@7n/rules-ci-github 2.0.1 → 2.1.0

package/CHANGELOG.md

@@ -1,5 +1,21 @@
 # Changelog
 
+## [2.1.0] - 2026-07-29
+
+### Removed
+
+- text/lint_text: прибрано хардкод JS/TS/Vue/Python globs зі static template — тепер їх додають lang-js/lang-python через ci.artifact patch-existing (поведінка збережена при активних плагінах)
+- Видалено js-специфічні CI-концерни (lint_js_yml) — власність перенесена в @7n/rules-lang-js через ci.artifact@1 contribution
+- Rust GitHub CI-канон (lint-rust.yml) винесено в @7n/rules-lang-rust ci.artifact@1 contribution — обслуговує generic ci.artifact consumer
+- Python-специфічні CI-артефакти (rules/python/lint_python_yml) видалено — тепер @7n/rules-lang-python own них через ci.artifact@1 contribution, обслуговується generic consumer-ом
+
+## [2.0.2] - 2026-07-28
+
+### Changed
+
+- release: @7n/llm-lib@2.10.1, @7n/rules@1.52.1, @7n/rules-lang-js@0.23.1
+- Механічно додано change-файл для поточних змін у workspace.
+
 ## [2.0.1] - 2026-07-27
 
 ### Fixed

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@7n/rules-ci-github",
-  "version": "2.0.1",
+  "version": "2.1.0",
   "description": "Плагін @7n/rules: канон GitHub Actions (.github/workflows) — обов'язкові workflow, zizmor, VS Code",
   "keywords": [
     "github-actions",

package/rules/ga/workflows/docs/index.md

@@ -0,0 +1,10 @@
+---
+type: Directory Index
+title: plugins/ci-github/rules/ga/workflows
+resource: plugins/ci-github/rules/ga/workflows/
+---
+
+| Файл                                  | Тип       |
+| ------------------------------------- | --------- |
+| [fix-workflows.mjs](fix-workflows.md) | JS Module |
+| [main.mjs](main.md)                   | JS Module |

package/rules/text/lint_text/template/lint-text.yml.snippet.yml

@@ -6,9 +6,6 @@ on:
       - dev
       - main
     paths:
-      - '**/*.js'
-      - '**/*.ts'
-      - '**/*.vue'
       - '**/*.html'
       - '**/*.css'
       - '**/*.scss'
@@ -24,7 +21,6 @@ on:
       - '**/*.mdс'
       - '**/*.txt'
       - '**/*.go'
-      - '**/*.py'
       - '**/*.sh'
 
   pull_request:
@@ -32,9 +28,6 @@ on:
       - dev
       - main
     paths:
-      - '**/*.js'
-      - '**/*.ts'
-      - '**/*.vue'
       - '**/*.html'
       - '**/*.css'
       - '**/*.scss'
@@ -50,7 +43,6 @@ on:
       - '**/*.mdс'
       - '**/*.txt'
       - '**/*.go'
-      - '**/*.py'
       - '**/*.sh'
 
 concurrency:

package/rules/js/lint_js_yml/concern.json

@@ -1,11 +0,0 @@
-{
-  "$schema": "https://unpkg.com/@7n/rules/schemas/concern.json",
-  "fixability": "config",
-  "policy": {
-    "files": {
-      "single": ".github/workflows/lint-js.yml",
-      "required": true
-    },
-    "missingMessage": ".github/workflows/lint-js.yml не існує — створи за каноном правила (mixin @7n/rules-ci-github)"
-  }
-}

