@7n/rules-ci-github 1.8.0 → 1.9.1

package/CHANGELOG.md

@@ -1,5 +1,17 @@
 # Changelog
 
+## [1.9.1] - 2026-07-22
+
+### Fixed
+
+- GH Actions canon: заквотувати $GITHUB_PATH у lint-k8s.yml і git-ai.yml.snippet.yml (SC2086 deadlock з ga/workflows-лінтом); гейт-тест template/*.yml.snippet.yml через actionlint
+
+## [1.9.0] - 2026-07-20
+
+### Added
+
+- service_deploy_workflow: bootstrap-режим міграції (`migrateWorkflowFile(..., { bootstrap: true })`) — для deploy-workflow без жодної lint-джоби (валідний as-is за rego) створює lint-джоби доменів з нуля і підключає вхідну джобу до plan + усіх lint-джоб; опційний опт-ін, не частина звичайного lint --fix
+
 ## [1.8.0] - 2026-07-20
 
 ### Added

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@7n/rules-ci-github",
-  "version": "1.8.0",
+  "version": "1.9.1",
   "description": "Плагін @7n/rules: канон GitHub Actions (.github/workflows) — обов'язкові workflow, zizmor, VS Code",
   "keywords": [
     "github-actions",

package/rules/ga/git_ai/template/git-ai.yml.snippet.yml

@@ -19,7 +19,7 @@ jobs:
       - name: Install git-ai
         run: |
           curl -fsSL https://usegitai.com/install.sh | bash
-          echo "$HOME/.git-ai/bin" >> $GITHUB_PATH
+          echo "$HOME/.git-ai/bin" >> "$GITHUB_PATH"
       - name: Run git-ai
         id: run-git-ai
         env:

package/rules/ga/service_deploy_workflow/docs/fix-service_deploy_workflow.md

@@ -3,28 +3,29 @@ type: JS Module
 title: fix-service_deploy_workflow.mjs
 resource: plugins/ci-github/rules/ga/service_deploy_workflow/fix-service_deploy_workflow.mjs
 docgen:
-  crc: c6a64f66
-  model: openai-codex/gpt-5.4-mini
-  score: 100
-  issues: judge:inaccurate:0.99
-  judgeModel: openai-codex/gpt-5.4-mini
+  crc: bb163530
 ---
 
 ## Огляд
 
-Файл виконує T0-автоміграцію `.github/workflows/deploy-*.yml` до сервісного канону для `service_deploy_workflow`, як у `fix-service_deploy_pipeline` для `ci-azure`: детерміновано переписує лише workflow, що не відповідають формі `plan → lint-<domain> → deploy`. Додає job `plan` із `fetch-depth: 0`, prep і `bunx n-rules ci plan --path <svc> --github`, створює `id: plan` та outputs-мапінг доменів і `any`, щоб `needs.plan.outputs.*` були доступні в runtime. Legacy job із `n-rules lint --path <svc>` без домену замінює на per-domain jobs `lint-<domain>` за тими самими glob-ами, що й `ci plan` через `computeActiveDomains/domainKey`; domain-style lint-джоби отримують wiring із `needs: plan`, умовами по outputs, `--no-fix`, `fetch-depth: 0` і prep. `needs` інших jobs перешивається з legacy-імені, а jobs із прямими `needs` на умовні lint-джоби без власного `if` отримують Skipped-толерантний канон `!cancelled` + `!contains`. Мутації виконуються через YAML Document API, тому `jobs` у GA лишається map, а коментарі та форматування незачеплених частин зберігаються; наявний нетривіальний `if` не перезаписується. Публічні функції: `migrateWorkflowFile`, `patterns`. Fail-safe: помилки не прокидаються назовні, а за окремих збоїв повертається порожнє значення.
+Модуль виконує T0-автоміграцію GitHub Actions deploy-workflow до сервіс-канону `plan → lint-<domain> → deploy` (ADR 260718-0835), дзеркало `fix-service_deploy_pipeline` для `ci-azure`. Для workflow з легасі-джобою `n-rules lint --path <svc>` (без домену) додає `plan` (checkout `fetch-depth: 0` + prep + `bunx n-rules ci plan --path <svc> --github` з `id: plan` і outputs-мапінгом доменів + `any`), розкладає легасі lint на per-domain `lint-<domain>`-джоби (домени й glob-и — ті самі, що в `ci plan`), перепідключає `needs` залежних джоб і додає Skipped-толерантний `if` там, де його бракує. Наявний нетривіальний `if` не перезаписується.
+
+`bootstrap: true` — окремий опт-ін, який `n-rules lint --fix` не викликає автоматично: для deploy-workflow БЕЗ жодної lint-джоби (rego вважає такий workflow валідним as-is — публікація без гейта може бути свідомим рішенням) створює lint-<domain>-джоби з нуля за `relevantDomains` піддерева сервісу і підключає вхідну джобу без власного `needs` до `plan` + усіх нових lint-джоб зі Skipped-толерантним `if`.
+
+Мутації виконуються через YAML Document API — коментарі та форматування незачеплених частин файлу зберігаються. Помилки парсингу чи міграції окремого файлу не прокидаються назовні: функція повертає `false`, файл лишається без змін.
 
