@7n/rules 1.36.1 → 1.37.0

package/CHANGELOG.md

@@ -1,5 +1,15 @@
 # Changelog
 
+## [1.37.0] - 2026-07-21
+
+### Added
+
+- skills/storybook: скіл `n-storybook` — тонка обгортка запуску канону Storybook (`@7n/rules-lang-js`): звичайний прогін `lint storybook` і `--adopt`-режим для rollout-у на пакетах з уже наявним ручним Storybook (ADR канон-storybook-для-vue-компонентних-бібліотек, Кластер 8)
+
+### Fixed
+
+- k8s: hasura_configmap/hasura_httproute тепер gated власним main.mjs (без false positive на ConfigMap/HTTPRoute без сусіднього Hasura Deployment); kubescape більше не падає fatal на Job/CronJob через auto-generated per-resource виняток C-0056/C-0018
+
 ## [1.36.1] - 2026-07-20
 
 ### Changed

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@7n/rules",
-  "version": "1.36.1",
+  "version": "1.37.0",
   "description": "CLI еталонних правил і skills (префікс n-): синк у репозиторій, дельта-lint, конформність",
   "keywords": [
     "cli",

package/rules/k8s/hasura_configmap/docs/index.md

@@ -0,0 +1,9 @@
+---
+type: Directory Index
+title: npm/rules/k8s/hasura_configmap
+resource: npm/rules/k8s/hasura_configmap/
+---
+
+| Файл                | Тип       |
+| ------------------- | --------- |
+| [main.mjs](main.md) | JS Module |

package/rules/k8s/hasura_configmap/docs/main.md

@@ -0,0 +1,31 @@
+---
+type: JS Module
+title: main.mjs
+resource: npm/rules/k8s/hasura_configmap/main.mjs
+docgen:
+  crc: ec4396c4
+  model: openai-codex/gpt-5.4-mini
+  score: 90
+  issues: internal-name:validateHasuraConfigMapRemoteSchemaPermissions,judge:inaccurate:0.99
+  judgeModel: openai-codex/gpt-5.4-mini
+---
+
+## Огляд
+
+Gated detector для поверхні `k8s/hasura_configmap`, який захищає `hasura_configmap.rego` від промоції в ungated standalone detector через generic lint-surface з `hasHandWrittenMain` у `scripts/lib/lint-surface/detect.mjs`. Саме `k8s/manifests/main.mjs` через `findDeploymentDocInDir` і `isHasuraDeploymentManifest` робить cross-file JS-гейт і лише тоді викликає `validateHasuraConfigMapRemoteSchemaPermissions`, тож перевірка охоплює тільки ті `ConfigMap`, для яких поруч є Hasura Deployment. Це потрібно, щоб не проганяти Hasura-специфічний `rego` на звичайні `ConfigMap` у `k8s` і не ловити false positive на CronJob/Job `ConfigMap` поза Hasura-манифестами, зокрема в контексті issue `efes-cloud/backend`.
+
+## Поведінка
+
+1. `lint` запускає перевірку поверхні `k8s/hasura_configmap` у режимі read-only та збирає підсумок через reporter.
+2. Вона бере корінь workspace, враховує `cursor`-ігнори й шукає YAML-файли лише в межах `k8s`.
+3. Якщо в `k8s` немає YAML-файлів, перевірку пропускає і повертає успішний результат без порушень.
+4. Якщо YAML-файли знайдені, перевіряє лише ті ConfigMap, для яких поруч є Hasura Deployment; звичайні ConfigMap без такого сусідства не ескалюються в цю перевірку.
+5. У разі виявлення невідповідностей фіксує порушення, а за відсутності проблем — підтверджує успішний стан.
+
+## Публічний API
+
+- lint — Detector k8s/hasura_configmap (read-only).
+
+## Гарантії поведінки
+
+- Read-only: не виконує операцій запису (ФС/БД).

