@7n/rules 1.0.0

package/rules/python/ruff/main.mjs

@@ -0,0 +1,52 @@
+/**
+ * lint-поверхня python/ruff: read-only detector (`ruff check` + `ruff format --check`, через
+ * `uv run --frozen`). Per-file: приймає `ctx.files`, інакше `.` (весь проєкт). Виділено з
+ * колишнього bundled `python/check` (spec docs/specs/2026-07-02-text-check-per-file-split-design.md
+ * "Рішення python/php/rego") — ruff сам транзитивно підвантажує імпортовані модулі
+ * (follow-imports), тож коректний і на підмножині переданих файлів.
+ */
+import { spawnSync } from 'node:child_process'
+
+import { createViolationReporter } from '../../../scripts/lib/lint-surface/violation-reporter.mjs'
+import { preparePythonRun } from '../lib/uv-run.mjs'
+
+/**
+ * @param {string} label назва кроку.
+ * @param {string} uv шлях до бінарника uv.
+ * @param {string[]} args аргументи ruff (без `uv run --frozen ruff`-префіксу).
+ * @param {string} cwd робочий каталог.
+ * @param {(msg: string, opts: object) => void} fail колбек реєстрації порушення.
+ * @param {string} reason машиночитна причина порушення.
+ * @returns {boolean} true якщо OK
+ */
+function runRuffStep(label, uv, args, cwd, fail, reason) {
+  const r = spawnSync(uv, ['run', '--frozen', 'ruff', ...args], { cwd, encoding: 'utf8', shell: false })
+  if (r.status === 0) return true
+  const code = typeof r.status === 'number' ? r.status : 1
+  const out = `${r.stdout ?? ''}${r.stderr ?? ''}`.trim().slice(0, 2000)
+  const outSuffix = out ? `\n${out}` : ''
+  fail(`lint-python: ${label} — помилка (код ${code}, python.mdc)${outSuffix}`, reason)
+  return false
+}
+
+/**
+ * Detector python/ruff (read-only).
+ * @param {import('../../../scripts/lib/lint-surface/types.mjs').LintContext} ctx контекст лінту.
+ * @returns {import('../../../scripts/lib/lint-surface/types.mjs').LintResult} результат із порушеннями
+ */
+export function lint(ctx) {
+  const reporter = createViolationReporter(ctx)
+  const { fail } = reporter
+  const cwd = ctx.cwd
+
+  const prepared = preparePythonRun(ctx, fail, 'ruff')
+  if (!prepared) return reporter.result()
+  const { uv, targets } = prepared
+
+  if (!runRuffStep('ruff check', uv, ['check', ...targets], cwd, fail, 'ruff-check-violation')) {
+    return reporter.result()
+  }
+  runRuffStep('ruff format --check', uv, ['format', '--check', ...targets], cwd, fail, 'ruff-format-violation')
+
+  return reporter.result()
+}

package/rules/python/tooling/concern.json

@@ -0,0 +1,15 @@
+{
+  "$schema": "https://unpkg.com/@7n/rules/schemas/concern.json",
+  "fixability": "config",
+  "lint": {
+    "scope": "full",
+    "glob": [
+      "pyproject.toml",
+      "uv.lock",
+      "poetry.lock",
+      "poetry.toml",
+      "package.json",
+      ".github/workflows/lint-python.yml"
+    ]
+  }
+}

package/rules/python/tooling/docs/index.md

@@ -0,0 +1,11 @@
+---
+type: Directory Index
+title: npm/rules/python/tooling
+resource: npm/rules/python/tooling/
+---
+
+# npm/rules/python/tooling
+
+| Файл                | Тип       |
+| ------------------- | --------- |
+| [main.mjs](main.md) | JS Module |

