@7n/rules-ci-github 2.2.1 → 2.3.1

package/CHANGELOG.md

@@ -1,5 +1,17 @@
 # Changelog
 
+## [2.3.1] - 2026-08-19
+
+### Changed
+
+- дозволено preinstalled ci-tools у lint-ga policy
+
+## [2.3.0] - 2026-08-01
+
+### Added
+
+- `ga/workflow_common`: маркер `n-rules:allow-<pattern>` у тілі кроку знімає заборону конкретного підрядка саме для цього кроку — потрібно там, де composite `setup-bun-deps` принципово не підходить (він робить `--frozen-lockfile`, а крок навмисно перегенеровує lock)
+
 ## [2.2.1] - 2026-07-30
 
 ### Changed

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@7n/rules-ci-github",
-  "version": "2.2.1",
+  "version": "2.3.1",
   "description": "Плагін @7n/rules: канон GitHub Actions (.github/workflows) — обов'язкові workflow, zizmor, VS Code",
   "keywords": [
     "github-actions",

package/rules/ga/lint_ga/lint_ga.mdc

@@ -19,4 +19,12 @@ Rego-пакет: `ga.lint_ga`
 - `steps[*].run` (сукупно) — містить `open-policy-agent/conftest` (Install conftest)
 - `steps[*].run` (сукупно) — містить `n-rules lint ga --no-fix`
 
+### Preinstalled `ci-tools`
+
+Forgejo runner може мапити сумісну мітку `ubuntu-latest` на власний образ, де вже
+встановлені `uv` і `conftest`. Для цього workflow декларативно встановлює
+`jobs.lint-ga.env.NITRA_CI_TOOLS: 'true'`. За цієї явної opt-in policy не вимагає
+`astral-sh/setup-uv` і крок завантаження Conftest; `checkout`, локальний
+`setup-bun-deps` і `n-rules lint ga --no-fix` лишаються обов'язковими.
+
 Канон: [lint-ga.yml.snippet.yml](./template/lint-ga.yml.snippet.yml)

package/rules/ga/lint_ga/lint_ga.rego

@@ -43,6 +43,24 @@ expected_uses_set contains u if {
 	u != ""
 }
 
+# Opt-in для runner-образу, у якому вже є uv та conftest. Мітка runner
+# залишається `ubuntu-latest` для сумісності, але workflow явно декларує
+# джерело tooling, щоб policy не приховувала залежність від custom image.
+preinstalled_ci_tools if object.get(object.get(job, "env", {}), "NITRA_CI_TOOLS", false) == true
+
+preinstalled_ci_tools if object.get(object.get(job, "env", {}), "NITRA_CI_TOOLS", "false") == "true"
+
+required_uses_set contains u if {
+	not preinstalled_ci_tools
+	some u in expected_uses_set
+}
+
+required_uses_set contains u if {
+	preinstalled_ci_tools
+	some u in expected_uses_set
+	not startswith(u, "astral-sh/setup-uv@")
+}
+
 # Required `run:` substrings — collected from steps with `run`.
 expected_run_blob := concat("\n", [r |
 	some step in data.template.snippet.jobs["lint-ga"].steps
@@ -98,12 +116,13 @@ deny contains msg if {
 }
 
 deny contains msg if {
-	some required_use in expected_uses_set
+	some required_use in required_uses_set
 	not job_has_use_satisfying(required_use)
 	msg := sprintf("lint-ga.yml: має бути uses: %s (ga.mdc)", [required_use])
 }
 
 deny contains msg if {
+	not preinstalled_ci_tools
 	expected_run_blob != ""
 	not contains(job_run_blob, "open-policy-agent/conftest")
 	msg := "lint-ga.yml: має бути крок Install conftest (ga.mdc)"

package/rules/ga/workflow_common/workflow_common.rego

@@ -93,12 +93,23 @@ all_flat_steps contains entry if {
 }
 
 # ── deny: заборонені setup-bun/cache/install у будь-якому кроці ────────────
+#
+# Санкціонований виняток — маркер `n-rules:allow-<pattern>` у самому кроці
+# (`bun install` → `n-rules:allow-bun-install`). Потрібен там, де composite
+# `setup-bun-deps` принципово не підходить: він робить `--frozen-lockfile`, а
+# крок навмисно ПЕРЕгенеровує lock (реліз-синк платформних пінів). Маркер
+# живе в тілі кроку, тож виняток вузький (лише цей крок), видимий у diff-і й
+# вимагає свідомого рішення автора — на відміну від синоніма команди, який
+# обходив би правило нишком.
+allow_marker(pattern) := sprintf("n-rules:allow-%s", [replace(pattern, " ", "-")])
 
 deny contains msg if {
 	some entry in all_flat_steps
 	some pattern, hint in forbidden_step_substrings
-	step_uses_or_run_blob(entry.step) != ""
-	contains(step_uses_or_run_blob(entry.step), pattern)
+	blob := step_uses_or_run_blob(entry.step)
+	blob != ""
+	contains(blob, pattern)
+	not contains(blob, allow_marker(pattern))
 	msg := sprintf("jobs.%s.steps[%d]: %s (ga.mdc)", [entry.job_id, entry.step_index, hint])
 }