@7n/rules-ci-github 1.2.2 → 1.3.1

package/CHANGELOG.md

@@ -1,5 +1,17 @@
 # Changelog
 
+## [1.3.1] - 2026-07-18
+
+### Fixed
+
+- ga/workflows: `runConftestBatch` викликається з `await` — ядро зробило його async у @7n/rules 1.14 (#109), без await детектор падав «violations is not iterable» і валив увесь lint-прогін
+
+## [1.3.0] - 2026-07-17
+
+### Changed
+
+- ga/workflow_common: дозволено режим release-серіалізації concurrency — статичний group + cancel-in-progress: false
+
 ## [1.2.2] - 2026-07-16
 
 ### Changed

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@7n/rules-ci-github",
-  "version": "1.2.2",
+  "version": "1.3.1",
   "description": "\u041f\u043b\u0430\u0433\u0456\u043d @7n/rules: \u043a\u0430\u043d\u043e\u043d GitHub Actions (.github/workflows) \u2014 \u043e\u0431\u043e\u0432'\u044f\u0437\u043a\u043e\u0432\u0456 workflow, zizmor, VS Code",
   "keywords": [
     "github-actions",

package/rules/ga/workflow_common/workflow_common.mdc

@@ -6,7 +6,10 @@ Rego-пакет: `ga.workflow_common`
 
 ### Що перевіряється
 
-- **concurrency** — обов'язкова наявність блоку; `group` = `${{ github.ref }}-${{ github.workflow }}`; `cancel-in-progress: true`
+- **concurrency** — обов'язкова наявність блоку; два допустимі режими:
+  - канонічний CI: `group` = `${{ github.ref }}-${{ github.workflow }}` + `cancel-in-progress: true`
+  - release-серіалізація: статичний `group` (без `${{ }}`-виразів, глобальний lock) + `cancel-in-progress: false` — для workflow, що піднімають версію/тег/CHANGELOG і не можуть бути скасовані на півдорозі; відсутній `cancel-in-progress` = `false` (семантика GitHub)
+  - змішані комбінації (статичний `group` + `true`, per-ref `group` + `false`) — заборонені
 - **Заборонені кроки** — `oven-sh/setup-bun`, `actions/cache`, `bun install` у будь-якому `uses:`/`run:` (мають бути інкапсульовані у composite `setup-bun-deps`)
 - **Порядок кроків** — якщо є `setup-bun-deps`, перед ним обов'язковий `actions/checkout@`
 - **Shell-продовження** — `\` перед переносом рядка у `run:` заборонено; треба `run: >-`

package/rules/ga/workflow_common/workflow_common.rego

@@ -18,6 +18,10 @@ import rego.v1
 
 expected_concurrency_group := concat("", ["$", "{{ github.ref }}-$", "{{ github.workflow }}"])
 
+# Маркер GitHub-виразу `${{` — через concat (та сама причина, що й у
+# expected_concurrency_group): без сирого літерала в rego-джерелі.
+gh_expr_marker := concat("", ["$", "{{"])
+
 # Локальні composite setup-bun-deps (ga.mdc) — два варіанти шляху:
 # `.github/actions/...` (cursor-репо) і `npm/github-actions/...` (npm-пакет dev-локально).
 local_setup_bun_markers := {
@@ -45,6 +49,16 @@ concurrency_missing_template := concat(" ", [
 	"додай concurrency.group: %s і cancel-in-progress: true (ga.mdc)",
 ])
 
+concurrency_group_template := concat(" ", [
+	"concurrency.group має бути %s,",
+	"або статичний рядок-lock для release-серіалізації (ga.mdc)",
+])
+
+concurrency_release_cancel_template := concat(" ", [
+	"статичний concurrency.group — release-серіалізація: скасування на півдорозі",
+	"лишає репо в неконсистентному стані, тому cancel-in-progress: false (ga.mdc)",
+])
+
 shell_continuation_template := concat(" ", [
 	"jobs.%s.steps[%d]: у run заборонено продовження рядків через зворотний сліш;",
 	"оформи як folded block (run: >-) (ga.mdc)",
@@ -147,6 +161,14 @@ deny contains msg if {
 # Дублює окремі per-workflow перевірки для clean-ga-workflows / clean-merged-branch /
 # lint-ga / git-ai, але вкриває й решту workflow-файлів (apply-k8s, lint-js, …),
 # для яких поки немає виділеної polysi.
+#
+# Допустимі рівно два когерентні режими:
+#   1. канонічний CI: per-ref group + cancel-in-progress: true;
+#   2. release-серіалізація: статичний group (глобальний lock, без `${{ }}`-виразів)
+#      + cancel-in-progress: false — для workflow, що піднімають версію/тег і не
+#      можуть бути скасовані на півдорозі (per-ref lock не захищає від двох
+#      одночасних push-подій, які обидві піднімають версію).
+# Змішані комбінації (статичний group + true, per-ref + false) — заборонені.
 
