@7n/rules 1.26.0 → 1.28.0

package/CHANGELOG.md

@@ -1,5 +1,25 @@
 # Changelog
 
+## [1.28.0] - 2026-07-19
+
+### Changed
+
+- lint: JS-сімʼя правил (js, bun, vue, js-run, js-bun-db, js-bun-redis, js-mssql, npm-module, tool-surface) переїхала з ядра у @7n/rules-lang-js (фаза 5c spec lang-plugins-extraction); ядро лишає рушій (auto-rules предикати, glob-to-regex і js-source-signals у scripts/lib — плагін імпортує їх назад через @7n/rules/scripts); залежності eslint/knip/jscpd/oxlint переїхали з ядра у плагін
+
+## [1.27.0] - 2026-07-19
+
+### Added
+
+- LLM-ladder: окремий (більший) таймаут cloud-avg (N_CLOUD_AVG_FIX_TIMEOUT_MS, дефолт 180s) та concern-рівневий skipLocalTier (concern.json) — пропуск local-min/local-min-retry для concern-ів, де local-tier емпірично не встигає дати результат (js/eslint увімкнено за реальними даними прогону)
+
+### Changed
+
+- doc-files: ядро без вбудованих кодових розширень (фаза 5b spec lang-plugins-extraction) — перелік розширень, OKF-типи та мовні екстрактори (факти/юніти) приходять лише з декларацій активних lang-плагінів (contributes.docFiles.extensions + handler doc-files); JS-специфіка (extractFacts, units-js, мапа типів js/mjs/ts/vue) переїхала у @7n/rules-lang-js; без активного lang-плагіна скан не бачить джерел (graceful тиша)
+
+### Fixed
+
+- Червоний lint на main: дубльовані тести мосту auto-worktree (auto-worktree.test.mjs ↔ orchestrate.test.mjs) зібрано у спільний набір `describeAutoWorktreeBridge` (scripts/utils/tests/auto-worktree-suite.mjs); `tests/**` виключено з npm-tarball; `jscpd` (спавниться як `bunx jscpd`) додано в knip ignoreDependencies
+
 ## [1.26.0] - 2026-07-19
 
 ### Changed

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@7n/rules",
-  "version": "1.26.0",
+  "version": "1.28.0",
   "description": "CLI еталонних правил і skills (префікс n-): синк у репозиторій, дельта-lint, конформність",
   "keywords": [
     "cli",
@@ -43,6 +43,7 @@
     "!**/*.test.mjs",
     "!**/*_test.rego",
     "!**/test-helpers.mjs",
+    "!**/tests/**",
     "!**/fixtures/**",
     "!**/__fixtures__/**"
   ],
@@ -69,15 +70,11 @@
     "@zed-industries/agent-client-protocol": "^0.4.5",
     "ajv": "^8.20.0",
     "cli-progress": "^3.12.0",
-    "eslint": "^10.4.1",
     "github-actionlint": "^1.7.12",
     "globby": "^16.0.0",
     "ignore": "^7.0.5",
-    "jscpd": "^5.0.11",
-    "knip": "^6.22.0",
     "markdownlint-cli2": "^0.22.1",
     "oxc-parser": "^0.137.0",
-    "oxlint": "^1.68.0",
     "picomatch": "^4.0.4",
     "smol-toml": "^1.7.0",
     "v8r": "^6.1.0",

package/rules/doc-files/docgen-crc/docs/main.md

@@ -3,7 +3,7 @@ type: JS Module
 title: main.mjs
 resource: npm/rules/doc-files/docgen-crc/main.mjs
 docgen:
-  crc: c10183ef
+  crc: 8976f6f8
   model: omlx/gemma-4-e4b-it-OptiQ-4bit
   score: 100
   issues: judge:inaccurate:0.99

package/rules/doc-files/docgen-crc/main.mjs

@@ -67,24 +67,17 @@ export function parseDocFrontmatter(md) {
 /** Максимум кодів issues у frontmatter — це маркер, а не повний лог. */
 const MAX_ISSUE_CODES = 8
 
-/** OKF type для вбудованих розширень; мовні (`.rs`, `.py`) декларують lang-плагіни. */
-const EXT_TYPES = {
-  '.js': 'JS Module',
-  '.mjs': 'JS Module',
-  '.cjs': 'JS Module',
-  '.ts': 'TS Module',
-  '.vue': 'Vue Component'
-}
-
 /**
- * OKF `type` для файлу-джерела за розширенням (вбудовані + декларації
- * активних lang-плагінів).
+ * OKF `type` для файлу-джерела за розширенням — лише з декларацій активних
+ * lang-плагінів (`contributes.docFiles.extensions`: js/mjs/ts/vue — lang-js,
+ * `.rs`/`.py` — lang-rust/lang-python); вбудованих типів у ядрі немає
+ * (фаза 5b spec lang-plugins-extraction). Невідоме розширення → 'Source File'.
  * @param {string} sourcePath відносний шлях джерела
  * @returns {string} тип концепту
  */
 function typeForSource(sourcePath) {
   const ext = extname(sourcePath).toLowerCase()
-  return EXT_TYPES[ext] ?? pluginDocFilesExtensions(process.cwd())[ext] ?? 'Source File'
+  return pluginDocFilesExtensions(process.cwd())[ext] ?? 'Source File'
 }
 
