@7n/rules-ci-github 1.5.0 → 1.6.1

package/CHANGELOG.md

@@ -1,5 +1,17 @@
 # Changelog
 
+## [1.6.1] - 2026-07-18
+
+### Changed
+
+- fix-service_deploy_workflow: `parseNRulesCmd`/`relevantDomains` перенесено в спільний `@7n/rules/scripts/lib/lint-surface/ci-plan.mjs` (jscpd-дублікат із ci-azure), без зміни поведінки
+
+## [1.6.0] - 2026-07-18
+
+### Added
+
+- GA-автоміграція: T0-фікс service_deploy_workflow переписує deploy-*.yml до канону — job plan з outputs-мапінгом, легасі `lint --path` → per-domain lint-джоби (needs+if по outputs), перешивка needs, Skipped-толерантний if термінальних джоб; yaml Document API зберігає коментарі
+
 ## [1.5.0] - 2026-07-18
 
 ### Added

package/package.json

@@ -1,7 +1,7 @@
 {
   "name": "@7n/rules-ci-github",
-  "version": "1.5.0",
-  "description": "\u041f\u043b\u0430\u0433\u0456\u043d @7n/rules: \u043a\u0430\u043d\u043e\u043d GitHub Actions (.github/workflows) \u2014 \u043e\u0431\u043e\u0432'\u044f\u0437\u043a\u043e\u0432\u0456 workflow, zizmor, VS Code",
+  "version": "1.6.1",
+  "description": "Плагін @7n/rules: канон GitHub Actions (.github/workflows) — обов'язкові workflow, zizmor, VS Code",
   "keywords": [
     "github-actions",
     "ci",
@@ -45,5 +45,8 @@
   "engines": {
     "bun": ">=1.3",
     "node": ">=24"
+  },
+  "dependencies": {
+    "yaml": "^2.9.0"
   }
 }

package/rules/ga/service_deploy_workflow/docs/fix-service_deploy_workflow.md

@@ -0,0 +1,30 @@
+---
+type: JS Module
+title: fix-service_deploy_workflow.mjs
+resource: plugins/ci-github/rules/ga/service_deploy_workflow/fix-service_deploy_workflow.mjs
+docgen:
+  crc: c6a64f66
+  model: openai-codex/gpt-5.4-mini
+  score: 100
+  issues: judge:inaccurate:0.99
+  judgeModel: openai-codex/gpt-5.4-mini
+---
+
+## Огляд
+
+Файл виконує T0-автоміграцію `.github/workflows/deploy-*.yml` до сервісного канону для `service_deploy_workflow`, як у `fix-service_deploy_pipeline` для `ci-azure`: детерміновано переписує лише workflow, що не відповідають формі `plan → lint-<domain> → deploy`. Додає job `plan` із `fetch-depth: 0`, prep і `bunx n-rules ci plan --path <svc> --github`, створює `id: plan` та outputs-мапінг доменів і `any`, щоб `needs.plan.outputs.*` були доступні в runtime. Legacy job із `n-rules lint --path <svc>` без домену замінює на per-domain jobs `lint-<domain>` за тими самими glob-ами, що й `ci plan` через `computeActiveDomains/domainKey`; domain-style lint-джоби отримують wiring із `needs: plan`, умовами по outputs, `--no-fix`, `fetch-depth: 0` і prep. `needs` інших jobs перешивається з legacy-імені, а jobs із прямими `needs` на умовні lint-джоби без власного `if` отримують Skipped-толерантний канон `!cancelled` + `!contains`. Мутації виконуються через YAML Document API, тому `jobs` у GA лишається map, а коментарі та форматування незачеплених частин зберігаються; наявний нетривіальний `if` не перезаписується. Публічні функції: `migrateWorkflowFile`, `patterns`. Fail-safe: помилки не прокидаються назовні, а за окремих збоїв повертається порожнє значення.
+
+## Поведінка
+
+- `migrateWorkflowFile` — мігрує один GitHub Actions deploy-workflow до сервісного канону: додає `plan`, розкладає legacy lint на per-domain jobs, перешиває `needs` і лишає файл без змін, якщо міграція не потрібна або не вдалася.
+- `patterns` — описує T0-патерн fix-конвеєра: запускає міграцію лише для workflow з порушенням і повертає перелік змінених файлів та коротке повідомлення без винесення помилок назовні.
+
+## Публічний API
+
+- migrateWorkflowFile — переводить один deploy-workflow у канонічний формат і повідомляє, чи були зміни
+- patterns — задає шаблони для розпізнавання та обробки workflow-файлів
+
+## Гарантії поведінки
+
+- Перехоплює помилки і не пропускає винятків назовні (fail-safe).
+- За певних помилок повертає порожнє значення (напр. `null`) замість винятку.

