@7n/rules 1.20.0 → 1.20.1

package/CHANGELOG.md

@@ -1,5 +1,12 @@
 # Changelog
 
+## [1.20.1] - 2026-07-18
+
+### Changed
+
+- docs(adr): brainstorm — внутрішній паралелізм lint-оркестратора (#86)
+- Оновлено внутрішній lint-оркестратор.
+
 ## [1.20.0] - 2026-07-18
 
 ### Changed

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@7n/rules",
-  "version": "1.20.0",
+  "version": "1.20.1",
   "description": "CLI еталонних правил і skills (префікс n-): синк у репозиторій, дельта-lint, конформність",
   "keywords": [
     "cli",

package/rules/bun/licensee/docs/fix-licensee.md

@@ -3,9 +3,8 @@ type: JS Module
 title: fix-licensee.mjs
 resource: npm/rules/bun/licensee/fix-licensee.mjs
 docgen:
-  crc: 23a211fd
+  crc: 5c27ef32
   model: omlx/gemma-4-e4b-it-OptiQ-4bit
-  tier: local-min
   score: 100
   issues: judge:inaccurate:0.99
   judgeModel: openai-codex/gpt-5.4-mini

package/rules/bun/licensee/docs/main.md

@@ -3,7 +3,7 @@ type: JS Module
 title: main.mjs
 resource: npm/rules/bun/licensee/main.mjs
 docgen:
-  crc: 3f4c4d25
+  crc: 787e39cc
   model: manual
 ---
 

package/rules/bun/licensee/fix-licensee.mjs

@@ -4,23 +4,22 @@
  * вручну). Реальні `license-violation` (файл є, але залежності не проходять) — НЕ
  * T0-фікс: потребують людського рішення про ліцензійну політику, не regen.
  */
-import { spawnSync } from 'node:child_process'
 import { join } from 'node:path'
 
 import { resolveCmd } from '../../../scripts/utils/resolve-cmd.mjs'
+import { spawnAsync } from '../../../scripts/utils/spawn-async.mjs'
 
 /** @type {import('../../../scripts/lib/lint-surface/types.mjs').T0Pattern[]} */
 export const patterns = [
   {
     id: 'bun-licensee-config-init',
     test: violations => violations.some(v => v.reason === 'licensee-config-missing'),
-    apply: (violations, ctx) => {
+    apply: async (violations, ctx) => {
       const bun = resolveCmd('bun')
       if (!bun) return { touchedFiles: [] }
 
-      spawnSync(bun, ['x', 'licensee', '--init', '--production', '--quiet'], {
+      await spawnAsync(bun, ['x', 'licensee', '--init', '--production', '--quiet'], {
         cwd: ctx.cwd,
-        encoding: 'utf8',
         shell: false
       })
 

package/rules/bun/licensee/main.mjs

@@ -4,17 +4,17 @@
  */
 import { existsSync } from 'node:fs'
 import { join } from 'node:path'
-import { spawnSync } from 'node:child_process'
 
 import { createViolationReporter } from '../../../scripts/lib/lint-surface/violation-reporter.mjs'
 import { resolveCmd } from '../../../scripts/utils/resolve-cmd.mjs'
+import { spawnAsync } from '../../../scripts/utils/spawn-async.mjs'
 
