@7n/rules 1.0.0

package/rules/php/lint_php_yml/template/lint-php.yml.snippet.yml

@@ -0,0 +1,47 @@
+name: Lint PHP
+
+on:
+  push:
+    branches:
+      - dev
+      - main
+    paths:
+      - '**/*.php'
+      - 'composer.json'
+      - 'composer.lock'
+      - 'phpstan.neon'
+      - 'phpstan.neon.dist'
+      - 'psalm.xml'
+      - '.github/workflows/lint-php.yml'
+
+  pull_request:
+    branches:
+      - dev
+      - main
+
+concurrency:
+  group: ${{ github.ref }}-${{ github.workflow }}
+  cancel-in-progress: true
+
+jobs:
+  php:
+    runs-on: ubuntu-latest
+    permissions:
+      contents: read
+    steps:
+      - uses: actions/checkout@v6
+        with:
+          persist-credentials: false
+
+      - uses: ./.github/actions/setup-bun-deps
+
+      - name: Install PHP
+        uses: shivammathur/setup-php@v2
+        with:
+          php-version: '8.5'
+
+      - name: Install Composer dependencies
+        run: composer install --no-interaction --no-progress --prefer-dist
+
+      - name: Lint PHP
+        run: bunx n-rules lint php --no-fix

package/rules/php/main.json

@@ -0,0 +1 @@
+{ "auto": { "glob": "composer.json" } }

package/rules/php/main.mdc

@@ -0,0 +1,8 @@
+---
+description: PHP
+version: '1.1'
+globs: "**/*.php"
+alwaysApply: false
+---
+
+Весь код повинен відповідати PHP 8.5 (PHPCompatibility + Rector). Лінт запускається через `n-rules lint php`.

package/rules/php/phpcs/concern.json

@@ -0,0 +1,7 @@
+{
+  "$schema": "https://unpkg.com/@7n/rules/schemas/concern.json",
+  "lint": {
+    "scope": "per-file",
+    "glob": ["**/*.php"]
+  }
+}

package/rules/php/phpcs/docs/main.md

@@ -0,0 +1,31 @@
+---
+type: JS Module
+title: main.mjs
+resource: npm/rules/php/phpcs/main.mjs
+docgen:
+  crc: 3da9ada2
+  model: omlx/gemma-4-e4b-it-OptiQ-4bit
+  tier: local-min
+  score: 100
+  issues: judge:inaccurate:0.99
+  judgeModel: openai-codex/gpt-5.4-mini
+---
+
+## Огляд
+
+Please provide the file you would like me to document.
+
+## Поведінка
+
+getPhpcsCodePaths визначає список каталогів коду для аналізу за допомогою PHPCS, перевіряючи лише ті, що містять файли `.php` і ігноруючи папки `vendor`, `node_modules` та `.git`.
+lint запускає зовнішній інструмент PHPCS зі стандартом `Security` для перевірки якості коду. Якщо вхідні файли не вказані, він сканує типові каталоги коду. Якщо `composer.json` відсутній або `phpcs` не знайдено, перевірка пропускається.
+
+## Публічний API
+
+getPhpcsCodePaths — визначає шляхи до файлів, які потрібно аналізувати за допомогою PHPCS.
+lint — перевіряє код на відповідність стилістичним та якісним нормам, використовуючи PHPCS.
+
+## Гарантії поведінки
+
+- Read-only: не виконує операцій запису (ФС/БД).
+- Свідомо пропускає шляхи: `.git`, `node_modules`.