package/rules/python/tooling/docs/main.md

@@ -0,0 +1,35 @@
+---
+type: JS Module
+title: main.mjs
+resource: npm/rules/python/tooling/main.mjs
+docgen:
+  crc: c46acc00
+  model: omlx/gemma-4-e4b-it-OptiQ-4bit
+  score: 90
+  issues: surzhik,judge:inaccurate:0.98
+  judgeModel: openai-codex/gpt-5.4-mini
+---
+
+## Огляд
+
+Цей файл відповідає за перевірку відповідності проєкту встановленим правилам, визначеним у `python.mdc`. Він підтверджує наявність ключових конфігураційних файлів, зокрема `package.json`, що визначає залежності проекту. Дозволена функціональність обмежена лише читанням файлової системи та бази даних; жодних операцій запису в ці ресурси не виконується. Основна логіка роботи реалізована у публічній функції `main`.
+
+## Поведінка
+
+main виявляє відповідність проєкту правилам (python.mdc) за наявності необхідних файлів та конфігурацій.
+
+1. Перевіряє наявність `pyproject.toml` у корені.
+2. Перевіряє наявність `uv.lock`, повідомляючи про необхідність його генерації, якщо він відсутній.
+3. Перевіряє відсутність артефактів Poetry (`poetry.lock`, `poetry.toml`), оскільки підтримується лише `uv` (python.mdc).
+4. Перевіряє наявність `package.json` у корені.
+5. Перевіряє наявність файлу робочого процесу `.github/workflows/lint-python.yml`, необхідного для відповідності (python.mdc).
+   Не перевіряє шляхи, що містять `.github` або `.git`.
+
+## Публічний API
+
+main — перевіряє, чи відповідає проєкт вимогам, визначеним у правилах `python.mdc`.
+
+## Гарантії поведінки
+
+- Read-only: не виконує операцій запису (ФС/БД).
+- Свідомо пропускає шляхи: `.github`, `.git`.

package/rules/python/tooling/main.mjs

@@ -0,0 +1,50 @@
+/** @see ./docs/tooling.md */
+import { existsSync } from 'node:fs'
+import { join } from 'node:path'
+
+import { createViolationReporter } from '../../../scripts/lib/lint-surface/violation-reporter.mjs'
+
+/**
+ * Перевіряє відповідність проєкту правилам python.mdc.
+ * @param {import('../../../scripts/lib/lint-surface/types.mjs').LintContext} ctx контекст лінту.
+ * @returns {Promise<import('../../../scripts/lib/lint-surface/types.mjs').LintResult>} результат із порушеннями
+ */
+export function lint(ctx) {
+  const cwd = ctx.cwd
+  const reporter = createViolationReporter(ctx)
+  const { pass, fail } = reporter
+
+  if (!existsSync(join(cwd, 'pyproject.toml'))) {
+    return Promise.resolve(reporter.result())
+  }
+
+  if (existsSync(join(cwd, 'uv.lock'))) {
+    pass('uv.lock є')
+  } else {
+    fail('uv.lock не знайдено — згенеруй `uv lock` (python.mdc, без Poetry)')
+  }
+
+  // Poetry-артефакти заборонені: uv є єдиним пакет-менеджером (python.mdc).
+  for (const poetryFile of ['poetry.lock', 'poetry.toml']) {
+    if (existsSync(join(cwd, poetryFile))) {
+      fail(`${poetryFile} знайдено — прибери Poetry, мігруй на uv (python.mdc)`)
+    } else {
+      pass(`${poetryFile} відсутній`)
+    }
+  }
+
+  if (existsSync(join(cwd, 'package.json'))) {
+    pass('package.json є')
+  } else {
+    fail('package.json не знайдено в корені — додай (python.mdc)')
+  }
+
+  const wfPath = '.github/workflows/lint-python.yml'
+  if (existsSync(join(cwd, wfPath))) {
+    pass(`${wfPath} є (структуру перевіряє fix → python.lint_python_yml)`)
+  } else {
+    fail(`${wfPath} не існує — створи згідно python.mdc`)
+  }
+
+  return Promise.resolve(reporter.result())
+}