 /**
  * Detector bun/licensee: ліцензії npm-залежностей через `licensee` (read-only).
  * @param {import('../../../scripts/lib/lint-surface/types.mjs').LintContext} ctx контекст lint-прогону
- * @returns {import('../../../scripts/lib/lint-surface/types.mjs').LintResult} результат detector-а
+ * @returns {Promise<import('../../../scripts/lib/lint-surface/types.mjs').LintResult>} результат detector-а
  */
-export function lint(ctx) {
+export async function lint(ctx) {
   const reporter = createViolationReporter(ctx)
   const { fail } = reporter
   const cwd = ctx.cwd
@@ -40,8 +40,8 @@ export function lint(ctx) {
   // of undefined (reading 'localeCompare')" — спостережено з @npmcli/arborist на
   // bun-based node_modules) завжди йде у stderr через die(); легітимний звіт про
   // порушення — лише у stdout. Канал розрізняє crash від реального порушення.
-  const r = spawnSync(bun, ['x', 'licensee', '--production', '--errors-only'], { cwd, encoding: 'utf8', shell: false })
-  if (r.status !== 0) {
+  const r = await spawnAsync(bun, ['x', 'licensee', '--production', '--errors-only'], { cwd, shell: false })
+  if (r.exitCode !== 0) {
     const stderr = (r.stderr ?? '').trim().slice(0, 2000)
     if (stderr) {
       // Crash самого тула — НЕ підтверджене ліцензійне порушення: fail-open
@@ -54,7 +54,7 @@ export function lint(ctx) {
           level: 'warn',
           message:
             `lint-bun: licensee — інструмент завершився з помилкою, це НЕ підтверджене ліцензійне порушення ` +
-            `(код ${r.status}, bun.mdc). Ймовірна причина — несумісність @npmcli/arborist з деревом bun install. ` +
+            `(код ${r.exitCode}, bun.mdc). Ймовірна причина — несумісність @npmcli/arborist з деревом bun install. ` +
             `Перевір вручну: \`bunx licensee --production\`.\n${stderr}`
         }
       ]
@@ -62,7 +62,7 @@ export function lint(ctx) {
     }
     const stdout = (r.stdout ?? '').trim().slice(0, 2000)
     const detail = stdout ? `\n${stdout}` : ''
-    fail(`lint-bun: licensee — порушення ліцензій (код ${r.status}, bun.mdc)${detail}`, 'license-violation')
+    fail(`lint-bun: licensee — порушення ліцензій (код ${r.exitCode}, bun.mdc)${detail}`, 'license-violation')
   }
   return reporter.result()
 }

package/rules/docker/lib/docker-hadolint.mjs

@@ -6,10 +6,10 @@
  * прибрано — hadolint ставиться як **нативний бінарник**, без `docker run`.
  * Використовується `../js/lint.mjs` (правило `n-rules lint docker` / check-docker).
  */
-import { spawnSync } from 'node:child_process'
 import { relative, sep } from 'node:path'
 
 import { ensureTool } from '../../../scripts/lib/ensure-tool.mjs'
+import { spawnAsync } from '../../../scripts/utils/spawn-async.mjs'
 
 /**
  * Відносний шлях від root з прямими слешами (стабільний вивід незалежно від OS).
@@ -27,9 +27,9 @@ export function posixRel(root, absPath) {
  * чи не вдався — повертаємо `ok: false` з підказкою (без `docker run`).
  * @param {string} root корінь репозиторію
  * @param {string} absPath абсолютний шлях до Dockerfile
- * @returns {{ ok: boolean, stdout: string, stderr: string, via: string }} результат перевірки hadolint
+ * @returns {Promise<{ ok: boolean, stdout: string, stderr: string, via: string }>} результат перевірки hadolint
  */
-export function lintDockerfileWithHadolint(root, absPath) {
+export async function lintDockerfileWithHadolint(root, absPath) {
   const rel = posixRel(root, absPath)
   let hadolintPath
   try {
@@ -46,13 +46,11 @@ export function lintDockerfileWithHadolint(root, absPath) {
     }
   }
 
