@7n/rules 1.0.0

package/rules/graphql/vscode_extensions/vscode_extensions.mdc

@@ -0,0 +1,9 @@
+## Rego-перевірка наявності graphql.vscode-graphql у recommendations
+
+Rego-пакет: `graphql.vscode_extensions`
+
+Цільовий файл: `.vscode/extensions.json` (передається явно через `runConftestBatch` — без `target.json`, тому не auto-discoverable).
+
+Перевіряє: поле `recommendations` містить рядок `"graphql.vscode-graphql"`. Порожній масив або відсутнє поле — deny. Додаткові записи дозволені.
+
+Запускається умовно — лише якщо JS-сканер виявив `gql\`…\`` у джерелах проєкту.

package/rules/graphql/vscode_extensions/vscode_extensions.rego

@@ -0,0 +1,20 @@
+# Перевірка `.vscode/extensions.json` для graphql (graphql.mdc).
+#
+# Викликається з `rules/graphql/fix.mjs` через `runConftestBatch` лише ПІСЛЯ того,
+# як JS виявив `gql\`…\`` tagged template literal у джерелах (умовне правило).
+# Тому без `target.json` поруч (не auto-discoverable через `n-rules fix`) —
+# інакше були б false-positive порушення на проєктах без gql.
+#
+# Canonical (graphql.mdc):
+#   { "recommendations": ["graphql.vscode-graphql"] }
+#
+# Канон задає мінімум; інші записи (від markdownlint/oxc/...) дозволені.
+package graphql.vscode_extensions
+
+import rego.v1
+
+deny contains msg if {
+	recs := object.get(input, "recommendations", [])
+	not "graphql.vscode-graphql" in {r | some r in recs}
+	msg := ".vscode/extensions.json: додай у recommendations \"graphql.vscode-graphql\" (graphql.mdc)"
+}

package/rules/hasura/docs/index.md

@@ -0,0 +1,11 @@
+---
+type: Directory Index
+title: npm/rules/hasura
+resource: npm/rules/hasura/
+---
+
+# npm/rules/hasura
+
+| Файл                | Тип       |
+| ------------------- | --------- |
+| [main.mjs](main.md) | JS Module |

package/rules/hasura/internal_urls/concern.json

@@ -0,0 +1,5 @@
+{
+  "$schema": "https://unpkg.com/@7n/rules/schemas/concern.json",
+  "fixability": "config",
+  "lint": { "scope": "full", "glob": ["**/*.env"] }
+}

package/rules/hasura/internal_urls/docs/fix-internal_urls.md

@@ -0,0 +1,26 @@
+---
+type: JS Module
+title: fix-internal_urls.mjs
+resource: npm/rules/hasura/internal_urls/fix-internal_urls.mjs
+docgen:
+  crc: f38b2bec
+  model: omlx/gemma-4-e4b-it-OptiQ-4bit
+  score: 100
+  issues: judge:inaccurate:0.99
+  judgeModel: openai-codex/gpt-5.4-mini
+---
+
+## Огляд
+
+T0-автофікс для `hasura/internal_urls`: виправляє в `*.env` файлах значення `HASURA_GRAPHQL_ENDPOINT`, у яких `service` або `namespace` не збігаються з `metadata.name` із `hasura/k8s/base/svc-hl.yaml` та `hasura/k8s/base/namespace.yaml`. Структурно невалідний URL (не внутрішній кластерний формат) не виправляється — це вимагає ручного рішення про `cluster`/`port`.
+
+## Поведінка
+
+1. Спрацьовує лише за наявності порушень з причиною `internal-url-service-mismatch` або `internal-url-namespace-mismatch`.
+2. Обчислює очікувані `service`/`namespace` з YAML-маніфестів (`computeExpectedEndpointSegments`).
+3. Для кожного файлу-порушника переписує сегменти `service`/`namespace` у значенні `HASURA_GRAPHQL_ENDPOINT`, зберігаючи наявні `cluster` і `port`.
+4. URL з причиною `internal-url-invalid` (структурно невалідний) не чіпає — така правка вимагає людського рішення про інфраструктуру.
+
+## Гарантії поведінки
+
+- Пише лише файли з переліку порушень; за відсутності збігу — no-op.

