@7n/rules 1.0.0

package/bin/rename-yaml-extensions.mjs

@@ -0,0 +1,42 @@
+/**
+ * CLI для перейменування розширень YAML (k8s та `.github`). Бізнес-логіка — у **`scripts/rename-yaml-extensions.mjs`**.
+ *
+ * Публічна точка входу — лише головний CLI пакета:
+ * **`npx \@7n/rules rename-yaml-extensions`** [опції] (або **`bun ./bin/n-rules.js rename-yaml-extensions`** у репозиторії пакета).
+ *
+ * Цей файл лишається модулем для **`n-rules.js`**; прямий запуск **`node ./bin/rename-yaml-extensions.mjs`** — лише для розробки/тестів.
+ *
+ * Опції: **`--dry-run`**, **`--root=<шлях>`** (корінь обходу; за замовчуванням **`process.cwd()`**).
+ */
+import { isRunAsCli } from '../scripts/cli-entry.mjs'
+import { parseRenameYamlArgs, renameYamlExtensions } from '../scripts/rename-yaml-extensions.mjs'
+
+/**
+ * Запускає перейменування з виводом у консоль (для підкоманди **`n-rules`** або прямого bin).
+ * @param {string[]} argv аргументи без імені команди (усі після `rename-yaml-extensions` у **`n-rules`**)
+ * @returns {Promise<number>} **0** — успіх; **1** — були помилки (існуючий цільовий файл тощо)
+ */
+export async function runRenameYamlExtensionsCli(argv) {
+  const { dryRun, root } = parseRenameYamlArgs(argv)
+  const label = dryRun ? '[dry-run] ' : ''
+  const { renamed, errors } = await renameYamlExtensions(root, { dryRun })
+
+  for (const { relFrom, relTo } of renamed) {
+    console.log(`${label}${relFrom} → ${relTo}`)
+  }
+  if (renamed.length === 0 && errors.length === 0) {
+    console.log(`${label}Немає файлів для перейменування (k8s + .yml → .yaml; .github + .yaml → .yml).`)
+  }
+  for (const err of errors) {
+    console.error(`  ❌ ${err}`)
+  }
+
+  return errors.length > 0 ? 1 : 0
+}
+
+if (isRunAsCli(import.meta.url)) {
+  const code = await runRenameYamlExtensionsCli(process.argv.slice(2))
+  if (code !== 0) {
+    process.exitCode = 1
+  }
+}

package/docs/index.md

@@ -0,0 +1,12 @@
+---
+type: Directory Index
+title: npm
+resource: npm/
+---
+
+# npm
+
+| Файл                                    | Тип       |
+| --------------------------------------- | --------- |
+| [stryker.config.mjs](stryker.config.md) | JS Module |
+| [vitest.config.js](vitest.config.md)    | JS Module |

package/docs/stryker.config.md

@@ -0,0 +1,31 @@
+---
+type: JS Module
+title: stryker.config.mjs
+resource: npm/stryker.config.mjs
+docgen:
+  crc: 2f4ed270
+  model: omlx/gemma-4-e4b-it-OptiQ-4bit
+  score: 100
+---
+
+Цей файл конфігурує процес тестування та мутаційного аналізу, використовуючи Vitest як тестовий раннер. Він визначає, які файли підлягають мутації (у `scripts`, `rules`, `bin`) та які виключаються, спираючись на `mutation.json`. Конфігурація налаштовує Stryker для запуску лише тестів, що покривають мутовані рядки. Також конфігурація використовує `incremental.json` для збереження даних між запусками.
+
+## Поведінка
+
+1. Визначає тестовий раннер як Vitest.
+2. Вказує конфігураційний файл для Vitest.
+3. Налаштовує аналіз покриття так, що Stryker запускає лише тести, що покривають мутовану лінію.
+4. Встановлює тимчасову директорію для звітів Stryker.
+5. Визначає репортери для виводу результатів у форматі JSON та звичайному тексті.
+6. Вказує ім'я файлу для JSON-звіту.
+7. Вмикає функціонал збереження результатів між запусками, використовуючи файл `incremental.json`.
+8. Визначає список файлів, які підлягають мутації:
+   - Файли у директорії `scripts`.
+   - Файли у директорії `rules`.
+   - Файли у директорії `bin`.
+9. Виключає з мутації файли у директоріях `tests`, `__fixtures__`, `fixtures`, `data`, `template`, `templates`.
+10. Виключає з мутації файли у директорії `data`, крім файлу `stryker-vue-macros-ignorer.mjs` у директорії `rules/test/js/data/stryker_config/`.
+
+## Гарантії поведінки
+
+- (специфічних машинно-виведених гарантій немає)