package/rules/python/tooling/tooling.mdc

@@ -0,0 +1,23 @@
+## Перевірка наявності uv-toolchain і відсутності Poetry
+
+JS-перевірка (`js/tooling.mjs`) запускається, якщо в корені репо є `pyproject.toml`. Перевіряє:
+
+- `uv.lock` — має існувати (зафіксувати командою `uv lock`);
+- `poetry.lock` / `poetry.toml` — мають **бути відсутніми** (Poetry заборонено);
+- `package.json` — має бути у корені (js-обгортка lint є частиною монорепо);
+- `.github/workflows/lint-python.yml` — має існувати (структуру перевіряє Rego-полісі `python.lint_python_yml`).
+
+Якщо `pyproject.toml` відсутній — перевірка пропускається з кодом 0 (проєкт не Python).
+
+## lint-python: JS-скрипт-обгортка
+
+Інструменти uv-екосистеми не мають єдиного CLI-обходу репо, тому python-лінт делегується у JS-скрипт-обгортку. Запуск — через **`n-rules lint python`** (CI — `--no-fix`); окремого `package.json`-скрипта немає.
+
+Скрипт `rules/python/lint/lint.mjs`:
+
+- якщо `pyproject.toml` у корені відсутній — вихід 0 (перевірка пропущена);
+- якщо `pyproject.toml` є, але `uv` не знайдено в PATH — це помилка;
+- `uv lock --check` і `uv sync --frozen` — обовʼязкові;
+- `uv run ruff check --fix .` + `uv run ruff format .` — auto-fix (мутують робоче дерево, як `markdownlint-cli2 --fix` у lint-text);
+- `uv run mypy .` — статична перевірка типів;
+- усі `ruff`/`mypy`-кроки запускаються лише якщо інструмент доступний у середовищі (інакше крок пропускається з повідомленням).

package/rules/rego/conftest_verify/concern.json

@@ -0,0 +1,6 @@
+{
+  "$schema": "https://unpkg.com/@7n/rules/schemas/concern.json",
+  "lint": {
+    "scope": "full"
+  }
+}

package/rules/rego/conftest_verify/docs/main.md

@@ -0,0 +1,31 @@
+---
+type: JS Module
+title: main.mjs
+resource: npm/rules/rego/conftest_verify/main.mjs
+docgen:
+  crc: 2ef485ea
+  model: omlx/gemma-4-e4b-it-OptiQ-4bit
+  tier: local-min
+  score: 100
+  judgeModel: openai-codex/gpt-5.4-mini
+---
+
+## Огляд
+
+Виконує `conftest verify` (read-only detector) для верифікації Rego-правил. Механізм контролює відповідність правил на рівні всього каталогу `npm/rules`, оскільки це повний запуск, який не входить до delta-плану і спрацьовує лише через `n-rules lint --full` або цільовий `n-rules lint rego`.
+
+## Поведінка
+
+1. Визначається директорія, яка є коренем проєкту.
+2. Перевіряється наявність цільових папок, які відповідають `npm/rules`.
+3. Якщо цільові папки знайдені та інструмент `conftest` доступний, виконується команда `conftest verify` для усіх цільових папок.
+4. Якщо `conftest verify` повертає ненульовий код, реєструється вимога на виправлення з деталями помилки.
+5. Якщо команда успішна або папки не знайдено або `conftest` відсутній, повертається фінальний звіт про перевірку.
+
+## Публічний API
+
+lint — перевіряє на відповідність статичних аналізів (rego/conftest\_verify).
+
+## Гарантії поведінки
+
+- Read-only: не виконує операцій запису (ФС/БД).