package/rules/hasura/internal_urls/docs/index.md

@@ -0,0 +1,12 @@
+---
+type: Directory Index
+title: npm/rules/hasura/internal_urls
+resource: npm/rules/hasura/internal_urls/
+---
+
+# npm/rules/hasura/internal_urls
+
+| Файл                                          | Тип       |
+| --------------------------------------------- | --------- |
+| [fix-internal_urls.mjs](fix-internal_urls.md) | JS Module |
+| [main.mjs](main.md)                           | JS Module |

package/rules/hasura/internal_urls/docs/main.md

@@ -0,0 +1,36 @@
+---
+type: JS Module
+title: main.mjs
+resource: npm/rules/hasura/internal_urls/main.mjs
+docgen:
+  crc: 7b27e379
+  model: omlx/gemma-4-e4b-it-OptiQ-4bit
+  score: 100
+  issues: judge:inaccurate:0.98
+  judgeModel: openai-codex/gpt-5.4-mini
+---
+
+## Огляд
+
+Файл перевіряє конфігураційні файли `.env` у репозиторіях, що належать до екосистем https://github.com/nitra/ або https://github.com/abinbevefes/. Код спирається на конфігурацію, визначену у package.json. Його функція — валідувати відповідність конфігурацій, зокрема, через перевірку внутрішнього Hasura-ендпоінта (parseInternalHasuraEndpoint), щоб забезпечити коректну роботу системи. Звернення до мережі здійснюється для збору необхідної інформації, але всі операції обробляються з механізмами fail-safe, не викидаючи винятків. Для певних помилок функція повертає порожнє значення (наприклад, null) замість винятку, що регулюється у повідомленнях у (hasura.mdc).
+
+## Поведінка
+
+Поведінка
+parseInternalHasuraEndpoint розбирає рядок, щоб визначити внутрішній кластерний URL для Hasura, повертаючи сегменти або провалення, якщо формат некоректний.
+isEnvFile визначає, чи є заданий відносний шлях до файлу `.env`, що підлягає перевірці, виключаючи локальні файли розробника.
+isNitraOrAbieRepository перевіряє, чи вказує URL репозиторію на проєкти від https://github.com/nitra/ або https://github.com/abinbevefes/ (це стосується конфігів, як package.json).
+main виконує повну перевірку файлів `.env` у репозиторії, порівнюючи конфігурації з внутрішніми YAML-документами, якщо репозиторій належить до https://github.com/nitra/ або https://github.com/abinbevefes/, і повідомляє про порушення відповідно до (hasura.mdc).
+
+## Публічний API
+
+- parseInternalHasuraEndpoint — Визначає, чи відповідний рядок формі внутрішнього URL для кластера: дозволяє лише `http://` та домен `*.internal` (наприклад, `abie-ua.internal`), повертаючи розбиті сегменти чи помилку.
+- isEnvFile — Визначає, чи вказаний шлях до файлу відповідає імені `.env`, що є винятком з правил `hasura.mdc`.
+- isNitraOrAbieRepository — Визначає, чи вказаний URL репозиторію належить до проектів nitra чи abie, згідно з маркерами `hasura.mdc`.
+- main — Аналізує файл `hasura.mdc` для поточної директорії.
+
+## Гарантії поведінки
+
+- Read-only: не виконує операцій запису (ФС/БД).
+- Перехоплює помилки і не пропускає винятків назовні (fail-safe).
+- За певних помилок повертає порожнє значення (напр. `null`) замість винятку.

