@7n/rules 1.5.1 → 1.7.0

package/rules/docker/lint_docker_yml/template/lint-docker.yml.snippet.yml

@@ -1,41 +0,0 @@
-name: Lint Docker
-
-on:
-  push:
-    branches:
-      - dev
-      - main
-    paths:
-      - '**/Dockerfile'
-      - '**/*.Dockerfile'
-      - '**/*.dockerfile'
-
-  pull_request:
-    branches:
-      - dev
-      - main
-
-concurrency:
-  group: ${{ github.ref }}-${{ github.workflow }}
-  cancel-in-progress: true
-
-jobs:
-  lint-docker:
-    runs-on: ubuntu-latest
-    permissions:
-      contents: read
-    steps:
-      - uses: actions/checkout@v6
-        with:
-          persist-credentials: false
-
-      - name: Install hadolint
-        run: |
-          curl -sSL -o /tmp/hadolint https://github.com/hadolint/hadolint/releases/download/v2.12.0/hadolint-Linux-x86_64
-          chmod +x /tmp/hadolint
-          sudo mv /tmp/hadolint /usr/local/bin/hadolint
-
-      - uses: ./.github/actions/setup-bun-deps
-
-      - name: Lint Docker
-        run: bunx n-rules lint docker --no-fix

package/rules/js/lint_js_yml/concern.json

@@ -1,12 +0,0 @@
-{
-  "$schema": "https://unpkg.com/@7n/rules/schemas/concern.json",
-  "fixability": "config",
-  "policy": {
-    "files": {
-      "single": ".github/workflows/lint-js.yml"
-    }
-  },
-  "requires": {
-    "capability": "ci:github"
-  }
-}

package/rules/js/lint_js_yml/docs/fix-lint_js_yml.md

@@ -1,28 +0,0 @@
----
-type: JS Module
-title: fix-lint_js_yml.mjs
-resource: npm/rules/js/lint_js_yml/fix-lint_js_yml.mjs
-docgen:
-  crc: 39aecc30
-  model: openai-codex/gpt-5.4-mini
-  tier: cloud-min
-  score: 100
-  issues: judge:inaccurate:0.99
-  judgeModel: openai-codex/gpt-5.4-mini
----
-
-## Огляд
-
-`patterns` — read-only набір правил для аналізу й уніфікації JavaScript lint-конфігурації в межах доступних шляхів. Він свідомо пропускає `.github` і `.git`, щоб не зачіпати службові та git-специфічні файли.
-
-## Поведінка
-
-1. `patterns` формує набір правил для виправлення lint-конфігурації JavaScript-проєкту.
-2. Для кожного правила прив’язує оновлення до цільового workflow-файлу `.github/workflows/lint-js.yml`.
-3. У межах своєї роботи свідомо не зачіпає `.github` і `.git`, щоб уникати змін у службових та внутрішніх областях.
-4. Працює в read-only режимі щодо ФС і БД: сам нічого не записує, а лише описує, що треба виправити.
-
-## Гарантії поведінки
-
-- Read-only: не виконує операцій запису (ФС/БД).
-- Свідомо пропускає шляхи: `.github`, `.git`.

package/rules/js/lint_js_yml/docs/index.md

@@ -1,9 +0,0 @@
----
-type: Directory Index
-title: npm/rules/js/lint_js_yml
-resource: npm/rules/js/lint_js_yml/
----
-
-| Файл                                      | Тип       |
-| ----------------------------------------- | --------- |
-| [fix-lint_js_yml.mjs](fix-lint_js_yml.md) | JS Module |

package/rules/js/lint_js_yml/fix-lint_js_yml.mjs

@@ -1,5 +0,0 @@
-import { createTemplateFixPattern } from '../../../scripts/lib/fix/template-deep-merge.mjs'
-
-export const patterns = [
-  createTemplateFixPattern({ id: 'js-lint_js_yml-template', targetPath: '.github/workflows/lint-js.yml' })
-]

