@7n/rules 1.0.0

package/rules/k8s/hasura_httproute/hasura_httproute.mdc

@@ -0,0 +1,16 @@
+## Перевірки HTTPRoute, парного з Hasura-Deployment
+
+Rego-пакет: `k8s.hasura_httproute`
+
+**Цільові файли:** `hr.yaml` (або будь-який HTTPRoute з `kind: HTTPRoute`) у каталогах, де є Deployment з образом `hasura/graphql-engine`. JS знаходить пару Deployment–HTTPRoute через `collectHasuraDeploymentsAndHttpRoutes` і передає conftest з цим namespace.
+
+**Що перевіряється — канон 4 правил у `spec.rules` (у порядку):**
+
+1. `matches: [{path: {type: Exact, value: "<prefix>/ql"}}]` (без headers) + `filters: [RequestRedirect ReplaceFullPath "<prefix>/ql/console" statusCode 302]`
+2. `matches: [{path: {type: Exact, value: "<prefix>/ql/"}}]` + такий самий redirect на `<prefix>/ql/console`
+3. `matches: [{path: {type: PathPrefix, value: "<prefix>/ql"}}]` + `filters: [URLRewrite ReplacePrefixMatch "/"]` + один `backendRef` на headless Service
+4. WebSocket: `matches: [{path: PathPrefix "<prefix>/ql", headers: [{Exact "Upgrade: websocket"}]}]` + `filters: [URLRewrite ReplacePrefixMatch "/", RequestHeaderModifier remove [Authorization]]` + той самий `backendRef`
+
+`<prefix>` визначається автоматично як рядок до `/ql` у першому matching-правилі. Додаткові правила поверх канону дозволені.
+
+**Примітка:** cross-file прив'язка HTTPRoute до Deployment — JS (`validateHasuraHttpRouteCanon`).

