@7n/rules 1.49.9 → 1.49.11

package/CHANGELOG.md

@@ -1,5 +1,18 @@
 # Changelog
 
+## [1.49.11] - 2026-07-26
+
+### Fixed
+
+- Додано окремий 180-секундний cloud budget для survived-mutant coverage batch і deferred решти batch-ів
+
+## [1.49.10] - 2026-07-26
+
+### Fixed
+
+- Зареєстровано схему для .kubescape-exceptions.json у каталозі v8r
+- Поважати .n-rules.json:ignore у full-скані v8r
+
 ## [1.49.9] - 2026-07-26
 
 ### Changed

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@7n/rules",
-  "version": "1.49.9",
+  "version": "1.49.11",
   "description": "CLI еталонних правил і skills (префікс n-): синк у репозиторій, дельта-lint, конформність",
   "keywords": [
     "cli",

package/rules/test/coverage/concern.json

@@ -2,6 +2,7 @@
   "$schema": "https://unpkg.com/@7n/rules/schemas/concern.json",
   "fixability": "code",
   "skipLocalTier": true,
+  "cloudTimeoutMs": 180000,
   "lint": {
     "scope": "per-file",
     "glob": ["**/*.{js,mjs,cjs,jsx,ts,tsx,vue}"]

package/rules/test/coverage/fix-worker.mjs

@@ -18,8 +18,9 @@
  * (assert порту вимагає лише detect/collect/collectPerFile). Хуки отримують
  * FixContext-поля (model/tier/timeoutMs/recordWrite/chain/signal/feedback);
  * recordWrite прокидається до кожного місця запису (rollback-контракт ladder-а).
- * Дедлайн: DEADLINE_FRACTION від ctx.timeoutMs гейтить СТАРТ наступного хука
- * (як js/eslint fix-worker); залишок бюджету передається хуку як timeoutMs.
+ * Coverage-specific cloud rung дає survived-mutant agent batch повний budget:
+ * outer runner backstop лишається ×1.25. Один survived batch стартує за rung;
+ * решта є deferred telemetry, а не timeout/no-op failure.
  * Власних retry-циклів немає — success визначає canonical re-detect runner-а.
  * @typedef {import('../../../scripts/lib/lint-surface/types.mjs').FixWorkerFn} FixWorkerFn
  * @typedef {import('../../../scripts/lib/lint-surface/types.mjs').FixContext} FixContext
@@ -27,8 +28,8 @@
  */
 import { resolveProviders } from './main.mjs'
 
-/** Частка ctx.timeoutMs, після якої не стартує наступний хук (запас до backstop ×1.25). */
-const DEADLINE_FRACTION = 0.8
+/** Один survived-mutant agent batch за coverage rung. */
+const SURVIVED_BATCHES_PER_RUNG = 1
 
 /** `.vue`-файли → generateStories, решта → generateTests. */
 const VUE_FILE_RE = /\.vue$/
@@ -59,7 +60,7 @@ export function groupViolations(violations) {
  */
 function hookCtx(ctx, deadlineAt) {
   const remaining = deadlineAt ? Math.max(1000, deadlineAt - Date.now()) : ctx.timeoutMs
-  const workerDeadlineMs = ctx.timeoutMs ? Math.round(ctx.timeoutMs * DEADLINE_FRACTION) : null
+  const workerDeadlineMs = ctx.timeoutMs ?? null
   return {
     ...ctx,
     timeoutMs: remaining,
@@ -68,7 +69,8 @@ function hookCtx(ctx, deadlineAt) {
     coverageTimeout: {
       requestedMs: ctx.timeoutMs ?? null,
       workerDeadlineMs,
-      effectiveHookTimeoutMs: remaining ?? null
+      effectiveHookTimeoutMs: remaining ?? null,
+      survivedBatchesPerRung: SURVIVED_BATCHES_PER_RUNG
     }
   }
 }
@@ -76,7 +78,7 @@ function hookCtx(ctx, deadlineAt) {
 /** @type {FixWorkerFn} */
 export async function fixWorker(violations, ctx, deps = {}) {
   // Дедлайн фіксується ДО резолву провайдерів — їх завантаження теж у бюджеті рунга.
-  const deadlineAt = ctx.timeoutMs ? Date.now() + Math.round(ctx.timeoutMs * DEADLINE_FRACTION) : null
+  const deadlineAt = ctx.timeoutMs ? Date.now() + ctx.timeoutMs : null
   const expired = () => deadlineAt !== null && Date.now() >= deadlineAt
 
