@7n/rules-ci-github 2.3.2 → 2.4.1

package/CHANGELOG.md

@@ -1,5 +1,17 @@
 # Changelog
 
+## [2.4.1] - 2026-08-26
+
+### Fixed
+
+- docker.lint_docker_yml: додано фолбек object.get(input, "on", …) для YAML 1.2 (regorus/saphyr) на випадок міграції з conftest — без нього push_paths_set стає порожнім і deny спрацьовує на кожному валідному workflow
+
+## [2.4.0] - 2026-08-25
+
+### Removed
+
+- rust/toolchain_cache і ga/workflows: видалено JS lint-детектори (main.mjs) — канон тепер wasm-гість crates/plugin-ci-github (detect_toolchain_cache, detect_workflows). Фіксери (fix-toolchain_cache.mjs, fix-workflows.mjs) лишаються JS; сканувальний рушій toolchain_cache перенесено у фіксер. .mdc обох концернів оновлено: посилання на main.mjs замінено на назви детекторів гостя, ga/workflows додатково фіксує regorus in-process замість зовнішнього conftest
+
 ## [2.3.2] - 2026-08-25
 
 ### Fixed

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@7n/rules-ci-github",
-  "version": "2.3.2",
+  "version": "2.4.1",
   "description": "Плагін @7n/rules: канон GitHub Actions (.github/workflows) — обов'язкові workflow, zizmor, VS Code",
   "keywords": [
     "github-actions",

package/rules/docker/lint_docker_yml/lint_docker_yml.rego

@@ -40,10 +40,13 @@ all_run_text := concat("\n", [run_text |
 	run_text := step_run_to_text(step)
 ])
 
-# conftest парсить YAML 1.1, тож канонічний `on:` без лапок стає булевим ключем
-# `true` (як у `ga.lint_ga`). Тому читаємо через `input["true"]`.
+# conftest (YAML 1.1) серіалізує канонічний `on:` без лапок у булевий ключ
+# `true`; regorus/saphyr (YAML 1.2, in-process шлях crates/plugin-ci-github)
+# лишає рядковий ключ `"on"`. Фолбек — як у `ga.lint_ga` та сусідніх пакетів.
+gha_on := object.get(input, "on", object.get(input, "true", {}))
+
 push_paths_set := {p |
-	some p in object.get(object.get(object.get(input, "true", {}), "push", {}), "paths", [])
+	some p in object.get(object.get(gha_on, "push", {}), "paths", [])
 }
 
 # ── deny: on.push.paths subset-of ──────────────────────────────────────

package/rules/ga/workflows/docs/index.md

@@ -7,4 +7,3 @@ resource: plugins/ci-github/rules/ga/workflows/
 | Файл                                  | Тип       |
 | ------------------------------------- | --------- |
 | [fix-workflows.mjs](fix-workflows.md) | JS Module |
-| [main.mjs](main.md)                   | JS Module |

package/rules/ga/workflows/workflows.mdc

@@ -1,3 +1,39 @@
+Concern: `ga/workflows` (`detect_workflows`, wasm-гість `crates/plugin-ci-github` — JS-детектора (`main.mjs`) більше немає, подвійну реалізацію знято).
+
+## Rego лишається буквальним джерелом правди
+
+ЧОТИРИ per-workflow rego-політики — `clean_ga_workflows`, `clean_merged_branch`,
+`lint_ga`, `git_ai` — плюс спільна `workflow_common` (кожна лежить поряд, у
+`plugins/ci-github/rules/ga/<name>/<name>.rego`, той самий файл, що читає й
+документує своя концерн-тека) виконуються **IN-PROCESS через
+[regorus](https://github.com/microsoft/regorus)** усередині гостя —
+`include_str!`-вшиті напряму з файлової системи (`crates/plugin-ci-github/src/lib.rs`),
+не переказані на Rust. Решта `.rego`-концернів під `plugins/ci-github/rules/ga/`
+(`service_deploy_workflow`, `vscode_extensions`, `vscode_settings`, `zizmor_yml`)
+у гість НЕ вшиті — поза обсягом цього порту.
+
+Раніше вшиту п'ятірку виконував зовнішній `conftest`, викликаний JS-детектором
+(`main.mjs`, якого більше немає); тепер субпроцес `conftest` не спавниться
+взагалі — `regorus::Engine` компілює й обчислює `data.<namespace>.deny` прямо в
+пам'яті гостя. Анти-дрейф-тест
+(`embedded_rego_policies_namespace_matches_rust_side_constant`,
+`crates/plugin-ci-github/src/lib.rs`) звіряє, що Rust-side namespace-константи
+й досі збігаються з `package`-декларацією вшитого `.rego` — розходження ловить
+compile/eval-помилку, не мовчазний no-op.
+
+## Канал «shellcheck відсутній» змінив ФОРМУ, не наслідок
+
+JS-канон (`main.mjs`, якого більше немає) мав ДВІ незалежні перевірки
+`shellcheck`: ранній `ensureTool('shellcheck')`-preflight (Plugin API v2, міг
+кинути виняток і завалити весь `lint()`, якщо auto-install вимкнено) і пізніший
+`checkShellcheckInstalled` (звичайне порушення з підказкою про встановлення).
+Гість несе лише ДРУГИЙ канал: `check_shellcheck_installed`
+(`crates/plugin-ci-github/src/lib.rs`) за відсутнього тула пише `Diagnostic`
+(той самий WIT-запис, що й будь-яке порушення), ніколи не падає — контракт `exec-tool` структурно повертає `ToolResult`, не виняток.
+Той самий патерн, що описала хвиля #481 для `mago` в
+`plugins/lang-php/rules/php/tooling/tooling.mdc`: канал не втрачено, він
+змінив форму (throw → діагностика).
+
 ## Структура workflow-файлів та обов'язкові workflows
 
 У `.github/workflows/` лише **`.yml`** (не `.yaml`). Обов'язкові файли:

package/rules/rust/toolchain_cache/docs/index.md

@@ -7,4 +7,3 @@ resource: plugins/ci-github/rules/rust/toolchain_cache/
 | Файл                                              | Тип       |
 | ------------------------------------------------- | --------- |
 | [fix-toolchain_cache.mjs](fix-toolchain_cache.md) | JS Module |
-| [main.mjs](main.md)                               | JS Module |

