@7n/rules 1.43.0 → 1.44.0

package/rules/tauri/linux_deps/docs/main.md

@@ -3,34 +3,41 @@ type: JS Module
 title: main.mjs
 resource: npm/rules/tauri/linux_deps/main.mjs
 docgen:
-  crc: add9f0f3
+  crc: cf2b4f30
+  model: openai-codex/gpt-5.4-mini
+  tier: cloud-min
+  score: 100
+  issues: judge:error
+  judgeModel: openai-codex/gpt-5.4-mini
 ---
 
 ## Огляд
 
-Read-only detector концерну `tauri/linux_deps` (tauri.mdc). У Tauri-проєкті перевіряє, що `.github/workflows/lint-rust.yml` містить крок встановлення системних залежностей Linux — без них Clippy падає на збірці `-sys`-крейтів (webkit2gtk, gtk, appindicator), чиї build-скрипти шукають системні бібліотеки через pkg-config.
+Детектор `scanLinuxDeps` перевіряє, чи в Tauri-workspace файл `LINT_RUST_YML` містить крок `MISSING_LINUX_DEPS_STEP` з `apt-get install` для `REQUIRED_LINUX_PACKAGES` із `MISSING_LINUX_DEPS_PACKAGES`. Це потрібно, щоб Clippy у Linux не падав на збірці `-sys`-crate’ів через відсутні системні `.pc`-файли, які шукає `pkg-config` під час перевірки Rust-частини. `lint` застосовує цю перевірку лише до потрібного workflow і свідомо пропускає `.github` та `.git`, не зачіпаючи інші файли чи етапи збірки.
 
 ## Поведінка
 
-- Правило активується лише коли хоч у одному workspace-пакеті є `src-tauri/Cargo.toml`; інакше — жодних порушень.
-- Якщо `.github/workflows/lint-rust.yml` відсутній — порушення не звітується: існування файла перевіряє `rust.lint_rust_yml`.
-- Аналіз текстовий (не YAML-AST), як у `rust/toolchain_cache`: шукається перший рядок з `apt-get install`, а канонічні пакети — як substring по всьому файлу (пакет може стояти на continuation-рядку багаторядкового `run: |`).
-- Немає жодного `apt-get install` → порушення `missing-linux-deps-step`.
-- apt-рядок є, але бракує канонічних пакетів → порушення `missing-linux-deps-packages` з переліком відсутніх у `data.missing`.
-- Перевірка — підмножина: додаткові пакети в apt-рядку дозволені.
+Модуль працює лише для Tauri-проєкту: якщо в workspace є `src-tauri`, перевірка націлюється на `.github/workflows/lint-rust.yml`, а якщо таких проєктів немає — завершується без результату. Файл workflow читається як plain text, бо потрібна саме поведінкова звірка готового CI-кроку, а не структурний розбір; `scanLinuxDeps` знаходить наявність apt-встановлення та збирає перелік канонічних пакетів, яких бракує у вмісті файла. `REQUIRED_LINUX_PACKAGES` задає мінімальний набір Linux dev-залежностей для Clippy на Tauri, а `LINT_RUST_YML` фіксує єдиний цільовий workflow. Якщо кроку встановлення немає, `lint` формує порушення з `MISSING_LINUX_DEPS_STEP="missing-linux-deps-step"`; якщо крок є, але не всі канонічні пакети присутні, використовується `MISSING_LINUX_DEPS_PACKAGES="missing-linux-deps-packages"`. У повідомленнях і правилах послідовно відображається очікування з (tauri.mdc), а відсутній `.github/workflows/lint-rust.yml` вважається поза сферою цього детектора, бо його існування контролюється окремо.
 
 ## Публічний API
 
-- `MISSING_LINUX_DEPS_STEP`, `MISSING_LINUX_DEPS_PACKAGES` — стабільні reason-коди порушень.
-- `LINT_RUST_YML` — шлях цільового workflow-файла.
-- `REQUIRED_LINUX_PACKAGES` — канонічні dev-пакети Tauri v2: `libwebkit2gtk-4.1-dev` (WebView), `libayatana-appindicator3-dev` (tray), `librsvg2-dev` (іконки).
-- `scanLinuxDeps(content)` — сканує вміст workflow: `{ aptLine, missing }` (індекс першого apt-рядка або −1; відсутні канонічні пакети).
-- `lint(ctx)` — стандартна lint-поверхня концерну; повертає результат із порушеннями.
-
-## Де використовується
-
-- Автофікс `fix-linux_deps.mjs` імпортує `scanLinuxDeps`/`REQUIRED_LINUX_PACKAGES` і reason-коди для T0-патернів.
+- MISSING_LINUX_DEPS_STEP — Стабільний reason: у CI-workflow немає apt-кроку встановлення Linux-залежностей Tauri.
+- MISSING_LINUX_DEPS_PACKAGES — Стабільний reason: apt-крок є, але в ньому бракує канонічних пакетів.
+- LINT_RUST_YML — Цільовий workflow-файл (канон `rust.lint_rust_yml`).
+- REQUIRED_LINUX_PACKAGES — Канонічні dev-пакети для компіляції Tauri v2 на ubuntu-runner-і:
+webkit2gtk-4.1 (WebView), ayatana-appindicator (tray), rsvg (іконки).
+Перевірка — підмножина: додаткові пакети в apt-рядку дозволені.
+- scanLinuxDeps — Сканує вміст workflow: перший `apt-get install`-рядок і перелік канонічних
+пакетів, яких немає ніде у файлі (substring — пакет може стояти на
+continuation-рядку багаторядкового `run: |`).
+- lint — запускає набір правил для Rust-робочого дерева та повідомляє про проблеми в проектах, залежностях і CI-налаштуваннях, пов’язаних із Linux; у повідомленнях використовує маркер (tauri.mdc)
+
+Поводження:
+- Якщо не вистачає Linux-залежностей, фіксує це через `MISSING_LINUX_DEPS_STEP="missing-linux-deps-step"` і `MISSING_LINUX_DEPS_PACKAGES="missing-linux-deps-packages"`, щоб окремо показати крок і перелік пакетів для встановлення.
+- Для перевірок Rust CI орієнтується на `LINT_RUST_YML=".github/workflows/lint-rust.yml"`, щоб прив’язати результати до конкретного workflow-файла.
 