 /**

package/rules/doc-files/docgen-gen/docs/main.md

@@ -3,7 +3,7 @@ type: JS Module
 title: main.mjs
 resource: npm/rules/doc-files/docgen-gen/main.mjs
 docgen:
-  crc: 358294dc
+  crc: ed99ac58
   model: omlx/gemma-4-e4b-it-OptiQ-4bit
 ---
 

package/rules/doc-files/docgen-gen/main.mjs

@@ -8,7 +8,6 @@ import { startChain } from '@7n/llm-lib/chain'
 import { isRunAsCli } from '../../../scripts/cli-entry.mjs'
 import { docPathForSource } from '../docgen-scan/main.mjs'
 import { loadDocFilesExtractors } from '../docgen-scan/lang-extensions.mjs'
-import { extractFacts } from '../docgen-extract/main.mjs'
 import { extractAnchors, anchorTokens } from '../docgen-extract-anchors/main.mjs'
 import { QUALITY_THRESHOLD } from '../docgen-crc/main.mjs'
 import { JUDGE_ENABLED, JUDGE_MODEL, detectRefusalFiller, judgeDoc, judgeFailsDoc } from '../docgen-judge/main.mjs'
@@ -507,11 +506,20 @@ export async function generateDoc(
       `docgen pre-send guard: джерело ~${estTokens} токенів > бюджет ${budget} (0.5× контексту) — Prompt too long, skip`
     )
   }
-  // Мовний екстрактор з lang-плагіна (напр. `.rs` у @7n/rules-lang-rust) має
-  // пріоритет; вбудований extractFacts покриває JS-екосистему, решта — whole-file.
+  // Факт-лист — лише від мовного екстрактора lang-плагіна (js/mjs/ts —
+  // lang-js, `.rs` — lang-rust); без екстрактора для розширення — whole-file
+  // шлях через `unsupported` (у ядрі вбудованих екстракторів немає, фаза 5b).
   const langExtractors = await loadDocFilesExtractors(process.cwd())
   const ext = `.${file.split('.').pop()}`.toLowerCase()
-  const facts = langExtractors.get(ext)?.extractFacts?.(src, file) ?? extractFacts(src, file)
+  const facts = langExtractors.get(ext)?.extractFacts?.(src, file) ?? {
+    relPath: file,
+    lang: ext.slice(1),
+    unsupported: true,
+    header: '',
+    exports: [],
+    imports: {},
+    markers: {}
+  }
   const t0 = Date.now()
   llmMeter = { calls: 0, ms: 0 }
   const chain = chainFactory({ kind: 'doc-generate', unit: facts.relPath, cwd: process.cwd() })

package/rules/doc-files/docgen-scan/docs/main.md

@@ -3,7 +3,7 @@ type: JS Module
 title: main.mjs
 resource: npm/rules/doc-files/docgen-scan/main.mjs
 docgen:
-  crc: 66000db2
+  crc: 8729f94f
   model: omlx/gemma-4-e4b-it-OptiQ-4bit
   score: 100
   issues: judge:inaccurate:0.99
@@ -15,7 +15,7 @@ docgen:
 
 ## Поведінка
 
-isSourceFile визначає, чи є ім'я файлу кодовим джерелом для генерації документації, виключаючи файли тестів і файли декларацій типів.
+isSourceFile визначає, чи є ім'я файлу кодовим джерелом для генерації документації, виключаючи файли тестів і файли декларацій типів; перелік кодових розширень береться ВИКЛЮЧНО з декларацій активних lang-плагінів (`contributes.docFiles.extensions`: js/mjs/ts/vue — lang-js, `.rs`/`.py` — lang-rust/lang-python), у ядрі вбудованих розширень немає (фаза 5b) — без активного lang-плагіна скан не бачить жодного джерела.
 docPathForSource обчислює очікуваний шлях до markdown-документа для заданого кодового джерельного шляху, розміщуючи його у теці `docs` поруч із джерелом.
 isDocCandidate визначає, чи повинен файл підлягати документуванню, перевіряючи його тип, статус тесту, статус ігнорування та чи не є він частиною системних документації.
 describeFile описує кодовий файл, надаючи шлях джерела та шлях до відповідного документа, а також статус його застарілості за CRC. Якщо док-файл існує, але без `docgen:`-CRC у frontmatter (рукописна дока), файл позначається `foreign: true` і НЕ вважається застарілим — людський зміст рахується чинною документацією і мовчки не перезаписується (перезапис лише explicit `--overwrite` у batch-CLI).

