@7n/rules 1.0.0

package/rules/js/knip/main.mjs

@@ -0,0 +1,68 @@
+/**
+ * lint-поверхня js/knip: read-only detector невикористаних залежностей/експортів/файлів.
+ * Кожен knip-issue → одне порушення (reason = тип issue, file/line де доступні). Жодних
+ * мутацій (knip запускається без `--fix`) і жодного друку звіту — рендерить runner.
+ */
+import { createRequire } from 'node:module'
+import { dirname, join, relative } from 'node:path'
+import { pathToFileURL } from 'node:url'
+
+import { main as knipMain } from 'knip'
+
+/**
+ * Один knip-issue → LintViolation.
+ * @param {{ type: string, filePath?: string, symbol?: string, symbolType?: string, line?: number, col?: number, severity?: string }} issue knip-issue
+ * @param {string} cwd робочий каталог
+ * @returns {import('../../../scripts/lib/lint-surface/types.mjs').LintViolation} нормалізоване порушення
+ */
+function issueToViolation(issue, cwd) {
+  const abs = issue.filePath
+  const file = abs ? relative(cwd, abs).split('\\').join('/') : undefined
+  const lineSuffix = issue.line ? `:${issue.line}` : ''
+  const where = file ? `${file}${lineSuffix}` : '<unknown>'
+  const symbolType = issue.symbolType ? ` (${issue.symbolType})` : ''
+  const sym = issue.symbol ? ` \`${issue.symbol}\`${symbolType}` : ''
+  /** @type {Partial<import('../../../scripts/lib/lint-surface/types.mjs').LintViolation>} */
+  const v = {
+    reason: issue.type || 'knip-issue',
+    message: `knip: ${issue.type}${sym} — ${where}`,
+    severity: issue.severity === 'warn' ? 'warn' : 'error',
+    data: { line: issue.line, col: issue.col, symbol: issue.symbol, type: issue.type }
+  }
+  if (file) v.file = file
+  return v
+}
+
+/**
+ * Detector js/knip: невикористані deps/exports/files через programmatic API knip (read-only).
+ * @param {import('../../../scripts/lib/lint-surface/types.mjs').LintContext} ctx контекст лінту
+ * @returns {Promise<import('../../../scripts/lib/lint-surface/types.mjs').LintResult>} перелік порушень
+ */
+export async function lint(ctx) {
+  const cwd = ctx.cwd
+
+  // knip-package не експортує внутрішні util-и через "exports" — резолвимо dist-каталог
+  // від головного entry і імпортуємо `create-options` за абсолютним file:// URL.
+  const require = createRequire(import.meta.url)
+  const distDir = dirname(require.resolve('knip'))
+  // eslint-disable-next-line no-unsanitized/method -- URL from resolved package path, not user input
+  const { createOptions } = await import(pathToFileURL(join(distDir, 'util/create-options.js')).href)
+
+  // knip вмикає власний прогрес-репортер ("Analyzing workspace …") автоматично в TTY,
+  // незалежно від наших verbose-прапорців — глушимо його поза `--verbose`, щоб не
+  // засмічувати вивід `lint --full`.
+  const options = await createOptions({ cwd, isDisableConfigHints: true, isShowProgress: ctx.verbose === true })
+  const results = await knipMain(options)
+
+  /** @type {import('../../../scripts/lib/lint-surface/types.mjs').LintViolation[]} */
+  const violations = []
+  // results.issues: { <type>: { <file>: { <key>: Issue } } }
+  for (const byFile of Object.values(results.issues)) {
+    for (const byKey of Object.values(byFile)) {
+      for (const issue of Object.values(byKey)) {
+        violations.push(issueToViolation(/** @type {Parameters<typeof issueToViolation>[0]} */ (issue), cwd))
+      }
+    }
+  }
+  return { violations }
+}

package/rules/js/lint-findings/concern.json

@@ -0,0 +1,3 @@
+{
+  "$schema": "https://unpkg.com/@7n/rules/schemas/concern.json"
+}

