@7n/rules-ci-github 1.9.8 → 2.0.1

package/CHANGELOG.md

@@ -1,5 +1,25 @@
 # Changelog
 
+## [2.0.1] - 2026-07-27
+
+### Fixed
+
+- peerDependency @7n/rules піднято до >=1.52.0 — перша core-версія з universal slot bus (plugin API v2)
+
+## [2.0.0] - 2026-07-27
+
+### Added
+
+- Generic ci.artifact@1 consumer: deep-subset merge, GitHub Actions workflow artifacts (required-file/patch-existing), T0-фікс
+
+### Changed
+
+- Маніфест плагіна переведено на universal slot bus (`requiresPluginApi: 2`, `slots.provides` з `rules.directory@1` замість `contributes.rules`) — spec 2026-07-27-universal-plugin-slots-lang-php-extraction, Фаза 2.
+
+### Removed
+
+- PHP-specific mixin-концерн `rules/php/lint_php_yml/**` видалено (Фаза 4 spec universal-plugin-slots-lang-php-extraction) — GitHub `lint-php.yml` тепер обслуговує generic `ci.artifact@1` consumer через contribution `@7n/rules-lang-php`; статичний `lint-text.yml` template більше не містить безумовний `**/*.php` glob — тепер `patch-existing` contribution того самого плагіна
+
 ## [1.9.8] - 2026-07-26
 
 ### Fixed

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@7n/rules-ci-github",
-  "version": "1.9.8",
+  "version": "2.0.1",
   "description": "Плагін @7n/rules: канон GitHub Actions (.github/workflows) — обов'язкові workflow, zizmor, VS Code",
   "keywords": [
     "github-actions",
@@ -22,6 +22,7 @@
   "type": "module",
   "files": [
     "rules",
+    "slots",
     "CHANGELOG.md",
     "!**/*.test.mjs",
     "!**/*_test.rego",
@@ -29,15 +30,21 @@
     "!**/tests/**"
   ],
   "n-rules": {
+    "requiresPluginApi": 2,
     "capabilities": [
       "ci:github"
     ],
-    "contributes": {
-      "rules": true
+    "slots": {
+      "provides": [
+        { "slot": "rules.directory", "version": 1, "id": "github-rules", "resource": "./rules" }
+      ],
+      "consumes": [
+        { "slot": "ci.artifact", "versions": [1], "handler": "./slots/ci-artifact-consumer.mjs" }
+      ]
     }
   },
   "peerDependencies": {
-    "@7n/rules": ">=1.2.0"
+    "@7n/rules": ">=1.52.0"
   },
   "publishConfig": {
     "access": "public"

package/rules/ci_artifact/consume/collect-artifacts.mjs

@@ -0,0 +1,24 @@
+/**
+ * Тонка обгортка над `collectCiArtifactContributions`
+ * (`@7n/rules/scripts/lib/ci-artifact-collect.mjs`) з capability цього consumer-а (spec
+ * `2026-07-27-universal-plugin-slots-lang-php-extraction`, §7.2, Фаза 3). Спільна для
+ * detector-а (`main.mjs`) і T0-фіксу (`fix-consume.mjs`) — щоб обидва бачили ОДИН і той самий
+ * набір contributions в ОДНОМУ й тому ж graph-порядку (детермінований порядок застосування при
+ * двох contributors в один target file, spec §10 Фаза 3 п.4).
+ */
+import { collectCiArtifactContributions } from '@7n/rules/scripts/lib/ci-artifact-collect.mjs'
+
+/** Capability, для якої релевантні contributions цього consumer-а. */
+const TARGET_CAPABILITY = 'ci:github'
+
+/**
+ * @typedef {import('@7n/rules/scripts/lib/slot-contracts-ci.mjs').CiArtifactCandidate} ArtifactCandidate
+ */
+
+/**
+ * @param {string} cwd абсолютний корінь consumer-репо
+ * @returns {ReturnType<typeof collectCiArtifactContributions>} результат {@link collectCiArtifactContributions} для `ci:github`
+ */
+export function collectArtifacts(cwd) {
+  return collectCiArtifactContributions(cwd, TARGET_CAPABILITY)
+}

package/rules/ci_artifact/consume/concern.json

@@ -0,0 +1,5 @@
+{
+  "$schema": "https://unpkg.com/@7n/rules/schemas/concern.json",
+  "fixability": "config",
+  "lint": { "scope": "full" }
+}

package/rules/ci_artifact/consume/consume.mdc

@@ -0,0 +1,26 @@
+## Generic `ci.artifact@1` consumer (GitHub Actions)
+
+Правило матеріалізує CI-артефакти, які постачають language-плагіни (напр. майбутній
+`@7n/rules-lang-php`) через universal typed slot `ci.artifact@1` (mixin
+`@7n/rules-ci-github`) — без жодного PHP чи іншого мовного literal у цьому пакеті: уся
+domain-семантика приходить з payload-у contribution-а (`targetCapability`, `artifactId`,
+`targetPath`, `template`, `mergeStrategy`, `mode`, `fix`).
+
+### Поведінка
+
+| mode | ціль існує | ціль відсутня |
+| --- | --- | --- |
+| `required-file` | deep-subset diff проти `template` | violation, T0 створює файл з `template` |
+| `patch-existing` | deep-subset diff проти `template` | без violation (файл належить іншому концерну) |
+
+`mergeStrategy: "deep-subset"`: обʼєкти мерджаться рекурсивно по ключах canonical-фрагмента
+(природно покриває GitHub `jobs` — вже keyed object); scalar-масиви (напр. `on.push.paths`) —
+ordered set-union, наявні consumer-specific записи не видаляються; масиви обʼєктів (напр.
+`steps`) — identity-based: canonical-елемент шукається в actual за першим наявним полем
+`id` → `uses` → `name`, мерджаться лише його поля.
+
+T0-фікс (`fixability: "config"`, без LLM ladder) застосовується лише коли
+`descriptor.fix === true`; ідемпотентний — повторний прогін після фіксу дає 0 violations.
+
+Дві contributions з ОДНАКОВИМ `artifactId` від РІЗНИХ плагінів — domain collision (spec §9.10):
+жодна з них не матеріалізується, замість цього — один violation з provenance обох сторін.