package/rules/doc-files/docgen-scan/main.mjs

@@ -7,13 +7,6 @@ import { isDocgenIgnored } from '../docgen-ignore/main.mjs'
 import { parseDocFrontmatter, readDocCrc, staleness } from '../docgen-crc/main.mjs'
 import { pluginDocFilesExtensions } from './lang-extensions.mjs'
 
-/**
- * Вбудовані кодові розширення, для яких генеруємо документацію. Мовні
- * розширення поза JS-екосистемою (`.rs`, `.py`) декларують lang-плагіни
- * (`n-rules.contributes.docFiles.extensions`) — див. lang-extensions.mjs.
- */
-const SOURCE_EXTENSIONS = new Set(['.js', '.mjs', '.ts', '.vue'])
-
 /** `*.test.*`, `*.spec.*`, `*.stories.*` — тести й Storybook CSF-файли, документувати не треба. */
 const TEST_FILE_RE = /\.(?:test|spec|stories)\.[^.]+$/u
 
@@ -29,18 +22,18 @@ function isSystemWideDocsRoot(root) {
 }
 
 /**
- * Чи є файл кодовим джерелом для документування. З `root` — враховує і
- * розширення активних lang-плагінів; без нього — лише вбудовані JS-екосистемні.
+ * Чи є файл кодовим джерелом для документування. Розширення декларують ЛИШЕ
+ * активні lang-плагіни (`n-rules.contributes.docFiles.extensions` — js/mjs/ts/vue
+ * дає `@7n/rules-lang-js`, .rs/.py — lang-rust/lang-python); у ядрі вбудованих
+ * розширень немає (фаза 5b spec lang-plugins-extraction).
  * @param {string} fileName базове ім'я файлу
- * @param {string} [root] корінь репозиторію (для плагінних розширень)
+ * @param {string} root корінь репозиторію (джерело плагінних розширень)
  * @returns {boolean} true — документуємо; false — пропускаємо
  */
 export function isSourceFile(fileName, root) {
   if (fileName.endsWith('.d.ts')) return false
   if (TEST_FILE_RE.test(fileName)) return false
-  const ext = extname(fileName)
-  if (SOURCE_EXTENSIONS.has(ext)) return true
-  return root !== undefined && ext in pluginDocFilesExtensions(root)
+  return extname(fileName) in pluginDocFilesExtensions(root)
 }
 
 /**

package/schemas/concern.json

@@ -19,6 +19,10 @@
       ],
       "description": "Маршрутизація fix-движка. Усі мітки виконують детерміновану фазу T0; різниця — що після неї. `code` (дефолт, поле можна опускати) — джерельні порушення, які LLM може осмислено переписати → повна pi-agent-ladder (local→cloud) до чистого re-detect. `config` — canon/settings/tooling конфіг з єдиною правильною формою (jscpd/oxfmtrc/tooling/package_json/*_yml): фікс детермінований (T0/regen з канону), LLM лише вгадав би невалідне → після T0 fail-fast без ladder. `structural` — дублікати/розташування/структура (jscpd_duplicates/test-location/package-structure): авто-правка ризикована й потребує людського розсуду → після T0 fail-fast без ladder. config vs structural різняться мотивом пропуску (детермінований канон vs надто ризиковано) — для телеметрії й майбутнього routing."
     },
+    "skipLocalTier": {
+      "type": "boolean",
+      "description": "Дефолт `false` (поле можна опускати). `true` пропускає local-min/local-min-retry rung-и LLM-ladder-а для цього concern-а — перша спроба одразу йде на cloud-min. Для concern-ів, де local-tier (слабка локальна модель, короткий бюджет) емпірично майже завжди лише витрачає час rung-а без результату, перш ніж ladder однаково ескалює далі."
+    },
     "check": {
       "type": "boolean",
       "const": true,

package/scripts/auto-rules.mjs

@@ -23,14 +23,13 @@ import { fileURLToPath } from 'node:url'
 import { globby } from 'globby'
 
 import { ALWAYS_IGNORE } from './utils/walkDir.mjs'
-import { globToRegex } from '../rules/npm-module/package_structure/main.mjs'
-import { textHasBunSqlImport } from '../rules/js-bun-db/lib/bun-sql-scan.mjs'
+import { globToRegex } from './lib/glob-to-regex.mjs'
+import { textHasBunSqlImport, contentForVueImportScan } from './lib/js-source-signals.mjs'
 import {
   isGqlScanSourceFile,
   shouldSkipFileForGqlScan,
   sourceFileHasGqlTaggedTemplate
 } from '../rules/graphql/lib/graphql-gql-scan.mjs'
-import { contentForVueImportScan } from '../rules/vue/lib/vue-forbidden-imports.mjs'
 import { parseRuleAutoSpec, readRuleMetaRaw } from './lib/rule-meta.mjs'
 import { migrateRuleIds, normalizeIdList } from './lib/rule-meta-helpers.mjs'
 import { RULE_PREDICATES } from './lib/rule-predicates.mjs'