package/rules/js/lint_js_yml/lint_js_yml.mdc

@@ -1,14 +0,0 @@
-## Rego-gate `.github/workflows/lint-js.yml`
-
-Rego-пакет: `js_lint.lint_js_yml`
-
-Цільовий файл: `.github/workflows/lint-js.yml`.
-
-Що перевіряється:
-
-- Наявність усіх `uses:`-кроків з канону (subset-of по `jobs.eslint.steps`); SHA-пін того самого action (`owner/action@<40-hex SHA>`, з тег-коментарем `# vX` чи без) задовольняє канонічний тег — НЕ замінюй наявний SHA-пін тегом
-- Наявність усіх рядків `run:` з канону (substring-match по всіх кроках)
-- `actions/checkout` (будь-який ref) має мати `with.persist-credentials: false` (inverse-check)
-- Заборона `--fix` у CI: `bunx oxlint ... --fix` або `eslint --fix` у будь-якому `run:` → deny
-
-Канон-snippet: [lint-js.yml.snippet.yml](./template/lint-js.yml.snippet.yml)

package/rules/js/lint_js_yml/lint_js_yml.rego

@@ -1,117 +0,0 @@
-# Перевірка `.github/workflows/lint-js.yml` (js.mdc).
-#
-# Канон надходить через --data: { "template": { "snippet": ... } }
-# Структура --data сформована з template/lint-js.yml.snippet.yml.
-# Required uses + run substrings зчитуються з template's eslint-job steps.
-# Універсальні workflow-перевірки — у `ga.workflow_common`.
-#
-# Логіка, що ЛИШАЄТЬСЯ у rego (inverse anti-patterns):
-#  - `oxlint --fix` / `eslint --fix` у CI заборонено;
-#  - actions/checkout (будь-який ref) має мати `with.persist-credentials: false`.
-#
-# Pin-aware: SHA-пін `owner/action@<40-hex>` (zizmor ref-pin; тег-коментар після
-# `#` YAML-парсер відкидає) ЗАДОВОЛЬНЯЄ канонічний `owner/action@vN` з template —
-# не вимагаємо (і не даунгрейдимо) назад до тега.
-package js.lint_js_yml
-
-import rego.v1
-
-# Required `uses:` зі template — фільтруємо тільки кроки з uses.
-expected_uses_set contains u if {
-	some step in data.template.snippet.jobs.eslint.steps
-	u := object.get(step, "uses", "")
-	u != ""
-}
-
-# Required `run:` substrings (per-line з template).
-expected_run_substrings contains line if {
-	some step in data.template.snippet.jobs.eslint.steps
-	r := object.get(step, "run", "")
-	r != ""
-	some raw in split(r, "\n")
-	line := trim_space(raw)
-	line != ""
-}
-
-# Аліаси на input.
-all_steps contains step if {
-	some job in object.get(input, "jobs", {})
-	some step in object.get(job, "steps", [])
-}
-
-all_uses_set contains u if {
-	some step in all_steps
-	u := object.get(step, "uses", "")
-	u != ""
-}
-
-all_run_blob := concat("\n", [r |
-	some step in all_steps
-	r := step_run_text(step)
-])
-
-# ── deny: required uses ─────────────────────────────────────────────────
-
-deny contains msg if {
-	some required_use in expected_uses_set
-	not has_use_satisfying(required_use)
-	msg := sprintf("lint-js.yml: відсутній крок uses: %s (js.mdc)", [required_use])
-}
-
-# ── deny: required run substrings ───────────────────────────────────────
-
-deny contains msg if {
-	some required_run in expected_run_substrings
-	not contains(all_run_blob, required_run)
-	msg := sprintf("lint-js.yml: у run немає %q (js.mdc)", [required_run])
-}
-
-# ── deny: actions/checkout has persist-credentials: false (inverse) ─────
-
-deny contains msg if {
-	not has_checkout_persist_credentials_false
-	msg := "lint-js.yml: actions/checkout має бути з with.persist-credentials: false (js.mdc)"
-}
-
-# ── deny: --fix у CI заборонено (inverse) ───────────────────────────────
-
-deny contains msg if {
-	regex.match(`bunx\s+oxlint[^\n]*--fix`, all_run_blob)
-	msg := "lint-js.yml: у run є oxlint з `--fix` (у CI заборонено) (js.mdc)"
-}
-
-deny contains msg if {
-	contains(all_run_blob, "eslint --fix")
-	msg := "lint-js.yml: у run є `eslint --fix` (у CI заборонено) (js.mdc)"
-}
-
-# ── helpers ─────────────────────────────────────────────────────────────
-
-has_checkout_persist_credentials_false if {
-	some step in all_steps
-	startswith(object.get(step, "uses", ""), "actions/checkout@")
-	step.with["persist-credentials"] == false
-}
-
-# `uses:` з input задовольняє канонічний `owner/action@tag`: точний збіг…
-uses_satisfies(actual, expected) if actual == expected
-
-# …або той самий action-slug і ref — повний 40-hex commit SHA (zizmor ref-pin).
-# Відповідність версії гарантує сам пін (тег-коментар `# vX` парсер відкидає).
-uses_satisfies(actual, expected) if {
-	slug := split(expected, "@")[0]
-	startswith(actual, concat("", [slug, "@"]))
-	parts := split(actual, "@")
-	regex.match(`^[0-9a-fA-F]{40}$`, parts[count(parts) - 1])
-}
-
-has_use_satisfying(required) if {
-	some u in all_uses_set
-	uses_satisfies(u, required)
-}
-
-step_run_text(step) := step.run if is_string(step.run)
-
-else := concat("\n", [s | some s in step.run]) if is_array(step.run)
-
-else := ""