package/rules/js/lint-findings/docs/main.md

@@ -0,0 +1,41 @@
+---
+type: JS Module
+title: main.mjs
+resource: npm/rules/js/lint-findings/main.mjs
+docgen:
+  crc: cb60407d
+  model: omlx/gemma-4-e4b-it-OptiQ-4bit
+  tier: local-min
+  score: 100
+  issues: judge:inaccurate:0.98
+  judgeModel: openai-codex/gpt-5.4-mini
+---
+
+## Огляд
+
+Ось оновлений текст секції «overview» відповідно до ваших вимог:
+
+Ця система надає можливості для аналізу логіки та виявлення помилок на основі результатів відмінних лінтерів. Доступні функції включають `parseOxlint` та `parseEslint` для парсингу результатів. Далі, `eslintResultsToFindings` перетворює ці результати у стандартизовані знахідки, які потім класифікуються за допомогою `classifyFindings`. Фінальне представлення цих знахідок здійснюється функцією `renderFindings`. Усі операції є read-only та не взаємодіють з файловою системою чи базою даних. Система працює з принципом fail-safe, тобто перехоплює можливі помилки і, замість викидання винятку, повертає порожнє значення, наприклад, `null`.
+
+## Поведінка
+
+Поведінка:
+parseOxlint: Парсить вивід `oxlint` у форматі JSON, повертаючи список знайдених порушень або `null` у разі непарсибельного JSON.
+parseEslint: Парсить вивід `eslint` у форматі JSON, повертаючи список знайдених порушень або `null` у разі непарсибельного JSON.
+eslintResultsToFindings: Конвертує результати, отримані з API `eslint.lintFiles`, у нормалізований список знайдених порушень.
+classifyFindings: Класифікує знайдені порушення на "внесено цією зміною" або "борг файлу" на основі інформації про додані рядки у файлі.
+renderFindings: Форматує класифіковані порушення у текстовий звіт, розділяючи внесені та існуючі проблеми.
+
+## Публічний API
+
+parseOxlint — отримує результат парсингу Oxlint, повертаючи `null`, якщо вивід інструмента не може бути інтерпретований як JSON.
+parseEslint — отримує результат парсингу Eslint, повертаючи `null`, якщо вивід інструмента не може бути інтерпретований як JSON.
+eslintResultsToFindings — перетворює детальні звіти з ESLint у стандартизований формат знахідок.
+classifyFindings — розрізняє знахідки, які виникли через додані рядки, від тих, що були присутні до змін.
+renderFindings — створює зведений звіт, відображаючи нові знахідки (🆕 introduced) та існуючий технічний борг (🗄 pre-existing).
+
+## Гарантії поведінки
+
+- Read-only: не виконує операцій запису (ФС/БД).
+- Перехоплює помилки і не пропускає винятків назовні (fail-safe).
+- За певних помилок повертає порожнє значення (напр. `null`) замість винятку.

