@7n/rules-ci-github 2.4.5 → 2.4.7

package/CHANGELOG.md

@@ -1,5 +1,21 @@
 # Changelog
 
+## [2.4.7] - 2026-08-29
+
+### Changed
+
+- `ensure_step_uses_key_present` прибрано цілком — після longhand-правок `lint_ga.rego` (#563) і `lint_text.rego` (#565) жоден вшитий `.rego` не читає `step.uses` незахищеним прямим доступом, тож обхід regorus-бага на боці Rust став мертвим кодом
+
+### Fixed
+
+- text/lint_text: `.rego` переписано на longhand-форму `job_uses_set` і позитивне звʼязування актуальних значень перед `not` — workflow без джоби `text` більше не валить пакет у `rego-engine-error`, а віддає канонічний набір `policy-deny`
+
+## [2.4.6] - 2026-08-29
+
+### Fixed
+
+- `ga/lint_ga`: `.github/workflows/lint-ga.yml` із джобою, названою НЕ `lint-ga`, більше не дає у wasm-порті (`crates/plugin-ci-github`) одну діагностику `rego-engine-error` замість набору deny. Причина — дві розбіжності `regorus` vs OPA на UNDEFINED-значеннях: shorthand-голова `job_uses_set contains job.steps[_].uses` (і та сама форма в `job_run_blob`) на undefined корені `jobs["lint-ga"]` кидала помилку `eval` замість того щоб дати undefined — переписано в longhand; а `not helper(gha_on.push.branches, …)` з undefined-аргументом у `regorus` давало `not undefined == true` (три зайві deny, коли гілки `on:` немає) — тепер значення звʼязується окремим позитивним виразом. Канон `conftest` НЕ змінився: вихід порту звірено з живим `conftest test` на 11 фікстурах біт-у-біт, набір deny пінить `lint_ga_test.rego` (`test_deny_missing_job`, `test_missing_on_hook_denies_only_pr_paths`) (§2.81)
+
 ## [2.4.5] - 2026-08-29
 
 ### Changed

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@7n/rules-ci-github",
-  "version": "2.4.5",
+  "version": "2.4.7",
   "description": "Плагін @7n/rules: канон GitHub Actions (.github/workflows) — обов'язкові workflow, zizmor, VS Code",
   "keywords": [
     "github-actions",

package/rules/ga/lint_ga/lint_ga.rego

@@ -14,10 +14,20 @@ gha_on := object.get(input, "on", object.get(input, "true", {}))
 
 job := input.jobs["lint-ga"]
 
-job_uses_set contains job.steps[_].uses
-
-job_run_blob := concat("\n", [run |
-	run := job.steps[_].run
+# LONGHAND-форма (`some step in job.steps`), а НЕ shorthand
+# `job_uses_set contains job.steps[_].uses` / `run := job.steps[_].run`:
+# під regorus (wasm-порт `crates/plugin-ci-github`) shorthand кидає помилку
+# eval («item cannot be indexed»), коли `job` undefined — тобто саме тоді,
+# коли `jobs["lint-ga"]` відсутній, — замість того щоб дати undefined і
+# пропустити керування канонічній deny «jobs.lint-ga відсутній».
+# Longhand під regorus дає ТУ САМУ семантику, що й OPA/conftest.
+job_uses_set contains u if {
+	some step in job.steps
+	u := step.uses
+}
+
+job_run_blob := concat("\n", [step.run |
+	some step in job.steps
 ])
 
 expected_name := data.template.snippet.name
@@ -46,9 +56,9 @@ expected_uses_set contains u if {
 # Opt-in для runner-образу, у якому вже є uv та conftest. Мітка runner
 # залишається `ubuntu-latest` для сумісності, але workflow явно декларує
 # джерело tooling, щоб policy не приховувала залежність від custom image.
-preinstalled_ci_tools if object.get(object.get(job, "env", {}), "NITRA_CI_TOOLS", false) == true
+preinstalled_ci_tools if job.env.NITRA_CI_TOOLS == true
 
-preinstalled_ci_tools if object.get(object.get(job, "env", {}), "NITRA_CI_TOOLS", "false") == "true"
+preinstalled_ci_tools if job.env.NITRA_CI_TOOLS == "true"
 
 required_uses_set contains u if {
 	not preinstalled_ci_tools
@@ -70,23 +80,35 @@ expected_run_blob := concat("\n", [r |
 
