@7n/rules 1.4.1 → 1.5.1

package/rules/ga/vscode_settings/fix-vscode_settings.mjs

@@ -1,5 +0,0 @@
-import { createTemplateFixPattern } from '../../../scripts/lib/fix/template-deep-merge.mjs'
-
-export const patterns = [
-  createTemplateFixPattern({ id: 'ga-vscode_settings-template', targetPath: '.vscode/settings.json' })
-]

package/rules/ga/vscode_settings/template/settings.json.snippet.json

@@ -1 +0,0 @@
-{ "[github-actions-workflow]": { "editor.defaultFormatter": "oxc.oxc-vscode" } }

package/rules/ga/vscode_settings/vscode_settings.mdc

@@ -1,9 +0,0 @@
-## `.vscode/settings.json` — налаштування форматування GitHub Actions workflow
-
-Rego-пакет: `ga.vscode_settings`
-
-**Цільовий файл:** `.vscode/settings.json`
-
-Перевіряє 2-рівневу структуру: для кожного `<block-key>` з template кожен `<leaf-key>` у відповідному блоці input має точно відповідати очікуваному значенню. Ключі можуть містити дужки та крапки (VS Code-конвенція, наприклад `[github-actions-workflow]`).
-
-Канон: [settings.json.snippet.json](./template/settings.json.snippet.json)

package/rules/ga/vscode_settings/vscode_settings.rego

@@ -1,22 +0,0 @@
-# Перевірка `.vscode/settings.json` для GitHub Actions workflow (ga.mdc).
-#
-# Канон надходить через --data: { "template": { "snippet": ... } }
-# Структура --data сформована з template/settings.json.snippet.json.
-# Snippet — 2-рівнева мапа: <language-block-key>.<setting-key> = <expected>
-# (VS Code-конвенція: ключі типу `[github-actions-workflow]` і `editor.defaultFormatter`
-# — це літеральні string-keys із дужками/крапкою, не вкладені обʼєкти).
-#
-# Конвенція проєкту — `import rego.v1` + multi-value `deny contains msg if { … }`
-# (.cursor/rules/conftest.mdc). Лінт — `bun run lint-rego` (regal).
-package ga.vscode_settings
-
-import rego.v1
-
-deny contains msg if {
-	some block_key, expected_inner in data.template.snippet
-	inner := object.get(input, block_key, {})
-	some leaf_key, expected_value in expected_inner
-	actual := object.get(inner, leaf_key, null)
-	actual != expected_value
-	msg := sprintf(".vscode/settings.json: %s.%s має бути %q (ga.mdc)", [block_key, leaf_key, expected_value])
-}

package/rules/ga/workflow_common/concern.json

@@ -1,9 +0,0 @@
-{
-  "$schema": "https://unpkg.com/@7n/rules/schemas/concern.json",
-  "fixability": "config",
-  "policy": {
-    "files": {
-      "walkGlob": ".github/workflows/*.yml"
-    }
-  }
-}

package/rules/ga/workflow_common/template/uses-min-versions.snippet.json

@@ -1,4 +0,0 @@
-{
-  "actions/checkout": "6",
-  "Infisical/secrets-action": "1.0.16"
-}

package/rules/ga/workflow_common/workflow_common.mdc

@@ -1,18 +0,0 @@
-## Універсальні Rego-перевірки для всіх workflow-файлів
-
-Rego-пакет: `ga.workflow_common`
-
-**Цільові файли:** `.github/workflows/*.yml` (кожен файл окремо)
-
-### Що перевіряється
-
-- **concurrency** — обов'язкова наявність блоку; `group` = `${{ github.ref }}-${{ github.workflow }}`; `cancel-in-progress: true`
-- **Заборонені кроки** — `oven-sh/setup-bun`, `actions/cache`, `bun install` у будь-якому `uses:`/`run:` (мають бути інкапсульовані у composite `setup-bun-deps`)
-- **Порядок кроків** — якщо є `setup-bun-deps`, перед ним обов'язковий `actions/checkout@`
-- **Shell-продовження** — `\` перед переносом рядка у `run:` заборонено; треба `run: >-`
-- **Заборонені команди** — `depcheck` у `run:` (мігровано на `knip`)
-- **Мінімальні версії** — `uses:` з marketplace-actions перевіряються за канонічним JSON; SHA-пін (`owner/action@<40-hex SHA>`) задовольняє вимогу мінімальної версії — НЕ замінюй наявний SHA-пін тегом
-
-Канон мінімальних версій: [uses-min-versions.snippet.json](./template/uses-min-versions.snippet.json)
-
-Детальна документація поведінки — у [ga-workflow_common](../../js/workflow_common.mdc).

