@7n/rules-ci-github 1.9.1 → 1.9.2

package/CHANGELOG.md

@@ -1,5 +1,13 @@
 # Changelog
 
+## [1.9.2] - 2026-07-22
+
+### Changed
+
+- doc_comments rollout: header-JSDoc у vitest.config (T0 promote)
+- doc_comments rollout: header/export JSDoc у конфігах demo
+- doc_comments rollout: header-JSDoc у vitest.config
+
 ## [1.9.1] - 2026-07-22
 
 ### Fixed

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@7n/rules-ci-github",
-  "version": "1.9.1",
+  "version": "1.9.2",
   "description": "Плагін @7n/rules: канон GitHub Actions (.github/workflows) — обов'язкові workflow, zizmor, VS Code",
   "keywords": [
     "github-actions",

package/rules/abie/clean_merged_ignore_branches/docs/fix-clean_merged_ignore_branches.md

@@ -3,28 +3,33 @@ type: JS Module
 title: fix-clean_merged_ignore_branches.mjs
 resource: plugins/ci-github/rules/abie/clean_merged_ignore_branches/fix-clean_merged_ignore_branches.mjs
 docgen:
-  crc: f3646572
-  model: openai-codex/gpt-5.5
+  crc: 4adccad6
+  model: openai-codex/gpt-5.4-mini
+  tier: cloud-min
   score: 100
-  issues: judge:inaccurate:0.99
+  issues: judge-refine:kept-original,judge:inaccurate:0.97
   judgeModel: openai-codex/gpt-5.4-mini
 ---
 
 ## Огляд
 
-`patterns` визначає набір шляхів репозиторію, які правило має враховувати під час перевірки. Воно свідомо не охоплює `.git` і `.github`, щоб не аналізувати службові дані Git та конфігурацію GitHub. Правило працює read-only: лише повідомляє про невідповідність очікуваній структурі, не змінюючи файли чи зовнішні сховища.
+Нормалізує workflow чистки злитих гілок до канонічного шаблону концерну, щоб для `.github/workflows/clean-merged-branch.yml` у consumer-репо завжди використовувався один і той самий стандарт. Публічний контракт файлу — `patterns`, а `.github` і `.git` свідомо не зачіпаються.
 
 ## Поведінка
 
-1. `patterns` визначає правило виправлення, яке забезпечує наявність workflow для очищення merged branches.
+1. `patterns` задає один канонічний сценарій приведення workflow чистки злитих гілок у відповідність до шаблону концерну для `.github/workflows/clean-merged-branch.yml`.
+2. Якщо цільовий файл уже існує, зберігаються всі позатимплейтні ключі та коментарі, а канонічні значення шаблону мають пріоритет у своїй області.
+3. Якщо цільового файла немає, він створюється з канонічного snippet-а.
+4. Обробка свідомо обходить `.github` і `.git`, щоб не торкатися службових шляхів поза очікуваним контуром змін.
 
-2. Правило орієнтується на шаблонний стан файлу `.github/workflows/clean-merged-branch.yml`, щоб уніфікувати поведінку репозиторіїв щодо прибирання вже злитих гілок.
+## Публічний API
 
-3. Під час перевірки свідомо не обходить службові шляхи `.github` і `.git`, окрім цільового workflow-файлу, який є предметом виправлення.
-
-4. `patterns` лише описує очікуване виправлення й не виконує самостійного запису у файлову систему чи інші сховища.
+- patterns — Один детермінований патерн: deep-merge канонічного snippet-а концерну в
+`.github/workflows/clean-merged-branch.yml` консюмер-репо — відсутні ключі
+додаються, канонічні значення мають пріоритет, коментарі й ключі поза
+шаблоном не чіпаються; якщо файлу немає — створюється зі snippet-а.
 
 ## Гарантії поведінки
 
-- Read-only: не виконує операцій запису (ФС/БД).
+- Власних операцій запису (ФС/БД) у файлі немає; виклики імпортованих модулів можуть писати.
 - Свідомо пропускає шляхи: `.github`, `.git`.

package/rules/abie/clean_merged_ignore_branches/docs/index.md

@@ -1,7 +1,7 @@
 ---
 type: Directory Index
-title: npm/rules/abie/clean_merged_ignore_branches
-resource: npm/rules/abie/clean_merged_ignore_branches/
+title: plugins/ci-github/rules/abie/clean_merged_ignore_branches
+resource: plugins/ci-github/rules/abie/clean_merged_ignore_branches/
 ---
 
 | Файл                                                                        | Тип       |

package/rules/abie/clean_merged_ignore_branches/fix-clean_merged_ignore_branches.mjs

@@ -1,5 +1,15 @@
+/**
+ * T0-фікс концерну clean_merged_ignore_branches: приводить workflow чистки
+ * злитих гілок у консюмер-репо до канонічного шаблону концерну.
+ */
 import { createTemplateFixPattern } from '@7n/rules/scripts/lib/fix/template-deep-merge.mjs'
 
