@7n/rules-ci-github 1.9.0 → 1.9.2

package/rules/ga/service_deploy_workflow/docs/fix-service_deploy_workflow.md

@@ -3,29 +3,56 @@ type: JS Module
 title: fix-service_deploy_workflow.mjs
 resource: plugins/ci-github/rules/ga/service_deploy_workflow/fix-service_deploy_workflow.mjs
 docgen:
-  crc: bb163530
+  crc: 429bfe4c
+  model: openai-codex/gpt-5.5
+  tier: cloud-avg
+  score: 100
+  issues: judge-refine:kept-original,judge:inaccurate:0.99
+  judgeModel: openai-codex/gpt-5.4-mini
 ---
 
 ## Огляд
 
-Модуль виконує T0-автоміграцію GitHub Actions deploy-workflow до сервіс-канону `plan → lint-<domain> → deploy` (ADR 260718-0835), дзеркало `fix-service_deploy_pipeline` для `ci-azure`. Для workflow з легасі-джобою `n-rules lint --path <svc>` (без домену) додає `plan` (checkout `fetch-depth: 0` + prep + `bunx n-rules ci plan --path <svc> --github` з `id: plan` і outputs-мапінгом доменів + `any`), розкладає легасі lint на per-domain `lint-<domain>`-джоби (домени й glob-и — ті самі, що в `ci plan`), перепідключає `needs` залежних джоб і додає Skipped-толерантний `if` там, де його бракує. Наявний нетривіальний `if` не перезаписується.
+T0-автоміграція приводить `.github/workflows/deploy-*.yml` сервісів до канону ADR 260718-0835: `plan → lint-<domain> → deploy` із runtime outputs для доменних гейтів. Вона додає `plan` із `bunx n-rules ci plan --path <svc> --github`, `id: plan` та outputs-мапінгом доменів + `any`, щоб умови `needs.plan.outputs.*` мали значення під час виконання.
 
-`bootstrap: true` — окремий опт-ін, який `n-rules lint --fix` не викликає автоматично: для deploy-workflow БЕЗ жодної lint-джоби (rego вважає такий workflow валідним as-is — публікація без гейта може бути свідомим рішенням) створює lint-<domain>-джоби з нуля за `relevantDomains` піддерева сервісу і підключає вхідну джобу без власного `needs` до `plan` + усіх нових lint-джоб зі Skipped-толерантним `if`.
+Файл існує як fix-режим для workflow, що ще мають легасі lint або неповний domain-style wiring, зберігаючи валідні без-lint workflow без примусового переходу на gate. `bootstrap: true` є окремим opt-in для workflow без lint-джоб: він створює доменні lint-гейти з нуля й підключає до них безумовну вхідну job.
 
-Мутації виконуються через YAML Document API — коментарі та форматування незачеплених частин файлу зберігаються. Помилки парсингу чи міграції окремого файлу не прокидаються назовні: функція повертає `false`, файл лишається без змін.
+Міграція працює fail-safe: перехоплює помилки, не кидає винятків назовні та в окремих збійних сценаріях може повертати `null`.
 
 ## Поведінка
 
-- `migrateWorkflowFile(absPath, cwd, { bootstrap? })` — мігрує один deploy-workflow до канону; повертає `true`, якщо файл змінено, `false` — якщо міграція не потрібна, шлях сервісу не визначити, чи (без `bootstrap`) у workflow немає ні `plan`, ні жодного lint-кроку.
-- `patterns` — T0-патерн fix-конвеєра: спрацьовує лише коли rego-концерн уже знайшов порушення у файлі (без `bootstrap`), мігрує кожен зачеплений workflow і збирає перелік змінених файлів; помилки окремих файлів не переривають обробку решти.
+`migrateWorkflowFile` читає GitHub Actions deploy-workflow, визначає сервісний каталог і активні домени, після чого детерміновано приводить jobs до канону `plan → lint-<domain> → deploy`. Дані беруться з наявних jobs, lint-команд і workflow paths; результатом є оновлений YAML-файл із мінімальними змінами незачеплених частин.
+
+Потік міграції спочатку формує або доповнює `plan` з outputs для доменів і `any`, щоб downstream-гейти могли коректно читати `needs.plan.outputs.*` під час runtime. Далі легасі lint-job без домену замінюється на набір per-domain jobs, а вже наявні domain-style lint jobs добираються до канону: залежність від `plan`, умовний запуск за outputs, режим без auto-fix, повна історія checkout і підготовчі кроки.
+
+Після створення або оновлення lint jobs міграція перешиває залежності інших jobs з легасі-імен на нові lint jobs. Якщо deploy-job залежить від умовних lint jobs, вона отримує Skipped-толерантний gate, щоб пропущений нерелевантний домен не блокував деплой, але failure залишався блокувальним. Наявний нетривіальний `if` не перезаписується, бо це вважається ручним рішенням.
+
+Опційний bootstrap-режим у `migrateWorkflowFile` застосовується лише як явний opt-in для workflow без lint jobs: він створює per-domain lint jobs з нуля та підключає безумовну вхідну deploy-job до `plan` і всіх lint jobs. Звичайний fix-режим цього не робить, бо workflow без lint-гейта є валідним станом, а перехід на gate має бути свідомим рішенням команди.
+
+Зміни виконуються через YAML document-модель, тому порядок jobs керовано оновлюється, а коментарі й форматування незачеплених ділянок зберігаються. Помилки обробляються fail-safe: міграція не кидає винятки назовні і за неможливості безпечно визначити потрібні дані не виконує небезпечний rewrite.
+
+`patterns` підключає цю міграцію до правила fix для deploy-workflow файлів і застосовує звичайний режим без bootstrap. Під час обходу свідомо пропускаються `.github` і `.git`, щоб не аналізувати службові каталоги як сервісні піддерева.
 
