@7n/rules 1.0.0

package/rules/security/scan/docs/main.md

@@ -0,0 +1,32 @@
+---
+type: JS Module
+title: main.mjs
+resource: npm/rules/security/scan/main.mjs
+docgen:
+  crc: 254fe129
+  model: omlx/gemma-4-e4b-it-OptiQ-4bit
+  score: 100
+  issues: judge:inaccurate:0.98
+  judgeModel: openai-codex/gpt-5.4-mini
+---
+
+## Огляд
+
+Публічна функція `lint` перевіряє код на наявність потенційно небезпечних витоків даних, використовуючи `trufflehog` з ігноруванням файлів, зазначених у `.trufflehog-exclude`. Функція ідентифікує як підтверджені, так і невідомі секрети. Успішне виконання (код 0) означає відсутність порушень; код помилки повідомляє про виявлені викриття.
+
+## Поведінка
+
+1. Викликається `lint` для виконання сканування всієї директорії репозиторію на наявність секретних даних.
+2. Сканування здійснюється за допомогою інструменту `trufflehog` із виключенням файлів, зазначених у `.trufflehog-exclude`.
+3. Виконуються перевірки секретів, які були підтверджені або невідомі.
+4. Процес завершується з кодом, який вказує на відсутність секретів (0) або наявність порушень (інший код).
+
+## Публічний API
+
+lint — проводить перевірку якості коду на поверхні.
+security: trufflehog — сканує весь репозиторій на наявність секретів.
+filesystem — здійснює сканування всієї файлової системи репозиторію.
+
+## Гарантії поведінки
+
+- Read-only: не виконує операцій запису (ФС/БД).

package/rules/security/scan/main.mjs

@@ -0,0 +1,48 @@
+/**
+ * lint-поверхня security/scan: read-only detector секретів (`trufflehog` filesystem скан
+ * усього репо). Фіксу немає — детектор лише сигналить про знайдені секрети.
+ */
+import { spawnSync } from 'node:child_process'
+
+import { createViolationReporter } from '../../../scripts/lib/lint-surface/violation-reporter.mjs'
+import { resolveCmd } from '../../../scripts/utils/resolve-cmd.mjs'
+
+/**
+ * Detector security/scan: trufflehog filesystem скан (read-only). Якщо бінарника немає —
+ * скан пропускається (як і раніше при відсутності інструмента).
+ * @param {import('../../../scripts/lib/lint-surface/types.mjs').LintContext} ctx контекст lint-прогону
+ * @returns {import('../../../scripts/lib/lint-surface/types.mjs').LintResult} результат detector-а
+ */
+export function lint(ctx) {
+  const reporter = createViolationReporter(ctx)
+  const { fail } = reporter
+  const cwd = ctx.cwd
+
+  const trufflehog = resolveCmd('trufflehog')
+  if (!trufflehog) {
+    return {
+      violations: [],
+      diagnostics: [{ level: 'info', message: 'security/scan: `trufflehog` не знайдено в PATH — скан пропущено' }]
+    }
+  }
+
+  const r = spawnSync(
+    trufflehog,
+    [
+      'filesystem',
+      '.',
+      '--no-update',
+      '--exclude-paths',
+      '.trufflehog-exclude',
+      '--results=verified,unknown',
+      '--fail'
+    ],
+    { cwd, encoding: 'utf8', shell: false }
+  )
+  if (r.status !== 0) {
+    const out = `${r.stdout ?? ''}${r.stderr ?? ''}`.trim().slice(0, 4000)
+    const outSuffix = out ? `\n${out}` : ''
+    fail(`security/scan: trufflehog знайшов секрети (код ${r.status})${outSuffix}`, 'secret-found')
+  }
+  return reporter.result()
+}

package/rules/security/todo.MD

@@ -0,0 +1,27 @@
+# TODO:
+
+## semgrep --config p/kubernetes
+
+p/security-audit
+
+p/secrets
+
+p/nodejs
+
+p/javascript
+
+p/typescript
+
+p/docker
+
+p/kubernetes
+
+## Trivy
+Найцінніша частина Trivy
+
+НЕ image scanning. А:
+
+
+config scanning
++
+Kubernetes scanning

