@7n/rules-ci-github 1.7.1 → 1.9.0

package/CHANGELOG.md

@@ -1,5 +1,17 @@
 # Changelog
 
+## [1.9.0] - 2026-07-20
+
+### Added
+
+- service_deploy_workflow: bootstrap-режим міграції (`migrateWorkflowFile(..., { bootstrap: true })`) — для deploy-workflow без жодної lint-джоби (валідний as-is за rego) створює lint-джоби доменів з нуля і підключає вхідну джобу до plan + усіх lint-джоб; опційний опт-ін, не частина звичайного lint --fix
+
+## [1.8.0] - 2026-07-20
+
+### Added
+
+- service_deploy_workflow: перевірка outputs-мапінгу plan-джоби — кожен ключ гейта `needs.plan.outputs.<key>` має бути задекларований у `jobs.plan.outputs` і вказувати на `steps.<id>.outputs.<key>` реального кроку (інакше гейт тихо порожній і джоба скіпається завжди)
+
 ## [1.7.1] - 2026-07-19
 
 ### Changed

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@7n/rules-ci-github",
-  "version": "1.7.1",
+  "version": "1.9.0",
   "description": "Плагін @7n/rules: канон GitHub Actions (.github/workflows) — обов'язкові workflow, zizmor, VS Code",
   "keywords": [
     "github-actions",

package/rules/ga/service_deploy_workflow/docs/fix-service_deploy_workflow.md

@@ -3,28 +3,29 @@ type: JS Module
 title: fix-service_deploy_workflow.mjs
 resource: plugins/ci-github/rules/ga/service_deploy_workflow/fix-service_deploy_workflow.mjs
 docgen:
-  crc: c6a64f66
-  model: openai-codex/gpt-5.4-mini
-  score: 100
-  issues: judge:inaccurate:0.99
-  judgeModel: openai-codex/gpt-5.4-mini
+  crc: bb163530
 ---
 
 ## Огляд
 
-Файл виконує T0-автоміграцію `.github/workflows/deploy-*.yml` до сервісного канону для `service_deploy_workflow`, як у `fix-service_deploy_pipeline` для `ci-azure`: детерміновано переписує лише workflow, що не відповідають формі `plan → lint-<domain> → deploy`. Додає job `plan` із `fetch-depth: 0`, prep і `bunx n-rules ci plan --path <svc> --github`, створює `id: plan` та outputs-мапінг доменів і `any`, щоб `needs.plan.outputs.*` були доступні в runtime. Legacy job із `n-rules lint --path <svc>` без домену замінює на per-domain jobs `lint-<domain>` за тими самими glob-ами, що й `ci plan` через `computeActiveDomains/domainKey`; domain-style lint-джоби отримують wiring із `needs: plan`, умовами по outputs, `--no-fix`, `fetch-depth: 0` і prep. `needs` інших jobs перешивається з legacy-імені, а jobs із прямими `needs` на умовні lint-джоби без власного `if` отримують Skipped-толерантний канон `!cancelled` + `!contains`. Мутації виконуються через YAML Document API, тому `jobs` у GA лишається map, а коментарі та форматування незачеплених частин зберігаються; наявний нетривіальний `if` не перезаписується. Публічні функції: `migrateWorkflowFile`, `patterns`. Fail-safe: помилки не прокидаються назовні, а за окремих збоїв повертається порожнє значення.
+Модуль виконує T0-автоміграцію GitHub Actions deploy-workflow до сервіс-канону `plan → lint-<domain> → deploy` (ADR 260718-0835), дзеркало `fix-service_deploy_pipeline` для `ci-azure`. Для workflow з легасі-джобою `n-rules lint --path <svc>` (без домену) додає `plan` (checkout `fetch-depth: 0` + prep + `bunx n-rules ci plan --path <svc> --github` з `id: plan` і outputs-мапінгом доменів + `any`), розкладає легасі lint на per-domain `lint-<domain>`-джоби (домени й glob-и — ті самі, що в `ci plan`), перепідключає `needs` залежних джоб і додає Skipped-толерантний `if` там, де його бракує. Наявний нетривіальний `if` не перезаписується.
+
+`bootstrap: true` — окремий опт-ін, який `n-rules lint --fix` не викликає автоматично: для deploy-workflow БЕЗ жодної lint-джоби (rego вважає такий workflow валідним as-is — публікація без гейта може бути свідомим рішенням) створює lint-<domain>-джоби з нуля за `relevantDomains` піддерева сервісу і підключає вхідну джобу без власного `needs` до `plan` + усіх нових lint-джоб зі Skipped-толерантним `if`.
+
+Мутації виконуються через YAML Document API — коментарі та форматування незачеплених частин файлу зберігаються. Помилки парсингу чи міграції окремого файлу не прокидаються назовні: функція повертає `false`, файл лишається без змін.
 
