@7n/rules 1.34.1 → 1.36.0

package/CHANGELOG.md

@@ -1,5 +1,31 @@
 # Changelog
 
+## [1.36.0] - 2026-07-20
+
+### Added
+
+- doc-files: секція «Публічний API» рендериться дослівно для експортів із JSDoc-описом (0 LLM-токенів, 0 перефразувань), LLM викликається лише на прогалини (без опису або зі stub-заглушкою «опис.»)
+
+### Changed
+
+- тестовий no-op touch README для перевірки npm-publish CI
+
+### Fixed
+
+- workspaces/resolve-js-root/package-manifest/tauri core_test_isolation: node:fs/promises#glob → Bun.Glob — платформна прогалина Node-compat шиму на self-hosted Linux Bun (export 'glob' відсутній), спостережено в @7n/rules-ci-azure lint job
+- hook під Node (npx): «detector changelog/consistency: import впав: Bun is not defined» — top-level `new Bun.Glob(...)` у workspaces.mjs/package-manifest.mjs валив import детектора; усі використання Bun.Glob (разом із resolve-js-root і tauri/core_test_isolation) переведені на runtime-нейтральний scanGlob (Bun.Glob під Bun, node:fs/promises#glob під Node)
+
+## [1.35.0] - 2026-07-20
+
+### Added
+
+- tauri: додано концерн gitignore_target — перевірка й автофікс ignore-запису ws/src-tauri/target/ у корінному .gitignore (typo-інцидент nitra/task)
+
+### Fixed
+
+- run-v8r: не рахувати ajv schema-compile-помилку (несправна зовнішня схема, напр. unicodeRegExp-несумісність у офіційній azure-pipelines-vscode/service-schema.json) як порушення файлу — друкує ⚠-попередження й пропускає, замість постійного false-positive ✖
+- acp-runner (skill claude): watchdog дочірнього ACP-процесу — fail-fast, якщо агент не запустився чи вийшов до кінця ходу, замість вічного зависання connection.prompt
+
 ## [1.34.1] - 2026-07-20
 
 ### Fixed

package/README.md

@@ -187,3 +187,4 @@ npm/rules/<id>/
 Консольна утиліта яка дозволить оновлювати в локальних GIT репозиторіях правила для cursor з можливістю наслідування правил від файлів в цьому репозиторії та забезпечення версійності правил для cursor.
 
 <!-- no-op: touch npm/** щоб retrigger-нути npm-publish CI для кореневого bun.lock-фіксу (без цього path-фільтр push-тригера не спрацьовує) -->
+<!-- no-op: тестовий touch npm/** для перевірки npm-publish CI (2026-07-20) -->

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@7n/rules",
-  "version": "1.34.1",
+  "version": "1.36.0",
   "description": "CLI еталонних правил і skills (префікс n-): синк у репозиторій, дельта-lint, конформність",
   "keywords": [
     "cli",

package/rules/changelog/lib/docs/package-manifest.md

@@ -3,7 +3,7 @@ type: JS Module
 title: package-manifest.mjs
 resource: npm/rules/changelog/lib/package-manifest.mjs
 docgen:
-  crc: 10bad2ce
+  crc: b6f24bb6
 ---
 
 Модуль `package-manifest.mjs` реалізує **уніфіковану абстракцію маніфесту пакета** для перевірок changelog у багатомовному монорепо. Він приховує відмінності між двома типами маніфестів:

package/rules/changelog/lib/package-manifest.mjs

@@ -3,11 +3,12 @@
  * або `pyproject.toml` (Python / PEP 621, Poetry).
  */
 import { existsSync } from 'node:fs'
-import { glob, readFile } from 'node:fs/promises'
+import { readFile } from 'node:fs/promises'
 import { dirname, join, relative } from 'node:path'
 
 import { parse as parseToml } from 'smol-toml'
 
+import { scanGlob } from '../../../scripts/utils/glob-compat.mjs'
 import { getMonorepoPackageRootDirs, isIgnoredWorkspaceRoot } from '../../../scripts/lib/workspaces.mjs'
 
 /**
@@ -26,7 +27,6 @@ import { getMonorepoPackageRootDirs, isIgnoredWorkspaceRoot } from '../../../scr
  * @property {'major' | 'minor' | 'patch' | null} maxBump стеля для `n-rules release` (з `package.json#release.maxBump`); `null` — без обмеження
  */
 
-const PYPROJECT_GLOB_IGNORE = ['**/node_modules/**', '**/.git/**', '**/.venv/**', '**/venv/**']
 const VALID_MAX_BUMPS = new Set(['major', 'minor', 'patch'])
 
 /**
@@ -146,7 +146,7 @@ export async function getMonorepoProjectRootDirs(repoRoot = '.') {
     roots.add('.')
   }
 
-  for await (const relPy of glob('**/pyproject.toml', { cwd: repoRoot, ignore: PYPROJECT_GLOB_IGNORE })) {
+  for await (const relPy of scanGlob('**/pyproject.toml', repoRoot)) {
     const absDir = dirname(join(repoRoot, relPy))
     const relRoot = relative(repoRoot, absDir)
     const ws = relRoot === '' ? '.' : relRoot

package/rules/doc-files/docgen-gen/docs/main.md

@@ -3,7 +3,7 @@ type: JS Module
 title: main.mjs
 resource: npm/rules/doc-files/docgen-gen/main.mjs
 docgen:
-  crc: ed99ac58
+  crc: c9c9970b
   model: omlx/gemma-4-e4b-it-OptiQ-4bit
 ---
 

package/rules/doc-files/docgen-gen/main.mjs

@@ -17,7 +17,10 @@ import {
   overviewMessages,
   criticMessages,
   refineMessages,
-  guaranteesFromMarkers
+  guaranteesFromMarkers,
+  isApiGap,
+  renderApiLine,
+  apiGapMessages
 } from '../docgen-prompts/main.mjs'
 
 /** Облік LLM-викликів і часу в них у межах однієї генерації (скидається на старті generateDoc). */
@@ -338,15 +341,36 @@ async function critiqueRefineSection(sectionKey, draft, facts, anchors, model, t
 }
 
 /**
- * Чи треба refine для секції API: тільки якщо є >1 експорту і всі desc-и порожні
- * (саме там модель схильна писати «застосовує логіку до файлу»).
+ * Stage 1/3 (гібрид doc-files, ADR 260719-2155): «Публічний API» — покриті
+ * JSDoc-описом експорти рендеряться дослівно (`renderApiLine`, 0 токенів, 0
+ * галюцинацій), LLM викликається лише на прогалини (`isApiGap`). Якщо прогалин
+ * немає — секція збирається БЕЗ жодного LLM-виклику. Єдиний непокритий
+ * експорт (як і раніше) лишається описаним лише в Поведінці — окремого виклику
+ * на секцію з одного рядка не варте.
  * @param {object} facts факт-лист
- * @returns {boolean} true — секцію API варто прогнати через критика
+ * @param {object|null} anchors анкори файлу
+ * @param {string} model model-id
+ * @param {number} timeoutMs ліміт на LLM-виклик
+ * @param {number} [temperature] температура LLM-виклику (best-of-2 підвищує)
+ * @returns {Promise<string>} текст секції «Публічний API» (може бути порожнім рядком)
  */
-function apiNeedsRefine(facts) {
+export async function buildApiSection(facts, anchors, model, timeoutMs, temperature = 0.2) {
   const exps = facts.exports ?? []
-  if (exps.length <= 1) return false
-  return exps.every(e => !e.desc)
+  if (!exps.length) return ''
+  if (exps.length === 1 && isApiGap(exps[0])) return ''
+  const covered = exps.filter(e => !isApiGap(e))
+  const gap = exps.filter(isApiGap)
+  const coveredBlock = covered.map(e => renderApiLine(e)).join('\n')
+  if (!gap.length) return coveredBlock
+  let gapDraft = stripSignatures(
+    stripSection(await callLlm(apiGapMessages(gap, anchors), model, { timeoutMs, temperature }))
+  )
+  // E2: critique→refine лише коли ВСІ експорти — прогалина (там модель найбільш
+  // схильна зривати на generic-фрази без жодного JSDoc-«якоря» поруч).
+  if (gap.length === exps.length) {
+    gapDraft = await critiqueRefineSection('api', gapDraft, facts, anchors, model, timeoutMs)
+  }
+  return [coveredBlock, gapDraft].filter(Boolean).join('\n')
 }
 
