@7n/rules-ci-github 2.4.7 → 2.5.0

package/rules/ga/workflows/docs/fix-workflows.md

@@ -1,37 +0,0 @@
----
-type: JS Module
-title: fix-workflows.mjs
-resource: plugins/ci-github/rules/ga/workflows/fix-workflows.mjs
-docgen:
-  crc: f2f03c5c
----
-
-## Огляд
-
-T0-autofix для `ga/workflows`: детерміновані текстові правки GitHub Actions workflow-файлів без
-участі LLM, керовані structured fix-hint детектора (поле `data.kind` у violation). Виконується у
-fix-фазі перед LLM-ладдером; правки незворотні (поза rollback), а коректність підтверджує
-повторний прогін детектора.
-
-## Поведінка
-
-- **checkout-persist-credentials** — у кожен крок `actions/checkout`, де бракує
-  `persist-credentials: false`, дописує цей ключ: створює блок `with:` (відступ за колонкою
-  `uses:`) або додає ключ у наявний `with:`. Кілька checkout-кроків у файлі обробляються всі.
-- **unmatched-paths-glob** — прибирає з `on.<event>.paths` (push / pull_request) list-елементи,
-  що відповідають застарілим glob-ам із fix-hint; видалення обмежене блоком `paths:`, тож
-  однойменні значення деінде не зачіпаються.
-
-Правки текстові — коментарі, форматування й порожні рядки зберігаються, diff мінімальний.
-
-## Публічний API
-
-- `patterns` — масив T0-патернів (`id` / `test` / `apply`), що його споживає центральний fix-pipeline.
-- `addPersistCredentials`, `removePathsGlobs` — чисті трансформери вмісту файлу: повертають новий
-  текст або `null`, якщо змін немає.
-
-## Гарантії поведінки
-
-- Жодного запису без фактичної зміни вмісту; перед записом реєструється pre-image через `recordWrite`.
-- Регулярні вирази лінійні (без ReDoS); парсинг list-елементів — рядковими операціями.
-- Не-checkout кроки та значення поза блоком `paths:` лишаються недоторканими.

package/rules/ga/workflows/docs/index.md

@@ -1,9 +0,0 @@
----
-type: Directory Index
-title: plugins/ci-github/rules/ga/workflows
-resource: plugins/ci-github/rules/ga/workflows/
----
-
-| Файл                                  | Тип       |
-| ------------------------------------- | --------- |
-| [fix-workflows.mjs](fix-workflows.md) | JS Module |

