@7n/rules-ci-github 2.4.6 → 2.5.0

package/CHANGELOG.md

@@ -1,5 +1,29 @@
 # Changelog
 
+## [2.5.0] - 2026-08-29
+
+### Removed
+
+- Знято сімнадцять JS-канонів T0-фікса — усі `rules/*/*/fix-<concern>.mjs`, чий фікс уже живе у wasm-гості `crates/plugin-ci-github`: `abie/clean_merged_ignore_branches`, `docker/lint_docker_yml`, `ga/clean_ga_workflows`, `ga/clean_merged_branch`, `ga/git_ai`, `ga/lint_ga`, `ga/lint_repo_yml`, `ga/vscode_extensions`, `ga/vscode_settings`, `ga/workflows`, `ga/zizmor_yml`, `k8s/lint_k8s_yml`, `npm-module/npm_publish_yml`, `rust/toolchain_cache`, `security/lint_security_yml`, `style/lint_style_yml`, `text/lint_text`. Разом із ними — їхні теки `docs/` і чотирнадцять характеризаційних тест-файлів. Гість відтоді ЄДИНА реалізація фіксу цих концернів, а не пріоритетна з JS-fallback-ом.
+
+Спостережувана поведінка `--fix` не змінилась: гість і доти мав пріоритет (`T0Pattern.guestFix`). Джерела концернів — `.rego`, `concern.json`, `template/**`, `.mdc` — НЕ чіпані: їх гість вшиває `include_str!`-ом, і detect-парність лишається живою.
+
+Практичний наслідок, який варто знати: fallback-у більше немає. Якщо wasm-компонент `ci-github` у консюмері не резолвиться (плагін не зібрано, розбіжність піна, хост без wasm), концерн деградує з «автофікс» у «порушення показано, концерн пішов у LLM-ладдер» — раніше цей випадок гасив JS-канон.
+
+`ga/service_deploy_workflow` і `ci_artifact/consume` СВІДОМО лишились на JS (§2.81: їхні фікси потребують графа ввімкнених правил, каналу до якого гість не має).
+
+Деталі й зразок — §2.90 / §2.88 `docs/plans/2026-08-05-open-questions-register.md`.
+
+## [2.4.7] - 2026-08-29
+
+### Changed
+
+- `ensure_step_uses_key_present` прибрано цілком — після longhand-правок `lint_ga.rego` (#563) і `lint_text.rego` (#565) жоден вшитий `.rego` не читає `step.uses` незахищеним прямим доступом, тож обхід regorus-бага на боці Rust став мертвим кодом
+
+### Fixed
+
+- text/lint_text: `.rego` переписано на longhand-форму `job_uses_set` і позитивне звʼязування актуальних значень перед `not` — workflow без джоби `text` більше не валить пакет у `rego-engine-error`, а віддає канонічний набір `policy-deny`
+
 ## [2.4.6] - 2026-08-29
 
 ### Fixed

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@7n/rules-ci-github",
-  "version": "2.4.6",
+  "version": "2.5.0",
   "description": "Плагін @7n/rules: канон GitHub Actions (.github/workflows) — обов'язкові workflow, zizmor, VS Code",
   "keywords": [
     "github-actions",

package/rules/rust/toolchain_cache/toolchain_cache.mdc

@@ -18,6 +18,6 @@ lint-workflow, цей — universal per-job перевірка для решти
 корені репо, а під `<ws>/src-tauri/` (типовий Tauri-layout) — крок
 `Swatinem/rust-cache@v2` має мати `with.workspaces: <ws>/src-tauri`.
 