-  const local = spawnSync(hadolintPath, [rel], {
-    cwd: root,
-    encoding: 'utf8',
-    maxBuffer: 10 * 1024 * 1024
+  const local = await spawnAsync(hadolintPath, [rel], {
+    cwd: root
   })
   return {
-    ok: local.status === 0,
+    ok: local.exitCode === 0,
     stdout: local.stdout ?? '',
     stderr: local.stderr ?? '',
     via: 'hadolint'

package/rules/docker/lib/docs/docker-hadolint.md

@@ -3,7 +3,7 @@ type: JS Module
 title: docker-hadolint.mjs
 resource: npm/rules/docker/lib/docker-hadolint.mjs
 docgen:
-  crc: 0351d8ee
+  crc: 3a9df18f
   model: omlx/gemma-4-e4b-it-OptiQ-4bit
   score: 90
 ---

package/rules/docker/lint/docs/main.md

@@ -3,7 +3,7 @@ type: JS Module
 title: main.mjs
 resource: npm/rules/docker/lint/main.mjs
 docgen:
-  crc: 282bafc9
+  crc: 26fdea23
   model: omlx/gemma-4-e4b-it-OptiQ-4bit
   score: 100
   issues: judge:inaccurate:0.99

package/rules/docker/lint/main.mjs

@@ -351,7 +351,7 @@ async function checkDockerfile(reporter, root, abs) {
   const nginxUserHint = getNginxUnprivilegedUserHint(content)
   if (nginxUserHint) fail(`${rel} (nginx non-root): ${nginxUserHint}`)
 
-  const { ok, stdout, stderr, via } = lintDockerfileWithHadolint(root, abs)
+  const { ok, stdout, stderr, via } = await lintDockerfileWithHadolint(root, abs)
   const tail = (stdout + stderr).trim()
   if (!ok) {
     const detail = tail ? `:\n${tail}` : ''

package/rules/image-compress/check/docs/fix-check.md

@@ -3,9 +3,8 @@ type: JS Module
 title: fix-check.mjs
 resource: npm/rules/image-compress/check/fix-check.mjs
 docgen:
-  crc: e5f5a01c
+  crc: 0c9ec731
   model: omlx/gemma-4-e4b-it-OptiQ-4bit
-  tier: local-min
   score: 100
   issues: judge:inaccurate:0.98
   judgeModel: openai-codex/gpt-5.4-mini

package/rules/image-compress/check/docs/main.md

@@ -3,7 +3,7 @@ type: JS Module
 title: main.mjs
 resource: npm/rules/image-compress/check/main.mjs
 docgen:
-  crc: 7b0d7f7d
+  crc: 0cb94f6b
   model: omlx/gemma-4-e4b-it-OptiQ-4bit
   score: 100
   issues: judge:inaccurate:0.98

package/rules/image-compress/check/fix-check.mjs

@@ -4,10 +4,10 @@
  * Detector лише ЗВІТУЄ `needsCompression` (read-only contract); мутація — тут, до LLM-ladder:
  * стиснення — бінарна трансформація, не текстовий diff, тож LLM-фікс тут апріорі недоречний.
  */
-import { spawnSync } from 'node:child_process'
 import { env } from 'node:process'
 
 import { resolveCmd } from '../../../scripts/utils/resolve-cmd.mjs'
+import { spawnAsync } from '../../../scripts/utils/spawn-async.mjs'
 
 const MINIFY_PACKAGE_NAME = '@nitra/minify-image'
 const JSON_MAX_BUFFER = 20 * 1024 * 1024
@@ -17,37 +17,42 @@ const JSON_MAX_BUFFER = 20 * 1024 * 1024
  * Best-effort: відсутній npx / помилка / ненульовий код — лог-варн без падіння (re-detect
  * наступного кроку покаже справжній стан).
  * @param {string} cwd корінь репозиторію
- * @returns {string[]} абсолютні шляхи стиснутих файлів (порожньо при помилці/no-op)
+ * @returns {Promise<string[]>} абсолютні шляхи стиснутих файлів (порожньо при помилці/no-op)
  */
-function runCompression(cwd) {
+async function runCompression(cwd) {
   const npxPath = resolveCmd('npx')
   if (!npxPath) {
     console.log(`  ⚠️  'npx' не знайдено в PATH — пропускаємо стиснення зображень`)
     return []
   }
 