package/rules/rust/toolchain_cache/fix-toolchain_cache.mjs

@@ -7,10 +7,132 @@
  * де Cargo.toml не в корені репо. Текстові splice-и (як `ga/workflows/fix-workflows.mjs`) —
  * зберігають коментарі/формат, мінімальний diff. Ідемпотентно: `scanToolchainSteps`
  * заново перевіряє стан файла на кожному прогоні.
+ *
+ * `scanToolchainSteps` (і решта сканувального рушія нижче — `TOOLCHAIN_RE`/
+ * `CACHE_RE`/`TAURI_ACTION_RE`/`WORKSPACES_KEY_RE`/`indentOf`/`dashColFor`/
+ * `scanJobForCache`/`cacheStepHasWorkspaces`) переїхали СЮДИ з видаленого
+ * `main.mjs`: канон детекту тепер `detect_toolchain_cache` wasm-гостя
+ * `crates/plugin-ci-github`, і фіксер лишився ЄДИНИМ JS-споживачем цього
+ * коду. `tauriWorkspaceDir` і сам `lint()` — НЕ перенесені, вони вмирали разом
+ * із детектором (фіксер їх не використовував; перевірено grep-ом по репо).
+ * Раніше експортовані символи стали локальними — ніхто ззовні на них не
+ * посилався (перевірено тим самим grep-ом).
+ *
+ * Значення `MISSING_RUST_CACHE`/`MISSING_RUST_CACHE_WORKSPACES` мусять
+ * збігатися з reason-рядками гостя БАЙТ-У-БАЙТ — інакше `patterns[].test`
+ * нижче не побачить порушень, які гість реально видає, і T0-фікс тихо
+ * перестане спрацьовувати. Звірку тримає `tests/fix-toolchain_cache.test.mjs`
+ * (T0 round-trip-сценарій через `runWasmConcern`) і parity-гейт
+ * (`npm/scripts/lib/lint-surface/tests/wasm-plugin-parity-ci-github.test.mjs`).
  */
 import { applyToFiles } from '@7n/rules/scripts/utils/apply-to-files.mjs'
 
-import { MISSING_RUST_CACHE, MISSING_RUST_CACHE_WORKSPACES, scanToolchainSteps } from './main.mjs'
+/** Reason-код: job ставить Rust toolchain, але не має кроку `Swatinem/rust-cache@v2`. */
+const MISSING_RUST_CACHE = 'missing-rust-cache'
+/** Reason-код: кеш-крок Tauri-job-а без `with.workspaces` на каталог `src-tauri`. */
+const MISSING_RUST_CACHE_WORKSPACES = 'missing-rust-cache-workspaces'
+
+/** Рядок кроку встановлення Rust toolchain (`dtolnay/rust-toolchain@…`). */
+const TOOLCHAIN_RE = /uses:\s*dtolnay\/rust-toolchain@/u
+/** Рядок кроку кешування Cargo-артефактів (`Swatinem/rust-cache@…`). */
+const CACHE_RE = /uses:\s*Swatinem\/rust-cache@/u
+const TAURI_ACTION_RE = /uses:\s*tauri-apps\/tauri-action@/u
+const WORKSPACES_KEY_RE = /^\s*workspaces\s*:/u
+
+/**
+ * Відступ рядка (кількість пробілів перед першим непробільним символом).
+ * @param {string} line рядок файла
+ * @returns {number} кількість пробілів відступу
+ */
+function indentOf(line) {
+  return line.length - line.trimStart().length
+}
+
+/**
+ * Дашова колонка кроку (`- uses: …`) з колонки `uses:`. Захист від негативного
+ * значення для нетипового форматування (dash не на тому ж рядку).
+ * @param {number} usesCol колонка підрядка `uses:`
+ * @returns {number} колонка dash-а (не менше 0)
+ */
+function dashColFor(usesCol) {
+  return Math.max(usesCol - 2, 0)
+}
+
+/**
+ * Один запис аналізу `dtolnay/rust-toolchain` кроку в межах його job-а (обмеженого
+ * indentation-dedent-ом, без явного YAML-парсу job-структури).
+ * @typedef {object} ToolchainStepScan
+ * @property {number} line індекс рядка кроку `dtolnay/rust-toolchain@…`
+ * @property {number} dashCol колонка dash-а кроку (рівень step-list-а job-а)
+ * @property {boolean} hasCache чи є `Swatinem/rust-cache@…` пізніше в тому самому job-і
+ * @property {number} cacheLine індекс рядка кеш-кроку (−1, якщо відсутній)
+ * @property {boolean} cacheHasWorkspaces чи кеш-крок вже має ключ `workspaces`
+ * @property {boolean} jobHasTauriAction чи job також викликає `tauri-apps/tauri-action`
+ */
+
+/**
+ * Сканує job від рядка ОДРАЗУ ПІСЛЯ toolchain-кроку до dedent-у: шукає перший
+ * `Swatinem/rust-cache@…` крок і чи job також викликає `tauri-apps/tauri-action`.
+ * @param {string[]} lines усі рядки файла
+ * @param {number} fromLine рядок, з якого починати сканування (i + 1)
+ * @param {number} dashCol колонка dash-а step-list-а job-а (межа dedent-у)
+ * @returns {{hasCache: boolean, cacheLine: number, jobHasTauriAction: boolean}} результат сканування job-а
+ */
+function scanJobForCache(lines, fromLine, dashCol) {
+  let hasCache = false
+  let cacheLine = -1
+  let jobHasTauriAction = false
+  for (let j = fromLine; j < lines.length; j++) {
+    const line = lines[j]
+    if (line.trim() === '') continue
+    if (indentOf(line) < dashCol) break // dedent → вийшли зі step-list-а цього job-а
+    if (!hasCache && CACHE_RE.test(line)) {
+      hasCache = true
+      cacheLine = j
+    }
+    if (TAURI_ACTION_RE.test(line)) jobHasTauriAction = true
+  }
+  return { hasCache, cacheLine, jobHasTauriAction }
+}
+
+/**
+ * Чи кеш-крок (`cacheLine`) уже має ключ `with.workspaces` у своєму блоці (до dedent-у).
+ * @param {string[]} lines усі рядки файла
+ * @param {number} cacheLine рядок кеш-кроку
+ * @param {number} dashCol колонка даша step-list-а job-а (межа dedent-у)
+ * @returns {boolean} true — ключ `workspaces` уже є
+ */
+function cacheStepHasWorkspaces(lines, cacheLine, dashCol) {
+  for (let j = cacheLine + 1; j < lines.length; j++) {
+    const line = lines[j]
+    if (line.trim() === '') continue
+    if (indentOf(line) < dashCol) break
+    if (WORKSPACES_KEY_RE.test(line)) return true
+  }
+  return false
+}
+
+/**
+ * Сканує вміст workflow-файла й повертає по одному запису на кожен
+ * `dtolnay/rust-toolchain@…` крок, з інформацією про cache-крок і tauri-action
+ * у тому самому job-і (обмежено indentation-dedent-ом).
+ * @param {string} content вміст workflow-файла
+ * @returns {ToolchainStepScan[]} записи аналізу
+ */
+function scanToolchainSteps(content) {
+  const lines = content.split('\n')
+  /** @type {ToolchainStepScan[]} */
+  const out = []
+  for (let i = 0; i < lines.length; i++) {
+    const usesCol = lines[i].indexOf('uses:')
+    if (usesCol === -1 || !TOOLCHAIN_RE.test(lines[i])) continue
+    const dashCol = dashColFor(usesCol)
+    const { hasCache, cacheLine, jobHasTauriAction } = scanJobForCache(lines, i + 1, dashCol)
+    const cacheHasWorkspaces = hasCache && cacheStepHasWorkspaces(lines, cacheLine, dashCol)
+    out.push({ line: i, dashCol, hasCache, cacheLine, cacheHasWorkspaces, jobHasTauriAction })
+  }
+  return out
+}
 