package/rules/ci_artifact/consume/docs/collect-artifacts.md

@@ -0,0 +1,22 @@
+---
+type: JS Module
+title: collect-artifacts.mjs
+resource: plugins/ci-github/rules/ci_artifact/consume/collect-artifacts.mjs
+docgen:
+  crc: c6f96721
+---
+
+Тонка обгортка над `collectCiArtifactContributions` (`@7n/rules/scripts/lib/ci-artifact-collect.mjs`) з capability цього consumer-а (spec `2026-07-27-universal-plugin-slots-lang-php-extraction`, §7.2). Спільна для detector-а (`main.mjs`) і T0-фіксу (`fix-consume.mjs`) — щоб обидва бачили один і той самий набір contributions в одному й тому ж graph-порядку.
+
+## Поведінка
+
+`collectArtifacts(cwd)` викликає `collectCiArtifactContributions(cwd, 'ci:github')` — лише фіксує `targetCapability` цього consumer-а, уся інша логіка (collect + collision-детекція) живе в спільному `@7n/rules` helper-і.
+
+## Публічний API
+
+`collectArtifacts` — повертає `{ relevant, collisions, errors }` для `ci:github`.
+
+## Гарантії поведінки
+
+* **Один consumer — одна capability**: `TARGET_CAPABILITY = 'ci:github'` — фіксоване значення, не параметризується ззовні.
+* **Той самий контракт, що й Azure-consumer**: обидва просто передають різну capability у спільний `collectCiArtifactContributions`.

package/rules/ci_artifact/consume/docs/fix-consume.md

@@ -0,0 +1,29 @@
+---
+type: JS Module
+title: fix-consume.mjs
+resource: plugins/ci-github/rules/ci_artifact/consume/fix-consume.mjs
+docgen:
+  crc: 28c6361c
+  model: openai-codex/gpt-5.4-mini
+  tier: cloud-min
+  score: 80
+  judgeModel: openai-codex/gpt-5.4-mini
+---
+
+## Огляд
+
+`patterns` — T0-правило для `ci.artifact@1`, що детерміновано приводить кожен цільовий файл до канонічного `template` без LLM. Воно застосовує всі `descriptor.fix === true` contributions у тому самому graph-порядку, що й detector у `collectArtifacts`: якщо дві contributions впливають на один target file, кожен наступний виклик `applyDeepSubsetFix` читає файл уже після merge попередньої contribution, тож наступна contribution бачить застосовану попередню.
+
+## Поведінка
+
+1. `patterns` визначає T0-правило для `ci.artifact@1`, яке виправляє лише ті порушення, де артефакт позначено як придатний до автоматичного виправлення.
+2. Правило спрацьовує тільки для дефіциту або розбіжності артефакта, якщо для цього порушення явно дозволено fix.
+3. Після спрацювання воно збирає релевантні артефактні внески й відбирає лише ті цілі, які мають увімкнений fix.
+4. Для кожного такого цільового файла воно відновлює канонічний стан на основі узгодженого шаблону.
+5. Якщо для внеску шаблон не вдається отримати, правило пропускає цей випадок і не маскує проблему: її далі має показати detector.
+6. Коли один і той самий файл має кілька придатних внесків, правило застосовує їх у тому ж порядку, що й detector, щоб кожен наступний внесок бачив уже попередні зміни.
+7. Результатом є список файлів, які були фактично змінені під час виправлення.
+
+## Гарантії поведінки
+
+- Власних операцій запису (ФС/БД) у файлі немає; виклики імпортованих модулів можуть писати.

package/rules/ci_artifact/consume/docs/index.md

@@ -0,0 +1,11 @@
+---
+type: Directory Index
+title: plugins/ci-github/rules/ci_artifact/consume
+resource: plugins/ci-github/rules/ci_artifact/consume/
+---
+
+| Файл                                          | Тип       |
+| --------------------------------------------- | --------- |
+| [collect-artifacts.mjs](collect-artifacts.md) | JS Module |
+| [fix-consume.mjs](fix-consume.md)             | JS Module |
+| [main.mjs](main.md)                           | JS Module |

package/rules/ci_artifact/consume/docs/main.md

@@ -0,0 +1,39 @@
+---
+type: JS Module
+title: main.mjs
+resource: plugins/ci-github/rules/ci_artifact/consume/main.mjs
+docgen:
+  crc: 89ed27be
+  model: openai-codex/gpt-5.4-mini
+  tier: cloud-min
+  score: 100
+  issues: judge-refine:kept-original,judge:inaccurate:0.95
+  judgeModel: openai-codex/gpt-5.4-mini
+---
+
+## Огляд
+
+Публічною точкою входу є `lint`, яка перевіряє відповідність знайденого внеску канонічному стану цільового файла й повертає результат без змін у репозиторії. Вона окремо фіксує, коли відсутній обов’язковий файл, і коли відсутність не є критичною.
+
+## Поведінка
+
+1. Збирає поточні правила для `ci:github` у межах робочого каталогу й використовує `package.json` як джерело пакування та публікації пов’язаних артефактів.
+2. Перевіряє кожну релевантну contribution на відповідність канонічному стану цільового файлу та фіксує діагностику для всього набору знайдених артефактів.
+3. Якщо для contribution не вдається отримати канонічний шаблон, позначає це як помилку шаблону й прив’язує її до цільового файлу.
+4. Якщо цільовий файл відсутній, розрізняє два бізнес-випадки: для обов’язкового файла створення вважається порушенням, для інших сценаріїв відсутність мовчки пропускається.
+5. Якщо файл існує, порівнює його фактичний вміст із канонічним станом і фіксує всі розбіжності як окремі порушення.
+6. Повертає підсумок перевірки через `lint` без зміни файлів у репозиторії.
+
+## Публічний API
+
+- lint — Detector generic-consumer-а слоту `ci.artifact@1` для `ci:github` (spec §7.2, Фаза 3):
+матеріалізує КОЖНУ активну contribution проти поточного стану consumer-репо — без жодного
+PHP/lang-specific literal тут, уся domain-семантика приходить із payload-у contribution-а.
+
+## Сценарії використання
+
+- `plugins/ci-github/rules/ci_artifact/consume/tests/consume.test.mjs` (ci-github ci.artifact consumer) — required-file: файл відсутній → 1 violation, T0 створює canonical файл; deep-subset: відсутній canonical крок → violation, T0 idempotent-фікс; set-union scalar-масивів: consumer-specific шлях у on.push.paths не видаляється; step identity за id/uses/name: зайві поля кроку не викликають дублювання; patch-existing: target відсутній → 0 violations (файл належить іншому концерну); ще 3
+
+## Гарантії поведінки
+
+- Власних операцій запису (ФС/БД) у файлі немає; виклики імпортованих модулів можуть писати.

