@7n/rules 1.27.0 → 1.28.1

package/rules/bun/layout/main.mjs

@@ -1,53 +0,0 @@
-/** @see ./docs/layout.md */
-import { existsSync } from 'node:fs'
-import { join } from 'node:path'
-
-import { createViolationReporter } from '../../../scripts/lib/lint-surface/violation-reporter.mjs'
-
-// Перевірка `devDependencies` кореневого `package.json` (дозволено лише `@nitra/*`)
-// — у rego (`npm/policy/bun/package_json/`). JS-копії `isAllowedRootDevDependency`
-// видалено, щоб не було двох джерел істини.
-
-/**
- * Перевіряє відповідність проєкту правилам bun.mdc
- * @param {import('../../../scripts/lib/lint-surface/types.mjs').LintContext} ctx контекст lint-прогону
- * @returns {import('../../../scripts/lib/lint-surface/types.mjs').LintResult} результат перевірки
- */
-export function lint(ctx) {
-  const cwd = ctx.cwd
-  const reporter = createViolationReporter(ctx)
-  const { pass, fail } = reporter
-
-  for (const f of ['package-lock.json', 'yarn.lock', 'pnpm-lock.yaml', '.yarnrc.yml']) {
-    if (existsSync(join(cwd, f))) {
-      fail(`Знайдено заборонений файл: ${f} — видали його`)
-    } else {
-      pass(`Немає ${f}`)
-    }
-  }
-
-  if (existsSync(join(cwd, '.yarn'))) {
-    fail('Знайдено директорію .yarn — видали її')
-  } else {
-    pass('Немає .yarn/')
-  }
-  if (existsSync(join(cwd, 'bun.lock'))) {
-    pass('bun.lock є')
-  } else {
-    fail('Відсутній bun.lock — запусти bun i')
-  }
-
-  if (existsSync(join(cwd, 'bunfig.toml'))) {
-    pass('bunfig.toml є (структуру перевіряє npx @7n/rules fix → bun.bunfig)')
-  } else {
-    fail('Відсутній bunfig.toml — створи з [install] linker = "hoisted" (bun.mdc)')
-  }
-
-  const pkgPath = join(cwd, 'package.json')
-  if (!existsSync(pkgPath)) {
-    fail('Відсутній package.json у корені')
-    return reporter.result()
-  }
-
-  return reporter.result()
-}

package/rules/bun/licensee/concern.json

@@ -1,7 +0,0 @@
-{
-  "$schema": "https://unpkg.com/@7n/rules/schemas/concern.json",
-  "fixability": "config",
-  "lint": {
-    "scope": "full"
-  }
-}

package/rules/bun/licensee/docs/fix-licensee.md

@@ -1,27 +0,0 @@
----
-type: JS Module
-title: fix-licensee.mjs
-resource: npm/rules/bun/licensee/fix-licensee.mjs
-docgen:
-  crc: 5c27ef32
-  model: omlx/gemma-4-e4b-it-OptiQ-4bit
-  score: 100
-  issues: judge:inaccurate:0.99
-  judgeModel: openai-codex/gpt-5.4-mini
----
-
-## Огляд
-
-Цей модуль виконує детерміновану генерацію конфігураційного файлу `.licensee.json` у корені проекту. Генерація відбувається через виконання канонічної команди `licensee --init`, що ініціалізує файл `.licensee.json` для забезпечення метаданих ліцензування проекту. Це механізм для встановлення початкової конфігурації.
-
-## Поведінка
-
-Поведінка:
-1. Перевіряється, чи існують порушення, пов'язані з відсутністю конфігурації `licensee` у контексті.
-2. Якщо порушення виявлено, викликається команда `bun x licensee --init --production --quiet` у поточному робочому каталозі для створення або ініціалізації файлу `.licensee.json`.
-3. Результат виконання команди фіксується, а файл `.licensee.json` позначається як змінений.
-4. Якщо порушень немає, жодних дій не виконується.
-
-## Гарантії поведінки
-
-- Пише лише `.licensee.json`; за відсутності `bun` у PATH — no-op.