package/rules/js/lint_js_yml/template/lint-js.yml.snippet.yml

@@ -1,40 +0,0 @@
-name: Lint JS
-
-on:
-  push:
-    branches:
-      - dev
-      - main
-    paths:
-      - '**/*.js'
-      - '**/*.mjs'
-      - '**/*.cjs'
-      - '**/*.jsx'
-      - '**/*.ts'
-      - '**/*.tsx'
-      - '**/*.vue'
-      - '**/eslint.config.*'
-
-  pull_request:
-    branches:
-      - dev
-      - main
-
-concurrency:
-  group: ${{ github.ref }}-${{ github.workflow }}
-  cancel-in-progress: true
-
-jobs:
-  eslint:
-    runs-on: ubuntu-latest
-    permissions:
-      contents: read
-    steps:
-      - uses: actions/checkout@v6
-        with:
-          persist-credentials: false
-
-      - uses: ./.github/actions/setup-bun-deps
-
-      - name: Eslint
-        run: bunx n-rules lint js --no-fix

package/rules/k8s/lint_k8s_yml/concern.json

@@ -1,12 +0,0 @@
-{
-  "$schema": "https://unpkg.com/@7n/rules/schemas/concern.json",
-  "fixability": "config",
-  "policy": {
-    "files": {
-      "single": ".github/workflows/lint-k8s.yml"
-    }
-  },
-  "requires": {
-    "capability": "ci:github"
-  }
-}

package/rules/k8s/lint_k8s_yml/docs/fix-lint_k8s_yml.md

@@ -1,30 +0,0 @@
----
-type: JS Module
-title: fix-lint_k8s_yml.mjs
-resource: npm/rules/k8s/lint_k8s_yml/fix-lint_k8s_yml.mjs
-docgen:
-  crc: 220f0740
-  model: openai-codex/gpt-5.5
-  score: 100
-  issues: judge:inaccurate:0.98
-  judgeModel: openai-codex/gpt-5.4-mini
----
-
-## Огляд
-
-Надає `patterns` як read-only опис очікуваних збігів для перевірки репозиторію без змін у файловій системі чи інших сховищах. Свідомо пропускає `.github` і `.git`, щоб не аналізувати службові шляхи та зосереджувати перевірку на релевантному вмісті.
-
-## Поведінка
-
-1. `patterns` оголошує набір правил автоматичного виправлення для workflow перевірки Kubernetes YAML.
-
-2. `patterns` забезпечує наявність стандартного шаблону `.github/workflows/lint-k8s.yml`, щоб репозиторій мав узгоджену CI-перевірку Kubernetes-маніфестів.
-
-3. `patterns` працює як read-only опис очікуваного виправлення: сам файл не виконує запис у файлову систему чи базу даних.
-
-4. `patterns` свідомо не охоплює обходом службові шляхи `.github` і `.git`; цільовий workflow у `.github/workflows/lint-k8s.yml` задається як конкретний шаблонний артефакт.
-
-## Гарантії поведінки
-
-- Read-only: не виконує операцій запису (ФС/БД).
-- Свідомо пропускає шляхи: `.github`, `.git`.