 /**
@@ -407,15 +431,12 @@ async function orchestratedDoc(
   const anc = anchors ?? extractAnchors(src)
   // E3: «Гарантії» — детермінований шаблон з markers (0 LLM-запитів, 0 generic-фраз)
   sections.guarantees = guaranteesFromMarkers(facts)
-  // Спершу Поведінка (+API) — секції з фактажем
+  // Спершу Поведінка — єдина секція з кодом (sectionMessages повертає лише її)
   for (const s of sectionMessages(facts, src, anc, intent)) {
-    let draft = stripSignatures(stripSection(await callLlm(s.messages, model, { timeoutMs, temperature })))
-    // E2: critique→refine для API, коли всі описи порожні (модель зриває на generic)
-    if (s.key === 'api' && apiNeedsRefine(facts)) {
-      draft = await critiqueRefineSection(s.key, draft, facts, anc, model, timeoutMs)
-    }
-    sections[s.key] = draft
+    sections[s.key] = stripSignatures(stripSection(await callLlm(s.messages, model, { timeoutMs, temperature })))
   }
+  // Stage 1/3: «Публічний API» — покриті JSDoc експорти дослівно, LLM лише на прогалини
+  sections.api = await buildApiSection(facts, anc, model, timeoutMs, temperature)
   // R3: «Огляд» — ОСТАННІМ, узагальненням уже написаної Поведінки (не голого факт-листа)
   let overview = stripSignatures(
     stripSection(

package/rules/doc-files/docgen-prompts/docs/main.md

@@ -3,7 +3,7 @@ type: JS Module
 title: main.mjs
 resource: npm/rules/doc-files/docgen-prompts/main.mjs
 docgen:
-  crc: 3fbc97f2
+  crc: fb4d1242
   model: omlx/gemma-4-e4b-it-OptiQ-4bit
   score: 100
   issues: judge:inaccurate:0.99

package/rules/doc-files/docgen-prompts/main.mjs

@@ -65,12 +65,15 @@ function intentContext(intent) {
 /**
  * Секційні набори messages з МІНІМАЛЬНИМ контекстом під кожну секцію.
  * Код потрапляє лише в `behavior`; «Огляд» генерується окремо ОСТАННІМ
- * (`overviewMessages`) з уже написаної Поведінки — тут його немає.
+ * (`overviewMessages`) з уже написаної Поведінки — тут його немає. «Публічний
+ * API» сюди більше не входить (Stage 1/3, гібрид doc-files ADR 260719-2155):
+ * покриті JSDoc-описом експорти рендеряться дослівно без LLM (`renderApiLine`),
+ * LLM викликається лише на прогалини (`apiGapMessages`) — див. `isApiGap`.
  * @param {object} facts факт-лист про файл
  * @param {string} src вміст файлу
  * @param {object|null} [anchors] анкори файлу для обовʼязкового включення
  * @param {string|null} [intent] захищена секція «Призначення» як read-only контекст
- * @returns {Array<{key:string, messages:object[], numPredict:number}>} набір секційних промптів (behavior[, api])
+ * @returns {Array<{key:string, messages:object[], numPredict:number}>} набір секційних промптів (лише behavior)
  */
 export function sectionMessages(facts, src, anchors = null, intent = null) {
   const factsTxt = factsSummary(facts)
@@ -97,19 +100,50 @@ export function sectionMessages(facts, src, anchors = null, intent = null) {
       `Напиши вміст секції «Поведінка»: ${behaviorTask}.${onlyExports} Якщо у фактах є свідомі пропуски шляхів — згадай їх там, де доречно (не вигадуй інших «не перевіряє»). НЕ пиши аргументи функцій у дужках, без regex.${noInternal} Без заголовка, без додаткових ## чи # підзаголовків усередині секції.`
     )
   }
+  return [behavior]
+}
 
-  // API — лише список експортів (без коду)
-  if (!multi && !facts.exports?.some(e => e.desc)) return [behavior]
-  const list = facts.exports.map(e => `- ${e.name}: ${e.desc || '(сформулюй стисло з наміру файлу)'}`).join('\n')
-  const api = {
-    key: 'api',
-    numPredict: 320,
-    messages: msgs(
-      `${STYLE}${anch}`,
-      `Перепиши цей список як стислі маркери «назва — що робить», СВОЇМИ словами (не копіюй дослівно), без типів і сигнатур. Використовуй РІВНО ці назви, не додавай і не прибирай:\n${list}\nБез заголовка. Без generic-фраз «застосовує логіку», «перевіряє коректність» — пиши конкретно ЩО саме застосовує/перевіряє.`
-    )
-  }
-  return [behavior, api]
+// «опис.» — та сама JSDoc-заглушка без сенсу, яку lang-екстрактори (extractors.mjs)
+// вже відкидають при парсингу; тут — другий, незалежний gate на рівні facts.exports
+// (захист від прогалин, що прийшли з інших джерел фактів, напр. майбутніх мов).
+const STUB_DESC_RE = /^опис\.?$/i
+
+/**
+ * Stage 2 (gap-детект, 0 токенів): чи є опис експорту прогалиною — відсутній
+ * або JSDoc-заглушка без сенсу.
+ * @param {{desc?:string}} exp запис експорту з факт-листа
+ * @returns {boolean} true — опис потрібно синтезувати LLM (Stage 3)
+ */
+export function isApiGap(exp) {
+  const desc = (exp.desc ?? '').trim()
+  return !desc || STUB_DESC_RE.test(desc)
+}
+
+/**
+ * Stage 1 (скриптовий рендер, 0 токенів, 0 галюцинацій): дослівний рядок
+ * «Публічного API» з покритого JSDoc-описом експорту — без перефразування LLM.
+ * @param {{name:string, desc:string}} exp запис експорту з непорожнім desc
+ * @returns {string} рядок маркованого списку
+ */
+export function renderApiLine(exp) {
+  return `- ${exp.name} — ${exp.desc.trim()}`
+}
+
+/**
+ * Stage 3: messages ЛИШЕ для експортів-прогалин (без desc) — вужчий промпт,
+ * ніж попередній «переписати весь список своїми словами» (жодного контакту з
+ * уже покритими JSDoc експортами, 0 ризику спотворити авторський текст).
+ * @param {Array<{name:string}>} gapExports експорти без опису (isApiGap === true)
+ * @param {object|null} [anchors] анкори файлу
+ * @returns {Array<{role:string,content:string}>} messages-масив для LLM
+ */
+export function apiGapMessages(gapExports, anchors = null) {
+  const anch = anchorsBlock(anchors)
+  const list = gapExports.map(e => `- ${e.name}`).join('\n')
+  return msgs(
+    `${STYLE}${anch}`,
+    `Для кожної названої публічної функції напиши один рядок маркованого списку «назва — що робить», СВОЇМИ словами, без типів і сигнатур, РІВНО у цьому порядку й з РІВНО цими назвами:\n${list}\nБез заголовка. Без generic-фраз «застосовує логіку», «перевіряє коректність» — пиши конкретно ЩО саме застосовує/перевіряє.`
+  )
 }
 