 # ── deny rules ─────────────────────────────────────────────────────────────
 
+# Три deny нижче спершу ЗВʼЯЗУЮТЬ `actual := gha_on.<hook>.<key>` окремим
+# позитивним виразом, а вже потім негують helper. Це не косметика: у формі
+# `not helper(gha_on.push.branches, …)` undefined-аргумент (гілки `on:` немає)
+# в OPA робить УВЕСЬ вираз undefined (deny мовчить), а в regorus дає
+# `not undefined` == true (deny спрацьовує) — розбіжність порту. Позитивне
+# звʼязування падає однаково в обох двигунах, тож канон і порт збігаються.
+# (`actual_pr_paths` навмисно інший: `object.get(…, [])` — там канон САМЕ
+# СИГНАЛИТЬ про відсутній ключ.)
+
 deny contains msg if {
 	input.name != expected_name
 	msg := sprintf("lint-ga.yml: name має бути \"%v\" (ga.mdc)", [expected_name])
 }
 
 deny contains msg if {
-	not branches_superset_of(gha_on.push.branches, expected_push_branches)
+	actual := gha_on.push.branches
+	not branches_superset_of(actual, expected_push_branches)
 	msg := "lint-ga.yml: on.push.branches має містити dev і main (ga.mdc)"
 }
 
 deny contains msg if {
-	not branches_superset_of(gha_on.pull_request.branches, expected_pr_branches)
+	actual := gha_on.pull_request.branches
+	not branches_superset_of(actual, expected_pr_branches)
 	msg := "lint-ga.yml: on.pull_request.branches має містити dev і main (ga.mdc)"
 }
 
 deny contains msg if {
-	not paths_superset_of(gha_on.push.paths, expected_push_paths)
+	actual := gha_on.push.paths
+	not paths_superset_of(actual, expected_push_paths)
 	msg := "lint-ga.yml: on.push.paths має містити .github/actions/** і .github/workflows/** (ga.mdc)"
 }
 

package/rules/text/lint_text/lint_text.rego

@@ -29,10 +29,19 @@ gha_on := object.get(input, "on", object.get(input, "true", {}))
 
 job := input.jobs.text
 
-job_uses_set contains job.steps[_].uses
+# LONGHAND, а не shorthand `job_uses_set contains job.steps[_].uses`:
+# shorthand-форма падає під regorus з «item cannot be indexed», коли `job`
+# undefined (у workflow немає джоби `text`) або коли крок не має `uses:` —
+# замість канонічного набору `deny` порт віддавав одну `rego-engine-error`.
+# Під OPA обидві форми еквівалентні; longhand — спільний знаменник.
+job_uses_set contains u if {
+	some step in job.steps
+	u := step.uses
+}
 
-job_run_blob := concat("\n", [run |
-	run := job.steps[_].run
+job_run_blob := concat("\n", [object.get(step, "run", "") |
+	some step in job.steps
+	object.get(step, "run", "") != ""
 ])
 
 expected_uses_set contains u if {
@@ -41,10 +50,9 @@ expected_uses_set contains u if {
 	u != ""
 }
 
-expected_run_substrings contains r if {
+expected_run_substrings contains object.get(step, "run", "") if {
 	some step in data.template.snippet.jobs.text.steps
-	r := object.get(step, "run", "")
-	r != ""
+	object.get(step, "run", "") != ""
 }
 
 deny contains msg if {
@@ -52,18 +60,25 @@ deny contains msg if {
 	msg := sprintf("lint-text.yml: name має бути \"%v\" (text.mdc)", [expected_name])
 }
 
+# Актуальне значення звʼязується ОКРЕМИМ позитивним виразом перед `not`:
+# при undefined-аргументі regorus рахує `not helper(undefined, …)` істиною
+# (зайвий deny), тоді як OPA лишає весь body undefined і deny мовчить.
+# Звʼязування вирівнює обидва рушії на OPA-семантиці.
 deny contains msg if {
-	not branches_superset_of(gha_on.push.branches, expected_push_branches)
+	actual_push_branches := gha_on.push.branches
+	not branches_superset_of(actual_push_branches, expected_push_branches)
 	msg := "lint-text.yml: on.push.branches має містити dev і main (text.mdc)"
 }
 
 deny contains msg if {
-	not branches_superset_of(gha_on.pull_request.branches, expected_pr_branches)
+	actual_pr_branches := gha_on.pull_request.branches
+	not branches_superset_of(actual_pr_branches, expected_pr_branches)
 	msg := "lint-text.yml: on.pull_request.branches має містити dev і main (text.mdc)"
 }
 
 deny contains msg if {
-	not paths_superset_of(gha_on.push.paths, expected_push_paths)
+	actual_push_paths := gha_on.push.paths
+	not paths_superset_of(actual_push_paths, expected_push_paths)
 	msg := "lint-text.yml: on.push.paths має містити очікувані glob-и (text.mdc)"
 }