@7n/rules 1.0.0

package/rules/k8s/network_policy/concern.json

@@ -0,0 +1,8 @@
+{
+  "$schema": "https://unpkg.com/@7n/rules/schemas/concern.json",
+  "policy": {
+    "files": {
+      "walkGlob": ["**/k8s/**/*.yaml"]
+    }
+  }
+}

package/rules/k8s/network_policy/network_policy.mdc

@@ -0,0 +1,22 @@
+## Перевірки NetworkPolicy
+
+Rego-пакет: `k8s.network_policy`
+
+**Цільові файли:** `networkpolicy.yaml` / будь-який YAML з `kind: NetworkPolicy` або `apiVersion: networking.k8s.io/…`.
+
+**Що перевіряється:**
+
+- `apiVersion: networking.k8s.io/v1`
+- `kind: NetworkPolicy`
+- `spec` — присутній об'єкт
+- `spec.podSelector.matchLabels` — присутній об'єкт; поле `app` обов'язкове і непорожнє
+- `spec.policyTypes` — містить `Ingress` і `Egress`
+- `spec.ingress` — хоча б одне правило з `from.podSelector`
+- **Superset-перевірка egress/ingress:** кожне правило з канон-сніпета має бути присутнє в `spec.egress` / `spec.ingress` (extra-правила дозволені). Канон обирається за анотацією `nitra.dev/workload-kind`:
+  - `StatefulSet` → [stateful-set.snippet.yaml](./template/stateful-set.snippet.yaml) (додає intra-replica ingress/egress)
+  - решта (default) → [deployment.snippet.yaml](./template/deployment.snippet.yaml)
+- Заборонено `egress: [{}]` (allow-all) — навіть як extra-правило
+
+**Передача snippets:** через `--data` при виклику conftest (JS передає `templateData` для `runConftestBatch`).
+
+**Примітка:** cross-file визначення `metadata.name` воркнавантаження і мітки `app` — JS (`validateNetworkPolicyForWorkload`).

