@7n/rules 1.14.1 → 1.16.0

package/CHANGELOG.md

@@ -1,5 +1,17 @@
 # Changelog
 
+## [1.16.0] - 2026-07-18
+
+### Added
+
+- k8s: новий концерн dremio_logging — logback.xml Dremio Helm-чарту має містити WARN-оверрайди для шести відомо-шумних loggerів (rego, XML через conftest, detection-only)
+
+## [1.15.0] - 2026-07-18
+
+### Added
+
+- Плагінна архітектура мовних екосистем (фаза 1 spec lang-plugins-extraction): новий порт `EcosystemProvider` у `@7n/rules/plugin-api` (detect/available/backup/bump/diff/promptFor/cleanup + `assertEcosystemProvider`), taze-оркестратор веде не-npm гілки генеричним циклом по провайдерах — Rust як вбудований first-party (`rust-provider.mjs`), Python/uv виїхав у окремий плагін `@7n/rules-lang-python` (автодетект за кореневим pyproject.toml, extension-point `taze` — перший реальний споживач handlers-API). Плагін без rules/ із `contributes.rules:false` тепер легальний (лише handlers); провал однієї екосистеми не зупиняє інших
+
 ## [1.14.1] - 2026-07-18
 
 ### Changed

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@7n/rules",
-  "version": "1.14.1",
+  "version": "1.16.0",
   "description": "CLI еталонних правил і skills (префікс n-): синк у репозиторій, дельта-lint, конформність",
   "keywords": [
     "cli",
@@ -51,6 +51,7 @@
   "exports": {
     ".": "./bin/n-rules.js",
     "./package.json": "./package.json",
+    "./plugin-api": "./scripts/lib/plugin-api.mjs",
     "./scripts/*": "./scripts/*",
     "./schemas/*": "./schemas/*",
     "./rules/*": "./rules/*"

package/rules/k8s/dremio_logging/concern.json

@@ -0,0 +1,8 @@
+{
+  "$schema": "https://unpkg.com/@7n/rules/schemas/concern.json",
+  "policy": {
+    "files": {
+      "walkGlob": "**/dremio_v2/config/logback.xml"
+    }
+  }
+}

package/rules/k8s/dremio_logging/dremio_logging.mdc

@@ -0,0 +1,31 @@
+## WARN-оверрайди шумних loggerів у logback.xml Dremio
+
+Rego-пакет: `k8s.dremio_logging`
+
+**Цільові файли:** `**/dremio_v2/config/logback.xml` — vendored-конфіг логування Dremio Helm-чарту. Це XML (не YAML): conftest парсить його нативно (парсер інферується за розширенням). Кожна env-копія (`dev/dremio_v2/…`, `ua/dremio_v2/…` тощо) перевіряється окремо — без крос-файлової дедуплікації. Cross-file gating (як у `hasura_configmap`) не потрібен: шлях сам ідентифікує Dremio-чарт.
+
+**Що перевіряється:** для кожного FQCN зі списку нижче має існувати `<logger name="<FQCN>" level="warn"/>` (рівень case-insensitive; «строгіше» — `error`/`off` — теж ок). Кожен запис-дублікат для FQCN має задовольняти вимогу окремо (конфліктні дублікати — порушення: logback бере останній, конфіг має бути однозначним).
+
+| FQCN |
+|------|
+| `com.dremio.sabot.exec.fragment.FragmentExecutor` |
+| `com.dremio.sabot.exec.fragment.FragmentStatusReporter` |
+| `com.dremio.sabot.exec.QueryTicket` |
+| `com.dremio.service.reflection.descriptor.MaterializationCache` |
+| `com.dremio.exec.planner.plancache.PlanCacheSynchronizer` |
+| `com.dremio.exec.planner.plancache.CacheRefresher` |
+
+**Чому:** ці loggerи (усі на одному `planning-cache-refresher` треді; підтверджено живою перевіркою в проді) пишуть INFO на кожен запит/фоновий цикл і домінують обсяг логів у Cloud Logging без діагностичної цінності понад WARN. Список фіксований — не розширюй «про запас»; нові loggerи — окремою ітерацією.
+
+**Приклад валідного фрагмента:**
+
+```xml
+<logger name="com.dremio.sabot.exec.fragment.FragmentExecutor" level="warn"/>
+<logger name="com.dremio.sabot.exec.fragment.FragmentStatusReporter" level="warn"/>
+<logger name="com.dremio.sabot.exec.QueryTicket" level="warn"/>
+<logger name="com.dremio.service.reflection.descriptor.MaterializationCache" level="warn"/>
+<logger name="com.dremio.exec.planner.plancache.PlanCacheSynchronizer" level="warn"/>
+<logger name="com.dremio.exec.planner.plancache.CacheRefresher" level="warn"/>
+```
+
+**Autofix:** відсутній (detection-only, як `hasura_httproute`) — XML-трансформ складніший за YAML `setIn`; T0-fix, за потреби, окремою ітерацією.