 ## Поведінка
 
-- `migrateWorkflowFile` — мігрує один GitHub Actions deploy-workflow до сервісного канону: додає `plan`, розкладає legacy lint на per-domain jobs, перешиває `needs` і лишає файл без змін, якщо міграція не потрібна або не вдалася.
-- `patterns` — описує T0-патерн fix-конвеєра: запускає міграцію лише для workflow з порушенням і повертає перелік змінених файлів та коротке повідомлення без винесення помилок назовні.
+- `migrateWorkflowFile(absPath, cwd, { bootstrap? })` — мігрує один deploy-workflow до канону; повертає `true`, якщо файл змінено, `false` — якщо міграція не потрібна, шлях сервісу не визначити, чи (без `bootstrap`) у workflow немає ні `plan`, ні жодного lint-кроку.
+- `patterns` — T0-патерн fix-конвеєра: спрацьовує лише коли rego-концерн уже знайшов порушення у файлі (без `bootstrap`), мігрує кожен зачеплений workflow і збирає перелік змінених файлів; помилки окремих файлів не переривають обробку решти.
 
 ## Публічний API
 
-- migrateWorkflowFile — переводить один deploy-workflow у канонічний формат і повідомляє, чи були зміни
-- patterns — задає шаблони для розпізнавання та обробки workflow-файлів
+- `migrateWorkflowFile` — переводить один deploy-workflow у канонічний формат, опційно (`bootstrap: true`) добудовуючи lint-джоби з нуля для workflow, що їх ще не мали.
+- `patterns` — T0-фікс-патерн для fix-конвеєра `n-rules lint`: розпізнає порушення `service_deploy_workflow` і застосовує `migrateWorkflowFile` (без `bootstrap`) до кожного знайденого файлу.
 
 ## Гарантії поведінки
 
-- Перехоплює помилки і не пропускає винятків назовні (fail-safe).
-- За певних помилок повертає порожнє значення (напр. `null`) замість винятку.
+- Перехоплює помилки парсингу й міграції — не пропускає винятків назовні (fail-safe), повертає `false`.
+- Не перезаписує наявний нетривіальний `if` термінальної джоби.
+- `bootstrap`-логіка не активується неявно через звичайний `n-rules lint --fix` — лише за прямого виклику з `{ bootstrap: true }`.

package/rules/ga/service_deploy_workflow/fix-service_deploy_workflow.mjs

@@ -18,6 +18,13 @@
  *   умовні lint-джоби без власного `if` отримують Skipped-толерантний канон
  *   (`!cancelled()` + `!contains(needs.*.result, 'failure')`).
  *
+ * `bootstrap: true` (окремий опт-ін, НЕ частина звичайного fix-режиму) —
+ * для deploy-workflow без жодної lint-джоби створює lint-<domain> джоби з
+ * нуля (за `relevantDomains` піддерева сервісу) і підключає безумовну
+ * вхідну джобу (без `needs`) до plan + усіх нових lint-джоб. Концерн явно
+ * не вимагає цього автоматично (публікація без лінту валідна as-is) — це
+ * механічне виконання свідомого рішення перейти на гейт.
+ *
  * Мутації — через `yaml` Document API (jobs у GA — мапа, не послідовність):
  * коментарі та форматування незачеплених частин зберігаються. Наявний
  * нетривіальний `if` не перезаписується (deny лишається — ручне рішення).
@@ -245,6 +252,107 @@ function patchDomainLintJob(doc, name, j, found) {
   return changed
 }
 
