@7n/rules 1.0.0

package/rules/feedback/main.mdc

@@ -0,0 +1,63 @@
+---
+description: Ефемерне резюме «тертя» з пакетом @7n/rules наприкінці кожного скілу — агент називає, що в правилах / SKILL.md / check заважало, без запису у файли
+alwaysApply: true
+version: '1.0'
+---
+
+Правило про **зворотний звʼязок до пакета `@7n/rules`**. Виконуючи скіл пакета (`n-lint`, `n-fix`, `n-taze`, `n-adr-normalize`, `n-llm-patch`, `n-publish-telegram`, `mdc-check`), агент проходить крізь правила `.cursor/rules/`, інструкції `SKILL.md` і програмні перевірки `npx @7n/rules fix`. Саме тут видно, що в пакеті недопрацьовано: неоднозначна інструкція, відсутня перевірка, хибне спрацювання, порушення без автофіксу. Ця інформація цінна для розробників пакета, але без явного кроку зникає разом із сесією.
+
+## Коли застосовувати
+
+Лише якщо в цій сесії агент **виконав хоча б один скіл** `@7n/rules`. Без виконання skills правило інертне — додавати нічого не треба.
+
+## Що зробити
+
+Наприкінці скілу, **після** основного резюме роботи, додай у відповідь чату секцію `## 🔧 Покращення @7n/rules` — але лише якщо під час виконання було помічене **тертя** з пакетом.
+
+**Тертя** — усе, що ускладнило роботу скілу й стосується самого пакета `@7n/rules`, а не коду користувацького проєкту:
+
+- неоднозначна чи неповна інструкція в `SKILL.md` або `.mdc`;
+- правило вимагає поведінку, яку можна перевірити програмно, але програмної перевірки (`rules/<id>/js/<concern>.mjs` або `rules/<id>/policy/<concern>/*.rego`) для неї немає;
+- хибне спрацювання перевірки (false positive);
+- порушення, яке правило вимагає виправляти вручну, хоча реальний автофікс можливий;
+- повторюваний патерн, який варто закодувати в правило чи скіл.
+
+Звичайні порушення **коду користувача**, які скіл і має виправляти, — це **не** тертя.
+
+## Формат секції
+
+Кожен пункт — за схемою:
+
+- **target** — `rule` | `skill` | `check`
+- **id** — який саме (`lint`, `text`, `js`, …)
+- **kind** — `ambiguous-doc` | `missing-check` | `false-positive` | `no-autofix` | `recurring-pattern`
+- **evidence** — конкретний `файл:рядок` або вивід команди з цього запуску
+- **suggestion** — запропонована зміна
+
+Приклад:
+
+```text
+## 🔧 Покращення @7n/rules
+
+- skill `n-lint`, `ambiguous-doc` — крок 2 не каже, як діяти при частковому autofix
+  evidence: `oxlint --fix` лишив 3 no-autofix-помилки
+  suggestion: додати в SKILL.md підпункт про частковий autofix
+- rule `js`, `missing-check` — немає програмної перевірки jscpd-порогу
+  evidence: jscpd впав, але `check js` цього не ловить
+```
+
+## Ефемерність — обовʼязково
+
+Резюме живе **тільки в цій відповіді чату**. **Заборонено**:
+
+- записувати або створювати файли (чернетки, тимчасові нотатки на диску, будь-що в `docs/`);
+- створювати GitHub issue чи PR;
+- редагувати сам пакет `@7n/rules`.
+
+Це навмисний вибір: канал має бути легким і миттєвим. Розробник, читаючи відповідь, сам вирішує, чи переносити пункт у пакет.
+
+## Чесність
+
+- Лише **реальне** тертя, помічене в **цьому** запуску — без припущень і вигаданих прикладів.
+- Якщо тертя не було — **повністю пропусти** секцію; не пиши порожню секцію чи «все добре».
+- Не дублюй у секції переказ роботи скілу — лише конкретні, дієві пропозиції до пакета.

