@7n/rules 1.0.0

package/rules/docker/lint/main.mjs

@@ -0,0 +1,360 @@
+/** @see ./docs/lint.md */
+import { readFile } from 'node:fs/promises'
+import { basename, dirname, join } from 'node:path'
+
+import { getMirrorGcrHint, getFromImageToken } from '../lib/docker-mirror.mjs'
+import { getNativeAddonDeps, getNativeAddonNoCompileHint } from '../lib/docker-native-addon.mjs'
+import { getNginxUnprivilegedUserHint } from '../lib/docker-nginx-user.mjs'
+import { lintDockerfileWithHadolint, posixRel } from '../lib/docker-hadolint.mjs'
+import { createViolationReporter } from '../../../scripts/lib/lint-surface/violation-reporter.mjs'
+import { loadCursorIgnorePaths } from '../../../scripts/lib/load-cursor-config.mjs'
+import { walkDir } from '../../../scripts/utils/walkDir.mjs'
+
+const NEWLINE_RE = /\r?\n/
+const BUN_INSTALL_RE = /\bbun\s+(?:install|i)\b/iu
+const BUN_BUILD_COMPILE_RE = /\bbun\s+build\b[^\n]*\s--compile\b/iu
+const BUN_WORD_RE = /\bbun\b/iu
+const USER_LINE_RE = /^\s*USER\s+([^\s#]+)/iu
+
+const NGINX_UNPRIVILEGED_MIRROR_PREFIX = 'mirror.gcr.io/nginxinc/nginx-unprivileged'
+
+/**
+ * @typedef {{
+ *   line: number
+ *   image: string
+ * }} FromStage
+ */
+
+/**
+ * Чи є basename Dockerfile / Containerfile (у т.ч. Dockerfile.prod).
+ * @param {string} name basename шляху
+ * @returns {boolean} true для Dockerfile / Dockerfile.* / Containerfile / Containerfile.*
+ */
+export function isDockerfileName(name) {
+  const n = name.toLowerCase()
+  if (n === 'dockerfile' || n === 'containerfile') return true
+  return Boolean(n.startsWith('dockerfile.') || n.startsWith('containerfile.'))
+}
+
+/**
+ * Збирає абсолютні шляхи до Dockerfile / Containerfile від кореня cwd.
+ * @param {string} root корінь репозиторію
+ * @param {string[]} [ignorePaths] шляхи каталогів, повністю виключених з обходу
+ * @returns {Promise<string[]>} відсортовані абсолютні шляхи
+ */
+export async function findDockerfilePaths(root, ignorePaths = []) {
+  /** @type {string[]} */
+  const out = []
+  await walkDir(
+    root,
+    p => {
+      if (isDockerfileName(basename(p))) out.push(p)
+    },
+    ignorePaths
+  )
+  return out.toSorted((a, b) => a.localeCompare(b))
+}
+
+/**
+ * Витягує всі `FROM <image>` зі вмісту Dockerfile/Containerfile.
+ * @param {string} fileContent вміст Dockerfile/Containerfile
+ * @returns {FromStage[]} список знайдених FROM-інструкцій
+ */
+export function parseFromStages(fileContent) {
+  const out = []
+  const lines = fileContent.split(NEWLINE_RE)
+  for (const [i, line] of lines.entries()) {
+    const image = getFromImageToken(line)
+    if (image) out.push({ line: i + 1, image })
+  }
+  return out
+}
+
+const RUNTIME_IMAGES = /** @type {const} */ ([
+  'mirror.gcr.io/library/alpine',
+  'mirror.gcr.io/library/php',
+  'mirror.gcr.io/library/python',
+  'mirror.gcr.io/nginxinc/nginx-unprivileged',
+  'mirror.gcr.io/openresty/openresty'
+])
+
+/** @type {RegExp} */
+const DEBIAN_VIA_MIRROR_RE = /^mirror\.gcr\.io\/library\/debian:(.+)$/i
+
+/** Bun-рантайм як фінальний stage — легітимний лише за наявності нативного .node-аддона (див. docker.mdc). */
+const BUN_RUNTIME_IMAGE = 'mirror.gcr.io/oven/bun'
+
+/**
+ * Чи ref фінального `FROM` відповідає дозволеним у docker.mdc (multistage / runtime).
+ * @param {string} lastLower ref без digest, lower case
+ * @param {boolean} [hasNativeAddon] чи проєкт залежить від нативного .node-аддона (sharp/@img/argon2)
+ * @returns {boolean} true, якщо образ дозволений як фінальний runtime
+ */
+function isAllowedFinalRuntimeImage(lastLower, hasNativeAddon = false) {
