@7n/rules-lang-js 0.3.1 → 0.4.1

package/CHANGELOG.md

@@ -1,5 +1,17 @@
 # Changelog
 
+## [0.4.1] - 2026-07-19
+
+### Fixed
+
+- js/knip: вбудований ігнор unused-dependency на пакети екосистеми n-rules (@7n/rules і @7n/rules-* плагіни — їх ставить сам npx @7n/rules, код споживача не імпортує) + канон knip ignoreDependencies з тим самим патерном
+
+## [0.4.0] - 2026-07-19
+
+### Added
+
+- JS-сімʼя lint-правил з ядра (фаза 5c spec lang-plugins-extraction): js, bun, vue, js-run, js-bun-db, js-bun-redis, js-mssql, npm-module, tool-surface — плагін тепер contributes.rules з власними залежностями інструментів (eslint, oxlint, knip, jscpd, oxc-parser, globby, ignore); спільні з рушієм хелпери (globToRegex, textHasBunSqlImport, contentForVueImportScan) імпортуються з ядра і ре-експортуються для сумісності API
+
 ## [0.3.1] - 2026-07-19
 
 ### Fixed

package/package.json

@@ -1,7 +1,7 @@
 {
   "name": "@7n/rules-lang-js",
-  "version": "0.3.1",
-  "description": "Плагін @7n/rules: JS/npm/bun-екосистема — taze-провайдер (package.json, bunx taze) і doc-files-екстрактори (oxc AST)",
+  "version": "0.4.1",
+  "description": "Плагін @7n/rules: JS/npm/bun-екосистема — lint-правила (js/bun/vue/js-run/npm-module/db), taze-провайдер (package.json, bunx taze) і doc-files-екстрактори (oxc AST)",
   "keywords": [
     "javascript",
     "bun",
@@ -22,6 +22,7 @@
   "type": "module",
   "files": [
     "doc-files",
+    "rules",
     "taze",
     "skills",
     "CHANGELOG.md",
@@ -35,7 +36,7 @@
       "lang:js"
     ],
     "contributes": {
-      "rules": false,
+      "rules": true,
       "handlers": {
         "taze": "./taze/provider.mjs",
         "doc-files": "./doc-files/extractors.mjs"
@@ -50,8 +51,17 @@
       }
     }
   },
+  "dependencies": {
+    "eslint": "^10.4.1",
+    "globby": "^16.0.0",
+    "ignore": "^7.0.5",
+    "jscpd": "^5.0.11",
+    "knip": "^6.22.0",
+    "oxc-parser": "^0.137.0",
+    "oxlint": "^1.68.0"
+  },
   "peerDependencies": {
-    "@7n/rules": ">=1.24.0"
+    "@7n/rules": ">=1.27.0"
   },
   "publishConfig": {
     "access": "public"

package/rules/bun/bunfig/bunfig.mdc

@@ -0,0 +1,17 @@
+## Rego-gate: відповідність bunfig.toml канонічному шаблону
+
+Rego-пакет: `bun.bunfig`
+
+Цільовий файл: `bunfig.toml` (корінь репо).
+
+Шаблон (leaf-значення, які gate порівнює): [bunfig.toml.snippet.toml](./template/bunfig.toml.snippet.toml)
+
+Gate порівнює кожен leaf-ключ у кожній секції шаблону з фактичним значенням у `bunfig.toml`. Зайві ключі та секції — ігноруються. Deny-повідомлення виникає, якщо:
+
+- секція відсутня або не є обʼєктом (`bunfig.toml: відсутня секція [install]`)
+- leaf-ключ має інше значення (`bunfig.toml: у секції [install] має бути linker = "hoisted"`)
+
+## Навіщо саме `linker = "hoisted"`
+
+Канонічна лінковка для кореневого `bunfig.toml` — **hoisted**: пласке `node_modules`,
+сумісне з інструментами, які не розуміють ізольований (isolated) layout Bun.