+/**
+ * Один детермінований патерн: deep-merge канонічного snippet-а концерну в
+ * `.github/workflows/clean-merged-branch.yml` консюмер-репо — відсутні ключі
+ * додаються, канонічні значення мають пріоритет, коментарі й ключі поза
+ * шаблоном не чіпаються; якщо файлу немає — створюється зі snippet-а.
+ */
 export const patterns = [
   createTemplateFixPattern({
     id: 'abie-clean_merged_ignore_branches-template',

package/rules/docker/lint_docker_yml/docs/fix-lint_docker_yml.md

@@ -3,28 +3,31 @@ type: JS Module
 title: fix-lint_docker_yml.mjs
 resource: plugins/ci-github/rules/docker/lint_docker_yml/fix-lint_docker_yml.mjs
 docgen:
-  crc: cbc93b9d
+  crc: 229cd1e2
   model: openai-codex/gpt-5.5
+  tier: cloud-avg
   score: 100
-  issues: judge:inaccurate:0.98
   judgeModel: openai-codex/gpt-5.4-mini
 ---
 
 ## Огляд
 
-`patterns` визначає поведінку правила для обходу проєкту без змін у файловій системі чи зовнішніх сховищах. Службові директорії `.github` і `.git` свідомо не входять до перевірюваних шляхів, щоб правило працювало лише з релевантним кодом проєкту.
+Файл задає patterns для приведення CI-workflow docker-лінту в консюмер-репозиторіях до канонічного шаблону концерну. Він існує, щоб уніфікувати перевірку docker-домену без ручного узгодження шаблону.
 
 ## Поведінка
 
-1. `patterns` визначає правило автоматичного виправлення для workflow перевірки Docker.
+1. `patterns` визначає єдиний детермінований сценарій виправлення для CI-workflow лінту docker-домену в консюмер-репо.
+2. Сценарій забезпечує наявність канонічного workflow для docker-лінту: якщо файл відсутній, він має бути створений зі стандартного шаблону концерну.
+3. Якщо workflow уже існує, сценарій приводить його до канонічного стану через пріоритет значень шаблону, зберігаючи сторонні ключі й коментарі поза шаблонною частиною.
+4. Поведінка потрібна, щоб усі консюмер-репозиторії мали однаковий базовий CI-контроль docker-домену без ручного копіювання шаблону.
 
-2. `patterns` забезпечує наявність стандартного файлу `.github/workflows/lint-docker.yml`, щоб проєкт мав єдиний CI-контроль Docker-конфігурації.
+## Публічний API
 
-3. `patterns` працює як read-only опис виправлення: сам модуль не змінює файлову систему чи зовнішні сховища.
-
-4. Під час супровідного обходу шляхів свідомо не аналізуються `.github` і `.git`, щоб не змішувати службові директорії з основним кодом проєкту.
+- patterns — Один детермінований патерн: deep-merge канонічного snippet-а концерну в
+`.github/workflows/lint-docker.yml` консюмер-репо — відсутні ключі додаються,
+канонічні значення мають пріоритет, коментарі й ключі поза шаблоном не
+чіпаються; якщо файлу немає — створюється зі snippet-а.
 
 ## Гарантії поведінки
 
-- Read-only: не виконує операцій запису (ФС/БД).
-- Свідомо пропускає шляхи: `.github`, `.git`.
+- Сценарій зберігає коментарі й ключі поза шаблонною частиною наявного workflow.

package/rules/docker/lint_docker_yml/docs/index.md

@@ -1,7 +1,7 @@
 ---
 type: Directory Index
-title: npm/rules/docker/lint_docker_yml
-resource: npm/rules/docker/lint_docker_yml/
+title: plugins/ci-github/rules/docker/lint_docker_yml
+resource: plugins/ci-github/rules/docker/lint_docker_yml/
 ---
 
 | Файл                                              | Тип       |

package/rules/docker/lint_docker_yml/fix-lint_docker_yml.mjs

@@ -1,5 +1,15 @@
+/**
+ * T0-фікс концерну lint_docker_yml: приводить CI-workflow лінту docker-домену
+ * у консюмер-репо до канонічного шаблону концерну.
+ */
 import { createTemplateFixPattern } from '@7n/rules/scripts/lib/fix/template-deep-merge.mjs'
 
