@7n/rules 1.4.1 → 1.5.0

package/schemas/v8r-catalog.json

@@ -6,139 +6,220 @@
       "name": "n-rules.json",
       "description": "Конфігурація @7n/rules (.n-rules.json у корені репозиторію)",
       "url": "n-rules.json",
-      "fileMatch": [".n-rules.json", "**/.n-rules.json", ".n-rules.example.json", "**/.n-rules.example.json"]
+      "fileMatch": [
+        ".n-rules.json",
+        "**/.n-rules.json",
+        ".n-rules.example.json",
+        "**/.n-rules.example.json"
+      ]
     },
     {
       "name": "any.json",
       "description": "Заглушка-схема (приймає будь-який JSON) — bespoke tool-конфіги й one-off артефакти без офіційної схеми",
       "url": "any.json",
-      "fileMatch": [".licensee.json", "**/.licensee.json", "docs/specs/**/*.json", "docs/plans/**/*.json", "any.json"]
+      "fileMatch": [
+        ".licensee.json",
+        "**/.licensee.json",
+        "docs/specs/**/*.json",
+        "docs/plans/**/*.json",
+        "any.json"
+      ]
     },
     {
       "name": "rego-target.json",
       "description": "Маніфест rego-полісі (npm/rules/<id>/policy/<name>/target.json) — які файли проєкту фідити в conftest",
       "url": "target.json",
-      "fileMatch": ["npm/rules/*/policy/*/target.json", "rules/*/policy/*/target.json"]
+      "fileMatch": [
+        "npm/rules/*/policy/*/target.json",
+        "rules/*/policy/*/target.json",
+        "plugins/*/rules/*/policy/*/target.json"
+      ]
     },
     {
       "name": "tsconfig",
       "description": "TypeScript config (tsconfig.json та tsconfig.*.json) у всьому проєкті",
       "url": "vendor/tsconfig.json",
-      "fileMatch": ["tsconfig.json", "**/tsconfig.json", "tsconfig.*.json", "**/tsconfig.*.json"]
+      "fileMatch": [
+        "tsconfig.json",
+        "**/tsconfig.json",
+        "tsconfig.*.json",
+        "**/tsconfig.*.json"
+      ]
     },
     {
       "name": "jsconfig",
       "description": "jsconfig.json у всьому проєкті",
       "url": "vendor/jsconfig.json",
-      "fileMatch": ["jsconfig.json", "**/jsconfig.json"]
+      "fileMatch": [
+        "jsconfig.json",
+        "**/jsconfig.json"
+      ]
     },
     {
       "name": "n-rules skill meta",
       "description": "Маніфест skill-пакета n-rules (npm/skills/<id>/main.json) — назва, тригери, дозволи",
-      "fileMatch": ["npm/skills/*/main.json", "skills/*/main.json"],
+      "fileMatch": [
+        "npm/skills/*/main.json",
+        "skills/*/main.json"
+      ],
       "url": "skill-meta.json"
     },
     {
       "name": "n-rules rule meta",
       "description": "Маніфест rule-пакета n-rules (npm/rules/<id>/main.json) — назва, опис, версія правила",
-      "fileMatch": ["npm/rules/*/main.json", "rules/*/main.json"],
+      "fileMatch": [
+        "npm/rules/*/main.json",
+        "rules/*/main.json",
+        "plugins/*/rules/*/main.json"
+      ],
       "url": "rule-meta.json"
     },
     {
       "name": "n-rules concern meta",
       "description": "Маніфест concern-а n-rules (npm/rules/<id>/<concern>/concern.json) — flat-concern layout: check/policy/lint-поверхні",
-      "fileMatch": ["npm/rules/*/*/concern.json", "rules/*/*/concern.json"],
