@7n/rules 1.26.0 → 1.28.0

package/scripts/lib/lint-surface/run-fix.mjs

@@ -440,6 +440,18 @@ function noteT0Phase(t0, chainExtra, touchedAbs) {
   }
 }
 
+/**
+ * Ladder concern-а: повний, або без local-tier rung-ів (`concern.skipLocalTier`) —
+ * concern-и, де local-min/local-min-retry емпірично не встигають дати результат
+ * у межах свого бюджету (concern-meta.mjs).
+ * @param {Rung[]} ladder Повний ladder pipeline-у.
+ * @param {import('../concern-meta.mjs').ConcernMeta} concern Concern-meta елемента плану.
+ * @returns {Rung[]} Ladder, застосовний до цього concern-а.
+ */
+function selectLadder(ladder, concern) {
+  return concern.skipLocalTier ? ladder.filter(rung => !rung.local) : ladder
+}
+
 /**
  * Тіло fix-pipeline одного concern-а (T0 → S1 → ladder); chain/chainExtra — акумулятори
  * телеметрії ланцюжка (володіє ними fixConcern-обгортка).
@@ -481,7 +493,8 @@ async function fixConcernCore(item, initialViolations, deps, chain, chainExtra,
 
   // ── Worker ladder ── concern-specific fix-worker.mjs, інакше дефолтний pi-agent worker.
   const worker = await resolveWorker(concernDir, deps.workerOverride)
-  if (!worker || ladder.length === 0) {
+  const effectiveLadder = selectLadder(ladder, item.entry.concern)
+  if (!worker || effectiveLadder.length === 0) {
     chainExtra.stop = 'no-worker'
     return false
   }
@@ -492,7 +505,7 @@ async function fixConcernCore(item, initialViolations, deps, chain, chainExtra,
   let violations = initialViolations
   const skipModels = new Set()
 
-  for (const rung of ladder) {
+  for (const rung of effectiveLadder) {
     if (skipModels.has(rung.model)) continue
     if (rung.isAvg && deps.avgRemaining() <= 0) {
       log(`  ⏭️  ${ruleId}/${concernName}: ${rung.tier} пропущено (avg-кеп вичерпано)\n`)

package/scripts/utils/ast-scan-utils.mjs

@@ -6,8 +6,8 @@
  * робота з `TemplateLiteral` (текст quasis, контекст SQL-списку).
  *
  * Використовується сканерами у `rules/<rule>/js/...` (наприклад,
- * `rules/js-bun-db/js/safety/bun-sql-scan.mjs`, `rules/js-mssql/js/deps/mssql-pool-scan.mjs`,
- * `rules/js-run/js/runtime/*-scan.mjs`) для уникнення дублювання boilerplate.
+ * `@7n/rules-lang-js`: rules/js-bun-db, rules/js-mssql, rules/js-run —
+ * фаза 5c spec lang-plugins-extraction) для уникнення дублювання boilerplate.
  */
 import { parseSync } from 'oxc-parser'
 

package/scripts/utils/docs/ast-scan-utils.md

@@ -3,7 +3,7 @@ type: JS Module
 title: ast-scan-utils.mjs
 resource: npm/scripts/utils/ast-scan-utils.mjs
 docgen:
-  crc: 0f9b4a21
+  crc: ed9f189b
 ---
 
 Цей файл містить утиліти для AST-сканерів JavaScript та TypeScript, що використовуються для аналізу коду та виявлення потенційних проблем. Він надає інструменти для обробки AST, перетворення даних та взаємодії з різними типами вузлів, забезпечуючи основу для створення правил безпеки та аналізу коду. Ці утиліти спрощують розробку сканерів, усуваючи необхідність повторного написання boilerplate-коду.

package/scripts/utils/docs/test-helpers.md

@@ -3,7 +3,7 @@ type: JS Module
 title: test-helpers.mjs
 resource: npm/scripts/utils/test-helpers.mjs
 docgen:
-  crc: 9af8ee18
+  crc: a01017b0
 ---
 