+/**
+ * Один детермінований патерн: deep-merge канонічного snippet-а концерну в
+ * `.github/workflows/lint-docker.yml` консюмер-репо — відсутні ключі додаються,
+ * канонічні значення мають пріоритет, коментарі й ключі поза шаблоном не
+ * чіпаються; якщо файлу немає — створюється зі snippet-а.
+ */
 export const patterns = [
   createTemplateFixPattern({ id: 'docker-lint_docker_yml-template', targetPath: '.github/workflows/lint-docker.yml' })
 ]

package/rules/ga/clean_ga_workflows/docs/fix-clean_ga_workflows.md

@@ -3,31 +3,31 @@ type: JS Module
 title: fix-clean_ga_workflows.mjs
 resource: plugins/ci-github/rules/ga/clean_ga_workflows/fix-clean_ga_workflows.mjs
 docgen:
-  crc: f149bf34
+  crc: e10fb666
   model: openai-codex/gpt-5.5
   tier: cloud-avg
   score: 100
-  issues: judge:inaccurate:0.99
   judgeModel: openai-codex/gpt-5.4-mini
 ---
 
 ## Огляд
 
-`patterns` визначає, які шляхи правило свідомо не розглядає як цільові для перевірки: `.github` і `.git` пропускаються, щоб службові каталоги репозиторію не змішувалися з робочим кодом.
+Файл описує канонічне виправлення workflow `.github/workflows/clean-ga-workflows.yml` для консюмер-репозиторіїв за шаблоном концерну `clean_ga_workflows`. Він потрібен, щоб визначити обовʼязковий сценарій очищення застарілих GitHub Actions workflow-ів.
 
-Правило працює read-only: не записує у файлову систему чи бази даних.
+Публічна точка входу — `patterns`.
 
 ## Поведінка
 
-1. `patterns` визначає правило автоматичного виправлення для workflow очищення GitHub Actions.
+1. `patterns` задає єдиний канонічний сценарій виправлення для workflow очищення застарілих GitHub Actions workflow-ів у консюмер-репозиторії.
+2. Сценарій приводить файл `.github/workflows/clean-ga-workflows.yml` до шаблону концерну `clean_ga_workflows`: додає відсутні обовʼязкові частини та надає пріоритет канонічним значенням.
+3. Якщо цільового workflow ще немає, сценарій забезпечує його створення з канонічного шаблону.
+4. Наявні коментарі та додаткові ключі поза шаблоном зберігаються, щоб не втрачати локальний контекст репозиторію.
 
-2. Правило гарантує наявність очікуваного файлу `.github/workflows/clean-ga-workflows.yml` на основі затвердженого шаблону.
+## Публічний API
 
-3. Виправлення працює як read-only опис дії: саме по собі не записує зміни у файлову систему чи зовнішні сховища.
-
-4. Під час застосування загальних перевірок свідомо не розглядаються службові шляхи `.github` і `.git`, щоб не аналізувати інфраструктурні каталоги як звичайний код.
+- patterns — Один детермінований патерн: deep-merge канонічного snippet-а концерну в
+`.github/workflows/clean-ga-workflows.yml` консюмер-репо — відсутні ключі
+додаються, канонічні значення мають пріоритет, коментарі й ключі поза
+шаблоном не чіпаються; якщо файлу немає — створюється зі snippet-а.
 
 ## Гарантії поведінки
-
-- Read-only: не виконує операцій запису (ФС/БД).
-- Свідомо пропускає шляхи: `.github`, `.git`.

package/rules/ga/clean_ga_workflows/fix-clean_ga_workflows.mjs

@@ -1,5 +1,15 @@
+/**
+ * T0-фікс концерну clean_ga_workflows: приводить workflow чистки застарілих
+ * GitHub Actions workflow-ів у консюмер-репо до канонічного шаблону концерну.
+ */
 import { createTemplateFixPattern } from '@7n/rules/scripts/lib/fix/template-deep-merge.mjs'
 
+/**
+ * Один детермінований патерн: deep-merge канонічного snippet-а концерну в
+ * `.github/workflows/clean-ga-workflows.yml` консюмер-репо — відсутні ключі
+ * додаються, канонічні значення мають пріоритет, коментарі й ключі поза
+ * шаблоном не чіпаються; якщо файлу немає — створюється зі snippet-а.
+ */
 export const patterns = [
   createTemplateFixPattern({
     id: 'ga-clean_ga_workflows-template',

package/rules/ga/clean_merged_branch/docs/fix-clean_merged_branch.md

@@ -3,25 +3,34 @@ type: JS Module
 title: fix-clean_merged_branch.mjs
 resource: plugins/ci-github/rules/ga/clean_merged_branch/fix-clean_merged_branch.mjs
 docgen:
-  crc: e78a4923
+  crc: b4fbbbfb
   model: openai-codex/gpt-5.4-mini
+  tier: cloud-min
   score: 100
-  issues: judge:inaccurate:0.98
+  issues: judge-refine:kept-original,judge:inaccurate:0.98
   judgeModel: openai-codex/gpt-5.4-mini
 ---
 
 ## Огляд
 
-`patterns` звіряє шаблонну конфігурацію з відповідними файлами репозиторію, щоб підтримувати узгодженість між шаблоном і робочим станом. Працює лише на читання, не торкається `.github` і `.git`, і не змінює файлову систему чи базу даних.
+`patterns` нормалізує workflow автоматичного видалення злитих гілок у `consumer`-репо до канонічного шаблону концерну: фіксує цільовий `clean_merged_branch` для `.github/workflows/clean-merged-branch.yml`, щоб цей сценарій відповідав спільним правилам для таких файлів. Для узгодження з контрактом файлу враховує лише релевантний контекст і свідомо не зачіпає шляхи `.github` та `.git` поза цим workflow.
 
