@7n/rules 1.0.0

package/rules/hasura/migrations/migrations.mdc

@@ -0,0 +1,13 @@
+## Міграції: лише `up.sql`, без `down.sql`
+
+При створенні будь-якої нової директорії міграції у `hasura/migrations/` **не створювати файл `down.sql`**.
+У директорії міграції має бути **тільки `up.sql`**.
+
+Приклад коректної структури:
+
+```
+hasura/migrations/default/1781247030100_add_foo/
+└── up.sql   ✓
+```
+
+Файл `down.sql` у цьому проєкті **не використовується** і не повинен з'являтися.

package/rules/hasura/svc_hl/concern.json

@@ -0,0 +1,8 @@
+{
+  "$schema": "https://unpkg.com/@7n/rules/schemas/concern.json",
+  "policy": {
+    "files": {
+      "walkGlob": ["hasura/k8s/base/svc.yaml", "hasura/k8s/base/svc-hl.yaml"]
+    }
+  }
+}

package/rules/hasura/svc_hl/svc_hl.mdc

@@ -0,0 +1,15 @@
+## Rego-gate: іменування headless та clusterIP Service
+
+Rego-пакет: `hasura.svc_hl`
+
+Цільові файли: `hasura/k8s/base/svc.yaml`, `hasura/k8s/base/svc-hl.yaml`
+
+Перевіряє два правила іменування Kubernetes Service:
+
+- **Headless Service** (`spec.clusterIP: None`) — ім'я має закінчуватись на `-h-hl`
+- **ClusterIP Service** (не headless) — ім'я має закінчуватись на `-h`
+
+Ресурси з `kind != "Service"` пропускаються без помилок.
+
+✓ `db-h-hl` (headless), `db-h` (clusterIP)
+✗ `contract-h` як headless, `db-h-hl` як clusterIP

package/rules/hasura/svc_hl/svc_hl.rego

@@ -0,0 +1,50 @@
+# Іменування Service у `hasura/k8s/base/svc.yaml` та `svc-hl.yaml`, узгоджене з
+# `k8s.svc_hl_yaml` / `k8s.svc_yaml` (пара clusterIP + headless під `k8s/**/`).
+#
+# Hasura-конвенція: базовий сегмент закінчується на `-h`; headless додає `-hl`
+# → повне ім'я `*-h-hl` (також задовольняє k8s-вимогу суфікса `-hl`).
+#
+# Запуск (локально):
+#   conftest test hasura/k8s/base/svc-hl.yaml -p npm/rules/hasura/policy/svc_hl \
+#     --namespace hasura.svc_hl
+#
+# Cross-file (`HASURA_GRAPHQL_ENDPOINT` ↔ YAML) — `js/internal_urls.mjs`.
+package hasura.svc_hl
+
+import rego.v1
+
+# Суфікс clusterIP Service у hasura/k8s/base (і база для пари з svc-hl.yaml).
+hasura_cluster_suffix := "-h"
+
+# Headless: `<cluster-name>-hl`, напр. `db-h` → `db-h-hl`.
+hasura_headless_suffix := "-h-hl"
+
+service_is_headless if {
+	input.kind == "Service"
+	spec := object.get(input, "spec", {})
+	is_object(spec)
+	spec.clusterIP == "None"
+}
+
+deny contains msg if {
+	service_is_headless
+	name := object.get(object.get(input, "metadata", {}), "name", "")
+	name != ""
+	not endswith(name, hasura_headless_suffix)
+	msg := sprintf(
+		"hasura svc-hl.yaml: headless Service %q має закінчуватись на `%s` (узгоджено з k8s.svc_hl_yaml `-hl`; hasura.mdc)",
+		[name, hasura_headless_suffix],
+	)
+}
+
+deny contains msg if {
+	input.kind == "Service"
+	not service_is_headless
+	name := object.get(object.get(input, "metadata", {}), "name", "")
+	name != ""
+	not endswith(name, hasura_cluster_suffix)
+	msg := sprintf(
+		"hasura svc.yaml: clusterIP Service %q має закінчуватись на `%s` (hasura.mdc / k8s.mdc)",
+		[name, hasura_cluster_suffix],
+	)
+}