package/rules/php/phpcs/main.mjs

@@ -0,0 +1,71 @@
+/**
+ * lint-поверхня php/phpcs: read-only detector (`phpcs --standard=Security`, з `vendor/bin`).
+ * Per-file: приймає `ctx.files`, інакше типові код-каталоги (`app`/`src`/`lib`/`public`/`www`).
+ * Виділено з колишнього bundled `php/check` (spec
+ * docs/specs/2026-07-02-text-check-per-file-split-design.md "Рішення python/php/rego").
+ */
+import { spawnSync } from 'node:child_process'
+import { existsSync, statSync } from 'node:fs'
+import { join, resolve } from 'node:path'
+
+import { createViolationReporter } from '../../../scripts/lib/lint-surface/violation-reporter.mjs'
+
+/** Розширення `.php` — фільтр delta-списку файлів у `lint(ctx)`. */
+const PHP_EXT_RE = /\.php$/u
+
+const PHPCS_CODE_DIR_CANDIDATES = ['app', 'src', 'lib', 'public', 'www']
+
+/**
+ * @param {string} root корінь репозиторію
+ * @returns {string[]} перелік шляхів для phpcs (full-режим)
+ */
+export function getPhpcsCodePaths(root) {
+  const out = []
+  for (const d of PHPCS_CODE_DIR_CANDIDATES) {
+    const p = join(root, d)
+    if (existsSync(p) && statSync(p).isDirectory()) out.push(d)
+  }
+  return out.length > 0 ? out : ['.']
+}
+
+/**
+ * @param {string} root корінь
+ * @returns {string | null} абсолютний шлях до `vendor/bin/phpcs` або null, якщо відсутній
+ */
+function vendorBin(root) {
+  const p = resolve(root, 'vendor', 'bin', 'phpcs')
+  return existsSync(p) ? p : null
+}
+
+/**
+ * Detector php/phpcs (read-only).
+ * @param {import('../../../scripts/lib/lint-surface/types.mjs').LintContext} ctx контекст лінту.
+ * @returns {import('../../../scripts/lib/lint-surface/types.mjs').LintResult} результат із порушеннями
+ */
+export function lint(ctx) {
+  const reporter = createViolationReporter(ctx)
+  const { fail } = reporter
+  const root = ctx.cwd
+
+  if (!existsSync(join(root, 'composer.json'))) return reporter.result()
+
+  const targets = ctx.files === undefined ? getPhpcsCodePaths(root) : ctx.files.filter(f => PHP_EXT_RE.test(f))
+  if (targets.length === 0) return reporter.result()
+
+  const abs = vendorBin(root)
+  if (!abs) return reporter.result() // phpcs відсутній у vendor/bin → пропущено
+
+  const r = spawnSync(abs, ['--standard=Security', '--ignore=*/vendor/*,*/node_modules/*,*/.git/*', ...targets], {
+    cwd: root,
+    encoding: 'utf8',
+    shell: false
+  })
+  if (r.status !== 0) {
+    const code = typeof r.status === 'number' ? r.status : 1
+    const out = `${r.stdout ?? ''}${r.stderr ?? ''}`.trim().slice(0, 2000)
+    const outSuffix = out ? `\n${out}` : ''
+    fail(`lint-php: phpcs (Security) — помилка (код ${code}, php.mdc)${outSuffix}`, 'phpcs-violation')
+  }
+
+  return reporter.result()
+}

package/rules/php/project/concern.json

@@ -0,0 +1,6 @@
+{
+  "$schema": "https://unpkg.com/@7n/rules/schemas/concern.json",
+  "lint": {
+    "scope": "full"
+  }
+}

package/rules/php/project/docs/main.md

@@ -0,0 +1,36 @@
+---
+type: JS Module
+title: main.mjs
+resource: npm/rules/php/project/main.mjs
+docgen:
+  crc: 0a3716eb
+  model: omlx/gemma-4-e4b-it-OptiQ-4bit
+  tier: local-min
+  score: 100
+  issues: judge:inaccurate:0.97
+  judgeModel: openai-codex/gpt-5.4-mini
+---
+
+## Огляд
+
+Цей файл реалізує `read-only` детектор якості проекту, який виконує аудит залежностей за допомогою `composer audit` та статичний аналіз коду PHP за допомогою `phpstan` та `psalm`. Функціонал взято з `spec docs/specs/2026-07-02-text-check-per-file-split-design.md §5-A`. Перевірки є read-only та не здійснюють змін у файловій системі чи базах даних. Статичний аналіз вимагає повного project-graph для коректного виявлення логічних помилок та проблем із залежностями, тоді як `composer audit` виконує аудит на рівні проекту. Виклик цих інструментів можливий лише через `n-rules lint --full` або scoped `n-rules lint php`.
+
+## Поведінка
+
+Поведінка:
+1. Перевіряє наявність файлу `composer.json` у корені. Якщо відсутній, процес завершується з результату, що не містить порушень.
+2. Шукає інструмент `composer` у системному середовищі. Якщо не знайдено, фіксує порушення щодо відсутності `composer`.
+3. Запускає інструмент `composer audit` у корені проекту для перевірки залежностей. Якщо інструмент повертає ненульовий код, фіксує порушення, пов'язане з аудитом залежностей.
+4. Шукає бінарні файли `phpstan` та `psalm` у каталозі `vendor/bin`.
+5. Якщо `phpstan` знайдено, запускає його з метою аналізу коду. Якщо повертає ненульовий код, фіксує порушення.
+6. Якщо `psalm` знайдено, запускає його для аналізу коду. Якщо повертає ненульовий код, фіксує порушення.
+7. Повертає фінальний результат, що містить усі зафіксовані порушення.
+
+## Публічний API
+
+lint — Виявляє помилки у коді PHP проекту.
+
+## Гарантії поведінки
+
+- Read-only: не виконує операцій запису (ФС/БД).
+- Кешує результати в межах одного прогону.

