@7n/rules 1.0.0

package/rules/tauri/release/main.mjs

@@ -0,0 +1,315 @@
+/** @see ./docs/release.md */
+import { existsSync } from 'node:fs'
+import { readFile } from 'node:fs/promises'
+import { join } from 'node:path'
+
+import { flattenWorkflowSteps, getStepRun, getStepUses, parseWorkflowYaml } from '../../../scripts/lib/gha-workflow.mjs'
+import { createViolationReporter } from '../../../scripts/lib/lint-surface/violation-reporter.mjs'
+import { getMonorepoPackageRootDirs } from '../../../scripts/lib/workspaces.mjs'
+
+export const CHANGELOG_RELEASE_WORKFLOW = '.github/workflows/changelog-release.yml'
+export const RELEASE_WORKFLOW = '.github/workflows/release.yml'
+const VERSION_WORD_RE = /version/iu
+
+/**
+ * Знаходить workspace-каталоги з Tauri-застосунком (`<ws>/src-tauri/tauri.conf.json` чи legacy `<ws>/tauri.conf.json`).
+ * @param {string} cwd корінь репо
+ * @returns {Promise<{ws: string, tauriConfPath: string}[]>} знайдені застосунки
+ */
+export async function findTauriAppDirs(cwd) {
+  const roots = await getMonorepoPackageRootDirs(cwd)
+  const found = []
+  for (const ws of roots) {
+    const base = ws === '.' ? cwd : join(cwd, ws)
+    const nested = join(base, 'src-tauri', 'tauri.conf.json')
+    const flat = join(base, 'tauri.conf.json')
+    if (existsSync(nested)) found.push({ ws, tauriConfPath: nested })
+    else if (existsSync(flat)) found.push({ ws, tauriConfPath: flat })
+  }
+  return found
+}
+
+/**
+ * Чи `on.workflow_dispatch` присутній у корені workflow.
+ * @param {Record<string, unknown> | null} root корінь workflow
+ * @returns {boolean} true, якщо ключ присутній (значення може бути `{}`)
+ */
+export function hasWorkflowDispatch(root) {
+  const on = root?.on
+  return Boolean(on && typeof on === 'object' && 'workflow_dispatch' in on)
+}
+
+/**
+ * Перевіряє `tauri.conf.json` одного застосунку на updater-готовність bundle-секції.
+ * @param {{ws: string, tauriConfPath: string}} app застосунок
+ * @param {string} cwd корінь репо
+ * @param {ReturnType<typeof createViolationReporter>} reporter репортер концерну
+ * @returns {Promise<void>} завершується після перевірки
+ */
+async function checkTauriConf(app, cwd, reporter) {
+  const rel = app.tauriConfPath.slice(cwd.length + 1)
+  let conf
+  try {
+    conf = JSON.parse(await readFile(app.tauriConfPath, 'utf8'))
+  } catch {
+    reporter.fail(`${rel}: не вдалося розпарсити JSON (tauri.mdc release)`, {
+      reason: 'tauri-conf-invalid-json',
+      file: rel
+    })
+    return
+  }
+
+  if (conf?.bundle?.createUpdaterArtifacts === true) {
+    reporter.pass(`${rel}: bundle.createUpdaterArtifacts: true`)
+  } else {
+    reporter.fail(
+      `${rel}: bundle.createUpdaterArtifacts має бути true — інакше release-білд не публікує updater-артефакти (tauri.mdc release)`,
+      { reason: 'updater-artifacts-disabled', file: rel }
+    )
+  }
+
+  const pubkey = conf?.plugins?.updater?.pubkey
+  const hasPubkey = typeof pubkey === 'string' && pubkey.trim() !== ''
+  if (hasPubkey) {
+    reporter.pass(`${rel}: plugins.updater.pubkey заданий`)
+  } else {
+    reporter.fail(
+      `${rel}: plugins.updater.pubkey відсутній — автооновлення не запуститься без публічного ключа (tauri.mdc release)`,
+      { reason: 'updater-pubkey-missing', file: rel }
+    )
+  }
+
+  const endpoints = conf?.plugins?.updater?.endpoints
+  const hasLatestJsonEndpoint =
+    Array.isArray(endpoints) &&