package/docs/vitest.config.md

@@ -0,0 +1,36 @@
+---
+type: JS Module
+title: vitest.config.js
+resource: npm/vitest.config.js
+docgen:
+  crc: 01d03a02
+  model: omlx/gemma-4-e4b-it-OptiQ-4bit
+  score: 100
+  issues: judge:inaccurate:0.99
+  judgeModel: openai-codex/gpt-5.4-mini
+---
+
+## Огляд
+
+Файл відповідає за налаштування середовища для виконання тестів. Він ідентифікує та обробляє файли з розширенням .test.{js,mjs} у корені та у піддиректоріях tests/. Для забезпечення ізоляції тестів використовується механізм фокусування процесів ('forks'). У процесі виконання збирається покриття коду у форматах lcov та text-summary. Середовище налаштовано так, щоб ігнорувати такі шляхи як .git та node_modules.
+
+## Поведінка
+
+Поведінка:
+
+1. Визначає обсяг тестів, що підлягають валідації, охоплюючи файли з розширенням .test.{js,mjs} як у кореневій директорії, так і у піддиректоріях tests/.
+2. Ігнорує каталоги node_modules та dist при виконанні тестів.
+3. Виключає каталоги, що містять звіти Stryker, для запобігання фейлам, спричинених запуском поза кореневим репозиторієм.
+4. Налаштовує середовище виконання тестів на 'node'.
+5. Примусово вимикає переслідування подій Git через встановлення змінної середовища GIT_TRACE2_EVENT в значення '0', щоб запобігти блокуванням I/O під час паралельних Git-операцій.
+6. Відводить глобальний LLM wire-trace у тимчасовий файл через змінну середовища N_LLM_TRACE_PATH: тести fix-pipeline ганяють реальний startChain/writeTrace з @7n/llm-lib/trace, і без override кожен прогін дописував би фейкові chain-записи у справжній ~/.n-rules/llm-trace.jsonl, засмічуючи аналітику myllm і chains-report. Тест із власним trace-файлом перевизначає змінну локально.
+7. Встановлює максимальний час виконання тесту (testTimeout) у 20000 мілісекунд для забезпечення запасу часу при виконанні складних тестів, залежних від I/O.
+7. Використовує pool 'forks' для ізоляції процесів між тестовими файлами, як додатковий механізм безпеки.
+8. Збирає покриття коду за допомогою провайдера v8 та виводить звіти у форматах lcov та text-summary.
+
+## Гарантії поведінки
+
+- Read-only: не виконує операцій запису (ФС/БД).
+- Свідомо пропускає шляхи: `.git`, `node_modules`.
+
+Виключаються також git-worktree чекаути (`.worktrees/**`, `.claude/worktrees/**`) — повні копії репо, чиї тести дублюють основні.

package/github-actions/release/action.yml

@@ -0,0 +1,9 @@
+name: n-rules release
+description: Aggregate .changes/* into version bump + CHANGELOG, tag <name>@<version>, commit back
+
+runs:
+  using: composite
+  steps:
+    - name: Release (bump + CHANGELOG + tag)
+      shell: bash
+      run: npx @7n/rules release

