@7n/rules 1.0.0

package/rules/abie/ua_node_selector/concern.json

@@ -0,0 +1,4 @@
+{
+  "$schema": "https://unpkg.com/@7n/rules/schemas/concern.json",
+  "lint": { "scope": "full", "glob": ["**/k8s/**/*.{yaml,yml}"] }
+}

package/rules/abie/ua_node_selector/docs/main.md

@@ -0,0 +1,34 @@
+---
+type: JS Module
+title: main.mjs
+resource: npm/rules/abie/ua_node_selector/main.mjs
+docgen:
+  crc: cfda0b77
+  model: omlx/gemma-4-e4b-it-OptiQ-4bit
+  tier: local-min-retry
+  score: 100
+  issues: judge:inaccurate:0.98
+  judgeModel: openai-codex/gpt-5.4-mini
+---
+
+## Огляд
+
+Цей модуль виконує функцію `lint`, яка сканує Kubernetes YAML файли на відповідність критеріям, визначеним у `abie.mdc`. Функція є **read-only** і не модифікує файлову систему чи базу даних. Вона перехоплює всі потенційні помилки (**fail-safe**), не генеруючи зовнішніх винятків. Модуль визначає, чи застосовується патч `nodeSelector` у конфігураціях UA. Якщо необхідний патч (`target kind Deployment: path /spec/template/spec/nodeSelector` з налаштуванням `preem: false`) відсутній, він повідомляє про цю відсутність.
+
+## Поведінка
+
+1. Виконує перевірку всього дерева Kubernetes YAML файлів на відповідність вимогам `abie.mdc` щодо наявності патчу `nodeSelector` для Deployment.
+2. Ігнорує шляхи, визначені в конфігурації Cursor.
+3. Визначає директорії з Deployment у дереві. Якщо їх немає, повідомляє про успішне завершення, оскільки патч `nodeSelector` не потрібен.
+4. Знаходить усі YAML файли, що належать до конфігурації UA (`uaAbsList`). Якщо таких файлів немає, повідомляє про помилку, вимагаючи додати патч `ua/kustomization.yaml` з відповідним `nodeSelector`.
+5. Для кожного знайденого UA YAML файлу перевіряє:
+    а. Чи застосовується патч `nodeSelector` (тобто, чи є Deployment у відповідній директорії). Якщо ні, фіксує успішне завершення для цього файлу.
+    б. Чи вдалося прочитати файл. Якщо ні, фіксує помилку з повідомленням про невдале читання.
+    в. Чи містить YAML файл патч `target kind Deployment: path /spec/template/spec/nodeSelector` з налаштуванням `preem: false`. Якщо ні, фіксує помилку, вимагаючи застосування цього патчу (abie.mdc).
+6. Повідомляє про успішне відповідність `abie.mdc` для файлу, якщо всі умови виконані.
+7. Усі повідомлення про помилки (failure) обробляються внутрішнім механізмом і не викликають зовнішніх винятків.
+
+## Гарантії поведінки
+
+- Read-only: не виконує операцій запису (ФС/БД).
+- Перехоплює помилки і не пропускає винятків назовні (fail-safe).