 ## Поведінка
 
-1. `patterns` формує набір правил для узгодження шаблонної конфігурації з цільовим workflow-файлом `.github/workflows/clean-merged-branch.yml`.
-2. `patterns` використовує це правило як частину автоматизованого вирівнювання між шаблоном і робочим репозиторієм, щоб підтримувати однакову поведінку в потрібному workflow.
-3. `patterns` свідомо не охоплює шляхи `.github` і `.git`, щоб не зачіпати службові та внутрішні дані репозиторію.
-4. `patterns` працює read-only: лише описує, що треба зіставити, і не записує зміни у файлову систему чи базу даних.
+1. `patterns` задає один канонічний сценарій вирівнювання workflow для автоматичного видалення злитих гілок у консюмер-репо.
+2. Сценарій спрямований на `.github/workflows/clean-merged-branch.yml` і приводить його до шаблону концерну.
+3. Якщо цільовий файл уже існує, зберігає локальні відхилення поза шаблоном, але оновлює відсутні частини та надає пріоритет канонічним значенням.
+4. Якщо цільового файлу немає, створює його з канонічного snippet-а.
+5. Не зачіпає свідомо пропущені шляхи `.github` і `.git` поза цільовим workflow-контекстом.
+
+## Публічний API
+
+- patterns — Один детермінований патерн: deep-merge канонічного snippet-а концерну в
+`.github/workflows/clean-merged-branch.yml` консюмер-репо — відсутні ключі
+додаються, канонічні значення мають пріоритет, коментарі й ключі поза
+шаблоном не чіпаються; якщо файлу немає — створюється зі snippet-а.
 
 ## Гарантії поведінки
 
-- Read-only: не виконує операцій запису (ФС/БД).
+- Власних операцій запису (ФС/БД) у файлі немає; виклики імпортованих модулів можуть писати.
 - Свідомо пропускає шляхи: `.github`, `.git`.

package/rules/ga/clean_merged_branch/fix-clean_merged_branch.mjs

@@ -1,5 +1,15 @@
+/**
+ * T0-фікс концерну clean_merged_branch: приводить workflow автоматичного
+ * видалення злитих гілок у консюмер-репо до канонічного шаблону концерну.
+ */
 import { createTemplateFixPattern } from '@7n/rules/scripts/lib/fix/template-deep-merge.mjs'
 
+/**
+ * Один детермінований патерн: deep-merge канонічного snippet-а концерну в
+ * `.github/workflows/clean-merged-branch.yml` консюмер-репо — відсутні ключі
+ * додаються, канонічні значення мають пріоритет, коментарі й ключі поза
+ * шаблоном не чіпаються; якщо файлу немає — створюється зі snippet-а.
+ */
 export const patterns = [
   createTemplateFixPattern({
     id: 'ga-clean_merged_branch-template',

package/rules/ga/git_ai/docs/fix-git_ai.md

@@ -3,28 +3,38 @@ type: JS Module
 title: fix-git_ai.mjs
 resource: plugins/ci-github/rules/ga/git_ai/fix-git_ai.mjs
 docgen:
-  crc: 1823ea17
+  crc: 4dcfdaf1
   model: openai-codex/gpt-5.5
+  tier: cloud-avg
   score: 100
-  issues: judge:inaccurate:0.98
+  issues: judge-refine:kept-original,judge:inaccurate:0.98
   judgeModel: openai-codex/gpt-5.4-mini
 ---
 
 ## Огляд
 
-`patterns` визначає шаблони пошуку для перевірки проєктних файлів і свідомо не охоплює службові шляхи `.github` та `.git`.
+Файл описує `patterns` для T0-фіксу концерну `git_ai`: приводить workflow інтеграції git-ai у консюмер-репозиторії до канонічного GitHub Actions шаблону концерну.
 
-Модуль має read-only поведінку без запису у файлову систему чи базу даних, щоб перевірка лише виявляла релевантні збіги й не змінювала стан репозиторію.
+Це потрібно, щоб workflow git-ai відповідав очікуваному шаблону інтеграції та не обробляв шляхи `.github` і `.git`.
 
 ## Поведінка
 
-1. `patterns` визначає автоматичне виправлення для підтримки стандартного workflow Git AI у репозиторії.
+1. `patterns` визначає єдиний автоматичний фікс для концерну `git_ai`, щоб workflow інтеграції git-ai у консюмер-репозиторії відповідав канонічному шаблону.
 