 deny contains msg if {
 	# `object.get(…, default)` повертає `false` коли ключа немає — інакше `not is_object(…)`
@@ -157,16 +179,25 @@ deny contains msg if {
 
 deny contains msg if {
 	is_object(object.get(input, "concurrency", false))
-	input.concurrency.group != expected_concurrency_group
-	msg := sprintf("concurrency.group має бути %s (ga.mdc)", [expected_concurrency_group])
+	group := object.get(input.concurrency, "group", "")
+	group != expected_concurrency_group
+	not is_release_lock_group(group)
+	msg := sprintf(concurrency_group_template, [expected_concurrency_group])
 }
 
 deny contains msg if {
 	is_object(object.get(input, "concurrency", false))
-	input.concurrency["cancel-in-progress"] != true
+	input.concurrency.group == expected_concurrency_group
+	object.get(input.concurrency, "cancel-in-progress", false) != true
 	msg := "concurrency.cancel-in-progress має бути true (ga.mdc)"
 }
 
+deny contains concurrency_release_cancel_template if {
+	is_object(object.get(input, "concurrency", false))
+	is_release_lock_group(object.get(input.concurrency, "group", ""))
+	object.get(input.concurrency, "cancel-in-progress", false) != false
+}
+
 # ── deny: мінімальні версії marketplace actions у `uses:` ─────────────────
 #
 # Канон — `template/uses-min-versions.snippet.json` (через --data).
@@ -191,6 +222,14 @@ deny contains msg if {
 
 # ── helpers ────────────────────────────────────────────────────────────────
 
+# Статичний непорожній group без `${{ }}`-виразів — глобальний lock
+# (режим release-серіалізації concurrency).
+is_release_lock_group(group) if {
+	is_string(group)
+	group != ""
+	not contains(group, gh_expr_marker)
+}
+
 # Об'єднаний рядок `uses` + `run` для одного кроку — для substring-пошуку
 # заборонених патернів. `run` може бути рядком або масивом рядків (YAML).
 step_uses_or_run_blob(step) := blob if {

package/rules/ga/workflows/docs/main.md

@@ -3,7 +3,7 @@ type: JS Module
 title: main.mjs
 resource: plugins/ci-github/rules/ga/workflows/main.mjs
 docgen:
-  crc: d1b152f8
+  crc: 0e45c8c5
 ---
 
 ## Огляд

package/rules/ga/workflows/main.mjs

@@ -331,7 +331,7 @@ async function runAllGaRego(wfDir, ymlWorkflows, cwd, pass, fail) {
     const concernDir = join(GA_POLICY_DIR, target.policyDirRel.split('/', 2)[1])
     const tpl = await loadTemplate(concernDir)
     const templateData = tpl[basename(target.workflow)]
-    const violations = runConftestBatch({
+    const violations = await runConftestBatch({
       policyDirRel: target.policyDirRel,
       // Правило живе у плагіні поза вбудованим rules/ ядра — резолвимо policy-теку від себе.
       policyDirAbs: concernDir,
@@ -351,7 +351,7 @@ async function runAllGaRego(wfDir, ymlWorkflows, cwd, pass, fail) {
   const workflowCommonDir = join(GA_POLICY_DIR, 'workflow_common')
   const workflowCommonTpl = await loadTemplate(workflowCommonDir)
   const usesMinVersionsSnippet = workflowCommonTpl['uses-min-versions']?.snippet
-  const violations = runConftestBatch({
+  const violations = await runConftestBatch({
     policyDirRel: 'ga/workflow_common',
     policyDirAbs: workflowCommonDir,
     namespace: 'ga.workflow_common',