@7n/rules 1.16.1 → 1.17.0

package/CHANGELOG.md

@@ -1,5 +1,15 @@
 # Changelog
 
+## [1.17.0] - 2026-07-18
+
+### Changed
+
+- lint --path став diff-aware (перетин path ∩ git diff, full-scope концерни виключені; стара поведінка — --path --full), дозволено `lint <domain> --path`, нові --base/--repo-wide і команда ci plan (outputs для GitHub Actions/Azure)
+
+### Fixed
+
+- bun/licensee: crash самого тула (stderr/die) — fail-open warn-діагностика замість блокувального порушення; несумісність @npmcli/arborist із деревом bun install перманентно червонила repo-wide CI-гейт
+
 ## [1.16.1] - 2026-07-18
 
 ### Fixed

package/bin/n-rules.js

@@ -13,9 +13,13 @@
  *                                     за замовчуванням fix-by-default по дельті vs origin (лише `per-file` правила); `--full` =
  *                                     весь репо (`per-file` ∪ `full`); `--no-fix` = без мутацій/LLM (CI); позиційні
  *                                     (не-флаг) аргументи — фільтр правил конформності (мапить колишній `fix <rule>`);
- *                                     `--path <dir>` = звузити файловий набір до піддиректорії, корінь прогону (root-guard,
- *                                     `.n-rules.json`) лишається поточним каталогом/`--cwd`, не сумісний з rule-фільтром.
+ *                                     `--path <dir>` = перетин піддиректорії з git-дельтою (лише per-file правила; з `--full` —
+ *                                     все піддерево), корінь прогону (root-guard, `.n-rules.json`) лишається поточним
+ *                                     каталогом/`--cwd`; сумісний із rule-фільтром (`lint js --path run/nexus`);
+ *                                     `--repo-wide` = лише full-scope правила (knip/jscpd/dep-policy) по всьому репо.
  *                                     CI = `lint --no-fix --full` (весь репо, нуль мутацій/LLM).
+ *   `npx \@7n/rules ci plan`     — skip-логіка сервіс-орієнтованого CI-канону: перетин дельти з `--path` → job outputs
+ *                                     «які lint-домени запускати» (`--github` → $GITHUB_OUTPUT, `--azure` → ##vso).
  *   `npx \@7n/rules skill list`     — скіли пакета без синку в проєкт
  *   `npx \@7n/rules skill taze`     — промпт на stdout
  *   `npx \@7n/rules skill cursor taze ["task"]` — Cursor CLI (`cursor-agent -p`)
@@ -1639,11 +1643,18 @@ function printLintHelp() {
                   з нього.
   --path <dir>    Звузити файловий набір до піддиректорії, лишивши корінь
                   прогону незмінним (config/root-guard — з поточного каталогу
-                  чи --cwd). per-file правила фільтруються по файлах <dir>;
-                  full-scope правила (jscpd, cspell тощо) при спрацюванні
-                  все одно йдуть по всьому репо. Несумісний з позиційним
-                  rule/concern-фільтром; з --full full-вісь ігнорується
-                  (немає machine-wide локу).
+                  чи --cwd). Дефолт — ПЕРЕТИН піддерева з git-дельтою
+                  (vs merge-base main/origin/main або --base), лише per-file
+                  правила (сервіс-орієнтований CI-канон). З --full — все
+                  піддерево, full-scope правила при спрацюванні йдуть по
+                  всьому репо (історична поведінка; без machine-wide локу).
+                  Сумісний із позиційним rule/concern-фільтром
+                  (lint js --path run/nexus).
+  --base <ref>    Явна база дельти (merge-base HEAD <ref>) замість каскаду
+                  main → origin/main — для CI-чекаутів.
+  --repo-wide     ЛИШЕ full-scope правила (knip, jscpd, dep-policy тощо),
+                  весь репозиторій — окремий CI-workflow, що не гейтить
+                  деплой сервісів. Не поєднується з --path/фільтром.
   --verbose       Розширений вивід детекції та виправлення.
   --help, -h      Ця довідка.
 
@@ -1655,7 +1666,12 @@ function printLintHelp() {
   npx @7n/rules lint --full
   npx @7n/rules lint --no-fix eslint
   npx @7n/rules lint --cwd ./packages/foo --verbose
-  npx @7n/rules lint --path npm/scripts/lib/lint-surface --no-fix
+  npx @7n/rules lint js --path run/nexus --no-fix --base origin/main
+  npx @7n/rules lint --repo-wide --no-fix
+
+Skip-логіка CI (яка джоба взагалі потрібна): npx @7n/rules ci plan
+  ci plan [--path <dir>] [--base <ref>] [--github|--azure|--json]
+  --github → outputs у $GITHUB_OUTPUT; --azure → ##vso-рядки в stdout.
 `)
 }
 
