@7n/rules-lang-js 0.3.1 → 0.4.1

package/rules/js-mssql/main.mdc

@@ -0,0 +1,144 @@
+---
+description: Використання mssql в nodejs
+globs: "**/package.json,**/src/conn/mssql-*"
+alwaysApply: false
+version: '1.4'
+---
+
+Правило охоплює безпечне використання пакету `mssql` у Node.js: мінімальну версію залежності, singleton ConnectionPool, заборону небезпечних шаблонів запитів і захист від SQL injection через TVP або числовий парсинг IN-списків.
+
+## Швидкий gate через conftest
+
+Rego-перевірки (`policy/`) — швидкий синхронний gate для одиничного `package.json` без JS-рантайму:
+
+JS-перевірка (`deps.mjs`) — authoritative: охоплює всі `package.json` репо, AST-скан JS/TS-джерел і повний semver-triple-compare. Rego-gate — доповнення, не заміна.
+
+## Singleton ConnectionPool і заборона shared Request
+
+Потрібно використовувати connection pool (`sql.ConnectionPool`) як singleton, а **НЕ** створювати підключення на кожен запит. Перевіряється `findMssqlPerRequestConnectionInText` (`lib/mssql-pool-scan.mjs`, підключено в `deps/main.mjs`).
+
+```javascript
+// db.js
+import sql from 'mssql';
+
+let poolPromise;
+
+export function getPool() {
+  if (!poolPromise) {
+    const db = new sql.ConnectionPool(config);
+    poolPromise = db.connect().catch(err => {
+      poolPromise = undefined; // дозволити повторну спробу
+      throw err;
+    });
+  }
+  return poolPromise;
+}
+```
+
+```javascript
+// usage
+import { getPool } from './db.js';
+
+const pool = await getPool();
+const userId = 42;
+const status = 'active';
+
+// Tagged template на request — це працює
+const result = await pool.request().query`
+  SELECT * FROM users
+  WHERE id = ${userId} AND status = ${status}
+`;
+```
+
+Ключове: `pool.request().query\`...\`` — бектіки після `query`, без круглих дужок. Це tagged template, де mssql параметризує значення автоматично.
+
+### Заборона shared Request
+
+Заборонено робити singleton `request` на рівні модуля (перевіряється `findSharedMssqlRequestInText`):
+
+```javascript
+// ❌ НЕ МОЖНА
+export const request = pool.request();
+```
+
+`Request` має створюватися **щоразу заново**:
+
+```javascript
+// ✅ МОЖНА
+const request = pool.request();
+```
+
+Це особливо важливо для **TVP** (табличні параметри, див. нижче) та будь-яких `.input(...)`.
+
+## Безпечний tagged template vs небезпечний `query(...)`
+
+Різниця між `query\`...\`` і `query(\`...\`)` — критична. Перевіряється `findUnsafeMssqlQueryTemplateCallInText`.
+
+### Що НЕ робити: `query(\`...\`)`
+
+```javascript
+// ❌ Це не tagged template — це конкатенація рядка перед викликом
+await pool.request().query(`SELECT * FROM users WHERE id = ${userId}`);
+// ↑ круглі дужки замість бектіків = звичайна інтерполяція = SQL injection
+```
+
+### Що робити: `query\`...\``
+
+```javascript