package/scripts/docs/auto-rules.md

@@ -3,7 +3,7 @@ type: JS Module
 title: auto-rules.mjs
 resource: npm/scripts/auto-rules.mjs
 docgen:
-  crc: d4a1b2da
+  crc: 5707eb47
   model: omlx/gemma-4-e4b-it-OptiQ-4bit
   score: 90
 ---

package/scripts/lib/concern-meta.mjs

@@ -34,6 +34,10 @@ import { join } from 'node:path'
  * @property {PolicySurface|undefined} policy policy-поверхня concern-а (rego/template) або undefined.
  * @property {LintSurface|undefined} lint lint-поверхня concern-а або undefined.
  * @property {Fixability} fixability маршрутизація fix-движка (дефолт `code`): `config`/`structural` пропускають LLM-ladder.
+ * @property {boolean} skipLocalTier дефолт `false`: `true` пропускає local-min/local-min-retry rung-и
+ *   ladder-а — ladder одразу стартує з cloud-min. Для concern-ів, де local-tier емпірично не встигає
+ *   дати результат у межах свого бюджету (напр. js/eslint — 0/12 успіхів у реальному прогоні, лише
+ *   витрачений час).
  */
 
 /**
@@ -119,7 +123,16 @@ export async function readConcernMeta(concernDir, name) {
       ? raw.requires.capability
       : undefined
 
-  return { name, dir: concernDir, check, policy, lint, requiresCapability, fixability: parseFixability(raw.fixability) }
+  return {
+    name,
+    dir: concernDir,
+    check,
+    policy,
+    lint,
+    requiresCapability,
+    fixability: parseFixability(raw.fixability),
+    skipLocalTier: raw.skipLocalTier === true
+  }
 }
 
 /**

package/scripts/lib/docs/concern-meta.md

@@ -3,12 +3,8 @@ type: JS Module
 title: concern-meta.mjs
 resource: npm/scripts/lib/concern-meta.mjs
 docgen:
-  crc: 1675429b
-  model: omlx/gemma-4-e4b-it-OptiQ-4bit
-  tier: local-min
-  score: 100
-  issues: judge:inaccurate:0.97
-  judgeModel: openai-codex/gpt-5.4-mini
+  crc: ccc325b1
+  model: manual
 ---
 
 ## Огляд
@@ -21,6 +17,7 @@ docgen:
 readConcernMeta зчитує і перевіряє файл concern.json у вказаній директорії concern-а, повертаючи метадані або null, якщо файл відсутній чи не валідний.
 listConcerns сканує директорію правил і повертає список усіх знайдених concern-ів у алфавітному порядку, ігноруючи каталоги без concern.json.
 Нормалізований meta несе `fixability` (`code`|`config`|`structural`); невідоме/відсутнє значення зводиться до `code` — дефолт, за яким concern лишається eligible для LLM-fix-ladder.
+Нормалізований meta несе також `skipLocalTier` (boolean, дефолт `false`): `true` — concern пропускає local-min/local-min-retry rung-и LLM-ladder-а, перша спроба одразу йде на cloud-min. Для concern-ів, де local-tier емпірично майже завжди лише витрачає бюджет rung-а без результату (напр. `js/eslint`).
 