-Автофікс (`fix-toolchain_cache.mjs`, T0, `fixability: config`) вставляє відсутній
+Автофікс (wasm-гість `crates/plugin-ci-github`, T0, `fixability: config`) вставляє відсутній
 крок одразу після `dtolnay/rust-toolchain@…` (і `with.workspaces`, де потрібно)
 текстовим splice-ом — зберігає формат/коментарі, ідемпотентно.

package/rules/text/lint_text/lint_text.rego

@@ -29,10 +29,19 @@ gha_on := object.get(input, "on", object.get(input, "true", {}))
 
 job := input.jobs.text
 
-job_uses_set contains job.steps[_].uses
+# LONGHAND, а не shorthand `job_uses_set contains job.steps[_].uses`:
+# shorthand-форма падає під regorus з «item cannot be indexed», коли `job`
+# undefined (у workflow немає джоби `text`) або коли крок не має `uses:` —
+# замість канонічного набору `deny` порт віддавав одну `rego-engine-error`.
+# Під OPA обидві форми еквівалентні; longhand — спільний знаменник.
+job_uses_set contains u if {
+	some step in job.steps
+	u := step.uses
+}
 
-job_run_blob := concat("\n", [run |
-	run := job.steps[_].run
+job_run_blob := concat("\n", [object.get(step, "run", "") |
+	some step in job.steps
+	object.get(step, "run", "") != ""
 ])
 
 expected_uses_set contains u if {
@@ -41,10 +50,9 @@ expected_uses_set contains u if {
 	u != ""
 }
 
-expected_run_substrings contains r if {
+expected_run_substrings contains object.get(step, "run", "") if {
 	some step in data.template.snippet.jobs.text.steps
-	r := object.get(step, "run", "")
-	r != ""
+	object.get(step, "run", "") != ""
 }
 
 deny contains msg if {
@@ -52,18 +60,25 @@ deny contains msg if {
 	msg := sprintf("lint-text.yml: name має бути \"%v\" (text.mdc)", [expected_name])
 }
 
+# Актуальне значення звʼязується ОКРЕМИМ позитивним виразом перед `not`:
+# при undefined-аргументі regorus рахує `not helper(undefined, …)` істиною
+# (зайвий deny), тоді як OPA лишає весь body undefined і deny мовчить.
+# Звʼязування вирівнює обидва рушії на OPA-семантиці.
 deny contains msg if {
-	not branches_superset_of(gha_on.push.branches, expected_push_branches)
+	actual_push_branches := gha_on.push.branches
+	not branches_superset_of(actual_push_branches, expected_push_branches)
 	msg := "lint-text.yml: on.push.branches має містити dev і main (text.mdc)"
 }
 
 deny contains msg if {
-	not branches_superset_of(gha_on.pull_request.branches, expected_pr_branches)
+	actual_pr_branches := gha_on.pull_request.branches
+	not branches_superset_of(actual_pr_branches, expected_pr_branches)
 	msg := "lint-text.yml: on.pull_request.branches має містити dev і main (text.mdc)"
 }
 
 deny contains msg if {
-	not paths_superset_of(gha_on.push.paths, expected_push_paths)
+	actual_push_paths := gha_on.push.paths
+	not paths_superset_of(actual_push_paths, expected_push_paths)
 	msg := "lint-text.yml: on.push.paths має містити очікувані glob-и (text.mdc)"
 }
 

package/rules/abie/clean_merged_ignore_branches/docs/fix-clean_merged_ignore_branches.md

@@ -1,35 +0,0 @@
----
-type: JS Module
-title: fix-clean_merged_ignore_branches.mjs
-resource: plugins/ci-github/rules/abie/clean_merged_ignore_branches/fix-clean_merged_ignore_branches.mjs
-docgen:
-  crc: 4adccad6
-  model: openai-codex/gpt-5.4-mini
-  tier: cloud-min
-  score: 100
-  issues: judge-refine:kept-original,judge:inaccurate:0.97
-  judgeModel: openai-codex/gpt-5.4-mini
----
-
-## Огляд
-
-Нормалізує workflow чистки злитих гілок до канонічного шаблону концерну, щоб для `.github/workflows/clean-merged-branch.yml` у consumer-репо завжди використовувався один і той самий стандарт. Публічний контракт файлу — `patterns`, а `.github` і `.git` свідомо не зачіпаються.
-
-## Поведінка
-
-1. `patterns` задає один канонічний сценарій приведення workflow чистки злитих гілок у відповідність до шаблону концерну для `.github/workflows/clean-merged-branch.yml`.
-2. Якщо цільовий файл уже існує, зберігаються всі позатимплейтні ключі та коментарі, а канонічні значення шаблону мають пріоритет у своїй області.
-3. Якщо цільового файла немає, він створюється з канонічного snippet-а.
-4. Обробка свідомо обходить `.github` і `.git`, щоб не торкатися службових шляхів поза очікуваним контуром змін.
-
-## Публічний API
-
-- patterns — Один детермінований патерн: deep-merge канонічного snippet-а концерну в
-`.github/workflows/clean-merged-branch.yml` консюмер-репо — відсутні ключі
-додаються, канонічні значення мають пріоритет, коментарі й ключі поза
-шаблоном не чіпаються; якщо файлу немає — створюється зі snippet-а.
-
-## Гарантії поведінки
-
-- Власних операцій запису (ФС/БД) у файлі немає; виклики імпортованих модулів можуть писати.
-- Свідомо пропускає шляхи: `.github`, `.git`.