package/rules/bun/bunfig/bunfig.rego

@@ -0,0 +1,29 @@
+# Перевірка `bunfig.toml` для bun (bun.mdc).
+#
+# Канон надходить через --data: { "template": { "snippet": ... } }
+# Структура --data сформована з template/bunfig.toml.snippet.toml.
+# Snippet — 2-рівнева мапа (section → key → expected). Walker такий самий,
+# як для ga.vscode_settings: leaf-by-leaf коли section-обʼєкт існує + окремий
+# deny коли section відсутній / не обʼєкт.
+package bun.bunfig
+
+import rego.v1
+
+# Leaf-by-leaf: section присутня й обʼєкт.
+deny contains msg if {
+	some section, expected_inner in data.template.snippet
+	inner := object.get(input, section, {})
+	is_object(inner)
+	some leaf_key, expected_value in expected_inner
+	actual := object.get(inner, leaf_key, null)
+	actual != expected_value
+	msg := sprintf("bunfig.toml: у секції [%s] має бути %s = %q (bun.mdc)", [section, leaf_key, expected_value])
+}
+
+# Section відсутня (null) або не обʼєкт.
+deny contains msg if {
+	some section in object.keys(data.template.snippet)
+	raw := object.get(input, section, null)
+	not is_object(raw)
+	msg := sprintf("bunfig.toml: відсутня секція [%s] (bun.mdc)", [section])
+}

package/rules/bun/bunfig/concern.json

@@ -0,0 +1,9 @@
+{
+  "$schema": "https://unpkg.com/@7n/rules/schemas/concern.json",
+  "fixability": "config",
+  "policy": {
+    "files": {
+      "single": "bunfig.toml"
+    }
+  }
+}

package/rules/bun/bunfig/template/bunfig.toml.snippet.toml

@@ -0,0 +1,2 @@
+[install]
+linker = "hoisted"

package/rules/bun/docs/index.md

@@ -0,0 +1,11 @@
+---
+type: Directory Index
+title: npm/rules/bun
+resource: plugins/lang-js/rules/bun/
+---
+
+# npm/rules/bun
+
+| Файл                | Тип       |
+| ------------------- | --------- |
+| [main.mjs](main.md) | JS Module |

package/rules/bun/layout/concern.json

@@ -0,0 +1,16 @@
+{
+  "$schema": "https://unpkg.com/@7n/rules/schemas/concern.json",
+  "lint": {
+    "scope": "full",
+    "glob": [
+      "package-lock.json",
+      "yarn.lock",
+      "pnpm-lock.yaml",
+      ".yarnrc.yml",
+      ".yarn/**",
+      "bun.lock",
+      "bunfig.toml",
+      "package.json"
+    ]
+  }
+}

package/rules/bun/layout/docs/fix-layout.md

@@ -0,0 +1,29 @@
+---
+type: JS Module
+title: fix-layout.mjs
+resource: plugins/lang-js/rules/bun/layout/fix-layout.mjs
+docgen:
+  crc: a8664761
+  model: omlx/gemma-4-e4b-it-OptiQ-4bit
+  score: 100
+  issues: judge:inaccurate:0.98
+  judgeModel: openai-codex/gpt-5.4-mini
+---
+
+## Огляд
+
+Т0-autofix паттерни для `bun/js/layout.mjs` забезпечують детерміноване виправлення структури проєкту. Він виконує такі дії, керуючись конфігом `package-lock.json`: видаляє заборонені файли (наприклад, `package-lock.json`, `yarn.lock`), створює відсутні конфігураційні файли (`bunfig.toml`) та каталоги (`.yarn`). Ці механізми реалізуються через публічну змінну `patterns` без звернення до LLM.
+
+## Поведінка
+
+Поведінка:
+
+1. Виконується детерміноване автоматичне виправлення структури проєкту на основі попереднього логу.
+2. Перевіряється наявність заборонених файлів, таких як `package-lock.json`. У разі виявлення, ці файли фізично видаляються з робочої директорії.
+3. Перевіряється наявність файлу `bunfig.toml`. Якщо він відсутній, його створюється з базовим налаштуванням для встановлення залежностей.
+4. Перевіряється наявність каталогу `.yarn`. У разі його виявлення, цей каталог повністю видаляється.
+5. Усі ці дії інкапсульовані у публічній змінній `patterns`, що містить набір визначених механізмів виправлення.
+
+## Гарантії поведінки
+
+- (специфічних машинно-виведених гарантій немає)