package/rules/ga/workflow_common/workflow_common.rego

@@ -1,288 +0,0 @@
-# Універсальні перевірки для будь-якого `.github/workflows/*.yml` (ga.mdc).
-#
-# Порт `verifyNoDirectBunOrCache`, `verifyNoRunShellLineContinuationBackslash`,
-# `verifyCheckoutBeforeLocalSetupBunDeps` та `validateConcurrencyOnRoot` з
-# `npm/scripts/rules/ga/fix.mjs`. На відміну від `lint_ga`/`clean_ga_workflows`/
-# `clean_merged_branch`/`git_ai`, цей пакет не привʼязаний до конкретного
-# workflow — `conftest test` запускається на кожному файлі окремо з
-# `--namespace ga.workflow_common`, і `input` — це окремий розпарсений YAML.
-#
-# Структура каталогу збігається зі шляхом пакету (regal: directory-package-mismatch).
-# Конвенція проєкту — `import rego.v1` + multi-value `deny contains msg if { … }`
-# (.cursor/rules/conftest.mdc). Лінт — `bun run lint-rego` (regal).
-package ga.workflow_common
-
-import rego.v1
-
-# ── Очікувані значення ─────────────────────────────────────────────────────
-
-expected_concurrency_group := concat("", ["$", "{{ github.ref }}-$", "{{ github.workflow }}"])
-
-# Локальні composite setup-bun-deps (ga.mdc) — два варіанти шляху:
-# `.github/actions/...` (cursor-репо) і `npm/github-actions/...` (npm-пакет dev-локально).
-local_setup_bun_markers := {
-	"./.github/actions/setup-bun-deps",
-	"./npm/github-actions/setup-bun-deps",
-}
-
-# Заборонені підрядки в кроках `uses` та `run` (ga.mdc): дублюючі setup/cache/install,
-# які мають бути всередині composite-action `setup-bun-deps`.
-forbidden_step_substrings := {
-	"oven-sh/setup-bun": "використовуй .github/actions/setup-bun-deps замість oven-sh/setup-bun",
-	"actions/cache": "використовуй .github/actions/setup-bun-deps замість actions/cache",
-	"bun install": "використовуй .github/actions/setup-bun-deps замість bun install",
-}
-
-# Заборонені бінарки у `run:` кроках (ga.mdc). `depcheck` мігровано на `knip`
-# у `js.mdc` — окремий крок у workflow не потрібен. Регексп ловить виклики
-# через `npx`, `bunx`, `npm exec`, або як standalone-команду на початку рядка.
-forbidden_run_command_patterns := {"depcheck": `(?:^|[\s;&|])(?:npx|bunx|npm exec|pnpm exec)?[ \t]*depcheck\b`}
-
-# Шаблони довгих повідомлень — через `concat`, щоб дотримуватися regal style/line-length.
-
-concurrency_missing_template := concat(" ", [
-	"відсутня секція concurrency —",
-	"додай concurrency.group: %s і cancel-in-progress: true (ga.mdc)",
-])
-
-shell_continuation_template := concat(" ", [
-	"jobs.%s.steps[%d]: у run заборонено продовження рядків через зворотний сліш;",
-	"оформи як folded block (run: >-) (ga.mdc)",
-])
-
-setup_bun_no_checkout_template := concat(" ", [
-	"jobs.%s: перед локальним setup-bun-deps потрібен крок actions/checkout@v6 —",
-	"інакше runner не знайде action.yml (ga.mdc)",
-])
-
-min_uses_version_template := concat(" ", [
-	"jobs.%s.steps[%d]: %s має бути >= v%s (зараз %q) —",
-	"онови ref у uses: (ga.mdc)",
-])
-
-forbidden_run_command_template := concat(" ", [
-	"jobs.%s.steps[%d]: `%s` заборонено у workflow —",
-	"мігровано на knip (js.mdc, ga.mdc)",
-])
-
-# ── Аліаси на input ────────────────────────────────────────────────────────
-
-# Усі jobs (з гарантією, що це обʼєкт) — щоб не падати на нетипових YAML.
-jobs := input.jobs
-
-# Плоский список усіх кроків з усіх jobs з метаданими — для перевірок, де job-id
-# і позиція кроку нам потрібні в повідомленні (shell line continuation).
-all_flat_steps contains entry if {