package/rules/ga/clean_ga_workflows/clean_ga_workflows.mdc

@@ -0,0 +1,20 @@
+## Структура `clean-ga-workflows.yml` — видалення завершених workflow runs
+
+Rego-пакет: `ga.clean_ga_workflows`
+
+**Цільовий файл:** `.github/workflows/clean-ga-workflows.yml`
+
+### Що перевіряється
+
+- `name` — точна відповідність значенню з template
+- `on.schedule[].cron` — має містити cron із template (`0 1 16 * *`)
+- `on.workflow_dispatch` — має бути об'єктом `{}`
+- `jobs.cleanup_old_workflows` — job має існувати
+- `jobs.cleanup_old_workflows.runs-on` — відповідно до template (`ubuntu-latest`)
+- `jobs.cleanup_old_workflows.permissions` — `actions: write`, `contents: read`
+- `steps[0].name` і `steps[0].uses` — відповідно до template (`dmvict/clean-workflow-runs@v1`)
+- `steps[0].with` — `token`, `save_period`, `save_min_runs_number` як у template
+
+**Pin-aware `uses`:** SHA-пін того самого action (`owner/action@<40-hex SHA>`, з тег-коментарем `# vX` чи без) задовольняє канонічний тег із template. Якщо в репо вже SHA-пін (zizmor-політика ref-pin) — НЕ замінюй його тегом.
+
+Канон: [clean-ga-workflows.yml.snippet.yml](./template/clean-ga-workflows.yml.snippet.yml)

package/rules/ga/clean_ga_workflows/clean_ga_workflows.rego

@@ -0,0 +1,112 @@
+# Перевірка `.github/workflows/clean-ga-workflows.yml` (ga.mdc).
+#
+# Канон надходить через --data: { "template": { "snippet": ... } }
+# Структура --data сформована з template/clean-ga-workflows.yml.snippet.yml
+# (повний YAML канон). Path-and-value перевірки — у цьому rego (per-concern
+# field-by-field з .data.template.snippet.<path>); жодних inline literals.
+package ga.clean_ga_workflows
+
+import rego.v1
+
+# ── Аліаси на input ────────────────────────────────────────────────────────
+# GHA YAML quirk: ключ `on:` — YAML 1.1 boolean `true`, у conftest серіалізується
+# як рядковий ключ "true". Template (через --data JSON) має ключ "on".
+
+gha_on := input["true"]
+
+step0 := input.jobs.cleanup_old_workflows.steps[0]
+
+# Експектації з template.
+expected_name := data.template.snippet.name
+
+expected_cron := data.template.snippet.on.schedule[0].cron
+
+expected_step0 := data.template.snippet.jobs.cleanup_old_workflows.steps[0]
+
+expected_perms := data.template.snippet.jobs.cleanup_old_workflows.permissions
+
+expected_runs_on := data.template.snippet.jobs.cleanup_old_workflows["runs-on"]
+
+# ── deny rules ─────────────────────────────────────────────────────────────
+
+deny contains msg if {
+	input.name != expected_name
+	msg := sprintf("clean-ga-workflows.yml: name має бути %q (ga.mdc)", [expected_name])
+}
+
+deny contains msg if {
+	not has_expected_cron
+	msg := sprintf("clean-ga-workflows.yml: on.schedule має містити cron: '%s' (ga.mdc)", [expected_cron])
+}
+
+deny contains msg if {
+	not is_object(object.get(gha_on, "workflow_dispatch", null))
+	msg := "clean-ga-workflows.yml: має бути workflow_dispatch: {} (ga.mdc)"
+}
+
+deny contains msg if {
+	not input.jobs.cleanup_old_workflows
+	msg := "clean-ga-workflows.yml: jobs.cleanup_old_workflows відсутній (ga.mdc)"
+}
+
+deny contains msg if {
+	job := input.jobs.cleanup_old_workflows
+	job["runs-on"] != expected_runs_on
+	msg := sprintf("clean-ga-workflows.yml: runs-on має бути %s (ga.mdc)", [expected_runs_on])
+}
+
+deny contains msg if {
+	perms := input.jobs.cleanup_old_workflows.permissions
+	not perms_match(perms, expected_perms)
+	msg := "clean-ga-workflows.yml: permissions мають бути actions: write, contents: read (ga.mdc)"
+}
+
+deny contains msg if {
+	step0.name != expected_step0.name
+	msg := sprintf("clean-ga-workflows.yml: перший крок має мати name: %s (ga.mdc)", [expected_step0.name])
+}
+
+deny contains msg if {
+	actual := step0.uses
+	not uses_satisfies(actual, expected_step0.uses)
+	msg := sprintf("clean-ga-workflows.yml: перший крок має uses: %s (ga.mdc)", [expected_step0.uses])
+}
+
+deny contains msg if {
+	not step0_with_canonical
+	msg := "clean-ga-workflows.yml: with має містити token/save_period/save_min_runs_number як у template (ga.mdc)"
+}
+
+deny contains msg if {
+	step0.with.save_period != expected_step0.with.save_period
+	msg := sprintf("clean-ga-workflows.yml: with.save_period має бути %d (ga.mdc)", [expected_step0.with.save_period])
+}
+
+# ── helpers ────────────────────────────────────────────────────────────────
+
+# `uses:` з input задовольняє канонічний `owner/action@tag`: точний збіг…
+uses_satisfies(actual, expected) if actual == expected
+
+# …або той самий action-slug і ref — повний 40-hex commit SHA (zizmor ref-pin).
+# SHA-пін відповідної версії задовольняє вимогу тега — не даунгрейдимо до тега.
+uses_satisfies(actual, expected) if {
+	slug := split(expected, "@")[0]
+	startswith(actual, concat("", [slug, "@"]))
+	parts := split(actual, "@")
+	regex.match(`^[0-9a-fA-F]{40}$`, parts[count(parts) - 1])
+}
+
+has_expected_cron if {
+	gha_on.schedule[_].cron == expected_cron
+}
+
+perms_match(actual, expected) if {
+	actual.actions == expected.actions
+	actual.contents == expected.contents
+}
+
+step0_with_canonical if {
+	step0.with.token == expected_step0.with.token
+	step0.with.save_period == expected_step0.with.save_period
+	step0.with.save_min_runs_number == expected_step0.with.save_min_runs_number
+}