+    endpoints.some(e => typeof e === 'string' && e.endsWith('/releases/latest/download/latest.json'))
+  if (hasLatestJsonEndpoint) {
+    reporter.pass(`${rel}: plugins.updater.endpoints вказує на latest.json`)
+  } else {
+    reporter.fail(
+      `${rel}: plugins.updater.endpoints має містити ".../releases/latest/download/latest.json" (tauri.mdc release)`,
+      { reason: 'updater-endpoint-missing', file: rel }
+    )
+  }
+}
+
+/**
+ * Перевіряє `changelog-release.yml`: тригер на change-файли, guard від release-циклу, права.
+ * @param {string} cwd корінь репо
+ * @param {{ws: string}[]} apps знайдені Tauri-застосунки (для звірки `on.push.paths`)
+ * @param {ReturnType<typeof createViolationReporter>} reporter репортер концерну
+ * @returns {Promise<void>} завершується після перевірки
+ */
+async function checkChangelogReleaseWorkflow(cwd, apps, reporter) {
+  const path = join(cwd, CHANGELOG_RELEASE_WORKFLOW)
+  if (!existsSync(path)) {
+    reporter.fail(
+      `${CHANGELOG_RELEASE_WORKFLOW} відсутній — канонічний release-flow вимагає push-тригер на <app>/.changes/** (tauri.mdc release)`,
+      { reason: 'changelog-release-workflow-missing', file: CHANGELOG_RELEASE_WORKFLOW }
+    )
+    return
+  }
+  const root = parseWorkflowYaml(await readFile(path, 'utf8'))
+  if (!root) {
+    reporter.fail(`${CHANGELOG_RELEASE_WORKFLOW}: YAML не вдалося розібрати (tauri.mdc release)`, {
+      reason: 'changelog-release-workflow-invalid-yaml',
+      file: CHANGELOG_RELEASE_WORKFLOW
+    })
+    return
+  }
+
+  const paths = /** @type {unknown} */ (root?.on)?.push?.paths
+  const expectedSuffixes = apps.map(a => {
+    const prefix = a.ws === '.' ? '' : `${a.ws}/`
+    return `${prefix}.changes/**`
+  })
+  const hasChangesPath = Array.isArray(paths) && expectedSuffixes.some(suffix => paths.includes(suffix))
+  if (hasChangesPath) {
+    reporter.pass(`${CHANGELOG_RELEASE_WORKFLOW}: on.push.paths містить */.changes/**`)
+  } else {
+    reporter.fail(
+      `${CHANGELOG_RELEASE_WORKFLOW}: on.push.paths має містити "<app>/.changes/**" (tauri.mdc release, n-changelog.mdc)`,
+      { reason: 'changelog-release-paths-missing', file: CHANGELOG_RELEASE_WORKFLOW }
+    )
+  }
+
+  if (hasWorkflowDispatch(root)) {
+    reporter.pass(`${CHANGELOG_RELEASE_WORKFLOW}: workflow_dispatch присутній`)
+  } else {
+    reporter.fail(`${CHANGELOG_RELEASE_WORKFLOW}: бракує workflow_dispatch: {} (tauri.mdc release)`, {
+      reason: 'changelog-release-no-dispatch',
+      file: CHANGELOG_RELEASE_WORKFLOW
+    })
+  }
+
+  const jobs = root?.jobs && typeof root.jobs === 'object' ? Object.values(root.jobs) : []
+  const hasReleaseGuard = jobs.some(job => {
+    const guard = /** @type {{if?: unknown}} */ (job)?.if
+    return typeof guard === 'string' && guard.includes('head_commit.message') && guard.includes('release:')
+  })
+  if (hasReleaseGuard) {
+    reporter.pass(`${CHANGELOG_RELEASE_WORKFLOW}: guard від release-циклу присутній`)
+  } else {
+    reporter.fail(
+      `${CHANGELOG_RELEASE_WORKFLOW}: job без guard "!startsWith(github.event.head_commit.message, 'release:')" — ризик циклу (tauri.mdc release)`,
+      { reason: 'changelog-release-no-guard', file: CHANGELOG_RELEASE_WORKFLOW }
+    )
+  }
+
+  const hasWritePermissions = jobs.some(job => {
+    const permissions = /** @type {{permissions?: {contents?: string, actions?: string}}} */ (job)?.permissions
+    return permissions?.contents === 'write' && permissions?.actions === 'write'