package/rules/php/project/main.mjs

@@ -0,0 +1,88 @@
+/**
+ * lint-поверхня php/project: read-only detector (`composer audit` + PHPStan + Psalm),
+ * перейменовано з колишнього bundled `php/check` (spec
+ * docs/specs/2026-07-02-text-check-per-file-split-design.md §5-A). `full`, без `lint.glob` —
+ * phpstan/psalm потребують повного project-graph (autoload, class hierarchy), запуск на
+ * одному файлі дає неповний/хибний результат; composer audit — project-wide dependency
+ * audit. Не входять у delta-план (§5): спрацьовують лише через `n-rules lint --full` або
+ * scoped `n-rules lint php`.
+ */
+import { spawnSync } from 'node:child_process'
+import { existsSync } from 'node:fs'
+import { join, resolve } from 'node:path'
+
+import { createViolationReporter } from '../../../scripts/lib/lint-surface/violation-reporter.mjs'
+import { resolveCmd } from '../../../scripts/utils/resolve-cmd.mjs'
+
+/**
+ * @param {string} root корінь
+ * @param {string} name ім'я у vendor/bin
+ * @returns {string | null} абсолютний шлях до бінарника або null, якщо відсутній
+ */
+function vendorBin(root, name) {
+  const p = resolve(root, 'vendor', 'bin', name)
+  return existsSync(p) ? p : null
+}
+
+/**
+ * Запускає тул і, на ненульовий код, реєструє порушення.
+ * @param {string} label назва кроку
+ * @param {string} abs абсолютний шлях
+ * @param {string[]} args аргументи команди.
+ * @param {string} cwd робочий каталог.
+ * @param {(msg: string, reason: string) => void} fail колбек реєстрації порушення.
+ * @param {string} reason машиночитна причина порушення.
+ * @returns {boolean} true якщо OK, false якщо порушення
+ */
+function runTool(label, abs, args, cwd, fail, reason) {
+  const r = spawnSync(abs, args, { cwd, encoding: 'utf8', shell: false })
+  if (r.status === 0) return true
+  const code = typeof r.status === 'number' ? r.status : 1
+  const out = `${r.stdout ?? ''}${r.stderr ?? ''}`.trim().slice(0, 2000)
+  const outSuffix = out ? `\n${out}` : ''
+  fail(`lint-php: ${label} — помилка (код ${code}, php.mdc)${outSuffix}`, reason)
+  return false
+}
+
+/**
+ * Detector php/project (read-only).
+ * @param {import('../../../scripts/lib/lint-surface/types.mjs').LintContext} ctx контекст лінту.
+ * @returns {import('../../../scripts/lib/lint-surface/types.mjs').LintResult} результат із порушеннями
+ */
+export function lint(ctx) {
+  const reporter = createViolationReporter(ctx)
+  const { fail } = reporter
+  const root = ctx.cwd
+
+  if (!existsSync(join(root, 'composer.json'))) return reporter.result()
+
+  const composer = resolveCmd('composer')
+  if (!composer) {
+    fail('lint-php: `composer` не знайдено в PATH (потрібен при наявному composer.json, php.mdc)', 'composer-missing')
+    return reporter.result()
+  }
+
+  if (!runTool('composer audit', composer, ['audit', '--no-interaction'], root, fail, 'composer-audit-violation')) {
+    return reporter.result()
+  }
+
+  /**
+   * @param {string} binName ім'я бінарника у vendor/bin.
+   * @param {string} label назва кроку.
+   * @param {string[]} args аргументи інструменту.
+   * @param {string} reason машиночитна причина порушення.
+   * @returns {boolean} true якщо OK / пропущено
+   */
+  function runOptionalVendorTool(binName, label, args, reason) {
+    const abs = vendorBin(root, binName)
+    if (!abs) return true // тул відсутній у vendor/bin → крок пропущено
+    return runTool(label, abs, args, root, fail, reason)
+  }
+
+  if (!runOptionalVendorTool('phpstan', 'PHPStan', ['analyse', '--no-progress'], 'phpstan-violation')) {
+    return reporter.result()
+  }
+  runOptionalVendorTool('psalm', 'Psalm', ['--no-cache'], 'psalm-violation')
+
+  return reporter.result()
+}

