@7n/rules 1.0.0

package/rules/text/oxfmt/main.mjs

@@ -0,0 +1,48 @@
+/** @see ./docs/main.md */
+
+/**
+ * lint-поверхня `text/oxfmt`: read-only detector форматування через `oxfmt --list-different`.
+ * oxfmt — мандатний форматер проєкту (Prettier заборонено, text/forbidden-prettier); конфіг —
+ * `.oxfmtrc.json` (включно з `ignorePatterns`). Автофікс (`oxfmt --write`) — окремий T0
+ * `fix-oxfmt.mjs`, не в detector-і. Тул відсутній у PATH → SKIP (не violation), як інші зовнішні.
+ */
+import { spawnSync } from 'node:child_process'
+import { relative, resolve } from 'node:path'
+
+import { createViolationReporter } from '../../../scripts/lib/lint-surface/violation-reporter.mjs'
+import { resolveCmd } from '../../../scripts/utils/resolve-cmd.mjs'
+
+const JSON_MAX_BUFFER = 64 * 1024 * 1024
+const FMT_EXT_RE = /\.(?:m?[jt]s|c[jt]s|jsx|tsx|vue|css|scss)$/u
+// Безконфліктна formatter-домена: oxfmt-типи, що їх не форматує інше тулінг (md/json/yaml — поза).
+const FMT_GLOB = '**/*.{js,mjs,cjs,jsx,ts,tsx,mts,cts,vue,css,scss}'
+
+/**
+ * Detector: повертає по одному violation на кожен неформатований файл.
+ * @param {import('../../../scripts/lib/lint-surface/types.mjs').LintContext} ctx контекст lint-прогону (cwd, files)
+ * @returns {import('../../../scripts/lib/lint-surface/types.mjs').LintResult} результат із violation на кожен неформатований файл
+ */
+export function lint(ctx) {
+  const { cwd, files } = ctx
+  const reporter = createViolationReporter(ctx)
+  const oxfmt = resolveCmd('oxfmt')
+  if (!oxfmt) return reporter.result() // тул відсутній → skip
+
+  const targets = files === undefined ? [FMT_GLOB] : files.filter(f => FMT_EXT_RE.test(f))
+  if (targets.length === 0) return reporter.result()
+
+  const r = spawnSync(oxfmt, ['--list-different', ...targets], { cwd, encoding: 'utf8', maxBuffer: JSON_MAX_BUFFER })
+  const unformatted = (r.stdout ?? '')
+    .split('\n')
+    .map(s => s.trim())
+    .filter(Boolean)
+  for (const f of unformatted) {
+    const rel = relative(cwd, resolve(cwd, f)).split('\\').join('/')
+    reporter.fail(`${rel}: не відформатовано (oxfmt --write виправить; text.mdc)`, {
+      reason: 'oxfmt-unformatted',
+      file: rel,
+      data: { kind: 'oxfmt-unformatted' }
+    })
+  }
+  return reporter.result()
+}

package/rules/text/oxfmt/oxfmt.mdc

@@ -0,0 +1,11 @@
+## Форматування коду — oxfmt
+
+Усі файли формату-домени (`.js`, `.mjs`, `.cjs`, `.jsx`, `.ts`, `.tsx`, `.mts`, `.cts`, `.vue`, `.css`,
+`.scss`) мають бути відформатовані **oxfmt**. Prettier заборонено — див. `forbidden-prettier`. Канон
+формату — `.oxfmtrc.json` у корені проєкту (включно з `ignorePatterns`).
+
+`npx @7n/rules lint text` повідомляє неформатовані файли (`oxfmt --list-different`). Fix-режим
+(`npx @7n/rules lint`) виправляє їх детерміновано через `oxfmt --write` (T0, поза LLM). У CI
+(`--no-fix`) неформатовані файли — порушення без мутацій.
+
+Типи поза формату-доменою (`.md`, `.json`, `.yaml` тощо), де діє інше тулінг, цей концерн не зачіпає.