 ## Публічний API
 
-- `migrateWorkflowFile` — переводить один deploy-workflow у канонічний формат, опційно (`bootstrap: true`) добудовуючи lint-джоби з нуля для workflow, що їх ще не мали.
-- `patterns` — T0-фікс-патерн для fix-конвеєра `n-rules lint`: розпізнає порушення `service_deploy_workflow` і застосовує `migrateWorkflowFile` (без `bootstrap`) до кожного знайденого файлу.
+- migrateWorkflowFile — Мігрує один deploy-workflow до канону. Повертає true, якщо файл змінено.
+
+`bootstrap: true` — свідоме розширення поза звичайним fix-режимом: для
+deploy-workflow БЕЗ жодної lint-джоби (валідний as-is за рего-концерном,
+деталі — service_deploy_workflow.rego) створює lint-<domain> джоби з нуля
+(за `relevantDomains` піддерева сервісу) і підключає вхідну/термінальну
+джобу без `needs` до plan + усіх lint-джоб. Це саме «свідоме рішення
+перейти на гейт», про яке говорить коментар концерну — bootstrap лише
+виконує його механічно, а не ухвалює автоматично (звичайний
+`n-rules lint --fix` bootstrap не викликає: patterns[0].apply завжди
+викликається без bootstrap).
+- patterns — Один детермінований патерн: для кожного workflow-файлу з порушеннями запускає
+`migrateWorkflowFile` без bootstrap (plan-джоба, per-domain lint-джоби,
+перешивка needs). Помилка міграції окремого файлу не валить прогін — deny
+лишається детектору до ручного фіксу.
 
 ## Гарантії поведінки
 
-- Перехоплює помилки парсингу й міграції — не пропускає винятків назовні (fail-safe), повертає `false`.
-- Не перезаписує наявний нетривіальний `if` термінальної джоби.
-- `bootstrap`-логіка не активується неявно через звичайний `n-rules lint --fix` — лише за прямого виклику з `{ bootstrap: true }`.
+- Перехоплює помилки і не пропускає винятків назовні (fail-safe).
+- За певних помилок повертає порожнє значення (напр. `null`) замість винятку.
+- Свідомо пропускає шляхи: `.github`, `.git`.

package/rules/ga/service_deploy_workflow/fix-service_deploy_workflow.mjs

@@ -448,6 +448,12 @@ export async function migrateWorkflowFile(absPath, cwd, opts = {}) {
   return true
 }
 
+/**
+ * Один детермінований патерн: для кожного workflow-файлу з порушеннями запускає
+ * `migrateWorkflowFile` без bootstrap (plan-джоба, per-domain lint-джоби,
+ * перешивка needs). Помилка міграції окремого файлу не валить прогін — deny
+ * лишається детектору до ручного фіксу.
+ */
 export const patterns = [
   {
     id: 'ga-service-workflow-canon-migrate',

package/rules/ga/vscode_settings/docs/fix-vscode_settings.md

@@ -3,24 +3,31 @@ type: JS Module
 title: fix-vscode_settings.mjs
 resource: plugins/ci-github/rules/ga/vscode_settings/fix-vscode_settings.mjs
 docgen:
-  crc: 712711ff
+  crc: 39ecd7e7
   model: openai-codex/gpt-5.4-mini
+  tier: cloud-min
   score: 100
-  issues: judge:inaccurate:0.97
   judgeModel: openai-codex/gpt-5.4-mini
 ---
 
 ## Огляд
 
-`patterns` перевіряє та впорядковує `.vscode/settings.json` на відповідність очікуваному проєктному формату, спираючись на `settings.json`. Це потрібно, щоб редакторні налаштування залишалися в передбачуваному стані без ручних правок.
+`patterns` задає спільні налаштування VS Code для консюмер-репо відповідно до канонічного шаблону концерну `vscode_settings`. Це потрібно, щоб однаковий базовий набір налаштувань застосовувався узгоджено в усіх споживачах цього шаблону.
 
