@7n/rules 1.19.1 → 1.20.1

package/scripts/lib/lint-surface/blocking-inventory.mjs

@@ -6,47 +6,18 @@
  * `execSync` (прямо або через спільний helper), бо це блокує event loop цілком і
  * зробило б паралельний пул ілюзорним.
  *
- * Нова міграція (наступний shared helper на `spawnAsync`, за протоколом
- * `runConftestBatch`/`runOxlintJson`): переведи helper → онови caller-и (`await`) →
- * прибери відповідний запис звідси → розшир `docs/blocking-inventory-guard.test.mjs`
- * (guard-тест сам перевірить, що жоден із них більше не викликає `spawnSync`/`execSync`).
- */
-
-/**
- * Concern-и з прямим `spawnSync`/`execSync` у власному `main.mjs` — кожен спавнить свій
- * зовнішній тул напряму, ще не через `spawnAsync`.
- */
-const DIRECT_SPAWN_CONCERNS = [
-  'text/run-dotenv-linter',
-  'text/oxfmt',
-  'text/cspell-fix',
-  'text/run-v8r',
-  'text/run-shellcheck',
-  'image-compress/check',
-  'php/phpcs',
-  'php/project',
-  'php/cs_fixer',
-  'js/jscpd_duplicates',
-  'k8s/manifests',
-  'style/lint',
-  'bun/licensee',
-  'python/ruff',
-  'python/project',
-  'python/mypy',
-  'security/scan',
-  'rust/check',
-  'rego/conftest_verify'
-]
-
-/**
- * Concern-и, чий detector сам не викликає `spawnSync`/`execSync`, але делегує спільному
- * helper-у, який його викликає: `docker/lib/docker-hadolint.mjs` (hadolint) і
- * `rego/lib/run-external-tool.mjs` (regal/opa).
+ * Список зараз порожній: усі 22 concern-и, що на момент ADR мали прямий чи
+ * shared-helper `spawnSync`/`execSync`, мігровано на `spawnAsync`
+ * (`npm/scripts/utils/spawn-async.mjs`). Інвентар лишається як живий guard —
+ * `tests/blocking-inventory.test.mjs` сканує активні concern-и репо і провалиться,
+ * щойно новий (чи regressed) concern звернеться до `spawnSync`/`execSync` без
+ * відповідного запису тут.
+ *
+ * Протокол для нового blocking concern-а: перевести на `spawnAsync` → оновити
+ * caller-и (`await`) → якщо міграція ще не завершена, додати запис сюди на час
+ * переходу; guard-тест сам підтвердить, коли можна прибрати.
  */
-const SHARED_HELPER_CONCERNS = ['docker/lint', 'rego/regal', 'rego/opa_check']
-
-/** Повний serial-lane список: `${ruleId}/${concernId}` — 19 прямих + 3 через shared helper = 22. */
-export const SERIAL_LANE_CONCERNS = new Set([...DIRECT_SPAWN_CONCERNS, ...SHARED_HELPER_CONCERNS])
+export const SERIAL_LANE_CONCERNS = new Set()
 
 /**
  * Чи concern лишається у serial lane `detectAll()` (недоведений non-blocking).
@@ -55,5 +26,6 @@ export const SERIAL_LANE_CONCERNS = new Set([...DIRECT_SPAWN_CONCERNS, ...SHARED
  * @returns {boolean} true — serial lane; false — parallel-safe
  */
 export function isSerialLane(ruleId, concernId) {
+  // eslint-disable-next-line sonarjs/no-empty-collection -- навмисно порожній зараз (протокол вище); живий registry, не dead code
   return SERIAL_LANE_CONCERNS.has(`${ruleId}/${concernId}`)
 }

package/scripts/lib/lint-surface/docs/blocking-inventory.md

@@ -3,9 +3,8 @@ type: JS Module
 title: blocking-inventory.mjs
 resource: npm/scripts/lib/lint-surface/blocking-inventory.mjs
 docgen:
-  crc: 2e0e8624
+  crc: dce1fafd
   model: openai-codex/gpt-5.4-mini
-  tier: cloud-min
   score: 100
   issues: judge:inaccurate:0.98
   judgeModel: openai-codex/gpt-5.4-mini

package/scripts/lib/resolve-plugins.mjs

@@ -28,12 +28,55 @@ export const KNOWN_CI_PLUGINS = Object.freeze({
   azure: '@7n/rules-ci-azure'
 })
 
-/** Відомі мовні плагіни: файловий сигнал екосистеми в корені репо → npm-пакет. */
+/**
+ * Відомі мовні плагіни: файловий сигнал екосистеми → npm-пакет. `maxDepth` —
+ * до якої глибини шукати сигнал: python — лише корінь (uv-провайдер v1
+ * обробляє тільки кореневий pyproject.toml); rust — до 3 рівнів, бо в
+ * монорепо Cargo.toml часто вкладений (Tauri `app/src-tauri/Cargo.toml`),
+ * а провайдер обробляє всі знайдені маніфести.
+ */
 export const KNOWN_LANG_PLUGINS = Object.freeze({
-  python: { signal: 'pyproject.toml', pkg: '@7n/rules-lang-python' },
-  rust: { signal: 'Cargo.toml', pkg: '@7n/rules-lang-rust' }
+  python: { signal: 'pyproject.toml', pkg: '@7n/rules-lang-python', maxDepth: 0 },
+  rust: { signal: 'Cargo.toml', pkg: '@7n/rules-lang-rust', maxDepth: 3 }
 })
 