package/github-actions/setup-bun-deps/action.yml

@@ -0,0 +1,27 @@
+# yaml-language-server: $schema=https://json.schemastore.org/github-action.json
+
+name: Setup Bun dependencies
+description: Node 24, Bun, cache та bun install --frozen-lockfile (checkout — окремим кроком у workflow)
+
+runs:
+  using: composite
+  steps:
+    - uses: actions/setup-node@v6
+      with:
+        node-version: '24'
+
+    - uses: oven-sh/setup-bun@v2
+
+    - name: Cache Bun dependencies
+      uses: actions/cache@v5
+      with:
+        path: |
+          ~/.bun/install/cache
+          node_modules
+        key: ${{ runner.os }}-bun-${{ hashFiles('**/bun.lock') }}
+        restore-keys: |
+          ${{ runner.os }}-bun-
+
+    - name: Install dependencies
+      run: bun install --frozen-lockfile
+      shell: bash

package/package.json

@@ -0,0 +1,87 @@
+{
+  "name": "@7n/rules",
+  "version": "1.0.0",
+  "description": "CLI еталонних правил і skills (префікс n-): синк у репозиторій, дельта-lint, конформність",
+  "keywords": [
+    "cli",
+    "rules",
+    "lint",
+    "mdc",
+    "n",
+    "pi-package"
+  ],
+  "homepage": "https://github.com/nitra/7n-rules#readme",
+  "bugs": {
+    "url": "https://github.com/nitra/7n-rules/issues"
+  },
+  "license": "ISC",
+  "author": "v@nitra.ai",
+  "repository": {
+    "type": "git",
+    "url": "git+https://github.com/nitra/7n-rules.git"
+  },
+  "bin": {
+    "n-rules": "bin/n-rules.js",
+    "n-cursor": "bin/n-rules.js"
+  },
+  "files": [
+    "docs",
+    "types",
+    "rules",
+    "bin",
+    "github-actions",
+    "schemas",
+    "scripts",
+    "skills",
+    ".claude-template",
+    ".pi-template",
+    "AGENTS.template.md",
+    "CHANGELOG.md",
+    "!**/*.test.mjs",
+    "!**/*_test.rego",
+    "!**/test-helpers.mjs",
+    "!**/fixtures/**",
+    "!**/__fixtures__/**"
+  ],
+  "type": "module",
+  "types": "./types/bin/n-rules.d.ts",
+  "scripts": {
+    "test": "vitest run",
+    "test:watch": "vitest",
+    "test:coverage": "vitest run --coverage",
+    "start": "bun ./bin/n-rules.js",
+    "rename-yaml-extensions": "bun ./bin/n-rules.js rename-yaml-extensions"
+  },
+  "dependencies": {
+    "@7n/mt": "^0.5.1",
+    "@7n/llm-lib": "^2.0.0",
+    "ajv": "^8.20.0",
+    "cli-progress": "^3.12.0",
+    "eslint": "^10.4.1",
+    "github-actionlint": "^1.7.12",
+    "globby": "^16.0.0",
+    "ignore": "^7.0.5",
+    "jscpd": "^5.0.11",
+    "knip": "^6.22.0",
+    "markdownlint-cli2": "^0.22.1",
+    "oxc-parser": "^0.137.0",
+    "oxlint": "^1.68.0",
+    "picomatch": "^4.0.4",
+    "smol-toml": "^1.7.0",
+    "v8r": "^6.1.0",
+    "yaml": "^2.9.0",
+    "zod": "^4.4.3"
+  },
+  "optionalDependencies": {
+    "@earendil-works/pi-ai": "0.80.2",
+    "@earendil-works/pi-coding-agent": "0.80.2"
+  },
+  "engines": {
+    "bun": ">=1.3",
+    "node": ">=25"
+  },
+  "pi": {
+    "skills": "skills",
+    "extensions": ".pi-template/extensions"
+  }
+}