 ## Поведінка
 
-1. `patterns` визначає набір правил для узгодження `.vscode/settings.json` з очікуваним шаблоном проєкту.
-2. `patterns` потрібен, щоб автоматично тримати налаштування редактора в погодженому стані без ручного редагування кожного разу.
-3. `patterns` працює лише з конфігурацією `.vscode/settings.json`; інших шляхів або файлів у межах цього модуля не охоплює.
-4. `patterns` не виконує записів у файлову систему чи базу даних і не покладається на кешування.
+1. `patterns` задає один канонічний сценарій вирівнювання спільних VS Code-налаштувань у консюмер-репо з корпоративним шаблоном для `settings.json`.
+2. Якщо цільовий `settings.json` відсутній, він створюється на основі канонічного шаблону.
+3. Якщо `settings.json` уже існує, з нього зберігаються всі значення поза шаблоном, а канонічні налаштування концерну мають пріоритет і доповнюють або оновлюють спільну конфігурацію.
+4. Це гарантує, що репозиторії отримують однакову базову поведінку VS Code без втрати локальних несуперечливих налаштувань.
+
+## Публічний API
+
+- patterns — Один детермінований патерн: deep-merge канонічного snippet-а концерну в
+`.vscode/settings.json` консюмер-репо — відсутні ключі додаються, канонічні
+значення мають пріоритет, ключі поза шаблоном не чіпаються; якщо файлу
+немає — створюється зі snippet-а.
 
 ## Гарантії поведінки
 
-- Read-only: не виконує операцій запису (ФС/БД).
+- Власних операцій запису (ФС/БД) у файлі немає; виклики імпортованих модулів можуть писати.

package/rules/ga/vscode_settings/fix-vscode_settings.mjs

@@ -1,5 +1,15 @@
+/**
+ * T0-фікс концерну vscode_settings: приводить спільні налаштування VS Code
+ * у консюмер-репо до канонічного шаблону концерну.
+ */
 import { createTemplateFixPattern } from '@7n/rules/scripts/lib/fix/template-deep-merge.mjs'
 
+/**
+ * Один детермінований патерн: deep-merge канонічного snippet-а концерну в
+ * `.vscode/settings.json` консюмер-репо — відсутні ключі додаються, канонічні
+ * значення мають пріоритет, ключі поза шаблоном не чіпаються; якщо файлу
+ * немає — створюється зі snippet-а.
+ */
 export const patterns = [
   createTemplateFixPattern({ id: 'ga-vscode_settings-template', targetPath: '.vscode/settings.json' })
 ]

package/rules/ga/zizmor_yml/docs/fix-zizmor_yml.md

@@ -3,26 +3,31 @@ type: JS Module
 title: fix-zizmor_yml.mjs
 resource: plugins/ci-github/rules/ga/zizmor_yml/fix-zizmor_yml.mjs
 docgen:
-  crc: df8c1663
+  crc: 9892e20a
   model: openai-codex/gpt-5.4-mini
   tier: cloud-min
   score: 100
-  issues: judge:inaccurate:0.98
   judgeModel: openai-codex/gpt-5.4-mini
 ---
 
 ## Огляд
 
-`patterns` описує, як привести цільові файли репозиторію до потрібного вигляду з урахуванням свідомо пропущених шляхів `.github` і `.git`. Функція працює read-only і не пише у ФС чи БД.
+`patterns` приводить `.github/zizmor.yml` до канонічного шаблону концерну для `zizmor`, щоб консюмер-репо залишалося узгодженим зі стандартизованим конфігом.
 
 ## Поведінка
 
-1. `patterns` задає набір правил для автоматичного виправлення конфігурації `zizmor` у репозиторії.
-2. Воно орієнтується на файл `.github/zizmor.yml` і застосовується лише до цього цільового місця.
-3. Під час роботи свідомо не зачіпає шляхи `.github` і `.git` поза визначеним цільовим файлом, щоб не втручатися в службові та інфраструктурні області.
-4. Працює у режимі read-only: саме значення `patterns` лише описує поведінку, без запису в файлову систему чи базу даних.
+1. `patterns` визначає один детермінований шаблон для вирівнювання `.github/zizmor.yml` із канонічним концерновим конфігом.
+2. Якщо цільовий файл відсутній, `patterns` ініціалізує його з канонічного snippet-а.
+3. Якщо файл уже існує, `patterns` додає відсутні ключі та зберігає канонічні значення як пріоритетні.
+4. `patterns` не чіпає коментарі й інші ключі поза шаблоном.
+
+## Публічний API
+
+- patterns — Один детермінований патерн: deep-merge канонічного snippet-а концерну в
+`.github/zizmor.yml` консюмер-репо — відсутні ключі додаються, канонічні
+значення мають пріоритет, коментарі й ключі поза шаблоном не чіпаються;
+якщо файлу немає — створюється зі snippet-а.
 