package/rules/security/trufflehog/concern.json

@@ -0,0 +1,4 @@
+{
+  "$schema": "https://unpkg.com/@7n/rules/schemas/concern.json",
+  "lint": { "scope": "full" }
+}

package/rules/security/trufflehog/docs/index.md

@@ -0,0 +1,11 @@
+---
+type: Directory Index
+title: npm/rules/security/trufflehog
+resource: npm/rules/security/trufflehog/
+---
+
+# npm/rules/security/trufflehog
+
+| Файл                | Тип       |
+| ------------------- | --------- |
+| [main.mjs](main.md) | JS Module |

package/rules/security/trufflehog/docs/main.md

@@ -0,0 +1,28 @@
+---
+type: JS Module
+title: main.mjs
+resource: npm/rules/security/trufflehog/main.mjs
+docgen:
+  crc: 036cad7b
+  model: omlx/gemma-4-e4b-it-OptiQ-4bit
+  score: 100
+  issues: judge:inaccurate:0.98
+  judgeModel: openai-codex/gpt-5.4-mini
+---
+
+## Огляд
+
+Відповідає за перевірку конфігурацій безпеки репозиторію, використовуючи логіку з `security.mdc`. Код ґрунтується на даних з `package.json`, порівнюючи наявність та відповідність необхідних конфігураційних файлів заданому канону. Виводить помилки у разі виявлення невідповідностей.
+
+## Поведінка
+
+1. Перевіряє наявність файлу `package.json` у корені репозиторію. Якщо файл відсутній, повідомляє про це, згадуючи, що структуру перевіряє Rego, і виходить із кодом відмови.
+2. Перевіряє наявність файлу `.trufflehog-exclude` у корені репозиторію. Якщо файл відсутній, повідомляє про це, згадуючи, що необхідно додати конфігурацію за каноном, і виходить із кодом відмови.
+3. Зчитує вміст файлу `.trufflehog-exclude` та шаблон з файлу `.trufflehog-exclude.snippet.txt` (що знаходиться у директорії шаблонів).
+4. Порівнює вміст `.trufflehog-exclude` з шаблоном, перевіряючи відповідність паттернів. Для кожного знайденого збігу повідомляє про помилку, згадуючи маркер (security.mdc).
+5. Якщо збігів не знайдено, підтверджує, що `.trufflehog-exclude` містить канонічні паттерни.
+6. Повертає фінальний exit-код перевірки.
+
+## Гарантії поведінки
+
+- Read-only: не виконує операцій запису (ФС/БД).

package/rules/security/trufflehog/main.mjs

@@ -0,0 +1,45 @@
+/** @see ./docs/trufflehog.md */
+import { existsSync } from 'node:fs'
+import { readFile } from 'node:fs/promises'
+import { dirname, join } from 'node:path'
+import { fileURLToPath } from 'node:url'
+
+import { createViolationReporter } from '../../../scripts/lib/lint-surface/violation-reporter.mjs'
+import { checkTextSubset } from '../../../scripts/lib/template.mjs'
+
+const HERE = dirname(fileURLToPath(import.meta.url))
+const SNIPPET_PATH = join(HERE, 'templates', 'trufflehog', '.trufflehog-exclude.snippet.txt')
+
+/**
+ * Перевіряє наявність і канонічний вміст `.trufflehog-exclude` у корені проєкту.
+ * @param {import('../../../scripts/lib/lint-surface/types.mjs').LintContext} ctx контекст лінту (cwd, репортер).
+ * @returns {Promise<import('../../../scripts/lib/lint-surface/types.mjs').LintResult>} результат перевірки з pass/fail.
+ */
+export async function lint(ctx) {
+  const cwd = ctx.cwd
+  const reporter = createViolationReporter(ctx)
+  const { pass, fail } = reporter
+
+  if (!existsSync(join(cwd, 'package.json'))) {
+    fail('package.json не знайдено в корені — додай (security.mdc)')
+    return reporter.result()
+  }
+  pass('package.json є (структуру перевіряє Rego)')
+
+  const trufflePath = join(cwd, '.trufflehog-exclude')
+  if (!existsSync(trufflePath)) {
+    fail('.trufflehog-exclude не знайдено в корені — додай за каноном (security.mdc)')
+    return reporter.result()
+  }
+
+  const actual = await readFile(trufflePath, 'utf8')
+  const template = await readFile(SNIPPET_PATH, 'utf8')
+  const errors = checkTextSubset(actual, template, {
+    targetPath: '.trufflehog-exclude',
+    source: 'security.mdc'
+  })
+  for (const msg of errors) fail(msg)
+  if (errors.length === 0) pass('.trufflehog-exclude містить канонічні patterns')
+
+  return reporter.result()
+}