package/rules/image-avif/avif_generation/avif_generation.mdc

@@ -0,0 +1,26 @@
+## Чотирикроковий пайплайн генерації AVIF-двійників
+
+AVIF-двійники (`<name>.<ext>.avif`) генерує **виключно** `npx @7n/rules fix image-avif`. Правило `image-compress` відповідає лише за стиснення початкових raster/SVG-файлів через `@nitra/minify-image`, а AVIF лишається окремим правилом. Перевірка виконує чотири кроки в порядку:
+
+1. **Pre-scan**: шукає у `.vue`/`.html` хоча б одне raster-посилання, яке потенційно треба переписати на AVIF-двійник (`import x from '...png'` або `<img src="...png" />`). Пакети з opt-out `disable-avif: true` пропускаються. **Якщо жодного raster-посилання не знайдено — `check image-avif` завершується успіхом одразу: ні `npx --avif`, ні rewrite, ні cleanup-сиріт не виконуються** (нічого було б змінювати). Так уникаємо дорогого `npx @nitra/minify-image` у проєктах, де AVIF не вживається.
+2. Запускає `npx @nitra/minify-image --src=. --write --avif` (≥ **3.3.1**) — генерує `<name>.<ext>.avif` поряд з кожним PNG/JPEG/GIF. CLI порівнює sha1 кожного raster-сорсу зі збереженим у `.n-minify-image.tsv` і перезаписує `<source>.avif` при зміні оригіналу.
+3. Сканує `.vue` (а також `.html`) файли в кожному workspace-пакеті (root + workspaces) і автоматично переписує raster-посилання на AVIF-двійник у двох формах:
+   - **Імпорт-пов'язані** — `import x from '...png|jpg|jpeg|gif'` (далі `:src="x"` у шаблоні);
+   - **Прямі статичні** — `<img src="...png" />` у `<template>` (Vite перетворює такий шлях на asset-імпорт на етапі збірки, тож вимога та сама).
+4. Видаляє AVIF-сироти: ходить по всіх `<...>.avif` у репозиторії; якщо на двійник не лишилось жодного посилання у `.vue`/`.html` — файл видаляється. **AVIF на диску лишається лише там, де заміна реально відбулась** — тому невикористані оригінали не накопичують `.avif`-«хвости». **Зауваж**: cleanup виконується ЛИШЕ якщо pre-scan на кроці 1 знайшов хоча б одне raster-посилання — інакше осиротілі `.avif` залишаються недоторканими (видаляться вже наступним прогоном, коли в `.vue`/`.html` зʼявиться raster для конвертації).
+
+```vue title="App.vue (після check image-avif)"
+<script setup>
+import welcomeImage from './assets/welcome.png.avif'
+</script>
+
+<template>
+  <img :src="welcomeImage" alt="Welcome" />
+</template>
+```
+
+Реактивне `:src="..."` (з JS-виразом — змінною, тернарником, викликом тощо) **не сканується** — значення обчислюється у рантаймі й шлях туди потрапляє через імпорт або інший резолвинг, який ловить імпорт-перевірка вище. SVG не торкаємо (vector → AVIF безглуздо). Атрибути `data-src=`, `obj.src=` у `<script>` тощо також пропускаються.
+
+Якщо raster-посилання у `.vue`/`.html` не вдалось переписати (наприклад, оригіналу немає на диску, тож і `.avif` не згенерувався) — `check image-avif` падає з помилкою на конкретний файл.
+
+AVIF-двійники **зберігаємо в git** — це готові артефакти для віддачі браузеру (без них ефект від AVIF втрачається на чистому checkout-і).

package/rules/image-avif/avif_generation/concern.json

@@ -0,0 +1,4 @@
+{
+  "$schema": "https://unpkg.com/@7n/rules/schemas/concern.json",
+  "lint": { "scope": "full", "glob": ["**/*.vue", "**/*.html"] }
+}

