@7n/rules-ci-github 1.9.6 → 1.9.8

package/CHANGELOG.md

@@ -1,5 +1,17 @@
 # Changelog
 
+## [1.9.8] - 2026-07-26
+
+### Fixed
+
+- GA workflow validation дозволяє canonical optional language config paths до появи самих конфігів.
+
+## [1.9.7] - 2026-07-25
+
+### Changed
+
+- Оптимізовано path-фільтри lint workflow для pull request
+
 ## [1.9.6] - 2026-07-24
 
 ### Changed

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@7n/rules-ci-github",
-  "version": "1.9.6",
+  "version": "1.9.8",
   "description": "Плагін @7n/rules: канон GitHub Actions (.github/workflows) — обов'язкові workflow, zizmor, VS Code",
   "keywords": [
     "github-actions",

package/rules/ga/lint_ga/lint_ga.mdc

@@ -10,6 +10,7 @@ Rego-пакет: `ga.lint_ga`
 - `on.push.branches` — superset: містить `dev` і `main`
 - `on.pull_request.branches` — superset: містить `dev` і `main`
 - `on.push.paths` — superset: містить `.github/actions/**` і `.github/workflows/**`
+- `on.pull_request.paths` — superset: містить `.github/actions/**` і `.github/workflows/**`
 - `jobs.lint-ga` — job має існувати
 - `jobs.lint-ga.runs-on` — за template (`ubuntu-latest`)
 - `jobs.lint-ga.permissions.contents` — `read`

package/rules/ga/lint_ga/lint_ga.rego

@@ -8,7 +8,9 @@ import rego.v1
 
 # ── Аліаси ─────────────────────────────────────────────────────────────────
 
-gha_on := input["true"]
+# Conftest поточних версій читає YAML 1.2 (`on`), але старі версії віддавали
+# YAML 1.1 boolean-key (`true`). Приймаємо обидві форми, щоб policy не мовчала.
+gha_on := object.get(input, "on", object.get(input, "true", {}))
 
 job := input.jobs["lint-ga"]
 
@@ -26,6 +28,10 @@ expected_pr_branches := {b | some b in data.template.snippet.on.pull_request.bra
 
 expected_push_paths := {p | some p in data.template.snippet.on.push.paths}
 
+expected_pr_paths := {p | some p in data.template.snippet.on.pull_request.paths}
+
+actual_pr_paths := object.get(object.get(gha_on, "pull_request", {}), "paths", [])
+
 expected_runs_on := data.template.snippet.jobs["lint-ga"]["runs-on"]
 
 expected_perms := data.template.snippet.jobs["lint-ga"].permissions
@@ -66,6 +72,11 @@ deny contains msg if {
 	msg := "lint-ga.yml: on.push.paths має містити .github/actions/** і .github/workflows/** (ga.mdc)"
 }
 
+deny contains msg if {
+	not paths_superset_of(actual_pr_paths, expected_pr_paths)
+	msg := "lint-ga.yml: on.pull_request.paths має містити .github/actions/** і .github/workflows/** (ga.mdc)"
+}
+
 deny contains msg if {
 	not job
 	msg := "lint-ga.yml: jobs.lint-ga відсутній (ga.mdc)"

package/rules/ga/lint_ga/template/lint-ga.yml.snippet.yml

@@ -12,6 +12,9 @@ on:
     branches:
       - dev
       - main
+    paths:
+      - '.github/actions/**'
+      - '.github/workflows/**'
 
 concurrency:
   group: ${{ github.ref }}-${{ github.workflow }}

package/rules/ga/workflows/docs/main.md

@@ -3,7 +3,7 @@ type: JS Module
 title: main.mjs
 resource: plugins/ci-github/rules/ga/workflows/main.mjs
 docgen:
-  crc: 0e45c8c5
+  crc: 0eb11a60
 ---
 