 ## Публічний API
 

package/scripts/lib/docs/glob-to-regex.md

@@ -0,0 +1,31 @@
+---
+type: JS Module
+title: glob-to-regex.mjs
+resource: npm/scripts/lib/glob-to-regex.mjs
+docgen:
+  crc: 6c55d687
+  model: openai-codex/gpt-5.4-mini
+  tier: cloud-min
+  score: 100
+  issues: judge:inaccurate:0.98
+  judgeModel: openai-codex/gpt-5.4-mini
+---
+
+## Огляд
+
+`globToRegex` перетворює glob-патерни на `RegExp`, щоб `auto-rules.mjs` міг зіставляти `main.json:auto.glob` зі зміненими файлами, а правило npm-module з `@7n/rules-lang-js` — перевіряти `files` у `package.json` тим самим способом. Це спільна основа для однакового тлумачення шляхових шаблонів у `main.json` і `package.json` без запису стану; конфіги, на які спирається код: `main.json`, `package.json`.
+
+## Поведінка
+
+1. `globToRegex` перетворює glob-патерн на `RegExp` з повними межами збігу, щоб один і той самий шаблон можна було застосовувати і до автодетекту змінених файлів, і до перевірок `files` у `package.json`.
+2. Вона трактує `**` як охоплення будь-якої кількості шляхових сегментів, `*` — як будь-яку послідовність символів у межах одного сегмента, `?` — як один символ у межах одного сегмента, а brace-альтернативи — як вибір одного з кількох варіантів.
+3. Вона зберігає літеральний зміст символів, які у регулярних виразах мають спеціальне значення, щоб шаблон поводився як glob, а не як довільний текстовий вираз.
+4. Вона повертає готовий шаблон для перевірки шляхів у бізнес-правилах, що читають `main.json` і `package.json`, не торкаючись файлової системи чи інших даних поза входом.
+
+## Публічний API
+
+- globToRegex — Перетворює glob-патерни з `files` та `main.json:auto.glob` у `RegExp` з прив’язкою до початку й кінця рядка; підтримує `**`, `*`, `?` і `{a,b,c}` для варіантів, без `[…]`.
+
+## Гарантії поведінки
+
+- Read-only: не виконує операцій запису (ФС/БД).

package/scripts/lib/docs/index.md

@@ -20,7 +20,9 @@ resource: npm/scripts/lib/
 | [ensure-tool.mjs](ensure-tool.md)                                           | JS Module |
 | [generated-markdown.mjs](generated-markdown.md)                             | JS Module |
 | [gha-workflow.mjs](gha-workflow.md)                                         | JS Module |
+| [glob-to-regex.mjs](glob-to-regex.md)                                       | JS Module |
 | [inline-template-links.mjs](inline-template-links.md)                       | JS Module |
+| [js-source-signals.mjs](js-source-signals.md)                               | JS Module |
 | [list-project-rules-mdc.mjs](list-project-rules-mdc.md)                     | JS Module |
 | [list-rule-ids.mjs](list-rule-ids.md)                                       | JS Module |
 | [load-cursor-config.mjs](load-cursor-config.md)                             | JS Module |

package/scripts/lib/docs/js-source-signals.md

@@ -0,0 +1,32 @@
+---
+type: JS Module
+title: js-source-signals.mjs
+resource: npm/scripts/lib/js-source-signals.mjs
+docgen:
+  crc: 4a8d80d5
+  model: openai-codex/gpt-5.4-mini
+  tier: cloud-min
+  score: 100
+  issues: judge:inaccurate:0.97
+  judgeModel: openai-codex/gpt-5.4-mini
+---
+
+## Огляд
+
+`auto-rules.mjs` викликає ці regex-only текстові сигнали на кожному зміненому файлі, без AST, щоб швидко збирати факти для авто-детекту правил у JS/TS/Vue-джерелах. Спільні функції `textHasBunSqlImport`, `extractVueScriptBlocks` і `contentForVueImportScan` живуть у `@7n/rules/scripts/lib/…` і використовуються також правилами `@7n/rules-lang-js` для `js-bun-db` та `vue`, щоб не дублювати одні й ті самі сигнали в різних місцях. Компонент read-only і не пише у ФС чи БД.
+
+## Поведінка
+
+- `textHasBunSqlImport` — визначає, чи в тексті є імпорт `sql` або `SQL` з `bun`.
+- `extractVueScriptBlocks` — витягує з Vue SFC увесь код із `<script>`-блоків і склеює його в один текст.
+- `contentForVueImportScan` — готує вміст до сканування: для `.vue` лишає тільки `<script>`-блоки, для інших файлів бере весь текст.
+
+## Публічний API
+
+- textHasBunSqlImport — знаходить у сирому тексті імпорт `sql` або `SQL` з `"bun"` для швидкого визначення, чи є в файлі доступ до Bun SQL API.
+- extractVueScriptBlocks — дістає з Vue SFC лише вміст `<script>`, щоб аналіз не зачіпав template.
+- contentForVueImportScan — для `.vue` бере тільки script-блоки, а для інших файлів — увесь текст, щоб сканувати саме релевантний код.
+
+## Гарантії поведінки
+
+- Read-only: не виконує операцій запису (ФС/БД).