package/rules/hasura/internal_urls/fix-internal_urls.mjs

@@ -0,0 +1,66 @@
+/** @see ./docs/fix-internal_urls.md */
+
+/**
+ * T0-autofix для `hasura/internal_urls` — виправляє лише детерміновані розбіжності
+ * `service`/`namespace` у вже валідному внутрішньому кластерному URL проти
+ * `hasura/k8s/base/{svc-hl,namespace}.yaml` (переписує сегменти, зберігаючи `cluster`/`port`
+ * з наявного значення). Структурно невалідний URL (`internal-url-invalid`) — НЕ T0-фікс:
+ * `cluster`/`port` нізвідки достовірно вивести, це людське рішення про інфраструктуру.
+ */
+import { readFile, writeFile } from 'node:fs/promises'
+import { join } from 'node:path'
+
+import { HASURA_ENDPOINT_LINE_RE, computeExpectedEndpointSegments, parseInternalHasuraEndpoint } from './main.mjs'
+
+const MISMATCH_REASONS = new Set(['internal-url-service-mismatch', 'internal-url-namespace-mismatch'])
+
+/**
+ * Переписує значення `HASURA_GRAPHQL_ENDPOINT` у файлі на очікувані `service`/`namespace`.
+ * @param {string} absPath абсолютний шлях `.env`
+ * @param {{ service: string | null, namespace: string | null }} expected очікувані сегменти
+ * @returns {Promise<boolean>} true — якщо файл змінено
+ */
+async function rewriteEndpoint(absPath, expected) {
+  const content = await readFile(absPath, 'utf8')
+  const m = content.match(HASURA_ENDPOINT_LINE_RE)
+  if (!m) return false
+
+  const raw = m[1]
+  const parsed = parseInternalHasuraEndpoint(raw.trim())
+  if (!parsed.ok) return false
+
+  const service = expected.service ?? parsed.service
+  const namespace = expected.namespace ?? parsed.namespace
+  const nextValue = `http://${service}.${namespace}.svc.${parsed.cluster}.internal:${parsed.port}`
+  if (nextValue === raw.trim()) return false
+
+  const rawStart = m.index + m[0].indexOf(raw)
+  const nextContent = content.slice(0, rawStart) + nextValue + content.slice(rawStart + raw.length)
+  await writeFile(absPath, nextContent, 'utf8')
+  return true
+}
+
+/** @type {import('../../../scripts/lib/lint-surface/types.mjs').T0Pattern[]} */
+export const patterns = [
+  {
+    id: 'hasura-internal-url-mismatch',
+    test: violations => violations.some(v => MISMATCH_REASONS.has(v.reason)),
+    apply: async (violations, ctx) => {
+      const expected = await computeExpectedEndpointSegments(ctx.cwd)
+      const files = [...new Set(violations.filter(v => MISMATCH_REASONS.has(v.reason) && v.file).map(v => v.file))]
+
+      const touchedFiles = []
+      for (const rel of files) {
+        const absPath = join(ctx.cwd, rel)
+        if (await rewriteEndpoint(absPath, expected)) {
+          ctx.recordWrite?.(absPath)
+          touchedFiles.push(absPath)
+        }
+      }
+
+      return touchedFiles.length > 0
+        ? { touchedFiles, message: `HASURA_GRAPHQL_ENDPOINT: ${touchedFiles.length} файл(ів)` }
+        : { touchedFiles: [] }
+    }
+  }
+]

package/rules/hasura/internal_urls/internal_urls.mdc

@@ -0,0 +1,27 @@
+## Внутрішній кластерний URL для HASURA_GRAPHQL_ENDPOINT
+
+У `*.env` для атрибута `HASURA_GRAPHQL_ENDPOINT` підключення має бути **усередині кластера**, а не через публічний домен — інакше CI кладе метадані через зовнішній бекенд і ламає перевипуск/міграції.
+
+Правило застосовується лише до проєктів **nitra** (у кореневому `package.json` `"repository": "https://github.com/nitra/*"`) і **abie** (`"repository": "https://github.com/abinbevefes/*"`); для інших репозиторіїв перевірка пропускається.
+
+Файл `.env` (без імені) — виключення з цього правила, його змінювати не потрібно.
+
+Приклад **неправильного** значення:
+
+```env
+HASURA_GRAPHQL_ENDPOINT=https://vybeerai.com.ua/contract/ql
+```
+
+Правильне значення:
+
+```env
+HASURA_GRAPHQL_ENDPOINT=http://contract-h-hl.ua-contract.svc.abie-ua.internal:8080
+```
+
+де `contract-h-hl` — це `metadata.name` headless Service з `hasura/k8s/base/svc-hl.yaml` (пара з clusterIP `contract-h` у `svc.yaml`, якщо є; узгоджено з k8s: суфікс `-hl` на базі `-h`), а `ua-contract` — `metadata.name` namespace з `hasura/k8s/base/namespace.yaml`.
+
+Формат URL: `http://<service>.<namespace>.svc.<cluster>.internal:<port>`
+
+- `http://` обов'язковий (TLS усередині кластера зайвий)
+- DNS-суфікс — `<cluster>.internal` (GKE/GCP)
+- Сервіс і namespace звіряються з `hasura/k8s/base/svc-hl.yaml` та `hasura/k8s/base/namespace.yaml`