package/rules/k8s/hasura_configmap/main.mjs

@@ -0,0 +1,35 @@
+/**
+ * lint-поверхня k8s/hasura_configmap: gated detector. Без власного `main.mjs` generic
+ * lint-surface (`hasHandWrittenMain` у `scripts/lib/lint-surface/detect.mjs`) промотує
+ * будь-який concern із резолвним `policy.files.walkGlob` у **ungated** standalone detector —
+ * rego `hasura_configmap.rego` прогнав би тоді напряму на всі `configmap.yaml` під k8s,
+ * без перевірки, чи є поруч Hasura Deployment (false positive на звичайних CronJob/Job
+ * ConfigMap, issue: efes-cloud/backend). Cross-file JS-гейт (`findDeploymentDocInDir` +
+ * `isHasuraDeploymentManifest`) і сам виклик rego живуть у `k8s/manifests/main.mjs`
+ * (`validateHasuraConfigMapRemoteSchemaPermissions`, export) — тут лише тонка обгортка.
+ */
+import { createViolationReporter } from '../../../scripts/lib/lint-surface/violation-reporter.mjs'
+import { loadCursorIgnorePaths } from '../../../scripts/lib/load-cursor-config.mjs'
+import { findK8sYamlFiles, validateHasuraConfigMapRemoteSchemaPermissions } from '../manifests/main.mjs'
+
+/**
+ * Detector k8s/hasura_configmap (read-only).
+ * @param {import('../../../scripts/lib/lint-surface/types.mjs').LintContext} ctx контекст лінту.
+ * @returns {Promise<import('../../../scripts/lib/lint-surface/types.mjs').LintResult>} результат із порушеннями
+ */
+export async function lint(ctx) {
+  const reporter = createViolationReporter(ctx)
+  const { pass, fail } = reporter
+  const root = ctx.cwd
+
+  const ignorePaths = await loadCursorIgnorePaths(root)
+  const yamlFiles = await findK8sYamlFiles(root, ignorePaths)
+  if (yamlFiles.length === 0) {
+    pass('Немає *.yaml під k8s — перевірку hasura_configmap пропущено')
+    return reporter.result()
+  }
+
+  await validateHasuraConfigMapRemoteSchemaPermissions(root, yamlFiles, fail, pass)
+
+  return reporter.result()
+}

package/rules/k8s/hasura_httproute/docs/index.md

@@ -0,0 +1,9 @@
+---
+type: Directory Index
+title: npm/rules/k8s/hasura_httproute
+resource: npm/rules/k8s/hasura_httproute/
+---
+
+| Файл                | Тип       |
+| ------------------- | --------- |
+| [main.mjs](main.md) | JS Module |

package/rules/k8s/hasura_httproute/docs/main.md

@@ -0,0 +1,32 @@
+---
+type: JS Module
+title: main.mjs
+resource: npm/rules/k8s/hasura_httproute/main.mjs
+docgen:
+  crc: 2f28a731
+  model: openai-codex/gpt-5.4-mini
+  score: 90
+  issues: internal-name:validateHasuraHttpRouteCanon,judge:inaccurate:0.98
+  judgeModel: openai-codex/gpt-5.4-mini
+---
+
+## Огляд
+
+Read-only `lint`-обгортка для Kubernetes YAML у `k8s`, яка не має власного `main.mjs` і тому через `hasHandWrittenMain` у `scripts/lib/lint-surface/detect.mjs` не повинна промотуватися в ungated standalone detector. Її роль — делегувати перевірку в `k8s/manifests/main.mjs` через `validateHasuraHttpRouteCanon`, де `collectHasuraDeploymentsAndHttpRoutes` зв’язує `hasura_httproute.rego` лише з HTTPRoute, що має поруч Hasura Deployment з тим самим `metadata.name`. Це запобігає запуску `hasura_httproute.rego` напряму на всі `hr.yaml` під `k8s` і прибирає false positive на HTTPRoute без Hasura.
+
+## Поведінка
+
+1. `lint` збирає стан перевірки для поточного робочого каталогу й працює лише на читання.
+2. `lint` знаходить Kubernetes YAML у межах `k8s` з урахуванням ignore-шляхів з `.cursor`.
+3. Якщо під `k8s` немає YAML-файлів, `lint` фіксує пропуск і завершує роботу без помилки.
+4. Якщо YAML-файли є, `lint` запускає перевірку `hasura_httproute` тільки на цьому наборі файлів.
+5. Перевірка навмисно gated: вона не повинна перетворюватися на ungated standalone detector для всіх `hr.yaml` під `k8s`, бо тоді з’являлися б false positive для HTTPRoute без відповідного Hasura Deployment з тим самим `metadata.name`.
+6. `lint` повертає підсумок із зафіксованими порушеннями або повідомленням про пропуск, не змінюючи файлову систему чи бази даних.
+
+## Публічний API
+
+- lint — Detector k8s/hasura_httproute (read-only).
+
+## Гарантії поведінки
+
+- Read-only: не виконує операцій запису (ФС/БД).