package/rules/rego/conftest_verify/main.mjs

@@ -0,0 +1,55 @@
+/**
+ * lint-поверхня rego/conftest_verify: read-only detector (`conftest verify`), перейменовано з
+ * колишнього bundled `rego/check` (spec docs/specs/2026-07-02-text-check-per-file-split-design.md
+ * §5-A). `full`, без `lint.glob` — verify виконує rego-тести, які часто крос-package
+ * (`import data.<pkg>`), тож коректний лише на всьому `npm/rules`. Не входить у delta-план
+ * (§5): спрацьовує лише через `n-rules lint --full` або scoped `n-rules lint rego`.
+ */
+import { resolve } from 'node:path'
+import { existsSync } from 'node:fs'
+import { spawnSync } from 'node:child_process'
+
+import { resolveCmd } from '../../../scripts/utils/resolve-cmd.mjs'
+import { createViolationReporter } from '../../../scripts/lib/lint-surface/violation-reporter.mjs'
+
+const LINT_TARGETS = ['npm/rules']
+
+/**
+ * Запускає один крок зовнішнього тула, повертає { status, output }.
+ * @param {string} bin абсолютний шлях до бінарника
+ * @param {string[]} args аргументи
+ * @param {string} cwd робоча директорія
+ * @returns {{ status: number, output: string }} код завершення й обрізаний stdout+stderr
+ */
+function runStep(bin, args, cwd) {
+  const result = spawnSync(bin, args, { cwd, encoding: 'utf8', env: process.env, shell: false })
+  if (result.error) {
+    return { status: 1, output: `Не вдалося запустити ${bin}: ${result.error.message}` }
+  }
+  const output = `${result.stdout ?? ''}${result.stderr ?? ''}`.trim().slice(0, 2000)
+  return { status: result.status ?? 1, output }
+}
+
+/**
+ * Detector rego/conftest_verify (read-only).
+ * @param {import('../../../scripts/lib/lint-surface/types.mjs').LintContext} ctx контекст lint-прогону.
+ * @returns {import('../../../scripts/lib/lint-surface/types.mjs').LintResult} результат зі зібраними violations
+ */
+export function lint(ctx) {
+  const reporter = createViolationReporter(ctx)
+  const { fail } = reporter
+  const root = resolve(ctx.cwd)
+
+  const targets = LINT_TARGETS.filter(rel => existsSync(resolve(root, rel)))
+  if (targets.length === 0) return reporter.result()
+
+  const conftest = resolveCmd('conftest')
+  if (!conftest) return reporter.result() // conftest відсутній → пропускаємо verify (старий код повертав 0)
+
+  const verifyRes = runStep(conftest, ['verify', ...targets.flatMap(t => ['-p', t])], root)
+  if (verifyRes.status !== 0) {
+    const verifySuffix = verifyRes.output ? `\n${verifyRes.output}` : ''
+    fail(`lint-rego: conftest verify — помилка (код ${verifyRes.status})${verifySuffix}`, 'conftest-verify-violation')
+  }
+  return reporter.result()
+}

package/rules/rego/docs/index.md

@@ -0,0 +1,11 @@
+---
+type: Directory Index
+title: npm/rules/rego
+resource: npm/rules/rego/
+---
+
+# npm/rules/rego
+
+| Файл                | Тип       |
+| ------------------- | --------- |
+| [main.mjs](main.md) | JS Module |

package/rules/rego/lib/docs/index.md

@@ -0,0 +1,9 @@
+---
+type: Directory Index
+title: npm/rules/rego/lib
+resource: npm/rules/rego/lib/
+---
+
+| Файл                                          | Тип       |
+| --------------------------------------------- | --------- |
+| [run-external-tool.mjs](run-external-tool.md) | JS Module |