@@ -1700,7 +1716,9 @@ try {
     if (ROOT_GUARDED_COMMANDS.has(command)) {
       assertCwdIsProjectRoot(effectiveRoot, describeRootGuardedAction(command))
     }
-    await ensureNRulesInRootDevDependencies(effectiveRoot)
+    // `ci` (plan) — read-only гейт-команда для CI-джоб: не мутує package.json
+    // (ensure дописав би devDependency прямо в чекауті pipeline-агента).
+    if (command !== 'ci') await ensureNRulesInRootDevDependencies(effectiveRoot)
     // Підкоманди-оркестратори (hook/lint/skill/adr-normalize-local/taze/release тощо)
     // можуть спавнити внутрішню agent/LLM-сесію — ADR Stop-hooks (capture/normalize)
     // мають пропустити її як технічний шум, не людську думку (spec 2026-06-30).
@@ -1734,24 +1752,58 @@ try {
         // (той самий explicitFiles-шлях, що вже годує hook --post-tool-use/--stop).
         const pathIdx = args.indexOf('--path')
         const pathArg = pathIdx === -1 ? null : args[pathIdx + 1]
+        // --base <ref>: явна база дельти для CI (merge-base HEAD ↔ ref замість
+        // каскаду main→origin/main) — надійний diff у checkout-ах з fetch.
+        const baseIdx = args.indexOf('--base')
+        const baseRef = baseIdx === -1 ? null : args[baseIdx + 1]
+        const repoWide = args.includes('--repo-wide')
         const rules = args.filter(
-          (a, i) => !a.startsWith('-') && !(cwdIdx !== -1 && i === cwdIdx + 1) && !(pathIdx !== -1 && i === pathIdx + 1)
+          (a, i) =>
+            !a.startsWith('-') &&
+            !(cwdIdx !== -1 && i === cwdIdx + 1) &&
+            !(pathIdx !== -1 && i === pathIdx + 1) &&
+            !(baseIdx !== -1 && i === baseIdx + 1)
         )
-        if (pathArg !== null && rules.length > 0) {
-          throw new Error(
-            '--path не можна поєднувати зі scoped rule/concern фільтром (позиційні аргументи) — оберіть щось одне'
-          )
+        if (repoWide && (pathArg !== null || rules.length > 0)) {
+          throw new Error('--repo-wide не поєднується з --path чи scoped rule/concern фільтром — оберіть щось одне')
         }
+        // --path (сервіс-канон): дефолт — перетин піддерева з git-дельтою, лише
+        // per-file concerns (pathMode). --path --full — історична поведінка: все
+        // піддерево, full-scope concerns при збігу glob ідуть whole-repo. База
+        // дельти не резолвиться → fail-open на повне піддерево (не мовчазний скіп).
         let pathFiles = null
+        let pathMode = false
         if (pathArg !== null) {
-          const { collectPathScopedFiles } = await import('../scripts/lib/lint-surface/path-scope.mjs')
-          pathFiles = await collectPathScopedFiles(cwdArg, pathArg)
+          const { collectPathScopedFiles, collectPathScopedChangedFiles } =
+            await import('../scripts/lib/lint-surface/path-scope.mjs')
+          if (args.includes('--full')) {
+            pathFiles = await collectPathScopedFiles(cwdArg, pathArg)
+          } else {
+            const scoped = await collectPathScopedChangedFiles(cwdArg, pathArg, { baseRef })
+            if (scoped.baseResolved) {
+              pathFiles = scoped.files
+              pathMode = true
+            } else {
+              console.warn(
+                '⚠️ lint --path: база дельти не резолвиться (немає main/origin/main чи --base-ref) — fail-open: лінтиться все піддерево'
+              )
+              pathFiles = await collectPathScopedFiles(cwdArg, pathArg)
+            }
+          }
         }
         // --full + --path: buildPlan ігнорує full, коли передано explicitFiles (той самий
         // шлях), тож і тут full-вісь вважаємо неактивною — інакше глобальний machine-wide
         // лок --full брався б для швидкого scoped-прогону без причини.
-        const full = args.includes('--full') && pathArg === null
-        const lintOpts = { cwd: cwdArg, full, rules, verbose: args.includes('--verbose'), files: pathFiles }
+        const full = args.includes('--full') && pathArg === null && !repoWide
+        const lintOpts = {
+          cwd: cwdArg,
+          full,
+          rules,
+          verbose: args.includes('--verbose'),
+          files: pathFiles,
+          pathMode,
+          repoWide
+        }
         const noFix = args.includes('--no-fix')
         // Глобальна черга full-прогонів (spec 2026-07-03): одночасно виконується один
         // `lint --full` на машину, паралельні --full чекають лока і бачать чергу та
@@ -1778,6 +1830,16 @@ try {
 
         break
       }
+      case 'ci': {
+        // n-rules ci plan — skip-логіка сервіс-орієнтованого CI-канону: рахує
+        // перетин git-дельти з --path (каталог сервісу) і віддає job outputs
+        // «які lint-домени запускати» для GitHub Actions (--github →
+        // $GITHUB_OUTPUT) та Azure Pipelines (--azure → ##vso-рядки).
+        const { runCiPlanCli } = await import('../scripts/lib/lint-surface/ci-plan.mjs')
+        process.exitCode = await runCiPlanCli(args)
+
+        break
+      }
       case 'taze': {
         // n-rules taze diff — read-only semver-diff package.json ↔ package.json.taze-bak
         // (root + воркспейси) для скілу n-taze: скрипт класифікує major-оновлення,
@@ -1816,7 +1878,7 @@ try {
       default: {
         console.error(`❌ Невідома команда: ${command}`)
         console.error(
-          `   Очікується: (без аргументів) синхронізація правил, rename-yaml-extensions, hook, adr-normalize-local, lint (включно зі scope: lint ga|rego|k8s|docker|text), taze, release, skill, doc-aggregate`
+          `   Очікується: (без аргументів) синхронізація правил, rename-yaml-extensions, hook, adr-normalize-local, lint (включно зі scope: lint ga|rego|k8s|docker|text), ci plan, taze, release, skill, doc-aggregate`
         )
         process.exitCode = 1
       }

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@7n/rules",
-  "version": "1.16.1",
+  "version": "1.17.0",
   "description": "CLI еталонних правил і skills (префікс n-): синк у репозиторій, дельта-lint, конформність",
   "keywords": [
     "cli",

package/rules/bun/licensee/docs/main.md

@@ -3,13 +3,13 @@ type: JS Module
 title: main.mjs
 resource: npm/rules/bun/licensee/main.mjs
 docgen:
-  crc: 48c72e2b
+  crc: 3f4c4d25
   model: manual
 ---
 
 ## Огляд
 
-Read-only detector `bun/licensee`: перевіряє ліцензії npm-залежностей проєкту через зовнішній інструмент `licensee` (`bun x licensee`), звіряючи їх з allowlist у `.licensee.json`. Розрізняє два принципово різні провали: `licensee` знайшов реально заборонену ліцензію (`license-violation`) — і `licensee` сам впав з помилкою (`licensee-crashed`), наприклад через несумісність `@npmcli/arborist` (яким він читає `node_modules`) з деревом, зібраним `bun install`.
+Read-only detector `bun/licensee`: перевіряє ліцензії npm-залежностей проєкту через зовнішній інструмент `licensee` (`bun x licensee`), звіряючи їх з allowlist у `.licensee.json`. Розрізняє два принципово різні провали: `licensee` знайшов реально заборонену ліцензію (`license-violation`) — і `licensee` сам впав з помилкою (fail-open діагностика, не порушення), наприклад через несумісність `@npmcli/arborist` (яким він читає `node_modules`) з деревом, зібраним `bun install`.
 
 ## Поведінка
 
@@ -17,12 +17,12 @@ Read-only detector `bun/licensee`: перевіряє ліцензії npm-за
 2. Якщо `bun` не знайдено в PATH — `bun-missing`.
 3. Запускає `bun x licensee --production --errors-only` (без `--quiet` — реальне порушення потребує деталі: ім'я/версія/ліцензія пакета, які `licensee` пише в stdout через `print()`).
 4. Статус 0 — без порушень.
-5. Статус ≠ 0 і є вивід у **stderr** — трактується як crash/`die()` самого `licensee` (invalid config або необроблений виняток усередині тула), НЕ як ліцензійне порушення: `licensee-crashed`, повідомлення включає stderr і підказку перевірити вручну `bunx licensee --production`.
+5. Статус ≠ 0 і є вивід у **stderr** — трактується як crash/`die()` самого `licensee` (invalid config або необроблений виняток усередині тула), НЕ як ліцензійне порушення: **fail-open** — warn-діагностика (видима у `--verbose`, не блокує exit code) зі stderr і підказкою перевірити вручну `bunx licensee --production`; fail-closed тут перманентно червонив би CI bun-монорепо.
 6. Статус ≠ 0 і stderr порожній, є вивід у **stdout** — це справжній `NOT APPROVED`-звіт від `licensee` (`--errors-only` друкує лише невідповідні пакети): `license-violation` з деталлю пакета/ліцензії у повідомленні.
 
 ## Публічний API
 
-- `lint(ctx)` — detector-контракт unified lint surface; повертає `{ violations }`.
+- `lint(ctx)` — detector-контракт unified lint surface; повертає `{ violations }` (при crash тула — `{ violations: [], diagnostics }`).
 