 ## Гарантії поведінки
 
-- Read-only: не виконує операцій запису (ФС/БД).
+- Власних операцій запису (ФС/БД) у файлі немає; виклики імпортованих модулів можуть писати.
+- Кешує результати в межах одного прогону.
+- Свідомо пропускає шляхи: `.github`, `.git`.

package/rules/tauri/linux_deps/main.mjs

@@ -20,8 +20,9 @@ import { join } from 'node:path'
 import { createViolationReporter } from '../../../scripts/lib/lint-surface/violation-reporter.mjs'
 import { findSrcTauriDirs } from '../cargo_mutants_config/main.mjs'
 
-/** Стабільні reasons: apt-кроку немає взагалі / у ньому бракує канонічних пакетів. */
+/** Стабільний reason: у CI-workflow немає apt-кроку встановлення Linux-залежностей Tauri. */
 export const MISSING_LINUX_DEPS_STEP = 'missing-linux-deps-step'
+/** Стабільний reason: apt-крок є, але в ньому бракує канонічних пакетів. */
 export const MISSING_LINUX_DEPS_PACKAGES = 'missing-linux-deps-packages'
 
 /** Цільовий workflow-файл (канон `rust.lint_rust_yml`). */

package/rules/tauri/release/docs/main.md

@@ -3,30 +3,38 @@ type: JS Module
 title: main.mjs
 resource: npm/rules/tauri/release/main.mjs
 docgen:
-  crc: 91e1c73d
+  crc: fc5e2737
   model: openai-codex/gpt-5.4-mini
+  tier: cloud-min
   score: 100
-  issues: judge:inaccurate:0.98
+  issues: judge-refine:kept-original,judge:inaccurate:0.99
   judgeModel: openai-codex/gpt-5.4-mini
 ---
 
 ## Огляд
 
-`lint` перевіряє готовність Tauri-застосунків у репозиторії до release-потоку на основі `tauri.conf.json` і `latest.json`. Він дає змогу зосередити перевірку на релізних налаштуваннях Tauri, не зачіпаючи `.github` та `.git`.
+Файл запускає `lint` для перевірки Tauri-застосунків у workspace, знаходить їхні каталоги через `findTauriAppDirs` і окремо звіряє наявність workflow dispatch через `hasWorkflowDispatch`. Для релізного контуру використовує `CHANGELOG_RELEASE_WORKFLOW` і `RELEASE_WORKFLOW`, щоб тримати в полі зору canonical workflow для changelog і release. Свідомо пропускає `.github` і `.git`, звертається до мережі, працює з кешуванням у межах прогону та поводиться fail-safe: помилки перехоплює і не викидає назовні.
 