package/rules/abie/ua_node_selector/main.mjs

@@ -0,0 +1,62 @@
+/** @see ./docs/ua_node_selector.md */
+import { readFile } from 'node:fs/promises'
+import { relative } from 'node:path'
+
+import { createViolationReporter } from '../../../scripts/lib/lint-surface/violation-reporter.mjs'
+import { loadCursorIgnorePaths } from '../../../scripts/lib/load-cursor-config.mjs'
+
+import { collectDeploymentDirs, findK8sYamlFiles } from '../lib/k8s-tree.mjs'
+import { kustomizationHasAbieDeploymentNodeSelectorPatch } from '../lib/kustomization-patches.mjs'
+import { abieOverlayK8sTreeHasDeployment, isUaKustomizationPath } from '../lib/overlay-paths.mjs'
+
+/**
+ * @param {import('../../../scripts/lib/lint-surface/types.mjs').LintContext} ctx контекст лінту.
+ * @returns {Promise<import('../../../scripts/lib/lint-surface/types.mjs').LintResult>} результат перевірки з порушеннями.
+ */
+export async function lint(ctx) {
+  const reporter = createViolationReporter(ctx)
+  const { pass, fail } = reporter
+  const root = ctx.cwd
+
+  const ignorePaths = await loadCursorIgnorePaths(root)
+  const yamls = await findK8sYamlFiles(root, ignorePaths)
+  const deploymentDirs = await collectDeploymentDirs(root, yamls, fail)
+
+  if (deploymentDirs.size === 0) {
+    pass('Немає Deployment у дереві k8s — patch nodeSelector (ua) не вимагається')
+    return reporter.result()
+  }
+
+  const uaAbsList = yamls.filter(abs => isUaKustomizationPath(relative(root, abs).replaceAll('\\', '/') || abs))
+  if (uaAbsList.length === 0) {
+    fail(
+      'Є Deployment у k8s — додай ua/kustomization.yaml з patch на Deployment: path /spec/template/spec/nodeSelector, preem false (abie.mdc)'
+    )
+    return reporter.result()
+  }
+
+  for (const abs of uaAbsList) {
+    const rel = relative(root, abs).replaceAll('\\', '/') || abs
+    if (!abieOverlayK8sTreeHasDeployment(deploymentDirs, root, abs)) {
+      pass(`${rel}: nodeSelector patch (ua) не застосовується — немає Deployment у дереві k8s цього пакета (abie)`)
+      continue
+    }
+    let raw
+    try {
+      raw = await readFile(abs, 'utf8')
+    } catch (error) {
+      const msg = error instanceof Error ? error.message : String(error)
+      fail(`${rel}: не вдалося прочитати (${msg})`)
+      continue
+    }
+    if (!kustomizationHasAbieDeploymentNodeSelectorPatch(raw, 'ua')) {
+      fail(
+        `${rel}: потрібен patch target kind Deployment: path /spec/template/spec/nodeSelector та preem: false (abie.mdc)`
+      )
+      continue
+    }
+    pass(`${rel}: nodeSelector patch (ua) відповідає abie.mdc`)
+  }
+
+  return reporter.result()
+}

package/rules/abie/ua_node_selector/ua_node_selector.mdc

@@ -0,0 +1,27 @@
+## k8s: overlay **ua** і nodeSelector
+
+У **`…/ua/kustomization.yaml`** того пакета, у дереві **`k8s`** якого є **Deployment**, потрібен patch на **`kind: Deployment`**: **`spec.template.spec.nodeSelector`** з **`preem: false`**. Форму **JSON6902** (шлях **`/spec/template/spec/nodeSelector`**, **`op`**) див. **k8s.mdc**.
+
+```yaml title="…/ua/kustomization.yaml (фрагмент)"
+patches:
+  - target:
+      kind: Deployment
+      name: my-app
+    patch: |-
+      - op: add
+        path: /spec/template/spec/nodeSelector
+        value:
+          preem: 'false'
+```
+
+### Базовий Deployment (`…/base/`)
+
+Якщо **Deployment** у YAML під **`k8s`** лежить у шляху з сегментом **`base`**, у **`spec.template.spec.nodeSelector`** має бути **`preem`** зі значенням **істинно** (**`true`** або рядок **`'true'`**); overlay **ua** підміняє селектор.
+
+```yaml title="…/base/deploy.yaml (фрагмент)"
+spec:
+  template:
+    spec:
+      nodeSelector:
+        preem: 'true' # буде замінено через kustomize
+```