package/rules/k8s/dremio_logging/dremio_logging.rego

@@ -0,0 +1,86 @@
+# WARN-оверрайди шумних loggerів у logback.xml Dremio Helm-чарту.
+#
+# Проблема: перелічені нижче FQCN (усі живуть на одному `planning-cache-refresher`
+# треді) пишуть INFO-логи на кожен запит/фоновий цикл і домінують обсяг у
+# Cloud Logging без діагностичної цінності понад WARN. Вимога: у кожній копії
+# vendored-конфігу `dremio_v2/config/logback.xml` (наприклад `dev/…` і `ua/…` —
+# кожна env-копія перевіряється окремо, без крос-файлової дедуплікації) має бути
+# `<logger name="<FQCN>" level="warn"/>` для кожного FQCN зі списку
+# `required_loggers`, з рівнем "warn" або строгішим ("error", "off").
+#
+# Вхід — XML: conftest інферить парсер за розширенням `.xml`. Конвенція
+# представлення (див. `conftest parse`):
+#   - атрибути мають префікс "-" (`-name`, `-level`);
+#   - один дочірній елемент → об'єкт, кілька → масив. Тому `<logger>`
+#     нормалізується у `loggers` (завжди масив).
+#
+# Запуск (локально):
+#   conftest test path/to/dremio_v2/config/logback.xml \
+#     -p npm/rules/k8s/dremio_logging \
+#     --namespace k8s.dremio_logging
+#
+# Список FQCN підтверджено живою перевіркою в проді — не розширюй «про запас».
+#
+# Структура каталогу збігається зі шляхом пакету (regal: directory-package-mismatch).
+# Конвенція проєкту — `import rego.v1` + multi-value `deny contains msg if { … }`.
+package k8s.dremio_logging
+
+import rego.v1
+
+# Обов'язкові WARN-оверрайди (FQCN відомо-шумних loggerів Dremio).
+required_loggers := {
+	"com.dremio.sabot.exec.fragment.FragmentExecutor",
+	"com.dremio.sabot.exec.fragment.FragmentStatusReporter",
+	"com.dremio.sabot.exec.QueryTicket",
+	"com.dremio.service.reflection.descriptor.MaterializationCache",
+	"com.dremio.exec.planner.plancache.PlanCacheSynchronizer",
+	"com.dremio.exec.planner.plancache.CacheRefresher",
+}
+
+# Рівні logback, що задовольняють вимогу «warn або строгіше».
+allowed_levels := {"warn", "error", "off"}
+
+# Нормалізація <logger>: один елемент XML-парсер віддає об'єктом, кілька — масивом.
+# Тіла взаємовиключні (is_array/is_object), default покриває відсутність елемента
+# (зокрема logback.xml без <configuration>-кореня → порожній список → deny на
+# кожен обов'язковий FQCN).
+default loggers := []
+
+loggers := input.configuration.logger if is_array(input.configuration.logger)
+
+loggers := [input.configuration.logger] if is_object(input.configuration.logger)
+
+# Усі записи <logger> для заданого FQCN (записи без атрибута name пропускаються).
+entries_for(name) := [l |
+	some l in loggers
+	l["-name"] == name
+]
+
+# Нормалізований рівень запису; undefined, якщо атрибут level відсутній або не рядок.
+entry_level(l) := lower(trim_space(l["-level"])) if is_string(l["-level"])
+
+# Запис задовольняє вимогу: level читається і є warn/error/off.
+entry_ok(l) if entry_level(l) in allowed_levels
+
+# FQCN узагалі не має <logger>-оверрайду.
+deny contains msg if {
+	some name in required_loggers
+	count(entries_for(name)) == 0
+	msg := sprintf(
+		"logback.xml: додай <logger name=\"%s\" level=\"warn\"/> — шумний Dremio-logger заливає Cloud Logging (k8s.mdc)",
+		[name],
+	)
+}
+
+# Оверрайд є, але слабший за warn (info/debug/trace), без level або з не-рядковим
+# level. Вимога до КОЖНОГО запису з цим FQCN: дублікати з конфліктними рівнями
+# (logback бере останній) — теж порушення, конфіг має бути однозначним.
+deny contains msg if {
+	some name in required_loggers
+	some l in entries_for(name)
+	not entry_ok(l)
+	msg := sprintf(
+		"logback.xml: <logger name=\"%s\"> має рівень %v — постав level=\"warn\" або строгіше (error/off) (k8s.mdc)",
+		[name, object.get(l, "-level", "«відсутній»")],
+	)
+}

package/scripts/lib/docs/index.md

@@ -6,6 +6,7 @@ resource: npm/scripts/lib/
 
 | Файл                                                                        | Тип       |
 | --------------------------------------------------------------------------- | --------- |
+| [acp-runner.mjs](acp-runner.md)                                             | JS Module |
 | [assert-project-root.mjs](assert-project-root.md)                           | JS Module |
 | [blue-oak.mjs](blue-oak.md)                                                 | JS Module |
 | [changed-files.mjs](changed-files.md)                                       | JS Module |
@@ -23,7 +24,9 @@ resource: npm/scripts/lib/
 | [list-rule-ids.mjs](list-rule-ids.md)                                       | JS Module |
 | [load-cursor-config.mjs](load-cursor-config.md)                             | JS Module |
 | [mirror-parity.mjs](mirror-parity.md)                                       | JS Module |
-| [read-n-rules-config-lite.mjs](read-n-rules-config-lite.md)               | JS Module |
+| [plugin-api.mjs](plugin-api.md)                                             | JS Module |
+| [read-n-rules-config-lite.mjs](read-n-rules-config-lite.md)                 | JS Module |
+| [resolve-plugins.mjs](resolve-plugins.md)                                   | JS Module |
 | [resolve-target-files.mjs](resolve-target-files.md)                         | JS Module |
 | [root-notice.mjs](root-notice.md)                                           | JS Module |
 | [rule-meta-helpers.mjs](rule-meta-helpers.md)                               | JS Module |