-  const writeResult = spawnSync(npxPath, [MINIFY_PACKAGE_NAME, '--src=.', '--write'], {
-    cwd,
-    encoding: 'utf8',
-    env,
-    maxBuffer: JSON_MAX_BUFFER
-  })
-  if (writeResult.error) {
-    console.log(`  ⚠️  не вдалося запустити \`npx ${MINIFY_PACKAGE_NAME} --write\`: ${writeResult.error.message}`)
+  let writeResult
+  try {
+    writeResult = await spawnAsync(npxPath, [MINIFY_PACKAGE_NAME, '--src=.', '--write'], {
+      cwd,
+      env,
+      maxBuffer: JSON_MAX_BUFFER
+    })
+  } catch (error) {
+    console.log(`  ⚠️  не вдалося запустити \`npx ${MINIFY_PACKAGE_NAME} --write\`: ${error.message}`)
     return []
   }
-  if (typeof writeResult.status === 'number' && writeResult.status !== 0) {
-    console.log(`  ⚠️  \`npx ${MINIFY_PACKAGE_NAME} --write\` завершився з кодом ${writeResult.status}`)
+  if (typeof writeResult.exitCode === 'number' && writeResult.exitCode !== 0) {
+    console.log(`  ⚠️  \`npx ${MINIFY_PACKAGE_NAME} --write\` завершився з кодом ${writeResult.exitCode}`)
     return []
   }
 
-  const jsonResult = spawnSync(npxPath, [MINIFY_PACKAGE_NAME, '--src=.', '--json'], {
-    cwd,
-    encoding: 'utf8',
-    env,
-    maxBuffer: JSON_MAX_BUFFER
-  })
-  if (jsonResult.error || jsonResult.status !== 0) return []
+  let jsonResult
+  try {
+    jsonResult = await spawnAsync(npxPath, [MINIFY_PACKAGE_NAME, '--src=.', '--json'], {
+      cwd,
+      env,
+      maxBuffer: JSON_MAX_BUFFER
+    })
+  } catch {
+    return []
+  }
+  if (jsonResult.exitCode !== 0) return []
 
   try {
     const report = JSON.parse(jsonResult.stdout)
@@ -63,8 +68,8 @@ export const patterns = [
   {
     id: 'image-compress-write',
     test: violations => violations.some(v => v.reason === 'needs-compression'),
-    apply: (violations, ctx) => {
-      const compressed = runCompression(ctx.cwd)
+    apply: async (violations, ctx) => {
+      const compressed = await runCompression(ctx.cwd)
       if (compressed.length === 0) return { touchedFiles: [] }
 
       for (const absPath of compressed) ctx.recordWrite?.(absPath)

package/rules/image-compress/check/main.mjs

@@ -3,9 +3,8 @@
  * `.n-minify-image.tsv` (`@nitra/minify-image --json`). Стиснення (`--write`) — окремий
  * fix, не в detector-і.
  */
-import { spawnSync } from 'node:child_process'
-
 import { createViolationReporter } from '../../../scripts/lib/lint-surface/violation-reporter.mjs'
+import { spawnAsync } from '../../../scripts/utils/spawn-async.mjs'
 
 const JSON_MAX_BUFFER = 20 * 1024 * 1024
 
@@ -20,27 +19,28 @@ function parseMinifyJson(stdout) {
 /**
  * Detector image-compress/check: \@nitra/minify-image --json (read-only).
  * @param {import('../../../scripts/lib/lint-surface/types.mjs').LintContext} ctx контекст lint-прогону
- * @returns {import('../../../scripts/lib/lint-surface/types.mjs').LintResult} результат detector-а
+ * @returns {Promise<import('../../../scripts/lib/lint-surface/types.mjs').LintResult>} результат detector-а
  */
-export function lint(ctx) {
+export async function lint(ctx) {
   const reporter = createViolationReporter(ctx)
   const { fail } = reporter
   const cwd = ctx.cwd
 
