@7n/rules-lang-js 0.3.1 → 0.4.1

package/rules/js-run/package_json/template/package.json.deny.json

@@ -0,0 +1,22 @@
+{
+  "dependencies": {
+    "bunyan": "використовуй стандартні логери (js-run.mdc)",
+    "@nitra/bunyan": "використовуй стандартні логери (js-run.mdc)"
+  },
+  "devDependencies": {
+    "bunyan": "використовуй стандартні логери (js-run.mdc)",
+    "@nitra/bunyan": "використовуй стандартні логери (js-run.mdc)"
+  },
+  "scriptsForbidden": [
+    {
+      "id": "node-runner",
+      "pattern": "\\bnode(\\s|$)",
+      "message": "заміни `node` на `bun` у scripts — один runtime у dev і prod (js-run.mdc)"
+    },
+    {
+      "id": "env-cat-bun",
+      "pattern": "\\benv\\s+\\$\\(cat\\s+[^)]+\\)\\s+bun\\b",
+      "message": "заміни `env $(cat A B) bun` на `bun --env-file=A --env-file=B` (нативний Bun, js-run.mdc)"
+    }
+  ]
+}

package/rules/js-run/project-structure/concern.json

@@ -0,0 +1,3 @@
+{
+  "$schema": "https://unpkg.com/@7n/rules/schemas/concern.json"
+}

package/rules/js-run/project-structure/project-structure.mdc

@@ -0,0 +1,11 @@
+## Структура проекту
+
+Рекомендується використовувати таку структуру проекту:
+
+```
+k8s/ # тут всі файли для деплойменту в Kubernetes, включаючи kustomize
+src/ # тут всі файли необхідні для роботи проекту
+Dockerfile
+package.json
+readme.md
+```

package/rules/js-run/runtime/concern.json

@@ -0,0 +1,12 @@
+{
+  "$schema": "https://unpkg.com/@7n/rules/schemas/concern.json",
+  "lint": {
+    "scope": "full",
+    "glob": [
+      "**/*.{js,mjs,cjs,jsx,ts,mts,cts,tsx}",
+      "**/package.json",
+      "**/jsconfig.json",
+      "**/k8s/base/configmap.yaml"
+    ]
+  }
+}

package/rules/js-run/runtime/docs/fix-runtime.md

@@ -0,0 +1,27 @@
+---
+type: JS Module
+title: fix-runtime.mjs
+resource: plugins/lang-js/rules/js-run/runtime/fix-runtime.mjs
+docgen:
+  crc: a357e26a
+  model: omlx/gemma-4-e4b-it-OptiQ-4bit
+  score: 100
+  judgeModel: openai-codex/gpt-5.4-mini
+---
+
+Процес T0-autofix автоматично створює стандартизований `jsconfig.json` у backend-пакетах, що знаходяться в каталозі `src/`, якщо такий конфігураційний файл відсутній. Для визначення канонічного вигляду цього файлу використовується шаблон, визначений у `policy/jsconfig/template/jsconfig.json.snippet.json`.
+
+Конфіги, на які спирається код: jsconfig.json, jsconfig.json.snippet.json
+
+## Поведінка
+
+1. Ініціалізується контент канонічного файлу `jsconfig.json` шляхом читання з `jsconfig.json.snippet.json`.
+2. Протягується масив `patterns` для ідентифікації робочих простірців, яким бракує файлу `jsconfig.json`.
+3. Для кожного шаблону в `patterns` перевіряється наявність підходящого вихідного стану.
+4. Якщо шаблон спрацьовує, здійснюється пошук усіх відповідних робочих простірців у контексті.
+5. Для кожного знайденого робочого простірця, який містить каталог `src/` та не має `jsconfig.json`, відбувається запис канонічного контенту у файл `jsconfig.json`.
+6. У результаті, що створюються файли `jsconfig.json` у потрібних пакетах фіксується та повертається відповідний статус.
+
+## Гарантії поведінки
+
+- (специфічних машинно-виведених гарантій немає)