package/rules/ci_artifact/consume/fix-consume.mjs

@@ -0,0 +1,56 @@
+/**
+ * T0-фікс generic-consumer-а слоту `ci.artifact@1` (`mergeStrategy: "deep-subset"`, spec §7.2):
+ * приводить кожен цільовий файл до канонічного `template` — детерміновано, без LLM.
+ *
+ * Застосовує ВСІ `descriptor.fix === true` contributions у ТОМУ САМОМУ graph-порядку, що
+ * detector (`collectArtifacts`, spec §10 Фаза 3 п.4 — deterministic order при двох contributors
+ * в один target file): кожен наступний виклик `applyDeepSubsetFix` читає файл ПІСЛЯ merge-у
+ * попередньої contribution, тож contribution Б (напр. `patch-existing`) бачить уже застосовану
+ * contribution А (напр. `required-file`).
+ */
+import { applyDeepSubsetFix, loadCanonicalTemplate } from '../../../slots/ci-artifact-consumer.mjs'
+import { collectArtifacts } from './collect-artifacts.mjs'
+
+/**
+ * Чи `data` — violation цього concern-а, для якої дозволений deterministic fix.
+ * @param {Record<string, unknown> | undefined} data `violation.data`
+ * @returns {boolean} true — fix-eligible
+ */
+function isFixableViolationData(data) {
+  return (data?.kind === 'artifact-missing' || data?.kind === 'artifact-mismatch') && data?.fix === true
+}
+
+/** @type {import('@7n/rules/scripts/lib/lint-surface/types.mjs').T0Pattern[]} */
+export const patterns = [
+  {
+    id: 'ci-github-ci-artifact-consume',
+    test: violations => violations.some(v => isFixableViolationData(v.data)),
+    apply: async (violations, ctx) => {
+      const targeted = violations.filter(v => isFixableViolationData(v.data))
+      if (targeted.length === 0) return { touchedFiles: [] }
+
+      const { relevant } = await collectArtifacts(ctx.cwd)
+      const touched = new Set()
+      for (const { contribution, descriptor } of relevant) {
+        if (!descriptor.fix) continue
+        const isTargeted = targeted.some(
+          v => v.data?.artifactId === descriptor.artifactId && v.file === descriptor.targetPath
+        )
+        if (!isTargeted) continue
+
+        const templateResult = await loadCanonicalTemplate(contribution, descriptor)
+        if (!templateResult.ok) continue // template-error — детектор уже репортить, T0 нічого не пише
+
+        const result = await applyDeepSubsetFix({
+          cwd: ctx.cwd,
+          targetPath: descriptor.targetPath,
+          canonical: templateResult.canonical,
+          templateText: templateResult.templateText,
+          recordWrite: ctx.recordWrite
+        })
+        for (const f of result.touchedFiles) touched.add(f)
+      }
+      return { touchedFiles: [...touched] }
+    }
+  }
+]