package/rules/text/oxfmtrc/concern.json

@@ -0,0 +1,9 @@
+{
+  "$schema": "https://unpkg.com/@7n/rules/schemas/concern.json",
+  "fixability": "config",
+  "policy": {
+    "files": {
+      "single": ".oxfmtrc.json"
+    }
+  }
+}

package/rules/text/oxfmtrc/oxfmtrc.mdc

@@ -0,0 +1,11 @@
+## Перевірка `.oxfmtrc.json` — конфігурація oxfmt форматера
+
+Rego-пакет: `text.oxfmtrc`
+
+Цільовий файл: `.oxfmtrc.json`
+
+**Що перевіряється:**
+
+- Наявність усіх обов'язкових ключів (presence-only): `arrowParens`, `printWidth`, `bracketSpacing`, `bracketSameLine`, `semi`, `singleQuote`, `tabWidth`, `trailingComma`, `useTabs`
+- Scalar leafs: точні значення відповідно до канонічного snippet
+- `ignorePatterns`: масив має бути надмножиною канонічних glob-ів (subset-of перевірка)

package/rules/text/oxfmtrc/oxfmtrc.rego

@@ -0,0 +1,55 @@
+# Перевірка `.oxfmtrc.json` (text.mdc).
+#
+# Канон надходить через --data: { "template": { "snippet": ... } }
+# Структура --data сформована з template/.oxfmtrc.json.snippet.json.
+# Generic walker: top-level scalar leaf-check + array subset-of (для ignorePatterns).
+#
+# Логіка, що ЛИШАЄТЬСЯ у rego (inverse — не виноситься у template):
+#  - required_keys: ключі, що мають бути присутні (presence-only, без точного значення).
+package text.oxfmtrc
+
+import rego.v1
+
+required_keys := [
+	"arrowParens",
+	"printWidth",
+	"bracketSpacing",
+	"bracketSameLine",
+	"semi",
+	"singleQuote",
+	"tabWidth",
+	"trailingComma",
+	"useTabs",
+]
+
+deny contains msg if {
+	some key in required_keys
+	not key in object.keys(input)
+	msg := sprintf(".oxfmtrc.json: відсутній обовʼязковий ключ %q (text.mdc)", [key])
+}
+
+deny contains msg if {
+	some key, expected_value in data.template.snippet
+	not is_array(expected_value)
+	not is_object(expected_value)
+	actual := object.get(input, key, null)
+	actual != expected_value
+	msg := sprintf(".oxfmtrc.json: %s має бути %v (text.mdc)", [key, expected_value])
+}
+
+deny contains msg if {
+	some field, expected_values in data.template.snippet
+	is_array(expected_values)
+	not is_array(object.get(input, field, null))
+	msg := sprintf(".oxfmtrc.json: додай масив %s з канонічними glob-ами (text.mdc)", [field])
+}
+
+deny contains msg if {
+	some field, expected_values in data.template.snippet
+	is_array(expected_values)
+	is_array(object.get(input, field, null))
+	actual_set := {v | some v in input[field]}
+	some required in expected_values
+	not required in actual_set
+	msg := sprintf(".oxfmtrc.json %s: додай %q (text.mdc)", [field, required])
+}

package/rules/text/oxfmtrc/template/.oxfmtrc.json.snippet.json

@@ -0,0 +1,8 @@
+{
+  "semi": false,
+  "singleQuote": true,
+  "tabWidth": 2,
+  "useTabs": false,
+  "printWidth": 120,
+  "ignorePatterns": ["**/hasura/metadata/**", "**/schema.graphql", "**/auto-imports.d.ts"]
+}

package/rules/text/package_json/concern.json

@@ -0,0 +1,9 @@
+{
+  "$schema": "https://unpkg.com/@7n/rules/schemas/concern.json",
+  "fixability": "config",
+  "policy": {
+    "files": {
+      "single": "package.json"
+    }
+  }
+}