package/rules/abie/clean_merged_ignore_branches/docs/index.md

@@ -1,9 +0,0 @@
----
-type: Directory Index
-title: plugins/ci-github/rules/abie/clean_merged_ignore_branches
-resource: plugins/ci-github/rules/abie/clean_merged_ignore_branches/
----
-
-| Файл                                                                        | Тип       |
-| --------------------------------------------------------------------------- | --------- |
-| [fix-clean_merged_ignore_branches.mjs](fix-clean_merged_ignore_branches.md) | JS Module |

package/rules/abie/clean_merged_ignore_branches/fix-clean_merged_ignore_branches.mjs

@@ -1,18 +0,0 @@
-/**
- * T0-фікс концерну clean_merged_ignore_branches: приводить workflow чистки
- * злитих гілок у консюмер-репо до канонічного шаблону концерну.
- */
-import { createTemplateFixPattern } from '@7n/rules/scripts/lib/fix/template-deep-merge.mjs'
-
-/**
- * Один детермінований патерн: deep-merge канонічного snippet-а концерну в
- * `.github/workflows/clean-merged-branch.yml` консюмер-репо — відсутні ключі
- * додаються, канонічні значення мають пріоритет, коментарі й ключі поза
- * шаблоном не чіпаються; якщо файлу немає — створюється зі snippet-а.
- */
-export const patterns = [
-  createTemplateFixPattern({
-    id: 'abie-clean_merged_ignore_branches-template',
-    targetPath: '.github/workflows/clean-merged-branch.yml'
-  })
-]

package/rules/docker/lint_docker_yml/docs/fix-lint_docker_yml.md

@@ -1,33 +0,0 @@
----
-type: JS Module
-title: fix-lint_docker_yml.mjs
-resource: plugins/ci-github/rules/docker/lint_docker_yml/fix-lint_docker_yml.mjs
-docgen:
-  crc: 229cd1e2
-  model: openai-codex/gpt-5.5
-  tier: cloud-avg
-  score: 100
-  judgeModel: openai-codex/gpt-5.4-mini
----
-
-## Огляд
-
-Файл задає patterns для приведення CI-workflow docker-лінту в консюмер-репозиторіях до канонічного шаблону концерну. Він існує, щоб уніфікувати перевірку docker-домену без ручного узгодження шаблону.
-
-## Поведінка
-
-1. `patterns` визначає єдиний детермінований сценарій виправлення для CI-workflow лінту docker-домену в консюмер-репо.
-2. Сценарій забезпечує наявність канонічного workflow для docker-лінту: якщо файл відсутній, він має бути створений зі стандартного шаблону концерну.
-3. Якщо workflow уже існує, сценарій приводить його до канонічного стану через пріоритет значень шаблону, зберігаючи сторонні ключі й коментарі поза шаблонною частиною.
-4. Поведінка потрібна, щоб усі консюмер-репозиторії мали однаковий базовий CI-контроль docker-домену без ручного копіювання шаблону.
-
-## Публічний API
-
-- patterns — Один детермінований патерн: deep-merge канонічного snippet-а концерну в
-`.github/workflows/lint-docker.yml` консюмер-репо — відсутні ключі додаються,
-канонічні значення мають пріоритет, коментарі й ключі поза шаблоном не
-чіпаються; якщо файлу немає — створюється зі snippet-а.
-
-## Гарантії поведінки
-
-- Сценарій зберігає коментарі й ключі поза шаблонною частиною наявного workflow.