+  })
+  if (hasWritePermissions) {
+    reporter.pass(`${CHANGELOG_RELEASE_WORKFLOW}: contents:write + actions:write присутні`)
+  } else {
+    reporter.fail(
+      `${CHANGELOG_RELEASE_WORKFLOW}: job має мати permissions.contents: write і permissions.actions: write (для dispatch release.yml) (tauri.mdc release)`,
+      { reason: 'changelog-release-permissions-missing', file: CHANGELOG_RELEASE_WORKFLOW }
+    )
+  }
+
+  // ga-канон тримає persist-credentials: false на checkout (а checkout@v6 і без
+  // нього більше не зберігає токен), тож `n-rules release`/`git push` у джобі
+  // мовчки відхиляється («після 5 спроб (non-fast-forward?)») без явного
+  // push-auth через job-scoped GITHUB_TOKEN у remote-url.
+  const hasPushAuth = flattenWorkflowSteps(root).some(s => {
+    const run = getStepRun(s.step)
+    return run.includes('remote set-url') && run.includes('x-access-token')
+  })
+  if (hasPushAuth) {
+    reporter.pass(`${CHANGELOG_RELEASE_WORKFLOW}: push-auth через remote set-url присутній`)
+  } else {
+    reporter.fail(
+      `${CHANGELOG_RELEASE_WORKFLOW}: бракує кроку push-auth \`git remote set-url origin "https://x-access-token:\${{ secrets.GITHUB_TOKEN }}@github.com/\${{ github.repository }}.git"\` — checkout з persist-credentials: false не лишає токена, і release-push мовчки падає (tauri.mdc release)`,
+      { reason: 'changelog-release-push-auth-missing', file: CHANGELOG_RELEASE_WORKFLOW }
+    )
+  }
+}
+
+/**
+ * Перевіряє `<ws>/.changes/.gitkeep`: тригер `on.push.paths: <ws>/.changes/**` живе лише
+ * доки glob матчить бодай один tracked-файл (ga/workflows unmatched-paths-glob), а після
+ * релізу каталог порожніє — без `.gitkeep` два канони конфліктують.
+ * @param {string} cwd корінь репо
+ * @param {{ws: string}[]} apps знайдені Tauri-застосунки
+ * @param {ReturnType<typeof createViolationReporter>} reporter репортер концерну
+ * @returns {void}
+ */
+function checkChangesGitkeep(cwd, apps, reporter) {
+  for (const app of apps) {
+    const rel = app.ws === '.' ? '.changes/.gitkeep' : `${app.ws}/.changes/.gitkeep`
+    if (existsSync(join(cwd, rel))) {
+      reporter.pass(`${rel}: присутній — paths-glob релізного тригера завжди матчиться`)
+    } else {
+      reporter.fail(
+        `${rel} відсутній — після релізу .changes/ порожніє і on.push.paths glob перестає матчити tracked-файли (ga/workflows unmatched-paths-glob) (tauri.mdc release)`,
+        { reason: 'changes-gitkeep-missing', file: rel }
+      )
+    }
+  }
+}
+
+/**
+ * Перевіряє `release.yml`: тригер на теги, dispatch, sync версії перед `tauri-action`.
+ * @param {string} cwd корінь репо
+ * @param {ReturnType<typeof createViolationReporter>} reporter репортер концерну
+ * @returns {Promise<void>} завершується після перевірки
+ */
+async function checkReleaseWorkflow(cwd, reporter) {
+  const path = join(cwd, RELEASE_WORKFLOW)
+  if (!existsSync(path)) {
+    reporter.fail(
+      `${RELEASE_WORKFLOW} відсутній — build/publish DMG й updater-артефактів вимагає канонічний release.yml (tauri.mdc release)`,
+      { reason: 'release-workflow-missing', file: RELEASE_WORKFLOW }
+    )
+    return
+  }
+  const raw = await readFile(path, 'utf8')
+  const root = parseWorkflowYaml(raw)
+  if (!root) {
+    reporter.fail(`${RELEASE_WORKFLOW}: YAML не вдалося розібрати (tauri.mdc release)`, {
+      reason: 'release-workflow-invalid-yaml',
+      file: RELEASE_WORKFLOW
+    })
+    return
+  }
+
