@7n/rules-ci-github 1.9.6 → 1.9.7

package/CHANGELOG.md

@@ -1,5 +1,11 @@
 # Changelog
 
+## [1.9.7] - 2026-07-25
+
+### Changed
+
+- Оптимізовано path-фільтри lint workflow для pull request
+
 ## [1.9.6] - 2026-07-24
 
 ### Changed

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@7n/rules-ci-github",
-  "version": "1.9.6",
+  "version": "1.9.7",
   "description": "Плагін @7n/rules: канон GitHub Actions (.github/workflows) — обов'язкові workflow, zizmor, VS Code",
   "keywords": [
     "github-actions",

package/rules/ga/lint_ga/lint_ga.mdc

@@ -10,6 +10,7 @@ Rego-пакет: `ga.lint_ga`
 - `on.push.branches` — superset: містить `dev` і `main`
 - `on.pull_request.branches` — superset: містить `dev` і `main`
 - `on.push.paths` — superset: містить `.github/actions/**` і `.github/workflows/**`
+- `on.pull_request.paths` — superset: містить `.github/actions/**` і `.github/workflows/**`
 - `jobs.lint-ga` — job має існувати
 - `jobs.lint-ga.runs-on` — за template (`ubuntu-latest`)
 - `jobs.lint-ga.permissions.contents` — `read`

package/rules/ga/lint_ga/lint_ga.rego

@@ -8,7 +8,9 @@ import rego.v1
 
 # ── Аліаси ─────────────────────────────────────────────────────────────────
 
-gha_on := input["true"]
+# Conftest поточних версій читає YAML 1.2 (`on`), але старі версії віддавали
+# YAML 1.1 boolean-key (`true`). Приймаємо обидві форми, щоб policy не мовчала.
+gha_on := object.get(input, "on", object.get(input, "true", {}))
 
 job := input.jobs["lint-ga"]
 
@@ -26,6 +28,10 @@ expected_pr_branches := {b | some b in data.template.snippet.on.pull_request.bra
 
 expected_push_paths := {p | some p in data.template.snippet.on.push.paths}
 
+expected_pr_paths := {p | some p in data.template.snippet.on.pull_request.paths}
+
+actual_pr_paths := object.get(object.get(gha_on, "pull_request", {}), "paths", [])
+
 expected_runs_on := data.template.snippet.jobs["lint-ga"]["runs-on"]
 
 expected_perms := data.template.snippet.jobs["lint-ga"].permissions
@@ -66,6 +72,11 @@ deny contains msg if {
 	msg := "lint-ga.yml: on.push.paths має містити .github/actions/** і .github/workflows/** (ga.mdc)"
 }
 
+deny contains msg if {
+	not paths_superset_of(actual_pr_paths, expected_pr_paths)
+	msg := "lint-ga.yml: on.pull_request.paths має містити .github/actions/** і .github/workflows/** (ga.mdc)"
+}
+
 deny contains msg if {
 	not job
 	msg := "lint-ga.yml: jobs.lint-ga відсутній (ga.mdc)"

package/rules/ga/lint_ga/template/lint-ga.yml.snippet.yml

@@ -12,6 +12,9 @@ on:
     branches:
       - dev
       - main
+    paths:
+      - '.github/actions/**'
+      - '.github/workflows/**'
 
 concurrency:
   group: ${{ github.ref }}-${{ github.workflow }}

package/rules/js/lint_js_yml/lint_js_yml.rego

@@ -16,6 +16,14 @@ package js.lint_js_yml
 
 import rego.v1
 
+# Conftest поточних версій читає YAML 1.2 (`on`), але старі версії віддавали
+# YAML 1.1 boolean-key (`true`). Приймаємо обидві форми, щоб policy не мовчала.
+gha_on := object.get(input, "on", object.get(input, "true", {}))
+
+expected_pr_paths := {p | some p in data.template.snippet.on.pull_request.paths}
+
+actual_pr_paths := object.get(object.get(gha_on, "pull_request", {}), "paths", [])
+
 # Required `uses:` зі template — фільтруємо тільки кроки з uses.
 expected_uses_set contains u if {
 	some step in data.template.snippet.jobs.eslint.steps
@@ -58,6 +66,11 @@ deny contains msg if {
 	msg := sprintf("lint-js.yml: відсутній крок uses: %s (js.mdc)", [required_use])
 }
 