package/rules/ci_artifact/consume/main.mjs

@@ -0,0 +1,84 @@
+/** @see ./docs/main.md */
+import { reportCiArtifactCollectionDiagnostics } from '@7n/rules/scripts/lib/ci-artifact-collect.mjs'
+import { createViolationReporter } from '@7n/rules/scripts/lib/lint-surface/violation-reporter.mjs'
+
+// `slots/` — публікується разом з пакетом (spec §7.2); `package.json#files` цього плагіна
+// доповнить оркестратор інтеграції (Фаза 3 явно НЕ чіпає plugin manifests, spec-задача).
+import { diagnoseArtifact, loadCanonicalTemplate } from '../../../slots/ci-artifact-consumer.mjs'
+import { collectArtifacts } from './collect-artifacts.mjs'
+
+/**
+ * Діагностує ОДИН artifact (mode `required-file` → missing-check; інакше deep-subset diff проти
+ * поточного стану `targetPath`). Винесено з {@link lint} — та сама причина.
+ * @param {ReturnType<typeof createViolationReporter>} reporter репортер порушень
+ * @param {{ cwd: string }} ctx контекст лінту (лише `cwd` тут потрібен)
+ * @param {import('./collect-artifacts.mjs').ArtifactCandidate} candidate одна валідна (без колізій) contribution
+ * @returns {Promise<void>}
+ */
+async function reportArtifact(reporter, ctx, { contribution, descriptor }) {
+  const templateResult = await loadCanonicalTemplate(contribution, descriptor)
+  if (!templateResult.ok) {
+    reporter.fail(`ci.artifact "${descriptor.artifactId}" (${contribution.pluginName}): ${templateResult.reason}`, {
+      reason: 'template-error',
+      file: descriptor.targetPath
+    })
+    return
+  }
+
+  const diag = await diagnoseArtifact({
+    cwd: ctx.cwd,
+    targetPath: descriptor.targetPath,
+    canonical: templateResult.canonical
+  })
+  if (diag.missing) {
+    // patch-existing: target-файл належить ІНШОМУ, окремому концерну (spec §7.1) — його
+    // відсутність не порушення ЦЬОГО concern-а, generic consumer мовчки пропускає.
+    if (descriptor.mode !== 'required-file') return
+    reporter.fail(
+      `${descriptor.targetPath} відсутній — T0 створить canonical файл (contribution "${descriptor.artifactId}" від ${contribution.pluginName})`,
+      {
+        reason: 'artifact-missing',
+        file: descriptor.targetPath,
+        data: {
+          kind: 'artifact-missing',
+          artifactId: descriptor.artifactId,
+          contributorPlugin: contribution.pluginName,
+          contributionId: contribution.id,
+          fix: descriptor.fix
+        }
+      }
+    )
+    return
+  }
+  for (const v of diag.violations) {
+    reporter.fail(
+      `${descriptor.targetPath}: ${v} (contribution "${descriptor.artifactId}" від ${contribution.pluginName})`,
+      {
+        reason: 'artifact-mismatch',
+        file: descriptor.targetPath,
+        data: {
+          kind: 'artifact-mismatch',
+          artifactId: descriptor.artifactId,
+          contributorPlugin: contribution.pluginName,
+          contributionId: contribution.id,
+          fix: descriptor.fix
+        }
+      }
+    )
+  }
+}
+
+/**
+ * Detector generic-consumer-а слоту `ci.artifact@1` для `ci:github` (spec §7.2, Фаза 3):
+ * матеріалізує КОЖНУ активну contribution проти поточного стану consumer-репо — без жодного
+ * PHP/lang-specific literal тут, уся domain-семантика приходить із payload-у contribution-а.
+ * @param {import('@7n/rules/scripts/lib/lint-surface/types.mjs').LintContext} ctx контекст лінту
+ * @returns {Promise<import('@7n/rules/scripts/lib/lint-surface/types.mjs').LintResult>} результат перевірки
+ */
+export async function lint(ctx) {
+  const reporter = createViolationReporter(ctx)
+  const collected = await collectArtifacts(ctx.cwd)
+  reportCiArtifactCollectionDiagnostics(reporter, collected)
+  for (const candidate of collected.relevant) await reportArtifact(reporter, ctx, candidate)
+  return reporter.result()
+}

package/rules/ci_artifact/main.json

@@ -0,0 +1 @@
+{ "auto": "завжди" }

package/rules/ci_artifact/main.mdc

@@ -0,0 +1,16 @@
+---
+description: Generic-споживач ci.artifact@1 — CI-артефакти, які декларують активні мовні плагіни (required-file/patch-existing), матеріалізуються й перевіряються CI-плагіном провайдера
+version: '1.0'
+alwaysApply: false
+---
+
+Правило `ci_artifact` — generic-споживач slot-у `ci.artifact@1` (spec
+`2026-07-27-universal-plugin-slots-lang-php-extraction`). Мовні плагіни (напр.
+`@7n/rules-lang-php`) декларують CI-артефакти декларативно — descriptor + template; це правило
+матеріалізує їх для свого CI-провайдера: перевіряє наявність/канонічність цільових файлів
+(`required-file`), домерджує provider-specific патчі до чинних generic-артефактів
+(`patch-existing`) і, де дозволено descriptor-ом (`fix: true`), виконує детермінований T0-фікс.
+
+Правило активне завжди при встановленому CI-плагіні: без активних contributions воно — тихий
+no-op (zero-touch), тому мовний плагін не потребує CI-плагіна і навпаки. Колізія `artifactId`
+між двома плагінами — помилка з provenance обох сторін, без тихого перезапису.

package/rules/text/lint_text/template/lint-text.yml.snippet.yml

@@ -25,7 +25,6 @@ on:
       - '**/*.txt'
       - '**/*.go'
       - '**/*.py'
-      - '**/*.php'
       - '**/*.sh'
 
   pull_request:
@@ -52,7 +51,6 @@ on:
       - '**/*.txt'
       - '**/*.go'
       - '**/*.py'
-      - '**/*.php'
       - '**/*.sh'
 
 concurrency:

package/slots/ci-artifact-consumer.mjs

@@ -0,0 +1,290 @@
+/**
+ * Generic consumer слоту `ci.artifact@1` для `@7n/rules-ci-github` (spec
+ * `2026-07-27-universal-plugin-slots-lang-php-extraction`, §7.2, Фаза 3).
+ *
+ * `mergeStrategy: "deep-subset"` — GitHub Actions workflow YAML — рекурсивний structural
+ * merge: об'єкти мерджаться по ключах (природно покриває "jobs за key" — `jobs` вже keyed
+ * object у GH workflow YAML, окремої identity-логіки не треба); scalar-масиви (напр.
+ * `on.push.paths`) — ordered set-union без видалення consumer-specific записів; масиви
+ * обʼєктів (напр. `steps`) — identity-based: кожен canonical елемент шукається в actual-масиві
+ * за першим наявним полем з `id` → `uses` → `name` (spec §7.2), і лише ЙОГО поля мерджаться —
+ * решта полів actual-елемента (і сусідні елементи) не чіпаються.
+ *
+ * Default export сумісний з `loadSlotConsumer` (`plugin-slots.mjs`, spec §3.3): стабільний
+ * `id` + `validate(payload)`. Generic rule (`plugins/ci-github/rules/ci_artifact/consume/`)
+ * імпортує цей модуль напряму (той самий package) для `diagnose`/`computeFix` — surface-specific
+ * методи, не частина universal broker-контракту.
+ */
+import { existsSync, readFileSync, writeFileSync } from 'node:fs'
+import { dirname, join } from 'node:path'
+
+import { resolveArtifactTemplatePath, validateCiArtifactPayload } from '@7n/rules/plugin-api'
+
+/** Пріоритет полів-ідентичності для елементів масиву обʼєктів (`steps`), spec §7.2. */
+const ARRAY_IDENTITY_KEYS = ['id', 'uses', 'name']
+
+/**
+ * Поле-ідентичність canonical-елемента масиву (перше наявне з {@link ARRAY_IDENTITY_KEYS}).
+ * @param {unknown} el елемент canonical-масиву
+ * @returns {string | null} назва поля або `null`, якщо жодного немає (fallback — позиційний індекс)
+ */
+function identityKeyOf(el) {
+  if (el === null || typeof el !== 'object' || Array.isArray(el)) return null
+  for (const k of ARRAY_IDENTITY_KEYS) {
+    if (typeof el[k] === 'string') return k
+  }
+  return null
+}
+
+/**
+ * Індекс елемента `actual`-масиву з тією самою identity, що й `canonEl` — `null` identity
+ * (жодного з id/uses/name) шукає точний structural збіг (JSON-рівність) як fallback.
+ * @param {unknown[]} actualArray наявний масив
+ * @param {unknown} canonEl canonical-елемент
+ * @returns {number} індекс або `-1`
+ */
+function findIdentityIndex(actualArray, canonEl) {
+  const idKey = identityKeyOf(canonEl)
+  if (idKey !== null) {
+    return actualArray.findIndex(a => a !== null && typeof a === 'object' && a[idKey] === canonEl[idKey])
+  }
+  return actualArray.findIndex(a => JSON.stringify(a) === JSON.stringify(canonEl))
+}
+
+/**
+ * Людинозрозумілий опис елемента масиву для тексту порушення.
+ * @param {unknown} el елемент canonical-масиву
+ * @returns {string} опис
+ */
+function describeElement(el) {
+  const idKey = identityKeyOf(el)
+  if (idKey !== null) return `${idKey}: ${JSON.stringify(el[idKey])}`
+  return JSON.stringify(el)
+}
+
+/**
+ * Чи `canon`-масив — масив plain-обʼєктів (identity-branch) на відміну від scalar-масиву
+ * (set-union branch). Порожній масив трактуємо як scalar (немає що ідентифікувати).
+ * @param {unknown[]} canon canonical-масив
+ * @returns {boolean} true — identity-branch
+ */
+function isObjectArray(canon) {
+  return canon.length > 0 && canon.every(e => e !== null && typeof e === 'object' && !Array.isArray(e))
+}
+
+/**
+ * Diff-гілка масиву обʼєктів (`steps`): identity-match кожного canonical-елемента + рекурсія в
+ * знайдений елемент. Винесена окремо — інакше {@link diffDeepSubset} перевищує поріг когнітивної
+ * складності лінтера.
+ * @param {unknown[]} actual фактичний масив
+ * @param {unknown[]} canon canonical-масив обʼєктів
+ * @param {string[]} path поточний шлях (для повідомлень)
+ * @param {string} here відформатований `path` (кеш — уникає повторного `join`)
+ * @param {string[]} out акумулятор повідомлень (мутується)
+ * @returns {void}
+ */
+function diffObjectArrayBranch(actual, canon, path, here, out) {
+  for (const c of canon) {
+    const idx = findIdentityIndex(actual, c)
+    if (idx === -1) {
+      out.push(`${here}: відсутній елемент (${describeElement(c)})`)
+      continue
+    }
+    diffDeepSubset(actual[idx], c, [...path, `[${describeElement(c)}]`], out)
+  }
+}
+
+/**
+ * Diff-гілка scalar-масиву (напр. `on.push.paths`): ordered set-subset — кожен canonical
+ * елемент має бути присутній десь в `actual` (порядок і зайві consumer-specific записи не
+ * порушення).
+ * @param {unknown[]} actual фактичний масив
+ * @param {unknown[]} canon canonical-масив скалярів
+ * @param {string} here відформатований шлях (для повідомлень)
+ * @param {string[]} out акумулятор повідомлень (мутується)
+ * @returns {void}
+ */
+function diffScalarArrayBranch(actual, canon, here, out) {
+  for (const needle of canon) {
+    const present = actual.some(a => JSON.stringify(a) === JSON.stringify(needle))
+    if (!present) out.push(`${here}: має містити ${JSON.stringify(needle)}`)
+  }
+}
+
+/**
+ * Рекурсивний deep-subset diff (`mergeStrategy: "deep-subset"`, spec §7.2): кожен шлях
+ * canonical-дерева має бути присутній в `actual` з тим самим значенням (об'єкти — рекурсія по
+ * ключах canon; scalar-масиви — set-subset; масиви обʼєктів — identity-match + рекурсія в
+ * знайдений елемент). Не мутує вхід.
+ * @param {unknown} actual фактичне значення з документа
+ * @param {unknown} canon canonical-фрагмент
+ * @param {string[]} path поточний шлях (для повідомлень)
+ * @param {string[]} out акумулятор повідомлень (мутується)
+ * @returns {void}
+ */
+function diffDeepSubset(actual, canon, path, out) {
+  if (canon === null || canon === undefined) return
+  const here = path.join('.') || '(root)'
+  if (Array.isArray(canon)) {
+    if (!Array.isArray(actual)) {
+      out.push(`${here}: має бути масивом`)
+      return
+    }
+    if (isObjectArray(canon)) diffObjectArrayBranch(actual, canon, path, here, out)
+    else diffScalarArrayBranch(actual, canon, here, out)
+    return
+  }
+  if (typeof canon === 'object') {
+    if (actual === null || typeof actual !== 'object' || Array.isArray(actual)) {
+      out.push(`${here}: має бути обʼєктом`)
+      return
+    }
+    for (const [k, v] of Object.entries(canon)) diffDeepSubset(actual[k], v, [...path, k], out)
+    return
+  }
+  if (actual !== canon) out.push(`${here}: має бути ${JSON.stringify(canon)} (отримано ${JSON.stringify(actual)})`)
+}
+
+/**