package/rules/k8s/lint_k8s_yml/docs/index.md

@@ -1,9 +0,0 @@
----
-type: Directory Index
-title: npm/rules/k8s/lint_k8s_yml
-resource: npm/rules/k8s/lint_k8s_yml/
----
-
-| Файл                                        | Тип       |
-| ------------------------------------------- | --------- |
-| [fix-lint_k8s_yml.mjs](fix-lint_k8s_yml.md) | JS Module |

package/rules/k8s/lint_k8s_yml/fix-lint_k8s_yml.mjs

@@ -1,5 +0,0 @@
-import { createTemplateFixPattern } from '../../../scripts/lib/fix/template-deep-merge.mjs'
-
-export const patterns = [
-  createTemplateFixPattern({ id: 'k8s-lint_k8s_yml-template', targetPath: '.github/workflows/lint-k8s.yml' })
-]

package/rules/k8s/lint_k8s_yml/lint_k8s_yml.rego

@@ -1,57 +0,0 @@
-# Перевірка `.github/workflows/lint-k8s.yml` (k8s.mdc).
-#
-# Канон надходить через --data: { "template": { "snippet": ... } }
-# Структура --data сформована з template/lint-k8s.yml.snippet.yml.
-# Перевіряємо (drift-safe — усе ведеться з template, без inline-літералів):
-#   - кожен `uses` з template: actions/checkout@v6, setup-bun-deps;
-#   - кожен `run` з template (як substring): install kubeconform, kubescape,
-#     n-rules lint k8s --no-fix.
-# Універсальні workflow-перевірки (name, concurrency, branches,
-# persist-credentials) — у `ga.workflow_common`.
-package k8s.lint_k8s_yml
-
-import rego.v1
-
-# Усі `uses` з канону workflow (по всіх job'ах template).
-expected_uses contains u if {
-	some job in data.template.snippet.jobs
-	some step in job.steps
-	u := object.get(step, "uses", "")
-	u != ""
-}
-
-# Усі `uses` з input workflow.
-actual_uses contains u if {
-	some job in object.get(input, "jobs", {})
-	some step in object.get(job, "steps", [])
-	u := object.get(step, "uses", "")
-	u != ""
-}
-
-# Конкатенація всіх `run`-кроків з input workflow.
-all_run_text := concat("\n", [run_text |
-	some job in object.get(input, "jobs", {})
-	some step in object.get(job, "steps", [])
-	run_text := step_run_to_text(step)
-])
-
-deny contains msg if {
-	some required_use in expected_uses
-	not required_use in actual_uses
-	msg := sprintf("lint-k8s.yml: відсутній step з `uses: %s` (k8s.mdc)", [required_use])
-}
-
-deny contains msg if {
-	some job in data.template.snippet.jobs
-	some step in job.steps
-	expected_run := object.get(step, "run", "")
-	expected_run != ""
-	not contains(all_run_text, expected_run)
-	msg := sprintf("lint-k8s.yml: жоден крок run не містить %q (k8s.mdc)", [expected_run])
-}
-
-step_run_to_text(step) := step.run if is_string(step.run)
-
-else := concat("\n", [s | some s in step.run]) if is_array(step.run)
-
-else := ""

package/rules/k8s/lint_k8s_yml/template/lint-k8s.yml.snippet.yml

@@ -1,43 +0,0 @@
-name: Lint K8s
-
-on:
-  push:
-    branches:
-      - dev
-      - main
-    paths:
-      - '**/k8s/**/*.yaml'
-
-  pull_request:
-    branches:
-      - dev
-      - main
-
-concurrency:
-  group: ${{ github.ref }}-${{ github.workflow }}
-  cancel-in-progress: true
-
-jobs:
-  lint-k8s:
-    runs-on: ubuntu-latest
-    permissions:
-      contents: read
-    steps:
-      - uses: actions/checkout@v6
-        with:
-          persist-credentials: false
-
-      - uses: ./.github/actions/setup-bun-deps
-
-      - name: Install kubeconform
-        run: |
-          curl -sSL "https://github.com/yannh/kubeconform/releases/download/v0.7.0/kubeconform-linux-amd64.tar.gz" | tar xz
-          sudo mv kubeconform /usr/local/bin/
-
-      - name: Install kubescape
-        run: |
-          curl -s https://raw.githubusercontent.com/kubescape/kubescape/master/install.sh | /bin/bash
-          echo "$HOME/.kubescape/bin" >> $GITHUB_PATH
-
-      - name: Lint K8s
-        run: bunx n-rules lint k8s --no-fix