package/rules/bun/licensee/docs/index.md

@@ -1,12 +0,0 @@
----
-type: Directory Index
-title: npm/rules/bun/licensee
-resource: npm/rules/bun/licensee/
----
-
-# npm/rules/bun/licensee
-
-| Файл                                | Тип       |
-| ----------------------------------- | --------- |
-| [fix-licensee.mjs](fix-licensee.md) | JS Module |
-| [main.mjs](main.md)                 | JS Module |

package/rules/bun/licensee/docs/main.md

@@ -1,30 +0,0 @@
----
-type: JS Module
-title: main.mjs
-resource: npm/rules/bun/licensee/main.mjs
-docgen:
-  crc: 787e39cc
-  model: manual
----
-
-## Огляд
-
-Read-only detector `bun/licensee`: перевіряє ліцензії npm-залежностей проєкту через зовнішній інструмент `licensee` (`bun x licensee`), звіряючи їх з allowlist у `.licensee.json`. Розрізняє два принципово різні провали: `licensee` знайшов реально заборонену ліцензію (`license-violation`) — і `licensee` сам впав з помилкою (fail-open діагностика, не порушення), наприклад через несумісність `@npmcli/arborist` (яким він читає `node_modules`) з деревом, зібраним `bun install`.
-
-## Поведінка
-
-1. Якщо `.licensee.json` відсутній — `licensee-config-missing`; генерація конфігу — окремий T0-фікс (`fix-licensee.mjs`), не тут.
-2. Якщо `bun` не знайдено в PATH — `bun-missing`.
-3. Запускає `bun x licensee --production --errors-only` (без `--quiet` — реальне порушення потребує деталі: ім'я/версія/ліцензія пакета, які `licensee` пише в stdout через `print()`).
-4. Статус 0 — без порушень.
-5. Статус ≠ 0 і є вивід у **stderr** — трактується як crash/`die()` самого `licensee` (invalid config або необроблений виняток усередині тула), НЕ як ліцензійне порушення: **fail-open** — warn-діагностика (видима у `--verbose`, не блокує exit code) зі stderr і підказкою перевірити вручну `bunx licensee --production`; fail-closed тут перманентно червонив би CI bun-монорепо.
-6. Статус ≠ 0 і stderr порожній, є вивід у **stdout** — це справжній `NOT APPROVED`-звіт від `licensee` (`--errors-only` друкує лише невідповідні пакети): `license-violation` з деталлю пакета/ліцензії у повідомленні.
-
-## Публічний API
-
-- `lint(ctx)` — detector-контракт unified lint surface; повертає `{ violations }` (при crash тула — `{ violations: [], diagnostics }`).
-
-## Гарантії поведінки
-
-- Read-only: не пише `.licensee.json` і не змінює `node_modules`/lockfile сам (побічний ефект `bun x` — авто-встановлення пакета `licensee`, якщо відсутній у bunx-кеші, — керується bun, не цим модулем).
-- Канал stdout/stderr — єдиний сигнал розрізнення crash vs реальне порушення; текстові евристики за вмістом повідомлення не використовуються.

package/rules/bun/licensee/fix-licensee.mjs

@@ -1,31 +0,0 @@
-/**
- * T0-autofix для `bun/licensee` — детермінована генерація `.licensee.json` через
- * `licensee --init` (canon-команда самого тула, та сама, що detector радить запустити
- * вручну). Реальні `license-violation` (файл є, але залежності не проходять) — НЕ
- * T0-фікс: потребують людського рішення про ліцензійну політику, не regen.
- */
-import { join } from 'node:path'
-
-import { resolveCmd } from '../../../scripts/utils/resolve-cmd.mjs'
-import { spawnAsync } from '../../../scripts/utils/spawn-async.mjs'
-
-/** @type {import('../../../scripts/lib/lint-surface/types.mjs').T0Pattern[]} */
-export const patterns = [
-  {
-    id: 'bun-licensee-config-init',
-    test: violations => violations.some(v => v.reason === 'licensee-config-missing'),
-    apply: async (violations, ctx) => {
-      const bun = resolveCmd('bun')
-      if (!bun) return { touchedFiles: [] }
-
-      await spawnAsync(bun, ['x', 'licensee', '--init', '--production', '--quiet'], {
-        cwd: ctx.cwd,
-        shell: false
-      })
-
-      const configPath = join(ctx.cwd, '.licensee.json')
-      ctx.recordWrite?.(configPath)
-      return { touchedFiles: [configPath], message: 'licensee --init: .licensee.json' }
-    }
-  }
-]

