@7n/rules 1.0.0

package/rules/python/lint_python_yml/lint_python_yml.rego

@@ -0,0 +1,68 @@
+# Перевірка `.github/workflows/lint-python.yml` для правила python (python.mdc).
+#
+# Канон надходить через --data: { "template": { "snippet": ... } }
+# Структура --data сформована з template/lint-python.yml.snippet.yml.
+# Перевіряємо (drift-safe — усе ведеться з template, без inline-літералів):
+#   - кожен `uses` з template (підмножина): actions/checkout@v6,
+#     ./.github/actions/setup-bun-deps, astral-sh/setup-uv@v8.0.0;
+#   - кожен `run` з template має бути присутнім (як substring) серед run-кроків
+#     input'а: `uv sync --frozen`, `n-rules lint python --no-fix`.
+# Заборона Poetry-кроків (snok/install-poetry, `poetry install`) — через відсутність
+# у каноні: правило вимагає uv-кроки, а нав'язаних poetry-кроків у template немає.
+# Універсальні workflow-перевірки (name, concurrency, branches) — у `ga.workflow_common`.
+package python.lint_python_yml
+
+import rego.v1
+
+# Усі `uses` з канону workflow (по всіх job'ах template).
+expected_uses contains u if {
+	some job in data.template.snippet.jobs
+	some step in job.steps
+	u := object.get(step, "uses", "")
+	u != ""
+}
+
+# Усі `uses` з input workflow.
+actual_uses contains u if {
+	some job in object.get(input, "jobs", {})
+	some step in object.get(job, "steps", [])
+	u := object.get(step, "uses", "")
+	u != ""
+}
+
+# Конкатенація всіх `run`-кроків з input workflow.
+all_run_text := concat("\n", [run_text |
+	some job in object.get(input, "jobs", {})
+	some step in object.get(job, "steps", [])
+	run_text := step_run_to_text(step)
+])
+
+deny contains msg if {
+	some required_use in expected_uses
+	not required_use in actual_uses
+	msg := sprintf("lint-python.yml: відсутній step з `uses: %s` (python.mdc)", [required_use])
+}
+
+deny contains msg if {
+	msg := "lint-python.yml: actions/checkout@v6 потребує `with: persist-credentials: false` (python.mdc)"
+	some job in object.get(input, "jobs", {})
+	some step in object.get(job, "steps", [])
+	step.uses == "actions/checkout@v6"
+	creds := object.get(object.get(step, "with", {}), "persist-credentials", true)
+	creds != false
+}
+
+deny contains msg if {
+	some job in data.template.snippet.jobs
+	some step in job.steps
+	expected_run := object.get(step, "run", "")
+	expected_run != ""
+	not contains(all_run_text, expected_run)
+	msg := sprintf("lint-python.yml: жоден крок run не містить %q (python.mdc)", [expected_run])
+}
+
+step_run_to_text(step) := step.run if is_string(step.run)
+
+else := concat("\n", [s | some s in step.run]) if is_array(step.run)
+
+else := ""

package/rules/python/lint_python_yml/template/lint-python.yml.snippet.yml

@@ -0,0 +1,41 @@
+name: Lint Python
+
+on:
+  push:
+    branches:
+      - dev
+      - main
+    paths:
+      - '**/*.py'
+      - 'pyproject.toml'
+      - 'uv.lock'
+      - '.github/workflows/lint-python.yml'
+
+  pull_request:
+    branches:
+      - dev
+      - main
+
+concurrency:
+  group: ${{ github.ref }}-${{ github.workflow }}
+  cancel-in-progress: true
+
+jobs:
+  python:
+    runs-on: ubuntu-latest
+    permissions:
+      contents: read
+    steps:
+      - uses: actions/checkout@v6
+        with:
+          persist-credentials: false
+
+      - uses: ./.github/actions/setup-bun-deps
+
+      - uses: astral-sh/setup-uv@v8.0.0
+
+      - name: Install dependencies (uv)
+        run: uv sync --frozen
+
+      - name: Lint Python
+        run: bunx n-rules lint python --no-fix

package/rules/python/main.json

@@ -0,0 +1 @@
+{ "auto": { "glob": "pyproject.toml" } }

package/rules/python/main.mdc

@@ -0,0 +1,8 @@
+---
+description: Python — пакет-менеджер uv (без Poetry), PEP 621, lint-python
+globs: "**/*.py,pyproject.toml,uv.lock,.github/workflows/lint-python.yml"
+alwaysApply: false
+version: '1.0'
+---
+
+Python-проєкти ведуться **виключно** на [uv](https://docs.astral.sh/uv/) — єдиний пакет-менеджер і резолвер. **Poetry заборонено.** Середовище: `uv sync --frozen` (строго з `uv.lock`).