package/rules/text/package_json/package_json.mdc

@@ -0,0 +1,35 @@
+## Перевірка `package.json` — текст-специфічні обмеження
+
+Rego-пакет: `text.package_json`
+
+Цільовий файл: `package.json`
+
+**Що перевіряється:**
+
+- Заборонені top-level поля: `prettier`
+- Заборонені пакети у `dependencies` / `devDependencies`: `prettier`, `@nitra/prettier-config`, `markdownlint-cli2` (використовуй `bunx` у lint-text)
+- `@nitra/cspell-dict` обов'язковий у `devDependencies` з версією `^2.0.0` або новішою
+- `scripts.*` — будь-який скрипт, що викликає `prettier` (через `bunx`, `npx`, прямо або через шлях), заборонений; використовуй `oxfmt`
+
+Список заборонених пакетів: [package.json.deny.json](./template/package.json.deny.json)
+
+**Приклади:**
+
+✓ правильно:
+
+```json
+{
+  "devDependencies": { "@nitra/cspell-dict": "^2.0.0" },
+  "scripts": { "format": "oxfmt --write ." }
+}
+```
+
+✗ неправильно:
+
+```json
+{
+  "prettier": "@nitra/prettier-config",
+  "devDependencies": { "prettier": "^3.0.0", "@nitra/cspell-dict": "^1.0.0" },
+  "scripts": { "fix": "bunx prettier --write ." }
+}
+```

package/rules/text/package_json/package_json.rego

@@ -0,0 +1,66 @@
+# Порт текст-специфічних перевірок `package.json` (text.mdc).
+#
+# Канон надходить через --data: { "template": { "deny": ... } }
+# Структура --data сформована з template/package.json.deny.json:
+#  - `top-level`: top-level forbidden fields (e.g. `prettier`)
+#  - `dependencies` / `devDependencies`: forbidden packages.
+#
+# Логіка, що ЛИШАЄТЬСЯ у rego (inverse, не виноситься у template):
+#  - `@nitra/cspell-dict` ^2.0.0+ обовʼязковий у devDependencies (presence + semver range).
+package text.package_json
+
+import rego.v1
+
+deny contains msg if {
+	some field, reason in data.template.deny["top-level"]
+	object.get(input, field, null) != null
+	msg := sprintf("package.json містить поле %q — %s", [field, reason])
+}
+
+deny contains msg if {
+	some pkg, reason in data.template.deny.dependencies
+	pkg in object.keys(object.get(input, "dependencies", {}))
+	msg := sprintf("package.json: dependencies містить %q — %s", [pkg, reason])
+}
+
+deny contains msg if {
+	some pkg, reason in data.template.deny.devDependencies
+	pkg in object.keys(object.get(input, "devDependencies", {}))
+	msg := sprintf("package.json: devDependencies містить %q — %s", [pkg, reason])
+}
+
+deny contains msg if {
+	dev := object.get(input, "devDependencies", {})
+	not "@nitra/cspell-dict" in object.keys(dev)
+	msg := "@nitra/cspell-dict у devDependencies обовʼязковий — bun add -d @nitra/cspell-dict@^2.0.0 (text.mdc)"
+}
+
+deny contains msg if {
+	range := object.get(object.get(input, "devDependencies", {}), "@nitra/cspell-dict", "")
+	range != ""
+	not cspell_dict_major_at_least_2(range)
+	msg := sprintf("@nitra/cspell-dict має бути ^2.0.0 або новіший (зараз %q) (text.mdc)", [range])
+}
+
+# Будь-який scripts.* з токеном `prettier` (наприклад `bunx prettier`, `npx prettier`,
+# `prettier --write`) — заборонено: каноном форматування є oxfmt (text.mdc).
+deny contains msg if {
+	some name, cmd in object.get(input, "scripts", {})
+	is_string(cmd)
+	script_invokes_prettier(cmd)
+	msg := sprintf("package.json: scripts.%s містить prettier — використовуй oxfmt (text.mdc)", [name])
+}
+
+cspell_dict_major_at_least_2(range) if {
+	match := regex.find_n(`^[\^~>=<]*\s*(\d+)`, range, 1)
+	count(match) > 0
+	major := to_number(regex.replace(match[0], `^[\^~>=<]*\s*`, ""))
+	major >= 2
+}
+
+# Token-based, щоб уникнути false-positive на словах типу `not-prettier` чи
+# `prettier-ignore` всередині інших ідентифікаторів. Виконавчий runner: команда
+# або шлях, що закінчується на `prettier`, або `prettier` як аргумент CLI.
+script_invokes_prettier(cmd) if {
+	regex.match(`(^|[\s/"'])prettier($|[\s'"@])`, cmd)
+}