 /**

package/rules/k8s/dremio_logging/dremio_logging.mdc

@@ -14,6 +14,7 @@ Rego-пакет: `k8s.dremio_logging`
 | `com.dremio.service.reflection.descriptor.MaterializationCache` |
 | `com.dremio.exec.planner.plancache.PlanCacheSynchronizer` |
 | `com.dremio.exec.planner.plancache.CacheRefresher` |
+| `com.dremio.sabot.exec.FragmentExecutors` (множина, пакет `exec` БЕЗ `fragment` — не плутати з `fragment.FragmentExecutor` вище) |
 
 **Чому:** ці loggerи (усі на одному `planning-cache-refresher` треді; підтверджено живою перевіркою в проді) пишуть INFO на кожен запит/фоновий цикл і домінують обсяг логів у Cloud Logging без діагностичної цінності понад WARN. Список фіксований — не розширюй «про запас»; нові loggerи — окремою ітерацією.
 
@@ -26,6 +27,7 @@ Rego-пакет: `k8s.dremio_logging`
 <logger name="com.dremio.service.reflection.descriptor.MaterializationCache" level="warn"/>
 <logger name="com.dremio.exec.planner.plancache.PlanCacheSynchronizer" level="warn"/>
 <logger name="com.dremio.exec.planner.plancache.CacheRefresher" level="warn"/>
+<logger name="com.dremio.sabot.exec.FragmentExecutors" level="warn"/>
 ```
 
 **Autofix:** відсутній (detection-only, як `hasura_httproute`) — XML-трансформ складніший за YAML `setIn`; T0-fix, за потреби, окремою ітерацією.

package/rules/k8s/dremio_logging/dremio_logging.rego

@@ -35,6 +35,10 @@ required_loggers := {
 	"com.dremio.service.reflection.descriptor.MaterializationCache",
 	"com.dremio.exec.planner.plancache.PlanCacheSynchronizer",
 	"com.dremio.exec.planner.plancache.CacheRefresher",
+	# NB: FragmentExecutors (множина, пакет exec, БЕЗ fragment) — окремий клас від
+	# fragment.FragmentExecutor вище, легко переплутати за назвою. Логує
+	# "Received remote fragment start instruction..." на кожен фрагмент.
+	"com.dremio.sabot.exec.FragmentExecutors",
 }
 
 # Рівні logback, що задовольняють вимогу «warn або строгіше».

package/rules/tauri/core_test_isolation/docs/main.md

@@ -3,7 +3,7 @@ type: JS Module
 title: main.mjs
 resource: npm/rules/tauri/core_test_isolation/main.mjs
 docgen:
-  crc: f8cf8ea5
+  crc: cfb870f5
   model: omlx/gemma-4-e4b-it-OptiQ-4bit
   score: 100
   issues: best-of-2:retry-won,judge:inaccurate:0.98

package/rules/tauri/core_test_isolation/main.mjs

@@ -7,11 +7,12 @@
  * ризикований (виділення крейту, перенесення коду) — лише репорт (core_test_isolation.mdc).
  */
 import { existsSync } from 'node:fs'
-import { glob, readFile } from 'node:fs/promises'
+import { readFile } from 'node:fs/promises'
 import { dirname, join, relative, resolve } from 'node:path'
 
 import { parse as parseToml } from 'smol-toml'
 
+import { scanGlob } from '../../../scripts/utils/glob-compat.mjs'
 import { createViolationReporter } from '../../../scripts/lib/lint-surface/violation-reporter.mjs'
 import { getMonorepoPackageRootDirs } from '../../../scripts/lib/workspaces.mjs'
 
@@ -65,7 +66,7 @@ async function resolveWorkspaceMemberDirs(srcTauriDir, members) {
   const found = new Set()
   for (const pattern of members) {
     if (pattern.includes('*')) {
-      for await (const rel of glob(pattern, { cwd: srcTauriDir })) {
+      for await (const rel of scanGlob(pattern, srcTauriDir)) {
         const abs = resolve(srcTauriDir, rel)
         if (existsSync(join(abs, 'Cargo.toml'))) found.add(abs)
       }
@@ -84,7 +85,7 @@ async function resolveWorkspaceMemberDirs(srcTauriDir, members) {
  * @returns {Promise<boolean>} true, якщо знайдено відповідний маркер
  */
 async function hasFakeLlmProviderMarker(crateDir) {
-  for await (const relPath of glob('**/*.rs', { cwd: crateDir })) {
+  for await (const relPath of scanGlob('**/*.rs', crateDir)) {
     if (relPath.includes('target/')) continue
     const content = await readFile(join(crateDir, relPath), 'utf8')
     if (FAKE_PROVIDER_RE.test(content)) return true

package/rules/tauri/gitignore_target/concern.json

@@ -0,0 +1,8 @@
+{
+  "$schema": "https://unpkg.com/@7n/rules/schemas/concern.json",
+  "fixability": "config",
+  "lint": {
+    "scope": "full",
+    "glob": [".gitignore", "**/src-tauri/Cargo.toml"]
+  }
+}

package/rules/tauri/gitignore_target/docs/fix-gitignore_target.md

@@ -0,0 +1,31 @@
+---
+type: JS Module
+title: fix-gitignore_target.mjs
+resource: npm/rules/tauri/gitignore_target/fix-gitignore_target.mjs
+docgen:
+  crc: 0ceef709
+  model: openai-codex/gpt-5.4-mini
+  score: 100
+  issues: judge:inaccurate:0.98
+  judgeModel: openai-codex/gpt-5.4-mini
+---
+
+## Огляд
+
+T0-autofix для `tauri/gitignore_target`: дописує в корінний `.gitignore` відсутні ignore-записи `<ws>/src-tauri/target/` у секцію з міткою `# Tauri — Rust build artifacts (tauri.mdc)` (константа `GITIGNORE_TARGET_HEADER`). `insertMissingTargetEntries` виконує сам текстовий splice; `patterns` — масив T0-визначень (`id`/`test`/`apply`) центрального fix-pipeline, що зчитує відсутні записи з `violation.data.missing` і застосовує `insertMissingTargetEntries` до файлів через `applyToFiles`.
+
+## Поведінка
+
+- `GITIGNORE_TARGET_HEADER` — мітка секції в корінному `.gitignore`, куди групуються записи для Tauri build artifacts.
+- `insertMissingTargetEntries` — дописує відсутні ignore-записи для `<ws>/src-tauri/target/` у `.gitignore`: або в наявну секцію з `GITIGNORE_TARGET_HEADER` (поруч з іншими entries), або в новий блок у кінець файла; якщо нічого додавати не треба (`missingEntries` порожній), повертає `null` і вміст не змінюється.
+- `patterns` — один T0-патерн (`tauri-gitignore-target-insert`): спрацьовує на violations з `data.kind === MISSING_GITIGNORE_TARGET_ENTRIES` і застосовує `insertMissingTargetEntries` до кожного цільового `.gitignore`.
+
+## Публічний API
+
+- GITIGNORE_TARGET_HEADER — заголовок секції в корінному `.gitignore` для Tauri build-артефактів.
+- insertMissingTargetEntries — додає відсутні `"<ws>/src-tauri/target/"` у відповідну секцію `.gitignore` або створює новий блок наприкінці файла.
+- patterns — T0-визначення autofix-у для detector-а `tauri/gitignore_target`, що підключається до центрального fix-pipeline.
+
+## Гарантії поведінки
+
+- (специфічних машинно-виведених гарантій немає)

package/rules/tauri/gitignore_target/docs/index.md

@@ -0,0 +1,10 @@
+---
+type: Directory Index
+title: npm/rules/tauri/gitignore_target