package/rules/k8s/network_policy/network_policy.rego

@@ -0,0 +1,151 @@
+# Пер-документна структурна перевірка NetworkPolicy.
+# Cross-file (metadata.name = workload, podSelector.app = мітка app) — JS (validateNetworkPolicyForWorkload).
+#
+# Superset-перевірка egress/ingress: кожне правило з обраного canon-snippet'у
+# має бути присутнє в input (extra-правила дозволені). Канон обирається за
+# анотацією `nitra.dev/workload-kind`:
+#   StatefulSet → data.template.stateful_set_snippet (повний канон з intra-replica)
+#   решта      → data.template.deployment_snippet  (повний канон, default fallback)
+#
+# Обидва snippets — самодостатні (без merge на runtime).
+#
+# Snippets передаються через templateData при виклику runConftestBatch для k8s.network_policy.
+#
+# Запуск (dev):
+#   conftest test path/to/networkpolicy.yaml -p npm/rules/k8s/policy/network_policy \
+#     --namespace k8s.network_policy \
+#     --data npm/rules/k8s/policy/network_policy/template/deployment.snippet.yaml \
+#     --data npm/rules/k8s/policy/network_policy/template/stateful-set.snippet.yaml
+package k8s.network_policy
+
+import rego.v1
+
+deny contains msg if {
+	is_np_doc
+	input.kind != "NetworkPolicy"
+	msg := sprintf("kind має бути NetworkPolicy (зараз: %v) (k8s.mdc)", [input.kind])
+}
+
+deny contains msg if {
+	is_np_doc
+	input.apiVersion != "networking.k8s.io/v1"
+	msg := sprintf("apiVersion має бути networking.k8s.io/v1 (зараз: %v) (k8s.mdc)", [input.apiVersion])
+}
+
+deny contains "spec відсутній або некоректний (NetworkPolicy; k8s.mdc)" if {
+	is_np_doc
+	not is_object(object.get(input, "spec", null))
+}
+
+deny contains "spec.podSelector.matchLabels відсутній (NetworkPolicy; k8s.mdc)" if {
+	is_np_doc
+	spec := object.get(input, "spec", null)
+	is_object(spec)
+	selector := object.get(spec, "podSelector", null)
+	is_object(selector)
+	not is_object(object.get(selector, "matchLabels", null))
+}
+
+deny contains "spec.podSelector.matchLabels.app відсутній або порожній (NetworkPolicy; k8s.mdc)" if {
+	is_np_doc
+	spec := object.get(input, "spec", null)
+	is_object(spec)
+	selector := object.get(spec, "podSelector", null)
+	is_object(selector)
+	ml := object.get(selector, "matchLabels", null)
+	is_object(ml)
+	object.get(ml, "app", null) == null
+}
+
+deny contains "spec.policyTypes має містити Ingress і Egress (NetworkPolicy; k8s.mdc)" if {
+	is_np_doc
+	spec := object.get(input, "spec", null)
+	is_object(spec)
+	types := object.get(spec, "policyTypes", [])
+	not policy_types_has_ingress_and_egress(types)
+}
+
+deny contains "spec.ingress має містити from.podSelector (NetworkPolicy; k8s.mdc)" if {
+	is_np_doc
+	spec := object.get(input, "spec", null)
+	is_object(spec)
+	not ingress_has_pod_selector_rule(spec)
+}
+
+# Superset-check egress: кожне канонічне правило має бути в input.spec.egress.
+deny contains msg if {
+	is_np_doc
+	is_object(object.get(input, "spec", null))
+	canon := canon_for_kind(workload_kind)
+	some canon_rule in canon.egress
+	not contains_item(object.get(input.spec, "egress", []), canon_rule)
+	msg := sprintf(
+		"NetworkPolicy %v: відсутнє обовʼязкове egress-правило (%v.snippet.yaml; k8s.mdc): %v",
+		[input.metadata.name, snippet_name_for_kind(workload_kind), json.marshal(canon_rule)],
+	)
+}
+
+# Superset-check ingress.
+deny contains msg if {
+	is_np_doc
+	is_object(object.get(input, "spec", null))
+	canon := canon_for_kind(workload_kind)
+	some canon_rule in canon.ingress
+	not contains_item(object.get(input.spec, "ingress", []), canon_rule)
+	msg := sprintf(
+		"NetworkPolicy %v: відсутнє обовʼязкове ingress-правило (%v.snippet.yaml; k8s.mdc): %v",
+		[input.metadata.name, snippet_name_for_kind(workload_kind), json.marshal(canon_rule)],
+	)
+}
+
+# Safety-net: allow-all `egress: [{}]` — заборонено навіть як extra-правило.
+deny contains "spec.egress: заборонено allow-all {} — додавай явні правила (k8s.mdc)" if {
+	is_np_doc
+	some rule in object.get(input.spec, "egress", [])
+	is_object(rule)
+	count(object.keys(rule)) == 0
+}
+
+# Dispatch на повний canon-snippet за анотацією nitra.dev/workload-kind.
+# StatefulSet → stateful_set_snippet (з intra-replica), решта → deployment_snippet.
+canon_for_kind("StatefulSet") := data.template.stateful_set_snippet
+
+canon_for_kind(kind) := data.template.deployment_snippet if {
+	kind != "StatefulSet"
+}
+
+snippet_name_for_kind("StatefulSet") := "stateful-set"
+
+snippet_name_for_kind(kind) := "deployment" if {
+	kind != "StatefulSet"
+}
+
+workload_kind := object.get(object.get(input.metadata, "annotations", {}), "nitra.dev/workload-kind", "")
+
+is_np_doc if input.kind == "NetworkPolicy"
+
+is_np_doc if startswith(object.get(input, "apiVersion", ""), "networking.k8s.io/")
+
+policy_types_has_ingress_and_egress(types) if {
+	is_array(types)
+	"Ingress" in types
+	"Egress" in types
+}
+
+ingress_has_pod_selector_rule(spec) if {
+	ingress := object.get(spec, "ingress", null)
+	is_array(ingress)
+	some rule in ingress
+	is_object(rule)
+	from_list := object.get(rule, "from", null)
+	is_array(from_list)
+	some peer in from_list
+	is_object(peer)
+	object.get(peer, "podSelector", null) != null
+}
+
+contains_item(items, item) if {
+	is_array(items)
+	some candidate in items
+	candidate == item
+}