-  const r = spawnSync('npx', ['@nitra/minify-image', '--src=.', '--json'], {
-    cwd,
-    encoding: 'utf8',
-    env: process.env,
-    maxBuffer: JSON_MAX_BUFFER
-  })
-  if (r.error) {
-    fail(`image-compress: не вдалося запустити npx @nitra/minify-image --json: ${r.error.message}`, 'tool-error')
+  let r
+  try {
+    r = await spawnAsync('npx', ['@nitra/minify-image', '--src=.', '--json'], {
+      cwd,
+      env: process.env,
+      maxBuffer: JSON_MAX_BUFFER
+    })
+  } catch (error) {
+    fail(`image-compress: не вдалося запустити npx @nitra/minify-image --json: ${error.message}`, 'tool-error')
     return reporter.result()
   }
-  if (r.status !== 0) {
+  if (r.exitCode !== 0) {
     const detail = [r.stdout, r.stderr].filter(Boolean).join('\n').trim()
     const detailSuffix = detail ? `:\n${detail}` : ''
-    fail(`image-compress: @nitra/minify-image --json завершився з кодом ${r.status}${detailSuffix}`, 'tool-error')
+    fail(`image-compress: @nitra/minify-image --json завершився з кодом ${r.exitCode}${detailSuffix}`, 'tool-error')
     return reporter.result()
   }
 

package/rules/js/jscpd_duplicates/docs/main.md

@@ -3,7 +3,7 @@ type: JS Module
 title: main.mjs
 resource: npm/rules/js/jscpd_duplicates/main.mjs
 docgen:
-  crc: 8480cba8
+  crc: 8839c5e9
   model: omlx/gemma-4-e4b-it-OptiQ-4bit
   score: 100
   issues: judge:inaccurate:0.99

package/rules/js/jscpd_duplicates/main.mjs

@@ -3,11 +3,12 @@
  * Кожен клон → одне порушення (anchored на `firstFile`), із посиланням на `secondFile`
  * у `data`. JSON-звіт пишеться у системний tmp (поза репо) — дерево не мутується.
  */
-import { spawnSync } from 'node:child_process'
 import { mkdtempSync, readFileSync, rmSync } from 'node:fs'
 import { tmpdir } from 'node:os'
 import { join } from 'node:path'
 
+import { spawnAsync } from '../../../scripts/utils/spawn-async.mjs'
+
 /**
  * @typedef {{ name: string, start: number, end: number }} JscpdFileRef
  * @typedef {{ firstFile: JscpdFileRef, secondFile: JscpdFileRef, lines: number, format: string }} JscpdClone
@@ -38,18 +39,16 @@ function cloneToViolation(clone) {
 }
 
 /**
- * Detector js/jscpd_duplicates: дублікати коду через `jscpd` (read-only).
+ * Detector js/jscpd_duplicates: дублікати коду через `jscpd` (read-only). Async (не блокує
+ * event loop) — детектор може виконуватись у parallel lane `detectAll()` (ADR 260716-1354).
  * @param {import('../../../scripts/lib/lint-surface/types.mjs').LintContext} ctx контекст лінту
- * @returns {import('../../../scripts/lib/lint-surface/types.mjs').LintResult} перелік порушень
+ * @returns {Promise<import('../../../scripts/lib/lint-surface/types.mjs').LintResult>} перелік порушень
  */
-export function lint(ctx) {
+export async function lint(ctx) {
   const cwd = ctx.cwd
   const outDir = mkdtempSync(join(tmpdir(), 'jscpd-'))
   try {
-    const r = spawnSync('bunx', ['jscpd', '.', '--reporters', 'json', '--output', outDir, '--silent'], {
-      cwd,
-      encoding: 'utf8'
-    })
+    const r = await spawnAsync('bunx', ['jscpd', '.', '--reporters', 'json', '--output', outDir, '--silent'], { cwd })
     let report
     try {
       report = JSON.parse(readFileSync(join(outDir, 'jscpd-report.json'), 'utf8'))

package/rules/k8s/kubeconform/docs/main.md

@@ -3,7 +3,7 @@ type: JS Module
 title: main.mjs
 resource: npm/rules/k8s/kubeconform/main.mjs
 docgen:
-  crc: 76d8d01b
+  crc: 398bb541
   model: omlx/gemma-4-e4b-it-OptiQ-4bit
   score: 100
   issues: judge:inaccurate:0.98

package/rules/k8s/kubeconform/main.mjs

@@ -32,7 +32,7 @@ export async function lint(ctx) {
   }
   if (targets.length === 0) return reporter.result()
 