package/rules/rego/lib/docs/run-external-tool.md

@@ -0,0 +1,36 @@
+---
+type: JS Module
+title: run-external-tool.mjs
+resource: npm/rules/rego/lib/run-external-tool.mjs
+docgen:
+  crc: 298f9908
+  model: openai-codex/gpt-5.4-mini
+  tier: cloud-min
+  score: 100
+  issues: judge:inaccurate:0.99
+  judgeModel: openai-codex/gpt-5.4-mini
+---
+
+## Огляд
+
+Файл потрібен як спільна логіка для `opa_check` і `regal`: він вирівнює вибір цілей для обох read-only rego-детекторів — або конкретні `.rego` з `ctx.files`, або весь policy-корінь `npm/rules`, коли явних файлів немає. `FULL_TARGET="npm/rules"` — константа для спільного кореня policy-дерева. Також тут зосереджені `resolveTargets` і `runStep`, щоб обидва `main.mjs` мали однаковий контракт поведінки під час запуску зовнішнього кроку та обробки його завершення.
+
+## Поведінка
+
+- `FULL_TARGET` — рядок `"npm/rules"`, що задає корінь policy-дерева для full-режиму, коли немає `ctx.files`.
+- `REGO_EXT_RE` — фільтр для вибору лише `.rego`-файлів із delta-списку.
+- `resolveTargets` — повертає цілі для запуску: або конкретні `.rego`-файли з `ctx.files`, або `FULL_TARGET`, якщо корінь існує; інакше повертає порожній список.
+- `runStep` — запускає один зовнішній крок і повертає код завершення разом із обрізаним об’єднаним виводом stdout/stderr; якщо запуск не вдався, повертає помилку як output.
+
+## Публічний API
+
+- FULL_TARGET — рядок `npm/rules`, який позначає корінь policy-дерева для full-режиму, якщо він є.
+- REGO_EXT_RE — фільтр для вибору лише `.rego`-файлів із delta-списку під час `lint`.
+- resolveTargets — визначає, що саме запускати: змінені `.rego`-файли або корінь policy-дерева в full-режимі, якщо він присутній.
+- runStep — виконує один крок зовнішнього tool і повертає його `status` та `output`.
+
+## Гарантії поведінки
+
+- Read-only: не виконує операцій запису (ФС/БД).
+
+**Сусідній policy-файл для тестів.** У delta-режимі `resolveTargets` для кожного `X_test.rego` додає наявний сусідній `X.rego`: тест-файл імпортує свій policy-пакет, і без нього regal хибно флагує `unresolved-import`.

package/rules/rego/lib/run-external-tool.mjs

@@ -0,0 +1,53 @@
+/**
+ * Спільна логіка для read-only rego-детекторів (`opa_check`, `regal`) — обидва per-file:
+ * приймають `ctx.files` (конкретні `.rego`), інакше `FULL_TARGET` (весь policy-корінь, якщо
+ * існує). Виділено зі спільного дубльованого коду (jscpd) обох `main.mjs`.
+ */
+import { existsSync } from 'node:fs'
+import { resolve } from 'node:path'
+import { spawnSync } from 'node:child_process'
+
+/** Full-режим (ctx.files undefined): корінь policy-дерева, якщо існує. */
+export const FULL_TARGET = 'npm/rules'
+
+/** Розширення `.rego` — фільтр delta-списку файлів у `lint(ctx)`. */
+export const REGO_EXT_RE = /\.rego$/u
+
+/** Суфікс тест-файлу — для виводу сусіднього policy-файла в delta-цілях. */
+const TEST_SUFFIX_RE = /_test\.rego$/u
+
+/**
+ * Цілі для прогону: delta-список `.rego`-файлів, або (full-режим) корінь policy-дерева,
+ * якщо він існує.
+ * @param {string[]|undefined} files `ctx.files` (undefined — full-режим).
+ * @param {string} root абсолютний корінь репозиторію.
+ * @returns {string[]} цілі для CLI-аргументів інструменту (можливо порожній список).
+ */
+export function resolveTargets(files, root) {
+  if (files === undefined) return existsSync(resolve(root, FULL_TARGET)) ? [FULL_TARGET] : []
+  const rego = files.filter(f => REGO_EXT_RE.test(f))
+  // `X_test.rego` імпортує сусідній `X.rego`: без нього regal флагує unresolved-import,
+  // тож до delta-цілей додаємо наявний сусідній policy-файл.
+  const out = new Set(rego)
+  for (const f of rego) {
+    const sibling = f.replace(TEST_SUFFIX_RE, '.rego')
+    if (sibling !== f && existsSync(resolve(root, sibling))) out.add(sibling)
+  }
+  return [...out]
+}
+
+/**
+ * Запускає один крок зовнішнього тула, повертає { status, output }.
+ * @param {string} bin абсолютний шлях до бінарника
+ * @param {string[]} args аргументи
+ * @param {string} cwd робоча директорія
+ * @returns {{ status: number, output: string }} код завершення й обрізаний stdout+stderr
+ */
+export function runStep(bin, args, cwd) {
+  const result = spawnSync(bin, args, { cwd, encoding: 'utf8', env: process.env, shell: false })
+  if (result.error) {
+    return { status: 1, output: `Не вдалося запустити ${bin}: ${result.error.message}` }
+  }
+  const output = `${result.stdout ?? ''}${result.stderr ?? ''}`.trim().slice(0, 2000)
+  return { status: result.status ?? 1, output }
+}