+deny contains msg if {
+	not paths_superset_of(actual_pr_paths, expected_pr_paths)
+	msg := "lint-js.yml: on.pull_request.paths має містити очікувані glob-и (js.mdc)"
+}
+
 # ── deny: required run substrings ───────────────────────────────────────
 
 deny contains msg if {
@@ -110,6 +123,10 @@ has_use_satisfying(required) if {
 	uses_satisfies(u, required)
 }
 
+paths_superset_of(actual, expected) if {
+	expected & {p | some p in actual} == expected
+}
+
 step_run_text(step) := step.run if is_string(step.run)
 
 else := concat("\n", [s | some s in step.run]) if is_array(step.run)

package/rules/js/lint_js_yml/template/lint-js.yml.snippet.yml

@@ -14,11 +14,22 @@ on:
       - '**/*.tsx'
       - '**/*.vue'
       - '**/eslint.config.*'
+      - '**/.oxlintrc.json'
 
   pull_request:
     branches:
       - dev
       - main
+    paths:
+      - '**/*.js'
+      - '**/*.mjs'
+      - '**/*.cjs'
+      - '**/*.jsx'
+      - '**/*.ts'
+      - '**/*.tsx'
+      - '**/*.vue'
+      - '**/eslint.config.*'
+      - '**/.oxlintrc.json'
 
 concurrency:
   group: ${{ github.ref }}-${{ github.workflow }}

package/rules/python/lint_python_yml/lint_python_yml.rego

@@ -14,6 +14,14 @@ package python.lint_python_yml
 
 import rego.v1
 
+# Conftest поточних версій читає YAML 1.2 (`on`), але старі версії віддавали
+# YAML 1.1 boolean-key (`true`). Приймаємо обидві форми, щоб policy не мовчала.
+gha_on := object.get(input, "on", object.get(input, "true", {}))
+
+expected_pr_paths := {p | some p in data.template.snippet.on.pull_request.paths}
+
+actual_pr_paths := object.get(object.get(gha_on, "pull_request", {}), "paths", [])
+
 # Усі `uses` з канону workflow (по всіх job'ах template).
 expected_uses contains u if {
 	some job in data.template.snippet.jobs
@@ -43,6 +51,11 @@ deny contains msg if {
 	msg := sprintf("lint-python.yml: відсутній step з `uses: %s` (python.mdc)", [required_use])
 }
 
+deny contains msg if {
+	not paths_superset_of(actual_pr_paths, expected_pr_paths)
+	msg := "lint-python.yml: on.pull_request.paths має містити очікувані glob-и (python.mdc)"
+}
+
 deny contains msg if {
 	msg := "lint-python.yml: actions/checkout@v6 потребує `with: persist-credentials: false` (python.mdc)"
 	some job in object.get(input, "jobs", {})
@@ -66,3 +79,7 @@ step_run_to_text(step) := step.run if is_string(step.run)
 else := concat("\n", [s | some s in step.run]) if is_array(step.run)
 
 else := ""
+
+paths_superset_of(actual, expected) if {
+	expected & {p | some p in actual} == expected
+}

package/rules/python/lint_python_yml/template/lint-python.yml.snippet.yml

@@ -15,6 +15,11 @@ on:
     branches:
       - dev
       - main
+    paths:
+      - '**/*.py'
+      - 'pyproject.toml'
+      - 'uv.lock'
+      - '.github/workflows/lint-python.yml'
 
 concurrency:
   group: ${{ github.ref }}-${{ github.workflow }}

package/rules/rust/lint_rust_yml/lint_rust_yml.rego

@@ -12,6 +12,14 @@ package rust.lint_rust_yml
 
 import rego.v1
 
+# Conftest поточних версій читає YAML 1.2 (`on`), але старі версії віддавали
+# YAML 1.1 boolean-key (`true`). Приймаємо обидві форми, щоб policy не мовчала.
+gha_on := object.get(input, "on", object.get(input, "true", {}))
+
+expected_pr_paths := {p | some p in data.template.snippet.on.pull_request.paths}
+
+actual_pr_paths := object.get(object.get(gha_on, "pull_request", {}), "paths", [])
+
 # Усі `uses` з канону workflow.
 expected_uses contains u if {
 	some step in data.template.snippet.jobs.lint.steps
@@ -46,6 +54,11 @@ deny contains msg if {
 	msg := sprintf("lint-rust.yml: відсутній step з `uses: %s` (rust.mdc)", [required_use])
 }
 