+// ✅ Tagged template — mssql параметризує ${userId} автоматично
+await pool.request().query`SELECT * FROM users WHERE id = ${userId}`;
+```
+
+### Коментар під час виправлення SQL injection
+
+Коли виправляєш місце з потенційним SQL injection (заміна `query(\`...\`)` на `query\`...\`` або прибирання динамічних списків/конкатенації), **додай поруч короткий коментар** з описом причини.
+
+Вимоги до коментаря:
+
+- вказати **що було небезпечно** (звичайна інтерполяція в рядок, конкатенація, динамічний список);
+- вказати **чому новий варіант безпечний** (tagged template / параметризація / TVP);
+- 1–2 рядки, без дублювання очевидного.
+
+```javascript
+// SQLi fix: query`...` (tagged template) параметризує значення; query(`...`) небезпечний через інтерполяцію.
+await pool.request().query`SELECT * FROM users WHERE id = ${userId}`
+```
+
+## Парсинг і guard для `IN (${...})`
+
+Якщо `IN (...)` все ж використовується (а не `JOIN` на TVP), значення в `${...}` **обов'язково** мають бути попередньо приведені числовим парсером і відфільтровані від `NaN`. Перевіряється `findUnsafeMssqlInListUnparsedInText` (наявність парсера) і `findUnsafeMssqlInListMissingEmptyGuardInText` (винесення у змінну + guard на пустоту); динамічні списки через `.join(...)` додатково ловить `findUnsafeMssqlDynamicSqlListInText`.
+
+Це знімає будь-яку можливість SQL injection: SQL-метасимволи в `Number`/`parseInt(...)` перетворюються на `NaN` і відсіюються.
+
+### Правила
+
+Додатково:
+
+- значення для `IN (${...})` потрібно **винести в окрему змінну** перед запитом (не підставляти вираз напряму в `${...}`);
+- цю змінну потрібно **перевірити на пустоту** і якщо список порожній — **throw error** (щоб не виконувати некоректний запит).
+
+### Приклади
+
+```javascript
+// ❌ НЕ МОЖНА: значення з req.body / зовнішнього джерела без парсингу
+const outIds = pgQ.rows.flatMap(x => x.req_body.Orders.map(o => o.OutletId))
+await pool.query(/* sql */ String.raw`
+  SELECT ... WHERE so.OutletId IN (${outIds})
+`)
+```
+
+```javascript
+// ✅ МОЖНА: parseInt + filter(!isNaN) гарантує, що в SQL потраплять лише числа
+// і перед запитом робимо guard на пустоту, щоб не виконувати некоректний SQL.
+const outIds = pgQ.rows
+  .flatMap(x => x.req_body.Orders.map(o => parseInt(o.OutletId)))
+  .filter(n => !isNaN(n))
+if (!outIds.length) throw new Error('outIds is empty')
+await pool.request().query`
+  SELECT ... WHERE so.OutletId IN (${outIds})
+`
+```
+
+Допустимі парсери: `parseInt(...)`, `parseFloat(...)`, `Number(...)`, `BigInt(...)` або унарний `+x`. Літеральні масиви чисел (`[1, 2, 3]`) теж безпечні — без парсера, але без жодних рядків.
+
+Це правило діє і для безпечного `pool.request().query\`...\`` (де mssql сам параметризує масив), і поготів для `pool.query(String.raw\`...\`)` чи `pool.query(\`...\`)`, де такий парсинг — єдиний бар'єр.