package/rules/k8s/hasura_httproute/main.mjs

@@ -0,0 +1,35 @@
+/**
+ * lint-поверхня k8s/hasura_httproute: gated detector. Без власного `main.mjs` generic
+ * lint-surface (`hasHandWrittenMain` у `scripts/lib/lint-surface/detect.mjs`) промотує
+ * будь-який concern із резолвним `policy.files.walkGlob` у **ungated** standalone detector —
+ * rego `hasura_httproute.rego` прогнав би тоді напряму на всі `hr.yaml` під k8s, без перевірки,
+ * чи є поруч Hasura Deployment з тим самим `metadata.name` (false positive на HTTPRoute без
+ * Hasura, issue: efes-cloud/backend). Cross-file JS-гейт (`collectHasuraDeploymentsAndHttpRoutes`)
+ * і сам виклик rego живуть у `k8s/manifests/main.mjs` (`validateHasuraHttpRouteCanon`, export) —
+ * тут лише тонка обгортка.
+ */
+import { createViolationReporter } from '../../../scripts/lib/lint-surface/violation-reporter.mjs'
+import { loadCursorIgnorePaths } from '../../../scripts/lib/load-cursor-config.mjs'
+import { findK8sYamlFiles, validateHasuraHttpRouteCanon } from '../manifests/main.mjs'
+
+/**
+ * Detector k8s/hasura_httproute (read-only).
+ * @param {import('../../../scripts/lib/lint-surface/types.mjs').LintContext} ctx контекст лінту.
+ * @returns {Promise<import('../../../scripts/lib/lint-surface/types.mjs').LintResult>} результат із порушеннями
+ */
+export async function lint(ctx) {
+  const reporter = createViolationReporter(ctx)
+  const { pass, fail } = reporter
+  const root = ctx.cwd
+
+  const ignorePaths = await loadCursorIgnorePaths(root)
+  const yamlFiles = await findK8sYamlFiles(root, ignorePaths)
+  if (yamlFiles.length === 0) {
+    pass('Немає *.yaml під k8s — перевірку hasura_httproute пропущено')
+    return reporter.result()
+  }
+
+  await validateHasuraHttpRouteCanon(root, yamlFiles, fail)
+
+  return reporter.result()
+}

package/rules/k8s/kubeconform/kubeconform.mdc

@@ -36,3 +36,11 @@
 **Увага:** готовий snippet-файл цього прикладу (`js/templates/kubescape_exceptions/.kubescape-exceptions.json.snippet.json` до `da05f89d`) під час "combine concern" **не був перенесений** у жоден поточний concern-каталог і в репозиторії відсутній — знайти оригінал не вдалося; за потреби відтвори JSON вручну за прикладом вище.
 
 Виключай контрольно, а не глобально (не додавай винятки без `attributes.name`/`labels`).
+
+## Auto-generated виняток C-0056/C-0018 для Job/CronJob
+
+Controls **C-0056**/**C-0018** (liveness/readiness probe) структурно незастосовні до **`kind: Job`**/**`kind: CronJob`** — под виконується один раз і завершується, on-going readiness/liveness нема чим міряти. Без винятку kubescape (поріг `--severity-threshold high`) падає fatal на першому ж такому ресурсі й зупиняє скан усього дерева `k8s` (issue: efes-cloud/backend, 261 ресурс, жоден job не стартує Hasura server-side).
+
+Лінт **сам** генерує по одному exception-запису на **кожен реальний** Job/CronJob-ресурс (з `attributes.kind`+`attributes.name`, за наявності — `attributes.namespace`) для scan-таргету, що його якраз сканує kubescape (`autoJobCronJobProbeExceptions` у `npm/rules/k8s/manifests/main.mjs`, виклик з `runKubescapeManifest`/`scanRawK8sDir`). Це **не** kind-only виняток — кожен запис прив'язаний до конкретного ресурсу, тому відповідає конвенції "виключай контрольно, а не глобально" вище, і не вимагає ручної підтримки: нові CronJob покриваються автоматично при наступному скані.
+
+Auto-generated записи **мержаться** з `.kubescape-exceptions.json` користувача (якщо файл є) в один tmp-файл, переданий через `--exceptions`; committed-файл користувача лишається джерелом істини для власних, ручних винятків (напр. C-0012 вище) — цей механізм його не замінює і не редагує. Deployment/StatefulSet/DaemonSet-ресурси винятку **не** отримують — C-0056/C-0018 там і надалі fail-closed.

package/rules/k8s/manifests/main.mjs

@@ -1589,7 +1589,7 @@ export function baseKustomizationNamespaceViolation(obj) {
  * @param {string[]} [ignorePaths] шляхи каталогів, повністю виключених з обходу
  * @returns {Promise<string[]>} відсортовані абсолютні шляхи до файлів
  */
-async function findK8sYamlFiles(root, ignorePaths = []) {
+export async function findK8sYamlFiles(root, ignorePaths = []) {
   /**
   @type {string[]}
    */
@@ -3184,7 +3184,7 @@ function recordHasuraDeploymentName(rec, dir, hasuraByDir) {
  * @param {(msg: string, opts?: string | { reason?: string, file?: string, data?: object }) => void} fail callback реєстрації помилки
  * @returns {Promise<void>} результат
  */
-async function validateHasuraHttpRouteCanon(root, yamlFiles, fail) {
+export async function validateHasuraHttpRouteCanon(root, yamlFiles, fail) {
   const { hasuraByDir, httpRoutes } = await collectHasuraDeploymentsAndHttpRoutes(yamlFiles)
   if (hasuraByDir.size === 0 || httpRoutes.length === 0) return
 
