cursor/rules/conftest.mdc). Лінт — `bun run lint-rego` (regal).
+package ga.vscode_settings
+
+import rego.v1
+
+deny contains msg if {
+	some block_key, expected_inner in data.template.snippet
+	inner := object.get(input, block_key, {})
+	some leaf_key, expected_value in expected_inner
+	actual := object.get(inner, leaf_key, null)
+	actual != expected_value
+	msg := sprintf(".vscode/settings.json: %s.%s має бути %q (ga.mdc)", [block_key, leaf_key, expected_value])
+}

package/rules/ga/workflow_common/concern.json

@@ -0,0 +1,9 @@
+{
+  "$schema": "https://unpkg.com/@7n/rules/schemas/concern.json",
+  "fixability": "config",
+  "policy": {
+    "files": {
+      "walkGlob": ".github/workflows/*.yml"
+    }
+  }
+}

package/rules/ga/workflow_common/template/uses-min-versions.snippet.json

@@ -0,0 +1,4 @@
+{
+  "actions/checkout": "6",
+  "Infisical/secrets-action": "1.0.16"
+}

package/rules/ga/workflow_common/workflow_common.mdc

@@ -0,0 +1,18 @@
+## Універсальні Rego-перевірки для всіх workflow-файлів
+
+Rego-пакет: `ga.workflow_common`
+
+**Цільові файли:** `.github/workflows/*.yml` (кожен файл окремо)
+
+### Що перевіряється
+
+- **concurrency** — обов'язкова наявність блоку; `group` = `${{ github.ref }}-${{ github.workflow }}`; `cancel-in-progress: true`
+- **Заборонені кроки** — `oven-sh/setup-bun`, `actions/cache`, `bun install` у будь-якому `uses:`/`run:` (мають бути інкапсульовані у composite `setup-bun-deps`)
+- **Порядок кроків** — якщо є `setup-bun-deps`, перед ним обов'язковий `actions/checkout@`
+- **Shell-продовження** — `\` перед переносом рядка у `run:` заборонено; треба `run: >-`
+- **Заборонені команди** — `depcheck` у `run:` (мігровано на `knip`)
+- **Мінімальні версії** — `uses:` з marketplace-actions перевіряються за канонічним JSON; SHA-пін (`owner/action@<40-hex SHA>`) задовольняє вимогу мінімальної версії — НЕ замінюй наявний SHA-пін тегом
+
+Канон мінімальних версій: [uses-min-versions.snippet.json](./template/uses-min-versions.snippet.json)
+
+Детальна документація поведінки — у [ga-workflow_common](../../js/workflow_common.mdc).