 ## Огляд
@@ -18,6 +18,7 @@ docgen:
 - `withBinStubInPath(bin, fn)` — створює тимчасовий каталог зі стабом `<bin>` (`<bin>.exe` на Windows), що завершується з кодом 0, додає каталог на початок `PATH` на час `fn`, потім відновлює `PATH` і прибирає стаб. Реальний бінарник не запускається: і машини без інструмента, і повільні мережево-залежні інструменти (наприклад, `kubescape`, який на старті тягне артефакти з хмарних API десятки секунд) отримують детермінований швидкий прогін.
 - `withShellcheckStubInPath(fn)` — спеціалізація `withBinStubInPath` для `shellcheck` (перевірки `check ga` на машинах без реального shellcheck).
 - `withBinRemovedFromPath(bin, fn)` — виконує `fn` із `PATH`, з якого прибрані всі каталоги з виконуваним `<bin>`; решта `PATH` (git, bun) лишається. На час `fn` виставляє `N_CURSOR_NO_AUTO_INSTALL=1`, щоб `ensureTool` не запускав реальний brew/scoop/curl-install. Для негативних тестів «fail, коли інструмента нема».
+- `installFakeLangJsPlugin(dir)` — кладе у tmp-репо фейковий `@7n/rules-lang-js` (маніфест із doc-files-розширеннями js/mjs/ts/vue у `node_modules`) і активує його через `.n-rules.json`. Після фази 5b ядро не має вбудованих кодових розширень — тестам doc-files без цього хелпера скан не бачить жодного джерела.
 
 ## Гарантії поведінки
 

package/skills/doc-files/SKILL.md

@@ -1,7 +1,7 @@
 ---
 name: doc-files
 description: >-
-  Обовʼязковий крок задачі (як lint): для кожного зміненого/нового кодового файлу (js/mjs/ts/vue вбудовано; rs/py — через lang-плагіни) JS-оркестрована генерація лаконічної поведінкової української md-документації у теку docs/ поряд із кодом, зі звіркою застарілості за CRC у frontmatter
+  Обовʼязковий крок задачі (як lint): для кожного зміненого/нового кодового файлу (розширення декларують lang-плагіни: js/mjs/ts/vue — lang-js, rs/py — lang-rust/lang-python) JS-оркестрована генерація лаконічної поведінкової української md-документації у теку docs/ поряд із кодом, зі звіркою застарілості за CRC у frontmatter
 version: '1.0'
 ---
 

package/skills/taze/js/docs/orchestrate.md

@@ -3,7 +3,7 @@ type: JS Module
 title: orchestrate.mjs
 resource: npm/skills/taze/js/orchestrate.mjs
 docgen:
-  crc: df10e67a
+  crc: c1bcfe63
   model: openai-codex/gpt-5.4-mini
   score: 100
   issues: judge:inaccurate:0.98

package/rules/bun/bunfig/bunfig.mdc

@@ -1,17 +0,0 @@
-## Rego-gate: відповідність bunfig.toml канонічному шаблону
-
-Rego-пакет: `bun.bunfig`
-
-Цільовий файл: `bunfig.toml` (корінь репо).
-
-Шаблон (leaf-значення, які gate порівнює): [bunfig.toml.snippet.toml](./template/bunfig.toml.snippet.toml)
-
-Gate порівнює кожен leaf-ключ у кожній секції шаблону з фактичним значенням у `bunfig.toml`. Зайві ключі та секції — ігноруються. Deny-повідомлення виникає, якщо:
-
-- секція відсутня або не є обʼєктом (`bunfig.toml: відсутня секція [install]`)
-- leaf-ключ має інше значення (`bunfig.toml: у секції [install] має бути linker = "hoisted"`)
-
-## Навіщо саме `linker = "hoisted"`
-
-Канонічна лінковка для кореневого `bunfig.toml` — **hoisted**: пласке `node_modules`,
-сумісне з інструментами, які не розуміють ізольований (isolated) layout Bun.

