@7n/rules-lang-js 0.6.0 → 0.7.0

package/rules/test/no-console-store-restore/docs/main.md

@@ -0,0 +1,44 @@
+---
+type: JS Module
+title: main.mjs
+resource: plugins/lang-js/rules/test/no-console-store-restore/main.mjs
+docgen:
+  crc: 747e7e48
+  model: omlx/gemma-4-e4b-it-OptiQ-4bit
+  score: 100
+  issues: judge:inaccurate:0.99
+  judgeModel: openai-codex/gpt-5.4-mini
+---
+
+## Огляд
+
+Перевіряє відповідність тестової логіки стандарту, забобонячи пряме присвоєння методів об'єкта `console` у JS-тестах. Забезпечує використання рекомендованого механізму мокування (`vi.spyOn.mockReturnValue`) для збереження цілісності тестового середовища.
+
+Поведінка:
+main запускає перевірку вказаного кореня репозиторію.
+Збирається список усіх файлів, що відповідають шаблону JS-тестів.
+Для кожного знайденого тестового файлу зчитується його вміст.
+Перевіряється наявність прямого присвоєння методів об'єкта `console` (наприклад, `console.log = ...`).
+Якщо порушень не знайдено, виводиться успішне повідомлення згідно з (test.mdc).
+У разі виявлення порушення (пряме присвоєння), фіксується місце інциденту (файл та рядок) і генерується повідомлення про помилку, яке рекомендує замінити присвоєння на `vi.spyOn.mockReturnValue`, відповідно до (test.mdc, no-console-store-restore).
+Виводиться відповідний код завершення.
+
+## Поведінка
+
+Поведінка:
+
+1. main викликається для запуску перевірки вказаного кореня репозиторію.
+2. Збирається список усіх файлів, що відповідають шаблону JS-тестів.
+3. Для кожного знайденого тестового файлу зчитується його вміст.
+4. Перевіряється, чи містить вміст пряме присвоєння методів об'єкта `console` (наприклад, `console.log = ...`).
+5. Якщо жодного такого присвоєння не знайдено у жодному тестовому файлі, система повідомляє про успіх згідно з (test.mdc).
+6. Якщо знайдено порушення (пряме присвоєння), система фіксує місце порушення (файл та рядок) і повідомляє про помилку, рекомендуючи замість цього використовувати `vi.spyOn.mockReturnValue` згідно з (test.mdc, no-console-store-restore).
+7. Виводиться відповідний код завершення.
+
+## Публічний API
+
+main — перевіряє, що файли тесту не перевизначають консольні методи через пряме присвоєння, вимагаючи використання `vi.spyOn` для мокування.
+
+## Гарантії поведінки
+
+- Read-only: не виконує операцій запису (ФС/БД).

package/rules/test/no-console-store-restore/main.mjs

@@ -0,0 +1,55 @@
+/** @see ./docs/no-console-store-restore.md */
+import { createViolationReporter } from '@7n/rules/scripts/lib/lint-surface/violation-reporter.mjs'
+import { collectTestFileOffenders } from '../lib/collect-test-file-offenders.mjs'
+
+/**
+ * Ловить пряме присвоєння `console.<method> = …` у `*.test.{js,mjs}`.
+ * `console.log = fn` — process-wide мутація; канон: `vi.spyOn(console, 'log')`.
+ * `(?!=)` виключає `==` та `===` (лише одиночний `=`).
+ */
+const CONSOLE_ASSIGN_RE =
+  /\bconsole\.(?:log|error|warn|info|debug|dir|table|trace|group|groupEnd|time|timeEnd)\s*=(?!=)/u
+
+/**
+ * Знаходить рядки з прямим присвоєнням `console.<method> = …`.
+ * @param {string} body вміст файлу
+ * @returns {Array<{line: number}>} знайдені порушення
+ */
+function findOffenders(body) {
+  const offenders = []
+  const lines = body.split('\n')
+  for (const [i, line] of lines.entries()) {
+    if (CONSOLE_ASSIGN_RE.test(line)) {
+      offenders.push({ line: i + 1 })
+    }
+  }
+  return offenders
+}
+
+/**
+ * Перевіряє, що жоден `*.test.{mjs,js}` файл не перевизначає `console.<method>`
+ * через пряме присвоєння. Канон — `vi.spyOn(console, 'log').mockReturnValue()`.
+ * @param {import('@7n/rules/scripts/lib/lint-surface/types.mjs').LintContext} ctx контекст лінту.
+ * @returns {Promise<import('@7n/rules/scripts/lib/lint-surface/types.mjs').LintResult>} результат перевірки з порушеннями.
+ */
+export async function lint(ctx) {
+  const reporter = createViolationReporter(ctx)
+  const { pass, fail } = reporter
+
+  const cwd = ctx.cwd
+  const { testFiles, offenders } = await collectTestFileOffenders(cwd, findOffenders)
+
+  if (offenders.length === 0) {
+    pass(`Жоден з ${testFiles.length} тестових файлів не присвоює console.<method> = … (test.mdc)`)
+    return reporter.result()
+  }
+
+  for (const { file, line } of offenders) {
+    fail(
+      `${file}:${line}: пряме присвоєння console.<method> = … заборонено — ` +
+        `використовуй vi.spyOn(console, 'method').mockReturnValue() (test.mdc, no-console-store-restore)`
+    )
+  }
+
+  return reporter.result()
+}