package/rules/js/lint-findings/main.mjs

@@ -0,0 +1,125 @@
+/** @see ./docs/lint-findings.md */
+import { isAbsolute, relative } from 'node:path'
+
+import { isIntroducedLine } from '../../../scripts/lib/diff-added-lines.mjs'
+
+/**
+ * @param {string} jsonText вивід `oxlint --format=json`
+ * @returns {{ file: string, line: number, rule: string, message: string, tool: string }[] | null} findings,
+ *   або `null` якщо json непарсабельний (краш/обрізаний вивід інструмента — НЕ «чисто»)
+ */
+export function parseOxlint(jsonText) {
+  let data
+  try {
+    data = JSON.parse(jsonText)
+  } catch {
+    return null
+  }
+  const diags = Array.isArray(data?.diagnostics) ? data.diagnostics : []
+  return diags
+    .filter(d => d?.filename)
+    .map(d => ({
+      file: d.filename,
+      line: d.labels?.[0]?.span?.line ?? 0,
+      rule: d.code ?? '',
+      message: d.message ?? '',
+      tool: 'oxlint'
+    }))
+}
+
+/**
+ * @param {string} jsonText вивід `eslint --format=json`
+ * @returns {{ file: string, line: number, rule: string, message: string, tool: string }[] | null} findings,
+ *   або `null` якщо json непарсабельний (краш/обрізаний вивід інструмента — НЕ «чисто»)
+ */
+export function parseEslint(jsonText) {
+  let data
+  try {
+    data = JSON.parse(jsonText)
+  } catch {
+    return null
+  }
+  const results = Array.isArray(data) ? data : []
+  const out = []
+  for (const r of results) {
+    for (const m of r?.messages ?? []) {
+      out.push({
+        file: r.filePath,
+        line: m.line ?? 0,
+        rule: m.ruleId ?? '(syntax)',
+        message: m.message ?? '',
+        tool: 'eslint'
+      })
+    }
+  }
+  return out.filter(f => f.file)
+}
+
+/**
+ * Конвертує результати ESLint programmatic API у нормалізовані findings.
+ * @param {import('eslint').ESLint.LintResult[]} results результати `eslint.lintFiles()`
+ * @returns {{ file: string, line: number, rule: string, message: string, tool: string }[]} findings
+ */
+export function eslintResultsToFindings(results) {
+  const out = []
+  for (const r of results) {
+    for (const m of r.messages) {
+      out.push({
+        file: r.filePath,
+        line: m.line ?? 0,
+        rule: m.ruleId ?? '(syntax)',
+        message: m.message ?? '',
+        tool: 'eslint'
+      })
+    }
+  }
+  return out.filter(f => f.file)
+}
+
+/**
+ * Розділяє findings на introduced / pre-existing за доданими рядками.
+ * @param {{ file: string, line: number }[]} findings нормалізовані findings
+ * @param {Map<string, Set<number> | string>} addedLines з `addedLinesByFile`
+ * @param {string} [cwd] корінь (для нормалізації абсолютних шляхів у relative)
+ * @returns {{ introduced: object[], preExisting: object[] }} класифікація
+ */
+export function classifyFindings(findings, addedLines, cwd = process.cwd()) {
+  const introduced = []
+  const preExisting = []
+  for (const f of findings) {
+    const rel = isAbsolute(f.file) ? relative(cwd, f.file) : f.file
+    if (isIntroducedLine(addedLines, rel, f.line)) introduced.push(f)
+    else preExisting.push(f)
+  }
+  return { introduced, preExisting }
+}
+
+/**
+ * Рядок одного finding: `<rel>:<line>  <rule>  <message>`.
+ * @param {{ file: string, line: number, rule: string, message: string }} f finding
+ * @param {string} cwd корінь
+ * @returns {string} рядок
+ */
+function formatFinding(f, cwd) {
+  const rel = isAbsolute(f.file) ? relative(cwd, f.file) : f.file
+  return `     ${rel}:${f.line}  ${f.rule}  ${f.message}`
+}
+
+/**
+ * Згрупований звіт: 🆕 introduced (виправ) + 🗄 pre-existing (борг файлу).
+ * @param {{ introduced: object[], preExisting: object[] }} classified результат `classifyFindings`
+ * @param {string} [cwd] корінь
+ * @returns {string} текст звіту
+ */
+export function renderFindings({ introduced, preExisting }, cwd = process.cwd()) {
+  const lines = []
+  if (introduced.length > 0) {
+    lines.push(`  🆕 introduced (${introduced.length}) — внесено цією зміною, виправ:`)
+    for (const f of introduced) lines.push(formatFinding(f, cwd))
+  }
+  if (preExisting.length > 0) {
+    lines.push(`  🗄 pre-existing (${preExisting.length}) — борг файлу, не з цієї зміни:`)
+    for (const f of preExisting) lines.push(formatFinding(f, cwd))
+  }
+  return lines.join('\n')
+}

package/rules/js/lint_js_yml/concern.json

@@ -0,0 +1,9 @@
+{
+  "$schema": "https://unpkg.com/@7n/rules/schemas/concern.json",
+  "fixability": "config",
+  "policy": {
+    "files": {
+      "single": ".github/workflows/lint-js.yml"
+    }
+  }
+}