package/rules/bun/licensee/main.mjs

@@ -1,68 +0,0 @@
-/**
- * lint-поверхня bun/licensee: read-only detector ліцензій npm-залежностей (`licensee`).
- * Генерація дефолтного `.licensee.json` — окремий T0-fix (`fix-licensee.mjs`), не в detector-і.
- */
-import { existsSync } from 'node:fs'
-import { join } from 'node:path'
-
-import { createViolationReporter } from '../../../scripts/lib/lint-surface/violation-reporter.mjs'
-import { resolveCmd } from '../../../scripts/utils/resolve-cmd.mjs'
-import { spawnAsync } from '../../../scripts/utils/spawn-async.mjs'
-
-/**
- * Detector bun/licensee: ліцензії npm-залежностей через `licensee` (read-only).
- * @param {import('../../../scripts/lib/lint-surface/types.mjs').LintContext} ctx контекст lint-прогону
- * @returns {Promise<import('../../../scripts/lib/lint-surface/types.mjs').LintResult>} результат detector-а
- */
-export async function lint(ctx) {
-  const reporter = createViolationReporter(ctx)
-  const { fail } = reporter
-  const cwd = ctx.cwd
-
-  const configPath = join(cwd, '.licensee.json')
-  if (!existsSync(configPath)) {
-    fail(
-      'lint-bun: licensee — немає .licensee.json; запустіть `npx @7n/rules lint bun` локально для генерації (bun.mdc)',
-      'licensee-config-missing'
-    )
-    return reporter.result()
-  }
-
-  const bun = resolveCmd('bun')
-  if (!bun) {
-    fail('lint-bun: `bun` не знайдено в PATH (bun.mdc)', 'bun-missing')
-    return reporter.result()
-  }
-
-  // Без --quiet: `licensee` пише реальні NOT APPROVED записи (name/version/license) у
-  // stdout через print() — деталь замість голого "код 1". Crash/die() усередині
-  // самого тула (invalid config, внутрішній виняток на кшталт "Cannot read properties
-  // of undefined (reading 'localeCompare')" — спостережено з @npmcli/arborist на
-  // bun-based node_modules) завжди йде у stderr через die(); легітимний звіт про
-  // порушення — лише у stdout. Канал розрізняє crash від реального порушення.
-  const r = await spawnAsync(bun, ['x', 'licensee', '--production', '--errors-only'], { cwd, shell: false })
-  if (r.exitCode !== 0) {
-    const stderr = (r.stderr ?? '').trim().slice(0, 2000)
-    if (stderr) {
-      // Crash самого тула — НЕ підтверджене ліцензійне порушення: fail-open
-      // діагностикою (не блокує CI-гейт). Fail-closed тут перманентно червонив би
-      // bun-монорепо: @npmcli/arborist (яким licensee читає node_modules)
-      // несумісний із деревом bun install.
-      const result = reporter.result()
-      result.diagnostics = [
-        {
-          level: 'warn',
-          message:
-            `lint-bun: licensee — інструмент завершився з помилкою, це НЕ підтверджене ліцензійне порушення ` +
-            `(код ${r.exitCode}, bun.mdc). Ймовірна причина — несумісність @npmcli/arborist з деревом bun install. ` +
-            `Перевір вручну: \`bunx licensee --production\`.\n${stderr}`
-        }
-      ]
-      return result
-    }
-    const stdout = (r.stdout ?? '').trim().slice(0, 2000)
-    const detail = stdout ? `\n${stdout}` : ''
-    fail(`lint-bun: licensee — порушення ліцензій (код ${r.exitCode}, bun.mdc)${detail}`, 'license-violation')
-  }
-  return reporter.result()
-}

package/rules/bun/lint-surface/concern.json

@@ -1,3 +0,0 @@
-{
-  "$schema": "https://unpkg.com/@7n/rules/schemas/concern.json"
-}