package/rules/docker/lint_docker_yml/docs/index.md

@@ -1,9 +0,0 @@
----
-type: Directory Index
-title: plugins/ci-github/rules/docker/lint_docker_yml
-resource: plugins/ci-github/rules/docker/lint_docker_yml/
----
-
-| Файл                                              | Тип       |
-| ------------------------------------------------- | --------- |
-| [fix-lint_docker_yml.mjs](fix-lint_docker_yml.md) | JS Module |

package/rules/docker/lint_docker_yml/fix-lint_docker_yml.mjs

@@ -1,15 +0,0 @@
-/**
- * T0-фікс концерну lint_docker_yml: приводить CI-workflow лінту docker-домену
- * у консюмер-репо до канонічного шаблону концерну.
- */
-import { createTemplateFixPattern } from '@7n/rules/scripts/lib/fix/template-deep-merge.mjs'
-
-/**
- * Один детермінований патерн: deep-merge канонічного snippet-а концерну в
- * `.github/workflows/lint-docker.yml` консюмер-репо — відсутні ключі додаються,
- * канонічні значення мають пріоритет, коментарі й ключі поза шаблоном не
- * чіпаються; якщо файлу немає — створюється зі snippet-а.
- */
-export const patterns = [
-  createTemplateFixPattern({ id: 'docker-lint_docker_yml-template', targetPath: '.github/workflows/lint-docker.yml' })
-]

package/rules/ga/clean_ga_workflows/docs/fix-clean_ga_workflows.md

@@ -1,33 +0,0 @@
----
-type: JS Module
-title: fix-clean_ga_workflows.mjs
-resource: plugins/ci-github/rules/ga/clean_ga_workflows/fix-clean_ga_workflows.mjs
-docgen:
-  crc: e10fb666
-  model: openai-codex/gpt-5.5
-  tier: cloud-avg
-  score: 100
-  judgeModel: openai-codex/gpt-5.4-mini
----
-
-## Огляд
-
-Файл описує канонічне виправлення workflow `.github/workflows/clean-ga-workflows.yml` для консюмер-репозиторіїв за шаблоном концерну `clean_ga_workflows`. Він потрібен, щоб визначити обовʼязковий сценарій очищення застарілих GitHub Actions workflow-ів.
-
-Публічна точка входу — `patterns`.
-
-## Поведінка
-
-1. `patterns` задає єдиний канонічний сценарій виправлення для workflow очищення застарілих GitHub Actions workflow-ів у консюмер-репозиторії.
-2. Сценарій приводить файл `.github/workflows/clean-ga-workflows.yml` до шаблону концерну `clean_ga_workflows`: додає відсутні обовʼязкові частини та надає пріоритет канонічним значенням.
-3. Якщо цільового workflow ще немає, сценарій забезпечує його створення з канонічного шаблону.
-4. Наявні коментарі та додаткові ключі поза шаблоном зберігаються, щоб не втрачати локальний контекст репозиторію.
-
-## Публічний API
-
-- patterns — Один детермінований патерн: deep-merge канонічного snippet-а концерну в
-`.github/workflows/clean-ga-workflows.yml` консюмер-репо — відсутні ключі
-додаються, канонічні значення мають пріоритет, коментарі й ключі поза
-шаблоном не чіпаються; якщо файлу немає — створюється зі snippet-а.
-
-## Гарантії поведінки

package/rules/ga/clean_ga_workflows/docs/index.md

@@ -1,9 +0,0 @@
----
-type: Directory Index
-title: plugins/ci-github/rules/ga/clean_ga_workflows
-resource: plugins/ci-github/rules/ga/clean_ga_workflows/
----
-
-| Файл                                                    | Тип       |
-| ------------------------------------------------------- | --------- |
-| [fix-clean_ga_workflows.mjs](fix-clean_ga_workflows.md) | JS Module |