package/rules/ga/clean_ga_workflows/concern.json

@@ -0,0 +1,10 @@
+{
+  "$schema": "https://unpkg.com/@7n/rules/schemas/concern.json",
+  "policy": {
+    "files": {
+      "single": ".github/workflows/clean-ga-workflows.yml",
+      "required": true
+    },
+    "missingMessage": ".github/workflows/clean-ga-workflows.yml не існує — створи за каноном ga.mdc"
+  }
+}

package/rules/ga/clean_ga_workflows/template/clean-ga-workflows.yml.snippet.yml

@@ -0,0 +1,26 @@
+name: Clean action for removing completed workflow runs
+
+on:
+  schedule:
+    - cron: '0 1 16 * *'
+
+  # Allow workflow to be manually run from the GitHub UI
+  workflow_dispatch: {}
+
+concurrency:
+  group: ${{ github.ref }}-${{ github.workflow }}
+  cancel-in-progress: true
+
+jobs:
+  cleanup_old_workflows:
+    runs-on: ubuntu-latest
+    permissions:
+      actions: write
+      contents: read
+    steps:
+      - name: Delete workflow runs
+        uses: dmvict/clean-workflow-runs@v1
+        with:
+          token: ${{ github.token }}
+          save_period: 31
+          save_min_runs_number: 0

package/rules/ga/clean_merged_branch/clean_merged_branch.mdc

@@ -0,0 +1,24 @@
+## Структура `clean-merged-branch.yml` — видалення злитих гілок
+
+Rego-пакет: `ga.clean_merged_branch`
+
+**Цільовий файл:** `.github/workflows/clean-merged-branch.yml`
+
+### Що перевіряється
+
+- `name` — точна відповідність значенню з template
+- `on.schedule[].cron` — має містити cron із template (`0 1 15 * *`)
+- `on.workflow_dispatch` — має бути об'єктом `{}`
+- `jobs.cleanup_old_branches` — job має існувати
+- `jobs.cleanup_old_branches.permissions` — кожне поле із template (`contents: write`, `pull-requests: read`)
+- `steps` — має бути рівно 2 кроки
+- `steps[0].id` — `delete_stuff`; `steps[0].uses` — `phpdocker-io/github-actions-delete-abandoned-branches@v2.0.3`
+- `steps[0].with.github_token`, `last_commit_age_days` — за template
+- `steps[0].with.ignore_branches` — має містити всі гілки з template (`main,dev`)
+- `steps[0].with.dry_run` — `no` (нормалізується: YAML 1.1 `no` → boolean `false` у conftest)
+- `steps[1].name` — за template; `steps[1].env.DELETED_BRANCHES` — за template
+- `steps[1].run` — містить `Deleted branches:` та `${DELETED_BRANCHES}`
+
+**Pin-aware `uses`:** SHA-пін того самого action (`owner/action@<40-hex SHA>`, з тег-коментарем `# vX` чи без) задовольняє канонічний тег із template. Якщо в репо вже SHA-пін (zizmor-політика ref-pin) — НЕ замінюй його тегом.
+
+Канон: [clean-merged-branch.yml.snippet.yml](./template/clean-merged-branch.yml.snippet.yml)