package/rules/hasura/internal_urls/main.mjs

@@ -0,0 +1,233 @@
+/** @see ./docs/internal_urls.md */
+import { existsSync } from 'node:fs'
+import { readFile } from 'node:fs/promises'
+import { basename, join, relative } from 'node:path'
+
+import { parseAllDocuments } from 'yaml'
+
+import { getRepositoryUrl } from '../../../scripts/auto-rules.mjs'
+import { createViolationReporter } from '../../../scripts/lib/lint-surface/violation-reporter.mjs'
+import { loadCursorIgnorePaths } from '../../../scripts/lib/load-cursor-config.mjs'
+import { walkDir } from '../../../scripts/utils/walkDir.mjs'
+
+const NITRA_REPOSITORY_URL_MARKER = 'https://github.com/nitra/'
+const ABIE_REPOSITORY_URL_MARKER = 'https://github.com/abinbevefes/'
+
+const HASURA_BASE_DIR = 'hasura/k8s/base'
+const HASURA_SVC_HL_FILE = `${HASURA_BASE_DIR}/svc-hl.yaml`
+const HASURA_NAMESPACE_FILE = `${HASURA_BASE_DIR}/namespace.yaml`
+
+const ENV_FILE_RE = /\.env$/u
+export const HASURA_ENDPOINT_LINE_RE =
+  /^[ \t]*(?:export[ \t]+)?HASURA_GRAPHQL_ENDPOINT[ \t]*=[ \t]*['"]?([^'"\r\n#]+)/mu
+// Дозволяємо лише DNS-суфікс кластера `<name>.internal` (GKE/GCP).
+const INTERNAL_HASURA_URL_RE = /^http:\/\/([^./]+)\.([^./]+)\.svc\.([^./:]+\.internal):(\d+)\/?$/u
+const INTERNAL_DNS_SUFFIX = '.internal'
+
+/**
+ * Розбір значення `HASURA_GRAPHQL_ENDPOINT` як внутрішнього кластерного URL.
+ * Дозволяє лише `http://` (TLS усередині кластера зайвий) та DNS-суфікс
+ * `<cluster>.internal` (GKE/GCP). Поле `cluster` містить ім'я кластера без
+ * `.internal` (наприклад `abie-ua`).
+ * @param {string} url значення з `.env` (без огорнутих лапок)
+ * @returns {{ ok: true, service: string, namespace: string, cluster: string, port: string } | { ok: false }}
+ *   розібрані сегменти або `{ ok: false }`, якщо формат не відповідає внутрішньому кластерному URL
+ */
+export function parseInternalHasuraEndpoint(url) {
+  const m = url.trim().match(INTERNAL_HASURA_URL_RE)
+  if (!m) {
+    return { ok: false }
+  }
+  const suffix = m[3]
+  const cluster = suffix.slice(0, -INTERNAL_DNS_SUFFIX.length)
+  return { ok: true, service: m[1], namespace: m[2], cluster, port: m[4] }
+}
+
+/**
+ * Зчитує `metadata.name` з першого документа YAML, який має заданий `kind`.
+ * @param {string} absPath абсолютний шлях до YAML
+ * @param {string} kind очікуваний `kind` (наприклад `Service`, `Namespace`)
+ * @returns {Promise<string | null>} ім'я ресурсу або null, якщо файл/документ відсутній
+ */
+async function readYamlMetadataName(absPath, kind) {
+  if (!existsSync(absPath)) {
+    return null
+  }
+  let docs
+  try {
+    docs = parseAllDocuments(await readFile(absPath, 'utf8'))
+  } catch {
+    return null
+  }
+  for (const doc of docs) {
+    const obj = doc.toJS()
+    if (obj && typeof obj === 'object' && obj.kind === kind && obj.metadata?.name) {
+      return String(obj.metadata.name)
+    }
+  }
+  return null
+}
+
+/**
+ * Чи відносний шлях вказує на `*.env`, який треба перевіряти hasura.mdc.