package/rules/js/lint_js_yml/lint_js_yml.mdc

@@ -0,0 +1,14 @@
+## Rego-gate `.github/workflows/lint-js.yml`
+
+Rego-пакет: `js_lint.lint_js_yml`
+
+Цільовий файл: `.github/workflows/lint-js.yml`.
+
+Що перевіряється:
+
+- Наявність усіх `uses:`-кроків з канону (subset-of по `jobs.eslint.steps`); SHA-пін того самого action (`owner/action@<40-hex SHA>`, з тег-коментарем `# vX` чи без) задовольняє канонічний тег — НЕ замінюй наявний SHA-пін тегом
+- Наявність усіх рядків `run:` з канону (substring-match по всіх кроках)
+- `actions/checkout` (будь-який ref) має мати `with.persist-credentials: false` (inverse-check)
+- Заборона `--fix` у CI: `bunx oxlint ... --fix` або `eslint --fix` у будь-якому `run:` → deny
+
+Канон-snippet: [lint-js.yml.snippet.yml](./template/lint-js.yml.snippet.yml)

package/rules/js/lint_js_yml/lint_js_yml.rego

@@ -0,0 +1,117 @@
+# Перевірка `.github/workflows/lint-js.yml` (js.mdc).
+#
+# Канон надходить через --data: { "template": { "snippet": ... } }
+# Структура --data сформована з template/lint-js.yml.snippet.yml.
+# Required uses + run substrings зчитуються з template's eslint-job steps.
+# Універсальні workflow-перевірки — у `ga.workflow_common`.
+#
+# Логіка, що ЛИШАЄТЬСЯ у rego (inverse anti-patterns):
+#  - `oxlint --fix` / `eslint --fix` у CI заборонено;
+#  - actions/checkout (будь-який ref) має мати `with.persist-credentials: false`.
+#
+# Pin-aware: SHA-пін `owner/action@<40-hex>` (zizmor ref-pin; тег-коментар після
+# `#` YAML-парсер відкидає) ЗАДОВОЛЬНЯЄ канонічний `owner/action@vN` з template —
+# не вимагаємо (і не даунгрейдимо) назад до тега.
+package js.lint_js_yml
+
+import rego.v1
+
+# Required `uses:` зі template — фільтруємо тільки кроки з uses.
+expected_uses_set contains u if {
+	some step in data.template.snippet.jobs.eslint.steps
+	u := object.get(step, "uses", "")
+	u != ""
+}
+
+# Required `run:` substrings (per-line з template).
+expected_run_substrings contains line if {
+	some step in data.template.snippet.jobs.eslint.steps
+	r := object.get(step, "run", "")
+	r != ""
+	some raw in split(r, "\n")
+	line := trim_space(raw)
+	line != ""
+}
+
+# Аліаси на input.
+all_steps contains step if {
+	some job in object.get(input, "jobs", {})
+	some step in object.get(job, "steps", [])
+}
+
+all_uses_set contains u if {
+	some step in all_steps
+	u := object.get(step, "uses", "")
+	u != ""
+}
+
+all_run_blob := concat("\n", [r |
+	some step in all_steps
+	r := step_run_text(step)
+])
+
+# ── deny: required uses ─────────────────────────────────────────────────
+
+deny contains msg if {
+	some required_use in expected_uses_set
+	not has_use_satisfying(required_use)
+	msg := sprintf("lint-js.yml: відсутній крок uses: %s (js.mdc)", [required_use])
+}
+
+# ── deny: required run substrings ───────────────────────────────────────
+
+deny contains msg if {
+	some required_run in expected_run_substrings
+	not contains(all_run_blob, required_run)
+	msg := sprintf("lint-js.yml: у run немає %q (js.mdc)", [required_run])
+}
+
+# ── deny: actions/checkout has persist-credentials: false (inverse) ─────
+
+deny contains msg if {
+	not has_checkout_persist_credentials_false
+	msg := "lint-js.yml: actions/checkout має бути з with.persist-credentials: false (js.mdc)"
+}
+
+# ── deny: --fix у CI заборонено (inverse) ───────────────────────────────
+
+deny contains msg if {
+	regex.match(`bunx\s+oxlint[^\n]*--fix`, all_run_blob)
+	msg := "lint-js.yml: у run є oxlint з `--fix` (у CI заборонено) (js.mdc)"
+}
+
+deny contains msg if {
+	contains(all_run_blob, "eslint --fix")
+	msg := "lint-js.yml: у run є `eslint --fix` (у CI заборонено) (js.mdc)"
+}
+
+# ── helpers ─────────────────────────────────────────────────────────────
+
+has_checkout_persist_credentials_false if {
+	some step in all_steps
+	startswith(object.get(step, "uses", ""), "actions/checkout@")
+	step.with["persist-credentials"] == false
+}
+
+# `uses:` з input задовольняє канонічний `owner/action@tag`: точний збіг…
+uses_satisfies(actual, expected) if actual == expected
+
+# …або той самий action-slug і ref — повний 40-hex commit SHA (zizmor ref-pin).
+# Відповідність версії гарантує сам пін (тег-коментар `# vX` парсер відкидає).
+uses_satisfies(actual, expected) if {
+	slug := split(expected, "@")[0]
+	startswith(actual, concat("", [slug, "@"]))
+	parts := split(actual, "@")
+	regex.match(`^[0-9a-fA-F]{40}$`, parts[count(parts) - 1])
+}
+
+has_use_satisfying(required) if {
+	some u in all_uses_set
+	uses_satisfies(u, required)
+}
+
+step_run_text(step) := step.run if is_string(step.run)
+
+else := concat("\n", [s | some s in step.run]) if is_array(step.run)
+
+else := ""