 ## Поведінка
 
-- `migrateWorkflowFile` — мігрує один GitHub Actions deploy-workflow до сервісного канону: додає `plan`, розкладає legacy lint на per-domain jobs, перешиває `needs` і лишає файл без змін, якщо міграція не потрібна або не вдалася.
-- `patterns` — описує T0-патерн fix-конвеєра: запускає міграцію лише для workflow з порушенням і повертає перелік змінених файлів та коротке повідомлення без винесення помилок назовні.
+- `migrateWorkflowFile(absPath, cwd, { bootstrap? })` — мігрує один deploy-workflow до канону; повертає `true`, якщо файл змінено, `false` — якщо міграція не потрібна, шлях сервісу не визначити, чи (без `bootstrap`) у workflow немає ні `plan`, ні жодного lint-кроку.
+- `patterns` — T0-патерн fix-конвеєра: спрацьовує лише коли rego-концерн уже знайшов порушення у файлі (без `bootstrap`), мігрує кожен зачеплений workflow і збирає перелік змінених файлів; помилки окремих файлів не переривають обробку решти.
 
 ## Публічний API
 
-- migrateWorkflowFile — переводить один deploy-workflow у канонічний формат і повідомляє, чи були зміни
-- patterns — задає шаблони для розпізнавання та обробки workflow-файлів
+- `migrateWorkflowFile` — переводить один deploy-workflow у канонічний формат, опційно (`bootstrap: true`) добудовуючи lint-джоби з нуля для workflow, що їх ще не мали.
+- `patterns` — T0-фікс-патерн для fix-конвеєра `n-rules lint`: розпізнає порушення `service_deploy_workflow` і застосовує `migrateWorkflowFile` (без `bootstrap`) до кожного знайденого файлу.
 
 ## Гарантії поведінки
 
-- Перехоплює помилки і не пропускає винятків назовні (fail-safe).
-- За певних помилок повертає порожнє значення (напр. `null`) замість винятку.
+- Перехоплює помилки парсингу й міграції — не пропускає винятків назовні (fail-safe), повертає `false`.
+- Не перезаписує наявний нетривіальний `if` термінальної джоби.
+- `bootstrap`-логіка не активується неявно через звичайний `n-rules lint --fix` — лише за прямого виклику з `{ bootstrap: true }`.