package/rules/js-run/runtime/docs/main.md

@@ -0,0 +1,35 @@
+---
+type: JS Module
+title: main.mjs
+resource: plugins/lang-js/rules/js-run/runtime/main.mjs
+docgen:
+  crc: 9e5d4e7b
+  model: omlx/gemma-4-e4b-it-OptiQ-4bit
+  score: 100
+  issues: judge:inaccurate:0.99
+  judgeModel: openai-codex/gpt-5.4-mini
+---
+
+## Огляд
+
+Цей файл забезпечує відповідність проєкту затвердженим правилам `js-run.mdc`, спираючись на конфігурації `jsconfig.json` та `package.json`. Він перевіряє конфігурації, імпорти, неймінг, змінні середовища та таймери для кожного пакета, ігноруючи перевірку для frontend-пакетів, що використовують `vite`.
+
+## Поведінка
+
+Поведінка:
+pgWriteContract: Не є публічною функцією.
+main: Перевіряє відповідність проєкту правилам `js-run.mdc` для кожного workspace-пакета, пропускаючи перевірку для frontend-пакетів, що використовують `vite`. Для пакетів відбувається валідація конфігурацій, імпортів, неймінгу файлів, використання змінних середовища та таймерів.
+
+## Публічний API
+
+_Конфігураційні файли, на які спирається код: jsconfig.json, package.json_
+
+- pgWriteContract — Формує та впроваджує контракт до бази даних, використовуючи специфічний інструментарій.\*
+- main — Аудитує відповідність правил виконання JavaScript для окремих пакетів у структурі workspace, ігноруючи корінь репозиторію.
+
+## Гарантії поведінки
+
+- Read-only: не виконує операцій запису (ФС/БД).
+- Перехоплює помилки і не пропускає винятків назовні (fail-safe).
+- За певних помилок повертає порожнє значення (напр. `null`) замість винятку.
+- Свідомо пропускає шляхи: `base/`.

package/rules/js-run/runtime/fix-runtime.mjs

@@ -0,0 +1,46 @@
+/**
+ * T0-autofix для `js-run/runtime` — детерміноване створення канонічного
+ * `jsconfig.json` у backend-пакетах із `src/` де він відсутній. Канон читається
+ * з `jsconfig/template/jsconfig.json.snippet.json` (єдине джерело істини).
+ *
+ * Unified lint surface: structured violations (test(violations)/apply(violations,ctx)).
+ * Workspace-и читаються з `v.message` ("[<ws>] є каталог src/, але немає jsconfig.json").
+ */
+import { existsSync, readFileSync, writeFileSync } from 'node:fs'
+import { join } from 'node:path'
+import { fileURLToPath } from 'node:url'
+
+const JSCONFIG_MISSING_RE = /є каталог src\/, але немає jsconfig\.json/u
+/** Витягує workspace із message-а одного violation (`[<ws>] є каталог src/…`). */
+const JSCONFIG_MISSING_WS_RE = /^\[([^\]]*)\] є каталог src\/, але немає jsconfig\.json/u
+
+const JSCONFIG_CONTENT =
+  readFileSync(
+    fileURLToPath(new URL('../jsconfig/template/jsconfig.json.snippet.json', import.meta.url)),
+    'utf8'
+  ).trimEnd() + '\n'
+
+/** @type {import('@7n/rules/scripts/lib/lint-surface/types.mjs').T0Pattern[]} */
+export const patterns = [
+  {
+    id: 'js-run-jsconfig-create',
+    test: violations => violations.some(v => JSCONFIG_MISSING_RE.test(v.message)),
+    apply: (violations, ctx) => {
+      const cwd = ctx.cwd
+      const touchedFiles = []
+      for (const v of violations) {
+        const m = JSCONFIG_MISSING_WS_RE.exec(v.message)
+        if (!m) continue
+        const ws = m[1]
+        const target = join(cwd, ws, 'jsconfig.json')
+        if (!existsSync(target)) {
+          ctx.recordWrite?.(target)
+          writeFileSync(target, JSCONFIG_CONTENT, 'utf8')
+          touchedFiles.push(target)
+        }
+      }
+      if (touchedFiles.length === 0) return { touchedFiles: [] }
+      return { touchedFiles, message: `створено jsconfig.json: ${touchedFiles.join(', ')}` }
+    }
+  }
+]