 /**
  * Індекс першого рядка після step-блоку, що починається на `stepLine`

package/rules/rust/toolchain_cache/toolchain_cache.mdc

@@ -1,6 +1,6 @@
 ## Rust-cache після rust-toolchain — у будь-якому workflow
 
-Concern: `rust/toolchain_cache` (JS-detector, `main.mjs` — не rego)
+Concern: `rust/toolchain_cache` (`detect_toolchain_cache`, wasm-гість `crates/plugin-ci-github` — не rego; JS-детектора (`main.mjs`) більше немає, подвійну реалізацію знято)
 
 Цільові файли: `.github/workflows/*.yml`, `.github/workflows/*.yaml` (кожен файл окремо)
 

package/rules/ga/workflows/docs/main.md

@@ -1,40 +0,0 @@
----
-type: JS Module
-title: main.mjs
-resource: plugins/ci-github/rules/ga/workflows/main.mjs
-docgen:
-  crc: 0eb11a60
----
-
-## Огляд
-
-Please provide the code you want me to document.
-
-## Поведінка
-
-Поведінка:
-checkShellcheckInstalled перевіряє локальну наявність інструменту `shellcheck` у системному PATH, щоб забезпечити узгодженість логіки CI та локального запуску.
-main виконує комплексну перевірку відповідності репозиторію правилам `ga.mdc`, включаючи валідацію структури GitHub Actions workflow, аналіз посилань на файли за допомогою `git ls-files` та пошук залишків MegaLinter. Canonical language config paths не вважаються stale, якщо сам config ще відсутній: workflow має бути готовий підхопити його появу без окремої синхронної правки CI.
-lint запускає стандартний лінтинг, який включає перевірку `actionlint` та `zizmor` для забезпечення якості YAML-файлів та робочого середовища, а також ініціює повну перевірку `main`.
-runLintGaCli запускає процес лінтингу `ga` через командний інтерфейс.
-
-## Публічний API
-
-Підтверджую. Я дію як технічний письменник.
-
-Ось переписаний список у вигляді стислих маркерів відповідно до ваших вимог:
-
-- checkShellcheckInstalled — Визначає, чи є інструмент `shellcheck` у системному шляху, щоб уникнути ложного позитивного результату локального линтування, коли CI-оркестр вимагає його присутності.
-- main — Валідує відповідність усієї проєктної конфігурації вимогам, визначеним у `ga.mdc`.
-- Plan B-патерн — Виконує первинну валідацію структури CI-workflow за допомогою Rego-полісі у `npm/policy/ga/`; додатково проводить крос-файлові перевірки та аналіз конфігурацій (наприклад, для VS Code), ініційовавши цей процес за допомогою `bun run lint-ga`.
-- lint — Виконує повноцінний аналіз конфігурацій CI/CD з використанням `actionlint` та `zizmor`.
-- runLintGaCli — Запускає повний набір перевірок, що включають Rego-валідацію, аналіз `actionlint` та зовнішні інструменти для забезпечення консистентності конфігурацій проєкту.
-
-## Гарантії поведінки
-
-- Read-only: не виконує операцій запису (ФС/БД).
-- Перехоплює помилки і не пропускає винятків назовні (fail-safe).
-- За певних помилок повертає порожнє значення (напр. `null`) замість винятку.
-- Свідомо пропускає шляхи: `.github`, `.git`.
-
-**Плагін:** правило живе у `@7n/rules-ci-github`; спільні lib імпортуються як `@7n/rules/scripts/...`, а policy-теки передаються у `runConftestBatch` через `policyDirAbs` (вбудований rules/ ядра тут недосяжний).

