@7n/rules 1.49.15 → 1.49.16

package/CHANGELOG.md

@@ -1,5 +1,11 @@
 # Changelog
 
+## [1.49.16] - 2026-07-27
+
+### Fixed
+
+- Обмежено npm-module репозиторіями з npm publisher topology
+
 ## [1.49.15] - 2026-07-27
 
 ### Fixed

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@7n/rules",
-  "version": "1.49.15",
+  "version": "1.49.16",
   "description": "CLI еталонних правил і skills (префікс n-): синк у репозиторій, дельта-lint, конформність",
   "keywords": [
     "cli",

package/scripts/lib/lint-surface/docs/run-detectors.md

@@ -3,7 +3,7 @@ type: JS Module
 title: run-detectors.mjs
 resource: npm/scripts/lib/lint-surface/run-detectors.mjs
 docgen:
-  crc: e9224e37
+  crc: 9f044303
   model: openai-codex/gpt-5.4-mini
   tier: cloud-min
   score: 100
@@ -19,7 +19,7 @@ docgen:
 
 DEFAULT_RULES_DIR задає базовий корінь правил, від якого стартує discovery, коли споживач не передав власні каталоги.
 
-buildDetectPlan спочатку визначає набір rules-каталогів, потім відбирає лише доступні concern-и з урахуванням capability, далі будує план виконання за режимом прогону: scoped, delta, full або repo-wide. Сам план фіксує, які concern-и запускаються whole-repo, а які лише по перетину з файлами, щоб detect і fix-pipeline працювали з однаковою картиною.
+buildDetectPlan спочатку визначає набір rules-каталогів, відбирає concern-и за capability і застосовує опційний rule-level `applies` gate. Лише після цього він будує план виконання за режимом прогону: scoped, delta, full або repo-wide. Сам план фіксує, які concern-и запускаються whole-repo, а які лише по перетину з файлами, щоб detect і fix-pipeline працювали з однаковою картиною.
 
 loadEnabledLintRules використовує той самий discovery-ланцюжок, але повертає не план, а повну мапу concern-и за rule-id разом із множиною активних правил. Це потрібно зовнішнім споживачам, які мають знати, що реально доступно для прогону, не запускаючи сам detector-цикл.
 
@@ -42,6 +42,8 @@ concern тригериться на цих файлах (та сама табл
 full-scope перевірки — справа `--repo-wide`).
 - detectAll — Запускає detect-only прохід. Повертає всі violations і похідний exitCode.
 
+Rule-level `applies` у `<rule>/applies/main.mjs` може повернути `false`, щоб виключити всі concern-и правила з плану для поточного репозиторію.
+
 ## Гарантії поведінки
 
 - Власних операцій запису (ФС/БД) у файлі немає; виклики імпортованих модулів можуть писати.

package/scripts/lib/lint-surface/run-detectors.mjs

@@ -9,9 +9,10 @@
  * @typedef {import('../concern-meta.mjs').ConcernMeta} ConcernMeta
  * @typedef {{ ruleId: string, concern: ConcernMeta }} LintEntry
  */
+import { existsSync } from 'node:fs'
 import { dirname, join } from 'node:path'
 import { env } from 'node:process'
-import { fileURLToPath } from 'node:url'
+import { fileURLToPath, pathToFileURL } from 'node:url'
 
 import picomatch from 'picomatch'
 
@@ -126,6 +127,46 @@ async function filterByCapabilities(byRule, opts) {
   return out
 }
 
+/**
+ * Застосовує опційний rule-level gate з `<rule>/applies/main.mjs` до всіх
+ * concern-ів правила. Це потрібно для доменних правил, чий канон має сенс
+ * лише за наявності конкретної topology в репозиторії: один gate не дає
+ * policy- й JS-concern-ам розійтися у власних евристиках застосовності.
+ *
+ * @param {Record<string, ConcernMeta[]>} byRule concerns за rule-id.
+ * @param {string} cwd корінь репозиторію, який лінтиться.
+ * @returns {Promise<Record<string, ConcernMeta[]>>} лише застосовні правила.
+ */
+async function filterByRuleApplies(byRule, cwd) {
+  /** @type {Record<string, ConcernMeta[]>} */
+  const out = {}
+  for (const [ruleId, concerns] of Object.entries(byRule)) {
+    const firstConcern = concerns[0]
+    if (!firstConcern) continue
+    const appliesPath = join(dirname(firstConcern.dir), 'applies', 'main.mjs')
+    if (!existsSync(appliesPath)) {
+      out[ruleId] = concerns
+      continue
+    }
+    let applies
+    try {
+      const mod = await import(pathToFileURL(appliesPath).href)
+      applies = mod.applies
+    } catch (error) {
+      throw new Error(`rule ${ruleId}: не вдалося завантажити applies gate: ${error.message}`)
+    }
+    if (applies === undefined) {
+      out[ruleId] = concerns
+      continue
+    }
+    if (typeof applies !== 'function') {
+      throw new Error(`rule ${ruleId}: applies/main.mjs має експортувати applies(cwd)`)
+    }
+    if (await applies(cwd)) out[ruleId] = concerns
+  }
+  return out
+}
+
 /**
  * Мердж concerns кількох rules-каталогів: правила зливаються за id, концерни — за іменем
  * (перший власник виграє: ядро → плагіни у порядку списку). Плагін може ДОДАВАТИ концерни
@@ -267,7 +308,8 @@ export async function buildDetectPlan(opts) {
  */
 export async function loadEnabledLintRules(opts) {
   const rulesDirs = await effectiveRulesDirs(opts)
-  const byRule = await filterByCapabilities(await readLintConcernsByRuleMulti(rulesDirs), opts)
+  const capable = await filterByCapabilities(await readLintConcernsByRuleMulti(rulesDirs), opts)
+  const byRule = await filterByRuleApplies(capable, opts.cwd)
   const enabledSet = new Set(await enabledRuleIds(byRule, opts.cwd, rulesDirs))
   return { byRule, enabledSet }
 }
@@ -618,7 +660,8 @@ export async function detectAll(opts) {
   const baseLog = opts.log ?? (s => process.stdout.write(s))
 
   const rulesDirs = await effectiveRulesDirs(opts)
-  const byRule = await filterByCapabilities(await readLintConcernsByRuleMulti(rulesDirs), opts)
+  const capable = await filterByCapabilities(await readLintConcernsByRuleMulti(rulesDirs), opts)
+  const byRule = await filterByRuleApplies(capable, cwd)
   const plan = await buildPlan({
     byRule,
     full,