package/rules/php/tooling/concern.json

@@ -0,0 +1,5 @@
+{
+  "$schema": "https://unpkg.com/@7n/rules/schemas/concern.json",
+  "fixability": "config",
+  "lint": { "scope": "full", "glob": ["composer.json", "package.json", ".github/workflows/lint-php.yml"] }
+}

package/rules/php/tooling/docs/main.md

@@ -0,0 +1,33 @@
+---
+type: JS Module
+title: main.mjs
+resource: npm/rules/php/tooling/main.mjs
+docgen:
+  crc: 91381cd7
+  model: omlx/gemma-4-e4b-it-OptiQ-4bit
+  score: 100
+  issues: judge:inaccurate:0.98
+  judgeModel: openai-codex/gpt-5.4-mini
+---
+
+## Огляд
+
+Програма перевіряє наявність ключових конфігураційних файлів проєкту, зокрема `composer.json` та `package.json`, згідно з вимогами (php.mdc). Вона забезпечує відповідність проєкту заданим стандартам, ігноруючи каталоги `.github` та `.git`.
+
+## Поведінка
+
+1. Викликається функція main.
+2. Перевіряється наявність файлу composer.json у корені проекту. У разі відсутності, фіксується відхилення з посиланням на (php.mdc).
+3. Перевіряється наявність файлу package.json у корені проекту. У разі відсутності, фіксується відхилення з посиланням на (php.mdc).
+4. Перевіряється наявність файлу .github/workflows/lint-php.yml. У разі відсутності, фіксується відхилення з необхідністю створити його згідно з (php.mdc).
+5. Функція повертає код виходу, що відображає загальний стан перевірок.
+6. Перевірка не враховує директорії .github та .git.
+
+## Публічний API
+
+main — перевіряє, чи відповідає проєкт критеріям, встановленим у правилі php.mdc.
+
+## Гарантії поведінки
+
+- Read-only: не виконує операцій запису (ФС/БД).
+- Свідомо пропускає шляхи: `.github`, `.git`.

package/rules/php/tooling/main.mjs

@@ -0,0 +1,35 @@
+/** @see ./docs/tooling.md */
+import { existsSync } from 'node:fs'
+
+import { createViolationReporter } from '../../../scripts/lib/lint-surface/violation-reporter.mjs'
+
+/**
+ * Перевіряє відповідність проєкту правилам php.mdc.
+ * @param {import('../../../scripts/lib/lint-surface/types.mjs').LintContext} ctx контекст лінту.
+ * @returns {Promise<import('../../../scripts/lib/lint-surface/types.mjs').LintResult>} результат із порушеннями
+ */
+export function lint(ctx) {
+  const reporter = createViolationReporter(ctx)
+  const { pass, fail } = reporter
+
+  if (existsSync('composer.json')) {
+    pass('composer.json існує')
+  } else {
+    fail('composer.json не знайдено в корені — додай (php.mdc)')
+  }
+
+  if (existsSync('package.json')) {
+    pass('package.json є')
+  } else {
+    fail('package.json не знайдено в корені — додай (php.mdc)')
+  }
+
+  const wfPath = '.github/workflows/lint-php.yml'
+  if (existsSync(wfPath)) {
+    pass(`${wfPath} є (структуру перевіряє npx @7n/rules fix → php.lint_php_yml)`)
+  } else {
+    fail(`${wfPath} не існує — створи згідно php.mdc`)
+  }
+
+  return Promise.resolve(reporter.result())
+}