package/rules/text/package_json/template/package.json.deny.json

@@ -0,0 +1,15 @@
+{
+  "top-level": {
+    "prettier": "Prettier заборонено — використовуй oxfmt (text.mdc)"
+  },
+  "dependencies": {
+    "prettier": "Prettier заборонено — використовуй oxfmt (text.mdc)",
+    "@nitra/prettier-config": "Prettier-конфіг заборонено — використовуй oxfmt (text.mdc)",
+    "markdownlint-cli2": "використовуй bunx у lint-text (text.mdc)"
+  },
+  "devDependencies": {
+    "prettier": "Prettier заборонено — використовуй oxfmt (text.mdc)",
+    "@nitra/prettier-config": "Prettier-конфіг заборонено — використовуй oxfmt (text.mdc)",
+    "markdownlint-cli2": "використовуй bunx у lint-text (text.mdc)"
+  }
+}

package/rules/text/run-dotenv-linter/concern.json

@@ -0,0 +1,7 @@
+{
+  "$schema": "https://unpkg.com/@7n/rules/schemas/concern.json",
+  "lint": {
+    "scope": "per-file",
+    "glob": ["**/.env", "**/.env.*"]
+  }
+}

package/rules/text/run-dotenv-linter/docs/fix-run-dotenv-linter.md

@@ -0,0 +1,43 @@
+---
+type: JS Module
+title: fix-run-dotenv-linter.mjs
+resource: npm/rules/text/run-dotenv-linter/fix-run-dotenv-linter.mjs
+docgen:
+  crc: b5c46c77
+  model: openai-codex/gpt-5.5
+  tier: cloud-avg
+  score: 90
+  issues: internal-name:runDotenvLinter,judge:inaccurate:0.99
+  judgeModel: openai-codex/gpt-5.4-mini
+---
+
+## Огляд
+
+Файл задає T0-autofix для `text/run-dotenv-linter`, перенесений із `text/check/fix-check.mjs` за `docs/specs/2026-07-02-text-check-per-file-split-design.md §1`. Публічна `patterns` вмикає сценарій, у якому достатньо факту, що `dotenv-linter` щось знайшов: виправлення делегується `runDotenvLinter` / `dotenv-linter fix`, без per-violation даних і без власного запису у ФС. Файл існує, щоб lint-система могла безпечно підключати autofix для `.env*`, свідомо пропускати `node_modules`, перехоплювати помилки fail-safe і для певних помилок повертати порожнє значення замість винятку.
+
+## Поведінка
+
+1. `patterns` оголошує T0-autofix для порушень `text/run-dotenv-linter`, щоб автоматично застосовувати виправлення `.env*` файлів через зовнішній dotenv-linter.
+
+2. `patterns` спрацьовує лише тоді, коли серед порушень є факт знаходження проблеми dotenv-linter; деталі окремих порушень для виправлення не потрібні.
+
+3. `patterns` перед виправленням знаходить `.env*` файли в межах репозиторію, включно з файлами, які можуть бути git-ignored.
+
+4. `patterns` свідомо пропускає шляхи всередині `node_modules`, а також службові або резервні env-файли, які не мають оброблятися як звичайні dotenv-файли.
+
+5. Якщо env-файлів немає або обхід файлів недоступний, `patterns` завершує роботу без змін і повертає порожній список змінених файлів.
+
+6. `patterns` фіксує початковий вміст знайдених env-файлів, запускає автоматичне виправлення та порівнює результат, щоб повідомити лише про реально змінені файли.
+
+7. Для кожного реально зміненого файлу `patterns` реєструє запис у контексті виконання, щоб lint-система коректно врахувала внесені autofix-зміни.
+
+8. Якщо виправлення змінили файли, `patterns` повертає список змінених файлів і коротке повідомлення з їх кількістю; якщо змін немає — повертає порожній результат.
+
+9. Помилки читання окремих файлів обробляються fail-safe: замість винятку використовується порожнє значення для порівняння, щоб autofix не переривав увесь lint-процес.
+
+## Гарантії поведінки
+
+- Read-only: не виконує операцій запису (ФС/БД).
+- Перехоплює помилки і не пропускає винятків назовні (fail-safe).
+- За певних помилок повертає порожнє значення (напр. `null`) замість винятку.
+- Свідомо пропускає шляхи: `node_modules`.