+ * Файл рівно `.env` (без імені) — виключення з правила (локальний файл
+ * розробника, hasura.mdc його не зачіпає), тому повертає false.
+ * @param {string} relPath posix-шлях відносно кореня
+ * @returns {boolean} true для `dev.env`, `nitra.env`; false для `.env`
+ */
+export function isEnvFile(relPath) {
+  if (!ENV_FILE_RE.test(relPath)) {
+    return false
+  }
+  return basename(relPath) !== '.env'
+}
+
+/**
+ * Збирає всі `*.env` файли в дереві, окрім службових каталогів.
+ * @param {string} root абсолютний шлях кореня
+ * @param {string[]} ignorePaths абсолютні шляхи каталогів, повністю виключених з обходу
+ * @returns {Promise<string[]>} відсортовані posix-шляхи відносно кореня
+ */
+async function collectEnvFiles(root, ignorePaths) {
+  /** @type {string[]} */
+  const out = []
+  await walkDir(
+    root,
+    absPath => {
+      const rel = relative(root, absPath).split('\\').join('/')
+      if (isEnvFile(rel)) {
+        out.push(rel)
+      }
+    },
+    ignorePaths
+  )
+  return out.toSorted((a, b) => a.localeCompare(b))
+}
+
+/**
+ * Перевіряє один `.env` файл на коректність `HASURA_GRAPHQL_ENDPOINT`.
+ * Якщо в файлі немає змінної — вважаємо OK.
+ * @param {string} relPath відносний (posix) шлях файла відносно `cwd` (для повідомлень)
+ * @param {string} cwd корінь репозиторію
+ * @param {{ service: string | null, namespace: string | null }} expected очікувані сегменти з YAML
+ * @param {{ pass: (msg: string) => void, fail: (msg: string) => void }} reporter репортер
+ * @returns {Promise<void>}
+ */
+async function checkEnvFile(relPath, cwd, expected, reporter) {
+  const { pass, fail } = reporter
+  const content = await readFile(join(cwd, relPath), 'utf8')
+  const m = content.match(HASURA_ENDPOINT_LINE_RE)
+  if (!m) {
+    return
+  }
+  const value = m[1].trim()
+  const parsed = parseInternalHasuraEndpoint(value)
+  if (!parsed.ok) {
+    const example = 'http://<service>.<namespace>.svc.<cluster>.internal:<port>'
+    fail(
+      `${relPath}: HASURA_GRAPHQL_ENDPOINT="${value}" — потрібен внутрішній кластерний URL виду ${example} (hasura.mdc)`,
+      { file: relPath, reason: 'internal-url-invalid' }
+    )
+    return
+  }
+  if (expected.service && parsed.service !== expected.service) {
+    fail(
+      `${relPath}: HASURA_GRAPHQL_ENDPOINT — сервіс "${parsed.service}" не збігається з ` +
+        `metadata.name "${expected.service}" із ${HASURA_SVC_HL_FILE} (hasura.mdc)`,
+      { file: relPath, reason: 'internal-url-service-mismatch' }
+    )
+    return
+  }
+  if (expected.namespace && parsed.namespace !== expected.namespace) {
+    fail(
+      `${relPath}: HASURA_GRAPHQL_ENDPOINT — namespace "${parsed.namespace}" не збігається з ` +
+        `metadata.name "${expected.namespace}" із ${HASURA_NAMESPACE_FILE} (hasura.mdc)`,
+      { file: relPath, reason: 'internal-url-namespace-mismatch' }
+    )
+    return
+  }
+  pass(`${relPath}: HASURA_GRAPHQL_ENDPOINT — внутрішній кластерний URL`)