package/rules/bun/lint-surface/lint-surface.mdc

@@ -1,13 +0,0 @@
-## Лінт через n-rules, не package.json-скрипти
-
-Лінт запускається через CLI **`n-rules`** (локально) / **`npx @7n/rules`** (без локальної інсталяції),
-**не** через `package.json`-скрипти:
-
-- **`npx @7n/rules lint --full`** — весь репо (CI-режим);
-- **`npx @7n/rules lint`** — дельта vs origin (лише змінені файли, типовий задачний прогін);
-- **`n-rules lint <rule…>`** — конкретні правила, напр. **`n-rules lint ga`**.
-
-У кореневому `package.json` **не повинно бути** `lint`/`lint-*` скриптів — єдина точка лінту — CLI
-`n-rules` (пакет `@7n/rules`). Цей запис механічно перевіряється Rego-gate'ом
-[`bun.package_json`](../package_json/package_json.mdc) (deny на `scripts.lint` / `scripts.lint-*`) —
-тут лишається лише пояснення *чому* так (єдина точка входу для лінту), без дублювання самого чеку.

package/rules/bun/main.json

@@ -1 +0,0 @@
-{ "auto": { "glob": ["package.json", ".licensee.json"] } }

package/rules/bun/main.mdc

@@ -1,11 +0,0 @@
----
-description: Bun як єдиний package manager у монорепо
-globs: "**/package.json,**/bunfig.toml,**/bun.lock,**/bun.lockb"
-alwaysApply: false
-version: '2.1'
----
-
-Проект використовує тільки Bun для керування залежностями та запуску скриптів.
-
-- [package.json.deny.json](./package_json/template/package.json.deny.json)
-- [bunfig.toml.snippet.toml](./bunfig/template/bunfig.toml.snippet.toml)

package/rules/bun/package_json/concern.json

@@ -1,9 +0,0 @@
-{
-  "$schema": "https://unpkg.com/@7n/rules/schemas/concern.json",
-  "fixability": "config",
-  "policy": {
-    "files": {
-      "single": "package.json"
-    }
-  }
-}

package/rules/bun/package_json/docs/fix-package_json.md

@@ -1,28 +0,0 @@
----
-type: JS Module
-title: fix-package_json.mjs
-resource: npm/rules/bun/package_json/fix-package_json.mjs
-docgen:
-  crc: f55b3994
-  model: openai-codex/gpt-5.4-mini
-  score: 100
-  issues: judge:inaccurate:0.97
-  judgeModel: openai-codex/gpt-5.4-mini
----
-
-## Огляд
-
-Файл знаходить `package.json` із порушеннями policy `bun/package_json` серед заборонених top-level полів і `scripts.lint` / `scripts.lint-*` та запускає T0-autofix для цих випадків. Він видаляє top-level поля за каноном `template/package.json.deny.json` і `package.json.deny.json`, а lint-скрипти переписує на канонічний `bunx n-rules lint ...` лише після репо-wide пошуку всіх їхніх викликів; нерозпізнані виклики лишаються без змін, і в такому разі скрипт не видаляється. Помилки обробляє fail-safe і не кидає назовні.
-
-## Поведінка
-
-1. `patterns` знаходить package.json, у яких є порушення policy для `bun/package_json`, і запускає T0-autofix лише для них.
-2. Для кожного такого package.json вона орієнтується на канон deny-списку з `template/package.json.deny.json` і прибирає заборонені top-level поля.
-3. Якщо в `package.json` є `scripts.lint` або `scripts.lint-*`, вона спершу шукає їхні виклики в репозиторії та переписує їх на канонічний `bunx n-rules lint ...`, щоб не зламати споживачів цих скриптів.
-4. Власні скрипти цього ж `package.json` теж оновлюються до канонічного запуску, якщо вони посилаються на lint-скрипти, що плануються до видалення.
-5. Скрипт видаляє `scripts.lint*` лише тоді, коли для них не лишається нерозпізнаних викликів; якщо десь є незрозумілий спосіб запуску, він лишає скрипт на місці й лише повідомляє про це.
-6. Після змін вона записує оновлений `package.json` і повертає перелік зачеплених файлів та короткий підсумок змін; назовні помилки не пробиваються.
-
-## Гарантії поведінки
-
-- Перехоплює помилки і не пропускає винятків назовні (fail-safe).