+ * Merge-гілка масиву обʼєктів (`steps`) у YAML `Document`: identity-match + рекурсія у поля
+ * знайденого елемента, або додавання нового елемента, якщо identity не знайдено. Винесена
+ * окремо — інакше {@link mergeYamlDocIdentity} перевищує поріг когнітивної складності лінтера.
+ * @param {import('yaml').Document} doc YAML-документ (мутується)
+ * @param {unknown[]} canon canonical-масив обʼєктів
+ * @param {Array<string|number>} path шлях масиву в документі
+ * @returns {void}
+ */
+function mergeObjectArrayBranch(doc, canon, path) {
+  for (const c of canon) {
+    const existingJs = doc.getIn(path)?.toJS(doc) ?? []
+    const idx = findIdentityIndex(existingJs, c)
+    if (idx === -1) {
+      doc.addIn(path, c)
+      continue
+    }
+    for (const [k, v] of Object.entries(c)) mergeYamlDocIdentity(doc, v, [...path, idx, k])
+  }
+}
+
+/**
+ * Merge-гілка scalar-масиву у YAML `Document`: ordered set-union — додає лише елементи canon,
+ * яких ще немає в `actual` (structural JSON-рівність), нічого не видаляє.
+ * @param {import('yaml').Document} doc YAML-документ (мутується)
+ * @param {unknown[]} canon canonical-масив скалярів
+ * @param {Array<string|number>} path шлях масиву в документі
+ * @returns {void}
+ */
+function mergeScalarArrayBranch(doc, canon, path) {
+  const existingJs = doc.getIn(path)?.toJS(doc) ?? []
+  for (const needle of canon) {
+    const present = existingJs.some(a => JSON.stringify(a) === JSON.stringify(needle))
+    if (!present) doc.addIn(path, needle)
+  }
+}
+
+/**
+ * Deep-merge `canon` у YAML `Document` за `path` (мутує `doc`) — identity-aware варіант
+ * `template-deep-merge.mjs#mergeYamlDoc`: масиви обʼєктів мерджаться за identity (лише поля
+ * знайденого елемента), а не «додати ще одну копію, якщо не structurally contained».
+ * @param {import('yaml').Document} doc YAML-документ (мутується)
+ * @param {unknown} canon canonical-фрагмент на цьому шляху
+ * @param {Array<string|number>} path шлях у документі
+ * @returns {void}
+ */
+function mergeYamlDocIdentity(doc, canon, path) {
+  if (Array.isArray(canon)) {
+    if (!doc.hasIn(path)) doc.setIn(path, doc.createNode([]))
+    if (isObjectArray(canon)) mergeObjectArrayBranch(doc, canon, path)
+    else mergeScalarArrayBranch(doc, canon, path)
+    return
+  }
+  if (canon !== null && typeof canon === 'object') {
+    for (const [k, v] of Object.entries(canon)) mergeYamlDocIdentity(doc, v, [...path, k])
+    return
+  }
+  doc.setIn(path, canon)
+}
+
+/**
+ * Читає й парсить canonical template (YAML) contribution-у за безпечним шляхом. Не кидає —
+ * повертає diagnostic-сумісний результат, узгоджено з фейл-safe стилем `plugin-slots.mjs`.
+ * @param {{ packageRoot: string, resourcePath: string | null }} contribution provenance
+ * @param {import('@7n/rules/plugin-api').CiArtifactDescriptor} descriptor валідований payload
+ * @returns {{ ok: true, canonical: unknown, templateText: string } | { ok: false, reason: string }} результат
+ */
+export async function loadCanonicalTemplate(contribution, descriptor) {
+  const resolved = resolveArtifactTemplatePath(contribution, descriptor)
+  if (!resolved.ok) return { ok: false, reason: resolved.reason }
+  if (!resolved.exists) return { ok: false, reason: `template не знайдено (${resolved.absPath})` }
+  const { parse } = await import('yaml')
+  const templateText = readFileSync(resolved.absPath, 'utf8')
+  return { ok: true, canonical: parse(templateText), templateText }
+}
+
+/**
+ * Діагностує один `ci.artifact@1` artifact (mergeStrategy `deep-subset`) проти поточного стану
+ * `targetPath` у consumer-репо.
+ * @param {{ cwd: string, targetPath: string, canonical: unknown }} args вхід
+ * @returns {{ missing: boolean, violations: string[] }} `missing` — файл відсутній (mode-специфічна обробка — рішення викликача); `violations` — mismatch-и, коли файл існує
+ */
+export async function diagnoseArtifact({ cwd, targetPath, canonical }) {
+  const absTarget = join(cwd, targetPath)
+  if (!existsSync(absTarget)) return { missing: true, violations: [] }
+  const { parse } = await import('yaml')
+  let actual
+  try {
+    actual = parse(readFileSync(absTarget, 'utf8'))
+  } catch {
+    return { missing: false, violations: [`${targetPath}: не парситься як YAML`] }
+  }
+  const out = []
+  diffDeepSubset(actual, canonical, [], out)
+  return { missing: false, violations: out }
+}
+
+/**
+ * Застосовує T0-фікс одного `ci.artifact@1` artifact-у до `targetPath` (deep-subset,
+ * idempotent): файл відсутній → копіюється `templateText` як є; файл існує → identity-aware
+ * deep-merge через YAML `Document` (зберігає коментарі/форматування наявного файлу, як
+ * `template-deep-merge.mjs`).
+ * @param {{ cwd: string, targetPath: string, canonical: unknown, templateText: string, recordWrite?: (absPath: string) => void }} args вхід
+ * @returns {Promise<{ touchedFiles: string[] }>} torn-файли (T0Result-сумісно)
+ */
+export async function applyDeepSubsetFix({ cwd, targetPath, canonical, templateText, recordWrite }) {
+  const absTarget = join(cwd, targetPath)
+  if (!existsSync(absTarget)) {
+    recordWrite?.(absTarget)
+    const { mkdirSync } = await import('node:fs')
+    mkdirSync(dirname(absTarget), { recursive: true })
+    writeFileSync(absTarget, templateText, 'utf8')
+    return { touchedFiles: [absTarget] }
+  }
+  const prevText = readFileSync(absTarget, 'utf8')
+  const before = []
+  const { parse, parseDocument } = await import('yaml')
+  diffDeepSubset(parse(prevText), canonical, [], before)
+  if (before.length === 0) return { touchedFiles: [] } // вже канонічний — idempotent no-op
+
+  const doc = parseDocument(prevText)
+  if (doc.errors.length > 0) return { touchedFiles: [] } // невалідний YAML — не чіпаємо детермінованим фіксом
+  if (canonical !== null && typeof canonical === 'object' && !Array.isArray(canonical)) {
+    for (const [k, v] of Object.entries(canonical)) mergeYamlDocIdentity(doc, v, [k])
+  }
+  const nextText = doc.toString()
+  if (nextText === prevText) return { touchedFiles: [] }
+  recordWrite?.(absTarget)
+  writeFileSync(absTarget, nextText, 'utf8')
+  return { touchedFiles: [absTarget] }
+}
+
+/** `loadSlotConsumer`-сумісний default export (spec §3.3): стабільний `id` + `validate(payload)`. */
+export default {
+  id: 'ci-github-artifact',
+  /**
+   * @param {unknown} payload сирий (розпарсений) `ci.artifact@1` payload
+   * @returns {boolean} true — валідний payload
+   */
+  validate(payload) {
+    return validateCiArtifactPayload(payload).ok
+  }
+}