+resource: npm/rules/tauri/gitignore_target/
+---
+
+| Файл                                                | Тип       |
+| --------------------------------------------------- | --------- |
+| [fix-gitignore_target.mjs](fix-gitignore_target.md) | JS Module |
+| [main.mjs](main.md)                                 | JS Module |

package/rules/tauri/gitignore_target/docs/main.md

@@ -0,0 +1,37 @@
+---
+type: JS Module
+title: main.mjs
+resource: npm/rules/tauri/gitignore_target/main.mjs
+docgen:
+  crc: 83aa81ee
+  model: openai-codex/gpt-5.5
+  tier: cloud-avg
+  score: 85
+  issues: internal-name:findSrcTauriDirs,anchor-miss:(tauri.mdc),judge:inaccurate:0.98
+  judgeModel: openai-codex/gpt-5.4-mini
+---
+
+## Огляд
+
+Файл read-only обходить усі `<ws>/src-tauri/` у монорепо спільним механізмом із `tauri/cargo_mutants_config` (`findSrcTauriDirs`), без дублювання обходу. Для кожного знайденого workspace корінний `ROOT_GITIGNORE = ".gitignore"` повинен містити точний запис `<ws>/src-tauri/target/`, звірений по точному рядку — typo на кшталт `owner/target/` (реальний інцидент у `nitra/task`) не рахується присутністю потрібного запису.
+
+## Поведінка
+
+- `MISSING_GITIGNORE_TARGET_ENTRIES` — reason `"missing-gitignore-target-entries"` для порушення, коли в корінному `.gitignore` бракує записів для Tauri build-артефактів.
+- `ROOT_GITIGNORE` — назва корінного файлу `".gitignore"`, у якому мають бути всі очікувані ignore-записи.
+- `expectedTargetEntry` — формує точний ignore-запис для `target/` конкретного `src-tauri/` відносно кореня монорепо.
+- `findMissingEntries` — визначає, яких очікуваних ignore-записів немає у `.gitignore`, за точним збігом рядка (після trim).
+- `lint` — read-only перевіряє всі знайдені `src-tauri/` у монорепо й повідомляє про відсутні ignore-записи одним violation на весь `.gitignore`.
+
+## Публічний API
+
+- MISSING_GITIGNORE_TARGET_ENTRIES — reason `missing-gitignore-target-entries` для випадків, коли в кореневому `.gitignore` немає записів для `src-tauri/target/`.
+- ROOT_GITIGNORE — файл `.gitignore` у корені монорепо, який є єдиним місцем для цих ignore-записів.
+- expectedTargetEntry — формує потрібний запис для ігнорування build-артефактів окремого workspace з `src-tauri/`.
+- findMissingEntries — визначає, яких очікуваних записів бракує в кореневому `.gitignore`; збіг рахується лише для точного рядка після trim, тому `target/` або `owner/target/` не замінюють потрібний запис.
+- lint — повідомляє про workspace з Tauri, для яких у кореневому `.gitignore` бракує `src-tauri/target/`.
+
+## Гарантії поведінки
+
+- Read-only: не виконує операцій запису (ФС/БД).
+- Свідомо пропускає шляхи: `.git`.

package/rules/tauri/gitignore_target/fix-gitignore_target.mjs

@@ -0,0 +1,78 @@
+/** @see ./docs/fix-gitignore_target.md */
+
+/**
+ * T0-autofix для `tauri/gitignore_target` — детерміновано дописує в корінний
+ * `.gitignore` відсутні ignore-записи `<ws>/src-tauri/target/` (з violation.data.missing,
+ * а не з повторного сканування монорепо — детектор уже визначив, яких саме
+ * записів бракує). Текстовий splice (як `tauri/linux_deps`): зберігає коментарі
+ * й формат, мінімальний diff. Ідемпотентно: повторний прогін на вже
+ * виправленому файлі нічого не змінює (`findMissingEntries` у main.mjs
+ * повторно перевіряє стан файла).
+ */
+import { applyToFiles } from '../../../scripts/utils/apply-to-files.mjs'
+
+import { MISSING_GITIGNORE_TARGET_ENTRIES } from './main.mjs'
+
+/** Заголовок-коментар секції Tauri build-артефактів у корінному `.gitignore`. */
+export const GITIGNORE_TARGET_HEADER = '# Tauri — Rust build artifacts (tauri.mdc)'
+
+/**
+ * Знаходить кінець контурного блоку entries, що йде одразу за заголовком
+ * (перший порожній рядок, наступний коментар або кінець файла).
+ * @param {string[]} lines рядки `.gitignore`
+ * @param {number} headerIdx індекс рядка заголовка
+ * @returns {number} індекс, куди вставляти нові entries
+ */
+function findBlockEnd(lines, headerIdx) {
+  let i = headerIdx + 1
+  while (i < lines.length && lines[i].trim() !== '' && !lines[i].trim().startsWith('#')) i++
+  return i
+}
+
+/**
+ * Дописує відсутні `<ws>/src-tauri/target/` entries: якщо секція `GITIGNORE_TARGET_HEADER`
+ * вже є — вставляє в кінець її блоку (поруч з наявними entries); інакше додає
+ * новий блок (заголовок + entries) у кінець файла.
+ * @param {string} content вміст `.gitignore`
+ * @param {string[]} missingEntries відсутні ignore-рядки (`<ws>/src-tauri/target/`)
+ * @returns {string|null} новий вміст або null, якщо нічого не змінилось
+ */
+export function insertMissingTargetEntries(content, missingEntries) {
+  if (missingEntries.length === 0) return null
+
+  const lines = content.split('\n')
+  const headerIdx = lines.findIndex(l => l.trim() === GITIGNORE_TARGET_HEADER)
+
+  if (headerIdx !== -1) {
+    const blockEnd = findBlockEnd(lines, headerIdx)
+    lines.splice(blockEnd, 0, ...missingEntries)
+    return lines.join('\n')
+  }
+
+  const trailingBlank = lines.length > 0 && lines.at(-1) === ''
+  const body = trailingBlank ? lines.slice(0, -1) : lines
+  const needsBlankSep = body.length > 0 && body.at(-1).trim() !== ''
+
+  const next = [...body]
+  if (needsBlankSep) next.push('')
+  next.push(GITIGNORE_TARGET_HEADER, ...missingEntries, '')
+  return next.join('\n')
+}
+
+/** @type {import('../../../scripts/lib/lint-surface/types.mjs').T0Pattern[]} */
+export const patterns = [
+  {
+    id: 'tauri-gitignore-target-insert',
+    test: violations => violations.some(v => v.data?.kind === MISSING_GITIGNORE_TARGET_ENTRIES && v.file),
+    apply: (violations, ctx) => {
+      const targets = violations.filter(v => v.data?.kind === MISSING_GITIGNORE_TARGET_ENTRIES && v.file)
+      const touchedFiles = applyToFiles(targets, ctx, rel => content => {
+        const v = targets.find(x => x.file === rel)
+        return insertMissingTargetEntries(content, v?.data?.missing ?? [])
+      })
+      return touchedFiles.length > 0
+        ? { touchedFiles, message: `Tauri build-артефакти → .gitignore (${touchedFiles.length} file(s))` }
+        : { touchedFiles: [] }
+    }
+  }
+]

package/rules/tauri/gitignore_target/gitignore_target.mdc

@@ -0,0 +1,24 @@