 ## Гарантії поведінки
 
-- Read-only: не виконує операцій запису (ФС/БД).
-- Свідомо пропускає шляхи: `.github`, `.git`.
+- Власних операцій запису (ФС/БД) у файлі немає; виклики імпортованих модулів можуть писати.

package/rules/ga/zizmor_yml/fix-zizmor_yml.mjs

@@ -1,3 +1,13 @@
+/**
+ * T0-фікс концерну zizmor_yml: приводить конфіг сканера безпеки zizmor
+ * у консюмер-репо до канонічного шаблону концерну.
+ */
 import { createTemplateFixPattern } from '@7n/rules/scripts/lib/fix/template-deep-merge.mjs'
 
+/**
+ * Один детермінований патерн: deep-merge канонічного snippet-а концерну в
+ * `.github/zizmor.yml` консюмер-репо — відсутні ключі додаються, канонічні
+ * значення мають пріоритет, коментарі й ключі поза шаблоном не чіпаються;
+ * якщо файлу немає — створюється зі snippet-а.
+ */
 export const patterns = [createTemplateFixPattern({ id: 'ga-zizmor_yml-template', targetPath: '.github/zizmor.yml' })]

package/rules/js/lint_js_yml/docs/fix-lint_js_yml.md

@@ -3,25 +3,33 @@ type: JS Module
 title: fix-lint_js_yml.mjs
 resource: plugins/ci-github/rules/js/lint_js_yml/fix-lint_js_yml.mjs
 docgen:
-  crc: fe148a99
+  crc: e0152cf2
   model: openai-codex/gpt-5.4-mini
+  tier: cloud-min
   score: 100
-  issues: judge:inaccurate:0.99
+  issues: judge-refine:kept-original,judge:inaccurate:0.98
   judgeModel: openai-codex/gpt-5.4-mini
 ---
 
 ## Огляд
 
-`patterns` — read-only набір правил для аналізу й уніфікації JavaScript lint-конфігурації в межах доступних шляхів. Він свідомо пропускає `.github` і `.git`, щоб не зачіпати службові та git-специфічні файли.
+`patterns` приводить шлях `.github/workflows/lint-js.yml` до канонічного шаблону концерну, щоб workflow для js-лінту відповідав стандартному корпоративному оформленню.
 
 ## Поведінка
 
-1. `patterns` формує набір правил для виправлення lint-конфігурації JavaScript-проєкту.
-2. Для кожного правила прив’язує оновлення до цільового workflow-файлу `.github/workflows/lint-js.yml`.
-3. У межах своєї роботи свідомо не зачіпає `.github` і `.git`, щоб уникати змін у службових та внутрішніх областях.
-4. Працює в read-only режимі щодо ФС і БД: сам нічого не записує, а лише описує, що треба виправити.
+1. `patterns` задає єдиний канонічний сценарій виправлення для CI-workflow лінту js-домену в репозиторіях-консюмерах.
+2. Він узгоджує `.github/workflows/lint-js.yml` із шаблоном концерну: додає відсутні частини, зберігає канонічні значення як пріоритетні та не змінює сторонні коментарі й ключі поза шаблоном.
+3. Якщо цільового файлу немає, `patterns` ініціює його створення з канонічного snippet-а.
+4. Під час застосування механізм свідомо обходить `.github` і `.git`, щоб не зачіпати службові області поза цим сценарієм.
+
+## Публічний API
+
+- patterns — Один детермінований патерн: deep-merge канонічного snippet-а концерну в
+`.github/workflows/lint-js.yml` консюмер-репо — відсутні ключі додаються,
+канонічні значення мають пріоритет, коментарі й ключі поза шаблоном не
+чіпаються; якщо файлу немає — створюється зі snippet-а.
 
