@7n/rules 1.36.1 → 1.38.0

package/CHANGELOG.md

@@ -1,5 +1,21 @@
 # Changelog
 
+## [1.38.0] - 2026-07-21
+
+### Fixed
+
+- tauri/gitignore_target, tauri/core_test_isolation: інваріант workspace-кореня замість хибної typo-версії
+
+## [1.37.0] - 2026-07-21
+
+### Added
+
+- skills/storybook: скіл `n-storybook` — тонка обгортка запуску канону Storybook (`@7n/rules-lang-js`): звичайний прогін `lint storybook` і `--adopt`-режим для rollout-у на пакетах з уже наявним ручним Storybook (ADR канон-storybook-для-vue-компонентних-бібліотек, Кластер 8)
+
+### Fixed
+
+- k8s: hasura_configmap/hasura_httproute тепер gated власним main.mjs (без false positive на ConfigMap/HTTPRoute без сусіднього Hasura Deployment); kubescape більше не падає fatal на Job/CronJob через auto-generated per-resource виняток C-0056/C-0018
+
 ## [1.36.1] - 2026-07-20
 
 ### Changed

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@7n/rules",
-  "version": "1.36.1",
+  "version": "1.38.0",
   "description": "CLI еталонних правил і skills (префікс n-): синк у репозиторій, дельта-lint, конформність",
   "keywords": [
     "cli",

package/rules/k8s/hasura_configmap/docs/index.md

@@ -0,0 +1,9 @@
+---
+type: Directory Index
+title: npm/rules/k8s/hasura_configmap
+resource: npm/rules/k8s/hasura_configmap/
+---
+
+| Файл                | Тип       |
+| ------------------- | --------- |
+| [main.mjs](main.md) | JS Module |

package/rules/k8s/hasura_configmap/docs/main.md

@@ -0,0 +1,31 @@
+---
+type: JS Module
+title: main.mjs
+resource: npm/rules/k8s/hasura_configmap/main.mjs
+docgen:
+  crc: ec4396c4
+  model: openai-codex/gpt-5.4-mini
+  score: 90
+  issues: internal-name:validateHasuraConfigMapRemoteSchemaPermissions,judge:inaccurate:0.99
+  judgeModel: openai-codex/gpt-5.4-mini
+---
+
+## Огляд
+
+Gated detector для поверхні `k8s/hasura_configmap`, який захищає `hasura_configmap.rego` від промоції в ungated standalone detector через generic lint-surface з `hasHandWrittenMain` у `scripts/lib/lint-surface/detect.mjs`. Саме `k8s/manifests/main.mjs` через `findDeploymentDocInDir` і `isHasuraDeploymentManifest` робить cross-file JS-гейт і лише тоді викликає `validateHasuraConfigMapRemoteSchemaPermissions`, тож перевірка охоплює тільки ті `ConfigMap`, для яких поруч є Hasura Deployment. Це потрібно, щоб не проганяти Hasura-специфічний `rego` на звичайні `ConfigMap` у `k8s` і не ловити false positive на CronJob/Job `ConfigMap` поза Hasura-манифестами, зокрема в контексті issue `efes-cloud/backend`.
+
+## Поведінка
+
+1. `lint` запускає перевірку поверхні `k8s/hasura_configmap` у режимі read-only та збирає підсумок через reporter.
+2. Вона бере корінь workspace, враховує `cursor`-ігнори й шукає YAML-файли лише в межах `k8s`.
+3. Якщо в `k8s` немає YAML-файлів, перевірку пропускає і повертає успішний результат без порушень.
+4. Якщо YAML-файли знайдені, перевіряє лише ті ConfigMap, для яких поруч є Hasura Deployment; звичайні ConfigMap без такого сусідства не ескалюються в цю перевірку.
+5. У разі виявлення невідповідностей фіксує порушення, а за відсутності проблем — підтверджує успішний стан.
+
+## Публічний API
+
+- lint — Detector k8s/hasura_configmap (read-only).
+
+## Гарантії поведінки
+
+- Read-only: не виконує операцій запису (ФС/БД).

package/rules/k8s/hasura_configmap/main.mjs

@@ -0,0 +1,35 @@
+/**
+ * lint-поверхня k8s/hasura_configmap: gated detector. Без власного `main.mjs` generic
+ * lint-surface (`hasHandWrittenMain` у `scripts/lib/lint-surface/detect.mjs`) промотує
+ * будь-який concern із резолвним `policy.files.walkGlob` у **ungated** standalone detector —
+ * rego `hasura_configmap.rego` прогнав би тоді напряму на всі `configmap.yaml` під k8s,
+ * без перевірки, чи є поруч Hasura Deployment (false positive на звичайних CronJob/Job
+ * ConfigMap, issue: efes-cloud/backend). Cross-file JS-гейт (`findDeploymentDocInDir` +
+ * `isHasuraDeploymentManifest`) і сам виклик rego живуть у `k8s/manifests/main.mjs`
+ * (`validateHasuraConfigMapRemoteSchemaPermissions`, export) — тут лише тонка обгортка.
+ */
+import { createViolationReporter } from '../../../scripts/lib/lint-surface/violation-reporter.mjs'
+import { loadCursorIgnorePaths } from '../../../scripts/lib/load-cursor-config.mjs'
+import { findK8sYamlFiles, validateHasuraConfigMapRemoteSchemaPermissions } from '../manifests/main.mjs'
+
+/**
+ * Detector k8s/hasura_configmap (read-only).
+ * @param {import('../../../scripts/lib/lint-surface/types.mjs').LintContext} ctx контекст лінту.
+ * @returns {Promise<import('../../../scripts/lib/lint-surface/types.mjs').LintResult>} результат із порушеннями
+ */
+export async function lint(ctx) {
+  const reporter = createViolationReporter(ctx)
+  const { pass, fail } = reporter
+  const root = ctx.cwd
+
+  const ignorePaths = await loadCursorIgnorePaths(root)
+  const yamlFiles = await findK8sYamlFiles(root, ignorePaths)
+  if (yamlFiles.length === 0) {
+    pass('Немає *.yaml під k8s — перевірку hasura_configmap пропущено')
+    return reporter.result()
+  }
+
+  await validateHasuraConfigMapRemoteSchemaPermissions(root, yamlFiles, fail, pass)
+
+  return reporter.result()
+}

package/rules/k8s/hasura_httproute/docs/index.md

@@ -0,0 +1,9 @@
+---
+type: Directory Index
+title: npm/rules/k8s/hasura_httproute
+resource: npm/rules/k8s/hasura_httproute/
+---
+
+| Файл                | Тип       |
+| ------------------- | --------- |
+| [main.mjs](main.md) | JS Module |

package/rules/k8s/hasura_httproute/docs/main.md

@@ -0,0 +1,32 @@
+---
+type: JS Module
+title: main.mjs
+resource: npm/rules/k8s/hasura_httproute/main.mjs
+docgen:
+  crc: 2f28a731
+  model: openai-codex/gpt-5.4-mini
+  score: 90
+  issues: internal-name:validateHasuraHttpRouteCanon,judge:inaccurate:0.98
+  judgeModel: openai-codex/gpt-5.4-mini
+---
+
+## Огляд
+
+Read-only `lint`-обгортка для Kubernetes YAML у `k8s`, яка не має власного `main.mjs` і тому через `hasHandWrittenMain` у `scripts/lib/lint-surface/detect.mjs` не повинна промотуватися в ungated standalone detector. Її роль — делегувати перевірку в `k8s/manifests/main.mjs` через `validateHasuraHttpRouteCanon`, де `collectHasuraDeploymentsAndHttpRoutes` зв’язує `hasura_httproute.rego` лише з HTTPRoute, що має поруч Hasura Deployment з тим самим `metadata.name`. Це запобігає запуску `hasura_httproute.rego` напряму на всі `hr.yaml` під `k8s` і прибирає false positive на HTTPRoute без Hasura.
+
+## Поведінка
+
+1. `lint` збирає стан перевірки для поточного робочого каталогу й працює лише на читання.
+2. `lint` знаходить Kubernetes YAML у межах `k8s` з урахуванням ignore-шляхів з `.cursor`.
+3. Якщо під `k8s` немає YAML-файлів, `lint` фіксує пропуск і завершує роботу без помилки.
+4. Якщо YAML-файли є, `lint` запускає перевірку `hasura_httproute` тільки на цьому наборі файлів.
+5. Перевірка навмисно gated: вона не повинна перетворюватися на ungated standalone detector для всіх `hr.yaml` під `k8s`, бо тоді з’являлися б false positive для HTTPRoute без відповідного Hasura Deployment з тим самим `metadata.name`.
+6. `lint` повертає підсумок із зафіксованими порушеннями або повідомленням про пропуск, не змінюючи файлову систему чи бази даних.
+
+## Публічний API
+
+- lint — Detector k8s/hasura_httproute (read-only).
+
+## Гарантії поведінки
+
+- Read-only: не виконує операцій запису (ФС/БД).