-  const code = runKubeconform(targets, ctx.verbose === true)
+  const code = await runKubeconform(targets, ctx.verbose === true)
   if (code !== 0 && code !== 127) fail('kubeconform знайшов невалідні маніфести (k8s.mdc)', 'kubeconform')
 
   return reporter.result()

package/rules/k8s/manifests/main.mjs

@@ -3,7 +3,6 @@ import { existsSync, mkdtempSync, readFileSync, rmSync, writeFileSync } from 'no
 import { readFile, readdir, stat, writeFile } from 'node:fs/promises'
 import { tmpdir } from 'node:os'
 import { basename, dirname, join, relative, resolve } from 'node:path'
-import { spawnSync } from 'node:child_process'
 import { fileURLToPath } from 'node:url'
 
 import { isSeq, parse, parseAllDocuments, parseDocument, stringify } from 'yaml'
@@ -13,6 +12,7 @@ import { loadCursorIgnorePaths } from '../../../scripts/lib/load-cursor-config.m
 import { runConftestBatch } from '../../../scripts/lib/run-conftest-batch.mjs'
 import { ensureTool } from '../../../scripts/lib/ensure-tool.mjs'
 import { resolveCmd } from '../../../scripts/utils/resolve-cmd.mjs'
+import { spawnAsync } from '../../../scripts/utils/spawn-async.mjs'
 import { walkDir } from '../../../scripts/utils/walkDir.mjs'
 
 /** Версія набору схем yannh — узгоджено з k8s.mdc */
@@ -6798,9 +6798,9 @@ const DATREE_CRD_SCHEMA_LOCATION =
  * Прогоняє `kubeconform` по k8s-каталогах (read-only валідація схем).
  * @param {string[]} dirs абсолютні шляхи k8s-коренів.
  * @param {boolean} [verbose] показати повний нативний вивід kubeconform (`stdio: 'inherit'`).
- * @returns {number} exit-код процесу (127 якщо тул відсутній).
+ * @returns {Promise<number>} exit-код процесу (127 якщо тул відсутній).
  */
-export function runKubeconform(dirs, verbose = false) {
+export async function runKubeconform(dirs, verbose = false) {
   const args = [
     '-summary',
     '-kubernetes-version',
@@ -6813,12 +6813,16 @@ export function runKubeconform(dirs, verbose = false) {
     ...dirs
   ]
   const kubeconformPath = ensureTool('kubeconform')
-  const r = spawnSync(kubeconformPath, args, { stdio: verbose ? 'inherit' : 'pipe', shell: false })
-  if (r.error && 'code' in r.error && r.error.code === 'ENOENT') {
-    console.error('kubeconform не знайдено в PATH. Встанови з https://github.com/yannh/kubeconform#readme')
-    return 127
+  try {
+    const r = await spawnAsync(kubeconformPath, args, { stdio: verbose ? 'inherit' : 'pipe' })
+    return r.exitCode ?? 1
+  } catch (error) {
+    if (error && error.code === 'ENOENT') {
+      console.error('kubeconform не знайдено в PATH. Встанови з https://github.com/yannh/kubeconform#readme')
+      return 127
+    }
+    return 1
   }
-  return r.status ?? 1
 }
 