package/rules/test/no-console-store-restore/no-console-store-restore.mdc

@@ -0,0 +1,11 @@
+## Заборона ручного store/restore `console` у тестах
+
+`console.log` / `console.error` / `console.warn` — **process-wide** мутації, рівно як `process.cwd()`. Якщо тест перехоплює їх через `const orig = console.log; console.log = (...) => …; try { … } finally { console.log = orig }`, паралельний test файл у `pool: 'forks'` (різний процес) ізольований, але в межах **одного** процесу всі тести у файлі ділять єдиний `console`-об'єкт. Якщо try/finally не виконається (наприклад, асинхронна помилка повз `await`), restore не спрацює і наступні тести втрачають вивід.
+
+Тому:
+
+- **Канон**: `vi.spyOn(console, 'log').mockReturnValue()` (та аналоги для `error`/`warn`/`info`) + `afterEach(() => vi.restoreAllMocks())`. Vitest сам слідкує за scope mock-у і гарантовано відновлює оригінал між тестами, навіть якщо тест кинув виняток.
+- **Заборонено**: ручний store/restore (`const orig = console.log; console.log = stub`). Виняток — коли тест **необхідно** перехопити вивід **до** того, як завантажиться модуль із top-level-логуванням; у цьому випадку фіксуй pattern explicit-коментарем.
+- Якщо потрібен лог зі stub-ом — `const logs = []; vi.spyOn(console, 'log').mockImplementation((...args) => logs.push(args.join(' ')))`.
+
+**Перевірка** — концерн `no-console-store-restore` (`rules/test/js/no-console-store-restore.mjs`): AST-сканер, який ловить присвоєння `console.<method> = …` у `*.test.{js,mjs}`.

package/rules/test/no-process-chdir/concern.json

@@ -0,0 +1,7 @@
+{
+  "$schema": "https://unpkg.com/@7n/rules/schemas/concern.json",
+  "lint": {
+    "scope": "full",
+    "glob": ["**/*.test.mjs", "**/*.test.js"]
+  }
+}

package/rules/test/no-process-chdir/docs/index.md

@@ -0,0 +1,11 @@
+---
+type: Directory Index
+title: npm/rules/test/no-process-chdir
+resource: plugins/lang-js/rules/test/no-process-chdir/
+---
+
+# npm/rules/test/no-process-chdir
+
+| Файл                | Тип       |
+| ------------------- | --------- |
+| [main.mjs](main.md) | JS Module |