@@ -3610,7 +3610,7 @@ async function validateConfigMapNameMatchesDeployment(root, yamlFilesAbs, fail,
  * @param {(msg: string) => void} fail callback при помилці
  * @param {(msg: string) => void} passFn callback при успіху
  */
-async function validateHasuraConfigMapRemoteSchemaPermissions(root, yamlFilesAbs, fail, passFn) {
+export async function validateHasuraConfigMapRemoteSchemaPermissions(root, yamlFilesAbs, fail, passFn) {
   const cmFiles = yamlFilesAbs.filter(abs => {
     const rel = relative(root, abs).replaceAll('\\', '/')
     return CONFIGMAP_BASE_PATH_RE.test(`/${rel}`) || rel === 'k8s/base/configmap.yaml'
@@ -6553,9 +6553,15 @@ export async function regenerateLegacyNetworkPolicyDocsInFile(npAbs, fail) {
 /**
  * Plan B (rego-authoritative): на початку `check()` батч-викликаємо path-фільтровані
  * rego-пакети з `npm/policy/k8s/` через `runConftestBatch`. Пакети hasura_configmap і
- * hasura_httproute мають cross-file gating (паруються з Hasura-Deployment) — вони запускаються
- * з відповідних orchestrator-функцій (`validateHasuraConfigMapRemoteSchemaPermissions`,
- * `validateHasuraHttpRouteCanon`). Структурна частина HPA/PDB (`k8s.hpa_pdb`) тут на всіх yaml,
+ * hasura_httproute мають cross-file gating (паруються з Hasura-Deployment) — цей JS-гейт
+ * (`validateHasuraConfigMapRemoteSchemaPermissions`, `validateHasuraHttpRouteCanon`, обидві
+ * export) викликається з **власного** `main.mjs` кожного з цих двох концернів
+ * (`k8s/hasura_configmap/main.mjs`, `k8s/hasura_httproute/main.mjs`) — не звідси. Це навмисно:
+ * без власного `main.mjs` generic lint-surface (`hasHandWrittenMain` у
+ * `scripts/lib/lint-surface/detect.mjs`) промотує concern із самостійним `policy.files.walkGlob`
+ * у **ungated** detector, що прогонить rego напряму на всі файли-збіги glob — саме так виникали
+ * false positive на ConfigMap/HTTPRoute без сусіднього Hasura Deployment (issue: efes-cloud/backend).
+ * Структурна частина HPA/PDB (`k8s.hpa_pdb`) тут на всіх yaml,
  * env-залежні межі min/maxReplicas і expected-name — JS-cross-file у `validateDeploymentHpaPdbAndTopology`.
  * @param {string} root корінь репозиторію (cwd)
  * @param {string[]} yamlFiles абсолютні шляхи знайдених *.yaml під `…/k8s/`
@@ -6716,7 +6722,8 @@ export async function lint(ctx) {
 
   await validateSvcYamlAndSvcHlPairs(root, yamlFiles, fail)
 
-  await validateHasuraHttpRouteCanon(root, yamlFiles, fail)
+  // validateHasuraHttpRouteCanon — переїхав у власний main.mjs концерну k8s/hasura_httproute
+  // (gated detector, див. коментар над runAllK8sRego вище).
 
   await validateKustomizationIncludesSvcHlWithSvc(root, yamlFiles, fail)
 
@@ -6728,7 +6735,8 @@ export async function lint(ctx) {
 
   await validateConfigMapNameMatchesDeployment(root, yamlFiles, fail, pass)
 
-  await validateHasuraConfigMapRemoteSchemaPermissions(root, yamlFiles, fail, pass)
+  // validateHasuraConfigMapRemoteSchemaPermissions — переїхав у власний main.mjs концерну
+  // k8s/hasura_configmap (gated detector, див. коментар над runAllK8sRego вище).
 
   await validateDeploymentHpaPdbAndTopology(root, yamlFiles, fail, pass)
 
@@ -6826,13 +6834,118 @@ export async function runKubeconform(dirs, verbose = false) {
 }
 