package/scripts/lib/docs/plugin-api.md

@@ -0,0 +1,31 @@
+---
+type: JS Module
+title: plugin-api.mjs
+resource: npm/scripts/lib/plugin-api.mjs
+docgen:
+  crc: dc4f4a12
+  model: omlx/gemma-4-e4b-it-OptiQ-4bit
+  tier: local-min-retry
+  score: 100
+  issues: judge:inaccurate:0.98
+  judgeModel: openai-codex/gpt-5.4-mini
+---
+
+## Огляд
+
+Публічний API для плагінів `@7n/rules` (експорт `@7n/rules/plugin-api`). У фазі 1 (`spec 2026-07-18-lang-plugins-extraction`) реалізовано порт `EcosystemProvider` для `taze`. Плагін реєструє провайдера через маніфест `package.json`: `"n-rules": { "contributes": { "handlers": { "taze": "./taze/provider.mjs" } } }`, причому модуль-обробник експортує об'єкт провайдера як `default`. Публічні функції включають `PLUGIN_API_VERSION` та `assertEcosystemProvider`. Ядро реекспортує Semver-утиліти для коректної класифікації major/minor версій плагінами, використовуючи той самий принцип caret-семантики, що й ядро, без дублювання коду та імпорту внутрішніх шляхів `@7n/rules`.
+
+## Поведінка
+
+- PLUGIN_API_VERSION визначає версію контракту plugin-api.
+- assertEcosystemProvider перевіряє, чи об'єкт, наданий плагіном, відповідає очікуваній структурі EcosystemProvider, і викидає відповідну помилку, якщо він не валідний.
+
+## Публічний API
+
+- PLUGIN_API_VERSION — версія контракту plugin-api; плагін декларує `requiresPluginApi`, несумісність дає зрозумілий skip, не креш.
+- isBreaking / parseVersion — реекспорт semver-утиліт ядра для однакової класифікації major/minor у плагінах.
+- assertEcosystemProvider — перевіряє, чи має default-експорт handler-модуля плагіна необхідну форму EcosystemProvider, щоб система могла виявити помилку чітко замість непередбачуваної.
+
+## Гарантії поведінки
+
+- Read-only: не виконує операцій запису (ФС/БД).

package/scripts/lib/docs/resolve-plugins.md

@@ -3,15 +3,15 @@ type: JS Module
 title: resolve-plugins.mjs
 resource: npm/scripts/lib/resolve-plugins.mjs
 docgen:
-  crc: 4fbb42be
+  crc: ef33c272
 ---
 
 Резолв плагінів @7n/rules: визначає, які пакети-плагіни активні у проєкті, де їхні `rules/`-каталоги, які capabilities вони надають і які handlers надають.
 
-Джерело правди — поле `plugins: string[]` у `.n-rules.json`; воно завжди перекриває автодетект, а явний порожній масив означає «плагіни вимкнено». Якщо поля немає, `detectPluginsFromRepo` шукає файлові сигнали: наявність yml у `.github/workflows/` дає `@7n/rules-ci-github`, файл `azure-pipelines.yml` у корені — `@7n/rules-ci-azure` (реєстр `KNOWN_CI_PLUGINS`). Лише коли файлових сигналів немає, вмикається fallback за `repository.url` кореневого package.json (`github.com` → github, `dev.azure.com`/`visualstudio.com` → azure). Обидва сигнали дають обидва плагіни, жодного — порожній список.
+Джерело правди — поле `plugins: string[]` у `.n-rules.json`; воно завжди перекриває автодетект, а явний порожній масив означає «плагіни вимкнено». Якщо поля немає, `detectPluginsFromRepo` шукає файлові сигнали: наявність yml у `.github/workflows/` дає `@7n/rules-ci-github`, файл `azure-pipelines.yml` у корені — `@7n/rules-ci-azure` (реєстр `KNOWN_CI_PLUGINS`). Лише коли файлових CI-сигналів немає, вмикається fallback за `repository.url` кореневого package.json (`github.com` → github, `dev.azure.com`/`visualstudio.com` → azure). Обидва сигнали дають обидва плагіни, жодного — порожній список. Окремо від CI детектяться мовні плагіни (реєстр `KNOWN_LANG_PLUGINS`, лише файлові сигнали, без URL-fallback): кореневий `pyproject.toml` → `@7n/rules-lang-python`.
 
 `ensurePluginInstalled` ставить відсутній плагін через `bun add -d` (пакет стає devDependency — зміна видима у diff). Будь-який фейл установки (offline, пакет не опублікований) — warning і graceful skip, ніколи не hard-fail: лінт і синк мають працювати без мережі.
 
-`resolvePlugins(projectRoot, config, options)` — головна функція: повертає масив `{name, packageRoot, rulesDir, manifest}` доступних плагінів з кешем на процес. `options.allowInstall: false` — hot-path режим (hook, lint): лише вже встановлені пакети, без `bun add`; `options.quiet: true` глушить warning-и (hook викликається на кожен файл). Плагін без каталогу `rules/` пропускається.
+`resolvePlugins(projectRoot, config, options)` — головна функція: повертає масив `{name, packageRoot, rulesDir, manifest}` доступних плагінів з кешем на процес. `options.allowInstall: false` — hot-path режим (hook, lint): лише вже встановлені пакети, без `bun add`; `options.quiet: true` глушить warning-и (hook викликається на кожен файл). Плагін, що декларує правила (`contributes.rules !== false`), але не має каталогу `rules/`, пропускається як битий; плагін із явним `contributes.rules: false` (лише handlers, як `lang-*`) — легальний, `resolveRulesDirs` його просто не включає у джерела правил.
 