package/rules/k8s/hasura_httproute/hasura_httproute.rego

@@ -0,0 +1,298 @@
+# Порт перевірки `httpRouteHasuraCanonViolation` з `npm/scripts/rules/k8s/fix.mjs`
+# (k8s.mdc): HTTPRoute, що сусідствує з Hasura-Deployment з тим самим
+# `metadata.name`, має містити канон з 4 правил у такому порядку:
+#
+#  1. Exact `<prefix>/ql` → RequestRedirect ReplaceFullPath `<prefix>/ql/console` 302
+#  2. Exact `<prefix>/ql/` → таке саме перенаправлення
+#  3. PathPrefix `<prefix>/ql` → URLRewrite ReplacePrefixMatch `/`, один backendRef
+#  4. WebSocket: PathPrefix `<prefix>/ql` + header `Upgrade: websocket` →
+#     URLRewrite ReplacePrefixMatch `/` + RequestHeaderModifier `remove: [Authorization]`,
+#     той самий backendRef
+#
+# Додаткові правила поверх канону дозволені — їх просто пропускаємо при пошуку.
+#
+# Запуск (локально, лише для HTTPRoute, парного з Hasura-Deployment):
+#   conftest test path/to/k8s/.../hr.yaml -p npm/policy/k8s/hasura_httproute \
+#     --namespace k8s.hasura_httproute
+#
+# Прив'язка Deployment-HTTPRoute (cross-file) — у JS (`validateHasuraHttpRouteCanon`,
+# `collectHasuraDeploymentsAndHttpRoutes`); JS викликає conftest з цією
+# намеспейс лише для відповідних HTTPRoute. JS authoritative.
+#
+# Структура каталогу збігається зі шляхом пакету (regal: directory-package-mismatch).
+# Конвенція проєкту — `import rego.v1` + multi-value `deny contains msg if { … }`.
+package k8s.hasura_httproute
+
+import rego.v1
+
+rule1_missing_msg := concat(" ", [
+	"не знайдено правило 1 Hasura-канона:",
+	"Exact \"<prefix>/ql\" + RequestRedirect ReplaceFullPath",
+	"\"<prefix>/ql/console\" statusCode 302 (k8s.mdc)",
+])
+
+rule1_filters_template := concat(" ", [
+	"правило 1 Hasura-канона (rules[%d], prefix %q):",
+	"Exact %q має мати RequestRedirect ReplaceFullPath %q statusCode 302 (k8s.mdc)",
+])
+
+rule2_missing_template := concat(" ", [
+	"правило 2 Hasura-канона: після правила 1 має бути Exact %q",
+	"+ RequestRedirect ReplaceFullPath %q statusCode 302 (k8s.mdc)",
+])
+
+rule3_missing_template := concat(" ", [
+	"правило 3 Hasura-канона: після правила 2 має бути PathPrefix %q",
+	"+ URLRewrite ReplacePrefixMatch \"/\"",
+	"+ один backendRef на headless Service (k8s.mdc)",
+])
+
+rule4_missing_template := concat(" ", [
+	"правило 4 Hasura-канона (WebSocket): після правила 3 має бути PathPrefix %q",
+	"+ header \"Upgrade: websocket\" + URLRewrite ReplacePrefixMatch \"/\"",
+	"+ RequestHeaderModifier remove [Authorization] + backendRef %q (k8s.mdc)",
+])
+
+# ── deny: structural shortcut перевірки до пошуку правила 1 ──────────────
+
+deny contains "HTTPRoute без spec — канон Hasura вимагає 4 правил (k8s.mdc)" if {
+	input.kind == "HTTPRoute"
+	not is_object(object.get(input, "spec", null))
+}
+
+deny contains "spec.rules порожній — канон Hasura вимагає 4 правил у порядку (k8s.mdc)" if {
+	input.kind == "HTTPRoute"
+	is_object(object.get(input, "spec", null))
+	not has_non_empty_rules
+}
+
+deny contains rule1_missing_msg if {
+	input.kind == "HTTPRoute"
+	has_non_empty_rules
+	canon_start == null
+}
+
+# ── deny: канонічна частина (правила 1-4) ────────────────────────────────
+
+deny contains msg if {
+	input.kind == "HTTPRoute"
+	canon_outcome.stage == "rule1_filters"
+	msg := sprintf(rule1_filters_template, [
+		canon_outcome.start_index,
+		canon_outcome.prefix,
+		canon_outcome.ql_path,
+		canon_outcome.console_path,
+	])
+}
+
+deny contains msg if {
+	input.kind == "HTTPRoute"
+	canon_outcome.stage == "rule2_missing"
+	msg := sprintf(rule2_missing_template, [canon_outcome.ql_slash_path, canon_outcome.console_path])
+}
+
+deny contains msg if {
+	input.kind == "HTTPRoute"
+	canon_outcome.stage == "rule3_missing"
+	msg := sprintf(rule3_missing_template, [canon_outcome.ql_path])
+}
+
+deny contains msg if {
+	input.kind == "HTTPRoute"
+	canon_outcome.stage == "rule4_missing"
+	msg := sprintf(rule4_missing_template, [canon_outcome.ql_path, canon_outcome.backend_name])
+}
+
+# ── helpers ───────────────────────────────────────────────────────────────
+
+has_non_empty_rules if {
+	rules := object.get(object.get(input, "spec", {}), "rules", [])
+	is_array(rules)
+	count(rules) > 0
+}
+
+# Перше правило з matches=[{path={type: Exact, value: <prefix>/ql}}] (без headers).
+# Повертаємо {prefix, start_index} або null, якщо нема.
+default canon_start := null
+
+canon_start := canon_start_candidates[0] if {
+	count(canon_start_candidates) > 0
+}
+
+canon_start_candidates := [{"prefix": substring(p.value, 0, count(p.value) - 3), "start_index": i} |
+	some i, rule in input.spec.rules
+	matches := object.get(rule, "matches", [])
+	count(matches) == 1
+	m := matches[0]
+	not m.headers
+	p := object.get(m, "path", {})
+	p.type == "Exact"
+	is_string(p.value)
+	endswith(p.value, "/ql")
+]
+
+# Стиснений результат канон-перевірки. Повертає об'єкт з полем `stage`:
+# "ok" | "rule1_filters" | "rule2_missing" | "rule3_missing" | "rule4_missing".
+default canon_outcome := {"stage": "skip"}
+
+canon_outcome := outcome if {
+	has_non_empty_rules
+	canon_start != null