+  const tags = /** @type {unknown} */ (root?.on)?.push?.tags
+  const hasTagTrigger = Array.isArray(tags) && tags.includes('v*')
+  if (hasTagTrigger) {
+    reporter.pass(`${RELEASE_WORKFLOW}: on.push.tags містить v*`)
+  } else {
+    reporter.fail(`${RELEASE_WORKFLOW}: on.push.tags має містити "v*" (tauri.mdc release)`, {
+      reason: 'release-workflow-no-tag-trigger',
+      file: RELEASE_WORKFLOW
+    })
+  }
+
+  if (hasWorkflowDispatch(root)) {
+    reporter.pass(`${RELEASE_WORKFLOW}: workflow_dispatch присутній`)
+  } else {
+    reporter.fail(
+      `${RELEASE_WORKFLOW}: бракує workflow_dispatch: {} — без нього changelog-release.yml не може викликати dispatch білда (tauri.mdc release)`,
+      { reason: 'release-workflow-no-dispatch', file: RELEASE_WORKFLOW }
+    )
+  }
+
+  const allSteps = flattenWorkflowSteps(root)
+  const jobIds = [...new Set(allSteps.map(s => s.jobId))]
+  for (const jobId of jobIds) {
+    const steps = allSteps.filter(s => s.jobId === jobId)
+    const actionIdx = steps.findIndex(s => getStepUses(s.step).startsWith('tauri-apps/tauri-action'))
+    if (actionIdx === -1) continue
+    const syncIdx = steps.findIndex(
+      s => getStepRun(s.step).includes('tauri.conf.json') && VERSION_WORD_RE.test(getStepRun(s.step))
+    )
+    const syncBeforeAction = syncIdx !== -1 && syncIdx < actionIdx
+    if (syncBeforeAction) {
+      reporter.pass(`${RELEASE_WORKFLOW}: job "${jobId}" — sync версії йде перед tauri-action`)
+    } else {
+      reporter.fail(
+        `${RELEASE_WORKFLOW}: job "${jobId}" — крок sync версії в tauri.conf.json з тегу має йти перед tauri-apps/tauri-action (tauri.mdc release)`,
+        { reason: 'release-workflow-version-sync-order', file: RELEASE_WORKFLOW }
+      )
+    }
+  }
+
+  // rust/toolchain_cache вимагає Swatinem/rust-cache після rust-toolchain, а zizmor
+  // (ga/workflows) фейлить cache-poisoning high для кешу в тег-тригереному release —
+  // канон розвʼязки: inline-приглушення з задокументованим прийнятим ризиком.
+  // Коментарі не живуть у розпарсеному YAML, тож перевірка по сирих рядках.
+  const unsuppressedCache = raw
+    .split('\n')
+    .some(line => line.includes('Swatinem/rust-cache') && !line.includes('zizmor: ignore[cache-poisoning]'))
+  if (unsuppressedCache) {
+    reporter.fail(
+      `${RELEASE_WORKFLOW}: рядок із Swatinem/rust-cache без "# zizmor: ignore[cache-poisoning]" — zizmor (ga/workflows) фейлить cache-poisoning у тег-тригереному release, а rust-канон вимагає кеш (tauri.mdc release)`,
+      { reason: 'release-workflow-rust-cache-zizmor', file: RELEASE_WORKFLOW }
+    )
+  } else if (raw.includes('Swatinem/rust-cache')) {
+    reporter.pass(`${RELEASE_WORKFLOW}: rust-cache із zizmor-приглушенням cache-poisoning`)
+  }
+}
+
+/**
+ * @param {import('../../../scripts/lib/lint-surface/types.mjs').LintContext} ctx контекст lint-прогону
+ * @returns {Promise<import('../../../scripts/lib/lint-surface/types.mjs').LintResult>} результат перевірки
+ */
+export async function lint(ctx) {
+  const cwd = ctx.cwd
+  const reporter = createViolationReporter(ctx)
+  const apps = await findTauriAppDirs(cwd)
+  if (apps.length === 0) {
+    return reporter.result()
+  }
+
+  for (const app of apps) {
+    await checkTauriConf(app, cwd, reporter)
+  }
+  checkChangesGitkeep(cwd, apps, reporter)
+  await checkChangelogReleaseWorkflow(cwd, apps, reporter)
+  await checkReleaseWorkflow(cwd, reporter)
+
+  return reporter.result()
+}