package/rules/ga/clean_merged_branch/clean_merged_branch.rego

@@ -0,0 +1,163 @@
+# Перевірка `.github/workflows/clean-merged-branch.yml` (ga.mdc).
+#
+# Канон надходить через --data: { "template": { "snippet": ... } }
+# Структура --data сформована з template/clean-merged-branch.yml.snippet.yml.
+package ga.clean_merged_branch
+
+import rego.v1
+
+# ── Аліаси ─────────────────────────────────────────────────────────────────
+
+gha_on := input["true"]
+
+steps := input.jobs.cleanup_old_branches.steps
+
+step0 := steps[0]
+
+step1 := steps[1]
+
+expected_name := data.template.snippet.name
+
+expected_cron := data.template.snippet.on.schedule[0].cron
+
+expected_step0 := data.template.snippet.jobs.cleanup_old_branches.steps[0]
+
+expected_step1 := data.template.snippet.jobs.cleanup_old_branches.steps[1]
+
+expected_perms := data.template.snippet.jobs.cleanup_old_branches.permissions
+
+# ── deny rules ─────────────────────────────────────────────────────────────
+
+deny contains msg if {
+	input.name != expected_name
+	msg := sprintf("clean-merged-branch.yml: name має бути %q (ga.mdc)", [expected_name])
+}
+
+deny contains msg if {
+	not has_expected_cron
+	msg := sprintf("clean-merged-branch.yml: on.schedule має містити cron: '%s' (ga.mdc)", [expected_cron])
+}
+
+deny contains msg if {
+	not is_object(object.get(gha_on, "workflow_dispatch", null))
+	msg := "clean-merged-branch.yml: має бути workflow_dispatch: {} (ga.mdc)"
+}
+
+deny contains msg if {
+	not input.jobs.cleanup_old_branches
+	msg := "clean-merged-branch.yml: jobs.cleanup_old_branches відсутній (ga.mdc)"
+}
+
+deny contains msg if {
+	some permission, expected in expected_perms
+	object.get(input.jobs.cleanup_old_branches.permissions, permission, null) != expected
+	msg := sprintf("clean-merged-branch.yml: permissions.%s має бути %s (ga.mdc)", [permission, expected])
+}
+
+deny contains msg if {
+	count(steps) < 2
+	msg := "clean-merged-branch.yml: steps має містити 2 кроки як у template (ga.mdc)"
+}
+
+# ── Step 0 (delete_stuff) ──────────────────────────────────────────────────
+
+deny contains msg if {
+	step0.id != expected_step0.id
+	msg := sprintf("clean-merged-branch.yml: перший крок має id: %s (ga.mdc)", [expected_step0.id])
+}
+
+deny contains msg if {
+	actual := step0.uses
+	not uses_satisfies(actual, expected_step0.uses)
+	msg := sprintf("clean-merged-branch.yml: перший крок має uses: %s (ga.mdc)", [expected_step0.uses])
+}
+
+deny contains msg if {
+	step0.with.github_token != expected_step0.with.github_token
+	msg := sprintf(
+		"clean-merged-branch.yml: with.github_token має бути %s (ga.mdc)",
+		[expected_step0.with.github_token],
+	)
+}
+
+deny contains msg if {
+	step0.with.last_commit_age_days != expected_step0.with.last_commit_age_days