package/rules/bun/layout/docs/main.md

@@ -0,0 +1,34 @@
+---
+type: JS Module
+title: main.mjs
+resource: plugins/lang-js/rules/bun/layout/main.mjs
+docgen:
+  crc: 21f102d5
+  model: omlx/gemma-4-e4b-it-OptiQ-4bit
+  score: 95
+  issues: anchor-miss:(bun.mdc),judge:inaccurate:0.99
+  judgeModel: openai-codex/gpt-5.4-mini
+---
+
+## Огляд
+
+Цей модуль забезпечує автоматизовану перевірку конфігурації проекту, аналізуючи файли package.json та package-lock.json. Він діагностує відсутність ключових файлів або невідповідність усталеним стандартам управління залежностями. Успішна робота підтверджує відповідність проекту визначеним вимогам.
+
+## Поведінка
+
+Поведінка:
+
+1. При запуску `main` перевіряється наявність файлів блокування залежностей (`package-lock.json`, `yarn.lock`, `pnpm-lock.yaml`, `.yarnrc.yml`). Якщо будь-який з них присутній, це розцінюється як порушення.
+2. Перевіряється наявність директорії `.yarn`. Її наявність сприймається як порушення.
+3. Перевіряється наявність файлу `bun.lock`. Якщо його немає, це вказує на необхідність виконання `bun i`.
+4. Перевіряється наявність конфігураційного файлу `bunfig.toml`. Якщо його немає, це вимагає створення файлу з налаштуванням `[install] linker = "hoisted"` відповідно до вимог `bun.mdc`.
+5. Визначається шлях до `package.json` у корені репозиторію. Якщо цей файл відсутній, процес перевірки зупиняється.
+6. У разі успішної перевірки всіх умов, повертається код, що вказує на відсутність проблем.
+
+## Публічний API
+
+main — перевіряє, чи відповідає проєкт встановленим у bun.mdc правилам.
+
+## Гарантії поведінки
+
+- Read-only: не виконує операцій запису (ФС/БД).