package/rules/k8s/hasura_httproute/main.mjs

@@ -0,0 +1,35 @@
+/**
+ * lint-поверхня k8s/hasura_httproute: gated detector. Без власного `main.mjs` generic
+ * lint-surface (`hasHandWrittenMain` у `scripts/lib/lint-surface/detect.mjs`) промотує
+ * будь-який concern із резолвним `policy.files.walkGlob` у **ungated** standalone detector —
+ * rego `hasura_httproute.rego` прогнав би тоді напряму на всі `hr.yaml` під k8s, без перевірки,
+ * чи є поруч Hasura Deployment з тим самим `metadata.name` (false positive на HTTPRoute без
+ * Hasura, issue: efes-cloud/backend). Cross-file JS-гейт (`collectHasuraDeploymentsAndHttpRoutes`)
+ * і сам виклик rego живуть у `k8s/manifests/main.mjs` (`validateHasuraHttpRouteCanon`, export) —
+ * тут лише тонка обгортка.
+ */
+import { createViolationReporter } from '../../../scripts/lib/lint-surface/violation-reporter.mjs'
+import { loadCursorIgnorePaths } from '../../../scripts/lib/load-cursor-config.mjs'
+import { findK8sYamlFiles, validateHasuraHttpRouteCanon } from '../manifests/main.mjs'
+
+/**
+ * Detector k8s/hasura_httproute (read-only).
+ * @param {import('../../../scripts/lib/lint-surface/types.mjs').LintContext} ctx контекст лінту.
+ * @returns {Promise<import('../../../scripts/lib/lint-surface/types.mjs').LintResult>} результат із порушеннями
+ */
+export async function lint(ctx) {
+  const reporter = createViolationReporter(ctx)
+  const { pass, fail } = reporter
+  const root = ctx.cwd
+
+  const ignorePaths = await loadCursorIgnorePaths(root)
+  const yamlFiles = await findK8sYamlFiles(root, ignorePaths)
+  if (yamlFiles.length === 0) {
+    pass('Немає *.yaml під k8s — перевірку hasura_httproute пропущено')
+    return reporter.result()
+  }
+
+  await validateHasuraHttpRouteCanon(root, yamlFiles, fail)
+
+  return reporter.result()
+}

package/rules/k8s/kubeconform/kubeconform.mdc

@@ -36,3 +36,11 @@
 **Увага:** готовий snippet-файл цього прикладу (`js/templates/kubescape_exceptions/.kubescape-exceptions.json.snippet.json` до `da05f89d`) під час "combine concern" **не був перенесений** у жоден поточний concern-каталог і в репозиторії відсутній — знайти оригінал не вдалося; за потреби відтвори JSON вручну за прикладом вище.
 
 Виключай контрольно, а не глобально (не додавай винятки без `attributes.name`/`labels`).
+
+## Auto-generated виняток C-0056/C-0018 для Job/CronJob
+
+Controls **C-0056**/**C-0018** (liveness/readiness probe) структурно незастосовні до **`kind: Job`**/**`kind: CronJob`** — под виконується один раз і завершується, on-going readiness/liveness нема чим міряти. Без винятку kubescape (поріг `--severity-threshold high`) падає fatal на першому ж такому ресурсі й зупиняє скан усього дерева `k8s` (issue: efes-cloud/backend, 261 ресурс, жоден job не стартує Hasura server-side).
+
+Лінт **сам** генерує по одному exception-запису на **кожен реальний** Job/CronJob-ресурс (з `attributes.kind`+`attributes.name`, за наявності — `attributes.namespace`) для scan-таргету, що його якраз сканує kubescape (`autoJobCronJobProbeExceptions` у `npm/rules/k8s/manifests/main.mjs`, виклик з `runKubescapeManifest`/`scanRawK8sDir`). Це **не** kind-only виняток — кожен запис прив'язаний до конкретного ресурсу, тому відповідає конвенції "виключай контрольно, а не глобально" вище, і не вимагає ручної підтримки: нові CronJob покриваються автоматично при наступному скані.
+
+Auto-generated записи **мержаться** з `.kubescape-exceptions.json` користувача (якщо файл є) в один tmp-файл, переданий через `--exceptions`; committed-файл користувача лишається джерелом істини для власних, ручних винятків (напр. C-0012 вище) — цей механізм його не замінює і не редагує. Deployment/StatefulSet/DaemonSet-ресурси винятку **не** отримують — C-0056/C-0018 там і надалі fail-closed.

package/rules/k8s/manifests/main.mjs

@@ -1589,7 +1589,7 @@ export function baseKustomizationNamespaceViolation(obj) {
  * @param {string[]} [ignorePaths] шляхи каталогів, повністю виключених з обходу
  * @returns {Promise<string[]>} відсортовані абсолютні шляхи до файлів
  */
-async function findK8sYamlFiles(root, ignorePaths = []) {
+export async function findK8sYamlFiles(root, ignorePaths = []) {
   /**
   @type {string[]}
    */
@@ -3184,7 +3184,7 @@ function recordHasuraDeploymentName(rec, dir, hasuraByDir) {
  * @param {(msg: string, opts?: string | { reason?: string, file?: string, data?: object }) => void} fail callback реєстрації помилки
  * @returns {Promise<void>} результат
  */
-async function validateHasuraHttpRouteCanon(root, yamlFiles, fail) {
+export async function validateHasuraHttpRouteCanon(root, yamlFiles, fail) {
   const { hasuraByDir, httpRoutes } = await collectHasuraDeploymentsAndHttpRoutes(yamlFiles)
   if (hasuraByDir.size === 0 || httpRoutes.length === 0) return
 
@@ -3610,7 +3610,7 @@ async function validateConfigMapNameMatchesDeployment(root, yamlFilesAbs, fail,
  * @param {(msg: string) => void} fail callback при помилці
  * @param {(msg: string) => void} passFn callback при успіху
  */
-async function validateHasuraConfigMapRemoteSchemaPermissions(root, yamlFilesAbs, fail, passFn) {
+export async function validateHasuraConfigMapRemoteSchemaPermissions(root, yamlFilesAbs, fail, passFn) {
   const cmFiles = yamlFilesAbs.filter(abs => {
     const rel = relative(root, abs).replaceAll('\\', '/')
     return CONFIGMAP_BASE_PATH_RE.test(`/${rel}`) || rel === 'k8s/base/configmap.yaml'
@@ -6553,9 +6553,15 @@ export async function regenerateLegacyNetworkPolicyDocsInFile(npAbs, fail) {
 /**
  * Plan B (rego-authoritative): на початку `check()` батч-викликаємо path-фільтровані
  * rego-пакети з `npm/policy/k8s/` через `runConftestBatch`. Пакети hasura_configmap і
- * hasura_httproute мають cross-file gating (паруються з Hasura-Deployment) — вони запускаються
- * з відповідних orchestrator-функцій (`validateHasuraConfigMapRemoteSchemaPermissions`,
- * `validateHasuraHttpRouteCanon`). Структурна частина HPA/PDB (`k8s.hpa_pdb`) тут на всіх yaml,
+ * hasura_httproute мають cross-file gating (паруються з Hasura-Deployment) — цей JS-гейт
+ * (`validateHasuraConfigMapRemoteSchemaPermissions`, `validateHasuraHttpRouteCanon`, обидві
+ * export) викликається з **власного** `main.mjs` кожного з цих двох концернів
+ * (`k8s/hasura_configmap/main.mjs`, `k8s/hasura_httproute/main.mjs`) — не звідси. Це навмисно:
+ * без власного `main.mjs` generic lint-surface (`hasHandWrittenMain` у
+ * `scripts/lib/lint-surface/detect.mjs`) промотує concern із самостійним `policy.files.walkGlob`
+ * у **ungated** detector, що прогонить rego напряму на всі файли-збіги glob — саме так виникали
+ * false positive на ConfigMap/HTTPRoute без сусіднього Hasura Deployment (issue: efes-cloud/backend).
+ * Структурна частина HPA/PDB (`k8s.hpa_pdb`) тут на всіх yaml,
  * env-залежні межі min/maxReplicas і expected-name — JS-cross-file у `validateDeploymentHpaPdbAndTopology`.
  * @param {string} root корінь репозиторію (cwd)
  * @param {string[]} yamlFiles абсолютні шляхи знайдених *.yaml під `…/k8s/`
@@ -6716,7 +6722,8 @@ export async function lint(ctx) {
 
   await validateSvcYamlAndSvcHlPairs(root, yamlFiles, fail)
 