package/rules/abie/base_deployment_preem/base_deployment_preem.mdc

@@ -0,0 +1,22 @@
+## Rego: `nodeSelector.preem` у base-Deployment
+
+Rego-пакет: `abie.base_deployment_preem`
+
+Цільові файли: YAML-маніфести Deployment під `…/k8s/.../base/…`.
+
+Перевіряє, що кожен `Deployment` має `spec.template.spec.nodeSelector.preem` зі значенням `true` (boolean `true` або рядок `"true"` — без урахування регістру, з обрізаними пробілами). Значення `false` або відсутність ключа — deny.
+
+ua-overlay далі підміняє це значення на `preem: false` через JSON6902-патч (`js/ua_node_selector.mjs`). Cross-document перевірка ua-патча — поза Rego.
+
+```yaml title="…/k8s/base/deployment.yaml (фрагмент)"
+spec:
+  template:
+    spec:
+      nodeSelector:
+        preem: "true"   # ✓ або boolean true
+```
+
+```yaml
+      nodeSelector:
+        role: worker    # ✗ preem відсутній
+```

package/rules/abie/base_deployment_preem/base_deployment_preem.rego

@@ -0,0 +1,54 @@
+# Перевірка (abie.mdc): кожен `Deployment` у файлах під `…/k8s/.../base/…` має
+# `spec.template.spec.nodeSelector.preem` зі значенням, що вважається істинним
+# (boolean `true` або рядок `"true"` без урахування регістру). Overlay ua далі
+# підміняє селектор JSON6902-патчем на `preem: false`
+# (див. `js/ua_node_selector.mjs`).
+#
+# Запуск (локально, лише для одного base-YAML з Deployment):
+#   conftest test path/to/k8s/base/deployment.yaml \
+#     -p npm/rules/abie/policy/base_deployment_preem \
+#     --namespace abie.base_deployment_preem
+#
+# Cross-file gating: шлях `…/k8s/.../base/…` фільтрується через
+# `policy/base_deployment_preem/target.json` (glob). Rule-level applies-гейт —
+# `js/applies.mjs` (поле `rules` у `.n-rules.json`).
+#
+# Структура каталогу збігається зі шляхом пакету (regal: directory-package-mismatch).
+# Конвенція проєкту — `import rego.v1` + multi-value `deny contains msg if { … }`
+# (.cursor/rules/conftest.mdc). Лінт — `bun run lint-rego` (regal).
+package abie.base_deployment_preem
+
+import rego.v1
+
+deny_msg := concat(" ", [
+	"Deployment у base: потрібен spec.template.spec.nodeSelector.preem:",
+	"true (або 'true') — abie.mdc",
+])
+
+deny contains deny_msg if {
+	input.kind == "Deployment"
+	not has_truthy_preem
+}
+
+# preem truthy: boolean true або рядок "true" (case-insensitive, з обрізаними пробілами).
+has_truthy_preem if {
+	preem := object.get(node_selector, "preem", null)
+	is_preem_truthy(preem)
+}
+
+is_preem_truthy(true)
+
+is_preem_truthy(v) if {
+	is_string(v)
+	lower(trim_space(v)) == "true"
+}
+
+node_selector := object.get(
+	object.get(
+		object.get(object.get(input, "spec", {}), "template", {}),
+		"spec",
+		{},
+	),
+	"nodeSelector",
+	{},
+)

package/rules/abie/base_deployment_preem/concern.json

@@ -0,0 +1,8 @@
+{
+  "$schema": "https://unpkg.com/@7n/rules/schemas/concern.json",
+  "policy": {
+    "files": {
+      "walkGlob": ["**/k8s/**/base/**/*.yaml", "**/k8s/**/base/**/*.yml", "!**/k8s/**/base/**/kustomization.yaml"]
+    }
+  }
+}