package/rules/ga/service_deploy_workflow/docs/index.md

@@ -0,0 +1,9 @@
+---
+type: Directory Index
+title: plugins/ci-github/rules/ga/service_deploy_workflow
+resource: plugins/ci-github/rules/ga/service_deploy_workflow/
+---
+
+| Файл                                                              | Тип       |
+| ----------------------------------------------------------------- | --------- |
+| [fix-service_deploy_workflow.mjs](fix-service_deploy_workflow.md) | JS Module |

package/rules/ga/service_deploy_workflow/fix-service_deploy_workflow.mjs

@@ -0,0 +1,354 @@
+/**
+ * T0-автоміграція GA deploy-workflow до сервіс-канону (ADR 260718-0835) —
+ * дзеркало fix-service_deploy_pipeline (ci-azure) для GitHub Actions.
+ *
+ * Детермінований переписувач `.github/workflows/deploy-*.yml`, що НЕ
+ * відповідають формі plan → lint-<domain> → deploy (порушення rego-концерну
+ * service_deploy_workflow):
+ *
+ * - додає job `plan` (checkout fetch-depth: 0 + prep + `bunx n-rules ci plan
+ *   --path <svc> --github` з `id: plan`) і **outputs-мапінг** доменів + `any`
+ *   (без нього гейти `needs.plan.outputs.*` порожні в runtime);
+ * - легасі job із `n-rules lint --path <svc>` (без домену) замінюється на
+ *   per-domain джоби lint-<domain> — домени по файлах піддерева сервісу, ті
+ *   самі glob-и, що `ci plan` (computeActiveDomains/domainKey);
+ * - domain-style lint-джоби добираються wiring-ом (needs: plan, if по outputs,
+ *   `--no-fix`, fetch-depth: 0, prep);
+ * - `needs` інших джоб перешивається з легасі-імені; джоби з прямими needs на
+ *   умовні lint-джоби без власного `if` отримують Skipped-толерантний канон
+ *   (`!cancelled()` + `!contains(needs.*.result, 'failure')`).
+ *
+ * Мутації — через `yaml` Document API (jobs у GA — мапа, не послідовність):
+ * коментарі та форматування незачеплених частин зберігаються. Наявний
+ * нетривіальний `if` не перезаписується (deny лишається — ручне рішення).
+ */
+import { readFileSync, writeFileSync, existsSync } from 'node:fs'
+import { join } from 'node:path'
+
+import { parseDocument } from 'yaml'
+
+import { domainKey, parseNRulesCmd, relevantDomains } from '@7n/rules/scripts/lib/lint-surface/ci-plan.mjs'
+
+const GLOB_SUFFIX_RE = /\/\*+$/u
+
+const CANONICAL_DEPLOY_IF = `\${{ !cancelled() && needs.plan.result == 'success' && !contains(needs.*.result, 'failure') && !contains(needs.*.result, 'cancelled') }}`
+
+/** Канонічні prep-кроки нової джоби (checkout повної глибини + bun-залежності). */
+const CANONICAL_PREP = [
+  { uses: 'actions/checkout@v6', with: { 'persist-credentials': false, 'fetch-depth': 0 } },
+  { uses: './.github/actions/setup-bun-deps' }
+]
+
+/**
+ * Текст run-кроку ('' якщо крок не run).
+ * @param {unknown} step крок джоби (plain JS)
+ * @returns {string} команда або ''
+ */
+function stepRun(step) {
+  if (!step || typeof step !== 'object') return ''
+  const r = /** @type {Record<string, unknown>} */ (step).run
+  return typeof r === 'string' ? r : ''
+}
+
+/**
+ * needs джоби як масив імен.
+ * @param {Record<string, unknown>} job джоба (plain JS)
+ * @returns {string[]} імена залежностей
+ */
+function needsOf(job) {
+  const n = job.needs
+  if (typeof n === 'string') return [n]
+  if (Array.isArray(n)) return n.filter(x => typeof x === 'string')
+  return []
+}
+
+/**
+ * Розбір lint-кроку джоби.
+ * @param {Array<Record<string, unknown>>} steps кроки джоби (plain JS)
+ * @returns {{ legacy: boolean, domain: string|null, path: string|null, stepIndex: number }|null} розбір
+ */
+function findLintStep(steps) {
+  for (const [i, step] of steps.entries()) {
+    const parsed = parseNRulesCmd(stepRun(step), 'n-rules lint')
+    if (!parsed || parsed.path === null) continue
+    return { legacy: parsed.domain === null, domain: parsed.domain, path: parsed.path, stepIndex: i }