+## `.gitignore`: ignore build-артефактів `<ws>/src-tauri/target/`
+
+Кожен `<ws>/src-tauri/` (Rust-крейт Tauri) компілюється в `<ws>/src-tauri/target/` — build-артефакти Cargo (сотні MB, десятки тисяч файлів). Корінний `.gitignore` монорепо повинен містити точний ignore-запис для кожного такого воркспейсу:
+
+```gitignore
+# Tauri — Rust build artifacts (tauri.mdc)
+<ws>/src-tauri/target/
+```
+
+### Чому точний шлях, а не голий `target/`
+
+Реальний інцидент: у `nitra/task` корінний `.gitignore` мав `owner/target/` замість `owner/src-tauri/target/` — воркспейс скопійований з іншого проєкту без заміни шляху (typo). `target/` там ігнорувався не там, де компілятор його реально створює, тож ~600MB / ~28k файлів build-артефактів не потрапляли під жоден ignore-патерн і мало не потрапили в коміт через `git add -A`.
+
+Тому перевірка звіряє **точний рядок** `<ws>/src-tauri/target/` для кожного знайденого `src-tauri/`, а не факт наявності підрядка `target/` десь у файлі — голий `target/` (чи вже наявний, але помилковий `owner/target/`) не закриває violation.
+
+### Область дії
+
+- Обхід усіх `<ws>/src-tauri/` — спільний з `tauri/cargo_mutants_config` (`findSrcTauriDirs`, без дублювання обходу монорепо).
+- Ціль фіксу — **один** корінний `.gitignore` монорепо (не по workspace).
+- Детектор лише **додає** відсутнє: сторонні/застарілі ignore-записи (на кшталт помилкового `owner/target/` з інциденту вище) не видаляються — вони можуть бути навмисними чи потребувати ручного review.
+
+### Автофікс (T0)
+
+Дописує відсутні записи в кінець секції `# Tauri — Rust build artifacts (tauri.mdc)`: якщо секція вже є — поруч із наявними entries (мінімальний diff, без переписування файла); якщо нема — створює новий блок у кінці `.gitignore`. Ідемпотентно: повторний прогін на вже виправленому файлі нічого не змінює.

package/rules/tauri/gitignore_target/main.mjs

@@ -0,0 +1,84 @@
+/**
+ * @see ./docs/main.md
+ *
+ * Read-only detector: для кожного знайденого `<ws>/src-tauri/` у монорепо
+ * корінний `.gitignore` повинен містити точний ignore-запис
+ * `<ws>/src-tauri/target/` (tauri.mdc).
+ *
+ * Реальний інцидент: у `nitra/task` `.gitignore` мав `owner/target/` замість
+ * `owner/src-tauri/target/` (typo — воркспейс скопійований без заміни шляху),
+ * тому build-артефакти (~600MB, ~28k файлів) не ігнорувались і мало не
+ * потрапили в коміт через `git add -A`. Тому перевірка — точний match рядка
+ * повного шляху, не пошук голого `target/` десь у файлі: голий `target/`
+ * (чи `owner/target/`) дав би false negative саме на цьому кейсі.
+ *
+ * Обхід `<ws>/src-tauri/` — спільний з `tauri/cargo_mutants_config`
+ * (`findSrcTauriDirs`), без дублювання.
+ */
+import { existsSync } from 'node:fs'
+import { readFile } from 'node:fs/promises'
+import { join, relative } from 'node:path'
+
+import { createViolationReporter } from '../../../scripts/lib/lint-surface/violation-reporter.mjs'
+import { findSrcTauriDirs } from '../cargo_mutants_config/main.mjs'
+
+/** Стабільний reason: у корінному `.gitignore` бракує ignore-запису(ів) для `src-tauri/target/`. */
+export const MISSING_GITIGNORE_TARGET_ENTRIES = 'missing-gitignore-target-entries'
+
+/** Корінний `.gitignore` — один на монорепо, не по workspace. */
+export const ROOT_GITIGNORE = '.gitignore'
+
+/**
+ * Очікуваний ignore-запис для build-артефактів одного `<ws>/src-tauri/`.
+ * @param {string} cwd корінь монорепо
+ * @param {string} srcTauriDir абсолютний шлях до `src-tauri/`
+ * @returns {string} очікуваний рядок у корінному `.gitignore` (`<ws>/src-tauri/target/`)
+ */
+export function expectedTargetEntry(cwd, srcTauriDir) {
+  return `${relative(cwd, srcTauriDir)}/target/`
+}
+
+/**
+ * Знаходить очікувані entries, яких бракує у вмісті кореневого `.gitignore`.
+ * Точний match рядка (після trim) — голий `target/` чи typo на кшталт
+ * `owner/target/` не рахуються присутністю очікуваного запису.
+ * @param {string} content вміст `.gitignore`
+ * @param {string[]} expectedEntries очікувані ignore-рядки
+ * @returns {string[]} відсутні entries (зі збереженням порядку expectedEntries)
+ */
+export function findMissingEntries(content, expectedEntries) {
+  const present = new Set(content.split('\n').map(l => l.trim()))
+  return expectedEntries.filter(e => !present.has(e))
+}
+
+/**
+ * @param {import('../../../scripts/lib/lint-surface/types.mjs').LintContext} ctx контекст лінт-прогону
+ * @returns {Promise<import('../../../scripts/lib/lint-surface/types.mjs').LintResult>} результат перевірки
+ */
+export async function lint(ctx) {
+  const cwd = ctx.cwd
+  const reporter = createViolationReporter(ctx)
+
+  const srcTauriDirs = await findSrcTauriDirs(cwd)
+  if (srcTauriDirs.length === 0) return reporter.result()
+
+  const expectedEntries = srcTauriDirs.map(dir => expectedTargetEntry(cwd, dir))
+  const abs = join(cwd, ROOT_GITIGNORE)
+  const content = existsSync(abs) ? await readFile(abs, 'utf8') : ''
+
+  const missing = findMissingEntries(content, expectedEntries)
+  if (missing.length === 0) {
+    reporter.pass(`${ROOT_GITIGNORE}: build-артефакти всіх src-tauri/ ігноруються`)
+    return reporter.result()
+  }
+
+  reporter.fail(
+    `${ROOT_GITIGNORE}: бракує ignore-запису(ів) для Tauri build-артефактів [${missing.join(', ')}] — build-артефакти можуть потрапити в коміт (tauri.mdc)`,
+    {
+      reason: MISSING_GITIGNORE_TARGET_ENTRIES,
+      file: ROOT_GITIGNORE,
+      data: { kind: MISSING_GITIGNORE_TARGET_ENTRIES, missing }
+    }
+  )
+  return reporter.result()
+}

package/rules/text/run-v8r/docs/main.md

@@ -3,7 +3,7 @@ type: JS Module
 title: main.mjs
 resource: npm/rules/text/run-v8r/main.mjs
 docgen:
-  crc: 7abeb17f
+  crc: 91a9608d
   model: manual
 ---
 

package/rules/text/run-v8r/main.mjs

@@ -116,6 +116,55 @@ const PROCESSING_LINE_RE = /^ℹ Processing (.+)$/u
 const FOUND_REMOTE_SCHEMA_RE = /^ℹ Found schema in (https?:\/\/\S+)/u
 const NOISE_LINE_RE = /^(?:ℹ .*|Resolving dependencies|Resolved, downloaded and extracted.*|Saved lockfile)$/u
 
+/**
+ * Рядок ajv-помилки компіляції самої схеми (не документа). v8r ловить це в `try/catch` навколо
+ * `ajv.compileAsync(schema)` (`validateDocument` у v8r/src/cli.js) і друкує голий