package/rules/image-avif/avif_generation/docs/fix-avif_generation.md

@@ -0,0 +1,27 @@
+---
+type: JS Module
+title: fix-avif_generation.mjs
+resource: npm/rules/image-avif/avif_generation/fix-avif_generation.mjs
+docgen:
+  crc: 2e6cec6f
+  model: omlx/gemma-4-e4b-it-OptiQ-4bit
+  score: 90
+  judgeModel: openai-codex/gpt-5.4-mini
+---
+
+## Огляд
+
+T0-autofix для `image-avif/avif_generation` керує автоматичним оптимізаційним процесом для зображень. Він генерує `.avif` двійники за допомогою команди `npx @nitra/minify-image --avif`, а потім замінює растрові посилання у файлах `.vue`/`.html` на посилання на `<path>.avif`. Логіка, яка раніше лише звітувала про виявлені проблеми у `detector-і`, тепер тут відповідає за мутації. Процес забезпечує ідемпотентність: після генерації `.avif` повторне сканування (`scanAvif`) гарантує, що згенеровані файли стають видимими, а відсутні посилання — заміненими. Досягається це через структуру порушень: `test/apply`.
+
+## Поведінка
+
+1. Перевіряє, чи існують порушення, пов'язані з відсутніми, що вимагають переписування або "сирітськими" зображеннями у контексті AVIF.
+2. Якщо порушення присутні, запускає процес генерації AVIF-двійників за допомогою зовнішнього інструменту.
+3. Після генерації виконує повторне сканування, щоб ідентифікувати необхідні дії.
+4. Для кожного знайденого файлу, що потребує переписування, замінює растрове посилання у відповідному файлі на посилання на `.avif`.
+5. Для кожного "сирітського" файлу `.avif` видаляє його.
+6. Повертає список змінених файлів та повідомлення про виконані дії.
+
+## Гарантії поведінки
+
+- (специфічних машинно-виведених гарантій немає)

package/rules/image-avif/avif_generation/docs/main.md

@@ -0,0 +1,36 @@
+---
+type: JS Module
+title: main.mjs
+resource: npm/rules/image-avif/avif_generation/main.mjs
+docgen:
+  crc: 658146c1
+  model: omlx/gemma-4-e4b-it-OptiQ-4bit
+  score: 100
+  issues: judge:inaccurate:0.99
+  judgeModel: openai-codex/gpt-5.4-mini
+---
+
+## Огляд
+
+Огляд
+Цей модуль відповідає за ініціалізацію та виконання процесу конвертації растрових зображень у проєкті на AVIF-двійники, як описано у `package.json`. Публічна функція `main` запускає сканування всіх пакетів монорепозиторію, що призводить до заміни посилань у файлах Vue та HTML на оптимізовані версії. Крім того, він очищає від неіспользуних AVIF-файлів, використовуючи кешування даних протягом одного прогону.
+
+## Поведінка
+
+1. main виконує повний цикл перевірки та оптимізації зображень AVIF.
+2. Перед початком роботи перевіряється наявність будь-яких посилань на растрове зображення у файлах Vue або HTML. Якщо таких посилань немає, операція припиняється, оскільки немає чого оптимізувати.
+3. Запускається генерація AVIF-двійників з використанням інструмента `@nitra/minify-image`.
+4. Ініціалізуються лічильники для обліку успішно переписаних посилань, змін у файлах та невдалих спроб заміни.
+5. Проводиться сканування всіх пакетів у монорепозиторії. Для кожного пакета визначається, чи активовано вимкнення перевірки (`disable-avif: true`) у `package.json`.
+6. Якщо перевірка AVIF-імпортів не вимкнена, виконується аналіз файлів Vue та HTML у пакеті. Знайдені растрові посилання замінюються на посилання з суфіксом `.avif`, якщо відповідний AVIF-двійник існує на диску. У разі невдачі заміни фіксується звіт про помилку, а сам файл може бути змінений. Після обробки файлу він записується на диск. Збір до списку шляхів, що використовуються, ведеться для AVIF-двійників.
+7. Паралельно з аналізом пакетів, збирається список усіх абсолютних коренів пакетів, де перевірка була вимкнена.
+8. Після аналізу всіх пакетів, збирається список "сиріт" — AVIF-файлів, які знаходяться у репозиторії, але на які немає жодного активного посилання у `.vue` або `.html` файлах. Ці сироти видаляються, за винятком AVIF-файлів у пакетах, де перевірка була вимкнена, та AVIF-файлів, які мають живі посилання.
+9. Повертається загальний звіт про кількість виконаних операцій (заміна посилань, видалення сиріт, невдачі заміни).
+
+## Публічний API
+
+main — генерує зображення у форматі AVIF, автоматично замінює посилання на растрове зображення у файлах `.vue` та `.html`, а також очищує від непідключених файлів AVIF.
+
+## Гарантії поведінки
+
+- Кешує результати в межах одного прогону.