package/rules/security/trufflehog/templates/trufflehog/.trufflehog-exclude.snippet.txt

@@ -0,0 +1,6 @@
+(^|/)node_modules(/|$)
+(^|/)\.git(/|$)
+(^|/)dist(/|$)
+(^|/)build(/|$)
+.*\.lock$
+.*fixtures?/.*

package/rules/security/trufflehog/trufflehog.mdc

@@ -0,0 +1,21 @@
+## TruffleHog — налаштування та `.trufflehog-exclude`
+
+[TruffleHog](https://github.com/trufflesecurity/trufflehog) — глобальний CLI (як `shellcheck`, `conftest`); **не** додавай до `dependencies`/`devDependencies`.
+
+Скан запускається через `n-rules lint security` (CI — `n-rules lint security --no-fix`); окремого `lint-*` скрипта в `package.json` немає.
+
+### Ключові прапори запуску
+
+- `trufflehog filesystem .` — сканує робоче дерево як директорію (включно з untracked/gitignored файлами); підкоманда `git file://.` лишається на CI для аудиту історії.
+- `--no-update` — вимикає self-update check (CI-friendly).
+- `--exclude-paths .trufflehog-exclude` — файл з regex-patterns, які треба пропускати (аналог `[allowlist].paths` із gitleaks).
+- `--results=verified,unknown` — показує лише верифіковані секрети + ті, що TruffleHog не зміг перевірити (`unverified` дублікат відсіюється).
+- `--fail` — exit-code `183` за наявності знахідок (щоб лінт падав).
+
+### `.trufflehog-exclude` (рекомендована основа)
+
+Канон (допускає розширення): [.trufflehog-exclude.snippet.txt](./templates/trufflehog/.trufflehog-exclude.snippet.txt)
+
+**Важливо:** один regex-pattern на рядок, без TOML-обгортки; коментарі починаються з `#`.
+
+Перевірка (JS): `js/trufflehog.mjs` — впевнюється, що файл `.trufflehog-exclude` існує в корені й містить канонічні шаблони.

package/rules/style/docs/index.md

@@ -0,0 +1,11 @@
+---
+type: Directory Index
+title: npm/rules/style
+resource: npm/rules/style/
+---
+
+# npm/rules/style
+
+| Файл                | Тип       |
+| ------------------- | --------- |
+| [main.mjs](main.md) | JS Module |

package/rules/style/lint/concern.json

@@ -0,0 +1,7 @@
+{
+  "$schema": "https://unpkg.com/@7n/rules/schemas/concern.json",
+  "lint": {
+    "scope": "per-file",
+    "glob": ["**/*.{css,scss,vue}"]
+  }
+}