+	prefix := canon_start.prefix
+	start_index := canon_start.start_index
+	console_path := sprintf("%s/ql/console", [prefix])
+	ql_slash_path := sprintf("%s/ql/", [prefix])
+	ql_path := sprintf("%s/ql", [prefix])
+	outcome := evaluate_canon(prefix, start_index, console_path, ql_slash_path, ql_path)
+}
+
+evaluate_canon(prefix, start_index, console_path, ql_slash_path, ql_path) := result if {
+	not rule_has_exact_redirect(input.spec.rules[start_index], console_path)
+	ctx := canon_ctx(prefix, start_index, console_path, ql_slash_path, ql_path)
+	result := object.union(ctx, {"stage": "rule1_filters"})
+} else := result if {
+	rule_has_exact_redirect(input.spec.rules[start_index], console_path)
+	rule2_index(start_index, ql_slash_path, console_path) == -1
+	ctx := canon_ctx(prefix, start_index, console_path, ql_slash_path, ql_path)
+	result := object.union(ctx, {"stage": "rule2_missing"})
+} else := result if {
+	rule_has_exact_redirect(input.spec.rules[start_index], console_path)
+	i2 := rule2_index(start_index, ql_slash_path, console_path)
+	i2 != -1
+	rule3_index(i2, ql_path) == -1
+	ctx := canon_ctx(prefix, start_index, console_path, ql_slash_path, ql_path)
+	result := object.union(ctx, {"stage": "rule3_missing"})
+} else := result if {
+	rule_has_exact_redirect(input.spec.rules[start_index], console_path)
+	i2 := rule2_index(start_index, ql_slash_path, console_path)
+	i3 := rule3_index(i2, ql_path)
+	i3 != -1
+	backend_name := single_backend_name(input.spec.rules[i3])
+	rule4_index(i3, ql_path, backend_name) == -1
+	result := {
+		"stage": "rule4_missing",
+		"prefix": prefix,
+		"ql_path": ql_path,
+		"backend_name": backend_name,
+	}
+} else := {"stage": "ok"}
+
+canon_ctx(prefix, start_index, console_path, ql_slash_path, ql_path) := {
+	"prefix": prefix,
+	"start_index": start_index,
+	"console_path": console_path,
+	"ql_slash_path": ql_slash_path,
+	"ql_path": ql_path,
+}
+
+# Правило: matches=[{path={type, value}}] без headers.
+rule_matches_single_path_no_headers(rule, path_type, path_value) if {
+	matches := object.get(rule, "matches", [])
+	count(matches) == 1
+	m := matches[0]
+	not m.headers
+	p := object.get(m, "path", {})
+	p.type == path_type
+	p.value == path_value
+}
+
+rule_has_exact_redirect(rule, to_path) if {
+	filters := object.get(rule, "filters", [])
+	count(filters) == 1
+	f := filters[0]
+	f.type == "RequestRedirect"
+	rr := object.get(f, "requestRedirect", {})
+	rr.statusCode == 302
+	p := object.get(rr, "path", {})
+	p.type == "ReplaceFullPath"
+	p.replaceFullPath == to_path
+}
+
+# Серед filters є URLRewrite з ReplacePrefixMatch "/".
+filters_include_url_rewrite_to_slash(filters) if {
+	some f in filters
+	f.type == "URLRewrite"
+	rw := object.get(f, "urlRewrite", {})
+	p := object.get(rw, "path", {})
+	p.type == "ReplacePrefixMatch"
+	p.replacePrefixMatch == "/"
+}
+
+# Серед filters є RequestHeaderModifier з remove=[Authorization].
+filters_remove_authorization(filters) if {
+	some f in filters
+	f.type == "RequestHeaderModifier"
+	mod := object.get(f, "requestHeaderModifier", {})
+	remove := object.get(mod, "remove", [])
+	count(remove) == 1
+	remove[0] == "Authorization"
+}
+
+default single_backend_name(_) := ""
+
+single_backend_name(rule) := refs[0].name if {
+	refs := object.get(rule, "backendRefs", [])
+	count(refs) == 1
+	is_string(refs[0].name)
+}
+
+# Шукаємо індекс правила 2 (після `from`); -1 якщо немає.
+default rule2_index(_, _, _) := -1
+
+rule2_index(from, ql_slash_path, console_path) := indices[0] if {
+	indices := [i |
+		some i, rule in input.spec.rules
+		i > from
+		rule_matches_single_path_no_headers(rule, "Exact", ql_slash_path)
+		rule_has_exact_redirect(rule, console_path)
+	]
+	count(indices) > 0
+}
+
+# Шукаємо індекс правила 3 (після `from`); -1 якщо немає.
+default rule3_index(_, _) := -1
+
+rule3_index(from, ql_path) := indices[0] if {
+	indices := [i |
+		some i, rule in input.spec.rules
+		i > from
+		rule_matches_single_path_no_headers(rule, "PathPrefix", ql_path)
+		filters := object.get(rule, "filters", [])
+		count(filters) == 1
+		filters_include_url_rewrite_to_slash(filters)
+		single_backend_name(rule) != ""
+	]
+	count(indices) > 0
+}
+
+# Шукаємо індекс правила 4 (WebSocket) (після `from`); -1 якщо немає.
+default rule4_index(_, _, _) := -1
+
+rule4_index(from, ql_path, backend_name) := indices[0] if {
+	indices := [i |
+		some i, rule in input.spec.rules
+		i > from
+		is_websocket_rule(rule, ql_path)
+		single_backend_name(rule) == backend_name
+	]
+	count(indices) > 0
+}
+
+is_websocket_rule(rule, ql_path) if {
+	matches := object.get(rule, "matches", [])
+	count(matches) == 1
+	m := matches[0]
+	p := object.get(m, "path", {})
+	p.type == "PathPrefix"
+	p.value == ql_path
+	headers := object.get(m, "headers", [])
+	count(headers) == 1
+	h := headers[0]
+	h.type == "Exact"
+	h.name == "Upgrade"
+	h.value == "websocket"
+	filters := object.get(rule, "filters", [])
+	count(filters) == 2
+	filters_include_url_rewrite_to_slash(filters)
+	filters_remove_authorization(filters)
+}