+	msg := sprintf(
+		"clean-merged-branch.yml: with.last_commit_age_days має бути %d (ga.mdc)",
+		[expected_step0.with.last_commit_age_days],
+	)
+}
+
+deny contains msg if {
+	not ignore_branches_subset
+	msg := sprintf(
+		"clean-merged-branch.yml: with.ignore_branches має містити %s (ga.mdc)",
+		[expected_step0.with.ignore_branches],
+	)
+}
+
+# YAML 1.1 quirk: `dry_run: no` парситься як boolean false у Go-yaml (conftest).
+# Template (від `yaml` npm) читає `no` як рядок, тому нормалізуємо обидві форми.
+deny contains msg if {
+	normalize_dry_run(step0.with.dry_run) != normalize_dry_run(expected_step0.with.dry_run) # noqa: rules-style-no-equality-with-false
+	msg := "clean-merged-branch.yml: with.dry_run має бути no (ga.mdc)"
+}
+
+# ── Step 1 (Get output) ────────────────────────────────────────────────────
+
+deny contains msg if {
+	step1.name != expected_step1.name
+	msg := sprintf("clean-merged-branch.yml: другий крок має name: %s (ga.mdc)", [expected_step1.name])
+}
+
+deny contains msg if {
+	step1.env.DELETED_BRANCHES != expected_step1.env.DELETED_BRANCHES
+	msg := "clean-merged-branch.yml: env.DELETED_BRANCHES має бути як у template (ga.mdc)"
+}
+
+deny contains msg if {
+	not echo_deleted_branches
+	msg := "clean-merged-branch.yml: run має echo Deleted branches як у template (ga.mdc)"
+}
+
+# ── helpers ────────────────────────────────────────────────────────────────
+
+# `uses:` з input задовольняє канонічний `owner/action@tag`: точний збіг…
+uses_satisfies(actual, expected) if actual == expected
+
+# …або той самий action-slug і ref — повний 40-hex commit SHA (zizmor ref-pin).
+# SHA-пін відповідної версії задовольняє вимогу тега — не даунгрейдимо до тега.
+uses_satisfies(actual, expected) if {
+	slug := split(expected, "@")[0]
+	startswith(actual, concat("", [slug, "@"]))
+	parts := split(actual, "@")
+	regex.match(`^[0-9a-fA-F]{40}$`, parts[count(parts) - 1])
+}
+
+has_expected_cron if {
+	gha_on.schedule[_].cron == expected_cron
+}
+
+# Кожна гілка з template-літералу (через кому) має бути присутня у actual.
+ignore_branches_subset if {
+	required_branches := split(expected_step0.with.ignore_branches, ",")
+	actual := step0.with.ignore_branches
+	every b in required_branches {
+		contains(actual, trim_space(b))
+	}
+}
+
+echo_deleted_branches if {
+	# Звіряємо substring "echo "Deleted branches: …${DELETED_BRANCHES}…"" — формується з template run.
+	contains(step1.run, "Deleted branches:")
+	contains(step1.run, "${DELETED_BRANCHES}")
+}
+
+normalize_dry_run(false) := false
+
+normalize_dry_run(value) := false if lower(sprintf("%v", [value])) == "no"
+
+normalize_dry_run(value) := value if {
+	value != false # noqa: equals-pattern-matching
+	lower(sprintf("%v", [value])) != "no"
+}