package/rules/style/lint/docs/fix-lint.md

@@ -0,0 +1,29 @@
+---
+type: JS Module
+title: fix-lint.mjs
+resource: npm/rules/style/lint/fix-lint.mjs
+docgen:
+  crc: ef3a0112
+---
+
+## Огляд
+
+T0-autofix для `style/lint`: детермінований прогін `stylelint --fix` по css/scss/vue-файлах.
+Виправляє авто-fixable правила stylelint; решта лишається детектору на re-check, далі — LLM-ладдеру.
+Запис незворотний (поза rollback).
+
+## Поведінка
+
+- Перелічує цільові файли: у дельта-режимі — зі списку змінених (лише css/scss/vue); у повному —
+  tracked css/scss/vue через git.
+- Застосовує `stylelint --fix` на них; до списку змінених потрапляють лише файли з фактичною зміною.
+
+## Публічний API
+
+- `patterns` — масив T0-патернів; єдиний `style-stylelint-fix` спрацьовує на агрегованому
+  порушенні детектора (`stylelint-violation`).
+
+## Гарантії поведінки
+
+- Відсутній stylelint → no-op (без змін).
+- Записуються лише фактично змінені файли; кожен реєструється через `recordWrite`.

package/rules/style/lint/docs/index.md

@@ -0,0 +1,11 @@
+---
+type: Directory Index
+title: npm/rules/style/lint
+resource: npm/rules/style/lint/
+---
+
+# npm/rules/style/lint
+
+| Файл                | Тип       |
+| ------------------- | --------- |
+| [main.mjs](main.md) | JS Module |

package/rules/style/lint/docs/main.md

@@ -0,0 +1,29 @@
+---
+type: JS Module
+title: main.mjs
+resource: npm/rules/style/lint/main.mjs
+docgen:
+  crc: fe57567b
+  model: omlx/gemma-4-e4b-it-OptiQ-4bit
+  score: 100
+  issues: judge:inaccurate:0.99
+  judgeModel: openai-codex/gpt-5.4-mini
+---
+
+## Огляд
+
+Файл відповідає за вибірку стильових файлів у проекті, що реалізується через функцію `filterStyleFiles`. Він також забезпечує валідацію якості коду в цих файлах шляхом виконання перевірок, що реалізується функцією `lint`.
+
+## Поведінка
+
+filterStyleFiles відбирає з наданого списку шляхів лише ті, які мають розширення CSS, SCSS або Vue.
+lint виконує форматування та перевірку стильових файлів у проекті, застосовуючи автоматичне виправлення, якщо це не режим лише для читання.
+
+## Публічний API
+
+filterStyleFiles — Відбирає файли стилів для подальшої обробки.
+lint — Перевіряє стилі у файлах (CSS/SCSS/Vue) окремо для кожного або для всього проєкту.
+
+## Гарантії поведінки
+
+- Read-only: не виконує операцій запису (ФС/БД).

package/rules/style/lint/fix-lint.mjs

@@ -0,0 +1,66 @@
+/** @see ./docs/fix-lint.md */
+
+/**
+ * T0-autofix для `style/lint` — детермінований прогін `stylelint --fix` по css/scss/vue.
+ * Детектор емітить агрегований `stylelint-violation` без переліку файлів, тож фіксер
+ * самостійно перелічує цільові файли (ctx.files у дельті або tracked css/scss/vue у повному
+ * режимі), форматує їх і повертає лише фактично змінені. Запис permanent. Відсутній
+ * stylelint → no-op.
+ */
+import { spawnSync } from 'node:child_process'
+import { readFileSync } from 'node:fs'
+import { resolve } from 'node:path'
+
+import { filterStyleFiles, resolveStylelint } from './main.mjs'
+
+/**
+ * Вміст файлу або null, якщо не читається.
+ * @param {string} abs абсолютний шлях
+ * @returns {string|null} вміст або null
+ */
+function readOrNull(abs) {
+  try {
+    return readFileSync(abs, 'utf8')
+  } catch {
+    return null
+  }
+}
+
+/**
+ * Перелік цільових style-файлів: у дельті — з ctx.files; у повному режимі — tracked
+ * css/scss/vue через `git ls-files`.
+ * @param {string} cwd корінь
+ * @param {string[]|undefined} ctxFiles файли з контексту (дельта) або undefined (повний режим)
+ * @returns {string[]} posix-relative шляхи
+ */
+function listStyleFiles(cwd, ctxFiles) {
+  if (ctxFiles !== undefined) return filterStyleFiles(ctxFiles)
+  const r = spawnSync('git', ['ls-files', '-z', '--', '*.css', '*.scss', '*.vue'], { cwd, encoding: 'utf8' })
+  if (r.status !== 0) return []
+  return (r.stdout ?? '').split('\0').filter(Boolean)
+}
+
+/** @type {import('../../../scripts/lib/lint-surface/types.mjs').T0Pattern[]} */
+export const patterns = [
+  {
+    id: 'style-stylelint-fix',
+    standalone: true, // §8 Phase 2: apply бере ctx.files (не violations), stylelint --fix сам ре-аналізує
+    test: violations => violations.some(v => v.reason === 'stylelint-violation'),
+    apply: (violations, ctx) => {
+      const stylelint = resolveStylelint(ctx.cwd)
+      if (!stylelint) return { touchedFiles: [] }
+      const files = listStyleFiles(ctx.cwd, ctx.files)
+      if (files.length === 0) return { touchedFiles: [] }
+
+      const abs = files.map(f => resolve(ctx.cwd, f))
+      const before = new Map(abs.map(a => [a, readOrNull(a)]))
+      spawnSync(stylelint, ['--fix', ...files], { cwd: ctx.cwd, encoding: 'utf8' })
+
+      const touchedFiles = abs.filter(a => readOrNull(a) !== before.get(a))
+      for (const a of touchedFiles) ctx.recordWrite?.(a)
+      return touchedFiles.length > 0
+        ? { touchedFiles, message: `stylelint --fix: ${touchedFiles.length} файл(ів)` }
+        : { touchedFiles: [] }
+    }
+  }
+]