package/rules/test/no-process-chdir/docs/main.md

@@ -0,0 +1,32 @@
+---
+type: JS Module
+title: main.mjs
+resource: plugins/lang-js/rules/test/no-process-chdir/main.mjs
+docgen:
+  crc: 66ca3322
+  model: omlx/gemma-4-e4b-it-OptiQ-4bit
+  score: 100
+  issues: judge:inaccurate:0.99
+  judgeModel: openai-codex/gpt-5.4-mini
+---
+
+## Огляд
+
+Поведінка програми полягає у виконанні основної логіки, визначеної в функції `main`. Програма надає функціональність, що не передбачає взаємодії з файловою системою або базами даних. Для верифікації коректності роботи логіки необхідно застосувати тести, які відносяться до `test.mdc`.
+
+## Поведінка
+
+1. Викликається `main` для початку перевірки.
+2. Програма шукає всі файли, що відповідають шаблону JS-тесту.
+3. Для кожного тестового файлу здійснюється пошук виклику `process.chdir`.
+4. Якщо виклик знайдено у тестовому файлі, фіксується його місцезнаходження.
+5. Якщо жоден виклик не знайдено, виводиться повідомлення про успішне виконання перевірки (test.mdc).
+6. Якщо знайдено виклики, для кожного інциденту виводиться повідомлення про порушення (test.mdc), з обов'язковою згадкою про рекомендацію використання `withTmpDir + явні join + cwd: dir`.
+
+## Публічний API
+
+main — Забороняє зміну робочої директорії (`process.chdir`) у тестових файлах.
+
+## Гарантії поведінки
+
+- Read-only: не виконує операцій запису (ФС/БД).

package/rules/test/no-process-chdir/main.mjs

@@ -0,0 +1,40 @@
+/** @see ./docs/no-process-chdir.md */
+import { readFile } from 'node:fs/promises'
+
+import { collectTestFiles, toRelPosix } from '@7n/rules/scripts/lib/collect-test-files.mjs'
+
+/** Шукаємо викликний паттерн з відкривною дужкою — не зачепить згадку у docstring. */
+const CHDIR_CALL_RE = /process\.chdir\s*\(/u
+
+/**
+ * Detector: жоден `*.test.{mjs,js}` не викликає `process.chdir(` (test.mdc).
+ * @param {import('@7n/rules/scripts/lib/lint-surface/types.mjs').LintContext} ctx Контекст лінту (`cwd` тощо).
+ * @returns {Promise<import('@7n/rules/scripts/lib/lint-surface/types.mjs').LintResult>} Результат лінту зі списком violations.
+ */
+export async function lint(ctx) {
+  const { cwd } = ctx
+  const testFiles = await collectTestFiles(cwd)
+
+  /** @type {import('@7n/rules/scripts/lib/lint-surface/types.mjs').LintViolation[]} */
+  const violations = []
+  for (const absPath of testFiles) {
+    const body = await readFile(absPath, 'utf8')
+    if (!CHDIR_CALL_RE.test(body)) continue
+    const file = toRelPosix(cwd, absPath)
+    for (const [i, line] of body.split('\n').entries()) {
+      if (!CHDIR_CALL_RE.test(line)) continue
+      violations.push(
+        /** @type {Partial<import('@7n/rules/scripts/lib/lint-surface/types.mjs').LintViolation>} */ ({
+          reason: 'process-chdir-in-test',
+          message:
+            `${file}:${i + 1}: process.chdir() у тесті заборонений — використовуй ` +
+            'withTmpDir(async dir => …) + явні join(dir, …) + cwd: dir (test.mdc)',
+          file,
+          data: { line: i + 1 }
+        })
+      )
+    }
+  }
+
+  return { violations }
+}