package/rules/k8s/hpa_pdb/concern.json

@@ -0,0 +1,8 @@
+{
+  "$schema": "https://unpkg.com/@7n/rules/schemas/concern.json",
+  "policy": {
+    "files": {
+      "walkGlob": ["**/k8s/**/*.yaml"]
+    }
+  }
+}

package/rules/k8s/hpa_pdb/hpa_pdb.mdc

@@ -0,0 +1,25 @@
+## Структурні перевірки HPA і PDB
+
+Rego-пакет: `k8s.hpa_pdb`
+
+**Цільові файли:** `hpa.yaml` (`kind: HorizontalPodAutoscaler`) та `pdb.yaml` (`kind: PodDisruptionBudget`) у overlay-каталогах (не в `base/`).
+
+**Що перевіряється:**
+
+HPA (`kind: HorizontalPodAutoscaler` або `apiVersion: autoscaling/…`):
+
+- `apiVersion: autoscaling/v2` (не v1)
+- `kind: HorizontalPodAutoscaler`
+- `spec` — присутній об'єкт
+- `spec.behavior` — присутній; містить `scaleUp` і `scaleDown`, кожен з непорожнім масивом `policies`
+- `spec.metrics` — непорожній масив
+
+PDB (`kind: PodDisruptionBudget` або `apiVersion: policy/v1`):
+
+- `apiVersion: policy/v1`
+- `kind: PodDisruptionBudget`
+- `spec` — присутній об'єкт
+- `spec.selector` — присутній об'єкт
+- `spec.selector.matchLabels` — присутній об'єкт
+
+**Примітка:** cross-file перевірки (відповідність `expectedDeployName`, `expectedAppLabel`, `isDevLike`-сегмент) лишаються у JS (`hpaManifestViolations`, `pdbManifestViolations`).