package/rules/bun/layout/fix-layout.mjs

@@ -0,0 +1,63 @@
+/**
+ * T0-autofix паттерни для `bun/layout` — детерміновані FS-виправлення
+ * заборонених файлів (package-lock.json, yarn.lock тощо), відсутнього bunfig.toml
+ * та каталогу .yarn без звернення до LLM.
+ *
+ * Unified lint surface: structured violations (test(violations)/apply(violations,ctx)).
+ * Імена заборонених файлів читаються з `v.message`, не з агрегованого output-рядка.
+ */
+import { existsSync, rmSync, writeFileSync } from 'node:fs'
+import { join } from 'node:path'
+
+const FORBIDDEN_FILE_RE = /Знайдено заборонений файл: \S+/u
+const FORBIDDEN_FILE_NAME_RE = /Знайдено заборонений файл: (\S+)/u
+const BUNFIG_MISSING_RE = /Відсутній bunfig\.toml/u
+const YARN_DIR_RE = /Знайдено директорію \.yarn/u
+
+/** @type {import('@7n/rules/scripts/lib/lint-surface/types.mjs').T0Pattern[]} */
+export const patterns = [
+  {
+    id: 'rm-forbidden-file',
+    test: violations => violations.some(v => FORBIDDEN_FILE_RE.test(v.message)),
+    apply: (violations, ctx) => {
+      const cwd = ctx.cwd
+      const touchedFiles = []
+      for (const v of violations) {
+        const m = FORBIDDEN_FILE_NAME_RE.exec(v.message)
+        if (!m) continue
+        const filePath = join(cwd, m[1])
+        if (existsSync(filePath)) {
+          ctx.recordWrite?.(filePath)
+          rmSync(filePath, { force: true })
+          touchedFiles.push(filePath)
+        }
+      }
+      if (touchedFiles.length === 0) return { touchedFiles: [] }
+      return { touchedFiles, message: `видалено: ${touchedFiles.join(', ')}` }
+    }
+  },
+
+  {
+    id: 'bun-bunfig-create',
+    test: violations => violations.some(v => BUNFIG_MISSING_RE.test(v.message)),
+    apply: (_violations, ctx) => {
+      const target = join(ctx.cwd, 'bunfig.toml')
+      if (existsSync(target)) return { touchedFiles: [] }
+      ctx.recordWrite?.(target)
+      writeFileSync(target, '[install]\nlinker = "hoisted"\n', 'utf8')
+      return { touchedFiles: [target], message: 'створено bunfig.toml' }
+    }
+  },
+
+  {
+    id: 'bun-yarn-dir-remove',
+    test: violations => violations.some(v => YARN_DIR_RE.test(v.message)),
+    apply: (_violations, ctx) => {
+      const target = join(ctx.cwd, '.yarn')
+      if (!existsSync(target)) return { touchedFiles: [] }
+      ctx.recordWrite?.(target)
+      rmSync(target, { recursive: true, force: true })
+      return { touchedFiles: [target], message: 'видалено .yarn/' }
+    }
+  }
+]

package/rules/bun/layout/layout.mdc

@@ -0,0 +1,60 @@
+## Структура lockfile та менеджер пакетів
+
+Проект використовує **тільки Bun** для керування залежностями та запуску скриптів.
+
+**Заборонені lockfile / директорії** (мають бути відсутні у репозиторії):
+
+- `package-lock.json`
+- `yarn.lock`
+- `pnpm-lock.yaml`
+- `.yarnrc.yml`
+- `.yarn/`
+
+Якщо якийсь із цих файлів чи директорій існує — **видали** його.
+
+**Обовʼязковий lockfile:** `bun.lock` (має бути присутній у корені).
+
+**Заборонені команди менеджерів пакетів:**
+
+- `npm install`, `yarn`, `pnpm` і їх відповідники lockfile (крім `bun.lock`)
+
+**Дозволені команди:**
+
+- `bun i`
+- `bun run <script>`
+- `bun add <pkg>`
+- `bun add -d <pkg>`
+- `bun remove <pkg>`
+- `bunx <tool>`
+- `npx <tool>` — якщо у проєкті вже використовується `npx` (не замінюй на `bunx`)
+
+**Одноразові CLI (`bunx` / `npx`):**
+
+- Якщо в проєкті вже використовується **`npx`** (скрипти, CI, Dockerfile) — **залишай `npx`**, не замінюй на `bunx`.
+- Якщо новий виклик CLI додається з нуля і в репозиторії прийнято лише Bun — можна `bunx <tool>`.
+
+**Не додавай** у `dependencies` / `devDependencies` пакети, які **використовуються лише як CLI** і їх достатньо викликати через **`bunx <pkg>`** (або **`npx`**, якщо в проєкті так прийнято): наприклад **oxlint**, **jscpd**, **eslint** у корені тощо. Виняток — пакет потрібен як **бібліотека** (імпорт у коді), peer для іншого пакета, або інструмент **не** покривається `bunx` у вашому CI.
+
+**Monorepo:**
+
+- Встановлювати залежності у відповідному пакеті, а не в корені без потреби.
+- Якщо залежність потрібна лише одному пакету, додавати її в директорії цього пакета.
+- У CI та локально запускати скрипти через `bun run`.
+
+**Dockerfile:**
+
+```dockerfile
+FROM oven/bun:alpine AS build-env
+```
+
+замість образу node.
+
+**GitHub Actions:** не вставляй у workflow окремі кроки **`actions/setup-node`**, **`oven-sh/setup-bun`**, **`actions/cache`** та **`bun install`** — їх **заборонено** дублювати в кожному job; завжди використовуй **локальний composite** (деталі й заборона дублювання — **ga.mdc**). Під капотом composite уже містить Node **24**, Bun, кеш і **`bun install --frozen-lockfile`**.
+
+Після **`actions/checkout@v6`** (`persist-credentials: false`):
+
+```yaml
+- uses: ./.github/actions/setup-bun-deps
+```
+
+Якщо в репозиторії action збережено під **`./npm/github-actions/setup-bun-deps`**, у `uses:` вкажи цей шлях замість `.github/actions/…` (**ga.mdc**).