+  }
+  return null
+}
+
+/**
+ * Prep-кроки для нових джоб: зразок із наявної джоби з `setup-bun-deps`
+ * (кроки до нього включно, checkout → fetch-depth: 0), інакше — канонічні.
+ * @param {Array<Record<string, unknown>>} jobs джоби (plain JS)
+ * @returns {Array<Record<string, unknown>>} prep-кроки (глибока копія)
+ */
+function derivePrepSteps(jobs) {
+  for (const job of jobs) {
+    const steps = Array.isArray(job.steps) ? job.steps : []
+    const idx = steps.findIndex(s => s && typeof s === 'object' && s.uses === './.github/actions/setup-bun-deps')
+    if (idx === -1) continue
+    const prep = structuredClone(steps.slice(0, idx + 1))
+    const checkout = prep.find(s => typeof s.uses === 'string' && s.uses.startsWith('actions/checkout@'))
+    if (checkout) {
+      checkout.with = { ...checkout.with, 'fetch-depth': 0 }
+    } else {
+      prep.unshift(structuredClone(CANONICAL_PREP[0]))
+    }
+    return prep
+  }
+  return structuredClone(CANONICAL_PREP)
+}
+
+/**
+ * Джоби документа як [name, job] (plain JS); GA jobs — мапа.
+ * @param {import('yaml').Document} doc YAML-документ
+ * @returns {Array<[string, Record<string, unknown>]>} пари імʼя→джоба
+ */
+function jobEntries(doc) {
+  const js = doc.toJS() ?? {}
+  const jobs = js.jobs
+  if (!jobs || typeof jobs !== 'object' || Array.isArray(jobs)) return []
+  return Object.entries(jobs).filter(([, j]) => j && typeof j === 'object')
+}
+
+/**
+ * Сервісний каталог workflow: із plan-джоби → з легасі lint-джоби →
+ * з `on.push.paths` (glob-суфікс зрізається).
+ * @param {import('yaml').Document} doc YAML-документ
+ * @param {Array<[string, Record<string, unknown>]>} entries пари імʼя→джоба
+ * @returns {string|null} каталог сервісу або null
+ */
+function resolveServicePath(doc, entries) {
+  for (const [, job] of entries) {
+    for (const step of Array.isArray(job.steps) ? job.steps : []) {
+      const p = parseNRulesCmd(stepRun(step), 'n-rules ci plan')?.path
+      if (p) return p
+    }
+  }
+  for (const [, job] of entries) {
+    const found = findLintStep(Array.isArray(job.steps) ? job.steps : [])
+    if (found?.path) return found.path
+  }
+  const js = doc.toJS() ?? {}
+  const on = js.on ?? js.true ?? {}
+  const paths = on?.push?.paths
+  if (!Array.isArray(paths)) return null
+  return (
+    paths
+      .filter(p => typeof p === 'string')
+      .map(p => p.replace(GLOB_SUFFIX_RE, ''))
+      .find(p => p !== '' && !p.includes('*')) ?? null
+  )
+}
+
+/**
+ * Крок 1: вставляє job `plan` (з outputs-мапінгом доменів + any) першим у jobs.
+ * @param {import('yaml').Document} doc документ (мутується)
+ * @param {string[]} domains релевантні домени
+ * @param {Array<Record<string, unknown>>} prep prep-кроки
+ * @param {string} servicePath каталог сервісу
+ * @returns {void}
+ */
+function insertPlanJob(doc, domains, prep, servicePath) {
+  /** @type {Record<string, string>} */
+  const outputs = {}
+  for (const d of domains) outputs[domainKey(d)] = `\${{ steps.plan.outputs.${domainKey(d)} }}`
+  outputs.any = `\${{ steps.plan.outputs.any }}`
+  const planJob = {
+    'runs-on': 'ubuntu-latest',
+    permissions: { contents: 'read' },
+    outputs,
+    steps: [...structuredClone(prep), { id: 'plan', run: `bunx n-rules ci plan --path ${servicePath} --github` }]
+  }
+  const jobsMap = doc.getIn(['jobs'])
+  jobsMap.items.unshift(doc.createNode({ plan: planJob }).items[0])
+}
+
+/**
+ * Нова per-domain lint-джоба канону (пара [імʼя, джоба]).
+ * @param {string} domain rule-id домену
+ * @param {string} servicePath каталог сервісу
+ * @param {Array<Record<string, unknown>>} prep prep-кроки
+ * @returns {[string, Record<string, unknown>]} пара для jobs-мапи
+ */
+function buildLintJob(domain, servicePath, prep) {