-	some job_id, step_index
-	step := jobs[job_id].steps[step_index]
-	entry := {"job_id": job_id, "step_index": step_index, "step": step}
-}
-
-# ── deny: заборонені setup-bun/cache/install у будь-якому кроці ────────────
-
-deny contains msg if {
-	some entry in all_flat_steps
-	some pattern, hint in forbidden_step_substrings
-	step_uses_or_run_blob(entry.step) != ""
-	contains(step_uses_or_run_blob(entry.step), pattern)
-	msg := sprintf("jobs.%s.steps[%d]: %s (ga.mdc)", [entry.job_id, entry.step_index, hint])
-}
-
-# ── deny: depcheck у будь-якому `run:` ────────────────────────────────────
-#
-# `depcheck` мігровано на `knip` (js.mdc); `knip` вже запускається у lint-js
-# CI як частина `bunx knip` у скрипті, тож окремий depcheck-крок зайвий і має
-# бути видалений з workflow-файлів.
-
-deny contains msg if {
-	some entry in all_flat_steps
-	some name, pattern in forbidden_run_command_patterns
-	regex.match(pattern, step_run_text(entry.step))
-	msg := sprintf(forbidden_run_command_template, [entry.job_id, entry.step_index, name])
-}
-
-# ── deny: shell-продовження `\` перед переносом рядка у `run:` ─────────────
-#
-# `\` + `\n` — bash line-continuation; у workflow замінюй на folded block `>-`
-# без зворотних слішів (ga.mdc).
-
-deny contains msg if {
-	some entry in all_flat_steps
-	run_text := step_run_text(entry.step)
-	regex.match(`\\\r?\n`, run_text)
-	msg := sprintf(shell_continuation_template, [entry.job_id, entry.step_index])
-}
-
-# ── deny: setup-bun-deps без попереднього checkout у тому ж job ────────────
-#
-# Без `actions/checkout` локальний composite-action недоступний — runner не
-# знайде `action.yml` у дереві. Перевіряємо порядок індексів кроків у кожному
-# job: setup-bun-deps має бути після принаймні одного `actions/checkout@`.
-
-deny contains msg if {
-	some job_id, job in jobs
-	first_setup := first_local_setup_bun_index(job)
-	first_setup >= 0
-	not has_checkout_before(job, first_setup)
-	msg := sprintf(setup_bun_no_checkout_template, [job_id])
-}
-
-# ── deny: actions/checkout без persist-credentials: false ─────────────────
-#
-# `persist-credentials: false` запобігає кешуванню git-токена після checkout,
-# що є обов'язковою вимогою безпеки (ga.mdc).
-
-deny contains msg if {
-	some _job_id, job in jobs
-	some step in object.get(job, "steps", [])
-	uses := object.get(step, "uses", "")
-	startswith(uses, "actions/checkout@")
-	creds := object.get(object.get(step, "with", {}), "persist-credentials", true)
-	creds != false
-	msg := sprintf("jobs.%s: actions/checkout@v6 потребує `with: persist-credentials: false` (ga.mdc)", [_job_id])
-}
-
-# ── deny: concurrency блок ─────────────────────────────────────────────────
-#
-# Дублює окремі per-workflow перевірки для clean-ga-workflows / clean-merged-branch /
-# lint-ga / git-ai, але вкриває й решту workflow-файлів (apply-k8s, lint-js, …),
-# для яких поки немає виділеної polysi.
-
-deny contains msg if {
-	# `object.get(…, default)` повертає `false` коли ключа немає — інакше `not is_object(…)`
-	# над відсутнім полем дає `undefined`, не `true`, і правило мовчки не спрацьовує.
-	not is_object(object.get(input, "concurrency", false))
-	msg := sprintf(concurrency_missing_template, [expected_concurrency_group])
-}
-
-deny contains msg if {
-	is_object(object.get(input, "concurrency", false))
-	input.concurrency.group != expected_concurrency_group
-	msg := sprintf("concurrency.group має бути %s (ga.mdc)", [expected_concurrency_group])