 /**
@@ -6866,14 +6870,17 @@ export async function findKustomizationDirs(dir) {
  * @param {string} kubectlPath шлях до бінарника kubectl.
  * @param {string} dir каталог з kustomization.
  * @param {boolean} [verbose] показати stderr тула напряму (`stdio: 'inherit'`).
- * @returns {{ status: number, stdout: Buffer }} exit-код і зібраний YAML.
+ * @returns {Promise<{ status: number, stdout: string }>} exit-код і зібраний YAML.
  */
-function runKustomizeBuild(kubectlPath, dir, verbose = false) {
-  const r = spawnSync(kubectlPath, ['kustomize', dir], {
-    stdio: ['ignore', 'pipe', verbose ? 'inherit' : 'pipe'],
-    shell: false
-  })
-  return { status: r.status ?? 1, stdout: r.stdout ?? Buffer.alloc(0) }
+async function runKustomizeBuild(kubectlPath, dir, verbose = false) {
+  try {
+    const r = await spawnAsync(kubectlPath, ['kustomize', dir], {
+      stdio: ['ignore', 'pipe', verbose ? 'inherit' : 'pipe']
+    })
+    return { status: r.exitCode ?? 1, stdout: r.stdout ?? '' }
+  } catch {
+    return { status: 1, stdout: '' }
+  }
 }
 
 /**
@@ -6882,19 +6889,22 @@ function runKustomizeBuild(kubectlPath, dir, verbose = false) {
  * @param {string|Buffer} manifest вміст маніфеста для сканування.
  * @param {string[]} exceptionsArgs додаткові CLI-аргументи (`--exceptions ...`).
  * @param {boolean} [verbose] показати повний нативний вивід kubescape (`stdio: 'inherit'`).
- * @returns {{ status: number, enoent: boolean }} exit-код і прапорець відсутнього тула.
+ * @returns {Promise<{ status: number, enoent: boolean }>} exit-код і прапорець відсутнього тула.
  */
-function runKubescapeManifest(kubescapePath, manifest, exceptionsArgs, verbose = false) {
+async function runKubescapeManifest(kubescapePath, manifest, exceptionsArgs, verbose = false) {
   const dir = mkdtempSync(join(tmpdir(), 'nitra-cursor-k8s-'))
   const file = join(dir, 'manifest.yaml')
   try {
     writeFileSync(file, manifest)
-    const r = spawnSync(kubescapePath, ['scan', file, '--severity-threshold', 'high', ...exceptionsArgs], {
-      stdio: verbose ? 'inherit' : 'pipe',
-      shell: false
-    })
-    const enoent = Boolean(r.error && 'code' in r.error && r.error.code === 'ENOENT')
-    return { status: r.status ?? 1, enoent }
+    try {
+      const r = await spawnAsync(kubescapePath, ['scan', file, '--severity-threshold', 'high', ...exceptionsArgs], {
+        stdio: verbose ? 'inherit' : 'pipe'
+      })
+      return { status: r.exitCode ?? 1, enoent: false }
+    } catch (error) {
+      const enoent = Boolean(error && error.code === 'ENOENT')
+      return { status: 1, enoent }
+    }
   } finally {
     rmSync(dir, { recursive: true, force: true })
   }
@@ -6906,19 +6916,22 @@ function runKubescapeManifest(kubescapePath, manifest, exceptionsArgs, verbose =
  * @param {string} dir каталог для сканування.
  * @param {string[]} exceptionsArgs додаткові CLI-аргументи (`--exceptions ...`).
  * @param {boolean} [verbose] показати повний нативний вивід kubescape (`stdio: 'inherit'`) і хід сканування.
- * @returns {number} exit-код (127 якщо тул відсутній).
+ * @returns {Promise<number>} exit-код (127 якщо тул відсутній).
  */
-function scanRawK8sDir(kubescapePath, dir, exceptionsArgs, verbose = false) {
+async function scanRawK8sDir(kubescapePath, dir, exceptionsArgs, verbose = false) {
   if (verbose) console.log(`run-k8s: kubescape scan ${dir} (без kustomization — сирий dir-скан)`)
-  const r = spawnSync(kubescapePath, ['scan', dir, '--severity-threshold', 'high', ...exceptionsArgs], {
-    stdio: verbose ? 'inherit' : 'pipe',
-    shell: false
-  })
-  if (r.error && 'code' in r.error && r.error.code === 'ENOENT') {
-    console.error(KUBESCAPE_MISSING_HINT)
-    return 127
+  try {
+    const r = await spawnAsync(kubescapePath, ['scan', dir, '--severity-threshold', 'high', ...exceptionsArgs], {
+      stdio: verbose ? 'inherit' : 'pipe'
+    })
+    return r.exitCode ?? 1
+  } catch (error) {
+    if (error && error.code === 'ENOENT') {
+      console.error(KUBESCAPE_MISSING_HINT)
+      return 127
+    }
+    return 1
   }
-  return r.status ?? 1
 }
 