package/rules/adr/docs/index.md

@@ -0,0 +1,11 @@
+---
+type: Directory Index
+title: npm/rules/adr
+resource: npm/rules/adr/
+---
+
+# npm/rules/adr
+
+| Файл | Тип |
+|---|---|
+| [main.mjs](main.md) | JS Module |

package/rules/adr/hooks/concern.json

@@ -0,0 +1,4 @@
+{
+  "$schema": "https://unpkg.com/@7n/rules/schemas/concern.json",
+  "lint": { "scope": "full", "glob": [".claude/**", ".cursor/hooks.json", ".gitignore", "docs/adr/**"] }
+}

package/rules/adr/hooks/docs/main.md

@@ -0,0 +1,38 @@
+---
+type: JS Module
+title: main.mjs
+resource: npm/rules/adr/hooks/main.mjs
+docgen:
+  crc: 6a8dd3b2
+  model: omlx/gemma-4-e4b-it-OptiQ-4bit
+  score: 100
+  issues: judge:inaccurate:0.98
+  judgeModel: openai-codex/gpt-5.4-mini
+---
+
+## Огляд
+
+Цей файл перевіряє відповідність локальної конфігурації та структурних елементів проєкту, які визначені у `settings.json`, `settings.local.json` та `.cursor/hooks.json`. Він валідує наявність та структуру хук-артефактів, зазначених у цих конфігураційних файлах, та забезпечує, що певні шляхи свідомо виключені з обробки (наприклад, `.git`). (adr.mdc)
+
+## Поведінка
+
+Поведінка:
+1. Викликається функція main з поточним робочим каталогом як аргументом.
+2. Ініціалізується механізм збору результатів перевірки.
+3. Для кожного визначеного хук-артефакта перевіряється відповідність локального хук-скрипта канонічному файлу, що міститься у пакеті, та перевіряється наявність необхідних файлів.
+4. Перевіряється наявність файлу проєкту `settings.json`, який є необхідним для роботи Stop-hook.
+5. Перевіряється конфігурація хуків у `.cursor/hooks.json` на наявність відповідних маркерів для кожного хук-артефакта.
+6. Перевіряється файл `.gitignore` на відповідність для всіх лог-файлів хуків, щоб гарантувати їхнє ігнорування.
+7. Перевіряється файл `.gitignore` на відповідність для всіх файлів стану (state files) хуків нормалізації, щоб гарантувати їхнє ігнорування.
+8. Перевіряється наявність каталогу `docs/adr/`, який є обов'язковим місцем для розміщення ADR-ів.
+9. Виконується інформативна перевірка стану capture-бекенду: дефолтний `pi` (npm-first lookup — root `.bin`, nested `@7n/rules` `.bin`, системний шлях — і наявність локальної моделі) разом зі станом cloud-фолбеку `claude`/`cursor-agent`, доступного через `CAPTURE_DECISIONS_BACKEND`.
+10. Механізм збору результатів повертає кінцевий код виходу.
+11. Код не перевіряє шляхи, що стосуються `.git`.
+12. Функція main не здійснює жодного запису у файлову систему чи бази даних.
+
+## Гарантії поведінки
+
+- Read-only: не виконує операцій запису (ФС/БД).
+- Перехоплює помилки і не пропускає винятків назовні (fail-safe).
+- За певних помилок повертає порожнє значення (напр. `null`) замість винятку.
+- Свідомо пропускає шляхи: `.git`.