package/rules/js/lint_js_yml/docs/fix-lint_js_yml.md

@@ -1,35 +0,0 @@
----
-type: JS Module
-title: fix-lint_js_yml.mjs
-resource: plugins/ci-github/rules/js/lint_js_yml/fix-lint_js_yml.mjs
-docgen:
-  crc: e0152cf2
-  model: openai-codex/gpt-5.4-mini
-  tier: cloud-min
-  score: 100
-  issues: judge-refine:kept-original,judge:inaccurate:0.98
-  judgeModel: openai-codex/gpt-5.4-mini
----
-
-## Огляд
-
-`patterns` приводить шлях `.github/workflows/lint-js.yml` до канонічного шаблону концерну, щоб workflow для js-лінту відповідав стандартному корпоративному оформленню.
-
-## Поведінка
-
-1. `patterns` задає єдиний канонічний сценарій виправлення для CI-workflow лінту js-домену в репозиторіях-консюмерах.
-2. Він узгоджує `.github/workflows/lint-js.yml` із шаблоном концерну: додає відсутні частини, зберігає канонічні значення як пріоритетні та не змінює сторонні коментарі й ключі поза шаблоном.
-3. Якщо цільового файлу немає, `patterns` ініціює його створення з канонічного snippet-а.
-4. Під час застосування механізм свідомо обходить `.github` і `.git`, щоб не зачіпати службові області поза цим сценарієм.
-
-## Публічний API
-
-- patterns — Один детермінований патерн: deep-merge канонічного snippet-а концерну в
-`.github/workflows/lint-js.yml` консюмер-репо — відсутні ключі додаються,
-канонічні значення мають пріоритет, коментарі й ключі поза шаблоном не
-чіпаються; якщо файлу немає — створюється зі snippet-а.
-
-## Гарантії поведінки
-
-- Власних операцій запису (ФС/БД) у файлі немає; виклики імпортованих модулів можуть писати.
-- Свідомо пропускає шляхи: `.github`, `.git`.

package/rules/js/lint_js_yml/docs/index.md

@@ -1,9 +0,0 @@
----
-type: Directory Index
-title: plugins/ci-github/rules/js/lint_js_yml
-resource: plugins/ci-github/rules/js/lint_js_yml/
----
-
-| Файл                                      | Тип       |
-| ----------------------------------------- | --------- |
-| [fix-lint_js_yml.mjs](fix-lint_js_yml.md) | JS Module |

package/rules/js/lint_js_yml/fix-lint_js_yml.mjs

@@ -1,15 +0,0 @@
-/**
- * T0-фікс концерну lint_js_yml: приводить CI-workflow лінту js-домену
- * у консюмер-репо до канонічного шаблону концерну.
- */
-import { createTemplateFixPattern } from '@7n/rules/scripts/lib/fix/template-deep-merge.mjs'
-
-/**
- * Один детермінований патерн: deep-merge канонічного snippet-а концерну в
- * `.github/workflows/lint-js.yml` консюмер-репо — відсутні ключі додаються,
- * канонічні значення мають пріоритет, коментарі й ключі поза шаблоном не
- * чіпаються; якщо файлу немає — створюється зі snippet-а.
- */
-export const patterns = [
-  createTemplateFixPattern({ id: 'js-lint_js_yml-template', targetPath: '.github/workflows/lint-js.yml' })
-]

package/rules/js/lint_js_yml/lint_js_yml.mdc

@@ -1,14 +0,0 @@
-## Rego-gate `.github/workflows/lint-js.yml`
-
-Rego-пакет: `js_lint.lint_js_yml`
-
-Цільовий файл: `.github/workflows/lint-js.yml`.
-
-Що перевіряється:
-
-- Наявність усіх `uses:`-кроків з канону (subset-of по `jobs.eslint.steps`); SHA-пін того самого action (`owner/action@<40-hex SHA>`, з тег-коментарем `# vX` чи без) задовольняє канонічний тег — НЕ замінюй наявний SHA-пін тегом
-- Наявність усіх рядків `run:` з канону (substring-match по всіх кроках)
-- `actions/checkout` (будь-який ref) має мати `with.persist-credentials: false` (inverse-check)
-- Заборона `--fix` у CI: `bunx oxlint ... --fix` або `eslint --fix` у будь-якому `run:` → deny
-
-Канон-snippet: [lint-js.yml.snippet.yml](./template/lint-js.yml.snippet.yml)