package/rules/python/mypy/concern.json

@@ -0,0 +1,7 @@
+{
+  "$schema": "https://unpkg.com/@7n/rules/schemas/concern.json",
+  "lint": {
+    "scope": "per-file",
+    "glob": ["**/*.py"]
+  }
+}

package/rules/python/mypy/docs/main.md

@@ -0,0 +1,32 @@
+---
+type: JS Module
+title: main.mjs
+resource: npm/rules/python/mypy/main.mjs
+docgen:
+  crc: 7cc910e3
+  model: omlx/gemma-4-e4b-it-OptiQ-4bit
+  score: 100
+  issues: judge:inaccurate:0.99
+  judgeModel: openai-codex/gpt-5.4-mini
+---
+
+## Огляд
+
+Please provide the draft section "overview" that needs revision, according to the context and requirements.
+
+## Поведінка
+
+1. Перевіряє наявність файлу `pyproject.toml` у кореневій директорії проєкту. Якщо його немає, перевірка не виконується.
+2. Визначає цільові файли для перевірки: або всі `.py` файли у проєкті, або лише ті, що передані в контекст.
+3. Перевіряє наявність у системному шляху інструмента `uv` та доступності `mypy` у середовищі `uv`. Якщо `uv` або `mypy` недоступні, перевірка пропускається.
+4. Запускає `mypy` через `uv run --frozen` для визначених цільових файлів, передаючи поточну робочу директорію проєкту як робочу директорію для виконання.
+5. Якщо `mypy` завершується з ненульовим кодом, фіксується порушення з виводом команди та кодом помилки.
+6. Якщо `mypy` завершується успішно, результати перевірки вважаються позитивними.
+
+## Публічний API
+
+lint — виявляє помилки в коді Python за допомогою mypy.
+
+## Гарантії поведінки
+
+- Read-only: не виконує операцій запису (ФС/БД).

package/rules/python/mypy/main.mjs

@@ -0,0 +1,36 @@
+/**
+ * lint-поверхня python/mypy: read-only detector (`mypy`, через `uv run --frozen`). Per-file:
+ * приймає `ctx.files`, інакше `.` (весь проєкт). Виділено з колишнього bundled `python/check`
+ * (spec docs/specs/2026-07-02-text-check-per-file-split-design.md "Рішення python/php/rego") —
+ * mypy сам транзитивно підвантажує імпортовані модулі (follow-imports), тож дає коректні
+ * діагнози й на підмножині переданих файлів. Немає fix capability (mypy — detect-only).
+ */
+import { spawnSync } from 'node:child_process'
+
+import { createViolationReporter } from '../../../scripts/lib/lint-surface/violation-reporter.mjs'
+import { preparePythonRun } from '../lib/uv-run.mjs'
+
+/**
+ * Detector python/mypy (read-only).
+ * @param {import('../../../scripts/lib/lint-surface/types.mjs').LintContext} ctx контекст лінту.
+ * @returns {import('../../../scripts/lib/lint-surface/types.mjs').LintResult} результат із порушеннями
+ */
+export function lint(ctx) {
+  const reporter = createViolationReporter(ctx)
+  const { fail } = reporter
+  const cwd = ctx.cwd
+
+  const prepared = preparePythonRun(ctx, fail, 'mypy')
+  if (!prepared) return reporter.result()
+  const { uv, targets } = prepared
+
+  const r = spawnSync(uv, ['run', '--frozen', 'mypy', ...targets], { cwd, encoding: 'utf8', shell: false })
+  if (r.status !== 0) {
+    const code = typeof r.status === 'number' ? r.status : 1
+    const out = `${r.stdout ?? ''}${r.stderr ?? ''}`.trim().slice(0, 2000)
+    const outSuffix = out ? `\n${out}` : ''
+    fail(`lint-python: mypy — помилка (код ${code}, python.mdc)${outSuffix}`, 'mypy-violation')
+  }
+
+  return reporter.result()
+}