package/rules/test/no-process-chdir/no-process-chdir.mdc

@@ -0,0 +1,15 @@
+## Заборона `process.chdir` у тестах
+
+`process.chdir(dir)` — **process-wide** мутація. Vitest за замовчуванням ставить `pool: 'threads'`, і всі workers ділять один процес: паралельний test file може перехопити cwd сусіда посеред FS- або `git`-операції. У реальному інциденті це призвело до того, що `git init`+`git commit` із tmp-фікстури потрапив у реальний робочий репозиторій і створив rogue commit з автором `test <test@test>`, знищивши `npm/package.json` / `CHANGELOG.md`.
+
+Тому:
+
+- **У тестах заборонено** `process.chdir(...)` напряму та будь-які хелпери, що його викликають (історичний `withTmpCwd` видалений у `1.28.0`).
+- Канон: `withTmpDir(async dir => { ... })` зі `scripts/utils/test-helpers.mjs` — створює tmpdir і передає **абсолютний** `dir` у callback **без** `process.chdir`.
+- Усі FS-операції у тесті — через `join(dir, …)` і `writeJson(join(dir, …), …)` / `ensureDir(join(dir, …))` (хелпери валідують `isAbsolute`).
+- Усі child-процеси — `execFile(bin, args, { cwd: dir })`, `spawnSync(bin, args, { cwd: dir })`.
+- Concern-функції правил — `await check(dir)`, `await applies(dir)`, `await fix(dir)`; усі production функції приймають перший параметр `cwd = process.cwd()` (default зберігає CLI-сумісність).
+
+**Перевірка** (`rules/test/js/no-process-chdir.mjs`): сканує `**/*.test.{js,mjs}` і падає з ❌ на будь-яке вживання `process.chdir(`.
+
+**Кожен виклик `execFile`/`execFileSync`/`spawn`/`spawnSync`** у `*.test.{js,mjs}` приймає або **явний `{ cwd: dir }`** (де `dir` — змінна, не `process.cwd()`), або працює з **абсолютними шляхами** до бінарників/fixture-файлів. Це гарантує, що мутаційний test-flow у `pool: 'forks'` не страждає від implicit-`process.cwd()`-stride між тестами в одному воркері.

package/rules/test/no-relative-fs-path/concern.json

@@ -0,0 +1,7 @@
+{
+  "$schema": "https://unpkg.com/@7n/rules/schemas/concern.json",
+  "lint": {
+    "scope": "full",
+    "glob": ["**/*.test.mjs", "**/*.test.js"]
+  }
+}

package/rules/test/no-relative-fs-path/docs/index.md

@@ -0,0 +1,11 @@
+---
+type: Directory Index
+title: npm/rules/test/no-relative-fs-path
+resource: plugins/lang-js/rules/test/no-relative-fs-path/
+---
+
+# npm/rules/test/no-relative-fs-path
+
+| Файл                | Тип       |
+| ------------------- | --------- |
+| [main.mjs](main.md) | JS Module |

package/rules/test/no-relative-fs-path/docs/main.md

@@ -0,0 +1,34 @@
+---
+type: JS Module
+title: main.mjs
+resource: plugins/lang-js/rules/test/no-relative-fs-path/main.mjs
+docgen:
+  crc: b8f4b7aa
+  model: omlx/gemma-4-e4b-it-OptiQ-4bit
+  score: 95
+  issues: anchor-miss:(test.mdc),judge:inaccurate:0.99
+  judgeModel: openai-codex/gpt-5.4-mini
+---
+
+## Огляд
+
+main функція забезпечує виконання основного логічного блоку програми. Вона відповідає за ініціалізацію системи та керує її життєвим циклом. Кешування даних здійснюється протягом одного виконання для підвищення продуктивності за рахунок уникнення повторних обчислень. Поведінка системи включає інтеграцію маркерів повідомлень відповідно до правил `test.mdc`.
+
+## Поведінка
+
+1. Викликати `main` для запуску перевірки.
+2. Система збирає список усіх файлів, що є тестовими (завершуються на `*.test.mjs` або `*.test.js`) у директорії проєкту та її підкаталогах.
+3. Для кожного знайденого тестового файлу система зчитує його вміст.
+4. Система аналізує вміст кожного тестового файлу, шукаючи виклики функцій з модулю `node:fs` або `node:fs/promises`, які приймають шляхи.
+5. При виявленні такого виклику система перевіряє, чи використовується як літеральний шлях (string literal або template literal без виразів) відносний шлях.
+6. Якщо відносний шлях знайдено, система фіксує місце порушення: ім'я файлу, номер рядка, назву функції та позицію аргументу.
+7. Якщо порушень не знайдено у жодному тестовому файлі, виконується фіксація успішного завершення перевірки.
+8. Якщо порушення знайдено, для кожного знайденого випадку система фіксує помилку, вказуючи, що використовується відносний шлях і що слід замінити його на обчислення за допомогою `join`.
+
+## Публічний API
+
+main — Гарантує, що тестові файли не використовують відносні шляхи як перший аргумент при виклику файлових операцій з `node:fs` або `node:fs/promises`.
+
+## Гарантії поведінки
+
+- Кешує результати в межах одного прогону.