 ## Огляд
@@ -14,7 +14,7 @@ Please provide the code you want me to document.
 
 Поведінка:
 checkShellcheckInstalled перевіряє локальну наявність інструменту `shellcheck` у системному PATH, щоб забезпечити узгодженість логіки CI та локального запуску.
-main виконує комплексну перевірку відповідності репозиторію правилам `ga.mdc`, включаючи валідацію структури GitHub Actions workflow, аналіз посилань на файли за допомогою `git ls-files` та пошук залишків MegaLinter. При цьому він ігнорує шляхи, що стосуються `.github` та `.git`.
+main виконує комплексну перевірку відповідності репозиторію правилам `ga.mdc`, включаючи валідацію структури GitHub Actions workflow, аналіз посилань на файли за допомогою `git ls-files` та пошук залишків MegaLinter. Canonical language config paths не вважаються stale, якщо сам config ще відсутній: workflow має бути готовий підхопити його появу без окремої синхронної правки CI.
 lint запускає стандартний лінтинг, який включає перевірку `actionlint` та `zizmor` для забезпечення якості YAML-файлів та робочого середовища, а також ініціює повну перевірку `main`.
 runLintGaCli запускає процес лінтингу `ga` через командний інтерфейс.
 

package/rules/ga/workflows/main.mjs

@@ -28,6 +28,12 @@ const REQUIRED_WORKFLOWS = ['clean-ga-workflows.yml', 'clean-merged-branch.yml',
 /** Патерн rego-violation про відсутній `persist-credentials`. */
 const CHECKOUT_PERSIST_RE = /persist-credentials/u
 
+/**
+ * Language workflow policies вимагають ці config paths наперед, навіть коли
+ * конкретний consumer ще не має відповідного tool config.
+ */
+const OPTIONAL_CANONICAL_PATH_GLOBS = new Set(['pyproject.toml', 'uv.lock', '**/rustfmt.toml', '**/clippy.toml'])
+
 /**
  * Structured fix-hint (#3) для rego-violation про `actions/checkout` без
  * `persist-credentials: false` — щоб T0 (`fix-workflows.mjs`) автофіксив детерміновано,
@@ -76,6 +82,10 @@ function shouldValidateWorkflowPathsGlob(p) {
   // Негативні патерни — лише виключають, їх існування не перевіряємо.
   if (p.startsWith('!')) return false
 
+  // Canonical language configs можуть зʼявитися пізніше, але мають уже
+  // активувати відповідний workflow без синхронної правки CI.
+  if (OPTIONAL_CANONICAL_PATH_GLOBS.has(p)) return false
+
   // “Розширення-фільтри” (або brace-варіанти) пропускаємо: вони можуть бути заготовками.
   return !p.includes('*.')
 }

package/rules/js/lint_js_yml/lint_js_yml.rego

@@ -16,6 +16,14 @@ package js.lint_js_yml
 
 import rego.v1
 
+# Conftest поточних версій читає YAML 1.2 (`on`), але старі версії віддавали
+# YAML 1.1 boolean-key (`true`). Приймаємо обидві форми, щоб policy не мовчала.
+gha_on := object.get(input, "on", object.get(input, "true", {}))
+
+expected_pr_paths := {p | some p in data.template.snippet.on.pull_request.paths}
+
+actual_pr_paths := object.get(object.get(gha_on, "pull_request", {}), "paths", [])
+
 # Required `uses:` зі template — фільтруємо тільки кроки з uses.
 expected_uses_set contains u if {
 	some step in data.template.snippet.jobs.eslint.steps
@@ -58,6 +66,11 @@ deny contains msg if {
 	msg := sprintf("lint-js.yml: відсутній крок uses: %s (js.mdc)", [required_use])
 }
 
+deny contains msg if {
+	not paths_superset_of(actual_pr_paths, expected_pr_paths)
+	msg := "lint-js.yml: on.pull_request.paths має містити очікувані glob-и (js.mdc)"
+}
+
 # ── deny: required run substrings ───────────────────────────────────────
 
 deny contains msg if {
@@ -110,6 +123,10 @@ has_use_satisfying(required) if {
 	uses_satisfies(u, required)
 }
 