package/rules/style/lint/main.mjs

@@ -0,0 +1,68 @@
+/**
+ * lint-поверхня style: read-only detector (stylelint без --fix) для css/scss/vue.
+ * Per-file (ctx.files) або весь проєкт (ctx.files === undefined). Якщо stylelint
+ * недоступний — крок пропускається (без npx-автовстановлення).
+ */
+import { spawnSync } from 'node:child_process'
+import { existsSync } from 'node:fs'
+import { join } from 'node:path'
+
+import { createViolationReporter } from '../../../scripts/lib/lint-surface/violation-reporter.mjs'
+import { resolveCmd } from '../../../scripts/utils/resolve-cmd.mjs'
+
+const STYLE_EXT_RE = /\.(?:css|scss|vue)$/u
+
+/**
+ * @param {string[]} files список шляхів
+ * @returns {string[]} лише css/scss/vue
+ */
+export function filterStyleFiles(files) {
+  return files.filter(f => STYLE_EXT_RE.test(f))
+}
+
+/**
+ * Резолвить бінарник stylelint: спершу локальний node_modules/.bin, потім PATH.
+ * @param {string} cwd корінь
+ * @returns {string | null} абсолютний шлях або null
+ */
+export function resolveStylelint(cwd) {
+  const local = join(cwd, 'node_modules', '.bin', 'stylelint')
+  if (existsSync(local)) return local
+  return resolveCmd('stylelint')
+}
+
+/**
+ * Detector style/lint (read-only).
+ * @param {import('../../../scripts/lib/lint-surface/types.mjs').LintContext} ctx контекст lint-прогону (cwd, files)
+ * @returns {import('../../../scripts/lib/lint-surface/types.mjs').LintResult} результат зі зібраними violations
+ */
+export function lint(ctx) {
+  const reporter = createViolationReporter(ctx)
+  const { fail } = reporter
+  const cwd = ctx.cwd
+  const files = ctx.files
+
+  /** @type {string[]} */
+  const targets = []
+  if (files === undefined) {
+    targets.push('**/*.{css,scss,vue}')
+  } else {
+    const style = filterStyleFiles(files)
+    if (style.length === 0) return reporter.result()
+    targets.push(...style)
+  }
+
+  const stylelint = resolveStylelint(cwd)
+  if (!stylelint) {
+    // stylelint недоступний → крок пропущено (без автовстановлення)
+    return reporter.result()
+  }
+
+  const r = spawnSync(stylelint, targets, { cwd, encoding: 'utf8', shell: false })
+  if (r.status !== 0) {
+    const out = `${r.stdout ?? ''}${r.stderr ?? ''}`.trim().slice(0, 2000)
+    const outSuffix = out ? `\n${out}` : ''
+    fail(`lint-style: stylelint — порушення (код ${r.status ?? 1}, style.mdc)${outSuffix}`, 'stylelint-violation')
+  }
+  return reporter.result()
+}