-Маніфест — блок `"n-rules"` у package.json плагіна: `capabilities` (масив рядків на кшталт `ci:github`, живлять гейт концернів `requires.capability`) і `contributes.handlers` (мапа extension-point → відносний шлях модуля). `getActiveCapabilities` агрегує capabilities усіх плагінів у Set; `getHandlers(point)` повертає абсолютні шляхи модулів-обробників (v1 — лише API, споживачі handlers з'являться у v2). `resolveRulesDirs` віддає впорядковані джерела правил: ядро завжди перше (його правила й концерни виграють колізії), далі плагіни у порядку списку. `clearPluginResolveCache` скидає кеш (для тестів).
+Маніфест — блок `"n-rules"` у package.json плагіна: `capabilities` (масив рядків на кшталт `ci:github`, живлять гейт концернів `requires.capability`) і `contributes.handlers` (мапа extension-point → відносний шлях модуля). `getActiveCapabilities` агрегує capabilities усіх плагінів у Set; `getHandlers(point)` повертає абсолютні шляхи модулів-обробників (перший реальний споживач — taze-оркестратор, extension-point `taze`). `resolveRulesDirs` віддає впорядковані джерела правил: ядро завжди перше (його правила й концерни виграють колізії), далі плагіни у порядку списку. `clearPluginResolveCache` скидає кеш (для тестів).

package/scripts/lib/plugin-api.mjs

@@ -0,0 +1,71 @@
+/**
+ * Публічний API для плагінів `@7n/rules` (експорт `@7n/rules/plugin-api`).
+ *
+ * Фаза 1 (spec 2026-07-18-lang-plugins-extraction): один порт — `EcosystemProvider`
+ * для taze. Плагін реєструє провайдера через маніфест package.json:
+ * `"n-rules": { "contributes": { "handlers": { "taze": "./taze/provider.mjs" } } }`;
+ * модуль-обробник експортує обʼєкт провайдера як `default`. Наступні порти
+ * (doc-files, lint) додаються окремими фазами — не проєктуються наперед.
+ *
+ * Semver-утиліти ядра реекспортуються звідси, щоб плагіни класифікували
+ * major/minor за тим самим правилом caret-семантики, що й ядро, без
+ * дублювання коду і без імпорту внутрішніх шляхів `@7n/rules`.
+ */
+export { isBreaking, parseVersion } from '../../skills/taze/js/diff.mjs'
+
+/** Версія контракту plugin-api: плагін декларує `requiresPluginApi`, несумісність → skip, не креш. */
+export const PLUGIN_API_VERSION = 1
+
+/**
+ * @typedef {(cmd: string, args: string[], opts?: object) => { status: number|null, stdout: string, stderr: string }} SpawnFn
+ * Сумісний зі `spawnSync` виклик зовнішньої команди (інжектовний у тестах).
+ */
+
+/**
+ * @typedef {object} EcosystemAvailability
+ * @property {boolean} ok чи доступний тулчейн екосистеми (напр. `uv --version` → exit 0)
+ * @property {string|null} reason зрозуміла людині причина недоступності для звіту (null, якщо ok)
+ */
+
+/**
+ * @typedef {object} EcosystemProvider
+ * Порт однієї екосистеми залежностей для taze-оркестратора. Ядро викликає методи
+ * в порядку: `detect` → (`available`) → `backup` → `bump` → `diff` → по кожному
+ * major-запису `promptFor` → `cleanup`. Провал `bump`/`diff` одного провайдера
+ * не зупиняє інших.
+ * @property {string} id стабільний ідентифікатор (напр. `python-uv`)
+ * @property {string} title заголовок секції звіту (напр. `Python-пакети (uv)`)
+ * @property {string} manifestNoun назва маніфеста для звіту (напр. `pyproject.toml`)
+ * @property {string} skillSection посилання на ручну гілку SKILL.md у звіті-skip (напр. `Python-гілкою SKILL.md`)
+ * @property {(cwd: string, deps: { spawnFn: SpawnFn }) => string[]} detect відносні шляхи знайдених маніфестів (порожньо → екосистеми в проєкті немає, тиша у звіті)
+ * @property {(spawnFn: SpawnFn) => EcosystemAvailability} available чи встановлений тулчейн; `ok:false` → graceful skip із `reason` у звіті
+ * @property {(cwd: string, manifests: string[], deps: object) => Promise<void>} backup бекап маніфестів/lock-файлів (`<file>.taze-bak`)
+ * @property {(cwd: string, manifests: string[], ctx: { spawnFn: SpawnFn, log: (line: string) => void, deps: object }) => Promise<void>} bump масовий bump до latest (включно з major)
+ * @property {(cwd: string, manifests: string[], deps: object) => Promise<{major: Array<{manifest: string, pkg: string, from: string, to: string}>, minorPatch: number, totalChanged: number}>} diff детермінована класифікація major vs minor/patch (бекап vs поточний)
+ * @property {(entry: {manifest: string, pkg: string, from: string, to: string}) => string} promptFor промпт одного ізольованого виклику раннера для одного major-запису
+ * @property {(cwd: string, manifests: string[], deps: object) => Promise<void>} cleanup прибирання бекапів
+ */
+
+const REQUIRED_PROVIDER_FUNCTIONS = ['detect', 'available', 'backup', 'bump', 'diff', 'promptFor', 'cleanup']
+const REQUIRED_PROVIDER_STRINGS = ['id', 'title', 'manifestNoun', 'skillSection']
+
+/**
+ * Валідує форму провайдера з модуля плагіна — зрозуміла помилка замість
+ * «undefined is not a function» глибоко в оркестраторі.
+ * @param {unknown} candidate default-експорт handler-модуля плагіна
+ * @param {string} source ім'я плагіна/шлях модуля для повідомлення
+ * @returns {EcosystemProvider} той самий обʼєкт, якщо валідний
+ */
+export function assertEcosystemProvider(candidate, source) {
+  if (!candidate || typeof candidate !== 'object') {
+    throw new TypeError(`plugin-api: ${source} — default-експорт не є обʼєктом EcosystemProvider`)
+  }
+  const missing = [
+    ...REQUIRED_PROVIDER_STRINGS.filter(k => typeof candidate[k] !== 'string' || candidate[k] === ''),
+    ...REQUIRED_PROVIDER_FUNCTIONS.filter(k => typeof candidate[k] !== 'function')
+  ]
+  if (missing.length > 0) {
+    throw new TypeError(`plugin-api: ${source} — EcosystemProvider без обовʼязкових полів: ${missing.join(', ')}`)
+  }
+  return /** @type {EcosystemProvider} */ (candidate)
+}