 /**
- * Будує CLI-аргументи `--exceptions`, якщо в корені є `.kubescape-exceptions.json`.
+ * `kind`, для яких kubescape-контроли C-0056/C-0018 (liveness/readiness probe) структурно
+ * незастосовні — под Job/CronJob виконується один раз і завершується, on-going readiness/liveness
+ * нема чим міряти (k8s.mdc).
+ * @type {Set<string>}
+ */
+const KUBESCAPE_PROBE_EXEMPT_KINDS = new Set(['Job', 'CronJob'])
+
+/**
+ * Auto-generated kubescape `postureExceptionPolicy`-записи для C-0056/C-0018 — по одному на
+ * кожен реальний Job/CronJob-ресурс з непорожнім `metadata.name`, знайдений у `yamlText`.
+ * Навмисно **не** kind-only (без `name`) — house-конвенція "виключай контрольно, а не глобально"
+ * (`k8s/kubeconform/kubeconform.mdc`): kind-only виняток замовчав би C-0056/C-0018 і на
+ * Deployment-подібних ресурсах, для яких ці controls реально застосовні.
+ * @param {string} yamlText вміст одного або декількох YAML-документів (kubescape scan target)
+ * @returns {object[]} масив exception-записів (може бути порожній)
+ */
+export function autoJobCronJobProbeExceptions(yamlText) {
+  const docs = tryParseAllYamlDocs(yamlText)
+  if (docs === undefined) return []
+  const out = []
+  for (const doc of docs) {
+    if (doc.errors.length !== 0) continue
+    const rec = asPlainRecord(doc.toJSON())
+    if (rec === null || typeof rec.kind !== 'string' || !KUBESCAPE_PROBE_EXEMPT_KINDS.has(rec.kind)) continue
+    const meta = asPlainRecord(rec.metadata)
+    const name = meta === null ? undefined : meta.name
+    if (typeof name !== 'string' || name === '') continue
+    const namespace = meta === null ? undefined : meta.namespace
+    const hasNamespace = typeof namespace === 'string' && namespace !== ''
+    const attributes = hasNamespace ? { kind: rec.kind, name, namespace } : { kind: rec.kind, name }
+    out.push({
+      name: `auto-${rec.kind.toLowerCase()}-${hasNamespace ? namespace : 'default'}-${name}-probes`,
+      policyType: 'postureExceptionPolicy',
+      actions: ['alertOnly'],
+      resources: [{ designatorType: 'Attributes', attributes }],
+      posturePolicies: [{ controlID: 'C-0056' }, { controlID: 'C-0018' }]
+    })
+  }
+  return out
+}
+
+/**
+ * Читає та конкатенує вміст усіх `*.yaml`/`*.yml` під каталогом — для похідних auto-exceptions
+ * (треба геть увесь вміст `dir`, що його рекурсивно сканує `kubescape scan <dir>`, а не лише
+ * basename-фільтровані файли k8s.mdc-обходу).
+ * @param {string} dir абсолютний шлях каталогу
+ * @returns {Promise<string>} конкатенований YAML-текст (документи розділені `---`)
+ */
+async function readAllYamlTextUnderDir(dir) {
+  const files = []
+  await walkDir(dir, p => {
+    if (YAML_EXTENSION_RE.test(p)) files.push(p)
+  })
+  const parts = []
+  for (const f of files) {
+    const raw = await tryReadFileUtf8(f)
+    if (raw !== undefined) parts.push(raw)
+  }
+  return parts.join('\n---\n')
+}
+
+/**
+ * Безпечно парсить user-файл `.kubescape-exceptions.json` як масив exception-записів.
+ * @param {string} exceptionsPath абсолютний шлях до файлу
+ * @returns {object[]} масив (порожній при помилці читання/парсингу або якщо це не масив)
+ */
+function readUserKubescapeExceptions(exceptionsPath) {
+  try {
+    const parsed = JSON.parse(readFileSync(exceptionsPath, 'utf8'))
+    return Array.isArray(parsed) ? parsed : []
+  } catch {
+    console.error(
+      `${exceptionsPath}: не вдалося розпарсити як JSON-масив — auto-generated винятки Job/CronJob застосовано без нього`
+    )
+    return []
+  }
+}
+
+/**
+ * Будує CLI-аргументи `--exceptions`. Без `autoExceptions` — сумісна поведінка: пряме
+ * посилання на `.kubescape-exceptions.json` у корені (якщо є), інакше `[]`. З непорожнім
+ * `autoExceptions` — мержить його з user-файлом (якщо є) у tmp-файл; виклик відповідає за
+ * cleanup через `cleanupKubescapeExceptionsArgs`.
  * @param {string} root корінь репозиторію.
- * @returns {string[]} масив аргументів (порожній, якщо файла винятків немає).
+ * @param {object[]} [autoExceptions] auto-generated exception-записи для мержу з user-файлом.
+ * @returns {string[]} масив аргументів (порожній, якщо винятків немає взагалі).
  */
-export function buildKubescapeExceptionsArgs(root) {
+export function buildKubescapeExceptionsArgs(root, autoExceptions = []) {
   const exceptionsPath = join(root, KUBESCAPE_EXCEPTIONS_FILE)
-  return existsSync(exceptionsPath) ? ['--exceptions', exceptionsPath] : []
+  const userFileExists = existsSync(exceptionsPath)
+  if (autoExceptions.length === 0) {
+    return userFileExists ? ['--exceptions', exceptionsPath] : []
+  }
+  const userExceptions = userFileExists ? readUserKubescapeExceptions(exceptionsPath) : []
+  const merged = [...userExceptions, ...autoExceptions]
+  const dir = mkdtempSync(join(tmpdir(), 'nitra-cursor-k8s-exceptions-'))
+  const tmpFile = join(dir, 'kubescape-exceptions.json')
+  writeFileSync(tmpFile, JSON.stringify(merged))
+  return ['--exceptions', tmpFile]
+}
+
+/**
+ * Прибирає tmp-файл винятків, згенерований `buildKubescapeExceptionsArgs` (якщо це не пряме
+ * посилання на committed `.kubescape-exceptions.json` користувача — той не чіпаємо).
+ * @param {string[]} exceptionsArgs результат `buildKubescapeExceptionsArgs`.
+ * @param {string} root корінь репозиторію.
+ * @returns {void} результат
+ */
+function cleanupKubescapeExceptionsArgs(exceptionsArgs, root) {
+  const p = exceptionsArgs[1]
+  if (p === undefined || p === join(root, KUBESCAPE_EXCEPTIONS_FILE)) return
+  rmSync(dirname(p), { recursive: true, force: true })
 }
 