-2. `patterns` забезпечує наявність очікуваного файлу `.github/workflows/git-ai.yml`, щоб перевірка правила могла запропонувати єдиний канонічний варіант налаштування.
+2. Фікс підтримує наявний workflow актуальним: додає відсутні обов’язкові частини, пріоритезує канонічні значення концерну та зберігає сторонні налаштування, які не конфліктують із шаблоном.
 
-3. Під час пошуку цільових файлів свідомо пропускаються службові шляхи `.github` і `.git`, щоб не аналізувати технічні директорії як звичайний проєктний код.
+3. Якщо workflow інтеграції git-ai відсутній, `patterns` забезпечує його створення з канонічного шаблону, щоб репозиторій одразу отримав очікувану GitHub Actions інтеграцію.
+
+4. Під час застосування фікса свідомо не обробляються службові шляхи `.github` і `.git`, щоб не зачіпати інфраструктурні області поза цільовим workflow.
+
+## Публічний API
+
+- patterns — Один детермінований патерн: deep-merge канонічного snippet-а концерну в
+`.github/workflows/git-ai.yml` консюмер-репо — відсутні ключі додаються,
+канонічні значення мають пріоритет, коментарі й ключі поза шаблоном не
+чіпаються; якщо файлу немає — створюється зі snippet-а.
 
 ## Гарантії поведінки
 
-- Read-only: не виконує операцій запису (ФС/БД).
+- Власних операцій запису (ФС/БД) у файлі немає; виклики імпортованих модулів можуть писати.
 - Свідомо пропускає шляхи: `.github`, `.git`.

package/rules/ga/git_ai/fix-git_ai.mjs

@@ -1,5 +1,15 @@
+/**
+ * T0-фікс концерну git_ai: приводить workflow інтеграції git-ai у
+ * консюмер-репо до канонічного шаблону концерну.
+ */
 import { createTemplateFixPattern } from '@7n/rules/scripts/lib/fix/template-deep-merge.mjs'
 
+/**
+ * Один детермінований патерн: deep-merge канонічного snippet-а концерну в
+ * `.github/workflows/git-ai.yml` консюмер-репо — відсутні ключі додаються,
+ * канонічні значення мають пріоритет, коментарі й ключі поза шаблоном не
+ * чіпаються; якщо файлу немає — створюється зі snippet-а.
+ */
 export const patterns = [
   createTemplateFixPattern({ id: 'ga-git_ai-template', targetPath: '.github/workflows/git-ai.yml' })
 ]

package/rules/ga/lint_ga/docs/fix-lint_ga.md

@@ -3,30 +3,36 @@ type: JS Module
 title: fix-lint_ga.mjs
 resource: plugins/ci-github/rules/ga/lint_ga/fix-lint_ga.mjs
 docgen:
-  crc: 7f4ab512
+  crc: b0207391
   model: openai-codex/gpt-5.5
+  tier: cloud-avg
   score: 100
-  issues: judge:inaccurate:0.98
   judgeModel: openai-codex/gpt-5.4-mini
 ---
 
 ## Огляд
 
-`patterns` описує перевірку очікуваного вмісту для `.github/workflows/lint-ga.yml`, щоб lint workflow для Google Analytics залишався узгодженим із шаблоном.
+Файл підтримує T0-фікс для концерну `lint_ga`: приводить CI-workflow лінту `ga`-домену в консюмер-репо до канонічного шаблону концерну.
 
-Секція має read-only призначення: вона фіксує очікувану поведінку без запису у файлову систему чи базу даних. Під час загального обходу свідомо не враховуються службові шляхи `.github` і `.git`.
+Публічна функція `patterns` визначає застосування цього виправлення.
 
 ## Поведінка
 
-1. `patterns` оголошує правило автоматичного виправлення для workflow lint-перевірки Google Analytics.
+1. `patterns` визначає єдиний канонічний T0-fix для workflow лінту `ga`-домену в консюмер-репо.
 
-2. `patterns` забезпечує приведення `.github/workflows/lint-ga.yml` до очікуваного шаблонного стану, щоб CI мав стабільну перевірку GA-правил.
+2. `patterns` описує приведення `.github/workflows/lint-ga.yml` до шаблону концерну.
 
-3. `patterns` не виконує запис самостійно: воно лише описує доступне виправлення для зовнішнього механізму застосування.
+3. Якщо цільового workflow ще немає, `patterns` описує його створення з канонічного шаблону.
 