package/rules/adr/hooks/hooks.mdc

@@ -0,0 +1,32 @@
+## JS-перевірки хуків і конфігурації (`hooks.mjs`)
+
+`js/hooks.mjs` перевіряє відповідність проєкту правилу `adr` через шість незалежних перевірок:
+
+### 1. Канонічність скриптів хуків
+
+Для кожного з двох bash-скриптів (`capture-decisions.sh`, `normalize-decisions.sh`) перевіряє:
+
+- файл `.claude/hooks/<script>.sh` **існує** у проєкті;
+- його вміст **ідентичний** bundled-версії з пакета `@7n/rules`.
+
+Якщо файл відсутній або відрізняється — `fail` з підказкою `npx @7n/rules`.
+
+### 2. Наявність `.claude/settings.json`
+
+Перевіряє **існування** project-shared файлу `.claude/settings.json`. Структуру хуків всередині (наявність `hooks.Stop[]` з відповідними маркерами) валідує окрема Rego-полісі `adr.settings_json`.
+
+### 3. Cursor hooks config
+
+Читає `.cursor/hooks.json` і перевіряє, чи кожен зі скриптів (`capture-decisions.sh`, `normalize-decisions.sh`) присутній у `hooks.stop[*].command` як підрядок-маркер.
+
+### 4. `.gitignore` для лог-файлів хуків
+
+Перевіряє, чи покриває `.gitignore` лог-файли `.claude/hooks/capture-decisions.log` і `.claude/hooks/normalize-decisions.log`. Допустимі форми покриття:
+
+- точний шлях (`.claude/hooks/capture-decisions.log`)
+- glob `.claude/hooks/*.log` або `.claude/hooks/**/*.log`
+- широкий glob `*.log` або `**/*.log`
+
+### 5. Доступність capture-бекенду
+
+Інформативна (завжди `pass`) перевірка стану дефолтного бекенду `pi` — npm-first пошук бінарника (root `node_modules/.bin/pi`, nested `node_modules/@7n/rules/node_modules/.bin/pi`, system `PATH`) і наявність локальної моделі (`CAPTURE_DECISIONS_PI_MODEL` або `N_LOCAL_MIN_MODEL`) — разом зі станом cloud-фолбеку `claude`/`cursor-agent`, доступного через `CAPTURE_DECISIONS_BACKEND=claude|cursor-agent|auto`. Якщо жоден бекенд не готовий — хук просто мовчки no-op'ає, тому це попередження, а не помилка.