package/rules/ga/workflows/main.mjs

@@ -1,446 +0,0 @@
-/** @see ./docs/workflows.md */
-import { existsSync } from 'node:fs'
-import { readdir, readFile } from 'node:fs/promises'
-import { execFileSync } from 'node:child_process'
-import { basename, dirname, join, relative } from 'node:path'
-import { fileURLToPath } from 'node:url'
-
-import { createViolationReporter } from '@7n/rules/scripts/lib/lint-surface/violation-reporter.mjs'
-import { eventPathsIncludeExact, parseWorkflowYaml } from '@7n/rules/scripts/lib/gha-workflow.mjs'
-import { resolveCmd } from '@7n/rules/scripts/utils/resolve-cmd.mjs'
-import { runConftestBatch } from '@7n/rules/scripts/lib/run-conftest-batch.mjs'
-import { loadTemplate } from '@7n/rules/scripts/lib/template.mjs'
-import { ensureTool } from '@7n/rules/scripts/lib/ensure-tool.mjs'
-import { runLintStep } from '@7n/rules/scripts/lib/run-lint-step.mjs'
-
-const HERE = dirname(fileURLToPath(import.meta.url))
-const GA_POLICY_DIR = join(HERE, '..')
-
-/** Шаблони наявності MegaLinter у вмісті workflow */
-const MEGALINTER_USE_PATTERNS = [/oxsecurity\/megalinter-action/i, /megalinter\/megalinter/i]
-
-/** Типові конфіги MegaLinter у корені репо */
-const MEGALINTER_CONFIG_NAMES = ['.mega-linter.yml', '.megalinter.yaml', '.mega-linter.yaml']
-
-/** Обовʼязкові workflow-файли (ga.mdc). */
-const REQUIRED_WORKFLOWS = ['clean-ga-workflows.yml', 'clean-merged-branch.yml', 'lint-ga.yml', 'git-ai.yml']
-
-/** Патерн rego-violation про відсутній `persist-credentials`. */
-const CHECKOUT_PERSIST_RE = /persist-credentials/u
-
-/**
- * Language workflow policies вимагають ці config paths наперед, навіть коли
- * конкретний consumer ще не має відповідного tool config.
- */
-const OPTIONAL_CANONICAL_PATH_GLOBS = new Set(['pyproject.toml', 'uv.lock', '**/rustfmt.toml', '**/clippy.toml'])
-
-/**
- * Structured fix-hint (#3) для rego-violation про `actions/checkout` без
- * `persist-credentials: false` — щоб T0 (`fix-workflows.mjs`) автофіксив детерміновано,
- * не парсячи message. Повертає `{ reason, file, data }` або undefined.
- * @param {string} file posix-relative шлях workflow-файла від cwd
- * @param {unknown} message текст rego-violation
- * @returns {{ reason: string, file: string, data: { kind: string } } | undefined} fix-hint або undefined
- */
-function checkoutPersistHint(file, message) {
-  return CHECKOUT_PERSIST_RE.test(String(message ?? ''))
-    ? { reason: 'checkout-persist-credentials', file, data: { kind: 'checkout-persist-credentials' } }
-    : undefined
-}
-
-/**
- * Повертає true, якщо glob у GitHub Actions `on.*.paths` матчитсья хоча б на один tracked файл у репозиторії.
- *
- * Використовує `git ls-files` з pathspec-магiєю `:(glob)`, щоб не реалізовувати glob engine вручну
- * і не сканувати файлову систему рекурсивно.
- * @param {string} globPattern glob з workflow (наприклад "files/**" або "image-migration-new/**")
- * @param {string} cwd робочий каталог для `git`
- * @returns {boolean} true, якщо є хоча б один збіг
- */
-function gitHasAnyTrackedFileMatchingGlob(globPattern, cwd) {
-  const p = String(globPattern ?? '').trim()
-  if (!p) return false
-  if (p.startsWith('!')) return true
-  try {
-    const out = execFileSync('git', ['ls-files', '-z', '--', `:(glob)${p}`], { encoding: 'utf8', cwd })
-    return out.length > 0
-  } catch {
-    return false
-  }
-}
-
-/**
- * Чи варто перевіряти glob з `on.*.paths` на наявність збігів у репозиторії.
- *
- * У багатьох workflow (особливо лінтерах) `paths` часто містить “широкі” шаблони по розширеннях
- * (наприклад `*.vue`, `*.php`), які можуть бути відсутні в конкретному репозиторії й це ок.
- * Запит цієї перевірки — ловити посилання на неіснуючі директорії/шляхи (типово `some-dir/**`).
- * @param {string} p glob з workflow
- * @returns {boolean} true, якщо треба валідувати наявність файлів
- */
-function shouldValidateWorkflowPathsGlob(p) {
-  // Негативні патерни — лише виключають, їх існування не перевіряємо.
-  if (p.startsWith('!')) return false
-
-  // Canonical language configs можуть зʼявитися пізніше, але мають уже
-  // активувати відповідний workflow без синхронної правки CI.
-  if (OPTIONAL_CANONICAL_PATH_GLOBS.has(p)) return false
-
-  // “Розширення-фільтри” (або brace-варіанти) пропускаємо: вони можуть бути заготовками.
-  return !p.includes('*.')
-}
-
-/**
- * Перевіряє один glob з `on.<event>.paths` на наявність збігів у репо.
- * @param {string} relPath шлях workflow для повідомлень
- * @param {string} eventName назва події (push / pull_request)
- * @param {unknown} raw сирий елемент масиву paths
- * @param {(msg: string) => void} passFn pass
- * @param {(msg: string) => void} failFn fail
- * @param {string} cwd робочий каталог для `git`
- */
-function verifyOnePathsGlob(relPath, eventName, raw, passFn, failFn, cwd) {
-  const p = String(raw ?? '').trim()
-  if (!p) return
-  if (!shouldValidateWorkflowPathsGlob(p)) {
-    passFn(`${relPath}: on.${eventName}.paths glob пропущено для перевірки існування: ${JSON.stringify(p)}`)
-    return
-  }
-  if (gitHasAnyTrackedFileMatchingGlob(p, cwd)) {
-    passFn(`${relPath}: on.${eventName}.paths glob матчитсья: ${JSON.stringify(p)}`)
-  } else {
-    failFn(`${relPath}: on.${eventName}.paths glob не матчитсья ні на один файл: ${JSON.stringify(p)}`, {
-      reason: 'unmatched-paths-glob',
-      file: relPath,
-      data: { kind: 'unmatched-paths-glob', event: eventName, glob: p }
-    })
-  }
-}
-
-/**
- * Валідує `on.push.paths` / `on.pull_request.paths`: кожен позитивний glob має мати збіги в репозиторії.
- * @param {string} relPath шлях workflow для повідомлень
- * @param {Record<string, unknown>} root parsed YAML workflow
- * @param {(msg: string) => void} passFn pass
- * @param {(msg: string) => void} failFn fail
- * @param {string} cwd робочий каталог для `git`
- */
-function verifyWorkflowEventPathsGlobsExist(relPath, root, passFn, failFn, cwd) {
-  const on = getObjKey(root, 'on')
-  if (!on || typeof on !== 'object') return
-
-  /** @type {Array<[eventName: string, paths: unknown]>} */
-  const candidates = [
-    ['push', getObjKey(getObjKey(on, 'push'), 'paths')],
-    ['pull_request', getObjKey(getObjKey(on, 'pull_request'), 'paths')]
-  ]
-
-  for (const [eventName, paths] of candidates) {
-    if (!Array.isArray(paths)) continue
-    for (const raw of paths) {