 ## Поведінка
 
-1. `lint` знаходить усі workspace-каталоги з Tauri-застосунками, пропускаючи `.github` і `.git`, та бере до уваги лише репозиторії, де є `tauri.conf.json`.
-2. Для кожного такого застосунку `lint` перевіряє готовність `tauri.conf.json` до release: чи увімкнено генерацію updater-артефактів, чи задано public key для updater і чи endpoint веде на `latest.json`.
-3. `lint` контролює наявність `changelog-release.yml` як точки запуску release-процесу з changelog-змін, щоб релізи стартували від змін у `.changes`.
-4. `lint` перевіряє, що `changelog-release.yml` реагує на push у відповідні `.changes`-шляхи для знайдених застосунків, має ручний запуск і захищений від повторного запуску release-циклом.
-5. `lint` перевіряє, що `changelog-release.yml` має достатні права для запуску release-потоку та диспатчу наступного workflow.
-6. `lint` контролює наявність `release.yml` як основного каналу збірки й публікації release-артефактів.
-7. `lint` перевіряє, що `release.yml` запускається на тегах `v*`, підтримує ручний запуск і синхронізує версію в `tauri.conf.json` до кроку публікації через Tauri.
-8. `lint` не змінює файли, працює read-only і повертає результат у fail-safe режимі: помилки фіксуються як порушення, а не пробиваються назовні винятками.
+`lint` запускає повну перевірку Tauri-налаштувань у межах одного прогону: спершу `findTauriAppDirs` знаходить усі workspace з Tauri-застосунками за `tauri.conf.json`, після чого результати передаються в правила для конфігів і GitHub Actions. Для workflow-частини `CHANGELOG_RELEASE_WORKFLOW` і `RELEASE_WORKFLOW` задають канонічні шляхи `.github/workflows/changelog-release.yml` і `.github/workflows/release.yml`, а `hasWorkflowDispatch` використовується як спільна перевірка на наявність `workflow_dispatch` у корені workflow. Дані читаються з `tauri.conf.json` і `latest.json`, а також з workflow-файлів; результати йдуть у fail-safe reporting, без винесення винятків назовні. У межах прогону діє кешування, тому повторні звернення до вже прочитаних артефактів не дублюють роботу. Перевірки свідомо оминають `.github` і `.git`, щоб не змішувати службові каталоги з робочими шляхами застосунків. Для релізного циклу потік також враховує віддалений доступ через URL на кшталт `https://x-access-token:\`, щоб узгодити автоматизацію оновлень і публікації без ручного втручання.
+
+## Публічний API
+
+- CHANGELOG_RELEASE_WORKFLOW — Шлях workflow, що на push у main бампає версію з change-файлів і створює тег.
+- RELEASE_WORKFLOW — Шлях workflow, що на тег збирає й публікує реліз Tauri-застосунку.
+- findTauriAppDirs — Знаходить workspace-каталоги з Tauri-застосунком (`<ws>/src-tauri/tauri.conf.json` чи legacy `<ws>/tauri.conf.json`).
+- hasWorkflowDispatch — Чи `on.workflow_dispatch` присутній у корені workflow.
+- lint — запускає перевірки для шляху з репозиторію; якщо шлях вказує на змінений файл, пропускає лише релевантні правила і не чіпає інше.
+- CHANGELOG_RELEASE_WORKFLOW=".github/workflows/changelog-release.yml" — константа для workflow, що готує changelog-реліз.
+- RELEASE_WORKFLOW=".github/workflows/release.yml" — константа для workflow, що запускає релізний процес.
+- https://x-access-token:\ — базовий шаблон URL для доступу до GitHub через token-автентифікацію під час мережевих операцій.
+- tauri.conf.json — джерело налаштувань Tauri, з яких код бере параметри застосунку.
+- latest.json — файл з даними про останній доступний реліз, які використовуються для оновлень.
 
 ## Гарантії поведінки
 
-- Read-only: не виконує операцій запису (ФС/БД).
+- Власних операцій запису (ФС/БД) у файлі немає; виклики імпортованих модулів можуть писати.
 - Перехоплює помилки і не пропускає винятків назовні (fail-safe).
+- Кешує результати в межах одного прогону.
 - Свідомо пропускає шляхи: `.github`, `.git`.

package/rules/tauri/release/main.mjs

@@ -7,7 +7,9 @@ import { flattenWorkflowSteps, getStepRun, getStepUses, parseWorkflowYaml } from
 import { createViolationReporter } from '../../../scripts/lib/lint-surface/violation-reporter.mjs'
 import { getMonorepoPackageRootDirs } from '../../../scripts/lib/workspaces.mjs'
 
+/** Шлях workflow, що на push у main бампає версію з change-файлів і створює тег. */
 export const CHANGELOG_RELEASE_WORKFLOW = '.github/workflows/changelog-release.yml'
+/** Шлях workflow, що на тег збирає й публікує реліз Tauri-застосунку. */
 export const RELEASE_WORKFLOW = '.github/workflows/release.yml'
 const VERSION_WORD_RE = /version/iu
 

package/rules/tauri/updater/docs/main.md

@@ -3,30 +3,47 @@ type: JS Module
 title: main.mjs
 resource: npm/rules/tauri/updater/main.mjs
 docgen:
-  crc: d08660a5
-  model: openai-codex/gpt-5.4-mini
+  crc: 98c501bd
+  model: openai-codex/gpt-5.5
+  tier: cloud-avg
   score: 100
-  issues: judge:inaccurate:0.98
+  issues: judge-refine:kept-original,judge:inaccurate:0.99
   judgeModel: openai-codex/gpt-5.4-mini
 ---
 
 ## Огляд
 
-`lint` читає конфігурації Tauri-застосунків у монорепо та перевіряє, що налаштування й залежності узгоджені між `tauri.conf.json` і `package.json`. Якщо під час перевірки трапляється помилка, вона не виходить назовні; результатом лишається fail-safe повідомлення без змін у файловій системі чи БД.
+Файл відповідає за fail-safe lint Tauri updater-сценарію в знайдених робочих просторах застосунків: через `findTauriAppWorkspaces` і `lint` перевіряє конфігурацію, залежності, Rust/Cargo-секції, permissions і frontend entrypoints. `MIN_TAURI_COMPONENTS_VERSION` задає мінімальну очікувану версію Tauri-компонентів, а `CARGO_TARGET_SECTION_RE` допомагає розпізнавати релевантні Cargo-секції. Перевірка потрібна, щоб виявляти неповне або некоректне підключення updater без зупинки виконання через винятки назовні.
 