 ## Гарантії поведінки
 
-- Read-only: не виконує операцій запису (ФС/БД).
+- Власних операцій запису (ФС/БД) у файлі немає; виклики імпортованих модулів можуть писати.
 - Свідомо пропускає шляхи: `.github`, `.git`.

package/rules/js/lint_js_yml/docs/index.md

@@ -1,7 +1,7 @@
 ---
 type: Directory Index
-title: npm/rules/js/lint_js_yml
-resource: npm/rules/js/lint_js_yml/
+title: plugins/ci-github/rules/js/lint_js_yml
+resource: plugins/ci-github/rules/js/lint_js_yml/
 ---
 
 | Файл                                      | Тип       |

package/rules/js/lint_js_yml/fix-lint_js_yml.mjs

@@ -1,5 +1,15 @@
+/**
+ * T0-фікс концерну lint_js_yml: приводить CI-workflow лінту js-домену
+ * у консюмер-репо до канонічного шаблону концерну.
+ */
 import { createTemplateFixPattern } from '@7n/rules/scripts/lib/fix/template-deep-merge.mjs'
 
+/**
+ * Один детермінований патерн: deep-merge канонічного snippet-а концерну в
+ * `.github/workflows/lint-js.yml` консюмер-репо — відсутні ключі додаються,
+ * канонічні значення мають пріоритет, коментарі й ключі поза шаблоном не
+ * чіпаються; якщо файлу немає — створюється зі snippet-а.
+ */
 export const patterns = [
   createTemplateFixPattern({ id: 'js-lint_js_yml-template', targetPath: '.github/workflows/lint-js.yml' })
 ]

package/rules/k8s/lint_k8s_yml/docs/fix-lint_k8s_yml.md

@@ -3,28 +3,33 @@ type: JS Module
 title: fix-lint_k8s_yml.mjs
 resource: plugins/ci-github/rules/k8s/lint_k8s_yml/fix-lint_k8s_yml.mjs
 docgen:
-  crc: 7931d379
-  model: openai-codex/gpt-5.5
+  crc: e89c25eb
+  model: openai-codex/gpt-5.4-mini
+  tier: cloud-min
   score: 100
-  issues: judge:inaccurate:0.98
+  issues: judge-refine:kept-original,judge:inaccurate:0.98
   judgeModel: openai-codex/gpt-5.4-mini
 ---
 
 ## Огляд
 
-Надає `patterns` як read-only опис очікуваних збігів для перевірки репозиторію без змін у файловій системі чи інших сховищах. Свідомо пропускає `.github` і `.git`, щоб не аналізувати службові шляхи та зосереджувати перевірку на релевантному вмісті.
+Файл тримає канонічний сценарій оновлення CI workflow для лінту k8s-домену в consumer-репо, щоб `.github/workflows/lint-k8s.yml` приводився до шаблону концерну. Він існує, щоб звіряти workflow з канонічним snippet-ом концерну й застосовувати стандартний набір змін для цього сценарію, не виходячи за межі `.github` та `.git`.
 
 ## Поведінка
 
-1. `patterns` оголошує набір правил автоматичного виправлення для workflow перевірки Kubernetes YAML.
+1. `patterns` задає єдиний канонічний сценарій виправлення для CI workflow лінту k8s-домену.
+2. Під час застосування сценарію шаблон концерну зливається з `.github/workflows/lint-k8s.yml`: відсутні елементи додаються, а канонічні значення мають пріоритет.
+3. Якщо цільового файлу немає, `patterns` ініціює його створення з канонічного snippet-а.
+4. `patterns` навмисно не втручається в позатимплейтні ключі та коментарі, а також свідомо пропускає `.github` і `.git` як межі обробки.
 
-2. `patterns` забезпечує наявність стандартного шаблону `.github/workflows/lint-k8s.yml`, щоб репозиторій мав узгоджену CI-перевірку Kubernetes-маніфестів.
+## Публічний API
 
-3. `patterns` працює як read-only опис очікуваного виправлення: сам файл не виконує запис у файлову систему чи базу даних.
-
-4. `patterns` свідомо не охоплює обходом службові шляхи `.github` і `.git`; цільовий workflow у `.github/workflows/lint-k8s.yml` задається як конкретний шаблонний артефакт.
+- patterns — Один детермінований патерн: deep-merge канонічного snippet-а концерну в
+`.github/workflows/lint-k8s.yml` консюмер-репо — відсутні ключі додаються,
+канонічні значення мають пріоритет, коментарі й ключі поза шаблоном не
+чіпаються; якщо файлу немає — створюється зі snippet-а.
 