+      "fileMatch": [
+        "npm/rules/*/*/concern.json",
+        "rules/*/*/concern.json",
+        "plugins/*/rules/*/*/concern.json"
+      ],
       "url": "concern.json"
     },
     {
       "name": "package.json",
       "description": "npm package.json у всьому проєкті",
       "url": "vendor/package.json",
-      "fileMatch": ["package.json", "**/package.json"]
+      "fileMatch": [
+        "package.json",
+        "**/package.json"
+      ]
     },
     {
       "name": "knip",
       "description": "knip.json (unused-code detector config)",
       "url": "vendor/knip.json",
-      "fileMatch": ["knip.json", "**/knip.json"]
+      "fileMatch": [
+        "knip.json",
+        "**/knip.json"
+      ]
     },
     {
       "name": "jscpd",
       "description": ".jscpd.json (copy-paste detector config)",
       "url": "vendor/jscpd.json",
-      "fileMatch": [".jscpd.json", "**/.jscpd.json"]
+      "fileMatch": [
+        ".jscpd.json",
+        "**/.jscpd.json"
+      ]
     },
     {
       "name": "cspell",
       "description": ".cspell.json (spell-checker config)",
       "url": "vendor/cspell.json",
-      "fileMatch": [".cspell.json", "**/.cspell.json"]
+      "fileMatch": [
+        ".cspell.json",
+        "**/.cspell.json"
+      ]
     },
     {
       "name": "oxlintrc",
       "description": ".oxlintrc.json (oxlint config)",
       "url": "vendor/oxlintrc.json",
-      "fileMatch": [".oxlintrc.json", "**/.oxlintrc.json"]
+      "fileMatch": [
+        ".oxlintrc.json",
+        "**/.oxlintrc.json"
+      ]
     },
     {
       "name": "oxfmtrc",
       "description": ".oxfmtrc.json (oxfmt config)",
       "url": "vendor/oxfmtrc.json",
-      "fileMatch": [".oxfmtrc.json", "**/.oxfmtrc.json"]
+      "fileMatch": [
+        ".oxfmtrc.json",
+        "**/.oxfmtrc.json"
+      ]
     },
     {
       "name": "claude-code-settings",
       "description": ".claude/settings.json (Claude Code hooks/permissions)",
       "url": "vendor/claude-code-settings.json",
-      "fileMatch": [".claude/settings.json", "**/.claude/settings.json"]
+      "fileMatch": [
+        ".claude/settings.json",
+        "**/.claude/settings.json"
+      ]
     },
     {
       "name": "codex-hooks",
       "description": ".codex/hooks.json (Codex CLI hooks)",
       "url": "vendor/codex-hooks.json",
-      "fileMatch": [".codex/hooks.json", "**/.codex/hooks.json"]
+      "fileMatch": [
+        ".codex/hooks.json",
+        "**/.codex/hooks.json"
+      ]
     },
     {
       "name": "mcp",
       "description": ".mcp.json (MCP-сервери проєкту: Claude Code/Cursor)",
       "url": "vendor/mcp.json",
-      "fileMatch": [".mcp.json", "**/.mcp.json"]
+      "fileMatch": [
+        ".mcp.json",
+        "**/.mcp.json"
+      ]
     },
     {
       "name": "marksman",
       "description": ".marksman.toml — офіційної схеми нема (permissive any.json)",
       "url": "any.json",
-      "fileMatch": [".marksman.toml", "**/.marksman.toml"]
+      "fileMatch": [
+        ".marksman.toml",
+        "**/.marksman.toml"
+      ]
     },
     {
       "name": "cargo",