-      verifyOnePathsGlob(relPath, eventName, raw, passFn, failFn, cwd)
-    }
-  }
-}
-
-const RUN_INLINE_NCURSOR_RE = /^\s*(?:-\s*)?run:\s*n-(?:cursor|rules)\s/u
-const BARE_LINE_NCURSOR_RE = /^\s+n-(?:cursor|rules)\s/u
-const WRAPPED_NCURSOR_RE = /\b(?:bunx|npx)\s+n-(?:cursor|rules)/u
-
-/**
- * Прапорить кроки, що інвокають **bare `n-rules`** (чи legacy `n-rules`, не `bunx`/`npx`): у CI-раннері
- * `n-rules` не на PATH (`node_modules/.bin` не додається), тож `run: n-rules …` падає з
- * exit 127. Канон — `bunx n-rules …` (як у npm-publish.yml). Structured fix-hint для T0.
- * @param {string} relPath posix-relative шлях workflow
- * @param {string} content сирий вміст workflow
- * @param {(msg: string, opts?: object) => void} failFn реєстрація порушення
- */
-function verifyNoBareNCursor(relPath, content, failFn) {
-  for (const [i, line] of content.split('\n').entries()) {
-    if (WRAPPED_NCURSOR_RE.test(line)) continue
-    if (!RUN_INLINE_NCURSOR_RE.test(line) && !BARE_LINE_NCURSOR_RE.test(line)) continue
-    failFn(
-      `${relPath}: \`n-rules …\` (рядок ${i + 1}) має бути \`bunx n-rules …\` — n-rules не на PATH у CI (ga.mdc)`,
-      {
-        reason: 'bare-n-rules',
-        file: relPath,
-        data: { kind: 'bare-n-rules' }
-      }
-    )
-  }
-}
-
-/**
- * Безпечний доступ до вкладеного поля (лише для обʼєктів).
- * @param {unknown} obj значення-кандидат на обʼєкт
- * @param {string} key ключ
- * @returns {unknown} значення поля або undefined
- */
-function getObjKey(obj, key) {
-  return obj && typeof obj === 'object' && !Array.isArray(obj)
-    ? /** @type {Record<string, unknown>} */ (obj)[key]
-    : undefined
-}
-
-/**
- * Перевіряє apply-workflow на наявність paths trigger.
- * @param {string} wfDir абсолютна директорія workflows
- * @param {string[]} files список файлів у директорії
- * @param {string} filename параметр filename
- * @param {string} expectedPath параметр expectedPath
- * @param {(msg: string) => void} passFn callback при успішній перевірці
- * @param {(msg: string) => void} failFn callback при помилці
- */
-async function checkApplyWorkflow(wfDir, files, filename, expectedPath, passFn, failFn) {
-  if (!files.includes(filename)) return
-  const content = await readFile(join(wfDir, filename), 'utf8')
-  const root = parseWorkflowYaml(content)
-  const ok = root ? eventPathsIncludeExact(root, 'push', expectedPath) : content.includes(expectedPath)
-  if (ok) {
-    passFn(`${filename} має правильний paths trigger`)
-  } else {
-    failFn(`${filename} не містить paths: ${expectedPath}`)
-  }
-}
-
-/**
- * Перевіряє відсутність MegaLinter у workflows та конфіг-файлах.
- * @param {string} wfDir абсолютна директорія workflows
- * @param {string[]} ymlWorkflows параметр ymlWorkflows
- * @param {string} wfDirRel відносний шлях директорії workflows для повідомлень
- * @param {string} cwd корінь репозиторію
- * @param {(msg: string) => void} passFn callback при успішній перевірці
- * @param {(msg: string) => void} failFn callback при помилці
- */
-async function checkMegalinter(wfDir, ymlWorkflows, wfDirRel, cwd, passFn, failFn) {
-  let found = false
-  for (const f of ymlWorkflows) {
-    const content = await readFile(join(wfDir, f), 'utf8')
-    if (MEGALINTER_USE_PATTERNS.some(re => re.test(content))) {
-      found = true
-      failFn(`MegaLinter у workflow ${wfDirRel}/${f} — видали інтеграцію (ga.mdc: MegaLinter)`)
-    }
-  }
-  for (const name of MEGALINTER_CONFIG_NAMES) {
-    if (!existsSync(join(cwd, name))) {
-      continue
-    }
-
-    found = true
-    failFn(`Файл ${name} — видали конфіг MegaLinter (ga.mdc: MegaLinter)`)
-  }
-  if (!found) passFn('Залишків MegaLinter не виявлено')
-}
-
-/**
- * Перевіряє наявність локального `shellcheck` у PATH. `actionlint` (`bunx github-actionlint`)
- * запускає shell-перевірки в кроках `run:` workflow тільки коли `shellcheck` доступний; інакше
- * мовчки пропускає SC-правила, через що локальний `bun lint-ga` зелений, а CI на ubuntu-latest
- * (де shellcheck передвстановлений) падає. Тому відсутність бінарника локально — `fail`.
- *
- * Кросплатформно: `resolveCmd` використовує `which`/`where` і однаково знаходить `shellcheck`
- * та `shellcheck.exe` на Windows.
- * @param {(msg: string) => void} passFn callback при успішній перевірці
- * @param {(msg: string) => void} failFn callback при помилці
- */
-export function checkShellcheckInstalled(passFn, failFn) {
-  if (resolveCmd('shellcheck')) {
-    passFn('shellcheck встановлений локально, actionlint виконуватиме SC-правила, як у CI')
-    return
-  }
-  failFn(
-    [
-      'shellcheck не знайдено в PATH — actionlint без нього мовчки пропускає shell-перевірки в run: блоках,',
-      'тому локальний `bun lint-ga` буде зелений, а CI на ubuntu-latest (де shellcheck передвстановлений) падатиме.',
-      'Встанови: macOS — `brew install shellcheck`; Debian/Ubuntu — `sudo apt-get install -y shellcheck`;',
-      'Arch — `sudo pacman -S shellcheck` (ga.mdc)'
-    ].join(' ')
-  )
-}
-
-/**
- * Перевіряє розширення workflow-файлів і наявність обов'язкових workflow.
- * @param {string} wfDirRel відносний шлях директорії workflows для повідомлень
- * @param {string[]} files список файлів у wfDir
- * @param {(msg: string) => void} pass callback при успішній перевірці
- * @param {(msg: string) => void} fail callback при помилці
- */
-function checkGaWorkflowFiles(wfDirRel, files, pass, fail) {
-  const yamlFiles = files.filter(f => f.endsWith('.yaml'))
-  if (yamlFiles.length > 0) {
-    for (const f of yamlFiles) {
-      fail(`Workflow з розширенням .yaml: ${wfDirRel}/${f} — перейменуй на .yml`)
-    }
-  } else {
-    pass('Всі workflows мають розширення .yml')
-  }
-
-  const notYmlFiles = files.filter(f => !f.endsWith('.yml'))
-  if (notYmlFiles.length > 0) {
-    for (const f of notYmlFiles) {
-      fail(`Workflow має бути з розширенням .yml: ${wfDirRel}/${f} (ga.mdc)`)
-    }
-  }
-
-  for (const f of REQUIRED_WORKFLOWS) {
-    if (files.includes(f)) {
-      pass(`${f} існує`)
-    } else {
-      fail(`Відсутній ${wfDirRel}/${f}`)
-    }
-  }
-}
-
-/**
- * Per-workflow Rego-полісі: namespace ↔ конкретний workflow-файл. Кожен пакет
- * у `npm/policy/ga/<name>/` містить правила специфічні для ОДНОГО workflow,
- * тому conftest викликаємо з `--namespace` окремо на кожен файл (інакше правила
- * чужого workflow застосуються до неправильного файла).