package/rules/js-mssql/mssql-tvp/concern.json

@@ -0,0 +1,3 @@
+{
+  "$schema": "https://unpkg.com/@7n/rules/schemas/concern.json"
+}

package/rules/js-mssql/mssql-tvp/mssql-tvp.mdc

@@ -0,0 +1,77 @@
+## TVP (table-valued parameters) — рекомендований підхід для списків
+
+TVP дозволений і рекомендований для SQL Server 2019. Для списків значень та пар ключів **найкращий** шлях по безпеці/продуктивності — TVP.
+
+Позитивна практика без прямого AST-check: антипатерн (динамічний список через `.join(...)` у `IN (...)`/`VALUES (...)`) ловить `findUnsafeMssqlDynamicSqlListInText` (`lib/mssql-pool-scan.mjs`, див. `main.mdc`), а сам "правильний" спосіб побудови TVP код не сканує.
+
+### 1) `IN (...)` для кодів → `JOIN` на TVP
+
+Замість складання SQL-рядка:
+
+```javascript
+// ❌ НЕ МОЖНА: динамічний список у SQL
+await pool.request().query`
+  SELECT *
+  FROM promo.SomeTable t
+  WHERE t.ExternalCode IN (${codes.map(c => `'${c}'`).join(',')})
+`;
+```
+
+Роби TVP з 1 колонкою:
+
+- створити `new sql.Table()`
+- `columns.add('ExternalCode', sql.NVarChar(N))`
+- `rows.add(code)` після `trim()` + валідації
+- `request.input('codes', table)`
+- в SQL: `JOIN @codes c ON c.ExternalCode = t.ExternalCode`
+
+Плюси:
+
+- 0% SQL injection
+- текст SQL **не росте** від довжини масиву
+- SQL Server часто оптимізує `JOIN` краще, ніж гігантський `IN (...)`
+
+### 2) `DELETE ... VALUES (...)` / `MERGE ... VALUES (...)` → TVP з 2 колонками
+
+Замість генерації списку рядків `(...),(...),...` у SQL (навіть якщо воно "через tagged template"):
+
+- сформуй TVP-таблицю `@Pairs` з колонками:
+  - `PromoActivitiesId` (INT або BIGINT — як у схемі БД)
+  - `SupplierOutletId` (INT або BIGINT — як у схемі БД)
+
+Delete:
+
+```sql
+DELETE abi
+FROM promo.ActivitiesByOutlet abi
+JOIN @Pairs p
+  ON p.PromoActivitiesId = abi.PromoActivitiesId
+ AND p.SupplierOutletId = abi.SupplierOutletId;
+```
+
+Insert (без `MERGE`, простіше і безпечніше):
+
+```sql
+INSERT INTO promo.ActivitiesByOutlet (PromoActivitiesId, SupplierOutletId, Status)
+SELECT p.PromoActivitiesId, p.SupplierOutletId, 2
+FROM @Pairs p
+WHERE NOT EXISTS (
+  SELECT 1
+  FROM promo.ActivitiesByOutlet abi
+  WHERE abi.PromoActivitiesId = p.PromoActivitiesId
+    AND abi.SupplierOutletId = p.SupplierOutletId
+);
+```
+
+Плюси:
+
+- не збираєш SQL-рядок із даних
+- менше шансів упіймати edge-case `MERGE` (у SQL Server історично багато "сюрпризів")
+
+### Мінімальна валідація перед наповненням TVP
+
+Навіть з TVP потрібно:
+
+- `ExternalCode`: `typeof === 'string'`, `trim()`, довжина `<= N` (під схему), відкинути пусті.
+- ліміт на кількість елементів (наприклад 5k/10k — залежить від вашого потоку).
+- `supplierId`/ID: число/BigInt, валідне та скінченне.

package/rules/js-mssql/package_json/concern.json

@@ -0,0 +1,9 @@
+{
+  "$schema": "https://unpkg.com/@7n/rules/schemas/concern.json",
+  "fixability": "config",
+  "policy": {
+    "files": {
+      "walkGlob": "**/package.json"
+    }
+  }
+}

package/rules/js-mssql/package_json/package_json.mdc

@@ -0,0 +1,9 @@
+## Rego-gate: версія `mssql` у `package.json`
+
+Rego-пакет: `js_mssql.package_json`
+
+Цільові файли: `**/package.json`
+
+Перевіряє поле `dependencies.mssql` — якщо присутнє, версія має бути `>= 12.5.0`. Підтримувані формати: `^12.5.0`, `>=12.5.0`, `12.5.0`, `workspace:*` (OK). Версії нижче 12.5.x генерують `deny`.
+
+Це швидкий синхронний gate для одиничного `package.json`. Authoritative-перевірка (повний semver-triple-compare, усі `package.json` репо) — у JS (`fix.mjs`).