 ## Гарантії поведінки
 

package/rules/bun/licensee/main.mjs

@@ -44,17 +44,25 @@ export function lint(ctx) {
   if (r.status !== 0) {
     const stderr = (r.stderr ?? '').trim().slice(0, 2000)
     if (stderr) {
-      fail(
-        `lint-bun: licensee — інструмент завершився з помилкою, це НЕ підтверджене ліцензійне порушення ` +
-          `(код ${r.status}, bun.mdc). Ймовірна причина — несумісність @npmcli/arborist (яким licensee читає ` +
-          `node_modules) з деревом, зібраним bun install. Перевір вручну: \`bunx licensee --production\`.\n${stderr}`,
-        'licensee-crashed'
-      )
-    } else {
-      const stdout = (r.stdout ?? '').trim().slice(0, 2000)
-      const detail = stdout ? `\n${stdout}` : ''
-      fail(`lint-bun: licensee — порушення ліцензій (код ${r.status}, bun.mdc)${detail}`, 'license-violation')
+      // Crash самого тула — НЕ підтверджене ліцензійне порушення: fail-open
+      // діагностикою (не блокує CI-гейт). Fail-closed тут перманентно червонив би
+      // bun-монорепо: @npmcli/arborist (яким licensee читає node_modules)
+      // несумісний із деревом bun install.
+      const result = reporter.result()
+      result.diagnostics = [
+        {
+          level: 'warn',
+          message:
+            `lint-bun: licensee — інструмент завершився з помилкою, це НЕ підтверджене ліцензійне порушення ` +
+            `(код ${r.status}, bun.mdc). Ймовірна причина — несумісність @npmcli/arborist з деревом bun install. ` +
+            `Перевір вручну: \`bunx licensee --production\`.\n${stderr}`
+        }
+      ]
+      return result
     }
+    const stdout = (r.stdout ?? '').trim().slice(0, 2000)
+    const detail = stdout ? `\n${stdout}` : ''
+    fail(`lint-bun: licensee — порушення ліцензій (код ${r.status}, bun.mdc)${detail}`, 'license-violation')
   }
   return reporter.result()
 }

package/scripts/lib/changed-files.mjs

@@ -49,11 +49,14 @@ function dropWorktreeCheckouts(paths) {
  * Визначає git base для scoped-перевірок без зовнішнього runtime-стану.
  * Пріоритет: локальна `main`, потім `origin/main`; якщо обидві відсутні,
  * повертає null і caller порівнює лише робоче дерево з HEAD.
+ * Явний `baseRef` (CI: `--base origin/main` після fetch) вимикає каскад —
+ * merge-base рахується лише проти нього.
  * @param {string} [cwd] корінь репо
+ * @param {string|null} [baseRef] явний ref бази замість каскаду main→origin/main
  * @returns {string|null} merge-base commit або null
  */
-export function resolveChangedBase(cwd = process.cwd()) {
-  for (const ref of ['main', 'origin/main']) {
+export function resolveChangedBase(cwd = process.cwd(), baseRef = null) {
+  for (const ref of baseRef ? [baseRef] : ['main', 'origin/main']) {
     const result = spawnSync('git', ['merge-base', 'HEAD', ref], { cwd, encoding: 'utf8' })
     const base = result.status === 0 && !result.error ? result.stdout.trim() : ''
     if (base) return base

package/scripts/lib/docs/changed-files.md

@@ -3,7 +3,7 @@ type: JS Module
 title: changed-files.mjs
 resource: npm/scripts/lib/changed-files.mjs
 docgen:
-  crc: 483db255
+  crc: 254d852a
   score: 100
 ---
 
@@ -19,8 +19,8 @@ collectChangedFilesSince Збирає змінені та незакомічен
 
 - collectChangedFiles: Збирає список змінених та невідстежених файлів з робочого дерева відносно робочого дерева.
 - resolveChangedBase: Визначає базовий комміт для обмежених перевірок без використання зовнішнього стану.
-  - Пріоритет: локальна `main`, потім `origin/main`.
-  - Якщо обидві відсутні, повертає null, і викликаючий порівнює лише робоче дерево з HEAD.
+  - Пріоритет: локальна `main`, потім `origin/main`; явний другий аргумент `baseRef` (CI: `--base origin/main`) вимикає каскад — merge-base рахується лише проти нього.
+  - Якщо ref-и відсутні, повертає null, і викликаючий порівнює лише робоче дерево з HEAD.
 - collectChangedFilesSince: Збирає список змінених та невідстежених файлів відносно базового комміту.
 - git diff <base>: Порівнює комміт `base` з поточним робочим деревом (включаючи закомічені та незакомічені модифікації).
   - Якщо `base` відсутній, використовується `collectChangedFiles`.