package/rules/python/project/concern.json

@@ -0,0 +1,6 @@
+{
+  "$schema": "https://unpkg.com/@7n/rules/schemas/concern.json",
+  "lint": {
+    "scope": "full"
+  }
+}

package/rules/python/project/docs/main.md

@@ -0,0 +1,43 @@
+---
+type: JS Module
+title: main.mjs
+resource: npm/rules/python/project/main.mjs
+docgen:
+  crc: b47f2997
+  model: omlx/gemma-4-e4b-it-OptiQ-4bit
+  tier: local-min
+  score: 100
+  judgeModel: openai-codex/gpt-5.4-mini
+---
+
+## Огляд
+
+Огляд
+Цей детектор забезпечує перевірку цілісності оточення Python на рівні всього проекту. Він діагностує відповідність файлів блокування та ліцензій, виконуючи аудит на основі повного набору залежностей, а не лише змін у межах дельти.
+
+Поведінка
+Система перевіряє наявність файлу `pyproject.toml` у робочому каталозі; відсутність файлу призводить до успішного завершення.
+Визначає виконуваний файл `uv`; у разі відсутності він повідомляє про це (python.mdc).
+Виконує аудит цілісності файлу блокування за допомогою `uv lock --check`. Виявлені порушення фіксуються (python.mdc), і виконання негайно припиняється.
+Виконує збірку оточення через `uv sync --frozen`. Будь-які помилки фіксуються (python.mdc), зупиняючи процес.
+Сканує ліцензії усіх залежностей за допомогою `pip-licenses`. Якщо інструмент недоступний, перевірка пропускається. При помилці інструменту фіксується порушення (python.mdc). Якщо знайдено пакети, ліцензії яких не відповідають критеріям Blue Oak Bronze+, фіксується порушення (python.mdc) із переліком відповідних пакетів.
+Процес роботи є read-only, він не змінює файлової системи чи бази даних. Усі помилки перехоплюються з механізмом fail-safe, і винятки назовні не генеруються. На етапі виконання жодного кешування не відбувається.
+
+## Поведінка
+
+Поведінка:
+1. Перевіряє наявність файлу `pyproject.toml` у робочому каталозі. Якщо його немає, операція завершується успішно.
+2. Знаходить виконуваний файл `uv`. Якщо він не знайдений, операція завершується з повідомленням про відсутність `uv` (python.mdc).
+3. Виконує перевірку цілісності блокування за допомогою `uv lock --check`. Якщо виникає помилка, фіксує порушення (python.mdc) та завершує роботу.
+4. Виконує збірку оточення за допомогою `uv sync --frozen`. Якщо виникає помилка, фіксує порушення (python.mdc) та завершує роботу.
+5. Виконує перевірку ліцензій залежностей за допомогою `pip-licenses`. Якщо інструмент недоступний, перевірка пропускається. Якщо виникає помилка виконання, фіксує порушення (python.mdc). Якщо знайдено пакети з ліцензіями, що не відповідають критеріям Blue Oak Bronze+, фіксує порушення (python.mdc), перелічуючи знахідки.
+6. Повертає результат виконання перевірок.
+
+## Публічний API
+
+lint — знаходить проблеми в коді Python для даного проєкту.
+
+## Гарантії поведінки
+
+- Read-only: не виконує операцій запису (ФС/БД).
+- Перехоплює помилки і не пропускає винятків назовні (fail-safe).