package/rules/ga/service_deploy_workflow/fix-service_deploy_workflow.mjs

@@ -18,6 +18,13 @@
  *   умовні lint-джоби без власного `if` отримують Skipped-толерантний канон
  *   (`!cancelled()` + `!contains(needs.*.result, 'failure')`).
  *
+ * `bootstrap: true` (окремий опт-ін, НЕ частина звичайного fix-режиму) —
+ * для deploy-workflow без жодної lint-джоби створює lint-<domain> джоби з
+ * нуля (за `relevantDomains` піддерева сервісу) і підключає безумовну
+ * вхідну джобу (без `needs`) до plan + усіх нових lint-джоб. Концерн явно
+ * не вимагає цього автоматично (публікація без лінту валідна as-is) — це
+ * механічне виконання свідомого рішення перейти на гейт.
+ *
  * Мутації — через `yaml` Document API (jobs у GA — мапа, не послідовність):
  * коментарі та форматування незачеплених частин зберігаються. Наявний
  * нетривіальний `if` не перезаписується (deny лишається — ручне рішення).
@@ -245,6 +252,107 @@ function patchDomainLintJob(doc, name, j, found) {
   return changed
 }
 
+/**
+ * Вставляє нові lint-<domain> джоби одразу після `plan` у мапі jobs.
+ * @param {import('yaml').Document} doc документ (мутується)
+ * @param {Array<[string, Record<string, unknown>]>} newPairs пари [імʼя, джоба]
+ * @returns {void}
+ */
+function insertLintJobsAfterPlan(doc, newPairs) {
+  const jobsMap = doc.getIn(['jobs'])
+  const nodes = newPairs.map(([name, job]) => doc.createNode({ [name]: job }).items[0])
+  const planIdx = jobsMap.items.findIndex(pair => pair?.key?.toString?.() === 'plan')
+  jobsMap.items.splice(planIdx === -1 ? 0 : planIdx + 1, 0, ...nodes)
+}
+
+/**
+ * Bootstrap-крок (лише коли `bootstrap: true`): джоба без жодного `needs` —
+ * кандидат «вхідної/термінальної» джоби деплою без вбудованого лінту (напр.
+ * `run-auth.yml`, де один job одразу збирає образ і виконує деплой). Підключає її до
+ * plan + усіх lint-джоб зі Skipped-толерантним `if` (свідомий перехід на
+ * гейт — концерн НЕ вимагає цього автоматично, bootstrap лише виконує рішення,
+ * вже ухвалене людиною командою запуску).
+ * @param {import('yaml').Document} doc документ (мутується)
+ * @param {string} name імʼя джоби
+ * @param {Record<string, unknown>} j джоба (plain JS)
+ * @param {Set<string>} lintJobNames множина всіх lint-джоб
+ * @returns {boolean} чи були зміни
+ */
+function wireEntryJob(doc, name, j, lintJobNames) {
+  if (needsOf(j).length > 0) return false
+  if (lintJobNames.size === 0) return false
+  const base = ['jobs', name]
+  const deps = ['plan', ...[...lintJobNames].toSorted()]
+  doc.setIn([...base, 'needs'], doc.createNode(deps))
+  doc.setIn([...base, 'if'], CANONICAL_DEPLOY_IF)
+  return true
+}
+
+/**
+ * Bootstrap-крок: домени сервісу, для яких ще немає per-domain lint-джоби,
+ * отримують нову джобу з нуля (одразу після `plan`).
+ * @param {import('yaml').Document} doc документ (мутується)
+ * @param {string[]} domains релевантні домени сервісу
+ * @param {string} servicePath каталог сервісу
+ * @param {Array<Record<string, unknown>>} prep prep-кроки
+ * @returns {boolean} чи були зміни
+ */
+function bootstrapMissingLintJobs(doc, domains, servicePath, prep) {
+  const covered = new Set()
+  for (const [name, j] of jobEntries(doc)) {
+    if (name === 'plan') continue
+    const found = findLintStep(Array.isArray(j.steps) ? j.steps : [])
+    if (found && !found.legacy && found.domain) covered.add(found.domain)
+  }
+  const missing = domains.filter(d => !covered.has(d))
+  if (missing.length === 0) return false
+  insertLintJobsAfterPlan(
+    doc,
+    missing.map(d => buildLintJob(d, servicePath, prep))
+  )
+  return true
+}
+
+/**
+ * Дописує wiring для всіх наявних domain-style lint-джоб (needs/if/no-fix/fetch-depth)
+ * і збирає повну множину імен lint-джоб (renames + вже канонічні + bootstrap-нові).
+ * @param {import('yaml').Document} doc документ (мутується)
+ * @param {Map<string, string[]>} renames легасі-імʼя → нові lint-джоби
+ * @returns {{ lintJobNames: Set<string>, changed: boolean }} множина lint-джоб і прапорець змін
+ */
+function patchAllDomainLintJobs(doc, renames) {
+  const lintJobNames = new Set(renames.values().toArray().flat())
+  let changed = false
+  for (const [name, j] of jobEntries(doc)) {
+    if (name === 'plan') continue
+    const found = findLintStep(Array.isArray(j.steps) ? j.steps : [])
+    if (!found || found.legacy) continue
+    lintJobNames.add(name)
+    if (patchDomainLintJob(doc, name, j, found)) changed = true
+  }
+  return { lintJobNames, changed }
+}
+
+/**
+ * Перешиває needs/if усіх джоб, що не є lint: легасі-перейменування (завжди) і,
+ * за bootstrap, підключення безумовних вхідних джоб до plan + lint.
+ * @param {import('yaml').Document} doc документ (мутується)
+ * @param {Map<string, string[]>} renames легасі-імʼя → нові lint-джоби
+ * @param {Set<string>} lintJobNames множина всіх lint-джоб
+ * @param {boolean} bootstrap чи дозволено підключати безумовні вхідні джоби
+ * @returns {boolean} чи були зміни
+ */
+function rewireAllJobs(doc, renames, lintJobNames, bootstrap) {
+  let changed = false
+  for (const [name, j] of jobEntries(doc)) {
+    if (name === 'plan' || lintJobNames.has(name)) continue
+    const rewired = rewireOneJob(doc, name, j, renames, lintJobNames)
+    const bootstrapped = !rewired && bootstrap && wireEntryJob(doc, name, j, lintJobNames)
+    if (rewired || bootstrapped) changed = true
+  }
+  return changed
+}
+
 /**
  * Крок 4 (одна джоба): перешивка needs (легасі → нові) + Skipped-толерантний if.
  * @param {import('yaml').Document} doc документ (мутується)
@@ -277,11 +385,23 @@ function rewireOneJob(doc, name, j, renames, lintJobNames) {
 