 ## Поведінка
 
-1. `lint` знаходить у монорепо workspace-каталоги з Tauri-застосунком за наявністю `tauri.conf.json`.
-2. Для кожного такого workspace перевіряє `package.json`: чи є `@7n/tauri-components` не нижче `0.8`, а також `@tauri-apps/plugin-updater` і `@tauri-apps/plugin-process` версії `2`.
-3. Перевіряє `src-tauri/Cargo.toml`: чи присутній `tauri-plugin-process`, а `tauri-plugin-updater` оголошений лише для desktop-збірки.
-4. Перевіряє `src-tauri/src/lib.rs`: чи зареєстровані `tauri_plugin_process` і `tauri_plugin_updater`, та чи updater під захистом desktop-умови.
-5. Перевіряє `src-tauri/capabilities/*.json`: чи надані permissions `updater:default` і `process:allow-restart`.
-6. Перевіряє `src/**/*.vue`: чи бодай один Vue-компонент використовує `useUpdater` з `@7n/tauri-components/vue`.
-7. Перевіряє `src/main.{js,ts}` Quasar-застосунків: чи підключено плагін `Dialog` (імпорт з `quasar` і присутність у `plugins: {...}`) — без нього діалог оновлення від `useUpdater()` падає з `TypeError: e.dialog is not a function` мовчки, у `console.error`.
-8. Якщо жодного Tauri-workspace не знайдено, `lint` завершується без зауважень.
-9. Під час перевірок `lint` не змінює файлову систему і не кидає помилки назовні; усі порушення повертає як звіт.
+`lint` запускає fail-safe перевірку Tauri updater-конфігурації: знаходить застосунки через `findTauriAppWorkspaces`, читає `tauri.conf.json`, `package.json`, Cargo, Rust, capabilities та Vue/Quasar entrypoints, після чого повертає структурований результат із pass/fail-повідомленнями замість винятків.
+
+`findTauriAppWorkspaces` визначає workspace-и, де є Tauri-конфігурація, і саме цей список задає межі всіх подальших перевірок. Для кожного знайденого workspace-а `lint` послідовно звіряє JS-залежності, Rust-залежності, реєстрацію плагінів, permission-и, наявність виклику updater-хука та підключення Quasar Dialog, щоб гарантувати не лише встановлені пакети, а й видимий користувачу сценарій оновлення.
+
+`MIN_TAURI_COMPONENTS_VERSION` задає мінімально прийнятну версію UI-компонентів updater-а; `meetsMinVersion` використовує нижню межу версійного діапазону для перевірки цього мінімуму, а `hasMajor` окремо контролює очікувану major-лінійку залежностей.
+
+Для Cargo-перевірок `groupCargoDepsBySection` перетворює вміст маніфеста на секційний контекст, а `findSectionDeclaring` визначає, у якій секції оголошена потрібна залежність. `CARGO_TARGET_SECTION_RE` і `CARGO_MOBILE_SECTION_RE` відокремлюють платформні секції від загальних, щоб updater/process-залежності не потрапляли в мобільний або неправильний target-контекст. `CARGO_DESKTOP_TARGET_HEADER="target.\"` позначає desktop target-секцію Cargo, у якій очікуються desktop-специфічні залежності.
+
+`collectCapabilityPermissionIds` збирає permission-ідентифікатори з capability-файлів workspace-а, після чого `lint` перевіряє наявність дозволів, потрібних для перевірки оновлень і перезапуску застосунку. Результати всіх підперевірок агрегуються в один lint-висновок без запису у файлову систему і без спільного стану між workspace-ами.
+
+## Публічний API
+
+- MIN_TAURI_COMPONENTS_VERSION — Мінімально допустима версія tauri-plugin-updater-сумісних компонентів (major, minor, patch).
+- CARGO_TARGET_SECTION_RE — Розпізнає target-специфічну секцію залежностей у Cargo.toml.
+- CARGO_MOBILE_SECTION_RE — Розпізнає мобільну (Android/iOS) target-секцію — updater там не потрібен.
+- CARGO_DESKTOP_TARGET_HEADER — Канонічний заголовок desktop-only секції залежностей, куди має потрапити updater-плагін.
+- findTauriAppWorkspaces — Знаходить workspace-каталоги з Tauri-застосунком (`<ws>/src-tauri/tauri.conf.json` чи legacy `<ws>/tauri.conf.json`).
+- meetsMinVersion — Чи нижня межа `range` >= `min` (порівняння major.minor.patch).
+- hasMajor — Чи мажорна версія `range` дорівнює очікуваній.
+- groupCargoDepsBySection — Групує рядки Cargo.toml за заголовком секції `[...]` для контекстного пошуку залежностей.
+- findSectionDeclaring — Знаходить назву секції Cargo.toml, що оголошує задану залежність.
+- collectCapabilityPermissionIds — Збирає всі permission-ідентифікатори з `capabilities/*.json` workspace-каталогу.
+- `lint` — знаходить некоректно оформлені параметри `path` у Tauri/Cargo desktop-налаштуваннях і підказує, де очікується узгодження з конфігами `tauri.conf.json` та `package.json`.
+
+Експортована константа-рядок `CARGO_DESKTOP_TARGET_HEADER="target.\"` позначає початок desktop-секції Cargo target, щоб правило відрізняло платформні налаштування від загальних.
 