package/rules/js-mssql/package_json/package_json.rego

@@ -0,0 +1,57 @@
+# Порт перевірки версії `mssql` з `npm/scripts/rules/js-mssql/fix.mjs` (js-mssql.mdc).
+#
+# Запуск (локально, для будь-якого `package.json`):
+#   conftest test path/to/package.json -p npm/policy/js_mssql \
+#     --namespace js_mssql.package_json
+#
+# Перевіряє: якщо `dependencies.mssql` присутній, версія має бути >= 12.5.0.
+# Підтримує `^12.5.0`, `>=12.5.0`, `12.5.0`, `workspace:*` (трактується як OK).
+#
+# AST-скан коду на per-request `new sql.ConnectionPool(...)` всередині функцій
+# (потребує парсингу `.js` / `.ts` через oxc-parser), а також full-semver
+# (`major.minor.patch` triple-compare у `rules/js-mssql/fix.mjs`) лишаються у JS:
+# JS-перевірка authoritative, ця Rego — швидкий gate для одиничного `package.json`.
+#
+# Структура каталогу збігається зі шляхом пакету (regal: directory-package-mismatch).
+# Конвенція проєкту — `import rego.v1` + multi-value `deny contains msg if { … }`
+# (.cursor/rules/conftest.mdc). Лінт — `bun run lint-rego` (regal).
+package js_mssql.package_json
+
+import rego.v1
+
+deny contains msg if {
+	range := object.get(object.get(input, "dependencies", {}), "mssql", "")
+	range != ""
+	not mssql_version_meets_min(range)
+	msg := sprintf("dependencies.mssql має бути >= 12.5.0 (зараз %q) (js-mssql.mdc)", [range])
+}
+
+# Мінімум — 12.5.0 (js-mssql.mdc). `workspace:*` трактуємо як OK (узгоджено з JS).
+mssql_version_meets_min(range) if startswith(trim_space(range), "workspace:")
+
+mssql_version_meets_min(range) if {
+	parts := split_to_numbers(range)
+	count(parts) >= 3
+	parts[0] > 12
+}
+
+mssql_version_meets_min(range) if {
+	parts := split_to_numbers(range)
+	count(parts) >= 3
+	parts[0] == 12
+	parts[1] > 5
+}
+
+mssql_version_meets_min(range) if {
+	parts := split_to_numbers(range)
+	count(parts) >= 3
+	parts[0] == 12
+	parts[1] == 5
+	parts[2] >= 0
+}
+
+split_to_numbers(spec) := nums if {
+	tokens := regex.split(`\D+`, spec)
+	non_empty := [t | some t in tokens; t != ""]
+	nums := [n | some t in non_empty; n := to_number(t)]
+}

package/rules/js-run/configmap/concern.json

@@ -0,0 +1,9 @@
+{
+  "$schema": "https://unpkg.com/@7n/rules/schemas/concern.json",
+  "fixability": "config",
+  "policy": {
+    "files": {
+      "walkGlob": "**/k8s/*/configmap.yaml"
+    }
+  }
+}

package/rules/js-run/configmap/configmap.mdc

@@ -0,0 +1,37 @@
+## Rego-gate: OTEL ConfigMap (k8s)
+
+Rego-пакет: `js-run.configmap`
+
+**Цільові файли:** `k8s/base/configmap.yaml` (і будь-які ConfigMap у kustomize-оверлеях)
+
+**Умова спрацювання:** `input.kind == "ConfigMap"`
+
+Перевіряє, що поле `data.OTEL_RESOURCE_ATTRIBUTES` містить усі обовʼязкові substring-маркери, визначені у template:
+
+- `service.name=`
+- `service.namespace=`
+
+Канон маркерів: [configmap.yaml.contains.yml](./template/configmap.yaml.contains.yml)
+
+**✓ Правильно**
+
+```yaml
+data:
+  OTEL_RESOURCE_ATTRIBUTES: 'service.name=my-svc,service.namespace=prod'
+```
+
+**✗ Неправильно**
+
+```yaml
+data:
+  OTEL_RESOURCE_ATTRIBUTES: 'service.name=my-svc'
+# Відсутній service.namespace= → deny
+```
+
+Ресурси типу `kind: Deployment` та інші non-ConfigMap — ігноруються.
+
+### Kustomize-оверлеї: `service.namespace` має відповідати namespace оверлею (не автоматизовано)
+
+Конвенція, **не** покрита автоматичною перевіркою — звіряй вручну під час рев'ю: у директоріях з kustomize-оверлеями значення `OTEL_RESOURCE_ATTRIBUTES` повинні бути перевизначені, і в них `service.namespace` повинен відповідати namespace, у якому знаходиться дана директорія оверлею (наприклад, `k8s/overlays/staging/` → `service.namespace=staging`).
+
+Rego-gate вище цього не звіряє — він лише перевіряє наявність обох substring-маркерів у кожному ConfigMap незалежно від директорії, тому розбіжність `service.namespace` між `base` і kustomize-оверлеями пройде перевірку мовчки. Кросс-файлова резолюція kustomize-дерева (`base` + `overlays`) — складніша задача, вже реалізована для інших k8s-перевірок у `npm/rules/k8s/manifests/main.mjs`; переносити цю логіку в `js-run` окремо не варто, поки немає підтвердженого запиту на автоматизацію саме цього кейсу.