package/scripts/lib/lint-surface/ci-plan.mjs

@@ -0,0 +1,221 @@
+/**
+ * `n-rules ci plan` — skip-логіка сервіс-орієнтованого CI-канону (спільна для
+ * GitHub Actions і Azure Pipelines): рахує перетин git-дельти з `--path`
+ * (каталог сервісу) і по glob-ах per-file concerns визначає, які lint-домени
+ * взагалі мають запускатись. Виходи — job outputs обох CI: гейт-джоба `plan`
+ * емить `js=true|false`, а lint-джоби умовно скіпаються (`if:`/`condition:`).
+ *
+ * Read-only: без глобального лока, без мутації package.json, без root-guard.
+ * Джерело правди активності домену — `computeActiveDomains` (та сама таблиця
+ * planConcernForDelta, що й `lint <domain> --path`): «plan сказав true» ⇔
+ * «lint щось запустить».
+ *
+ * Fail-open: якщо база дельти не резолвиться (немає main/origin/main чи
+ * `--base`-ref) — warning і ВСІ домени true (запускаємо більше, ніколи не
+ * скіпаємо мовчки).
+ */
+import { appendFileSync } from 'node:fs'
+import { env } from 'node:process'
+
+import picomatch from 'picomatch'
+
+import { resolveChangedBase, collectChangedFilesSince } from '../changed-files.mjs'
+import { collectPathScopedChangedFiles, collectPathScopedFiles } from './path-scope.mjs'
+import { loadEnabledLintRules, computeActiveDomains } from './run-detectors.mjs'
+
+/** Глоби тест-файлів для виходу `has_tests` (bun test / vitest / pytest). */
+const TEST_FILE_GLOBS = ['**/*.test.*', '**/*.spec.*', '**/test_*.py', '**/*_test.py', '**/tests/**']
+
+/** Зарезервовані ключі outputs — домен із таким ключем був би колізією. */
+const RESERVED_OUTPUT_KEYS = new Set(['any', 'has_tests', 'domains'])
+
+/**
+ * Rule-id → ключ output-змінної: `-` → `_` (GA/Azure не люблять дефіси в
+ * іменах змінних; `npm-module` → `npm_module`).
+ * @param {string} ruleId rule-id домену.
+ * @returns {string} ключ output.
+ */
+function domainKey(ruleId) {
+  return ruleId.replaceAll('-', '_')
+}
+
+/**
+ * @typedef {object} CiPlan
+ * @property {string|null} path значення `--path` (каталог сервісу) або null (repo-wide).
+ * @property {boolean} baseResolved чи резолвнулась база дельти (false → fail-open, всі true).
+ * @property {number|null} changedCount кількість файлів у наборі (null при fail-open).
+ * @property {boolean} hasChanges чи набір непорожній (гейт тест-джоби `any`).
+ * @property {boolean} hasTests чи є тест-файли в піддереві (статично, незалежно від дельти).
+ * @property {{ id: string, key: string, triggered: boolean, matchedFiles: number }[]} domains стан доменів (сортовано за id).
+ */
+
+/**
+ * Обчислює план CI для `--path` (сервіс) або всього репо (без `--path`).
+ * @param {{ cwd: string, pathArg?: string|null, baseRef?: string|null, rulesDir?: string, rulesDirs?: string[] }} opts корінь, каталог сервісу, явна база; rulesDir(s) — для тестів.
+ * @returns {Promise<CiPlan>} план для рендерерів.
+ */
+export async function computeCiPlan({ cwd, pathArg = null, baseRef = null, rulesDir, rulesDirs }) {
+  const { byRule, enabledSet } = await loadEnabledLintRules({ cwd, rulesDir, rulesDirs })
+
+  /** @type {string[]|null} */
+  let changed = null
+  if (pathArg === null) {
+    const base = resolveChangedBase(cwd, baseRef)
+    if (base !== null) changed = collectChangedFilesSince(base, cwd)
+  } else {
+    const r = await collectPathScopedChangedFiles(cwd, pathArg, { baseRef })
+    if (r.baseResolved) changed = r.files
+  }
+  const baseResolved = changed !== null
+
+  // Домени = enabled-правила з ≥1 per-file concern (computeActiveDomains
+  // не повертає правила без per-file поверхонь — їм нема чого скіпати).
+  const active = computeActiveDomains(byRule, enabledSet, changed ?? [])
+  const domains = Array.from(active.entries(), ([id, st]) => ({
+    id,
+    key: domainKey(id),
+    triggered: baseResolved ? st.triggered : true,
+    matchedFiles: baseResolved ? st.matchedFiles : 0
+  })).toSorted((a, b) => a.id.localeCompare(b.id))
+
+  const keys = new Set()
+  for (const d of domains) {
+    if (keys.has(d.key) || RESERVED_OUTPUT_KEYS.has(d.key)) {
+      throw new Error(`ci plan: колізія ключа output «${d.key}» (домен ${d.id})`)
+    }
+    keys.add(d.key)
+  }
+
+  // has_tests — статична наявність тест-файлів у піддереві (не залежить від
+  // дельти): консюмер вирішує, чи взагалі мати test-джобу в pipeline сервісу.
+  const subtree = await collectPathScopedFiles(cwd, pathArg ?? '.')
+  const isTest = picomatch(TEST_FILE_GLOBS, { dot: true })
+  const hasTests = subtree.some(f => isTest(f))
+
+  return {
+    path: pathArg,
+    baseResolved,
+    changedCount: baseResolved ? /** @type {string[]} */ (changed).length : null,
+    hasChanges: baseResolved ? /** @type {string[]} */ (changed).length > 0 : true,
+    hasTests,
+    domains
+  }
+}
+
+/**
+ * Людиночитаний рендер плану (дефолтний stdout-вивід).
+ * @param {CiPlan} plan обчислений план.
+ * @returns {string} багаторядковий текст.
+ */
+export function renderCiPlanHuman(plan) {
+  const lines = []
+  const where = plan.path === null ? 'весь репозиторій' : `--path ${plan.path}`
+  if (plan.baseResolved) {
+    lines.push(`📋 ci plan (${where}): ${plan.changedCount} змінених файлів у наборі`)
+  } else {
+    lines.push(`⚠️ ci plan (${where}): база дельти не резолвиться — fail-open, усі домени true`)
+  }
+  for (const d of plan.domains) {
+    const suffix = d.matchedFiles > 0 ? ` (${d.matchedFiles} файл(ів))` : ''
+    lines.push(`  ${d.triggered ? '✅' : '⏭️'} ${d.id}${suffix}`)
+  }
+  lines.push(`  any=${plan.hasChanges} has_tests=${plan.hasTests}`)
+  return `${lines.join('\n')}\n`
+}
+
+/**
+ * Рядки `name=value` для `$GITHUB_OUTPUT` (по одному на домен + агрегати).
+ * Значення — лише `true|false` або JSON-масив id ([a-z0-9_-]) — інʼєкція в
+ * output-файл неможлива за конструкцією.
+ * @param {CiPlan} plan обчислений план.
+ * @returns {string[]} рядки для append у файл `$GITHUB_OUTPUT`.
+ */
+export function renderCiPlanGithubLines(plan) {
+  const lines = plan.domains.map(d => `${d.key}=${d.triggered}`)
+  lines.push(
+    `any=${plan.hasChanges}`,
+    `has_tests=${plan.hasTests}`,
+    `domains=${JSON.stringify(plan.domains.filter(d => d.triggered).map(d => d.id))}`
+  )
+  return lines
+}
+
+/**
+ * Один logging command Azure Pipelines для output-змінної.
+ * @param {string} k ключ змінної.
+ * @param {boolean|string} v значення.
+ * @returns {string} `##vso`-рядок.
+ */
+function vso(k, v) {
+  return `##vso[task.setvariable variable=${k};isOutput=true]${v}`
+}
+
+/**
+ * Logging commands Azure Pipelines (`##vso[task.setvariable …;isOutput=true]`)
+ * — stdout-рядки; downstream-джоби читають `dependencies.<job>.outputs['plan.<key>']`
+ * (крок мусить мати `name: plan`).
+ * @param {CiPlan} plan обчислений план.
+ * @returns {string[]} рядки для stdout.
+ */
+export function renderCiPlanAzureLines(plan) {
+  const lines = plan.domains.map(d => vso(d.key, d.triggered))
+  lines.push(
+    vso('any', plan.hasChanges),
+    vso('has_tests', plan.hasTests),
+    vso('domains', JSON.stringify(plan.domains.filter(d => d.triggered).map(d => d.id)))
+  )
+  return lines
+}
+
+/**
+ * CLI-хендлер `n-rules ci <subcommand>`. Наразі єдина підкоманда — `plan`.
+ * Прапори: `--path <dir>`, `--base <ref>`, `--cwd <dir>`, `--github` (append
+ * у `$GITHUB_OUTPUT`), `--azure` (`##vso`-рядки в stdout), `--json`.
+ * @param {string[]} args аргументи після `ci`.
+ * @returns {Promise<number>} exit code.
+ */
+export async function runCiPlanCli(args) {
+  const [sub, ...rest] = args
+  if (sub !== 'plan') {
+    console.error(
+      `❌ Невідома підкоманда ci: ${sub ?? '(порожньо)'} — очікується: n-rules ci plan [--path <dir>] [--base <ref>] [--github|--azure|--json]`
+    )
+    return 1
+  }
+  const valueOf = flag => {
+    const i = rest.indexOf(flag)
+    return i === -1 ? null : (rest[i + 1] ?? null)
+  }
+  const cwd = valueOf('--cwd') ?? process.cwd()
+  const pathArg = valueOf('--path')
+  const baseRef = valueOf('--base')
+
+  const plan = await computeCiPlan({ cwd, pathArg, baseRef })
+  if (!plan.baseResolved) {
+    console.error(
+      '⚠️ ci plan: база дельти не резолвиться (немає main/origin/main чи --base-ref у клоні) — fail-open: усі домени true. У CI перевірте fetch-depth/git fetch і прапорець --base.'
+    )
+  }
+
+  if (rest.includes('--json')) {
+    console.log(JSON.stringify(plan, null, 2))
+    return 0
+  }
+  if (rest.includes('--github')) {
+    const outFile = env.GITHUB_OUTPUT
+    if (!outFile) {
+      console.error('❌ ci plan --github: змінна середовища GITHUB_OUTPUT відсутня (запуск поза GitHub Actions?)')
+      return 1
+    }
+    appendFileSync(outFile, `${renderCiPlanGithubLines(plan).join('\n')}\n`)
+    process.stdout.write(renderCiPlanHuman(plan))
+    return 0
+  }
+  if (rest.includes('--azure')) {
+    process.stdout.write(`${renderCiPlanAzureLines(plan).join('\n')}\n`)
+    process.stdout.write(renderCiPlanHuman(plan))
+    return 0
+  }
+  process.stdout.write(renderCiPlanHuman(plan))
+  return 0
+}