+ * `SyntaxError.message` без файлового контексту чи "is invalid"-заголовка — на відміну від
+ * genuine validation-помилки, де ajv повертає `errors[]` з прив'язкою до документа. Найчастіша
+ * причина: ajv за замовчуванням компілює `pattern` з прапорцем `/u` (`unicodeRegExp: true`), а
+ * реальні опубліковані схеми (напр. офіційна `azure-pipelines-vscode/service-schema.json`) містять
+ * legacy over-escaped regex, валідний поза Unicode-режимом, але `SyntaxError` у ньому. Це несправна
+ * схема, а не невалідний файл користувача — v8r не дає способу це відрізнити нативно (немає опції
+ * `unicodeRegExp` у config-schema.json), тому розрізняємо тут за форматом самого повідомлення.
+ * `logger.error` у v8r (src/logger.js) додає префікс `✖ ` перед `e.message` — опційний у regex,
+ * бо `extractFailureLines` не чіпає цей префікс (лише прибирає `ℹ`-шум).
+ */
+const AJV_SCHEMA_COMPILE_ERROR_RE = /^(?:✖ )?Invalid regular expression:.*$/mu
+
+/**
+ * Чи складається `detail` ВИКЛЮЧНО з рядків ajv-помилки компіляції схеми (без жодної genuine
+ * validation-помилки). Навмисно консервативно: якщо серед рядків `detail` є хоч один, що НЕ
+ * збігається з `AJV_SCHEMA_COMPILE_ERROR_RE` (напр. "file.yml is invalid" чи ajv `errors[]`-деталь
+ * genuine порушення в тому ж batch-виклику v8r по glob-у) — не втручаємось, викликач лишає
+ * оригінальний `code`/`detail` без змін, щоб не замаскувати реальну проблему.
+ * @param {string} detail рядки `✖ …` з `extractFailureLines`
+ * @returns {boolean} true — усі непорожні рядки `detail` є ajv schema-compile-помилками
+ */
+function isOnlyAjvSchemaCompileErrors(detail) {
+  const lines = detail
+    .split('\n')
+    .map(line => line.trim())
+    .filter(line => line.length > 0)
+  if (lines.length === 0) return false
+  return lines.every(line => AJV_SCHEMA_COMPILE_ERROR_RE.test(line))
+}
+
+/**
+ * Друкує інформаційне попередження (не violation) для кожного `detail`-рядка ajv schema-compile-
+ * помилки — пояснює, що причина у несправній зовнішній схемі, не в нашому файлі.
+ * @param {string} detail рядки `✖ …`, для яких `isOnlyAjvSchemaCompileErrors` вже повернув true
+ * @returns {void}
+ */
+function reportAjvSchemaCompileFailures(detail) {
+  for (const line of detail.split('\n')) {
+    const trimmed = line.trim()
+    if (trimmed.length === 0) continue
+    process.stdout.write(
+      `⚠ run-v8r: зовнішня схема не компілюється в ajv (не файл) — ${trimmed} Ймовірно, ajv unicodeRegExp-несумісність зі старим стилем escape у чужій схемі; помилка не рахується як порушення.\n`
+    )
+  }
+}
+
 /**
  * Прибирає v8r/bunx noise-рядки (весь `ℹ`-статус: Loaded config file, Patterns and relative
  * paths, Pre-warming the cache, Processing <file>, Found schema in …, Validating …; і службовий
@@ -190,7 +239,11 @@ export function stripBunNodeShimDirs(pathValue) {
  * @param {boolean} [verbose] друкувати повний raw stdout/stderr v8r при помилці; інакше — лише
  *   рядки `✖ …` без `ℹ`-шуму (Pre-warming the cache, Processing <file>, Found schema in …)
  * @returns {Promise<{ exitError: true } | { exitError: false, code: number, detail: string }>}
- *   помилка spawn або код v8r (0/98 — трактує викликач) + деталь `✖ …`-рядків
+ *   помилка spawn або код v8r (0/98 — трактує викликач) + деталь `✖ …`-рядків. Якщо ВЕСЬ `detail`
+ *   складається лише з ajv schema-compile-помилок (несправна зовнішня схема, не наш файл —
+ *   `isOnlyAjvSchemaCompileErrors`) — `code` примусово 0, а причина друкується окремим `⚠`-попередженням
+ *   (`reportAjvSchemaCompileFailures`), а не як `✖`-порушення; мішаний випадок (є хоч один
+ *   genuine validation-рядок) лишається без змін навмисно, щоб не замаскувати реальну проблему.
  */
 async function runOneV8rInvocation(targets, configPath, verbose = false) {
   const bunPath = resolveCmd('bun') ?? process.execPath
@@ -206,16 +259,24 @@ async function runOneV8rInvocation(targets, configPath, verbose = false) {
 
   warnAboutRemoteSchemaFallback(result.stderr ?? '')
 
-  const exitCode = result.exitCode ?? 1
+  let exitCode = result.exitCode ?? 1
   let detail = ''
   if (exitCode !== 0 && exitCode !== 98) {
     detail = extractFailureLines(`${result.stdout ?? ''}\n${result.stderr ?? ''}`)
+    const onlySchemaCompileErrors = isOnlyAjvSchemaCompileErrors(detail)
     if (verbose) {
       if (result.stdout?.length) process.stdout.write(result.stdout)
       if (result.stderr?.length) process.stderr.write(result.stderr)
+    } else if (onlySchemaCompileErrors) {
+      reportAjvSchemaCompileFailures(detail)
     } else if (detail.length) {
       process.stdout.write(`${detail}\n`)
     }
+    if (onlySchemaCompileErrors) {
+      if (verbose) reportAjvSchemaCompileFailures(detail)
+      exitCode = 0
+      detail = ''
+    }
   }
   return { exitError: false, code: exitCode, detail }
 }

package/scripts/lib/acp-runner.mjs

@@ -16,6 +16,7 @@
  */
 
 import { spawn } from 'node:child_process'
+import { once } from 'node:events'
 import { readFileSync, writeFileSync } from 'node:fs'
 import { createRequire } from 'node:module'
 import { dirname, join } from 'node:path'
@@ -118,6 +119,47 @@ class AcpSkillClient {
   }
 }
 
+/**
+ * @param {import('node:child_process').ChildProcess} child дочірній процес
+ * @returns {Promise<{ event: 'error', error: Error }>} подія спавн-помилки
+ */
+async function watchSpawnError(child) {
+  const [error] = await once(child, 'error')
+  return { event: 'error', error }
+}
+
+/**
+ * @param {import('node:child_process').ChildProcess} child дочірній процес
+ * @returns {Promise<{ event: 'exit', code: number|null, signal: string|null }>} подія завершення процесу
+ */
+async function watchExit(child) {
+  const [code, signal] = await once(child, 'exit')
+  return { event: 'exit', code, signal }
+}
+
+/**
+ * Watchdog дочірнього процесу: провалюється швидко, якщо ACP-агент не запустився чи
+ * вийшов до кінця ходу — без цього мертвий процес вішає `connection.prompt` назавжди
+ * (`Connection#receive` у `@zed-industries/agent-client-protocol` тихо завершує читання
+ * на закритому stdout, не відхиляючи pending-запити).
+ * @param {import('node:child_process').ChildProcess} child дочірній процес ACP-агента
+ * @param {string} kind провайдер (для тексту помилки)