package/rules/k8s/hpa_pdb/hpa_pdb.rego

@@ -0,0 +1,139 @@
+# Порт **структурних** пер-документних перевірок HPA та PDB з
+# `npm/scripts/rules/k8s/fix.mjs` (k8s.mdc). Перевіряє лише ті властивості, що
+# не залежать від cross-file контексту (`expectedDeployName`, `expectedAppLabel`,
+# `isDevLike`-сегмента). Cross-file перевірки лишаються в JS
+# (`hpaManifestViolations`, `pdbManifestViolations`,
+# `validateDeploymentHpaPdbAndTopology`).
+#
+# Запуск (локально, по одному файлу):
+#   conftest test path/to/hpa.yaml -p npm/policy/k8s/hpa_pdb \
+#     --namespace k8s.hpa_pdb
+#
+# Перевіряє:
+#  - HPA: `apiVersion: autoscaling/v2`, `kind: HorizontalPodAutoscaler`;
+#         `spec` присутній; `spec.behavior.scaleUp` / `scaleDown` з непорожніми
+#         `policies`; `spec.metrics` — непорожній масив;
+#  - PDB: `apiVersion: policy/v1`, `kind: PodDisruptionBudget`;
+#         `spec.selector.matchLabels` присутній.
+#
+# Структура каталогу збігається зі шляхом пакету (regal: directory-package-mismatch).
+# Конвенція проєкту — `import rego.v1` + multi-value `deny contains msg if { … }`.
+package k8s.hpa_pdb
+
+import rego.v1
+
+hpa_kind_template := "kind має бути HorizontalPodAutoscaler (зараз: %v) (k8s.mdc)"
+
+hpa_api_template := "apiVersion має бути autoscaling/v2 (зараз: %v) (k8s.mdc)"
+
+pdb_kind_template := "kind має бути PodDisruptionBudget (зараз: %v) (k8s.mdc)"
+
+pdb_api_template := "apiVersion має бути policy/v1 (зараз: %v) (k8s.mdc)"
+
+# ── HPA: apiVersion / kind / spec ────────────────────────────────────────
+
+deny contains msg if {
+	is_hpa_doc
+	input.kind != "HorizontalPodAutoscaler"
+	msg := sprintf(hpa_kind_template, [input.kind])
+}
+
+deny contains msg if {
+	is_hpa_doc
+	input.apiVersion != "autoscaling/v2"
+	msg := sprintf(hpa_api_template, [input.apiVersion])
+}
+
+deny contains "spec відсутній або некоректний (HPA; k8s.mdc)" if {
+	is_hpa_doc
+	not is_object(object.get(input, "spec", null))
+}
+
+# ── HPA: spec.behavior.scaleUp / scaleDown з policies ────────────────────
+
+deny contains "spec.behavior відсутній (має містити scaleUp і scaleDown) (HPA; k8s.mdc)" if {
+	is_hpa_doc
+	spec := object.get(input, "spec", null)
+	is_object(spec)
+	not is_object(object.get(spec, "behavior", null))
+}
+
+deny contains msg if {
+	is_hpa_doc
+	behavior := object.get(object.get(input, "spec", {}), "behavior", null)
+	is_object(behavior)
+	some key in {"scaleUp", "scaleDown"}
+	not is_object(object.get(behavior, key, null))
+	msg := sprintf("spec.behavior.%s відсутній (HPA; k8s.mdc)", [key])
+}
+
+deny contains msg if {
+	is_hpa_doc
+	behavior := object.get(object.get(input, "spec", {}), "behavior", null)
+	is_object(behavior)
+	some key in {"scaleUp", "scaleDown"}
+	branch := object.get(behavior, key, null)
+	is_object(branch)
+	not is_non_empty_array(object.get(branch, "policies", null))
+	msg := sprintf("spec.behavior.%s.policies має бути непорожнім масивом (HPA; k8s.mdc)", [key])
+}
+
+# ── HPA: spec.metrics — непорожній масив ──────────────────────────────────
+
+deny contains "spec.metrics має бути непорожнім масивом (наприклад Resource/cpu/Utilization) (HPA; k8s.mdc)" if {
+	is_hpa_doc
+	spec := object.get(input, "spec", null)
+	is_object(spec)
+	not is_non_empty_array(object.get(spec, "metrics", null))
+}
+
+# ── PDB: apiVersion / kind / spec.selector.matchLabels ───────────────────
+
+deny contains msg if {
+	is_pdb_doc
+	input.kind != "PodDisruptionBudget"
+	msg := sprintf(pdb_kind_template, [input.kind])
+}
+
+deny contains msg if {
+	is_pdb_doc
+	input.apiVersion != "policy/v1"
+	msg := sprintf(pdb_api_template, [input.apiVersion])
+}
+
+deny contains "spec відсутній або некоректний (PDB; k8s.mdc)" if {
+	is_pdb_doc
+	not is_object(object.get(input, "spec", null))
+}
+
+deny contains "spec.selector відсутній (PDB; k8s.mdc)" if {
+	is_pdb_doc
+	spec := object.get(input, "spec", null)
+	is_object(spec)
+	not is_object(object.get(spec, "selector", null))
+}
+
+deny contains "spec.selector.matchLabels відсутній (PDB; k8s.mdc)" if {
+	is_pdb_doc
+	selector := object.get(object.get(input, "spec", {}), "selector", null)
+	is_object(selector)
+	not is_object(object.get(selector, "matchLabels", null))
+}
+
+# ── helpers ───────────────────────────────────────────────────────────────
+
+# Кваліфікуємо як HPA-документ: входить hint `kind == "HorizontalPodAutoscaler"`
+# або apiVersion з префіксом autoscaling/. Це уникає false-positive на ConfigMap
+# чи інших kind у тому самому файлі.
+is_hpa_doc if input.kind == "HorizontalPodAutoscaler"
+
+is_hpa_doc if startswith(object.get(input, "apiVersion", ""), "autoscaling/")
+
+is_pdb_doc if input.kind == "PodDisruptionBudget"
+
+is_pdb_doc if input.apiVersion == "policy/v1"
+
+is_non_empty_array(x) if {
+	is_array(x)
+	count(x) > 0
+}