 /**
@@ -6884,16 +6997,20 @@ async function runKustomizeBuild(kubectlPath, dir, verbose = false) {
 }
 
 /**
- * Сканує один зібраний маніфест через `kubescape scan` (пише у tmp-файл, чистить його).
+ * Сканує один зібраний маніфест через `kubescape scan` (пише у tmp-файл, чистить його). Auto-
+ * generated виняток C-0056/C-0018 для Job/CronJob-ресурсів у `manifest` (див.
+ * `autoJobCronJobProbeExceptions`) мержиться з user-файлом `.kubescape-exceptions.json` (якщо є).
  * @param {string} kubescapePath шлях до бінарника kubescape.
  * @param {string|Buffer} manifest вміст маніфеста для сканування.
- * @param {string[]} exceptionsArgs додаткові CLI-аргументи (`--exceptions ...`).
+ * @param {string} root корінь репозиторію (для user-файла винятків).
  * @param {boolean} [verbose] показати повний нативний вивід kubescape (`stdio: 'inherit'`).
  * @returns {Promise<{ status: number, enoent: boolean }>} exit-код і прапорець відсутнього тула.
  */
-async function runKubescapeManifest(kubescapePath, manifest, exceptionsArgs, verbose = false) {
+async function runKubescapeManifest(kubescapePath, manifest, root, verbose = false) {
   const dir = mkdtempSync(join(tmpdir(), 'nitra-cursor-k8s-'))
   const file = join(dir, 'manifest.yaml')
+  const exceptionsArgs = buildKubescapeExceptionsArgs(root, autoJobCronJobProbeExceptions(String(manifest)))
+  if (verbose && exceptionsArgs.length > 0) console.log(`run-k8s: kubescape exceptions — ${exceptionsArgs[1]}`)
   try {
     writeFileSync(file, manifest)
     try {
@@ -6906,20 +7023,26 @@ async function runKubescapeManifest(kubescapePath, manifest, exceptionsArgs, ver
       return { status: 1, enoent }
     }
   } finally {
+    cleanupKubescapeExceptionsArgs(exceptionsArgs, root)
     rmSync(dir, { recursive: true, force: true })
   }
 }
 
 /**
- * Сканує сирий k8s-каталог (без kustomization) через `kubescape scan <dir>`.
+ * Сканує сирий k8s-каталог (без kustomization) через `kubescape scan <dir>`. Auto-generated
+ * виняток C-0056/C-0018 для Job/CronJob-ресурсів під `dir` мержиться з user-файлом
+ * `.kubescape-exceptions.json` (якщо є).
  * @param {string} kubescapePath шлях до бінарника kubescape.
  * @param {string} dir каталог для сканування.
- * @param {string[]} exceptionsArgs додаткові CLI-аргументи (`--exceptions ...`).
+ * @param {string} root корінь репозиторію (для user-файла винятків).
  * @param {boolean} [verbose] показати повний нативний вивід kubescape (`stdio: 'inherit'`) і хід сканування.
  * @returns {Promise<number>} exit-код (127 якщо тул відсутній).
  */
-async function scanRawK8sDir(kubescapePath, dir, exceptionsArgs, verbose = false) {
+async function scanRawK8sDir(kubescapePath, dir, root, verbose = false) {
   if (verbose) console.log(`run-k8s: kubescape scan ${dir} (без kustomization — сирий dir-скан)`)
+  const yamlText = await readAllYamlTextUnderDir(dir)
+  const exceptionsArgs = buildKubescapeExceptionsArgs(root, autoJobCronJobProbeExceptions(yamlText))
+  if (verbose && exceptionsArgs.length > 0) console.log(`run-k8s: kubescape exceptions — ${exceptionsArgs[1]}`)
   try {
     const r = await spawnAsync(kubescapePath, ['scan', dir, '--severity-threshold', 'high', ...exceptionsArgs], {
       stdio: verbose ? 'inherit' : 'pipe'
@@ -6931,6 +7054,8 @@ async function scanRawK8sDir(kubescapePath, dir, exceptionsArgs, verbose = false
       return 127
     }
     return 1
+  } finally {
+    cleanupKubescapeExceptionsArgs(exceptionsArgs, root)
   }
 }
 