- * @type {Array<{ workflow: string, namespace: string, policyDirRel: string }>}
- */
-const GA_PER_WORKFLOW_REGO_TARGETS = [
-  {
-    workflow: '.github/workflows/clean-ga-workflows.yml',
-    namespace: 'ga.clean_ga_workflows',
-    policyDirRel: 'ga/clean_ga_workflows'
-  },
-  {
-    workflow: '.github/workflows/clean-merged-branch.yml',
-    namespace: 'ga.clean_merged_branch',
-    policyDirRel: 'ga/clean_merged_branch'
-  },
-  {
-    workflow: '.github/workflows/lint-ga.yml',
-    namespace: 'ga.lint_ga',
-    policyDirRel: 'ga/lint_ga'
-  },
-  {
-    workflow: '.github/workflows/git-ai.yml',
-    namespace: 'ga.git_ai',
-    policyDirRel: 'ga/git_ai'
-  }
-]
-
-/**
- * Plan B (rego-authoritative): на початку перевірки правила ga прогнати усі
- * Rego-полісі з `npm/policy/ga/`. Спочатку — per-workflow (4 окремі спавни,
- * бо кожен namespace застосовний лише до свого файла), потім один батч-спавн
- * `ga.workflow_common` на всі `.github/workflows/*.yml`. Hard-fail без
- * `conftest` у PATH — узгоджено з Plan B (див. `runConftestBatch`).
- * @param {string} wfDir абсолютний шлях до `.github/workflows`
- * @param {string[]} ymlWorkflows відносні (від `wfDir`) імена файлів `*.yml`
- * @param {string} cwd корінь репозиторію
- * @param {(msg: string) => void} pass callback при успішній перевірці
- * @param {(msg: string) => void} fail callback при помилці
- * @returns {void}
- */
-async function runAllGaRego(wfDir, ymlWorkflows, cwd, pass, fail) {
-  for (const target of GA_PER_WORKFLOW_REGO_TARGETS) {
-    const targetAbs = join(cwd, target.workflow)
-    if (!existsSync(targetAbs)) continue
-    const concernDir = join(GA_POLICY_DIR, target.policyDirRel.split('/', 2)[1])
-    const tpl = await loadTemplate(concernDir)
-    const templateData = tpl[basename(target.workflow)]
-    const violations = await runConftestBatch({
-      policyDirRel: target.policyDirRel,
-      // Правило живе у плагіні поза вбудованим rules/ ядра — резолвимо policy-теку від себе.
-      policyDirAbs: concernDir,
-      namespace: target.namespace,
-      files: [targetAbs],
-      templateData
-    })
-    for (const v of violations)
-      fail(`${target.workflow}: ${v.message}`, checkoutPersistHint(target.workflow, v.message))
-    if (violations.length === 0) {
-      pass(`${target.workflow}: відповідає ${target.namespace} (rego)`)
-    }
-  }
-
-  if (ymlWorkflows.length === 0) return
-  const wfFiles = ymlWorkflows.map(f => join(wfDir, f))
-  const workflowCommonDir = join(GA_POLICY_DIR, 'workflow_common')
-  const workflowCommonTpl = await loadTemplate(workflowCommonDir)
-  const usesMinVersionsSnippet = workflowCommonTpl['uses-min-versions']?.snippet
-  const violations = await runConftestBatch({
-    policyDirRel: 'ga/workflow_common',
-    policyDirAbs: workflowCommonDir,
-    namespace: 'ga.workflow_common',
-    files: wfFiles,
-    templateData: usesMinVersionsSnippet ? { snippet: usesMinVersionsSnippet } : undefined
-  })
-  for (const v of violations) {
-    fail(`${v.filename}: ${v.message}`, checkoutPersistHint(relative(cwd, v.filename), v.message))
-  }
-  if (violations.length === 0) {
-    pass(`${wfFiles.length} workflow(s) відповідають ga.workflow_common (rego)`)
-  }
-}
-
-/**
- * Перевіряє відповідність проєкту правилам ga.mdc.
- *
- * Plan B-патерн: пер-документна валідація workflow-структури делегована
- * Rego-полісі у `npm/policy/ga/`; виклик через `runAllGaRego` (батч-conftest)
- * — це перший крок `check()`. Далі — JS-частина (cross-file перевірки на
- * наявність файлів, `git ls-files`-залежні `on.push.paths` glob, vscode/zizmor
- * config, megalinter залишки тощо). `bun run lint-ga` додатково запускає
- * `actionlint` + `zizmor` зовнішніми тулчейнами і **викликає цю ж `check()`** —
- * тобто rego-частина живе тут, не в `lint-ga.mjs`.
- * @param {import('@7n/rules/scripts/lib/lint-surface/types.mjs').LintContext} ctx detector-контекст (cwd, ruleId, concernId)
- * @returns {Promise<import('@7n/rules/scripts/lib/lint-surface/types.mjs').LintResult>} порушення concern-а
- */
-export async function lint(ctx) {
-  const reporter = createViolationReporter(ctx)
-  const { pass, fail } = reporter
-  const cwd = ctx.cwd
-
-  // Зовнішні тули (read-only): actionlint + zizmor. 127 = тул відсутній → skip.
-  ensureTool('shellcheck')
-  ensureTool('conftest')
-  const stepOpts = { verbose: ctx.verbose === true }
-  const actionlintCode = runLintStep('actionlint', 'bunx', ['github-actionlint'], stepOpts)
-  if (actionlintCode !== 0 && actionlintCode !== 127) fail('actionlint знайшов порушення (ga.mdc)', 'actionlint')
-  if (resolveCmd('uv')) {
-    const zizmorCode = runLintStep('zizmor', 'uvx', ['zizmor', '--offline', '--collect=workflows', '.'], stepOpts)
-    if (zizmorCode !== 0 && zizmorCode !== 127) fail('zizmor знайшов ризики у workflow (ga.mdc)', 'zizmor')
-  }
-
-  const wfDirRel = '.github/workflows'
-  const wfDir = join(cwd, wfDirRel)
-  if (!existsSync(wfDir)) {
-    fail(`Директорія ${wfDirRel} не існує`)
-    return reporter.result()
-  }
-
-  const files = await readdir(wfDir)
-  const ymlWorkflows = files.filter(f => f.endsWith('.yml'))
-
-  // Rego-крок (per-workflow + workflow_common) — оркестрація ga policy sub-concern-ів.
-  await runAllGaRego(wfDir, ymlWorkflows, cwd, pass, fail)
-
-  const setupBunDepsActionRel = '.github/actions/setup-bun-deps/action.yml'
-  if (!existsSync(join(cwd, setupBunDepsActionRel))) {
-    fail(
-      `Відсутній ${setupBunDepsActionRel} — запустіть npx @7n/rules або скопіюйте з пакету (ga.mdc: composite setup-bun-deps)`
-    )
-  }
-
-  checkGaWorkflowFiles(wfDirRel, files, pass, fail)
-
-  await checkApplyWorkflow(wfDir, files, 'apply-k8s.yml', '**/k8s/**/*.yaml', pass, fail)
-  await checkApplyWorkflow(wfDir, files, 'apply-nats-consumer.yml', '**/consumer.yaml', pass, fail)
-
-  await checkMegalinter(wfDir, ymlWorkflows, wfDirRel, cwd, pass, fail)
-
-  // git-залежна перевірка `on.push.paths` glob-ів (вимагає `git ls-files`) — лишається в JS.
-  for (const f of ymlWorkflows) {
-    const content = await readFile(join(wfDir, f), 'utf8')
-    const parsed = parseWorkflowYaml(content)
-    if (parsed) verifyWorkflowEventPathsGlobsExist(`${wfDirRel}/${f}`, parsed, pass, fail, cwd)
-    verifyNoBareNCursor(`${wfDirRel}/${f}`, content, fail)
-  }
-
-  checkShellcheckInstalled(pass, fail)
-
-  return reporter.result()
-}