package/rules/js-run/runtime/main.mjs

@@ -0,0 +1,496 @@
+/** @see ./docs/runtime.md */
+import { existsSync, statSync } from 'node:fs'
+import { readFile } from 'node:fs/promises'
+import { join, relative } from 'node:path'
+
+import { findBunyanImportsInText, isBunyanScanSourceFile, shouldSkipFileForBunyanScan } from '../lib/bunyan-imports.mjs'
+import { findUncheckedProcessEnvInText, isCheckEnvScanSourceFile } from '../lib/check-env-scan.mjs'
+import { createViolationReporter } from '@7n/rules/scripts/lib/lint-surface/violation-reporter.mjs'
+import { runConftestBatch } from '@7n/rules/scripts/lib/run-conftest-batch.mjs'
+import { findConnFileRuleViolations, isConnFileRulesSourceFile } from '../lib/conn-file-rules.mjs'
+import {
+  findConnFactoryImportsInText,
+  isConnImportsScanSourceFile,
+  isInsideConnDir,
+  resolveConnDirFromPackageJson
+} from '../lib/conn-imports-scan.mjs'
+import { loadCursorIgnorePaths } from '@7n/rules/scripts/lib/load-cursor-config.mjs'
+import { findPromiseSetTimeoutInText, isPromiseSetTimeoutScanSourceFile } from '../lib/promise-settimeout-scan.mjs'
+import { findTemporalUsageInText, isTemporalScanSourceFile } from '../lib/temporal-scan.mjs'
+import { walkDir } from '@7n/rules/scripts/utils/walkDir.mjs'
+import { getMonorepoPackageRootDirs } from '@7n/rules/scripts/lib/workspaces.mjs'
+
+/**
+ * Чи існує непорожній за змістом маркер каталогу `src/` (рекомендована структура js-run).
+ * @param {string} absPackageRoot абсолютний корінь пакета
+ * @returns {boolean} true, якщо `src/` існує і є каталогом
+ */
+function backendPackageHasSrcDir(absPackageRoot) {
+  const srcPath = join(absPackageRoot, 'src')
+  try {
+    return statSync(srcPath).isDirectory()
+  } catch {
+    return false
+  }
+}
+
+/**
+ * FS-existence + структурна валідація `jsconfig.json` у backend-пакеті з
+ * каталогом `src/`. Структуру (canonical `compilerOptions` і `include`)
+ * делегуємо у rego-пакет `js_run.jsconfig` через `runConftestBatch` — Plan B:
+ * Rego-authoritative, JS оркеструє per-package gate (frontend з `vite` сюди
+ * взагалі не доходить, бо викликається лише з backend-гілки).
+ * @param {string} rootDir відносний шлях workspace
+ * @param {string} absPackageRoot абсолютний корінь пакета
+ * @param {string} label префікс `[pkg] `
+ * @param {(msg: string) => void} fail callback для повідомлень про порушення
+ * @param {(msg: string) => void} passFn callback для повідомлень про успішну перевірку
+ * @returns {Promise<void>} результат
+ * @param {string} cwd корінь репозиторію
+ */
+async function checkBackendJsconfigWhenSrcPresent(rootDir, absPackageRoot, label, fail, passFn, cwd) {
+  if (!backendPackageHasSrcDir(absPackageRoot)) return
+
+  const jcPath = join(cwd, rootDir, 'jsconfig.json')
+  if (!existsSync(jcPath)) {
+    fail(
+      `${label}є каталог src/, але немає jsconfig.json — додай канонічний файл з js-run.mdc ` +
+        `(NodeNext, include: src/**/*).`
+    )
+    return
+  }
+  const violations = await runConftestBatch({
+    policyDirRel: 'js-run/jsconfig',
+    // Правило живе у плагіні поза вбудованим rules/ ядра — резолвимо policy-теку від себе.
+    policyDirAbs: new URL('../jsconfig/', import.meta.url).pathname,
+    namespace: 'js_run.jsconfig',
+    files: [jcPath]
+  })
+  if (violations.length === 0) {
+    passFn(`${label}jsconfig.json відповідає js_run.jsconfig (rego)`)
+    return
+  }
+  for (const v of violations) fail(`${label}${v.message}`)
+}
+
+/**
+ * Перетворює абсолютний шлях у posix-формі відносно кореня пакета.