       "description": "Cargo.toml (маніфест Rust-крейта/воркспейса)",
       "url": "vendor/cargo.json",
-      "fileMatch": ["Cargo.toml", "**/Cargo.toml"]
+      "fileMatch": [
+        "Cargo.toml",
+        "**/Cargo.toml"
+      ]
     },
     {
       "name": "cargo-mutants",
       "description": ".cargo/mutants.toml (конфігурація cargo-mutants)",
       "url": "vendor/cargo-mutants-config.json",
-      "fileMatch": [".cargo/mutants.toml", "**/.cargo/mutants.toml"]
+      "fileMatch": [
+        ".cargo/mutants.toml",
+        "**/.cargo/mutants.toml"
+      ]
     },
     {
       "name": "cargo-deny",
       "description": "deny.toml (cargo-deny) — у schemastore схеми нема (permissive any.json)",
       "url": "any.json",
-      "fileMatch": ["deny.toml", "**/deny.toml"]
+      "fileMatch": [
+        "deny.toml",
+        "**/deny.toml"
+      ]
     },
     {
       "name": "tauri-conf-overlay",
       "description": "tauri.conf.<variant>.json — частковий merge-overlay базового tauri.conf.json (повна tauri-схема відхиляє partial), тому permissive any.json",
       "url": "any.json",
-      "fileMatch": ["tauri.conf.*.json", "**/tauri.conf.*.json"]
+      "fileMatch": [
+        "tauri.conf.*.json",
+        "**/tauri.conf.*.json"
+      ]
     },
     {
       "name": "github-action",
       "description": "action.yml/action.yaml (GitHub composite/JS actions)",
       "url": "vendor/github-action.json",
-      "fileMatch": ["action.yml", "**/action.yml", "action.yaml", "**/action.yaml"]
+      "fileMatch": [
+        "action.yml",
+        "**/action.yml",
+        "action.yaml",
+        "**/action.yaml"
+      ]
     },
     {
       "name": "github-workflow",
@@ -155,25 +236,40 @@
       "name": "zizmor",
       "description": ".github/zizmor.yml (конфігурація zizmor — статичний аналізатор GitHub Actions)",
       "url": "vendor/zizmor.json",
-      "fileMatch": [".github/zizmor.yml", "**/.github/zizmor.yml", ".github/zizmor.yaml", "**/.github/zizmor.yaml"]
+      "fileMatch": [
+        ".github/zizmor.yml",
+        "**/.github/zizmor.yml",
+        ".github/zizmor.yaml",
+        "**/.github/zizmor.yaml"
+      ]
     },
     {
       "name": "bunfig",
       "description": "bunfig.toml (конфігурація Bun runtime)",
       "url": "vendor/bunfig.json",
-      "fileMatch": ["bunfig.toml", "**/bunfig.toml"]
+      "fileMatch": [
+        "bunfig.toml",
+        "**/bunfig.toml"
+      ]
     },
     {
       "name": "mt-config",
       "description": ".mt.json / .mt-override.json — конфігурація @7n/mt (Nitra MT)",
       "url": "vendor/mt-config.json",
-      "fileMatch": [".mt.json", "**/.mt.json", "**/.mt-override.json"]
+      "fileMatch": [
+        ".mt.json",
+        "**/.mt.json",
+        "**/.mt-override.json"
+      ]
     },
     {
       "name": "layers-config",
       "description": "Конфіг рушія шарової документації @7n/layers (<docsDir>/layers.json, напр. npm/docs/layers.json у репо mt)",
       "url": "layers-config.json",
-      "fileMatch": ["**/docs/layers.json", "layers.json"]
+      "fileMatch": [
+        "**/docs/layers.json",
+        "layers.json"
+      ]
     }
   ]
 }