package/rules/image-avif/avif_generation/fix-avif_generation.mjs

@@ -0,0 +1,80 @@
+/**
+ * T0-autofix для `image-avif/avif_generation` — AVIF-етап: генерація `.avif`-двійників
+ * (`npx \@nitra/minify-image --avif`), переписування raster-посилань у `.vue`/`.html` на
+ * `<path>.avif` і прибирання `.avif`-сиріт. Логіку перенесено з detector-а (read-only
+ * contract: detector лише ЗВІТУЄ rewrite/missing/orphan, мутації — тут).
+ *
+ * Unified lint surface: structured violations (test(violations)/apply(violations,ctx)).
+ * Дії резолвимо повторним скануванням (`scanAvif`) ПІСЛЯ генерації — згенеровані
+ * `.avif` стають видимими, missing → rewrite. Idempotent: clean-стан → 0 змін.
+ * У тестах генерацію можна вимкнути через `NITRA_CURSOR_NO_AVIF_RUN=1`.
+ */
+import { unlink, writeFile } from 'node:fs/promises'
+import { spawnSync } from 'node:child_process'
+import { env } from 'node:process'
+
+import { resolveCmd } from '../../../scripts/utils/resolve-cmd.mjs'
+
+import { AVIF_MISSING, AVIF_NEEDS_REWRITE, AVIF_ORPHAN, MINIFY_PACKAGE_NAME, scanAvif } from './main.mjs'
+
+const TRIGGER_REASONS = new Set([AVIF_NEEDS_REWRITE, AVIF_MISSING, AVIF_ORPHAN])
+
+/**
+ * Запускає `npx \@nitra/minify-image --src=. --write --avif` для генерації AVIF-двійників.
+ * Best-effort: відсутній npx / помилка / ненульовий код — лог-варн без падіння (rewrite/
+ * missing з наступного скану покажуть, де `.avif` все ще бракує). `NITRA_CURSOR_NO_AVIF_RUN=1`
+ * — no-op (тести й ізольовані середовища).
+ * @param {string} cwd корінь репозиторію
+ * @returns {void}
+ */
+function runAvifGeneration(cwd) {
+  if (env.NITRA_CURSOR_NO_AVIF_RUN === '1') return
+  const npxPath = resolveCmd('npx')
+  if (!npxPath) {
+    console.log(`  ⚠️  'npx' не знайдено в PATH — пропускаємо генерацію AVIF`)
+    return
+  }
+  const result = spawnSync(npxPath, [MINIFY_PACKAGE_NAME, '--src=.', '--write', '--avif'], {
+    cwd,
+    env
+  })
+  if (result.error) {
+    console.log(`  ⚠️  не вдалося запустити \`npx ${MINIFY_PACKAGE_NAME} --avif\`: ${result.error.message}`)
+    return
+  }
+  if (typeof result.status === 'number' && result.status !== 0) {
+    console.log(`  ⚠️  \`npx ${MINIFY_PACKAGE_NAME} --avif\` завершився з кодом ${result.status}`)
+  }
+}
+
+/** @type {import('../../../scripts/lib/lint-surface/types.mjs').T0Pattern[]} */
+export const patterns = [
+  {
+    id: 'image-avif-generation',
+    test: violations => violations.some(v => TRIGGER_REASONS.has(v.reason)),
+    apply: async (violations, ctx) => {
+      const cwd = ctx.cwd
+      // Генерація може створити `.avif`, яких бракувало → rescan бачить їх як rewrite.
+      runAvifGeneration(cwd)
+      const scan = await scanAvif(cwd)
+      if (scan.skipped) return { touchedFiles: [] }
+
+      const touchedFiles = []
+      for (const r of scan.rewrites) {
+        ctx.recordWrite?.(r.file)
+        await writeFile(r.file, r.content, 'utf8')
+        touchedFiles.push(r.file)
+      }
+      for (const orphan of scan.orphans) {
+        ctx.recordWrite?.(orphan)
+        await unlink(orphan)
+        touchedFiles.push(orphan)
+      }
+      if (touchedFiles.length === 0) return { touchedFiles: [] }
+      return {
+        touchedFiles,
+        message: `AVIF: rewrote ${scan.rewrites.length} file(s), deleted ${scan.orphans.length} orphan(s)`
+      }
+    }
+  }
+]