package/rules/tauri/release/release.mdc

@@ -0,0 +1,104 @@
+## Реліз-flow: change-файли → тег → DMG/updater-артефакти
+
+Версія Tauri-застосунку — **єдина**, керується change-файлами за конвенцією `n-changelog.mdc`. Ручні v-теги і ручний bump `version` у `tauri.conf.json`/`package.json` **заборонені**: у CI версію проставляє `npx @7n/rules release`, а release-build синхронізує її з тегу (нижче).
+
+Канон складається з двох workflow-файлів і відповідного `tauri.conf.json`-конфігу; референс — `.github/workflows/{changelog-release,release}.yml` та `src-tauri/tauri.conf.json` чотирьох production Tauri-репо, де цей flow вже впроваджено.
+
+### `changelog-release.yml` — бамп версії з change-файлів
+
+Тригериться на push у `main` за наявності change-файлів і на ручний dispatch:
+
+```yaml title=".github/workflows/changelog-release.yml"
+on:
+  push:
+    branches: [main]
+    paths:
+      - 'app/.changes/**'
+  workflow_dispatch: {}
+
+jobs:
+  release:
+    if: "!startsWith(github.event.head_commit.message, 'release:')"
+    permissions:
+      contents: write
+      actions: write
+    steps:
+      - uses: actions/checkout@v6
+        with:
+          persist-credentials: false
+          fetch-depth: 0
+      - name: Configure git identity + push auth
+        run: |
+          git config user.name "github-actions[bot]"
+          git config user.email "github-actions[bot]@users.noreply.github.com"
+          git remote set-url origin "https://x-access-token:${{ secrets.GITHUB_TOKEN }}@github.com/${{ github.repository }}.git"
+      - run: npx @7n/rules release
+      # якщо HEAD став release:* — прочитати нову версію з app/package.json,
+      # тегнути app@$VER і v$VER, запушити, тоді dispatch release.yml
+```
+
+- `paths: [app/.changes/**]` (шлях підставляється під реальний workspace, де лежить `src-tauri`) — тригер лише на change-файли, не на будь-який push у `main`. **У `<app>/.changes/` має жити tracked `.gitkeep`**: реліз споживає всі change-файли, і без нього glob перестає матчити tracked-файли — ga/workflows (`unmatched-paths-glob`) червоніє.
+- **Push-auth обовʼязковий**: `persist-credentials: false` — ga-канон (і дефолт `checkout@v6`), тож без явного `git remote set-url origin "https://x-access-token:${{ secrets.GITHUB_TOKEN }}@…"` push із `n-rules release` мовчки відхиляється, а тихий git-раннер маскує причину («git push не вдався після 5 спроб (non-fast-forward?)»).
+- `if: "!startsWith(github.event.head_commit.message, 'release:')"` — страховка від циклу: коміт `release:*` теж матче `paths` (він видаляє change-файли), тому job має пропускати сам себе.
+- `permissions: {contents: write, actions: write}` — `actions: write` потрібен для останнього кроку.
+- Після успішного `npx @7n/rules release` (детектується за `git log -1 --pretty=%s` що починається з `release:`) — тегнути `app@$VER` і `v$VER`, запушити обидва.
+- **Останній крок — явний `gh workflow run release.yml --ref "v$VER"`.** Тег пушиться токеном `GITHUB_TOKEN`, а GitHub не тригерить `on.push.tags` workflow-и для push-подій від `GITHUB_TOKEN` — тому без явного dispatch `release.yml` ніколи не запуститься.
+
+Детальна модель change-файлів (база порівняння, формат CHANGELOG, post-release-інваріант) — у `n-changelog.mdc`; тут лише інтеграція з Tauri release-циклом.
+
+### `release.yml` — build/publish DMG й updater-артефактів
+
+Тригериться на push тегів `v*` **і** на ручний dispatch (для випадку, коли автоматичний тригер не спрацював):
+
+```yaml title=".github/workflows/release.yml"
+on:
+  push:
+    tags: ['v*']
+  workflow_dispatch: {}
+
+concurrency:
+  group: ${{ github.ref }}-${{ github.workflow }}
+  cancel-in-progress: true
+
+jobs:
+  build-desktop:
+    permissions:
+      contents: write
+      id-token: write # OIDC для Infisical
+    steps:
+      # ... checkout, rust-toolchain, потім (rust.mdc вимагає кеш, zizmor фейлить
+      # cache-poisoning у тег-тригереному release — прийнятий ризик приглушуємо inline):
+      - uses: Swatinem/rust-cache@v2 # zizmor: ignore[cache-poisoning]
+      - name: Sync app version from tag
+        run: |
+          VER="${GITHUB_REF_NAME#v}"
+          # записати VER у src-tauri/tauri.conf.json ПЕРЕД tauri-action
+      - uses: Infisical/secrets-action@v1
+        with: { secret-path: '/apple' }
+      - uses: Infisical/secrets-action@v1
+        with: { secret-path: '/updater' }
+      - uses: tauri-apps/tauri-action@v0
+        with: { projectPath: app }
+```
+
+- **«Sync app version from tag» має йти перед кроком `tauri-apps/tauri-action`** — тег `vX.Y.Z` є єдиним джерелом версії для build-артефактів; `tauri.conf.json#version` у робочому дереві не редагується вручну (він там лишається тим, що востаннє поставив `n-rules release`, і синхронізується цим кроком лише в CI, не в git).
+- Секрети підпису — з Infisical: Apple-сертифікати (`secret-path: /apple`) і `TAURI_SIGNING_PRIVATE_KEY` (`secret-path: /updater`) — обидва потрібні `tauri-apps/tauri-action`, щоб зібрати підписаний DMG з updater-артефактами.
+
+### `tauri.conf.json` — updater-артефакти й endpoint
+
+```json title="src-tauri/tauri.conf.json"
+{
+  "bundle": {
+    "createUpdaterArtifacts": true
+  },
+  "plugins": {
+    "updater": {
+      "pubkey": "…",
+      "endpoints": ["https://github.com/<owner>/<repo>/releases/latest/download/latest.json"]
+    }
+  }
+}
+```
+
+- `bundle.createUpdaterArtifacts: true` — без цього `tauri-action` не генерує `.sig`/`latest.json`, і клієнтський `check()` (updater.mdc) ніколи не знаходить оновлення.
+- `plugins.updater.endpoints` вказує на GitHub Releases `latest.json` того самого репозиторію, куди `release.yml` публікує реліз.