package/rules/abie/clean_merged_ignore_branches/clean_merged_ignore_branches.mdc

@@ -0,0 +1,19 @@
+## Rego: `ignore_branches` у `clean-merged-branch.yml`
+
+Rego-пакет: `abie.clean_merged_ignore_branches`
+
+Цільовий файл: `.github/workflows/clean-merged-branch.yml`.
+
+Перевіряє, що у workflow-файлі є крок з `uses: phpdocker-io/github-actions-delete-abandoned-branches` і що його `with.ignore_branches` містить обидва токени `dev` та `ua` (case-insensitive, пробіли навколо токенів обрізаються). Токени зчитуються з template-файлу `data.template.snippet` — зміна канону автоматично змінює вимоги.
+
+Канонічний snippet: [clean-merged-branch.yml.snippet.yml](./template/clean-merged-branch.yml.snippet.yml)
+
+```yaml title=".github/workflows/clean-merged-branch.yml (фрагмент)"
+      - uses: phpdocker-io/github-actions-delete-abandoned-branches@v2
+        with:
+          ignore_branches: "dev,ua,main"   # ✓ містить dev та ua
+```
+
+```yaml
+          ignore_branches: "main"          # ✗ не вистачає dev,ua
+```

package/rules/abie/clean_merged_ignore_branches/clean_merged_ignore_branches.rego

@@ -0,0 +1,81 @@
+# Перевірка `clean-merged-branch.yml` для abie-проєктів (abie.mdc).
+#
+# Канон надходить через --data: { "template": { "snippet": ... } }
+# Структура --data сформована з template/clean-merged-branch.yml.snippet.yml.
+# Action-маркер (`uses:` substring) і required branches (parsed з template's
+# `ignore_branches`) читаються з template. ga.clean_merged_branch перевіряє
+# повний канон workflow окремо; цей пакет — лише abie-specific шар.
+package abie.clean_merged_ignore_branches
+
+import rego.v1
+
+# Експектації з template's step (першого з steps).
+expected_step := step if some step in data.template.snippet.jobs.cleanup_old_branches.steps
+
+target_action_marker := expected_step.uses
+
+required_branches := parsed_ignore_tokens(expected_step.with.ignore_branches)
+
+step_missing_msg := sprintf(
+	"clean-merged-branch.yml: не знайдено крок з uses: %s (abie.mdc)",
+	[target_action_marker],
+)
+
+ignore_branches_missing_msg := sprintf(
+	"clean-merged-branch.yml: не знайдено with.ignore_branches у кроці %s (abie.mdc)",
+	[target_action_marker],
+)
+
+# ── deny ─────────────────────────────────────────────────────────────────
+
+deny contains step_missing_msg if {
+	count(target_steps) == 0
+}
+
+deny contains ignore_branches_missing_msg if {
+	count(target_steps) > 0
+	not has_ignore_branches_value
+}
+
+deny contains msg if {
+	count(target_steps) > 0
+	ignore_branches_value != ""
+	missing := required_branches - parsed_ignore_tokens(ignore_branches_value)
+	count(missing) > 0
+	msg := sprintf(
+		"clean-merged-branch.yml: ignore_branches має містити %v (зараз: %q; не вистачає: %v) (abie.mdc)",
+		[concat(",", sort(required_branches)), ignore_branches_value, concat(",", sort(missing))],
+	)
+}
+
+# ── helpers ──────────────────────────────────────────────────────────────
+
+target_steps contains step if {
+	some job in object.get(input, "jobs", {})
+	some step in object.get(job, "steps", [])
+	uses := object.get(step, "uses", "")
+	is_string(uses)
+	contains(uses, target_action_marker)
+}
+
+has_ignore_branches_value if {
+	some step in target_steps
+	v := object.get(object.get(step, "with", {}), "ignore_branches", null)
+	is_string(v)
+}
+
+default ignore_branches_value := ""
+
+ignore_branches_value := values[0] if {
+	values := [v |
+		some step in target_steps
+		v := object.get(object.get(step, "with", {}), "ignore_branches", null)
+		is_string(v)
+	]
+	count(values) > 0
+}
+
+parsed_ignore_tokens(value) := {lower(trim_space(part)) |
+	some part in split(value, ",")
+	trim_space(part) != ""
+}

package/rules/abie/clean_merged_ignore_branches/concern.json

@@ -0,0 +1,8 @@
+{
+  "$schema": "https://unpkg.com/@7n/rules/schemas/concern.json",
+  "policy": {
+    "files": {
+      "single": ".github/workflows/clean-merged-branch.yml"
+    }
+  }
+}

package/rules/abie/clean_merged_ignore_branches/template/clean-merged-branch.yml.snippet.yml