package/rules/bun/bunfig/bunfig.rego

@@ -1,29 +0,0 @@
-# Перевірка `bunfig.toml` для bun (bun.mdc).
-#
-# Канон надходить через --data: { "template": { "snippet": ... } }
-# Структура --data сформована з template/bunfig.toml.snippet.toml.
-# Snippet — 2-рівнева мапа (section → key → expected). Walker такий самий,
-# як для ga.vscode_settings: leaf-by-leaf коли section-обʼєкт існує + окремий
-# deny коли section відсутній / не обʼєкт.
-package bun.bunfig
-
-import rego.v1
-
-# Leaf-by-leaf: section присутня й обʼєкт.
-deny contains msg if {
-	some section, expected_inner in data.template.snippet
-	inner := object.get(input, section, {})
-	is_object(inner)
-	some leaf_key, expected_value in expected_inner
-	actual := object.get(inner, leaf_key, null)
-	actual != expected_value
-	msg := sprintf("bunfig.toml: у секції [%s] має бути %s = %q (bun.mdc)", [section, leaf_key, expected_value])
-}
-
-# Section відсутня (null) або не обʼєкт.
-deny contains msg if {
-	some section in object.keys(data.template.snippet)
-	raw := object.get(input, section, null)
-	not is_object(raw)
-	msg := sprintf("bunfig.toml: відсутня секція [%s] (bun.mdc)", [section])
-}

package/rules/bun/bunfig/concern.json

@@ -1,9 +0,0 @@
-{
-  "$schema": "https://unpkg.com/@7n/rules/schemas/concern.json",
-  "fixability": "config",
-  "policy": {
-    "files": {
-      "single": "bunfig.toml"
-    }
-  }
-}

package/rules/bun/bunfig/template/bunfig.toml.snippet.toml

@@ -1,2 +0,0 @@
-[install]
-linker = "hoisted"

package/rules/bun/docs/index.md

@@ -1,11 +0,0 @@
----
-type: Directory Index
-title: npm/rules/bun
-resource: npm/rules/bun/
----
-
-# npm/rules/bun
-
-| Файл                | Тип       |
-| ------------------- | --------- |
-| [main.mjs](main.md) | JS Module |

package/rules/bun/layout/concern.json

@@ -1,16 +0,0 @@
-{
-  "$schema": "https://unpkg.com/@7n/rules/schemas/concern.json",
-  "lint": {
-    "scope": "full",
-    "glob": [
-      "package-lock.json",
-      "yarn.lock",
-      "pnpm-lock.yaml",
-      ".yarnrc.yml",
-      ".yarn/**",
-      "bun.lock",
-      "bunfig.toml",
-      "package.json"
-    ]
-  }
-}

package/rules/bun/layout/docs/fix-layout.md

@@ -1,29 +0,0 @@
----
-type: JS Module
-title: fix-layout.mjs
-resource: npm/rules/bun/layout/fix-layout.mjs
-docgen:
-  crc: 14f58bce
-  model: omlx/gemma-4-e4b-it-OptiQ-4bit
-  score: 100
-  issues: judge:inaccurate:0.98
-  judgeModel: openai-codex/gpt-5.4-mini
----
-
-## Огляд
-
-Т0-autofix паттерни для `bun/js/layout.mjs` забезпечують детерміноване виправлення структури проєкту. Він виконує такі дії, керуючись конфігом `package-lock.json`: видаляє заборонені файли (наприклад, `package-lock.json`, `yarn.lock`), створює відсутні конфігураційні файли (`bunfig.toml`) та каталоги (`.yarn`). Ці механізми реалізуються через публічну змінну `patterns` без звернення до LLM.
-
-## Поведінка
-
-Поведінка:
-
-1. Виконується детерміноване автоматичне виправлення структури проєкту на основі попереднього логу.
-2. Перевіряється наявність заборонених файлів, таких як `package-lock.json`. У разі виявлення, ці файли фізично видаляються з робочої директорії.
-3. Перевіряється наявність файлу `bunfig.toml`. Якщо він відсутній, його створюється з базовим налаштуванням для встановлення залежностей.
-4. Перевіряється наявність каталогу `.yarn`. У разі його виявлення, цей каталог повністю видаляється.
-5. Усі ці дії інкапсульовані у публічній змінній `patterns`, що містить набір визначених механізмів виправлення.
-
-## Гарантії поведінки
-
-- (специфічних машинно-виведених гарантій немає)