+ * @returns {Promise<never>} ніколи не резолвиться успішно — лише провалюється
+ * @throws {Error} на спавн-помилку чи будь-який вихід процесу до завершення ходу
+ */
+async function waitForChildFailure(child, kind) {
+  const result = await Promise.race([watchSpawnError(child), watchExit(child)])
+
+  if (result.event === 'error') {
+    throw new Error(`acp ${kind}: не вдалося запустити процес: ${result.error.message}`)
+  }
+  throw new Error(
+    result.signal
+      ? `acp ${kind}: процес вбитий сигналом ${result.signal} до завершення ходу`
+      : `acp ${kind}: процес завершився з кодом ${result.code} до завершення ходу`
+  )
+}
+
 /**
  * Виконує скіл через зовнішнього ACP-агента. Єдиний лишений провайдер —
  * deprecated `claude` (`cursor`/`codex` — див. `@7n/llm-lib/acp`).
@@ -139,6 +181,7 @@ export async function runAcpRunner(kind, prompt, projectDir, logError, deps = {}
 
   const acp = deps.acp ?? (await import('@zed-industries/agent-client-protocol'))
   const child = spawnFn(bin, args, { cwd: projectDir, stdio: ['pipe', 'pipe', 'inherit'], env: process.env })
+  const failure = waitForChildFailure(child, kind)
 
   try {
     const input = Writable.toWeb(child.stdin)
@@ -147,15 +190,19 @@ export async function runAcpRunner(kind, prompt, projectDir, logError, deps = {}
     const stream = acp.ndJsonStream(input, output)
     const connection = new acp.ClientSideConnection(() => client, stream)
 
-    await connection.initialize({
-      protocolVersion: acp.PROTOCOL_VERSION,
-      clientCapabilities: { fs: { readTextFile: true, writeTextFile: true } }
-    })
-    const session = await connection.newSession({ cwd: projectDir, mcpServers: [] })
-    const result = await connection.prompt({
-      sessionId: session.sessionId,
-      prompt: [{ type: 'text', text: prompt }]
-    })
+    const turn = (async () => {
+      await connection.initialize({
+        protocolVersion: acp.PROTOCOL_VERSION,
+        clientCapabilities: { fs: { readTextFile: true, writeTextFile: true } }
+      })
+      const session = await connection.newSession({ cwd: projectDir, mcpServers: [] })
+      return connection.prompt({
+        sessionId: session.sessionId,
+        prompt: [{ type: 'text', text: prompt }]
+      })
+    })()
+
+    const result = await Promise.race([turn, failure])
 
     if (result.stopReason !== 'end_turn') {
       logError(`acp ${kind}: stopReason=${result.stopReason}`)

package/scripts/lib/docs/workspaces.md

@@ -3,7 +3,7 @@ type: JS Module
 title: workspaces.mjs
 resource: npm/scripts/lib/workspaces.mjs
 docgen:
-  crc: 995c1633
+  crc: 8382904f
 ---
 
 Цей файл визначає список кореневих каталогів пакетів у монорепо, використовуючи конфігурацію `workspaces` з `package.json`. Він використовується скриптами перевірки монорепо для ідентифікації всіх проектів, які потрібно перевірити. Результат повертається для подальшого використання в процесах перевірки та аналізу.
@@ -14,18 +14,18 @@ docgen:
 `normalizeWorkspacePattern`: Нормалізує воркспейс-патерн до POSIX-формату, видаляючи хвостові `/`.
 `normalizeWorkspacePatterns`: Перетворює значення `workspaces` в масив воркспейс-патернів.
 `getMonorepoPackageRootDirs`: Збирає список коренів пакетів воркспейсу з `package.json`.
-`WORKSPACE_GLOB_IGNORE`: Ігнорує каталоги `node_modules`, `.git`, `.venv` та `venv`.
+`WORKSPACE_IGNORED_DIRS`: Ігноровані каталоги `node_modules`, `.git`, `.venv` та `venv`.
 
 ## Публічний API
 
-- WORKSPACE_GLOB_IGNORE — Ігнорує шаблони workspace, що містять `*`, як визначено в `rules/changelog/js/consistency/package-manifest.mjs`.
+- WORKSPACE_IGNORED_DIRS — Теки, ігноровані при розгортанні workspace-патернів із `*` (узгоджено з `rules/changelog/lib/package-manifest.mjs`).
 - isIgnoredWorkspaceRoot — Визначає, чи слід виключити каталог з списку коренів workspace (не враховує `.`).
 - normalizeWorkspacePatterns — Перетворює поле `workspaces` з `package.json` на масив шляхів або glob-шаблонів.
 - getMonorepoPackageRootDirs — Повертає список кореневих каталогів пакетів, включаючи корінь репозиторію та всі пакети, визначені в `workspaces`.
 
 ## Гарантії поведінки
 
-- Повертає порожній список каталогів, якщо не знайдено жодного `package.json` у кореневому каталозі або в каталогах, що відповідають `WORKSPACE_GLOB_IGNORE`.
+- Повертає порожній список каталогів, якщо не знайдено жодного `package.json` у кореневому каталозі або в каталогах, що входять до `WORKSPACE_IGNORED_DIRS`.
 - Повертає `false` якщо не вдалося прочитати `package.json` у будь-якому з каталогів.
 - Не включає в список каталог `node_modules`.
 - Не включає в список каталог `.git`.

package/scripts/lib/workspaces.mjs

@@ -5,14 +5,16 @@
  * з `workspaces`, з урахуванням glob).
  */
 import { existsSync } from 'node:fs'
-import { glob, readFile } from 'node:fs/promises'
+import { readFile } from 'node:fs/promises'
 import { dirname, join, relative } from 'node:path'
 
+import { scanGlob } from '../utils/glob-compat.mjs'
+
 const TRAILING_SLASH_RE = /\/$/
 const LEADING_DOTSLASH_RE = /^\.\//
 
-/** Glob-ігнор для workspace-патернів із `*` (узгоджено з `rules/changelog/js/consistency/package-manifest.mjs`). */
-export const WORKSPACE_GLOB_IGNORE = Object.freeze(['**/node_modules/**', '**/.git/**', '**/.venv/**', '**/venv/**'])
+/** Теки, ігноровані при розгортанні workspace-патернів із `*` (узгоджено з `rules/changelog/lib/package-manifest.mjs`). */
+export const WORKSPACE_IGNORED_DIRS = Object.freeze(['node_modules', '.git', '.venv', 'venv'])
 
 /**
  * Чи слід виключити каталог зі списку workspace-коренів (не стосується `.`).
@@ -23,7 +25,7 @@ export function isIgnoredWorkspaceRoot(ws) {
   if (ws === '.') return false
   const p = ws.replaceAll('\\', '/').replace(LEADING_DOTSLASH_RE, '')
   const segments = new Set(p.split('/'))
-  return segments.has('node_modules') || segments.has('.git') || segments.has('.venv') || segments.has('venv')
+  return WORKSPACE_IGNORED_DIRS.some(dir => segments.has(dir))
 }
 
 /**
@@ -49,10 +51,7 @@ function normalizeWorkspacePattern(pattern) {
 async function addWorkspaceRootsByPattern(roots, repoRoot, workspacePattern) {
   if (workspacePattern.includes('*')) {
     const globPat = `${workspacePattern}/package.json`