+/**
+ * Вставляє нові lint-<domain> джоби одразу після `plan` у мапі jobs.
+ * @param {import('yaml').Document} doc документ (мутується)
+ * @param {Array<[string, Record<string, unknown>]>} newPairs пари [імʼя, джоба]
+ * @returns {void}
+ */
+function insertLintJobsAfterPlan(doc, newPairs) {
+  const jobsMap = doc.getIn(['jobs'])
+  const nodes = newPairs.map(([name, job]) => doc.createNode({ [name]: job }).items[0])
+  const planIdx = jobsMap.items.findIndex(pair => pair?.key?.toString?.() === 'plan')
+  jobsMap.items.splice(planIdx === -1 ? 0 : planIdx + 1, 0, ...nodes)
+}
+
+/**
+ * Bootstrap-крок (лише коли `bootstrap: true`): джоба без жодного `needs` —
+ * кандидат «вхідної/термінальної» джоби деплою без вбудованого лінту (напр.
+ * `run-auth.yml`, де один job одразу збирає образ і виконує деплой). Підключає її до
+ * plan + усіх lint-джоб зі Skipped-толерантним `if` (свідомий перехід на
+ * гейт — концерн НЕ вимагає цього автоматично, bootstrap лише виконує рішення,
+ * вже ухвалене людиною командою запуску).
+ * @param {import('yaml').Document} doc документ (мутується)
+ * @param {string} name імʼя джоби
+ * @param {Record<string, unknown>} j джоба (plain JS)
+ * @param {Set<string>} lintJobNames множина всіх lint-джоб
+ * @returns {boolean} чи були зміни
+ */
+function wireEntryJob(doc, name, j, lintJobNames) {
+  if (needsOf(j).length > 0) return false
+  if (lintJobNames.size === 0) return false
+  const base = ['jobs', name]
+  const deps = ['plan', ...[...lintJobNames].toSorted()]
+  doc.setIn([...base, 'needs'], doc.createNode(deps))
+  doc.setIn([...base, 'if'], CANONICAL_DEPLOY_IF)
+  return true
+}
+
+/**
+ * Bootstrap-крок: домени сервісу, для яких ще немає per-domain lint-джоби,
+ * отримують нову джобу з нуля (одразу після `plan`).
+ * @param {import('yaml').Document} doc документ (мутується)
+ * @param {string[]} domains релевантні домени сервісу
+ * @param {string} servicePath каталог сервісу
+ * @param {Array<Record<string, unknown>>} prep prep-кроки
+ * @returns {boolean} чи були зміни
+ */
+function bootstrapMissingLintJobs(doc, domains, servicePath, prep) {
+  const covered = new Set()
+  for (const [name, j] of jobEntries(doc)) {
+    if (name === 'plan') continue
+    const found = findLintStep(Array.isArray(j.steps) ? j.steps : [])
+    if (found && !found.legacy && found.domain) covered.add(found.domain)
+  }
+  const missing = domains.filter(d => !covered.has(d))
+  if (missing.length === 0) return false
+  insertLintJobsAfterPlan(
+    doc,
+    missing.map(d => buildLintJob(d, servicePath, prep))
+  )
+  return true
+}
+
+/**
+ * Дописує wiring для всіх наявних domain-style lint-джоб (needs/if/no-fix/fetch-depth)
+ * і збирає повну множину імен lint-джоб (renames + вже канонічні + bootstrap-нові).
+ * @param {import('yaml').Document} doc документ (мутується)
+ * @param {Map<string, string[]>} renames легасі-імʼя → нові lint-джоби
+ * @returns {{ lintJobNames: Set<string>, changed: boolean }} множина lint-джоб і прапорець змін
+ */
+function patchAllDomainLintJobs(doc, renames) {
+  const lintJobNames = new Set(renames.values().toArray().flat())
+  let changed = false
+  for (const [name, j] of jobEntries(doc)) {
+    if (name === 'plan') continue
+    const found = findLintStep(Array.isArray(j.steps) ? j.steps : [])
+    if (!found || found.legacy) continue
+    lintJobNames.add(name)
+    if (patchDomainLintJob(doc, name, j, found)) changed = true
+  }
+  return { lintJobNames, changed }
+}
+
+/**
+ * Перешиває needs/if усіх джоб, що не є lint: легасі-перейменування (завжди) і,
+ * за bootstrap, підключення безумовних вхідних джоб до plan + lint.
+ * @param {import('yaml').Document} doc документ (мутується)
+ * @param {Map<string, string[]>} renames легасі-імʼя → нові lint-джоби
+ * @param {Set<string>} lintJobNames множина всіх lint-джоб
+ * @param {boolean} bootstrap чи дозволено підключати безумовні вхідні джоби
+ * @returns {boolean} чи були зміни
+ */
+function rewireAllJobs(doc, renames, lintJobNames, bootstrap) {
+  let changed = false
+  for (const [name, j] of jobEntries(doc)) {
+    if (name === 'plan' || lintJobNames.has(name)) continue
+    const rewired = rewireOneJob(doc, name, j, renames, lintJobNames)
+    const bootstrapped = !rewired && bootstrap && wireEntryJob(doc, name, j, lintJobNames)
+    if (rewired || bootstrapped) changed = true
+  }
+  return changed
+}
+
 /**
  * Крок 4 (одна джоба): перешивка needs (легасі → нові) + Skipped-толерантний if.
  * @param {import('yaml').Document} doc документ (мутується)
@@ -277,11 +385,23 @@ function rewireOneJob(doc, name, j, renames, lintJobNames) {
 