-}
-
-deny contains msg if {
-	is_object(object.get(input, "concurrency", false))
-	input.concurrency["cancel-in-progress"] != true
-	msg := "concurrency.cancel-in-progress має бути true (ga.mdc)"
-}
-
-# ── deny: мінімальні версії marketplace actions у `uses:` ─────────────────
-#
-# Канон — `template/uses-min-versions.snippet.json` (через --data).
-# Перевіряє semver-подібні теги `vX.Y.Z` / `vN`; SHA-pin (40 hex) пропускаємо.
-
-deny contains msg if {
-	some entry in all_flat_steps
-	uses := object.get(entry.step, "uses", "")
-	uses != ""
-	some action_slug, min_ver in data.template.snippet
-	action_uses_matches(uses, action_slug)
-	ref := action_uses_ref(uses)
-	not action_ref_meets_min(ref, min_ver)
-	msg := sprintf(min_uses_version_template, [
-		entry.job_id,
-		entry.step_index,
-		action_slug,
-		min_ver,
-		ref,
-	])
-}
-
-# ── helpers ────────────────────────────────────────────────────────────────
-
-# Об'єднаний рядок `uses` + `run` для одного кроку — для substring-пошуку
-# заборонених патернів. `run` може бути рядком або масивом рядків (YAML).
-step_uses_or_run_blob(step) := blob if {
-	uses := object.get(step, "uses", "")
-	run_text := step_run_text(step)
-	blob := concat("\n", [uses, run_text])
-}
-
-# Текст `run:` як один рядок: підтримує рядкові та масивові форми (YAML).
-step_run_text(step) := step.run if is_string(step.run)
-
-else := concat("\n", [s | some s in step.run]) if is_array(step.run)
-
-else := ""
-
-# Індекс першого кроку з локальним setup-bun-deps; -1 якщо такого немає.
-first_local_setup_bun_index(job) := min(indices) if {
-	indices := [i |
-		some i, step in job.steps
-		uses := object.get(step, "uses", "")
-		some marker in local_setup_bun_markers
-		contains(uses, marker)
-	]
-	count(indices) > 0
-} else := -1
-
-# Чи є в `job.steps[0..before]` крок `actions/checkout@…`.
-has_checkout_before(job, before) if {
-	some i, step in job.steps
-	i < before
-	uses := object.get(step, "uses", "")
-	contains(uses, "actions/checkout@")
-}
-
-# `uses:` починається з `owner/repo@` для заданого slug.
-action_uses_matches(uses, slug) if {
-	startswith(uses, concat("", [slug, "@"]))
-}
-
-# Ref після останнього `@` у `uses:` (owner/repo@ref).
-action_uses_ref(uses) := ref if {
-	parts := split(uses, "@")
-	count(parts) >= 2
-	ref := parts[count(parts) - 1]
-}
-
-# SHA-pin — semver-політика не застосовується.
-action_ref_is_sha_pin(ref) if {
-	regex.match(`^[0-9a-fA-F]{40}$`, ref)
-}
-
-# Semver ref >= min (обидва як X.Y.Z після optional `v`).
-action_ref_meets_min(ref, _) if {
-	action_ref_is_sha_pin(ref)
-}
-
-action_ref_meets_min(ref, min_ver) if {
-	not action_ref_is_sha_pin(ref)
-	version_triple_gte(version_triple(ref), version_triple(min_ver))
-}
-
-version_triple(raw) := [major, minor, patch] if {
-	stripped := trim_prefix(trim_prefix(raw, "v"), "V")
-	parts := split_to_numbers(stripped)
-	major := version_part(parts, 0)
-	minor := version_part(parts, 1)
-	patch := version_part(parts, 2)
-}
-
-version_part(parts, idx) := parts[idx] if {
-	count(parts) > idx
-}
-
-else := 0
-
-version_triple_gte(a, b) if {
-	a[0] > b[0]
-}
-
-version_triple_gte(a, b) if {
-	a[0] == b[0]
-	a[1] > b[1]
-}
-
-version_triple_gte(a, b) if {
-	a[0] == b[0]
-	a[1] == b[1]
-	a[2] >= b[2]
-}
-
-split_to_numbers(spec) := nums if {
-	tokens := regex.split(`\D+`, spec)
-	non_empty := [t | some t in tokens; t != ""]
-	nums := [n | some t in non_empty; n := to_number(t)]
-}