package/rules/js-run/configmap/configmap.rego

@@ -0,0 +1,21 @@
+# Перевірка ConfigMap (js-run.mdc).
+#
+# Канон надходить через --data: { "template": { "contains": ... } }
+# Структура --data сформована з template/configmap.yaml.contains.yml.
+# Контекст: kind=ConfigMap; OTEL_RESOURCE_ATTRIBUTES має містити кожен substring
+# зі snippet (`service.name=`, `service.namespace=`).
+package js_run.configmap
+
+import rego.v1
+
+deny contains msg if {
+	input.kind == "ConfigMap"
+	some field, needles in data.template.contains.data
+	actual := object.get(object.get(input, "data", {}), field, "")
+	actual != ""
+	some needle in needles
+	not contains(actual, needle)
+	msg := sprintf("ConfigMap %q: %s має містити %q (js-run.mdc)", [cm_name, field, needle])
+}
+
+cm_name := object.get(object.get(input, "metadata", {}), "name", "?")

package/rules/js-run/configmap/template/configmap.yaml.contains.yml

@@ -0,0 +1,4 @@
+data:
+  OTEL_RESOURCE_ATTRIBUTES:
+    - 'service.name='
+    - 'service.namespace='

package/rules/js-run/docs/index.md

@@ -0,0 +1,11 @@
+---
+type: Directory Index
+title: npm/rules/js-run
+resource: plugins/lang-js/rules/js-run/
+---
+
+# npm/rules/js-run
+
+| Файл                | Тип       |
+| ------------------- | --------- |
+| [main.mjs](main.md) | JS Module |

package/rules/js-run/jsconfig/concern.json

@@ -0,0 +1,9 @@
+{
+  "$schema": "https://unpkg.com/@7n/rules/schemas/concern.json",
+  "fixability": "config",
+  "policy": {
+    "files": {
+      "walkGlob": "**/jsconfig.json"
+    }
+  }
+}

package/rules/js-run/jsconfig/docs/fix-jsconfig.md

@@ -0,0 +1,28 @@
+---
+type: JS Module
+title: fix-jsconfig.mjs
+resource: plugins/lang-js/rules/js-run/jsconfig/fix-jsconfig.mjs
+docgen:
+  crc: 47315a24
+  model: openai-codex/gpt-5.4-mini
+  score: 100
+  issues: judge:inaccurate:0.97
+  judgeModel: openai-codex/gpt-5.4-mini
+---
+
+## Огляд
+
+Цей файл виконує merge-запис `jsconfig.json` з канонічними значеннями з `template/jsconfig.json.snippet.json` (`data.template.snippet`), щоб політика `js-run/jsconfig` залишалася однаковою всюди, де вона застосовується. Leaf-рівень `compilerOptions` перезаписується точними канонічними значеннями, бо rego очікує exact match, а top-level масиви на кшталт `include` теж звіряються як exact set. Поза каноном зберігаються локальні поля, інші секції `compilerOptions` і супровідні коментарі. Обробка fail-safe: помилки перехоплюються, назовні не кидаються, а за окремих помилок повертається порожнє значення.
+
+## Поведінка
+
+1. Знаходить випадки, де `jsconfig.json` порушує політику узгодження з канонічним `jsconfig.json.snippet.json`.
+2. Для кожного такого файлу звіряє значення з каноном і приводить до точного збігу ті поля, які визначені у сніпеті: `compilerOptions` оновлює на рівні окремих вкладених значень, а top-level масиви — як цілісні набори.
+3. Зберігає локальні нестандартні дані файлу поза канонічними полями, щоб не втратити супровідні секції чи коментарі-джерела.
+4. Якщо канонічний сніпет недоступний або файл не читається як JSON, не падає і просто нічого не змінює.
+5. Після успішного виправлення записує оновлений `jsconfig.json` і повертає перелік змінених файлів та короткий опис змін.
+
+## Гарантії поведінки
+
+- Перехоплює помилки і не пропускає винятків назовні (fail-safe).
+- За певних помилок повертає порожнє значення (напр. `null`) замість винятку.