+  if (lastLower === 'scratch' || lastLower.startsWith('scratch:')) {
+    return true
+  }
+  // Для нативних аддонів канон — ship node_modules + `bun <entry>`, тож фінальний stage на
+  // mirror.gcr.io/oven/bun:* легітимний (compile неможливий, див. docker-native-addon.mjs).
+  if (hasNativeAddon && (lastLower === BUN_RUNTIME_IMAGE || lastLower.startsWith(`${BUN_RUNTIME_IMAGE}:`))) {
+    return true
+  }
+  const deb = lastLower.match(DEBIAN_VIA_MIRROR_RE)
+  if (deb) {
+    return deb[1].toLowerCase().includes('slim')
+  }
+  return RUNTIME_IMAGES.some(img => lastLower.startsWith(`${img}:`) || lastLower === img)
+}
+
+/**
+ * Розбиває Dockerfile на stages за `FROM` (порожній масив, якщо FROM немає).
+ * @param {string} fileContent вміст Dockerfile/Containerfile
+ * @returns {Array<{ from: FromStage, stageContent: string }>} stages з `FROM` і вмістом stage
+ */
+export function splitDockerfileStages(fileContent) {
+  const stages = parseFromStages(fileContent)
+  if (stages.length === 0) return []
+
+  const lines = fileContent.split(NEWLINE_RE)
+  /** @type {Array<{ from: FromStage, stageContent: string }>} */
+  const out = []
+
+  for (const [idx, from] of stages.entries()) {
+    const startLineIdx = Math.max(0, from.line - 1)
+    const next = stages[idx + 1]
+    const endLineExclusive = next ? Math.max(0, next.line - 1) : lines.length
+    out.push({ from, stageContent: lines.slice(startLineIdx, endLineExclusive).join('\n') })
+  }
+  return out
+}
+
+/**
+ * Перевіряє базові вимоги до структури Dockerfile:
+ * - multistage: мінімум 2 FROM
+ * - фінальний FROM: дозволені образи в docker.mdc (alpine, scratch, debian slim, php, python, nginx, openresty, …);
+ *   для проєктів із нативним .node-аддоном додатково дозволено mirror.gcr.io/oven/bun:* (bun-рантайм)
+ * @param {string} fileContent вміст Dockerfile/Containerfile
+ * @param {{ hasNativeAddon?: boolean }} [opts] опції: hasNativeAddon — є нативний .node-аддон (sharp/@img/argon2)
+ * @returns {string | null} повідомлення помилки або null
+ */
+export function getMultistageAndRuntimeHint(fileContent, { hasNativeAddon = false } = {}) {
+  const stages = parseFromStages(fileContent)
+  if (stages.length === 0) return null
+
+  if (stages.length < 2) {
+    return 'має бути multistage build: мінімум 2 інструкції FROM (build stage + runtime stage)'
+  }
+
+  const last = stages.at(-1)
+  const lastImage = (last?.image || '').split('@', 1)[0] || ''
+  const lastLower = lastImage.toLowerCase()
+
+  if (!isAllowedFinalRuntimeImage(lastLower, hasNativeAddon)) {
+    return `фінальний FROM має бути дозволеним runtime-образом (див. docker.mdc: multistage), зараз: ${last?.image} (рядок ${last?.line})`
+  }
+
+  return null
+}
+
+/**
+ * Перевіряє вимогу "компіляція в бінарник" для bun-проєктів на backend runtime.
+ *
+ * Тригер:
+ * - у Dockerfile є крок `bun install` (або `bun i`);
+ * - фінальний FROM — `mirror.gcr.io/library/alpine:*` (тобто не nginx/openresty frontend).
+ *
+ * Очікування:
+ * - у build stage є `bun build --compile`;
+ * - у фінальному stage немає викликів `bun` (залишків build tooling).
+ * @param {string} fileContent вміст Dockerfile/Containerfile
+ * @returns {string | null} повідомлення помилки або null
+ */
+export function getBunCompileHint(fileContent) {
+  const stages = splitDockerfileStages(fileContent)
+  if (stages.length === 0) return null
+
+  const last = stages.at(-1)
+  const lastImage = (last?.from.image || '').split('@', 1)[0] || ''
+  const lastLower = lastImage.toLowerCase()
+
+  const hasBunInstall = BUN_INSTALL_RE.test(fileContent)
+  if (!hasBunInstall) return null
+