package/rules/js/lint_js_yml/template/lint-js.yml.snippet.yml

@@ -0,0 +1,40 @@
+name: Lint JS
+
+on:
+  push:
+    branches:
+      - dev
+      - main
+    paths:
+      - '**/*.js'
+      - '**/*.mjs'
+      - '**/*.cjs'
+      - '**/*.jsx'
+      - '**/*.ts'
+      - '**/*.tsx'
+      - '**/*.vue'
+      - '**/eslint.config.*'
+
+  pull_request:
+    branches:
+      - dev
+      - main
+
+concurrency:
+  group: ${{ github.ref }}-${{ github.workflow }}
+  cancel-in-progress: true
+
+jobs:
+  eslint:
+    runs-on: ubuntu-latest
+    permissions:
+      contents: read
+    steps:
+      - uses: actions/checkout@v6
+        with:
+          persist-credentials: false
+
+      - uses: ./.github/actions/setup-bun-deps
+
+      - name: Eslint
+        run: bunx n-rules lint js --no-fix

package/rules/js/main.json

@@ -0,0 +1 @@
+{ "auto": { "glob": ["**/*.mjs", "**/*.cjs", "**/*.js", "**/*.jsx", "**/*.ts", "**/*.tsx"] } }

package/rules/js/main.mdc

@@ -0,0 +1,19 @@
+---
+description: Перевірка JavaScript коду
+globs: "**/{.oxlintrc.json,eslint.config.js,.jscpd.json,knip.json,package.json},**/*.{js,mjs,cjs,jsx,ts,tsx}"
+alwaysApply: false
+version: '1.31'
+---
+
+**oxlint**, **ESLint**, **jscpd**, **knip**. Запуск — **`n-rules lint js`** (локально; у CI — `--no-fix`, без **`--fix`** для oxlint/eslint). Без **prettier** і **@nitra/prettier-config**.
+
+`eslint.config.js` — flat config з `getConfig` (`@nitra/eslint-config`). Аргументи `node: [...]`/`vue: [...]` мають відповідати воркспейс-типам репо (`workspaces` root `package.json`; vue-воркспейс = Vue-залежність у deps або `.vue` файли) — інакше `.vue` файли не парсяться. Відсутній конфіг створюється (scaffold), наявний — зазнає хірургічного merge (fix не перезаписує файл цілком).
+
+## Швидкий gate через conftest
+
+Rego-пакети — запускаються `npx @7n/rules lint js` або `conftest`:
+
+- [lint-js.yml.snippet.yml](./lint_js_yml/template/lint-js.yml.snippet.yml)
+- [.jscpd.json.snippet.json](./jscpd_config/template/.jscpd.json.snippet.json)
+- [extensions.json.snippet.json](./vscode_extensions/template/extensions.json.snippet.json)
+- [package.json.snippet.json](./package_json/template/package.json.snippet.json)

package/rules/js/package_json/concern.json

@@ -0,0 +1,9 @@
+{
+  "$schema": "https://unpkg.com/@7n/rules/schemas/concern.json",
+  "fixability": "config",
+  "policy": {
+    "files": {
+      "single": "package.json"
+    }
+  }
+}

