@7n/rules-ci-github 1.3.1 → 1.4.0

package/CHANGELOG.md

@@ -1,5 +1,15 @@
 # Changelog
 
+## [1.4.0] - 2026-07-18
+
+### Added
+
+- сервіс-орієнтований CI-канон: концерн ga/service_deploy_workflow (форма `deploy-<service>.yml`: plan-гейт ci plan, per-domain lint-джоби з needs+if, deploy dependsOn всі перевірки) і ga/lint_repo_yml (окремий lint-repo.yml для repo-wide перевірок, що не гейтять деплой)
+
+### Fixed
+
+- ga/workflows: додано пропущені `await` для `runConftestBatch` (стала async у ядрі @7n/rules 1.14) — детектор падав із «violations is not iterable»
+
 ## [1.3.1] - 2026-07-18
 
 ### Fixed

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@7n/rules-ci-github",
-  "version": "1.3.1",
+  "version": "1.4.0",
   "description": "\u041f\u043b\u0430\u0433\u0456\u043d @7n/rules: \u043a\u0430\u043d\u043e\u043d GitHub Actions (.github/workflows) \u2014 \u043e\u0431\u043e\u0432'\u044f\u0437\u043a\u043e\u0432\u0456 workflow, zizmor, VS Code",
   "keywords": [
     "github-actions",

package/rules/ga/lint_repo_yml/concern.json

@@ -0,0 +1,12 @@
+{
+  "$schema": "https://unpkg.com/@7n/rules/schemas/concern.json",
+  "fixability": "config",
+  "policy": {
+    "files": {
+      "single": ".github/workflows/lint-repo.yml",
+      "required": true
+    },
+    "check": "template",
+    "missingMessage": ".github/workflows/lint-repo.yml не існує — repo-wide перевірки без path-підтримки (knip/jscpd/dep-policy) живуть в окремому workflow, що не гейтить деплой; створи за каноном ga.mdc (mixin @7n/rules-ci-github)"
+  }
+}

package/rules/ga/lint_repo_yml/lint_repo_yml.mdc

@@ -0,0 +1,9 @@
+## Deep-subset `.github/workflows/lint-repo.yml` (repo-wide перевірки)
+
+Цільовий файл: `.github/workflows/lint-repo.yml` — **обовʼязковий** для github-консюмерів.
+
+Repo-wide перевірки без path-підтримки (`scope: full` без glob: knip, jscpd, dep-policy, utils_imports тощо) не вміють скоупитись на каталог сервісу, тому живуть в окремому workflow з кроком `bunx n-rules lint --repo-wide --no-fix` і **не гейтять деплой**: жоден `deploy-*.yml` не має `needs` на цей workflow (сервіс-канон — `service_deploy_workflow`).
+
+Перевірка — чистий deep-subset без rego (`"check": "template"`): фактичний файл мусить структурно містити сніпет (тригер push/PR на dev/main без paths-фільтра, checkout з `persist-credentials: false`, prep `./.github/actions/setup-bun-deps`, крок `lint --repo-wide --no-fix`). Додаткові кроки/поля дозволені.
+
+Канон-snippet: [lint-repo.yml.snippet.yml](./template/lint-repo.yml.snippet.yml)

package/rules/ga/lint_repo_yml/template/lint-repo.yml.snippet.yml

@@ -0,0 +1,31 @@
+name: Lint repo-wide
+
+on:
+  push:
+    branches:
+      - dev
+      - main
+
+  pull_request:
+    branches:
+      - dev
+      - main
+
+concurrency:
+  group: ${{ github.ref }}-${{ github.workflow }}
+  cancel-in-progress: true
+
+jobs:
+  lint-repo:
+    runs-on: ubuntu-latest
+    permissions:
+      contents: read
+    steps:
+      - uses: actions/checkout@v6
+        with:
+          persist-credentials: false
+
+      - uses: ./.github/actions/setup-bun-deps
+
+      - name: Repo-wide lint
+        run: bunx n-rules lint --repo-wide --no-fix