+}
+
+/**
+ * Зчитує URL репозиторію з кореневого `package.json` (або null, якщо файла немає / не валідний).
+ * @param {string} cwd корінь репозиторію
+ * @returns {Promise<string | null>} URL з поля `repository`
+ */
+async function readRootRepositoryUrl(cwd) {
+  const pkgPath = join(cwd, 'package.json')
+  if (!existsSync(pkgPath)) {
+    return null
+  }
+  try {
+    const pkg = JSON.parse(await readFile(pkgPath, 'utf8'))
+    return getRepositoryUrl(pkg?.repository)
+  } catch {
+    return null
+  }
+}
+
+/**
+ * Чи URL репозиторію вказує на nitra або abie (за маркерами hasura.mdc).
+ * @param {string | null} url значення з `package.json` `repository`
+ * @returns {boolean} true для nitra/abie проєктів
+ */
+export function isNitraOrAbieRepository(url) {
+  if (typeof url !== 'string') {
+    return false
+  }
+  const lc = url.toLowerCase()
+  return lc.includes(NITRA_REPOSITORY_URL_MARKER) || lc.includes(ABIE_REPOSITORY_URL_MARKER)
+}
+
+/**
+ * Обчислює очікувані `service`/`namespace` з `hasura/k8s/base/{svc-hl,namespace}.yaml`.
+ * Використовується і детектором, і T0-фіксом (щоб не дублювати YAML-читання).
+ * @param {string} root корінь репозиторію
+ * @returns {Promise<{ service: string | null, namespace: string | null }>} очікувані сегменти URL
+ */
+export async function computeExpectedEndpointSegments(root) {
+  return {
+    service: await readYamlMetadataName(join(root, HASURA_SVC_HL_FILE), 'Service'),
+    namespace: await readYamlMetadataName(join(root, HASURA_NAMESPACE_FILE), 'Namespace')
+  }
+}
+
+/**
+ * Перевіряє hasura.mdc для поточного робочого каталогу.
+ * @param {import('../../../scripts/lib/lint-surface/types.mjs').LintContext} ctx контекст лінту
+ * @returns {Promise<import('../../../scripts/lib/lint-surface/types.mjs').LintResult>} Результат лінту зі списком violations.
+ */
+export async function lint(ctx) {
+  const cwd = ctx.cwd
+  const reporter = createViolationReporter(ctx)
+  const { pass } = reporter
+
+  const repositoryUrl = await readRootRepositoryUrl(cwd)
+  if (!isNitraOrAbieRepository(repositoryUrl)) {
+    pass('Пропущено: репозиторій не nitra і не abie (hasura.mdc застосовується лише до них)')
+    return reporter.result()
+  }
+
+  const root = cwd
+  const expected = await computeExpectedEndpointSegments(root)
+
+  const ignorePaths = await loadCursorIgnorePaths(root)
+  const envFiles = await collectEnvFiles(root, ignorePaths)
+  if (envFiles.length === 0) {
+    pass('Не знайдено жодного *.env файла — нічого перевіряти')
+    return reporter.result()
+  }
+
+  for (const rel of envFiles) {
+    await checkEnvFile(rel, root, expected, reporter)
+  }
+
+  // Якщо у файлах не було жодної згадки HASURA_GRAPHQL_ENDPOINT — повідом про це.
+  const res = reporter.result()
+  if (res.violations.length === 0) {
+    const names = envFiles.map(p => basename(p)).join(', ')
+    pass(`Перевірено ${envFiles.length} *.env файл(ів): ${names}`)
+  }
+  return res
+}