-4. `patterns` свідомо не охоплює службові шляхи `.github` і `.git` як вхідні області для загального обходу, окрім цільового workflow-файлу, який має бути синхронізований із шаблоном.
+4. `patterns` не виконує власних операцій запису у файл самостійно, а лише експортує правило виправлення для зовнішнього механізму.
+
+5. Під час роботи концерну обробляється цільовий workflow `.github/workflows/lint-ga.yml`.
+
+## Публічний API
+
+- patterns — Один детермінований патерн для канонічного snippet-а концерну в
+`.github/workflows/lint-ga.yml` консюмер-репо.
 
 ## Гарантії поведінки
 
-- Read-only: не виконує операцій запису (ФС/БД).
-- Свідомо пропускає шляхи: `.github`, `.git`.
+- Власних операцій запису (ФС/БД) у файлі немає; виклики імпортованих модулів можуть писати.

package/rules/ga/lint_ga/fix-lint_ga.mjs

@@ -1,5 +1,15 @@
+/**
+ * T0-фікс концерну lint_ga: приводить CI-workflow лінту ga-домену у
+ * консюмер-репо до канонічного шаблону концерну.
+ */
 import { createTemplateFixPattern } from '@7n/rules/scripts/lib/fix/template-deep-merge.mjs'
 
+/**
+ * Один детермінований патерн: deep-merge канонічного snippet-а концерну в
+ * `.github/workflows/lint-ga.yml` консюмер-репо — відсутні ключі додаються,
+ * канонічні значення мають пріоритет, коментарі й ключі поза шаблоном не
+ * чіпаються; якщо файлу немає — створюється зі snippet-а.
+ */
 export const patterns = [
   createTemplateFixPattern({ id: 'ga-lint_ga-template', targetPath: '.github/workflows/lint-ga.yml' })
 ]

package/rules/ga/lint_repo_yml/docs/fix-lint_repo_yml.md

@@ -3,26 +3,38 @@ type: JS Module
 title: fix-lint_repo_yml.mjs
 resource: plugins/ci-github/rules/ga/lint_repo_yml/fix-lint_repo_yml.mjs
 docgen:
-  crc: 838883e0
+  crc: bcbfc5f8
   model: openai-codex/gpt-5.4-mini
   tier: cloud-min
   score: 100
-  issues: judge:inaccurate:0.99
+  issues: judge-refine:kept-original,judge:inaccurate:0.98
   judgeModel: openai-codex/gpt-5.4-mini
 ---
 
 ## Огляд
 
-`patterns` описує, які шляхи потрапляють у lint-синхронізацію для `.github/workflows/lint-repo.yml`, щоб ця частина репозиторію оновлювалася за спільними правилами. Він свідомо пропускає `.github` і `.git`, тож працює лише з цільовими шляхами поза цими межами.
+Збігає шляхами `.github/workflows/lint-repo.yml` і повертає `patterns`, щоб репо-рівневий CI lint-workflow у консюмер-репо відповідав канонічному шаблону концерну.
+
+Якщо файл вже існує, оновлює лише канонічний workflow-snippet; якщо ні — формує його з шаблону для `lint-repo.yml`.
+
+Свідомо не зачіпає `.github` і `.git`, щоб не виходити за межі репо-лінту.
 
 ## Поведінка
 
-1. `patterns` визначає набір правил для синхронізації lint-налаштування з шаблоном у `.github/workflows/lint-repo.yml`.
-2. `patterns` свідомо не охоплює `.github` і `.git`, щоб не втручатися в службові та історичні області репозиторію.
-3. `patterns` працює read-only: він лише описує очікувану поведінку перевірки й не змінює файлову систему чи базу даних.
-4. `patterns` потрібен, щоб підтримувати узгодженість workflow lint-репозиторію з централізованим шаблоном і зменшувати ручне супроводження.
+1. `patterns` задає один детермінований шаблонний фікс для приведення `.github/workflows/lint-repo.yml` у консюмер-репо до канонічного вигляду концерну.
+2. Якщо цільовий workflow-файл уже існує, у нього вносяться лише зміни в межах канонічного snippet-а: відсутні ключі додаються, а канонічні значення мають пріоритет.
+3. Якщо цільового workflow-файлу немає, він створюється на основі канонічного snippet-а.
+4. Ключі й коментарі поза шаблоном не зачіпаються, тож локальні доповнення поза канонічною частиною зберігаються.
+5. Під час роботи свідомо обходяться шляхи `.github` і `.git`, щоб не втручатися в службові каталоги.
+
+## Публічний API
+
+- patterns — Один детермінований патерн: deep-merge канонічного snippet-а концерну в
+`.github/workflows/lint-repo.yml` консюмер-репо — відсутні ключі додаються,
+канонічні значення мають пріоритет, коментарі й ключі поза шаблоном не
+чіпаються; якщо файлу немає — створюється зі snippet-а.
 