package/scripts/auto-rules.mjs

@@ -73,6 +73,43 @@ export function discoverRuleAutoActivation(rulesDir = RULES_DIR) {
 
 const RULE_AUTO_ACTIVATION = discoverRuleAutoActivation()
 
+/** Кеш агрегованої активації для multi-dir прогонів: ключ — join(dirs). */
+const AGGREGATED_ACTIVATION_CACHE = new Map()
+
+/**
+ * Агрегована мапа активації по кількох rules-каталогах (ядро + плагіни): правила
+ * зливаються за id, перший власник виграє (порядок каталогів = пріоритет).
+ * Без `rulesDirs` — вбудовані module-level константи (шлях без плагінів).
+ * @param {string[]} [rulesDirs] упорядковані rules-каталоги
+ * @returns {{ activation: Record<string, import('./lib/rule-meta.mjs').RuleAutoSpec>, order: string[], dependencies: Record<string, readonly string[]> }} активація, порядок, залежності
+ */
+export function getRuleAutoActivation(rulesDirs) {
+  if (!Array.isArray(rulesDirs) || rulesDirs.length === 0) {
+    return { activation: RULE_AUTO_ACTIVATION, order: AUTO_RULE_ORDER, dependencies: AUTO_RULE_DEPENDENCIES }
+  }
+  const key = rulesDirs.join('\u{0}')
+  const cached = AGGREGATED_ACTIVATION_CACHE.get(key)
+  if (cached) return cached
+  /** @type {Record<string, import('./lib/rule-meta.mjs').RuleAutoSpec>} */
+  const activation = {}
+  for (const dir of rulesDirs) {
+    for (const [id, spec] of Object.entries(discoverRuleAutoActivation(dir))) {
+      if (!(id in activation)) activation[id] = spec
+    }
+  }
+  const order = Object.freeze(Object.keys(activation).toSorted((a, b) => a.localeCompare(b)))
+  const dependencies = Object.freeze(
+    Object.fromEntries(
+      Object.entries(activation)
+        .filter(([, s]) => 'rules' in s)
+        .map(([id, s]) => [id, Object.freeze(/** @type {{rules:string[]}} */ (s).rules)])
+    )
+  )
+  const result = { activation, order, dependencies }
+  AGGREGATED_ACTIVATION_CACHE.set(key, result)
+  return result
+}
+
 /** Стабільний алфавітний порядок (замість хардкод-масиву). */
 export const AUTO_RULE_ORDER = Object.freeze(Object.keys(RULE_AUTO_ACTIVATION).toSorted((a, b) => a.localeCompare(b)))
 
@@ -279,13 +316,14 @@ async function collectRepoPaths(root) {
  * стежити за порядком викликів `addRule`.
  * @param {string[]} detectedRules уже зібрані id правил (мутується через addRule)
  * @param {(ruleId: string) => void} addRule callback із спільної фабрики (поважає `disable-rules` і дублі)
+ * @param {Record<string, readonly string[]>} [dependencies] граф залежностей (дефолт — вбудований)
  * @returns {void}
  */
-function resolveRuleDependencies(detectedRules, addRule) {
+function resolveRuleDependencies(detectedRules, addRule, dependencies = AUTO_RULE_DEPENDENCIES) {
   let changed = true
   while (changed) {
     changed = false
-    for (const [ruleId, deps] of Object.entries(AUTO_RULE_DEPENDENCIES)) {
+    for (const [ruleId, deps] of Object.entries(dependencies)) {
       if (detectedRules.includes(ruleId)) continue
       if (deps.every(d => detectedRules.includes(d))) {
         const before = detectedRules.length
@@ -332,14 +370,17 @@ function specMatches(spec, ctx) {
  * @param {string[]} params.availableRules перелік доступних правил з пакету
  * @param {unknown} params.packageJsonParsed кореневий package.json (розпарсений) або null
  * @param {string[]} [params.disableRules] список `disable-rules` з конфігу
+ * @param {string[]} [params.rulesDirs] rules-каталоги (ядро + плагіни); без них — вбудований
  * @returns {Promise<{ rules: string[] }>} список id у стабільному порядку (за `AUTO_RULE_ORDER`)
  */
 export async function detectAutoRules({
   root,
   availableRules,
   packageJsonParsed,
-  disableRules = DEFAULT_DISABLED_LIST
+  disableRules = DEFAULT_DISABLED_LIST,
+  rulesDirs
 }) {
+  const { activation, order, dependencies } = getRuleAutoActivation(rulesDirs)
   const facts = await collectAutoRuleFacts(root)
   const paths = await collectRepoPaths(root)
   const normalizedRules = new Set(availableRules.map(r => r.trim().toLowerCase()))
@@ -357,13 +398,13 @@ export async function detectAutoRules({
     detectedRules.push(ruleId)
   }
 