@@ -0,0 +1,9 @@
+# abie-specific шар поверх ga.clean_merged_branch:
+# у `clean-merged-branch.yml` крок phpdocker-io/github-actions-delete-abandoned-branches
+# має містити `ignore_branches: dev,ua` (обовʼязкові гілки для abie-проєктів).
+jobs:
+  cleanup_old_branches:
+    steps:
+      - uses: phpdocker-io/github-actions-delete-abandoned-branches
+        with:
+          ignore_branches: dev,ua

package/rules/abie/docs/index.md

@@ -0,0 +1,11 @@
+---
+type: Directory Index
+title: npm/rules/abie
+resource: npm/rules/abie/
+---
+
+# npm/rules/abie
+
+| Файл                | Тип       |
+| ------------------- | --------- |
+| [main.mjs](main.md) | JS Module |

package/rules/abie/env_dns/concern.json

@@ -0,0 +1,4 @@
+{
+  "$schema": "https://unpkg.com/@7n/rules/schemas/concern.json",
+  "lint": { "scope": "full", "glob": ["**/*.env"] }
+}

package/rules/abie/env_dns/docs/main.md

@@ -0,0 +1,32 @@
+---
+type: JS Module
+title: main.mjs
+resource: npm/rules/abie/env_dns/main.mjs
+docgen:
+  crc: 133caf46
+  model: omlx/gemma-4-e4b-it-OptiQ-4bit
+  tier: local-min-retry
+  score: 100
+  issues: judge:inaccurate:0.98
+  judgeModel: openai-codex/gpt-5.4-mini
+---
+
+## Огляд
+
+Цей файл перевіряє на відповідність внутрішнім URL-адресам конфігураційні файли середовища (такі як `dev.env` або `ua.env`) у репозиторії. Функція `lint` реєструє повідомлення про успішну валідацію або виявлені порушення, використовуючи механізм перехоплення помилок (`fail-safe`) замість викидання винятків. Поведінка відповідає вимогам маркерів повідомлень, зазначених у (abie.mdc).
+
+## Поведінка
+
+Поведінка
+1. Швидкість аналізу: функція `lint` аналізує файли конфігурації середовища (`dev.env`, `ua.env`), шукаючи порушення внутрішніх URL.
+2. Пошук файлів: сканує репозиторій для пошуку файлів конфігурації середовища, ігноруючи шляхи, визначені конфігурацією Cursor.
+3. Обробка відсутності файлів: якщо файли конфігурації середовища не знайдено, перевірка DNS-адрес середовища пропускається, і реєструється повідомлення (abie.mdc).
+4. Зчитування конфігурацій: для кожного знайденого файлу намагається прочитати його вміст. У разі невдачі читання реєструється помилка, і обробка цього файлу припиняється.
+5. Валідація URL: вміст файлу валідується для перевірки відповідності внутрішніх URL визначенню середовища, виходячи з імені файлу.
+6. Реєстрація результатів: якщо жодних помилок не виявлено у файлі, реєструється повідомлення про успішну відповідність (abie.mdc). У разі виявлення порушень, для кожного порушення реєструється помилка (abie.mdc).
+7. Обробка винятків: функція не кидає винятків назовні; усі внутрішні помилки перехоплюються та реєструються як помилки.
+
+## Гарантії поведінки
+
+- Read-only: не виконує операцій запису (ФС/БД).
+- Перехоплює помилки і не пропускає винятків назовні (fail-safe).