+  const isFinalAlpine = lastLower.startsWith('mirror.gcr.io/library/alpine:')
+  if (!isFinalAlpine) return null
+
+  const isFinalFrontend =
+    lastLower.startsWith(`${NGINX_UNPRIVILEGED_MIRROR_PREFIX}:`) ||
+    lastLower.startsWith('mirror.gcr.io/openresty/openresty:')
+  if (isFinalFrontend) return null
+
+  const hasCompile = BUN_BUILD_COMPILE_RE.test(fileContent)
+  if (!hasCompile) {
+    return 'є `bun install`, але немає `bun build --compile` — для backend-образу потрібно компілювати застосунок у бінарник (docker.mdc: компіляція)'
+  }
+
+  const lastStageContent = last?.stageContent || ''
+  if (BUN_WORD_RE.test(lastStageContent)) {
+    return 'фінальний stage не має містити Bun (RUN/CMD/ENTRYPOINT з `bun`) — залиш у runtime stage лише бінарник і runtime libs (docker.mdc: компіляція)'
+  }
+
+  return null
+}
+
+/**
+ * Перевіряє, що для nginx-образів (`mirror.gcr.io/nginxinc/nginx-unprivileged`) у `FROM` вказано
+ * тег `alpine-slim` (docker.mdc).
+ * @param {string} fileContent вміст Dockerfile/Containerfile
+ * @returns {string | null} повідомлення помилки або null
+ */
+export function getNginxAlpineSlimTagHint(fileContent) {
+  const prefixes = [NGINX_UNPRIVILEGED_MIRROR_PREFIX]
+  for (const { line, image } of parseFromStages(fileContent)) {
+    const noDigest = (image.split('@', 1)[0] || '').trim()
+    const d = noDigest.toLowerCase()
+    const prefix = prefixes.find(p => d.startsWith(`${p}:`) || d === p)
+    if (prefix) {
+      if (d === prefix) {
+        return `рядок ${line}: \`FROM ${prefix}\` має явний тег \`alpine-slim\` (docker.mdc: мінімальні образи), зараз без тега (типово latest)`
+      }
+      const tag = noDigest.slice(prefix.length + 1)
+      if (tag.toLowerCase() !== 'alpine-slim') {
+        return `рядок ${line}: для nginx потрібен тег \`alpine-slim\` (docker.mdc: мінімальні образи), зараз: \`${tag}\``
+      }
+    }
+  }
+  return null
+}
+
+/**
+ * Перевіряє вимогу "non-root" у фінальному runtime stage (docker.mdc).
+ *
+ * Очікування:
+ * - у фінальному stage має бути інструкція `USER <name|uid>`;
+ * - користувач не має бути `root` і не має бути `0`.
+ * @param {string} fileContent вміст Dockerfile/Containerfile
+ * @returns {string | null} повідомлення помилки або null
+ */
+export function getNonRootRuntimeHint(fileContent) {
+  const stages = splitDockerfileStages(fileContent)
+  if (stages.length === 0) return null
+
+  const last = stages.at(-1)
+  const lastImage = (last?.from.image || '').split('@', 1)[0] || ''
+  const lastLower = lastImage.toLowerCase()
+  const lastStageContent = last?.stageContent || ''
+
+  /** @type {string | null} */
+  let lastUserToken = null
+  for (const line of lastStageContent.split(NEWLINE_RE)) {
+    const m = line.match(USER_LINE_RE)
+    if (m) {
+      lastUserToken = (m[1] || '').replaceAll(/["']/g, '')
+    }
+  }
+
+  if (!lastUserToken) {
+    // nginx-unprivileged вже запускається від uid=101 (nginx) без явного USER у Dockerfile
+    if (lastLower.startsWith(`${NGINX_UNPRIVILEGED_MIRROR_PREFIX}:`)) return null
+    return 'у фінальному stage має бути `USER <non-root>` (наприклад `USER app`) — принцип non-root (docker.mdc: не превілейований образ)'
+  }
+
+  const normalized = lastUserToken.trim().toLowerCase()
+  if (normalized === 'root' || normalized === '0') {
+    return `фінальний stage має запускатися не від root: зараз \`USER ${lastUserToken}\` (docker.mdc: не превілейований образ)`
+  }
+
+  return null
+}
+
+/**
+ * Detector docker/lint: Dockerfile/Containerfile — mirror/multistage/runtime/non-root + hadolint.