package/rules/k8s/network_policy/template/deployment.snippet.yaml

@@ -0,0 +1,61 @@
+spec:
+  podSelector:
+    matchLabels: {}
+  policyTypes:
+    - Ingress
+    - Egress
+  ingress:
+    - from:
+        - podSelector: {}
+  egress:
+    - to:
+        - namespaceSelector:
+            matchLabels:
+              kubernetes.io/metadata.name: kube-system
+          podSelector:
+            matchLabels:
+              k8s-app: kube-dns
+      ports:
+        - protocol: UDP
+          port: 53
+        - protocol: TCP
+          port: 53
+    - to:
+        - ipBlock:
+            cidr: 169.254.0.0/16
+      ports:
+        - protocol: UDP
+          port: 53
+        - protocol: TCP
+          port: 53
+    - to:
+        - ipBlock:
+            cidr: 0.0.0.0/0
+      ports:
+        - protocol: TCP
+          port: 80
+        - protocol: TCP
+          port: 443
+    - to:
+        - namespaceSelector: {}
+      ports:
+        - protocol: TCP
+          port: 80
+        - protocol: TCP
+          port: 443
+        - protocol: TCP
+          port: 5432
+        - protocol: TCP
+          port: 3306
+        - protocol: TCP
+          port: 1433
+        - protocol: TCP
+          port: 6379
+        - protocol: TCP
+          port: 8080
+        - protocol: TCP
+          port: 4222
+        - protocol: TCP
+          port: 4317
+        - protocol: TCP
+          port: 4318

package/rules/k8s/network_policy/template/stateful-set.snippet.yaml

@@ -0,0 +1,69 @@
+spec:
+  podSelector:
+    matchLabels: {}
+  policyTypes:
+    - Ingress
+    - Egress
+  ingress:
+    - from:
+        - podSelector: {}
+    # intra-replica (StatefulSet pod ↔ pod у тому ж namespace — matchLabels:{} лишається без JS-substitution)
+    - from:
+        - podSelector:
+            matchLabels: {}
+  egress:
+    - to:
+        - namespaceSelector:
+            matchLabels:
+              kubernetes.io/metadata.name: kube-system
+          podSelector:
+            matchLabels:
+              k8s-app: kube-dns
+      ports:
+        - protocol: UDP
+          port: 53
+        - protocol: TCP
+          port: 53
+    - to:
+        - ipBlock:
+            cidr: 169.254.0.0/16
+      ports:
+        - protocol: UDP
+          port: 53
+        - protocol: TCP
+          port: 53
+    - to:
+        - ipBlock:
+            cidr: 0.0.0.0/0
+      ports:
+        - protocol: TCP
+          port: 80
+        - protocol: TCP
+          port: 443
+    - to:
+        - namespaceSelector: {}
+      ports:
+        - protocol: TCP
+          port: 80
+        - protocol: TCP
+          port: 443
+        - protocol: TCP
+          port: 5432
+        - protocol: TCP
+          port: 3306
+        - protocol: TCP
+          port: 1433
+        - protocol: TCP
+          port: 6379
+        - protocol: TCP
+          port: 8080
+        - protocol: TCP
+          port: 4222
+        - protocol: TCP
+          port: 4317
+        - protocol: TCP
+          port: 4318
+    # intra-replica (StatefulSet pod ↔ pod у тому ж namespace — matchLabels:{} лишається без JS-substitution)
+    - to:
+        - podSelector:
+            matchLabels: {}

package/rules/k8s/svc_hl_yaml/concern.json

@@ -0,0 +1,8 @@
+{
+  "$schema": "https://unpkg.com/@7n/rules/schemas/concern.json",
+  "policy": {
+    "files": {
+      "walkGlob": "**/k8s/**/svc-hl.yaml"
+    }
+  }
+}