-  await validateHasuraHttpRouteCanon(root, yamlFiles, fail)
+  // validateHasuraHttpRouteCanon — переїхав у власний main.mjs концерну k8s/hasura_httproute
+  // (gated detector, див. коментар над runAllK8sRego вище).
 
   await validateKustomizationIncludesSvcHlWithSvc(root, yamlFiles, fail)
 
@@ -6728,7 +6735,8 @@ export async function lint(ctx) {
 
   await validateConfigMapNameMatchesDeployment(root, yamlFiles, fail, pass)
 
-  await validateHasuraConfigMapRemoteSchemaPermissions(root, yamlFiles, fail, pass)
+  // validateHasuraConfigMapRemoteSchemaPermissions — переїхав у власний main.mjs концерну
+  // k8s/hasura_configmap (gated detector, див. коментар над runAllK8sRego вище).
 
   await validateDeploymentHpaPdbAndTopology(root, yamlFiles, fail, pass)
 
@@ -6826,13 +6834,118 @@ export async function runKubeconform(dirs, verbose = false) {
 }
 
 /**
- * Будує CLI-аргументи `--exceptions`, якщо в корені є `.kubescape-exceptions.json`.
+ * `kind`, для яких kubescape-контроли C-0056/C-0018 (liveness/readiness probe) структурно
+ * незастосовні — под Job/CronJob виконується один раз і завершується, on-going readiness/liveness
+ * нема чим міряти (k8s.mdc).
+ * @type {Set<string>}
+ */
+const KUBESCAPE_PROBE_EXEMPT_KINDS = new Set(['Job', 'CronJob'])
+
+/**
+ * Auto-generated kubescape `postureExceptionPolicy`-записи для C-0056/C-0018 — по одному на
+ * кожен реальний Job/CronJob-ресурс з непорожнім `metadata.name`, знайдений у `yamlText`.
+ * Навмисно **не** kind-only (без `name`) — house-конвенція "виключай контрольно, а не глобально"
+ * (`k8s/kubeconform/kubeconform.mdc`): kind-only виняток замовчав би C-0056/C-0018 і на
+ * Deployment-подібних ресурсах, для яких ці controls реально застосовні.
+ * @param {string} yamlText вміст одного або декількох YAML-документів (kubescape scan target)
+ * @returns {object[]} масив exception-записів (може бути порожній)
+ */
+export function autoJobCronJobProbeExceptions(yamlText) {
+  const docs = tryParseAllYamlDocs(yamlText)
+  if (docs === undefined) return []
+  const out = []
+  for (const doc of docs) {
+    if (doc.errors.length !== 0) continue
+    const rec = asPlainRecord(doc.toJSON())
+    if (rec === null || typeof rec.kind !== 'string' || !KUBESCAPE_PROBE_EXEMPT_KINDS.has(rec.kind)) continue
+    const meta = asPlainRecord(rec.metadata)
+    const name = meta === null ? undefined : meta.name
+    if (typeof name !== 'string' || name === '') continue
+    const namespace = meta === null ? undefined : meta.namespace
+    const hasNamespace = typeof namespace === 'string' && namespace !== ''
+    const attributes = hasNamespace ? { kind: rec.kind, name, namespace } : { kind: rec.kind, name }
+    out.push({
+      name: `auto-${rec.kind.toLowerCase()}-${hasNamespace ? namespace : 'default'}-${name}-probes`,
+      policyType: 'postureExceptionPolicy',
+      actions: ['alertOnly'],
+      resources: [{ designatorType: 'Attributes', attributes }],
+      posturePolicies: [{ controlID: 'C-0056' }, { controlID: 'C-0018' }]
+    })
+  }
+  return out
+}
+
+/**
+ * Читає та конкатенує вміст усіх `*.yaml`/`*.yml` під каталогом — для похідних auto-exceptions
+ * (треба геть увесь вміст `dir`, що його рекурсивно сканує `kubescape scan <dir>`, а не лише
+ * basename-фільтровані файли k8s.mdc-обходу).
+ * @param {string} dir абсолютний шлях каталогу
+ * @returns {Promise<string>} конкатенований YAML-текст (документи розділені `---`)
+ */
+async function readAllYamlTextUnderDir(dir) {
+  const files = []
+  await walkDir(dir, p => {
+    if (YAML_EXTENSION_RE.test(p)) files.push(p)
+  })
+  const parts = []
+  for (const f of files) {
+    const raw = await tryReadFileUtf8(f)
+    if (raw !== undefined) parts.push(raw)
+  }
+  return parts.join('\n---\n')
+}
+
+/**
+ * Безпечно парсить user-файл `.kubescape-exceptions.json` як масив exception-записів.
+ * @param {string} exceptionsPath абсолютний шлях до файлу
+ * @returns {object[]} масив (порожній при помилці читання/парсингу або якщо це не масив)
+ */
+function readUserKubescapeExceptions(exceptionsPath) {
+  try {
+    const parsed = JSON.parse(readFileSync(exceptionsPath, 'utf8'))
+    return Array.isArray(parsed) ? parsed : []
+  } catch {
+    console.error(
+      `${exceptionsPath}: не вдалося розпарсити як JSON-масив — auto-generated винятки Job/CronJob застосовано без нього`
+    )
+    return []
+  }
+}
+
+/**
+ * Будує CLI-аргументи `--exceptions`. Без `autoExceptions` — сумісна поведінка: пряме
+ * посилання на `.kubescape-exceptions.json` у корені (якщо є), інакше `[]`. З непорожнім
+ * `autoExceptions` — мержить його з user-файлом (якщо є) у tmp-файл; виклик відповідає за
+ * cleanup через `cleanupKubescapeExceptionsArgs`.
  * @param {string} root корінь репозиторію.
- * @returns {string[]} масив аргументів (порожній, якщо файла винятків немає).
+ * @param {object[]} [autoExceptions] auto-generated exception-записи для мержу з user-файлом.
+ * @returns {string[]} масив аргументів (порожній, якщо винятків немає взагалі).
  */
-export function buildKubescapeExceptionsArgs(root) {
+export function buildKubescapeExceptionsArgs(root, autoExceptions = []) {
   const exceptionsPath = join(root, KUBESCAPE_EXCEPTIONS_FILE)
-  return existsSync(exceptionsPath) ? ['--exceptions', exceptionsPath] : []
+  const userFileExists = existsSync(exceptionsPath)
+  if (autoExceptions.length === 0) {
+    return userFileExists ? ['--exceptions', exceptionsPath] : []
+  }
+  const userExceptions = userFileExists ? readUserKubescapeExceptions(exceptionsPath) : []
+  const merged = [...userExceptions, ...autoExceptions]
+  const dir = mkdtempSync(join(tmpdir(), 'nitra-cursor-k8s-exceptions-'))
+  const tmpFile = join(dir, 'kubescape-exceptions.json')
+  writeFileSync(tmpFile, JSON.stringify(merged))
+  return ['--exceptions', tmpFile]
+}
+
+/**
+ * Прибирає tmp-файл винятків, згенерований `buildKubescapeExceptionsArgs` (якщо це не пряме
+ * посилання на committed `.kubescape-exceptions.json` користувача — той не чіпаємо).
+ * @param {string[]} exceptionsArgs результат `buildKubescapeExceptionsArgs`.
+ * @param {string} root корінь репозиторію.
+ * @returns {void} результат
+ */
+function cleanupKubescapeExceptionsArgs(exceptionsArgs, root) {
+  const p = exceptionsArgs[1]
+  if (p === undefined || p === join(root, KUBESCAPE_EXCEPTIONS_FILE)) return
+  rmSync(dirname(p), { recursive: true, force: true })
 }
 