package/rules/text/run-dotenv-linter/docs/index.md

@@ -0,0 +1,12 @@
+---
+type: Directory Index
+title: npm/rules/text/run-dotenv-linter
+resource: npm/rules/text/run-dotenv-linter/
+---
+
+# npm/rules/text/run-dotenv-linter
+
+| Файл                                                  | Тип       |
+| ----------------------------------------------------- | --------- |
+| [fix-run-dotenv-linter.mjs](fix-run-dotenv-linter.md) | JS Module |
+| [main.mjs](main.md)                                   | JS Module |

package/rules/text/run-dotenv-linter/docs/main.md

@@ -0,0 +1,35 @@
+---
+type: JS Module
+title: main.mjs
+resource: npm/rules/text/run-dotenv-linter/main.mjs
+docgen:
+  crc: 1e0140eb
+  model: omlx/gemma-4-e4b-it-OptiQ-4bit
+  score: 100
+  issues: judge:inaccurate:0.98
+  judgeModel: openai-codex/gpt-5.4-mini
+---
+
+## Огляд
+
+Модуль забезпечує валідацію файлів `.env*` для конфігурації середовища. Викликаючи `runDotenvLinter`, здійснюється два етапи: спочатку автоматичне усунення помилок (`fix`) за допомогою `dotenv-linter`, який рекурсивно сканує файли, ігноруючи `node_modules` та `.envrc`, а також `.bak`-файли. Після виправлення виконується фінальна перевірка (`check`), щоб підтвердити відповідність стандарту. Доступні деталі проєкту можна знайти за посиланням https://git.io/JLbXn. Якщо `dotenv-linter` не встановлений, система інформує про необхідність його встановлення.
+
+## Поведінка
+
+Поведінка:
+
+1. Визначається шлях до інструменту `dotenv-linter`. Якщо інструмент відсутній у системному шляху, виводиться інформація про його встановлення, зокрема посилання https://git.io/JLbXn, та повертається код помилки.
+2. Визначаються шляхи, які виключаються з перевірки, зокрема `node_modules` та `.envrc`.
+3. Якщо виклик не виконується в режимі `readOnly`, ініціюється перший прогін `dotenv-linter` у режимі `fix` для автоматичного виправлення виявлених проблем у файлах `.env*`.
+4. Після потенційного авто-фіксу ініціюється другий прогін `dotenv-linter` у режимі `check`.
+5. Якщо `checkRun` повертає нульовий код виходу, процес вважається успішним.
+6. У разі помилки виконання або виявлення залишкових порушень у `checkRun`, виводиться відповідне повідомлення, а функція `runDotenvLinter` повертає код помилки.
+
+## Публічний API
+
+runDotenvLinter — автоматично виправляє помилки у конфігурації середовища та завершує перевірку. https://git.io/JLbXn
+
+## Гарантії поведінки
+
+- Read-only: не виконує операцій запису (ФС/БД).
+- Свідомо пропускає шляхи: `node_modules`.