package/rules/k8s/svc_hl_yaml/svc_hl_yaml.mdc

@@ -0,0 +1,13 @@
+## Перевірки `svc-hl.yaml` (Headless Service)
+
+Rego-пакет: `k8s.svc_hl_yaml`
+
+**Цільові файли:** лише `svc-hl.yaml` (basename). JS відбирає файли через walk по `basename == "svc-hl.yaml"`.
+
+**Що перевіряється:**
+
+- `kind: Service` — `metadata.name` має закінчуватися на `-hl`
+- `kind: Service` — `spec.clusterIP` має бути `None` (headless)
+
+✓ `metadata.name: my-app-hl`, `spec.clusterIP: None`
+✗ `metadata.name: my-app` (без суфікса), `spec.clusterIP: 10.0.0.1`

package/rules/k8s/svc_hl_yaml/svc_hl_yaml.rego

@@ -0,0 +1,51 @@
+# Порт пер-документної структурної перевірки `svc-hl.yaml` з
+# `npm/scripts/rules/k8s/fix.mjs` (k8s.mdc): headless Service з суфіксом
+# `metadata.name` `-hl` і `spec.clusterIP: None`.
+#
+# Запуск (локально, лише для одного svc-hl.yaml):
+#   conftest test path/to/k8s/.../svc-hl.yaml -p npm/policy/k8s/svc_hl_yaml \
+#     --namespace k8s.svc_hl_yaml
+#
+# JS authoritative (`rules/k8s/fix.mjs`: `serviceSvcHlYamlHeadlessViolation`,
+# вибір файла `svc-hl.yaml` через walk).
+#
+# Структура каталогу збігається зі шляхом пакету (regal: directory-package-mismatch).
+# Конвенція проєкту — `import rego.v1` + multi-value `deny contains msg if { … }`.
+package k8s.svc_hl_yaml
+
+import rego.v1
+
+svc_hl_name_suffix := "-hl"
+
+name_suffix_template := concat(" ", [
+	"Service metadata.name має закінчуватися на %q",
+	"(svc-hl.yaml; зараз: %q; k8s.mdc)",
+])
+
+deny contains "Service: потрібні metadata.name з суфіксом -hl (svc-hl.yaml; k8s.mdc)" if {
+	input.kind == "Service"
+	not is_object(object.get(input, "metadata", null))
+}
+
+deny contains msg if {
+	input.kind == "Service"
+	meta := object.get(input, "metadata", null)
+	is_object(meta)
+	name := object.get(meta, "name", "")
+	not endswith(name, svc_hl_name_suffix)
+	msg := sprintf(name_suffix_template, [svc_hl_name_suffix, name])
+}
+
+deny contains "Service: додай spec.clusterIP: None (svc-hl.yaml; k8s.mdc)" if {
+	input.kind == "Service"
+	not is_object(object.get(input, "spec", null))
+}
+
+deny contains msg if {
+	input.kind == "Service"
+	spec := object.get(input, "spec", null)
+	is_object(spec)
+	cluster_ip := object.get(spec, "clusterIP", "<absent>")
+	cluster_ip != "None"
+	msg := sprintf("Service spec.clusterIP має бути None (headless, svc-hl.yaml; зараз: %v; k8s.mdc)", [cluster_ip])
+}

package/rules/k8s/svc_yaml/concern.json

@@ -0,0 +1,8 @@
+{
+  "$schema": "https://unpkg.com/@7n/rules/schemas/concern.json",
+  "policy": {
+    "files": {
+      "walkGlob": "**/k8s/**/svc.yaml"
+    }
+  }
+}

package/rules/k8s/svc_yaml/svc_yaml.mdc

@@ -0,0 +1,12 @@
+## Перевірки `svc.yaml` (ClusterIP Service)
+
+Rego-пакет: `k8s.svc_yaml`
+
+**Цільові файли:** лише `svc.yaml` (basename). JS відбирає файли через walk по `basename == "svc.yaml"` і передає conftest з цим namespace.
+
+**Що перевіряється:**
+
+- `kind: Service` — `spec.type` має бути `ClusterIP` (відсутній `spec` або `type != "ClusterIP"` — порушення)
+
+✓ `spec.type: ClusterIP`
+✗ `spec.type: LoadBalancer` або відсутній `spec`