package/rules/bun/layout/docs/main.md

@@ -1,34 +0,0 @@
----
-type: JS Module
-title: main.mjs
-resource: npm/rules/bun/layout/main.mjs
-docgen:
-  crc: 457e5fcd
-  model: omlx/gemma-4-e4b-it-OptiQ-4bit
-  score: 95
-  issues: anchor-miss:(bun.mdc),judge:inaccurate:0.99
-  judgeModel: openai-codex/gpt-5.4-mini
----
-
-## Огляд
-
-Цей модуль забезпечує автоматизовану перевірку конфігурації проекту, аналізуючи файли package.json та package-lock.json. Він діагностує відсутність ключових файлів або невідповідність усталеним стандартам управління залежностями. Успішна робота підтверджує відповідність проекту визначеним вимогам.
-
-## Поведінка
-
-Поведінка:
-
-1. При запуску `main` перевіряється наявність файлів блокування залежностей (`package-lock.json`, `yarn.lock`, `pnpm-lock.yaml`, `.yarnrc.yml`). Якщо будь-який з них присутній, це розцінюється як порушення.
-2. Перевіряється наявність директорії `.yarn`. Її наявність сприймається як порушення.
-3. Перевіряється наявність файлу `bun.lock`. Якщо його немає, це вказує на необхідність виконання `bun i`.
-4. Перевіряється наявність конфігураційного файлу `bunfig.toml`. Якщо його немає, це вимагає створення файлу з налаштуванням `[install] linker = "hoisted"` відповідно до вимог `bun.mdc`.
-5. Визначається шлях до `package.json` у корені репозиторію. Якщо цей файл відсутній, процес перевірки зупиняється.
-6. У разі успішної перевірки всіх умов, повертається код, що вказує на відсутність проблем.
-
-## Публічний API
-
-main — перевіряє, чи відповідає проєкт встановленим у bun.mdc правилам.
-
-## Гарантії поведінки
-
-- Read-only: не виконує операцій запису (ФС/БД).

package/rules/bun/layout/fix-layout.mjs

@@ -1,63 +0,0 @@
-/**
- * T0-autofix паттерни для `bun/layout` — детерміновані FS-виправлення
- * заборонених файлів (package-lock.json, yarn.lock тощо), відсутнього bunfig.toml
- * та каталогу .yarn без звернення до LLM.
- *
- * Unified lint surface: structured violations (test(violations)/apply(violations,ctx)).
- * Імена заборонених файлів читаються з `v.message`, не з агрегованого output-рядка.
- */
-import { existsSync, rmSync, writeFileSync } from 'node:fs'
-import { join } from 'node:path'
-
-const FORBIDDEN_FILE_RE = /Знайдено заборонений файл: \S+/u
-const FORBIDDEN_FILE_NAME_RE = /Знайдено заборонений файл: (\S+)/u
-const BUNFIG_MISSING_RE = /Відсутній bunfig\.toml/u
-const YARN_DIR_RE = /Знайдено директорію \.yarn/u
-
-/** @type {import('../../../scripts/lib/lint-surface/types.mjs').T0Pattern[]} */
-export const patterns = [
-  {
-    id: 'rm-forbidden-file',
-    test: violations => violations.some(v => FORBIDDEN_FILE_RE.test(v.message)),
-    apply: (violations, ctx) => {
-      const cwd = ctx.cwd
-      const touchedFiles = []
-      for (const v of violations) {
-        const m = FORBIDDEN_FILE_NAME_RE.exec(v.message)
-        if (!m) continue
-        const filePath = join(cwd, m[1])
-        if (existsSync(filePath)) {
-          ctx.recordWrite?.(filePath)
-          rmSync(filePath, { force: true })
-          touchedFiles.push(filePath)
-        }
-      }
-      if (touchedFiles.length === 0) return { touchedFiles: [] }
-      return { touchedFiles, message: `видалено: ${touchedFiles.join(', ')}` }
-    }
-  },
-
-  {
-    id: 'bun-bunfig-create',
-    test: violations => violations.some(v => BUNFIG_MISSING_RE.test(v.message)),
-    apply: (_violations, ctx) => {
-      const target = join(ctx.cwd, 'bunfig.toml')
-      if (existsSync(target)) return { touchedFiles: [] }
-      ctx.recordWrite?.(target)
-      writeFileSync(target, '[install]\nlinker = "hoisted"\n', 'utf8')
-      return { touchedFiles: [target], message: 'створено bunfig.toml' }
-    }
-  },
-
-  {
-    id: 'bun-yarn-dir-remove',
-    test: violations => violations.some(v => YARN_DIR_RE.test(v.message)),
-    apply: (_violations, ctx) => {
-      const target = join(ctx.cwd, '.yarn')
-      if (!existsSync(target)) return { touchedFiles: [] }
-      ctx.recordWrite?.(target)
-      rmSync(target, { recursive: true, force: true })
-      return { touchedFiles: [target], message: 'видалено .yarn/' }
-    }
-  }
-]