package/rules/ga/workflows/concern.json

@@ -1,8 +0,0 @@
-{
-  "$schema": "https://unpkg.com/@7n/rules/schemas/concern.json",
-  "fixability": "config",
-  "lint": {
-    "scope": "full",
-    "glob": [".github/workflows/**"]
-  }
-}

package/rules/ga/workflows/docs/fix-workflows.md

@@ -1,37 +0,0 @@
----
-type: JS Module
-title: fix-workflows.mjs
-resource: npm/rules/ga/workflows/fix-workflows.mjs
-docgen:
-  crc: 5f7fc736
----
-
-## Огляд
-
-T0-autofix для `ga/workflows`: детерміновані текстові правки GitHub Actions workflow-файлів без
-участі LLM, керовані structured fix-hint детектора (поле `data.kind` у violation). Виконується у
-fix-фазі перед LLM-ладдером; правки незворотні (поза rollback), а коректність підтверджує
-повторний прогін детектора.
-
-## Поведінка
-
-- **checkout-persist-credentials** — у кожен крок `actions/checkout`, де бракує
-  `persist-credentials: false`, дописує цей ключ: створює блок `with:` (відступ за колонкою
-  `uses:`) або додає ключ у наявний `with:`. Кілька checkout-кроків у файлі обробляються всі.
-- **unmatched-paths-glob** — прибирає з `on.<event>.paths` (push / pull_request) list-елементи,
-  що відповідають застарілим glob-ам із fix-hint; видалення обмежене блоком `paths:`, тож
-  однойменні значення деінде не зачіпаються.
-
-Правки текстові — коментарі, форматування й порожні рядки зберігаються, diff мінімальний.
-
-## Публічний API
-
-- `patterns` — масив T0-патернів (`id` / `test` / `apply`), що його споживає центральний fix-pipeline.
-- `addPersistCredentials`, `removePathsGlobs` — чисті трансформери вмісту файлу: повертають новий
-  текст або `null`, якщо змін немає.
-
-## Гарантії поведінки
-
-- Жодного запису без фактичної зміни вмісту; перед записом реєструється pre-image через `recordWrite`.
-- Регулярні вирази лінійні (без ReDoS); парсинг list-елементів — рядковими операціями.
-- Не-checkout кроки та значення поза блоком `paths:` лишаються недоторканими.