+ * @param {string} absPackageRoot абсолютний корінь пакета
+ * @param {string} absPath абсолютний шлях до файлу
+ * @returns {string} відносний posix-шлях
+ */
+function relPosix(absPackageRoot, absPath) {
+  return relative(absPackageRoot, absPath).split('\\').join('/')
+}
+
+/**
+ * Сканує джерела пакета на заборонені імпорти `@nitra/bunyan` / `bunyan`.
+ * @param {string} absPackageRoot абсолютний шлях до кореня пакета
+ * @param {string[]} ignorePaths абсолютні шляхи каталогів, повністю виключених з обходу
+ * @param {string} label префікс повідомлення `[<pkg>] `
+ * @param {(msg: string) => void} fail callback при помилці
+ * @returns {Promise<number>} кількість знайдених порушень
+ */
+async function checkBunyanImports(absPackageRoot, ignorePaths, label, fail) {
+  /** @type {string[]} */
+  const sourcePaths = []
+  await walkDir(
+    absPackageRoot,
+    absPath => {
+      const rel = relPosix(absPackageRoot, absPath)
+      if (!shouldSkipFileForBunyanScan(rel) && isBunyanScanSourceFile(rel)) {
+        sourcePaths.push(absPath)
+      }
+    },
+    ignorePaths
+  )
+
+  let violations = 0
+  for (const absPath of sourcePaths) {
+    const rel = relPosix(absPackageRoot, absPath)
+    const content = await readFile(absPath, 'utf8')
+    for (const v of findBunyanImportsInText(content, rel)) {
+      violations++
+      fail(`${label}${rel}:${v.line} — заміни '${v.module}' на '@nitra/pino': ${v.snippet}`)
+    }
+  }
+  return violations
+}
+
+/**
+ * Збирає всі JS/TS-файли пакета (без node_modules, dist тощо).
+ * @param {string} absPackageRoot абсолютний шлях до кореня пакета
+ * @param {string[]} ignorePaths абсолютні шляхи каталогів, повністю виключених з обходу
+ * @returns {Promise<string[]>} абсолютні шляхи до файлів
+ */
+async function collectSourceFiles(absPackageRoot, ignorePaths) {
+  /** @type {string[]} */
+  const out = []
+  await walkDir(
+    absPackageRoot,
+    absPath => {
+      const rel = relPosix(absPackageRoot, absPath)
+      if (isCheckEnvScanSourceFile(rel)) out.push(absPath)
+    },
+    ignorePaths
+  )
+  return out
+}
+
+/**
+ * Перевіряє правило «Внутрішні аліаси» для пакета.
+ * @param {string} absPackageRoot абсолютний корінь пакета
+ * @param {string[]} sourcePaths абсолютні шляхи до файлів
+ * @param {unknown} pkgJson розпарсений `package.json` пакета (або null)
+ * @param {string} label префікс повідомлення `[<pkg>] `
+ * @param {(msg: string) => void} fail callback при помилці
+ * @returns {Promise<number>} кількість порушень
+ */
+async function checkConnImports(absPackageRoot, sourcePaths, pkgJson, label, fail) {
+  const connDir = resolveConnDirFromPackageJson(pkgJson)
+  let violations = 0
+  for (const absPath of sourcePaths) {
+    const rel = relPosix(absPackageRoot, absPath)
+    if (!isConnImportsScanSourceFile(rel)) continue
+    if (isInsideConnDir(rel, connDir)) continue
+    const content = await readFile(absPath, 'utf8')
+    for (const v of findConnFactoryImportsInText(content, rel)) {
+      violations++
+      const target = v.specifier === '*' ? `'${v.module}'` : `{ ${v.specifier} } from '${v.module}'`
+      fail(
+        `${label}${rel}:${v.line} — імпорт ${target} має бути в '${connDir}/' і реекспортуватися через '#conn/*': ${v.snippet}`
+      )
+    }
+  }
+  return violations
+}
+
+/**
+ * Перевіряє правила нейминга та експортів для файлів усередині `#conn/`.
+ *
+ * Канон імені: `ql-<id>` для GraphQL, `(pg|mysql|mssql)-(read|write)[-<id>]` для БД (js-run.mdc,
+ * розділ «Нейминг файлів у `src/conn/`»). Експорт у файлі — лише іменований, з імʼям, що