package/rules/abie/env_dns/env_dns.mdc

@@ -0,0 +1,33 @@
+## Внутрішньокластерні URL у env-файлах (dev / ua)
+
+Правило стосується **будь-якого** внутрішньокластерного URL у env-файлах abie-проєкту, а не лише `HASURA_GRAPHQL_ENDPOINT`. Це може бути URL до Hasura, KVCMS, `auth-run-hl`, `file-link-hl` чи будь-якого іншого Service у кластері — у всіх випадках DNS-суфікс і namespace-префікс мають відповідати **середовищу** з імені env-файлу.
+
+abie-проєкти живуть у **двох GKE-кластерах** (dev / ua), тож DNS-суфікс і namespace у URL відрізняються між `*.env`-файлами:
+
+| env-файл (basename) | namespace-префікс у URL | DNS-суфікс кластера | примітка |
+| --- | --- | --- | --- |
+| `dev.env`, `.dev.env` | `dev-…` | `abie-dev.internal` | GKE-кластер dev |
+| `ua.env`, `.ua.env` | `ua-…` | `abie-ua.internal` | GKE-кластер ua |
+
+Канонічна форма URL — `http://<service>.<namespace>.svc.<cluster-dns-suffix>:<port>`. Суфікс — `<cluster>.internal`.
+
+Приклади для одного env-файлу з двома сервісами (Hasura + KVCMS):
+
+```env title="hasura/.dev.env"
+HASURA_GRAPHQL_ENDPOINT=http://apruv-h-hl.dev-apruv.svc.abie-dev.internal:8080
+KVCMS_URL=http://kvcms-hl.dev-apruv.svc.abie-dev.internal:8080
+```
+
+```env title="hasura/.ua.env"
+HASURA_GRAPHQL_ENDPOINT=http://apruv-h-hl.ua-apruv.svc.abie-ua.internal:8080
+KVCMS_URL=http://kvcms-hl.ua-apruv.svc.abie-ua.internal:8080
+```
+
+`<namespace>` (наприклад `dev-apruv` / `ua-apruv`) — `metadata.name` цільового namespace після kustomize-overlay для відповідного середовища; `<service>` — `metadata.name` headless Service (`-hl`) того сервісу, до якого йде URL.
+
+**Перевірка `js/env_dns.mjs`** сканує всі `*.env` файли, basename яких збігається з `dev.env` / `ua.env` (з провідною крапкою чи без), знаходить **усі** internal URL (`http://<svc>.<ns>.svc.<dns>` — як для Hasura-ендпоінта, так і для KVCMS чи будь-якого іншого) і вимагає, щоб для кожного:
+
+- DNS-суфікс відповідав env: `abie-dev.internal` / `abie-ua.internal`;
+- namespace починався з `dev-` / `ua-` відповідно.
+
+Загальне правило про **внутрішній** URL (не публічний домен) для `HASURA_GRAPHQL_ENDPOINT` лишається у **`hasura.mdc`** (для nitra і abie) — `rules/hasura/fix.mjs` приймає кластерний DNS-формат `<cluster>.internal`.

package/rules/abie/env_dns/main.mjs

@@ -0,0 +1,47 @@
+/** @see ./docs/env_dns.md */
+import { readFile } from 'node:fs/promises'
+import { basename, relative } from 'node:path'
+
+import { createViolationReporter } from '../../../scripts/lib/lint-surface/violation-reporter.mjs'
+import { loadCursorIgnorePaths } from '../../../scripts/lib/load-cursor-config.mjs'
+
+import { abieEnvNameFromBasename, collectAbieEnvFiles, validateAbieEnvInternalUrls } from '../lib/env-dns.mjs'
+
+/**
+ * @param {import('../../../scripts/lib/lint-surface/types.mjs').LintContext} ctx контекст lint-прогону
+ * @returns {Promise<import('../../../scripts/lib/lint-surface/types.mjs').LintResult>} результат detector-а
+ */
+export async function lint(ctx) {
+  const reporter = createViolationReporter(ctx)
+  const { pass, fail } = reporter
+  const root = ctx.cwd
+
+  const ignorePaths = await loadCursorIgnorePaths(root)
+  const envFiles = await collectAbieEnvFiles(root, ignorePaths)
+  if (envFiles.length === 0) {
+    pass('Не знайдено dev.env / ua.env у репозиторії — перевірку env→cluster DNS пропущено (abie.mdc)')
+    return reporter.result()
+  }
+
+  for (const abs of envFiles) {
+    const rel = relative(root, abs).replaceAll('\\', '/') || abs
+    const envName = abieEnvNameFromBasename(basename(abs))
+    if (envName === null) continue
+    let raw
+    try {
+      raw = await readFile(abs, 'utf8')
+    } catch (error) {
+      const msg = error instanceof Error ? error.message : String(error)
+      fail(`${rel}: не вдалося прочитати (${msg})`)
+      continue
+    }
+    const errors = validateAbieEnvInternalUrls(raw, envName)
+    if (errors.length === 0) {
+      pass(`${rel}: усі внутрішні URL відповідають env "${envName}" (abie.mdc)`)
+    } else {
+      for (const err of errors) fail(`${rel}: ${err} (abie.mdc)`)
+    }
+  }
+
+  return reporter.result()
+}