package/rules/bun/package_json/docs/index.md

@@ -1,9 +0,0 @@
----
-type: Directory Index
-title: npm/rules/bun/package_json
-resource: npm/rules/bun/package_json/
----
-
-| Файл                                        | Тип       |
-| ------------------------------------------- | --------- |
-| [fix-package_json.mjs](fix-package_json.md) | JS Module |

package/rules/bun/package_json/fix-package_json.mjs

@@ -1,311 +0,0 @@
-/**
- * T0-autofix для policy-concern-а `bun/package_json`: видаляє заборонені top-level поля
- * (канон — `template/package.json.deny.json`, той самий `data.template.deny`, що бачить rego)
- * і `scripts.lint` / `scripts.lint-*` (bun.mdc — лінт лише через `n-rules lint`, не npm-скрипти).
- *
- * Просте видалення `scripts.lint*` небезпечне: якщо десь у репо (workflow yml, інший
- * npm-скрипт) є виклик `bun run lint-js` тощо, видалення ключа зламає цей виклик.
- * Тому перед видаленням шукаємо всі виклики кожного lint-скрипта репо-вайд і переписуємо
- * їх на прямий `bunx n-rules lint <surface>` (canonical — той самий, що вимагають
- * lint_js_yml/lint_style_yml). Скрипт видаляється лише якщо ВСІ його виклики вдалось
- * переписати (файли, де виклик не розпізнано — залишаємо як є, скрипт теж лишається,
- * щоб не зламати консьюмера мовчки).
- */
-import { existsSync, readFileSync, writeFileSync } from 'node:fs'
-import { join } from 'node:path'
-
-import { walkDir } from '../../../scripts/utils/walkDir.mjs'
-import { loadCursorIgnorePaths } from '../../../scripts/lib/load-cursor-config.mjs'
-
-const LINT_SCRIPT_RE = /^lint(-.*)?$/u
-const WORKFLOW_YML_RE = /^\.github\/workflows\/.*\.ya?ml$/u
-const LOCKFILE_RE = /(^|\/)(bun\.lockb?|package-lock\.json|yarn\.lock|pnpm-lock\.yaml)$/u
-const PACKAGE_MANAGER_SCRIPT_PREFIX_RE = /\b(?:(?:bun|yarn|pnpm)(?:\s+run)?|npm\s+run)\s+/gu
-const SCRIPT_NAME_CONTINUATION_RE = /[\w-]/u
-
-// `lint-<suffix>` → rule-id канонічного `n-rules lint <rule-id>`; bare `lint` → без rule-id.
-const SURFACE_MAP = { image: 'image-compress' }
-
-/**
- * @param {string} scriptName напр. `lint-js`, `lint`
- * @returns {string} суфікс аргументу для `n-rules lint` (порожній рядок для bare `lint`)
- */
-function surfaceArgFor(scriptName) {
-  const suffix = scriptName.slice('lint'.length)
-  if (suffix.length === 0) return ''
-  const normalized = suffix.startsWith('-') ? suffix.slice(1) : suffix
-  return ` ${SURFACE_MAP[normalized] ?? normalized}`
-}
-
-/**
- * Знаходить діапазони виклику package-manager-ом заданого npm-скрипта: `bun[ run] X`,
- * `yarn[ run] X`, `pnpm[ run] X`, `npm run X` (голий `npm X` — не валідний npm-синтаксис,
- * окрім start/test). Right-boundary — НЕ `\b` (hyphen — non-word char, тож `lint\b`
- * матчить всередині `lint-js`), а перевірка проти `[\w-]`, щоб `lint` не «зжирав»
- * префікс `lint-js`.
- * @param {string} content вміст для пошуку
- * @param {string} scriptName ім'я npm-скрипта
- * @returns {Array<[number, number]>} діапазони повного виклику в content
- */
-function invocationRanges(content, scriptName) {
-  /** @type {Array<[number, number]>} */
-  const ranges = []
-  PACKAGE_MANAGER_SCRIPT_PREFIX_RE.lastIndex = 0
-  let match
-  while ((match = PACKAGE_MANAGER_SCRIPT_PREFIX_RE.exec(content))) {
-    const scriptStart = PACKAGE_MANAGER_SCRIPT_PREFIX_RE.lastIndex
-    if (!content.startsWith(scriptName, scriptStart)) continue
-    const scriptEnd = scriptStart + scriptName.length
-    if (SCRIPT_NAME_CONTINUATION_RE.test(content[scriptEnd] ?? '')) continue
-    ranges.push([match.index, scriptEnd])
-  }
-  return ranges
-}
-
-/**
- * Читає JSON-файл template-а з deny-полями концерну; відсутній/невалідний → {}.