 /**
@@ -6884,16 +6997,20 @@ async function runKustomizeBuild(kubectlPath, dir, verbose = false) {
 }
 
 /**
- * Сканує один зібраний маніфест через `kubescape scan` (пише у tmp-файл, чистить його).
+ * Сканує один зібраний маніфест через `kubescape scan` (пише у tmp-файл, чистить його). Auto-
+ * generated виняток C-0056/C-0018 для Job/CronJob-ресурсів у `manifest` (див.
+ * `autoJobCronJobProbeExceptions`) мержиться з user-файлом `.kubescape-exceptions.json` (якщо є).
  * @param {string} kubescapePath шлях до бінарника kubescape.
  * @param {string|Buffer} manifest вміст маніфеста для сканування.
- * @param {string[]} exceptionsArgs додаткові CLI-аргументи (`--exceptions ...`).
+ * @param {string} root корінь репозиторію (для user-файла винятків).
  * @param {boolean} [verbose] показати повний нативний вивід kubescape (`stdio: 'inherit'`).
  * @returns {Promise<{ status: number, enoent: boolean }>} exit-код і прапорець відсутнього тула.
  */
-async function runKubescapeManifest(kubescapePath, manifest, exceptionsArgs, verbose = false) {
+async function runKubescapeManifest(kubescapePath, manifest, root, verbose = false) {
   const dir = mkdtempSync(join(tmpdir(), 'nitra-cursor-k8s-'))
   const file = join(dir, 'manifest.yaml')
+  const exceptionsArgs = buildKubescapeExceptionsArgs(root, autoJobCronJobProbeExceptions(String(manifest)))
+  if (verbose && exceptionsArgs.length > 0) console.log(`run-k8s: kubescape exceptions — ${exceptionsArgs[1]}`)
   try {
     writeFileSync(file, manifest)
     try {
@@ -6906,20 +7023,26 @@ async function runKubescapeManifest(kubescapePath, manifest, exceptionsArgs, ver
       return { status: 1, enoent }
     }
   } finally {
+    cleanupKubescapeExceptionsArgs(exceptionsArgs, root)
     rmSync(dir, { recursive: true, force: true })
   }
 }
 
 /**
- * Сканує сирий k8s-каталог (без kustomization) через `kubescape scan <dir>`.
+ * Сканує сирий k8s-каталог (без kustomization) через `kubescape scan <dir>`. Auto-generated
+ * виняток C-0056/C-0018 для Job/CronJob-ресурсів під `dir` мержиться з user-файлом
+ * `.kubescape-exceptions.json` (якщо є).
  * @param {string} kubescapePath шлях до бінарника kubescape.
  * @param {string} dir каталог для сканування.
- * @param {string[]} exceptionsArgs додаткові CLI-аргументи (`--exceptions ...`).
+ * @param {string} root корінь репозиторію (для user-файла винятків).
  * @param {boolean} [verbose] показати повний нативний вивід kubescape (`stdio: 'inherit'`) і хід сканування.
  * @returns {Promise<number>} exit-код (127 якщо тул відсутній).
  */
-async function scanRawK8sDir(kubescapePath, dir, exceptionsArgs, verbose = false) {
+async function scanRawK8sDir(kubescapePath, dir, root, verbose = false) {
   if (verbose) console.log(`run-k8s: kubescape scan ${dir} (без kustomization — сирий dir-скан)`)
+  const yamlText = await readAllYamlTextUnderDir(dir)
+  const exceptionsArgs = buildKubescapeExceptionsArgs(root, autoJobCronJobProbeExceptions(yamlText))
+  if (verbose && exceptionsArgs.length > 0) console.log(`run-k8s: kubescape exceptions — ${exceptionsArgs[1]}`)
   try {
     const r = await spawnAsync(kubescapePath, ['scan', dir, '--severity-threshold', 'high', ...exceptionsArgs], {
       stdio: verbose ? 'inherit' : 'pipe'
@@ -6931,6 +7054,8 @@ async function scanRawK8sDir(kubescapePath, dir, exceptionsArgs, verbose = false
       return 127
     }
     return 1
+  } finally {
+    cleanupKubescapeExceptionsArgs(exceptionsArgs, root)
   }
 }
 
@@ -6939,16 +7064,16 @@ async function scanRawK8sDir(kubescapePath, dir, exceptionsArgs, verbose = false
  * @param {string} kubectlPath шлях до бінарника kubectl.
  * @param {string} kubescapePath шлях до бінарника kubescape.
  * @param {string[]} kdirs каталоги з kustomization.
- * @param {string[]} exceptionsArgs додаткові CLI-аргументи (`--exceptions ...`).
+ * @param {string} root корінь репозиторію (для user-файла винятків).
  * @param {boolean} [verbose] показати повний нативний вивід kubectl/kubescape і хід сканування.
  * @returns {Promise<number>} 0 якщо всі чисті, інакше перший ненульовий exit-код (127 — тул відсутній).
  */
-async function scanKustomizeK8sDirs(kubectlPath, kubescapePath, kdirs, exceptionsArgs, verbose = false) {
+async function scanKustomizeK8sDirs(kubectlPath, kubescapePath, kdirs, root, verbose = false) {
   for (const kdir of kdirs) {
     if (verbose) console.log(`run-k8s: kubectl kustomize ${kdir} | kubescape scan <tmp>`)
     const build = await runKustomizeBuild(kubectlPath, kdir, verbose)
     if (build.status !== 0) return build.status
-    const ks = await runKubescapeManifest(kubescapePath, build.stdout, exceptionsArgs, verbose)
+    const ks = await runKubescapeManifest(kubescapePath, build.stdout, root, verbose)
     if (ks.enoent) {
       console.error(KUBESCAPE_MISSING_HINT)
       return 127
@@ -6960,20 +7085,20 @@ async function scanKustomizeK8sDirs(kubectlPath, kubescapePath, kdirs, exception
 
 /**
  * Оркеструє kubescape-скан по k8s-коренях: kustomize-каталоги збираються, решта — сирий скан.
+ * Виняток C-0056/C-0018 для Job/CronJob — auto-generated з реального контенту кожного скан-таргету
+ * (не один спільний файл на весь репо), див. `runKubescapeManifest`/`scanRawK8sDir`.
  * @param {string[]} dirs абсолютні шляхи k8s-коренів.
- * @param {string} root корінь репозиторію (для файла винятків).
+ * @param {string} root корінь репозиторію (для user-файла винятків).
  * @param {boolean} [verbose] показати повний нативний вивід kubectl/kubescape (`stdio: 'inherit'`) і хід сканування.
  * @returns {Promise<number>} 0 якщо все чисто, інакше перший ненульовий exit-код (127 — тул відсутній).
  */
 async function runKubescape(dirs, root, verbose = false) {
-  const exceptionsArgs = buildKubescapeExceptionsArgs(root)
-  if (verbose && exceptionsArgs.length > 0) console.log(`run-k8s: kubescape exceptions — ${KUBESCAPE_EXCEPTIONS_FILE}`)
   const kubescapePath = ensureTool('kubescape')
   let kubectlPath = null
   for (const d of dirs) {
     const kdirs = await findKustomizationDirs(d)
     if (kdirs.length === 0) {
-      const rawStatus = await scanRawK8sDir(kubescapePath, d, exceptionsArgs, verbose)
+      const rawStatus = await scanRawK8sDir(kubescapePath, d, root, verbose)
       if (rawStatus !== 0) return rawStatus
       continue
     }
@@ -6984,7 +7109,7 @@ async function runKubescape(dirs, root, verbose = false) {
         return 127
       }
     }
-    const buildStatus = await scanKustomizeK8sDirs(kubectlPath, kubescapePath, kdirs, exceptionsArgs, verbose)
+    const buildStatus = await scanKustomizeK8sDirs(kubectlPath, kubescapePath, kdirs, root, verbose)
     if (buildStatus !== 0) return buildStatus
   }
   return 0