package/scripts/lib/lint-surface/docs/ci-plan.md

@@ -0,0 +1,38 @@
+---
+type: JS Module
+title: ci-plan.mjs
+resource: npm/scripts/lib/lint-surface/ci-plan.mjs
+docgen:
+  crc: a532483e
+  model: openai-codex/gpt-5.4-mini
+  tier: cloud-min
+  score: 90
+  issues: internal-name:computeActiveDomains,judge:inaccurate:0.99
+  judgeModel: openai-codex/gpt-5.4-mini
+---
+
+## Огляд
+
+Файл визначає спільний для GitHub Actions і Azure Pipelines CI-план для сервіс-орієнтованого запуску lint-доменів: за git-дельтою та `--path` він вирішує, які домени мають узагалі стартувати. Джерело правди активності домену — та сама таблиця, що й у `lint <domain> --path`: якщо `plan` сказав `true`, відповідний lint-домен щось запускатиме; якщо `false` — CI-джоби скіпаються через `if:`/`condition:`. Гейт-джоба `plan` емить `js=true|false` для наступних CI-джоб. Команда read-only: без глобального лока, без мутації `package.json`, без root-guard. Якщо база дельти не резолвиться (`main`, `origin/main` чи `--base`-ref недоступні), код переходить у fail-open: показує warning і вмикає всі домени.
+
+## Поведінка
+
+- `computeCiPlan` — обчислює CI-план для всього репозиторію або для `--path`, визначає стан доменів, ознаку змін, наявність тестів у піддереві та переходить у fail-open, якщо база дельти не резолвиться.
+- `renderCiPlanHuman` — перетворює CI-план у лаконічний людиночитаний звіт для stdout, показуючи стан бази, домени та агреговані прапори.
+- `renderCiPlanGithubLines` — формує рядки `name=value` для `$GITHUB_OUTPUT`, щоб GitHub Actions міг використовувати результати плану як outputs.
+- `renderCiPlanAzureLines` — формує Azure Pipelines logging commands для output-змінних, щоб downstream-джоби могли читати результати плану.
+- `runCiPlanCli` — обробляє CLI-підкоманду `n-rules ci plan`, обирає формат виводу (`--json`, `--github`, `--azure` або human), і повідомляє про fail-open, якщо база дельти не визначилась.
+
+## Публічний API
+
+- computeCiPlan — формує набір CI-доменів для запуску: або для сервісу з `--path`, або для всього репо без нього.
+- renderCiPlanHuman — виводить план у зручному для людини вигляді в stdout.
+- renderCiPlanGithubLines — готує `name=value` рядки для `$GITHUB_OUTPUT`: окремо для кожного домену та для агрегованих значень.
+- renderCiPlanAzureLines — виводить Azure Pipelines logging commands у stdout, щоб downstream-джоби читали значення з output variables.
+- runCiPlanCli — обробляє `n-rules ci plan` і підтримує `--path`, `--base`, `--cwd`, `--github`, `--azure`, `--json`.
+
+Changelog: не перевірявся
+
+## Гарантії поведінки
+
+- (специфічних машинно-виведених гарантій немає)

package/scripts/lib/lint-surface/docs/index.md

@@ -7,6 +7,7 @@ resource: npm/scripts/lib/lint-surface/
 | Файл                                                        | Тип       |
 | ----------------------------------------------------------- | --------- |
 | [blocking-inventory.mjs](blocking-inventory.md)             | JS Module |
+| [ci-plan.mjs](ci-plan.md)                                   | JS Module |
 | [codegen-opa-wrapper.mjs](codegen-opa-wrapper.md)           | JS Module |
 | [collateral-veto.mjs](collateral-veto.md)                   | JS Module |
 | [default-worker.mjs](default-worker.md)                     | JS Module |

package/scripts/lib/lint-surface/docs/path-scope.md

@@ -3,9 +3,8 @@ type: JS Module
 title: path-scope.mjs
 resource: npm/scripts/lib/lint-surface/path-scope.mjs
 docgen:
-  crc: 0971e78e
+  crc: 40697c53
   model: openai-codex/gpt-5.4-mini
-  tier: cloud-min
   score: 100
   issues: judge:inaccurate:0.94
   judgeModel: openai-codex/gpt-5.4-mini
@@ -13,18 +12,20 @@ docgen:
 
 ## Огляд
 
-Файл звужує `n-rules lint --path <dir>` до каталогу всередині вже вибраного кореня прогону, не змінюючи сам root і не підміняючи правила з `.n-rules.json`. Він збирає всі файли під заданою піддиректорією та передає їх у `buildPlan` як `explicitFiles`, тим самим шляхом, що вже живить `hook --post-tool-use`/`--stop`; per-file concerns фільтруються за цими файлами, а `full`-scope concerns запускаються при збігу glob і все одно проходять whole-repo.
+Файл звужує `n-rules lint --path <dir>` до каталогу всередині вже вибраного кореня прогону, не змінюючи сам root і не підміняючи правила з `.n-rules.json`. Результат передається у `buildPlan` як `explicitFiles` — тим самим шляхом, що вже живить `hook --post-tool-use`/`--stop`. Два режими збору: дефолтний `--path` — **перетин** піддерева з git-дельтою vs merge-base (сервіс-орієнтований CI-канон: перевіряються лише змінені файли сервісу); `--path --full` — всі файли піддерева (історична поведінка, full-scope concerns при збігу glob ідуть whole-repo).
 