package/rules/js/package_json/package_json.mdc

@@ -0,0 +1,15 @@
+## Rego-gate `package.json`
+
+Rego-пакет: `js_lint.package_json`
+
+Цільовий файл: `package.json` (корінь і workspace-пакети).
+
+Що перевіряється:
+
+- `"type"` — точна відповідність `"module"` (з канон-snippet)
+- `scripts.lint-js` — нормалізована точна відповідність (collapse whitespace)
+- `engines.node` — semver-парсинг: major >= 24 (inverse, без template)
+- `engines.bun` — semver-парсинг: >= 1.3 (inverse, без template)
+- `devDependencies["@nitra/eslint-config"]` — наявність ключа + semver >= порогу зі snippet (`^3.10.0`); `workspace:*` завжди проходить
+
+Канон-snippet: [package.json.snippet.json](./template/package.json.snippet.json)

package/rules/js/package_json/package_json.rego

@@ -0,0 +1,142 @@
+# Перевірка `package.json` (js.mdc).
+#
+# Канон надходить через --data: { "template": { "snippet": ... } }
+# Структура --data сформована з template/package.json.snippet.json
+# (canonical `type` + `scripts.lint-js` + `devDependencies.@nitra/eslint-config` як мін-поріг).
+#
+# Мінімальна версія `@nitra/eslint-config` — ЄДИНЕ джерело в snippet
+# (`devDependencies.@nitra/eslint-config`); rego лише парсить поріг і робить semver-порівняння.
+#
+# Логіка, що ЛИШАЄТЬСЯ у rego (inverse, без template-значення):
+#  - `engines.node` >= 24, `engines.bun` >= 1.3 (semver range parsing).
+package js.package_json
+
+import rego.v1
+
+# ── deny: top-level scalar leafs (type) ─────────────────────────────────
+
+banned_fastify_pkg := "@nitra/as-integrations-fastify"
+
+deny contains msg if {
+	some key, expected_value in data.template.snippet
+	not is_object(expected_value)
+	actual := object.get(input, key, null)
+	actual != expected_value
+	msg := sprintf("package.json: \"%s\" має бути %q (js.mdc)", [key, expected_value])
+}
+
+# ── deny: scripts (nested) — exact match із normalize ──────────────────
+
+deny contains msg if {
+	some script_name, expected in data.template.snippet.scripts
+	actual := object.get(object.get(input, "scripts", {}), script_name, "")
+	normalize_script(actual) != expected
+	msg := sprintf("package.json: scripts.%s має бути %q (js.mdc)", [script_name, expected])
+}
+
+# ── deny: engines.node >= 24 (inverse, у rego) ──────────────────────────
+
+deny contains msg if {
+	engines := object.get(input, "engines", {})
+	not engines_node_meets(object.get(engines, "node", ""))
+	msg := "package.json: engines.node має бути >= 24 (js.mdc)"
+}
+
+deny contains msg if {
+	engines := object.get(input, "engines", {})
+	not engines_bun_meets(object.get(engines, "bun", ""))
+	msg := "package.json: engines.bun має бути >= 1.3 (js.mdc)"
+}
+
+# ── deny: @nitra/eslint-config >= snippet-поріг ─────────────────────────
+
+deny contains msg if {
+	dev := object.get(input, "devDependencies", {})
+	not "@nitra/eslint-config" in object.keys(dev)
+	msg := "package.json: відсутній @nitra/eslint-config у devDependencies (js.mdc)"
+}
+
+deny contains msg if {
+	range := object.get(object.get(input, "devDependencies", {}), "@nitra/eslint-config", "")
+	range != ""
+	not eslint_config_meets_min(range)
+	msg := sprintf("package.json: @nitra/eslint-config має бути >= %s (зараз %q) (js.mdc)", [eslint_min_display, range])
+}
+
+# ── deny: @nitra/as-integrations-fastify заборонений (dep-policy.mdc) ───
+
+deny contains msg if {
+	deps := object.get(input, "dependencies", {})
+	banned_fastify_pkg in object.keys(deps)
+	msg := sprintf("package.json: dependencies.%s заборонений — використовуй @as-integrations/fastify (js.mdc dep-policy)", [banned_fastify_pkg])
+}
+
+deny contains msg if {
+	deps := object.get(input, "peerDependencies", {})
+	banned_fastify_pkg in object.keys(deps)
+	msg := sprintf("package.json: peerDependencies.%s заборонений — використовуй @as-integrations/fastify (js.mdc dep-policy)", [banned_fastify_pkg])
+}
+
+# ── helpers ──────────────────────────────────────────────────────────────
+
+# Канонічний мін-поріг `@nitra/eslint-config` із snippet (напр. "^3.10.0").
+eslint_min_range := object.get(object.get(data.template.snippet, "devDependencies", {}), "@nitra/eslint-config", "")
+
+# Поріг для повідомлення без діапазонних префіксів (напр. "3.10.0").
+eslint_min_display := trim_left(eslint_min_range, "^~>=v ")
+
+normalize_script(s) := regex.replace(trim_space(s), `\s+`, " ")
+
+engines_node_meets(spec) if {
+	major := first_major(spec)
+	major >= 24
+}
+
+engines_bun_meets(spec) if {
+	parts := split_to_numbers(spec)
+	count(parts) >= 2
+	parts[0] > 1
+}
+
+engines_bun_meets(spec) if {
+	parts := split_to_numbers(spec)
+	count(parts) >= 2
+	parts[0] == 1
+	parts[1] >= 3
+}
+
+eslint_config_meets_min(range) if startswith(trim_space(range), "workspace:")
+
+eslint_config_meets_min(range) if {
+	actual := split_to_numbers(range)
+	count(actual) >= 3
+	min_parts := split_to_numbers(eslint_min_range)
+	count(min_parts) >= 3
+	semver_gte(actual, min_parts)
+}
+
+# actual >= min_parts за major.minor.patch (лексикографічно).
+semver_gte(a, b) if a[0] > b[0]
+
+semver_gte(a, b) if {
+	a[0] == b[0]
+	a[1] > b[1]
+}
+
+semver_gte(a, b) if {
+	a[0] == b[0]
+	a[1] == b[1]
+	a[2] >= b[2]
+}
+
+first_major(spec) := major if {
+	parts := split_to_numbers(spec)
+	count(parts) >= 1
+	major := parts[0]
+}
+
+split_to_numbers(spec) := nums if {
+	tokens := regex.split(`\D+`, spec)
+	non_empty := [t | some t in tokens; t != ""]
+	nums := [n | some t in non_empty; n := to_number(t)]
+}

