@7n/rules-ci-github 2.3.0 → 2.3.2

package/CHANGELOG.md

@@ -1,5 +1,17 @@
 # Changelog
 
+## [2.3.2] - 2026-08-25
+
+### Fixed
+
+- ga-політики стали незалежними від версії YAML-парсера: читання події workflow-а тепер object.get(input, "on", object.get(input, "true", {})) у всіх пʼятьох пакетах (було лише в lint_ga). Під conftest вивід не змінився; без цього будь-який YAML-1.2-парсер зробив би три пакети тихо непрацездатними. sprintf %q замінено на \"%v\" — байт-у-байт той самий текст
+
+## [2.3.1] - 2026-08-19
+
+### Changed
+
+- дозволено preinstalled ci-tools у lint-ga policy
+
 ## [2.3.0] - 2026-08-01
 
 ### Added

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@7n/rules-ci-github",
-  "version": "2.3.0",
+  "version": "2.3.2",
   "description": "Плагін @7n/rules: канон GitHub Actions (.github/workflows) — обов'язкові workflow, zizmor, VS Code",
   "keywords": [
     "github-actions",

package/rules/ga/clean_ga_workflows/clean_ga_workflows.rego

@@ -9,10 +9,12 @@ package ga.clean_ga_workflows
 import rego.v1
 
 # ── Аліаси на input ────────────────────────────────────────────────────────
-# GHA YAML quirk: ключ `on:` — YAML 1.1 boolean `true`, у conftest серіалізується
-# як рядковий ключ "true". Template (через --data JSON) має ключ "on".
-
-gha_on := input["true"]
+# Читання події workflow-а НЕ залежить від версії YAML-парсера. `on:` у YAML 1.1
+# — булеве `true` (conftest серіалізує його рядковим ключем "true"), у YAML 1.2 —
+# звичайний рядок "on". Обидві форми читаються тут; без цього зміна парсера
+# зробила б УСІ правила цього пакета тихо непрацездатними — не падінням, а
+# порожнім результатом назавжди. Template (через --data JSON) має ключ "on".
+gha_on := object.get(input, "on", object.get(input, "true", {}))
 
 step0 := input.jobs.cleanup_old_workflows.steps[0]
 
@@ -31,7 +33,7 @@ expected_runs_on := data.template.snippet.jobs.cleanup_old_workflows["runs-on"]
 
 deny contains msg if {
 	input.name != expected_name
-	msg := sprintf("clean-ga-workflows.yml: name має бути %q (ga.mdc)", [expected_name])
+	msg := sprintf("clean-ga-workflows.yml: name має бути \"%v\" (ga.mdc)", [expected_name])
 }
 
 deny contains msg if {

package/rules/ga/clean_merged_branch/clean_merged_branch.rego

@@ -7,8 +7,12 @@ package ga.clean_merged_branch
 import rego.v1
 
 # ── Аліаси ─────────────────────────────────────────────────────────────────
-
-gha_on := input["true"]
+# Читання події workflow-а НЕ залежить від версії YAML-парсера. `on:` у YAML 1.1
+# — булеве `true` (conftest серіалізує його рядковим ключем "true"), у YAML 1.2 —
+# звичайний рядок "on". Обидві форми читаються тут; без цього зміна парсера
+# зробила б УСІ правила цього пакета тихо непрацездатними — не падінням, а
+# порожнім результатом назавжди. Template (через --data JSON) має ключ "on".
+gha_on := object.get(input, "on", object.get(input, "true", {}))
 
 steps := input.jobs.cleanup_old_branches.steps
 
@@ -30,7 +34,7 @@ expected_perms := data.template.snippet.jobs.cleanup_old_branches.permissions
 
 deny contains msg if {
 	input.name != expected_name
-	msg := sprintf("clean-merged-branch.yml: name має бути %q (ga.mdc)", [expected_name])
+	msg := sprintf("clean-merged-branch.yml: name має бути \"%v\" (ga.mdc)", [expected_name])
 }
 
 deny contains msg if {

package/rules/ga/git_ai/git_ai.rego

@@ -9,8 +9,12 @@ package ga.git_ai
 import rego.v1
 
 # ── Аліаси ─────────────────────────────────────────────────────────────────
-
-gha_on := input["true"]
+# Читання події workflow-а НЕ залежить від версії YAML-парсера. `on:` у YAML 1.1
+# — булеве `true` (conftest серіалізує його рядковим ключем "true"), у YAML 1.2 —
+# звичайний рядок "on". Обидві форми читаються тут; без цього зміна парсера
+# зробила б УСІ правила цього пакета тихо непрацездатними — не падінням, а
+# порожнім результатом назавжди. Template (через --data JSON) має ключ "on".
+gha_on := object.get(input, "on", object.get(input, "true", {}))
 
 job := input.jobs["git-ai"]
 