package/rules/rego/main.json

@@ -0,0 +1 @@
+{ "auto": { "glob": "**/*.rego" } }

package/rules/rego/main.mdc

@@ -0,0 +1,20 @@
+---
+description: Opa, Rego — інструментарій (VS Code, opa/regal)
+version: '1.1'
+globs: "**/*.rego"
+alwaysApply: false
+---
+
+# Rego (opa)
+
+Синтаксичні правила (`rego.v1`, `import rego.v1`, заборона legacy v0) — у `conftest.mdc` (alwaysApply). Цей файл — про **інструментарій**: VS Code, лінтери, форматування.
+
+## Швидкий gate через conftest
+
+| Пакет | Ціль | Що перевіряє |
+|---|---|---|
+| `rego.vscode_extensions` | `.vscode/extensions.json` | `recommendations` містить `tsandall.opa` |
+| `rego.vscode_settings` | `.vscode/settings.json` | `[rego]`-блок з `defaultFormatter` + `formatOnSave` |
+
+- [settings.json.snippet.json](./vscode_settings/template/settings.json.snippet.json)
+- [extensions.json.snippet.json](./vscode_extensions/template/extensions.json.snippet.json)

package/rules/rego/opa_check/concern.json

@@ -0,0 +1,7 @@
+{
+  "$schema": "https://unpkg.com/@7n/rules/schemas/concern.json",
+  "lint": {
+    "scope": "per-file",
+    "glob": ["**/*.rego"]
+  }
+}

package/rules/rego/opa_check/docs/main.md

@@ -0,0 +1,32 @@
+---
+type: JS Module
+title: main.mjs
+resource: npm/rules/rego/opa_check/main.mjs
+docgen:
+  crc: e2f54bd8
+  model: omlx/gemma-4-e4b-it-OptiQ-4bit
+  score: 100
+  issues: judge:inaccurate:0.96
+  judgeModel: openai-codex/gpt-5.4-mini
+---
+
+## Огляд
+
+Поверхня лінтингу Rego (`rego/opa_check`) виконує читання конфігурацій політик OPA за допомогою `opa check --strict`. Для детекції політик працює у read-only режимі, не вносячи змін до файлової системи чи баз даних. При прийомі конфігурації приймає конкретний перелік `.rego` файлів через `ctx.files`, або, за відсутності цього, аналізує весь кореневий каталог `npm/rules`. Функція `lint` забезпечує перевірку синтаксично та стилістично незалежної від сусідніх файлів політики.
+
+## Поведінка
+
+1. Викликає функцію `lint`, яка перевіряє на відповідність специфікаціям Rego/OPA.
+2. Якщо контекст не вказує конкретних файлів, перевіряється весь каталог політик, якщо він існує.
+3. Якщо контекст вказує конкретні файли, перевіряються лише файли з розширенням `.rego`.
+4. Запускається зовнішній інструмент `opa` з аргументами `check --strict` для вибраних файлів або каталогу політик.
+5. Якщо `opa` завершується з кодом, що не дорівнює нулю, реєструється помилка, пов'язана з `opa check --strict`, включаючи вивід інструменту.
+6. У всіх випадках повертається результат перевірки.
+
+## Публічний API
+
+lint — Виявляє порушення у коді на основі правил rego/opa_check (тільки для читання).
+
+## Гарантії поведінки
+
+- Read-only: не виконує операцій запису (ФС/БД).