package/rules/ga/main.mdc

@@ -1,6 +1,6 @@
 ---
 description: Правила форматів для .github/workflows
-version: '1.10'
+version: '1.11'
 globs: ".github/workflows/*.yml"
 alwaysApply: false
 ---
@@ -15,3 +15,12 @@ alwaysApply: false
 - [clean-merged-branch.yml.snippet.yml](./clean_merged_branch/template/clean-merged-branch.yml.snippet.yml)
 - [extensions.json.snippet.json](./vscode_extensions/template/extensions.json.snippet.json)
 - [uses-min-versions.snippet.json](./workflow_common/template/uses-min-versions.snippet.json)
+- [lint-repo.yml.snippet.yml](./lint_repo_yml/template/lint-repo.yml.snippet.yml)
+
+## Repo-wide лінти (`lint-repo.yml`, обовʼязковий)
+
+Перевірки без path-підтримки (`scope: full` без glob: knip, jscpd, dep-policy тощо) живуть в окремому обовʼязковому workflow `.github/workflows/lint-repo.yml` із кроком `bunx n-rules lint --repo-wide --no-fix`. Він **не гейтить деплой** — жоден deploy-workflow не має на нього `needs`. Деталі: [lint_repo_yml.mdc](./lint_repo_yml/lint_repo_yml.mdc).
+
+## Сервіс-орієнтовані deploy-workflow (`deploy-*.yml`, опційно)
+
+Монорепо з деплой-сервісами (каталог сервісу, напр. `run/nexus`) оформлює деплой per-service workflow `deploy-<service>.yml`: тригер `paths` по каталогу → джоба `plan` (`bunx n-rules ci plan --path <svc> --github`) → паралельні `lint-<domain>`-джоби з гейтом по outputs плану + тести сервісу → deploy з `needs` на всі перевірки (skipped не блокує, failed блокує). Форму перевіряє rego-концерн `service_deploy_workflow`; приклад — [deploy-service.yml.snippet.yml](./service_deploy_workflow/template/deploy-service.yml.snippet.yml), деталі — [service_deploy_workflow.mdc](./service_deploy_workflow/service_deploy_workflow.mdc). Співіснує з file-type-workflow (`lint-js.yml` тощо) — ті покривають зміни поза сервіс-каталогами.

package/rules/ga/service_deploy_workflow/concern.json

@@ -0,0 +1,9 @@
+{
+  "$schema": "https://unpkg.com/@7n/rules/schemas/concern.json",
+  "fixability": "config",
+  "policy": {
+    "files": {
+      "walkGlob": [".github/workflows/deploy-*.yml"]
+    }
+  }
+}

package/rules/ga/service_deploy_workflow/service_deploy_workflow.mdc

@@ -0,0 +1,21 @@
+## Rego-gate сервіс-орієнтованих deploy-workflow (`.github/workflows/deploy-*.yml`)
+
+Rego-пакет: `ga.service_deploy_workflow`
+
+Цільові файли: усі `.github/workflows/deploy-*.yml` (walkGlob). Немає жодного — концерн мовчить: сервіс-канон опційний, перелік сервісів консюмер-специфічний (реєстру немає).
+
+Канонічна форма per-service workflow (`deploy-<service>.yml`, каталог сервісу — напр. `run/nexus`):
+
+1. **Тригер** — `on.push.paths` із глобом каталогу сервісу (`run/<service>/**`).
+2. **`plan`-джоба** — checkout `fetch-depth: 0` → prep (`./.github/actions/setup-bun-deps`) → `bunx n-rules ci plan --path run/<service> --github` (крок з `id: plan`, outputs прокинуті в `jobs.plan.outputs`).
+3. **`lint-<domain>`-джоби** (паралельно, по одній на домен сервісу) — `needs: plan`, гейт `if: needs.plan.outputs.<domain> == 'true'` (ключ = домен із `-`→`_`), крок `bunx n-rules lint <domain> --path run/<service> --no-fix` з тим самим `--path`, що в plan. Зайва домен-джоба нешкідлива (ci plan її скіпне), відсутня потрібна — дірка в гейті.
+4. **`test`-джоба** — `needs: plan`, `if: needs.plan.outputs.any == 'true'`; тести лише сервісу (`bun test run/<service>`; python-стек — `astral-sh/setup-uv` + `uv sync --locked` + `pytest run/<service>`).
+5. **Деплой** — needs-ланцюг (можна через проміжний `build`) **транзитивно досягає** `plan` і всі lint/test-джоби; кожна джоба з `needs` на умовні lint-джоби має `if` з `!cancelled()` та `!contains(needs.*.result, 'failure')` — skipped-лінт не блокує деплой, failed — блокує.
+
+Що перевіряє rego: наявність plan-джоби з `ci plan --path … --github`; збіг `on.push.paths` ↔ `--path`; для кожної lint-джоби — `needs: plan`, гейт по outputs, той самий `--path`, `--no-fix`, prep-крок, `fetch-depth: 0`; для термінальних джоб — транзитивну досяжність plan і всіх перевірок та skip-толерантний `if`.
+
+Що НЕ перевіряється (справа автора): добір доменів під вміст сервісу, зміст test/deploy-кроків, секрети/environment, uv-prep. Спільні workflow-інваріанти (persist-credentials, min-версії uses, існування paths-глобів) покривають `workflow_common` і `workflows`.
+
+Repo-wide перевірки без path-підтримки (knip, jscpd, dep-policy) сюди НЕ входять — вони в окремому `lint-repo.yml` (концерн `lint_repo_yml`) і деплой не гейтять.
+
+Канон-snippet (документаційний приклад): [deploy-service.yml.snippet.yml](./template/deploy-service.yml.snippet.yml)