package/scripts/lib/glob-to-regex.mjs

@@ -0,0 +1,79 @@
+/**
+ * Перетворення glob-патернів у RegExp — утиліт рушія авто-детекту правил
+ * (`auto-rules.mjs` матчить `main.json:auto.glob` по зміненим файлам) і
+ * перевірок `files` у package.json (правило npm-module з `@7n/rules-lang-js`).
+ * Живе в ядрі (фаза 5c spec lang-plugins-extraction): рушій не залежить від
+ * плагінів, а плагінні правила імпортують через `@7n/rules/scripts/lib/…`.
+ */
+
+/** Символи зі спеціальним значенням у RegExp, які в glob — літерали (екрануємо). */
+const REGEX_SPECIAL_IN_GLOB = new Set(['.', '+', '^', '$', '{', '}', '(', ')', '|', '[', ']', '\\'])
+
+const GLOBSTAR_LEADING_RE = /^__GLOBSTAR__\//u
+const GLOBSTAR_TRAILING_RE = /\/__GLOBSTAR__$/u
+
+/**
+ * Перетворює glob-патерн (як у npm `files` чи `main.json:auto.glob`) у `RegExp`
+ * з якорями `^` / `$`. Підтримує globstar (нуль або більше сегментів), `*`
+ * (символи без `/`), `?` (один символ без `/`) і brace-альтернативи `{a,b,c}`
+ * (наприклад `*.{png,jpg,svg}` → `(?:png|jpg|svg)`). Клас `[…]` не
+ * підтримується — у негативних патернах `files` цього достатньо.
+ * @param {string} glob posix-шлях у glob-нотації
+ * @returns {RegExp} `RegExp` з якорями `^` / `$`
+ */
+export function globToRegex(glob) {
+  const parts = glob.split('/')
+  const tokens = parts.map(p => {
+    if (p === '**') return '__GLOBSTAR__'
+    let out = ''
+    let braceDepth = 0
+    for (const c of p) {
+      switch (c) {
+        case '*': {
+          out += '[^/]*'
+          continue
+        }
+        case '?': {
+          out += '[^/]'
+          continue
+        }
+        case '{': {
+          out += '(?:'
+          braceDepth++
+          continue
+        }
+        case '}': {
+          if (braceDepth > 0) {
+            out += ')'
+            braceDepth--
+            continue
+          }
+          break
+        }
+        case ',': {
+          if (braceDepth > 0) {
+            out += '|'
+            continue
+          }
+          break
+        }
+        default: {
+          break
+        }
+      }
+      out += REGEX_SPECIAL_IN_GLOB.has(c) ? `\\${c}` : c
+    }
+    return out
+  })
+  let re = tokens.join('/')
+  re = re.replaceAll('/__GLOBSTAR__/', '(?:/.*/|/)')
+  re = re.replace(GLOBSTAR_LEADING_RE, '(?:.*/)?')
+  re = re.replace(GLOBSTAR_TRAILING_RE, '(?:/.*)?')
+  re = re.replaceAll('__GLOBSTAR__', '.*')
+  // Дозволено: уся функція існує саме для конструкції RegExp з glob-pattern
+  // (значення з package.json `files` або main.json `auto.glob`, не від
+  // кінцевого користувача), і спецсимволи вже екрановано через
+  // `REGEX_SPECIAL_IN_GLOB` вище.
+  // eslint-disable-next-line security/detect-non-literal-regexp
+  return new RegExp(`^${re}$`, 'u')
+}

package/scripts/lib/js-source-signals.mjs

@@ -0,0 +1,50 @@
+/**
+ * Дешеві текстові сигнали JS/TS/Vue-джерел для збору фактів авто-детекту правил
+ * (`auto-rules.mjs` кличе їх на кожному зміненому файлі — без AST, лише regex).
+ * Живуть у ядрі (фаза 5c spec lang-plugins-extraction): рушій авто-детекту не
+ * імпортує код плагінів, а правила `@7n/rules-lang-js` (js-bun-db, vue)
+ * використовують ці ж функції через `@7n/rules/scripts/lib/…` — одне джерело
+ * правди без дублювання regex-ів.
+ */
+
+const BUN_SQL_IMPORT_RE = /\bimport\s*\{[\s\S]*?\b(sql|SQL)\b[\s\S]*?\}\s*from\s*["']bun["']/u
+
+/**
+ * Чи містить текст джерела імпорт імені `sql` або `SQL` з `"bun"`.
+ * Скан по сирому тексту — без AST, щоб бути дешевим: викликається на кожному
+ * JS/TS-файлі при зборі ознак для авто-детекту правил.
+ * @param {string} content вміст файлу
+ * @returns {boolean} true, якщо є імпорт sql або SQL з модуля bun
+ */
+export function textHasBunSqlImport(content) {
+  return BUN_SQL_IMPORT_RE.test(content)
+}
+
+/**
+ * Витягує з SFC лише код усередині `<script>`, щоб не чіпати шаблон.
+ * @param {string} sfc вміст .vue файлу
+ * @returns {string} текст усередині тегів `<script>` (усі блоки поспіль)
+ */
+export function extractVueScriptBlocks(sfc) {
+  const chunks = []
+  const re = /<script\b[^>]*>([\s\S]*?)<\/script>/gi
+  let m = re.exec(sfc)
+  while (m) {
+    chunks.push(m[1])
+    m = re.exec(sfc)
+  }
+  return chunks.join('\n\n')
+}
+
+/**
+ * Підбирає текст для сканування: для .vue — лише script-блоки, інакше — увесь вміст.
+ * @param {string} content сирий вміст файлу
+ * @param {string} filePath відносний шлях (для вибору режиму)
+ * @returns {string} текст для парсера/regex-сканів
+ */
+export function contentForVueImportScan(content, filePath) {
+  if (filePath.endsWith('.vue')) {
+    return extractVueScriptBlocks(content)
+  }
+  return content
+}