 ## Гарантії поведінки
 
-- Read-only: не виконує операцій запису (ФС/БД).
+- Власних операцій запису (ФС/БД) у файлі немає; виклики імпортованих модулів можуть писати.
 - Свідомо пропускає шляхи: `.github`, `.git`.

package/rules/k8s/lint_k8s_yml/docs/index.md

@@ -1,7 +1,7 @@
 ---
 type: Directory Index
-title: npm/rules/k8s/lint_k8s_yml
-resource: npm/rules/k8s/lint_k8s_yml/
+title: plugins/ci-github/rules/k8s/lint_k8s_yml
+resource: plugins/ci-github/rules/k8s/lint_k8s_yml/
 ---
 
 | Файл                                        | Тип       |

package/rules/k8s/lint_k8s_yml/fix-lint_k8s_yml.mjs

@@ -1,5 +1,15 @@
+/**
+ * T0-фікс концерну lint_k8s_yml: приводить CI-workflow лінту k8s-домену
+ * у консюмер-репо до канонічного шаблону концерну.
+ */
 import { createTemplateFixPattern } from '@7n/rules/scripts/lib/fix/template-deep-merge.mjs'
 
+/**
+ * Один детермінований патерн: deep-merge канонічного snippet-а концерну в
+ * `.github/workflows/lint-k8s.yml` консюмер-репо — відсутні ключі додаються,
+ * канонічні значення мають пріоритет, коментарі й ключі поза шаблоном не
+ * чіпаються; якщо файлу немає — створюється зі snippet-а.
+ */
 export const patterns = [
   createTemplateFixPattern({ id: 'k8s-lint_k8s_yml-template', targetPath: '.github/workflows/lint-k8s.yml' })
 ]

package/rules/k8s/lint_k8s_yml/template/lint-k8s.yml.snippet.yml

@@ -37,7 +37,7 @@ jobs:
       - name: Install kubescape
         run: |
           curl -s https://raw.githubusercontent.com/kubescape/kubescape/master/install.sh | /bin/bash
-          echo "$HOME/.kubescape/bin" >> $GITHUB_PATH
+          echo "$HOME/.kubescape/bin" >> "$GITHUB_PATH"
 
       - name: Lint K8s
         run: bunx n-rules lint k8s --no-fix

package/rules/npm-module/npm_publish_yml/docs/fix-npm_publish_yml.md

@@ -3,25 +3,35 @@ type: JS Module
 title: fix-npm_publish_yml.mjs
 resource: plugins/ci-github/rules/npm-module/npm_publish_yml/fix-npm_publish_yml.mjs
 docgen:
-  crc: 6db1ed6f
-  model: openai-codex/gpt-5.4-mini
+  crc: b7913c3f
+  model: omlx/gemma-4-e4b-it-OptiQ-4bit
+  tier: local-min-retry
   score: 100
-  issues: judge:inaccurate:0.98
+  issues: judge:error
   judgeModel: openai-codex/gpt-5.4-mini
 ---
 
 ## Огляд
 
-`patterns` визначає правила зіставлення вмісту для `/.github/workflows/npm-publish.yml` у межах репозиторію. Файл потрібен, щоб узгоджувати цей workflow із очікуваною структурою та вмістом.
+Приводить конфігураційний файл `.github/workflows/npm-publish.yml` до канонічного шаблону концерну для забезпечення уніфікованого процесу публікації npm-пакетів у репозиторії-споживачі. Функція `patterns` забезпечує, що робочий процес включає необхідні параметри, при цьому ігноруючи каталоги `.github` та `.git`.
 
 ## Поведінка
 
-1. `patterns` формує набір правил для підтримання узгодженого стану шаблонного workflow-файла `/.github/workflows/npm-publish.yml`.
-2. `patterns` працює у режимі read-only: він не змінює ФС або БД.
-3. `patterns` свідомо не охоплює шляхи `.github` і `.git`, щоб не зачіпати службові каталоги репозиторію.
-4. `patterns` повертає готову конфігурацію для застосування до цільового файла, щоб стандартизувати його вміст у межах репозиторію.
+1. Приводить робочий процес (workflow) публікації npm-пакета в консюмер-репо до канонічного шаблону концерну шляхом застосування детермінованого патерну.
+2. Патерн працює з файлом `.github/workflows/npm-publish.yml`.
+3. Відсутні ключі в файлі додаються, а канонічні значення мають пріоритет; коментарі та ключі поза шаблоном не змінюються.
+4. Якщо вказаний файл не існує, він створюється на основі канонічного snippet-а.
+5. Процес не перевіряє шляхи `.github` та `.git`.
+6. Результат дії визначається масивом, експортованим через `patterns`.
+
+## Публічний API
+
+- patterns — Один детермінований патерн: deep-merge канонічного snippet-а концерну в
+`.github/workflows/npm-publish.yml` консюмер-репо — відсутні ключі додаються,
+канонічні значення мають пріоритет, коментарі й ключі поза шаблоном не
+чіпаються; якщо файлу немає — створюється зі snippet-а.
 