+  const key = domainKey(domain)
+  return [
+    `lint-${key}`,
+    {
+      needs: 'plan',
+      if: `needs.plan.outputs.${key} == 'true'`,
+      'runs-on': 'ubuntu-latest',
+      permissions: { contents: 'read' },
+      steps: [...structuredClone(prep), { run: `bunx n-rules lint ${domain} --path ${servicePath} --no-fix` }]
+    }
+  ]
+}
+
+/**
+ * Крок 2: замінює легасі lint-джоби на per-domain джоби (in-place у мапі jobs).
+ * @param {import('yaml').Document} doc документ (мутується)
+ * @param {string[]} legacyNames імена легасі-джоб
+ * @param {string[]} domains релевантні домени
+ * @param {string} servicePath каталог сервісу
+ * @param {Array<Record<string, unknown>>} prep prep-кроки
+ * @returns {Map<string, string[]>} легасі-імʼя → нові імена
+ */
+function replaceLegacyJobs(doc, legacyNames, domains, servicePath, prep) {
+  /** @type {Map<string, string[]>} */
+  const renames = new Map()
+  const jobsMap = doc.getIn(['jobs'])
+  for (const legacyName of legacyNames) {
+    const idx = jobsMap.items.findIndex(pair => pair?.key?.toString?.() === legacyName)
+    if (idx === -1) continue
+    const newPairs = domains.map(d => buildLintJob(d, servicePath, prep))
+    const nodes = newPairs.map(([name, job]) => doc.createNode({ [name]: job }).items[0])
+    jobsMap.items.splice(idx, 1, ...nodes)
+    renames.set(
+      legacyName,
+      newPairs.map(([name]) => name)
+    )
+  }
+  return renames
+}
+
+/**
+ * Крок 3 (одна джоба): wiring domain-style lint-джоби (needs/if/--no-fix/fetch-depth/prep).
+ * @param {import('yaml').Document} doc документ (мутується)
+ * @param {string} name імʼя джоби
+ * @param {Record<string, unknown>} j джоба (plain JS)
+ * @param {{ domain: string|null, stepIndex: number }} found розбір lint-кроку
+ * @returns {boolean} чи були зміни
+ */
+function patchDomainLintJob(doc, name, j, found) {
+  let changed = false
+  const base = ['jobs', name]
+  const steps = Array.isArray(j.steps) ? j.steps : []
+  if (needsOf(j).length === 0) {
+    doc.setIn([...base, 'needs'], 'plan')
+    changed = true
+  }
+  if (typeof j.if !== 'string' && found.domain) {
+    doc.setIn([...base, 'if'], `needs.plan.outputs.${domainKey(found.domain)} == 'true'`)
+    changed = true
+  }
+  const cmd = stepRun(steps[found.stepIndex])
+  if (!cmd.includes('--no-fix')) {
+    doc.setIn([...base, 'steps', found.stepIndex, 'run'], `${cmd.trimEnd()} --no-fix`)
+    changed = true
+  }
+  const checkoutIdx = steps.findIndex(s => typeof s?.uses === 'string' && s.uses.startsWith('actions/checkout@'))
+  if (checkoutIdx !== -1 && steps[checkoutIdx]?.with?.['fetch-depth'] !== 0) {
+    doc.setIn([...base, 'steps', checkoutIdx, 'with', 'fetch-depth'], 0)
+    changed = true
+  }
+  return changed
+}
+
+/**
+ * Крок 4 (одна джоба): перешивка needs (легасі → нові) + Skipped-толерантний if.
+ * @param {import('yaml').Document} doc документ (мутується)
+ * @param {string} name імʼя джоби
+ * @param {Record<string, unknown>} j джоба (plain JS)
+ * @param {Map<string, string[]>} renames легасі-імʼя → нові lint-джоби
+ * @param {Set<string>} lintJobNames множина всіх lint-джоб
+ * @returns {boolean} чи були зміни
+ */
+function rewireOneJob(doc, name, j, renames, lintJobNames) {
+  let deps = needsOf(j)
+  if (deps.length === 0) return false
+  let changed = false
+  const base = ['jobs', name]
+  const expanded = deps.flatMap(d => renames.get(d) ?? [d])
+  if (JSON.stringify(expanded) !== JSON.stringify(deps)) {
+    doc.setIn([...base, 'needs'], doc.createNode(expanded))
+    deps = expanded
+    changed = true
+  }
+  const touchesLint = deps.some(d => lintJobNames.has(d))
+  if (touchesLint && typeof j.if !== 'string') {
+    const withPlan = deps.includes('plan') ? deps : ['plan', ...deps]