package/rules/bun/layout/main.mjs

@@ -0,0 +1,53 @@
+/** @see ./docs/layout.md */
+import { existsSync } from 'node:fs'
+import { join } from 'node:path'
+
+import { createViolationReporter } from '@7n/rules/scripts/lib/lint-surface/violation-reporter.mjs'
+
+// Перевірка `devDependencies` кореневого `package.json` (дозволено лише `@nitra/*`)
+// — у rego (`npm/policy/bun/package_json/`). JS-копії `isAllowedRootDevDependency`
+// видалено, щоб не було двох джерел істини.
+
+/**
+ * Перевіряє відповідність проєкту правилам bun.mdc
+ * @param {import('@7n/rules/scripts/lib/lint-surface/types.mjs').LintContext} ctx контекст lint-прогону
+ * @returns {import('@7n/rules/scripts/lib/lint-surface/types.mjs').LintResult} результат перевірки
+ */
+export function lint(ctx) {
+  const cwd = ctx.cwd
+  const reporter = createViolationReporter(ctx)
+  const { pass, fail } = reporter
+
+  for (const f of ['package-lock.json', 'yarn.lock', 'pnpm-lock.yaml', '.yarnrc.yml']) {
+    if (existsSync(join(cwd, f))) {
+      fail(`Знайдено заборонений файл: ${f} — видали його`)
+    } else {
+      pass(`Немає ${f}`)
+    }
+  }
+
+  if (existsSync(join(cwd, '.yarn'))) {
+    fail('Знайдено директорію .yarn — видали її')
+  } else {
+    pass('Немає .yarn/')
+  }
+  if (existsSync(join(cwd, 'bun.lock'))) {
+    pass('bun.lock є')
+  } else {
+    fail('Відсутній bun.lock — запусти bun i')
+  }
+
+  if (existsSync(join(cwd, 'bunfig.toml'))) {
+    pass('bunfig.toml є (структуру перевіряє npx @7n/rules fix → bun.bunfig)')
+  } else {
+    fail('Відсутній bunfig.toml — створи з [install] linker = "hoisted" (bun.mdc)')
+  }
+
+  const pkgPath = join(cwd, 'package.json')
+  if (!existsSync(pkgPath)) {
+    fail('Відсутній package.json у корені')
+    return reporter.result()
+  }
+
+  return reporter.result()
+}

package/rules/bun/licensee/concern.json

@@ -0,0 +1,7 @@
+{
+  "$schema": "https://unpkg.com/@7n/rules/schemas/concern.json",
+  "fixability": "config",
+  "lint": {
+    "scope": "full"
+  }
+}