 /**
  * Мігрує один deploy-workflow до канону. Повертає true, якщо файл змінено.
+ *
+ * `bootstrap: true` — свідоме розширення поза звичайним fix-режимом: для
+ * deploy-workflow БЕЗ жодної lint-джоби (валідний as-is за рего-концерном,
+ * деталі — service_deploy_workflow.rego) створює lint-<domain> джоби з нуля
+ * (за `relevantDomains` піддерева сервісу) і підключає вхідну/термінальну
+ * джобу без `needs` до plan + усіх lint-джоб. Це саме «свідоме рішення
+ * перейти на гейт», про яке говорить коментар концерну — bootstrap лише
+ * виконує його механічно, а не ухвалює автоматично (звичайний
+ * `n-rules lint --fix` bootstrap не викликає: patterns[0].apply завжди
+ * викликається без bootstrap).
  * @param {string} absPath абсолютний шлях workflow-файлу
  * @param {string} cwd корінь consumer-репо
+ * @param {{ bootstrap?: boolean }} [opts] `bootstrap: true` — додати lint-джоби з нуля
  * @returns {Promise<boolean>} чи були зміни
  */
-export async function migrateWorkflowFile(absPath, cwd) {
+export async function migrateWorkflowFile(absPath, cwd, opts = {}) {
+  const { bootstrap = false } = opts
   const prevText = readFileSync(absPath, 'utf8')
   let doc
   try {
@@ -298,6 +418,12 @@ export async function migrateWorkflowFile(absPath, cwd) {
   const legacyNames = entries
     .filter(([name, j]) => name !== 'plan' && findLintStep(Array.isArray(j.steps) ? j.steps : [])?.legacy)
     .map(([name]) => name)
+  const hasAnyLintStep = entries.some(
+    ([name, j]) => name !== 'plan' && findLintStep(Array.isArray(j.steps) ? j.steps : []) !== null
+  )
+  // Workflow без plan і без жодного lint-кроку — концерн вважає його valid
+  // as-is (публікація без гейта — свідоме рішення). Чіпати лише за bootstrap.
+  if (!hasPlan && !hasAnyLintStep && !bootstrap) return false
 