 ## Поведінка
 
-1. `collectPathScopedFiles` приймає корінь прогону та значення `--path`, звужує область lint до каталогу всередині цього кореня й не змінює сам корінь прогону.
-2. `collectPathScopedFiles` відхиляє шлях, якщо він веде поза межі кореня або не є каталогом.
-3. `collectPathScopedFiles` збирає всі файли в межах вказаного каталогу, відсікаючи виключення з кореневих ignore-налаштувань і `.gitignore`-поведінки, а порожній каталог вважає валідним порожнім результатом.
-4. `collectPathScopedFiles` повертає відсортований список шляхів відносно кореня прогону у форматі, придатному для передачі в `buildPlan` як `explicitFiles`.
+1. Обидва збирачі відхиляють шлях, якщо він веде поза межі кореня (traversal через `..`, абсолютний шлях назовні) або не є каталогом; порожній результат — валідний, не помилка.
+2. `collectPathScopedChangedFiles` рахує git-дельту vs merge-base (`main` → `origin/main` або явний `baseRef` із `--base`) і лишає тільки файли під `--path`-каталогом, мінус `.n-rules.json:ignore`. Якщо база не резолвиться — повертає `baseResolved: false` без обчислення дельти: caller робить fail-open fallback на повне піддерево (мовчазного скіпу не існує).
+3. `collectPathScopedFiles` збирає всі файли піддерева, поважаючи `.gitignore` і `.n-rules.json:ignore` кореня.
+4. Обидва повертають відсортовані posix-відносні від `cwd` шляхи.
 
 ## Публічний API
 
-- collectPathScopedFiles — збирає posix-відносні від `cwd` шляхи всіх файлів у каталозі з `--path`, з урахуванням `.gitignore` і `.n-rules.json:ignore` у корені; порожній каталог повертає порожній набір без помилки
+- collectPathScopedChangedFiles — перетин git-дельти з піддеревом `--path`: `{ files, baseResolved }`; опція `baseRef` — явна база (`--base <ref>`)
+- collectPathScopedFiles — всі файли піддерева `--path` (режим `--full`)
+- resolveAndAssertPathDir — резолв і валідація `--path` (усередині `cwd`, існує, каталог); спільний вхід обох збирачів
 
 ## Гарантії поведінки
 

package/scripts/lib/lint-surface/docs/run-detectors.md

@@ -3,7 +3,7 @@ type: JS Module
 title: run-detectors.mjs
 resource: npm/scripts/lib/lint-surface/run-detectors.mjs
 docgen:
-  crc: 631fa41c
+  crc: 37567fc8
   model: omlx/gemma-4-e4b-it-OptiQ-4bit
   score: 100
   issues: judge:inaccurate:0.98
@@ -28,6 +28,10 @@ detectAll виконує прохід лінтера у режим детекц
 * DEFAULT_RULES_DIR — Містить набір стандартних правил для перевірок.
 * buildDetectPlan — Створює план виконання перевірок, охоплюючи визначені області.
 * detectAll — Виконує повний прохід пошуку проблем і повертає всі виявлені порушення та код виходу.
+* loadEnabledLintRules — Discovery-фасад для споживачів поза detect/fix-конвеєром (`ci plan`): concerns за rule-id + set активних правил.
+* computeActiveDomains — Активність доменів для файлового набору (лише per-file concerns) — єдине джерело правди для `ci plan`: «plan сказав true» ⇔ «lint щось запустить».
+
+**Осі плану (сервіс-канон):** scoped + explicit files (`lint js --path <dir>`) → лише per-file concerns названих правил × перетин; `pathMode` (дефолтний `--path`) → full-scope concerns виключені з delta-плану; `repoWide` (`--repo-wide`) → ЛИШЕ full-scope concerns enabled-правил, whole-repo (окремий CI-workflow, не гейтить деплой).
 
 ## Гарантії поведінки
 

package/scripts/lib/lint-surface/path-scope.mjs

@@ -3,16 +3,22 @@
  *
  * На відміну від `--cwd` (підміняє корінь прогону — root-guard, `.n-rules.json`,
  * devDependencies), `--path` лишає корінь незмінним і лише звужує файловий
- * набір: збирає всі файли під заданою піддиректорією й передає їх у
- * `buildPlan` як `explicitFiles`, тим самим шляхом, що вже годує
- * `hook --post-tool-use`/`--stop` (per-file concerns фільтруються по цих
- * файлах; `full`-scope concerns запускаються при збігу glob, але самі
- * все одно проходять whole-repo — так уже поводиться delta-режим).
+ * набір, передаючи його у `buildPlan` як `explicitFiles` — тим самим шляхом,
+ * що вже годує `hook --post-tool-use`/`--stop`.
+ *
+ * Два режими збору:
+ * - `collectPathScopedChangedFiles` (дефолт `--path`) — **перетин** піддерева
+ *   з git-дельтою vs merge-base (сервіс-орієнтований CI-канон: перевіряються
+ *   лише змінені файли сервісу);
+ * - `collectPathScopedFiles` (`--path --full`) — всі файли піддерева, як
+ *   історична поведінка `--path` (full-scope concerns при збігу glob ідуть
+ *   whole-repo — так поводиться delta-режим).
  */
 import { existsSync, statSync } from 'node:fs'
 import { isAbsolute, relative, resolve, sep } from 'node:path'
 
 import { loadCursorIgnorePaths } from '../load-cursor-config.mjs'
+import { collectChangedFilesSince, resolveChangedBase } from '../changed-files.mjs'
 import { walkDir } from '../../utils/walkDir.mjs'
 