package/rules/bun/licensee/docs/fix-licensee.md

@@ -0,0 +1,27 @@
+---
+type: JS Module
+title: fix-licensee.mjs
+resource: plugins/lang-js/rules/bun/licensee/fix-licensee.mjs
+docgen:
+  crc: fadaf25f
+  model: omlx/gemma-4-e4b-it-OptiQ-4bit
+  score: 100
+  issues: judge:inaccurate:0.99
+  judgeModel: openai-codex/gpt-5.4-mini
+---
+
+## Огляд
+
+Цей модуль виконує детерміновану генерацію конфігураційного файлу `.licensee.json` у корені проекту. Генерація відбувається через виконання канонічної команди `licensee --init`, що ініціалізує файл `.licensee.json` для забезпечення метаданих ліцензування проекту. Це механізм для встановлення початкової конфігурації.
+
+## Поведінка
+
+Поведінка:
+1. Перевіряється, чи існують порушення, пов'язані з відсутністю конфігурації `licensee` у контексті.
+2. Якщо порушення виявлено, викликається команда `bun x licensee --init --production --quiet` у поточному робочому каталозі для створення або ініціалізації файлу `.licensee.json`.
+3. Результат виконання команди фіксується, а файл `.licensee.json` позначається як змінений.
+4. Якщо порушень немає, жодних дій не виконується.
+
+## Гарантії поведінки
+
+- Пише лише `.licensee.json`; за відсутності `bun` у PATH — no-op.

package/rules/bun/licensee/docs/index.md

@@ -0,0 +1,12 @@
+---
+type: Directory Index
+title: npm/rules/bun/licensee
+resource: plugins/lang-js/rules/bun/licensee/
+---
+
+# npm/rules/bun/licensee
+
+| Файл                                | Тип       |
+| ----------------------------------- | --------- |
+| [fix-licensee.mjs](fix-licensee.md) | JS Module |
+| [main.mjs](main.md)                 | JS Module |

package/rules/bun/licensee/docs/main.md

@@ -0,0 +1,30 @@
+---
+type: JS Module
+title: main.mjs
+resource: plugins/lang-js/rules/bun/licensee/main.mjs
+docgen:
+  crc: 0db50dff
+  model: manual
+---
+
+## Огляд
+
+Read-only detector `bun/licensee`: перевіряє ліцензії npm-залежностей проєкту через зовнішній інструмент `licensee` (`bun x licensee`), звіряючи їх з allowlist у `.licensee.json`. Розрізняє два принципово різні провали: `licensee` знайшов реально заборонену ліцензію (`license-violation`) — і `licensee` сам впав з помилкою (fail-open діагностика, не порушення), наприклад через несумісність `@npmcli/arborist` (яким він читає `node_modules`) з деревом, зібраним `bun install`.
+
+## Поведінка
+
+1. Якщо `.licensee.json` відсутній — `licensee-config-missing`; генерація конфігу — окремий T0-фікс (`fix-licensee.mjs`), не тут.
+2. Якщо `bun` не знайдено в PATH — `bun-missing`.
+3. Запускає `bun x licensee --production --errors-only` (без `--quiet` — реальне порушення потребує деталі: ім'я/версія/ліцензія пакета, які `licensee` пише в stdout через `print()`).
+4. Статус 0 — без порушень.
+5. Статус ≠ 0 і є вивід у **stderr** — трактується як crash/`die()` самого `licensee` (invalid config або необроблений виняток усередині тула), НЕ як ліцензійне порушення: **fail-open** — warn-діагностика (видима у `--verbose`, не блокує exit code) зі stderr і підказкою перевірити вручну `bunx licensee --production`; fail-closed тут перманентно червонив би CI bun-монорепо.
+6. Статус ≠ 0 і stderr порожній, є вивід у **stdout** — це справжній `NOT APPROVED`-звіт від `licensee` (`--errors-only` друкує лише невідповідні пакети): `license-violation` з деталлю пакета/ліцензії у повідомленні.
+
+## Публічний API
+
+- `lint(ctx)` — detector-контракт unified lint surface; повертає `{ violations }` (при crash тула — `{ violations: [], diagnostics }`).
+
+## Гарантії поведінки
+
+- Read-only: не пише `.licensee.json` і не змінює `node_modules`/lockfile сам (побічний ефект `bun x` — авто-встановлення пакета `licensee`, якщо відсутній у bunx-кеші, — керується bun, не цим модулем).
+- Канал stdout/stderr — єдиний сигнал розрізнення crash vs реальне порушення; текстові евристики за вмістом повідомлення не використовуються.