package/rules/js/lint_js_yml/lint_js_yml.rego

@@ -1,134 +0,0 @@
-# Перевірка `.github/workflows/lint-js.yml` (js.mdc).
-#
-# Канон надходить через --data: { "template": { "snippet": ... } }
-# Структура --data сформована з template/lint-js.yml.snippet.yml.
-# Required uses + run substrings зчитуються з template's eslint-job steps.
-# Універсальні workflow-перевірки — у `ga.workflow_common`.
-#
-# Логіка, що ЛИШАЄТЬСЯ у rego (inverse anti-patterns):
-#  - `oxlint --fix` / `eslint --fix` у CI заборонено;
-#  - actions/checkout (будь-який ref) має мати `with.persist-credentials: false`.
-#
-# Pin-aware: SHA-пін `owner/action@<40-hex>` (zizmor ref-pin; тег-коментар після
-# `#` YAML-парсер відкидає) ЗАДОВОЛЬНЯЄ канонічний `owner/action@vN` з template —
-# не вимагаємо (і не даунгрейдимо) назад до тега.
-package js.lint_js_yml
-
-import rego.v1
-
-# Conftest поточних версій читає YAML 1.2 (`on`), але старі версії віддавали
-# YAML 1.1 boolean-key (`true`). Приймаємо обидві форми, щоб policy не мовчала.
-gha_on := object.get(input, "on", object.get(input, "true", {}))
-
-expected_pr_paths := {p | some p in data.template.snippet.on.pull_request.paths}
-
-actual_pr_paths := object.get(object.get(gha_on, "pull_request", {}), "paths", [])
-
-# Required `uses:` зі template — фільтруємо тільки кроки з uses.
-expected_uses_set contains u if {
-	some step in data.template.snippet.jobs.eslint.steps
-	u := object.get(step, "uses", "")
-	u != ""
-}
-
-# Required `run:` substrings (per-line з template).
-expected_run_substrings contains line if {
-	some step in data.template.snippet.jobs.eslint.steps
-	r := object.get(step, "run", "")
-	r != ""
-	some raw in split(r, "\n")
-	line := trim_space(raw)
-	line != ""
-}
-
-# Аліаси на input.
-all_steps contains step if {
-	some job in object.get(input, "jobs", {})
-	some step in object.get(job, "steps", [])
-}
-
-all_uses_set contains u if {
-	some step in all_steps
-	u := object.get(step, "uses", "")
-	u != ""
-}
-
-all_run_blob := concat("\n", [r |
-	some step in all_steps
-	r := step_run_text(step)
-])
-
-# ── deny: required uses ─────────────────────────────────────────────────
-
-deny contains msg if {
-	some required_use in expected_uses_set
-	not has_use_satisfying(required_use)
-	msg := sprintf("lint-js.yml: відсутній крок uses: %s (js.mdc)", [required_use])
-}
-
-deny contains msg if {
-	not paths_superset_of(actual_pr_paths, expected_pr_paths)
-	msg := "lint-js.yml: on.pull_request.paths має містити очікувані glob-и (js.mdc)"
-}
-
-# ── deny: required run substrings ───────────────────────────────────────
-
-deny contains msg if {
-	some required_run in expected_run_substrings
-	not contains(all_run_blob, required_run)
-	msg := sprintf("lint-js.yml: у run немає %q (js.mdc)", [required_run])
-}
-
-# ── deny: actions/checkout has persist-credentials: false (inverse) ─────
-
-deny contains msg if {
-	not has_checkout_persist_credentials_false
-	msg := "lint-js.yml: actions/checkout має бути з with.persist-credentials: false (js.mdc)"
-}
-
-# ── deny: --fix у CI заборонено (inverse) ───────────────────────────────
-
-deny contains msg if {
-	regex.match(`bunx\s+oxlint[^\n]*--fix`, all_run_blob)
-	msg := "lint-js.yml: у run є oxlint з `--fix` (у CI заборонено) (js.mdc)"
-}
-
-deny contains msg if {
-	contains(all_run_blob, "eslint --fix")
-	msg := "lint-js.yml: у run є `eslint --fix` (у CI заборонено) (js.mdc)"
-}
-
-# ── helpers ─────────────────────────────────────────────────────────────
-
-has_checkout_persist_credentials_false if {
-	some step in all_steps
-	startswith(object.get(step, "uses", ""), "actions/checkout@")
-	step.with["persist-credentials"] == false
-}
-
-# `uses:` з input задовольняє канонічний `owner/action@tag`: точний збіг…
-uses_satisfies(actual, expected) if actual == expected
-
-# …або той самий action-slug і ref — повний 40-hex commit SHA (zizmor ref-pin).
-# Відповідність версії гарантує сам пін (тег-коментар `# vX` парсер відкидає).
-uses_satisfies(actual, expected) if {
-	slug := split(expected, "@")[0]
-	startswith(actual, concat("", [slug, "@"]))
-	parts := split(actual, "@")
-	regex.match(`^[0-9a-fA-F]{40}$`, parts[count(parts) - 1])
-}
-
-has_use_satisfying(required) if {
-	some u in all_uses_set
-	uses_satisfies(u, required)
-}
-
-paths_superset_of(actual, expected) if {
-	expected & {p | some p in actual} == expected
-}
-
-step_run_text(step) := step.run if is_string(step.run)
-
-else := concat("\n", [s | some s in step.run]) if is_array(step.run)
-
-else := ""