package/rules/tauri/core_test_isolation/core_test_isolation.mdc

@@ -15,23 +15,37 @@ rebuild (лінковка, bundling, іноді webview) замість секу
 
 ```
 my-tauri-app/
-├── src-tauri/           ← app-shell: Tauri runtime, window/AppHandle, НЕ містить LLM-залежностей
-│   └── Cargo.toml       ← [workspace] members = [".", "../agent-core"]
-└── agent-core/          ← agent/LLM-логіка: prompt building, tool dispatch, provider abstraction
-    ├── Cargo.toml       ← без залежності на tauri
+├── Cargo.toml            ← workspace root (virtual, без [package]): [workspace] members = ["src-tauri", "agent-core"]
+├── src-tauri/            ← app-shell: Tauri runtime, window/AppHandle, НЕ містить LLM-залежностей
+│   └── Cargo.toml        ← [package], без [workspace] — сам по собі НЕ workspace root
+└── agent-core/           ← agent/LLM-логіка: prompt building, tool dispatch, provider abstraction
+    ├── Cargo.toml        ← без залежності на tauri
     └── tests/
         └── fake_provider.rs   ← FakeLlmProvider / MockLlmClient — без мережі
 ```
 
+`[workspace] members = [".", "../agent-core"]` **всередині** `src-tauri/Cargo.toml` — невалідний
+Cargo layout: `../agent-core` лежить поза деревом workspace root (`src-tauri/`), і Cargo відмовляє
+з `workspace member '.../agent-core/Cargo.toml' is not hierarchically below the workspace root`.
+Тому `[workspace]` живе у product-root `Cargo.toml`, що лежить НАД обома крейтами (канон
+`rust/workspace_root.mdc` — один кореневий Cargo workspace на репозиторій).
+
+**Наслідок:** `target/` компілюється у корінь цього workspace (`my-tauri-app/target/`), а не в
+`src-tauri/target/` — це впливає на очікуваний запис у `.gitignore` (`tauri/gitignore_target`) і на
+шлях у `workspaces:`-полі `Swatinem/rust-cache` GitHub Action (action бере шлях буквально як
+`<path>/target`, тож там має стояти корінь цього workspace, не `src-tauri`).
+
 Концерн `tauri/core_test_isolation.mjs` (read-only detector, `structural`, авто-фікс ризикований)
 для кожного `src-tauri/Cargo.toml` перевіряє:
 
 1. **LLM-залежність не в app-shell.** Якщо сам `src-tauri/Cargo.toml` має залежність на відомий
    LLM SDK (напр. `async-openai`, `anthropic`, `ollama-rs`, `rig-core`, ...) — фейл: винеси
    agent-логіку в окремий crate.
-2. **Окремий crate не тягне tauri.** Якщо у `[workspace] members` є crate з LLM-залежністю, і
-   цей crate сам залежить від `tauri`/`tauri-*` — фейл: `cargo test -p` цього крейту все одно
-   перезбирає Tauri runtime.
+2. **Окремий crate не тягне tauri.** `[workspace] members` резолвиться або з самого
+   `src-tauri/Cargo.toml` (standalone-патерн), або — коли там `[workspace]` немає — з
+   найближчого предка-workspace root (product-root `Cargo.toml` над `src-tauri/`). Якщо серед
+   members є crate з LLM-залежністю, і цей crate сам залежить від `tauri`/`tauri-*` — фейл:
+   `cargo test -p` цього крейту все одно перезбирає Tauri runtime.
 3. **Є fake-провайдер.** Якщо такий crate є і не залежить від tauri, але ніде в його дереві
    (`**/*.rs`) немає маркера `Fake*Llm`/`Mock*Provider`/`Stub*Client` — фейл: інтеграційні тести
    на prompt/tool ітерації або мовчки пропускають LLM-логіку, або б'ють по реальному провайдеру.

package/rules/tauri/core_test_isolation/docs/main.md

@@ -3,7 +3,7 @@ type: JS Module
 title: main.mjs
 resource: npm/rules/tauri/core_test_isolation/main.mjs
 docgen:
-  crc: cfb870f5
+  crc: 2fe501fb
   model: omlx/gemma-4-e4b-it-OptiQ-4bit
   score: 100
   issues: best-of-2:retry-won,judge:inaccurate:0.98

package/rules/tauri/core_test_isolation/main.mjs

@@ -14,6 +14,7 @@ import { parse as parseToml } from 'smol-toml'
 
 import { scanGlob } from '../../../scripts/utils/glob-compat.mjs'
 import { createViolationReporter } from '../../../scripts/lib/lint-surface/violation-reporter.mjs'
+import { findAncestorWorkspaceRoot, resolveWorkspaceMemberDirs } from '../../../scripts/utils/cargo-workspace.mjs'
 import { getMonorepoPackageRootDirs } from '../../../scripts/lib/workspaces.mjs'
 
 /** Стабільні reasons для трьох типів порушення. */
@@ -55,29 +56,6 @@ async function findSrcTauriDirs(cwd) {
   return result
 }
 
-/**
- * Резолвить `[workspace] members` (шляхи й прості glob-патерни) відносно `src-tauri/`
- * у список абсолютних каталогів крейтів, що мають власний Cargo.toml.
- * @param {string} srcTauriDir абсолютний шлях до `src-tauri/`
- * @param {string[]} members патерни з `workspace.members`
- * @returns {Promise<string[]>} абсолютні шляхи членів воркспейсу (без дублікатів)
- */
-async function resolveWorkspaceMemberDirs(srcTauriDir, members) {
-  const found = new Set()
-  for (const pattern of members) {
-    if (pattern.includes('*')) {
-      for await (const rel of scanGlob(pattern, srcTauriDir)) {
-        const abs = resolve(srcTauriDir, rel)
-        if (existsSync(join(abs, 'Cargo.toml'))) found.add(abs)
-      }
-      continue
-    }
-    const abs = resolve(srcTauriDir, pattern)
-    if (existsSync(join(abs, 'Cargo.toml'))) found.add(abs)
-  }
-  return [...found]
-}
-
 /**
  * Рекурсивно шукає в дереві крейту рядок, що відповідає `FAKE_PROVIDER_RE`
  * (fake/mock/stub-реалізацію LLM-провайдера, зазвичай у `tests/` чи `src/`).
@@ -117,12 +95,19 @@ async function checkOneSrcTauri(srcTauriDir, cwd, reporter) {
     return
   }
 
-  const members = parsed?.workspace?.members
-  if (!Array.isArray(members) || members.length === 0) {
-    return
+  // `[workspace]` живе або у самому src-tauri/Cargo.toml (старий/standalone патерн), або —
+  // канонічно (rust/workspace_root.mdc) — у предку-workspace root над src-tauri/.
+  let workspaceRootDir = srcTauriDir
+  let members = Array.isArray(parsed?.workspace?.members) ? parsed.workspace.members : []
+  if (members.length === 0) {
+    const ancestor = await findAncestorWorkspaceRoot(srcTauriDir, cwd)
+    const ancestorMembers = ancestor?.parsed?.workspace?.members
+    if (!ancestor || !Array.isArray(ancestorMembers) || ancestorMembers.length === 0) return
+    workspaceRootDir = ancestor.rootDir
+    members = ancestorMembers
   }
 
-  const memberDirs = await resolveWorkspaceMemberDirs(srcTauriDir, members)
+  const memberDirs = await resolveWorkspaceMemberDirs(workspaceRootDir, members)
   const otherMemberDirs = memberDirs.filter(d => resolve(d) !== resolve(srcTauriDir))
 
   for (const memberDir of otherMemberDirs) {

package/rules/tauri/gitignore_target/docs/main.md

@@ -3,9 +3,8 @@ type: JS Module
 title: main.mjs
 resource: npm/rules/tauri/gitignore_target/main.mjs
 docgen:
-  crc: 83aa81ee
+  crc: c9fcfc58
   model: openai-codex/gpt-5.5
-  tier: cloud-avg
   score: 85
   issues: internal-name:findSrcTauriDirs,anchor-miss:(tauri.mdc),judge:inaccurate:0.98
   judgeModel: openai-codex/gpt-5.4-mini

package/rules/tauri/gitignore_target/gitignore_target.mdc

@@ -1,23 +1,42 @@
-## `.gitignore`: ignore build-артефактів `<ws>/src-tauri/target/`
+## `.gitignore`: ignore build-артефактів фактичного Cargo workspace root
 