package/scripts/lib/resolve-plugins.mjs

@@ -22,12 +22,17 @@ import { existsSync, readdirSync, readFileSync } from 'node:fs'
 import { spawnSync } from 'node:child_process'
 import { join, resolve } from 'node:path'
 
-/** Відомі плагіни для автовизначення: сигнал у дереві репо → npm-пакет. */
+/** Відомі CI-плагіни для автовизначення: сигнал у дереві репо → npm-пакет. */
 export const KNOWN_CI_PLUGINS = Object.freeze({
   github: '@7n/rules-ci-github',
   azure: '@7n/rules-ci-azure'
 })
 
+/** Відомі мовні плагіни: файловий сигнал екосистеми в корені репо → npm-пакет. */
+export const KNOWN_LANG_PLUGINS = Object.freeze({
+  python: { signal: 'pyproject.toml', pkg: '@7n/rules-lang-python' }
+})
+
 const WORKFLOW_YML_RE = /\.ya?ml$/u
 const GITHUB_URL_RE = /github\.com/iu
 const AZURE_URL_RE = /dev\.azure\.com|visualstudio\.com/iu
@@ -72,9 +77,9 @@ function hasGithubWorkflows(projectRoot) {
  * Файлові сигнали мають пріоритет; `repository.url` — лише коли файлових сигналів нема
  * (свіже репо без CI-конфігів). Обидва сигнали → обидва плагіни; жодного → [].
  * @param {string} projectRoot корінь репозиторію
- * @returns {string[]} npm-імена плагінів
+ * @returns {string[]} npm-імена CI-плагінів
  */
-export function detectPluginsFromRepo(projectRoot) {
+function detectCiPlugins(projectRoot) {
   const out = []
   if (hasGithubWorkflows(projectRoot)) out.push(KNOWN_CI_PLUGINS.github)
   if (existsSync(join(projectRoot, 'azure-pipelines.yml'))) out.push(KNOWN_CI_PLUGINS.azure)
@@ -88,6 +93,21 @@ export function detectPluginsFromRepo(projectRoot) {
   return out
 }
 
+/**
+ * Автодетект плагінів за станом репозиторію: CI-плагіни (файлові сигнали з
+ * fallback на `repository.url`) + мовні плагіни (лише файлові сигнали —
+ * маніфест екосистеми в корені; URL-fallback для мов безглуздий).
+ * @param {string} projectRoot корінь репозиторію
+ * @returns {string[]} npm-імена плагінів
+ */
+export function detectPluginsFromRepo(projectRoot) {
+  const out = detectCiPlugins(projectRoot)
+  for (const { signal, pkg } of Object.values(KNOWN_LANG_PLUGINS)) {
+    if (existsSync(join(projectRoot, signal))) out.push(pkg)
+  }
+  return out
+}
+
 /**
  * Список плагінів проєкту: явний `config.plugins` (включно з порожнім = вимкнено) або автодетект.
  * @param {string} projectRoot корінь репозиторію
@@ -183,12 +203,15 @@ export function resolvePlugins(projectRoot, config, options = {}) {
       }
       continue
     }
+    const manifest = readPluginManifest(packageRoot)
     const rulesDir = join(packageRoot, 'rules')
-    if (!existsSync(rulesDir)) {
+    if (manifest.contributes.rules && !existsSync(rulesDir)) {
+      // Плагін ДЕКЛАРУЄ правила (rules !== false), але каталогу нема — битий пакет.
+      // Плагін без правил (лише handlers, напр. lang-* до фази 3) — легальний.
       if (options.quiet !== true) console.warn(`⚠️  Плагін ${name} без каталогу rules/ — пропускаю\n`)
       continue
     }
-    out.push({ name, packageRoot, rulesDir, manifest: readPluginManifest(packageRoot) })
+    out.push({ name, packageRoot, rulesDir, manifest })
   }
   RESOLVE_CACHE.set(cacheKey, out)
   return out
@@ -207,7 +230,9 @@ export function resolveRulesDirs(projectRoot, config, bundledRulesDir, options =
   const plugins = resolvePlugins(projectRoot, config, options)
   return [
     { name: '@7n/rules', rulesDir: bundledRulesDir, packageRoot: null },
-    ...plugins.map(p => ({ name: p.name, rulesDir: p.rulesDir, packageRoot: p.packageRoot }))
+    ...plugins
+      .filter(p => p.manifest.contributes.rules && existsSync(p.rulesDir))
+      .map(p => ({ name: p.name, rulesDir: p.rulesDir, packageRoot: p.packageRoot }))
   ]
 }
 