package/rules/adr/hooks/main.mjs

@@ -0,0 +1,367 @@
+/** @see ./docs/hooks.md */
+import { existsSync } from 'node:fs'
+import { readFile } from 'node:fs/promises'
+import { delimiter, dirname, join } from 'node:path'
+import { env } from 'node:process'
+import { fileURLToPath } from 'node:url'
+
+import { createViolationReporter } from '../../../scripts/lib/lint-surface/violation-reporter.mjs'
+
+/** Один hook-артефакт: bash-скрипт + його лог-файл, які перевіряємо однотипно. */
+const HOOK_ARTIFACTS = /** @type {const} */ ([
+  { scriptName: 'capture-decisions.sh', logName: 'capture-decisions.log' },
+  { scriptName: 'normalize-decisions.sh', logName: 'normalize-decisions.log' }
+])
+
+const PROJECT_SETTINGS_REL = '.claude/settings.json'
+const CURSOR_HOOKS_REL = '.cursor/hooks.json'
+const EOL_RE = /\r?\n/u
+
+const here = dirname(fileURLToPath(import.meta.url))
+const BUNDLED_HOOKS_DIR = join(here, '..', '..', '..', '.claude-template', 'hooks')
+
+/**
+ * Відносний шлях до managed hook-скрипта у проєкті.
+ * @param {string} scriptName базове ім'я скрипта (наприклад `capture-decisions.sh`)
+ * @returns {string} `.claude/hooks/<scriptName>`
+ */
+function projectHookPath(scriptName) {
+  return `.claude/hooks/${scriptName}`
+}
+
+/**
+ * Відносний шлях до лог-файлу managed hook'а у проєкті.
+ * @param {string} logName базове ім'я лог-файлу (наприклад `capture-decisions.log`)
+ * @returns {string} `.claude/hooks/<logName>`
+ */
+function projectLogPath(logName) {
+  return `.claude/hooks/${logName}`
+}
+
+/**
+ * Чи містить рядок `.gitignore` шаблон, який покриває цей конкретний лог-файл хука.
+ * Враховує точний шлях, glob `.claude/hooks/*.log` та широкий glob `**\/*.log`.
+ * @param {string} line одна нормалізована (trim) лінія `.gitignore`
+ * @param {string} logPath шлях `.claude/hooks/<name>.log`, який треба покрити
+ * @returns {boolean} `true`, якщо лінія матчить цей лог-файл
+ */
+function gitignoreLineCoversHookLog(line, logPath) {
+  if (!line || line.startsWith('#')) {
+    return false
+  }
+  if (line === logPath) {
+    return true
+  }
+  if (line === '.claude/hooks/*.log' || line === '.claude/hooks/**/*.log') {
+    return true
+  }
+  if (line === '.claude/hooks/*' || line === '.claude/hooks/**') {
+    return true
+  }
+  if (line === '*.log' || line === '**/*.log') {
+    return true
+  }
+  return false
+}
+
+/**
+ * Перевіряє наявність і канонічність одного hook-скрипта.
+ * @param {import('../../../scripts/lib/check-reporter.mjs').CheckReporter} reporter репортер для збору результатів
+ * @param {string} cwd корінь репозиторію
+ * @param {string} scriptName базове ім'я скрипта (наприклад `capture-decisions.sh`)
+ * @returns {Promise<void>}
+ */
+async function checkHookScript(reporter, cwd, scriptName) {
+  const { pass, fail } = reporter
+  const projectRel = projectHookPath(scriptName)
+  const projectAbs = join(cwd, projectRel)
+  const bundledPath = join(BUNDLED_HOOKS_DIR, scriptName)
+  if (!existsSync(projectAbs)) {
+    fail(`${projectRel} не існує — запусти \`npx @7n/rules\` (правило adr копіює канонічний скрипт)`)
+    return
+  }
+  if (!existsSync(bundledPath)) {
+    fail(`канонічний скрипт у пакеті не знайдено: ${bundledPath} — перевстанови @7n/rules`)
+    return
+  }
+  const [project, bundled] = await Promise.all([readFile(projectAbs, 'utf8'), readFile(bundledPath, 'utf8')])
+  if (project === bundled) {
+    pass(`${projectRel} збігається з канонічним`)
+  } else {