package/rules/rego/opa_check/main.mjs

@@ -0,0 +1,34 @@
+/**
+ * lint-поверхня rego/opa_check: read-only detector (`opa check --strict`). Per-file: приймає
+ * `ctx.files` (конкретні `.rego`), інакше `npm/rules` (весь policy-корінь, якщо існує) —
+ * контракт як у інших per-file detector-ів. Виділено з колишнього bundled `rego/check` (spec
+ * docs/specs/2026-07-02-text-check-per-file-split-design.md "Рішення python/php/rego") —
+ * `opa check` синтаксично/стилістично per-file-безпечний (не потребує сусідніх файлів).
+ */
+import { resolve } from 'node:path'
+
+import { ensureTool } from '../../../scripts/lib/ensure-tool.mjs'
+import { createViolationReporter } from '../../../scripts/lib/lint-surface/violation-reporter.mjs'
+import { resolveTargets, runStep } from '../lib/run-external-tool.mjs'
+
+/**
+ * Detector rego/opa_check (read-only).
+ * @param {import('../../../scripts/lib/lint-surface/types.mjs').LintContext} ctx контекст lint-прогону.
+ * @returns {import('../../../scripts/lib/lint-surface/types.mjs').LintResult} результат зі зібраними violations
+ */
+export function lint(ctx) {
+  const reporter = createViolationReporter(ctx)
+  const { fail } = reporter
+  const root = resolve(ctx.cwd)
+
+  const targets = resolveTargets(ctx.files, root)
+  if (targets.length === 0) return reporter.result()
+
+  const opa = ensureTool('opa')
+  const opaRes = runStep(opa, ['check', '--strict', ...targets], root)
+  if (opaRes.status !== 0) {
+    const opaSuffix = opaRes.output ? `\n${opaRes.output}` : ''
+    fail(`lint-rego: opa check --strict — помилка (код ${opaRes.status})${opaSuffix}`, 'opa-check-violation')
+  }
+  return reporter.result()
+}

package/rules/rego/package_json/concern.json

@@ -0,0 +1,10 @@
+{
+  "$schema": "https://unpkg.com/@7n/rules/schemas/concern.json",
+  "fixability": "config",
+  "policy": {
+    "files": {
+      "single": "package.json",
+      "required": false
+    }
+  }
+}

package/rules/rego/package_json/package_json.mdc

@@ -0,0 +1,12 @@
+## Rego-gate: `opa` та `regal` заборонені у `package.json`
+
+Rego-пакет: `rego.package_json`
+
+Цільовий файл: `package.json`
+
+`opa` і `regal` — це CLI-тули Rego-екосистеми. Вони **не є npm-пакетами** і **не додаються** у `dependencies`, `devDependencies` або `peerDependencies`. Їх встановлюють:
+
+- **локально** — через [Homebrew](https://brew.sh/) / системний пакетний менеджер або вручну в PATH;
+- **у CI** — через крок з GitHub-action або аналог.
+
+Gate видає deny, якщо `opa` або `regal` з'являється у будь-якій секції залежностей `package.json`.

package/rules/rego/package_json/package_json.rego

@@ -0,0 +1,21 @@
+# Перевірка `package.json` (rego.mdc / rego-lint.mdc).
+#
+# `opa` і `regal` не додаються у dependencies / devDependencies — вони мають бути
+# лише у PATH (встановлені глобально або через CI-крок). Rego-лінт запускається
+# через `n-rules lint rego`, а не через package.json-залежності.
+package rego.package_json
+
+import rego.v1
+
+banned_opa_tools := {"opa", "regal"}
+
+deny contains msg if {
+	some field in {"dependencies", "devDependencies", "peerDependencies"}
+	deps := object.get(input, field, {})
+	some name, _ in deps
+	name in banned_opa_tools
+	msg := sprintf(
+		"package.json: %s.%s заборонений — opa/regal встановлюються глобально або через CI, не через npm (rego.mdc)",
+		[field, name],
+	)
+}

package/rules/rego/regal/concern.json

@@ -0,0 +1,7 @@
+{
+  "$schema": "https://unpkg.com/@7n/rules/schemas/concern.json",
+  "lint": {
+    "scope": "per-file",
+    "glob": ["**/*.rego"]
+  }
+}