package/skills/taze/SKILL.md

@@ -20,10 +20,17 @@ version: '1.2'
 прогін міг зависати без жодної діагностики (один величезний непрозорий хід на
 весь монорепо, без проміжних зупинок для перевірки прогресу). Замість цього `npm/skills/taze/js/orchestrate.mjs`:
 
-1. Детерміновано, без LLM, виконує кроки 1-3 нижче для всіх гілок: npm/bun (бекап → `bunx taze -w -r latest` → `bun install` → `n-rules taze diff`); якщо знайдені `Cargo.toml`, Rust (бекап → `cargo upgrade --incompatible allow` → `cargo update` → `collectCargoDiff` з `cargo-diff.mjs`, детермінований cargo-еквівалент `n-rules taze diff` — парсить кожен `Cargo.toml` через `smol-toml`, класифікує major за тим самим правилом caret-семантики, включно з Cargo-скороченими версіями `"1"`/`"0.4"`); якщо знайдений кореневий `pyproject.toml`, Python (бекап → по кожній прямій залежності `uv remove <pkg>` + `uv add <pkg>[extras] --bounds lower` → `collectUvDiff` з `uv-diff.mjs`, парсить PEP 508/PEP 440 через `smol-toml`, той самий caret-принцип класифікації).
+1. Детерміновано, без LLM, виконує кроки 1-3 нижче для всіх гілок: npm/bun (бекап → `bunx taze -w -r latest` → `bun install` → `n-rules taze diff`); якщо знайдені `Cargo.toml`, Rust (бекап → `cargo upgrade --incompatible allow` → `cargo update` → `collectCargoDiff` з `cargo-diff.mjs`, детермінований cargo-еквівалент `n-rules taze diff` — парсить кожен `Cargo.toml` через `smol-toml`, класифікує major за тим самим правилом caret-семантики, включно з Cargo-скороченими версіями `"1"`/`"0.4"`); якщо знайдений кореневий `pyproject.toml`, Python (бекап → по кожній прямій залежності `uv remove <pkg>` + `uv add <pkg>[extras] --bounds lower` → `collectUvDiff`, парсить PEP 508/PEP 440 через `smol-toml`, той самий caret-принцип класифікації).
 2. Для кожного **окремого** major-пакета/крейта з diff-у — один ізольований, обмежений виклик обраного раннера (кроки 4-6, лише для цього запису; промпт генерує `buildDependencyPrompt`/`buildCargoDependencyPrompt`/`buildUvDependencyPrompt`, не цей SKILL.md).
 3. Детерміновано прибирає бекапи (крок 7) і компонує звіт (крок 8) з результатів усіх ітерацій.
 
+Не-npm екосистеми оркестратор веде через **EcosystemProvider-порт**
+(`@7n/rules/plugin-api`, spec `docs/specs/2026-07-18-lang-plugins-extraction-spec.md`):
+Rust — вбудований first-party провайдер (`rust-provider.mjs`, до фази 2), Python —
+плагін **`@7n/rules-lang-python`** (автодетект за кореневим `pyproject.toml`,
+доставляється автоматично при першому запуску; extension-point `taze`). На
+чисто-JS проєкті без цих сигналів у звіті немає навіть згадки про інші екосистеми.
+
 Якщо `Cargo.toml` знайдені, але `cargo-edit` не встановлено — Rust-гілка **не**
 блокує інші гілки: оркестратор пропускає Rust-обробку і в звіті перелічує
 знайдені `Cargo.toml` як такі, що потребують ручного прогону (нижче). Так само,

package/skills/taze/js/docs/index.md

@@ -4,9 +4,9 @@ title: npm/skills/taze/js
 resource: npm/skills/taze/js/
 ---
 
-| Файл                              | Тип       |
-| --------------------------------- | --------- |
-| [cargo-diff.mjs](cargo-diff.md)   | JS Module |
-| [diff.mjs](diff.md)               | JS Module |
-| [orchestrate.mjs](orchestrate.md) | JS Module |
-| [uv-diff.mjs](uv-diff.md)         | JS Module |
+| Файл                                  | Тип       |
+| ------------------------------------- | --------- |
+| [cargo-diff.mjs](cargo-diff.md)       | JS Module |
+| [diff.mjs](diff.md)                   | JS Module |
+| [orchestrate.mjs](orchestrate.md)     | JS Module |
+| [rust-provider.mjs](rust-provider.md) | JS Module |

package/skills/taze/js/docs/orchestrate.md

@@ -3,7 +3,7 @@ type: JS Module
 title: orchestrate.mjs
 resource: npm/skills/taze/js/orchestrate.mjs
 docgen:
-  crc: 56fd9864
+  crc: a1a1ade0
   model: openai-codex/gpt-5.4-mini
   score: 100
   issues: judge:inaccurate:0.98
@@ -12,34 +12,29 @@ docgen:
 