   const providers = await (deps.resolveProviders ?? resolveProviders)(ctx.cwd)
@@ -88,6 +90,7 @@ export async function fixWorker(violations, ctx, deps = {}) {
   const touchedFiles = []
   /** @type {Array<{provider: string, hook: string, files: string[], error: string}>} */
   const failed = []
+  const deferred = []
   /**
    * Викликає опційний fix-hook провайдера, збирає touchedFiles; виняток хука не
    * валить решту хуків/провайдерів — success визначає canonical re-detect.
@@ -101,6 +104,7 @@ export async function fixWorker(violations, ctx, deps = {}) {
     try {
       const res = await provider[hook]({ ...args, cwd: ctx.cwd, ctx: hookCtx(ctx, deadlineAt) })
       touchedFiles.push(...(res?.touchedFiles ?? []))
+      deferred.push(...(res?.deferred ?? []))
       for (const failure of res?.failed ?? []) {
         const error = failure?.error ?? 'невідома причина'
         const files = failure?.files ?? []
@@ -115,9 +119,14 @@ export async function fixWorker(violations, ctx, deps = {}) {
   }
 
   for (const provider of providers) {
+    // Survived mutants мають власний cloud budget: не витрачаємо його на інші
+    // LLM hooks перед єдиним агентним batch-ем цього rung-а.
+    if (survived.length > 0) {
+      await runHook(provider, 'fixSurvived', { survived })
+      continue
+    }
     if (jsFiles.length > 0) await runHook(provider, 'generateTests', { files: jsFiles })
     if (vueFiles.length > 0) await runHook(provider, 'generateStories', { files: vueFiles })
-    if (survived.length > 0) await runHook(provider, 'fixSurvived', { survived })
     // Після генерації: тести, що впали (зокрема щойно згенеровані), чиняться
     // окремим хуком — свіжий vitest-прогін усередині провайдера. Без жодної
     // роботи вище (порожній профіль violations) хук не стартує.
@@ -126,5 +135,5 @@ export async function fixWorker(violations, ctx, deps = {}) {
     }
   }
 
-  return { touchedFiles, failed }
+  return { touchedFiles, failed, deferred }
 }

package/rules/text/run-v8r/docs/main.md

@@ -3,7 +3,7 @@ type: JS Module
 title: main.mjs
 resource: npm/rules/text/run-v8r/main.mjs
 docgen:
-  crc: 10f448a2
+  crc: 327472a0
   model: manual
 ---
 
@@ -23,10 +23,11 @@ docgen:
 - `writeResolvedV8rConfig()` — записує `{ cacheTtl, customCatalog: { schemas } }` у `RESOLVED_V8R_CONFIG_PATH` (побічний ефект: файлова операція запису, поза rollback-механізмом лінт-пайплайна).
 - `runV8rWithGlobs(globs?)` — послідовно запускає `v8r` для кожного glob-у з `V8R_CONFIG_FILE`, вказаним на резольвнутий конфіг; повертає `{ code, detail }` (не голий код): при `code` 0/98 вивід приховано, `detail` порожній; інакше `detail` друкується й повертається код першого невдалого прогону.
 - `runV8rWithFiles(files)` — delta-режим: один запуск `v8r` по конкретних існуючих шляхах (код 98 неможливий), порожній список — одразу `{ code: 0, detail: '' }`.
+- `findV8rFiles(root)` — збирає full-scope JSON/YAML/TOML-файли через спільний обхід: поважає `.gitignore` та `.n-rules.json:ignore`, повертає відносні шляхи для `v8r`.
 - `extractFailureLines(combinedText)` — фільтрує `ℹ`-шум і bunx install-вивід з об'єднаного `stdout+stderr` одного запуску `v8r`, лишаючи предметну деталь (`✖ …`-заголовки, ajv-причини). Обидва потоки об'єднуються навмисно: `v8r` непослідовно розкидає деталь між ними залежно від типу помилки (schema violation — причина в stdout, заголовок у stderr; "не знайдено схему" — усе в stderr).
 - `warnAboutRemoteSchemaFallback(stderrText)` — парсить stderr `v8r` і на кожен файл, чию схему знайдено мережевим fallback-ом (schemastore, не customCatalog), друкує в stdout пораду додати схему в каталог.
 - `stripBunNodeShimDirs(pathValue)` — прибирає з PATH shim-теки `bun-node-*`, які `bun run --bun` додає з підміненим `node`: дочірній `v8r` (node-shebang) інакше виконувався б під bun і падав на непідтримуваному `node:sea`. Дочірній процес `v8r` завжди отримує очищений PATH.
-- `lint(ctx)` — detector `text/run-v8r`: `ctx.files` → delta по відфільтрованих розширеннях, без `ctx.files` → full за `DEFAULT_V8R_GLOBS`. Порушення несе `detail` (якщо є) у тексті `fail()`-повідомлення — без нього LLM fix-worker бачив лише "щось не пройшло" й незмінно провалював усі rung-и драбини (не мав інформації, що саме виправляти).
+- `lint(ctx)` — detector `text/run-v8r`: `ctx.files` → delta по відфільтрованих розширеннях, без `ctx.files` → full через `findV8rFiles`, без `.n-rules.json:ignore`. Порушення несе `detail` (якщо є) у тексті `fail()`-повідомлення — без нього LLM fix-worker бачив лише "щось не пройшло" й незмінно провалював усі rung-и драбини (не мав інформації, що саме виправляти).
 