-Кожен `<ws>/src-tauri/` (Rust-крейт Tauri) компілюється в `<ws>/src-tauri/target/` — build-артефакти Cargo (сотні MB, десятки тисяч файлів). Корінний `.gitignore` монорепо повинен містити точний ignore-запис для кожного такого воркспейсу:
+Кожен `<ws>/src-tauri/` (Rust-крейт Tauri) компілюється в `target/` свого фактичного
+Cargo workspace root — а не завжди в `<ws>/src-tauri/target/`. Якщо над `src-tauri/` є
+предок-workspace (канон `rust/workspace_root.mdc` — один кореневий Cargo workspace на
+репозиторій, наприклад `<ws>/Cargo.toml` чи кореневий `Cargo.toml` монорепо), Cargo кладе
+`target/` саме туди. Корінний `.gitignore` монорепо повинен містити точний ignore-запис
+для кожного такого крейту, обчислений від цього фактичного workspace root:
 
 ```gitignore
 # Tauri — Rust build artifacts (tauri.mdc)
-<ws>/src-tauri/target/
+<workspace-root>/target/
 ```
 
+де `<workspace-root>` — найближчий предок `src-tauri/` з `[workspace]`, чиї `members`
+покривають цей крейт (якщо це корінь монорепо — запис голий `target/`); якщо предка-workspace
+немає — крейт сам собі workspace root, і запис лишається `<ws>/src-tauri/target/`.
+
 ### Чому точний шлях, а не голий `target/`
 
-Реальний інцидент: у `nitra/task` корінний `.gitignore` мав `owner/target/` замість `owner/src-tauri/target/` — воркспейс скопійований з іншого проєкту без заміни шляху (typo). `target/` там ігнорувався не там, де компілятор його реально створює, тож ~600MB / ~28k файлів build-артефактів не потрапляли під жоден ignore-патерн і мало не потрапили в коміт через `git add -A`.
+Реальний прецедент: у `nitra/task` коміт `3cb0df3` помилково "виправив" коректний запис
+`owner/target/` назад на `owner/src-tauri/target/` — автор вважав це друкарською помилкою,
+не врахувавши, що `owner/Cargo.toml` є Cargo workspace root для `owner/src-tauri` і тому
+`target/` справді компілюється в `owner/target/`, а не в `owner/src-tauri/target/`. Коміт
+`ac3451e` це скасував. Тобто `<ws>/src-tauri/target/` — не універсальний дефолт, а лише
+окремий випадок (crate без workspace root над собою); перевірка мусить рахувати очікуваний
+шлях від реального workspace root, а не від фіксованого суфікса.
 
-Тому перевірка звіряє **точний рядок** `<ws>/src-tauri/target/` для кожного знайденого `src-tauri/`, а не факт наявності підрядка `target/` десь у файлі — голий `target/` (чи вже наявний, але помилковий `owner/target/`) не закриває violation.
+Тому перевірка звіряє **точний рядок** обчисленого запису для кожного знайденого `src-tauri/`,
+а не факт наявності підрядка `target/` десь у файлі — голий `target/` чи запис не того рівня
+не закривають violation. Сторонній/мертвий каталог `target/` на диску (за старим, вже
+невірним шляхом) також не задовольняє перевірку — вона звіряє лише вміст `.gitignore`.
 
 ### Область дії
 
 - Обхід усіх `<ws>/src-tauri/` — спільний з `tauri/cargo_mutants_config` (`findSrcTauriDirs`, без дублювання обходу монорепо).
+- Очікуваний шлях — `findAncestorWorkspaceRoot` (`scripts/utils/cargo-workspace.mjs`, спільно з `rust/workspace_root`).
 - Ціль фіксу — **один** корінний `.gitignore` монорепо (не по workspace).
-- Детектор лише **додає** відсутнє: сторонні/застарілі ignore-записи (на кшталт помилкового `owner/target/` з інциденту вище) не видаляються — вони можуть бути навмисними чи потребувати ручного review.
+- Детектор лише **додає** відсутнє: сторонні/застарілі ignore-записи не видаляються — вони можуть бути навмисними чи потребувати ручного review.
 
 ### Автофікс (T0)
 

package/rules/tauri/gitignore_target/main.mjs

@@ -2,15 +2,19 @@
  * @see ./docs/main.md
  *
  * Read-only detector: для кожного знайденого `<ws>/src-tauri/` у монорепо
- * корінний `.gitignore` повинен містити точний ignore-запис
- * `<ws>/src-tauri/target/` (tauri.mdc).
+ * корінний `.gitignore` повинен містити точний ignore-запис для build-артефактів
+ * — але шлях залежить від фактичного Cargo workspace root крейту, не від
+ * розташування самого `src-tauri/` (tauri.mdc).
  *
- * Реальний інцидент: у `nitra/task` `.gitignore` мав `owner/target/` замість
- * `owner/src-tauri/target/` (typo — воркспейс скопійований без заміни шляху),
- * тому build-артефакти (~600MB, ~28k файлів) не ігнорувались і мало не
- * потрапили в коміт через `git add -A`. Тому перевірка — точний match рядка
- * повного шляху, не пошук голого `target/` десь у файлі: голий `target/`
- * (чи `owner/target/`) дав би false negative саме на цьому кейсі.
+ * Крейт `src-tauri/` компілюється в `<workspace-root>/target/`, а не обов'язково
+ * в `<ws>/src-tauri/target/`: коли над `src-tauri/` є предок-workspace (канон
+ * `rust/workspace_root` — один кореневий Cargo workspace на репозиторій), Cargo
+ * кладе `target/` саме туди. Реальний прецедент: у `nitra/task` коміт `3cb0df3`
+ * помилково "виправив" коректний запис `owner/target/` назад на `owner/src-tauri/target/`
+ * (бо `owner/Cargo.toml` — workspace root для `owner/src-tauri`), що скасував наступний
+ * коміт `ac3451e`. Тому перевірка обчислює очікуваний шлях від реального workspace root,
+ * а не від фіксованого суфікса `src-tauri/target/`, і звіряє точний рядок — голий
+ * `target/` чи запис не-того рівня не рахуються присутністю потрібного запису.
  *
  * Обхід `<ws>/src-tauri/` — спільний з `tauri/cargo_mutants_config`
  * (`findSrcTauriDirs`), без дублювання.
@@ -20,6 +24,7 @@ import { readFile } from 'node:fs/promises'
 import { join, relative } from 'node:path'
 
 import { createViolationReporter } from '../../../scripts/lib/lint-surface/violation-reporter.mjs'
+import { findAncestorWorkspaceRoot } from '../../../scripts/utils/cargo-workspace.mjs'
 import { findSrcTauriDirs } from '../cargo_mutants_config/main.mjs'
 
 /** Стабільний reason: у корінному `.gitignore` бракує ignore-запису(ів) для `src-tauri/target/`. */
@@ -29,13 +34,22 @@ export const MISSING_GITIGNORE_TARGET_ENTRIES = 'missing-gitignore-target-entrie
 export const ROOT_GITIGNORE = '.gitignore'
 