package/rules/k8s/svc_yaml/svc_yaml.rego

@@ -0,0 +1,31 @@
+# Порт пер-документної структурної перевірки `svc.yaml` з
+# `npm/scripts/rules/k8s/fix.mjs` (k8s.mdc): `Service` у файлі `svc.yaml` має
+# мати `spec.type: ClusterIP`.
+#
+# Запуск (локально, лише для одного svc.yaml):
+#   conftest test path/to/k8s/.../svc.yaml -p npm/policy/k8s/svc_yaml \
+#     --namespace k8s.svc_yaml
+#
+# JS authoritative (`rules/k8s/fix.mjs`: `serviceSvcYamlClusterIpTypeViolation`,
+# вибір файла `svc.yaml` через walk). Цю Rego JS викликає окремою таргет-командою
+# лише для basename == `svc.yaml`.
+#
+# Структура каталогу збігається зі шляхом пакету (regal: directory-package-mismatch).
+# Конвенція проєкту — `import rego.v1` + multi-value `deny contains msg if { … }`.
+package k8s.svc_yaml
+
+import rego.v1
+
+deny contains "Service: додай spec.type: ClusterIP (svc.yaml; k8s.mdc)" if {
+	input.kind == "Service"
+	not is_object(object.get(input, "spec", null))
+}
+
+deny contains msg if {
+	input.kind == "Service"
+	spec := object.get(input, "spec", null)
+	is_object(spec)
+	type_value := object.get(spec, "type", "<absent>")
+	type_value != "ClusterIP"
+	msg := sprintf("Service spec.type має бути ClusterIP (svc.yaml; зараз: %v; k8s.mdc)", [type_value])
+}

package/rules/nginx-default-tpl/docs/index.md

@@ -0,0 +1,11 @@
+---
+type: Directory Index
+title: npm/rules/nginx-default-tpl
+resource: npm/rules/nginx-default-tpl/
+---
+
+# npm/rules/nginx-default-tpl
+
+| Файл                | Тип       |
+| ------------------- | --------- |
+| [main.mjs](main.md) | JS Module |

package/rules/nginx-default-tpl/main.json

@@ -0,0 +1 @@
+{ "auto": { "glob": ["**/default.conf.template", "**/default.conf", "**/nginx.conf"] } }

package/rules/nginx-default-tpl/main.mdc

@@ -0,0 +1,8 @@
+---
+description: Правила nginx для статичних файлів
+version: '1.3'
+globs: "**/default.{conf.template,tpl.conf}"
+alwaysApply: false
+---
+
+Правило забезпечує відповідність `default.conf.template` канонічній структурі nginx для фронтенду зі статичними файлами, а також перевіряє пов'язані артефакти: HTTPRoute (k8s), Dockerfile, ini-файли середовищ і VS Code конфігурацію.

package/rules/nginx-default-tpl/template/concern.json

@@ -0,0 +1,17 @@
+{
+  "$schema": "https://unpkg.com/@7n/rules/schemas/concern.json",
+  "lint": {
+    "scope": "full",
+    "glob": [
+      "**/default.conf.template",
+      "**/default.tpl.conf",
+      "**/*.ini",
+      "**/Dockerfile",
+      "**/Dockerfile.*",
+      "**/Containerfile",
+      "**/*.Dockerfile",
+      ".vscode/extensions.json",
+      ".vscode/settings.json"
+    ]
+  }
+}

package/rules/nginx-default-tpl/template/docs/fix-template.md

@@ -0,0 +1,26 @@
+---
+type: JS Module
+title: fix-template.mjs
+resource: npm/rules/nginx-default-tpl/template/fix-template.mjs
+docgen:
+  crc: 93e1deb6
+  model: omlx/gemma-4-e4b-it-OptiQ-4bit
+  tier: local-min
+  score: 100
+  issues: judge:inaccurate:0.99
+  judgeModel: openai-codex/gpt-5.4-mini
+---
+
+## Огляд
+
+T0-autofix автоматизує детерміноване виправлення специфічних порушень у шаблонах конфігурації Nginx. Він виконує перейменування або перезапис файлу `default.tpl.conf` у `default.conf.template` для усунення `default-tpl-conf-legacy-name`, а також замінює директиву `error_log off;` на `error_log /dev/null crit;` для усунення `error-log-off-directive`.
+
+## Поведінка
+
+1. Визначає набір правил у `patterns` для автоматичного виправлення порушень у шаблонах конфігурації Nginx.
+2. Для порушення `nginx-default-tpl-legacy-name` виконує перейменування або перезапис файлу `default.tpl.conf` у `default.conf.template` та фіксує змінені файли.
+3. Для порушення `nginx-default-tpl-error-log-off` знаходить файли, що містять директиву `error_log off;`, та замінює її на `error_log /dev/null crit;`, фіксуючи змінені файли.
+
+## Гарантії поведінки
+
+- Read-only: не виконує операцій запису (ФС/БД).