package/rules/test/no-relative-fs-path/main.mjs

@@ -0,0 +1,239 @@
+/** @see ./docs/no-relative-fs-path.md */
+import { readFile } from 'node:fs/promises'
+import { basename, relative } from 'node:path'
+
+import { createViolationReporter } from '@7n/rules/scripts/lib/lint-surface/violation-reporter.mjs'
+import { loadCursorIgnorePaths } from '@7n/rules/scripts/lib/load-cursor-config.mjs'
+import { parseProgramOrNull, walkAstWithAncestors } from '@7n/rules/scripts/utils/ast-scan-utils.mjs'
+import { walkDir } from '@7n/rules/scripts/utils/walkDir.mjs'
+
+/**
+ * FS-функції з `node:fs` / `node:fs/promises` / sync-API, які приймають path
+ * у фіксованих позиціях. Map: ім'я функції → масив 0-індексованих позицій
+ * path-аргументів (1-й, 2-й, або обидва — як у `copyFile/rename/symlink/link`).
+ */
+const FS_PATH_ARG_POSITIONS = new Map([
+  ['writeFile', [0]],
+  ['writeFileSync', [0]],
+  ['readFile', [0]],
+  ['readFileSync', [0]],
+  ['appendFile', [0]],
+  ['appendFileSync', [0]],
+  ['mkdir', [0]],
+  ['mkdirSync', [0]],
+  ['rmdir', [0]],
+  ['rmdirSync', [0]],
+  ['rm', [0]],
+  ['rmSync', [0]],
+  ['unlink', [0]],
+  ['unlinkSync', [0]],
+  ['access', [0]],
+  ['accessSync', [0]],
+  ['stat', [0]],
+  ['statSync', [0]],
+  ['lstat', [0]],
+  ['lstatSync', [0]],
+  ['chmod', [0]],
+  ['chmodSync', [0]],
+  ['chown', [0]],
+  ['chownSync', [0]],
+  ['truncate', [0]],
+  ['truncateSync', [0]],
+  ['existsSync', [0]],
+  ['readdir', [0]],
+  ['readdirSync', [0]],
+  ['copyFile', [0, 1]],
+  ['copyFileSync', [0, 1]],
+  ['rename', [0, 1]],
+  ['renameSync', [0, 1]],
+  ['symlink', [0, 1]],
+  ['symlinkSync', [0, 1]],
+  ['link', [0, 1]],
+  ['linkSync', [0, 1]],
+  ['cp', [0, 1]],
+  ['cpSync', [0, 1]],
+  // test-helpers абсолютні-only форми (зайвий захист)
+  ['writeJson', [0]],
+  ['ensureDir', [0]]
+])
+
+/**
+ * Префікси абсолютних шляхів або очевидно-обчислених. Якщо literal починається з
+ * одного з них — це OK (тест свідомо передає absolute чи URL).
+ */
+const ABSOLUTE_PREFIXES = ['/', '\\', 'file:', 'http:', 'https:', 'data:']
+const WINDOWS_DRIVE_RE = /^[A-Za-z]:[\\/]/u
+
+/**
+ * Чи string literal — relative path (тобто баг). Перевіряє лише string-літерали
+ * та template literals без виразів. Виклики `join(...)` / `resolve(...)` /
+ * перемінні з ${} — пропускаємо (припускаємо absolute).
+ * @param {object} arg AST node аргументу
+ * @returns {string|null} relative-path значення (для меседжа), або null якщо OK
+ */
+function extractRelativeLiteralPath(arg) {
+  if (!arg) return null
+  if (arg.type === 'Literal' && typeof arg.value === 'string') {
+    return isRelativeString(arg.value) ? arg.value : null
+  }
+  if (arg.type === 'TemplateLiteral' && arg.expressions.length === 0) {
+    const raw = arg.quasis.map(q => q.value.cooked).join('')
+    return isRelativeString(raw) ? raw : null
+  }
+  // Не string-literal — не аналізуємо (припускаємо обчислений absolute через join/resolve).
+  return null
+}
+
+/**
+ * Чи рядок виглядає як relative path. Порожній рядок — false (це не path).
+ * Windows-disk-letter `C:\…` — absolute, бо містить `:` між літерою і `\`.
+ * @param {string} s рядок-шлях
+ * @returns {boolean} true якщо relative
+ */
+function isRelativeString(s) {
+  if (!s) return false
+  for (const prefix of ABSOLUTE_PREFIXES) {
+    if (s.startsWith(prefix)) return false
+  }
+  // Windows drive letter, наприклад `C:\foo` або `C:/foo`.
+  return !WINDOWS_DRIVE_RE.test(s)
+}
+
+/**
+ * Витягує ім'я FS-функції з callee:
+ *   - `writeFile(…)` → "writeFile" (Identifier callee)
+ *   - `fs.writeFile(…)` чи `fsp.writeFile(…)` → "writeFile" (MemberExpression)
+ *   - `await fs.promises.writeFile(…)` → "writeFile"
+ * Повертає null для будь-якого іншого виклику.
+ * @param {object} callee AST callee node
+ * @returns {string|null} ім'я FS-функції або null
+ */
+function extractFsFunctionName(callee) {
+  if (!callee) return null
+  if (callee.type === 'Identifier') {
+    return FS_PATH_ARG_POSITIONS.has(callee.name) ? callee.name : null