package/slots/docs/ci-artifact-consumer.md

@@ -0,0 +1,30 @@
+---
+type: JS Module
+title: ci-artifact-consumer.mjs
+resource: plugins/ci-github/slots/ci-artifact-consumer.mjs
+docgen:
+  crc: fae878c9
+---
+
+Generic consumer слоту `ci.artifact@1` для `@7n/rules-ci-github` (spec `2026-07-27-universal-plugin-slots-lang-php-extraction`, §7.2). Матеріалізує GitHub Actions workflow-артефакти будь-якого language-плагіна — без жодного PHP чи іншого мовного literal у цьому пакеті.
+
+## Поведінка
+
+`mergeStrategy: "deep-subset"` — рекурсивний structural merge: об'єкти мерджаться по ключах (природно покриває `jobs` — вже keyed object у GH workflow YAML); scalar-масиви (напр. `on.push.paths`) — ordered set-union без видалення consumer-specific записів; масиви обʼєктів (напр. `steps`) — identity-based: canonical-елемент шукається в actual-масиві за першим наявним полем `id` → `uses` → `name`, і лише його поля мерджаться — решта не чіпається.
+
+1. **`loadCanonicalTemplate(contribution, descriptor)`** резолвить безпечний шлях `template` (`resolveArtifactTemplatePath`), читає й парсить його як YAML.
+2. **`diagnoseArtifact({ cwd, targetPath, canonical })`** порівнює поточний стан `targetPath` з canonical-фрагментом (`diffDeepSubset`). Файл відсутній → `{ missing: true, violations: [] }` (mode-специфічна обробка — рішення викликача); файл є → список mismatch-повідомлень.
+3. **`applyDeepSubsetFix({ cwd, targetPath, canonical, templateText, recordWrite })`** — T0-фікс: файл відсутній → копіюється `templateText` як є; файл існує → identity-aware deep-merge через YAML `Document` (зберігає коментарі/форматування наявного файлу). Idempotent: якщо diff порожній — жодного запису.
+
+## Публічний API
+
+`loadCanonicalTemplate` — читає й парсить canonical template одного artifact-у.
+`diagnoseArtifact` — діагностує стан `targetPath` проти canonical-фрагмента.
+`applyDeepSubsetFix` — застосовує T0-фікс (створення або identity-aware merge).
+Default export — `loadSlotConsumer`-сумісний `{ id: 'ci-github-artifact', validate(payload) }`.
+
+## Гарантії поведінки
+
+* **Identity, не позиційний match**: елементи масивів обʼєктів ідентифікуються за `id`/`uses`/`name`, тому зайві consumer-specific поля на тому самому кроці не спричиняють дублювання при фіксі.
+* **Ідемпотентність**: `applyDeepSubsetFix` спершу перевіряє diff і не пише файл, якщо канон уже задоволений.
+* **Не володіє discovery**: не імпортує `plugin-slots.mjs` напряму — отримує `contribution`/`descriptor` вже перевіреними від викликача (generic rule).

package/slots/docs/index.md

@@ -0,0 +1,9 @@
+---
+type: Directory Index
+title: plugins/ci-github/slots
+resource: plugins/ci-github/slots/
+---
+
+| Файл | Тип |
+| --- | --- |
+| [ci-artifact-consumer.mjs](ci-artifact-consumer.md) | JS Module |

package/rules/php/lint_php_yml/concern.json

@@ -1,11 +0,0 @@
-{
-  "$schema": "https://unpkg.com/@7n/rules/schemas/concern.json",
-  "fixability": "config",
-  "policy": {
-    "files": {
-      "single": ".github/workflows/lint-php.yml",
-      "required": true
-    },
-    "missingMessage": ".github/workflows/lint-php.yml не існує — створи за каноном правила (mixin @7n/rules-ci-github)"
-  }
-}