package/rules/nginx-default-tpl/template/docs/main.md

@@ -0,0 +1,42 @@
+---
+type: JS Module
+title: main.mjs
+resource: npm/rules/nginx-default-tpl/template/main.mjs
+docgen:
+  crc: e45b3d5f
+  model: omlx/gemma-4-e4b-it-OptiQ-4bit
+  score: 100
+  issues: judge:inaccurate:0.99
+  judgeModel: openai-codex/gpt-5.4-mini
+---
+
+## Огляд
+
+findDefaultConfTemplatePaths виявляє шляхи за замовчуванням для шаблонів конфігурації. migrateDefaultTplConfFiles та migrateErrorLogOffDirective відповідають за міграцію файлів конфігурації та відключення директиви журналювання помилок. parseIniVariableNames аналізує назви змінних з файлів в форматі INI. nginxTemplateViolations та httpRouteMatchesNginxDefaultTpl виявляють відповідності та порушення з шаблонами, за замовчуванням встановленими для Nginx. iniKeysMissingInTemplate перевіряє відсутність ключів INI у шаблоні. main — головна точка входу в функціональність. Система здатна звертатися до мережі, зберігає інформацію в пам'яті (кешування) протягом одного запуску та гарантує стабільність роботи через перехоплення помилок замість викидання винятків. Функціональність спирається на конфігурації extensions.json та settings.json.
+
+## Поведінка
+
+findDefaultConfTemplatePaths збирає абсолютні шляхи до `default.conf.template`, виключаючи тестові артефакти.
+migrateDefaultTplConfFiles обробляє файли `default.tpl.conf` — або перейменовує їх у `default.conf.template`, або перезаписує існуючий шаблон їхнім вмістом.
+migrateErrorLogOffDirective шукає `default.conf.template` та замінює в ньому невалідну директиву `error_log off;` на канонічний варіант `error_log /dev/null crit;`.
+parseIniVariableNames витягує імена змінних з конфігураційних файлів формату `.ini` шляхом парсингу рядків `KEY=value`.
+nginxTemplateViolations перевіряє вміст `default.conf.template` на відповідність набору стандартних правил, визначених у `nginx-default-tpl.mdc`.
+httpRouteMatchesNginxDefaultTpl визначає, чи відповідає структура YAML-документа типу `HTTPRoute` необхідному патерну для відповідності `nginx-default-tpl.mdc`.
+iniKeysMissingInTemplate перевіряє, чи всі імена змінних, знайдених у файлі `.ini`, використовуються як `$KEY` у конфігураційному шаблоні.
+main виконує повний цикл перевірки відповідності проєкту стандартам `nginx-default-tpl.mdc`, включаючи обхід файлів, корекцію та валідацію.
+
+## Публічний API
+
+findDefaultConfTemplatePaths — Збирає всі шляхи до шаблону конфігурації за замовчуванням, ігноруючи тестові каталоги.
+migrateDefaultTplConfFiles — Адаптує файли конфігурації з розширенням `.tpl.conf`, перетворюючи їх на шаблон `.conf.template` або замінюючи існуючий.
+migrateErrorLogOffDirective — Виправляє некоректне використання `error_log off;` у шаблонах конфігурації, замінюючи його на надійний запис у `/dev/null`.
+parseIniVariableNames — Витягує всі назви змінних з файлів у форматі `KEY=value`, виключаючи коментарі.
+nginxTemplateViolations — Порівнює вміст основного шаблону конфігурації з вимогами, викладеними в `nginx-default-tpl.mdc`.
+httpRouteMatchesNginxDefaultTpl — Визначає, чи відповідає конфігурація маршруту HTTP вимогам: повне збігання, що веде до HTTP-перенаправлення (301), плюс префікс шляху до бекенду на порту 8080.
+iniKeysMissingInTemplate — Переконується, що всі визначені змінні з файлу ini присутні у шаблоні конфігурації як `$KEY`.
+main — Проводить загальну перевірку проєктної конфігурації відповідно до правил `nginx-default-tpl.mdc`.
+
+## Гарантії поведінки
+
+- Перехоплює помилки і не пропускає винятків назовні (fail-safe).
+- Кешує результати в межах одного прогону.