package/rules/php/tooling/tooling.mdc

@@ -0,0 +1,66 @@
+## PHP-інструменти лінту
+
+Весь код повинен відповідати PHP 8.5, перевірятися через PHPCompatibility і конвертуватися через Rector.
+
+Код має бути добре задокументований через phpDoc:
+
+```php
+/** @param array<int, string> $items */
+function process($items) {
+    foreach ($items as $id => $name) {
+        // PHPStan знає, що $id — int, $name — string
+    }
+}
+```
+
+### PHP_CodeSniffer (phpcs) і пакет `squizlabs/php_codesniffer`
+
+Стиль, базові ризики, за потреби окремі стандарти. Для **SQL injection**, **XSS**, **небезпечні функції** — PHPCS + **php-security-audit** (стандарт `Security`).
+
+```bash
+phpcs --standard=Security app/
+```
+
+### PHPStan
+
+Статичний аналіз типів і смертельних слабких місць; **PHPStan Taint Analysis** (`phpstan/phpstan-taint-analysis`) — для потоку даних (taint) у стилі security-аналізу.
+
+```bash
+vendor/bin/phpstan analyse
+# після підключення розширення taint — у phpstan.neon/ neon.dist
+```
+
+### PHP-CS-Fixer
+
+Форматтер/фіксер коду; у **lint** зазвичай перевірка без змін (`--dry-run`).
+
+```bash
+vendor/bin/php-cs-fixer fix --dry-run --diff
+```
+
+### Psalm
+
+Альтернативний/додатковий аналізатор; **Psalm Security Plugin** (`vimeo/psalm` + пакет на кшталт `psalm/plugin-security` залежно від вибраної збірки) — для security-орієнтованих правил.
+
+```bash
+vendor/bin/psalm
+```
+
+### `composer audit`
+
+Перевірка відомих вразливостей залежностей за даними **Packagist/security-advisories**.
+
+```bash
+composer audit
+```
+
+## Запуск lint-php
+
+`composer`-інструменти не мають єдиного CLI, який сам обходить репозиторій, тому php-лінт делегується у JS-скрипт-обгортку. Запуск — через **`n-rules lint php`** (CI — `--no-fix`); окремого `package.json`-скрипта немає.
+
+Скрипт `run-php.mjs`:
+
+- якщо `composer.json` у корені відсутній — вихід 0 (перевірка пропущена);
+- якщо `composer.json` є, але `composer` не знайдено в PATH — це помилка;
+- `composer audit` — обовʼязковий;
+- `vendor/bin/php-cs-fixer`, `vendor/bin/phpcs`, `vendor/bin/phpstan`, `vendor/bin/psalm` — запускаються лише якщо встановлені (інакше крок пропускається з повідомленням).

package/rules/python/applies/concern.json

@@ -0,0 +1,4 @@
+{
+  "$schema": "https://unpkg.com/@7n/rules/schemas/concern.json",
+  "lint": { "scope": "full", "glob": ["pyproject.toml"] }
+}

package/rules/python/applies/docs/main.md

@@ -0,0 +1,29 @@
+---
+type: JS Module
+title: main.mjs
+resource: npm/rules/python/applies/main.mjs
+docgen:
+  crc: 871eb5c6
+  model: omlx/gemma-4-e4b-it-OptiQ-4bit
+  score: 100
+  issues: judge:inaccurate:0.97
+  judgeModel: openai-codex/gpt-5.4-mini
+---
+
+## Огляд
+
+Перевіряє наявність файлу `pyproject.toml` у корені репозиторію для визначення, чи має застосовуватися правило до проєктів, що використовують Python. Публічні функції `applies` та `main` реалізують цю логіку.
+
+## Поведінка
+
+applies визначає, чи застосовне правило, перевіряючи наявність файлу `pyproject.toml` у корені репозиторію.
+main повідомляє про успішне знаходження файлу `pyproject.toml`, що підтверджує застосування правила для Python.
+
+## Публічний API
+
+- applies — визначає загальні налаштування та конфігурацію.
+- main — виводить загальний контекст, тоді як спеціалізовані блоки виконують конкретні перевірки.
+
+## Гарантії поведінки
+
+- Read-only: не виконує операцій запису (ФС/БД).