 /**
@@ -30,6 +36,50 @@ function assertWithinCwd(cwd, target) {
   }
 }
 
+/**
+ * Резолвить `--path` в абсолютний шлях і валідує: усередині `cwd`, існує,
+ * є каталогом. Спільний вхід обох режимів збору.
+ * @param {string} cwd абсолютний корінь прогону.
+ * @param {string} pathArg значення `--path` (відносний або абсолютний шлях).
+ * @returns {string} абсолютний шлях каталогу.
+ */
+export function resolveAndAssertPathDir(cwd, pathArg) {
+  const target = resolve(cwd, pathArg)
+  assertWithinCwd(cwd, target)
+  if (!existsSync(target) || !statSync(target).isDirectory()) {
+    throw new Error(`--path не є каталогом: ${target}`)
+  }
+  return target
+}
+
+/**
+ * Перетин git-дельти (vs merge-base) з піддеревом `--path`: posix-відносні
+ * шляхи змінених/untracked файлів під каталогом, мінус `.n-rules.json:ignore`.
+ * База не резолвиться (немає main/origin/main або заданого `baseRef`) —
+ * `baseResolved: false` без обчислення дельти: caller робить fail-open
+ * fallback на повне піддерево (мовчазного скіпу не існує).
+ * @param {string} cwd абсолютний корінь прогону (root-guard уже пройдено).
+ * @param {string} pathArg значення `--path` (відносний або абсолютний шлях).
+ * @param {{ baseRef?: string|null }} [opts] явний ref бази (`--base`).
+ * @returns {Promise<{ files: string[], baseResolved: boolean }>} відсортований перетин і статус бази.
+ */
+export async function collectPathScopedChangedFiles(cwd, pathArg, { baseRef = null } = {}) {
+  const target = resolveAndAssertPathDir(cwd, pathArg)
+  const base = resolveChangedBase(cwd, baseRef)
+  if (base === null) return { files: [], baseResolved: false }
+  const changed = collectChangedFilesSince(base, cwd)
+  const relDir = relative(cwd, target).split(sep).join('/')
+  const prefix = relDir === '' ? '' : `${relDir}/`
+  // git уже поважає .gitignore; .n-rules.json:ignore застосовуємо явно (як walkDir).
+  const ignorePaths = await loadCursorIgnorePaths(cwd)
+  const ignorePrefixes = ignorePaths
+    .map(p => relative(cwd, resolve(p)).split(sep).join('/'))
+    .filter(rel => rel !== '' && !rel.startsWith('..'))
+    .map(rel => `${rel}/`)
+  const files = changed.filter(f => f.startsWith(prefix)).filter(f => ignorePrefixes.every(ip => !f.startsWith(ip)))
+  return { files: files.toSorted((a, b) => a.localeCompare(b)), baseResolved: true }
+}
+
 /**
  * Збирає posix-відносні (від `cwd`) шляхи всіх файлів під `--path`-каталогом,
  * поважаючи `.gitignore` і `.n-rules.json:ignore` кореня. Порожній каталог —
@@ -39,11 +89,7 @@ function assertWithinCwd(cwd, target) {
  * @returns {Promise<string[]>} відсортовані posix-відносні шляхи від `cwd`.
  */
 export async function collectPathScopedFiles(cwd, pathArg) {
-  const target = resolve(cwd, pathArg)
-  assertWithinCwd(cwd, target)
-  if (!existsSync(target) || !statSync(target).isDirectory()) {
-    throw new Error(`--path не є каталогом: ${target}`)
-  }
+  const target = resolveAndAssertPathDir(cwd, pathArg)
   const ignorePaths = await loadCursorIgnorePaths(cwd)
   /** @type {string[]} */
   const out = []

package/scripts/lib/lint-surface/run-detectors.mjs

@@ -195,10 +195,24 @@ export async function buildDetectPlan(opts) {
     full: opts.full === true,
     rules: Array.isArray(opts.rules) ? opts.rules : [],
     explicitFiles: Array.isArray(opts.files) ? opts.files : null,
+    pathMode: opts.pathMode === true,
+    repoWide: opts.repoWide === true,
     cwd: opts.cwd
   })
 }
 
+/**
+ * Discovery-фасад для споживачів поза detect/fix-конвеєром (`ci plan`):
+ * concerns за rule-id (ядро + плагіни, capability-фільтр) і set активних правил.
+ * @param {{ rulesDir?: string, rulesDirs?: string[], capabilities?: Iterable<string>, cwd: string }} opts опції прогону.
+ * @returns {Promise<{ byRule: Record<string, ConcernMeta[]>, enabledSet: Set<string> }>} concerns і активні правила.
+ */
+export async function loadEnabledLintRules(opts) {
+  const byRule = await filterByCapabilities(await readLintConcernsByRuleMulti(await effectiveRulesDirs(opts)), opts)
+  const enabledSet = new Set(await enabledRuleIds(byRule, opts.cwd))
+  return { byRule, enabledSet }
+}
+
 /**
  * scoped-режим: усі lint-concerns названих правил, whole-repo.
  * @param {Record<string, ConcernMeta[]>} byRule concerns згруповані за rule-id.
@@ -213,6 +227,52 @@ function buildScopedPlan(byRule, rules) {
   return plan.toSorted((a, b) => a.entry.ruleId.localeCompare(b.entry.ruleId))
 }
 
+/**
+ * scoped+`--path` режим (`lint js --path run/nexus`): ЛИШЕ per-file concerns
+ * названих правил × явний файловий набір (перетин path ∩ дельта). Full-scope
+ * concerns виключені повністю — деплой-гейт сервісу не блокується whole-repo
+ * порушеннями поза сервісом (repo-wide workflow — їхнє канонічне місце).
+ * enabledSet не застосовується (явний запит правила, як у buildScopedPlan).
+ * @param {Record<string, ConcernMeta[]>} byRule concerns згруповані за rule-id.
+ * @param {string[]} rules scoped rule-id.
+ * @param {string[]} files явний файловий набір (перетин).
+ * @returns {PlanItem[]} впорядкований план прогону.
+ */
+function buildScopedDeltaPlan(byRule, rules, files) {
+  /** @type {PlanItem[]} */
+  const plan = []
+  for (const ruleId of rules) {
+    for (const concern of byRule[ruleId] ?? []) {
+      if (concern.lint.scope !== 'per-file') continue
+      const item = planConcernForDelta(ruleId, concern, files)
+      if (item) plan.push(item)
+    }
+  }
+  return plan.toSorted(
+    (a, b) => a.entry.ruleId.localeCompare(b.entry.ruleId) || a.entry.concern.name.localeCompare(b.entry.concern.name)
+  )
+}
+
+/**
+ * `--repo-wide` режим: ЛИШЕ full-scope concerns enabled-правил, whole-repo.
+ * Канонічне місце перевірок без path-підтримки (knip, jscpd, dep-policy) —
+ * окремий CI-workflow, що не гейтить деплой сервісів.
+ * @param {Record<string, ConcernMeta[]>} byRule concerns згруповані за rule-id.
+ * @param {Set<string>} enabledSet активні rule-id.
+ * @returns {PlanItem[]} впорядкований план (whole-repo для кожного entry).
+ */
+function buildRepoWidePlan(byRule, enabledSet) {
+  /** @type {LintEntry[]} */
+  const entries = []
+  for (const [ruleId, concerns] of Object.entries(byRule)) {
+    if (!enabledSet.has(ruleId)) continue
+    for (const concern of concerns) {
+      if (concern.lint.scope === 'full') entries.push({ ruleId, concern })
+    }
+  }
+  return sortEntries(entries).map(entry => ({ entry, files: undefined }))
+}
+
 /**
  * full-режим: усі per-file + full concerns enabled-правил, whole-repo.
  * @param {Record<string, ConcernMeta[]>} byRule concerns згруповані за rule-id.
@@ -252,17 +312,21 @@ function planConcernForDelta(ruleId, concern, changed) {
 