package/rules/ga/clean_ga_workflows/fix-clean_ga_workflows.mjs

@@ -1,18 +0,0 @@
-/**
- * T0-фікс концерну clean_ga_workflows: приводить workflow чистки застарілих
- * GitHub Actions workflow-ів у консюмер-репо до канонічного шаблону концерну.
- */
-import { createTemplateFixPattern } from '@7n/rules/scripts/lib/fix/template-deep-merge.mjs'
-
-/**
- * Один детермінований патерн: deep-merge канонічного snippet-а концерну в
- * `.github/workflows/clean-ga-workflows.yml` консюмер-репо — відсутні ключі
- * додаються, канонічні значення мають пріоритет, коментарі й ключі поза
- * шаблоном не чіпаються; якщо файлу немає — створюється зі snippet-а.
- */
-export const patterns = [
-  createTemplateFixPattern({
-    id: 'ga-clean_ga_workflows-template',
-    targetPath: '.github/workflows/clean-ga-workflows.yml'
-  })
-]

package/rules/ga/clean_merged_branch/docs/fix-clean_merged_branch.md

@@ -1,36 +0,0 @@
----
-type: JS Module
-title: fix-clean_merged_branch.mjs
-resource: plugins/ci-github/rules/ga/clean_merged_branch/fix-clean_merged_branch.mjs
-docgen:
-  crc: b4fbbbfb
-  model: openai-codex/gpt-5.4-mini
-  tier: cloud-min
-  score: 100
-  issues: judge-refine:kept-original,judge:inaccurate:0.98
-  judgeModel: openai-codex/gpt-5.4-mini
----
-
-## Огляд
-
-`patterns` нормалізує workflow автоматичного видалення злитих гілок у `consumer`-репо до канонічного шаблону концерну: фіксує цільовий `clean_merged_branch` для `.github/workflows/clean-merged-branch.yml`, щоб цей сценарій відповідав спільним правилам для таких файлів. Для узгодження з контрактом файлу враховує лише релевантний контекст і свідомо не зачіпає шляхи `.github` та `.git` поза цим workflow.
-
-## Поведінка
-
-1. `patterns` задає один канонічний сценарій вирівнювання workflow для автоматичного видалення злитих гілок у консюмер-репо.
-2. Сценарій спрямований на `.github/workflows/clean-merged-branch.yml` і приводить його до шаблону концерну.
-3. Якщо цільовий файл уже існує, зберігає локальні відхилення поза шаблоном, але оновлює відсутні частини та надає пріоритет канонічним значенням.
-4. Якщо цільового файлу немає, створює його з канонічного snippet-а.
-5. Не зачіпає свідомо пропущені шляхи `.github` і `.git` поза цільовим workflow-контекстом.
-
-## Публічний API
-
-- patterns — Один детермінований патерн: deep-merge канонічного snippet-а концерну в
-`.github/workflows/clean-merged-branch.yml` консюмер-репо — відсутні ключі
-додаються, канонічні значення мають пріоритет, коментарі й ключі поза
-шаблоном не чіпаються; якщо файлу немає — створюється зі snippet-а.
-
-## Гарантії поведінки
-
-- Власних операцій запису (ФС/БД) у файлі немає; виклики імпортованих модулів можуть писати.
-- Свідомо пропускає шляхи: `.github`, `.git`.

package/rules/ga/clean_merged_branch/docs/index.md

@@ -1,9 +0,0 @@
----
-type: Directory Index
-title: plugins/ci-github/rules/ga/clean_merged_branch
-resource: plugins/ci-github/rules/ga/clean_merged_branch/
----
-
-| Файл                                                      | Тип       |
-| --------------------------------------------------------- | --------- |
-| [fix-clean_merged_branch.mjs](fix-clean_merged_branch.md) | JS Module |

package/rules/ga/clean_merged_branch/fix-clean_merged_branch.mjs

@@ -1,18 +0,0 @@
-/**
- * T0-фікс концерну clean_merged_branch: приводить workflow автоматичного
- * видалення злитих гілок у консюмер-репо до канонічного шаблону концерну.
- */
-import { createTemplateFixPattern } from '@7n/rules/scripts/lib/fix/template-deep-merge.mjs'
-
-/**
- * Один детермінований патерн: deep-merge канонічного snippet-а концерну в
- * `.github/workflows/clean-merged-branch.yml` консюмер-репо — відсутні ключі
- * додаються, канонічні значення мають пріоритет, коментарі й ключі поза
- * шаблоном не чіпаються; якщо файлу немає — створюється зі snippet-а.
- */
-export const patterns = [
-  createTemplateFixPattern({
-    id: 'ga-clean_merged_branch-template',
-    targetPath: '.github/workflows/clean-merged-branch.yml'
-  })
-]