@@ -6939,16 +7064,16 @@ async function scanRawK8sDir(kubescapePath, dir, exceptionsArgs, verbose = false
  * @param {string} kubectlPath шлях до бінарника kubectl.
  * @param {string} kubescapePath шлях до бінарника kubescape.
  * @param {string[]} kdirs каталоги з kustomization.
- * @param {string[]} exceptionsArgs додаткові CLI-аргументи (`--exceptions ...`).
+ * @param {string} root корінь репозиторію (для user-файла винятків).
  * @param {boolean} [verbose] показати повний нативний вивід kubectl/kubescape і хід сканування.
  * @returns {Promise<number>} 0 якщо всі чисті, інакше перший ненульовий exit-код (127 — тул відсутній).
  */
-async function scanKustomizeK8sDirs(kubectlPath, kubescapePath, kdirs, exceptionsArgs, verbose = false) {
+async function scanKustomizeK8sDirs(kubectlPath, kubescapePath, kdirs, root, verbose = false) {
   for (const kdir of kdirs) {
     if (verbose) console.log(`run-k8s: kubectl kustomize ${kdir} | kubescape scan <tmp>`)
     const build = await runKustomizeBuild(kubectlPath, kdir, verbose)
     if (build.status !== 0) return build.status
-    const ks = await runKubescapeManifest(kubescapePath, build.stdout, exceptionsArgs, verbose)
+    const ks = await runKubescapeManifest(kubescapePath, build.stdout, root, verbose)
     if (ks.enoent) {
       console.error(KUBESCAPE_MISSING_HINT)
       return 127
@@ -6960,20 +7085,20 @@ async function scanKustomizeK8sDirs(kubectlPath, kubescapePath, kdirs, exception
 
 /**
  * Оркеструє kubescape-скан по k8s-коренях: kustomize-каталоги збираються, решта — сирий скан.
+ * Виняток C-0056/C-0018 для Job/CronJob — auto-generated з реального контенту кожного скан-таргету
+ * (не один спільний файл на весь репо), див. `runKubescapeManifest`/`scanRawK8sDir`.
  * @param {string[]} dirs абсолютні шляхи k8s-коренів.
- * @param {string} root корінь репозиторію (для файла винятків).
+ * @param {string} root корінь репозиторію (для user-файла винятків).
  * @param {boolean} [verbose] показати повний нативний вивід kubectl/kubescape (`stdio: 'inherit'`) і хід сканування.
  * @returns {Promise<number>} 0 якщо все чисто, інакше перший ненульовий exit-код (127 — тул відсутній).
  */
 async function runKubescape(dirs, root, verbose = false) {
-  const exceptionsArgs = buildKubescapeExceptionsArgs(root)
-  if (verbose && exceptionsArgs.length > 0) console.log(`run-k8s: kubescape exceptions — ${KUBESCAPE_EXCEPTIONS_FILE}`)
   const kubescapePath = ensureTool('kubescape')
   let kubectlPath = null
   for (const d of dirs) {
     const kdirs = await findKustomizationDirs(d)
     if (kdirs.length === 0) {
-      const rawStatus = await scanRawK8sDir(kubescapePath, d, exceptionsArgs, verbose)
+      const rawStatus = await scanRawK8sDir(kubescapePath, d, root, verbose)
       if (rawStatus !== 0) return rawStatus
       continue
     }
@@ -6984,7 +7109,7 @@ async function runKubescape(dirs, root, verbose = false) {
         return 127
       }
     }
-    const buildStatus = await scanKustomizeK8sDirs(kubectlPath, kubescapePath, kdirs, exceptionsArgs, verbose)
+    const buildStatus = await scanKustomizeK8sDirs(kubectlPath, kubescapePath, kdirs, root, verbose)
     if (buildStatus !== 0) return buildStatus
   }
   return 0