package/rules/npm-module/npm_publish_yml/concern.json

@@ -1,13 +0,0 @@
-{
-  "$schema": "https://unpkg.com/@7n/rules/schemas/concern.json",
-  "fixability": "config",
-  "policy": {
-    "files": {
-      "single": ".github/workflows/npm-publish.yml"
-    },
-    "check": "template"
-  },
-  "requires": {
-    "capability": "ci:github"
-  }
-}

package/rules/npm-module/npm_publish_yml/docs/fix-npm_publish_yml.md

@@ -1,28 +0,0 @@
----
-type: JS Module
-title: fix-npm_publish_yml.mjs
-resource: npm/rules/npm-module/npm_publish_yml/fix-npm_publish_yml.mjs
-docgen:
-  crc: 6db6decf
-  model: openai-codex/gpt-5.4-mini
-  tier: cloud-min
-  score: 100
-  issues: judge:inaccurate:0.98
-  judgeModel: openai-codex/gpt-5.4-mini
----
-
-## Огляд
-
-`patterns` визначає правила зіставлення вмісту для `/.github/workflows/npm-publish.yml` у межах репозиторію. Файл потрібен, щоб узгоджувати цей workflow із очікуваною структурою та вмістом.
-
-## Поведінка
-
-1. `patterns` формує набір правил для підтримання узгодженого стану шаблонного workflow-файла `/.github/workflows/npm-publish.yml`.
-2. `patterns` працює у режимі read-only: він не змінює ФС або БД.
-3. `patterns` свідомо не охоплює шляхи `.github` і `.git`, щоб не зачіпати службові каталоги репозиторію.
-4. `patterns` повертає готову конфігурацію для застосування до цільового файла, щоб стандартизувати його вміст у межах репозиторію.
-
-## Гарантії поведінки
-
-- Read-only: не виконує операцій запису (ФС/БД).
-- Свідомо пропускає шляхи: `.github`, `.git`.

package/rules/npm-module/npm_publish_yml/docs/index.md

@@ -1,9 +0,0 @@
----
-type: Directory Index
-title: npm/rules/npm-module/npm_publish_yml
-resource: npm/rules/npm-module/npm_publish_yml/
----
-
-| Файл                                              | Тип       |
-| ------------------------------------------------- | --------- |
-| [fix-npm_publish_yml.mjs](fix-npm_publish_yml.md) | JS Module |

package/rules/npm-module/npm_publish_yml/fix-npm_publish_yml.mjs

@@ -1,8 +0,0 @@
-import { createTemplateFixPattern } from '../../../scripts/lib/fix/template-deep-merge.mjs'
-
-export const patterns = [
-  createTemplateFixPattern({
-    id: 'npm-module-npm_publish_yml-template',
-    targetPath: '.github/workflows/npm-publish.yml'
-  })
-]

package/rules/npm-module/npm_publish_yml/template/npm-publish.yml.snippet.yml

@@ -1,49 +0,0 @@
-name: npm-publish
-
-on:
-  push:
-    paths:
-      - 'npm/**'
-    branches:
-      - main
-
-concurrency:
-  group: ${{ github.ref }}-${{ github.workflow }}
-  cancel-in-progress: true
-
-jobs:
-  release-publish:
-    runs-on: ubuntu-latest
-    permissions:
-      contents: write # commit-back версії + git-тег
-      id-token: write # КРИТИЧНО для OIDC!
-
-    steps:
-      - uses: actions/checkout@v6
-        with:
-          persist-credentials: false
-          fetch-depth: 0
-
-      - uses: ./.github/actions/setup-bun-deps
-
-      - uses: actions/setup-node@v6
-        with:
-          node-version: '24' # includes npm@11.6.0
-          registry-url: 'https://registry.npmjs.org'
-
-      - name: Configure git identity + push auth
-        # persist-credentials лишається false (ga-rule, безпека): checkout не зберігає токен.
-        # Release робить commit-back `git push`, тож даємо job-scoped ephemeral GITHUB_TOKEN
-        # явно через remote-url (а не persisted у git config усього прогону).
-        run: |
-          git config user.name "github-actions[bot]"
-          git config user.email "github-actions[bot]@users.noreply.github.com"
-          git remote set-url origin "https://x-access-token:${{ secrets.GITHUB_TOKEN }}@github.com/${{ github.repository }}.git"
-
-      - name: Release (bump + CHANGELOG + tag)
-        run: bunx n-rules release
-
-      - name: Publish package
-        uses: JS-DevTools/npm-publish@v4.1.5
-        with:
-          package: npm/package.json