+  }
+  if (callee.type === 'MemberExpression' && !callee.computed && callee.property?.type === 'Identifier') {
+    const name = callee.property.name
+    return FS_PATH_ARG_POSITIONS.has(name) ? name : null
+  }
+  return null
+}
+
+/**
+ * Чи файл — JS-тест (`*.test.mjs` / `*.test.js`).
+ * @param {string} absPath абсолютний шлях
+ * @returns {boolean} true якщо файл є тестом
+ */
+function isTestFile(absPath) {
+  const name = basename(absPath)
+  return name.endsWith('.test.mjs') || name.endsWith('.test.js')
+}
+
+/**
+ * Знаходить порушення у одному тестовому файлі.
+ * @param {string} body вміст тесту
+ * @returns {Array<{line: number, fn: string, path: string, argPos: number}>} порушення
+ */
+function findOffendersInBody(body) {
+  const program = parseProgramOrNull(body, 'test.mjs')
+  if (!program) return []
+  const offenders = []
+  const lineOffsets = computeLineOffsets(body)
+  walkAstWithAncestors(program, [], node => {
+    if (node?.type !== 'CallExpression') return
+    const fnName = extractFsFunctionName(node.callee)
+    if (!fnName) return
+    const positions = FS_PATH_ARG_POSITIONS.get(fnName)
+    for (const pos of positions) {
+      const arg = node.arguments?.[pos]
+      const relPath = extractRelativeLiteralPath(arg)
+      if (relPath !== null) {
+        const start = arg?.start ?? node.start ?? 0
+        const line = offsetToLineFromCache(lineOffsets, start)
+        offenders.push({ line, fn: fnName, path: relPath, argPos: pos })
+      }
+    }
+  })
+  return offenders
+}
+
+/**
+ * Кешований offset→line: бінарний пошук по newline-offsets.
+ * @param {string} body source
+ * @returns {number[]} offsets newline char positions
+ */
+function computeLineOffsets(body) {
+  const offsets = [0]
+  let pos = 0
+  for (const ch of body) {
+    if (ch === '\n') offsets.push(pos + 1)
+    pos += 1
+  }
+  return offsets
+}
+
+/**
+ * @param {number[]} offsets newline-offsets
+ * @param {number} offset 0-індекс символу
+ * @returns {number} 1-індексований рядок
+ */
+function offsetToLineFromCache(offsets, offset) {
+  let lo = 0
+  let hi = offsets.length - 1
+  while (lo < hi) {
+    const mid = Math.floor((lo + hi + 1) / 2)
+    if (offsets[mid] <= offset) lo = mid
+    else hi = mid - 1
+  }
+  return lo + 1
+}
+
+/**
+ * Перевіряє, що жоден `*.test.{mjs,js}` файл не передає relative-path як 1-й
+ * (або для `copyFile`/`rename`/`symlink`/`link`/`cp` — 1-й і 2-й) аргумент
+ * у FS-функцію з `node:fs` / `node:fs/promises`.
+ * @param {import('@7n/rules/scripts/lib/lint-surface/types.mjs').LintContext} ctx Контекст лінту (cwd, перелік файлів тощо).
+ * @returns {Promise<import('@7n/rules/scripts/lib/lint-surface/types.mjs').LintResult>} Результат лінту з переліком порушень.
+ */
+export async function lint(ctx) {
+  const reporter = createViolationReporter(ctx)
+  const { pass, fail } = reporter
+
+  const cwd = ctx.cwd
+  const ignorePaths = await loadCursorIgnorePaths(cwd)
+
+  /** @type {string[]} */
+  const testFiles = []
+  await walkDir(
+    cwd,
+    absPath => {
+      if (isTestFile(absPath)) testFiles.push(absPath)
+    },
+    ignorePaths
+  )
+
+  /** @type {Array<{file: string, line: number, fn: string, path: string, argPos: number}>} */
+  const offenders = []
+  for (const absPath of testFiles) {
+    const body = await readFile(absPath, 'utf8')
+    const found = findOffendersInBody(body)
+    for (const o of found) {
+      offenders.push({ file: relative(cwd, absPath), ...o })
+    }
+  }
+
+  if (offenders.length === 0) {
+    pass(`Жоден з ${testFiles.length} тестових файлів не передає relative-path у FS-функції (test.mdc)`)
+    return reporter.result()
+  }
+
+  for (const { file, line, fn, path, argPos } of offenders) {
+    const which = argPos === 0 ? '1-й аргумент' : `${argPos + 1}-й аргумент`
+    fail(
+      `${file}:${line}: ${fn}() — ${which} '${path}' relative; використовуй join(dir, …) (test.mdc, no-relative-fs-path)`
+    )
+  }
+
+  return reporter.result()
+}