package/rules/tauri/tooling/concern.json

@@ -0,0 +1,8 @@
+{
+  "$schema": "https://unpkg.com/@7n/rules/schemas/concern.json",
+  "fixability": "config",
+  "lint": {
+    "scope": "full",
+    "glob": ["**/package.json", "**/tauri.conf.json", "**/src-tauri/**", ".vscode/extensions.json"]
+  }
+}

package/rules/tauri/tooling/docs/index.md

@@ -0,0 +1,11 @@
+---
+type: Directory Index
+title: npm/rules/tauri/tooling
+resource: npm/rules/tauri/tooling/
+---
+
+# npm/rules/tauri/tooling
+
+| Файл                | Тип       |
+| ------------------- | --------- |
+| [main.mjs](main.md) | JS Module |

package/rules/tauri/tooling/docs/main.md

@@ -0,0 +1,34 @@
+---
+type: JS Module
+title: main.mjs
+resource: npm/rules/tauri/tooling/main.mjs
+docgen:
+  crc: 7c892c9b
+  model: omlx/gemma-4-e4b-it-OptiQ-4bit
+  score: 95
+  issues: anchor-miss:(tauri.mdc),judge:inaccurate:0.97
+  judgeModel: openai-codex/gpt-5.4-mini
+---
+
+## Огляд
+
+Потрібен код файлу для написання поведінкової документації. Названий пакет, конфігурації, на які посилається код, включають `package.json`, `tauri.conf.json` та `extensions.json`. Основна публічна функція — `main`. У поведінці враховуються маркери повідомлень, визначені у `tauri.mdc`.
+
+## Поведінка
+
+Поведінка:
+
+1. Визначає, чи використовує проєкт (або будь-який з його workspace-пакетів) Tauri, аналізуючи наявність маркерів, таких як папка `src-tauri`, файли `tauri.conf.json` або залежності `@tauri-apps/*` у `package.json`.
+2. Якщо маркер Tauri відсутній, інформує про це та припиняє роботу.
+3. Якщо маркер Tauri присутній, перевіряє на відповідність файлу `.vscode/extensions.json` рекомендаціям, визначеним у `tauri/vscode_extensions` (rego).
+4. Якщо `.vscode/extensions.json` відсутній, виводить повідомлення про необхідність його створення з рекомендаціями від `tauri.mdc`.
+5. Якщо `.vscode/extensions.json` знайдено, виконує перевірку його вмісту, порівнюючи з політикою `tauri.vscode_extensions`.
+6. Повертає код виходу: 0, якщо всі перевірки пройшли успішно, або 1, якщо виявлено проблеми.
+
+## Публічний API
+
+main — Контролює дотримання проєкту специфікацій, визначених у tauri.mdc.
+
+## Гарантії поведінки
+
+- Read-only: не виконує операцій запису (ФС/БД).