 ## Гарантії поведінки
 
-- Read-only: не виконує операцій запису (ФС/БД).
+- Власних операцій запису (ФС/БД) у файлі немає; виклики імпортованих модулів можуть писати.
 - Перехоплює помилки і не пропускає винятків назовні (fail-safe).

package/rules/tauri/updater/main.mjs

@@ -8,12 +8,16 @@ import { globby } from 'globby'
 import { createViolationReporter } from '../../../scripts/lib/lint-surface/violation-reporter.mjs'
 import { getMonorepoPackageRootDirs } from '../../../scripts/lib/workspaces.mjs'
 
+/** Мінімально допустима версія tauri-plugin-updater-сумісних компонентів (major, minor, patch). */
 export const MIN_TAURI_COMPONENTS_VERSION = [0, 8, 0]
 const CARGO_TABLE_HEADER_RE = /^\[(.+)\]\s*$/u
 const CARGO_DEP_KEY_RE = /^([A-Za-z0-9_-]+)\s*=/u
 const SEMVER_FLOOR_RE = /(\d+)(?:\.(\d+))?(?:\.(\d+))?/u
+/** Розпізнає target-специфічну секцію залежностей у Cargo.toml. */
 export const CARGO_TARGET_SECTION_RE = /target\./u
+/** Розпізнає мобільну (Android/iOS) target-секцію — updater там не потрібен. */
 export const CARGO_MOBILE_SECTION_RE = /android|ios/u
+/** Канонічний заголовок desktop-only секції залежностей, куди має потрапити updater-плагін. */
 export const CARGO_DESKTOP_TARGET_HEADER =
   'target.\'cfg(not(any(target_os = "android", target_os = "ios")))\'.dependencies'
 

package/rules/test/coverage/concern.json

@@ -0,0 +1,9 @@
+{
+  "$schema": "https://unpkg.com/@7n/rules/schemas/concern.json",
+  "fixability": "code",
+  "skipLocalTier": true,
+  "lint": {
+    "scope": "per-file",
+    "glob": ["**/*.{js,mjs,cjs,jsx,ts,tsx,vue}"]
+  }
+}

package/rules/test/coverage/fix-worker.mjs

@@ -0,0 +1,111 @@
+/**
+ * fix-worker концерну `coverage` правила `test` (spec 2026-07-22 absorb-7n-test):
+ * LLM-догенерація тестів/stories і починка survived-мутантів через опційні
+ * fix-hooks coverage-провайдерів мовних плагінів.
+ *
+ * Мапа порушення → дія:
+ * - `coverage-below-threshold` з `v.file` (делта-режим) → файли нижче порогу:
+ *   `.vue` → `provider.generateStories` (stories = компонентні тести,
+ *   Storybook-вимір), решта → `provider.generateTests` (assess-need → gen-tests
+ *   усередині провайдера). Розподіл за розширенням робить worker — кожен хук
+ *   отримує лише свої файли (простіше за подвійну фільтрацію в провайдері).
+ * - `mutation-below-threshold` з `v.data.survived` → `provider.fixSurvived`
+ *   (батчеві агентні сесії по мутантах).
+ * - після генерації → `provider.fixFailingTests` (тести, що впали після
+ *   генерації; свіжий vitest-прогін усередині провайдера).
+ *
+ * Fix-hooks опційні в контракті провайдера — перевірка через `typeof`
+ * (assert порту вимагає лише detect/collect/collectPerFile). Хуки отримують
+ * FixContext-поля (model/tier/timeoutMs/recordWrite/chain/signal/feedback);
+ * recordWrite прокидається до кожного місця запису (rollback-контракт ladder-а).
+ * Дедлайн: DEADLINE_FRACTION від ctx.timeoutMs гейтить СТАРТ наступного хука
+ * (як js/eslint fix-worker); залишок бюджету передається хуку як timeoutMs.
+ * Власних retry-циклів немає — success визначає canonical re-detect runner-а.
+ * @typedef {import('../../../scripts/lib/lint-surface/types.mjs').FixWorkerFn} FixWorkerFn
+ * @typedef {import('../../../scripts/lib/lint-surface/types.mjs').FixContext} FixContext
+ * @typedef {import('../../../scripts/lib/lint-surface/types.mjs').LintViolation} LintViolation
+ */
+import { resolveProviders } from './main.mjs'
+
+/** Частка ctx.timeoutMs, після якої не стартує наступний хук (запас до backstop ×1.25). */
+const DEADLINE_FRACTION = 0.8
+
+/** `.vue`-файли → generateStories, решта → generateTests. */
+const VUE_FILE_RE = /\.vue$/
+
+/**
+ * Групує violations концерну за призначенням fix-hooks.
+ * @param {LintViolation[]} violations порушення концерну coverage
+ * @returns {{belowThreshold: Array<{file: string, pct: number, reason: string}>, survived: object[]}} файли нижче порогу + survived-групи
+ */
+export function groupViolations(violations) {
+  const belowThreshold = []
+  const survived = []
+  for (const v of violations) {
+    if (v.reason === 'coverage-below-threshold' && v.file) {
+      belowThreshold.push({ file: v.file, pct: v.data?.pct ?? 0, reason: '' })
+    } else if (v.reason === 'mutation-below-threshold' && Array.isArray(v.data?.survived)) {
+      survived.push(...v.data.survived)
+    }
+  }
+  return { belowThreshold, survived }
+}
+
+/**
+ * FixContext-поля для fix-hook провайдера із залишком бюджету до дедлайну.
+ * @param {FixContext} ctx контекст рунга
+ * @param {number|null} deadlineAt epoch-ms дедлайн worker-а
+ * @returns {FixContext} копія ctx з обрізаним timeoutMs
+ */
+function hookCtx(ctx, deadlineAt) {
+  const remaining = deadlineAt ? Math.max(1000, deadlineAt - Date.now()) : ctx.timeoutMs
+  return { ...ctx, timeoutMs: remaining }
+}
+
+/** @type {FixWorkerFn} */
+export async function fixWorker(violations, ctx, deps = {}) {
+  // Дедлайн фіксується ДО резолву провайдерів — їх завантаження теж у бюджеті рунга.
+  const deadlineAt = ctx.timeoutMs ? Date.now() + Math.round(ctx.timeoutMs * DEADLINE_FRACTION) : null
+  const expired = () => deadlineAt !== null && Date.now() >= deadlineAt
+
+  const providers = await (deps.resolveProviders ?? resolveProviders)(ctx.cwd)
+  const { belowThreshold, survived } = groupViolations(violations)
+  const vueFiles = belowThreshold.filter(f => VUE_FILE_RE.test(f.file))
+  const jsFiles = belowThreshold.filter(f => !VUE_FILE_RE.test(f.file))
+
+  /** @type {string[]} */
+  const touchedFiles = []
+  /**
+   * Викликає опційний fix-hook провайдера, збирає touchedFiles; виняток хука не
+   * валить решту хуків/провайдерів — success визначає canonical re-detect.
+   * @param {object} provider coverage-провайдер плагіна
+   * @param {string} hook імʼя хука
+   * @param {object} args аргументи хука (без ctx)
+   * @returns {Promise<void>}
+   */
+  const runHook = async (provider, hook, args) => {
+    if (typeof provider[hook] !== 'function' || expired()) return
+    try {
+      const res = await provider[hook]({ ...args, cwd: ctx.cwd, ctx: hookCtx(ctx, deadlineAt) })
+      touchedFiles.push(...(res?.touchedFiles ?? []))
+    } catch (error) {
+      console.warn(
+        `⚠ coverage fix-worker: ${provider.id}.${hook} впав: ${String(error?.message ?? error).slice(0, 200)}`
+      )
+    }
+  }
+
+  for (const provider of providers) {
+    if (jsFiles.length > 0) await runHook(provider, 'generateTests', { files: jsFiles })
+    if (vueFiles.length > 0) await runHook(provider, 'generateStories', { files: vueFiles })
+    if (survived.length > 0) await runHook(provider, 'fixSurvived', { survived })
+    // Після генерації: тести, що впали (зокрема щойно згенеровані), чиняться
+    // окремим хуком — свіжий vitest-прогін усередині провайдера. Без жодної
+    // роботи вище (порожній профіль violations) хук не стартує.
+    if (survived.length > 0 || belowThreshold.length > 0) {
+      await runHook(provider, 'fixFailingTests', {})
+    }
+  }
+
+  return { touchedFiles }
+}