package/rules/js/lint_js_yml/template/lint-js.yml.snippet.yml

@@ -1,51 +0,0 @@
-name: Lint JS
-
-on:
-  push:
-    branches:
-      - dev
-      - main
-    paths:
-      - '**/*.js'
-      - '**/*.mjs'
-      - '**/*.cjs'
-      - '**/*.jsx'
-      - '**/*.ts'
-      - '**/*.tsx'
-      - '**/*.vue'
-      - '**/eslint.config.*'
-      - '**/.oxlintrc.json'
-
-  pull_request:
-    branches:
-      - dev
-      - main
-    paths:
-      - '**/*.js'
-      - '**/*.mjs'
-      - '**/*.cjs'
-      - '**/*.jsx'
-      - '**/*.ts'
-      - '**/*.tsx'
-      - '**/*.vue'
-      - '**/eslint.config.*'
-      - '**/.oxlintrc.json'
-
-concurrency:
-  group: ${{ github.ref }}-${{ github.workflow }}
-  cancel-in-progress: true
-
-jobs:
-  eslint:
-    runs-on: ubuntu-latest
-    permissions:
-      contents: read
-    steps:
-      - uses: actions/checkout@v6
-        with:
-          persist-credentials: false
-
-      - uses: ./.github/actions/setup-bun-deps
-
-      - name: Eslint
-        run: bunx n-rules lint js --no-fix

package/rules/python/lint_python_yml/concern.json

@@ -1,11 +0,0 @@
-{
-  "$schema": "https://unpkg.com/@7n/rules/schemas/concern.json",
-  "fixability": "config",
-  "policy": {
-    "files": {
-      "single": ".github/workflows/lint-python.yml",
-      "required": true
-    },
-    "missingMessage": ".github/workflows/lint-python.yml не існує — створи за каноном правила (mixin @7n/rules-ci-github)"
-  }
-}

package/rules/python/lint_python_yml/docs/fix-lint_python_yml.md

@@ -1,39 +0,0 @@
----
-type: JS Module
-title: fix-lint_python_yml.mjs
-resource: plugins/ci-github/rules/python/lint_python_yml/fix-lint_python_yml.mjs
-docgen:
-  crc: 525f6959
-  model: openai-codex/gpt-5.5
-  tier: cloud-avg
-  score: 100
-  issues: judge:error
-  judgeModel: openai-codex/gpt-5.4-mini
----
-
-## Огляд
-
-Файл декларує автофікс для `python/lint_python_yml`: scaffold відсутнього `.github/workflows/lint-python.yml` з канонічного шаблону правила та `template-deep-merge` для наявного workflow. Він потрібен, щоб дописувати лише канонічні поля для Python lint у GitHub Actions і зберігати локальні налаштування проєкту.
-
-Публічна точка входу: `patterns`. Свідомо пропущені шляхи: `.github`, `.git`. Власних операцій запису у файлі немає.
-
-## Поведінка
-
-1. `patterns` оголошує автофікс для правила `python/lint_python_yml`, щоб репозиторій отримував канонічний GitHub Actions workflow для Python lint.
-
-2. Якщо `.github/workflows/lint-python.yml` відсутній, автофікс має створити його з шаблону правила.
-
-3. Якщо workflow уже існує, автофікс має доповнити його лише канонічними полями правила, не прибираючи локальні налаштування проєкту.
-
-4. Правило свідомо не обходить службові шляхи `.github` і `.git`, але працює з цільовим workflow-файлом як із винятком для підтримки потрібної CI-конфігурації.
-
-5. Файл лише декларує поведінку автофікса через `patterns`; власних операцій запису не виконує.
-
-## Публічний API
-
-- patterns — Фікс-патерни концерну: один template-deep-merge запис для `.github/workflows/lint-python.yml`.
-
-## Гарантії поведінки
-
-- Власних операцій запису (ФС/БД) у файлі немає; виклики імпортованих модулів можуть писати.
-- Свідомо пропускає шляхи: `.github`, `.git`.