+ * дорівнює camelCase від basename файла (`pg-write-contract.js` → `export const pgWriteContract`).
+ * @param {string} absPackageRoot абсолютний корінь пакета
+ * @param {string[]} sourcePaths абсолютні шляхи до файлів пакета
+ * @param {unknown} pkgJson розпарсений package.json пакета (або null)
+ * @param {string} label префікс повідомлення `[<pkg>] `
+ * @param {(msg: string) => void} fail callback при помилці
+ * @returns {Promise<number>} кількість порушень
+ */
+async function checkConnFileNamingAndExports(absPackageRoot, sourcePaths, pkgJson, label, fail) {
+  const connDir = resolveConnDirFromPackageJson(pkgJson)
+  let violations = 0
+  for (const absPath of sourcePaths) {
+    const rel = relPosix(absPackageRoot, absPath)
+    if (!isConnFileToCheck(rel, connDir)) continue
+    const content = await readFile(absPath, 'utf8')
+    for (const v of findConnFileRuleViolations(content, rel)) {
+      violations++
+      fail(formatConnFileViolation(v, label, rel, connDir))
+    }
+  }
+  return violations
+}
+
+/**
+ * Чи `rel` — це conn-файл, який треба валідувати: під `connDir/`, з JS/TS-розширенням,
+ * не `index.*` (який є реекспортним барелем).
+ * @param {string} rel відносний шлях у posix-форматі
+ * @param {string} connDir каталог conn-файлів (наприклад `src/conn`)
+ * @returns {boolean} true, якщо файл потрібно перевірити
+ */
+function isConnFileToCheck(rel, connDir) {
+  if (!isInsideConnDir(rel, connDir)) return false
+  if (!isConnFileRulesSourceFile(rel)) return false
+  const base = rel.slice(rel.lastIndexOf('/') + 1)
+  return !base.startsWith('index.')
+}
+
+/**
+ * Будує повідомлення про конкретне порушення canon-у файла з `connDir/`.
+ * @param {{ kind: 'name' | 'default-export' | 'export-name', expectedName?: string, foundNames?: string[] }} v опис порушення
+ * @param {string} label префікс повідомлення `[<pkg>] `
+ * @param {string} rel відносний шлях файла
+ * @param {string} connDir каталог conn-файлів
+ * @returns {string} повний текст повідомлення для `fail(...)`
+ */
+function formatConnFileViolation(v, label, rel, connDir) {
+  if (v.kind === 'name') {
+    return (
+      `${label}${rel} — назва файла в '${connDir}/' не відповідає канону js-run: ` +
+      `'ql-<id>', 'pg-{read|write}[-<id>]', 'mysql-{read|write}[-<id>]' або 'mssql-{read|write}[-<id>]' ` +
+      `(kebab-case, [a-z0-9-])`
+    )
+  }
+  if (v.kind === 'default-export') {
+    return `${label}${rel} — 'export default' заборонений у '${connDir}/'; зроби іменований експорт`
+  }
+  const found = v.foundNames?.length ? v.foundNames.join(', ') : '—'
+  return (
+    `${label}${rel} — очікується іменований експорт 'export const ${v.expectedName} = …' ` +
+    `(camelCase від назви файла); знайдено: ${found}`
+  )
+}
+
+/**
+ * Перевіряє правило «CheckEnv» для пакета.
+ * @param {string} absPackageRoot абсолютний корінь пакета
+ * @param {string[]} sourcePaths абсолютні шляхи до файлів
+ * @param {string} label префікс повідомлення `[<pkg>] `
+ * @param {(msg: string) => void} fail callback при помилці
+ * @returns {Promise<number>} кількість порушень
+ */
+async function checkProcessEnvUsage(absPackageRoot, sourcePaths, label, fail) {
+  let violations = 0
+  for (const absPath of sourcePaths) {
+    const rel = relPosix(absPackageRoot, absPath)
+    const content = await readFile(absPath, 'utf8')
+    for (const v of findUncheckedProcessEnvInText(content, rel)) {
+      violations++
+      const message =
+        v.kind === 'process-env'