package/rules/text/run-dotenv-linter/fix-run-dotenv-linter.mjs

@@ -0,0 +1,64 @@
+/**
+ * T0-autofix для `text/run-dotenv-linter` — `dotenv-linter fix`, перенесено з колишнього
+ * `text/check/fix-check.mjs` (spec docs/specs/2026-07-02-text-check-per-file-split-design.md §1).
+ * `runDotenvLinter(cwd, false)` сама застосовує всі виправлення — per-violation дані тут не
+ * потрібні, лише факт "dotenv-linter щось знайшов".
+ */
+import { readFileSync, readdirSync } from 'node:fs'
+import { basename, resolve, sep } from 'node:path'
+
+import { runDotenvLinter } from './main.mjs'
+
+/**
+ * Вміст файлу або null, якщо не читається.
+ * @param {string} abs абсолютний шлях
+ * @returns {string|null} вміст або null
+ */
+function readOrNull(abs) {
+  try {
+    return readFileSync(abs, 'utf8')
+  } catch {
+    return null
+  }
+}
+
+/**
+ * `.env*` файли проєкту (fs-walk — `.env` зазвичай git-ignored, тому не `git ls-files`).
+ * Виключає `node_modules`, `.envrc` (direnv, не key=value) і `.bak`.
+ * @param {string} cwd корінь репозиторію
+ * @returns {string[]} relative шляхи
+ */
+function listEnvFiles(cwd) {
+  let entries
+  try {
+    entries = readdirSync(cwd, { recursive: true, encoding: 'utf8' })
+  } catch {
+    return []
+  }
+  return entries.filter(p => {
+    const base = basename(p)
+    if (!base.startsWith('.env') || base === '.envrc' || base.endsWith('.bak')) return false
+    return !p.split(sep).includes('node_modules')
+  })
+}
+
+/** @type {import('../../../scripts/lib/lint-surface/types.mjs').T0Pattern[]} */
+export const patterns = [
+  {
+    id: 'text-dotenv-fix',
+    standalone: true, // §8 Phase 2: dotenv-linter fix сам ре-аналізує, test() не потрібен
+    test: violations => violations.some(v => v.reason === 'dotenv-linter'),
+    apply: (violations, ctx) => {
+      const files = listEnvFiles(ctx.cwd)
+      if (files.length === 0) return { touchedFiles: [] }
+      const abs = files.map(f => resolve(ctx.cwd, f))
+      const before = new Map(abs.map(a => [a, readOrNull(a)]))
+      runDotenvLinter(ctx.cwd, false)
+      const touchedFiles = abs.filter(a => readOrNull(a) !== before.get(a))
+      for (const a of touchedFiles) ctx.recordWrite?.(a)
+      return touchedFiles.length > 0
+        ? { touchedFiles, message: `dotenv-linter fix: ${touchedFiles.length} файл(ів)` }
+        : { touchedFiles: [] }
+    }
+  }
+]