package/rules/test/no-relative-fs-path/no-relative-fs-path.mdc

@@ -0,0 +1,22 @@
+## Заборона відносних шляхів у FS-функціях тестів
+
+**`no-relative-fs-path`** (`rules/test/js/no-relative-fs-path.mjs`) — AST-сканер (`oxc-parser`): знаходить виклики FS-функцій із `node:fs`/`node:fs/promises` (`writeFile`, `copyFile`, `mkdir`, `readFile`, `existsSync`, `rename`, `symlink`, `cp`, … включно з `*Sync`-варіантами та `writeJson`/`ensureDir`-хелперами), де path-аргумент — це **string literal** без префікса `/`, `\`, `file:`, `http(s):`, `data:`, чи Windows-disk-letter `C:\`.
+
+Виклики `copyFile`/`rename`/`symlink`/`link`/`cp` перевіряють **обидва** path-аргументи.
+
+Виклики з обчисленим path (`join(dir, …)`, змінна, template-literal з виразом) пропускаються — припускається, що обчислений шлях абсолютний.
+
+**Чому важливо:** відносний path у FS-виклику означає запис/читання відносно `process.cwd()` на момент виклику. У `pool: 'threads'` (дефолт Vitest) паралельні файли ділять процес — cwd може змінитися між тестами. Інцидент `v1.28.0`: `copyFile(src, 'default.conf.template')` у `tests/check-rule-fixtures.test.mjs` записав файл у production tree замість sandbox.
+
+**Канон:** замінювати відносні шляхи на `join(dir, 'filename')`, де `dir` — абсолютний tmpdir із `withTmpDir`.
+
+**Список FS-функцій, що перевіряються:**
+
+| Функція | Перевірювані аргументи |
+|---|---|
+| `writeFile`, `readFile`, `appendFile`, `mkdir`, `rmdir`, `rm`, `unlink` | 1-й |
+| `access`, `stat`, `lstat`, `chmod`, `chown`, `truncate`, `existsSync`, `readdir` | 1-й |
+| `copyFile`, `rename`, `symlink`, `link`, `cp` | 1-й і 2-й |
+| `writeJson`, `ensureDir` (test-helpers) | 1-й |
+
+Усі `*Sync`-варіанти охоплені аналогічно.