package/rules/bun/licensee/fix-licensee.mjs

@@ -0,0 +1,31 @@
+/**
+ * T0-autofix для `bun/licensee` — детермінована генерація `.licensee.json` через
+ * `licensee --init` (canon-команда самого тула, та сама, що detector радить запустити
+ * вручну). Реальні `license-violation` (файл є, але залежності не проходять) — НЕ
+ * T0-фікс: потребують людського рішення про ліцензійну політику, не regen.
+ */
+import { join } from 'node:path'
+
+import { resolveCmd } from '@7n/rules/scripts/utils/resolve-cmd.mjs'
+import { spawnAsync } from '@7n/rules/scripts/utils/spawn-async.mjs'
+
+/** @type {import('@7n/rules/scripts/lib/lint-surface/types.mjs').T0Pattern[]} */
+export const patterns = [
+  {
+    id: 'bun-licensee-config-init',
+    test: violations => violations.some(v => v.reason === 'licensee-config-missing'),
+    apply: async (violations, ctx) => {
+      const bun = resolveCmd('bun')
+      if (!bun) return { touchedFiles: [] }
+
+      await spawnAsync(bun, ['x', 'licensee', '--init', '--production', '--quiet'], {
+        cwd: ctx.cwd,
+        shell: false
+      })
+
+      const configPath = join(ctx.cwd, '.licensee.json')
+      ctx.recordWrite?.(configPath)
+      return { touchedFiles: [configPath], message: 'licensee --init: .licensee.json' }
+    }
+  }
+]

package/rules/bun/licensee/main.mjs

@@ -0,0 +1,68 @@
+/**
+ * lint-поверхня bun/licensee: read-only detector ліцензій npm-залежностей (`licensee`).
+ * Генерація дефолтного `.licensee.json` — окремий T0-fix (`fix-licensee.mjs`), не в detector-і.
+ */
+import { existsSync } from 'node:fs'
+import { join } from 'node:path'
+
+import { createViolationReporter } from '@7n/rules/scripts/lib/lint-surface/violation-reporter.mjs'
+import { resolveCmd } from '@7n/rules/scripts/utils/resolve-cmd.mjs'
+import { spawnAsync } from '@7n/rules/scripts/utils/spawn-async.mjs'
+
+/**
+ * Detector bun/licensee: ліцензії npm-залежностей через `licensee` (read-only).
+ * @param {import('@7n/rules/scripts/lib/lint-surface/types.mjs').LintContext} ctx контекст lint-прогону
+ * @returns {Promise<import('@7n/rules/scripts/lib/lint-surface/types.mjs').LintResult>} результат detector-а
+ */
+export async function lint(ctx) {
+  const reporter = createViolationReporter(ctx)
+  const { fail } = reporter
+  const cwd = ctx.cwd
+
+  const configPath = join(cwd, '.licensee.json')
+  if (!existsSync(configPath)) {
+    fail(
+      'lint-bun: licensee — немає .licensee.json; запустіть `npx @7n/rules lint bun` локально для генерації (bun.mdc)',
+      'licensee-config-missing'
+    )
+    return reporter.result()
+  }
+
+  const bun = resolveCmd('bun')
+  if (!bun) {
+    fail('lint-bun: `bun` не знайдено в PATH (bun.mdc)', 'bun-missing')
+    return reporter.result()
+  }
+
+  // Без --quiet: `licensee` пише реальні NOT APPROVED записи (name/version/license) у
+  // stdout через print() — деталь замість голого "код 1". Crash/die() усередині
+  // самого тула (invalid config, внутрішній виняток на кшталт "Cannot read properties
+  // of undefined (reading 'localeCompare')" — спостережено з @npmcli/arborist на
+  // bun-based node_modules) завжди йде у stderr через die(); легітимний звіт про
+  // порушення — лише у stdout. Канал розрізняє crash від реального порушення.
+  const r = await spawnAsync(bun, ['x', 'licensee', '--production', '--errors-only'], { cwd, shell: false })
+  if (r.exitCode !== 0) {
+    const stderr = (r.stderr ?? '').trim().slice(0, 2000)
+    if (stderr) {
+      // Crash самого тула — НЕ підтверджене ліцензійне порушення: fail-open
+      // діагностикою (не блокує CI-гейт). Fail-closed тут перманентно червонив би
+      // bun-монорепо: @npmcli/arborist (яким licensee читає node_modules)
+      // несумісний із деревом bun install.
+      const result = reporter.result()
+      result.diagnostics = [
+        {
+          level: 'warn',
+          message:
+            `lint-bun: licensee — інструмент завершився з помилкою, це НЕ підтверджене ліцензійне порушення ` +
+            `(код ${r.exitCode}, bun.mdc). Ймовірна причина — несумісність @npmcli/arborist з деревом bun install. ` +
+            `Перевір вручну: \`bunx licensee --production\`.\n${stderr}`
+        }
+      ]
+      return result
+    }
+    const stdout = (r.stdout ?? '').trim().slice(0, 2000)
+    const detail = stdout ? `\n${stdout}` : ''
+    fail(`lint-bun: licensee — порушення ліцензій (код ${r.exitCode}, bun.mdc)${detail}`, 'license-violation')
+  }
+  return reporter.result()
+}