package/rules/nginx-default-tpl/template/fix-template.mjs

@@ -0,0 +1,67 @@
+/**
+ * T0-autofix для `nginx-default-tpl/template` — детерміновані правки без LLM.
+ *
+ * Покриває два типи порушень:
+ *   - `default-tpl-conf-legacy-name` — перейменовує/перезаписує `default.tpl.conf` → `default.conf.template`
+ *   - `error-log-off-directive` — замінює `error_log off;` → `error_log /dev/null crit;`
+ */
+import { join } from 'node:path'
+
+import { migrateDefaultTplConfFiles, migrateErrorLogOffDirective } from './main.mjs'
+import { loadCursorIgnorePaths } from '../../../scripts/lib/load-cursor-config.mjs'
+
+const LEGACY_TPL_CONF_SUFFIX_RE = /default\.tpl\.conf$/
+const CONF_TEMPLATE_SUFFIX_RE = /default\.conf\.template$/
+
+/** @type {import('../../../scripts/lib/lint-surface/types.mjs').T0Pattern[]} */
+export const patterns = [
+  {
+    id: 'nginx-default-tpl-legacy-name',
+    test: violations => violations.some(v => v.data?.kind === 'default-tpl-conf-legacy-name'),
+    apply: async (violations, ctx) => {
+      const ignorePaths = await loadCursorIgnorePaths(ctx.cwd)
+      const { renamed, overwritten } = await migrateDefaultTplConfFiles(ctx.cwd, ignorePaths)
+      /** @type {string[]} */
+      const touchedFiles = []
+      for (const rel of renamed) {
+        const abs = join(ctx.cwd, rel.replace(LEGACY_TPL_CONF_SUFFIX_RE, 'default.conf.template'))
+        ctx.recordWrite?.(join(ctx.cwd, rel.replace(CONF_TEMPLATE_SUFFIX_RE, 'default.tpl.conf')))
+        touchedFiles.push(abs)
+      }
+      for (const rel of overwritten) {
+        const abs = join(ctx.cwd, rel.replace(LEGACY_TPL_CONF_SUFFIX_RE, 'default.conf.template'))
+        ctx.recordWrite?.(join(ctx.cwd, rel.replace(CONF_TEMPLATE_SUFFIX_RE, 'default.tpl.conf')))
+        touchedFiles.push(abs)
+      }
+      const count = renamed.length + overwritten.length
+      return count > 0
+        ? { touchedFiles, message: `default.tpl.conf → default.conf.template: ${count} файл(ів)` }
+        : { touchedFiles: [] }
+    }
+  },
+  {
+    id: 'nginx-default-tpl-error-log-off',
+    test: violations => violations.some(v => v.data?.kind === 'error-log-off-directive'),
+    apply: async (violations, ctx) => {
+      const files = [
+        ...new Set(violations.filter(v => v.data?.kind === 'error-log-off-directive' && v.file).map(v => v.file))
+      ]
+      const ignorePaths = await loadCursorIgnorePaths(ctx.cwd)
+      const fixed = await migrateErrorLogOffDirective(ctx.cwd, ignorePaths)
+      /** @type {string[]} */
+      const touchedFiles = []
+      for (const rel of fixed) {
+        if (!(files.length === 0 || files.includes(rel))) {
+          continue
+        }
+
+        const abs = join(ctx.cwd, rel)
+        ctx.recordWrite?.(abs)
+        touchedFiles.push(abs)
+      }
+      return touchedFiles.length > 0
+        ? { touchedFiles, message: `error_log off → /dev/null crit: ${touchedFiles.length} файл(ів)` }
+        : { touchedFiles: [] }
+    }
+  }
+]