-  for (const [ruleId, spec] of Object.entries(RULE_AUTO_ACTIVATION)) {
+  for (const [ruleId, spec] of Object.entries(activation)) {
     if ('rules' in spec) continue
     if (await specMatches(spec, { root, facts, paths, packageJsonParsed })) addRule(ruleId)
   }
-  resolveRuleDependencies(detectedRules, addRule)
+  resolveRuleDependencies(detectedRules, addRule, dependencies)
 
-  const rules = AUTO_RULE_ORDER.filter(r => detectedRules.includes(r))
+  const rules = order.filter(r => detectedRules.includes(r))
   return { rules }
 }
 

package/scripts/docs/auto-rules.md

@@ -3,7 +3,7 @@ type: JS Module
 title: auto-rules.mjs
 resource: npm/scripts/auto-rules.mjs
 docgen:
-  crc: 6ce82609
+  crc: d4a1b2da
   model: omlx/gemma-4-e4b-it-OptiQ-4bit
   score: 90
 ---
@@ -32,3 +32,5 @@ mergeConfigWithAutoDetected — Обновлює конфігурацію, до
 
 - Перехоплює помилки і не пропускає винятків назовні (fail-safe).
 - Свідомо пропускає шляхи: `.git`, `node_modules`.
+
+**Multi-dir (плагіни):** `getRuleAutoActivation(rulesDirs)` агрегує активацію по кількох rules-каталогах (ядро перше, перший власник виграє, кеш на процес); `detectAutoRules` приймає опційний `rulesDirs`.

package/scripts/docs/skills-cli.md

@@ -9,7 +9,7 @@ docgen:
 
 ## Огляд
 
-Цей модуль забезпечує керування функціоналом скілів пакета `@7n/rules`. Він каталогізує доступні скіли на основі наявності файлу `SKILL.md` у відповідному пакеті. Для виконання скілу збирається контекст, що включає інструкції скілу та інформацію з конфігураційних файлів проєкту: `package.json`, `tsconfig.json`, `.n-rules.json` та `main.json`. Система дозволяє або вивести список доступних скілів (`npx @7n/rules skill list`), або ініціювати виконання обраного скілу (наприклад, `npx @7n/rules skill pi taze`), з можливістю передачі додаткових аргументів. Пріоритетним механізмом виконання є інтеграція з вбудованим pi-агентом; поряд з ним підтримуються повноцінні зовнішні CLI-раннери (`cursor`, `codex`) і deprecated `claude`.
+Цей модуль забезпечує керування функціоналом скілів пакета `@7n/rules`. Він каталогізує доступні скіли на основі наявності файлу `SKILL.md` у відповідному пакеті. Для виконання скілу збирається контекст, що включає інструкції скілу та інформацію з конфігураційних файлів проєкту: `package.json`, `tsconfig.json`, `.n-rules.json` та `main.json`. Система дозволяє або вивести список доступних скілів (`npx @7n/rules skill list`), або ініціювати виконання обраного скілу (наприклад, `npx @7n/rules skill pi taze`), з можливістю передачі додаткових аргументів. Пріоритетним механізмом виконання є інтеграція з вбудованим pi-агентом; поряд з ним підтримуються повноцінні зовнішні ACP-агенти (`cursor`, `codex`) і deprecated `claude`.
 
 ## Поведінка
 
@@ -30,6 +30,7 @@ runSkillsCli виконує логіку командного інтерфейс
 
 ## Гарантії поведінки
 
-- Сам модуль лише читає файли й збирає промпт; **виконання** делегується агенту: `pi` (вбудований, мутує дерево, запускає bash) або зовнішнім `cursor`/`codex`/`claude` CLI (промпт передається через stdin: `cursor-agent -p`, `codex exec -`, `claude -p`).
+- Сам модуль лише читає файли й збирає промпт; **виконання** делегується агенту: `pi` (вбудований, мутує дерево, запускає bash) або зовнішньому ACP-агенту `cursor`/`codex`/`claude` через `runAcpRunner` (`./lib/acp-runner.mjs`) — JSON-RPC поверх stdio (`cursor-agent acp`, бандловані адаптери `@agentclientprotocol/codex-acp` і `@agentclientprotocol/claude-agent-acp`), а не сирий `stdin`/`stdout`-піпінг.
 - Тира моделі для `pi`-runner береться з `main.json.tier` скіла (дефолт `max`).
+- ACP-раннер автоапрувляє `session/request_permission` (без інтерактивних питань) — паритет із колишнім non-interactive режимом; `Client`-реалізація читає/пише файли напряму через `node:fs`.
 - Лише `claude` — deprecated: друкує попередження й лишається як fallback, доки не налаштовано pi-модель. `cursor`/`codex` — повноцінні раннери без попередження.