+    fail(`${projectRel} відрізняється від канонічного — запусти \`npx @7n/rules\` для повторного синку`)
+  }
+}
+
+/**
+ * FS-existence для project-shared `.claude/settings.json` і
+ * `.claude/settings.local.json`. Структуру (`hooks.Stop[]` містить групу з
+ * `capture-decisions.sh`; `settings.local.json` не дублює) валідують
+ * `npm/policy/adr/settings_json/` і `npm/policy/adr/settings_local_json/`.
+ * @param {import('../../../scripts/lib/check-reporter.mjs').CheckReporter} reporter репортер
+ * @param {string} cwd корінь репозиторію
+ */
+function checkProjectSettings(reporter, cwd) {
+  const { pass, fail } = reporter
+  if (existsSync(join(cwd, PROJECT_SETTINGS_REL))) {
+    pass(`${PROJECT_SETTINGS_REL} є (Stop-hook перевіряє npx @7n/rules fix → adr.settings_json)`)
+  } else {
+    fail(`${PROJECT_SETTINGS_REL} не існує — запусти \`npx @7n/rules\``)
+  }
+}
+
+/**
+ * Читає JSON-файл із диска без винятку.
+ * @param {string} path відносний шлях до JSON-файлу
+ * @returns {Promise<unknown | null>} розпарсений JSON або null
+ */
+async function readJsonSafe(path) {
+  try {
+    return JSON.parse(await readFile(path, 'utf8'))
+  } catch {
+    return null
+  }
+}
+
+/**
+ * Чи має Cursor hooks config stop-entry з потрібним command marker.
+ * @param {unknown} config розпарсений `.cursor/hooks.json`
+ * @param {string} marker підрядок, який має бути в `command`
+ * @returns {boolean} true, якщо marker знайдено у `hooks.stop[]`
+ */
+function cursorConfigHasStopHook(config, marker) {
+  if (config === null || typeof config !== 'object' || Array.isArray(config)) {
+    return false
+  }
+  const hooks = /** @type {{ hooks?: unknown }} */ (config).hooks
+  if (hooks === null || typeof hooks !== 'object' || Array.isArray(hooks)) {
+    return false
+  }
+  const stop = /** @type {{ stop?: unknown }} */ (hooks).stop
+  if (!Array.isArray(stop)) {
+    return false
+  }
+  return stop.some(entry => {
+    if (entry === null || typeof entry !== 'object' || Array.isArray(entry)) {
+      return false
+    }
+    const command = /** @type {{ command?: unknown }} */ (entry).command
+    return typeof command === 'string' && command.includes(marker)
+  })
+}
+
+/**
+ * Перевіряє project-level Cursor hooks config для ADR stop-hooks.
+ * @param {import('../../../scripts/lib/check-reporter.mjs').CheckReporter} reporter репортер
+ * @param {string} cwd корінь репозиторію
+ * @returns {Promise<void>}
+ */
+async function checkCursorHooks(reporter, cwd) {
+  const { pass, fail } = reporter
+  const cursorHooksAbs = join(cwd, CURSOR_HOOKS_REL)
+  if (!existsSync(cursorHooksAbs)) {
+    fail(`${CURSOR_HOOKS_REL} не існує — запусти \`npx @7n/rules\``)
+    return
+  }
+  const config = await readJsonSafe(cursorHooksAbs)
+  if (config === null) {
+    fail(`${CURSOR_HOOKS_REL} не парситься як JSON — запусти \`npx @7n/rules\` або виправ файл`)
+    return
+  }
+  for (const { scriptName } of HOOK_ARTIFACTS) {
+    const marker = projectHookPath(scriptName)
+    if (cursorConfigHasStopHook(config, marker)) {
+      pass(`${CURSOR_HOOKS_REL} має stop-hook для ${marker}`)
+    } else {
+      fail(`${CURSOR_HOOKS_REL}: відсутній stop-hook для \`${marker}\` (adr.mdc)`)
+    }
+  }
+}
+
+/**
+ * Перевіряє `.gitignore` на ігнорування лог-файлу одного хука.
+ * @param {import('../../../scripts/lib/check-reporter.mjs').CheckReporter} reporter репортер для збору результатів
+ * @param {string} logName базове ім'я лог-файлу (наприклад `capture-decisions.log`)
+ * @param {string} gitignoreContent попередньо прочитаний вміст `.gitignore`