package/rules/ga/service_deploy_workflow/service_deploy_workflow.rego

@@ -0,0 +1,213 @@
+# Форма сервіс-орієнтованого deploy-workflow (`.github/workflows/deploy-*.yml`).
+#
+# Канон (ga.mdc, сніпет template/deploy-service.yml.snippet.yml):
+#   plan (checkout fetch-depth:0 + prep + `bunx n-rules ci plan --path <svc> --github`)
+#     ├─ lint-<domain> × N  (needs: plan; if: needs.plan.outputs.<domain> == 'true';
+#     │                      `bunx n-rules lint <domain> --path <svc> --no-fix`)
+#     ├─ test               (needs: plan)
+#     └─ deploy             (needs-ланцюг досягає plan і ВСІ lint-джоби;
+#                            if: !cancelled() + !contains(needs.*.result, 'failure'))
+#
+# Перелік сервісів консюмер-специфічний — концерн перевіряє ФОРМУ кожного
+# знайденого deploy-*.yml, не реєстр. Ланцюги deploy (build → deploy) законні:
+# досяжність рахується транзитивно через graph.reachable.
+#
+# Не перевіряється тут (лишається .mdc-каноном): вибір набору доменів під
+# сервіс, зміст test/deploy-кроків, outputs-мапінг plan-джоби, uv-prep для
+# python-стеку. Спільні workflow-перевірки (persist-credentials, min-версії
+# uses) — у ga.workflow_common; існування paths-глобів — у ga/workflows.
+package ga.service_deploy_workflow
+
+import rego.v1
+
+# ── extraction ──────────────────────────────────────────────────────────
+
+jobs := object.get(input, "jobs", {})
+
+# YAML-парсери розходяться щодо `on:`: YAML 1.2 → ключ "on", YAML 1.1 → bool true.
+on_block := object.union(object.get(input, "on", {}), object.get(input, true, {}))
+
+push_paths contains p if some p in object.get(object.get(on_block, "push", {}), "paths", [])
+
+plan_runs contains r if {
+	some step in object.get(object.get(jobs, "plan", {}), "steps", [])
+	r := object.get(step, "run", "")
+	contains(r, "n-rules ci plan")
+}
+
+# Сервісний каталог із команди plan-джоби (`--path <svc>`).
+service_paths contains p if {
+	some r in plan_runs
+	m := regex.find_all_string_submatch_n(`n-rules ci plan\s+--path\s+(\S+)`, r, 1)
+	count(m) > 0
+	p := m[0][1]
+}
+
+# Lint-джоби (крок `n-rules lint <domain> … --path …`) з розібраною командою.
+lint_cmds contains cmd if {
+	some name, job in jobs
+	name != "plan"
+	some step in object.get(job, "steps", [])
+	r := object.get(step, "run", "")
+	m := regex.find_all_string_submatch_n(`n-rules lint\s+([a-z0-9-]+)\s+[^\n]*--path\s+(\S+)`, r, 1)
+	count(m) > 0
+	cmd := {"job": name, "domain": m[0][1], "path": m[0][2], "run": r}
+}
+
+check_jobs contains cmd.job if some cmd in lint_cmds
+
+# Граф залежностей і транзитивна досяжність (ланцюг deploy → build → lint).
+needs_graph[name] := needs_of(job) if some name, job in jobs
+
+all_needed contains n if {
+	some job in jobs
+	some n in needs_of(job)
+}
+
+# Термінальні джоби: ніхто від них не залежить (крім plan/lint-джоб).
+terminal_jobs contains name if {
+	some name in object.keys(jobs)
+	name != "plan"
+	not name in check_jobs
+	not name in all_needed
+}
+
+# ── deny: plan-джоба ────────────────────────────────────────────────────
+
+deny contains msg if {
+	count(jobs) > 0
+	not jobs.plan
+	msg := "deploy-workflow: немає job `plan` з кроком `bunx n-rules ci plan --path <svc> --github` (ga.mdc: сервіс-канон)"
+}
+
+deny contains msg if {
+	jobs.plan
+	count(plan_runs) == 0
+	msg := "deploy-workflow: job `plan` без кроку `bunx n-rules ci plan …` (ga.mdc: сервіс-канон)"
+}
+
+deny contains msg if {
+	msg := "deploy-workflow: `ci plan` без `--path <serviceDir>` (ga.mdc: сервіс-канон)"
+	some r in plan_runs
+	not regex.match(`n-rules ci plan\s+--path\s+\S+`, r)
+}
+
+deny contains msg if {
+	msg := "deploy-workflow: `ci plan` без `--github` — outputs не потраплять у $GITHUB_OUTPUT (ga.mdc)"
+	some r in plan_runs
+	not contains(r, "--github")
+}
+
+# ── deny: тригер paths ↔ сервісний каталог ─────────────────────────────
+