package/rules/ga/workflows/fix-workflows.mjs

@@ -1,212 +0,0 @@
-/** @see ./docs/fix-workflows.md */
-
-/**
- * T0-autofix для `ga/workflows` — детерміновані правки, керовані structured `data`
- * детектора (#3 fix-hints), БЕЗ LLM. Покриває дві механічні родини порушень:
- *   - `checkout-persist-credentials` — дописати `with: persist-credentials: false`
- *     у кожен `actions/checkout` крок, де його бракує;
- *   - `unmatched-paths-glob` — прибрати застарілий glob із `on.<event>.paths`.
- *
- * Трансформації **текстові** (зберігають коментарі/формат/blank-lines, мінімальний diff);
- * семантичну коректність гарантує canonical re-detect runner-а (T0 permanent, поза rollback).
- * Чисті трансформери експортуються для unit-тестів.
- */
-import { applyToFiles } from '@7n/rules/scripts/utils/apply-to-files.mjs'
-
-const CHECKOUT_USES_RE = /uses:\s*actions\/checkout@/u
-const WITH_LINE_RE = /^\s*with:\s*$/u
-const PERSIST_KEY_RE = /^\s*persist-credentials\s*:/u
-const QUOTE_EDGE_RE = /^['"]|['"]$/gu
-const PATHS_KEY_RE = /^\s*paths:\s*$/u
-
-/**
- * Індекс першого непорожнього рядка з `from` (включно).
- * @param {string[]} lines усі рядки
- * @param {number} from стартовий індекс
- * @returns {number} індекс непорожнього рядка (або `lines.length`)
- */
-function nextNonEmpty(lines, from) {
-  let j = from
-  while (j < lines.length && lines[j].trim() === '') j++
-  return j
-}
-
-/**
- * Чи блок `with:` (на рядку `withLine`, колонка ключа `col`) уже містить
- * `persist-credentials`. Скан до dedent.
- * @param {string[]} lines усі рядки
- * @param {number} withLine індекс рядка `with:`
- * @param {number} col колонка ключа `with:`
- * @returns {boolean} true, якщо ключ уже присутній
- */
-function withBlockHasPersist(lines, withLine, col) {
-  for (let k = withLine + 1; k < lines.length; k++) {
-    if (lines[k].trim() === '') continue
-    const c = lines[k].length - lines[k].trimStart().length
-    if (c <= col) return false // dedent → блок завершився
-    if (PERSIST_KEY_RE.test(lines[k])) return true
-  }
-  return false
-}
-
-/**
- * Insert-план для одного `actions/checkout` кроку на рядку `i` (колонка `uses:` = `col`).
- * @param {string[]} lines усі рядки
- * @param {number} i індекс рядка `uses:`
- * @param {number} col колонка `uses:`
- * @returns {{ at: number, text: string[] } | null} вставка або null, якщо ключ уже є
- */
-function persistInsertFor(lines, i, col) {
-  const ind = ' '.repeat(col)
-  const j = nextNonEmpty(lines, i + 1)
-  const hasWithBlock = j < lines.length && WITH_LINE_RE.test(lines[j]) && lines[j].indexOf('with:') === col
-  if (hasWithBlock) {
-    return withBlockHasPersist(lines, j, col) ? null : { at: j + 1, text: [`${ind}  persist-credentials: false`] }
-  }
-  return { at: i + 1, text: [`${ind}with:`, `${ind}  persist-credentials: false`] }
-}
-
-/**
- * Дописує `with: persist-credentials: false` у кожен `actions/checkout` крок,
- * де його бракує. Дві форми: крок без `with:` (створити блок) і з наявним `with:`
- * (вставити ключ). Відступ `with:` = колонка `uses:`; ключа = +2.
- * @param {string} content вміст workflow-файла
- * @returns {string|null} новий вміст або null, якщо нічого не змінилось
- */
-export function addPersistCredentials(content) {
-  const lines = content.split('\n')
-  /** @type {Array<{ at: number, text: string[] }>} */
-  const inserts = []
-  for (let i = 0; i < lines.length; i++) {
-    const col = lines[i].indexOf('uses:')
-    if (col === -1 || !CHECKOUT_USES_RE.test(lines[i])) continue
-    const ins = persistInsertFor(lines, i, col)
-    if (ins) inserts.push(ins)
-  }
-  if (inserts.length === 0) return null
-  // Згори вниз — індекси не зсуваються під час splice.
-  inserts.sort((a, b) => b.at - a.at)
-  for (const ins of inserts) lines.splice(ins.at, 0, ...ins.text)
-  return lines.join('\n')
-}
-
-/**
- * Прибирає list-елементи із заданими значеннями всередині блоків `paths:`
- * (`on.push.paths` / `on.pull_request.paths`). Scoped до paths-блоку, щоб не
- * зачепити однойменні значення деінде.
- * @param {string} content вміст workflow-файла
- * @param {Set<string>} globs значення glob-ів на видалення (без лапок)
- * @returns {string|null} новий вміст або null, якщо нічого не змінилось
- */
-export function removePathsGlobs(content, globs) {
-  const lines = content.split('\n')