package/rules/abie/firebase_hosting/concern.json

@@ -0,0 +1,4 @@
+{
+  "$schema": "https://unpkg.com/@7n/rules/schemas/concern.json",
+  "lint": { "scope": "full", "glob": ["**/.firebaserc", "**/firebase.json", "**/.firebase/**"] }
+}

package/rules/abie/firebase_hosting/docs/main.md

@@ -0,0 +1,41 @@
+---
+type: JS Module
+title: main.mjs
+resource: npm/rules/abie/firebase_hosting/main.mjs
+docgen:
+  crc: eabead6f
+  model: omlx/gemma-4-e4b-it-OptiQ-4bit
+  tier: local-min-retry
+  score: 100
+  issues: judge:inaccurate:0.99
+  judgeModel: openai-codex/gpt-5.4-mini
+---
+
+## Огляд
+
+Згідно з наданими інструкціями, я повинен переписати чорнетку секції "overview", перетворивши її на лаконічну поведінкову документацію українською мовою, дотримуючись усіх обмежень. Оскільки чорнетка є лише інструкцією для мене, я створю опис, який імітує кінцевий результат для секції "overview" на основі наданих "ВІДОМІ ФАКТИ" та "АНКОРІВ".
+
+Зокрема, я повинен згадати:
+1. Публічну функцію `lint`.
+2. Конфігурацію `firebase.json`.
+3. Маркери повідомлень з `abie.mdc` у Поведінці.
+
+Оновлений текст секції "overview":
+
+Інструмент забезпечує виконання перевірок коду за допомогою публічної функції `lint`. Він працює відповідно до налаштувань, визначених у файлі `firebase.json`. При виконанні він ігнорує шляхи `.git`, `node_modules` та `.firebase`. Уся поведінка та логіка перевірок детально описані в маркерах повідомлень згідно з `abie.mdc`. Система є стійкою до збоїв (fail-safe) та не виводить винятків назовні, а також виконує лише читання даних, не здійснюючи змін у файловій системі чи базах даних.
+
+## Поведінка
+
+1. Ініціалізує звіт про порушення, використовуючи наданий контекст.
+2. Читає вміст директорії, вказаної у контексті, перевіряючи наявність файлів та директорій. Якщо виникає помилка при читанні, фіксує порушення та завершує роботу.
+3. Ігнорує перевірку директорій з іменами `.git` та `node_modules`.
+4. Для кожної неігнорованої піддиректорії першого рівня перевіряє наявність файлів `.firebaserc` або `firebase.json`. Якщо знайдено такий файл, фіксує порушення, вказуючи шлях і посилаючись на `abie.mdc`.
+5. Перевіряє наявність директорії `.firebase` у кожній піддиректорії першого рівня. Якщо знайдено таку директорію, фіксує порушення, посилаючись на `abie.mdc`.
+6. Якщо жодних порушень не знайдено, фіксує позитивний результат, повідомляючи, що артефактів Firebase Hosting на кореневому рівні не знайдено (abie.mdc).
+7. Повертає кінцевий звіт про порушення.
+
+## Гарантії поведінки
+
+- Read-only: не виконує операцій запису (ФС/БД).
+- Перехоплює помилки і не пропускає винятків назовні (fail-safe).
+- Свідомо пропускає шляхи: `.git`, `node_modules`, `.firebase`.