package/rules/test/coverage/lib/classify/apply.mjs

@@ -0,0 +1,67 @@
+/**
+ * Застосовує verdicts до coverage rows: фільтрує survived мутантів,
+ * декрементує mutation.total на кількість allowed-gaps, повертає окремий
+ * список allowedGaps для рендеру в COVERAGE.md.
+ *
+ * Skip rule: verdict ∈ {equivalent,defensive,glue,wrapper} AND confidence ≥ threshold.
+ * Решта (включно з worth-testing і low-confidence skip-verdicts) залишаються в survived.
+ */
+
+const SKIP_VERDICTS = new Set(['equivalent', 'defensive', 'glue', 'wrapper'])
+
+/**
+ * Чи verdict кваліфікує мутанта як allowed-gap (виключити з Killable).
+ * @param {{verdict: string, confidence: number}} verdict verdict-об'єкт
+ * @param {number} threshold confidence threshold (наприклад 0.7)
+ * @returns {boolean} true якщо мутант — allowed gap
+ */
+export function isAllowedGap(verdict, threshold) {
+  return SKIP_VERDICTS.has(verdict.verdict) && verdict.confidence >= threshold
+}
+
+/**
+ * Застосовує verdicts до coverage rows. Фільтрує `survived` за isAllowedGap,
+ * зменшує `mutation.total` на скільки мутантів стало allowed-gap.
+ * Не мутує вхідні дані.
+ * @param {Array<{area: string, coverage: object, mutation: {caught: number, total: number}, survived?: Array<{file: string, mutants: Array<object>, exampleTest?: object|null, recommendationText?: string|null}>}>} rows вхідні рядки
+ * @param {Array<{key: string, verdict: {verdict: string, confidence: number, reason: string}}>} verdicts класифіковані verdict-и
+ * @param {number} threshold confidence threshold для allowed-gap
+ * @returns {{rows: Array<object>, allowedGaps: Array<{file: string, mutant: object, verdict: object}>}} augmented rows + список allowed-gaps
+ */
+export function applyVerdicts(rows, verdicts, threshold) {
+  const verdictByKey = new Map()
+  for (const { key, verdict } of verdicts) verdictByKey.set(key, verdict)
+
+  const allowedGaps = []
+
+  const augmentedRows = rows.map(row => {
+    const survived = row.survived ?? []
+    let skippedCount = 0
+    const remainingSurvived = []
+
+    for (const group of survived) {
+      const remainingMutants = []
+      for (const mutant of group.mutants) {
+        const key = `${group.file}:${mutant.line}:${mutant.col}:${mutant.replacement}`
+        const verdict = verdictByKey.get(key)
+        if (verdict && isAllowedGap(verdict, threshold)) {
+          allowedGaps.push({ file: group.file, mutant, verdict })
+          skippedCount += 1
+        } else {
+          remainingMutants.push(mutant)
+        }
+      }
+      if (remainingMutants.length > 0) {
+        remainingSurvived.push({ ...group, mutants: remainingMutants })
+      }
+    }
+
+    return {
+      ...row,
+      survived: remainingSurvived,
+      mutation: { ...row.mutation, total: row.mutation.total - skippedCount }
+    }
+  })
+
+  return { rows: augmentedRows, allowedGaps }
+}