 /**
  * Мігрує один deploy-workflow до канону. Повертає true, якщо файл змінено.
+ *
+ * `bootstrap: true` — свідоме розширення поза звичайним fix-режимом: для
+ * deploy-workflow БЕЗ жодної lint-джоби (валідний as-is за рего-концерном,
+ * деталі — service_deploy_workflow.rego) створює lint-<domain> джоби з нуля
+ * (за `relevantDomains` піддерева сервісу) і підключає вхідну/термінальну
+ * джобу без `needs` до plan + усіх lint-джоб. Це саме «свідоме рішення
+ * перейти на гейт», про яке говорить коментар концерну — bootstrap лише
+ * виконує його механічно, а не ухвалює автоматично (звичайний
+ * `n-rules lint --fix` bootstrap не викликає: patterns[0].apply завжди
+ * викликається без bootstrap).
  * @param {string} absPath абсолютний шлях workflow-файлу
  * @param {string} cwd корінь consumer-репо
+ * @param {{ bootstrap?: boolean }} [opts] `bootstrap: true` — додати lint-джоби з нуля
  * @returns {Promise<boolean>} чи були зміни
  */
-export async function migrateWorkflowFile(absPath, cwd) {
+export async function migrateWorkflowFile(absPath, cwd, opts = {}) {
+  const { bootstrap = false } = opts
   const prevText = readFileSync(absPath, 'utf8')
   let doc
   try {
@@ -298,6 +418,12 @@ export async function migrateWorkflowFile(absPath, cwd) {
   const legacyNames = entries
     .filter(([name, j]) => name !== 'plan' && findLintStep(Array.isArray(j.steps) ? j.steps : [])?.legacy)
     .map(([name]) => name)
+  const hasAnyLintStep = entries.some(
+    ([name, j]) => name !== 'plan' && findLintStep(Array.isArray(j.steps) ? j.steps : []) !== null
+  )
+  // Workflow без plan і без жодного lint-кроку — концерн вважає його valid
+  // as-is (публікація без гейта — свідоме рішення). Чіпати лише за bootstrap.
+  if (!hasPlan && !hasAnyLintStep && !bootstrap) return false
 
   const jobsPlain = entries.map(([, j]) => j)
   const prep = derivePrepSteps(jobsPlain)
@@ -311,18 +437,11 @@ export async function migrateWorkflowFile(absPath, cwd) {
   const renames = replaceLegacyJobs(doc, legacyNames, domains, servicePath, prep)
   if (renames.size > 0) changed = true
 