package/rules/rust/toolchain_cache/docs/main.md

@@ -1,45 +0,0 @@
----
-type: JS Module
-title: main.mjs
-resource: plugins/ci-github/rules/rust/toolchain_cache/main.mjs
-docgen:
-  crc: e97443b2
-  model: openai-codex/gpt-5.5
-  tier: cloud-avg
-  score: 100
-  judgeModel: openai-codex/gpt-5.4-mini
----
-
-## Огляд
-
-Файл виявляє у `.github/workflows/*.yml` job-и, де `dtolnay/rust-toolchain@stable` встановлює Rust toolchain без подальшого `Swatinem/rust-cache@v2`, щоб workflow не втрачали очікуване кешування Cargo-залежностей. Для job-ів із `tauri-apps/tauri-action` він додатково вимагає `with.workspaces` на `src-tauri/`, коли `Cargo.toml` лежить під `src-tauri/`, а не в корені репозиторію.
-
-## Поведінка
-
-`lint` запускає read-only перевірку GitHub Actions workflow-файлів. Дані з YAML-файлів передаються як текст, щоб зберегти коментарі й мінімізувати зміни формату; результатом є lint-повідомлення без власних записів у файлову систему.
-
-`scanToolchainSteps` проходить workflow-контент і знаходить кроки Rust toolchain за `TOOLCHAIN_RE`, після чого в межах того самого job-а шукає наступний cache-крок за `CACHE_RE`. Межа job-а визначається відступами, тому перевірка прив’язана до фактичної структури `steps`, а не до повного YAML-парсингу. Якщо cache-крок відсутній після встановлення toolchain, `lint` повертає порушення `MISSING_RUST_CACHE` зі значенням `"missing-rust-cache"` — job має додати `Swatinem/rust-cache@v2`.
-
-`tauriWorkspaceDir` додає проєктний контекст до текстового сканування: якщо Rust workspace розміщений у типовому Tauri-каталозі, а не в корені репозиторію, `lint` вимагає, щоб cache-крок у job-і з Tauri action мав окремо заданий workspace. За відсутності такого налаштування повертається порушення `MISSING_RUST_CACHE_WORKSPACES` зі значенням `"missing-rust-cache-workspaces"`.
-
-## Публічний API
-
-- MISSING_RUST_CACHE — Reason-код: job ставить Rust toolchain, але не має кроку `Swatinem/rust-cache@v2`.
-- MISSING_RUST_CACHE_WORKSPACES — Reason-код: кеш-крок Tauri-job-а без `with.workspaces` на каталог `src-tauri`.
-- TOOLCHAIN_RE — Рядок кроку встановлення Rust toolchain (`dtolnay/rust-toolchain@…`).
-- CACHE_RE — Рядок кроку кешування Cargo-артефактів (`Swatinem/rust-cache@…`).
-- scanToolchainSteps — Сканує вміст workflow-файла й повертає по одному запису на кожен
-`dtolnay/rust-toolchain@…` крок, з інформацією про cache-крок і tauri-action
-у тому самому job-і (обмежено indentation-dedent-ом).
-- tauriWorkspaceDir — Каталог Rust-workspace-а для `Swatinem/rust-cache` `with.workspaces`, якщо
-`Cargo.toml` не в корені репо, а під `src-tauri/` (типовий Tauri-layout).
-`undefined`, якщо корінь репо вже є workspace-коренем (окремий крок не потрібен).
-- lint — знаходить конфігурації Rust без потрібного cache для збірок і workspace, щоб CI не витрачав час на повторне завантаження залежностей.
-
-Поведінка: повідомлення маркуються як (rust.mdc), щоб порушення було прив’язане до правила Rust.
-
-Експортовані константи-рядки: MISSING_RUST_CACHE="missing-rust-cache" — позначає відсутній cache для Rust; MISSING_RUST_CACHE_WORKSPACES="missing-rust-cache-workspaces" — позначає відсутній cache для workspace-збірок Rust.
-
-## Гарантії поведінки
-
-- Власних операцій запису (ФС/БД) у файлі немає; виклики імпортованих модулів можуть писати.