package/rules/python/project/main.mjs

@@ -0,0 +1,115 @@
+/**
+ * lint-поверхня python/project: read-only detector (`uv lock --check` + `uv sync --frozen` +
+ * `pip-licenses`), перейменовано з колишнього bundled `python/check` (spec
+ * docs/specs/2026-07-02-text-check-per-file-split-design.md §5-A). `full`, без `lint.glob` —
+ * lockfile-аудит і ліцензійна перевірка project-wide за природою, не входять у delta-план
+ * (§5): спрацьовують лише через `n-rules lint --full` або scoped `n-rules lint python`.
+ */
+import { spawnSync } from 'node:child_process'
+import { existsSync } from 'node:fs'
+import { join } from 'node:path'
+
+import { createViolationReporter } from '../../../scripts/lib/lint-surface/violation-reporter.mjs'
+import { resolveCmd } from '../../../scripts/utils/resolve-cmd.mjs'
+import { getBronzeAndAbove, isSpdxAllowed } from '../../../scripts/lib/blue-oak.mjs'
+
+/**
+ * @param {string} label назва кроку.
+ * @param {string} cmd команда для запуску.
+ * @param {string[]} args аргументи команди.
+ * @param {string} cwd робочий каталог.
+ * @param {(msg: string, reason: string) => void} fail колбек реєстрації порушення.
+ * @param {string} reason машиночитна причина порушення.
+ * @returns {boolean} true якщо OK
+ */
+function runTool(label, cmd, args, cwd, fail, reason) {
+  const r = spawnSync(cmd, args, { cwd, encoding: 'utf8', shell: false })
+  if (r.status === 0) return true
+  const code = typeof r.status === 'number' ? r.status : 1
+  const out = `${r.stdout ?? ''}${r.stderr ?? ''}`.trim().slice(0, 2000)
+  const outSuffix = out ? `\n${out}` : ''
+  fail(`lint-python: ${label} — помилка (код ${code}, python.mdc)${outSuffix}`, reason)
+  return false
+}
+
+/**
+ * @param {string} uv шлях до бінарника uv.
+ * @param {string} tool ім'я інструменту в uv-середовищі.
+ * @returns {boolean} true якщо інструмент доступний
+ */
+function uvToolAvailable(uv, tool) {
+  const r = spawnSync(uv, ['run', '--frozen', tool, '--version'], { stdio: 'ignore', shell: false })
+  return r.status === 0
+}
+
+/**
+ * Перевірка ліцензій залежностей через pip-licenses (read-only).
+ * @param {string} uv шлях до бінарника uv.
+ * @param {string} cwd робочий каталог.
+ * @param {(msg: string, reason: string) => void} fail колбек реєстрації порушення.
+ * @returns {boolean} true якщо OK / пропущено
+ */
+function checkPipLicenses(uv, cwd, fail) {
+  if (!uvToolAvailable(uv, 'pip-licenses')) return true // недоступний → пропущено
+  const r = spawnSync(uv, ['run', '--frozen', 'pip-licenses', '--from=mixed', '--format=spdx-json'], {
+    cwd,
+    encoding: 'utf8',
+    shell: false
+  })
+  if (r.status !== 0) {
+    fail('lint-python: pip-licenses — помилка виконання', 'pip-licenses-error')
+    return false
+  }
+  const allowed = getBronzeAndAbove()
+  let doc
+  try {
+    doc = JSON.parse(r.stdout)
+  } catch {
+    doc = null
+  }
+  const packages = doc?.packages ?? []
+  const violations = packages.filter(pkg => {
+    const lic = pkg.licenseDeclared ?? pkg.licenseConcluded ?? 'NOASSERTION'
+    return !isSpdxAllowed(lic, allowed)
+  })
+  if (violations.length > 0) {
+    const list = violations
+      .map(
+        pkg =>
+          `  ✗ ${pkg.name}@${pkg.versionInfo ?? '?'}: ${pkg.licenseDeclared ?? pkg.licenseConcluded ?? 'NOASSERTION'}`
+      )
+      .join('\n')
+    fail(
+      `lint-python: pip-licenses — ${violations.length} пакет(ів) поза Blue Oak Bronze+ (python.mdc)\n${list}`,
+      'license-violation'
+    )
+    return false
+  }
+  return true
+}
+
+/**
+ * Detector python/project (read-only).
+ * @param {import('../../../scripts/lib/lint-surface/types.mjs').LintContext} ctx контекст лінту.
+ * @returns {import('../../../scripts/lib/lint-surface/types.mjs').LintResult} результат із порушеннями
+ */
+export function lint(ctx) {
+  const reporter = createViolationReporter(ctx)
+  const { fail } = reporter
+  const cwd = ctx.cwd
+
+  if (!existsSync(join(cwd, 'pyproject.toml'))) return reporter.result()
+
+  const uv = resolveCmd('uv')
+  if (!uv) {
+    fail('lint-python: `uv` не знайдено в PATH (потрібен при наявному pyproject.toml, python.mdc)', 'uv-missing')
+    return reporter.result()
+  }
+
+  if (!runTool('uv lock --check', uv, ['lock', '--check'], cwd, fail, 'uv-lock-violation')) return reporter.result()
+  if (!runTool('uv sync --frozen', uv, ['sync', '--frozen'], cwd, fail, 'uv-sync-violation')) return reporter.result()
+
+  checkPipLicenses(uv, cwd, fail)
+
+  return reporter.result()
+}