package/scripts/docs/upgrade-n-rules-and-install.md

@@ -3,7 +3,7 @@ type: JS Module
 title: upgrade-n-rules-and-install.mjs
 resource: npm/scripts/upgrade-n-rules-and-install.mjs
 docgen:
-  crc: 715ef559
+  crc: f33841b9
   model: omlx/gemma-4-e4b-it-OptiQ-4bit
   score: 100
   issues: judge:inaccurate:0.98
@@ -34,3 +34,5 @@ upgradeNRulesToLatestAndBunInstall — Оновлює `@7n/rules` до оста
 - Свідомо пропускає шляхи: `node_modules`.
 
 **Міграція перейменування:** `migrateLegacyDependencyName` переносить legacy-ключ `@nitra/cursor` → `@7n/rules` у тій самій секції package.json перед оновленням версії; якщо registry ще не має `@7n/rules` (404 до першої публікації), версія береться з package.json пакету поточного процесу (fallback).
+
+**packageName:** `resolveInstalledPackageRoot(projectRoot, fallbackPackageRoot, packageName)` — третій параметр (дефолт `@7n/rules`) дозволяє резолвити встановлені плагіни.

package/scripts/lib/acp-runner.mjs

@@ -0,0 +1,174 @@
+/**
+ * Виконання скіла через зовнішнього ACP-агента (Agent Client Protocol,
+ * agentclientprotocol.com) — JSON-RPC поверх stdio замість сирого
+ * `stdin`/`stdout`-піпінгу CLI.
+ *
+ * Заміняє колишній `runLlmCli` (spawnSync + `-p`/`exec -`) для `cursor`/`codex`/`claude`:
+ * підʼєднання йде через офіційний TS SDK `@zed-industries/agent-client-protocol`,
+ * а дозволи на tool-calls (`session/request_permission`) автоапрувляться без участі
+ * людини — паритет із сьогоднішнім non-interactive `-p`-режимом (full user-trust,
+ * без write-guard, як задокументовано в `@7n/llm-lib/agent-skill`).
+ *
+ * `cursor` — нативний ACP-режим самого `cursor-agent` (`cursor-agent acp`).
+ * `codex`/`claude` — офіційні адаптери (`@agentclientprotocol/codex-acp`,
+ * `@agentclientprotocol/claude-agent-acp`), що бандлять свій рушій — зовнішній
+ * бінарник `codex`/`claude` у PATH більше не потрібен.
+ */
+
+import { spawn } from 'node:child_process'
+import { readFileSync, writeFileSync } from 'node:fs'
+import { createRequire } from 'node:module'
+import { dirname, join } from 'node:path'
+import { stdout } from 'node:process'
+import { Readable, Writable } from 'node:stream'
+
+const require = createRequire(import.meta.url)
+
+/**
+ * Команда запуску ACP-агента на провайдер. `cursor` — зовнішній бінарник у PATH;
+ * `codex`/`claude` — резолвляться з `bin`-запису бандлованого npm-пакета-адаптера.
+ * @type {Record<'cursor' | 'codex' | 'claude', { bin: string, args: string[] } | { adapterPackage: string }>}
+ */
+export const ACP_AGENT_COMMANDS = {
+  cursor: { bin: 'cursor-agent', args: ['acp'] },
+  codex: { adapterPackage: '@agentclientprotocol/codex-acp' },
+  claude: { adapterPackage: '@agentclientprotocol/claude-agent-acp' }
+}
+
+/**
+ * `StopReason` ACP-прогону → exit code CLI-скіла.
+ * @param {string} stopReason `end_turn`|`max_tokens`|`max_turn_requests`|`refusal`|`cancelled`
+ * @returns {0 | 1} 0 — успішне завершення (`end_turn`), 1 — усе інше
+ */
+export function stopReasonToExitCode(stopReason) {
+  return stopReason === 'end_turn' ? 0 : 1
+}
+
+/**
+ * Резолвить абсолютний шлях до bin-файлу бандлованого ACP-адаптера з його `package.json`.
+ * @param {string} adapterPackage назва npm-пакета адаптера (`@agentclientprotocol/codex-acp`, …)