package/skills/storybook/SKILL.md

@@ -0,0 +1,96 @@
+---
+name: n-storybook
+description: >-
+  Канон Storybook для Vue-компонентних бібліотек — прогін lint-поверхонь правила
+  storybook (scope/scaffold/vitest-config/hygiene) по поточному репо, і окремий
+  --adopt режим для пакетів із уже наявним ручним Storybook (діагностика diff
+  проти канону без сліпого перезапису)
+version: '1.0'
+---
+
+# n-storybook — канон Storybook для Vue-компонентних бібліотек
+
+Джерело рішення: `docs/adr/канон-storybook-для-vue-компонентних-бібліотек.md`. Уся логіка канону
+(скоуп, скафолд, vitest-конфіг, гігієна залежностей, adopt-діагностика) живе в правилі `storybook`
+пакета `@7n/rules-lang-js` (`node_modules/@7n/rules-lang-js/rules/storybook/`) — цей скіл лише
+тонка обгортка запуску, за зразком `doc-files`.
+
+## Передумови
+
+- Правило `storybook` увімкнене у `.n-rules.json` (`"storybook"` у `rules`) — інакше lint-поверхні
+  concern-ів не виконуються (правило `alwaysApply: false`, хвильовий rollout, ADR Decision Outcome).
+- Плагін `@7n/rules-lang-js` встановлений (JS/Vue-екосистема) — сигнал автодетекту: кореневий
+  `package.json`.
+
+## Звичайний запуск (rule увімкнене, без адопції)
+
+```bash
+npx @7n/rules lint storybook
+```
+
+Прогонить усі lint-поверхні правила (`scope`, `scaffold`, `vitest-config`, `hygiene`) по всьому
+репо. T0-autofix (`fixability: config` — детермінований, без LLM-ladder) відтворює канонічний
+скафолд ЛИШЕ для секцій, яких немає ВЗАЄМНО (`.storybook/main.js`, `preview.js`,
+`package.json#scripts.storybook`, `vitest.config`-projects, `vitest.stryker.config`) — з
+`template/` правила. Наявний-але-розбіжний файл (маркер канону відсутній) — `fixability: config`
+зупиняється після T0 без LLM-ladder (canon — одна правильна форма, вгадувати нема чого): звіт
+покаже violation, ручне чи agent-виправлення за посиланням на `storybook.mdc`/`vitest-config.mdc`.
+
+Звіт користувачу — стандартний вивід `n-rules lint`: список violations (якщо є) + підсумок
+виправлених T0-патернів.
+
+## `--adopt` — пакети з уже наявним ручним Storybook (ADR Кластер 8)
+
+Для пакетів, де `.storybook/` вже існує (ручне впровадження ДО канону чи паралельно з ним) —
+окремий діагностичний режим: diff по секціях проти канонічних `template/`
+(`main.js`/`preview.js`/`mocks/gql-sse.js`/`package.json#scripts.storybook`/vitest
+`test.projects`/`vitest.stryker.config`), **без сліпого перезапису** розбіжних файлів.
+Автофікс (`--fix-missing`) генерує ЛИШЕ секції, яких немає ВЗАГАЛІ — розбіжні секції завжди
+йдуть як інструкція для агента/людини, ніколи не переписуються автоматично.
+
+```bash
+# Діагностика всіх пакетів у скоупі (без запису)
+bun node_modules/@7n/rules-lang-js/rules/storybook/adopt/main.mjs
+
+# + генерація повністю відсутніх секцій (main.js/preview.js/mocks/scripts/vitest-конфіги
+# лишаються недоторканими, якщо вже існують хоч у якомусь вигляді)
+bun node_modules/@7n/rules-lang-js/rules/storybook/adopt/main.mjs --fix-missing
+
+# Звузити діагностику до конкретних пакетів (root dir, той самий формат що storybook.optOut)
+bun node_modules/@7n/rules-lang-js/rules/storybook/adopt/main.mjs --fix-missing packages/ui packages/legacy-ui
+```
+
+Прогін через прямий виклик скрипта плагіна (`node_modules/@7n/rules-lang-js/...`) — CLI-плюмбінг
+окремого прапорця `--adopt` у ядро `n-rules.js` для однієї команди одного правила визнано
+надлишковим (нема інших concern-ів з подібним diagnostic-only режимом; якщо з'явиться другий
+кандидат — тоді вартий узагальнення на рівні ядра).
+
+### Формат звіту
+
+Для кожного пакета — статус (`canonical` / `missing-files` / `differs` / `broken`) і розклад
+по секціях (`match` / `differ` / `missing`, з поясненням для `differ`). При `--fix-missing` —
+перелік згенерованих файлів. Приклад одного пакета:
+
+```text
+⚠️  [packages/legacy-ui] differs
+  ✗ main.js (packages/legacy-ui/.storybook/main.js): differ — бракує: viteFinal-override vite.config пакета
+  + preview.js (packages/legacy-ui/.storybook/preview.js): missing
+  ✗ package.json#scripts.storybook (packages/legacy-ui/package.json): differ — зараз 'storybook dev', канон '...'
+```
+
+Прочитай звіт користувачу: скільки пакетів канонічні, скільки мають лише прогалини (безпечно
+`--fix-missing`), скільки мають розбіжності (потребують ручного рішення — мігрувати секцію на
+канон чи свідомо лишити виняток), скільки зламані (circuit breaker нижче).
+
+## Circuit breaker (ADR)
+
+Якщо діагностика чи фікс одного пакета кидає виняток (пошкоджений файл, directory замість файлу
+тощо) — цей пакет позначається `status: 'broken'` з текстом помилки, а решта пакетів прогону
+обробляються далі. Один зламаний пакет ніколи не валить увесь `--adopt`-прогін.
+
+## Rollout-порядок (ADR Кластер 8)
+
+Пілот на одному репо перед глобальним увімкненням правила; серед пакетів одного репо — малі
+спершу (менше `.vue`-файлів → менший blast radius одного скафолд-фейлу). Це організаційна
+рекомендація для агента/людини, що вмикає правило — скіл сам не має списку "усіх репо
+організації", тому не автоматизує послідовність.

package/skills/storybook/main.json

@@ -0,0 +1 @@
+{ "auto": ["storybook"], "worktree": true }