package/rules/python/applies/main.mjs

@@ -0,0 +1,24 @@
+/** @see ./docs/applies.md */
+import { existsSync } from 'node:fs'
+import { join } from 'node:path'
+
+import { createViolationReporter } from '../../../scripts/lib/lint-surface/violation-reporter.mjs'
+
+/**
+ * @param {string} [cwd] корінь репозиторію (`process.cwd()` у звичайному прогоні)
+ * @returns {Promise<boolean>} `true` — правило застосовне; `false` — пропустити
+ */
+export function applies(cwd = process.cwd()) {
+  return Promise.resolve(existsSync(join(cwd, 'pyproject.toml')))
+}
+
+/**
+ * Друкує короткий context-pass — самі перевірки виконують інші concerns.
+ * @param {import('../../../scripts/lib/lint-surface/types.mjs').LintContext} ctx контекст лінту.
+ * @returns {Promise<import('../../../scripts/lib/lint-surface/types.mjs').LintResult>} результат context-pass
+ */
+export function lint(ctx) {
+  const reporter = createViolationReporter(ctx)
+  reporter.pass('pyproject.toml знайдено в корені — застосовую python.mdc')
+  return Promise.resolve(reporter.result())
+}

package/rules/python/docs/index.md

@@ -0,0 +1,11 @@
+---
+type: Directory Index
+title: npm/rules/python
+resource: npm/rules/python/
+---
+
+# npm/rules/python
+
+| Файл                | Тип       |
+| ------------------- | --------- |
+| [main.mjs](main.md) | JS Module |

package/rules/python/lib/docs/index.md

@@ -0,0 +1,9 @@
+---
+type: Directory Index
+title: npm/rules/python/lib
+resource: npm/rules/python/lib/
+---
+
+| Файл                    | Тип       |
+| ----------------------- | --------- |
+| [uv-run.mjs](uv-run.md) | JS Module |

package/rules/python/lib/docs/uv-run.md

@@ -0,0 +1,32 @@
+---
+type: JS Module
+title: uv-run.mjs
+resource: npm/rules/python/lib/uv-run.mjs
+docgen:
+  crc: 6aba3ab1
+  model: openai-codex/gpt-5.4-mini
+  tier: cloud-min
+  score: 100
+  issues: judge:inaccurate:0.97
+  judgeModel: openai-codex/gpt-5.4-mini
+---
+
+## Огляд
+
+Спільний preflight для Python-детекторів `mypy` і `ruff`, виділений зі спільного дубльованого коду з `main.mjs`. Використовує `PY_EXT_RE`, щоб залишати лише Python-цілі; для `ctx.files` запускає перевірку по вибраних файлах, а без них — по всьому проєкту через `.`. За наявності `uvToolAvailable` готує запуск обох детекторів через `uv run --frozen`; `preparePythonRun` формує однаковий контракт підготовки для обох інструментів.
+
+## Поведінка
+
+- `PY_EXT_RE` — визначає, чи файл належить до Python-цілей для delta-лінту.
+- `uvToolAvailable` — перевіряє, чи доступний Python-інструмент у середовищі `uv`.
+- `preparePythonRun` — готує спільний preflight для Python-лінтерів: пропускає без `pyproject.toml`, відсікає нерелевантні файли, перевіряє наявність `uv` і доступність інструменту, після чого повертає готові цілі для запуску через `uv run --frozen`.
+
+## Публічний API
+
+- PY_EXT_RE — Відібрає лише Python-файли з delta-списку для `lint`.
+- uvToolAvailable — Підтверджує, що `uv` доступний у середовищі.
+- preparePythonRun — Готує запуск Python-цілі: звіряє `pyproject.toml`, визначає delta або full-обсяг, знаходить `uv` і перевіряє, чи є потрібний `tool`; якщо підготовка не вдалася, викликач завершує `reporter.result` раніше.
+
+## Гарантії поведінки
+
+- Read-only: не виконує операцій запису (ФС/БД).