+deny contains msg if {
+	not paths_superset_of(actual_pr_paths, expected_pr_paths)
+	msg := "lint-rust.yml: on.pull_request.paths має містити очікувані glob-и (rust.mdc)"
+}
+
 deny contains msg if {
 	some step in data.template.snippet.jobs.lint.steps
 	expected_run := object.get(step, "run", "")
@@ -77,3 +90,7 @@ step_run_to_text(step) := step.run if is_string(step.run)
 else := concat("\n", [s | some s in step.run]) if is_array(step.run)
 
 else := ""
+
+paths_superset_of(actual, expected) if {
+	expected & {p | some p in actual} == expected
+}

package/rules/rust/lint_rust_yml/template/lint-rust.yml.snippet.yml

@@ -16,6 +16,12 @@ on:
     branches:
       - dev
       - main
+    paths:
+      - '**/*.rs'
+      - '**/Cargo.toml'
+      - '**/Cargo.lock'
+      - '**/rustfmt.toml'
+      - '**/clippy.toml'
 
 concurrency:
   group: ${{ github.ref }}-${{ github.workflow }}

package/rules/text/lint_text/lint_text.mdc

@@ -8,7 +8,7 @@ Rego-пакет: `text.lint_text`
 
 - `name` — має бути `"Lint Text"`
 - `on.push.branches` та `on.pull_request.branches` — мають містити `dev` і `main`
-- `on.push.paths` — має бути надмножиною канонічних glob-ів (усі текстові розширення)
+- `on.push.paths` та `on.pull_request.paths` — мають бути надмножиною канонічних glob-ів (усі текстові розширення)
 - `jobs.text` — job обов'язковий
 - `jobs.text.runs-on` — має бути `ubuntu-latest`
 - `jobs.text.permissions.contents` — має бути `read`

package/rules/text/lint_text/lint_text.rego

@@ -15,13 +15,17 @@ expected_pr_branches := {b | some b in data.template.snippet.on.pull_request.bra
 
 expected_push_paths := {p | some p in data.template.snippet.on.push.paths}
 
+expected_pr_paths := {p | some p in data.template.snippet.on.pull_request.paths}
+
+actual_pr_paths := object.get(object.get(gha_on, "pull_request", {}), "paths", [])
+
 expected_runs_on := data.template.snippet.jobs.text["runs-on"]
 
 expected_perms := data.template.snippet.jobs.text.permissions
 
-# conftest парсить YAML 1.1, де канонічний `on:` без лапок стає булевим ключем
-# `true` (як у `ga.lint_ga`). Тому читаємо on-блок через `input["true"]`.
-gha_on := input["true"]
+# Conftest поточних версій читає YAML 1.2 (`on`), але старі версії віддавали
+# YAML 1.1 boolean-key (`true`). Приймаємо обидві форми, щоб policy не мовчала.
+gha_on := object.get(input, "on", object.get(input, "true", {}))
 
 job := input.jobs.text
 
@@ -63,6 +67,11 @@ deny contains msg if {
 	msg := "lint-text.yml: on.push.paths має містити очікувані glob-и (text.mdc)"
 }
 
+deny contains msg if {
+	not paths_superset_of(actual_pr_paths, expected_pr_paths)
+	msg := "lint-text.yml: on.pull_request.paths має містити очікувані glob-и (text.mdc)"
+}
+
 deny contains msg if {
 	not job
 	msg := "lint-text.yml: jobs.text відсутній (text.mdc)"

package/rules/text/lint_text/template/lint-text.yml.snippet.yml

@@ -32,6 +32,28 @@ on:
     branches:
       - dev
       - main
+    paths:
+      - '**/*.js'
+      - '**/*.ts'
+      - '**/*.vue'
+      - '**/*.html'
+      - '**/*.css'
+      - '**/*.scss'
+      - '**/*.less'
+      - '**/*.json'
+      - '**/*.jsonc'
+      - '**/*.yaml'
+      - '**/*.yml'
+      - '**/*.toml'
+      - '**/*.xml'
+      - '**/*.md'
+      - '**/*.mdc'
+      - '**/*.mdс'
+      - '**/*.txt'
+      - '**/*.go'
+      - '**/*.py'
+      - '**/*.php'
+      - '**/*.sh'
 
 concurrency:
   group: ${{ github.ref }}-${{ github.workflow }}