-  const lintJobNames = new Set(renames.values().toArray().flat())
-  for (const [name, j] of jobEntries(doc)) {
-    if (name === 'plan') continue
-    const found = findLintStep(Array.isArray(j.steps) ? j.steps : [])
-    if (!found || found.legacy) continue
-    lintJobNames.add(name)
-    if (patchDomainLintJob(doc, name, j, found)) changed = true
-  }
-  for (const [name, j] of jobEntries(doc)) {
-    if (name === 'plan' || lintJobNames.has(name)) continue
-    if (rewireOneJob(doc, name, j, renames, lintJobNames)) changed = true
-  }
+  if (bootstrap && bootstrapMissingLintJobs(doc, domains, servicePath, prep)) changed = true
+
+  const { lintJobNames, changed: patched } = patchAllDomainLintJobs(doc, renames)
+  if (patched) changed = true
+  if (rewireAllJobs(doc, renames, lintJobNames, bootstrap)) changed = true
 
   if (!changed) return false
   writeFileSync(absPath, doc.toString())

package/rules/ga/service_deploy_workflow/service_deploy_workflow.mdc

@@ -12,7 +12,7 @@ Rego-пакет: `ga.service_deploy_workflow`
 4. **`test`-джоба** — `needs: plan`, `if: needs.plan.outputs.any == 'true'`; тести лише сервісу (`bun test run/<service>`; python-стек — `astral-sh/setup-uv` + `uv sync --locked` + `pytest run/<service>`).
 5. **Деплой** — needs-ланцюг (можна через проміжний `build`) **транзитивно досягає** `plan` і всі lint/test-джоби; кожна джоба з `needs` на умовні lint-джоби має `if` з `!cancelled()` та `!contains(needs.*.result, 'failure')` — skipped-лінт не блокує деплой, failed — блокує.
 
-Що перевіряє rego: наявність plan-джоби з `ci plan --path … --github`; збіг `on.push.paths` ↔ `--path`; для кожної lint-джоби — `needs: plan`, гейт по outputs, той самий `--path`, `--no-fix`, prep-крок, `fetch-depth: 0`; для термінальних джоб — транзитивну досяжність plan і всіх перевірок та skip-толерантний `if`.
+Що перевіряє rego: наявність plan-джоби з `ci plan --path … --github`; збіг `on.push.paths` ↔ `--path`; outputs-мапінг plan-джоби (кожен ключ, на який посилається гейт `needs.plan.outputs.<key>`, задекларований у `jobs.plan.outputs` і вказує на `steps.<id>.outputs.<key>` реального кроку — інакше гейт тихо порожній); для кожної lint-джоби — `needs: plan`, гейт по outputs, той самий `--path`, `--no-fix`, prep-крок, `fetch-depth: 0`; для термінальних джоб — транзитивну досяжність plan і всіх перевірок та skip-толерантний `if`.
 
 Що НЕ перевіряється (справа автора): добір доменів під вміст сервісу, зміст test/deploy-кроків, секрети/environment, uv-prep. Спільні workflow-інваріанти (persist-credentials, min-версії uses, існування paths-глобів) покривають `workflow_common` і `workflows`.
 
@@ -20,4 +20,6 @@ Repo-wide перевірки без path-підтримки (knip, jscpd, dep-po
 
 **Автоміграція (T0-фікс, `n-rules lint` у fix-режимі):** легасі deploy-workflow (job із `n-rules lint --path <svc>` без домену, без plan-джоби) детерміновано переписується до канону — додається `plan` з outputs-мапінгом доменів + `any`, легасі lint-джоба замінюється на per-domain `lint-<domain>` (домени по файлах піддерева, ті самі glob-и, що `ci plan`), `needs` залежних джоб перешивається, джоби з прямими needs на умовні lint-джоби без власного `if` отримують Skipped-толерантний канон. Нетривіальний наявний `if` не перезаписується.
 