package/rules/python/lib/uv-run.mjs

@@ -0,0 +1,48 @@
+/**
+ * Спільний preflight обох python-детекторів (`mypy`, `ruff`) — обидва per-file: приймають
+ * `ctx.files`, інакше `.` (весь проєкт), обидва йдуть через `uv run --frozen`. Виділено зі
+ * спільного дубльованого коду (jscpd) обох `main.mjs`.
+ */
+import { spawnSync } from 'node:child_process'
+import { existsSync } from 'node:fs'
+import { join } from 'node:path'
+
+import { resolveCmd } from '../../../scripts/utils/resolve-cmd.mjs'
+
+/** Розширення `.py` — фільтр delta-списку файлів у `lint(ctx)`. */
+export const PY_EXT_RE = /\.py$/u
+
+/**
+ * @param {string} uv шлях до бінарника uv.
+ * @param {string} tool ім'я інструменту в uv-середовищі.
+ * @returns {boolean} true якщо інструмент доступний
+ */
+export function uvToolAvailable(uv, tool) {
+  const r = spawnSync(uv, ['run', '--frozen', tool, '--version'], { stdio: 'ignore', shell: false })
+  return r.status === 0
+}
+
+/**
+ * Спільний preflight: pyproject.toml, delta/full-цілі, резолв `uv`, доступність `tool` у
+ * uv-середовищі. Викликач рано виходить (`reporter.result()`), коли повертається `null` —
+ * `fail()` для випадку відсутнього `uv` уже викликаний усередині.
+ * @param {import('../../../scripts/lib/lint-surface/types.mjs').LintContext} ctx контекст лінту.
+ * @param {(msg: string, opts: object) => void} fail колбек реєстрації порушення.
+ * @param {string} tool ім'я інструменту (`mypy`|`ruff`) для перевірки доступності.
+ * @returns {{uv: string, targets: string[]}|null} preflight-результат, або null (рано вийти).
+ */
+export function preparePythonRun(ctx, fail, tool) {
+  if (!existsSync(join(ctx.cwd, 'pyproject.toml'))) return null
+
+  const targets = ctx.files === undefined ? ['.'] : ctx.files.filter(f => PY_EXT_RE.test(f))
+  if (targets.length === 0) return null
+
+  const uv = resolveCmd('uv')
+  if (!uv) {
+    fail('lint-python: `uv` не знайдено в PATH (потрібен при наявному pyproject.toml, python.mdc)', 'uv-missing')
+    return null
+  }
+  if (!uvToolAvailable(uv, tool)) return null // tool недоступний у uv-середовищі → пропущено
+
+  return { uv, targets }
+}

package/rules/python/lint_python_yml/concern.json

@@ -0,0 +1,9 @@
+{
+  "$schema": "https://unpkg.com/@7n/rules/schemas/concern.json",
+  "fixability": "config",
+  "policy": {
+    "files": {
+      "single": ".github/workflows/lint-python.yml"
+    }
+  }
+}

package/rules/python/lint_python_yml/lint_python_yml.mdc

@@ -0,0 +1,12 @@
+## Rego-gate: перевірка `.github/workflows/lint-python.yml`
+
+Rego-пакет: `python.lint_python_yml`
+
+Цільовий файл: `.github/workflows/lint-python.yml`
+
+Перевіряє (drift-safe через `--data template`):
+
+- кожен `uses` з канону (підмножина) присутній у workflow: `actions/checkout@v6`, `./.github/actions/setup-bun-deps`, `astral-sh/setup-uv@v8.0.0`;
+- кожен `run` з канону є substring серед run-кроків: `uv sync --frozen`, `n-rules lint python --no-fix`.
+
+Канонічний workflow: [lint-python.yml.snippet.yml](./template/lint-python.yml.snippet.yml)