- * @param {string} path абсолютний шлях
- * @returns {Record<string, string>} мапа `field -> reason`
- */
-function readDenyTemplate(path) {
-  if (!existsSync(path)) return {}
-  try {
-    return JSON.parse(readFileSync(path, 'utf8'))
-  } catch {
-    return {}
-  }
-}
-
-/**
- * `workflow`/`package-json` — відомий, безпечно переписуваний формат; `other` — будь-який
- * інший текстовий файл (Makefile, README, shell-скрипт…), де ми ЛИШЕ детектуємо виклик,
- * але не переписуємо (немає надійного canonical-заміщення для довільного формату).
- * @typedef {'workflow'|'package-json'|'other'} FileKind
- */
-
-/**
- * @param {string} rel posix-відносний шлях від кореня репо
- * @param {string} abs абсолютний шлях
- * @param {string} rootPkgAbs абсолютний шлях кореневого package.json (сам він — не кандидат)
- * @returns {FileKind|null} категорія файлу, або null якщо файл взагалі не кандидат (лок-файли)
- */
-function classifyCandidate(rel, abs, rootPkgAbs) {
-  if (LOCKFILE_RE.test(rel)) return null
-  if (WORKFLOW_YML_RE.test(rel)) return 'workflow'
-  if (rel.endsWith('package.json')) return abs === rootPkgAbs ? null : 'package-json'
-  return 'other'
-}
-
-/**
- * Знаходить УСІ файли репозиторію (крім кореневого package.json і лок-файлів) як кандидатів
- * на пошук викликів npm-скриптів — виклик може бути де завгодно (Makefile, README, CI,
- * інший package.json), не лише у відомих форматах.
- * @param {string} cwd абсолютний корінь репозиторію
- * @param {string} rootPkgAbs абсолютний шлях кореневого package.json (виключити)
- * @returns {Promise<Array<{ abs: string, kind: FileKind }>>} кандидати з категорією
- */
-async function findUsageCandidateFiles(cwd, rootPkgAbs) {
-  const ignorePaths = await loadCursorIgnorePaths(cwd)
-  /** @type {Array<{ abs: string, kind: FileKind }>} */
-  const out = []
-  await walkDir(
-    cwd,
-    abs => {
-      const rel = abs
-        .slice(cwd.length + 1)
-        .split('\\')
-        .join('/')
-      const kind = classifyCandidate(rel, abs, rootPkgAbs)
-      if (kind) out.push({ abs, kind })
-    },
-    ignorePaths
-  )
-  return out
-}
-
-/**
- * Переписує один файл-кандидат: кожен знайдений виклик `scriptName` замінюється на
- * канонічний `bunx n-rules lint<surface>` (workflow yml — з `--no-fix`, package.json
- * scripts-чейни — без, дев-контекст хоче autofix).
- * @param {string} content вміст файлу
- * @param {string} scriptName ім'я lint-скрипта
- * @param {boolean} isWorkflow чи це workflow yml (інакше — package.json)
- * @returns {{ content: string, matched: boolean }} новий вміст і чи був матч
- */
-function rewriteUsages(content, scriptName, isWorkflow) {
-  const ranges = invocationRanges(content, scriptName)
-  if (ranges.length === 0) return { content, matched: false }
-  const canonical = `bunx n-rules lint${surfaceArgFor(scriptName)}${isWorkflow ? ' --no-fix' : ''}`
-  let next = ''
-  let lastIndex = 0
-  for (const [start, end] of ranges) {
-    next += content.slice(lastIndex, start) + canonical
-    lastIndex = end
-  }
-  next += content.slice(lastIndex)
-  return { content: next, matched: true }
-}
-
-/**
- * Для кожного lint-скрипта шукає й переписує його виклики по всіх кандидатах.
- * `workflow`/`package-json` — переписуємо на канонічний `bunx n-rules lint`; `other`
- * (Makefile, README, довільний shell) — лише детектуємо, без canonical-заміщення для
- * довільного формату скрипт НЕ видаляємо (блокуючий, а не мовчки проігнорований, збіг).
- * @param {string[]} scriptNames кандидати на видалення (`lint`, `lint-js`, …)