package/rules/python/pyproject_toml/concern.json

@@ -0,0 +1,9 @@
+{
+  "$schema": "https://unpkg.com/@7n/rules/schemas/concern.json",
+  "fixability": "config",
+  "policy": {
+    "files": {
+      "single": "pyproject.toml"
+    }
+  }
+}

package/rules/python/pyproject_toml/pyproject_toml.mdc

@@ -0,0 +1,13 @@
+## Rego-gate: перевірка `pyproject.toml`
+
+Rego-пакет: `python.pyproject_toml`
+
+Цільовий файл: `pyproject.toml`
+
+Дві групи правил:
+
+**1. Заборона Poetry** — перевіряє заборонені під-таблиці `[tool.*]` за deny-template (drift-safe через `--data template`): [pyproject.toml.deny.toml](./template/pyproject.toml.deny.toml)
+
+**2. PEP 621** — `[project].name` і `[project].version` мають бути непорожніми рядками.
+
+Канонічний цільовий вигляд: [pyproject.toml.snippet.toml](./template/pyproject.toml.snippet.toml)

package/rules/python/pyproject_toml/pyproject_toml.rego

@@ -0,0 +1,53 @@
+# Перевірка `pyproject.toml` (python.mdc).
+#
+# Канон надходить через --data: { "template": { "deny": ... } }
+# Структура --data сформована з template/pyproject.toml.deny.toml.
+# FS-перевірки (`poetry.lock`, `poetry.toml`, `uv.lock`, `package.json`) — у JS.
+#
+# Дві групи правил:
+#   1. Заборона Poetry — `[tool.poetry]` (та інші заборонені під-таблиці `tool`)
+#      керується deny-template, drift-safe.
+#   2. PEP 621 — `[project].name` і `[project].version` обовʼязкові (структурна
+#      вимога без канонічного літералу, тому inline).
+package python.pyproject_toml
+
+import rego.v1
+
+# ── Заборона Poetry (deny-template керує переліком) ──────────────────────────
+
+deny contains msg if {
+	some key, reason in object.get(data.template.deny, "tool", {})
+	key in object.keys(object.get(input, "tool", {}))
+	msg := sprintf("pyproject.toml: [tool.%s] — %s", [key, reason])
+}
+
+# ── PEP 621: обовʼязкові [project].* ─────────────────────────────────────────
+
+deny contains msg if {
+	not project_field_set("name")
+	msg := "pyproject.toml: відсутній [project].name (PEP 621 — мігруй з [tool.poetry], python.mdc)"
+}
+
+deny contains msg if {
+	not project_field_set("version")
+	msg := "pyproject.toml: відсутній статичний [project].version (PEP 621, python.mdc)"
+}
+
+deny contains msg if {
+	not project_field_set("requires-python")
+	msg := "pyproject.toml: відсутній [project].requires-python (наприклад '>=3.12') (PEP 621, python.mdc)"
+}
+
+deny contains msg if {
+	not project_key_exists("dependencies")
+	msg := "pyproject.toml: відсутній [project].dependencies (навіть порожній список `[]`) (PEP 621, python.mdc)"
+}
+
+project_field_set(key) if {
+	value := object.get(object.get(input, "project", {}), key, "")
+	value != ""
+}
+
+project_key_exists(key) if {
+	key in object.keys(object.get(input, "project", {}))
+}