package/rules/ga/workflows/docs/main.md

@@ -1,38 +0,0 @@
----
-type: JS Module
-title: main.mjs
-resource: npm/rules/ga/workflows/main.mjs
-docgen:
-  crc: ac064a5f
----
-
-## Огляд
-
-Please provide the code you want me to document.
-
-## Поведінка
-
-Поведінка:
-checkShellcheckInstalled перевіряє локальну наявність інструменту `shellcheck` у системному PATH, щоб забезпечити узгодженість логіки CI та локального запуску.
-main виконує комплексну перевірку відповідності репозиторію правилам `ga.mdc`, включаючи валідацію структури GitHub Actions workflow, аналіз посилань на файли за допомогою `git ls-files` та пошук залишків MegaLinter. При цьому він ігнорує шляхи, що стосуються `.github` та `.git`.
-lint запускає стандартний лінтинг, який включає перевірку `actionlint` та `zizmor` для забезпечення якості YAML-файлів та робочого середовища, а також ініціює повну перевірку `main`.
-runLintGaCli запускає процес лінтингу `ga` через командний інтерфейс.
-
-## Публічний API
-
-Підтверджую. Я дію як технічний письменник.
-
-Ось переписаний список у вигляді стислих маркерів відповідно до ваших вимог:
-
-- checkShellcheckInstalled — Визначає, чи є інструмент `shellcheck` у системному шляху, щоб уникнути ложного позитивного результату локального линтування, коли CI-оркестр вимагає його присутності.
-- main — Валідує відповідність усієї проєктної конфігурації вимогам, визначеним у `ga.mdc`.
-- Plan B-патерн — Виконує первинну валідацію структури CI-workflow за допомогою Rego-полісі у `npm/policy/ga/`; додатково проводить крос-файлові перевірки та аналіз конфігурацій (наприклад, для VS Code), ініційовавши цей процес за допомогою `bun run lint-ga`.
-- lint — Виконує повноцінний аналіз конфігурацій CI/CD з використанням `actionlint` та `zizmor`.
-- runLintGaCli — Запускає повний набір перевірок, що включають Rego-валідацію, аналіз `actionlint` та зовнішні інструменти для забезпечення консистентності конфігурацій проєкту.
-
-## Гарантії поведінки
-
-- Read-only: не виконує операцій запису (ФС/БД).
-- Перехоплює помилки і не пропускає винятків назовні (fail-safe).
-- За певних помилок повертає порожнє значення (напр. `null`) замість винятку.
-- Свідомо пропускає шляхи: `.github`, `.git`.