package/rules/hasura/main.json

@@ -0,0 +1 @@
+{ "auto": { "predicate": "hasuraConfigMarker" } }

package/rules/hasura/main.mdc

@@ -0,0 +1,8 @@
+---
+description: Правила для директорії з hasura graphql-engine
+version: '1.2'
+globs: "**/hasura/**,**/*.env"
+alwaysApply: false
+---
+
+Правило охоплює: коректність підключення Hasura у CI-середовищі (внутрішній URL кластера), конвенцію іменування k8s-сервісів та структуру директорій міграцій.

package/rules/hasura/migrations/concern.json

@@ -0,0 +1,4 @@
+{
+  "$schema": "https://unpkg.com/@7n/rules/schemas/concern.json",
+  "lint": { "scope": "full", "glob": ["hasura/migrations/**/down.sql"] }
+}

package/rules/hasura/migrations/docs/fix-migrations.md

@@ -0,0 +1,25 @@
+---
+type: JS Module
+title: fix-migrations.mjs
+resource: npm/rules/hasura/migrations/fix-migrations.mjs
+docgen:
+  crc: 126425f7
+  model: omlx/gemma-4-e4b-it-OptiQ-4bit
+  score: 100
+  issues: judge:inaccurate:0.99
+  judgeModel: openai-codex/gpt-5.4-mini
+---
+
+## Огляд
+
+T0-автофікс для `hasura/migrations`: видаляє заборонені файли `down.sql` у `hasura/migrations/**` (у проєкті директорія міграції має містити лише `up.sql`).
+
+## Поведінка
+
+1. Спрацьовує лише за наявності порушень з причиною `down-sql-forbidden`.
+2. Для кожного файлу-порушника видаляє `down.sql` за шляхом з violation.
+3. Помилку видалення окремого файлу тихо пропускає й переходить до наступного (не перериває фікс інших файлів).
+
+## Гарантії поведінки
+
+- Видаляє лише файли з переліку порушень; інших файлів не торкається.

package/rules/hasura/migrations/docs/index.md

@@ -0,0 +1,12 @@
+---
+type: Directory Index
+title: npm/rules/hasura/migrations
+resource: npm/rules/hasura/migrations/
+---
+
+# npm/rules/hasura/migrations
+
+| Файл                                    | Тип       |
+| --------------------------------------- | --------- |
+| [fix-migrations.mjs](fix-migrations.md) | JS Module |
+| [main.mjs](main.md)                     | JS Module |

package/rules/hasura/migrations/docs/main.md

@@ -0,0 +1,35 @@
+---
+type: JS Module
+title: main.mjs
+resource: npm/rules/hasura/migrations/main.mjs
+docgen:
+  crc: 9515e42e
+  model: omlx/gemma-4-e4b-it-OptiQ-4bit
+  score: 100
+  issues: judge:inaccurate:0.95
+  judgeModel: openai-codex/gpt-5.4-mini
+---
+
+## Огляд
+
+Файл перевіряє, чи відповідає структура директорії міграцій Hasura встановленим критеріям: присутність лише файлів `up.sql` та відсутність файлів з іменем `down.sql`.
+
+Викликається `main` для перевірки директорії міграцій Hasura. Якщо директорія `hasura/migrations` відсутня, перевірка вважається успішно виконаною, оскільки для неї не потрібна перевірка наявності `down.sql` (hasura.mdc). Якщо директорія присутня, виконується рекурсивний пошук у ній. Будь-які файли з іменем `down.sql` знаходяться і реєструються як порушення (hasura.mdc), оскільки в директорії міграцій має бути присутній лише `up.sql` (hasura.mdc). Якщо `down.sql` не знайдено, перевірка вважається успішно виконаною (hasura.mdc).
+
+## Поведінка
+
+Поведінка:
+
+1. Викликається `main` для перевірки директорії міграцій Hasura.
+2. Якщо директорія `hasura/migrations` відсутня, перевірка вважається успішно виконаною, оскільки для неї не потрібна перевірка наявності `down.sql` (hasura.mdc).
+3. Якщо директорія присутня, виконується рекурсивний пошук у ній.
+4. Будь-які файли з іменем `down.sql` знаходяться ідентифіковані та зареєстровані як порушення (hasura.mdc), оскільки в директорії міграції має бути присутній лише `up.sql` (hasura.mdc).
+5. Якщо `down.sql` не знайдено, перевірка вважається успішно виконаною (hasura.mdc).
+
+## Публічний API
+
+main — перевіряє відсутність файлів `down.sql` у директорії міграцій Hasura, гарантуючи, що міграції містять лише `up.sql`.
+
+## Гарантії поведінки
+
+- Read-only: не виконує операцій запису (ФС/БД).