package/rules/js/package_json/template/package.json.snippet.json

@@ -0,0 +1,6 @@
+{
+  "type": "module",
+  "devDependencies": {
+    "@nitra/eslint-config": "^3.10.0"
+  }
+}

package/rules/js/tooling/concern.json

@@ -0,0 +1,3 @@
+{
+  "$schema": "https://unpkg.com/@7n/rules/schemas/concern.json"
+}

package/rules/js/tooling/data/tooling/knip-canonical.json

@@ -0,0 +1,29 @@
+{
+  "$schema": "https://unpkg.com/knip@5/schema.json",
+  "entry": [
+    "eslint.config.{js,mjs,cjs}",
+    "stylelint.config.{js,cjs,mjs}",
+    "oxlint.config.{js,mjs}",
+    "jscpd.config.{js,mjs}",
+    "markdownlint-cli2.config.{js,mjs,cjs,jsonc}",
+    ".markdownlint-cli2.{jsonc,cjs,mjs}",
+    "commitlint.config.{js,cjs,mjs}"
+  ],
+  "project": ["**/*.{js,mjs,cjs,jsx,ts,tsx,mts,cts}"],
+  "ignore": ["**/__fixtures__/**"],
+  "ignoreDependencies": ["@nitra/cspell-dict", "/@cspell\\/dict-.+/", "graphql"],
+  "ignoreBinaries": [
+    "actionlint",
+    "cspell",
+    "eslint",
+    "git-ai",
+    "jscpd",
+    "markdownlint-cli2",
+    "oxfmt",
+    "oxlint",
+    "shellcheck",
+    "uvx",
+    "v8r",
+    "zizmor"
+  ]
+}