+          ? `${label}${rel}:${v.line} — process.env.${v.name}: заміни на env з '@nitra/check-env' (обов'язкова змінна + checkEnv(['${v.name}'])) або з 'node:process' (опційна)`
+          : `${label}${rel}:${v.line} — env.${v.name} (з '@nitra/check-env') без checkEnv(['${v.name}']) (або '// @7n/rules ignore-next-line checkEnv' попереду)`
+      fail(message)
+    }
+  }
+  return violations
+}
+
+/**
+ * Сканує джерела пакета на паттерн `new Promise(resolve => setTimeout(resolve, ms))`.
+ * @param {string} absPackageRoot абсолютний корінь пакета
+ * @param {string[]} sourcePaths абсолютні шляхи до файлів
+ * @param {string} label префікс повідомлення `[<pkg>] `
+ * @param {(msg: string) => void} fail callback при помилці
+ * @returns {Promise<number>} кількість порушень
+ */
+async function checkPromiseSetTimeoutPause(absPackageRoot, sourcePaths, label, fail) {
+  let violations = 0
+  for (const absPath of sourcePaths) {
+    const rel = relPosix(absPackageRoot, absPath)
+    if (!isPromiseSetTimeoutScanSourceFile(rel)) continue
+    const content = await readFile(absPath, 'utf8')
+    for (const v of findPromiseSetTimeoutInText(content, rel)) {
+      violations++
+      fail(
+        `${label}${rel}:${v.line} — заміни 'new Promise(r => setTimeout(r, ms))' на 'await setTimeout(ms)' з 'node:timers/promises': ${v.snippet}`
+      )
+    }
+  }
+  return violations
+}
+
+/**
+ * Сканує джерела пакета на `Temporal`, який у Bun runtime ще недоступний.
+ * @param {string} absPackageRoot абсолютний корінь пакета
+ * @param {string[]} sourcePaths абсолютні шляхи до файлів
+ * @param {string} label префікс повідомлення `[<pkg>] `
+ * @param {(msg: string) => void} fail callback при помилці
+ * @returns {Promise<number>} кількість порушень
+ */
+async function checkTemporalUsage(absPackageRoot, sourcePaths, label, fail) {
+  let violations = 0
+  for (const absPath of sourcePaths) {
+    const rel = relPosix(absPackageRoot, absPath)
+    if (!isTemporalScanSourceFile(rel)) continue
+    const content = await readFile(absPath, 'utf8')
+    for (const v of findTemporalUsageInText(content, rel)) {
+      violations++
+      fail(
+        `${label}${rel}:${v.line} — Temporal API заборонений у Bun runtime; використовуй Date або інʼєктований timestamp`
+      )
+    }
+  }
+  return violations
+}
+
+/**
+ * Перевіряє відповідність правилам js-run.mdc для одного workspace-пакета.
+ * @param {string} rootDir відносний шлях workspace (не `'.'`)
+ * @param {string[]} ignorePaths абсолютні шляхи каталогів, повністю виключених з обходу
+ * @param {(msg: string) => void} fail функція зворотного виклику для реєстрації помилки перевірки
+ * @param {(msg: string) => void} passFn успішне повідомлення (як у check-reporter)
+ * @returns {Promise<void>} завершується після перевірок цього пакета
+ * @param {string} cwd корінь репозиторію
+ */
+async function checkWorkspacePackage(rootDir, ignorePaths, fail, passFn, cwd) {
+  const label = `[${rootDir}] `
+  const absPackageRoot = join(cwd, rootDir)
+  const pkgJson = await loadPackageJson(rootDir, cwd)
+
+  // Frontend-пакети (vite у devDependencies) виходять за межі js-run:
+  // браузерний бандл не має `node:process`, а `process.env.*` бандлер
+  // обробляє самостійно. Перевірку process.env / conn-аліасів пропускаємо;
+  // bunyan-залежність валідується в Rego (`npx @7n/rules fix`).
+  if (packageJsonHasViteDevDependency(pkgJson)) {
+    passFn(`${label}vite-пакет (frontend) — js-run пропущено (process.env / conn-aliases / OTEL configmap)`)
+    return
+  }
+
+  await checkBackendJsconfigWhenSrcPresent(rootDir, absPackageRoot, label, fail, passFn, cwd)