 /**
- * Очікуваний ignore-запис для build-артефактів одного `<ws>/src-tauri/`.
+ * Очікуваний ignore-запис для build-артефактів одного `<ws>/src-tauri/`: шлях до
+ * `target/` фактичного Cargo workspace root цього крейту (найближчий предок з
+ * `[workspace]`, чиї `members` покривають `src-tauri/`), а не суфікс `src-tauri/target/`
+ * за замовчуванням. Якщо предка-workspace немає — крейт сам собі workspace root
+ * (standalone `src-tauri/Cargo.toml`), і `target/` лишається під `src-tauri/`.
  * @param {string} cwd корінь монорепо
  * @param {string} srcTauriDir абсолютний шлях до `src-tauri/`
- * @returns {string} очікуваний рядок у корінному `.gitignore` (`<ws>/src-tauri/target/`)
+ * @returns {Promise<string>} очікуваний рядок у корінному `.gitignore`
  */
-export function expectedTargetEntry(cwd, srcTauriDir) {
-  return `${relative(cwd, srcTauriDir)}/target/`
+export async function expectedTargetEntry(cwd, srcTauriDir) {
+  const ancestor = await findAncestorWorkspaceRoot(srcTauriDir, cwd)
+  if (!ancestor) {
+    return `${relative(cwd, srcTauriDir)}/target/`
+  }
+  const relRoot = relative(cwd, ancestor.rootDir)
+  return relRoot === '' ? 'target/' : `${relRoot}/target/`
 }
 
 /**
@@ -62,7 +76,8 @@ export async function lint(ctx) {
   const srcTauriDirs = await findSrcTauriDirs(cwd)
   if (srcTauriDirs.length === 0) return reporter.result()
 
-  const expectedEntries = srcTauriDirs.map(dir => expectedTargetEntry(cwd, dir))
+  const expectedEntries = []
+  for (const dir of srcTauriDirs) expectedEntries.push(await expectedTargetEntry(cwd, dir))
   const abs = join(cwd, ROOT_GITIGNORE)
   const content = existsSync(abs) ? await readFile(abs, 'utf8') : ''
 

package/scripts/utils/cargo-workspace.mjs

@@ -0,0 +1,99 @@
+/**
+ * Спільні T0 (без spawn `cargo`) утиліти для роботи з Cargo workspace-структурою:
+ * читання Cargo.toml, резолв `[workspace].members`-glob-патернів у каталоги,
+ * пошук найближчого предка-workspace root для крейту. Спільно використовується
+ * `plugins/lang-rust/rules/rust/workspace_root` і `npm/rules/tauri/gitignore_target`.
+ */
+import { existsSync } from 'node:fs'
+import { readFile } from 'node:fs/promises'
+import { dirname, join, resolve } from 'node:path'
+
+import { parse as parseToml } from 'smol-toml'
+
+import { scanGlob } from './glob-compat.mjs'
+
+const TRAILING_SLASH_RE = /\/$/
+
+/**
+ * Розпарсений Cargo.toml або null (файл відсутній чи невалідний TOML).
+ * @param {string} absPath абсолютний шлях до Cargo.toml
+ * @returns {Promise<Record<string, unknown>|null>} розпарсений маніфест або null
+ */
+export async function readCargoManifest(absPath) {
+  if (!existsSync(absPath)) return null
+  try {
+    return parseToml(await readFile(absPath, 'utf8'))
+  } catch {
+    return null
+  }
+}
+
+/**
+ * Резолвить `[workspace].members`/`.exclude`-патерни (літеральні шляхи й прості
+ * glob з `*`) відносно `rootDir` у список абсолютних каталогів, що мають власний
+ * Cargo.toml. Без повної Cargo glob-семантики — лише `*`-сегменти й літерали.
+ * @param {string} rootDir корінь workspace (каталог з Cargo.toml, де живе `[workspace]`)
+ * @param {string[]} patterns патерни з `members`/`exclude`
+ * @returns {Promise<string[]>} абсолютні шляхи (без дублікатів)
+ */
+export async function resolveWorkspaceMemberDirs(rootDir, patterns) {
+  const found = new Set()
+  for (const pattern of patterns ?? []) {
+    const norm = pattern.replace(TRAILING_SLASH_RE, '')
+    if (norm.includes('*')) {
+      // Шаблон для `Cargo.toml` напряму (не для каталогів) — деякі раннери (Bun.Glob)
+      // за замовчуванням матчать лише файли, тож патерн на голий каталог даватиме 0 збігів.
+      for await (const relManifest of scanGlob(`${norm}/Cargo.toml`, rootDir)) {
+        found.add(resolve(rootDir, dirname(relManifest)))
+      }
+      continue
+    }
+    const abs = resolve(rootDir, norm)
+    if (existsSync(join(abs, 'Cargo.toml'))) found.add(abs)
+  }
+  return [...found]
+}
+
+/**
+ * Чи покриває `[workspace].members` (мінус `.exclude`) конкретний каталог-крейт.
+ * @param {string} rootDir корінь workspace
+ * @param {string} crateDirAbs абсолютний шлях крейту
+ * @param {string[]} members `workspace.members`
+ * @param {string[]} excludes `workspace.exclude`
+ * @returns {Promise<boolean>} true — крейт є членом workspace
+ */
+export async function isWorkspaceMemberDir(rootDir, crateDirAbs, members, excludes) {
+  const target = resolve(crateDirAbs)
+  const memberDirs = await resolveWorkspaceMemberDirs(rootDir, members)
+  if (memberDirs.every(d => resolve(d) !== target)) return false
+  if (!excludes || excludes.length === 0) return true
+  const excludedDirs = await resolveWorkspaceMemberDirs(rootDir, excludes)
+  return excludedDirs.every(d => resolve(d) !== target)
+}
+
+/**
+ * Йде від `dirname(crateDirAbs)` вгору по предках до `repoRootAbs` (включно),
+ * шукаючи найближчий Cargo.toml з `[workspace]`, чиї `members` (мінус `exclude`)
+ * покривають `crateDirAbs`. Не перевіряє сам `crateDirAbs` (виклик для нього — окремо).
+ * @param {string} crateDirAbs абсолютний шлях крейту (напр. `<repo>/owner/src-tauri`)
+ * @param {string} repoRootAbs абсолютний корінь репозиторію (межа обходу вгору)
+ * @returns {Promise<{rootDir: string, parsed: Record<string, unknown>}|null>} найближчий ancestor workspace root або null
+ */
+export async function findAncestorWorkspaceRoot(crateDirAbs, repoRootAbs) {
+  const stopAt = resolve(repoRootAbs)
+  let dir = dirname(resolve(crateDirAbs))
+  for (;;) {
+    const parsed = await readCargoManifest(join(dir, 'Cargo.toml'))
+    if (parsed?.workspace) {
+      const members = Array.isArray(parsed.workspace.members) ? parsed.workspace.members : []
+      const excludes = Array.isArray(parsed.workspace.exclude) ? parsed.workspace.exclude : []
+      if (await isWorkspaceMemberDir(dir, crateDirAbs, members, excludes)) {
+        return { rootDir: dir, parsed }
+      }
+    }
+    if (dir === stopAt) return null
+    const parent = dirname(dir)
+    if (parent === dir) return null
+    dir = parent
+  }
+}

package/scripts/utils/docs/cargo-workspace.md

@@ -0,0 +1,40 @@
+---
+type: JS Module
+title: cargo-workspace.mjs
+resource: npm/scripts/utils/cargo-workspace.mjs
+docgen:
+  crc: c852e1fe
+  model: openai-codex/gpt-5.4-mini
+  tier: cloud-min
+  score: 100
+  issues: judge:inaccurate:0.98
+  judgeModel: openai-codex/gpt-5.4-mini
+---
+
+## Огляд
+
+Спільні утиліти для читання `Cargo.toml`, розгортання `[workspace].members`-glob-патернів у каталоги та пошуку найближчого предка-workspace root для крейта. Публічні `readCargoManifest`, `resolveWorkspaceMemberDirs`, `isWorkspaceMemberDir`, `findAncestorWorkspaceRoot` працюють без запуску `cargo`, перехоплюють помилки й у частині випадків повертають порожнє значення замість винятку, щоб інші правила могли безпечно перевіряти належність каталогу до workspace або знаходити workspace root.
+
+## Поведінка
+
+- **readCargoManifest** — читає `Cargo.toml` і повертає розпарсений manifest, або `null`, якщо файл відсутній чи TOML невалідний.
+- **resolveWorkspaceMemberDirs** — перетворює workspace-патерни на список абсолютних каталогів із власним `Cargo.toml`, усуваючи дублікати.
+- **isWorkspaceMemberDir** — визначає, чи належить конкретний каталог до workspace з урахуванням `members` і `exclude`.
+- **findAncestorWorkspaceRoot** — шукає найближчий предок `Cargo.toml` з `[workspace]`, чий workspace покриває крейт; сам каталог крейту не перевіряє.
+
+## Публічний API
+
+- readCargoManifest — Розпарсений Cargo.toml або null (файл відсутній чи невалідний TOML).
+- resolveWorkspaceMemberDirs — Резолвить `[workspace].members`/`.exclude`-патерни (літеральні шляхи й прості
+glob з `*`) відносно `rootDir` у список абсолютних каталогів, що мають власний
+Cargo.toml. Без повної Cargo glob-семантики — лише `*`-сегменти й літерали.
+- isWorkspaceMemberDir — Чи покриває `[workspace].members` (мінус `.exclude`) конкретний каталог-крейт.
+- findAncestorWorkspaceRoot — Йде від `dirname(crateDirAbs)` вгору по предках до `repoRootAbs` (включно),
+шукаючи найближчий Cargo.toml з `[workspace]`, чиї `members` (мінус `exclude`)
+покривають `crateDirAbs`. Не перевіряє сам `crateDirAbs` (виклик для нього — окремо).
+
+## Гарантії поведінки
+
+- Read-only: не виконує операцій запису (ФС/БД).
+- Перехоплює помилки і не пропускає винятків назовні (fail-safe).
+- За певних помилок повертає порожнє значення (напр. `null`) замість винятку.