package/rules/rust/toolchain_cache/main.mjs

@@ -1,181 +0,0 @@
-/**
- * @see ./docs/main.md
- *
- * Read-only detector: у кожному `.github/workflows/*.yml` кожен job, що ставить
- * Rust toolchain через `dtolnay/rust-toolchain@stable`, повинен мати
- * `Swatinem/rust-cache@v2` десь пізніше у тому самому job-і (lint, coverage,
- * Tauri release/build — незалежно від job-а чи файлу; rust.mdc). Якщо job також
- * запускає `tauri-apps/tauri-action` і Cargo.toml лежить не в корені репо, а під
- * `src-tauri/`, кеш-крок повинен мати `with.workspaces` на цей каталог.
- *
- * Текстовий (не YAML-AST) аналіз — навмисно, як `ga/workflows/main.mjs`: мінімізує
- * diff і не залежить від того, чи canonical formatter зберігає коментарі при
- * round-trip через YAML-парсер. Job-межа визначається через indentation:
- * будь-який рядок з відступом меншим за відступ dash-а кроку означає вихід
- * зі step-list-а (наступний job або кінець `jobs:`).
- */
-import { existsSync } from 'node:fs'
-import { readdir, readFile } from 'node:fs/promises'
-import { join, relative } from 'node:path'
-
-import { createViolationReporter } from '@7n/rules/scripts/lib/lint-surface/violation-reporter.mjs'
-
-/** Reason-код: job ставить Rust toolchain, але не має кроку `Swatinem/rust-cache@v2`. */
-export const MISSING_RUST_CACHE = 'missing-rust-cache'
-/** Reason-код: кеш-крок Tauri-job-а без `with.workspaces` на каталог `src-tauri`. */
-export const MISSING_RUST_CACHE_WORKSPACES = 'missing-rust-cache-workspaces'
-
-/** Рядок кроку встановлення Rust toolchain (`dtolnay/rust-toolchain@…`). */
-export const TOOLCHAIN_RE = /uses:\s*dtolnay\/rust-toolchain@/u
-/** Рядок кроку кешування Cargo-артефактів (`Swatinem/rust-cache@…`). */
-export const CACHE_RE = /uses:\s*Swatinem\/rust-cache@/u
-const TAURI_ACTION_RE = /uses:\s*tauri-apps\/tauri-action@/u
-const WORKSPACES_KEY_RE = /^\s*workspaces\s*:/u
-
-/**
- * Відступ рядка (кількість пробілів перед першим непробільним символом).
- * @param {string} line рядок файла
- * @returns {number} кількість пробілів відступу
- */
-function indentOf(line) {
-  return line.length - line.trimStart().length
-}
-
-/**
- * Дашова колонка кроку (`- uses: …`) з колонки `uses:`. Захист від негативного
- * значення для нетипового форматування (dash не на тому ж рядку).
- * @param {number} usesCol колонка підрядка `uses:`
- * @returns {number} колонка dash-а (не менше 0)
- */
-function dashColFor(usesCol) {
-  return Math.max(usesCol - 2, 0)
-}
-
-/**
- * Один запис аналізу `dtolnay/rust-toolchain` кроку в межах його job-а (обмеженого
- * indentation-dedent-ом, без явного YAML-парсу job-структури).
- * @typedef {object} ToolchainStepScan
- * @property {number} line індекс рядка кроку `dtolnay/rust-toolchain@…`
- * @property {number} dashCol колонка dash-а кроку (рівень step-list-а job-а)
- * @property {boolean} hasCache чи є `Swatinem/rust-cache@…` пізніше в тому самому job-і
- * @property {number} cacheLine індекс рядка кеш-кроку (−1, якщо відсутній)
- * @property {boolean} cacheHasWorkspaces чи кеш-крок вже має ключ `workspaces`
- * @property {boolean} jobHasTauriAction чи job також викликає `tauri-apps/tauri-action`
- */
-
-/**
- * Сканує job від рядка ОДРАЗУ ПІСЛЯ toolchain-кроку до dedent-у: шукає перший
- * `Swatinem/rust-cache@…` крок і чи job також викликає `tauri-apps/tauri-action`.
- * @param {string[]} lines усі рядки файла
- * @param {number} fromLine рядок, з якого починати сканування (i + 1)
- * @param {number} dashCol колонка dash-а step-list-а job-а (межа dedent-у)
- * @returns {{hasCache: boolean, cacheLine: number, jobHasTauriAction: boolean}} результат сканування job-а
- */
-function scanJobForCache(lines, fromLine, dashCol) {
-  let hasCache = false
-  let cacheLine = -1
-  let jobHasTauriAction = false
-  for (let j = fromLine; j < lines.length; j++) {
-    const line = lines[j]
-    if (line.trim() === '') continue
-    if (indentOf(line) < dashCol) break // dedent → вийшли зі step-list-а цього job-а
-    if (!hasCache && CACHE_RE.test(line)) {
-      hasCache = true
-      cacheLine = j
-    }
-    if (TAURI_ACTION_RE.test(line)) jobHasTauriAction = true
-  }
-  return { hasCache, cacheLine, jobHasTauriAction }
-}
-
-/**
- * Чи кеш-крок (`cacheLine`) уже має ключ `with.workspaces` у своєму блоці (до dedent-у).
- * @param {string[]} lines усі рядки файла
- * @param {number} cacheLine рядок кеш-кроку
- * @param {number} dashCol колонка dash-а step-list-а job-а (межа dedent-у)
- * @returns {boolean} true — ключ `workspaces` уже є
- */
-function cacheStepHasWorkspaces(lines, cacheLine, dashCol) {
-  for (let j = cacheLine + 1; j < lines.length; j++) {
-    const line = lines[j]
-    if (line.trim() === '') continue
-    if (indentOf(line) < dashCol) break
-    if (WORKSPACES_KEY_RE.test(line)) return true
-  }
-  return false
-}
-
-/**
- * Сканує вміст workflow-файла й повертає по одному запису на кожен
- * `dtolnay/rust-toolchain@…` крок, з інформацією про cache-крок і tauri-action
- * у тому самому job-і (обмежено indentation-dedent-ом).
- * @param {string} content вміст workflow-файла
- * @returns {ToolchainStepScan[]} записи аналізу
- */
-export function scanToolchainSteps(content) {
-  const lines = content.split('\n')
-  /** @type {ToolchainStepScan[]} */
-  const out = []
-  for (let i = 0; i < lines.length; i++) {
-    const usesCol = lines[i].indexOf('uses:')
-    if (usesCol === -1 || !TOOLCHAIN_RE.test(lines[i])) continue
-    const dashCol = dashColFor(usesCol)
-    const { hasCache, cacheLine, jobHasTauriAction } = scanJobForCache(lines, i + 1, dashCol)
-    const cacheHasWorkspaces = hasCache && cacheStepHasWorkspaces(lines, cacheLine, dashCol)
-    out.push({ line: i, dashCol, hasCache, cacheLine, cacheHasWorkspaces, jobHasTauriAction })
-  }
-  return out
-}
-
-/**
- * Каталог Rust-workspace-а для `Swatinem/rust-cache` `with.workspaces`, якщо
- * `Cargo.toml` не в корені репо, а під `src-tauri/` (типовий Tauri-layout).
- * `undefined`, якщо корінь репо вже є workspace-коренем (окремий крок не потрібен).
- * @param {string} cwd корінь проєкту
- * @returns {string|undefined} відносний шлях workspace-а або `undefined`
- */
-export function tauriWorkspaceDir(cwd) {
-  if (existsSync(join(cwd, 'Cargo.toml'))) return
-  return existsSync(join(cwd, 'src-tauri', 'Cargo.toml')) ? 'src-tauri' : undefined
-}
-
-/**
- * @param {import('@7n/rules/scripts/lib/lint-surface/types.mjs').LintContext} ctx контекст лінт-прогону
- * @returns {Promise<import('@7n/rules/scripts/lib/lint-surface/types.mjs').LintResult>} результат перевірки
- */
-export async function lint(ctx) {
-  const cwd = ctx.cwd
-  const reporter = createViolationReporter(ctx)
-  const wfDir = join(cwd, '.github', 'workflows')
-  if (!existsSync(wfDir)) return reporter.result()
-
-  const workspaceDir = tauriWorkspaceDir(cwd)
-  const entries = await readdir(wfDir)
-  const workflowFiles = entries.filter(f => f.endsWith('.yml') || f.endsWith('.yaml'))
-
-  for (const name of workflowFiles) {
-    const abs = join(wfDir, name)
-    const rel = relative(cwd, abs)
-    const content = await readFile(abs, 'utf8')
-    for (const step of scanToolchainSteps(content)) {
-      if (!step.hasCache) {
-        reporter.fail(
-          `${rel}: job зі \`dtolnay/rust-toolchain@stable\` потребує \`Swatinem/rust-cache@v2\` одразу після (rust.mdc)`,
-          { reason: MISSING_RUST_CACHE, file: rel, data: { kind: MISSING_RUST_CACHE } }
-        )
-        continue
-      }
-      if (workspaceDir && step.jobHasTauriAction && !step.cacheHasWorkspaces) {
-        reporter.fail(
-          `${rel}: Swatinem/rust-cache@v2 у Tauri-job-і потребує \`with.workspaces: ${workspaceDir}\` (rust.mdc)`,
-          {
-            reason: MISSING_RUST_CACHE_WORKSPACES,
-            file: rel,
-            data: { kind: MISSING_RUST_CACHE_WORKSPACES, workspaceDir }
-          }
-        )
-      }
-    }
-  }
-  return reporter.result()
-}