package/scripts/lib/lint-surface/docs/ladder.md

@@ -3,10 +3,8 @@ type: JS Module
 title: ladder.mjs
 resource: npm/scripts/lib/lint-surface/ladder.mjs
 docgen:
-  crc: a5e45f08
-  model: openai-codex/gpt-5.5
-  score: 100
-  issues: judge:inaccurate:0.97
+  crc: f02de1a2
+  model: manual
 ---
 
 ## Огляд
@@ -17,7 +15,7 @@ docgen:
 
 - `DEFAULT_MAX_AVG` задає типовий ліміт звернень до середнього cloud-рівня за один прогін, щоб ескалація не витрачала надмірно дорогий ресурс.
 - `buildLadder` формує послідовність рівнів виправлення від локального мінімального до cloud-avg і відкидає недоступні рівні без моделі.
-- Кожен rung несе `timeoutMs` — per-tier таймаут виклику (ADR 260620-0556): локальні рівні 45s, хмарні 120s; override без зміни коду — env `N_LOCAL_FIX_TIMEOUT_MS` / `N_CLOUD_FIX_TIMEOUT_MS` (мс на ОДИН rung відповідного класу; невалідне значення → дефолт). Runner прокидає його worker-у через `FixContext`, щоб зависла LLM-сесія переривалась (runner додатково тримає backstop ×1.25), а ladder рухався далі. Це робочий важіль для повільної локальної моделі чи великої черги batch-концерну (doc-files ріже беклог під цей ліміт м'яким дедлайном).
+- Кожен rung несе `timeoutMs` — per-tier таймаут виклику (ADR 260620-0556): локальні рівні 45s, cloud-min 120s, cloud-avg 180s (окремий, більший дефолт — реальний прогін 2026-07-18 показав, що cloud-avg регулярно доводить concern майже до чистого re-detect, але спільний з cloud-min бюджет не лишав часу на verify, а наступного rung-а для повторної спроби нема); override без зміни коду — env `N_LOCAL_FIX_TIMEOUT_MS` / `N_CLOUD_FIX_TIMEOUT_MS` / `N_CLOUD_AVG_FIX_TIMEOUT_MS` (мс на ОДИН rung відповідного класу; невалідне значення → дефолт). Runner прокидає його worker-у через `FixContext`, щоб зависла LLM-сесія переривалась (runner додатково тримає backstop ×1.25), а ladder рухався далі. Це робочий важіль для повільної локальної моделі чи великої черги batch-концерну (doc-files ріже беклог під цей ліміт м'яким дедлайном).
 - `classifyFixError` визначає характер помилки виправлення: системна причина, транспортний збій або якісна невдача агента.
 - `decideAfterFailure` вирішує, чи продовжувати ескалацію після невдалого рівня, чи пропустити локальну модель, чи зупинити процес.
 

package/scripts/lib/lint-surface/docs/run-fix.md

@@ -3,8 +3,8 @@ type: JS Module
 title: run-fix.mjs
 resource: npm/scripts/lib/lint-surface/run-fix.mjs
 docgen:
-  crc: c4235855
-  model: omlx/gemma-4-e4b-it-OptiQ-4bit
+  crc: 45965f7d
+  model: manual
 ---
 
 ## Огляд
@@ -23,6 +23,7 @@ Durable-write-и (issue nitra/cursor#16): worker отримує у `FixContext`
 MT-tail (Фаза B, спека 2026-07-11): коли лишився невиправлений хвіст (worst=1), `renderRemaining` повертає зібрані порушення, і вони матеріалізуються у вузли MT-графа через `materializeTail` (mt-tail.mjs). Єдиний гейт — onboarded-репо (наявність `.mt.json`); fail-open: MT недоступний або будь-яка помилка → лог, lint не падає.
 Distillation-телеметрія (Фаза C, §13 pi-migration): успішний agentic-рунг (canonical clean, без veto, з реальними правками у worker telemetry) пише запис `oldText→newText` у глобальний стор (`recordFixTelemetry`, `~/.n-rules/telemetry/<rule>/open/`) — корпус для маховика дистиляції T0. Best-effort; T0/ручні фікси не пишуться.
 Rollback на провалі re-detect-а: якщо canonical re-detect усередині rung-а сам кидає виняток (worker/LLM лишив файл синтаксично невалідним — детектор/conftest не може його розпарсити), `runRung` спершу відкочує `snapshot` до S1, і лише потім перекидає виняток далі — без цього зіпсований проміжний стан worker-а лишався б на диску назавжди (виняток абортує весь прогін до звичайного rollback-коду).
+skipLocalTier (concern-meta.mjs): `selectLadder` перед циклом ladder-а фільтрує з нього local-min/local-min-retry rung-и, якщо `item.entry.concern.skipLocalTier === true` — перша спроба одразу йде на cloud-min. Для concern-ів, де local-tier емпірично майже завжди лише витрачає бюджет rung-а без результату (виявлено на реальному прогоні 2026-07-18: 0/12 успіхів local-tier для `js/eslint`).
 