package/rules/text/run-dotenv-linter/main.mjs

@@ -0,0 +1,122 @@
+/**
+ * Запуск dotenv-linter у ланцюжку lint-text: спочатку авто-фікс, потім фінальна перевірка.
+ *
+ * dotenv-linter — швидкий лінтер для `.env`-файлів (LowercaseKey, DuplicatedKey, IncorrectDelimiter,
+ * UnorderedKey тощо). Інструмент очікується у PATH і **не** додається в `dependencies`/`devDependencies`
+ * (аналогічно shellcheck). Якщо `dotenv-linter` відсутній — друкуємо підказки встановлення
+ * (`brew install dotenv-linter` на macOS) і повертаємо 1.
+ *
+ * Файли шукає сам `dotenv-linter` у режимі `-r` (рекурсивно по дереву проєкту). Виключаємо
+ * `node_modules` і `.envrc` (direnv shell-синтаксис, не key=value формат). `.bak`-файли інструмент
+ * ігнорує самостійно. Якщо `.env*`-файлів немає, dotenv-linter повертає 0 ("Nothing to check").
+ *
+ * Авто-фікс — один прогон `dotenv-linter fix -r --no-backup --quiet . --exclude …` (інструмент сам
+ * застосовує усі виправлення без потреби в diff/patch, на відміну від shellcheck). Після цього —
+ * фінальний `dotenv-linter check -r --quiet . --exclude …`; будь-яке залишкове порушення — ненульовий
+ * код виходу.
+ */
+import { spawnSync } from 'node:child_process'
+import { resolve } from 'node:path'
+
+import { isRunAsCli } from '../../../scripts/cli-entry.mjs'
+import { resolveCmd } from '../../../scripts/utils/resolve-cmd.mjs'
+import { createViolationReporter } from '../../../scripts/lib/lint-surface/violation-reporter.mjs'
+
+/** Каталоги/файли, які виключаємо з рекурсивного сканування dotenv-linter. */
+const EXCLUDED_PATHS = ['node_modules', '.envrc']
+
+/** `.env`-файли — фільтр delta-списку файлів у `lint(ctx)` (basename, не розширення). */
+const ENV_BASENAME_RE = /(?:^|\/)\.env(?:\.|$)/u
+
+/**
+ * Друкує підказки встановлення dotenv-linter у stderr.
+ * @returns {void}
+ */
+function printDotenvLinterInstallHints() {
+  process.stderr.write(
+    [
+      '❌ dotenv-linter не знайдено в PATH.',
+      'Встанови інструмент і повтори lint-text:',
+      '  macOS:    brew install dotenv-linter',
+      '  Linux:    curl -sSfL https://git.io/JLbXn | sh -s -- -b /usr/local/bin',
+      '  cargo:    cargo install dotenv-linter',
+      ''
+    ].join('\n')
+  )
+}
+
+/**
+ * Будує позиційні аргументи-цілі для dotenv-linter: явний список файлів (delta) або
+ * рекурсивний `-r . --exclude …` (full — поточна поведінка без змін).
+ * @param {string[]} [scopeFiles] явний перелік файлів
+ * @returns {string[]} аргументи для `fix`/`check`
+ */
+function buildTargetArgs(scopeFiles) {
+  if (scopeFiles !== undefined) return scopeFiles
+  return ['-r', ...EXCLUDED_PATHS.flatMap(p => ['--exclude', p]), '.']
+}
+
+/**
+ * Запускає dotenv-linter з авто-фіксом і фінальною перевіркою.
+ * @param {string} [cwd] робочий каталог (за замовчуванням `process.cwd()`)
+ * @param {boolean} [readOnly] true → пропустити авто-фікс (`fix`), лише `check` (нуль мутацій)
+ * @param {string[]} [scopeFiles] явний перелік `.env*`-файлів (delta) — якщо не задано, рекурсивний `-r .`
+ * @returns {number} 0 — OK; 1 — інструмент відсутній або є залишкові порушення
+ */
+export function runDotenvLinter(cwd, readOnly, scopeFiles) {
+  const root = resolve(cwd ?? process.cwd())
+  const bin = resolveCmd('dotenv-linter')
+  if (!bin) {
+    printDotenvLinterInstallHints()
+    return 1
+  }
+
+  const targets = buildTargetArgs(scopeFiles)
+  if (!readOnly) {
+    const fixRun = spawnSync(bin, ['fix', '--no-backup', '--quiet', ...targets], {
+      cwd: root,
+      encoding: 'utf8',
+      env: process.env,
+      stdio: ['ignore', 'pipe', 'pipe']
+    })
+    if (fixRun.error) {
+      process.stderr.write(`${fixRun.error.message}\n`)
+      return 1
+    }
+  }
+
+  const checkRun = spawnSync(bin, ['check', '--quiet', ...targets], {
+    cwd: root,
+    encoding: 'utf8',
+    env: process.env,
+    stdio: ['ignore', 'pipe', 'pipe']
+  })
+  if (checkRun.error) {
+    process.stderr.write(`${checkRun.error.message}\n`)
+    return 1
+  }
+  if (checkRun.status === 0) return 0
+  if (checkRun.stdout?.length) process.stdout.write(checkRun.stdout)
+  if (checkRun.stderr?.length) process.stderr.write(checkRun.stderr)
+  return 1
+}
+
+/**
+ * Detector text/run-dotenv-linter: read-only dotenv-linter по `ctx.files` (delta) або по всіх `.env*` (full).
+ * @param {import('../../../scripts/lib/lint-surface/types.mjs').LintContext} ctx контекст lint-прогону
+ * @returns {import('../../../scripts/lib/lint-surface/types.mjs').LintResult} результат detector-а
+ */
+export function lint(ctx) {
+  const reporter = createViolationReporter(ctx)
+  const { fail } = reporter
+  const scopeFiles = ctx.files === undefined ? undefined : ctx.files.filter(f => ENV_BASENAME_RE.test(f))
+  if (scopeFiles !== undefined && scopeFiles.length === 0) return reporter.result()
+
+  const code = runDotenvLinter(ctx.cwd, true, scopeFiles)
+  if (code !== 0) fail('dotenv-linter знайшов порушення у .env* (text.mdc)', 'dotenv-linter')
+  return reporter.result()
+}
+
+if (isRunAsCli(import.meta.url)) {
+  process.exitCode = runDotenvLinter()
+}