 ## Публічний API
 
@@ -34,6 +35,7 @@ docgen:
 - `resolveCustomCatalogSchemas()` — обчислені схеми customCatalog.
 - `writeResolvedV8rConfig()` — матеріалізація тимчасового конфігу, повертає його шлях.
 - `runV8rWithGlobs(globs?)`, `runV8rWithFiles(files)` — точки входу перевірки (full/delta), повертають `{ code, detail }`.
+- `findV8rFiles(root)` — full-scope збір файлів із повагою до `.gitignore` та `.n-rules.json:ignore`.
 - `extractFailureLines(combinedText)` — фільтр noise-рядків для деталі провалу.
 - `warnAboutRemoteSchemaFallback(stderrText)` — попередження про мережевий fallback схем.
 - `stripBunNodeShimDirs(pathValue)` — PATH без shim-тек `bun-node-*` (для дочірнього v8r).

package/rules/text/run-v8r/main.mjs

@@ -46,13 +46,15 @@
  */
 import { existsSync, readFileSync, writeFileSync } from 'node:fs'
 import { tmpdir } from 'node:os'
-import { basename, delimiter, dirname, isAbsolute, join } from 'node:path'
+import { basename, delimiter, dirname, isAbsolute, join, relative } from 'node:path'
 import { env } from 'node:process'
 import { fileURLToPath } from 'node:url'
 
 import { isRunAsCli } from '../../../scripts/cli-entry.mjs'
+import { loadCursorIgnorePaths } from '../../../scripts/lib/load-cursor-config.mjs'
 import { resolveCmd } from '../../../scripts/utils/resolve-cmd.mjs'
 import { spawnAsync } from '../../../scripts/utils/spawn-async.mjs'
+import { walkDir } from '../../../scripts/utils/walkDir.mjs'
 import { createViolationReporter } from '../../../scripts/lib/lint-surface/violation-reporter.mjs'
 
 /** Розширення, які валідує v8r — фільтр delta-списку файлів у `lint(ctx)`. */
@@ -346,6 +348,25 @@ export async function runV8rWithFiles(files, verbose = false) {
   return { code: r.code === 98 ? 0 : r.code, detail: r.detail }
 }
 
+/**
+ * Збирає файли форматів v8r для full-режиму, поважаючи `.gitignore` та
+ * `.n-rules.json:ignore`, як інші full-scope concern-и.
+ * @param {string} root абсолютний корінь репозиторію
+ * @returns {Promise<string[]>} відносні до root шляхи файлів для v8r
+ */
+export async function findV8rFiles(root) {
+  const ignorePaths = await loadCursorIgnorePaths(root)
+  const files = []
+  await walkDir(
+    root,
+    file => {
+      if (V8R_EXT_RE.test(file)) files.push(relative(root, file))
+    },
+    ignorePaths
+  )
+  return files.toSorted((a, b) => a.localeCompare(b))
+}
+
 /**
  * Будує violation-повідомлення з опційною деталлю `✖ …`-рядків v8r — без неї LLM fix-worker
  * бачить лише "щось не пройшло" й не має інформації, який файл/поле саме порушує схему.
@@ -358,7 +379,7 @@ function v8rFailMessage(detail) {
 }
 