package/rules/python/lint_python_yml/docs/index.md

@@ -1,9 +0,0 @@
----
-type: Directory Index
-title: plugins/ci-github/rules/python/lint_python_yml
-resource: plugins/ci-github/rules/python/lint_python_yml/
----
-
-| Файл                                              | Тип       |
-| ------------------------------------------------- | --------- |
-| [fix-lint_python_yml.mjs](fix-lint_python_yml.md) | JS Module |

package/rules/python/lint_python_yml/fix-lint_python_yml.mjs

@@ -1,11 +0,0 @@
-/**
- * T0-autofix концерну `python/lint_python_yml`: деклараційний template-deep-merge —
- * scaffold відсутнього `.github/workflows/lint-python.yml` з канонічного шаблону правила або
- * дописування в наявний файл лише канонічних полів (локальні — зберігаються).
- */
-import { createTemplateFixPattern } from '@7n/rules/scripts/lib/fix/template-deep-merge.mjs'
-
-/** Фікс-патерни концерну: один template-deep-merge запис для `.github/workflows/lint-python.yml`. */
-export const patterns = [
-  createTemplateFixPattern({ id: 'python-lint_python_yml-template', targetPath: '.github/workflows/lint-python.yml' })
-]

package/rules/python/lint_python_yml/lint_python_yml.mdc

@@ -1,12 +0,0 @@
-## Rego-gate: перевірка `.github/workflows/lint-python.yml`
-
-Rego-пакет: `python.lint_python_yml`
-
-Цільовий файл: `.github/workflows/lint-python.yml`
-
-Перевіряє (drift-safe через `--data template`):
-
-- кожен `uses` з канону (підмножина) присутній у workflow: `actions/checkout@v6`, `./.github/actions/setup-bun-deps`, `astral-sh/setup-uv@v8.0.0`;
-- кожен `run` з канону є substring серед run-кроків: `uv sync --frozen`, `n-rules lint python --no-fix`.
-
-Канонічний workflow: [lint-python.yml.snippet.yml](./template/lint-python.yml.snippet.yml)

package/rules/python/lint_python_yml/lint_python_yml.rego

@@ -1,85 +0,0 @@
-# Перевірка `.github/workflows/lint-python.yml` для правила python (python.mdc).
-#
-# Канон надходить через --data: { "template": { "snippet": ... } }
-# Структура --data сформована з template/lint-python.yml.snippet.yml.
-# Перевіряємо (drift-safe — усе ведеться з template, без inline-літералів):
-#   - кожен `uses` з template (підмножина): actions/checkout@v6,
-#     ./.github/actions/setup-bun-deps, astral-sh/setup-uv@v8.0.0;
-#   - кожен `run` з template має бути присутнім (як substring) серед run-кроків
-#     input'а: `uv sync --frozen`, `n-rules lint python --no-fix`.
-# Заборона Poetry-кроків (snok/install-poetry, `poetry install`) — через відсутність
-# у каноні: правило вимагає uv-кроки, а нав'язаних poetry-кроків у template немає.
-# Універсальні workflow-перевірки (name, concurrency, branches) — у `ga.workflow_common`.
-package python.lint_python_yml
-
-import rego.v1
-
-# Conftest поточних версій читає YAML 1.2 (`on`), але старі версії віддавали
-# YAML 1.1 boolean-key (`true`). Приймаємо обидві форми, щоб policy не мовчала.
-gha_on := object.get(input, "on", object.get(input, "true", {}))
-
-expected_pr_paths := {p | some p in data.template.snippet.on.pull_request.paths}
-
-actual_pr_paths := object.get(object.get(gha_on, "pull_request", {}), "paths", [])
-
-# Усі `uses` з канону workflow (по всіх job'ах template).
-expected_uses contains u if {
-	some job in data.template.snippet.jobs
-	some step in job.steps
-	u := object.get(step, "uses", "")
-	u != ""
-}
-
-# Усі `uses` з input workflow.
-actual_uses contains u if {
-	some job in object.get(input, "jobs", {})
-	some step in object.get(job, "steps", [])
-	u := object.get(step, "uses", "")
-	u != ""
-}
-
-# Конкатенація всіх `run`-кроків з input workflow.
-all_run_text := concat("\n", [run_text |
-	some job in object.get(input, "jobs", {})
-	some step in object.get(job, "steps", [])
-	run_text := step_run_to_text(step)
-])
-
-deny contains msg if {
-	some required_use in expected_uses
-	not required_use in actual_uses
-	msg := sprintf("lint-python.yml: відсутній step з `uses: %s` (python.mdc)", [required_use])
-}
-
-deny contains msg if {
-	not paths_superset_of(actual_pr_paths, expected_pr_paths)
-	msg := "lint-python.yml: on.pull_request.paths має містити очікувані glob-и (python.mdc)"
-}
-
-deny contains msg if {
-	msg := "lint-python.yml: actions/checkout@v6 потребує `with: persist-credentials: false` (python.mdc)"
-	some job in object.get(input, "jobs", {})
-	some step in object.get(job, "steps", [])
-	step.uses == "actions/checkout@v6"
-	creds := object.get(object.get(step, "with", {}), "persist-credentials", true)
-	creds != false
-}
-
-deny contains msg if {
-	some job in data.template.snippet.jobs
-	some step in job.steps
-	expected_run := object.get(step, "run", "")
-	expected_run != ""
-	not contains(all_run_text, expected_run)
-	msg := sprintf("lint-python.yml: жоден крок run не містить %q (python.mdc)", [expected_run])
-}
-
-step_run_to_text(step) := step.run if is_string(step.run)
-
-else := concat("\n", [s | some s in step.run]) if is_array(step.run)
-
-else := ""
-
-paths_superset_of(actual, expected) if {
-	expected & {p | some p in actual} == expected
-}