-  /** @type {string[]} */
-  const out = []
-  let pathsCol = -1 // колонка ключа `paths:` поточного блоку; -1 = поза блоком
-  let changed = false
-  for (const line of lines) {
-    if (PATHS_KEY_RE.test(line)) {
-      pathsCol = line.indexOf('paths:')
-      out.push(line)
-      continue
-    }
-    if (pathsCol >= 0 && line.trim() !== '') {
-      const col = line.length - line.trimStart().length
-      if (col > pathsCol) {
-        // Лінійний парс list-елемента `- <value>` (без regex → без ReDoS).
-        const trimmed = line.trimStart()
-        if (trimmed.startsWith('- ')) {
-          const val = trimmed.slice(2).trim().replace(QUOTE_EDGE_RE, '')
-          if (globs.has(val)) {
-            changed = true
-            continue // викидаємо рядок
-          }
-        }
-        out.push(line)
-        continue
-      }
-      pathsCol = -1 // dedent → блок `paths:` завершився
-    }
-    out.push(line)
-  }
-  return changed ? out.join('\n') : null
-}
-
-const WRAPPED_NCURSOR_RE = /\b(?:bunx|npx)\s+n-(?:cursor|rules)/u
-const RUN_INLINE_NCURSOR_MATCH = /^(\s*(?:-\s*)?run:\s*)n-(?:cursor|rules)(\s.*)$/u
-const BARE_LINE_NCURSOR_MATCH = /^(\s+)n-(?:cursor|rules)(\s.*)$/u
-
-/**
- * Префіксує bare `n-rules …` (чи legacy `n-rules …`) у `run`-кроках через `bunx n-rules` (у CI
- * бінарник не на PATH). Пропускає рядки, де вже є `bunx`/`npx`. Покриває inline `run:` і рядок у run-блоці.
- * @param {string} content вміст workflow-файла
- * @returns {string|null} новий вміст або null, якщо нічого не змінилось
- */
-export function prefixBunxNCursor(content) {
-  let changed = false
-  const out = content.split('\n').map(line => {
-    if (WRAPPED_NCURSOR_RE.test(line)) return line
-    const inline = RUN_INLINE_NCURSOR_MATCH.exec(line)
-    if (inline) {
-      changed = true
-      return `${inline[1]}bunx n-rules${inline[2]}`
-    }
-    const bare = BARE_LINE_NCURSOR_MATCH.exec(line)
-    if (bare) {
-      changed = true
-      return `${bare[1]}bunx n-rules${bare[2]}`
-    }
-    return line
-  })
-  return changed ? out.join('\n') : null
-}
-
-/** @type {import('@7n/rules/scripts/lib/lint-surface/types.mjs').T0Pattern[]} */
-export const patterns = [
-  {
-    id: 'ga-workflows-checkout-persist-credentials',
-    test: violations => violations.some(v => v.data?.kind === 'checkout-persist-credentials' && v.file),
-    apply: (violations, ctx) => {
-      const targets = violations.filter(v => v.data?.kind === 'checkout-persist-credentials' && v.file)
-      const touchedFiles = applyToFiles(targets, ctx, () => addPersistCredentials)
-      return touchedFiles.length > 0
-        ? { touchedFiles, message: `persist-credentials: false → ${touchedFiles.length} workflow(s)` }
-        : { touchedFiles: [] }
-    }
-  },
-  {
-    id: 'ga-workflows-unmatched-paths-glob',
-    test: violations => violations.some(v => v.data?.kind === 'unmatched-paths-glob' && v.file),
-    apply: (violations, ctx) => {
-      const targets = violations.filter(v => v.data?.kind === 'unmatched-paths-glob' && v.file)
-      // Глоби на видалення згруповані per-file.
-      /** @type {Map<string, Set<string>>} */
-      const byFile = new Map()
-      for (const v of targets) {
-        const glob = typeof v.data?.glob === 'string' ? v.data.glob : null
-        if (!glob) continue
-        if (!byFile.has(v.file)) byFile.set(v.file, new Set())
-        byFile.get(v.file).add(glob)
-      }
-      const touchedFiles = applyToFiles(
-        targets,
-        ctx,
-        rel => content => removePathsGlobs(content, byFile.get(rel) ?? new Set())
-      )
-      return touchedFiles.length > 0
-        ? { touchedFiles, message: `прибрано не-матчені paths-glob у ${touchedFiles.length} файл(ах)` }
-        : { touchedFiles: [] }
-    }
-  },
-  {
-    id: 'ga-workflows-bare-n-rules',
-    test: violations => violations.some(v => v.data?.kind === 'bare-n-rules' && v.file),
-    apply: (violations, ctx) => {
-      const targets = violations.filter(v => v.data?.kind === 'bare-n-rules' && v.file)
-      const touchedFiles = applyToFiles(targets, ctx, () => prefixBunxNCursor)
-      return touchedFiles.length > 0
-        ? { touchedFiles, message: `bunx-префікс n-rules → ${touchedFiles.length} workflow(s)` }
-        : { touchedFiles: [] }
-    }
-  }
-]