+    if (!deps.includes('plan')) doc.setIn([...base, 'needs'], doc.createNode(withPlan))
+    doc.setIn([...base, 'if'], CANONICAL_DEPLOY_IF)
+    changed = true
+  }
+  return changed
+}
+
+/**
+ * Мігрує один deploy-workflow до канону. Повертає true, якщо файл змінено.
+ * @param {string} absPath абсолютний шлях workflow-файлу
+ * @param {string} cwd корінь consumer-репо
+ * @returns {Promise<boolean>} чи були зміни
+ */
+export async function migrateWorkflowFile(absPath, cwd) {
+  const prevText = readFileSync(absPath, 'utf8')
+  let doc
+  try {
+    doc = parseDocument(prevText)
+  } catch {
+    return false
+  }
+  const entries = jobEntries(doc)
+  if (entries.length === 0) return false
+  const servicePath = resolveServicePath(doc, entries)
+  if (servicePath === null) return false
+
+  const hasPlan = entries.some(([name]) => name === 'plan')
+  const legacyNames = entries
+    .filter(([name, j]) => name !== 'plan' && findLintStep(Array.isArray(j.steps) ? j.steps : [])?.legacy)
+    .map(([name]) => name)
+
+  const jobsPlain = entries.map(([, j]) => j)
+  const prep = derivePrepSteps(jobsPlain)
+  const domains = await relevantDomains(cwd, servicePath)
+  let changed = false
+
+  if (!hasPlan) {
+    insertPlanJob(doc, domains, prep, servicePath)
+    changed = true
+  }
+  const renames = replaceLegacyJobs(doc, legacyNames, domains, servicePath, prep)
+  if (renames.size > 0) changed = true
+
+  const lintJobNames = new Set(renames.values().toArray().flat())
+  for (const [name, j] of jobEntries(doc)) {
+    if (name === 'plan') continue
+    const found = findLintStep(Array.isArray(j.steps) ? j.steps : [])
+    if (!found || found.legacy) continue
+    lintJobNames.add(name)
+    if (patchDomainLintJob(doc, name, j, found)) changed = true
+  }
+  for (const [name, j] of jobEntries(doc)) {
+    if (name === 'plan' || lintJobNames.has(name)) continue
+    if (rewireOneJob(doc, name, j, renames, lintJobNames)) changed = true
+  }
+
+  if (!changed) return false
+  writeFileSync(absPath, doc.toString())
+  return true
+}
+
+export const patterns = [
+  {
+    id: 'ga-service-workflow-canon-migrate',
+    test: violations => violations.length > 0,
+    async apply(violations, ctx) {
+      const files = [...new Set(violations.map(v => v.file).filter(Boolean))]
+      const touched = []
+      for (const rel of files) {
+        const abs = join(ctx.cwd, rel)
+        if (!existsSync(abs)) continue
+        try {
+          if (await migrateWorkflowFile(abs, ctx.cwd)) touched.push(abs)
+        } catch {
+          // міграція конкретного файлу не вдалася — лишаємо deny детектору (fail-open до ручного фіксу)
+        }
+      }
+      return {
+        touchedFiles: touched,
+        message: touched.length > 0 ? `мігровано до сервіс-канону: ${touched.length} workflow(ів)` : null
+      }
+    }
+  }
+]

package/rules/ga/service_deploy_workflow/service_deploy_workflow.mdc

@@ -18,4 +18,6 @@ Rego-пакет: `ga.service_deploy_workflow`
 
 Repo-wide перевірки без path-підтримки (knip, jscpd, dep-policy) сюди НЕ входять — вони в окремому `lint-repo.yml` (концерн `lint_repo_yml`) і деплой не гейтять.
 
+**Автоміграція (T0-фікс, `n-rules lint` у fix-режимі):** легасі deploy-workflow (job із `n-rules lint --path <svc>` без домену, без plan-джоби) детерміновано переписується до канону — додається `plan` з outputs-мапінгом доменів + `any`, легасі lint-джоба замінюється на per-domain `lint-<domain>` (домени по файлах піддерева, ті самі glob-и, що `ci plan`), `needs` залежних джоб перешивається, джоби з прямими needs на умовні lint-джоби без власного `if` отримують Skipped-толерантний канон. Нетривіальний наявний `if` не перезаписується.
+
 Канон-snippet (документаційний приклад): [deploy-service.yml.snippet.yml](./template/deploy-service.yml.snippet.yml)