- * @param {Array<{ abs: string, kind: FileKind }>} candidateFiles файли-кандидати з категорією
- * @param {(absPath: string) => void} recordWrite реєстрація запису для rollback
- * @returns {{ safeToRemove: Set<string>, touchedFiles: string[] }} скрипти без залишкових
- *   викликів (безпечно видалити) і список фактично змінених файлів
- */
-function adaptUsages(scriptNames, candidateFiles, recordWrite) {
-  const unresolved = new Set()
-  const touchedFiles = []
-  const sortedNames = scriptNames.toSorted((a, b) => b.length - a.length)
-
-  for (const { abs, kind } of candidateFiles) {
-    if (kind === 'other') continue
-    const isWorkflow = kind === 'workflow'
-    let content
-    try {
-      content = readFileSync(abs, 'utf8')
-    } catch {
-      continue
-    }
-    let next = content
-    // Найдовші імена першими (defense-in-depth поряд із right-boundary lookahead) —
-    // `lint-js` перепишеться до того, як коротший `lint` встигне зачепити його префікс.
-    for (const name of sortedNames) next = rewriteUsages(next, name, isWorkflow).content
-    if (next === content) continue
-    recordWrite?.(abs)
-    writeFileSync(abs, next)
-    touchedFiles.push(abs)
-  }
-
-  // Другий прохід (після переписів) — чи лишився десь виклик, який ми не розпізнали
-  // (`other`-формат або невідомий package-manager-синтаксис); такий скрипт НЕ видаляємо.
-  for (const { abs } of candidateFiles) {
-    let content
-    try {
-      content = readFileSync(abs, 'utf8')
-    } catch {
-      continue
-    }
-    for (const name of scriptNames) {
-      if (invocationRanges(content, name).length > 0) unresolved.add(name)
-    }
-  }
-
-  return { safeToRemove: new Set(scriptNames.filter(n => !unresolved.has(n))), touchedFiles }
-}
-
-/**
- * Адаптує виклики lint-скриптів в ІНШИХ скриптах ТОГО Ж package.json (напр. `precommit`:
- * `bun run lint-js && bun test`) — цей файл не потрапляє у зовнішній `findUsageCandidateFiles`,
- * бо він же ціль видалення. Мутує `pkg.scripts` на місці.
- * @param {object} pkg розпарсений package.json (мутується)
- * @param {string[]} scriptNames кандидати на видалення
- * @returns {Set<string>} імена, для яких лишився нерозпізнаний виклик у власних скриптах
- */
-function adaptOwnScripts(pkg, scriptNames) {
-  const unresolved = new Set()
-  if (!pkg.scripts || typeof pkg.scripts !== 'object') return unresolved
-
-  const sorted = scriptNames.toSorted((a, b) => b.length - a.length)
-  const otherEntries = Object.entries(pkg.scripts).filter(
-    ([key, value]) => !scriptNames.includes(key) && typeof value === 'string'
-  )
-
-  for (const [key, value] of otherEntries) {
-    let next = value
-    for (const name of sorted) next = rewriteUsages(next, name, false).content
-    if (next !== value) pkg.scripts[key] = next
-  }
-  // Пере-перевірка після мутації: чи лишився десь нерозпізнаний виклик.
-  for (const [key] of otherEntries) {
-    const current = pkg.scripts[key]
-    if (typeof current !== 'string') continue
-    for (const name of scriptNames) {
-      if (invocationRanges(current, name).length > 0) unresolved.add(name)
-    }
-  }
-  return unresolved
-}
-
-/**
- * Видаляє заборонені top-level поля й `scripts.lint*` (лише ті, чиї виклики вже адаптовано)
- * з `package.json`.
- * @param {object} pkg розпарсений package.json
- * @param {Record<string, string>} denyFields канон заборонених top-level полів
- * @param {Set<string>} safeToRemove скрипти без залишкових зовнішніх викликів
- * @returns {string[]} список видалених ключів (для message)
- */
-function stripDenied(pkg, denyFields, safeToRemove) {
-  const removed = []