package/rules/bun/layout/layout.mdc

@@ -1,60 +0,0 @@
-## Структура lockfile та менеджер пакетів
-
-Проект використовує **тільки Bun** для керування залежностями та запуску скриптів.
-
-**Заборонені lockfile / директорії** (мають бути відсутні у репозиторії):
-
-- `package-lock.json`
-- `yarn.lock`
-- `pnpm-lock.yaml`
-- `.yarnrc.yml`
-- `.yarn/`
-
-Якщо якийсь із цих файлів чи директорій існує — **видали** його.
-
-**Обовʼязковий lockfile:** `bun.lock` (має бути присутній у корені).
-
-**Заборонені команди менеджерів пакетів:**
-
-- `npm install`, `yarn`, `pnpm` і їх відповідники lockfile (крім `bun.lock`)
-
-**Дозволені команди:**
-
-- `bun i`
-- `bun run <script>`
-- `bun add <pkg>`
-- `bun add -d <pkg>`
-- `bun remove <pkg>`
-- `bunx <tool>`
-- `npx <tool>` — якщо у проєкті вже використовується `npx` (не замінюй на `bunx`)
-
-**Одноразові CLI (`bunx` / `npx`):**
-
-- Якщо в проєкті вже використовується **`npx`** (скрипти, CI, Dockerfile) — **залишай `npx`**, не замінюй на `bunx`.
-- Якщо новий виклик CLI додається з нуля і в репозиторії прийнято лише Bun — можна `bunx <tool>`.
-
-**Не додавай** у `dependencies` / `devDependencies` пакети, які **використовуються лише як CLI** і їх достатньо викликати через **`bunx <pkg>`** (або **`npx`**, якщо в проєкті так прийнято): наприклад **oxlint**, **jscpd**, **eslint** у корені тощо. Виняток — пакет потрібен як **бібліотека** (імпорт у коді), peer для іншого пакета, або інструмент **не** покривається `bunx` у вашому CI.
-
-**Monorepo:**
-
-- Встановлювати залежності у відповідному пакеті, а не в корені без потреби.
-- Якщо залежність потрібна лише одному пакету, додавати її в директорії цього пакета.
-- У CI та локально запускати скрипти через `bun run`.
-
-**Dockerfile:**
-
-```dockerfile
-FROM oven/bun:alpine AS build-env
-```
-
-замість образу node.
-
-**GitHub Actions:** не вставляй у workflow окремі кроки **`actions/setup-node`**, **`oven-sh/setup-bun`**, **`actions/cache`** та **`bun install`** — їх **заборонено** дублювати в кожному job; завжди використовуй **локальний composite** (деталі й заборона дублювання — **ga.mdc**). Під капотом composite уже містить Node **24**, Bun, кеш і **`bun install --frozen-lockfile`**.
-
-Після **`actions/checkout@v6`** (`persist-credentials: false`):
-
-```yaml
-- uses: ./.github/actions/setup-bun-deps
-```
-
-Якщо в репозиторії action збережено під **`./npm/github-actions/setup-bun-deps`**, у `uses:` вкажи цей шлях замість `.github/actions/…` (**ga.mdc**).