+ * @param {import('../../../scripts/lib/lint-surface/types.mjs').LintContext} ctx Контекст лінту (cwd, перелік файлів тощо).
+ * @returns {Promise<import('../../../scripts/lib/lint-surface/types.mjs').LintResult>} Результат лінту з переліком порушень.
+ */
+export async function lint(ctx) {
+  const reporter = createViolationReporter(ctx)
+  const root = ctx.cwd
+  const ignorePaths = await loadCursorIgnorePaths(root)
+  const files = await findDockerfilePaths(root, ignorePaths)
+
+  for (const abs of files) {
+    await checkDockerfile(reporter, root, abs)
+  }
+
+  return reporter.result()
+}
+
+/**
+ * Читає `dependencies` найближчого `package.json` (від каталогу Dockerfile вгору до кореня репо).
+ * Build-контекст Dockerfile — зазвичай його ж каталог, тож беремо найбільш специфічний package.json.
+ * @param {string} abs абсолютний шлях до Dockerfile/Containerfile
+ * @param {string} root корінь репозиторію
+ * @returns {Promise<Record<string, unknown>>} dependencies або порожній об'єкт
+ */
+async function readNearestDependencies(abs, root) {
+  let dir = dirname(abs)
+  for (;;) {
+    try {
+      const pkg = JSON.parse(await readFile(join(dir, 'package.json'), 'utf8'))
+      const deps = pkg?.dependencies
+      if (deps && typeof deps === 'object' && !Array.isArray(deps)) return deps
+      return {}
+    } catch {
+      /* немає package.json у цьому каталозі — піднімаємось вище */
+    }
+    if (dir === root) break
+    const parent = dirname(dir)
+    if (parent === dir) break
+    dir = parent
+  }
+  return {}
+}
+
+/**
+ * Перевіряє один Dockerfile/Containerfile: mirror.gcr.io, multistage/runtime, compile/non-root/nginx tag і hadolint.
+ * @param {ReturnType<typeof createViolationReporter>} reporter репортер violations
+ * @param {string} root корінь репозиторію
+ * @param {string} abs абсолютний шлях до Dockerfile/Containerfile
+ * @returns {Promise<void>}
+ */
+async function checkDockerfile(reporter, root, abs) {
+  const { fail } = reporter
+  const rel = posixRel(root, abs) || basename(abs)
+  const content = await readFile(abs, 'utf8')
+
+  const nativeAddons = getNativeAddonDeps(await readNearestDependencies(abs, root))
+  const hasNativeAddon = nativeAddons.length > 0
+
+  const hint = getMirrorGcrHint(content)
+  if (hint) fail(`${rel} (mirror.gcr.io): ${hint}`)
+
+  const multistageHint = getMultistageAndRuntimeHint(content, { hasNativeAddon })
+  if (multistageHint) fail(`${rel} (multistage): ${multistageHint}`)
+
+  // Нативні .node-аддони (sharp/@img/argon2) керують окремо: compile заборонено (бінарник падає
+  // в рантаймі), канон — node_modules + `bun <entry>`. Генеричне compile-правило для них не діє.
+  if (hasNativeAddon) {
+    const nativeAddonHint = getNativeAddonNoCompileHint(content, nativeAddons)
+    if (nativeAddonHint) fail(`${rel} (native-addon): ${nativeAddonHint}`)
+  } else {
+    const compileHint = getBunCompileHint(content)
+    if (compileHint) fail(`${rel} (compile): ${compileHint}`)
+  }
+
+  const nonRootHint = getNonRootRuntimeHint(content)
+  if (nonRootHint) fail(`${rel} (non-root): ${nonRootHint}`)
+
+  const nginxSlimHint = getNginxAlpineSlimTagHint(content)
+  if (nginxSlimHint) fail(`${rel} (nginx tag): ${nginxSlimHint}`)
+
+  const nginxUserHint = getNginxUnprivilegedUserHint(content)
+  if (nginxUserHint) fail(`${rel} (nginx non-root): ${nginxUserHint}`)
+
+  const { ok, stdout, stderr, via } = lintDockerfileWithHadolint(root, abs)
+  const tail = (stdout + stderr).trim()
+  if (!ok) {
+    const detail = tail ? `:\n${tail}` : ''
+    fail(`${rel} (${via})${detail}`, { reason: 'hadolint', file: rel })
+  }
+}