 /**
- * Detector text/run-v8r: read-only v8r по `ctx.files` (delta) або за дефолтними glob-ами (full).
+ * Detector text/run-v8r: read-only v8r по `ctx.files` (delta) або всіх форматних файлах поза `.n-rules.json:ignore` (full).
  * @param {import('../../../scripts/lib/lint-surface/types.mjs').LintContext} ctx контекст lint-прогону
  * @returns {Promise<import('../../../scripts/lib/lint-surface/types.mjs').LintResult>} результат detector-а
  */
@@ -369,7 +390,8 @@ export async function lint(ctx) {
   const verbose = ctx.verbose === true
 
   if (ctx.files === undefined) {
-    const { code, detail } = await runV8rWithGlobs(DEFAULT_V8R_GLOBS, verbose)
+    const files = await findV8rFiles(ctx.cwd)
+    const { code, detail } = await runV8rWithFiles(files, verbose)
     if (code !== 0) fail(v8rFailMessage(detail), 'v8r')
     return reporter.result()
   }

package/schemas/concern.json

@@ -23,6 +23,11 @@
       "type": "boolean",
       "description": "Дефолт `false` (поле можна опускати). `true` пропускає local-min/local-min-retry rung-и LLM-ladder-а для цього concern-а — перша спроба одразу йде на cloud-min. Для concern-ів, де local-tier (слабка локальна модель, короткий бюджет) емпірично майже завжди лише витрачає час rung-а без результату, перш ніж ladder однаково ескалює далі."
     },
+    "cloudTimeoutMs": {
+      "type": "integer",
+      "minimum": 1,
+      "description": "Опційний budget одного cloud rung-а лише для цього concern-а. Замінює timeout cloud-min/cloud-avg у ladder, не змінюючи глобальний `N_CLOUD_FIX_TIMEOUT_MS` або інші concern-и."
+    },
     "check": {
       "type": "boolean",
       "const": true,

package/schemas/v8r-catalog.json

@@ -20,6 +20,8 @@
       "fileMatch": [
         ".licensee.json",
         "**/.licensee.json",
+        ".kubescape-exceptions.json",
+        "**/.kubescape-exceptions.json",
         "docs/specs/**/*.json",
         "docs/plans/**/*.json",
         "any.json",

package/scripts/lib/concern-meta.mjs

@@ -38,6 +38,8 @@ import { join } from 'node:path'
  *   ladder-а — ladder одразу стартує з cloud-min. Для concern-ів, де local-tier емпірично не встигає
  *   дати результат у межах свого бюджету (напр. js/eslint — 0/12 успіхів у реальному прогоні, лише
  *   витрачений час).
+ * @property {number|undefined} cloudTimeoutMs опційний budget cloud rung-а concern-а;
+ *   не змінює глобальні timeout-и ladder-а чи інші concern-и.
  */
 
 /**
@@ -131,7 +133,8 @@ export async function readConcernMeta(concernDir, name) {
     lint,
     requiresCapability,
     fixability: parseFixability(raw.fixability),
-    skipLocalTier: raw.skipLocalTier === true
+    skipLocalTier: raw.skipLocalTier === true,
+    cloudTimeoutMs: Number.isInteger(raw.cloudTimeoutMs) && raw.cloudTimeoutMs > 0 ? raw.cloudTimeoutMs : undefined
   }
 }
 

package/scripts/lib/lint-surface/run-fix.mjs

@@ -610,7 +610,9 @@ function noteT0Phase(t0, chainExtra, touchedAbs) {
 }
 
 /**
- * Ladder concern-а: повний, або без local-tier rung-ів (`concern.skipLocalTier`) —
+ * Ladder concern-а: повний, або без local-tier rung-ів (`concern.skipLocalTier`).
+ * Concern може замінити cloud budget своїм `cloudTimeoutMs`; глобальний ladder та
+ * всі інші concern-и лишаються без змін.
  * concern-и, де local-min/local-min-retry емпірично не встигають дати результат
  * у межах свого бюджету (concern-meta.mjs).
  * @param {Rung[]} ladder Повний ladder pipeline-у.
@@ -618,7 +620,10 @@ function noteT0Phase(t0, chainExtra, touchedAbs) {
  * @returns {Rung[]} Ladder, застосовний до цього concern-а.
  */
 function selectLadder(ladder, concern) {
-  return concern.skipLocalTier ? ladder.filter(rung => !rung.local) : ladder
+  const selected = concern.skipLocalTier ? ladder.filter(rung => !rung.local) : ladder
+  return concern.cloudTimeoutMs
+    ? selected.map(rung => (rung.local ? rung : { ...rung, timeoutMs: concern.cloudTimeoutMs }))
+    : selected
 }
 
 /**