package/rules/php/lint_php_yml/docs/fix-lint_php_yml.md

@@ -1,37 +0,0 @@
----
-type: JS Module
-title: fix-lint_php_yml.mjs
-resource: plugins/ci-github/rules/php/lint_php_yml/fix-lint_php_yml.mjs
-docgen:
-  crc: 0699f2b1
-  model: omlx/gemma-4-e4b-it-OptiQ-4bit
-  tier: local-min
-  score: 100
-  issues: judge:error
-  judgeModel: openai-codex/gpt-5.4-mini
----
-
-## Огляд
-
-Приводить конфігурації CI-workflow для PHP-домену у консюмер-репозиторії до канонічного шаблону концерну `lint_php_yml`. Гарантує відповідність YAML-файлів лінту встановленому стандарту, додаючи відсутні ключі та застосовуючи канонічні значення, зберігаючи при цьому вихідні коментарі та ключі, що не входять до шаблону. Це забезпечує єдність збірки та лінтування в системі.
-
-## Поведінка
-
-1. Перевіряє файли, що знаходяться у каталозі `.github/workflows/lint-php.yml`.
-2. Використовує `patterns` для застосування канонічного шаблону концерну `lint_php_yml` до цільового файлу.
-3. При застосуванні шаблону відсутні ключі додаються, а канонічні значення мають пріоритет.
-4. Коментарі та ключі, які знаходяться поза шаблоном, залишаються без змін.
-5. Якщо файл цільового шляху відсутній, він створюється на основі наданого snippet-а.
-6. Ігнорує шляхи `.github` та `.git` під час перевірки.
-
-## Публічний API
-
-- patterns — Один детермінований патерн: deep-merge канонічного snippet-а концерну в
-`.github/workflows/lint-php.yml` консюмер-репо — відсутні ключі додаються,
-канонічні значення мають пріоритет, коментарі й ключі поза шаблоном не
-чіпаються; якщо файлу немає — створюється зі snippet-а.
-
-## Гарантії поведінки
-
-- Власних операцій запису (ФС/БД) у файлі немає; виклики імпортованих модулів можуть писати.
-- Свідомо пропускає шляхи: `.github`, `.git`.

package/rules/php/lint_php_yml/docs/index.md

@@ -1,9 +0,0 @@
----
-type: Directory Index
-title: plugins/ci-github/rules/php/lint_php_yml
-resource: plugins/ci-github/rules/php/lint_php_yml/
----
-
-| Файл                                        | Тип       |
-| ------------------------------------------- | --------- |
-| [fix-lint_php_yml.mjs](fix-lint_php_yml.md) | JS Module |

package/rules/php/lint_php_yml/fix-lint_php_yml.mjs

@@ -1,15 +0,0 @@
-/**
- * T0-фікс концерну lint_php_yml: приводить CI-workflow лінту php-домену
- * у консюмер-репо до канонічного шаблону концерну.
- */
-import { createTemplateFixPattern } from '@7n/rules/scripts/lib/fix/template-deep-merge.mjs'
-
-/**
- * Один детермінований патерн: deep-merge канонічного snippet-а концерну в
- * `.github/workflows/lint-php.yml` консюмер-репо — відсутні ключі додаються,
- * канонічні значення мають пріоритет, коментарі й ключі поза шаблоном не
- * чіпаються; якщо файлу немає — створюється зі snippet-а.
- */
-export const patterns = [
-  createTemplateFixPattern({ id: 'php-lint_php_yml-template', targetPath: '.github/workflows/lint-php.yml' })
-]

package/rules/php/lint_php_yml/lint_php_yml.mdc

@@ -1,23 +0,0 @@
-## Структура `.github/workflows/lint-php.yml`
-
-Rego-пакет: `php.lint_php_yml`
-
-Цільовий файл: `.github/workflows/lint-php.yml` (парситься як YAML).
-
-Перевіряє, що у workflow присутні всі канонічні `run:`-кроки з template-сніпету — крок `n-rules lint php --no-fix` має бути в одному зі steps jobs.
-
-Канонічний template-сніпет: [lint-php.yml.snippet.yml](./template/lint-php.yml.snippet.yml)
-
-**✓ Правильно** — job `php` містить крок:
-
-```yaml
-- name: Lint PHP
-  run: n-rules lint php --no-fix
-```
-
-**✗ Неправильно** — крок відсутній або містить інший run-рядок:
-
-```yaml
-- name: Lint PHP
-  run: echo something
-```

package/rules/php/lint_php_yml/lint_php_yml.rego

@@ -1,34 +0,0 @@
-# Перевірка `lint-php.yml` (php.mdc).
-#
-# Канон надходить через --data: { "template": { "snippet": ... } }
-# Структура --data сформована з template/lint-php.yml.snippet.yml.
-# Маркер `run:` збирається з template's php-job steps.
-# Універсальні workflow-перевірки — у `ga.workflow_common`.
-package php.lint_php_yml
-
-import rego.v1
-
-# Очікуваний `run:` маркер — конкатенація всіх run-блоків з template.
-expected_run_blob := concat("\n", [r |
-	some step in data.template.snippet.jobs.php.steps
-	r := object.get(step, "run", "")
-	r != ""
-])
-
-all_run_text := concat("\n", [run_text |
-	some job in object.get(input, "jobs", {})
-	some step in object.get(job, "steps", [])
-	run_text := step_run_to_text(step)
-])
-
-deny contains msg if {
-	expected_run_blob != ""
-	not contains(all_run_text, expected_run_blob)
-	msg := sprintf("lint-php.yml: жоден крок run не містить %q (php.mdc)", [expected_run_blob])
-}
-
-step_run_to_text(step) := step.run if is_string(step.run)
-
-else := concat("\n", [s | some s in step.run]) if is_array(step.run)
-
-else := ""

package/rules/php/lint_php_yml/template/lint-php.yml.snippet.yml

@@ -1,47 +0,0 @@
-name: Lint PHP
-
-on:
-  push:
-    branches:
-      - dev
-      - main
-    paths:
-      - '**/*.php'
-      - 'composer.json'
-      - 'composer.lock'
-      - 'phpstan.neon'
-      - 'phpstan.neon.dist'
-      - 'psalm.xml'
-      - '.github/workflows/lint-php.yml'
-
-  pull_request:
-    branches:
-      - dev
-      - main
-
-concurrency:
-  group: ${{ github.ref }}-${{ github.workflow }}
-  cancel-in-progress: true
-
-jobs:
-  php:
-    runs-on: ubuntu-latest
-    permissions:
-      contents: read
-    steps:
-      - uses: actions/checkout@v6
-        with:
-          persist-credentials: false
-
-      - uses: ./.github/actions/setup-bun-deps
-
-      - name: Install PHP
-        uses: shivammathur/setup-php@v2
-        with:
-          php-version: '8.5'
-
-      - name: Install Composer dependencies
-        run: composer install --no-interaction --no-progress --prefer-dist
-
-      - name: Lint PHP
-        run: bunx n-rules lint php --no-fix