+ * @returns {void}
+ */
+function checkGitignoreForLog(reporter, logName, gitignoreContent) {
+  const { pass, fail } = reporter
+  const logPath = projectLogPath(logName)
+  const covers = gitignoreContent
+    .split(EOL_RE)
+    .map(l => l.trim())
+    .some(line => gitignoreLineCoversHookLog(line, logPath))
+  if (covers) {
+    pass(`.gitignore покриває ${logPath}`)
+  } else {
+    fail(`.gitignore не ігнорує \`${logPath}\` — додай цей рядок`)
+  }
+}
+
+/**
+ * Перевіряє `.gitignore` для всіх hook-логів одним проходом.
+ * @param {import('../../../scripts/lib/check-reporter.mjs').CheckReporter} reporter репортер для збору результатів
+ * @param {string} cwd корінь репозиторію
+ * @returns {Promise<void>}
+ */
+async function checkGitignore(reporter, cwd) {
+  const { fail } = reporter
+  const gitignoreAbs = join(cwd, '.gitignore')
+  if (!existsSync(gitignoreAbs)) {
+    for (const { logName } of HOOK_ARTIFACTS) {
+      fail(`.gitignore не існує — додай рядок \`${projectLogPath(logName)}\``)
+    }
+    return
+  }
+  const content = await readFile(gitignoreAbs, 'utf8')
+  for (const { logName } of HOOK_ARTIFACTS) {
+    checkGitignoreForLog(reporter, logName, content)
+  }
+}
+
+/**
+ * Чи виконуваний бінарник з іменем `name` доступний у `PATH` поточного процесу.
+ * Перевірка без spawn — просто шукаємо файл у каталогах PATH (як `which`).
+ * @param {string} name ім'я бінарника без розширення
+ * @returns {boolean} `true`, якщо знайдено в одному з каталогів `PATH`
+ */
+function isBinaryInPath(name) {
+  const path = env.PATH ?? ''
+  if (!path) {
+    return false
+  }
+  for (const dir of path.split(delimiter)) {
+    if (!dir) continue
+    if (existsSync(join(dir, name))) {
+      return true
+    }
+  }
+  return false
+}
+
+/**
+ * npm-first пошук `pi`-бінарника (як `find_pi_cmd` у capture-decisions.sh): root
+ * `.bin` (hoisted) -> nested `@7n/rules` `.bin` -> system `PATH`.
+ * @param {string} cwd корінь репозиторію
+ * @returns {string | null} шлях/ім'я бінарника або `null`, якщо не знайдено
+ */
+function findPiCmd(cwd) {
+  const candidates = [
+    join(cwd, 'node_modules', '.bin', 'pi'),
+    join(cwd, 'node_modules', '@nitra', 'cursor', 'node_modules', '.bin', 'pi')
+  ]
+  for (const candidate of candidates) {
+    if (existsSync(candidate)) {
+      return candidate
+    }
+  }
+  return isBinaryInPath('pi') ? 'pi' : null
+}
+
+/**
+ * Інформативна перевірка (завжди `pass`) capture-бекенду: дефолтний `pi` (npm-first
+ * lookup + локальна модель) і cloud-фолбек `claude`/`cursor-agent`, доступний через
+ * `CAPTURE_DECISIONS_BACKEND=claude|cursor-agent|auto`. Жоден стан не блокує — capture
+ * best-effort, hook мовчки no-op'ає без доступного бекенду (spec 2026-06-30).
+ * @param {import('../../../scripts/lib/check-reporter.mjs').CheckReporter} reporter репортер для збору результатів
+ * @param {string} cwd корінь репозиторію
+ * @returns {void}
+ */
+function checkCaptureBackendAvailable(reporter, cwd) {
+  const { pass } = reporter
+  const backend = env.CAPTURE_DECISIONS_BACKEND || 'pi'
+  const piCmd = findPiCmd(cwd)
+  const hasLocalModel = Boolean(env.CAPTURE_DECISIONS_PI_MODEL || env.N_LOCAL_MIN_MODEL)
+  const hasClaude = isBinaryInPath('claude')
+  const hasCursor = isBinaryInPath('cursor-agent')
+
+  const piStatus = piCmd
+    ? hasLocalModel
+      ? `pi знайдено (${piCmd}), локальна модель сконфігурована`
+      : `pi знайдено (${piCmd}), але CAPTURE_DECISIONS_PI_MODEL/N_LOCAL_MIN_MODEL не задано — capture skipне`