-  for (const field of Object.keys(denyFields)) {
-    if (!Object.hasOwn(pkg, field)) continue
-    delete pkg[field]
-    removed.push(field)
-  }
-  if (pkg.scripts && typeof pkg.scripts === 'object') {
-    for (const name of Object.keys(pkg.scripts)) {
-      if (!LINT_SCRIPT_RE.test(name) || !safeToRemove.has(name)) continue
-      delete pkg.scripts[name]
-      removed.push(`scripts.${name}`)
-    }
-  }
-  return removed
-}
-
-/** @type {import('../../../scripts/lib/lint-surface/types.mjs').T0Pattern[]} */
-export const patterns = [
-  {
-    id: 'bun-package_json-strip-denied',
-    test: violations => violations.some(v => v.reason === 'policy-deny' && v.file),
-    apply: async (violations, ctx) => {
-      const denyFields = readDenyTemplate(join(ctx.concernDir ?? '', 'template', 'package.json.deny.json'))
-      const files = [...new Set(violations.filter(v => v.file).map(v => v.file))]
-      const touchedFiles = []
-      const messages = []
-
-      for (const rel of files) {
-        const abs = join(ctx.cwd, rel)
-        let pkg
-        try {
-          pkg = JSON.parse(readFileSync(abs, 'utf8'))
-        } catch {
-          continue
-        }
-
-        const lintScriptNames =
-          pkg.scripts && typeof pkg.scripts === 'object'
-            ? Object.keys(pkg.scripts).filter(n => LINT_SCRIPT_RE.test(n))
-            : []
-
-        let safeToRemove = new Set(lintScriptNames)
-        if (lintScriptNames.length > 0) {
-          const ownUnresolved = adaptOwnScripts(pkg, lintScriptNames)
-          const candidateFiles = await findUsageCandidateFiles(ctx.cwd, abs)
-          const adapted = adaptUsages(lintScriptNames, candidateFiles, ctx.recordWrite)
-          safeToRemove = new Set([...adapted.safeToRemove].filter(n => !ownUnresolved.has(n)))
-          touchedFiles.push(...adapted.touchedFiles)
-          const skipped = lintScriptNames.filter(n => !safeToRemove.has(n))
-          if (skipped.length > 0) {
-            messages.push(
-              `${rel}: не видаляю scripts.${skipped.join(', scripts.')} — знайдено нерозпізнаний виклик деінде`
-            )
-          }
-        }
-
-        const removed = stripDenied(pkg, denyFields, safeToRemove)
-        if (removed.length === 0) continue
-
-        ctx.recordWrite?.(abs)
-        writeFileSync(abs, `${JSON.stringify(pkg, null, 2)}\n`)
-        touchedFiles.push(abs)
-        messages.push(`${rel}: -${removed.join(', -')}`)
-      }
-
-      return touchedFiles.length > 0 ? { touchedFiles, message: messages.join('; ') } : { touchedFiles: [] }
-    }
-  }
-]

package/rules/bun/package_json/package_json.mdc

@@ -1,14 +0,0 @@
-## Rego-gate: заборонені поля та devDependencies у кореневому package.json
-
-Rego-пакет: `bun.package_json`
-
-Цільовий файл: кореневий `package.json`.
-
-Список заборонених top-level полів (template-driven): [package.json.deny.json](./template/package.json.deny.json)
-
-Gate виносить два класи deny:
-
-1. **Заборонені top-level поля** — будь-яке поле з `package.json.deny.json` присутнє у файлі (навіть із порожнім значенням `{}`).
-2. **devDependencies не з білого списку** — дозволені лише `@nitra/*`/`@7n/*` та root-only тестові peer/tools (`vitest`, `@vitest/coverage-v8`, `@stryker-mutator/vitest-runner`, `@playwright/test`). Будь-який інший пакет → deny. CLI-тули, які `n-rules lint` спавнить через `bunx` (oxlint, jscpd, v8r, github-actionlint тощо), у root не пінуються — вони приїжджають як `dependencies` пакета `@7n/rules` (npm-module.mdc).
-
-Перевірки, що потребують FS або cross-file контексту (наприклад наявність `yarn.lock`), лишаються у JS-шарі.