package/rules/js-run/jsconfig/docs/index.md

@@ -0,0 +1,9 @@
+---
+type: Directory Index
+title: npm/rules/js-run/jsconfig
+resource: plugins/lang-js/rules/js-run/jsconfig/
+---
+
+| Файл                                | Тип       |
+| ----------------------------------- | --------- |
+| [fix-jsconfig.mjs](fix-jsconfig.md) | JS Module |

package/rules/js-run/jsconfig/fix-jsconfig.mjs

@@ -0,0 +1,119 @@
+/**
+ * T0-autofix для policy-concern-а `js-run/jsconfig`: merge-запис `jsconfig.json` з
+ * канонічними значеннями (`template/jsconfig.json.snippet.json`, той самий `data.template.snippet`,
+ * що бачить rego). Leaf-рівень `compilerOptions` перезаписується точним канонічним значенням
+ * (rego вимагає exact match, не subset), top-level масиви (`include`) — теж exact set.
+ * Локальні поля поза каноном (інші секції compilerOptions, коментарі-джерела) — зберігаються.
+ */
+import { existsSync, readFileSync, writeFileSync } from 'node:fs'
+import { join } from 'node:path'
+
+/**
+ * Читає JSON-файл template-сніпета концерну; відсутній/невалідний → null.
+ * @param {string} path абсолютний шлях
+ * @returns {object|null} розпарсений об'єкт або null
+ */
+function readSnippet(path) {
+  if (!existsSync(path)) return null
+  try {
+    return JSON.parse(readFileSync(path, 'utf8'))
+  } catch {
+    return null
+  }
+}
+
+/**
+ * @param {unknown} a значення
+ * @param {unknown} b значення
+ * @returns {boolean} чи однакові як множини (масиви) або строго (інше)
+ */
+function valuesMatch(a, b) {
+  if (Array.isArray(b)) {
+    return Array.isArray(a) && new Set(a).size === new Set(b).size && b.every(x => a.includes(x))
+  }
+  return a === b
+}
+
+/**
+ * Мерджить канонічну секцію (`compilerOptions`) у `cfg[field]`: кожен leaf перезаписується
+ * канонічним значенням, якщо відрізняється.
+ * @param {object} cfg поточний jsconfig
+ * @param {string} field назва секції
+ * @param {object} expectedSection канонічні leaf-значення секції
+ * @returns {string[]} список змінених шляхів (`field.leaf`)
+ */
+function mergeSection(cfg, field, expectedSection) {
+  const changes = []
+  const inner = typeof cfg[field] === 'object' && cfg[field] !== null ? cfg[field] : {}
+  cfg[field] = inner
+  for (const [leaf, leafExpected] of Object.entries(expectedSection)) {
+    if (valuesMatch(inner[leaf], leafExpected)) continue
+    inner[leaf] = leafExpected
+    changes.push(`${field}.${leaf}`)
+  }
+  return changes
+}
+
+/**
+ * Мерджить канонічний snippet у `jsconfig.json`: leaf-рівень (`compilerOptions.*`) і
+ * top-level масиви перезаписуються канонічним значенням, якщо відрізняються.
+ * @param {object} cfg поточний jsconfig
+ * @param {object} snippet канонічний snippet
+ * @returns {string[]} список змінених шляхів (для message)
+ */
+function mergeSnippet(cfg, snippet) {
+  const changes = []
+  for (const [field, expected] of Object.entries(snippet)) {
+    if (Array.isArray(expected)) {
+      if (!valuesMatch(cfg[field], expected)) {
+        cfg[field] = expected
+        changes.push(field)
+      }
+      continue
+    }
+    if (typeof expected === 'object' && expected !== null) {
+      changes.push(...mergeSection(cfg, field, expected))
+      continue
+    }
+    if (cfg[field] !== expected) {
+      cfg[field] = expected
+      changes.push(field)
+    }
+  }
+  return changes
+}
+
+/** @type {import('@7n/rules/scripts/lib/lint-surface/types.mjs').T0Pattern[]} */
+export const patterns = [
+  {
+    id: 'jsconfig-merge-canon',
+    test: violations => violations.some(v => v.reason === 'policy-deny' && v.file),
+    apply: (violations, ctx) => {
+      const snippet = readSnippet(join(ctx.concernDir ?? '', 'template', 'jsconfig.json.snippet.json'))
+      if (!snippet) return { touchedFiles: [] }
+
+      const files = [...new Set(violations.filter(v => v.file).map(v => v.file))]
+      const touchedFiles = []
+      const messages = []
+
+      for (const rel of files) {
+        const abs = join(ctx.cwd, rel)
+        let cfg
+        try {
+          cfg = JSON.parse(readFileSync(abs, 'utf8'))
+        } catch {
+          continue
+        }
+        const changes = mergeSnippet(cfg, snippet)
+        if (changes.length === 0) continue
+
+        ctx.recordWrite?.(abs)
+        writeFileSync(abs, `${JSON.stringify(cfg, null, 2)}\n`)
+        touchedFiles.push(abs)
+        messages.push(`${rel}: ${changes.join(', ')}`)
+      }
+
+      return touchedFiles.length > 0 ? { touchedFiles, message: messages.join('; ') } : { touchedFiles: [] }
+    }
+  }
+]