 ## Публічний API
 

package/scripts/lib/lint-surface/ladder.mjs

@@ -9,16 +9,25 @@ import { env } from 'node:process'
 // об'єктивно не закінчить важкий промпт за хвилини (curl 28), хмарний SSE без
 // таймауту здатен висіти годинами на ESTABLISHED TCP — драбина має рухатись далі.
 //
-// Override без зміни коду — env `N_LOCAL_FIX_TIMEOUT_MS` / `N_CLOUD_FIX_TIMEOUT_MS`:
-// мілісекунди на ОДИН rung відповідного класу (local-min/local-min-retry та
-// cloud-min/cloud-avg). Значення потрапляє worker-у як `ctx.timeoutMs` (внутрішній
-// abort LLM-виклику; batch-worker-и, як doc-files, ріжуть під нього беклог м'яким
-// дедлайном), а runner додатково тримає backstop ×1.25 навколо всього worker-виклику.
-// Робочий важіль для повільної локальної моделі чи великої черги batch-концерну:
-// підняти локальний таймаут понад вартість одного файлу. Невалідне значення
-// (NaN/0/порожньо) → дефолт.
+// Override без зміни коду — env `N_LOCAL_FIX_TIMEOUT_MS` / `N_CLOUD_FIX_TIMEOUT_MS` /
+// `N_CLOUD_AVG_FIX_TIMEOUT_MS`: мілісекунди на ОДИН rung відповідного класу
+// (local-min/local-min-retry, cloud-min, cloud-avg). Значення потрапляє worker-у як
+// `ctx.timeoutMs` (внутрішній abort LLM-виклику; batch-worker-и, як doc-files, ріжуть
+// під нього беклог м'яким дедлайном), а runner додатково тримає backstop ×1.25 навколо
+// всього worker-виклику. Робочий важіль для повільної локальної моделі чи великої черги
+// batch-концерну: підняти локальний таймаут понад вартість одного файлу. Невалідне
+// значення (NaN/0/порожньо) → дефолт.
+//
+// cloud-avg має ОКРЕМИЙ (більший за cloud-min) дефолт: реальний прогін
+// (2026-07-18, /ai run/yoga2, chainId 6f6b4fdca71aa0c5) показав, що cloud-avg
+// регулярно доводить concern до 1 залишкового порушення в межах спільного з
+// cloud-min бюджету, але verify (canonical re-detect) не встигає підтвердитись —
+// і весь прогрес відкочується, бо після cloud-avg немає наступного rung-а для
+// повторної спроби. cloud-avg — останній шанс ladder-а (і під DEFAULT_MAX_AVG-кепом),
+// тож дорожчий за нього бюджет виправдано менш економний, ніж cloud-min.
 const LOCAL_TIMEOUT_MS = Number(env.N_LOCAL_FIX_TIMEOUT_MS) || 45_000
 const CLOUD_TIMEOUT_MS = Number(env.N_CLOUD_FIX_TIMEOUT_MS) || 120_000
+const CLOUD_AVG_TIMEOUT_MS = Number(env.N_CLOUD_AVG_FIX_TIMEOUT_MS) || 180_000
 
 /** Дефолтний кеп на виклики cloud-avg за прогін (щоб ladder на N concern-ів не спалив avg). */
 export const DEFAULT_MAX_AVG = 3
@@ -59,7 +68,7 @@ export function buildLadder({ localMin, cloudMin, cloudAvg }) {
       timeoutMs: LOCAL_TIMEOUT_MS
     },
     { tier: 'cloud-min', model: cloudMin, feedback: true, local: false, isAvg: false, timeoutMs: CLOUD_TIMEOUT_MS },
-    { tier: 'cloud-avg', model: cloudAvg, feedback: true, local: false, isAvg: true, timeoutMs: CLOUD_TIMEOUT_MS }
+    { tier: 'cloud-avg', model: cloudAvg, feedback: true, local: false, isAvg: true, timeoutMs: CLOUD_AVG_TIMEOUT_MS }
   ].filter(r => r.model)
 }