package/rules/ga/zizmor_yml/docs/fix-zizmor_yml.md

@@ -1,33 +0,0 @@
----
-type: JS Module
-title: fix-zizmor_yml.mjs
-resource: plugins/ci-github/rules/ga/zizmor_yml/fix-zizmor_yml.mjs
-docgen:
-  crc: 9892e20a
-  model: openai-codex/gpt-5.4-mini
-  tier: cloud-min
-  score: 100
-  judgeModel: openai-codex/gpt-5.4-mini
----
-
-## Огляд
-
-`patterns` приводить `.github/zizmor.yml` до канонічного шаблону концерну для `zizmor`, щоб консюмер-репо залишалося узгодженим зі стандартизованим конфігом.
-
-## Поведінка
-
-1. `patterns` визначає один детермінований шаблон для вирівнювання `.github/zizmor.yml` із канонічним концерновим конфігом.
-2. Якщо цільовий файл відсутній, `patterns` ініціалізує його з канонічного snippet-а.
-3. Якщо файл уже існує, `patterns` додає відсутні ключі та зберігає канонічні значення як пріоритетні.
-4. `patterns` не чіпає коментарі й інші ключі поза шаблоном.
-
-## Публічний API
-
-- patterns — Один детермінований патерн: deep-merge канонічного snippet-а концерну в
-`.github/zizmor.yml` консюмер-репо — відсутні ключі додаються, канонічні
-значення мають пріоритет, коментарі й ключі поза шаблоном не чіпаються;
-якщо файлу немає — створюється зі snippet-а.
-
-## Гарантії поведінки
-
-- Власних операцій запису (ФС/БД) у файлі немає; виклики імпортованих модулів можуть писати.

package/rules/ga/zizmor_yml/docs/index.md

@@ -1,9 +0,0 @@
----
-type: Directory Index
-title: plugins/ci-github/rules/ga/zizmor_yml
-resource: plugins/ci-github/rules/ga/zizmor_yml/
----
-
-| Файл                                    | Тип       |
-| --------------------------------------- | --------- |
-| [fix-zizmor_yml.mjs](fix-zizmor_yml.md) | JS Module |

package/rules/ga/zizmor_yml/fix-zizmor_yml.mjs

@@ -1,13 +0,0 @@
-/**
- * T0-фікс концерну zizmor_yml: приводить конфіг сканера безпеки zizmor
- * у консюмер-репо до канонічного шаблону концерну.
- */
-import { createTemplateFixPattern } from '@7n/rules/scripts/lib/fix/template-deep-merge.mjs'
-
-/**
- * Один детермінований патерн: deep-merge канонічного snippet-а концерну в
- * `.github/zizmor.yml` консюмер-репо — відсутні ключі додаються, канонічні
- * значення мають пріоритет, коментарі й ключі поза шаблоном не чіпаються;
- * якщо файлу немає — створюється зі snippet-а.
- */
-export const patterns = [createTemplateFixPattern({ id: 'ga-zizmor_yml-template', targetPath: '.github/zizmor.yml' })]

package/rules/k8s/lint_k8s_yml/docs/fix-lint_k8s_yml.md

@@ -1,35 +0,0 @@
----
-type: JS Module
-title: fix-lint_k8s_yml.mjs
-resource: plugins/ci-github/rules/k8s/lint_k8s_yml/fix-lint_k8s_yml.mjs
-docgen:
-  crc: e89c25eb
-  model: openai-codex/gpt-5.4-mini
-  tier: cloud-min
-  score: 100
-  issues: judge-refine:kept-original,judge:inaccurate:0.98
-  judgeModel: openai-codex/gpt-5.4-mini
----
-
-## Огляд
-
-Файл тримає канонічний сценарій оновлення CI workflow для лінту k8s-домену в consumer-репо, щоб `.github/workflows/lint-k8s.yml` приводився до шаблону концерну. Він існує, щоб звіряти workflow з канонічним snippet-ом концерну й застосовувати стандартний набір змін для цього сценарію, не виходячи за межі `.github` та `.git`.
-
-## Поведінка
-
-1. `patterns` задає єдиний канонічний сценарій виправлення для CI workflow лінту k8s-домену.
-2. Під час застосування сценарію шаблон концерну зливається з `.github/workflows/lint-k8s.yml`: відсутні елементи додаються, а канонічні значення мають пріоритет.
-3. Якщо цільового файлу немає, `patterns` ініціює його створення з канонічного snippet-а.
-4. `patterns` навмисно не втручається в позатимплейтні ключі та коментарі, а також свідомо пропускає `.github` і `.git` як межі обробки.
-
-## Публічний API
-
-- patterns — Один детермінований патерн: deep-merge канонічного snippet-а концерну в
-`.github/workflows/lint-k8s.yml` консюмер-репо — відсутні ключі додаються,
-канонічні значення мають пріоритет, коментарі й ключі поза шаблоном не
-чіпаються; якщо файлу немає — створюється зі snippet-а.
-
-## Гарантії поведінки
-
-- Власних операцій запису (ФС/БД) у файлі немає; виклики імпортованих модулів можуть писати.
-- Свідомо пропускає шляхи: `.github`, `.git`.