+
+  const importViolations = await checkBunyanImports(absPackageRoot, ignorePaths, label, fail)
+  if (importViolations === 0) {
+    passFn(`${label}немає імпортів '@nitra/bunyan' / 'bunyan' у джерелах`)
+  }
+
+  const sourcePaths = await collectSourceFiles(absPackageRoot, ignorePaths)
+
+  const connViolations = await checkConnImports(absPackageRoot, sourcePaths, pkgJson, label, fail)
+  if (connViolations === 0) {
+    const connDir = resolveConnDirFromPackageJson(pkgJson)
+    passFn(`${label}імпорти підключень (bun#SQL / mssql / @nitra/graphql-request#GraphQLClient) лише в '${connDir}/'`)
+  }
+
+  const connFileViolations = await checkConnFileNamingAndExports(absPackageRoot, sourcePaths, pkgJson, label, fail)
+  if (connFileViolations === 0) {
+    const connDir = resolveConnDirFromPackageJson(pkgJson)
+    passFn(
+      `${label}файли в '${connDir}/' дотримують канону js-run: нейминг (ql-/pg-/mysql-/mssql-…) і іменований експорт у camelCase від basename`
+    )
+  }
+
+  const envViolations = await checkProcessEnvUsage(absPackageRoot, sourcePaths, label, fail)
+  if (envViolations === 0) {
+    passFn(
+      `${label}немає прямого process.env.*; усі env.* з '@nitra/check-env' закриті checkEnv(['…']) (або '// @7n/rules ignore-next-line checkEnv')`
+    )
+  }
+
+  const pauseViolations = await checkPromiseSetTimeoutPause(absPackageRoot, sourcePaths, label, fail)
+  if (pauseViolations === 0) {
+    passFn(`${label}немає 'new Promise(r => setTimeout(r, ms))' — паузи через 'node:timers/promises'`)
+  }
+
+  const temporalViolations = await checkTemporalUsage(absPackageRoot, sourcePaths, label, fail)
+  if (temporalViolations === 0) {
+    passFn(`${label}немає Temporal API у Bun runtime-коді`)
+  }
+
+  checkOtelConfigmap(rootDir, passFn, fail, cwd)
+
+  const connAliasViolations = checkConnAliasDeclaration(absPackageRoot, sourcePaths, pkgJson, label, fail)
+  if (connAliasViolations === 0) {
+    const connDir = resolveConnDirFromPackageJson(pkgJson)
+    passFn(`${label}package.json.imports["#conn/*"] оголошений (або файлів у '${connDir}/' немає)`)
+  }
+}
+
+/**
+ * Чи має пакет `vite` у `devDependencies` (маркер frontend-пакета — vite/quasar/capacitor SPA).
+ * Семантично ідентично `packageJsonLacksViteDevDependency` з `auto-rules.mjs`, але
+ * приймає вже розпарсений pkgJson.
+ * @param {unknown} pkgJson розпарсений `package.json` пакета (або null)
+ * @returns {boolean} true, якщо `vite` присутній у `devDependencies`
+ */
+function packageJsonHasViteDevDependency(pkgJson) {
+  if (!pkgJson || typeof pkgJson !== 'object' || Array.isArray(pkgJson)) return false
+  const devDeps = /** @type {Record<string, unknown>} */ (pkgJson).devDependencies
+  if (!devDeps || typeof devDeps !== 'object' || Array.isArray(devDeps)) return false
+  return Object.hasOwn(devDeps, 'vite')
+}
+
+/**
+ * Завантажує `package.json` пакета (якщо є). Заборону `@nitra/bunyan` / `bunyan`
+ * у dependencies/devDependencies перенесено в Rego (`npm/policy/js_run/package_json/`);
+ * `npx \@7n/rules check` запускає її по всіх workspace `package.json`. Тут лишилася
+ * лише AST-перевірка імпортів.
+ * @param {string} rootDir відносний шлях workspace
+ * @returns {Promise<unknown>} розпарсений package.json або null
+ * @param {string} cwd корінь репозиторію
+ */
+async function loadPackageJson(rootDir, cwd) {
+  const pkgPath = join(cwd, rootDir, 'package.json')
+  if (!existsSync(pkgPath)) return null
+  return JSON.parse(await readFile(pkgPath, 'utf8'))
+}
+
+/**
+ * Перевіряє наявність `k8s/base/configmap.yaml` пакета. Структуру (наявність