package/rules/ga/workflows/fix-workflows.mjs

@@ -1,212 +0,0 @@
-/** @see ./docs/fix-workflows.md */
-
-/**
- * T0-autofix для `ga/workflows` — детерміновані правки, керовані structured `data`
- * детектора (#3 fix-hints), БЕЗ LLM. Покриває дві механічні родини порушень:
- *   - `checkout-persist-credentials` — дописати `with: persist-credentials: false`
- *     у кожен `actions/checkout` крок, де його бракує;
- *   - `unmatched-paths-glob` — прибрати застарілий glob із `on.<event>.paths`.
- *
- * Трансформації **текстові** (зберігають коментарі/формат/blank-lines, мінімальний diff);
- * семантичну коректність гарантує canonical re-detect runner-а (T0 permanent, поза rollback).
- * Чисті трансформери експортуються для unit-тестів.
- */
-import { applyToFiles } from '../../../scripts/utils/apply-to-files.mjs'
-
-const CHECKOUT_USES_RE = /uses:\s*actions\/checkout@/u
-const WITH_LINE_RE = /^\s*with:\s*$/u
-const PERSIST_KEY_RE = /^\s*persist-credentials\s*:/u
-const QUOTE_EDGE_RE = /^['"]|['"]$/gu
-const PATHS_KEY_RE = /^\s*paths:\s*$/u
-
-/**
- * Індекс першого непорожнього рядка з `from` (включно).
- * @param {string[]} lines усі рядки
- * @param {number} from стартовий індекс
- * @returns {number} індекс непорожнього рядка (або `lines.length`)
- */
-function nextNonEmpty(lines, from) {
-  let j = from
-  while (j < lines.length && lines[j].trim() === '') j++
-  return j
-}
-
-/**
- * Чи блок `with:` (на рядку `withLine`, колонка ключа `col`) уже містить
- * `persist-credentials`. Скан до dedent.
- * @param {string[]} lines усі рядки
- * @param {number} withLine індекс рядка `with:`
- * @param {number} col колонка ключа `with:`
- * @returns {boolean} true, якщо ключ уже присутній
- */
-function withBlockHasPersist(lines, withLine, col) {
-  for (let k = withLine + 1; k < lines.length; k++) {
-    if (lines[k].trim() === '') continue
-    const c = lines[k].length - lines[k].trimStart().length
-    if (c <= col) return false // dedent → блок завершився
-    if (PERSIST_KEY_RE.test(lines[k])) return true
-  }
-  return false
-}
-
-/**
- * Insert-план для одного `actions/checkout` кроку на рядку `i` (колонка `uses:` = `col`).
- * @param {string[]} lines усі рядки
- * @param {number} i індекс рядка `uses:`
- * @param {number} col колонка `uses:`
- * @returns {{ at: number, text: string[] } | null} вставка або null, якщо ключ уже є
- */
-function persistInsertFor(lines, i, col) {
-  const ind = ' '.repeat(col)
-  const j = nextNonEmpty(lines, i + 1)
-  const hasWithBlock = j < lines.length && WITH_LINE_RE.test(lines[j]) && lines[j].indexOf('with:') === col
-  if (hasWithBlock) {
-    return withBlockHasPersist(lines, j, col) ? null : { at: j + 1, text: [`${ind}  persist-credentials: false`] }
-  }
-  return { at: i + 1, text: [`${ind}with:`, `${ind}  persist-credentials: false`] }
-}
-
-/**
- * Дописує `with: persist-credentials: false` у кожен `actions/checkout` крок,
- * де його бракує. Дві форми: крок без `with:` (створити блок) і з наявним `with:`
- * (вставити ключ). Відступ `with:` = колонка `uses:`; ключа = +2.
- * @param {string} content вміст workflow-файла
- * @returns {string|null} новий вміст або null, якщо нічого не змінилось
- */
-export function addPersistCredentials(content) {
-  const lines = content.split('\n')
-  /** @type {Array<{ at: number, text: string[] }>} */
-  const inserts = []
-  for (let i = 0; i < lines.length; i++) {
-    const col = lines[i].indexOf('uses:')
-    if (col === -1 || !CHECKOUT_USES_RE.test(lines[i])) continue
-    const ins = persistInsertFor(lines, i, col)
-    if (ins) inserts.push(ins)
-  }
-  if (inserts.length === 0) return null
-  // Згори вниз — індекси не зсуваються під час splice.
-  inserts.sort((a, b) => b.at - a.at)
-  for (const ins of inserts) lines.splice(ins.at, 0, ...ins.text)
-  return lines.join('\n')
-}
-
-/**
- * Прибирає list-елементи із заданими значеннями всередині блоків `paths:`
- * (`on.push.paths` / `on.pull_request.paths`). Scoped до paths-блоку, щоб не
- * зачепити однойменні значення деінде.
- * @param {string} content вміст workflow-файла
- * @param {Set<string>} globs значення glob-ів на видалення (без лапок)
- * @returns {string|null} новий вміст або null, якщо нічого не змінилось
- */
-export function removePathsGlobs(content, globs) {
-  const lines = content.split('\n')