package/rules/docker/lint_docker_yml/concern.json

@@ -0,0 +1,9 @@
+{
+  "$schema": "https://unpkg.com/@7n/rules/schemas/concern.json",
+  "fixability": "config",
+  "policy": {
+    "files": {
+      "single": ".github/workflows/lint-docker.yml"
+    }
+  }
+}

package/rules/docker/lint_docker_yml/lint_docker_yml.mdc

@@ -0,0 +1,14 @@
+## Перевірка `.github/workflows/lint-docker.yml`
+
+Rego-пакет: `docker.lint_docker_yml`
+
+Цільовий файл: `.github/workflows/lint-docker.yml`
+
+Перевіряє, що CI-workflow lint-docker відповідає канонічному сніпету:
+
+- `on.push.paths` містить усі три glob-маски: `**/Dockerfile`, `**/*.Dockerfile`, `**/*.dockerfile`
+- присутні кроки `uses: actions/checkout@v6` та `uses: ./.github/actions/setup-bun-deps`
+- крок install hadolint містить рядок із версією `v2.12.0` (substring-перевірка)
+- крок lint містить `n-rules lint docker --no-fix`
+
+Канонічний шаблон: [lint-docker.yml.snippet.yml](./template/lint-docker.yml.snippet.yml)

package/rules/docker/lint_docker_yml/lint_docker_yml.rego

@@ -0,0 +1,79 @@
+# Перевірка `.github/workflows/lint-docker.yml` (docker.mdc).
+#
+# Канон надходить через --data: { "template": { "snippet": ... } }
+# Структура --data сформована з template/lint-docker.yml.snippet.yml.
+# Path-маркери, hadolint версія (substring "v2.12.0" у run), setup-bun-deps
+# composite, `n-rules lint docker --no-fix` substring — все читається з template's snippet.
+# Універсальні workflow-перевірки — у `ga.workflow_common`.
+package docker.lint_docker_yml
+
+import rego.v1
+
+# Очікувані літерали з template.
+expected_paths := {p | some p in data.template.snippet.on.push.paths}
+
+# Required uses set — з template's steps.
+expected_uses_set contains u if {
+	some step in data.template.snippet.jobs["lint-docker"].steps
+	u := object.get(step, "uses", "")
+	u != ""
+}
+
+# Required run substrings — collected per-step з template.
+expected_run_substrings contains r if {
+	some step in data.template.snippet.jobs["lint-docker"].steps
+	r := object.get(step, "run", "")
+	r != ""
+}
+
+# Аліаси на input.
+all_step_uses contains u if {
+	some job in object.get(input, "jobs", {})
+	some step in object.get(job, "steps", [])
+	u := object.get(step, "uses", "")
+	u != ""
+}
+
+all_run_text := concat("\n", [run_text |
+	some job in object.get(input, "jobs", {})
+	some step in object.get(job, "steps", [])
+	run_text := step_run_to_text(step)
+])
+
+# conftest парсить YAML 1.1, тож канонічний `on:` без лапок стає булевим ключем
+# `true` (як у `ga.lint_ga`). Тому читаємо через `input["true"]`.
+push_paths_set := {p |
+	some p in object.get(object.get(object.get(input, "true", {}), "push", {}), "paths", [])
+}
+
+# ── deny: on.push.paths subset-of ──────────────────────────────────────
+
+deny contains msg if {
+	some required in expected_paths
+	not required in push_paths_set
+	msg := sprintf("lint-docker.yml: on.push.paths має містити %q (docker.mdc)", [required])
+}
+
+# ── deny: required uses present ────────────────────────────────────────
+
+deny contains msg if {
+	some required_use in expected_uses_set
+	not required_use in all_step_uses
+	msg := sprintf("lint-docker.yml: відсутній крок `uses: %s` (docker.mdc)", [required_use])
+}
+
+# ── deny: required run substrings ──────────────────────────────────────
+
+deny contains msg if {
+	some required_run in expected_run_substrings
+	not contains(all_run_text, required_run)
+	msg := sprintf("lint-docker.yml: жоден крок run не містить %q (docker.mdc)", [required_run])
+}
+
+# ── helpers ────────────────────────────────────────────────────────────
+
+step_run_to_text(step) := step.run if is_string(step.run)
+
+else := concat("\n", [s | some s in step.run]) if is_array(step.run)
+
+else := ""