+ * @returns {string} абсолютний шлях до виконуваного файлу адаптера
+ */
+export function resolveAdapterBin(adapterPackage) {
+  const pkgJsonPath = require.resolve(`${adapterPackage}/package.json`)
+  const pkg = JSON.parse(readFileSync(pkgJsonPath, 'utf8'))
+  const binField = pkg.bin
+  const binRelPath = typeof binField === 'string' ? binField : Object.values(binField)[0]
+  return join(dirname(pkgJsonPath), /** @type {string} */ (binRelPath))
+}
+
+/**
+ * Обирає `PermissionOption` без участі людини: `allow_always` > `allow_once` > перша опція.
+ * Паритет із non-interactive `-p`/`exec -` — скіл є явною user-invocation, тож дозволи
+ * не питаються інтерактивно (див. `@7n/llm-lib/agent-skill` — той самий full-trust режим).
+ * @param {{ optionId: string, kind: string }[]} options варіанти дозволу з `RequestPermissionRequest`
+ * @returns {string} `optionId` обраного варіанту
+ */
+export function pickAutoPermissionOptionId(options) {
+  const byKind = kind => options.find(option => option.kind === kind)
+  const chosen = byKind('allow_always') ?? byKind('allow_once') ?? options[0]
+  return chosen.optionId
+}
+
+/**
+ * ACP `Client` для скіл-раннера: автоапрув дозволів, стрім тексту в stdout,
+ * пряма реалізація файлового вводу-виводу поверх `node:fs` (full-trust режим).
+ */
+class AcpSkillClient {
+  /**
+   * @param {{ out: (chunk: string) => void }} deps вивід тексту (парність зі streaming `-p`)
+   */
+  constructor({ out }) {
+    this.out = out
+  }
+
+  /**
+   * @param {{ options: { optionId: string, kind: string }[] }} params запит дозволу від агента
+   * @returns {Promise<{ outcome: { outcome: 'selected', optionId: string } }>} автообраний варіант
+   */
+  requestPermission(params) {
+    return Promise.resolve({ outcome: { outcome: 'selected', optionId: pickAutoPermissionOptionId(params.options) } })
+  }
+
+  /**
+   * @param {{ update: { sessionUpdate: string, content?: { type: string, text?: string } } }} params подія прогресу сесії
+   * @returns {Promise<void>} стрімить текстові дельти в stdout; інші типи подій ігноруються
+   */
+  sessionUpdate(params) {
+    const { update } = params
+    if (update.sessionUpdate === 'agent_message_chunk' && update.content?.type === 'text') {
+      this.out(update.content.text ?? '')
+    }
+    return Promise.resolve()
+  }
+
+  /**
+   * @param {{ path: string }} params шлях до файлу
+   * @returns {Promise<{ content: string }>} вміст файлу
+   */
+  readTextFile(params) {
+    return Promise.resolve({ content: readFileSync(params.path, 'utf8') })
+  }
+
+  /**
+   * @param {{ path: string, content: string }} params шлях і новий вміст файлу
+   * @returns {Promise<Record<string, never>>} порожня відповідь (успіх)
+   */
+  writeTextFile(params) {
+    writeFileSync(params.path, params.content, 'utf8')
+    return Promise.resolve({})
+  }
+}
+
+/**
+ * Виконує скіл через зовнішнього ACP-агента (`cursor`/`codex`/`claude`).
+ * @param {'cursor' | 'codex' | 'claude'} kind провайдер
+ * @param {string} prompt готовий промпт скіла
+ * @param {string} projectDir робочий каталог сесії агента
+ * @param {(line: string) => void} logError вивід помилок