package/rules/php/lint_php_yml/concern.json

@@ -1,12 +0,0 @@
-{
-  "$schema": "https://unpkg.com/@7n/rules/schemas/concern.json",
-  "fixability": "config",
-  "policy": {
-    "files": {
-      "single": ".github/workflows/lint-php.yml"
-    }
-  },
-  "requires": {
-    "capability": "ci:github"
-  }
-}

package/rules/php/lint_php_yml/docs/fix-lint_php_yml.md

@@ -1,28 +0,0 @@
----
-type: JS Module
-title: fix-lint_php_yml.mjs
-resource: npm/rules/php/lint_php_yml/fix-lint_php_yml.mjs
-docgen:
-  crc: d0335dac
-  model: openai-codex/gpt-5.4-mini
-  tier: cloud-min
-  score: 100
-  issues: judge:inaccurate:0.99
-  judgeModel: openai-codex/gpt-5.4-mini
----
-
-## Огляд
-
-`patterns` описує правила для робочих шляхів у межах репозиторію та свідомо пропускає `.github` і `.git`. Функція працює read-only і не пише у ФС чи БД.
-
-## Поведінка
-
-1. `patterns` визначає набір правил для узгодженого виправлення шаблону `lint-php.yml` у межах репозиторію.
-2. `patterns` орієнтований на підтримку одного цільового workflow-файлу в `.github/workflows/lint-php.yml`, свідомо обходячи службові шляхи `.github` і `.git`.
-3. `patterns` працює в режимі read-only: він формує опис змін, але не виконує запис у файлову систему чи базу даних.
-4. `patterns` потрібен для стандартизації та відновлення очікуваного стану workflow-конфігурації без втручання в інші частини проєкту.
-
-## Гарантії поведінки
-
-- Read-only: не виконує операцій запису (ФС/БД).
-- Свідомо пропускає шляхи: `.github`, `.git`.

package/rules/php/lint_php_yml/docs/index.md

@@ -1,9 +0,0 @@
----
-type: Directory Index
-title: npm/rules/php/lint_php_yml
-resource: npm/rules/php/lint_php_yml/
----
-
-| Файл                                        | Тип       |
-| ------------------------------------------- | --------- |
-| [fix-lint_php_yml.mjs](fix-lint_php_yml.md) | JS Module |

package/rules/php/lint_php_yml/fix-lint_php_yml.mjs

@@ -1,5 +0,0 @@
-import { createTemplateFixPattern } from '../../../scripts/lib/fix/template-deep-merge.mjs'
-
-export const patterns = [
-  createTemplateFixPattern({ id: 'php-lint_php_yml-template', targetPath: '.github/workflows/lint-php.yml' })
-]

package/rules/php/lint_php_yml/lint_php_yml.mdc

@@ -1,23 +0,0 @@
-## Структура `.github/workflows/lint-php.yml`
-
-Rego-пакет: `php.lint_php_yml`
-
-Цільовий файл: `.github/workflows/lint-php.yml` (парситься як YAML).
-
-Перевіряє, що у workflow присутні всі канонічні `run:`-кроки з template-сніпету — крок `n-rules lint php --no-fix` має бути в одному зі steps jobs.
-
-Канонічний template-сніпет: [lint-php.yml.snippet.yml](./template/lint-php.yml.snippet.yml)
-
-**✓ Правильно** — job `php` містить крок:
-
-```yaml
-- name: Lint PHP
-  run: n-rules lint php --no-fix
-```
-
-**✗ Неправильно** — крок відсутній або містить інший run-рядок:
-
-```yaml
-- name: Lint PHP
-  run: echo something
-```