package/rules/docker/lint_docker_yml/template/lint-docker.yml.snippet.yml

@@ -0,0 +1,41 @@
+name: Lint Docker
+
+on:
+  push:
+    branches:
+      - dev
+      - main
+    paths:
+      - '**/Dockerfile'
+      - '**/*.Dockerfile'
+      - '**/*.dockerfile'
+
+  pull_request:
+    branches:
+      - dev
+      - main
+
+concurrency:
+  group: ${{ github.ref }}-${{ github.workflow }}
+  cancel-in-progress: true
+
+jobs:
+  lint-docker:
+    runs-on: ubuntu-latest
+    permissions:
+      contents: read
+    steps:
+      - uses: actions/checkout@v6
+        with:
+          persist-credentials: false
+
+      - name: Install hadolint
+        run: |
+          curl -sSL -o /tmp/hadolint https://github.com/hadolint/hadolint/releases/download/v2.12.0/hadolint-Linux-x86_64
+          chmod +x /tmp/hadolint
+          sudo mv /tmp/hadolint /usr/local/bin/hadolint
+
+      - uses: ./.github/actions/setup-bun-deps
+
+      - name: Lint Docker
+        run: bunx n-rules lint docker --no-fix

package/rules/docker/main.json

@@ -0,0 +1 @@
+{ "auto": { "glob": ["**/Dockerfile", "**/Dockerfile.*"] } }

package/rules/docker/main.mdc

@@ -0,0 +1,14 @@
+---
+description: Dockerfile — lint-docker / hadolint; перевірка check-docker
+version: '1.12'
+globs: "**/Dockerfile*"
+alwaysApply: false
+---
+
+# Docker — hadolint
+
+Правило перевіряє Dockerfile / Containerfile: GCR-дзеркало замість Docker Hub, multistage build з дозволеними runtime-образами, компіляцію bun-проєктів у бінарник, виняток для нативних `.node`-аддонів, non-root у фінальному stage, nginx-специфічні вимоги та hadolint CI-workflow.
+
+## Активація
+
+Спрацьовує на всі файли `Dockerfile*`; `check docker` (`fix.mjs`) обробляє також `Containerfile` та `Containerfile.*`.