package/rules/python/lint_python_yml/template/lint-python.yml.snippet.yml

@@ -1,46 +0,0 @@
-name: Lint Python
-
-on:
-  push:
-    branches:
-      - dev
-      - main
-    paths:
-      - '**/*.py'
-      - 'pyproject.toml'
-      - 'uv.lock'
-      - '.github/workflows/lint-python.yml'
-
-  pull_request:
-    branches:
-      - dev
-      - main
-    paths:
-      - '**/*.py'
-      - 'pyproject.toml'
-      - 'uv.lock'
-      - '.github/workflows/lint-python.yml'
-
-concurrency:
-  group: ${{ github.ref }}-${{ github.workflow }}
-  cancel-in-progress: true
-
-jobs:
-  python:
-    runs-on: ubuntu-latest
-    permissions:
-      contents: read
-    steps:
-      - uses: actions/checkout@v6
-        with:
-          persist-credentials: false
-
-      - uses: ./.github/actions/setup-bun-deps
-
-      - uses: astral-sh/setup-uv@v8.0.0
-
-      - name: Install dependencies (uv)
-        run: uv sync --frozen
-
-      - name: Lint Python
-        run: bunx n-rules lint python --no-fix

package/rules/rust/lint_rust_yml/concern.json

@@ -1,11 +0,0 @@
-{
-  "$schema": "https://unpkg.com/@7n/rules/schemas/concern.json",
-  "fixability": "config",
-  "policy": {
-    "files": {
-      "single": ".github/workflows/lint-rust.yml",
-      "required": true
-    },
-    "missingMessage": ".github/workflows/lint-rust.yml не існує — створи з канонічним вмістом (rust.mdc)"
-  }
-}

package/rules/rust/lint_rust_yml/docs/fix-lint_rust_yml.md

@@ -1,37 +0,0 @@
----
-type: JS Module
-title: fix-lint_rust_yml.mjs
-resource: plugins/ci-github/rules/rust/lint_rust_yml/fix-lint_rust_yml.mjs
-docgen:
-  crc: 4312b7ec
-  model: openai-codex/gpt-5.5
-  tier: cloud-avg
-  score: 100
-  issues: judge-refine:kept-original,judge:inaccurate:0.99
-  judgeModel: openai-codex/gpt-5.4-mini
----
-
-## Огляд
-
-Файл описує T0-autofix для `rust/lint_rust_yml`: scaffold відсутнього `.github/workflows/lint-rust.yml` з канонічного шаблону правила або `template-deep-merge` канонічних полів у наявний workflow зі збереженням локальних налаштувань.
-
-Публічна функція `patterns` декларує цю поведінку для правила. Обхід свідомо пропускає шляхи `.github` і `.git`, щоб не аналізувати службові директорії як джерела проєктного Rust-коду.
-
-## Поведінка
-
-1. `patterns` оголошує єдиний сценарій autofix для Rust lint workflow.
-
-2. Сценарій створює відсутній `.github/workflows/lint-rust.yml` за канонічним шаблоном правила, щоб проєкт мав стандартну GitHub Actions перевірку Rust lint.
-
-3. Якщо workflow уже існує, сценарій доповнює його лише канонічними полями, зберігаючи локальні налаштування проєкту.
-
-4. Autofix свідомо не обходить службові шляхи `.github` і `.git` як звичайні цілі аналізу; `.github/workflows/lint-rust.yml` використовується лише як визначений цільовий workflow-файл.
-
-## Публічний API
-
-- patterns — Фікс-патерни концерну: один template-deep-merge запис для `.github/workflows/lint-rust.yml`.
-
-## Гарантії поведінки
-
-- Власних операцій запису (ФС/БД) у файлі немає; виклики імпортованих модулів можуть писати.
-- Свідомо пропускає шляхи: `.github`, `.git`.