+paths_superset_of(actual, expected) if {
+	expected & {p | some p in actual} == expected
+}
+
 step_run_text(step) := step.run if is_string(step.run)
 
 else := concat("\n", [s | some s in step.run]) if is_array(step.run)

package/rules/js/lint_js_yml/template/lint-js.yml.snippet.yml

@@ -14,11 +14,22 @@ on:
       - '**/*.tsx'
       - '**/*.vue'
       - '**/eslint.config.*'
+      - '**/.oxlintrc.json'
 
   pull_request:
     branches:
       - dev
       - main
+    paths:
+      - '**/*.js'
+      - '**/*.mjs'
+      - '**/*.cjs'
+      - '**/*.jsx'
+      - '**/*.ts'
+      - '**/*.tsx'
+      - '**/*.vue'
+      - '**/eslint.config.*'
+      - '**/.oxlintrc.json'
 
 concurrency:
   group: ${{ github.ref }}-${{ github.workflow }}

package/rules/python/lint_python_yml/lint_python_yml.rego

@@ -14,6 +14,14 @@ package python.lint_python_yml
 
 import rego.v1
 
+# Conftest поточних версій читає YAML 1.2 (`on`), але старі версії віддавали
+# YAML 1.1 boolean-key (`true`). Приймаємо обидві форми, щоб policy не мовчала.
+gha_on := object.get(input, "on", object.get(input, "true", {}))
+
+expected_pr_paths := {p | some p in data.template.snippet.on.pull_request.paths}
+
+actual_pr_paths := object.get(object.get(gha_on, "pull_request", {}), "paths", [])
+
 # Усі `uses` з канону workflow (по всіх job'ах template).
 expected_uses contains u if {
 	some job in data.template.snippet.jobs
@@ -43,6 +51,11 @@ deny contains msg if {
 	msg := sprintf("lint-python.yml: відсутній step з `uses: %s` (python.mdc)", [required_use])
 }
 
+deny contains msg if {
+	not paths_superset_of(actual_pr_paths, expected_pr_paths)
+	msg := "lint-python.yml: on.pull_request.paths має містити очікувані glob-и (python.mdc)"
+}
+
 deny contains msg if {
 	msg := "lint-python.yml: actions/checkout@v6 потребує `with: persist-credentials: false` (python.mdc)"
 	some job in object.get(input, "jobs", {})
@@ -66,3 +79,7 @@ step_run_to_text(step) := step.run if is_string(step.run)
 else := concat("\n", [s | some s in step.run]) if is_array(step.run)
 
 else := ""
+
+paths_superset_of(actual, expected) if {
+	expected & {p | some p in actual} == expected
+}

package/rules/python/lint_python_yml/template/lint-python.yml.snippet.yml

@@ -15,6 +15,11 @@ on:
     branches:
       - dev
       - main
+    paths:
+      - '**/*.py'
+      - 'pyproject.toml'
+      - 'uv.lock'
+      - '.github/workflows/lint-python.yml'
 
 concurrency:
   group: ${{ github.ref }}-${{ github.workflow }}

package/rules/rust/lint_rust_yml/lint_rust_yml.rego

@@ -12,6 +12,14 @@ package rust.lint_rust_yml
 
 import rego.v1
 
+# Conftest поточних версій читає YAML 1.2 (`on`), але старі версії віддавали
+# YAML 1.1 boolean-key (`true`). Приймаємо обидві форми, щоб policy не мовчала.
+gha_on := object.get(input, "on", object.get(input, "true", {}))
+
+expected_pr_paths := {p | some p in data.template.snippet.on.pull_request.paths}
+
+actual_pr_paths := object.get(object.get(gha_on, "pull_request", {}), "paths", [])
+
 # Усі `uses` з канону workflow.
 expected_uses contains u if {
 	some step in data.template.snippet.jobs.lint.steps
@@ -46,6 +54,11 @@ deny contains msg if {
 	msg := sprintf("lint-rust.yml: відсутній step з `uses: %s` (rust.mdc)", [required_use])
 }
 