package/rules/ga/clean_merged_branch/concern.json

@@ -0,0 +1,10 @@
+{
+  "$schema": "https://unpkg.com/@7n/rules/schemas/concern.json",
+  "policy": {
+    "files": {
+      "single": ".github/workflows/clean-merged-branch.yml",
+      "required": true
+    },
+    "missingMessage": ".github/workflows/clean-merged-branch.yml не існує — створи за каноном ga.mdc"
+  }
+}

package/rules/ga/clean_merged_branch/template/clean-merged-branch.yml.snippet.yml

@@ -0,0 +1,37 @@
+name: Clean abandoned branches
+
+on:
+  # Run daily at midnight
+  schedule:
+    - cron: '0 1 15 * *'
+
+  # Allow workflow to be manually run from the GitHub UI
+  workflow_dispatch: {}
+
+concurrency:
+  group: ${{ github.ref }}-${{ github.workflow }}
+  cancel-in-progress: true
+
+jobs:
+  cleanup_old_branches:
+    runs-on: ubuntu-latest
+    permissions:
+      contents: write
+      pull-requests: read
+    steps:
+      - id: delete_stuff
+        name: Delete those pesky dead branches
+        uses: phpdocker-io/github-actions-delete-abandoned-branches@v2.0.3
+        with:
+          github_token: ${{ github.token }}
+          last_commit_age_days: 90
+          ignore_branches: main,dev
+          # Action CLI accepts only yes/no. Go-yaml in conftest parses `no` as
+          # boolean false, so the Rego policy normalizes both forms.
+          dry_run: no
+
+      - name: Get output
+        env:
+          DELETED_BRANCHES: ${{ steps.delete_stuff.outputs.deleted_branches }}
+        run: |
+          echo "Deleted branches: ${DELETED_BRANCHES}"

package/rules/ga/docs/index.md

@@ -0,0 +1,11 @@
+---
+type: Directory Index
+title: npm/rules/ga
+resource: npm/rules/ga/
+---
+
+# npm/rules/ga
+
+| Файл                | Тип       |
+| ------------------- | --------- |
+| [main.mjs](main.md) | JS Module |

package/rules/ga/git_ai/concern.json

@@ -0,0 +1,11 @@
+{
+  "$schema": "https://unpkg.com/@7n/rules/schemas/concern.json",
+  "fixability": "config",
+  "policy": {
+    "files": {
+      "single": ".github/workflows/git-ai.yml",
+      "required": true
+    },
+    "missingMessage": ".github/workflows/git-ai.yml не існує — створи за каноном ga.mdc"
+  }
+}

package/rules/ga/git_ai/git_ai.mdc

@@ -0,0 +1,19 @@
+## Структура `git-ai.yml` — автоматичний запуск git-ai після мержу PR
+
+Rego-пакет: `ga.git_ai`
+
+**Цільовий файл:** `.github/workflows/git-ai.yml`
+
+### Що перевіряється
+
+- `name` — точна відповідність значенню з template (`Git AI`)
+- `on.pull_request.types` — має містити `closed`
+- `jobs.git-ai` — job має існувати
+- `jobs.git-ai.if` — містить `github.event.pull_request.merged == true`
+- `jobs.git-ai.permissions.contents` — за template (`write`)
+- `steps[*].run` (сукупно) — містить substring `https://usegitai.com/install.sh` (інсталяція)
+- `steps[*].run` (сукупно) — містить substring `git-ai ci github run` (запуск)
+
+Substring-перевірки замість exact-match через крихкість multi-line `run:` блоків.
+
+Канон: [git-ai.yml.snippet.yml](./template/git-ai.yml.snippet.yml)

package/rules/ga/git_ai/git_ai.rego

@@ -0,0 +1,76 @@
+# Перевірка `.github/workflows/git-ai.yml` (ga.mdc).
+#
+# Канон надходить через --data: { "template": { "snippet": ... } }
+# Структура --data сформована з template/git-ai.yml.snippet.yml.
+# Substring-перевірки (`if:`, `run:` блоки) — на основі ключових фраз з template
+# steps, бо повний multi-line `run:` дуже крихкий для exact-match.
+package ga.git_ai
+
+import rego.v1
+
+# ── Аліаси ─────────────────────────────────────────────────────────────────
+
+gha_on := input["true"]
+
+job := input.jobs["git-ai"]
+
+job_run_blob := concat("\n", [run |
+	run := job.steps[_].run
+])
+
+expected_name := data.template.snippet.name
+
+expected_types := {t | some t in data.template.snippet.on.pull_request.types}
+
+expected_if := data.template.snippet.jobs["git-ai"].if
+
+expected_perms := data.template.snippet.jobs["git-ai"].permissions
+
+# Substring-маркери з template `run:` блоків — ключові команди, наявність яких
+# гарантує що workflow робить очікувані дії. Конкретний multi-line — не порівнюємо.
+install_substring := "https://usegitai.com/install.sh"
+
+run_substring := "git-ai ci github run"
+
+# ── deny rules ─────────────────────────────────────────────────────────────
+
+deny contains msg if {
+	input.name != expected_name
+	msg := sprintf("git-ai.yml: name має бути %q (ga.mdc)", [expected_name])
+}
+
+deny contains msg if {
+	not "closed" in {t | some t in gha_on.pull_request.types}
+	msg := "git-ai.yml: on.pull_request.types має містити closed (ga.mdc)"
+}
+
+deny contains msg if {
+	not job
+	msg := "git-ai.yml: jobs.git-ai відсутній (ga.mdc)"
+}
+
+deny contains msg if {
+	not contains(job_if_str, expected_if)
+	msg := sprintf("git-ai.yml: job має містити if: %s (ga.mdc)", [expected_if])
+}
+
+deny contains msg if {
+	job.permissions.contents != expected_perms.contents
+	msg := sprintf("git-ai.yml: permissions.contents має бути %s (ga.mdc)", [expected_perms.contents])
+}
+
+deny contains msg if {
+	not contains(job_run_blob, install_substring)
+	msg := "git-ai.yml: має встановлювати git-ai через curl | bash (ga.mdc)"
+}
+
+deny contains msg if {
+	not contains(job_run_blob, run_substring)
+	msg := sprintf("git-ai.yml: має виконувати %s (ga.mdc)", [run_substring])
+}
+
+# ── helpers ────────────────────────────────────────────────────────────────
+
+default job_if_str := ""
+
+job_if_str := sprintf("%v", [job.if])