+deny contains msg if {
+	some sp in service_paths
+	not trigger_covers(sp)
+	msg := sprintf("deploy-workflow: on.push.paths не містить glob для сервісного каталогу %s (ga.mdc)", [sp])
+}
+
+# ── deny: lint-джоби ────────────────────────────────────────────────────
+
+deny contains msg if {
+	some cmd in lint_cmds
+	not "plan" in needs_of(jobs[cmd.job])
+	msg := sprintf("%s: lint-джоба мусить мати needs: plan (ga.mdc: сервіс-канон)", [cmd.job])
+}
+
+deny contains msg if {
+	some cmd in lint_cmds
+	cond := object.get(jobs[cmd.job], "if", "")
+	not contains(cond, sprintf("needs.plan.outputs.%s", [replace(cmd.domain, "-", "_")]))
+	msg := sprintf("%s: lint-джоба без гейта `if: needs.plan.outputs.%s == 'true'` — крок не скіпатиметься (ga.mdc)", [cmd.job, replace(cmd.domain, "-", "_")])
+}
+
+deny contains msg if {
+	count(service_paths) > 0
+	some cmd in lint_cmds
+	not cmd.path in service_paths
+	msg := sprintf("%s: `lint %s --path %s` ≠ `--path` plan-джоби — лінтиться інший каталог (ga.mdc)", [cmd.job, cmd.domain, cmd.path])
+}
+
+deny contains msg if {
+	some cmd in lint_cmds
+	not contains(cmd.run, "--no-fix")
+	msg := sprintf("%s: `n-rules lint` у CI мусить мати `--no-fix` (ga.mdc)", [cmd.job])
+}
+
+deny contains msg if {
+	some cmd in lint_cmds
+	not job_has_prep(jobs[cmd.job])
+	msg := sprintf("%s: lint-джоба без prep-кроку `uses: ./.github/actions/setup-bun-deps` (джоби не шарять ФС) (ga.mdc)", [cmd.job])
+}
+
+# ── deny: fetch-depth для git-дельти ────────────────────────────────────
+
+deny contains msg if {
+	count(plan_runs) > 0
+	not job_has_full_checkout(jobs.plan)
+	msg := "plan: checkout мусить мати fetch-depth: 0 — без історії git-дельта `ci plan` не рахується (ga.mdc)"
+}
+
+deny contains msg if {
+	some cmd in lint_cmds
+	not job_has_full_checkout(jobs[cmd.job])
+	msg := sprintf("%s: checkout мусить мати fetch-depth: 0 — без історії `lint --path` не бачить дельти (ga.mdc)", [cmd.job])
+}
+
+# ── deny: термінальні (deploy) джоби ────────────────────────────────────
+
+deny contains msg if {
+	count(check_jobs) > 0
+	some name in terminal_jobs
+	not "plan" in graph.reachable(needs_graph, {name})
+	msg := sprintf("%s: термінальна джоба не досягає `plan` через needs-ланцюг (ga.mdc: сервіс-канон)", [name])
+}
+
+deny contains msg if {
+	some name in terminal_jobs
+	some cj in check_jobs
+	not cj in graph.reachable(needs_graph, {name})
+	msg := sprintf("%s: термінальна джоба не досягає перевірки `%s` через needs-ланцюг — деплой не гейтиться нею (ga.mdc)", [name, cj])
+}
+
+# Skipped-лінт (умовний гейт спрацював) не мусить блокувати деплой, а fail —
+# мусить: канонічний if = `!cancelled() && !contains(needs.*.result, 'failure')`.
+deny contains msg if {
+	some name in terminal_jobs
+	needed := needs_of(jobs[name])
+	count([cj | some cj in check_jobs; cj in needed]) > 0
+	cond := object.get(jobs[name], "if", "")
+	not skip_tolerant(cond)
+	msg := sprintf("%s: джоба з needs на умовні lint-джоби мусить мати if із `!cancelled()` і `!contains(needs.*.result, 'failure')` — інакше skipped-лінт назавжди блокує деплой (ga.mdc)", [name])
+}
+
+# ── helpers ─────────────────────────────────────────────────────────────
+
+# needs: string | array → array.
+needs_of(job) := [n] if {
+	n := object.get(job, "needs", [])
+	is_string(n)
+}
+
+needs_of(job) := object.get(job, "needs", []) if is_array(object.get(job, "needs", []))
+
+trigger_covers(sp) if {
+	some p in push_paths
+	startswith(p, sp)
+}
+
+job_has_prep(job) if {
+	some step in object.get(job, "steps", [])
+	step.uses == "./.github/actions/setup-bun-deps"
+}
+
+job_has_full_checkout(job) if {
+	some step in object.get(job, "steps", [])
+	startswith(object.get(step, "uses", ""), "actions/checkout@")
+	step.with["fetch-depth"] == 0
+}
+
+skip_tolerant(cond) if {
+	contains(cond, "!cancelled()")
+	contains(cond, "needs.*.result")
+}