 ## Гарантії поведінки
 
-- Read-only: не виконує операцій запису (ФС/БД).
+- Власних операцій запису (ФС/БД) у файлі немає; виклики імпортованих модулів можуть писати.
 - Свідомо пропускає шляхи: `.github`, `.git`.

package/rules/npm-module/npm_publish_yml/docs/index.md

@@ -1,7 +1,7 @@
 ---
 type: Directory Index
-title: npm/rules/npm-module/npm_publish_yml
-resource: npm/rules/npm-module/npm_publish_yml/
+title: plugins/ci-github/rules/npm-module/npm_publish_yml
+resource: plugins/ci-github/rules/npm-module/npm_publish_yml/
 ---
 
 | Файл                                              | Тип       |

package/rules/npm-module/npm_publish_yml/fix-npm_publish_yml.mjs

@@ -1,5 +1,15 @@
+/**
+ * T0-фікс концерну npm_publish_yml: приводить workflow публікації npm-пакета
+ * у консюмер-репо до канонічного шаблону концерну.
+ */
 import { createTemplateFixPattern } from '@7n/rules/scripts/lib/fix/template-deep-merge.mjs'
 
+/**
+ * Один детермінований патерн: deep-merge канонічного snippet-а концерну в
+ * `.github/workflows/npm-publish.yml` консюмер-репо — відсутні ключі додаються,
+ * канонічні значення мають пріоритет, коментарі й ключі поза шаблоном не
+ * чіпаються; якщо файлу немає — створюється зі snippet-а.
+ */
 export const patterns = [
   createTemplateFixPattern({
     id: 'npm-module-npm_publish_yml-template',

package/rules/php/lint_php_yml/docs/fix-lint_php_yml.md

@@ -3,25 +3,35 @@ type: JS Module
 title: fix-lint_php_yml.mjs
 resource: plugins/ci-github/rules/php/lint_php_yml/fix-lint_php_yml.mjs
 docgen:
-  crc: 8b0d8995
-  model: openai-codex/gpt-5.4-mini
+  crc: 0699f2b1
+  model: omlx/gemma-4-e4b-it-OptiQ-4bit
+  tier: local-min
   score: 100
-  issues: judge:inaccurate:0.99
+  issues: judge:error
   judgeModel: openai-codex/gpt-5.4-mini
 ---
 
 ## Огляд
 
-`patterns` описує правила для робочих шляхів у межах репозиторію та свідомо пропускає `.github` і `.git`. Функція працює read-only і не пише у ФС чи БД.
+Приводить конфігурації CI-workflow для PHP-домену у консюмер-репозиторії до канонічного шаблону концерну `lint_php_yml`. Гарантує відповідність YAML-файлів лінту встановленому стандарту, додаючи відсутні ключі та застосовуючи канонічні значення, зберігаючи при цьому вихідні коментарі та ключі, що не входять до шаблону. Це забезпечує єдність збірки та лінтування в системі.
 
 ## Поведінка
 
-1. `patterns` визначає набір правил для узгодженого виправлення шаблону `lint-php.yml` у межах репозиторію.
-2. `patterns` орієнтований на підтримку одного цільового workflow-файлу в `.github/workflows/lint-php.yml`, свідомо обходячи службові шляхи `.github` і `.git`.
-3. `patterns` працює в режимі read-only: він формує опис змін, але не виконує запис у файлову систему чи базу даних.
-4. `patterns` потрібен для стандартизації та відновлення очікуваного стану workflow-конфігурації без втручання в інші частини проєкту.
+1. Перевіряє файли, що знаходяться у каталозі `.github/workflows/lint-php.yml`.
+2. Використовує `patterns` для застосування канонічного шаблону концерну `lint_php_yml` до цільового файлу.
+3. При застосуванні шаблону відсутні ключі додаються, а канонічні значення мають пріоритет.
+4. Коментарі та ключі, які знаходяться поза шаблоном, залишаються без змін.
+5. Якщо файл цільового шляху відсутній, він створюється на основі наданого snippet-а.
+6. Ігнорує шляхи `.github` та `.git` під час перевірки.
+
+## Публічний API
+
+- patterns — Один детермінований патерн: deep-merge канонічного snippet-а концерну в
+`.github/workflows/lint-php.yml` консюмер-репо — відсутні ключі додаються,
+канонічні значення мають пріоритет, коментарі й ключі поза шаблоном не
+чіпаються; якщо файлу немає — створюється зі snippet-а.
 