   const jobsPlain = entries.map(([, j]) => j)
   const prep = derivePrepSteps(jobsPlain)
@@ -311,18 +437,11 @@ export async function migrateWorkflowFile(absPath, cwd) {
   const renames = replaceLegacyJobs(doc, legacyNames, domains, servicePath, prep)
   if (renames.size > 0) changed = true
 
-  const lintJobNames = new Set(renames.values().toArray().flat())
-  for (const [name, j] of jobEntries(doc)) {
-    if (name === 'plan') continue
-    const found = findLintStep(Array.isArray(j.steps) ? j.steps : [])
-    if (!found || found.legacy) continue
-    lintJobNames.add(name)
-    if (patchDomainLintJob(doc, name, j, found)) changed = true
-  }
-  for (const [name, j] of jobEntries(doc)) {
-    if (name === 'plan' || lintJobNames.has(name)) continue
-    if (rewireOneJob(doc, name, j, renames, lintJobNames)) changed = true
-  }
+  if (bootstrap && bootstrapMissingLintJobs(doc, domains, servicePath, prep)) changed = true
+
+  const { lintJobNames, changed: patched } = patchAllDomainLintJobs(doc, renames)
+  if (patched) changed = true
+  if (rewireAllJobs(doc, renames, lintJobNames, bootstrap)) changed = true
 
   if (!changed) return false
   writeFileSync(absPath, doc.toString())

package/rules/ga/service_deploy_workflow/service_deploy_workflow.mdc

@@ -20,4 +20,6 @@ Repo-wide перевірки без path-підтримки (knip, jscpd, dep-po
 
 **Автоміграція (T0-фікс, `n-rules lint` у fix-режимі):** легасі deploy-workflow (job із `n-rules lint --path <svc>` без домену, без plan-джоби) детерміновано переписується до канону — додається `plan` з outputs-мапінгом доменів + `any`, легасі lint-джоба замінюється на per-domain `lint-<domain>` (домени по файлах піддерева, ті самі glob-и, що `ci plan`), `needs` залежних джоб перешивається, джоби з прямими needs на умовні lint-джоби без власного `if` отримують Skipped-толерантний канон. Нетривіальний наявний `if` не перезаписується.
 
+**Bootstrap-режим (опційний, окремий опт-ін):** `migrateWorkflowFile(absPath, cwd, { bootstrap: true })` — для deploy-workflow **без жодної lint-джоби** (rego вважає його valid as-is — публікація без гейта може бути свідомим рішенням) створює lint-`<domain>` джоби з нуля (`relevantDomains` по всьому піддереву сервісу) і підключає вхідну/термінальну джобу без власного `needs` до `plan` + усіх нових lint-джоб зі Skipped-толерантним `if`. Це не частина звичайного `n-rules lint --fix` (`patterns[0].apply` викликає `migrateWorkflowFile` без bootstrap — інакше кожен publish-workflow без лінту тихо отримав би гейт при звичайному lint) — bootstrap механічно виконує рішення, уже ухвалене людиною, яка явно його викликала.
+
 Канон-snippet (документаційний приклад): [deploy-service.yml.snippet.yml](./template/deploy-service.yml.snippet.yml)

package/rules/k8s/lint_k8s_yml/template/lint-k8s.yml.snippet.yml

@@ -37,7 +37,7 @@ jobs:
       - name: Install kubescape
         run: |
           curl -s https://raw.githubusercontent.com/kubescape/kubescape/master/install.sh | /bin/bash
-          echo "$HOME/.kubescape/bin" >> $GITHUB_PATH
+          echo "$HOME/.kubescape/bin" >> "$GITHUB_PATH"
 
       - name: Lint K8s
         run: bunx n-rules lint k8s --no-fix