package/rules/js-run/jsconfig/jsconfig.mdc

@@ -0,0 +1,48 @@
+## `jsconfig.json` (редактор / перевірка типів)
+
+Якщо в **backend** workspace-пакеті (без `vite` у `devDependencies`) є каталог **`src/`**, у **корені цього пакета** має бути **`jsconfig.json`**. Якщо файлу ще немає — створи його з таким вмістом (канон js-run):
+
+```json title="jsconfig.json"
+{
+  "compilerOptions": {
+    "lib": ["esnext"],
+    "module": "NodeNext",
+    "moduleResolution": "NodeNext",
+    "target": "esnext",
+    "checkJs": false
+  },
+  "include": ["src/**/*"]
+}
+```
+
+Канон і повний перелік перевірених полів — див. розділ нижче **Rego-gate: jsconfig.json**, канонічний файл: [jsconfig.json.snippet.json](./template/jsconfig.json.snippet.json).
+
+Якщо пакет не слідує структурі з `src/` (наприклад, лише `scripts/` у корені) — ця вимога не застосовується; для типових сервісів із `src/` файл обов'язковий і має збігатися з каноном.
+
+Fs-existence створення `jsconfig.json`, коли його бракує, — T0-автофікс (`../runtime/fix-runtime.mjs`); структурну звірку канону виконує rego-gate нижче.
+
+## Rego-gate: jsconfig.json
+
+Rego-пакет: `js-run.jsconfig`
+
+**Цільові файли:** `jsconfig.json` у корені backend workspace-пакету
+
+Порівнює `jsconfig.json` з каноном через walker по всіх листах template:
+
+- `compilerOptions.*` — значення мають збігатись точно
+- `include` — масив порівнюється як множина (точний склад)
+
+Канон: [jsconfig.json.snippet.json](./template/jsconfig.json.snippet.json)
+
+Перевірені поля:
+
+| Поле | Очікуване значення |
+|------|--------------------|
+| `compilerOptions.module` | `"NodeNext"` |
+| `compilerOptions.moduleResolution` | `"NodeNext"` |
+| `compilerOptions.target` | `"esnext"` |
+| `compilerOptions.lib` | `["esnext"]` |
+| `compilerOptions.checkJs` | `false` |
+| `include` | `["src/**/*"]` |
+
+Якщо розділ `compilerOptions` відсутній або не є обʼєктом — deny.