 ## Огляд
 
-Оркеструє `taze` для трьох екосистем — npm/bun, Rust (Cargo) і Python (uv) — детерміновано, без LLM: бекап маніфестів → масовий bump (`bunx taze`/`cargo upgrade`/по-пакетний `uv remove`+`uv add --bounds lower`) → diff класифікація major vs minor/patch → прибирання бекапів → Markdown-звіт (`formatReport`). Для КОЖНОГО окремого major-пакета/крейта з diff-у виконує один ізольований, обмежений виклик обраного раннера (`buildDependencyPrompt`/`buildCargoDependencyPrompt`/`buildUvDependencyPrompt` + `callRunner`) — лише перевірка сумісності й рефакторинг, не сам bump. Файл виконує реальні файлові операції (копіює/видаляє бекапи `package.json`/`Cargo.toml`/`Cargo.lock`/`pyproject.toml`/`uv.lock`) і запускає зовнішні команди (`bunx`, `bun`, `cargo`, `uv`, `git`, `find`) — не read-only.
+Оркеструє taze детерміновано, без LLM для службових кроків: бекап маніфестів → масовий bump → diff-класифікація major vs minor/patch → прибирання бекапів → Markdown-звіт. Для КОЖНОГО окремого major-пакета з diff-у виконує один ізольований, обмежений виклик обраного раннера — лише перевірка сумісності й рефакторинг, не сам bump. npm/bun-гілка вбудована; решта екосистем — `EcosystemProvider`-и (контракт `@7n/rules/plugin-api`): Rust як first-party (`rust-provider.mjs`), інші — з плагінів (`@7n/rules-lang-*`, extension-point `taze`). Файл виконує реальні файлові операції (бекапи) і запускає зовнішні команди (`bunx`, `bun`, `git`, команди провайдерів) — не read-only.
 
 ## Поведінка
 
-- **buildDependencyPrompt** / **buildCargoDependencyPrompt** / **buildUvDependencyPrompt** — формують промпт ОДНОГО ітеративного виклику (лише перевірка сумісності й рефакторинг) для одного major-пакета npm/Cargo/uv відповідно.
+- **buildDependencyPrompt** — формує промпт ОДНОГО ітеративного виклику (лише перевірка сумісності й рефакторинг) для одного major-пакета npm/bun.
 - **callRunner** — диспетчер одного ітеративного виклику: `pi` — вбудований pi-агент (текст через `deps.out`), `cursor`/`codex` — napi-міст ACP (`@7n/llm-lib/acp`).
 - **backupWorkspacePackageFiles** / **cleanupBackups** — бекап і прибирання `package.json` кожного воркспейсу.
-- **backupCargoManifests** / **cleanupCargoBackups** — бекап і прибирання кожного `Cargo.toml` + спільного кореневого `Cargo.lock`.
-- **backupUvManifest** / **cleanupUvBackups** — бекап і прибирання кореневого `pyproject.toml` + `uv.lock`.
-- **findCargoManifests** — знаходить усі `Cargo.toml` поза `node_modules`/`.worktrees`/`target`.
-- **findPyprojectManifest** — перевіряє наявність кореневого `pyproject.toml` (uv-конвенція — один файл, не per-package обхід).
-- **formatReport** — компонує підсумковий Markdown-звіт (minor/patch, major-оновлення по кожній з трьох гілок, загальний обсяг змін) без окремого LLM-виклику.
-- **runTazeOrchestrator** — повний прогін: перевіряє, що `cwd` — ізольований worktree, послідовно обробляє npm-, Rust- (за наявності `Cargo.toml` і `cargo-edit`) і Python-гілку (за наявності `pyproject.toml` і `uv`) — бекап → bump → diff → ізольовані виклики раннера по кожному major-запису → прибирання — і повертає звіт.
+- **loadPluginTazeProviders** — завантажує провайдерів з активних плагінів: `.n-rules.json`/автодетект → `resolvePlugins` (плагін доставляється автоматично при першому запуску) → handler-модулі extension-point `taze` → валідація `assertEcosystemProvider`; битий плагін — warning і пропуск, не провал.
+- **formatReport** — компонує підсумковий Markdown-звіт (npm-гілка + секція на кожну екосистему з manifests; екосистема без manifests — тиша) без окремого LLM-виклику.
+- **runTazeOrchestrator** — повний прогін: перевіряє, що `cwd` — ізольований worktree, виконує npm-гілку, далі кожного провайдера наскрізь (detect → available → backup → bump → diff → ізольовані виклики раннера по major-записах → cleanup) і повертає звіт.
 