+deny contains msg if {
+	not paths_superset_of(actual_pr_paths, expected_pr_paths)
+	msg := "lint-rust.yml: on.pull_request.paths має містити очікувані glob-и (rust.mdc)"
+}
+
 deny contains msg if {
 	some step in data.template.snippet.jobs.lint.steps
 	expected_run := object.get(step, "run", "")
@@ -77,3 +90,7 @@ step_run_to_text(step) := step.run if is_string(step.run)
 else := concat("\n", [s | some s in step.run]) if is_array(step.run)
 
 else := ""
+
+paths_superset_of(actual, expected) if {
+	expected & {p | some p in actual} == expected
+}

package/rules/rust/lint_rust_yml/template/lint-rust.yml.snippet.yml

@@ -16,6 +16,12 @@ on:
     branches:
       - dev
       - main
+    paths:
+      - '**/*.rs'
+      - '**/Cargo.toml'
+      - '**/Cargo.lock'
+      - '**/rustfmt.toml'
+      - '**/clippy.toml'
 
 concurrency:
   group: ${{ github.ref }}-${{ github.workflow }}

package/rules/text/lint_text/lint_text.mdc

@@ -8,7 +8,7 @@ Rego-пакет: `text.lint_text`
 
 - `name` — має бути `"Lint Text"`
 - `on.push.branches` та `on.pull_request.branches` — мають містити `dev` і `main`
-- `on.push.paths` — має бути надмножиною канонічних glob-ів (усі текстові розширення)
+- `on.push.paths` та `on.pull_request.paths` — мають бути надмножиною канонічних glob-ів (усі текстові розширення)
 - `jobs.text` — job обов'язковий
 - `jobs.text.runs-on` — має бути `ubuntu-latest`
 - `jobs.text.permissions.contents` — має бути `read`

package/rules/text/lint_text/lint_text.rego

@@ -15,13 +15,17 @@ expected_pr_branches := {b | some b in data.template.snippet.on.pull_request.bra
 
 expected_push_paths := {p | some p in data.template.snippet.on.push.paths}
 
+expected_pr_paths := {p | some p in data.template.snippet.on.pull_request.paths}
+
+actual_pr_paths := object.get(object.get(gha_on, "pull_request", {}), "paths", [])
+
 expected_runs_on := data.template.snippet.jobs.text["runs-on"]
 
 expected_perms := data.template.snippet.jobs.text.permissions
 
-# conftest парсить YAML 1.1, де канонічний `on:` без лапок стає булевим ключем
-# `true` (як у `ga.lint_ga`). Тому читаємо on-блок через `input["true"]`.
-gha_on := input["true"]
+# Conftest поточних версій читає YAML 1.2 (`on`), але старі версії віддавали
+# YAML 1.1 boolean-key (`true`). Приймаємо обидві форми, щоб policy не мовчала.
+gha_on := object.get(input, "on", object.get(input, "true", {}))
 
 job := input.jobs.text
 
@@ -63,6 +67,11 @@ deny contains msg if {
 	msg := "lint-text.yml: on.push.paths має містити очікувані glob-и (text.mdc)"
 }
 
+deny contains msg if {
+	not paths_superset_of(actual_pr_paths, expected_pr_paths)
+	msg := "lint-text.yml: on.pull_request.paths має містити очікувані glob-и (text.mdc)"
+}
+
 deny contains msg if {
 	not job
 	msg := "lint-text.yml: jobs.text відсутній (text.mdc)"

package/rules/text/lint_text/template/lint-text.yml.snippet.yml

@@ -32,6 +32,28 @@ on:
     branches:
       - dev
       - main
+    paths:
+      - '**/*.js'
+      - '**/*.ts'
+      - '**/*.vue'
+      - '**/*.html'
+      - '**/*.css'
+      - '**/*.scss'
+      - '**/*.less'
+      - '**/*.json'
+      - '**/*.jsonc'
+      - '**/*.yaml'
+      - '**/*.yml'
+      - '**/*.toml'
+      - '**/*.xml'
+      - '**/*.md'
+      - '**/*.mdc'
+      - '**/*.mdс'
+      - '**/*.txt'
+      - '**/*.go'
+      - '**/*.py'
+      - '**/*.php'
+      - '**/*.sh'
 
 concurrency:
   group: ${{ github.ref }}-${{ github.workflow }}