package/rules/bun/layout/main.mjs

@@ -1,53 +0,0 @@
-/** @see ./docs/layout.md */
-import { existsSync } from 'node:fs'
-import { join } from 'node:path'
-
-import { createViolationReporter } from '../../../scripts/lib/lint-surface/violation-reporter.mjs'
-
-// Перевірка `devDependencies` кореневого `package.json` (дозволено лише `@nitra/*`)
-// — у rego (`npm/policy/bun/package_json/`). JS-копії `isAllowedRootDevDependency`
-// видалено, щоб не було двох джерел істини.
-
-/**
- * Перевіряє відповідність проєкту правилам bun.mdc
- * @param {import('../../../scripts/lib/lint-surface/types.mjs').LintContext} ctx контекст lint-прогону
- * @returns {import('../../../scripts/lib/lint-surface/types.mjs').LintResult} результат перевірки
- */
-export function lint(ctx) {
-  const cwd = ctx.cwd
-  const reporter = createViolationReporter(ctx)
-  const { pass, fail } = reporter
-
-  for (const f of ['package-lock.json', 'yarn.lock', 'pnpm-lock.yaml', '.yarnrc.yml']) {
-    if (existsSync(join(cwd, f))) {
-      fail(`Знайдено заборонений файл: ${f} — видали його`)
-    } else {
-      pass(`Немає ${f}`)
-    }
-  }
-
-  if (existsSync(join(cwd, '.yarn'))) {
-    fail('Знайдено директорію .yarn — видали її')
-  } else {
-    pass('Немає .yarn/')
-  }
-  if (existsSync(join(cwd, 'bun.lock'))) {
-    pass('bun.lock є')
-  } else {
-    fail('Відсутній bun.lock — запусти bun i')
-  }
-
-  if (existsSync(join(cwd, 'bunfig.toml'))) {
-    pass('bunfig.toml є (структуру перевіряє npx @7n/rules fix → bun.bunfig)')
-  } else {
-    fail('Відсутній bunfig.toml — створи з [install] linker = "hoisted" (bun.mdc)')
-  }
-
-  const pkgPath = join(cwd, 'package.json')
-  if (!existsSync(pkgPath)) {
-    fail('Відсутній package.json у корені')
-    return reporter.result()
-  }
-
-  return reporter.result()
-}

package/rules/bun/licensee/concern.json

@@ -1,7 +0,0 @@
-{
-  "$schema": "https://unpkg.com/@7n/rules/schemas/concern.json",
-  "fixability": "config",
-  "lint": {
-    "scope": "full"
-  }
-}

package/rules/bun/licensee/docs/fix-licensee.md

@@ -1,27 +0,0 @@
----
-type: JS Module
-title: fix-licensee.mjs
-resource: npm/rules/bun/licensee/fix-licensee.mjs
-docgen:
-  crc: 5c27ef32
-  model: omlx/gemma-4-e4b-it-OptiQ-4bit
-  score: 100
-  issues: judge:inaccurate:0.99
-  judgeModel: openai-codex/gpt-5.4-mini
----
-
-## Огляд
-
-Цей модуль виконує детерміновану генерацію конфігураційного файлу `.licensee.json` у корені проекту. Генерація відбувається через виконання канонічної команди `licensee --init`, що ініціалізує файл `.licensee.json` для забезпечення метаданих ліцензування проекту. Це механізм для встановлення початкової конфігурації.
-
-## Поведінка
-
-Поведінка:
-1. Перевіряється, чи існують порушення, пов'язані з відсутністю конфігурації `licensee` у контексті.
-2. Якщо порушення виявлено, викликається команда `bun x licensee --init --production --quiet` у поточному робочому каталозі для створення або ініціалізації файлу `.licensee.json`.
-3. Результат виконання команди фіксується, а файл `.licensee.json` позначається як змінений.
-4. Якщо порушень немає, жодних дій не виконується.
-
-## Гарантії поведінки
-
-- Пише лише `.licensee.json`; за відсутності `bun` у PATH — no-op.