 ## Гарантії поведінки
 
-- Read-only: не виконує операцій запису (ФС/БД).
+- Власних операцій запису (ФС/БД) у файлі немає; виклики імпортованих модулів можуть писати.
 - Свідомо пропускає шляхи: `.github`, `.git`.

package/rules/php/lint_php_yml/docs/index.md

@@ -1,7 +1,7 @@
 ---
 type: Directory Index
-title: npm/rules/php/lint_php_yml
-resource: npm/rules/php/lint_php_yml/
+title: plugins/ci-github/rules/php/lint_php_yml
+resource: plugins/ci-github/rules/php/lint_php_yml/
 ---
 
 | Файл                                        | Тип       |

package/rules/php/lint_php_yml/fix-lint_php_yml.mjs

@@ -1,5 +1,15 @@
+/**
+ * T0-фікс концерну lint_php_yml: приводить CI-workflow лінту php-домену
+ * у консюмер-репо до канонічного шаблону концерну.
+ */
 import { createTemplateFixPattern } from '@7n/rules/scripts/lib/fix/template-deep-merge.mjs'
 
+/**
+ * Один детермінований патерн: deep-merge канонічного snippet-а концерну в
+ * `.github/workflows/lint-php.yml` консюмер-репо — відсутні ключі додаються,
+ * канонічні значення мають пріоритет, коментарі й ключі поза шаблоном не
+ * чіпаються; якщо файлу немає — створюється зі snippet-а.
+ */
 export const patterns = [
   createTemplateFixPattern({ id: 'php-lint_php_yml-template', targetPath: '.github/workflows/lint-php.yml' })
 ]

package/rules/python/lint_python_yml/docs/fix-lint_python_yml.md

@@ -3,24 +3,37 @@ type: JS Module
 title: fix-lint_python_yml.mjs
 resource: plugins/ci-github/rules/python/lint_python_yml/fix-lint_python_yml.mjs
 docgen:
-  crc: 0408d343
-  model: openai-codex/gpt-5.4-mini
+  crc: 525f6959
+  model: openai-codex/gpt-5.5
+  tier: cloud-avg
   score: 100
-  issues: judge:inaccurate:0.99
+  issues: judge:error
   judgeModel: openai-codex/gpt-5.4-mini
 ---
 
 ## Огляд
 
-`patterns` описує стандартні правила для роботи з workflow-файлами у репозиторії, щоб узгоджувати очікувану поведінку перевірок. Модуль свідомо пропускає `.github` і `.git`, залишається read-only та не змінює файлову систему чи базу даних.
+Файл декларує автофікс для `python/lint_python_yml`: scaffold відсутнього `.github/workflows/lint-python.yml` з канонічного шаблону правила та `template-deep-merge` для наявного workflow. Він потрібен, щоб дописувати лише канонічні поля для Python lint у GitHub Actions і зберігати локальні налаштування проєкту.
+
+Публічна точка входу: `patterns`. Свідомо пропущені шляхи: `.github`, `.git`. Власних операцій запису у файлі немає.
 
 ## Поведінка
 
-1. `patterns` формує перелік стандартних правил виправлення для `lint-python.yml`, щоб уніфікувати структуру цього workflow-файла.
-2. Під час роботи орієнтується на цільовий шлях `.github/workflows/lint-python.yml` і свідомо не зачіпає `.github` та `.git`.
-3. Працює в read-only режимі: сам не змінює файлову систему чи базу даних, а лише описує, що треба виправити.
+1. `patterns` оголошує автофікс для правила `python/lint_python_yml`, щоб репозиторій отримував канонічний GitHub Actions workflow для Python lint.
+
+2. Якщо `.github/workflows/lint-python.yml` відсутній, автофікс має створити його з шаблону правила.
+
+3. Якщо workflow уже існує, автофікс має доповнити його лише канонічними полями правила, не прибираючи локальні налаштування проєкту.
+
+4. Правило свідомо не обходить службові шляхи `.github` і `.git`, але працює з цільовим workflow-файлом як із винятком для підтримки потрібної CI-конфігурації.
+
+5. Файл лише декларує поведінку автофікса через `patterns`; власних операцій запису не виконує.
+
+## Публічний API
+
+- patterns — Фікс-патерни концерну: один template-deep-merge запис для `.github/workflows/lint-python.yml`.
 
 ## Гарантії поведінки
 
-- Read-only: не виконує операцій запису (ФС/БД).
+- Власних операцій запису (ФС/БД) у файлі немає; виклики імпортованих модулів можуть писати.
 - Свідомо пропускає шляхи: `.github`, `.git`.

package/rules/python/lint_python_yml/docs/index.md

@@ -1,7 +1,7 @@
 ---
 type: Directory Index
-title: npm/rules/python/lint_python_yml
-resource: npm/rules/python/lint_python_yml/
+title: plugins/ci-github/rules/python/lint_python_yml
+resource: plugins/ci-github/rules/python/lint_python_yml/
 ---
 
 | Файл                                              | Тип       |