+    : 'pi не знайдено (root .bin, nested @7n/rules .bin, PATH) — capture skipне'
+  const cloudStatus =
+    hasClaude && hasCursor
+      ? 'claude і cursor-agent доступні'
+      : hasClaude
+        ? 'claude доступний, cursor-agent відсутній'
+        : hasCursor
+          ? 'cursor-agent доступний, claude відсутній'
+          : 'жодного cloud-бекенду не знайдено'
+
+  pass(`Capture backend (CAPTURE_DECISIONS_BACKEND=${backend}): ${piStatus}; cloud-фолбек: ${cloudStatus}`)
+}
+
+/** Файли стану/блокування normalize-хука, які не мають потрапляти в git. */
+const NORMALIZE_STATE_FILES = ['.normalize-state', '.normalize.lock']
+const CLAUDE_HOOKS_REL = '.claude/hooks'
+
+/**
+ * Перевіряє рядок `.gitignore` на покриття конкретного state/lock файлу.
+ * @param {string} line нормалізований (trim) рядок
+ * @param {string} statePath відносний шлях файлу (наприклад `.claude/hooks/.normalize-state`)
+ * @returns {boolean} true — рядок покриває файл
+ */
+function gitignoreLineCoversStatePath(line, statePath) {
+  if (line === statePath) return true
+  // .claude/hooks/* або .claude/hooks/**
+  if (line === `${CLAUDE_HOOKS_REL}/*` || line === `${CLAUDE_HOOKS_REL}/**`) return true
+  return false
+}
+
+/**
+ * Перевіряє `.gitignore` на наявність рядків для файлів стану normalize-хука.
+ * @param {import('../../../scripts/lib/check-reporter.mjs').CheckReporter} reporter репортер pass/fail
+ * @param {string} cwd корінь репозиторію
+ * @returns {Promise<void>}
+ */
+async function checkGitignoreForStateFiles(reporter, cwd) {
+  const { pass, fail } = reporter
+  const gitignoreAbs = join(cwd, '.gitignore')
+  const content = existsSync(gitignoreAbs) ? await readFile(gitignoreAbs, 'utf8') : ''
+  const lines = content.split(EOL_RE).map(l => l.trim())
+  for (const file of NORMALIZE_STATE_FILES) {
+    const statePath = `${CLAUDE_HOOKS_REL}/${file}`
+    if (lines.some(l => gitignoreLineCoversStatePath(l, statePath))) {
+      pass(`.gitignore покриває ${statePath}`)
+    } else {
+      fail(`.gitignore не ігнорує \`${statePath}\` — додай рядок (adr.mdc)`)
+    }
+  }
+}
+
+/**
+ * Перевіряє наявність каталогу `docs/adr/` — обов'язкового місця зберігання ADR-ів.
+ * @param {import('../../../scripts/lib/check-reporter.mjs').CheckReporter} reporter репортер pass/fail
+ * @param {string} cwd корінь репозиторію
+ * @returns {void}
+ */
+function checkDocsAdrDir(reporter, cwd) {
+  const { pass, fail } = reporter
+  const adrDir = join(cwd, 'docs', 'adr')
+  if (existsSync(adrDir)) {
+    pass('docs/adr/ існує (каталог ADR-ів)')
+  } else {
+    fail('docs/adr/ відсутній — створи каталог для ADR-ів (adr.mdc)')
+  }
+}
+
+/**
+ * Перевіряє відповідність проєкту правилам adr.mdc.
+ * @param {import('../../../scripts/lib/lint-surface/types.mjs').LintContext} ctx контекст lint-прогону
+ * @returns {Promise<import('../../../scripts/lib/lint-surface/types.mjs').LintResult>} результат із порушеннями
+ */
+export async function lint(ctx) {
+  const cwd = ctx.cwd
+  const reporter = createViolationReporter(ctx)
+  for (const { scriptName } of HOOK_ARTIFACTS) {
+    await checkHookScript(reporter, cwd, scriptName)
+  }
+  checkProjectSettings(reporter, cwd)
+  await checkCursorHooks(reporter, cwd)
+  await checkGitignore(reporter, cwd)
+  await checkGitignoreForStateFiles(reporter, cwd)
+  checkDocsAdrDir(reporter, cwd)
+  checkCaptureBackendAvailable(reporter, cwd)
+  return reporter.result()
+}

package/rules/adr/main.json

@@ -0,0 +1 @@
+{ "auto": "завжди" }