+**Bootstrap-режим (опційний, окремий опт-ін):** `migrateWorkflowFile(absPath, cwd, { bootstrap: true })` — для deploy-workflow **без жодної lint-джоби** (rego вважає його valid as-is — публікація без гейта може бути свідомим рішенням) створює lint-`<domain>` джоби з нуля (`relevantDomains` по всьому піддереву сервісу) і підключає вхідну/термінальну джобу без власного `needs` до `plan` + усіх нових lint-джоб зі Skipped-толерантним `if`. Це не частина звичайного `n-rules lint --fix` (`patterns[0].apply` викликає `migrateWorkflowFile` без bootstrap — інакше кожен publish-workflow без лінту тихо отримав би гейт при звичайному lint) — bootstrap механічно виконує рішення, уже ухвалене людиною, яка явно його викликала.
+
 Канон-snippet (документаційний приклад): [deploy-service.yml.snippet.yml](./template/deploy-service.yml.snippet.yml)

package/rules/ga/service_deploy_workflow/service_deploy_workflow.rego

@@ -21,8 +21,7 @@
 # Ланцюги deploy (build → deploy) законні: досяжність — graph.reachable.
 #
 # Не перевіряється тут (лишається .mdc-каноном): вибір набору доменів під
-# сервіс, зміст test/deploy-кроків, outputs-мапінг plan-джоби, uv-prep для
-# python-стеку. Спільні workflow-перевірки (persist-credentials, min-версії
+# сервіс, зміст test/deploy-кроків, uv-prep для python-стеку. Спільні workflow-перевірки (persist-credentials, min-версії
 # uses) — у ga.workflow_common; існування paths-глобів — у ga/workflows.
 package ga.service_deploy_workflow
 
@@ -65,6 +64,26 @@ service_paths contains p if {
 	p := m[0][1]
 }
 
+# Outputs-мапінг plan-джоби: гейт `needs.plan.outputs.<key>` працює лише коли
+# jobs.plan.outputs декларує `<key>` з посиланням на `steps.<id>.outputs.<key>`
+# кроку з таким id — інакше значення тихо порожнє і джоба скіпається завжди.
+plan_outputs := object.get(object.get(jobs, "plan", {}), "outputs", {})
+
+plan_step_ids contains id if {
+	some step in object.get(object.get(jobs, "plan", {}), "steps", [])
+	id := object.get(step, "id", "")
+	id != ""
+}
+
+# Ключі plan-outputs, на які посилаються гейти інших джоб.
+gated_output_keys contains k if {
+	some name, job in jobs
+	name != "plan"
+	cond := object.get(job, "if", "")
+	some m in regex.find_all_string_submatch_n(`needs\.plan\.outputs\.([A-Za-z0-9_]+)`, cond, -1)
+	k := m[1]
+}
+
 # Lint-джоби (крок `n-rules lint <domain> … --path …`) з розібраною командою.
 lint_cmds contains cmd if {
 	some name, job in jobs
@@ -135,6 +154,24 @@ deny contains msg if {
 	not contains(r, "--github")
 }
 
+# ── deny: outputs-мапінг plan-джоби ─────────────────────────────────────
+
+deny contains msg if {
+	is_service_workflow
+	jobs.plan
+	some k in gated_output_keys
+	not plan_outputs[k]
+	msg := sprintf("plan: jobs.plan.outputs не мапить `%s` (канон: `%s: ${{ steps.plan.outputs.%s }}`) — гейт `needs.plan.outputs.%s` тихо порожній і джоба скіпається завжди (ga.mdc)", [k, k, k, k])
+}
+
+deny contains msg if {
+	is_service_workflow
+	some k in gated_output_keys
+	v := plan_outputs[k]
+	not output_maps_plan_step(v, k)
+	msg := sprintf("plan: outputs.%s не посилається на `steps.<id>.outputs.%s` кроку з таким id — гейт тихо порожній (ga.mdc)", [k, k])
+}
+
 # ── deny: тригер paths ↔ сервісний каталог ─────────────────────────────
 
 deny contains msg if {
@@ -245,6 +282,13 @@ glob_covers(sp) if {
 	startswith(g, sp)
 }
 
+# Значення output-а посилається на `steps.<id>.outputs.<key>` реального кроку.
+output_maps_plan_step(v, k) if {
+	m := regex.find_all_string_submatch_n(sprintf(`steps\.([A-Za-z0-9_-]+)\.outputs\.%s`, [k]), v, 1)
+	count(m) > 0
+	m[0][1] in plan_step_ids
+}
+
 job_has_prep(job) if {
 	some step in object.get(job, "steps", [])
 	step.uses == "./.github/actions/setup-bun-deps"