-  /** @type {string[]} */
-  const out = []
-  let pathsCol = -1 // колонка ключа `paths:` поточного блоку; -1 = поза блоком
-  let changed = false
-  for (const line of lines) {
-    if (PATHS_KEY_RE.test(line)) {
-      pathsCol = line.indexOf('paths:')
-      out.push(line)
-      continue
-    }
-    if (pathsCol >= 0 && line.trim() !== '') {
-      const col = line.length - line.trimStart().length
-      if (col > pathsCol) {
-        // Лінійний парс list-елемента `- <value>` (без regex → без ReDoS).
-        const trimmed = line.trimStart()
-        if (trimmed.startsWith('- ')) {
-          const val = trimmed.slice(2).trim().replace(QUOTE_EDGE_RE, '')
-          if (globs.has(val)) {
-            changed = true
-            continue // викидаємо рядок
-          }
-        }
-        out.push(line)
-        continue
-      }
-      pathsCol = -1 // dedent → блок `paths:` завершився
-    }
-    out.push(line)
-  }
-  return changed ? out.join('\n') : null
-}
-
-const WRAPPED_NCURSOR_RE = /\b(?:bunx|npx)\s+n-(?:cursor|rules)/u
-const RUN_INLINE_NCURSOR_MATCH = /^(\s*(?:-\s*)?run:\s*)n-(?:cursor|rules)(\s.*)$/u
-const BARE_LINE_NCURSOR_MATCH = /^(\s+)n-(?:cursor|rules)(\s.*)$/u
-
-/**
- * Префіксує bare `n-rules …` (чи legacy `n-rules …`) у `run`-кроках через `bunx n-rules` (у CI
- * бінарник не на PATH). Пропускає рядки, де вже є `bunx`/`npx`. Покриває inline `run:` і рядок у run-блоці.
- * @param {string} content вміст workflow-файла
- * @returns {string|null} новий вміст або null, якщо нічого не змінилось
- */
-export function prefixBunxNCursor(content) {
-  let changed = false
-  const out = content.split('\n').map(line => {
-    if (WRAPPED_NCURSOR_RE.test(line)) return line
-    const inline = RUN_INLINE_NCURSOR_MATCH.exec(line)
-    if (inline) {
-      changed = true
-      return `${inline[1]}bunx n-rules${inline[2]}`
-    }
-    const bare = BARE_LINE_NCURSOR_MATCH.exec(line)
-    if (bare) {
-      changed = true
-      return `${bare[1]}bunx n-rules${bare[2]}`
-    }
-    return line
-  })
-  return changed ? out.join('\n') : null
-}
-
-/** @type {import('../../../scripts/lib/lint-surface/types.mjs').T0Pattern[]} */
-export const patterns = [
-  {
-    id: 'ga-workflows-checkout-persist-credentials',
-    test: violations => violations.some(v => v.data?.kind === 'checkout-persist-credentials' && v.file),
-    apply: (violations, ctx) => {
-      const targets = violations.filter(v => v.data?.kind === 'checkout-persist-credentials' && v.file)
-      const touchedFiles = applyToFiles(targets, ctx, () => addPersistCredentials)
-      return touchedFiles.length > 0
-        ? { touchedFiles, message: `persist-credentials: false → ${touchedFiles.length} workflow(s)` }
-        : { touchedFiles: [] }
-    }
-  },
-  {
-    id: 'ga-workflows-unmatched-paths-glob',
-    test: violations => violations.some(v => v.data?.kind === 'unmatched-paths-glob' && v.file),
-    apply: (violations, ctx) => {
-      const targets = violations.filter(v => v.data?.kind === 'unmatched-paths-glob' && v.file)
-      // Глоби на видалення згруповані per-file.
-      /** @type {Map<string, Set<string>>} */
-      const byFile = new Map()
-      for (const v of targets) {
-        const glob = typeof v.data?.glob === 'string' ? v.data.glob : null
-        if (!glob) continue
-        if (!byFile.has(v.file)) byFile.set(v.file, new Set())
-        byFile.get(v.file).add(glob)
-      }
-      const touchedFiles = applyToFiles(
-        targets,
-        ctx,
-        rel => content => removePathsGlobs(content, byFile.get(rel) ?? new Set())
-      )
-      return touchedFiles.length > 0
-        ? { touchedFiles, message: `прибрано не-матчені paths-glob у ${touchedFiles.length} файл(ах)` }
-        : { touchedFiles: [] }
-    }
-  },
-  {
-    id: 'ga-workflows-bare-n-rules',
-    test: violations => violations.some(v => v.data?.kind === 'bare-n-rules' && v.file),
-    apply: (violations, ctx) => {
-      const targets = violations.filter(v => v.data?.kind === 'bare-n-rules' && v.file)
-      const touchedFiles = applyToFiles(targets, ctx, () => prefixBunxNCursor)
-      return touchedFiles.length > 0
-        ? { touchedFiles, message: `bunx-префікс n-rules → ${touchedFiles.length} workflow(s)` }
-        : { touchedFiles: [] }
-    }
-  }
-]