+ * @param {{ acp?: object, spawnFn?: typeof spawn, out?: (chunk: string) => void, resolveAdapterBin?: (pkg: string) => string, isBinaryInPath?: (bin: string) => boolean }} [deps] інжекти для тестів
+ * @returns {Promise<number>} exit code (0 — `end_turn`, 1 — інакше)
+ */
+export async function runAcpRunner(kind, prompt, projectDir, logError, deps = {}) {
+  const spawnFn = deps.spawnFn ?? spawn
+  const out = deps.out ?? (chunk => stdout.write(chunk))
+  const resolveBin = deps.resolveAdapterBin ?? resolveAdapterBin
+
+  const command = ACP_AGENT_COMMANDS[kind]
+  const { bin, args } =
+    'adapterPackage' in command
+      ? { bin: process.execPath, args: [resolveBin(command.adapterPackage)] }
+      : command
+
+  if ('bin' in command && deps.isBinaryInPath && !deps.isBinaryInPath(command.bin)) {
+    throw new Error(`\`${command.bin}\` not found in PATH. Install ${kind} CLI (ACP mode) or use \`skill pi\`.`)
+  }
+
+  const acp = deps.acp ?? (await import('@zed-industries/agent-client-protocol'))
+  const child = spawnFn(bin, args, { cwd: projectDir, stdio: ['pipe', 'pipe', 'inherit'], env: process.env })
+
+  try {
+    const input = Writable.toWeb(child.stdin)
+    const output = /** @type {ReadableStream<Uint8Array>} */ (Readable.toWeb(child.stdout))
+    const client = new AcpSkillClient({ out })
+    const stream = acp.ndJsonStream(input, output)
+    const connection = new acp.ClientSideConnection(() => client, stream)
+
+    await connection.initialize({
+      protocolVersion: acp.PROTOCOL_VERSION,
+      clientCapabilities: { fs: { readTextFile: true, writeTextFile: true } }
+    })
+    const session = await connection.newSession({ cwd: projectDir, mcpServers: [] })
+    const result = await connection.prompt({
+      sessionId: session.sessionId,
+      prompt: [{ type: 'text', text: prompt }]
+    })
+
+    if (result.stopReason !== 'end_turn') {
+      logError(`acp ${kind}: stopReason=${result.stopReason}`)
+    }
+    return stopReasonToExitCode(result.stopReason)
+  } finally {
+    child.kill()
+  }
+}

package/scripts/lib/concern-meta.mjs

@@ -27,6 +27,8 @@ import { join } from 'node:path'
 /**
  * @typedef {object} ConcernMeta
  * @property {string} name ім'я concern-а (= basename каталогу)
+ * @property {string|undefined} requiresCapability capability з `requires.capability` — концерн
+ *   активний лише коли якийсь плагін декларує її у своєму маніфесті (напр. `ci:github`)
  * @property {string} dir абсолютний шлях до каталогу concern-а
  * @property {boolean} check чи є JS check поверхня
  * @property {PolicySurface|undefined} policy policy-поверхня concern-а (rego/template) або undefined.
@@ -112,7 +114,12 @@ export async function readConcernMeta(concernDir, name) {
 
   if (!check && !policy && !lint) return null
 
-  return { name, dir: concernDir, check, policy, lint, fixability: parseFixability(raw.fixability) }
+  const requiresCapability =
+    raw.requires && typeof raw.requires === 'object' && typeof raw.requires.capability === 'string'
+      ? raw.requires.capability
+      : undefined
+
+  return { name, dir: concernDir, check, policy, lint, requiresCapability, fixability: parseFixability(raw.fixability) }
 }
 
 /**