package/rules/bun/licensee/docs/index.md

@@ -1,12 +0,0 @@
----
-type: Directory Index
-title: npm/rules/bun/licensee
-resource: npm/rules/bun/licensee/
----
-
-# npm/rules/bun/licensee
-
-| Файл                                | Тип       |
-| ----------------------------------- | --------- |
-| [fix-licensee.mjs](fix-licensee.md) | JS Module |
-| [main.mjs](main.md)                 | JS Module |

package/rules/bun/licensee/docs/main.md

@@ -1,30 +0,0 @@
----
-type: JS Module
-title: main.mjs
-resource: npm/rules/bun/licensee/main.mjs
-docgen:
-  crc: 787e39cc
-  model: manual
----
-
-## Огляд
-
-Read-only detector `bun/licensee`: перевіряє ліцензії npm-залежностей проєкту через зовнішній інструмент `licensee` (`bun x licensee`), звіряючи їх з allowlist у `.licensee.json`. Розрізняє два принципово різні провали: `licensee` знайшов реально заборонену ліцензію (`license-violation`) — і `licensee` сам впав з помилкою (fail-open діагностика, не порушення), наприклад через несумісність `@npmcli/arborist` (яким він читає `node_modules`) з деревом, зібраним `bun install`.
-
-## Поведінка
-
-1. Якщо `.licensee.json` відсутній — `licensee-config-missing`; генерація конфігу — окремий T0-фікс (`fix-licensee.mjs`), не тут.
-2. Якщо `bun` не знайдено в PATH — `bun-missing`.
-3. Запускає `bun x licensee --production --errors-only` (без `--quiet` — реальне порушення потребує деталі: ім'я/версія/ліцензія пакета, які `licensee` пише в stdout через `print()`).
-4. Статус 0 — без порушень.
-5. Статус ≠ 0 і є вивід у **stderr** — трактується як crash/`die()` самого `licensee` (invalid config або необроблений виняток усередині тула), НЕ як ліцензійне порушення: **fail-open** — warn-діагностика (видима у `--verbose`, не блокує exit code) зі stderr і підказкою перевірити вручну `bunx licensee --production`; fail-closed тут перманентно червонив би CI bun-монорепо.
-6. Статус ≠ 0 і stderr порожній, є вивід у **stdout** — це справжній `NOT APPROVED`-звіт від `licensee` (`--errors-only` друкує лише невідповідні пакети): `license-violation` з деталлю пакета/ліцензії у повідомленні.
-
-## Публічний API
-
-- `lint(ctx)` — detector-контракт unified lint surface; повертає `{ violations }` (при crash тула — `{ violations: [], diagnostics }`).
-
-## Гарантії поведінки
-
-- Read-only: не пише `.licensee.json` і не змінює `node_modules`/lockfile сам (побічний ефект `bun x` — авто-встановлення пакета `licensee`, якщо відсутній у bunx-кеші, — керується bun, не цим модулем).
-- Канал stdout/stderr — єдиний сигнал розрізнення crash vs реальне порушення; текстові евристики за вмістом повідомлення не використовуються.

package/rules/bun/licensee/fix-licensee.mjs

@@ -1,31 +0,0 @@
-/**
- * T0-autofix для `bun/licensee` — детермінована генерація `.licensee.json` через
- * `licensee --init` (canon-команда самого тула, та сама, що detector радить запустити
- * вручну). Реальні `license-violation` (файл є, але залежності не проходять) — НЕ
- * T0-фікс: потребують людського рішення про ліцензійну політику, не regen.
- */
-import { join } from 'node:path'
-
-import { resolveCmd } from '../../../scripts/utils/resolve-cmd.mjs'
-import { spawnAsync } from '../../../scripts/utils/spawn-async.mjs'
-
-/** @type {import('../../../scripts/lib/lint-surface/types.mjs').T0Pattern[]} */
-export const patterns = [
-  {
-    id: 'bun-licensee-config-init',
-    test: violations => violations.some(v => v.reason === 'licensee-config-missing'),
-    apply: async (violations, ctx) => {
-      const bun = resolveCmd('bun')
-      if (!bun) return { touchedFiles: [] }
-
-      await spawnAsync(bun, ['x', 'licensee', '--init', '--production', '--quiet'], {
-        cwd: ctx.cwd,
-        shell: false
-      })
-
-      const configPath = join(ctx.cwd, '.licensee.json')
-      ctx.recordWrite?.(configPath)
-      return { touchedFiles: [configPath], message: 'licensee --init: .licensee.json' }
-    }
-  }
-]