package/rules/python/pyproject_toml/template/pyproject.toml.deny.toml

@@ -0,0 +1,2 @@
+[tool]
+poetry = "Poetry заборонено: мігруй на uv + PEP 621 [project] (python.mdc)"

package/rules/python/pyproject_toml/template/pyproject.toml.snippet.toml

@@ -0,0 +1,12 @@
+# Канонічний цільовий вигляд після міграції з Poetry на uv (PEP 621).
+# Метадані — у [project] (а не [tool.poetry]); dev-залежності додавай через
+# `uv add --dev <pkg>` (uv тримає їх у [dependency-groups].dev або [tool.uv]).
+[project]
+name = "your-package"
+version = "0.1.0"
+requires-python = ">=3.12"
+dependencies = []
+
+[build-system]
+requires = ["hatchling"]
+build-backend = "hatchling.build"

package/rules/python/ruff/concern.json

@@ -0,0 +1,7 @@
+{
+  "$schema": "https://unpkg.com/@7n/rules/schemas/concern.json",
+  "lint": {
+    "scope": "per-file",
+    "glob": ["**/*.py"]
+  }
+}

package/rules/python/ruff/docs/fix-ruff.md

@@ -0,0 +1,34 @@
+---
+type: JS Module
+title: fix-ruff.mjs
+resource: npm/rules/python/ruff/fix-ruff.mjs
+docgen:
+  crc: c2dc5eb6
+  model: omlx/gemma-4-e4b-it-OptiQ-4bit
+  tier: local-min
+  score: 100
+  issues: judge:inaccurate:0.99
+  judgeModel: openai-codex/gpt-5.4-mini
+---
+
+## Огляд
+
+T0-autofix для `python/ruff` забезпечує детерміновані виправлення та форматування файлів проєкту (`ruff check --fix` та `ruff format`), якщо інструмент `uv` доступний. Його призначення — стандартизувати код, порівнюючи зміни, внесені через автоматичні інструменти, з початковим вмістом.
+
+## Поведінка
+
+Поведінка
+1. Перевіряє, чи доступна команда `uv`. Якщо ні, жодних дій не виконує.
+2. Визначає список усіх файлів `.py` у проєкті, використовуючи інструмент `git`.
+3. Зберігає поточний вміст усіх знайдених `.py` файлів.
+4. Виконує команду `ruff check --fix` у всіх файлах проєкту, щоб автоматично виправити порушення.
+5. Виконує команду `ruff format` у всіх файлах проєкту, щоб застосувати стандарт форматування.
+6. Порівнює поточний вміст файлів із вмістом до виправлення.
+7. Якщо вміст файлу змінився, цей файл позначається як змінений.
+8. Якщо були змінені файли, результат повідомляється, а ці файли реєструються як змінені.
+
+## Гарантії поведінки
+
+- Read-only: не виконує операцій запису (ФС/БД).
+- Перехоплює помилки і не пропускає винятків назовні (fail-safe).
+- За певних помилок повертає порожнє значення (напр. `null`) замість винятку.