package/rules/ga/git_ai/template/git-ai.yml.snippet.yml

@@ -0,0 +1,30 @@
+name: Git AI
+
+on:
+  pull_request:
+    types: [closed]
+
+concurrency:
+  group: ${{ github.ref }}-${{ github.workflow }}
+  cancel-in-progress: true
+
+jobs:
+  git-ai:
+    if: github.event.pull_request.merged == true
+    runs-on: ubuntu-latest
+    permissions:
+      contents: write
+
+    steps:
+      - name: Install git-ai
+        run: |
+          curl -fsSL https://usegitai.com/install.sh | bash
+          echo "$HOME/.git-ai/bin" >> $GITHUB_PATH
+      - name: Run git-ai
+        id: run-git-ai
+        env:
+          GITHUB_TOKEN: ${{ secrets.GITHUB_TOKEN }}
+        run: |
+          git config --global user.name "github-actions[bot]"
+          git config --global user.email "github-actions[bot]@users.noreply.github.com"
+          git-ai ci github run

package/rules/ga/lint_ga/concern.json

@@ -0,0 +1,10 @@
+{
+  "$schema": "https://unpkg.com/@7n/rules/schemas/concern.json",
+  "policy": {
+    "files": {
+      "single": ".github/workflows/lint-ga.yml",
+      "required": true
+    },
+    "missingMessage": ".github/workflows/lint-ga.yml не існує — створи за каноном ga.mdc"
+  }
+}

package/rules/ga/lint_ga/lint_ga.mdc

@@ -0,0 +1,21 @@
+## Структура `lint-ga.yml` — CI-лінт GitHub Actions файлів
+
+Rego-пакет: `ga.lint_ga`
+
+**Цільовий файл:** `.github/workflows/lint-ga.yml`
+
+### Що перевіряється
+
+- `name` — точна відповідність значенню з template (`Lint GA`)
+- `on.push.branches` — superset: містить `dev` і `main`
+- `on.pull_request.branches` — superset: містить `dev` і `main`
+- `on.push.paths` — superset: містить `.github/actions/**` і `.github/workflows/**`
+- `jobs.lint-ga` — job має існувати
+- `jobs.lint-ga.runs-on` — за template (`ubuntu-latest`)
+- `jobs.lint-ga.permissions.contents` — `read`
+- `jobs.lint-ga.steps` — не порожній
+- `steps[*].uses` — кожен `uses:` з template має бути присутнім у кроках; SHA-пін того самого action (`owner/action@<40-hex SHA>`, з тег-коментарем `# vX` чи без) задовольняє канонічний тег — НЕ замінюй наявний SHA-пін тегом
+- `steps[*].run` (сукупно) — містить `open-policy-agent/conftest` (Install conftest)
+- `steps[*].run` (сукупно) — містить `n-rules lint ga --no-fix`
+
+Канон: [lint-ga.yml.snippet.yml](./template/lint-ga.yml.snippet.yml)