@7n/rules-ci-github 2.3.1 → 2.3.2

package/CHANGELOG.md

@@ -1,5 +1,11 @@
 # Changelog
 
+## [2.3.2] - 2026-08-25
+
+### Fixed
+
+- ga-політики стали незалежними від версії YAML-парсера: читання події workflow-а тепер object.get(input, "on", object.get(input, "true", {})) у всіх пʼятьох пакетах (було лише в lint_ga). Під conftest вивід не змінився; без цього будь-який YAML-1.2-парсер зробив би три пакети тихо непрацездатними. sprintf %q замінено на \"%v\" — байт-у-байт той самий текст
+
 ## [2.3.1] - 2026-08-19
 
 ### Changed

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@7n/rules-ci-github",
-  "version": "2.3.1",
+  "version": "2.3.2",
   "description": "Плагін @7n/rules: канон GitHub Actions (.github/workflows) — обов'язкові workflow, zizmor, VS Code",
   "keywords": [
     "github-actions",

package/rules/ga/clean_ga_workflows/clean_ga_workflows.rego

@@ -9,10 +9,12 @@ package ga.clean_ga_workflows
 import rego.v1
 
 # ── Аліаси на input ────────────────────────────────────────────────────────
-# GHA YAML quirk: ключ `on:` — YAML 1.1 boolean `true`, у conftest серіалізується
-# як рядковий ключ "true". Template (через --data JSON) має ключ "on".
-
-gha_on := input["true"]
+# Читання події workflow-а НЕ залежить від версії YAML-парсера. `on:` у YAML 1.1
+# — булеве `true` (conftest серіалізує його рядковим ключем "true"), у YAML 1.2 —
+# звичайний рядок "on". Обидві форми читаються тут; без цього зміна парсера
+# зробила б УСІ правила цього пакета тихо непрацездатними — не падінням, а
+# порожнім результатом назавжди. Template (через --data JSON) має ключ "on".
+gha_on := object.get(input, "on", object.get(input, "true", {}))
 
 step0 := input.jobs.cleanup_old_workflows.steps[0]
 
@@ -31,7 +33,7 @@ expected_runs_on := data.template.snippet.jobs.cleanup_old_workflows["runs-on"]
 
 deny contains msg if {
 	input.name != expected_name
-	msg := sprintf("clean-ga-workflows.yml: name має бути %q (ga.mdc)", [expected_name])
+	msg := sprintf("clean-ga-workflows.yml: name має бути \"%v\" (ga.mdc)", [expected_name])
 }
 
 deny contains msg if {

package/rules/ga/clean_merged_branch/clean_merged_branch.rego

@@ -7,8 +7,12 @@ package ga.clean_merged_branch
 import rego.v1
 
 # ── Аліаси ─────────────────────────────────────────────────────────────────
-
-gha_on := input["true"]
+# Читання події workflow-а НЕ залежить від версії YAML-парсера. `on:` у YAML 1.1
+# — булеве `true` (conftest серіалізує його рядковим ключем "true"), у YAML 1.2 —
+# звичайний рядок "on". Обидві форми читаються тут; без цього зміна парсера
+# зробила б УСІ правила цього пакета тихо непрацездатними — не падінням, а
+# порожнім результатом назавжди. Template (через --data JSON) має ключ "on".
+gha_on := object.get(input, "on", object.get(input, "true", {}))
 
 steps := input.jobs.cleanup_old_branches.steps
 
@@ -30,7 +34,7 @@ expected_perms := data.template.snippet.jobs.cleanup_old_branches.permissions
 
 deny contains msg if {
 	input.name != expected_name
-	msg := sprintf("clean-merged-branch.yml: name має бути %q (ga.mdc)", [expected_name])
+	msg := sprintf("clean-merged-branch.yml: name має бути \"%v\" (ga.mdc)", [expected_name])
 }
 
 deny contains msg if {

package/rules/ga/git_ai/git_ai.rego

@@ -9,8 +9,12 @@ package ga.git_ai
 import rego.v1
 
 # ── Аліаси ─────────────────────────────────────────────────────────────────
-
-gha_on := input["true"]
+# Читання події workflow-а НЕ залежить від версії YAML-парсера. `on:` у YAML 1.1
+# — булеве `true` (conftest серіалізує його рядковим ключем "true"), у YAML 1.2 —
+# звичайний рядок "on". Обидві форми читаються тут; без цього зміна парсера
+# зробила б УСІ правила цього пакета тихо непрацездатними — не падінням, а
+# порожнім результатом назавжди. Template (через --data JSON) має ключ "on".
+gha_on := object.get(input, "on", object.get(input, "true", {}))
 
 job := input.jobs["git-ai"]
 
@@ -36,7 +40,7 @@ run_substring := "git-ai ci github run"
 
 deny contains msg if {
 	input.name != expected_name
-	msg := sprintf("git-ai.yml: name має бути %q (ga.mdc)", [expected_name])
+	msg := sprintf("git-ai.yml: name має бути \"%v\" (ga.mdc)", [expected_name])
 }
 
 deny contains msg if {

package/rules/ga/lint_ga/lint_ga.rego

@@ -72,7 +72,7 @@ expected_run_blob := concat("\n", [r |
 
 deny contains msg if {
 	input.name != expected_name
-	msg := sprintf("lint-ga.yml: name має бути %q (ga.mdc)", [expected_name])
+	msg := sprintf("lint-ga.yml: name має бути \"%v\" (ga.mdc)", [expected_name])
 }
 
 deny contains msg if {

package/rules/ga/workflow_common/workflow_common.rego

@@ -70,7 +70,7 @@ setup_bun_no_checkout_template := concat(" ", [
 ])
 
 min_uses_version_template := concat(" ", [
-	"jobs.%s.steps[%d]: %s має бути >= v%s (зараз %q) —",
+	"jobs.%s.steps[%d]: %s має бути >= v%s (зараз \"%v\") —",
 	"онови ref у uses: (ga.mdc)",
 ])