package/rules/style/lint_style_yml/concern.json

@@ -0,0 +1,9 @@
+{
+  "$schema": "https://unpkg.com/@7n/rules/schemas/concern.json",
+  "fixability": "config",
+  "policy": {
+    "files": {
+      "single": ".github/workflows/lint-style.yml"
+    }
+  }
+}

package/rules/style/lint_style_yml/lint_style_yml.mdc

@@ -0,0 +1,13 @@
+## GitHub Actions workflow: lint-style.yml
+
+Rego-пакет: `style_lint.lint_style_yml`
+
+Цільовий файл: `.github/workflows/lint-style.yml`
+
+Перевіряє, що у workflow є крок `run`, який містить команду `n-rules lint style --no-fix` (substring-match по всіх кроках усіх jobs). Канонічний текст береться з template через `--data`.
+
+Канонічний template: [lint-style.yml.snippet.yml](./template/lint-style.yml.snippet.yml)
+
+**✓ Правильно** — крок `run: n-rules lint style --no-fix` присутній у jobs.stylelint.steps.
+
+**✗ Неправильно** — крок відсутній або містить лише `echo nothing` / `npx stylelint` без канонічного рядка.

package/rules/style/lint_style_yml/lint_style_yml.rego

@@ -0,0 +1,38 @@
+# Перевірка `lint-style.yml` (style.mdc).
+#
+# Канон надходить через --data: { "template": { "snippet": ... } }
+# Структура --data сформована з template/lint-style.yml.snippet.yml.
+# Маркер `run:` (npx stylelint substring) збирається з template's stylelint-job steps.
+# Універсальні workflow-перевірки — у `ga.workflow_common`.
+package style.lint_style_yml
+
+import rego.v1
+
+expected_run_blob := concat("\n", [r |
+	some step in data.template.snippet.jobs.stylelint.steps
+	r := object.get(step, "run", "")
+	r != ""
+])
+
+all_run_text := concat("\n", [run_text |
+	some job in object.get(input, "jobs", {})
+	some step in object.get(job, "steps", [])
+	run_text := step_run_to_text(step)
+])
+
+deny contains msg if {
+	expected_run_blob != ""
+	not contains(all_run_text, expected_run_blob)
+	msg := sprintf("lint-style.yml: жоден крок run не містить %q (style.mdc)", [expected_run_blob])
+}
+
+deny contains msg if {
+	contains(all_run_text, "bunx stylelint")
+	msg := "lint-style.yml: знайдено bunx stylelint — використовуй n-rules lint style --no-fix (style.mdc)"
+}
+
+step_run_to_text(step) := step.run if is_string(step.run)
+
+else := concat("\n", [s | some s in step.run]) if is_array(step.run)
+
+else := ""

package/rules/style/lint_style_yml/template/lint-style.yml.snippet.yml

@@ -0,0 +1,39 @@
+name: StyleLint
+
+on:
+  push:
+    branches:
+      - dev
+      - main
+    paths:
+      - '**/*.css'
+      - '**/*.scss'
+      - '**/*.vue'
+
+  pull_request:
+    branches:
+      - dev
+      - main
+    paths:
+      - '**/*.css'
+      - '**/*.scss'
+      - '**/*.vue'
+
+concurrency:
+  group: ${{ github.ref }}-${{ github.workflow }}
+  cancel-in-progress: true
+
+jobs:
+  stylelint:
+    runs-on: ubuntu-latest
+    permissions:
+      contents: read
+    steps:
+      - uses: actions/checkout@v6
+        with:
+          persist-credentials: false
+
+      - uses: ./.github/actions/setup-bun-deps
+
+      - name: StyleLint
+        run: bunx n-rules lint style --no-fix