package/rules/rust/lint_rust_yml/docs/index.md

@@ -1,9 +0,0 @@
----
-type: Directory Index
-title: plugins/ci-github/rules/rust/lint_rust_yml
-resource: plugins/ci-github/rules/rust/lint_rust_yml/
----
-
-| Файл                                          | Тип       |
-| --------------------------------------------- | --------- |
-| [fix-lint_rust_yml.mjs](fix-lint_rust_yml.md) | JS Module |

package/rules/rust/lint_rust_yml/fix-lint_rust_yml.mjs

@@ -1,11 +0,0 @@
-/**
- * T0-autofix концерну `rust/lint_rust_yml`: деклараційний template-deep-merge —
- * scaffold відсутнього `.github/workflows/lint-rust.yml` з канонічного шаблону правила або
- * дописування в наявний файл лише канонічних полів (локальні — зберігаються).
- */
-import { createTemplateFixPattern } from '@7n/rules/scripts/lib/fix/template-deep-merge.mjs'
-
-/** Фікс-патерни концерну: один template-deep-merge запис для `.github/workflows/lint-rust.yml`. */
-export const patterns = [
-  createTemplateFixPattern({ id: 'rust-lint_rust_yml-template', targetPath: '.github/workflows/lint-rust.yml' })
-]

package/rules/rust/lint_rust_yml/lint_rust_yml.mdc

@@ -1,17 +0,0 @@
-## Перевірка `.github/workflows/lint-rust.yml`
-
-Rego-пакет: `rust.lint_rust_yml`
-
-Цільовий файл: `.github/workflows/lint-rust.yml`
-
-Перевіряє:
-
-- кожен `uses`-крок з канону присутній у workflow (підмножина): `actions/checkout@v6`, `dtolnay/rust-toolchain@stable`, `Swatinem/rust-cache@v2`
-- кожен `run`-крок з канону присутній як підрядок серед усіх `run`-кроків: `cargo fmt --all -- --check`, `cargo clippy --all-targets --all-features -- -D warnings`
-- канон завантажується через `--data` з template-сніпету — drift-safe: зміна шаблону автоматично рухає перевірку
-
-Канонічний template: [lint-rust.yml.snippet.yml](./template/lint-rust.yml.snippet.yml)
-
-Вимога `Swatinem/rust-cache@v2` після `dtolnay/rust-toolchain@…` тут перевіряється лише для цього конкретного файлу (як частина канону). Та сама вимога для **будь-якого** іншого workflow (coverage, release/build через `tauri-apps/tauri-action`, кастомні) — concern `rust/toolchain_cache`.
-
-Tauri-проєкти (`src-tauri/Cargo.toml`) додатково потребують у цьому файлі apt-кроку системних залежностей Linux перед Clippy — concern `tauri/linux_deps` (tauri.mdc), не частина канону тут.