-    for await (const relPkgJsonPath of glob(globPat, {
-      cwd: repoRoot,
-      ignore: [...WORKSPACE_GLOB_IGNORE]
-    })) {
+    for await (const relPkgJsonPath of scanGlob(globPat, repoRoot)) {
       const absPkgJsonPath = join(repoRoot, relPkgJsonPath)
       const relRoot = relative(repoRoot, dirname(absPkgJsonPath))
       const ws = relRoot === '' ? '.' : relRoot

package/scripts/utils/docs/glob-compat.md

@@ -0,0 +1,31 @@
+---
+type: JS Module
+title: glob-compat.mjs
+resource: npm/scripts/utils/glob-compat.mjs
+docgen:
+  crc: a226a048
+  model: manual
+  tier: manual
+  score: 100
+---
+
+## Огляд
+
+Runtime-нейтральний glob-обхід для коду, що виконується і під Bun, і під Node. Потрібен, бо hook запускається через `npx` → Node, де глобал `Bun` не визначений (top-level `new Bun.Glob(...)` зривав import модуля-детектора), а прямий `node:fs/promises#glob` не працює на self-hosted Linux Bun 1.3.14, де Node-compat шим не надає export `glob`. Реалізація вибирається за середовищем виконання: `Bun.Glob` під Bun, `node:fs/promises#glob` під Node (гарантовано за `engines: node >=25`).
+
+## Публічний API
+
+- `scanGlob(pattern, cwd)` — async-генератор: ітерує відносні (до `cwd`) шляхи файлів, що відповідають glob-патерну (наприклад, `cf/*/package.json`).
+- `hasIgnoredPathSegment(relPath, ignoredDirs)` — чи містить відносний шлях сегмент зі службових тек (наприклад, `node_modules`), які glob-обхід має ігнорувати; еквівалент ignore-патернів `**/<dir>/**` по кожній теці з `ignoredDirs`. Розділювачі `\` нормалізуються до `/`.
+
+## Де використовується
+
+- `npm/scripts/lib/workspaces.mjs` — розгортання workspace-патернів із `*`.
+- `npm/scripts/utils/resolve-js-root.mjs` — резолв JS-roots за workspace-патернами.
+- `npm/rules/changelog/lib/package-manifest.mjs` — пошук `pyproject.toml` по репо.
+- `npm/rules/tauri/core_test_isolation/main.mjs` — glob-члени `[workspace] members` і обхід `**/*.rs`.
+
+## Гарантії поведінки
+
+- Read-only: не виконує операцій запису (ФС/БД).
+- Не фільтрує результати сам: ігнорування службових тек — відповідальність викликача (через `hasIgnoredPathSegment` або власні перевірки).

package/scripts/utils/docs/index.md

@@ -11,6 +11,7 @@ resource: npm/scripts/utils/
 | [ast-scan-utils.mjs](ast-scan-utils.md)                     | JS Module |
 | [ensure-gitignore-entries.mjs](ensure-gitignore-entries.md) | JS Module |
 | [find-package-json-paths.mjs](find-package-json-paths.md)   | JS Module |
+| [glob-compat.mjs](glob-compat.md)                           | JS Module |
 | [lock-cache-dir.mjs](lock-cache-dir.md)                     | JS Module |
 | [pass.mjs](pass.md)                                         | JS Module |
 | [resolve-cargo-manifest.mjs](resolve-cargo-manifest.md)     | JS Module |

package/scripts/utils/docs/resolve-js-root.md

@@ -3,7 +3,7 @@ type: JS Module
 title: resolve-js-root.mjs
 resource: npm/scripts/utils/resolve-js-root.mjs
 docgen:
-  crc: 5202013e
+  crc: 46c5af46
   model: omlx/gemma-4-e4b-it-OptiQ-4bit
   score: 100
 ---

package/scripts/utils/glob-compat.mjs

@@ -0,0 +1,36 @@
+/**
+ * Runtime-нейтральний glob-обхід для коду, що виконується і під Bun, і під Node
+ * (hook запускається через npx → Node, де глобал `Bun` не визначений, тож
+ * top-level `new Bun.Glob(...)` валить сам import модуля). Пряме
+ * `node:fs/promises#glob` теж не варіант: спостережено self-hosted Linux Bun
+ * 1.3.14, де Node-compat шим не надає export 'glob'. Тож вибір реалізації —
+ * за середовищем виконання: `Bun.Glob` під Bun, `node:fs/promises#glob` під
+ * Node (engines: node >=25).
+ */
+
+/**
+ * Ітерує відносні шляхи файлів за glob-патерном.
+ * @param {string} pattern glob-патерн (наприклад, `cf/*\/package.json`)
+ * @param {string} cwd корінь обходу
+ * @yields {string} кожен відносний шлях збігу
+ */
+export async function* scanGlob(pattern, cwd) {
+  if (typeof Bun !== 'undefined') {
+    yield* new Bun.Glob(pattern).scan({ cwd })
+    return
+  }
+  const { glob } = await import('node:fs/promises')
+  yield* glob(pattern, { cwd })
+}
+
+/**
+ * Чи містить відносний шлях сегмент зі службових тек, які glob-обхід має ігнорувати.
+ * Еквівалент колишніх ignore-патернів `**\/<dir>/**` по кожній теці з `ignoredDirs`.
+ * @param {string} relPath відносний шлях зі `scanGlob`
+ * @param {readonly string[]} ignoredDirs імена ігнорованих тек (наприклад, `node_modules`)
+ * @returns {boolean} true — шлях лежить в ігнорованій теці
+ */
+export function hasIgnoredPathSegment(relPath, ignoredDirs) {
+  const segments = relPath.replaceAll('\\', '/').split('/')
+  return ignoredDirs.some(dir => segments.includes(dir))
+}

package/scripts/utils/resolve-js-root.mjs

@@ -4,15 +4,17 @@
  * Спільна утиліта для coverage-провайдера js і test-концерну stryker_config (DRY).
  */
 import { existsSync } from 'node:fs'
-import { glob, readFile } from 'node:fs/promises'
+import { readFile } from 'node:fs/promises'
 import { join } from 'node:path'
 
-const WORKSPACE_GLOB_IGNORE = ['**/node_modules/**', '**/.git/**']
+import { hasIgnoredPathSegment, scanGlob } from './glob-compat.mjs'
+
+const WORKSPACE_IGNORED_DIRS = Object.freeze(['node_modules', '.git'])
 const PACKAGE_JSON_SUFFIX_RE = /[/\\]package\.json$/
 
 /**
  * Розгортає один workspace-патерн у список абсолютних шляхів каталогів з package.json.
- * Літеральні патерни перевіряються через existsSync; glob-патерни — через node:fs/promises#glob.
+ * Літеральні патерни перевіряються через existsSync; glob-патерни — через scanGlob.
  * @param {string} cwd корінь проєкту
  * @param {string} pattern workspace-патерн з package.json (наприклад, `app` або `cf/*`)
  * @returns {Promise<string[]>} абсолютні шляхи до workspace-каталогів
@@ -23,7 +25,8 @@ async function expandWorkspacePattern(cwd, pattern) {
     return existsSync(join(wsPath, 'package.json')) ? [wsPath] : []
   }
   const results = []
-  for await (const rel of glob(`${pattern}/package.json`, { cwd, exclude: WORKSPACE_GLOB_IGNORE })) {
+  for await (const rel of scanGlob(`${pattern}/package.json`, cwd)) {
+    if (hasIgnoredPathSegment(rel, WORKSPACE_IGNORED_DIRS)) continue
     const wsRel = rel.replace(PACKAGE_JSON_SUFFIX_RE, '')
     results.push(join(cwd, wsRel))
   }