@7n/rules-ci-github 2.4.5 → 2.4.6

package/CHANGELOG.md

@@ -1,5 +1,11 @@
 # Changelog
 
+## [2.4.6] - 2026-08-29
+
+### Fixed
+
+- `ga/lint_ga`: `.github/workflows/lint-ga.yml` із джобою, названою НЕ `lint-ga`, більше не дає у wasm-порті (`crates/plugin-ci-github`) одну діагностику `rego-engine-error` замість набору deny. Причина — дві розбіжності `regorus` vs OPA на UNDEFINED-значеннях: shorthand-голова `job_uses_set contains job.steps[_].uses` (і та сама форма в `job_run_blob`) на undefined корені `jobs["lint-ga"]` кидала помилку `eval` замість того щоб дати undefined — переписано в longhand; а `not helper(gha_on.push.branches, …)` з undefined-аргументом у `regorus` давало `not undefined == true` (три зайві deny, коли гілки `on:` немає) — тепер значення звʼязується окремим позитивним виразом. Канон `conftest` НЕ змінився: вихід порту звірено з живим `conftest test` на 11 фікстурах біт-у-біт, набір deny пінить `lint_ga_test.rego` (`test_deny_missing_job`, `test_missing_on_hook_denies_only_pr_paths`) (§2.81)
+
 ## [2.4.5] - 2026-08-29
 
 ### Changed

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@7n/rules-ci-github",
-  "version": "2.4.5",
+  "version": "2.4.6",
   "description": "Плагін @7n/rules: канон GitHub Actions (.github/workflows) — обов'язкові workflow, zizmor, VS Code",
   "keywords": [
     "github-actions",

package/rules/ga/lint_ga/lint_ga.rego

@@ -14,10 +14,20 @@ gha_on := object.get(input, "on", object.get(input, "true", {}))
 
 job := input.jobs["lint-ga"]
 
-job_uses_set contains job.steps[_].uses
-
-job_run_blob := concat("\n", [run |
-	run := job.steps[_].run
+# LONGHAND-форма (`some step in job.steps`), а НЕ shorthand
+# `job_uses_set contains job.steps[_].uses` / `run := job.steps[_].run`:
+# під regorus (wasm-порт `crates/plugin-ci-github`) shorthand кидає помилку
+# eval («item cannot be indexed»), коли `job` undefined — тобто саме тоді,
+# коли `jobs["lint-ga"]` відсутній, — замість того щоб дати undefined і
+# пропустити керування канонічній deny «jobs.lint-ga відсутній».
+# Longhand під regorus дає ТУ САМУ семантику, що й OPA/conftest.
+job_uses_set contains u if {
+	some step in job.steps
+	u := step.uses
+}
+
+job_run_blob := concat("\n", [step.run |
+	some step in job.steps
 ])
 
 expected_name := data.template.snippet.name
@@ -46,9 +56,9 @@ expected_uses_set contains u if {
 # Opt-in для runner-образу, у якому вже є uv та conftest. Мітка runner
 # залишається `ubuntu-latest` для сумісності, але workflow явно декларує
 # джерело tooling, щоб policy не приховувала залежність від custom image.
-preinstalled_ci_tools if object.get(object.get(job, "env", {}), "NITRA_CI_TOOLS", false) == true
+preinstalled_ci_tools if job.env.NITRA_CI_TOOLS == true
 
-preinstalled_ci_tools if object.get(object.get(job, "env", {}), "NITRA_CI_TOOLS", "false") == "true"
+preinstalled_ci_tools if job.env.NITRA_CI_TOOLS == "true"
 
 required_uses_set contains u if {
 	not preinstalled_ci_tools
@@ -70,23 +80,35 @@ expected_run_blob := concat("\n", [r |
 
 # ── deny rules ─────────────────────────────────────────────────────────────
 
+# Три deny нижче спершу ЗВʼЯЗУЮТЬ `actual := gha_on.<hook>.<key>` окремим
+# позитивним виразом, а вже потім негують helper. Це не косметика: у формі
+# `not helper(gha_on.push.branches, …)` undefined-аргумент (гілки `on:` немає)
+# в OPA робить УВЕСЬ вираз undefined (deny мовчить), а в regorus дає
+# `not undefined` == true (deny спрацьовує) — розбіжність порту. Позитивне
+# звʼязування падає однаково в обох двигунах, тож канон і порт збігаються.
+# (`actual_pr_paths` навмисно інший: `object.get(…, [])` — там канон САМЕ
+# СИГНАЛИТЬ про відсутній ключ.)
+
 deny contains msg if {
 	input.name != expected_name
 	msg := sprintf("lint-ga.yml: name має бути \"%v\" (ga.mdc)", [expected_name])
 }
 
 deny contains msg if {
-	not branches_superset_of(gha_on.push.branches, expected_push_branches)
+	actual := gha_on.push.branches
+	not branches_superset_of(actual, expected_push_branches)
 	msg := "lint-ga.yml: on.push.branches має містити dev і main (ga.mdc)"
 }
 
 deny contains msg if {
-	not branches_superset_of(gha_on.pull_request.branches, expected_pr_branches)
+	actual := gha_on.pull_request.branches
+	not branches_superset_of(actual, expected_pr_branches)
 	msg := "lint-ga.yml: on.pull_request.branches має містити dev і main (ga.mdc)"
 }
 
 deny contains msg if {
-	not paths_superset_of(gha_on.push.paths, expected_push_paths)
+	actual := gha_on.push.paths
+	not paths_superset_of(actual, expected_push_paths)
 	msg := "lint-ga.yml: on.push.paths має містити .github/actions/** і .github/workflows/** (ga.mdc)"
 }