 ## Гарантії поведінки
 
-- Read-only: не виконує операцій запису (ФС/БД).
+- Власних операцій запису (ФС/БД) у файлі немає; виклики імпортованих модулів можуть писати.
 - Свідомо пропускає шляхи: `.github`, `.git`.

package/rules/ga/lint_repo_yml/fix-lint_repo_yml.mjs

@@ -1,5 +1,15 @@
+/**
+ * T0-фікс концерну lint_repo_yml: приводить CI-workflow репо-рівневого лінту
+ * у консюмер-репо до канонічного шаблону концерну.
+ */
 import { createTemplateFixPattern } from '@7n/rules/scripts/lib/fix/template-deep-merge.mjs'
 
+/**
+ * Один детермінований патерн: deep-merge канонічного snippet-а концерну в
+ * `.github/workflows/lint-repo.yml` консюмер-репо — відсутні ключі додаються,
+ * канонічні значення мають пріоритет, коментарі й ключі поза шаблоном не
+ * чіпаються; якщо файлу немає — створюється зі snippet-а.
+ */
 export const patterns = [
   createTemplateFixPattern({ id: 'ga-lint_repo_yml-template', targetPath: '.github/workflows/lint-repo.yml' })
 ]

package/rules/ga/service_deploy_workflow/docs/fix-service_deploy_workflow.md

@@ -3,29 +3,56 @@ type: JS Module
 title: fix-service_deploy_workflow.mjs
 resource: plugins/ci-github/rules/ga/service_deploy_workflow/fix-service_deploy_workflow.mjs
 docgen:
-  crc: bb163530
+  crc: 429bfe4c
+  model: openai-codex/gpt-5.5
+  tier: cloud-avg
+  score: 100
+  issues: judge-refine:kept-original,judge:inaccurate:0.99
+  judgeModel: openai-codex/gpt-5.4-mini
 ---
 
 ## Огляд
 
-Модуль виконує T0-автоміграцію GitHub Actions deploy-workflow до сервіс-канону `plan → lint-<domain> → deploy` (ADR 260718-0835), дзеркало `fix-service_deploy_pipeline` для `ci-azure`. Для workflow з легасі-джобою `n-rules lint --path <svc>` (без домену) додає `plan` (checkout `fetch-depth: 0` + prep + `bunx n-rules ci plan --path <svc> --github` з `id: plan` і outputs-мапінгом доменів + `any`), розкладає легасі lint на per-domain `lint-<domain>`-джоби (домени й glob-и — ті самі, що в `ci plan`), перепідключає `needs` залежних джоб і додає Skipped-толерантний `if` там, де його бракує. Наявний нетривіальний `if` не перезаписується.
+T0-автоміграція приводить `.github/workflows/deploy-*.yml` сервісів до канону ADR 260718-0835: `plan → lint-<domain> → deploy` із runtime outputs для доменних гейтів. Вона додає `plan` із `bunx n-rules ci plan --path <svc> --github`, `id: plan` та outputs-мапінгом доменів + `any`, щоб умови `needs.plan.outputs.*` мали значення під час виконання.
 
-`bootstrap: true` — окремий опт-ін, який `n-rules lint --fix` не викликає автоматично: для deploy-workflow БЕЗ жодної lint-джоби (rego вважає такий workflow валідним as-is — публікація без гейта може бути свідомим рішенням) створює lint-<domain>-джоби з нуля за `relevantDomains` піддерева сервісу і підключає вхідну джобу без власного `needs` до `plan` + усіх нових lint-джоб зі Skipped-толерантним `if`.
+Файл існує як fix-режим для workflow, що ще мають легасі lint або неповний domain-style wiring, зберігаючи валідні без-lint workflow без примусового переходу на gate. `bootstrap: true` є окремим opt-in для workflow без lint-джоб: він створює доменні lint-гейти з нуля й підключає до них безумовну вхідну job.
 
-Мутації виконуються через YAML Document API — коментарі та форматування незачеплених частин файлу зберігаються. Помилки парсингу чи міграції окремого файлу не прокидаються назовні: функція повертає `false`, файл лишається без змін.
+Міграція працює fail-safe: перехоплює помилки, не кидає винятків назовні та в окремих збійних сценаріях може повертати `null`.
 