package/rules/tauri/tooling/main.mjs

@@ -0,0 +1,94 @@
+/** @see ./docs/tooling.md */
+import { existsSync, statSync } from 'node:fs'
+import { readFile } from 'node:fs/promises'
+import { join } from 'node:path'
+
+import { createViolationReporter } from '../../../scripts/lib/lint-surface/violation-reporter.mjs'
+import { runConftestBatch } from '../../../scripts/lib/run-conftest-batch.mjs'
+import { getMonorepoPackageRootDirs } from '../../../scripts/lib/workspaces.mjs'
+
+/**
+ * Чи є префікс `@tauri-apps/` у ключах `dependencies` або `devDependencies`.
+ * @param {Record<string, unknown> | null | undefined} pkg розпарсений `package.json`
+ * @returns {boolean} true, якщо знайдено хоча б один `@tauri-apps/*`
+ */
+function packageHasTauriDep(pkg) {
+  if (!pkg || typeof pkg !== 'object') return false
+  for (const field of ['dependencies', 'devDependencies']) {
+    const deps = /** @type {Record<string, unknown> | undefined} */ (pkg[field])
+    if (!deps || typeof deps !== 'object') continue
+    for (const name of Object.keys(deps)) {
+      if (name.startsWith('@tauri-apps/')) return true
+    }
+  }
+  return false
+}
+
+/**
+ * Чи має одиничний workspace-пакет маркер Tauri.
+ * @param {string} cwd корінь репо
+ * @param {string} ws відносний шлях workspace ('.' для root)
+ * @returns {Promise<boolean>} true, якщо в цьому workspace є Tauri
+ */
+async function workspaceHasTauriMarker(cwd, ws) {
+  const base = ws === '.' ? cwd : join(cwd, ws)
+  const srcTauri = join(base, 'src-tauri')
+  if (existsSync(srcTauri) && statSync(srcTauri).isDirectory()) return true
+  if (existsSync(join(base, 'src-tauri', 'Cargo.toml'))) return true
+  if (existsSync(join(base, 'src-tauri', 'tauri.conf.json'))) return true
+  if (existsSync(join(base, 'tauri.conf.json'))) return true
+  const pkgPath = join(base, 'package.json')
+  if (!existsSync(pkgPath)) return false
+  const pkg = JSON.parse(await readFile(pkgPath, 'utf8'))
+  return packageHasTauriDep(pkg)
+}
+
+/**
+ * Чи є у проєкті (root або будь-якому workspace-пакеті) маркер Tauri.
+ * @param {string} cwd корінь репо
+ * @returns {Promise<boolean>} true, якщо проєкт використовує Tauri
+ */
+async function projectHasTauriMarker(cwd) {
+  const roots = await getMonorepoPackageRootDirs(cwd)
+  for (const ws of roots) {
+    if (await workspaceHasTauriMarker(cwd, ws)) return true
+  }
+  return false
+}
+
+/**
+ * Перевіряє відповідність проєкту правилам tauri.mdc.
+ * @param {import('../../../scripts/lib/lint-surface/types.mjs').LintContext} ctx контекст lint-прогону
+ * @returns {Promise<import('../../../scripts/lib/lint-surface/types.mjs').LintResult>} результат перевірки
+ */
+export async function lint(ctx) {
+  const reporter = createViolationReporter(ctx)
+  const { pass, fail } = reporter
+
+  const cwd = ctx.cwd
+  const hasTauri = await projectHasTauriMarker(cwd)
+  if (!hasTauri) {
+    pass('Немає маркера Tauri (src-tauri/, tauri.conf.json, @tauri-apps/*) — tauri-tooling не вимагається')
+    return reporter.result()
+  }
+
+  pass('Знайдено маркер Tauri — перевіряємо канонічні конфіги tauri.mdc')
+
+  const extPath = '.vscode/extensions.json'
+  if (!existsSync(extPath)) {
+    fail(`${extPath} не існує — створи з recommendations "tauri-apps.tauri-vscode" (tauri.mdc)`)
+    return reporter.result()
+  }
+  const violations = runConftestBatch({
+    policyDirRel: 'tauri/vscode_extensions',
+    namespace: 'tauri.vscode_extensions',
+    files: [extPath]
+  })
+  if (violations.length === 0) {
+    pass(`${extPath} відповідає tauri.vscode_extensions (rego)`)
+  } else {
+    for (const v of violations) fail(v.message)
+  }
+
+  return reporter.result()
+}

package/rules/tauri/tooling/tooling.mdc

@@ -0,0 +1,27 @@
+## Виявлення проєкту Tauri та VS Code-розширення
+
+Правило активується, якщо хоч у одному workspace-пакеті (корінь або будь-який пакет з `package.json#workspaces`) виявлений маркер Tauri:
+
+- існує каталог `<ws>/src-tauri/`;
+- існує `<ws>/src-tauri/Cargo.toml`;
+- існує `<ws>/src-tauri/tauri.conf.json`;
+- існує `<ws>/tauri.conf.json` (legacy flat-layout);
+- `<ws>/package.json#dependencies` чи `devDependencies` містить ключ з префіксом `@tauri-apps/`.
+
+Виявлення виконує `js/tooling.mjs` через `getMonorepoPackageRootDirs()`. Це дозволяє Tauri-rule працювати у монорепо, де Tauri живе в одному з пакетів (а не в корені), не вимагаючи кореневих маркерів.
+
+### VS Code розширення
+
+У `.vscode/extensions.json` `recommendations` має містити `tauri-apps.tauri-vscode`:
+
+```json title=".vscode/extensions.json"
+{
+  "recommendations": ["tauri-apps.tauri-vscode"]
+}
+```
+
+Розширені Rust-вимоги (`rust-lang.rust-analyzer`, `tamasfe.even-better-toml`, скрипт `lint-rust`, CI `lint-rust.yml`) — у правилі **`rust`** (`n-rust.mdc`). Tauri-проєкт завжди має `src-tauri/Cargo.toml`, тому `rust` активується автоматично разом з `tauri`.
+
+Це також покриває CI/release-build job'и, що збирають Tauri-додаток через `tauri-apps/tauri-action`: будь-який job з кроком `dtolnay/rust-toolchain@…` (лінт, coverage чи release/build — не лише `lint-rust.yml`) повинен мати `Swatinem/rust-cache@v2` одразу після нього, інакше CI щоразу заново качає весь cargo registry. Перевірка й автофікс — concern `rust/toolchain_cache` (rust.mdc), не дублюється тут.
+
+Перевірка `tauri-apps.tauri-vscode` виконується Rego-пакетом `tauri.vscode_extensions` через `conftest` (умовно — лише після підтвердження маркера Tauri).