package/rules/rego/regal/docs/index.md

@@ -0,0 +1,11 @@
+---
+type: Directory Index
+title: npm/rules/rego/regal
+resource: npm/rules/rego/regal/
+---
+
+# npm/rules/rego/regal
+
+| Файл                | Тип       |
+| ------------------- | --------- |
+| [main.mjs](main.md) | JS Module |

package/rules/rego/regal/docs/main.md

@@ -0,0 +1,32 @@
+---
+type: JS Module
+title: main.mjs
+resource: npm/rules/rego/regal/main.mjs
+docgen:
+  crc: c628819a
+  model: omlx/gemma-4-e4b-it-OptiQ-4bit
+  score: 100
+  issues: judge:inaccurate:0.96
+  judgeModel: openai-codex/gpt-5.4-mini
+---
+
+## Огляд
+
+Файл, що реалізує `regal lint`, є інструментом, який виконує read-only детекцію стилю для файлів Rego. Він аналізує або весь корінь політик, визначений у `npm/rules`, або наданий список окремих файлів `.rego` через `ctx.files`. Функціонал `regal lint` є per-file-безпечним, тобто його робота не залежить від сусідніх файлів. Він звіряє стилістичну консистентність Rego-політик за допомогою цього інструменту.
+
+## Поведінка
+
+1. Викликається функція `lint` з контекстом.
+2. Визначаються цілі для перевірки: або весь корінь policy-дерева в `npm/rules` (якщо він існує), або список конкретних файлів `.rego` з контексту.
+3. Якщо цілі відсутні, перевірка не виконується.
+4. Запускається зовнішній інструмент `regal` з командою `lint` та списком визначених цілей.
+5. Якщо інструмент `regal` завершується з кодом, що не дорівнює нулю, фіксується помилка, пов'язана з виконанням `regal lint`.
+6. У випадку успішного виконання, результат перевірки збирається та повертається.
+
+## Публічний API
+
+lint — шукає порушення правил у коді, використовуючи двигун rego/regal, без внесення змін.
+
+## Гарантії поведінки
+
+- Read-only: не виконує операцій запису (ФС/БД).

package/rules/rego/regal/main.mjs

@@ -0,0 +1,34 @@
+/**
+ * lint-поверхня rego/regal: read-only detector (`regal lint`). Per-file: приймає `ctx.files`
+ * (конкретні `.rego`), інакше `npm/rules` (весь policy-корінь, якщо існує). Виділено з
+ * колишнього bundled `rego/check` (spec
+ * docs/specs/2026-07-02-text-check-per-file-split-design.md "Рішення python/php/rego") —
+ * `regal lint` стилістично per-file-безпечний (не потребує сусідніх файлів).
+ */
+import { resolve } from 'node:path'
+
+import { ensureTool } from '../../../scripts/lib/ensure-tool.mjs'
+import { createViolationReporter } from '../../../scripts/lib/lint-surface/violation-reporter.mjs'
+import { resolveTargets, runStep } from '../lib/run-external-tool.mjs'
+
+/**
+ * Detector rego/regal (read-only).
+ * @param {import('../../../scripts/lib/lint-surface/types.mjs').LintContext} ctx контекст lint-прогону.
+ * @returns {import('../../../scripts/lib/lint-surface/types.mjs').LintResult} результат зі зібраними violations
+ */
+export function lint(ctx) {
+  const reporter = createViolationReporter(ctx)
+  const { fail } = reporter
+  const root = resolve(ctx.cwd)
+
+  const targets = resolveTargets(ctx.files, root)
+  if (targets.length === 0) return reporter.result()
+
+  const regal = ensureTool('regal')
+  const regalRes = runStep(regal, ['lint', ...targets], root)
+  if (regalRes.status !== 0) {
+    const regalSuffix = regalRes.output ? `\n${regalRes.output}` : ''
+    fail(`lint-rego: regal lint — помилка (код ${regalRes.status})${regalSuffix}`, 'regal-lint-violation')
+  }
+  return reporter.result()
+}