@@ -36,7 +40,7 @@ run_substring := "git-ai ci github run"
 
 deny contains msg if {
 	input.name != expected_name
-	msg := sprintf("git-ai.yml: name має бути %q (ga.mdc)", [expected_name])
+	msg := sprintf("git-ai.yml: name має бути \"%v\" (ga.mdc)", [expected_name])
 }
 
 deny contains msg if {

package/rules/ga/lint_ga/lint_ga.mdc

@@ -19,4 +19,12 @@ Rego-пакет: `ga.lint_ga`
 - `steps[*].run` (сукупно) — містить `open-policy-agent/conftest` (Install conftest)
 - `steps[*].run` (сукупно) — містить `n-rules lint ga --no-fix`
 
+### Preinstalled `ci-tools`
+
+Forgejo runner може мапити сумісну мітку `ubuntu-latest` на власний образ, де вже
+встановлені `uv` і `conftest`. Для цього workflow декларативно встановлює
+`jobs.lint-ga.env.NITRA_CI_TOOLS: 'true'`. За цієї явної opt-in policy не вимагає
+`astral-sh/setup-uv` і крок завантаження Conftest; `checkout`, локальний
+`setup-bun-deps` і `n-rules lint ga --no-fix` лишаються обов'язковими.
+
 Канон: [lint-ga.yml.snippet.yml](./template/lint-ga.yml.snippet.yml)

package/rules/ga/lint_ga/lint_ga.rego

@@ -43,6 +43,24 @@ expected_uses_set contains u if {
 	u != ""
 }
 
+# Opt-in для runner-образу, у якому вже є uv та conftest. Мітка runner
+# залишається `ubuntu-latest` для сумісності, але workflow явно декларує
+# джерело tooling, щоб policy не приховувала залежність від custom image.
+preinstalled_ci_tools if object.get(object.get(job, "env", {}), "NITRA_CI_TOOLS", false) == true
+
+preinstalled_ci_tools if object.get(object.get(job, "env", {}), "NITRA_CI_TOOLS", "false") == "true"
+
+required_uses_set contains u if {
+	not preinstalled_ci_tools
+	some u in expected_uses_set
+}
+
+required_uses_set contains u if {
+	preinstalled_ci_tools
+	some u in expected_uses_set
+	not startswith(u, "astral-sh/setup-uv@")
+}
+
 # Required `run:` substrings — collected from steps with `run`.
 expected_run_blob := concat("\n", [r |
 	some step in data.template.snippet.jobs["lint-ga"].steps
@@ -54,7 +72,7 @@ expected_run_blob := concat("\n", [r |
 
 deny contains msg if {
 	input.name != expected_name
-	msg := sprintf("lint-ga.yml: name має бути %q (ga.mdc)", [expected_name])
+	msg := sprintf("lint-ga.yml: name має бути \"%v\" (ga.mdc)", [expected_name])
 }
 
 deny contains msg if {
@@ -98,12 +116,13 @@ deny contains msg if {
 }
 
 deny contains msg if {
-	some required_use in expected_uses_set
+	some required_use in required_uses_set
 	not job_has_use_satisfying(required_use)
 	msg := sprintf("lint-ga.yml: має бути uses: %s (ga.mdc)", [required_use])
 }
 
 deny contains msg if {
+	not preinstalled_ci_tools
 	expected_run_blob != ""
 	not contains(job_run_blob, "open-policy-agent/conftest")
 	msg := "lint-ga.yml: має бути крок Install conftest (ga.mdc)"

package/rules/ga/workflow_common/workflow_common.rego

@@ -70,7 +70,7 @@ setup_bun_no_checkout_template := concat(" ", [
 ])
 
 min_uses_version_template := concat(" ", [
-	"jobs.%s.steps[%d]: %s має бути >= v%s (зараз %q) —",
+	"jobs.%s.steps[%d]: %s має бути >= v%s (зараз \"%v\") —",
 	"онови ref у uses: (ga.mdc)",
 ])