package/rules/ga/service_deploy_workflow/template/deploy-service.yml.snippet.yml

@@ -0,0 +1,88 @@
+# Документаційний приклад сервіс-орієнтованого deploy-workflow (ga.mdc).
+# Це НЕ deep-subset-канон (перелік сервісів консюмер-специфічний, назва файлу
+# deploy-<service>.yml) — форму перевіряє service_deploy_workflow.rego.
+# Плейсхолдер run/<service> заміни на каталог сервісу; набір lint-<domain>
+# джоб добери під стеки сервісу (зайва джоба нешкідлива — ci plan її скіпне).
+name: Deploy <service>
+
+on:
+  push:
+    branches:
+      - dev
+      - main
+    paths:
+      - 'run/<service>/**'
+
+concurrency:
+  group: ${{ github.ref }}-${{ github.workflow }}
+  cancel-in-progress: true
+
+jobs:
+  plan:
+    runs-on: ubuntu-latest
+    permissions:
+      contents: read
+    outputs:
+      js: ${{ steps.plan.outputs.js }}
+      python: ${{ steps.plan.outputs.python }}
+      any: ${{ steps.plan.outputs.any }}
+    steps:
+      - uses: actions/checkout@v6
+        with:
+          persist-credentials: false
+          fetch-depth: 0
+
+      - uses: ./.github/actions/setup-bun-deps
+
+      - id: plan
+        run: bunx n-rules ci plan --path run/<service> --github
+
+  lint-js:
+    needs: plan
+    if: needs.plan.outputs.js == 'true'
+    runs-on: ubuntu-latest
+    permissions:
+      contents: read
+    steps:
+      - uses: actions/checkout@v6
+        with:
+          persist-credentials: false
+          fetch-depth: 0
+
+      - uses: ./.github/actions/setup-bun-deps
+
+      - run: bunx n-rules lint js --path run/<service> --no-fix
+
+  # …lint-<domain> для кожного домену сервісу (python/docker/k8s/security/…)
+
+  test:
+    needs: plan
+    if: needs.plan.outputs.any == 'true'
+    runs-on: ubuntu-latest
+    permissions:
+      contents: read
+    steps:
+      - uses: actions/checkout@v6
+        with:
+          persist-credentials: false
+          fetch-depth: 0
+
+      - uses: ./.github/actions/setup-bun-deps
+
+      # python-стек: перед тестами ще uv (uses: astral-sh/setup-uv@v7 + uv sync --locked)
+      - run: bun test run/<service>
+
+  deploy:
+    needs:
+      - plan
+      - lint-js
+      - test
+    # Skipped-лінт (гейт ci plan) НЕ блокує деплой; failed — блокує.
+    if: ${{ !cancelled() && needs.plan.result == 'success' && !contains(needs.*.result, 'failure') && !contains(needs.*.result, 'cancelled') }}
+    runs-on: ubuntu-latest
+    steps:
+      - uses: actions/checkout@v6
+        with:
+          persist-credentials: false
+
+      # …кроки деплою сервісу (build/push/apply)