 /**
@@ -6928,14 +6941,14 @@ function scanRawK8sDir(kubescapePath, dir, exceptionsArgs, verbose = false) {
  * @param {string[]} kdirs каталоги з kustomization.
  * @param {string[]} exceptionsArgs додаткові CLI-аргументи (`--exceptions ...`).
  * @param {boolean} [verbose] показати повний нативний вивід kubectl/kubescape і хід сканування.
- * @returns {number} 0 якщо всі чисті, інакше перший ненульовий exit-код (127 — тул відсутній).
+ * @returns {Promise<number>} 0 якщо всі чисті, інакше перший ненульовий exit-код (127 — тул відсутній).
  */
-function scanKustomizeK8sDirs(kubectlPath, kubescapePath, kdirs, exceptionsArgs, verbose = false) {
+async function scanKustomizeK8sDirs(kubectlPath, kubescapePath, kdirs, exceptionsArgs, verbose = false) {
   for (const kdir of kdirs) {
     if (verbose) console.log(`run-k8s: kubectl kustomize ${kdir} | kubescape scan <tmp>`)
-    const build = runKustomizeBuild(kubectlPath, kdir, verbose)
+    const build = await runKustomizeBuild(kubectlPath, kdir, verbose)
     if (build.status !== 0) return build.status
-    const ks = runKubescapeManifest(kubescapePath, build.stdout, exceptionsArgs, verbose)
+    const ks = await runKubescapeManifest(kubescapePath, build.stdout, exceptionsArgs, verbose)
     if (ks.enoent) {
       console.error(KUBESCAPE_MISSING_HINT)
       return 127
@@ -6960,7 +6973,7 @@ async function runKubescape(dirs, root, verbose = false) {
   for (const d of dirs) {
     const kdirs = await findKustomizationDirs(d)
     if (kdirs.length === 0) {
-      const rawStatus = scanRawK8sDir(kubescapePath, d, exceptionsArgs, verbose)
+      const rawStatus = await scanRawK8sDir(kubescapePath, d, exceptionsArgs, verbose)
       if (rawStatus !== 0) return rawStatus
       continue
     }
@@ -6971,7 +6984,7 @@ async function runKubescape(dirs, root, verbose = false) {
         return 127
       }
     }
-    const buildStatus = scanKustomizeK8sDirs(kubectlPath, kubescapePath, kdirs, exceptionsArgs, verbose)
+    const buildStatus = await scanKustomizeK8sDirs(kubectlPath, kubescapePath, kdirs, exceptionsArgs, verbose)
     if (buildStatus !== 0) return buildStatus
   }
   return 0

package/rules/php/cs_fixer/docs/main.md

@@ -3,9 +3,8 @@ type: JS Module
 title: main.mjs
 resource: npm/rules/php/cs_fixer/main.mjs
 docgen:
-  crc: d2eae379
+  crc: de8de231
   model: omlx/gemma-4-e4b-it-OptiQ-4bit
-  tier: local-min
   score: 100
   issues: judge:inaccurate:0.98
   judgeModel: openai-codex/gpt-5.4-mini