package/rules/text/run-shellcheck/concern.json

@@ -0,0 +1,7 @@
+{
+  "$schema": "https://unpkg.com/@7n/rules/schemas/concern.json",
+  "lint": {
+    "scope": "per-file",
+    "glob": ["**/*.sh"]
+  }
+}

package/rules/text/run-shellcheck/docs/fix-run-shellcheck.md

@@ -0,0 +1,40 @@
+---
+type: JS Module
+title: fix-run-shellcheck.mjs
+resource: npm/rules/text/run-shellcheck/fix-run-shellcheck.mjs
+docgen:
+  crc: 90367c61
+  model: openai-codex/gpt-5.5
+  tier: cloud-avg
+  score: 90
+  issues: internal-name:runShellcheckText,judge:inaccurate:0.98
+  judgeModel: openai-codex/gpt-5.4-mini
+---
+
+## Огляд
+
+Файл описує T0-autofix для `text/run-shellcheck`: публічна функція `patterns` визначає факт, що `shellcheck` знайшов порушення, без per-violation деталей. Повторний аналіз і цикл `shellcheck -f diff` + `patch` делеговано `runShellcheckText`, тому цей файл лишається read-only і не виконує записів у ФС. Він існує, щоб безпечно під’єднати shellcheck-автовиправлення до механізму T0, fail-safe перехоплювати помилки й повертати порожнє значення замість винятку там, де виправлення недоступне.
+
+## Поведінка
+
+1. `patterns` оголошує автономне T0-виправлення для порушень `shellcheck`.
+
+2. Виправлення запускається лише тоді, коли серед знайдених порушень є проблема, позначена як `shellcheck`.
+
+3. Якщо в робочій теці немає shell-скриптів, виправлення завершується без змін.
+
+4. Перед автозастосуванням правок фіксується поточний вміст знайдених shell-скриптів, щоб після виконання визначити, які файли реально змінилися.
+
+5. Автовиправлення делегує повний цикл повторного аналізу та застосування patch-правок самому shellcheck-сценарію, тому окремі деталі кожного порушення тут не обробляються.
+
+6. Після виконання порівнюється стан файлів до й після виправлення; зміненими вважаються лише файли з відмінним вмістом.
+
+7. Для змінених файлів реєструється факт запису та повертається повідомлення з кількістю виправлених файлів.
+
+8. Якщо shellcheck не вніс змін або читання окремого файлу неможливе, результат залишається безпечним: виняток назовні не передається, а файл не вважається зміненим без підтвердженої різниці.
+
+## Гарантії поведінки
+
+- Read-only: не виконує операцій запису (ФС/БД).
+- Перехоплює помилки і не пропускає винятків назовні (fail-safe).
+- За певних помилок повертає порожнє значення (напр. `null`) замість винятку.

package/rules/text/run-shellcheck/docs/index.md

@@ -0,0 +1,12 @@
+---
+type: Directory Index
+title: npm/rules/text/run-shellcheck
+resource: npm/rules/text/run-shellcheck/
+---
+
+# npm/rules/text/run-shellcheck
+
+| Файл                                            | Тип       |
+| ----------------------------------------------- | --------- |
+| [fix-run-shellcheck.mjs](fix-run-shellcheck.md) | JS Module |
+| [main.mjs](main.md)                             | JS Module |