package/rules/rust/lint_rust_yml/lint_rust_yml.rego

@@ -1,96 +0,0 @@
-# Перевірка `.github/workflows/lint-rust.yml` для правила rust (rust.mdc).
-#
-# Канон надходить через --data: { "template": { "snippet": ... } }
-# Структура --data сформована з template/lint-rust.yml.snippet.yml.
-# Перевіряємо:
-#   - кожен `uses` з template (підмножина): actions/checkout@v6,
-#     dtolnay/rust-toolchain@stable, Swatinem/rust-cache@v2;
-#   - кожен `run` з template має бути присутнім (як substring) серед
-#     run-кроків input'а — drift-safe: зміна template одразу рухає перевірку.
-# Універсальні workflow-перевірки (name, concurrency, branches) — у `ga.workflow_common`.
-package rust.lint_rust_yml
-
-import rego.v1
-
-# Conftest поточних версій читає YAML 1.2 (`on`), але старі версії віддавали
-# YAML 1.1 boolean-key (`true`). Приймаємо обидві форми, щоб policy не мовчала.
-gha_on := object.get(input, "on", object.get(input, "true", {}))
-
-expected_pr_paths := {p | some p in data.template.snippet.on.pull_request.paths}
-
-actual_pr_paths := object.get(object.get(gha_on, "pull_request", {}), "paths", [])
-
-# Усі `uses` з канону workflow.
-expected_uses contains u if {
-	some step in data.template.snippet.jobs.lint.steps
-	u := object.get(step, "uses", "")
-	u != ""
-}
-
-# Усі `uses` з input workflow.
-actual_uses contains u if {
-	some job in object.get(input, "jobs", {})
-	some step in object.get(job, "steps", [])
-	u := object.get(step, "uses", "")
-	u != ""
-}
-
-# Конкатенація всіх `run`-кроків з input workflow.
-all_run_text := concat("\n", [run_text |
-	some job in object.get(input, "jobs", {})
-	some step in object.get(job, "steps", [])
-	run_text := step_run_to_text(step)
-])
-
-# Крок dtolnay/rust-toolchain@stable має мати with.components з rustfmt і clippy.
-toolchain_step(step) if {
-	uses := object.get(step, "uses", "")
-	startswith(uses, "dtolnay/rust-toolchain@")
-}
-
-deny contains msg if {
-	some required_use in expected_uses
-	not required_use in actual_uses
-	msg := sprintf("lint-rust.yml: відсутній step з `uses: %s` (rust.mdc)", [required_use])
-}
-
-deny contains msg if {
-	not paths_superset_of(actual_pr_paths, expected_pr_paths)
-	msg := "lint-rust.yml: on.pull_request.paths має містити очікувані glob-и (rust.mdc)"
-}
-
-deny contains msg if {
-	some step in data.template.snippet.jobs.lint.steps
-	expected_run := object.get(step, "run", "")
-	expected_run != ""
-	not contains(all_run_text, expected_run)
-	msg := sprintf("lint-rust.yml: жоден крок run не містить %q (rust.mdc)", [expected_run])
-}
-
-deny contains msg if {
-	msg := "lint-rust.yml: dtolnay/rust-toolchain step потребує with.components: rustfmt, clippy (rust.mdc)"
-	some job in object.get(input, "jobs", {})
-	some step in object.get(job, "steps", [])
-	toolchain_step(step)
-	components := object.get(object.get(step, "with", {}), "components", "")
-	not contains(components, "rustfmt")
-}
-
-deny contains msg if {
-	msg := "lint-rust.yml: dtolnay/rust-toolchain step потребує with.components: rustfmt, clippy (rust.mdc)"
-	some job in object.get(input, "jobs", {})
-	some step in object.get(job, "steps", [])
-	toolchain_step(step)
-	components := object.get(object.get(step, "with", {}), "components", "")
-	not contains(components, "clippy")
-}
-
-step_run_to_text(step) := step.run if is_string(step.run)
-
-else := concat("\n", [s | some s in step.run]) if is_array(step.run)
-
-else := ""
-
-paths_superset_of(actual, expected) if {
-	expected & {p | some p in actual} == expected
-}

package/rules/rust/lint_rust_yml/template/lint-rust.yml.snippet.yml

@@ -1,50 +0,0 @@
-name: Lint Rust
-
-on:
-  push:
-    branches:
-      - dev
-      - main
-    paths:
-      - '**/*.rs'
-      - '**/Cargo.toml'
-      - '**/Cargo.lock'
-      - '**/rustfmt.toml'
-      - '**/clippy.toml'
-
-  pull_request:
-    branches:
-      - dev
-      - main
-    paths:
-      - '**/*.rs'
-      - '**/Cargo.toml'
-      - '**/Cargo.lock'
-      - '**/rustfmt.toml'
-      - '**/clippy.toml'
-
-concurrency:
-  group: ${{ github.ref }}-${{ github.workflow }}
-  cancel-in-progress: true
-
-jobs:
-  lint:
-    runs-on: ubuntu-latest
-    permissions:
-      contents: read
-    steps:
-      - uses: actions/checkout@v6
-        with:
-          persist-credentials: false
-
-      - uses: dtolnay/rust-toolchain@stable
-        with:
-          components: rustfmt, clippy
-
-      - uses: Swatinem/rust-cache@v2
-
-      - name: Rustfmt
-        run: cargo fmt --all -- --check
-
-      - name: Clippy
-        run: cargo clippy --all-targets --all-features -- -D warnings