package/rules/style/main.json

@@ -0,0 +1 @@
+{ "auto": { "glob": ["**/*.css", "**/*.vue"] } }

package/rules/style/main.mdc

@@ -0,0 +1,13 @@
+---
+description: Правила стилів CSS та SCSS
+version: '1.5'
+globs: "**/*.{css,scss,vue}"
+alwaysApply: false
+---
+
+Правило **style** для Vue-проєктів: Quasar як стильова система, SCSS-конвенції кольорів і відступів, фікси компонентів, stylelint через `@nitra/stylelint-config`.
+
+- [settings.json.snippet.json](./vscode_settings/template/settings.json.snippet.json)
+- [lint-style.yml.snippet.yml](./lint_style_yml/template/lint-style.yml.snippet.yml)
+- [extensions.json.snippet.json](./vscode_extensions/template/extensions.json.snippet.json)
+- [package.json.snippet.json](./package_json/template/package.json.snippet.json)

package/rules/style/package_json/concern.json

@@ -0,0 +1,9 @@
+{
+  "$schema": "https://unpkg.com/@7n/rules/schemas/concern.json",
+  "fixability": "config",
+  "policy": {
+    "files": {
+      "single": "package.json"
+    }
+  }
+}

package/rules/style/package_json/package_json.mdc

@@ -0,0 +1,18 @@
+## package.json: stylelint-конфіг та devDependencies
+
+Rego-пакет: `style_lint.package_json`
+
+Цільовий файл: `package.json`
+
+Дві незалежні перевірки:
+
+1. **snippet-walker** — якщо поле `stylelint` присутнє у `package.json`, перевіряє `stylelint.extends == "@nitra/stylelint-config"` (2-рівневий обхід через template).
+2. **presence-check** — `@nitra/stylelint-config` має бути у `devDependencies` (ця перевірка завжди активна, не залежить від template).
+
+FS-альтернативи (`.stylelintrc.*` файли) та `.stylelintignore` перевіряються у JS, не в Rego.
+
+Канонічний template: [package.json.snippet.json](./template/package.json.snippet.json)
+
+**✓ Правильно** — `devDependencies` містить `@nitra/stylelint-config`; якщо є поле `stylelint` — `extends` дорівнює `"@nitra/stylelint-config"`.
+
+**✗ Неправильно** — відсутній `@nitra/stylelint-config` у `devDependencies`; або поле `stylelint.extends` має інше значення.

package/rules/style/package_json/package_json.rego

@@ -0,0 +1,31 @@
+# Порт перевірок `package.json` (style.mdc).
+#
+# Канон надходить через --data: { "template": { "contains": ..., "snippet": ... } }
+# Структура --data сформована з template/package.json.{contains,snippet}.json.
+# FS-альтернативи (`.stylelintrc.*` файли) + `.stylelintignore` — у JS.
+#
+# Логіка, що ЛИШАЄТЬСЯ у rego (inverse — не виноситься у template):
+#  - `@nitra/stylelint-config` має бути у devDependencies (presence-check).
+package style.package_json
+
+import rego.v1
+
+# ── deny: 2-level snippet walker (для stylelint.extends, якщо поле є) ────
+
+deny contains msg if {
+	some section, expected_inner in data.template.snippet
+	cfg := object.get(input, section, null)
+	is_object(cfg)
+	some leaf_key, expected_value in expected_inner
+	actual := object.get(cfg, leaf_key, null)
+	actual != expected_value
+	msg := sprintf("package.json: %s.%s має бути %q (style.mdc)", [section, leaf_key, expected_value])
+}
+
+# ── deny: @nitra/stylelint-config у devDependencies (inverse) ────────────
+
+deny contains msg if {
+	dev := object.get(input, "devDependencies", {})
+	not "@nitra/stylelint-config" in object.keys(dev)
+	msg := "@nitra/stylelint-config відсутній — bun add -d @nitra/stylelint-config (style.mdc)"
+}

package/rules/style/package_json/template/package.json.snippet.json

@@ -0,0 +1,5 @@
+{
+  "stylelint": {
+    "extends": "@nitra/stylelint-config"
+  }
+}