package/rules/bun/licensee/main.mjs

@@ -1,68 +0,0 @@
-/**
- * lint-поверхня bun/licensee: read-only detector ліцензій npm-залежностей (`licensee`).
- * Генерація дефолтного `.licensee.json` — окремий T0-fix (`fix-licensee.mjs`), не в detector-і.
- */
-import { existsSync } from 'node:fs'
-import { join } from 'node:path'
-
-import { createViolationReporter } from '../../../scripts/lib/lint-surface/violation-reporter.mjs'
-import { resolveCmd } from '../../../scripts/utils/resolve-cmd.mjs'
-import { spawnAsync } from '../../../scripts/utils/spawn-async.mjs'
-
-/**
- * Detector bun/licensee: ліцензії npm-залежностей через `licensee` (read-only).
- * @param {import('../../../scripts/lib/lint-surface/types.mjs').LintContext} ctx контекст lint-прогону
- * @returns {Promise<import('../../../scripts/lib/lint-surface/types.mjs').LintResult>} результат detector-а
- */
-export async function lint(ctx) {
-  const reporter = createViolationReporter(ctx)
-  const { fail } = reporter
-  const cwd = ctx.cwd
-
-  const configPath = join(cwd, '.licensee.json')
-  if (!existsSync(configPath)) {
-    fail(
-      'lint-bun: licensee — немає .licensee.json; запустіть `npx @7n/rules lint bun` локально для генерації (bun.mdc)',
-      'licensee-config-missing'
-    )
-    return reporter.result()
-  }
-
-  const bun = resolveCmd('bun')
-  if (!bun) {
-    fail('lint-bun: `bun` не знайдено в PATH (bun.mdc)', 'bun-missing')
-    return reporter.result()
-  }
-
-  // Без --quiet: `licensee` пише реальні NOT APPROVED записи (name/version/license) у
-  // stdout через print() — деталь замість голого "код 1". Crash/die() усередині
-  // самого тула (invalid config, внутрішній виняток на кшталт "Cannot read properties
-  // of undefined (reading 'localeCompare')" — спостережено з @npmcli/arborist на
-  // bun-based node_modules) завжди йде у stderr через die(); легітимний звіт про
-  // порушення — лише у stdout. Канал розрізняє crash від реального порушення.
-  const r = await spawnAsync(bun, ['x', 'licensee', '--production', '--errors-only'], { cwd, shell: false })
-  if (r.exitCode !== 0) {
-    const stderr = (r.stderr ?? '').trim().slice(0, 2000)
-    if (stderr) {
-      // Crash самого тула — НЕ підтверджене ліцензійне порушення: fail-open
-      // діагностикою (не блокує CI-гейт). Fail-closed тут перманентно червонив би
-      // bun-монорепо: @npmcli/arborist (яким licensee читає node_modules)
-      // несумісний із деревом bun install.
-      const result = reporter.result()
-      result.diagnostics = [
-        {
-          level: 'warn',
-          message:
-            `lint-bun: licensee — інструмент завершився з помилкою, це НЕ підтверджене ліцензійне порушення ` +
-            `(код ${r.exitCode}, bun.mdc). Ймовірна причина — несумісність @npmcli/arborist з деревом bun install. ` +
-            `Перевір вручну: \`bunx licensee --production\`.\n${stderr}`
-        }
-      ]
-      return result
-    }
-    const stdout = (r.stdout ?? '').trim().slice(0, 2000)
-    const detail = stdout ? `\n${stdout}` : ''
-    fail(`lint-bun: licensee — порушення ліцензій (код ${r.exitCode}, bun.mdc)${detail}`, 'license-violation')
-  }
-  return reporter.result()
-}

package/rules/bun/lint-surface/concern.json

@@ -1,3 +0,0 @@
-{
-  "$schema": "https://unpkg.com/@7n/rules/schemas/concern.json"
-}