package/rules/bun/lint-surface/concern.json

@@ -0,0 +1,3 @@
+{
+  "$schema": "https://unpkg.com/@7n/rules/schemas/concern.json"
+}

package/rules/bun/lint-surface/lint-surface.mdc

@@ -0,0 +1,13 @@
+## Лінт через n-rules, не package.json-скрипти
+
+Лінт запускається через CLI **`n-rules`** (локально) / **`npx @7n/rules`** (без локальної інсталяції),
+**не** через `package.json`-скрипти:
+
+- **`npx @7n/rules lint --full`** — весь репо (CI-режим);
+- **`npx @7n/rules lint`** — дельта vs origin (лише змінені файли, типовий задачний прогін);
+- **`n-rules lint <rule…>`** — конкретні правила, напр. **`n-rules lint ga`**.
+
+У кореневому `package.json` **не повинно бути** `lint`/`lint-*` скриптів — єдина точка лінту — CLI
+`n-rules` (пакет `@7n/rules`). Цей запис механічно перевіряється Rego-gate'ом
+[`bun.package_json`](../package_json/package_json.mdc) (deny на `scripts.lint` / `scripts.lint-*`) —
+тут лишається лише пояснення *чому* так (єдина точка входу для лінту), без дублювання самого чеку.

package/rules/bun/main.json

@@ -0,0 +1 @@
+{ "auto": { "glob": ["package.json", ".licensee.json"] } }

package/rules/bun/main.mdc

@@ -0,0 +1,11 @@
+---
+description: Bun як єдиний package manager у монорепо
+globs: "**/package.json,**/bunfig.toml,**/bun.lock,**/bun.lockb"
+alwaysApply: false
+version: '2.1'
+---
+
+Проект використовує тільки Bun для керування залежностями та запуску скриптів.
+
+- [package.json.deny.json](./package_json/template/package.json.deny.json)
+- [bunfig.toml.snippet.toml](./bunfig/template/bunfig.toml.snippet.toml)

package/rules/bun/package_json/concern.json

@@ -0,0 +1,9 @@
+{
+  "$schema": "https://unpkg.com/@7n/rules/schemas/concern.json",
+  "fixability": "config",
+  "policy": {
+    "files": {
+      "single": "package.json"
+    }
+  }
+}