package/scripts/utils/docs/index.md

@@ -9,6 +9,7 @@ resource: npm/scripts/utils/
 | [apply-to-files.mjs](apply-to-files.md)                     | JS Module |
 | [ast-extract.mjs](ast-extract.md)                           | JS Module |
 | [ast-scan-utils.mjs](ast-scan-utils.md)                     | JS Module |
+| [cargo-workspace.mjs](cargo-workspace.md)                   | JS Module |
 | [ensure-gitignore-entries.mjs](ensure-gitignore-entries.md) | JS Module |
 | [find-package-json-paths.mjs](find-package-json-paths.md)   | JS Module |
 | [glob-compat.mjs](glob-compat.md)                           | JS Module |

package/skills/storybook/SKILL.md

@@ -0,0 +1,96 @@
+---
+name: n-storybook
+description: >-
+  Канон Storybook для Vue-компонентних бібліотек — прогін lint-поверхонь правила
+  storybook (scope/scaffold/vitest-config/hygiene) по поточному репо, і окремий
+  --adopt режим для пакетів із уже наявним ручним Storybook (діагностика diff
+  проти канону без сліпого перезапису)
+version: '1.0'
+---
+
+# n-storybook — канон Storybook для Vue-компонентних бібліотек
+
+Джерело рішення: `docs/adr/канон-storybook-для-vue-компонентних-бібліотек.md`. Уся логіка канону
+(скоуп, скафолд, vitest-конфіг, гігієна залежностей, adopt-діагностика) живе в правилі `storybook`
+пакета `@7n/rules-lang-js` (`node_modules/@7n/rules-lang-js/rules/storybook/`) — цей скіл лише
+тонка обгортка запуску, за зразком `doc-files`.
+
+## Передумови
+
+- Правило `storybook` увімкнене у `.n-rules.json` (`"storybook"` у `rules`) — інакше lint-поверхні
+  concern-ів не виконуються (правило `alwaysApply: false`, хвильовий rollout, ADR Decision Outcome).
+- Плагін `@7n/rules-lang-js` встановлений (JS/Vue-екосистема) — сигнал автодетекту: кореневий
+  `package.json`.
+
+## Звичайний запуск (rule увімкнене, без адопції)
+
+```bash
+npx @7n/rules lint storybook
+```
+
+Прогонить усі lint-поверхні правила (`scope`, `scaffold`, `vitest-config`, `hygiene`) по всьому
+репо. T0-autofix (`fixability: config` — детермінований, без LLM-ladder) відтворює канонічний
+скафолд ЛИШЕ для секцій, яких немає ВЗАЄМНО (`.storybook/main.js`, `preview.js`,
+`package.json#scripts.storybook`, `vitest.config`-projects, `vitest.stryker.config`) — з
+`template/` правила. Наявний-але-розбіжний файл (маркер канону відсутній) — `fixability: config`
+зупиняється після T0 без LLM-ladder (canon — одна правильна форма, вгадувати нема чого): звіт
+покаже violation, ручне чи agent-виправлення за посиланням на `storybook.mdc`/`vitest-config.mdc`.
+
+Звіт користувачу — стандартний вивід `n-rules lint`: список violations (якщо є) + підсумок
+виправлених T0-патернів.
+
+## `--adopt` — пакети з уже наявним ручним Storybook (ADR Кластер 8)
+
+Для пакетів, де `.storybook/` вже існує (ручне впровадження ДО канону чи паралельно з ним) —
+окремий діагностичний режим: diff по секціях проти канонічних `template/`
+(`main.js`/`preview.js`/`mocks/gql-sse.js`/`package.json#scripts.storybook`/vitest
+`test.projects`/`vitest.stryker.config`), **без сліпого перезапису** розбіжних файлів.
+Автофікс (`--fix-missing`) генерує ЛИШЕ секції, яких немає ВЗАГАЛІ — розбіжні секції завжди
+йдуть як інструкція для агента/людини, ніколи не переписуються автоматично.
+
+```bash
+# Діагностика всіх пакетів у скоупі (без запису)
+bun node_modules/@7n/rules-lang-js/rules/storybook/adopt/main.mjs
+
+# + генерація повністю відсутніх секцій (main.js/preview.js/mocks/scripts/vitest-конфіги
+# лишаються недоторканими, якщо вже існують хоч у якомусь вигляді)
+bun node_modules/@7n/rules-lang-js/rules/storybook/adopt/main.mjs --fix-missing
+
+# Звузити діагностику до конкретних пакетів (root dir, той самий формат що storybook.optOut)
+bun node_modules/@7n/rules-lang-js/rules/storybook/adopt/main.mjs --fix-missing packages/ui packages/legacy-ui
+```
+
+Прогін через прямий виклик скрипта плагіна (`node_modules/@7n/rules-lang-js/...`) — CLI-плюмбінг
+окремого прапорця `--adopt` у ядро `n-rules.js` для однієї команди одного правила визнано
+надлишковим (нема інших concern-ів з подібним diagnostic-only режимом; якщо з'явиться другий
+кандидат — тоді вартий узагальнення на рівні ядра).
+
+### Формат звіту
+
+Для кожного пакета — статус (`canonical` / `missing-files` / `differs` / `broken`) і розклад
+по секціях (`match` / `differ` / `missing`, з поясненням для `differ`). При `--fix-missing` —
+перелік згенерованих файлів. Приклад одного пакета:
+
+```text
+⚠️  [packages/legacy-ui] differs
+  ✗ main.js (packages/legacy-ui/.storybook/main.js): differ — бракує: viteFinal-override vite.config пакета
+  + preview.js (packages/legacy-ui/.storybook/preview.js): missing
+  ✗ package.json#scripts.storybook (packages/legacy-ui/package.json): differ — зараз 'storybook dev', канон '...'
+```
+
+Прочитай звіт користувачу: скільки пакетів канонічні, скільки мають лише прогалини (безпечно
+`--fix-missing`), скільки мають розбіжності (потребують ручного рішення — мігрувати секцію на
+канон чи свідомо лишити виняток), скільки зламані (circuit breaker нижче).
+
+## Circuit breaker (ADR)
+
+Якщо діагностика чи фікс одного пакета кидає виняток (пошкоджений файл, directory замість файлу
+тощо) — цей пакет позначається `status: 'broken'` з текстом помилки, а решта пакетів прогону
+обробляються далі. Один зламаний пакет ніколи не валить увесь `--adopt`-прогін.
+
+## Rollout-порядок (ADR Кластер 8)
+
+Пілот на одному репо перед глобальним увімкненням правила; серед пакетів одного репо — малі
+спершу (менше `.vue`-файлів → менший blast radius одного скафолд-фейлу). Це організаційна
+рекомендація для агента/людини, що вмикає правило — скіл сам не має списку "усіх репо
+організації", тому не автоматизує послідовність.

package/skills/storybook/main.json

@@ -0,0 +1 @@
+{ "auto": ["storybook"], "worktree": true }