package/rules/k8s/kubeconform/concern.json

@@ -0,0 +1,7 @@
+{
+  "$schema": "https://unpkg.com/@7n/rules/schemas/concern.json",
+  "lint": {
+    "scope": "per-file",
+    "glob": ["k8s/**/*.yaml", "k8s/**/*.yml"]
+  }
+}

package/rules/k8s/kubeconform/docs/main.md

@@ -0,0 +1,32 @@
+---
+type: JS Module
+title: main.mjs
+resource: npm/rules/k8s/kubeconform/main.mjs
+docgen:
+  crc: 76d8d01b
+  model: omlx/gemma-4-e4b-it-OptiQ-4bit
+  score: 100
+  issues: judge:inaccurate:0.98
+  judgeModel: openai-codex/gpt-5.4-mini
+---
+
+## Огляд
+
+Функціонал здійснює поверхневий linting для файлів Kubernetes (`.yaml`/`.yml`) з каталогу `k8s/` за допомогою `kubeconform` для валідації схеми. Доступний у двох режимах: приймає список конкретних файлів через `ctx.files`, або сканує корені `k8s/` для повного аналізу. Валідація застосовується до кожного маніфеста індивідуально, ігноруючи крос-файловий стан. Цей детектор працює лише з читанням даних (read-only); він не виконує жодних записів у файлову систему чи базу даних.
+
+## Поведінка
+
+Поведінка:
+1. Якщо контекст лінту не містить переліку файлів, система шукає кореневі директорії Kubernetes-маніфестів у поточному робочому каталозі, ігноруючи конфігураційні шляхи.
+2. Якщо контекст лінту надає список файлів, система обробляє лише ті файли, які мають розширення `.yaml` або `.yml`.
+3. Система запускає валідацію всіх визначених маніфестів за допомогою інструменту `kubeconform`.
+4. Якщо `kubeconform` виявляє невалідні маніфести, спрацьовує порушення відповідно до правила (k8s.mdc).
+5. Система повертає результат лінтування.
+
+## Публічний API
+
+lint — знаходить помилки у конфігураціях Kubernetes за допомогою kubeconform.
+
+## Гарантії поведінки
+
+- Read-only: не виконує операцій запису (ФС/БД).