 /**
  * delta/explicit-files режим: concern-и enabled-правил, зіставлені зі зміненими файлами.
+ * `perFileOnly` (path-режим сервіс-канону) виключає full-scope concerns —
+ * перетин path ∩ дельта перевіряють лише per-file правила.
  * @param {Record<string, ConcernMeta[]>} byRule concerns згруповані за rule-id.
  * @param {Set<string>} enabledSet активні rule-id.
  * @param {string[]} changed перелік змінених файлів.
+ * @param {{ perFileOnly?: boolean }} [opts] фільтр full-scope concerns.
  * @returns {PlanItem[]} впорядкований план (за ruleId, потім concern.name).
  */
-function buildDeltaPlan(byRule, enabledSet, changed) {
+function buildDeltaPlan(byRule, enabledSet, changed, { perFileOnly = false } = {}) {
   /** @type {PlanItem[]} */
   const plan = []
   for (const [ruleId, concerns] of Object.entries(byRule)) {
     if (!enabledSet.has(ruleId)) continue
     for (const concern of concerns) {
+      if (perFileOnly && concern.lint.scope !== 'per-file') continue
       const item = planConcernForDelta(ruleId, concern, changed)
       if (item) plan.push(item)
     }
@@ -272,6 +336,35 @@ function buildDeltaPlan(byRule, enabledSet, changed) {
   )
 }
 
+/**
+ * Активність доменів (rule-id) для заданого файлового набору — єдине джерело
+ * правди для `ci plan`: домен «активний», якщо хоч один його **per-file**
+ * concern тригериться на цих файлах (та сама таблиця planConcernForDelta, що
+ * й `lint <domain> --path` → «plan сказав true» ⇔ «lint щось запустить»).
+ * Правила без жодного per-file concern не потрапляють у результат (їхні
+ * full-scope перевірки — справа `--repo-wide`).
+ * @param {Record<string, ConcernMeta[]>} byRule concerns згруповані за rule-id.
+ * @param {Set<string>} enabledSet активні rule-id.
+ * @param {string[]} changed файловий набір (перетин path ∩ дельта або дельта).
+ * @returns {Map<string, { triggered: boolean, matchedFiles: number }>} стан за rule-id.
+ */
+export function computeActiveDomains(byRule, enabledSet, changed) {
+  /** @type {Map<string, { triggered: boolean, matchedFiles: number }>} */
+  const out = new Map()
+  for (const [ruleId, concerns] of Object.entries(byRule)) {
+    if (!enabledSet.has(ruleId)) continue
+    const perFile = concerns.filter(c => c.lint.scope === 'per-file')
+    if (perFile.length === 0) continue
+    const matched = new Set()
+    for (const concern of perFile) {
+      const item = planConcernForDelta(ruleId, concern, changed)
+      for (const f of item?.files ?? []) matched.add(f)
+    }
+    out.set(ruleId, { triggered: matched.size > 0, matchedFiles: matched.size })
+  }
+  return out
+}
+
 /**
  * Будує план: список entries + чи кожен запускається whole-repo (files=undefined)
  * чи per-file (files=[...]). Реалізує таблицю lint.scope зі специфікації.
@@ -280,22 +373,29 @@ function buildDeltaPlan(byRule, enabledSet, changed) {
  * @param {boolean} args.full whole-repo режим.
  * @param {string[]} args.rules scoped rule-id (порожній → delta/full).
  * @param {string[]|null} args.explicitFiles явний перелік файлів або null.
+ * @param {boolean} [args.pathMode] `--path`-дельта: лише per-file concerns.
+ * @param {boolean} [args.repoWide] `--repo-wide`: лише full-scope concerns, whole-repo.
  * @param {string} args.cwd робоча директорія прогону.
  * @returns {Promise<PlanItem[]>} впорядкований план прогону.
  */
-async function buildPlan({ byRule, full, rules, explicitFiles, cwd }) {
+async function buildPlan({ byRule, full, rules, explicitFiles, pathMode = false, repoWide = false, cwd }) {
+  // scoped + --path: per-file concerns названих правил × перетин path ∩ дельта
+  if (rules.length > 0 && explicitFiles !== null) return buildScopedDeltaPlan(byRule, rules, explicitFiles)
   // scoped: усі lint-concerns названих правил, whole-repo
   if (rules.length > 0) return buildScopedPlan(byRule, rules)
 
   const enabled = await enabledRuleIds(byRule, cwd)
   const enabledSet = new Set(enabled)
 
+  // repo-wide: лише full-scope concerns (окремий CI-workflow, не гейтить деплой)
+  if (repoWide) return buildRepoWidePlan(byRule, enabledSet)
+
   // full: усі per-file + full concerns enabled-правил, whole-repo
   if (full && explicitFiles === null) return buildFullPlan(byRule, enabledSet)
 
-  // delta / explicit-files
+  // delta / explicit-files; path-режим виключає full-scope concerns
   const changed = explicitFiles ?? (await collectChangedFilesSince(await resolveChangedBase(cwd), cwd))
-  return buildDeltaPlan(byRule, enabledSet, changed)
+  return buildDeltaPlan(byRule, enabledSet, changed, { perFileOnly: pathMode })
 }
 
 /**
@@ -430,6 +530,8 @@ function sortViolations(violations) {
  * @param {boolean} [opts.full] whole-repo режим.
  * @param {string[]} [opts.rules] scoped rule-id (порожній → delta/full).
  * @param {string[]|null} [opts.files] явний перелік файлів або null.
+ * @param {boolean} [opts.pathMode] `--path`-дельта: лише per-file concerns.
+ * @param {boolean} [opts.repoWide] `--repo-wide`: лише full-scope concerns.
  * @param {boolean} [opts.verbose] докладний лог прогону.
  * @param {(s: string) => void} [opts.log] функція логування.
  * @param {boolean} [opts.isTTY] override TTY-режиму ProgressReporter (тести); типово isTTY stdout.
@@ -445,7 +547,15 @@ export async function detectAll(opts) {
   const baseLog = opts.log ?? (s => process.stdout.write(s))
 
   const byRule = await filterByCapabilities(await readLintConcernsByRuleMulti(await effectiveRulesDirs(opts)), opts)
-  const plan = await buildPlan({ byRule, full, rules, explicitFiles, cwd })
+  const plan = await buildPlan({
+    byRule,
+    full,
+    rules,
+    explicitFiles,
+    pathMode: opts.pathMode === true,
+    repoWide: opts.repoWide === true,
+    cwd
+  })
 
   // Detect-only бар — ЛИШЕ в TTY (без тикера «виправлено»). У не-TTY (hooks, CI-gate,
   // пайпи) append-рядки ⏱ на кожен концерн засмітили б вивід кожного PostToolUse-хука,

package/skills/taze/js/docs/rust-provider.md

@@ -3,7 +3,7 @@ type: JS Module
 title: rust-provider.mjs
 resource: npm/skills/taze/js/rust-provider.mjs
 docgen:
-  crc: db99881b
+  crc: 5f9de45d
   model: openai-codex/gpt-5.4-mini
   tier: cloud-min
   score: 100

package/skills/taze/js/rust-provider.mjs

@@ -132,7 +132,7 @@ function runCargo(args, cwd, spawnFn) {
  * (spec 2026-07-18-lang-plugins-extraction), далі виїде в `@7n/rules-lang-rust`.
  * @type {import('../../../scripts/lib/plugin-api.mjs').EcosystemProvider}
  */
-export const rustProvider = {
+const rustProvider = {
   id: 'rust-cargo',
   title: 'Rust-крейти',
   manifestNoun: 'Cargo.toml',