package/rules/efes/docs/index.md

@@ -0,0 +1,11 @@
+---
+type: Directory Index
+title: npm/rules/efes
+resource: npm/rules/efes/
+---
+
+# npm/rules/efes
+
+| Файл                | Тип       |
+| ------------------- | --------- |
+| [main.mjs](main.md) | JS Module |

package/rules/efes/main.json

@@ -0,0 +1 @@
+{ "auto": { "predicate": "repoUrlMarker", "arg": "https://github.com/efes-cloud/" } }

package/rules/efes/main.mdc

@@ -0,0 +1,21 @@
+---
+description: Правила для проєктів Efes (репозиторії під github.com/efes-cloud)
+alwaysApply: true
+version: '1.2'
+---
+
+Правило **efes** для споживачів **@7n/rules** у репозиторіях під **`github.com/efes-cloud/*`**.
+
+## `@nitra/efes-shared` у `devDependencies`
+
+У кореневому **`package.json`** efes-проєкту в **`devDependencies`** має бути **`@nitra/efes-shared`** — пакет зі спільними efes-ресурсами (схеми, скіли, типи; зокрема використовується у `graphql.mdc` як `node_modules/@nitra/efes-shared/schema/maya.graphql`). Версію правило не фіксує — лише presence. Додати:
+
+```bash
+bun add -d @nitra/efes-shared
+```
+
+## Швидкий gate через conftest (Rego)
+
+Пер-документні перевірки efes — rego-полісі у **`npm/rules/efes/policy/`** (запускається через **`npx @7n/rules fix efes`**; синтаксичний lint — через **`bun run lint-rego`**). Деталі шаблону — у **conftest.mdc** / **n-rego.mdc**.
+
+Пакети (директорія в **`npm/rules/efes/policy/`** → namespace → що перевіряє):

package/rules/efes/package_json_shared/concern.json

@@ -0,0 +1,11 @@
+{
+  "$schema": "https://unpkg.com/@7n/rules/schemas/concern.json",
+  "fixability": "config",
+  "policy": {
+    "files": {
+      "single": "package.json",
+      "required": true
+    },
+    "missingMessage": "package.json не існує — створи його, додай devDependencies['@nitra/efes-shared'] (efes.mdc)"
+  }
+}

package/rules/efes/package_json_shared/package_json_shared.mdc

@@ -0,0 +1,33 @@
+## Наявність `@nitra/efes-shared` у `devDependencies`
+
+Rego-пакет: `efes.package_json_shared`
+
+**Цільовий файл:** `package.json` (корінь проєкту, обовʼязковий).
+
+**Що перевіряється:** у `devDependencies` кореневого `package.json` має бути ключ `@nitra/efes-shared`. Версію не фіксуємо — лише presence. Наявність лише у `dependencies` (не `devDependencies`) — теж помилка.
+
+**Виправлення:**
+
+```bash
+bun add -d @nitra/efes-shared
+```
+
+**Приклади:**
+
+✓ правильно — `devDependencies` містить пакет:
+
+```json
+{ "devDependencies": { "@nitra/efes-shared": "^1.0.0" } }
+```
+
+✗ неправильно — `devDependencies` відсутній або порожній:
+
+```json
+{ "name": "my-project" }
+```
+
+✗ неправильно — пакет лише у `dependencies`:
+
+```json
+{ "dependencies": { "@nitra/efes-shared": "^1.0.0" } }
+```

package/rules/efes/package_json_shared/package_json_shared.rego

@@ -0,0 +1,16 @@
+# Перевірка кореневого `package.json` efes-проєкту: у `devDependencies` має бути
+# `@nitra/efes-shared` (спільні efes-ресурси — схеми, скіли, типи; використовується,
+# зокрема, у `graphql.mdc` як `node_modules/@nitra/efes-shared/schema/maya.graphql`).
+# Версію не фіксуємо — лише presence.
+#
+# Inverse-presence перевірка лишається inline у rego (як `@nitra/cspell-dict`
+# у `text.package_json`).
+package efes.package_json_shared
+
+import rego.v1
+
+deny contains msg if {
+	dev := object.get(input, "devDependencies", {})
+	not "@nitra/efes-shared" in object.keys(dev)
+	msg := "package.json: devDependencies має містити @nitra/efes-shared — bun add -d @nitra/efes-shared (efes.mdc)"
+}

package/rules/feedback/docs/index.md

@@ -0,0 +1,11 @@
+---
+type: Directory Index
+title: npm/rules/feedback
+resource: npm/rules/feedback/
+---
+
+# npm/rules/feedback
+
+| Файл                | Тип       |
+| ------------------- | --------- |
+| [main.mjs](main.md) | JS Module |

package/rules/feedback/main.json

@@ -0,0 +1 @@
+{}