package/rules/hasura/migrations/fix-migrations.mjs

@@ -0,0 +1,35 @@
+/** @see ./docs/fix-migrations.md */
+
+/**
+ * T0-autofix для `hasura/migrations` — детерміноване видалення заборонених `down.sql`
+ * у `hasura/migrations/**` (у проєкті використовується лише `up.sql`, `down.sql` зайвий).
+ */
+import { unlink } from 'node:fs/promises'
+import { join } from 'node:path'
+
+/** @type {import('../../../scripts/lib/lint-surface/types.mjs').T0Pattern[]} */
+export const patterns = [
+  {
+    id: 'hasura-migrations-remove-down-sql',
+    test: violations => violations.some(v => v.reason === 'down-sql-forbidden'),
+    apply: async (violations, ctx) => {
+      const files = [...new Set(violations.filter(v => v.reason === 'down-sql-forbidden' && v.file).map(v => v.file))]
+
+      const touchedFiles = []
+      for (const rel of files) {
+        const absPath = join(ctx.cwd, rel)
+        try {
+          await unlink(absPath)
+        } catch {
+          continue
+        }
+        ctx.recordWrite?.(absPath)
+        touchedFiles.push(absPath)
+      }
+
+      return touchedFiles.length > 0
+        ? { touchedFiles, message: `down.sql видалено: ${touchedFiles.length} файл(ів)` }
+        : { touchedFiles: [] }
+    }
+  }
+]

package/rules/hasura/migrations/main.mjs

@@ -0,0 +1,53 @@
+/** @see ./docs/migrations.md */
+import { existsSync } from 'node:fs'
+import { basename, join, relative } from 'node:path'
+
+import { createViolationReporter } from '../../../scripts/lib/lint-surface/violation-reporter.mjs'
+import { walkDir } from '../../../scripts/utils/walkDir.mjs'
+
+/** Відносний шлях до директорії міграцій від кореня проєкту. */
+const MIGRATIONS_REL = 'hasura/migrations'
+
+/**
+ * Перевіряє, що у `hasura/migrations/` відсутні файли `down.sql`.
+ * Директорія міграції має містити лише `up.sql` — `down.sql` у проєкті не використовується.
+ * @param {import('../../../scripts/lib/lint-surface/types.mjs').LintContext} ctx контекст лінту
+ * @returns {Promise<import('../../../scripts/lib/lint-surface/types.mjs').LintResult>} результат перевірки
+ */
+export async function lint(ctx) {
+  const reporter = createViolationReporter(ctx)
+  const { pass, fail } = reporter
+
+  const cwd = ctx.cwd
+  const migrationsDir = join(cwd, MIGRATIONS_REL)
+
+  if (!existsSync(migrationsDir)) {
+    pass(`${MIGRATIONS_REL}/ відсутній — перевірка down.sql не потрібна (hasura.mdc)`)
+    return reporter.result()
+  }
+
+  /** @type {string[]} */
+  const offenders = []
+  await walkDir(migrationsDir, absPath => {
+    if (basename(absPath) === 'down.sql') {
+      offenders.push(relative(cwd, absPath))
+    }
+  })
+
+  if (offenders.length === 0) {
+    pass(`Жоден down.sql не знайдено у ${MIGRATIONS_REL}/ (hasura.mdc)`)
+    return reporter.result()
+  }
+
+  for (const file of offenders) {
+    fail(
+      `${file}: down.sql заборонений у ${MIGRATIONS_REL}/ — у директорії міграції має бути лише up.sql (hasura.mdc)`,
+      {
+        file,
+        reason: 'down-sql-forbidden'
+      }
+    )
+  }
+
+  return reporter.result()
+}