package/rules/test/coverage/lib/classify/cache.mjs

@@ -0,0 +1,77 @@
+/**
+ * File-hash-keyed cache для coverage-classify verdicts.
+ *
+ * Cache key = `<blob-hash>:<line>:<col>:<base64url(replacement)>`.
+ * Blob hash рахуємо через `git hash-object <file>` (детерміновано на working tree)
+ * з fallback на sha1(readFile) якщо git недоступний.
+ *
+ * Cache schema:
+ *   { version: 1, model: string|null, entries: Record<key, { verdict, confidence, reason, suggestedTest?, classifiedAt }> }
+ *
+ * Інвалідація: будь-яка зміна source → новий blob-hash → cache miss → re-classify.
+ */
+import { execFileSync } from 'node:child_process'
+import { createHash } from 'node:crypto'
+import { existsSync, mkdirSync, readFileSync, writeFileSync } from 'node:fs'
+import { dirname } from 'node:path'
+
+const CACHE_VERSION = 1
+
+/**
+ * Хеш контенту файла (sha1, 40 hex chars). Спочатку `git hash-object`,
+ * інакше sha1 контенту.
+ * @param {string} filePath абсолютний шлях до файла
+ * @returns {string | null} 40-char hex hash або null якщо файл недоступний
+ */
+export function deriveBlobHash(filePath) {
+  if (!existsSync(filePath)) return null
+  try {
+    return execFileSync('git', ['hash-object', filePath], { encoding: 'utf8' }).trim()
+  } catch {
+    const content = readFileSync(filePath)
+    return createHash('sha256').update(content).digest('hex')
+  }
+}
+
+/**
+ * Cache-ключ для конкретного мутанта в конкретному стані файла.
+ * @param {string} filePath абсолютний шлях до source файла
+ * @param {{line: number, col: number, replacement: string}} mutant параметри мутанта
+ * @returns {string | null} ключ або null якщо файл недоступний
+ */
+export function deriveCacheKey(filePath, mutant) {
+  const blobHash = deriveBlobHash(filePath)
+  if (!blobHash) return null
+  const replacement = Buffer.from(mutant.replacement, 'utf8').toString('base64url')
+  return `${blobHash}:${mutant.line}:${mutant.col}:${replacement}`
+}
+
+/**
+ * Читає cache з диска. При будь-якій проблемі (file absent, corrupt JSON,
+ * schema/version mismatch, entries не object) — повертає empty cache.
+ * @param {string} cachePath абсолютний шлях до cache.json
+ * @returns {{version: number, model: string|null, entries: Record<string, object>}} cache
+ */
+export function readCache(cachePath) {
+  const empty = { version: CACHE_VERSION, model: null, entries: {} }
+  if (!existsSync(cachePath)) return empty
+  try {
+    const data = JSON.parse(readFileSync(cachePath, 'utf8'))
+    if (data?.version !== CACHE_VERSION) return empty
+    if (!data.entries || typeof data.entries !== 'object' || Array.isArray(data.entries)) return empty
+    return data
+  } catch {
+    return empty
+  }
+}
+
+/**
+ * Записує cache на диск. Створює батьківські директорії.
+ * @param {string} cachePath абсолютний шлях
+ * @param {{version: number, model: string|null, entries: Record<string, object>}} cache cache-об'єкт
+ * @returns {void}
+ */
+export function writeCache(cachePath, cache) {
+  mkdirSync(dirname(cachePath), { recursive: true })
+  writeFileSync(cachePath, `${JSON.stringify(cache, null, 2)}\n`, 'utf8')
+}

package/rules/test/coverage/lib/classify/docs/apply.md

@@ -0,0 +1,28 @@
+---
+type: JS Module
+title: apply.mjs
+resource: npm/src/coverage-classify/apply.mjs
+docgen:
+  crc: 0f54e6a0
+  model: omlx/gemma-4-e4b-it-OptiQ-4bit
+  score: 100
+  judgeModel: openai-codex/gpt-5.4-mini
+---
+
+## Огляд
+
+Файл відповідає за застосування вердиктів до рядків покриття, фільтруючи виживших мутантів. Застосовується Skip rule, якщо `verdict` належить до `{equivalent, defensive, glue, wrapper}` і `confidence` досягає заданого порогу. Для інших мутантів, включаючи ті, що мають `worth-testing` або низьку впевненість, мутанти залишаються в наборі виживших. Крім того, загальна кількість мутантів (`mutation.total`) декрементується на кількість `allowed-gaps`, а окремий список `allowedGaps` повертається для візуалізації в `COVERAGE.md`.
+
+## Поведінка
+
+isAllowedGap визначає, чи мутант відповідає критеріям для віднесення до категорії allowed-gap, що дозволяє його ігнорувати при оцінці покриття.
+applyVerdicts фільтрує виживших мутантів на основі наданих verdict-ів, зменшує загальну кількість мутантів та повертає новий набір рядків покриття разом зі списком allowedGaps.
+
+## Публічний API
+
+isAllowedGap — Визначає, чи слід вважати мутанта прийнятним пропуском (виключає його з категорії потенційно "вбиваних" мутантів).
+applyVerdicts — Призначає рішення (verdicts) до рядків покриття. Відфільтровує мутанти, які вижили, якщо вони кваліфікуються як прийнятний пропуск, і зменшує загальну кількість мутантів у системі відповідно до кількості таких прийнятних пропусків.
+
+## Гарантії поведінки
+
+- (специфічних машинно-виведених гарантій немає)