package/rules/test/package_json/concern.json

@@ -0,0 +1,11 @@
+{
+  "$schema": "https://unpkg.com/@7n/rules/schemas/concern.json",
+  "fixability": "config",
+  "policy": {
+    "files": {
+      "single": "package.json",
+      "required": true
+    },
+    "missingMessage": "package.json не існує — створи зі scripts.coverage (test.mdc)"
+  }
+}

package/rules/test/package_json/package_json.mdc

@@ -0,0 +1,18 @@
+## Обовʼязкові скрипти в package.json
+
+Rego-пакет: `test.package_json`
+
+Цільовий файл: `package.json` кожного workspace.
+
+Перевіряє substring-відповідність значень у `scripts`:
+
+| Поле | Має містити |
+|---|---|
+| `scripts.coverage` | `@7n/test coverage` |
+| `scripts.test` | `vitest` і `--bun` (напр. `"bun run --bun vitest run"`) |
+
+Substring-семантика: команди-обгортки (наприклад `bun run pre-coverage && npx @7n/test coverage`, `bun run pre-test && bun run --bun vitest run`) дозволені — головне, щоб потрібні рядки були присутні.
+
+**Чому `--bun` для `scripts.test`:** без Bun-рушія (`bun run vitest` без `--bun`, чи vitest під Node) `import { SQL } from 'bun'` та інші Bun-нативні built-in модулі не резолвуються у forked test-процесах — консьюмери змушені тримати exclude-списки для тестів, що їх торкаються. Під `bun run --bun vitest run` forked pool-процеси успадковують Bun-рушій і резолюція працює без жодних exclude.
+
+Канон підтягується через `--data`: [package.json.contains.json](./template/package.json.contains.json)

package/rules/test/package_json/package_json.rego

@@ -0,0 +1,25 @@
+# Перевірка `package.json` для правила test (test.mdc).
+#
+# Канон надходить через --data: { "template": { "contains": ... } }
+# Структура --data сформована з template/package.json.contains.json.
+# Перевіряємо substring-вимоги до scripts.coverage і scripts.test:
+# рядки мають містити відповідно "@7n/test coverage" і "vitest" + "--bun".
+package test.package_json
+
+import rego.v1
+
+deny contains msg if {
+	some script_name, needles in data.template.contains.scripts
+	actual := object.get(object.get(input, "scripts", {}), script_name, "")
+	some needle in needles
+	not contains(actual, needle)
+	msg := sprintf("package.json: scripts.%s має містити %q (test.mdc)%s", [script_name, needle, explain_suffix(needle)])
+}
+
+# --bun пояснюється окремо: без нього forked vitest pool-процеси не успадковують
+# Bun-рушій, і Bun-нативні built-in модулі (напр. `import { SQL } from 'bun'`)
+# не резолвуються у forked test-процесах.
+explain_suffix(needle) := msg if {
+	needle == "--bun"
+	msg := " — без --bun forked vitest pool-процеси не успадковують Bun-рушій, тож Bun-нативні built-in модулі (напр. import { SQL } from 'bun') не резолвуються у forked test-процесах"
+} else := ""

package/rules/test/package_json/template/package.json.contains.json

@@ -0,0 +1,6 @@
+{
+  "scripts": {
+    "coverage": ["@7n/test coverage"],
+    "test": ["vitest", "--bun"]
+  }
+}

package/rules/test/sandbox-aware-test/concern.json

@@ -0,0 +1,7 @@
+{
+  "$schema": "https://unpkg.com/@7n/rules/schemas/concern.json",
+  "lint": {
+    "scope": "full",
+    "glob": ["**/*.test.mjs", "**/*.test.js"]
+  }
+}

package/rules/test/sandbox-aware-test/docs/index.md

@@ -0,0 +1,11 @@
+---
+type: Directory Index
+title: npm/rules/test/sandbox-aware-test
+resource: plugins/lang-js/rules/test/sandbox-aware-test/
+---
+
+# npm/rules/test/sandbox-aware-test
+
+| Файл                | Тип       |
+| ------------------- | --------- |
+| [main.mjs](main.md) | JS Module |