+ * `OTEL_RESOURCE_ATTRIBUTES` з обов'язковими `service.name=` / `service.namespace=`)
+ * перенесено в Rego (`npm/policy/js_run/configmap/`); `npx \@7n/rules check`
+ * запускає її на всіх `k8s/base/configmap.yaml`.
+ * @param {string} rootDir відносний шлях workspace
+ * @param {(msg: string) => void} passFn успішне повідомлення
+ * @returns {void}
+ * @param {string} cwd корінь репозиторію
+ */
+/**
+ * Перевіряє наявність `package.json#imports["#conn/*"]` коли у `connDir` є файли.
+ * @param {string} absPackageRoot абсолютний корінь пакета
+ * @param {string[]} sourcePaths абсолютні шляхи до файлів пакета
+ * @param {unknown} pkgJson розпарсений package.json пакета (або null)
+ * @param {string} label префікс повідомлення
+ * @param {(msg: string) => void} fail callback при помилці
+ * @returns {number} 0 — ок, 1 — порушення
+ */
+function checkConnAliasDeclaration(absPackageRoot, sourcePaths, pkgJson, label, fail) {
+  const connDir = resolveConnDirFromPackageJson(pkgJson)
+  const hasConnFiles = sourcePaths.some(absPath => isInsideConnDir(relPosix(absPackageRoot, absPath), connDir))
+  if (!hasConnFiles) return 0
+
+  const imports =
+    pkgJson && typeof pkgJson === 'object' && !Array.isArray(pkgJson)
+      ? /** @type {Record<string, unknown>} */ (pkgJson).imports
+      : null
+  if (imports && typeof imports === 'object' && !Array.isArray(imports) && imports['#conn/*']) return 0
+
+  fail(
+    `${label}є файли у '${connDir}/', але в package.json відсутній аліас "#conn/*" — ` +
+      `додай "imports": { "#conn/*": "./${connDir}/*" } (js-run.mdc conn-aliases)`
+  )
+  return 1
+}
+
+/**
+ * Перевіряє наявність OTEL configmap для workspace-пакета.
+ * @param {string} rootDir корінь пакета відносно cwd
+ * @param {(msg: string) => void} passFn репортер успішної перевірки
+ * @param {(msg: string) => void} failFn репортер порушення
+ * @param {string} cwd робочий каталог
+ * @returns {void}
+ */
+function checkOtelConfigmap(rootDir, passFn, failFn, cwd) {
+  const k8sDir = join(cwd, rootDir, 'k8s')
+  if (!existsSync(k8sDir)) {
+    passFn(`${rootDir}: немає каталогу k8s/ — перевірку OTEL configmap пропущено`)
+    return
+  }
+  const configmapPath = join(k8sDir, 'base', 'configmap.yaml')
+  if (!existsSync(configmapPath)) {
+    failFn(
+      `${rootDir}/k8s/base/configmap.yaml відсутній — додай з полем OTEL_RESOURCE_ATTRIBUTES ` +
+        `(service.name=, service.namespace=), js-run.mdc`
+    )
+    return
+  }
+  passFn(`${rootDir}/k8s/base/configmap.yaml є (OTEL — npx @7n/rules fix → js_run.configmap)`)
+}
+
+/**
+ * Перевіряє відповідність проєкту правилам js-run.mdc лише для workspace-пакетів (не корінь репо).
+ * @param {import('@7n/rules/scripts/lib/lint-surface/types.mjs').LintContext} ctx контекст лінту
+ * @returns {Promise<import('@7n/rules/scripts/lib/lint-surface/types.mjs').LintResult>} перелік порушень
+ */
+export async function lint(ctx) {
+  const cwd = ctx.cwd
+  const reporter = createViolationReporter(ctx)
+  const { pass, fail } = reporter
+
+  const roots = await getMonorepoPackageRootDirs(cwd)
+  const workspaceRoots = roots.filter(r => r !== '.')
+
+  if (workspaceRoots.length === 0) {
+    pass('js-run: немає workspace-пакетів у кореневому package.json — перевірку залежностей і k8s у пакетах пропущено')
+    return reporter.result()
+  }
+
+  const ignorePaths = await loadCursorIgnorePaths(cwd)
+  for (const r of workspaceRoots) {
+    await checkWorkspacePackage(r, ignorePaths, fail, pass, cwd)
+  }
+
+  return reporter.result()
+}