package/rules/test/coverage/lib/classify/docs/cache.md

@@ -0,0 +1,34 @@
+---
+type: JS Module
+title: cache.mjs
+resource: npm/src/coverage-classify/cache.mjs
+docgen:
+  crc: 53b251b1
+  model: omlx/gemma-4-e4b-it-OptiQ-4bit
+  score: 100
+  issues: judge:inaccurate:0.98
+  judgeModel: openai-codex/gpt-5.4-mini
+---
+
+## Огляд
+
+Механізм кешування фіксує вердикти класифікації мутантів для прискорення аналізу. Він використовує кеш, описаний у `cache.json`, де ключами є ідентифікатори контенту у форматі `<blob-hash>:<line>:<col>:<base64url>`, що динамічно формується на основі хешу файлу (`git hash-object` або `sha1`). Збережені дані включають вердикт, рівень впевненості та причину, а інвалідація кешу спрацьовує при зміні джерела коду, що призводить до нового хешу.
+
+## Поведінка
+
+deriveBlobHash обчислює унікальний хеш контенту файлу, використовуючи `git hash-object` або SHA256 контенту у випадку відсутності Git.
+deriveCacheKey створює унікальний ключ кешу для мутанта на основі хешу файлу, номера рядка, колонки та заміни.
+readCache зчитує дані кешу з файлу, повертаючи порожній кеш у разі відсутності або некоректності.
+writeCache зберігає об'єкт кешу на диск, автоматично створюючи необхідні батьківські директорії.
+
+## Публічний API
+
+deriveBlobHash — Створює унікальний ідентифікатор вмісту файлу (SHA1 хеш).
+deriveCacheKey — Генерує ключ для кешування, що описує зміну файлу у певному стані.
+readCache — Завантажує кешовані дані з диска; повертає порожній кеш при будь-якій помилці зчитування.
+writeCache — Зберігає кешовані дані на диск, створюючи необхідну структуру каталогів.
+
+## Гарантії поведінки
+
+- Перехоплює помилки і не пропускає винятків назовні (fail-safe).
+- Кешує результати в межах одного прогону.

package/rules/test/coverage/lib/classify/docs/index.md

@@ -0,0 +1,37 @@
+---
+type: JS Module
+title: index.mjs
+resource: npm/src/coverage-classify/index.mjs
+docgen:
+  crc: 6f120c02
+  model: omlx/gemma-4-e4b-it-OptiQ-4bit
+---
+
+## Огляд
+
+Класифікатор визначає, чи слід вважати мутант, переданий у межах `classify`, мутантом, згенерованим тестом. Механізм працює через маршрутизацію через pi SDK (callText). Процес включає перевірку в кеші, пошук у локальній (Tier 1) моделі, пошук у хмарній (Tier 2) моделі, а у разі повної відмови систем — застосування консервативного результату. Усі результати класифікації зберігаються у кеші, який контролюється конфігурацією у `coverage-classify.cache.json`.
+
+Ключовий механізм роботи:
+Перевірка кешу з файлу `coverage-classify.cache.json`. Якщо відповідний запис знайдено, повертається збережений verdicts[]. Якщо кеш не містить результату, ініціюється послідовна класифікація: спочатку за допомогою локальної моделі (`N_LOCAL_MIN_MODEL`), а після невдачі — за допомогою хмарної моделі (`N_CLOUD_MIN_MODEL`). У випадку невдачі обох рівнів, застосовується консервативний fallback (worth-testing/confidence=0). Після успішної класифікації результат додається до кешу.
+
+## Поведінка
+
+1. Отримується кеш з файлу `coverage-classify.cache.json`. Якщо конфігурація моделей у кеші не відповідає поточній, кеш ініціалізується.
+2. Для кожного скомпільованого мутанта у наданому наборі виконується перевірка в кеші за унікальним ключем, що включає шлях до файлу, рядок, стовпець та заміну.
+3. Якщо знайдено відповідний запис у кеші, він повертається як результат класифікації.
+4. Якщо в кеші запису немає, ініціюється класифікація мутанта.
+5. Класифікація здійснюється послідовно через джерела ШІ: спочатку через модель, визначену у змінній `N_LOCAL_MIN_MODEL`, а якщо це не вдається, то через модель, визначену у змінній `N_CLOUD_MIN_MODEL`.
+6. У разі невдачі обох моделей, встановлюється консервативний результат, що вважається мутантом, вартим тестування з низькою впевненістю.
+7. Успішно класифікований результат додається до кешу з часовою відміткою.
+8. Після обробки всіх мутантів, оновлений кеш записується у файл `coverage-classify.cache.json`.
+9. Повертається список результатів класифікації для всіх мутантів.
+
+## Публічний API
+
+- classify — Визначає, які мутанти вижили, використовуючи модель для локальних даних, потім для хмарних, а якщо це не вдається, застосовує запасний варіант.
+
+## Гарантії поведінки
+
+- Read-only: не виконує операцій запису (ФС/БД).
+- Перехоплює помилки і не пропускає винятків назовні (fail-safe).
+- Кешує результати в межах одного прогону.