package/rules/k8s/lint_k8s_yml/docs/index.md

@@ -1,9 +0,0 @@
----
-type: Directory Index
-title: plugins/ci-github/rules/k8s/lint_k8s_yml
-resource: plugins/ci-github/rules/k8s/lint_k8s_yml/
----
-
-| Файл                                        | Тип       |
-| ------------------------------------------- | --------- |
-| [fix-lint_k8s_yml.mjs](fix-lint_k8s_yml.md) | JS Module |

package/rules/k8s/lint_k8s_yml/fix-lint_k8s_yml.mjs

@@ -1,15 +0,0 @@
-/**
- * T0-фікс концерну lint_k8s_yml: приводить CI-workflow лінту k8s-домену
- * у консюмер-репо до канонічного шаблону концерну.
- */
-import { createTemplateFixPattern } from '@7n/rules/scripts/lib/fix/template-deep-merge.mjs'
-
-/**
- * Один детермінований патерн: deep-merge канонічного snippet-а концерну в
- * `.github/workflows/lint-k8s.yml` консюмер-репо — відсутні ключі додаються,
- * канонічні значення мають пріоритет, коментарі й ключі поза шаблоном не
- * чіпаються; якщо файлу немає — створюється зі snippet-а.
- */
-export const patterns = [
-  createTemplateFixPattern({ id: 'k8s-lint_k8s_yml-template', targetPath: '.github/workflows/lint-k8s.yml' })
-]

package/rules/npm-module/npm_publish_yml/docs/fix-npm_publish_yml.md

@@ -1,37 +0,0 @@
----
-type: JS Module
-title: fix-npm_publish_yml.mjs
-resource: plugins/ci-github/rules/npm-module/npm_publish_yml/fix-npm_publish_yml.mjs
-docgen:
-  crc: b7913c3f
-  model: omlx/gemma-4-e4b-it-OptiQ-4bit
-  tier: local-min-retry
-  score: 100
-  issues: judge:error
-  judgeModel: openai-codex/gpt-5.4-mini
----
-
-## Огляд
-
-Приводить конфігураційний файл `.github/workflows/npm-publish.yml` до канонічного шаблону концерну для забезпечення уніфікованого процесу публікації npm-пакетів у репозиторії-споживачі. Функція `patterns` забезпечує, що робочий процес включає необхідні параметри, при цьому ігноруючи каталоги `.github` та `.git`.
-
-## Поведінка
-
-1. Приводить робочий процес (workflow) публікації npm-пакета в консюмер-репо до канонічного шаблону концерну шляхом застосування детермінованого патерну.
-2. Патерн працює з файлом `.github/workflows/npm-publish.yml`.
-3. Відсутні ключі в файлі додаються, а канонічні значення мають пріоритет; коментарі та ключі поза шаблоном не змінюються.
-4. Якщо вказаний файл не існує, він створюється на основі канонічного snippet-а.
-5. Процес не перевіряє шляхи `.github` та `.git`.
-6. Результат дії визначається масивом, експортованим через `patterns`.
-
-## Публічний API
-
-- patterns — Один детермінований патерн: deep-merge канонічного snippet-а концерну в
-`.github/workflows/npm-publish.yml` консюмер-репо — відсутні ключі додаються,
-канонічні значення мають пріоритет, коментарі й ключі поза шаблоном не
-чіпаються; якщо файлу немає — створюється зі snippet-а.
-
-## Гарантії поведінки
-
-- Власних операцій запису (ФС/БД) у файлі немає; виклики імпортованих модулів можуть писати.
-- Свідомо пропускає шляхи: `.github`, `.git`.