package/rules/ga/git_ai/docs/fix-git_ai.md

@@ -1,40 +0,0 @@
----
-type: JS Module
-title: fix-git_ai.mjs
-resource: plugins/ci-github/rules/ga/git_ai/fix-git_ai.mjs
-docgen:
-  crc: 4dcfdaf1
-  model: openai-codex/gpt-5.5
-  tier: cloud-avg
-  score: 100
-  issues: judge-refine:kept-original,judge:inaccurate:0.98
-  judgeModel: openai-codex/gpt-5.4-mini
----
-
-## Огляд
-
-Файл описує `patterns` для T0-фіксу концерну `git_ai`: приводить workflow інтеграції git-ai у консюмер-репозиторії до канонічного GitHub Actions шаблону концерну.
-
-Це потрібно, щоб workflow git-ai відповідав очікуваному шаблону інтеграції та не обробляв шляхи `.github` і `.git`.
-
-## Поведінка
-
-1. `patterns` визначає єдиний автоматичний фікс для концерну `git_ai`, щоб workflow інтеграції git-ai у консюмер-репозиторії відповідав канонічному шаблону.
-
-2. Фікс підтримує наявний workflow актуальним: додає відсутні обов’язкові частини, пріоритезує канонічні значення концерну та зберігає сторонні налаштування, які не конфліктують із шаблоном.
-
-3. Якщо workflow інтеграції git-ai відсутній, `patterns` забезпечує його створення з канонічного шаблону, щоб репозиторій одразу отримав очікувану GitHub Actions інтеграцію.
-
-4. Під час застосування фікса свідомо не обробляються службові шляхи `.github` і `.git`, щоб не зачіпати інфраструктурні області поза цільовим workflow.
-
-## Публічний API
-
-- patterns — Один детермінований патерн: deep-merge канонічного snippet-а концерну в
-`.github/workflows/git-ai.yml` консюмер-репо — відсутні ключі додаються,
-канонічні значення мають пріоритет, коментарі й ключі поза шаблоном не
-чіпаються; якщо файлу немає — створюється зі snippet-а.
-
-## Гарантії поведінки
-
-- Власних операцій запису (ФС/БД) у файлі немає; виклики імпортованих модулів можуть писати.
-- Свідомо пропускає шляхи: `.github`, `.git`.

package/rules/ga/git_ai/docs/index.md

@@ -1,9 +0,0 @@
----
-type: Directory Index
-title: plugins/ci-github/rules/ga/git_ai
-resource: plugins/ci-github/rules/ga/git_ai/
----
-
-| Файл                            | Тип       |
-| ------------------------------- | --------- |
-| [fix-git_ai.mjs](fix-git_ai.md) | JS Module |

package/rules/ga/git_ai/fix-git_ai.mjs

@@ -1,15 +0,0 @@
-/**
- * T0-фікс концерну git_ai: приводить workflow інтеграції git-ai у
- * консюмер-репо до канонічного шаблону концерну.
- */
-import { createTemplateFixPattern } from '@7n/rules/scripts/lib/fix/template-deep-merge.mjs'
-
-/**
- * Один детермінований патерн: deep-merge канонічного snippet-а концерну в
- * `.github/workflows/git-ai.yml` консюмер-репо — відсутні ключі додаються,
- * канонічні значення мають пріоритет, коментарі й ключі поза шаблоном не
- * чіпаються; якщо файлу немає — створюється зі snippet-а.
- */
-export const patterns = [
-  createTemplateFixPattern({ id: 'ga-git_ai-template', targetPath: '.github/workflows/git-ai.yml' })
-]