+/** Теки, у які неглибокий скан мовних сигналів не заходить (плюс усі приховані). */
+const LANG_SCAN_SKIP_DIRS = new Set(['node_modules', 'target', 'dist', 'coverage', 'build', 'vendor'])
+
+/**
+ * Чи є файл-сигнал у корені або підтеках до `maxDepth` рівнів — обмежений
+ * BFS-обхід (пропускає приховані теки, node_modules, target тощо), щоб
+ * лишатись дешевим на hot-path (hook викликається на кожен файл).
+ * @param {string} projectRoot корінь репозиторію
+ * @param {string} signal ім'я файлу-сигналу (напр. `Cargo.toml`)
+ * @param {number} maxDepth 0 — лише корінь; N — до N рівнів підтек
+ * @returns {boolean} true — сигнал знайдено
+ */
+function hasLangSignal(projectRoot, signal, maxDepth) {
+  let level = [projectRoot]
+  for (let depth = 0; depth <= maxDepth && level.length > 0; depth++) {
+    if (level.some(dir => existsSync(join(dir, signal)))) return true
+    if (depth < maxDepth) level = level.flatMap(listScannableSubdirs)
+  }
+  return false
+}
+
+/**
+ * Видимі підтеки для неглибокого скану (без прихованих і службових).
+ * @param {string} dir тека
+ * @returns {string[]} абсолютні шляхи підтек (порожньо, якщо нечитабельна)
+ */
+function listScannableSubdirs(dir) {
+  try {
+    return readdirSync(dir, { withFileTypes: true })
+      .filter(entry => entry.isDirectory() && !entry.name.startsWith('.') && !LANG_SCAN_SKIP_DIRS.has(entry.name))
+      .map(entry => join(dir, entry.name))
+  } catch {
+    /* нечитабельна тека — пропускаємо гілку */
+    return []
+  }
+}
+
 const WORKFLOW_YML_RE = /\.ya?ml$/u
 const GITHUB_URL_RE = /github\.com/iu
 const AZURE_URL_RE = /dev\.azure\.com|visualstudio\.com/iu
@@ -97,14 +140,14 @@ function detectCiPlugins(projectRoot) {
 /**
  * Автодетект плагінів за станом репозиторію: CI-плагіни (файлові сигнали з
  * fallback на `repository.url`) + мовні плагіни (лише файлові сигнали —
- * маніфест екосистеми в корені — pyproject.toml, кореневий Cargo.toml; URL-fallback для мов безглуздий).
+ * маніфест екосистеми в корені або, для rust, у підтеках до 3 рівнів; URL-fallback для мов безглуздий).
  * @param {string} projectRoot корінь репозиторію
  * @returns {string[]} npm-імена плагінів
  */
 export function detectPluginsFromRepo(projectRoot) {
   const out = detectCiPlugins(projectRoot)
-  for (const { signal, pkg } of Object.values(KNOWN_LANG_PLUGINS)) {
-    if (existsSync(join(projectRoot, signal))) out.push(pkg)
+  for (const { signal, pkg, maxDepth } of Object.values(KNOWN_LANG_PLUGINS)) {
+    if (hasLangSignal(projectRoot, signal, maxDepth)) out.push(pkg)
   }
   return out
 }

package/scripts/utils/docs/spawn-async.md

@@ -3,9 +3,8 @@ type: JS Module
 title: spawn-async.mjs
 resource: npm/scripts/utils/spawn-async.mjs
 docgen:
-  crc: cc5d92e0
+  crc: 0e8ce2ef
   model: openai-codex/gpt-5.4-mini
-  tier: cloud-min
   score: 100
   issues: judge:inaccurate:0.98
   judgeModel: openai-codex/gpt-5.4-mini

package/scripts/utils/spawn-async.mjs

@@ -43,15 +43,18 @@ class AbortError extends Error {
  * @param {number} [opts.killGraceMs] пауза між `SIGTERM` і ескалацією до `SIGKILL` (дефолт 5000)
  * @param {string} [opts.cwd] робочий каталог дочірнього процесу
  * @param {Record<string, string>} [opts.env] оточення дочірнього процесу
+ * @param {string} [opts.input] дані для запису в stdin дочірнього процесу (`utf8`, аналог
+ *   `spawnSync`-опції `input`); stdin закривається (`end`) одразу після запису
  * @returns {Promise<SpawnAsyncResult>} нормалізований результат виконання
  */
 export async function spawnAsync(cmd, args, opts = {}) {
-  const { signal, timeoutMs, killGraceMs = 5000, ...spawnOpts } = opts
+  const { signal, timeoutMs, killGraceMs = 5000, input, ...spawnOpts } = opts
   if (signal?.aborted) throw new AbortError()
 
   const child = spawn(cmd, args, spawnOpts)
   child.stdout?.setEncoding('utf8')
   child.stderr?.setEncoding('utf8')
+  if (input !== undefined) child.stdin?.end(input, 'utf8')
 
   let stdout = ''
   let stderr = ''