@7n/rules-ci-github 1.7.0 → 1.8.0

package/CHANGELOG.md

@@ -1,5 +1,17 @@
 # Changelog
 
+## [1.8.0] - 2026-07-20
+
+### Added
+
+- service_deploy_workflow: перевірка outputs-мапінгу plan-джоби — кожен ключ гейта `needs.plan.outputs.<key>` має бути задекларований у `jobs.plan.outputs` і вказувати на `steps.<id>.outputs.<key>` реального кроку (інакше гейт тихо порожній і джоба скіпається завжди)
+
+## [1.7.1] - 2026-07-19
+
+### Changed
+
+- release: @7n/rules@1.27.0, @7n/rules-lang-js@0.3.0, @7n/rules-lang-python@0.5.1, @7n/rules-lang-rust@0.5.1
+
 ## [1.7.0] - 2026-07-18
 
 ### Changed

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@7n/rules-ci-github",
-  "version": "1.7.0",
+  "version": "1.8.0",
   "description": "Плагін @7n/rules: канон GitHub Actions (.github/workflows) — обов'язкові workflow, zizmor, VS Code",
   "keywords": [
     "github-actions",

package/rules/ga/service_deploy_workflow/service_deploy_workflow.mdc

@@ -12,7 +12,7 @@ Rego-пакет: `ga.service_deploy_workflow`
 4. **`test`-джоба** — `needs: plan`, `if: needs.plan.outputs.any == 'true'`; тести лише сервісу (`bun test run/<service>`; python-стек — `astral-sh/setup-uv` + `uv sync --locked` + `pytest run/<service>`).
 5. **Деплой** — needs-ланцюг (можна через проміжний `build`) **транзитивно досягає** `plan` і всі lint/test-джоби; кожна джоба з `needs` на умовні lint-джоби має `if` з `!cancelled()` та `!contains(needs.*.result, 'failure')` — skipped-лінт не блокує деплой, failed — блокує.
 
-Що перевіряє rego: наявність plan-джоби з `ci plan --path … --github`; збіг `on.push.paths` ↔ `--path`; для кожної lint-джоби — `needs: plan`, гейт по outputs, той самий `--path`, `--no-fix`, prep-крок, `fetch-depth: 0`; для термінальних джоб — транзитивну досяжність plan і всіх перевірок та skip-толерантний `if`.
+Що перевіряє rego: наявність plan-джоби з `ci plan --path … --github`; збіг `on.push.paths` ↔ `--path`; outputs-мапінг plan-джоби (кожен ключ, на який посилається гейт `needs.plan.outputs.<key>`, задекларований у `jobs.plan.outputs` і вказує на `steps.<id>.outputs.<key>` реального кроку — інакше гейт тихо порожній); для кожної lint-джоби — `needs: plan`, гейт по outputs, той самий `--path`, `--no-fix`, prep-крок, `fetch-depth: 0`; для термінальних джоб — транзитивну досяжність plan і всіх перевірок та skip-толерантний `if`.
 
 Що НЕ перевіряється (справа автора): добір доменів під вміст сервісу, зміст test/deploy-кроків, секрети/environment, uv-prep. Спільні workflow-інваріанти (persist-credentials, min-версії uses, існування paths-глобів) покривають `workflow_common` і `workflows`.
 

package/rules/ga/service_deploy_workflow/service_deploy_workflow.rego

@@ -21,8 +21,7 @@
 # Ланцюги deploy (build → deploy) законні: досяжність — graph.reachable.
 #
 # Не перевіряється тут (лишається .mdc-каноном): вибір набору доменів під
-# сервіс, зміст test/deploy-кроків, outputs-мапінг plan-джоби, uv-prep для
-# python-стеку. Спільні workflow-перевірки (persist-credentials, min-версії
+# сервіс, зміст test/deploy-кроків, uv-prep для python-стеку. Спільні workflow-перевірки (persist-credentials, min-версії
 # uses) — у ga.workflow_common; існування paths-глобів — у ga/workflows.
 package ga.service_deploy_workflow
 
@@ -65,6 +64,26 @@ service_paths contains p if {
 	p := m[0][1]
 }
 
+# Outputs-мапінг plan-джоби: гейт `needs.plan.outputs.<key>` працює лише коли
+# jobs.plan.outputs декларує `<key>` з посиланням на `steps.<id>.outputs.<key>`
+# кроку з таким id — інакше значення тихо порожнє і джоба скіпається завжди.
+plan_outputs := object.get(object.get(jobs, "plan", {}), "outputs", {})
+
+plan_step_ids contains id if {
+	some step in object.get(object.get(jobs, "plan", {}), "steps", [])
+	id := object.get(step, "id", "")
+	id != ""
+}
+
+# Ключі plan-outputs, на які посилаються гейти інших джоб.
+gated_output_keys contains k if {
+	some name, job in jobs
+	name != "plan"
+	cond := object.get(job, "if", "")
+	some m in regex.find_all_string_submatch_n(`needs\.plan\.outputs\.([A-Za-z0-9_]+)`, cond, -1)
+	k := m[1]
+}
+
 # Lint-джоби (крок `n-rules lint <domain> … --path …`) з розібраною командою.
 lint_cmds contains cmd if {
 	some name, job in jobs
@@ -135,6 +154,24 @@ deny contains msg if {
 	not contains(r, "--github")
 }
 
+# ── deny: outputs-мапінг plan-джоби ─────────────────────────────────────
+
+deny contains msg if {
+	is_service_workflow
+	jobs.plan
+	some k in gated_output_keys
+	not plan_outputs[k]
+	msg := sprintf("plan: jobs.plan.outputs не мапить `%s` (канон: `%s: ${{ steps.plan.outputs.%s }}`) — гейт `needs.plan.outputs.%s` тихо порожній і джоба скіпається завжди (ga.mdc)", [k, k, k, k])
+}
+
+deny contains msg if {
+	is_service_workflow
+	some k in gated_output_keys
+	v := plan_outputs[k]
+	not output_maps_plan_step(v, k)
+	msg := sprintf("plan: outputs.%s не посилається на `steps.<id>.outputs.%s` кроку з таким id — гейт тихо порожній (ga.mdc)", [k, k])
+}
+
 # ── deny: тригер paths ↔ сервісний каталог ─────────────────────────────
 
 deny contains msg if {
@@ -245,6 +282,13 @@ glob_covers(sp) if {
 	startswith(g, sp)
 }
 
+# Значення output-а посилається на `steps.<id>.outputs.<key>` реального кроку.
+output_maps_plan_step(v, k) if {
+	m := regex.find_all_string_submatch_n(sprintf(`steps\.([A-Za-z0-9_-]+)\.outputs\.%s`, [k]), v, 1)
+	count(m) > 0
+	m[0][1] in plan_step_ids
+}
+
 job_has_prep(job) if {
 	some step in object.get(job, "steps", [])
 	step.uses == "./.github/actions/setup-bun-deps"