package/rules/python/ruff/docs/main.md

@@ -0,0 +1,35 @@
+---
+type: JS Module
+title: main.mjs
+resource: npm/rules/python/ruff/main.mjs
+docgen:
+  crc: 00e5708a
+  model: omlx/gemma-4-e4b-it-OptiQ-4bit
+  score: 100
+  issues: judge:inaccurate:0.98
+  judgeModel: openai-codex/gpt-5.4-mini
+---
+
+## Огляд
+
+Цей детектор працює у **read-only** режимі та здійснює перевірку форматування та синтаксису Python-коду в заданому робочому каталозі. Він використовує `ruff` (зокрема, `ruff check` та `ruff format --check`) через `uv run --frozen` для аналізу цільових файлів, гарантуючи відповідність коду правилам, визначеним у `pyproject.toml`. Детектор аналізує наданий набір файлів (`ctx.files`) або весь проєкт (`.`), використовуючи транзитивне підвантаження імпортованих модулів для коректної перевірки. Результат містить зареєстровані порушення, виявлені під час перевірки.
+
+## Поведінка
+
+1. Якщо у робочому каталозі відсутній файл `pyproject.toml`, обробка припиняється.
+2. Визначаються цільові файли для аналізу: або наданий список файлів, або всі файли у робочому каталозі з розширенням `.py`.
+3. Якщо цільових файлів немає, обробка припиняється.
+4. Перевіряється доступність бінарника `uv` у системному шляху. Якщо його немає, реєстрація порушення про помилку з `uv` і обробка припиняється.
+5. Перевіряється доступність інструменту `ruff` у середовищі `uv`. Якщо він недоступний, обробка припиняється.
+6. Викликається `lint` для виконання перевірки синтаксису та логіки за допомогою `ruff check` для всіх цільових файлів.
+7. Якщо `ruff check` завершується з помилкою, це фіксується як порушення.
+8. Викликається `lint` для перевірки форматування коду за допомогою `ruff format --check` для всіх цільових файлів.
+9. Результат аналізу повертається з зареєстрованими порушеннями.
+
+## Публічний API
+
+lint — виявляє проблеми у коді за допомогою парсера python/ruff (только читання).
+
+## Гарантії поведінки
+
+- Read-only: не виконує операцій запису (ФС/БД).

package/rules/python/ruff/fix-ruff.mjs

@@ -0,0 +1,63 @@
+/**
+ * T0-autofix для `python/ruff` — детерміновані `ruff check --fix` + `ruff format` (через
+ * `uv run --frozen`), перенесено з колишнього `python/check/fix-check.mjs`
+ * (spec docs/specs/2026-07-02-text-check-per-file-split-design.md "Рішення python/php/rego").
+ * Відсутній `uv` → no-op.
+ */
+import { spawnSync } from 'node:child_process'
+import { readFileSync } from 'node:fs'
+import { resolve } from 'node:path'
+
+import { resolveCmd } from '../../../scripts/utils/resolve-cmd.mjs'
+
+/**
+ * Вміст файлу або null, якщо не читається.
+ * @param {string} abs абсолютний шлях
+ * @returns {string|null} вміст або null
+ */
+function readOrNull(abs) {
+  try {
+    return readFileSync(abs, 'utf8')
+  } catch {
+    return null
+  }
+}
+
+/**
+ * Tracked *.py файли проєкту (через git).
+ * @param {string} cwd корінь
+ * @returns {string[]} posix-relative шляхи
+ */
+function listPyFiles(cwd) {
+  const r = spawnSync('git', ['ls-files', '-z', '--', '*.py'], { cwd, encoding: 'utf8' })
+  if (r.status !== 0) return []
+  return (r.stdout ?? '').split('\0').filter(Boolean)
+}
+
+/** @type {import('../../../scripts/lib/lint-surface/types.mjs').T0Pattern[]} */
+export const patterns = [
+  {
+    id: 'python-ruff-fix',
+    standalone: true, // §8 Phase 2: ruff check --fix + format самі ре-аналізують, test() не потрібен
+    test: violations =>
+      violations.some(v => v.reason === 'ruff-check-violation' || v.reason === 'ruff-format-violation'),
+    apply: (violations, ctx) => {
+      const uv = resolveCmd('uv')
+      if (!uv) return { touchedFiles: [] }
+      const files = listPyFiles(ctx.cwd)
+      if (files.length === 0) return { touchedFiles: [] }
+
+      const abs = files.map(f => resolve(ctx.cwd, f))
+      const before = new Map(abs.map(a => [a, readOrNull(a)]))
+      const opts = { cwd: ctx.cwd, encoding: 'utf8', shell: false }
+      spawnSync(uv, ['run', '--frozen', 'ruff', 'check', '--fix', '.'], opts)
+      spawnSync(uv, ['run', '--frozen', 'ruff', 'format', '.'], opts)
+
+      const touchedFiles = abs.filter(a => readOrNull(a) !== before.get(a))
+      for (const a of touchedFiles) ctx.recordWrite?.(a)
+      return touchedFiles.length > 0
+        ? { touchedFiles, message: `ruff check --fix + format: ${touchedFiles.length} файл(ів)` }
+        : { touchedFiles: [] }
+    }
+  }
+]