package/rules/ga/lint_ga/docs/fix-lint_ga.md

@@ -1,38 +0,0 @@
----
-type: JS Module
-title: fix-lint_ga.mjs
-resource: plugins/ci-github/rules/ga/lint_ga/fix-lint_ga.mjs
-docgen:
-  crc: b0207391
-  model: openai-codex/gpt-5.5
-  tier: cloud-avg
-  score: 100
-  judgeModel: openai-codex/gpt-5.4-mini
----
-
-## Огляд
-
-Файл підтримує T0-фікс для концерну `lint_ga`: приводить CI-workflow лінту `ga`-домену в консюмер-репо до канонічного шаблону концерну.
-
-Публічна функція `patterns` визначає застосування цього виправлення.
-
-## Поведінка
-
-1. `patterns` визначає єдиний канонічний T0-fix для workflow лінту `ga`-домену в консюмер-репо.
-
-2. `patterns` описує приведення `.github/workflows/lint-ga.yml` до шаблону концерну.
-
-3. Якщо цільового workflow ще немає, `patterns` описує його створення з канонічного шаблону.
-
-4. `patterns` не виконує власних операцій запису у файл самостійно, а лише експортує правило виправлення для зовнішнього механізму.
-
-5. Під час роботи концерну обробляється цільовий workflow `.github/workflows/lint-ga.yml`.
-
-## Публічний API
-
-- patterns — Один детермінований патерн для канонічного snippet-а концерну в
-`.github/workflows/lint-ga.yml` консюмер-репо.
-
-## Гарантії поведінки
-
-- Власних операцій запису (ФС/БД) у файлі немає; виклики імпортованих модулів можуть писати.

package/rules/ga/lint_ga/docs/index.md

@@ -1,9 +0,0 @@
----
-type: Directory Index
-title: plugins/ci-github/rules/ga/lint_ga
-resource: plugins/ci-github/rules/ga/lint_ga/
----
-
-| Файл                              | Тип       |
-| --------------------------------- | --------- |
-| [fix-lint_ga.mjs](fix-lint_ga.md) | JS Module |

package/rules/ga/lint_ga/fix-lint_ga.mjs

@@ -1,15 +0,0 @@
-/**
- * T0-фікс концерну lint_ga: приводить CI-workflow лінту ga-домену у
- * консюмер-репо до канонічного шаблону концерну.
- */
-import { createTemplateFixPattern } from '@7n/rules/scripts/lib/fix/template-deep-merge.mjs'
-
-/**
- * Один детермінований патерн: deep-merge канонічного snippet-а концерну в
- * `.github/workflows/lint-ga.yml` консюмер-репо — відсутні ключі додаються,
- * канонічні значення мають пріоритет, коментарі й ключі поза шаблоном не
- * чіпаються; якщо файлу немає — створюється зі snippet-а.
- */
-export const patterns = [
-  createTemplateFixPattern({ id: 'ga-lint_ga-template', targetPath: '.github/workflows/lint-ga.yml' })
-]

package/rules/ga/lint_repo_yml/docs/fix-lint_repo_yml.md

@@ -1,40 +0,0 @@
----
-type: JS Module
-title: fix-lint_repo_yml.mjs
-resource: plugins/ci-github/rules/ga/lint_repo_yml/fix-lint_repo_yml.mjs
-docgen:
-  crc: bcbfc5f8
-  model: openai-codex/gpt-5.4-mini
-  tier: cloud-min
-  score: 100
-  issues: judge-refine:kept-original,judge:inaccurate:0.98
-  judgeModel: openai-codex/gpt-5.4-mini
----
-
-## Огляд
-
-Збігає шляхами `.github/workflows/lint-repo.yml` і повертає `patterns`, щоб репо-рівневий CI lint-workflow у консюмер-репо відповідав канонічному шаблону концерну.
-
-Якщо файл вже існує, оновлює лише канонічний workflow-snippet; якщо ні — формує його з шаблону для `lint-repo.yml`.
-
-Свідомо не зачіпає `.github` і `.git`, щоб не виходити за межі репо-лінту.
-
-## Поведінка
-
-1. `patterns` задає один детермінований шаблонний фікс для приведення `.github/workflows/lint-repo.yml` у консюмер-репо до канонічного вигляду концерну.
-2. Якщо цільовий workflow-файл уже існує, у нього вносяться лише зміни в межах канонічного snippet-а: відсутні ключі додаються, а канонічні значення мають пріоритет.
-3. Якщо цільового workflow-файлу немає, він створюється на основі канонічного snippet-а.
-4. Ключі й коментарі поза шаблоном не зачіпаються, тож локальні доповнення поза канонічною частиною зберігаються.
-5. Під час роботи свідомо обходяться шляхи `.github` і `.git`, щоб не втручатися в службові каталоги.
-
-## Публічний API
-
-- patterns — Один детермінований патерн: deep-merge канонічного snippet-а концерну в
-`.github/workflows/lint-repo.yml` консюмер-репо — відсутні ключі додаються,
-канонічні значення мають пріоритет, коментарі й ключі поза шаблоном не
-чіпаються; якщо файлу немає — створюється зі snippet-а.
-
-## Гарантії поведінки
-
-- Власних операцій запису (ФС/БД) у файлі немає; виклики імпортованих модулів можуть писати.
-- Свідомо пропускає шляхи: `.github`, `.git`.