package/rules/k8s/kubeconform/main.mjs

@@ -0,0 +1,39 @@
+/**
+ * lint-поверхня k8s/kubeconform: read-only detector (`kubeconform`, schema-валідація). Per-file:
+ * приймає `ctx.files` (конкретні `.yaml`/`.yml` під `k8s/`), інакше знайдені `k8s/`-корені
+ * (full-режим, `findK8sRoots`). Виділено з колишнього bundled `k8s/manifests` (spec
+ * docs/specs/2026-07-02-text-check-per-file-split-design.md §6) — kubeconform валідує кожен
+ * маніфест незалежно (без крос-файлового стану), тож коректний і на списку конкретних файлів.
+ * `kubescape` (kustomize-build) і крос-файлові валідатори лишаються в `k8s/manifests`.
+ */
+import { createViolationReporter } from '../../../scripts/lib/lint-surface/violation-reporter.mjs'
+import { loadCursorIgnorePaths } from '../../../scripts/lib/load-cursor-config.mjs'
+import { findK8sRoots, runKubeconform } from '../manifests/main.mjs'
+
+/** Розширення `.yaml`/`.yml` — фільтр delta-списку файлів у `lint(ctx)`. */
+const YAML_EXT_RE = /\.ya?ml$/u
+
+/**
+ * Detector k8s/kubeconform (read-only).
+ * @param {import('../../../scripts/lib/lint-surface/types.mjs').LintContext} ctx контекст лінту.
+ * @returns {Promise<import('../../../scripts/lib/lint-surface/types.mjs').LintResult>} результат із порушеннями
+ */
+export async function lint(ctx) {
+  const reporter = createViolationReporter(ctx)
+  const { fail } = reporter
+  const root = ctx.cwd
+
+  let targets
+  if (ctx.files === undefined) {
+    const ignorePaths = await loadCursorIgnorePaths(root)
+    targets = await findK8sRoots(root, ignorePaths)
+  } else {
+    targets = ctx.files.filter(f => YAML_EXT_RE.test(f))
+  }
+  if (targets.length === 0) return reporter.result()
+
+  const code = runKubeconform(targets, ctx.verbose === true)
+  if (code !== 0 && code !== 127) fail('kubeconform знайшов невалідні маніфести (k8s.mdc)', 'kubeconform')
+
+  return reporter.result()
+}

package/rules/k8s/kustomization/concern.json

@@ -0,0 +1,8 @@
+{
+  "$schema": "https://unpkg.com/@7n/rules/schemas/concern.json",
+  "policy": {
+    "files": {
+      "walkGlob": "**/k8s/**/kustomization.yaml"
+    }
+  }
+}

package/rules/k8s/kustomization/kustomization.mdc

@@ -0,0 +1,20 @@
+## Структурні перевірки `kustomization.yaml`
+
+Rego-пакет: `k8s.kustomization`
+
+**Цільові файли:** будь-який `kustomization.yaml` (`kind: Kustomization`, `apiVersion: kustomize.config.k8s.io/…`).
+
+**Що перевіряється:**
+
+- `resources[]` — має бути масивом рядків; непорожні рядки мають бути відсортовані за алфавітом (en, case-insensitive)
+- `patches[]` — має бути масивом; елементи мають бути відсортовані за tuple `(target.kind, target.name, target.namespace, path)` (case-insensitive)
+- Inline patch (поле `patch` як YAML-рядок JSON6902): у наборі операцій не може бути одночасно `op: remove` і `op: add` на той самий `path` — потрібен `op: replace`
+
+**Приклади:**
+
+✓ `resources: [deployment.yaml, hpa.yaml, svc.yaml]` (алфавіт)
+✗ `resources: [svc.yaml, deployment.yaml]` (не за алфавітом)
+✓ `op: replace` для зміни значення поля
+✗ `op: remove` + `op: add` на один `path` в одному patch
+
+**Примітка:** резолюція kustomize-дерева, перевірка існування refs на диску, парність `svc.yaml`/`svc-hl.yaml` — JS (`rules/k8s/fix.mjs`).