 ## Публічний API
 
-- buildDependencyPrompt / buildCargoDependencyPrompt / buildUvDependencyPrompt — промпт одного major-запису відповідної екосистеми.
+- buildDependencyPrompt — промпт одного npm-major-запису.
 - callRunner — виклик обраного раннера (`pi`/`cursor`/`codex`) з одним промптом.
 - backupWorkspacePackageFiles / cleanupBackups — бекап/прибирання `package.json` воркспейсів.
-- backupCargoManifests / cleanupCargoBackups — бекап/прибирання `Cargo.toml`/`Cargo.lock`.
-- backupUvManifest / cleanupUvBackups — бекап/прибирання `pyproject.toml`/`uv.lock`.
-- findCargoManifests — список знайдених `Cargo.toml` у репозиторії.
-- findPyprojectManifest — список (0 або 1 запис) кореневого `pyproject.toml`.
-- formatReport — фінальний Markdown-звіт із результатів усіх трьох гілок.
-- runTazeOrchestrator — повна оркестрація taze для npm/bun + Rust + Python.
+- loadPluginTazeProviders — валідні EcosystemProvider-и з handler-модулів плагінів.
+- formatReport — фінальний Markdown-звіт із npm-результатів і записів екосистем.
+- runTazeOrchestrator — повна оркестрація taze; `deps.ecosystemProviders` повністю замінює список провайдерів (для тестів).
 
 ## Гарантії поведінки
 
 - Виконує файлові операції (копіювання/видалення бекапів) і запускає зовнішні команди — НЕ read-only.
 - Перед будь-якою мутацією перевіряє, що `cwd` — ізольований worktree (`assertRunningInWorktree`), інакше кидає виняток.
-- Падіння одного пакета/крейта в ізольованому виклику раннера не втрачає прогрес по інших записах.
+- Виняток усередині одного провайдера (bump/diff/команда) не зупиняє інших — фіксується в `error` запису екосистеми й у звіті; `ok` результату тоді false.
+- Падіння одного пакета в ізольованому виклику раннера не втрачає прогрес по інших записах.

package/skills/taze/js/docs/rust-provider.md

@@ -0,0 +1,42 @@
+---
+type: JS Module
+title: rust-provider.mjs
+resource: npm/skills/taze/js/rust-provider.mjs
+docgen:
+  crc: db99881b
+  model: openai-codex/gpt-5.4-mini
+  tier: cloud-min
+  score: 100
+  issues: judge:inaccurate:0.99
+  judgeModel: openai-codex/gpt-5.4-mini
+---
+
+## Огляд
+
+Огляд
+
+Модуль `rustProvider` об’єднує публічні кроки для роботи з Cargo-залежностями: `findCargoManifests` знаходить `Cargo.toml` у репозиторії, `buildCargoDependencyPrompt` готує запит для major-оновлення Rust-крейта, `backupCargoManifests` створює резервні копії маніфестів, а `cleanupCargoBackups` прибирає їх після завершення.  
+
+`rustProvider` — вбудований first-party EcosystemProvider Rust/Cargo для taze-оркестратора (контракт `@7n/rules/plugin-api`); до фази 2 живе в ядрі, далі виїде в `@7n/rules-lang-rust`. Модуль виконує реальні файлові операції (бекапи `Cargo.toml`/`Cargo.lock`) і запускає зовнішні команди (`find`, `cargo upgrade`/`cargo update`) — не read-only; сам до мережі не звертається (посилання на crates.io — лише текст промпта для раннера).
+
+## Поведінка
+
+- `buildCargoDependencyPrompt` — формує текст завдання для перевірки major-оновлення одного Rust-крейта: підказує звірити breaking changes через сторінку на `https://crates.io/crates/`, changelog або releases репозиторію, знайти зачеплене використання в коді й або нічого не змінювати, або виконати сумісний рефакторинг із підсумком у відповіді.
+- `findCargoManifests` — знаходить `Cargo.toml` у репозиторії, свідомо пропускаючи `node_modules`, `.worktrees` і `target`.
+- `backupCargoManifests` — створює резервні копії всіх знайдених `Cargo.toml` і спільного кореневого `Cargo.lock`.
+- `cleanupCargoBackups` — видаляє резервні копії `Cargo.toml` і `Cargo.lock` після завершення роботи.
+- `rustProvider` — описує вбудованого provider для Rust/Cargo в taze: визначає виявлення маніфестів, перевірку доступності через `cargo-edit`, резервне копіювання, оновлення залежностей, побудову prompt і очищення бекапів.
+
+## Публічний API
+
+- buildCargoDependencyPrompt — Формує prompt для одного LLM-циклу оновлення major-версії одного Rust-крейта; оркестратор окремо робить решту кроків без LLM.
+- findCargoManifests — Підбирає всі `Cargo.toml`, оминаючи `node_modules`, `.worktrees` і `target`.
+- backupCargoManifests — Зберігає копії кожного `Cargo.toml` і спільного кореневого `Cargo.lock`; розраховано на один workspace-lock у корені `cwd`, без підтримки кількох незалежних workspace.
+- cleanupCargoBackups — Видаляє тимчасові бекапи `Cargo.toml` і `Cargo.lock` після завершення роботи.
+- rustProvider — Вбудований Rust/Cargo provider для taze-оркестратора у форматі `@7n/rules/plugin-api`; надалі має перейти в `@7n/rules-lang-rust`.
+
+## Гарантії поведінки
+
+- Виконує файлові операції (бекапи) і запускає зовнішні команди (`find`, `cargo`) — НЕ read-only.
+- Провал cargo-команди в `bump` кидає помилку з exit-кодом і stderr.
+- Пошук маніфестів свідомо пропускає шляхи: `node_modules`, `.worktrees`, `target`.