package/rules/ga/lint_repo_yml/docs/index.md

@@ -1,9 +0,0 @@
----
-type: Directory Index
-title: plugins/ci-github/rules/ga/lint_repo_yml
-resource: plugins/ci-github/rules/ga/lint_repo_yml/
----
-
-| Файл                                          | Тип       |
-| --------------------------------------------- | --------- |
-| [fix-lint_repo_yml.mjs](fix-lint_repo_yml.md) | JS Module |

package/rules/ga/lint_repo_yml/fix-lint_repo_yml.mjs

@@ -1,15 +0,0 @@
-/**
- * T0-фікс концерну lint_repo_yml: приводить CI-workflow репо-рівневого лінту
- * у консюмер-репо до канонічного шаблону концерну.
- */
-import { createTemplateFixPattern } from '@7n/rules/scripts/lib/fix/template-deep-merge.mjs'
-
-/**
- * Один детермінований патерн: deep-merge канонічного snippet-а концерну в
- * `.github/workflows/lint-repo.yml` консюмер-репо — відсутні ключі додаються,
- * канонічні значення мають пріоритет, коментарі й ключі поза шаблоном не
- * чіпаються; якщо файлу немає — створюється зі snippet-а.
- */
-export const patterns = [
-  createTemplateFixPattern({ id: 'ga-lint_repo_yml-template', targetPath: '.github/workflows/lint-repo.yml' })
-]

package/rules/ga/vscode_extensions/docs/fix-vscode_extensions.md

@@ -1,25 +0,0 @@
----
-type: JS Module
-title: fix-vscode_extensions.mjs
-resource: plugins/ci-github/rules/ga/vscode_extensions/fix-vscode_extensions.mjs
-docgen:
-  crc: b6cffd44
-  model: omlx/gemma-4-e4b-it-OptiQ-4bit
-  tier: local-min
-  score: 100
-  issues: judge:inaccurate:0.99
-  judgeModel: openai-codex/gpt-5.4-mini
----
-
-## Огляд
-
-Файл сканує код розширення VS Code на наявність типових помилок. Він застосовує виправлення до знайдених зразків відповідно до визначеної логіки.
-
-## Поведінка
-
-1. Виявляє зразки, що потребують виправлення у розширень VS Code.
-2. Застосовує виправлення, використовуючи логіку, визначену в скрипті `../../../scripts/lib/fix/vscode-ext-add.mjs`.
-
-## Гарантії поведінки
-
-- Read-only: не виконує операцій запису (ФС/БД).

package/rules/ga/vscode_extensions/docs/index.md

@@ -1,11 +0,0 @@
----
-type: Directory Index
-title: plugins/ci-github/rules/ga/vscode_extensions
-resource: plugins/ci-github/rules/ga/vscode_extensions/
----
-
-# plugins/ci-github/rules/ga/vscode_extensions
-
-| Файл                                                  | Тип       |
-| ----------------------------------------------------- | --------- |
-| [fix-vscode_extensions.mjs](fix-vscode_extensions.md) | JS Module |

package/rules/ga/vscode_extensions/fix-vscode_extensions.mjs

@@ -1 +0,0 @@
-export { patterns } from '@7n/rules/scripts/lib/fix/vscode-ext-add.mjs'