package/rules/npm-module/npm_publish_yml/docs/index.md

@@ -1,9 +0,0 @@
----
-type: Directory Index
-title: plugins/ci-github/rules/npm-module/npm_publish_yml
-resource: plugins/ci-github/rules/npm-module/npm_publish_yml/
----
-
-| Файл                                              | Тип       |
-| ------------------------------------------------- | --------- |
-| [fix-npm_publish_yml.mjs](fix-npm_publish_yml.md) | JS Module |

package/rules/npm-module/npm_publish_yml/fix-npm_publish_yml.mjs

@@ -1,18 +0,0 @@
-/**
- * T0-фікс концерну npm_publish_yml: приводить workflow публікації npm-пакета
- * у консюмер-репо до канонічного шаблону концерну.
- */
-import { createTemplateFixPattern } from '@7n/rules/scripts/lib/fix/template-deep-merge.mjs'
-
-/**
- * Один детермінований патерн: deep-merge канонічного snippet-а концерну в
- * `.github/workflows/npm-publish.yml` консюмер-репо — відсутні ключі додаються,
- * канонічні значення мають пріоритет, коментарі й ключі поза шаблоном не
- * чіпаються; якщо файлу немає — створюється зі snippet-а.
- */
-export const patterns = [
-  createTemplateFixPattern({
-    id: 'npm-module-npm_publish_yml-template',
-    targetPath: '.github/workflows/npm-publish.yml'
-  })
-]

package/rules/rust/toolchain_cache/docs/fix-toolchain_cache.md

@@ -1,35 +0,0 @@
----
-type: JS Module
-title: fix-toolchain_cache.mjs
-resource: plugins/ci-github/rules/rust/toolchain_cache/fix-toolchain_cache.mjs
-docgen:
-  crc: c9db7b48
-  model: omlx/gemma-4-e4b-it-OptiQ-4bit
-  score: 100
-  issues: judge:inaccurate:0.97
-  judgeModel: openai-codex/gpt-5.4-mini
----
-
-## Огляд
-
-Управляє логікою кешування `Swatinem/rust-cache@v2` у системі. Додає необхідні кроки кешування до робочих процесів через `insertRustCache` та `addCacheWorkspaces`. Визначає шаблони для застосування трансформерів до файлів з конфігураційними порушеннями, використовуючи `patterns`. Забезпечує механізм fail-safe, перехоплюючи помилки без викиду винятків.
-
-## Поведінка
-
-Поведінка:
-insertRustCache вставляє відсутній крок кешування `Swatinem/rust-cache@v2` після кроків, що використовують `dtolnay/rust-toolchain`, у робочих процесах, якщо це можливо.
-addCacheWorkspaces дописує конфігурацію `with: workspaces: <dir>` до існуючих кроків кешування `Swatinem/rust-cache@v2` у робочих процесах Tauri, якщо вони не містять цієї інформації.
-patterns надає визначення для автоматичного застосування трансформерів до файлів, що містять порушення конфігурації кешування, використовуючи логіку, визначену у файлі.
-
-## Публічний API
-
-insertRustCache — вставляє інструмент для кешування Rust-засобів одразу після кроку з інструментарієм Rust, якщо в цьому ж завдання немає кроку кешування.
-
-addCacheWorkspaces — додає вказування робочих просторів до кожного кроку кешування Tauri-завдання, де ця інформація відсутня.
-
-patterns — визначає шаблони, за якими застосовується логіка.
-
-## Гарантії поведінки
-
-- Перехоплює помилки і не пропускає винятків назовні (fail-safe).
-- Кешує результати в межах одного прогону.

package/rules/rust/toolchain_cache/docs/index.md

@@ -1,9 +0,0 @@
----
-type: Directory Index
-title: plugins/ci-github/rules/rust/toolchain_cache
-resource: plugins/ci-github/rules/rust/toolchain_cache/
----
-
-| Файл                                              | Тип       |
-| ------------------------------------------------- | --------- |
-| [fix-toolchain_cache.mjs](fix-toolchain_cache.md) | JS Module |