 ## Поведінка
 
-- `migrateWorkflowFile(absPath, cwd, { bootstrap? })` — мігрує один deploy-workflow до канону; повертає `true`, якщо файл змінено, `false` — якщо міграція не потрібна, шлях сервісу не визначити, чи (без `bootstrap`) у workflow немає ні `plan`, ні жодного lint-кроку.
-- `patterns` — T0-патерн fix-конвеєра: спрацьовує лише коли rego-концерн уже знайшов порушення у файлі (без `bootstrap`), мігрує кожен зачеплений workflow і збирає перелік змінених файлів; помилки окремих файлів не переривають обробку решти.
+`migrateWorkflowFile` читає GitHub Actions deploy-workflow, визначає сервісний каталог і активні домени, після чого детерміновано приводить jobs до канону `plan → lint-<domain> → deploy`. Дані беруться з наявних jobs, lint-команд і workflow paths; результатом є оновлений YAML-файл із мінімальними змінами незачеплених частин.
+
+Потік міграції спочатку формує або доповнює `plan` з outputs для доменів і `any`, щоб downstream-гейти могли коректно читати `needs.plan.outputs.*` під час runtime. Далі легасі lint-job без домену замінюється на набір per-domain jobs, а вже наявні domain-style lint jobs добираються до канону: залежність від `plan`, умовний запуск за outputs, режим без auto-fix, повна історія checkout і підготовчі кроки.
+
+Після створення або оновлення lint jobs міграція перешиває залежності інших jobs з легасі-імен на нові lint jobs. Якщо deploy-job залежить від умовних lint jobs, вона отримує Skipped-толерантний gate, щоб пропущений нерелевантний домен не блокував деплой, але failure залишався блокувальним. Наявний нетривіальний `if` не перезаписується, бо це вважається ручним рішенням.
+
+Опційний bootstrap-режим у `migrateWorkflowFile` застосовується лише як явний opt-in для workflow без lint jobs: він створює per-domain lint jobs з нуля та підключає безумовну вхідну deploy-job до `plan` і всіх lint jobs. Звичайний fix-режим цього не робить, бо workflow без lint-гейта є валідним станом, а перехід на gate має бути свідомим рішенням команди.
+
+Зміни виконуються через YAML document-модель, тому порядок jobs керовано оновлюється, а коментарі й форматування незачеплених ділянок зберігаються. Помилки обробляються fail-safe: міграція не кидає винятки назовні і за неможливості безпечно визначити потрібні дані не виконує небезпечний rewrite.
+
+`patterns` підключає цю міграцію до правила fix для deploy-workflow файлів і застосовує звичайний режим без bootstrap. Під час обходу свідомо пропускаються `.github` і `.git`, щоб не аналізувати службові каталоги як сервісні піддерева.
 
 ## Публічний API
 
-- `migrateWorkflowFile` — переводить один deploy-workflow у канонічний формат, опційно (`bootstrap: true`) добудовуючи lint-джоби з нуля для workflow, що їх ще не мали.
-- `patterns` — T0-фікс-патерн для fix-конвеєра `n-rules lint`: розпізнає порушення `service_deploy_workflow` і застосовує `migrateWorkflowFile` (без `bootstrap`) до кожного знайденого файлу.
+- migrateWorkflowFile — Мігрує один deploy-workflow до канону. Повертає true, якщо файл змінено.
+
+`bootstrap: true` — свідоме розширення поза звичайним fix-режимом: для
+deploy-workflow БЕЗ жодної lint-джоби (валідний as-is за рего-концерном,
+деталі — service_deploy_workflow.rego) створює lint-<domain> джоби з нуля
+(за `relevantDomains` піддерева сервісу) і підключає вхідну/термінальну
+джобу без `needs` до plan + усіх lint-джоб. Це саме «свідоме рішення
+перейти на гейт», про яке говорить коментар концерну — bootstrap лише
+виконує його механічно, а не ухвалює автоматично (звичайний
+`n-rules lint --fix` bootstrap не викликає: patterns[0].apply завжди
+викликається без bootstrap).
+- patterns — Один детермінований патерн: для кожного workflow-файлу з порушеннями запускає
+`migrateWorkflowFile` без bootstrap (plan-джоба, per-domain lint-джоби,
+перешивка needs). Помилка міграції окремого файлу не валить прогін — deny
+лишається детектору до ручного фіксу.
 
 ## Гарантії поведінки
 
-- Перехоплює помилки парсингу й міграції — не пропускає винятків назовні (fail-safe), повертає `false`.
-- Не перезаписує наявний нетривіальний `if` термінальної джоби.
-- `bootstrap`-логіка не активується неявно через звичайний `n-rules lint --fix` — лише за прямого виклику з `{ bootstrap: true }`.
+- Перехоплює помилки і не пропускає винятків назовні (fail-safe).
+- За певних помилок повертає порожнє значення (напр. `null`) замість винятку.
+- Свідомо пропускає шляхи: `.github`, `.git`.

package/rules/ga/service_deploy_workflow/fix-service_deploy_workflow.mjs

@@ -448,6 +448,12 @@ export async function migrateWorkflowFile(absPath, cwd, opts = {}) {
   return true
 }
 
+/**
+ * Один детермінований патерн: для кожного workflow-файлу з порушеннями запускає
+ * `migrateWorkflowFile` без bootstrap (plan-джоба, per-domain lint-джоби,
+ * перешивка needs). Помилка міграції окремого файлу не валить прогін — deny
+ * лишається детектору до ручного фіксу.
+ */
 export const patterns = [
   {
     id: 'ga-service-workflow-canon-migrate',