package/rules/tauri/updater/concern.json

@@ -0,0 +1,14 @@
+{
+  "$schema": "https://unpkg.com/@7n/rules/schemas/concern.json",
+  "fixability": "structural",
+  "lint": {
+    "scope": "full",
+    "glob": [
+      "**/package.json",
+      "**/src-tauri/Cargo.toml",
+      "**/src-tauri/src/lib.rs",
+      "**/src-tauri/capabilities/*.json",
+      "**/src/**/*.vue"
+    ]
+  }
+}

package/rules/tauri/updater/docs/fix-updater.md

@@ -0,0 +1,33 @@
+---
+type: JS Module
+title: fix-updater.mjs
+resource: npm/rules/tauri/updater/fix-updater.mjs
+docgen:
+  crc: 7c4598dc
+  model: openai-codex/gpt-5.4-mini
+  tier: cloud-min
+  score: 100
+  issues: judge:inaccurate:0.98
+  judgeModel: openai-codex/gpt-5.4-mini
+---
+
+## Огляд
+
+`patterns` — це T0-autofix для `tauri/updater`, який приводить canonical updater-configs до узгодженого стану через `package.json`, `updater.json` і `default.json`: синхронізує updater-related залежності, desktop-scoped plugin-налаштування, `#[cfg]`-guard над уже наявним рядком реєстрації та `capabilities/*.json` permissions за очікуваним контрактом Tauri. Публічні функції працюють fail-safe: перехоплюють помилки, не кидають винятків назовні й за окремих збоїв повертають порожнє значення, наприклад `null`, замість exception. Autofix свідомо не покриває `lib-rs-process-missing`, `lib-rs-updater-missing` і `use-updater-not-called`: ці cases лишаються manual, бо потребують structural fix у чужому builder-ланцюжку або SFC і не мають deterministic insertion point.
+
+## Поведінка
+
+1. `patterns` запускає набір T0-autofix-правил для `tauri/updater` лише тоді, коли знайдено релевантні порушення у workspace Tauri-додатка.
+2. Для `package.json` воно приводить залежності до канонічного стану: додає або оновлює `@7n/tauri-components`, `@tauri-apps/plugin-updater`, `@tauri-apps/plugin-process`.
+3. Для `Cargo.toml` воно гарантує наявність `tauri-plugin-process` і `tauri-plugin-updater`, а також тримає updater-плагін у desktop-scoped секції, щоб конфіг відповідав очікуванням Tauri для desktop-збірки.
+4. Для `lib.rs` воно ставить `#[cfg]` безпосередньо над уже наявним рядком реєстрації `tauri_plugin_updater::Builder`, щоб updater вмикався лише на desktop.
+5. Для `capabilities/updater.json` воно забезпечує permission `updater:default`; якщо файла ще немає, створює його з канонічним baseline.
+6. Для `capabilities/default.json` воно забезпечує permission `process:allow-restart`; якщо файла ще немає, створює його з канонічним baseline.
+7. Воно працює fail-safe: не викидає винятки назовні, а в проблемних місцях повертає порожній результат або пропускає зміну.
+8. Воно свідомо не виправляє `lib-rs-process-missing` і `lib-rs-updater-missing`, бо там треба вставляти новий `.plugin` у довільний builder-ланцюжок без надійної детермінованої точки вставки.
+9. Воно свідомо не виправляє `use-updater-not-called`, бо це потребує редагування чужого SFC і може зламати існуючі imports.
+
+## Гарантії поведінки
+
+- Перехоплює помилки і не пропускає винятків назовні (fail-safe).
+- За певних помилок повертає порожнє значення (напр. `null`) замість винятку.